Cumplimiento de la PDPL de los EAU con ConsentX

Exenciones a la PDPL federal de los EAU

La ley federal contiene exclusiones importantes.

La PDPL no se aplica a determinadas categorías, entre ellas:

• Los datos gubernamentales
• Las entidades gubernamentales que controlan o tratan datos personales
• Los datos personales en poder de las autoridades de seguridad y judiciales
• Un interesado que trata datos personales con fines personales
• Determinados datos personales de salud cubiertos por legislación específica
• Determinados datos bancarios y crediticios cubiertos por legislación específica
• Las sociedades y establecimientos situados en zonas francas que cuentan con legislación especial sobre protección de datos personales

Por tanto, las empresas deberían identificar qué régimen de privacidad de los EAU resulta aplicable antes de diseñar su programa de cumplimiento.

PDPL de los EAU y DIFC / ADGM

Los EAU no aplican un único régimen de privacidad a todas las organizaciones.

La PDPL federal es distinta de los marcos de protección de datos del Dubai International Financial Centre (DIFC) y del Abu Dhabi Global Market (ADGM), que constituyen regímenes independientes.

Una organización con entidades en los EAU continentales, en el DIFC y en el ADGM debería, por tanto, mapear por separado las actividades de tratamiento y las obligaciones de cumplimiento de cada entidad.

¿Qué son datos personales bajo la PDPL de los EAU?

La PDPL define ampliamente los datos personales como la información relativa a una persona física identificada o a una persona física que pueda ser identificada directa o indirectamente.

Algunos ejemplos son:

• Nombre
• Información de identificación
• Voz
• Imagen
• Datos de localización
• Identificadores en línea
• Datos de contacto
• Información de cuenta
• Información relativa al dispositivo
• Información laboral
• Otra información capaz de identificar a una persona

La ley abarca, por tanto, mucho más que los documentos de identidad tradicionales.

¿Qué es el tratamiento?

El tratamiento comprende operaciones realizadas sobre datos personales, incluidas actividades como:

• Recopilación
• Registro
• Organización
• Estructuración
• Almacenamiento
• Adaptación
• Modificación
• Extracción
• Consulta
• Utilización
• Divulgación
• Transmisión
• Difusión
• Cotejo
• Limitación
• Supresión
• Destrucción

Los titulares de sitios web deberían, por tanto, tratar la analítica, la publicidad, la gestión de clientes, la personalización y otras actividades digitales como tratamientos potencialmente relevantes cuando intervengan datos personales.

Tratamiento lícito bajo la PDPL de los EAU

La PDPL de los EAU establece el consentimiento como base importante del tratamiento, pero también identifica supuestos en los que el tratamiento puede realizarse sin consentimiento.

La ley permite el tratamiento en situaciones determinadas, incluidas circunstancias relativas a:

• Necesidad contractual
• Obligaciones legales
• Interés público
• Procedimientos judiciales o legales
• Protección de los intereses del interesado
• Protección de la salud pública
• Protección de la seguridad nacional o el orden público
• Obligaciones laborales y de protección social en los supuestos determinados
• Supuestos en los que el interesado ha hecho pública la información
• Archivo
• Fines científicos, históricos o estadísticos cuando se cumplan las condiciones legales
• Otras circunstancias reconocidas por la ley

Por tanto, una empresa no debería tratar automáticamente el consentimiento como la base legal de toda operación de tratamiento. El enfoque correcto consiste en identificar la finalidad del tratamiento y determinar la base legal aplicable.

Requisitos de consentimiento bajo la PDPL de los EAU

Cuando se requiere consentimiento, la ley lo define como una manifestación clara, específica e inequívoca de que el interesado acepta el tratamiento mediante una declaración o acción positiva clara.

