La ley de protección de datos personales de los Emiratos y el sitio web de su empresa

Un formulario de contacto, una solicitud de presupuesto, una reserva de cita, una suscripción al boletín. Cada uno recoge un nombre, un teléfono y una dirección de correo, y todos son datos personales protegidos por la ley en los Emiratos Árabes Unidos.

La ley en cuestión es el Decreto-ley federal n.º (45) de 2021 sobre la protección de datos personales. Se promulgó el 20 de septiembre de 2021 y entró en vigor el 2 de enero de 2022. Contiene obligaciones que recaen en su propia empresa, no solo en el desarrollador o en la empresa de alojamiento. Aquí explicamos qué significa eso para el sitio web de una empresa y cuándo se aplican normas distintas si su empresa tiene licencia en el Centro Financiero Internacional de Dubái (DIFC) o en el Mercado Global de Abu Dabi (ADGM).

El artículo es informativo y no constituye asesoramiento jurídico. En casos concretos consulte a un abogado y acuda al texto oficial en el portal de legislación de los Emiratos (en árabe).

A quién se aplica la ley

Según el artículo 2, la ley se aplica al tratamiento de datos personales de toda persona que resida o tenga su lugar de trabajo en el país, a todo responsable o encargado del tratamiento situado en el país aunque trate datos de personas que están fuera de él, y al responsable o encargado situado fuera del país si trata datos de personas que están dentro.

En el lenguaje de la ley, el responsable del tratamiento es quien decide cómo se tratan los datos y con qué finalidad, es decir, su empresa. El encargado es quien los trata en su nombre y según sus instrucciones: la empresa de alojamiento, la agencia que gestiona el sitio, la herramienta de boletines, el sistema de reservas.

La ley excluye varias categorías. Las más importantes para una empresa son:

• los datos de salud que cuentan con legislación propia que regula su protección y tratamiento,
• los datos bancarios y crediticios que cuentan con legislación propia,
• las empresas y entidades de zonas francas con legislación propia sobre protección de datos personales, sobre todo DIFC y ADGM.

La autoridad responsable de aplicar la ley es la Oficina de Datos de los Emiratos, creada por el Decreto-ley federal n.º (44) de 2021.

Qué recoge realmente su sitio

La definición de la ley es amplia: datos personales son cualquier dato relativo a una persona física identificada, o que pueda identificarse directa o indirectamente. Entre los ejemplos que cita están el nombre, la voz, la imagen, el número de identificación, el identificador electrónico y la ubicación geográfica.

En el sitio de una empresa normal, estos datos aparecen en muchos lugares:

• los formularios de contacto, de solicitud de presupuesto y de reserva de citas,
• las cuentas de cliente y los pedidos de la tienda en línea,
• los formularios de empleo que reciben currículos,
• la suscripción al boletín,
• las herramientas de analítica y publicidad, porque se basan en identificadores electrónicos del visitante.

Empiece con una lista sencilla: cada formulario y cada herramienta del sitio, qué datos recoge, adónde van (un buzón, un CRM o una hoja de cálculo), quién puede leerlos y cuánto tiempo se guardan. Esa lista es la base del registro que exige el artículo 7, que incluye las categorías de datos, quién tiene derecho a acceder a ellos, la finalidad del tratamiento, cualquier transferencia fuera del país y las medidas de seguridad de la información. El responsable lo entrega a la Oficina cuando se le solicita.

Consentimiento e información antes de pulsar «Enviar»

La regla del artículo 4 es que el tratamiento de datos personales sin el consentimiento de su titular está prohibido, con excepciones concretas. Entre las que importan a los sitios web están que el tratamiento sea necesario para ejecutar un contrato en el que el titular sea parte, para tomar medidas a petición suya con vistas a celebrar un contrato, o para cumplir una obligación que otra ley impone a su empresa. Responder a una solicitud de presupuesto es una cosa, y añadir a esa misma persona a su lista de marketing es otra.

Cuando se basa en el consentimiento, el artículo 6 exige que sea claro, sencillo, inequívoco y fácil de encontrar, que usted pueda demostrarlo y que incluya el derecho del titular a retirarlo de forma sencilla. El artículo 13 le obliga a informarle, antes de empezar el tratamiento, de sus finalidades, de las entidades con las que se compartirán sus datos dentro y fuera del país, y de las medidas de protección si se transfieren al exterior.

En la práctica, eso significa:

1. Un enlace visible a la política de privacidad junto a cada formulario, y en los dos idiomas si su sitio está en árabe y en inglés.
2. Una casilla aparte y sin marcar de antemano para aceptar los mensajes comerciales.
3. Guardar la fecha y la hora del consentimiento y el texto de lo que la persona aceptó.
4. Un enlace de baja que funcione en cada mensaje comercial, porque el artículo 17 da al titular el derecho a oponerse al marketing directo.
5. Una dirección de correo o un formulario claro que reciba las solicitudes de los titulares, como pide el artículo 19.

