一、前言
基于公开信息检索，我们对沙特阿拉伯《个人信息保护法》《个⼈数据保护制度实施条例》《关于将个人数据转移到王国境外的条例》进行翻译及初步整理，以期为读者提供些许帮助。原文件下载链接如下：
二、个人数据保护法（思维导图及中文翻译）
根据伊历1443年2月9日（公历 2021年9月16日）第 (M/19) 号皇家法令颁布
根据伊历1444年9月5日（公历 2023年3月27日）第 (M/148) 号皇家法令修订
个人数据保护法
第1条
为执行本法，下列术语应具有所指明的含义，除非上下文另有要求：
1．法律：个人数据保护法。
2．条例：法律的执行条例。
3．主管当局：由大臣会议决议确定的当局。
4．个人数据：任何数据，无论其来源或形式如何，可能导致具体识别某一个人，或可能直接或间接使得识别某一个人成为可能，包括姓名、个人识别号码、地址、联系方式、许可证号码、记录、个人资产、银行卡和信用卡号码、个人照片和视频，以及任何其他具有个人性质的数据。
5．处理：以任何方式（无论是手动还是自动化）对个人数据进行的任何操作，包括收集、记录、保存、索引、组织、格式化、存储、修改、更新、合并、检索、使用、披露、传输、发布、共享、链接、屏蔽、删除和销毁数据。
6．收集：控制者根据本法规定从数据主体直接、数据主体的代表、数据主体的任何法定监护人或任何其他方收集个人数据。
7．销毁：对个人数据采取的任何使其不可读、不可恢复或无法识别相关数据主体的行动。
8．披露：使除控制者或处理者（视情况而定）之外的任何人能够以任何方式和为任何目的访问、收集或使用个人数据。
9．传输：为进行处理而将个人数据从一个地点转移到另一个地点。
10．发布：使用任何书面、音频或视觉手段传输或提供任何个人数据。
11．敏感数据：揭示种族或民族血统、或宗教、思想或政治信仰的个人数据，与安全刑事定罪和犯罪相关的数据，用于识别个人的生物识别或基因数据，健康数据，以及表明个人父母一方或双方未知的数据。
12．基因数据：任何与自然人的遗传性或获得性特征相关的个人数据，能够唯一识别该人的生理或健康特征，并源自该人的生物样本分析，例如DNA 或任何其他导致生成基因数据的测试。
13．健康数据：任何与个人健康状况相关的个人数据，无论是其身体、精神或心理状况，还是与该个人接受的健康服务相关。
14．健康服务：与个人健康相关的服务，包括预防性、治疗性、康复性和住院服务，以及药品的提供。
15．信用数据：任何与个人向融资实体请求或获取融资相关的个人数据，无论是为个人目的还是家庭目的，包括与该个人获取和偿还债务的能力相关的任何数据，以及该个人的信用记录。
16．数据主体：个人数据所关联的个人。
17．公共实体：王国内任何部委、部门、公共机构或公共当局，任何独立的公共实体，或其任何附属实体。
18．控制者：任何指定个人数据处理目的和方式的公共实体、自然人或私法人，无论数据是由该控制者还是由处理者处理。
19．处理者：任何为控制者的利益并代表控制者处理个人数据的公共实体、自然人或私法人。
第2条
本法适用于在王国内发生的、与个人相关的任何个人数据处理，无论采用何种方式，包括由王国境外的任何一方以任何方式对居住在王国的个人相关个人数据进行的处理。这包括已故者的数据，如果这些数据会导致他们或其家庭成员被具体识别。本法的适用范围不包括为不超出个人或家庭使用目的而对个人数据进行处理的情况，只要数据主体未将其发布或披露给他人。条例应界定本款规定的个人和家庭使用。
第3条
本法中规定的规定和程序不得损害根据任何其他法律或王国加入的国际协议授予数据主体的权利或赋予个人数据更好保护的任何规定。
第4条
根据本法及条例的规定，数据主体应拥有以下权利：
1．了解收集其个人数据的法律依据和目的的权利。
2．根据条例规定的规则和程序，访问控制者持有的其个人数据的权利，且不影响本法第(9) 条的规定。
3．根据条例规定的控制和程序，要求获取控制者持有的其个人数据的可读且清晰格式副本的权利。
4．要求纠正、完成或更新控制者持有的其个人数据的权利。
5．当数据主体不再需要其个人数据时，要求销毁控制者持有的其个人数据的权利，且不影响本法第(18) 条的规定。
第5条
除本法规定的情况外，未经数据主体同意，不得处理个人数据，也不得更改个人数据处理的目的。条例应规定同意的条件、必须明确同意的情况，以及在数据主体完全或部分缺乏法律能力时获取法定监护人同意的条款和条件。在所有情况下，数据主体可随时撤回本条第(1) 款所述的同意；条例为此种情况确定了必要的控制措施。
第6条
在以下情况下，个人数据的处理不受本法第(5) 条第 (1) 款所述同意的约束：
1．如果处理服务于数据主体的实际利益，但无法或难以与数据主体沟通。
2．如果处理是依据另一法律或执行数据主体作为一方的先前协议。
3．如果控制者是公共实体，且处理是出于安全目的或满足司法要求所必需的。
4．如果处理对于控制者的合法利益目的是必要的，且不影响数据主体的权利和利益，并且前提是不处理敏感数据。相关规定和控制措施在条例中规定。
第7条
本法第(5) 条第 (1) 款所述的同意，不得作为提供某项服务或利益的条件，除非该服务或利益与给予同意的个人数据处理直接相关。
第8条
在不影响本法和条例关于个人数据披露的规定的前提下，控制者应仅选择提供必要保证以执行本法和条例规定的处理者。控制者还应监督所述处理者遵守本法和条例的规定。这不影响控制者向数据主体或主管当局（视情况而定）承担的责任。条例应规定在这方面必要的条款，包括与处理者进行的任何后续合同相关的条款。
第9条
1．控制者可根据条例的规定，为行使本法第(4) 条第 (2) 款所述的访问个人数据的权利设定时间框架。在以下情况下，控制者可限制行使此项权利：
a) 如果根据条例的规定，这对于保护数据主体或其他方免受任何伤害是必要的。
b) 如果控制者是公共实体，并且出于安全目的、另一法律的要求或满足司法要求而需要限制。
2．在本法第(16) 条第 (1, 2, 3, 4, 5) 和 (6) 款所述的任何情况下，控制者应阻止数据主体访问个人数据。
第10条
控制者只能直接从数据主体收集个人数据，并且只能为收集目的处理个人数据。但是，在以下情况下，控制者可以从数据主体以外的来源收集个人数据，并可以为收集目的以外的目的处理个人数据：
1．数据主体根据本法规定表示同意。
2．个人数据是公开可用的，或从公开可用的来源收集的。
3．控制者是公共实体，并且个人数据的收集或处理是出于公共利益或安全目的、或执行另一法律、或满足司法要求所必需的。
4．遵守此规定可能会损害数据主体或影响其重大利益。
5．个人数据的收集或处理对于保护公共健康、公共安全，或保护特定个人的生命或健康是必要的。
6．个人数据不会以可能直接或间接识别数据主体的形式记录或存储。
7．个人数据的收集对于实现控制者的合法利益是必要的，且不影响数据主体的权利和利益，并且前提是不处理敏感数据。
条例应规定与本条第(2) 至 (7) 款所述内容相关的条款、控制措施和程序。
第11条
1．收集个人数据的目的应与控制者的目的直接相关，且不得违反任何法律规定。
2．个人数据的收集方法和手段不得违反任何法律规定，应适合数据主体的情况，应直接、清晰和安全，并且不得涉及任何欺骗、误导或胁迫。
