Article 8 of the Saudi Personal Data Protection Law
المادة 8 من نظام حماية البيانات الشخصية
The article requires the controller to choose a processor that provides the guarantees needed to implement the law and regulations and to verify its compliance, without prejudice to the controller's responsibilities.
Official text after amendments (Arabic)
Compiled from the original text and every officially published amendment; the amendments are shown in full below for comparison.
مع مراعاة ما ينص عليه النظام واللوائح في شأن الإفصاح عن البيانات الشخصية، على جهة التحكم عند اختيارها جهة المعالجة أن تلتزم باختيار الجهة التي توفر الضمانات اللازمة لتنفيذ أحكام النظام واللوائح، وعليها التحقق من التزام تلك الجهة بأحكام النظام واللوائح، ولا يخل ذلك بمسؤولياتها تجاه صاحب البيانات الشخصية أو الجهة المختصة بحسب الأحوال. وتحدد اللوائح الأحكام اللازمة لذلك، على أن تشتمل على الأحكام المتعلقة بأي تعاقدات لاحقة تقوم بها جهة المعالجة
This is the official Arabic wording, the only legally binding version. We do not translate the law itself; the explanation below is ours. Official source: Bureau of Experts at the Council of Ministers
Article 8 explained in plain English
Many entities do not process data themselves but use another entity (the processor), such as a technology service provider or an operating company. This article sets the rules of this relationship, subject to what the law and regulations provide on disclosing personal data:
- Careful choice: The controller must choose a processor that provides the guarantees needed to implement the provisions of the law and regulations.
- Verification: The controller must verify that the processor complies with the provisions of the law and regulations.
- Responsibility remains: This does not prejudice the controller's responsibilities toward the data subject or the competent authority, as the case may be; using a processor does not transfer responsibility away from it.
- The regulations: The regulations specify the necessary provisions for this, including the provisions on any subsequent contracting by the processor, that is, if the processor in turn contracts with another party.
This article was amended by Royal Decree No. M/148 dated 5/9/1444 AH, and the text shown is the one in force. The article itself does not specify the form of the guarantees or the terms of the contract, but leaves their details to the regulations.
When contracting with service providers, companies are advised to review the contracts with a lawyer specialized in personal data protection and cybercrime, or a commercial lawyer, to make sure they comply with the law and regulations.
Practical example
A retail company in Riyadh contracts with a cloud service provider to store its customers' data. It must choose a provider that gives the guarantees needed to implement the law, and verify its compliance. If something goes wrong, the company remains responsible to its customers and the competent authority, as the case may be, and cannot argue that the provider is the one processing the data.
Translated from our Arabic explanation with machine assistance. For guidance only; it does not replace advice from a lawyer on your situation.
How we write and review contentA question about Article 8 of Personal Data Protection Law?
Describe what happened and specialist lawyers answer. You can write in English.
- Completely free
- Lawyers from the directory answer
- Your name stays hidden
Commercial & Corporate Law lawyers: ask a specialist about your case
Describe your situation briefly and we'll suggest a lawyer who specialises in this law
Commercial & Corporate Law lawyers
Lawyers who handle this kind of case
شركة امتداد النظام للمحاماة والاستشارات المهنية
- Labour & Employment Law
- Criminal Law
- Criminal Law
- Commercial & Corporate Law
Frequently asked questions about Article 8 of the Saudi Personal Data Protection Law
Is the company still responsible if its service provider processed my data?
Yes. The article provides that choosing a processor does not prejudice the controller's responsibilities toward the data subject or the competent authority, as the case may be.
What must a company do when choosing a data processor?
It must choose an entity that provides the guarantees needed to implement the provisions of the law and regulations, and verify that it complies with them.
Does the article regulate the processor contracting with other parties?
The article refers to the regulations to specify the necessary provisions, which include the provisions on any subsequent contracting by the processor.
