Panorama general
La regulación de la protección de datos y la privacidad en Arabia Saudí gira hoy en torno a la Ley de Protección de Datos Personales (PDPL), la supervisión de la SDAIA, los controles de ciberseguridad y las normas de transferencia internacional de datos. El marco refleja la rápida digitalización del reino y su ambición de convertirse en un centro regional de la tecnología, la inteligencia artificial y la economía digital.
La PDPL, administrada por la Autoridad Saudí de Datos e Inteligencia Artificial (SDAIA), es la primera legislación integral de protección de datos del reino. Establece los derechos de los interesados, las obligaciones de cumplimiento para las empresas, las normas de transferencia internacional y los requisitos de localización de datos, que en conjunto alinean el marco saudí de gobierno del dato con los estándares internacionales. Como complemento de la PDPL, la Autoridad Nacional de Ciberseguridad (NCA) administra un marco regulador paralelo que rige la ciberseguridad en las infraestructuras críticas, el sector público y el privado.
Para las empresas que operan en el mercado saudí o le prestan servicio, el panorama regulador de la protección de datos y la ciberseguridad conlleva ya implicaciones de cumplimiento materiales, exigibles y cada vez más centrales para el acceso al mercado y la obtención de licencias operativas.
La Ley de Protección de Datos Personales
Ámbito de aplicación
La PDPL se aplica al tratamiento de datos personales realizado dentro de Arabia Saudí y al tratamiento de datos personales de residentes en el reino por entidades situadas fuera de él. Este alcance extraterritorial implica que las empresas internacionales que atienden a clientes saudíes o tratan datos originados en Arabia Saudí pueden quedar sujetas a las obligaciones de la PDPL con independencia de dónde se ubique su infraestructura de tratamiento de datos.
Los datos personales se definen de forma amplia para incluir cualquier dato que permita identificar, directa o indirectamente, a una persona física. Los datos personales sensibles —entre ellos los datos de salud, los datos genéticos, los datos crediticios, los antecedentes penales, los datos que revelen el origen racial o étnico y los datos relativos a creencias religiosas o políticas— están sujetos a una protección reforzada y a condiciones de tratamiento adicionales.
La PDPL se aplica tanto a entidades públicas como privadas, si bien existen ciertas excepciones para los datos personales tratados con fines exclusivamente personales o familiares, los datos tratados por las autoridades competentes con fines de seguridad y justicia penal y los datos anonimizados que no puedan reidentificarse.
Bases jurídicas del tratamiento
La PDPL establece el consentimiento como base jurídica principal del tratamiento de datos personales. El consentimiento debe ser libre, específico, informado e inequívoco, y puede retirarse en cualquier momento. La ley reconoce también otras bases jurídicas, como la ejecución de un contrato, el cumplimiento de una obligación legal, la protección de intereses vitales, el cumplimiento de una misión de interés público y el interés legítimo del responsable, sujeto a una ponderación frente a los derechos del interesado.
Para los datos personales sensibles, las bases jurídicas son más restrictivas. Su tratamiento requiere, por lo general, el consentimiento expreso o el cumplimiento de condiciones específicas relacionadas con el derecho laboral, la salud pública, las reclamaciones judiciales o un interés público sustancial.
Derechos de los interesados
La PDPL reconoce a los interesados un conjunto completo de derechos que las entidades deben estar preparadas para atender. Entre ellos figuran el derecho a ser informado sobre las actividades de tratamiento, el derecho de acceso a los datos personales en poder del responsable, el derecho de rectificación de los datos inexactos, el derecho de supresión de los datos personales (con excepciones legales), el derecho a la portabilidad de los datos y el derecho de oposición al tratamiento en determinadas circunstancias.
Los interesados tienen también derecho a ser informados de cualquier violación de seguridad que suponga un alto riesgo para sus derechos, y derecho a presentar reclamaciones ante la SDAIA por presuntas infracciones de la PDPL.
Obligaciones de cumplimiento para las empresas
Las entidades que traten datos personales deben implantar un marco de cumplimiento completo. Entre las obligaciones clave están mantener un registro de las actividades de tratamiento, realizar evaluaciones de impacto relativas a la protección de datos en los tratamientos de alto riesgo, designar un delegado de protección de datos cuando proceda, aplicar medidas técnicas y organizativas de seguridad adecuadas, notificar a la SDAIA y a los afectados las violaciones de seguridad y garantizar que los encargados del tratamiento (terceros que tratan datos por cuenta del responsable) queden vinculados por obligaciones contractuales que reflejen los requisitos de la PDPL.
