Conformidade com a PDPL da Arábia Saudita com a ConsentX

O que é a Lei de Proteção de Dados Pessoais da Arábia Saudita?

A Lei de Proteção de Dados Pessoais da Arábia Saudita, comumente chamada de PDPL saudita, estabelece regras para proteger dados pessoais e regular seu tratamento.

A lei define dados pessoais de forma ampla. Abrange informações capazes de identificar uma pessoa direta ou indiretamente, incluindo nomes, números de identificação, endereços, números de contato, números de licença, bens pessoais, números bancários e de cartão de crédito, fotografias, vídeos e outras informações de natureza pessoal.

O tratamento também é definido de forma ampla e inclui atividades como:

• Coleta
• Registro
• Armazenamento
• Organização
• Estruturação
• Modificação
• Recuperação
• Uso
• Divulgação
• Transferência
• Compartilhamento
• Destruição

Isso significa que as organizações devem considerar a conformidade com a PDPL ao longo de todo o ciclo de vida dos dados pessoais.

Quando a PDPL saudita entrou em vigor?

A PDPL saudita entrou em vigor em 14 de setembro de 2023.

O marco foi posteriormente complementado pelo Regulamento de Execução e por instrumentos regulatórios relacionados. Os materiais de conformidade atuais da SDAIA tratam a PDPL e o Regulamento de Execução como o núcleo do marco que rege a proteção de dados pessoais na Arábia Saudita.

As organizações devem, portanto, avaliar a conformidade à luz da lei vigente e dos requisitos de execução, em vez de tratar a PDPL como uma regulamentação futura.

A PDPL saudita se aplica a empresas fora da Arábia Saudita?

Sim, em determinadas circunstâncias.

O artigo 2.º aplica a lei ao tratamento de dados pessoais de pessoas residentes na Arábia Saudita quando esse tratamento é realizado por uma parte fora do Reino.

Isso pode ser particularmente relevante para empresas internacionais que utilizam:

• Plataformas globais de CRM
• Infraestrutura internacional de nuvem
• Serviços de analytics
• Plataformas de publicidade
• Sistemas globais de suporte ao cliente
• Plataformas internacionais de RH
• Aplicações SaaS
• Sistemas de automação de marketing

Organizações fora da Arábia Saudita devem, portanto, avaliar se suas atividades de tratamento se enquadram no âmbito territorial da PDPL.

O que são dados pessoais segundo a PDPL saudita?

Dados pessoais incluem informações capazes de identificar uma pessoa de forma específica ou de tornar sua identificação possível, direta ou indiretamente.

Exemplos incluem:

• Nome
• Número nacional de identificação
• Endereço
• Número de telefone
• Endereço de e-mail
• Números de licença
• Informações de registro
• Informações sobre bens pessoais
• Informações de conta bancária
• Informações de cartão de crédito
• Fotografias
• Vídeos
• Outras informações identificadoras

A lei é neutra em relação à tecnologia, portanto as organizações não devem supor que apenas bancos de dados tradicionais ou registros em papel estão abrangidos.

O que são dados pessoais sensíveis?

Dados pessoais sensíveis recebem proteção adicional no marco da PDPL saudita.

Informações sensíveis podem incluir dados relativos a questões como:

• Origem racial ou étnica
• Crenças religiosas, filosóficas ou políticas
• Antecedentes criminais ou processos penais
• Dados biométricos usados para identificação
• Dados genéticos
• Dados de saúde
• Informações sobre filiação

O marco regulatório impõe restrições adicionais ao tratamento de dados pessoais sensíveis. Por exemplo, a base do legítimo interesse não pode ser usada para tratar dados pessoais sensíveis.

Bases legais para o tratamento segundo a PDPL saudita

A PDPL saudita não exige consentimento para toda atividade de tratamento.

O artigo 5.º estabelece o consentimento como regra geral, enquanto o artigo 6.º identifica circunstâncias em que o tratamento não está sujeito a essa exigência. Entre elas, situações em que:

• O tratamento atende aos interesses reais do titular, mas o contato é impossível ou difícil
• O tratamento é exigido por outra lei
• O tratamento é necessário para executar acordo anterior do qual o titular é parte
• Uma entidade pública trata dados para necessidades de segurança ou judiciais
• O tratamento é necessário para os legítimos interesses do controlador, desde que os direitos e interesses do titular não sejam prejudicados e não haja tratamento de dados sensíveis

O Regulamento de Execução prevê controles e condições adicionais.

