PDPL الإماراتي مقابل GDPR: مقارنة القانون الاتحادي وDIFC وADGM

تتعامل معظم المقارنات بين قانون حماية البيانات في الإمارات وGDPR مع «الإمارات» باعتبارها نظاماً واحداً. هذا التوصيف يغفل الحقيقة الأهم لأي شركة تعمل فعلياً هناك: تُطبّق الإمارات ثلاثة أنظمة منفصلة لحماية البيانات في آن واحد، ويتحدد النظام المُطبّق على منشأتك بالكامل بحسب مكان تأسيسها القانوني.

الشركة المؤسسة في البر الرئيسي للإمارات تخضع لقانون حماية البيانات الشخصية الاتحادي. أما الشركة المؤسسة في مركز دبي المالي العالمي (DIFC) فتخضع لقانون DIFC الخاص به ولمفوضه الخاص. والشركة المؤسسة في سوق أبوظبي العالمي (ADGM) تخضع لقانون ثالث منفصل وجهة تنظيمية ثالثة. هذه الأنظمة الثلاثة لا تشترك في جهة تنظيمية واحدة، ولا في قائمة كفاية واحدة، وكما توضح هذه الصفحة بالتفصيل، فهي ليست متساوية من حيث إمكانية إنفاذها اليوم.

لمحة سريعة: GDPR مقابل PDPL الاتحادي الإماراتي مقابل DIFC مقابل ADGM

أي نظام ينطبق عليك

هذا هو السؤال الذي يشغل كل قارئ لهذه الصفحة فعلياً، والإجابة عنه تتحدد بحسب الاختصاص القضائي لا بحسب القطاع.

• إذا كانت منشأتك مرخصة في البر الرئيسي للإمارات (في دبي أو أبوظبي أو أي إمارة أخرى، خارج المنطقتين الحرتين الماليتين)، فإن PDPL الاتحادي يسري على معالجتك للبيانات الشخصية.
• إذا كانت منشأتك مرخصة في DIFC، فإن قانون حماية البيانات الخاص بـDIFC هو الذي يسري على عملياتك داخل DIFC، وليس PDPL الاتحادي.
• إذا كانت منشأتك مرخصة في ADGM، فإن لائحة حماية البيانات الخاصة بـADGM هي التي تسري على عملياتك داخل ADGM، وليس PDPL الاتحادي.
• إذا كانت مجموعتك تضم كيانات في أكثر من واحدة من هذه الاختصاصات، فإن كل كيان يخضع بشكل مستقل لنظامه الخاص. فلا توجد إجابة واحدة بعنوان «الامتثال لحماية البيانات في الإمارات» بالنسبة لمجموعة متعددة الكيانات؛ بل قد تصل الإجابات إلى ثلاث.

صيغ PDPL الاتحادي ليسري بشكل واسع على البر الرئيسي، لكن المادة 2(2)(g) تستثني «الشركات والمنشآت الموجودة في المناطق الحرة في الدولة والتي لديها تشريعات خاصة بشأن حماية البيانات الشخصية». ويقع كل من DIFC وADGM ضمن هذا الاستثناء لأن لكل منهما تشريعه الخاص بحماية البيانات، رغم أن أياً منهما لم يُذكر بالاسم في نص PDPL نفسه. ويرد هذا الاستثناء في المادة 2(2)(g) من PDPL ذاته، وهو يتسق مع الواقع العملي لعمل المنطقتين: إذ يحتفظ كل منهما بمفوضه الخاص، وتشريعه الخاص، وسجل إنفاذه الخاص المنفصل تماماً عن الجانب الاتحادي.

للاطلاع على خلفية عامة حول قوانين خصوصية البيانات في الإمارات إجمالاً، بما في ذلك موضع هذا الإطار ضمن منطقة الخليج الأوسع، راجع صفحتنا المخصصة لهذا البلد.

