La protezione dei dati in Medio Oriente e Nord Africa non è più un mosaico di bozze. Egitto, Arabia Saudita, Emirati Arabi Uniti, Qatar e Bahrein hanno ciascuno una legge sui dati personali in vigore, e il Kuwait regola la materia con una decisione della CITRA, una legge sulle transazioni elettroniche e una legge sui reati informatici. Le regole differiscono per ambito, consenso, termini di notifica delle violazioni, trasferimenti e sanzioni, quindi un'impresa che opera in tutta la regione non può copiare la politica di un paese in un altro. Dai nostri uffici in Kuwait e al Cairo, Hind Bin Al Sheikh & Partners confronta i sei regimi qui sotto per norma e numero di articolo, affinché i team di conformità vedano dove un unico programma serva più paesi e dove il lavoro locale sia inevitabile.
Sei giurisdizioni, sei modelli
Arabia Saudita, Emirati, Qatar, Bahrein ed Egitto si basano ciascuno su una legge dedicata: la Legge sulla protezione dei dati personali emanata con Decreto reale n. M/19 e modificata con Decreto reale n. M/148 in Arabia Saudita, il Decreto-legge federale n. 45 del 2021 negli Emirati, la Legge n. 13 del 2016 in Qatar, la Legge n. 30 del 2018 in Bahrein e la Legge n. 151 del 2020 in Egitto. Ogni legge ha un proprio organo di vigilanza, e i dettagli stanno in regolamenti di attuazione o decisioni.
Il Kuwait è l'eccezione. Non ha una legge generale sulla protezione dei dati. La Decisione n. 26 del 2024 dell'Autorità di regolamentazione delle comunicazioni e delle tecnologie dell'informazione (CITRA) disciplina i fornitori di telecomunicazioni e internet titolari di licenza, la Legge n. 20 del 2014 sulle transazioni elettroniche copre i dati personali nei registri elettronici e la Legge n. 63 del 2015 sui reati informatici aggiunge la responsabilità penale. Un cliente parte quindi dall'individuare quale regime si applichi a quale ente e a quale attività.
Ambito di applicazione: chi è coperto in ciascun paese
L'Arabia Saudita applica la legge, ai sensi dell'articolo 2, al trattamento di dati personali di persone nel Regno, anche dall'esterno, ed esclude l'uso personale e familiare non pubblicato né divulgato. La legge emiratina si applica, ai sensi dell'articolo 2, a titolari e responsabili con sede negli Emirati e a quelli con sede all'estero che trattano dati di interessati negli Emirati, ed esclude dati governativi, autorità di sicurezza e giudiziarie, dati sanitari e bancari con legislazione propria e società delle zone franche con un proprio diritto dei dati, come DIFC e ADGM. L'articolo 2 della legge qatarina copre i dati personali oggetto di trattamento elettronico.
L'Egitto tutela solo le persone fisiche, con portata penale su alcuni atti commessi all'estero, ed esclude l'uso personale, le statistiche ufficiali, il giornalismo, gli atti giudiziari, le autorità di sicurezza nazionale e gli enti vigilati dalla Banca centrale, salvo società di trasferimento di denaro e di cambio. Il regolamento CITRA si applica, ai sensi dell'articolo 1, ai fornitori titolari di licenza CITRA, in Kuwait o all'estero, mentre gli altri enti dipendono dalla Legge n. 20 del 2014. L'articolo 2 della legge bahreinita si applica ai trattamenti automatizzati e agli archivi manuali strutturati.
Lo stato di ciascun regime nel 2026
Il regolamento di attuazione egiziano è stato emanato con la Decisione n. 816 del 2025 del MCIT (fonti secondarie lo datano 1° novembre 2025), e il termine di un anno per regolarizzarsi scade intorno al 31 ottobre o al 1° novembre 2026, a seconda del modo di calcolo, per cui l'Egitto ha la scadenza più vicina. La legge saudita è entrata in vigore il 14 settembre 2023 con un periodo di correzione di un anno, ormai concluso. Qatar e Bahrein sono applicabili da anni, il Bahrein dal 1° agosto 2019.
Gli Emirati sono diversi. L'articolo 28 del Decreto-legge n. 45 del 2021 incaricava il Consiglio dei ministri di emanare il regolamento di attuazione entro sei mesi, e l'articolo 29 concede ai titolari sei mesi dalla sua emanazione per adeguarsi, ma fonti secondarie riferiscono che il regolamento non è ancora stato pubblicato e che non è stato adottato un elenco di sanzioni amministrative ai sensi dell'articolo 26. Trattiamo la legge come in vigore e segnaliamo che il dettaglio operativo resta aperto. Il periodo di grazia di un anno dell'articolo 7 della decisione CITRA, calcolato dalla pubblicazione di febbraio 2024, è scaduto.
