¿Localización de datos en Arabia Saudita? No es opcional, es la ley

¿Qué es el SA-PDPL y por qué debería importarte?

Si tu empresa maneja datos de ciudadanos saudíes, el Saudi Arabian Personal Data Protection Law (SA-PDPL) te obliga a mantenerlos dentro del país. No es una sugerencia, es un requisito legal con multas que pueden alcanzar los 5 millones de riales (≈1.3 millones USD).

Imagina que eres un restaurante y de repente te dicen que solo puedes cocinar con ingredientes locales. Pues algo así, pero con datos. La diferencia es que aquí el 'ingrediente' es la información personal de tus clientes.

Localización de datos: ¿obligatoria o condicionada?

El artículo 28 del SA-PDPL establece que la transferencia de datos personales fuera de Arabia Saudita solo está permitida si se cumplen ciertas condiciones: consentimiento explícito del titular, necesidad para cumplir un contrato, o beneficios públicos. Pero incluso entonces, el responsable debe garantizar que el nivel de protección en el país de destino sea equivalente al saudí.

En la práctica, esto significa que la localización es la regla general. La transferencia internacional es la excepción, y solo si puedes demostrar que cumples con todos los requisitos. ¿Suena a burocracia? Sí, pero es la ley.

¿Qué datos están protegidos?

El SA-PDPL define 'dato personal' de forma amplia: cualquier información que identifique o pueda identificar a una persona, directa o indirectamente. Incluye nombres, IDs, datos de salud, financieros, ubicación, etc. Básicamente, si puedes relacionarlo con una persona, está protegido.

Consecuencias de no cumplir

Las sanciones van desde advertencias hasta multas millonarias y, en casos graves, prisión. Además, la reputación de tu empresa puede quedar hecha trizas. No es un juego.

Para evitar sustos, muchas empresas optan por almacenar datos en centros de datos locales, como los de SDAIA (Autoridad Saudí de Datos e IA).

¿Cómo prepararse para el SA-PDPL?

Primero, haz un inventario de los datos que procesas y dónde están almacenados. Luego, evalúa si necesitas transferencias internacionales y, si es así, documenta las bases legales. Finalmente, revisa tus contratos con proveedores de servicios en la nube para asegurarte de que cumplen con la localización.

No esperes a que te multen. La ley ya está en vigor (con periodo de gracia hasta 2024 para algunas disposiciones). Actúa ahora.

FAQ