Защита персональных данных в ОАЭ
В ОАЭ одновременно действуют три режима защиты персональных данных. Какой из них ваш, зависит от того, где зарегистрирована компания. Мы определим режим и подготовим всё, что он требует.
ADGM request reply
Ответ в ADGM
two months
два месяца
DIFC registration
Учёт в DIFC
USD 1,250 to 250
1 250 – 250 USD
Top ADGM fine
Потолок штрафа ADGM
USD 28 million
28 млн USD
Federal law in force
Федеральный закон с
2 January 2022
2 января 2022
Когда нужен аудит защиты персональных данных в ОАЭ
Компании группы в разных зонах
Компания на материке, в DIFC и в ADGM отвечает перед тремя разными регуляторами. Одна политика на всю группу не подойдёт всем трём.
Клиент прислал анкету о данных
Клиент спрашивает, какой режим к вам применяется и какая компания — контролёр. Подписанные ответы обязывают вас так же, как условия договора.
Ночью произошла утечка
Срок идёт с момента, когда о ней узнал кто-то в компании. Сколько у вас времени, зависит от того, где зарегистрирована компания.
Политика написана под Европу
В европейских текстах сроки и штрафы, которых нет ни в одном режиме ОАЭ. Перенесённые сюда, они обещают лишнее и молчат о нужном.
Что вы получаете
- Режим для каждой вашей компании
- Реестр обработки по каждому юрлицу
- Регистрацию и сборы там, где их требует зона
- Уведомления и договоры с подрядчиками под ваш продукт
- План на случай утечки с правильным сроком
Что требуется для защиты персональных данных в ОАЭ
Главный вопрос не в том, где стоят серверы. А в том, какая компания решает, зачем собирать данные, и где она зарегистрирована.
Федеральный закон действует для контролёров и обработчиков в стране. И для тех, кто за её пределами, если люди, чьи данные обрабатывают, находятся здесь. Компании свободных зон со своими законами о данных из-под него выведены. Поэтому компании в DIFC и ADGM подчиняются своим правилам.
Три режима на одну группу
Материк — федеральный закон
Федеральный декрет-закон № 45 от 2021 года действует со 2 января 2022 года, надзор ведёт Управление по данным ОАЭ. Без согласия человека обрабатывать данные нельзя, кроме случаев из закона.
DIFC — свой закон и свой уполномоченный
Закон DIFC № 5 от 2020 года действует для компаний, созданных в центре, где бы ни шла обработка. И для всех, кто постоянно обрабатывает данные внутри центра.
ADGM — свои правила
Правила о защите данных 2021 года действуют для обработки, связанной с подразделением в ADGM, где бы она ни шла. Последние изменения — сентябрь 2025 года.
Что нужно подать каждому регулятору
Строже всех ADGM. Контролёр платит сбор за защиту данных в начале обработки и сообщает уполномоченному название компании и дату начала. Потом каждый год платит сбор за продление — в течение месяца после этой даты. За неуплату — взыскание до 150 процентов сбора.
В DIFC подают уведомление на клиентском портале. Цена зависит от категории: 1 250, 750 или 250 долларов за регистрацию и 500, 250 или 100 долларов за продление. В федеральном режиме такого реестра для обычных компаний нет.
Сроки сообщения об утечке разные
В ADGM у вас 72 часа с момента, как вы узнали. Если позже, нужно объяснить задержку. В DIFC — как можно быстрее, без точного числа часов.
По федеральному закону обязанность возникает, как только вы узнали. Срок и форму сообщения задают подзаконные акты, в самом законе их нет.
Штрафы в каждом режиме
В ADGM штраф — не больше 28 миллионов долларов, даже если одни и те же действия нарушают несколько правил.
В DIFC за отдельные нарушения — фиксированные суммы. 100 000 долларов — за плохую работу с запросами на доступ, исправление и удаление данных. 50 000 — за то, что не сообщили об утечке. Сверх этого уполномоченный может назначить общий штраф без ограничения этим списком.
По федеральному закону штрафы определяет решение Кабинета министров, а не сам закон. Поэтому суммы из европейской политики здесь не подходят. Другие наши услуги в стране — на странице ОАЭ.
Источники: сфера действия, изъятия, сообщение об утечке и взыскания — федеральный декрет-закон № 45 от 2021 года; сфера DIFC, запросы, утечки и штрафы — закон DIFC № 5 от 2020 года и правила к нему; сбор ADGM, 72 часа и 28 миллионов — Правила о защите данных 2021 года.
Этапы работы
Режим для каждой компании — 3–5 рабочих дней
Мы начнём с ваших лицензий и мест регистрации. По ним определим, какой режим — федеральный, DIFC или ADGM — касается каждой компании. Всё остальное зависит от этого.
Что собираете и кто
Мы перечислим каждое поле в продукте, каждую систему, куда оно попадает, и каждый сервис, которому его передают. Для каждой строки — цель, законное основание и компания-владелец.
Регистрация там, где её требует зона
В ADGM мы подадим уведомление и оплатим сбор, а продление поставим в календарь. В DIFC подадим уведомление на портале в нужной категории.
Уведомления и договоры
Для каждого контролёра мы напишем уведомление, которое описывает, что продукт делает в действительности. И условия для аналитики, хостинга и поддержки.
Передача данных за границу
Мы запишем, где находится каждый получатель, и подберём основание для передачи по нужному режиму. Описание будет готово до того, как спросит регулятор.
План на случай утечки
В плане — кто принимает решение, что и какому регулятору отправлять и в каком порядке. 72 часа в одной зоне, «как можно быстрее» — в другой. Потом проверим его на реальном инциденте.
Как режимы распределяются между компаниями, разобрано в статье о трёх режимах ОАЭ. Эта страница — часть раздела Licensing & Compliance.
Наши кейсы
FAQ
Обсудить
Задание
Поговорите с нашей командой
Поговорите с нашей командой.
Расскажите нам о своей задаче —
мы поможем вам в этом в любой юрисдикции.