El principio de minimización de datos exige recabar los datos personales solo en la medida necesaria para la finalidad especificada y conservarlos únicamente durante el tiempo preciso para cumplir esa finalidad. Las obligaciones de protección de datos desde el diseño y por defecto exigen integrar la protección de datos en el diseño de los sistemas y procesos, y no incorporarla a posteriori.
La supervisión de la SDAIA
Función institucional
La Autoridad Saudí de Datos e Inteligencia Artificial actúa como autoridad de control en materia de protección de datos en Arabia Saudí. El mandato de la SDAIA va más allá de la protección de datos y abarca la política de inteligencia artificial, el gobierno del dato y el desarrollo de la economía del dato del reino. Este doble mandato refleja el reconocimiento gubernamental de que la protección de datos y la innovación basada en datos son objetivos complementarios, no contrapuestos.
La SDAIA es responsable de dictar reglamentos y directrices de desarrollo, vigilar el cumplimiento de la PDPL, investigar las reclamaciones e imponer sanciones por infracciones. La autoridad ha publicado una serie de reglamentos de desarrollo que ofrecen orientación detallada sobre requisitos concretos de la PDPL, como la transferencia de datos, la gestión del consentimiento, la notificación de violaciones de seguridad y las evaluaciones de impacto.
Aplicación y sanciones
La PDPL establece un marco sancionador que incluye multas administrativas de hasta 5 millones de riyales saudíes (SAR) por infracción, con sanciones mayores en caso de infracciones reiteradas o graves. Para determinadas conductas, como la divulgación no autorizada de datos personales sensibles con ánimo de causar daño, pueden aplicarse penas, incluida la prisión. La SDAIA tiene potestad para ordenar el cese de las actividades de tratamiento, la supresión de los datos recabados con infracción de la ley y la publicación de las resoluciones sancionadoras.
La actitud en la aplicación ha evolucionado desde la orientación inicial y la sensibilización durante el periodo transitorio hacia una vigilancia y una aplicación activas del cumplimiento. Las entidades que no hayan implantado programas de cumplimiento de la PDPL se exponen a un riesgo regulatorio creciente.
Transferencias internacionales de datos
Restricciones a las transferencias
La PDPL impone restricciones a la transferencia de datos personales fuera de Arabia Saudí. Las transferencias internacionales solo se permiten cuando el país de destino ofrece un nivel adecuado de protección de datos (según lo determine la SDAIA) o cuando existen garantías específicas. La SDAIA ha publicado criterios para evaluar la adecuación y ha identificado mecanismos que permiten legitimar las transferencias en ausencia de una decisión de adecuación.
Entre los mecanismos de transferencia admitidos figuran las normas corporativas vinculantes para transferencias intragrupo, las cláusulas contractuales tipo aprobadas por la SDAIA y el consentimiento expreso del interesado (aunque basarse solo en el consentimiento está sujeto a limitaciones). La transferencia debe ser además necesaria para una de las bases jurídicas de tratamiento reconocidas, y el responsable debe realizar una evaluación de impacto de la transferencia cuando no se haya acreditado la adecuación del país de destino.
Implicaciones prácticas
Para las empresas multinacionales, el marco de transferencias internacionales tiene implicaciones operativas notables. Los flujos de datos entre las operaciones saudíes y la sede internacional, los proveedores de servicios o las filiales deben mapearse, evaluarse y respaldarse con los mecanismos de transferencia adecuados. Los servicios de computación en la nube, la gestión global de datos de recursos humanos, la analítica de datos de clientes y el procesamiento transfronterizo de pagos requieren una cuidadosa estructuración para garantizar el cumplimiento de la PDPL.
Requisitos de localización de datos
La PDPL incluye disposiciones de localización de datos que obligan a almacenar dentro de Arabia Saudí determinadas categorías de datos personales. Las categorías concretas sujetas a estos requisitos y las condiciones en que pueden concederse excepciones se especifican en los reglamentos de desarrollo de la SDAIA.
La localización de datos ha impulsado una inversión considerable en centros de datos ubicados en el reino, con proveedores internacionales de servicios en la nube que establecen o amplían instalaciones locales para atender a los clientes que deben mantener la residencia de sus datos dentro del reino. La confluencia de los requisitos de localización de datos y las ambiciones del reino de convertirse en un centro regional de centros de datos genera a la vez obligaciones de cumplimiento y oportunidades comerciales en el sector de la infraestructura de datos.
