PDPL de Arabia Saudita vs. GDPR: Registro, Transferencias y Sanciones Comparadas

Arabia Saudita y el GDPR construyen su ley de protección de datos sobre una base similar de consentimiento, derechos del titular de los datos y supervisión regulatoria, pero los detalles divergen de formas que importan para cualquiera que procese datos de personas en el Reino. Arabia Saudita mantiene un sistema de registro de responsables que el GDPR abandonó en 2018, no cuenta con ninguna lista publicada de países adecuados para transferencias salientes, y contempla una sanción penal por el uso indebido de datos sensibles que no tiene equivalente en el GDPR.

Esta página compara la Ley de Protección de Datos Personales (PDPL), su Reglamento de Ejecución y el Reglamento de Transferencia de Datos frente al GDPR, artículo por artículo, utilizando los textos oficiales en inglés publicados por la Autoridad Saudita de Datos e Inteligencia Artificial (SDAIA).

De un Vistazo: PDPL vs. GDPR

Antecedentes y Cronología de Aplicación

El GDPR entró en vigor en toda la UE/EEE el 25 de mayo de 2018 y sigue siendo el marco de protección de datos más litigado y con más guías detalladas del mundo. Para más contexto sobre su funcionamiento, consulte nuestra explicación sobre qué exige el GDPR.

La Ley de Protección de Datos Personales de Arabia Saudita fue emitida mediante el Decreto Real N.º M/19 y posteriormente modificada por el Decreto Real N.º M/148. Se complementa con un Reglamento de Ejecución, que a su vez contiene un capítulo independiente conocido como el Reglamento de Transferencia de Datos, que regula las transferencias transfronterizas. Los tres instrumentos son administrados por SDAIA, que actúa como la Autoridad Competente del PDPL.

La ley tuvo un período de gracia de tres años antes de su aplicabilidad plena, que terminó el 14 de septiembre de 2024. Desde esa fecha, las obligaciones sustantivas del PDPL, incluyendo el registro, la notificación de vulneraciones y las vías de sanción administrativa y penal, están todas vigentes. Para un panorama más completo a nivel de país, consulte nuestra página sobre las leyes de privacidad de datos de Arabia Saudita.

Una nota sobre la numeración de los artículos: el PDPL modificado numera sus disposiciones sobre consentimiento y bases legales como Artículo 5 (consentimiento) y Artículo 6 (procesamiento sin consentimiento), y sus disposiciones sobre derechos como Artículo 4. El Reglamento de Ejecución hace referencia por separado al propio Artículo 10 de la Ley, que regula la recopilación de datos de una fuente distinta al titular de los datos, una disposición diferente del Artículo 6. Esta página cita cada artículo con precisión en lugar de tratar el "Artículo 6" y el "Artículo 10" como intercambiables.

Ámbito de Aplicación

El GDPR se aplica a los responsables y encargados del tratamiento establecidos en la UE/EEE, y de forma extraterritorial a entidades no pertenecientes a la UE que ofrezcan bienes o servicios a personas en la UE/EEE, o que supervisen su comportamiento.

El PDPL se aplica al procesamiento de datos personales de personas que residen en Arabia Saudita, y también tiene alcance extraterritorial: el Artículo 2(1) del PDPL aplica la Ley al procesamiento realizado "por cualquier medio y por cualquier parte fuera del Reino" cuando concierne a los datos de un residente saudita. Ese alcance extraterritorial es un criterio de jurisdicción, similar en función al Artículo 3 del GDPR, y no debe confundirse con un mandato de localización de datos (véase la sección dedicada más abajo).