As organizações devem, portanto, documentar a base legal de cada atividade de tratamento em vez de presumir que todo tratamento deve se basear em consentimento.

Consentimento segundo a PDPL saudita

Quando o consentimento é a base legal aplicável, as organizações devem obtê-lo em conformidade com a PDPL e o Regulamento de Execução.

O artigo 5.º dispõe que, em regra, dados pessoais não podem ser tratados, nem sua finalidade alterada, sem o consentimento do titular, salvo nas hipóteses previstas em lei. Também assegura a possibilidade de o titular retirar o consentimento.

Um processo de consentimento em conformidade deve permitir demonstrar:

• Quem forneceu o consentimento
• Quando o consentimento foi fornecido
• Quais finalidades de tratamento foram apresentadas
• Quais categorias de dados estavam envolvidas
• Quais escolhas foram selecionadas
• Qual versão do aviso ou da interface de consentimento foi exibida
• Se o consentimento foi posteriormente retirado

O consentimento deve ser específico para o tratamento correspondente e não deve ser usado como autorização genérica para finalidades não relacionadas.

O consentimento pode ser condição para receber um serviço?

Nem sempre.

O artigo 7.º dispõe que o consentimento não pode ser condição para a prestação de um serviço ou benefício, salvo se esse serviço ou benefício estiver diretamente relacionado ao tratamento para o qual o consentimento é obtido.

As organizações devem, portanto, avaliar se os pedidos de consentimento são realmente opcionais ou se estão sendo indevidamente vinculados a serviços não relacionados.

Retirada do consentimento

Os titulares podem retirar o consentimento a qualquer momento quando o tratamento se basear nele, observados os controles regulatórios aplicáveis.

As organizações devem, portanto, oferecer um mecanismo prático para que os usuários possam:

• Revisar suas escolhas de consentimento
• Retirar o consentimento
• Alterar as finalidades selecionadas
• Interromper o marketing correspondente
• Atualizar preferências

A retirada do consentimento também deve se refletir nos sistemas subsequentes cujo tratamento continuado dependa desse consentimento.

Avisos de privacidade segundo a PDPL saudita

Os controladores devem fornecer uma política de privacidade e disponibilizá-la aos titulares antes de coletar seus dados pessoais.

A política de privacidade deve abordar, entre outros pontos:

• Finalidade da coleta
• Dados pessoais coletados
• Métodos utilizados para a coleta
• Tratamento
• Armazenamento
• Destruição
• Direitos dos titulares
• Como esses direitos podem ser exercidos

O artigo 13.º também exige que organizações que coletam dados diretamente dos titulares forneçam informações adicionais, incluindo a base legal, a finalidade, os dados obrigatórios e opcionais, os destinatários relevantes, as transferências internacionais, as possíveis consequências de não fornecer os dados e os direitos aplicáveis.

Um aviso de privacidade da PDPL deve, portanto, ser específico das operações reais de tratamento da organização, e não uma declaração genérica de privacidade.

Minimização de dados e limitação de finalidade

A PDPL exige que a coleta de dados pessoais esteja vinculada às finalidades do controlador.

A lei exige que o volume de dados pessoais coletados seja adequado e limitado ao mínimo necessário para alcançar a finalidade da coleta. Quando os dados pessoais deixarem de ser necessários para a finalidade original, a coleta deve cessar e os dados previamente coletados devem ser destruídos, observados os requisitos aplicáveis.

As organizações devem revisar periodicamente:

• Quais campos são coletados
• Por que cada campo é coletado
• Se as informações opcionais são realmente necessárias
• Se os dados são reutilizados para outra finalidade
• Se os prazos de retenção continuam justificados
• Se as informações podem ser anonimizadas ou pseudonimizadas

Exatidão dos dados

Os controladores devem adotar medidas suficientes para verificar se os dados pessoais são:

• Exatos
• Completos
• Atualizados
• Relevantes para a finalidade da coleta

A PDPL também exige que os controladores comuniquem correções, complementos ou atualizações às demais entidades para as quais os dados pessoais tenham sido transferidos, observados os requisitos aplicáveis.

Direitos dos titulares segundo a PDPL saudita

A PDPL saudita assegura às pessoas diversos direitos sobre seus dados pessoais.

Direito à informação. As pessoas têm direito a informações sobre a base legal e a finalidade da coleta de seus dados pessoais.

