Cumplimiento en Arabia Saudita: CST (2026)

Respuesta rápida

Las llamadas salientes hacia Arabia Saudita están reguladas por la Comisión de Comunicaciones, Espacio y Tecnología (CST), antes CITC, mientras que los datos personales los supervisa por separado la SDAIA en virtud de la Ley de Protección de Datos Personales. El modelo de consentimiento es de aceptación previa (opt-in) y ese consentimiento debe documentarse para poder verificarlo después; la baja (opt-out) se gestiona ante el remitente y no mediante un registro nacional, porque en los instrumentos publicados de Arabia Saudita no figura ninguna lista nacional Do Not Call. No existe una norma publicada sobre horario permitido para llamadas de voz salientes: la prohibición de 22:00 a 07:00 que suele citarse figura en el reglamento antispam, cuya definición de mensaje electrónico excluye expresamente las llamadas de voz.

Arabia Saudita es el mercado del Golfo cuyas normas sobre llamadas salientes se citan mal con más frecuencia. Esta guía expone solo lo que dicen realmente la Ley, sus reglamentos y la PDPL, y señala las lagunas como lo que son.

Cumplimiento de llamadas salientes en Arabia Saudita, de un vistazo

Elemento	Situación
Regulador	Communications, Space & Technology Commission, CST (هيئة الاتصالات والفضاء والتقنية), renamed from CITC on 10 November 2022. Data protection sits with SDAIA
Ley y fecha	Ley de Telecomunicaciones y Tecnologías de la Información, Real Decreto M/106 de 02/11/1443H, con su Reglamento de Aplicación de noviembre de 2022; artículo 55.9 de los Estatutos; Reglamento para la Reducción del SPAM
Licencia necesaria	No publicado. El registro de la CST no muestra ninguna licencia específica de telemarketing; confírmelo con la CST antes del lanzamiento. Ejercer una actividad sujeta a licencia sin tenerla infringe el artículo veintiséis(2) de la Ley, y los servicios de call center son una categoría regulada por la CST (RS14)
Horarios de llamada	No publicado para llamadas de voz. La norma de 22:00 a 07:00 se aplica a los mensajes electrónicos, cuya definición excluye las llamadas de voz. Arabia Saudita tiene una única zona horaria, UTC+03:00, sin horario de verano (fuente secundaria para el desfase)
Modelo de consentimiento	Aceptación previa (opt-in), artículos 25 y 26 de la PDPL. El artículo 11 del Reglamento de Aplicación exige un consentimiento documentado y separado por finalidad
Lista de no llamar	No publicado. No se encontró ningún registro nacional; la obligación es un mecanismo de baja gratuito y sencillo en el remitente, más un bloqueo de mensajes por parte del operador
Norma sobre el identificador de llamadas	Artículo 55.9(a) de los Estatutos: informar al inicio de la llamada del proveedor en cuyo nombre se realiza y de su finalidad. Artículos 28 y 29 del Reglamento de Aplicación: no ocultar la identidad del remitente
Norma sobre grabación	Artículo treinta y dos de la Ley: las llamadas por redes públicas son confidenciales y no pueden grabarse salvo en los casos previstos en los reglamentos. No se ha publicado ninguna obligación de grabación ni periodo de conservación
Ley de protección de datos	Ley de Protección de Datos Personales, Real Decreto M/19 modificado por el M/148. En vigor desde el 14 de septiembre de 2023, con plazo de adecuación hasta el 14 de septiembre de 2024 (fuente secundaria para las fechas gregorianas)
Sanciones	Artículo veintisiete de la Ley: hasta SAR 25 millones, cese del servicio, inhabilitación para licencias o bloqueo de plataformas. Artículo 36 de la PDPL: hasta SAR 5 millones, que se duplican en caso de reincidencia; artículo 35: hasta SAR 3 millones y dos años de prisión por infracciones relativas a datos sensibles

Quién regula las llamadas salientes en Arabia Saudita

La CST regula el sector de las telecomunicaciones y las tecnologías de la información. Cambió su nombre de Comisión de Comunicaciones y Tecnologías de la Información el 10 de noviembre de 2022 mediante el decreto del Consejo de Ministros n.º 235. Muchos operadores aún dicen CITC; el nombre actual es CST.

