Loi saoudienne sur la protection des données personnelles : on a d'anciennes données clients — par où commencer ?

Ne surtout pas zapper la réglementation ZATCA. En Arabie saoudite, l'obligation de tenir les registres comptables et fiscaux prime sur les règles de la PDPL. Si vous supprimez les factures exigées par le fisc en les prenant pour des données personnelles, cette fois vous vous exposez à de lourdes sanctions lors d'un contrôle fiscal. Il suffit de nettoyer les e-mails et numéros de téléphone marketing que vous gardez sans consentement explicite du client.

Pour notre société de vente en gros à Djeddah, on est passés par là aussi. Un cabinet d'avocats demandait 35 000 SAR. En deux week-ends de boulot, on a trié 8 000 anciens enregistrements dans un tableur. On a supprimé direct 3 400 adresses sans transaction depuis trois ans, il ne restait que l'archive officielle des factures. On a fait notre inscription sur le portail officiel et réglé ça à coût zéro.

Quand vous supprimez des données, effacer une ligne de la base ne suffit pas. Il faut aussi planifier les copies dans vos systèmes de sauvegarde. Lors d'un contrôle PDPL, on vous demande le cycle de vie de la donnée. Réinitialisez définitivement l'archive PDF contenant les anciens scans de pièces d'identité avec des méthodes de suppression sécurisée, et notez quand et comment vous l'avez fait dans un procès-verbal de destruction.

le truc le plus clean qu'on ait fait c'est de nettoyer les groupes whataspp et les vieux numéros clients qui restaient dans le répertoire et garder des photocopies de pièces d'identité c'est déjà la partie la plus risquée la loi les considère comme données sensibles. supprimez-les tout de suite et vous serez tranquilles.

Ne croyez pas tout de suite les sociétés intermédiaires qui essaient d'extorquer 40-50 mille riyals en semant la peur. L'autorité ne débarque pas du jour au lendemain comme la police chez les petites entreprises ; elle donne d'abord un avertissement et un délai pour compléter ce qui manque. L'important c'est d'avoir une politique de protection des données raisonnable et un document prouvant que vous avez informé le personnel.

Conformément à la loi sur la protection des données personnelles, vous devez fonder vos activités de traitement sur l'intérêt légitime, l'exécution du contrat et l'obligation légale. L'obligation d'information naît au moment où la donnée est collectée. Pour les anciens clients, publier une déclaration de confidentialité accessible lors du premier usage de vos canaux de communication ou sur votre site internet suffit à couvrir le minimum légal.

Les copies papier des fiches d'intervention technique sont aussi concernées par cette loi ? bref on doit scanner et détruire une par une les fiches d'intervention imprimées des cinq dernières années qui traînent dans des cartons au dépôt, ou seuls les fichiers informatiques sont contrôlés ?

Ne paniquez pas du tout commencez par un simple tableau Excel. Dans les colonnes, mettez le nom de la donnée, d'où elle vient, où elle est stockée et sa base légale. Sur le portail de l'autorité officielle il y a des modèles gratuits de notices d'information et des check-lists ; vous pouvez adapter les modèles en arabe et en anglais à votre activité.

Je ne peux pas totalement adhérer à cela. Prendre des notes pendant deux semaines donne de meilleurs résultats qu'une estimation de six mois.

Si vous obtenez trois réponses différentes sur un sujet la question est mal posée. Je le note au cas où.

Pour entrer dans le détail : Les gens défendent l'habitude, pas le processus. La résistance vient de là.

Bien sûr, cela change si votre situation est différente.

Je vais résumer le sujet car plusieurs réponses différentes ont été données. Une sauvegarde non testée n'est pas une sauvegarde.

J'espère que cela vous sera utile.

Chez nous, ça s'est passé comme ça. Commencez par un petit test, ne vous engagez pas sur tout d'un coup.

À votre place, j'irais par cette voie.

Je ne savais pas ça.

Je me pose aussi la question. Les environnements de test oubliés sont plus souvent des portes d'entrée que les systèmes de production.

Bon courage.

Résumé rapide pour les nouveaux : La réponse varie beaucoup selon le secteur, il n'y a pas de règle générale.

L'erreur commise du côté de loi sur la protection des données personnelles est généralement réversible, mais coûteuse.

Nous avons vécu presque la même chose l'année dernière. Lors de la prise de décision, écrivez aussi le pire scénario, pas seulement le meilleur.

Exact.

la discussion part dans tous les sens, je recentre. genre avant de décider, regardez quelles données vous avez en main.