Conformidade com a PDPL dos Emirados Árabes Unidos com a ConsentX

Isenções da PDPL federal dos EAU

A lei federal contém exclusões importantes.

A PDPL não se aplica a determinadas categorias, entre elas:

• Dados governamentais
• Entidades governamentais que controlam ou tratam dados pessoais
• Dados pessoais detidos por autoridades de segurança e judiciais
• Titular que trata dados pessoais para fins pessoais
• Determinados dados pessoais de saúde abrangidos por legislação específica
• Determinados dados bancários e de crédito abrangidos por legislação específica
• Empresas e estabelecimentos situados em zonas francas que possuem legislação especial sobre proteção de dados pessoais

As empresas devem, portanto, identificar qual regime de privacidade dos EAU se aplica antes de desenhar seu programa de conformidade.

PDPL dos EAU e DIFC / ADGM

Os EAU não operam um regime único de privacidade para todas as organizações.

A PDPL federal é distinta dos marcos de proteção de dados do Dubai International Financial Centre (DIFC) e do Abu Dhabi Global Market (ADGM), que constituem regimes próprios.

Uma organização com entidades nos EAU continentais, no DIFC e no ADGM deve, portanto, mapear separadamente as atividades de tratamento e as obrigações de conformidade de cada entidade.

O que são dados pessoais sob a PDPL dos EAU?

A PDPL define dados pessoais de forma ampla como informações relativas a uma pessoa natural identificada ou a uma pessoa natural que possa ser identificada direta ou indiretamente.

Os exemplos podem incluir:

• Nome
• Informações de identificação
• Voz
• Imagem
• Dados de localização
• Identificadores on-line
• Dados de contato
• Informações de conta
• Informações relativas ao dispositivo
• Informações de emprego
• Outras informações capazes de identificar uma pessoa

A lei abrange, portanto, muito mais do que documentos de identidade tradicionais.

O que é tratamento?

O tratamento abrange operações realizadas com dados pessoais, incluindo atividades como:

• Coleta
• Registro
• Organização
• Estruturação
• Armazenamento
• Adaptação
• Modificação
• Recuperação
• Consulta
• Uso
• Divulgação
• Transmissão
• Disseminação
• Combinação
• Limitação
• Eliminação
• Destruição

Os responsáveis por sites devem, portanto, tratar analytics, publicidade, gestão de clientes, personalização e outras atividades digitais como tratamentos potencialmente relevantes quando envolverem dados pessoais.

Tratamento lícito sob a PDPL dos EAU

A PDPL dos EAU estabelece o consentimento como base importante para o tratamento, mas também identifica situações em que o tratamento pode ocorrer sem consentimento.

A lei permite o tratamento em situações específicas, incluindo circunstâncias relativas a:

• Necessidade contratual
• Obrigações legais
• Interesse público
• Procedimentos judiciais ou legais
• Proteção dos interesses do titular
• Proteção da saúde pública
• Proteção da segurança nacional ou da ordem pública
• Obrigações trabalhistas e de proteção social nas hipóteses previstas
• Casos em que o titular tornou a informação pública
• Arquivamento
• Finalidades científicas, históricas ou estatísticas quando atendidas as condições legais
• Outras circunstâncias reconhecidas pela lei

Portanto, uma empresa não deve tratar automaticamente o consentimento como base legal de toda operação de tratamento. A abordagem correta é identificar a finalidade do tratamento e determinar a base legal aplicável.

Requisitos de consentimento sob a PDPL dos EAU

Quando o consentimento é exigido, a lei o define como manifestação clara, específica e inequívoca de que o titular aceita o tratamento por meio de declaração ou ação positiva clara.

