一、经营主体设立
（一）主要组织形式
外资企业可以以合资或独资方式在沙特国内设立公司，包括全资子公司或分公司，享受沙特当地法人公司的同等待遇
[1]
。但在实际运作中，沙特政府相关部门往往通过独立的规章制度对本国企业和国民给予更多保护，中资企业不易享受到实际意义上的同等待遇
[2]
。在沙特设立公司的主要组织形式包括公司和分公司：
-
公司：外资企业通常选择设立“有限责任公司”。
[3]
有限责任公司不得超过50名股东
[4]
。有限责任公司的设立需分别取得沙特投资部的外资投资许可证（Foreign Investment License, FIL），以及沙特商务部颁发的商业登记证书。设立过程可能需要耗时几个月。
[5]
-
分公司：分公司是外资企业在沙特的分支机构，分公司的设立需分别取得沙特投资部的外资投资许可以及沙特商务部颁发的商业登记证书，申请流程与设立公司相同。分公司的全部责任由其母公司承担。
外资投资许可证费用约为3,000里亚尔（约合人民币5,796元）至8,000里亚尔（约合人民币15,456元），具体费用取决于业务的规模和类型。
（二）最低注册资本和出资要求
除某些特殊行业外，设立有限责任公司没有法定的最低注册资本要求。但是，在实践中，沙特投资部通常要求外国有限责任公司的资本至少为50万里亚尔（约合人民币96.59万元）。部分特殊行业存在法定的最低注册资本，例如房地产投资行业为3,000万里亚尔（约合人民币5,795.70万元）；房地产融资行业为2亿里亚尔（约合人民币3.86亿元），且要求沙特本国企业持股40%。
此外，外国投资者在沙特成立合资公司直接从事贸易活动的成本极高，每一名外国投资者的最低投资额为2,000万里亚尔（约合人民币3,863万元）。加上沙方股东最少25%的持股比例，合资公司的注册资本总额将达到2,667万里亚尔。在此情况下，外国投资者一般通过与当地代理商或经销商合作的方式开展贸易业务
[6]
。
上述注册资本需要通过本地银行账户实缴。股东可以在收到商业登记证书后完成后进行实缴。如果有限责任公司由外商全资控股，实践中通常需实缴10万里亚尔（约合人民币18.94万元）的注册资本。
[7]
（三）本地股东和董事要求
-
股东要求：公司可以由外国公司或外国自然人100%持有
[8]
。有限责任公司至少应有一名股东，股东人数无上限。
-
董事要求：无本地董事要求
[9]
。
（四）实际经营地址
公司可以有多个实际经营地址，但是公司总部应为其注册地址。公司的注册地址应保证通畅的信息联络
[10]
。公司总部非注册地址或注册地址无法联系的情况可能被处以50万里亚尔（约合人民币96.55万元）以下的罚款
[11]
。
（五）外汇管制
沙特没有关于外汇管理的具体立法，对于居民和非居民的资本收入和付款都没有外汇管制，但是禁止与以色列交易。
外国人携带贵金属、珠宝、宝石及现金出入境的最高限额为1.6万美元或等值货币，超额部分需申报。外国人可携带5,000美元等值现金入境
[12]
。
对于预扣税，沙特公司向非居民公司或个人支付特定性质的款项时会被预扣5%至20%比例的付款。例如，股东分红的预扣税为5%，管理费用的预扣税为20%，向总公司或关联公司支付的特许权使用费的预扣税为15%，向总公司或者关联公司支付的服务费用的预扣税为15%
[13]
。
二、用工要求
（一）本地员工人数和比例要求
沙特政府实行“沙特化”分级制度，要求所有在沙特经营的企业按照所处行业及企业规模，雇佣一定比例的沙特籍员工
[14]
。
按行业本地化率由高到低排序如下：金融保险服务（83.6%）、公共管理、民防和社保（71.9%）、外国机构和组织（71.5%）、采矿（63.2%）、教育（52.9%）、通讯和信息服务（50.7%）、电气化服务（50.6%）、卫生和社会服务（48.3%）、房地产（31.9%）、艺术文娱（29.9%）、科学技术（29.8%）、输水排污（26.5%）、物流仓储（25.3%）、工业加工（25%）、批发零售和车辆维保（23.4%）、食品加工（20.2%）、其他服务（19.6%）、农渔林业（15.5%）、建筑业（13.5%）、管理咨询服务（12%）、家政（11.4%）、其他未分类细项（1.7%）
