本文共字，预计阅读时间。

文/易和

SDAIA携修订版草案重返征求意见，数据本地化、72小时全量泄露通报、"跨境即登记"三大硬变化，正在改写中东数字基建的需求逻辑

一、发生了什么：一份"卷土重来"的修订草案

2026年10月6日，沙特数据与人工智能管理局（SDAIA）发布《个人数据保护法实施条例》修订草案的修订版，通过沙特公众咨询平台Istitlaa公开征求意见，截止日期为2026年11月5日。

这并非SDAIA首次尝试修订实施条例。2025年4月下旬，该局曾就一版修订草案公开征求意见，咨询期至当年5月27日结束，但据多家国际律所观察，那一版最终并未落地生效。与2025年版主要着眼于"澄清表述、简化合规"不同，本次修订版在保留大部分旧提案的基础上明显加码，包含多项对企业有实质运营影响的新规。被保留下来的旧提案包括：删除"个人数据泄露"和"直接营销"两个定义、新设"主管机构平台"作为统一监管入口、要求面向个人的信息和隐私政策使用简明语言、简化处理活动记录要求、取消数据主体投诉的90天时限等。真正改写游戏规则的是新增部分。

最引人注目的是三条硬变化：其一，新增数据本地化条款，要求数据控制者将个人数据存储在沙特境内；其二，大幅放宽数据泄露通报的触发条件，几乎任何泄露都须在72小时内上报监管机构；其三，显著扩大强制登记范围，只要向境外传输或披露个人数据，就须在国家控制者登记册登记。

按照程序，SDAIA将在咨询期结束后审阅反馈意见，决定按原文通过还是进一步修改；一旦获批，修订后的实施条例将在官方公报发布60日后生效。换言之，若草案按现有形态通过，留给企业的调整窗口可能只有两个月。多家国际律所已建议在沙特有业务的企业尽快评估影响并考虑提交意见——本地化条款的适用范围、泄露通报门槛、跨境登记触发条件、"新兴技术"的定义，都是业界争取澄清或软化措辞的重点。2025年那版草案征求意见后悄无声息地搁置，也从侧面说明SDAIA愿意倾听反馈、反复打磨文本，本轮咨询的意见分量不容低估。

二、背景：一部年轻但"长牙很快"的法律

要理解这份草案的分量，需要先回顾沙特数据保护制度的演进时间线。

沙特PDPL于2021年9月以皇家法令（M/19号）颁布，2023年3月经M/148号法令修订，引入"合法利益"等处理依据，使整体框架更接近欧盟GDPR。法律于2023年9月14日正式生效，企业获得一年宽限期，2024年9月14日宽限期届满，PDPL进入全面可执行状态。

此后，SDAIA陆续发布实施条例、个人数据跨境传输条例（2024年9月修订版）、标准合同条款、约束性共同规则指南、数据保护官任命规则、数据泄露事件程序指南等多份配套文件，并依托国家数据治理平台承接登记与通报职能，监管框架日趋完整。对熟悉中国监管体系的读者来说，这套"法律＋实施条例＋专门条例＋标准合同"的打法，与国内《个人信息保护法》加配套细则、数据出境标准合同的结构颇为神似——沙特在制度设计上明显参考了欧盟与中国的成熟经验。

值得注意的是，沙特已从"立法期"进入"执法期"。据行业追踪，PDPL执法委员会在2026年初披露了首批约48项违规决定，主要涉及未经同意的营销短信、技术与组织措施不足、违法收集数据等，处罚方式以警告和整改令为主，呈现渐进式执法特征——但执法委员会本身握有完整的准司法权力，随时可以加重处罚。

罚则并不轻：一般行政罚款最高500万沙特里亚尔（约合133万美元），重复违规可翻倍至1000万里亚尔；若故意披露敏感数据以损害他人或谋取私利，还可触发刑事责任，最高可处两年监禁并处300万里亚尔罚款。渐进式执法更像是监管给出的"教育期"，而非宽松承诺。

另一个容易被忽视的点是域外效力：PDPL适用于任何处理沙特境内居民个人数据的实体，无论其是否注册在沙特，也不论数据实际在哪里处理。这意味着一家总部在深圳、服务器在新加坡的跨境电商，只要面向沙特用户开展业务，就落在监管半径之内；其沙特本地子公司还可能因离岸主体的违规而受到牵连。在沙特经营电商、游戏、社交、金融科技业务的中国公司，天然处于其适用范围之内。