Un mecanismo de consentimiento conforme debería, por tanto, evitar:

• Consentimiento preseleccionado
• Redacción ambigua
• Consentimiento oculto
• Agrupación de finalidades no relacionadas
• El silencio como consentimiento
• Consentimiento obtenido sin información suficiente
• Interfaces que dificultan innecesariamente la retirada

Un registro práctico de consentimiento debería acreditar:

• Quién prestó el consentimiento
• Cuándo se prestó
• Qué información se presentó
• Qué finalidad se aceptó
• Qué actividad de tratamiento quedó cubierta
• Qué versión del aviso de privacidad o de la interfaz de consentimiento resultaba aplicable
• Si el consentimiento se retiró posteriormente

Consentimiento específico e informado

El consentimiento debería ser suficientemente específico respecto de la actividad de tratamiento.

Por ejemplo, una empresa puede tratar datos de forma separada para:

• Gestión de cuentas
• Prestación del servicio
• Analítica
• Publicidad
• Personalización
• Mejora de producto
• Marketing
• Cesión a terceros
• IA o elaboración de perfiles

Cuando se recurra al consentimiento, la organización debería determinar si procede ofrecer opciones separadas en lugar de agrupar finalidades no relacionadas bajo un permiso genérico.

Retirada del consentimiento

La PDPL otorga a las personas derechos sobre sus datos personales y establece controles en torno al consentimiento.

Cuando el tratamiento se basa en el consentimiento, las organizaciones deberían ofrecer un mecanismo práctico que permita al interesado retirarlo.

Un mecanismo de retirada debería ser:

• Fácil de localizar
• Comprensible
• Accesible
• Coherente con la experiencia de consentimiento original
• Conectado a los sistemas que dependen de la decisión de consentimiento

ConsentX puede dar soporte a esta capa de gestión de preferencias a nivel de sitio web.

Transparencia y avisos de privacidad

Las organizaciones deberían facilitar a los interesados información adecuada sobre sus actividades de tratamiento.

Un aviso de privacidad debería explicar información relevante como:

• Identidad del responsable del tratamiento
• Información de contacto
• Categorías de datos personales recopilados
• Finalidad del tratamiento
• Base legal
• Acuerdos de cesión de datos
• Destinatarios
• Prácticas de conservación
• Transferencias internacionales
• Derechos de los interesados
• Cómo pueden ejercerse los derechos
• Datos de contacto pertinentes para consultas de privacidad

El aviso debería presentarse de manera que permita a las personas comprender el tratamiento antes de adoptar las decisiones correspondientes.

Derechos de los interesados bajo la PDPL de los EAU

La PDPL de los EAU otorga a los interesados un conjunto de derechos sobre sus datos personales.

Según las circunstancias, estos incluyen derechos relativos a:

• Información y transparencia
• Acceso
• Rectificación
• Completar los datos personales
• Supresión
• Limitación del tratamiento
• Cese del tratamiento
• Transferencia de datos
• Oposición a determinados tratamientos
• Tratamiento automatizado
• Otros derechos establecidos por la ley

Por tanto, las organizaciones deberían mantener un proceso formal de solicitudes de los interesados.

Derecho de acceso a los datos personales

Un interesado puede solicitar acceso a la información personal que se trate sobre él, con sujeción a las condiciones y excepciones legales aplicables.

Un flujo sólido de solicitudes de acceso debería permitir a la organización:

• Recibir la solicitud
• Verificar la identidad del solicitante
• Buscar en los sistemas pertinentes
• Identificar las exenciones aplicables
• Coordinarse con los encargados del tratamiento
• Recopilar la información requerida
• Responder por un canal adecuado
• Mantener un registro de auditoría

Derecho de rectificación

Los interesados pueden solicitar la rectificación o el completado de datos personales inexactos o incompletos cuando se cumplan las condiciones legales.

Las empresas deberían asegurar que las rectificaciones puedan propagarse a los sistemas y encargados pertinentes.

Esto es especialmente importante cuando la misma información de clientes se almacena en:

• Sistemas CRM
• Plataformas de marketing
• Software de atención al cliente
• Sistemas de facturación
• Sistemas de analítica
• Aplicaciones de terceros

Derecho de supresión

La PDPL reconoce supuestos en los que un interesado puede solicitar la supresión de datos personales.

La supresión no debe considerarse una exigencia incondicional de borrar de inmediato todos los registros.

