# PDPL (KSA): qué implica la Ley Saudí de Protección de Datos Personales para la mensajería

> La Ley de Protección de Datos Personales (PDPL, por sus siglas en inglés) es el marco integral de protección de datos del Reino de Arabia Saudita, vigente desde el 14 de septiembre de 2023 y de aplicación total a partir de septiembre de 2024. Regula la recopilación, el uso y la transferencia transfronteriza de datos personales de personas en Arabia Saudita, incluyendo el mensaje MSISDN que usted envía, el registro de consentimiento que usted conserva y el lugar del mundo donde se procesan esos datos.

- URL canónica: https://www.broadnet.me/es/answers/pdpl-ksa-explained
- Idioma: es
- Última revisión: 2026-05-27
- Editor: BroadNet (https://www.broadnet.me)

## ¿Quién lo hace cumplir?

La SDAIA (Autoridad Saudí de Datos e IA) es el organismo regulador. Las sanciones ascienden a hasta 5 millones de riales saudíes por infracción, con responsabilidad penal para los directivos del responsable del tratamiento en casos graves. Durante los primeros 18 meses, la postura de la SDAIA en materia de cumplimiento normativo ha sido más correctiva que punitiva (advertencias, medidas correctivas obligatorias), pero la ley permite las demandas colectivas y la SDAIA ha declarado explícitamente que las infracciones a gran escala en el ámbito de la mensajería son una prioridad.

## Residencia de datos

Los datos personales de los ciudadanos saudíes deben procesarse dentro del país, salvo que se aplique alguna de las tres excepciones siguientes: una decisión de adecuación (la SDAIA aún no ha emitido ninguna), el consentimiento explícito e informado para el uso transfronterizo específico o un permiso de la SDAIA. En el caso de la mensajería, esto significa que el SMSC, la interfaz de usuario de gestión de campañas y el almacén DLR deben estar ubicados en Arabia Saudita. BroadNet opera un centro de datos en Riad específicamente para mantener los datos de los clientes residentes en Arabia Saudita.

## Requisitos de consentimiento

El consentimiento debe ser informado, específico, otorgado libremente y registrado de forma fehaciente. Para el marketing por SMS, esto significa conservar un registro de suscripción (fecha y hora, origen, texto exacto del consentimiento mostrado al usuario) durante 5 años. La palabra clave STOP debe respetarse en un plazo de 24 horas y registrarse. CST coordina con SDAIA la aprobación del identificador de remitente para mensajes clasificados de marketing; un identificador de remitente sin registros de consentimiento verificables se revoca.

## Qué deben preguntar los compradores a su agregador

Tres preguntas. ¿Dónde se encuentra físicamente mi SMSC cuando envío mensajes a números de Arabia Saudita? ¿Dónde se almacenan mis DLR y el cuerpo de los mensajes? ¿Cuál es el formato y la política de retención del registro de consentimiento? Cualquier respuesta que mencione Frankfurt, Dublín o Londres no es válida para implementaciones que cumplan con la PDPL.

## Relacionado

- [Todas las respuestas](https://www.broadnet.me/es/answers)
- [Glosario](https://www.broadnet.me/es/answers)
- [RGPD para la mensajería: lo que los remitentes empresariales deben saber](https://www.broadnet.me/es/answers/gdpr-for-messaging)
- [Registro del identificador del remitente en Arabia Saudita: el proceso CST](https://www.broadnet.me/es/answers/sender-id-registration-ksa-cst)
- [Compliance](https://www.broadnet.me/es/compliance)
- [KSA regulations](https://www.broadnet.me/es/regulations/saudi-arabia)