Conformité des appels sortants en Arabie saoudite : CST (2026)

L'Arabie saoudite est le marché du Golfe dont les règles d'appels sortants sont le plus souvent mal citées. Ce guide n'énonce que ce que disent réellement la loi, ses règlements et la PDPL, et signale les lacunes comme telles.

La conformité des appels sortants en Arabie saoudite en un coup d'œil

Qui régule les appels sortants en Arabie saoudite

La CST régule le secteur des télécommunications et des technologies de l'information. Elle a remplacé la Communications and Information Technology Commission le 10 novembre 2022, en vertu de la décision n° 235 du Conseil des ministres. Beaucoup d'opérateurs parlent encore de CITC ; le nom actuel est CST.

L'article 79(1)(f) des règlements d'application habilite la CST à édicter des règles de protection des droits des utilisateurs incluant des contrôles du marketing par télécommunications. Elles ont été publiées sous la référence RC05, décision 552/1445 du 08-02-2024, dont le texte n'a pas pu être obtenu au moment de la rédaction. Le RC05 est le texte le plus susceptible de contenir une éventuelle règle saoudienne sur les horaires d'appel, une obligation de liste d'opposition ou une règle sur les numéros marketing : demandez-le à la CST et ne présumez pas de son contenu. La SDAIA est l'autorité de protection des données, et les règlements de l'article 42 de la PDPL sont publiés après coordination avec la CST.

Consentement et opposition (opt-out)

L'article 25 de la PDPL est la règle opérante : un responsable du traitement ne peut pas utiliser les moyens de communication personnels d'une personne concernée pour lui envoyer des contenus publicitaires ou de sensibilisation sans consentement préalable et sans mécanisme clair lui permettant de ne plus les recevoir. L'article 26 ajoute que les données personnelles ne peuvent être traitées à des fins marketing que si elles ont été collectées directement auprès de la personne concernée, avec son consentement. Les données sensibles ne peuvent jamais être traitées à des fins marketing.

Le règlement d'application précise la forme du consentement. Article 11 : le consentement peut être écrit, verbal ou électronique, doit être libre et spécifique à une finalité, et doit être documenté pour pouvoir être vérifié ultérieurement, avec un consentement distinct par finalité. L'article 28 exige un consentement en l'absence d'interaction préalable, ainsi qu'une preuve matérielle de celui-ci. L'article 29 impose un mécanisme d'arrêt aussi simple que le processus utilisé pour obtenir le consentement, et l'article 12 permet de le retirer à tout moment.

Le droit saoudien ne fixe aucune durée maximale de validité ni d'expiration du consentement marketing. La PDPL, son règlement d'application, le règlement sur les transferts, le règlement anti-spam et la loi ont tous été examinés, et aucun ne fixe de durée.

Liste d'opposition (Do Not Call)

Aucun registre national d'opposition (Do Not Call) n'apparaît dans les textes saoudiens publiés. Il s'agit d'une absence de preuve, et non d'une preuve d'absence : le RC05, seul texte habilité à porter des contrôles marketing, n'a pas pu être consulté.

Ce qui est établi, c'est une opposition auprès de l'expéditeur. L'article 25(2) de la PDPL et les articles 28 et 29 du règlement d'application imposent à chaque expéditeur de proposer un mécanisme d'arrêt gratuit et simple, et de cesser immédiatement les envois sur demande. Les opérateurs doivent par ailleurs proposer un blocage gratuit des messages au niveau du réseau, et un destinataire peut porter plainte auprès du régulateur dans les trente jours suivant la réception d'un spam.

Horaires et jours d'appel autorisés

Il n'existe aucune règle publiée sur les horaires autorisés pour le télémarketing vocal sortant. La loi, les deux générations de ses règlements d'application, le règlement anti-spam et le registre des règlements de la CST ont tous été passés en revue.

La règle généralement présentée comme la plage d'appel saoudienne relève d'un autre canal. Le règlement anti-spam interdit l'envoi de messages électroniques de 22:00 à 07:00 sans le consentement du destinataire à les recevoir à ces heures, et ce même texte définit le message électronique de façon à exclure les appels vocaux. Ce couvre-feu s'applique à la messagerie, pas aux appels. Il indique des heures sans préciser de fuseau horaire ; l'Arabie saoudite applique un fuseau unique UTC+03:00 sans heure d'été, ce qui est un fait général et non une citation. Aucune règle sur les week-ends ou les jours fériés n'a été trouvée.

