سياسات الخصوصية للشركات في الإمارات: PDPL وDIFC وADGM

سياسات الخصوصية للشركات في الإمارات العربية المتحدة: المتطلبات القانونية بموجب PDPL وقوانين DIFC وADGM

رسّخت الإمارات العربية المتحدة مكانتها مركزاً عالمياً للابتكار والتمويل والتكنولوجيا. ويأتي النمو الرقمي المتسارع بمسؤولية واضحة: حماية الكميات الكبيرة من البيانات الشخصية التي تتداول في الاقتصاد. وبالنسبة لأي شركة تعمل في الإمارات العربية المتحدة، سواء في البر الرئيسي أو في منطقة حرة، لم تعد سياسة الخصوصية المتوافقة مع القانون مجرد إجراء شكلي، بل أصبحت متطلباً قانونياً أساسياً وركيزة لثقة العملاء.

ذو صلة: اطّلعوا على خدماتنا في تأسيس الشركات في البر الرئيسي للحصول على دعم قانوني ذي صلة في الإمارات العربية المتحدة.

شهد قانون حماية البيانات في الإمارات العربية المتحدة تغيرات كبيرة، توّجها المرسوم بقانون اتحادي رقم 45 لسنة 2021 بشأن حماية البيانات الشخصية (PDPL). وقد أرسى هذا التشريع، إلى جانب الأنظمة المستقلة والصارمة بالقدر نفسه لكل من مركز دبي المالي العالمي (DIFC) وسوق أبوظبي العالمي (ADGM)، مستوى جديداً من المساءلة.

ويجب أن تكون سياسة الخصوصية المُحكمة الصياغة اليوم وثيقة شفافة وسهلة الوصول تبيّن كيف تفي الشركة بهذه المتطلبات القانونية. ويشرح هذا الدليل المتطلبات الأساسية لسياسة الخصوصية في الإمارات العربية المتحدة، لكي تظل شركتكم ملتزمة وقادرة على المنافسة. ويبدأ هذا الأساس القانوني بـالهيكلة المؤسسية والحوكمة السليمة.

ذو صلة: اطّلعوا على خدماتنا في الاستشارات في قانون العقارات للحصول على دعم قانوني ذي صلة في الإمارات العربية المتحدة.

الأساس: القانون الاتحادي لحماية البيانات الشخصية في الإمارات العربية المتحدة (PDPL)

يبيّن هذا القسم كيف يحدد قانون PDPL مضمون سياسة الخصوصية للشركات في الإمارات العربية المتحدة، بدءاً من نطاق تطبيقه وصولاً إلى المعلومات التي يجب أن تقدمها السياسة لأصحاب البيانات.

ذو صلة: اطّلعوا على خدمة مسؤول حماية البيانات للحصول على دعم قانوني ذي صلة في الإمارات العربية المتحدة.

يوفّر المرسوم بقانون اتحادي رقم 45 لسنة 2021، المعروف عادةً بقانون PDPL الإماراتي، الإطار الاتحادي الشامل لحماية البيانات. وهو قانون شامل يسري على أي معالجة للبيانات الشخصية، كلياً أو جزئياً، من خلال الأنظمة الإلكترونية، داخل الدولة أو خارجها.

ذو صلة: اطّلعوا على خدماتنا في الاستشارات في الامتثال لتنظيم البيانات للحصول على دعم قانوني ذي صلة في الإمارات العربية المتحدة.

النطاق والأثر خارج الحدود الإقليمية

يتمتع قانون PDPL بنطاق واسع، إذ يسري على أي متحكم أو معالج قائم في الإمارات العربية المتحدة يعالج بيانات شخصية.

والأهم أن له أيضاً أثراً خارج الحدود الإقليمية، فهو يسري على الجهات الموجودة خارج الإمارات العربية المتحدة التي تعالج البيانات الشخصية لأصحاب بيانات مقيمين في الإمارات العربية المتحدة. ولذلك لا تستطيع الشركات العالمية التي تستهدف السوق الإماراتية تجنّب الامتثال لمجرد وجودها الفعلي في مكان آخر.

