A estrutura saudita de governança de dados é o conjunto de regras para dados pessoais, compartilhamento de dados governamentais, transferências internacionais e conformidade na era da inteligência artificial no Reino. Ela se baseia na Lei de Proteção de Dados Pessoais (PDPL) e é supervisionada pela SDAIA, conectando a proteção da privacidade à economia digital prevista pela Visão 2030.
Lei de Proteção de Dados Pessoais
A PDPL é a pedra angular da governança de dados saudita. A lei estabelece um regime abrangente para coleta, tratamento, armazenamento, transferência e destruição de dados pessoais por entidades públicas e privadas que operam no Reino ou tratam dados pessoais de residentes sauditas. Sua estrutura se inspira em princípios internacionais de proteção de dados, inclusive os refletidos no Regulamento Geral sobre a Proteção de Dados da União Europeia (GDPR), e incorpora disposições adaptadas ao contexto jurídico e institucional saudita.
Entre as principais disposições da PDPL estão os requisitos de base legal para o tratamento de dados, tendo o consentimento como mecanismo principal, além de exceções previstas para necessidade contratual, interesses vitais, obrigações legais e interesses legítimos. Os titulares dos dados têm direitos como acessar seus dados pessoais, corrigir imprecisões, excluir dados que já não sejam necessários à finalidade original e retirar o consentimento. Os controladores de dados devem implementar medidas técnicas e organizacionais apropriadas para proteger os dados pessoais contra acesso, divulgação, alteração ou destruição não autorizados.
A PDPL impõe obrigações de notificação de violações de dados. Os controladores devem notificar a autoridade competente e, em determinadas circunstâncias, os titulares afetados, dentro de prazos definidos após descobrirem uma violação. A lei também regula transferências internacionais de dados e estabelece condições para transferir dados pessoais para fora do Reino, incluindo avaliações de adequação dos padrões de proteção de dados da jurisdição destinatária.
Papel regulatório da SDAIA
A Autoridade Saudita de Dados e Inteligência Artificial (SDAIA) foi criada em 2019 com um mandato amplo, que abrange governança nacional de dados, estratégia de inteligência artificial e desenvolvimento da economia da Arábia Saudita baseada em dados. A função regulatória da SDAIA sob a PDPL inclui emitir regulamentos de implementação, documentos de orientação e padrões setoriais; supervisionar a conformidade; investigar reclamações; e aplicar sanções por violações.
A posição institucional da SDAIA reflete a visão do governo saudita de que governança de dados e inteligência artificial estão intrinsecamente ligadas. Seu mandato duplo permite equilibrar imperativos de proteção de dados com a promoção do uso de dados para benefício econômico e social, inclusive o desenvolvimento de aplicações de inteligência artificial que dependem de acesso a conjuntos de dados de alta qualidade. Essa abordagem integrada evita a fragmentação que pode ocorrer quando as funções de proteção e inovação em dados ficam em instituições separadas.
A autoridade publicou uma série de regulamentos de implementação, diretrizes e estruturas de conformidade que detalham as disposições gerais da PDPL. Entre elas estão orientações específicas sobre mecanismos de consentimento, avaliações de impacto à proteção de dados, mecanismos de transferência de dados e requisitos setoriais para atividades de tratamento de alto risco, incluindo dados de saúde, financeiros e biométricos.
Requisitos de conformidade
A conformidade com a estrutura saudita de governança de dados impõe obrigações significativas às organizações que operam no Reino. Entidades que tratam dados pessoais devem nomear encarregados de proteção de dados nas circunstâncias definidas pelos regulamentos de implementação, manter registros das atividades de tratamento, realizar avaliações de impacto à proteção de dados para operações de alto risco e aplicar salvaguardas técnicas, como criptografia, controles de acesso e registros de auditoria.
O alcance extraterritorial da PDPL estende as obrigações a entidades fora da Arábia Saudita que tratam dados pessoais de residentes sauditas, alinhando a lei à tendência global de afirmar jurisdição sobre operadores estrangeiros de dados. Empresas internacionais com clientes ou operações na Arábia Saudita precisam avaliar suas obrigações de conformidade com a PDPL e implementar medidas apropriadas.
As penalidades por descumprimento incluem sanções financeiras que podem chegar a vários milhões de riais sauditas por violação, com possibilidade de penalidades agravadas em casos de reincidência ou violação intencional. O regime de sanções foi concebido para criar dissuasão efetiva, preservando a proporcionalidade diante da natureza e gravidade da violação.
Localização de dados e transferências internacionais
A localização de dados é uma dimensão importante da estrutura saudita. A PDPL e seus regulamentos de implementação estabelecem condições para transferir dados pessoais para fora do Reino, refletindo considerações de segurança nacional e soberania, além de preocupações com a privacidade individual. São permitidas transferências para jurisdições que ofereçam níveis adequados de proteção de dados ou por meio de cláusulas contratuais padrão, regras corporativas vinculantes ou outros mecanismos de transferência aprovados.
Os requisitos de localização interagem com a estratégia mais ampla de infraestrutura digital do Reino, que atraiu grandes provedores internacionais de serviços em nuvem para estabelecer operações de centros de dados na Arábia Saudita. A disponibilidade de infraestrutura de nuvem doméstica permite que organizações cumpram os requisitos de localização e, ao mesmo tempo, utilizem plataformas tecnológicas globais, desenvolvimento facilitado ativamente pela SDAIA e pela Comissão de Comunicações, Espaço e Tecnologia.
Dados abertos e compartilhamento de dados governamentais
A estrutura de governança de dados vai além da proteção da privacidade e abrange gestão de dados governamentais e iniciativas de dados abertos. A Política de Dados Abertos da Arábia Saudita, administrada pela SDAIA, estabelece princípios e requisitos para publicar conjuntos de dados governamentais em formatos legíveis por máquina. O portal nacional de dados abertos oferece acesso a milhares de conjuntos de dados sobre estatísticas econômicas, informações geográficas, dados de saúde e indicadores ambientais, apoiando transparência, pesquisa e inovação comercial.
As estruturas de compartilhamento de dados governamentais estabelecem protocolos para a troca segura de dados entre órgãos públicos e enfrentam a fragmentação histórica que dificultava a coordenação interinstitucional. O Escritório Nacional de Gestão de Dados, dentro da SDAIA, define padrões de qualidade, classificação e gestão do ciclo de vida dos dados em todo o setor governamental.
Importância estratégica
A estrutura saudita de governança de dados cumpre funções estratégicas que vão além da conformidade regulatória. Ao estabelecer um regime confiável de proteção de dados, o Reino sinaliza a empresas internacionais, companhias de tecnologia e investidores que oferece um ambiente seguro para operações intensivas em dados. Essa credibilidade é essencial para atrair o investimento estrangeiro direto em tecnologia, serviços financeiros e comércio digital de que a estratégia de diversificação da Visão 2030 precisa.
A estrutura também apoia o desenvolvimento de capacidades nacionais em dados e inteligência artificial. Regras claras para coleta, tratamento e compartilhamento de dados permitem que pesquisadores, startups e empresas estabelecidas sauditas desenvolvam produtos e serviços orientados por dados em um ambiente jurídico previsível. As disposições da PDPL para tratamento de dados de interesse público e para pesquisa criam caminhos para usos benéficos de dados que complementam as regras de proteção à privacidade.