← Назад в базу знаний
СОБЛЮДЕНИЕ ЗАКОНОДАТЕЛЬСТВА

Закон ОАЭ о защите персональных данных (PDPL) 2026: Руководство по соблюдению требований для бизнеса

Закон ОАЭ о защите персональных данных (PDPL) теперь полностью вступил в силу, представляя собой критически важное правовое требование для всех организаций. Несоблюдение грозит серьезными штрафами до 5 миллионов дирхамов ОАЭ, в то время как надежная система формирует непревзойденное доверие клиентов. Это исчерпывающее руководство предоставляет вам практическую дорожную карту на 12 месяцев для уверенного выполнения требований 2026 года.

⚖️
5 млн дирхамов
МАКСИМАЛЬНЫЙ ШТРАФ
⏱️
72 ЧАСА
УВЕДОМЛЕНИЕ ОБ УТЕЧКЕ
📅
30 ДНЕЙ
СРОК ЗАПРОСА ДАННЫХ

Ориентирование в меняющемся нормативном ландшафте ОАЭ имеет решающее значение для долголетия бизнеса и доверия. С 2026 года Закон ОАЭ о защите персональных данных (PDPL) полностью вступил в силу, представляя собой как правовое требование, так и стратегическую возможность для организаций. Несоблюдение влечет за собой серьезные финансовые и репутационные риски, в то время как надежная система защиты данных может стать конкурентным преимуществом. Это подробное руководство разъясняет требования PDPL на 2026 год, штрафы и предлагает четкую, практическую дорожную карту для внедрения, обеспечивая вашему бизнесу уверенную и добросовестную работу.

🛡️ Защитите свой бизнес от штрафов PDPL

Один пробел в соблюдении требований может стоить миллионов. Позвольте нашим экспертам обезопасить ваши методы работы с данными.

🚀 Начать аудит соответствия

✓ Анализ пробелов | ✓ Оценка рисков | ✓ Индивидуальный план действий

Понимание PDPL 2026: Сфера действия и полномочия

PDPL ОАЭ, Федеральный декрет-закон № 45 от 2021 года, является основополагающим нормативным актом страны по защите данных. После льготного периода для внедрения 2026 год знаменует собой год полного правоприменения. Закон применяется ко всей обработке персональных данных в ОАЭ, включая свободные зоны (за исключением DIFC и ADGM, у которых есть собственные режимы). Он также имеет экстерриториальное действие, распространяясь на организации за пределами ОАЭ, которые обрабатывают данные лиц, находящихся внутри страны.

Управление данных ОАЭ, созданное в соответствии с законом, является независимым регулирующим органом. Оно контролирует соблюдение требований, выпускает руководящие принципы и рассматривает жалобы. Для бизнеса это означает, что все методы работы с данными — от систем CRM для клиентов до кадровых записей сотрудников — должны соответствовать принципам PDPL. Важно, что закон определяет ключевые роли: Контролер данных (который решает, зачем и как обрабатываются данные) и Обработчик данных (который действует по инструкциям контролера).

🏛️ Ключевой вывод: Орган PDPL

Управление данных ОАЭ является вашим основным контактным лицом по вопросам соблюдения требований, регистрации и официальным руководствам. Всегда обращайтесь к их последним публикациям для получения авторитетных разъяснений.

Vesta Solutions может помочь: Понимание ваших юридических обязательств по PDPL — это первый критически важный шаг. Наша команда предоставляет базовую юридическую консультацию для разъяснения вашего статуса как контролера или обработчика и применения закона к вашим конкретным операциям.

Основные принципы и права субъектов данных

PDPL основан на семи основополагающих принципах законной обработки данных. Это: законность и справедливость, ограничение цели, минимизация данных, точность, ограничение хранения, целостность и конфиденциальность, а также подотчетность. На практике это означает, что у вас должно быть законное основание (например, согласие или договорная необходимость) для сбора данных, использование их только в заявленных целях и обеспечение их безопасности и точности.

Одновременно закон предоставляет мощные права физическим лицам (субъектам данных). Предприятия должны иметь эффективные процессы для обработки запросов, связанных с этими правами, в установленные сроки.

