沙特PDPL合规操作图：隐私、数据分类、跨境传输与网络安全控制

沙特数据隐私与网络安全合规是在沙特境内使用数据的运作框架：《个人数据保护法》（PDPL）规范个人数据；沙特数据与人工智能局（SDAIA）的数据治理平台提供隐私合规服务；国家数据管理办公室（NDMO）的政策影响数据分类、共享和开放数据；国家网络安全局（NCA）的控制要求则规定核心网络安全证据。企业在收集、托管、传输、分析沙特数据，或用其训练AI之前，应把隐私与数据治理作为一项统一审查。直接的检验是：上线前能否证明处理合法、数据已分类、跨境传输经过审查、安全控制到位、保留期限明确、泄露事件可应对且责任可追溯 [S1], [S2], [S3], [S4]。

这对进入公共部门、云服务、医疗、金融、电信、智慧城市和AI合同的供应商尤其重要。仅有隐私声明，不等于隐私受到保护。仅有本地云区域，不足以证明跨境传输或数据驻留合法。通用安全认证，也不足以证明系统符合NDMO、PDPL、NCA、通信、空间与技术委员会（CST）、数字政府局（DGA）及行业要求。

谁负责监管

沙特的权限按职能分布。SDAIA是涉及PDPL资料与数据治理平台服务的核心数据及AI主管机构。平台表示其目标涵盖数据管理和治理，以及个人数据保护；所列服务包括隐私影响评估、个人数据泄露通知、报告与投诉、法律意见澄清、数据共享方式审批、自我评估及AI伦理评估 [S2]。

NDMO承担国家数据治理政策职责。其政策最直接面向政府数据及公共部门生态，但民营供应商在托管、丰富、整合、分析、保护或以其他方式处理公共部门数据时，同样受到影响。NCA是数据和信息保护、密码技术、备份、第三方网络安全，以及云或托管网络安全等控制的参照机构 [S3]。

CST监管云计算服务的提供。DGA的数字政府政策要求政府数字服务设计考虑SDAIA的数据隐私要求与NCA的网络安全要求，并指导政府机构按照Cloud First政策及CST云规则采用云解决方案 [S5], [S6]。金融、医疗、保险、电信、能源、教育、交通和资本市场的行业监管机构还可能附加更严格义务。

为何影响沙特AI雄心

沙特AI雄心依赖可信的数据使用。HUMAIN推出时，定位为覆盖AI基础设施、数据中心、云能力、模型及解决方案的PIF旗下企业；PIF与Google Cloud的公告则描述了拟在达曼附近建设、用于阿拉伯语模型及沙特专用AI应用的AI枢纽，且须获得监管批准 [S7], [S8]。这些项目需要受治理的数据，而不只是算力。

对投资者与运营者而言，关键不是沙特是否在建设AI能力，而是特定数据集能否被合法处理、分类、共享、传输、托管、保护，并再次用于分析或模型开发。个人数据管理薄弱会拖慢审批；分类不足增加泄露风险；云控制薄弱限制可运行的工作负载；审计证据不足则使采购更难。

机构职责图

SDAIA、NDMO、HUMAIN、MCIT与CST的角色

合规地图应按职能解读，而非只看缩写。

实际含义很简单：沙特数据项目不存在一个勾选框就能完成的合规手续。数字服务可能同时需要PDPL审查、NDMO式数据治理、NCA控制映射、CST云规则分析、DGA政府服务要求核对、行业监管审查及合同证据。

公共部门、PIF企业与民营部门

公共机构与NDMO政策的关联最明确，因为国家数据治理政策面向政府数据管理。数据交换或发布之前，它们需要明确所有权、建立目录、完成分类、控制共享、审查开放数据、设定保留期限，并保存审计证据 [S4]。

PIF企业和国家级重点企业处于更复杂的地带：它们可能是一般商业公司、国家支持的战略平台、公共部门供应商、数据中心运营者、AI服务商或受行业监管的参与者。其合规安排通常既要满足正式监管机构，也要满足客户与合作伙伴。

民营企业不应假定PDPL是唯一问题。软件供应商、云服务商、系统集成商、AI开发者、托管服务商或分析顾问，在获得重要沙特客户批准部署之前，可能被要求出示数据分类与处理政策、处理活动记录、跨境传输路径图、云安全证据、事件处置程序及次级处理者控制。

