沙特阿拉伯，作为中东地区的重要国家，近年来在数据保护领域取得了显著进展，其数据保护法律框架的构建和实施值得关注。中国互联网企业进入沙特市场时，务必高度重视个人数据保护问题，充分了解并遵守当地法律法规，确保个人数据的合法、安全处理。
沙特的数据保护法律框架以《沙特阿拉伯个人数据保护法》（PDPL）为核心，辅以一系列相关法规、指令和条例，形成了一个全面、多层次的数据保护体系。这一体系不仅明确了数据主体的权利和数据处理者的义务，还设立了专门的数据保护监管机构来负责监督和执行数据保护法律。通过这一框架，沙特旨在平衡个人数据保护与社会经济发展的需求，促进数据的合法、公正和透明处理。
本文是阿中产业研究院“沙特生意经”系列第88篇，深度介绍中阿投资、贸易和工程建设领域的产业政策、法律法规、产业趋势、市场需求、竞争格局和潜在交易机会。
本文将对沙特的数据保护法律框架进行深入研究和分析，探讨其立法背景、主要内容和实施情况。通过这一研究，我们希望能够为其他国家和地区在数据保护领域的立法和实践提供借鉴和参考。
一、沙特数据保护法律框架
沙特阿拉伯的数据保护法律框架以PDPL为核心，辅以一系列相关法规、指令和条例，构成了一个全面、多层次的数据保护体系。
1. 沙特阿拉伯个人数据保护法（PDPL）
PDPL是沙特阿拉伯数据保护法律框架的基础和核心。该法规定了个人数据的收集、处理、传输和保护等方面的基本原则和要求，为数据主体提供了一系列权利保障，并设立了数据保护监管机构——沙特数据和人工智能管理局（SDAIA）来负责监督和执行数据保护法律。
值得注意的是，PDPL的实施经历了一系列推迟和调整。原定于2022年3月23日生效的该法，因需要更多时间进行公众咨询和利益相关者的反馈，实施日期被推迟至2023年3月17日。最终，经过修订的PDPL于2023年9月14日正式生效。这一过程中，SDAIA积极与各方沟通协作，确保了法律的顺利实施。
2. 相关法规、指令和条例
除了PDPL之外，沙特阿拉伯的数据保护法律框架还包括一系列相关法规、指令和条例。这些法规、指令和条例对PDPL进行了细化和补充，为特定领域和行业提供了更具针对性的数据保护规范。
例如，《个人资料保护法实施条例》和《个人数据境外传输条例》对PDPL中的原则和要求进行了具体化和扩展，为组织引入了新的合规要求。《网络犯罪法》和《电子商务法》等则针对特定领域的数据保护问题作出了规定。此外，金融、保险、电信等特定行业也制定了相应的数据保护规范和标准。
这些法规、指令和条例与PDPL共同构成了沙特阿拉伯全面、多层次的数据保护法律框架体系。
二、沙特个人数据保护法的适用范围
1. 个人范围
沙特个人数据保护法第2条明确规定，该法适用于在沙特阿拉伯以任何方式进行的任何个人数据处理，包括位于沙特境外的实体对居住在沙特的个人数据的处理。这一规定体现了沙特对于个人数据保护的广泛性和全球性。
值得一提的是，与其他国家的数据保护法相比，沙特个人数据保护法将死者个人数据的处理也纳入了保护范围，但前提是这些数据能够具体识别死者或其家庭成员的身份。这一规定体现了沙特对于个人数据保护的深度和细致。
然而，沙特个人数据保护法中的规定并不适用于个人为个人或家庭使用而处理的个人数据，只要这些数据未向他人公开或披露。这在一定程度上平衡了个人数据保护与个人数据使用的自由。
2. 领土范围
沙特个人数据保护法不仅适用于在沙特阿拉伯王国进行个人数据处理活动的沙特实体，还适用于在境外处理居住在沙特的个人数据的非沙特实体。这一规定体现了沙特对于个人数据保护的坚定立场和全球视野。
3. 数据范围
沙特个人数据保护法的规定适用于以任何方式对个人数据进行的任何处理，包括敏感数据的处理，但敏感数据的处理须遵守有限的范围和/或增加的保护和控制。这一规定体现了沙特对于个人数据保护的全面性和严格性。同时，如果不识别自然人，沙特个人数据保护法不适用于公司、政府、技术或任何其他数据的处理，这在一定程度上界定了个人数据与非个人数据的边界。
三、沙特个人数据保护法的主管部门
沙特数据和人工智能局（SDAIA）是沙特阿拉伯负责数据和人工智能的主管机构。在PDPL的实施初期，SDAIA将负责监督新立法的执行情况。两年后，监督权可能会移交给国家数据管理和保护组织（NDMO）。
作为主管部门，SDAIA的主要权力、职责和责任包括：负责制定和实施与数据和人工智能相关的政策、战略和计划；监督和管理数据和人工智能领域的运营、研究和创新活动；促进数据和人工智能技术的发展和应用；以及与国内外相关机构进行合作和交流等。
