Privacidade de dados e conformidade cibernética na Arábia Saudita: PDPL, NDMO, classificação de dados, regras de transferência e dados abertos

O que significa

O que é

A conformidade com as regras sauditas de privacidade de dados e cibersegurança passou a ser um problema integrado de governança: o PDPL rege os dados pessoais, as políticas da NDMO regem a gestão e a classificação nacionais de dados, os controles da NCA definem os parâmetros básicos de cibersegurança e as regras sauditas de dados abertos determinam quais conjuntos de dados públicos podem ser divulgados. Qualquer empresa que vá tratar dados pessoais, hospedar cargas de trabalho, fornecer sistemas de IA, administrar infraestrutura de nuvem ou trabalhar com entidades do governo saudita deve mapear as obrigações de privacidade e dados antes da implantação, não depois da contratação. A questão prática não é apenas se um aviso protege a privacidade. É se a organização consegue comprovar o tratamento lícito, classificar os dados corretamente, controlar transferências para fora do Reino, proteger os sistemas, documentar os registros das atividades de tratamento e separar dados abertos de dados restritos [S1], [S2], [S3], [S4].

A principal estrutura de conformidade tem quatro camadas.

Este é um resumo de conformidade, não aconselhamento jurídico. A análise jurídica de privacidade na Arábia Saudita depende dos fatos, do setor, do tipo de dado, das partes, do modelo de hospedagem e das orientações regulatórias vigentes.

Quem controla

A autoridade na Arábia Saudita é distribuída; não há um único regulador de privacidade e cibersegurança.

A SDAIA ocupa posição central no ambiente de políticas de dados e IA e publica materiais oficiais sobre o PDPL pela Plataforma de Governança de Dados. A NDMO, criada sob a SDAIA, publica políticas nacionais de governança de dados que abrangem classificação, proteção de dados pessoais, compartilhamento e dados abertos, além de liberdade de informação para entidades públicas e seus ecossistemas de dados [S1], [S2], [S5].

A Autoridade Nacional de Cibersegurança é a referência para os controles nacionais de segurança cibernética. Seus Controles Essenciais de Cibersegurança e Controles de Cibersegurança em Nuvem são especialmente relevantes para fornecedores do setor público, provedores de nuvem, sistemas críticos e organizações conectadas ao governo ou a ambientes regulados [S3], [S4].

O MCIT define políticas para a economia digital. A CST regula os mercados de comunicações, espaço e tecnologia, incluindo o registro de serviços de computação em nuvem e requisitos regulatórios relacionados. A DGA influencia os serviços de governo digital e a política de prioridade à nuvem para entidades governamentais. Reguladores setoriais podem acrescentar requisitos de privacidade, terceirização, cibersegurança, localização de dados, auditoria e notificação de incidentes nos setores financeiro, de saúde, telecomunicações, seguros, mercado de capitais, energia, educação e compras públicas [S6], [S7].

Por que isso importa para a liderança saudita em IA

A estratégia de IA da Arábia Saudita depende da capacidade de mobilizar dados e, ao mesmo tempo, proteger indivíduos, entidades públicas, interesses de segurança nacional e infraestrutura crítica. Sistemas de IA exigem grandes conjuntos de dados, mas os regimes sauditas de conformidade perguntam primeiro de que tipo de dado se trata, quem o controla, se é pessoal ou sensível, se pode sair do Reino, se pode ser usado para a finalidade declarada e se o sistema pode ser protegido e auditado [S1], [S5], [S8].

Isso torna a conformidade uma questão de acesso ao mercado. Será mais fácil aprovar fornecedores capazes de demonstrar privacidade e cibersegurança desde a concepção, classificação de dados, registros das atividades de tratamento, rastreabilidade explicável da origem dos dados e controles de transferência em implementações que exigem alto nível de confiança. Fornecedores que tratem as regras sauditas de dados como um anexo contratual correm o risco de atrasos em compras, retrabalho, exposição regulatória e perda de confiança dos clientes.

