Conformité à la PDPL des EAU en 2026 : guide pratique pour les décideurs

Mis à jour le 20 octobre 2026

La conformité à la loi des Émirats arabes unis sur la protection des données personnelles (PDPL) est devenue essentielle pour toutes les entreprises. Le Décret-loi fédéral n° 45 de 2021 relatif à la protection des données personnelles (PDPL) est entré en vigueur en 2022, des textes d’application ont suivi en 2023, et son application effective a commencé en 2024. Si votre entreprise exerce son activité aux Émirats — en dehors du DIFC et de l’ADGM, qui ont leurs propres régimes — et traite des données personnelles concernant des clients, des salariés ou toute autre personne, la PDPL s’applique à vous.

La plupart des entreprises des Émirats sont en retard sur la conformité. La loi a introduit des obligations équivalentes à celles du RGPD, mais, contrairement au long délai de mise en œuvre dont a bénéficié le RGPD, les entreprises des Émirats ont disposé de beaucoup moins de temps et de beaucoup moins d’orientations réglementaires. Ce guide présente ce que la PDPL exige réellement, où la plupart des entreprises échouent, et les mesures pratiques pour se mettre en conformité sans en faire trop.

Conformité à la PDPL aux Émirats : à qui s’applique-t-elle ?

La conformité à la PDPL s’applique à toute personne physique ou morale établie ou résidente aux Émirats qui traite des données personnelles — et elle a une portée extraterritoriale pour les activités de traitement qui touchent des résidents des Émirats, même si l’entreprise est basée en dehors des Émirats.

Point important : la PDPL ne s’applique pas au sein du DIFC ni de l’ADGM, qui fonctionnent selon leurs propres cadres de protection des données (respectivement la loi du DIFC sur la protection des données et le règlement de l’ADGM sur la protection des données). Si votre entreprise est enregistrée dans l’une de ces zones franches, vous vous conformez à leur régime plutôt qu’à la PDPL — même si les principes sont globalement similaires.

Pour tous les autres acteurs opérant sur le territoire continental des Émirats ou dans d’autres zones franches : la PDPL est votre cadre de référence.

Qu’est-ce qui constitue une donnée personnelle au sens de la PDPL ?

Au sens de la PDPL, une donnée personnelle désigne toute information qui identifie une personne physique ou peut servir à l’identifier — directement ou indirectement. Cela comprend les éléments évidents (noms, numéros d’identité, numéros de téléphone, adresses e-mail) et les moins évidents (adresses IP, identifiants d’appareils, données de localisation, données comportementales collectées par les cookies ou les applications).

La PDPL désigne aussi certaines catégories comme des données personnelles sensibles, soumises à des exigences plus strictes : informations de santé et médicales, données génétiques et biométriques, informations financières et de crédit, données de localisation, casiers judiciaires et données relatives aux enfants. Si votre entreprise traite l’une de ces catégories, les obligations de conformité sont plus exigeantes.

Les 6 obligations fondamentales créées par la PDPL

1. Base légale du traitement

Vous devez disposer d’une base juridique pour chaque activité de traitement. La PDPL prévoit plusieurs bases légales : le consentement, la nécessité contractuelle, l’obligation légale, les intérêts vitaux, l’intérêt public et les intérêts légitimes. Contrairement au RGPD, la base des intérêts légitimes de la PDPL est moins développée dans les orientations — ce qui signifie que le consentement et la nécessité contractuelle sont, en pratique, les bases les plus utilisées pour le traitement commercial dans le contexte des Émirats. Pour des orientations détaillées sur les bases légales, reportez-vous aux informations officielles du gouvernement des Émirats sur la protection des données.

Le consentement, au sens de la PDPL, doit être explicite, éclairé et libre. Les cases précochées, le consentement groupé et les mentions de confidentialité vagues ne répondent pas à la norme. Si vous vous appuyez actuellement sur un consentement implicite pour le marketing ou le partage de données, cela doit changer.

