如果您的企业收集任何客户数据——姓名、手机号码、电子邮箱、位置或照片——那么您就受《个人数据保护法》（PDPL）约束。该法自 2024 年 9 月 14 日起全面强制执行，由沙特数据和人工智能管理局（SDAIA）负责监督，违规行为最高可被处以500 万沙特里亚尔（SAR）的罚款。本指南用通俗易懂的语言说明您的企业必须做什么、客户享有哪些权利，以及如何在不增加不必要复杂性的情况下做好准备。

什么是《个人数据保护法》？

这是一部依据第 (M/19) 号王室法令颁布的沙特法律，规范王国境内个人数据的收集、处理、存储和共享方式。其目标是保护个人隐私，并确保企业以负责任、透明的方式处理个人数据。该法于 2023 年 9 月 14 日生效，并给予一年的合规宽限期，宽限期于 2024 年 9 月 14 日结束，此后该法全面具有约束力。

该法适用于哪些对象？

它适用于以任何方式处理王国境内个人数据的任何实体，无论是公共机构还是私营机构。这包括网店、应用程序、诊所、餐厅、房地产公司，以及任何维护客户群的企业。如果王国境外的实体处理居民的数据，该法的管辖范围甚至也延伸到这些实体。简而言之：只要您持有客户数据，这部法律就与您有关。

数据主体（您的客户）享有哪些权利？

该法赋予个人对其数据的一系列明确权利，其中最主要的有：

  • 知情权：了解其数据被收集的原因以及将如何使用。
  • 访问权：查看您所持有的关于他们的数据，并获取副本。
  • 更正权：要求修改、更新或补充其数据。
  • 销毁权：在数据不再需要时要求删除。

企业（数据控制者）有哪些义务？

  • 具备处理的法律依据：不得无正当理由收集数据；默认做法是获得个人的同意。
  • 清晰的隐私政策：发布一份政策，说明您收集什么、为什么收集以及如何保护。
  • 数据最小化：只收集实现目的所需的数据，不多收。
  • 泄露通知：发生任何威胁隐私的泄露事件时，通知管理局（并在需要时通知数据主体）。
  • 跨境传输管控：遵守《个人数据跨境传输条例》的规定。

违规会受到哪些处罚？

处罚根据违规类型逐级加重：

  • 披露或传输敏感数据，以造成损害为目的或为谋取个人利益的：最高两年监禁和/或最高 300 万沙特里亚尔罚款。
  • 其他违规行为：警告或最高 500 万沙特里亚尔罚款，屡次违规的可加倍处罚。

更重要的是，经济处罚并不是唯一的风险；数据泄露后失去客户信任，给企业造成的损失可能远远超过罚款本身。

如何让您的企业做好合规准备？

  • 了解您的数据：梳理您收集了哪些数据、存储在哪里以及谁可以访问。
  • 发布清晰的隐私政策，放在您的网站和应用中，使用简单易懂的语言。
  • 实行明确同意机制，在收集数据之前征得同意，并提供日后撤回同意的选项。
  • 安全存储：加密、限制访问权限，并删除不再需要的数据。
  • 建立处理流程，用于响应客户请求（访问、更正、删除）和报告泄露事件。

Origami 如何帮助您

在 Origami，我们按照隐私始于设计的原则构建系统和应用：对敏感数据加密、管理用户同意、记录访问日志，并内置删除和更正机制。无论您是要构建新系统，还是让现有系统符合数据保护要求，我们都会负责技术层面的工作，让您对企业的合规状况安心无忧。

常见问题

该法是否适用于小型企业？是的，不因规模而豁免；任何处理个人数据的企业都受该法约束。

网站上有隐私政策就够了吗？隐私政策是重要的一步，但仅凭它还不够；法律要求的是在数据的收集、保护、提供访问和删除方面真正做到合规。

如果客户数据泄露了，我该怎么办？立即修复漏洞，记录事件经过，按要求通知管理局，并在必要时告知受影响的个人。

保护客户数据已不再只是一种竞争优势，而是一项法律义务，忽视它将招致罚款和信任流失。

如果您想评估企业在数据保护合规方面的准备情况，或构建一个从设计之初就尊重隐私的系统，请预约与 Origami 团队进行简短通话，或通过 WhatsApp 联系我们。

官方来源