Lei de Proteção de Dados Pessoais da Arábia Saudita (PDPL), supervisionada pela SDAIA, aplica-se ao tráfego de SMS A2P e OTP, pois um número de telemóvel é considerado dado pessoal. Os remetentes atuam como controladores ou processadores de dados, necessitam de uma base legal, como o consentimento, e devem seguir as regras de transferência internacional que regem onde o conteúdo da mensagem, os metadados de entrega e os registos podem ser armazenados e processados.
Este artigo aborda a camada de proteção de dados. Para o regime de registo e encaminhamento do Sender-ID administrado pela agência reguladora de telecomunicações, leia o nosso guia complementar sobre as regras do Sender-ID da CST Saudita (antiga CITC) e a página do país para a Arábia Saudita. Os dois regimes se sobrepõem e você deve atender a ambos.
O que é a PDPL e quem a aplica.
A Lei de Proteção de Dados Pessoais (PDPL) foi promulgada pelo Decreto Real M/19 de 2021 e alterada pelo Decreto Real M/148 de 2023. Entrou em vigor em 14 de setembro de 2023, com aplicação efetiva após um período de transição de um ano a partir de 14 de setembro de 2024. É supervisionada pela Autoridade Saudita de Dados e Inteligência Artificial (SDAIA), juntamente com os seus Regulamentos de Implementação e um Regulamento separado sobre Transferência de Dados Pessoais para fora do Reino. A lei abrange qualquer tratamento de dados pessoais de indivíduos residentes na Arábia Saudita — incluindo o tratamento realizado por entidades sediadas fora do Reino — portanto, uma empresa internacional que envia mensagens a clientes sauditas está totalmente sujeita à lei, mesmo que os seus servidores estejam localizados em outro lugar. Consulte a visão geral do país em regulamentos para a Arábia Saudita.
Números de telefone são dados pessoais
De acordo com a PDPL (Lei de Proteção de Dados Pessoais), dados pessoais são quaisquer dados que identifiquem uma pessoa física direta ou indiretamente. Um número de telemóvel — o MSISDN para o qual você envia mensagens — identifica e se relaciona a um indivíduo, sendo, portanto, um dado pessoal por si só. Isso abrange grande parte do que um remetente de mensagens manipula: listas de destinatários, registos de solicitações e verificações de OTP (palavra-passe de uso único), relatórios de entrega (DLRs) vinculados a um número, corpos de mensagens que contêm nomes ou detalhes da conta, e os registos de data e hora, endereços IP e metadados de rede gerados ao longo do percurso. Tratar o número como "apenas um identificador técnico" é a interpretação errónea mais comum e mais dispendiosa da lei.
Fundamento jurídico, consentimento e minimização de dados
Cada envio precisa de uma base legal. O consentimento é a base principal na PDPL (Lei de Proteção de Dados Pessoais da Arábia Saudita), e a emenda de 2023 reconheceu bases adicionais, incluindo interesse legítimo para dados não sensíveis, execução de um contrato e cumprimento de uma obrigação legal. Na prática, o tráfego de marketing deve se basear numa adesão explícita e demonstrável com uma opção de desativação funcional — que é também o que a agência reguladora de telecomunicações espera —, enquanto as mensagens OTP (palavra-passe de uso único) e transacionais geralmente dependem da necessidade contratual ou do interesse legítimo, porque o utilizador solicitou o login ou a conclusão de uma transação. Dois outros princípios se aplicam: limitação de finalidade (use o número apenas para o que a pessoa concordou) e minimização de dados (recolha e retenha apenas os campos que você realmente precisa). A classificação que você declara para o registo do ID do remetente CST deve corresponder à base legal na qual você se baseia de acordo com a PDPL.
Funções de controlador e processador, mapeadas para um remetente de mensagens.
