تُرجمت هذه الصفحة وتم التحقق منها آليًا. النسخة الإنجليزية هي المرجع. بعض الأجزاء لا تزال بالإنجليزية ريثما يتم التحقق من ترجمتها. عرض بالإنجليزية · الإبلاغ عن خطأ في الترجمة
اللوائح › بقية العالم › المملكة العربية السعودية
PDPL (المملكة العربية السعودية)
نظام حماية البيانات الشخصية (المملكة العربية السعودية)
التوقيتساري المفعول منذ 14 سبتمبر 2023
من يتولى إنفاذهالهيئة السعودية للبيانات والذكاء الاصطناعي (SDAIA)
على من يسريكل من يعالج البيانات الشخصية لأشخاص في المملكة العربية السعودية، بما في ذلك من الخارج.
إبلاغ الجهة التنظيميةإخطار SDAIA خلال 72 ساعة من العلم بخرق قد يلحق الضرر بأصحاب البيانات
DPO مطلوبيلزم تعيين DPO للجهات العامة التي تجري معالجة واسعة النطاق، وحيث تنطوي الأنشطة الأساسية على…
التسجيليسري السجل الوطني للمتحكمين على الجهات العامة، والمتحكمين الذين يتمثل نشاطهم الرئيسي في…
النقل إلى الخارجيتطلب النقل غرضًا محددًا، والحد الأدنى من البيانات، وقرار كفاية أو قواعد الشركات الملزمة أو البنود النموذجية أو شهادا…
مهلة الرد على الطلباتالرد خلال 30 يومًا، قابل للتمديد 30 يومًا إضافيًا في ظروف محدودة
الحد الأقصى للغرامةغرامات تصل إلى SAR 5 ملايين (نحو USD 1.3 مليون) عن كل مخالفة، تُضاعف في حالة تكرار المخالفة
Every requirement we score, with the rule in plain words and the section it comes from. Darker means more demanding. See every law side by side →
النطاق والأساس القانوني
النطاق خارج الحدود
3
Applies to processing in the Kingdom and to processing outside it of personal data of individuals residing in the Kingdom, by any means.PDPL Art. 2 · secondary source · source ↗
Article number not confirmed against official text (sdaia.gov.sa not reachable); source gives substance only.
الأساس القانوني
1
Consent plus other bases, including legitimate interests (since 2023 amendment) after a documented assessment; not for sensitive data.PDPL Arts. 5-6 · secondary source · source ↗
Article number not confirmed against official text (sdaia.gov.sa not reachable); source gives substance only.
الموافقة
3
Consent must be freely given, specific, clear, separate for each purpose and documented; explicit consent for sensitive data, credit data and automated decisions.PDPL Art. 5; Implementing Regulation · secondary source · source ↗
Article number not confirmed against official text (sdaia.gov.sa not reachable); source gives substance only.
البيانات الحساسة
2
Sensitive data needs explicit consent or a listed basis; legitimate interests cannot be used; DPIA and DPO triggers apply.PDPL Art. 6; Implementing Regulation · secondary source · source ↗
Article number not confirmed against official text (sdaia.gov.sa not reachable); source gives substance only.
الأطفال
3
No fixed age in the PDPL; legal guardians act for persons lacking full legal capacity, including minors.Implementing Regulation (guardian provisions) · secondary source · source ↗
Uncertain: Latham notes the age at which a child can consent is unclear. Level assumes full capacity at 18. Article number not confirmed against official text (sdaia.gov.sa not reachable); source gives substance only.
حقوق الأفراد
الحقوق
2
Rights to be informed, access and copy, correction, restriction and destruction; no portability right.PDPL Art. 4 · secondary source · source ↗
Counted: access, correction, deletion, restriction. Art. 4 number confirmed by Akin Gump.
مهلة الرد على الطلبات
2
Respond within 30 days, extendable by a further 30 days in limited circumstances.Implementing Regulation · secondary source · source ↗
Article number not confirmed against official text (sdaia.gov.sa not reachable); source gives substance only.
التسويق
3
Consent required before sending advertising or using personal data for direct marketing; easy opt-out required; no existing-customer exception confirmed.PDPL Arts. 25-26; Implementing Regulation Arts. 28-29 · secondary source · source ↗
Implementing Regulation Arts. 28-29 confirmed by Trowers; PDPL article numbers not confirmed.
