出海沙特 | 沙特拟修订《个人数据保护法实施条例》（下）

现行规定

征求意见稿

1. 控制者与目标接收人此前不存在互动的，应在发送广告或宣传材料前取得目标接收人的同意。

2. 就广告或宣传材料取得目标接收人同意，应符合以下条件：

a. 同意应自愿作出，不得以误导方式取得。

b. 应使目标接收人能够明确其同意接收的广告或宣传材料的相关选项。

c. 应以可供日后核验的方式记录目标接收人的同意。

3. 在不影响《电信和信息技术法》或其他相关法律的前提下，控制者使用通信方式发送广告或宣传材料，包括通过数据主体的邮政地址和电子地址发送前，应遵守以下要求：

a. 明确说明发送人的姓名或名称，不得隐瞒其身份。

b. 提供使数据主体能够在其希望时停止接收广告和宣传材料的机制，并确保停止接收的程序与取得接收同意的程序同样简便、容易。

c. 应目标接收人的请求，立即停止发送广告或宣传材料。

d. 停止接收广告或宣传材料应免费。

e. 保存目标接收人同意接收广告或宣传材料的实质性证据。

1. 控制者为发送促销或宣传材料而处理个人数据前，应遵守以下要求：

a. 取得预期接收人的同意。控制者与接收人存在既有关系的，应核实已按照法律及本条例的规定取得同意。

b. 应使目标接收人能够明确其同意接收的广告或宣传材料的相关选项。

c. 明确说明发送实体的名称，不得隐瞒其身份。

d. 提供适当方式，使数据主体能够随时停止接收此类促销或宣传材料，并确保退出程序简明、直接，且至少与取得接收同意的程序同样容易，或者更加容易。

e. 收到接收人的请求后，立即停止发送促销或宣传信息。

f. 确保退出接收促销或宣传材料不收取费用。

g. 保存预期接收人同意接收促销或宣传材料的证据。

现行规定

征求意见稿

1. 在不影响《电信和信息技术法》或其他相关法律的前提下，控制者为直接营销目的处理个人数据前，应遵守以下要求：

a. 按照本条例第11条的规定取得数据主体的同意。

b. 提供使数据主体能够在其希望时停止接收营销材料的机制，并确保停止接收的程序与取得接收该等材料同意的程序同样简便、容易。

2. 向数据主体发送直接营销材料时，应明确披露发送人的身份。

3. 数据主体撤回对直接营销目的的同意时，控制者应在无不当迟延的情况下停止发送营销材料。

1. 控制者为营销目的处理个人数据前，应遵守以下要求：

a. 按照本条例第11条的规定取得数据主体的同意。

b. 按照本条例第12条，提供使数据主体能够撤回同意的机制。

2. 数据主体撤回对为营销目的处理个人数据的同意时，控制者应在无不当迟延的情况下，停止此类处理并销毁由此产生的数据。

现行规定

征求意见稿

1. 存在下列任一情形的，控制者应任命一名或多名个人负责个人数据保护：

a. 控制者属于公共实体，且提供的服务涉及大规模个人数据处理。

b. 控制者的主要活动以依其性质需要定期、系统性监测数据主体的处理活动为基础。

c. 控制者的核心活动以处理敏感个人数据为基础。

2. 在遵守本条第1款要求的前提下，数据保护官可以由控制者的高管、员工或外部承包人担任。

3. 个人数据保护官负责监督法律及其配套法规的实施，监督控制者采用的程序，并依照法律及其配套法规接收与个人数据有关的请求。其具体职责包括：

a. 作为与主管机关直接联系的窗口，执行主管机关关于适用法律及其配套法规的决定和指示。

b. 监督影响评估程序及与个人数据保护要求有关的审计和管控报告，记录评估结果，并提出必要建议。

c. 使数据主体能够行使法律规定的权利。

d. 向主管机关通报个人数据泄露事件。

e. 依照法律及其配套法规回应数据主体请求，并处理其提出的投诉。

