PDPL saoudienne et marketing WhatsApp pour les boutiques en ligne
Selon la loi saoudienne sur la protection des données personnelles (PDPL), une boutique doit obtenir le consentement du client avant tout marketing direct, comme des promotions WhatsApp, et offrir un moyen simple d'arrêter ; la SDAIA fait appliquer la loi. Les messages sur une commande passée par le client sont différents. Informations générales, pas un avis juridique.
Par Mousa Alhelo, fondateur, E-SAFQA · Mis à jour · 8 min de lecture · Comment nous rédigeons et testons ces guides
Qu'est-ce que la PDPL saoudienne et qui la fait appliquer ?
La loi sur la protection des données personnelles (Personal Data Protection Law, PDPL) a été promulguée par le décret royal n° M/19 du 9 safar 1443 de l'Hégire et modifiée par le décret royal n° M/148 du 5 ramadan 1444 de l'Hégire. Son article 43 la rendait applicable 720 jours après sa publication au Journal officiel, soit le 14 septembre 2023, et une période de transition d'un an a suivi, qui s'est terminée en septembre 2024. Elle s'applique au traitement des données personnelles de personnes dans le Royaume, y compris par des organisations situées hors du Royaume qui traitent des données de résidents (article 2).
L'Autorité saoudienne des données et de l'IA (SDAIA) en assure le contrôle. En janvier 2026, l'Agence de presse saoudienne a rapporté que les comités d'infraction de la SDAIA avaient rendu 48 décisions en 2025 au titre de l'article 36, et que les infractions comprenaient l'envoi de messages publicitaires et marketing à des personnes sans leur consentement. L'article 36 permet un avertissement ou une amende pouvant atteindre 5 millions de SAR pour les infractions commises par des entités du secteur privé, et la récidive peut doubler l'amende.
Une promotion WhatsApp relève-t-elle du marketing direct selon la PDPL ?
Le Règlement d'application définit le marketing direct (Direct Marketing) comme le fait de communiquer avec la personne concernée par tout moyen direct, physique ou électronique, afin de lui adresser du matériel marketing, y compris des publicités et des promotions. En clair, une annonce de soldes, un code de réduction ou un rappel de paiement abandonné avec une offre, envoyés au numéro WhatsApp d'un client, correspondent à cette formulation.
La loi ajoute deux règles. Selon l'article 25, un responsable du traitement ne peut pas utiliser les canaux de communication personnels d'une personne pour lui envoyer de la publicité, sauf si la personne a donné son consentement et que l'expéditeur offre un moyen clair d'arrêter. Selon l'article 26, des données personnelles non sensibles peuvent être traitées à des fins de marketing si elles ont été collectées directement auprès de la personne et que celle-ci a consenti.
À quoi ressemble un consentement marketing valable ?
L'article 11 du Règlement d'application fixe les conditions listées ci-dessous. Pour une boutique Shopify, cela renvoie à une case à cocher distincte, décochée par défaut, pour les offres WhatsApp, libellée séparément des mises à jour de commande, plus votre propre registre indiquant quand et où chaque client s'est inscrit. Un achat seul n'est pas un consentement marketing, pas plus que des numéros importés d'autres canaux. Shopify conserve les préférences marketing par canal pour chaque client, y compris Accepte le marketing WhatsApp.
- Le consentement est donné librement et n'est pas obtenu par des méthodes trompeuses.
- Les finalités sont claires et précises, et expliquées avant ou au moment où vous le demandez.
- Il est donné par une personne ayant la pleine capacité juridique.
- Il est documenté de façon à permettre une vérification ultérieure, par exemple un registre indiquant l'heure et le moyen du consentement.
- Un consentement distinct est obtenu pour chaque finalité de traitement.
Comment la désinscription doit-elle fonctionner ?
L'article 29 du Règlement d'application fixe les règles du marketing direct, et l'article 12 couvre le retrait du consentement. La politique de messagerie professionnelle de WhatsApp va dans le même sens : elle exige l'autorisation préalable (opt-in) et le respect de toute demande de désinscription, sur WhatsApp ou ailleurs. Texte de case à cocher à copier : Je souhaite recevoir sur WhatsApp les offres et nouveautés de {boutique}. Je peux me désinscrire à tout moment en répondant STOP. Pied de page pour chaque promotion : Répondez STOP pour vous désinscrire.
