PDPL — Explication de la loi sur la protection des données personnelles de l'Arabie Saoudite (Guide 2026)

Presentation

Le PDPL est la loi nationale de protection des données personnelles d'Arabie saoudite qui est entrée en vigueur le 14 septembre 2023 et définit des règles sur la manière dont les organisations collectent, utilisent, stockent et partagent les données personnelles.
Elle s'applique de manière générale, y compris aux entreprises étrangères qui traitent les données de personnes en Arabie Saoudite, et met l'accent sur le traitement légal, limité et minimisé avec une sécurité et une transparence renforcées.
Les personnes obtiennent le droit d'accéder, de corriger, de supprimer, de retirer leur consentement et de demander la portabilité, et les responsables du traitement doivent répondre rapidement (généralement dans les 30 jours).
Les transferts transfrontaliers sont autorisés mais nécessitent des garanties documentées, et les contrôleurs restent responsables des sous-traitants et des fournisseurs.
L'application de la loi est sérieuse : les amendes peuvent atteindre 5 millions de SAR, avec des sanctions pénales pour le traitement illégal de données sensibles. Les entreprises doivent donc donner la priorité à l'alignement du PDPL dès maintenant.

Qu'est-ce que le PDPL ?

Le PDPL saoudien est la loi nationale réglementant le traitement des données personnelles. Promulguée par décret royal en septembre 2021, elle est entrée en vigueur le 14 septembre 2023, avec un délai de mise en conformité obligatoire dans un an (avant le 14 septembre 2024). Son objectif est de protéger la vie privée des individus en imposant des règles sur la manière dont les organisations collectent, utilisent, stockent et partagent les données personnelles. Le PDPL couvre les données personnelles (toute information relative à une personne identifiable) et les données personnelles sensibles (catégories spéciales telles que la santé, la génétique, la biométrie, la religion, l'orientation sexuelle, etc.), qui nécessitent des garanties plus strictes. La loi s'applique largement aux « contrôleurs » (entités qui décident de la finalité du traitement) et aux « sous-traitants » qui traitent les données pour leur compte, dans les secteurs public et privé. En effet, le PDPL établit les bases légales du traitement (principalement le consentement, entre autres), les exigences en matière de politique de confidentialité, les obligations en matière de sécurité des données, les droits des personnes concernées et les limites de conservation des données. Il s'aligne étroitement sur les normes internationales (notamment le RGPD de l'UE) mais est adapté à la législation et à la culture saoudiennes.

Qui doit se conformer au PDPL

Champ d'application : entités à l'intérieur et à l'extérieur de l'Arabie Saoudite

La portée du PDPL est vaste. Elle s'applique à n'importe quoi entité (publique ou privée) qui traite les données personnelles des personnes résidant en Arabie Saoudite, quel que soit l'endroit où se trouve l'entité. Par exemple, un site Web de commerce électronique étranger desservant des clients saoudiens ou une entreprise multinationale traitant les données des employés saoudiens doivent se conformer. La loi inclut explicitement les « données personnelles sensibles » et couvre même les données des personnes décédées si elle permet de les identifier ou d'identifier leurs familles. Cela signifie que les fichiers de paie, les bases de données clients, les dossiers des patients, etc., relèvent tous du PDPL s'ils concernent des ressortissants saoudiens.

Exclusions : ce que le PDPL ne couvre pas

Le PDPL est complet mais pas absolu. Elle exclut explicitement le traitement purement personnel ou domestique. Par exemple, un particulier stockant des photos de famille ou un carnet d'adresses personnel pour des raisons personnelles ne déclencherait pas d'obligations PDPL. La loi ne s'applique pas non plus aux situations couvertes par d'autres lois spéciales (par exemple, la sécurité de l'État, les enquêtes criminelles, les activités judiciaires), bien que les limites exactes dépendent des règlements d'application qui n'ont pas encore été publiés. Notamment, le PDPL le fait pas classez les données sur l'emploi ou le marketing B2B dans des catégories distinctes. Tout traitement de données personnelles nécessite le consentement ou une autre base légale, quel que soit le contexte.