7 основных принципов обработки PDPL

Принцип Что это значит для вашего бизнеса
Законность и справедливость У вас должно быть четкое правовое основание (согласие, договор, юридическое обязательство и т.д.) для обработки данных. Согласие должно быть добровольным, конкретным и информированным.
Ограничение цели Собирайте данные для явных, законных целей. Вы не можете впоследствии обрабатывать их способом, несовместимым с этими первоначальными целями.
Минимизация данных Собирайте только те данные, которые являются адекватными, релевантными и необходимыми для ваших заявленных целей. Избегайте «желательных, но не обязательных» точек данных.
Точность Принимайте разумные меры для обеспечения точности персональных данных и, при необходимости, их актуальности.
Ограничение хранения Храните данные в форме, позволяющей идентифицировать субъектов, только в течение времени, необходимого для целей обработки.
Целостность и конфиденциальность Обрабатывайте данные безопасно, используя соответствующие технические и организационные меры для защиты от несанкционированной или незаконной обработки.
Подотчетность Вы несете ответственность за демонстрацию соблюдения всех вышеперечисленных принципов.

📄 Инсайт: Обработка запросов субъектов данных

Право субъекта данных на доступ или удаление своей информации обычно должно быть выполнено в течение 30 дней. Установите четкий внутренний рабочий процесс с вашими юридическими и ИТ-отделами для эффективного управления этими запросами и избежания штрафов за задержку.

Vesta Solutions может помочь: Внедрение этих принципов в практику требует четких политик и обучения персонала. Мы помогаем в составлении соответствующих уведомлений о конфиденциальности, форм согласия и внутренних процедур для соблюдения прав субъектов данных, гарантируя готовность вашей команды.

Обязанности контролеров и обработчиков данных

PDPL возлагает конкретные обязанности как на контролеров, так и на обработчиков. Как контролер, ваша основная обязанность — внедрить соответствующие технические и организационные меры для обеспечения и демонстрации соответствия. Это включает проведение оценок воздействия на защиту данных (DPIA) для видов обработки с высоким риском и ведение подробных записей о деятельности по обработке (ROPA).

Обработчики должны действовать только в соответствии с задокументированными инструкциями контролера. Юридически обязывающее соглашение об обработке данных является обязательным между контролером и обработчиком, в котором указываются объем, цель и обязательства по безопасности. Кроме того, в случае утечки персональных данных контролеры должны уведомить Управление данных ОАЭ в течение 72 часов с момента обнаружения, если утечка представляет риск для физических лиц.

Обязательные положения в соглашении об обработке данных (DPA), соответствующем PDPL

Положение Описание
Предмет и срок действия Четко определите виды обработки, типы данных и срок действия соглашения.
Характер и цель Укажите точную цель обработки, как определено контролером.
Тип и категории данных Перечислите конкретные категории обрабатываемых персональных данных (например, контактные данные клиентов, идентификаторы сотрудников).
Обязанности контролера Опишите обязанности контролера, включая предоставление законных инструкций.
Меры безопасности обработчика Детализируйте технические и организационные меры безопасности, которые должен внедрить обработчик.
Субобработка Укажите, разрешена ли субобработка и на каких условиях (обычно требуется предварительное письменное согласие контролера).
Уведомление об утечке Определите обязанность обработчика немедленно информировать контролера о любой утечке данных.
Возврат/удаление данных Укажите, что происходит с данными по окончании договорных отношений.

Vesta Solutions может помочь: Составление и согласование этих критически важных контрактов — сложная задача. Наша услуга коммерческих контрактов гарантирует, что ваши DPA и внутренние записи соответствуют строгим требованиям PDPL, защищая ваш бизнес от ответственности.

📑 Обезопасьте соглашения с поставщиками и обработчиками данных

Не позволяйте слабому контракту с облачным провайдером или маркетинговым агентством стать вашей ответственностью.

⚖️ Проверить мои DPA сейчас

✓ Постатейный анализ | ✓ Снижение рисков | ✓ Составление в соответствии с PDPL

Ваша дорожная карта соблюдения PDPL: План на 12 месяцев

Достижение соответствия — это проект, а не разовая задача. Следуйте этой структурированной 12-месячной дорожной карте, чтобы построить устойчивую программу защиты данных.

