دخل قانون حماية البيانات الاتحادي الإماراتي حيّز النفاذ في يناير 2022، وما زالت معظم الفرق التي تبني للسوق الإماراتي تتعامل معه على أنه «GDPR تقريباً». وهذا التقريب قريب بما يكفي ليكون خطراً — يصيب في الموافقة ويخطئ في الاختصاص خطأً فادحاً.
الإجابة المختصرة: المرسوم بقانون 45/2021 ينطبق على معالجة البيانات الشخصية للأفراد في الإمارات بصرف النظر عن مكان شركتك. لكن إن كان كيانك مؤسساً في DIFC أو ADGM، فقانون مختلف تماماً هو الذي يحكمك — وهذا أشيع خطأ وأكثره كلفة في الامتثال الإماراتي.
هذا الدليل يشرح ما الذي تبنيه. أما لمقارنة الإمارات بالسعودية وقطر، فابدأ بـدليل الامتثال التنظيمي في الخليج.
هذا محتوى إرشادي تقني للمطورين وأصحاب المنتجات، وليس استشارة قانونية. ما يُنشر عن حالة اللائحة التنفيذية ومحتواها غير متسق بين المصادر. تحقّق من الوضع الحالي مع مستشار إماراتي مؤهل قبل الاعتماد على أي تفسير محدد، بما فيه هذا الدليل.
أولاً: أي قانون يحكمك فعلاً؟
هذا يحدد كل ما عداه، ويعتمد على مكان تأسيس كيانك — لا على الإمارة التي تعمل فيها ولا على مكان مستخدميك.
| كيانك في | القانون المنطبق | طبيعته |
|---|---|---|
| البر الرئيسي (دبي، أبوظبي، الشارقة…) | المرسوم بقانون 45/2021 | اتحادي، محوره الموافقة |
| DIFC (مركز دبي المالي العالمي) | قانون حماية البيانات في DIFC | على نمط GDPR، بمفوّض خاص |
| ADGM (سوق أبوظبي العالمي) | لوائح حماية البيانات في ADGM | على نمط GDPR، بجهة تنظيمية خاصة |
| القطاع الصحي (في أي مكان بالإمارات) | القانون الاتحادي إضافةً إلى أنظمة البيانات الصحية | اشتراط تخزين داخل الدولة |
لماذا تخطئ الفرق في هذا؟ عبارة «نحن شركة في دبي» ملتبسة. الشركة في مدينة دبي للإنترنت تتبع البر الرئيسي، والشركة في DIFC لا تتبعه. المناطق الحرة اختصاصات قانونية منفصلة بأنظمتها الخاصة وجهاتها التنظيمية وإجراءات تسجيلها وإبلاغها.
النتيجة العملية: البناء وفق القانون الاتحادي بينما يحكمك DIFC يعني أنك امتثلت لنظام خاطئ. وDIFC وADGM أقرب إلى اللائحة الأوروبية — يشترطان أساساً نظامياً موثّقاً (ليس بالضرورة الموافقة)، ويرتّبان التزامات تتعلق بمسؤول حماية البيانات في بعض الحالات، ولهما مسارات إبلاغ خاصة.
تحقّق من هذا أولاً قبل أي قرار معماري. رخصتك التجارية تخبرك أي اختصاص تتبع.
الموافقة — والأسس التي ليست موافقة
الموافقة هي الأساس الافتراضي في القانون الاتحادي، ويجب أن تكون صريحة ومحددة وحرة ولا لبس فيها، مُعطاة بفعل إيجابي واضح، وقابلة للسحب في أي وقت.
ما لا يُعتد به:
- المربعات المُعلَّمة مسبقاً — الفعل الإيجابي يعني أن المستخدم يتصرف، لا أنه يمتنع عن الاعتراض
- موافقة شاملة واحدة تغطي أغراضاً غير مترابطة
- موافقة مدفونة في شروط الاستخدام
- جعل الخدمة الأساسية مشروطة بموافقة لا تحتاجها
ما تبنيه:
□ موافقة منفصلة لكل غرض (الخدمة / التسويق / التحليلات)
□ غير مُعلَّمة مسبقاً أبداً
□ شرح بلغة واضحة لكل غرض
□ السحب بسهولة المنح نفسها
□ سجل موقّت: متى، وعلى أي نسخة من السياسة
وحيث يختلف القانون الإماراتي بشكل مفيد عن قراءة «الموافقة وحدها»: يعترف القانون بالمعالجة دون موافقة في حالات محددة، منها حماية المصلحة العامة أو الصحة العامة، والبيانات التي أتاحها صاحبها للعموم، والمطالبات القانونية والإجراءات القضائية، والتزامات العمل والضمان الاجتماعي، والطب المهني أو الوقائي.