Principes fondamentaux et obligations en vertu du PDPL

Le PDPL repose sur des principes familiers de confidentialité et de protection des données, dont beaucoup reflètent les principes fondamentaux du RGPD. Les organisations agissant en tant que responsables du traitement des données doivent intégrer ces principes dans leurs activités de traitement :

Traitement légal, équitable et transparent

Les données personnelles doivent être traitées de manière légale et équitable. Les responsables du traitement ont besoin d'une base juridique valide (généralement le consentement de la personne concernée en vertu du PDPL, ou d'autres motifs tels que modifiés) pour chaque activité de traitement, et ils doivent informer les personnes concernées pourquoi elles collectent des données et comment elles seront utilisées.

Limitation des objectifs et minimisation des données

Les données ne doivent pas être collectées qu'à des fins spécifiques et explicites et ne doivent pas être utilisées au-delà de ces fins. De même, seuls nécessaire les données doivent être collectées (principe de « minimisation des données »). Les organisations doivent auditer leur inventaire de données pour ne plus collecter de champs inutiles.

Limitation de la précision et de la conservation des données

Le PDPL oblige les responsables du traitement à conserver les données personnelles précis, complètes et à jour, et pour supprimer ou anonymiser les données une fois qu'elles ne sont plus nécessaires pour l'objectif initial. Cela signifie que des purges et des mises à jour périodiques des données sont nécessaires pour empêcher la thésaurisation des données.

Sécurité, confidentialité et responsabilité

Les responsables du traitement (et leurs sous-traitants) doivent mettre en œuvre des mesures de protection organisationnelles, administratives et techniques appropriées pour protéger les données. Cela couvre des mesures telles que le cryptage, les contrôles d'accès, la détection des violations et les plans de réponse aux incidents. Le principe de responsabilité signifie que les organisations doivent documenter leur conformité (par exemple, des enregistrements des activités de traitement) et être prêtes à le démontrer aux régulateurs.

Le PDPL demande même aux contrôleurs de sélectionner uniquement des processeurs tiers capables de garantir la conformité au PDPL et de superviser ces fournisseurs. Ces exigences garantissent que les équipes internes et les partenaires externes traitent les données de manière responsable.

Transparence - Politiques de confidentialité et avis aux personnes concernées

Le PDPL impose une transparence proactive. Les entités doivent publier des avis de confidentialité clairs avant de collecter des données personnelles. Ces politiques doivent expliquer les objectifs de la collecte, les données collectées, la manière dont elles seront stockées et traitées, les périodes de conservation et les droits de la personne concernée (entre autres détails).

Si les données sont collectées directement auprès de l'individu, les responsables du traitement doivent l'informer explicitement de la base juridique du traitement, de la question de savoir si chaque champ de données est obligatoire, des tiers qui reçoivent les données, etc. En effet, les individus ne devraient jamais être « dans l'ignorance » quant à la raison pour laquelle leurs données sont nécessaires ou à la manière dont elles sont traitées.

Une approche de conformité proactive transforme un défi réglementaire en un atout stratégique. Lorsque chaque opération de traitement « respecte les droits fondamentaux des personnes tout en permettant à l'entreprise de poursuivre ses objectifs commerciaux », la conformité devient un avantage concurrentiel.

Droits des personnes concernées en vertu du PDPL

Le PDPL accorde aux individus une série de droits relatifs aux données, leur permettant de contrôler leurs informations personnelles. Il s'agit notamment de :

Droit à l'information (transparence)

Les personnes concernées ont le droit de savoir qui collecte leurs données, pourquoi elles sont collectées, comment elles seront utilisées et si elles seront partagées ou vendues. Cela est lié aux déclarations de confidentialité obligatoires.

