La registrazione dei titolari del trattamento dati in Arabia Saudita rappresenta uno degli elementi cardine della nuova normativa sulla protezione dei dati personali. Con l’entrata in vigore della Personal Data Protection Law (PDPL), il Regno ha finalmente dotato il paese di una disciplina organica, introducendo l’obbligo per i Titolari di iscriversi al Registro Nazionale gestito dalla Saudi Data & Artificial Intelligence Authority.
Indice degli argomenti
L’entrata in vigore della PDPL e il periodo di grazia per i titolari del trattamento dati in Arabia Saudita
Il 14 settembre 2023 è entrata in vigore in Arabia Saudita, insieme ai suoi Regolamenti di attuazione (The Implementing Regulation of the Personal Data Protection Law e The Regulation on Personal Data Transfer outside the Kingdom), la prima legge unitaria sulla protezione dei dati personali (PDPL), sottraendo di fatto tale disciplina ai principi generali della Shari’ah.
Dunque, dal 14 settembre 2023 è iniziato a decorrere un periodo “di grazia” di 1 anno (terminato il 14 settembre 2024) di cui i Titolati del Trattamento hanno potuto godere per allinearsi alla nuova normativa sulla privacy.
Come noto, a livello territoriale, la Personal Data Protection Law si applica a entità saudite che effettuano attività di trattamento dei dati personali nel Regno, nonché sul piano extra-territoriale, alle entità localizzate al di fuori del Regno per le attività di trattamento dei dati personali di soggetti che risiedono in Arabia Saudita.
La registrazione dei titolari del trattamento sulla National Data Governance Platform
Pertanto, in conformità con le previsioni legali, la Saudi Data & Artificial Intelligence Authority (SDAIA) – quale Autorità di protezione dei dati personali del Regno – ha assunto, tra gli altri, il compito di tenere un Registro Nazionale dei Titolari del Trattamento [Art. 30(4)(c) PDPL], per monitorare la loro conformità alla PDPL, e di emettere linee guida relative all’obbligo di registrazione dei Titolari.
A tal fine, il 15 settembre 2024 la SDAIA ha pubblicato sul proprio profilo LinkedIn una serie di post per invitare i Titolari del Trattamento del settore pubblico e privato a registrarsi sulla National Data Governance Platform, una piattaforma nazionale che offre servizi online – quali ad esempio canali per presentare reclami ovvero comunicare gli incidenti di sicurezza – così da meglio proteggere i dati personali (considerati un asset nazionale) e salvaguardare i diritti degli individui da possibili violazioni della privacy conseguenti al trattamento dei loro dati.
Occorre tuttavia precisare che, solo a decorrere dal dicembre 2024, l’Autorità ha di fatto iniziato ad accettare le domande di registrazione inviate anche dai Titolari del Trattamento-Enti privati.
Caratteristiche e validità del certificato di registrazione per i titolari del trattamento
Le comunicazioni LinkedIn sono state precedute dall’emissione da parte della SDAIA di linee guida (Rules Governing the National Register of Controllers Within the Kingdom) pubblicate il 31 agosto 2024, con l’obiettivo di supportare i Titolari (Enti pubblici e privati che raccolgono e trattano dati personali, anche sensibili, di cittadini e residenti del Regno) e le persone fisiche (che svolgono attività di trattamento di tali dati in Arabia Saudita per scopi ulteriori dall’uso personale o familiare) nella fase di registrazione.
Una volta completata la registrazione (iter che attualmente non prevede alcun costo di servizio), chiunque può accertare l’iscrizione dei Titolari nel Registro, essendo sufficiente inserire nel motore di ricerca il nome del Titolare o il numero di registrazione. Infatti, il certificato di registrazione è un documento pubblico che include alcune informazioni quali il nome e i dati di contatto dell’Ente registrato.
Il certificato di registrazione inoltre ha una validità massima di 5 anni. Il Titolare dunque, prima dello spirare di questo termine, riceverà dall’Autorità (almeno 30 giorni prima della scadenza) una notifica per il rinnovo del certificato. Qualora il rinnovo dovesse avvenire dopo lo spirare della validità del documento, sarà emesso un nuovo certificato recante lo stesso numero di registrazione del precedente.
Anche laddove il certificato fosse scaduto, poi, il Titolare potrà comunque continuare ad accedere ai servizi della piattaforma per almeno 5 giorni ma, una volta concluso questo periodo “di grazia”, l’utilizzo dei servizi disponibili sarà possibile solo previa presentazione di una richiesta di rinnovo del certificato di registrazione da parte del Titolare.