3．个人数据的内容应是适当的，并限于实现收集目的所需的最低限度。应避免在实现收集目的后仍可能导致具体识别数据主体的内容。条例应规定这方面的必要控制措施。
4．如果收集的个人数据不再为其收集目的所必需，控制者应立即停止收集并销毁先前收集的个人数据，不得有不当延迟。
第12条
控制者应使用隐私政策，并在收集数据主体的个人数据之前将其提供给数据主体知悉。该政策应具体说明收集目的、要收集的个人数据、用于收集、处理、存储和销毁的手段，以及关于数据主体权利和如何行使这些权利的信息。
第13条
当直接从数据主体收集个人数据时，控制者应在收集时采取适当措施告知数据主体以下信息：
1．收集其个人数据的法律依据。
2．收集的目的，并应指明哪些个人数据的收集是强制性的，哪些是可选的。应告知数据主体，个人数据后续不会以与收集目的不一致的方式或在除本法第(10) 条规定的情况之外的情况下进行处理。
3．除非收集是出于安全目的，否则应告知收集个人数据的人员的身份及其代表的地址（如有必要）。
4．将向其披露个人数据的实体、此类实体的身份，以及个人数据是否将在王国境外传输、披露或处理。
5．不收集个人数据可能导致的潜在后果和风险。
6．数据主体根据本法第(4) 条享有的权利。
7．条例根据控制者所从事活动的性质规定的其他要素。
第14条
控制者不得在处理个人数据时未采取充分步骤以根据法律规定验证个人数据的准确性、完整性、及时性及与收集目的的相关性。
第15条
除非在以下情况下，控制者不得披露个人数据：
1．数据主体根据法律规定同意披露。
2．个人数据是从公开可用来源收集的。
3．请求披露的实体是公共实体，并且个人数据的收集或处理是出于公共利益或安全目的、或执行另一法律、或满足司法要求所必需的。
4．披露对于保护公共健康、公共安全，或保护特定个人的生命或健康是必要的。
5．披露仅涉及以无法直接或间接识别数据主体的形式进行的后续处理。
6．披露对于实现控制者的合法利益是必要的，且不影响数据主体的权利和利益，并且前提是不处理敏感数据。
7．条例应规定与本条第(2) 至 (6) 款所述内容相关的条款、控制措施和程序。
第16条
在以下情况下，控制者不得披露本法第(15) 条第 (1, 2, 5) 和 (6) 款所述情况下的个人数据，如果披露：
1．构成安全威胁，损害王国声誉，或与王国利益相冲突。
2．影响王国与任何其他国家的关系。
3．妨碍侦破犯罪，影响被告获得公正审判的权利，或影响现有刑事诉讼的完整性。
4．危及个人安全。
5．导致侵犯数据主体以外的个人隐私，如条例所规定。
6．与完全或部分缺乏法律能力的人的利益相冲突。
7．违反法律规定的职业义务。
8．涉及违反义务、程序或司法决定。
9．以损害公共利益的方式暴露机密信息来源的身份。
第17条
1．如果个人数据被更正、补充或更新，控制者应将此类修改通知所有已传输此类个人数据的其他实体，并向此类实体提供该修改。
2．条例应规定更正和更新个人数据的时间框架、更正类型，以及为避免处理不正确、不准确或过时的个人数据的后果所需的程序。
第18条
1．当个人数据不再为其收集目的所必需时，控制者应立即销毁个人数据，不得有不当延迟。但是，控制者可以在收集目的消失后保留数据；前提是这些数据不包含任何可能导致具体识别数据主体的内容，且符合条例规定的控制措施。
2．在以下情况下，控制者应在收集目的消失后保留个人数据：
a) 如果有法律依据要求将个人数据保留特定时期，在这种情况下，个人数据应在该期限届满或收集目的达成时销毁（以较晚者为准）。
b) 如果个人数据与司法当局正在审理的案件密切相关，并且为此目的需要保留个人数据，在这种情况下，一旦司法程序结束，个人数据即应被销毁。
第19条
控制者应根据条例规定的规定和控制措施，实施所有必要的组织、行政和技术措施来保护个人数据，包括在个人数据传输期间。
第20条
1．控制者应在知悉任何违反、损坏或非法访问个人数据的情况时，根据条例通知主管当局。
2．控制者应根据条例，将其个人数据的任何违反、损坏或非法访问情况通知数据主体，如果该等情况会对其数据造成损害或损害其权利和利益。
第21条
控制者应在条例规定的期限内并以条例规定的方式，回应数据主体关于其在本法项下权利的请求。
第22条
控制者应根据其开展活动的性质，根据条例的相关规定，对任何产品或服务相关的个人数据处理进行影响评估。
第23条
在不影响本法的情况下，条例应为健康数据的处理规定额外的控制措施和程序，以确保数据主体的隐私并保护其在本法项下的权利。此类额外的控制措施和程序应包括以下内容：
1．将访问健康数据（包括医疗档案）的权利限制在最低数量的员工或工作人员范围内，并且仅限于提供所需健康服务所必需的程度。
2．将健康数据处理程序和操作限制在提供健康服务或提供健康保险计划所必需的最低限度的员工和工作人员范围内。
第24条
在不影响本法的情况下，条例应为信用数据的处理规定额外的控制措施和程序，以确保数据主体的隐私并保护其在本法和《信用信息法》项下的权利。此类控制措施和程序应包括以下内容：
1．采取适当措施，核实数据主体已明确同意根据本法和《信用信息法》的规定收集个人数据、更改收集目的或披露或发布个人数据。
2．要求在任何实体请求披露其信用数据时通知数据主体。
第25条
除公共实体发送的宣传材料外，控制者不得使用数据主体的个人通信方式（包括邮政和电子邮件）发送广告或宣传材料，除非：
1．获得目标接收者对此类材料的事先同意。
2．材料发送者应提供清晰的机制（如条例所规定），使目标接收者能够在希望时请求停止接收此类材料。
3．条例应规定有关上述广告和宣传材料的规定，以及接收者同意接收上述材料的条件和情况。
第26条
除敏感数据外，个人数据可用于营销目的，前提是直接从数据主体收集且其同意是根据法律规定给予的；条例应规定这方面的控制措施。
第27条
在以下情况下，可为科学、研究或统计目的收集或处理个人数据，无需数据主体同意：
1．如果该数据不会具体识别数据主体。
2．如果在处理过程中以及向任何其他实体披露此类数据之前，将销毁数据主体身份的证明，前提是该数据不是敏感数据。
3．如果为这些目的收集或处理个人数据是另一法律所要求的，或是执行数据主体作为一方的先前协议。条例应规定本条条款所要求的控制措施。
第28条
不得复制可识别数据主体的官方文件，除非法律要求，或主管公共当局根据条例要求复制此类文件。
第29条
1．在遵守本条第(2) 款规定的前提下，控制者可将个人数据传输到王国境外或向王国境外的一方披露，以实现以下任何目的：
A. 如果这与履行王国作为一方的协议项下的义务有关。
B. 如果是为了服务于王国的利益。
C. 如果这是为了履行数据主体作为一方的义务。
D. 如果这是为了达成条例规定的其他目的。
2．根据本条第(1) 款所述进行个人数据传输或披露时必须满足的条件如下：
A. 传输或披露不得对国家安全或王国的重大利益造成任何损害。
B. 王国境外存在对个人数据的适当保护水平。该保护水平应至少等同于法律和法规所保障的保护水平，根据主管当局与其他相关当局（其认为合适的）协调进行的评估结果。
C. 传输或披露应限于所需的最低数量的个人数据。
3．本条第(2) 款不适用于为保护数据主体的生命或重大利益或预防、检查或治疗疾病而极端必要的情况。
4．条例应规定与执行本条相关的条款、标准和程序，包括对控制者就本条第(2) 款 (b) 和 (c) 项所述条件的适用例外，以及此类豁免的控制措施和程序。