Identification de l'appelant (CLI) et présentation du numéro

L'article 55.9 du règlement (Bylaws) de la loi sur les télécommunications est ce qui se rapproche le plus, en Arabie saoudite, d'une règle sur les scripts de télémarketing. Le prestataire doit indiquer en début d'appel l'identité du fournisseur pour le compte duquel l'appel est passé et l'objet de l'appel, puis, pendant l'appel, le prix total de tout produit ou service évoqué et le droit absolu de la personne contactée d'annuler un achat ou une location dans les 72 heures, en appelant un numéro précis communiqué pendant l'appel. L'article 55.10 permet à la CST d'interdire purement et simplement ou de réglementer l'utilisation d'un réseau pour le télémarketing.

L'article 28(3)(a) du règlement d'application exige que le nom de l'expéditeur soit clairement mentionné, sans dissimuler son identité, et l'article 29(2) exige de même pour les contenus de marketing direct. Les obligations anti-usurpation (anti-spoofing) pèsent sur les opérateurs, pas sur les annonceurs. Non publiés : toute exigence imposant que les appels marketing proviennent d'une plage de numéros dédiée ou enregistrée, toute règle sur le CLI masqué ou anonyme, et tout régime d'identifiant d'expéditeur enregistré pour les SMS marketing.

Enregistrement des appels et notifications

L'Arabie saoudite part d'une interdiction, pas d'une autorisation. Article trente-deux de la loi : les appels et informations transmis sur les réseaux publics de télécommunications sont confidentiels et ne peuvent être consultés, écoutés ou enregistrés que dans les cas prévus par les règlements. L'article 58(3) des règlements d'application ajoute que les fournisseurs ne peuvent collecter, traiter ou divulguer les communications d'un utilisateur sans son consentement, sauf dans les cas permis par la loi.

Un enregistrement est aussi une donnée personnelle, puisque la définition de la publication dans la PDPL couvre expressément l'audio. Non publiés : toute obligation d'enregistrement, toute durée minimale de conservation et tout script obligatoire d'annonce d'enregistrement.

Règles de messagerie pour les SMS et WhatsApp

C'est la messagerie qui est soumise aux règles publiées les plus strictes. Le règlement anti-spam autorise l'envoi après consentement préalable, ou en cas de relation préexistante, comme un achat auprès de l'expéditeur. Chaque message doit comporter l'adresse électronique, le nom et l'objet de l'expéditeur pour que le destinataire puisse se désabonner gratuitement et facilement, et ces coordonnées doivent rester utilisables pendant au moins trente jours. Les envois doivent cesser dans les 48 heures suivant une demande de désabonnement, une confirmation doit suivre, et les traces sont conservées six mois après. L'interdiction de 22:00 à 07:00 s'applique ici.

Protection et conservation des données

La PDPL a été promulguée par le décret royal M/19 et modifiée par M/148. Son article 43 prévoit son entrée en vigueur 720 jours après sa publication au Journal officiel. Selon DLA Piper, cela correspond à une entrée en vigueur le 14 septembre 2023, avec une date limite de mise en conformité au 14 septembre 2024 pour la plupart des entités.

Les transferts transfrontaliers relèvent du règlement sur le transfert des données personnelles hors du Royaume, version 2.0 d'août 2024. Il admet des garanties appropriées, des clauses contractuelles types publiées sous forme standard par l'autorité compétente, et des règles communes contraignantes pour les groupes. Si votre numéroteur, vos enregistrements ou votre CRM sont hébergés hors du Royaume, c'est le texte sur lequel fonder votre documentation contractuelle.

La PDPL ne fixe aucune durée de conservation pour les données marketing ; les contraintes sont la limitation des finalités et le droit à l'effacement. Deux chiffres précis existent à proximité : les traces anti-spam conservées six mois après une demande de désabonnement, et l'article 55.4 du règlement (Bylaws) qui impose de conserver les factures des utilisateurs six mois après leur émission.

Sanctions et contrôle

Deux régimes distincts, à ne pas confondre. Au titre de la loi sur les télécommunications et les technologies de l'information, l'article vingt-sept (1) permet une ou plusieurs des sanctions suivantes : une amende d'au plus 25 millions SAR, la cessation totale ou partielle du service, l'interdiction pour le contrevenant d'obtenir ou de renouveler une licence, et le blocage d'une plateforme de contenu numérique. Les sanctions doivent être proportionnées et le contrevenant doit restituer les gains obtenus. Les infractions anti-spam relèvent de ce régime au lieu d'avoir leur propre barème.

