PDPL ОАЭ в 2026 году: что уже применяется к Вашему бизнесу и что ещё не принято

Закон ОАЭ о защите персональных данных, Федеральный декрет-закон № 45 от 2021 года (PDPL), вступил в силу 2 января 2022 года. Спустя почти пять лет многие компании по-прежнему считают, что он начнёт действовать позже. Это верно наполовину, и неверная половина обходится дороже.

Что уже действует

Сам закон. Его обязательства закреплены в декрет-законе и действуют уже сегодня: обработка только с согласия или на основании одного из исключений по статье 4, прозрачность по отношению к физическим лицам, права субъектов данных (статьи 13–18), меры безопасности (статья 20), уведомление Управления данных ОАЭ об утечках (статья 9), оценка воздействия для обработки с высоким риском (статья 21) и ограничения на передачу данных за пределы ОАЭ (статьи 22 и 23).

Что ещё не принято

Исполнительные положения, которые детализируют закон: точные сроки уведомления об утечках и ответа на запросы, порядок трансграничной передачи данных и особенности назначения DPO. На момент написания они не опубликованы на портале законодательства ОАЭ.

Санкции. Статья 26 оставляет перечень нарушений и административных штрафов на усмотрение решения Кабинета министров, которое также ещё не издано. Цифры, которые можно встретить в интернете, например конкретные сроки в 2027 году или штрафы в несколько миллионов дирхамов, не взяты ни из одного опубликованного правового текста.

Почему ждать — по-прежнему плохой план

• Переходный период будет коротким. Статья 29 предоставляет организациям ограниченный срок для обеспечения соответствия после издания Исполнительных положений. Создание с нуля реестра операций по обработке, политик и процедур занимает у большинства небольших компаний больше времени.
• Ваши клиенты не ждут. Крупные компании, банки и государственные органы уже включают вопросы о PDPL в процедуру подключения поставщиков. Отсутствие уведомления о конфиденциальности или порядка реагирования на утечки может застопорить договор уже сегодня, независимо от правоприменения.
• Объём работы существенно не изменится. Положения добавят детали, а не новые принципы. Реестр операций по обработке, корректное уведомление о конфиденциальности, договоры с поставщиками и план реагирования на утечки понадобятся при любой редакции правил.

К кому применяется

PDPL применяется к обработке персональных данных любого лица, проживающего или ведущего деятельность в ОАЭ, контролёрами и обработчиками данных в ОАЭ, а также лицами за рубежом, обрабатывающими такие данные. Он не применяется к организациям в свободных зонах с собственным законом о защите данных, в частности в DIFC и ADGM, а также к определённым государственным данным, и уступает специальному законодательству в отношении данных о здоровье и банковских данных.

Практическая отправная точка

Начните с того, чтобы понять, где Вы находитесь. Наша бесплатная оценка занимает около десяти минут, оценивает двенадцать областей закона и показывает, сколько у Вас несоответствий и насколько они серьёзны, — ещё до того, как Вы что-либо потратите.