Definiciones: los Datos Sensibles y los Datos Crediticios Son Categorías Separadas

El Artículo 1(11) del PDPL define los Datos Sensibles como datos personales que revelan el origen racial o étnico, o creencias religiosas, intelectuales o políticas; datos relacionados con la seguridad, condenas penales y delitos; datos biométricos o genéticos utilizados para identificar a una persona; datos de salud; y datos que indiquen que uno o ambos padres de una persona son desconocidos. Esa lista se asemeja de cerca a las categorías especiales del Artículo 9 del GDPR, con una categoría que el GDPR no trata como sensible en absoluto: la condición de filiación desconocida, una categoría cercana a la ilegitimidad sin equivalente en el GDPR. Los datos de condenas penales, que el GDPR trata bajo un régimen relacionado pero separado en el Artículo 10, se integran directamente en la definición de Datos Sensibles del PDPL.

Los Datos Crediticios son una categoría separada, definida de forma independiente. El Artículo 1(15) del PDPL los define como datos personales relacionados con la solicitud u obtención de financiamiento por parte de una persona, incluyendo su capacidad para obtener y pagar deudas y su historial crediticio. No forman parte de la definición de Datos Sensibles del Artículo 1(11). En cambio, se regulan bajo su propia disposición, el Artículo 24 del PDPL, que hace referencia a la Ley de Información Crediticia del Reino y exige verificación explícita del consentimiento además de notificación al titular cuando se divulgan datos crediticios. El GDPR no tiene ninguna categoría especial equivalente para datos financieros o crediticios, por lo que el tratamiento que da Arabia Saudita a la información crediticia como una categoría regulada por separado, distinta de sus reglas generales sobre datos sensibles, es un punto de divergencia genuino que vale la pena precisar en lugar de fusionar ambas categorías.

Bases Legales para el Procesamiento y el Fundamento Restringido de Interés Legítimo

El Artículo 6 del GDPR otorga a los responsables seis posibles bases legales: consentimiento, necesidad contractual, obligación legal, intereses vitales, misión de interés público e intereses legítimos, con un régimen más estricto para datos de categorías especiales bajo el Artículo 9.

El PDPL estructura esto de forma diferente y más restringida.

El consentimiento es la regla por defecto. El Artículo 5(1) del PDPL exige el consentimiento del titular de los datos para procesar sus datos, o para cambiar la finalidad del procesamiento, "salvo en los casos previstos en esta Ley". El Artículo 5(2) permite que el consentimiento se retire en cualquier momento.

El Artículo 6 establece cuatro fundamentos para procesar sin consentimiento, cada uno más restringido y específico que los seis del GDPR:

1. El procesamiento sirve a los intereses reales del titular de los datos, pero contactarlo resulta imposible o difícil.
2. El procesamiento es requerido por otra ley, o en virtud de un acuerdo previo del cual el titular de los datos es parte. Este único fundamento cubre lo que el GDPR divide entre las bases separadas de contrato y obligación legal.
3. El responsable es una Entidad Pública y el procesamiento tiene fines de seguridad o requisitos judiciales.
4. Interés legítimo del responsable, "sin perjuicio de los derechos e intereses del Titular de los Datos", y siempre que no se procesen Datos Sensibles.

El cuarto fundamento es donde las dos leyes divergen más marcadamente. El Artículo 16 del Reglamento de Ejecución deja claro que el interés legítimo solo está disponible para responsables privados, no para Entidades Públicas. Requiere una finalidad lícita, una prueba de ponderación documentada, la garantía de que no participan datos sensibles, y un procesamiento que se mantenga dentro de las expectativas razonables del titular de los datos. El Artículo 16(3) va más allá y exige una evaluación de impacto documentada y obligatoria, que cubra la finalidad, la necesidad, el daño potencial y la mitigación, antes de que un responsable pueda invocar este fundamento en absoluto. La prueba de ponderación del Artículo 6(1)(f) del GDPR no tiene un requisito general equivalente de completar una evaluación formal antes de invocar el interés legítimo.

No existe un fundamento separado de misión de interés público o intereses vitales bajo el Artículo 6 del PDPL de la forma en que el GDPR los enumera individualmente. En cambio, Arabia Saudita integra el lenguaje de intereses vitales y salud/seguridad pública en una disposición diferente, el Artículo 10, que regula la recopilación de datos de una fuente distinta al titular de los datos.

