Conformité des appels sortants en Arabie saoudite : CST (2026)

L’Arabie saoudite est le marché du Golfe dont les règles relatives aux exportations sont le plus souvent mal interprétées. Ce guide ne reprend que les termes de la loi, de ses règlements et du PDPL, et signale les éventuelles lacunes.

Aperçu de la conformité des exportations saoudiennes

Qui réglemente les appels sortants en Arabie saoudite ?

La CST réglemente le secteur des télécommunications et des technologies de l'information. Anciennement appelée Commission des communications et des technologies de l'information, elle a été renommée CST le 10 novembre 2022 par décret ministériel n° 235. De nombreux opérateurs utilisent encore l'appellation CITC ; son nom actuel est CST.

L'article 79(1)(f) du Règlement d'application habilite la CST à édicter des règles de protection des droits des utilisateurs, notamment en matière de contrôle du marketing des télécommunications. Ces règles ont été publiées sous la référence RC05, décision 552/1445 du 08-02-2024, dont le texte n'était pas disponible au moment de la rédaction. Le document RC05 est le plus susceptible de contenir toute réglementation saoudienne relative aux heures d'appel, à l'obligation de ne pas appeler ou aux numéros de démarchage téléphonique ; il convient donc de le demander à la CST et de ne pas présumer de son contenu. L'autorité de protection des données est la SDAIA, et la réglementation relative à l'article 42 PDPL a été publiée en concertation avec la CST.

Consentement et possibilité de retrait

L’article 25 PDPL constitue la règle applicable : un responsable du traitement ne peut utiliser les moyens de communication personnels d’une personne concernée pour lui envoyer des publicités ou des messages de sensibilisation sans son consentement préalable et sans mécanisme clair lui permettant de s’y opposer. L’article 26 précise que les données personnelles ne peuvent être traitées à des fins de marketing que si elles ont été collectées directement auprès de la personne concernée avec son consentement. Les données sensibles ne peuvent en aucun cas être traitées à des fins de marketing.

Le règlement d'exécution précise les modalités du consentement. L'article 11 stipule que le consentement peut être écrit, verbal ou électronique, qu'il doit être donné librement et spécifiquement pour un objectif précis, et qu'il doit être documenté de manière à pouvoir être vérifié ultérieurement, un consentement distinct étant requis pour chaque objectif. L'article 28 exige le consentement en l'absence d'interaction préalable, ainsi qu'une preuve matérielle de celui-ci. L'article 29 impose un mécanisme d'arrêt aussi simple que la procédure utilisée pour obtenir le consentement, et l'article 12 prévoit la possibilité de retirer son consentement à tout moment.

La législation saoudienne ne prévoit aucune durée de validité maximale ni d'expiration pour le consentement au marketing. La loi sur la protection des données personnelles PDPL, son règlement d'application, le règlement sur les transferts, la réglementation anti-spam et la loi ont tous été examinés, et aucun ne fixe de délai.

Ne pas appeler

Aucun registre national d'opposition au démarchage téléphonique ne figure dans les documents saoudiens publiés. Il s'agit d'une absence de preuve plutôt que d'une absence avérée : le document RC05, seul instrument habilité à encadrer le démarchage, était illisible.

Il est désormais établi que l'expéditeur peut se désinscrire. L'article 25, paragraphe 2, de la loi sur la protection des données PDPL et les articles 28 et 29 de son règlement d'application imposent à chaque expéditeur de mettre en place un mécanisme d'arrêt simple et gratuit et de cesser immédiatement l'envoi sur demande. Les opérateurs doivent proposer séparément un blocage gratuit des messages au niveau du réseau, et le destinataire peut déposer une plainte auprès de l'autorité de régulation dans les trente jours suivant la réception de spams.

Heures et jours d'appel

Il n'existe aucune réglementation publiée concernant les heures autorisées pour le télémarketing vocal sortant. La loi, ses deux versions de règlements d'application, le règlement anti-pourriel et le registre des règlements CST ont tous été consultés.

La règle généralement citée comme « fenêtre d'appel saoudienne » relève d'un autre domaine. La réglementation anti-spam interdit l'envoi de messages électroniques entre 22h00 et 7h00 sans le consentement du destinataire, et ce même texte définit un message électronique de manière à exclure les appels vocaux. Le couvre-feu concerne la messagerie, et non les appels. Il mentionne des horaires sans préciser de fuseau horaire ; l'Arabie saoudite applique un seul fuseau horaire (UTC+03:00) sans changement d'heure, ce qui est un fait général et non une citation. Aucune réglementation concernant les week-ends ou les jours fériés n'a été trouvée.

