انتقل إلى المحتوى
مساعدة طارئةابدأ الآن
الامتثال والحوكمة

ما هو قانون حماية البيانات الشخصية الإماراتي (PDPL)؟

يسري قانون حماية البيانات الشخصية الإماراتي (PDPL)، المرسوم بقانون اتحادي رقم (45) لسنة 2021 بشأن حماية البيانات الشخصية، منذ 2 يناير 2022. النطاق والاستثناءات والالتزامات والإبلاغ عن الخروقات والعقوبات.
بقلم Vigilbaseنُشر في
اقرأ الدليلمزيد من المواضيع

قانون حماية البيانات الشخصية الإماراتي (PDPL) هو المرسوم بقانون اتحادي رقم (45) لسنة 2021 بشأن حماية البيانات الشخصية. وقد صدر في 20 سبتمبر 2021 ودخل حيز التنفيذ في 2 يناير 2022. وينطبق على معالجة البيانات الشخصية لأصحاب البيانات في دولة الإمارات، سواء من قِبل المتحكمين والمعالجين داخل الدولة أو من قِبل من يعالجون من خارجها البيانات الشخصية لأصحاب بيانات داخلها. ويضع قواعد للموافقة والمعالجة وحقوق صاحب البيانات والأمن والإبلاغ عن الخروقات والنقل عبر الحدود، ويستثني البيانات الحكومية، والبيانات الصحية والمصرفية التي تنظمها تشريعات خاصة بها، والمناطق الحرة التي لديها قوانين خاصة بها لحماية البيانات.

من أصدر قانون حماية البيانات الشخصية الإماراتي (PDPL)، ومن يشرف عليه؟

القانون مرسوم بقانون اتحادي صدر في 20 سبتمبر 2021، ودخل حيز التنفيذ في 2 يناير 2022 بموجب المادة 31. ويُسند الإشراف إلى مكتب الإمارات للبيانات المنشأ بموجب المرسوم بقانون اتحادي رقم (44) لسنة 2021. وتصف بوابة حكومة دولة الإمارات مكتب الإمارات للبيانات بأنه الجهة الاتحادية المنظِّمة للبيانات، وهو يتبع مجلس الوزراء.

على من ينطبق قانون حماية البيانات الشخصية (PDPL)، وما المستثنى منه؟

ينطبق القانون على أصحاب البيانات المقيمين في دولة الإمارات، وعلى المتحكمين والمعالجين داخل الدولة، وعلى المتحكمين والمعالجين خارجها الذين يعالجون البيانات الشخصية لأصحاب بيانات داخلها. وتستثني المادة 2 ما يلي.
1.البيانات الحكومية، والجهات الحكومية التي تتحكم في البيانات الشخصية أو تعالجها.
2.البيانات الشخصية لدى الجهات الأمنية والقضائية.
3.معالجة صاحب البيانات لبياناته الخاصة لأغراض شخصية.
4.البيانات الصحية الشخصية التي توجد لها تشريعات خاصة تنظم حمايتها ومعالجتها.
5.البيانات المصرفية والائتمانية الشخصية التي توجد لها تشريعات خاصة تنظم حمايتها ومعالجتها.
6.الشركات والمؤسسات في المناطق الحرة التي لديها تشريعات خاصة بها لحماية البيانات الشخصية.

ما الالتزامات الرئيسية في نظام حماية البيانات الشخصية (PDPL)؟

بإيجاز، يجب على المتحكمين والمعالجين:
1.معالجة البيانات الشخصية بموافقة صاحب البيانات فقط، ما لم ينطبق أحد الاستثناءات الواردة في القانون، والالتزام بضوابط المعالجة وشروط الموافقة التي يحددها القانون.
2.الاحتفاظ بسجل لمعالجة البيانات الشخصية وتقديمه إلى مكتب الإمارات للبيانات عند الطلب.
3.تطبيق تدابير تقنية وتنظيمية توفر مستوى من الأمن يتناسب مع المخاطر، وفقًا لأفضل الممارسات الدولية، ويمكن أن تشمل التشفير، واستخدام الأسماء المستعارة، والقدرة على الصمود، والاستعادة في الوقت المناسب بعد وقوع حادثة، والاختبار المنتظم لتلك التدابير.
4.تعيين مسؤول لحماية البيانات إذا كانت المعالجة تنطوي على مخاطر عالية على الخصوصية بسبب التقنيات الحديثة أو حجم البيانات، أو تتضمن تقييمًا منهجيًا وشاملًا للبيانات الشخصية الحساسة، أو تشمل حجمًا كبيرًا من البيانات الشخصية الحساسة.
5.تقييم الأثر قبل إجراء أي معالجة تستخدم تقنيات حديثة يُرجَّح أن تشكّل مخاطر عالية على الخصوصية، بما في ذلك التنميط الآلي الذي تترتب عليه آثار قانونية، والمعالجة واسعة النطاق للبيانات الحساسة.
6.عدم نقل البيانات الشخصية إلى خارج دولة الإمارات إلا إلى دول توفر مستوى ملائمًا من الحماية، أو وفق الشروط التي يحددها القانون في حال عدم توفره.

