Guías de AutoSmartQué abarca esta guía
Cada cliente que atiende un concesionario deja datos personales: documentos de identidad, datos de contacto, documentos de financiación e historial de servicio. El periodo de gracia de la PDPL terminó el 14 de septiembre de 2024, y el 16 de enero de 2026 la SDAIA anunció 48 decisiones que confirmaban infracciones y señalaban cuatro fallos recurrentes: falta de base jurídica, comunicación injustificada, seguridad débil y marketing sin consentimiento.
Esta guía abarca 12 estándares de la PDPL con 29 puntos de control, desde los avisos de privacidad y los registros de consentimiento hasta los registros de tratamiento, la notificación de brechas, las solicitudes de los interesados, los contratos con encargados del tratamiento, las transferencias internacionales y la seguridad física de los expedientes de clientes.
Los 12 estándares de la PDPL
Abra un estándar para ver la ley que lo respalda, qué se revisa, cuánto puede costar y las evidencias. Los plazos ideales de corrección se cuentan desde el envío de la auditoría.
DAT-001Material de concienciación sobre la PDPL expuesto7 días
- La ley
- Personal Data Protection Law (Real Decreto M/19 de 1443H, modificado por M/148 de 1444H) y su reglamento de aplicación · ningún artículo exige un póster: es política de la empresa y la señal visible de un programa de concienciación · disposiciones sancionadoras: arts. 35 y 36 de la PDPL
- Qué revisamos
- El material de concienciación sobre la PDPL, en el formato aprobado por la empresa, está expuesto donde todos los empleados y visitantes pueden verlo.
- Cuánto puede costar
- El póster no cuesta nada. Los errores que comete un equipo sin capacitación (una lista de clientes reenviada, un envío masivo de ofertas sin consentimiento) cuestan hasta 5 millones de SAR cada uno.
- Evidencia
- Foto del material expuesto + notas de las respuestas del personal
DAT-002Aviso de privacidad en los puntos de recogida de datos72 horas
- La ley
- Personal Data Protection Law (Real Decreto M/19 de 1443H, modificado por M/148 de 1444H) y su reglamento de aplicación · art. 12 (política de privacidad) y art. 13 (información en la recogida) · arts. 4 y 18 del reglamento de aplicación · Sanción: art. 36 de la PDPL
- Qué revisamos
- Se informa a los clientes de por qué se recogen sus datos, con qué base jurídica, quién los recibe y cuáles son sus derechos: en cada formulario, en el sitio web y dondequiera que los graben las cámaras de CCTV.
- Cuánto puede costar
- La falta de un letrero de cámaras fue uno de los hallazgos detrás de una multa de 1,1 millones a Volkswagen. Según la PDPL, la misma deficiencia puede costar hasta 5 millones de SAR.
- Evidencia
- Fotos de los formularios + captura de pantalla del sitio web + foto de cada letrero de CCTV
DAT-003Base jurídica y registros de consentimiento7 días
- La ley
- Personal Data Protection Law (Real Decreto M/19 de 1443H, modificado por M/148 de 1444H) y su reglamento de aplicación · arts. 5 y 6 (consentimiento y sus excepciones) · reglamento de aplicación (disposiciones sobre consentimiento) · Sanciones: art. 36, delito penal art. 35
- Qué revisamos
- Cada uso de los datos de clientes tiene un motivo legal documentado. Cuando ese motivo es el consentimiento, el concesionario puede presentarlo cuando se le pida. Los datos sensibles y crediticios requieren antes un consentimiento explícito.
- Cuánto puede costar
- Un fabricante de automóviles pagó 47,8 millones de SAR por usar datos sin el consentimiento adecuado. Según la PDPL, si comunica datos sensibles de forma ilícita ya no se trata solo de una multa: son hasta 2 años de prisión.
- Evidencia
- Capturas de pantalla del CRM con los campos de consentimiento + formularios de consentimiento de F&I firmados
DAT-004Consentimiento para SMS y correos electrónicos de marketing24 horas
- La ley
- Personal Data Protection Law (Real Decreto M/19 de 1443H, modificado por M/148 de 1444H) y su reglamento de aplicación · art. 25 (marketing y concienciación) · arts. 28 y 29 del reglamento de aplicación (publicidad y marketing directo) · Sanción: art. 36 de la PDPL
- Qué revisamos
- Cada SMS, WhatsApp o correo electrónico promocional se envía solo a clientes que dieron su consentimiento previo y registrado, y cada mensaje les permite darse de baja.
