CevroArábia Saudita: Saudi PDPL e o que exige
Personal Data Protection Law (PDPL), Royal Decree M/19: marco recente ou em implantação, com a aplicação ainda em amadurecimento. Supervisão: Saudi Data & AI Authority (SDAIA).
Principais requisitos em resumo
| Registro na autoridade | Depende de limites ou circunstâncias |
|---|---|
| Encarregado de proteção de dados | Depende de limites ou circunstâncias |
| Notificação de violações | Em até 72 horas |
| Restrições a transferências internacionais | Obrigatório |
| Localização de dados | Não obrigatório |
Sanções e fiscalização
Multas de até 5 milhões de SAR por violação (dobradas em caso de reincidência); até 2 anos de prisão e/ou 3 milhões de SAR pela divulgação de dados sensíveis com intenção de prejudicar ou para ganho pessoal.
O que saber na prática
Plenamente aplicada desde 14 de setembro de 2024. Notificar a SDAIA em até 72 horas após a descoberta de uma violação, pela Plataforma Nacional de Governança de Dados. Transferências para fora do Reino seguem regulamento próprio. O registro de controladores e as obrigações de DPO dependem de regras que a SDAIA ainda deve publicar.
O dever de segurança
Conforme Art. 19: O controlador deve adotar todas as medidas organizacionais, administrativas e técnicas necessárias para proteger os dados pessoais, inclusive durante sua transferência. Fonte: texto publicado, verificado em 2026-10.
Como a Cevro ajuda
- Associa Saudi PDPL ao restante do seu programa de conformidade, de modo que as evidências coletadas para SOC 2 ou ISO 27001 também valem aqui quando se sobrepõem.
- Conta suas verificações técnicas automáticas como evidência do dever de segurança (Art. 19).
- Dá a cada controle reprovado uma correção específica e uma forma de verificá-lo de novo.
Perguntas frequentes
Arábia Saudita: quem supervisiona a proteção de dados?
Saudi Data & AI Authority (SDAIA) supervisiona a aplicação de Personal Data Protection Law (PDPL), Royal Decree M/19.
Saudi PDPL: a notificação de violações é obrigatória?
A lei fixa um prazo de 72 horas para comunicar à autoridade uma violação de dados pessoais; por isso é preciso ter detecção e um processo de incidentes capazes de cumpri-lo.
Arábia Saudita: as transferências internacionais de dados são restritas?
Sim. A saída de dados pessoais da jurisdição é restrita, portanto confirme uma base legal de transferência antes de os dados saírem.
Saudi PDPL: é preciso nomear um encarregado de proteção de dados?
Apenas em alguns casos, geralmente conforme a escala ou a sensibilidade do tratamento. Confirme se você ultrapassa o limite.
Arábia Saudita: quais são as sanções por descumprimento?
Multas de até 5 milhões de SAR por violação (dobradas em caso de reincidência); até 2 anos de prisão e/ou 3 milhões de SAR pela divulgação de dados sensíveis com intenção de prejudicar ou para ganho pessoal.