Seguridad de los datos: la parte que afecta directamente al sitio

El artículo 20 exige al responsable y al encargado medidas técnicas y organizativas adecuadas al riesgo, conforme a las mejores normas y prácticas internacionales. Entre ellas cita el cifrado de los datos personales, garantizar la confidencialidad e integridad de los sistemas de tratamiento, recuperar los datos a tiempo tras cualquier avería y probar la eficacia de esas medidas.

La ley no menciona por su nombre los plugins de WordPress ni los certificados SSL, pero en el sitio de una empresa se traduce así:

• cada página con un formulario funciona con HTTPS y un certificado vigente, y puede comprobarlo con la herramienta gratuita comprobación de certificado SSL (en inglés),
• el CMS, el tema y los plugins están actualizados, y los plugins abandonados se han eliminado (vea el artículo sobre plugins de WordPress desactualizados),
• el acceso al panel de administración y al panel del alojamiento usa verificación en dos pasos,
• las copias de seguridad se guardan fuera de la carpeta pública del sitio y se ha probado de verdad a restaurarlas,
• los mensajes de los formularios no se quedan para siempre, porque el artículo 5 no permite conservar los datos una vez cumplida la finalidad del tratamiento salvo que se anonimice a su titular.

El artículo 7 también le obliga a elegir un encargado que ofrezca garantías suficientes de aplicar las medidas técnicas y organizativas exigidas. Pregunte por ello por escrito a la empresa de alojamiento y a la agencia, y pida que conste en el contrato.

Si se produce una brecha

El artículo 9 obliga al responsable, en cuanto tenga conocimiento de cualquier brecha o violación de datos personales que pueda afectar a su privacidad, confidencialidad y seguridad, a notificarlo a la Oficina de Datos de los Emiratos en el plazo y según el procedimiento que fije el reglamento de ejecución. La notificación incluye la descripción de la naturaleza de la brecha, sus causas y su alcance aproximado, los datos del responsable de protección de datos, los efectos probables y las medidas adoptadas para hacerle frente. También hay que informar a los titulares si la brecha afecta a la privacidad, confidencialidad y seguridad de sus datos. Si el encargado, como la agencia o la empresa de alojamiento, conoce la brecha antes, debe avisarle a usted en cuanto lo sepa.

Tenga en cuenta que la propia ley no fija un número de horas para notificar, como hace el Reglamento General de Protección de Datos europeo (72 horas), sino que remite el plazo al reglamento de ejecución. Lo mismo ocurre con las sanciones administrativas, que según el artículo 26 se establecen por resolución del Consejo de Ministros. El artículo 29 concede un plazo de adaptación de no más de seis meses desde la publicación del reglamento de ejecución, que el Consejo de Ministros puede prorrogar por otro periodo igual. Estos detalles cambian, así que compruebe su estado en el portal de legislación antes de basar una decisión en ellos.

No espere al reglamento para prepararse. Decida quién de su empresa se encarga de la notificación, dónde se guardan los registros del servidor y a quién llamar en la agencia y en la empresa de alojamiento.

DIFC y ADGM: dos regímenes independientes

Si su empresa tiene licencia en el Centro Financiero Internacional de Dubái o en el Mercado Global de Abu Dabi, cada uno tiene su propia legislación de protección de datos y su propia autoridad de control.

En DIFC se aplica la Ley de Protección de Datos n.º 5 de 2020 a las empresas registradas en el centro, se haga donde se haga el tratamiento, y a quien trate datos dentro del centro. La supervisa el Comisionado de Protección de Datos (Commissioner of Data Protection). El responsable debe notificar al Comisionado sus operaciones de tratamiento y renovarlo cada año con el pago de una tasa. En caso de brecha, se notifica al Comisionado «tan pronto como sea razonablemente posible según las circunstancias», sin un plazo fijo en horas, y a las personas si el riesgo para ellas es alto. Desde las modificaciones de julio de 2025, los titulares de los datos pueden reclamar una indemnización directamente ante los tribunales de DIFC.

En ADGM se aplica el Reglamento de Protección de Datos de 2021, supervisado por la Oficina de Protección de Datos (Office of Data Protection). Toda entidad registrada en el mercado que trate datos personales debe inscribirse como responsable del tratamiento. Las brechas deben notificarse a la Oficina sin demora injustificada y, cuando sea posible, en las 72 horas siguientes a conocerlas.

Si su empresa está en el territorio continental o en otra zona franca, pregunte a la autoridad que emitió su licencia si la zona tiene legislación propia sobre protección de datos. Si no la tiene, la referencia es la ley federal.