Saudyjska ustawa o ochronie danych osobowych a strona Twojej firmy

Formularz zapytania ofertowego, konto klienta w sklepie, lista mailingowa, formularz rekrutacyjny. Wszystko, co Twoja strona zbiera o osobach w Arabii Saudyjskiej, podlega saudyjskiej ustawie o ochronie danych osobowych (PDPL). Ustawa nie zwraca się tylko do programisty czy firmy hostingowej. Zwraca się do Twojej firmy jako administratora, czyli podmiotu, który decyduje, w jakim celu i w jaki sposób dane są przetwarzane.

Wyjaśniam tu, co ustawa oznacza w praktyce dla strony firmowej, z numerami artykułów dla tych, którzy chcą sięgnąć do tekstu. Artykuł ma charakter informacyjny i nie jest poradą prawną: w konkretnej sprawie zapytaj prawnika albo swojego inspektora ochrony danych.

Ustawa w kilku zdaniach

Ustawę o ochronie danych osobowych wydano dekretem królewskim nr (M/19) z 9/2/1443 (kalendarz hidżry), a zmieniono dekretem królewskim nr (M/148) z 5/9/1444. Weszła w życie 14 września 2023 r., z rocznym okresem przejściowym, który skończył się 14 września 2024 r. Uzupełniają ją dwa rozporządzenia: rozporządzenie wykonawcze oraz rozporządzenie o przekazywaniu danych osobowych poza Królestwo.

Nadzór nad jej stosowaniem sprawuje Saudyjski Urząd ds. Danych i Sztucznej Inteligencji (SDAIA), który prowadzi Krajową Platformę Zarządzania Danymi. Przez platformę zgłasza się m.in. wycieki danych osobowych i składa skargi. Wytyczne i zasady SDAIA publikuje na stronie z przepisami i politykami w swoim serwisie (po arabsku).

Zgodnie z art. 2 ustawa dotyczy każdego przetwarzania danych osobowych osób fizycznych, które odbywa się w Królestwie, w dowolny sposób, w tym przetwarzania danych osób mieszkających w Królestwie przez podmiot spoza niego. Jeśli Twoja firma ma siedzibę w Dubaju i sprzedaje przez stronę klientom z Rijadu czy Dżuddy, ustawa może objąć także Ciebie.

Co odwiedzający musi wiedzieć, zanim wyśle dane

Art. 12 zobowiązuje administratora do przyjęcia polityki prywatności i udostępnienia jej osobom, których dane dotyczą, przed zebraniem danych. Polityka określa cel zbierania danych, to, jakie dane są zbierane, jak się je zbiera, przetwarza, przechowuje i niszczy, a także prawa tej osoby i sposób ich wykonywania.

Gdy zbierasz dane bezpośrednio od osoby, na przykład przez formularz na stronie, art. 13 wymaga, żeby w chwili zbierania poinformować ją m.in. o:

• podstawie prawnej zbierania jej danych i celu zbierania,
• tym, które pola formularza są obowiązkowe, a które dobrowolne,
• tożsamości podmiotu, który zbiera dane,
• podmiotach, którym dane mogą zostać ujawnione, oraz o tym, czy dane będą przekazywane albo przetwarzane poza Królestwem,
• jej prawach wynikających z ustawy.

W praktyce oznacza to widoczny link do polityki prywatności po arabsku przy każdym formularzu, oznaczone pola dobrowolne i niepytanie o to, czego nie potrzebujesz. Minimalizacja danych to jedna z zasad, które SDAIA przedstawia w objaśnieniach ustawy: zbierasz tylko to, co jest niezbędne do celu. Jeśli piszesz politykę prywatności pierwszy raz, SDAIA opublikował poradnik przygotowania i rozwijania polityki prywatności z listą elementów, których się w niej oczekuje.

Wiadomości marketingowe wymagają uprzedniej zgody

Art. 25 zakazuje używania osobistych danych kontaktowych osoby, w tym adresu pocztowego i adresu e-mail, do wysyłania materiałów reklamowych lub informacyjnych, chyba że spełnione są dwa warunki: uprzednia zgoda odbiorcy i jasny sposób, w jaki może zażądać, żeby przestać je do niego wysyłać. Art. 26 pozwala przetwarzać dane w celach marketingowych, z wyjątkiem danych wrażliwych, jeśli zebrano je bezpośrednio od tej osoby i za jej zgodą.

Co to oznacza dla Twojej strony:

1. Osobne pole zgody na wiadomości marketingowe, niezaznaczone domyślnie i niepołączone z wysłaniem zapytania ofertowego.
2. Działający link do wypisania się w każdej wiadomości i rzeczywiste realizowanie próśb o wypisanie.
3. Rejestr, który pokazuje, kiedy każda osoba wyraziła zgodę i na co.
4. Żadnych kupionych list ani list skopiowanych z innych źródeł w kampaniach, bo ustawa wymaga, żeby dane do marketingu pochodziły bezpośrednio od osoby, której dotyczą.

