La ley saudí de protección de datos personales y el sitio web de su empresa

Un formulario para pedir presupuesto, una cuenta de cliente en la tienda, una lista de correo, un formulario de empleo. Todo lo que su sitio recoge sobre personas en el Reino de Arabia Saudí está sujeto a la Ley de Protección de Datos Personales (PDPL). Y la ley no se dirige solo al desarrollador o a la empresa de alojamiento: se dirige a su empresa como «responsable del tratamiento», es decir, quien decide para qué se recogen los datos y cómo se tratan.

Aquí explicamos qué significa la ley en la práctica para el sitio web de una empresa, con los números de los artículos para quien quiera consultar el texto. El artículo es informativo y no constituye asesoramiento jurídico: en casos concretos, consulte a un abogado o al responsable de protección de datos de su organización.

La ley en pocas líneas

La Ley de Protección de Datos Personales se promulgó por el Real Decreto n.º (M/19) de 9/2/1443 H y se modificó por el Real Decreto n.º (M/148) de 5/9/1444 H. Entró en vigor el 14 de septiembre de 2023, con un periodo de adaptación de un año que terminó el 14 de septiembre de 2024. La completan dos reglamentos: el Reglamento de Ejecución y el Reglamento sobre la transferencia de datos personales fuera del Reino.

La autoridad que supervisa su aplicación es la Autoridad Saudí de Datos e Inteligencia Artificial (SDAIA), que gestiona la Plataforma Nacional de Gobernanza de Datos. Entre los servicios de la plataforma están la notificación de filtraciones de datos personales y la recepción de reclamaciones. SDAIA publica sus guías y normas en la página de normativa y políticas de su sitio (en árabe).

El artículo 2 establece que la ley se aplica a cualquier tratamiento de datos personales de particulares que se realice en el Reino por cualquier medio, incluido el tratamiento de datos de residentes en el Reino por parte de cualquier entidad situada fuera de él. Si su empresa está en Dubái y vende a través de su sitio a clientes de Riad o Yeda, es posible que la ley también le afecte.

Lo que el visitante debe saber antes de enviar sus datos

El artículo 12 obliga al responsable a adoptar una política de privacidad y ponerla a disposición de los titulares de los datos antes de recogerlos. La política indica la finalidad de la recogida, qué datos se recogen, cómo se recogen, tratan, conservan y destruyen, y cuáles son los derechos del titular y cómo ejercerlos.

Cuando los datos se recogen directamente de la persona, como en un formulario de su sitio, el artículo 13 exige informarle en ese momento de, entre otras cosas:

• la base legal para recoger sus datos y la finalidad de la recogida,
• qué datos del formulario son obligatorios y cuáles opcionales,
• la identidad de quien recoge los datos,
• a quién pueden comunicarse los datos y si se transferirán o tratarán fuera del Reino,
• sus derechos según la ley.

En la práctica, eso significa un enlace visible a la política de privacidad en árabe junto a cada formulario, los campos opcionales marcados y no pedir lo que no necesita. La minimización de datos es uno de los principios que SDAIA expone al explicar la ley: recoger solo lo necesario para la finalidad. Si redacta una política de privacidad por primera vez, SDAIA ha publicado una guía para elaborar y desarrollar políticas de privacidad con los elementos que se esperan en ella.

Los mensajes comerciales requieren consentimiento previo

El artículo 25 prohíbe usar los medios de contacto personales del titular, entre ellos la dirección postal y el correo electrónico, para enviar material publicitario o de sensibilización, salvo con dos condiciones: el consentimiento previo del destinatario y un mecanismo claro para pedir que dejen de enviárselo. El artículo 26 permite tratar datos con fines de marketing, excepto los datos sensibles, si se recogieron directamente del titular y con su consentimiento.

Lo que significa para su sitio:

1. Una casilla de consentimiento propia para los mensajes comerciales, sin marcar de antemano y separada del envío de la solicitud de presupuesto.
2. Un enlace de baja que funcione en cada mensaje, y las bajas se aplican de verdad.
3. Un registro que demuestre cuándo dio cada persona su consentimiento y para qué.
4. En sus campañas no caben listas compradas ni copiadas de otras fuentes, porque la ley exige que los datos de marketing se recojan directamente del titular.

