Visão geral
A regulação de proteção de dados e privacidade da Arábia Saudita agora se concentra na Lei de Proteção de Dados Pessoais (PDPL), na supervisão da SDAIA, nos controles de cibersegurança e nas regras de transferência internacional de dados. O marco reflete a rápida digitalização do Reino e sua ambição de se tornar um centro regional de tecnologia, inteligência artificial e economia digital.
Administrada pela Autoridade Saudita de Dados e Inteligência Artificial (SDAIA), a PDPL representa a primeira legislação abrangente de proteção de dados do Reino. Ela estabelece direitos individuais sobre dados, obrigações corporativas de conformidade, regras de transferência internacional e requisitos de localização de dados que, em conjunto, alinham o regime saudita de governança de dados aos padrões internacionais. Complementando a PDPL, a Autoridade Nacional de Cibersegurança (NCA) administra um marco regulatório paralelo para a cibersegurança em infraestruturas críticas, órgãos governamentais e entidades do setor privado.
Para empresas que operam no mercado saudita ou o atendem, o panorama regulatório de proteção de dados e cibersegurança agora tem implicações materiais e exigíveis para a conformidade, cada vez mais centrais para o acesso ao mercado e o licenciamento operacional.
Lei de Proteção de Dados Pessoais
Escopo e aplicação
A PDPL aplica-se ao tratamento de dados pessoais realizado na Arábia Saudita e ao tratamento, por entidades localizadas fora do Reino, de dados pessoais de pessoas que residem na Arábia Saudita. Esse alcance extraterritorial significa que empresas internacionais que atendem clientes sauditas ou tratam dados provenientes da Arábia Saudita podem estar sujeitas às obrigações da PDPL, independentemente da localização de sua infraestrutura de tratamento.
Dados pessoais são definidos amplamente e incluem quaisquer dados que possam identificar uma pessoa natural, direta ou indiretamente. Dados pessoais sensíveis — incluindo dados de saúde, genéticos e de crédito, antecedentes criminais, dados que revelem origem racial ou étnica e dados relacionados a crenças religiosas ou políticas — estão sujeitos a proteções reforçadas e condições adicionais de tratamento.
A PDPL aplica-se a entidades dos setores público e privado, embora haja certas exceções para dados tratados exclusivamente para fins pessoais ou familiares, dados tratados por autoridades competentes para fins de segurança e justiça criminal e dados anonimizados que não possam ser reidentificados.
Bases legais para o tratamento
A PDPL estabelece o consentimento como principal base legal para o tratamento de dados pessoais. O consentimento deve ser livre, específico, informado e inequívoco, e pode ser retirado a qualquer momento. A lei também reconhece outras bases legais, incluindo a execução de um contrato, o cumprimento de uma obrigação legal, a proteção de interesses vitais, a realização de uma tarefa de interesse público e os interesses legítimos do controlador, sujeitos a um teste de ponderação em relação aos direitos do titular dos dados.
Para dados pessoais sensíveis, as bases legais são mais restritivas. Em geral, o tratamento exige consentimento explícito ou o atendimento de condições específicas relacionadas à legislação trabalhista, saúde pública, reivindicações jurídicas ou interesse público relevante.
Direitos individuais sobre dados
A PDPL concede aos titulares dos dados um conjunto abrangente de direitos que as entidades devem estar preparadas para viabilizar. Entre eles estão o direito de ser informado sobre as atividades de tratamento, o direito de acessar os dados pessoais mantidos pelo controlador, o direito de corrigir dados inexatos, o direito de eliminar dados pessoais (sujeito a exceções legais), o direito à portabilidade dos dados e o direito de se opor ao tratamento em determinadas circunstâncias.
Os titulares também têm o direito de ser informados sobre violações de dados que representem alto risco para seus direitos e o direito de apresentar reclamações à SDAIA sobre supostas violações da PDPL.
Obrigações corporativas de conformidade
Entidades que tratam dados pessoais devem implementar um programa abrangente de conformidade. As principais obrigações incluem manter registros das atividades de tratamento, realizar avaliações de impacto sobre a proteção de dados para tratamentos de alto risco, nomear um encarregado de proteção de dados quando exigido, implementar medidas técnicas e organizacionais de segurança adequadas, notificar a SDAIA e as pessoas afetadas sobre violações de dados e garantir que operadores de dados (terceiros que tratam dados em nome do controlador) estejam sujeitos a obrigações contratuais que reflitam os requisitos da PDPL.
