آخر تحديث
Thank you for reading this post, don't forget to subscribe!باختصار: قانون حماية البيانات الشخصية في الإمارات يُنفَّذ الآن. ما الذي يتطلبه PDPL، وعلى من ينطبق، وكيف تمتثل دون مبالغة في التعقيد.
أصبح الامتثال لقانون حماية البيانات الشخصية في الإمارات (PDPL) أمراً أساسياً لجميع الشركات. فقد بدأ سريان المرسوم بقانون اتحادي رقم 45 لسنة 2021 بشأن حماية البيانات الشخصية (PDPL) في 2022، وتبعته اللوائح التنفيذية في 2023، وبدأ إنفاذه في 2024. وإذا كانت شركتك تعمل في الإمارات — خارج مركز دبي المالي العالمي (DIFC) وسوق أبوظبي العالمي (ADGM) اللذين لهما نظاماهما الخاصان — وتتعامل مع بيانات شخصية عن العملاء أو الموظفين أو أي أفراد آخرين، فإن قانون PDPL ينطبق عليك.
معظم الشركات في الإمارات متأخرة في الامتثال. فقد أدخل القانون التزامات مكافئة للائحة GDPR، لكن خلافاً لمدة التنفيذ التي امتدت سنوات في GDPR، كان أمام الشركات في الإمارات وقت أقل بكثير وإرشادات تنظيمية أقل بكثير. ويغطي هذا الدليل ما يتطلبه قانون PDPL فعلاً، وأين تقصّر معظم الشركات، والخطوات العملية للامتثال دون مبالغة في التعقيد.
الامتثال لقانون PDPL في الإمارات: على من ينطبق؟
ينطبق الامتثال لقانون PDPL على كل شخص طبيعي أو اعتباري مقيم أو مؤسَّس في الإمارات ويعالج بيانات شخصية، وله نطاق يتجاوز الحدود الإقليمية في أنشطة المعالجة التي تمس المقيمين في الإمارات، حتى لو كانت الشركة مقرها خارج الإمارات.
والمهم أن قانون PDPL لا ينطبق داخل DIFC أو ADGM، اللذين يعملان بإطارَي حماية البيانات الخاصين بهما (قانون حماية البيانات في مركز دبي المالي العالمي ولوائح حماية البيانات في سوق أبوظبي العالمي على التوالي). فإذا كانت شركتك مسجلة في إحدى هاتين المنطقتين الحرتين، فإنك تمتثل لنظامها بدلاً من PDPL — وإن كانت المبادئ متشابهة إلى حد كبير.
أما بالنسبة إلى بقية العاملين في البر الرئيسي للإمارات أو المناطق الحرة الأخرى: فقانون PDPL هو إطارك.
ما الذي يُعدّ بيانات شخصية بموجب PDPL؟
البيانات الشخصية بموجب PDPL هي أي معلومة تحدد هوية شخص طبيعي أو يمكن استخدامها لتحديد هويته — بشكل مباشر أو غير مباشر. ويشمل ذلك الواضح (الأسماء وأرقام الهوية وأرقام الهاتف وعناوين البريد الإلكتروني) والأقل وضوحاً (عناوين IP ومعرّفات الأجهزة وبيانات الموقع والبيانات السلوكية التي تُجمع عبر ملفات تعريف الارتباط أو التطبيقات).
كما يحدد قانون PDPL فئات معينة بوصفها بيانات شخصية حساسة، وتترتب عليها متطلبات أشد: المعلومات الصحية والطبية، والبيانات الوراثية والبيومترية، والمعلومات المالية والائتمانية، وبيانات الموقع، والسجلات الجنائية، والبيانات المتعلقة بالأطفال. وإذا كانت شركتك تعالج أياً من هذه الفئات، فإن التزامات الامتثال أكثر تطلباً.
الالتزامات الأساسية الستة التي ينشئها PDPL
1. الأساس القانوني للمعالجة
يجب أن يكون لديك أساس قانوني لكل نشاط معالجة. ويوفر قانون PDPL عدة أسس قانونية: الموافقة، والضرورة التعاقدية، والالتزام القانوني، والمصالح الحيوية، والمصلحة العامة، والمصالح المشروعة. وخلافاً لـGDPR، فإن أساس المصالح المشروعة في PDPL أقل تطوراً في الإرشادات — ما يعني أن الموافقة والضرورة التعاقدية هما عملياً الأساسان الأكثر استخداماً للمعالجة التجارية في سياق الإمارات. وللحصول على إرشادات مفصلة عن الأسس القانونية، يمكن الرجوع إلى معلومات حماية البيانات الرسمية الصادرة عن حكومة الإمارات.
يجب أن تكون الموافقة بموجب PDPL صريحة ومستنيرة وممنوحة بحرية. ولا تفي المربعات المحددة مسبقاً والموافقة المجمّعة وإشعارات الخصوصية الغامضة بالمعيار. وإذا كنت تعتمد حالياً على الموافقة الضمنية في التسويق أو مشاركة البيانات، فيجب أن يتغير ذلك.