在PDPL的执行方面，SDAIA将负责确保所有实体遵守该法的规定，并对违反规定的行为进行调查和处罚。同时，SDAIA还将为公众提供有关个人数据保护的教育和培训，提高公众对个人数据保护的认识和意识。
四、沙特个人数据处理的基本原则
沙特个人数据保护法为数据主体提供了一系列权利，同时为数据处理者设定了明确的义务。其中，数据处理、收集和披露的法律依据是其核心原则。
1. 无需同意的个人数据处理
PDPL第6条规定了在特定情况下，个人数据的处理无需征得数据主体的同意。这些情况包括：处理符合数据主体的实际利益但与其沟通不可能或困难；处理是根据法律义务；处理是根据数据主体先前签订的协议；控制者是公共实体且出于安全或司法目的进行处理；以及处理是实现控制者合法利益所必需且不损害数据主体权益的非敏感数据处理。
这些规定在确保个人数据处理的灵活性的同时，也维护了数据主体的基本权益。例如，当处理符合数据主体的实际利益但与其沟通困难时，可以在未经其同意的情况下进行处理。这种规定有助于在紧急情况下及时处理个人数据，保护数据主体的利益。
2. 个人数据的收集与处理
PDPL第10条规定了控制者从数据主体收集个人数据的基本原则。控制者必须出于明确的目的收集个人数据，并且后续的处理活动必须限于这些目的。然而，在某些特定情况下，控制者可以从其他来源收集个人数据或出于其他目的处理个人数据。这些情况包括数据主体同意、个人数据是公开或从公开来源收集、控制者是公共实体且出于公共利益或安全目的进行处理等。
这些规定确保了个人数据的收集与处理活动在合法、透明和有限的目的范围内进行。同时，它们也允许在特定情况下进行灵活的数据处理，以满足社会的需求和期望。
3. 个人数据的披露
PDPL第15条对个人数据的披露进行了严格限制。控制者不得随意披露个人数据，除非符合特定的法律依据。这些依据包括数据主体的同意、个人数据从公开来源收集、请求披露的实体是公共机构且出于公共利益或安全目的、为保护公众健康或安全所必需等。
此外，PDPL还规定了在某些情况下不得披露个人数据。这些情况包括披露会造成安全风险、损害沙特声誉或利益、影响沙特与其他国家的关系、影响正在进行的刑事诉讼程序的完整性等。
这些规定确保了个人数据的披露在符合法律要求和公共利益的前提下进行，防止了个人数据的滥用和泄露。
4. 合法利益基础
PDPL引入了合法利益基础作为处理个人数据的法律依据之一。根据这一基础，控制者可以在未经数据主体同意的情况下为实现其合法利益处理个人数据。然而，这种处理必须满足一定的条件，包括处理目的不违反沙特法律、不影响数据主体的权益、不包括敏感数据且在数据主体的合理预期范围内。
合法利益基础的引入为控制者提供了更多的灵活性，使其能够在符合法律要求和保护数据主体权益的前提下实现其合法利益。
五、沙特数据控制者与处理者义务
沙特个人数据保护法为数据主体提供了全面的法律保护，同时也为控制者和处理者设定了严格的义务。
1. 数据处理通知义务
根据PDPL及其实施条例，控制者有义务向SDAIA进行注册登记，并发布国家控制人名册登记规则。这一规定确保了SDAIA对控制者的有效监管，同时也提高了个人数据处理活动的透明度。
2. 数据传输义务
PDPL对数据传输进行了严格规定，控制者仅在满足特定条件和目的时方可向沙特境外传输或披露个人数据。这些条件和目的包括履行国际协议义务、服务沙特国家利益、执行个人数据主体作为一方的义务等。此外，控制者还需确保数据传输过程中的数据安全，不得损害国家安全或沙特的切身利益。
3. 数据处理记录义务
控制者需保存个人数据处理活动的记录，并在SDAIA要求时提供。这一规定有助于SDAIA对控制者的处理活动进行监督和检查，确保个人数据的合法处理。
4. 数据保护影响评估义务
控制者需对可能对数据主体产生影响的个人数据处理活动进行评估，特别是在处理敏感数据、使用新技术或涉及自动决策等情况下。评估结果将有助于控制者识别潜在风险并采取相应措施，确保个人数据的安全处理。
评估应包括以下内容：处理的目的和法律依据、处理的性质和数据类型、处理的影响等。对于高风险的处理行为，控制者需重新进行评估并采取相应的措施。
5. 数据保护官（DPO）任命义务
在特定情况下，控制者需根据PDPL及其实施条例任命一名或多名数据保护官。这些情况包括：控制者是提供涉及大规模个人数据处理的服务的公共实体；控制者的主要活动包括需要对数据主体进行定期和系统监控的处理操作；以及控制者的核心活动包括处理敏感的个人数据。