الحوكمة
DPO مطلوب
1
DPO required for public entities processing at large scale, and where core activities involve systematic monitoring or sensitive data.DPO Rules Art. 5 (First) · source ↗
Third-party host of official DPO Rules text. Oct 2026 draft amendments would broaden triggers.
مؤهلات DPO
1
Appropriate academic qualifications and experience, risk and breach knowledge, regulatory knowledge, integrity; no mandatory certification.DPO Rules Art. 4(1) · source ↗
DPO contact details filed with SDAIA on the National Data Governance Platform (Art. 7(2)).
التسجيل
1
National Register of Controllers applies to public entities, controllers whose main activity is processing, sensitive-data processors and some individuals; no fees seen.Implementing Regulation Art. 34 · secondary source · source ↗
Article number per secondary sources; foreign entities cannot currently create platform accounts. Oct 2026 draft would add cross-border transfer trigger.
DPIA
2
Impact assessment required for sensitive data, combining datasets, large-scale children's data, monitoring, new technology, automated decisions and high-harm products.PDPL Art. 22 · secondary source · source ↗
Article number not confirmed against official text (sdaia.gov.sa not reachable); source gives substance only.
السجلات
2
Keep a written record of processing during processing and five years after it ends; provide to SDAIA on request.PDPL Art. 31 · secondary source · source ↗
Article number not confirmed against official text (sdaia.gov.sa not reachable); source gives substance only.
الاحتفاظ
2
Destroy data when no longer needed for its purpose or processed unlawfully, subject to legal retention exceptions.PDPL Art. 18 · secondary source · source ↗
Art. 18 confirmed by Trowers secondary summary.
حالات الخرق
إبلاغ الجهة التنظيمية
2
Notify SDAIA within 72 hours of becoming aware of a breach that may harm data subjects.Implementing Regulation Art. 24 · secondary source · source ↗
Article number per Clyde & Co. Oct 2026 draft would drop the harm threshold.
إخطار الأفراد
2
Notify data subjects without undue delay in clear language where the breach may cause harm or conflicts with their rights.Implementing Regulation Art. 24 · secondary source · source ↗
Article number not confirmed against official text (sdaia.gov.sa not reachable); source gives substance only.
النقل
النقل إلى الخارج
2
Transfers need a specified purpose, minimum data, and adequacy, BCRs, standard clauses, certification or listed derogations, with a risk assessment.PDPL Art. 29; Transfer Regulation Arts. 5-7 · secondary source · source ↗
No adequacy list published. Akin Gump confirms Art. 29 and Transfer Regulation article numbers.
توطين البيانات
1
No general localization in force; sectoral rules (SAMA, telecom, government cloud) require local storage.PDPL Art. 29; sectoral rules · secondary source · source ↗
Oct 2026 draft Implementing Regulation Art. 23 would require storage within the Kingdom (consultation to 5 Nov 2026).
الإنفاذ
الحد الأقصى للغرامة
2
Fines up to SAR 5 million (about USD 1.3m) per violation, doubled for repeat violations.PDPL Art. 36 · secondary source · source ↗
Article number not confirmed against official text (sdaia.gov.sa not reachable); source gives substance only.
المسؤولية الجنائية
2
Unlawful disclosure of sensitive data with intent to harm or for gain: up to 2 years' imprisonment and/or SAR 3 million.PDPL Art. 35 · secondary source · source ↗
Article number not confirmed against official text (sdaia.gov.sa not reachable); source gives substance only.
الدعوى الخاصة
2
Anyone harmed may seek proportionate compensation for material or moral damage before the competent court.PDPL Art. 40 · secondary source · source ↗
Article number not confirmed against official text (sdaia.gov.sa not reachable); source gives substance only.
Scores are our reading on the published rubric, checked 18 October 2026. Not legal advice.
مكتبة التشريعات
جميع قوانين الخصوصية في الولايات الأمريكية على خريطة واحدة
لدى 24 ولاية قانون شامل للخصوصية في المكتبة، إلى جانب قوانين الاتحاد الأوروبي والمملكة المتحدة والقوانين الاتحادية الأمريكية والقوانين العالمية: 102 قانونًا إجمالًا، كل منها مشروح بلغة واضحة مع مصادره. اختر ولاية لمعرفة ما يسري فيها.
- ساري
- يدخل حيز التنفيذ
- القوانين القطاعية