Conformidade em chamadas ativas na Arábia Saudita: CST (2026)

A Arábia Saudita é o mercado do Golfo cujas regras de ligações ativas são citadas de forma errada com mais frequência. Este guia apresenta apenas o que a Lei, seus regulamentos e a PDPL realmente dizem, e aponta as lacunas como lacunas.

Compliance de ligações ativas na Arábia Saudita: visão geral

Quem regula as ligações ativas na Arábia Saudita

A CST regula o setor de telecomunicações e TI. Ela deixou de se chamar Communications and Information Technology Commission em 10 de novembro de 2022, pelo decreto nº 235 do Conselho de Ministros. Muitas operações ainda dizem CITC; o nome atual é CST.

O Artigo 79(1)(f) do Regulamento de Implementação autoriza a CST a emitir regras de proteção dos direitos do usuário que incluem controles de marketing por telecomunicações. Elas foram emitidas como o documento RC05, decisão 552/1445 de 08-02-2024, cujo texto não pôde ser obtido no momento da redação. O RC05 é o lugar mais provável para qualquer regra saudita de horário de ligação, obrigação de não perturbe ou regra de números de marketing; por isso, solicite-o à CST e não presuma o seu conteúdo. A SDAIA é o regulador de proteção de dados, e o Artigo 42 da PDPL prevê que seus regulamentos sejam emitidos após coordenação com a CST.

Consentimento e opt-out

O Artigo 25 da PDPL é a regra operativa: o controlador não pode usar os meios pessoais de comunicação do titular para enviar material publicitário ou de conscientização sem consentimento prévio e sem um mecanismo claro que permita ao destinatário parar de recebê-lo. O Artigo 26 acrescenta que dados pessoais só podem ser tratados para marketing se forem coletados diretamente do titular, com consentimento. Dados sensíveis nunca podem ser tratados para marketing.

O Regulamento de Implementação define como o consentimento deve ser. Artigo 11: o consentimento pode ser escrito, verbal ou eletrônico, deve ser livre e específico para a finalidade e deve ser documentado para poder ser verificado depois, com um consentimento separado para cada finalidade. O Artigo 28 exige consentimento quando não houve interação prévia, e prova material dele. O Artigo 29 exige um mecanismo de interrupção tão simples quanto o processo usado para obter o consentimento, e o Artigo 12 permite a revogação a qualquer momento.

A lei saudita não estabelece prazo máximo de validade ou de expiração para o consentimento de marketing. A PDPL, seu Regulamento de Implementação, o Regulamento de Transferência, o regulamento antispam e a Lei foram todos lidos, e nenhum fixa um prazo.

Não Perturbe (Do Not Call)

Nenhum cadastro nacional de Não Perturbe (Do Not Call) aparece nos instrumentos sauditas publicados. Isso é ausência de evidência, e não prova de ausência: o RC05, único instrumento com poder para trazer controles de marketing, não pôde ser lido.

O que está estabelecido é o opt-out junto ao remetente. O Artigo 25(2) da PDPL e os Artigos 28 e 29 do Regulamento de Implementação exigem que cada remetente mantenha um mecanismo de interrupção gratuito e fácil e pare o envio imediatamente quando solicitado. As operadoras também devem oferecer, separadamente, um bloqueio gratuito de mensagens na rede, e o destinatário pode reclamar ao regulador em até trinta dias após receber spam.

Horários e dias permitidos para ligações

Não há regra publicada de horário permitido para telemarketing ativo por voz. A Lei, as duas gerações de seus regulamentos de implementação, o regulamento antispam e o registro de regulamentos da CST foram todos pesquisados.

A regra normalmente citada como janela de ligação saudita pertence a outro canal. O regulamento antispam proíbe o envio de mensagens eletrônicas das 22:00 às 07:00 sem o consentimento do destinatário para recebê-las nesse horário, e o mesmo instrumento define mensagem eletrônica de forma a excluir as ligações de voz. O toque de recolher vale para mensagens, não para ligações. Ele indica horários sem citar um fuso; a Arábia Saudita usa um único fuso, UTC+03:00, sem horário de verão — um fato geral, não uma citação. Não foi encontrada nenhuma regra para fins de semana ou feriados.

