ثلاثة أنظمة لحماية البيانات في الإمارات: القانون الاتحادي ومركز دبي المالي وسوق أبوظبي العالمي — أيها ينطبق عليك؟
في الإمارات ثلاثة أنظمة منفصلة لحماية البيانات، وتحديد أيها يلزمك يتوقف أساسًا على مكان تأسيس منشأتك.
- مركز دبي المالي العالمي (DIFC): الشركات فيه تتبع قانون حماية البيانات رقم 5 لسنة 2020 ولوائحه.
- سوق أبوظبي العالمي (ADGM): الشركات فيه تتبع لوائح حماية البيانات لسنة 2021.
- كل من عداهما: في البر الرئيسي وفي المناطق الحرة الأخرى ينطبق القانون الاتحادي لحماية البيانات الشخصية، أي المرسوم بقانون اتحادي رقم 45 لسنة 2021، ما لم يُخرج قانون قطاعي البيانات من نطاقه.
والقانون الاتحادي نافذ منذ 2 يناير 2022، لكن لائحته التنفيذية وقرار مجلس الوزراء بشأن العقوبات لم يكونا قد صدرا حتى تاريخ كتابة هذا المقال. والشركة في عُمان التي تخدم عملاء في الإمارات تحتاج أن تعرف أي الأنظمة الثلاثة تلامس، وماذا يعني «نافذ لكنه غير مكتمل» في التخطيط.
الجواب المختصر
| النظام | من يشمل | الجهة المنظِّمة | الوضع |
|---|---|---|---|
| القانون الاتحادي (المرسوم بقانون 45/2021) | منشآت البر الرئيسي ومعظم المناطق الحرة، والمتحكمون في الخارج الذين يعالجون بيانات أشخاص في الإمارات | مكتب الإمارات للبيانات؛ وأُعلن في يونيو 2026 عن هيئة اتحادية جديدة للذكاء الاصطناعي والبيانات | نافذ منذ 2 يناير 2022؛ اللائحة وقرار العقوبات لم يصدرا |
| قانون حماية البيانات في مركز دبي المالي 2020 | الجهات في المركز، والمعالجة التي تتم فيه | مفوض حماية البيانات | عامل بالكامل، ويتضمن لائحة صدرت في 2023 للأنظمة المستقلة وأنظمة الذكاء الاصطناعي |
| لوائح حماية البيانات في سوق أبوظبي العالمي 2021 | الجهات في السوق | مكتب حماية البيانات في السوق | عامل بالكامل؛ غرامات حتى 28 مليون دولار أمريكي |
وتعلو الأنظمةَ الثلاثة قواعدُ قطاعية: فالبيانات الصحية يحكمها القانون الاتحادي لاستخدام تقنية المعلومات والاتصالات في المجالات الصحية، والبيانات المصرفية تحكمها قواعد المصرف المركزي.
القانون الاتحادي: نافذ لكنه غير مكتمل
من يشمل
بحسب ملخص Clyde & Co، يسري القانون الاتحادي على المنشآت المؤسسة في الإمارات التي تعالج بيانات أشخاص داخل الدولة أو خارجها، وعلى المنشآت خارج الإمارات التي تعالج بيانات أشخاص داخلها.
والشق الثاني هو ما يعني الشركة العُمانية. فإن كنت تبيع لعملاء في دبي أو الشارقة وتحتفظ بحساباتهم وترسل إليهم الفواتير، فالقانون الاتحادي يصل إلى هذه المعالجة رغم أن أنظمتك في مسقط.
ما يستثنيه
يستثني القانون عدة فئات: البيانات الحكومية والجهات الحكومية، والبيانات لدى الجهات الأمنية والقضائية، والمعالجة لأغراض شخصية، والبيانات الصحية والمصرفية والائتمانية التي لها قوانينها الخاصة، وشركات المناطق الحرة التي لديها تشريعات خاصة بحماية البيانات كمركز دبي المالي وسوق أبوظبي العالمي.
وهذا الاستثناء الأخير هو سبب أن السؤال الأول في أي حديث عن حماية البيانات في الإمارات هو: في أي منطقة حرة أنت؟
الأساس النظامي: الموافقة أولًا ولا «مصلحة مشروعة»
تشترط المعالجة موافقة صاحب البيانات ما لم ينطبق استثناء، ومن الاستثناءات: تنفيذ عقد مع صاحب البيانات، والوفاء بالتزامات قانونية، وحماية المصلحة العامة، والتزامات العمل والضمان الاجتماعي. ويجب أن تكون الموافقة محددة وواضحة لا لبس فيها، تُعطى بتصريح أو فعل إيجابي واضح.