Au titre de la PDPL, l'article 36 prévoit un avertissement ou une amende d'au plus 5 millions SAR, doublée en cas de récidive jusqu'à deux fois ce plafond. L'article 35 prévoit jusqu'à deux ans d'emprisonnement ou une amende d'au plus 3 millions SAR, ou les deux, pour la divulgation ou la publication intentionnelle de données sensibles visant à nuire à la personne concernée ou à en tirer un avantage. Les deux textes s'appliquent par infraction avec un multiplicateur en cas de récidive, aucun ne prévoit d'accumulation journalière, et aucun barème d'amendes publié par type d'infraction n'a été trouvé.

Ce qui a changé en 2025 et 2026

Les textes qui ont évolué datent de 2024 et restent en vigueur selon la dernière consultation, en février 2026 : les décisions CST 515/1445 sur les SMS et 552/1445 sur la protection des droits des utilisateurs, toutes deux du 08-02-2024, et le règlement sur les transferts de la SDAIA, version 2.0 d'août 2024. Selon DLA Piper, en février 2026, la PDPL fait l'objet d'une application active par la SDAIA. Aucune règle ni consultation de la CST de 2025 ou 2026 portant spécifiquement sur les appels promotionnels, les préfixes de numéros marketing ou un registre d'opposition n'a été trouvée.

Comment DialerBee accompagne chaque règle

DialerBee fournit un pack de juridiction KSA CST : les règles configurées pour le Royaume s'appliquent à chaque appel passé sous ce pack. Compliance Autopilot vérifie chaque tentative au regard de la liste DNC, de la plage d'appel de sa juridiction, de la preuve de consentement, de la propriété du numéro affiché, de la limite de fréquence et du format du numéro avant que l'appel ne soit passé. Comme l'Arabie saoudite ne publie aucune plage d'appel pour la voix, la plage que vous définissez relève de votre propre politique ; l'appliquer dans la plateforme garantit la même plage sur chaque campagne, avec une trace de ce qui était en vigueur.

Le consentement est suivi par contact avec sa source, son horodatage et son canal, ce que demande l'article 11 du règlement d'application, et la suppression s'applique à toutes les campagnes. Le contrôle des pools de numéros affichés détermine le numéro présenté par chaque campagne. L'enregistrement dispose d'une durée de conservation configurable par campagne et par tenant, ainsi que d'une conservation à des fins juridiques (legal hold), ce qui compte là où l'enregistrement est interdit sauf fondement établi. Les scripts fonctionnent en 11 langues, dont l'arabe, afin que l'annonce d'identité et l'information sur le droit d'annulation de 72 heures parviennent au destinataire dans sa langue. Ce sont des contrôles qui contribuent à la conformité et vous aident à respecter vos obligations ; ils ne remplacent pas une analyse juridique.

Checklist de conformité des appels sortants en Arabie saoudite

• Demandez directement le document RC05 à la CST et lisez-le avant de rédiger votre politique d'appel interne.
• Recueillez le consentement marketing directement auprès de la personne concernée, jamais via une liste achetée, et consignez la date et le moyen de recueil, avec un consentement distinct par finalité.
• Mettez en place le mécanisme de retrait avant de demander le consentement, rendez l'arrêt aussi simple que l'inscription, et cessez gratuitement sur demande.
• Ouvrez chaque appel en nommant l'entité pour le compte de laquelle il est passé et son objet.
• Indiquez le prix total pendant l'appel, et mentionnez le droit d'annulation de 72 heures ainsi que le numéro pour l'exercer.
• Limitez les appels vocaux sortants à une plage de journée prudente que vous avez confirmée auprès de la CST.
• N'envoyez pas de messages marketing entre 22:00 et 07:00 et gardez les coordonnées de l'expéditeur actives pendant trente jours.
• Documentez une base légale avant d'enregistrer tout appel, et encadrez contractuellement chaque transfert à l'étranger au regard du règlement sur les transferts d'août 2024.
• Conservez les traces de consentement et de désabonnement anti-spam pendant six mois après la demande.
• Rattachez les amendes au bon texte : 25 millions SAR relèvent de la loi sur les télécommunications, 5 millions SAR de la PDPL.

