La protección de datos en Oriente Medio y el norte de África ya no es un mosaico de borradores. Egipto, Arabia Saudita, los Emiratos Árabes Unidos, Catar y Baréin tienen cada uno una ley de datos personales en vigor, y Kuwait regula mediante una decisión de la autoridad CITRA, una ley de transacciones electrónicas y una ley de ciberdelincuencia. Las normas difieren en ámbito, consentimiento, plazos de notificación de brechas, transferencias y sanciones, por lo que una empresa que opera en toda la región no puede copiar la política de un país en otro. Desde nuestras oficinas de Kuwait y El Cairo, Hind Bin Al Sheikh & Partners compara los seis regímenes por norma y número de artículo, para que los equipos de cumplimiento vean dónde un programa sirve para varios países y dónde el trabajo local es inevitable.
Seis jurisdicciones, seis modelos
Arabia Saudita, los Emiratos, Catar, Baréin y Egipto se apoyan cada uno en una ley específica: la Ley de Protección de Datos Personales promulgada por el Decreto Real n.º M/19 y modificada por el Decreto Real n.º M/148 en Arabia Saudita, el Decreto-ley federal n.º 45 de 2021 en los Emiratos, la Ley n.º 13 de 2016 en Catar, la Ley n.º 30 de 2018 en Baréin y la Ley n.º 151 de 2020 en Egipto. Cada ley tiene su órgano supervisor. Los detalles figuran en reglamentos de ejecución o decisiones.
Kuwait es la excepción. No tiene una ley general de protección de datos. La Decisión n.º 26 de 2024 de la Autoridad Reguladora de Comunicaciones y Tecnología de la Información (CITRA) rige a los proveedores de telecomunicaciones e internet con licencia, la Ley n.º 20 de 2014 de transacciones electrónicas cubre los datos personales en registros electrónicos, y la Ley n.º 63 de 2015 de ciberdelincuencia añade responsabilidad penal. Por eso un cliente empieza por identificar qué régimen se aplica a qué entidad y actividad.
Ámbito: a quién alcanza cada país
Arabia Saudita aplica su ley, según el artículo 2, al tratamiento de datos personales de personas en el Reino, incluso desde fuera de él, y excluye el uso personal y familiar que no se publique ni se divulgue. La ley emiratí se aplica, según el artículo 2, a responsables y encargados establecidos en los Emiratos y a los establecidos fuera que traten datos de interesados en los Emiratos, y excluye los datos gubernamentales, las autoridades de seguridad y judiciales, los datos sanitarios y bancarios con legislación propia y las empresas de zonas francas con su propio derecho de datos, como DIFC y ADGM. El artículo 2 de la ley catarí cubre los datos personales en tratamiento electrónico.
Egipto protege solo a personas físicas, con alcance penal sobre algunos actos cometidos en el extranjero, y excluye el uso personal, las estadísticas oficiales, el periodismo, los registros judiciales, las autoridades de seguridad nacional y las entidades supervisadas por el Banco Central, salvo las empresas de transferencia de dinero y de cambio. El reglamento de la CITRA se aplica, según el artículo 1, a los prestadores con licencia CITRA, dentro o fuera de Kuwait, mientras que las demás entidades dependen de la Ley n.º 20 de 2014. El artículo 2 de la ley bahreiní se aplica al tratamiento automatizado y a ficheros manuales estructurados.
Situación de cada régimen en 2026
El reglamento de ejecución egipcio se dictó mediante la Decisión n.º 816 de 2025 del MCIT (las fuentes secundarias la fechan el 1 de noviembre de 2025), y el plazo de un año para regularizarse termina en torno al 31 de octubre o al 1 de noviembre de 2026, según cómo se cuente, por lo que Egipto tiene el plazo más cercano. La ley saudita entró en vigor el 14 de septiembre de 2023 con un período de corrección de un año, ya concluido. Catar y Baréin son exigibles desde hace años, Baréin desde el 1 de agosto de 2019.
Los Emiratos son distintos. El artículo 28 del Decreto-ley n.º 45 de 2021 encargó al Consejo de Ministros dictar el reglamento de ejecución en seis meses, y el artículo 29 da a los responsables seis meses desde su emisión para cumplir, pero fuentes secundarias indican que el reglamento sigue sin publicarse y que no se ha aprobado una lista de sanciones administrativas conforme al artículo 26. Tratamos la ley como vigente y señalamos que su detalle operativo sigue abierto. El plazo de gracia de un año del artículo 7 de la decisión de la CITRA, contado desde la publicación de febrero de 2024, ha vencido.