Direito de acesso. Os titulares podem solicitar acesso aos dados pessoais mantidos pelo controlador, observadas as limitações aplicáveis.

Direito de obter os dados. As pessoas podem solicitar seus dados pessoais em formato legível e claro, observados os controles aplicáveis.

Direito de correção. As pessoas podem solicitar a correção, o complemento ou a atualização de seus dados pessoais.

Direito à destruição. As pessoas podem solicitar a destruição de dados pessoais quando estes não forem mais necessários, observadas as exceções e obrigações de retenção previstas em lei.

Direito de retirar o consentimento. Quando o tratamento se baseia em consentimento, o titular pode retirá-lo.

Direito de reclamar. O titular pode apresentar reclamação à autoridade competente sobre a aplicação da PDPL e de seus regulamentos.

Direito à indenização. Pessoas que sofram danos decorrentes de infrações qualificadas podem buscar indenização proporcional por dano material ou moral perante o tribunal competente.

Divulgação de dados segundo a PDPL saudita

Em regra, os controladores não podem divulgar dados pessoais, salvo nas hipóteses permitidas pela PDPL.

Essas hipóteses podem incluir:

• Consentimento do titular
• Dados obtidos de fonte publicamente acessível
• Determinadas exigências de entidades públicas
• Situações de saúde ou segurança públicas
• Proteção da vida ou da saúde
• Tratamento que impede a identificação
• Determinadas situações de legítimo interesse em que não há tratamento de dados sensíveis

Restrições adicionais se aplicam quando a divulgação possa afetar a segurança nacional, as relações internacionais, investigações criminais, a segurança de uma pessoa, a privacidade de terceiros, obrigações profissionais ou outros interesses protegidos.

Marketing direto segundo a PDPL saudita

A PDPL saudita contém requisitos específicos para materiais publicitários e de conscientização enviados por canais pessoais de comunicação.

Salvo determinados materiais de conscientização de entidades públicas, os controladores não podem, em regra, usar canais pessoais de comunicação, como e-mail ou correio, para enviar materiais publicitários ou de conscientização sem consentimento prévio.

O remetente também deve oferecer um mecanismo claro pelo qual o destinatário possa solicitar a interrupção dessas comunicações.

A PDPL prevê separadamente que dados pessoais podem ser tratados para fins de marketing quando coletados diretamente do titular e mediante consentimento, nos termos da lei e dos regulamentos. Dados sensíveis estão excluídos dessa previsão de marketing.

Cookies e tecnologias de rastreamento

A PDPL saudita deve ser considerada quando sites e aplicativos utilizam cookies, pixels, SDKs, tecnologias de publicidade, ferramentas de analytics e outras tecnologias de rastreamento que tratam dados pessoais.

As organizações devem avaliar:

• Se um cookie ou rastreador trata dados pessoais
• Quais informações são coletadas
• A finalidade do tratamento
• A base legal aplicável
• Se o consentimento é exigido
• Se terceiros recebem as informações
• Se as informações saem da Arábia Saudita
• Se a tecnologia é usada para marketing ou perfilamento
• Por quanto tempo as informações são retidas

Um banner de cookies, isoladamente, não estabelece conformidade completa com a PDPL. As organizações devem combinar gestão de consentimento com avisos de privacidade, governança de dados, gestão de fornecedores, controles de segurança e processos para direitos dos titulares.

Encarregado de Proteção de Dados segundo a PDPL saudita

A PDPL saudita e o Regulamento de Execução preveem a nomeação de um Encarregado de Proteção de Dados Pessoais (DPO) nas hipóteses previstas.

A SDAIA emitiu regras específicas sobre a nomeação de encarregados de proteção de dados pessoais. Os requisitos de DPO devem ser avaliados com base nas atividades da organização e nas circunstâncias especificadas pelo Regulamento de Execução.

Quando exigido, o DPO pode apoiar atividades como:

• Monitorar a conformidade
• Assessorar sobre requisitos de privacidade
• Apoiar políticas de proteção de dados
• Acompanhar os direitos dos titulares
• Apoiar avaliações de impacto
• Coordenar-se com a SDAIA
• Apoiar processos de resposta a incidentes
• Monitorar registros de tratamento

As organizações não devem presumir que todo controlador tem a mesma obrigação de designar um DPO.