第30条
1．在不影响本法规定和沙特中央银行根据适用法律条款拥有的权力的情况下，主管当局应负责监督本法和条例的执行。
2．条例应确定控制者必须指定一个或多个人作为数据保护官的情况，并应根据本法规定设定任何此类人员的职责。
3．控制者应与主管当局合作，履行其监督本法和条例规定执行的职责，并应采取必要措施处理主管当局向控制者移交的相关事项。
4．为履行其监督法律和条例规定执行的相关职责，主管当局可以：
A. 向控制者索取必要文件或信息，以确保其遵守法律和条例的规定。
B. 请求任何其他方的合作，以支持完成监督职责和执行法律和条例的规定。
C. 指定监测控制者遵守法律和条例规定的适当工具和机制，包括为此目的维护一个国家控制者登记册。
D. 通过本款 (c) 项所述的国家登记册或通过其认为合适的任何其他方式提供与个人数据保护相关的服务。主管当局可对其可能提供的个人数据保护服务收取费用。
5．主管当局可自行决定将其与监督或执行法律和条例规定相关的一些职责委托给其他当局。
第31条
在不影响本法第(18) 条的情况下，控制者应根据其开展活动的性质，在条例要求的期限内保存个人数据处理活动的记录。这些记录应在主管当局要求时随时可用。记录至少应包含以下信息：
1．控制者的联系方式。
2．个人数据处理的目的。
3．个人数据主体类别的描述。
4．个人数据已披露或将披露给的任何其他实体。
5．个人数据是否已或将传输到王国境外或披露给王国境外的实体。
6．个人数据的预期保留期限。
第32条（已废止）
第33条
1．主管当局应与主管当局协调，在不影响这些当局在其主管领域内制定的其他要求的情况下，制定在王国境内从事与个人数据保护相关的商业、专业或非营利活动的要求。
2．主管当局可向向控制者和处理者颁发认证证书的实体授予许可证。主管当局应制定规范此类证书颁发的规则。
3．主管当局可根据条例规定的条款，向对与控制者活动相关的个人数据处理活动进行审计或检查的实体授予许可证。主管当局应制定授予此类许可证的条件和标准，以及规范它们的规则。
4．主管当局应指定适当的工具和机制，以监测王国境外的控制者和处理者在以任何方式处理与居住在王国的个人相关的个人数据时遵守法律和条例规定义务的情况，并应确定在王国境外执行法律和条例规定的程序。
第34条
数据主体可向主管当局提交因执行本法和条例可能产生的任何投诉。条例应规定处理因执行本法和条例可能产生的投诉的规则。
第35条
1．在不影响另一法律规定的任何更严厉处罚的情况下，任何个人故意违反法律规定披露或发布敏感数据，意图损害数据主体或获取个人利益的，应处以不超过（两年）的监禁，或不超过（三百万）里亚尔的罚款，或两者并罚。
2．公诉机关负责对本条第(1) 款规定的违法行为进行调查并在主管法院提起诉讼。
3．主管法院负责处理因执行本条而产生的诉讼并发布规定的处罚。
4．在累犯的情况下，主管法院可加倍本条第(1) 款规定的罚款，即使导致超过其最高限额，前提是不超过此限额的两倍。
第36条
1．对于本法第(35) 条未涵盖的情况，且在不影响另一法律规定的任何更严厉处罚的情况下，应对每个具有特殊自然人或法人资格——受法律规定管辖——违反法律或条例任何规定的人处以警告或不超过（五百万）里亚尔的罚款。在重复违规的情况下，罚款可加倍，即使导致超过其最高限额，前提是不超过此限额的两倍。
2．应由主管当局主席决定组建一个（或多个）委员会。其成员人数不得少于（三）人，其中一人应被任命为委员会负责人，并且其中应包括一名技术专家和一名法律顾问。该委员会负责审查违规行为并根据本条第(1) 款规定发出警告或处以罚款，同时考虑所犯违规行为的类型、严重性及其影响程度；前提是委员会的决定需经主管当局主席或其授权人批准。主管当局主席应通过其决定发布委员会的工作规则，并在其中确定其成员的报酬。
3．任何对本条第(2) 款所述委员会作出的决定不服的人，有权向主管法院提起上诉。
第37条
1．由主管当局主席决定任命的员工和工作人员应拥有控制和检查本法或条例所述违规行为的权力。主管当局主席应根据适用法律发布有关这些员工和工作人员工作的规则和程序。
2．本条第(1) 款所述的员工和工作人员可寻求刑事调查当局或其他主管当局的协助，以履行其关于控制和检查法律或条例规定的违规行为的职责。
3．主管当局有权扣押用于实施违规行为的工具，直至对其作出决定。
第38条
1．在不影响善意第三方权利的情况下，主管法院可下令没收因实施法律规定违规行为而获得的资金。
2．主管法院或第(36) 条第 (2) 款所述的委员会（视情况而定）可在其处罚判决或决定中规定，该判决或决定的摘要应由违规者承担费用，在其居住地区发行的一家（或多家）本地报纸上发布，或使用任何其他适当方式。这是基于违规行为的类型、严重性和影响；前提是发布应在判决成为终局判决、上诉期限届满或驳回对判决上诉的最终裁决发布后进行。
第39条
在不影响本法第(35) 条和第 (36) 条第 (1) 款规定的情况下，公共实体应根据法律规定的纪律规定和程序，对其任何违反本法及条例规定的员工进行纪律处分。
第40条
在不影响本法规定的处罚的情况下，任何因本法或条例所述的任何违规行为而遭受损害的个人，可向主管法院申请proportionate 赔偿物质或精神损害。
第41条
任何从事个人数据处理的人，即使在其职业或合同关系结束后，也应保护个人数据的机密性。
第42条
主管当局主席应在法律发布之日起不超过（七百二十）天的期限内发布条例，前提是主席在发布法律前必须与以下机构协调：（通信和信息技术部、外交部、通信、空间和技术委员会、数字政府局、国家网络安全局、沙特卫生理事会和沙特中央银行），各机构在其各自管辖范围内。
第43条
本法自其在官方公报发布之日起（七百二十）天后生效。
三、个人数据保护制度实施条例（思维导图及中文翻译）
个人数据保护制度实施条例
伊历1445年2月22日 对应 公历 2023年9月7日
第1条：定义
本条例所载的词语和短语应具有《个人数据保护法》第(1) 条所述的含义，该法由伊历1443年2月9日第 (M/19) 号皇家法令颁布，并经伊历1444年9月5日第 (M/148) 号皇家法令修订。除非上下文另有要求，否则以下词语和短语无论出现在本条例的何处，均应具有其前所示的含义：
法规：系统的执行法规。
直接营销：通过任何物理或电子方式直接与个人数据的主体进行沟通，以直接营销材料，包括但不限于广告或促销优惠。
个人数据泄露：任何导致个人数据泄露、破坏或非法访问的事件，无论是有意还是无意，无论是自动的还是手动的。
重要利益：为保护个人数据所有者的生命所必需的任何利益。
获得的利益：与处理个人数据的目的直接相关的个人数据所有者的任何道德或物质利益，并且处理是实现该利益所必需的。
合法利益：控制者的任何必要需要都需要为特定目的处理个人数据，前提是不影响个人数据所有者的权益。
编码：将表明个人数据所有者身份的关键标识符转换为代码，使得在不使用额外数据或参数的情况下无法直接识别个人数据所有者，并且这些额外数据或参数被单独保存，并实施必要的技术和行政控制，以确保其不与个人数据所有者具体关联。
匿名化：删除表明个人数据所有者身份的直接和间接标识符，从而无法识别个人数据所有者。
明确同意：个人数据所有者以任何方式直接明确表示同意，并表示接受对其个人数据的处理，以便无法以其他方式解释，并且是可证明的。
