акон Саудовской Аравии о защите персональных данных (PDPL), контролируемый SDAIA, распространяется на SMS-сообщения A2P и OTP-коды, поскольку номер мобильного телефона является персональными данными. Отправители выступают в качестве контролеров или обработчиков данных, им необходимо законное основание, такое как согласие, и они должны соблюдать правила трансграничной передачи данных, регулирующие места хранения и обработки содержимого сообщений, метаданных доставки и журналов.
В этом посте рассматривается уровень защиты данных. Информацию о режиме регистрации и маршрутизации идентификаторов отправителей, устанавливаемом телекоммуникационным регулятором, можно найти в нашем сопроводительном руководстве по правилам CST (ранее CITC) для идентификаторов отправителей в Саудовской Аравии и на странице страны Саудовская Аравия. Эти два режима частично совпадают, и вы должны соблюдать оба.
Что представляет собой PDPL и кто обеспечивает его соблюдение?
Закон о защите персональных данных (PDPL) был издан Королевским указом M/19 от 2021 года и изменен Королевским указом M/148 от 2023 года. Он вступил в силу 14 сентября 2023 года, а активное применение закона началось после годичного льготного периода с 14 сентября 2024 года. Контроль за его соблюдением осуществляет Управление по данным и искусственному интеллекту Саудовской Аравии (SDAIA) вместе с его Положениями о применении и отдельным Положением о передаче персональных данных за пределы Королевства. Закон распространяется на любую обработку персональных данных лиц, проживающих в Саудовской Аравии, включая обработку, осуществляемую организациями, расположенными за пределами Королевства, поэтому международная коммерческая деятельность, рассылающая сообщения саудовским клиентам, полностью подпадает под его действие, даже если ее серверы находятся в другом месте. См. обзор страны в разделе правила для Саудовской Аравии.
Номера телефонов являются персональными данными.
В соответствии с Законом о защите персональных данных (PDPL), персональными данными считаются любые данные, которые прямо или косвенно идентифицируют физическое лицо. Номер мобильного телефона — MSISDN, на который вы отправляете сообщение, — идентифицирует и относится к конкретному человеку, поэтому сам по себе является персональными данными. Это включает в себя множество данных, обрабатываемых отправителем сообщения: списки получателей, записи о запросах и подтверждении одноразовых паролей (OTP), отчёты о доставке (DLR), привязанные к номеру, тела сообщений, содержащие имена или данные учетных записей, а также временные метки, IP-адреса и сетевые метаданные, генерируемые на протяжении всего пути. Рассматривать номер как «просто технический идентификатор» — это наиболее распространенное и дорогостоящее неверное толкование закона.
Правовые основания, согласие и минимизация данных
Каждая отправка должна иметь законное основание. В соответствии с Законом о защите персональных данных (PDPL) основным основанием является согласие, а поправка 2023 года признала дополнительные основания, включая законный интерес к неконфиденциальным данным, исполнение договора и соблюдение юридических обязательств. На практике маркетинговый трафик должен основываться на явном, доказуемом согласии на получение данных с работающей функцией отказа от получения — чего также ожидает телекоммуникационный регулятор, — в то время как одноразовые пароли (OTP) и транзакционные сообщения обычно основаны на договорной необходимости или законном интересе, поскольку пользователь запросил вход в систему или завершение транзакции. Два дополнительных принципа обязательны для вас на протяжении всего процесса: ограничение цели (используйте номер только для того, на что согласился пользователь) и минимизация данных (собирайте и храните только те поля, которые вам действительно необходимы). Классификация, которую вы указываете для регистрации идентификатора отправителя CST, должна соответствовать законному основанию, на которое вы опираетесь в соответствии с PDPL.
Обязанности контроллера и обработчика, сопоставляемые с отправителем сообщения.
