走出去智庫（CGGT）觀察

近年以來，中國車企的出海方興未艾，從布局趨勢上看，中國車企出海業務的熱點區域正從傳統歐美市場，逐步擴散到中東、拉美、東南亞等新興區域。尤其是中東地區，隨著本地經濟體制的改革與創新，越發成為具有活力的經濟體，也逐漸成為中國車企出海的焦點地區。

走出去智庫（CGGT）特約法律專家、鴻鵠律師事務所（Bird & Bird）合伙人龔鈺推出中國車企出海合規系列文章，將對中東地區的出海熱點國家阿聯酋和沙特的數據合規法律框架進行整體的介紹，并對中國車企在出海阿聯酋和沙特的過程中，所關注的數據合規重點問題進行總結與分析，以期為中國車企出海中東提供關于開展數據合規工作的基本概覽。

今天，走出去智庫（CGGT）刊發系列文章之三《中國車企出海沙特：數據合規重難點問題概述》，供關注中東數據合規的讀者參閱。

要點

1、根據沙特《個人數據保護法》（PDPL）的規定，沙特阿拉伯境內進行的任何個人數據處理應遵守PDPL的要求，PDPL也同時適用于位于沙特阿拉伯境外的實體對居住在沙特阿拉伯境內個人的個人數據的處理。

2、根據PDPL及《跨境條例》的規定，沙特境內收集的個人數據僅能傳輸至有足夠的個人數據保護水平的國家或地區，該目的地的個人數據保護水平需至少與沙特齊平。

3、根據PDPL以及《執行條例》的要求，在收集個人數據之前，數據控制者需通過隱私政策的形式向數據主體告知關于個人數據收集的相關信息，包括但不限于收集目的、收集的數據類型、收集、處理、存儲以及銷毀數據的方式等。

正文

在本系列第二篇文章（）中，我們對中國車企目前開展出海業務的中東熱門國家阿聯酋的數據保護法律體系以及合規重難點問題做了相關介紹。本篇中，我們將對中東地區另一個出海熱門目的地——沙特阿拉伯的數據保護法律體系以及中國車企在當地開展業務可能需要關注的合規問題進行討論。

01

沙特數據保護法律最新發展

沙特阿拉伯于 2021 年 9 月頒布了首部個人數據保護法律《個人數據保護法》（“PDPL”），PDPL是沙特阿拉伯第一部國家層面的數據保護專門法，并已于 2023 年 9 月 14 日正式生效, 落入沙特PDPL管轄范圍的企業需要在 2024 年 9 月 14 日之前完成相關合規整改。此外，在PDPL生效后，與PDPL配套的《個人數據保護法執行條例》（以下簡稱“《執行條例》”）也由主管部門發布。有關PDPL的進一步詳細介紹，請見我們此前起草的本系列第一篇文章。

而在PDPL屆滿一周年之際，沙特阿拉伯數據與人工智能管理局（Saudi Data and Artificial Intelligence Authority, “SDAIA”）密集發布了一系列關于個人數據保護的實施細則和指南，以期進一步為當地企業落實PDPL的相關要求提供指引，涵蓋數據控制者的注冊、DPO的任命、個人數據跨境傳輸、隱私政策制定、必要性原則、匿名化等多個方面。這些新出臺的文件一方面解釋、細化了PDPL的規定，但另一方面仍遺留了一些待進一步解釋的問題。再加上目前沙特對于個人數據保護的執法仍處于初步階段，缺乏可參照的案例，如何在目前的不確定下落實PDPL項下的合規義務，從而有效規避被處罰的風險，仍是當下中國車企出海沙特所面臨的一大挑戰。

