دليل الامتثال لقانون حماية البيانات الشخصيّة الإماراتي (PDPL)
ما يطلبه قانون حماية البيانات الشخصيّة في الإمارات (المرسوم بقانون اتحادي رقم 45 لسنة 2021) من الشركات، وما لا يزال ينتظر لائحته التنفيذيّة، وموقع نظامَي مركز دبي المالي العالمي وسوق أبوظبي العالمي منه.
يناير 2022
تاريخ النفاذ
غير محدّدة في القانون
الغرامات · يحدّدها قرار من مجلس الوزراء
جميع القطاعات
ينطبق على
الإجابة المختصرة
ماذا يتطلّب قانون حماية البيانات الشخصيّة الإماراتي من الموقع الإلكتروني؟
بموجب قانون حماية البيانات الشخصيّة الإماراتي (المرسوم بقانون اتحادي رقم 45 لسنة 2021)، يحتاج الموقع إلى أساس قانوني قبل أن تعالج علامات التحليلات والإعلانات بيانات الزائر، وهذا يعني عمليًّا أن يطلب موافقته أوّلًا ويحفظها في سجلّ. ويحتاج أيضًا إلى طريقة للردّ على طلبات أصحاب البيانات، وخطّة لإخطار مكتب البيانات الإماراتي عند أيّ انتهاك، وتدابير أمنيّة مناسبة.
نظرة عامّة
قانون حماية البيانات الشخصيّة الإماراتي (PDPL) هو المرسوم بقانون اتحادي رقم 45 لسنة 2021 بشأن حماية البيانات الشخصيّة، صدر في 20 سبتمبر 2021 ويُعمل به منذ 2 يناير 2022، وهو أوّل قانون اتحادي شامل لحماية البيانات في الإمارات.
يسري على الجهات داخل الدولة التي تعالج بيانات شخصيّة، وعلى الجهات خارجها التي تعالج بيانات شخصيّة لأفراد داخلها. أمّا الجهات في المناطق الحرّة التي لها قانون خاصّ بحماية البيانات، كمركز دبي المالي العالمي (DIFC) وسوق أبوظبي العالمي (ADGM)، فتخضع لقوانينها، وتُستثنى فئات تنظّمها تشريعات أخرى.
ومكتب الإمارات للبيانات هو الجهة الرقابيّة. والبيانات الشخصيّة هي أيّ بيانات تتعلّق بشخص طبيعي محدَّد أو يمكن تحديده، ومنها المعرّفات الإلكترونيّة.
وتحتاج المعالجة إلى موافقة صاحب البيانات ما لم تنطبق إحدى الحالات التي يستثنيها القانون، كتنفيذ عقد أو الوفاء بالتزام قانوني، ويجب أن تكون الموافقة محدّدة وواضحة وصريحة، ويجوز سحبها في أيّ وقت. ويحقّ لصاحب البيانات أن يعلم ببياناته ويحصل على نسخة منها، وأن يطلب تصحيحها أو محوها أو تقييد معالجتها أو نقلها أو وقف معالجتها، ومنها المعالجة المؤتمتة.
وعلى المتحكّم أن يحتفظ بسجلّ للمعالجة، ويحمي البيانات بتدابير مناسبة، ويبلّغ المكتب عن الاختراقات. ويترك القانون كثيرًا من التفاصيل للائحة التنفيذيّة، ولم تكن قد نُشرت في بوّابة التشريعات الرسميّة للدولة حتى سبتمبر 2026.
ولا يحدّد القانون مبالغ للغرامات: فالمادّة 26 تترك تحديد المخالفات والجزاءات الإداريّة لقرار من مجلس الوزراء، ولم يُنشر قرار كهذا في البوّابة حتى سبتمبر 2026.
المتطلبات الرئيسية
- 01
أساس للمعالجة
احصل على موافقة صاحب البيانات، أو استند إلى إحدى الحالات التي يستثنيها القانون، كتنفيذ عقد أو الوفاء بالتزام قانوني.
- 02
معايير الموافقة
الحصول على موافقة واضحة ومحددة ومستنيرة ولا لبس فيها. يجب أن تكون الموافقة حرة وقابلة للسحب في أي وقت.
- 03
حقوق أصحاب البيانات
توفير حق الوصول والتصحيح والحذف والنقل وتقييد المعالجة والاعتراض على القرارات الآلية.
