a Ley de Protección de Datos Personales (PDPL) de Arabia Saudita, supervisada por la SDAIA, se aplica al tráfico de SMS y OTP A2P, ya que un número de teléfono móvil constituye un dato personal. Los remitentes actúan como responsables o encargados del tratamiento de datos, necesitan una base legal, como el consentimiento, y deben cumplir con las normas de transferencia transfronteriza que regulan dónde se pueden almacenar y procesar el contenido de los mensajes, los metadatos de entrega y los registros.
Esta publicación trata sobre la capa de protección de datos. Para obtener información sobre el régimen de registro y enrutamiento de identificadores de remitente (sender-id) administrado por el regulador de telecomunicaciones, consulte nuestra guía complementaria sobre las normas de identificadores de remitente de la CST (anteriormente CITC) de Arabia Saudita y la página de Arabia Saudita. Ambos regímenes se superponen y debe cumplir con ambos.
Qué es la PDPL y quién la hace cumplir
La Ley de Protección de Datos Personales (PDPL, por sus siglas en inglés) fue emitida por el Real Decreto M/19 de 2021 y modificada por el Real Decreto M/148 de 2023. Entró en vigor el 14 de septiembre de 2023, con aplicación efectiva tras un período de gracia de un año a partir del 14 de septiembre de 2024. Su supervisión corre a cargo de la Autoridad Saudí de Datos e Inteligencia Artificial (SDAIA), junto con su Reglamento de Aplicación y un Reglamento independiente sobre la Transferencia de Datos Personales fuera del Reino. La ley abarca cualquier tratamiento de datos personales de personas residentes en Arabia Saudí, incluido el tratamiento realizado por entidades con sede fuera del Reino; por lo tanto, una empresa internacional que se comunica con clientes saudíes está plenamente sujeta a ella, incluso si sus servidores se encuentran en otro lugar. Consulte la información general del país en Regulaciones para Arabia Saudí.
Los números de teléfono son datos personales.
Según la Ley de Protección de Datos Personales (PDPL, por sus siglas en inglés), los datos personales son cualquier dato que identifique a una persona física, directa o indirectamente. Un número de teléfono móvil (el MSISDN al que se envía un mensaje) identifica y se relaciona con una persona, por lo que constituye un dato personal en sí mismo. Esto abarca gran parte de la información que maneja el remitente de un mensaje: listas de destinatarios, registros de solicitud y verificación de códigos OTP, confirmaciones de entrega (DLR, por sus siglas en inglés) vinculadas a un número, cuerpos de mensajes que contienen nombres o detalles de la cuenta, y las marcas de tiempo, direcciones IP y metadatos de red generados durante la transmisión. Considerar el número como un simple identificador técnico es la interpretación errónea más común y costosa de la ley.
Base legal, consentimiento y minimización de datos
Cada envío necesita una base legal. El consentimiento es la base principal en la PDPL, y la enmienda de 2023 reconoció bases adicionales, incluido el interés legítimo para datos no sensibles, la ejecución de un contrato y el cumplimiento de una obligación legal. En la práctica, el tráfico de marketing debe basarse en un consentimiento explícito y demostrable con una opción de exclusión que funcione —que es también lo que espera el regulador de telecomunicaciones—, mientras que los mensajes OTP y transaccionales generalmente se basan en la necesidad contractual o el interés legítimo porque el usuario solicitó iniciar sesión o completar una transacción. Dos principios adicionales lo rigen en todo momento: limitación de la finalidad (usar el número solo para lo que la persona aceptó) y minimización de datos (recopilar y conservar solo los campos que realmente necesita). La clasificación que declare para registro de CST sender-ID debe coincidir con la base legal en la que se basa según la PDPL.
Funciones de controlador y procesador, asignadas a un remitente de mensajería.
