# Legge saudita sulla protezione dei dati personali (PDPL) e sulla residenza dei dati per la messaggistica: cosa devono sapere le aziende che inviano messaggi in Arabia Saudita

> La legge saudita sulla protezione dei dati personali (PDPL), applicata dall'SDAIA, considera il numero di cellulare come dato personale. Ecco cosa devono sapere le aziende che inviano SMS A2P e OTP in Arabia Saudita in merito al consenso e alla residenza.

- URL canonico: https://www.broadnet.me/it/blog/saudi-pdpl-data-residency-messaging
- Lingua: it
- Ultimo aggiornamento: 2026-10-20
- Editore: BroadNet (https://www.broadnet.me)

- Pubblicato il: 2026-08-03
- Autore: BroadNet Regulatory Affairs

La legge saudita sulla protezione dei dati personali (PDPL), supervisionata dall'SDAIA, si applica al traffico SMS A2P e OTP poiché il numero di cellulare è un dato personale. I mittenti agiscono in qualità di titolari o responsabili del trattamento dei dati, necessitano di una base giuridica come il consenso e devono rispettare le norme sul trasferimento transfrontaliero che regolano il luogo in cui il contenuto dei messaggi, i metadati di consegna e i registri possono essere archiviati ed elaborati.

> Questo post tratta il livello di protezione dei dati. Per la registrazione dell'ID mittente e il regime di instradamento gestito dall'autorità di regolamentazione delle telecomunicazioni, consultare la nostra guida complementare sulle [regole dell'ID mittente di CST (precedentemente CITC) saudita](https://www.broadnet.me/blog/saudi-citc-cst-sender-id-rules) e la pagina relativa all'[Arabia Saudita](https://www.broadnet.me/regulations/saudi-arabia). I due regimi si sovrappongono ed è necessario rispettarli entrambi.

## Cos'è il PDPL e chi lo fa rispettare

La legge PDPL è stata emanata con il Decreto Reale M/19 del 2021 e modificata dal Decreto Reale M/148 del 2023. È entrata in vigore il 14 settembre 2023, con applicazione effettiva a seguito di un periodo di grazia di un anno a partire dal 14 settembre 2024. È supervisionata dall'Autorità saudita per i dati e l'intelligenza artificiale (SDAIA), insieme al relativo Regolamento di attuazione e a un Regolamento separato sul trasferimento dei dati personali al di fuori del Regno. La legge si applica a qualsiasi trattamento dei dati personali di individui residenti in Arabia Saudita, compreso il trattamento effettuato da entità con sede al di fuori del Regno; pertanto, un'azienda internazionale che invia messaggi a clienti sauditi rientra pienamente nel suo ambito di applicazione, anche se i suoi server si trovano altrove. Si veda la panoramica del Paese alla voce [regolamenti per l'Arabia Saudita](https://www.broadnet.me/regulations/saudi-arabia).

## I numeri di telefono sono dati personali

Ai sensi del PDPL, per dati personali si intende qualsiasi dato che identifichi una persona fisica, direttamente o indirettamente. Un numero di cellulare – l'MSISDN a cui si invia un messaggio – identifica e si riferisce a un individuo, quindi è di per sé un dato personale. Ciò include gran parte di ciò che un mittente di messaggi gestisce: elenchi di destinatari, richieste e verifiche OTP, conferme di consegna (DLR) associate a un numero, corpo dei messaggi contenente nomi o dettagli dell'account, nonché timestamp, indirizzi IP e metadati di rete generati lungo il percorso. Trattare il numero come "un semplice identificatore tecnico" è l'interpretazione errata più comune e più costosa della legge.

## Base giuridica, consenso e minimizzazione dei dati

Ogni invio necessita di una base giuridica. Il consenso è la base principale prevista dalla legge sulla protezione dei dati personali (PDPL), e l'emendamento del 2023 ha riconosciuto basi aggiuntive, tra cui il legittimo interesse per i dati non sensibili, l'esecuzione di un contratto e il rispetto di un obbligo legale. In pratica, il traffico di marketing dovrebbe basarsi su un opt-in esplicito e dimostrabile con un'opzione di opt-out funzionante, che è anche ciò che si aspetta l'autorità di regolamentazione delle telecomunicazioni, mentre i messaggi OTP e transazionali si basano in genere sulla necessità contrattuale o sul legittimo interesse perché l'utente ha richiesto di accedere o completare una transazione. Due ulteriori principi sono vincolanti: la limitazione delle finalità (utilizzare il numero solo per ciò a cui la persona ha acconsentito) e la minimizzazione dei dati (raccogliere e conservare solo i campi effettivamente necessari). La classificazione dichiarata per la registrazione dell'ID mittente CST deve corrispondere alla base giuridica su cui ci si basa ai sensi della PDPL.

