الامتثال لقانون حماية البيانات الشخصية الإماراتي مع ConsentX

الاستثناءات من القانون الاتحادي لحماية البيانات الشخصية

يتضمن القانون الاتحادي استبعادات مهمة.

لا ينطبق القانون على فئات معينة، من بينها:

• البيانات الحكومية
• الجهات الحكومية التي تتحكم في البيانات الشخصية أو تعالجها
• البيانات الشخصية لدى الجهات الأمنية والقضائية
• صاحب البيانات الذي يعالج بيانات شخصية لأغراض شخصية
• بعض البيانات الصحية الشخصية التي تنظمها تشريعات خاصة
• بعض البيانات المصرفية والائتمانية التي تنظمها تشريعات خاصة
• الشركات والمنشآت الواقعة في المناطق الحرة التي لديها تشريعات خاصة تنظّم حماية البيانات الشخصية

لذا ينبغي للشركات تحديد أي نظام خصوصية إماراتي ينطبق قبل تصميم برنامج الامتثال لديها.

القانون الاتحادي و DIFC / ADGM

لا تطبّق الدولة نظام خصوصية واحداً على جميع المؤسسات.

ينفصل القانون الاتحادي عن إطاري حماية البيانات في مركز دبي المالي العالمي (DIFC) وسوق أبوظبي العالمي (ADGM)، وهما نظامان قائمان بذاتهما.

لذا ينبغي للمؤسسة التي لديها كيانات في البر الرئيسي للدولة وفي DIFC وADGM أن ترسم خريطة أنشطة المعالجة والتزامات الامتثال لكل كيان على حدة.

ما هي البيانات الشخصية بموجب القانون الإماراتي؟

يعرّف القانون البيانات الشخصية تعريفاً واسعاً بأنها المعلومات المتعلقة بشخص طبيعي محدد الهوية أو بشخص طبيعي يمكن تحديد هويته بصورة مباشرة أو غير مباشرة.

وقد تشمل الأمثلة ما يلي:

• الاسم
• معلومات إثبات الهوية
• الصوت
• الصورة
• معلومات الموقع
• المعرّفات الإلكترونية
• بيانات الاتصال
• معلومات الحساب
• المعلومات المتعلقة بالجهاز
• معلومات التوظيف
• معلومات أخرى قادرة على تحديد هوية الفرد

ومن ثم يغطي القانون ما هو أوسع كثيراً من وثائق الهوية التقليدية.

ما المقصود بالمعالجة؟

تشمل المعالجة العمليات التي تُجرى على البيانات الشخصية، بما في ذلك أنشطة مثل:

• الجمع
• التسجيل
• التنظيم
• الهيكلة
• التخزين
• التكييف
• التعديل
• الاسترجاع
• الاطلاع
• الاستخدام
• الإفصاح
• الإرسال
• النشر
• الدمج
• التقييد
• المحو
• الإتلاف

لذا ينبغي لأصحاب المواقع الإلكترونية معاملة التحليلات والإعلانات وإدارة العملاء والتخصيص وغيرها من الأنشطة الرقمية بوصفها أنشطة معالجة محتملة الصلة متى انطوت على بيانات شخصية.

المعالجة المشروعة بموجب القانون الإماراتي

يرسي القانون الإماراتي الموافقة كأساس مهم للمعالجة، لكنه يحدد أيضاً حالات يمكن أن تتم فيها المعالجة دون موافقة.

ويجيز القانون المعالجة في حالات محددة، من بينها ما يتعلق بما يلي:

• الضرورة التعاقدية
• الالتزامات القانونية
• المصلحة العامة
• الإجراءات القضائية أو القانونية
• حماية مصالح صاحب البيانات
• حماية الصحة العامة
• حماية الأمن الوطني أو النظام العام
• التزامات التوظيف والحماية الاجتماعية في الحالات المحددة
• الحالات التي يكون فيها صاحب البيانات قد أتاح المعلومات للعموم
• الأرشفة
• الأغراض العلمية أو التاريخية أو الإحصائية عند استيفاء الشروط القانونية
• الحالات الأخرى التي يقرّها القانون

لذا ينبغي للشركة ألا تعامل الموافقة تلقائياً بوصفها الأساس القانوني لكل عملية معالجة. والنهج الصحيح هو تحديد الغرض من المعالجة ثم تحديد الأساس القانوني المنطبق.

