Коротко для владельца бизнеса
Писать клиентам в WhatsApp с рекламой в ОАЭ можно. Но только тем, кто согласился, с одобренных местных номеров, днём и никогда на номера из реестра Do Not Call. Так выглядят рабочие правила на октябрь 2026 года.
Действуют две разные линии законодательства. Первая — федеральный закон о персональных данных PDPL: согласие, цель обработки, минимум собираемых данных, право отказаться от маркетинга. Вторая — режим телемаркетинга по Cabinet Resolutions 56 и 57 от 2024 года. В нём конкретные требования и штрафы, которые применяют уже сейчас. Основной риск для бизнеса сидит во второй линии.
Оговорка про источники. Официальный текст резолюций о телемаркетинге мы для этого гайда не получили. Правила и суммы штрафов ниже взяты из обзоров Wiro и Zian. Это хороший ориентир, но перед договором или спором сверьте цифры с текстом резолюции.
PDPL: закон есть, деталей нет
Закон о защите персональных данных, Federal Decree-Law 45 от 2021 года, действует со 2 января 2022 года. Главное основание для обработки данных — согласие человека. Статья 17 даёт право возразить против прямого маркетинга: человек сказал «не пишите мне», и вы больше не пишете.
Чего у закона до сих пор нет, так это исполнительного регламента. На 12 октября 2026 года его не опубликовали, таблицы штрафов по PDPL тоже нет. Шесть месяцев на приведение дел в порядок закон отсчитывает от выхода регламента, а не от 2022 года.
Отсюда частая фраза «штрафов по PDPL пока нет». Про PDPL это правда. Но рассылки в WhatsApp без правил не остались: штрафы за телемаркетинг ниже уже действуют.
Кто теперь регулятор
14 июня 2026 года в ОАЭ создали Federal Authority for AI and Data. Туда влились UAE Data Office и цифровое направление TDRA. Регламент PDPL, скорее всего, выпустит именно это ведомство.
DIFC и ADGM — отдельно
Если компания зарегистрирована в DIFC или ADGM, она подчиняется законам о данных этих фризон. По оценке SOVA и Business Dubai, они строже, чем на mainland. С cookies та же картина: отдельного закона о cookies для mainland мы не нашли, там действуют общие принципы PDPL. В DIFC (Law 5/2020) и ADGM (Data Protection Regulations 2021) требования жёстче.
Правила телемаркетинга уже касаются WhatsApp
По данным Zian и Wiro, Cabinet Resolution 56/2024 о телемаркетинге распространяется на маркетинговые сообщения в мессенджерах. Под него попадают рассылки в WhatsApp и холодные сообщения лидам. Что требуется:
- Одобрение на ведение телемаркетинга.
- Местные номера, с которых уходят сообщения.
- Согласие (opt-in): человек заранее разрешил присылать ему рекламу.
- Реестр Do Not Call (DNCR): номера из него трогать нельзя.
- Часы: маркетинговые сообщения уходят с 9:00 до 18:00.
Для SMS в тех же обзорах перечислено другое: согласие, работающая отписка, тишина с 21:00 до 7:00 и имя отправителя с префиксом AD-. Окно 9:00–18:00 для звонков и мессенджеров и ночная тишина для SMS — два разных правила. Если работаете в обоих каналах, ориентируйтесь на более узкое окно.
Таблица штрафов
Cabinet Resolution 57/2024 вводит штрафы, которые растут с каждым повтором. Три цифры в строке — первое, второе и третье нарушение, по данным Wiro и Zian.
| Нарушение | 1-е | 2-е | 3-е |
|---|---|---|---|
| Телемаркетинг без одобрения | AED 75 000 | AED 100 000 | AED 150 000 |
| Номера из DNCR, торговля персональными данными | AED 50 000 | AED 75 000 | AED 150 000 |
| Отправка вне разрешённых часов | AED 10 000 | AED 25 000 | AED 50 000 |
Одно сообщение в 20:30 на номер из купленной базы задевает сразу две строки: и время, и контакт, которым вы не имели права пользоваться.