Affichage du numéro et de l'identification de l'appelant

L'article 55.9 du règlement d'application de la loi sur les télécommunications est ce qui se rapproche le plus d'une réglementation sur les scripts de télémarketing en Arabie saoudite. Le fournisseur de services doit indiquer dès le début de l'appel son identité et l'objet de celui-ci, et pendant l'appel, le prix total de tout produit ou service présenté ainsi que le droit absolu de la personne contactée d'annuler un achat ou une location dans un délai de 72 heures, en appelant un numéro spécifique communiqué lors de l'appel. L'article 55.10 autorise la CST à interdire ou à réglementer purement et simplement l'utilisation d'un réseau à des fins de télémarketing.

L’article 28, paragraphe 3, point a, du règlement d’application exige que le nom de l’expéditeur soit clairement mentionné sans dissimulation de son identité, et l’article 29, paragraphe 2, impose la même exigence pour les communications de marketing direct. La responsabilité de la lutte contre l’usurpation d’identité incombe aux opérateurs et non aux annonceurs. Non publiés: l’obligation pour les appels marketing d’être effectués depuis une plage de numéros dédiée ou enregistrée, la réglementation relative à l’affichage masqué ou anonyme CLI, et le régime d’identification de l’expéditeur enregistré pour SMS marketing.

Enregistrement des appels et notifications

L’Arabie saoudite part d’une interdiction, et non d’une autorisation. L’article 32 de la loi stipule que les appels et les informations transmises via les réseaux de télécommunications publics sont confidentiels et ne peuvent être ni consultés, ni écoutés, ni enregistrés, sauf dans les cas prévus par la réglementation. L’article 58(3) du règlement d’application précise que les fournisseurs ne peuvent collecter, traiter ni divulguer les communications d’un utilisateur sans son consentement, sauf dans les limites autorisées par la loi.

Un enregistrement constitue également une donnée personnelle, puisque la définition de publication de la loi sur la publication de données PDPL inclut expressément les enregistrements audio. Ne sont pas publiés : les obligations d’enregistrement, les durées minimales de conservation et les modèles de notification d’enregistrement prescrits.

Règles de messagerie pour SMS et WhatsApp

La messagerie est soumise à des règles plus strictes. La réglementation anti-spam autorise l'envoi de messages après consentement préalable ou en cas de relation commerciale antérieure, comme un achat auprès de l'expéditeur. Chaque message doit comporter l'adresse électronique, le nom et l'objet de l'expéditeur afin que le destinataire puisse se désabonner facilement et gratuitement. Ces informations de contact doivent rester valides pendant au moins trente jours. L'envoi doit cesser dans les 48 heures suivant une demande de désabonnement, une confirmation doit être envoyée et les enregistrements sont conservés pendant six mois. L'interdiction d'envoi entre 22h00 et 7h00 s'applique.

Protection et conservation des données

Le PDPL a été promulgué par décret royal M/19 et modifié par M/148. Son article 43 prévoit une entrée en vigueur 720 jours après sa publication au Journal officiel. Selon DLA Piper, cela correspond à une entrée en vigueur le 14 septembre 2023, la plupart des entités ayant jusqu'au 14 septembre 2024 pour s'y conformer.

Les transferts transfrontaliers sont soumis au Règlement relatif aux transferts de données à caractère personnel hors du Royaume, version 2.0 d'août 2024. Ce règlement prévoit des garanties appropriées, des clauses contractuelles types établies par l'autorité compétente et des règles communes contraignantes pour les groupes. Si votre système d'appel, d'enregistrement ou de gestion de la CRM est hébergé hors du Royaume, c'est ce règlement qui constitue le document de référence.

La PDPL ne fixe aucune durée de conservation pour les données marketing ; les seules contraintes sont la limitation de leur finalité et le droit à leur destruction. Deux obligations légales s’appliquent : la conservation des enregistrements anti-spam pendant six mois après une demande de désabonnement et la conservation des factures des utilisateurs pendant six mois à compter de leur émission, conformément à l’article 55.4 des statuts.

Sanctions et application

Deux procédures distinctes qui ne doivent pas être confondues. En vertu de la loi sur les télécommunications et les technologies de l'information, l'article 27(1) prévoit une ou plusieurs sanctions : une amende n'excédant pas 25 millions de riyals saoudiens, l'arrêt total ou partiel du service, l'interdiction pour le contrevenant d'obtenir ou de renouveler une licence, et le blocage d'une plateforme de contenu numérique. Les sanctions doivent être proportionnées et le contrevenant doit restituer le produit de l'amende. Les infractions liées à la lutte contre le spam relèvent de ce régime et ne font pas l'objet d'une tarification spécifique.