متطلبات الموافقة بموجب القانون الإماراتي

حيثما اشتُرطت الموافقة، يعرّفها القانون بأنها تعبير واضح ومحدد ولا لبس فيه عن قبول صاحب البيانات للمعالجة من خلال بيان أو فعل إيجابي واضح.

لذا ينبغي لآلية الموافقة المتوافقة أن تتجنب:

• الموافقة المحددة مسبقاً
• الصياغة الغامضة
• الموافقة المخفية
• دمج أغراض غير مترابطة
• اعتبار الصمت موافقة
• الموافقة المتحصلة دون معلومات كافية
• الواجهات التي تجعل السحب صعباً دون مبرر

وينبغي أن يُثبت سجل الموافقة العملي ما يلي:

• من أعطى الموافقة
• متى أُعطيت الموافقة
• ما المعلومات التي عُرضت
• أي غرض جرى قبوله
• أي نشاط معالجة كان مشمولاً
• أي إصدار من إشعار الخصوصية أو واجهة الموافقة كان منطبقاً
• ما إذا كانت الموافقة قد سُحبت لاحقاً

الموافقة المحددة والمستنيرة

ينبغي أن تكون الموافقة محددة بما يكفي تجاه نشاط المعالجة المعني.

فعلى سبيل المثال، قد تعالج الشركة البيانات بشكل منفصل لأغراض:

• إدارة الحساب
• تقديم الخدمة
• التحليلات
• الإعلانات
• التخصيص
• تحسين المنتج
• التسويق
• المشاركة مع أطراف ثالثة
• الذكاء الاصطناعي أو التنميط

وعند الاعتماد على الموافقة، ينبغي للمؤسسة تحديد ما إذا كانت الخيارات المنفصلة مناسبة بدلاً من وضع أغراض غير مترابطة ضمن إذن عام واحد.

سحب الموافقة

يمنح القانون الأفراد حقوقاً تتعلق ببياناتهم الشخصية ويضع ضوابط بشأن الموافقة.

وعندما تستند المعالجة إلى الموافقة، ينبغي للمؤسسات توفير آلية عملية يمكن لصاحب البيانات من خلالها سحب تلك الموافقة.

وينبغي أن تكون آلية السحب:

• سهلة الوصول إليها
• مفهومة
• متاحة
• متسقة مع تجربة الموافقة الأصلية
• مرتبطة بالأنظمة التي تعتمد على قرار الموافقة

ويمكن لـ ConsentX دعم هذه الطبقة من إدارة التفضيلات على مستوى الموقع الإلكتروني.

الشفافية وإشعارات الخصوصية

ينبغي للمؤسسات تزويد أصحاب البيانات بمعلومات مناسبة عن أنشطة المعالجة لديها.

وينبغي أن يشرح إشعار الخصوصية المعلومات ذات الصلة، مثل:

• هوية المتحكم
• معلومات الاتصال
• فئات البيانات الشخصية المجموعة
• الغرض من المعالجة
• الأساس القانوني
• ترتيبات مشاركة البيانات
• الجهات المتلقية
• ممارسات الاحتفاظ
• عمليات النقل الدولي
• حقوق أصحاب البيانات
• كيفية ممارسة هذه الحقوق
• بيانات الاتصال المتعلقة باستفسارات الخصوصية

وينبغي عرض الإشعار بطريقة تتيح للأفراد فهم المعالجة قبل اتخاذ الخيارات ذات الصلة.

حقوق أصحاب البيانات بموجب القانون الإماراتي

يمنح القانون الإماراتي أصحاب البيانات مجموعة من الحقوق المتعلقة ببياناتهم الشخصية.

وبحسب الظروف، تشمل هذه الحقوق ما يتصل بما يلي:

• المعلومات والشفافية
• الاطلاع
• التصحيح
• استكمال البيانات الشخصية
• المحو
• تقييد المعالجة
• إيقاف المعالجة
• نقل البيانات
• الاعتراض على معالجة معينة
• المعالجة الآلية
• الحقوق الأخرى التي يقررها القانون

لذا ينبغي للمؤسسات الحفاظ على عملية رسمية لطلبات أصحاب البيانات.