Mapa institucional

Papéis da SDAIA/NDMO/HUMAIN/MCIT/CST

A SDAIA é a principal instituição por trás da agenda nacional saudita de dados e IA. Para as equipes de conformidade, o ponto importante é operacional: antes de tomar decisões definitivas, devem consultar na Plataforma de Governança de Dados da SDAIA os materiais oficiais sobre o PDPL e a governança de dados [S1], [S2].

A NDMO é a camada prática de governança de dados. Suas Políticas Nacionais de Governança de Dados definem expectativas para áreas relevantes à IA e aos serviços digitais: classificação, compartilhamento e dados abertos, liberdade de informação e proteção de dados pessoais. Uma política saudita de classificação e tratamento de dados deve, portanto, ser mais que uma política empresarial genérica. Deve definir níveis de classificação, titularidade, acesso, compartilhamento permitido, condições de publicação, retenção, destruição e regras de escalonamento de forma compatível com a terminologia das políticas da NDMO [S5].

A HUMAIN, anunciada pelo PIF em 2025, é um sinal de mercado: a Arábia Saudita está desenvolvendo capacidade dedicada de empresas de IA paralelamente à governança de dados do setor público. A HUMAIN não regula a privacidade, mas sua plataforma, infraestrutura, modelos e ambições em dados se inserem no mesmo ambiente de conformidade que rege o acesso a dados, a hospedagem em nuvem, os controles cibernéticos e as transferências internacionais [S9].

O MCIT é relevante porque o ambiente de conformidade é inseparável das políticas digitais e da infraestrutura digital sauditas. A CST é relevante porque serviços de comunicações, tecnologia, computação em nuvem e plataformas podem criar interfaces regulatórias adicionais. Para decisões sobre nuvem e centros de dados, as equipes devem verificar as regras de nuvem da CST, os controles de nuvem da NCA, a política de prioridade à nuvem da DGA para trabalhos governamentais e as regras setoriais de terceirização ou cibersegurança [S4], [S6], [S7].

Setores público e privado e empresas do PIF

As entidades públicas têm as obrigações mais claras de governança de dados da NDMO e de dados abertos. Precisam entender quais conjuntos de dados são públicos, quais são restritos, quais contêm dados pessoais e quais podem ser compartilhados ou publicados. Uma plataforma de dados abertos não é um repositório para despejar arquivos do governo. É um canal controlado de publicação de dados que passaram por verificações de classificação, privacidade, qualidade, titularidade e divulgação pública [S5], [S10].

Empresas do PIF e campeãs nacionais costumam operar em setores competitivos comercialmente e, ao mesmo tempo, servir a objetivos estratégicos do Estado. Podem enfrentar uma combinação de obrigações corporativas de privacidade, requisitos contratuais do setor público, expectativas cibernéticas e regras de reguladores setoriais. A questão de conformidade para essas entidades geralmente não é saber se o PDPL se aplica isoladamente, mas como o PDPL, a governança de dados inspirada na NDMO, os controles da NCA, as regras de nuvem, os contratos com fornecedores e as obrigações setoriais se combinam.

Operadores privados devem presumir que os clientes sauditas solicitarão controles documentados. Isso inclui registros das atividades de tratamento, avisos de privacidade, regras de retenção, procedimentos para violações, critérios de classificação, avaliações de transferência, evidências de segurança de fornecedores e direitos de auditoria. Fornecedores estrangeiros também devem esperar perguntas sobre acesso de suporte, telemetria, cópias de segurança, subprocessadores, treinamento de modelos, localização de dados e eventual transferência de dados pessoais ou classificados do setor público para fora da Arábia Saudita.

Tecnologia e infraestrutura

Nuvem e centros de dados

A arquitetura de nuvem deve começar pela classificação dos dados. Uma carga de trabalho com dados públicos abertos, registros comerciais comuns, dados pessoais, dados pessoais sensíveis, registros de sistemas críticos ou informações restritas do governo pode exigir controles diferentes de hospedagem, acesso, criptografia, registros, cópias de segurança, exclusão e transferência. Transferir uma carga de trabalho para uma região saudita ou um centro de dados local pode reduzir alguns riscos, mas não responde, por si só, às questões jurídicas [S1], [S4], [S5].

