- يطبّق القانون على متاجر البر الرئيسي ومعظم المناطق الحرة، وعلى المتاجر الأجنبية التي تعالج بيانات أشخاص في الإمارات. شركات مركز دبي المالي العالمي وسوق أبوظبي العالمي تتبع قوانينها الخاصة.
- الموافقة هي الأساس الافتراضي. تنفيذ الطلب والالتزامات القانونية لا تحتاجها، أما التسويق وتتبع الإعلانات فيحتاجانها.
- اللائحة التنفيذية وجدول الغرامات لم يصدرا حتى أواخر 2026. عند صدورهما لديك ستة أشهر للامتثال، فابدأ بالأساسيات الآن.
- أخبر العميل قبل جمع بياناته: ماذا تجمع، ولماذا، ومن يستلمها، وهل تخرج من الإمارات.
- شوبيفاي وKlaviyo وميتا وأنظمة ERP الصينية كلها تنقل البيانات إلى الخارج. غطِّ كل نقل بعقد يحمي البيانات أو بموافقة صريحة من العميل.
كل طلب يعطيك اسمًا ورقم هاتف وعنوان منزل. وفي الإمارات، يحدّد قانون حماية البيانات الشخصية ما يمكنك فعله بهذه المعلومات.
الخبر الجيد؟ القواعد مألوفة إن كنت تعرف اللائحة الأوروبية GDPR، ومعظمها إعداد تقوم به مرة واحدة.
القانون نافذ منذ يناير 2022. أما لائحته التنفيذية وغراماته فلم تصدر بعد، وهذا يمنحك وقتًا للاستعداد وليس إعفاءً.
ستعرف هنا من يشمله القانون، وماذا تكتب في سياسة الخصوصية، وكيف تتعامل مع الكوكيز وموافقات التسويق، مع قائمة تحقق لمتاجر شوبيفاي وسلة وزد. هذا الدليل جزء من أدلة الأنظمة في الإمارات.
هل يطبّق قانون حماية البيانات الإماراتي على متجرك؟
على الأغلب نعم. المادة 2 تشمل أي نشاط يعالج بيانات شخصية لأشخاص في الإمارات، أينما كان مقرّه.
ويدخل في ذلك:
- متاجر البر الرئيسي المرخّصة من دائرة الاقتصاد والسياحة في دبي أو أي إمارة أخرى.
- معظم شركات المناطق الحرة مثل IFZA وميدان وراكز وDMCC.
- المتاجر الأجنبية التي تشحن إلى عملاء في الإمارات من الرياض أو لندن أو شنتشن.
- مزوّدو الخدمة لديك مثل شركات التخزين وتجهيز الطلبات (3PL) وبوابات الدفع وأدوات البريد، بصفتهم معالجين.
بعض المجالات خارج نطاقه: البيانات الحكومية، وبيانات الصحة والبنوك التي لها تشريعات خاصة، والمناطق الحرة التي لديها قانون بيانات خاص. أبرزها مركز دبي المالي العالمي (DIFC) وسوق أبوظبي العالمي (ADGM)، ولهما ملاحظات في آخر الدليل.
لست متأكدًا من المنطقة التابعة لها رخصتك؟ دليلنا المنطقة الحرة أم البر الرئيسي يشرح الخيارات.
أين وصل القانون في أكتوبر 2026؟
القانون نفسه نافذ. أما التفاصيل التي تكمّله فلم تكتمل بعد.
- سبتمبر 2021صدور القانون
صدر المرسوم بقانون 45/2021، ومعه المرسوم بقانون 44/2021 بإنشاء مكتب الإمارات للبيانات.
- 2 يناير 2022بدء النفاذ
تطبّق التزامات الموافقة والإشعار والحقوق والأمن ونقل البيانات.
- مارس 2022موعد اللائحة
كان موعد اللائحة التنفيذية خلال ستة أشهر، لكنها تأخرت.
- أكتوبر 2026ما زالت معلّقة
لم تصدر اللائحة التنفيذية ولا قرار الغرامات.
- اللائحة + 6 أشهرنهاية المهلة
ستة أشهر بعد صدور اللائحة (المادة 29).
مهلة الإبلاغ عن الاختراقات، وقائمة الدول المعتمدة لنقل البيانات، ومبالغ الغرامات ستأتي مع اللائحة.
