Юридическая поддержка IT-бизнеса в Саудовской Аравии
Саудовский закон о данных касается вашего продукта ещё до того, как вы открыли компанию. Расскажем, чего он требует от команды с пользователями в Королевстве. И какую регистрацию ждёт министерство.
Breach report
Сообщить об утечке
within 72 hours
в течение 72 часов
Processing records
Записи об обработке
5 years after the end
5 лет после окончания
Registration fee due
Сбор за регистрацию
15 business days
15 рабочих дней
Fine ceiling
Потолок штрафа
SAR 5,000,000
5 000 000 SAR
Когда IT-бизнесу в Саудовской Аравии нужна поддержка
Вы продаёте, не приходя в страну
Закон о данных действует, если вы обрабатываете данные людей, живущих в Королевстве. Неважно, откуда идёт обработка. Зарубежный продукт с саудовскими пользователями уже под ним.
Ваша основа — наблюдение за людьми
Ваш бизнес построен на регулярном систематическом наблюдении за людьми или на чувствительных данных? Тогда закон обязывает назначить ответственного за данные.
Инцидент случился в выходные
У вас семьдесят два часа с момента, когда вы узнали об инциденте. За это время регулятор должен получить отчёт. Что в нём должно быть, закон расписывает по пунктам.
Хранилище стоит вне Королевства
Вывезти данные можно, только если цель разрешена законом и регулятор считает защиту достаточной. И данных уходит не больше, чем нужно для дела.
Записей об обработке никто не вёл
Записи об обработке ведут письменно. Хранят их всё время обработки и ещё пять лет после. Регулятор может запросить их в любой момент.
Вы только выходите на рынок
Иностранные инвестиции регистрируют в министерстве инвестиций по действующему закону об инвестициях. Дальше другие ведомства будут спрашивать именно свидетельство о регистрации.
Что входит в поддержку IT-бизнеса в Саудовской Аравии
Главная особенность саудовского закона о данных — его охват. Он действует для обработки в Королевстве. И для обработки данных его жителей, кто бы и откуда её ни вёл. Поэтому команда из другой страны попадает под закон раньше, чем у неё появятся юрлицо, офис и первый местный сотрудник.
Значит, выход на рынок — это вопрос о том, как устроен продукт. Экраны согласия, правила хранения, порядок действий при инциденте и карта хранилищ должны соответствовать требованиям регулятора Королевства. Даже пока сам бизнес находится в другой стране.
Всё остальное, что мы делаем в Саудовской Аравии, — на странице Саудовской Аравии. Общее описание услуги, без привязки к стране, — на странице услуги.
Что вы получаете
- Ясный ответ, касается ли вас закон уже сейчас
- Решение об ответственном за данные по трём случаям закона
- Записи об обработке в том виде, которого требует регулятор
- Схему передачи данных под разрешённую законом цель
- План выхода на рынок, который начинается с регистрации
Чего закон требует от продукта
| Вопрос | Что устанавливает саудовский закон о данных |
|---|---|
| На кого распространяется | Обработка в Королевстве и обработка данных его жителей из-за рубежа |
| Когда ответственный обязателен | В основе бизнеса — систематическое наблюдение или чувствительные данные |
| Кто может нести эту роль | Руководитель, сотрудник или внешний подрядчик |
| Сообщение об утечке | В течение семидесяти двух часов с момента, когда узнали |
| Записи об обработке | Письменно; хранятся пять лет после окончания обработки |
| Передача за рубеж | Разрешённая цель, достаточная защита, минимум данных |
| Разглашение чувствительных данных во вред | До двух лет, или до трёх миллионов риалов, или и то и другое |
| Все прочие нарушения | Предупреждение или штраф до пяти миллионов риалов |
Как зарубежная компания выходит на рынок сейчас
Сначала компания регистрируется в министерстве инвестиций по закону об инвестициях и его исполнительным правилам. Это возможно только для видов деятельности, открытых для инвестиций. Руководство самого министерства отводит на решение десять рабочих дней.
Сбор за регистрацию назначают при одобрении. Оплатить его нужно в течение пятнадцати рабочих дней, иначе регистрация считается недействительной.
Затем регистрацию обновляют раз в год. На это то же руководство отводит пять рабочих дней. Эти сроки стоит знать заранее. Иначе план найма или дата запуска будут ждать документа, который ещё не оплачен.
Что мы обновляем по мере разработки
Новая аналитика, новый регион или новый обработчик меняют карту хранилищ и записи об обработке. Мы обновим карту, сроки хранения и досье ответственного разом. Тогда на запрос регулятора можно будет ответить из одного места.
Источники: закон о защите персональных данных, его исполнительное положение и руководство по услугам министерства инвестиций.
Этапы работы
Проверим, действует ли закон уже
Важно не то, где стоят серверы, а то, где живут ваши пользователи. Если они живут в Королевстве, закон распространяется и на зарубежный продукт.
Решим вопрос об ответственном
Сверим три случая из закона с тем, что продукт делает в реальности. Если роль обязательна, её может нести сотрудник или внешний подрядчик. Скажем, что подходит компании вашего размера.
Составим записи, которых требует закон
Цели, категории людей и данных, сроки хранения, получатели, передачи и меры защиты сведём в одну письменную запись. Она прослужит и весь пятилетний срок после окончания обработки.
Нарисуем карту хранения и передач
Каждое место, куда уходят данные, сверим с разрешённой целью и правилом минимального объёма. Карта и текст политики должны говорить одно и то же.
Заранее подготовим порядок действий при инциденте
Сообщение на семьдесят два часа готовят до того, как оно понадобится. Заранее решим, кто принимает решение, что войдёт в текст и кто подписывает. Пока инженеры ещё ищут причину, на это не придётся тратить время.
Выстроим регистрацию в правильном порядке
Если в плане есть местное юрлицо, внесём в календарь регистрацию и её ежегодное обновление. И рядом — сроки оплаты, без которых регистрация не сохранится.
Наши кейсы
FAQ
Обсудить
Задание
Поговорите с нашей командой
Поговорите с нашей командой.
Расскажите нам о своей задаче —
мы поможем вам в этом в любой юрисдикции.