Para trabalhos governamentais, a política de prioridade à nuvem da DGA e os requisitos relacionados de governo digital devem ser considerados junto com os controles de cibersegurança da NCA. Para provedores e clientes de nuvem, as regras da CST e os controles de cibersegurança em nuvem da NCA podem afetar o registro, os controles, o tratamento de incidentes e as expectativas de garantia [S4], [S6], [S7].

Na infraestrutura de IA, a questão mais difícil sobre nuvem muitas vezes não é a capacidade computacional. É a movimentação de dados. Pipelines de treinamento, repositórios de atributos, sistemas de recuperação de informações, bancos de dados vetoriais, ferramentas de observabilidade, chamados de suporte, cópias de segurança e fluxos de avaliação de modelos podem gerar transferências, divulgações ou usos secundários. Uma arquitetura que proteja a privacidade deve mostrar onde os dados entram, como são transformados, quem pode acessá-los, quando são apagados e se alguma vez são enviados para fora do Reino.

Modelos, chips e plataformas

A conformidade saudita em IA não diz respeito apenas às respostas do modelo. Abrange todo o ciclo de vida dos dados que sustenta o sistema.

As plataformas de IA devem permitir rastrear a origem dos dados, aprovar conjuntos de dados, controlar acesso por função, reter e excluir dados, ocultar informações, registrar prompts e respostas quando apropriado, controlar dados de treinamento, manter registros de avaliação e monitorar a segurança. Quando houver dados pessoais, o controlador deve conseguir explicar a finalidade do tratamento, quais dados são tratados, se há dados pessoais sensíveis, como são atendidas as solicitações de exercício de direitos e se ocorre alguma transferência para fora da Arábia Saudita [S1], [S2], [S8].

As cadeias de fornecimento de chips e modelos acrescentam restrições geopolíticas e operacionais. A infraestrutura avançada de IA pode depender de hardware estrangeiro, parcerias de nuvem e suporte técnico transfronteiriço. Isso não torna automaticamente uma implantação incompatível, mas exige uma análise mais rigorosa dos caminhos de acesso, dados de suporte, telemetria, exposição a sanções ou controles de exportação, resposta a incidentes e mecanismos de transferência.

Adoção pelo governo

A adoção governamental eleva o nível de exigência em matéria de conformidade, pois os serviços públicos podem envolver identidade, benefícios, saúde, licenças, educação, justiça, emprego, pagamentos e infraestrutura nacional. Esses sistemas precisam incorporar privacidade e cibersegurança desde a concepção, antes do lançamento.

Para um projeto de dados ou IA no setor público, um pacote de controles consistente costuma incluir:

Políticas e conformidade

Governança de dados

A governança de dados é a camada operacional sob o PDPL e os controles cibernéticos. Sem um inventário e um modelo de classificação, uma organização não consegue decidir com segurança se pode tratar dados pessoais, compartilhar um conjunto de dados, publicar dados abertos, migrar dados para a nuvem, treinar um modelo ou transferir dados para fora do Reino.

Um exemplo de política de classificação de dados adequada à Arábia Saudita deve incluir:

Dados abertos exigem disciplina especial. A política da NDMO apoia a publicação de dados abertos, mas isso não deve se sobrepor a restrições de privacidade, confidencialidade, segurança nacional, caráter comercial ou exigências setoriais. Um conjunto aparentemente inofensivo pode se tornar sensível quando combinado com outros conjuntos, dados de localização, identificadores, registros de transações ou detalhes operacionais [S5], [S10].

Ética em IA

Os princípios éticos de IA da SDAIA reforçam que a governança de IA não é separada da privacidade nem da governança de dados. As equipes devem identificar se um sistema de IA trata dados pessoais, se toma ou apoia decisões sobre indivíduos, se a qualidade ou o viés dos dados pode causar danos, se há possibilidade de contestação ou revisão humana dos resultados e se os usuários entendem o papel do sistema [S8].