Um mecanismo de consentimento em conformidade deve, portanto, evitar:

• Consentimento pré-selecionado
• Redação ambígua
• Consentimento oculto
• Agrupamento de finalidades não relacionadas
• Silêncio como consentimento
• Consentimento obtido sem informação adequada
• Interfaces que dificultam desnecessariamente a retirada

Um registro prático de consentimento deve demonstrar:

• Quem consentiu
• Quando o consentimento foi dado
• Quais informações foram apresentadas
• Qual finalidade foi aceita
• Qual atividade de tratamento foi abrangida
• Qual versão do aviso de privacidade ou da interface de consentimento se aplicava
• Se o consentimento foi posteriormente retirado

Consentimento específico e informado

O consentimento deve ser suficientemente específico em relação à atividade de tratamento.

Por exemplo, uma empresa pode tratar dados separadamente para:

• Gestão de contas
• Prestação do serviço
• Analytics
• Publicidade
• Personalização
• Melhoria de produto
• Marketing
• Compartilhamento com terceiros
• IA ou criação de perfis

Quando se recorre ao consentimento, a organização deve avaliar se escolhas separadas são adequadas, em vez de reunir finalidades não relacionadas sob uma permissão genérica.

Retirada do consentimento

A PDPL confere às pessoas direitos sobre seus dados pessoais e estabelece controles em torno do consentimento.

Quando o tratamento se baseia no consentimento, as organizações devem oferecer um mecanismo prático pelo qual o titular possa retirá-lo.

Um mecanismo de retirada deve ser:

• Fácil de localizar
• Compreensível
• Acessível
• Coerente com a experiência de consentimento original
• Conectado aos sistemas que dependem da decisão de consentimento

A ConsentX pode apoiar essa camada de gestão de preferências no nível do site.

Transparência e avisos de privacidade

As organizações devem fornecer aos titulares informações adequadas sobre suas atividades de tratamento.

Um aviso de privacidade deve explicar informações relevantes como:

• Identidade do controlador
• Informações de contato
• Categorias de dados pessoais coletados
• Finalidade do tratamento
• Base legal
• Acordos de compartilhamento de dados
• Destinatários
• Práticas de retenção
• Transferências internacionais
• Direitos dos titulares
• Como exercer esses direitos
• Contatos pertinentes para questões de privacidade

O aviso deve ser apresentado de modo a permitir que as pessoas compreendam o tratamento antes de fazer as escolhas correspondentes.

Direitos dos titulares sob a PDPL dos EAU

A PDPL dos EAU confere aos titulares um conjunto de direitos sobre seus dados pessoais.

Conforme as circunstâncias, esses direitos abrangem:

• Informação e transparência
• Acesso
• Correção
• Complementação dos dados pessoais
• Eliminação
• Limitação do tratamento
• Interrupção do tratamento
• Transferência de dados
• Oposição a determinados tratamentos
• Tratamento automatizado
• Outros direitos estabelecidos pela lei

As organizações devem, portanto, manter um processo formal de solicitações de titulares.

Direito de acesso aos dados pessoais

O titular pode solicitar acesso às informações pessoais tratadas a seu respeito, observadas as condições e exceções legais aplicáveis.

Um fluxo robusto de solicitações de acesso deve permitir que a organização:

• Receba a solicitação
• Verifique a identidade do solicitante
• Pesquise nos sistemas pertinentes
• Identifique as isenções aplicáveis
• Coordene-se com os operadores
• Reúna as informações exigidas
• Responda por um canal adequado
• Mantenha um registro de auditoria

Direito de correção

Os titulares podem solicitar a correção ou a complementação de dados pessoais inexatos ou incompletos quando atendidas as condições legais.

As empresas devem assegurar que as correções possam se propagar aos sistemas e operadores pertinentes.

Isso é especialmente importante quando as mesmas informações de clientes estão armazenadas em:

• Sistemas de CRM
• Plataformas de marketing
• Softwares de suporte ao cliente
• Sistemas de faturamento
• Sistemas de analytics
• Aplicações de terceiros

Direito de eliminação

A PDPL reconhece situações em que o titular pode solicitar a eliminação de dados pessoais.