وهذا مهم في تصميم المنتج. إن كنت تعالج بيانات موظفين للوفاء بالتزام عمالي، فالموافقة ليست الأساس الصحيح — وطلب موافقة لا تحتاجها يضعك في موقف أسوأ، لأن المستخدم الذي يسحبها يتركك عاجزاً عن أداء التزام أنت ملزم به نظاماً.
وثّق أساسك لكل نشاط معالجة. «الموافقة على كل شيء» أسهل في البناء وأصعب في الدفاع عنها.
حقوق المستخدم — ما يجب أن يفعله المنتج فعلاً
للأفراد حق الاطلاع والتصحيح والمحو وتقييد المعالجة والاعتراض عليها، إضافةً إلى حق سحب الموافقة في أي وقت والشكوى إلى مكتب الإمارات للبيانات.
| الحق | ما تبنيه |
|---|---|
| الاطلاع | اعرض له البيانات التي تحتفظ بها |
| التصحيح | مكّنه من تعديلها |
| المحو | احذف الحساب والبيانات — فعلياً |
| التقييد | أوقف المعالجة دون حذف |
| الاعتراض | أوقف نشاط معالجة محدداً |
| السحب | إلغاء الموافقة بنقرة |
والتقييد هو الحق الأكثر غياباً. هو ليس حذفاً — بل «احتفظ بها وتوقف عن استخدامها»، وهذا يعني في معظم الأنظمة حالة يجب أن تحترمها كل مسارات المعالجة لديك. وبناء المحو دون التقييد تنفيذ جزئي يبدو مكتملاً.
والمحو يجب أن يعني المحو. حقل deleted_at ليس حذفاً. افحص النسخ الاحتياطية والسجلات وتصديرات التحليلات وأي نسخ في مستودع البيانات. البيانات المحذوفة من قاعدتك الأساسية والباقية في مجمّع سجلات لم تُحذف.
نمط التنفيذ هنا يكاد يطابق السعودي، لذا يستحق دليل نظام حماية البيانات السعودي القراءة إلى جانب هذا — ابنِ مرة واحدة وامتثل للاثنين.
الإبلاغ عن الخرق
يجب على جهة التحكم إبلاغ مكتب الإمارات للبيانات عند وقوع خرق يمسّ خصوصية بيانات صاحبها أو سريتها أو أمنها. وعملياً يُتعامل مع هذا على أنه خلال 72 ساعة من الاكتشاف، اتساقاً مع الأعراف الإقليمية.
وهذا متطلب مراقبة يرتدي زيّ متطلب ورقي. لا يمكنك الإبلاغ خلال 72 ساعة عن خرق تعرفه بعد شهرين. وما يتطلبه فعلاً:
- الكشف — تنبيهات ترصد وصولاً شاذاً أو تسريباً
- التحليل الجنائي — سجلات مفصّلة بما يكفي لتحديد ما جرى الوصول إليه ومتى وبيانات من
- إجراء مكتوب — من يُبلَّغ داخلياً، ومن يقرر، ومن يتواصل مع المكتب
- شروط تعاقدية تلزم جهات المعالجة لديك بإبلاغك خلال 24 ساعة، لأن تأخرها يستهلك مهلتك
اكتب الإجراء قبل أن تحتاجه. لحظة الخرق ليست وقت تصميم إجراء.
نقل البيانات خارج الدولة
يسمح القانون الاتحادي بالنقل إلى جهات توفّر حماية كافية أو بموجب ضوابط تعاقدية معتمدة — نموذج مشروط لا مقيّد كالنموذج السعودي.
والاستثناء الذي يتجاوز كل ذلك: البيانات الصحية. البيانات الصحية الإماراتية تحمل اشتراط تخزين داخل الدولة. وهذا قيد معماري لا قيد تعاقدي يمكن تجاوزه ببند. إن كان منتجك يلمس بيانات صحية، اقرأ التطبيقات الصحية في الإمارات قبل اختيار الاستضافة.