Consenso e basi di liceità
Il consenso è la regola di base quasi ovunque. L'articolo 5 della legge saudita, come modificato, richiede il consenso esplicito salvo che ricorra un caso dell'articolo 6, e l'articolo 6 modificato aggiunge il legittimo interesse. L'articolo 4 della legge emiratina vieta il trattamento senza consenso con eccezioni elencate, e l'articolo 6 richiede che il titolare possa provare il consenso e che la revoca sia semplice. L'articolo 4 della legge qatarina consente il trattamento solo con consenso salvo che sia necessario per una finalità legittima, e l'articolo 5 riconosce il diritto di revoca. L'articolo 4 della legge bahreinita vieta il trattamento senza consenso salvo che per contratto, obbligo di legge, interessi vitali o interessi legittimi.
L'Egitto richiede il consenso esplicito ai sensi dell'articolo 2 della Legge 151, con le basi di liceità dell'articolo 6. Il regolamento CITRA del Kuwait richiede ai titolari di licenza consenso e prova del consenso ai sensi degli articoli 2 e 3, e la Legge n. 20 del 2014 richiede ai sensi degli articoli 32 e 35 consenso e finalità dichiarata per i dati personali nei registri elettronici. In pratica un unico flusso di consenso che sia esplicito, specifico per finalità, dimostrabile e facile da revocare soddisferà la maggior parte di questi requisiti.
Diritti delle persone
I diritti sono più ampi negli Emirati, in Arabia Saudita e in Egitto. Gli articoli da 13 a 18 della legge emiratina danno accesso alle informazioni, portabilità, rettifica e cancellazione, limitazione, opposizione al marketing diretto e opposizione alle decisioni automatizzate. L'articolo 4 della legge saudita dà i diritti di essere informati, accedere, ottenere copia, correggere e distruggere. L'articolo 2 della legge egiziana dà conoscenza, accesso, revoca, correzione, cancellazione, limitazione e opposizione, e gli articoli 10 e 32 fissano un termine di risposta di sei giorni lavorativi.
Gli articoli 5 e 6 della legge del Qatar danno revoca, opposizione, cancellazione, correzione, accesso e una copia a fronte di non più del costo del servizio. Gli articoli da 17 a 23 della legge del Bahrein riguardano informazione, accesso, opposizione al marketing diretto, opposizione al trattamento dannoso e alle decisioni automatizzate, e rettifica, blocco e cancellazione. Il regolamento CITRA del Kuwait aggiunge accesso, correzione, rimozione, limitazione, opposizione e portabilità per i titolari di licenza ai sensi dell'articolo 4.
Obblighi dei titolari, registri e responsabili della protezione
Sui registri e sui responsabili i regimi divergono di più. L'articolo 8 della legge egiziana impone a una persona giuridica di nominare un responsabile della protezione dei dati registrato. L'articolo 10 della legge emiratina impone un responsabile quando il trattamento è ad alto rischio, sistematico o su larga scala di dati sensibili. L'articolo 10 della legge bahreinita istituisce il Garante della protezione dei dati, accreditato dall'Autorità. L'articolo 31 della legge saudita richiede registri delle attività di trattamento che l'autorità competente può richiedere. Il regolamento CITRA richiede registri di trattamento all'articolo 5.
Gli articoli 8 e 11 della legge del Qatar impongono ai titolari del trattamento di proteggere i dati, riesaminare le misure di privacy prima di nuovi trattamenti, individuare e formare i responsabili del trattamento e gestire un sistema interno di gestione dei dati. Gli obblighi di sicurezza compaiono ovunque: articolo 13 in Qatar, articolo 20 negli Emirati, articolo 19 in Arabia Saudita, articolo 8 in Bahrein, articolo 4 in Egitto e articolo 5 della CITRA in Kuwait. Un'unica base di sicurezza mappata su questi articoli evita lavoro duplicato.
Licenze, registrazione e notifica
L'Egitto è il regime con più licenze. L'articolo 26 della Legge 151 consente al Centro per la protezione dei dati personali di rilasciare licenze e permessi a titolari e responsabili, e l'articolo 4 impone al titolare di detenerne uno, per cui il portale delle domande conta con l'avvicinarsi della scadenza di novembre 2026. Il Bahrein richiede la notifica preventiva all'Autorità dei trattamenti automatizzati ai sensi dell'articolo 14 e l'autorizzazione preventiva per certe operazioni ai sensi dell'articolo 15.
Il Qatar richiede il permesso del dipartimento competente per trattare dati personali di natura speciale ai sensi dell'articolo 16. L'articolo 33 della legge saudita dà all'autorità poteri di accreditamento e di requisiti di esercizio, e la modifica ha abrogato il vecchio obbligo di registrazione dell'articolo 32. Negli Emirati la legge non prevede una fase generale di licenza. Il Kuwait lega gli obblighi al possesso di una licenza CITRA, per cui la prima domanda per un cliente kuwaitiano è se sia licenziatario.
