Förstå Saudiarabiens lag om skydd av personuppgifter (PDPL)

Saudiarabiens lag om skydd av personuppgifter (PDPL) fastställer obligatoriska regler för hur organisationer samlar in, använder, lagrar, delar och överför personuppgifter. Den fastställer individuella rättigheter och tydligt ansvar för registeransvariga och registerförare.

För CISO:er, compliance-chefer och IT-chefer som är verksamma i Saudiarabien erbjuder PDPL en pragmatisk plan för att minska integritetsrisker, visa på tillbörlig aktsamhet och vinna förtroende från kunder, anställda och tillsynsmyndigheter. Med strängare tillsyn och ökade förväntningar från partners och revisorer bör implementeringen av PDPL vara ett centralt affärsmål.

Även om PDPL är inspirerad av globala integritetsstandarder är den inte en kopia av GDPR. Strukturen och de centrala idéerna känns bekanta, till exempel modellen för registeransvarig och registerförare, individuella rättigheter, ändamålsbegränsning och säkerhetskrav. PDPL är mer normativ på vissa områden, såsom tidsfrister för rapportering av överträdelser och överföringsbegränsningar, och den innehåller lokala nyanser när det gäller myndigheters tillgång, bosättning och samtyckesvillkor. För team som redan arbetar med GDPR kommer PDPL att kännas igen, men den kräver en egen operativ tolkning.

Denna guide översätter PDPL till praktiska åtgärder. Den täcker omfattning, roller, rättsliga grunder, principer, rättigheter, styrning, säkerhet, tredje parter och tillämpning.

Läs också: Jämförelse mellan PDPL och GDPR

Översikt: mål och principer

PDPL:s tillämpningsområde är uppbyggt kring följande kärnbegrepp som gäller för alla branscher och teknikstackar:

• Roller och ansvarsområden
• Rättsliga grunder och behandlingsprinciper
• Den registrerades rättigheter
• Styrning och dokumentation
• Säkerhet och hantering av säkerhetsöverträdelser
• Internationella överföringar
• Övervakning och sanktioner

Lagens mål är tydliga. Den:

• Ger individer meningsfull kontroll över sina personuppgifter
• Kräver rättvis och transparent behandling kopplad till legitima syften
• Begränsningar för insamling och lagring
• Kräver lämplig säkerhet
• Och klargör hur ansvaret fördelas mellan registeransvariga och registerförare. 

Tillsynsmyndigheterna har befogenhet att utreda och bestraffa överträdelser utifrån principen om evidensbaserad efterlevnad.

‍

Omfattning, definitioner och roller

PDPL gäller all behandling av personuppgifter i Saudiarabien och viss behandling utanför kungariket som riktar sig till personer inom kungariket. Offentliga organ, privata företag, ideella organisationer och utländska enheter kan alla omfattas. Rent personliga eller hushållsrelaterade aktiviteter som inte innebär publicering eller bred spridning omfattas inte.

Personuppgifter omfattar all information som direkt eller indirekt identifierar individer. Utöver uppenbara identifierare (namn, nationella ID-nummer, kontaktuppgifter) omfattar PDPL även enhetsidentifierare, exakt plats och kombinerade datamängder där individer rimligen kan identifieras. Data som har anonymiserats på ett oåterkalleligt sätt omfattas inte av PDPL.

Lagen skiljer mellan personuppgiftsansvariga (som bestämmer ändamålen och medlen för behandlingen) och personuppgiftsbiträden (som behandlar uppgifterna på uppdrag av de personuppgiftsansvariga). De personuppgiftsansvariga har det primära ansvaret. Personuppgiftsbiträdena måste följa dokumenterade instruktioner och får inte använda uppgifterna för egna ändamål. Rollfördelningen varierar ofta beroende på behandlingsaktiviteten.

Även med en begränsad lokal närvaro utgör PDPL en stark referenspunkt för integritetsstyrning. För organisationer som är verksamma i Saudiarabien kommer harmoniseringen av PDPL-kontroller att förbättra revisionsberedskapen och påskynda partnerdue diligence. Detta kommer att vara särskilt fördelaktigt om organisationen redan följer GDPR eller ISO/IEC 27701.

