a loi saoudienne sur la protection des données personnelles (PDPL), supervisée par la SDAIA, s'applique aux SMS et aux codes OTP échangés entre expéditeurs et destinataires, car un numéro de téléphone mobile constitue une donnée personnelle. Les expéditeurs, agissant en tant que responsables du traitement ou sous-traitants, doivent disposer d'une base légale telle que le consentement et respecter les règles relatives aux transferts transfrontaliers, qui régissent le lieu de stockage et de traitement du contenu des messages, des métadonnées de livraison et des journaux.
Cet article traite de la protection des données. Pour connaître le régime d'enregistrement et de routage de l'identifiant de l'expéditeur géré par l'autorité de régulation des télécommunications, veuillez consulter notre guide complémentaire sur les règles d'identification de l'expéditeur de la CST saoudienne (anciennement CITC) et la page pays dédiée à l'Arabie saoudite. Ces deux régimes se chevauchent et vous devez vous conformer aux deux.
Qu’est-ce que le PDPL et qui est chargé de son application ?
La loi sur la protection des données personnelles (PDPL) a été promulguée par le décret royal M/19 de 2021 et modifiée par le décret royal M/148 de 2023. Elle est entrée en vigueur le 14 septembre 2023, avec une période de grâce d'un an à compter du 14 septembre 2024. Elle est supervisée par l'Autorité saoudienne des données et de l'intelligence artificielle (SDAIA), conformément à son règlement d'application et à un règlement distinct relatif au transfert de données personnelles hors du Royaume. La loi s'applique à tout traitement de données personnelles de personnes résidant en Arabie saoudite, y compris les traitements effectués par des entités établies hors du Royaume. Ainsi, une entreprise internationale communiquant avec des clients saoudiens est pleinement concernée, même si ses serveurs sont situés ailleurs. Consultez la présentation du pays sous réglementation pour l'Arabie saoudite.
Les numéros de téléphone sont des données personnelles
En vertu de la loi PDPL, les données personnelles désignent toute donnée permettant d'identifier directement ou indirectement une personne physique. Un numéro de téléphone mobile (le numéro MSISDN auquel vous envoyez un message) identifie une personne et est lié à celle-ci ; il s'agit donc d'une donnée personnelle à part entière. Cela englobe une grande partie des informations traitées par l'expéditeur d'un message : listes de destinataires, enregistrements des demandes et vérifications de code OTP, accusés de réception (DLR) associés à un numéro, contenu des messages contenant des noms ou des informations de compte, ainsi que les horodatages, adresses IP et métadonnées réseau générés lors de la transmission. Considérer le numéro comme un simple identifiant technique est l'interprétation erronée la plus courante et la plus coûteuse de la loi.
Base juridique, consentement et minimisation des données
Chaque envoi doit reposer sur une base légale. Le consentement est la base principale prévue par la loi sur la protection des données personnelles (PDPL), et la modification de 2023 reconnaît des bases supplémentaires, notamment l'intérêt légitime pour les données non sensibles, l'exécution d'un contrat et le respect d'une obligation légale. En pratique, les communications marketing doivent s'appuyer sur un consentement explicite et démontrable, assorti d'une possibilité de désabonnement fonctionnelle – ce qu'exige également l'autorité de régulation des télécommunications – tandis que les messages OTP et transactionnels reposent généralement sur la nécessité contractuelle ou l'intérêt légitime, car l'utilisateur a demandé à se connecter ou à effectuer une transaction. Deux autres principes s'appliquent : la limitation de la finalité (utiliser le numéro uniquement pour l'usage auquel la personne a consenti) et la minimisation des données (collecter et conserver uniquement les champs strictement nécessaires). La classification que vous déclarez pour l'enregistrement de l'identifiant d'expéditeur CST (CST sender-ID registration) doit correspondre à la base légale sur laquelle vous vous appuyez en vertu de la PDPL.