Avaliações de Impacto sobre a Proteção de Dados

A PDPL saudita exige que os controladores realizem uma avaliação de impacto do tratamento de dados pessoais relacionado a produtos ou serviços, conforme a natureza de sua atividade e os requisitos regulatórios aplicáveis.

A avaliação deve considerar fatores como:

• Finalidade do tratamento
• Tipo e volume de dados pessoais
• Categorias de titulares
• Métodos de tratamento
• Riscos potenciais
• Medidas de segurança
• Retenção de dados
• Divulgações a terceiros
• Transferências internacionais
• Medidas para reduzir os riscos identificados

As organizações devem integrar as avaliações de impacto ao desenvolvimento de produtos e serviços, em vez de tratá-las como exercício de conformidade puramente retrospectivo.

Segurança dos dados pessoais

Os controladores devem implementar medidas organizacionais, administrativas e técnicas para proteger dados pessoais, inclusive durante transferências.

As orientações atuais da SDAIA identificam princípios como integridade e confidencialidade, exigindo controles de segurança adequados para proteger dados pessoais contra perda, destruição ou dano.

As medidas de segurança podem incluir:

• Controles de acesso
• Autenticação
• Criptografia
• Monitoramento
• Armazenamento seguro
• Gestão de vulnerabilidades
• Resposta a incidentes
• Controles de confidencialidade dos colaboradores
• Avaliações de segurança de fornecedores
• Procedimentos de backup e recuperação
• Minimização de dados
• Exclusão segura

Os controles adequados devem refletir a natureza e os riscos do tratamento.

Notificação de incidentes com dados pessoais

Os controladores devem notificar a autoridade competente ao tomarem conhecimento de violação, dano ou acesso ilícito a dados pessoais, conforme os requisitos regulatórios aplicáveis.

Também devem notificar os titulares afetados quando o incidente puder causar dano aos seus dados ou prejudicar seus direitos e interesses.

As organizações devem manter um processo documentado de resposta a incidentes que abranja:

• Detecção
• Contenção
• Avaliação inicial
• Análise de riscos
• Documentação
• Notificação regulatória
• Notificação aos titulares quando exigida
• Remediação
• Revisão pós-incidente

Os prazos e limiares de notificação aplicáveis devem ser avaliados à luz do Regulamento de Execução vigente e dos procedimentos da SDAIA.

Registros das atividades de tratamento

Os controladores devem manter registros das atividades de tratamento de dados pessoais conforme a lei e o Regulamento de Execução.

As orientações atuais da SDAIA indicam que os registros das atividades de tratamento devem ser mantidos por cinco anos após a cessação de cada atividade de tratamento.

Os registros devem conter informações como:

• Dados de contato do controlador
• Finalidades do tratamento
• Categorias de titulares
• Entidades às quais os dados foram ou serão divulgados
• Transferências internacionais
• Prazo de retenção previsto

Esses registros devem estar disponíveis à autoridade competente quando solicitados.

Registro Nacional de Controladores

A SDAIA mantém um Registro Nacional de Controladores por meio da National Data Governance Platform.

As regras atuais de registro identificam categorias de controladores que devem se registrar, incluindo:

• Entidades públicas
• Controladores cuja atividade principal se baseia no tratamento de dados pessoais
• Controladores que tratam dados sensíveis
• Pessoas físicas que tratam dados pessoais para finalidades que ultrapassam o uso pessoal ou familiar

Segundo a SDAIA, o Registro Nacional destina-se a apoiar o monitoramento e o acompanhamento dos controladores e de sua conformidade com a PDPL e o Regulamento de Execução. A SDAIA também oferece processos de registro para organizações estrangeiras.

Controladores e operadores

A PDPL saudita distingue as responsabilidades das organizações que determinam como e por que os dados pessoais são tratados daquelas que tratam dados em seu nome.

Os controladores devem selecionar operadores que ofereçam as garantias necessárias para a implementação da PDPL e do Regulamento de Execução e devem monitorar a conformidade do operador.

As organizações devem, portanto, realizar a devida diligência sobre operadores e assegurar que os contratos tratem de:

• Instruções de tratamento
• Confidencialidade
• Segurança
• Suboperadores
• Retenção de dados
• Exclusão de dados
• Solicitações de titulares
• Gestão de incidentes
• Transferências internacionais
• Obrigações de auditoria e conformidade

Transferências internacionais de dados

A PDPL saudita contém disposições específicas que regem transferências e divulgações de dados pessoais para fora da Arábia Saudita.

