Suudi Arabistan Giden Arama Uyumluluğu: CST (2026)

Suudi Arabistan, dış arama kuralları en sık yanlış aktarılan Körfez pazarıdır. Bu rehber yalnızca Kanun'un, yönetmeliklerinin ve PDPL'nin gerçekte ne söylediğini aktarır; boşlukları da boşluk olarak belirtir.

Bir bakışta Suudi Arabistan dış arama uyumluluğu

Suudi Arabistan'da dış aramaları kim düzenliyor?

CST, telekomünikasyon ve bilgi teknolojileri sektörünü düzenler. Önceki adı İletişim ve Bilgi Teknolojileri Komisyonu (CITC) olan kurum, 10 Kasım 2022'de 235 sayılı Bakanlar Kurulu kararıyla yeniden adlandırıldı. Birçok operatör hâlâ CITC der; güncel adı CST'dir.

Uygulama Yönetmeliği'nin 79(1)(f) maddesi, CST'ye telekomünikasyon pazarlama kontrollerini de içeren kullanıcı haklarını koruma kuralları çıkarma yetkisi verir. Bu kurallar 08-02-2024 tarihli 552/1445 sayılı kararla RC05 belgesi olarak yayımlandı; ancak bu yazının hazırlandığı tarihte metnine ulaşılamadı. Suudi Arabistan'a özgü bir arama saati kuralı, aranmama yükümlülüğü veya pazarlama numarası kuralı varsa en olası yeri RC05'tir; bu nedenle belgeyi CST'den talep edin ve içeriği hakkında varsayımda bulunmayın. Veri koruma düzenleyicisi SDAIA'dır ve PDPL Madde 42 uyarınca PDPL yönetmelikleri CST ile koordinasyon sonrasında çıkarılır.

Rıza ve vazgeçme (opt-out)

Belirleyici kural PDPL Madde 25'tir: Veri sorumlusu, ilgili kişinin kişisel iletişim araçlarını önceden onay almadan ve alıcının gönderimi durdurmasını sağlayan açık bir mekanizma sunmadan reklam veya bilgilendirme amaçlı içerik göndermek için kullanamaz. Madde 26, kişisel verilerin pazarlama amacıyla ancak ilgili kişiden doğrudan ve onayla toplanmışsa işlenebileceğini ekler. Hassas veriler hiçbir koşulda pazarlama amacıyla işlenemez.

Uygulama Yönetmeliği onayın nasıl olması gerektiğini belirtir. Madde 11: Onay yazılı, sözlü veya elektronik olabilir; özgür iradeyle ve belirli bir amaç için verilmeli, sonradan doğrulanabilecek şekilde belgelenmeli ve her amaç için ayrı alınmalıdır. Madde 28, daha önce bir etkileşim yoksa onayı ve bunun somut kanıtını şart koşar. Madde 29, onayın alındığı süreç kadar basit bir durdurma mekanizması ister; Madde 12 ise onayın her zaman geri çekilebilmesini sağlar.

Suudi mevzuatında pazarlama onayı için azami geçerlilik veya sona erme süresi yoktur. PDPL, Uygulama Yönetmeliği, Aktarım Yönetmeliği, istenmeyen mesaj yönetmeliği ve Kanun'un tamamı incelendi; hiçbiri bir süre belirlemiyor.

Aranmama listesi (Do Not Call)

Yayımlanmış Suudi mevzuatında ulusal bir Aranmama (DNC) sicili yer almıyor. Bu, olmadığının kanıtı değil, kanıt bulunamaması anlamına gelir: Pazarlama kontrollerini içermeye yetkili tek belge olan RC05 okunamadı.

Kesin olan, gönderen tarafında bir çıkma (opt-out) hakkıdır. PDPL Madde 25(2) ile Uygulama Yönetmeliği Madde 28 ve 29, her gönderenin ücretsiz ve kolay bir durdurma mekanizması işletmesini ve talep üzerine gönderimi derhal durdurmasını şart koşar. Operatörler ayrıca mesajlar için ücretsiz, şebeke düzeyinde bir engelleme sunmak zorundadır ve alıcı, istenmeyen mesajı aldıktan sonra otuz gün içinde düzenleyiciye şikâyette bulunabilir.

