合规义务导航器
说清楚你的生意，拿走一份能派工的义务清单
从 82 条法规、443 条已拆解义务中筛出真正管到你的那几条：每条写明触发条件、需要留存的证据、条款出处与投入估算，可直接下载成清单。免注册。
命中 12 条义务，涉及 3 部法规
下载为 Markdown 清单沙特个人数据出境传输条例
沙特阿拉伯 · 复核 2026-09-12逐条链路论证出境目的与三项条件
严重度 极高 · PDPL Art. 29；出境条例 Art. 2为每一条出境链路留存书面论证：（一）落入 PDPL 第 29(1) 条允许的目的，或本条例第 2 条具体化的三类"其他目的"之一（必要集中处理／向数据主体提供服务或利益／科学研究）；（二）不损害国家安全与王国重大利益；（三）境外存在不低于沙特法与条例水平的适当保护；（四）传输限于实现目的所需的最小个人数据量。第 29(3) 条另规定，在为保护数据主体生命或重大利益、或预防、检查、治疗疾病的极端必要情形下，第 29(2) 条的三项条件不适用。
需留存证据：出境链路清单（目的、法律依据、接收方、数据类别、数据量）；最小化论证与字段级裁剪证据（传输前后字段对照）；国家安全与重大利益影响的内部审查意见；适当保护水平评估结论与支撑材料
落实三类适当保障措施之一（SCC／BCR／认证证书）
严重度 极高 · 出境条例 Art. 4、Art. 5、Art. 6第 4(1) 条规定，适用豁免情形的控制者必须实施以下适当保障措施之一：标准合同条款、约束性共同规则、认证证书。第 4(2) 条给出五类豁免情形及其对应要求：公共机构之间为履行沙特为缔约方的协议或服务其利益而传输的，须在相关协议或备忘录中纳入个人数据保护标准条款；非经常性或限定期间、涉及有限数量数据主体的传输，须遵守标准合同条款，或向已取得主管机关许可实体所颁认证证书的接收方传输且数据非敏感；跨国集团为必要集中运营而传输的，控制者与其关联方须遵守约束性共同规则或标准合同条款，或接收方取得认证证书；为直接向数据主体提供服务或利益且不违背其预期或利益而传输的，须向持有认证证书的接收方传输且数据非敏感；为科学研究与研究性工作所必需的传输须限于最小数据量，并遵守标准合同条款或向持证接收方传输且数据非敏感。第 4(3) 条要求保障措施须确保控制者遵守法与条例，并保护数据主体权利，包括向主管机关投诉与就权利受侵害获得赔偿的权利。
需留存证据：已签署的 SDAIA 标准合同条款文本或获批的约束性共同规则；接收方认证证书及其颁发机构许可证明（若依赖认证路径）；豁免情形归类备忘（逐链路对应第 4(2) 条五类中的哪一类）；保障措施落地验证（访问控制、投诉与赔偿通道、审计权行使记录）
出境风险评估（第 7 条六项要素）
严重度 高 · 出境条例 Art. 7第 7(1) 条规定两种必须在传输前完成风险评估的情形：依第 4 条豁免进行的出境传输或披露；以及持续或大规模向境外传输或披露敏感数据。第 7(2) 条要求评估至少包含六项要素：出境的目的与法律依据；出境的性质描述（含所涉处理活动及其地理范围）；已实施的适当保障措施及其在确保不低于法与条例水平保护方面的充分性；在未获第 29(2)(c) 条豁免时确保传输限于最小数据量的措施；出境可能造成的物质或精神影响及其发生可能性；为预防潜在风险或在风险发生时减轻其影响所将采用的措施或控制。SDAIA 另发布《个人数据出境风险评估指引》，应作为评估模板的基准。
需留存证据：出境风险评估报告（覆盖第 7(2) 条六项要素）；评估所依据的接收国法律环境分析；风险缓解控制清单与实施证据；触发重评的规则与历次复评记录（接收方、数据类别或法律环境变化）
沙特个人数据保护法（PDPL）及其实施细则
沙特阿拉伯 · 复核 2026-09-12泄露事件 72 小时内通知主管机关并告知数据主体
严重度 极高 · PDPL Art. 20；实施细则 Art. 24（泄露通报）、Art. 23（安全措施）PDPL 第 20 条要求控制者在知悉任何个人数据泄露、损毁或非法访问时通知主管机关，并在该事件会损害数据主体数据或损及其权利与利益时通知数据主体；实施细则第 24(1) 条进一步明确：若事件可能对个人数据、数据主体或其权利与利益造成损害或冲突，控制者须在知悉后不超过 72 小时内通知主管机关；第 24(2) 条允许在 72 小时内无法提供全部所需信息时分阶段补报。实践上需要预先固化"知悉"的认定规则、跨时区值班与升级路径、以及通知模板。
需留存证据：泄露应急预案（含"知悉"认定规则与 72 小时计时表）；主管机关通知模板与已提交记录；数据主体告知文本与送达证明；事件复盘报告与纠正措施跟踪表
在国家数据治理平台登记为控制者
