Formulário de verificação de conformidade com a PDPL da SDAIA: o que sua empresa precisa provar agora

No início de julho de 2026, a Autoridade Saudita de Dados e Inteligência Artificial (SDAIA) começou a enviar um formulário de verificação de conformidade com a PDPL às organizações registradas como controladoras de dados. Não é uma formalidade. É uma solicitação oficial para que sua empresa prove — com documentos e evidências — que coleta, trata e armazena dados pessoais de acordo com a Lei de Proteção de Dados Pessoais (PDPL). A conclusão prática: toda organização que lida com dados de clientes ou funcionários deve reunir suas evidências agora, porque qualquer lacuna revelada durante essa revisão pode expô-la a penalidades de até 5 milhões de SAR.

O que é o formulário de verificação de conformidade?

É um documento oficial — datado de 7 de julho de 2026 — que a SDAIA envia aos seus controladores de dados registrados, pedindo que descrevam e comprovem como cumprem a PDPL. Em termos simples: dizer que você está em conformidade já não basta; é preciso apresentar as políticas, os registros e os controles que o comprovam. O formulário abrange todo o ciclo de vida da governança de dados, desde o momento em que os dados são coletados até o momento em que são destruídos.

O que exatamente o formulário pede?

O formulário solicita evidências em nove áreas principais. Vale a pena revisar cada uma, linha por linha:

• Coleta, tratamento e armazenamento: como você obtém os dados pessoais, onde os armazena e como os trata.
• Estruturas e políticas de governança: políticas escritas e aprovadas de privacidade e proteção de dados.
• Base legal para o tratamento: o fundamento legal de cada atividade de tratamento (consentimento, contrato, obrigação legal etc.).
• Gestão de terceiros: como você supervisiona os operadores e fornecedores com quem compartilha dados.
• Retenção e destruição de dados: prazos de retenção definidos e um processo de exclusão segura quando os dados deixam de ser necessários.
• Direitos dos titulares: um mecanismo que permita às pessoas acessar, corrigir e excluir seus dados.
• Transferências internacionais de dados: controles e salvaguardas para transferir dados para fora do Reino.
• Resposta a incidentes: um plano para lidar com vazamentos de dados e comunicá-los.
• Encarregado de proteção de dados (DPO): quem supervisiona a conformidade dentro da sua organização.

Por que agora? A SDAIA está intensificando a fiscalização

O formulário não surgiu do nada. A PDPL passou a ser exigível em setembro de 2023, e no último ano os comitês especializados da SDAIA emitiram 48 decisões contra organizações consideradas infratoras — a primeira onda substancial de decisões. Padrões claros se repetiram: coletar e tratar dados sem base legal, salvaguardas técnicas e organizacionais fracas e envio de mensagens de marketing sem consentimento prévio (uma infração disseminada no varejo, nas telecomunicações e nos serviços financeiros). Enviar o formulário de verificação é o próximo passo lógico: deixar de reagir a denúncias e passar a exigir que as organizações provem sua conformidade de forma proativa.

As penalidades: quanto custa não estar em conformidade?

O risco é financeiro e jurídico. As multas chegam a 5 milhões de SAR por infração e podem dobrar em caso de reincidência. Nos casos mais graves — como divulgar dados sensíveis com intenção de causar dano ou para benefício próprio — o caso evolui para responsabilidade criminal, incluindo prisão. Some-se a isso o dano indireto: perda da confiança dos clientes, negócios travados e prejuízo à reputação. A mensagem é clara: a conformidade deixou de ser opcional ou algo que se possa adiar.

Como preparar sua empresa: um checklist prático

Não espere o formulário chegar para começar. Comece agora com estes passos:

• Monte um mapa de dados: quais dados pessoais você coleta, de onde, onde ficam e quem tem acesso a eles.
• Documente a base legal de cada atividade de tratamento e registre o consentimento dos clientes de forma comprovável.
• Redija políticas de privacidade, retenção e exclusão — e garanta que estejam aprovadas e sejam realmente aplicadas, não apenas no papel.
• Revise os contratos com fornecedores e prestadores de serviços para garantir que contenham cláusulas de proteção e transferência de dados.
• Estabeleça um processo claro para receber e responder às solicitações dos titulares (acesso, correção, exclusão) dentro dos prazos legais.
• Nomeie um encarregado de proteção de dados, mesmo que em meio período, como ponto claro de responsabilidade.
• Monte um plano de resposta a incidentes para que todos saibam quem faz o quê quando ocorrer um vazamento.

O lado técnico: onde as empresas realmente falham

A maioria das lacunas não tem a ver com intenção — tem a ver com sistemas. Muitas organizações têm uma política de privacidade escrita, mas seus sistemas não a aplicam: os dados dos clientes são copiados para inúmeras planilhas e arquivos, não há uma forma automatizada de excluí-los quando o prazo de retenção termina e não existe registro que mostre quem acessou o quê e quando. É aqui que a conformidade deixa de ser um documento e vira engenharia. Na prática, isso significa: controles de acesso, criptografia dos dados sensíveis, logs de auditoria que comprovem cada operação, retenção e exclusão automatizadas, uma interface que permita aos titulares exercer seus direitos e controles técnicos sobre qualquer transferência para fora do Reino. O formulário pergunta sobre essas capacidades, e uma resposta honesta exige um sistema, não uma promessa.

Como a Origami ajuda

Como empresa de tecnologia, tratamos a conformidade como um problema de engenharia que tem solução. Ajudamos as organizações a transformar os requisitos da PDPL em controles reais dentro dos seus sistemas: mapas de dados precisos, gestão de consentimento, políticas automatizadas de retenção e exclusão, logs de auditoria, painéis para gerenciar as solicitações dos titulares e controles de transferências internacionais. O objetivo é que sua resposta ao formulário de verificação não seja apenas palavras, mas um sistema que comprove sua conformidade automaticamente sempre que a SDAIA pedir.

Conclusão

O envio do formulário de verificação de conformidade sinaliza que o período de carência acabou e que a SDAIA está passando a exigir comprovação proativa de conformidade. As empresas que prepararem seus dados e sistemas agora tratarão o formulário como rotina; as que adiarem podem descobrir suas lacunas no pior momento possível — durante a própria revisão. Comece hoje pelo seu mapa de dados.

Fontes

• Autoridade Saudita de Dados e Inteligência Artificial (SDAIA) — Regulamentos e políticas: sdaia.gov.sa
• Clyde & Co — SDAIA's PDPL Compliance Verification Form (julho de 2026): clydeco.com
• IAPP — A autoridade de proteção de dados da Arábia Saudita intensifica a fiscalização: iapp.org