الخلفية والوضع الحالي لكل نظام

GDPR

دخلت اللائحة العامة لحماية البيانات (GDPR) حيز النفاذ في دول EU/EEA في 25 May 2018. وهي أنضج أطر حماية البيانات في العالم وأكثرها خضوعاً للتقاضي، وتستند إلى كمّ واسع من الإرشادات التنظيمية والأحكام القضائية وشبكة منسقة من السلطات الوطنية لحماية البيانات تعمل تحت مظلة المجلس الأوروبي لحماية البيانات (EDPB). لمزيد من التفاصيل التمهيدية، راجع ما هو GDPR.

PDPL الاتحادي الإماراتي

صدر Federal Decree-Law No. 45 of 2021 «بشأن حماية البيانات الشخصية» بتاريخ 20 September 2021، ونُشر في الجريدة الرسمية رقم 712 بتاريخ 26 September 2021، ودخل حيز النفاذ في 2 January 2022. وتُدرج البوابة الرسمية للتشريعات الإماراتية حالة القانون بأنها «سارية».

أما ما لم يحدث فهو الجزء الذي يمنح معظم قوانين حماية البيانات فعاليتها الرادعة. فPDPL نفسه يستلزم لائحة تنفيذية توضح التفاصيل التنفيذية، بما فيها جدول الجزاءات الإدارية المحدد. وهذه اللائحة لم تصدر قط، بعد ما يقارب خمس سنوات من إقرار القانون. أما الجهة التنظيمية التي أوكل إليها PDPL هذه المهام، وهي مكتب البيانات الإماراتي، فلم تُنشأ بموجب PDPL نفسه بل بموجب تشريعه المصاحب، Federal Decree-Law No. 44 of 2021، وقد وُصفت على الموقع الرسمي للحكومة الإماراتية بعبارة استشرافية بأنها جهة «ستعمل بصفتها» الجهة التنظيمية الاتحادية، وهي صياغة تتسق مع هيئة لم تباشر عملها فعلياً قط.

وفي 14 June 2026، وافق نائب رئيس دولة الإمارات ورئيس مجلس الوزراء، الشيخ محمد بن راشد آل مكتوم، على إنشاء هيئة جديدة للذكاء الاصطناعي والبيانات، وُصفت بأنها الجهة الوطنية الوحيدة المسؤولة عن البيانات والذكاء الاصطناعي والحكومة الرقمية، وترفع تقاريرها مباشرة إلى مجلس الوزراء. وتدمج هذه الهيئة ثلاث جهات قائمة، من بينها مكتب البيانات الإماراتي. ولا يشير الإعلان الرسمي لمجلس الوزراء عن الهيئة الجديدة إلى PDPL أو إلى حماية البيانات بالاسم؛ إذ صيغت مهمتها المعلنة حول استراتيجية الذكاء الاصطناعي والاقتصاد الرقمي ومعايير الحكومة الرقمية. وقد رجّحت بعض مكاتب المحاماة أن تتولى الهيئة الجديدة لاحقاً إنجاز اللائحة التنفيذية لـPDPL، لكن هذا استنتاج من تعليقات خارجية وليس التزاماً حكومياً معلناً، ويُوصف التوقيت صراحة بأنه غير مؤكد في ظل أولويات متنافسة لحوكمة الذكاء الاصطناعي.

والنتيجة العملية: أن الأحكام الموضوعية لـPDPL الاتحادي بشأن الموافقة، ومسؤولي حماية البيانات، والإخطار بالاختراق، ونقل البيانات عبر الحدود، سارية رسمياً، غير أن الآلية الإدارية اللازمة لإنفاذها، بما في ذلك أي جدول جزاءات، لم تُفعّل قط، والجهة المنوط بها تشغيل هذه الآلية لم تعد قائمة كجهة تنظيمية مستقلة لحماية البيانات.

DIFC

دخل قانون حماية البيانات الخاص بمركز دبي المالي العالمي، DIFC Law No. 5 of 2020، حيز النفاذ في 1 July 2020 (المادة 4). وهو مصمم على نمط GDPR بشكل وثيق، وتُشرف عليه جهة تنظيمية مخصصة وفعّالة هي مفوض حماية البيانات (DIFC)، وهي منفصلة تماماً عن الجانب الاتحادي.