O artigo 29.º permite transferências ou divulgações para fora do Reino em hipóteses específicas e impõe condições relativas a:

• Segurança nacional
• Interesses vitais do Reino
• Proteção adequada
• Minimização de dados

A lei também prevê uma exceção para casos de extrema necessidade envolvendo a vida ou os interesses vitais de um titular ou a prevenção, o exame ou o tratamento de doença.

O Regulamento sobre Transferência de Dados Pessoais para Fora do Reino, em separado, estabelece requisitos e mecanismos adicionais para transferências internacionais. A SDAIA identifica esse regulamento como parte do atual marco saudita de proteção de dados. Organizações que utilizam provedores internacionais de nuvem, plataformas de analytics, sistemas de CRM, serviços de publicidade ou infraestrutura global de SaaS devem, portanto, mapear seus fluxos internacionais de dados.

Retenção e destruição de dados

As organizações não devem reter dados pessoais indefinidamente.

A PDPL exige que os controladores deixem de coletar dados pessoais e destruam os dados previamente coletados quando estes não forem mais necessários para a finalidade da coleta, observados os requisitos e exceções aplicáveis.

As organizações devem estabelecer cronogramas de retenção que abranjam:

• Informações de clientes
• Dados de colaboradores
• Dados de marketing
• Registros de consentimento
• Informações de analytics
• Registros de suporte
• Registros financeiros
• Registros jurídicos
• Solicitações de titulares
• Registros de tratamento

A SDAIA também publica orientações sobre destruição, anonimização e pseudonimização de dados pessoais.

Dados de saúde e dados de crédito

Determinadas categorias de dados pessoais recebem tratamento regulatório adicional.

A PDPL prevê controles adicionais para dados de saúde, incluindo restrições ao acesso e ao tratamento por empregados e trabalhadores, limitados ao mínimo necessário para a prestação de serviços de saúde ou programas de seguro-saúde.

A lei também contém requisitos adicionais para dados de crédito, incluindo exigências de consentimento expresso e de notificação em hipóteses específicas.

Organizações que atuam em saúde, serviços financeiros, seguros, crédito e setores correlatos devem considerar a PDPL em conjunto com os requisitos setoriais sauditas.

Quem fiscaliza a PDPL saudita?

A Saudi Data & AI Authority (SDAIA) é responsável por supervisionar a implementação da PDPL e de suas alterações e opera a National Data Governance Platform.

A SDAIA disponibiliza às organizações:

• O texto da PDPL
• O Regulamento de Execução
• Os regulamentos de transferência internacional
• Orientações de conformidade
• Registro de controladores
• Orientações sobre o DPO
• Orientações sobre registros de tratamento
• Serviços relacionados a incidentes
• Recursos de proteção de dados

O atual centro de conhecimento da SDAIA identifica a PDPL, o Regulamento de Execução e o regulamento de transferências internacionais como elementos centrais do marco saudita de proteção de dados.

Checklist de conformidade com a PDPL saudita

Organizações que atuam na Arábia Saudita devem considerar o seguinte.

• Determinar se a PDPL é aplicável
• Mapear o tratamento de dados pessoais
• Identificar controladores e operadores
• Documentar as finalidades do tratamento
• Identificar a base legal aplicável
• Revisar os mecanismos de consentimento
• Obter consentimento expresso quando exigido
• Disponibilizar uma política de privacidade adequada
• Fornecer as informações de coleta exigidas
• Identificar dados pessoais sensíveis
• Revisar as práticas de marketing direto
• Estabelecer procedimentos para os direitos dos titulares
• Oferecer mecanismos de retirada de consentimento
• Revisar os prazos de retenção
• Implementar procedimentos de destruição segura
• Manter registros das atividades de tratamento
• Avaliar os requisitos de DPO
• Avaliar os requisitos do Registro Nacional
• Realizar as avaliações de impacto exigidas
• Implementar controles de segurança
• Estabelecer procedimentos de resposta a incidentes
• Revisar as transferências internacionais de dados
• Implementar as salvaguardas de transferência aplicáveis
• Revisar os contratos com operadores
• Escanear os sites em busca de cookies e rastreadores
• Identificar tecnologias de marketing e analytics
• Impedir que as tecnologias aplicáveis operem antes do consentimento exigido
• Manter registros de consentimento auditáveis