Хранить данные в Саудовской Аравии? Локализация обязательна — и вот почему это не шутка

Что такое локализация данных и почему она вдруг стала обязательной?

Представьте, что вы открыли кофейню в Эр-Рияде, но весь кофе храните в Дубае. Местные власти скажут: «Так не пойдет, варите здесь». Примерно то же самое с данными: с сентября 2023 года Саудовская Аравия требует, чтобы персональные данные граждан хранились на территории королевства. Это не рекомендация, а обязанность по Закону о персональных данных (PDPL).

Кого это касается?

Любую компанию, которая обрабатывает данные резидентов Саудовской Аравии — от банков до приложений для доставки еды. Если вы думали, что GDPR — это строго, то PDPL добавит седых волос даже опытным юристам.

Featured Snippet: Обязательна ли локализация данных в Саудовской Аравии?

Да, локализация персональных данных граждан Саудовской Аравии обязательна по закону PDPL. Исключения возможны только с разрешения регулирующего органа (SDAIA) и при соблюдении строгих условий. Нарушение грозит штрафами до 5 миллионов саудовских риалов (около $1,3 млн).

Что именно нужно хранить локально?

Все персональные данные, собранные на территории королевства: имена, адреса, номера ID, банковские счета, медицинские записи, геолокацию. Даже данные о предпочтениях в еде — если они привязаны к конкретному человеку.

Как это работает на практике?

Допустим, ваш стартап собирает данные пользователей из Саудовской Аравии через приложение. Раньше вы могли хранить всё на серверах в Европе. Теперь — нет. Нужно либо арендовать сервер в королевстве, либо использовать облачного провайдера с дата-центром там. Amazon Web Services и Microsoft Azure уже открыли регионы в Саудовской Аравии — совпадение? Не думаю.

А если данные уже утекли за границу?

Тогда вы нарушили закон. Исключение — если вы получили явное согласие субъекта данных и уведомили SDAIA. Но даже с согласием передача возможна только в страны с адекватным уровнем защиты (список пока не утверждён).

Штрафы и репутационные риски

Штрафы — до 5 млн SAR (около $1,3 млн) за нарушение. Но страшнее — уголовная ответственность за незаконную передачу данных за рубеж: до 2 лет тюрьмы. А ещё публичное порицание: SDAIA может опубликовать название компании-нарушителя. Представьте, как это скажется на бизнесе в консервативном обществе.

Что делать прямо сейчас?

• Провести аудит: какие данные собираете, где храните, кто имеет доступ.
• Перенести данные в локальные дата-центры или облачные сервисы с присутствием в КСА.
• Обновить политику конфиденциальности и формы согласия.
• Назначить представителя в Саудовской Аравии (если у вас нет офиса там).

FAQ