サウジアラビアの個人データ保護法（PDPL）は、2021年9月に王令M/19によって公布され、2023年9月から施行された、王国で初めての包括的なデータプライバシー法制である。PDPLは、個人データの収集、処理、保管、移転を規律する枠組みを定め、王国固有の規制環境を反映しつつ、サウジアラビアを国際的なデータ保護基準に整合させるものである。サウジアラビア国内で事業を営む、あるいはサウジアラビアのデータを取り扱う企業は、重大な罰則を避けるために、PDPLの要件を理解し遵守しなければならない。
背景と立法の経緯
PDPLは、サウジ・データ・人工知能庁（SDAIA）の権限のもとで策定され、同庁が法の施行と執行を所管する。PDPL以前、サウジアラビアにおけるデータ保護は、サイバー犯罪対策法や電子商取引法の中の規定を含む、分野ごとの規制の寄せ集めによって規律されていた。PDPLは、これらの断片化した規則を、あらゆる分野・業種に適用される単一の包括的な法制へと統合する。同法は、市民のプライバシー権を守りつつ、外国投資とテクノロジー企業を惹きつける近代的なデジタル経済を築くという、ビジョン2030のもとでのサウジアラビアの野心を反映している。
適用範囲
PDPLは、サウジアラビア国内で行われるあらゆる個人データの処理に加え、王国の外に所在する事業体によるサウジ居住者の個人データの処理にも適用される。個人データは、氏名、識別番号、位置情報、オンライン識別子、生体データを含め、個人を直接または間接に識別しうるあらゆるデータを含むものとして、広く定義される。同法は民間・公的の双方の事業体を対象とし、個人的・家庭的利用、法執行活動、そして適切な保護措置が講じられている場合の統計・記録保存目的で処理されるデータについては、一定の適用除外が設けられている。
データ主体の権利
PDPLは、データ主体に対して、自らの個人データに関する包括的な権利の束を付与する。個人は、自らのデータ処理の収集と目的について知らされる権利、自らのデータにアクセスする権利、不正確なデータの訂正を求める権利、そして収集目的にとって必要でなくなったデータの破棄を求める権利を有する。データ主体はまた、いつでも同意を撤回する権利、そしてデータポータビリティのために機械可読の形式で自らのデータを取得する権利を有する。管理者は、定められた期間内にデータ主体の請求に対応しなければならず、これらの請求への対応にあたって過大な手数料を課すことはできない。
同意と適法な処理
同意は、PDPLのもとで個人データを処理するための主要な法的根拠である。同意は、明示的で、情報を与えられた上での、自由意思によるものでなければならず、処理の目的を特定しなければならない。同法はまた、契約上の必要性、法的義務の遵守、重大な利益の保護、そしてデータ主体の基本的権利に優越しない範囲での管理者の正当な利益を含め、処理の代替的な法的根拠を認めている。健康データ、遺伝データ、生体データ、そして宗教的・政治的信条を明らかにするデータを含む機微な個人データは、明示的な同意を要し、追加的な保護措置の対象となる。
越境データ移転
PDPLは、サウジアラビア国外への個人データの移転に厳格な条件を課す。移転が認められるのは、所管当局が判断する十分な水準のデータ保護を提供する国に対してのみ、あるいは拘束的企業準則、標準契約条項、データ主体の明示的同意といった適切な保護措置が講じられている場合に限られる。SDAIAが発する施行規則が、越境移転の仕組みと条件についてさらに詳細を定めている。企業は、移転影響評価を実施し、これらの要件の遵守を示す文書を保持しなければならない。
企業の遵守義務
個人データを処理する組織は、PDPLを遵守するために、強固なデータガバナンスの枠組みを整備しなければならない。主な義務には、必要な場合のデータ保護責任者の選任、処理活動の記録の保持、リスクの高い処理についてのデータ保護影響評価の実施、適切な技術的・組織的なセキュリティ対策の導入、そしてデータ侵害が生じた場合の所管当局および影響を受ける個人への通知が含まれる。プライバシーポリシーは、透明性があり、アクセス可能で、アラビア語で書かれていなければならない。企業はまた、特定された正当な目的のために必要なデータのみを収集する、データ最小化の実務を導入すべきである。
罰則と執行
PDPLは、違反に対して重大な罰則を定めている。違反は最大500万リヤル（約133万ドル）の罰金を科されうるほか、反復違反にはより重い罰則が科される可能性がある。危害を加える意図をもって機微なデータを開示する違反には、最大2年の拘禁を含む刑事罰が適用される。所管当局は、調査を実施し、警告を発し、是正措置を命じ、罰金を科す権限を有する。規制の枠組みが成熟し、組織が遵守のための移行期間を終えるにつれて、執行の動きは強まると見込まれる。
ビジョン2030とデジタル経済への影響
PDPLは、ビジョン2030のもとでのサウジアラビアのデジタル変革を支える重要な基盤である。それは、王国のより広範な規制改革のアジェンダを支える。明確なデータ保護基準を確立することによって、同法はデジタル経済への信頼を築き、クラウドコンピューティングと人工知能の導入を促し、国際的なテクノロジー企業やデータ駆動型の企業にとっての信頼できる進出先としてサウジアラビアを位置づける。EUの一般データ保護規則（GDPR）のような世界的な基準との整合は、越境データ流通と商業的な提携を促進し、世界のデジタル経済への王国の統合を支える。