Kerangka tata kelola data Arab Saudi menetapkan aturan untuk pengelolaan data pribadi, berbagi data pemerintah, transfer data lintas batas, dan kepatuhan pada era AI. Kerangka ini bertumpu pada Undang-Undang Perlindungan Data Pribadi (PDPL) dan diawasi oleh SDAIA, sehingga perlindungan privasi terhubung dengan ekonomi digital yang menjadi sasaran Visi 2030.
Undang-Undang Perlindungan Data Pribadi
PDPL merupakan landasan utama tata kelola data Arab Saudi. Undang-undang ini menetapkan rezim menyeluruh yang mengatur pengumpulan, pemrosesan, penyimpanan, pemindahan, dan pemusnahan data pribadi oleh entitas publik maupun swasta yang beroperasi di Kerajaan atau memproses data pribadi penduduk Arab Saudi. Strukturnya berlandaskan prinsip perlindungan data internasional, termasuk prinsip yang tercermin dalam Peraturan Perlindungan Data Umum Uni Eropa (GDPR), dengan tetap memuat ketentuan yang disesuaikan dengan konteks hukum dan kelembagaan Saudi.
Ketentuan utama PDPL mencakup kewajiban memiliki dasar hukum untuk pemrosesan data. Persetujuan menjadi mekanisme utama, disertai pengecualian tertentu untuk kebutuhan kontraktual, kepentingan vital, kewajiban hukum, dan kepentingan yang sah. Subjek data memperoleh hak untuk mengakses data pribadinya, memperbaiki ketidakakuratan, menghapus data yang tidak lagi diperlukan untuk tujuan awalnya, serta menarik persetujuan. Pengendali data wajib menerapkan langkah teknis dan organisasional yang sesuai untuk melindungi data pribadi dari akses, pengungkapan, perubahan, atau pemusnahan tanpa izin.
PDPL menetapkan kewajiban pemberitahuan pelanggaran data. Setelah mengetahui adanya pelanggaran, pengendali wajib memberi tahu otoritas yang berwenang dan, dalam keadaan tertentu, subjek data terdampak dalam tenggat yang telah ditentukan. Undang-undang ini juga mengatur transfer data lintas batas dengan menetapkan syarat pemindahan data pribadi ke luar Kerajaan, termasuk penilaian kecukupan standar perlindungan data di yurisdiksi penerima.
Peran Regulasi SDAIA
Otoritas Data dan Kecerdasan Buatan Saudi (SDAIA) dibentuk pada 2019 dengan mandat luas yang mencakup tata kelola data nasional, strategi kecerdasan buatan, dan pengembangan ekonomi berbasis data Arab Saudi. Fungsi regulasinya berdasarkan PDPL mencakup penerbitan peraturan pelaksanaan, dokumen panduan, dan standar sektoral; pengawasan kepatuhan; penyelidikan pengaduan; serta penjatuhan sanksi atas pelanggaran.
Posisi kelembagaan SDAIA mencerminkan pandangan pemerintah Saudi bahwa tata kelola data dan kecerdasan buatan saling terkait erat. Mandat ganda otoritas ini memungkinkannya menyeimbangkan keharusan melindungi data dengan upaya mendorong pemanfaatannya bagi manfaat ekonomi dan sosial, termasuk pengembangan aplikasi AI yang membutuhkan akses ke himpunan data berkualitas tinggi. Pendekatan terpadu ini menghindari fragmentasi yang dapat terjadi ketika fungsi perlindungan data dan inovasi data berada di lembaga terpisah.
Otoritas tersebut telah menerbitkan serangkaian peraturan pelaksanaan, pedoman, dan kerangka kepatuhan yang menguraikan ketentuan umum PDPL. Isinya mencakup panduan terperinci mengenai mekanisme persetujuan, penilaian dampak perlindungan data, mekanisme transfer data, dan persyaratan sektoral untuk kegiatan pemrosesan berisiko tinggi, termasuk pemrosesan data kesehatan, keuangan, dan biometrik.
Persyaratan Kepatuhan
Kepatuhan terhadap kerangka tata kelola data Arab Saudi menimbulkan kewajiban yang signifikan bagi organisasi yang beroperasi di Kerajaan. Dalam keadaan yang ditetapkan oleh peraturan pelaksanaan, entitas yang memproses data pribadi wajib menunjuk petugas perlindungan data, menyimpan catatan kegiatan pemrosesan, melakukan penilaian dampak perlindungan data untuk operasi berisiko tinggi, serta menerapkan perlindungan teknis seperti enkripsi, kontrol akses, dan pencatatan audit.