第2条：个人或家庭使用
法律及其条例的规定不适用于个人为不超出个人或家庭使用的目的处理个人数据。法律第二条规定的个人或家庭使用，是指个人在其家庭或有限的社交圈内，在任何社交或家庭活动中处理个人数据。以下情况不属于个人或家庭使用：
a) 个人向公众发布个人数据或向本条第 (2) 款限定范围之外的任何人披露。
b) 将个人数据用于具有专业、商业或非营利性质的目的。
第3条：个人数据所有者权利的一般规定
控制者在收到数据主体行使其在法律中规定的权利的请求时，应做到：
a) 在不超过（三十）天的期限内执行行使其在法律中规定的权利的请求，不得延迟，如果执行需要（额外的、非预期的或不寻常的）努力，或者如果收到数据主体的多个请求，控制者可以确定延长期限，但不得超过额外的（三十）天，条件是事先通知数据主体延长期限及其理由。
b) 在执行请求前，采取适当措施和程序，按照法律规定核实提出请求者的身份。
c) 采取必要手段记录和保存向其提出的所有请求，包括重复请求。如果请求重复不合理或执行需要非正常努力；控制者可以不处理该请求，但需事先通知数据主体。在数据主体为限制或无法律行为能力人的情况下，其法定监护人可代表其行使其权利。
第4条：知情权
1.如果直接从数据主体收集数据，控制者必须在收集数据之前或之时，采取必要措施告知数据主体以下信息：
a) 控制者的法律名称和联系方式，以及控制者指定的用于与个人数据保护相关的沟通渠道的任何其他详细信息。
b) 数据保护官（如有）的联系方式——由控制者指定。
c) 个人数据收集和处理的法律依据和目的，应具体、清晰和明确。
d) 个人数据的保留期限，或者如果无法预先确定，则说明计算该期限的标准。
e) 阐明数据主体在法律第 (四) 条中规定的权利以及行使任何这些权利的方式。
f) 阐明如何撤回对任何个人数据处理的已给予同意。
g) 说明任何个人数据的收集或处理是强制性的还是可选的。
2.如果第 (1) 款 (a) 至 (g) 项所述信息已事先为数据主体所知，或提供这些信息与王国现行任何法规相冲突，则无需遵守本条第 (1) 款的规定。
3.如果个人数据不是直接从数据主体收集的，控制者在收到个人数据后——应在不超过 (30) 天的期限内，不得有不合理延迟——采取必要步骤告知数据主体本条第 (1) 款所述信息，此外还需告知正在处理的个人数据类别，以及控制者获取个人数据的来源。
4.在下列任何情况下，无需遵守本条第 (3) 款的规定：a) 如果信息已事先为数据主体所知。b) 如果执行此操作不可行或需要不合理的努力。c) 如果控制者获取数据是为了执行法律。d) 如果控制者是公共实体，并且收集个人数据是出于安全目的、满足司法要求或实现公共利益。e) 如果个人数据受法律规定的专业保密义务约束。
5. 对于其活动——大规模或频繁地——涉及处理限制或无法律行为能力人的个人数据，或其处理性质上需要对数据主体进行持续监控，或使用新兴技术处理个人数据，或基于个人数据的自动化处理做出决策的控制者，必须采取必要措施告知数据主体本条第 (1) 款所述信息，此外还需告知以下信息：a) 如果处理涉及敏感数据，则说明收集和处理敏感数据的方法和手段。b) 为保护个人数据而采取的手段和措施。c) 阐明是否将完全基于个人数据的自动化处理做出决策。
6. 当控制者为不同于原始收集目的的目的对个人数据进行额外处理时，在进行额外处理之前，必须根据本条规定向数据主体提供必要的信息。
7. 如果控制者知道数据主体为限制行为能力人，则必须以适当的语言提供本条要求的信息。
第5条：访问个人数据的权利
在不影响法律第(九) 条和第 (十六) 条规定的前提下，数据主体有权访问控制者处可用的其个人数据，同时注意以下事项：
a) 行使访问个人数据的权利不得对第三方权利产生负面影响，例如：知识产权或商业秘密权利。
b) 应根据数据主体提出的请求提供对个人数据的访问，或由控制者提供一种方式，使数据主体能够自动访问其个人数据，而无需提出请求。控制者在使数据主体能够访问其个人数据时，应确保其中不包含披露可识别其他个人身份的个人数据。
第6条：请求获取个人数据的权利
数据主体有权请求获取其个人数据的可读且清晰格式的副本，同时注意以下事项：行使获取个人数据的权利不得对第三方权利产生负面影响，例如知识产权或商业秘密权利以常用的电子格式向数据主体提供个人数据，如果数据主体要求打印副本，则在其可行的情况下提供。控制者在使数据主体能够获取其个人数据时，应确保其中不包含披露可识别其他个人身份的个人数据。
第7条：请求更正个人数据的权利
如果数据主体在控制者处的个人数据不正确，数据主体可以请求在控制者能够验证个人数据正确性的一段期限内限制处理其数据，同时注意，如果提供这些数据与法律和本条例的规定相冲突，则数据主体无权获得所述限制。只要对于更新、更正或完成个人数据是必要的，控制者可以要求提供支持个人数据更正请求的文件或文档，这些文件或文档应在验证过程完成后销毁。控制者在更正个人数据后，应立即通知先前已披露个人数据的各方，不得延迟。
第8条：请求销毁个人数据的权利
1.在下列任何情况下，控制者应销毁个人数据：
a) 应数据主体的请求。
b) 如果个人数据不再为实现其收集目的所必需。
c) 如果数据主体撤回对其个人数据收集的同意，并且该同意是处理的唯一法律依据。
d) 如果控制者得知个人数据正以违反法律的方式进行处理。
2.控制者在销毁个人数据时，应做到：
a) 采取适当措施通知控制者已向其披露相关个人数据的其他各方，并要求其销毁。
b) 采取适当措施通知已通过任何方式向其披露个人数据的人员，并要求其销毁。
c) 销毁控制者系统中与待销毁个人数据相关的所有副本，包括备份副本，同时注意遵守与此相关的法律规定。
3. 本条内容不影响法律第 (十八) 条的规定以及相关主管当局批准的法规要求。
第9条：匿名化
控制者在对数据主体身份进行匿名化时，应做到：
a) 确保在匿名化后无法重新识别数据主体的身份。
b) 进行评估，包括在何种情况下可能重新识别数据主体的身份，如本条例第 (二十五) 条第 (1) 款所述情况。
c) 采取必要的组织、行政和技术措施以避免风险，同时考虑技术发展、匿名化方法及其更新，并使其与这些发展保持一致。
d) 评估所应用的数据主体身份匿名化技术的有效性，并进行必要调整以确保无法重新识别数据主体的身份。经过匿名化处理的数据不被视为个人数据。
第10条：沟通方式
控制者应提供适当的方式以响应数据主体行使其在法律中规定的权利的请求，数据主体可根据其选择和控制者的可用性，使用以下一种或多种方式：
- 电子邮件；
- 短信方式；
- 国家地址；
- 通过电子平台沟通；
- 控制者为于此目的而设立的任何其他法定沟通方式。
第11条：同意
1.控制者可以任何适当的形式或方式获取数据主体对其数据处理同意的同意，包括书面、口头或使用电子方式的同意，但同意必须满足以下条件：
a) 同意必须是自由给出的，不得使用任何胁迫手段获取，获取同意时必须遵守法律第 (七) 条的规定。
b) 处理目的必须明确和具体，并且在请求同意时或之前向数据主体提供这些目的的文档。
c) 同意必须由具有法律行为能力的人给出。
d) 同意必须通过可将来验证的方式给出，其中包括保留记录，记录数据主体对处理操作的同意以及同意的时间和方式。
e) 每个处理目的必须有独立的同意。
