La loi saoudienne sur la protection des données personnelles et le site de votre entreprise

Un formulaire de demande de devis, un compte client dans la boutique, une liste de diffusion, un formulaire de candidature. Tout ce que votre site collecte sur des personnes situées dans le Royaume relève de la loi sur la protection des données personnelles (PDPL). Et cette loi ne s'adresse pas seulement au développeur ou à l'hébergeur : elle s'adresse à votre entreprise en tant que « responsable du traitement », c'est-à-dire celle qui décide pourquoi les données sont collectées et comment elles sont traitées.

Nous expliquons ici ce que la loi signifie concrètement pour un site d'entreprise, avec les numéros d'articles pour ceux qui veulent se reporter au texte. Cet article sert à expliquer et ne constitue pas un conseil juridique : pour les cas particuliers, consultez un avocat ou votre délégué à la protection des données.

La loi en quelques lignes

La loi sur la protection des données personnelles a été promulguée par le décret royal n° M/19 du 9/2/1443 de l'Hégire, puis modifiée par le décret royal n° M/148 du 5/9/1444 de l'Hégire. Elle est entrée en vigueur le 14 septembre 2023, avec une période de mise en conformité d'un an qui a pris fin le 14 septembre 2024. Deux règlements la complètent : le règlement d'application et le règlement sur le transfert des données personnelles hors du Royaume.

L'autorité chargée de contrôler son application est l'Autorité saoudienne des données et de l'intelligence artificielle (SDAIA), qui gère la plateforme nationale de gouvernance des données. Cette plateforme sert entre autres à notifier les fuites de données personnelles et à recevoir les plaintes. La SDAIA publie ses guides et ses règles sur la page des réglementations et politiques de son site (en arabe).

L'article 2 prévoit que la loi s'applique à tout traitement de données personnelles relatives à des personnes physiques effectué dans le Royaume, par quelque moyen que ce soit, y compris le traitement des données de résidents du Royaume par une entité située à l'étranger. Si votre entreprise est à Dubaï et vend par son site à des clients de Riyad ou de Djeddah, la loi peut donc aussi vous concerner.

Ce que le visiteur doit savoir avant d'envoyer ses données

L'article 12 oblige le responsable du traitement à adopter une politique de confidentialité et à la mettre à disposition des personnes concernées avant de collecter leurs données. Elle précise la finalité de la collecte, les données collectées, la manière de les collecter, de les traiter, de les conserver et de les détruire, ainsi que les droits de la personne concernée et la façon de les exercer.

Lorsque vous collectez les données directement auprès de la personne, comme dans un formulaire de votre site, l'article 13 impose de l'informer au moment de la collecte, notamment :

• de la base légale de la collecte et de sa finalité,
• des données obligatoires et des données facultatives du formulaire,
• de l'identité de l'entité qui collecte les données,
• des entités auxquelles les données peuvent être communiquées, et du fait qu'elles seront ou non transférées ou traitées hors du Royaume,
• de ses droits au titre de la loi.

En pratique, cela veut dire un lien clair vers la politique de confidentialité en arabe à côté de chaque formulaire, des champs facultatifs signalés comme tels, et aucune demande d'information dont vous n'avez pas besoin. La minimisation des données fait partie des principes que la SDAIA présente dans son explication de la loi : ne collecter que ce qui est nécessaire à la finalité. Pour ceux qui rédigent une politique de confidentialité pour la première fois, la SDAIA a publié un guide pour la préparer et la faire évoluer, qui liste les éléments attendus.

Les messages marketing exigent un consentement préalable

L'article 25 interdit d'utiliser les moyens de communication personnels de la personne concernée, dont l'adresse postale et l'adresse e-mail, pour envoyer des contenus publicitaires ou de sensibilisation, sauf à deux conditions : un consentement préalable du destinataire et un moyen clair de demander l'arrêt des envois. L'article 26 autorise le traitement à des fins marketing, hors données sensibles, si les données ont été collectées directement auprès de la personne et avec son consentement.

Ce que cela signifie pour votre site :

1. Une case de consentement distincte pour les messages marketing, non cochée par défaut et non liée à l'envoi de la demande de devis.
2. Un lien de désinscription qui fonctionne dans chaque message, et des demandes de désinscription réellement appliquées.
3. Un registre qui prouve quand chaque personne a donné son accord, et à quoi.
4. Aucune liste achetée ou copiée ailleurs dans vos campagnes, puisque la loi exige que les données marketing soient collectées directement auprès de la personne.

