概要
サウジアラビアのデータ保護・プライバシー規制は今や、個人データ保護法（PDPL）、SDAIAによる監督、サイバーセキュリティ統制、越境データ移転規則を中核とする。この枠組みは、同国の急速なデジタル化と、テクノロジー、人工知能、デジタル経済の域内ハブとなる野心を反映している。
PDPLは、サウジデータ・AI庁（SDAIA）が所管する、同国初の包括的なデータ保護法制である。個人のデータ権利、企業の遵守義務、越境データ移転規則、データ現地化要件を確立し、これらが総体としてサウジアラビアのデータガバナンス枠組みを国際基準と整合させている。PDPLを補完する形で、国家サイバーセキュリティ庁（NCA）が、重要インフラ、政府、民間部門の事業体にまたがるサイバーセキュリティを規律する並行的な規制枠組みを運用する。
サウジ市場で活動し、あるいはこれにサービスを提供する企業にとって、データ保護とサイバーセキュリティの規制環境は今や、重大で、執行可能で、市場アクセスと事業免許にますます中心的なコンプライアンス上の含意を伴う。
個人データ保護法（PDPL）
適用範囲
PDPLは、サウジアラビア国内で行われる個人データの処理と、同国外に所在する事業体によるサウジ在住者の個人データの処理に適用される。この域外適用の効力は、サウジの顧客にサービスを提供し、あるいはサウジ発の データを処理する国際企業が、そのデータ処理基盤の所在地を問わずPDPLの義務の対象となりうることを意味する。
個人データは広く定義され、自然人を直接または間接に識別しうるあらゆるデータを含む。機微な個人データ――健康データ、遺伝データ、信用データ、犯罪歴、人種的・民族的出自を明らかにするデータ、宗教的・政治的信条に関連するデータを含む――は、強化された保護と追加の処理条件の対象となる。
PDPLは公的部門と民間部門の双方の事業体に適用されるが、純粋に個人的または家族的な目的で処理される個人データ、治安・刑事司法の目的で所管当局が処理するデータ、再識別できない匿名化データについては一定の適用除外が存在する。
処理の法的根拠
PDPLは、個人データを処理する主要な法的根拠として同意を定める。同意は自由に与えられ、特定的で、情報に基づき、明確でなければならず、いつでも撤回できる。同法はまた、契約の履行、法的義務の遵守、重大な利益の保護、公共の利益における任務の遂行、そしてデータ主体の権利との比較衡量を条件とする管理者の正当な利益を含む、追加の法的根拠を認めている。
機微な個人データについては、法的根拠はより制限的である。機微データの処理は原則として明示的同意、または雇用法、公衆衛生、法的請求、実質的な公共の利益に関連する特定の条件の充足を要する。
個人のデータ権利
PDPLはデータ主体に、事業体が対応できるよう備えなければならない包括的な権利を付与する。これには、データ処理活動について知らされる権利、管理者が保有する個人データへのアクセス権、不正確なデータの訂正権、（法的例外を条件とする）個人データの消去権、データポータビリティの権利、一定の状況における処理への異議申立ての権利が含まれる。
データ主体はまた、自らの権利に高いリスクをもたらすデータ侵害について知らされる権利と、PDPL違反の疑いについてSDAIAに苦情を申し立てる権利を有する。
企業のコンプライアンス義務
個人データを処理する事業体は、包括的なコンプライアンス枠組みを実施しなければならない。主要な義務には、データ処理活動の記録の保持、高リスク処理についてのデータ保護影響評価（DPIA）の実施、必要な場合のデータ保護責任者（DPO）の選任、適切な技術的・組織的セキュリティ措置の実施、データ侵害のSDAIAおよび影響を受ける個人への通知、そしてデータ処理者（管理者に代わってデータを処理する第三者）がPDPL要件を反映した契約上の義務に拘束されることの確保が含まれる。
データ最小化の原則は、個人データが特定された目的に必要な範囲でのみ収集され、その目的の達成に必要な期間のみ保持されることを求める。プライバシー・バイ・デザインおよびバイ・デフォルトの義務は、データ保護が後付けではなく、システムやプロセスの設計に統合されることを求める。
SDAIAの監督
機関としての役割
サウジデータ・AI庁は、サウジアラビアにおけるデータ保護の監督当局を務める。SDAIAの所管はデータ保護を超え、人工知能政策、データガバナンス、同国のデータ経済の発展に及ぶ。この二重の所管は、データ保護とデータ駆動型のイノベーションが競合するものではなく相互補完的であるという政府の認識を反映している。
SDAIAは、施行規則と指針の発出、PDPLの遵守状況の監視、苦情の調査、違反への制裁の賦課を担う。同庁は、データ移転、同意管理、侵害通知、データ保護影響評価を含む、特定のPDPL要件についての詳細な指針を提供する一連の施行規則を発出してきた。
執行と罰則
PDPLは、違反に対する最大500万リヤルの行政罰金を含む罰則の枠組みを定め、反復的または重大な違反にはより重い罰則を科す。加害の意図をもって機微な個人データを無断で開示するなど特定の違反には、拘禁を含む刑事罰が適用されうる。SDAIAは、データ処理活動の停止、法に違反して収集されたデータの削除、執行決定の公表を命じる権限を有する。
執行姿勢は、移行期間中の初期の指針提供と啓発から、能動的な遵守監視と執行へと進展してきた。PDPLの遵守プログラムを実施していない事業体は、規制上のリスクの増大に直面する。
越境データ移転
移転の制限