Arama saatleri ve günleri

Sesli tele pazarlama aramaları için yayımlanmış bir izinli saat kuralı yoktur. Kanun, uygulama yönetmeliklerinin her iki kuşağı, istenmeyen mesaj yönetmeliği ve CST yönetmelik sicili tek tek tarandı.

Genellikle Suudi arama saati olarak aktarılan kural başka bir kanala aittir. İstenmeyen mesaj yönetmeliği, alıcının bu saatlerde mesaj almaya onay vermediği durumlarda 22:00-07:00 arasında elektronik mesaj gönderilmesini yasaklar; aynı yönetmelik elektronik mesajı sesli aramaları hariç tutacak şekilde tanımlar. Yani bu yasak aramaları değil, mesajlaşmayı bağlar. Kural, saat dilimi belirtmeden saat verir; Suudi Arabistan yaz saati uygulaması olmadan UTC+03:00 tek saat dilimini kullanır (bu bir alıntı değil, genel bir bilgidir). Hafta sonu veya resmî tatil kuralına rastlanmadı.

Arayan numara (CLI) ve numara gösterimi

Suudi Arabistan'ın tele pazarlama senaryosu kuralına en yakın düzenlemesi Telekom Kanunu Tüzüğü Madde 55.9'dur. Hizmet sağlayıcı, aramanın başında hangi sağlayıcı adına arandığını ve aramanın amacını; görüşme sırasında da konuşulan ürün veya hizmetin tam fiyatını ve aranan kişinin, görüşmede verilen belirli bir numarayı arayarak bir satın alma veya kiralamayı 72 saat içinde iptal etme konusundaki mutlak hakkını bildirmek zorundadır. Madde 55.10 ise CST'ye bir şebekenin tele pazarlama için kullanılmasını tamamen yasaklama veya düzenleme yetkisi verir.

Uygulama Yönetmeliği Madde 28(3)(a), gönderenin adının kimliği gizlenmeden açıkça belirtilmesini; Madde 29(2) de doğrudan pazarlama içeriği için aynısını şart koşar. Numara sahteciliğini (spoofing) önleme yükümlülüğü pazarlamacılarda değil operatörlerdedir. Yayımlanmamış olanlar: pazarlama aramalarının özel veya kayıtlı bir numara aralığından yapılması gerekliliği, gizli veya anonim CLI ile ilgili herhangi bir kural ve pazarlama SMS'leri için kayıtlı gönderici kimliği (sender ID) rejimi.

Çağrı kaydı ve bildirimler

Suudi Arabistan izinden değil, yasaktan yola çıkar. Kanun'un Otuz İkinci Maddesi: Kamuya açık telekomünikasyon ağları üzerinden yapılan aramalar ve gönderilen bilgiler gizlidir; yönetmeliklerde belirtilen durumlar dışında incelenemez, dinlenemez veya kaydedilemez. Uygulama Yönetmeliği Madde 58(3), sağlayıcıların kanunların izin verdiği durumlar dışında kullanıcının iletişimlerini onayı olmadan toplayamayacağını, işleyemeyeceğini veya ifşa edemeyeceğini ekler.

Ses kaydı aynı zamanda kişisel veridir; çünkü PDPL'deki yayımlama tanımı sesi açıkça kapsar. Yayımlanmamış olanlar: zorunlu kayıt yükümlülüğü, asgari saklama süresi veya öngörülmüş bir kayıt bildirimi metni.

SMS ve WhatsApp için mesajlaşma kuralları

Yayımlanmış kurallar mesajlaşma için daha sıkıdır. İstenmeyen mesaj yönetmeliği, gönderime önceden onay alınmışsa ya da gönderenden satın alma gibi önceden bir ilişki varsa izin verir. Her mesaj, alıcının ücretsiz ve kolayca abonelikten çıkabilmesi için gönderenin elektronik adresini, adını ve konuyu içermeli; bu iletişim bilgisi en az otuz gün kullanılabilir kalmalıdır. Abonelikten çıkma talebinden sonraki 48 saat içinde gönderim durmalı, ardından bir teyit gönderilmeli ve kayıtlar bundan sonra altı ay saklanmalıdır. 22:00-07:00 yasağı burada geçerlidir.

