سؤال وجواب حول خصوصية البيانات: الإمارات العربية المتحدة

دليل الأسئلة والأجوبة للإجابة على الأسئلة والمخاوف الشائعة حول مشهد خصوصية البيانات في دولة الإمارات العربية المتحدة.

يُرجى تنزيل دليل أسئلة وأجوبة خصوصية البيانات انقر هنا.

راجع أدلة أخرى تتعلق بسؤال وإجابة خصوصية البيانات للنشر ، وسلطات قضائية منفصلة انقر هنا.

هل قانون خصوصية البيانات ضمن اختصاص دولة الإمارات العربية المتحدة؟ إذا كانت الإجابة بنعم ، فهل سيتم تنفيذها؟ إذا لم يكن كذلك ، فما هي القوانين التي تعتمد عليها؟)

القانون الاتحادي لدولة الإمارات العربية المتحدة

سنت دولة الإمارات العربية المتحدة القانون الفيدرالي لحماية البيانات ، الذي دخل حيز التنفيذ في أوائل يناير 2022. هناك أمران:

يتعامل القانون الاتحادي لدولة الإمارات العربية المتحدة رقم 45 لعام 2021 مع حماية البيانات الشخصية (“قانون PPD”). من المتوقع صدور اللوائح الإدارية بحلول مارس 2022. هناك مهلة ستة أشهر من مارس للامتثال.

إنشاء مكتب بيانات الإمارات العربية المتحدة بموجب القانون 44 من قانون اللجنة الفيدرالية لدولة الإمارات العربية المتحدة 2021 ، والذي ينشئ مكتب حماية البيانات لتقديم التوجيه والإشراف على الامتثال.

المناطق الحرة بدولة الإمارات العربية المتحدة

صندوق النقد الدولي (DIFC) وسوق أبوظبي العالمي (ADGM) هما منطقتان حرتان سنتا قوانين حماية البيانات الخاصة بهما – قانون حماية البيانات رقم 5 2020 ولوائح حماية البيانات 2021 (ADGM). تنطبق هذه القوانين فقط على الشركات والمؤسسات الموجودة في تلك المناطق الحرة. من المفهوم أن قانون PPD سيتعاون ولكنه لن يغير هذه القوانين.

رعاية صحية

القانون الاتحادي رقم لاتحاد استخدام تكنولوجيا المعلومات والاتصالات في الرعاية الصحية. 2 لعام 2019 (“قانون صحة تكنولوجيا المعلومات والاتصالات”) ينظم استخدام تكنولوجيا المعلومات والاتصالات في قطاع الرعاية الصحية في جميع أنحاء دولة الإمارات العربية المتحدة ، بما في ذلك المناطق الحرة.

لائحة حماية المستهلك للبنك المركزي لدولة الإمارات العربية المتحدة

أصدر مصرف الإمارات العربية المتحدة المركزي لائحة حماية المستهلك (التعميم رقم 8/2020) (CPR) في 31 ديسمبر 2020. متطلبات بيانات المستهلك المحددة للمؤسسات المالية المرخصة التي تنظمها CPR ومعايير حماية المستهلك ذات الصلة (CPS). البنوك (المؤسسات المالية).

لأغراض هذه المقالة ، سنناقش قانون PPD.

هل هناك أدوات قانونية مهمة معلقة حاليًا بشأن حماية البيانات؟ إذا كان الأمر كذلك ، فما هو الموعد النهائي؟

من المتوقع صدور اللوائح الإدارية لقانون PPD بحلول مارس 2022. ستوفر هذه الإرشادات حول كيفية تطبيق القانون.

على من يسري قانون PPD؟

ينطبق القانون على كل من وحدات التحكم والمعالجات. المتحكم هو أي شركة تعالج البيانات الشخصية. يمكن أن يكون فردًا أو منظمة. تحدد الشركة طريقة ومعايير معالجة البيانات الشخصية والغرض منها. المعالج هو أي طرف ثالث يعالج البيانات الشخصية بناءً على تعليمات وحدة التحكم.

ينطبق هذا القانون على البيانات الشخصية للأفراد المقيمين أو العاملين في دولة الإمارات العربية المتحدة (“البيانات الشخصية للإمارات العربية المتحدة”).

ينطبق هذا على جميع وحدات التحكم والمعالجات الموجودة في دولة الإمارات العربية المتحدة ، بغض النظر عن المكان الذي يقيم فيه الفرد أو يعمل في الإمارات العربية المتحدة أو في الخارج ؛ وجميع أجهزة التحكم أو المعالجات خارج الإمارات العربية المتحدة التي تعالج البيانات الشخصية في الإمارات العربية المتحدة.