Las organizaciones deberían valorar:

• Si los datos siguen siendo necesarios
• Si otra ley exige su conservación
• Si una reclamación jurídica depende de la información
• Si resulta aplicable una excepción legal
• Si otra finalidad legítima permite continuar el tratamiento
• Si es necesario instruir a los encargados externos para que supriman la información

Derecho a limitar el tratamiento

La PDPL prevé limitaciones del tratamiento en los supuestos determinados.

Los flujos de limitación deberían permitir a las organizaciones distinguir entre:

• Supresión
• Conservación continuada sin uso activo
• Cese completo del tratamiento
• Tratamiento que sigue siendo necesario para una finalidad jurídica o legal

Esta distinción es importante para las operaciones de cumplimiento, porque no toda solicitud de privacidad desemboca necesariamente en una supresión inmediata.

Derecho de oposición

Los interesados tienen derecho a oponerse a determinadas formas de tratamiento.

Las empresas deberían prever un proceso para recibir y evaluar oposiciones, especialmente cuando el tratamiento implique:

• Marketing directo
• Elaboración de perfiles
• Decisiones automatizadas
• Otros tratamientos para los que la ley prevea un derecho de oposición

Transferencia y portabilidad de datos

La PDPL de los EAU prevé derechos relativos a la transferencia de datos personales.

Las organizaciones deberían mantener capacidades técnicas que permitan identificar y exportar la información personal pertinente en un formato adecuado cuando se cumplan los requisitos legales de transferencia.

Esto puede requerir coordinación entre:

• Bases de datos de clientes
• Plataformas CRM
• Sistemas en la nube
• Aplicaciones SaaS
• Sistemas de analítica
• Encargados externos

Datos personales sensibles

La PDPL prevé salvaguardas adicionales para los datos personales sensibles.

La información sensible puede incluir categorías capaces de revelar características o circunstancias especialmente privadas de una persona.

Las empresas deberían aplicar controles más estrictos cuando se traten datos sensibles, incluidos:

• Minimización de datos
• Restricciones de acceso
• Autenticación reforzada
• Cifrado
• Supervisión
• Plazos de conservación adecuados
• Evaluaciones de impacto cuando sean exigibles
• Gobernanza reforzada

Delegado de protección de datos

La PDPL prevé la designación de un delegado de protección de datos (DPO) en los supuestos determinados.

Puede exigirse un DPO cuando las actividades de tratamiento impliquen circunstancias como:

• Supervisión regular y sistemática
• Tratamiento de datos personales sensibles a gran escala
• Otras circunstancias establecidas por la ley o por los requisitos de desarrollo

La función del DPO puede incluir:

• Supervisar el cumplimiento
• Asesorar sobre obligaciones de privacidad
• Apoyar las evaluaciones de impacto
• Gestionar los derechos de los interesados
• Apoyar la respuesta ante brechas
• Cooperar con la autoridad competente
• Mantener la gobernanza de privacidad

Los requisitos operativos precisos deberían revisarse conforme al marco de desarrollo aplicable.

Evaluaciones de impacto en la protección de datos

La PDPL de los EAU exige evaluaciones de impacto para determinadas actividades de tratamiento que puedan entrañar un riesgo elevado para la privacidad y la confidencialidad de los interesados.

Una evaluación de impacto debería analizar cuestiones como:

• Naturaleza del tratamiento
• Finalidad
• Alcance
• Categorías de datos personales
• Categorías de interesados
• Riesgos potenciales
• Controles de seguridad
• Medidas de mitigación
• Conservación
• Cesión de datos
• Transferencias internacionales
• Riesgo residual

Las evaluaciones de impacto resultan especialmente relevantes para tratamientos que impliquen:

• Datos sensibles
• Supervisión a gran escala
• Elaboración de perfiles
• Decisiones automatizadas
• Nuevas tecnologías
• Seguimiento extensivo
• Tratamientos de alto riesgo

Privacidad desde el diseño

Las organizaciones deberían incorporar consideraciones de privacidad a sus sistemas y al desarrollo de productos.

