Arabie saoudite : les règles cookies et consentement de la PDPL

Qu’est-ce que la PDPL saoudienne ?

La Personal Data Protection Law (loi sur la protection des données personnelles) a été promulguée par le décret royal nº M/19 du 9/2/1443H (16 septembre 2021) et modifiée par le décret royal nº M/148 du 5/9/1444H (mars 2023) avant son entrée en vigueur. Son article 43 fixait l’entrée en vigueur à 720 jours après la publication, soit le 14 septembre 2023. Le décret royal M/19 a accordé aux responsables de traitement un délai de grâce d’un an, pendant lequel la SDAIA n’a pas appliqué de sanctions : la loi est donc pleinement applicable depuis le 14 septembre 2024. Deux textes la complètent : le règlement d’application (Implementing Regulation) et le règlement sur le transfert des données personnelles hors du Royaume (Regulation on Personal Data Transfer outside the Kingdom).

L’autorité compétente est la Saudi Data and AI Authority (SDAIA, autorité saoudienne des données et de l’intelligence artificielle). La décision nº 98 du Conseil des ministres du 7/2/1443H a désigné la SDAIA pour une période initiale de deux ans, avec un transfert possible ultérieur au National Data Management Office ; la SDAIA supervise toujours la loi et ses commissions chargées des manquements en 2026. Elle gère la National Data Governance Platform (plateforme nationale de gouvernance des données), où les responsables de traitement s’enregistrent et notifient les violations de données.

À qui s’applique la PDPL ?

L’article 2 applique la loi à tout traitement de données personnelles effectué dans le Royaume, par quelque moyen que ce soit, y compris le traitement des données personnelles de personnes résidant dans le Royaume par toute partie située hors de celui-ci. Une boutique en ligne ou un éditeur étranger qui suit des visiteurs saoudiens entre dans ce texte. Il n’y a pas de seuil de taille. Seul le traitement à usage personnel ou familial, sans publication à des tiers, est exclu.

Les données personnelles sont définies largement comme toute donnée, quelles que soient sa source ou sa forme, qui peut conduire à identifier une personne directement ou indirectement, avec une liste d’exemples qui se termine par toute autre donnée à caractère personnel. La définition ne mentionne pas les identifiants en ligne, mais un identifiant de cookie ou un identifiant publicitaire rattaché au profil d’un visiteur peut identifier cette personne indirectement : le plus sûr est de le traiter comme une donnée personnelle.

Les cookies exigent-ils un consentement en Arabie saoudite ?

Il n’existe pas d’équivalent saoudien de la règle ePrivacy de l’UE sur le stockage d’informations dans un terminal. La réponse vient des règles générales de la PDPL, qui placent le consentement en premier. L’article 5 interdit de traiter des données personnelles, ou d’en changer la finalité, sans le consentement de la personne concernée, sauf dans les cas que la loi énumère. L’article 6 les énumère : le traitement qui sert les intérêts réels de la personne lorsqu’il est impossible de la contacter, le traitement prévu par une autre loi ou par un accord préalable avec la personne, les besoins de sécurité ou judiciaires d’une entité publique, et l’intérêt légitime du responsable, à condition que les droits de la personne ne soient pas lésés et qu’aucune donnée sensible ne soit traitée.

Le règlement d’application fixe les conditions du consentement à son article 11 :

• il doit être donné librement et ne pas être obtenu par des procédés trompeurs ;
• les finalités doivent être claires et précises et expliquées avant ou au moment où le consentement est demandé ;
• il doit être documenté de façon à pouvoir être vérifié ultérieurement, par exemple dans un registre qui consigne la date et le moyen de chaque consentement ;
• un consentement distinct est nécessaire pour chaque finalité de traitement ;
• il doit être explicite lorsque des données sensibles ou des données de crédit sont en jeu, ou lorsque des décisions sont prises uniquement par un traitement automatisé.

L’article 12 du règlement ajoute que retirer son consentement doit être aussi simple, ou plus simple, que le donner, et que le traitement cesse sans retard injustifié après le retrait. L’article 7 de la loi interdit de subordonner un service au consentement, sauf si le service est directement lié au traitement.

