SDAIA, Veri Düzenleyici Kum Havuzunda Kişisel Veri Koruması için kayıtları açtı

Riyad, 6 Ekim 2026 — Suudi Veri ve Yapay Zeka Otoritesi (SDAIA), Veri Düzenleyici Kum Havuzu bünyesindeki Kişisel Veri Koruma Pisti için kayıtların açıldığını duyurdu. Kayıt süresi iki ay boyunca açık kalacak.

Suudi basın ajansı SPA’nın bildirdiğine göre duyuru Pazartesi günü yapıldı. Program, Kişisel Veri Koruma Kanunu ve Uygulama Yönetmeliklerine uyumu, Ulusal Veri Yönetişimi Platformu üzerinden mümkün kılmayı amaçlıyor.

Pist, kişisel veri işlemeye dayalı yenilikçi ürün veya hizmetlere sahip özel kuruluşları hedefliyor. Bu kuruluşlar, ürün veya hizmetlerini düzenleyici gözetim altında test edebilecek ve Kişisel Veri Koruma Kanunu ile Uygulama Yönetmeliklerine uyumlarını destekleyebilecek.

Programın tanımlanan amacı, veri sahiplerinin haklarını korumak ve kişisel verilerin toplanması, işlenmesi ve kullanılmasında ürün ve hizmet geliştirmenin ilk aşamalarından itibaren sorumlu uygulamaları teşvik etmek olarak açıklandı.

Başvuru koşulları arasında, başvuranların Suudi Arabistan Krallığı’nda faaliyet gösteren lisanslı özel kuruluşlar olması ve ürün veya hizmetlerinin kişisel veri işlemeyi içermesi yer alıyor. Ayrıca başvuranların Ulusal Veri Yönetişimi Platformu’ndaki Ulusal Kişisel Veri Koruma Siciline kayıtlı olması gerekiyor.

SDAIA, uygun koşulları taşıyan kuruluşlara kayıt döneminden yararlanma ve başvurularını Ulusal Veri Yönetişimi Platformu üzerinden gönderme çağrısı yaptı.

Peki iki aylık kayıt penceresi, kişisel veri işleyen bir ürünü henüz geliştirme aşamasında olan bir şirket için ne anlama geliyor? Düzenleyici gözetim altında test etme imkanı, uyum maliyetlerini ürünün erken aşamalarına taşıyarak sonradan yapılacak düzeltmelerin önüne geçmeyi mi hedefliyor?

Duyurunun merkezinde Ulusal Veri Yönetişimi Platformu yer alıyor. Hem kayıt süreci hem de Ulusal Kişisel Veri Koruma Sicili bu platform üzerinden işliyor. Bu, başvuru sahibi kuruluşların yalnızca kum havuzu pistine değil, aynı zamanda ulusal düzeyde tutulan bir sicile de kayıtlı olmasını gerektiriyor.

Kayıt koşullarının iki katmanlı yapısı dikkat çekiyor: bir yanda Krallık’ta faaliyet gösteren lisanslı özel kuruluş olma şartı, diğer yanda kişisel veri işleme faaliyetinin ürün veya hizmetin ayrılmaz parçası olması şartı. Bu iki koşulun birlikte aranması, pistin kapsamını yalnızca veriyle doğrudan çalışan iş modelleriyle sınırlıyor.

Kişisel Veri Koruma Kanunu ve Uygulama Yönetmeliklerine uyum, duyuruda programın açık hedefi olarak yer alıyor. Metin, uyumun yalnızca denetim sonrası bir yükümlülük değil, ürün ve hizmet geliştirmenin ilk aşamalarından itibaren gözetilmesi gereken bir unsur olarak konumlandırıldığını gösteriyor.

Veri sahiplerinin haklarının korunması da aynı cümlede vurgulanan unsurlar arasında. Toplama, işleme ve kullanma aşamalarının tamamı bu çerçevede anılıyor. Yani pist, yalnızca şirketlerin uyum kapasitesini değil, bireylerin verileri üzerindeki haklarını da merkeze alan bir yaklaşımı yansıtıyor.

Peki düzenleyici gözetim altında test etme modeli, katılımcı şirketlere hangi pratik avantajı sağlıyor? Bir ürünü piyasaya sürmeden önce düzenleyiciyle aynı çerçevede çalışmak, sonradan doğabilecek uyum risklerini azaltmanın yanı sıra ürün tasarımını da şekillendirebilir mi?

SDAIA’nın çağrısı, uygun kuruluşlara kayıt döneminden yararlanmaları yönünde. Başvuruların Ulusal Veri Yönetişimi Platformu üzerinden gönderilmesi isteniyor. Bu, sürecin tek bir dijital kanal üzerinden yürütüleceğini gösteriyor.

Kayıt süresinin iki ay olarak belirlenmesi, başvuru sahibi kuruluşlar için sınırlı bir pencere anlamına geliyor. Bu sürenin sonunda ne olacağı, pistin kalıcı mı yoksa dönemsel mi işleyeceği duyuruda yer almıyor.