Un programa de privacidad desde el diseño puede incluir:

• Minimización de datos
• Limitación de la finalidad
• Configuración de privacidad por defecto
• Controles de acceso
• Cifrado
• Seudonimización
• Controles de conservación
• Gestión del consentimiento
• Gestión de preferencias de usuario
• Registro de auditoría
• Pruebas de privacidad

Para los negocios digitales, la privacidad debería abordarse al diseñar un sitio web, una aplicación o una arquitectura de analítica, y no después de su despliegue.

Obligaciones de seguridad

Se espera que responsables y encargados del tratamiento implementen medidas técnicas y organizativas adecuadas para proteger los datos personales.

Las medidas de seguridad deberían reflejar:

• La naturaleza de los datos personales
• Los riesgos del tratamiento
• La tecnología empleada
• Las posibles consecuencias de una brecha
• El coste y la viabilidad de las salvaguardas
• El entorno operativo de la organización

Los controles pueden incluir:

• Cifrado
• Gestión de accesos
• Autenticación
• Seguridad de red
• Protección de endpoints
• Desarrollo seguro
• Gestión de vulnerabilidades
• Supervisión
• Registro
• Copias de seguridad y recuperación
• Respuesta a incidentes
• Formación del personal
• Controles de seguridad de proveedores

Brechas de datos personales

La PDPL de los EAU establece obligaciones relativas a las brechas de datos personales.

Un programa de respuesta ante brechas debería permitir a las organizaciones:

• Detectar incidentes
• Contener los sistemas afectados
• Determinar si hay datos personales implicados
• Evaluar la naturaleza y gravedad del incidente
• Identificar a los interesados afectados
• Determinar las obligaciones de notificación
• Notificar a la autoridad competente cuando sea exigible
• Notificar a las personas afectadas cuando sea exigible
• Documentar el incidente
• Implantar medidas correctoras

Los requisitos operativos detallados, incluidos los procedimientos y plazos de notificación, se cuentan entre los aspectos que dependen del marco de desarrollo. La propia PDPL requiere normas adicionales para su implementación.

Transferencias transfronterizas de datos

La PDPL de los EAU regula las transferencias y cesiones de datos personales fuera de los EAU.

Las transferencias internacionales deberían evaluarse antes de que los datos sean:

• Enviados a un proveedor de nube extranjero
• Almacenados en una plataforma SaaS internacional
• Consultados por una sociedad extranjera del grupo
• Compartidos con un encargado en el extranjero
• Transferidos a un proveedor de marketing extranjero
• Tratados a través de infraestructura situada fuera de los EAU

La PDPL prevé mecanismos para las transferencias internacionales, incluidas las basadas en adecuación, acuerdos aplicables, salvaguardas contractuales y otras condiciones establecidas por la ley.

Por tanto, las empresas deberían mantener un inventario de transferencias internacionales que identifique:

• País de origen
• País de destino
• Destinatario
• Finalidad
• Categorías de datos
• Mecanismo jurídico de transferencia
• Salvaguardas contractuales
• Medidas de seguridad

Cookies y seguimiento en línea bajo la PDPL de los EAU

La PDPL de los EAU resulta relevante para las cookies y tecnologías de seguimiento cuando implican datos personales.

Las empresas deberían evaluar:

• Qué información recopila la cookie
• Si la información identifica o puede identificar a una persona
• La finalidad del seguimiento
• Si terceros reciben la información
• La base legal aplicable
• Si se requiere consentimiento
• Cuánto tiempo se conserva la información
• Cómo pueden los usuarios cambiar sus preferencias

Entre las tecnologías habituales que requieren revisión se incluyen:

• Cookies de analítica
• Cookies publicitarias
• Píxeles de retargeting
• Píxeles de redes sociales
• Seguimiento de conversiones
• Identificadores de dispositivo
• Tecnologías de sesión
• Analítica conductual
• Scripts publicitarios de terceros

Cuando el consentimiento sea la base aplicable, las organizaciones deberían impedir que el tratamiento correspondiente comience antes de obtener la elección requerida.