الحق في الاطلاع على البيانات الشخصية

يجوز لصاحب البيانات طلب الاطلاع على المعلومات الشخصية التي تُعالَج بشأنه، مع مراعاة الشروط والاستثناءات القانونية المنطبقة.

وينبغي أن يتيح سير عمل قوي لطلبات الاطلاع للمؤسسة القيام بما يلي:

• استلام الطلب
• التحقق من هوية مقدّم الطلب
• البحث في الأنظمة ذات الصلة
• تحديد الاستثناءات المنطبقة
• التنسيق مع المعالجين
• تجميع المعلومات المطلوبة
• الرد عبر قناة مناسبة
• الاحتفاظ بسجل تدقيق

الحق في التصحيح

يجوز لأصحاب البيانات طلب تصحيح أو استكمال البيانات الشخصية غير الدقيقة أو غير المكتملة عند استيفاء الشروط القانونية.

وينبغي للشركات ضمان إمكانية انتقال التصحيحات إلى الأنظمة والمعالجين ذوي الصلة.

ويكتسب ذلك أهمية خاصة عندما تكون معلومات العميل نفسها مخزّنة في:

• أنظمة إدارة علاقات العملاء
• منصات التسويق
• برمجيات دعم العملاء
• أنظمة الفوترة
• أنظمة التحليلات
• تطبيقات الأطراف الثالثة

الحق في الحذف

يقرّ القانون حالات يجوز فيها لصاحب البيانات طلب حذف البيانات الشخصية.

ولا ينبغي معاملة الحذف بوصفه التزاماً غير مشروط بمحو كل سجل على الفور.

وينبغي للمؤسسات النظر فيما يلي:

• ما إذا كانت البيانات لا تزال لازمة
• ما إذا كان قانون آخر يقتضي الاحتفاظ بها
• ما إذا كانت مطالبة قانونية تعتمد على تلك المعلومات
• ما إذا كان استثناء قانوني ينطبق
• ما إذا كان غرض مشروع آخر يجيز استمرار المعالجة
• ما إذا كان يلزم توجيه المعالجين من أطراف ثالثة إلى حذف المعلومات

الحق في تقييد المعالجة

ينص القانون على تقييد المعالجة في الحالات المحددة.

وينبغي أن تتيح مسارات عمل التقييد للمؤسسات التمييز بين:

• الحذف
• استمرار التخزين دون استخدام فعلي
• الوقف الكامل للمعالجة
• المعالجة التي تظل لازمة لغرض قانوني أو تشريعي

وهذا التمييز مهم لعمليات الامتثال، إذ لا يؤدي كل طلب يتعلق بالخصوصية بالضرورة إلى حذف فوري.

الحق في الاعتراض

يتمتع أصحاب البيانات بحقوق الاعتراض على أشكال معينة من المعالجة.

وينبغي للشركات توفير عملية لاستقبال الاعتراضات وتقييمها، ولا سيما عندما تنطوي المعالجة على ما يلي:

• التسويق المباشر
• التنميط
• اتخاذ القرارات الآلية
• معالجة أخرى يقرر القانون بشأنها حق الاعتراض

نقل البيانات وقابليتها للنقل

ينص القانون الإماراتي على حقوق تتعلق بنقل البيانات الشخصية.

وينبغي للمؤسسات الحفاظ على قدرات تقنية تتيح تحديد المعلومات الشخصية ذات الصلة وتصديرها بصيغة مناسبة متى انطبقت المتطلبات القانونية للنقل.

وقد يستلزم ذلك التنسيق بين:

• قواعد بيانات العملاء
• منصات إدارة علاقات العملاء
• الأنظمة السحابية
• تطبيقات SaaS
• أنظمة التحليلات
• المعالجين من أطراف ثالثة

البيانات الشخصية الحساسة

يوفّر القانون ضمانات إضافية للبيانات الشخصية الحساسة.

وقد تشمل المعلومات الحساسة فئات من المعلومات قادرة على الكشف عن خصائص أو ظروف بالغة الخصوصية لدى الفرد.