وبخلاف النظام الأوروبي (GDPR) والسعودية والبحرين، لا يتضمن القانون الاتحادي أساسًا عامًا للمصلحة المشروعة، وهو في ذلك أقرب إلى القانون العُماني. فالنظام الذي يخدم عملاء في عُمان والإمارات يستطيع أن يتبنى تصميمًا واحدًا يقوم على الموافقة أولًا.
الحقوق، ومنها حق الاعتراض على القرارات المؤتمتة
لأصحاب البيانات حق الاطلاع، ونقل البيانات، وتصحيحها أو محوها، وتقييد المعالجة في بعض الحالات، والاعتراض على معالجات كالتسويق المباشر. ولهم أيضًا حق الاعتراض على القرارات القائمة على المعالجة المؤتمتة وحدها، ومنها التنميط. وقد أضاف القانون العُماني المعدّل حقًا مماثلًا في سبتمبر 2026، وهو مشروح في ما الذي غيّره المرسوم السلطاني 68/2026.
مسؤول الحماية والاختراقات والنقل
يُشترط تعيين مسؤول لحماية البيانات في حالات محددة، منها: المعالجة عالية الخطورة باستخدام تقنيات جديدة أو بأحجام كبيرة، والتقييم المنهجي للبيانات الحساسة بما فيه التنميط والمعالجة المؤتمتة، ومعالجة أحجام كبيرة من البيانات الحساسة. ويجوز أن يكون المسؤول داخليًا أو خارجيًا، ولا يشترط أن يقيم في الإمارات.
والاختراقات التي قد تمس الخصوصية أو السرية أو الأمن يجب إبلاغ مكتب البيانات بها فور العلم، مع إخطار أصحاب البيانات المتأثرين. أما المهلة الدقيقة فمتروكة للائحة التنفيذية.
ويجوز النقل إلى الخارج للدول التي توفر مستوى حماية كافيًا، مع دور للجهة المنظِّمة. وفي غياب الكفاية، تشمل الاستثناءات تنفيذ العقد، وإثبات الحقوق القضائية، والموافقة الصريحة التي لا تتعارض مع المصلحة العامة والأمنية.
العقوبات: مؤجلة إلى قرار لم يصدر
لا يحدد القانون الغرامات بنفسه، بل يترك المخالفات والجزاءات الإدارية لقرار من مجلس الوزراء لم يكن قد صدر حتى تاريخ كتابة هذا المقال. وتُمنح المنشآت ستة أشهر من صدور اللائحة التنفيذية لتوفيق أوضاعها.
وهذا الجمع هو مشكلة التخطيط في القانون الاتحادي: تعرف ما يطلبه، ولا تعرف متى يبدأ التطبيق ولا كم ستكلفك المخالفة. والقراءة الرشيدة أن تبني على القانون الآن، لأن اللائحة ستبدأ عدّادًا قصيرًا حين تصدر.
هيئة يونيو 2026: ما الذي تغيّره وما الذي لا تغيّره
أعلنت الإمارات في يونيو 2026 عن هيئة اتحادية للذكاء الاصطناعي والبيانات. وتذكر مصادر ثانوية أنها تضم مكتب الذكاء الاصطناعي، ومكتب الإمارات للبيانات، ومهام الحكومة الرقمية لدى هيئة تنظيم الاتصالات. ويتوقع بعضهم أن تستكمل اللائحة التنفيذية للقانون وتتولى تطبيقه، ويصف آخرون مهمتها بأنها موجهة للجهات الحكومية في الوقت الحالي.
لم نعثر على نص أداة إنشائها. فتعامل مع الهيئة بوصفها جهة تطبيق محتملة في المستقبل، لا بوصفها تغييرًا في التزاماتك الحالية. القانون الذي عليك الوفاء به هو القانون نفسه.
