Закон о защите персональных данных в Саудовской Аравии: есть старая клиентская база — с чего начать?

Ни в коем случае не игнорируйте требования ZATCA. В Саудовской Аравии обязанность хранить финансовую и налоговую отчетность стоит выше норм PDPL. Если удалите нужные налоговой счета под предлогом защиты персданных, при налоговой проверке прилетит куда жестче. Достаточно вычистить маркетинговые email и телефоны, на которые не было явного согласия клиента.

Мы в своей оптовой конторе в Джидде прошли через то же самое. Юристы заломили 35 000 SAR. В итоге за пару выходных рассортировали 8 000 старых записей в обычной табличке. 3 400 контактов, с которыми не было сделок последние три года, просто снесли, оставив только официальный архив счетов. Зарегистрировали компанию на госпортале и закрыли вопрос с нулевыми затратами.

При удалении данных просто стереть строчку из базы недостаточно. Позаботьтесь и о резервных копиях. При проверке PDPL проверяют жизненный цикл данных. PDF-архивы со сканами удостоверений личности клиентов зачищайте методами безопасного удаления файлов без возможности восстановления и обязательно фиксируйте в акте уничтожения: когда и каким способом удалили.

мы у себя первым делом почистили группы в вотсапе и старые контакты клиентов в телефонах. короче копии документов вообще самое опасное, закон их считает чувствительными данными... сносите их сразу от греха подальше.

Не ведитесь на конторы, которые нагоняют жути, чтобы содрать 40-50 тысяч риялов. Регулятор не приходит к малым бизнесам с рейдами за один день: сначала всегда выносят предупреждение и дают время на исправление. Главное, чтобы у вас была адекватная политика обработки данных и бумажка о том, что персонал проинструктирован.

Согласно Закону о защите персональных данных, обработка данных должна осуществляться на основаниях законного интереса, исполнения договора или соблюдения законодательных обязательств. Обязанность уведомления возникает в момент сбора информации. Для старых клиентов достаточным минимумом является предоставление доступа к политике конфиденциальности при первом последующем обращении либо публикация ее на сайте компании.

А бумажные копии заказ-нарядов тоже подпадают под этот закон? ну сервисные квитанции за последние пять лет лежат в коробках на складе — их тоже нужно перебирать и уничтожать или проверяют только то, что в компьютерах?

Без паники, начните с обычного файла в Excel. Сделайте столбцы: тип данных, источник, где хранятся и правовое основание. На портале регулятора лежат бесплатные шаблоны политик и чек-листы — просто адаптируйте под себя их образцы на арабском и английском.

Не могу полностью с этим согласиться. Две недели ведения заметок дают лучший результат, чем шестимесячные прогнозы.

Если на один вопрос вы получаете три разных ответа, вопрос задан неправильно. Оставлю как заметку, пригодится.

Если углубиться в детали: Люди защищают не процесс, а привычку. Сопротивление идет оттуда.

Конечно если ваша ситуация отличается всё меняется.

Сведу тему в кучу, так как ответов было несколько разных. Непроверенная резервная копия — не резервная копия.

Надеюсь, это будет полезно.

У нас было так. Начните с небольшого эксперимента, не привязывайте всё сразу.

Я бы пошел этим путем.

Не знал об этом.

Мне тоже интересно. Забытые тестовые среды становятся входом в систему чаще, чем продакшн.

Удачи.

Краткое резюме для новичков: Ответ сильно зависит от отрасли, универсального правила нет.

Ошибка, сделанная на стороне закон о защите персональных данных, обычно исправима, но дорого.

В прошлом году мы столкнулись практически с тем же самым. При принятии решений записывайте и худший сценарий, а не только лучший.

Верно.

обсуждение размылось, давайте структурируем но прежде чем принимать решение посмотрите какие данные у вас есть.