Droit d'accès, de correction et de suppression

Les individus peuvent demander l'accès à toutes les données personnelles qu'une organisation détient à leur sujet. Ils peuvent également demander que des inexactitudes soient corrigées ou que leurs données soient supprimées si elles ne sont plus nécessaires ou si elles ont été collectées avec un consentement retiré. Dans le cadre du PDPL, les responsables du traitement doivent répondre à ces demandes d'accès dans un délai de 30 jours, en fournissant les données ou en apportant des corrections.

Droit de retirer son consentement

Le consentement en vertu du PDPL est donné librement mais révocable. Les personnes concernées peuvent retirer leur consentement à tout moment, obligeant le responsable du traitement à cesser le traitement (sauf si un autre motif légal s'applique). Il est important de noter que le consentement ne peut être une condition préalable à la fourniture d'un service, au moins qu'il ne soit directement lié à ce service. Les responsables du traitement doivent informer les personnes concernées de ce droit (par exemple, « Vous pouvez retirer votre consentement à tout moment » dans la déclaration de confidentialité).

Derechos relatifs aux données sensibles

Bien que le PDPL ne confère pas de nouveaux « droits » spécifiques aux données sensibles personnelles, elle traite données sensibles de manière plus stricte. La divulgation ou le traitement de données sensibles sans autorisation peut entraîner de lourdes sanctions (voir la section Pénalités).

Les personnes concernées ont également un « droit général de limiter le traitement » dans des cas particuliers, bien que le PDPL n'ait pas explicitement codifié ce droit. Il est cependant reconnu dans les FAQ officielles. Cela signifie, par exemple, qu'une personne peut s'opposer à un profilage inutile ou demander à un responsable du traitement de suspendre certains types d'utilisation des données, sous réserve des directives réglementaires.

Transférents de données transfrontaliers et traitement par des tiers dans le cadre du PDPL

Quand les transferts sont autorisés et quelles sont les garanties requises

Le PDPL n'autorise les transferts de données transfrontaliers que lorsqu'ils sont nécessaires, légaux et correctement protégés. Les organisations doivent documenter une base juridique valide, évaluer les risques dans le pays destinataire et appliquer des mesures de protection telles que des protections contractuelles, le cryptage et les contrôles d'accès. Les dossiers des décisions de transfert doivent être conservés pour démontrer la conformité à la SDAIA.

Rôle des processeurs, contrôleurs et tiers

Les contrôleurs restent pleinement responsables en vertu du PDPL et doivent s'assurer que les sous-traitants et les tiers suivent les instructions documentées, mettent en œuvre des mesures de sécurité et signalent rapidement les violations. Les processeurs ne peuvent pas réutiliser ou transférer des données sans autorisation. Efficace management des risques liés aux fournisseurs est essentiel pour réduire les risques de conformité et de sécurité.

Chronologie de conformité et d'application du PDPL

Date d'entrée en vigueur du PDPL et délai de grâce

Le PDPL a été publié au Journal officiel en septembre 2021, mais sa date d'entrée en vigueur a été fixée au 14 septembre 2023. L'Autorité saoudienne des données et de l'intelligence artificielle (SDAIA) a immédiatement accordé un délai de grâce d'un an, de sorte que les organisations avaient jusqu'au 14 septembre 2024 pour se conformer pleinement. Au cours de cette année, les dispositions du PDPL n'étaient pas encore strictement appliquées, ce qui a donné aux entreprises le temps de préparer des politiques, des systèmes et des formations. (Les entités étrangères disposaient notamment d'une période allant jusqu'à cinq ans selon les versions précédentes, mais les nouvelles modifications ciblaient les entreprises internationales qui disposaient des données saoudiennes afin de garantir une mise en conformité assez rapide.)

Autorité de surveillance et de supervision réglementaire

L'Autorité saoudienne des données et de l'intelligence artificielle (SDAIA) est l'organisme de réglementation désigné pour le PDPL. La SDAIA dispose de pouvoirs étendus pour superviser la mise en œuvre : elle peut demander des documents de conformité, effectuer des inspections et éventuellement appliquer des sanctions. Officiellement, le SDAIA supervisera l'application du PDPL pendant les deux premières années avant de passer éventuellement le relais à un nouveau Bureau national de gestion des données (NDMO). Les organisations doivent considérer le SDAIA comme le point de contact pour tout signalement ou question.