المبادئ الأساسية لمعالجة البيانات

يجب أن تحكم عدة مبادئ أساسية جميع عمليات معالجة البيانات بموجب قانون PDPL، ويجب بالتالي أن تنعكس في سياسة الخصوصية. وقد وُضعت هذه المبادئ لضمان التعامل مع البيانات بمسؤولية وأخلاقية:

1. المشروعية والإنصاف والشفافية: يجب أن تتم المعالجة بصورة مشروعة ومنصفة وشفافة تجاه صاحب البيانات.
2. تحديد الغرض: يجب جمع البيانات لغرض محدد وواضح ومشروع، وألا تُعالج بطريقة تتعارض مع ذلك الغرض.
3. تقليل البيانات: يجب أن تكون البيانات الشخصية كافية وذات صلة ومقتصرة على ما هو ضروري للأغراض التي تُعالج من أجلها.
4. الدقة: يجب أن تكون البيانات دقيقة، وأن تُحدَّث عند الضرورة.
5. الأمن والحماية: يجب تطبيق تدابير تقنية وتنظيمية مناسبة (TOMs) لحماية البيانات الشخصية.
6. تحديد مدة التخزين: يجب ألا تُحفظ البيانات لمدة أطول مما هو ضروري لتحقيق غرض المعالجة.
7. المساءلة: يتحمل المتحكم مسؤولية إثبات الامتثال للقانون.

المكونات الإلزامية لسياسة الخصوصية

لا يستخدم قانون PDPL مصطلح "سياسة الخصوصية" صراحةً. غير أن متطلبات الشفافية فيه وحق صاحب البيانات في الوصول إلى المعلومات يفرضان فعلياً إعداد سياسة شاملة ونشرها. ويجب أن تُبلغ السياسة صاحب البيانات بوضوح بالمعلومات التالية:

• هوية المتحكم ومسؤول حماية البيانات: هوية المتحكم وبيانات الاتصال به، وكذلك، حيثما ينطبق ذلك، مسؤول حماية البيانات (DPO) أو من يعادله من ممثلين.
• الغرض والأساس المشروع: بيان واضح لغرض المعالجة والأساس المشروع المحدد الذي يُستند إليه (مثل الموافقة، أو الضرورة لتنفيذ عقد، أو الالتزام القانوني).
• فئات البيانات: فئات البيانات الشخصية التي تُجمع وتُعالج (مثل بيانات التعريف، والبيانات المالية، والبيانات الحساسة).
• المتلقون: فئات الجهات أو الأفراد الذين ستُشارك معهم البيانات الشخصية (مثل مزودي الخدمات من الأطراف الثالثة، والجهات الحكومية).
• الاحتفاظ بالبيانات: المعايير المستخدمة لتحديد مدة الاحتفاظ بالبيانات، وآليات التخلص الآمن منها.
• النقل عبر الحدود: تفاصيل أي نقل للبيانات الشخصية إلى خارج الإمارات العربية المتحدة، والضمانات المعمول بها لكفالة حمايتها.
• حقوق صاحب البيانات: شرح واضح لحقوق صاحب البيانات والآليات العملية لممارستها.

تستمد بنية قانون PDPL ومبادئه الكثير من المعايير العالمية مثل اللائحة العامة لحماية البيانات في الاتحاد الأوروبي (GDPR)، مع تكييفات محلية. ويؤكد إنشاء مكتب الإمارات للبيانات بوصفه الجهة التنظيمية الاتحادية التزام الدولة بنظام مركزي ومتين لحماية البيانات.

حقوق أصحاب البيانات التي يجب أن تشرحها سياسة الخصوصية في الإمارات العربية المتحدة

من الوظائف الرئيسية لسياسة الخصوصية إعلام أصحاب البيانات بحقوقهم وكيفية ممارستها. ويمنح قانون PDPL الأفراد عدة حقوق مهمة على بياناتهم الشخصية، مما يضع عبئاً كبيراً على المتحكمين لإنشاء وسائل سهلة الوصول وفعالة للتعامل مع الطلبات.