El efecto neto: el interés legítimo saudita es real, pero funciona como un sustituto del consentimiento solo para responsables privados, está categóricamente descartado para cualquier dato sensible, y está condicionado a una evaluación previa documentada que el GDPR no exige como regla universal.

Derechos del Titular de los Datos y sus Vacíos

El Artículo 4 del PDPL enumera los derechos del titular de los datos de forma taxativa:

1. El derecho a ser informado de la base legal y la finalidad de la recopilación.
2. El derecho de acceso a los datos personales en poder del responsable, sujeto a los plazos y límites del Artículo 9.
3. El derecho a solicitar la obtención de datos personales "en un formato legible y claro".
4. El derecho a solicitar la corrección, integración o actualización.
5. El derecho a solicitar la destrucción, sujeto a las excepciones de retención del Artículo 18.

En comparación con los Artículos 15 a 22 del GDPR, varios derechos que otorga el GDPR no tienen contraparte en el PDPL, y los vacíos son lo suficientemente específicos como para señalarlos con claridad:

• Sin derecho de oposición. No existe ninguna disposición del PDPL equivalente al Artículo 21 del GDPR que permita al titular de los datos oponerse al procesamiento basado en interés legítimo, o al mercadeo directo, por motivos relacionados con su situación particular. En cambio, Arabia Saudita hace que el consentimiento para mercadeo sea de tipo opt-in bajo los Artículos 25 y 26, lo cual cubre un terreno superpuesto pero no está planteado como un derecho de oposición.
• Sin derecho sobre decisiones automatizadas o elaboración de perfiles. Ninguna disposición equivalente al Artículo 22 del GDPR aparece en ninguna parte del PDPL ni de su Reglamento de Ejecución. Una búsqueda directa en ambos textos no arroja ningún tratamiento sustantivo de la toma de decisiones automatizada más allá de mencionarla como método de procesamiento en la definición de "Procesamiento" del Artículo 1, y no hay ningún tratamiento de la elaboración de perfiles en absoluto. Este es un vacío genuino y notable.
• Sin un verdadero derecho de portabilidad de datos. El derecho del Artículo 4(3) a obtener datos personales "en un formato legible y claro" es un derecho a recibir una copia en formato utilizable, más cercano al derecho de acceso del GDPR (Artículo 15) que al derecho de portabilidad del Artículo 20 del GDPR, que incluye el derecho a que los datos se transmitan directamente a otro responsable. El PDPL no otorga ese derecho de transmisión.
• Sin un derecho explícito de limitación del procesamiento distinto de la corrección o la destrucción, a diferencia del Artículo 18 del GDPR.
• El derecho de destrucción que sí existe está condicionado: el Artículo 18 permite que un responsable conserve los datos más allá del cumplimiento de la finalidad cuando una base legal respalde un período de retención específico, o cuando los datos estén relacionados con un asunto judicial pendiente.

El Registro Nacional de Responsables

Esta es una de las bifurcaciones estructurales más claras entre las dos leyes. El GDPR abolió los requisitos generales de notificación previa y registro en 2018, adoptando un modelo basado en la rendición de cuentas en el que los responsables documentan su propio cumplimiento en lugar de registrarse ante un regulador de antemano.

Arabia Saudita fue en la dirección contraria. El Artículo 30(4)(C) del PDPL faculta a SDAIA, como Autoridad Competente, para especificar herramientas y mecanismos de supervisión del cumplimiento de los responsables, "incluyendo el mantenimiento de un registro nacional de Responsables". El Artículo 34 del Reglamento de Ejecución delega en SDAIA las reglas concretas de registro, indicando que la Autoridad Competente "emitirá las reglas para el registro", siempre que dichas reglas identifiquen qué responsables están obligados a registrarse. El propio Reglamento de Ejecución no detalla los criterios específicos de registro; SDAIA los determina y publica por separado como guía regulatoria en lugar de texto legal.

