Article 4 of the Saudi Personal Data Protection Law
المادة 4 من نظام حماية البيانات الشخصية
The article gives the data subject five rights: to be informed, to access, to obtain a readable copy, to request correction, completion or updating, and to request destruction.
Official text after amendments (Arabic)
Compiled from the original text and every officially published amendment; the amendments are shown in full below for comparison.
يكون لصاحب البيانات الشخصية -وفقاً للأحكام الواردة في النظام وما تحدده اللوائح- الحقوق الآتية:
1- الحق في العلم، ويشمل ذلك إحاطته علماً بالمسوغ النظامي لجمع بياناته الشخصية والغرض من جمعها.
2- الحق في وصوله إلى بياناته الشخصية المتوافرة لدى جهة التحكم، وفق الضوابط والإجراءات التي تحددها اللوائح، ودون إخلال بما ورد في المادة (التاسعة) من النظام.
3- الحق في طلب الحصول على بياناته الشخصية المتوافرة لدى جهة التحكم بصيغة مقروءة وواضحة، وفق الضوابط والإجراءات التي تحددها اللوائح.
4- الحق في طلب تصحيح بياناته الشخصية المتوافرة لدى جهة التحكم، أو إتمامها، أو تحديثها.
5- الحق في طلب إتلاف بياناته الشخصية المتوافرة لدى جهة التحكم مما انتهت الحاجة إليه منها، وذلك دون إخلال بما تقضي به المادة (الثامنة عشرة) من النظام.
This is the official Arabic wording, the only legally binding version. We do not translate the law itself; the explanation below is ours. Official source: Bureau of Experts at the Council of Ministers
Article 4 explained in plain English
This article is the basis of the individual's rights over their personal data held by the controller (the entity that collects their data and decides how it is processed). These rights are exercised in accordance with the provisions of the law and what the regulations specify:
- Right to be informed: To be told the legal basis for collecting their data and the purpose of collecting it.
- Right of access: To access their data held by the controller, according to the rules and procedures the regulations specify, without prejudice to what is stated in Article 9 of the law.
- Right to obtain the data: To request their data in a readable and clear form, as the regulations specify.
- Right to correction: To request correction, completion or updating of their data.
- Right to destruction: To request destruction of the data of theirs that is no longer needed, without prejudice to what Article 18 of the law provides.
The right of access is limited by what Article 9 states, and the right of destruction by what Article 18 provides, so a request does not mean the entity is obliged to respond in every case. The article also referred the details of the procedures to the regulations.
This article was amended by Royal Decree No. M/148 dated 5/9/1444 AH, and the text shown is the one in force. Article 3 confirms that these rights do not reduce any broader right provided by another law, while Article 5 deals with the data subject's consent to processing and their right to withdraw it. If your request is refused or delayed, you can consult a lawyer specialized in personal data protection and cybercrime.
Practical example
Sarah was a member of a gym in Jeddah and canceled her membership. She is entitled to know why the gym collected her data, to request a clear copy of it, to correct her old mobile number, and to request destruction of the data of hers that is no longer needed, subject to the restrictions the law places on that.
Translated from our Arabic explanation with machine assistance. For guidance only; it does not replace advice from a lawyer on your situation.
How we write and review contentA question about Article 4 of Personal Data Protection Law?
Describe what happened and specialist lawyers answer. You can write in English.
- Completely free
- Lawyers from the directory answer
- Your name stays hidden
Civil Litigation & Compensation lawyers: ask a specialist about your case
Describe your situation briefly and we'll suggest a lawyer who specialises in this law
Civil Litigation & Compensation lawyers
Lawyers who handle this kind of case
Dr. Ali Al-Rubaie Law Office and Ittihad Al-Asr Legal Company
Active contributor
Unwan Law Firm
Frequently asked questions about Article 4 of the Saudi Personal Data Protection Law
Can I ask a company for a copy of my personal data?
Yes. The article gives the data subject the right to request their data held by the controller in a readable and clear form, according to the rules the regulations specify.
Can I ask for my personal data to be deleted?
You may request destruction of the data of yours that is no longer needed, without prejudice to what Article 18 of the law provides.
Do I have the right to correct my wrong data?
Yes. You may request correction, completion or updating of your data held by the controller.
Amendment history
Royal Decree No. M/148 — 5/9/1444 AH
Official amendment text (Arabic)
- عُدلت هذه المادة وذلك بموجب المرسوم الملكي رقم (م/148) وتاريخ 1444/9/5هـ، لتكون بالنص الآتي: "يكون لصاحب البيانات الشخصية -وفقاً للأحكام الواردة في النظام وما تحدده اللوائح- الحقوق الآتية:
1- الحق في العلم، ويشمل ذلك إحاطته علماً بالمسوغ النظامي لجمع بياناته الشخصية والغرض من جمعها.
2- الحق في وصوله إلى بياناته الشخصية المتوافرة لدى جهة التحكم، وفق الضوابط والإجراءات التي تحددها اللوائح، ودون إخلال بما ورد في المادة (التاسعة) من النظام.
3- الحق في طلب الحصول على بياناته الشخصية المتوافرة لدى جهة التحكم بصيغة مقروءة وواضحة، وفق الضوابط والإجراءات التي تحددها اللوائح.
4- الحق في طلب تصحيح بياناته الشخصية المتوافرة لدى جهة التحكم، أو إتمامها، أو تحديثها.
