Conformidade e Governação

O que é a Lei de Proteção de Dados Pessoais dos EAU (PDPL)?

A PDPL dos EAU, o Decreto-Lei Federal n.º 45 de 2021, aplica-se desde 2 de janeiro de 2022. Âmbito, exclusões, obrigações, comunicação de violações e sanções.

A Lei de Proteção de Dados Pessoais dos EAU (PDPL) é o Decreto-Lei Federal n.º 45 de 2021 relativo à Proteção de Dados Pessoais. Foi emitida a 20 de setembro de 2021 e entrou em vigor a 2 de janeiro de 2022. Aplica-se ao tratamento de dados pessoais de titulares de dados nos EAU, por responsáveis pelo tratamento e subcontratantes nos EAU e por quem, estando fora dos EAU, trate dados pessoais de titulares de dados que aí se encontrem. Estabelece regras sobre consentimento e tratamento, direitos dos titulares dos dados, segurança, notificação de violações e transferências transfronteiriças, e exclui os dados governamentais, os dados de saúde e bancários abrangidos por legislação própria e as zonas francas com leis próprias de proteção de dados.

Quem emitiu a PDPL dos EAU e quem a supervisiona?

A lei é um decreto-lei federal emitido a 20 de setembro de 2021 e, nos termos do artigo 31.º, entrou em vigor a 2 de janeiro de 2022. Atribui a supervisão ao Gabinete de Dados dos EAU (UAE Data Office), criado ao abrigo do Decreto-Lei Federal n.º 44 de 2021. O portal do Governo dos EAU descreve o Gabinete de Dados dos EAU como o regulador federal de dados, afeto ao Conselho de Ministros dos EAU.

A quem se aplica a PDPL e o que fica excluído?

A lei aplica-se aos titulares de dados residentes nos EAU, aos responsáveis pelo tratamento e subcontratantes nos EAU e aos responsáveis pelo tratamento e subcontratantes fora dos EAU que tratem dados pessoais de titulares de dados que aí se encontrem. O artigo 2.º exclui o seguinte.

1.Os dados governamentais e as entidades governamentais que controlem ou tratem dados pessoais.

2.Os dados pessoais na posse das autoridades de segurança e judiciais.

3.O tratamento, pelo titular dos dados, dos seus próprios dados para fins pessoais.

4.Os dados pessoais de saúde que disponham de legislação própria que regule a sua proteção e tratamento.

5.Os dados pessoais bancários e de crédito que disponham de legislação própria que regule a sua proteção e tratamento.

6.As empresas e estabelecimentos situados em zonas francas com legislação própria em matéria de proteção de dados pessoais.

Quais são as principais obrigações da PDPL?

Em linhas gerais, os responsáveis pelo tratamento e os subcontratantes devem:

1.Tratar dados pessoais apenas com o consentimento do titular dos dados, salvo se se aplicar uma das exceções previstas na lei, e respeitar os controlos de tratamento e as condições de consentimento nela estabelecidos.

2.Manter um registo do tratamento de dados pessoais e disponibilizá-lo ao Gabinete de Dados mediante pedido.

3.Aplicar medidas técnicas e organizativas que assegurem um nível de segurança adequado ao risco, em conformidade com as melhores práticas internacionais, que podem incluir cifragem, pseudonimização, resiliência, restabelecimento atempado após um incidente e testes regulares dessas medidas.

4.Designar um encarregado da proteção de dados sempre que o tratamento implique um risco elevado para a privacidade devido a novas tecnologias ou ao volume de dados, envolva uma avaliação sistemática e abrangente de dados pessoais sensíveis ou abranja um grande volume de dados pessoais sensíveis.

5.Avaliar o impacto antes de um tratamento que utilize novas tecnologias suscetíveis de representar um risco elevado para a privacidade, incluindo a definição automatizada de perfis com efeitos jurídicos e o tratamento em grande escala de dados sensíveis.

6.Transferir dados pessoais para fora dos EAU apenas para países com um nível de proteção adequado ou, na falta deste, nas condições estabelecidas pela lei.

Que direitos têm os titulares dos dados?

Os titulares dos dados têm direito à informação sobre o tratamento dos seus dados, à portabilidade dos dados, à retificação e ao apagamento, à limitação do tratamento, à cessação do tratamento e a opor-se a decisões baseadas em tratamento automatizado.

Como devem ser comunicadas as violações de dados pessoais?

Nos termos do artigo 9.º, o responsável pelo tratamento que tome conhecimento de uma violação suscetível de prejudicar a privacidade, a confidencialidade e a segurança dos dados pessoais de um titular deve notificar o Gabinete de Dados da violação e dos resultados da respetiva investigação, no prazo e segundo os procedimentos fixados pela regulamentação executiva. A notificação abrange a natureza e as causas da violação, os seus efeitos prováveis, as medidas tomadas e a respetiva documentação. O responsável pelo tratamento deve também notificar os titulares dos dados cuja privacidade, confidencialidade ou segurança a violação possa prejudicar, e um subcontratante que tome conhecimento de uma violação deve notificar imediatamente o responsável pelo tratamento.