Veri koruma ve saklama

PDPL, M/19 sayılı Kraliyet Kararnamesi ile çıkarılmış ve M/148 ile değiştirilmiştir. Madde 43 uyarınca Resmî Gazete'de yayımlanmasından 720 gün sonra yürürlüğe girer. DLA Piper'a göre bu, 14 Eylül 2023'te yürürlüğe giriş ve kuruluşların çoğu için 14 Eylül 2024 uyum son tarihi anlamına gelir.

Sınır ötesi aktarım, Ağustos 2024 tarihli Kişisel Verilerin Krallık Dışına Aktarılması Yönetmeliği Sürüm 2.0'a tabidir. Yönetmelik uygun güvencelere, yetkili makamca standart formda yayımlanan standart sözleşme hükümlerine ve şirket grupları için bağlayıcı ortak kurallara izin verir. Dialer'ınız, kayıtlarınız veya CRM'iniz Krallık dışında barındırılıyorsa, belgelerinizi bu yönetmeliğe göre hazırlamanız gerekir.

PDPL pazarlama verileri için sabit bir saklama süresi belirlemez; sınırlar amaçla sınırlılık ilkesi ve imha hakkıdır. Yakında iki kesin rakam vardır: istenmeyen mesaj kayıtlarının abonelikten çıkma talebinden sonra altı ay saklanması ve Tüzük Madde 55.4 uyarınca kullanıcı faturalarının düzenlendikleri tarihten itibaren altı ay saklanması.

Cezalar ve yaptırımlar

İki ayrı yol vardır ve birbirine karıştırılmamalıdır. Telekomünikasyon ve Bilgi Teknolojileri Kanunu'nun Yirmi Yedinci Maddesi (1), SAR 25 milyonu aşmayan para cezası, hizmetin tamamen veya kısmen durdurulması, ihlalcinin lisans almasının veya yenilemesinin engellenmesi ve bir dijital içerik platformunun erişime kapatılması yaptırımlarından bir veya birkaçına izin verir. Cezalar orantılı olmalıdır ve ihlalci elde ettiği kazancı teslim etmelidir. İstenmeyen mesaj ihlalleri kendi ceza tarifesine sahip değildir, bu rejime tabidir.

PDPL'de Madde 36, uyarı veya SAR 5 milyonu aşmayan para cezası öngörür; tekrarında ceza bu sınırın iki katına kadar çıkabilir. Madde 35, ilgili kişiye zarar vermek veya çıkar sağlamak amacıyla hassas verileri kasten ifşa etme veya yayımlama durumunda iki yıla kadar hapis veya SAR 3 milyonu aşmayan para cezası ya da her ikisini öngörür. Her iki kanunda da cezalar ihlal başınadır ve tekrar çarpanı vardır; hiçbirinde gün bazında birikim yoktur ve ihlal türüne göre yayımlanmış bir ceza tarifesi bulunamadı.

2025 ve 2026'da neler değişti?

Değişen düzenlemeler 2024 tarihlidir ve Şubat 2026'daki son kontrolde de güncelliğini koruyordu: SMS'e ilişkin 515/1445 ve kullanıcı haklarının korunmasına ilişkin 552/1445 sayılı CST kararları (her ikisi de 08-02-2024 tarihli) ve SDAIA'nın Ağustos 2024 tarihli Aktarım Yönetmeliği Sürüm 2.0. DLA Piper'a göre Şubat 2026 itibarıyla PDPL, SDAIA tarafından aktif olarak uygulanmaktadır. Tanıtım aramaları, pazarlama numarası ön ekleri veya bir aranmama sicili hakkında 2025 veya 2026 tarihli özel bir CST kuralı ya da istişaresi bulunamadı.

DialerBee her kuralı nasıl destekler?

DialerBee bir KSA CST yargı alanı paketiyle gelir; böylece Krallık için yapılandırılan kurallar bu paket altında yapılan her aramaya uygulanır. Compliance Autopilot, arama yapılmadan önce her denemeyi DNC listesine, yargı alanına ait arama saati aralığına, onay kaydına, arayan numaranın sahipliğine, sıklık sınırına ve telefon formatına karşı kontrol eder. Suudi Arabistan sesli aramalar için bir saat aralığı yayımlamadığından, belirlediğiniz aralık sizin kendi politikanızdır; bunu platformda uygulamak her kampanyada aynı aralığın geçerli olmasını ve o anda neyin yürürlükte olduğunun kaydını sağlar.

