一、背景概述
随着全球数据隐私和保护法规的不断加强，各国政府都在加紧制定和实施相关法律，以确保个人数据的安全性和隐私得到有效保护。沙特阿拉伯政府在这一趋势下，陆续制定了《沙特数据保护法》（Saudi Data Protection Law, “PDPL”）以及相关实施细则，该法案于2021年颁布，并于2022年起开始逐步实施。PDPL的出台标志着沙特在数据保护领域迈出了重要一步，旨在通过设立数据管理标准，确保企业在数据处理和保护方面的合规性。
PDPL涵盖了广泛的数据保护要求，包括数据收集、处理、存储、和转移的规范，旨在保障沙特境内所有个人数据的安全与隐私。企业在处理个人数据时，必须遵循这些规定，以避免法律风险和潜在的高额罚款。
在PDPL的框架下，沙特数据和人工智能局（SDAIA）于2024年8月27日发布了《个人数据保护官任命规则》（Rules for Appointing Personal Data Protection Officer，“DPO规则”），明确了企业应当任命数据保护官（“DPO”）的各类情形。该规则依据PDPL及其实施细则，规定了DPO任命的最低标准和要求，并明确了当企业被认定为“控制者”时，将适用DPO规则，以确保其数据处理活动符合PDPL的各项规定。
这项更新突显了沙特政府加强数据保护合规的决心，对于在沙特运营的企业，特别对中国投资者而言，及时理解并遵守这一新规定至关重要。这不仅关系到企业的合规风险管理，还直接影响其在沙特市场的运营和声誉。
二、DPO任命的具体要求
（一）哪些情形需要任命DPO
根据DPO规则，在某些特定情况下，企业必须任命一名或多名个人数据保护官（DPO）。首先，当控制方是处理大规模个人数据的公共机构时，或其核心活动依赖于需要定期和系统性监控数据主体的处理操作时，必须任命DPO。此外，若控制方的核心活动是基于处理敏感个人数据的，也需要任命DPO。
对于判断是否为“大规模处理”，应考虑数据主体数量、数据类型、数据量、处理的地理范围以及数据主体的不同类别。定期和系统性监控包括通过技术手段持续收集个人数据，如行为分析、健康数据跟踪或位置监控等。
核心活动是指，如果不涉及数据处理企业就无法提供服务或产品的活动，如保险公司处理健康数据、金融公司处理信用数据、营销公司处理客户数据等。核心活动必须任命DPO，而仅支持企业运营的活动，如人力资源部门处理员工数据，则不被视为核心活动。
（二）DPO的权责
DPO承担着确保数据保护合规的重要职责，涵盖多方面任务。DPO负责监督企业的数据处理活动，确保其严格遵守PDPL要求，并及时识别和解决潜在的合规风险。除了为管理层和各部门提供数据保护建议，DPO还需协助制定合规政策和程序，向监管机构提交报告，尤其是在数据泄露时进行及时上报。此外，DPO还负责提升员工的合规意识，通过培训和教育确保所有人了解相关法规。
（三）DPO的任职条件与资格
DPO的任职资格涵盖了多个方面，以确保其能够胜任数据保护的核心职责。首先，DPO应具备丰富的专业知识，尤其是在数据保护法、信息安全管理和隐私保护等领域，并拥有相关学历证明。除此之外，DPO还需具备丰富的风险管理经验，尤其是处理数据泄露事件的实际工作经验。
在任命DPO时，企业不仅要考虑候选人的专业资质，还要确保其有能力在复杂的国际业务背景下执行数据保护的相关职责。而在跨国企业，语言能力也是一项关键要求，建议DPO应具备熟练的阿拉伯语和英语沟通能力，以确保其与沙特监管机构和企业内部顺利对接。这不仅能够降低企业的合规风险，也能帮助企业在沙特市场中获得竞争优势。
三、企业的合规义务
（一）及时任命DPO
企业在DPO规则生效后的规定时限内应任命DPO，并向相关监管机构备案。一般而言，企业有3至6个月的时间完成任命。在此期间，企业应首先评估当前的合规状态，审查数据保护框架，确认是否符合要求，或需任命新的DPO。若无内部候选人，企业应尽快启动招聘流程，寻找符合资质的人员。DPO一旦被任命，需及时向沙特监管机构备案，以获得正式认可。
（二）确保DPO的独立性并提供支持
为了确保DPO能够有效履行职责，PDPL要求企业为DPO的独立性提供保障。这意味着DPO应可以直接向最高管理层汇报，并避免涉及可能产生利益冲突的部门，如市场营销或IT部门。此外，DPO的职责不应与其他业务职能冲突，以确保其独立性。企业还需为DPO提供充足的资源支持，包括技术工具、培训和法律咨询服务，帮助其更好地履行数据保护的合规职责。
（三）法律后果
如果企业未能按规定任命DPO或无法有效支持其履行职责，可能会面临一系列严重后果。首先，企业可能会因未及时任命DPO或不符合法定要求而被处以高额罚款，这些罚款根据违规的严重性以及企业的过往合规记录来确定。其次，沙特监管机构可能会对企业进行深入的合规审查，要求其提供详细的合规计划和整改措施，这不仅会影响企业的日常运营，还可能增加额外的合规成本和资源投入。
四、建议与应对措施