En vertu de la PDPL, l'article 36 prévoit un avertissement ou une amende n'excédant pas 5 millions de riyals saoudiens, doublée en cas de récidive jusqu'à deux fois ce montant. L'article 35 prévoit une peine d'emprisonnement pouvant aller jusqu'à deux ans ou une amende n'excédant pas 3 millions de riyals saoudiens, ou les deux, pour la divulgation ou la publication intentionnelle de données sensibles dans le but de nuire à la personne concernée ou d'en tirer un avantage. Ces deux dispositions s'appliquent par infraction, avec un coefficient multiplicateur en cas de récidive ; aucune pénalité journalière n'est prévue et aucun barème d'amendes par type d'infraction n'a été trouvé.

Qu’est-ce qui a changé en 2025 et 2026 ?

Les instruments concernés datent de 2024 et restent valides à la date de leur dernière mise à jour (février 2026) : les décisions CST 515/1445 relatives aux SMS et 552/1445 relatives à la protection des droits des utilisateurs, toutes deux du 8 février 2024, ainsi que le règlement de transfert de la SDAIA, version 2.0, d’août 2024. Selon DLA Piper, la PDPL est activement appliquée par la SDAIA depuis février 2026. Aucune règle ou consultation CST de 2025 ou 2026 portant spécifiquement sur les appels promotionnels, les préfixes de numéros marketing ou un registre d’opposition au démarchage téléphonique n’a été trouvée.

Comment DialerBee prend en charge chaque règle

DialerBee inclut un pack de juridiction CITC pour l'Arabie saoudite. Ainsi, les règles configurées pour le Royaume s'appliquent à tous les appels passés depuis ce pack. Le système Compliance Autopilot vérifie systématiquement chaque tentative d'appel par rapport à la liste DNC, aux heures d'appel autorisées dans la juridiction concernée, à l'enregistrement du consentement, au propriétaire de l'identifiant de l'appelant, à la limite de fréquence et au format du téléphone avant l'établissement de l'appel. L'Arabie saoudite ne publiant aucune plage horaire pour les appels vocaux, celle que vous définissez constitue votre propre politique. Son application sur la plateforme garantit qu'elle sera identique pour chaque campagne, avec un historique des règles en vigueur.

Le consentement est enregistré pour chaque contact, avec sa source, son horodatage et le canal utilisé, conformément à l'article 11 du règlement d'exécution. La suppression des appels est conservée d'une campagne à l'autre. Le contrôle du numéro d'appel affiché par chaque campagne est géré par un système d'identification de l'appelant. L'enregistrement est soumis à une durée de conservation configurable par campagne et par client, ainsi qu'à une obligation de conservation légale, essentielle lorsque l'enregistrement est interdit sauf justification. Les scripts sont disponibles en 11 langues, dont l'arabe, afin que la divulgation de l'identité et le préavis de rétractation de 72 heures parviennent au destinataire dans sa propre langue. Ces contrôles facilitent la conformité et vous aident à respecter vos obligations ; ils ne remplacent pas un examen juridique.

Liste de contrôle de conformité pour les exportations saoudiennes

• Demandez directement le document RC05 de CST et lisez-le avant de rédiger la politique d'appel interne.
• Recueillez le consentement marketing directement auprès de la personne concernée, jamais à partir d'une liste achetée, et consignez sa date et ses modalités avec un consentement distinct pour chaque finalité.
• Mettez en place le mécanisme de retrait avant de demander le consentement, faites en sorte que l'arrêt soit aussi simple que de s'inscrire, et interrompez-le gratuitement sur demande.
• Débutez chaque appel en indiquant le destinataire et le but de l'appel.
• Indiquez le prix total lors de l'appel et mentionnez le droit de rétractation de 72 heures ainsi que le numéro permettant de l'exercer.
• Limitez vos appels sortants à une plage horaire diurne raisonnable que vous avez confirmée avec le CST.
• Diffusez vos messages marketing en dehors de la plage horaire 22h00-7h00 et conservez les coordonnées de l'expéditeur actives pendant trente jours.
• Documentez une base légale avant d'enregistrer tout appel et consignez chaque transfert à l'étranger conformément au Règlement sur les transferts d'août 2024.
• Conservez les enregistrements de consentement et de désabonnement anti-spam pendant six mois après la demande.
• Attribuer les amendes à la loi appropriée : 25 millions de SAR correspondent à la loi sur les télécommunications, 5 millions de SAR à la PDPL.

