Suudi Arabistan Yurtdışı Arama Uyumluluğu: CST (2026)

Suudi Arabistan, dış ticaret kurallarının en sık yanlış aktarıldığı Körfez pazarıdır. Bu kılavuz, yalnızca Kanun, yönetmelikleri ve Kişisel Veri PDPL gerçekte ne dediğini belirtir ve eksiklikleri eksiklik olarak işaretler.

Suudi Arabistan'dan yurt dışına yapılan harcamalarla ilgili yasal düzenlemelere genel bakış

Suudi Arabistan'da yurt dışı aramaları kim düzenliyor?

CST, telekomünikasyon ve bilişim teknolojileri sektörünü düzenler. 10 Kasım 2022'de 235 numaralı Bakanlar Kurulu kararnamesiyle İletişim ve Bilgi Teknolojileri Komisyonu'ndan CST olarak yeniden adlandırılmıştır. Birçok operatör hala CITC demektedir; mevcut adı CST'dir.

Uygulama Yönetmeliği'nin 79(1)(f) maddesi, CST'ye telekomünikasyon pazarlama kontrollerini de içeren kullanıcı haklarını koruma kuralları çıkarma yetkisi vermektedir. Bunlar, 08-02-2024 tarihli 552/1445 sayılı karar olan RC05 belgesi olarak yayınlanmıştır; ancak metnine bu yazının yazıldığı sırada ulaşılamamıştır. RC05, Suudi Arabistan'a özgü arama saatleri kuralı, arama yapmama yükümlülüğü veya pazarlama numarası kuralı gibi herhangi bir kuralın en olası kaynağıdır; bu nedenle CST'den talep edin ve içeriğini varsaymayın. SDAIA, veri koruma düzenleyicisidir ve PDPL Verilerin Korunması Kanunu'nun 42. maddesi, CST ile koordinasyon sonrasında çıkarılan düzenlemeleri içermektedir.

Onay ve vazgeçme

PDPL 25. maddesi yürürlükteki kuraldır: Veri sorumlusu, ilgili kişinin kişisel iletişim araçlarını, önceden rızası olmadan ve alıcının bu tür materyalleri almayı durdurmasını sağlayacak açık bir mekanizma olmaksızın reklam veya farkındalık artırıcı materyal göndermek için kullanamaz. 26. madde ise, kişisel verilerin pazarlama amacıyla yalnızca ilgili kişiden doğrudan ve rıza alınarak toplanması halinde işlenebileceğini ekler. Hassas veriler hiçbir zaman pazarlama amacıyla işlenemez.

Uygulama Yönetmeliği, rızanın nasıl olması gerektiğini belirtiyor. Madde 11: Rıza yazılı, sözlü veya elektronik olabilir, özgür iradeyle verilmeli ve amaca yönelik olmalı, daha sonra doğrulanabilmesi için belgelenmeli ve her amaç için ayrı bir rıza verilmelidir. Madde 28, önceden herhangi bir etkileşim olmadığı durumlarda rıza alınmasını ve bunun maddi kanıtını gerektirir. Madde 29, rızanın alınmasında kullanılan süreç kadar basit bir durdurma mekanizması gerektirir ve Madde 12, her zaman geri çekilme olanağı sağlar.

Suudi Arabistan yasalarında pazarlama izni için azami geçerlilik veya sona erme süresi bulunmamaktadır. Kişisel Verilerin Korunması PDPL, Uygulama Yönetmeliği, Transfer Yönetmeliği, spam karşıtı yönetmelik ve ilgili Kanun'un tamamı incelenmiş olup, hiçbirinde bir süre belirlenmemiştir.

Aramayın

Yayınlanan Suudi belgelerinde ulusal bir "Arama Yapılmaması Gereken Numaralar" kaydı bulunmamaktadır. Bu, yokluğun kanıtı değil, delil eksikliğidir: Pazarlama kontrollerini uygulama yetkisine sahip tek belge olan RC05 okunamamıştır.

Burada kurulan şey, gönderici tarafında bir vazgeçme seçeneğidir. PDPL Madde 25(2) ve Uygulama Yönetmeliği Madde 28 ve 29, her göndericinin ücretsiz ve kolay bir durdurma mekanizması çalıştırmasını ve talep üzerine gönderimi derhal durdurmasını gerektirir. Operatörler, mesajlar için ayrı olarak ücretsiz ağ düzeyinde bir engelleme sunmalıdır ve alıcı, spam aldıktan sonra otuz gün içinde düzenleyiciye şikayette bulunabilir.