技术与基础设施

云与数据中心

云和数据中心决策应从数据分类开始。NCA《基本网络安全控制》涵盖数据和信息的所有权、分类与标记、隐私、密码技术、备份、第三方网络安全，以及托管或云网络安全要求；其中也要求在使用云或托管服务前对数据分类，并在相关控制语境下将机构信息的托管与存储置于沙特境内 [S3]。

这不表示每一种沙特工作负载只有同一个答案。公开的政府数据集、内部采购数据库、医疗记录、公民服务日志、金融交易表、AI训练语料和含个人数据的支持工单，可能各自触发不同义务。同一架构也可能通过远程管理、遥测、备份、可观测性工具、模型评估、帮助台截图或境外支持，产生隐蔽的跨境传输问题。

CST云规则增加市场监管层面。其2023年决定批准《云计算服务提供条例》及相关指南第4版，取代此前的《云计算监管框架》第3版，并于2023年10月10日生效 [S5]。DGA政策则增加公共部门运作层面，指导政府数字平台按照通信与信息技术部（MCIT）的Cloud First政策及CST云规则采用云服务 [S6]。

模型、芯片与平台

AI系统承继其所用数据的法律和安全状态。使用沙特客户数据、公共部门记录、健康数据、身份数据、信用数据、位置数据、就业数据或公民服务记录的模型，不能仅凭模型性能获批；还需要数据血缘、处理目的、合法依据、分类、保留期限、脱敏、权利处理、日志、人工监督与网络安全控制。 [S6]

SDAIA的《AI伦理原则》将AI治理与隐私、安全、问责、公平、透明、可靠及以人为本的设计相联系。这一框架把数据治理纳入AI全生命周期，而不是事后补写文件 [S9]。

ISO标准可以提供帮助，但不能替代沙特本地分析。ISO/IEC 27001可支持信息安全管理，ISO/IEC 27701可支持隐私信息管理，ISO/IEC 42001可支持AI管理体系。讨论数据隐私适用哪个ISO标准时，真正有用的问题是认证证据是否确实映射到PDPL义务、NDMO数据处理、NCA控制、CST云规则及行业合同。

政府采用

政府采用是最严格的检验，因为公共系统可能涉及身份、福利、许可、教育、医疗、司法、支付、采购和关键服务。DGA的数字服务设计政策明确要求按照SDAIA要求落实隐私保护融入设计及默认隐私保护，并满足NCA的网络安全要求 [S6]。

公共部门系统应提供以下运作证据：

政策与合规

数据治理

数据治理连接隐私与网络安全。如果没有数据盘点和分类模型，机构就无法可靠判断能否处理个人数据、发布数据集、向供应商共享数据、把工作负载迁入云端、保留日志、训练AI系统或将记录传出沙特。

适合沙特环境的数据分类政策示例，应界定标签、责任人、访问级别、共享权限、加密规则、云托管规则、跨境传输限制、保留、销毁、发布审查及升级路径；还应说明例外如何获批、证据如何保存。公共部门项目应把政策映射到NDMO资料及客户要求，而非直接照搬全球通用模板 [S4]。

开放数据平台是受控的发布渠道，而非数据倾倒场。国家数据库将开放数据平台描述为政府机构和民营企业可公开发布数据集、促进透明度、创新与问责的场所；同一页面还列出Data Lake、Data Marketplace、National Data Catalog及Reference Data Platform等数据平台 [S10]。发布前仍须审查分类、隐私、保密性、所有权、质量、格式及再利用条件。

AI伦理

AI伦理重要，因为隐私损害可能发生在泄露之前：模型将数据用于新目的、推断敏感属性、自动作出高影响决策、产生不公平结果、在输出中暴露个人资料，或让公共服务更难被质疑时，都可能出现损害。

数据隐私的核心原则仍是务实的：目的限制、数据最小化、透明、准确、安全、保留期限限制、数据主体权利与问责。AI提高了风险，因为它能关联原本不是为彼此而收集的数据集；模型输出还可能影响资格、优先顺序、定价、治疗、招聘、信贷、安全或公共服务可及性。

对沙特AI项目，最低限度的运作问题是团队能否说明：用了什么数据、为何允许使用、如何分类、是否含个人或敏感个人数据、是否离开沙特、保留多久、如何监测输出风险，以及系统失效时谁负责。

隐私与安全

PDPL合规始于角色与目的。机构应清楚自己是控制者、处理者、共同参与方、供应商、次级处理者、公共机构还是受行业监管的企业；并记录为何处理个人数据、涉及哪些类别、适用何种告知或法律依据、谁接收数据、保留多久，以及如何处理数据主体权利 [S1], [S2]。