الحقوق الرئيسية لأصحاب البيانات بموجب قانون PDPL

يجب أن تبيّن سياسة الخصوصية بوضوح الحقوق التالية:

• حق الوصول والحصول: الحق في طلب الوصول إلى بياناتهم الشخصية والحصول على نسخة منها بصيغة مقروءة وواضحة. ويشمل ذلك أيضاً الحق في نقل البيانات، الذي يتيح لصاحب البيانات تلقي بياناته الشخصية بصيغة منظمة وشائعة الاستخدام وقابلة للقراءة آلياً، ونقل تلك البيانات إلى متحكم آخر.
• حق التصحيح والمحو: الحق في طلب تصحيح البيانات الشخصية غير الدقيقة. ويُكمّل ذلك الحق في المحو (الذي يُسمى غالباً "الحق في النسيان")، الذي يتيح لصاحب البيانات طلب حذف بياناته الشخصية في ظروف معينة، مثل عندما لا تعود البيانات ضرورية للغرض الذي جُمعت من أجله.
• حق التقييد والاعتراض: الحق في طلب تقييد المعالجة أو إيقافها مؤقتاً في حالات محددة. ولصاحب البيانات أيضاً الحق في الاعتراض على معالجة بياناته الشخصية، لا سيما إذا كانت المعالجة لأغراض التسويق المباشر.

تطبيق السياسة وسهولة الوصول إليها

يجب أن تكون سياسة الخصوصية أكثر من مجرد وثيقة جامدة، إذ يجب أن تكون قناة فاعلة لإعمال هذه الحقوق.

يجب على المتحكمين توفير قنوات واضحة وعملية وسهلة الاستخدام (مثل عناوين بريد إلكتروني مخصصة، أو نماذج إلكترونية، أو مراكز خدمة فعلية) ليقدّم أصحاب البيانات طلباتهم من خلالها. وينبغي أن تحدد السياسة المدة الزمنية التي سيرد خلالها المتحكم. ويجب أن تُقدَّم الردود "دون تأخير غير مبرر" وخلال مدة معقولة وفقاً لما تحدده اللائحة التنفيذية. ويتطلب الوفاء بالمتطلبات التقنية والقانونية التي تقوم عليها هذه الحقوق دعماً متخصصاً في الامتثال لحماية البيانات.

للحصول على إرشاد قانوني متخصص، اطّلعوا على صفحتي خدماتنا الاستشارات في قانون حماية البيانات والخصوصية وتأسيس الشركات في البر الرئيسي في دبي.

التزامات المتحكم التي تتجاوز سياسة الخصوصية

يتجاوز الامتثال لقانون PDPL بكثير مجرد نشر سياسة خصوصية. إذ يفرض القانون على المتحكمين التزامات تشغيلية وتقنية كبيرة، يجب إدارتها جميعاً ضمن استراتيجية شاملة لحوكمة البيانات.

الأمن والتدابير التقنية والتنظيمية (TOMs)

يُلزم المتحكمون بتطبيق تدابير تقنية وتنظيمية (TOMs) مناسبة لحماية البيانات الشخصية من المعالجة غير المصرح بها أو غير المشروعة، ومن الفقدان أو الإتلاف أو الضرر العرضي. ويجب أن تتناسب هذه التدابير مع طبيعة نشاط المعالجة ونطاقه ومخاطره.

وينبغي أن تتضمن سياسة الخصوصية بياناً عاماً بالتدابير الأمنية المعمول بها، يطمئن أصحاب البيانات إلى أن معلوماتهم محمية.

الخصوصية في التصميم وبشكل افتراضي

يشترط قانون PDPL ضمنياً اعتماد مبدأ الخصوصية في التصميم وبشكل افتراضي، أي أنه يجب إدماج ضمانات حماية البيانات في تصميم جميع الأنظمة وإجراءات العمل منذ البداية.