مركز دبي المالي: نظام ناضج ولائحة للذكاء الاصطناعي
دخل قانون حماية البيانات رقم 5 لسنة 2020 في مركز دبي المالي حيّز النفاذ في 1 يوليو 2020، وبدأ تطبيقه في 1 أكتوبر 2020. ويسري على الجهات في المركز وعلى المعالجة التي تتم فيه، تحت إشراف مفوض حماية البيانات. وبنيته مألوفة لمن يعرف النظام الأوروبي: أسس نظامية منها المصلحة المشروعة، وسجلات للمساءلة، وقائمة بالدول ذات الحماية الكافية مع ضمانات كالبنود النموذجية لغيرها، وإبلاغ المفوض والمتأثرين عن الاختراقات في حالات محددة.
وما يميّز المركز لمن يبني شات بوت أو أنظمة ذكاء اصطناعي هو اللائحة رقم 10. أصدرها المركز في سبتمبر 2023 ووصفها بأنها أول لائحة في منطقة الشرق الأوسط وأفريقيا وجنوب آسيا تنظم معالجة البيانات الشخصية عبر الأنظمة المستقلة وشبه المستقلة. وبحسب ملخص Clyde & Co في يناير 2026، تُلزم المتحكمين والمعالجين بتقييم مخاطر الخصوصية وتوثيقها والتخفيف منها قبل المعالجة عالية الخطورة، وبإبلاغ الأشخاص بأن هذه الأنظمة مستخدمة مع معلومات كافية ليقرروا الاعتراض أو سحب موافقتهم.
فإن كان عميلك شركة في المركز وكان برنامجك يعالج بيانات شخصية نيابة عنها، فالتزاماتها ستصلك في عقدك، وتوقع أسئلة عن ميزات الذكاء الاصطناعي تحديدًا.
سوق أبوظبي العالمي: النظام الآخر للمناطق الحرة
تسري لوائح حماية البيانات لسنة 2021 على الجهات في سوق أبوظبي العالمي، تحت إشراف مكتب حماية البيانات فيه. ورقمان يهمان: الغرامات قد تصل إلى 28 مليون دولار أمريكي، والاختراق يجب إبلاغ المفوض به دون تأخير غير مبرر، وخلال 72 ساعة من العلم متى أمكن، ما لم يكن مستبعدًا أن يشكل خطرًا على الأفراد. ويجب أن يرافق الإبلاغَ المتأخر تفسيرٌ للتأخير. ويُبلَّغ المتأثرون دون تأخير غير مبرر متى كان الخطر عاليًا.
البيانات الصحية والمصرفية خارج القانون العام
قانونان قطاعيان يُخرجان البيانات من القانون الاتحادي العام.
البيانات الصحية يحكمها القانون الاتحادي رقم 2 لسنة 2019 في شأن استخدام تقنية المعلومات والاتصالات في المجالات الصحية. وتقيّد المادة 13 منه تخزين البيانات الصحية المتعلقة بالخدمات المقدمة في الدولة أو معالجتها أو إنشاءها أو نقلها إلى الخارج، إلا في حالات يحددها قرار. وقد أنشأ قرار وزاري صدر في 2021 استثناءات لكل منها شروطه. فنظام حجز العيادات أو تطبيق صحي له مرضى في الإمارات قرارُ استضافة، لا قرار خصوصية فحسب.
البيانات المصرفية والائتمانية تخضع لتنظيم المصرف المركزي وللقوانين الخاصة بحمايتها.
ماذا تفعل شركة عُمانية تخدم عملاء في الإمارات
- حدد أي نظام إماراتي تلامسه كل علاقة مع عميل. المستهلكون في البر الرئيسي يستدعون القانون الاتحادي، والعميل في مركز دبي المالي أو سوق أبوظبي العالمي يُدخل نظامه عبر عقدك.
- اعتمد تصميمًا يقوم على الموافقة أولًا. فبما أن القانونين الاتحادي الإماراتي والعُماني يخلوان من مسار المصلحة المشروعة، يمكن لنموذج موافقة واحد أن يخدمهما معًا إذا سجل الصياغة ورقم الإصدار والتوقيت.
- ابنِ مسارًا للاعتراض على القرارات المؤتمتة. فالقانون الاتحادي الإماراتي والقانون العُماني المعدّل كلاهما يمنح الأشخاص حق الاعتراض.
- استعد للإبلاغ عن الاختراقات الآن. فعبارة «فور العلم» مع مهلة ستحددها اللائحة تعني أن دليلك يحتاج سطرًا للإمارات قبل وصول اللائحة.
