Conformità delle chiamate in uscita in Arabia Saudita: CST (2026)

L'Arabia Saudita è il mercato del Golfo le cui normative sulle esportazioni sono più spesso citate in modo errato. Questa guida riporta solo quanto effettivamente stabilito dalla legge, dai relativi regolamenti e dal PDPL, segnalando le lacune come tali.

Conformità normativa per i trasferimenti di denaro in uscita dall'Arabia Saudita in sintesi

Chi regola le chiamate in uscita in Arabia Saudita?

La CST regola il settore delle telecomunicazioni e dell'informatica. È stata rinominata da Commissione per le comunicazioni e le tecnologie dell'informazione il 10 novembre 2022 con decreto del Consiglio dei Ministri n. 235. Molti operatori utilizzano ancora CITC; il nome attuale è CST.

L'articolo 79(1)(f) del Regolamento di attuazione autorizza la CST a emanare norme a tutela dei diritti degli utenti che includono controlli sul marketing delle telecomunicazioni. Tali norme sono state emanate come documento RC05, decisione 552/1445 dell'08-02-2024, il cui testo non è stato possibile reperire al momento della stesura del presente documento. Il documento RC05 è probabilmente la fonte di riferimento per qualsiasi norma saudita relativa agli orari di chiamata, al divieto di chiamate indesiderate o alle norme sui numeri di marketing, pertanto si consiglia di richiederlo alla CST e di non presumerne il contenuto. L'autorità di controllo per la protezione dei dati è la SDAIA, e l'articolo 42 della Legge sulla protezione dei dati personali PDPL prevede l'emanazione di regolamenti previo coordinamento con la CST.

Consenso e possibilità di rifiuto

L'articolo 25 del Regolamento generale sulla protezione dei dati PDPL stabilisce la norma operativa: il titolare del trattamento non può utilizzare i mezzi di comunicazione personali dell'interessato per inviare materiale pubblicitario o di sensibilizzazione senza il suo previo consenso e senza un meccanismo chiaro che consenta al destinatario di interromperne la ricezione. L'articolo 26 aggiunge che i dati personali possono essere trattati per finalità di marketing solo se raccolti direttamente dall'interessato con il suo consenso. I dati sensibili non possono mai essere trattati per finalità di marketing.

Il regolamento di attuazione definisce le modalità di erogazione del consenso. L'articolo 11 stabilisce che il consenso può essere scritto, verbale o elettronico, deve essere liberamente espresso e specifico per lo scopo prefissato, e deve essere documentato in modo da poter essere verificato in seguito, con un consenso separato per ogni finalità. L'articolo 28 richiede il consenso anche in assenza di interazione precedente e la presenza di prove materiali di tale interazione. L'articolo 29 prevede un meccanismo di interruzione semplice quanto la procedura utilizzata per ottenere il consenso, e l'articolo 12 rende possibile la revoca in qualsiasi momento.

Nella legislazione saudita non esiste un periodo massimo di validità o di scadenza per il consenso al marketing. Sono stati esaminati il PDPL Personal Data Protection Law, il relativo regolamento di attuazione, il regolamento sui trasferimenti di dati, il regolamento anti-spam e la legge, e nessuno di questi stabilisce una scadenza.

Non chiamare

Nei documenti ufficiali sauditi pubblicati non compare alcun registro nazionale "Non chiamare". Si tratta di un'assenza di prove, non di una dimostrazione dell'assenza: il documento RC05, l'unico strumento autorizzato a imporre controlli sulle comunicazioni di marketing, non è stato possibile leggerlo.

Ciò che è stabilito è un meccanismo di opt-out a livello del mittente. L'articolo 25(2) PDPL e gli articoli 28 e 29 del regolamento di attuazione impongono a ciascun mittente di gestire un meccanismo di blocco gratuito e semplice e di interrompere immediatamente l'invio su richiesta. Gli operatori devono offrire separatamente un blocco gratuito a livello di rete per i messaggi e il destinatario può presentare un reclamo all'autorità di controllo entro trenta giorni dalla ricezione dello spam.