О чём молчат: личная SIM-карта менеджера
Самая частая схема в Дубае — менеджер рассылает предложения со своего телефона. В резолюции 56 на это есть отдельные пункты. Статья 3(2) запрещает физлицу заниматься телемаркетингом от своего имени с номера, оформленного на него, а статья 4(13) запрещает компании пользоваться номерами, которые «не зарегистрированы на компанию и ей не принадлежат», — так текст цитирует Zian. По таблице 2 резолюции 57 физлицо за первое нарушение платит AED 5 000, и до оплаты отключают все номера на его имя. Переведите рассылки на бизнес-номер, оформленный на торговую лицензию: это дешевле одного штрафа.
Как настроить WhatsApp без лишнего риска
Большой комплаенс-проект для этого не нужен. Нужны четыре привычки.
- Берите согласие там, где появляется номер. Галочка в форме на сайте, строка в форме бронирования, ответ «да» в чате. Храните дату и формулировку, на которую человек согласился.
- Ведите стоп-лист. Кто написал «стоп» или возразил по статье 17 PDPL, попадает в него и больше рассылок не получает. Перед рассылкой проверяйте новые номера по DNCR.
- Ставьте отправку в окно. Рассылки и автоматические цепочки — с 9:00 до 18:00 по времени ОАЭ.
- Не покупайте базы. Купленные и спарсенные номера не проходят проверку согласия и попадают в строку «торговля данными».
Входящие чаты — другая ситуация
Почти все правила выше описывают сообщения, которые начинает бизнес. Когда клиент пишет первым — из рекламы, по QR-коду на столе, с кнопки на сайте, — вы отвечаете на его запрос. Отдельного режима для такого случая проверенные нами источники не описывают, и придумывать его мы не будем. Две вещи верны в любом случае: данные из переписки подпадают под PDPL, а чтобы потом слать этому человеку акции, нужно его согласие на маркетинг.
Вывод для бизнеса: самый дешёвый законный рост в WhatsApp — сделать так, чтобы клиенты писали вам сами, и отвечать им быстро.
Что записывать, когда человек дал согласие
Согласие помогает, только если вы можете его потом показать. Скриншот формы — слабое доказательство, запись в CRM — сильнее. По каждому контакту храните:
- Дату и канал, где человек согласился: форма на сайте, страница бронирования, чат.
- Точную формулировку, которую он видел, например «Присылайте мне акции и новости в WhatsApp». Расплывчатое «Я согласен с условиями» про маркетинг ничего не говорит.
- На что именно он согласился. Подтверждение брони и рекламные рассылки по PDPL — разные цели. Спрашивайте согласие на маркетинг отдельной галочкой, чтобы клиент мог забронировать стол и не подписываться на акции.
- Отказ, если он был. Человек написал «стоп» — запишите дату и уберите его из всех списков, включая те, что ведёт за вас агентство или платформа рассылок.
Этого достаточно, чтобы на вопрос регулятора или клиента «откуда у вас мой номер» ответить одной строкой из базы.
Откуда берутся законные лиды в WhatsApp
Надёжнее всего контакты, которые сами начали переписку. Реклама Meta с кнопкой «Написать в WhatsApp», кнопка на сайте, QR-код в меню или на витрине, ссылка в шапке Instagram — во всех этих случаях первое сообщение отправляет клиент. Вы отвечаете, а если в этой же переписке попросите согласие на рассылки, у вас останется чистая запись: когда и как вы его получили.
Холодные рассылки по купленным или собранным в интернете номерам дают обратную картину. Согласия нет, номер может стоять в DNCR, а сама база попадает под строку «торговля данными» в таблице штрафов.
Данные детей с 2026 года
Federal Decree-Law 26/2025 о цифровой безопасности детей действует с 1 января 2026 года, переходный период — до января 2027-го. Для детей младше 13 лет нужно согласие родителей. Если ваши клиенты — семьи (детские клубы, школы, магазины игрушек), проверьте, как формы и чат-сценарии обрабатывают возраст. Источник здесь вторичный, детали сверьте с текстом декрета.
За чем следить дальше
- Регламент PDPL. С его выходом начнутся шесть месяцев на подготовку и появится таблица штрафов по PDPL.
- Разъяснения Federal Authority for AI and Data — скорее всего, именно оно объяснит, как фиксировать согласие для мессенджеров.
- Официальный текст CR 56 и 57 от 2024 года. Если делаете большие исходящие рассылки, пусть юрист прочитает сами резолюции, а не пересказы, включая наш.
Если в кампаниях участвуют блогеры, прочитайте гайд о разрешении рекламодателя в ОАЭ. Ресторанам перед акциями пригодится разбор того, что заведению нельзя рекламировать.