وفي 8 July 2025، أصدر DIFC قانون DIFC Laws Amendment Law No. 1 of 2025، الذي دخل حيز النفاذ في 15 July 2025 وأدخل عدة تعديلات جوهرية على قانون حماية البيانات:

• استحدث حق تقاضٍ مباشر صريح بموجب المادة 64A، بما يتيح لصاحب البيانات في DIFC مقاضاة المتحكم أو المعالج مباشرة أمام محاكم DIFC طلباً للتعويض، بدلاً من الاقتصار على تقديم شكوى للمفوض. وبذلك أصبح DIFC متسقاً مع ADGM، الذي تحمل لائحته حقاً مماثلاً في التعويض بموجب Section 59 منذ 2021.
• وسّع نطاق سريان القانون خارج الإقليم ليشمل المتحكمين والمعالجين المؤسسين في DIFC بصرف النظر عن مكان حدوث المعالجة الفعلية، وليشمل أيضاً المعالجة التي تجري داخل DIFC ضمن «ترتيبات مستقرة»، بما يشمل الآن صراحة المعالجين من الباطن.
• عدّل الحكم الناظم للإفصاح للسلطات العامة وجهات إنفاذ القانون، بما يُلزم المتحكمين والمعالجين بالتحقق من صحة الطلب وتناسبه قبل الإفصاح عن البيانات.

ADGM

تمثل Data Protection Regulations 2021 الخاصة بسوق أبوظبي العالمي إطاره المستقل، وتُشرف عليها جهة تُعرف بمكتب حماية البيانات، ويُشار إليها أيضاً بمفوض حماية البيانات (ADGM). ودخلت اللائحة حيز النفاذ على مراحل خلال عامي 2021 و2022، إذ انتقلت الكيانات المسجلة حديثاً في ADGM والكيانات القائمة سابقاً فيه إلى القواعد الجديدة كل بحسب مساره الخاص. وعلى غرار قانون DIFC، صُممت لائحة ADGM بشكل وثيق على بنية GDPR.

النطاق والسريان الإقليمي

ينطوي هذا التقسيم في النطاق على أهمية عملية، لأن من السهل افتراض أن «قانون حماية البيانات في الإمارات» يمثل محيطاً واحداً. والواقع خلاف ذلك. فالمجموعة التي تضم كياناً تجارياً في البر الرئيسي وكياناً آخر للخدمات المالية مسجلاً في DIFC تدير التزامي امتثال منفصلين تماماً بموجب قانونين مختلفين، وتخضع لجهتين تنظيميتين مختلفتين، رغم أن كلا الكيانين يقعان داخل الدولة نفسها.

حقوق أصحاب البيانات

تمنح الأنظمة الأربعة جميعها الأفراد فئات متشابهة إلى حد كبير من الحقوق: الاطلاع على بياناتهم، وتصحيح البيانات غير الدقيقة، والحذف في حالات محددة، وتقييد المعالجة، والاعتراض على بعض أنواع المعالجة (بما فيها التسويق المباشر)، وضمانات تتعلق باتخاذ القرارات الآلية. ويمثل إطار الحقوق في GDPR (المواد 15 حتى 22) النسخة الأكثر خضوعاً للتقاضي والإرشاد التنظيمي من هذا النموذج، وتتبعه أحكام الحقوق في كل من DIFC وADGM بشكل وثيق، بما يتسق مع صياغتهما المبنية على نموذج GDPR.

لا تكمن الفجوة العملية في الحقوق التي يمنحها PDPL الاتحادي على الورق، بل فيما يحدث فعلياً حين يحاول صاحب بيانات في البر الرئيسي ممارسة أحد هذه الحقوق. فبدون لائحة تنفيذية أو جهة تنظيمية عاملة، لا يوجد حالياً مسار اتحادي راسخ للشكوى أو الإنفاذ يمكن مقارنته بما يوفره كل من مفوض DIFC أو محاكمه، أو مكتب حماية البيانات في ADGM. ويزيد تعديل يوليو 2025 من حدة هذا التفاوت بالنسبة لمنطقة DIFC تحديداً، إذ بات بإمكان صاحب البيانات فيها اللجوء إلى القضاء مباشرة بدلاً من الاعتماد فقط على تحرك المفوض.