Orari e giorni di chiamata

Non esiste una normativa pubblicata che stabilisca gli orari consentiti per il telemarketing vocale in uscita. Sono stati consultati la legge, entrambe le versioni dei relativi regolamenti attuativi, il regolamento antispam e il registro dei regolamenti CST.

La regola solitamente citata come "finestra oraria per le chiamate in Arabia Saudita" appartiene a un canale diverso. La normativa antispam vieta l'invio di messaggi elettronici dalle 22:00 alle 07:00 senza il consenso del destinatario a riceverli in quell'orario, e lo stesso strumento definisce un messaggio elettronico in modo da escludere le chiamate vocali. Il coprifuoco riguarda i messaggi, non le chiamate. Indica gli orari senza specificare un fuso orario; l'Arabia Saudita adotta un unico fuso orario, UTC+03:00, senza ora legale, un dato di fatto piuttosto che una citazione. Non è stata trovata alcuna regola relativa ai fine settimana o ai giorni festivi.

Identificativo del chiamante e visualizzazione del numero

L'articolo 55.9 del Regolamento sulle Telecomunicazioni è quanto di più simile esista in Arabia Saudita a una norma che imponga un protocollo per il telemarketing. Il fornitore di servizi deve rivelare all'inizio della chiamata l'identità del fornitore per cui viene effettuata e lo scopo della chiamata, e durante la chiamata il prezzo completo di qualsiasi prodotto o servizio discusso e il diritto assoluto della persona contattata di annullare un acquisto o un contratto di leasing entro 72 ore, chiamando un numero specifico fornito durante la chiamata. L'articolo 55.10 consente alla CST (Commissione per le Telecomunicazioni e la Comunicazione) di vietare o regolamentare esplicitamente l'uso di una rete per il telemarketing.

L'articolo 28(3)(a) del regolamento di attuazione richiede che il nome del mittente sia menzionato chiaramente senza nasconderne l'identità, e l'articolo 29(2) richiede lo stesso per il materiale di marketing diretto. Gli obblighi anti-spoofing incombono sugli operatori piuttosto che sui marketer. Non sono stati pubblicati: alcun requisito che imponga che le chiamate di marketing provengano da un intervallo di numeri dedicato o registrato, alcuna norma sul CLI nascosto o anonimo e alcun regime di ID mittente registrato per SMS di marketing.

Registrazione delle chiamate e notifiche

L'Arabia Saudita parte da un divieto, non da un permesso. L'articolo trentadue della legge stabilisce che le chiamate e le informazioni trasmesse tramite le reti di telecomunicazione pubbliche sono riservate e non possono essere esaminate, ascoltate o registrate, salvo nei casi previsti dalla normativa. L'articolo 58(3) del regolamento di attuazione aggiunge che i fornitori non possono raccogliere, elaborare o divulgare le comunicazioni di un utente senza il suo consenso, salvo nei casi consentiti dalla legge.

Anche una registrazione costituisce dato personale, poiché la definizione di pubblicazione prevista dalla legge sulla protezione dei dati personali PDPL include espressamente i contenuti audio. Non sono invece inclusi: eventuali obblighi di registrazione, periodi minimi di conservazione o testi prescritti per l'avviso di registrazione.

Regole di messaggistica per SMS e WhatsApp

La messaggistica è soggetta a normative più restrittive. La normativa antispam consente l'invio previo consenso o in presenza di un rapporto preesistente, come ad esempio un acquisto dal mittente. Ogni messaggio deve contenere l'indirizzo e-mail del mittente, il nome e l'oggetto, in modo che il destinatario possa disiscriversi facilmente e gratuitamente, e tali informazioni di contatto devono rimanere utilizzabili per almeno trenta giorni. L'invio deve cessare entro 48 ore dalla richiesta di disiscrizione, a cui deve seguire una conferma, e i dati vengono conservati per sei mesi. Il divieto di invio dalle 22:00 alle 07:00 si applica anche in questo caso.

