ما هي الالتزامات الأساسية التي يفرضها PDPL على مكاتب المحاماة عند جمع

يؤثر قانون حماية البيانات الشخصية الصادر بالمرسوم بقانون اتحادي رقم 45 لسنة 2021 (PDPL) بشكل مباشر على كيفية إدارة مكاتب المحاماة لبيانات العملاء، ويتطلب الامتثال لأحكامه المتعلقة بحقوق أصحاب البيانات ونقل البيانات عبر الحدود، ويُطبق القانون على جميع الجهات التي تعالج بيانات شخصية داخل الإمارات العربية المتحدة، بما في ذلك المكاتب التي تقدم خدمات قانونية تجارية ومستهلكية.

ما هي الالتزامات الأساسية التي يفرضها PDPL على مكاتب المحاماة عند جمع ومعالجة بيانات العملاء؟

يلزم PDPL المكاتب بالحصول على موافقة صريحة وواضحة من صاحب البيانات قبل معالجة بياناته الشخصية، مع توثيق هذه الموافقة وفق المتطلبات الشكلية المنصوص عليها في المادة 6 من القانون، كما يجب على المكتب تحديد الغرض من المعالجة بوضوح وتقييدها بما هو ضروري لتحقيق ذلك الغرض وفقاً للمادة 7، ويتعين على المكتب تبني تدابير أمنية مناسبة لحماية البيانات من الوصول غير المصرح به أو الإفصاح العرضي أو التلف، مطابقًا للمادة 8 التي تفرض اتخاذ إجراءات تقنية وتنظيمية تتناسب مع مستوى الخطر، وفي حال معالجة بيانات حساسة مثل البيانات الصحية أو البيانات المتعلقة بالأصل العرقي أو الديانات، يجب الحصول على موافقة صريحة إضافية وفقاً للمادة 9، كما يتعين على المكتب تعيين مسؤول حماية البيانات (DPO) إذا كان يجري معالجة عالية الخطورة على نطاق واسع وفقاً للمادة 10، وتوفر هذه المتطلبات إطاراً واضحاً للمكاتب لتعديل سياساتها الداخلية ونماذج عقودها لتتوافق مع المتطلبات القانونية.

كيف يجب على مكاتب المحاماة التعامل مع طلبات أصحاب البيانات ممارسة حقوقهم بموجب PDPL؟

يمنح PDPL صاحب البيانات حق الوصول إلى بياناته الشخصية وتصحيحها وحذفها وتقييد معالجتها، وكذلك حق الاعتراض على المعالجة ونقل البيانات إلى جهة أخرى، ويُلزم المكتب بالاستجابة لهذه الطلبات خلال مدة لا تزيد عن عشرين يوم عمل وفقاً للمادة 13، ويجب على المكتب توفير آلية مجانية لتقديم الطلبات واستلام الردود، وتوثيق جميع الاتصالات المتعلقة بالطلب لأغراض الإثبات، وفي حالة رفض الطلب يجب على المكتب توضيح الرفض استناداً إلى الاستثناءات المنصوص عليها في المواد 14-18، مثل ضرورة الاحتفاظ بالبيانات للامتزام الالتزام القانوني أو للدفاع عن حقوق قانونية، ويجب على المكتب إبلاغ صاحب البيانات بحقه في تقديم شكوى إلى مكتب تنظيم البيانات الشخصية (UAE Data Office) إذا لم يرضَ عن الرد، وتضمن هذه الإجراءات احترام حقوق أصحاب البيانات وتجنب المخاطر القانونية المرتبطة بعدم الامتثال.

ما هي المتطلبات التي يفرضها PDPL لنقل البيانات الشخصية خارج الإمارات، وكيف تؤثر على مكاتب المحاماة التي تتعامل مع عملاء دوليين؟

