个人数据保护法

立法目的与适用范围

• 通过规范个人数据的收集、处理、披露和传输来保护个人隐私，规定数据主体的权利和处理者的义务。
• 适用于境内外任何主体对沙特境内个人数据的处理；个人出于纯个人或家庭目的使用数据的除外。
• 由沙特数据和人工智能管理局（SDAIA）监督实施。

主要规则、权利与义务

• 数据主体享有基本权利：知悉收集原因和处理的法律依据、查阅并获取副本、更正数据，以及在不再需要时要求销毁。
• 处理须基于数据主体的同意或其他法律依据（如履行合同或法定义务），同意可以撤回。
• 数据应直接向本人收集，且仅限于目的所需范围，不得用于与所述目的不符的其他目的。
• 控制者须制定清晰的隐私政策，采取必要的安全措施，并在发生有害泄露时按条例规定的期限通知主管机关和数据主体。
• 健康、基因、信用和宗教等敏感数据受到更严格保护；向境外传输数据须遵守条例规定的限制。
• 未经接收人同意且未提供便捷退订方式而发送广告和营销材料的，予以禁止。

违规、处罚与常见问题

• 为损害数据主体或谋取个人利益而披露或公布敏感数据，属最严重违规，最高可处监禁和高额罚款。
• 其他违规行为的罚款可达数百万里亚尔，再犯加倍，违规所得可予没收。
• 常见问题：在社交媒体发布客户照片或数据、共享电话名单用于营销、超范围收集数据，以及网站和应用缺少隐私政策。
• 因违规受损者可向主管法院请求赔偿。

程序与重要期限

• 数据主体先向控制者提出请求，控制者须在条例规定的期限内答复。
• 可在条例规定的期限内通过主管机关的在线平台就违规行为投诉。
• 企业须在条例规定的情形下记录处理活动并任命数据保护官。

本摘要由Al-Bayan Al-Wadih律师事务所编写，仅供参考，并非官方文本，不能替代法律及其实施条例，也不能替代专业律师的意见。以官方公布的文本及其修订为准。