PDPL frente a RGPD: 7 diferencias que invalidan una política de privacidad copiada

La PDPL toma gran parte de su vocabulario del RGPD de la UE, por lo que reutilizar una política de privacidad europea parece un atajo. Es un atajo hacia un documento que describe mal su situación jurídica. Estas son las diferencias más importantes.

1. No existe la base jurídica del «interés legítimo»

En el RGPD, el interés legítimo es la base jurídica más utilizada después del contrato. La PDPL no tiene equivalente. El tratamiento requiere consentimiento o una de las excepciones enumeradas en el artículo 4, como la ejecución de un contrato, el cumplimiento de una obligación legal, las obligaciones laborales o la formulación de reclamaciones. Una política que dice «tratamos sus datos sobre la base de nuestro interés legítimo» cita una base que no existe en la legislación de los EAU.

2. Una autoridad reguladora distinta

Las reclamaciones se presentan ante la Oficina de Datos de los EAU, no ante una autoridad de control de la UE. Una política copiada suele indicar la autoridad equivocada, o ninguna.

3. Las transferencias funcionan de otra manera

Las transferencias fuera de los EAU se permiten a países con un nivel de protección adecuado (artículo 22) o, a falta de este, en casos concretos, como en virtud de un contrato que imponga los requisitos de la PDPL o con el consentimiento explícito de la persona (artículo 23). Las cláusulas contractuales tipo de la UE y las decisiones de adecuación no satisfacen automáticamente la legislación de los EAU.

4. Los criterios para el DPD son más restringidos y distintos

Es obligatorio designar un delegado de protección de datos cuando el tratamiento entrañe un alto riesgo por el uso de nuevas tecnologías o por el volumen, implique una evaluación sistemática de datos sensibles, incluida la elaboración de perfiles, o implique un gran volumen de datos sensibles (artículo 10). El DPD puede ser un empleado o un proveedor externo, y no es necesario que esté establecido en los EAU.

5. La notificación de violaciones de seguridad aún no tiene un plazo fijo

El RGPD fija 72 horas. La PDPL exige notificar a la Oficina de Datos en cuanto se tenga conocimiento de una violación que pueda perjudicar la privacidad, la confidencialidad o la seguridad (artículo 9), y deja el procedimiento al Reglamento Ejecutivo. Hasta que se publique, la interpretación prudente es: en cuanto haya evaluado la violación.

6. Exclusiones sectoriales

Los datos de salud y los datos bancarios o crediticios regulados por su propia legislación quedan fuera de la PDPL. Las historias clínicas de una clínica, por ejemplo, también están sujetas a la Ley Federal n.º 2 de 2019, que restringe el almacenamiento y el tratamiento de datos de salud fuera de los EAU.

7. Las zonas francas pueden quedar totalmente fuera del ámbito de aplicación

Las entidades de DIFC y ADGM se rigen por sus propias leyes de protección de datos. Una empresa con licencia allí no debería utilizar en absoluto una política basada en la PDPL, y mucho menos una basada en el RGPD.

Qué hacer

Si también presta servicios a residentes de la UE, es posible que deba cumplir ambos regímenes, y la vía más sencilla es un aviso que aborde cada uno de forma explícita. Si solo presta servicios en los EAU, sustituya el texto del RGPD por un aviso conforme a la PDPL. Nuestro kit genera uno a partir de sus respuestas, con sus finalidades, proveedores y bases jurídicas reales.