الأسس القانونية للمعالجة

تحدد المادة 6 من GDPR ستة أسس قانونية للمعالجة، تشمل الموافقة، وضرورة تنفيذ العقد، والالتزام القانوني، والمصالح الحيوية، والمهمة العامة، والمصالح المشروعة، مع نظام أكثر صرامة للبيانات ذات الفئة الخاصة بموجب المادة 9. ويتضمن قانونا DIFC وADGM بنية مماثلة لأسس المعالجة المشروعة وقواعد مشددة لفئات البيانات الحساسة، بما يتسق مع نهج صياغتهما القائم على GDPR.

وعلى نحو مماثل، يضع PDPL الاتحادي الموافقة كأساس محوري للمعالجة، إلى جانب أسس أخرى مثل ضرورة تنفيذ العقد والالتزامات القانونية، لكن نظراً لعدم صدور اللائحة التنفيذية، فإن التفاصيل التنفيذية لكيفية تقييم هذه الأسس وإنفاذها عملياً لم تُبلور بالقدر الذي بُلورت به بموجب إرشادات DIFC وADGM، أو بموجب الكم الواسع من إرشادات EDPB والسلطات الوطنية المتراكمة حول GDPR.

الجهات التنظيمية وواقع الإنفاذ

هنا يظهر فخ الأنظمة الثلاثة في أوضح صوره، لأنه يقلب افتراضاً شائعاً رأساً على عقب. فالشركة التي تخلص إلى أن «قانون البيانات الإماراتي بلا فعالية رادعة» تكون محقة فقط فيما يخص الشق الاتحادي في البر الرئيسي.

PDPL الاتحادي: عُيّن مكتب البيانات الإماراتي جهة تنظيمية اتحادية، لكنه لم يباشر عمله فعلياً قط. واعتباراً من 14 June 2026، لم يعد قائماً كجهة مستقلة، بعد أن أُدمج ضمن هيئة الذكاء الاصطناعي والبيانات الجديدة إلى جانب وحدتين حكوميتين أخريين. ولم يُنشر أي جدول جزاءات على الإطلاق، لأن قرار مجلس الوزراء اللازم لتحديده لم يصدر بعد. وحتى وقت كتابة هذه السطور، لا يوجد مسار اتحادي فعّال لإنفاذ أي مخالفة لـPDPL.

DIFC: لا يقتصر الأمر على أن مفوض حماية البيانات (DIFC) قائم فحسب، بل هو الأكثر نشاطاً في إنفاذ حماية البيانات في الإمارات بفارق واضح. فالمفوض ينشر إشعارات قرارات التحقيق والغرامات الإدارية معاً، والحجم كبير: 717 إشعاراً أولياً و273 إشعار قرار غرامة إدارية في عام 2025، ارتفاعاً من 173 في عام 2023. ومعظم هذه الحالات ينشأ عن إخفاقات امتثال أساسية، مثل ترك إشعار المعالجة يسقط أو عدم الرد على طلب تحقيق، وليس عن اختراقات كبرى. ومنذ تعديل يوليو 2025، بات لدى DIFC أيضاً مسار إنفاذ قضائي، إذ بات بإمكان أصحاب البيانات رفع دعوى بموجب قانون حماية البيانات مباشرة أمام محاكم DIFC.

ADGM: أصدر مكتب حماية البيانات إجراءات إنفاذ حقيقية بأسماء محددة. ففي 21 May 2024، أصدر المكتب إشعار جزاء بحق Okadoc Technologies Limited بسبب مخالفات لأحكام حقوق الأفراد في اللائحة، ناشئة عن طريقة تعامل الشركة مع طلب اطلاع من صاحب بيانات. وفي 23 June 2023، أصدر المكتب توجيهاً بحق VentureRock Global Limited بسبب مخالفة لمبدأ الأمن الوارد في اللائحة. وهذان هما إجراءا الإنفاذ الوحيدان المنشوران لـADGM حتى الآن، لكنهما يزيدان باثنين عما أصدره النظام الاتحادي على الإطلاق، وهما يُظهران أن الجهة التنظيمية في ADGM تعمل بوصفها هيئة إنفاذ حقيقية، لا مجرد اسم في نص تشريعي.