严重度 高 · PDPL Art. 30(4)(c)；实施细则 Art. 34；国家控制者登记册规则 Art. 2–7依 PDPL 第 30(4)(c) 条与实施细则第 34 条，主管机关维护国家控制者登记册；《国家控制者登记册规则》第 2 条规定以下情形之一即须在国家数据治理平台登记：控制者为公共实体；控制者的主营活动以处理个人数据为基础；控制者处理敏感数据；个人为超出个人或家庭使用目的处理个人数据。登记时须指定代表（私营实体由授权人在平台上指定）、填报实体资料与代表联系方式，并在登记流程中判断是否须按实施细则第 32 条与《数据保护官任命规则》任命个人数据保护官；已任命的须在平台填报其信息。登记成功后平台颁发含登记流水号的登记证书，并可向公众公开。
需留存证据：国家数据治理平台登记证书（含登记流水号）；代表指定文件与授权链；是否须任命个人数据保护官的判定备忘；登记信息变更与年度复核记录
任命个人数据保护官并明确其职责
严重度 高 · 实施细则 Art. 32；数据保护官任命规则 Art. 4–8实施细则第 32(1) 条与《数据保护官任命规则》第 5 条规定三种必须任命的情形：公共实体大规模提供涉及个人数据处理的服务；控制者的核心活动基于因其性质而需要对数据主体进行常规系统性监测的处理操作；控制者的核心活动基于处理敏感个人数据。规则进一步给出判定标准：大规模看数据主体数量、数据量、数据类型、处理的地理范围与数据主体类别；"常规"指持续、定期或按特定间隔进行，"系统性"指通过技术系统、按特定方法或作为整体战略／计划的一部分实施；并举例可穿戴设备采集健康与健身数据、用于风险评估的行为分析技术、位置追踪、Cookie 与监控摄像头。核心活动的判定标准是：不处理个人数据即无法提供产品或服务。数据保护官可为高管、员工或外部承包商，职责包括作为与主管机关的直接联络人、监督影响评估与审计报告、保障数据主体行权、向主管机关通报泄露事件、处理数据主体请求与投诉、维护并更新处理活动记录、处理违规并采取纠正措施。
需留存证据：任命判定备忘（对照三种情形与"大规模／常规／系统性／核心活动"判定标准）；个人数据保护官任命文件、岗位说明与资质证明；在国家数据治理平台填报的数据保护官信息记录；数据保护官履职记录（影响评估监督、泄露通报、请求与投诉处理）
产品与服务的个人数据处理影响评估
严重度 高 · PDPL Art. 22；实施细则 Art. 32(3)(b)PDPL 第 22 条要求控制者就任何产品或服务的个人数据处理，按其活动性质并依实施细则相关规定开展影响评估。与欧盟 DPIA 的差别在于其触发点绑定"产品或服务"，因此 AI 企业每次上线新功能、更换模型、扩大数据来源或改变输出用途，都应重新评估而非一次性完成。实施细则第 32(3)(b) 条把监督影响评估程序、审计与控制报告、评估结果文档化与出具建议明确列为个人数据保护官的职责。
需留存证据：按产品／服务维度的影响评估报告集；评估触发规则（新功能、换模型、数据源变更、输出用途变更）；个人数据保护官的评估监督与建议记录；风险缓解措施落地验证记录
组织、管理与技术安全措施及从业人员保密义务
严重度 高 · PDPL Art. 19、Art. 41PDPL 第 19 条要求控制者采取一切必要的组织、管理与技术措施保护个人数据，包括在数据传输过程中，并遵循实施细则规定的控制要求。第 41 条另规定：任何从事个人数据处理的人员，在其职务或合同关系结束后仍须保守个人数据的机密性。对中国企业的实务含义是：外包标注团队、离职工程师、临时承包商的保密承诺与访问回收流程必须留痕，且这项义务在合同终止后持续存在。
需留存证据：安全控制清单与实施证据（加密、访问控制、传输保护、日志留存）；人员与分包商保密承诺书（含离职后持续有效条款）；账号与权限回收流程记录；安全措施定期评估与整改记录
维护个人数据处理活动记录（须标明是否出境）
严重度 中 · PDPL Art. 31PDPL 第 31 条要求控制者按其活动性质、在实施细则规定的期限内保存个人数据处理活动记录，并在主管机关要求时随时提供；记录至少包含控制者联系方式、处理目的、数据主体类别描述、个人数据已经或将要向其披露的其他实体、个人数据是否已经或将要被传输至王国境外或向境外主体披露、以及个人数据的预计保留期限。对 AI 企业而言，"是否出境"这一栏必须覆盖训练数据集、推理请求日志、向量库与模型检查点的实际存放与访问位置，而不仅是名义上的合同对手方。
需留存证据：处理活动记录（按第 31 条六项字段）；数据存放与访问位置清单（训练集、日志、向量库、模型检查点）；保留期限政策与到期销毁执行记录；向主管机关提供记录的应答流程与历史记录
SDAIA 人工智能伦理原则与生成式 AI 指引
沙特阿拉伯 · 复核 2026-09-12按四档风险分级并为高风险系统安排事前与事后合格评定
