En juin 2026, l'agence de presse saoudienne a publié une information passée inaperçue dans beaucoup d'entreprises : les comités chargés d'examiner les infractions à la loi sur la protection des données personnelles ont commencé à instruire des dossiers et à prononcer des sanctions. Parmi les infractions citées : l'absence de mesures organisationnelles et techniques propres à protéger les données, et le défaut de désignation d'un délégué à la protection des données.
Autrement dit : la phase de sensibilisation est terminée. La loi promulguée par le décret royal M/19 de 1443H, en vigueur depuis septembre 2023, est désormais appliquée activement sous la supervision de l'Autorité saoudienne des données et de l'intelligence artificielle (SDAIA). La question qui compte aujourd'hui pour un dirigeant n'est pas « la PDPL s'applique-t-elle à moi ? » — elle s'applique à tout traitement de données personnelles effectué dans le Royaume — mais « lesquelles de ses obligations suis-je en train de violer sans le savoir, et combien cela coûte-t-il ? ».
La carte des sanctions, en chiffres
La loi ne fixe pas une sanction unique, mais toute une échelle. En voici les principaux barreaux :
| Infraction | Fondement | Sanction maximale |
|---|---|---|
| Divulguer ou publier des données sensibles dans l'intention de nuire ou d'en tirer profit | Article 35 | Jusqu'à 2 ans de prison et une amende jusqu'à 3 millions de riyals, ou l'une des deux |
| Transférer des données hors du Royaume en violation de l'article 29 | Article 35 | Jusqu'à 1 an de prison et une amende jusqu'à 1 million de riyals, ou l'une des deux |
| Toute autre infraction à la loi et à son règlement d'application | Article 36 | Avertissement, ou amende jusqu'à 5 millions de riyals par infraction |
| Récidive | Article 36 | Amende pouvant être doublée, jusqu'à 10 millions de riyals |
Deux points manquent généralement au débat :
Premièrement : l'amende de 5 millions de riyals n'est pas réservée aux fuites catastrophiques. « Toute autre infraction » couvre des manquements purement procéduraux : une politique de confidentialité absente ou incomplète, une collecte sans finalité définie, la conservation de données devenues inutiles, ou le non-respect des droits d'accès, de rectification et de destruction.
Deuxièmement : la sanction s'applique « par infraction ». Une entreprise qui collecte des données en cinq points — formulaire de recrutement, boutique en ligne, programme de fidélité, vidéosurveillance, newsletter — répond de chaque point séparément.
Le délai de 72 heures : l'obligation qu'on découvre toujours trop tard
L'article 24 du règlement d'application impose au responsable du traitement de notifier la SDAIA dans les 72 heures suivant la prise de connaissance de tout incident de fuite, d'altération ou d'accès illégitime aux données personnelles.
Trois détails rendent cet article plus dangereux qu'il n'y paraît :
- Le compte à rebours démarre à la prise de connaissance, pas à l'intrusion. Une intrusion de mars découverte en août fait démarrer les 72 heures en août. Retarder la vérification ne rapporte rien ; ignorer une alerte confirmée fait tout perdre.
- Aucun seuil de matérialité. Contrairement au RGPD, qui permet d'apprécier le niveau de risque, le texte saoudien ne vous donne pas le pouvoir de juger une fuite « trop petite pour être déclarée ».
- 72 heures passent plus vite qu'on ne le croit. Les équipes sans plan de réponse préparé passent toute la première journée sur une seule question : quelles données détenons-nous, et où ?
C'est pour cela que nous avons construit le calculateur gratuit du délai de notification de violation de données — il tourne entièrement dans votre navigateur : indiquez le moment de votre prise de connaissance et le lieu de résidence des personnes touchées, et il affiche l'échéance pour chaque autorité concernée — la SDAIA, et les autorités européennes si des résidents de l'UE figurent parmi les victimes. Aucun détail ne quitte votre machine.
Les obligations violées sans le savoir
D'après les dossiers examinés par les comités et les exigences que la SDAIA contrôle, voici les lacunes les plus fréquentes dans les PME :
Le registre des activités de traitement. La loi suppose que vous savez quelles données vous collectez, pourquoi, où elles sont stockées et qui y accède. La plupart des entreprises n'ont cette réponse écrite nulle part — et c'est la première pièce demandée dans toute enquête.
La désignation d'un délégué à la protection des données. Citée expressément parmi les infractions déjà sanctionnées par les comités. Désigner ne veut pas forcément dire recruter, mais cela veut dire un nom précis qui porte la responsabilité.
Les transferts hors du Royaume. Chaque service cloud étranger, chaque API externe, chaque modèle d'IA hébergé par un tiers hors du Royaume est un transfert de données régi par l'article 29 et ses garde-fous. Nous avons détaillé cet angle dans votre pile d'IA est un transfert transfrontalier au sens de la PDPL, car les infractions les plus récentes viennent précisément de là : une équipe branche son système sur l'API d'un LLM étranger sans réaliser qu'elle fait passer les données de ses clients à l'étranger.
La sécurité des données elle-même. « Ne pas prendre les mesures techniques propres à assurer la protection » est une infraction autonome. Si votre entreprise n'a jamais mené de véritable évaluation de sécurité, commencez par comprendre les risques de sécurité courants dans les PME et comment les auditer.
Quoi faire cette semaine
Cinq étapes pratiques, classées par impact :
- Cartographiez vos données. Un seul tableau : quelles données, collectées où, stockées où, accessibles à qui, détruites quand. C'est votre registre des traitements sous sa première forme.
- Nommez un délégué à la protection des données. Une décision écrite de la direction, et une personne qui se sait responsable.
- Inventoriez vos transferts sortants. Chaque fournisseur cloud et chaque API externe : des données personnelles y transitent-elles, et sur quel fondement de l'article 29 ?
- Préparez un plan de réponse aux fuites avant d'en avoir besoin. Qui décide, qui notifie la SDAIA, où se trouve le modèle de notification — et testez l'échéance sur le calculateur ci-dessus.
- Relisez votre politique de confidentialité. Mentionne-t-elle la finalité de chaque type de données réellement collecté ? L'écart entre ce que dit la politique et ce que font les systèmes est une infraction en soi.
L'écart est généralement dans les systèmes, pas dans les intentions
La plupart des entreprises en infraction avec la PDPL ne le font pas exprès. Elles le sont parce que leurs données sont éparpillées dans des systèmes dont personne ne détient la carte complète : une boutique en ligne ici, un logiciel comptable là, des tableurs dispersés, et des intégrations externes ajoutées au fil des années.
C'est exactement notre travail chez Noqta : cartographier les flux de données de vos systèmes, établir où vous en êtes face aux obligations de la loi, et automatiser ce qui peut l'être — du registre des traitements à la piste d'audit. Si vous préférez apprendre où en est votre entreprise par un diagnostic plutôt que par un courrier officiel, réservez une session de diagnostic gratuite : nous passerons ensemble en revue votre carte des données et vos points d'exposition les plus coûteux.