2. الشفافية وإشعارات الخصوصية
عند جمع بيانات شخصية، يجب أن تُعلم الأفراد بما يلي: من أنت، وما البيانات التي تجمعها، ولماذا تجمعها، ومدة الاحتفاظ بها، ومع من ستشاركها (خاصة الأطراف الثالثة والتحويلات عبر الحدود)، وما حقوقهم. ويجب أن تكون إشعارات الخصوصية واضحة ومتاحة، وبالعربية حيثما يُشترط للمقيمين في الإمارات.
3. حقوق أصحاب البيانات
يمنح قانون PDPL الأفراد حقوقاً يجب أن تكون شركتك قادرة على الاستجابة لها — عادةً خلال 30 يوماً من الطلب. وتشمل الحق في الوصول إلى بياناتهم، والحق في تصحيح البيانات غير الدقيقة، والحق في المحو («الحق في النسيان»)، والحق في تقييد المعالجة، والحق في نقل البيانات، والحق في الاعتراض على المعالجة. وتحتاج إلى عملية لاستقبال هذه الطلبات وتسجيلها والرد عليها. ولا تملك كثير من الشركات في الإمارات عملية كهذه.
4. تحويل البيانات عبر الحدود
يتطلب نقل البيانات الشخصية خارج الإمارات إما أن يوفر البلد الوجهة مستوى كافياً من الحماية (بحسب ما يحدده مكتب الإمارات للبيانات)، وإما أن تتوفر ضمانات مناسبة — بنود تعاقدية أو قواعد مؤسسية ملزمة أو موافقة صريحة. وهذا يخص خصوصاً الشركات التي تستخدم الخدمات السحابية أو منصات البرمجيات كخدمة أو المعالجة الخارجية للبيانات. فكثير من الإعدادات السحابية الشائعة تنطوي على تحويلات بيانات لم تُقيَّم قياساً إلى متطلبات PDPL.
5. أمن البيانات
يشترط قانون PDPL إجراءات أمنية تقنية وتنظيمية مناسبة لحماية البيانات الشخصية من الوصول غير المصرح به أو الفقد أو الإتلاف أو الإفصاح. ويعتمد معنى «مناسبة» على طبيعة البيانات والمخاطر المعنية — لكنها تشمل في حدها الأدنى التشفير وضوابط الوصول وتقييمات الأمن الدورية وسياسة أمنية موثقة. وينطبق المبدأ نفسه على الذكاء الاصطناعي: فاستخدام أدوات الذكاء الاصطناعي بمسؤولية وتطبيق الشروط والأحكام التي يضعها المورّد بشأن تخزين بياناتك واستخدامها يساعدان على حماية بيانات الشركة. وبالنسبة إلى فئات البيانات الشخصية الحساسة، فالمعيار أعلى. وتتوفر إرشادات إضافية عبر الأطر والممارسات الأفضل في الصناعة.
6. الإخطار بالاختراق
إذا وقع اختراق للبيانات الشخصية، يجب أن تخطر مكتب الإمارات للبيانات خلال 72 ساعة من علمك به — وأن تخطر الأفراد المتأثرين دون تأخير غير مبرر إذا كان الاختراق مرجَّحاً أن يسبب خطراً مرتفعاً على حقوقهم. ويتطلب ذلك وجود عملية استجابة للاختراق قبل الحاجة إليها، لا التسابق لبنائها أثناء الحادث. ولا تملك معظم الشركات في الإمارات عملية موثقة للاستجابة للاختراق.
أين تقصّر الشركات في الإمارات
بناءً على عملنا مع شركات في الإمارات عبر القطاعات، فإن الفجوات الأكثر شيوعاً في الامتثال هي:
- غياب جرد للبيانات: معظم الشركات لا تعرف بالضبط ما البيانات الشخصية التي تحتفظ بها، وأين توجد، ومن يصل إليها، وما الأساس القانوني للاحتفاظ بها. لا يمكنك الامتثال لقانون PDPL دون هذا الأساس.
- إشعارات خصوصية قديمة أو غائبة: لافتات ملفات تعريف الارتباط وسياسات الخصوصية التي سبقت PDPL، أو التي بالإنجليزية فقط، أو التي لا تصف ممارسات البيانات الحالية وصفاً دقيقاً.
- غياب عملية لطلبات أصحاب البيانات: لا توجد آلية رسمية لاستقبال طلبات الوصول أو المحو أو النقل أو تتبعها أو الرد عليها ضمن الإطار الزمني المطلوب.
- مشاركة البيانات مع أطراف ثالثة دون تقييم: بيانات تُشارَك مع منصات التسويق وأدوات التحليلات وأنظمة الموارد البشرية والخدمات السحابية دون اتفاقية معالجة بيانات أو تقييم للتحويل عبر الحدود.