[15]
。
在私营部门中，沙特籍人员在重要高管职位中的占比已达71.53％，政府计划达到75%，并要求私营部门对沙特籍年轻人进行专门培养，以确保能够顺利接替高管职位
[16]
。
（二）外国人签证
外籍雇员需要本国雇主担保，才能获得签证及合法地位
[17]
。
外国人来沙特务工，必须经劳工部批准，并获得其颁发的工作许可证。外籍工人须与雇主签订书面合同，雇主成为其担保人；外籍劳工必须持有有效居住证和工作签证；外籍劳工只能受雇于其担保人，不得为他人工作
[18]
。
（三）薪资成本
沙特政府颁布的最低工资标准为每月4,000里亚尔（约合人民币7,724.40元）
[19]
。
沙特社保总局（GOSI）针对沙特籍雇员征收占工资18%的养老金，针对所有雇员征收占工资2%的失业保险金，两项费用均由雇主和相关雇员按50:50的比例分担。此外，雇主还要为所有雇员支付意外保险费，费率为雇员工资的2%；与此同时，雇主还要为外籍员工支付签证费、回国返程票费用
[20]
。
（四）解除劳动关系的条件和成本
解除劳动关系的条件包括：（1）双方合意；（2）合同有效期届满；（3）无期限合同（indefinite term contract）中任意一方的自行决定权；（4）雇员退休；（5）不可抗力；（6）企业注销；（7）雇员所在业务条线的终止；（8）其他法律规定的情况
[21]
。
如果合同无服务年限，任何一方都可以在合同约定的期限内书面通知另一方终止合同。如果雇员工资是按月结算，至少提前60天通知另一方；其他情况至少提前30天通知，例如按日结算、按周结算、按小时结算、按项目结算等
[22]
。未提前通知的应当赔偿，赔偿金额相当于通知限期内雇员的工资
[23]
。
如果雇主或雇主非法终止劳动合同，则另一方有权获得赔偿：（1）如果合同无服务年限，受害方有权取得每年15天工资，乘以服务年限。（2）如果合同有服务年限，受害方取得合同余下期限的工资。（3）前述经济补偿金不得少于雇员两个月的工资
[
24]
。
三、基本税负
（一）个人所得税
沙特不征收个人所得税。但就从事沙特商业活动的居民纳税人或从该沙特的常设机构取得收入的非居民纳税人需要按照沙特所得税法纳税
[25]
。
（二）企业所得税
对于有非沙特籍合伙人或股东的居民企业、非沙特籍的居民自然人及通过常设机构从事商业活动的非居民企业或者非居民自然人，通常企业所得税的税率为20%
[26]
。其中，居民企业指根据沙特法律注册成立的企业或实际管理机构位于沙特境内的企业
[27]
。
对于从事石油和碳氢化合物生产的纳税人，企业所得税的税率为50%至85%
[28]
。
此外，根据宗教法律对穆斯林企业征收的天课税（ZAKAT），相当于对穆斯林企业征收的企业所得税。主要针对五类财产征收：粮食谷物；水果；骆驼、牛、羊和山羊；黄金和白银可移动的货物，税率为评估价值的2.5%
[29]
。
（三）增值税（消费税或其他类似流转税）
增值税的税率为15%
[30]
。此外，特定金融服务为免税业务；向海合会以外国家出口、国际运输、合格药品和医疗产品等为零税率
[31]
。
2020年10月2日，沙特宣布免除房地产交易增值税并征收新的房地产交易费
[32]
，费率为5%。
（四）其他主要税种
外籍人税（人头税）。自2020年起，在沙特经营的外国企业每月必须为每名外籍雇员缴纳800里亚尔（约合人民币1,515.12元）的劳动许可费，外籍雇员个人还要为其在沙特的家属缴纳每人每月400里亚尔（约合人民币757.56元）的费用
[33]
。对于取得工矿部相应许可的工业型企业，可免除5年期的外籍人税
[34]
。
沙特无印花税、数字税和碳排放税
[35]
。
四、优惠政策
（一）鼓励的行业
