قانون حماية البيانات الشخصية في الإمارات يضع إطارًا عامًا لمعالجة البيانات الشخصية وحمايتها، ويحدد متى تكون المعالجة مشروعة وما حقوق صاحب البيانات وما التزامات الجهات التي تجمع البيانات أو تستخدمها أو تشاركها. أهميته لا تقتصر على شركات التقنية؛ بل تمتد إلى جهات العمل والمتاجر والخدمات الصحية والمنصات والعقود وأنظمة الموارد البشرية وكل جهة تعالج بيانات أشخاص طبيعيين.
وللرجوع إلى الإطار التشريعي الأشمل، راجع القوانين والتشريعات في الإمارات.
هذه الصفحة تشرح القانون نفسه ومحاوره الأساسية. أما إذا كانت المشكلة مرتبطة باستخدام بيانات داخل جريمة إلكترونية أو اختراق أو ابتزاز، فراجع الجرائم الإلكترونية، وإذا كانت مرتبطة بعقود الشركات وسياساتها فراجع استشارات الشركات.
ما هو قانون حماية البيانات الشخصية الحالي؟
الإطار الاتحادي الأساسي هو المرسوم بقانون اتحادي رقم (45) لسنة 2021 بشأن حماية البيانات الشخصية. وتعرض البوابة الرسمية لحكومة الإمارات القانون بوصفه إطارًا متكاملًا لحماية سرية المعلومات وخصوصية الأفراد وتنظيم إدارة البيانات.
ما هي البيانات الشخصية؟
البيانات الشخصية هي المعلومات المرتبطة بشخص طبيعي محدد أو قابل للتحديد وفق التعريف القانوني. قد تكون اسمًا أو رقمًا أو عنوانًا أو صورة أو معرفًا رقميًا أو بيانات أخرى تسمح بتحديد الشخص مباشرة أو بصورة غير مباشرة.
البيانات الحساسة
توجد فئات من البيانات تحتاج إلى عناية أعلى بسبب طبيعتها، مثل البيانات الصحية أو البيومترية أو غيرها من الفئات التي يحددها القانون. لا ينبغي جمعها أو استخدامها لمجرد أنها متاحة للمنظمة تقنيًا.
المعالجة
المعالجة مفهوم واسع يشمل الجمع والتسجيل والتنظيم والتخزين والتعديل والاسترجاع والاستخدام والإفصاح والنقل والحذف وغيرها من العمليات التي تتم على البيانات. لذلك قد تكون الشركة «تعالج» البيانات حتى لو لم تبعها أو تنشرها.
الموافقة
الموافقة أحد الأسس المهمة للمعالجة، لكن القانون يقرر كذلك حالات يمكن فيها معالجة البيانات من دون موافقة صاحبها وفق شروط محددة. لذلك لا ينبغي جعل الموافقة الحل الوحيد لكل نشاط، ولا استخدامها بصورة غامضة لا توضح الغرض.
المعالجة بدون موافقة
تتضمن المادة (4) حالات يسمح فيها بالمعالجة دون موافقة، ومنها ما يرتبط بالمصلحة العامة أو الإجراءات القانونية أو الدفاع عن الحقوق أو بعض الأغراض الصحية وغيرها من الحالات التي يحددها النص. يجب مطابقة الواقعة بالحالة القانونية الفعلية وعدم استخدام الاستثناء كقاعدة عامة.
تحديد الغرض
من مبادئ الحماية أن تعرف الجهة لماذا تجمع البيانات وما الغرض الذي تستخدمها من أجله. جمع بيانات أكثر من الحاجة أو استخدامها لاحقًا لغرض مختلف من دون أساس قانوني قد يخلق مشكلة امتثال.
تقليل البيانات
كلما كان الغرض يمكن تحقيقه ببيانات أقل، كان من الأفضل عدم جمع معلومات إضافية. في نماذج العملاء مثلًا، لا تُطلب بيانات عائلية أو هوية كاملة إذا كانت الخدمة لا تحتاج إليها.
