في الإمارات ثلاثة أنظمة رئيسية لحماية البيانات. الشركات في مركز دبي المالي العالمي تخضع لقانون حماية البيانات رقم 5 لسنة 2020 الخاص بالمركز، والشركات في سوق أبوظبي العالمي تخضع لأنظمة حماية البيانات لعام 2021 الخاصة به، وبقية الشركات في البر الرئيسي ومعظم المناطق الحرة تخضع للقانون الاتحادي (المرسوم بقانون 45 لسنة 2021). المعيار الأساسي هو مكان تأسيس الجهة التي تعالج البيانات، مع وجود قوانين قطاعية للصحة والمصارف.
- قانون حماية البيانات difc
- الفرق بين قانون حماية البيانات الاتحادي و difc
- حماية البيانات سوق ابوظبي العالمي adgm
- هل قانون حماية البيانات الاماراتي يطبق في المناطق الحرة
- اي قانون حماية بيانات ينطبق على شركتي في دبي
أي قانون لحماية البيانات ينطبق على شركتك؟
الجواب يبدأ بسؤال واحد: أين تأسست الجهة التي تعالج البيانات؟ إذا كانت في مركز دبي المالي العالمي (DIFC) فمرجعك قانون حماية البيانات رقم 5 لسنة 2020 الخاص بالمركز. وإذا كانت في سوق أبوظبي العالمي (ADGM) فمرجعك أنظمة حماية البيانات لعام 2021. وفي البر الرئيسي ومعظم المناطق الحرة الأخرى ينطبق القانون الاتحادي، المرسوم بقانون 45 لسنة 2021.
سبب هذا التعدد أن DIFC وADGM منطقتان ماليتان حرتان لهما أطر قانونية مدنية وتجارية خاصة بهما، صُممت لتكون مألوفة للمؤسسات المالية الدولية. ولهذا جاء القانون الاتحادي ليستثني صراحة المناطق الحرة التي لديها تشريعات خاصة لحماية البيانات.
هذا مهم لك عملياً إذا كنت شركة ناشئة في التقنية المالية داخل أحد المركزين، أو شركة في البر الرئيسي تقدم خدمات لعملاء هناك، أو مجموعة لها كيانات في أكثر من مكان. وإذا كنت في البر الرئيسي فقط، فقائمتك الأساسية في قائمة التحقق لقانون حماية البيانات الإماراتي.
الأنظمة الثلاثة في لمحة
| البند | DIFC | ADGM | القانون الاتحادي |
|---|---|---|---|
| النص الأساسي | قانون حماية البيانات رقم 5 لسنة 2020 ولوائحه | أنظمة حماية البيانات 2021 | المرسوم بقانون 45 لسنة 2021 |
| جهة الإشراف | مفوض حماية البيانات في DIFC | مكتب حماية البيانات في ADGM | مكتب الإمارات للبيانات (والإشراف قيد التطور) |
| من يخضع له | الجهات المؤسسة في DIFC | الجهات المؤسسة في ADGM | البر الرئيسي ومعظم المناطق الحرة ومن يعالج بيانات المقيمين من الخارج |
| المرجعية | قريب جداً من GDPR الأوروبي | قريب جداً من GDPR الأوروبي | يتبع مبادئ دولية مع خصوصية محلية |
| التسجيل لدى الجهة | مطلوب للجهات الخاضعة | مطلوب للجهات الخاضعة | التفاصيل مرتبطة باللائحة التنفيذية |
| حالة الإطار | مستقر ومفصل بلوائح وإرشادات | مستقر ومفصل بلوائح وإرشادات | اللائحة التنفيذية والإشراف ما زالا يتطوران |
المشترك بين الأنظمة الثلاثة كبير: أساس قانوني لكل معالجة، شفافية، تقليل البيانات، حقوق لأصحاب البيانات، أمان مناسب، إبلاغ عن الاختراقات، وقيود على نقل البيانات خارج نطاق الحماية. الفرق الأكبر في التفاصيل والإجراءات، ومدى نضج الإرشادات المنشورة.
كيف تحدد النظام المطبق على حالتك؟
- 1حدد الكيان القانوني
ما الكيان الذي يجمع البيانات ويقرر كيف تُستخدم؟ انظر إلى الرخصة لا إلى مكان المكتب الفعلي.