O princípio da minimização de dados exige que dados pessoais sejam coletados apenas na medida necessária à finalidade especificada e mantidos somente pelo tempo necessário para cumpri-la. As obrigações de privacidade desde a concepção e por padrão exigem que a proteção de dados seja integrada ao desenho de sistemas e processos, e não acrescentada posteriormente.
Supervisão da SDAIA
Papel institucional
A Autoridade Saudita de Dados e Inteligência Artificial é a autoridade supervisora da proteção de dados na Arábia Saudita. Seu mandato vai além da proteção de dados e abrange política de inteligência artificial, governança de dados e desenvolvimento da economia de dados do Reino. Esse mandato duplo reflete o reconhecimento do governo de que proteção de dados e inovação orientada por dados são objetivos complementares, e não concorrentes.
A SDAIA é responsável por emitir regulamentos de implementação e orientações, monitorar a conformidade com a PDPL, investigar reclamações e aplicar penalidades por violações. A autoridade emitiu uma série de regulamentos que detalham requisitos específicos da PDPL, incluindo transferência de dados, gestão de consentimento, notificação de violações e avaliações de impacto sobre a proteção de dados.
Fiscalização e penalidades
A PDPL estabelece um regime de penalidades que inclui multas administrativas de até SAR 5 milhões por violações, com penalidades mais altas para infrações reincidentes ou graves. Violações específicas, como a divulgação não autorizada de dados pessoais sensíveis com intenção de causar dano, podem resultar em sanções criminais, inclusive prisão. A SDAIA pode ordenar a interrupção das atividades de tratamento, a eliminação de dados coletados em violação à lei e a publicação de decisões de fiscalização.
A postura de fiscalização evoluiu: após um período de orientação inicial e conscientização, passou a incluir monitoramento ativo e aplicação das regras. Entidades que ainda não implementaram programas de conformidade com a PDPL enfrentam risco regulatório crescente.
Transferência internacional de dados
Restrições à transferência
A PDPL impõe restrições à transferência de dados pessoais para fora da Arábia Saudita. Transferências internacionais só são permitidas quando o país destinatário oferece nível adequado de proteção de dados, conforme determinação da SDAIA, ou quando há salvaguardas específicas. A SDAIA publicou critérios de avaliação de adequação e identificou mecanismos que podem legitimar transferências na ausência de uma determinação de adequação.
Os mecanismos permitidos incluem regras corporativas vinculantes para transferências intragrupo, cláusulas contratuais padrão aprovadas pela SDAIA e consentimento explícito do titular dos dados, embora o uso exclusivo do consentimento esteja sujeito a limitações. A transferência também deve ser necessária para uma das bases legais reconhecidas de tratamento, e o controlador deve realizar uma avaliação de impacto da transferência quando a adequação da jurisdição de destino não tiver sido estabelecida.
Implicações práticas
Para empresas multinacionais, o regime de transferências internacionais tem implicações operacionais significativas. Fluxos de dados entre operações sediadas na Arábia Saudita e sedes internacionais, prestadores de serviços ou afiliadas precisam ser mapeados e avaliados, e devem contar com mecanismos de transferência adequados. Serviços de computação em nuvem, gestão global de dados de RH, análise de dados de clientes e processamento transfronteiriço de pagamentos exigem estruturação cuidadosa para garantir a conformidade com a PDPL.
Requisitos de localização de dados
A PDPL contém disposições de localização que exigem o armazenamento na Arábia Saudita de determinadas categorias de dados pessoais. As categorias sujeitas a esses requisitos e as condições para concessão de exceções estão especificadas nos regulamentos de implementação da SDAIA.
A localização de dados impulsionou investimentos significativos em centros de dados sauditas, com provedores internacionais de serviços em nuvem estabelecendo ou ampliando instalações locais para atender clientes que precisam manter a residência de dados no Reino. A convergência entre os requisitos de localização e a ambição do Reino de se tornar um centro regional de dados cria obrigações de conformidade e oportunidades comerciais no setor de infraestrutura de dados.