دقة البيانات
البيانات غير الدقيقة قد تسبب قرارات خاطئة وضررًا للأشخاص، لذلك يجب وجود آلية لتحديثها أو تصحيحها. هذا مهم في ملفات الموظفين والعملاء والأنظمة الائتمانية والخدمات الصحية.
مدة الاحتفاظ
لا ينبغي الاحتفاظ بالبيانات إلى الأبد بلا حاجة. يجب تحديد مدة ترتبط بالغرض أو بالالتزامات القانونية، ثم الحذف أو الإخفاء أو الأرشفة وفق السياسة والقانون.
أمن البيانات
على الجهة اتخاذ تدابير مناسبة لحماية البيانات من الوصول أو الاستخدام أو التغيير أو الفقد غير المصرح به. الحماية القانونية لا تنفصل عن الضوابط التقنية والإدارية مثل الصلاحيات والتشفير والنسخ الاحتياطي والتدريب.
مسؤول المعالجة ومعالج البيانات
يفرق القانون بين الجهة التي تحدد أغراض ووسائل المعالجة وبين من يعالج البيانات لحسابها في بعض الحالات. هذه العلاقة يجب أن تُنظم في العقود، خصوصًا عند الاستعانة بمزود سحابي أو شركة تسويق أو نظام موارد بشرية.
الاستعانة بمزود خارجي
نقل البيانات إلى مورد لا ينقل المسؤولية تلقائيًا إليه. يجب فحص الضمانات والصلاحيات ومكان التخزين والحذف بعد انتهاء العقد والإبلاغ عن الحوادث.
نقل البيانات خارج الدولة
ينظم القانون نقل البيانات عبر الحدود ضمن شروط وضمانات محددة. قبل استخدام خدمة أجنبية أو مشاركة قاعدة بيانات مع فرع خارجي، يجب فحص مكان المعالجة والآلية القانونية للنقل.
حقوق صاحب البيانات
يتضمن الإطار حقوقًا لأصحاب البيانات في حالات وشروط، مثل الوصول إلى المعلومات وتصحيحها وطلبات أخرى يحددها القانون. يجب أن تكون لدى الجهة آلية واضحة لاستقبال الطلب والتحقق من الهوية والرد.
سحب الموافقة
إذا كانت المعالجة قائمة على الموافقة، يجب تنظيم طريقة سحبها وآثار ذلك. لكن سحب الموافقة لا يعني دائمًا محو كل سجل إذا كان هناك التزام قانوني مستقل بالاحتفاظ.
تصحيح البيانات
يجب وجود قناة لتصحيح المعلومات الخاطئة. الخطأ في رقم أو عنوان قد يبدو بسيطًا، لكنه قد يؤدي إلى إرسال معلومات إلى شخص آخر أو اتخاذ قرار على سجل غير صحيح.
الحذف
طلب الحذف يتأثر بالغرض والأساس القانوني والالتزامات الأخرى. إذا كان هناك نزاع قضائي أو التزام محاسبي أو تنظيمي بالاحتفاظ، يجب تقييم أثر ذلك قبل تنفيذ الحذف.
الاعتراض على المعالجة
قد يكون لصاحب البيانات حقوق مرتبطة بالاعتراض أو تقييد بعض المعالجات وفق القانون. لا تُدار هذه الطلبات بطريقة خدمة العملاء العادية فقط؛ يجب وجود سياسة قانونية داخلية.
القرارات الآلية
استخدام الخوارزميات أو الأنظمة الآلية في قرارات تؤثر على الأشخاص يحتاج إلى فحص خاص من زاوية الشفافية والعدالة والحقوق التي يقررها القانون، خصوصًا إذا كان القرار مهمًا ماليًا أو وظيفيًا.