Na prática, os princípios fundamentais de privacidade de dados correspondem a controles: limitação de finalidade, minimização, exatidão, segurança, limitação de retenção, transparência, direitos dos titulares e tratamento responsável. Esses princípios ganham importância quando sistemas de IA reutilizam dados para previsões, criação de perfis, personalização, classificação, biometria ou apoio à decisão automatizada.

Normas ISO podem ajudar, mas não substituem os requisitos sauditas. A ISO/IEC 27701 pode apoiar a gestão de informações de privacidade, a ISO/IEC 27001 pode apoiar a gestão da segurança da informação e a ISO/IEC 42001 pode apoiar sistemas de gestão de IA. São estruturas úteis de garantia, não substitutos do PDPL, das políticas da NDMO, dos controles da NCA, dos requisitos da CST ou das regras setoriais.

Privacidade e segurança

A análise do PDPL deve começar pelo mapeamento de papéis. A organização deve saber se atua como controladora, operadora, controladora conjunta, fornecedora, suboperadora, entidade pública ou instituição regulada por setor. Deve identificar categorias de dados pessoais e sensíveis, titulares, destinatários, prazos de retenção e caminhos de transferência [S1], [S2].

A expressão tratar dados pessoais deve ser entendida de forma ampla. Pode incluir coletar, registrar, organizar, armazenar, modificar, recuperar, usar, divulgar, transferir, publicar, excluir ou manipular dados pessoais de qualquer outra forma. Um sistema pode gerar obrigações de privacidade mesmo quando os dados pessoais aparecem apenas em registros de eventos, chamados de suporte, ferramentas analíticas, cópias de segurança, conjuntos de treinamento ou sistemas de gestão de identidade [S1].

A transferência internacional é uma área de alto risco. O PDPL saudita e seus materiais de implementação estabelecem condições para transferir ou divulgar dados pessoais para fora do Reino. Uma análise prática deve verificar a finalidade, a necessidade, o destino, o destinatário, as salvaguardas, os dados sensíveis, transferências subsequentes, acesso de suporte, região de nuvem, localização das cópias de segurança, telemetria e eventual condição mais rigorosa imposta por um regulador ou regra setorial [S1], [S2].

A análise cibernética deve ocorrer em paralelo. Os controles da NCA abrangem governança, gestão de riscos, gestão de ativos, identidade e controle de acesso, proteção, detecção, resposta, recuperação, nuvem e segurança de terceiros. Na prática, os requisitos de proteção cibernética devem ser traduzidos em evidências do sistema: políticas, registros de acesso, configuração de criptografia, relatórios de vulnerabilidades, planos de resposta a incidentes, declarações de fornecedores e procedimentos de recuperação testados [S3], [S4].

O modelo operacional mais seguro usa um único mapa de evidências. As equipes de privacidade, responsáveis por dados, segurança cibernética, arquitetura de nuvem, compras, jurídico e negócio devem conseguir examinar um conjunto de dados ou sistema e identificar sua classificação, a presença de dados pessoais, a análise de licitude do tratamento, os controles cibernéticos, a situação de transferência, a retenção e a possibilidade de publicação.

Implicações para o mercado

Oportunidades para fornecedores

Os compradores sauditas precisam de mais que modelos de políticas. A oportunidade de mercado está em sistemas operacionais que comprovem a conformidade continuamente.

As categorias com maior demanda incluem:

Os fornecedores mais fortes integrarão evidências jurídicas, de privacidade, segurança cibernética, engenharia de dados e compras. Uma ferramenta que apenas produza um aviso de privacidade não resolverá as necessidades de empresas sauditas se não conectar a classificação de dados, os controles cibernéticos, os caminhos de transferência e as evidências de auditoria.

Restrições de talentos, energia e geopolítica

A principal restrição é a capacidade de execução. A conformidade exige profissionais que entendam de direito, cibersegurança, nuvem, engenharia de dados, compras, dados em árabe, processos do setor público e regras setoriais. Uma biblioteca genérica de políticas não basta.

