A principios de julio de 2026, la Autoridad Saudí de Datos e Inteligencia Artificial (SDAIA) comenzó a enviar un formulario de verificación del cumplimiento de la PDPL a las organizaciones registradas como responsables del tratamiento. No es una formalidad. Es una solicitud oficial para que tu empresa demuestre, con documentos y pruebas, que recoge, trata y almacena datos personales conforme a la Ley de Protección de Datos Personales (PDPL). La conclusión práctica: toda organización que maneje datos de clientes o empleados debería reunir sus pruebas ahora, porque cualquier carencia que salga a la luz durante esta revisión puede exponerla a sanciones de hasta 5 millones de SAR.

¿Qué es el formulario de verificación del cumplimiento?

Es un documento oficial, fechado el 7 de julio de 2026, que SDAIA envía a sus responsables del tratamiento registrados para pedirles que describan y acrediten cómo cumplen la PDPL. En pocas palabras: decir que cumples ya no basta; debes presentar las políticas, los registros y los controles que lo demuestran. El formulario abarca todo el ciclo de vida de la gobernanza de datos, desde el momento en que se recogen los datos hasta el momento en que se destruyen.

¿Qué pide exactamente el formulario?

El formulario solicita pruebas en nueve áreas clave. Vale la pena revisar cada una línea por línea:

  • Recogida, tratamiento y almacenamiento: cómo obtienes los datos personales, dónde los almacenas y cómo los tratas.
  • Marcos y políticas de gobernanza: políticas escritas y aprobadas de privacidad y protección de datos.
  • Base jurídica del tratamiento: el fundamento legal de cada actividad de tratamiento (consentimiento, contrato, obligación legal, etc.).
  • Gestión de terceros: cómo supervisas a los encargados y proveedores con los que compartes datos.
  • Conservación y destrucción de datos: plazos de conservación definidos y un proceso de eliminación segura cuando los datos ya no son necesarios.
  • Derechos de los interesados: un mecanismo que permita a las personas acceder a sus datos, rectificarlos y eliminarlos.
  • Transferencias internacionales de datos: controles y salvaguardas para trasladar datos fuera del Reino.
  • Respuesta a incidentes: un plan para gestionar y notificar las brechas de datos.
  • Delegado de protección de datos (DPO): quién supervisa el cumplimiento dentro de tu organización.

¿Por qué ahora? SDAIA intensifica la aplicación de la ley

El formulario no surgió de la nada. La PDPL es exigible desde septiembre de 2023, y durante el último año los comités especializados de SDAIA dictaron 48 resoluciones contra organizaciones que incumplían la ley: la primera oleada sustancial de resoluciones. Se repitieron patrones claros: recoger y tratar datos sin base jurídica, salvaguardas técnicas y organizativas débiles, y enviar mensajes de marketing sin consentimiento previo (una infracción muy extendida en el comercio minorista, las telecomunicaciones y los servicios financieros). Enviar el formulario de verificación es el siguiente paso lógico: pasar de reaccionar a las denuncias a exigir a las organizaciones que demuestren su cumplimiento de forma proactiva.

Las sanciones: ¿cuánto cuesta incumplir?

El riesgo es tanto económico como jurídico. Las multas llegan a 5 millones de SAR por infracción y pueden duplicarse en caso de reincidencia. En los casos más graves, como divulgar datos sensibles con intención de causar daño o para beneficio propio, el asunto escala a responsabilidad penal, incluida la prisión. A eso se suma el daño indirecto: pérdida de confianza de los clientes, acuerdos paralizados y perjuicio a la reputación. El mensaje es claro: el cumplimiento ya no es opcional ni algo que se pueda aplazar.

Cómo preparar tu empresa: una lista de comprobación práctica

No esperes a que llegue el formulario para empezar. Comienza ahora con estos pasos:

  • Elabora un mapa de datos: qué datos personales recoges, de dónde, dónde se guardan y quién puede acceder a ellos.
  • Documenta la base jurídica de cada actividad de tratamiento y registra el consentimiento de los clientes de forma demostrable.
  • Redacta políticas de privacidad, conservación y eliminación, y asegúrate de que estén aprobadas y se apliquen de verdad, no solo sobre el papel.
  • Revisa los contratos con proveedores y prestadores de servicios para garantizar que incluyen cláusulas de protección y transferencia de datos.
  • Establece un proceso claro para recibir y responder a las solicitudes de los interesados (acceso, rectificación, eliminación) dentro de los plazos legales.
  • Designa a un delegado de protección de datos, aunque sea a tiempo parcial, como punto claro de responsabilidad.
  • Elabora un plan de respuesta a incidentes para que todos sepan quién hace qué cuando se produce una brecha.

La parte técnica: donde las empresas fallan de verdad

La mayoría de las carencias no tienen que ver con la intención, sino con los sistemas. Muchas organizaciones tienen una política de privacidad escrita, pero sus sistemas no la aplican: los datos de los clientes se copian en innumerables hojas de cálculo y archivos, no hay una forma automatizada de eliminarlos cuando termina el plazo de conservación y no existe ningún registro que muestre quién accedió a qué y cuándo. Aquí es donde el cumplimiento deja de ser un documento y se convierte en ingeniería. En la práctica, eso significa: controles de acceso, cifrado de los datos sensibles, registros de auditoría que acrediten cada operación, conservación y eliminación automatizadas, una interfaz que permita a los interesados ejercer sus derechos y controles técnicos sobre cualquier transferencia fuera del Reino. El formulario pregunta por estas capacidades, y una respuesta honesta necesita un sistema, no una promesa.

Cómo ayuda Origami

Como empresa tecnológica, tratamos el cumplimiento como un problema de ingeniería que tiene solución. Ayudamos a las organizaciones a convertir los requisitos de la PDPL en controles reales dentro de sus sistemas: mapas de datos precisos, gestión del consentimiento, políticas automatizadas de conservación y eliminación, registros de auditoría, paneles para gestionar las solicitudes de los interesados y controles de las transferencias internacionales. El objetivo es que tu respuesta al formulario de verificación no sean solo palabras, sino un sistema que demuestre tu cumplimiento automáticamente cada vez que SDAIA lo pida.

Conclusión

El envío del formulario de verificación del cumplimiento indica que el periodo de gracia ha terminado y que SDAIA pasa a exigir una prueba proactiva del cumplimiento. Las empresas que preparen ahora sus datos y sistemas tratarán el formulario como un trámite rutinario; las que lo aplacen pueden descubrir sus carencias en el peor momento posible: durante la propia revisión. Empieza hoy con tu mapa de datos.

Fuentes

  • Autoridad Saudí de Datos e Inteligencia Artificial (SDAIA) — Normativa y políticas: sdaia.gov.sa
  • Clyde & Co — SDAIA's PDPL Compliance Verification Form (julio de 2026): clydeco.com
  • IAPP — La autoridad de protección de datos de Arabia Saudí intensifica la aplicación de la ley: iapp.org