قانون حماية البيانات الشخصية في الإمارات هو المرسوم بقانون اتحادي رقم 45 لسنة 2021، والجهة المعنية به مكتب الإمارات للبيانات. يطلب من موقعك أو تطبيقك أن يجمع أقل قدر من البيانات لغرض واضح، وأن يحصل على موافقة صريحة حين تكون هي الأساس، وأن ينشر سياسة خصوصية، ويمكّن العملاء من الوصول إلى بياناتهم وتصحيحها وحذفها، ويحميها بإجراءات أمنية مناسبة. المناطق الحرة التي لها قوانين خاصة، مثل DIFC وADGM، تخضع لقوانينها.
- قانون حماية البيانات الشخصية الامارات
- المرسوم بقانون 45 لسنة 2021 حماية البيانات
- متطلبات حماية البيانات لتطبيق في الامارات
- كيف اسوي سياسة خصوصية لموقعي في دبي
- uae pdpl بالعربي
- هل قانون حماية البيانات الاماراتي يطبق على الشركات الاجنبية
ماذا يطلب قانون حماية البيانات الإماراتي من موقعك وتطبيقك؟
باختصار، قانون حماية البيانات الشخصية في الإمارات (المرسوم بقانون اتحادي رقم 45 لسنة 2021) يطلب منك أن تعامل بيانات عملائك كأمانة: تجمع ما تحتاجه فقط، لغرض معلن، بأساس قانوني واضح كالموافقة، وتحميها جيداً، وتسمح لصاحبها أن يعرف ما لديك عنه ويصححه ويطلب حذفه. والجهة المعنية به هي مكتب الإمارات للبيانات.
إذا كان لديك متجر يجمع الأسماء والجوالات والعناوين، أو تطبيق حجوزات يحفظ مواعيد العملاء، أو منصة تعليمية تسجّل الطلاب، فأنت «مسيطر على البيانات» بلغة القانون، وهذه القائمة لك. وإن كنت تقدم خدمة تقنية تعالج بيانات نيابة عن شركات أخرى، فأنت «معالج» ولك التزامات أيضاً.
هناك نقطة تتغير: اللائحة التنفيذية للقانون لم تتضح صورتها الكاملة بعد، وفي يونيو 2026 أُعلن عن إنشاء هيئة اتحادية للذكاء الاصطناعي والبيانات، ما قد يغيّر شكل الإشراف. لذلك نركز هنا على المبادئ الثابتة في نص القانون، والتي تحتاجها في كل الأحوال.
هل ينطبق القانون على مشروعك؟
القانون واسع النطاق، لكن له استثناءات مهمة. هذا الجدول يساعدك على تحديد موقعك بسرعة:
| حالتك | القانون الاتحادي؟ | ملاحظة |
|---|---|---|
| متجر أو تطبيق مرخص في البر الرئيسي | نعم | الحالة الأكثر شيوعاً |
| شركة خارج الإمارات تعالج بيانات أشخاص فيها | نعم غالباً | القانون يمتد لمن يعالج بيانات المقيمين من الخارج |
| شركة في DIFC أو ADGM | لا، قانون المنطقة هو المرجع | لكل منهما قانون حماية بيانات خاص |
| منطقة حرة أخرى بلا قانون بيانات خاص | نعم | تحقق من وضع منطقتك |
| بيانات صحية أو مصرفية وائتمانية | تحكمها تشريعات خاصة بها | مع بقاء مبادئ الحماية مهمة |
| جهة حكومية أو بيانات حكومية | مستثناة من القانون | لها أطر تنظيمية خاصة |
إذا كانت شركتك في مركز دبي المالي العالمي أو سوق أبوظبي العالمي، فاقرأ مقارنة حماية البيانات في DIFC وADGM والقانون الاتحادي.
