PDPL de los EAU vs. GDPR: Ley Federal, DIFC y ADGM Comparados

La mayoría de las comparaciones entre la ley de protección de datos de los Emiratos Árabes Unidos y el GDPR tratan a "los EAU" como un régimen único. Ese enfoque pasa por alto el hecho que más importa para cualquier empresa que efectivamente opera allí: los EAU tienen en funcionamiento tres sistemas separados de protección de datos a la vez, y cuál de ellos aplica a una empresa depende enteramente de dónde esté legalmente constituida.

Una empresa constituida en el territorio continental de los EAU responde ante la Personal Data Protection Law federal. Una empresa constituida en el Dubai International Financial Centre responde ante la propia ley del DIFC y su propio Commissioner. Una empresa constituida en Abu Dhabi Global Market responde ante una tercera ley separada y un tercer regulador. Estos tres regímenes no comparten regulador, no comparten una lista de adecuación y, como detalla esta página, hoy no son igualmente exigibles.

Panorama General: GDPR vs. PDPL Federal de los EAU vs. DIFC vs. ADGM

Qué Régimen le Aplica

Esta es la pregunta que en realidad tiene todo lector de esta página, y la respuesta es jurisdiccional, no sectorial.

• Si su entidad está autorizada en el territorio continental de los EAU (en Dubái, Abu Dabi o cualquier otro emirato, fuera de las dos zonas francas financieras), la PDPL federal se aplica a su tratamiento de datos personales.
• Si su entidad está autorizada en el DIFC, la Data Protection Law propia del DIFC se aplica a sus operaciones dentro del DIFC, no la PDPL federal.
• Si su entidad está autorizada en ADGM, las Data Protection Regulations propias de ADGM se aplican a sus operaciones dentro de ADGM, no la PDPL federal.
• Si su grupo tiene entidades en más de uno de estos regímenes, cada entidad está sujeta por separado a su propio régimen. No existe una única respuesta de "cumplimiento de datos en los EAU" para un grupo con múltiples entidades; hay hasta tres.

La PDPL federal está redactada para aplicarse ampliamente en todo el territorio continental, pero el Article 2(2)(g) excluye a "las empresas y establecimientos ubicados en zonas francas del país que cuenten con legislación especial en materia de protección de datos personales". Tanto DIFC como ADGM quedan dentro de esa exclusión porque cada uno cuenta con su propio estatuto de protección de datos, aunque ninguno de los dos está nombrado en la propia PDPL. La exclusión se encuentra en el Article 2(2)(g) de la PDPL misma, y coincide con la forma en que ambas zonas efectivamente operan: cada una mantiene su propio Commissioner, su propio estatuto y su propio historial de aplicación, completamente separado del lado federal.

Para más contexto sobre las leyes de privacidad de datos de los EAU en general, incluida la forma en que este marco encaja en el panorama más amplio del Golfo, consulte nuestra página dedicada al país.

Antecedentes y Estado Actual de Cada Régimen

GDPR

El Reglamento General de Protección de Datos entró en vigor en toda la UE/EEE el 25 de mayo de 2018. Es el marco de protección de datos más maduro y más litigado del mundo, con un extenso cuerpo de guía regulatoria, decisiones judiciales y una red coordinada de autoridades nacionales de protección de datos que opera bajo el European Data Protection Board. Para una introducción más completa, consulte qué es el GDPR.

PDPL Federal de los EAU

La Federal Decree-Law No. 45 of 2021 "Concerning the Protection of Personal Data" se emitió el 20 de septiembre de 2021, se publicó en la Official Gazette No. 712 el 26 de septiembre de 2021, y entró en vigor el 2 de enero de 2022. El portal oficial de legislación de los EAU indica que el estado de la ley es activo.

Lo que no ha ocurrido es la parte que le da a la mayoría de las leyes de protección de datos sus verdaderos dientes. La propia PDPL exige Executive Regulations que precisen el detalle operativo, incluido el cuadro específico de sanciones administrativas. Esas regulaciones nunca se han emitido, casi cinco años después de que la ley fuera aprobada. El regulador al que la PDPL asigna esas funciones, la UAE Data Office, establecida no por la propia PDPL sino por su estatuto complementario, la Federal Decree-Law No. 44 of 2021, era descrita en el propio sitio web del gobierno de los EAU en términos prospectivos, como un organismo que "actuará como" el regulador federal, un lenguaje consistente con una autoridad que nunca llegó a ser operativa.