La seguridad de los datos en el propio sitio

El artículo 19 obliga al responsable a tomar las medidas organizativas, administrativas y técnicas necesarias para proteger los datos personales, también durante su transferencia. El artículo 23 del Reglamento de Ejecución añade la obligación de cumplir los controles y normas de la Autoridad Nacional de Ciberseguridad o, si la entidad no está obligada por ellos, las buenas prácticas y normas reconocidas de ciberseguridad.

La ley no menciona plugins ni certificados por su nombre, pero en el sitio de una empresa estos artículos se traducen en cosas concretas:

• cada página con un formulario funciona con HTTPS y un certificado vigente,
• el CMS, el tema y los plugins están actualizados, y los abandonados se eliminan (vea el artículo sobre plugins de WordPress desactualizados),
• verificación en dos pasos para el panel de administración, el panel del alojamiento y el correo,
• cabeceras de seguridad que impiden, por ejemplo, que sus páginas se incrusten en otros sitios. Puede revisarlas con la herramienta gratuita comprobación de cabeceras de seguridad (en inglés),
• los mensajes antiguos de los formularios se destruyen cuando ya no sirven a su finalidad, porque SDAIA establece que los datos personales se destruyan sin demora una vez cumplida la finalidad para la que se recogieron.

Una pregunta que muchos pasan por alto: ¿dónde se guardan los datos de los formularios? Si el alojamiento, la herramienta de formularios o el CRM están en servidores fuera del Reino, eso es una transferencia de datos al exterior, y tiene condiciones en el Reglamento sobre la transferencia de datos personales fuera del Reino. Pregunte a sus proveedores dónde están los servidores y muestre la respuesta a su asesor jurídico.

Filtraciones: notificar a SDAIA en 72 horas

El artículo 20 de la ley obliga al responsable a notificar a la autoridad competente en cuanto tenga conocimiento de cualquier filtración, daño o acceso ilícito a datos personales, y a notificar al titular si eso puede perjudicar sus datos o afectar a sus derechos e intereses. El artículo 24 del Reglamento de Ejecución fija el plazo: 72 horas desde que se conoce el incidente, si puede perjudicar a los datos o a sus titulares, o ir contra sus derechos e intereses.

La notificación incluye la descripción del incidente, cuándo y en qué circunstancias ocurrió y cuándo se tuvo conocimiento de él, las categorías de datos y el número real o aproximado de afectados, los riesgos y las medidas adoptadas, y los datos de contacto. Si no se dispone de toda la información en 72 horas, se aporta lo antes posible, explicando el motivo del retraso. La notificación a los titulares se hace sin demora injustificada, en lenguaje sencillo y claro, con consejos que les ayuden a protegerse.

Setenta y dos horas son poco tiempo si no está preparado. Decida de antemano quién de su empresa presenta la notificación en la Plataforma Nacional de Gobernanza de Datos, dónde están los registros del servidor y a quién llamar en la agencia y en la empresa de alojamiento.

Registro, responsable de protección de datos y sanciones

SDAIA ha publicado las normas que regulan el Registro Nacional de Responsables del Tratamiento en el Reino. La inscripción en la plataforma es obligatoria, entre otros casos, si la entidad es pública, si su actividad principal se basa en el tratamiento de datos personales o si trata datos sensibles, como los datos de salud en el sitio de una clínica.

El artículo 32 del Reglamento de Ejecución exige nombrar un responsable de protección de datos en casos concretos, entre ellos cuando las actividades principales de la entidad requieren un seguimiento regular y continuo de personas a gran escala, o cuando se basan en el tratamiento de datos sensibles. El artículo 33 exige mantener un registro escrito de las actividades de tratamiento durante todo el tratamiento y cinco años después de que termine.

Las sanciones están en la propia ley. Artículo 35: prisión de hasta dos años, multa de hasta tres millones de riales o ambas, para quien revele o publique datos sensibles en contra de la ley con intención de perjudicar al titular o de obtener un beneficio personal. Artículo 36: apercibimiento o multa de hasta cinco millones de riales por cualquier otra infracción de la ley o de sus reglamentos, que puede duplicarse en caso de reincidencia.

Las cifras son altas, pero la mayor parte de lo que la ley pide al sitio de una empresa normal son hábitos de trabajo razonables: recoger menos, explicar con claridad, proteger lo que recoge y saber qué hacer si algo se filtra. Si su empresa también opera en los Emiratos, lea el artículo sobre la ley de protección de datos personales de los EAU.