A Lei de Proteção de Dados Pessoais da Arábia Saudita (PDPL), promulgada pelo Decreto Real M/19 em setembro de 2021 e em vigor desde setembro de 2023, representa a primeira legislação abrangente de privacidade de dados do Reino. A PDPL estabelece um marco para a coleta, o processamento, o armazenamento e a transferência de dados pessoais, alinhando a Arábia Saudita a padrões internacionais de proteção de dados e refletindo, ao mesmo tempo, o ambiente regulatório próprio do Reino. Empresas que operam na Arábia Saudita ou tratam dados provenientes do país precisam compreender e cumprir os requisitos da PDPL para evitar penalidades significativas.
Contexto legislativo
A PDPL foi elaborada sob a autoridade da Autoridade Saudita de Dados e Inteligência Artificial (SDAIA), que supervisiona a implementação e a fiscalização da lei. Antes da PDPL, a proteção de dados na Arábia Saudita era regida por um conjunto fragmentado de normas setoriais, incluindo disposições da Lei Anticrime Cibernético e da Lei de Comércio Eletrônico. A PDPL consolida essas regras em uma única lei abrangente, aplicável a todos os setores e indústrias. A lei reflete a ambição saudita, no âmbito da Visão 2030, de construir uma economia digital moderna que atraia investimento estrangeiro e empresas de tecnologia, protegendo ao mesmo tempo os direitos de privacidade dos cidadãos.
Escopo e aplicabilidade
A PDPL se aplica a qualquer processamento de dados pessoais realizado na Arábia Saudita e também ao processamento de dados pessoais de residentes na Arábia Saudita por entidades localizadas fora do Reino. Dados pessoais são definidos de forma ampla: incluem quaisquer dados que possam identificar uma pessoa direta ou indiretamente, como nomes, números de identificação, dados de localização, identificadores on-line e dados biométricos. A lei abrange entidades dos setores privado e público, com certas exceções para uso pessoal ou familiar, atividades de aplicação da lei e dados processados para fins estatísticos ou arquivísticos quando existam salvaguardas adequadas.
Direitos dos titulares de dados
A PDPL concede aos titulares um conjunto abrangente de direitos sobre seus dados pessoais. As pessoas têm direito a ser informadas sobre a coleta e a finalidade do processamento dos dados; acessar seus dados; solicitar a correção de dados inexatos; e pedir a destruição dos dados quando deixarem de ser necessários para a finalidade para a qual foram coletados. Os titulares também podem retirar o consentimento a qualquer momento e obter seus dados em formato legível por máquina para portabilidade. Os controladores devem responder às solicitações dentro dos prazos definidos e não podem cobrar valores excessivos para atendê-las.
Consentimento e tratamento lícito
O consentimento é a principal base legal para o tratamento de dados pessoais segundo a PDPL. Deve ser explícito, informado e dado livremente, além de especificar a finalidade do tratamento. A lei também reconhece bases legais alternativas, entre elas necessidade contratual, cumprimento de obrigações legais, proteção de interesses vitais e interesses legítimos do controlador, desde que estes não se sobreponham aos direitos fundamentais do titular. Dados pessoais sensíveis — incluindo dados de saúde, genéticos e biométricos, bem como dados que revelem crenças religiosas ou políticas — exigem consentimento explícito e estão sujeitos a salvaguardas adicionais.
Transferências internacionais de dados
A PDPL impõe condições rigorosas à transferência de dados pessoais para fora da Arábia Saudita. As transferências só são permitidas para países que, conforme determinação da autoridade competente, ofereçam nível adequado de proteção de dados, ou quando houver salvaguardas apropriadas, como regras corporativas vinculantes, cláusulas contratuais padrão ou consentimento explícito do titular. Os regulamentos de implementação emitidos pela SDAIA detalham os mecanismos e as condições para transferências internacionais. As empresas devem realizar avaliações de impacto da transferência e manter documentação que demonstre conformidade com esses requisitos.
Obrigações de conformidade das empresas
Organizações que processam dados pessoais devem implementar estruturas robustas de governança de dados para cumprir a PDPL. As principais obrigações incluem nomear um encarregado de proteção de dados quando exigido; manter registros das atividades de processamento; realizar avaliações de impacto sobre a proteção de dados em operações de alto risco; adotar medidas técnicas e organizacionais de segurança adequadas; e notificar a autoridade competente e as pessoas afetadas em caso de violação de dados. As políticas de privacidade devem ser transparentes, acessíveis e redigidas em árabe. As empresas também devem aplicar práticas de minimização de dados, coletando apenas os dados necessários para finalidades especificadas e legítimas.
Penalidades e fiscalização
A PDPL prevê penalidades significativas por descumprimento. As violações podem resultar em multas de até SAR 5 milhões (aproximadamente USD 1,33 milhão), com possibilidade de sanções mais elevadas em caso de reincidência. Violações que envolvam divulgação de dados sensíveis com intenção de causar dano podem levar a sanções criminais, incluindo prisão por até dois anos. A autoridade competente pode conduzir investigações, emitir advertências, determinar medidas corretivas e aplicar multas. Espera-se que as medidas de fiscalização aumentem à medida que o marco regulatório amadureça e as organizações concluam seus períodos de transição para conformidade.
Impacto na Visão 2030 e na economia digital
A PDPL é um habilitador essencial da transformação digital saudita no âmbito da Visão 2030. A lei apoia a agenda mais ampla de reformas regulatórias do Reino. Ao estabelecer padrões claros de proteção de dados, ela fortalece a confiança na economia digital, incentiva a adoção de computação em nuvem e inteligência artificial e posiciona a Arábia Saudita como destino confiável para empresas internacionais de tecnologia e negócios baseados em dados. O alinhamento da lei a padrões globais, como o Regulamento Geral sobre a Proteção de Dados da UE (GDPR), facilita fluxos internacionais de dados e parcerias comerciais, apoiando a integração do Reino à economia digital global.