El 14 de junio de 2026, el Vicepresidente y Primer Ministro de los EAU, Sheikh Mohammed bin Rashid Al Maktoum, aprobó la creación de una nueva Artificial Intelligence and Data Authority, descrita como el único organismo nacional responsable de datos, inteligencia artificial y gobierno digital, que reporta directamente al Cabinet. Consolida tres organismos existentes, incluida la UAE Data Office. El anuncio oficial del Cabinet sobre la nueva Authority no menciona la PDPL ni la protección de datos por su nombre; su mandato declarado está enmarcado en torno a la estrategia de IA, la economía digital y los estándares de gobierno digital. Algunos estudios jurídicos han sugerido que la nueva Authority eventualmente terminará las Executive Regulations de la PDPL, pero eso es una inferencia de comentarios externos, no un compromiso declarado del gobierno, y el momento en que ocurriría se describe explícitamente como incierto dadas las prioridades en competencia de gobernanza de IA.

El resultado práctico: las disposiciones sustantivas de la PDPL federal sobre consentimiento, oficiales de protección de datos, aviso de brechas y transferencia transfronteriza están formalmente vigentes, pero la maquinaria administrativa necesaria para aplicarlas, incluido cualquier cuadro de sanciones, nunca se ha activado, y el organismo que debía operar esa maquinaria ya no existe como un regulador de protección de datos independiente.

DIFC

La Data Protection Law No. 5 of 2020 del Dubai International Financial Centre entró en vigor el 1 de julio de 2020 (Article 4). Está modelada de cerca según el GDPR y es administrada por un regulador dedicado y activo, el Commissioner of Data Protection (DIFC), que es enteramente separado del lado federal.

El 8 de julio de 2025, el DIFC promulgó la DIFC Laws Amendment Law No. 1 of 2025, que entró en vigor el 15 de julio de 2025 e introdujo varios cambios sustantivos a la Data Protection Law:

• Introdujo un derecho de acción privado expreso en el Article 64A, de modo que un data subject del DIFC puede demandar directamente a un controller o processor ante las DIFC Courts por compensación, en lugar de depender únicamente de un reclamo ante el Commissioner. Esto alineó al DIFC con ADGM, cuyas Regulations han contado con un derecho de compensación equivalente en la section 59 desde 2021.
• Amplió el alcance extraterritorial de la ley para cubrir a los controllers y processors constituidos en el DIFC sin importar dónde ocurra efectivamente el tratamiento, y al tratamiento que tiene lugar en el DIFC como parte de "arreglos estables", ahora incluyendo expresamente a los sub-processors.
• Modificó la disposición que rige la divulgación a autoridades públicas y de aplicación de la ley, exigiendo a los controllers y processors verificar que una solicitud sea válida y proporcional antes de divulgar datos.

ADGM

Las Data Protection Regulations 2021 de Abu Dhabi Global Market son el marco autónomo de ADGM, administrado por la Office of Data Protection, también llamada Commissioner of Data Protection (ADGM). Las Regulations entraron en vigor por fases durante 2021 y 2022, a medida que las entidades recién registradas en ADGM y las entidades preexistentes de ADGM transicionaron por separado hacia las nuevas reglas. Al igual que la ley del DIFC, las Regulations de ADGM están modeladas de cerca según la estructura del GDPR.

Alcance y Aplicación Territorial

La división de alcance importa porque es fácil asumir que "la ley de protección de datos de los EAU" es un perímetro único. No lo es. Un grupo con una entidad comercial en el territorio continental y una entidad de servicios financieros registrada en el DIFC está gestionando dos obligaciones de cumplimiento completamente separadas bajo dos leyes distintas, respondiendo ante dos reguladores distintos, aunque ambas entidades estén dentro del mismo país.

Derechos del Interesado

Los cuatro regímenes otorgan a los individuos categorías de derechos ampliamente similares: acceso a sus datos, corrección de datos inexactos, eliminación en circunstancias definidas, restricción del tratamiento, oposición a ciertos tratamientos (incluido el marketing directo), y protecciones en torno a la toma de decisiones automatizada. El marco de derechos del GDPR (Articles 15 a 22) es la versión más extensamente litigada y orientada de este modelo, y las disposiciones de derechos de DIFC y ADGM siguen de cerca ese modelo, en consonancia con su redacción inspirada en el GDPR.

La brecha práctica no está en qué derechos otorga la PDPL federal sobre el papel, sino en qué ocurre cuando un interesado del territorio continental intenta ejercer uno de ellos. Sin Executive Regulations ni un regulador en funcionamiento, actualmente no existe una vía federal de reclamo o de aplicación comparable a la que ofrecen el Commissioner del DIFC, las Cortes del DIFC o la Office of Data Protection de ADGM. La enmienda de julio de 2025 del DIFC agudiza esto aún más para esa zona franca en particular, ya que un interesado del DIFC ahora puede acudir directamente a los tribunales en lugar de depender únicamente de que el Commissioner actúe.