5- الحق في طلب إتلاف بياناته الشخصية المتوافرة لدى جهة التحكم مما انتهت الحاجة إليه منها، وذلك دون إخلال بما تقضي به المادة (الثامنة عشرة) من النظام."
Original text before the amendments (Arabic)
يكون لصاحب البيانات الشخصية -وفقاً للأحكام الواردة في النظام- الحقوق الآتية:
1- الحق في العلم، ويشمل ذلك إحاطته علماً بالمسوغ النظامي أو العملي المعتبر لجمع بياناته الشخصية، والغرض من ذلك، وألاَّ تعالج بياناته لاحقاً بصورة تتنافى مع الغرض من جمعها أو في غير الأحوال المنصوص عليها في المادة (العاشرة) من النظام.
2- الحق في وصوله إلى بياناته الشخصية المتوافرة لدى جهة التحكم، ويشمل ذلك الاطلاع عليها، والحصول على نسخة منها بصيغة واضحة ومطابقة لمضمون السجلات وبلا مقابل مادي -وفقاً لما تحدده اللوائح- وذلك دون إخلال بما يقضي به نظام المعلومات الائتمانية فيما يخص المقابل المالي، ودون إخلال بما تقضي به المادة (التاسعة) من النظام.
3- الحق في طلب تصحيح بياناته الشخصية المتوافرة لدى جهة التحكم، أو إتمامها، أو تحديثها.
4- الحق في طلب إتلاف بياناته الشخصية المتوافرة لدى جهة التحكم مما انتهت الحاجة إليه منها، وذلك دون إخلال بما تقضي به المادة (الثامنة عشرة) من النظام.
5- الحقوق الأخرى المنصوص عليها في النظام، التي تُبينها اللوائح.
Articles this article refers to
- Article 9Amended by M/148
The article lets the controller set periods for exercising the right of access and restrict it in certain cases, and requires it not to allow the data subject access in the cases specified in Article 16.
1- يجوز لجهة التحكم تحديد مدد لممارسة حق الوصول إلى البيانات الشخصية المقرر في الفقرة (2) من المادة (الرابعة) من النظام؛ وفق ما تحدده اللوائح. ويجوز كذلك لجهة ا
- Article 18Amended by M/148
The article requires the controller to destroy data without delay once its collection purpose ends, permits keeping it after removing what identifies its owner, and requires keeping it in two cases.
1- على جهة التحكم إتلاف البيانات الشخصية بعد انتهاء الغرض من جمعها دون تأخير. ومع ذلك، يجوز لها الاحتفاظ بتلك البيانات بعد انتهاء الغرض من جمعها إذا تمت إزالة ك
More articles on Data Subject Rights
- Article 5Amended by M/148
Personal data may not be processed, nor the purpose of processing changed, except with the data subject's consent, apart from cases the law provides, and the data subject may withdraw consent at any time.
1- فيما عدا الأحوال المنصوص عليها في النظام، لا تجوز معالجة البيانات الشخصية أو تغيير الغرض من معالجتها إلاَّ بعد موافقة صاحبها. وتُبين اللوائح شروط الموافقة، و
- Article 9Amended by M/148
The article lets the controller set periods for exercising the right of access and restrict it in certain cases, and requires it not to allow the data subject access in the cases specified in Article 16.
1- يجوز لجهة التحكم تحديد مدد لممارسة حق الوصول إلى البيانات الشخصية المقرر في الفقرة (2) من المادة (الرابعة) من النظام؛ وفق ما تحدده اللوائح. ويجوز كذلك لجهة ا
- Article 13Amended by M/148
When collecting data directly from its owner, the controller must inform them of seven elements, including the legal basis, the purpose, the identity of the collector and the entities to which the data will be disclosed.
على جهة التحكم، في حالة جمع البيانات الشخصية من صاحبها مباشرةً، اتخاذ الوسائل الكافية لإحاطته علماً بالعناصر الآتية عند جمع بياناته: 1- المسوغ النظامي لجمع بيان
- Article 17
If personal data is corrected, completed or updated, the controller must notify every entity to which the data was transferred of the change and make it available to it; the regulations set the periods and procedures.
1- إذا جرى تصحيح خطأ أو إكمال نقص أو إجراء تحديث في البيانات الشخصية، فعلى جهة التحكم أن تُشعر أي جهة أخرى انتقلت إليها تلك البيانات بأي تعديل يطرأ عليها، وأن ت
- Article 18Amended by M/148
The article requires the controller to destroy data without delay once its collection purpose ends, permits keeping it after removing what identifies its owner, and requires keeping it in two cases.
1- على جهة التحكم إتلاف البيانات الشخصية بعد انتهاء الغرض من جمعها دون تأخير. ومع ذلك، يجوز لها الاحتفاظ بتلك البيانات بعد انتهاء الغرض من جمعها إذا تمت إزالة ك
- Article 21
The article requires the controller to respond to the data subject's requests concerning their rights under the law within a specified period and by an appropriate means, which the regulations set.
على جهة التحكم الاستجابة لطلبات صاحب البيانات الشخصية المتعلقة بحقوقه المنصوص عليها في النظام خلال مدة محددة وعبر وسيلة مناسبة تبينهما اللوائح.
The texts are reproduced from the official website of the Bureau of Experts at the Council of Ministers for reference; where they differ, the officially published Arabic text prevails. This content is not legal advice.