# PDPL (Arabia Saudita) — cosa significa la legge saudita sulla protezione dei dati personali per la messaggistica

> La Legge sulla protezione dei dati personali (PDPL) è il quadro normativo completo del Regno dell'Arabia Saudita in materia di protezione dei dati, in vigore dal 14 settembre 2023 e pienamente applicabile a partire da settembre 2024. Essa disciplina ogni raccolta, utilizzo e trasferimento transfrontaliero di dati personali di individui residenti in Arabia Saudita, inclusi i dati MSISDN che inviate, le registrazioni dei consensi che conservate e il luogo nel mondo in cui tali dati vengono elaborati.

- URL canonico: https://www.broadnet.me/it/answers/pdpl-ksa-explained
- Lingua: it
- Ultima revisione: 2026-05-27
- Editore: BroadNet (https://www.broadnet.me)

## Chi lo fa rispettare?

L'autorità di regolamentazione è la SDAIA (Saudi Data and AI Authority). Le sanzioni prevedono multe fino a 5 milioni di SAR per violazione, con responsabilità penale per i dirigenti del titolare del trattamento nei casi più gravi. Nei primi 18 mesi, l'approccio della SDAIA in materia di applicazione della legge è stato più correttivo che punitivo (ammonimenti, interventi correttivi obbligatori), ma la legge consente azioni collettive e la SDAIA ha esplicitamente dichiarato che le violazioni relative alla messaggistica su larga scala rappresentano una priorità.

## Residenza dei dati

I dati personali degli individui KSA devono essere trattati all'interno del territorio KSA, a meno che non si applichi una delle tre eccezioni seguenti: decisione di adeguatezza (l'SDAIA non ne ha ancora emessa alcuna), consenso esplicito e informato per lo specifico utilizzo transfrontaliero o autorizzazione dell'SDAIA. Per quanto riguarda la messaggistica, ciò significa che l'SMSC, l'interfaccia utente di gestione delle campagne e l'archivio DLR devono essere situati nel Regno. BroadNet gestisce un data center a Riyadh specificamente per mantenere residenti i dati dei clienti per gli account KSA.

## Requisiti di consenso

Il consenso deve essere informato, specifico, liberamente espresso e registrato in modo dimostrabile. Per il marketing via SMS, ciò significa che la registrazione dell'opt-in (data e ora, fonte, testo esatto del consenso mostrato all'utente) deve essere conservata per 5 anni. La parola chiave STOP deve essere rispettata entro 24 ore e registrata. Il CST si coordina con SDAIA per l'approvazione dell'ID mittente per i messaggi classificati come marketing: un ID mittente senza registrazioni di consenso dimostrabili viene revocato.

## Cosa dovrebbero chiedere gli acquirenti al loro aggregatore

Tre domande. Dove si trova fisicamente il mio SMSC quando invio messaggi a numeri in Arabia Saudita? Dove vengono memorizzati i miei DLR e i corpi dei messaggi? Qual è il formato e la conservazione dei record di consenso? Qualsiasi risposta che faccia riferimento a Francoforte, Dublino o Londra non è accettabile per le implementazioni conformi al PDPL.

## Correlati

- [Tutte le risposte](https://www.broadnet.me/it/answers)
- [Glossario](https://www.broadnet.me/it/answers)
- [GDPR per la messaggistica: cosa devono sapere i mittenti aziendali](https://www.broadnet.me/it/answers/gdpr-for-messaging)
- [Registrazione dell'ID mittente in Arabia Saudita: la procedura CST](https://www.broadnet.me/it/answers/sender-id-registration-ksa-cst)
- [Compliance](https://www.broadnet.me/it/compliance)
- [KSA regulations](https://www.broadnet.me/it/regulations/saudi-arabia)