Si votre entreprise collecte la moindre donnée sur vos clients (nom, numéro de mobile, e-mail, localisation ou photo), vous êtes soumis à la loi sur la protection des données personnelles (PDPL). La loi est pleinement applicable depuis le 14 septembre 2024, sous la supervision de l'Autorité saoudienne des données et de l'intelligence artificielle (SDAIA), et les violations peuvent entraîner des amendes allant jusqu'à 5 millions de riyals. Ce guide explique simplement ce que votre entreprise doit faire, quels droits ont vos clients et comment vous préparer sans complexité inutile.

Qu'est-ce que la loi sur la protection des données personnelles ?

C'est une loi saoudienne promulguée par le décret royal n° (M/19), qui encadre la collecte, le traitement, la conservation et le partage des données personnelles dans le Royaume. Son objectif est de protéger la vie privée des personnes et de garantir que les entreprises traitent leurs données de manière responsable et transparente. La loi est entrée en vigueur le 14 septembre 2023, avec un délai de grâce d'un an pour se mettre en conformité qui a pris fin le 14 septembre 2024, date à partir de laquelle elle est devenue pleinement contraignante.

À qui s'applique la loi ?

Elle s'applique à toute entité, publique ou privée, qui traite les données personnelles de personnes situées dans le Royaume, par quelque moyen que ce soit. Cela inclut les boutiques en ligne, les applications, les cliniques, les restaurants, les agences immobilières et toute entreprise qui tient un fichier clients. Sa portée s'étend même aux entités situées hors du Royaume si elles traitent les données de ses résidents. En bref : si vous détenez des données clients, la loi vous concerne.

Quels droits a la personne concernée (votre client) ?

La loi accorde aux personnes un ensemble clair de droits sur leurs données, notamment :

  • Le droit d'être informé : savoir pourquoi ses données sont collectées et comment elles seront utilisées.
  • Le droit d'accès : consulter les données que vous détenez à son sujet et en obtenir une copie.
  • Le droit de rectification : demander que ses données soient corrigées, mises à jour ou complétées.
  • Le droit à la destruction : demander la suppression de ses données lorsqu'elles ne sont plus nécessaires.

Quelles sont les obligations de l'entreprise (le responsable du traitement) ?

  • Une base légale pour le traitement : ne collectez pas de données sans justification ; la règle par défaut est d'obtenir le consentement de la personne.
  • Une politique de confidentialité claire : publiez une politique qui explique ce que vous collectez, pourquoi et comment vous le protégez.
  • La minimisation des données : ne collectez que ce dont vous avez besoin pour atteindre la finalité, pas davantage.
  • La notification des violations : informez l'Autorité (et la personne concernée lorsque c'est requis) de toute fuite qui menace la vie privée.
  • L'encadrement des transferts hors du Royaume : conformément au règlement sur le transfert des données personnelles hors du Royaume.

Quelles sont les sanctions en cas de violation ?

Les sanctions s'aggravent selon le type de violation :

  • La divulgation ou le transfert de données sensibles dans l'intention de nuire ou pour un profit personnel : une peine de prison allant jusqu'à deux ans et/ou une amende allant jusqu'à 3 millions de riyals.
  • Les autres violations : un avertissement ou une amende allant jusqu'à 5 millions de riyals, qui peut être doublée en cas de récidive.

Plus important encore, la sanction financière n'est pas le seul risque : perdre la confiance de vos clients après une fuite de données peut coûter à votre entreprise bien plus que l'amende elle-même.

Comment préparer votre entreprise à la conformité ?

  • Connaissez vos données : recensez les données que vous collectez, où elles sont stockées et qui peut y accéder.
  • Publiez une politique de confidentialité claire sur votre site et votre application, dans un langage simple et compréhensible.
  • Mettez en place un consentement explicite avant de collecter des données, avec la possibilité de le retirer ensuite.
  • Un stockage sécurisé : chiffrement, accès limités et suppression de ce dont vous n'avez plus besoin.
  • Préparez une procédure pour répondre aux demandes des clients (accès, rectification, suppression) et pour signaler les violations.

Comment Origami vous aide

Chez Origami, nous construisons des systèmes et des applications selon le principe de la protection de la vie privée dès la conception : chiffrement des données sensibles, gestion des consentements, journalisation des accès et mécanismes intégrés de suppression et de rectification. Que vous construisiez un nouveau système ou que vous mettiez votre système existant en conformité avec les exigences de protection des données, nous nous occupons de la partie technique pour que vous soyez serein quant à la conformité de votre entreprise.

Questions fréquentes

La loi concerne-t-elle les petites entreprises ? Oui, il n'y a aucune exemption selon la taille ; toute entreprise qui traite des données de personnes est soumise à la loi.

Une politique de confidentialité sur le site suffit-elle ? Une politique de confidentialité est une étape importante mais pas suffisante à elle seule ; ce qui est exigé, c'est une conformité réelle dans la collecte, la protection, l'accès et la suppression des données selon la loi.

Que faire si les données de mes clients ont fuité ? Corrigez immédiatement la faille, documentez l'incident, informez l'Autorité comme requis et prévenez les personnes concernées si nécessaire.

Protéger les données de vos clients n'est plus seulement un avantage concurrentiel : c'est une obligation légale dont la négligence entraîne des amendes et une perte de confiance.

Si vous voulez évaluer la préparation de votre entreprise à la conformité en matière de protection des données, ou construire un système qui respecte la vie privée dès la conception, réservez un court appel avec l'équipe Origami ou contactez-nous sur WhatsApp.

Sources officielles