PDPL مقابل GDPR: 7 اختلافات تُفسد سياسة الخصوصية المنسوخة

يستعير قانون PDPL كثيرًا من مصطلحاته من اللائحة الأوروبية GDPR، لذا تبدو إعادة استخدام سياسة خصوصية أوروبية اختصارًا. لكنه اختصار يؤدي إلى مستند يُسيء وصف وضعك القانوني. هذه أهم الاختلافات.

1. لا يوجد أساس «المصالح المشروعة»

بموجب GDPR، تُعدّ المصالح المشروعة الأساس القانوني الأكثر استخدامًا بعد العقد. ولا يتضمن قانون PDPL ما يعادلها. فالمعالجة تتطلب الموافقة أو أحد الاستثناءات الواردة في المادة 4، مثل تنفيذ عقد، أو الوفاء بالتزام قانوني، أو التزامات التوظيف، أو إثبات الحقوق القانونية. والسياسة التي تقول «نعالج بياناتك استنادًا إلى مصالحنا المشروعة» تستشهد بأساس لا وجود له في القانون الإماراتي.

2. جهة رقابية مختلفة

تُقدَّم الشكاوى إلى مكتب الإمارات للبيانات، لا إلى سلطة رقابية أوروبية. والسياسة المنسوخة عادةً ما تذكر الجهة الخطأ، أو لا تذكر أي جهة.

3. نقل البيانات يعمل بشكل مختلف

يُسمح بنقل البيانات إلى خارج الدولة إلى الدول التي توفر مستوى حماية كافيًا (المادة 22)، أو في حال عدم توفره، في حالات محددة مثل النقل بموجب عقد يفرض متطلبات قانون PDPL، أو بموافقة صريحة من صاحب البيانات (المادة 23). ولا تفي البنود التعاقدية النموذجية الأوروبية وقرارات الكفاية تلقائيًا بمتطلبات القانون الإماراتي.

4. معايير تعيين مسؤول حماية البيانات أضيق ومختلفة

يلزم تعيين مسؤول حماية البيانات حيث تنطوي المعالجة على مخاطر عالية بسبب التقنيات الجديدة أو حجم البيانات، أو تتضمن تقييمًا منهجيًا للبيانات الحساسة بما في ذلك التنميط، أو تشمل حجمًا كبيرًا من البيانات الحساسة (المادة 10). ويجوز أن يكون مسؤول حماية البيانات موظفًا أو مزوّدًا خارجيًا، ولا يُشترط أن يكون مقيمًا في دولة الإمارات.

5. لا توجد مهلة محددة للإبلاغ عن الخروقات بعد

يحدد GDPR مهلة 72 ساعة. أما قانون PDPL فيشترط إبلاغ مكتب الإمارات للبيانات فور العلم بخرق من شأنه المساس بالخصوصية أو السرية أو الأمن (المادة 9)، ويترك الإجراءات للائحة التنفيذية. وإلى حين صدورها، فالقراءة الآمنة هي: بمجرد انتهائك من تقييم الخرق.

6. استثناءات قطاعية

تخرج البيانات الصحية والبيانات المصرفية أو الائتمانية التي تنظمها تشريعات خاصة عن نطاق قانون PDPL. فالسجلات الطبية للمرضى في عيادة ما، على سبيل المثال، تخضع أيضًا للقانون الاتحادي رقم 2 لسنة 2019، الذي يقيّد تخزين البيانات الصحية ومعالجتها خارج دولة الإمارات.

7. قد تكون المناطق الحرة خارج النطاق كليًا

تخضع الجهات في مركز دبي المالي العالمي (DIFC) وسوق أبوظبي العالمي (ADGM) لقوانين حماية البيانات الخاصة بها. ولا ينبغي لشركة مرخّصة هناك أن تستخدم سياسة وفق قانون PDPL أصلًا، فضلًا عن سياسة وفق GDPR.

ما يجب فعله

إذا كنت تخدم أيضًا مقيمين في الاتحاد الأوروبي، فقد تحتاج إلى استيفاء النظامين معًا، وأسهل طريق لذلك إشعار يتناول كلًا منهما صراحةً. وإذا كنت تخدم الإمارات فقط، فاستبدل نص GDPR بإشعار وفق قانون PDPL. تُعدّ عُدّتنا هذا الإشعار من إجاباتك، بأغراضك ومزوّديك وأسسك القانونية الفعلية.