A eliminação não deve ser tratada como exigência incondicional de apagar imediatamente todos os registros.

As organizações devem considerar:

• Se os dados ainda são necessários
• Se outra lei exige a retenção
• Se alguma pretensão jurídica depende dessas informações
• Se alguma exceção legal se aplica
• Se outra finalidade legítima permite a continuidade do tratamento
• Se é preciso instruir operadores terceiros a eliminar as informações

Direito de limitar o tratamento

A PDPL prevê limitações ao tratamento nas hipóteses previstas.

Os fluxos de limitação devem permitir que as organizações distingam entre:

• Eliminação
• Armazenamento continuado sem uso ativo
• Cessação completa do tratamento
• Tratamento que permanece necessário para finalidade jurídica ou legal

Essa distinção é importante para as operações de conformidade, pois nem toda solicitação de privacidade resulta necessariamente em eliminação imediata.

Direito de oposição

Os titulares têm direito de se opor a determinadas formas de tratamento.

As empresas devem prever um processo para receber e avaliar oposições, especialmente quando o tratamento envolver:

• Marketing direto
• Criação de perfis
• Decisões automatizadas
• Outros tratamentos para os quais a lei preveja direito de oposição

Transferência e portabilidade de dados

A PDPL dos EAU prevê direitos relativos à transferência de dados pessoais.

As organizações devem manter capacidades técnicas que permitam identificar e exportar as informações pessoais pertinentes em formato adequado quando os requisitos legais de transferência se aplicarem.

Isso pode exigir coordenação entre:

• Bancos de dados de clientes
• Plataformas de CRM
• Sistemas em nuvem
• Aplicações SaaS
• Sistemas de analytics
• Operadores terceiros

Dados pessoais sensíveis

A PDPL prevê salvaguardas adicionais para dados pessoais sensíveis.

Informações sensíveis podem incluir categorias capazes de revelar características ou circunstâncias particularmente privadas de uma pessoa.

As empresas devem aplicar controles mais rigorosos quando tratarem informações sensíveis, incluindo:

• Minimização de dados
• Restrições de acesso
• Autenticação forte
• Criptografia
• Monitoramento
• Prazos de retenção adequados
• Avaliações de impacto quando exigidas
• Governança reforçada

Encarregado de proteção de dados

A PDPL prevê a nomeação de um encarregado de proteção de dados (DPO) nas hipóteses previstas.

Um DPO pode ser exigido quando as atividades de tratamento envolverem circunstâncias como:

• Monitoramento regular e sistemático
• Tratamento de dados pessoais sensíveis em larga escala
• Outras circunstâncias estabelecidas pela lei ou pelos requisitos de execução

A função de DPO pode incluir:

• Monitorar a conformidade
• Assessorar sobre obrigações de privacidade
• Apoiar avaliações de impacto
• Gerir os direitos dos titulares
• Apoiar a resposta a violações
• Cooperar com a autoridade competente
• Manter a governança de privacidade

Os requisitos operacionais precisos devem ser analisados à luz do marco de execução aplicável.

Avaliações de impacto à proteção de dados

A PDPL dos EAU exige avaliações de impacto para determinadas atividades de tratamento que possam resultar em alto risco à privacidade e à confidencialidade dos titulares.

Uma avaliação de impacto deve examinar questões como:

• Natureza do tratamento
• Finalidade
• Escopo
• Categorias de dados pessoais
• Categorias de titulares
• Riscos potenciais
• Controles de segurança
• Medidas de mitigação
• Retenção
• Compartilhamento de dados
• Transferências internacionais
• Risco residual

As avaliações de impacto são especialmente relevantes para tratamentos que envolvam:

• Dados sensíveis
• Monitoramento em larga escala
• Criação de perfis
• Decisões automatizadas
• Novas tecnologias
• Rastreamento extensivo
• Tratamento de alto risco

Privacidade desde a concepção

As organizações devem incorporar considerações de privacidade aos sistemas e ao desenvolvimento de produtos.