Onay, Uygulama Yönetmeliği Madde 11'in istediği şekilde, her kişi için kaynağı, zaman damgası ve kanalıyla birlikte izlenir; engelleme tüm kampanyalarda geçerli olur. Arayan numara havuzu kontrolü, her kampanyanın hangi numarayı göstereceğini belirler. Çağrı kaydı; kampanya ve kiracı bazında yapılandırılabilir saklama süresi ve yasal saklama (legal hold) özelliği sunar. Bu, bir dayanak olmadıkça kaydın yasak olduğu durumlarda önemlidir. Senaryolar Arapça dahil 11 dilde çalışır; böylece kimlik bildirimi ve 72 saatlik iptal bilgilendirmesi alıcıya kendi dilinde ulaşır. Bunlar yükümlülüklerinizi yerine getirmenize yardımcı olan, uyumluluğu destekleyen kontrollerdir; hukuki incelemenin yerini tutmaz.

Suudi Arabistan dış arama uyumluluğu kontrol listesi

• Dahili arama politikanızı yazmadan önce CST'nin RC05 belgesini doğrudan talep edip okuyun.
• Pazarlama onayını hiçbir zaman satın alınmış bir listeden değil, doğrudan ilgili kişiden alın; zamanını ve yöntemini kaydedin ve her amaç için ayrı onay alın.
• Onay istemeden önce geri çekme mekanizmasını kurun; çıkmayı katılmak kadar kolay hâle getirin ve talep üzerine ücretsiz olarak durdurun.
• Her aramayı, kimin adına arandığını ve aramanın amacını belirterek açın.
• Görüşme sırasında tam fiyatı belirtin; 72 saatlik iptal hakkını ve bunun için aranacak numarayı verin.
• Sesli dış aramaları, CST ile teyit ettiğiniz temkinli bir gündüz aralığında tutun.
• Pazarlama mesajlarını 22:00-07:00 aralığının dışında gönderin ve gönderen iletişim bilgisini otuz gün boyunca aktif tutun.
• Herhangi bir aramayı kaydetmeden önce hukuki dayanağı belgeleyin ve yurt dışına yapılan her veri aktarımını Ağustos 2024 tarihli Aktarım Yönetmeliği'ne göre belgelendirin.
• İstenmeyen mesaj kapsamındaki onay ve abonelikten çıkma kayıtlarını talepten sonra altı ay saklayın.
• Cezaları doğru kanuna bağlayın: SAR 25 milyon Telekom Kanunu'na, SAR 5 milyon PDPL'ye aittir.

Kaynaklar

1. Telekomünikasyon ve Bilgi Teknolojileri Kanunu, 02/11/1443H tarihli M/106 sayılı Kraliyet Kararnamesi (CST, arşiv). web.archive.org
2. Telekomünikasyon Kanunu Tüzüğü, 17/05/1423H tarihli 11 sayılı Karar (değişiklikleriyle), Madde 55.9 (CST, arşiv). web.archive.org
3. İstenmeyen Mesajların (SPAM) Azaltılması Yönetmeliği (CITC, arşiv). web.archive.org
4. CST sicil kaydı, RC05 Kullanıcı Haklarının Korunması Kuralları Yönetmeliği, 552/1445 sayılı karar, 08-02-2024. web.archive.org
5. Kişisel Verilerin Korunması Kanunu, M/148 ile değişik M/19 sayılı Kraliyet Kararnamesi (SDAIA). sdaia.gov.sa
6. PDPL Uygulama Yönetmeliği (SDAIA). sdaia.gov.sa
7. Kişisel Verilerin Krallık Dışına Aktarılması Yönetmeliği, Sürüm 2.0, Ağustos 2024 (SDAIA). sdaia.gov.sa
8. DLA Piper, Data Protection Laws of the World, Suudi Arabistan, erişim tarihi 11 Eylül 2026 (Miladi tarihler ve uygulama durumu için ikincil kaynak). dlapiperdataprotection.com

Sıkça sorulan sorular

Suudi Arabistan'da dış aramaları kim düzenliyor?