Protezione e conservazione dei dati

Il PDPL è stato emanato con Regio Decreto M/19 e modificato dal Decreto M/148. L'articolo 43 ne prevede l'entrata in vigore 720 giorni dopo la pubblicazione nella Gazzetta Ufficiale. Secondo DLA Piper, ciò corrisponde all'entrata in vigore il 14 settembre 2023, con un termine di conformità fissato al 14 settembre 2024 per la maggior parte delle entità.

Il trasferimento transfrontaliero dei dati è regolato dal Regolamento sul trasferimento dei dati personali al di fuori del Regno, versione 2.0 dell'agosto 2024. Tale regolamento prevede garanzie adeguate, clausole contrattuali standard emesse in forma standard dall'autorità competente e norme comuni vincolanti per le parti. Se il vostro sistema di chiamata, le registrazioni o CRM si trovano al di fuori del Regno, è a tale normativa che dovrete fare riferimento.

La PDPL non stabilisce un periodo di conservazione fisso per i dati di marketing; i vincoli sono la limitazione delle finalità e il diritto di distruzione. Due parametri concreti si affiancano: i dati antispam vengono conservati per sei mesi dopo una richiesta di disiscrizione, e l'articolo 55.4 dello statuto impone la conservazione delle fatture agli utenti per sei mesi dalla data di emissione.

Sanzioni e applicazione

Si tratta di due percorsi distinti, che non devono essere mescolati. Ai sensi della legge sulle telecomunicazioni e l'informatica, l'articolo ventisette(1) prevede una o più sanzioni, tra cui una multa non superiore a 25 milioni di SAR, la cessazione totale o parziale del servizio, il divieto per il trasgressore di ottenere o rinnovare una licenza e il blocco di una piattaforma di contenuti digitali. Le sanzioni devono essere proporzionate e il trasgressore deve restituire il ricavato. Le violazioni antispam rientrano in questo regime anziché essere soggette a una tariffa a sé stante.

Ai sensi del PDPL, l'articolo 36 prevede un avvertimento o una multa non superiore a 5 milioni di SAR, raddoppiata in caso di recidiva fino al doppio di tale limite. L'articolo 35 prevede fino a due anni di reclusione o una multa non superiore a 3 milioni di SAR, o entrambe, per la divulgazione o la pubblicazione intenzionale di dati sensibili al fine di arrecare danno all'interessato o di ottenere un vantaggio. Entrambe le norme prevedono una sanzione per ogni violazione con un moltiplicatore per la recidiva, nessuna delle due prevede un accumulo giornaliero e non è stato trovato alcun tariffario di sanzioni pubblicato per tipo di violazione.

Cosa è cambiato nel 2025 e nel 2026?

Gli strumenti che sono stati trasferiti sono datati 2024 e risultano ancora validi all'ultimo aggiornamento di febbraio 2026: le decisioni CST 515/1445 sugli SMS e 552/1445 sulla tutela dei diritti degli utenti, entrambe dell'08-02-2024, e il Regolamento sui trasferimenti versione 2.0 di SDAIA dell'agosto 2024. Secondo DLA Piper, a partire da febbraio 2026 il PDPL è attivamente applicato da SDAIA. Non è stata trovata alcuna norma o consultazione CST del 2025 o del 2026 specificamente sulle chiamate promozionali, sui prefissi dei numeri di marketing o su un registro "non chiamare".

Come DialerBee supporta ciascuna regola

DialerBee include un pacchetto di giurisdizione CITC l'Arabia Saudita, pertanto le regole configurate per il Regno si applicano a ogni chiamata effettuata sotto la sua giurisdizione. Compliance Autopilot verifica ogni tentativo rispetto all'elenco DNC, alla finestra oraria di chiamata per la giurisdizione, al record di consenso, al proprietario dell'ID chiamante, al limite di frequenza e al formato del telefono prima di effettuare la chiamata. Poiché l'Arabia Saudita non pubblica una finestra oraria per le chiamate vocali, la finestra impostata rappresenta la policy aziendale e l'applicazione di tale finestra sulla piattaforma garantisce che sia la stessa per ogni campagna, con una registrazione di quanto in vigore.