## Funzioni del controller e del processore, mappate a un mittente di messaggi

Se decidi perché e come i numeri vengono elaborati, sei il titolare del trattamento; il tuo fornitore CPaaS o aggregatore, agendo secondo le tue istruzioni, è in genere il responsabile del trattamento. Entrambi hanno degli obblighi e il rapporto deve essere regolato da un accordo scritto sul trattamento dei dati. La tabella illustra i principali obblighi previsti dalla normativa PDPL e il loro significato per un'azienda che invia SMS A2P o OTP nel Regno.

| obbligo PDPL | Cosa significa per chi invia un messaggio |
|---|---|
| Base giuridica e consenso | Mantenere una base valida per ogni tipo di traffico; consenso esplicito e consenso rispettato per le comunicazioni di marketing. |
| Limitazione e minimizzazione dello scopo | Invia i dati solo ai numeri raccolti appositamente; memorizza solo i campi necessari. |
| Registri di elaborazione | Tieni un registro dei dati personali che invii, del motivo per cui li invii, della loro destinazione e della durata della loro conservazione. |
| diritti dell'interessato | Garantiamo l'accesso, la correzione, la cancellazione e la revoca del consenso per i numeri in nostro possesso. |
| Governance del processore | Vincola il tuo fornitore o aggregatore con un accordo sul trattamento dei dati che includa la sicurezza e i subappaltatori. |
| trasferimento transfrontaliero | Trasferisci i dati al di fuori dell'Arabia Saudita solo nel rispetto delle condizioni di trasferimento previste dalla legge sulla protezione dei dati personali (PDPL); valuta prima la destinazione. |
| Notifica di violazione | Avvisare SDAIA entro 72 ore dal momento in cui si viene a conoscenza della situazione; informare le persone interessate qualora vi sia un rischio di danno. |

## Residenza dei dati e trasferimento transfrontaliero: cosa si applica effettivamente

È proprio in questo ambito che il concetto di "residenza dei dati in Arabia Saudita" viene maggiormente frainteso. La legge saudita sulla protezione dei dati personali (PDPL) modificata non impone un obbligo generalizzato di localizzazione dei dati per tutti i dati personali. Al contrario, l'articolo 29 e il Regolamento sul trasferimento dei dati personali consentono i trasferimenti al di fuori del Regno a determinate condizioni: il trasferimento deve essere finalizzato a uno scopo consentito, non deve pregiudicare la sicurezza nazionale o gli interessi vitali del Regno, deve essere diretto verso una destinazione che l'Autorità saudita per la protezione dei dati personali (SDAIA) valuti come in grado di offrire un livello di protezione adeguato o essere coperto da garanzie appropriate (come clausole contrattuali standard, norme vincolanti o certificazioni), può richiedere una valutazione del rischio di trasferimento e deve essere limitato ai dati minimi necessari.

Dove devono quindi risiedere i metadati e i log dei messaggi? Per gran parte del traffico A2P, i dati personali possono essere legalmente elaborati all'estero se vengono soddisfatte le condizioni di trasferimento. Tuttavia, la rigorosa residenza all'interno del Regno è determinata da tre fattori che si affiancano alla PDPL (Personal Data Protection Law): le normative di settore, in particolare le regole della banca centrale per il settore bancario e fintech, che impongono che i dati finanziari regolamentati rimangano all'interno dell'Arabia Saudita; i framework nazionali di classificazione dei dati e del cloud che innalzano le aspettative di residenza con l'aumentare della sensibilità dei dati; e i contratti aziendali che semplicemente lo richiedono. La conseguenza pratica per un mittente è classificare ciò che genera (record OTP, log DLR, metadati di routing, archivi di messaggi) e lasciare che tale classificazione, unitamente al settore del cliente, determini se i dati possono lasciare il Regno o devono essere ospitati nella regione. Progettate il percorso dei dati con attenzione; consultate il nostro approccio ai flussi di dati e all'isolamento nella nostra [architettura di sicurezza](https://www.broadnet.me/security/architecture).

## Notifica delle violazioni e responsabilità

La legge PDPL impone al titolare del trattamento di notificare all'SDAIA (Autorità svedese per la protezione dei dati personali) qualsiasi violazione dei dati personali e di informare le persone interessate qualora la violazione possa causare loro un danno, entro i termini stabiliti dal Regolamento di attuazione: il termine operativo è di 72 ore dal momento in cui si viene a conoscenza della violazione. La responsabilità si basa sulla documentazione: i registri del trattamento, la mappatura della base giuridica, le valutazioni dei trasferimenti e gli accordi con i responsabili del trattamento sono ciò che dimostra la conformità qualora l'autorità di controllo lo richieda. Per quanto riguarda le sanzioni, la legge pubblicata prevede multe fino a 5 milioni di SAR per le violazioni, che possono essere raddoppiate in caso di recidiva, con sanzioni penali separate per la divulgazione illecita di dati sensibili. Piuttosto che concentrarsi sulle cifre principali, è opportuno considerare un flusso di dati non conforme, ma non rilevato, come il vero rischio operativo.