f. 监督并更新控制者的个人数据处理活动记录。

g. 处理控制者涉及个人数据的违法违规行为，并采取相应纠正措施。

4. 主管机关应制定数据保护官任命规则，其中应包括必须任命数据保护官的情形。

存在下列任一情形的，控制者应任命一名或多名个人负责个人数据保护：

a. 控制者属于公共实体，且提供的服务涉及个人数据处理。

b. 控制者的主要活动以依其性质需要大规模、定期、系统性监测数据主体的处理活动为基础。

c. 控制者的核心活动以处理敏感数据为基础。

1. 在遵守本条第1款要求的前提下，数据保护官可以由控制者的高管、员工或外部承包人担任。

2. 控制者应记录个人数据保护官的任命情况。

3. 根据本条例第34条，控制者在通过主管机关平台任命个人数据保护官时，应立即向主管机关提供其联系方式，并在每次更换个人数据保护官时更新该信息。

4. 个人数据保护官应监督法律及其配套法规的实施，监督控制者内部程序，并接收与法律规定权利有关的请求。其具体职责包括：

a. 作为与主管机关直接联系的窗口，执行主管机关关于适用法律及其配套法规的决定和指示。

b. 就法律及其配套法规的实施向控制者提供内部支持和咨询，并提高相关认识。

c. 核查是否已建立适当机制，使数据主体能够行使法律规定的权利。

d. 向主管机关通报个人数据泄露事件。

e. 依照法律及本条例回应数据主体请求，并处理其投诉。

f. 监督并更新控制者的个人数据处理活动记录。

g. 处理控制者涉及个人数据的违法违规行为，并采取相应纠正措施。

h. 监督影响评估程序及与个人数据保护管控措施有关的审计和审查报告，记录评估结果，并提出必要建议。

现行规定

征求意见稿

现行规定

征求意见稿

/（本条为新增条文，现行实施条例无对应条款）

现行规定

征求意见稿

1. 数据主体可以在相关事件发生之日或知悉事件之日起不超过90日内，向主管机关提出投诉。主管机关发现存在妨碍数据主体在规定期限内投诉的合理理由的，可以决定受理逾期投诉。

2. 主管机关应通过其采用的渠道接收投诉，并按照确保处理效率和质量的程序办理。

3. 主管机关应在专门设立的登记簿中记录所收到的投诉。

4. 投诉应包括以下信息：

a. 违法违规行为发生的地点和时间。

b. 投诉人的姓名、身份证明、地址及电话号码。

c. 被投诉实体的信息。

d. 对违法违规行为清晰、具体的说明，以及随投诉提供的证据和信息。

e. 主管机关规定的其他要求。

5. 主管机关应审查、研究投诉及其文件，并可在必要时联系投诉人，要求提供相关文件和信息。

6. 主管机关应就收到的投诉采取必要措施，并将处理结果告知投诉人。

1. 主管机关应通过其指定的渠道接收投诉，并按照确保及时、高质量处理的程序办理。

2. 主管机关应在专门设立的登记簿中记录所收到的投诉。

3. 投诉应包括以下信息：

a. 违法违规行为发生的地点和时间。

b. 投诉人或其代表的姓名、核实其身份所必需的信息，以及地址和联系方式。

c. 被投诉方的信息，包括其联系方式。

d. 对违法违规行为清晰、具体的说明，包括证据、相关信息及由此造成的任何损害。

e. 主管机关规定的其他要求。

4. 主管机关应审查、研究投诉及其文件，并可在必要时联系投诉人，要求提供相关文件和信息。

5. 投诉人应在主管机关规定的期限内，回应其关于投诉相关文件、记录和信息的请求。

6. 被投诉方应在本条例第36条（新增）规定的期限内，遵从主管机关的请求。

7. 主管机关应就收到的投诉采取必要措施，并将处理结果告知投诉人。

8. 主管机关可以披露依本条第3款取得的数据，但应限于实现目的所必需的最小范围。