Bezpieczeństwo danych na samej stronie

Art. 19 zobowiązuje administratora do stosowania niezbędnych środków organizacyjnych, administracyjnych i technicznych chroniących dane osobowe, także podczas ich przekazywania. Art. 23 rozporządzenia wykonawczego dodaje obowiązek przestrzegania wymagań i standardów Krajowego Urzędu ds. Cyberbezpieczeństwa (NCA), a jeśli podmiot nie jest nimi związany, uznanych dobrych praktyk i standardów cyberbezpieczeństwa.

Ustawa nie wymienia z nazwy wtyczek ani certyfikatów, ale na stronie firmowej te przepisy oznaczają konkretne rzeczy:

• każda podstrona z formularzem działa przez HTTPS z ważnym certyfikatem,
• CMS, motyw i wtyczki są aktualne, a porzucone wtyczki usunięte (zobacz artykuł o nieaktualnych wtyczkach WordPress),
• logowanie dwuetapowe do panelu strony, panelu hostingu i poczty,
• nagłówki bezpieczeństwa, które na przykład blokują osadzanie Twoich stron w innych serwisach (sprawdzisz je darmowym testem nagłówków),
• stare wiadomości z formularzy są niszczone, gdy cel ich zebrania przestał istnieć, bo SDAIA wymaga niszczenia danych osobowych bez zwłoki po osiągnięciu celu, w którym je zebrano.

Pytanie, o którym wielu zapomina: gdzie są przechowywane dane z formularzy? Jeśli hosting, narzędzie do formularzy albo CRM działa na serwerach poza Królestwem, jest to przekazanie danych za granicę, a rozporządzenie o przekazywaniu danych osobowych poza Królestwo stawia mu warunki. Zapytaj dostawców, gdzie stoją ich serwery, i pokaż odpowiedź swojemu doradcy prawnemu.

Wyciek: zgłoszenie do SDAIA w ciągu 72 godzin

Art. 20 ustawy zobowiązuje administratora do powiadomienia właściwego organu, gdy tylko dowie się o wycieku lub zniszczeniu danych osobowych albo o nieuprawnionym dostępie do nich, oraz do powiadomienia osoby, której dane dotyczą, jeśli może to zaszkodzić jej danym albo naruszyć jej prawa i interesy. Art. 24 rozporządzenia wykonawczego określa termin: 72 godziny od dowiedzenia się o incydencie, jeśli może on zaszkodzić danym lub osobom, których dotyczą, albo naruszyć ich prawa i interesy.

Zgłoszenie zawiera opis incydentu, jego czas i okoliczności oraz to, kiedy się o nim dowiedziałeś, kategorie danych i rzeczywistą lub przybliżoną liczbę poszkodowanych, zagrożenia i podjęte działania oraz dane kontaktowe. Jeśli w ciągu 72 godzin nie masz wszystkich informacji, przekazujesz je najszybciej, jak się da, z wyjaśnieniem przyczyn opóźnienia. Osoby, których dane dotyczą, powiadamiasz bez zbędnej zwłoki, prostym i jasnym językiem, z radami, jak mogą się chronić.

72 godziny to mało, jeśli nie jesteś przygotowany. Ustal z góry, kto w firmie składa zgłoszenie przez Krajową Platformę Zarządzania Danymi, gdzie znaleźć logi serwera i do kogo dzwonić w agencji i w firmie hostingowej.

Rejestracja, inspektor ochrony danych i kary

SDAIA wydał zasady prowadzenia krajowego rejestru administratorów działających w Królestwie. Rejestracja na platformie jest obowiązkowa m.in. wtedy, gdy podmiot jest publiczny, gdy jego główna działalność polega na przetwarzaniu danych osobowych albo gdy przetwarza dane wrażliwe, na przykład dane o zdrowiu na stronie przychodni.

Art. 32 rozporządzenia wykonawczego wymaga wyznaczenia inspektora ochrony danych w określonych przypadkach, m.in. gdy podstawowa działalność podmiotu wymaga regularnego i stałego monitorowania osób na dużą skalę albo gdy polega na przetwarzaniu danych wrażliwych. Art. 33 nakazuje prowadzić pisemny rejestr czynności przetwarzania przez cały okres przetwarzania i pięć lat po jego zakończeniu.

Kary są określone w samej ustawie. Art. 35: do dwóch lat więzienia, grzywna do trzech milionów riali albo obie kary łącznie dla tego, kto ujawnia lub publikuje dane wrażliwe wbrew ustawie, aby zaszkodzić osobie, której dotyczą, albo osiągnąć osobistą korzyść. Art. 36: upomnienie albo grzywna do pięciu milionów riali za każde inne naruszenie ustawy lub rozporządzeń, którą przy powtórnym naruszeniu można podwoić.

Kwoty są wysokie, ale większość tego, czego ustawa wymaga od zwykłej strony firmowej, to rozsądne nawyki: zbierać mniej, jasno tłumaczyć, chronić to, co się zebrało, i wiedzieć, co zrobić, gdy coś wycieknie. Jeśli Twoja firma działa także w Zjednoczonych Emiratach Arabskich, zajrzyj do artykułu o ustawie o ochronie danych osobowych w ZEA.