严重度 高 · AI Ethics Principles — Scope在进入沙特市场前对每个 AI 系统按《人工智能伦理原则》的"范围"一节完成风险分档：几乎无风险、有限风险、高风险、不可接受风险。对判定为高风险的系统，文件明确要求进行事前与事后合格评定，并在遵守伦理之外满足相关法定要求；对落入不可接受风险的用途（社会画像、剥削儿童、可能扭曲行为）不得投放。分档结论与理由应写入产品合规档案，并在功能变更时重新评估。
需留存证据：风险分档评估表（系统、用途、分档结论与理由）；高风险系统的事前合格评定报告；部署后监测与事后合格评定记录；不可接受用途排除清单与产品侧的技术封禁证据
按七项原则在 AI 生命周期各阶段落实控制并留痕
严重度 中 · AI Ethics Principles — Principles 1–7把公平、隐私与安全、人性、社会与环境效益、可靠性与安全性、透明性与可解释性、问责与责任七项原则，映射到规划与设计、准备输入数据、构建与验证、部署与监测四个阶段的具体控制上。文件在"人性"原则下要求模型的设计与构建建立在基本人权与沙特文化价值之上，并要求设计者说明系统及其结果如何与基本人权和沙特文化价值保持一致；在"公平"原则下要求公平性设计自生命周期起点即以协作方式开展；在"隐私与安全"原则下给出前述具体控制（禁止以可识别个人的特征作为自动化决策标准、画像需经合规负责人批准或符合行业监管准则、在数据架构阶段做数据分类与画像、为敏感或个人数据规划去标识机制并按组授权）。每一项控制都应有责任人、执行证据与复核周期。
需留存证据：七项原则到生命周期四阶段的控制映射表（含责任人与复核周期）；公平性评估报告与偏差缓解措施记录；画像用途的合规审批记录（合规负责人签署或行业监管准则引用）；去标识化方案、数据分类结果与按组授权矩阵
生成式 AI 的风险识别与缓解（对齐 SDAIA 生成式 AI 指引）
严重度 中 · Generative AI Guidelines for the Public — Scope; Principles; Risks & Mitigations《生成式人工智能指引（公众版）》适用于在沙特境内设计、开发、部署、实施、使用生成式 AI 系统或受其影响的全部相关方，明确区分"用户"（消费或使用 GenAI 系统所产出商品或服务的自然人或法人，涵盖企业、非政府组织与个人）与"开发者"（为特定目标开发 GenAI 系统的自然人或法人，包括 AI 开发者、数据科学家与研究者），并系统列出生成式 AI 的原则、风险与可能的缓解措施。厂商应据此建立面向沙特市场的生成式 AI 风险登记册：将指引列举的风险逐条映射到自身产品，写明已采取的缓解措施与残余风险，并在用户协议与产品内提示中体现。SDAIA 另发布面向政府的生成式 AI 指引与《深度伪造》文件，向政府客户交付时应一并对齐。
需留存证据：生成式 AI 风险登记册（风险、缓解措施、残余风险、责任人）；内容安全与滥用防护的技术措施说明与测试记录；用户协议、可接受使用政策与产品内提示文案；面向政府客户交付时的政府版指引对齐说明
来源（9）
- 沙特《个人数据出境传输条例》官方英文本（0.2 版，2024 年 8 月）沙特数据与人工智能管理局（SDAIA） · 核实 2026-09-12
- SDAIA《个人数据出境风险评估指引》沙特数据与人工智能管理局（SDAIA） · 核实 2026-09-12
- 沙特《个人数据保护法》官方英文本沙特数据与人工智能管理局（SDAIA） · 核实 2026-09-12
- SDAIA《法律与法规》总览页（PDPL、实施细则、跨境传输条例、DPO 规则、AI 伦理原则等官方下载入口）沙特数据与人工智能管理局（SDAIA） · 核实 2026-09-12
- 沙特《个人数据保护法实施细则》官方英文本沙特数据与人工智能管理局（SDAIA） · 核实 2026-09-12
- SDAIA《个人数据保护官任命规则》（01 版，2024 年 8 月）沙特数据与人工智能管理局（SDAIA） · Art. 5 · 核实 2026-09-12
- SDAIA《王国境内控制者国家登记册规则》沙特数据与人工智能管理局（SDAIA） · 核实 2026-09-12
- SDAIA《人工智能伦理原则》（2025 版）沙特数据与人工智能管理局（SDAIA） · 核实 2026-09-12
- SDAIA《生成式人工智能指引（公众版）》（2025）沙特数据与人工智能管理局（SDAIA） · 核实 2026-09-12
内容截至 2026-09-12 · 语料版本 2026.09|本内容基于公开官方来源整理，标注了来源链接与复核日期，供合规决策参考；监管要求可能变化，正式对外披露、监管申报或合同承诺前请由持证专业人士复核。