يحظر PDPL نقل البيانات الشخصية خارج الإمارات إلا إذا توافرت أحد الاستثناءات المذكورة في المواد 22-23، وتشمل هذه الاستثناءات نقل البيانات إلى دولة مدرجة في قائمة التي يصدرها مكتب تنظيم البيانات الشخصية (والتي لم تُنشر بعد)، أو الحصول على موافقة صريحة من صاحب البيانات للنقل، أو عندما يكون النقل ضرورياً لتنفيذ عقد يكون صاحب البيانات طرفاً فيه، أو عندما يكون النقل مطلوباً لأغراض دعوى قانونية أو تنفيذ التزام قانوني، ويُلزم المكتب بتوثيق الأساس القانوني لكل نقل وإجراء تقييم مخاطر قبل التنفيذ وفقاً للمادة 21، وفي حالة معالجة بيانات صحية يحظر النقل نهائياً وفقاً للقانون الاتحادي رقم 2 لسنة 2019 بشأن استخدام تقنيات المعلومات والاتصالات في مجال الصحة، ويجب على المكاتب التي تقدم خدمات لعملاء خارج الإمارات التأكد من أن أي نقل بيانات يتماشى مع هذه الاستثناءات، وإلا فإنها قد تتعرض لغرامات تصل إلى 2٪ من إجمالي الإيرادات السنوية أو 20 مليون درهم أيهما أعلى حسب المادة 48.

كيف يجب على مكاتب المحاماة تعديل سياسات الاحتفاظ بالبيانات وتدميرها لتتوافق مع PDPL؟

يوجب PDPL على المتحكم في البيانات الاحتفاظ بالبيانات الشخصية فقط للفترة اللازمة لتحقيق الغرض الذي جُمع من أجله، ويحدد المكتب مدة الاحتفاظ بناءً على المتطلبات القانونية أو التعاقدية أو التنظيمية ذات الصلة، وعلى سبيل المثال يجب الاحتفاظ بسجلات القضايا لمدة لا تقل عن خمس سنوات بعد انتهاء الإجراءات وفقاً لقانون الإجراءات المدنية، وبعد انقضاء فترة الاحتفاظ يجب على المكتب تدمير البيانات بشكل آمن يضمن عدم إمكانية استرجاعها، ويجب توثيق عمليات التدمير وتاريخها وفقاً للمادة 16، وإذا كان المكتب يهدف إلى الاحتفاظ بالبيانات لأغراض أرشيفية أو إحصائية أو علمية، يجب عليه توفير ضمانات مناسبة مثل التعمية أو التجميع وتحديد الغرض بوضوح، وتجنب الاحتفاظ بالبيانات لأغراض غير محددة أو غير مبررة يضمن الامتثال وتقليل مخاطر الانتهاك.

ما هي العقوبات التي قد تواجهها مكاتب المحاماة في حال مخالفة أحكام PDPL؟

يفرض PDPL عقوبات إدارية ومالية على المخالفين، حيث يمكن لمكتب تنظيم البيانات الشخصية إصدار إنذار أو فرض غرامة إدارية تصل إلى 200,000 درهم للمخالفات البسيطة، وفي حال تكرار المخالفة أو ارتكاب انتهاك جسيم مثل معالجة بيانات دون أساس قانوني أو نقل بيانات خارج الدولة دون استثناء مسموح به، قد تصل الغرامة إلى 2٪ من إجمالي الإيرادات السنوية للمكتب أو 20 مليون درهم أيهما أعلى وفقاً للمادة 48، بالإضافة إلى ذلك يجوز للمتضرر رفع دعوى تعويض أمام المحاكم المدنية للمطالبة بأضرار مادية ومعنوية ناتجة عن الانتهاك، ويجب على المكاتب أن تأخذ في الاعتبار أن العقوبات لا تقتصر على الغرامات المالية بل قد تشمل أمراً بوقف المعالجة أو حذف البيانات أو اتخاذ إجراءات تصحيحية تحت إشراف مكتب تنظيم البيانات الشخصية، وبالتالي فإن الالتزام ليس مجرد تجنب للعقوبات بل هو جزء من الحفاظ على السمعة المهنية والثقة من العملاء.

ما هي الخطوات العملية التي يجب على مكاتب المحاماة اتباعها لتحقيق الامتثال الكامل لـ PDPL؟

أولاً، يجب على المكتب إجراء تدقيق شامل لأنشطة معالجة البيانات الشخصية لتحديد جميع المصادر والأنواع والأغراض، وثانياً، وضع سجل معالجة البيانات (ROPA) وفقاً للمادة 20 يوثق كل نشاط معالجة مع أساسه القانوني ومدة الاحتفاظ وتدابير الأمان، ثالثاً، مراجعة وتحديث نماذج عقود العملاء واتفاقيات معالجة البيانات لتشمل بنوداً تتوافق مع المواد 8-10 (الالتزامات على المعالج) والمواد 22-23 (نقل البيانات)، رابعاً، تدريب جميع الموظفين على متطلبات PDPL وحقوق أصحاب البيانات وإجراءات الرد على الطلبات، خامساً، تعيين مسؤول حماية البيانات إذا كان المكتب يجري معالجة عالية الخطورة أو يتعامل مع كميات كبيرة من البيانات الحساسة، سادساً، تنفيذ تدابير أمنية تقنية مثل التشفير والتحكم في الوصول والمراقبة المستمرة، وسابعاً، إنشاء إجراءات داخلية لاستجابة طلبات أصحاب البيانات وتوثيقها وتقديم التقارير الدورية لمكتب تنظيم البيانات الشخصية عند الحاجة، وتطبيق هذه الخطوات يضمن ليس فقط الامتثال القانوني بل يعزز من قدرة المكتب على إدارة المخاطر وبناء الثقة مع العملاء.