2. Transparence et mentions de confidentialité

Lorsque vous collectez des données personnelles, vous devez informer les personnes de : qui vous êtes, quelles données vous collectez, pourquoi vous les collectez, combien de temps vous les conserverez, avec qui vous les partagerez (en particulier les tiers et les transferts transfrontaliers) et quels droits elles ont. Les mentions de confidentialité doivent être claires, accessibles et rédigées en arabe lorsque cela est exigé pour les résidents des Émirats.

3. Droits des personnes concernées

La PDPL accorde aux personnes des droits auxquels votre entreprise doit pouvoir répondre — généralement dans un délai de 30 jours après la demande. Ils comprennent le droit d’accéder à leurs données, le droit de rectifier des données inexactes, le droit à l’effacement (« droit à l’oubli »), le droit de limiter le traitement, le droit à la portabilité des données et le droit de s’opposer au traitement. Il vous faut un processus pour recevoir, enregistrer et traiter ces demandes. De nombreuses entreprises des Émirats n’en ont pas.

4. Transferts transfrontaliers de données

Le transfert de données personnelles hors des Émirats exige soit que le pays de destination offre un niveau de protection adéquat (tel que déterminé par le Bureau des données des EAU, le UAE Data Office), soit que des garanties appropriées soient en place — clauses contractuelles, règles d’entreprise contraignantes ou consentement explicite. Cela concerne particulièrement les entreprises qui utilisent des services cloud, des plateformes SaaS ou un traitement de données à l’étranger. De nombreuses configurations cloud courantes impliquent des transferts de données qui n’ont pas été évalués au regard des exigences de la PDPL.

5. Sécurité des données

La PDPL exige des mesures de sécurité techniques et organisationnelles appropriées pour protéger les données personnelles contre l’accès non autorisé, la perte, la destruction ou la divulgation. Ce que signifie « approprié » dépend de la nature des données et des risques encourus — mais cela comprend au minimum le chiffrement, les contrôles d’accès, des évaluations de sécurité régulières et une politique de sécurité documentée. Le même principe vaut pour l’IA : utiliser les outils d’IA de manière responsable et appliquer les conditions générales du fournisseur sur le stockage et l’usage de vos données contribue à protéger les données de l’entreprise. Pour les catégories de données personnelles sensibles, le niveau d’exigence est plus élevé. Des orientations complémentaires sont disponibles dans des référentiels sectoriels et bonnes pratiques.

6. Notification des violations

En cas de violation de données personnelles, vous devez en informer le Bureau des données des EAU dans les 72 heures suivant la prise de connaissance — et informer les personnes concernées sans retard injustifié si la violation est susceptible d’engendrer un risque élevé pour leurs droits. Cela suppose d’avoir un processus de réponse aux violations en place avant d’en avoir besoin, et non de se précipiter pour en construire un en pleine crise. La plupart des entreprises des Émirats n’ont pas de processus documenté de réponse aux violations.

Là où les entreprises des Émirats pèchent

D’après notre travail auprès d’entreprises des Émirats de différents secteurs, les lacunes de conformité les plus courantes sont :

• Pas d’inventaire des données : la plupart des entreprises ne savent pas exactement quelles données personnelles elles détiennent, où elles se trouvent, qui y a accès ni quelle base légale justifie leur détention. On ne peut pas se conformer à la PDPL sans cette fondation.
• Mentions de confidentialité obsolètes ou absentes : des bannières de cookies et des politiques de confidentialité antérieures à la PDPL, rédigées en anglais seulement, ou qui ne décrivent pas fidèlement les pratiques actuelles en matière de données.
• Pas de processus de traitement des demandes des personnes : aucun mécanisme formel pour recevoir, suivre ou traiter les demandes d’accès, d’effacement ou de portabilité dans le délai requis.
• Partage de données avec des tiers non évalué : des données partagées avec des plateformes marketing, des outils d’analyse, des systèmes RH et des services cloud sans accord de traitement des données ni évaluation des transferts transfrontaliers.
• Pas de plan de réponse aux violations : aucun processus documenté pour détecter, contenir et notifier les violations de données dans le délai de 72 heures prévu par la PDPL.
• Données sensibles traitées de façon informelle : des données de santé de salariés, des données financières ou des fiches clients traitées sans les contrôles renforcés que la PDPL exige pour les catégories sensibles.