Consentimiento y bases lícitas
El consentimiento es la regla base casi en todas partes. El artículo 5 de la ley saudita, en su versión modificada, exige consentimiento explícito salvo que se aplique un supuesto del artículo 6, y el artículo 6 modificado añade el interés legítimo. El artículo 4 de la ley emiratí prohíbe el tratamiento sin consentimiento con excepciones tasadas, y el artículo 6 exige que el responsable pueda probar el consentimiento y que retirarlo sea fácil. El artículo 4 de la ley catarí solo permite el tratamiento con consentimiento salvo que sea necesario para un fin legítimo, y el artículo 5 reconoce el derecho de retirada. El artículo 4 de la ley bahreiní prohíbe el tratamiento sin consentimiento salvo por contrato, obligación legal, intereses vitales o intereses legítimos.
Egipto exige consentimiento explícito según el artículo 2 de la Ley n.º 151, con bases lícitas en el artículo 6. El reglamento de la CITRA exige a los licenciatarios consentimiento y su prueba según los artículos 2 y 3, y la Ley n.º 20 de 2014 exige según los artículos 32 y 35 consentimiento y finalidad para los datos personales en registros electrónicos. En la práctica, un único flujo de consentimiento que sea explícito, específico para cada finalidad, demostrable y fácil de retirar superará la mayoría de estas pruebas.
Derechos de las personas
Los derechos son más amplios en los Emiratos, Arabia Saudita y Egipto. Los artículos 13 a 18 de la ley emiratí otorgan acceso a la información, portabilidad, rectificación y supresión, limitación, oposición al marketing directo y oposición a decisiones automatizadas. El artículo 4 de la ley saudita otorga los derechos a ser informado, acceder, obtener copia, corregir y destruir. El artículo 2 de la ley egipcia otorga conocimiento, acceso, retirada, corrección, borrado, limitación y oposición, y los artículos 10 y 32 fijan un plazo de respuesta de seis días hábiles.
Los artículos 5 y 6 de la ley catarí otorgan retirada, oposición, supresión, corrección, acceso y copia a cambio de no más que el coste del servicio. Los artículos 17 a 23 de la ley bahreiní regulan información, acceso, oposición al marketing directo, oposición al tratamiento dañino y a decisiones automatizadas, y rectificación, bloqueo y supresión. El reglamento de la CITRA en Kuwait añade acceso, corrección, supresión, restricción, oposición y portabilidad para los licenciatarios conforme al artículo 4.
Obligaciones del responsable, registros y delegados
En registros y delegados es donde más divergen los regímenes. El artículo 8 de la ley egipcia exige que una persona jurídica designe a un delegado de protección de datos registrado. El artículo 10 de la ley emiratí exige un delegado cuando el tratamiento es de alto riesgo, sistemático o a gran escala con datos sensibles. El artículo 10 de la ley bahreiní crea el Guardián de Protección de Datos, acreditado por la Autoridad. El artículo 31 de la ley saudita exige registros de las actividades de tratamiento que la autoridad competente puede solicitar. El reglamento de la CITRA exige registros de tratamiento en el artículo 5.
Los artículos 8 y 11 de la ley catarí exigen al responsable proteger los datos, revisar las medidas de privacidad antes de nuevos tratamientos, identificar y formar a los encargados y mantener un sistema interno de gestión de datos. Las obligaciones de seguridad aparecen en todos los regímenes: artículo 13 en Catar, artículo 20 en los Emiratos, artículo 19 en Arabia Saudita, artículo 8 en Baréin, artículo 4 en Egipto y artículo 5 del reglamento de la CITRA en Kuwait. Una única base de seguridad mapeada a estos artículos evita duplicar trabajo.
Licencias, registro y notificación
Egipto es el régimen con más licencias. El artículo 26 de la Ley 151 permite al Centro de Protección de Datos Personales expedir licencias y permisos a responsables y encargados, y el artículo 4 exige al responsable tener uno, por lo que el portal de solicitudes importa con la llegada del plazo de noviembre de 2026. Baréin exige notificación previa a la Autoridad del tratamiento automatizado según el artículo 14 y autorización previa para ciertas operaciones según el artículo 15.
Catar exige permiso del departamento competente para tratar datos personales de naturaleza especial según el artículo 16. El artículo 33 de la ley saudita da a la autoridad facultades de acreditación y de requisitos de ejercicio, y la reforma derogó la antigua obligación de registro del artículo 32. En los Emiratos la ley no prevé un trámite general de licencia. Kuwait vincula las obligaciones a tener licencia de la CITRA, por lo que la primera pregunta para un cliente kuwaití es si es licenciatario.