الأسئلة الشائعة

ما هو الأساس القانوني الذي يُسمح بموجبه لمعالجة بيانات العملاء دون موافقة صريحة؟
يسمح بمعالجة البيانات دون موافقة صريحة عندما تكون الضرورة لتنفيذ عقد يكون صاحب البيانات طرفاً فيه، أو للامتزام الالتزام القانوني، أو لحماية المصالح الحيوية لصاحب البيانات، أو لأداء مهمة تُنفذ في المصلحة العامة أو في إطار ممارسة السلطة الرسمية، وفقاً للمادة 6 من PDPL.

هل يجب على المكاتب التي لا تتعامل مع بيانات حساسة تعيين مسؤول حماية البيانات (DPO)؟
لا، التعيين إلزامي فقط إذا كانت معالجة البيانات تتضمن مراقبة منهجية ومنتظمة للأفراد على نطاق واسع أو معالجة خاصة للبيانات الحساسة أو البيانات المتعلقة بالأحكام الجنائية، وفقاً للمادة 10 من PDPL.

ما هو الحد الأقصى لفترة الاستجابة لطلب ممارسة حق الوصول إلى البيانات؟
يجب على المتحكم في البيانات الاستجابة لطلب الوصول خلال عشرين يوم عمل من تاريخ استلام الطلب، ويمكن تمديد الفترة لفترة נוספת مماثلة في حالة طلبات معقدة أو متعددة، مع إبلاغ صاحب البيانات بالتمديد وأسبابه وفقاً للمادة 13 من PDPL.

هل يمكن للمكتب نقل بيانات عميل إلى دولة خارج الإمارات إذا حصل على موافقة عميل مكتوبة؟
نعم، إذا كانت الموافقة صريحة ومحددة ومعلوماتية وتشمل تفاصيل النقل والوجهة والغرض، فإنها تشكل أساساً قانونياً للنقل وفقاً للمادة 23 من PDPL، ومع ذلك يجب على المكتب الاحتفاظ بدليل على هذه الموافقة وتقييم ما إذا كانت هناك بدائل أقل خطراً.

ما هي العواقب إذا استمر المكتب في معالجة بيانات بعد انتهاء الغرض المحدد لها؟
استمرار المعالجة بعد انتهاء الغرض يُعتبر مخالفة لمبدأ تحديد الغرض المنصوص عليه في المادة 7 من PDPL، وقد يؤدي إلى فرض غرامات إدارية وإصدار أوامر بوقف المعالجة أو حذف البيانات، بالإضافة إلى إمكانية رفع دعاوى تعويض من قبل أصحاب البيانات المتضررين.

إذا كانت مسألتك تتعلق بـقانون حماية البيانات الشخصية الأثر على المكاتب في الإمارات العربية المتحدة، يسعدنا أن تطلب استشارة من مكتب نور للمحاماة. يستطيع فريقنا تقييم وضعك وفقًا للقانون المعمول به حاليًا وبيان الخيارات المتاحة لك. اطلب استشارة

تُقدَّم هذه المقالة لأغراض إعلامية عامة فقط ولا تشكّل استشارة قانونية. ولا تنشئ قراءة هذه المقالة أو التواصل مع مكتب نور للمحاماة عبر هذا الموقع علاقة محامٍ بموكّل؛ فهذه العلاقة لا تنشأ إلا بعد فحص تعارض المصالح وتوقيع اتفاق التوكيل. ولا ترسل معلومات سرية عبر هذا الموقع؛ فالمعلومات المقدَّمة قبل التوكيل لا تتمتع بالسرية المهنية. والنتائج السابقة لا تضمن نتائج مستقبلية.ويمارس محامو المكتب في الولايات القضائية المبيَّنة في ملفاتهم الشخصية؛ وتتناول هذه المقالة قانون الإمارات العربية المتحدة دون غيره.