وينبغي أن تكون الإعدادات الافتراضية لأي خدمة أو منتج هي الأكثر مراعاةً للخصوصية. وينبغي أن تعكس سياسة الخصوصية هذا الالتزام بحماية البيانات بصورة استباقية لا تفاعلية.

تقييمات الأثر على حماية البيانات (DPIAs)

يجب على المتحكمين إجراء تقييم للأثر على حماية البيانات (DPIA) قبل البدء بأي نشاط معالجة عالي المخاطر. ويكون هذا التقييم إلزامياً في الحالات التالية:

• عندما قد تُنتج المعالجة الآلية أو التنميط آثاراً قانونية أو تؤثر في الأفراد تأثيراً كبيراً.
• عند معالجة كميات كبيرة من البيانات الشخصية الحساسة.
• عند استخدام تقنيات جديدة قد تؤثر في خصوصية أصحاب البيانات.

تُسهم نتائج هذا التقييم، التي تشمل تقييم الضرورة والتناسب وتدابير الحد من المخاطر، في توجيه استراتيجية البيانات الشاملة للمتحكم. وينبغي الإشارة إليها في سياسة الخصوصية بوصفها جزءاً من الالتزام بإدارة المخاطر.

سجل أنشطة المعالجة (RoPA)

يُلزم قانون PDPL المتحكمين بالاحتفاظ بـسجل مفصّل لأنشطة المعالجة (RoPA). وهذه الوثيقة الداخلية الشاملة تتضمن معلومات عن المتحكم، ومسؤول حماية البيانات، وفئات البيانات الشخصية، وأغراض المعالجة، وعمليات النقل عبر الحدود، والتدابير الأمنية.

ومع أن هذا السجل وثيقة داخلية، فإن سياسة الخصوصية هي الملخص الموجّه للجمهور للأنشطة التي يسجلها. ويجب تقديم السجل إلى مكتب الإمارات للبيانات عند الطلب.

الإخطار بالاختراقات

من أهم الالتزامات اشتراط الإخطار بالاختراقات. فإذا كان من المرجح أن يؤدي اختراق البيانات الشخصية إلى خطر على خصوصية صاحب البيانات وسرية بياناته، وجب على المتحكم إخطار مكتب الإمارات للبيانات والأفراد المتأثرين دون تأخير غير مبرر.

وينبغي أن تبيّن سياسة الخصوصية بوضوح التزام المتحكم بإجراءات الإخطار هذه والخطوات المتخذة للحد من أثر أي اختراق. وتُعد هذه المسؤوليات جزءاً لا يتجزأ من الحوكمة المؤسسية السليمة.

سياسات الخصوصية في المنطقتين الحرتين DIFC وADGM

بالنسبة للشركات العاملة في المناطق الحرة المالية في الإمارات العربية المتحدة، أي مركز دبي المالي العالمي (DIFC) وسوق أبوظبي العالمي (ADGM)، تكون صورة الامتثال أكثر دقة وتعقيداً. إذ تمتلك هاتان المنطقتان أنظمة متطورة ومستقلة خاصة بهما لحماية البيانات، تعمل بالتوازي مع قانون PDPL الاتحادي.

قانون حماية البيانات في DIFC (DPL) لسنة 2020

يُعد قانون حماية البيانات في DIFC رقم 5 لسنة 2020 على نطاق واسع من أكثر قوانين حماية البيانات تقدماً في المنطقة، وهو يحاكي اللائحة العامة لحماية البيانات (GDPR) بشكل وثيق. ويتولى إنفاذه مفوض حماية البيانات، ويسري على جميع الجهات القائمة داخل DIFC.

لوائح حماية البيانات في ADGM لسنة 2021

توفّر لوائح حماية البيانات في ADGM لسنة 2021 إطاراً شاملاً للجهات العاملة في ADGM. ويتولى إنفاذها مكتب حماية البيانات، وهي أيضاً متأثرة إلى حد كبير باللائحة العامة لحماية البيانات (GDPR)، وتوفّر مستوى عالياً من الحماية.