02

域外管轄效力

根據PDPL的規定，沙特阿拉伯境內進行的任何個人數據處理應遵守PDPL的要求，PDPL也同時適用于位于沙特阿拉伯境外的實體對居住在沙特阿拉伯境內個人的個人數據的處理。換言之，沙特PDPL具有域外管轄效力。若中國車企在當地并未設立實體，而是通過和當地經銷商合作的形式在沙特當地開展車輛銷售，或者以平行出口的形式將車輛出口至沙特，只要車企后續仍處理當地車主的個人數據（例如基于提供車機功能或者售后運維的目的處理個人數據），其還是會落入到PDPL的適用范圍中，從而需要遵守PDPL規定的相關義務。因此，在開展沙特當地的數據合規工作前，中國企業需要首先梳理PDPL對其各項數據處理活動的適用情況，包括厘清受域外管轄效力的各類數據處理活動，以防合規工作存在遺漏。

03

個人數據的跨境傳輸

跨境傳輸幾乎是所有在沙特展業的中國車企首要考慮的數據合規核心問題之一。在PDPL生效屆滿一周年之際，基于PDPL的整體框架，SDAIA發布了一系列的關于個人數據跨境傳輸的配套規定，包括《個人數據跨境傳輸實施條例》（Regulation on Personal Data Transfer Outside the Kingdom，以下簡稱“《跨境條例》”）、《具有約束力的公共規則（BCR）指南》（Guidelines for Binding Common Rules (BCR) for Personal Data Transfers）以及《個人數據跨境傳輸標準合同條款》（Standard Contractual Clauses for Personal Data Transfers）等，上述文件的發布進一步完善了目前沙特的數據跨境監管體系，也為企業實施相關的合規措施提供了行動指引。對于中國企業而言，在當地開展個人數據的跨境傳輸合規工作中，建議特別注意以下要點：

3.1 本地化要求

總體而言，沙特并無關于一般個人數據的本地化存儲要求，但個人數據的跨境傳輸需滿足一定的監管要求。

3.2 跨境傳輸的目的

根據PDPL及《跨境條例》的規定，個人數據的跨境傳輸需滿足至少一項特定的目的，其中，與中國企業在當地開展業務可能相關的目的包括“與個人數據主體作為一方的合同義務履行有關”、“數據控制者履行其集團總部管理的職能” 以及“能夠為個人數據主體提供服務或使其獲益”等目的，此外，任何個人數據的跨境傳輸需僅限于為實現相關目的而所需的最小數據的個人數據。

3.3 跨境傳輸的合規路徑

白名單

根據PDPL及《跨境條例》的規定，沙特境內收集的個人數據僅能傳輸至有足夠的個人數據保護水平的國家或地區，該目的地的個人數據保護水平需至少與沙特齊平。沙特的主管機關需在進行評估后發布上述國家或組織的名稱（以下簡稱“白名單”），但截至目前，白名單國家尚未發布。業界與學者普遍認為，歐盟大概率會出現在未來發布的白名單中，但中國是否在其中并不確定，這也導致部分中國企業考慮將沙特業務的數據存儲在位于歐盟的數據中心。

保障措施

對于將個人數據存儲至非白名單國家的情況，PDPL及《跨境條例》第4條的規定，可通過以下路徑對外傳輸個人數據，包括：

·標準合同條款(Standard Contractual Clauses, 以下簡稱“SCCs”), SDAIA已于2024年9月2日《個人數據跨境傳輸標準合同條款》，所有擬采取SCCs的路徑對外傳輸個人數據的企業需嚴格按照標準合同條款的模板補充相關內容，并完成簽署，不得隨意更改模板的形式和內容。標準合同條款很大程度上借鑒了歐盟標準合同條款的內容，基于跨境傳輸的不同場景分為四大模塊（控制者傳輸給控制者、控制者傳輸給處理者，處理者傳輸給控制者以及處理者傳輸給處理者）；

·具有約束力的公共規則（Binding Common Rules，以下簡稱“BCR”）, SDAIA于2024年9月2日發布了關于《具有約束力的公共規則（BCR）指南》，其適用與跨國公司集團內部的個人數據跨境傳輸，從地理范圍上來看，BCR應適用于位于沙特境內的數據控制者對境外任何國際或組織進行的個人數據傳輸。該指南提供了BCR的基本內容指引以及文件模板。此外，在當地監管部門的要求下，相關數據控制者需提交BCR至監管部門審核，該指南也提供了提交監管部門審核的文件模板。

