沙特SDAIA开放境外机构控制者注册通道：无沙特商业登记的外国企业亦可登记，未登记者最高面临500万沙特里亚尔罚款

据Clyde & Co于2026年10月发布的分析，沙特数据与人工智能局（SDAIA）已启动一项新的注册服务，允许位于沙特境外的组织在其统一的国家控制者登记册中注册。根据《个人数据保护法》（PDPL），特定控制者须向SDAIA注册，包括公共实体、核心业务涉及个人数据处理的组织，以及处理敏感个人数据的组织。此前注册程序仅对持有沙特商业登记的组织开放，给虽落入PDPL管辖但在沙特无实体存在的外国企业造成了实际障碍。

新服务的核心影响在于强化了PDPL的域外效力：处理沙特境内个人数据的境外企业，即使不持有沙特商业登记，现也可正式注册。注册要求包括：持有有效商业登记、指定一名授权代表、并通过沙特外交部（MOFA）适用于非沙特公司的流程取得核验与数字身份签发。这一安排意味着“没有沙特商业登记”不再构成不注册的正当理由。

从合规后果看，注册并非孤立的义务。SDAIA的多项服务与监管交互在实践中仅向已注册组织开放，包括数据保护官任命通知，以及受严格法定期限约束的个人数据泄露通报。因此，应当注册但未注册的组织将面临双重风险：一是PDPL违规可能被处以最高500万沙特里亚尔的罚款；二是在数据泄露调查或通报等关键时刻无法使用SDAIA平台与监管服务，导致程序性延误。

本条与SDAIA在10月初的两项并行动作构成同一条政策线：10月6日SDAIA公布《个人数据保护法实施条例》修正草案并启动至11月5日的公众咨询，拟引入明确的数据本地化要求、取消泄露通报的损害评估前置门槛、扩大影响评估触发情形（包括大规模处理、儿童数据处理以及使用“新兴技术”的处理），并把境外传输或披露列为国家控制者登记册的注册触发条件；同日SDAIA还开放了个人数据保护监管沙盒的个人数据保护赛道，面向在沙持牌并已在国家个人数据保护登记册注册的私营实体，报名窗口两个月。

对在沙特经营或处理沙特居民个人数据的中国企业而言，本条的操作性结论是：应当立即评估是否落入PDPL注册义务范围；如需注册，应尽早启动授权代表指定与外交部核验流程，因为该流程本身存在周期；同时应把“是否完成注册”作为泄露应急响应预案的前置检查项——未注册状态下，即使发生泄露也可能无法按期完成法定通报。考虑到实施条例修正草案拟把“任何境外传输或披露”均列为注册触发条件，注册义务的覆盖面在修正案通过后还将进一步扩大。