Cakupan ekstrateritorial PDPL juga membebankan kewajiban kepada entitas di luar Arab Saudi yang memproses data pribadi penduduk Arab Saudi. Ketentuan ini sejalan dengan kecenderungan global untuk memperluas jangkauan yurisdiksi terhadap pemroses data asing. Perusahaan internasional yang memiliki pelanggan atau operasi di Arab Saudi perlu menilai kewajiban kepatuhannya berdasarkan PDPL dan menerapkan langkah yang sesuai.
Sanksi ketidakpatuhan mencakup hukuman finansial yang dapat mencapai beberapa juta riyal Saudi per pelanggaran, dengan kemungkinan sanksi lebih berat untuk pelanggaran berulang atau yang dilakukan dengan sengaja. Rezim sanksi ini dirancang untuk menimbulkan efek jera yang berarti sekaligus tetap proporsional terhadap sifat dan tingkat keparahan pelanggaran.
Lokalisasi Data dan Transfer Lintas Batas
Lokalisasi data merupakan dimensi penting dalam kerangka Saudi. PDPL dan peraturan pelaksanaannya menetapkan syarat transfer data pribadi ke luar Kerajaan, dengan mempertimbangkan keamanan nasional dan kedaulatan serta perlindungan privasi individu. Transfer diizinkan ke yurisdiksi yang memberikan tingkat perlindungan data yang memadai, atau melalui klausul kontraktual standar, aturan korporasi mengikat, maupun mekanisme transfer lain yang disetujui.
Persyaratan lokalisasi berinteraksi dengan strategi infrastruktur digital Kerajaan yang lebih luas, yang telah menarik penyedia layanan cloud internasional besar untuk membangun operasi pusat data di Arab Saudi. Ketersediaan infrastruktur cloud domestik memungkinkan organisasi memenuhi persyaratan lokalisasi sambil memanfaatkan platform teknologi global. Perkembangan ini secara aktif difasilitasi oleh SDAIA dan Komisi Komunikasi, Antariksa, dan Teknologi.
Data Terbuka dan Berbagi Data Pemerintah
Kerangka tata kelola data tidak hanya mencakup perlindungan privasi, tetapi juga pengelolaan data pemerintah dan inisiatif data terbuka. Kebijakan Data Terbuka Arab Saudi, yang dikelola melalui SDAIA, menetapkan prinsip dan persyaratan penerbitan himpunan data pemerintah dalam format yang dapat dibaca mesin. Portal data terbuka nasional menyediakan akses ke ribuan himpunan data yang mencakup statistik ekonomi, informasi geografis, data kesehatan, dan indikator lingkungan untuk mendukung transparansi, riset, dan inovasi komersial.
Kerangka berbagi data pemerintah menetapkan protokol pertukaran data yang aman di antara entitas pemerintah untuk mengatasi fragmentasi historis yang menghambat koordinasi antarlembaga. Kantor Nasional Manajemen Data di bawah SDAIA menetapkan standar kualitas, klasifikasi, dan pengelolaan siklus hidup data di seluruh sektor pemerintahan.
Arti Strategis
Kerangka tata kelola data Arab Saudi menjalankan fungsi strategis yang melampaui kepatuhan regulasi. Dengan membangun rezim perlindungan data yang kredibel, Kerajaan memberi sinyal kepada perusahaan internasional, perusahaan teknologi, dan investor bahwa Arab Saudi menyediakan lingkungan tepercaya bagi operasi yang intensif menggunakan data. Kredibilitas ini penting untuk menarik investasi asing langsung di bidang teknologi, jasa keuangan, dan perdagangan digital yang dibutuhkan oleh strategi diversifikasi Visi 2030.
Kerangka ini juga mendukung pengembangan kapabilitas data dan AI dalam negeri. Aturan yang jelas tentang pengumpulan, pemrosesan, dan berbagi data memungkinkan peneliti, perusahaan rintisan, dan perusahaan mapan Saudi mengembangkan produk serta layanan berbasis data dalam lingkungan hukum yang dapat diprediksi. Ketentuan PDPL mengenai pemrosesan data untuk kepentingan publik dan tujuan penelitian membuka jalur bagi pemanfaatan data yang bermanfaat, sekaligus melengkapi ketentuan perlindungan privasi.