Article 9 of the Saudi Personal Data Protection Law
المادة 9 من نظام حماية البيانات الشخصية
The article lets the controller set periods for exercising the right of access and restrict it in certain cases, and requires it not to allow the data subject access in the cases specified in Article 16.
Official text after amendments (Arabic)
Compiled from the original text and every officially published amendment; the amendments are shown in full below for comparison.
1- يجوز لجهة التحكم تحديد مدد لممارسة حق الوصول إلى البيانات الشخصية المقرر في الفقرة (2) من المادة (الرابعة) من النظام؛ وفق ما تحدده اللوائح. ويجوز كذلك لجهة التحكم تقييد هذا الحق في الأحوال الآتية:
أ- إذا كان ضرورياً لحماية صاحب البيانات الشخصية أو غيره من أي ضرر؛ وفق الأحكام التي تحددها اللوائح.
ب- إذا كانت جهة التحكم جهة عامة، وكان التقييد مطلوباً لأغراض أمنية أو لتنفيذ نظام آخر أو لاستيفاء مُتطلبات قضائية
2- يجب على جهة التحكم ألا تُمكِّن صاحب البيانات الشخصية من الوصول إليها متى تحقق أيٌ من الأحوال المنصوص عليها في الفقرات (1) و(2) و(3) و(4) و(5) و(6) من المادة (السادسة عشرة) من النظام.
This is the official Arabic wording, the only legally binding version. We do not translate the law itself; the explanation below is ours. Official source: Bureau of Experts at the Council of Ministers
Article 9 explained in plain English
This article sets the limits of the right of access to personal data provided in paragraph 2 of Article 4. This right is not absolute, but is regulated by three rules:
1- Setting periods for access: The controller may set periods for exercising the right of access, as the regulations specify.
2- Discretionary restriction: The controller may restrict this right in two cases:
- If the restriction is necessary to protect the data subject or others from any harm, under the provisions the regulations specify.
- If the controller is a public entity and the restriction is required for security purposes, to implement another law, or to meet judicial requirements.
3- Mandatory prohibition: The controller must not allow the data subject access to the data when any of the cases stated in paragraphs 1 to 6 of Article 16 of the law applies.
The difference is important: in the second case the entity may restrict, while in the third it must prevent. And the case concerning security purposes, implementing another law and judicial requirements is limited to public entities.
Paragraph 1 was amended by Royal Decree No. M/148 dated 5/9/1444 AH. Article 10 then deals with the rules for collecting data from its owner directly. If you believe the restriction on your access to your data is unjustified, you can consult a lawyer specialized in personal data protection and cybercrime.
Practical example
Fahd asked a public entity to view his data held by it, and the entity restricted part of his request because that was required to meet judicial requirements. This restriction is permitted to a public entity under the article. A private company cannot rely on this case, although it may restrict to protect the data subject or others from harm under the regulations.
Translated from our Arabic explanation with machine assistance. For guidance only; it does not replace advice from a lawyer on your situation.
How we write and review contentA question about Article 9 of Personal Data Protection Law?
Describe what happened and specialist lawyers answer. You can write in English.
- Completely free
- Lawyers from the directory answer
- Your name stays hidden
Administrative Law lawyers: ask a specialist about your case
Describe your situation briefly and we'll suggest a lawyer who specialises in this law
Administrative Law (Board of Grievances) lawyers
Lawyers who handle this kind of case
Dr. Ali Al-Rubaie Law Office and Ittihad Al-Asr Legal Company
Active contributor
Unwan Law Firm
Frequently asked questions about Article 9 of the Saudi Personal Data Protection Law
Can a company refuse to let me see my personal data?
It may restrict the right of access if necessary to protect you or others from harm under the regulations, and it must prevent access in the cases stated in paragraphs 1 to 6 of Article 16.
Can a particular time limit be set for requesting access to data?
Yes. The controller may set periods for exercising the right of access as the regulations specify.
When do government entities restrict access to data?
If the restriction is required for security purposes, to implement another law, or to meet judicial requirements.
Amendment history
Royal Decree No. M/148 — 5/9/1444 AH
Official amendment text (Arabic)
- عُدلت الفقرة (1) من هذه المادة وذلك بموجب المرسوم الملكي رقم (م/148) وتاريخ 1444/9/5هـ، لتكون بالنص الآتي:
" 1- يجوز لجهة التحكم تحديد مدد لممارسة حق الوصول إلى البيانات الشخصية المقرر في الفقرة (2) من المادة (الرابعة) من النظام؛ وفق ما تحدده اللوائح. ويجوز كذلك لجهة التحكم تقييد هذا الحق في الأحوال الآتية:
أ- إذا كان ضرورياً لحماية صاحب البيانات الشخصية أو غيره من أي ضرر؛ وفق الأحكام التي تحددها اللوائح.