La conclusión práctica para un responsable que evalúa si necesita registrarse es consultar directamente las reglas de registro publicadas actualmente por SDAIA, ya que el texto legal subyacente delega esa determinación en lugar de fijarla en la propia ley.

Notificación de Vulneraciones de Datos

El PDPL y su Reglamento de Ejecución dividen el plazo de notificación de vulneraciones entre dos instrumentos, y es fácil citar el equivocado.

El propio Artículo 20 del PDPL no establece un plazo numérico. Exige que el responsable notifique a SDAIA "al tener conocimiento de cualquier vulneración, daño o acceso ilegal a datos personales, de conformidad con el Reglamento", y que notifique al titular de los datos sobre una vulneración que pudiera causarle daño o perjudicar sus derechos, nuevamente "de conformidad con el Reglamento". La Ley delega explícitamente el plazo concreto al Reglamento de Ejecución en lugar de fijarlo en sí misma.

El Artículo 24 del Reglamento de Ejecución establece el plazo. El Artículo 24(1) exige notificar a SDAIA "dentro de un plazo no mayor a (72) horas" desde que se tenga conocimiento de un incidente que potencialmente cause daño a los datos personales, o al titular de los datos, o que sea contrario a sus derechos o intereses, un criterio basado en el riesgo en lugar de un umbral fijo de número de afectados. El Artículo 24(2) permite que un responsable que no pueda proporcionar la información completa dentro de las 72 horas la entregue lo antes posible después, junto con la justificación de la demora. El Artículo 24(5) exige notificar al titular de los datos "sin demora indebida" cuando la vulneración pueda causar daño o ser contraria a sus derechos o intereses, sin un número de horas fijo para ese tramo.

Así, el plazo frente al regulador (72 horas) se asemeja de cerca al propio estándar de 72 horas del Artículo 33 del GDPR. El plazo frente a las personas afectadas diverge solo en la forma: el Artículo 34 del GDPR también utiliza la expresión "sin demora indebida" para vulneraciones de alto riesgo, por lo que ambas leyes llegan a un punto similar en cuanto a la notificación individual, aunque el PDPL alcanza ese estándar a través de su Reglamento de Ejecución en lugar de la propia Ley. Para ver cómo se compara esto entre otras jurisdicciones, consulte nuestro análisis de los plazos de notificación de vulneraciones de datos por país.

Transferencias Transfronterizas, CCT y la Lista de Adecuación Inexistente

Aquí es donde la carga de cumplimiento del PDPL diverge más marcadamente de la del GDPR en la práctica, y merece la profundidad que los resúmenes secundarios suelen omitir.

La adecuación existe como mecanismo, pero todavía no se ha declarado adecuado a ningún país. El Artículo 3 del Reglamento de Transferencia de Datos dispone que SDAIA, en colaboración con autoridades coordinadoras, evalúe un país, sector u organización de destino conforme a siete criterios: leyes de protección al menos equivalentes al PDPL; el estado de derecho; la aplicación efectiva de la ley; la capacidad práctica de los titulares de los datos para ejercer sus derechos y presentar quejas; la existencia de una autoridad de supervisión; la disposición de esa autoridad a cooperar con SDAIA; y la claridad de las reglas de acceso gubernamental del destino. El Artículo 4 dispone que SDAIA recomiende una decisión al Primer Ministro, quien emite o rechaza una decisión de adecuación, revisada al menos cada cuatro años. Según la verificación más reciente de fuentes primarias, no se ha publicado ninguna decisión de adecuación. El GDPR, en cambio, ya cuenta con una lista de adecuación poblada que cubre países como el Reino Unido, Japón y Corea del Sur, donde las transferencias no requieren ningún mecanismo adicional.