Um programa de privacidade desde a concepção pode incluir:

• Minimização de dados
• Limitação da finalidade
• Configurações de privacidade por padrão
• Controles de acesso
• Criptografia
• Pseudonimização
• Controles de retenção
• Gestão de consentimento
• Gestão de preferências do usuário
• Registro de auditoria
• Testes de privacidade

Para negócios digitais, a privacidade deve ser tratada já na concepção de um site, aplicativo ou arquitetura de analytics, e não após a implantação.

Obrigações de segurança

Espera-se que controladores e operadores implementem medidas técnicas e organizacionais adequadas para proteger os dados pessoais.

As medidas de segurança devem refletir:

• A natureza dos dados pessoais
• Os riscos do tratamento
• A tecnologia utilizada
• As possíveis consequências de uma violação
• O custo e a viabilidade das salvaguardas
• O ambiente operacional da organização

Os controles podem incluir:

• Criptografia
• Gestão de acessos
• Autenticação
• Segurança de rede
• Proteção de endpoints
• Desenvolvimento seguro
• Gestão de vulnerabilidades
• Monitoramento
• Registro de logs
• Backup e recuperação
• Resposta a incidentes
• Treinamento de colaboradores
• Controles de segurança de fornecedores

Violações de dados pessoais

A PDPL dos EAU estabelece obrigações relativas a violações de dados pessoais.

Um programa de resposta a violações deve permitir que as organizações:

• Detectem incidentes
• Contenham os sistemas afetados
• Determinem se há dados pessoais envolvidos
• Avaliem a natureza e a gravidade do incidente
• Identifiquem os titulares afetados
• Determinem as obrigações de notificação
• Notifiquem a autoridade competente quando exigido
• Notifiquem as pessoas afetadas quando exigido
• Documentem o incidente
• Implementem medidas corretivas

Os requisitos operacionais detalhados, incluindo procedimentos e prazos de notificação, estão entre os aspectos que dependem do marco de execução. A própria PDPL demanda normas adicionais para sua implementação.

Transferências internacionais de dados

A PDPL dos EAU regula as transferências e o compartilhamento de dados pessoais para fora dos EAU.

As transferências internacionais devem ser avaliadas antes que os dados sejam:

• Enviados a um provedor de nuvem estrangeiro
• Armazenados em uma plataforma SaaS internacional
• Acessados por uma empresa estrangeira do grupo
• Compartilhados com um operador no exterior
• Transferidos a um fornecedor de marketing estrangeiro
• Tratados por infraestrutura situada fora dos EAU

A PDPL prevê mecanismos para transferências internacionais, incluindo transferências baseadas em adequação, acordos aplicáveis, salvaguardas contratuais e outras condições estabelecidas pela lei.

As empresas devem, portanto, manter um inventário de transferências internacionais identificando:

• País de origem
• País de destino
• Destinatário
• Finalidade
• Categorias de dados
• Mecanismo jurídico de transferência
• Salvaguardas contratuais
• Medidas de segurança

Cookies e rastreamento on-line sob a PDPL dos EAU

A PDPL dos EAU é relevante para cookies e tecnologias de rastreamento quando envolvem dados pessoais.

As empresas devem avaliar:

• Quais informações o cookie coleta
• Se as informações identificam ou podem identificar uma pessoa
• A finalidade do rastreamento
• Se terceiros recebem as informações
• A base legal aplicável
• Se o consentimento é exigido
• Por quanto tempo as informações são retidas
• Como os usuários podem alterar suas preferências

Entre as tecnologias que costumam exigir revisão estão:

• Cookies de analytics
• Cookies de publicidade
• Pixels de retargeting
• Pixels de redes sociais
• Rastreamento de conversões
• Identificadores de dispositivo
• Tecnologias de sessão
• Analytics comportamental
• Scripts de publicidade de terceiros

Quando o consentimento for a base aplicável, as organizações devem impedir que o tratamento correspondente comece antes de obtida a escolha exigida.

