Закон ОАЭ о защите персональных данных (PDPL)

Да, если они обрабатывают персональные данные субъектов, находящихся в ОАЭ. Закон достаёт до контролёров и обработчиков за пределами страны, поэтому группа, работающая с данными клиентов или сотрудников из ОАЭ в другой юрисдикции, попадает в сферу действия и должна уметь подтвердить соответствие.

Структурно похож, операционно различен. Оба построены на согласии и правах, оба требуют записей, работы с утечками и подотчётности, оба действуют за пределами своих границ. Практически важные отличия — надзорный орган, конкретные условия трансграничной передачи, пороги назначения специалиста по защите данных и сроки уведомлений. Зрелая программа GDPR — сильная отправная точка, но не замена.

Нет. Компании, учреждённые в DIFC, применяют закон DIFC о защите данных и отвечают перед комиссаром DIFC по защите данных. ADGM устроен так же, со своим режимом. Группа с юрлицами внутри и вне свободных зон ведёт одну программу против двух режимов, и это выполнимо при условии, что сопоставление сделано явно.

Только если этого требует характер обработки: высокий риск, систематическое профилирование или автоматизированные решения, либо чувствительные персональные данные в большом объёме. Там, где обязанность возникает, контактные данные специалиста передаются в UAE Data Office и должны быть доступны субъектам данных. Многие организации назначают его в любом случае, потому что это даёт ясный ответ в опросниках заказчиков.

В юрисдикцию, которую ОАЭ признают обеспечивающей достаточную защиту, либо на одном из альтернативных оснований, предусмотренных законом: прежде всего договорные гарантии, связывающие получателя, или явное согласие субъекта данных там, где оно действительно свободно и информировано. Два практических момента: позиция по достаточности защиты и одобренные договорные формулировки задаются подзаконными актами, а не самим законом, поэтому сверяйтесь с текущим текстом; и внутригрупповая передача — тоже передача, а это то исключение, которое группы ошибочно предполагают чаще всего.

Контролёры уведомляют UAE Data Office, а также затронутых людей, если утечка угрожает их приватности или безопасности данных, с описанием инцидента и вероятных последствий. Конкретное окно уведомления задаётся подзаконными актами, а не самим декрет-законом, и опубликованные пересказы этих сроков противоречат друг другу, поэтому уточните действующее требование, прежде чем вносить его в плейбук. Процесс в любом случае стройте так, чтобы выявлять, оценивать и эскалировать в течение часов: на практике срок отчётности никогда не бывает ограничивающим фактором.

Да. Сотрудники — субъекты данных, и HR-обработка обычно связана с самыми чувствительными персональными данными в организации: сведения о здоровье, дисциплинарные записи, проверка кандидатов, расчёт зарплаты и всё чаще данные мониторинга. Согласие — слабое основание в трудовых отношениях, поскольку редко бывает действительно свободным, поэтому обработка в найме обычно должна опираться на договорную необходимость или юридическую обязанность.

Достаточные, чтобы доказать соответствие, а не заявить о нём: какие персональные данные вы храните, зачем, на каком правовом основании, кому передаёте, куда они уходят, сколько хранятся и чем защищены. Обязанность вести записи лежит и на контролёрах, и на обработчиках. Эта запись — ещё и артефакт, от которого зависят все остальные обязанности: нельзя ответить на запрос о доступе, оценить масштаб утечки или проверить передачу для данных, которые вы не инвентаризировали.