中国企业出海沙特阿拉伯：新投资法备案制改革落地、PDPL数据保护执法升级与ZATCA电子发票分阶段强制推行的合规实务要点

引言：沙特投资环境的新拐点

沙特“2030愿景”持续推进，外商投资准入、数据保护与税务合规三大领域正在经历系统性变革。2025年新《投资法》正式将沿用十余年的审批制转为注册备案制，PDPL实施条例草案进一步强化了数据本地化与执法刚性，ZATCA电子发票第二阶段门槛持续下调，覆盖范围不断扩大。对于计划出海沙特的中国企业而言，及时掌握这些法规变化至关重要。

一、外资准入：新《投资法》备案制改革与负面清单

沙特新《投资法》于2025年正式实施，核心变化在于将外商投资许可由审批制转为注册备案制。外国投资者仅需在开展投资活动前向沙特投资部（MISA）完成注册，获得注册完成通知后即可办理商业登记证。审批时间从过去的数周缩短至平均2至3个工作日，部分申请甚至可走绿色通道在24小时内完成。2026年沙特政府还暂停征收MISA许可签发费和续期费，进一步降低了外资设立成本。

新法同时大幅拓展了外资可进入的行业范围，明确将数字经济、人工智能、区块链等新兴领域纳入外资可投资范畴，仅保留军事工业、安全服务和核心油气勘探等关键领域的保护性禁入措施。值得注意的是，对于负面清单上的限制类或禁止类投资活动，投资者仍需事先向MISA申请批准。此外，新法还拓宽了外商投资者的争议解决渠道，允许通过仲裁、调解和和解等替代性方式解决投资争议。

二、PDPL数据保护：实施条例强化执法与境内存储要求

沙特《个人数据保护法》（PDPL）自2023年全面生效以来，监管机构SDAIA正通过实施条例草案进一步收紧合规要求。草案明确提出个人数据须在沙特境内存储，这一要求从此前由SDAIA另行发布的规则上升为实施条例正文条款，法律位阶和执行刚性显著提升。对于外资企业而言，这意味着在沙特处理个人数据必须依赖本地数据中心或云服务，跨境数据传输须满足额外条件。

在执法层面，PDPL第36条规定，对于一般性违规可处以警告或不超过500万里亚尔的罚款，累犯可加倍处罚；涉及敏感数据的违规依据第35条将面临更重处罚。实施条例草案还扩大了数据保护影响评估（DPIA）的触发范围，对处理未成年人数据、大规模处理、使用新兴技术及产生自动化决策的场景均要求事前评估。企业须在20个工作日内答复SDAIA的问询，数据主体请求30天内未获答复即视为拒绝，个人可据此投诉。此外，隐私政策须使用清晰简明的语言且与企业惯常服务语言一致，实操中多数外资企业需提供阿拉伯语版本。

三、ZATCA电子发票：第二阶段门槛持续下调

沙特电子发票制度分两个阶段推进。第一阶段（生成阶段）自2021年12月4日起强制要求所有增值税注册企业停止使用手写或文本编辑发票，改为采用技术方案生成包含QR码等必要字段的电子发票。第二阶段（集成阶段）则要求企业将电子发票系统与ZATCA的Fatoora平台对接，实现发票实时清关。

第二阶段以波浪式推进，门槛逐波下调。2026年第23波已覆盖年增值税应税收入超过75万里亚尔的企业，第24波进一步降至37.5万里亚尔，大量中小企业被纳入强制清关范围。ZATCA已于2026年7月公布第25波标准，将年增值税应税收入超过18.75万里亚尔的纳税人纳入，要求其在2027年2月1日前完成系统集成。ZATCA会在每波截止日前至少6个月通知目标企业，企业应据此提前评估技术准备情况并启动Fatoora平台对接工作。

四、中国企业出海沙特的合规建议

综合上述三大领域的法规变化，中国企业在出海沙特时应从以下方面做好合规准备。第一，在投资准入环节，利用新法备案制优势快速完成MISA注册，但须仔细核查拟投资领域是否落入负面清单，避免因行业分类误配导致流程倒回。第二，在数据保护环节，尽早评估PDPL合规差距，特别是对于涉及用户营销、自动化决策和大规模数据处理的企业，应提前开展DPIA并制定阿拉伯语隐私政策，同时规划本地数据存储方案。第三，在税务合规环节，密切关注ZATCA电子发票第二阶段对应波次，提前部署符合Fatoora平台要求的发票系统，确保在截止日期前完成集成与清关测试。

沙特正处于法规密集调整期，新投资法的实施降低了外资准入门槛，但PDPL和电子发票领域的要求则在持续收紧。中国企业应将合规前置作为出海策略的核心原则，在进入沙特市场前即完成法律法规的全面评估和准备工作，以避免因合规滞后带来的罚款、业务暂停或声誉风险。