Marketing direto

As atividades de marketing que envolvam dados pessoais devem ser avaliadas à luz da PDPL e das demais regras aplicáveis nos EAU.

As empresas devem revisar:

• A origem das informações de marketing
• A finalidade da coleta
• A base legal
• O consentimento
• Os mecanismos de exclusão
• A gestão de preferências
• A criação de perfis
• As plataformas de publicidade
• As divulgações a terceiros
• A retenção

Os EAU também possuem regras separadas de telemarketing. A Resolução do Gabinete n.º 56 de 2024 regula chamadas de telemarketing, enquanto a Resolução do Gabinete n.º 57 de 2024 prevê sanções administrativas por violações dessas regras. Esses requisitos devem ser avaliados separadamente da PDPL federal.

Decisões automatizadas e criação de perfis

A PDPL dos EAU trata do tratamento automatizado e prevê proteções relativas a decisões baseadas nesse tratamento.

As empresas que utilizam sistemas de IA, criação de perfis, pontuação comportamental, decisões automatizadas de elegibilidade, publicidade personalizada, sistemas de recomendação, detecção de fraude, avaliação de crédito ou outras tecnologias de decisão automatizada devem avaliar:

• Quais dados pessoais são tratados
• A finalidade
• A relevância da decisão
• A transparência
• Os direitos de oposição aplicáveis
• A intervenção humana quando cabível
• A segurança
• O tratamento por terceiros
• Os requisitos de avaliação de impacto

Sistemas de IA que tratam dados pessoais devem ser avaliados como parte do programa mais amplo de governança de privacidade da organização.

Minimização de dados e limitação da finalidade

As organizações devem coletar dados pessoais para finalidades legítimas e claramente definidas e evitar coletar informações desnecessárias a essas finalidades.

Por exemplo, um site que solicite o seguinte deve ser capaz de explicar por que cada categoria é necessária:

• Nome
• E-mail
• Telefone
• Localização
• Informações do dispositivo
• Dados comportamentais
• Identificadores de publicidade

A minimização de dados também deve ser considerada ao configurar plataformas de analytics, publicidade e dados de clientes.

Retenção de dados

As empresas devem estabelecer cronogramas de retenção de dados pessoais.

Um programa de retenção deve abordar:

• Contas de clientes
• Bases de marketing
• Registros de consentimento
• Cookies
• Dados de analytics
• Logs de segurança
• Chamados de suporte
• Solicitações de titulares
• Registros de colaboradores
• Dados mantidos por operadores

A retenção deve basear-se em requisitos legais, contratuais, operacionais e de privacidade, e não em armazenamento indefinido.

Controladores e operadores

A PDPL distingue dois papéis.

Controlador. A entidade que determina o método, os critérios e a finalidade do tratamento de dados pessoais.

Operador. A entidade que trata dados pessoais em nome e sob as instruções de um controlador.

Exemplos de operadores podem incluir:

• Provedores de nuvem
• Provedores de CRM
• Fornecedores de analytics
• Plataformas de marketing
• Provedores de suporte ao cliente
• Provedores de serviços de pagamento
• Plataformas SaaS

Os acordos entre controlador e operador devem estabelecer com clareza:

• As instruções de tratamento
• Os requisitos de segurança
• A confidencialidade
• A suboperação
• O apoio aos titulares
• A notificação de violações
• As transferências internacionais
• A eliminação ou devolução dos dados
• Os requisitos de auditoria e cooperação

Gestão de operadores

Recorrer a um fornecedor terceiro não elimina a necessidade de governança de privacidade.