- 2حدد مكان تأسيسه
DIFC أو ADGM أو منطقة حرة أخرى أو البر الرئيسي في إحدى الإمارات.
- 3راجع القطاع
البيانات الصحية والمصرفية والائتمانية لها تشريعات وجهات تنظيمية خاصة قد تضيف متطلبات.
- 4حدد مزوّدي الخدمة
الاستضافة والرسائل والدفع والتحليلات معالجون لبياناتك، ويحتاجون عقوداً مناسبة.
- 5تتبع تدفق البيانات
هل تنتقل البيانات بين كيانات المجموعة أو خارج الدولة؟ كل انتقال قد يحتاج أساساً وضمانات.
| سيناريو | النظام الأرجح |
|---|---|
| شركة تقنية مالية مؤسسة في DIFC تخدم عملاء في كل الإمارات | قانون DIFC، مع مراعاة متطلبات الجهات المالية |
| متجر إلكتروني مرخص من دائرة الاقتصاد في دبي | القانون الاتحادي |
| شركة برمجيات في منطقة حرة بلا قانون بيانات خاص | القانون الاتحادي |
| شركة إدارة أصول في ADGM | أنظمة ADGM، مع متطلبات الجهة المالية |
| مجموعة لها كيان في DIFC وآخر في البر الرئيسي | كل كيان حسب مكانه، مع ترتيبات لنقل البيانات بينهما |
ما الفروق التي تهمك عملياً؟
- تسجيل الجهة لدى مكتب الحماية وتجديده دورياً
- إرشادات منشورة وتفصيلية تساعد على التطبيق
- قوائم بالدول ذات الحماية الكافية لنقل البيانات
- متطلبات واضحة لتعيين مسؤول حماية البيانات في حالات محددة
- في DIFC قواعد إضافية للمعالجة عبر الأنظمة المستقلة كالذكاء الاصطناعي
- نطاق واسع يشمل من يعالج بيانات المقيمين من الخارج
- تفاصيل كثيرة محالة إلى اللائحة التنفيذية
- إشراف قيد التطور مع الإعلان عن هيئة اتحادية للذكاء الاصطناعي والبيانات
- استثناءات للبيانات الحكومية والقطاعات ذات التشريعات الخاصة
- مبادئ أساسية مماثلة: الموافقة والحقوق والأمان والإبلاغ
بالنسبة لشركة صغيرة في البر الرئيسي، الفرق الأهم أن بعض التفاصيل الإجرائية لم تكتمل بعد، لذلك يكفي غالباً أن تطبق المبادئ جيداً وتتابع التحديثات. أما شركة في DIFC أو ADGM فعليها التزامات إجرائية واضحة من البداية، مثل التسجيل، وعليها أن تتعامل معها قبل الإطلاق.
المجموعات متعددة الكيانات والعمل مع عملاء من الأنظمة الأخرى
الواقع في الإمارات أن كثيراً من الشركات لها أكثر من كيان: مقر في DIFC، وفرع مبيعات في البر الرئيسي، وفريق تقني في منطقة حرة أخرى. أو شركة صغيرة في البر الرئيسي تبيع أداة لمؤسسة مالية في ADGM. في هذه الحالات:
- ارسم خريطة توضح أي كيان يجمع أي بيانات، وأين تُخزن، ومن يصل إليها.
- وقّع اتفاقيات معالجة ونقل بيانات بين كيانات المجموعة.
- إذا كنت مزوّد خدمة لعميل في DIFC أو ADGM، فتوقع أن يطلب منك عقد معالجة وأسئلة أمنية مفصلة.
- وحّد سياسة الخصوصية قدر الإمكان، مع إشارة واضحة للكيان المسؤول في كل حالة.
- اجعل مكان الاستضافة قراراً واعياً؛ كثير من المؤسسات الكبيرة تفضل البيانات داخل الدولة أو المنطقة.
إذا كنت تبني أدوات داخلية لشركة متعددة الكيانات، فراجع الأدوات الداخلية للشركات الإماراتية، ولخيارات الاستضافة راجع دليل استضافة البيانات في الإمارات.
