沙特就个人数据保护法实施条例修订草案征求公众意见

律所品诚梅森（Pinsent Masons）消息，沙特数据与人工智能管理局（SDAIA）于2026年10月6日就《个人数据保护法》（PDPL）实施条例的修订草案启动了公众意见征询。沙特曾于2023年更新了其个人数据保护法律框架。

草案拟保留对数据主体访问请求的30天法定响应期限，但若请求在该期限内未获履行，将被视为已被数据控制者拒绝，数据主体有权向SDAIA提出申诉。同时，草案拟修改第37条，取消数据主体向SDAIA提出投诉的90天时效限制。

在数据泄露事件管理方面，针对第24条的修订维持了在72小时内向SDAIA通报的要求，但拟取消现行的通报门槛，品诚梅森指出这可能扩大需要通报的事件范围。此外，修改后的第33条拟取消监管机构的处理记录模板，同时要求控制者在数据处理活动完成之日起将相关记录额外保存五年。

针对营销与宣传处理活动，第28条规定控制者在存在既有往来关系的情况下，必须在开展推广处理前核验并保留已获得同意的凭证，并提供简便的退出机制。本次公众咨询将于2026年11月5日截止，根据第38条规定，修订条例将在官方公报刊登60天后正式生效。