随着信息技术的飞速发展，个人数据的保护已成为全球关注的焦点。沙特阿拉伯作为中东地区的重要国家，近年来对个人数据保护进行了积极立法。本文旨在深入探讨沙特个人数据保护法（PDPL）下控制者与处理者的主要义务，并结合其实施条例，对相关法律要求进行详细解读。
一、引言
沙特个人数据保护法为数据主体提供了全面的保护框架，其中控制者和处理者在数据处理活动中扮演着关键角色。本文将从控制者和处理者的角度出发，重点分析他们在沙特个人数据保护法下的主要义务。
二、数据控制者与处理者的基本义务
1. 数据处理通知义务
根据经修订的PDPL第30条第（4）款及其实施条例，控制者有义务向国家数据保护协会（SDAIA）进行数据处理活动的通知。这包括为了执行与监督PDPL条款而确定适当的工具和机制。此外，SDAIA将发布国家控制人名册登记规则，控制者需根据规则判断是否需要在SDAIA注册。
2. 数据传输义务
PDPL第29条允许控制者在特定条件下将个人数据传输到沙特阿拉伯境外。这些条件包括：传输的目的符合PDPL和条例的规定；传输不会损害国家安全或沙特的切身利益；境外接收方对个人数据的保护水平不得低于沙特境内的保护水平；以及传输应限于必要的最小数量的个人数据。此外，控制者在传输数据时还需进行风险评估，并采取适当的保障措施。
3. 数据处理记录义务
控制者需根据PDPL第31条的要求，保存个人数据处理活动的记录。这些记录应包括控制者的信息、处理目的、个人数据类别、接收者类别、是否传输到境外等信息。记录应保存至处理活动结束后的五年。
4. 数据保护影响评估义务
根据PDPL第22条及其实施条例，控制者需对可能对数据主体造成影响和风险的个人数据处理进行评估。评估应包括以下内容：处理的目的和法律依据、处理的性质和数据类型、处理的影响等。对于高风险的处理行为，控制者需重新进行评估并采取相应的措施。
5. 数据保护官（DPO）任命义务
在特定情况下，控制者需根据PDPL第30条第（2）款及其实施条例任命一名或多名数据保护官。这些情况包括：控制者是提供涉及大规模个人数据处理的服务的公共实体；控制者的主要活动包括需要对数据主体进行定期和系统监控的处理操作；以及控制者的核心活动包括处理敏感的个人数据。
6. 数据泄露通知义务
在发生个人数据泄露、损坏或未经授权的访问时，控制者需根据PDPL第20条及其实施条例在72小时内向SDAIA报告，并立即通知可能受影响的数据主体。通知应包括以下内容：泄露事件的描述、受影响的数据类型和数量、风险描述以及已采取和将采取的措施等。
7. 儿童数据保护
PDPL第16条及其实施条例对儿童数据的保护提出了严格要求。这些规定认识到儿童和无行为能力人的脆弱性，因此要求控制者在披露这些数据时必须格外谨慎。特别是，当信息主体为未成年人或无行为能力人时，其法定监护人被赋予代表他们行使权利的能力。这一框架确保了儿童数据的处理始终以数据主体的最大利益为出发点。
8. 特殊类别的个人数据
沙特PDPL对于敏感个人数据的处理采取了严格的立场。敏感数据被定义为包括揭示个人种族、宗教、政治信仰、健康信息等在内的数据。处理此类数据需要明确的同意，并且不能基于合法利益进行处理。此外，控制者在处理敏感数据时必须任命数据保护官（DPO），并遵守一系列额外的组织和技术措施。违反这些规定可能会导致严重的法律后果，包括罚款和刑事制裁。
9. 控制者与处理者合同
PDPL第八条及其实施条例对控制者和处理者之间的合同关系进行了详细规定。这些规定确保了控制者在选择处理者时能够采取必要的保证措施，以保护个人数据的安全和隐私。合同必须明确规定处理的目的、持续时间以及处理者的责任和义务。此外，控制者有责任定期评估处理者的合规性，并确保所有监管要求得到满足。如果处理者违反指令或协议，他们将被视为控制者，并直接对任何违法行为承担责任。
三、结论
沙特个人数据保护法为控制者和处理者设定了严格的义务，以确保个人数据的安全和隐私。控制者和处理者需充分了解并遵守这些义务，以避免因违反法律规定而面临的法律风险。同时，随着技术的不断发展和法律的持续完善，控制者和处理者还需密切关注法律动态，及时调整和完善自身的合规措施。
本文由阿中产业研究院精心编撰。阿中产业研究院中东法务中心汇聚了一支卓越的律师团队，成员均来自中国顶尖律师事务所，并联合中东地区的法律精英，共同致力于为中国企业提供全面、专业的中东法律服务。
阿中产业研究院放眼于中东地区的广阔商业机遇，为中国企业在中东的全方位发展提供一站式落地服务，服务范围涵盖商业咨询、法律事务、公司注册、财税规划、人力资源配置、物业租赁管理以及投资融资等多个领域。我们的目标是成为中国企业在中东拓展的坚强后盾，助您在这片热土上扎根、成长、繁荣。