والفحص الذي يتخطاه الجميع تقريباً: التأكد من أن قاعدة البيانات الأساسية داخل المنطقة والتوقف. النسخ الاحتياطية تتوزع بين المناطق افتراضياً في معظم الخدمات المُدارة. والسجلات تحتوي بيانات شخصية وتُرسَل عادةً لخدمة خارجية في الخارج. والتحليلات وتقارير الأعطال ومزوّدو الإشعارات وواجهات الذكاء الاصطناعي كلها تنقل بيانات عبر الحدود. كل واحدة منها نقل.
اسأل أي مزوّد ثلاثة أسئلة: أين البيانات الأساسية، وأين النسخ الاحتياطية، وأين السجلات. دليل مقارنة الاستضافة يوضح مناطق الإمارات المتاحة وما تضمنه فعلاً.
كم يكلف بناء هذا؟
بافتراض تصميمه من البداية لا إضافته لاحقاً:
| العمل | الجهد | التكلفة التقديرية |
|---|---|---|
| إدارة الموافقات (تفصيلية، مسجَّلة، قابلة للسحب) | 3 – 6 أيام | 1,500 – 4,000$ |
| حقوق المستخدم (اطلاع/تصحيح/محو/تقييد/اعتراض) | 6 – 12 يوماً | 3,000 – 7,000$ |
| سجلات التدقيق وكشف الخروقات | 4 – 8 أيام | 2,000 – 5,000$ |
| حصر الأسس النظامية وسياسة الاحتفاظ | 2 – 4 أيام | 1,000 – 2,500$ |
| سياسة خصوصية بلغتين | — | 500 – 2,000$ |
| مراجعة قانونية | — | 2,000 – 8,000$ |
حقّا التقييد والاعتراض يرفعان بند حقوق المستخدم فوق نظيره السعودي — ببساطة لأن عدد الحالات التي يجب نمذجتها أكبر.
والإضافة المتأخرة تكلف ثلاثة إلى خمسة أضعاف، لأن إضافة التقييد إلى نظام لم يُنمذج حالات المعالجة أصلاً عمل بنيوي لا ميزة.
قائمة تحقق قبل الإطلاق
- تأكيد أي قانون يحكم كيانك: اتحادي أم DIFC أم ADGM
- توثيق أساس نظامي لكل نشاط معالجة — لا الموافقة افتراضياً
- موافقة تفصيلية غير مُعلَّمة مسبقاً وقابلة للسحب حيث الموافقة هي الأساس
- سجلات موافقة موقّتة مع نسخة السياسة
- الحقوق الستة متاحة داخل المنتج، بما فيها التقييد والاعتراض
- المحو يشمل النسخ الاحتياطية والسجلات وتصديرات التحليلات
- تأكيد مكان البيانات الأساسية والنسخ الاحتياطية والسجلات
- البيانات الصحية (إن وُجدت) مخزّنة داخل الدولة
- مراجعة كل جهة معالجة خارجية من حيث النقل
- اتفاقيات معالجة تشترط إبلاغك بالخرق خلال 24 ساعة
- إجراء مكتوب للاستجابة للخرق بمسؤولين محددين
- مراقبة قادرة على كشف الخرق ضمن المهلة
- لا بيانات إنتاج في بيئات التطوير
- سياسة خصوصية بالعربية والإنجليزية تطابق الممارسة الفعلية
اقرأ أيضاً
- دليل الامتثال التنظيمي في الخليج — مقارنة الإمارات بالسعودية وقطر.
- دليل نظام حماية البيانات السعودي — التنفيذ المتداخل بتفصيل أكبر.
- التطبيقات الصحية في الإمارات — ترخيص DHA وإقامة البيانات الصحية.
- مقارنة الاستضافة — مناطق الإمارات وأين تقيم بياناتك فعلاً.
- تطوير التطبيقات في أبوظبي — ADGM والسوق المحلي.
- شركة تصميم مواقع في دبي — أسعار دبي ومتطلباتها.