Une feuille de route de conformité pratique

La conformité à la PDPL n’est pas un projet unique : c’est un programme continu. Mais elle a une séquence de départ claire :

1. Cartographie des données : identifiez chaque catégorie de données personnelles que détient votre entreprise, où elles sont stockées, qui les traite, sur quelle base légale vous vous appuyez et avec qui elles sont partagées. C’est la fondation sur laquelle tout le reste repose.
2. Analyse des écarts : comparez vos pratiques actuelles aux exigences de la PDPL dans les six domaines d’obligation. Identifiez et priorisez les écarts.
3. Mise à jour des mentions de confidentialité : réécrivez votre politique de confidentialité et votre mention sur les cookies pour qu’elles reflètent fidèlement vos pratiques actuelles et répondent aux exigences de transparence de la PDPL. Ajoutez des versions en arabe lorsque cela est exigé.
4. Revue des mécanismes de consentement : auditez vos points de collecte du consentement — formulaires du site, inscriptions aux applications, abonnements marketing — et mettez-les à jour pour qu’ils répondent à la norme de consentement explicite de la PDPL.
5. Processus de traitement des demandes des personnes : construisez un processus simple pour recevoir, enregistrer et traiter les demandes des personnes concernées dans le délai de 30 jours.
6. Accords avec les tiers : auditez vos relations avec les fournisseurs et partenaires impliquant des données personnelles. Mettez en place des accords de traitement des données (DPA) lorsque c’est nécessaire. Évaluez les transferts transfrontaliers.
7. Plan de réponse aux violations : documentez votre processus de détection, de confinement, d’évaluation, de notification et de revue post-incident avant d’en avoir besoin.
8. Revue des contrôles de sécurité : assurez-vous que vos mesures de sécurité techniques et organisationnelles sont adaptées à la sensibilité des données que vous traitez.

La PDPL et les réglementations sectorielles

La PDPL s’applique en complément — et non en remplacement — des réglementations sectorielles sur les données et la sécurité. Les établissements de santé relèvent de la DHA et des réglementations sur les données de santé. Les acteurs de la chaîne d’approvisionnement de l’État peuvent être soumis aux exigences de la NESA. Comprendre comment la PDPL s’articule avec le cadre propre à votre secteur est essentiel — et se tromper dans un sens ou dans l’autre (en faire trop ou passer à côté d’exigences réglementaires) coûte cher.

Pour les entreprises présentes dans plusieurs juridictions, la PDPL recoupe aussi le RGPD pour les données européennes, et les cadres équivalents du CCG à mesure que la législation sur la protection des données mûrit dans la région.

Le coût de la non-conformité

L’application de la PDPL comporte des sanctions administratives pouvant atteindre 20 millions d’AED pour les infractions graves, avec une responsabilité pénale supplémentaire en cas de violation délibérée ou de négligence grave. Au-delà des sanctions réglementaires, une violation de données qui révèle des mesures de sécurité insuffisantes crée un risque de réputation, de contrat et de commerce qui dépasse souvent l’amende réglementaire elle-même.

Le coût d’un programme de conformité structuré n’est qu’une fraction du coût d’une enquête sur une violation, d’une action réglementaire et des dommages à la relation client qui s’ensuivent.

Innov@Scale aide les entreprises des Émirats à évaluer leur exposition à la PDPL et à bâtir des programmes de conformité pratiques. Réservez une évaluation IA pour comprendre où vous en êtes — sans engagement, sans argumentaire commercial.

Découvrir les services Innov@Scale associés

• Gouvernance de l’IA et conformité — Politiques, contrôles des risques et rôles clairs pour une utilisation sûre de l’IA
• Conseil en IA aux Émirats arabes unis — Évaluer, conseiller et transformer, avec des plateformes partenaires et des spécialistes
• Préparation des données et des plateformes — Vérifier que vos données et vos systèmes peuvent soutenir ce que vous prévoyez