简短回答
沙特阿拉伯由 SDAIA 发布的《个人数据保护法》(PDPL)要求，企业向个人联系方式发送广告前须事先取得同意，并提供明确的退订方式。营销数据必须直接来自本人，且同意可随时撤回。短信和 WhatsApp 营销活动需要保留同意记录，并提供有效的退订机制。
PDPL 对营销消息有哪些规定
SDAIA 发布的英文版本列出了与消息发送最相关的规则。这些规则适用于沙特境内个人的数据，包括境外主体的处理行为。
| PDPL 条款 | 对短信和 WhatsApp 的意义 |
|---|---|
| 第 5 条 | 处理个人数据通常需要同意，且本人可随时撤回 |
| 第 12 条 | 收集号码前须公布隐私政策 |
| 第 25 条 | 向个人联系方式投放广告须事先取得同意，并提供明确的退订方式 |
| 第 26 条 | 除敏感数据外，若个人数据经本人同意直接收集，则可用于营销 |
| 第 29 条 | 仅在特定目的和条件下，才允许将个人数据传输到沙特境外 |
消息团队的 PDPL 检查清单
- 直接向客户获取同意，并写明品牌名称和渠道。
- 在收集同意的位置附上隐私政策链接。
- 记录每次同意的来源、时间戳、渠道和具体文案。
- 在每条推广短信和 WhatsApp 消息中提供明确的退订方式。
- 在本人重新同意之前，将撤回视为对营销的最终决定。
- 确认消息服务商在何处存储和处理数据，以及数据是否离开沙特境内。
PDPL 如何与 CST 和 WhatsApp 规则配合
PDPL 管的是个人数据。电信规则与之并行：CST 的垃圾信息规定设定 Sender ID 审批和推广发送时段，而 WhatsApp 自己的政策要求企业在向任何人发消息之前先取得订阅同意。一次营销活动必须同时满足这三项要求。
同意何时必须是明示的等具体条件，留给实施细则规定。请在 SDAIA 网站上查阅，或咨询法律意见，因为本页只是对法律的概述，不构成法律意见。