الإخطار عن خرق البيانات
عند وقوع اختراق أو تسريب، لا يكون المطلوب إصلاح الخلل التقني فقط. يجب تقييم ما إذا كان الحادث يستوجب إخطارًا للجهة أو الأشخاص وفق القانون والقرارات، وحفظ سجل يوضح ما حدث والإجراءات المتخذة.
العلاقة بالجرائم الإلكترونية
اختراق نظام أو سرقة بيانات قد يكون جريمة بموجب قانون الجرائم الإلكترونية إضافة إلى كونه حادث حماية بيانات. المساران مختلفان: أحدهما يركز على الفعل الإجرامي والآخر على التزامات الحماية والمعالجة.
بيانات الموظفين
جهات العمل تعالج بيانات الهوية والراتب والحضور والصحة أحيانًا. يجب تحديد الأساس والغرض والصلاحيات وعدم تمكين عدد أكبر من الموظفين من الوصول إلى الملف بلا حاجة.
بيانات العملاء
عند جمع بيانات العملاء يجب توضيح الغرض والاستخدام، وفصل ما هو ضروري للخدمة عن التسويق أو أغراض أخرى. كما يجب مراجعة مشاركة البيانات مع شركات الدفع أو الشحن أو التسويق.
التسويق المباشر
استخدام أرقام الهواتف والبريد للتسويق قد يخضع لقواعد إضافية وتنظيمات متخصصة. وجود البيانات في نظام الشركة لا يعني حق استخدامها في أي حملة بلا تقييم قانوني.
البيانات الصحية
المعلومات الطبية من أكثر البيانات حساسية، وقد تخضع كذلك لتشريعات صحية خاصة. لا ينبغي مشاركتها بين إدارات أو مزودين إلا وفق الغرض والصلاحية والضمانات المطلوبة.
الخصوصية في المواقع والتطبيقات
سياسة الخصوصية يجب أن تعكس ما يحدث فعليًا: ما البيانات التي يجمعها الموقع، وما الأدوات الخارجية، وما ملفات الارتباط، وما أغراض الاستخدام. نسخ سياسة من موقع آخر قد يعطي معلومات غير صحيحة للمستخدم.
عقود معالجة البيانات
يجب أن تحدد عقود الموردين ما البيانات التي ستُعالج، ولماذا، وما مستوى الحماية، وهل يجوز الاستعانة بمعالج فرعي، وما الذي يحدث عند انتهاء الخدمة أو وقوع خرق.
سجل المعالجة
من الممارسات الجيدة إنشاء خريطة داخلية للبيانات: المصدر، الغرض، النظام، الأشخاص الذين يصلون إليها، مدة الاحتفاظ، والجهة التي تُشارك معها. هذه الخريطة تسهل اكتشاف المخاطر قبل وقوع الحوادث.
سياسة الاحتفاظ
يجب ربط مدة الاحتفاظ بنوع المستند والقانون والغرض. عقد تجاري وسجل موظف وطلب دعم لا يحتاج كل منها إلى المدة نفسها.
حماية البيانات في القضايا القانونية
تنص المادة (4) ضمن حالات المعالجة بدون موافقة على حالات مرتبطة بإقامة المطالبات والحقوق والدعاوى القانونية أو الدفاع عنها. هذا لا يعني نشر البيانات أو تداولها بلا حدود؛ بل استخدامها بالقدر اللازم للإجراء القانوني.
الاستشارات القانونية والبيانات
الملفات القانونية قد تحتوي معلومات شديدة الحساسية، لذلك يجب استخدام قناة مناسبة وتقليل الوصول. راجع الاستشارة القانونية أونلاين لمعرفة طريقة تنظيم المستندات قبل إرسالها.
المصادر الرسمية
يمكن الرجوع إلى منصة تشريعات الإمارات للنص المحدث، وإلى البوابة الرسمية لحكومة الإمارات لشروح الحكومة العامة حول قانون حماية البيانات.
أسئلة شائعة
ما رقم قانون حماية البيانات في الإمارات؟
المرسوم بقانون اتحادي رقم (45) لسنة 2021 بشأن حماية البيانات الشخصية.