- Cuánto puede costar
- Un solo envío masivo de ofertas a una lista sin consentimiento puede acarrear una decisión de la SDAIA de hasta 5 millones de SAR, publicada con su nombre. Si se repite tras una advertencia: 10 millones de SAR.
- Evidencia
- Exportación de consentimientos del CRM + captura de pantalla de un mensaje con opción de baja + entrada en la lista de exclusión
DAT-005Registro de actividades de tratamiento30 días
- La ley
- Personal Data Protection Law (Real Decreto M/19 de 1443H, modificado por M/148 de 1444H) y su reglamento de aplicación · art. 31 · art. 33 del reglamento de aplicación · Sanción: art. 36 de la PDPL
- Qué revisamos
- Un registro de actividades de tratamiento (ROPA) enumera todas las formas en que el concesionario usa datos personales: para qué, qué datos, quién los recibe, cuánto tiempo se conservan y cómo se protegen.
- Cuánto puede costar
- Es el primer documento que pedirá la SDAIA. Si falta o está desactualizado, ha suspendido antes de que empiece la inspección, con un tope de 5 millones de SAR.
- Evidencia
- Copia del ROPA con fecha de revisión + 3 muestras de procesos trazadas
DAT-006Nombramiento del DPO y registro ante la SDAIA30 días
- La ley
- Personal Data Protection Law (Real Decreto M/19 de 1443H, modificado por M/148 de 1444H) y su reglamento de aplicación · art. 30(2) · art. 32 (DPO) y art. 34 (registro) del reglamento de aplicación · SDAIA Rules for Appointing a DPO · SDAIA Registration Rules
- Qué revisamos
- Cuando las normas lo exigen, se nombra formalmente a un responsable de protección de datos (DPO) y la entidad está registrada en la National Data Governance Platform de la SDAIA con un certificado válido.
- Cuánto puede costar
- Sin DPO, nadie notifica una brecha en 72 horas ni responde a un cliente en 30 días. Cada plazo incumplido es otra infracción de hasta 5 millones de SAR.
- Evidencia
- Carta de nombramiento + certificado de registro + memorando de evaluación
DAT-007Conservación y destrucción de datos30 días
- La ley
- Personal Data Protection Law (Real Decreto M/19 de 1443H, modificado por M/148 de 1444H) y su reglamento de aplicación · art. 18 (destrucción cuando ya no son necesarios) · Sanción: art. 36 de la PDPL
- Qué revisamos
- Los datos personales se conservan solo el tiempo necesario. Un calendario aprobado indica cuánto tiempo, y los datos que superan esa fecha se destruyen de forma segura y queda registrado.
- Cuánto puede costar
- Una filtración de datos que debería haber borrado hace años puede ser dos infracciones, no una: conservarlos y no protegerlos. Hasta 5 millones de SAR cada una.
- Evidencia
- Calendario de conservación + fotos del archivo + extracto del registro de destrucción
DAT-008Notificación de brechas de datos personales7 días
- La ley
- Personal Data Protection Law (Real Decreto M/19 de 1443H, modificado por M/148 de 1444H) y su reglamento de aplicación · art. 20 · art. 24 del reglamento de aplicación (notificar en un plazo de 72 horas a través de la plataforma de la SDAIA) · Sanción: art. 36 de la PDPL
- Qué revisamos
- Cuando se filtran datos personales, se notifica a la SDAIA en un plazo de 72 horas y se informa a los clientes afectados cuando es necesario. Un procedimiento escrito y un registro de incidentes lo hacen posible.
- Cuánto puede costar
- La brecha es un problema. Ocultarla es otro: no cumplir el plazo de 72 horas es una infracción aparte, de hasta 5 millones de SAR, y 10 millones de SAR si se repite.
- Evidencia
- Procedimiento + extracto del registro + cualquier acuse de notificación a la SDAIA
DAT-009Gestión de solicitudes de los interesados7 días
- La ley
- Personal Data Protection Law (Royal Decree M/19 of 1443H, amended by M/148 of 1444H) y sus Implementing Regulations · art. 4 (derechos de los interesados) · Implementing Regulations (respuesta en 30 días, prorrogable una vez) · Sanción: PDPL, art. 36
- Qué revisamos
- Los clientes disponen de una vía sencilla y publicada para solicitar el acceso, la rectificación o la supresión de sus datos, y cada solicitud se responde en un plazo de 30 días.
- Cuánto puede costar
- Dos fabricantes de automóviles pagaron en conjunto 3,8 millones de SAR por dificultar las solicitudes de privacidad. Ignorarlas por completo según la PDPL: hasta 5 millones de SAR.