💼 План действий: Месяцы 1-3 (Осведомленность и оценка)

  • Назначьте сотрудника по защите данных (DPO): Определите лицо, ответственное за соблюдение требований, особенно если ваша основная деятельность включает крупномасштабный систематический мониторинг или обработку конфиденциальных данных.
  • Проведите инвентаризацию данных (ROPA): Составьте карту всех потоков данных. Какие данные вы собираете? Где они хранятся? Кто имеет к ним доступ? Зачем вы их обрабатываете? Это ваш самый важный документ.
  • Анализ пробелов: Сравните текущие практики с требованиями PDPL, чтобы выявить критические уязвимости.

💼 План действий: Месяцы 4-6 (Разработка политик и процессов)

  • Разработайте основные политики: Составьте/обновите Политику конфиденциальности, План реагирования на утечки данных, Процедуру обработки запросов субъектов данных и Политику хранения данных.
  • Установите правовые основания: Проверьте и задокументируйте законное основание (согласие, договор и т.д.) для каждого вида обработки, отображенного в вашей ROPA.
  • Внедрите систему безопасности: Усильте технические (шифрование, контроль доступа) и организационные (обучение, NDA) меры безопасности.

Последние шесть месяцев сосредоточены на интеграции, обучении и текущем управлении. Это включает внедрение общеорганизационного обучения, проведение DPIA для любой обработки с высоким риском, завершение всех DPA с поставщиками и проведение имитационного аудита для проверки ваших механизмов реагирования.

Vesta Solutions может помочь: Реализация этой дорожной карты требует специальных знаний. Наши услуги по корпоративному управлению и соблюдению требований предоставляют управление проектами и специализированные знания для проведения вас через каждый этап, гарантируя, что ни один шаг не будет пропущен.

Штрафы и правоприменение: Цена несоблюдения

Управление данных ОАЭ имеет право налагать значительные административные штрафы за нарушения PDPL. Штрафы дифференцируются в зависимости от серьезности нарушения, типа задействованных данных и уровня сотрудничества контролера. Штрафы за серьезные нарушения могут достигать 5 миллионов дирхамов ОАЭ. Помимо штрафов, регулирующий орган может применять корректирующие меры, такие как обязательные аудиты, временные или постоянные запреты на обработку и публичные предупреждения, что может быть разрушительным для репутации.

⚠️ Критическое напоминание: Уведомление об утечке
Несообщение о квалифицируемой утечке персональных данных в Управление данных ОАЭ в течение 72 часов может повлечь за собой отдельный значительный штраф. Ваш план реагирования на инциденты должен быть четким, проверенным и быстрым.

Правоприменение активно. Орган проводит аудиты и расследует жалобы. Упреждающее соблюдение требований — единственная эффективная стратегия. Помните, штрафы могут применяться как к компании, так и к ответственным менеджерам, что подчеркивает необходимость поддержки на уровне руководства.

Отраслевые особенности и трансграничная передача данных

Определенные сектора сталкиваются с дополнительными уровнями регулирования. Например, финансовые учреждения также должны соблюдать руководящие принципы Центрального банка по кибербезопасности и защите данных. Поставщики медицинских услуг обрабатывают конфиденциальные данные о здоровье, для которых в PDPL установлены более строгие условия обработки. Маркетинговые компании должны уделять особое внимание правилам прямого маркетинга и действительного согласия.

Основной сложностью является трансграничная передача данных. Передача персональных данных за пределы ОАЭ ограничена, если только страна назначения не признана Управлением данных ОАЭ имеющей адекватный уровень защиты или не установлены соответствующие гарантии (например, Стандартные договорные положения). Предприятия с региональными или глобальными операциями должны тщательно картировать международные потоки данных и внедрять эти гарантии. Использование наших услуг PRO может упростить коммуникацию с регулирующими органами по поводу таких передач.

Пример из практики: Путь соблюдения требований малого и среднего предприятия в Дубае

Компания: «Desert Rose Tech», малое и среднее предприятие электронной коммерции на материковой части Дубая с 35 сотрудниками, обрабатывающее данные клиентов локально и использующее облачного CRM-провайдера за рубежом.

Проблема: Из-за отсутствия формального управления данными они столкнулись с неясными потоками данных, отсутствием плана реагирования на утечки и несоответствующей трансграничной передачей данных своему облачному провайдеру.