PDPL文本要求控制者在收集前提供隐私政策，说明收集目的与数据主体权利，落实组织、管理和技术措施，在相关个人数据事件后通知主管机构，并视控制者活动性质，对相关产品或服务开展影响评估 [S1]。

跨境传输须单独审查。PDPL第29条仅允许基于特定目的并在满足条件的情况下向沙特境外传输或披露数据；条件包括不得损害国家安全或重大利益、境外具有充分保护水平，以及仅传输所需的最低限度个人数据 [S1]。跨境传输条例在特定情况下增加标准合同条款、有约束力的共同规则及认证证书等保障措施，并要求对部分传输开展风险评估，其中包括某些持续或大范围进行的敏感数据传输 [S11]。

网络安全保护条件应转化为证据，而不是口号。NCA控制指向数据所有权、分类、隐私、按分类及适用要求进行传输中和静态加密、备份与恢复测试、第三方合同条款、事件沟通、风险评估及托管或云控制 [S3]。最有用的证据图应将这些控制与PDPL、NDMO连接起来，而不是由法律、数据和网络安全团队各自维护孤立的表格。

市场影响

供应商机会

沙特买方需要可运作的合规系统。需求最可能集中于隐私运营、数据目录、分类、云安全、网络安全治理风险与合规（GRC）、第三方风险、AI治理、数据防泄漏、跨境传输审查及审计证据。

商业上的错误是只卖工具、不提供控制映射。沙特客户会问：数据托管在哪里，支持团队能否访问，日志是否含个人数据，是否排除模型训练，次级处理者是否披露，分类标签是否得到执行，以及证据能否经得起审计或监管审查。

人才、能源与地缘政治约束

执行能力是许多合规项目背后的约束。沙特数据项目需要隐私律师、网络安全架构师、云工程师、数据管理员、阿拉伯语数据专家、采购团队、AI治理负责人、事件响应人员及审计人员，从不同角度理解同一系统。

能源与地缘政治同样重要。大型数据中心需要电力、冷却、芯片、网络韧性、出口管制意识、供应商持续服务能力及安全的支持模式。PIF与HUMAIN公告展示了国家支持的雄心，但官方雄心仍须转化为获批的工作负载、可靠运营和客户信任 [S7], [S8]。

对外国进入者，务实的原则是把沙特合规要求嵌入产品架构。如果供应商在谈判前就能证明分类、个人数据管理、跨境传输控制、网络安全证据、本地托管选项及可审计性，采购阻力便会降低。若合同签署后才临时拼凑这些控制，项目会更慢、风险更高、成本更大。

常见问题

沙特合规要求如何连接隐私与数据？

隐私决策取决于弄清有哪些数据、为何收集、谁拥有、如何分类、托管在哪里、谁接收、是否属于个人或敏感数据，以及能否共享、传输、保留、删除或发布 [S1], [S4]。

实际工作中，“隐私受到保护”意味着什么？

意味着机构能够证明处理合法、完成告知及权利处理、实施访问控制和数据最小化、采用加密或其他安全措施、遵守保留期限、应对事件、在需要时通知泄露，并落实跨境传输保障 [S1], [S2], [S3]。

什么是数据分类与处理政策？

它是一项为数据赋予分类标签，并规定各标签对应处理规则的运作政策，应覆盖所有权、访问、加密、云托管、共享、传输、保留、删除、开放数据审查及升级路径。

数据分类政策示例应包含什么？

应包括分类类别、业务负责人、字段级示例、允许存储的位置、访问规则、共享规则、开放数据检查、传输限制、保留期限、销毁证据及定期审查安排。沙特公共部门项目应将政策映射到NDMO或买方特定的数据分类指南 [S4]。

处理个人数据是什么意思？

处理个人数据是指对与可识别个人有关的信息进行收集、存储、整理、使用、披露、传输、发布、修改、保留、删除或类似操作。日志、支持工单、备份、分析数据和AI训练数据都可能涉及个人数据 [S1]。

什么是ROPA隐私证据？

ROPA指处理活动记录。在沙特业务中，有用的ROPA应列明处理目的、数据类别、数据主体、控制者、处理者、接收方、保留期限、跨境传输路径、保障措施及责任人。

沙特的开放数据平台是什么？

沙特国家数据库将开放数据平台描述为政府机构与民营企业公开发布数据集、促进透明度、创新及问责的渠道。发布前仍需审查分类、隐私、质量、所有权及敏感性 [S10]。

数据隐私有哪些核心原则？

务实的原则包括目的限制、最小化、透明、准确、安全、保留期限限制、权利管理及问责。沙特项目应在适用时通过PDPL、NDMO治理、NCA控制及行业规则落实这些原则 [S1], [S3], [S4]。

