6 أبريل 2026قانون الشركات13 دقائق قراءة

قانون حماية البيانات الشخصية في الإمارات - الامتثال والغرامات

دليل شامل حول قانون حماية البيانات الشخصية في الإمارات والالتزامات المفروضة على الشركات والغرامات المترتبة على المخالفات.

قانون حماية البيانات الشخصية في الإمارات: الامتثال والغرامات

دليل أساسي للشركات في دولة الإمارات العربية المتحدة

شهدت دولة الإمارات العربية المتحدة تحولاً سريعاً لتصبح مركزاً عالمياً للتكنولوجيا والابتكار. ومع هذا الازدهار الرقمي، تأتي مسؤولية حاسمة تتمثل في حماية البيانات الشخصية. يمثل المرسوم بقانون اتحادي رقم 45 لسنة 2021 بشأن حماية البيانات الشخصية علامة فارقة في التزام الدولة بخصوصية البيانات. هذا التشريع الشامل، الذي دخل حيز التنفيذ في 2 يناير 2022، يؤسس إطاراً قوياً لحماية البيانات الشخصية، مما يضع الإمارات في مصاف أفضل الممارسات العالمية مثل اللائحة العامة لحماية البيانات في الاتحاد الأوروبي (GDPR).

بالنسبة للشركات العاملة في دولة الإمارات، فإن فهم الامتثال لقانون حماية البيانات الشخصية ليس مجرد التزام قانوني، بل هو خطوة حاسمة في بناء الثقة مع العملاء وأصحاب المصلحة. يقدم هذا المقال نظرة عامة مفصلة على القانون ومتطلباته الرئيسية وحقوق الأفراد والعقوبات المحتملة لعدم الامتثال.

فهم نطاق قانون حماية البيانات الشخصية

يطبق قانون حماية البيانات الشخصية على أي مؤسسة (مراقب بيانات أو معالج بيانات) تقوم بمعالجة البيانات الشخصية للأفراد المقيمين في دولة الإمارات، بغض النظر عما إذا كانت المؤسسة نفسها تقع داخل الدولة أم لا. هذا النطاق الإقليمي الواسع يعني أنه حتى الشركات الدولية التي لديها عملاء في الإمارات يجب أن تلتزم بأحكام القانون.

ومع ذلك، فإن القانون لديه بعض الاستثناءات. لا ينطبق على:

البيانات الحكومية والجهات العامة.
البيانات الشخصية التي تتم معالجتها للاستخدام الشخصي.
البيانات الصحية والائتمانية، التي تخضع لتشريعاتها الخاصة.
المؤسسات العاملة في المناطق الحرة التي لديها قوانين حماية البيانات الخاصة بها، مثل مركز دبي المالي العالمي (DIFC) وسوق أبوظبي العالمي (ADGM).

المبادئ الأساسية لمعالجة البيانات بموجب قانون حماية البيانات الشخصية

يقوم قانون حماية البيانات الشخصية على مجموعة من المبادئ الأساسية التي توجه المعالجة القانونية والأخلاقية للبيانات الشخصية. هذه المبادئ أساسية لتحقيق الامتثال وتعزيز ثقافة خصوصية البيانات داخل المؤسسة.

الشرعية والعدالة والشفافية

يجب على المؤسسات معالجة البيانات الشخصية بطريقة قانونية وعادلة وشفافة. هذا يعني أن تكون منفتحة وصادقة مع الأفراد حول سبب وكيفية جمع بياناتهم واستخدامها.

تحديد الغرض

يجب جمع البيانات الشخصية فقط لأغراض محددة وواضحة ومشروعة. لا يمكن استخدامها لأنشطة أخرى ما لم تكن تلك الأنشطة مرتبطة ارتباطاً وثيقاً بالغرض الأصلي.

تقليل البيانات

يجب على المؤسسات قصر جمع بياناتها على ما هو ضروري للغاية للغرض المعلن. يعد جمع بيانات زائدة أو غير ذات صلة انتهاكاً لهذا المبدأ.

الدقة

مراقبو البيانات مسؤولون عن ضمان دقة البيانات الشخصية التي يحتفظون بها وتحديثها. يجب تصحيح البيانات غير الدقيقة أو القديمة أو حذفها على الفور.