6. 数据泄露通知义务
在发生个人数据泄露、损坏或未经授权的访问时，控制者需根据PDPL第20条及其实施条例在72小时内向SDAIA报告，并立即通知可能受影响的数据主体。通知应包括以下内容：泄露事件的描述、受影响的数据类型和数量、风险描述以及已采取和将采取的措施等。
7. 儿童数据与法定监护人的角色
PDPL第16条及其实施条例对儿童数据的保护提出了严格要求。这些规定认识到儿童和无行为能力人的脆弱性，因此要求控制者在披露这些数据时必须格外谨慎。
特别是，当信息主体为未成年人或无行为能力人时，其法定监护人被赋予代表他们行使权利的能力。这一框架确保了儿童数据的处理始终以数据主体的最大利益为出发点。
8. 特殊类别的个人数据
沙特PDPL对于敏感个人数据的处理采取了严格的立场。敏感数据被定义为包括揭示个人种族、宗教、政治信仰、健康信息等在内的数据。处理此类数据需要明确的同意，并且不能基于合法利益进行处理。此外，控制者在处理敏感数据时必须任命数据保护官（DPO），并遵守一系列额外的组织和技术措施。违反这些规定可能会导致严重的法律后果，包括罚款和刑事制裁。
9. 控制者与处理者之间的合同关系
PDPL第八条及其实施条例对控制者和处理者之间的合同关系进行了详细规定。这些规定确保了控制者在选择处理者时能够采取必要的保证措施，以保护个人数据的安全和隐私。合同必须明确规定处理的目的、持续时间以及处理者的责任和义务。
此外，控制者有责任定期评估处理者的合规性，并确保所有监管要求得到满足。如果处理者违反指令或协议，他们将被视为控制者，并直接对任何违法行为承担责任。
六、沙特数据主体权利
PDPL为数据主体提供了一系列权利，以确保其个人数据的合法、公正和透明处理。
1. 知情权
PDPL赋予数据主体知情权，要求控制者向数据主体提供关于其数据处理的详细信息。这一权利的实现依赖于隐私政策的制定和执行，隐私政策必须明确收集的目的、要收集的个人数据、处理手段以及数据主体的相关权利。此外，实施细则进一步规定了在某些情况下应提供的附加信息，以确保数据主体的充分知情。
2. 访问权与整改权
数据主体有权访问其个人数据，并要求对其进行更正、完善或更新。控制者必须遵守相关规定，确保数据主体的访问请求得到及时、准确的响应。同时，如果个人数据被更正、完善或更新，控制者还有义务将此类更改告知任何收到此类数据的实体。
3. 删除权与反对/选择退出的权利
数据主体有权要求删除其个人数据，并在特定情况下行使反对或选择退出的权利。控制者必须遵守相关规定，确保在收到数据主体的请求后及时删除个人数据或停止处理。此外，实施细则还规定了撤回同意的条件和程序，以保障数据主体在其个人数据处理过程中的自主权。
4. 数据可移植性的权利与不受自动决策影响的权利
PDPL还赋予数据主体数据可移植性的权利，即有权以可读且清晰的格式访问其个人数据。这一规定有助于促进数据主体在不同服务之间的数据共享和迁移。同时，虽然PDPL并未直接规定反对自动化决策的具体条款，但相关规定要求控制者在依赖自动化处理时必须明确决策的依据，并进行影响评估，以确保数据主体的权益不受侵害。
5. 其他权利与投诉机制
除了上述权利外，数据主体还有权向沙特数据和信息管理局（SDAIA）提出与PDPL和/或实施条例的应用有关的投诉。这一机制为数据主体提供了有效的救济途径，确保其能够在个人数据受到侵害时寻求法律保护。同时，实施细则还规定了控制者在收到数据主体请求后的响应时间和拒绝执行请求的条件，以保障数据主体权利的及时实现。
七、结论
随着信息技术的迅猛发展和大数据时代的到来，数据保护问题已在全球范围内受到广泛关注。沙特阿拉伯，作为一个重要的中东国家，于2021年颁布了首部全面、统一的国家数据保护法——沙特阿拉伯个人数据保护法（PDPL），标志着该国在数据保护领域迈出了重要的一步。
中国互联网企业在进入沙特市场时，应特别注意遵守沙特的个人数据保护法律，确保企业数据处理的合法性、公正性和透明性。
同时，为了更好地适应沙特的数据保护法律环境，中国互联网企业可以积极寻求与阿中产业研究院中东法务中心的合作。该中心联合中国头部律师事务所与沙特本地律师事务所，能够为中国企业以其熟悉的方式接受当地高效的专业服务，帮助企业在沙特市场上顺利开展业务并规避潜在的法律风险。
Photo by Tingey Injury Law Firm on Unspla