沙特投资部在其网站上列举了15个鼓励投资行业领域和相应的投资机会，主要包括：（1）以能源为基础的产业：包括原油炼化、石化、化肥、淡化海水与发电业、冶金开矿行业等方面；（2）运输物流：包括航空、铁路、港口码头、道路、物流等；（3）信息通信技术产业；（4）医疗卫生；（5）生命科学；（6）教育
[36]
。
（二）税收优惠
沙特的税收优惠与特定的产业园区直接相关，具体请参见第1.4.3产业园区的内容。
（三）产业园区
为发展多元化经济，摆脱单一石油出口对国民经济的影响，沙特建设了一系列工业城和经济城。具体情况如下；
工业城：工业城的投资领域包括工业、住宅、物流、商业、服务业、科技等。工业城内的投资项目可享受免除原材料进口关税、免除机械设备进口关税、优惠电价、优惠工业用地租金等优惠政策。主要的工业城包括利雅得、吉达、达曼、麦加、卡西姆
[37]
。
经济城：经济城的重点推动领域为能源、运输、科技、金融、贸易和旅游发展。目前经济城的建设还处于设计、融资和基础设施建设阶段，招商引资工作刚开始。投资项目可享受关税优惠、低息贷款等优惠政策。目前已对外公布的正在建设的经济城包括：拉比格、麦那、吉赞、哈伊勒、塔布克、阿赫萨
[38]
。
2023年4月，沙特宣布成立四个经济特区（Special Economic Zone），并配备了一系列优惠措施（如税率优惠、关税优惠、行政管理费用免除等）以吸引外国投资者，分别为吉赞、拉斯海尔、阿卜杜拉国王经济城和云计算经济特区。经济特区专注于尖端制造业、数据中心和云计算服务以及服务业等高技术行业领域
[39]
。
（五）土地使用
根据《非沙特籍人士房产所有与投资法》，沙特并不禁止外国实体或自然人的非沙特籍投资者持有房地产，但外国公司在购买土地前，需要取得投资许可证，并需额外获得沙特外交部（Ministry of Foreign Affairs）的批准。外国投资者可以根据需要购买必要的房产以开展商业活动，或为其员工提供住房，但五年内不准出售或随意转租。
[40]
投资用的商业地产，可以通过租赁获得。如果外资企业被许可的经营范围包括房地产开发，那么企业用以买卖土地、修建房屋等房地产开发项目的投资额为每个项目不少于3000万里亚尔，房地产投资项目必须在取得土地所有权后五年内完成。
[41]
根据《非沙特籍人士房产所有与投资法》，沙特禁止外资参与买卖或开发麦加和麦地那地区内的土地和房产。但是目前沙特阿拉伯正在积极推进新法律的颁布，允许外国投资人在沙特购买所有类型的房地产，包括商业、住宅和农业地产，且没有地域限制。
[42]
拥有特别居留权的人员可以在最长99年的期限内租赁使用麦加、麦地那的房产。
[43]
六、环境保护
沙特的环境保护法律较为严格，主要环境保护法律法规包括《环境法》（2020年皇家法令第M/165号）《环境法实施细则》《土地污染防治实施条例》
[44]
等法律，覆盖了环境和水资源污染、土地、海洋和沿海环境、野生动物、生态保护区、环境紧急情况等各个方面做出了具体规定。沙特环境保护法律法规的重点在于重点是保护所有形式的环境介质（人类周围的水、空气、土地和土壤，包括栖息地、自然系统和过程）免受污染、损害或负面影响。根据《环境法》第3条，在沙特从事任何对生态或环境有影响的活动必须取得许可证或执照。
根据《环境法》的规定，沙特气象和环境保护总局
[45]
是负责环境保护的主管部门，其下属的国家环境合规监测中心是环境保护、评估、监管的主要机构，负责进行监测和改善环境、指定环境保护标准和法规、进行环境影响审批和发放许可证。如果违反沙特环境保护法律法规，视违法行为的不同，将面临最高可达3000万沙特里亚尔的罚款、判处监禁、吊销许可证等处罚。
除上述一般性的环境保护法律外，根据实际业务情况的不同，企业可能还需遵循《矿业法》《沙特建筑法典》
[46]
等法律中环境影响评估、节能减排的规定。例如，沙特建筑规范节能要求（SBC 601）为节能建筑和结构的设计做出了最低限度的规定，涉及节能机械、服务、热水、配电和照明系统的选择和安装等具体标准。