ما الحقوق التي يتمتع بها أصحاب البيانات؟

يحق لأصحاب البيانات الحصول على المعلومات المتعلقة بمعالجة بياناتهم، ونقل البيانات، وتصحيحها ومحوها، وتقييد المعالجة، ووقف المعالجة، والاعتراض على القرارات المبنية على المعالجة الآلية.

كيف يجب الإبلاغ عن حوادث تسرب البيانات الشخصية؟

بموجب المادة 9، يجب على المتحكم الذي يعلم بحدوث خرق من شأنه المساس بخصوصية البيانات الشخصية لصاحب البيانات وسريتها وأمنها أن يُبلغ مكتب الإمارات للبيانات بالخرق ونتائج التحقيق فيه، خلال المدة ووفق الإجراءات التي تحددها اللائحة التنفيذية. ويتضمن الإبلاغ طبيعة الخرق وأسبابه وآثاره المحتملة والإجراءات المتخذة وتوثيقه. كما يجب على المتحكم إبلاغ أصحاب البيانات الذين من شأن الخرق المساس بخصوصيتهم أو سريتهم أو أمنهم، ويجب على المعالج الذي يعلم بحدوث خرق أن يُبلغ المتحكم فورًا.

ما العقوبات المقررة بموجب قانون حماية البيانات الشخصية الإماراتي (PDPL)؟

لا يحدد القانون مبالغ الغرامات، إذ تفوّض المادة 26 تحديدها: فيُصدر مجلس الوزراء، بناءً على اقتراح مكتب الإمارات للبيانات، قرارًا بتحديد المخالفات والجزاءات الإدارية. ونصّت المادة 28 على إصدار اللائحة التنفيذية خلال ستة أشهر، وتمنح المادة 29 المتحكمين والمعالجين مهلة تصل إلى ستة أشهر من تاريخ صدورها لتوفيق أوضاعهم. راجعوا مكتب الإمارات للبيانات وبوابة التشريعات الإماراتية للاطلاع على الوضع الحالي للائحة التنفيذية وقرار الجزاءات.

في أي الجوانب تساعدكم Vigilbase على توفير أدلة الالتزام بنظام حماية البيانات الشخصية (PDPL)؟

يتطلب الإبلاغ عن الاختراقات بموجب المادة 9 توثيق طبيعة الحادث وأسبابه وآثاره وطريقة التعامل معه. يربط Vigilbase OS أدوات الأمان التي تدفعون مقابلها بالفعل، ويحفظ سجلاتها وأحداثها قابلة للتدقيق والاستعلام في مكان واحد، ويسجّل كل تحقيق الأدلة والإجراء ونتيجة التحقق، مما يساعدكم على إعداد ذلك السجل. وتشغّل خدمات Cloudflare المُدارة ضوابط WAF وDDoS المشمولة بالنطاق كجزء من تدابيركم الأمنية. وقد تحتوي سجلات الأمان على بيانات شخصية، لذا أدرجوا في تقييمكم وفق PDPL أي مزوّد أمني يتلقاها، بما في ذلك مكان تخزين البيانات، واعرضوا هذه المتطلبات أثناء تحديد النطاق.

