随着信息技术的飞速发展，个人数据的保护已成为全球关注的焦点。沙特阿拉伯作为中东地区的重要国家，近年来对个人数据保护法的修订和完善体现了其对数据主体权益的高度重视。本文旨在深入探讨沙特个人数据保护法（PDPL）下控制者与处理者的义务，以期为相关企业和机构在沙特开展业务时提供法律遵循和参考。
一、引言
沙特个人数据保护法为数据主体提供了全面的法律保护，同时也为控制者和处理者设定了严格的义务。控制者和处理者作为个人数据处理的关键角色，其义务的履行直接关系到数据主体的权益保护和沙特数据保护法律的实施效果。
二、控制者与处理者的核心义务
1. 数据处理通知义务
根据PDPL及其实施条例，控制者有义务向沙特数据保护局（SDAIA）进行注册登记，并发布国家控制人名册登记规则。这一规定确保了SDAIA对控制者的有效监管，同时也提高了个人数据处理活动的透明度。
2. 数据传输义务
PDPL对数据传输进行了严格规定，控制者仅在满足特定条件和目的时方可向沙特境外传输或披露个人数据。这些条件和目的包括履行国际协议义务、服务沙特国家利益、执行个人数据主体作为一方的义务等。此外，控制者还需确保数据传输过程中的数据安全，不得损害国家安全或沙特的切身利益。
3. 数据处理记录义务
控制者需保存个人数据处理活动的记录，并在SDAIA要求时提供。这一规定有助于SDAIA对控制者的处理活动进行监督和检查，确保个人数据的合法处理。
4. 数据保护影响评估义务
控制者需对可能对数据主体产生影响的个人数据处理活动进行评估，特别是在处理敏感数据、使用新技术或涉及自动决策等情况下。评估结果将有助于控制者识别潜在风险并采取相应措施，确保个人数据的安全处理。
5. 数据保护官（DPO）任命义务
在特定情况下，控制者需任命或指定一名或多名DPO，负责监督个人数据的处理活动并保护数据主体的权益。DPO的任命将有助于提升控制者内部数据保护意识和能力，进一步保障个人数据的安全与合法处理。
6. 数据泄露通知义务
在发生个人数据泄露、损坏或未经授权的访问等事件时，控制者需及时向SDAIA和数据主体进行通知。这一规定有助于及时发现和处理数据泄露事件，降低潜在风险对数据主体权益的影响。
7. 童数据与法定监护人的角色
PDPL第16条明确规定，在涉及未成年人或无行为能力人的利益时，控制者不得披露其个人数据。这一条款强调了对儿童数据的特殊保护。此外，《实施条例》进一步阐明了法定监护人在代表信息主体行使权利方面的作用。这些规定确保了儿童数据在处理过程中得到了充分的关注和保护。
8. 特殊类别的个人数据
与一些国际数据保护法相比，经修订的PDPL在处理敏感数据方面并未设置额外的附加条件。然而，这并不意味着敏感数据的处理不受限制。相反，PDPL对敏感数据的处理施加了诸多限制，并对某些类别的敏感数据提出了进一步的要求。例如，健康数据和信用数据等敏感数据在处理时需遵守额外的要求和程序。
9. 控制者与处理者之间的合同关系
经修订的PDPL第八条和《实施条例》第十七条对控制者在选择处理者时提出了严格要求。控制者必须选择能够为实施数据保护法提供必要保证的实体，并确保处理者遵守相关法律法规。此外，控制者与处理者之间的合同必须明确规定处理的目的、个人数据的类别、处理的持续时间等关键要素。这些规定有助于确保个人数据在处理过程中的安全性和完整性。
三、结论与建议
沙特个人数据保护法为控制者和处理者设定了严格的义务，旨在保护数据主体的权益和维护国家安全。相关企业和机构在沙特开展业务时，应充分了解并遵守这些义务，确保个人数据的合法、安全处理。同时，建议企业加强内部数据保护意识和能力建设，提升数据处理活动的合规性和安全性，以应对日益严峻的数据保护挑战。
本文由阿中产业研究院精心编撰。阿中产业研究院中东法务中心汇聚了一支卓越的律师团队，成员均来自中国顶尖律师事务所，并联合中东地区的法律精英，共同致力于为中国企业提供全面、专业的中东法律服务。
阿中产业研究院放眼于中东地区的广阔商业机遇，为中国企业在中东的全方位发展提供一站式落地服务，服务范围涵盖商业咨询、法律事务、公司注册、财税规划、人力资源配置、物业租赁管理以及投资融资等多个领域。我们的目标是成为中国企业在中东拓展的坚强后盾，助您在这片热土上扎根、成长、繁荣。