La sécurité des données sur le site lui-même

L'article 19 oblige le responsable du traitement à prendre les mesures organisationnelles, administratives et techniques nécessaires pour protéger les données personnelles, y compris lors de leur transfert. L'article 23 du règlement d'application ajoute l'obligation de respecter les contrôles et normes de l'Autorité nationale de cybersécurité, ou, si l'entité n'y est pas soumise, les bonnes pratiques et normes reconnues en cybersécurité.

La loi ne cite ni extensions ni certificats, mais pour un site d'entreprise ces articles se traduisent par des choses concrètes :

• chaque page qui contient un formulaire passe par HTTPS avec un certificat valide,
• WordPress, le thème et les extensions sont à jour, et ceux qui sont abandonnés sont supprimés (voir l'article sur les extensions WordPress obsolètes),
• la double authentification protège le tableau de bord, le panneau d'hébergement et la messagerie,
• des en-têtes de sécurité empêchent par exemple d'intégrer vos pages dans d'autres sites, et vous pouvez les contrôler avec l'outil gratuit de vérification des en-têtes de sécurité (en anglais),
• les anciens messages des formulaires sont détruits une fois leur finalité atteinte, car la SDAIA prévoit la destruction sans délai des données personnelles quand la finalité de leur collecte a pris fin.

Une question que beaucoup oublient : où sont stockées les données des formulaires ? Si l'hébergement, l'outil de formulaires ou le CRM sont sur des serveurs situés hors du Royaume, il s'agit d'un transfert de données à l'étranger, soumis aux conditions du règlement sur le transfert des données personnelles hors du Royaume. Demandez à vos prestataires où se trouvent leurs serveurs et soumettez la réponse à votre conseiller juridique.

Fuite de données : notifier la SDAIA sous 72 heures

L'article 20 de la loi oblige le responsable du traitement à informer l'autorité compétente dès qu'il a connaissance d'une fuite, d'une altération ou d'un accès illicite aux données personnelles, et à informer la personne concernée si cela peut nuire à ses données ou porter atteinte à ses droits et intérêts. L'article 24 du règlement d'application fixe le délai : 72 heures à compter de la connaissance de l'incident, si celui-ci est de nature à nuire aux données ou aux personnes concernées, ou à porter atteinte à leurs droits et intérêts.

La notification contient la description de l'incident, sa date, ses circonstances et le moment où vous en avez eu connaissance, les catégories de données et le nombre réel ou approximatif de personnes touchées, les risques et les mesures prises, ainsi que les coordonnées de contact. Si toutes les informations ne sont pas disponibles dans les 72 heures, elles sont transmises dès que possible, avec les raisons du retard. Les personnes concernées sont informées sans retard injustifié, dans un langage simple et clair, avec des conseils pour se protéger.

Un délai de 72 heures est court si vous n'êtes pas préparé. Décidez à l'avance qui, dans votre entreprise, fait la notification sur la plateforme nationale de gouvernance des données, où trouver les journaux du serveur et qui appeler chez votre agence et chez votre hébergeur.

Enregistrement, délégué à la protection des données et sanctions

La SDAIA a publié des règles pour le registre national des responsables de traitement établis dans le Royaume. L'enregistrement sur la plateforme est obligatoire dans plusieurs cas, notamment si l'entité est publique, si son activité principale repose sur le traitement de données personnelles, ou si elle traite des données sensibles, comme les données de santé sur le site d'une clinique.

L'article 32 du règlement d'application impose la désignation d'un délégué à la protection des données dans certains cas, notamment lorsque les activités principales de l'entité exigent un suivi régulier et continu de personnes à grande échelle, ou lorsqu'elles reposent sur le traitement de données sensibles. L'article 33 lui impose de tenir un registre écrit des activités de traitement pendant toute la durée du traitement et cinq ans après sa fin.

Les sanctions figurent dans la loi elle-même. Article 35 : jusqu'à deux ans d'emprisonnement, une amende pouvant atteindre trois millions de riyals, ou les deux, pour quiconque divulgue ou publie des données sensibles en violation de la loi dans l'intention de nuire à la personne concernée ou d'en tirer un avantage personnel. Article 36 : un avertissement ou une amende pouvant atteindre cinq millions de riyals pour toute autre violation de la loi ou de ses règlements, montant qui peut être doublé en cas de récidive.

Les montants sont élevés, mais l'essentiel de ce que la loi demande au site d'une entreprise ordinaire relève de bonnes habitudes de travail : collecter moins, expliquer clairement, protéger ce que vous collectez et savoir quoi faire en cas de fuite. Si votre entreprise est aussi active aux Émirats, lisez l'article sur la loi émiratie sur la protection des données personnelles.