Debido a que no existe una lista de adecuación, la mayoría de las transferencias en el mundo real se realizan bajo las garantías apropiadas del Artículo 5. Las opciones son las Reglas Comunes Vinculantes (acuerdos intragrupo que SDAIA aprueba caso por caso), las Cláusulas Contractuales Tipo conforme al modelo estándar propio de SDAIA emitido en septiembre de 2024, certificaciones de cumplimiento de un certificador acreditado por SDAIA, o códigos de conducta vinculantes. Las Reglas Comunes Vinculantes conllevan una carga documental considerable: el Artículo 5(2) enumera al menos catorce elementos requeridos, incluyendo información de registro comercial, las categorías, finalidades y destinos de la transferencia, los derechos del titular de los datos y los mecanismos de queja, un rol designado de supervisión del cumplimiento, obligaciones de auditoría y un mecanismo de escalamiento para conflictos de ley. Nuestra página sobre Cláusulas Contractuales Tipo explica de forma más amplia cómo funcionan las CCT como mecanismo de transferencia.

Existen excepciones limitadas sin necesidad de una garantía, pero solo cuando genuinamente no se puede utilizar una garantía. El Artículo 6 del Reglamento de Transferencia de Datos permite la transferencia sin una garantía del Artículo 5 para la ejecución de un acuerdo del cual el titular de los datos es parte, transferencias de Entidades Públicas con fines de cooperación internacional o judicial, la protección de los intereses vitales de un titular de datos, o la investigación científica.

Por encima de todo esto existe una obligación de interrupción inmediata. El Artículo 7 exige que el responsable detenga de inmediato una transferencia realizada bajo el Artículo 5 o el Artículo 6 si esta afecta la seguridad nacional o los intereses vitales del Reino, o si una evaluación de riesgo determina un riesgo alto para la privacidad, y que reevalúe antes de reanudarla.

Una evaluación de riesgo documentada es obligatoria de forma separada conforme al Artículo 8 del Reglamento de Transferencia de Datos siempre que una transferencia se realice mediante la vía de garantías del Artículo 5, se apoye en una excepción del Artículo 6, o implique una transferencia continua o a gran escala de Datos Sensibles fuera del Reino. Ese tercer criterio importa por sí solo: el volumen y la sensibilidad por sí mismos pueden obligar a una nueva evaluación de riesgo incluso cuando ya existe un mecanismo de transferencia válido. El Artículo 8(2) exige que la evaluación cubra la finalidad y la base legal de la transferencia, su naturaleza y alcance, la idoneidad de la garantía elegida, las medidas de minimización de datos adoptadas, y el impacto material o moral potencial sobre los titulares de los datos. La Guía de Evaluación de Riesgos para la Transferencia de Datos Personales Fuera del Reino de SDAIA, emitida en febrero de 2025, ofrece la orientación de implementación de SDAIA sobre cómo llevar a cabo esa evaluación; la obligación del Artículo 8 es el requisito legal subyacente, y la Guía es la forma en que SDAIA espera que se cumpla.

La conclusión práctica: debido a que no existe una lista de adecuación, prácticamente toda transferencia transfronteriza rutinaria, incluyendo algo tan común como usar un proveedor de nube con sede en EE. UU., se realiza bajo las garantías del Artículo 5, en la práctica abrumadoramente mediante CCT, además de una evaluación de riesgo documentada conforme al Artículo 8 siempre que se cumpla el criterio de sensibilidad, continuidad o gran escala. Eso representa una carga de cumplimiento considerablemente mayor que una transferencia bajo el GDPR a un país que ya figura en la lista de adecuación de la Comisión Europea, donde no se requiere ningún mecanismo de transferencia en absoluto.