Fonctions de contrôleur et de processeur, associées à un expéditeur de messages
Si vous décidez des finalités et des modalités du traitement des données, vous êtes responsable du traitement ; votre fournisseur ou agrégateur CPaaS, agissant selon vos instructions, est généralement un sous-traitant. Tous deux ont des obligations, et leur relation doit être encadrée par un accord de traitement des données écrit. Le tableau ci-dessous met en correspondance les principales obligations de la PDPL et leurs implications pour une entreprise envoyant des SMS A2P ou des OTP au Royaume.
| Obligation PDPL | Ce que cela signifie pour un expéditeur de messages |
|---|---|
| Base juridique et consentement | Disposer d'une base valable pour chaque type de trafic ; consentement explicite et respect du droit de retrait pour le marketing. |
| Limitation et minimisation de l'objectif | N'envoyez de SMS qu'aux numéros collectés à cette fin ; ne conservez que les champs nécessaires. |
| Registres de traitement | Tenez un registre des données personnelles que vous transmettez, pourquoi, où elles transitent et pendant combien de temps vous les conservez. |
| droits des personnes concernées | Respectez vos droits d'accès, de rectification, de suppression et de retrait de consentement concernant les numéros que vous détenez. |
| Gouvernance du processeur | Liez votre fournisseur ou agrégateur par un accord de traitement des données couvrant la sécurité et les sous-traitants. |
| Transfert transfrontalier | Ne transférez des données hors d'Arabie saoudite que dans le respect des conditions de transfert du PDPL ; évaluez d'abord la destination. |
| Notification de violation | Avertir SDAIA dans les 72 heures suivant la prise de connaissance du problème ; informer les personnes concernées lorsqu'un préjudice est probable. |
Résidence des données et transferts transfrontaliers : ce qui s’applique réellement
C’est là que la notion de « résidence des données saoudiennes » est le plus souvent mal comprise. La loi saoudienne sur la protection des données personnelles (PDPL) amendée n’impose pas une obligation de localisation systématique pour toutes les données personnelles. En effet, son article 29 et le règlement sur le transfert de données personnelles autorisent les transferts hors du Royaume sous certaines conditions : le transfert doit servir un objectif autorisé, ne pas porter atteinte à la sécurité nationale ni aux intérêts vitaux du Royaume, être effectué vers une destination que l’Autorité saoudienne de protection des données et d’analyse (SDAIA) juge offrir un niveau de protection adéquat ou être couvert par des garanties appropriées (telles que des clauses contractuelles types, des règles contraignantes ou une certification), une évaluation des risques liés au transfert peut être requise, et le transfert doit se limiter aux données strictement nécessaires.
Où doivent donc être stockées les métadonnées et les journaux de messagerie ? Pour une grande partie du trafic A2P, les données personnelles peuvent être traitées légalement à l’étranger si les conditions de transfert sont respectées. Cependant, l’obligation stricte de résidence des données au sein du Royaume est motivée par trois facteurs qui s’ajoutent à la loi sur la protection des données personnelles (PDPL) : les autorités de régulation sectorielles – notamment les règles de la banque centrale pour les secteurs bancaire et fintech, qui imposent que les données financières réglementées restent en Arabie saoudite ; les cadres nationaux de classification des données et de cloud computing, qui renforcent les exigences de résidence à mesure que la sensibilité des données augmente ; et les contrats d’entreprise qui l’exigent tout simplement. Concrètement, pour un expéditeur, il s’agit de classifier les données générées (enregistrements OTP, journaux DLR, métadonnées de routage, archives de messages) et de laisser cette classification, ainsi que le secteur d’activité du client, déterminer si les données peuvent quitter le Royaume ou doivent être hébergées dans la région. Concevez le chemin des données avec soin ; consultez notre architecture de sécurité pour découvrir comment nous abordons les flux de données et leur isolation.
Notification des violations et responsabilité
La loi sur la protection des données personnelles (PDPL) exige du responsable du traitement qu'il notifie à l'autorité de contrôle compétente (SDAIA) toute violation de données à caractère personnel et qu'il informe les personnes concernées lorsque cette violation est susceptible de leur causer un préjudice, dans les délais fixés par le règlement d'application – le délai effectif étant de 72 heures à compter de la prise de connaissance du problème. La responsabilité repose sur la documentation : les registres de traitement, la cartographie des bases légales, les évaluations des transferts et les accords avec les sous-traitants constituent les éléments de preuve de conformité à l'intention de l'autorité de contrôle. Concernant les sanctions, la loi prévoit des amendes pouvant atteindre 5 millions de riyals saoudiens (SAR) pour les infractions, lesquelles peuvent être doublées en cas de récidive. Des sanctions pénales distinctes sont également prévues pour la divulgation illicite de données sensibles. Plutôt que de se focaliser sur les chiffres bruts, il convient de considérer un flux de données non conforme, même de manière silencieuse, comme un véritable risque opérationnel.
Liste de contrôle de conformité pour les SMS et les OTP A2P vers l'Arabie saoudite
- Cartographiez vos flux de données — identifiez chaque point où un MSISDN saoudien et ses métadonnées associées sont collectés, transmis, stockés et enregistrés, de bout en bout.
