La Ley de Protección de Datos Personales (PDPL) de Arabia Saudí, promulgada mediante el Real Decreto M/19 en septiembre de 2021 y en vigor desde septiembre de 2023, constituye la primera legislación integral de privacidad de datos del Reino. La PDPL establece un marco que regula la recopilación, el tratamiento, el almacenamiento y la transferencia de datos personales, y alinea a Arabia Saudí con los estándares internacionales de protección de datos, al tiempo que refleja el entorno regulatorio propio del Reino. Las empresas que operan en Arabia Saudí o que manejan datos procedentes del país deben conocer y cumplir los requisitos de la PDPL para evitar sanciones significativas.
Antecedentes y contexto legislativo
La PDPL se desarrolló bajo la autoridad de la Autoridad Saudí de Datos e Inteligencia Artificial (SDAIA), que supervisa su aplicación y su cumplimiento. Antes de la PDPL, la protección de datos en Arabia Saudí se regía por un mosaico de normativas sectoriales, entre ellas disposiciones de la Ley contra los Delitos Informáticos y de la Ley de Comercio Electrónico. La PDPL consolida esas normas fragmentadas en un único texto legal integral, aplicable a todos los sectores y actividades. La ley refleja la ambición de Arabia Saudí, en el marco de la Visión 2030, de construir una economía digital moderna que atraiga inversión extranjera y empresas tecnológicas a la vez que salvaguarda el derecho a la privacidad de la ciudadanía.
Ámbito de aplicación
La PDPL se aplica a todo tratamiento de datos personales realizado dentro de Arabia Saudí, así como al tratamiento de datos personales de residentes saudíes por parte de entidades ubicadas fuera del Reino. Los datos personales se definen de forma amplia e incluyen cualquier dato que permita identificar a una persona, directa o indirectamente, lo que abarca nombres, números de identificación, datos de localización, identificadores en línea y datos biométricos. La ley cubre tanto a entidades del sector privado como del público, con determinadas exenciones para el uso personal o familiar, las actividades de las fuerzas del orden y los datos tratados con fines estadísticos o de archivo cuando existan las garantías adecuadas.
Derechos de los interesados
La PDPL reconoce a los interesados un conjunto integral de derechos sobre sus datos personales. Toda persona tiene derecho a ser informada sobre la recopilación y la finalidad del tratamiento de sus datos, derecho a acceder a ellos, derecho a solicitar la rectificación de datos inexactos y derecho a solicitar la supresión de sus datos cuando ya no resulten necesarios para el fin para el que se recabaron. Los interesados también tienen derecho a retirar su consentimiento en cualquier momento y derecho a obtener sus datos en un formato legible por máquina para su portabilidad. Los responsables del tratamiento deben atender las solicitudes de los interesados en los plazos establecidos y no pueden cobrar tarifas excesivas por atenderlas.
Consentimiento y licitud del tratamiento
El consentimiento es la principal base jurídica para el tratamiento de datos personales en virtud de la PDPL. El consentimiento debe ser explícito, informado y libremente otorgado, y debe especificar la finalidad del tratamiento. La ley también reconoce bases jurídicas alternativas para el tratamiento, como la necesidad contractual, el cumplimiento de obligaciones legales, la protección de intereses vitales y el interés legítimo del responsable cuando este no prevalezca sobre los derechos fundamentales del interesado. Los datos personales sensibles —incluidos los datos de salud, los datos genéticos, los datos biométricos y los datos que revelen creencias religiosas o políticas— requieren consentimiento explícito y están sujetos a garantías adicionales.
Transferencias internacionales de datos
La PDPL impone condiciones estrictas a la transferencia de datos personales fuera de Arabia Saudí. Las transferencias solo se permiten hacia países que ofrezcan un nivel adecuado de protección de datos, según lo determine la autoridad competente, o cuando existan garantías adecuadas, como normas corporativas vinculantes, cláusulas contractuales tipo o el consentimiento explícito del interesado. El reglamento de desarrollo dictado por la SDAIA detalla los mecanismos y las condiciones de las transferencias internacionales. Las empresas deben realizar evaluaciones de impacto de las transferencias y conservar la documentación que acredite el cumplimiento de estos requisitos.
Obligaciones de cumplimiento para las empresas
Las organizaciones que traten datos personales deben implantar marcos sólidos de gobernanza de datos para cumplir la PDPL. Entre las obligaciones clave figuran designar a un delegado de protección de datos cuando sea preceptivo, mantener registros de las actividades de tratamiento, realizar evaluaciones de impacto relativas a la protección de datos en los tratamientos de alto riesgo, aplicar medidas técnicas y organizativas de seguridad adecuadas y notificar a la autoridad competente y a los afectados en caso de brecha de seguridad. Las políticas de privacidad deben ser transparentes, accesibles y estar redactadas en árabe. Las empresas también deben aplicar prácticas de minimización de datos, de modo que recopilen únicamente los datos necesarios para fines específicos y legítimos.
Sanciones y régimen de cumplimiento
La PDPL contempla sanciones significativas por incumplimiento. Las infracciones pueden acarrear multas de hasta 5 millones de riyales saudíes (SAR) (aproximadamente 1,33 millones de dólares), con la posibilidad de sanciones más elevadas en caso de reincidencia. Las penas de carácter penal, que incluyen hasta dos años de prisión, se aplican a las infracciones que impliquen la divulgación de datos sensibles con la intención de causar daño. La autoridad competente tiene potestad para instruir investigaciones, emitir advertencias, ordenar medidas correctoras e imponer multas. Se espera que las acciones de ejecución aumenten a medida que el marco regulatorio madure y las organizaciones completen sus periodos de transición hacia el cumplimiento.
Impacto en la Visión 2030 y en la economía digital
La PDPL es un habilitador crítico de la transformación digital de Arabia Saudí en el marco de la Visión 2030. Respalda la agenda más amplia de reformas regulatorias del Reino. Al establecer estándares claros de protección de datos, la ley genera confianza en la economía digital, fomenta la adopción de la computación en la nube y la inteligencia artificial, y posiciona a Arabia Saudí como un destino creíble para las empresas tecnológicas internacionales y los negocios basados en datos. La alineación de la ley con estándares globales como el Reglamento General de Protección de Datos (RGPD) de la UE facilita los flujos transfronterizos de datos y las alianzas comerciales, y respalda la integración del Reino en la economía digital mundial.