Temmuz 2026'nın başında Suudi Veri ve Yapay Zekâ Otoritesi (SDAIA), veri sorumlusu olarak kayıtlı kuruluşlara bir PDPL Uyum Doğrulama Formu göndermeye başladı. Bu bir formalite değil. İşletmenizin kişisel verileri Kişisel Verilerin Korunması Kanunu (PDPL) ile uyumlu biçimde topladığını, işlediğini ve sakladığını belge ve kanıtlarla ispatlamasına yönelik resmi bir taleptir. Pratik sonuç şu: müşteri veya çalışan verisi işleyen her kuruluş kanıtlarını şimdi toplamalıdır, çünkü bu inceleme sırasında ortaya çıkan her eksiklik kuruluşu 5 milyon SAR'a varan cezalarla karşı karşıya bırakabilir.

Uyum Doğrulama Formu nedir?

SDAIA'nın kayıtlı veri sorumlularına gönderdiği, 7 Temmuz 2026 tarihli resmi bir belgedir; bu belge onlardan PDPL'ye nasıl uyduklarını açıklamalarını ve kanıtlamalarını ister. Basitçe söylemek gerekirse: uyumlu olduğunuzu söylemek artık yetmiyor; bunu kanıtlayan politikaları, kayıtları ve kontrolleri ortaya koymanız gerekiyor. Form, verinin toplandığı andan imha edildiği ana kadar tüm veri yönetişimi yaşam döngünüzü kapsıyor.

Form tam olarak neler istiyor?

Form, dokuz temel alanda kanıt talep ediyor. Her birini satır satır gözden geçirmeye değer:

  • Toplama, işleme ve saklama: kişisel verileri nasıl topladığınız, nerede sakladığınız ve nasıl işlediğiniz.
  • Yönetişim çerçeveleri ve politikalar: veri gizliliği ve korunmasına ilişkin yazılı, onaylanmış politikalar.
  • İşlemenin hukuki dayanağı: her işleme faaliyetinin hukuki gerekçesi (açık rıza, sözleşme, yasal yükümlülük vb.).
  • Üçüncü taraf yönetimi: veri paylaştığınız veri işleyenleri ve tedarikçileri nasıl denetlediğiniz.
  • Verilerin saklanması ve imhası: tanımlanmış saklama süreleri ve verilere artık ihtiyaç kalmadığında güvenli bir silme süreci.
  • İlgili kişi hakları: bireylerin verilerine erişmesini, bunları düzeltmesini ve silmesini sağlayan bir mekanizma.
  • Sınır ötesi veri aktarımları: verilerin Krallık dışına aktarılmasına yönelik kontroller ve güvenceler.
  • Olay müdahalesi: veri ihlallerini ele alma ve bildirme planı.
  • Veri Koruma Görevlisi (DPO): kuruluşunuzda uyumu kimin denetlediği.

Neden şimdi? SDAIA denetimi sıkılaştırıyor

Form bir boşlukta ortaya çıkmadı. PDPL, Eylül 2023'ten beri yürürlükte ve geçen yıl SDAIA'nın uzman komiteleri ihlalde bulunduğu tespit edilen kuruluşlara karşı 48 karar verdi — ilk kayda değer karar dalgası. Belirgin örüntüler tekrarlandı: verileri hukuki dayanak olmadan toplamak ve işlemek, zayıf teknik ve idari güvenlik önlemleri ve önceden onay almadan pazarlama mesajları göndermek (perakende, telekom ve finansal hizmetlerde yaygın bir ihlal). Doğrulama formunun gönderilmesi mantıklı bir sonraki adımdır: şikâyetlere tepki vermekten, kuruluşların uyumlarını proaktif olarak kanıtlamalarını şart koşmaya geçiş.

Cezalar: uyumsuzluğun bedeli nedir?

Risk hem mali hem hukukidir. Para cezaları ihlal başına 5 milyon SAR'a ulaşır ve tekrarında iki katına çıkabilir. En ağır durumlarda — örneğin hassas verilerin zarar verme kastıyla ya da kişisel çıkar için ifşa edilmesi gibi — mesele hapis dâhil cezai sorumluluğa kadar uzanır. Buna dolaylı zararı da ekleyin: müşteri güveninin kaybı, durma noktasına gelen anlaşmalar ve itibar zararı. Mesaj açık: uyum artık isteğe bağlı ya da ertelenebilecek bir şey değil.