Arama saatleri ve günleri

Dış aramalar için geçerli bir saat sınırlaması bulunmamaktadır. Kanun, uygulama yönetmeliklerinin her iki nesli, spam karşıtı yönetmelik ve CST yönetmelikleri sicili incelenmiştir.

Genellikle Suudi Arabistan'a özgü arama zaman dilimi olarak belirtilen kural, farklı bir kanala aittir. Spam karşıtı düzenleme, alıcının bu saatler arasında almayı kabul etmediği durumlarda 22:00 ile 07:00 saatleri arasında elektronik mesaj göndermeyi yasaklar ve aynı düzenleme, sesli aramaları hariç tutacak şekilde elektronik mesaj tanımını yapar. Bu kısıtlama, aramaları değil, mesajlaşmayı kapsar. Saat dilimi belirtilmeden saat zamanları ifade edilir; Suudi Arabistan, UTC+03:00'te tek bir zaman dilimi kullanır ve yaz saati uygulaması yoktur; bu, alıntıdan ziyade genel bir gerçektir. Hafta sonu veya tatil günü kuralına rastlanmamıştır.

Arayan kimliği ve numara gösterimi

Suudi Arabistan'da tele pazarlama senaryosuna en yakın kural, Telekomünikasyon Yasası Tüzüğü'nün 55.9. maddesidir. Hizmet sağlayıcı, görüşmenin başında hangi sağlayıcı için yapıldığını ve görüşmenin amacını, görüşme sırasında ise görüşülen herhangi bir ürün veya hizmetin tam fiyatını ve görüşülen kişinin, görüşme sırasında verilen belirli bir numarayı arayarak 72 saat içinde satın alma veya kiralama işlemini iptal etme hakkını açıklamak zorundadır. 55.10. madde ise CST'ye, bir ağın tele pazarlama amacıyla kullanımını tamamen yasaklama veya düzenleme yetkisi vermektedir.

Uygulama Yönetmeliği Madde 28(3)(a), gönderenin adının kimliğini gizlemeden açıkça belirtilmesini gerektirir ve Madde 29(2) de doğrudan pazarlama materyali için aynı şeyi gerektirir. Sahtekarlık önleme görevleri pazarlamacılar yerine operatörlere aittir. Yayınlanmamış olanlar: pazarlama aramalarının özel veya kayıtlı bir numara aralığından gelmesi gerekliliği, gizli veya anonim CLI ile ilgili herhangi bir kural ve pazarlama SMS için kayıtlı gönderen kimliği rejimi.

Çağrı kaydı ve bildirimler

Suudi Arabistan, izin vermekle değil, yasaklamakla işe başlar. Kanunun Otuz İkinci Maddesi: Kamu telekomünikasyon ağları üzerinden yapılan aramalar ve gönderilen bilgiler gizlidir ve yönetmeliklerde belirtilen durumlar dışında incelenemez, dinlenemez veya kaydedilemez. Uygulama Yönetmeliğinin 58(3) Maddesi, sağlayıcıların, yasaların izin verdiği durumlar dışında, kullanıcının iletişimlerini rızası olmadan toplayamayacağını, işleyemeyeceğini veya ifşa edemeyeceğini ekler.

Kayıt da kişisel veridir, çünkü Kişisel Veri Koruma Kanunu'nun PDPL yayınlama tanımı açıkça ses kayıtlarını da kapsamaktadır. Yayınlanmayan durumlar şunlardır: zorunlu kayıt yükümlülüğü, asgari saklama süresi veya öngörülen kayıt bildirim metni.

SMS ve WhatsApp için mesajlaşma kuralları

Mesajlaşma, daha sıkı yayınlanmış kurallara tabidir. Spam karşıtı düzenleme, önceden onay alınması veya göndericiden satın alma gibi önceden bir ilişkinin mevcut olması durumunda gönderime izin verir. Her mesajda, alıcının ücretsiz ve kolay bir şekilde abonelikten çıkabilmesi için gönderenin elektronik adresi, adı ve konusu yer almalıdır ve iletişim bilgileri en az otuz gün boyunca kullanılabilir durumda kalmalıdır. Abonelikten çıkma talebinden sonra 48 saat içinde gönderim durdurulmalı, ardından bir onay gönderilmeli ve kayıtlar altı ay boyunca saklanmalıdır. 22:00 ile 07:00 saatleri arasındaki yasak burada da geçerlidir.

