沙特阿拉伯现行有效对中国 AI 企业相关度：高数据与隐私数据跨境

沙特个人数据保护法（PDPL）及其实施细则

《个人数据保护法》（M/19 号王室令颁布，经 M/148 号王室令修订）及《个人数据保护法实施细则》

沙特数据与人工智能管理局（SDAIA）为主管机关 · Royal Decree No. M/19 dated 9/2/1443H, as amended by Royal Decree No. M/148 dated 5/9/1444H

PDPL 是沙特第一部综合性个人数据保护法，第 2 条明确其适用于在沙特境内以任何方式进行的个人数据处理，"包括境外任何主体以任何方式处理居住在沙特境内个人的个人数据"。法律以控制者义务为主线：隐私政策与告知、处理记录（第 31 条，须含是否向境外传输或向境外主体披露）、安全措施（第 19 条）、泄露通知主管机关与数据主体（第 20 条，实施细则明确 72 小时）、个人数据处理影响评估（第 22 条）、数据主体权利响应期限（第 21 条）、健康数据与信用数据的加强控制（第 23–24 条）、禁止复制可识别数据主体的官方证件（第 28 条）、跨境传输（第 29 条）、主管机关的监督与国家控制者登记册（第 30 条）、以及第 33(4) 条要求主管机关为境外控制者与处理者设定监测与域外执法机制。实施细则第 32 条与配套《数据保护官任命规则》进一步界定了必须任命个人数据保护官的三种情形（大规模提供涉个人数据服务的公共实体；核心活动需对数据主体进行常规系统性监测；核心活动基于处理敏感个人数据）。

已对照官方来源核实 · 2026-09-12部分依据二手来源，建议复核

它管不管得到我？

中国 AI 企业受 PDPL 约束的典型业务动作：（1）在沙特设立公司、合资实体或数据中心并处理员工、客户数据；（2）不在沙特设立实体，但向沙特居民提供 App、模型 API、云服务、智能硬件或机器人，采集其账号、位置、语音、影像、健康或车辆数据——第 2(1) 条直接覆盖境外主体；（3）作为沙特客户（尤其政府项目、银行、医疗机构）的处理者承接标注、训练、推理、运维；（4）通过沙特经销商销售含摄像头／麦克风的硬件并回传数据至中国；（5）主营业务本身就是个人数据处理（例如以用户数据训练模型的平台）——此时依《国家控制者登记册规则》第 2 条属于强制登记情形之一。注意：该登记册规则的引言明确境外控制者的单独登记规则将由主管机关另行发布，境外企业应持续跟踪。

重点行业：通用、大模型 / 生成式 AI、企业软件 SaaS、医疗 AI、金融科技 AI、计算机视觉

适用时间线

2026-09-12
核实：PDPL（经修订）、实施细则、跨境传输条例及配套规则均为 SDAIA 官网列示的现行有效文本
PDPL 第 43 条规定本法自官方公报公布之日起满 720 日施行；实施细则第 38 条规定其与本法同日施行；跨境传输条例第 9 条规定自官方公报公布之日起施行。SDAIA 官网同时公布了违规审查委员会工作规则、数据保护官任命规则、国家控制者登记册规则、认证机构许可与颁证规则等配套文件，表明执法机制已建立。

义务清单（6 条）

每条都写明触发条件、需要留存的证据与条款出处

在国家数据治理平台登记为控制者

严重度高PDPL Art. 30(4)(c)；实施细则 Art. 34；国家控制者登记册规则 Art. 2–7

依 PDPL 第 30(4)(c) 条与实施细则第 34 条，主管机关维护国家控制者登记册；《国家控制者登记册规则》第 2 条规定以下情形之一即须在国家数据治理平台登记：控制者为公共实体；控制者的主营活动以处理个人数据为基础；控制者处理敏感数据；个人为超出个人或家庭使用目的处理个人数据。登记时须指定代表（私营实体由授权人在平台上指定）、填报实体资料与代表联系方式，并在登记流程中判断是否须按实施细则第 32 条与《数据保护官任命规则》任命个人数据保护官；已任命的须在平台填报其信息。登记成功后平台颁发含登记流水号的登记证书，并可向公众公开。

