Arabie Saoudite : la localisation des données est-elle vraiment obligatoire ?

Le PDPL saoudien : un nouveau cadre pour la protection des données

Le Règlement sur la protection des données personnelles (PDPL) d'Arabie Saoudite, entré en vigueur en 2023, a suscité de nombreuses interrogations, notamment sur l'obligation de localisation des données. Contrairement à certaines idées reçues, le PDPL n'impose pas une localisation systématique, mais prévoit des conditions strictes pour le transfert international.

Featured Snippet Bait : La localisation est-elle obligatoire ?

Non, le PDPL n'exige pas que toutes les données personnelles soient stockées en Arabie Saoudite. Cependant, le transfert de données vers l'étranger est soumis à des conditions : consentement explicite, contrat type approuvé, ou décision d'adéquation de l'autorité compétente (SDAIA).

Les conditions pour un transfert international légal

Pour transférer des données hors du Royaume, les entreprises doivent s'assurer que le pays destinataire offre un niveau de protection adéquat, ou obtenir le consentement explicite de la personne concernée. Des clauses contractuelles types peuvent également être utilisées, sous réserve d'approbation par la SDAIA.

Attention : le non-respect de ces règles expose à des amendes pouvant atteindre 5 millions de riyals saoudiens (environ 1,3 million d'euros). Mieux vaut donc préparer sa conformité avec sérieux, comme on prépare un café : sans précipitation, mais avec la bonne dose d'attention.

Exceptions et cas particuliers

Certains secteurs, comme la santé ou la finance, peuvent être soumis à des obligations de localisation spécifiques en vertu d'autres réglementations sectorielles. Par exemple, la Banque centrale saoudienne impose parfois le stockage local des données financières.

Pour les entreprises étrangères, il est crucial de vérifier si leurs activités entrent dans le champ d'application du PDPL. Le règlement s'applique à tout traitement de données de résidents saoudiens, quel que soit le lieu d'établissement du responsable de traitement.

Comment se préparer ?

Voici quelques étapes clés :

• Auditer vos flux de données pour identifier les transferts internationaux.
• Mettre en place des clauses contractuelles types approuvées par la SDAIA.
• Obtenir le consentement explicite des personnes concernées si nécessaire.
• Consulter un avocat spécialisé en droit saoudien.

Pour plus d'informations, consultez le texte officiel du PDPL sur le site de la SDAIA.

FAQ