هل كل معالجة تحتاج إلى موافقة؟
لا. توجد حالات قانونية تسمح بالمعالجة دون موافقة وفق شروط محددة، ويجب تحديد الأساس الصحيح.
هل يطبق القانون على الشركات الصغيرة؟
النطاق يتحدد بالنص وطبيعة المعالجة والاستثناءات، وليس بحجم الشركة وحده.
هل يمكن نقل البيانات خارج الإمارات؟
يخضع النقل لضوابط وضمانات قانونية ويجب فحص الدولة أو الآلية والمزود.
هل اختراق البيانات جريمة إلكترونية؟
قد يكون كذلك إذا توافرت عناصر جريمة، إضافة إلى التزامات حماية البيانات على الجهة التي تعرضت للحادث.
الخصوصية بحسب التصميم
من الأفضل إدخال حماية البيانات في تصميم النظام أو الخدمة منذ البداية بدل إضافتها بعد التشغيل. عند إنشاء نموذج أو تطبيق جديد، اسأل ما أقل البيانات المطلوبة، ومن سيصل إليها، وما مدة الاحتفاظ، وهل يمكن فصل الهوية عن البيانات التشغيلية. هذه القرارات المبكرة تقلل تكلفة الامتثال والحوادث لاحقًا.
إدارة الصلاحيات
ليس كل موظف يحتاج إلى الوصول إلى كل سجل. يجب منح الصلاحيات بحسب الوظيفة ومراجعتها عند انتقال الموظف أو مغادرته، مع إلغاء الحسابات القديمة وتوثيق الوصول إلى الأنظمة الحساسة. كثير من حوادث البيانات تبدأ من صلاحيات بقيت أوسع من الحاجة.
التدريب الداخلي
التقنية وحدها لا تكفي. يجب تدريب الموظفين على التصيد الاحتيالي ومشاركة الملفات واستخدام الأجهزة والإبلاغ عن الخطأ. الموظف الذي يرسل ملفًا إلى عنوان خاطئ قد يسبب حادثة بيانات حتى من دون اختراق تقني.
الاستجابة للحوادث
من المفيد وجود خطة تحدد من يتلقى البلاغ، وكيف تُعزل الأنظمة، ومن يقيّم الأثر القانوني، ومتى تُخطر الإدارة أو الجهة أو الأفراد. القرار المرتجل أثناء الحادث قد يؤدي إلى حذف سجلات مهمة أو تأخير إخطار مطلوب.
العقود مع مقدمي الخدمات
إذا كان المورد يخزن أو يعالج بيانات العملاء، يجب مراجعة عقده وسياسة الأمان ومكان الاستضافة وحقوق التدقيق والحذف عند انتهاء الخدمة. السعر المنخفض لا يعوض غياب ضمانات أساسية لحماية البيانات.
روابط مرتبطة بالامتثال وحماية البيانات
للتطبيق المؤسسي راجع قضايا الشركات والقضايا العمالية ومراجعة العقود والمستندات ومراجعة الملف القانوني. وعند وجود حادثة تقنية عاجلة راجع الاستشارة العاجلة.
الخلاصة
قانون حماية البيانات يحول الخصوصية من سياسة مكتوبة إلى نظام عمل: تعرف ما تجمعه، ولماذا، ومن يصل إليه، وكم تحتفظ به، وكيف تحميه، وما الذي تفعله عند طلب صاحب البيانات أو وقوع خرق. أفضل امتثال يبدأ بخريطة واضحة للبيانات داخل المنظمة.
تنبيه: حماية البيانات تتقاطع مع قوانين قطاعية وتقنية وعمالية وصحية، وقد تصدر قرارات تنفيذية إضافية. يجب مراجعة النص الرسمي والقطاع ونوع البيانات قبل اعتماد سياسة أو قرار فردي.
آخر مراجعة للمصدر التشريعي: أكتوبر 2026.