Veri koruma ve saklama

Kişisel Verilerin Korunması PDPL, M/19 sayılı Kraliyet Kararnamesi ile yayımlanmış ve M/148 sayılı kararname ile değiştirilmiştir. 43. Madde, Resmi Gazete'de yayımlanmasından 720 gün sonra yürürlüğe girmesini öngörmektedir. DLA Piper'a göre, bu durum çoğu kuruluş için 14 Eylül 2023 tarihinde yürürlüğe girme ve 14 Eylül 2024 tarihinde uyum sağlama son tarihi anlamına gelmektedir.

Sınır ötesi veri transferi, Ağustos 2024 tarihli Kişisel Verilerin Krallık Dışına Transferi Hakkındaki Yönetmeliğin 2.0 sürümü kapsamında yürütülmektedir. Bu yönetmelik, uygun güvenceler, yetkili makam tarafından standart biçimde yayınlanan standart sözleşme maddeleri ve gruplar için bağlayıcı ortak kurallar öngörmektedir. Arama sisteminiz, kayıtlarınız veya CRM Krallık dışında bulunuyorsa, bu yönetmelik esas alınacaktır.

Kişisel Verilerin PDPL pazarlama verileri için sabit bir saklama süresi belirlemez; kısıtlamalar amaç sınırlaması ve imha hakkıdır. İki kesin rakam da mevcuttur: spam önleme kayıtları abonelikten çıkma talebinden sonra altı ay boyunca saklanır ve Tüzüğün 55.4. maddesi, kullanıcı faturalarının düzenlenmesinden itibaren altı ay boyunca saklanmasını gerektirir.

Cezalar ve uygulama

İki ayrı yol ve bunlar karıştırılmamalıdır. Telekomünikasyon ve Bilişim Kanunu'nun Yirmi Yedinci Maddesi (1), 25 milyon SAR'ı aşmayan bir para cezası, hizmetin tamamen veya kısmen durdurulması, suçlunun lisans almasının veya yenilemesinin engellenmesi ve dijital içerik platformunun bloke edilmesi gibi bir veya daha fazla yaptırıma izin vermektedir. Cezalar orantılı olmalı ve suçlu elde edilen gelirleri teslim etmelidir. Spam karşıtı ihlaller, kendi tarifelerini taşımak yerine bu rejime yönlendirilir.

PDPL 36. maddesi, uyarı veya 5 milyon Suudi Arabistan Riyali'ni aşmayan para cezası öngörüyor ve bu ceza, tekrar eden suçlarda iki katına çıkarak bu limitin iki katına kadar ulaşabiliyor. 35. madde ise, veri sahibine zarar vermek veya menfaat sağlamak amacıyla hassas verileri kasıtlı olarak ifşa etme veya yayınlama durumunda iki yıla kadar hapis veya 3 milyon Suudi Arabistan Riyali'ni aşmayan para cezası veya her ikisini birden öngörüyor. Her iki kanun da ihlal başına geçerli olup, tekrar eden suçlarda katsayı uygulanıyor; hiçbirinde günlük birikim bulunmuyor ve ihlal türüne göre yayınlanmış bir para cezası tarifesi bulunamadı.

2025 ve 2026'da neler değişti?

Taşınan belgeler 2024 tarihli olup, Şubat 2026'daki son kayıtta da geçerliliğini korumaktadır: SMS ile ilgili 515/1445 ve kullanıcı haklarının korunmasıyla ilgili 552/1445 sayılı CST kararları (her ikisi de 08-02-2024 tarihli) ve SDAIA'nın Ağustos 2024 tarihli Transfer Yönetmeliği Sürüm 2.0. DLA Piper'a göre, Şubat 2026 itibariyle PDPL SDAIA tarafından aktif olarak uygulanmaktadır. Tanıtım amaçlı aramalar, pazarlama numarası ön ekleri veya arama yapılmaması kaydı ile ilgili özel bir 2025 veya 2026 CST kuralı veya istişaresi bulunamamıştır.

DialerBee her kuralı nasıl destekliyor?

DialerBee Suudi Arabistan CITC yetki alanı paketini gönderir; bu nedenle Krallık için yapılandırılan kurallar, bu paket kapsamında yapılan her arama için geçerlidir. Uyumluluk Otomatik Pilotu, arama yapılmadan önce her denemeyi DNC listesine, yetki alanı için geçerli arama saatleri aralığına, onay kaydına, arayan kimliğinin sahipliğine, frekans sınırına ve telefon formatına göre kontrol eder. Suudi Arabistan sesli arama aralığı yayınlamadığı için, belirlediğiniz aralık sizin kendi politikanızdır ve platformda bunu uygulamak, her kampanyada aynı aralığın geçerli olmasını sağlar ve yürürlükte olanın kaydı tutulur.

