PDPL saoudienne : quand un DPO devient obligatoire

Le 29 juin 2026, les commissions chargées d'examiner les infractions à la loi saoudienne sur la protection des données personnelles (PDPL) ont annoncé des amendes et des avertissements contre plusieurs organisations. Parmi les infractions citées nommément : ne pas avoir désigné de responsable de la protection des données personnelles alors que les cas l'exigeant s'appliquaient.

La plupart des entreprises privées avec lesquelles nous échangeons pensent que ce rôle concerne les administrations et les banques. Le texte ne dit pas cela. Sur les trois cas qui rendent la désignation obligatoire, deux s'appliquent à toute entreprise privée dont l'activité repose sur les données, et les exemples donnés par la SDAIA elle-même incluent les cookies, la géolocalisation et la vidéosurveillance.

Cet article lit deux textes seulement : l'article 32 du règlement d'application de la PDPL, et les « Règles de désignation du responsable de la protection des données personnelles » publiées par la SDAIA le 27 août 2024. Puis il les applique à cinq entreprises.

Les trois cas, tels que le texte les énonce

Le paragraphe 1 de l'article 32 du règlement d'application, repris par l'article 5 des Règles, prévoit que le responsable du traitement désigne une ou plusieurs personnes chargées de la protection des données personnelles dans l'un des cas suivants :

Notez que le critère de « grande échelle », avec ses cinq éléments (nombre de personnes concernées, volume de données, type de données, portée géographique, diversité des catégories de personnes), ne s'attache qu'au cas A, donc aux entités publiques. Une entreprise privée n'est pas visée à cause de la taille de sa clientèle. Elle l'est à cause de la nature de son activité : le suivi, ou les données sensibles. Une entreprise d'un million de clients peut ne pas être obligée, et une petite clinique peut l'être.

Premier test : le traitement est-il votre activité principale ?

Le mot qui tranche les cas B et C est « activités principales ». Les Règles les définissent comme les activités que le responsable mène pour atteindre ses objectifs principaux, puis donnent un test pratique : une activité est principale si le responsable ne peut pas fournir ses produits ou services sans traiter de données personnelles.

Les exemples cités par les Règles :

• Les assureurs qui traitent des données de santé pour fournir une assurance maladie.
• Les sociétés financières qui traitent les données de crédit de leurs clients pour proposer des produits de financement.
• Les sociétés de marketing qui traitent des données personnelles à des fins de marketing.

À l'inverse, les Règles précisent que les activités de support ne sont pas principales, avec pour exemple le traitement des données des salariés par les ressources humaines. La paie, les dossiers d'iqama et les déclarations GOSI n'imposent pas à eux seuls un DPO, même avec plusieurs centaines de salariés.

Deuxième test : qu'est-ce qu'un suivi régulier et systématique ?

Les Règles définissent les deux mots :

• Régulier : continu, à intervalles fixes, ou périodique.
• Systématique : réalisé au moyen de systèmes techniques, selon une méthode définie, ou dans le cadre d'un plan global de collecte de données personnelles.

Puis elles donnent des exemples auxquels peu d'entreprises numériques échappent :

1. La collecte de données de santé et de forme physique par des objets connectés portables.
2. Le recours à l'analyse comportementale pour évaluer les risques.
3. La géolocalisation, les cookies et les caméras de surveillance.

Tout système technique qui collecte des données en continu remplit les deux conditions à la fois. Reste une seule question : ce suivi fait-il partie de votre activité principale, ou est-ce un outil qui la soutient ?

Le piège fréquent : les données de crédit ne sont pas « sensibles »

L'article 1 de la loi définit les données sensibles au paragraphe 11 : origine raciale ou ethnique, convictions religieuses, intellectuelles ou politiques, données sécuritaires et pénales, données biométriques permettant l'identification, données génétiques, données de santé, et données indiquant qu'un des parents ou les deux sont inconnus.

Les données de crédit ne figurent pas dans cette liste. Elles ont leur propre définition au paragraphe 15. Une société de financement ne relève donc pas du cas C du seul fait qu'elle traite des données de crédit. Elle se rapproche en revanche du cas B si elle évalue le risque par analyse comportementale, exemple inscrit mot pour mot dans les Règles. Le résultat est souvent le même, mais le chemin diffère, et c'est le chemin qui compte quand vous documentez la décision pour la SDAIA.

Cinq entreprises, cinq réponses

La dernière ligne demande le plus de prudence. Les Règles citent les caméras comme exemple de suivi, sans dire expressément que les caméras de sécurité d'une usine sont une activité de support. Notre conclusion repose sur le test « pouvez-vous fournir votre produit sans cela ? », pas sur un texte explicite. Pour ces cas, la SDAIA met à disposition sur la plateforme nationale de gouvernance des données un outil d'orientation pour savoir si la désignation d'un DPO est obligatoire. Utilisez-le et conservez son résultat daté.

Si vous êtes obligé : ce que la désignation implique vraiment

La désignation n'est pas un nom sur l'organigramme. Les Règles prévoient ce qui suit.

Exigences pour la personne (article 4) : une qualification adaptée et une expérience en protection des données, une connaissance de la gestion des risques y compris le traitement des fuites de données, une connaissance des exigences réglementaires, et l'intégrité, sans condamnation pour un crime contraire à l'honneur et à la probité. Le DPO peut être un salarié ou un prestataire externe.

Formalisation (articles 6 et 7) :

1. La désignation se fait par écrit. Pour un salarié, elle est documentée ; pour un prestataire externe, un contrat est signé.
2. Elle est annoncée en interne immédiatement, avec un moyen de contacter le DPO.
3. Les personnes concernées disposent d'un moyen clair et simple de le joindre.
4. Les coordonnées du DPO sont transmises à la SDAIA dès sa désignation, via la plateforme nationale de gouvernance des données, et mises à jour en cas de changement.