Marketing directo

Las actividades de marketing que impliquen datos personales deberían evaluarse conforme a la PDPL y a las demás normas aplicables de los EAU.

Las empresas deberían revisar:

• El origen de la información de marketing
• La finalidad de la recopilación
• La base legal
• El consentimiento
• Los mecanismos de exclusión
• La gestión de preferencias
• La elaboración de perfiles
• Las plataformas publicitarias
• Las cesiones a terceros
• La conservación

Los EAU cuentan además con normas separadas de telemarketing. La Resolución del Gabinete n.º 56 de 2024 regula las llamadas de telemarketing, mientras que la Resolución del Gabinete n.º 57 de 2024 establece sanciones administrativas por infracciones de esas normas. Estos requisitos deberían evaluarse por separado de la PDPL federal.

Decisiones automatizadas y elaboración de perfiles

La PDPL de los EAU aborda el tratamiento automatizado y prevé protecciones relativas a las decisiones basadas en dicho tratamiento.

Las empresas que utilicen sistemas de IA, elaboración de perfiles, puntuación conductual, decisiones automatizadas de elegibilidad, publicidad personalizada, sistemas de recomendación, detección de fraude, evaluación crediticia u otras tecnologías de decisión automatizada deberían evaluar:

• Qué datos personales se tratan
• La finalidad
• La relevancia de la decisión
• La transparencia
• Los derechos de oposición aplicables
• La intervención humana cuando proceda
• La seguridad
• El tratamiento por terceros
• Los requisitos de evaluación de impacto

Los sistemas de IA que traten datos personales deberían evaluarse como parte del programa más amplio de gobernanza de privacidad de la organización.

Minimización de datos y limitación de la finalidad

Las organizaciones deberían recopilar datos personales para finalidades legítimas y claramente definidas y evitar recabar información innecesaria para esas finalidades.

Por ejemplo, un sitio web que solicite lo siguiente debería poder explicar por qué es necesaria cada categoría:

• Nombre
• Correo electrónico
• Número de teléfono
• Ubicación
• Información del dispositivo
• Datos conductuales
• Identificadores publicitarios

La minimización de datos también debería tenerse en cuenta al configurar plataformas de analítica, publicidad y datos de clientes.

Conservación de datos

Las empresas deberían establecer calendarios de conservación de datos personales.

Un programa de conservación debería abordar:

• Cuentas de clientes
• Bases de datos de marketing
• Registros de consentimiento
• Cookies
• Datos de analítica
• Registros de seguridad
• Tickets de soporte
• Solicitudes de los interesados
• Expedientes de empleados
• Datos en poder de encargados

La conservación debería basarse en requisitos legales, contractuales, operativos y de privacidad, y no en un almacenamiento indefinido.

Responsables y encargados del tratamiento

La PDPL distingue dos roles.

Responsable del tratamiento. La entidad que determina el método, los criterios y la finalidad del tratamiento de datos personales.

Encargado del tratamiento. La entidad que trata datos personales por cuenta y siguiendo las instrucciones de un responsable.

Entre los ejemplos de encargados pueden figurar:

• Proveedores de nube
• Proveedores de CRM
• Proveedores de analítica
• Plataformas de marketing
• Proveedores de atención al cliente
• Proveedores de servicios de pago
• Plataformas SaaS

Los acuerdos entre responsable y encargado deberían establecer con claridad:

• Las instrucciones de tratamiento
• Los requisitos de seguridad
• La confidencialidad
• La subcontratación
• La asistencia a los interesados
• La notificación de brechas
• Las transferencias internacionales
• La supresión o devolución de los datos
• Los requisitos de auditoría y cooperación

Gestión de encargados del tratamiento

Recurrir a un proveedor externo no elimina la necesidad de gobernanza de la privacidad.

Antes de incorporar a un encargado, las organizaciones deberían evaluar:

• Dónde trata los datos el proveedor
• Las certificaciones de seguridad
• Los subencargados
• Las transferencias internacionales
• La conservación
• Los procedimientos de supresión
• La respuesta a incidentes
• Las salvaguardas contractuales
• El soporte a los interesados
• La cooperación con las autoridades

Debería mantenerse un inventario de encargados durante toda la relación.