Il consenso viene tracciato per ogni contatto con la sua fonte, data e ora e canale, come richiesto dall'articolo 11 del Regolamento di esecuzione, e la soppressione viene mantenuta tra le campagne. Il controllo del pool di ID chiamante regola quale numero viene visualizzato in ogni campagna. La registrazione prevede periodi di conservazione configurabili per campagna e per tenant, oltre al blocco legale, rilevante laddove la registrazione sia vietata a meno che non sussista una base giuridica. Gli script sono disponibili in 11 lingue, incluso l'arabo, in modo che la divulgazione dell'identità e l'avviso di cancellazione entro 72 ore raggiungano il destinatario nella sua lingua. Si tratta di controlli a supporto della conformità che aiutano a rispettare gli obblighi; non sostituiscono la revisione legale.

Lista di controllo per la conformità dei viaggi in uscita dall'Arabia Saudita

• Richiedete direttamente il documento CST RC05 e leggetelo prima di redigere la politica di chiamata interna.
• Raccogli il consenso al marketing direttamente dall'interessato, mai da liste acquistate, e registra tempi e modalità di raccolta con un consenso separato per ogni finalità.
• Implementa il meccanismo di recesso prima di chiedere il consenso, rendi l'interruzione semplice come l'adesione e interrompi il servizio su richiesta senza costi aggiuntivi.
• Iniziate ogni chiamata indicando il destinatario e lo scopo della stessa.
• Comunica il prezzo totale durante la chiamata e indica il diritto di recesso entro 72 ore, fornendo anche il relativo numero di telefono.
• Mantieni le chiamate in uscita all'interno di una fascia oraria diurna prudente, confermata con il fuso orario CST.
• Non inviare messaggi di marketing tra le 22:00 e le 07:00 e mantieni attivo il contatto del mittente per trenta giorni.
• Documentate una base giuridica prima di registrare qualsiasi chiamata e formalizzate ogni trasferimento all'estero in conformità al Regolamento sui trasferimenti dell'agosto 2024.
• Conservare i dati relativi al consenso e alla disiscrizione dalle comunicazioni antispam per sei mesi dalla richiesta.
• Attribuire le multe alla legge corretta: 25 milioni di SAR si riferiscono alla legge sulle telecomunicazioni, 5 milioni di SAR alla PDPL.

Fonti

1. Legge sulle telecomunicazioni e le tecnologie dell'informazione, Regio Decreto M/106 del 02/11/1443H (CST, archiviato). web.archive.org
2. Regolamento della legge sulle telecomunicazioni, decisione n. 11 del 17/05/1423H e successive modifiche, articolo 55.9 (CST, archiviato). web.archive.org
3. Regolamento per la riduzione dello SPAM (CITC, archiviato). web.archive.org
4. Registrazione nel registro CST, RC05 Regolamento sulla tutela dei diritti degli utenti, decisione 552/1445, 08-02-2024. web.archive.org
5. Legge sulla protezione dei dati personali, Regio Decreto M/19 e successive modifiche M/148 (SDAIA). sdaia.gov.sa
6. Regolamento di attuazione del PDPL (SDAIA). sdaia.gov.sa
7. Regolamento sul trasferimento dei dati personali al di fuori del Regno, versione 2.0, agosto 2024 (SDAIA). sdaia.gov.sa
8. DLA Piper, Data Protection Laws of the World, Arabia Saudita, consultato l'11 settembre 2026 (fonte secondaria per le date del calendario gregoriano e le modalità di applicazione). dlapiperdataprotection.com

Domande frequenti

Chi regola le chiamate in uscita in Arabia Saudita?