- افحص البيانات الصحية والمالية على حدة. فالقوانين القطاعية قد تفرض الاستضافة داخل الدولة بصرف النظر عن القانون العام.
- راقب صدور اللائحة التنفيذية. حين تصدر تبدأ مهلة توفيق مدتها ستة أشهر.
أسئلة شائعة
هل قانون حماية البيانات الإماراتي نافذ؟ نعم. المرسوم بقانون اتحادي رقم 45 لسنة 2021 نافذ منذ 2 يناير 2022. لكن لائحته التنفيذية وقرار مجلس الوزراء بشأن العقوبات لم يكونا قد صدرا حتى تاريخ كتابة هذا المقال، فالتطبيق الكامل غير ممكن بعد. وتُمنح المنشآت ستة أشهر من صدور اللائحة لتوفيق أوضاعها.
هل ينطبق القانون الإماراتي على شركة في عُمان؟ يسري على المتحكمين والمعالجين خارج الإمارات الذين يعالجون بيانات أشخاص داخلها. فعلى المنشأة العُمانية التي لها عملاء في الإمارات أن تخطط على هذا الأساس.
منشأتي في منطقة حرة. أي قانون ينطبق؟ جهات مركز دبي المالي تتبع قانون حماية البيانات لسنة 2020، وجهات سوق أبوظبي العالمي تتبع لوائح 2021. ومعظم المناطق الحرة الأخرى تخضع للقانون الاتحادي لأنها لا تملك تشريعًا خاصًا لحماية البيانات.
هل تجيز الإمارات المعالجة استنادًا إلى المصلحة المشروعة؟ ليس بموجب القانون الاتحادي القائم على الموافقة مع استثناءات محددة. أما نظاما مركز دبي المالي وسوق أبوظبي العالمي، الأقرب إلى النموذج الأوروبي، فيعترفان بالمصالح المشروعة.
ماذا تعني اللائحة 10 في مركز دبي المالي للشات بوت؟ تنطبق على البيانات الشخصية المعالجة عبر الأنظمة المستقلة وشبه المستقلة، وقد يشمل ذلك الشات بوت المدعوم بالذكاء الاصطناعي. يجب إبلاغ الناس باستخدام هذه الأنظمة، وتستلزم المعالجة عالية الخطورة تقييم مخاطرها وتوثيقها والتخفيف منها أولًا. فإن كنت تبني لعميل في المركز، فتوقع متطلباته في عقدك.
هل يجوز حفظ البيانات الصحية لمرضى في الإمارات داخل عُمان؟ يقيّد القانون الاتحادي لاستخدام تقنية المعلومات في المجالات الصحية تخزين البيانات الصحية المتعلقة بالخدمات المقدمة في الإمارات أو نقلها خارجها، إلا في حالات يحددها قرار وزاري. راجع الاستثناءات وشروطها مع مستشار إماراتي قبل اختيار الاستضافة.
يعرض هذا المقال الموقف وفق القانون الاتحادي الإماراتي ونظامي مركز دبي المالي العالمي وسوق أبوظبي العالمي كما هي نافذة في 21 أكتوبر 2026، تاريخ نشره، وهو ليس استشارة قانونية. وكانت اللائحة التنفيذية الاتحادية وقرار العقوبات معلّقين في ذلك التاريخ؛ تحقق من وضعك لدى مستشار مرخّص في الإمارات.
المصادر: Clyde & Co — صدور قانون حماية البيانات الإماراتي · DLA Piper — حماية البيانات في الإمارات · Lexology — إنشاء الهيئة الاتحادية للذكاء الاصطناعي والبيانات · مركز دبي المالي العالمي — تعديل لوائح حماية البيانات ومنها اللائحة 10 · Clyde & Co — اللائحة 10 من قانون حماية البيانات في المركز · Taylor Wessing — لوائح حماية البيانات في سوق أبوظبي العالمي · القانون الاتحادي رقم 2 لسنة 2019 في المجالات الصحية
تخدم عملاء في الإمارات من عُمان؟ تبني «ذوات» أنظمة أعمال وتتولى التكامل والدعم مع ضبط الموافقة ومسارات الاعتراض والاستضافة لكل ولاية قانونية. احجز مكالمة.