Защита персональных данных в ОАЭ

Первый вопрос не в том, где стоят серверы. Он в том, какая компания решает, зачем собираются данные, и где она зарегистрирована.

Федеральный закон покрывает контролёров и обработчиков внутри страны, а также тех, кто находится снаружи, если люди, чьи данные обрабатываются, находятся здесь. Компании свободных зон, у которых есть собственное законодательство о персональных данных, из-под него выведены — и именно это изъятие отправляет лица DIFC и ADGM к их собственным сводам правил.

Три режима на одну группу

Материк — федеральный закон

Федеральный декрет-закон № 45 от 2021 года действует со 2 января 2022 года, надзор ведёт Управление по данным ОАЭ. Обработка без согласия человека запрещена, кроме случаев, которые закон перечисляет.

DIFC — свой закон и свой уполномоченный

Закон DIFC № 5 от 2020 года покрывает контролёра или обработчика, учреждённого в центре, где бы обработка ни шла, и всякого, кто обрабатывает данные внутри центра в рамках устойчивых договорённостей.

ADGM — свои правила

Правила о защите данных 2021 года идут за местом деятельности: обработка в контексте подразделения в ADGM покрыта независимо от того, где она происходит. Последняя правка — сентябрь 2025 года.

Что каждый регулятор просит подать

Строже всех к бумагам учёта относится ADGM. Контролёр платит сбор за защиту данных при начале обработки, сообщает уполномоченному своё имя и дату начала, а дальше каждый год платит сбор за продление в течение месяца после этой даты. За неуплату грозит взыскание до 150 процентов сбора.

DIFC работает через уведомление на клиентском портале, цена зависит от категории: 1 250, 750 или 250 долларов за регистрацию и 500, 250 или 100 долларов за продление. У федерального режима такого реестра для обычных компаний нет.

Отсчёт после утечки везде разный

В ADGM у вас 72 часа с момента, когда вы узнали, и запоздавшее уведомление обязано нести причины задержки. В DIFC обязанность иная — сообщить настолько быстро, насколько это практически возможно, без фиксированного числа часов.

Федерально обязанность возникает в момент, когда вы узнали, а длину окна и форму сообщения задаёт подзаконное регулирование; в самом законе их нет.

Цена ошибки в каждом режиме

Штраф ADGM ограничен 28 миллионами долларов, и потолок держится даже когда одними и теми же операциями нарушено несколько положений. DIFC назначает фиксированные суммы за нарушение: 100 000 долларов за плохую работу с запросами о доступе, исправлении и удалении, 50 000 за несообщение об утечке, — а сверх того уполномоченный вправе наложить общий штраф, который этим перечнем не ограничен.

По федеральному закону сами взыскания определяет решение Кабинета министров, а не текст декрета-закона, поэтому сумма из европейской политики здесь не подходит никогда. Что мы ещё делаем в стране, собрано на странице ОАЭ.

Источники: сфера действия, изъятия, сообщение об утечке и взыскания — федеральный декрет-закон № 45 от 2021 года; сфера DIFC, запросы, утечки и штрафы — закон DIFC № 5 от 2020 года и правила к нему; сбор ADGM, 72 часа и 28 миллионов — Правила о защите данных 2021 года.