Rättslig grund och samtycke

Varje behandlingsaktivitet ska ha en laglig grund. Vanliga grunder är uttryckligt samtycke, fullgörande av ett avtal, efterlevnad av en rättslig förpliktelse, skydd av livsviktiga intressen och berättigade intressen som inte åsidosätter individens rättigheter. Organisationer ska koppla varje behandlingsaktivitet till en laglig grund och dokumentera motiveringen.

Samtycke enligt PDPL måste vara uttryckligt, specifikt och informerat. Förmarkerade rutor eller tystnad är inte giltiga. Individer måste enkelt kunna återkalla sitt samtycke. När samtycket återkallas ska den samtyckesberoende behandlingen upphöra, såvida inte någon annan laglig grund är tillämplig.

Bearbetningsprinciper i praktiken

Behandlingen enligt PDPL förväntas vara rättvis och transparent, kopplad till tydliga och legitima syften och begränsad till vad som är nödvändigt.

Krav på datakvalitet innebär att register ska underhållas på rätt sätt och hållas uppdaterade. Lagen ställer också krav på lagringsbegränsningar.

Radering eller anonymisering krävs när syftet har uppfyllts, såvida inte lagstiftningen föreskriver längre lagringstid.

Åtgärder för datasäkerhet ska vara anpassade till behandlingens art, omfattning och risker.

I praktiken kräver lagen att syftet med datainsamlingen definieras på en praktisk nivå. Detta kan uppnås genom att till exempel standardisera formulär och konfigurera API:er för att minimera antalet fält som samlas in. Analyser kan struktureras med standardkonfigurationer för integritetsskydd. Lagringsscheman bör anpassas efter juridiska och affärsmässiga behov.

Dessa metoder gynnar organisationer genom att minska risker, förbättra datakvaliteten och förenkla revisioner.

Den registrerades rättigheter och hantering

Individer har rätt att informeras om behandlingen, att få tillgång till sina uppgifter och att korrigera felaktigheter. De kan begära radering i vissa situationer, till exempel när uppgifterna inte längre behövs, har samlats in på ett olagligt sätt eller när samtycket har återkallats och ingen annan laglig grund finns. Om lagring krävs enligt lag eller är nödvändig för att fastställa eller försvara rättsliga anspråk, ska skälen och omfattningen dokumenteras.

PDPL stöder också invändningar mot viss behandling, särskilt direktmarknadsföring. Enskilda personer kan begära begränsning av behandlingen, vilket vanligtvis innebär att uppgifterna behålls men inte används aktivt medan en tvist utreds. Organisationer bör ha en tydlig process för mottagande, verifiering, vidarebefordran och uppföljning med granskbara tidsplaner och resultat.

Styrning, dokumentation och ansvarsskyldighet

Ledningen förväntas tilldela roller och ansvar för dataskydd, tillhandahålla resurser och stödja utbildning. I många fall kommer det att vara nödvändigt att utse en dataskyddsombud (eller motsvarande) som kan ge råd om efterlevnad, övervaka rutiner och fungera som kontaktperson gentemot myndigheten.

Personuppgiftsansvariga kan förväntas föra register över behandlingsaktiviteter (RoPA) som beskriver datakategorier, syften, registrerade, mottagare, överföringar, lagringstider och säkerhetsåtgärder.

För behandling som kan medföra hög risk för enskilda personer förväntas dataskyddsombud genomföra konsekvensbedömningar avseende dataskydd (DPIA) för att analysera nödvändighet, proportionalitet, risker och riskreducerande åtgärder. Interna revisioner bör kontrollera att rutinerna överensstämmer med policy och dokumentation.

Säkerhet, incidenthantering och anmälan av intrång

PDPL kräver lämpliga tekniska och organisatoriska åtgärder som står i proportion till risken.

Vanliga tekniska kontroller omfattar:

• Kryptering
• åtkomstkontroll
• loggning och övervakning
• nätverkssegmentering
• säkra utvecklingsmetoder.

Organisatoriska kontroller omfattar:

•  rollbaserad åtkomst
• uppdelning av arbetsuppgifter
• leverantörsriskhantering
• riktad medvetenhet

Personuppgiftsincidenter som leder till förlust, ändring, obehörigt röjande eller obehörig åtkomst kräver strukturerade åtgärder. Planer för hantering av incidenter bör omfatta upptäckt, begränsning, utredning, åtgärdande och anmälan. De behöriga myndigheterna bör omedelbart underrättas när det finns risk för skada för enskilda personer. Berörda personer bör också utan dröjsmål underrättas när de kan behöva vidta skyddsåtgärder om de drabbas av en personuppgiftsincident. Personuppgiftsbiträden bör utan onödigt dröjsmål underrätta personuppgiftsansvariga om incidenter.

