沙特SDAIA就《个人数据保护法》实施条例修正草案公开征求意见：拟引入明确数据本地化要求、取消泄露通报的损害评估前置门槛，反馈截至11月5日

最受关注的变化是拟在实施条例第23条引入明确的数据本地化要求。现行框架下，个人数据的跨境传输与披露由PDPL第29条及《个人数据出境转移条例》规范，须符合PDPL且不被其他适用法律禁止，但并不存在个人数据必须存储于沙特境内的一般性要求；修正草案将要求控制者把个人数据存储于沙特境内，同时仍允许依PDPL及其实施条例向境外传输与披露。

泄露通报门槛亦将下调。现行第24条仅在泄露可能对个人数据造成损害、影响数据主体或其权益时才触发72小时内向SDAIA通报的义务；修正草案拟取消这一损害评估前置条件，只要发生个人数据泄露、损坏或未授权访问，即须在知悉后72小时内通报，对数据主体本人的通知则继续保留基于损害评估的口径。这意味着涉处理器与次级处理器的场景下，事件响应流程须能在72小时内完成升级、评估与信息提交。

其他拟议变动包括：第25条项下需开展数据处理影响评估的处理活动类型扩大、通过国家控制者登记册实施的正式注册要求、回应SDAIA调查的法定时限、营销活动规则、隐私政策新要求与数据保护官义务调整。对使用境外主机托管、区域基础设施或跨境服务安排的出海企业而言，需要同时重新评估存储模式与跨境传输、披露的法律依据，并复核与供应商的DPA条款。