El artículo 79(1)(f) del Reglamento de Aplicación faculta a la CST para dictar normas de protección de los derechos de los usuarios que incluyan controles sobre el marketing de telecomunicaciones. Estas se publicaron como documento RC05, decisión 552/1445 de 08-02-2024, cuyo texto no pudo obtenerse en el momento de redactar este artículo. RC05 es el lugar más probable para cualquier norma saudí sobre horario de llamadas, obligación de no llamar o numeración de marketing, así que solicítelo a la CST y no dé por sentado su contenido. La SDAIA es el regulador de protección de datos, y según el artículo 42 de la PDPL sus reglamentos se dictan previa coordinación con la CST.

Consentimiento y baja

El artículo 25 de la PDPL es la norma aplicable: un responsable del tratamiento no puede usar los medios de comunicación personales de un interesado para enviar material publicitario o de sensibilización sin consentimiento previo y sin un mecanismo claro que permita al destinatario dejar de recibirlo. El artículo 26 añade que los datos personales solo pueden tratarse con fines de marketing si se obtuvieron directamente del interesado con su consentimiento. Los datos sensibles nunca pueden tratarse con fines de marketing.

El Reglamento de Aplicación establece cómo debe ser el consentimiento. Artículo 11: el consentimiento puede ser escrito, verbal o electrónico, debe ser libre y específico para una finalidad, y debe documentarse para poder verificarlo después, con un consentimiento separado para cada finalidad. El artículo 28 exige consentimiento cuando no ha habido interacción previa, así como pruebas materiales de él. El artículo 29 exige un mecanismo de baja tan sencillo como el proceso usado para obtener el consentimiento, y el artículo 12 permite retirarlo en cualquier momento.

La legislación saudí no establece ningún plazo máximo de validez ni de caducidad para el consentimiento de marketing. Se revisaron la PDPL, su Reglamento de Aplicación, el Reglamento de Transferencias, el reglamento antispam y la Ley, y ninguno fija un plazo.

Lista No Llamar (Do Not Call)

En los instrumentos saudíes publicados no figura ningún registro nacional Do Not Call. Se trata de una ausencia de pruebas, no de una prueba de ausencia: RC05, el único instrumento facultado para contener controles de marketing, no pudo consultarse.

Lo que sí está establecido es la baja ante el remitente. El artículo 25(2) de la PDPL y los artículos 28 y 29 del Reglamento de Aplicación exigen que cada remitente ofrezca un mecanismo de baja gratuito y sencillo y deje de enviar de inmediato cuando se le solicite. Por separado, los operadores deben ofrecer un bloqueo gratuito de mensajes a nivel de red, y el destinatario puede presentar una queja ante el regulador en un plazo de treinta días desde la recepción del spam.

Horarios y días de llamada

No existe ninguna norma publicada sobre horario permitido para el telemarketing de voz saliente. Se revisaron la Ley, las dos generaciones de su reglamento de aplicación, el reglamento antispam y el registro de reglamentos de la CST.

La norma que suele citarse como franja horaria de llamadas en Arabia Saudita pertenece a otro canal. El reglamento antispam prohíbe enviar mensajes electrónicos de 22:00 a 07:00 sin el consentimiento del destinatario para recibirlos en ese horario, y el mismo instrumento define el mensaje electrónico de forma que excluye las llamadas de voz. El toque de queda se aplica a la mensajería, no a las llamadas. Indica horas sin nombrar una zona horaria; Arabia Saudita tiene una única zona, UTC+03:00, sin horario de verano, un dato general y no una cita. No se encontró ninguna norma sobre fines de semana o feriados.

Identificador de llamada y presentación del número

El artículo 55.9 de los Estatutos de la Ley de Telecomunicaciones es lo más parecido que tiene Arabia Saudita a una norma sobre guiones de telemarketing. El proveedor del servicio debe informar al inicio de la llamada de la identidad del proveedor en cuyo nombre se realiza y de la finalidad de la llamada y, durante la llamada, del precio completo de cualquier producto o servicio tratado y del derecho absoluto de la persona contactada a cancelar una compra o un arrendamiento en un plazo de 72 horas, llamando a un número específico facilitado durante la llamada. El artículo 55.10 permite a la CST prohibir o regular directamente el uso de una red para telemarketing.