- Définir une base légale pour chaque type de trafic : consentement explicite avec possibilité de retrait pour le marketing ; nécessité contractuelle ou intérêt légitime pour les OTP et les transactions.
- Classer les données et décider de leur résidence — déterminer les règles sectorielles (par exemple, le secteur bancaire) et si les enregistrements OTP, les journaux DLR et les métadonnées doivent rester dans le Royaume.
- Mettez en place un accord de traitement des données avec votre fournisseur ou agrégateur CPaaS, couvrant la sécurité, les sous-traitants et la coopération en cas de violation de données.
- Minimiser et définir la durée de conservation — ne conserver les enregistrements OTP et de vérification que le temps nécessaire, et supprimer le contenu des messages après la livraison et la période d'audit.
- Élaborez un manuel de gestion des violations de données — un processus de notification SDAIA de 72 heures avec des responsables, des modèles et une règle de décision pour informer les personnes concernées.
- S’aligner sur le régime des télécommunications — enregistrer les identifiants d’expéditeur et acheminer par des canaux approuvés conformément aux règles CST afin que les deux régimes restent cohérents.
- Consultez un avocat local pour confirmer la réglementation d'application en vigueur et toutes les obligations spécifiques à votre secteur avant la mise en service.
L'envoi de SMS A2P ou de codes OTP vers l'Arabie saoudite présente tout son intérêt grâce à un routage et une conformité adaptés aux normes MENA. BroadNet exploite des interconnexions directes et approuvées avec les opérateurs saoudiens depuis 2003, détient les certifications ISO 27001, ISO 9001 et ISO 22301 et maintient la certification SOC 2. L'entreprise peut également aligner l'enregistrement de l'identifiant de l'expéditeur, le routage et le traitement des données sur votre politique PDPL (voir compliance et notre architecture de sécurité).
Foire aux questions
La loi saoudienne sur la protection des données personnelles (PDPL) s'applique-t-elle aux SMS ?
Oui. La loi saoudienne sur la protection des données personnelles (PDPL) encadre le traitement des données personnelles, et un numéro de téléphone mobile est une donnée personnelle. Par conséquent, l'envoi de SMS A2P ou de codes OTP à un destinataire saoudien relève de son champ d'application. Cette loi s'applique même aux expéditeurs établis hors du Royaume lorsqu'ils traitent les données de personnes résidant en Arabie saoudite. Vous devez disposer d'une base légale, respecter les droits des personnes concernées et suivre les règles de transfert pour tout journal ou métadonnée quittant le pays.
Où les données de messagerie doivent-elles être stockées pour l'Arabie saoudite ?
La loi modifiée sur la protection des données personnelles (PDPL) n'impose pas une localisation systématique : les données personnelles peuvent être traitées hors du Royaume si les conditions de transfert sont remplies, notamment une évaluation d'adéquation ou des garanties appropriées et la minimisation des données. Cependant, la résidence au Royaume est souvent exigée par les réglementations sectorielles (en particulier pour les secteurs bancaire et fintech), par la classification des données et les cadres de cloud computing à mesure que la sensibilité des données augmente, ainsi que par les contrats d'entreprise. Classez vos enregistrements OTP, vos journaux DLR et vos métadonnées, puis laissez cette classification et le secteur d'activité du client décider.
Les données téléphoniques des clients sont-elles des données personnelles au sens de la loi PDPL ?
Oui. Les données personnelles au sens de la loi sur la protection des données personnelles (PDPL) désignent toutes les données permettant d'identifier une personne physique, directement ou indirectement, et un numéro de téléphone remplit précisément cette fonction. Cela inclut les listes de destinataires, les codes OTP et leurs enregistrements de vérification, les accusés de réception liés à un numéro, ainsi que les horodatages et métadonnées réseau associés. Ces données doivent être traitées conformément aux principes de légalité, de minimisation et de limitation de la durée de conservation, ainsi qu'aux contrôles de sécurité et de transfert prévus par la loi.
Références
- SDAIA — Loi sur la protection des données personnelles (PDPL) et règlements d'application : sdaia.gov.sa
- Commission des communications, de l'espace et de la technologie (CST) — réglementation des télécommunications et de la messagerie : cst.gov.sa
- BroadNet — Règles d'identification de l'expéditeur CST saoudien et Réglementation de l'Arabie saoudite.
- BroadNet — conformité et architecture de sécurité.