Sources

1. Loi sur les télécommunications et les technologies de l'information, Décret royal M/106 du 02/11/1443H (CST, archivé). web.archive.org
2. Règlements d'application de la loi sur les télécommunications, décision n° 11 du 17/05/1423H telle que modifiée, article 55.9 (CST, archivé). web.archive.org
3. Règlement relatif à la réduction du SPAM (CITC, archivé). web.archive.org
4. Inscription au registre CST, RC05 Règlement relatif aux règles de protection des droits des utilisateurs, décision 552/1445, 08-02-2024. web.archive.org
5. Loi sur la protection des données personnelles, Décret royal M/19 tel que modifié par M/148 (SDAIA). sdaia.gov.sa
6. Règlement d’application du PDPL (SDAIA). sdaia.gov.sa
7. Règlement relatif au transfert de données personnelles hors du Royaume, version 2.0, août 2024 (SDAIA). sdaia.gov.sa
8. DLA Piper, Lois sur la protection des données dans le monde, Arabie saoudite, consulté le 11 septembre 2026 (source secondaire pour les dates grégoriennes et la posture d'application). dlapiperdataprotection.com

Foire aux questions

Qui réglemente les appels sortants en Arabie saoudite ?

La Commission des communications, de l'espace et des technologies (CST), anciennement CITC, a été renommée le 10 novembre 2022. Les données personnelles sont supervisées séparément par la SDAIA en vertu de la loi sur la protection des données personnelles, et les deux régimes s'entremêlent : la loi sur la protection des données personnelles PDPL publie ses règlements après coordination avec la CST.

Quelles sont les heures d'appel autorisées en Arabie saoudite ?

Aucune réglementation concernant les heures autorisées pour les appels vocaux sortants n'est publiée. L'interdiction de 22h00 à 7h00, généralement citée comme plage horaire d'appel en Arabie saoudite, découle de la réglementation anti-spam, qui définit un message électronique de manière à exclure les appels vocaux. Il est recommandé d'établir une plage horaire diurne prudente et de la confirmer auprès du service CST.

Ai-je besoin d'un consentement pour effectuer des appels de prospection en Arabie saoudite ?

Oui. L'article 25 PDPL interdit l'utilisation des moyens de communication personnels d'une personne pour l'envoi de publicités sans son consentement préalable et exige un mécanisme d'arrêt clair. L'article 26 autorise le traitement à des fins de marketing uniquement lorsque les données ont été collectées directement auprès de la personne concernée avec son consentement.

L’Arabie saoudite dispose-t-elle d’un registre national « Ne pas appeler » ?

Aucun registre national ne figure dans les instruments publiés, mais il s'agit d'une absence de preuve plutôt que d'une absence avérée, car le document CST RC05 était illisible. Ce qui est établi, c'est une obligation à la charge de l'expéditeur : un mécanisme d'arrêt simple et gratuit, l'envoi étant immédiatement interrompu sur demande, ainsi qu'un blocage des messages par l'opérateur.

L'enregistrement des appels est-il autorisé en Arabie saoudite ?

L'enregistrement commence par une interdiction. L'article 32 de la loi rend confidentielles les communications sur les réseaux publics et interdit leur enregistrement, sauf dans les cas prévus par la réglementation. De plus, un enregistrement est considéré comme une donnée personnelle au sens de la loi sur la protection des données personnelles PDPL. Il est impératif de documenter une base légale avant tout enregistrement ; aucune durée de conservation n'est publiée.

Quelle est la règle des 72 heures en matière de télémarketing en Arabie saoudite ?

L’article 55.9(d) du Règlement sur les télécommunications exige que l’appelant informe le destinataire de son droit absolu d’annuler tout achat ou location de service dans un délai de 72 heures, en composant un numéro spécifique communiqué lors de l’appel. Ce même article exige également que l’appelant identifie le destinataire de l’appel, en précise l’objet et indique le prix total.

Quelles sont les amendes applicables en Arabie saoudite ?

Ces sanctions proviennent de deux textes législatifs distincts. La loi sur les télécommunications et les technologies de l'information prévoit une amende pouvant atteindre 25 millions de riyals saoudiens, assortie d'une interruption de service, d'une interdiction d'exploitation ou d'un blocage de plateforme. La loi sur la protection des données personnelles PDPL prévoit une amende pouvant atteindre 5 millions de riyals saoudiens pour les infractions courantes, doublée en cas de récidive, et une amende pouvant atteindre 3 millions de riyals saoudiens, assortie d'une peine d'emprisonnement de deux ans, pour les infractions relatives aux données sensibles. Il convient de ne pas appliquer les montants prévus par la loi sur les télécommunications à la PDPL.

Lectures complémentaires

• Aperçu du numéroteur sortant pour l'Arabie saoudite
• Conformité automatique
• Contrôle du pool d'identification de l'appelant
• Guide de conformité MENA

Cet article est fourni à titre informatif et ne constitue pas un avis juridique. Le document RC05 du CST, instrument habilité à mettre en œuvre des contrôles en matière de marketing des télécommunications, n'était pas disponible au moment de la rédaction. Veuillez vérifier les exigences en vigueur auprès du CST, de la SDAIA et d'un avocat local qualifié.