Identificador de chamadas e apresentação do número

O Artigo 55.9 do Regulamento da Lei de Telecomunicações (Bylaws) é o que a Arábia Saudita tem de mais próximo de uma regra de roteiro de telemarketing. O prestador de serviço deve informar, no início da ligação, a identidade do fornecedor em nome de quem a ligação é feita e a finalidade dela e, durante a ligação, o preço total de qualquer produto ou serviço discutido e o direito absoluto da pessoa contatada de cancelar uma compra ou locação em até 72 horas, ligando para um número específico informado durante a ligação. O Artigo 55.10 permite que a CST proíba ou regule por completo o uso de uma rede para telemarketing.

O Artigo 28(3)(a) do Regulamento de Implementação exige que o nome do remetente seja mencionado com clareza, sem ocultar sua identidade, e o Artigo 29(2) exige o mesmo para material de marketing direto. As obrigações contra spoofing recaem sobre as operadoras, não sobre quem faz marketing. Não publicado: qualquer exigência de que ligações de marketing partam de uma faixa de números dedicada ou registrada, qualquer regra sobre CLI oculto ou anônimo e qualquer regime de sender ID registrado para SMS de marketing.

Gravação de chamadas e avisos

A Arábia Saudita parte de uma proibição, não de uma permissão. Artigo Trinta e Dois da Lei: as ligações e informações enviadas por redes públicas de telecomunicações são confidenciais e não podem ser examinadas, ouvidas ou gravadas, exceto nos casos previstos em regulamento. O Artigo 58(3) do Regulamento de Implementação acrescenta que os prestadores não podem coletar, tratar ou divulgar as comunicações de um usuário sem consentimento, salvo quando as leis permitirem.

Uma gravação também é dado pessoal, já que a definição de publicação da PDPL abrange expressamente áudio. Não publicado: qualquer obrigação de gravação, prazo mínimo de retenção ou texto obrigatório de aviso de gravação.

Regras de mensagens para SMS e WhatsApp

As mensagens têm as regras publicadas mais rígidas. O regulamento antispam permite o envio após consentimento prévio ou quando existe uma relação anterior, como uma compra feita com o remetente. Cada mensagem deve trazer o endereço eletrônico, o nome e o assunto do remetente para que o destinatário possa se descadastrar de forma gratuita e fácil, e esse contato deve continuar funcionando por pelo menos trinta dias. O envio deve parar em até 48 horas após o pedido de descadastramento, uma confirmação deve ser enviada, e os registros são mantidos por seis meses depois disso. A proibição das 22:00 às 07:00 se aplica aqui.

Proteção e retenção de dados

A PDPL foi emitida pelo Decreto Real M/19 e alterada pelo M/148. O Artigo 43 determina sua entrada em vigor 720 dias após a publicação no Diário Oficial. Segundo a DLA Piper, isso corresponde à entrada em vigor em 14 de setembro de 2023, com prazo de adequação em 14 de setembro de 2024 para a maioria das entidades.

A transferência internacional segue o Regulamento de Transferência de Dados Pessoais para Fora do Reino, Versão 2.0, de agosto de 2024. Ele admite salvaguardas adequadas, cláusulas contratuais-padrão emitidas em formato padrão pela autoridade competente e regras corporativas vinculantes para grupos. Se o seu discador, as gravações ou o CRM ficam fora do Reino, é com base nesse instrumento que você deve formalizar a transferência.

A PDPL não fixa prazo de retenção para dados de marketing; as restrições são a limitação de finalidade e o direito de eliminação. Dois números concretos aparecem por perto: os registros antispam mantidos por seis meses após um pedido de descadastramento e o Artigo 55.4 do Regulamento da Lei (Bylaws), que exige guardar as faturas dos usuários por seis meses a partir da emissão.

Penalidades e fiscalização

São dois regimes separados, que não devem ser misturados. Pela Lei de Telecomunicações e TI, o Artigo Vinte e Sete(1) permite uma ou mais das seguintes sanções: multa de até SAR 25 milhões, suspensão total ou parcial do serviço, impedimento de obter ou renovar licença e bloqueio de plataforma de conteúdo digital. As penalidades devem ser proporcionais, e o infrator deve entregar os ganhos obtidos. As infrações antispam se enquadram nesse regime, em vez de terem tabela própria.