A consulta de busca atribuída, “cybersecurity unemployment rate 2025”, deve ser interpretada com cautela. Não é um indicador padrão de conformidade saudita. A GASTAT publica estatísticas do mercado de trabalho, mas a avaliação da capacidade de pessoal em cibersegurança deve se concentrar na disponibilidade de competências, duração das vagas, dependência de terceirização, capacidade de serviços gerenciados, maturidade dos controles e prontidão para responder a incidentes, em vez de recorrer a uma taxa genérica de desemprego [S11].

Energia e geopolítica também importam. Centros de dados de IA exigem energia, refrigeração, chips, capacidade de rede e cadeias de fornecimento resilientes. Fornecedores estrangeiros de nuvem e IA podem receber perguntas sobre controles de exportação, acesso de suporte, cargas de trabalho sensíveis, alinhamento geopolítico e proteção dos dados de clientes sauditas quando a infraestrutura, os funcionários ou os subprocessadores estão fora do Reino.

Para quem entra no mercado, o conselho prático é simples: trate a conformidade com regras de privacidade e cibersegurança como parte da arquitetura do produto. Quanto antes um fornecedor puder comprovar classificação de dados alinhada à Arábia Saudita, tratamento com proteção da privacidade, controles de transferência, segurança de nuvem e auditabilidade, mais fácil será vender a compradores sauditas exigentes.

Perguntas frequentes

Respostas alinhadas às consultas

O que é o PDPL da Arábia Saudita?

O PDPL é a Lei de Proteção de Dados Pessoais da Arábia Saudita. Ele rege o tratamento de dados pessoais e deve ser lido junto com os materiais oficiais de implementação da SDAIA, não apenas com resumos secundários [S1], [S2].

Como privacidade e dados se relacionam na conformidade saudita?

Privacidade e dados estão relacionados porque as obrigações de privacidade dependem de saber quais dados existem, onde são armazenados, quem é seu titular, quem os acessa, como são classificados e se são pessoais, sensíveis, transferíveis, compartilháveis ou publicáveis [S1], [S5].

O que significa, na prática, ter dados protegidos por privacidade?

Significa que a organização consegue comprovar o tratamento lícito, proteger dados pessoais com medidas de segurança adequadas, respeitar direitos, controlar o acesso, gerir a retenção, lidar com violações e impedir divulgações ou transferências não autorizadas [S1], [S2], [S3].

O que é uma plataforma de dados abertos?

Uma plataforma de dados abertos publica conjuntos de dados aprovados para reutilização pública. Antes da publicação, entidades públicas sauditas devem verificar classificação, privacidade, sensibilidade, titularidade e qualidade [S5], [S10].

Quais são os requisitos de proteção cibernética para sistemas sauditas?

Os requisitos dependem da entidade e do sistema, mas os controles da NCA geralmente abrangem governança, gestão de riscos, controle de ativos, identidade e acesso, criptografia, registros de eventos, gestão de vulnerabilidades, resposta a incidentes, controles de nuvem e segurança de fornecedores [S3], [S4].

A conformidade jurídica com as regras sauditas de privacidade é igual à conformidade com o GDPR?

Não. Os conceitos do GDPR podem ser úteis em programas multinacionais, mas o PDPL saudita, as orientações da SDAIA, as políticas da NDMO, os controles da NCA, as regras de nuvem da CST e as normas setoriais devem ser analisados em seus próprios termos.

O que deve conter um exemplo de política de classificação de dados para a Arábia Saudita?

Uma política útil define categorias de classificação, responsáveis, regras de acesso e tratamento, permissões de compartilhamento, análise para dados abertos, retenção, destruição e etapas de escalonamento. Operadores sauditas devem alinhá-la às exigências de classificação da NDMO ou do cliente [S5].

O que significa tratar dados pessoais?

O tratamento pode incluir coletar, armazenar, usar, modificar, compartilhar, transferir, excluir ou manipular de qualquer outra forma informações relacionadas a uma pessoa identificável. Registros de eventos, chamados de suporte, ferramentas analíticas, cópias de segurança e conjuntos de treinamento de IA também podem ser relevantes [S1].

O que deve incluir uma política de classificação e tratamento de dados?

Ela deve incluir rótulos de classificação, exemplos, responsáveis pelos dados, locais permitidos, níveis de acesso, criptografia, registros de eventos, regras de compartilhamento, restrições de transferência, retenção, destruição e intervalos de revisão.