كيف تبني تطبيقاً واحداً يرضي الأنظمة الثلاثة؟
الخبر الجيد أن المتطلبات التقنية متقاربة جداً. إذا بنيت تطبيقك على أعلى معيار مشترك، فلن تحتاج نسخاً مختلفة لكل نظام، بل إعدادات وسياسات تختلف حسب الكيان.
ابنِ لشركتنا بوابة عملاء ثنائية اللغة (العربية والإنجليزية) مع متطلبات حماية بيانات تناسب DIFC وADGM والقانون الاتحادي. في الإعدادات أضف حقل «الكيان المسؤول عن البيانات» لكل عميل (DIFC أو ADGM أو البر الرئيسي) واعرض سياسة الخصوصية المناسبة له. سجّل الدخول عبر SSO للموظفين وOTP للعملاء. أضف أدواراً: مالك، مسؤول حماية البيانات، موظف، عميل، بحيث يرى كل دور ما يحتاجه فقط. احفظ سجلاً لكل وصول أو تصدير أو حذف للبيانات الشخصية. أضف صفحة «بياناتي» للعميل مع التصدير وطلب الحذف، ولوحة لمسؤول حماية البيانات تعرض الطلبات ومواعيدها، وسجلاً للاختراقات المحتملة بتاريخ الاكتشاف والإجراءات. شفّر البيانات واستضفها داخل المنطقة مع نسخ احتياطية يومية.
جرّبه في فنّانلمعرفة المزيد عن متطلبات المؤسسات راجع صفحة فنّان للمؤسسات وصفحة الثقة والأمان.
خطواتك التالية
- حدد مكان تأسيس كل كيان في مجموعتك والقانون المرجعي له.
- إن كنت في DIFC أو ADGM، تحقق من متطلبات التسجيل لدى مكتب الحماية قبل الإطلاق.
- ارسم خريطة البيانات وتدفقاتها بين الكيانات وخارج الدولة.
- ابنِ تطبيقك على أعلى معيار مشترك: موافقات، حقوق، أدوار، سجلات، تشفير.
- راجع وضعك مع محامٍ متخصص، وتابع تطورات الإشراف الاتحادي.
اعرف أولاً من أنت قانونياً وأين تأسست، ثم ابنِ الخصوصية بمعيار واحد عالٍ يناسب الجميع.
الخلاصة
- مكان تأسيس شركتك هو نقطة البداية: DIFC أو ADGM أو البر الرئيسي والمناطق الحرة الأخرى.
- قانونا DIFC وADGM مستوحيان بقوة من اللائحة الأوروبية GDPR، ولكل منهما جهة إشراف وتسجيل خاصة.
- القانون الاتحادي يستثني المناطق الحرة التي لها قوانين بيانات خاصة بها.
- المجموعات التي لها كيانات في أكثر من مكان قد تخضع لأكثر من نظام، فخطط لذلك مبكراً.
- بناء تطبيقك على أعلى معيار مشترك أسهل من صيانة نسخ مختلفة لكل نظام.
أسئلة شائعة
هل قانون حماية البيانات الاتحادي يطبق في المناطق الحرة؟
ما هو قانون حماية البيانات في DIFC؟
ما الفرق بين حماية البيانات في ADGM والقانون الاتحادي؟
شركتي في DIFC وعملائي في كل الإمارات، أي قانون أتبع؟
هل يجب على شركتي في DIFC أو ADGM التسجيل لدى مكتب حماية البيانات؟
اسأل مساعدك الذكي عن هذا الموضوع
انسخ هذا الطلب والصقه في مساعد الذكاء الاصطناعي الذي تستخدمه، ثم أضف تفاصيل حالتك.
أقرأ هذا الدليل: «حماية البيانات في مركز دبي المالي وأبوظبي العالمي مقابل القانون الاتحادي» https://fanann.com/ar/blog/difc-adgm-data-protection-vs-pdpl/ سؤالي: قانون حماية البيانات difc اعتمد على هذه الصفحة كمصدر واشرح لي الإجابة خطوة بخطوة بما يناسب حالتي، واذكر ما يجب أن أتحقق منه قبل أن أبدأ، واذكر رابط الصفحة كمرجع.