数据隐私使用哪个ISO标准？

ISO/IEC 27701是ISO/IEC 27001常用的隐私信息管理扩展。它可为合规提供佐证，但不能取代沙特PDPL、NDMO、NCA、CST、DGA或行业要求。

本文是隐私法律意见吗？

不是。本文面向运营者及市场进入者，提供合规分析。对具有约束力的沙特义务，应向合格律师核实，并查阅SDAIA与NCA官方资料、现行合同、云服务条款和行业监管要求。

什么是个人数据管理？

个人数据管理，是对个人数据从收集、分类、使用、访问、共享、传输、保留、删除、权利处理到泄露应对的日常控制。它使PDPL合规成为实际操作，而非抽象原则。

相关分析

• 沙特数据保护
• 沙特数据隐私与网络安全合规
• NDMO数据治理政策
• NDMO数据分类、共享与隐私合规
• 沙特AI伦理原则

值得继续跟踪的证据

数据隐私合规也应对照国家网络安全局的监管文件库核查，因为在实际供应商审查中，PDPL、数据分类、云控制与网络安全义务经常重叠 [S12]。

来源

1. [S1] SDAIA数据治理平台，官方法规页面，“Personal Data Protection Law”，访问于2026-05-26，https://dgp.sdaia.gov.sa/wps/portal/pdp/knowledgecenter/details/PDPL/

2. [S2] SDAIA数据治理平台，官方平台页面，“About the Platform”，访问于2026-05-26，https://dgp.sdaia.gov.sa/wps/portal/pdp/about/objectives/

3. [S3] 国家网络安全局，官方PDF，“Essential Cybersecurity Controls”，访问于2026-05-26，https://nca.gov.sa/ecc-en.pdf

4. [S4] SDAIA／国家数据管理办公室，官方PDF，“National Data Governance Policies”，访问于2026-05-26，https://sdaia.gov.sa/ndmo/Files/PoliciesEn001.pdf

5. [S5] 通信、空间与技术委员会，官方决定页面，“Approval on the Update of the Cloud Computing Service Provisioning Regulations and its Guides”，决定日期2023-10-08，访问于2026-05-26，https://www.cst.gov.sa/en/regulations-and-licenses/decisions/Regulation-1482

6. [S6] 数字政府局，官方政策页面，“Digital Government Policies”，发布于2024-03-10，访问于2026-05-26，https://dga.gov.sa/en/regulatory-documents/Digital-government-policies

7. [S7] 沙特公共投资基金，官方新闻稿，“HRH Crown Prince launches HUMAIN as global AI powerhouse”，2025-05-12，访问于2026-05-26，https://www.pif.gov.sa/en/news-and-insights/press-releases/2025/hrh-crown-prince-launches-humain-as-global-ai-powerhouse/

8. [S8] 沙特公共投资基金，官方新闻稿，“PIF and Google Cloud to create advanced AI hub in Saudi Arabia”，2024-10-30，访问于2026-05-26，https://www.pif.gov.sa/en/news-and-insights/press-releases/2024/pif-and-google-cloud-to-create-advanced-ai-hub-in-saudi-arabia/

9. [S9] 沙特数据与人工智能局，官方PDF，“AI Ethics Principles”，2023年9月，访问于2026-05-26，https://sdaia.gov.sa/en/SDAIA/about/Documents/ai-principles.pdf

10. [S10] 国家数据库／SDAIA，官方平台页面，“National Data Bank”，最后修改于2026-01-26，访问于2026-05-26，https://data.gov.sa/en

11. [S11] SDAIA数据治理平台，官方PDF，“Regulation on Personal Data Transfer Outside the Kingdom”，访问于2026-05-26，https://dgp.sdaia.gov.sa/wps/wcm/connect/e5bbede0-1119-4f70-b4ef-f043ce58d780/Regulation%2Bon%2BPersonal%2BData%2BTransfer%2BOutside%2Bthe%2BKingdom..pdf?CACHEID=ROOTWORKSPACE-e5bbede0-1119-4f70-b4ef-f043ce58d780-p6OMj1M&CONVERT_TO=url&MOD=AJPERES

12. [S12] 国家网络安全局，官方监管文件库，网络安全监管机构官方来源，访问于2026-05-26，https://nca.gov.sa/en/regulatory-documents/