Plazos de notificación de brechas
Los plazos varían y son una trampa frecuente. El artículo 6 en Kuwait obliga al licenciatario a notificar a la CITRA en 24 horas desde que lo conoce, y el artículo 4 menciona aparte 72 horas para la divulgación dañina a gran escala. El artículo 7 en Egipto exige notificar al Centro en 72 horas y al interesado en tres días hábiles. El artículo 20 de la ley saudita, en su versión modificada, exige notificar a la autoridad competente, y el artículo 24 del reglamento de desarrollo fija 72 horas cuando se cumplen las condiciones.
El artículo 9 de la ley emiratí exige notificar a la Oficina de Datos con descripción de la brecha, datos del delegado, efectos probables y medidas correctivas en el plazo que fije el reglamento de ejecución, aún no emitido. El artículo 14 en Catar exige avisar a la persona y al departamento competente cuando una brecha pueda causar un daño grave, sin número de horas. Fuentes secundarias mencionan un plazo de 72 horas en Baréin, que señalamos como no vinculado a un artículo que hayamos leído. La regla de grupo razonable es una vía interna de escalada de 24 horas capaz de cumplir el plazo más estricto.
Transferencias transfronterizas
Las transferencias exigen el mayor análisis local. El artículo 29 de la ley saudita, en su versión modificada, permite transferencias solo para fines tasados y con condiciones que protejan la seguridad nacional y los intereses vitales, conforme al reglamento sobre transferencia de datos personales fuera del Reino. El artículo 22 de la ley emiratí permite transferir a países con protección adecuada aprobada por la Oficina de Datos, y el artículo 23 lo permite mediante contratos y otras garantías cuando la protección no es adecuada. El artículo 12 de la ley bahreiní prohíbe transferir salvo a países de la lista de la Autoridad o con su autorización caso por caso, y el artículo 13 enumera excepciones.
El artículo 14 de la ley egipcia exige protección adecuada y licencia del Centro, y su reglamento añade consentimiento y países designados. El artículo 15 de la ley catarí va en sentido contrario: el responsable no puede limitar el flujo transfronterizo de datos salvo que el tratamiento infrinja la ley o pueda causar un daño grave. Kuwait no tiene regla general de localización, y las entidades privadas sujetas a la Ley n.º 20 de 2014 por lo general no necesitan autorización para transferir al extranjero salvo que se trate de información estatal o gubernamental. Un mapa de transferencias por país es el primer entregable que preparamos.
Datos sensibles, menores y marketing directo
Los datos sensibles añaden condiciones. El artículo 12 en Egipto exige licencia del Centro y consentimiento escrito. El artículo 16 en Catar define los datos de naturaleza especial, incluidos menores y salud, y exige permiso del departamento competente, mientras que el artículo 17 exige el consentimiento de los padres para sitios web dirigidos a menores. El artículo 5 en Baréin fija condiciones específicas para datos sensibles. El artículo 4 de la ley emiratí trata los datos sensibles con sus propias excepciones, y el artículo 35 de la ley saudita tipifica como delito divulgar datos sensibles con intención de dañar o por beneficio personal.
Las reglas de marketing también difieren. El artículo 22 en Catar exige consentimiento previo, identidad del remitente, aviso de marketing y una dirección sencilla para darse de baja. El artículo 25 de la ley saudita limita el uso de canales de contacto personales para publicidad, y el artículo 26 permite el uso de marketing solo con datos recogidos directamente con consentimiento. El artículo 17 de la ley emiratí da derecho a oponerse al marketing directo, los artículos 19 y 20 en Baréin regulan la oposición al marketing directo, el artículo 17 en Egipto exige consentimiento previo, y el artículo 4 del reglamento de la CITRA exige consentimiento previo para el marketing de terceros.
Sanciones y aplicación
El artículo 35 de la ley saudita, en su versión modificada, castiga la divulgación de datos sensibles con intención de dañar o por beneficio personal con hasta dos años de prisión y multa de hasta 3.000.000 SAR, o una de ambas penas, y el artículo 36 permite apercibimiento o multa de hasta 5.000.000 SAR por otras infracciones, que puede duplicarse en caso de infracción reiterada. El artículo 23 en Catar fija penas de hasta 1.000.000 QAR por infringir artículos enumerados, el artículo 24 hasta 5.000.000 QAR por infringir los artículos 13, 16(3) y 17, y el artículo 25 alcanza a las personas jurídicas. Las multas en Egipto van de 100.000 a 5.000.000 EGP, con prisión para delitos de datos sensibles y transferencias según los artículos 41 y 42.