El artículo 28(3)(a) del Reglamento de Aplicación exige mencionar claramente el nombre del remitente sin ocultar su identidad, y el artículo 29(2) exige lo mismo para el material de marketing directo. Las obligaciones contra la suplantación de números recaen en los operadores, no en los anunciantes. No publicado: cualquier requisito de que las llamadas de marketing procedan de un rango de numeración dedicado o registrado, cualquier norma sobre CLI oculto o anónimo y cualquier régimen de identificador de remitente registrado para SMS de marketing.

Grabación de llamadas y avisos

Arabia Saudita parte de una prohibición, no de un permiso. Artículo treinta y dos de la Ley: las llamadas y la información enviadas por redes públicas de telecomunicaciones son confidenciales y no pueden revisarse, escucharse ni grabarse salvo en los casos previstos en los reglamentos. El artículo 58(3) del Reglamento de Aplicación añade que los proveedores no pueden recopilar, tratar ni divulgar las comunicaciones de un usuario sin su consentimiento, salvo en la medida en que las leyes lo permitan.

Una grabación es además un dato personal, ya que la definición de publicación de la PDPL incluye expresamente el audio. No publicado: ninguna obligación de grabación, periodo mínimo de conservación ni guion obligatorio de aviso de grabación.

Reglas de mensajería para SMS y WhatsApp

La mensajería tiene las normas publicadas más estrictas. El reglamento antispam permite enviar mensajes con consentimiento previo o cuando existe una relación previa, como una compra al remitente. Cada mensaje debe incluir la dirección electrónica, el nombre y el asunto del remitente para que el destinatario pueda darse de baja de forma gratuita y sencilla, y esa información de contacto debe seguir operativa durante al menos treinta días. El envío debe cesar en un plazo de 48 horas desde la solicitud de baja, debe enviarse una confirmación y los registros se conservan seis meses después. Aquí se aplica la prohibición de 22:00 a 07:00.

Protección y conservación de datos

La PDPL se promulgó mediante el Real Decreto M/19 y se modificó mediante el M/148. Su artículo 43 establece su entrada en vigor 720 días después de su publicación en el Boletín Oficial. Según DLA Piper, esto corresponde a una entrada en vigor el 14 de septiembre de 2023, con un plazo de adecuación hasta el 14 de septiembre de 2024 para la mayoría de las entidades.

Las transferencias internacionales se rigen por el Reglamento sobre Transferencia de Datos Personales fuera del Reino, versión 2.0 de agosto de 2024. Admite garantías adecuadas, cláusulas contractuales tipo emitidas en un formato estándar por la autoridad competente y normas comunes vinculantes para grupos. Si su dialer, sus grabaciones o su CRM están fuera del Reino, este es el instrumento con el que debe documentar la transferencia.

La PDPL no fija ningún plazo de conservación para los datos de marketing; los límites son la limitación de la finalidad y el derecho de destrucción. Hay dos cifras concretas relacionadas: los registros antispam se conservan seis meses después de una solicitud de baja, y el artículo 55.4 de los Estatutos exige conservar las facturas de los usuarios durante seis meses desde su emisión.

Sanciones y aplicación

Son dos vías distintas y no deben mezclarse. En virtud de la Ley de Telecomunicaciones y Tecnologías de la Información, el artículo veintisiete(1) permite una o varias de las siguientes sanciones: multa de hasta SAR 25 millones, cese total o parcial del servicio, inhabilitación del infractor para obtener o renovar una licencia y bloqueo de una plataforma de contenido digital. Las sanciones deben ser proporcionadas y el infractor debe entregar los beneficios obtenidos. Las infracciones antispam se tramitan dentro de este régimen y no tienen una tarifa propia.

En virtud de la PDPL, el artículo 36 establece una advertencia o una multa de hasta SAR 5 millones, que se duplica en caso de reincidencia hasta el doble de ese límite. El artículo 35 establece hasta dos años de prisión o una multa de hasta SAR 3 millones, o ambas, por divulgar o publicar intencionadamente datos sensibles para perjudicar al interesado u obtener un beneficio. Ambas leyes sancionan por infracción con un multiplicador por reincidencia, ninguna prevé acumulación diaria y no se encontró ninguna tabla publicada de multas por tipo de infracción.