كل ما عدا ذلك قانون نافذ الآن. المتاجر التي تجهّز الموافقات والسياسات والعقود اليوم لن تحتاج إلى تغيير كبير عند صدور اللائحة.
ما الأسس القانونية التي يستطيع المتجر الاعتماد عليها؟
الموافقة هي الأساس الافتراضي بحسب المادة 4. تحتاجها ما لم تنطبق إحدى الحالات المستثناة.
الاستثناءات المهمة للمتجر هي:
- تنفيذ العقد. استخدام اسم العميل وعنوانه وهاتفه لتوصيل طلبه.
- الالتزامات القانونية. حفظ الفواتير الضريبية والسجلات التي يفرضها القانون الإماراتي.
- المطالبات القانونية. الاحتفاظ ببيانات تحتاجها في نزاع أو استرداد مبلغ.
- البيانات التي نشرها العميل بنفسه.
وعلى عكس GDPR، لا يوجد أساس "المصلحة المشروعة". هذا هو الفرق الأهم للمسوّقين: إعادة الاستهداف وبناء ملفات العملاء والرسائل الترويجية تحتاج كلها إلى موافقة.
تحدّد المادة 6 شروط الموافقة الصحيحة. يجب أن تكون محدّدة وواضحة وصريحة، وأن تأتي بفعل واضح مثل وضع علامة في مربع. ويجب أن تستطيع إثباتها، ويحق للعميل سحبها في أي وقت.
تجنّب المربعات المعلَّمة مسبقًا وأزرار "أوافق على كل شيء". استخدم مربعًا غير معلَّم لكل غرض.
ماذا يجب أن تتضمّن سياسة الخصوصية؟
تنص المادة 13 على أن يعرف العميل، قبل بدء المعالجة، لماذا تستخدم بياناته ومن يستلمها داخل الإمارات أو خارجها. ويحق له طلب تفاصيل أكثر، فاجمع كل شيء في سياسة واحدة.
يجب أن تغطي سياسة خصوصية المتجر:
- من أنت وكيف يتواصل معك العميل بشأن الخصوصية.
- البيانات التي تجمعها: الحساب والطلب والدفع والتوصيل ومحادثات الدعم والكوكيز.
- سبب استخدام كل نوع وأساسه (العقد، الموافقة، الالتزام القانوني).
- من يستلمها: شركات الشحن، وخدمات 3PL، وبوابات الدفع، ومزوّدو "اشترِ الآن وادفع لاحقًا"، وأدوات البريد والإعلانات.
- الدول التي تُنقل إليها البيانات وكيف تحميها هناك.
- مدة الاحتفاظ بالبيانات.
- حقوق العميل وطريقة ممارستها، بما فيها تقديم شكوى.
انشرها بالعربية والإنجليزية، وضع رابطها في أسفل الموقع وفي صفحة الدفع، واكتب تاريخ تحديثها. دليلنا عن قانون التجارة الإلكترونية في الإمارات يغطي الالتزامات الأوسع للبيع عبر الإنترنت.
هل تحتاج المتاجر الإماراتية إلى شريط موافقة على الكوكيز؟
نعم من الناحية العملية. لا يوجد قانون مستقل للكوكيز في البر الرئيسي، لكن بكسلات التتبع وأدوات التحليل تجمع بيانات شخصية مثل معرّفات الأجهزة وسلوك التصفح.
الإعداد المناسب يكون هكذا:
- الكوكيز الضرورية (السلة، تسجيل الدخول، فحص الاحتيال) تعمل مباشرة.
- وسوم التحليلات والإعلانات (Meta Pixel وTikTok Pixel وإعلانات Google) تنتظر الموافقة.
- زرّا القبول والرفض بالحجم والوضوح نفسيهما في الشريط.
- رابط إعدادات الكوكيز في أسفل الموقع ليغيّر الزائر رأيه متى شاء.
فعّل وضع الموافقة في منصتك حتى تبقى الوسوم متوقفة فعلًا إلى أن يوافق الزائر. الشريط الذي يترك البكسلات تعمل لا يثبت شيئًا.
موافقة التسويق: البريد والرسائل النصية وواتساب
أربع مجموعات من القواعد تنظّم التسويق، وكلها تشير في الاتجاه نفسه:
- المادة 17 من قانون حماية البيانات تتيح للعميل الاعتراض على التسويق المباشر وعلى بناء الملفات المرتبط به.