三、三大硬变化逐条拆解

1. 数据本地化：从"管跨境"升级为"管存储"

草案新增第23条第2款，明确规定数据控制者"应将个人数据存储在王国境内"，同时继续允许依照PDPL及其条例进行跨境传输和披露。

这是一个质变。现行制度下，沙特只对数据出境设置条件（目的地充分性保护、标准合同条款、约束性共同规则等），除个别行业规定外，并无一般性的境内存储义务。新条款一旦通过，使用离岸托管、区域数据中心或跨境云服务的企业，必须同时审视自己的存储架构和出境的法律依据。

值得注意的是，草案并未禁止数据出境——存储在境内，传输仍可依法进行，这是一种"存留+可流动"的混合模式，与中国"境内存储为原则、出境评估为通道"的思路异曲同工，比完全的禁运式本地化温和，但对IT架构的改造要求依然刚性。

对正在使用境外云服务或区域集中式架构的企业，现实的应对路径大致有三条：将沙特业务数据整体迁入本地云区域；在沙特部署主存储、仅跨境传输匿名化或聚合后的数据；或采用本地存储加合规出境通道的双轨架构。无论哪条，都意味着真金白银的基础设施投入。多家律所指出，该条款的适用范围（是否允许境外镜像副本、是否区分数据类型、是否设置过渡期）仍需澄清，大概率会成为本轮征求意见的争论焦点。

2. 泄露通报：取消"损害门槛"，比GDPR更严

现行第24条要求控制者在知悉数据泄露后72小时内通报SDAIA，但前提是泄露"可能损害个人数据或影响数据主体权益"。修订草案拟删除这一评估门槛——任何个人数据泄露、损毁或未经授权的访问，无论是否可能造成损害，均须在72小时内上报监管机构；对数据主体本人的通知则保留损害门槛。

这一标准比欧盟GDPR更为严苛——GDPR对监管通报仍设有"不太可能导致风险"的豁免空间。对涉及处理商、分包商的多层外包体系而言，72小时内完成升级、评估并提交法定信息将是实打实的运营考验，强制通报的数量预计显著上升。企业需要重新审视事件响应预案：监测告警能否实时触发？与云服务商、外包商之间的合同是否约定了足够快的事故通报义务？提交监管所需的法定信息能否在时限内齐套？这些问题在草案通过前就该有答案。

3. 登记义务："跨境即登记"

草案第34条将把登记标准直接写入实施条例：公共实体、主营业务以处理个人数据为基础的实体、处理敏感数据或无行为能力人数据的实体均须登记；最关键的是，任何向沙特境外传输或披露个人数据的控制者，都必须通过国家控制者登记册完成登记。

2025年版草案仅将登记义务限于依赖跨境传输条例特定条款的传输，新版则扩大为全覆盖。考虑到跨国集团内部共享、云托管、外包服务中跨境传输的普遍性，这意味着需要向SDAIA登记的企业数量将大幅增加。此前登记标准由SDAIA另行发布的规则规定，如今写入实施条例正文，法律位阶更高、执行刚性更强。

对企业而言，登记不只是填表。登记意味着进入监管视野：需要提交处理活动记录摘要、处理目的、跨境传输路径、DPO信息等材料，并在信息变化时更新。一旦列入登记册，后续的检查、问询、整改都将有迹可循。对尚未与监管机构打过交道、一直处于"低存在感"状态的外资企业来说，这相当于一次强制性的"亮明身份"。

四、其余值得注意的配套变化

除三大硬变化外，草案还有一组"软性但广泛"的调整：

- 影响评估（DPIA）触发扩大：处理未成年人或无行为能力人数据、大规模处理、定期系统性监控、使用"新兴技术"（草案未定义，业内担心将覆盖大量AI相关处理）、产生影响个人权益的自动化决策，均需事前评估。

- 监管答复时限成文化：新增条款要求企业在20个工作日内答复SDAIA有关PDPL落实情况的问询，有充分理由的可申请延期。

- 数据主体请求"沉默即拒绝"：30天（可延长30天）内未获答复的请求将被视为拒绝，个人可据此向SDAIA投诉；"明显无根据"不再作为拒绝理由。

- 营销规则收紧：依赖既有客户关系发送营销信息须核实并留存同意证据；

个人撤回同意后，企业不仅须停止营销，还须"毫不拖延"地销毁因该处理而产生的个人数据。考虑到首批执法决定中大量涉及未经同意的营销短信，这一条的现实杀伤力不容小觑，电商和消费金融行业的精准营销、用户画像业务首当其冲。

