Conformità chiamate outbound in Arabia Saudita: CST (2026)

L'Arabia Saudita è il mercato del Golfo le cui regole sull'outbound vengono citate in modo errato più spesso. Questa guida riporta solo ciò che dicono davvero l'Act, i suoi regolamenti e la PDPL, e indica le lacune come lacune.

Conformità outbound in Arabia Saudita in sintesi

Chi regola le chiamate outbound in Arabia Saudita

La CST regola il settore delle telecomunicazioni e dell'IT. Il 10 novembre 2022, con il decreto del Consiglio dei Ministri n. 235, ha assunto questo nome al posto di Communications and Information Technology Commission. Molti operatori dicono ancora CITC; il nome attuale è CST.

L'Articolo 79(1)(f) degli Implementing Regulations autorizza la CST a emanare norme di tutela dei diritti degli utenti che includono controlli sul marketing nelle telecomunicazioni. Sono state emanate come documento RC05, decisione 552/1445 dell'08-02-2024, il cui testo non è stato possibile reperire al momento della stesura. L'RC05 è la sede più probabile di qualsiasi regola saudita sugli orari di chiamata, obbligo Do Not Call o regola sui numeri di marketing, quindi richiedilo alla CST e non dare per scontato il suo contenuto. La SDAIA è l'autorità per la protezione dei dati e, ai sensi dell'Articolo 42 della PDPL, i regolamenti attuativi vengono emanati previo coordinamento con la CST.

Consenso e opt-out

La regola operativa è l'Articolo 25 della PDPL: un titolare del trattamento non può usare i mezzi di comunicazione personali di un interessato per inviare materiale pubblicitario o di sensibilizzazione senza consenso preventivo e senza un meccanismo chiaro che permetta al destinatario di smettere di riceverlo. L'Articolo 26 aggiunge che i dati personali possono essere trattati a fini di marketing solo se raccolti direttamente dall'interessato con il suo consenso. I dati sensibili non possono mai essere trattati per il marketing.

L'Implementing Regulation stabilisce come deve essere il consenso. Articolo 11: il consenso può essere scritto, verbale o elettronico, deve essere libero e specifico per finalità e deve essere documentato per poter essere verificato in seguito, con un consenso separato per ciascuna finalità. L'Articolo 28 richiede il consenso in assenza di un'interazione precedente, con una prova materiale. L'Articolo 29 richiede un meccanismo di stop semplice quanto la procedura usata per ottenere il consenso, e l'Articolo 12 consente la revoca in qualsiasi momento.

La legge saudita non prevede una validità massima né una scadenza per il consenso al marketing. Sono stati esaminati la PDPL, il suo Implementing Regulation, il Transfer Regulation, il regolamento anti-spam e l'Act, e nessuno fissa un termine.

Registro Do Not Call

Negli strumenti normativi sauditi pubblicati non compare alcun registro Do Not Call nazionale. Si tratta di un'assenza di prove, non di una prova di assenza: l'RC05, l'unico strumento abilitato a contenere controlli sul marketing, non è stato possibile consultarlo.

Ciò che è accertato è un opt-out presso il mittente. L'Articolo 25(2) della PDPL e gli Articoli 28 e 29 dell'Implementing Regulation impongono a ogni mittente di offrire un meccanismo di stop gratuito e semplice e di interrompere subito gli invii su richiesta. Gli operatori devono offrire inoltre un blocco gratuito a livello di rete per i messaggi, e un destinatario può presentare reclamo al regolatore entro trenta giorni dalla ricezione dello spam.

Orari e giorni di chiamata

Non esiste una regola pubblicata sugli orari consentiti per il telemarketing vocale outbound. Sono stati esaminati l'Act, entrambe le generazioni dei suoi regolamenti attuativi, il regolamento anti-spam e il registro dei regolamenti della CST.

La regola citata di solito come fascia oraria di chiamata saudita riguarda un altro canale. Il regolamento anti-spam vieta l'invio di messaggi elettronici dalle 22:00 alle 07:00 senza il consenso del destinatario a riceverli in quella fascia, e lo stesso strumento definisce il messaggio elettronico in modo da escludere le chiamate vocali. Il coprifuoco vincola la messaggistica, non le chiamate. Indica gli orari senza specificare un fuso orario; l'Arabia Saudita ha un unico fuso, UTC+03:00, senza ora legale, un dato generale e non una citazione. Non è stata trovata alcuna regola sui fine settimana o sulle festività.

