Cumplimiento de las normas de llamadas salientes de Arabia Saudita: CST (2026)

Arabia Saudita es el mercado del Golfo cuyas normas de exportación son las que con mayor frecuencia se citan erróneamente. Esta guía se limita a lo que realmente establecen la Ley, sus reglamentos y la PDPL, y señala las lagunas como tales.

Cumplimiento normativo saudí para las exportaciones: resumen

¿Quién regula las llamadas salientes en Arabia Saudita?

La CST regula el sector de las telecomunicaciones y las tecnologías de la información. Su nombre original, anteriormente Comisión de Comunicaciones y Tecnologías de la Información, cambió el 10 de noviembre de 2022 mediante el decreto del Gabinete n.º 235. Muchos operadores aún la denominan CITC; su nombre actual es CST.

El artículo 79(1)(f) del Reglamento de Aplicación faculta a CST para emitir normas de protección de los derechos de los usuarios, que incluyen controles de marketing de telecomunicaciones. Dichas normas se publicaron en el documento RC05, decisión 552/1445 del 08-02-2024, cuyo texto no se pudo recuperar al momento de redactar este informe. Es probable que RC05 contenga cualquier norma saudí sobre horarios de llamadas, prohibición de llamadas no deseadas o normas sobre números de marketing; por lo tanto, solicítelo a CST y no dé por sentado su contenido. SDAIA es el organismo regulador de la protección de datos, y el artículo 42 PDPL emite sus reglamentos tras la coordinación con CST.

Consentimiento y opción de exclusión

El artículo 25 PDPL de Datos Personales establece la norma aplicable: un responsable del tratamiento no puede utilizar los medios de comunicación personales del interesado para enviar publicidad o material informativo sin su consentimiento previo y sin un mecanismo claro que permita al destinatario dejar de recibirlo. El artículo 26 añade que los datos personales solo podrán tratarse con fines de marketing si se recogen directamente del interesado con su consentimiento. Los datos sensibles nunca podrán tratarse con fines de marketing.

El Reglamento de Aplicación establece cómo debe ser el consentimiento. Artículo 11: el consentimiento puede ser escrito, verbal o electrónico, debe otorgarse libremente y ser específico para la finalidad, y debe documentarse para su posterior verificación, con un consentimiento independiente para cada finalidad. El artículo 28 exige el consentimiento cuando no haya habido interacción previa, y la presentación de pruebas materiales del mismo. El artículo 29 exige un mecanismo de cancelación tan sencillo como el proceso utilizado para obtener el consentimiento, y el artículo 12 permite la revocación en cualquier momento.

La legislación saudí no establece un plazo máximo de validez o caducidad para el consentimiento de marketing. Se leyeron la Ley de Protección de Datos Personales PDPL, su Reglamento de Aplicación, el Reglamento de Transferencia, el Reglamento contra el spam y la Ley, y ninguno establece un plazo.

No llamar

En los instrumentos saudíes publicados no aparece ningún registro nacional de "No llamar". Esto no es prueba de la ausencia de información, sino una ausencia de datos: el RC05, el único instrumento facultado para implementar controles de marketing, no pudo ser leído.

Lo que se establece es la opción de exclusión voluntaria por parte del remitente. El artículo 25(2) de la Ley de Protección de Datos PDPL y los artículos 28 y 29 de su Reglamento de Aplicación exigen que cada remitente implemente un mecanismo de bloqueo gratuito y sencillo, y que detenga el envío de inmediato si se solicita. Los operadores deben ofrecer por separado un bloqueo gratuito a nivel de red para los mensajes, y el destinatario puede presentar una queja ante el organismo regulador dentro de los treinta días posteriores a la recepción de spam.

Horarios y días de visita

No existe ninguna norma publicada sobre el horario permitido para las llamadas salientes de telemarketing. Se consultaron la Ley, sus dos versiones de reglamentos de aplicación, la normativa antispam y el registro de reglamentos de la CST.

La norma que se suele citar como franja horaria para llamadas en Arabia Saudita pertenece a otro ámbito. La normativa antispam prohíbe el envío de mensajes electrónicos entre las 22:00 y las 07:00 sin el consentimiento del destinatario para recibirlos en ese horario, y la misma normativa define un mensaje electrónico excluyendo las llamadas de voz. El toque de queda se aplica a los mensajes, no a las llamadas. Indica la hora sin especificar una zona horaria; Arabia Saudita utiliza una única zona horaria en UTC+03:00 sin horario de verano, un dato general más que una cita textual. No se encontró ninguna norma relativa a fines de semana o festivos.

