La PDPL de los EAU en 2026: qué se aplica ya a su empresa y qué sigue pendiente

La Ley de Protección de Datos Personales de los EAU, el Decreto-ley federal n.º 45 de 2021 (la PDPL), entró en vigor el 2 de enero de 2022. Casi cinco años después, muchas empresas siguen tratándola como algo que empezará más adelante. Eso es verdad a medias, y la mitad falsa es la que sale cara.

Qué está ya en vigor

La propia ley. Sus obligaciones están recogidas en el decreto-ley y se aplican hoy: tratamiento solo con consentimiento o al amparo de una de las excepciones del artículo 4, transparencia ante las personas, derechos de los interesados (artículos 13 a 18), medidas de seguridad (artículo 20), notificación de violaciones de seguridad a la Oficina de Datos de los EAU (artículo 9), evaluaciones de impacto para tratamientos de alto riesgo (artículo 21) y restricciones a las transferencias fuera de los EAU (artículos 22 y 23).

Qué sigue pendiente

El Reglamento Ejecutivo, que desarrolla los detalles: los plazos exactos para notificar violaciones de seguridad y para responder a solicitudes, el procedimiento para las transferencias transfronterizas y los pormenores de la designación del DPD. En el momento de redactar este texto no se ha publicado en el portal legislativo de los EAU.

Sanciones. El artículo 26 deja la lista de infracciones y multas administrativas a una decisión del Consejo de Ministros, que tampoco se ha dictado. Las cifras que pueda ver citadas en internet, como plazos concretos en 2027 o multas de varios millones de dírhams, no proceden de ningún texto legal publicado.

Por qué esperar sigue siendo un mal plan

• El periodo de adaptación es corto. El artículo 29 concede a las organizaciones un plazo limitado para cumplir tras la publicación del Reglamento Ejecutivo. Elaborar desde cero un registro de actividades de tratamiento, políticas y procedimientos lleva a la mayoría de las pequeñas empresas más tiempo que eso.
• Sus clientes no están esperando. Las grandes empresas, los bancos y las entidades públicas ya incluyen preguntas sobre la PDPL en el alta de proveedores. La falta de un aviso de privacidad o de un procedimiento ante violaciones de seguridad puede bloquear hoy un contrato, con independencia de que la ley se esté aplicando.
• El trabajo no cambia mucho. El Reglamento añadirá detalle, no principios nuevos. Un registro de actividades de tratamiento, un aviso de privacidad correcto, contratos con proveedores y un plan ante violaciones de seguridad son necesarios con cualquier versión de las normas.

A quién se aplica

La PDPL se aplica al tratamiento de datos personales de cualquier persona que resida o desarrolle actividades en los EAU, por parte de responsables y encargados del tratamiento establecidos en los EAU y de quienes, desde el extranjero, traten dichos datos. No se aplica a las entidades de zonas francas con su propia ley de protección de datos, en particular DIFC y ADGM, ni a determinados datos públicos, y se remite a la legislación específica en materia de datos de salud y bancarios.

Un punto de partida práctico

Empiece por averiguar en qué punto se encuentra. Nuestra evaluación gratuita dura unos diez minutos, puntúa doce áreas de la ley y le indica cuántas deficiencias tiene y su gravedad, antes de que gaste nada.