Gobernanza de datos y responsabilidad proactiva

Un programa maduro de cumplimiento de la PDPL de los EAU debería incluir:

• Inventario de datos
• Registro de actividades de tratamiento
• Políticas de privacidad
• Avisos de privacidad
• Registros de consentimiento
• Contratos con encargados
• Evaluaciones de transferencias
• Evaluaciones de impacto
• Gobernanza del DPO
• Políticas de seguridad
• Respuesta a incidentes
• Flujos de solicitudes de los interesados
• Calendarios de conservación
• Revisiones periódicas de cumplimiento

La gestión del consentimiento es un componente de este marco de gobernanza más amplio.

Situación de los Reglamentos de Ejecución

Uno de los aspectos más importantes que conviene entender sobre la PDPL de los EAU es la situación de sus Reglamentos de Ejecución.

El artículo 28 del Decreto-Ley Federal n.º 45 de 2021 prevé que el Consejo de Ministros dicte los Reglamentos de Ejecución. El artículo 29 establece después un periodo de regularización para responsables y encargados que comienza con la publicación de dichos reglamentos.

Las fuentes jurídicas especializadas actuales siguen informando de que los Reglamentos de Ejecución federales de la PDPL no se han publicado, por lo que los requisitos detallados de implementación siguen siendo un ámbito importante a vigilar.

En consecuencia, las empresas no deberían presentar un número de norma no verificado ni un plazo de implementación inventado como Reglamentos de Ejecución de la PDPL de los EAU.

Las obligaciones fundamentales contenidas directamente en el Decreto-Ley Federal n.º 45 de 2021 siguen siendo la base del marco federal.

La PDPL de los EAU y las leyes sectoriales

La PDPL federal no opera de forma aislada.

Determinados sectores cuentan con sus propios requisitos de privacidad y gobernanza de datos, en ámbitos como:

• Sanidad
• Banca
• Información crediticia
• Telecomunicaciones
• Servicios financieros
• Servicios públicos
• Actividades reguladas en zonas francas

La propia PDPL excluye determinada información sanitaria, bancaria o crediticia cuando una legislación distinta regula su protección y tratamiento.

Por tanto, las empresas deberían realizar una evaluación jurídica sectorial antes de asumir que la PDPL federal es el único marco aplicable.

Lista de comprobación de cumplimiento de la PDPL de los EAU

Utilice esta lista para revisar su programa de privacidad.

• Identificar todos los datos personales tratados
• Identificar los datos personales sensibles
• Determinar si resulta aplicable la PDPL federal
• Comprobar si se aplica una exención o ley sectorial
• Determinar si se aplican las normas del DIFC o del ADGM
• Identificar a responsables y encargados
• Mapear las finalidades de tratamiento
• Determinar la base legal aplicable
• Revisar los mecanismos de consentimiento
• Hacer que el consentimiento sea específico e informado
• Conservar evidencias de consentimiento
• Publicar avisos de privacidad adecuados
• Establecer procedimientos de solicitudes de los interesados
• Atender las solicitudes de acceso
• Atender las solicitudes de rectificación
• Atender las solicitudes de supresión
• Atender las solicitudes de limitación
• Atender las oposiciones
• Evaluar los requisitos de transferencia de datos
• Revisar las transferencias internacionales
• Identificar a los encargados externos
• Revisar los contratos con encargados
• Evaluar los requisitos de DPO
• Realizar evaluaciones de impacto cuando sean exigibles
• Implantar controles de seguridad adecuados
• Establecer procedimientos de respuesta ante brechas
• Evaluar las decisiones automatizadas
• Revisar las actividades de elaboración de perfiles
• Revisar las cookies y tecnologías de seguimiento
• Configurar el consentimiento antes del seguimiento correspondiente
• Mantener calendarios de conservación
• Seguir la evolución de los Reglamentos de Ejecución
• Revisar los requisitos sectoriales aplicables