Garder ses données aux Émirats ou en Arabie saoudite : ce que disent les règles
Avant de passer au cloud, il faut savoir où les données peuvent être hébergées. Voici ce que disent les lois des deux pays sur l’envoi de données personnelles à l’étranger, où les règles sont plus strictes, et comment décider.
La réponse courte
Pour les données personnelles ordinaires, aucun des deux pays n’impose qu’elles restent sur place. Les deux lois autorisent les transferts à l’étranger sous conditions : vers des pays offrant une protection adéquate, ou avec des garanties comme des clauses contractuelles types.
Les règles sectorielles sont plus strictes. Les données publiques, bancaires, de santé et des infrastructures critiques doivent souvent rester dans le pays. Si vous êtes dans l’un de ces secteurs ou travaillez pour lui, prévoyez une région cloud locale et vérifiez auprès du régulateur ou de votre avocat.
Arabie saoudite
- La loi sur la protection des données personnelles (PDPL) est pleinement applicable depuis le 14 septembre 2024, sous le contrôle de la SDAIA
- Le règlement sur les transferts hors du Royaume autorise les transferts qui ne portent pas atteinte à la sécurité nationale ou aux intérêts vitaux, limités aux données nécessaires
- Les transferts vers des pays sans décision d’adéquation peuvent s’appuyer sur des garanties : clauses contractuelles types, règles d’entreprise contraignantes ou certification
- Les régulateurs sectoriels peuvent exiger un hébergement dans le Royaume pour les données réglementées, par exemple dans la banque et le secteur public
Émirats arabes unis
- Le décret-loi fédéral n° 45 de 2021 sur la protection des données personnelles s’applique depuis le 2 janvier 2022
- Il autorise les transferts vers des pays offrant une protection adéquate, ou avec des garanties appropriées
- Les zones franches dotées de leur propre loi, comme le DIFC et l’ADGM, appliquent leur loi
- Les données publiques, ainsi que les données de santé et bancaires régies par des lois sectorielles, sont hors de son champ et souvent soumises à des règles plus strictes
Décider où vivent vos données
- Recensez les données personnelles de chaque système et repérez les données sensibles (santé, finances, numéros d’identité)
- Vérifiez les règles de votre secteur et vos contrats : certains clients exigent un hébergement local même sans obligation légale
- Si l’hébergement local est nécessaire, choisissez une région cloud dans le pays et vérifiez que chaque service utilisé y est disponible
- Documentez où sont stockées les données, qui y accède et comment elles sont sauvegardées
Sources
DLA Piper, entrée en vigueur de la PDPL saoudienne, 2024 ; PwC, PDPL partie 3 ; Securiti, règlement sur les transferts hors du Royaume ; US International Trade Administration, règles saoudiennes sur les flux de données ; Middle East Briefing et Clym sur le décret-loi fédéral émirati n° 45 de 2021. Consultés le 14 octobre 2026. Information générale, pas un avis juridique.
Passer au cloud avec les données là où elles doivent être
keyt prépare les migrations avec une carte écrite de l’emplacement des données de chaque système, et héberge aux Émirats ou en Arabie saoudite quand les données doivent rester sur place.