حول هذا الدليل

يلخّص هذا الدليل المرسوم بقانون اتحادي رقم (45) لسنة 2021 بشأن حماية البيانات الشخصية كما هو منشور على البوابة الرسمية لحكومة الإمارات وبوابة التشريعات الإماراتية، وفق ما كان متاحًا في أكتوبر 2026. وهو ليس استشارة قانونية. وللمناطق الحرة والبيانات الصحية والمصرفية المستثناة من PDPL قواعدها الخاصة؛ لذا تأكدوا مع مستشاركم القانوني من النظام الذي ينطبق عليكم.

أبرز النقاط

✓قانون حماية البيانات الشخصية الإماراتي (PDPL) هو المرسوم بقانون اتحادي رقم (45) لسنة 2021، الساري منذ 2 يناير 2022.
✓يشمل المتحكمين خارج الإمارات الذين يعالجون البيانات الشخصية لأصحاب بيانات في الإمارات.
✓تُستثنى البيانات الحكومية، والبيانات الصحية والمصرفية التي لها تشريعات خاصة بها، والمناطق الحرة التي لها قوانينها الخاصة لحماية البيانات.
✓يُحدَّد توقيت الإبلاغ عن الاختراقات والعقوبات في اللائحة التنفيذية وقرار من مجلس الوزراء، لا في القانون نفسه.

المصادر

حلول ذات صلة

خدمات Vigilbase المرتبطة بهذا الدليل

SOC مُدار

اعرف المزيد

خدمات Cloudflare المُدارة

اعرف المزيد

ابدأ مع Vigilbase OS

اعرف المزيد

الأمن السيبراني المُدار في الإمارات

اعرف المزيد

الأسئلة الشائعة

متى دخل قانون حماية البيانات الشخصية الإماراتي (PDPL) حيز التنفيذ؟

في 2 يناير 2022. وقد صدر المرسوم بقانون اتحادي رقم (45) لسنة 2021 في 20 سبتمبر 2021.

هل ينطبق قانون حماية البيانات الشخصية الإماراتي على الشركات في مركز دبي المالي العالمي (DIFC) وسوق أبوظبي العالمي (ADGM)؟

يستثني قانون PDPL الشركات والمنشآت في المناطق الحرة التي لديها تشريعات خاصة بها لحماية البيانات الشخصية. ولدى مركز دبي المالي العالمي (DIFC) وسوق أبوظبي العالمي (ADGM) قوانينهما الخاصة لحماية البيانات، لذا تحققوا من النظام الذي ينطبق على جهتكم.إرشادات الخدمة الإقليمية وبدء الخدمة

ما الغرامات المقررة بموجب قانون حماية البيانات الشخصية الإماراتي؟

لا يحددها القانون. إذ تترك المادة 26 تحديد المخالفات والجزاءات الإدارية لقرار يصدر عن مجلس الوزراء بناءً على اقتراح مكتب الإمارات للبيانات.

هل يتعين علينا الإبلاغ عن اختراقات البيانات بموجب قانون حماية البيانات الشخصية الإماراتي؟

نعم. يجب على المتحكم إبلاغ مكتب الإمارات للبيانات باختراق من شأنه المساس بخصوصية البيانات الشخصية وسريتها وأمنها، مع نتائج التحقيق الذي أجراه، خلال المدة التي تحددها اللائحة التنفيذية، وإبلاغ أصحاب البيانات المتأثرين.مسؤوليات العمليات الأمنيةما الذي يفعله SIEM

هل ينطبق قانون حماية البيانات الشخصية الإماراتي على البيانات الصحية والمصرفية؟

لا ينطبق حيث تكون لتلك البيانات تشريعات خاصة تنظّم حمايتها ومعالجتها. فالمعلومات الصحية في أبوظبي، على سبيل المثال، يشملها أيضًا معيار ADHICS الصادر عن دائرة الصحة – أبوظبي.

مواضيع ذات صلة

الامتثال والحوكمة

نظام حماية البيانات الشخصية السعودي (PDPL)

الامتثال والحوكمة

ADHICS

الامتثال والحوكمة

معيار UAE IA

الامتثال والحوكمة

مصرف الإمارات العربية المتحدة المركزي: الأمن السيبراني والإسناد الخارجي

ابدأ الآن

هل أنت مستعد لتحسين أمنك؟

يمكن لفريقنا مساعدتك في تطبيق التدابير الأمنية الواردة في هذا الدليل. احصل على إرشاد متخصص يناسب مؤسستك.
ابدأ الآن واصل التعلّم