Le formulaire de vérification de conformité à la PDPL de la SDAIA : ce que votre entreprise doit désormais prouver

Début juillet 2026, l'Autorité saoudienne des données et de l'intelligence artificielle (SDAIA) a commencé à faire circuler un formulaire de vérification de conformité à la PDPL auprès des organisations enregistrées comme responsables de traitement. Ce n'est pas une formalité. C'est une demande officielle que votre entreprise prouve — documents et preuves à l'appui — qu'elle collecte, traite et stocke les données personnelles conformément à la loi sur la protection des données personnelles (PDPL). L'enseignement pratique : toute organisation qui manipule des données de clients ou de salariés devrait rassembler ses preuves dès maintenant, car tout manquement révélé lors de cette revue peut l'exposer à des sanctions atteignant 5 millions de SAR.

Qu'est-ce que le formulaire de vérification de conformité ?

C'est un document officiel — daté du 7 juillet 2026 — que la SDAIA adresse aux responsables de traitement enregistrés auprès d'elle, leur demandant de décrire et de prouver la façon dont ils respectent la PDPL. En clair : affirmer que vous êtes conforme ne suffit plus ; vous devez produire les politiques, les registres et les contrôles qui le démontrent. Le formulaire couvre tout le cycle de vie de votre gouvernance des données, du moment où la donnée est collectée au moment où elle est détruite.

Que demande exactement le formulaire ?

Le formulaire demande des preuves dans neuf domaines essentiels. Il vaut la peine de passer chacun d'eux en revue, ligne par ligne :

• Collecte, traitement et stockage : comment vous recueillez les données personnelles, où vous les stockez et comment vous les traitez.
• Cadres de gouvernance et politiques : des politiques écrites et approuvées pour la confidentialité et la protection des données.
• Base légale du traitement : le fondement licite de chaque activité de traitement (consentement, contrat, obligation légale, etc.).
• Gestion des tiers : comment vous supervisez les sous-traitants et les fournisseurs avec lesquels vous partagez des données.
• Conservation et destruction des données : des durées de conservation définies et un processus de suppression sécurisée dès que la donnée n'est plus nécessaire.
• Droits des personnes concernées : un mécanisme qui permet aux individus d'accéder à leurs données, de les corriger et de les supprimer.
• Transferts transfrontaliers de données : les contrôles et garanties pour tout déplacement de données hors du Royaume.
• Réponse aux incidents : un plan pour traiter et signaler les violations de données.
• Responsable de la protection des données (DPO) : qui supervise la conformité à l'intérieur de votre organisation.

Pourquoi maintenant ? La SDAIA renforce son action

Le formulaire n'est pas apparu dans le vide. La PDPL est devenue applicable dès septembre 2023, et au cours de l'année écoulée les comités spécialisés de la SDAIA ont rendu 48 décisions contre des organisations reconnues en infraction — la première vague substantielle de décisions. Des schémas clairs se sont répétés : collecte et traitement de données sans base licite, garanties techniques et organisationnelles faibles, et envoi de messages marketing sans consentement préalable (une infraction très répandue dans le commerce de détail, les télécoms et les services financiers). La diffusion du formulaire de vérification est l'étape logique suivante : passer d'une réaction aux plaintes à une exigence faite aux organisations de prouver leur conformité de façon proactive.

Les sanctions : combien coûte la non-conformité ?

Le risque est à la fois financier et juridique. Les amendes atteignent 5 millions de SAR par infraction et peuvent doubler en cas de récidive. Dans les cas les plus graves — comme la divulgation de données sensibles avec l'intention de nuire ou dans un but de gain personnel — l'affaire monte au niveau de la responsabilité pénale, y compris l'emprisonnement. Ajoutez-y les dommages indirects : perte de confiance des clients, contrats bloqués et atteinte à la réputation. Le message est clair : la conformité n'est plus optionnelle ni quelque chose que l'on reporte.

Comment préparer votre entreprise : une liste de contrôle pratique

N'attendez pas l'arrivée du formulaire pour commencer. Lancez-vous dès maintenant avec ces étapes :

• Construisez une cartographie des données : quelles données personnelles vous collectez, depuis quelles sources, où elles résident et qui peut y accéder.
• Documentez la base légale de chaque activité de traitement, et enregistrez le consentement des clients d'une façon qui puisse être prouvée.
• Rédigez des politiques de confidentialité, de conservation et de suppression — et assurez-vous qu'elles sont approuvées et réellement appliquées, pas seulement sur le papier.
• Passez en revue les contrats de vos fournisseurs et prestataires pour vérifier que les clauses de protection et de transfert des données y figurent.
• Mettez en place un processus clair pour recevoir et traiter les demandes des personnes concernées (accès, rectification, suppression) dans les délais légaux.
• Nommez un responsable de la protection des données, même à temps partiel, comme point de responsabilité clair.
• Construisez un plan de réponse aux incidents, pour que chacun sache qui fait quoi lorsqu'une violation survient.

Le volet technique : là où les entreprises échouent réellement

La plupart des manquements ne relèvent pas de l'intention — ils relèvent des systèmes. Beaucoup d'organisations ont une politique de confidentialité écrite, mais leurs systèmes ne l'appliquent pas : les données clients sont recopiées dans d'innombrables tableurs et fichiers, il n'existe aucun moyen automatisé de les supprimer une fois la durée de conservation écoulée, et aucun journal ne montre qui a consulté quoi et quand. C'est là que la conformité passe du document à l'ingénierie. En pratique, cela signifie : contrôles d'accès, chiffrement des données sensibles, journaux d'audit qui prouvent chaque opération, conservation et suppression automatisées, une interface qui permet aux personnes concernées d'exercer leurs droits, et des contrôles techniques sur tout transfert hors du Royaume. Le formulaire interroge sur ces capacités, et une réponse honnête exige un système, pas une promesse.

Comment Origami vous aide

En tant que société technologique, nous traitons la conformité comme un problème d'ingénierie soluble. Nous aidons les organisations à transformer les exigences de la PDPL en contrôles réels à l'intérieur de leurs systèmes : cartographies de données précises, gestion du consentement, politiques automatisées de conservation et de suppression, journaux d'audit, tableaux de bord pour gérer les demandes des personnes concernées, et contrôles des transferts transfrontaliers. L'objectif est que votre réponse au formulaire de vérification ne soit pas seulement des mots, mais un système qui prouve automatiquement votre conformité dès que la SDAIA le demande.

Conclusion

La diffusion du formulaire de vérification de conformité signale que la période de grâce est terminée et que la SDAIA passe à l'exigence d'une preuve proactive de conformité. Les entreprises qui préparent leurs données et leurs systèmes dès maintenant traiteront le formulaire comme une routine ; celles qui reportent risquent de découvrir leurs manquements au pire moment possible — pendant la revue elle-même. Commencez aujourd'hui par votre cartographie des données.

Sources

• Autorité saoudienne des données et de l'intelligence artificielle (SDAIA) — réglementations et politiques : sdaia.gov.sa
• Clyde & Co — le formulaire de vérification de conformité à la PDPL de la SDAIA (juillet 2026) : clydeco.com
• IAPP — l'autorité saoudienne de protection des données renforce son action : iapp.org