Internationella överföringar och tredje part

PDPL begränsar överföringar av personuppgifter utanför Saudiarabien, såvida inte skyddet förblir jämförbart. Vissa överföringar baseras på beslut om adekvat skyddsnivå, medan andra kräver avtalsenliga skyddsåtgärder eller bindande interna regler. I vissa fall kan uttryckligt samtycke användas.

För att följa lagen krävs en bedömning av destinationens rättsliga och praktiska miljö. Säkerhetsåtgärderna bör dokumenteras och granskas regelbundet.

Avtal mellan registeransvariga och personuppgiftsbiträden bör specificera ämne, varaktighet, art, syfte, datatyper, sekretess, säkerhet, villkor för vidarebehandling, revisionsrättigheter och återlämnande eller radering av data vid avtalets upphörande. Det bör finnas en tydlig och transparent rättslig grund för utbyte av data med andra registeransvariga.

Ansvaret för hantering av rättigheter och säkerhet bör definieras, och aktuella datakartor och kontraktsförteckningar bör inte delas.

Övervakning, tillämpning och sanktioner

En kompetent tillsynsmyndighet utfärdar föreskrifter och riktlinjer, genomför inspektioner, begär information och granskar dokumentation. Organisationer bör följa uppdateringar av både primärlagstiftningen och tillämpningsföreskrifterna och anpassa sina rutiner därefter. Transparent och snabb kommunikation samt bevis på att man i god tro följer reglerna kan minska risken för påföljder i fall där lagen inte har följts korrekt.

Sanktionerna sträcker sig från korrigerande åtgärder till administrativa böter. Faktorer som beaktas är överträdelsernas art och allvar, varaktighet, antal berörda personer och tidigare historik. Överträdelser av lagen kan också leda till kostnader i form av försämrat anseende och driftskostnader. 

Hur man implementerar PDPL i sin organisation

En strukturerad, riskbaserad strategi gör det möjligt för små och medelstora team att effektivt implementera PDPL och samtidigt bygga upp revisionsklara bevis.

Omfattning och karta

Identifiera alla behandlingsaktiviteter, system och leverantörer som hanterar personuppgifter om individer i Saudiarabien. För varje aktivitet ska du registrera rollen som personuppgiftsansvarig eller personuppgiftsbiträde, syfte, rättslig grund, datatyper, mottagare, överföringar och regler för lagring. Detta blir stommen i din RoPA och synliggör högriskbehandling, inklusive områden som kan behöva en DPIA.

Bedöma och prioritera

Kontrollera dina meddelanden, samtyckesflöden, hantering av rättigheter, säkerhetsåtgärder, incidenthantering och överföringsmekanismer mot PDPL-kraven. Prioritera åtgärder baserat på risk. Aktiviteter som involverar känsliga data, stora volymer, användarorienterade system eller komplexa leverantörskedjor bör prioriteras. Uppdatera sekretessmeddelanden och korrigera vägar för insamling och återkallande av samtycke.

Operationalisera och belägga

Inför nödvändiga kontroller, slutför villkoren för kontrollanter och behandlare, genomför rollbaserad utbildning och inför DSAR och rutiner för hantering av dataintrång i den dagliga verksamheten. Automatisera lagring och radering där det är möjligt. Samla in bevis löpande, till exempel policyer, utvärderingar, samtycken, utbildningsloggar, systemkonfigurationer, testresultat och beslutsprotokoll. Detta underlättar interna revisioner och förfrågningar från tillsynsmyndigheter.

Cyberday kan effektivisera dessa steg med PDPL-anpassade uppgifter och kontroller, RoPA/DPIA-mallar, rollbaserade arbetsflöden och centraliserad insamling av bevis. Det kopplar också PDPL-arbetet till andra ramverk för att minska dubbelarbete och påskynda rapporteringen.

Kontinuerlig förbättring och mätning av framsteg

PDPL-efterlevnad är en löpande process, inte ett engångsprojekt. Det innebär att ägare ska utses, granskningscykler fastställas och instrumentpaneler användas för att övervaka risker, kontrollera hälsa och resultat. Ledningen ska vid planerade intervaller utvärdera incidenter, revisionsresultat, riskläge och förbättringsmöjligheter.

