قانون حماية البيانات الشخصية ومورّدوكم

يتعامل معظم الموردين مع بيانات شخصية: مزوّدو الرواتب ومراكز الاتصال ومزوّدو الاستضافة السحابية ومعالجو البطاقات. ويسري القانون الاتحادي لحماية البيانات الشخصية، المرسوم بقانون اتحادي رقم 45 لسنة 2021، منذ 2 يناير 2022. وبعد قرابة خمس سنوات، لم تصدر لائحته التنفيذية بعد وفق أحدث المصادر، ولم يباشر مكتب الإمارات للبيانات عمله بالكامل. وهذا ما يجعل التقليل من شأن القانون سهلًا، وهو ما ينبغي تجنبه.

تحقّقوا أولًا من القانون المنطبق

يشمل القانون الاتحادي المعالجة في البر الرئيسي والمناطق الحرة غير المالية، ولا ينطبق حيث يحكم قانون آخر: فلمركز دبي المالي العالمي وسوق أبوظبي العالمي قوانينهما الخاصة بحماية البيانات، وتُستثنى البيانات الصحية والبيانات المصرفية والائتمانية التي تنظمها تشريعات خاصة (المادة 2(2)). ويُعد النقل بين البر الرئيسي وأي من المركزين نقلًا عبر الحدود.

ما الذي يطلبه من مورّديكم

• يعمل المعالجون وفق تعليماتكم، ويطبّق الطرفان تدابير أمنية تقنية وتنظيمية. ويُعتقد أن ذلك في المادة 8، دون التحقق من رقمها.
• تُبلغون مكتب الإمارات للبيانات بأي اختراق يمس الخصوصية أو السرية أو الأمن فور العلم به (المادة 9). وتنتظر المهلة الدقيقة صدور اللائحة التنفيذية، لذا ينبغي أن يُلزم العقد المورّد بإبلاغكم دون تأخير.
• يكون النقل إلى الخارج نحو ولايات يعتمدها مكتب الإمارات للبيانات بوصفها توفر حماية كافية، أو حيث توجد اتفاقية (المادة 22). وفي غير ذلك لا تنطبق إلا استثناءات محدودة مثل التعهدات التعاقدية أو الموافقة الصريحة (المادة 23).

سجّلوا أين يخزّن كل مورّد البيانات ويعالجها، وأي قانون يحكمها.

قد تكون القواعد القطاعية أشد

بالنسبة للمؤسسات الخاضعة للمصرف المركزي، يجب أن يبقى نظام السجل الرئيسي للعمليات الحرجة داخل الدولة، بما في ذلك عند إسناد الأنشطة (C 1/2026 المادة 8.9). وتحتاج البنوك إلى موافقة المصرف المركزي والموافقة الكتابية المسبقة من العميل قبل مشاركة البيانات السرية في الخارج (C 14/2021 المادة 6.3). ولا يجوز إخراج البيانات الصحية المتعلقة بالخدمات المقدمة في الدولة إلا في الحالات التي تحددها الجهات الصحية (القانون الاتحادي رقم 2 لسنة 2019، المادة 13)، ويشترط معيار ADHICS في أبوظبي استثناءً من دائرة الصحة. وفي مركز دبي المالي العالمي، يلزم منذ يوليو 2025 تقييم موثق لدولة الجهة المتلقية.

ما الذي ينبغي فعله الآن

• أضيفوا إلى سجل كل مورّد موقع البيانات وموقع المعالجة وقانون حماية البيانات الحاكم.
• ضمّنوا العقود الآن بنود المعالجة والإخطار بالاختراق والموافقة على المعالجين من الباطن، دون انتظار اللائحة التنفيذية.
• استعدّوا لمهلة الامتثال البالغة ستة أشهر التي تبدأ بعد صدور اللائحة التنفيذية.

يمكن نشر NexaPair اليوم في منطقة سحابية داخل الدولة، ويقيّم نقل البيانات عبر الحدود لدى كل مورّد وفق القانون الاتحادي لحماية البيانات الشخصية، أو وفق قانون مركز دبي المالي العالمي أو سوق أبوظبي العالمي للشركات في هاتين المنطقتين.