触发条件: 以用户数据训练模型、提供数据分析或处理敏感数据的 AI 企业几乎必然落入"主营活动以处理个人数据为基础"或"处理敏感数据"两项。
做完之后应留存的证据: · 国家数据治理平台登记证书（含登记流水号）
· 代表指定文件与授权链
· 是否须任命个人数据保护官的判定备忘
· 登记信息变更与年度复核记录

首次达标投入估算：2–6 人日（估算，非承诺）

任命个人数据保护官并明确其职责

严重度高实施细则 Art. 32；数据保护官任命规则 Art. 4–8

实施细则第 32(1) 条与《数据保护官任命规则》第 5 条规定三种必须任命的情形：公共实体大规模提供涉及个人数据处理的服务；控制者的核心活动基于因其性质而需要对数据主体进行常规系统性监测的处理操作；控制者的核心活动基于处理敏感个人数据。规则进一步给出判定标准：大规模看数据主体数量、数据量、数据类型、处理的地理范围与数据主体类别；"常规"指持续、定期或按特定间隔进行，"系统性"指通过技术系统、按特定方法或作为整体战略／计划的一部分实施；并举例可穿戴设备采集健康与健身数据、用于风险评估的行为分析技术、位置追踪、Cookie 与监控摄像头。核心活动的判定标准是：不处理个人数据即无法提供产品或服务。数据保护官可为高管、员工或外部承包商，职责包括作为与主管机关的直接联络人、监督影响评估与审计报告、保障数据主体行权、向主管机关通报泄露事件、处理数据主体请求与投诉、维护并更新处理活动记录、处理违规并采取纠正措施。

触发条件: 做用户行为分析、推荐、风控评分、可穿戴健康数据、车载感知或视频监控的 AI 企业，基本都落入"常规系统性监测"或"敏感数据核心活动"。
做完之后应留存的证据: · 任命判定备忘（对照三种情形与"大规模／常规／系统性／核心活动"判定标准）
· 个人数据保护官任命文件、岗位说明与资质证明
· 在国家数据治理平台填报的数据保护官信息记录
· 数据保护官履职记录（影响评估监督、泄露通报、请求与投诉处理）

首次达标投入估算：3–8 人日（估算，非承诺）

泄露事件 72 小时内通知主管机关并告知数据主体

严重度极高PDPL Art. 20；实施细则 Art. 24（泄露通报）、Art. 23（安全措施）

PDPL 第 20 条要求控制者在知悉任何个人数据泄露、损毁或非法访问时通知主管机关，并在该事件会损害数据主体数据或损及其权利与利益时通知数据主体；实施细则第 24(1) 条进一步明确：若事件可能对个人数据、数据主体或其权利与利益造成损害或冲突，控制者须在知悉后不超过 72 小时内通知主管机关；第 24(2) 条允许在 72 小时内无法提供全部所需信息时分阶段补报。实践上需要预先固化"知悉"的认定规则、跨时区值班与升级路径、以及通知模板。

触发条件: 所有受 PDPL 约束的控制者；处理者应在合同中承诺对控制者的即时上报义务。; 时限：知悉后不超过 72 小时通知主管机关。
做完之后应留存的证据: · 泄露应急预案（含"知悉"认定规则与 72 小时计时表）
· 主管机关通知模板与已提交记录
· 数据主体告知文本与送达证明
· 事件复盘报告与纠正措施跟踪表

首次达标投入估算：4–10 人日（估算，非承诺）

用模板：AI 事件与严重事故报告记录（事件台账 + 对外报告底稿）

维护个人数据处理活动记录（须标明是否出境）

严重度中PDPL Art. 31

PDPL 第 31 条要求控制者按其活动性质、在实施细则规定的期限内保存个人数据处理活动记录，并在主管机关要求时随时提供；记录至少包含控制者联系方式、处理目的、数据主体类别描述、个人数据已经或将要向其披露的其他实体、个人数据是否已经或将要被传输至王国境外或向境外主体披露、以及个人数据的预计保留期限。对 AI 企业而言，"是否出境"这一栏必须覆盖训练数据集、推理请求日志、向量库与模型检查点的实际存放与访问位置，而不仅是名义上的合同对手方。