Identificador de llamadas y presentación del número

El artículo 55.9 del Reglamento de la Ley de Telecomunicaciones es lo más parecido a una normativa sobre guiones de telemarketing que existe en Arabia Saudita. El proveedor de servicios debe revelar al inicio de la llamada su identidad y el propósito de la misma, así como, durante la llamada, el precio total de cualquier producto o servicio mencionado y el derecho absoluto de la persona contactada a cancelar una compra o arrendamiento en un plazo de 72 horas, llamando a un número específico facilitado durante la llamada. El artículo 55.10 permite a la CST prohibir o regular directamente el uso de una red para telemarketing.

El artículo 28(3)(a) del Reglamento de Implementación exige que se mencione claramente el nombre del remitente sin ocultar su identidad, y el artículo 29(2) exige lo mismo para el material de marketing directo. Las obligaciones contra la suplantación de identidad recaen sobre los operadores, no sobre los anunciantes. No se ha publicado: ningún requisito de que las llamadas de marketing provengan de un rango de números dedicado o registrado, ninguna norma sobre CLI oculta o anónima, ni ningún régimen de identificación de remitente registrado para SMS de marketing.

Grabación de llamadas y avisos

Arabia Saudita parte de una prohibición, no de una autorización. El artículo treinta y dos de la ley establece que las llamadas y la información transmitidas a través de redes públicas de telecomunicaciones son confidenciales y no pueden ser revisadas, escuchadas ni grabadas, salvo en los casos previstos en el reglamento. El artículo 58(3) del Reglamento de Aplicación añade que los proveedores no pueden recopilar, procesar ni divulgar las comunicaciones de un usuario sin su consentimiento, salvo en los casos permitidos por la ley.

Una grabación también constituye datos personales, ya que la definición de publicación de la Ley de Protección de Datos PDPL, por sus siglas en inglés abarca expresamente el audio. No se publican: ninguna obligación de grabación, período mínimo de retención ni texto de aviso de grabación prescrito.

Reglas de mensajería para SMS y WhatsApp

La mensajería se rige por normas más estrictas. La normativa antispam permite el envío de mensajes tras el consentimiento previo del destinatario o cuando existe una relación previa, como una compra realizada al remitente. Cada mensaje debe incluir la dirección de correo electrónico, el nombre y el asunto del remitente para que el destinatario pueda darse de baja de forma gratuita y sencilla. Esta información de contacto debe permanecer activa durante al menos treinta días. El envío debe cesar en un plazo de 48 horas tras la solicitud de baja, seguida de una confirmación, y los registros se conservan durante seis meses. Se aplica la prohibición de envío entre las 22:00 y las 07:00.

Protección y retención de datos

La PDPL fue emitida por el Real Decreto M/19 y modificada por el M/148. Su artículo 43 establece que entrará en vigor 720 días después de su publicación en el Boletín Oficial. Según DLA Piper, esto se corresponde con su entrada en vigor el 14 de septiembre de 2023, con un plazo de cumplimiento del 14 de septiembre de 2024 para la mayoría de las entidades.

La transferencia transfronteriza se rige por el Reglamento sobre la transferencia de datos personales fuera del Reino, versión 2.0 de agosto de 2024. Este reglamento contempla garantías adecuadas, cláusulas contractuales estándar emitidas por la autoridad competente y normas comunes vinculantes para los grupos. Si su sistema de marcación automática, grabaciones o CRM se encuentran fuera del Reino, deberá respaldar esta información con la documentación pertinente.

La PDPL no establece un período de retención fijo para los datos de marketing; las limitaciones son la limitación de la finalidad y el derecho a la destrucción. Dos cifras concretas son: los registros antispam se conservan durante seis meses después de una solicitud de baja, y el artículo 55.4 de los Estatutos exige que las facturas de los usuarios se conserven durante seis meses a partir de su emisión.

Sanciones y aplicación de la ley

Son dos vías distintas que no deben mezclarse. Según la Ley de Telecomunicaciones y Tecnologías de la Información, el artículo veintisiete (1) permite una o más de las siguientes sanciones: una multa que no exceda los 25 millones de riales saudíes, la suspensión total o parcial del servicio, la prohibición de obtener o renovar una licencia y el bloqueo de una plataforma de contenido digital. Las sanciones deben ser proporcionales y el infractor debe entregar el producto de la multa. Las infracciones de las normas antispam se rigen por este régimen en lugar de tener su propia tarifa.

