قانون حماية البيانات الشخصية، والنظامان القائمان إلى جانبه

أكثر ما يُسأل عنه في حماية البيانات بالإمارات هو في حقيقته سؤال عن أيّ قانون ينطبق. فهناك ثلاثة أنظمة، وهي لا تتداخل كما يُظنّ.

ثلاثة قوانين، وثلاثة نطاقات

المرسوم بقانون اتحادي رقم 45 لسنة 2021 بشأن حماية البيانات الشخصية هو النظام الاتحادي. ولكلٍّ من المنطقتين الحرّتين الماليّتين تشريعها الخاص — أحدهما قانون صدر سنة 2020، والآخر لوائح صدرت سنة 2021 — ويحكم كلٌّ منهما المنشآت المؤسَّسة داخله. فالشركة المسجَّلة في منطقة حرّة ليست خاضعة للقانون الاتحادي لمجرّد وجودها في الإمارات؛ بل تخضع لتشريع المنطقة، وتُسائَل أمام مفوّض حماية البيانات فيها.

والأثر العملي أنّ مجموعةً لديها منشأة داخلية وأخرى في منطقة حرّة تواجه نطاقَي امتثال، وواجبَي إخطار، ومشرفَين — وسياسة موحَّدة على مستوى المجموعة مكتوبة لأحدهما تظلّ ناقصة بالنسبة للآخر.

ما هو مشترك بين الثلاثة

أيّاً كان المنطبق، تتكرّر الالتزامات نفسها في هيكلها: أساس مشروع للمعالجة، وسجلّ بما تحتفظ به ولماذا، وشفافية تجاه الشخص المعنيّ، وقيود على نقل البيانات خارج الدولة، وأمن متناسب مع المخاطر، وواجب إخطار عند وقوع خلل. تختلف الحدود والمواعيد. ولا يختلف الشكل.

أين ما يزال التفصيل متحرّكاً

يُحيل القانون الاتحادي إلى لائحة تنفيذية، والتفصيل التشغيلي — آليّات النقل عبر الحدود، والجدول الدقيق للإخطار عن الاختراق — متوقّف عليها. وكلّ ما تقرأه جازماً في هذه التفاصيل، ولا سيّما ما كُتب قبل صدورها، ينبغي مراجعته على النصّ النافذ قبل التعويل عليه.

خطوة أولى معقولة

• دوِّن، منشأةً منشأةً، أيّ الأنظمة الثلاثة ينطبق. ولا تفعل ذلك على مستوى المجموعة.
• ابنِ سجلّ أنشطة المعالجة. فهو أوّل ما تطلبه الجهة الرقابية، وأطول ما يستغرق إعادة بنائه لاحقاً.
• حدِّد كلّ موضع تخرج فيه بيانات شخصية من الدولة، بما في ذلك داخل أدواتك أنت.

اقرأ النصوص نفسها على منصّة التشريعات، وفي قاعدة البيانات القانونية الخاصّة بكل منطقة حرّة. فهي عامّة، وأقصر ممّا كُتب عنها.