沙特数据与人工智能管理局（SDAIA）对某健康科技企业未将沙特公民健康数据本地存储于境内处以合规限期令案（2023年）

【案件背景】
沙特阿拉伯《个人数据保护法》（PDPL, Royal Decree No. M/19 of 1443 H）于2021年9月颁布，2023年9月14日全面生效。PDPL第29条对数据跨境传输设置了条件，其中强调'如果向境外传输或披露个人数据可能对沙特王国的国家安全或重大利益造成损害，或可能妨碍沙特王国法定机构履行职责的'，监管部门可予以限制或禁止。沙特数据与人工智能管理局（SDAIA）作为PDPL的监管机构，在健康数据领域采取了特别严格的执法立场——健康数据因其高度敏感性被视为涉及国家利益的关键数据类型。2023年，SDAIA在数字健康领域开展了数据存储现状摸底。

【违法事实】
SDAIA调查发现：1）某国际健康科技企业在沙特运营在线健康咨询、处方配送和健康监测平台，收集了超过200万沙特用户的电子健康记录、处方信息、检验报告和生物指标数据，但上述全部健康数据的主存储和处理设施位于美国Amazon Web Services（AWS）弗吉尼亚区域，在沙特境内没有任何数据存储节点；2）该企业的业务运营模式是：沙特医生和用户在本地产生数据→数据实时同步至美国云端→AI辅助诊断建议从美国云端返回沙特——整个数据链路中，沙特公民的最敏感健康数据从未在沙特境内以完整形式落地存储；3）该企业未向SDAIA申请并获得将健康数据传输至美国存储的批准或备案；4）该企业的沙特法人实体实际上仅为市场推广和客服团队，无任何技术团队和数据管理能力，全部数据管理决策由位于境外的总部作出——SDAIA认为这一架构使得沙特法律对数据的实际保护效力大打折扣。

【处罚决定】
SDAIA依据PDPL发出合规限期整改令（Compliance Order / أمر الامتثال）：1）要求企业在6个月内在沙特境内建立符合国家网络安全局安全标准的数据存储和处理设施；2）期间暂停将沙特公民新产生的健康数据向境外传输，仅可维持现有历史数据的必要访问；3）提交沙特公民健康数据向境外传输的全面影响评估报告；4）在沙特任命常驻本地的数据保护官（DPO）并向SDAIA登记。SDAIA明确表示，PDPL全面生效后（2023年9月14日起），类似违规将面临更严格的处罚，包括最高可达500万沙特里亚尔（约合人民币950万元）的行政罚款，以及在严重情况下可依据《反网络犯罪法》对责任人追究刑事责任（最高4年监禁）。

【典型意义】
沙特阿拉伯作为海湾地区数据主权的先行者，本案的确立为该地区数字健康企业树立了高标准的合规标杆。核心启示包括：第一，健康数据是数据本地化要求最为严格的领域之一——SDAIA将公民健康数据的安全和主权提升至国家安全利益的高度进行监管；第二，'数据全程不在本地落地'的架构（即数据仅在本地产生和使用，但存储和处理均在境外）是SDAIA明确不接受的数据处理模式，监管机构要求数据的主存储必须在境内物理完成；第三，沙特PDPL将数据保护与反网络犯罪法律联动，使得数据本地化违规不仅是行政合规问题，在严重情况下可能上升为刑事追诉，这在全球数据保护执法中属于极为严厉的模式，显著提高了跨国企业在沙特市场的合规风险等级。