من غير مشمول في قانون PPD؟ المسؤولون الحكوميون والمسؤولون الأمنيون والقضائيون والمنظمات في المناطق الحرة لمركز دبي المالي العالمي وسوق أبوظبي العالمي مع قوانين حماية البيانات الشخصية.

من هم المسؤولون التنظيميون والتنفيذيون المعنيون في دولة الإمارات العربية المتحدة فيما يتعلق بحماية البيانات الشخصية؟

يخضع قانون PPD ، قانون المفوضية الفيدرالية لدولة الإمارات العربية المتحدة رقم 44 ، 2021 لإشراف مكتب بيانات الإمارات الذي تم إنشاؤه من خلال إنشاء مكتب بيانات الإمارات العربية المتحدة.

كيف يتم تعريف البيانات الشخصية في دولة الإمارات العربية المتحدة؟

البيانات الشخصية هي أي بيانات مرتبطة أو مرتبطة بشخص طبيعي معين ، والتي يمكن تحديدها بشكل مباشر أو غير مباشر عن طريق ربط البيانات أو عن طريق تحديد عناصر مثل الأسماء والأصوات والصور وأرقام التعريف والمعرفات الإلكترونية والجغرافيا. المواقع ، أو واحد أو أكثر من الخصائص المادية أو الفسيولوجية أو الاقتصادية أو الثقافية أو الاجتماعية ، بما في ذلك البيانات الشخصية الحساسة وبيانات القياسات الحيوية.

هل هناك فرق بين البيانات الشخصية والبيانات الحساسة بموجب القوانين؟

نعم. يتم تعريف البيانات الشخصية العاطفية في القانون على أنها أي بيانات تكشف بشكل مباشر أو غير مباشر عن العائلة أو الأصل العرقي ، أو الآراء السياسية أو الفلسفية ، أو المعتقدات الدينية ، أو السجلات الجنائية ، أو البيانات الحيوية لشخص طبيعي ، أو أي بيانات تتعلق بصحة الشخص.

تُعرَّف بيانات القياسات الحيوية على أنها بيانات شخصية تتم معالجتها باستخدام تقنية محددة تتعلق بالخصائص البدنية أو الفسيولوجية أو السلوكية للفرد ، مما يسمح له بتحديد الهوية الشخصية للفرد أو التحقق منها ، مثل بيانات الوجه أو بصمات الأصابع.

بموجب قانون PPD ، يجب على الجهة التنظيمية تعيين مسؤول حماية البيانات لتنفيذ عمليات معالجة البيانات عالية الخطورة: 1. تنفيذ تقنيات جديدة تشكل خطراً أكبر على خصوصية وخصوصية البيانات الشخصية 2. المعالجة الموحدة أو الآلية البيانات الحساسة ( على سبيل المثال ، معالجة محدودة أو لا يشارك فيها الإنسان) و 3. معالجة بيانات حساسية كبيرة الحجم.

لم تتم مناقشة هذا التمييز بمزيد من التفصيل في قانون PPD ومن المتوقع توفير المزيد من الإرشادات في اللوائح الإدارية.

ما هي الموافقة المطلوبة في دولة الإمارات العربية المتحدة؟

يجب أن تتم الموافقة عليه بعمل إيجابي وليس ضمنيًا. يصفه قانون PPD بأنه محدد وواضح وغامض من خلال بيان أو إجراء ملموس واضح. هذا يعني أنه يجب على الشخص الموافقة بشكل فعال من خلال التوقيع على مستند أو وضع علامة في المربع إلكترونيًا. يجب أن يكون الفرد على علم بإمكانية سحب الموافقة في أي وقت.

ما هي القيود المفروضة على نقل البيانات الشخصية عبر الحدود؟

يجب أن يتأكد المنظمون من نقل أي بيانات شخصية من دولة الإمارات العربية المتحدة. بموجب قانون PPD ، يمكن نقل البيانات الشخصية إلى دولة أخرى إذا كان هذا البلد يتمتع بأمان كافٍ لحماية البيانات. ومن المتوقع نشر قائمة الدول.

إذا لم يكن لدى الدولة المعنية الأمن الكافي ، فهناك العديد من الاستثناءات التي تسمح بالنقل. يمكن تبادل البيانات بموافقة صريحة من الفرد ، أو إذا كان التبادل بين الجهة التنظيمية وطرف ثالث ضروريًا لإنهاء أو تنفيذ العقد بين المنظم والفرد أو لتعزيز مصالح الفرد. من المتوقع تقديم مزيد من الإرشادات حول هذه القواعد