والخلاصة: أن اثنين من الأنظمة الإماراتية الثلاثة لحماية البيانات يقومان فعلياً بإنفاذ قانونيهما بحق شركات مسمّاة. أما النظام الذي لا يفعل ذلك فهو النظام الاتحادي في البر الرئيسي، وهو تحديداً النظام الذي يتعامل معه معظم المحتوى المنافس باعتباره «قانون حماية البيانات في الإمارات» دون أي تحفظ.

وللشركات التي تُقيّم ما إذا كانت بحاجة إلى دور امتثال مخصص عبر هذه الأنظمة، راجع لمحتنا العامة عن متطلبات مسؤول حماية البيانات.

نقل البيانات عبر الحدود

في هذا الجدول يتجسد الفخ العملي بوضوح. فلا قائمة كفاية DIFC ولا قائمة ADGM تشير إلى البر الرئيسي للإمارات أو إلى PDPL الاتحادي بوصفه وجهة نقل كافية، رغم أن المنطقتين الحرتين تعترف كل منهما بالأخرى. كما أن الجانب الاتحادي لا يملك أصلاً أي قائمة كفاية خاصة به لاستقبال البيانات، لأن الآلية التي كان يفترض أن تُنشئ هذه القائمة، وهي عملية تحديد مكتب البيانات، لم تُفعّل قط. والمجموعة التي تنقل بيانات شخصية من كيان في DIFC أو ADGM إلى جهة تابعة لها في البر الرئيسي الإماراتي لا تعمل اليوم بموجب نقل واضح الكفاية أو واضح الضمانات؛ بل تعمل ضمن فجوة تنظيمية حقيقية.

ولمزيد من التفصيل حول كيفية عمل هذا النوع من آليات النقل في أماكن أخرى، راجع البنود التعاقدية القياسية ومسحنا حول قوانين توطين البيانات حسب الدولة.

الإخطار بالاختراق

يمثل توقيت الإخطار بالاختراق أحد أوضح نقاط الاختلاف بين هذه الأنظمة الأربعة، ولا يتبع نمطاً واحداً.

والنمط الجدير بالتذكر: أن الشق الموجه إلى الجهة التنظيمية يكون أحياناً مهلة صارمة مدتها 72 ساعة عبر هذه الأنظمة، في حين يظل الشق الموجه إلى الأفراد معياراً ثابتاً من نوع «دون تأخير لا مبرر له» أو «في أقرب وقت ممكن عملياً» بدلاً من عدد ساعات محدد. لذا لا ينبغي التعامل مع «72 ساعة» كرقم عام يسري بالتساوي على كل التزام إخطار في كل نظام؛ فDIFC تحديداً لا يملك أي مهلة ثابتة بالساعات على الإطلاق، لا تجاه الجهة التنظيمية ولا تجاه الفرد، وهذا تباين حقيقي ومفيد مقارنة بكل من ADGM وGDPR.

الجزاءات

تستحق بنية الجزاءات في DIFC إشارة خاصة لأنه يسهل تحريفها في التقارير باعتبارها رقماً واحداً. فهي ليست سقفاً واحداً، بل جدولاً من الحدود القصوى لكل مادة تختلف بحسب الالتزام المخالَف، إذ تقع إخفاقات الإخطار بالاختراق في الطرف الأدنى من هذا الجدول بينما تصل فئات أخرى من المخالفات إلى مستويات أعلى. كما أنها ليست الصورة الكاملة. إذ يحكم Schedule 2 المستوى الإداري فقط؛ في حين تخوّل المادة 62(3) بشكل منفصل المفوض فرض غرامة عامة منصوص صراحة على أنها غير مقيدة بالمبالغ المحددة في Schedule 2، بحجم يتناسب مع جسامة المخالفة ومخاطر الضرر الفعلي. وبالنسبة للمخالفات الجسيمة، يظل التعرض المالي في DIFC غير محدود بسقف.