Si usted decide por qué y cómo se procesan los números, usted es el responsable del tratamiento de datos; su proveedor de CPaaS o agregador, que actúa según sus instrucciones, suele ser el encargado del tratamiento. Ambos tienen obligaciones, y la relación debe regirse por un acuerdo de tratamiento de datos por escrito. La tabla relaciona las principales obligaciones de la PDPL con lo que cada una implica para una empresa que envía SMS A2P o OTP al Reino.
| obligación de PDPL | Qué significa para el remitente de un mensaje |
|---|---|
| Base jurídica y consentimiento | Mantener una base válida por tipo de tráfico; consentimiento explícito y derecho a optar por no participar en actividades de marketing. |
| Limitación y minimización del propósito | Enviar únicamente a los números recopilados para tal fin; almacenar solo los campos necesarios. |
| Registros de procesamiento | Mantenga un registro de qué datos personales envía, por qué, a dónde van y durante cuánto tiempo los conserva. |
| derechos del interesado | Respete el acceso, la corrección, la eliminación y la revocación del consentimiento para los números que usted posee. |
| Gobernanza del procesador | Vincule a su proveedor o agregador con un acuerdo de procesamiento de datos que abarque la seguridad y los subprocesadores. |
| Transferencia transfronteriza | Solo se deben transferir datos fuera de Arabia Saudita bajo las condiciones de transferencia de PDPL; primero se debe evaluar el destino. |
| Notificación de violación de seguridad | Notifique a SDAIA dentro de las 72 horas posteriores a tener conocimiento de la situación; informe a las personas afectadas cuando sea probable que se produzcan daños. |
Residencia de datos y transferencia transfronteriza: qué se aplica en la práctica.
Aquí es donde más se malinterpreta el concepto de "residencia de datos en Arabia Saudita". La Ley de Protección de Datos Personales (PDPL) modificada no impone una obligación general de localización de datos para todos los datos personales. En cambio, su artículo 29 y el Reglamento sobre la Transferencia de Datos Personales permiten las transferencias fuera del Reino bajo ciertas condiciones: la transferencia debe tener un propósito permitido, no debe perjudicar la seguridad nacional ni los intereses vitales del Reino, debe dirigirse a un destino que la Autoridad Saudí de Protección de Datos e Instituciones (SDAIA) considere que ofrece un nivel adecuado de protección o estar cubierta por salvaguardias apropiadas (como cláusulas contractuales estándar, normas vinculantes o certificación), puede requerir una evaluación de riesgos de la transferencia y debe limitarse a los datos mínimos necesarios.
¿Dónde deben almacenarse los metadatos y registros de mensajería? Para gran parte del tráfico A2P, los datos personales pueden procesarse legalmente en el extranjero si se cumplen las condiciones de transferencia. Sin embargo, la estricta residencia en el Reino se rige por tres factores que complementan la PDPL: los reguladores del sector —en particular, las normas del banco central para la banca y las fintech, que obligan a que los datos financieros regulados permanezcan dentro de Arabia Saudita—; los marcos nacionales de clasificación de datos y de nube, que elevan las expectativas de residencia a medida que aumenta la sensibilidad de los datos; y los contratos empresariales que simplemente lo exigen. La consecuencia práctica para un remitente es clasificar lo que genera —registros OTP, registros DLR, metadatos de enrutamiento, archivos de mensajes— y dejar que esa clasificación, junto con el sector de su cliente, determine si puede salir del Reino o debe alojarse en la región. Diseñe la ruta de datos de forma deliberada; consulte cómo abordamos los flujos de datos y el aislamiento en nuestra arquitectura de seguridad.
Notificación de incumplimientos y rendición de cuentas
La PDPL exige que el responsable del tratamiento notifique a la SDAIA cualquier violación de datos personales e informe a las personas afectadas cuando sea probable que la violación les cause daño, dentro de los plazos establecidos en el Reglamento de Aplicación: el plazo operativo es de 72 horas desde que se tenga conocimiento de la violación. La rendición de cuentas se basa en la documentación: los registros de procesamiento, el mapeo de la base legal, las evaluaciones de transferencia y los acuerdos con el procesador son los que demuestran el cumplimiento si el regulador lo solicita. En cuanto a las sanciones, la ley publicada establece multas de hasta 5 millones de SAR por infracciones, que pueden duplicarse en caso de reincidencia, con sanciones penales separadas para la divulgación ilícita de datos sensibles. En lugar de centrarse en las cifras principales, considere un flujo de datos que incumple silenciosamente la normativa como el verdadero riesgo operativo.
Lista de verificación de cumplimiento para SMS A2P y OTP en Arabia Saudita
- Mapee sus flujos de datos: identifique cada punto donde se recopila, transmite, almacena y registra un MSISDN saudí y sus metadatos relacionados, de principio a fin.
