2026 年 7 月初，沙特数据和人工智能管理局 (SDAIA) 开始向登记为数据控制者的组织发放 PDPL 合规核查表。这不是走过场。这是一项正式要求：你的企业必须用文件和证据证明，其收集、处理和存储个人数据的方式符合《个人数据保护法》(PDPL)。实际结论是：每个处理客户或员工数据的组织都应该现在就整理好证据，因为在这次审查中暴露出的任何缺口，都可能使其面临最高 5 百万 SAR 的处罚。

什么是合规核查表？

这是一份日期为 2026 年 7 月 7 日的官方文件，由 SDAIA 发送给已登记的数据控制者，要求其说明并证明自己如何遵守 PDPL。简单来说：声称自己合规已经不够了；你必须拿出能够证明这一点的政策、记录和控制措施。该表格涵盖整个数据治理生命周期，从数据被收集的那一刻到被销毁的那一刻。

核查表具体要求什么？

核查表要求在九个核心领域提供证据。值得逐项、逐行地审视：

  • 收集、处理和存储：你如何获取个人数据、存储在哪里以及如何处理。
  • 治理框架和政策：关于数据隐私和保护的书面、经批准的政策。
  • 处理的法律依据：每项处理活动的合法依据（同意、合同、法律义务等）。
  • 第三方管理：你如何监督与之共享数据的处理者和供应商。
  • 数据保留和销毁：明确的保留期限，以及在数据不再需要时的安全删除流程。
  • 数据主体权利：一种让个人能够访问、更正和删除其数据的机制。
  • 跨境数据传输：将数据转移到王国境外时的控制措施和保障措施。
  • 事件响应：处理和报告数据泄露的计划。
  • 数据保护官 (DPO)：在你的组织内由谁监督合规。

为什么是现在？SDAIA 正在加强执法

这份表格并非凭空出现。PDPL 早在 2023 年 9 月就已开始执行，而在过去一年中，SDAIA 的专门委员会针对被认定违规的组织作出了 48 项决定——这是第一波实质性的裁决。其中反复出现了明显的模式：在没有合法依据的情况下收集和处理数据、技术和组织保障措施薄弱，以及未经事先同意发送营销信息（这种违规在零售、电信和金融服务领域十分普遍）。发放核查表是顺理成章的下一步：从被动回应投诉，转向要求各组织主动证明合规。

处罚：不合规的代价是什么？

风险既是财务上的，也是法律上的。每项违规的罚款最高可达 5 百万 SAR，屡次违规可加倍。在最严重的情况下——例如以造成伤害为目的或为谋取私利而披露敏感数据——事件会上升为刑事责任，包括监禁。再加上间接损失：客户信任流失、交易停滞和声誉受损。信息很明确：合规不再是可选项，也不是可以推迟的事情。

如何让企业做好准备：一份实用清单

不要等到表格送达才开始。现在就从以下步骤做起：

  • 建立一份数据地图：你收集了哪些个人数据、来自哪里、存放在哪里、谁可以访问。
  • 为每项处理活动记录法律依据，并以可证明的方式记录客户同意。
  • 制定隐私、保留和删除政策——并确保这些政策经过批准且真正得到执行，而不只是停留在纸面上。
  • 审查与供应商和服务提供商签订的合同，确保其中包含数据保护和数据传输条款。
  • 建立清晰的流程，在法定期限内接收并回复数据主体的请求（访问、更正、删除）。
  • 任命一名数据保护官，即使是兼职，也要作为明确的问责人。
  • 制定事件响应计划，让每个人都知道发生泄露时谁该做什么。

技术层面：企业真正失败的地方

大多数缺口与意图无关——而与系统有关。许多组织都有书面的隐私政策，但它们的系统并没有执行这些政策：客户数据被复制到无数电子表格和文件中，保留期结束后没有自动删除的方式，也没有日志显示谁在何时访问了什么。正是在这里，合规从一份文件变成了一项工程。实际上，这意味着：访问控制、敏感数据加密、能够证明每一项操作的审计日志、自动化的保留和删除、让数据主体行使其权利的界面，以及对任何向王国境外传输的技术控制。核查表询问的正是这些能力，而诚实的回答需要的是一套系统，而不是一个承诺。

Origami 如何提供帮助

作为一家科技公司，我们把合规视为一个可以解决的工程问题。我们帮助各组织把 PDPL 的要求转化为系统内的真实控制措施：准确的数据地图、同意管理、自动化的保留和删除政策、审计日志、管理数据主体请求的仪表板，以及跨境传输控制。目标是让你对核查表的回答不仅仅是文字，而是一套在 SDAIA 每次提出要求时都能自动证明你合规的系统。

结论

发放合规核查表表明，宽限期已经结束，SDAIA 正在转向要求主动证明合规。现在就准备好数据和系统的企业，会把这份表格当作例行公事；而拖延的企业，可能会在最糟糕的时刻——也就是审查期间——才发现自己的缺口。今天就从你的数据地图开始。

来源

  • 沙特数据和人工智能管理局 (SDAIA) — 法规和政策：sdaia.gov.sa
  • Clyde & Co — SDAIA's PDPL Compliance Verification Form（2026 年 7 月）：clydeco.com
  • IAPP — 沙特阿拉伯数据保护机构加强执法：iapp.org