Pela PDPL, o Artigo 36 prevê advertência ou multa de até SAR 5 milhões, dobrada na reincidência até o dobro desse limite. O Artigo 35 prevê até dois anos de prisão ou multa de até SAR 3 milhões, ou ambas, para quem divulgar ou publicar intencionalmente dados sensíveis para prejudicar o titular ou obter vantagem. As duas leis se aplicam por infração, com multiplicador para reincidência; nenhuma prevê acúmulo diário, e não foi encontrada tabela publicada de multas por tipo de infração.

O que mudou em 2025 e 2026

Os instrumentos que mudaram são de 2024 e continuam vigentes na consulta mais recente, de fevereiro de 2026: as decisões da CST 515/1445, sobre SMS, e 552/1445, sobre proteção dos direitos do usuário, ambas de 08-02-2024, e o Regulamento de Transferência da SDAIA, Versão 2.0, de agosto de 2024. Segundo a DLA Piper, em fevereiro de 2026 a PDPL está sendo aplicada ativamente pela SDAIA. Não foi encontrada nenhuma regra ou consulta pública da CST de 2025 ou 2026 específica sobre ligações promocionais, prefixos de números de marketing ou cadastro de não perturbe.

Como o DialerBee apoia cada regra

O DialerBee traz um pacote de jurisdição KSA CST, para que as regras configuradas para o Reino valham para todas as ligações feitas sob ele. O Compliance Autopilot verifica cada tentativa contra a lista DNC, a janela de horário de ligação da jurisdição, o registro de consentimento, a titularidade do identificador de chamadas, o limite de frequência e o formato do telefone antes de a ligação ser feita. Como a Arábia Saudita não publica janela para ligações de voz, a janela que você define é a sua própria política, e aplicá-la na plataforma garante a mesma janela em todas as campanhas, com registro do que estava em vigor.

O consentimento é registrado por contato, com origem, data e hora e canal, que é o que o Artigo 11 do Regulamento de Implementação pede, e a supressão vale entre campanhas. O controle do pool de identificadores de chamadas define qual número cada campanha apresenta. A gravação tem retenção configurável por campanha e por tenant, além de retenção legal (legal hold), o que importa onde a gravação é proibida a menos que exista uma base legal. Os roteiros rodam em 11 idiomas, incluindo árabe, para que a identificação e o aviso de cancelamento em 72 horas cheguem ao destinatário no idioma dele. Esses são controles de apoio à conformidade que ajudam você a cumprir suas obrigações; eles não substituem a revisão jurídica.

Checklist de compliance para ligações ativas na Arábia Saudita

• Solicite o documento RC05 diretamente à CST e leia-o antes de redigir a política interna de ligações.
• Colete o consentimento de marketing diretamente do titular, nunca de uma lista comprada, e registre a data, a hora e o meio, com um consentimento separado para cada finalidade.
• Crie o mecanismo de revogação antes de pedir o consentimento, torne o cancelamento tão fácil quanto a adesão e interrompa o envio gratuitamente quando solicitado.
• Abra cada ligação informando em nome de quem ela é feita e a finalidade da ligação.
• Informe o preço total durante a ligação e comunique o direito de cancelamento em 72 horas e o número para exercê-lo.
• Mantenha as ligações de voz ativas dentro de uma janela diurna conservadora que você tenha confirmado com a CST.
• Não envie mensagens de marketing entre 22:00 e 07:00 e mantenha o contato do remetente ativo por trinta dias.
• Documente uma base legal antes de gravar qualquer ligação e formalize cada transferência para o exterior com base no Regulamento de Transferência de agosto de 2024.
• Guarde os registros de consentimento e descadastramento antispam por seis meses após o pedido.
• Atribua as multas à lei certa: SAR 25 milhões é a Lei de Telecomunicações, SAR 5 milhões é a PDPL.

