Conformidade e Governação

O que é a Lei de Proteção de Dados Pessoais (PDPL) da Arábia Saudita?

A PDPL da Arábia Saudita aplica-se desde 14 de setembro de 2023, tendo a SDAIA como regulador. Âmbito, obrigações, notificação de violações em 72 horas, transferências e sanções.

A Lei de Proteção de Dados Pessoais (PDPL) da Arábia Saudita rege o tratamento de dados pessoais no Reino, incluindo o tratamento, a partir do exterior do Reino, de dados pessoais de pessoas nele residentes. Foi emitida pelo Decreto Real n.º M/19, de 9/2/1443H, e alterada pelo Decreto Real n.º M/148, de 5/9/1444H. Segundo a Autoridade Saudita de Dados e Inteligência Artificial (SDAIA), entrou em vigor a 14 de setembro de 2023, com um período de carência de um ano para a conformidade que terminou a 14 de setembro de 2024. A SDAIA é a autoridade competente que supervisiona a sua aplicação.

Quem emitiu a PDPL e quem fiscaliza o seu cumprimento?

A lei foi emitida por Decreto Real e é complementada por dois regulamentos: o Regulamento de Execução e o Regulamento sobre a Transferência de Dados Pessoais para Fora do Reino, cuja versão atual a SDAIA publicou em agosto de 2024. A Decisão do Conselho de Ministros n.º 98 designou a SDAIA como autoridade competente durante dois anos, período durante o qual deveria ser ponderada a transferência dessa responsabilidade para o Gabinete Nacional de Gestão de Dados (NDMO). A Plataforma de Governação de Dados da SDAIA indica que a SDAIA supervisiona a aplicação da lei, e a plataforma trata do registo dos responsáveis pelo tratamento e das notificações de violações.

Quem tem de cumprir a PDPL?

A lei aplica-se a qualquer tratamento de dados pessoais relativos a pessoas singulares que ocorra no Reino, por qualquer meio, e ao tratamento de dados pessoais de pessoas residentes no Reino por qualquer entidade fora dele. Excluem-se os tratamentos para uso exclusivamente pessoal ou familiar, desde que os dados não sejam publicados nem divulgados a terceiros; o Regulamento de Execução esclarece que as utilizações profissionais, comerciais e sem fins lucrativos não constituem uso pessoal ou familiar. Alguns responsáveis pelo tratamento têm ainda de se inscrever no registo nacional da SDAIA.

1.Entidades públicas.

2.Responsáveis pelo tratamento cuja atividade principal assenta no tratamento de dados pessoais.

3.Responsáveis pelo tratamento que tratam dados sensíveis.

4.Pessoas singulares que tratam dados pessoais para fins que vão além do uso pessoal ou familiar.

Quais são as principais obrigações da PDPL?

A lei estabelece os princípios; o Regulamento de Execução define os pormenores. Em linhas gerais, o responsável pelo tratamento deve:

1.Tratar dados pessoais apenas com o consentimento do titular dos dados ou ao abrigo de uma das exceções previstas na lei, como o interesse legítimo quando não estejam em causa dados sensíveis. Os dados sensíveis, os dados de crédito e as decisões baseadas exclusivamente em tratamento automatizado exigem consentimento explícito.

2.Utilizar os dados apenas para as finalidades para que foram recolhidos, limitados ao mínimo necessário.

3.Manter registos escritos das atividades de tratamento enquanto o tratamento durar e durante cinco anos após o seu termo.

4.Designar um encarregado da proteção de dados quando uma entidade pública trate dados pessoais em grande escala, quando as atividades principais exijam um controlo regular e sistemático dos titulares dos dados ou quando as atividades principais assentem no tratamento de dados sensíveis.

5.Adotar medidas de segurança organizativas, administrativas e técnicas, seguindo os controlos da Autoridade Nacional de Cibersegurança ou, quando esses controlos não se apliquem, as melhores práticas reconhecidas.

6.Realizar avaliações de impacto para tratamentos de risco mais elevado, como os que envolvem dados sensíveis ou controlo em grande escala.

7.Transferir dados pessoais para fora do Reino apenas nas condições previstas no regulamento de transferências, como um nível de proteção adequado ou garantias como cláusulas contratuais-tipo, com uma avaliação dos riscos da transferência quando o regulamento a exija.

Que direitos têm os titulares dos dados?

Os titulares dos dados têm direito a ser informados sobre o tratamento, a aceder aos seus dados, a obtê-los num formato legível e claro, a que sejam corrigidos, completados ou atualizados e a que sejam destruídos quando deixarem de ser necessários. Podem retirar o consentimento a qualquer momento. Os responsáveis pelo tratamento têm de responder aos pedidos no prazo de 30 dias, prorrogável por até mais 30 dias nos casos permitidos pelo Regulamento de Execução.

Como devem ser comunicadas as violações de dados pessoais?

