Что действует для сайта в октябре 2026
Закон о персональных данных, Federal Decree-Law 45 of 2021, касается любого бизнеса, который обрабатывает данные людей в ОАЭ, в том числе компаний из-за рубежа (ст. 2). Сайт попадает под него, как только сохраняет имя из формы, номер из кнопки WhatsApp или идентификатор в cookie.
Уровень риска сегодня определяют три факта:
- Закон уже обязывает. Он действует с 2 января 2022 года. Как пишет SOVA, регламент добавит процедуры, но обязанности закон создал сам.
- Деталей нет. Статья 28 требовала выпустить регламент за шесть месяцев с сентября 2021 года. ITSEC на 24 сентября 2026 года не нашёл его на официальном портале законодательства, как и решения кабмина о штрафах по ст. 26. Когда регламент выйдет, по ст. 29 у бизнеса будет полгода.
- Регулятор появился. 14 июня 2026 года в ОАЭ создали Federal Authority for AI and Data, он поглотил UAE Data Office, который так и не заработал. Morgan Lewis ожидает, что новое ведомство доведёт регламент и возьмёт PDPL под контроль.
Если вы ещё и рассылаете рекламу в WhatsApp или по SMS, там свой режим телемаркетинга, и штрафы по нему уже действуют. Его мы разобрали в статье о WhatsApp-рассылках и PDPL. Здесь речь только о сайте.
Mainland, DIFC или ADGM: какой закон касается вашего сайта
Статья 2(2) PDPL исключает свободные зоны со своим законом о данных. Применимый закон зависит от лицензии компании, которой принадлежит сайт, а не от того, где стоит сервер.
| Где лицензия | Закон | Что это значит для сайта |
|---|---|---|
| Mainland и большинство свободных зон | PDPL, Decree-Law 45/2021 | Принципы действуют, регламент и штрафы ждут |
| DIFC | Data Protection Law 5 of 2020 и регламент DIFC | Прямые правила о cookies (Regulation 9), работающий комиссар |
| ADGM | Data Protection Regulations 2021 | Построены по образцу GDPR, работающий комиссар |
Если у вас операционная компания на mainland и холдинг в DIFC, уведомлений может понадобиться два комплекта. Выясните, какое юрлицо владеет каждым сайтом и каждой формой.
Cookies и баннер согласия
Закона о cookies для mainland мы не нашли. Применяется определение согласия из PDPL: конкретное, ясное и однозначное выражение воли через явное заявление или действие. Статья 6 добавляет три условия. Согласие нужно уметь доказать, просьба о нём должна быть ясной, простой и доступной, а в ней должно быть сказано, как его отозвать, и отзыв должен быть лёгким.
Для баннера это значит:
- Технически необходимые cookies (сессия, безопасность, переключатель языка) работают без выбора, и баннер об этом говорит.
- Аналитика и рекламные cookies ждут, пока посетитель нажмёт «Принять». Фраза «продолжая пользоваться сайтом, вы соглашаетесь» ничего не доказывает.
- «Отклонить» нажимается так же легко, как «Принять», а ссылка в подвале позволяет поменять решение.
- Вы храните журнал: дату, выбор и версию баннера.
В DIFC это записано прямо. Regulation 9 касается cookies для персонализации, аналитики, рекламных профилей и пиксельного трекинга. Для согласия нужна как минимум неотмеченная галочка или другой активный выбор и ссылка на политику. В разъяснениях комиссара DIFC сказано: если человек не снял заранее поставленную галочку, это не согласие.
Формы заявок
Большинство небольших сайтов собирают данные именно через форму. На неё влияют три правила закона.
- Цель. Статья 13(2) требует сообщить, зачем вы собираете данные, до начала обработки. Хватит одной строки под формой: «Номер нужен, чтобы ответить на эту заявку».
- Отдельное согласие на рекламу. Статья 17 даёт право возражать против прямого маркетинга. Сделайте неотмеченную галочку «Присылать предложения и новости» отдельно от заявки, чтобы клиент мог запросить цену и не попасть в рассылку.
- Минимум полей. Статья 5 требует собирать данные в пределах цели. Форме расчёта цены редко нужны дата рождения или номер паспорта.
Заявки часто уходят из формы сразу в CRM, Google-таблицу или WhatsApp. Каждый такой сервис получает данные, и многие из них хранят их за пределами ОАЭ. Тут начинаются правила о передаче за рубеж.
Что написать в политике конфиденциальности
Статья 13 перечисляет, что человек может бесплатно у вас запросить. Три пункта из неё по ст. 13(2) нужно сообщить до начала обработки:
| До обработки (ст. 13(2)) | По запросу (ст. 13(1)) |
|---|---|
| Цель обработки | Какие данные вы храните |
| Кому передаёте данные в ОАЭ и за рубежом | Сроки хранения |
| Как защищена передача за границу (ст. 22–23) | Автоматические решения и профилирование |
| Как исправить, удалить, ограничить данные или возразить | |
| Что вы делаете при утечке | |
| Как пожаловаться регулятору |
Политика из европейского шаблона обычно закрывает эти пункты, но ссылается на GDPR и европейский надзорный орган. Замените ссылки на PDPL, перечислите свои реальные сервисы (CRM, аналитику, рекламные кабинеты, хостинг) и дайте контакт для запросов. Для информации, адресованной потребителю, в ОАЭ есть и требования к арабскому языку, о них отдельная статья об арабском языке в рекламе и на сайте.
Аналитика, пиксели и передача данных за рубеж
Google Analytics, пиксель Meta и большинство CRM отправляют данные за границу. Для PDPL это трансграничная обработка.
- Статья 22 разрешает передачу в страны с адекватным законом о защите данных или по международному договору, в случаях, которые одобряет регулятор. Списка одобренных стран нет.
- Статья 23 разрешает передачу в другие страны по договору, который обязывает получателя защищать данные на уровне PDPL, с явного согласия человека или когда это нужно для исполнения договора в его интересах. Детали ст. 23(2) отдаёт регламенту, которого пока нет.
На практике: подпишите условия обработки данных у каждого сервиса, перечислите сервисы в политике со страной хранения и включайте рекламные пиксели после согласия. По IP-адресам Google пишет, что GA4 их не записывает и не хранит. Пиксель Meta нужен для рекламных аудиторий, поэтому относитесь к нему как к маркетингу и держите за кнопкой «Принять».
Где источники расходятся
Часть сайтов утверждает, что регламент уже вышел. Гайд Multilaw называет Cabinet Decision 83 of 2022. Business Dubai приводит другие номера, которые ходят по сети, 111 of 2023 и 33 of 2024, и не смог подтвердить ни один. ITSEC 23 сентября 2026 года проверил официальный портал законодательства и регламента не нашёл. Мы опираемся на проверку портала.
Со штрафами то же самое. В сети встречаются суммы от AED 50 000 до AED 5 млн и срок уведомления об утечке 72 часа, но Business Dubai не нашёл их ни в одном опубликованном акте. Официальной таблицы штрафов по PDPL пока нет.
Чек-лист для сайта
- Выясните, какое юрлицо владеет сайтом и что к нему применяется: PDPL, DIFC или ADGM.
- Составьте список сервисов, которые получают данные посетителей, со страной хранения.
- Включайте аналитику и рекламные cookies только после согласия и сохраняйте выбор.
- Добавьте под каждой формой строку о цели и отдельную неотмеченную галочку для рекламы.
- Перепишите политику по ст. 13 и укажите контакт для запросов.
- Следите за порталом законодательства: шестимесячный срок пойдёт со дня публикации регламента.