- قانون التجارة الإلكترونية (المرسوم بقانون 14/2023) يمنح المتسوّق حق قبول أو رفض التسويق عبر الاتصال أو البريد أو وسائل التواصل.
- قرار مجلس الوزراء رقم 56 لسنة 2024 يشترط الموافقة قبل التسويق عبر رسائل منصات التواصل.
- سياسة هيئة تنظيم الاتصالات لمكافحة الرسائل المزعجة تعتبر أي رسالة نصية تسويقية دون موافقة رسالة مزعجة.
في الرسائل النصية، يجب أن يبدأ العميل الاشتراك بنفسه، ولا يجوز طلب الموافقة عبر رسالة نصية أو مكالمة. وتتضمّن كل رسالة طريقة مجانية لإلغاء الاشتراك.
ولا تُرسل الرسائل الترويجية بين 9 مساءً و7 صباحًا. ويقتصر إرسالها على الشركات المسجّلة في الإمارات، باسم مرسل يبدأ بـ "AD-".
دليل قواعد التسويق بالرسائل النصية يشرح أسماء المرسلين وساعات الإرسال والتكاليف بالتفصيل.
ما حقوق عملائك؟
يحصل العملاء في الإمارات على حقوق قريبة من GDPR بموجب المواد من 13 إلى 18:
- الاطلاع. ما البيانات التي تحتفظ بها، ولماذا، ومن يستلمها.
- نقل البيانات. نسخة من بياناتهم بصيغة قابلة للقراءة آليًا، إذا كانت المعالجة قائمة على الموافقة أو العقد.
- التصحيح والمحو. مثلًا بعد سحب الموافقة.
- تقييد المعالجة. إيقاف الاستخدام مؤقتًا إلى أن يُحلّ خلاف.
- الاعتراض. على التسويق المباشر وبناء الملفات وبعض القرارات الآلية.
ردّ خلال شهر واحد. ويمكن تمديد الطلبات المعقّدة شهرين إضافيين إذا أبلغت العميل.
مثال: يطلب عميل حذف حسابه. تحذف بيانات التسويق والملف الشخصي، وتحتفظ بالفاتورة الضريبية لأن قانون ضريبة القيمة المضافة يفرض ذلك. ثم تخبره بما احتفظت به وسببه.
ماذا تفعل بعد اختراق البيانات؟
تطلب المادة 9 إبلاغ مكتب الإمارات للبيانات فور علمك بالاختراق، إذا مسّ خصوصية البيانات الشخصية أو سريتها أو أمنها. وتُبلغ العملاء المتأثرين أيضًا إذا كان الاختراق قد يضرّ بهم.
يشمل البلاغ ما حدث، ونوع البيانات وعدد المتأثرين، وما قمت به لمعالجته.
اجعل هدفك الإبلاغ خلال 72 ساعة. هذه هي المهلة في السعودية وفي GDPR، فتكفيك خطة واحدة للثلاثة.
نقل البيانات إلى الخارج: شوبيفاي وKlaviyo وميتا وأنظمة ERP الصينية
معظم المتاجر تنقل بيانات العملاء خارج الإمارات طوال اليوم. شوبيفاي وKlaviyo وميتا وGoogle Analytics وكثير من أنظمة ERP الصينية خوادمها في الخارج.
يسمح القانون بذلك بطريقتين رئيسيتين:
- المادة 22: الدول ذات الحماية الكافية. النقل إلى دول لديها قوانين حماية بيانات كافية، أو تربطها بالإمارات اتفاقية في مجال البيانات. القائمة الرسمية لم تصدر بعد.
- المادة 23: ضمانات أخرى. عند غياب الحماية الكافية، يمكنك الاعتماد على عقد يُلزم المستلم بمستوى حماية القانون الإماراتي، أو موافقة العميل الصريحة، أو نقل لازم لتنفيذ عقد العميل.
إذن ماذا تفعل؟ وقّع اتفاقية معالجة البيانات (DPA) مع كل مزوّد. معظم المنصات الكبيرة توفّرها في لوحة التحكم أو صفحاتها القانونية.
وإذا لم يوفّر مزوّد ما اتفاقية، فاستبدله أو أبعد بيانات العملاء عنه.
هل تحتاج إلى مسؤول حماية بيانات؟
معظم المتاجر الصغيرة والمتوسطة لا تحتاج. تشترط المادة 10 تعيين مسؤول حماية بيانات (DPO) في حالات:
- معالجة عالية المخاطر بتقنيات حديثة أو بكميات كبيرة من البيانات.
