Захист персональних даних (PDPL) в ОАЕ: чи обов'язковий він для бізнесу

ОАЕ формують зрілу правову систему, орієнтовану міжнародні стандарти. У 2022 році набрав чинності Федеральний закон №45/2021 про захист персональних даних (PDPL), що регулює порядок обробки інформації про фізичних осіб. Для багатьох компаній це стало ключовим фактором при вибудовуванні комплаєнсу та роботі з банками та інвесторами.

Ми в Antwort Law щодня супроводжуємо бізнеси в Еміратах і підготували для вас цю статтю, щоб пояснити, кому PDPL є обов'язковим і як правильно документувати відсутність обробки персональних даних, якщо це ваш випадок.

Отже, PDPL є обов'язковим для всіх компаній, зареєстрованих в ОАЕ (mainland і free zone), а також іноземних операторів даних, якщо вони працюють з інформацією про фізичних осіб, які перебувають в ОАЕ. Вони повинні:

• реєструвати процеси обробки даних,
• призначати відповідального за захист даних (DPO) при значних обсягах обробки,
• розробити політику конфіденційності,
• повідомляти про порушення безпеки даних.

Проте PDPL не накладає на організацію значущих обов'язків, якщо одночасно виконуються такі умови:

• у компанії немає співробітників та клієнтів;
• не здійснюється збір чи обробка персональних даних фізичних осіб;
• діяльність ведеться виключно для власних потреб (наприклад, приватна торгівля криптовалютою без залучення третіх осіб).

При цьому навіть у цьому випадку, щоб під час перевірок формально підтвердити свою позицію та виключити можливі претензії з боку регуляторів, UAE Data Office рекомендує оформити:

• письмове підтвердження відсутності обробки даних;
• внутрішню політику «нульової обробки даних»

Крім вимог регуляторів, дотримання PDPL безпосередньо впливає на бізнес:

• Аудит: готові документи PDPL допомагають пройти перевірку без зауважень.
• Банки: політика конфіденційності прискорює комплаєнс і знижує ризик відмови у рахунку.
• Інвестори: прозорі процеси за даними підвищують довіру та спрощують залучення фінансування.

Якщо ваша компанія зобов'язана дотримуватись PDPL, алгоритм дій гранично зрозумілий:

1. Інвентаризація даних – опис усіх джерел даних (співробітники, клієнти, підрядники);
2. Реєстрація процесів обробки через UAE Data Office (включаючи призначення відповідальної особи, якщо це потрібно);
3. Розробка політики захисту даних (Data Privacy Policy, Data Flow Map);
4. Підготовка до аудиту та банківських перевірок — багато банків запитують підтвердження відповідності PDPL при відкритті рахунку.

Компанії в ОАЕ повинні побудувати зрозумілу систему роботи з персональними даними, щоб відповідати вимогам PDPL та бути готовими до перевірок. Для цього необхідно:

• Вести реєстр обробки даних (Data Inventory): фіксувати, які дані збираються, з метою, де зберігаються і хто має доступ.
• Визначати порядок зберігання та знищення даних: прописувати терміни зберігання, методи видалення та відповідальних осіб.
• Оновити політику захисту даних під час змін у бізнес-моделі (наприклад, найм співробітників або запуск клієнтських сервісів).
• Документувати транскордонну передачу даних: вказувати підстави передачі та підтверджувати безпеку обробки за межами ОАЕ.

Терміни зберігання персональних даних визначаються внутрішніми документами компанії та повинні відповідати принципу PDPL: дані не можна зберігати довше, ніж це обґрунтовано цілями їхньої обробки.

Багато компаній намагаються вибудувати PDPL-процеси самостійно, покладаючись на загальні рекомендації з відкритих джерел, але на практиці саме тут найчастіше припускаються помилок: не оформляється реєстр даних, не враховуються вимоги UAE Data Office, відсутня внутрішня політика. У результаті під час аудиту чи банківської перевірки такі прогалини стають реальною проблемою.

Як ми допомагаємо в Antwort Law:

• аналізуємо, чи підпадає бізнес під PDPL;
• готуємо документи для реєстрації обробки даних у UAE Data Office;
• розробляємо внутрішні політики та комплаєнс-процедури;
• консультуємо з питань взаємодії з банками та аудиторами.

Працюючи з нашого офісу в Дубаї, ми бачимо, що навіть компанії без клієнтів та персоналу виграють від того, що формально фіксують свою позицію щодо PDPL. Це знімає питання регуляторів та прискорює перевірки. Замість ризикувати і розбиратися в нюансах закону самостійно, довірте цей процес професіоналам. В Antwort Law ми не тільки готуємо документи, а й створюємо для вашого бізнесу реальний захист.

Лідія Іванова

Міжнародний юрист
Antwort Law