·認證機制（Certificate of accreditation），該機制下，相關的跨境傳輸需經過官方制定機構的認證，但具體的認證主體、形式暫不明確，有待監管部門進一步發布相關的指導性文件。

3.4 《跨境條例》存在的爭議

如上文介紹，2024年9月1日發布的《跨境條例》第4條雖然明確了除白名單之外的三條合規路徑，但其表述卻存在一定的理解上的爭議。

根據《跨境條例》第4條的規定，企業可采用SCCs等三種路徑實現跨境傳輸，但在適用三條路徑時，應同時需遵守第4條第2項的“豁免情況”。

而第4條第2項規定，數據控制者在五類情況中，可豁免跨境傳輸的白名單或/和最小必要要求，但需遵守相關的適當保障措施要求。這五類情況中與企業相關的主要有B、C、D三類情形。關于這三種情形，原文的表述分別如下：

“如果傳輸或披露是非經常性或限期的，并且涉及的數據主體數量有限，控制者必須遵守標準合同條款。或者，需滿足傳輸或披露是向已獲得主管機關許可實體的批準證書的機構進行，并且數據不屬于敏感數據”（B項）

“如果個人數據的傳輸或披露是為了執行總部的管理，并且控制者是跨國實體集團的一部分，則控制者及其附屬機構必須遵守具有約束力的共同規則或標準合同條款，以確保符合法律和法規規定的要求。或者，接收個人數據的實體必須獲得主管機關許可機構頒發的批準證書。” （

C項

“如果傳輸或披露是為了直接向數據主體提供服務或利益，并且這種方式不會違反他們的期望或與他們的利益沖突，并且傳輸或披露是向已獲得主管機關授權機構頒發的批準證書的機構進行，前提是數據不屬于敏感數據。” （

D項

以上規定的爭議點或者說未表述清楚的問題在于：一是不確定《跨境條例》第4條是否指的是，企業只有在落入這三種情形時，才能適用跨境傳輸的三種路徑；至少從原文表述來看，其似乎表達的是這層意思；（2）很多企業的跨境傳輸場景都會落入D項的范圍，但D項只給了認證的選項，且要求相關數據不包括敏感數據；就實踐操作來看，如果落入D項的范圍，必需滿足境外接收方獲取授權機構頒發的批準證書的條件，實踐中可操作性極低，也使得本來構建的數據出境體系的意義大打折扣；（3）從上文來看，敏感數據似乎一般無法通過三種路徑傳輸至境外，這無疑也會對中國車企開展業務運營產生一定的阻礙。

3.5 中國車企的跨境傳輸合規建議

如上文所述，雖然SDAIA發布了一系列跨境傳輸的配套規定，但具體如果落實相關合規義務，仍有較多的不明朗之處。部分中國車企考慮將處理沙特境內收集的個人數據的數據中心設立在有極大可能落入白名單的歐盟境內，不失為一種規避風險的方式，但需注意的是，在白名單未公布之前，最為穩妥的方式還是先行簽署SCCs或制定BCR，其中SCCs相對而言是性價比更高的合規方式，雖然目前仍存在上述不確定的因素，但在相關法律已經生效的前提下，積極采取合規措施并形成書面記錄，是緩釋數據合規風險的最佳選擇。

04

合法性基礎

與其它國家或地區的個人數據保護法律類似，根據沙特PDPL的規定，處理個人數據需要遵守合法性基礎。原則上，數據控制者需要取得數據主體的同意來處理其個人數據，該同意需符合以下要求：（1）自由給予，不得通過誤導性方式獲得；（2）處理目的明確、具體，且應向數據主體取得同意之前向數據主體解釋和澄清；（3）同意應由具有完全法律能力的人給予；（4）同意應以能夠在未來被驗證的方式留存；以及（5）不同的處理目的需取得單獨的同意。此外，當處理涉及敏感數據、信用數據或者當僅基于自動化的方式處理個人數據而做出決定時，需取得數據主體的明確同意。此外，數據主體有權在任何時候撤回任何關于個人數據處理的同意，數據控制者需建議相關流程進行響應。