قائمة التحقق: من النص القانوني إلى ميزات في التطبيق
| المتطلب | ماذا يعني عملياً | أين يظهر في تطبيقك |
|---|---|---|
| تحديد الغرض | اعرف لماذا تجمع كل حقل | توثيق داخلي لكل جدول في قاعدة البيانات |
| تقليل البيانات | لا تطلب تاريخ الميلاد أو الهوية إن لم تحتجها | نماذج تسجيل قصيرة |
| أساس قانوني | موافقة صريحة، أو تنفيذ عقد، أو التزام قانوني | خانات موافقة منفصلة وغير مؤشّرة مسبقاً |
| الشفافية | سياسة خصوصية واضحة بالعربية والإنجليزية | رابط في التسجيل والدفع والتذييل |
| الدقة | تمكين تحديث البيانات | صفحة «حسابي» قابلة للتعديل |
| مدة الاحتفاظ | لا تحتفظ بالبيانات أكثر من الحاجة | حذف أو إخفاء هوية تلقائي بعد مدة محددة |
| الأمان | إجراءات تقنية وتنظيمية مناسبة | تشفير، صلاحيات، سجلات وصول، نسخ احتياطية |
| سجل المعالجة | توثيق ما تعالجه ولماذا ولمن تشاركه | مستند داخلي يُحدَّث مع كل ميزة جديدة |
| المعالجون | عقود مع مزوّدي الخدمات الذين يعالجون بياناتك | الاستضافة، الرسائل، الدفع، التحليلات |
الموافقة والتسويق والكوكيز: كيف تطلبها بشكل صحيح؟
الموافقة في القانون يجب أن تكون محددة وواضحة وصريحة، وأن يستطيع الشخص سحبها بسهولة. وليست كل معالجة تحتاج موافقة؛ فتوصيل الطلب يعتمد على تنفيذ العقد مع العميل، لكن رسائل التسويق عبر واتساب أو البريد تحتاج غالباً موافقة منفصلة.
- خانة موافقة تسويق منفصلة وغير مؤشّرة مسبقاً
- نص قصير يشرح ماذا ستستلم وكم مرة
- رابط إلغاء الاشتراك في كل رسالة
- حفظ تاريخ الموافقة ونصها في قاعدة البيانات
- شريط كوكيز يسمح بالرفض بنفس سهولة القبول
- دمج الموافقة على التسويق مع قبول الشروط
- خانة مؤشّرة مسبقاً
- لا توجد طريقة واضحة لسحب الموافقة
- إضافة أرقام العملاء لمجموعات واتساب دون إذن
- تفعيل أدوات التتبع قبل أن يختار الزائر
البيانات الحساسة، مثل البيانات الصحية والبيومترية والدينية، تحتاج عناية أكبر. إذا كان تطبيقك لعيادة أو مركز لياقة يحفظ قياسات صحية، فاستشر مختصاً قبل الإطلاق، وراجع صفحة حلول العيادات لمعرفة كيف تُبنى هذه التطبيقات بصلاحيات مشددة.
كيف تتعامل مع طلبات العملاء حول بياناتهم؟
يمنح القانون صاحب البيانات حقوقاً منها: الحصول على المعلومات والوصول إلى بياناته، ونقلها، وتصحيحها، وحذفها في حالات معينة، وتقييد المعالجة، والاعتراض عليها، بما في ذلك الاعتراض على القرارات الآلية. أفضل طريقة لاحترام هذه الحقوق أن تبنيها داخل التطبيق بدلاً من معالجتها يدوياً بالبريد.
- 1صفحة «بياناتي»
يرى فيها العميل بياناته الشخصية وطلباته وتفضيلات التسويق، ويعدّلها بنفسه.
- 2زر تصدير البيانات
يولّد ملفاً منظماً (JSON أو CSV) ببيانات العميل يمكنه تنزيله.
- 3طلب حذف الحساب
يسجّل الطلب، ويتحقق من هوية العميل برمز OTP، ثم يحذف أو يخفي الهوية مع الإبقاء على ما يلزم قانوناً مثل الفواتير.
- 4لوحة طلبات للإدارة
تعرض كل طلب بتاريخه وحالته ومدة الرد عليه، حتى لا يضيع أي طلب.
- 5سجل التنفيذ
احفظ ما تم في كل طلب، فهذا دليلك إن سُئلت لاحقاً.
الأمان والاختراقات ومكان استضافة البيانات
- التشفير أثناء النقل عبر HTTPS وأثناء التخزين لقاعدة البيانات والنسخ الاحتياطية.
- الصلاحيات والأدوار: موظف خدمة العملاء لا يحتاج رؤية كل شيء، والمالك وحده يصدّر البيانات.
- تسجيل الدخول الآمن برمز OTP أو كلمة مرور قوية، مع تحقق إضافي للمشرفين.
- سجلات الوصول لمعرفة من اطلع على ماذا ومتى.
- نسخ احتياطية يومية واختبار الاستعادة.
- خطة استجابة للاختراق: من يقرر، ومن يبلّغ الجهة المختصة والعملاء المتأثرين، وفي أي مدة تحددها اللوائح.