تحديد التخزين

لا ينبغي الاحتفاظ بالبيانات الشخصية لفترة أطول من اللازم لتحقيق الغرض الذي تم جمعها من أجله. بمجرد تحقيق الغرض، يجب محو البيانات بشكل آمن أو إخفاء هويتها.

النزاهة والسرية

يجب على المؤسسات تنفيذ تدابير فنية وتنظيمية مناسبة لحماية البيانات الشخصية من الوصول أو الكشف أو التغيير أو الإتلاف غير المصرح به.

حقوق صاحب البيانات بموجب قانون حماية البيانات الشخصية

يمنح قانون حماية البيانات الشخصية الأفراد مجموعة من الحقوق على بياناتهم الشخصية، مما يمنحهم قدراً أكبر من التحكم والاستقلالية. يجب أن تكون الشركات مستعدة لتسهيل ممارسة هذه الحقوق.

الحق في الوصول: يحق للأفراد طلب الوصول إلى بياناتهم الشخصية وإبلاغهم بكيفية معالجتها.
الحق في التصحيح: يمكن للأفراد طلب تصحيح البيانات الشخصية غير الدقيقة أو غير المكتملة.
الحق في المحو (الحق في النسيان): يحق للأفراد طلب حذف بياناتهم الشخصية في ظروف معينة، كما هو الحال عندما لم تعد البيانات مطلوبة لغرضها الأصلي.
الحق في الاعتراض: يمكن للأفراد الاعتراض على معالجة بياناتهم الشخصية، لا سيما لأغراض التسويق المباشر أو التنميط.
الحق في نقل البيانات: يحق للأفراد الحصول على بياناتهم الشخصية بتنسيق منظم وشائع الاستخدام وقابل للقراءة آلياً ونقل تلك البيانات إلى وحدة تحكم أخرى.
الحق في سحب الموافقة: يمكن للأفراد سحب موافقتهم على معالجة البيانات في أي وقت.
الحق في تقديم شكوى: يحق للأفراد تقديم شكوى إلى مكتب الإمارات للبيانات إذا كانوا يعتقدون أن حقوق حماية البيانات الخاصة بهم قد انتهكت.

التزامات مراقبي البيانات والمعالجين

يفرض قانون حماية البيانات الشخصية التزامات محددة على كل من مراقبي البيانات (المؤسسات التي تحدد أغراض ووسائل المعالجة) ومعالجي البيانات (المؤسسات التي تعالج البيانات نيابة عن المراقب).

الالتزامات الرئيسية:

أساس قانوني للمعالجة: الحصول على موافقة صريحة من الأفراد قبل معالجة بياناتهم الشخصية، ما لم ينطبق أساس قانوني آخر.
أمن البيانات: تنفيذ تدابير أمنية قوية لحماية البيانات الشخصية.
الإخطار بخرق البيانات: إخطار مكتب الإمارات للبيانات والأفراد المتضررين في حالة حدوث خرق للبيانات.
حفظ السجلات: الاحتفاظ بسجل مفصل لأنشطة معالجة البيانات.
عمليات نقل البيانات عبر الحدود: التأكد من حماية البيانات الشخصية المنقولة خارج دولة الإمارات بشكل كاف.
تقييمات تأثير حماية البيانات (DPIAs): إجراء تقييمات تأثير حماية البيانات لأنشطة المعالجة عالية المخاطر.
تعيين مسؤول حماية البيانات (DPO): تعيين مسؤول حماية البيانات في بعض الحالات، كما هو الحال عند معالجة كميات كبيرة من البيانات الحساسة.

الموافقة: حجر الزاوية في قانون حماية البيانات الشخصية

الموافقة هي ركيزة أساسية في قانون حماية البيانات الشخصية. لكي تكون الموافقة صالحة، يجب أن تكون:

ممنوحة بحرية: يجب أن يكون لدى الأفراد خيار حقيقي وألا يتم إكراههم على إعطاء الموافقة.
محددة: يجب الحصول على الموافقة لغرض معين.
مستنيرة: يجب إبلاغ الأفراد بوضوح بما يوافقون عليه.
لا لبس فيها: يجب إعطاء الموافقة من خلال إجراء إيجابي واضح.