2. 在以下情况下，数据主体的同意必须是明确的：
a) 如果处理涉及敏感数据。
b) 如果处理涉及信用数据。
c) 如果决策将完全基于个人数据的自动化处理。
第12条：撤回同意
数据主体可随时撤回对其个人数据处理的同意，并可通过本条例第(十) 条所述的任何可用方式通知控制者。
在向数据主体请求同意之前，控制者必须制定撤回该同意的程序，并采取必要措施确保其执行，撤回同意的程序应与获取同意的程序相同或更简便。
如果撤回同意，控制者必须立即停止处理，不得有不合理延迟，撤回同意不影响在同意有效期间及撤回之前基于同意进行的任何处理的合法性。
当数据主体撤回对其数据处理的同意时，控制者应采取可用措施通知已通过任何方式向其披露个人数据的各方，并要求其销毁。
撤回同意不影响基于其他法律依据进行的个人数据处理操作。
第13条：法定监护人
在遵守相关法律规定的前提下，限制或无法律行为能力的数据主体的法定监护人负责确保数据主体的处理符合其利益，并为此有以下权利：
a) 行使法律和本条例赋予数据主体的权利。
b) 根据法律和本条例的规定同意处理数据主体的数据。
除本条例第(十一) 条第 (1) 款规定外，在处理限制或无法律行为能力人的个人数据时，获取法定监护人同意必须采取适当方式核实其对限制或无法律行为能力数据主体的监护权的合法性。
除前款规定外，获取对限制或无法律行为能力人数据处理的同意，还必须满足以下条件：
a) 法定监护人对处理的同意不得对数据主体的利益造成任何损害。
b) 当限制行为能力人具备能力时，应使其能够自行行使法律和本条例赋予的权利。
第14条：为已实现的利益处理个人数据
控制者为实现数据主体已实现的利益而处理数据时，必须保留证明该利益存在以及无法联系数据主体或联系困难的证据。
第15条：从数据主体以外的来源收集数据
除法律第(十) 条第 (3) 款规定的情况外，控制者在从数据主体以外的来源处理个人数据时，应注意以下事项：
a) 处理对于指定目的是必要且相称的。
b) 不影响数据主体的权利和利益。
控制者根据法律第(十) 条第 (2) 款处理个人数据时，应注意其从公开来源收集的方式是合法的。
控制者根据法律第(十) 条第 (6) 款处理个人数据时，应注意遵守本条例第 (九) 条关于匿名化的规定。
第16条：为合法利益目的的处理
1.除控制者是公共实体的情况外，控制者可以为实现合法利益而处理个人数据，只要该利益满足以下条件：
a) 目的不与王国的任何法规相冲突。
b) 在数据主体的权利和利益与控制者的合法利益之间进行平衡。使得控制者的利益不影响数据主体的权利和利益。
c) 处理不涉及敏感数据。
d) 处理在数据主体的合理预期范围内。
2.合法利益包括但不限于：发现欺诈操作、保护网络和信息安全，以及实现本条第 (1) 款所述的其他合法利益。
3.根据法律第 (六) 条第 (4) 款的规定，控制者在为合法利益处理个人数据之前，必须进行并记录对拟议处理及其对数据主体权利和利益影响的评估，评估应 specifically 包括以下内容：
a) 确定拟议处理及其目的，以及数据类型和个人数据主体类别。
b) 通过确保其合法性且不与王国任何法规冲突来评估目的。
c) 验证个人数据处理对于实现控制者的合法目的是必要的。
d) 评估拟议处理是否会对数据主体的利益或其行使法定权利的能力产生负面影响。
e) 根据本条例第 (二十) 条第 (2) 款的规定，评估是否需要采取任何措施来避免潜在风险或损害。
4. 如果本条第 (3) 款所述的评估表明，拟议处理将以任何方式导致违反任何法规、损害数据主体的权利和利益或对其或任何其他方造成任何损害，则控制者必须修改拟议处理并进行新的评估，或考虑依赖其他法律依据。
第17条：选择处理者
1.控制者在选择处理者时，必须选择提供充分保证以保护个人数据的处理者，并与处理者约定以下内容：
a) 处理目的。
b) 处理的个人数据类别。
c) 处理的时间范围。
d) 处理者承诺在发生个人数据泄露时，根据法律和本条例的规定通知控制者，不得有不合理延迟。
e) 阐明处理者是否受其他国家法律的约束，及其对遵守法律和条例规定的影响。
f) 不要求处理者在根据王国现行法规进行强制性个人数据披露前获得控制者的事先同意，但处理者须将该披露通知控制者。
g) 确定与处理者相关的子处理者，或将向其披露个人数据的任何其他方。
2.控制者应向处理者发出清晰的指示，如果控制者的指示与王国现行任何法规冲突，则处理者必须书面通知控制者，不得延迟。
3.控制者负责定期核查处理者是否按照法律和条例的规定进行处理操作，并确保其满足所有法规要求。在这方面，无论处理是由其自己还是由另一方代表其进行。控制者可以指定另一个独立的方代表其进行审查和核查合规性。
4. 当处理者违反控制者发出的关于个人数据处理的指示或与其签订的协议时，该处理者视为控制者，并对其违反法律规定的行为负责。
5. 处理者在与子处理者签订任何后续合同之前，必须遵守以下规定：
a) 采取充分保证，确保这些合同不会影响待处理个人数据的预期保护水平。
b) 选择提供必要保证以遵守法律和条例规定的实体。
c) 获得控制者的事先同意，应在进行这些合同之前通知控制者，并使控制者能够在控制者和处理者约定的期限内提出异议。
第18条：为不同于收集目的的目的处理数据
控制者根据法律第(十) 条规定，为不同于收集目的的目的处理个人数据时，应做到：
a) 明确、具体地确定处理目的。
b) 记录确定数据内容的过程，根据指定目的，例如使用数据方案，说明每个数据项的需求并将其与每个处理目标联系起来。
c) 采取必要措施确保根据本款 (b) 项所述指定目的所需的最低限度收集个人数据。
除法律第(十) 条第 (3) 款规定的情况外，控制者根据法律第 (十) 条第 (1) 款第 (2)、(4)、(5)、(6) 项和第 (2) 款第 (2) 项所述情况，为不同于收集目的的目的处理数据时，必须遵守以下规定：a) 清晰、合法地确定处理目的，并将其记录在个人数据处理活动记录中。b) 收集和处理仅限于实现目的所需的最低限度的个人数据。c) 确定待处理的个人数据类型，以及确保以所需方式处理这些数据的必要措施。
第19条：收集最低限度的个人数据
控制者应收集实现处理目的所需的最低限度的个人数据，并确保：a) 收集的个人数据是必要的、相关的，并且与数据处理的目的紧密且直接相关，通过使用适当的方法来确定这一点，包括数据方案，说明每个数据项的需求并将其与每个处理目标联系起来，或其他方法。b) 尽必要的注意，以有助于实现处理目的，而无需收集不必要的个人数据。控制者应仅保留实现处理目的所需的最低限度的个人数据。
第20条：披露个人数据根据
法律第(十五) 条第 (2) 款披露从公开可用来源收集的数据，前提是其向公众提供的方式不违反法律和条例的规定。
除法律第(十五) 条第 (3) 和 (4) 款规定的情况外，控制者在披露个人数据时应注意以下事项：
a) 披露请求应与特定、明确的目的或主题紧密且直接相关。
b) 尽必要的注意以保护数据主体或任何其他个人的隐私。
c) 披露应限于实现其目的所需的最低限度的个人数据。
控制者根据公共实体的请求出于安全目的、执行另一法律或满足司法要求而披露个人数据，或者披露对于保护公共健康、公共安全、保护特定个人或个人的生命或健康是必要时，应做到：
a) 记录披露请求。
