Hukum Perlindungan Data Pribadi Arab Saudi (PDPL), yang ditetapkan melalui Dekret Kerajaan M/19 pada September 2021 dan mulai ditegakkan sejak September 2023, merupakan undang-undang privasi data komprehensif pertama di Kerajaan. PDPL menetapkan kerangka yang mengatur pengumpulan, pemrosesan, penyimpanan, dan transfer data pribadi; kerangka ini menyelaraskan Arab Saudi dengan standar perlindungan data internasional sekaligus mencerminkan lingkungan regulasi khas Kerajaan. Perusahaan yang beroperasi di Arab Saudi atau menangani data dari negara tersebut harus memahami dan mematuhi ketentuan PDPL agar terhindar dari sanksi berat.
Latar Belakang dan Konteks Legislasi
PDPL dikembangkan di bawah kewenangan Otoritas Data dan Kecerdasan Buatan Arab Saudi (SDAIA), yang mengawasi pelaksanaan dan penegakan undang-undang ini. Sebelum PDPL, perlindungan data di Arab Saudi diatur oleh sekumpulan regulasi sektoral, termasuk ketentuan dalam Undang-Undang Kejahatan Siber dan Undang-Undang Perdagangan Elektronik. PDPL menyatukan aturan-aturan yang terpisah tersebut ke dalam satu undang-undang komprehensif yang berlaku di semua sektor dan industri. Undang-undang ini mencerminkan ambisi Arab Saudi di bawah Visi 2030 untuk membangun ekonomi digital modern yang menarik investasi asing dan perusahaan teknologi sekaligus melindungi hak privasi warga.
Cakupan dan Penerapan
PDPL berlaku untuk setiap pemrosesan data pribadi yang dilakukan di Arab Saudi, serta pemrosesan data pribadi penduduk Arab Saudi oleh entitas yang berlokasi di luar Kerajaan. Data pribadi didefinisikan secara luas sebagai setiap data yang dapat mengidentifikasi seseorang secara langsung maupun tidak langsung, termasuk nama, nomor identitas, data lokasi, pengenal daring, dan data biometrik. Undang-undang ini mencakup entitas sektor swasta dan publik, dengan pengecualian tertentu untuk penggunaan pribadi atau keluarga, kegiatan penegakan hukum, serta data yang diproses untuk tujuan statistik atau pengarsipan apabila perlindungan yang sesuai telah diterapkan.
Hak Subjek Data
PDPL memberikan serangkaian hak komprehensif kepada subjek data atas data pribadinya. Setiap orang berhak diberi tahu tentang pengumpulan data dan tujuan pemrosesannya, berhak mengakses datanya, meminta koreksi atas data yang tidak akurat, serta meminta penghapusan data ketika data itu tidak lagi diperlukan untuk tujuan pengumpulannya. Subjek data juga berhak menarik persetujuan kapan pun dan memperoleh datanya dalam format yang dapat dibaca mesin untuk portabilitas. Pengendali harus menanggapi permintaan subjek data dalam jangka waktu yang ditetapkan dan tidak boleh membebankan biaya berlebihan untuk memenuhinya.
Persetujuan dan Pemrosesan yang Sah
Persetujuan merupakan dasar hukum utama untuk memproses data pribadi berdasarkan PDPL. Persetujuan harus dinyatakan secara eksplisit, berdasarkan informasi yang memadai, diberikan secara bebas, dan menyebutkan tujuan pemrosesan. Undang-undang ini juga mengakui dasar hukum alternatif untuk pemrosesan, termasuk kebutuhan kontraktual, kepatuhan terhadap kewajiban hukum, perlindungan kepentingan vital, dan kepentingan sah pengendali selama kepentingan tersebut tidak mengesampingkan hak fundamental subjek data. Data pribadi sensitif, termasuk data kesehatan, genetik, biometrik, serta data yang mengungkap keyakinan agama atau politik, memerlukan persetujuan eksplisit dan tunduk pada perlindungan tambahan.
Transfer Data Lintas Batas
PDPL memberlakukan syarat ketat atas transfer data pribadi ke luar Arab Saudi. Transfer hanya diizinkan ke negara yang dinilai oleh otoritas berwenang memiliki tingkat perlindungan data yang memadai, atau jika tersedia perlindungan yang sesuai, seperti aturan perusahaan yang mengikat, klausul kontrak standar, atau persetujuan eksplisit subjek data. Peraturan pelaksana yang diterbitkan SDAIA memberikan rincian lebih lanjut tentang mekanisme dan ketentuan transfer lintas batas. Perusahaan harus melakukan penilaian dampak transfer dan menyimpan dokumentasi yang menunjukkan kepatuhan terhadap persyaratan tersebut.
Kewajiban Kepatuhan bagi Perusahaan
Organisasi yang memproses data pribadi harus menerapkan kerangka tata kelola data yang kuat agar mematuhi PDPL. Kewajiban utama mencakup penunjukan petugas perlindungan data jika diwajibkan, penyimpanan catatan kegiatan pemrosesan, pelaksanaan penilaian dampak perlindungan data untuk pemrosesan berisiko tinggi, penerapan langkah keamanan teknis dan organisasi yang sesuai, serta pemberitahuan kepada otoritas berwenang dan individu yang terdampak apabila terjadi kebocoran data. Kebijakan privasi harus transparan, mudah diakses, dan ditulis dalam bahasa Arab. Perusahaan juga sebaiknya menerapkan praktik minimalisasi data dengan hanya mengumpulkan data yang diperlukan untuk tujuan tertentu yang sah.
Sanksi dan Penegakan
PDPL menetapkan sanksi berat atas ketidakpatuhan. Pelanggaran dapat mengakibatkan denda hingga SAR 5 juta (sekitar USD 1,33 juta), dengan kemungkinan sanksi lebih tinggi untuk pelanggaran berulang. Sanksi pidana, termasuk hukuman penjara hingga dua tahun, berlaku untuk pelanggaran yang melibatkan pengungkapan data sensitif dengan maksud menimbulkan kerugian. Otoritas berwenang dapat melakukan penyelidikan, mengeluarkan peringatan, memerintahkan tindakan korektif, dan menjatuhkan denda. Tindakan penegakan diperkirakan meningkat seiring matangnya kerangka regulasi dan selesainya masa transisi kepatuhan oleh organisasi.
Dampak terhadap Visi 2030 dan Ekonomi Digital
PDPL merupakan faktor pendukung penting bagi transformasi digital Arab Saudi di bawah Visi 2030. Undang-undang ini mendukung agenda reformasi regulasi Kerajaan yang lebih luas. Dengan menetapkan standar perlindungan data yang jelas, undang-undang ini membangun kepercayaan terhadap ekonomi digital, mendorong adopsi komputasi cloud dan kecerdasan buatan, serta menempatkan Arab Saudi sebagai tujuan yang kredibel bagi perusahaan teknologi internasional dan bisnis berbasis data. Keselarasan undang-undang ini dengan standar global seperti Peraturan Perlindungan Data Umum Uni Eropa (GDPR) memfasilitasi arus data lintas batas dan kemitraan komersial, sehingga mendukung integrasi Kerajaan ke dalam ekonomi digital global.