⁦Pakistan SBP/PTA data rules⁩

⁦Pakistan⁩ الخصوصية

الحالة

⁦SBP cloud framework in force (16 Jan 2023; existing arrangements to comply by 31 Dec 2023). PTA CTDISR first issued 2020; revised version consulted to 7 Nov 2025.⁩✓المصادر: ⁦sbp.org.pk⁩, ⁦pta.gov.pk⁩, ⁦meatechwatch.com⁩

على من ينطبق

⁦SBP: banks, MFBs, DFIs, EMIs, PSOs/PSPs using cloud services. PTA: all licensed telecom operators and their supply chains.⁩✓المصادر: ⁦sbp.org.pk⁩, ⁦sbp.org.pk⁩, ⁦meatechwatch.com⁩

حدود الحجم

⁦SBP framework covers both material and non-material cloud workloads, using a risk-based approach.⁩✓المصادر: ⁦sbp.org.pk⁩, ⁦sbp.org.pk⁩

الجهة الرقابية

⁦State Bank of Pakistan (SBP); Pakistan Telecommunication Authority (PTA)⁩✓المصادر: ⁦sbp.org.pk⁩, ⁦pta.gov.pk⁩

الإبلاغ عن الخروقات أو الحوادث

⁦SBP: report all security incidents and breaches to SBP under its Enterprise Technology Governance⁩ & ⁦Risk Management Framework (the cloud framework sets no hour limit). PTA: the revised CTDISR-2025 reportedly requires major incidents to be reported within 24 hours (news report; PTA text not seen).⁩✓المصادر: ⁦sbp.org.pk⁩, ⁦meatechwatch.com⁩

مهلة الرد على طلبات البيانات الشخصية

⁦Not applicable (no general data subject rights regime); banking secrecy complaints go to the Banking Mohtasib.⁩

مسؤول حماية البيانات

⁦No sectoral DPO requirement; SBP⁩'⁦s cloud framework instead requires a designated security incident response team and board/IT steering committee oversight.⁩✓المصادر: ⁦sbp.org.pk⁩, ⁦practiceguides.chambers.com⁩

الممثل المحلي

⁦Not applicable.⁩✓المصادر: ⁦sbp.org.pk⁩, ⁦practiceguides.chambers.com⁩

نقل البيانات إلى الخارج

⁦SBP: onshore cloud is preferred; banks, MFBs, digital banks, DFIs and designated PSOs/PSPs may put only non-material workloads offshore (material ones need SBP approval), while EMIs and non-designated PSOs/PSPs may go offshore; never to hostile jurisdictions. PTA: revised CTDISR reportedly requires telecom data to stay in Pakistan.⁩✓المصادر: ⁦sbp.org.pk⁩, ⁦sbp.org.pk⁩, ⁦meatechwatch.com⁩

ملفات تعريف الارتباط والموافقة

⁦PTA spam regulations (2009): telemarketers must register, respect the Do Not Call Register, and include an unsubscribe option in marketing SMS.⁩

أقصى عقوبة

قيد التحقق

المعلومات الموسومة بعبارة «قيد التحقق» لا تزال قيد التأكيد ولا تُقدَّم كإجابات.

ما يجب عليك فعله✓

• ⁦Banks/fintechs: map all cloud workloads and comply with SBP⁩'⁦s 2023 cloud outsourcing framework.⁩

التغييرات الأخيرة

⁦PTA circulated a revised CTDISR-2025 replacing CTDISR-2020 (announced Aug 2025; comments due 7 Nov 2025). News reports say it requires local data hosting and 24-hour incident reporting; PTA⁩'⁦s 2024-25 cybersecurity report describes it as pending implementation.⁩✓

المصادر

• المصدر الأساسي: ⁦https://www.sbp.org.pk/bprd/2023/C1.htm⁩
• المصدر الثاني: ⁦https://meatechwatch.com/2025/11/05/pta-finalizes-new-cybersecurity-regulations-mandating-local-data-hosting-for-telecoms/⁩
• الجهة الرقابية: ⁦State Bank of Pakistan (SBP); Pakistan Telecommunication Authority (PTA)⁩

✓ = مؤكَّد من مصدرين مستقلين، أحدهما على الأقل رسمي. كيف نتحقق

معلومات فقط، وليست استشارة قانونية. القوانين تتغير؛ تحقّق مع الجهة الرقابية أو محامٍ مؤهل قبل الاعتماد على هذه الصفحة. هل لاحظت خطأ؟ راسلنا على ⁦contact@⁩⁦glancedeskjurisdiction.com⁩.