2021年，沙特发起了“沙特绿色倡议”，提出“减排”、“植树造林”和“保护土地及海洋”三个目标，沙特基于该倡议已经启动了超过70个项目，总投资金额超过1860亿美元。在相关倡议的指引下，沙特在环境保护方面的法律法规和政策也在快速更新变化，企业需要保持关注。
七、数据保护与合规
（一）立法情况及适用范围
1. 立法情况
沙特阿拉伯于2021年颁布M/19号皇家法令通过《个人数据保护法》（Personal Data Protection Law，以下简称“PDPL”），并于2023年颁布M/148号皇家法令对PDPL进行修订，同时颁布《个人数据保护法实施条例》（“Personal Data Protection Regulation”）和《沙特阿拉伯境外个人数据传输规定》（“Regulation on Personal Data Transfer outside the Geographical Boundaries of the Kingdom”）。
除PDPL外，沙特阿拉伯还通过《电子商务法》《电信和信息技术法》《反网络犯罪法》等法律、《云计算管理法案》等规章制度和伊斯兰法等构建了个人数据保护法律体系。
以下部分将主要介绍PDPL的数据处理和保护相关合规要求，以资参考。
2. 适用范围
PDPL旨在保护个人数据
[47]
，即可以直接或间接识别个人的任何形式的数据，包括姓名、身份证号、地址、联系电话、许可证号码（如驾照号码、职业许可证等）、记录、个人资产、银行和信用卡号码、个人照片以及视频，以及其他属于个人性质的数据。
PDPL适用于以任何方式在沙特阿拉伯境内处理个人数据的行为，以及境外实体处理沙特阿拉伯居民个人数据的情形
[48]
。同时，PDPL明确规定该法不适用于为了个人和家庭使用
[49]
而进行的数据处理行为
[50]
。
3. 监管机构
根据PDPL序言，PDPL修订生效后的两年过渡期内，监管机构的职能由沙特阿拉伯数据与人工智能管理局（Saudi Data and Artificial Intelligence Authority, SDAIA）负责；过渡期结束后，相应的职权将转移至国家数据管理局。
此外，其他监管机构可能对各自部门的数据隐私和安全的某些方面进行监管，例如负责监管网络空间安全的国家网络安全局（National Cybersecurity Authority, NCA），负责监管电信和信息技术部门（包括云计算部门）的通信、空间和技术委员会（the Communications, Space and Technology Commission, CST）以及负责监管银行和金融机构的沙特阿拉伯中央银行（the Saudi Central Bank, SAMA）
[51]
。
监管机构享有包括制定数据标准、许可、罚款、调查和监督法律实施情况的权力
[52]
。
（二）数据处理的合法性基础
1. 同意
根据PDPL的规定，处理个人数据需要征得数据主体的同意
[53]
，处理敏感个人数据需要征得数据主体的明确同意
[54]
。
2. 无需获取同意的情形
根据PDPL的规定，在下列情形下，无需取得数据主体的同意即可处理个人数据
[55]
：
（1）数据处理基于数据主体的实际利益，但无法与数据主体取得联系或取得联系的方式不切实际；
（2）根据法律规定或数据主体作为当事人已在先前协议中约定；
（3）数据控制者是公共部门且该数据处理是出于安全或法律目的而必需的；
（4）数据处理基于数据控制者/处理者的合法利益，数据处理行为不会对数据主体的利益和权利产生影响，且数据处理行为不涉及敏感数据。
（三）数据主体的权利
根据PDPL的规定，数据主体享有以下权利
[56]
：
-
知情权：数据主体有权知晓其个人数据被处理的情况，包括数据处理的合法性基础和数据处理的目的。
-
访问权：数据主体有权请求访问数据控制者收集的个人数据，要求数据控制者以可读、清晰的格式提供所收集的个人数据副本。
-
更正权：数据主体有权请求数据控制者更正、完善或更新其所收集的个人数据。