تحدي الامتثال المزدوج

تُنشئ هذه الأنظمة الثلاثة المختلفة (قانون PDPL الاتحادي، وقانون DPL في DIFC، ولوائح DPR في ADGM) تحدياً في الامتثال المزدوج لكثير من الشركات. فالشركة التي تعمل في البر الرئيسي وفي DIFC معاً، على سبيل المثال، يجب أن تلتزم بالأشد بين القانونين في أي نشاط معالجة بعينه.

وبالنسبة لسياسة الخصوصية، يعني ذلك ما يلي:

• وضوح النطاق: يجب أن تحدد السياسة بوضوح القانون الذي يسري على كل نشاط معالجة، أو على كل جهة ضمن الهيكل المؤسسي.
• تحديد الجهة التنظيمية: يجب أن تحدد السياسة بشكل صحيح السلطة الرقابية المختصة (مكتب الإمارات للبيانات، أو مفوض DIFC، أو مكتب حماية البيانات في ADGM).
• المتطلبات الخاصة: مع أن المبادئ الأساسية متشابهة، توجد فروق دقيقة في آليات الموافقة، والمهل الزمنية للإخطار بالاختراقات، وهياكل الغرامات، ويجب أن تنعكس بدقة في السياسة.

بالنسبة للشركات التي تفكر في التأسيس في هاتين المنطقتين أو القائمة فيهما بالفعل، يُعد الحصول على مشورة متخصصة في التأسيس في المناطق الحرة والامتثال أمراً أساسياً في هذه البيئة متعددة الاختصاصات القضائية.

الخاتمة: خطواتكم التالية نحو الامتثال

المتطلبات القانونية لسياسة الخصوصية في الإمارات العربية المتحدة واضحة وشاملة وغير قابلة للتفاوض. إذ يفرض قانون PDPL وقانون DPL في DIFC ولوائح DPR في ADGM مجتمعةً مستوى عالياً من الشفافية والمساءلة والصرامة التقنية على جميع الشركات التي تعالج بيانات شخصية.

الامتثال ليس مشروعاً يُنجز مرة واحدة، بل هو عملية مستمرة من المتابعة والتحديث والتدقيق. ومخاطر عدم الامتثال، بما فيها العقوبات المالية الكبيرة والتحقيقات التنظيمية والضرر الدائم بالسمعة، أكبر من أن يُتغاضى عنها.

ومن خلال التعامل مع سياسة الخصوصية بوصفها وثيقة حية تعكس بدقة التزامكم بحماية البيانات، تفون بالتزاماتكم القانونية وتبنون ميزة تنافسية قائمة على الثقة والنزاهة.

لضمان حماية شركتكم بالكامل وامتثالها لقوانين حماية البيانات في الإمارات العربية المتحدة، تواصلوا مع نور اتورنيز اليوم.

خدمات ذات صلة: اطّلعوا على خدماتنا في الاستشارات في قانون العمل والتوظيف والامتثال لمكافحة غسل الأموال للحصول على دعم قانوني عملي في المجالات ذات الصلة.

إخلاء مسؤولية: المعلومات الواردة في هذا المقال هي لأغراض إعلامية عامة فقط ولا تُشكّل استشارة قانونية. وينبغي للقرّاء الحصول على استشارة قانونية متخصصة تناسب ظروفهم الخاصة قبل اتخاذ أي قرارات أو القيام بأي إجراء استناداً إلى محتوى هذا المقال.

فريق نور اتورنيز

مصادر إضافية

اطّلعوا على المزيد من مقالاتنا في مواضيع ذات صلة:

• سياسة الخصوصية للمواقع الإلكترونية في الإمارات العربية المتحدة: المتطلبات القانونية
• امتثال شركات الرعاية الصحية وخصوصية المرضى والمتطلبات التنظيمية في الإمارات العربية المتحدة
• قانون PDPL الإماراتي واللائحة العامة لحماية البيانات (GDPR) ومستقبل الامتثال للخصوصية
• المتطلبات القانونية لقطاع الإعلام والترفيه في الإمارات العربية المتحدة: دليل للشركات