- تقييم الأثر قبل أي معالجة عالية الخطورة، مثل تتبع الموقع أو معالجة بيانات حساسة على نطاق واسع، وتعيين مسؤول حماية بيانات في الحالات التي يتطلبها القانون.
أما نقل البيانات خارج الدولة، فيسمح به القانون إلى دول توفر حماية كافية أو وفق شروط محددة. لهذا تفضّل كثير من الشركات استضافة بيانات عملائها داخل المنطقة، خصوصاً في القطاعات المنظمة أو عند البيع لجهات كبيرة. التفاصيل في دليل استضافة البيانات في الإمارات، وطريقة عملها في فنّان في صفحة الاستضافة.
ابنِ الخصوصية في تطبيقك من البداية
إضافة الخصوصية بعد الإطلاق مكلفة ومربكة. الأسهل أن تطلبها في الوصف الأول للتطبيق، فتصبح جزءاً من قاعدة البيانات والصفحات والصلاحيات منذ اليوم الأول.
أضف إلى تطبيقي ميزات حماية البيانات وفق قانون حماية البيانات الشخصية الإماراتي. في التسجيل اطلب فقط الاسم ورقم الجوال مع تحقق OTP. أضف خانتين منفصلتين غير مؤشّرتين: الموافقة على سياسة الخصوصية، والموافقة على رسائل التسويق عبر واتساب والبريد، واحفظ تاريخ كل موافقة ونصها. أنشئ صفحة سياسة خصوصية بالعربية والإنجليزية قابلة للتعديل. أضف صفحة «بياناتي» يرى فيها المستخدم بياناته ويعدّلها، وزر تصدير البيانات بصيغة CSV، وزر طلب حذف الحساب مع تأكيد OTP. احذف تلقائياً حسابات العملاء غير النشطة بعد مدة أحددها في الإعدادات مع إبقاء الفواتير. فعّل أدوار مالك ومدير ودعم بحيث لا يرى فريق الدعم إلا ما يحتاجه، وسجّل كل عملية تصدير أو حذف. أضف شريط كوكيز يسمح بالقبول أو الرفض، ولا تفعّل التحليلات قبل القبول. وفي لوحة الإدارة أضف قائمة لطلبات الخصوصية بحالتها ومدة الرد.
جرّبه في فنّان- ارسم خريطة البيانات التي يجمعها تطبيقك.
- احذف كل حقل لا تحتاجه فعلاً.
- افصل موافقة التسويق عن قبول الشروط.
- ابنِ صفحة «بياناتي» وطلبات الحذف والتصدير.
- اكتب خطة استجابة للاختراق وراجعها مع مختص.
الخلاصة
- القانون الاتحادي هو المرسوم بقانون 45 لسنة 2021، وينطبق أيضاً على من يعالج بيانات أشخاص في الإمارات من خارجها.
- اجمع أقل قدر من البيانات لغرض محدد، واطلب موافقة واضحة وقابلة للسحب حين تكون هي أساس المعالجة.
- ابنِ حقوق العملاء في التطبيق نفسه: عرض البيانات، تصحيحها، تصديرها، وطلب حذفها.
- التشفير والصلاحيات والنسخ الاحتياطية وخطة الاستجابة للاختراق جزء من الالتزام، لا رفاهية تقنية.
- اللائحة التنفيذية والجهة المشرفة ما زالت تتطور، فتابع مكتب الإمارات للبيانات واستشر مختصاً.
أسئلة شائعة
ما هو قانون حماية البيانات الشخصية في الإمارات؟
هل قانون حماية البيانات الإماراتي يطبق على الشركات الأجنبية؟
هل أحتاج موافقة العميل لكل شيء؟
هل القانون الاتحادي ينطبق في DIFC وADGM؟
كيف اسوي سياسة خصوصية لموقعي في دبي؟
اسأل مساعدك الذكي عن هذا الموضوع
انسخ هذا الطلب والصقه في مساعد الذكاء الاصطناعي الذي تستخدمه، ثم أضف تفاصيل حالتك.
أقرأ هذا الدليل: «قانون حماية البيانات الشخصية في الإمارات: قائمة تحقق لموقعك وتطبيقك» https://fanann.com/ar/blog/uae-pdpl-checklist/ سؤالي: قانون حماية البيانات الشخصية الامارات اعتمد على هذه الصفحة كمصدر واشرح لي الإجابة خطوة بخطوة بما يناسب حالتي، واذكر ما يجب أن أتحقق منه قبل أن أبدأ، واذكر رابط الصفحة كمرجع.