Qué cambió en 2025 y 2026

Los instrumentos que cambiaron datan de 2024 y siguen vigentes en la consulta más reciente, de febrero de 2026: las decisiones de la CST 515/1445 sobre SMS y 552/1445 sobre protección de los derechos de los usuarios, ambas de 08-02-2024, y el Reglamento de Transferencias de la SDAIA, versión 2.0 de agosto de 2024. Según DLA Piper, a febrero de 2026 la SDAIA aplica activamente la PDPL. No se encontró ninguna norma ni consulta de la CST de 2025 o 2026 específica sobre llamadas promocionales, prefijos de numeración de marketing o un registro de no llamar.

Cómo apoya DialerBee cada regla

DialerBee incluye un paquete de jurisdicción KSA CST, de modo que las reglas configuradas para el Reino se aplican a cada llamada realizada bajo él. Compliance Autopilot comprueba cada intento, antes de realizar la llamada, contra la lista DNC, la franja horaria de su jurisdicción, el registro de consentimiento, la titularidad del identificador de llamadas, el límite de frecuencia y el formato del número. Como Arabia Saudita no publica ninguna franja horaria para llamadas de voz, la franja que usted defina es su propia política, y aplicarla en la plataforma hace que sea la misma en todas las campañas, con un registro de lo que estaba vigente.

El consentimiento se registra por contacto con su origen, marca de tiempo y canal, que es lo que pide el artículo 11 del Reglamento de Aplicación, y la exclusión se mantiene entre campañas. El control del pool de identificadores de llamadas determina qué número presenta cada campaña. La grabación ofrece conservación configurable por campaña y por tenant, además de retención legal, algo importante cuando grabar está prohibido salvo que exista una base legal. Los guiones funcionan en 11 idiomas, incluido el árabe, para que el aviso de identidad y el aviso de cancelación de 72 horas lleguen al destinatario en su propio idioma. Son controles que apoyan el cumplimiento y le ayudan a cumplir sus obligaciones; no sustituyen una revisión legal.

Checklist de cumplimiento para llamadas salientes en Arabia Saudita

Solicite directamente a la CST el documento RC05 y léalo antes de redactar su política interna de llamadas.
Obtenga el consentimiento de marketing directamente del interesado, nunca de una lista comprada, y registre la fecha, la hora y el medio, con un consentimiento separado para cada finalidad.
Cree el mecanismo de retirada antes de pedir el consentimiento, haga que darse de baja sea tan fácil como aceptar y detenga los envíos cuando se le solicite, sin coste.
Inicie cada llamada indicando en nombre de quién se realiza y su finalidad.
Indique el precio completo durante la llamada e informe del derecho de cancelación de 72 horas y del número para ejercerlo.
Mantenga las llamadas de voz salientes dentro de una franja diurna conservadora que haya confirmado con la CST.
No envíe mensajes de marketing entre las 22:00 y las 07:00 y mantenga operativo el contacto del remitente durante treinta días.
Documente una base legal antes de grabar cualquier llamada y respalde cada transferencia al extranjero conforme al Reglamento de Transferencias de agosto de 2024.
Conserve los registros de consentimiento y de baja antispam durante seis meses después de la solicitud.
Atribuya las multas a la ley correcta: SAR 25 millones corresponde a la Ley de Telecomunicaciones; SAR 5 millones, a la PDPL.

