CevroArabia Saudí: Saudi PDPL y lo que exige
Personal Data Protection Law (PDPL), Royal Decree M/19: marco reciente o en implantación, con la aplicación aún en maduración. Supervisión: Saudi Data & AI Authority (SDAIA).
Requisitos clave de un vistazo
| Registro ante la autoridad | Depende de umbrales o circunstancias |
|---|---|
| Delegado de protección de datos | Depende de umbrales o circunstancias |
| Notificación de brechas | En un máximo de 72 horas |
| Restricciones a transferencias internacionales | Obligatorio |
| Localización de datos | No obligatorio |
Sanciones y aplicación
Multas de hasta 5 millones de SAR por infracción (el doble en caso de reincidencia); hasta 2 años de prisión y/o 3 millones de SAR por divulgar datos sensibles con intención de causar daño o para beneficio propio.
Qué saber en la práctica
Plenamente aplicada desde el 14 de septiembre de 2024. Notificar a la SDAIA dentro de las 72 horas siguientes a descubrir una brecha, a través de la Plataforma Nacional de Gobernanza de Datos. Las transferencias fuera del Reino se rigen por un reglamento aparte. El registro de responsables y las obligaciones de DPO dependen de reglas que la SDAIA aún debe publicar.
El deber de seguridad
Según Art. 19: El responsable debe adoptar todas las medidas organizativas, administrativas y técnicas necesarias para proteger los datos personales, también durante su transferencia. Fuente: texto publicado, verificado en 2026-10.
Cómo ayuda Cevro
- Asocia Saudi PDPL con el resto de tu programa de cumplimiento, de modo que las evidencias recogidas para SOC 2 o ISO 27001 también cuentan aquí cuando coinciden.
- Cuenta tus comprobaciones técnicas automáticas como evidencia del deber de seguridad (Art. 19).
- Da a cada control fallido una corrección concreta y una forma de volver a comprobarlo.
Preguntas frecuentes
Arabia Saudí: ¿quién supervisa la protección de datos?
Saudi Data & AI Authority (SDAIA) supervisa la aplicación de Personal Data Protection Law (PDPL), Royal Decree M/19.
Saudi PDPL: ¿es obligatoria la notificación de brechas?
La ley fija un plazo de 72 horas para notificar a la autoridad una brecha de datos personales, por lo que se necesita detección y un proceso de incidentes capaces de cumplirlo.
Arabia Saudí: ¿se restringen las transferencias internacionales de datos?
Sí. La salida de datos personales de la jurisdicción está restringida, así que confirma una base lícita de transferencia antes de que los datos salgan.
Saudi PDPL: ¿hay que designar un delegado de protección de datos?
Solo en algunos casos, normalmente según la escala o la sensibilidad del tratamiento. Confirma si superas el umbral.
Arabia Saudí: ¿qué sanciones hay por incumplimiento?
Multas de hasta 5 millones de SAR por infracción (el doble en caso de reincidencia); hasta 2 años de prisión y/o 3 millones de SAR por divulgar datos sensibles con intención de causar daño o para beneficio propio.