Если вы определяете, почему и как обрабатываются эти данные, вы являетесь контроллером; ваш поставщик CPaaS или агрегатор, действующий по вашим инструкциям, обычно является обработчиком. Оба несут свои обязанности, и отношения должны регулироваться письменным соглашением об обработке данных. В таблице показано, как основные обязательства PDPL соотносятся с тем, что каждое из них означает для предприятия, отправляющего A2P SMS или OTP в Королевство.
| обязательство PDPL | Что это значит для отправителя сообщений? |
|---|---|
| Правовое основание и согласие | Для каждого типа трафика необходимо иметь веские основания: явное согласие на получение маркетинговых сообщений и отказ от них с учетом ваших пожеланий. |
| Ограничение и минимизация целей | Отправляйте сообщения только на номера, собранные для этой цели; сохраняйте только необходимые поля. |
| Протоколы обработки | Ведите учет того, какие персональные данные вы отправляете, зачем, куда они поступают и как долго вы их храните. |
| Права субъектов данных | Соблюдайте правила доступа, исправления, удаления и отзыва согласия в отношении номеров, которыми вы владеете. |
| Управление процессором | Заключите с вашим поставщиком или агрегатором соглашение об обработке данных, охватывающее вопросы безопасности и субподрядчиков. |
| Трансграничный перевод | Перемещайте данные за пределы Саудовской Аравии только в соответствии с условиями передачи PDPL; предварительно оцените страну назначения. |
| Уведомление о нарушении | Сообщите в SDAIA в течение 72 часов с момента обнаружения проблемы; сообщите пострадавшим лицам, если существует вероятность причинения вреда. |
Размещение данных и трансграничная передача — что это действительно применимо.
Именно здесь чаще всего неправильно понимают понятие «резидентство в Саудовской Аравии». Измененный Закон о защите персональных данных не вводит обязательное требование локализации всех персональных данных. Вместо этого, его статья 29 и Положение о передаче персональных данных разрешают передачу данных за пределы Королевства при соблюдении следующих условий: передача должна служить разрешенной цели, не должна наносить ущерб национальной безопасности или жизненно важным интересам Королевства, должна осуществляться в страну, которую SDAIA оценивает как обеспечивающую адекватный уровень защиты, или должна быть охвачена соответствующими гарантиями (такими как стандартные договорные положения, обязательные правила или сертификация), может потребовать оценки риска передачи и должна ограничиваться минимальным объемом необходимых данных.
Итак, где должны храниться метаданные и журналы обмена сообщениями? Для большей части A2P-трафика персональные данные могут законно обрабатываться за границей, если соблюдены соответствующие условия передачи. Однако строгие требования к размещению данных внутри Королевства обусловлены тремя факторами, которые дополняют PDPL: отраслевыми регуляторами — прежде всего, правилами центрального банка для банковской и финтех-индустрии, которые обязывают регулируемые финансовые данные оставаться внутри Саудовской Аравии; национальной системой классификации данных и облачными платформами, которые повышают требования к размещению данных по мере роста их конфиденциальности; и корпоративными контрактами, которые просто это требуют. Практическое следствие для отправителя — классифицировать генерируемые данные — записи OTP, журналы DLR, метаданные маршрутизации, архивы сообщений — и позволить этой классификации, а также сектору вашего клиента, определить, могут ли данные покинуть Королевство или должны храниться в регионе. Продумывайте путь передачи данных; посмотрите, как мы подходим к потокам данных и изоляции в нашей архитектуре безопасности.
Уведомление о нарушении и подотчетность
Закон о защите персональных данных (PDPL) требует от контролера уведомлять SDAIA о нарушении защиты персональных данных и информировать пострадавших лиц о том, где нарушение может причинить им вред, в сроки, установленные в Имплементационном регламенте — оперативный период составляет 72 часа с момента обнаружения нарушения. Ответственность обеспечивается документацией: записи об обработке данных, сопоставление законных оснований, оценки передачи данных и соглашения с обработчиками данных — вот что демонстрирует соответствие требованиям, если этого потребует регулирующий орган. Что касается штрафов, опубликованный закон предусматривает штрафы до 5 миллионов саудовских риалов за нарушения, которые могут быть удвоены за повторные нарушения, а также отдельные уголовные наказания за незаконное разглашение конфиденциальных данных. Вместо того чтобы зацикливаться на заголовках, следует рассматривать скрытое несоответствие требованиям потока данных как реальный операционный риск.
Контрольный список соответствия требованиям для A2P SMS и OTP в Саудовской Аравии
- Составьте карту потоков данных — определите каждую точку, где саудовский MSISDN и связанные с ним метаданные собираются, передаются, хранятся и регистрируются от начала до конца.
- Необходимо установить законное основание для каждого типа трафика — явное согласие с возможностью отказа от получения маркетинговых сообщений; договорная необходимость или законный интерес для одноразовых паролей и транзакционных сообщений.