Bases Legales para el Tratamiento

El GDPR establece seis bases legales para el tratamiento bajo el Article 6, incluidos el consentimiento, la necesidad contractual, la obligación legal, los intereses vitales, la tarea de interés público y el interés legítimo, con un régimen más estricto para los datos de categoría especial bajo el Article 9. Las leyes del DIFC y de ADGM incluyen una estructura comparable de fundamentos de tratamiento lícito y reglas reforzadas para categorías sensibles de datos, en consonancia con su enfoque de redacción inspirado en el GDPR.

La PDPL federal enmarca de manera similar el consentimiento como una base central para el tratamiento, junto con otros fundamentos como la necesidad contractual y las obligaciones legales, pero debido a que las Executive Regulations no se han emitido, el detalle operativo de cómo se evalúan y aplican estos fundamentos en la práctica no se ha desarrollado de la forma en que sí lo han hecho la guía del DIFC y de ADGM, o el extenso cuerpo de guía del EDPB y de las autoridades nacionales construido en torno al GDPR.

Reguladores y la Realidad de la Aplicación

Aquí es donde la trampa de los tres regímenes es más marcada, porque invierte una suposición común. Una empresa que concluye que "la ley de datos de los EAU no tiene dientes" tiene razón solo respecto del lado federal, el del territorio continental.

PDPL Federal: la UAE Data Office fue designada como el regulador federal, pero nunca llegó a ser operativa. Al 14 de junio de 2026, ya no existe como organismo independiente, habiendo sido absorbida por la nueva Artificial Intelligence and Data Authority junto con otras dos unidades gubernamentales. Nunca se ha publicado un cuadro de sanciones, porque la decisión del Cabinet necesaria para fijar uno no se ha emitido. A la fecha de esta publicación, no existe una vía de aplicación federal en funcionamiento para una infracción de la PDPL.

DIFC: el Commissioner of Data Protection (DIFC) no solo está establecido, sino que es por lejos el ejecutor de protección de datos más activo de los EAU. El Commissioner publica tanto avisos de decisión de investigación como multas administrativas, y el volumen es considerable: 717 avisos preliminares y 273 avisos de decisión de multa administrativa en 2025, frente a 173 en 2023. La mayoría surge de fallas básicas de cumplimiento, como dejar vencer una notificación de tratamiento o no responder a una solicitud de investigación, más que de brechas de gran repercusión. A partir de la enmienda de julio de 2025, el DIFC también cuenta con una vía de aplicación judicial, ya que los interesados ahora pueden presentar directamente un reclamo bajo la Data Protection Law ante las DIFC Courts.

ADGM: la Office of Data Protection ha emitido acciones de aplicación reales, con nombres identificados. El 21 de mayo de 2024, la ODP emitió un Penalty Notice contra Okadoc Technologies Limited por infracciones a las disposiciones de derechos individuales de las Regulations, derivadas del manejo por parte de la empresa de una solicitud de acceso de un interesado. El 23 de junio de 2023, la ODP emitió una Direction contra VentureRock Global Limited por una infracción al principio de seguridad de las Regulations. Estas son las únicas dos acciones de aplicación publicadas de ADGM hasta la fecha, pero son dos más de las que el régimen federal jamás ha emitido, y demuestran que el regulador de ADGM funciona como un órgano de aplicación real, no solo como un nombre en un estatuto.

El resultado: dos de los tres regímenes de protección de datos de los EAU ya están aplicando activamente sus leyes contra empresas identificadas por su nombre. El que no lo hace es el régimen federal, del territorio continental, que también es el que la mayoría del contenido de la competencia trata como "la ley de protección de datos de los EAU" sin ninguna aclaración.

Para las empresas que están evaluando si necesitan un rol de cumplimiento dedicado a través de estos regímenes, consulte nuestro panorama de requisitos del Data Protection Officer.

Transferencias Transfronterizas de Datos

Esta tabla es donde la trampa práctica se vuelve concreta. Ni la lista de adecuación del DIFC ni la de ADGM hacen referencia al territorio continental de los EAU o a la PDPL federal como un destino de transferencia adecuado, aunque ambas zonas francas se reconocen mutuamente. Y el lado federal no tiene ninguna lista de adecuación propia para recibir datos, porque el mecanismo que crearía una, el proceso de determinación de la Data Office, nunca llegó a ser operativo. Un grupo que mueve datos personales desde una entidad del DIFC o de ADGM hacia su propia filial en el territorio continental de los EAU no está operando bajo una transferencia claramente adecuada o claramente resguardada hoy; está operando en un vacío regulatorio genuino.

Para una mirada más amplia sobre cómo funciona este tipo de mecanismo de transferencia en otros lugares, consulte standard contractual clauses y nuestro relevamiento de leyes de localización de datos por país.