Nos termos do artigo 24.º do Regulamento de Execução, o responsável pelo tratamento tem de notificar a SDAIA no prazo de 72 horas após ter conhecimento de uma violação que possa prejudicar os dados pessoais ou os titulares dos dados, ou colidir com os respetivos direitos ou interesses. A notificação descreve o incidente, incluindo o momento em que o responsável pelo tratamento dele teve conhecimento, as categorias de dados e o número de pessoas afetadas, os riscos e as medidas adotadas. Se alguma informação não estiver disponível no prazo de 72 horas, deve ser enviada o mais rapidamente possível, acompanhada de uma justificação para o atraso. Os responsáveis pelo tratamento têm também de informar os titulares dos dados afetados, sem demora injustificada, quando a violação os possa prejudicar, e conservar cópias dos relatórios e das medidas corretivas adotadas.

Quais são as sanções previstas na PDPL?

A divulgação ou publicação de dados sensíveis em violação da lei, com intenção de prejudicar o titular dos dados ou para benefício pessoal, é punível com pena de prisão até dois anos, multa até SAR 3 milhões, ou ambas. As restantes violações da lei ou dos seus regulamentos podem dar origem a uma advertência ou a uma multa até SAR 5 milhões, aplicada por uma comissão da autoridade competente. As multas podem ser duplicadas em caso de reincidência, até ao dobro do limite.

Em que aspetos ajuda a Vigilbase com as evidências da PDPL?

As obrigações de segurança e de violação de dados da PDPL dependem de saber, rapidamente, o que aconteceu. O Vigilbase OS liga as ferramentas de segurança que já paga e mantém os respetivos registos e eventos auditáveis e pesquisáveis num único lugar, e cada investigação regista as evidências, a ação adotada e o resultado da verificação. Isso ajuda a reunir os factos que uma notificação em 72 horas exige, como o momento em que o incidente foi detetado e o que foi feito para o conter. Como o Regulamento de Execução remete os responsáveis pelo tratamento para os controlos da NCA, o mesmo registo operacional sustenta também as evidências para os ECC da NCA. Os registos de segurança podem conter dados pessoais, por isso inclua na sua avaliação ao abrigo da PDPL qualquer fornecedor de segurança que os receba, incluindo o local onde os dados são armazenados, e leve esses requisitos para a definição do âmbito.

Sobre este guia

Este guia resume a PDPL, o respetivo Regulamento de Execução e as orientações da SDAIA, tal como publicados em outubro de 2026. Não constitui aconselhamento jurídico. Confirme os requisitos em vigor nas publicações da SDAIA e junto do seu consultor jurídico, sobretudo no que respeita ao registo, às transferências para fora do Reino e às regras setoriais, como as do Banco Central da Arábia Saudita.

Principais conclusões

✓A PDPL aplica-se ao tratamento realizado na Arábia Saudita e ao tratamento, a partir do estrangeiro, de dados sobre pessoas residentes no Reino.

✓A SDAIA é a autoridade competente; o período de carência para o cumprimento terminou a 14 de setembro de 2024.

✓Os responsáveis pelo tratamento devem notificar a SDAIA de uma violação de dados pessoais prejudicial no prazo de 72 horas após dela tomarem conhecimento.

✓As sanções atingem SAR 5 milhões por infração, a dobrar em caso de reincidência, e até dois anos de prisão pela divulgação ilícita de dados sensíveis.

Fontes

Soluções relacionadas

Serviços Vigilbase relacionados com este guia

Perguntas frequentes

Quando entrou em vigor a PDPL saudita?

Segundo a SDAIA, a PDPL entrou em vigor a 14 de setembro de 2023. As organizações dispuseram de um período de carência de um ano para dar cumprimento à lei, que terminou a 14 de setembro de 2024.

Quem fiscaliza a aplicação da PDPL na Arábia Saudita?

A Autoridade Saudita de Dados e Inteligência Artificial (SDAIA), enquanto autoridade competente. Uma comissão constituída pelo seu presidente analisa as infrações e emite advertências ou coimas.

Em que prazo deve ser comunicada uma violação de dados pessoais ao abrigo da PDPL?

No prazo de 72 horas após o responsável pelo tratamento dela tomar conhecimento, se a violação puder prejudicar os dados pessoais ou os titulares dos dados, ou colidir com os seus direitos ou interesses. Os titulares dos dados afetados devem ser informados sem demora injustificada quando a violação os possa prejudicar.Responsabilidades nas operações de segurança O que faz um SIEM

Quais são as coimas previstas na PDPL saudita?

Até SAR 5 milhões por infração, valor que pode ser duplicado em caso de reincidência. A divulgação ou publicação ilícita de dados sensíveis com intenção de causar dano ou para benefício pessoal pode ainda dar lugar a pena de prisão até dois anos, a multa até SAR 3 milhões, ou a ambas.

A PDPL aplica-se a empresas fora da Arábia Saudita?

Sim, quando tratam dados pessoais de pessoas residentes no Reino. A Plataforma de Governação de Dados da SDAIA dispõe também de uma via de registo para entidades situadas fora do Reino.

Tópicos Relacionados

Noções básicas de segurança

Pronto para melhorar a sua segurança?

A nossa equipa pode ajudá-lo a implementar as medidas de segurança discutidas neste guia. Obtenha orientação especializada adaptada à sua organização.

Começar agora Continuar a aprender