İletişim, Uzay ve Teknoloji Komisyonu (CST); 10 Kasım 2022'de CITC olan adı değiştirilmiştir. Kişisel veriler ise Kişisel Verilerin Korunması Kanunu (PDPL) kapsamında ayrıca SDAIA tarafından denetlenir ve iki rejim birbirine bağlıdır: PDPL'nin yönetmelikleri CST ile koordinasyon sonrasında çıkarılır.

Suudi Arabistan'da izin verilen arama saatleri nelerdir?

Sesli dış aramalar için yayımlanmış bir izinli saat kuralı yoktur. Sıkça Suudi arama saati olarak aktarılan 22:00-07:00 yasağı, elektronik mesajı sesli aramaları hariç tutacak şekilde tanımlayan istenmeyen mesaj yönetmeliğinden gelir. Politika olarak temkinli bir gündüz aralığı belirleyin ve bunu CST ile teyit edin.

Suudi Arabistan'da pazarlama araması yapmak için onay gerekir mi?

Evet. PDPL Madde 25, bir kişinin kişisel iletişim araçlarının önceden onay olmadan reklam içeriği göndermek için kullanılmasını yasaklar ve açık bir durdurma mekanizması şart koşar. Madde 26, pazarlama amaçlı işlemeye yalnızca veriler ilgili kişiden doğrudan ve onayla toplanmışsa izin verir.

Suudi Arabistan'da ulusal bir Aranmama (DNC) sicili var mı?

Yayımlanmış mevzuatta ulusal bir sicil yer almıyor; ancak CST'nin RC05 belgesi okunamadığı için bu, olmadığının kanıtı değil, kanıt bulunamaması anlamına gelir. Kesin olan gönderen tarafındaki yükümlülüktür: ücretsiz ve kolay bir durdurma mekanizması, talep üzerine gönderimin derhal durdurulması ve mesajlar için operatör düzeyinde engelleme.

Suudi Arabistan'da çağrı kaydına izin var mı?

Kayıt konusunda çıkış noktası yasaktır. Kanun'un Otuz İkinci Maddesi kamuya açık ağlar üzerinden yapılan aramaları gizli sayar ve yönetmeliklerde belirtilen durumlar dışında kaydedilmelerini yasaklar; ses kaydı ayrıca PDPL kapsamında kişisel veridir. Kayıt yapmadan önce hukuki bir dayanak belgeleyin; yayımlanmış bir saklama süresi yoktur.

Suudi tele pazarlamada 72 saat kuralı nedir?

Telekom Kanunu Tüzüğü Madde 55.9(d), arayanın görüşme sırasında, aranan kişinin herhangi bir hizmetin satın alınmasını veya kiralanmasını, görüşmede verilen belirli bir numarayı arayarak 72 saat içinde iptal etme konusundaki mutlak hakkını bildirmesini şart koşar. Aynı madde, arayanın aramanın kimin adına yapıldığını belirtmesini, amacını açıklamasını ve tam fiyatı vermesini de ister.

Suudi Arabistan'da hangi para cezaları uygulanır?

Cezalar iki farklı kanundan gelir. Telekomünikasyon ve Bilgi Teknolojileri Kanunu, SAR 25 milyona kadar para cezasının yanı sıra hizmetin durdurulması, lisans yasağı veya platform engellemesi öngörür. PDPL ise genel ihlaller için SAR 5 milyona kadar (tekrarında iki katı), hassas verilere ilişkin suçlar için SAR 3 milyona kadar para cezası ve iki yıl hapis öngörür. Telekom Kanunu'na ait bir rakamı PDPL'ye atfetmeyin.

İlgili okumalar

• Suudi Arabistan dış arama dialer'ına genel bakış
• Uyumluluk Otomatik Pilotu
• Arayan numara (CLI) havuzu kontrolü
• MENA uyumluluk rehberi

Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık değildir. Telekomünikasyon pazarlama kontrollerini içermeye yetkili belge olan CST'nin RC05 belgesine bu yazının hazırlandığı tarihte ulaşılamadı. Güncel gereklilikleri CST, SDAIA ve yetkin bir yerel hukuk danışmanıyla teyit edin.