- تقييم منهجي للبيانات الحساسة، بما فيه بناء الملفات.
- معالجة البيانات الحساسة على نطاق واسع.
تشمل البيانات الحساسة الصحة والبيانات الحيوية والدين والأصل العرقي. لذلك على الصيدليات ومتاجر المكمّلات والعافية التي تصنّف العملاء حسب احتياجاتهم الصحية أن تتحقّق من هذا جيدًا.
يمكن أن يكون المسؤول موظفًا أو جهة خارجية من أي مكان. وحتى إن لم تحتج إليه، حدّد شخصًا مسؤولًا عن أسئلة الخصوصية.
الغرامات: ما المطبّق اليوم؟
تترك المادة 26 تحديد الغرامات لقرار من مجلس الوزراء. وهذا القرار لم يصدر حتى أواخر أكتوبر 2026.
لكن قوانين إماراتية أخرى مطبّقة الآن:
- قانون الجرائم الإلكترونية الاتحادي يفرض غرامات من 150,000 درهم إلى 5 ملايين درهم على إساءة استخدام البيانات الإلكترونية والرسائل المزعجة.
- قانونا حماية المستهلك والتجارة الإلكترونية يعاقبان على الممارسات المضلّلة وتجاهل طلبات إلغاء التسويق.
- المنصات تطبّق القواعد أيضًا. ميتا وبوابات الدفع ومزوّدو الرسائل يوقفون المرسلين الذين لا يستطيعون إثبات الموافقة.
ابنِ متجرك وفق القانون الآن، ولن يغيّر جدول الغرامات الكثير عليك.
مثال عملي: متجر عناية بالبشرة في دبي على شوبيفاي
لنأخذ علامة عناية بالبشرة مرخّصة في البر الرئيسي بدبي وتبيع في كل الإمارات. وهذه خريطة بياناتها:
| مسار البيانات | الأساس القانوني | ما المطلوب |
|---|---|---|
| من الدفع إلى شركة 3PL والشحن في الإمارات | العقد | اتفاقية DPA مع شركة 3PL، وذكر شركات الشحن في السياسة |
| بيانات متجر شوبيفاي (خوادم في الخارج) | العقد | قبول اتفاقية شوبيفاي وذكر النقل |
| تابي أو تمارا في الدفع | العقد | ذكر مزوّدي "اشترِ الآن وادفع لاحقًا" كمستلمين |
| رسائل البريد والرسائل النصية عبر Klaviyo | الموافقة | مربعات موافقة غير معلَّمة واتفاقية Klaviyo |
| Meta Pixel وإعلانات Google | الموافقة | إيقافها حتى يوافق الزائر في شريط الكوكيز |
| نتائج اختبار نوع البشرة | موافقة صريحة | طلبها منفصلة لأنها قد تكشف بيانات صحية |
| نظام ERP صيني للمخزون والطلبات | العقد + ضمانات | توقيع DPA أو إرسال أرقام الطلبات فقط |
اختبار البشرة هو النقطة التي يغفل عنها كثيرون، لأن حالة البشرة قد تُعدّ بيانات صحية.
كم يستغرق الإعداد؟ بضعة أيام من العمل الإداري، وجلسة واحدة مع محامٍ لمراجعة السياسة.
القانون الإماراتي مقابل نظام حماية البيانات السعودي
تبيع في البلدين؟ القانونان مبنيان على أساس مشترك، لكن السعودية متقدّمة في التطبيق.
| الإمارات | السعودية | |
|---|---|---|
| القانون | المرسوم بقانون اتحادي 45/2021 | المرسوم الملكي م/19 (2021)، المعدّل 2023 |
| التطبيق الكامل | نافذ منذ يناير 2022، واللائحة التنفيذية لم تصدر | منذ 14 سبتمبر 2024 |
| الجهة المختصة | مكتب الإمارات للبيانات | سدايا |
| يشمل المتاجر الأجنبية | ||
| التسويق | حق الاعتراض، وقواعد هيئة تنظيم الاتصالات للرسائل النصية | موافقة مسبقة وإلغاء مجاني (المادة 25) |
| مهلة الإبلاغ عن التسرب | فورًا، واللائحة ستحدد المهلة | 72 ساعة لسدايا |
| الرد على طلبات البيانات | شهر واحد، قابل للتمديد | 30 يومًا |
| أدوات النقل للخارج | قائمة الدول الكافية لم تصدر؛ عقود أو موافقة | البنود التعاقدية القياسية من سدايا |
| الحد الأعلى للغرامة | يحددها قرار لاحق من مجلس الوزراء | 5 ملايين ريال لكل مخالفة، وتتضاعف عند التكرار |
| المناطق الحرة | مركز دبي المالي وسوق أبوظبي العالمي لهما قوانين خاصة | يُطبّق في كل المملكة |
إذا بنيت متجرك وفق القواعد السعودية، فستستوفي معظم القواعد الإماراتية أيضًا. دليلنا عن نظام حماية البيانات الشخصية السعودي يشرح النسخة السعودية.