Användbara mätvärden att övervaka inkluderar:

• DSAR-volymer, efterlevnad av SLA och kundnöjdhet
• Tid från upptäckt av intrång till beslut och anmälan
• RoPA:s fullständighet och granskningsfrekvens
• DPIA-täckning för högriskaktiviteter och framsteg i riskminskningsarbetet
• Utbildningsresultat och bedömningspoäng per roll
• Överföringsbedömningar efter destination och skyddsåtgärdstyp
• Leverantörers riskbedömningar och åtgärdsstatus
• Andel raderingar i förhållande till lagringsscheman

Cyberday kontinuerlig förbättring med automatiska påminnelser, kontrollstatuspaneler och kartläggning av flera ramverk. Centraliserad dokumentation förenklar intern rapportering och externa utvärderingar.

Varför PDPL är viktigt för cyberresiliens och efterlevnad

Genom att operationalisera PDPL klargörs vilka personuppgifter du har, vart de flödar och vem som har tillgång till dem. Denna tydlighet minskar risken för och effekterna av dataintrång, påskyndar incidenthanteringen och begränsar spridningen av data genom minimering och disciplinerad lagring.

Ur ett affärsmässigt perspektiv påskyndar PDPL-mognad partnerintroduktionen, förkortar säkerhets- och integritetsgranskningar och stärker tillsynsmyndigheternas förtroende för företag som bedriver verksamhet i kungariket. Det förbättrar datakvaliteten genom att ta bort dubbletter och inaktuella poster och ger en försvarbar förklaring när incidenter inträffar. PDPL kan betraktas som en central del av organisationens säkerhets- och integritetsmodeller.

Vanliga frågor

Är PDPL samma sak som GDPR?

De har gemensamma grundläggande begrepp, såsom rättsliga grunder, principer, rättigheter, ansvarsskyldighet och överföringsbegränsningar, men de är inte identiska. Organisationer som är verksamma i Saudiarabien bör anpassa sina program till PDPL:s definitioner och lokala tillsynsmyndigheters riktlinjer istället för att kopiera GDPR-mallar.

Behöver vi en dataskyddsombud?

PDPL förväntar sig tydligt ansvarstagande. Många organisationer kommer därför att utse en dataskyddsombud eller motsvarande. Basera beslutet att anställa en dataskyddsombud på behandlingsomfattning och risk; aktiviteter med hög risk gör en dedikerad roll mer nödvändig.

Hur länge kan vi lagra personuppgifter?

Endast så länge som det är nödvändigt för de angivna ändamålen eller enligt lag. Definiera lagringsscheman på datasetnivå, automatisera radering där det är möjligt och dokumentera undantag, såsom lagstadgade spärrar.

När krävs en DPIA?

När behandlingen sannolikt medför hög risk för enskilda personer. Detta kan omfatta aktiviteter såsom storskalig behandling av känsliga uppgifter, systematisk övervakning eller sammanställning av datamängder som väsentligt ökar risken. Dataskyddsbedömningar bör användas innan betydande organisatoriska förändringar införs eller genomförs.

Måste vi anmäla varje överträdelse?

Nej. Myndigheten, och ibland berörda personer, ska endast underrättas när skada är sannolik. Kriterier och beslutsflöden ska definieras i din incidentplan för att säkerställa att du agerar snabbt och konsekvent.

Hur ska vi hantera utländska molntjänstleverantörer?

Kontrollera datalagringsplatser, åtkomstvägar, överföringsskydd och skyldigheter vid incidenter. Se till att avtalen möjliggör fullgörande av rättigheter och säker radering, och dokumentera en bedömning av förhållandena i destinationslandet.

Operationalisera PDPL med mindre ansträngning

Om du håller på att bygga upp eller utveckla ditt PDPL-program Cyberday dig Cyberday arbeta snabbare med färre kalkylblad. Använd färdiga PDPL-kontroller, RoPA/DPIA-mallar, DSAR- och dataintrångsarbetsflöden samt centraliserade bevis för att vara redo för revisioner och samtidigt minska den manuella arbetsbördan. Kartlägg en gång och återanvänd i flera ramverk för att spara tid.