قانون PDPL الإماراتي في 2026: ما ينطبق على نشاطك التجاري الآن، وما لا يزال معلّقًا

دخل قانون حماية البيانات الشخصية الإماراتي، المرسوم بقانون اتحادي رقم (45) لسنة 2021 (PDPL)، حيز التنفيذ في 2 يناير 2022. وبعد مرور نحو خمس سنوات، لا تزال شركات كثيرة تتعامل معه كأمر سيبدأ لاحقًا. هذا صحيح نصفيًا، والنصف الخاطئ هو المكلف.

ما هو نافذ بالفعل

القانون نفسه. التزاماته منصوص عليها في المرسوم بقانون وسارية اليوم: المعالجة فقط بالموافقة أو وفق أحد الاستثناءات الواردة في المادة 4، والشفافية تجاه الأفراد، وحقوق صاحب البيانات (المواد من 13 إلى 18)، والتدابير الأمنية (المادة 20)، والإبلاغ عن الخروقات إلى مكتب الإمارات للبيانات (المادة 9)، وتقييمات الأثر للمعالجة عالية المخاطر (المادة 21)، والقيود على نقل البيانات إلى خارج الدولة (المادتان 22 و23).

ما لا يزال معلّقًا

اللائحة التنفيذية، التي تفصّل الأحكام: المواعيد الدقيقة للإبلاغ عن الخروقات والرد على الطلبات، وإجراءات نقل البيانات عبر الحدود، وتفاصيل تعيين مسؤول حماية البيانات. وحتى تاريخ كتابة هذا الدليل، لم تُنشر على بوابة التشريعات الإماراتية.

الجزاءات. تترك المادة 26 تحديد قائمة المخالفات والغرامات الإدارية لقرار يصدر عن مجلس الوزراء، ولم يصدر هو الآخر بعد. والأرقام التي قد تراها منشورة على الإنترنت، مثل مواعيد نهائية محددة في 2027 أو غرامات بملايين الدراهم، لا تستند إلى أي نص قانوني منشور.

لماذا يبقى الانتظار خطة سيئة

• مهلة توفيق الأوضاع قصيرة. تمنح المادة 29 الجهات فترة محدودة للامتثال بعد صدور اللائحة التنفيذية. وبناء سجل للمعالجة وسياسات وإجراءات من الصفر يستغرق لدى معظم الشركات الصغيرة وقتًا أطول من ذلك.
• عملاؤك لا ينتظرون. فالشركات الكبرى والبنوك والجهات الحكومية تُدرج بالفعل أسئلة عن قانون PDPL في إجراءات اعتماد الموردين. وقد يؤدي غياب إشعار الخصوصية أو إجراء الاستجابة للخروقات إلى تعطيل عقد اليوم، بصرف النظر عن التطبيق الرقابي.
• العمل المطلوب لن يتغير كثيرًا. ستضيف اللائحة تفاصيل، لا مبادئ جديدة. فسجل المعالجة وإشعار الخصوصية الصحيح وعقود الموردين وخطة الاستجابة للخروقات مطلوبة وفق أي صيغة من القواعد.

على من يسري

يسري قانون PDPL على معالجة البيانات الشخصية لأي شخص مقيم في الدولة أو يمارس أعماله فيها، من قِبل المتحكمين والمعالجين داخل الدولة ومن يعالجون هذه البيانات من الخارج. ولا يسري على الجهات في المناطق الحرة التي لديها قانون خاص لحماية البيانات، ولا سيما DIFC وADGM، ولا على بعض البيانات الحكومية، ويُحيل إلى التشريعات الخاصة فيما يتعلق بالبيانات الصحية والمصرفية.

نقطة انطلاق عملية

ابدأ بمعرفة موقعك. يستغرق تقييمنا المجاني نحو عشر دقائق، ويمنح درجة لاثني عشر مجالًا من مجالات القانون، ويُعلمك بعدد الفجوات لديك ومدى خطورتها، قبل أن تنفق أي شيء.