Sanctions et conséquences en cas de non-conformité

Les violations du PDPL sont passibles de sanctions sévères. Pour la plupart des violations (non-respect des principes, traitement sans consentement, etc.), le PDPL autorise avertissement ou une amende pouvant aller jusqu'à 5 000 000 SAR (≈ 1,33 million de dollars américains). Les récidives peuvent entraîner le double de l'amende. Publication ou divulgation sensé les données personnelles illégales sont particulièrement sévères : elles peuvent entraîner des amendes allant jusqu'à 3 000 000 SAR et/ou jusqu'à 2 ans de prison.

Les organisations et les personnes responsables (par exemple, les administrateurs) peuvent être tenues responsables des violations de données sensibles. Notez qu'après les modifications, les sanctions pénales étaient principalement limitées aux infractions relatives aux données sensibles ; les autres violations n'entraînent que des amendes ou des avertissements.

Outre les sanctions légales, la non-conformité risque de porter atteinte à la réputation, de perdre la confiance des clients et d'être exclus des marchés publics. La leçon à tirer : la conformité au PDPL est obligatoire et les violations sont coûteuses.

Principales étapes de conformité et meilleures pratiques pour les organisations

Les organisations soumises au PDPL doivent adopter un programme de conformité structuré. Les principales étapes sont les suivantes :

Inventaire et cartographie des données: Commencez par un audit complet des données personnelles que vous détenez, d'où elles proviennent, pourquoi vous les collectez, où et comment elles sont stockées, et avec qui vous les partagez.
Alignement des objectifs et des politiques: Sur la base de l'inventaire, vérifiez si chaque activité de traitement des données est légale et nécessaire. Mettez à jour (ou créez) une politique de confidentialité claire qui précise les objectifs de collecte des données, les catégories de données, les périodes de conservation et la base légale. Publiez cette politique sur votre site Web et assurez-vous qu'elle est présentée aux utilisateurs avant la collecte de données. Cette transparence permet aux utilisateurs d'exercer leurs droits et empêche le « détournement des objectifs ».
Minimiser et sécuriser les données: Limitez la collecte de données au strict minimum nécessaire pour chaque objectif. Utilisez des techniques telles que le masquage des données ou l'anonymisation, le cas échéant. Mettez en œuvre des contrôles techniques robustes : chiffrez les données au repos et en transit, appliquez des contrôles d'accès et testez régulièrement la sécurité.
Mettre en œuvre des procédures relatives aux droits des personnes concernées: établissez des flux de travail internes pour gérer les demandes d'accès, de correction, de suppression et de portabilité. Formez le personnel (RH, service client, informatique) à reconnaître et à transmettre ces demandes à un niveau supérieur. N'oubliez pas : les réponses doivent être données dans les 30 jours et les demandes elles-mêmes doivent être enregistrées (documentez la demande et la manière dont vous l'avez traitée).
Plan de réponse aux violations: Le PDPL Arabie Saoudite exige une notification à SDAIA dans les 72 heures suivant la prise de connaissance d'une violation de données. Mettez en place un plan de réponse aux incidents qui comprend une détection rapide, une analyse forensique et une procédure de notification. Préparez un modèle de notification de violation qui inclut les informations requises (nature de la violation, données concernées, mesures prises) à la fois pour l'autorité et les personnes concernées si leurs données sont menacées. Une action rapide et transparente est essentielle pour répondre aux exigences du PDPL et en atténuer l'impact.
Gouvernance et formation: Désignez ou engagez un délégué à la protection des données (DPO) ou équivalent (comme le prescrit la loi) pour superviser la conformité. Organisez régulièrement des programmes de formation et de sensibilisation afin que les employés comprennent les principes du PDPL et leurs rôles.
Transfrontaliers et mécanismes de transfert: Si vous transférez des données hors d'Arabie Saoudite, vérifiez que les pays destinataires disposent d'une protection adéquate ou que vous remplissez l'une des conditions légales de transfert du PDPL. Rédiger des clauses contractuelles types ou des accords contraignants conformément aux exigences du PDPL.