عقوبات عدم الامتثال

مكتب الإمارات للبيانات مسؤول عن إنفاذ قانون حماية البيانات الشخصية ولديه سلطة فرض عقوبات كبيرة على عدم الامتثال. يمكن أن تشمل هذه العقوبات:

الغرامات: تتراوح من 50,000 درهم إلى 5,000,000 درهم.
تعليق أو تقييد أنشطة معالجة البيانات.

أسئلة مكررة (FAQ)

1. ما الفرق بين مراقب البيانات ومعالج البيانات؟

مراقب البيانات هو الكيان الذي يحدد أغراض ووسائل معالجة البيانات الشخصية. معالج البيانات هو الكيان الذي يعالج البيانات الشخصية نيابة عن المراقب.

2. هل ينطبق قانون حماية البيانات الشخصية على بيانات الموظفين؟

نعم، ينطبق قانون حماية البيانات الشخصية على البيانات الشخصية للموظفين. يجب على أصحاب العمل التأكد من أن لديهم أساساً قانونياً لمعالجة بيانات الموظفين واحترام حقوق حماية البيانات الخاصة بهم.

3. ماذا أفعل إذا تعرضت أعمالي لخرق للبيانات؟

في حالة حدوث خرق للبيانات، يجب عليك إخطار مكتب الإمارات للبيانات والأفراد المتضررين على الفور. يجب عليك أيضاً اتخاذ خطوات فورية للتخفيف من تأثير الخرق.

كيف يمكن لمكتب علي الخاجة للمحاماة مساعدتك

قد يكون التنقل في تعقيدات قانون حماية البيانات الشخصية في دولة الإمارات أمراً صعباً. في مكتب علي الخاجة للمحاماة، يمكن لفريقنا من المهنيين القانونيين ذوي الخبرة أن يقدم لك إرشادات ودعماً متخصصين لضمان امتثال عملك الكامل لقانون حماية البيانات الشخصية. نحن نقدم مجموعة من الخدمات، بما في ذلك:

عمليات تدقيق حماية البيانات وتحليل الثغرات.
صياغة ومراجعة سياسات الخصوصية واتفاقيات معالجة البيانات.
تقديم المشورة بشأن عمليات نقل البيانات عبر الحدود.
المساعدة في الاستجابة لخرق البيانات والإخطار به.
التمثيل في التعامل مع مكتب الإمارات للبيانات.

اتصل بنا اليوم للحصول على استشارة ودعنا نساعدك على حماية عملك وبيانات عملائك.

UAE Personal Data Protection Law: Compliance and Fines

An Essential Guide for Businesses in the UAE

The United Arab Emirates (UAE) has rapidly transformed into a global hub for technology and innovation. With this digital boom comes the critical responsibility of safeguarding personal data. The UAE's Federal Decree-Law No. 45 of 2021 on the Protection of Personal Data (PDPL) marks a significant milestone in the nation's commitment to data privacy. This comprehensive legislation, which came into effect on January 2, 2022, establishes a robust framework for the protection of personal data, aligning the UAE with global best practices like the EU's General Data Protection Regulation (GDPR).

For businesses operating in the UAE, understanding and complying with the PDPL is not just a legal obligation but a crucial step in building trust with customers and stakeholders. This article provides a detailed overview of the PDPL, its key requirements, the rights of individuals, and the potential penalties for non-compliance.

Understanding the Scope of the PDPL

The PDPL applies to any organization (data controller or processor) that processes the personal data of individuals residing in the UAE, regardless of whether the organization itself is located within the UAE. This extraterritorial scope means that even international companies with customers in the UAE must adhere to the law's provisions.

However, the law does have some exemptions. It does not apply to:

Government data and public entities.
Personal data processed for personal use.
Health and credit data, which are governed by their own specific legislation.
Organizations operating in free zones that have their own data protection laws, such as the Dubai International Financial Centre (DIFC) and the Abu Dhabi Global Market (ADGM).

Core Principles of Data Processing under the PDPL

The PDPL is built upon a set of core principles that guide the lawful and ethical processing of personal data. These principles are fundamental to achieving compliance and fostering a culture of data privacy within an organization.

Lawfulness, Fairness, and Transparency

Organizations must process personal data in a lawful, fair, and transparent manner. This means being open and honest with individuals about why and how their data is being collected and used.

Purpose Limitation

Personal data should only be collected for specific, clear, and legitimate purposes. It cannot be used for other activities unless those activities are closely related to the original purpose.

