Article 13 of the Saudi Personal Data Protection Law
المادة 13 من نظام حماية البيانات الشخصية
When collecting data directly from its owner, the controller must inform them of seven elements, including the legal basis, the purpose, the identity of the collector and the entities to which the data will be disclosed.
Official text after amendments (Arabic)
Compiled from the original text and every officially published amendment; the amendments are shown in full below for comparison.
على جهة التحكم، في حالة جمع البيانات الشخصية من صاحبها مباشرةً، اتخاذ الوسائل الكافية لإحاطته علماً بالعناصر الآتية عند جمع بياناته:
1- المسوغ النظامي لجمع بياناته الشخصية
2- الغرض من جمع بياناته الشخصية، وما إذا كان جمعها كلها أو بعضها إلزاميًّا أم اختياريًّا، وإحاطته كذلك بأن بياناته لن تعالج لاحقاً بصورة تتنافى مع الغرض من جمعها أو في غير الأحوال المنصوص عليها في المادة (العاشرة) من النظام.
3- هوية من يجمع البيانات الشخصية وعنوان مرجعه عند الاقتضاء، ما لم يكن جمعها لأغراض أمنية.
4- الجهة أو الجهات التي سَيُجرى إفصاح البيانات الشخصية إليها، وصفتها، وما إذا كانت البيانات الشخصية ستنقل أو سيفصح عنها أو ستعالج خارج المملكة.
5- الآثار والأخطار المحتملة التي تترتب على عدم إتمام إجراء جمع البيانات الشخصية.
6- حقوقه المنصوص عليها في المادة (الرابعة) من النظام.
7- العناصر الأخرى التي تحددها اللوائح بحسب طبيعة النشاط الذي تمارسه جهة التحكم.
This is the official Arabic wording, the only legally binding version. We do not translate the law itself; the explanation below is ours. Official source: Bureau of Experts at the Council of Ministers
Article 13 explained in plain English
When the controller collects personal data directly from its owner, it must take adequate means to inform them, at the time of collection, of the following elements:
- The legal basis for collecting their data.
- The purpose of collection, whether collecting all or some of the data is mandatory or optional, and that their data will not later be processed in a manner inconsistent with the purpose of collection or other than in the cases stated in Article 10 of the law.
- The identity of whoever collects the data and the address of its point of contact where appropriate, unless the collection is for security purposes.
- The entity or entities to which the data will be disclosed and their capacity, and whether the data will be transferred, disclosed or processed outside the Kingdom.
- The potential effects and risks of not completing the data collection procedure.
- Their rights stated in Article 4 of the law.
- Other elements the regulations specify according to the nature of the controller's activity.
The aim is that a person knows, before providing their data, why it is requested, who requests it, where it will go, and what follows from declining to provide it. Note that notifying the identity of the collector and the address of its point of contact is not required if the collection is for security purposes.
The preamble of the article and its first paragraph were amended by Royal Decree No. M/148 dated 5/9/1444 AH. This article complements Article 12 on the privacy policy, and Article 14 then requires the controller to verify the accuracy, completeness and currency of data before processing it.
Practical example
Abdullah fills in an account-opening form at a real estate brokerage in Riyadh. At collection the company must tell him the legal basis and the purpose, which fields are mandatory and which optional, who is collecting his data, the entities it may be disclosed to, whether his data will be transferred outside the Kingdom, what follows if he does not complete the form, and his rights over his data.
Translated from our Arabic explanation with machine assistance. For guidance only; it does not replace advice from a lawyer on your situation.
How we write and review contentA question about Article 13 of Personal Data Protection Law?
Describe what happened and specialist lawyers answer. You can write in English.
- Completely free
- Lawyers from the directory answer
- Your name stays hidden
Cybercrime lawyers: ask a specialist about your case
Describe your situation briefly and we'll suggest a lawyer who specialises in this law
Cybercrime lawyers
Lawyers who handle this kind of case
Baker McKenzie
Frequently asked questions about Article 13 of the Saudi Personal Data Protection Law
What must a company tell me when it collects my data?
The legal basis, the purpose, whether the data is mandatory or optional, the identity of the collector, the entities the data will be disclosed to, any transfer outside the Kingdom, the effect of not completing collection, and your rights in Article 4.
Must I be told if my data will be transferred outside Saudi Arabia?
Yes. One of the elements you must be informed of is whether your data will be transferred, disclosed or processed outside the Kingdom.
Is an entity always required to reveal its identity when collecting data?
It is required to, with the address of its point of contact where appropriate, unless the collection is for security purposes.
Amendment history
Royal Decree No. M/148 — 5/9/1444 AH
Official amendment text (Arabic)
- عُدلت هذه المادة وذلك بموجب المرسوم الملكي رقم (م/148) وتاريخ 1444/9/5هـ، وذلك على النحو الآتي:
أ- تعديل ديباجة المادة، لتكون بالنص الآتي: " على جهة التحكم، في حالة جمع البيانات الشخصية من صاحبها مباشرةً، اتخاذ الوسائل الكافية لإحاطته علماً بالعناصر الآتية عند جمع بياناته:...."