İşletmenizi nasıl hazırlarsınız: pratik bir kontrol listesi

Başlamak için formun gelmesini beklemeyin. Şimdi şu adımlarla başlayın:

  • Bir veri haritası oluşturun: hangi kişisel verileri, nereden topladığınız, nerede durduğu ve kimlerin erişebildiği.
  • Her işleme faaliyetinin hukuki dayanağını belgeleyin ve müşteri onayını kanıtlanabilir biçimde kaydedin.
  • Gizlilik, saklama ve silme politikaları yazın — ve bunların onaylandığından ve yalnızca kâğıt üzerinde kalmayıp gerçekten uygulandığından emin olun.
  • Veri koruma ve aktarım maddelerinin yer aldığından emin olmak için tedarikçi ve hizmet sağlayıcı sözleşmelerini gözden geçirin.
  • İlgili kişi taleplerini (erişim, düzeltme, silme) yasal süreler içinde almak ve yanıtlamak için net bir süreç kurun.
  • Açık bir sorumluluk noktası olarak, yarı zamanlı da olsa bir veri koruma görevlisi atayın.
  • Bir ihlal yaşandığında herkesin kimin ne yapacağını bilmesi için bir olay müdahale planı hazırlayın.

Teknik taraf: işletmelerin gerçekte başarısız olduğu yer

Eksikliklerin çoğu niyetle değil, sistemlerle ilgilidir. Birçok kuruluşun yazılı bir gizlilik politikası vardır, ancak sistemleri bunu uygulamaz: müşteri verileri sayısız elektronik tabloya ve dosyaya kopyalanır, saklama süresi dolduğunda bunları silmenin otomatik bir yolu yoktur ve kimin neye ne zaman eriştiğini gösteren bir kayıt bulunmaz. Uyumun bir belgeden mühendisliğe dönüştüğü yer burasıdır. Uygulamada bu şu anlama gelir: erişim kontrolleri, hassas verilerin şifrelenmesi, her işlemi kanıtlayan denetim kayıtları, otomatik saklama ve silme, ilgili kişilerin haklarını kullanmasını sağlayan bir arayüz ve Krallık dışına yapılan her aktarım üzerinde teknik kontroller. Form bu yetenekleri soruyor ve dürüst bir yanıt bir vaat değil, bir sistem gerektiriyor.

Origami nasıl yardımcı olur

Bir teknoloji şirketi olarak uyumu çözülebilir bir mühendislik problemi olarak ele alıyoruz. Kuruluşların PDPL gerekliliklerini sistemleri içinde gerçek kontrollere dönüştürmelerine yardımcı oluyoruz: doğru veri haritaları, onay yönetimi, otomatik saklama ve silme politikaları, denetim kayıtları, ilgili kişi taleplerini yönetmek için panolar ve sınır ötesi aktarım kontrolleri. Amaç, doğrulama formuna verdiğiniz yanıtın yalnızca sözlerden ibaret olmaması; SDAIA ne zaman sorarsa sorsun uyumunuzu otomatik olarak kanıtlayan bir sistem olmasıdır.

Sonuç

Uyum Doğrulama Formunun gönderilmesi, hoşgörü döneminin sona erdiğini ve SDAIA'nın uyumun proaktif olarak kanıtlanmasını şart koşmaya geçtiğini gösteriyor. Verilerini ve sistemlerini şimdi hazırlayan işletmeler formu rutin bir iş olarak görecek; erteleyenler ise eksikliklerini mümkün olan en kötü anda — incelemenin tam ortasında — keşfedebilir. Veri haritanızla bugün başlayın.

Kaynaklar

  • Suudi Veri ve Yapay Zekâ Otoritesi (SDAIA) — Düzenlemeler ve Politikalar: sdaia.gov.sa
  • Clyde & Co — SDAIA's PDPL Compliance Verification Form (Temmuz 2026): clydeco.com
  • IAPP — Suudi Arabistan'ın veri koruma otoritesi denetimi sıkılaştırıyor: iapp.org