- Offrez un moyen d'arrêter de recevoir du matériel marketing quand le client le souhaite, au moins aussi simple que de donner son consentement. Répondre STOP, c'est un seul message.
- Indiquez clairement l'expéditeur : mettez le nom de votre boutique dans la première ligne.
- Quand un client retire son consentement, cessez sans délai injustifié d'envoyer du matériel marketing, et faites de même pour les retraits faits d'une autre manière, par exemple en le disant à votre équipe d'assistance.
- Mettez en place le processus de retrait avant de demander le consentement, comme l'exige l'article 12.
Les confirmations de commande et les messages de suivi exigent-ils un consentement marketing ?
Une confirmation ou un avis d'expédition concernant une commande passée par le client n'est pas du marketing direct, et l'article 6 de la loi range le traitement dans le cadre d'un contrat auquel la personne est partie parmi les cas où le consentement n'est pas requis. Traitez ces messages comme transactionnels et tenez les promotions à l'écart, car un message de commande contenant un code de réduction devient du marketing.
WhatsApp Pilot suit la même séparation. Confirmation de commande, Traitement de commande et Annulation de commande n'exigent pas de consentement marketing. Récupération de paniers abandonnés et Achat répété suivent le consentement au marketing WhatsApp de Shopify et ignorent les désinscrits et les réponses STOP.
Que doit faire une boutique Shopify pour respecter les règles ?
- Publiez une politique de confidentialité là où vous collectez des données. L'article 12 de la loi en demande une couvrant la finalité, les données collectées, leur stockage, leur traitement et leur destruction, ainsi que les droits de la personne.
- Dites aux clients, au moment de la collecte, qui vous êtes, pourquoi vous collectez leur numéro, si le fournir est obligatoire ou facultatif, qui le reçoit et s'il quitte le Royaume (article 13).
- Ajoutez une case à cocher distincte, décochée par défaut, pour les offres WhatsApp au paiement et dans les formulaires d'inscription.
- Enregistrez quand, où et comment chaque client s'est inscrit.
- Ajoutez le nom de votre boutique et une ligne de désinscription à chaque promotion, et respectez STOP le jour même.
- Consultez l'Historique des messages dans WhatsApp Pilot, qui consigne chaque envoi, message ignoré et échec avec la raison, y compris les messages ignorés faute de consentement.
- Vérifiez le texte en vigueur sur la plateforme de la SDAIA, car les règlements peuvent changer, et interrogez un avocat saoudien sur votre cas.
Questions fréquentes
La PDPL s'applique-t-elle à ma petite boutique en ligne ?
La loi s'applique au traitement des données personnelles de personnes en Arabie saoudite, y compris par des organisations situées hors du Royaume qui traitent des données de résidents. Une boutique qui conserve les noms et numéros de téléphone de ses clients traite des données personnelles : demandez à un avocat comment elle s'applique à vous.
Ai-je besoin d'un consentement pour envoyer des promotions WhatsApp en Arabie saoudite ?
Oui. Le Règlement d'application exige le consentement de la personne concernée avant le traitement de ses données personnelles à des fins de marketing direct, avec un moyen simple d'arrêter. La politique de messagerie professionnelle de WhatsApp exige en outre l'opt-in.
Répondre STOP est-il une désinscription valable ?
Cela correspond à ce que demande le Règlement : un moyen facile d'arrêter, au moins aussi simple que de donner son consentement. Respectez-le sans délai injustifié, et respectez aussi les désinscriptions faites par d'autres canaux.
Qui fait appliquer la PDPL en Arabie saoudite ?
L'Autorité saoudienne des données et de l'IA (SDAIA). Ses comités examinent les infractions et prononcent des avertissements ou des amendes au titre de l'article 36 de la loi.
WhatsApp Pilot rend-il ma boutique conforme à la PDPL ?
Aucune application ne peut le faire seule. Les automatisations marketing de WhatsApp Pilot n'écrivent qu'aux clients ayant donné leur consentement au marketing WhatsApp dans Shopify et ignorent les désinscrits et les réponses STOP, mais les avis de confidentialité, le libellé du consentement et les registres de consentement restent votre responsabilité.
Prêt à mettre WhatsApp au service de votre boutique ?
Commencez avec le widget gratuit. Passez à Pro pour les messages de commande et d'expédition, la récupération de paniers, les codes d'achat répété, le bouton WhatsApp produit intelligent, les alertes de retour en stock et Product Demand.