随着信息技术的迅猛发展，个人数据的保护成为全球关注的焦点。沙特阿拉伯作为中东地区的重要国家，其个人数据保护法（PDPL）的出台对于保障公民个人数据安全具有重要意义。本文将从PDPL的适用范围和主管部门两方面进行深入探讨。

一、PDPL的适用范围

1. 个人范围

PDPL第2条明确规定，该法适用于在沙特阿拉伯以任何方式进行的任何个人数据处理，包括位于沙特境外的实体对居住在沙特境内的个人数据的处理。这一规定体现了PDPL对个人数据保护的广泛性和跨境性。此外，与其他数据保护法不同的是，PDPL还涵盖了对死者个人数据的处理，但前提是该数据能够具体识别死者或其家庭成员的身份。

然而，PDPL中的规定不适用于个人为个人或家庭使用而处理的个人数据，只要这些数据未被公开或披露给他人。这一规定平衡了个人数据保护与个人信息自由使用的关系。《实施条例》第二条进一步明确了个人或家庭使用的定义，即个人在家庭或有限社交圈内进行的社会、家庭活动中处理个人数据。同时，该条例还排除了将个人数据用于专业、商业或非营利目的的行为作为个人或家庭使用的范畴。

2. 领土范围

PDPL适用于在沙特阿拉伯王国进行个人数据处理活动的沙特实体。这一规定确保了沙特境内所有实体在处理个人数据时都必须遵守PDPL的规定。同时，PDPL还适用于域外处理居住在沙特境内的个人数据的非沙特实体。这一规定体现了PDPL对跨境数据处理的关注，确保了沙特公民的个人数据在境外也能得到充分的保护。

3. 数据范围

PDPL的规定适用于以任何方式对个人数据进行的任何处理。这包括但不限于收集、存储、使用、加工、传输等行为。此外，PDPL还特别强调了对敏感数据的处理，包括健康和遗传数据等。对于这些数据的处理，PDPL要求遵守有限的范围和/或增加的保护和控制措施。这一规定体现了PDPL对敏感数据保护的重视。

需要注意的是，PDPL不适用于不识别自然人的数据处理，如公司、政府、技术或任何其他数据。这一规定明确了PDPL的保护对象为自然人的个人数据，而非其他类型的数据。

二、主管部门及其职责

沙特数据和人工智能局（SDAIA）是沙特阿拉伯负责数据和人工智能的主管机构。在PDPL的实施初期，SDAIA将负责监督新立法的执行情况。两年后，监督权可能会移交给国家数据管理和保护组织（NDMO）。

作为主管部门，SDAIA的主要权力、职责和责任包括：负责制定和实施与数据和人工智能相关的政策、战略和计划；监督和管理数据和人工智能领域的运营、研究和创新活动；促进数据和人工智能技术的发展和应用；以及与国内外相关机构进行合作和交流等。

在PDPL的执行方面，SDAIA将负责确保所有实体遵守该法的规定，并对违反规定的行为进行调查和处罚。同时，SDAIA还将为公众提供有关个人数据保护的教育和培训，提高公众对个人数据保护的认识和意识。

三、结论

沙特个人数据保护法（PDPL）的出台为沙特公民的个人数据安全提供了有力保障。该法在个人、领土和材质三方面的广泛适用范围体现了其对个人数据保护的全面性和跨境性。

同时，主管部门沙特数据和人工智能局（SDAIA）的设立和职责明确为PDPL的实施提供了有力支持。未来，随着技术的发展和法律的完善，沙特个人数据保护法将更好地保障公民的个人数据安全。

转载自：红蓝律 作者：旗渡法务中心