- 隐私政策语言：新增条款要求隐私政策使用清晰简明的语言，且与企业惯常提供服务所用语言一致——实操上意味着大多数企业需要提供阿拉伯语版本并重写现有政策。

- DPO义务扩展：公共实体任命数据保护官不再要求"大规模"前提；任命须形成书面记录，并立即通过SDAIA平台报备联系方式、换人时及时更新。DPO的职责也被重新梳理，涵盖对接监管机构、监督影响评估、处理投诉、报告泄露事件等十项职能，岗位重要性明显上升。

- 自动化决策的同意门槛：完全基于自动化处理作出决定的场景，只有"影响数据主体权利或利益"时才需要取得明确同意，这在一定程度上为AI应用留出了空间。

- 申诉渠道放宽：草案删除了数据主体投诉的90天时限，个人向SDAIA投诉不再受此时间约束，维权窗口进一步打开。

- 减负条款同步存在：草案简化了处理活动记录的最低内容清单，删除了监管机构提供模板的规定。整体看，SDAIA在"加码"的同时也在做"减负"的平衡，监管思路趋向成熟。

五、立法背后：沙特正在下一盘"数据主权+AI基建"的大棋

单看合规条文，这是一份收紧的草案；放进沙特的国家战略里，它更像一块拼图。

沙特"2030愿景"将数字经济列为转型支柱，计划在2030年前将数字经济占GDP的比重提升至约20%，政府推行"云优先"政策并设立允许100%外资持股的经济特区，2026年更被定位为沙特的"人工智能之年"。主权基金PIF于2025年5月成立国家级AI公司HUMAIN，由王储穆罕默德·本·萨勒曼亲自担任主席，目标是构建从数据中心、云、大模型到应用的全栈AI能力，规划到2030年建成约1.9吉瓦（GW）数据中心容量、2034年达到约6GW。

利雅得东部一块约24平方公里的6GW数据中心园区已进入招标阶段；HUMAIN还与stc集团旗下center3组建1GW合资项目，与AMD达成100亿美元合作，与AWS共建50亿美元的"AI专区"。在芯片端，HUMAIN已采购1.8万颗英伟达GB300，与英伟达规划了最高500MW、数十万颗GPU的AI工厂，并与高通、AMD、Groq等多家厂商构建多元算力供给，以降低对单一供应商的依赖。

国际云厂商同样在下注：AWS投资53亿美元的沙特云区计划于2026年上线，微软在沙特东部省建成三个数据中心，谷歌云2025年5月与PIF宣布了100亿美元的全球AI枢纽合作。产业链上游也在集聚：NEOM与DataVolt签署了50亿美元协议，在Oxagon建设1.5GW的净零AI数据中心园区，首期300MW预计2028年投运；DataVolt还与Supermicro达成200亿美元的多年合作，部署超高密度GPU平台；stc旗下center3提出了2030年1GW的容量目标。

沙特的底气来自能源——创纪录的低价光伏电价让沙特具备运营全球最低成本数据中心的条件，这正是其吸引算力落地的核心筹码。

市场研究机构预计，沙特数据中心服务市场规模将在2034年超过66亿美元，年复合增长率约14.7%；整个海湾（GCC）数据中心市场有望从2024年的34.8亿美元增长到2030年的94.9亿美元，年复合增长率约18.2%，区域容量同期翻约三倍。

数据本地化条款的意义在于：它把"在沙特本地部署数据基础设施"从企业的可选项，变成了法定的必选项。 当所有处理沙特居民数据的企业都必须把数据存在境内时，本地数据中心、云服务、托管运维的需求将获得一层由法律背书的确定性。

这与沙特大力招商引资建设数字基建的方向形成政策闭环——先用主权资本把产能建起来，再用监管把需求留下来。事实上，沙特公共部门的数据此前已受主管部门的本地化要求约束，本次草案相当于把这套逻辑从政府和特定行业推广到几乎所有处理个人数据的商业主体，是"数据主权"从点到面的关键一跃。

