沙特阿拉伯《个人数据保护法》与你的公司网站

询价表单、网店里的客户账户、邮件订阅列表、求职申请表。你的网站收集的所有关于沙特境内个人的信息，都属于《个人数据保护法》（PDPL）的管辖范围。这部法律的对象不只是开发者或主机商，而是作为“控制者”的你的公司，也就是决定为什么收集数据、如何处理数据的一方。

本文讲这部法律对公司网站在实践中意味着什么，并附上条文编号，方便想核对原文的人。内容仅供参考，不构成法律意见：遇到具体情况，请咨询律师或你的数据保护官。

法律概要

《个人数据保护法》由伊历 1443 年 2 月 9 日第 (M/19) 号王室令颁布，并经伊历 1444 年 9 月 5 日第 (M/148) 号王室令修订。它于 2023 年 9 月 14 日生效，有一年的宽限期，已于 2024 年 9 月 14 日结束。两项条例对其作了补充：《实施条例》和《个人数据跨境传输条例》。

负责监管的机构是沙特数据和人工智能管理局（SDAIA），它运营国家数据治理平台。平台的服务包括通报个人数据泄露和受理投诉。SDAIA 在其网站的法规与政策页面（阿拉伯语）发布指南和规则。

第 2 条规定，本法适用于在沙特境内以任何方式进行的、与个人有关的个人数据处理，包括境外任何一方对沙特境内居民数据的处理。如果你的公司在迪拜，并通过网站向利雅得或吉达的客户销售，这部法律也可能适用于你。

访问者在提交数据之前必须知道什么

第 12 条要求控制者制定隐私政策，并在收集数据之前向数据主体公开。政策要说明收集的目的，收集哪些数据，如何收集、处理、存储和销毁，以及数据主体有哪些权利、如何行使。

当你直接从本人那里收集数据，比如网站上的表单，第 13 条要求你在收集时告知对方，其中包括：

• 收集其数据的法律依据和收集目的，
• 表单里哪些字段是必填的，哪些是选填的，
• 收集数据者的身份，
• 数据可能向哪些方披露，以及是否会被传输到沙特境外或在境外处理，
• 其依据本法享有的权利。

实际操作中，这意味着每个表单旁边要有一个指向阿拉伯语隐私政策的明确链接，选填字段要标明是选填，并且不索要你用不着的东西。数据最小化是 SDAIA 在解释这部法律时阐明的原则之一：只收集目的所需要的。如果你是第一次写隐私政策，SDAIA 发布过一份编制和制定隐私政策的指南，列出了政策应包含的内容。

营销信息需要事先同意

第 25 条禁止使用数据主体的个人联系方式，包括邮寄地址和电子邮箱，发送广告或宣传材料，但满足两个条件的除外：收件人事先同意，以及有明确的机制让他们要求停止接收。第 26 条允许为营销目的处理数据，敏感数据除外，前提是这些数据直接从数据主体处收集，并取得了其同意。

这对你的网站意味着：

1. 为营销信息设一个单独的同意复选框，不要预先勾选，也不要与发送询价请求捆绑在一起。
2. 每封邮件里都有可用的退订链接，并且退订请求确实被执行。
3. 有记录显示每个人在什么时候同意了什么。
4. 营销活动中不使用购买的名单，或从其他来源复制的名单，因为法律要求营销数据必须直接从本人处收集。

网站本身的数据安全

第 19 条要求控制者采取必要的组织、管理和技术措施与手段来保护个人数据，包括在传输过程中。《实施条例》第 23 条补充规定，要遵守国家网络安全局的控制措施和标准，如果该组织不受该局控制措施的约束，则遵守公认的网络安全最佳实践和标准。

法律没有点名插件或证书，但在公司网站上，这些条文意味着具体的事情：

• 每个带表单的页面都运行在 HTTPS 上，证书有效，
• 内核、主题和插件保持更新，被弃置的要删除（见过时的 WordPress 插件），
• 网站后台、主机面板和邮箱使用两步验证，
• 安全头，例如阻止你的页面被嵌入其他网站（可以用免费的安全头检查工具（英文）检查），
• 旧的表单消息在其目的结束后销毁，因为 SDAIA 要求个人数据在收集目的结束后立即销毁。

很多人漏掉了一个问题：表单数据存放在哪里？如果你的主机、表单工具或 CRM 运行在沙特境外的服务器上，这就是数据出境，而《个人数据跨境传输条例》对此规定了条件。请问问你的服务商，他们的服务器在哪里，并把答案交给你的法律顾问。

发生泄露：72 小时内通知 SDAIA

本法第 20 条要求控制者，一旦得知个人数据发生任何泄露、损坏或被非法访问，就立即通知主管机构，并且在这可能损害数据主体的数据、影响其权利和利益时，通知数据主体。《实施条例》第 24 条规定了期限：从得知事件起 72 小时，如果事件可能损害数据或数据主体，或与其权利和利益相冲突。

通报内容包括：事件的描述，发生的时间和方式以及你得知的时间，数据的类别和受影响人数的实际数字或大致数字，风险和已采取的措施，以及联系方式。如果 72 小时内无法提供全部信息，则应尽快提交，并说明延迟的原因。通知数据主体应不得无故拖延，使用简明清晰的语言，并附上帮助他们保护自己的建议。

不做准备的话，72 小时很短。要提前确定：公司里由谁通过国家数据治理平台提交通报，在哪里找服务器日志，在你的制作公司和主机商那里该找谁。

登记、数据保护官和处罚

SDAIA 已经发布了规范沙特境内控制者国家登记册的规则。在以下情况下需要在平台上登记：该组织是公共机构，其主要业务以处理个人数据为基础，或者它处理敏感数据，例如诊所网站上的健康数据。

《实施条例》第 32 条要求在特定情况下任命数据保护官，包括该组织的核心活动需要对个人进行大规模的定期持续监控，或其核心活动以处理敏感数据为基础。第 33 条要求在整个处理期间以及处理结束后的五年内，保存一份处理活动的书面记录。

处罚规定在法律本身中。第 35 条：对违反本法、意图损害数据主体或为谋取私利而披露或发布敏感数据的人，处最长两年的监禁，或最高 300 万里亚尔的罚款，或二者并罚。第 36 条：对违反本法或其条例的其他行为，给予警告或处最高 500 万里亚尔的罚款，屡犯者可加倍处罚。

数额很大，但这部法律对一个普通公司网站的大部分要求，归结起来是合理的工作习惯：少收集，讲清楚，保护好收集到的东西，并且知道一旦泄露该怎么办。如果你的公司也在阿联酋开展业务，请见阿联酋《个人数据保护法》。