وينبغي للشركات تطبيق ضوابط أقوى عند معالجة المعلومات الحساسة، بما في ذلك:

• تقليل البيانات إلى الحد الأدنى
• قيود الوصول
• المصادقة القوية
• التشفير
• الرصد
• مدد احتفاظ مناسبة
• تقييمات أثر الخصوصية عند الاقتضاء
• حوكمة معززة

مسؤول حماية البيانات

ينص القانون على تعيين مسؤول لحماية البيانات (DPO) في الحالات المحددة.

وقد يلزم تعيين مسؤول لحماية البيانات عندما تنطوي أنشطة المعالجة على ظروف مثل:

• الرصد المنتظم والمنهجي
• معالجة البيانات الشخصية الحساسة على نطاق واسع
• ظروف أخرى يقررها القانون أو متطلبات التنفيذ

وقد تشمل وظيفة مسؤول حماية البيانات ما يلي:

• رصد الامتثال
• تقديم المشورة بشأن التزامات الخصوصية
• دعم تقييمات الأثر
• إدارة حقوق أصحاب البيانات
• دعم الاستجابة للانتهاكات
• التعاون مع الجهة المختصة
• الحفاظ على حوكمة الخصوصية

وينبغي مراجعة المتطلبات التشغيلية الدقيقة في ضوء إطار التنفيذ المنطبق.

تقييمات أثر حماية البيانات

يشترط القانون الإماراتي إجراء تقييمات أثر لبعض أنشطة المعالجة التي يُرجَّح أن تنطوي على مخاطر مرتفعة على خصوصية أصحاب البيانات وسرية بياناتهم.

وينبغي أن يقيّم تقييم الأثر مسائل مثل:

• طبيعة المعالجة
• الغرض
• النطاق
• فئات البيانات الشخصية
• فئات أصحاب البيانات
• المخاطر المحتملة
• الضوابط الأمنية
• تدابير التخفيف
• الاحتفاظ
• مشاركة البيانات
• عمليات النقل الدولي
• المخاطر المتبقية

وتكتسب تقييمات الأثر أهمية خاصة للمعالجة التي تنطوي على:

• بيانات حساسة
• رصد واسع النطاق
• تنميط
• اتخاذ قرارات آلية
• تقنيات جديدة
• تتبع واسع
• معالجة عالية المخاطر

الخصوصية بالتصميم

ينبغي للمؤسسات دمج اعتبارات الخصوصية في الأنظمة وتطوير المنتجات.

وقد يشمل برنامج الخصوصية بالتصميم ما يلي:

• تقليل البيانات إلى الحد الأدنى
• تحديد الغرض
• إعدادات الخصوصية الافتراضية
• ضوابط الوصول
• التشفير
• إخفاء الهوية المستعارة
• ضوابط الاحتفاظ
• إدارة الموافقة
• إدارة تفضيلات المستخدم
• تسجيل عمليات التدقيق
• اختبارات الخصوصية

وبالنسبة إلى الأعمال الرقمية، ينبغي معالجة الخصوصية عند تصميم الموقع أو التطبيق أو بنية التحليلات، لا بعد إطلاقها.

الالتزامات الأمنية

يُتوقع من المتحكمين والمعالجين تنفيذ تدابير تقنية وتنظيمية مناسبة لحماية البيانات الشخصية.

وينبغي أن تعكس التدابير الأمنية ما يلي:

• طبيعة البيانات الشخصية
• مخاطر المعالجة
• التقنية المستخدمة
• العواقب المحتملة لأي انتهاك
• تكلفة الضمانات وجدواها
• بيئة عمل المؤسسة

وقد تشمل الضوابط ما يلي:

• التشفير
• إدارة الوصول
• المصادقة
• أمن الشبكات
• حماية الأجهزة الطرفية
• التطوير الآمن
• إدارة الثغرات
• الرصد
• تسجيل السجلات
• النسخ الاحتياطي والاستعادة
• الاستجابة للحوادث
• تدريب الموظفين
• ضوابط أمن الموردين

انتهاكات البيانات الشخصية

يضع القانون الإماراتي التزامات تتعلق بانتهاكات البيانات الشخصية.