- Establecer una base legal para cada tipo de tráfico: consentimiento explícito con opción de exclusión para marketing; necesidad contractual o interés legítimo para OTP y transacciones.
- Clasificar los datos y decidir la residencia: determinar las normas del sector (por ejemplo, el sector bancario) y si los registros OTP, los registros DLR y los metadatos deben permanecer en el Reino.
- Establezca un acuerdo de procesamiento de datos con su proveedor o agregador de CPaaS que abarque la seguridad, los subprocesadores y la cooperación en caso de violación de seguridad.
- Minimice y configure la retención: conserve los registros de OTP y verificación solo durante el tiempo necesario y elimine los cuerpos de los mensajes después de la entrega y el período de auditoría.
- Prepare un manual de procedimientos para casos de violación de seguridad: un proceso de notificación SDAIA de 72 horas con responsables, plantillas y una regla de decisión para informar a las personas.
- Adaptarse al régimen de telecomunicaciones: registrar los identificadores de remitente y enrutar a través de los canales aprobados según las normas CST para que ambos regímenes se mantengan coherentes.
- Consulte con un asesor legal local para confirmar el Reglamento de Aplicación vigente y cualquier obligación específica del sector antes de la puesta en marcha.
El envío de SMS o OTP A2P a Arabia Saudita es donde el enrutamiento y el cumplimiento normativo propios de la región MENA resultan ventajosos. BroadNet opera interconexiones directas y aprobadas con operadores saudíes desde 2003, cuenta con las certificaciones ISO 27001, ISO 9001 e ISO 22301 y mantiene la certificación SOC 2. Además, puede alinear el registro de identificadores de remitente, el enrutamiento y el manejo de datos con su política de cumplimiento normativo (PDPL). Consulte compliance y nuestra security architecture.
Preguntas frecuentes
¿Se aplica la PDPL saudí a los SMS?
Sí. La Ley de Protección de Datos Personales (PDPL, por sus siglas en inglés) regula el tratamiento de datos personales, y un número de teléfono móvil se considera dato personal, por lo que el envío de SMS o códigos OTP a un destinatario saudí entra dentro de su ámbito de aplicación. Esto se aplica incluso a los remitentes con sede fuera del Reino cuando tratan datos de personas residentes en Arabia Saudí. Es necesario contar con una base legal, respetar los derechos del titular de los datos y cumplir con las normas de transferencia para cualquier registro o metadato que salga del país.
¿Dónde deben almacenarse los datos de mensajería para Arabia Saudita?
La PDPL modificada no impone una obligación general de localización: los datos personales pueden procesarse fuera del Reino si se cumplen las condiciones de transferencia, como una evaluación de adecuación o la aplicación de salvaguardias y minimización de datos apropiadas. Sin embargo, la residencia en el Reino suele ser un requisito del sector (especialmente para la banca y las fintech), de los marcos de clasificación de datos y de la nube a medida que aumenta la sensibilidad, y de los contratos empresariales. Clasifique sus registros de OTP, registros DLR y metadatos, y deje que dicha clasificación y el sector del cliente determinen el tratamiento.
¿Los datos telefónicos de los clientes son datos personales según la Ley de Protección de Datos Personales (PDPL)?
Sí. Según la Ley de Protección de Datos Personales (PDPL, por sus siglas en inglés), los datos personales son aquellos que identifican a una persona física, directa o indirectamente, y un número de teléfono cumple precisamente con este requisito. Esto significa que las listas de destinatarios, los registros de OTP y verificación, los comprobantes de entrega vinculados a un número, así como las marcas de tiempo y los metadatos de red asociados, están incluidos en su ámbito de aplicación. Deben tratarse con una base legal, minimizando su uso, estableciendo límites de retención y aplicando los controles de seguridad y transferencia que exige la ley.
Referencias
- SDAIA — Ley de Protección de Datos Personales (PDPL) y Reglamento de Aplicación: sdaia.gov.sa
- Comisión de Comunicaciones, Espacio y Tecnología (CST) — regulación de telecomunicaciones y mensajería: cst.gov.sa
- BroadNet — Reglas de identificación del remitente de CST de Arabia Saudita y Regulaciones de Arabia Saudita.
- BroadNet — cumplimiento y arquitectura de seguridad.