Data Minimization

Organizations must limit their data collection to what is strictly necessary for the stated purpose. Collecting excessive or irrelevant data is a violation of this principle.

Accuracy

Data controllers are responsible for ensuring that the personal data they hold is accurate and up-to-date. Inaccurate or outdated data must be corrected or deleted promptly.

Storage Limitation

Personal data should not be kept for longer than is necessary to fulfill the purpose for which it was collected. Once the purpose is achieved, the data should be securely erased or anonymized.

Integrity and Confidentiality

Organizations must implement appropriate technical and organizational measures to protect personal data from unauthorized access, disclosure, alteration, or destruction.

Data Subject Rights under the PDPL

The PDPL empowers individuals with a range of rights over their personal data, giving them greater control and autonomy. Businesses must be prepared to facilitate the exercise of these rights.

Right to Access: Individuals have the right to request access to their personal data and to be informed about how it is being processed.
Right to Rectification: Individuals can request the correction of inaccurate or incomplete personal data.
Right to Erasure (Right to be Forgotten): Individuals have the right to request the deletion of their personal data under certain circumstances, such as when the data is no longer needed for its original purpose.
Right to Object: Individuals can object to the processing of their personal data, particularly for direct marketing or profiling purposes.
Right to Data Portability: Individuals have the right to receive their personal data in a structured, commonly used, and machine-readable format and to transmit that data to another controller.
Right to Withdraw Consent: Individuals can withdraw their consent to data processing at any time.
Right to File a Complaint: Individuals have the right to file a complaint with the UAE Data Office if they believe their data protection rights have been violated.

Obligations for Data Controllers and Processors

The PDPL places specific obligations on both data controllers (organizations that determine the purposes and means of processing) and data processors (organizations that process data on behalf of a controller).

Key Obligations:

Lawful Basis for Processing: Obtain explicit consent from individuals before processing their personal data, unless another legal basis applies.
Data Security: Implement robust security measures to protect personal data.
Data Breach Notification: Notify the UAE Data Office and affected individuals in the event of a data breach.
Record Keeping: Maintain a detailed record of data processing activities.
Cross-Border Data Transfers: Ensure that personal data transferred outside the UAE is adequately protected.
Data Protection Impact Assessments (DPIAs): Conduct DPIAs for high-risk processing activities.
Appointment of a Data Protection Officer (DPO): Appoint a DPO in certain cases, such as when processing large volumes of sensitive data.

Consent: A Cornerstone of the PDPL

Consent is a central pillar of the PDPL. For consent to be valid, it must be:

Freely given: Individuals must have a genuine choice and not be coerced into giving consent.
Specific: Consent must be obtained for a specific purpose.
Informed: Individuals must be clearly informed about what they are consenting to.
Unambiguous: Consent must be given through a clear affirmative action.

Penalties for Non-Compliance

The UAE Data Office is responsible for enforcing the PDPL and has the authority to impose significant penalties for non-compliance. These penalties can include:

Fines: Ranging from AED 50,000 to AED 5,000,000.
Suspension or restriction of data processing activities.

Frequently Asked Questions (FAQ)

1. What is the difference between a data controller and a data processor?

A data controller is the entity that determines the purposes and means of processing personal data. A data processor is the entity that processes personal data on behalf of the controller.

2. Does the PDPL apply to employee data?

Yes, the PDPL applies to the personal data of employees. Employers must ensure they have a lawful basis for processing employee data and respect their data protection rights.

3. What should I do if my business experiences a data breach?

In the event of a data breach, you must promptly notify the UAE Data Office and the affected individuals. You should also take immediate steps to mitigate the impact of the breach.

How Ali Al Khajeh Law Firm Can Help

Navigating the complexities of the UAE's Personal Data Protection Law can be challenging. At Ali Al Khajeh Law Firm, our team of experienced legal professionals can provide you with expert guidance and support to ensure your business is fully compliant with the PDPL. We offer a range of services, including:

Data protection audits and gap analysis.
Drafting and reviewing privacy policies and data processing agreements.
Advice on cross-border data transfers.
Assistance with data breach response and notification.
Representation in dealings with the UAE Data Office.

أعجبك المقال؟ شاركه مع أصدقائك

هل لديك استفسار قانوني؟

تواصل مع فريقنا القانوني للحصول على استشارة متخصصة

احجز استشارة

تواصل عبر واتساب