在以下場景中，數據控制者可豁免取得同意的要求，包括：（1）處理符合數據主體的實際利益，但與數據主體的溝通是不可能的或困難的；（2）處理是根據另一法律或履行數據主體作為一方的協議；（3）如果控制者是公共實體，并且處理是出于安全目的或滿足司法要求；以及（4）如果處理是為了控制者的合法利益，而不損害數據主體的權利和利益，并且不處理敏感數據。

基于以上要求我們認為，履行合同義務所必要可能是在沙特處理個人數據最為推薦的合法性基礎，尤其是是考慮到沙特對于同意取得的要求相對較高且授予了數據主體撤回同意的相關權利；此外，值得注意的是，與GDPR類似，根據《執行條例》的規定，若數據控制者選擇合法利益作為數據處理的合法性基礎，其需要對擬開展的數據處理活動及其可能對數據主體的權利利益造成的損害進行評估，并進行書面留證。

05

個人數據處理影響評估

根據PDPL和《執行條例》的規定，在特定情形下，數據控制者應進行個人數據處理影響評估，包括：（1）處理敏感數據；（2）收集、比較或關聯從不同來源獲得的兩個或多個個人數據集；（3）控制者的活動包括以下大規模和重復性的活動之一：處理缺乏完全或部分法律能力的人的個人數據；需要對數據主體進行持續監控的處理操作；基于新采用的技術處理個人數據；或基于自動化個人數據處理做出決策。 （4）提供涉及處理個人數據的產品或服務，這可能會對數據主體的隱私造成嚴重損害。在完成個人數據處理影響評估后，企業需以書面的形式形成相關評估內容與結果。

目前，SDAIA尚未進一步發布關于個人數據處理影響評估的模板。需注意的是，此前沙特的電信監管部門“通信、空間與技術委員會”有發布過關于電信領域的個人數據處理影響評估的模板。對于擬申請當地車聯網服務資質的企業而言，需基于該模板完成并提交影響評估。未來，沙特監管部門是否會基于PDPL及其《執行條例》的規定對各領域個人數據處理影響評估的模板做進一步的整合，尚待進一步觀察。

單就PDPL及其《執行條例》規定的觸發個人數據處理影響評估的情形來看，在沙特本地提供車聯網相關服務極有可能觸發個人數據處理影響評估的要求，基于我們的過往經驗，尤其是部分中高風險車機功能，可能需要在上市前完成相關評估。因此，中國企業應及時關注相關的立法進展，并結合法律要求，以適當的方式開展車機功能相關的個人數據處理影響評估工作。

06

其它中國車企值得關注的要求

除上述要點之外，根據沙特PDPL及其執行條例的規定，中國車企可能還需要關注以下要點：

（1） 告知義務

根據PDPL以及《執行條例》的要求，在收集個人數據之前，數據控制者需通過隱私政策的形式向數據主體告知關于個人數據收集的相關信息，包括但不限于收集目的、收集的數據類型、收集、處理、存儲以及銷毀數據的方式等。2024年9月3日，SDAIA發布了《隱私政策制定指南》（Elaboration and Developing Privacy Policy Guideline (EDPP Guideline)），進一步明確了隱私政策制定的相關要求。對于車企而言，按照當地的法律要求履行告知義務是數據合規工作的重點，應在官網、車機端以及APP等端口以適當的形式向顧客告知其個人數據處理的基本情況。

（2） 數據控制者注冊

SDAIA于2024年8月31日發布了《控制者注冊規定》，要求落入PDPL適用范圍的以下四類主體需要在官方指定的平臺上完成注冊：（1）控制者是公共實體；（2）控制者的主要活動是基于個人數據處理而進行；（3）控制者處理敏感數據；或（4）個人處理個人數據的目的超出個人或家庭使用的目的。基于上述標準，對于在當地提供車聯網服務的車企而言，大概率會落入到需要完成控制者注冊的范圍中，應按照《控制者注冊規定》中提供的指引完成相關注冊流程。