Решение и сроки (9 месяцев):

  • Месяцы 1-2: Привлекли консультанта по соблюдению требований для проведения полного картирования данных (ROPA) и анализа пробелов.
  • Месяцы 3-4: Назначили внутреннего DPO, разработали политику конфиденциальности и план реагирования на утечки, начали обучение сотрудников по повышению осведомленности.
  • Месяцы 5-6: Согласовали и подписали соответствующее PDPL соглашение об обработке данных (DPA) со своим облачным CRM-провайдером для легализации трансграничной передачи.
  • Месяцы 7-9: Внедрили усиленные меры безопасности (шифрование, проверки доступа) и провели финальный внутренний аудит.

Результат: Desert Rose Tech достигла демонстрируемого соответствия, укрепила доверие клиентов и была готова к возможному запросу регулирующего органа. Общая стоимость проекта составила приблизительно 85 000 дирхамов ОАЭ, что является малой долей потенциальных штрафов за несоблюдение требований.

Часто задаваемые вопросы

Распространяется ли PDPL на компании в свободных зонах?
Да, PDPL применяется ко всем компаниям на материковой части ОАЭ и в свободных зонах, за исключением DIFC и ADGM, которые действуют в соответствии с собственными законами о защите данных. Однако компаниям в DIFC/ADGM, обрабатывающим данные лиц за пределами этих юрисдикций, возможно, все равно потребуется учитывать PDPL.
Что считается «конфиденциальными персональными данными» по PDPL?
Конфиденциальные данные включают информацию, раскрывающую расовое или этническое происхождение, политические взгляды, религиозные или философские убеждения, членство в профсоюзах, данные о здоровье, биометрические данные и генетические данные. Обработка таких данных запрещена, если не соблюдены конкретные, более строгие условия.
Всегда ли нам нужно согласие на обработку персональных данных?
Нет. Согласие — это одно из нескольких законных оснований. Вы также можете обрабатывать данные, если это необходимо для выполнения договора, соблюдения юридического обязательства, защиты жизненно важных интересов, выполнения задачи в общественных интересах или для ваших законных интересов.
Кого следует назначить сотрудником по защите данных (DPO)?
DPO должен обладать экспертными знаниями в области законодательства и практики защиты данных. Это может быть существующий сотрудник, специально нанятый новый сотрудник или внешний поставщик услуг. Ключевым моментом является то, что DPO должен действовать независимо и отчитываться непосредственно перед высшим руководством.
Каковы требования к ведению записей?
Контролеры и обработчики должны вести запись о деятельности по обработке (ROPA). Она должна включать такие детали, как цели обработки, категории данных, информацию о получателях, трансграничные передачи и сроки хранения. Эта запись должна быть предоставлена Управлению данных ОАЭ по запросу.
Как PDPL взаимодействует с другими законами ОАЭ, такими как Закон о киберпреступности?
PDPL действует наряду с другими нормативными актами. Серьезная утечка данных может привести к штрафам по PDPL за несоблюдение требований, а также вызвать отдельную уголовную ответственность по Закону ОАЭ о киберпреступности за несанкционированный доступ или утечку данных.

🤔 Все еще есть вопросы о PDPL?

Получите четкие, практические ответы от наших сертифицированных экспертов по защите данных.

📞 Записаться на консультацию

✓ 30-минутная сессия | ✓ Консультация без обязательств | ✓ Адаптировано под ваш бизнес

🌟 Превратите соблюдение требований в конкурентное преимущество

Не рассматривайте PDPL ОАЭ просто как центр затрат. Надежная система защиты данных формирует непоколебимое доверие клиентов, снижает катастрофические финансовые риски и позиционирует ваш бизнес как лидера в области добросовестности. Начните свой путь сегодня.

🚀 Получить бесплатную дорожную карту соблюдения PDPL

✓ План действий на 12 месяцев | ✓ Рекомендации DPO | ✓ Шаблоны политик | ✓ Проверка DPA поставщиков

Изучите больше услуг Vesta Solutions

Создайте комплексную юридическую и бизнес-основу в ОАЭ с помощью наших интегрированных услуг.

Эмблема ОАЭ Авторитетные источники и ссылки