Asie · Protection des données

Arabie saoudite : Saudi PDPL et ses exigences

Personal Data Protection Law (PDPL), Royal Decree M/19 : cadre récent ou en cours de déploiement, dont l'application se met encore en place. Supervision : Saudi Data & AI Authority (SDAIA).

Référentiel vérifié pour la dernière fois en 2026-09.

Les exigences clés en un coup d'œil

Enregistrement auprès de l'autorité	Selon des seuils ou des circonstances
Délégué à la protection des données	Selon des seuils ou des circonstances
Notification des violations	Sous 72 heures
Restrictions aux transferts internationaux	Obligatoire
Localisation des données	Non obligatoire

Sanctions et application

Amendes jusqu'à 5 millions de SAR par violation (doublées en cas de récidive) ; jusqu'à 2 ans d'emprisonnement et/ou 3 millions de SAR pour la divulgation de données sensibles dans l'intention de nuire ou pour un gain personnel.

À retenir en pratique

Pleinement appliquée depuis le 14 septembre 2024. Notifier la SDAIA dans les 72 heures suivant la découverte d'une violation, via la Plateforme nationale de gouvernance des données. Les transferts hors du Royaume relèvent d'un règlement distinct. L'enregistrement des responsables de traitement et les obligations de DPO dépendent de règles que la SDAIA doit publier.

L'obligation de sécurité

Selon Art. 19 : Le responsable de traitement doit mettre en œuvre toutes les mesures organisationnelles, administratives et techniques nécessaires pour protéger les données personnelles, y compris pendant leur transfert. Source: texte publié, vérifié en 2026-10.

Comment Cevro vous aide

Rattache Saudi PDPL au reste de votre programme de conformité : les preuves collectées pour SOC 2 ou ISO 27001 comptent aussi ici lorsqu'elles se recoupent.
Compte vos contrôles techniques automatisés comme preuves de l'obligation de sécurité (Art. 19).
Donne à chaque contrôle en échec une correction précise et un moyen de le revérifier.

Questions fréquentes

Arabie saoudite : qui supervise la protection des données ?

Saudi Data & AI Authority (SDAIA) supervise l'application de Personal Data Protection Law (PDPL), Royal Decree M/19.

Saudi PDPL : la notification des violations est-elle obligatoire ?

Le texte prévoit un délai de 72 heures pour informer l'autorité d'une violation de données personnelles ; il faut donc un dispositif de détection et un processus d'incident capables de le respecter.

Arabie saoudite : les transferts internationaux de données sont-ils restreints ?

Oui. Les transferts de données personnelles hors de la juridiction sont encadrés : confirmez une base de transfert licite avant que les données ne la quittent.

Saudi PDPL : faut-il désigner un délégué à la protection des données ?

Seulement dans certains cas, en général selon l'ampleur ou la sensibilité de vos traitements. Vérifiez si vous dépassez le seuil.

Arabie saoudite : quelles sanctions en cas de non-conformité ?

Juridictions voisines : Asie

Référence à titre informatif uniquement, ne constitue pas un avis juridique. Compilée à partir d'une source de septembre 2026 examinant les textes de protection des données ; les lois évoluent, tout comme la pratique de leur application. Vérifiez les exigences en vigueur auprès d'un conseil local qualifié avant toute décision de conformité.