（3） 必要性原則

必要性原則一直以來也是中國車企海外車機功能落地合規的重點。如同其它數據保護法律一樣，PDPL要求企業在處理個人數據遵守必要性原則。個人數據的內容應適當并限于實現收集目的所需的最小量。一旦實現收集目的，應避免包含可能導致特定識別數據主體的內容。在此基礎上，SDAIA于2024年9月4日發布了《最小化個人數據確定指南》，對于如何實現個人數據處理的必要性原則給出了一系列的指引。雖然從內容上看，相關指引并未對汽車行業的數據處理實踐提出特別的指導性規定，但其中提到的原則性要求值得企業進行參考。

07

總結

隨著近年來的體制改革和經濟發展，沙特也成為了包括汽車行業在內的中國企業青睞的出海國家之一，和其它中東地區阿聯酋國家一樣，雖然其數據保護體系在立法層面上已基本建立，但仍有部分尚待完善和修正的地方；此外，在執法層面，其目前亦暫無明確的標準供企業在衡量風險時進行參考。這種不確定性對于企業開展數據合規工作而言既是挑戰，也是機遇。對于中國車企而言，先行開展合規調研，結合企業在當地的發展規劃，以適當的路徑積極開展合規工作，是避免數據合規處罰風險的最佳選項；此外，及時關注當地的立法與監管動態，提前做出正確的因應，而不是僅采取觀望態度，方能確保企業在數據合規工作方面一直位于正確的軌道上。

龔鈺律師團隊相關文章：

專家簡介

龔鈺

走出去智庫（CGGT）特約法律專家

鴻鵠律師事務所（Bird & Bird）合伙人

龔律師領導鴻鵠律師事務所中國的數據保護和網絡安全團隊。他在數據保護、網絡安全以及科技、媒體、電信相關的監管及交易方面經驗非常豐富。他曾為來自多個行業的中國和跨國客戶提供境內外法律服務，擅長解決行業相關的復雜法律問題。龔律師的觀點經常被媒體引用，并且作為業內認可的作者發表TMT及數據相關文章。

龔律師畢業于曼徹斯特大學，并獲得法學學士學位。他擁有中華人民共和國法律職業資格和美國紐約州律師執業資格。他還是國際隱私專業人員協會成員，持有CIPP/E、CIPP/US 和CIPM證書。

業界榮譽：

中國《商法》：

• 2024-25法律精英：律界精銳

• 2023-24法律精英：律界精銳

• 律師新星，2023

法律500強：

• 中國：數據保護、TMT（外資所）下一代合伙人，2025

• 中國：數據保護（外資所）新生代合伙人，2024

• 中國：TMT（外資所）新生代合伙人，2022，2024

• 中國：生命科學（外資所）高度推薦律師，2024

• 中國：公司法及并購（外資所）高度推薦律師，2024

• 2023中國法律大獎：提名年度新生代合伙人、TMT年度律師

《亞洲法律雜志》（ALB）：中國十五佳TMT律師，2022

Lexology CMA：TMT - 亞太地區影響力律師（2024Q1、2023 Q1Q2、2022 Q2Q4）

ALM Law.com: 提名年度數據隱私律師, 2024

執業經驗：

為蔚來汽車、小鵬汽車、吉利汽車、北汽福田、比亞迪、石基信息、菜鳥網絡、華為、千尋位置、邁瑞醫療、健世科技、小天才、Vivo、科大訊飛、中銀國際、中國農業銀行、美的、螞蟻金服等眾多企業就數據合規相關問題提供法律服務。

延展閱讀

▌地緣政治風險:

▌出口管制與制裁:

▌跨境數據監管:

▌全球科技競爭:

▌品牌聲譽管理:

走出去智庫《車企出海戰略洞察》系列，旨在幫助企業決策層，梳理監管趨勢，理解其背后的決策邏輯、政治邏輯和商業邏輯。本期涵蓋：智能座艙與全球數據監管、智能駕駛與全球人工智能監管、美歐數據與人工智能監管趨勢洞察等主題，從戰略、合規、公關等角度，為從業企業提出策略建議。