Procedura di registrazione per i titolari-enti pubblici in Arabia Saudita
Ferme queste considerazioni preliminari e generali relative alla procedura di registrazione e al certificato emesso, è opportuno soffermarsi sull’iter di registrazione specificamente previsto per i Titolari-Enti pubblici, i quali devono:
- compilare il form di registrazione inviato dalla SDAIA con cui richiedere la registrazione sulla National Data Governance Platform e nel quale nominare contestualmente un rappresentante-delegato;
- la SDAIA, ricevuto il modulo, dovrà creare un account per il rappresentante del Titolare-Ente pubblico e notificargli via sms di essere stato nominato quale delegato dell’Ente sulla piattaforma;
- il delegato dovrà poi loggarsi sulla piattaforma attraverso il National Single Sig-On (Nafath) scegliendo il canale di registrazione previsto per gli Enti pubblici, completare il profilo dell’Ente con le necessarie informazioni, valutare in tale sede se occorre nominare un DPO e, una volta completati tutti gli step per la registrazione, ottenere il certificato.
Iter di registrazione per i titolari-enti privati secondo la PDPL saudita
Anche per la registrazione dei Titolari-Enti privati, l’Autorità ha previsto alcuni passaggi da rispettare:
- l’organizzazione può nominare un rappresentante/delegato che effettui la registrazione sulla Saudi Business Center Platform. Sul punto, tuttavia, si vuole precisare che, ove l’Ente non intenda delegare un rappresentante per la registrazione, potrà autonomamente loggarsi sulla piattaforma e procedere alla registrazione.
- Se nominato, il delegato dovrà loggarsi sulla piattaforma attraverso il National Single Sig-On (Nafath), dove dovrà selezionare nella sezione Electronic Services la sotto-sezione Inquiries and General Services, scegliere Saudi Business Center e infine cliccare su Servizio Deleghe (Delegations services) per creare una nuova delega; da ultimo,
- il delegato dovrà selezionare il Registro commerciale dell’ente, scegliere come fornitore del servizio la SDAIA e come servizio quello inerente la “rappresentanza per la registrazione sulla piattaforma e il completamento delle relative procedure” e
- completare le valutazioni per l’emissione del certificato di registrazione nel Registro nazionale. Sebbene questi passaggi appaiono in parte simili a quelli previsti per i Titolari-Enti pubblici, per i Titolari-Enti privati si devono rispettare ulteriori requisiti prima di procedere alla registrazione, ovvero
- possedere un account su Absher (l’applicazione ufficiale del Centro Informazioni Nazionali del Regno, gestita dal Ministero dell’Interno che offre servizi governativi);
- avere una registrazione commerciale attiva e
- avere (eventualmente) nominato un delegato presso il Saudi Business Center. Come visto poc’anzi per i Titolari-Enti pubblici, il delegato dell’Ente privato dovrà anche stabilire se sia necessario nominare uno o più DPO (nei casi previsti dall’Art. 32 del Regolamento attuativo), potendo anche designare se stesso ove sia stato indicato come tale dal Titolare.
In sede di registrazione, il delegato dovrà inserire i dati del Titolare (ad es., il logo dell’Ente e la sede principale), i propri dati di contatto ufficiali e, ove designato, anche quelli del DPO (in questo caso, se si tratta di una persona sita fuori dal Regno servirà indicare anche il suo nome e cognome, oltre all’indirizzo e-mail e al numero telefonico ufficiali; se al contrario si tratta di un DPO che è anche dipendente del Titolare ovvero un soggetto esterno all’Ente ma localizzato in Arabia Saudita, occorrerà includere la National ID/Residency Number per reperire i suoi dati, nonché la data di nascita per verificare che il documento/numero indicato sia corretto e i suoi dati di contatto.
Obblighi di aggiornamento dati e prospettive future sulla registrazione
Conclusivamente, il delegato dell’Ente (sia pubblico che privato) sarà tenuto ad aggiornare regolarmente i dati del Titolare inseriti, così che siano sempre corretti, e il Titolare-Ente dovrà invece comunicare tramite la piattaforma alla SDAIA l’intenzione di sostituire il rappresentante nominato, dovendo in tal caso compilare lo specifico modulo disponibile se si tratta di un Titolare-Ente privato. Questo onere di aggiornamento delle informazioni inserite in fase di auto-registrazione sulla piattaforma è posto a carico anche delle persone fisiche per i dati dalle stesse inseriti.
Per approfondimenti sulla legge saudita si segnala il relativo capitolo, a firma di una delle autrici, nel volume “Privacy Extra UE” (Maggioli, 2024).
Non resta dunque che attendere che l’Autorità per la protezione dei dati personali del Regno definisca delle regole ad hoc disciplinanti anche la procedura di registrazione dei Titolari del Trattamento localizzati fuori dall’Arabia Saudita.