Caller ID e visualizzazione del numero

L'Articolo 55.9 delle Bylaws del Telecom Act è quanto di più vicino esista in Arabia Saudita a una regola sugli script di telemarketing. Il fornitore del servizio deve comunicare all'inizio della chiamata l'identità del fornitore per conto del quale chiama e lo scopo della chiamata e, durante la chiamata, il prezzo completo di qualsiasi prodotto o servizio discusso e il diritto assoluto della persona contattata di annullare un acquisto o un noleggio entro 72 ore, chiamando un numero specifico fornito durante la chiamata. L'Articolo 55.10 consente alla CST di vietare o regolamentare l'uso di una rete per il telemarketing.

L'Articolo 28(3)(a) dell'Implementing Regulation richiede che il nome del mittente sia indicato chiaramente senza nasconderne l'identità, e l'Articolo 29(2) richiede lo stesso per il materiale di marketing diretto. Gli obblighi anti-spoofing ricadono sugli operatori e non su chi fa marketing. Non pubblicati: qualsiasi obbligo che le chiamate di marketing provengano da una numerazione dedicata o registrata, qualsiasi regola sul CLI nascosto o anonimo e qualsiasi regime di sender ID registrato per gli SMS di marketing.

Registrazione delle chiamate e notifiche

L'Arabia Saudita parte da un divieto, non da un permesso. Articolo Trentadue dell'Act: chiamate e informazioni inviate su reti di telecomunicazione pubbliche sono riservate e non possono essere esaminate, ascoltate o registrate salvo nei casi previsti dai regolamenti. L'Articolo 58(3) degli Implementing Regulations aggiunge che i fornitori non possono raccogliere, trattare o divulgare le comunicazioni di un utente senza consenso, salvo quanto consentito dalla legge.

Una registrazione è anche un dato personale, poiché la definizione di pubblicazione della PDPL comprende espressamente l'audio. Non pubblicati: alcun obbligo di registrazione, periodo minimo di conservazione o testo prescritto per l'informativa sulla registrazione.

Regole di messaggistica per SMS e WhatsApp

La messaggistica ha le regole pubblicate più stringenti. Il regolamento anti-spam consente l'invio previo consenso o in presenza di un rapporto precedente, come un acquisto presso il mittente. Ogni messaggio deve riportare indirizzo elettronico, nome e oggetto del mittente, così che il destinatario possa annullare l'iscrizione in modo gratuito e semplice, e questi recapiti devono restare utilizzabili per almeno trenta giorni. Gli invii devono cessare entro 48 ore da una richiesta di cancellazione, deve seguire una conferma e i registri vanno conservati per sei mesi. Qui si applica il divieto dalle 22:00 alle 07:00.

Protezione e conservazione dei dati

La PDPL è stata emanata con Decreto Reale M/19 e modificata da M/148. L'Articolo 43 ne prevede l'entrata in vigore 720 giorni dopo la pubblicazione nella Gazzetta Ufficiale. Secondo DLA Piper, ciò corrisponde all'entrata in vigore il 14 settembre 2023, con termine per l'adeguamento al 14 settembre 2024 per la maggior parte dei soggetti.

I trasferimenti transfrontalieri sono disciplinati dalla Regulation on Personal Data Transfer Outside the Kingdom, versione 2.0 di agosto 2024. Ammette garanzie adeguate, clausole contrattuali standard emanate in forma standard dall'autorità competente e norme vincolanti comuni per i gruppi. Se il tuo dialer, le registrazioni o il CRM si trovano fuori dal Regno, è questo lo strumento su cui basare la documentazione.

La PDPL non fissa un periodo di conservazione per i dati di marketing; i vincoli sono la limitazione della finalità e il diritto alla distruzione. Ci sono però due numeri precisi in ambiti vicini: i registri anti-spam conservati sei mesi dopo una richiesta di cancellazione e l'Articolo 55.4 delle Bylaws, che impone di conservare le fatture degli utenti per sei mesi dall'emissione.

Sanzioni e applicazione

Due binari separati, da non confondere. Ai sensi del Telecommunications and IT Act, l'Articolo Ventisette(1) prevede una o più delle seguenti misure: una sanzione fino a SAR 25 milioni, la cessazione totale o parziale del servizio, il divieto di ottenere o rinnovare una licenza e il blocco di una piattaforma di contenuti digitali. Le sanzioni devono essere proporzionate e il trasgressore deve consegnare i proventi. Le violazioni anti-spam rientrano in questo regime anziché avere un tariffario proprio.

