SDAIA ouvre les inscriptions au volet protection des données personnelles du bac à sable réglementaire

La Saudi Data and Artificial Intelligence Authority (SDAIA) a annoncé lundi l’ouverture des inscriptions au volet Protection des données personnelles du bac à sable réglementaire des données (Data Regulatory Sandbox), une inscription qui restera ouverte pendant deux mois.

Comme l’a rapporté l’agence de presse saoudienne SPA, ce volet vise à permettre la conformité avec la loi sur la protection des données personnelles et ses règlements d’application, via la plateforme nationale de gouvernance des données (National Data Governance Platform).

Le dispositif cible les entités privées dotées de produits ou de services innovants fondés sur le traitement de données personnelles. Il leur permet de tester ces produits ou services sous supervision réglementaire et de soutenir leur alignement avec la loi sur la protection des données personnelles et ses règlements d’application. L’objectif affiché est de protéger les droits des personnes concernées et de promouvoir des pratiques responsables dans la collecte, le traitement et l’utilisation des données personnelles, et ce dès les premières étapes du développement des produits et services.

Qui peut donc prétendre à ce cadre supervisé, et à quelles conditions ? Les candidats doivent être des entités privées titulaires d’une licence et opérant dans le Royaume d’Arabie saoudite. Leurs produits ou services doivent impliquer le traitement de données personnelles. Les candidats doivent également être enregistrés au registre national de protection des données personnelles sur la plateforme nationale de gouvernance des données.

Ces trois conditions cumulatives dessinent un périmètre précis : ni les entités non licenciées, ni les projets sans traitement de données personnelles, ni les acteurs non inscrits au registre national ne figurent dans le champ du volet. La vérification de l’éligibilité passe donc par deux objets concrets : la licence d’exploitation dans le Royaume et l’inscription au registre national de protection des données personnelles.

SDAIA a appelé les entités éligibles à profiter de la période d’inscription et à soumettre leurs candidatures via la plateforme nationale de gouvernance des données. La plateforme constitue ainsi le canal unique de dépôt mentionné par l’autorité, et le registre national de protection des données personnelles le point de passage préalable pour les candidats.

Pourquoi une entreprise déjà conforme en apparence aurait-elle intérêt à passer par un bac à sable réglementaire plutôt que par une mise en conformité classique ? Le texte de SDAIA répond en partie : le test se déroule sous supervision réglementaire, ce qui place l’innovation et l’exigence légale dans le même cadre, au lieu de les traiter séquentiellement. Le produit ou le service est éprouvé pendant que l’alignement avec la loi et ses règlements d’application est recherché.

Le calendrier annoncé est simple : une ouverture d’inscriptions annoncée lundi, et une fenêtre de deux mois. Aucune date de clôture précise au-delà de cette durée n’est donnée dans la dépêche, pas plus qu’aucun quota de places, aucun nombre de participants attendus et aucun détail sur les modalités d’évaluation des candidatures.

Le champ couvert par le volet est celui du traitement des données personnelles, depuis la collecte jusqu’à l’usage, en passant par le traitement lui-même. La formulation de SDAIA insiste sur les « premières étapes du développement des produits et services », ce qui déplace l’exigence de conformité en amont du cycle de vie du produit, et non au moment de sa mise sur le marché.

Que signifie concrètement de tester un produit sous supervision réglementaire lorsqu’il traite des données personnelles ? Cela suppose que l’entité privée licenciée présente un produit ou un service dont le fonctionnement repose sur ces données, puis l’expose à un cadre de test encadré par l’autorité. La finalité énoncée reste double : protéger les droits des personnes concernées et promouvoir des pratiques responsables.

Les entités intéressées doivent donc réunir leur licence, vérifier que leur produit ou service implique bien un traitement de données personnelles, et s’assurer de leur inscription au registre national de protection des données personnelles sur la plateforme nationale de gouvernance des données. C’est de cette inscription au registre que dépend l’accès à la procédure de candidature décrite par SDAIA.

Combien d’entreprises saoudiennes réunissent aujourd’hui ces trois conditions et savent qu’elles les réunissent ? La dépêche ne fournit aucun chiffre sur la taille du vivier concerné. Elle ne précise pas non plus si le volet protection des données personnelles s’ajoute à d’autres volets déjà existants du bac à sable réglementaire des données, ni comment il s’articule avec eux.

Le rôle attribué à la plateforme nationale de gouvernance des données est en revanche explicite à deux niveaux : c’est par elle que passe la conformité à la loi et à ses règlements d’application, et c’est par elle que les candidatures sont soumises. Le registre national de protection des données personnelles, hébergé sur cette même plateforme, sert de condition d’entrée.