L’intérêt légitime n’est pas un raccourci. L’article 16 du règlement ne l’autorise que si la finalité est licite, si l’intérêt du responsable ne prévaut pas sur les droits de la personne, si aucune donnée sensible n’est traitée et si le traitement reste dans les attentes raisonnables de la personne, et le responsable doit d’abord mener et documenter une évaluation. La détection de la fraude et la sécurité des réseaux sont les exemples donnés. Les profils publicitaires entre sites entrent difficilement dans les attentes raisonnables d’un visiteur : ils sont plus sûrs sur le consentement, tandis que les cookies strictement nécessaires peuvent reposer sur le service demandé par le visiteur.

Mis bout à bout, un bandeau conforme demande le consentement par finalité (mesure d’audience, marketing, fonctionnels), sans rien d’activé à l’avance, avec une option Refuser et un enregistrement de chaque choix : c’est le modèle de consentement granulaire du RGPD. L’article 12 de la loi exige aussi une politique de confidentialité disponible avant toute collecte de données, qui indique les finalités, les données, les moyens de collecte, de traitement, de conservation et de destruction, et les droits de la personne. La prospection directe par e-mail ou par d’autres moyens personnels exige un consentement préalable et un moyen simple d’y mettre fin (article 25 de la loi, article 29 du règlement).

Les données peuvent-elles être envoyées hors d’Arabie saoudite ?

L’article 29 de la loi autorise les transferts pour des finalités énumérées lorsqu’ils ne portent atteinte ni à la sécurité nationale ni aux intérêts vitaux du Royaume, qu’ils se limitent au minimum de données nécessaire et que la destination offre une protection au moins équivalente à celle de la PDPL, selon l’appréciation de l’autorité compétente. En l’absence de décision d’adéquation, le règlement sur les transferts autorise les transferts moyennant des garanties appropriées : règles communes contraignantes, clauses contractuelles types de la SDAIA, certifications approuvées ou codes de conduite contraignants, plus des cas d’exemption précis et une évaluation des risques dans certaines situations. Les outils de mesure d’audience et de publicité qui traitent les données à l’étranger ont besoin de l’une de ces bases.

Quelles sont les sanctions ?

L’article 36 permet aux commissions de la SDAIA de prononcer un avertissement ou une amende jusqu’à 5 millions de SAR pour toute violation de la loi ou de ses règlements, doublée en cas de récidive dans la limite de 10 millions de SAR, avec un recours devant le tribunal compétent. L’article 35 punit la divulgation ou la publication de données sensibles, dans l’intention de nuire à la personne concernée ou pour un profit personnel, d’une peine allant jusqu’à deux ans d’emprisonnement, d’une amende jusqu’à 3 millions de SAR, ou des deux. Les décisions peuvent être publiées aux frais de l’auteur du manquement (article 38), et toute personne lésée peut demander réparation en justice (article 40).

Les contrôles ont commencé. Le 16 janvier 2026, la Saudi Press Agency a rapporté que les commissions de la SDAIA chargées des manquements avaient rendu l’année précédente 48 décisions constatant des manquements de responsables de traitement, portant sur la collecte et le traitement illicites, la divulgation sans justification légale, l’absence de mesures de sécurité, et l’envoi de messages publicitaires et marketing sans consentement. Les décisions individuelles et les montants n’ont pas été publiés.

Comment Cookiequiet s’y adapte

L’Arabie saoudite ne figure pas dans la liste par défaut des pays réglementés de Cookiequiet : ajoutez-la à une liste de pays personnalisée ou affichez le bandeau partout ; le ciblage géographique est inclus dans chaque offre. Le centre de préférences propose des interrupteurs distincts pour les cookies fonctionnels, de mesure d’audience et marketing, tous désactivés par défaut, « Tout refuser » est placé à côté de « Tout accepter », et le registre des consentements enregistre la date, le choix, les catégories et la version du bandeau de chaque décision, ce qui correspond à l’exigence du règlement d’un consentement documenté par finalité. L’arabe ne fait pas partie des 24 langues intégrées : les visiteurs dont le navigateur le demande voient la langue par défaut du site, dont vous pouvez modifier les textes. Utilisez le scanner de cookies pour voir quels prestataires votre site charge, et comparez avec les règles des Émirats arabes unis si vous servez les deux marchés. Ceci n’est pas un conseil juridique.