Se você decide porque e como os números são processados, você é o controlador; o seu fornecedor ou agregador de CPaaS, agindo sob as suas instruções, geralmente é o processador. Ambos têm obrigações, e o relacionamento deve ser regido por um contrato de processamento de dados por escrito. A tabela mapeia as principais obrigações da PDPL (Lei de Proteção de Dados Pessoais) e o que cada uma significa para uma empresa que envia SMS A2P ou OTP (palavra-passe de uso único) para o Reino.
| obrigação PDPL | O que isso significa para quem envia a mensagem? |
|---|---|
| Fundamento jurídico e consentimento | Manter uma base válida por tipo de tráfego; adesão explícita e recusa respeitada para marketing. |
| Limitação e minimização da finalidade | Enviar apenas para números recolhidos para essa finalidade; armazenar apenas os campos necessários. |
| Registos de processamento | Mantenha um registo dos dados pessoais que você envia, o motivo, para onde eles são enviados e por quanto tempo você os armazena. |
| Direitos do titular dos dados | Respeite os direitos de acesso, correção, exclusão e revogação do consentimento para os números que você possui. |
| Governança do processador | Vincule o seu fornecedor ou agregador a um contrato de processamento de dados que abranja segurança e subcontratados. |
| Transferência transfronteiriça | Transfira dados para fora da Arábia Saudita somente sob as condições de transferência da PDPL; avalie o destino primeiro. |
| Notificação de violação | Notifique a SDAIA em até 72 horas após tomar conhecimento do ocorrido; informe as pessoas afetadas quando houver probabilidade de dano. |
Residência de dados e transferência transfronteiriça — o que realmente se aplica?
É aqui que a "residência de dados na Arábia Saudita" é mais mal compreendida. A Lei de Proteção de Dados Pessoais (PDPL) alterada não impõe um mandato de localização de dados genérico para todos os dados pessoais. Em vez disso, o seu Artigo 29 e o Regulamento sobre Transferência de Dados Pessoais permitem transferências para fora do Reino sob certas condições: a transferência deve servir a uma finalidade permitida, não deve prejudicar a segurança nacional ou os interesses vitais do Reino, deve ser para um destino que a Autoridade Saudita de Proteção de Dados e Assuntos Internacionais (SDAIA) avalie como oferecendo um nível adequado de proteção ou ser coberta por salvaguardas apropriadas (como cláusulas contratuais padrão, regras vinculativas ou certificação), pode exigir uma avaliação de risco de transferência e deve ser limitada aos dados mínimos necessários.
Então, onde os metadados e registos de mensagens devem ser armazenados? Para grande parte do tráfego A2P, os dados pessoais podem ser legalmente processados no exterior, desde que as condições de transferência sejam atendidas. No entanto, a exigência de residência rigorosa no Reino é impulsionada por três fatores que coexistem com a PDPL: reguladores setoriais — principalmente as regras do banco central para bancos e fintechs, que incentivam a permanência de dados financeiros regulamentados dentro da Arábia Saudita; estruturas nacionais de classificação de dados e de nuvem que elevam as expectativas de residência à medida que a sensibilidade dos dados aumenta; e contratos corporativos que simplesmente exigem isso. A consequência prática para um remetente é classificar o que você gera — registos OTP, registos DLR, metadados de encaminhamento, ficheiros de mensagens — e deixar que essa classificação, juntamente com o setor do seu cliente, determine se os dados podem sair do Reino ou se devem ser alojados na região. Projete o fluxo de dados de forma deliberada; veja como abordamos os fluxos de dados e o isolamento em nossa arquitetura de segurança.
Notificação de violação de dados e responsabilização
A Lei de Proteção de Dados Pessoais (PDPL) exige que o controlador notifique a Autoridade de Proteção de Dados Pessoais (SDAIA) sobre qualquer violação de dados pessoais e informe os indivíduos afetados sobre os casos em que a violação possa causar danos, dentro dos prazos estabelecidos pelo Regulamento de Implementação — o prazo operacional é de 72 horas a partir da data em que a violação for constatada. A responsabilização se dá por meio da documentação: os registos de processamento, o mapeamento da base legal, as avaliações de transferência e os contratos com processadores são o que demonstram a conformidade, caso o órgão regulador solicite. Em relação às penalidades, a lei publicada prevê multas de até 5 milhões de riais sauditas (SAR) para violações, que podem ser dobradas em caso de reincidência, com penalidades criminais separadas para a divulgação ilegal de dados sensíveis. Em vez de se fixar em números chamativos, considere um fluxo de dados silenciosamente não conforme como o verdadeiro risco operacional.
Lista de verificação de conformidade para SMS A2P e OTP na Arábia Saudita.
- Mapeie os seus fluxos de dados — identifique todos os pontos onde um MSISDN saudita e os seus metadados relacionados são recolhidos, transmitidos, armazenados e registados, de ponta a ponta.