ب- إذا كانت جهة التحكم جهة عامة، وكان التقييد مطلوباً لأغراض أمنية أو لتنفيذ نظام آخر أو لاستيفاء مُتطلبات قضائية ".
Original text before the amendments (Arabic)
1- يجوز لجهة التحكم تحديد مدد لممارسة حق الوصول إلى البيانات الشخصية المقرر في الفقرة (2) من المادة (الرابعة) من النظام، وتتولى الجهة المختصة تحديد المدة المناسبة لذلك. ويجوز كذلك لجهة التحكم تقييد هذا الحق في الأحوال الآتية:
أ- إذا كان ذلك ضروريًّا لحماية صاحب البيانات الشخصية أو غيره من أي ضرر؛ وفق الأحكام التي تحددها اللوائح.
ب- إذا كانت جهة التحكم جهة عامة، وكان التقييد مطلوباً لأغراض أمنية أو لتنفيذ نظام آخر أو لاستيفاء مُتطلبات قضائية.
2- يجب على جهة التحكم ألا تُمكِّن صاحب البيانات الشخصية من الوصول إليها متى تحقق أيٌ من الأحوال المنصوص عليها في الفقرات (1) و(2) و(3) و(4) و(5) و(6) من المادة (السادسة عشرة) من النظام.
Articles this article refers to
- Article 4Amended by M/148
The article gives the data subject five rights: to be informed, to access, to obtain a readable copy, to request correction, completion or updating, and to request destruction.
يكون لصاحب البيانات الشخصية -وفقاً للأحكام الواردة في النظام وما تحدده اللوائح- الحقوق الآتية: 1- الحق في العلم، ويشمل ذلك إحاطته علماً بالمسوغ النظامي لجمع بيا
- Article 16Amended by M/148
The article bars the controller from disclosing data in cases 1, 2, 5 and 6 of Article 15 whenever the disclosure has any of nine specified characteristics.
على جهة التحكم ألا تفصح عن البيانات الشخصية في الأحوال المنصوص عليها في الفقرات (1) و(2) و(5) و(6) من المادة الخامسة عشرة من النظام، متى اتصف الإفصاح بأيٍّ مما
More articles on Data Subject Rights
- Article 4Amended by M/148
The article gives the data subject five rights: to be informed, to access, to obtain a readable copy, to request correction, completion or updating, and to request destruction.
يكون لصاحب البيانات الشخصية -وفقاً للأحكام الواردة في النظام وما تحدده اللوائح- الحقوق الآتية: 1- الحق في العلم، ويشمل ذلك إحاطته علماً بالمسوغ النظامي لجمع بيا
- Article 5Amended by M/148
Personal data may not be processed, nor the purpose of processing changed, except with the data subject's consent, apart from cases the law provides, and the data subject may withdraw consent at any time.
1- فيما عدا الأحوال المنصوص عليها في النظام، لا تجوز معالجة البيانات الشخصية أو تغيير الغرض من معالجتها إلاَّ بعد موافقة صاحبها. وتُبين اللوائح شروط الموافقة، و
- Article 13Amended by M/148
When collecting data directly from its owner, the controller must inform them of seven elements, including the legal basis, the purpose, the identity of the collector and the entities to which the data will be disclosed.
على جهة التحكم، في حالة جمع البيانات الشخصية من صاحبها مباشرةً، اتخاذ الوسائل الكافية لإحاطته علماً بالعناصر الآتية عند جمع بياناته: 1- المسوغ النظامي لجمع بيان
- Article 17
If personal data is corrected, completed or updated, the controller must notify every entity to which the data was transferred of the change and make it available to it; the regulations set the periods and procedures.
1- إذا جرى تصحيح خطأ أو إكمال نقص أو إجراء تحديث في البيانات الشخصية، فعلى جهة التحكم أن تُشعر أي جهة أخرى انتقلت إليها تلك البيانات بأي تعديل يطرأ عليها، وأن ت
- Article 18Amended by M/148
The article requires the controller to destroy data without delay once its collection purpose ends, permits keeping it after removing what identifies its owner, and requires keeping it in two cases.
1- على جهة التحكم إتلاف البيانات الشخصية بعد انتهاء الغرض من جمعها دون تأخير. ومع ذلك، يجوز لها الاحتفاظ بتلك البيانات بعد انتهاء الغرض من جمعها إذا تمت إزالة ك
- Article 21
The article requires the controller to respond to the data subject's requests concerning their rights under the law within a specified period and by an appropriate means, which the regulations set.
على جهة التحكم الاستجابة لطلبات صاحب البيانات الشخصية المتعلقة بحقوقه المنصوص عليها في النظام خلال مدة محددة وعبر وسيلة مناسبة تبينهما اللوائح.
The texts are reproduced from the official website of the Bureau of Experts at the Council of Ministers for reference; where they differ, the officially published Arabic text prevails. This content is not legal advice.