الأسئلة الشائعة
هل ينطبق القانون الإماراتي إن كانت شركتي خارج الإمارات؟
نعم. المرسوم بقانون 45/2021 ينطبق على معالجة البيانات الشخصية للأفراد داخل الإمارات بصرف النظر عن مكان شركتك أو خوادمك. والتسجيل في بلد آخر لا يعفيك إن كان لديك مستخدمون إماراتيون.
هل يخضع DIFC للقانون الاتحادي الإماراتي؟
لا. لـDIFC قانون حماية بيانات خاص بمفوّض خاص، ولـADGM لوائح منفصلة كذلك. وكلاهما أقرب في بنيته إلى اللائحة الأوروبية منه إلى القانون الاتحادي. وأيهما يحكمك يعتمد على مكان تأسيس كيانك لا على الإمارة التي تعمل فيها — راجع رخصتك التجارية قبل اتخاذ أي قرار معماري.
هل أحتاج موافقة دائماً لمعالجة البيانات في الإمارات؟
لا، واللجوء إلى الموافقة لكل شيء خطأ تصميمي شائع. يعترف القانون بالمعالجة دون موافقة في حالات محددة منها المصلحة العامة والصحة العامة والبيانات التي أتاحها صاحبها والمطالبات القانونية والتزامات العمل والضمان الاجتماعي. وثّق أساساً نظامياً لكل نشاط — فطلب موافقة لا تحتاجها يخلق مشكلة حين يسحبها المستخدم.
كم المهلة للإبلاغ عن خرق بيانات في الإمارات؟
يجب على جهة التحكم إبلاغ مكتب الإمارات للبيانات عند وقوع خرق يمسّ خصوصية صاحب البيانات أو سريتها أو أمنها، ويُتعامل مع ذلك عموماً على أنه خلال 72 ساعة من الاكتشاف. والمتطلب العملي هو مراقبة تكشف الخروقات أصلاً، مع اتفاقيات تلزم جهات المعالجة بإبلاغك خلال 24 ساعة.
هل أستطيع تخزين بيانات المستخدمين الإماراتيين خارج الدولة؟
للبيانات التجارية العادية، النقل مسموح إلى جهات ذات حماية كافية أو بموجب ضوابط تعاقدية معتمدة. والبيانات الصحية استثناء تحمل اشتراط تخزين داخل الدولة. وتذكّر أن النسخ الاحتياطية والسجلات عمليات نقل أيضاً، حتى لو كانت قاعدتك الأساسية داخل المنطقة.
هل القانون الإماراتي مطابق لـGDPR؟
يتشاركان البنية والمصطلحات لكنهما يختلفان جوهرياً. القانون الاتحادي أكثر تمحوراً حول الموافقة، وله مسارات إبلاغ وجهة إشراف خاصة، وحالة لائحته التنفيذية غير واضحة في المصادر المنشورة. أما قانونا DIFC وADGM فأقرب إلى GDPR. والبناء وفق GDPR يقطع بك معظم الطريق لكنه لا يحسم أي اختصاص إماراتي ينطبق عليك.
ما الفرق بين المحو والتقييد؟
المحو يحذف البيانات. أما التقييد فيبقيها ويوقف معالجتك لها — وهي حالة لا تنمذجها معظم الأنظمة، ولهذا هي الحق الأكثر غياباً عن التنفيذ. وبناء المحو وحده يبدو مكتملاً وليس كذلك.
الخلاصة
ابدأ بالاختصاص لا بالمتطلبات. كون القانون الاتحادي أم DIFC أم ADGM هو الحاكم يغيّر النظام والجهة التنظيمية والالتزامات — ويتحدد بمكان تأسيس كيانك.
ولا تلجأ للموافقة في كل شيء. حصر أساس نظامي لكل نشاط معالجة جهد أكبر في البداية وموقف أمتن بكثير.
وابنِ التقييد إلى جانب المحو. هو المتطلب الذي تتخطاه معظم التنفيذات بصمت، وهو الذي يكشف إن كان الامتثال مُصمَّماً أم مفترَضاً.
تبني للسوق الإماراتي؟ تواصل معنا لمحادثة تحديد نطاق مجانية — بما فيها إجابة صريحة عن متى تحتاج مستشاراً إماراتياً لا مطوّراً. اطّلع على خدمات تطوير الويب وتطبيقات الموبايل.