İşletmeniz müşterileriniz hakkında herhangi bir veri topluyorsa — ad, cep telefonu numarası, e-posta, konum veya fotoğraf — Kişisel Verilerin Korunması Kanunu'na (PDPL) tabisiniz. Kanun 14 Eylül 2024'ten bu yana tamamen yürürlüktedir, Suudi Veri ve Yapay Zekâ Otoritesi (SDAIA) tarafından denetlenmektedir ve ihlaller 5 milyon SAR'a varan para cezalarına yol açabilir. Bu rehber, işletmenizin ne yapması gerektiğini, müşterilerinizin hangi haklara sahip olduğunu ve gereksiz karmaşaya girmeden nasıl hazırlanacağınızı sade bir dille açıklıyor.

Kişisel Verilerin Korunması Kanunu nedir?

Krallık içinde kişisel verilerin nasıl toplandığını, işlendiğini, saklandığını ve paylaşıldığını düzenleyen, (M/19) sayılı Kraliyet Kararnamesi ile çıkarılmış bir Suudi kanunudur. Amacı bireylerin gizliliğini korumak ve işletmelerin verilerini sorumlu ve şeffaf bir şekilde işlemesini sağlamaktır. Kanun 14 Eylül 2023'te yürürlüğe girdi; uyum için tanınan bir yıllık geçiş süresi 14 Eylül 2024'te sona erdi ve bu tarihten sonra tamamen bağlayıcı hale geldi.

Kanun kimlere uygulanır?

Krallık içindeki bireylerin kişisel verilerini herhangi bir yolla işleyen kamu veya özel her kuruluşa uygulanır. Buna çevrimiçi mağazalar, uygulamalar, klinikler, restoranlar, emlak şirketleri ve müşteri tabanı tutan her işletme dahildir. Kapsamı, sakinlerin verilerini işlemeleri halinde Krallık dışındaki kuruluşlara bile uzanır. Kısacası: müşteri verisi tutuyorsanız, kanun sizi ilgilendirir.

Veri sahibinin (müşterinizin) hakları nelerdir?

Kanun, bireylere verileri üzerinde açık bir haklar dizisi tanır; bunların başlıcaları şunlardır:

  • Bilgilendirilme hakkı: verilerinin neden toplandığını ve nasıl kullanılacağını bilmek.
  • Erişim hakkı: hakkında tuttuğunuz verileri görmek ve bunların bir kopyasını almak.
  • Düzeltme hakkı: verilerinin değiştirilmesini, güncellenmesini veya tamamlanmasını talep etmek.
  • İmha hakkı: verilerine artık ihtiyaç duyulmadığında silinmesini talep etmek.

İşletmenin (veri sorumlusunun) yükümlülükleri nelerdir?

  • İşleme için hukuki dayanak: gerekçesiz veri toplamayın; temel kural bireyin rızasını almaktır.
  • Açık bir gizlilik politikası: neyi, neden topladığınızı ve nasıl koruduğunuzu açıklayan bir politika yayımlayın.
  • Veri minimizasyonu: yalnızca amaca ulaşmak için ihtiyaç duyduğunuz kadarını toplayın, fazlasını değil.
  • İhlal bildirimi: gizliliği tehdit eden her sızıntıyı Otoriteye (ve gerektiğinde veri sahibine) bildirin.
  • Sınır ötesi aktarım kontrolleri: Kişisel Verilerin Krallık Dışına Aktarılmasına İlişkin Yönetmelik ile uyumlu olarak.

İhlallerin cezaları nelerdir?

Cezalar ihlalin türüne göre artar:

  • Hassas verilerin ifşa edilmesi veya aktarılması zarar verme kastıyla ya da kişisel çıkar için: iki yıla kadar hapis ve/veya 3 milyon SAR'a kadar para cezası.
  • Diğer ihlaller: uyarı veya 5 milyon SAR'a kadar para cezası; tekrarında bu ceza iki katına çıkarılabilir.

Daha da önemlisi, mali ceza tek risk değildir; bir veri sızıntısından sonra müşterilerinizin güvenini kaybetmek, işletmenize cezanın kendisinden çok daha pahalıya mal olabilir.

İşletmenizi uyuma nasıl hazırlarsınız?

  • Verilerinizi tanıyın: hangi verileri topladığınızı, nerede saklandığını ve kimlerin erişebildiğini haritalayın.
  • Açık bir gizlilik politikası yayımlayın; web sitenizde ve uygulamanızda, sade ve anlaşılır bir dille.
  • Açık rıza uygulayın; veri toplamadan önce, rızanın daha sonra geri çekilebilmesi seçeneğiyle birlikte.
  • Güvenli depolama: şifreleme, sınırlı erişim yetkileri ve artık ihtiyaç duymadığınız verilerin silinmesi.
  • Bir süreç hazırlayın; müşteri taleplerine (erişim, düzeltme, silme) yanıt vermek ve ihlalleri bildirmek için.

Origami size nasıl yardımcı olur

Origami olarak sistemleri ve uygulamaları tasarımdan itibaren gizlilik (privacy-by-design) ilkesiyle geliştiriyoruz: hassas verilerin şifrelenmesi, rıza yönetimi, erişim kaydı ve yerleşik silme ve düzeltme mekanizmaları. İster yeni bir sistem kuruyor olun ister mevcut sisteminizi veri koruma gerekliliklerine uyarlıyor olun, teknik tarafı biz üstleniyoruz; böylece işletmenizin uyumu konusunda içiniz rahat olur.

Sıkça Sorulan Sorular

Kanun küçük işletmeleri de kapsıyor mu? Evet, büyüklüğe göre muafiyet yoktur; bireylerin verilerini işleyen her işletme kanuna tabidir.

Web sitesinde bir gizlilik politikası yeterli mi? Gizlilik politikası önemli bir adımdır ancak tek başına yeterli değildir; gereken, kanun kapsamında verilerin toplanması, korunması, erişime açılması ve silinmesinde gerçek bir uyumdur.

Müşterilerimin verileri sızdırılırsa ne yapmalıyım? Açığı derhal kapatın, olayı belgeleyin, gerektiği şekilde Otoriteye bildirin ve gerekli durumlarda etkilenen kişileri bilgilendirin.

Müşterilerinizin verilerini korumak artık yalnızca bir rekabet avantajı değil; ihmal edilmesi para cezası ve güven kaybı getiren yasal bir yükümlülüktür.

İşletmenizin veri koruma uyumuna ne kadar hazır olduğunu değerlendirmek ya da tasarımdan itibaren gizliliğe saygı gösteren bir sistem kurmak istiyorsanız, Origami ekibiyle kısa bir görüşme planlayın veya bize WhatsApp üzerinden ulaşın.

Resmî Kaynaklar