b) 准确确定要求披露的个人数据类型。
除法律第(十五) 条第 (3) 和 (4) 款规定的情况外，控制者在披露包含数据主体以外的其他个人个人数据的数据时，必须尽必要的注意并提供充分的保障，以保护该其他个人的隐私并确保其不被侵犯，包括注意以下步骤：
a) 在每种情况下平衡数据主体的权利和该其他人的权利。
b) 尽可能对表明该其他人身份的个人数据进行编码。
控制者为实现控制者的合法利益而披露个人数据时，必须遵守本条例第(十六) 条的规定。
控制者应将个人数据披露操作纳入个人数据处理活动记录，并记录其日期、方式和目的。
第21条：公共实体为公共利益目的处理个人数据的控制措施
公共实体在从非数据主体直接收集个人数据、或为不同于原始收集目的处理个人数据、或请求披露个人数据以实现公共利益时，必须遵守以下规定：
- 确保这对于实现明确指定的公共利益是必要的。
- 公共利益体现在其法律规定的职责范围内。
- 采取适当措施限制可能由此产生的损害，包括制定必要的行政和技术控制措施，确保其工作人员遵守法律第(四十一) 条的规定。
- 将这些操作纳入个人数据处理活动记录。
- 收集和处理实现目的所需的最低限度的个人数据。
第22条：更正个人数据
法律第(十七) 条第 (2) 款所述的个人数据更正类型是指：更正错误数据、补充不完整数据、或更新过时数据。
控制者在更正个人数据时必须遵守以下规定：
- 通过检查和审查支持性文件（如有必要）确保个人数据的准确性和新鲜度。
- 立即通知已披露个人数据的各方，不得延迟。
- 在完成更正后通知数据主体。
- 记录对个人数据所做的所有更改。
- 如果控制者发现个人数据不正确或不完整，并且这可能对数据主体造成损害，则应暂停处理，直至数据更新或更正。
- 在遵守本条第(2) 款的前提下，控制者在得知个人数据不正确或已过时时，应尽力通过其可用方式更正、完成或更新数据，不得延迟。
控制者应采取适当的组织、行政和技术措施，以避免处理不正确、不完整或未更新的个人数据的影响，其中包括：
- 制定和更新内部政策和程序，使其符合法律和本条例的规定，包括使数据主体能够根据法律和本条例规定行使其请求更正权利的程序。
- 定期审查个人数据的新鲜度和及时性。
第23条：信息安全
控制者必须采取必要的组织、行政和技术措施，以确保个人数据的安全及其所有者的隐私，并遵守以下规定：
- 应用必要的安全和技术措施，以降低发生个人数据泄露的安全风险。
- 遵守国家网络安全局发布的相关控制、标准和规则，或者，如果控制者不受国家网络安全局发布的控制、标准和规则的约束，则遵守网络安全方面公认的最佳实践和标准。
第24条：个人数据泄露事件的通知
如果发生个人数据泄露事件可能危害个人数据或数据主体或与其权利或利益冲突，控制者必须在知悉事件后(72) 小时内通知主管当局，通知应包含以下内容：
a) 对个人数据泄露事件的描述，包括其发生时间、日期、方式以及控制者知悉的时间。
b) 相关数据主体的类别和实际或大致数量，以及个人数据类型。
c) 描述事件可能产生的风险，包括可能对个人数据和数据主体造成的实际或潜在影响程度，控制者为应对或减轻这些风险影响而已采取的措施和行动，以及控制者将为防止事件再次发生而采取的 future 措施。
d) 说明是否已或将根据本条第 (5) 款规定通知数据主体其个人数据泄露。
e) 控制者或其数据保护官（如有）或任何拥有与通知事件相关信息的其他负责人的联系方式。
如果控制者无法在本条第(1) 款规定知悉个人数据泄露后的 (72) 小时内提供任何所需数据，则应尽快提供，并附上延迟理由。
控制者应保留根据本条第(1) 款规定向主管当局提交的报告副本，记录就个人数据泄露所采取的纠正措施，以及任何相关的支持性文件或文档。
控制者必须根据国家网络安全局或王国任何现行法规发布的指南，制定内部程序和政策，以处理个人数据泄露事件。
如果数据主体的个人数据泄露事件可能对其数据造成损害或与其权利或利益冲突，控制者应立即通知数据主体，不得有不合理延迟。通知应使用简单清晰的语言，并包含以下内容：
a) 对其个人数据泄露事件的描述。
b) 描述因其个人数据泄露可能产生的潜在风险，以及为预防、限制和减轻这些风险影响而采取的措施。
c) 控制者及其数据保护官（如有）的名称和联系方式，或与控制者沟通的其他适当方式。
d) 可能帮助数据主体采取适当行动以避免已识别风险或减轻其影响的建议或提示。
第25条：影响评估
控制者必须准备一份记录在案的影响和风险评估，评估个人数据处理可能对数据主体造成的影响和风险，在以下情况下需要进行影响评估：
a) 处理敏感个人数据。
b) 收集、比较或链接从不同来源获取的两个或多个个人数据集。
c) 控制者的活动——大规模或频繁地——涉及处理限制或无法律行为能力人的个人数据，或其处理性质上需要对数据主体进行持续监控，或使用新兴技术处理个人数据，或基于个人数据的自动化处理做出决策。
d) 提供包含可能对数据主体隐私构成重大损害的个人数据处理的产品或服务。
影响评估至少应包含以下要素：
a) 处理的目的及其法律依据。
b) 描述将执行的处理性质、待处理个人数据的类型和来源以及将向其披露个人数据的任何方。
c) 描述处理范围，界定个人数据类型和地理范围。
d) 描述处理背景，界定数据主体、控制者、处理者以及任何其他相关情况之间的关系。
e) 评估处理基于其严重性在物质和道德上的预期影响，以及任何对数据主体产生负面影响的可能性和任何此类影响的发生概率，包括任何心理、社会、身体或财务影响及其任何发生的可能性。
f) 将为预防风险和限制其影响而采取的措施。
g) 所采取措施对于避免已识别风险的适当性。
3. 控制者应向任何代表其进行相关处理的处理者提供影响评估副本。
4. 如果本条所述评估得出结论，处理过程将导致损害数据主体的隐私，控制者必须处理导致该结论的原因并重新进行评估。
第26条：健康数据处理
控制者应采取组织、技术、专业和行政方面的程序、手段和措施，足以保护健康数据免于任何非法使用、滥用、用于非收集目的的使用或泄露。以及任何能保证保护其所有者隐私的程序或手段，特别是必须采取以下控制和程序：
采纳并应用由卫生部、沙特卫生理事会、沙特中央银行、卫生保障理事会以及其他与规范健康服务和健康保险服务相关的机构发布的政策和控制措施，这些政策和控制措施阐明了医疗保健提供者、健康保险公司、健康保险理赔管理公司及其签约方的员工和工作人员的任务和职责，由他们执行健康数据处理操作。
将法律及其条例中的规定纳入控制者的内部政策。
在员工或工作人员之间分配任务和职责，以防止权限重叠和混淆责任，并考虑员工或工作人员之间数据访问权限的分离，以确保最高程度的保护数据主体隐私。
记录健康数据处理的各个阶段，并提供确定每个阶段负责人的能力。
控制者与处理者之间关于涉及健康数据处理的Works 或任务协议，应包含要求其遵守本条规定的程序和手段的条款。
将数据处理操作限制在提供医疗保健服务或产品或健康保险计划所必需的最低限度。
第27条：信用数据处理
在不影响《信用信息法》规定的前提下，控制者应采取组织、技术、专业和行政方面的程序、手段和措施，足以保护信用数据免于任何非法使用、滥用、非授权人员访问、用于非收集目的的使用或泄露，并必须采取以下控制和程序：
采纳并应用由沙特中央银行和其他相关机构发布的要求和控制措施，这些要求和控制措施阐明了提供信用信息服务的企业及其签约方的员工和工作人员的任务和职责，由他们执行信用数据处理操作。