Termini di notifica delle violazioni
I termini variano e sono una trappola frequente. L'articolo 6 in Kuwait obbliga il licenziatario a notificare la CITRA entro 24 ore dalla conoscenza, e l'articolo 4 menziona separatamente 72 ore per la divulgazione dannosa su larga scala. L'articolo 7 in Egitto richiede la notifica al Centro entro 72 ore e all'interessato entro tre giorni lavorativi. L'articolo 20 della legge saudita, come modificato, richiede di notificare l'autorità competente, e l'articolo 24 del regolamento di attuazione fissa 72 ore quando ricorrono le condizioni.
L'articolo 9 della legge emiratina richiede la notifica all'Ufficio dati con descrizione della violazione, dati del responsabile, effetti probabili e misure correttive entro il termine fissato dal regolamento di attuazione, non ancora emanato. L'articolo 14 in Qatar richiede di avvisare la persona e il dipartimento competente quando una violazione può causare un danno grave, senza numero di ore. Fonti secondarie riferiscono un termine di 72 ore in Bahrein, che segnaliamo come non legato a un articolo da noi letto. La regola di gruppo ragionevole è un percorso interno di escalation di 24 ore in grado di rispettare il termine più severo.
Trasferimenti transfrontalieri
I trasferimenti richiedono la maggiore analisi locale. L'articolo 29 della legge saudita, come modificato, consente i trasferimenti solo per finalità elencate e a condizioni che tutelino la sicurezza nazionale e gli interessi vitali, secondo il regolamento sul trasferimento di dati personali fuori dal Regno. L'articolo 22 della legge emiratina consente trasferimenti verso paesi con protezione adeguata approvata dall'Ufficio dati, e l'articolo 23 li consente sulla base di contratti e altre garanzie quando la protezione non è adeguata. L'articolo 12 della legge bahreinita vieta i trasferimenti salvo verso paesi nell'elenco dell'Autorità o con la sua autorizzazione caso per caso, e l'articolo 13 elenca esenzioni.
L'articolo 14 della legge egiziana richiede una protezione adeguata e una licenza del Centro, e il suo regolamento di esecuzione aggiunge il consenso e paesi indicati. L'articolo 15 del Qatar va nella direzione opposta: il titolare del trattamento non può limitare il flusso transfrontaliero di dati salvo che il trattamento violi la legge o possa causare un danno grave. Il Kuwait non ha una regola generale di localizzazione, e gli enti privati soggetti alla Legge n. 20 del 2014 di regola non hanno bisogno di autorizzazione per i trasferimenti all'estero salvo che i dati siano informazioni statali o governative. Una mappa dei trasferimenti per paese è il primo prodotto che prepariamo.
Dati sensibili, minori e marketing diretto
I dati sensibili comportano condizioni ulteriori. L'articolo 12 in Egitto richiede licenza del Centro e consenso scritto. L'articolo 16 in Qatar definisce i dati di natura speciale, inclusi minori e salute, e richiede il permesso del dipartimento competente, mentre l'articolo 17 richiede il consenso dei genitori per i siti rivolti ai minori. L'articolo 5 in Bahrein pone condizioni specifiche per i dati sensibili. L'articolo 4 degli Emirati tratta i dati sensibili secondo le proprie eccezioni, e l'articolo 35 della legge saudita punisce penalmente la divulgazione di dati sensibili con l'intento di nuocere o per vantaggio personale.
Anche le regole sul marketing differiscono. L'articolo 22 in Qatar richiede consenso preventivo, identità del mittente, avviso di marketing e un indirizzo semplice per disiscriversi. L'articolo 25 della legge saudita limita l'uso dei canali di contatto personali per la pubblicità, e l'articolo 26 consente l'uso a fini di marketing solo per dati raccolti direttamente con consenso. L'articolo 17 della legge emiratina dà il diritto di opporsi al marketing diretto, gli articoli 19 e 20 in Bahrein riguardano l'opposizione al marketing diretto, l'articolo 17 in Egitto richiede il consenso preventivo, e l'articolo 4 del regolamento CITRA richiede il consenso preventivo per il marketing di terzi.
Sanzioni e applicazione
L'articolo 35 della legge saudita, come modificato, punisce la divulgazione di dati sensibili con l'intento di nuocere o per vantaggio personale con la reclusione fino a due anni e una multa fino a 3.000.000 SAR, o una delle due pene, e l'articolo 36 consente un'ammonizione o una multa fino a 5.000.000 SAR per le altre violazioni, che può essere raddoppiata in caso di violazione ripetuta. L'articolo 23 in Qatar prevede pene fino a 1.000.000 QAR per la violazione di articoli elencati, l'articolo 24 fino a 5.000.000 QAR per la violazione degli articoli 13, 16(3) e 17, e l'articolo 25 raggiunge le persone giuridiche. Le multe in Egitto vanno da 100.000 a 5.000.000 EGP, con la reclusione per i reati su dati sensibili e trasferimenti ai sensi degli articoli 41 e 42.