PDPLは、サウジアラビア国外への個人データの移転に制限を課す。越境移転は、受領国が（SDAIAの判断により）十分な水準のデータ保護を提供する場合、または特定の保護措置が講じられている場合にのみ認められる。SDAIAは十分性を評価する基準を公表し、十分性の認定がない場合に移転を正当化しうる仕組みを示している。
認められる移転の仕組みには、グループ内移転のための拘束的企業準則（BCR）、SDAIAが承認した標準契約条項（SCC）、データ主体の明示的同意（ただし同意のみへの依拠には制限がある）が含まれる。移転はさらに、認められた処理の法的根拠の一つに必要でなければならず、受領法域の十分性が確立されていない場合、管理者は移転影響評価を実施しなければならない。
実務上の含意
多国籍企業にとって、越境移転の枠組みは重要な運用上の含意を持つ。サウジ拠点の事業と国際本社、サービス提供者、関連会社との間のデータフローは、把握され、評価され、適切な移転の仕組みで裏付けられなければならない。クラウドコンピューティングの取決め、グローバルな人事データ管理、顧客データ分析、越境決済処理はいずれも、PDPLの遵守を確保するために慎重な設計を要する。
データ・ローカライゼーション要件
PDPLは、特定の類型の個人データをサウジアラビア国内で保管することを求めるデータ現地化の規定を含む。現地化要件の対象となる具体的な類型と、例外が認められる条件は、SDAIAの施行規則で定められる。
データ現地化は、サウジ国内のデータセンター基盤への大規模な投資を促してきた。国際的なクラウドサービス提供者は、同国内でのデータ所在地を維持しなければならない顧客に対応するため、現地のデータセンター施設を設置または拡張している。データ現地化要件と、域内のデータセンター・ハブとなる同国の野心との収斂は、コンプライアンス上の義務と、データ基盤分野における商業的機会の双方を生み出している。
サイバーセキュリティ規制
国家サイバーセキュリティ庁（NCA）
2017年に勅令によって設立されたNCAは、サイバーセキュリティ政策、規制、インシデント対応を担う国家当局である。NCAの所管は、政府機関、重要な国家インフラ、そしてその運用が国家安全保障または経済的安定に不可欠な民間部門の組織に及ぶ。
必須サイバーセキュリティ統制（ECC）
NCAは、すべての政府機関と重要インフラ事業者に適用される包括的なサイバーセキュリティ要件の集合、必須サイバーセキュリティ統制（ECC）を発出している。ECCは、サイバーセキュリティのガバナンス、資産管理、識別・アクセス管理、情報保護、ネットワークセキュリティ、アプリケーションセキュリティ、インシデント管理、事業継続を対象とする。
ECCの遵守はその適用範囲内の事業体にとって義務であり、NCAは遵守を確認するための評価を実施する。不遵守は、運用上の制限や罰則を含む執行措置につながりうる。
分野別サイバーセキュリティ
ECCに加え、分野別のサイバーセキュリティ規制が、金融機関（SAMAのサイバーセキュリティ枠組みの下）、医療提供者、通信事業者、エネルギー部門の事業体に適用される。これらの分野別の枠組みはECCの基準線の上に構築され、各分野の固有のリスク・プロファイルと運用上の特性に合わせた要件を上乗せする。
SAMAが所管する金融部門のサイバーセキュリティ枠組みは特に包括的であり、情報セキュリティのガバナンス、サイバーリスク管理、セキュリティ運用、第三者のセキュリティ管理、サイバーインシデント報告を対象とする。
重要インフラの保護
NCAは重要な国家インフラの各分野を指定し、これらの分野内で活動する事業体に強化されたサイバーセキュリティ要件を定めている。指定のプロセスは、混乱が国家安全保障、公共の安全、経済的安定、公共の福祉に及ぼしうる影響を考慮する。重要インフラ事業者は、強化された監視、報告、インシデント対応の要件の対象となる。
他の規制枠組みとの相互作用
データ保護とサイバーセキュリティの義務は、複数の次元で他の規制要件と相互作用する。金融部門のデータは、PDPL要件とSAMAのデータガバナンス・サイバーセキュリティ枠組みの双方の対象となる。医療データは、PDPL要件と医療分野のデータ規制の対象となる。雇用データは、PDPL要件と従業員のプライバシーに関する労働法の規定を遵守しなければならない。
PDPLと分野別規制との相互作用は、一方の枠組みの遵守が他方との抵触を生じないよう、慎重な分析を要する。SDAIAは、コンプライアンスの複雑さを軽減するため、PDPLと分野別データ規制との相互作用について指針を発出する意向を示している。
展望
サウジアラビアのデータ保護・サイバーセキュリティの規制環境は、急速に進化を続けることになる。SDAIAは、人工知能、自動化された意思決定、新興技術の文脈における個人データの利用を扱う追加の施行規則を発出する計画を示している。NCAは、そのサイバーセキュリティ枠組みの適用範囲を段階的に拡大し、執行能力を深化させつつある。
企業にとって、その軌道は明確である。すなわち、データガバナンスは、専用の資源、統治構造、技術的能力を要する重大なコンプライアンス領域になりつつある。データ駆動型経済を発展させ、人工知能とデジタルサービスの域内ハブとなる同国の野心は、堅固なデータ保護がコンプライアンス上の義務であると同時に競争上の差別化要因でもある規制環境を生み出している。
包括的なデータ保護・サイバーセキュリティのプログラムに投資する企業は、（遵守がますます調達の前提条件となる）政府契約へのアクセス、サウジの消費者・事業パートナーとの信頼の構築、そして進化する規制環境を混乱なく乗り切ることのいずれにおいても、より有利な立場に立つことになる。不遵守の代償――金銭的罰則、運用上の制限、評判の毀損――は、SDAIAとNCAの執行能力の洗練化と並行して高まっている。