قائمة تحقق لمتاجر شوبيفاي وسلة وزد
- فعّل شريط الكوكيز المدمج من الإعدادات ← خصوصية العملاء، واجعله يطلب الموافقة من زوار الإمارات.
- تأكّد أن مربعات التسويق بالبريد والرسائل النصية في صفحة الدفع غير معلَّمة افتراضيًا.
- اقبل ملحق معالجة البيانات من شوبيفاي، ثم أضف صفحات خصوصية بالعربية والإنجليزية.
- راجع كل تطبيق يصل إلى بيانات العملاء، واحذف ما لا تستخدمه.
تريد مساعدة في الإعداد؟ فريق تطوير شوبيفاي في دبي يضيف أشرطة الموافقة وصفحات السياسات العربية ومسارات الاشتراك إلى المتاجر الإماراتية.
ملاحظات لشركات مركز دبي المالي العالمي وسوق أبوظبي العالمي
- القانون الاتحادي لا يطبّق عليك. يطبّق عليك قانون مركز دبي لعام 2020 أو أنظمة سوق أبوظبي لعام 2021.
- كلاهما أقرب إلى GDPR، ولدى كل منهما مفوّض يطبّق القواعد ويفرض الغرامات فعلًا.
- توقّع التزامات تسجيل أو إخطار لدى مفوّض منطقتك.
- ما زلت تختار منطقة؟ يستطيع مستشارو تأسيس الشركات في الإمارات المقارنة بينها.
ملاحظات للمتاجر الأجنبية التي تبيع في الإمارات
- إعدادك لـ GDPR يغطي معظم المتطلبات. أضف سياسة عربية واذكر المستلمين الخاصين بالإمارات.
- دون كيان في الإمارات لا يمكنك إرسال رسائل نصية ترويجية هناك، فقدّم عروضك عبر البريد وواتساب بموافقة.
الأسئلة الشائعة
نعم. أرقام الهواتف وسجل المحادثات وتفاصيل التوصيل على واتساب بيانات شخصية. تحديثات الطلبات وردود الدعم تستند إلى العقد، أما الرسائل الترويجية الجماعية فتحتاج إلى موافقة مسجّلة. واذكر ميتا كجهة مستلمة في سياسة الخصوصية لأن المحادثات تمر عبر خوادمها في الخارج.
المصادر وقراءات إضافية
- مرسوم بقانون اتحادي رقم 45 لسنة 2021 بشأن حماية البيانات الشخصية — بوابة التشريعات الإماراتية
- قوانين حماية البيانات — البوابة الرسمية لحكومة الإمارات (u.ae)
- Data protection laws in UAE — DLA Piper
- Electronic marketing in UAE — DLA Piper
- UAE PDPL Executive Regulations: status and how to prepare — ITSEC
- UAE PDPL Executive Regulations: status in 2026 — Business CISO
- مرسوم بقانون اتحادي رقم 14 لسنة 2023 في شأن التجارة عبر وسائل التقنية الحديثة — بوابة التشريعات الإماراتية
- السياسة التنظيمية للاتصالات الإلكترونية غير المرغوب فيها — هيئة تنظيم الاتصالات والحكومة الرقمية (TDRA)
هذا الدليل لأغراض المعلومات العامة فقط ولا يُعد استشارة قانونية أو ضريبية أو مالية. تتغير الأنظمة والرسوم باستمرار — تحقّق دائماً من المصدر الرسمي أو من مستشار مرخّص.
مايا هي المرشدة والمحررة الرئيسية في MiddleEastEcom. تبحث في أسواق الخليج الإلكترونية والمدفوعات والأنظمة وتحوّلها إلى خطط عملية للبائعين.
تعرّف على مايا
