Персональные данные сегодня стали основой цифровой экономики и одним из наиболее чувствительных источников юридической ответственности для организаций в Объединённых Арабских Эмиратах. Каждое имя, номер телефона, адрес электронной почты и запись о транзакции теперь регулируются федеральной законодательной системой, которая обязывает компании защищать собираемые ими данные и наделяет физических лиц реальными полномочиями в отношении их данных. Законодатель ОАЭ установил эту систему федеральным законом о защите персональных данных, который уравновешивает свободное движение информации и требования бизнеса, с одной стороны, и основные права субъектов данных — с другой. В этой статье мы разъясняем ключевые обязанности компаний и права, предоставленные физическим лицам, поясняя, кто подпадает под действие закона, а кто из него исключён.

Каковы обязанности компаний и права физических лиц согласно Закону о защите персональных данных в ОАЭ?

Правовая основа и надзорный орган

Система защиты персональных данных в Государстве опирается на федеральный закон о защите персональных данных, который устанавливает общие рамки сбора, обработки, хранения и защиты персональных данных, а также права и обязанности всех сторон. Надзор за его применением осуществляет Управление данных ОАЭ, учреждённое отдельным федеральным законом и являющееся компетентным регулирующим органом для издания указаний, приёма жалоб и контроля за соблюдением требований. Ряд детальных процедурных аспектов — таких как санкции, правила трансграничной передачи и пределы исключений — отнесён к исполнительному регламенту закона.

Сфера применения: кто подпадает под действие закона?

Закон применяется к обработке персональных данных — полностью или частично — электронными или иными средствами и имеет экстерриториальное действие в определённых случаях. Его сфера охватывает:

Субъекты и случаи, исключённые из-под действия закона

Закон прямо определяет случаи, к которым его положения не применяются, — это ключевой момент для определения законодательства, применимого к каждому субъекту:

Почему свободные зоны независимы? В силу этого исключения субъекты, действующие в свободных зонах, имеющих собственную систему — таких как Дубайский международный финансовый центр (DIFC) и Глобальный рынок Абу-Даби (ADGM), — подчиняются своему независимому законодательству и собственному надзорному органу, а не федеральному закону. Управление данных ОАЭ также вправе освободить некоторые учреждения, не обрабатывающие большие объёмы данных, от части требований согласно правилам исполнительного регламента.

Многоуровневая система защиты в Государстве

Принципы обработки персональных данных

Согласие и случаи законной обработки без него

По общему правилу обработка персональных данных без согласия субъекта запрещена. Согласие должно быть таким, чтобы контролёр мог его доказать; оно должно быть ясным, простым, недвусмысленным и легкодоступным; и должно включать право легко его отозвать — при этом отзыв не влияет на законность обработки, предшествовавшей ему. Закон освобождает от требования согласия определённые случаи, когда обработка законна, в том числе:

Обязанности компаний (контролёра и обработчика)

Уведомление о нарушении данных

Как только контролёру становится известно о любом взломе или нарушении, затрагивающем приватность, конфиденциальность и безопасность данных, он обязан уведомить Управление о характере нарушения, его причинах, возможных последствиях и принятых мерах, а также уведомить субъекта данных, когда нарушение затрагивает его данные. Обработчик обязан уведомить контролёра, как только ему станет известно, чтобы тот мог уведомить Управление.

Назначение ответственного за защиту данных (DPO)

Квалифицированный ответственный за защиту данных должен быть назначен в трёх случаях: если обработка создаёт высокий риск для приватности данных вследствие новых технологий или объёма данных; если она включает систематическую и всестороннюю оценку чувствительных данных, в том числе профилирование и автоматизированную обработку; или если она осуществляется в отношении большого объёма чувствительных данных. Ответственный проверяет соблюдение требований, принимает запросы и жалобы и выступает связующим звеном с Управлением.

Права физических лиц на их персональные данные

Трансграничная передача данных

Персональные данные могут передаваться за пределы Государства в страну или на территорию, обеспечивающую достаточный уровень защиты, либо в определённых случаях, включая: явное согласие субъекта данных способом, не противоречащим общественному и охранному интересу; когда передача необходима для установления прав перед судебными органами; для заключения или исполнения договора, отвечающего интересам субъекта данных; для процедуры, связанной с международным судебным сотрудничеством; или для защиты общественного интереса. Исполнительный регламент устанавливает правила для этих случаев.

Надзор, жалобы и санкции

Роль Управления данных ОАЭ: субъект данных вправе подать в Управление жалобу при нарушении любого из своих прав, а Управление может проверять причины нарушений и налагать административные санкции на контролёра или обработчика, нарушившего положения закона и решения, принятые в его исполнение. Размер этих административных санкций и порядок их применения определяются исполнительным регламентом закона, наряду с полномочием Управления издавать указания и отслеживать соблюдение требований.

Правовые источники

Часто задаваемые вопросы