Comment le PDPL se compare au RGPD (et à d'autres lois mondiales sur la confidentialité)

Le PDPL étant ancré dans les normes internationales, il présente des similitudes notables avec le RGPD de l'UE et d'autres cadres de confidentialité.

Le PDPL et le RGPD mettent tous deux l'accent sur des principes fondamentaux tels que la légalité, la limitation des finalités, la minimisation des données, la sécurité et la responsabilité.

Ils accordent des droits similaires aux personnes concernées (accès, correction, suppression, portabilité) et exigent la transparence par le biais de déclarations de confidentialité. Les deux régimes imposent également des sanctions sévères en cas de violation et exigent des notifications de violation de données.

Il existe toutefois des différences importantes. Par exemple,

Le RGPD prévoit explicitement un « droit de restreindre le traitement » et un « droit d'opposition », alors que le PDPL ne les accorde pas explicitement dans le texte (bien que l'autorité ait indiqué des protections similaires dans des directives). À l'origine, le PDPL n'avait aucune base légale relative aux « intérêts légitimes », mais un amendement de 2023 l'a ajoutée (nonobstant les données sensibles) afin de rapprocher la loi des motifs similaires au RGPD.
Les règles de transfert constituent une autre différence : le RGPD autorise les transferts selon plusieurs mécanismes (adéquation, SCC, etc.), tandis que les règles mises à jour du PDPL n'autorisent actuellement les transferts qu'à certaines fins, sous la supervision de la SDAIA. Le PDPL impose également une obligation d'enregistrement et des règles relatives aux représentants locaux qui peuvent différer de celles du RGPD.
En termes de sanctions, les amendes prévues par le RGPD peuvent atteindre 4 % du chiffre d'affaires mondial, tandis que les amendes les plus élevées infligées à la PDPL sont fixes (5 millions de SAR) plus une peine d'emprisonnement potentielle pour les violations sensibles.

Pour les entreprises internationales, ces différences soulignent la nécessité d'une stratégie de conformité unifiée. L'adoption d'un cadre de gouvernance de la confidentialité unique qui tient compte de toutes les lois applicables (RGPD, PDPL, CCPA, etc.) est souvent plus efficace que des efforts cloisonnés.

Conclusion : la conformité au PDPL est une opportunité stratégique et non un fardeau

Les gens pensent souvent que le PDPL ne sert qu'à éviter les amendes. Cependant, chez DPO Consulting, nous pensons que c'est l'occasion de renforcer la gouvernance des données et la réputation de votre organisation.

En respectant le droit à la vie privée et en sécurisant les données, les entreprises renforcent la confiance de leurs clients et de leurs concurrents. Un solide programme de conformité PDPL peut améliorer la qualité des données, réduire les violations et ouvrir de nouvelles opportunités commerciales numériques en Arabie Saoudite. N'oubliez pas : la conformité des données va de pair avec l'innovation et la valeur commerciale.

Pour les organisations confrontées à cette nouvelle réglementation, l'aide d'experts peut faire la différence. DPO Consulting services de conformité multiréglementaires se spécialise dans l'alignement des lois internationales sur la confidentialité des données, y compris le PDPL, en un seul programme cohérent. Que vous ayez besoin d'un audit de confidentialité, de modèles de politiques, d'une formation ou d'un DPO externalisé, il existe des ressources pour vous guider. La transition vers la conformité au PDPL peut se faire en douceur avec les bons partenaires et une approche proactive.

Prenez contact avec nos experts pour en savoir plus sur la façon dont nous pouvons vous aider !

FAQ

Le PDPL s'applique-t-il aux entreprises non saoudiennes qui traitent les données des résidents saoudiens ?