O que é privacidade de dados pessoais na Arábia Saudita?

É a proteção de informações relacionadas a uma pessoa identificável, nos termos do PDPL saudita e dos materiais de implementação associados. Dados sensíveis, transferências, tratamento de violações e direitos dos titulares exigem atenção especial [S1], [S2].

O que significa ROPA em privacidade de dados?

ROPA é a sigla em inglês para registros das atividades de tratamento. Nas operações sauditas, deve documentar finalidades, categorias de dados e titulares, controladores, operadores, destinatários, períodos de retenção, caminhos de transferência e salvaguardas.

Quais são os princípios fundamentais de privacidade de dados?

Na prática, são limitação de finalidade, minimização, transparência, exatidão, segurança, limitação de retenção, gestão de direitos e responsabilização. Projetos sauditas devem aplicá-los por meio do PDPL e de controles operacionais [S1], [S2].

De onde vêm as diretrizes sauditas de classificação de dados?

Para o setor público e contextos de dados públicos, as Políticas Nacionais de Governança de Dados da NDMO são a principal fonte. Entidades contratantes e reguladores setoriais podem acrescentar regras mais detalhadas de classificação e tratamento [S5].

Qual norma ISO é usada para privacidade de dados?

A ISO/IEC 27701 é comumente usada para a gestão de informações de privacidade; a ISO/IEC 27001 apoia a segurança da informação; e a ISO/IEC 42001 apoia sistemas de gestão de IA. Essas normas podem ajudar a demonstrar garantias, mas não substituem os requisitos legais e regulatórios sauditas.

O que é gestão de dados pessoais?

É o controle operacional dos dados pessoais ao longo da coleta, classificação, uso, acesso, compartilhamento, transferência, retenção, exclusão e atendimento de direitos. É o sistema cotidiano que sustenta a conformidade com o PDPL.

Existe uma taxa de desemprego em cibersegurança para 2025?

Essa consulta não corresponde a um indicador direto de conformidade saudita. Dados do mercado de trabalho podem fornecer contexto, mas o risco de pessoal em cibersegurança deve ser avaliado por competências, vagas, terceirização, capacidade de serviços gerenciados, prontidão para incidentes e maturidade dos controles [S11].

Leituras relacionadas

• Regulação de IA e dados na Arábia Saudita
• Página relacionada: políticas de governança de dados da NDMO e classificação de dados saudita
• Página relacionada: princípios éticos de IA sauditas e governança responsável de IA
• Página relacionada: acompanhamento das políticas sauditas de IA e mapa de reguladores
• Página relacionada: estratégia saudita de nuvem, centros de dados e infraestrutura de IA
• Página relacionada: compras sauditas e acesso de fornecedores estrangeiros
• Página relacionada: trabalho, folha de pagamento, EOR, salários e saudização na Arábia Saudita
• Página relacionada: regulação saudita de cibersegurança e controles de infraestrutura crítica

Fontes

1. https://dgp.sdaia.gov.sa/wps/portal/pdp/knowledgecenter/details/PDPL/
2. https://dgp.sdaia.gov.sa/wps/portal/pdp/knowledgecenter/details/PDPL2/
3. https://nca.gov.sa/en/legislation/
4. https://nca.gov.sa/en/legislation/
5. https://sdaia.gov.sa/ndmo/Files/PoliciesEn001.pdf
6. https://www.cst.gov.sa/en/regulations-and-licenses/regulations/Document-1550/
7. https://dga.gov.sa/en/regulatory-documents/Digital-government-policies
8. https://sdaia.gov.sa/en/SDAIA/about/Documents/ai-principles.pdf
9. https://www.pif.gov.sa/en/news-and-insights/press-releases/2025/hrh-crown-prince-announces-humain-a-pif-company-to-propel-saudi-arabia-as-a-global-leader-in-artificial-intelligence/
10. https://open.data.gov.sa/
11. https://www.stats.gov.sa/documents/d/guest/lms-q1_2025_pr_en-press-release-pdf