Según la Ley de Protección de Datos PDPL, por sus siglas en inglés, el artículo 36 establece una advertencia o una multa que no exceda los 5 millones de riales saudíes (SAR), duplicándose en caso de reincidencia hasta alcanzar el doble de dicho límite. El artículo 35 establece hasta dos años de prisión o una multa que no exceda los 3 millones de SAR, o ambas, por divulgar o publicar intencionalmente datos sensibles con el fin de perjudicar al titular de los datos u obtener un beneficio. Ambas leyes contemplan sanciones por infracción con un multiplicador por reincidencia, ninguna de ellas prevé acumulación diaria de multas, y no se encontró ninguna tabla de multas publicada por tipo de infracción.

¿Qué cambió en 2025 y 2026?

Los instrumentos que se movieron están fechados en 2024 y siguen vigentes según la última captura de febrero de 2026: las decisiones CST 515/1445 sobre SMS y 552/1445 sobre protección de los derechos de los usuarios, ambas del 8 de febrero de 2024, y el Reglamento de Transferencias Versión 2.0 de SDAIA de agosto de 2024. Según DLA Piper, a partir de febrero de 2026, SDAIA está aplicando activamente la PDPL. No se encontró ninguna norma o consulta CST de 2025 o 2026 específica sobre llamadas promocionales, prefijos de números de marketing o un registro de exclusión de llamadas.

Cómo DialerBee admite cada regla

DialerBee incluye un paquete de reglas para la jurisdicción CITC de Arabia Saudita, por lo que las reglas configuradas para el Reino se aplican a todas las llamadas realizadas bajo su jurisdicción. Compliance Autopilot verifica cada intento con la lista DNC, el horario de llamadas permitido para su jurisdicción, el registro de consentimiento, la propiedad del identificador de llamadas, el límite de frecuencia y el formato del teléfono antes de realizar la llamada. Dado que Arabia Saudita no publica un horario de llamadas de voz, el horario que usted configure constituye su propia política, y al aplicarla en la plataforma, se mantiene el mismo horario en todas las campañas, con un registro de la política vigente.

El consentimiento se registra por contacto con su origen, fecha y hora y canal, tal como lo exige el artículo 11 del Reglamento de Implementación, y la supresión se aplica a todas las campañas. El control del grupo de identificadores de llamadas determina qué número presenta cada campaña. La grabación incluye un período de retención configurable por campaña y por cliente, además de una retención legal, que es importante cuando la grabación está prohibida a menos que exista una justificación. Los guiones se ejecutan en 11 idiomas, incluido el árabe, de modo que la divulgación de identidad y el aviso de cancelación de 72 horas llegan al destinatario en su propio idioma. Estos son controles que facilitan el cumplimiento de las obligaciones; no reemplazan la revisión legal.

Lista de verificación de cumplimiento para viajes al extranjero de Arabia Saudita

• Solicite directamente el documento RC05 de CST y léalo antes de redactar la política interna de llamadas.
• Recopile el consentimiento para fines de marketing directamente del interesado, nunca de una lista comprada, y registre el tiempo y los medios utilizados, con un consentimiento independiente para cada finalidad.
• Implementa el mecanismo de retirada antes de solicitar el consentimiento, facilita la cancelación con la misma facilidad que dar el consentimiento explícito y permite la suspensión gratuita a petición del usuario.
• Al iniciar cada llamada, indique a quién va dirigida y el propósito de la misma.
• Indique el precio total durante la llamada y mencione el derecho de cancelación de 72 horas y el número para ejercerlo.
• Mantenga las llamadas salientes dentro de un horario diurno conservador que haya confirmado con CST.
• Mantenga los mensajes de marketing fuera del horario de 22:00 a 07:00 y conserve el contacto del remitente activo durante treinta días.
• Documente la base legal antes de registrar cualquier llamada y registre cada transferencia al extranjero de conformidad con el Reglamento de Transferencias de agosto de 2024.
• Conservaremos los registros de consentimiento para el servicio anti-spam y de baja de suscripción durante seis meses después de la solicitud.
• Atribuya las multas al estatuto correcto: 25 millones de SAR corresponden a la Ley de Telecomunicaciones, 5 millones de SAR a la Ley de Protección de Datos PDPL.