Ai sensi della PDPL, l'Articolo 36 prevede un avvertimento o una sanzione fino a SAR 5 milioni, raddoppiabile in caso di recidiva fino al doppio di tale limite. L'Articolo 35 prevede fino a due anni di reclusione o una sanzione fino a SAR 3 milioni, o entrambe, per la divulgazione o pubblicazione intenzionale di dati sensibili allo scopo di danneggiare l'interessato o trarne un vantaggio. Entrambe le leggi si applicano per singola violazione con un moltiplicatore per la recidiva, nessuna prevede un accumulo giornaliero e non è stato trovato alcun tariffario pubblicato per tipo di violazione.

Cosa è cambiato nel 2025 e nel 2026

Gli strumenti normativi aggiornati risalgono al 2024 e risultano ancora in vigore alla rilevazione più recente di febbraio 2026: le decisioni CST 515/1445 sugli SMS e 552/1445 sulla tutela dei diritti degli utenti, entrambe dell'08-02-2024, e il Transfer Regulation della SDAIA, versione 2.0 di agosto 2024. Secondo DLA Piper, a febbraio 2026 la PDPL è applicata attivamente dalla SDAIA. Non è stata trovata alcuna regola o consultazione CST del 2025 o 2026 specifica su chiamate promozionali, prefissi per numeri di marketing o un registro Do Not Call.

Come DialerBee supporta ogni regola

DialerBee include un pacchetto giurisdizionale KSA CST, quindi le regole configurate per il Regno si applicano a ogni chiamata effettuata nel suo ambito. Compliance Autopilot verifica ogni tentativo rispetto alla lista DNC, alla fascia oraria della relativa giurisdizione, al registro del consenso, alla titolarità del caller ID, al limite di frequenza e al formato del numero prima che la chiamata parta. Poiché l'Arabia Saudita non pubblica una fascia oraria per le chiamate vocali, la fascia che imposti è una tua policy, e applicarla nella piattaforma la rende identica in ogni campagna, con un registro di ciò che era in vigore.

Il consenso viene tracciato per contatto con fonte, marca temporale e canale, come richiesto dall'Articolo 11 dell'Implementing Regulation, e le esclusioni valgono per tutte le campagne. Il controllo dei pool di caller ID stabilisce quale numero presenta ciascuna campagna. La registrazione prevede una conservazione configurabile per campagna e per tenant, più il blocco per motivi legali (legal hold), un aspetto importante dove la registrazione è vietata in assenza di una base giuridica. Gli script funzionano in 11 lingue, arabo compreso, quindi l'identificazione del chiamante e l'avviso sul diritto di recesso entro 72 ore arrivano al destinatario nella sua lingua. Si tratta di controlli a supporto della conformità che ti aiutano a rispettare i tuoi obblighi; non sostituiscono una verifica legale.

Checklist per la conformità outbound in Arabia Saudita

• Richiedi direttamente alla CST il documento RC05 e leggilo prima di scrivere la policy interna sulle chiamate.
• Raccogli il consenso al marketing direttamente dall'interessato, mai da una lista acquistata, e registrane data, ora e modalità, con un consenso separato per ciascuna finalità.
• Prepara il meccanismo di revoca prima di chiedere il consenso, rendi la disiscrizione semplice quanto l'iscrizione e interrompi gratuitamente gli invii su richiesta.
• Apri ogni chiamata indicando per conto di chi chiami e lo scopo della chiamata.
• Indica il prezzo completo durante la chiamata e comunica il diritto di recesso entro 72 ore e il relativo numero.
• Mantieni le chiamate vocali outbound in una fascia diurna prudente, confermata con la CST.
• Non inviare messaggi di marketing tra le 22:00 e le 07:00 e mantieni attivi i recapiti del mittente per trenta giorni.
• Documenta una base giuridica prima di registrare qualsiasi chiamata e regola ogni trasferimento all'estero in base al Transfer Regulation di agosto 2024.
• Conserva i registri anti-spam di consenso e cancellazione per sei mesi dopo la richiesta.
• Attribuisci le sanzioni alla legge giusta: SAR 25 milioni è il Telecom Act, SAR 5 milioni è la PDPL.