- Defina uma base legal para cada tipo de tráfego — adesão explícita com opção de desativação para marketing; necessidade contratual ou interesse legítimo para palavras-passe de uso único (OTP) e tráfego transacional.
- Classifique os dados e decida a residência — determine as regras do setor (por exemplo, bancário) e se os registos de OTP, os registos DLR e os metadados devem permanecer no Reino.
- Estabeleça um contrato de processamento de dados com o seu fornecedor ou agregador de CPaaS, que abranja segurança, subcontratados e cooperação em caso de violação de dados.
- Minimize e defina o período de retenção — mantenha os registos de OTP e verificação apenas pelo tempo necessário e exclua os corpos das mensagens após o período de entrega e auditoria.
- Prepare um plano de ação para violação de dados — um processo de notificação SDAIA de 72 horas com responsáveis, modelos e uma regra de decisão para informar os indivíduos.
- Alinhar-se ao regime de telecomunicações — registar os IDs dos remetentes e encaminhar por meio de canais aprovados, conforme as regras do CST, para que os dois regimes permaneçam consistentes.
- Consulte um advogado local para confirmar os Regulamentos de Implementação vigentes e quaisquer obrigações específicas do setor antes de entrar em operação.
O envio de SMS A2P ou OTP para a Arábia Saudita é onde o encaminhamento e a conformidade nativos do MENA fazem a diferença. A BroadNet opera interconexões diretas e aprovadas com operadoras sauditas desde 2003, possui as certificações ISO 27001, ISO 9001 e ISO 22301 e mantém o SOC 2, podendo alinhar o registo de ID do remetente, o encaminhamento e o tratamento de dados à sua postura de PDPL — consulte conformidade e nossa arquitetura de segurança.
Perguntas frequentes
A Lei de Proteção de Dados Pessoais da Arábia Saudita (PDPL) se aplica a SMS?
Sim. A Lei de Proteção de Dados Pessoais (PDPL) regula o processamento de dados pessoais, e um número de telemóvel é considerado dado pessoal. Portanto, o envio de SMS A2P ou OTP para um destinatário na Arábia Saudita configura processamento dentro do seu âmbito. Isso se aplica mesmo a remetentes localizados fora do Reino quando processam dados de indivíduos residentes na Arábia Saudita. É necessário ter uma base legal, respeitar os direitos do titular dos dados e seguir as regras de transferência para quaisquer registos ou metadados que saiam do país.
Onde os dados de mensagens da Arábia Saudita devem ser armazenados?
A Lei de Proteção de Dados Pessoais (PDPL) alterada não é uma exigência de localização irrestrita — os dados pessoais podem ser processados fora do Reino se as condições de transferência forem atendidas, incluindo uma avaliação de adequação ou salvaguardas apropriadas e minimização de dados. No entanto, a residência no Reino é frequentemente exigida por normas setoriais (principalmente para os setores bancário e fintech), por estruturas de classificação de dados e nuvem à medida que a sensibilidade aumenta, e por contratos corporativos. Classifique os seus registos de palavra-passe única (OTP), logs de localização de dados (DLR) e metadados, e deixe que essa classificação e o setor do cliente decidam.
Os dados telefónicos dos clientes são considerados dados pessoais ao abrigo da LGPD (Lei Geral de Proteção de Dados)?
Sim. Dados pessoais, de acordo com a LGPD (Lei Geral de Proteção de Dados), são quaisquer dados que identifiquem uma pessoa física direta ou indiretamente, e um número de telefone se enquadra exatamente nessa definição. Isso significa que listas de destinatários, registos de palavras-passe de uso único (OTP) e de verificação, comprovativos de entrega vinculados a um número, bem como os respetivos registos de data e hora e metadados de rede, estão todos dentro do âmbito da LGPD. Esses dados devem ser tratados com base em fundamentos legais, minimização, limites de retenção e os controlos de segurança e transferência exigidos por lei.
Referências
- SDAIA — Lei de Proteção de Dados Pessoais (PDPL) e Regulamentos de Implementação: sdaia.gov.sa
- Comissão de Comunicações, Espaço e Tecnologia (CST) — regulamentação de telecomunicações e mensagens: cst.gov.sa
- BroadNet — Regras de ID de remetente CST da Arábia Saudita e Regulamentos da Arábia Saudita.
- BroadNet — conformidade e arquitetura de segurança.