La Commissione per le Comunicazioni, lo Spazio e la Tecnologia (CST), precedentemente nota come CITC, è stata rinominata il 10 novembre 2022. I dati personali sono gestiti separatamente dall'Autorità federale per la protezione dei dati personali (SDAIA) ai sensi della Legge sulla protezione dei dati personali (PDPL), e i due sistemi sono interconnessi: la PDPL emana i propri regolamenti in coordinamento con la CST.

Quali sono gli orari consentiti per le chiamate in Arabia Saudita?

Non è stata pubblicata alcuna regola sugli orari consentiti per le chiamate vocali in uscita. Il divieto dalle 22:00 alle 07:00, solitamente citato come finestra temporale per le chiamate in Arabia Saudita, deriva dalla normativa antispam, che definisce i messaggi elettronici in modo da escludere le chiamate vocali. Si consiglia di impostare una finestra temporale diurna prudente come politica aziendale e di confermarla con il CST (Central Standard Time).

Ho bisogno del consenso per effettuare chiamate di marketing in Arabia Saudita?

Sì. L'articolo 25 PDPL vieta l'utilizzo dei mezzi di comunicazione personali di una persona per l'invio di materiale pubblicitario senza previo consenso e richiede un meccanismo di interruzione chiaro. L'articolo 26 consente il trattamento per finalità di marketing solo se i dati sono stati raccolti direttamente dall'interessato con il suo consenso.

L'Arabia Saudita dispone di un registro nazionale "Non chiamare"?

Nei documenti pubblicati non compare alcun registro nazionale, ma ciò indica una mancanza di prove piuttosto che una dimostrazione di assenza, poiché il documento CST RC05 non è stato possibile leggerlo. Ciò che è stabilito è un obbligo da parte del mittente: un meccanismo di arresto gratuito e semplice, che consente di interrompere l'invio immediatamente su richiesta, oltre a un blocco dei messaggi da parte dell'operatore.

In Arabia Saudita è consentita la registrazione delle chiamate?

La registrazione inizia da un divieto. L'articolo trentadue della legge rende riservate le chiamate sulle reti pubbliche e ne vieta la registrazione, salvo nei casi previsti dalla normativa. Una registrazione costituisce inoltre dato personale ai sensi della legge sulla protezione dei dati personali PDPL. Documentate la base giuridica prima di registrare; non è previsto alcun periodo di conservazione dei dati.

Cos'è la regola delle 72 ore nel telemarketing saudita?

L'articolo 55.9(d) del regolamento sulle telecomunicazioni impone a chi effettua la chiamata di informare l'interlocutore del suo diritto assoluto di recedere dall'acquisto o dal contratto di locazione di qualsiasi servizio entro 72 ore, chiamando un numero specifico comunicato durante la chiamata. Lo stesso articolo impone inoltre a chi effettua la chiamata di identificare il destinatario, di indicarne lo scopo e di comunicarne il prezzo totale.

Quali sono le sanzioni previste in Arabia Saudita?

Provengono da due leggi diverse. La legge sulle telecomunicazioni e l'informatica prevede sanzioni fino a 25 milioni di SAR, oltre alla sospensione del servizio, al divieto di rilascio di licenze o al blocco della piattaforma. La legge sulla protezione dei dati personali PDPL prevede sanzioni fino a 5 milioni di SAR per violazioni generiche, raddoppiate in caso di recidiva, e fino a 3 milioni di SAR con due anni di reclusione per reati relativi a dati sensibili. Non attribuire alla PDPL una cifra prevista dalla legge sulle telecomunicazioni.

Letture correlate

• Panoramica del sistema di composizione automatica in uscita dell'Arabia Saudita
• Pilota automatico di conformità
• controllo del pool di identificazione del chiamante
• Guida alla conformità per la regione MENA

Questo articolo ha scopo puramente informativo e non costituisce consulenza legale. Il documento CST RC05, lo strumento autorizzato ad attuare i controlli sul marketing delle telecomunicazioni, non è stato reperibile al momento della stesura del presente articolo. Si prega di verificare i requisiti vigenti con CST, SDAIA e un legale locale qualificato.