-
删除权：如果数据主体不再需要相关的个人数据，可以请求数据控制者将其所收集的此部分个人数据进行删除、销毁。
-
免于歧视的权利
[57]
：行使PDPL所规定的隐私权利后，数据主体仍有权以平等的条件享受法律规定或合同约定的权利。
（四）数据控制者的义务
根据PDPL的规定，在沙特阿拉伯开展个人数据处理活动，数据控制者
[58]
需要履行以下义务：
-
注册
[59]
：数据控制者必须在电子门户注册，并登记于国家数据控制者注册表。注册需要缴纳年费。
-
数据处理目的限制和数据最小化
[60]
：企业必须明确个人数据的收集和处理目的，并保证数据收集情况与处理目的相符。数据控制者必须限制所收集的个人数据类别，收集最少的数据以达到预期的处理目的。
-
隐私政策
[61]
：数据控制者应当提供隐私政策，并在收集个人数据前向数据主体提供该政策。隐私政策至少应当说明收集个人数据的目的，收集的个人数据种类，收集、处理、存储和销毁的手段，数据主体的权利以及如何行使权利。
-
数据处理活动记录
[62]
：数据控制者有义务在处理个人数据之前确保数据的准确性、完整性和目的相关性，并在规定的期限内保存处理记录。
-
数据安全保护措施
[63]
：数据控制者应当采取一切必要的组织、行政和技术措施，以保护个人数据的安全。
-
违规通知
[64]
：发生数据泄露、数据受损和未经授权访问个人数据的数据安全事件时，数据处理者必须在72小时内通知监管机构
[65]
；对数据主体的利益和权利造成损害的事件必须通知数据主体。
-
任命数据保护官
[66]
：满足以下条件之一的数据控制者，应当任命一名或以上的数据保护官：
（1）数据控制者是提供涉及大规模个人数据处理服务的公共实体；
（2）数据控制者的主要业务为数据处理，该数据处理活动需要对数据主体进行定期和系统性的监控；
（3）数据控制者的核心活动基于敏感个人数据的处理。
（五）数据跨境传输合规要求
根据PDPL的规定，数据控制者可以为下列目的将个人数据传输至沙特阿拉伯王国境外
[67]
：
-
为履行沙特阿拉伯王国加入的国际协定所规定的义务；
-
为沙特阿拉伯王国的利益服务；
-
履行数据主体作为协议一方的义务；
-
法律法规规定的其他目的
[68]
，包括：
（1）为使数据控制者能够开展业务，包括集中管理；
（2）为数据主体提供服务或好处；
（3）开展科学研究。
根据上述目的之一开展的数据跨境传输，需要基于以下合规机制方可进行
[69]
：
-
经过主管部门评估，境外接收方所在国家/地区拥有不低于沙特阿拉伯本国的数据保护水平，并将评估结果提交首相；或者
-
采取适当的安全保障措施，包括：
（1）与境外接收方签订沙特阿拉伯主管机关制定的标准合同条款（SCCs）；
（2）集团公司内部传输时，可采用有约束力的公司规则（BCRs）；或者
（3）通过主管部门许可的机构的合规性认证。
-
如果无法满足上述合规机制，则仅能在下列情况下进行跨境传输：
（1）为订立或履行数据主体作为一方的合同所必需；
（2）当数据控制者是政府机构并且数据传输为国家安全或公共利益所必需；
（3）当数据控制者是政府机构并且数据传输为调查、侦查、指控犯罪或实施刑事处罚所必需；
（4）为保护数据主体的重大利益所必需且无法与其取得联系。
（六）法律责任
根据PDPL的规定，如果任何个人意图损害数据主体的权利和利益、或实现个人利益，违反法律的规定、披露或发布敏感个人数据，可能会公共机关被起诉，面临最多2年的监禁和最高300万沙特里亚尔（约合人民币570万元）的罚款。如果重复犯罪，法院有权判处加倍力度的处罚，即最多4年的监禁和最高600万沙特里亚尔（约合人民币1050万元）的罚款
[70]
。
如果违反PDPL的其他规定，个人可能面临警告或最高500万沙特里亚尔（约合人民币960万元）的罚款；如果重复犯罪，法院有权判处加倍力度的处罚，即警告或最高1000万沙特里亚尔（约合人民币1900万元）的罚款
[71]
。