ب- تعديل الفقرة (1)، لتكون بالنص الآتي: "1- المسوغ النظامي لجمع بياناته الشخصية".
Original text before the amendments (Arabic)
على جهة التحكم، في حالة جمع البيانات الشخصية من صاحبها مباشرةً، اتخاذ الوسائل الكافية لإحاطته علماً بالعناصر الآتية قبل البدء في جمع بياناته:
1- المسوغ النظامي أو العملي المعتبر لجمع بياناته الشخصية.
2- الغرض من جمع بياناته الشخصية، وما إذا كان جمعها كلها أو بعضها إلزاميًّا أم اختياريًّا، وإحاطته كذلك بأن بياناته لن تعالج لاحقاً بصورة تتنافى مع الغرض من جمعها أو في غير الأحوال المنصوص عليها في المادة (العاشرة) من النظام.
3- هوية من يجمع البيانات الشخصية وعنوان مرجعه عند الاقتضاء، ما لم يكن جمعها لأغراض أمنية.
4- الجهة أو الجهات التي سَيُجرى إفصاح البيانات الشخصية إليها، وصفتها، وما إذا كانت البيانات الشخصية ستنقل أو سيفصح عنها أو ستعالج خارج المملكة.
5- الآثار والأخطار المحتملة التي تترتب على عدم إتمام إجراء جمع البيانات الشخصية.
6- حقوقه المنصوص عليها في المادة (الرابعة) من النظام.
7- العناصر الأخرى التي تحددها اللوائح بحسب طبيعة النشاط الذي تمارسه جهة التحكم.
Articles this article refers to
- Article 4Amended by M/148
The article gives the data subject five rights: to be informed, to access, to obtain a readable copy, to request correction, completion or updating, and to request destruction.
يكون لصاحب البيانات الشخصية -وفقاً للأحكام الواردة في النظام وما تحدده اللوائح- الحقوق الآتية: 1- الحق في العلم، ويشمل ذلك إحاطته علماً بالمسوغ النظامي لجمع بيا
- Article 10Amended by M/148
The rule is that personal data is collected from its owner directly and processed for the purpose it was collected for, with seven cases in which it may be collected from others or processed for another purpose.
لا يجوز لجهة التحكم جمع البيانات الشخصية إلا من صاحبها مباشرةً، ولا تجوز مُعالجة تلك البيانات إلا لتحقيق الغرض الذي جُمعت من أجله. ومع ذلك، يجوز لجهة التحكم جمع
More articles on Controller's Obligations
- Article 8Amended by M/148
The article requires the controller to choose a processor that provides the guarantees needed to implement the law and regulations and to verify its compliance, without prejudice to the controller's responsibilities.
مع مراعاة ما ينص عليه النظام واللوائح في شأن الإفصاح عن البيانات الشخصية، على جهة التحكم عند اختيارها جهة المعالجة أن تلتزم باختيار الجهة التي توفر الضمانات الل
- Article 10Amended by M/148
The rule is that personal data is collected from its owner directly and processed for the purpose it was collected for, with seven cases in which it may be collected from others or processed for another purpose.
لا يجوز لجهة التحكم جمع البيانات الشخصية إلا من صاحبها مباشرةً، ولا تجوز مُعالجة تلك البيانات إلا لتحقيق الغرض الذي جُمعت من أجله. ومع ذلك، يجوز لجهة التحكم جمع
- Article 11Amended by M/148
The article requires that the purpose of collecting data be linked to the controller's purposes, that the means be lawful, clear and secure, and that the content be limited to the minimum necessary.
1- يجب أن يكون الغرض من جمع البيانات الشخصية ذا علاقة مُباشرة بأغراض جهة التحكم، وألاَّ يتعارض مع أي حكم مقرر نظاماً. 2- يجب ألاَّ تتعارض طُرق جمع البيانات الشخ
- Article 12Amended by M/148
The article requires the controller to adopt a privacy policy made available to data subjects when their data is collected, and sets the elements it must include.
على جهة التحكم أن تعتمد سياسة للخصوصية، وأن تجعلها متاحة لأصحاب البيانات الشخصية ليطلعوا عليها عند جمع بياناتهم. على أن تشتمل تلك السياسة على تحديد الغرض من جمع
- Article 14
The controller may not process personal data without adequate steps to verify its accuracy, completeness, currency and relation to the purpose for which it was collected.
لا يجوز لجهة التحكم أن تعالج البيانات الشخصية دون اتخاذ خطوات كافية للتحقق من دقتها واكتمالها وحداثتها وارتباطها بالغرض الذي جُمعت من أجله وفقاً لأحكام النظام.
- Article 15Amended by M/148
The article bars the controller from disclosing personal data except in six specified cases, and refers the provisions for cases 2 to 6 to the regulations.
لا يجوز لجهة التحكم الإفصاح عن البيانات الشخصية إلا في الأحوال الآتية: 1- إذا وافق صاحب البيانات الشخصية على الإفصاح وفقاً لأحكام النظام. 2- إذا كانت البيانات ا
The texts are reproduced from the official website of the Bureau of Experts at the Council of Ministers for reference; where they differ, the officially published Arabic text prevails. This content is not legal advice.