六、对中国投资者意味着什么

第一，已在沙特卡位的中国数字基建企业是这条法规的直接受益者。 华为2023年9月在利雅得开设云数据中心，并承诺五年投资4亿美元；腾讯云与沙特运营商Mobily合作，投资1.5亿美元建设双可用区数据中心；阿里云通过与沙特电信STC合资的沙特云计算公司落地；联想与PIF旗下Alat达成20亿美元服务器制造协议；中国移动国际与本地伙伴合作的"沙漠之龙"数据中心项目总投资约19亿美元，规划187MW容量，其中利雅得节点65MW已于2026年3月投产；DeepSeek大模型已在达曼的阿美数字数据中心规模部署，成为首个在沙特落地的中文大模型。

更早之前，商汤科技2022年就与沙特人工智能公司SCAI合作参与智慧城市建设。数据本地化若落地，这些本地节点将从"服务便利"升级为"合规刚需"，机柜与云资源的议价能力有望提升；而在A股层面，奥飞数据通过子公司与沙特本地集团合资建设利雅得数据中心，科士达等电源、温控设备厂商也在深耕中东市场，产业链上下游存在一批具备真实业务敞口的标的。

第二，合规服务与网络安全是被低估的第二梯队机会。 72小时全量泄露通报、强制登记、DPO任命、影响评估、营销数据销毁——每一项新义务背后，都是企业对安全产品、事件响应、合规SaaS和专业服务的增量采购。沙特执法已开出首批违规决定，监管不再停留在纸面，合规投入的紧迫性会随执法案例的累积而上升。

国内在数据安全、隐私计算、合规咨询领域有成熟方法论的企业，完全可以把服务中国《个人信息保护法》的经验平移到沙特市场——两国监管框架的相似性（注册备案、影响评估、出境管理）意味着产品改造的边际成本不高。尤其对中小出海企业而言，自建合规团队不现实，第三方合规托管服务存在真实的付费意愿缺口。

第三，对出海应用层企业，这是一道必须计入模型的合规成本。 跨境电商、游戏、社交、金融科技企业在沙特收集的用户数据，未来将无法继续集中存储在区域或全球节点，必须落地沙特本地基础设施并重新梳理跨境链路；登记、DPO、阿拉伯语隐私政策等要求也会抬高运营门槛。

沙特拥有大量年轻的互联网用户，是中国出海应用的重要变现市场，主动退出并不现实，那么问题的关键就变成"谁的合规改造更快、成本更低"。但硬币的另一面是：沙特本地云供给正在快速充裕，合规路径反而比"规则模糊时代"更清晰——提前完成架构调整的企业将获得相对优势，观望者则可能在60天生效窗口内陷入被动。

第四，对研究者而言，这是一份观察"全球数据治理碎片化"的绝佳样本。 欧盟GDPR靠罚则树立权威，中国以"安全评估+标准合同"管理出境，沙特则在二者基础上叠加了本地化存储与主权AI基建的组合拳。海湾国家普遍不愿在数字时代继续做单纯的技术进口方，而是试图用监管工具把数据、算力和产业链留在本地。

这种"监管即产业政策"的模式若被验证有效，大概率会被更多新兴市场国家效仿，全球数据跨境的规则图谱将进一步分化——企业合规从"一套全球标准"转向"一域一策"的趋势值得长期跟踪。

我们的核心判断是：这份草案本质上是沙特"数据主权"战略的立法确认，它对外筑起了一道合规的墙，但对提供墙内基础设施和合规工具的中国企业打开了一扇门。 需求由法律创造，供给有中企参与建设——这是出海叙事中少见的确定性增量。

七、风险提示

- 草案尚未落地：2025年版修订征求意见后并未最终实施，本轮草案中本地化条款的适用范围、"新兴技术"的定义等均可能在最终版中修改甚至删除，不宜按最严口径线性外推。