Pourquoi SDAIA insiste-t-elle sur le moment du développement plutôt que sur celui de l’exploitation ? Parce que la collecte, le traitement et l’utilisation des données personnelles commencent dès la conception d’un produit ou d’un service. En ciblant les entités innovantes à ce stade, le volet cherche à ancrer les pratiques responsables avant que les choix techniques et organisationnels ne soient figés.

Le texte ne décrit ni les sanctions, ni les allègements éventuels accordés aux participants pendant la phase de test, ni la durée du test lui-même une fois la candidature acceptée. Il ne mentionne pas non plus de frais d’inscription, de formulaire type, ni de critères de sélection publiés. Ces éléments ne figurent pas dans la dépêche.

Ce que la dépêche établit, en revanche, tient en quelques points vérifiables : une annonce faite un lundi, une inscription ouverte deux mois, un canal unique qu’est la plateforme nationale de gouvernance des données, un public cible constitué d’entités privées licenciées opérant dans le Royaume, une exigence de produits ou services impliquant le traitement de données personnelles, et une inscription obligatoire au registre national de protection des données personnelles.

À qui s’adresse finalement ce dispositif, sinon aux acteurs qui construisent aujourd’hui des services numériques dont la matière première est la donnée personnelle ? La réponse de SDAIA est cadrée : aux entités privées licenciées dans le Royaume, porteuses de produits ou services innovants fondés sur ce traitement, et déjà inscrites au registre national. Les autres ne sont pas visés par l’appel.

L’autorité a formulé un appel direct aux entités éligibles pour qu’elles profitent de la période d’inscription et déposent leurs candidatures via la plateforme. Aucun élément supplémentaire sur le nombre de places, la date exacte de fermeture ou les résultats attendus n’accompagne cet appel dans la dépêche.

Qui peut candidater au volet protection des données personnelles ? Selon SPA, les candidats doivent être des entités privées titulaires d’une licence et opérant dans le Royaume d’Arabie saoudite. Leurs produits ou services doivent impliquer le traitement de données personnelles. Ils doivent aussi être enregistrés au registre national de protection des données personnelles sur la plateforme nationale de gouvernance des données. Ces trois conditions sont cumulatives. La dépêche ne précise ni quota de places, ni critères de sélection supplémentaires, ni frais éventuels.

Combien de temps les inscriptions restent-elles ouvertes ? SDAIA a annoncé l’ouverture des inscriptions lundi et indiqué que celles-ci resteront ouvertes pendant deux mois, comme l’a rapporté SPA. La dépêche ne donne pas de date de clôture précise au-delà de cette durée de deux mois, ni d’heure limite de dépôt. Elle ne mentionne pas non plus de prolongation possible. Les candidatures se font via la plateforme nationale de gouvernance des données, canal unique cité par l’autorité.

Quel est l’objectif du bac à sable réglementaire des données ? Le volet vise à permettre la conformité avec la loi sur la protection des données personnelles et ses règlements d’application, via la plateforme nationale de gouvernance des données. Il permet aux entités ciblées de tester leurs produits ou services sous supervision réglementaire et de soutenir leur alignement avec cette loi. SDAIA indique que cela protège les droits des personnes concernées et promeut des pratiques responsables dans la collecte, le traitement et l’utilisation des données personnelles dès les premières étapes de développement.

Quels types de produits ou services sont concernés ? Le volet cible les entités privées dotées de produits ou services innovants fondés sur le traitement de données personnelles. Le texte de SDAIA insiste sur les premières étapes du développement des produits et services, ce qui place l’exigence de conformité en amont. La dépêche ne cite aucun secteur particulier, aucune technologie spécifique et aucun exemple de produit. Elle ne précise pas non plus de durée de test une fois la candidature acceptée, ni d’allègements éventuels pendant la phase de test.

Comment déposer une candidature ? SDAIA a appelé les entités éligibles à profiter de la période d’inscription et à soumettre leurs candidatures via la plateforme nationale de gouvernance des données. Le texte ne décrit ni formulaire type, ni pièces justificatives à fournir, ni étapes d’évaluation. Il ne mentionne pas de frais d’inscription. L’inscription préalable au registre national de protection des données personnelles, sur cette même plateforme, reste une condition d’accès à la procédure décrite par l’autorité.

Quelles informations la dépêche ne fournit-elle pas ? La dépêche ne donne ni le nombre de places, ni le nombre de participants attendus, ni la date exacte de fermeture des inscriptions au-delà des deux mois annoncés. Elle ne décrit pas les sanctions applicables, les allègements éventuels pendant le test, la durée du test, les frais d’inscription, le formulaire type ou les critères de sélection. Elle ne précise pas non plus si ce volet s’ajoute à d’autres volets du bac à sable réglementaire des données.