- Классифицируйте данные и определите местонахождение — выясните правила для каждого сектора (например, банковский) и необходимо ли, чтобы записи OTP, журналы DLR и метаданные оставались в пределах Королевства.
- Заключите с вашим поставщиком или агрегатором CPaaS соглашение об обработке данных, охватывающее вопросы безопасности, субподрядчиков и сотрудничества в случае утечки данных.
- Сведите к минимуму и настройте срок хранения — храните записи OTP и подтверждения только до тех пор, пока это необходимо, и удаляйте содержимое сообщений после завершения доставки и проверки.
- Подготовьте план действий в случае утечки данных — 72-часовой процесс уведомления в соответствии с Законом об информационной безопасности и доступе к информации (SDAIA), включающий ответственных лиц, шаблоны и правило принятия решений для информирования отдельных лиц.
- Приведите свои данные в соответствие с телекоммуникационным режимом — зарегистрируйте идентификаторы отправителей и перенаправляйте данные по утвержденным каналам в соответствии с правилами CST, чтобы оба режима оставались согласованными.
- Перед запуском системы проконсультируйтесь с местным юристом, чтобы подтвердить действующие нормативные акты и любые отраслевые обязательства.
Отправка SMS-сообщений или одноразовых паролей (OTP) в Саудовскую Аравию – вот где преимущества маршрутизации и соответствия стандартам MENA проявляются в полной мере. Компания BroadNet с 2003 года осуществляет прямые, одобренные операторские соединения с Саудовской Аравией, имеет сертификаты ISO 27001, ISO 9001 и ISO 22301, поддерживает SOC 2 и может обеспечить регистрацию идентификатора отправителя, маршрутизацию и обработку данных в соответствии с вашими требованиями к защите персональных данных (PDPL) – см. соответствие стандартам и нашу архитектуру безопасности.
Часто задаваемые вопросы
Распространяется ли саудовский закон о защите персональных данных на SMS?
Да. Закон о защите персональных данных (PDPL) регулирует обработку персональных данных, а номер мобильного телефона является персональными данными, поэтому отправка SMS-сообщений A2P или OTP-кода получателю из Саудовской Аравии подпадает под его действие. Он применяется даже к отправителям, находящимся за пределами Королевства, когда они обрабатывают данные лиц, проживающих в Саудовской Аравии. Необходимо иметь законное основание, соблюдать права субъектов данных и следовать правилам передачи любых журналов или метаданных, покидающих страну.
Где должны храниться данные сообщений для Саудовской Аравии?
Измененный закон о защите персональных данных не является всеобъемлющим требованием локализации — персональные данные могут обрабатываться за пределами Королевства при соблюдении условий передачи, включая оценку адекватности или соответствующие гарантии и минимизацию данных. Однако, согласно отраслевым правилам (в частности, для банковского сектора и финтех-компаний), правилам классификации данных и облачным платформам по мере повышения уровня конфиденциальности, а также корпоративным контрактам, проживание в Королевстве часто требуется. Классифицируйте свои записи OTP, журналы DLR и метаданные, а затем пусть эта классификация и отрасль клиента определяют порядок обработки.
Подпадают ли данные телефонных номеров клиентов под действие Закона о защите персональных данных (PDPL)?
Да. В соответствии с Законом о защите персональных данных (PDPL) персональные данные — это любые данные, которые прямо или косвенно идентифицируют физическое лицо, и номер телефона именно это и делает. Это означает, что списки получателей, записи об одноразовых паролях и подтверждении, отчёты о доставке, привязанные к номеру, а также связанные с ними временные метки и сетевые метаданные — все это подпадает под действие закона. Обрабатывайте их на законных основаниях, минимизируя объемы, соблюдая ограничения по хранению, а также используя средства обеспечения безопасности и контроля при передаче, предусмотренные законом.
Ссылки
- SDAIA — Закон о защите персональных данных (PDPL) и соответствующие нормативные акты: sdaia.gov.sa
- Комиссия по связи, космосу и технологиям (CST) — регулирование телекоммуникаций и обмена сообщениями: cst.gov.sa
- BroadNet — Правила идентификатора отправителя CST Саудовской Аравии и Правила Саудовской Аравии.
- BroadNet — соответствие требованиям и архитектура безопасности.