Le cadre juridique
L'Arabie saoudite encadre les données personnelles par la Personal Data Protection Law (PDPL), datant de 2021 et supervisée par la Saudi Data and AI Authority.
Pour les annonceurs, c'est la posture en matière de consentement qui compte le plus, et l'Arabie saoudite se situe dans le bloc opt-in, où le suivi et la prospection nécessitent une autorisation préalable.
Principaux textes
Loi sur la protection des données personnelles (PDPL), modifiée en 2023
L'Arabie saoudite applique le régime le plus déterminant du Golfe. La PDPL a pris pleinement effet le 14 septembre 2023, sa période de grâce pour la mise en application s'est achevée le 14 septembre 2024, et la SDAIA a depuis publié des règles d'enregistrement, de délégué à la protection des données et de transfert. En janvier 2026, ses comités des violations ont annoncé leurs 48 premières décisions de mise en application, incluant des sanctions pour des messages marketing envoyés sans consentement. Le marketing exige un consentement et une option de désinscription opérante, et le marketing fondé sur des données sensibles est purement et simplement interdit.
Marketing et publicité
Le consentement constitue la base par défaut ; les amendements de 2023 ont ouvert une marge fondée sur l'intérêt légitime pour les données non sensibles, mais le marketing direct exige en pratique un consentement, assorti d'une option de désinscription dans chaque message. La plupart des choix de canaux ici découlent de cette règle de consentement.
Transferts transfrontaliers
Le règlement sur les transferts (2024) autorise les transferts fondés sur l'adéquation, les garanties (CCT, BCR, certification) et les analyses de risque ; la SDAIA n'a pas publié de liste de pays adéquats, de sorte que ce sont surtout les garanties contractuelles qui portent le dispositif.
Application et sanctions
Amendes pouvant atteindre SAR 5 M (doublées en cas de récidive), exposition pénale en cas de divulgation de données sensibles, ainsi que des pouvoirs correctifs de la SDAIA.