触发条件: 所有受 PDPL 约束的控制者。
做完之后应留存的证据: · 处理活动记录（按第 31 条六项字段）
· 数据存放与访问位置清单（训练集、日志、向量库、模型检查点）
· 保留期限政策与到期销毁执行记录
· 向主管机关提供记录的应答流程与历史记录

首次达标投入估算：4–10 人日（估算，非承诺）

产品与服务的个人数据处理影响评估

严重度高PDPL Art. 22；实施细则 Art. 32(3)(b)

PDPL 第 22 条要求控制者就任何产品或服务的个人数据处理，按其活动性质并依实施细则相关规定开展影响评估。与欧盟 DPIA 的差别在于其触发点绑定"产品或服务"，因此 AI 企业每次上线新功能、更换模型、扩大数据来源或改变输出用途，都应重新评估而非一次性完成。实施细则第 32(3)(b) 条把监督影响评估程序、审计与控制报告、评估结果文档化与出具建议明确列为个人数据保护官的职责。

触发条件: 在沙特上线或迭代任何处理个人数据的 AI 产品或服务的控制者。
做完之后应留存的证据: · 按产品／服务维度的影响评估报告集
· 评估触发规则（新功能、换模型、数据源变更、输出用途变更）
· 个人数据保护官的评估监督与建议记录
· 风险缓解措施落地验证记录

首次达标投入估算：6–15 人日（估算，非承诺）

组织、管理与技术安全措施及从业人员保密义务

严重度高PDPL Art. 19、Art. 41

PDPL 第 19 条要求控制者采取一切必要的组织、管理与技术措施保护个人数据，包括在数据传输过程中，并遵循实施细则规定的控制要求。第 41 条另规定：任何从事个人数据处理的人员，在其职务或合同关系结束后仍须保守个人数据的机密性。对中国企业的实务含义是：外包标注团队、离职工程师、临时承包商的保密承诺与访问回收流程必须留痕，且这项义务在合同终止后持续存在。

触发条件: 控制者、处理者及其全部接触个人数据的人员与分包商。
做完之后应留存的证据: · 安全控制清单与实施证据（加密、访问控制、传输保护、日志留存）
· 人员与分包商保密承诺书（含离职后持续有效条款）
· 账号与权限回收流程记录
· 安全措施定期评估与整改记录

首次达标投入估算：8–20 人日（估算，非承诺）

罚则

第 35 条：以损害数据主体或牟取私利为目的违法披露或发布敏感数据的，处不超过两年监禁、或不超过 300 万里亚尔罚金，或两者并处；累犯时法院可加倍罚金（不得超过该上限的两倍）。第 36 条：除第 35 条情形外，对违反本法或实施细则任何规定的相关主体处以警告或不超过 500 万里亚尔的罚款，累犯可加倍（不得超过该上限的两倍）；由主管机关负责人组建的委员会（不少于三人，含技术专家与法律顾问）审查违规并作出决定，经主管机关负责人或其授权人批准后生效，被处罚人可向主管法院上诉。第 40 条另规定受害人可另行向法院请求物质与精神损害赔偿。

已知不确定之处

本条目刻意不给出 PDPL 的公历生效日期。官方英文本只给出希吉来历日期（M/19 号王室令，1443-02-09；M/148 号修订令，1444-09-05）与"官方公报公布后 720 日施行"的规则；本轮抓取中沙特官方公报与法律汇编门户（laws.boe.gov.sa、my.gov.sa）均不可达，SDAIA 官网亦未在英文页面给出公历施行日。因此我们只确认该法律框架现行有效，公历里程碑（施行日、过渡期届满日）请以乌姆古拉官方公报或 SDAIA 正式公告为准后再对外引用。此外，实施细则中泄露通报之外的若干期限（例如数据主体请求答复期限的具体天数）未逐条抄录。

可直接下载的交付模板

AI 事件与严重事故报告记录（事件台账 + 对外报告底稿）