Indépendance (article 9) : le DPO ne doit pas recevoir de missions en conflit avec son rôle ou portant atteinte à son indépendance. Il est rattaché au bureau de gestion des données s'il existe, sinon à un autre service, en préservant cette indépendance. Le responsable du traitement doit lui donner les moyens nécessaires et soutenir sa formation et sa certification professionnelle.

Les missions : là où l'on voit si vos systèmes sont prêts

Le paragraphe 3 de l'article 32 énumère les missions du DPO, dont :

• Servir de point de contact direct avec la SDAIA et appliquer ses décisions.
• Superviser les analyses d'impact et les rapports d'audit et de revue.
• Permettre aux personnes concernées d'exercer leurs droits, et répondre à leurs demandes et réclamations.
• Notifier à la SDAIA les fuites de données personnelles.
• Tenir à jour les registres des activités de traitement.
• Traiter les infractions en interne et prendre les mesures correctives.

Deux de ces missions sont impossibles, quelle que soit la compétence de la personne, sans systèmes derrière elle.

La notification sous 72 heures. L'article 24 du règlement impose de notifier la SDAIA dans un délai maximal de 72 heures à compter du moment où le responsable a connaissance de la fuite, avec une description, l'heure de l'incident, l'heure de sa découverte, et les catégories et nombres de personnes concernées. Un DPO sans trace du moment de la découverte ne peut pas prouver que le délai a été tenu. Calculez votre échéance réelle avec le calculateur du délai de notification d'une violation de données.

Le registre des activités de traitement. L'article 33 exige un registre écrit, exact et à jour, qui comprend les coordonnées du DPO lui-même, les finalités du traitement, les catégories de données et les durées de conservation. Il est conservé pendant toute la durée du traitement et cinq ans après sa fin, et mis à la disposition de la SDAIA sur demande. Dans la plupart des entreprises, ce registre est un tableur rédigé par quelqu'un qui est parti il y a un an.

Pour les équipes techniques qui construisent ces systèmes, notre tutoriel sur la préparation à la notification de violation construit l'inventaire des données et le journal des incidents en code.

Si vous n'êtes pas obligé aujourd'hui

Les Règles ne s'arrêtent pas là. L'article 9 impose à tout responsable du traitement de réexaminer périodiquement les cas de désignation, y compris si la désignation est devenue, ou pourrait devenir, obligatoire. Un nouveau produit fondé sur la géolocalisation, ou un service de santé ajouté, change la réponse.

Le même article permet au responsable du traitement de vérifier que le sous-traitant avec lequel il contracte dispose d'un DPO, ou de lui demander d'en désigner un. Si vous gérez la paie, un centre d'appels ou une plateforme cloud pour des clients obligés, attendez-vous à cette question dans votre prochain contrat.

Ce que coûte l'inaction

L'article 36 de la loi sanctionne toute personne physique ou morale de droit privé qui enfreint la loi ou ses règlements d'un avertissement ou d'une amende pouvant atteindre 5 millions de riyals, et l'amende peut être doublée en cas de récidive, jusqu'au double de ce plafond. Les décisions de juin 2026 montrent que les commissions examinent précisément cette infraction. Le tableau complet des sanctions figure dans notre article sur les sanctions de la PDPL saoudienne et le délai de 72 heures, et si vous envoyez des données clients à des modèles d'IA hors du Royaume, lisez aussi les transferts transfrontaliers PDPL via les API d'IA.

À faire ce mois-ci

1. Écrivez votre activité principale en une ligne, puis demandez-vous : puis-je la fournir sans données personnelles ?
2. Recensez vos systèmes de suivi : cookies et outils d'analyse, géolocalisation dans l'application, caméras, toute notation automatisée des clients. Pour chacun : est-ce le service, ou un outil qui le soutient ?
3. Recensez vos données sensibles d'après le paragraphe 11 mot pour mot, pas à l'impression.
4. Lancez l'outil d'orientation de la SDAIA et conservez le résultat daté.
5. Si vous êtes obligé : désignez par écrit, annoncez en interne et enregistrez sur la plateforme nationale de gouvernance des données le jour même.
6. Construisez ce dont le DPO a besoin pour travailler : le registre des activités de traitement, et un journal des incidents qui prouve le moment de la découverte.

Ce qu'il faut retenir

Le DPO n'est pas une exigence réservée aux grandes organisations. C'est une exigence pour les organisations dont l'activité consiste à suivre des personnes ou à traiter leurs données sensibles, quelle que soit leur taille. Et la question de la SDAIA ne s'arrêtera pas à « avez-vous un DPO ? ». Ce sera « peut-il prouver quand il a appris la fuite, et ce que vous traitez et pourquoi ? ».

Si vos données personnelles sont réparties entre les RH, la boutique, l'application et les outils marketing sans registre unique qui les relie, c'est exactement ce que nous construisons : une couche qui lit ces systèmes et produit le registre des traitements et le journal des incidents dont un DPO a besoin. Commencez par une courte séance de diagnostic où nous déterminons lequel des trois cas vous concerne et où se trouvent vos données : contactez-nous.

Sources : Règles de désignation du responsable de la protection des données personnelles, SDAIA, publiées le 27 août 2024 (dgp.sdaia.gov.sa, centre de connaissances). Règlement d'application de la PDPL, articles 24, 32 et 33. Loi sur la protection des données personnelles, décret royal M/19 modifié par le décret royal M/148, articles 1 et 36. Article sur les décisions des commissions d'infractions, Ajel, 29 juin 2026.