وينبغي أن يمكّن برنامج الاستجابة للانتهاكات المؤسسات مما يلي:

• اكتشاف الحوادث
• احتواء الأنظمة المتأثرة
• تحديد ما إذا كانت بيانات شخصية معنية
• تقييم طبيعة الحادث وخطورته
• تحديد أصحاب البيانات المتأثرين
• تحديد التزامات الإخطار
• إخطار الجهة المختصة عند الاقتضاء
• إخطار الأفراد المتأثرين عند الاقتضاء
• توثيق الحادث
• تنفيذ التدابير التصحيحية

والمتطلبات التشغيلية التفصيلية، بما في ذلك إجراءات الإخطار وتوقيته، من بين المسائل التي تتوقف على إطار التنفيذ. كما يقتضي القانون نفسه وضع قواعد إضافية لتنفيذه.

نقل البيانات عبر الحدود

ينظّم القانون الإماراتي نقل البيانات الشخصية ومشاركتها خارج الدولة.

وينبغي تقييم عمليات النقل الدولي قبل أن تكون البيانات:

• مرسلة إلى مزوّد خدمات سحابية في الخارج
• مخزّنة على منصة SaaS دولية
• متاحة لشركة أجنبية ضمن المجموعة
• مشاركة مع معالج في الخارج
• منقولة إلى مزوّد تسويق أجنبي
• معالجة عبر بنية تحتية تقع خارج الدولة

وينص القانون على آليات للنقل الدولي، تشمل عمليات النقل القائمة على الكفاية والاتفاقيات المنطبقة والضمانات التعاقدية وغيرها من الشروط التي يقررها القانون.

لذا ينبغي للشركات الاحتفاظ بسجل لعمليات النقل الدولي يحدد ما يلي:

• بلد المنشأ
• بلد الوجهة
• الجهة المتلقية
• الغرض
• فئات البيانات
• آلية النقل القانونية
• الضمانات التعاقدية
• التدابير الأمنية

ملفات تعريف الارتباط والتتبع عبر الإنترنت بموجب القانون الإماراتي

ينطبق القانون الإماراتي على ملفات تعريف الارتباط وتقنيات التتبع متى انطوت على بيانات شخصية.

وينبغي للشركات تقييم ما يلي:

• ما المعلومات التي يجمعها ملف تعريف الارتباط
• ما إذا كانت المعلومات تحدد هوية الفرد أو يمكن أن تحددها
• الغرض من التتبع
• ما إذا كانت أطراف ثالثة تتلقى المعلومات
• الأساس القانوني المنطبق
• ما إذا كانت الموافقة مطلوبة
• المدة التي تُحفظ فيها المعلومات
• كيف يمكن للمستخدمين تغيير تفضيلاتهم

ومن التقنيات الشائعة التي تستلزم المراجعة:

• ملفات تعريف الارتباط التحليلية
• ملفات تعريف الارتباط الإعلانية
• بكسلات إعادة الاستهداف
• بكسلات وسائل التواصل الاجتماعي
• تتبع التحويلات
• معرّفات الأجهزة
• تقنيات الجلسات
• التحليلات السلوكية
• النصوص الإعلانية من أطراف ثالثة

وحيثما كانت الموافقة هي الأساس المنطبق، ينبغي للمؤسسات منع بدء المعالجة المعنية قبل الحصول على الاختيار المطلوب.

التسويق المباشر

ينبغي تقييم الأنشطة التسويقية التي تنطوي على بيانات شخصية في ضوء القانون وسائر القواعد الإماراتية المنطبقة.

وينبغي للشركات مراجعة ما يلي:

• مصدر المعلومات التسويقية
• الغرض من الجمع
• الأساس القانوني
• الموافقة
• آليات الانسحاب
• إدارة التفضيلات
• التنميط
• المنصات الإعلانية
• الإفصاح لأطراف ثالثة
• الاحتفاظ

كما توجد في الدولة قواعد منفصلة للتسويق عبر الهاتف. فقرار مجلس الوزراء رقم 56 لسنة 2024 ينظّم مكالمات التسويق الهاتفي، بينما ينص قرار مجلس الوزراء رقم 57 لسنة 2024 على عقوبات إدارية لمخالفة تلك القواعد. وينبغي تقييم هذه المتطلبات بمعزل عن القانون الاتحادي لحماية البيانات الشخصية.

اتخاذ القرارات الآلية والتنميط

يتناول القانون الإماراتي المعالجة الآلية ويوفّر حماية تتعلق بالقرارات المبنية على المعالجة الآلية.