In Kuwait, l'articolo 37 della Legge n. 20 del 2014 prevede fino a tre anni di reclusione e una multa da 5.000 a 20.000 KWD, o una delle due pene, e l'articolo 64 della Legge n. 37 del 2014 è letto come consentente multe fino a 1.000.000 KWD per violazione ai licenziatari. Gli Emirati non hanno ancora un elenco pubblicato di sanzioni ai sensi dell'articolo 26, e i reati in Bahrein riguardano dati sensibili, trasferimenti illeciti e omessa notifica, con una multa fino a 20.000 BHD o la reclusione fino a un anno secondo fonti secondarie.
Che cosa verifichiamo in un fascicolo MENA di protezione dei dati
Quando esaminiamo un fascicolo multi-paese di protezione dei dati, colleghiamo prima ogni ente e attività al proprio regime, e per il Kuwait verifichiamo se il cliente è titolare di licenza CITRA. Poi allineiamo formule di consenso, procedure sui diritti e registri all'articolo più severo applicabile, costruiamo un unico percorso di escalation delle violazioni in grado di rispettare i termini di 24 e 72 ore, mappiamo i trasferimenti paese per paese e prepariamo il fascicolo di licenza egiziano prima della scadenza di novembre 2026.
Si veda anche: la nostra guida alla protezione dei dati in Kuwait e la nostra guida alla protezione dei dati in Egitto, oltre alla nostra pratica di diritto commerciale e societario.
Domande frequenti
Esiste una sola legge sulla protezione dei dati per tutta la regione MENA?
No. Ogni paese ha il proprio regime: la Legge n. 151 del 2020 in Egitto, la Legge sulla protezione dei dati personali in Arabia Saudita, il Decreto-legge federale n. 45 del 2021 negli Emirati, la Legge n. 13 del 2016 in Qatar e la Legge n. 30 del 2018 in Bahrein, mentre il Kuwait si basa sulla Decisione CITRA n. 26 del 2024 per i licenziatari CITRA, sulla Legge n. 20 del 2014 e sulla Legge n. 63 del 2015.
Il Kuwait ha una legge sulla protezione dei dati?
Non una generale. La Decisione CITRA n. 26 del 2024 si applica, ai sensi dell'articolo 1, ai licenziatari CITRA, e gli altri enti rientrano nella Legge n. 20 del 2014 sulle transazioni elettroniche e nella legge sui reati informatici.
Quale paese ha la scadenza di conformità più vicina?
L'Egitto. L'anno successivo alla Decisione n. 816 del 2025 sul regolamento di attuazione scade intorno al 31 ottobre o al 1° novembre 2026.
Il regolamento di attuazione emiratino è stato emanato?
Fonti secondarie riferiscono di no, anche se l'articolo 28 del Decreto-legge n. 45 del 2021 lo prevedeva entro sei mesi. Trattiamo la legge come in vigore e seguiamo il regolamento.
Entro quanto tempo va notificata una violazione?
Dipende. L'articolo 6 in Kuwait fissa 24 ore per i licenziatari CITRA, l'articolo 7 in Egitto fissa 72 ore, l'articolo 24 del regolamento di attuazione saudita fissa 72 ore dove si applica, e l'articolo 14 in Qatar non fissa un numero di ore. Un percorso interno di 24 ore rispetta la regola più severa.
I dati personali possono lasciare questi paesi?
Spesso sì, a condizioni. L'articolo 29 in Arabia Saudita, gli articoli 22 e 23 negli Emirati, gli articoli 12 e 13 in Bahrein e l'articolo 14 in Egitto fissano condizioni di trasferimento, mentre l'articolo 15 in Qatar limita le restrizioni ai flussi di dati e il Kuwait non ha una regola generale di localizzazione.
Quali sono le pene massime?
L'articolo 36 in Arabia Saudita consente multe fino a 5.000.000 SAR, che possono essere raddoppiate in caso di violazione ripetuta, l'articolo 24 in Qatar fino a 5.000.000 QAR, e l'Egitto prevede multe fino a 5.000.000 EGP, con la reclusione per alcuni reati in ciascun paese.
Fornite consulenza sulla conformità transfrontaliera alla protezione dei dati?
Sì. Classifichiamo ogni ente, mappiamo il regime applicabile, redigiamo i documenti di consenso e privacy, prepariamo i fascicoli di licenza in Egitto e curiamo i contatti con le autorità. La invitiamo a contattarci tramite la nostra pagina dei contatti per discutere la sua situazione.