控制者必须根据《信用信息法》的规定，在存在任何披露其信用数据的请求时，获取数据主体的同意并通知其，同时注意遵守本条例第(十一) 条第 (1) 款 (d) 项的规定。
第28条：为广告或宣传目的处理数据
除非控制者与目标接收者之间存在先前交易，否则控制者在发送广告或宣传材料之前必须获得目标接收者的同意。
目标接收者对广告或宣传材料的同意条件如下：
a) 同意必须自由给出，不得使用任何胁迫手段获取。
b) 使接收者能够指定与同意相关的广告或宣传材料的选择。
目标接收者的同意必须以允许将来验证的方式记录：
在不影响《通信法》、《信息技术法》及其他相关法规的前提下，控制者在使用数据主体的个人通信方式（包括邮政和电子邮件地址）发送广告或宣传材料之前，必须遵守以下规定：
a) 清晰说明发送方名称，不得有任何身份隐瞒。
b) 提供一种机制，使数据主体能够在希望时停止接收这些广告或宣传材料，并且停止接收广告或宣传材料的程序应简单、简便，并且与获取接收同意的程序相同或更简便。
c) 在收到目标接收者的请求后立即停止发送广告或宣传材料。
d) 停止接收广告或宣传材料不应收取任何费用。
e) 保留目标接收者同意接收广告或宣传材料的证明。
第29条：直接营销
遵守本条例第(十一) 条的规定。在不影响《通信法》、《信息技术法》及其他相关法规的前提下，控制者在为直接营销目的处理个人数据之前，必须遵守以下规定：
a) 根据本条例第 (十一) 条的规定获取数据主体的同意。
b) 提供一种机制，使数据主体能够在希望时停止接收营销材料，并且停止接收营销材料的程序应简单、简便，并且与获取接收同意的程序相同或更简便。
c) 在向数据主体发送直接营销材料时，必须清晰说明发送方名称，不得有任何身份隐瞒。
d) 如果数据主体撤回其对直接营销的同意，控制者必须立即停止向其发送营销材料，不得有不合理延迟。
第30条：为科学、研究或统计目的收集和处理数据
控制者在为科学、研究或统计目的收集或处理个人数据而无需数据主体同意时，必须遵守以下规定：
- 在个人数据处理活动记录中清晰、合法地确定科学、研究或统计目的。
- 采取必要措施确保根据指定目的所需的最低限度收集个人数据。
- 在对实现处理目的没有影响的情况下，对正在处理的个人数据进行编码。
- 采取必要措施确保处理不会对数据主体的权利和利益产生任何负面影响。
第31条：复制可识别其所有者身份官方文件
在不影响相关法规的前提下，控制者应避免复制公共实体签发的、可识别数据主体身份的官方文件或对其进行复印，除非应主管公共实体的要求，或为执行法律规定而进行，并且控制者必须为这些文件提供必要的保护，并在目的完成后立即销毁，除非有法规要求保留。
第32条：数据保护官
在以下任何情况下，控制者应任命或指定一个或多个人作为数据保护官：
a) 控制者是提供涉及大规模个人数据处理的服务的公共实体。
b) 控制者的主要活动是基于本质上需要定期和系统性地监控数据主体的处理操作。
c) 控制者的主要活动是基于处理敏感个人数据。
2. 在遵守本条第 (1) 款要求的前提下，数据保护官可以是控制者的负责人或员工，也可以是外部联系人。
3. 控制者的数据保护官负责跟踪法律及其条例规定的执行情况，监督和控制控制者内部适用的程序。接收与个人数据相关的请求，根据法律及其条例的规定，特别负责以下工作：
a) 作为与主管当局的直接联系人，并执行其在适用法律及其条例规定方面的决定和指示。
b) 监督与个人数据保护控制相关的影响评估、审计和核查程序的报告，记录评估结果并发布必要的建议。
c) 使数据主体能够行使其在法律中规定的权利。
d) 向主管当局报告个人数据泄露事件。
e) 跟进数据主体提出的请求，并回应主管当局根据法律和条例规定提出的投诉。
f) 跟踪和控制者个人数据处理活动记录的登记和更新。
g) 处理控制者内部与个人数据相关的违规行为，并就此采取纠正措施。
4. 主管当局应发布任命数据保护官的规则，这些规则应包含必须任命数据保护官的情况。
第33条：个人数据处理活动记录
控制者应在个人数据处理活动持续期间保存个人数据处理活动记录，此外，自个人数据处理活动结束之日起保存五年。
个人数据处理活动记录必须包含：
- 控制者应确保个人数据处理活动记录的准确性和及时性；
- 控制者应在主管当局要求时向其提供个人数据处理活动记录。
个人数据处理活动记录至少应包含以下内容：
- 控制者名称及相关联系方式。
- 在需要的情况下以及本条例第(三十二) 条第 (1) 款规定的情况下，数据保护官的数据。
- 个人数据处理的目的。
- 正在处理的个人数据类别和数据主体类别的描述。
- 如有可能，每个个人数据类别的记录数量。
- 将向其披露个人数据的实体类别。
- 描述将个人数据传输到王国境外的情况，包括传输的法律依据以及个人数据被传输至的实体。
- 描述确保保护个人数据的组织、行政和技术措施和手段，如有可能。
主管当局应发布个人数据处理活动记录的指导性模板。
第34条：国家控制者登记册
主管当局应发布国家控制者登记册的注册规则，这些规则应确定必须注册的控制者。
第35条：认证证书颁发机构
主管当局应根据法律第(三十三) 条第 (2) 款的规定，发布规范向控制者和处理者颁发认证证书的机构许可的规则。主管当局在许可代表政府机构提供服务的机构方面应与数字政府局协调。
第36条：调查和检查
调查和检查操作旨在通过调查和检查实体遵循的个人数据处理活动及相关控制措施和程序，核实该实体是否充分保护个人数据，并监测在执行法律及其条例方面的任何弱点。
在进行个人数据处理活动的调查和检查时，必须遵守以下规定：
- 根据适用的专业标准独立提供这些服务。
- 制定必要的行政和组织程序和控制措施，以确认其发布内容的准确性和完整性。
- 主管当局应根据法律第(三十三) 条第 (3) 款的规定，发布规范对个人数据处理活动进行调查或检查的机构许可的规则。
- 主管当局在许可代表政府机构提供服务的机构方面应与数字政府局协调。
第37条：提交和处理投诉
数据主体可自投诉事件发生之日或数据主体知悉之日起(90) 天内向主管当局提交投诉。对于超过此期限提交的投诉，如果主管当局认为数据主体在此期限内未能提交投诉存在实际原因，可自行决定是否受理。
主管当局通过其提供的方式接收向其提交的投诉。并按照确保快速和质量处理投诉的程序进行。
主管当局将提交的投诉登记在为此目的设立的登记册中。
投诉必须包含以下数据：
a) 违规行为的地点和时间。
b) 提交者的姓名、身份证明和地址，及其电话号码。
c) 被投诉实体的数据。
d) 清晰、具体地说明违规行为，以及随投诉提交的证据和信息。
e) 主管当局指定的任何其他要求。
主管当局负责检查和审查投诉及其文件，并可根据需要与提交者沟通，要求提供相关文件、文档和信息。
主管当局负责对收到的投诉采取必要措施，并通知提交者处理结果。
第38条：发布和生效
本条例应在官方公报和主管当局官方网站上发布，并自法律生效之日起实施。
四、关于将个人数据转移到王国境外的条例（思维导图及中文翻译）
关于将个人数据转移到王国境外的条例
伊历1446年2月28日 对应 公历 2024年9月1日
伊历14.46年 2月 27 日沙特数据和人工智能管理局主席第 (1840) 号决定