وينبغي للشركات التي تستخدم أنظمة الذكاء الاصطناعي أو التنميط أو التقييم السلوكي أو قرارات الأهلية الآلية أو الإعلانات المخصصة أو أنظمة التوصية أو كشف الاحتيال أو تقييم الجدارة الائتمانية أو غيرها من تقنيات القرار الآلي أن تقيّم ما يلي:

• ما البيانات الشخصية التي تُعالَج
• الغرض
• أهمية القرار
• الشفافية
• حقوق الاعتراض المنطبقة
• التدخل البشري عند الاقتضاء
• الأمن
• المعالجة من جانب أطراف ثالثة
• متطلبات تقييم الأثر

وينبغي تقييم أنظمة الذكاء الاصطناعي التي تعالج بيانات شخصية بوصفها جزءاً من برنامج حوكمة الخصوصية الأوسع لدى المؤسسة.

تقليل البيانات وتحديد الغرض

ينبغي للمؤسسات جمع البيانات الشخصية لأغراض مشروعة ومحددة بوضوح، وتجنّب جمع معلومات لا لزوم لها لتلك الأغراض.

فعلى سبيل المثال، ينبغي للموقع الذي يطلب ما يلي أن يكون قادراً على بيان سبب الحاجة إلى كل فئة:

• الاسم
• البريد الإلكتروني
• رقم الهاتف
• الموقع
• معلومات الجهاز
• البيانات السلوكية
• معرّفات الإعلانات

كما ينبغي مراعاة تقليل البيانات عند تهيئة منصات التحليلات والإعلانات وبيانات العملاء.

الاحتفاظ بالبيانات

ينبغي للشركات وضع جداول للاحتفاظ بالبيانات الشخصية.

وينبغي أن يتناول برنامج الاحتفاظ ما يلي:

• حسابات العملاء
• قواعد بيانات التسويق
• سجلات الموافقة
• ملفات تعريف الارتباط
• بيانات التحليلات
• سجلات الأمن
• تذاكر الدعم
• طلبات أصحاب البيانات
• سجلات الموظفين
• البيانات لدى المعالجين

وينبغي أن يستند الاحتفاظ إلى متطلبات قانونية وتعاقدية وتشغيلية ومتطلبات الخصوصية، لا إلى التخزين غير المحدد المدة.

المتحكمون والمعالجون

يميّز القانون بين دورين.

المتحكم. الجهة التي تحدد أسلوب معالجة البيانات الشخصية ومعاييرها وغرضها.

المعالج. الجهة التي تعالج البيانات الشخصية نيابةً عن المتحكم ووفقاً لتعليماته.

وقد تشمل أمثلة المعالجين ما يلي:

• مزوّدي الخدمات السحابية
• مزوّدي أنظمة إدارة علاقات العملاء
• موردي التحليلات
• منصات التسويق
• مزوّدي دعم العملاء
• مزوّدي خدمات الدفع
• منصات SaaS

وينبغي أن ترسي الترتيبات بين المتحكم والمعالج بوضوح ما يلي:

• تعليمات المعالجة
• المتطلبات الأمنية
• السرية
• التعاقد من الباطن على المعالجة
• مساعدة أصحاب البيانات
• الإخطار بالانتهاكات
• عمليات النقل الدولي
• حذف البيانات أو إعادتها
• متطلبات التدقيق والتعاون

إدارة المعالجين

لا يلغي استخدام مزوّد من طرف ثالث الحاجة إلى حوكمة الخصوصية.

وقبل التعاقد مع معالج، ينبغي للمؤسسات تقييم ما يلي:

• أين يعالج المزوّد البيانات
• شهادات الأمن
• المعالجين من الباطن
• عمليات النقل الدولي
• الاحتفاظ
• إجراءات الحذف
• الاستجابة للحوادث
• الضمانات التعاقدية
• دعم أصحاب البيانات
• التعاون مع الجهات التنظيمية

وينبغي الاحتفاظ بسجل للمعالجين طوال فترة العلاقة.