Fuentes

Ley de Telecomunicaciones y Tecnologías de la Información, Real Decreto M/106 de 02/11/1443H (CST, archivado). web.archive.org
Estatutos de la Ley de Telecomunicaciones, Decisión n.º 11 de 17/05/1423H en su versión modificada, artículo 55.9 (CST, archivado). web.archive.org
Reglamento para la Reducción del SPAM (CITC, archivado). web.archive.org
Entrada del registro de la CST, RC05 Reglamento de Normas de Protección de los Derechos de los Usuarios, decisión 552/1445, 08-02-2024. web.archive.org
Ley de Protección de Datos Personales, Real Decreto M/19 modificado por el M/148 (SDAIA). sdaia.gov.sa
Reglamento de Aplicación de la PDPL (SDAIA). sdaia.gov.sa
Reglamento sobre Transferencia de Datos Personales fuera del Reino, versión 2.0, agosto de 2024 (SDAIA). sdaia.gov.sa
DLA Piper, Data Protection Laws of the World, Arabia Saudita, consultado el 11 de septiembre de 2026 (fuente secundaria para las fechas gregorianas y el grado de aplicación). dlapiperdataprotection.com

Preguntas frecuentes

¿Quién regula las llamadas salientes en Arabia Saudita?

La Comisión de Comunicaciones, Espacio y Tecnología (CST), que cambió su nombre de CITC el 10 de noviembre de 2022. Los datos personales los supervisa por separado la SDAIA en virtud de la Ley de Protección de Datos Personales, y ambos regímenes están interconectados: los reglamentos de la PDPL se dictan previa coordinación con la CST.

¿Cuál es el horario permitido para llamadas en Arabia Saudita?

No hay publicada ninguna norma sobre horario permitido para las llamadas de voz salientes. La prohibición de 22:00 a 07:00 que suele citarse como franja horaria saudí procede del reglamento antispam, que define el mensaje electrónico de forma que excluye las llamadas de voz. Establezca como política una franja diurna conservadora y confírmela con la CST.

¿Necesito consentimiento para hacer llamadas de marketing en Arabia Saudita?

Sí. El artículo 25 de la PDPL prohíbe usar los medios de comunicación personales de una persona para enviar material publicitario sin consentimiento previo y exige un mecanismo de baja claro. El artículo 26 solo permite el tratamiento con fines de marketing cuando los datos se obtuvieron directamente del interesado con su consentimiento.

¿Tiene Arabia Saudita un registro nacional Do Not Call?

En los instrumentos publicados no figura ningún registro nacional, pero se trata de una ausencia de pruebas y no de una prueba de ausencia, porque el documento RC05 de la CST no pudo consultarse. Lo que sí está establecido es una obligación del remitente: un mecanismo de baja gratuito y sencillo, el cese inmediato de los envíos cuando se solicite y un bloqueo de mensajes por parte del operador.

¿Está permitido grabar llamadas en Arabia Saudita?

La grabación parte de una prohibición. El artículo treinta y dos de la Ley declara confidenciales las llamadas por redes públicas y prohíbe grabarlas salvo en los casos previstos en los reglamentos, y una grabación es además un dato personal según la PDPL. Documente una base legal antes de grabar; no se ha publicado ningún periodo de conservación.

¿Qué es la regla de las 72 horas en el telemarketing saudí?

El artículo 55.9(d) de los Estatutos de la Ley de Telecomunicaciones exige que quien llama informe durante la llamada del derecho absoluto de la persona contactada a cancelar la compra o el arrendamiento de cualquier servicio en un plazo de 72 horas, llamando a un número específico facilitado durante la llamada. El mismo artículo exige identificar en nombre de quién se realiza la llamada, indicar su finalidad y dar el precio completo.

¿Qué multas se aplican en Arabia Saudita?

Proceden de dos leyes distintas. La Ley de Telecomunicaciones y Tecnologías de la Información permite multas de hasta SAR 25 millones, además del cese del servicio, la inhabilitación para licencias o el bloqueo de plataformas. La PDPL permite hasta SAR 5 millones por infracciones generales, que se duplican en caso de reincidencia, y hasta SAR 3 millones con dos años de prisión por infracciones relativas a datos sensibles. No atribuya a la PDPL una cifra de la Ley de Telecomunicaciones.

Lecturas relacionadas

Este artículo tiene fines informativos generales y no constituye asesoramiento legal. El documento RC05 de la CST, el instrumento facultado para contener controles sobre el marketing de telecomunicaciones, no pudo obtenerse en el momento de redactar este artículo. Confirme los requisitos vigentes con la CST, la SDAIA y un asesor legal local cualificado.

Cumplimiento de llamadas salientes en Arabia Saudita: CST (2026)