Onay, Uygulama Yönetmeliği Madde 11'in istediği gibi, kaynağı, zaman damgası ve kanalıyla birlikte her bir kişi için takip edilir ve engelleme kampanyalar arasında geçerlidir. Arayan kimliği havuzu kontrolü, her kampanyanın hangi numarayı göstereceğini belirler. Kayıt, kampanya ve kiracı başına yapılandırılabilir saklama süresi ve yasal saklama içerir; bu, bir dayanak olmadığı sürece kaydın yasak olduğu durumlarda önemlidir. Komut dosyaları Arapça dahil 11 dilde çalışır, böylece kimlik ifşası ve 72 saatlik iptal bildirimi alıcıya kendi dilinde ulaşır. Bunlar, yükümlülüklerinizi yerine getirmenize yardımcı olan uyumluluğu destekleyici kontrollerdir; yasal incelemenin yerini almazlar.

Suudi Arabistan'dan yurt dışına seyahat uyumluluk kontrol listesi

• Dahili arama politikası yazmadan önce doğrudan CST belgesi RC05'i isteyin ve okuyun.
• Pazarlama iznini doğrudan veri sahibinden alın, asla satın alınmış bir listeden değil, ve her amaç için ayrı bir onay ile zamanını ve yöntemini kaydedin.
• Onay istemeden önce geri çekme mekanizmasını oluşturun, durdurmayı kaydolmak kadar kolay hale getirin ve talep üzerine ücretsiz olarak durdurun.
• Her aramayı, aramanın kime yapıldığını ve amacını belirterek başlatın.
• Görüşme sırasında toplam fiyatı belirtin ve 72 saatlik iptal hakkını ve bunun için gerekli numarayı verin.
• CST ile teyit ettiğiniz, günün belirli saatleri içinde giden sesli aramaları gerçekleştirin.
• Pazarlama mesajlarını 22:00 ile 07:00 saatleri dışında yayınlayın ve gönderenin iletişim bilgilerini otuz gün boyunca aktif tutun.
• Herhangi bir görüşmeyi kaydetmeden önce yasal dayanağı belgeleyin ve yurt dışına yapılan her havaleyi Ağustos 2024 Havale Yönetmeliği'ne uygun olarak kayıt altına alın.
• İstenen e-postalara ilişkin onay ve abonelikten çıkma kayıtlarını, talep tarihinden itibaren altı ay boyunca saklayın.
• Para cezalarını doğru kanun maddesine dayandırın: 25 milyon Suudi Arabistan Riyali Telekomünikasyon Kanunu, 5 milyon Suudi Arabistan Riyali PDPL Kanunu'dur.

Kaynaklar

1. Telekomünikasyon ve Bilgi Teknolojileri Kanunu, 02/11/1443H tarihli M/106 sayılı Kraliyet Kararnamesi (CST, arşivlenmiş). web.archive.org
2. Telekomünikasyon Kanunu Tüzüğü, 17/05/1423H tarihli ve 11 sayılı Karar (değişiklikleriyle birlikte), Madde 55.9 (CST, arşivlenmiş). web.archive.org
3. SPAM'in Azaltılmasına İlişkin Yönetmelik (CITC, arşivlenmiş). web.archive.org
4. CST sicil kaydı, RC05 Kullanıcı Haklarının Korunması Yönetmeliği, 552/1445 sayılı karar, 08-02-2024. web.archive.org
5. Kişisel Verilerin Korunması Kanunu, M/19 sayılı Kraliyet Kararnamesi, M/148 sayılı değişiklikle (SDAIA). sdaia.gov.sa
6. PDPL Uygulama Yönetmeliği (SDAIA). sdaia.gov.sa
7. Kişisel Verilerin Krallık Dışına Aktarılmasına İlişkin Yönetmelik, Sürüm 2.0, Ağustos 2024 (SDAIA). sdaia.gov.sa
8. DLA Piper, Dünyanın Veri Koruma Yasaları, Suudi Arabistan, erişim tarihi 11 Eylül 2026 (Gregoryen tarihler ve uygulama duruşu için ikincil kaynak). dlapiperdataprotection.com

Sıkça sorulan sorular

Suudi Arabistan'da yurt dışı aramaları kim düzenliyor?

