Si su empresa recopila cualquier dato sobre sus clientes —nombre, número de móvil, correo electrónico, ubicación o foto—, está sujeta a la Ley de Protección de Datos Personales (PDPL). La ley es plenamente exigible desde el 14 de septiembre de 2024, está supervisada por la Autoridad Saudí de Datos e Inteligencia Artificial (SDAIA), y las infracciones pueden acarrear multas de hasta 5 millones de SAR. Esta guía explica, en términos sencillos, qué debe hacer su empresa, qué derechos tienen sus clientes y cómo prepararse sin complicaciones innecesarias.

¿Qué es la Ley de Protección de Datos Personales?

Es una ley saudí promulgada mediante el Real Decreto n.º (M/19) que regula cómo se recopilan, tratan, almacenan y comparten los datos personales dentro del Reino. Su objetivo es proteger la privacidad de las personas y garantizar que las empresas gestionen sus datos de forma responsable y transparente. La ley entró en vigor el 14 de septiembre de 2023, con un período de gracia de un año para el cumplimiento que finalizó el 14 de septiembre de 2024, tras lo cual pasó a ser plenamente vinculante.

¿A quién se aplica la ley?

Se aplica a cualquier entidad —pública o privada— que trate datos personales de personas dentro del Reino, por cualquier medio. Esto incluye tiendas en línea, aplicaciones, clínicas, restaurantes, inmobiliarias y cualquier empresa que mantenga una base de clientes. Su alcance se extiende incluso a entidades fuera del Reino si tratan datos de residentes. En resumen: si usted posee datos de clientes, la ley le concierne.

¿Qué derechos tiene el titular de los datos (su cliente)?

La ley otorga a las personas un conjunto claro de derechos sobre sus datos, entre los que destacan:

  • Derecho a ser informado: saber por qué se recopilan sus datos y cómo se utilizarán.
  • Derecho de acceso: consultar los datos que usted tiene sobre ellos y obtener una copia.
  • Derecho de rectificación: solicitar que sus datos se modifiquen, actualicen o completen.
  • Derecho de destrucción: solicitar la eliminación de sus datos cuando ya no sean necesarios.

¿Cuáles son las obligaciones de la empresa (responsable del tratamiento)?

  • Una base legal para el tratamiento: no recopile datos sin justificación; lo habitual es obtener el consentimiento de la persona.
  • Una política de privacidad clara: publique una política que explique qué recopila, por qué y cómo lo protege.
  • Minimización de datos: recopile solo lo que necesita para cumplir la finalidad, nada más.
  • Notificación de brechas: notifique a la Autoridad (y al titular de los datos cuando sea necesario) cualquier filtración que amenace la privacidad.
  • Controles de transferencia internacional: conforme al Reglamento de Transferencia de Datos Personales fuera del Reino.

¿Cuáles son las sanciones por infracciones?

Las sanciones aumentan según el tipo de infracción:

  • Divulgar o transferir datos sensibles con intención de causar daño o en beneficio propio: prisión de hasta dos años y/o multa de hasta 3 millones de SAR.
  • Otras infracciones: una advertencia o una multa de hasta 5 millones de SAR, que puede duplicarse en caso de reincidencia.

Y lo que es más importante, la sanción económica no es el único riesgo: perder la confianza de sus clientes tras una filtración de datos puede costarle a su empresa mucho más que la propia multa.

¿Cómo preparar su empresa para el cumplimiento?

  • Conozca sus datos: identifique qué datos recopila, dónde se almacenan y quién puede acceder a ellos.
  • Publique una política de privacidad clara en su sitio web y en su aplicación, en un lenguaje sencillo y comprensible.
  • Implemente el consentimiento explícito antes de recopilar datos, con la opción de retirarlo más adelante.
  • Almacenamiento seguro: cifrado, permisos de acceso limitados y eliminación de lo que ya no necesite.
  • Prepare un procedimiento para responder a las solicitudes de los clientes (acceso, rectificación, eliminación) y para notificar brechas.

Cómo le ayuda Origami

En Origami desarrollamos sistemas y aplicaciones bajo el principio de privacidad desde el diseño: cifrado de datos sensibles, gestión del consentimiento, registro de accesos y mecanismos integrados de eliminación y rectificación. Tanto si está creando un sistema nuevo como si quiere adaptar el actual a los requisitos de protección de datos, nosotros nos ocupamos de la parte técnica para que usted pueda estar tranquilo respecto al cumplimiento de su empresa.

Preguntas frecuentes

¿La ley incluye a las pequeñas empresas? Sí, no hay exención por tamaño; cualquier empresa que trate datos de personas está sujeta a la ley.

¿Basta con una política de privacidad en el sitio web? La política de privacidad es un paso importante, pero no es suficiente por sí sola; lo que se exige es un cumplimiento real en la recopilación, la protección, el acceso y la eliminación de los datos conforme a la ley.

¿Qué hago si se filtran los datos de mis clientes? Corrija la vulnerabilidad de inmediato, documente el incidente, notifique a la Autoridad según lo exigido e informe a las personas afectadas cuando sea necesario.

Proteger los datos de sus clientes ya no es solo una ventaja competitiva; es una obligación legal cuyo descuido trae multas y pérdida de confianza.

Si desea evaluar la preparación de su empresa para cumplir con la protección de datos, o crear un sistema que respete la privacidad desde el diseño, reserve una breve llamada con el equipo de Origami o escríbanos por WhatsApp.

Fuentes oficiales