Notificación de Brechas

El plazo de notificación de brechas es uno de los puntos de divergencia más claros entre estos cuatro regímenes, y no sigue un patrón único.

El patrón que vale la pena recordar: entre estos regímenes, el lado orientado al regulador es a veces un plazo estricto de 72 horas, pero el lado orientado al individuo es consistentemente un estándar de "sin demora injustificada" o "tan pronto como sea factible" en lugar de un número fijo de horas. No trate a las "72 horas" como una cifra general que aplica de manera idéntica a todo aviso en todo régimen; el DIFC en particular no tiene ningún plazo horario fijo, ni para el regulador ni para el individuo, lo cual es un punto de contraste genuino y útil frente a ADGM y al GDPR.

Sanciones

La estructura de sanciones del DIFC merece señalarse específicamente porque es fácil reportarla erróneamente como una única cifra. No es un solo tope; es un cuadro de máximos por artículo que difieren según cuál obligación se haya infringido, con las fallas de notificación de brecha ubicadas hacia el extremo inferior de ese cuadro y otras categorías de infracción alcanzando montos más altos. Tampoco es el panorama completo. El Schedule 2 rige solo el nivel administrativo; el Article 62(3) faculta por separado al Commissioner a emitir una multa general expresamente no limitada a los montos especificados en el Schedule 2, dimensionada según la gravedad de la infracción y el riesgo de daño real. Para una infracción grave, la exposición del DIFC no tiene tope.

La fila de la PDPL federal es el contraste más marcado de esta tabla. Actualmente no existe ningún monto de sanción publicado, alto o bajo, para una infracción de la PDPL, porque la decisión del Cabinet que fijaría uno nunca se ha emitido.

Novedades Recientes

Guía de Cumplimiento para Grupos que Operan en los Tres Regímenes de los EAU

Una empresa con presencia en el territorio continental y en una o ambas zonas francas debería tratar esto como tres programas de cumplimiento, no uno, hasta que el lado federal cambie de manera sustancial:

• Primero, asigne cada entidad a su régimen. La constitución legal, no la actividad comercial, determina cuál de las tres leyes aplica. Una sucursal en el territorio continental de una empresa registrada en el DIFC sigue siendo una cuestión separada de la propia entidad del DIFC.
• No asuma que las transferencias del territorio continental hacia una zona franca son seguras por defecto. Debido a que ni la lista de adecuación del DIFC ni la de ADGM incluyen al territorio continental de los EAU, y el lado federal no tiene ningún mecanismo de adecuación propio, mover datos entre una entidad de zona franca y una filial en el territorio continental debe tratarse como una cuestión de transferencia sin resolver, no como un flujo intragrupo de rutina.
• Regístrese en ambas zonas francas; el deber no es exclusivo de ADGM. ADGM exige que toda entidad registrada que trate datos personales se registre como Data Controller, con renovación anual. El DIFC exige por separado que los controllers y processors se registren ante su Commissioner mediante la presentación de una notificación de operaciones de tratamiento, mantenida actualizada mediante notificaciones enmendadas, acompañada de una tarifa prescrita (Article 14(7)-(8)); no hacerlo es sancionable con hasta USD 25.000 bajo el Schedule 2, y las notificaciones vencidas están entre las causas más comunes de las multas administrativas del DIFC. El régimen federal no tiene ningún requisito de registro en funcionamiento, porque la maquinaria para operar uno nunca se estableció. Así que el checklist difiere entre los tres, pero dos de los tres sí exigen registro.
• Construya su protocolo de aviso de brechas en torno al plazo aplicable más estricto. Para un grupo con entidades en DIFC, ADGM y el territorio continental, es la opción operativa más segura fijar por defecto los procedimientos internos de escalamiento en torno al parámetro de 72 horas de ADGM, y aplicar el estándar de 72 horas del GDPR siempre que también estén involucrados interesados de la UE, incluso donde la propia ley del DIFC no impone el mismo plazo fijo.
• No confíe todavía en los derechos y obligaciones declarados de la PDPL federal como un respaldo funcional de aplicación. Las garantías contractuales y técnicas importan más en el territorio continental hoy precisamente porque la maquinaria regulatoria y sancionatoria que de otro modo aplicaría el estatuto todavía no está en funcionamiento.
• Observe a la Artificial Intelligence and Data Authority, no al antiguo nombre de UAE Data Office, en cuanto a futuros desarrollos federales. Cualquier Executive Regulations o cuadro de sanciones federal que eventualmente aparezca provendrá de este nuevo organismo, cuyo mandato público actual está enmarcado en torno a la IA y el gobierno digital, más que en la protección de datos específicamente.