- Evidencia
- Captura de pantalla del canal + extracto del registro de solicitudes + resultado de una solicitud de prueba
DAT-010Contratos con encargados del tratamiento30 días
- La ley
- Personal Data Protection Law (Royal Decree M/19 of 1443H, amended by M/148 of 1444H) y sus Implementing Regulations · art. 8 (selección de encargados del tratamiento) · Implementing Regulations (contratos con encargados) · Sanción: PDPL, art. 36
- Qué revisamos
- Cada proveedor que trata datos de clientes o empleados (centro de llamadas, CRM, DMS, nóminas, agencia de marketing) trabaja con un contrato escrito que cubre la finalidad, la seguridad y la PDPL.
- Cuánto puede costar
- La filtración de su proveedor es su infracción. Sin contrato, no puede demostrar que hizo algo para evitarla, y el límite es de 5 millones de SAR.
- Evidencia
- Lista de proveedores + 3 copias de contratos con las cláusulas marcadas
DAT-011Transferencias internacionales de datos30 días
- La ley
- Personal Data Protection Law (Royal Decree M/19 of 1443H, amended by M/148 of 1444H) y sus Implementing Regulations · art. 29 · Regulations on Personal Data Transfer outside the Kingdom (SDAIA) · Sanción: PDPL, art. 36
- Qué revisamos
- Se conoce cada flujo de datos personales que sale de Arabia Saudita, cada uno tiene una garantía aprobada y hay una evaluación de riesgos archivada cuando las normas la exigen.
- Cuánto puede costar
- Cada expediente de cliente enviado al extranjero sin garantía es un tratamiento ilícito: un límite de 5 millones de SAR, que se duplica a 10 millones de SAR en caso de reincidencia.
- Evidencia
- Mapa de transferencias + documentos de garantías + evaluación de riesgos
DAT-012Seguridad física de los expedientes de clientesInmediato
- La ley
- Personal Data Protection Law (Royal Decree M/19 of 1443H, amended by M/148 of 1444H) y sus Implementing Regulations · art. 19 (medidas de seguridad) y art. 28 (copia de documentos oficiales de identificación) · Sanciones: art. 36; delito penal, art. 35
- Qué revisamos
- Los expedientes en papel se guardan bajo llave, los escritorios y las impresoras están despejados, y solo se hacen copias de documentos de identidad, Iqama o pasaporte cuando una ley o una autoridad competente lo exige.
- Cuánto puede costar
- Una copia de un documento de identidad sobre un mostrador parece inofensiva hasta que se usa indebidamente. El límite de la multa es de 5 millones de SAR, y la divulgación deliberada de datos sensibles puede suponer 2 años de prisión.
- Evidencia
- Fotos de escritorios, armarios y bandejas de impresoras + revisión de una muestra de expedientes
Cómo realizar una auditoría de cumplimiento de la PDPL, paso a paso
- Confirme qué se aplica. Identifique dónde recoge datos personales el punto de venta (sala de exposición, recepción de servicio, oficina de financiación, sitio web, CRM) y qué proveedores los reciben.
- Recorra el punto de venta, estándar por estándar. Califique cada uno de los 29 puntos de control como Conforme, No conforme o N/A. N/A solo cuando el estándar lo excluya, con el motivo registrado. Tome una muestra de expedientes de venta y listas de marketing, y compruebe que cada uno tiene una base legal o un registro de consentimiento.
- Registre la evidencia. Un punto solo es conforme con pruebas registradas en el momento de la auditoría: el aviso de privacidad en cada punto de recogida, los registros de consentimiento, el registro de actividades de tratamiento, los contratos con encargados y fotos de dónde se guardan los expedientes.
- Asigne a cada no conformidad un responsable y un plazo de corrección. Registre lo que vio y quién se encarga de corregirlo. Cada estándar tiene un plazo ideal de corrección, desde inmediato hasta 30 días, contado desde el envío de la auditoría (vea la tabla anterior).
- Corregir y demostrarlo. El punto de venta corrige la causa y sube la prueba del cierre; el auditor revisa la prueba antes de cerrar el hallazgo.
- Volver a verificar en la próxima auditoría. Confirme que los hallazgos cerrados siguen cerrados y busque la misma no conformidad en sus otros puntos de venta, para que una deficiencia no se repita en toda la red.
Para quién es esta guía
- Gerentes generales de concesionarios
- Responsables de protección de datos
- Responsables de cumplimiento
- Auditores
Documento de referencia, no asesoramiento jurídico. Las multas y las normas cambian: consulte el texto vigente con el regulador o con su asesor jurídico antes de actuar.