- غياب خطة للاستجابة للاختراق: لا توجد عملية موثقة لاكتشاف الاختراقات واحتوائها والإخطار بها ضمن نافذة PDPL البالغة 72 ساعة.
- التعامل مع البيانات الحساسة بصورة غير رسمية: بيانات الموظفين الصحية أو البيانات المالية أو سجلات العملاء تُعالَج دون الضوابط المشددة التي يشترطها PDPL للفئات الحساسة.
خارطة طريق عملية للامتثال
الامتثال لقانون PDPL ليس مشروعاً واحداً — بل برنامج مستمر. لكن له تسلسل بداية واضحاً:
- رسم خريطة البيانات: حدّد كل فئة من البيانات الشخصية التي تحتفظ بها شركتك، وأين تُخزَّن، ومن يعالجها، وما الأساس القانوني الذي تعتمد عليه، ومع من تُشارَك. هذا هو الأساس الذي يُبنى عليه كل ما سواه.
- تقييم الفجوات: قارن ممارساتك الحالية بمتطلبات PDPL في مجالات الالتزام الستة كلها. حدّد الفجوات ورتّبها بحسب الأولوية.
- تحديث إشعار الخصوصية: أعد كتابة سياسة الخصوصية وإشعار ملفات تعريف الارتباط ليعكسا ممارساتك الحالية بدقة ويستوفيا متطلبات الشفافية في PDPL. وأضف نسخاً بالعربية حيثما يُشترط.
- مراجعة آلية الموافقة: دقّق نقاط جمع الموافقة — نماذج الموقع، والتسجيل في التطبيقات، والاشتراكات التسويقية — وحدّثها لتستوفي معيار الموافقة الصريحة في PDPL.
- عملية طلبات أصحاب البيانات: ابنِ عملية بسيطة لاستقبال طلبات أصحاب البيانات وتسجيلها والرد عليها ضمن نافذة الثلاثين يوماً.
- اتفاقيات الأطراف الثالثة: دقّق علاقاتك مع الموردين والشركاء التي تتضمن بيانات شخصية. ضع اتفاقيات معالجة البيانات (DPA) حيثما يُشترط. وقيّم التحويلات عبر الحدود.
- خطة الاستجابة للاختراق: وثّق عملية اكتشاف الاختراق واحتوائه وتقييمه والإخطار به ومراجعة ما بعد الحادث قبل أن تحتاج إليها.
- مراجعة ضوابط الأمن: تأكد من أن إجراءاتك الأمنية التقنية والتنظيمية مناسبة لحساسية البيانات التي تعالجها.
قانون PDPL واللوائح القطاعية
يعمل قانون PDPL إلى جانب اللوائح القطاعية للبيانات والأمن — لا بدلاً منها. وتعمل المؤسسات الصحية بموجب هيئة الصحة بدبي (DHA) وأنظمة البيانات الصحية. وقد يواجه المشاركون في سلسلة التوريد الحكومية متطلبات NESA. وفهم كيفية تفاعل PDPL مع إطار قطاعك أمر أساسي — والخطأ فيه في أي اتجاه (المبالغة في التعقيد أو إغفال متطلبات تنظيمية) مكلف.
وبالنسبة إلى الشركات العاملة في ولايات قضائية متعددة، يتقاطع PDPL كذلك مع GDPR للبيانات الأوروبية، ومع أطر مماثلة في دول الخليج مع نضج تشريعات حماية البيانات في المنطقة.
كلفة عدم الامتثال
يتضمن إنفاذ PDPL عقوبات إدارية تصل إلى 20 مليون درهم عن المخالفات الجسيمة، مع مسؤولية جنائية إضافية في الحالات التي تنطوي على خرق متعمد أو إهمال جسيم. وإلى جانب العقوبات التنظيمية، فإن اختراق البيانات الذي يكشف عن إجراءات أمنية غير كافية يخلق مخاطر على السمعة وعلى العقود وعلى الأعمال، كثيراً ما تتجاوز الغرامة التنظيمية نفسها.
وكلفة برنامج امتثال منظم لا تمثل سوى جزء بسيط من كلفة التحقيق في الاختراق، والإجراء التنظيمي، وما يتبعهما من ضرر لعلاقات العملاء.
تساعد Innov@Scale الشركات في الإمارات على تقييم تعرضها لقانون PDPL وبناء برامج امتثال عملية. احجز تقييم الذكاء الاصطناعي لتفهم موقعك — دون التزام ودون عرض بيعي.
اطلع على خدمات Innov@Scale ذات الصلة
- حوكمة الذكاء الاصطناعي والامتثال — سياسات وضوابط مخاطر وأدوار واضحة لاستخدام الذكاء الاصطناعي بأمان
- استشارات الذكاء الاصطناعي في الإمارات — تقييم واستشارة وتحوّل، مع منصات شريكة ومتخصصين
- جاهزية البيانات والمنصات — تحقق من أن بياناتك وأنظمتك تدعم ما تخطط له