Oui Le PDPL a une portée extraterritoriale. Elle couvre explicitement toute organisation publique ou privée (même si elle se trouve en dehors de l'Arabie Saoudite) qui traite les données personnelles de personnes en Arabie Saoudite. Les entreprises étrangères desservant des clients saoudiens ou employant des ressortissants saoudiens doivent donc se conformer au PDPL. (Un projet antérieur prévoyait un délai de cinq ans pour les entreprises étrangères, mais dans la pratique, tous les processeurs des données saoudiens devraient s'aligner avant la date limite de conformité.)

Qu'est-ce qui est considéré comme des « données sensibles » au sens du PDPL ?

Les « données personnelles sensibles » au sens du PDPL incluent des catégories telles que les informations sur la santé, les données génétiques ou biométriques, l'origine raciale ou ethnique, les convictions religieuses ou philosophiques, les opinions politiques, l'appartenance syndicale, l'orientation sexuelle et les casiers judiciaires. En résumé, toute donnée révélant des aspects intimes de l'identité d'une personne est sensible.

Le consentement peut-il être retiré, et que se passe-t-il alors ?

Oui Le PDPL indique que les individus peuvent retirer leur consentement au traitement des données à tout moment. Lorsque le consentement est retiré, le responsable du traitement doit cesser de traiter les données de cette personne (sauf s'il existe une autre justification légale, telle qu'une obligation contractuelle ou un intérêt vital). Concrètement, cela signifie que les organisations devraient mettre en œuvre des moyens simples permettant aux utilisateurs de retirer leur consentement (par exemple, un lien de « désinscription » ou un panneau de contrôle des données) et mettre en place des processus permettant de supprimer ou de cesser d'utiliser les données rapidement une fois le consentement révoqué.

Les données anonymisées ou pseudonymisées sont-elles toujours couvertes par le PDPL ?

Les données entièrement anonymisées (anonymisées de manière irréversible afin que les individus ne puissent pas être identifiés) ne relèvent pas du PDPL, car il ne s'agit pas de « données personnelles ». Cependant, les données pseudonymisées (dans lesquelles les identifiants sont remplacés par des codes mais peuvent être liés à nouveau) sont toujours traitées comme des données personnelles dans le cadre du PDPL. En général, s'il existe un moyen raisonnable de réidentifier la personne, les données sont protégées par le PDPL et toutes les règles s'appliquent.

Quelles sont les obligations de signalement en cas de violation ?

PDPL nécessite une notification rapide. Les responsables du traitement doivent informer le régulateur saoudien (SDAIA) « au plus tard 72 heures » après avoir pris connaissance d'une violation de données personnelles. La notification doit inclure des détails sur la violation et les mesures d'atténuation. En outre, si la violation présente un risque élevé pour les personnes concernées, le responsable du traitement doit en informer les personnes concernées dans les meilleurs délais. Il est recommandé de disposer d'un plan d'intervention en cas d'intrusion bien avant tout incident.

DPO Consulting : votre partenaire en matière d'IA et de conformité au RGPD

Investir dans les efforts de conformité au RGPD peut peser lourdement sur les grandes entreprises ainsi que sur les petites et moyennes entreprises (PME). Le recours à une ressource ou à une assistance externe peut alléger la charge d'un audit interne pour l'ensemble des entreprises et alléger la pression sur les finances, les capacités technologiques et l'expertise de l'entreprise.

Les auditeurs externes et les partenaires experts tels que DPO Consulting sont bien placés pour aider les organisations à gérer efficacement la nature complexe des audits du RGPD. Ces professionnels formés agissent comme une extension de votre équipe, aidant à rationaliser les processus d'audit, à identifier les domaines à améliorer, à mettre en œuvre les changements nécessaires et à garantir la conformité au RGPD.

Confier le bon partenaire offre l'avantage de l'impartialité et du respect des normes du secteur et permet de débloquer une multitude de ressources telles que des informations spécifiques au secteur, ce qui se traduit par des évaluations impartiales et une conformité réussie. Travailler avec DPO Consulting se traduit par un gain de temps précieux et allège la charge de travail du personnel interne, tout en réduisant considérablement les coûts de l'entreprise.