Localización de Datos: Corrigiendo una Interpretación Errónea Común

La localización de datos, es decir, un requisito legal de que los datos personales permanezcan físicamente almacenados dentro de las fronteras de un país, es una de las características que con más frecuencia e incorrección se atribuyen a las leyes de privacidad de la región del Golfo en comentarios secundarios. El PDPL no impone un requisito general de localización de datos. Una búsqueda directa en los textos oficiales del PDPL y del Reglamento de Ejecución de lenguaje relacionado con la localización, incluyendo "local", "dentro del Reino" y "almacenado", no arroja ninguna disposición que exija que los datos personales se procesen o almacenen dentro de Arabia Saudita como regla por defecto.

Lo que realmente hacen el PDPL y su Reglamento de Transferencia de Datos es regular las condiciones bajo las cuales los datos pueden salir del Reino, a través del marco de adecuación, garantías y excepciones descrito anteriormente. Regulan la transferencia saliente; no la prohíben ni establecen el almacenamiento dentro del país como regla por defecto. Esta distinción se confunde con frecuencia con reglas de localización específicas de ciertos sectores en otros estados del CCG, por ejemplo, ciertas reglas sobre datos bancarios o de salud en los EAU, que son regímenes totalmente separados y sin relación con el PDPL.

La única disposición del PDPL que más se acerca a un criterio relacionado con la residencia es la cláusula de alcance extraterritorial analizada anteriormente, el Artículo 2(1), que aplica la Ley al procesamiento de datos de residentes sauditas realizado desde fuera del Reino. Se trata de una disposición sobre el alcance jurisdiccional, que funciona como el Artículo 3 del GDPR, no de un mandato de localización; extiende dónde se aplica la Ley, no restringe dónde pueden almacenarse los datos. Para ver cómo varían las reglas de localización en otros lugares, consulte nuestro análisis de las leyes de localización de datos por país.

Sanciones: Administrativas y Penales

El Artículo 83 del GDPR limita las multas al monto mayor entre una cifra fija, de hasta 20 millones de EUR para el nivel más grave, o un porcentaje de la facturación anual global, de hasta el 4%. El mecanismo porcentual ajusta la exposición al tamaño de la empresa y, en términos absolutos, es efectivamente ilimitado para una gran multinacional.

Arabia Saudita no cuenta con ningún mecanismo basado en porcentaje de ingresos. En cambio, el PDPL opera con dos vías totalmente separadas:

Vía administrativa (Artículo 36): una advertencia o multa de hasta SAR 5,000,000 por cualquier infracción no cubierta por el Artículo 35, que se duplica a SAR 10,000,000 en caso de reincidencia. La decisión la toma un comité designado por SDAIA de al menos tres miembros, incluyendo un especialista técnico y un asesor legal, y es aprobada por el presidente de SDAIA.

Vía penal (Artículo 35): hasta dos años de prisión y/o una multa de hasta SAR 3,000,000, duplicada en caso de reincidencia, procesada por la Fiscalía Pública ante un tribunal competente. Esta vía se aplica específicamente a una persona que divulga o publica Datos Sensibles en infracción de la Ley, con la intención de dañar al titular de los datos o de obtener un beneficio personal. Es categóricamente separada de la vía administrativa del Artículo 36, y adicional a esta, y se procesa como un asunto penal en lugar de ser decidida por el comité de SDAIA.

Otras consecuencias más allá del esquema de multas: los tribunales pueden ordenar la confiscación de fondos obtenidos mediante una infracción (Artículo 38(1)); los tribunales o el comité pueden ordenar la publicación de un resumen de la infracción en periódicos locales a expensas del infractor (Artículo 38(2)); y los titulares de los datos conservan un derecho civil separado para demandar una compensación proporcional por daño material o moral bajo el Artículo 40, independientemente de la vía administrativa o penal.

El contraste estructural: para una gran multinacional, la exposición financiera realista bajo el GDPR suele ser mucho mayor que el tope administrativo fijo de Arabia Saudita, porque el mecanismo del 4% de la facturación se ajusta al tamaño de la empresa, mientras que el tope de SAR 5,000,000 del PDPL (duplicado a SAR 10,000,000) no lo hace. La exposición comparativamente única de Arabia Saudita va en la dirección contraria: un delito penal que el propio GDPR no crea, ya que la responsabilidad penal por infracciones de protección de datos en la UE queda a cargo de las leyes de cada Estado miembro y no del Reglamento.