Programın hedef kitlesi tanımlanırken “yenilikçi ürün veya hizmetler” ifadesi kullanılıyor. Bu ifade, pistin yalnızca mevcut uyum süreçlerini belgeleyen kuruluşlara değil, kişisel veri işlemeye dayanan yeni iş modelleri geliştirenlere yöneldiğini gösteriyor.

Düzenleyici kum havuzu kavramı, katılımcıların belirli bir gözetim çerçevesinde faaliyet göstermesini içeriyor. Duyuruda bu gözetimin kapsamı, süresi veya katılımcılara tanınacak esnekliklerin sınırları ayrıntılandırılmıyor.

Peki kişisel veri işleyen bir hizmeti olan ancak Ulusal Kişisel Veri Koruma Siciline henüz kayıtlı olmayan bir kuruluş için süreç nasıl işleyecek? Sicil kaydı ön koşul olarak belirtildiğine göre, bu kaydın tamamlanması başvurunun önünde ek bir adım oluşturuyor.

Duyuruda yer alan bir diğer unsur, pistin amacının yalnızca uyum değil, aynı zamanda sorumlu uygulamaların teşviki olduğu. Metin, sorumlu uygulamaları toplama, işleme ve kullanma faaliyetlerinin tamamına yayıyor.

Bu yaklaşım, veri koruma uyumunu bir son kontrol noktası olmaktan çıkarıp geliştirme sürecinin parçası haline getirmeyi amaçlıyor. Ürün ve hizmet geliştirmenin ilk aşamalarından itibaren sorumlu uygulamaların benimsenmesi, duyurunun en net ifadelerinden biri.

SDAIA’nın duyurusu, kayıt sürecinin nasıl değerlendirileceğine dair bir takvim sunmuyor. Başvuruların ne zaman sonuçlanacağı, kaç kuruluşun kabul edileceği veya pistin kaç katılımcıyla başlayacağı belirtilmiyor.

Peki iki aylık kayıt penceresinin ardından değerlendirme süreci ne kadar sürecek? Katılımcı kuruluşlar, düzenleyici gözetim altında test sürecine ne zaman başlayacak?

Duyuruda pistin adı “Kişisel Veri Koruma Pisti” olarak geçiyor ve Veri Düzenleyici Kum Havuzu’nun bir parçası olduğu belirtiliyor. Kum havuzunun diğer pistlerinin neler olduğu veya bu pistin kum havuzu içindeki konumu bu metinde açıklanmıyor.

Başvuru koşullarının üçüncü maddesi, Ulusal Veri Yönetişimi Platformu’ndaki Ulusal Kişisel Veri Koruma Siciline kayıtlı olma şartını içeriyor. Bu, platformun hem kayıt hem sicil işlevini birlikte yürüttüğünü gösteriyor.

Lisanslı özel kuruluş şartı, kamu kurumlarının ve lisanssız faaliyet gösteren yapıların pistin dışında kaldığını ortaya koyuyor. Duyuruda özel sektöre yapılan bu vurgu, programın ticari veri işleme faaliyetlerine odaklandığını gösteriyor.

Krallık’ta faaliyet gösterme şartı ise coğrafi bir sınır çiziyor. Başvuran kuruluşların Suudi Arabistan Krallığı’nda faaliyet gösteriyor olması gerekiyor.

Peki kişisel veri işleyen ancak henüz lisans sürecini tamamlamamış bir girişim, bu pistin kapsamına girebilir mi? Lisans şartı, erken aşama girişimler için bir engel mi yoksa bir kalite filtresi mi işlevi görüyor?

Duyurunun dili, programın hem şirketler hem de veri sahipleri açısından fayda üretmesini hedefliyor. Şirketler için düzenleyici gözetim altında test imkanı, veri sahipleri için ise hakların korunması öne çıkıyor.

Kişisel verilerin toplanması, işlenmesi ve kullanılması süreçlerinin tamamının anılması, pistin yalnızca depolama veya aktarım gibi tek bir aşamaya odaklanmadığını gösteriyor.

SDAIA’nın çağrısı, uygun kuruluşlara yönelik bir davet olarak kurgulanmış. Metinde başvuru sayısına, kontenjana veya seçim kriterlerinin ağırlığına dair bir bilgi yer almıyor.

Kayıt süresinin iki ay olarak açıklanması, programın takvimine dair tek somut veri. Başlangıç tarihi duyuru günü olan 6 Ekim 2026 olarak okunabilir, ancak metin bitiş tarihini açıkça yazmıyor.

Peki iki aylık sürenin sonunda kayıtlar kapanacak mı, yoksa yeni bir dönem mi açılacak? Bu sorunun yanıtı duyuruda yer almıyor.