Regulación de la ciberseguridad
Autoridad Nacional de Ciberseguridad (NCA)
La NCA, creada por Real Decreto en 2017, es la autoridad nacional responsable de la política, la regulación y la respuesta ante incidentes de ciberseguridad. Su mandato abarca las entidades públicas, la infraestructura nacional crítica y las organizaciones del sector privado cuyas operaciones son esenciales para la seguridad nacional o la estabilidad económica.
Controles Esenciales de Ciberseguridad
La NCA ha publicado los Controles Esenciales de Ciberseguridad (ECC), un conjunto exhaustivo de requisitos que se aplican a todas las entidades públicas y a los operadores de infraestructuras críticas. Los ECC abarcan el gobierno de la ciberseguridad, la gestión de activos, la gestión de identidades y accesos, la protección de la información, la seguridad de la red, la seguridad de las aplicaciones, la gestión de incidentes y la continuidad del negocio.
El cumplimiento de los ECC es obligatorio para las entidades incluidas en su ámbito, y la NCA realiza evaluaciones para verificarlo. El incumplimiento puede dar lugar a medidas de ejecución, como restricciones operativas y sanciones.
Ciberseguridad sectorial
Además de los ECC, existen normas de ciberseguridad sectoriales que se aplican a las entidades financieras (bajo el Marco de Ciberseguridad del SAMA), los proveedores sanitarios, los operadores de telecomunicaciones y las entidades del sector energético. Estos marcos sectoriales parten de la base de los ECC y añaden requisitos adaptados a los perfiles de riesgo y las características operativas de cada sector.
El marco de ciberseguridad del sector financiero, administrado por el SAMA, es especialmente exhaustivo y abarca el gobierno de la seguridad de la información, la gestión del ciberriesgo, las operaciones de seguridad, la gestión de la seguridad de terceros y la comunicación de ciberincidentes.
Protección de infraestructuras críticas
La NCA ha designado los sectores de infraestructura nacional crítica y ha establecido requisitos reforzados de ciberseguridad para las entidades que operan en ellos. El proceso de designación considera el posible impacto de una interrupción sobre la seguridad nacional, la seguridad pública, la estabilidad económica y el bienestar público. Los operadores de infraestructuras críticas están sujetos a requisitos reforzados de vigilancia, comunicación y respuesta ante incidentes.
Interacción con otros marcos reguladores
Las obligaciones de protección de datos y ciberseguridad interactúan con otros requisitos regulatorios en múltiples planos. Los datos del sector financiero están sujetos tanto a los requisitos de la PDPL como a los marcos de gobierno del dato y ciberseguridad del SAMA. Los datos sanitarios están sujetos a la PDPL y a las normas de datos del sector de la salud. Los datos laborales deben cumplir la PDPL y las disposiciones de la legislación laboral en materia de privacidad del empleado.
La interacción entre la PDPL y las normas sectoriales exige un análisis cuidadoso para garantizar que el cumplimiento de un marco no genere conflictos con otro. La SDAIA ha manifestado su intención de publicar directrices sobre la interacción entre la PDPL y las normas de datos sectoriales para reducir la complejidad del cumplimiento.
Perspectivas
El panorama regulador de la protección de datos y la ciberseguridad en Arabia Saudí seguirá evolucionando con rapidez. La SDAIA ha anunciado planes para dictar reglamentos de desarrollo adicionales sobre inteligencia artificial, decisiones automatizadas y el uso de datos personales en contextos de tecnologías emergentes. La NCA amplía progresivamente el ámbito de sus marcos de ciberseguridad y profundiza en sus capacidades de aplicación.
Para las empresas, la trayectoria es clara: el gobierno del dato se está convirtiendo en un ámbito de cumplimiento material que exige recursos dedicados, estructuras de gobierno y capacidades técnicas. La ambición del reino de desarrollar una economía basada en datos y convertirse en un centro regional de inteligencia artificial y servicios digitales crea un entorno regulador en el que una protección de datos sólida es a la vez una obligación de cumplimiento y un factor de diferenciación competitiva.
Las empresas que invierten en programas integrales de protección de datos y ciberseguridad estarán mejor posicionadas para acceder a los contratos públicos (donde el cumplimiento es cada vez más un requisito de licitación), generar confianza entre los consumidores y socios saudíes y desenvolverse en el cambiante entorno regulador sin sobresaltos. El coste del incumplimiento —sanciones económicas, restricciones operativas y daño reputacional— aumenta en paralelo a la sofisticación de las capacidades de aplicación de la SDAIA y la NCA.