Fontes

1. Lei de Telecomunicações e Tecnologia da Informação, Decreto Real M/106 de 02/11/1443H (CST, arquivado). web.archive.org
2. Regulamento da Lei de Telecomunicações (Bylaws), Decisão nº 11 de 17/05/1423H, conforme alterado, Artigo 55.9 (CST, arquivado). web.archive.org
3. Regulamento para Redução de SPAM (CITC, arquivado). web.archive.org
4. Registro da CST, RC05 Regulamento das Regras de Proteção dos Direitos do Usuário, decisão 552/1445, 08-02-2024. web.archive.org
5. Lei de Proteção de Dados Pessoais, Decreto Real M/19, alterado pelo M/148 (SDAIA). sdaia.gov.sa
6. Regulamento de Implementação da PDPL (SDAIA). sdaia.gov.sa
7. Regulamento de Transferência de Dados Pessoais para Fora do Reino, Versão 2.0, agosto de 2024 (SDAIA). sdaia.gov.sa
8. DLA Piper, Data Protection Laws of the World, Arábia Saudita, acessado em 11 de setembro de 2026 (fonte secundária para as datas gregorianas e a postura de fiscalização). dlapiperdataprotection.com

Perguntas frequentes

Quem regula as ligações ativas na Arábia Saudita?

A Communications, Space & Technology Commission, CST, que deixou de se chamar CITC em 10 de novembro de 2022. Os dados pessoais são supervisionados separadamente pela SDAIA, com base na Lei de Proteção de Dados Pessoais, e os dois regimes se interligam: os regulamentos da PDPL são emitidos após coordenação com a CST.

Quais são os horários permitidos para ligações na Arábia Saudita?

Não há regra publicada de horário permitido para ligações de voz ativas. A proibição das 22:00 às 07:00, normalmente citada como janela de ligação saudita, vem do regulamento antispam, que define mensagem eletrônica de forma a excluir as ligações de voz. Defina como política uma janela diurna conservadora e confirme-a com a CST.

Preciso de consentimento para fazer ligações de marketing na Arábia Saudita?

Sim. O Artigo 25 da PDPL proíbe usar os meios pessoais de comunicação de uma pessoa para enviar material publicitário sem consentimento prévio e exige um mecanismo claro de interrupção. O Artigo 26 só permite o tratamento para marketing quando os dados foram coletados diretamente do titular, com consentimento.

A Arábia Saudita tem um cadastro nacional de Não Perturbe (Do Not Call)?

Nenhum cadastro nacional aparece nos instrumentos publicados, mas isso é ausência de evidência, e não prova de ausência, porque o documento RC05 da CST não pôde ser lido. O que está estabelecido é uma obrigação do remetente: um mecanismo de interrupção gratuito e fácil, com o envio interrompido imediatamente quando solicitado, além de um bloqueio de mensagens pela operadora.

É permitido gravar chamadas na Arábia Saudita?

A gravação parte de uma proibição. O Artigo Trinta e Dois da Lei torna confidenciais as ligações em redes públicas e proíbe gravá-las, exceto nos casos previstos em regulamento, e a gravação também é dado pessoal pela PDPL. Documente uma base legal antes de gravar; nenhum prazo de retenção foi publicado.

O que é a regra das 72 horas no telemarketing saudita?

O Artigo 55.9(d) do Regulamento da Lei de Telecomunicações (Bylaws) exige que quem liga informe, durante a ligação, o direito absoluto da pessoa contatada de cancelar a compra ou locação de qualquer serviço em até 72 horas, ligando para um número específico informado durante a ligação. O mesmo artigo exige que quem liga identifique em nome de quem a ligação é feita, diga a finalidade e informe o preço total.

Quais multas se aplicam na Arábia Saudita?

Elas vêm de duas leis diferentes. A Lei de Telecomunicações e TI prevê até SAR 25 milhões, além de suspensão do serviço, impedimento de licenciamento ou bloqueio de plataforma. A PDPL prevê até SAR 5 milhões para infrações gerais, em dobro na reincidência, e até SAR 3 milhões com dois anos de prisão para infrações com dados sensíveis. Não atribua à PDPL um valor da Lei de Telecomunicações.

Leitura relacionada

• Visão geral do discador para ligações ativas na Arábia Saudita
• Compliance Autopilot
• Controle do pool de identificadores de chamadas
• Guia de conformidade para a região MENA

Este artigo tem caráter apenas informativo e não constitui aconselhamento jurídico. O documento RC05 da CST, instrumento com poder para trazer controles de marketing por telecomunicações, não pôde ser obtido no momento da redação. Confirme os requisitos atuais com a CST, a SDAIA e um advogado local qualificado.