Programın adında geçen “kum havuzu” ifadesi, katılımcıların gerçek düzenleyici yükümlülüklerden tamamen muaf tutulduğu anlamına gelmiyor. Metin, test faaliyetinin düzenleyici gözetim altında yürütüleceğini açıkça belirtiyor.

Bu gözetimin nasıl işleyeceği, hangi raporlama yükümlülüklerinin doğacağı veya katılımcılardan hangi belgelerin isteneceği duyuruda ayrıntılandırılmıyor.

Kişisel Veri Koruma Kanunu ve Uygulama Yönetmeliklerine uyum, programın çerçevesini oluşturuyor. Pist, bu çerçeveye uyumu desteklemeyi amaçlıyor.

Duyuruda yer alan bilgiler, programın kapsamını ve başvuru koşullarını ortaya koyuyor. Buna karşılık pistin süresi, katılımcı sayısı, değerlendirme takvimi, test sürecinin aşamaları ve olası yaptırım veya muafiyet mekanizmaları metinde yer almıyor.

Ulusal Veri Yönetişimi Platformu, hem başvuru hem sicil işlemleri için tek adres olarak gösteriliyor. Platformun pist sürecindeki diğer işlevleri duyuruda açıklanmıyor.

SDAIA’nın duyurusu, kişisel veri işleyen özel sektör kuruluşlarına yönelik bir kayıt çağrısıyla sınırlı. Programın ilerleyen aşamalarına dair bir takvim veya yol haritası paylaşılmıyor.

Peki düzenleyici gözetim altında test etme deneyimi, katılımcı kuruluşların sonraki uyum süreçlerinde nasıl bir referans oluşturacak? Pistten çıkan sonuçların genel uygulamaya dönüşüp dönüşmeyeceği şimdilik açık bir soru olarak duruyor.

SDAIA hangi program için kayıt açtı? SDAIA, Veri Düzenleyici Kum Havuzu bünyesindeki Kişisel Veri Koruma Pisti için kayıtların açıldığını duyurdu. Program, Kişisel Veri Koruma Kanunu ve Uygulama Yönetmeliklerine uyumu Ulusal Veri Yönetişimi Platformu üzerinden mümkün kılmayı amaçlıyor. Kayıt süresi iki ay açık kalacak. Duyuru, Suudi basın ajansı SPA tarafından 6 Ekim 2026 tarihinde yayımlandı.

Pist hangi kuruluşları hedefliyor? Pist, kişisel veri işlemeye dayalı yenilikçi ürün veya hizmetlere sahip özel kuruluşları hedefliyor. Başvuranların Krallık’ta faaliyet gösteren lisanslı özel kuruluşlar olması ve ürün veya hizmetlerinin kişisel veri işlemeyi içermesi gerekiyor. Ayrıca Ulusal Veri Yönetişimi Platformu’ndaki Ulusal Kişisel Veri Koruma Siciline kayıtlı olmaları şart. Kamu kurumları ve lisanssız yapılar kapsam dışında kalıyor.

Programın amacı ne olarak açıklandı? Program, katılımcıların ürün veya hizmetlerini düzenleyici gözetim altında test etmesini ve Kişisel Veri Koruma Kanunu ile Uygulama Yönetmeliklerine uyumlarının desteklenmesini amaçlıyor. Duyuruda ayrıca veri sahiplerinin haklarının korunması ve kişisel verilerin toplanması, işlenmesi ve kullanılmasında sorumlu uygulamaların ürün geliştirmenin ilk aşamalarından itibaren teşvik edilmesi hedef olarak belirtildi.

Başvurular nereden ve ne zaman yapılacak? Başvurular Ulusal Veri Yönetişimi Platformu üzerinden gönderilecek. SDAIA, uygun koşulları taşıyan kuruluşlara kayıt döneminden yararlanma çağrısı yaptı. Kayıt süresi iki ay boyunca açık kalacak. Duyuru 6 Ekim 2026 tarihli olup kayıt penceresinin bitiş tarihi metinde açıkça belirtilmedi.

Başvuru için hangi ön koşullar aranıyor? Başvuranların Krallık’ta faaliyet gösteren lisanslı özel kuruluşlar olması, ürün veya hizmetlerinin kişisel veri işlemeyi içermesi ve Ulusal Veri Yönetişimi Platformu’ndaki Ulusal Kişisel Veri Koruma Siciline kayıtlı olması gerekiyor. Bu üç koşul birlikte aranıyor; sicil kaydı başvurunun önünde ek bir adım oluşturuyor.

Duyuruda hangi bilgiler yer almıyor? Duyuruda pistin süresi, kabul edilecek katılımcı sayısı, değerlendirme takvimi, test sürecinin aşamaları ve olası muafiyet veya yaptırım mekanizmaları yer almıyor. Kum havuzunun diğer pistleri ve bu pistin kum havuzu içindeki konumu da açıklanmıyor. Kayıt penceresinin bitiş tarihi ile başvuruların ne zaman sonuçlanacağı belirtilmiyor.