对于中国投资者而言，DPO任命要求不仅是一次新的合规挑战，更是一次适应和提升自身国际运营能力的机会。依托沙特这一中东地区经济中心以及与国际接轨的数据保护要求，中资企业的合规性不仅会助力其在沙特市场的经营，还可能对其国际业务产生示范效应。为了帮助中国投资者有效应对DPO任命的合规要求，我们建议中国企业可以采取以下应对措施：
内部合规评估：识别企业当前在沙特的数据处理活动，确定其是否符合PDPL的要求，评估中应包括对数据收集、存储、处理、传输等各环节的审查，并重点关注敏感数据的处理方式，以确认任命DPO的必要性。
确定DPO职责：如按照DPO规则应该任命DPO，则应确保DPO的职责涵盖所有数据保护相关活动；制定符合DPO规则要求的岗位说明书，明确其在监督合规、提供法律建议以及与监管机构沟通等方面的具体任务。
DPO的招聘与任命：重点关注候选人的专业背景、工作经验以及对数据保护法律的理解。企业可以考虑通过聘请外部法律咨询顾问以获取DPO候选人的推荐，确保所任命的DPO具备充分的合规资质。
制定合规计划和培训计划：在任命DPO后，企业应与其共同制定符合PDPL要求的详细合规计划；并为全体员工安排定期的数据保护培训，提升其合规意识，并帮助员工理解DPO的作用和重要性。
与监管机构的沟通与备案：在任命DPO后，应及时向沙特相关监管机构提交备案文件，并保持与监管机构的积极沟通，以降低法律风险。
五、结语
沙特政府对DPO的任命要求，代表了全球数据保护法律环境在中东地区的进一步强化。企业应对认识到，遵守沙特数据保护法不仅是法律上的义务，更是确保业务长期成功和市场竞争力的必要条件。
在此，我们鼓励所有在沙特经营的中国企业尽早采取行动，评估并提升其数据保护合规水平，任命合格的DPO，并积极与监管机构保持沟通。这将有助于企业有效管理数据保护风险，提升市场声誉，并在日益严格的国际法律环境中保持竞争优势。
参考文献清单
1.Saudi Data Protection Law (PDPL)
Official Text of the Saudi Data Protection Law (PDPL), Saudi Arabia, 2021. Available at: https://www.sama.gov.sa
2.SDAIA Document on Rules for Appointing Personal Data Protection Officer (DPO)
Saudi Data & AI Authority (SDAIA), 2024. “Rules for Appointing Personal Data Protection Officer”. Available at: https://sdaia.gov.sa/ar/SDAIA/about/Documents/RulesforAppointingPersonalDataProtectionOfficer.pdf
3.SDAIA Press Release on DPO Appointment Rules
Saudi Press Agency (SPA), 2024. “SDAIA Launches Document on Rules for Appointing Personal Data Protection Officer.” Available at: https://www.spa.gov.sa/en/N2161521
往期推荐
出海经纬 | 新加坡数据保护官注册新规：关键要求与合规指南
卓纬研究 | 海外数据跨境回传合规 – 以出海东盟为例
卓纬研究 | 欧盟《人工智能法案》及其对中国企业运营和投资的影响
作者简介
李诘 合伙人
业务领域：跨境投资与并购、政府事务与合规、数据安全与隐私保护、知识产权
联系电话：8621 6859 0516
电子邮箱：joseph.j.li@chancebridge.com
李诘律师，卓纬上海办公室执行合伙人。李律师系美国反舞弊审核协会（ACFE）的认证反舞弊审核师（CFE）和英国标准协会（BSI）认证的ISO 37301合规管理体系合规师。李律师的专业领域主要集中在数据安全与隐私保护、品牌与商业秘密保护、跨境投资与并购以及反腐败与反商业贿赂合规。
李律师在网络安全、数据合规和个人信息保护方面的专业领域积累了丰富的理论与实践经验，他是信息系统审计和控制协会（ISACA）的注册信息系统审计师（CISA）、国际信息隐私专业协会（IAPP）的注册信息隐私专家和院士（CIPP/CIPM/CIPT/FIP）、国际数据管理协会（DAMA）的注册数据管理专家（CDMP）以及EXIN认证的数据保护官和信息安全官（EXIN DPO/ISO）。李律师目前为跨国公司、高科技企业、医药企业、消费品企业以及深圳数据交易所、上海数据交易所和苏州大数据交易所等企业和机构提供数据安全和个人信息保护方面的合规服务。
特 别 声 明
本微信公众号的文章仅供交流之用，不代表北京卓纬律师事务所或其律师的正式法律意见或建议。若需要法律意见或专业分析，请联系并咨询北京卓纬律师事务所及其律师。欢迎转载或引用本微信公众号的文章和内容，请联系沟通授权事宜，并于转载时在文章开头处注明来源于微信公众号“北京卓纬律师事务所”以及作者名字。