حوكمة البيانات والمساءلة

ينبغي أن يتضمن برنامج الامتثال الناضج للقانون الإماراتي ما يلي:

• سجل البيانات
• سجلات أنشطة المعالجة
• سياسات الخصوصية
• إشعارات الخصوصية
• سجلات الموافقة
• عقود المعالجين
• تقييمات النقل
• تقييمات أثر حماية البيانات
• حوكمة مسؤول حماية البيانات
• سياسات الأمن
• الاستجابة للحوادث
• مسارات عمل طلبات أصحاب البيانات
• جداول الاحتفاظ
• مراجعات امتثال دورية

وإدارة الموافقة ليست سوى أحد مكونات إطار الحوكمة الأوسع هذا.

وضع اللائحة التنفيذية

من أهم النقاط الواجب فهمها بشأن القانون الإماراتي وضع لائحته التنفيذية.

تنص المادة 28 من المرسوم بقانون اتحادي رقم 45 لسنة 2021 على أن يصدر مجلس الوزراء اللائحة التنفيذية. ثم تنص المادة 29 على فترة توفيق أوضاع للمتحكمين والمعالجين تبدأ من تاريخ صدور تلك اللائحة.

وتواصل المصادر القانونية المتخصصة الحالية الإفادة بأن اللائحة التنفيذية الاتحادية للقانون لم تُنشر، ومن ثم تظل متطلبات التنفيذ التفصيلية مجالاً مهماً للمتابعة.

وعليه، ينبغي للشركات ألا تعرض رقم لائحة غير مُتحقق منه أو موعداً نهائياً متخيَّلاً للتنفيذ بوصفه اللائحة التنفيذية للقانون الإماراتي.

وتظل الالتزامات الجوهرية الواردة مباشرة في المرسوم بقانون اتحادي رقم 45 لسنة 2021 أساس الإطار الاتحادي.

القانون الإماراتي والقوانين القطاعية

لا يعمل القانون الاتحادي بمعزل عن غيره.

فبعض القطاعات لديها متطلبات خاصة بها في مجال الخصوصية وحوكمة البيانات، في مجالات مثل:

• الرعاية الصحية
• الأعمال المصرفية
• المعلومات الائتمانية
• الاتصالات
• الخدمات المالية
• الخدمات الحكومية
• الأنشطة المنظَّمة في المناطق الحرة

كما يستثني القانون نفسه بعض المعلومات الصحية والمصرفية أو الائتمانية حيثما نظّمت تشريعات منفصلة حمايتها ومعالجتها.

لذا ينبغي للشركات إجراء تقييم قانوني قطاعي قبل افتراض أن القانون الاتحادي هو الإطار الوحيد المنطبق.

قائمة التحقق للامتثال للقانون الإماراتي

استخدم قائمة التحقق هذه لمراجعة برنامج الخصوصية لديك.

• تحديد جميع البيانات الشخصية المعالَجة
• تحديد البيانات الشخصية الحساسة
• تحديد ما إذا كان القانون الاتحادي ينطبق
• التحقق مما إذا كان استثناء أو قانون قطاعي ينطبق
• تحديد ما إذا كانت قواعد DIFC أو ADGM تنطبق
• تحديد المتحكمين والمعالجين
• رسم خريطة أغراض المعالجة
• تحديد الأساس القانوني المنطبق
• مراجعة آليات الموافقة
• جعل الموافقة محددة ومستنيرة
• الاحتفاظ بأدلة الموافقة
• نشر إشعارات خصوصية مناسبة
• إرساء إجراءات طلبات أصحاب البيانات
• دعم طلبات الاطلاع
• دعم طلبات التصحيح
• دعم طلبات الحذف
• دعم طلبات التقييد
• دعم طلبات الاعتراض
• تقييم متطلبات نقل البيانات
• مراجعة عمليات النقل الدولي
• تحديد المعالجين من أطراف ثالثة
• مراجعة عقود المعالجين
• تقييم متطلبات مسؤول حماية البيانات
• إجراء تقييمات الأثر عند الاقتضاء
• تنفيذ ضوابط أمنية مناسبة
• إرساء إجراءات الاستجابة للانتهاكات
• تقييم اتخاذ القرارات الآلية
• مراجعة أنشطة التنميط
• مراجعة ملفات تعريف الارتباط وتقنيات التتبع
• تهيئة الموافقة قبل التتبع المعني
• الحفاظ على جداول الاحتفاظ
• متابعة مستجدات اللائحة التنفيذية
• مراجعة المتطلبات القطاعية المنطبقة