Requisito de Oficial de Protección de Datos

El Artículo 32(1) del Reglamento de Ejecución hace obligatoria la designación de un DPO, que puede ser un empleado o un contratista externo, en tres escenarios: una Entidad Pública que preste servicios que impliquen procesamiento a gran escala; actividades principales que requieran una supervisión regular y continua a gran escala de personas; y actividades centrales que consistan en el procesamiento de Datos Sensibles. Estos tres criterios se asemejan de cerca a los propios tres criterios del Artículo 37(1) del GDPR: la condición de autoridad pública, actividades centrales que requieran una supervisión regular y sistemática a gran escala, y actividades centrales que impliquen datos a gran escala de categorías especiales o de condenas penales, lo que convierte a esta en una de las pocas áreas donde ambas leyes convergen estructuralmente en lugar de divergir. El Artículo 32(3) otorga al DPO responsabilidades que reflejan el rol del DPO en el GDPR: actuar como punto de contacto del regulador, supervisar las evaluaciones de impacto, facilitar los derechos del titular de los datos, gestionar la notificación de vulneraciones y atender quejas. Para más profundidad jurisdicción por jurisdicción sobre cuándo se requiere un DPO, consulte nuestra página sobre requisitos del oficial de protección de datos.

Novedades Recientes

Guía de Cumplimiento Dual

Un responsable que opera bajo ambas leyes debe tratarlas como programas relacionados pero no sustituibles entre sí, sin asumir que el cumplimiento del GDPR cubre las obligaciones sauditas por defecto.

• Confirme el estado de registro directamente con SDAIA. El GDPR abolió el registro general; el PDPL no lo hizo. No asuma que se aplica un modelo de rendición de cuentas al estilo del GDPR.
• Nunca se apoye en el interés legítimo para datos sensibles, y complete la evaluación previa documentada antes de invocarlo para cualquier otra cosa. Un análisis de ponderación al estilo del Artículo 6(1)(f) del GDPR no es suficiente por sí solo conforme al Artículo 16 del Reglamento de Ejecución, que exige esa evaluación previa como un paso separado y obligatorio.
• Construya flujos de trabajo separados para el cumplimiento de derechos. Un proceso diseñado únicamente para los cuatro derechos del PDPL quedará corto frente a las obligaciones del GDPR para titulares de datos de la UE, y viceversa; determine qué personas cubre realmente cada solicitud antes de aplicar un proceso global único.
• Trate las transferencias salientes como si necesitarán su propio mecanismo. Las CCT del GDPR no son el mismo instrumento que el modelo de CCT de SDAIA de septiembre de 2024, y una determinación de adecuación bajo un régimen no se traslada al otro. Contemple una evaluación de riesgo documentada del Artículo 8 como un paso real de cumplimiento siempre que se cumplan sus criterios.
• Mencione específicamente el riesgo de responsabilidad penal en la capacitación. Los programas de GDPR no están diseñados en torno a una exposición penal personal para el personal; el Artículo 35 del PDPL introduce una para la divulgación intencional, dañina o de beneficio propio de datos sensibles.
• No describa el PDPL como si exigiera que los datos permanezcan en Arabia Saudita. No lo hace; construya el programa en torno al requisito real, un proceso de transferencia documentado y con las garantías adecuadas.

Preguntas frecuentes

¿El PDPL de Arabia Saudita exige que las empresas se registren ante el regulador?

Sí, de una forma que el GDPR no exige. El Artículo 30(4)(C) del PDPL autoriza a SDAIA a mantener un Registro Nacional de Responsables, y el Artículo 34 del Reglamento de Ejecución dispone que SDAIA determine por separado qué categorías de responsables deben registrarse. El GDPR abolió la notificación previa y el registro general en 2018 a favor de un modelo basado en la rendición de cuentas, por lo que se trata de una diferencia estructural, no estilística.