Regulação de cibersegurança
Autoridade Nacional de Cibersegurança (NCA)
Criada por decreto real em 2017, a NCA é a autoridade nacional responsável pela política, regulação e resposta a incidentes de cibersegurança. Seu mandato abrange entidades governamentais, infraestrutura nacional crítica e organizações do setor privado cujas operações sejam essenciais à segurança nacional ou à estabilidade econômica.
Controles Essenciais de Cibersegurança
A NCA emitiu os Controles Essenciais de Cibersegurança (ECC), um conjunto abrangente de requisitos aplicáveis a todas as entidades governamentais e operadoras de infraestrutura crítica. Os ECC abrangem governança de cibersegurança, gestão de ativos, identidade e controle de acesso, proteção da informação, segurança de redes e aplicações, gestão de incidentes e continuidade dos negócios.
A conformidade com os ECC é obrigatória para as entidades abrangidas, e a NCA realiza avaliações para verificá-la. O descumprimento pode resultar em medidas de fiscalização, incluindo restrições operacionais e penalidades.
Cibersegurança setorial
Além dos ECC, há regulamentos de cibersegurança específicos para instituições financeiras (no âmbito do Marco de Cibersegurança do SAMA), prestadores de serviços de saúde, operadoras de telecomunicações e entidades do setor de energia. Esses marcos setoriais partem da base dos ECC e acrescentam requisitos adaptados aos perfis de risco e às características operacionais de cada setor.
O marco de cibersegurança do setor financeiro, administrado pelo SAMA, é particularmente abrangente e trata de governança da segurança da informação, gestão de riscos cibernéticos, operações de segurança, gestão de segurança de terceiros e comunicação de incidentes cibernéticos.
Proteção de infraestrutura crítica
A NCA designou setores de infraestrutura nacional crítica e estabeleceu requisitos reforçados de cibersegurança para as entidades que neles operam. O processo de designação considera o possível impacto de uma interrupção na segurança nacional, na segurança pública, na estabilidade econômica e no bem-estar público. Operadoras de infraestrutura crítica estão sujeitas a requisitos mais rigorosos de monitoramento, comunicação e resposta a incidentes.
Interação com outros marcos regulatórios
As obrigações de proteção de dados e cibersegurança interagem com outros requisitos regulatórios em várias dimensões. Dados do setor financeiro estão sujeitos tanto à PDPL quanto aos marcos de governança de dados e cibersegurança do SAMA. Dados de saúde estão sujeitos à PDPL e aos regulamentos de dados do setor de saúde. Dados de emprego devem cumprir os requisitos da PDPL e as disposições da legislação trabalhista sobre privacidade de empregados.
A interação entre a PDPL e os regulamentos setoriais exige análise cuidadosa para garantir que a conformidade com um marco não gere conflitos com outro. A SDAIA indicou sua intenção de emitir orientações sobre a interação entre a PDPL e os regulamentos setoriais de dados para reduzir a complexidade da conformidade.
Perspectivas
O panorama regulatório de proteção de dados e cibersegurança na Arábia Saudita continuará evoluindo rapidamente. A SDAIA indicou planos para emitir regulamentos adicionais sobre inteligência artificial, tomada de decisões automatizada e uso de dados pessoais em contextos de tecnologias emergentes. A NCA está ampliando progressivamente o escopo de seus marcos de cibersegurança e aprofundando sua capacidade de fiscalização.
Para as empresas, a trajetória é clara: a governança de dados está se tornando uma área material de conformidade que exige recursos dedicados, estruturas de governança e capacidades técnicas. A ambição do Reino de desenvolver uma economia orientada por dados e tornar-se um centro regional de inteligência artificial e serviços digitais cria um ambiente regulatório em que uma proteção robusta de dados é tanto uma obrigação de conformidade quanto um diferencial competitivo.
Empresas que investirem em programas abrangentes de proteção de dados e cibersegurança estarão mais bem posicionadas para acessar contratos governamentais — nos quais a conformidade é cada vez mais um pré-requisito de contratação —, desenvolver a confiança de consumidores e parceiros comerciais sauditas e navegar pelo cenário regulatório em evolução sem interrupções. O custo do descumprimento — penalidades financeiras, restrições operacionais e danos à reputação — cresce em paralelo à sofisticação da capacidade de fiscalização da SDAIA e da NCA.