Quais são as sanções previstas na PDPL dos EAU?

A lei não fixa montantes de coimas. O artigo 26.º delega a sua fixação: o Conselho de Ministros, sob proposta do Gabinete de Dados, emite uma decisão que define as infrações e as sanções administrativas. O artigo 28.º previa a emissão da regulamentação executiva no prazo de seis meses, e o artigo 29.º concede aos responsáveis pelo tratamento e subcontratantes até seis meses a contar da sua emissão para darem cumprimento. Consulte o Gabinete de Dados dos EAU e o portal de legislação dos EAU para conhecer o estado atual da regulamentação executiva e da decisão sobre sanções.

Em que aspetos ajuda a Vigilbase com as evidências da PDPL?

A comunicação de violações ao abrigo do artigo 9.º exige que a natureza, as causas, os efeitos e a gestão de um incidente fiquem documentados. O Vigilbase OS liga as ferramentas de segurança que já paga e mantém os respetivos registos e eventos auditáveis e pesquisáveis num único lugar, e cada investigação regista as evidências, a ação e o resultado da verificação, o que ajuda a compilar esse registo. O serviço Cloudflare gerido opera os controlos de WAF e DDoS incluídos no âmbito, como parte das suas medidas de segurança. Os registos de segurança podem conter dados pessoais, pelo que deve incluir na sua avaliação ao abrigo da PDPL qualquer fornecedor de segurança que os receba, incluindo o local onde os dados são armazenados, e trazer esses requisitos para a definição do âmbito.

Sobre este guia

Este guia resume o Decreto-Lei Federal n.º 45 de 2021, tal como publicado nos portais do Governo e da legislação dos EAU, conforme disponível em outubro de 2026. Não constitui aconselhamento jurídico. As zonas francas, os dados de saúde e os dados bancários excluídos da PDPL têm as suas próprias regras; confirme com o seu consultor jurídico qual o regime aplicável.

Principais conclusões

✓A PDPL dos EAU é o Decreto-Lei Federal n.º 45 de 2021, em vigor desde 2 de janeiro de 2022.

✓Abrange os responsáveis pelo tratamento situados fora dos EAU que tratem dados pessoais de titulares de dados nos EAU.

✓Ficam excluídos os dados governamentais, os dados de saúde e bancários com legislação própria e as zonas francas com leis próprias de proteção de dados.

✓O prazo de notificação de violações e as sanções são definidos pela regulamentação executiva e por uma decisão do Conselho de Ministros, e não na própria lei.

Fontes

Soluções relacionadas

Serviços Vigilbase relacionados com este guia

Perguntas frequentes

Quando entrou em vigor a PDPL dos EAU?

A 2 de janeiro de 2022. O Decreto-Lei Federal n.º 45 de 2021 foi emitido a 20 de setembro de 2021.

A PDPL dos EAU aplica-se às empresas do DIFC e do ADGM?

A PDPL exclui as empresas e os estabelecimentos situados em zonas francas com legislação própria de proteção de dados pessoais. O DIFC e o ADGM têm as suas próprias leis de proteção de dados, pelo que deve verificar qual o regime aplicável à sua entidade.Orientações regionais de serviço e integração

Quais são as multas previstas na PDPL dos EAU?

A lei não as fixa. O artigo 26.º remete as infrações e as sanções administrativas para uma decisão do Conselho de Ministros, sob proposta do Gabinete de Dados dos EAU (UAE Data Office).

Temos de comunicar violações de dados ao abrigo da PDPL dos EAU?

Sim. O responsável pelo tratamento tem de notificar o Gabinete de Dados dos EAU de uma violação que prejudique a privacidade, a confidencialidade e a segurança dos dados pessoais, juntamente com os resultados da sua investigação, no prazo fixado pela regulamentação executiva, e notificar os titulares dos dados afetados.Responsabilidades nas operações de segurança O que faz um SIEM

A PDPL dos EAU aplica-se aos dados de saúde e bancários?

Não, quando esses dados tenham legislação própria que regule a sua proteção e tratamento. A informação de saúde de Abu Dhabi, por exemplo, está também abrangida pela norma ADHICS do Departamento de Saúde.

Tópicos Relacionados

Conformidade e Governação

Pronto para melhorar a sua segurança?

A nossa equipa pode ajudá-lo a implementar as medidas de segurança discutidas neste guia. Obtenha orientação especializada adaptada à sua organização.

Começar agora Continuar a aprender