アラビアのデータ保存、ローカライズは必須？SA-PDPLの真実

データ保存の新常識：SA-PDPLが変えるルール

サウジアラビアで事業を行うなら、個人データの保存場所が突然の関心事に。2023年施行のSA-PDPL（個人データ保護法）は、データの越境移転に厳しい制限を課しています。しかし、すべてのデータを国内に置く「完全ローカライズ」が義務なのか？答えは「場合による」です。

越境移転の条件：同意だけじゃ足りない

SA-PDPL第29条は、個人データの国外移転を原則禁止。例外として、データ主体の明示的同意、または契約履行など限定的なケースのみ認められます。ただし、移転先の国が「適切な保護水準」を持つことが条件。この水準はSDAIA（サウジデータ・AI庁）が判断します。つまり、単に同意を得ればOKというわけではなく、移転先の法制度もクリアする必要があるのです。

ローカライズ義務の実態：クラウドは使える？

完全ローカライズは明文化されていませんが、実務上は国内保存が推奨されます。特に政府関連データや機密性の高い個人情報は、国外移転が事実上困難。クラウドサービスを利用する場合、サウジ国内のリージョン（例：AWSメッカリージョン）を選ぶのが無難です。ただし、移転が禁止されているわけではないので、適切な契約と同意手続きを踏めば、国外保存も可能です。

実務対応のポイント：コストとリスクのバランス

ローカライズを徹底すると、サーバー費用や運用コストが増加。一方、越境移転の手続きを怠ると、最大で罰金500万サウジ・リヤル（約2億円）のリスク。多くの企業は、重要データは国内、非重要データは国外とハイブリッド戦略を取っています。まずは自社のデータマッピングを実施し、どのデータがSA-PDPLの対象かを明確にしましょう。

FAQ