Amendment history
Royal Decree No. M/148 — 5/9/1444 AH
Official amendment text (Arabic)
- عُدلت هذه المادة وذلك بموجب المرسوم الملكي رقم (م/148) وتاريخ 1444/9/5هـ، لتكون بالنص الآتي: "مع مراعاة ما ينص عليه النظام واللوائح في شأن الإفصاح عن البيانات الشخصية، على جهة التحكم عند اختيارها جهة المعالجة أن تلتزم باختيار الجهة التي توفر الضمانات اللازمة لتنفيذ أحكام النظام واللوائح، وعليها التحقق من التزام تلك الجهة بأحكام النظام واللوائح، ولا يخل ذلك بمسؤولياتها تجاه صاحب البيانات الشخصية أو الجهة المختصة بحسب الأحوال. وتحدد اللوائح الأحكام اللازمة لذلك، على أن تشتمل على الأحكام المتعلقة بأي تعاقدات لاحقة تقوم بها جهة المعالجة".
Original text before the amendments (Arabic)
مع مراعاة ما ينص عليه النظام واللوائح في شأن الإفصاح عن البيانات الشخصية، على جهة التحكم عند اختيارها جهة المعالجة أن تلتزم باختيار الجهة التي توفر الضمانات اللازمة لتنفيذ أحكام النظام واللوائح، وعليها التحقق بصفة مستمرة من التزام تلك الجهة بالتعليمات التي توجهها إليها في جميع ما يتعلق بحماية البيانات الشخصية بما لا يتعارض مع أحكام النظام واللوائح، ولا يخل ذلك بمسؤولياتها تجاه صاحب البيانات الشخصية أو الجهة المختصة بحسب الأحوال. وتحدد اللوائح الأحكام اللازمة لذلك، على أن تشتمل على الأحكام المتعلقة بأي تعاقدات لاحقة تقوم بها جهة المعالجة.
More articles on Controller's Obligations
- Article 10Amended by M/148
The rule is that personal data is collected from its owner directly and processed for the purpose it was collected for, with seven cases in which it may be collected from others or processed for another purpose.
لا يجوز لجهة التحكم جمع البيانات الشخصية إلا من صاحبها مباشرةً، ولا تجوز مُعالجة تلك البيانات إلا لتحقيق الغرض الذي جُمعت من أجله. ومع ذلك، يجوز لجهة التحكم جمع
- Article 11Amended by M/148
The article requires that the purpose of collecting data be linked to the controller's purposes, that the means be lawful, clear and secure, and that the content be limited to the minimum necessary.
1- يجب أن يكون الغرض من جمع البيانات الشخصية ذا علاقة مُباشرة بأغراض جهة التحكم، وألاَّ يتعارض مع أي حكم مقرر نظاماً. 2- يجب ألاَّ تتعارض طُرق جمع البيانات الشخ
- Article 12Amended by M/148
The article requires the controller to adopt a privacy policy made available to data subjects when their data is collected, and sets the elements it must include.
على جهة التحكم أن تعتمد سياسة للخصوصية، وأن تجعلها متاحة لأصحاب البيانات الشخصية ليطلعوا عليها عند جمع بياناتهم. على أن تشتمل تلك السياسة على تحديد الغرض من جمع
- Article 13Amended by M/148
When collecting data directly from its owner, the controller must inform them of seven elements, including the legal basis, the purpose, the identity of the collector and the entities to which the data will be disclosed.
على جهة التحكم، في حالة جمع البيانات الشخصية من صاحبها مباشرةً، اتخاذ الوسائل الكافية لإحاطته علماً بالعناصر الآتية عند جمع بياناته: 1- المسوغ النظامي لجمع بيان
- Article 14
The controller may not process personal data without adequate steps to verify its accuracy, completeness, currency and relation to the purpose for which it was collected.
لا يجوز لجهة التحكم أن تعالج البيانات الشخصية دون اتخاذ خطوات كافية للتحقق من دقتها واكتمالها وحداثتها وارتباطها بالغرض الذي جُمعت من أجله وفقاً لأحكام النظام.
- Article 15Amended by M/148
The article bars the controller from disclosing personal data except in six specified cases, and refers the provisions for cases 2 to 6 to the regulations.
لا يجوز لجهة التحكم الإفصاح عن البيانات الشخصية إلا في الأحوال الآتية: 1- إذا وافق صاحب البيانات الشخصية على الإفصاح وفقاً لأحكام النظام. 2- إذا كانت البيانات ا
The texts are reproduced from the official website of the Bureau of Experts at the Council of Ministers for reference; where they differ, the officially published Arabic text prevails. This content is not legal advice.