En Kuwait, el artículo 37 de la Ley n.º 20 de 2014 prevé hasta tres años de prisión y multa de 5.000 a 20.000 KWD, o una de ambas penas, y el artículo 64 de la Ley n.º 37 de 2014 se interpreta como habilitación de multas de hasta 1.000.000 KWD por infracción a los licenciatarios. Los Emiratos aún no tienen lista publicada de sanciones conforme al artículo 26, y los delitos en Baréin abarcan datos sensibles, transferencias ilícitas y falta de notificación, con multa de hasta 20.000 BHD o prisión de hasta un año según fuentes secundarias.
Qué revisamos en un expediente MENA de protección de datos
Cuando revisamos un expediente de protección de datos de varios países, primero asignamos cada entidad y actividad a su régimen, y en Kuwait comprobamos si el cliente tiene licencia de la CITRA. Después alineamos fórmulas de consentimiento, procedimientos de derechos y registros con el artículo más estricto aplicable, construimos una única vía de escalada de brechas capaz de cumplir los plazos de 24 y 72 horas, mapeamos las transferencias país por país y preparamos el expediente de licencia egipcio antes del plazo de noviembre de 2026.
Vea también: nuestra guía de protección de datos en Kuwait y nuestra guía de protección de datos en Egipto, además de nuestra práctica mercantil y societaria.
Preguntas frecuentes
¿Existe una sola ley de protección de datos para toda la región MENA?
No. Cada país tiene su régimen: la Ley n.º 151 de 2020 en Egipto, la Ley de Protección de Datos Personales en Arabia Saudita, el Decreto-ley federal n.º 45 de 2021 en los Emiratos, la Ley n.º 13 de 2016 en Catar y la Ley n.º 30 de 2018 en Baréin, mientras que Kuwait se apoya en la Decisión n.º 26 de 2024 de la CITRA para los licenciatarios de la CITRA, la Ley n.º 20 de 2014 y la Ley n.º 63 de 2015.
¿Tiene Kuwait una ley de protección de datos?
No una general. La Decisión n.º 26 de 2024 de la CITRA se aplica, según el artículo 1, a los licenciatarios de la CITRA, y las demás entidades quedan bajo la Ley n.º 20 de 2014 de transacciones electrónicas y la ley de ciberdelincuencia.
¿Qué país tiene el plazo de cumplimiento más cercano?
Egipto. El año posterior a la Decisión n.º 816 de 2025 del reglamento de ejecución termina en torno al 31 de octubre o al 1 de noviembre de 2026.
¿Se ha emitido el reglamento de ejecución emiratí?
Fuentes secundarias indican que no, aunque el artículo 28 del Decreto-ley n.º 45 de 2021 lo preveía en seis meses. Tratamos la ley como vigente y seguimos el reglamento.
¿En cuánto tiempo hay que notificar una brecha?
Depende. El artículo 6 en Kuwait fija 24 horas para licenciatarios de la CITRA, el artículo 7 en Egipto fija 72 horas, el artículo 24 del reglamento de desarrollo saudita fija 72 horas donde se aplica, y el artículo 14 en Catar no fija horas. Una vía interna de 24 horas cumple la regla más estricta.
¿Pueden salir los datos personales de estos países?
A menudo sí, con condiciones. El artículo 29 en Arabia Saudita, los artículos 22 y 23 en los Emiratos, los artículos 12 y 13 en Baréin y el artículo 14 en Egipto fijan condiciones de transferencia, mientras que el artículo 15 en Catar limita las restricciones al flujo de datos y Kuwait no tiene regla general de localización.
¿Cuáles son las penas máximas?
El artículo 36 en Arabia Saudita permite multas de hasta 5.000.000 SAR, que pueden duplicarse en caso de infracción reiterada, el artículo 24 en Catar hasta 5.000.000 QAR, y Egipto prevé multas de hasta 5.000.000 EGP, con prisión para algunos delitos en cada país.
¿Asesoran sobre cumplimiento transfronterizo de protección de datos?
Sí. Clasificamos cada entidad, mapeamos el régimen aplicable, redactamos documentos de consentimiento y privacidad, preparamos expedientes de licencia en Egipto y gestionamos el contacto con los reguladores. Póngase en contacto con nosotros a través de nuestra página de contacto para comentar su situación.