Fuentes

1. Ley de Telecomunicaciones y Tecnologías de la Información, Real Decreto M/106 de 02/11/1443H (CST, archivado). web.archive.org
2. Reglamento de la Ley de Telecomunicaciones, Decisión N° 11 de 17/05/1423H, en su versión modificada, Artículo 55.9 (CST, archivado). web.archive.org
3. Reglamento para la reducción del SPAM (CITC, archivado). web.archive.org
4. Entrada en el registro CST, RC05 Reglamento de las normas de protección de los derechos de los usuarios, decisión 552/1445, 08-02-2024. web.archive.org
5. Ley de Protección de Datos Personales, Real Decreto M/19 modificado por el M/148 (SDAIA). sdaia.gov.sa
6. Reglamento de aplicación de la PDPL (SDAIA). sdaia.gov.sa
7. Reglamento sobre la transferencia de datos personales fuera del Reino, versión 2.0, agosto de 2024 (SDAIA). sdaia.gov.sa
8. DLA Piper, Leyes de protección de datos del mundo, Arabia Saudita, consultado el 11 de septiembre de 2026 (fuente secundaria para las fechas gregorianas y la postura de aplicación). dlapiperdataprotection.com

Preguntas frecuentes

¿Quién regula las llamadas salientes en Arabia Saudita?

La Comisión de Comunicaciones, Espacio y Tecnología (CST), que cambió su nombre de CITC el 10 de noviembre de 2022, supervisa los datos personales de forma independiente por la SDAIA en virtud de la Ley de Protección de Datos Personales. Ambos regímenes están interrelacionados: la PDPL emite su normativa tras la coordinación con la CST.

¿Cuáles son las horas permitidas para realizar llamadas telefónicas en Arabia Saudita?

No se ha publicado ninguna norma sobre el horario permitido para las llamadas de voz salientes. La prohibición de 22:00 a 07:00, que suele citarse como franja horaria para llamadas en Arabia Saudita, proviene de la normativa antispam, que define un mensaje electrónico de forma que excluya las llamadas de voz. Establezca una franja horaria diurna conservadora como política y confírmela con CST.

¿Necesito consentimiento para realizar llamadas de marketing en Arabia Saudita?

Sí. El artículo 25 PDPL prohíbe utilizar los medios de comunicación personales de una persona para enviar material publicitario sin su consentimiento previo y exige un mecanismo claro para detener dicho envío. El artículo 26 permite el tratamiento de datos con fines de marketing únicamente cuando estos se hayan obtenido directamente del titular de los datos con su consentimiento.

¿Tiene Arabia Saudita un registro nacional de "No llamar"?

En los instrumentos publicados no aparece ningún registro nacional, pero esto se debe a la falta de pruebas, no a la ausencia de evidencia, ya que el documento RC05 de la CST no pudo leerse. Lo que sí se establece es una obligación del remitente: un mecanismo de parada libre y sencillo, que detiene el envío inmediatamente a petición, además de un bloqueo de mensajes por parte del operador.

¿Está permitida la grabación de llamadas en Arabia Saudita?

La grabación parte de una prohibición. El artículo treinta y dos de la ley establece la confidencialidad de las llamadas realizadas a través de redes públicas y prohíbe su grabación, salvo en los casos previstos en la normativa. Además, la grabación se considera dato personal según la Ley de Protección de Datos Personales PDPL. Documente la base legal antes de grabar; no se ha publicado ningún período de retención.

¿En qué consiste la regla de las 72 horas en el telemarketing saudí?

El artículo 55.9(d) del Reglamento de la Ley de Telecomunicaciones exige que quien llama informe durante la llamada al destinatario sobre su derecho absoluto a cancelar la compra o el arrendamiento de cualquier servicio en un plazo de 72 horas, llamando a un número específico proporcionado durante la llamada. El mismo artículo exige que quien llama identifique a la persona a quien se dirige la llamada, indique su propósito y proporcione el precio total.

¿Qué multas se aplican en Arabia Saudita?

Provienen de dos leyes diferentes. La Ley de Telecomunicaciones y Tecnologías de la Información permite multas de hasta 25 millones de riales saudíes, además de la suspensión del servicio, la prohibición de licencias o el bloqueo de la plataforma. La Ley de Protección de Datos Personales PDPL permite multas de hasta 5 millones de riales saudíes por infracciones generales, duplicadas en caso de reincidencia, y multas de hasta 3 millones de riales saudíes con dos años de prisión por delitos relacionados con datos sensibles. No atribuya una cifra de la Ley de Telecomunicaciones a la PDPL.

Lecturas relacionadas

• Descripción general del sistema de marcación saliente de Arabia Saudita
• Piloto automático de cumplimiento
• Control de grupo de identificadores de llamadas
• Guía de cumplimiento para la región MENA

Este artículo tiene fines informativos generales y no constituye asesoramiento legal. El documento RC05 de la CST, instrumento facultado para implementar controles de marketing de telecomunicaciones, no se pudo recuperar al momento de redactar este artículo. Confirme los requisitos vigentes con la CST, la SDAIA y un abogado local calificado.