サウジアラビアのデータガバナンス枠組みは、同国における個人データ、政府データの共有、越境移転、そしてAI時代のコンプライアンスを規律するルールブックである。それは個人データ保護法（PDPL）を基軸とし、SDAIAが監督することで、プライバシー保護をビジョン2030が目指すデジタル経済と結びつけている。
個人データ保護法
PDPLはサウジのデータガバナンスの礎である。同法は、同国内で活動する、あるいはサウジ居住者の個人データを処理する官民の主体による、個人データの収集、処理、保管、移転、破棄を規律する包括的な制度を確立している。その構造は、欧州連合の一般データ保護規則（GDPR）に反映されたものを含む国際的なデータ保護原則を踏まえつつ、サウジの法的・制度的文脈に合わせた規定を取り入れている。
PDPLの主要な規定には、データ処理の適法な根拠の要件が含まれ、同意を主要な仕組みとしつつ、契約上の必要性、重大な利益、法的義務、正当な利益についての特定の例外を定めている。データ主体には、自らの個人データへのアクセス、不正確な情報の訂正、当初の目的にとって不要となったデータの削除、そして同意を撤回する権利が付与される。データ管理者は、不正なアクセス、開示、改変、破棄から個人データを保護するために、適切な技術的・組織的措置を講じることが求められる。
PDPLはデータ侵害の通知に関する義務を課しており、管理者は侵害の発見後、定められた期限内に所管当局へ、そして一定の状況では影響を受けるデータ主体へ通知することが求められる。同法はまた越境データ移転を規律し、受領する法域のデータ保護水準の十分性評価を含め、個人データを同国外へ移転しうる条件を定めている。
SDAIAの規制上の役割
サウジ・データ・人工知能庁（SDAIA）は、国家データガバナンス、人工知能戦略、そしてサウジアラビアのデータ駆動型経済の育成を包含する広範な所管を持って、2019年に設立された。PDPLに基づくSDAIAの規制機能には、施行規則、指針文書、分野別基準の策定、コンプライアンスの監督、苦情の調査、違反に対する制裁の賦課が含まれる。
SDAIAの制度上の位置づけは、データガバナンスと人工知能が不可分に結びついているというサウジ政府の見解を反映している。同庁の二重の所管は、データ保護の要請と、高品質なデータセットへのアクセスに依存するAIアプリケーションの開発を含む経済的・社会的便益のためのデータ活用の促進とを、両立させることを可能にする。この統合的な手法は、データ保護とデータ革新の機能が別個の機関に置かれた場合に生じうる分断を避けている。
同庁は、PDPLの一般規定を敷衍する一連の施行規則、指針、コンプライアンス枠組みを公表してきた。これには、同意の仕組み、データ保護影響評価、データ移転の仕組み、そして健康データ、金融データ、生体データを含む高リスク処理活動に関する分野別要件についての詳細な指針が含まれる。
コンプライアンス要件
サウジのデータガバナンス枠組みへの準拠は、同国で活動する組織に重大な義務を課す。個人データを処理する主体は、施行規則が定める状況においてデータ保護責任者を任命し、処理活動の記録を保持し、高リスクの処理業務についてデータ保護影響評価を実施し、暗号化、アクセス制御、監査ログを含む技術的な安全措置を講じることが求められる。
PDPLの域外適用は、サウジ居住者の個人データを処理する同国外の主体にまで義務を拡張しており、この規定は外国のデータ処理者への管轄権の主張という世界的な潮流と歩調を合わせている。サウジの顧客や事業を持つ国際企業は、PDPLに基づくコンプライアンス義務を評価し、適切な措置を講じなければならない。
違反に対する罰則には、1件あたり数百万サウジ・リヤルに達しうる金銭的制裁が含まれ、反復的または故意の違反にはより重い罰則が科されうる。制裁の制度は、違反の性質と重大性に照らした比例性を保ちつつ、実効的な抑止を生み出すよう設計されている。
データ・ローカライゼーションと越境移転
データ・ローカライゼーションはサウジの枠組みの重要な側面である。PDPLとその施行規則は、個人のプライバシーへの懸念とともに、国家安全保障と主権の考慮を反映して、個人データを同国外へ移転する条件を定めている。移転は、十分な水準のデータ保護を提供する法域に対して、あるいは標準契約条項、拘束的企業準則、その他の承認された移転の仕組みを用いることによって認められる。
ローカライゼーション要件は、主要な国際クラウドサービス事業者を誘致して同国内にデータセンター事業を設立させてきた、同国のより広いデジタルインフラ戦略と相互に作用する。国内のクラウドインフラの利用可能性は、組織がグローバルな技術プラットフォームを活用しつつローカライゼーション要件を満たすことを可能にし、この動きはSDAIAと通信・宇宙・技術委員会（CST）によって積極的に後押しされてきた。
オープンデータと政府データの共有
データガバナンス枠組みは、プライバシー保護にとどまらず、政府のデータ管理とオープンデータの取り組みを包含する。SDAIAが所管するサウジアラビアのオープンデータ政策は、機械可読な形式での政府データセットの公開に関する原則と要件を定めている。国のオープンデータ・ポータルは、経済統計、地理情報、健康データ、環境指標にわたる数千のデータセットへのアクセスを提供し、透明性、研究、商業的革新を支えている。
政府のデータ共有枠組みは、政府機関間の安全なデータ交換の手順を定め、省庁間の連携を妨げてきた歴史的な分断に対処する。SDAIA内の国家データ管理局（NDMO）は、政府部門全体のデータ品質、分類、ライフサイクル管理の基準を定めている。
戦略的な意義
サウジアラビアのデータガバナンス枠組みは、規制上のコンプライアンスにとどまらない戦略的機能を果たす。信頼に足るデータ保護制度を確立することで、同国は国際的な企業、テクノロジー企業、投資家に対し、サウジアラビアがデータ集約型の事業にとって信頼できる環境を提供することを示す。この信頼性は、ビジョン2030の多様化戦略が必要とする、テクノロジー、金融サービス、デジタル商取引への対内直接投資を呼び込む上で不可欠である。
同枠組みはまた、自国のデータおよびAI能力の育成を支える。データの収集、処理、共有を規律する明確なルールは、サウジの研究者、スタートアップ、既存企業が予測可能な法的環境の中でデータ駆動型の製品・サービスを開発することを可能にする。公共の利益のためおよび研究目的のデータ処理に関するPDPLの規定は、プライバシー保護の規定を補完する、有益なデータ活用の道筋を生み出している。