14.46 年 2 月 27 日沙特数据和人工智能管理局主席第 (1840) 号决定
第1条：定义
本条例所载的词语和短语应具有伊历1443年2月9日第 (M/19) 号皇家法令颁布的《个人数据保护法》第 (1) 条及其修正案所示的含义。除非上下文另有要求，否则以下词语和短语无论出现在本条例的何处，均指在每个词语和短语之前所示的含义：
本条例：将个人数据转移到王国境外的条例。
适当的保障措施：主管当局对控制者提出的要求，包括在向王国境外实体传输或披露个人数据时，在任何免除提供适当水平的个人数据保护或最低水平的个人数据条件的情况下，遵守《法律和条例》规定的义务，以确保在王国境外对个人数据的适当保护水平不低于《法律和条例》规定的保护水平。
操作流程：与控制者活动所需的操作流程相关的一组程序，例如人力资源操作、发票、账户和其他工作流程程序。
标准合同条款：根据主管当局发布的标准模板，在将个人数据转移到王国境外时使用的强制性条款，确保个人数据在转移到王国境外时得到适当的保护，至少达到法律和法规规定的保护水平。
共同约束规则：由控制者制定的规则，适用于跨国实体集团中的每个控制者和处理者，确保个人数据在转移到王国境外时得到适当程度的保护，不低于法律和法规规定的保护水平。
第2条：向王国境外实体转移或披露个人数据的其他目的
根据该法第(29) 条第 (1) 款 (d) 项，向王国境外的一方转移或披露个人数据的其他目的如下：
- 执行集中处理所需的操作流程，以使控制者能够开展其活动。
- 提供个人数据修复服务。
- 进行研究和科学研究。
第3条：评估王国境外个人数据保护水平的程序和标准
1.主管当局应在其官方网站上公布对个人数据提供不低于法律和法规规定的适当保护水平的国家或国际组织名单。主管当局应根据以下标准——每四年或酌情——审查这份名单：
a) 存在确保保护个人数据及其所有者与之相关的权利的制度，包括对侵犯这些权利造成的损害寻求赔偿的权利，不低于法律和法规规定的保护水平。
b) 存在负责执行个人数据保护规定的主管当局。
c) 监管当局愿意就与保护个人数据有关的事项与王国主管当局合作。
d) 该国或国际组织现行法律规定中关于披露个人数据的监管要求与法律和法规中关于披露个人数据的规定不冲突，也不与王国现行关于披露的任何其他法律规定相冲突。
e) 对国家或国际组织具有约束力的国际条约或公约产生的义务，及其在区域或多边组织中的成员资格，其执行可能需要转移个人数据。
f) 符合本条例第 (五) 条规定的关于个人数据后续转移的规定。
2. 如果通过审查发现任何国家或国际组织不再保证适当程度的个人数据保护，主管当局可根据这方面遵循的法定程序，修订保证王国境外适当程度的个人数据保护的国家或国际组织名单。主管当局可与该国或国际组织的有关当局合作，解决将其排除在名单之外的原因。
3. 主管当局可根据这方面遵循的法定程序，暂停向本条第 (1) 款规定的清单所列任何国家或组织转让或披露。
4. 适用于城市、经济特区和世界贸易中心的规定，与适用于评估王国境外个人数据保护水平的国家和国际组织的规定相同。
第4条：豁免控制者遵守适当保护水平和最低个人数据条件的情况
1.对于本条第 (2) 款规定的豁免，控制者应使用以下适当的保障措施：
a) 标准合同条款。
b) 共同约束规则。
c) 认证证书。
2.在以下情况下，控制者可以豁免遵守在向王国境外的一方转移或披露个人数据时必须满足的两个条件（法律第 (二十九) 条第 (2) 款 (b) 和 (c) 项规定），或其任一条件，并且向王国境外的一方转移或披露个人数据被视为符合适当的保障措施：
a) 如果公共当局之间将发生个人数据的转移或披露，以执行王国加入的协议或为王国的利益服务，条件是控制者承诺在相关协议或谅解备忘录中纳入保护个人数据的标准条款。
b) 如果转让或披露将在非经常性的基础上进行，或者在有限的时间内为有限数量的个人数据主体进行，条件是控制者遵守标准合同条款，或者转让或披露是向已从主管当局授权的实体获得认证证书的实体进行的，并且此类数据不是敏感数据。
c) 如果转移或披露个人数据是进行集中操作所必需的，并且控制者属于一个跨国实体集团，条件是控制者及其附属机构遵守共同的具有约束力的规则或标准合同条款，以确保满足法律和条例中规定的要求，或者将向其转移或披露个人数据的实体获得由主管当局许可的机构颁发的认证证书。
d) 如果转移或披露将以不违背个人数据主体的期望或利益的方式直接向其提供服务或利益，条件是转移或披露是向已从主管当局授权的机构获得认证证书的实体进行的，并且此类数据不是敏感数据。
e) 如果转移或披露个人数据是进行研究和科学研究所必需的，条件是转移或披露仅限于所需的最低数量的个人数据，并且控制者遵守标准合同条款，或者转移或披露是向已从主管当局许可的机构获得认证证书的机构进行的，并且此类数据不是敏感数据。
3. 适当的保障措施应确保控制者遵守法律及其条例的规定，以及个人数据主体的权利，包括向主管当局提出投诉的权利以及就侵犯这些权利造成的损害寻求赔偿的权利。
4. 主管当局可审查为本条第 (2) 款规定的每项豁免确立的适当保障是否充分，或每两年或在必要时对其进行修订。
第5条：个人数据的后续传输
在不影响法律第(八) 和 (十五) 条以及该法执行条例第 (十七) 条规定的情况下，该法和该条例的规定应适用于已向王国境外一方转移或披露的个人数据的后续传输。
第6条：撤销豁免
出现以下任何情况时，根据本条例第(四) 条规定给予的任何豁免均不适用：
- 控制者未能适用适当的保障措施。
- 如果主管当局发现为任何特定情况制定的适当保障措施不充分。
如果出现本条第(1) 款 (a) 和 (b) 项规定的任何情况，控制者必须停止转移或披露，并通知个人数据已被转移或已向其披露的各方。
第7条：评估向王国境外的一方转移或披露个人数据的风险
在以下情况下，控制者必须在向王国境外的一方转移或披露个人数据之前进行风险评估：
a) 为其他目的将个人数据转移到王国境外。
b) 根据本条例第 (四) 条向王国境外的一方转移或披露个人数据。
c) 持续或大规模地向王国境外实体转移或披露敏感数据。
d) 在法律第 (二十九) 条第 (2) 款 (c) 项未排除的情况下，为确保向王国境外的一方转让或披露个人数据将限于实现目的所需的最低个人数据量而采取的措施。
e) 将应用的措施或控制，以在发生潜在风险时授予或限制对数据主体的影响。
第8条：指南和指导
主管当局应发布与本条例规定相关的指南和指导。
第9条：生效
本条例自其在官方公报发布之日起生效。
（原标题：出海中东系列丨中国企业出海沙特指南（九）：沙特数据法规翻译及思维导图）
来源：同川晓律，供稿：连越互联网与数字经济法律事务部
作者：
- 杨博，连越律师事务所合伙人；专注领域：直播电商、游戏电竞等新兴经济领域商业合规；科技企业股权投资与并购、经营者集中申报、企业家婚姻家庭处理；网络侵权、计算机软件保护、个人信息保护、数据合规、商业秘密保护、商业诋毁、商业贿赂、数据权益保护等领域的诉讼与非诉法律服务。
- 贾天奇，广州大学法学院24级合规班
声明：本文为“中国企业出海沙特、阿联酋、卡塔尔法律指南”系列专题文章，以上文章内容均基于公开信息整理汇总，主要对中国企业出海上述国家所涉及的政治文化、法律规定、主管部门等进行汇总分析，供相关企业出海参阅。
延伸阅读：