Sources

1. Loi sur les télécommunications et les technologies de l'information, décret royal M/106 du 02/11/1443H (CST, archivé). web.archive.org
2. Règlement (Bylaws) de la loi sur les télécommunications, décision n° 11 du 17/05/1423H telle que modifiée, article 55.9 (CST, archivé). web.archive.org
3. Règlement sur la réduction du SPAM (CITC, archivé). web.archive.org
4. Entrée du registre CST, RC05 Regulations of User Rights Protection Rules, décision 552/1445, 08-02-2024. web.archive.org
5. Loi sur la protection des données personnelles, décret royal M/19 modifié par M/148 (SDAIA). sdaia.gov.sa
6. Règlement d'application de la PDPL (SDAIA). sdaia.gov.sa
7. Règlement sur le transfert des données personnelles hors du Royaume, version 2.0, août 2024 (SDAIA). sdaia.gov.sa
8. DLA Piper, Data Protection Laws of the World, Arabie saoudite, consulté le 11 septembre 2026 (source secondaire pour les dates grégoriennes et l'état de l'application). dlapiperdataprotection.com

Questions fréquentes

Qui régule les appels sortants en Arabie saoudite ?

La Communications, Space & Technology Commission (CST), qui a remplacé la CITC le 10 novembre 2022. Les données personnelles relèvent séparément de la SDAIA en vertu de la loi sur la protection des données personnelles, et les deux régimes s'imbriquent : les règlements de la PDPL sont publiés après coordination avec la CST.

Quelles sont les heures d'appel autorisées en Arabie saoudite ?

Aucune règle publiée ne fixe d'horaires autorisés pour les appels vocaux sortants. L'interdiction de 22:00 à 07:00, souvent présentée comme la plage d'appel saoudienne, provient du règlement anti-spam, qui définit le message électronique de façon à exclure les appels vocaux. Fixez une plage de journée prudente comme politique interne et confirmez-la auprès de la CST.

Faut-il un consentement pour passer des appels marketing en Arabie saoudite ?

Oui. L'article 25 de la PDPL interdit d'utiliser les moyens de communication personnels d'une personne pour lui envoyer des contenus publicitaires sans consentement préalable, et exige un mécanisme d'arrêt clair. L'article 26 n'autorise le traitement à des fins marketing que si les données ont été collectées directement auprès de la personne concernée, avec son consentement.

L'Arabie saoudite a-t-elle un registre national d'opposition au démarchage (Do Not Call) ?

Aucun registre national n'apparaît dans les textes publiés, mais il s'agit d'une absence de preuve et non d'une preuve d'absence, car le document RC05 de la CST n'a pas pu être consulté. Ce qui est établi, c'est une obligation côté expéditeur : un mécanisme d'arrêt gratuit et simple, l'arrêt immédiat des envois sur demande, plus un blocage des messages par l'opérateur.

L'enregistrement des appels est-il autorisé en Arabie saoudite ?

L'enregistrement part d'une interdiction. L'article trente-deux de la loi rend confidentiels les appels sur les réseaux publics et interdit de les enregistrer, sauf dans les cas prévus par les règlements ; un enregistrement est en outre une donnée personnelle au sens de la PDPL. Documentez une base légale avant d'enregistrer ; aucune durée de conservation n'est publiée.

Qu'est-ce que la règle des 72 heures du télémarketing en Arabie saoudite ?

L'article 55.9(d) du règlement (Bylaws) de la loi sur les télécommunications impose à l'appelant d'indiquer pendant l'appel le droit absolu de la personne contactée d'annuler l'achat ou la location de tout service dans les 72 heures, en appelant un numéro précis communiqué pendant l'appel. Le même article impose d'identifier l'entité pour le compte de laquelle l'appel est passé, d'en indiquer l'objet et de donner le prix total.

Quelles amendes s'appliquent en Arabie saoudite ?

Elles proviennent de deux textes différents. La loi sur les télécommunications et les technologies de l'information prévoit jusqu'à 25 millions SAR, plus la cessation du service, l'interdiction de licence ou le blocage de plateforme. La PDPL prévoit jusqu'à 5 millions SAR pour les infractions générales, doublés en cas de récidive, et jusqu'à 3 millions SAR avec deux ans d'emprisonnement pour les infractions portant sur des données sensibles. N'attribuez pas un montant de la loi sur les télécommunications à la PDPL.

À lire aussi

• Présentation du numéroteur sortant pour l'Arabie saoudite
• Compliance Autopilot
• Gestion du pool de numéros présentés (caller ID)
• Guide de conformité MENA

Cet article est fourni à titre d'information générale et ne constitue pas un avis juridique. Le document RC05 de la CST, texte habilité à porter les contrôles du marketing par télécommunications, n'a pas pu être obtenu au moment de la rédaction. Vérifiez les exigences en vigueur auprès de la CST, de la SDAIA et d'un conseil juridique local qualifié.