İletişim, Uzay ve Teknoloji Komisyonu (CST), 10 Kasım 2022 tarihinde CITC olarak yeniden adlandırılmıştır. Kişisel veriler, Kişisel Verilerin Korunması Kanunu kapsamında SDAIA tarafından ayrı olarak denetlenmekte olup, iki rejim birbirine bağlıdır: PDPL Verilerin Korunması Kanunu, CST ile koordinasyon sağlandıktan sonra kendi düzenlemelerini yayınlamaktadır.

Suudi Arabistan'da izin verilen arama saatleri nelerdir?

Yurtdışına yapılan sesli aramalar için herhangi bir izin verilen saat kuralı yayınlanmamıştır. Genellikle Suudi Arabistan'da arama için geçerli olduğu belirtilen 22:00-07:00 saatleri arasındaki yasak, elektronik mesajları sesli aramaları hariç tutacak şekilde tanımlayan spam karşıtı düzenlemeden kaynaklanmaktadır. Muhafazakar bir gündüz saat aralığı belirleyin ve bunu CST ile teyit edin.

Suudi Arabistan'da pazarlama amaçlı telefon görüşmeleri yapmak için izin almam gerekiyor mu?

Evet. PDPL 25. maddesi, bir kişinin kişisel iletişim araçlarının önceden izni olmadan reklam materyali göndermek için kullanılmasını yasaklar ve açık bir durdurma mekanizması gerektirir. 26. madde ise, pazarlama amacıyla işlemeye yalnızca verilerin ilgili kişiden doğrudan ve rıza alınarak toplanması durumunda izin verir.

Suudi Arabistan'da ulusal bir "Arama Yapılmaması Gereken Çağrılar" listesi var mı?

Yayınlanan belgelerde ulusal bir kayıt görünmüyor, ancak bu, yokluğun kanıtı değil, delil eksikliğidir, çünkü CST belgesi RC05 okunamadı. Kurulan şey, gönderici tarafında bir yükümlülüktür: ücretsiz, kolay bir durdurma mekanizması, istek üzerine gönderimin anında durdurulması ve mesajlar için bir operatör engellemesi.

Suudi Arabistan'da telefon görüşmelerini kaydetmek serbest mi?

Kayıt işlemi bir yasakla başlar. Kanunun Otuz İkinci Maddesi, kamu ağları üzerinden yapılan aramaları gizli tutar ve yönetmeliklerde belirtilen durumlar dışında kayıt altına alınmasını yasaklar; ayrıca kayıt, Kişisel Verilerin Korunması Kanunu PDPL uyarınca kişisel veridir. Kayıt yapmadan önce yasal bir dayanağı belgeleyin; saklama süresi yayınlanmamıştır.

Suudi Arabistan'da tele pazarlamada 72 saat kuralı nedir?

Telekomünikasyon Yasası Tüzüğü Madde 55.9(d), arayan kişinin, görüşme sırasında, aranan kişinin, görüşme sırasında verilen belirli bir numarayı arayarak herhangi bir hizmetin satın alımını veya kiralanmasını 72 saat içinde iptal etme hakkına sahip olduğunu bildirmesini gerektirir. Aynı madde, arayan kişinin aramanın kime yapıldığını belirtmesini, amacını açıklamasını ve tam fiyatı vermesini de gerektirir.

Suudi Arabistan'da hangi para cezaları uygulanır?

Bu rakamlar iki farklı kanundan geliyor. Telekomünikasyon ve Bilişim Teknolojileri Kanunu, 25 milyon Suudi Arabistan Riyali'ne kadar para cezası ve hizmetin durdurulması, lisans yasağı veya platform engellemesi öngörüyor. Kişisel Veri Koruma Kanunu PDPL ise genel ihlaller için 5 milyon Suudi Arabistan Riyali'ne kadar, tekrarında iki katına çıkan para cezası ve hassas veri suçları için 3 milyon Suudi Arabistan Riyali'ne kadar para cezası ve iki yıl hapis cezası öngörüyor. Telekomünikasyon ve Bilişim Teknolojileri Kanunu'ndaki bir rakamı Kişisel Veri PDPL Kanunu'na atfetmeyin.

İlgili okuma

• Suudi Arabistan dış arama sistemi genel bakışı
• Uyumluluk otopilotu
• Arayan Kimliği havuzu kontrolü
• MENA uyumluluk kılavuzu

Bu makale genel bilgilendirme amaçlıdır ve hukuki tavsiye niteliği taşımaz. Telekomünikasyon pazarlama kontrollerini içeren yetkiye sahip olan CST belgesi RC05, bu metnin yazıldığı sırada erişilememiştir. Güncel gereklilikleri CST, SDAIA ve yetkili yerel hukuk danışmanınızla teyit edin.