- 生效节奏快：若获批，官方公报发布后60日即生效，企业合规窗口期短，准备不足者将面临处罚风险。

- 地缘政治变量：沙特AI基建高度依赖美国芯片出口许可，中美技术竞争的反复可能扰动项目节奏；数据跨境也仍受多重法规叠加限制。

- 本地化不等于零摩擦：即便数据存入沙特境内，集团内跨境调取、远程运维访问仍可能构成"传输或披露"，触发登记与合规义务，架构改造的复杂度和成本不可低估。

- 警惕概念炒作：A股市场上"沙特数据中心概念"成色参差，需甄别相关公司是否有真实的订单与收入敞口，避免为情绪买单。

结语

从2021年立法到2024年全面执法，再到2026年这份"加码版"修订草案，沙特用五年时间走完了数据保护从纸面到獠牙的全程。数据本地化不是终点，而是沙特把"数据、算力、主权"三者绑定的关键一步——法律负责圈住数据，主权资本负责圈住算力，二者共同服务于"摆脱石油依赖"的国家叙事。

对中国投资者而言，与其把它看作又一道贸易壁垒，不如看清其本质：这是一个由立法创造需求、由主权资本创造供给的市场，而中国数字基建企业恰好站在供需两端的交叉点上。未来一个月（咨询期至11月5日）的条款博弈值得密切跟踪，尤其是本地化条款的适用范围——它将在很大程度上决定这场数字基建盛宴的"法定成色"。

---

参考资料

- Bird & Bird：Saudi Arabia: SDAIA returns with a revised draft of changes to the Data Protection Regulations — https://www.twobirds.com/en/insights/2026/japan/saudi-arabia-sdaia-returns-with-a-revised-draft-of-changes-to-the-data-protection-regulations

- Clyde & Co：The SDAIA publishes draft amendments to the Implementing Regulations of the PDPL — https://www.clydeco.com/en/insights/2026/10/sdaia-publishes-draft-amendments-to-the-pdpl

- Bird & Bird：Saudi Arabia: Public consultation on draft changes to the Data Protection Regulations（2025年首轮咨询解读） — https://www.twobirds.com/en/insights/2025/saudi-arabia-public-consultation-on-draft-changes-to-the-data-protection-regulations

- DLA Piper：Data protection laws in Saudi Arabia — https://www.dlapiperdataprotection.com/?c=SA

- Recording Law：Saudi Arabia Data Transfers and Localization — https://www.recordinglaw.com/world-laws/world-data-privacy-laws/saudi-arabia-data-privacy-laws/data-transfers-and-localization/

- NetGuardia：The UAE PDPL, KSA PDPL, and the Middle East Compliance Surge — https://netguardia.com/governance-risk/compliance/the-uae-pdpl-ksa-pdpl-and-the-middle-east-compliance-surge/

- Data Center Dynamics：Humain breaks ground two data centers — https://www.datacenterdynamics.com/en/news/humain-breaks-ground-two-data-centers-with-first-facilities-expected-to-go-live-in-q2-2026/

- Reuters：AMD, Cisco and Saudi's Humain launch AI joint venture — https://www.reuters.com/world/middle-east/amd-cisco-saudis-humain-launch-ai-joint-venture-land-first-major-customer-2025-11-19/

- Construction Week Saudi：PIF Unit Tenders 6GW Data Centre for Saudi AI Push — https://www.constructionweeksaudi.com/projects-tenders/humain-tenders-data-centre

- USETECH：AI Compute Capacity Planning in the GCC — https://usetech.com/blog/ai-compute-capacity-planning-in-the-gcc-a-board-level-decision/

- Research and Markets：Saudi Arabia Green Data Center Market — https://www.researchandmarkets.com/report/saudi-arabia-green-data-center-market

- OpenPR：Saudi Arabia Data Center Services Market Size To Exceed USD 6.6 Billion By 2034 — https://www.openpr.com/news/4386853/saudi-arabia-data-center-services-market-size-to-exceed-usd-6-6

- 微信公众号：中东AI迷雾里的中美棋局 — http://mp.weixin.qq.com/s?__biz=MzUxNTUyMjE4Mw==&mid=2247528510&idx=1&sn=d5bc2b05695aad8b9fcaf92fb9857da7

- 金融界：DeepSeek与沙特企业联手运营数据中心，这些公司在中东有相关业务布局 — https://stock.jrj.com.cn/2025/02/11090648067406.shtml

[Source]

本文系未央网专栏作者发表，属作者个人观点，不代表网站观点，未经许可严禁转载，违者必究！首图来自图虫创意。

本文为作者授权未央网发表，属作者个人观点，不代表网站观点，未经许可严禁转载，违者必究！首图来自图虫创意。

本文版权归原作者所有，如有侵权，请联系删除。首图来自图虫创意。