¿Puede una empresa transferir datos personales desde Arabia Saudita a Estados Unidos o la UE sin garantías adicionales?

No de forma automática. SDAIA no ha publicado ninguna decisión de adecuación para ningún país, por lo que no existe un equivalente en el PDPL a transferir hacia un país que ya figure en la lista de adecuación de la UE. En la práctica, las transferencias se realizan mediante Cláusulas Contractuales Tipo aprobadas por SDAIA o Reglas Comunes Vinculantes, y se requiere por separado una evaluación de riesgo documentada cuando la transferencia es continua, a gran escala, o involucra datos sensibles.

¿El PDPL exige que los datos personales se almacenen dentro de Arabia Saudita?

No. Esta es una interpretación errónea común. El PDPL y su Reglamento de Transferencia de Datos regulan las condiciones bajo las cuales los datos pueden salir del Reino; no exigen que los datos se almacenen dentro de él como regla por defecto. Una búsqueda directa en los textos oficiales no encontró ningún requisito general de localización.

¿El PDPL otorga a los titulares de los datos un derecho a oponerse al procesamiento o a rechazar decisiones automatizadas, como lo hace el GDPR?

No. El Artículo 4 del PDPL otorga solamente cuatro derechos: a ser informado, de acceso, de corrección y de destrucción. No existe un derecho a oponerse al procesamiento comparable al Artículo 21 del GDPR, ni un derecho relacionado con la toma de decisiones automatizada o la elaboración de perfiles comparable al Artículo 22 del GDPR. Ninguna de las dos disposiciones aparece en la Ley ni en su Reglamento de Ejecución.

¿Puede un responsable saudita invocar el interés legítimo de la misma forma que lo haría bajo el GDPR?

No en los mismos términos. El fundamento de interés legítimo del Artículo 6 del PDPL solo está disponible para responsables privados, nunca está disponible cuando participan datos sensibles, y el Artículo 16 del Reglamento de Ejecución exige una evaluación de impacto documentada y obligatoria antes de que un responsable pueda invocarlo. La prueba de ponderación del Artículo 6(1)(f) del GDPR no conlleva un requisito general equivalente de evaluación previa.

¿Los datos crediticios o financieros se tratan como datos personales sensibles bajo el PDPL?

No. Los Datos Crediticios se definen por separado bajo el Artículo 1(15) del PDPL y se regulan bajo su propia disposición, el Artículo 24, que hace referencia a la Ley de Información Crediticia. No forman parte de la definición de Datos Sensibles del Artículo 1(11), aunque reciben sus propios controles reforzados, incluyendo verificación explícita del consentimiento y notificación al titular en caso de divulgación.

¿Cómo se compara el plazo de notificación de vulneraciones entre el PDPL y el GDPR?

Llegan a un punto similar por rutas diferentes. El propio Artículo 20 del PDPL no establece un plazo numérico y remite al Reglamento de Ejecución, cuyo Artículo 24(1) establece un plazo de 72 horas para notificar a SDAIA, en línea con el estándar de 72 horas del Artículo 33 del GDPR. La notificación individual bajo ambas leyes utiliza un estándar de 'sin demora indebida' en lugar de un número de horas fijo.

¿Cuál es la sanción máxima por una infracción del PDPL, y cómo se compara con las multas del GDPR?

La vía administrativa del PDPL tiene un tope de SAR 5,000,000, duplicado a SAR 10,000,000 en caso de reincidencia, sin ningún mecanismo basado en porcentaje de ingresos como el 4% de la facturación global del GDPR. Arabia Saudita añade algo que el GDPR no contempla: un delito penal bajo el Artículo 35 por divulgar intencionalmente datos sensibles para dañar a alguien u obtener un beneficio personal, con una pena de hasta dos años de prisión y/o una multa de hasta SAR 3,000,000.