Antes de contratar um operador, as organizações devem avaliar:

• Onde o fornecedor trata os dados
• As certificações de segurança
• Os suboperadores
• As transferências internacionais
• A retenção
• Os procedimentos de eliminação
• A resposta a incidentes
• As salvaguardas contratuais
• O apoio aos titulares
• A cooperação com as autoridades

Um inventário de operadores deve ser mantido ao longo de toda a relação.

Governança de dados e prestação de contas

Um programa maduro de conformidade com a PDPL dos EAU deve incluir:

• Inventário de dados
• Registro das operações de tratamento
• Políticas de privacidade
• Avisos de privacidade
• Registros de consentimento
• Contratos com operadores
• Avaliações de transferências
• Avaliações de impacto
• Governança do DPO
• Políticas de segurança
• Resposta a incidentes
• Fluxos de solicitações de titulares
• Cronogramas de retenção
• Revisões periódicas de conformidade

A gestão de consentimento é um componente desse marco mais amplo de governança.

Situação dos Regulamentos de Execução

Um dos pontos mais importantes a compreender sobre a PDPL dos EAU é a situação de seus Regulamentos de Execução.

O artigo 28 do Decreto-Lei Federal n.º 45 de 2021 prevê a edição de Regulamentos de Execução pelo Conselho de Ministros. O artigo 29 estabelece, em seguida, um período de regularização para controladores e operadores, contado a partir da edição desses regulamentos.

As fontes jurídicas especializadas atuais continuam a informar que os Regulamentos de Execução federais da PDPL não foram publicados, de modo que os requisitos detalhados de implementação permanecem um ponto importante de acompanhamento.

Assim, as empresas não devem apresentar um número de norma não verificado nem um prazo de implementação inventado como sendo os Regulamentos de Execução da PDPL dos EAU.

As obrigações centrais contidas diretamente no Decreto-Lei Federal n.º 45 de 2021 permanecem a base do marco federal.

A PDPL dos EAU e as leis setoriais

A PDPL federal não opera isoladamente.

Determinados setores possuem seus próprios requisitos de privacidade e governança de dados, em áreas como:

• Saúde
• Bancos
• Informações de crédito
• Telecomunicações
• Serviços financeiros
• Serviços governamentais
• Atividades reguladas em zonas francas

A própria PDPL exclui determinadas informações de saúde, bancárias ou de crédito quando legislação distinta regula sua proteção e tratamento.

As empresas devem, portanto, realizar uma avaliação jurídica setorial antes de presumir que a PDPL federal é o único marco aplicável.

Checklist de conformidade com a PDPL dos EAU

Use este checklist para revisar seu programa de privacidade.

• Identificar todos os dados pessoais tratados
• Identificar os dados pessoais sensíveis
• Determinar se a PDPL federal se aplica
• Verificar se alguma isenção ou lei setorial se aplica
• Determinar se as regras do DIFC ou do ADGM se aplicam
• Identificar controladores e operadores
• Mapear as finalidades de tratamento
• Determinar a base legal aplicável
• Revisar os mecanismos de consentimento
• Tornar o consentimento específico e informado
• Manter evidências de consentimento
• Publicar avisos de privacidade adequados
• Estabelecer procedimentos de solicitações de titulares
• Atender solicitações de acesso
• Atender solicitações de correção
• Atender solicitações de eliminação
• Atender solicitações de limitação
• Atender oposições
• Avaliar os requisitos de transferência de dados
• Revisar as transferências internacionais
• Identificar operadores terceiros
• Revisar contratos com operadores
• Avaliar os requisitos de DPO
• Realizar avaliações de impacto quando exigidas
• Implementar controles de segurança adequados
• Estabelecer procedimentos de resposta a violações
• Avaliar decisões automatizadas
• Revisar atividades de criação de perfis
• Revisar cookies e tecnologias de rastreamento
• Configurar o consentimento antes do rastreamento correspondente
• Manter cronogramas de retenção
• Acompanhar a evolução dos Regulamentos de Execução
• Revisar os requisitos setoriais aplicáveis