## Una lista di controllo per la conformità degli SMS A2P e degli OTP in Arabia Saudita

1. Mappa i tuoi flussi di dati: identifica ogni punto in cui un MSISDN saudita e i relativi metadati vengono raccolti, trasmessi, archiviati e registrati, dall'inizio alla fine.
2. Definisci una base giuridica per ogni tipo di traffico: consenso esplicito con possibilità di recesso per il marketing; necessità contrattuale o interesse legittimo per OTP e transazioni.
3. Classifica i dati e decidi la residenza: determina le regole di settore (ad esempio, il settore bancario) e se i record OTP, i log DLR e i metadati devono rimanere nel Regno.
4. Stipulate un accordo sul trattamento dei dati con il vostro fornitore o aggregatore CPaaS, che includa la sicurezza, i sub-responsabili del trattamento e la cooperazione in caso di violazione dei dati.
5. Riduci al minimo e limita la conservazione: conserva i dati relativi a OTP e verifiche solo per il tempo necessario ed elimina il corpo dei messaggi dopo la consegna e la finestra di verifica.
6. Prepara un manuale operativo per la violazione dei dati: un processo di notifica SDAIA di 72 ore con responsabili, modelli e una regola decisionale per informare le persone interessate.
7. Allinearsi al regime delle telecomunicazioni: registrare gli ID del mittente e instradare le comunicazioni attraverso i canali approvati secondo le regole CST, in modo che i due regimi rimangano coerenti.
8. Prima di avviare il sistema, consultate un legale locale per confermare le normative di attuazione vigenti e gli eventuali obblighi specifici del settore.

> L'invio di SMS A2P o OTP in Arabia Saudita è un ambito in cui il routing nativo MENA e la conformità si rivelano particolarmente vantaggiosi. BroadNet gestisce interconnessioni dirette e approvate con operatori sauditi dal 2003, possiede le certificazioni ISO 27001, ISO 9001 e ISO 22301 e mantiene la certificazione SOC 2, ed è in grado di allineare la registrazione dell'ID mittente, il routing e la gestione dei dati al vostro livello di conformità PDPL (Personal Data Protection List) — vedi [compliance](https://www.broadnet.me/compliance) e la nostra [architettura di sicurezza](https://www.broadnet.me/security/architecture).

## Domande frequenti

### La legge saudita sulla protezione dei dati personali (PDPL) si applica anche agli SMS?

Sì. La legge PDPL disciplina il trattamento dei dati personali e un numero di cellulare è un dato personale, quindi l'invio di SMS A2P o OTP a un destinatario saudita rientra nel suo ambito di applicazione. Si applica anche ai mittenti con sede al di fuori del Regno quando trattano i dati di persone residenti in Arabia Saudita. È necessaria una base giuridica, è obbligatorio rispettare i diritti dell'interessato e seguire le norme sul trasferimento di qualsiasi registro o metadato che esca dal Paese.

### Dove devono essere archiviati i dati dei messaggi per l'Arabia Saudita?

La versione modificata della PDPL non impone un obbligo generalizzato di localizzazione: i dati personali possono essere trattati al di fuori del Regno se vengono soddisfatte le condizioni di trasferimento, tra cui una valutazione di adeguatezza o garanzie appropriate e la minimizzazione dei dati. Tuttavia, la residenza nel Regno è spesso richiesta dalle normative di settore (in particolare per il settore bancario e fintech), dai framework di classificazione dei dati e cloud, man mano che la sensibilità aumenta, e dai contratti aziendali. Classificate i vostri record OTP, i log DLR e i metadati, quindi lasciate che tale classificazione e il settore del cliente decidano.

### I dati telefonici dei clienti sono considerati dati personali ai sensi del PDPL?

Sì. Ai sensi del PDPL, per dati personali si intende qualsiasi dato che identifichi una persona fisica, direttamente o indirettamente, e un numero di telefono rientra proprio in questa categoria. Ciò significa che rientrano nell'ambito di applicazione della legge gli elenchi dei destinatari, i codici OTP e i record di verifica, le ricevute di consegna associate a un numero, i relativi timestamp e i metadati di rete. È necessario trattarli con una base giuridica, minimizzando i dati, imponendo limiti di conservazione e applicando i controlli di sicurezza e di trasferimento previsti dalla legge.

## Riferimenti

- SDAIA — Legge sulla protezione dei dati personali (PDPL) e regolamento di attuazione: [sdaia.gov.sa](https://sdaia.gov.sa/)
- Commissione per le comunicazioni, lo spazio e la tecnologia (CST) - regolamentazione delle telecomunicazioni e della messaggistica: [cst.gov.sa](https://www.cst.gov.sa/)
- BroadNet — [Regole CST saudite per l'ID mittente](https://www.broadnet.me/blog/saudi-citc-cst-sender-id-rules) e [Regolamenti dell'Arabia Saudita](https://www.broadnet.me/regulations/saudi-arabia).
- BroadNet — [conformità](https://www.broadnet.me/compliance) e [architettura di sicurezza](https://www.broadnet.me/security/architecture).