ويمثل صف PDPL الاتحادي أوضح تباين في هذا الجدول. فلا يوجد حالياً أي مبلغ جزاء منشور، مرتفعاً كان أم منخفضاً، لمخالفة PDPL، لأن قرار مجلس الوزراء الذي كان يفترض أن يحدده لم يصدر قط.

التطورات الأخيرة

إرشادات الامتثال للمجموعات العاملة عبر الأنظمة الإماراتية الثلاثة

ينبغي للشركة التي لها حضور في البر الرئيسي وفي إحدى المنطقتين الحرتين أو كلتيهما أن تتعامل مع هذا الوضع باعتباره ثلاثة برامج امتثال، لا برنامجاً واحداً، إلى أن يتغير الجانب الاتحادي تغيراً جوهرياً:

• حدد أولاً النظام المطبق على كل كيان. فمكان التأسيس القانوني، لا النشاط التجاري، هو ما يحدد أي القوانين الثلاثة ينطبق. فرع في البر الرئيسي لشركة مسجلة في DIFC يظل مسألة منفصلة عن الكيان القائم في DIFC نفسه.
• لا تفترض أن النقل من البر الرئيسي إلى المنطقة الحرة آمن افتراضياً. فبما أن قائمتي كفاية DIFC وADGM لا تشملان البر الرئيسي، وبما أن الجانب الاتحادي لا يملك آلية كفاية خاصة به، ينبغي التعامل مع نقل البيانات بين كيان في منطقة حرة وجهة تابعة في البر الرئيسي كمسألة نقل غير محسومة، لا كتدفق روتيني داخل المجموعة.
• سجّل في المنطقتين الحرتين كلتيهما، فالواجب لا يقتصر على ADGM. يُلزم ADGM كل كيان مسجل يعالج بيانات شخصية بالتسجيل كمتحكم بيانات، مع تجديد سنوي. ويُلزم DIFC بشكل منفصل المتحكمين والمعالجين بالتسجيل لدى مفوضه عبر تقديم إشعار بعمليات المعالجة، يُحدَّث دورياً بإشعارات معدَّلة، مصحوباً برسم مقرر (المادة 14(7)-(8))؛ ويترتب على عدم القيام بذلك غرامة تصل إلى USD 25,000 بموجب Schedule 2، وتُعد الإشعارات الساقطة من أكثر أسباب الغرامات الإدارية شيوعاً في DIFC. أما النظام الاتحادي فلا يفرض أي متطلب تسجيل، لأن الآلية اللازمة لتشغيله لم تُنشأ قط. فقائمة المتطلبات تختلف إذن عبر الأنظمة الثلاثة، لكن اثنين منها فعلاً يستلزمان التسجيل.
• اِبنِ خطة الإخطار بالاختراق حول أشد المهل المعمول بها صرامة. بالنسبة لمجموعة لديها كيانات في DIFC وADGM والبر الرئيسي، فإن اعتماد إجراءات التصعيد الداخلي على معيار الـ72 ساعة الخاص بADGM بشكل افتراضي، وتطبيق معيار الـ72 ساعة الخاص بGDPR كلما تعلق الأمر بأصحاب بيانات من الاتحاد الأوروبي، يمثل الخيار التشغيلي الأكثر أماناً، حتى في الحالات التي لا يفرض فيها قانون DIFC نفسه المهلة الثابتة ذاتها.
• لا تعتمد على الحقوق والالتزامات المنصوص عليها في PDPL الاتحادي كضمانة إنفاذ فعّالة حتى الآن. فالضمانات التعاقدية والتقنية تكتسب أهمية أكبر في البر الرئيسي اليوم، تحديداً لأن الآلية التنظيمية وآلية الجزاءات التي كان يفترض أن تُنفذ النص التشريعي لم تُشغَّل بعد.
• راقب هيئة الذكاء الاصطناعي والبيانات، لا اسم مكتب البيانات الإماراتي القديم، لمتابعة أي تطورات اتحادية مستقبلية. فأي لائحة تنفيذية أو جدول جزاءات اتحادي قد يظهر لاحقاً سيصدر عن هذه الهيئة الجديدة، التي تتمحور مهمتها المعلنة حالياً حول الذكاء الاصطناعي والحكومة الرقمية وليس حماية البيانات تحديداً.