- 04
الإخطار بالانتهاك
إخطار مكتب البيانات الإماراتي وأصحاب البيانات المتأثرين بانتهاكات البيانات الشخصية دون تأخير لا مبرر له.
- 05
سجلات المعالجة
الاحتفاظ بسجلات تفصيلية لجميع أنشطة معالجة البيانات، بما في ذلك الأغراض وفئات البيانات وفترات الاحتفاظ.
- 06
التدابير الأمنية
تنفيذ تدابير تقنية وتنظيمية مناسبة لحماية البيانات الشخصية من الوصول غير المصرح به والانتهاكات.
ملفات تعريف الارتباط
ماذا يعني قانون حماية البيانات الشخصيّة الإماراتي لملفات تعريف الارتباط (الكوكيز) في موقعك؟
لا يتضمّن القانون الاتحادي نصًّا خاصًّا بملفات تعريف الارتباط. فحين يحدّد ملف تعريف الارتباط أو أداة التتبّع هويّة الزائر، يكون ما تجمعه بيانات شخصيّة، ومعالجة البيانات الشخصيّة تحتاج إلى الموافقة ما لم تنطبق إحدى الحالات التي يستثنيها القانون. وفي علامات التحليلات والإعلانات، يكون طلب الموافقة قبل تشغيلها هو الطريقة العمليّة لتوفير هذا الأساس.
أي الشريط نفسه الذي يحتاجه الموقع السعودي: فئات واضحة، وطريقة حقيقيّة للرفض، وإعدادات تبقى في متناول الزائر ليسحب موافقته، وسجلّ لكلّ اختيار. وإلى أن تُنشر اللائحة التنفيذيّة، تبقى شروط الموافقة في القانون نفسه هي المعيار.
ما المطلوب من نافذة الكوكيز في الإمارات، خطوة بخطوةكيف يتعامل النظام السعودي مع ملفات تعريف الارتباطثلاثة أطر
القانون الاتحادي أم DIFC أم ADGM: أيّها ينطبق عليك؟
تخضع أغلب الشركات في الإمارات للقانون الاتحادي. أمّا الجهات المنشأة في مركز دبي المالي العالمي (DIFC) أو سوق أبوظبي العالمي (ADGM) فتخضع لقانونَي حماية البيانات الخاصّين بهاتين المنطقتين الحرّتين، ولكلٍّ منهما جهته الرقابيّة.
- المرسوم بقانون اتحادي رقم 45 لسنة 2021
- البرّ الرئيسي والمناطق الحرّة التي ليس لها قانون خاصّ بحماية البيانات، تحت رقابة مكتب الإمارات للبيانات. والغرامات وكثير من التفاصيل تنتظر قرارات مجلس الوزراء واللائحة التنفيذيّة.
- قانون حماية البيانات في مركز دبي المالي العالمي رقم 5 لسنة 2020
- الجهات المنشأة في المركز. قريب جدًّا من GDPR، وله مفوّض حماية البيانات الخاصّ به. اقرأ دليلنا
- لوائح حماية البيانات في سوق أبوظبي العالمي 2021
- الجهات المنشأة في السوق، ومكتب حماية البيانات فيه هو الجهة الرقابيّة. اقرأ دليلنا
والشركة التي تبيع في الإمارات من الخارج تبدأ من القانون الاتحادي، فهو يسري أيضًا على الجهات خارج الدولة التي تعالج بيانات شخصيّة لأفراد داخلها.
تبيع في السعوديّة أيضًا؟ النظام للشركات الدوليّةعقوبات عدم الامتثال
لا يحدّد المرسوم بقانون مبالغ للغرامات. فالمادّة 26 تترك تحديد المخالفات والجزاءات الإداريّة لقرار من مجلس الوزراء، ولم يُنشر هذا القرار في بوّابة التشريعات الرسميّة للدولة حتى سبتمبر 2026.
- 01
غرامات يحدّدها مجلس الوزراء
لا يرد أيّ مبلغ في المرسوم بقانون. وأيّ رقم يُذكر للقانون الاتحادي، مثل 10 ملايين درهم، لا أساس له في نصّه، فتعامل معه بحذر حتى يصدر قرار مجلس الوزراء.