Fonti

1. Telecommunication and Information Technology Act, Decreto Reale M/106 del 02/11/1443H (CST, archiviato). web.archive.org
2. Bylaws of the Telecommunications Act, Decisione n. 11 del 17/05/1423H e successive modifiche, Articolo 55.9 (CST, archiviato). web.archive.org
3. Regulation for Reduction of SPAM (CITC, archiviato). web.archive.org
4. Voce del registro CST, RC05 Regulations of User Rights Protection Rules, decisione 552/1445, 08-02-2024. web.archive.org
5. Personal Data Protection Law, Decreto Reale M/19 modificato da M/148 (SDAIA). sdaia.gov.sa
6. Implementing Regulation della PDPL (SDAIA). sdaia.gov.sa
7. Regulation on Personal Data Transfer Outside the Kingdom, versione 2.0, agosto 2024 (SDAIA). sdaia.gov.sa
8. DLA Piper, Data Protection Laws of the World, Arabia Saudita, consultato l'11 settembre 2026 (fonte secondaria per le date gregoriane e l'orientamento applicativo). dlapiperdataprotection.com

Domande frequenti

Chi regola le chiamate outbound in Arabia Saudita?

La Communications, Space & Technology Commission, CST, che ha sostituito la denominazione CITC il 10 novembre 2022. I dati personali sono vigilati separatamente dalla SDAIA ai sensi della Personal Data Protection Law, e i due regimi sono collegati: i regolamenti della PDPL vengono emanati previo coordinamento con la CST.

Quali sono gli orari di chiamata consentiti in Arabia Saudita?

Non è pubblicata alcuna regola sugli orari consentiti per le chiamate vocali outbound. Il divieto dalle 22:00 alle 07:00, citato di solito come fascia oraria saudita, deriva dal regolamento anti-spam, che definisce il messaggio elettronico in modo da escludere le chiamate vocali. Stabilisci come policy una fascia diurna prudente e confermala con la CST.

Serve il consenso per fare chiamate di marketing in Arabia Saudita?

Sì. L'Articolo 25 della PDPL vieta di usare i mezzi di comunicazione personali di una persona per inviare materiale pubblicitario senza consenso preventivo e richiede un meccanismo di stop chiaro. L'Articolo 26 consente il trattamento a fini di marketing solo se i dati sono stati raccolti direttamente dall'interessato con il suo consenso.

L'Arabia Saudita ha un registro Do Not Call nazionale?

Negli strumenti normativi pubblicati non compare alcun registro nazionale, ma si tratta di un'assenza di prove e non di una prova di assenza, perché il documento CST RC05 non è stato possibile consultarlo. Ciò che è accertato è un obbligo in capo al mittente: un meccanismo di stop gratuito e semplice, l'interruzione immediata degli invii su richiesta e un blocco da parte dell'operatore per i messaggi.

In Arabia Saudita è consentito registrare le chiamate?

La registrazione parte da un divieto. L'Articolo Trentadue dell'Act rende riservate le chiamate su reti pubbliche e ne vieta la registrazione salvo nei casi previsti dai regolamenti, e una registrazione è anche un dato personale ai sensi della PDPL. Documenta una base giuridica prima di registrare; non è pubblicato alcun periodo di conservazione.

Che cos'è la regola delle 72 ore nel telemarketing saudita?

L'Articolo 55.9(d) delle Bylaws del Telecom Act impone a chi chiama di comunicare durante la chiamata il diritto assoluto della persona contattata di annullare l'acquisto o il noleggio di qualsiasi servizio entro 72 ore, chiamando un numero specifico fornito durante la chiamata. Lo stesso articolo impone di indicare per conto di chi si chiama, di dichiarare lo scopo della chiamata e di comunicare il prezzo completo.

Quali sanzioni si applicano in Arabia Saudita?

Derivano da due leggi diverse. Il Telecommunications and IT Act prevede fino a SAR 25 milioni, oltre a cessazione del servizio, esclusione dalle licenze o blocco della piattaforma. La PDPL prevede fino a SAR 5 milioni per le violazioni generali, raddoppiabili in caso di recidiva, e fino a SAR 3 milioni con due anni di reclusione per i reati sui dati sensibili. Non attribuire alla PDPL un importo del Telecom Act.

Letture correlate

• Panoramica del dialer outbound per l'Arabia Saudita
• Compliance Autopilot
• Controllo del pool di caller ID
• Guida alla conformità per la regione MENA

Questo articolo ha finalità puramente informative e non costituisce consulenza legale. Il documento CST RC05, lo strumento abilitato a contenere i controlli sul marketing nelle telecomunicazioni, non è stato reperibile al momento della stesura. Verifica i requisiti vigenti con la CST, la SDAIA e un consulente legale locale qualificato.