- 02
أنظمة المناطق الحرّة
يطبّق مركز دبي المالي العالمي وسوق أبوظبي العالمي قانونيهما لحماية البيانات، بجهاتهما الرقابيّة وجزاءاتهما، على الجهات المنشأة فيهما.
- 03
الشكاوى إلى مكتب البيانات
يحقّ لصاحب البيانات تقديم شكوى إلى مكتب الإمارات للبيانات إذا رأى أنّ بياناته تُعالَج بما يخالف القانون.
كيف يساعد أرقام٣٦٠
- 01
جمع الموافقة
يطلب شريط أرقام٣٦٠ الموافقة بحسب الغرض، ويتيح للزائر سحبها في أيّ وقت، ويسجّل كلّ اختيار بتاريخه ووقته.
- 02
معالجة طلبات الوصول للبيانات
معالجة آلية لطلبات أصحاب البيانات مع استرجاع بيانات متعدد المنصات وتوليد ردود متوافقة.
- 03
سجل مراجعة الامتثال
كل إجراء موافقة ونشاط معالجة بيانات وتغيير سياسة مسجل مع الطوابع الزمنية لعمليات التدقيق التنظيمي.
- 04
دعم العربية
شعار موافقة عربي وإنجليزي أصلي مع تخطيط RTL. خدمة الزوار الناطقين بالعربية والإنجليزية في الإمارات.
الجدول الزمني للتنفيذ
صدور المرسوم بقانون
صدر المرسوم بقانون اتحادي رقم 45 لسنة 2021 في 20 سبتمبر 2021، ونُشر في الجريدة الرسميّة في 26 سبتمبر 2021.
العمل بالقانون
يُعمل بالقانون اعتبارًا من 2 يناير 2022 (المادّة 31).
اللائحة التنفيذيّة
نصّت المادّة 28 على إصدار اللائحة التنفيذيّة خلال ستّة أشهر من صدور القانون، ولم تكن قد نُشرت في بوّابة التشريعات الرسميّة للدولة حتى سبتمبر 2026.
مهلة توفيق الأوضاع
على المتحكّم والمعالج توفيق أوضاعهما خلال ستّة أشهر من صدور اللائحة التنفيذيّة (المادّة 29)، ويجوز لمجلس الوزراء تمديدها مدّة مماثلة. ولم تبدأ هذه المهلة بعد.
افحص موقعك وفق قانون حماية البيانات الشخصيّة الإماراتي
أجرِ فحصًا مجانيًّا لتعرف ما يضعه موقعك من ملفات تعريف الارتباط (الكوكيز) وأدوات التتبّع قبل الموافقة وبعدها.
افحص موقعكنتولّاه عنك
نركّب كلّ شيء على موقعك
نركّب شريط الموافقة، ونضبط وضع الموافقة من Google (Consent Mode v2)، ونختبر وسوم Google و Meta، وننشر سياسة الخصوصية بالعربيّة والإنجليزيّة. 299 دولارًا للتركيب، ثم 99.99 دولارًا شهريًا لكلّ نطاق.
أسئلة شائعة عن قانون حماية البيانات الشخصيّة الإماراتي
أكثر الأسئلة شيوعًا عن قانون حماية البيانات الشخصيّة في الإمارات.
لا يتضمّن القانون الاتحادي لحماية البيانات الشخصيّة في الإمارات نصًّا خاصًّا بملفات تعريف الارتباط، لكنّ الملف الذي يحدّد هويّة الزائر يجمع بيانات شخصيّة، ومعالجتها تحتاج إلى الموافقة ما لم تنطبق إحدى الحالات التي يستثنيها القانون. وعمليًّا، ينبغي للموقع في الإمارات أن يطلب الموافقة قبل تشغيل علامات التحليلات والإعلانات، وأن يتيح رفضًا حقيقيًّا، وسحب الموافقة لاحقًا، وأن يسجّل كلّ اختيار.
أسئلة وأجوبة
اطلب الموافقة قبل التتبّع في الإمارات
أضف إلى موقعك شريط موافقة بالعربيّة والإنجليزيّة، واحتفظ بسجلّ مؤرَّخ لكلّ اختيار، ومرّره إلى وضع موافقة Google v2. ونستطيع تركيبه لك واختبار وسوم Google و Meta.