La loi des Émirats arabes unis sur la protection des données personnelles et le site de votre entreprise

Un formulaire « Contactez-nous », une demande de devis, une prise de rendez-vous, une inscription à la lettre d'information. Chacun collecte un nom, un numéro de téléphone et une adresse e-mail, et tout cela constitue des données personnelles protégées par la loi aux Émirats arabes unis.

La loi en question est le décret-loi fédéral n° (45) de 2021 relatif à la protection des données personnelles. Il a été promulgué le 20 septembre 2021 et est entré en vigueur le 2 janvier 2022. Ses obligations pèsent sur votre entreprise elle-même, pas seulement sur le développeur ou l'hébergeur. Cet article explique ce que cela signifie pour le site d'une entreprise, et quelles règles différentes s'appliquent si votre entreprise est autorisée dans le Dubai International Financial Centre (DIFC) ou l'Abu Dhabi Global Market (ADGM).

Il est donné à titre d'information et ne constitue pas un conseil juridique. Pour les cas particuliers, interrogez un avocat, et reportez-vous au texte officiel sur le portail de la législation des Émirats (en arabe).

À qui la loi s'applique

Selon l'article 2, la loi s'applique au traitement des données personnelles de toute personne qui réside ou a un établissement aux Émirats, à tout responsable du traitement ou sous-traitant situé aux Émirats même s'il traite les données de personnes qui se trouvent à l'extérieur, et à tout responsable du traitement ou sous-traitant situé hors des Émirats qui traite les données de personnes qui s'y trouvent.

Dans le vocabulaire de la loi, le responsable du traitement est celui qui décide comment et pourquoi les données sont traitées, donc votre entreprise. Le sous-traitant est celui qui les traite pour votre compte et selon vos instructions : l'hébergeur, l'agence qui gère le site, l'outil de lettre d'information, le système de réservation.

La loi exclut plusieurs catégories. Les plus pertinentes pour un chef d'entreprise :

• les données de santé qui font l'objet d'une législation propre régissant leur protection et leur traitement,
• les données bancaires et de crédit qui font l'objet d'une législation propre,
• les sociétés et établissements des zones franches qui ont leur propre législation sur la protection des données personnelles, au premier rang desquels le DIFC et l'ADGM.

L'autorité chargée de la loi est le Bureau des données des Émirats arabes unis (UAE Data Office), créé par le décret-loi fédéral n° (44) de 2021.

Ce que collecte réellement votre site

La définition de la loi est large : une donnée personnelle est toute donnée relative à une personne physique identifiée, ou qui peut être identifiée directement ou indirectement. Ses exemples comprennent le nom, la voix, l'image, le numéro d'identité, l'identifiant électronique et la localisation géographique.

Sur un site d'entreprise ordinaire, ces données apparaissent à de nombreux endroits :

• formulaires de contact, de demande de devis et de prise de rendez-vous,
• comptes clients et commandes d'une boutique en ligne,
• formulaires de candidature qui reçoivent des CV,
• inscription à la lettre d'information,
• outils de mesure d'audience et de publicité, car ils reposent sur des identifiants électroniques du visiteur.

Commencez par une liste simple : chaque formulaire et chaque outil du site, les données qu'il collecte, où elles vont (une boîte de messagerie, un CRM, un tableur), qui peut les lire et combien de temps elles sont conservées. Cette liste est la base du registre exigé par l'article 7, qui porte sur les catégories de données, les personnes habilitées à y accéder, la finalité du traitement, tout transfert hors des Émirats et les mesures de sécurité de l'information. Le responsable du traitement le fournit au Bureau des données sur demande.

Consentement et information avant que le visiteur clique sur « Envoyer »

Le point de départ de l'article 4 est que le traitement de données personnelles sans le consentement de la personne concernée est interdit, sauf exceptions précises. Parmi les exceptions qui comptent pour les sites : le traitement nécessaire à l'exécution d'un contrat auquel la personne est partie, à la prise de mesures à sa demande en vue de conclure un contrat, ou au respect d'une obligation que la loi impose à votre entreprise. Répondre à une demande de devis est une chose. Ajouter la même personne à votre liste de prospection en est une autre.

Lorsque vous vous appuyez sur le consentement, l'article 6 exige qu'il soit clair, simple, non équivoque et facilement accessible, que vous puissiez le prouver, et qu'il comprenne le droit de la personne de le retirer facilement. L'article 13 exige de l'informer, avant le début du traitement, de ses finalités, des parties à l'intérieur et à l'extérieur des Émirats avec lesquelles ses données seront partagées, et des mesures de protection en cas de transfert à l'étranger.

En pratique, cela donne :

1. Un lien clair vers la politique de confidentialité à côté de chaque formulaire, dans les deux langues si votre site est en arabe et en anglais.
2. Une case à cocher distincte pour le consentement aux messages marketing, non cochée par défaut.
3. La conservation de la date et de l'heure du consentement et du texte auquel la personne a adhéré.
4. Un lien de désinscription qui fonctionne dans chaque message marketing, car l'article 17 donne à la personne concernée le droit de s'opposer à la prospection directe.
5. Une adresse e-mail ou un formulaire clair qui reçoit les demandes des personnes concernées, comme l'exige l'article 19.

Sécurité des données : la partie qui concerne directement le site

L'article 20 exige du responsable du traitement et du sous-traitant qu'ils mettent en place des mesures techniques et organisationnelles adaptées au risque, conformément aux meilleures normes et pratiques internationales. Il cite parmi elles le chiffrement des données personnelles, la garantie de la confidentialité et de l'intégrité des systèmes de traitement, la restauration des données dans un délai raisonnable après toute défaillance et l'évaluation de l'efficacité de ces mesures.

La loi ne nomme ni les extensions WordPress ni les certificats SSL, mais voici ce que cela donne concrètement sur le site d'une entreprise :

• chaque page contenant un formulaire fonctionne en HTTPS avec un certificat valide, ce que vous pouvez vérifier avec le contrôle gratuit de certificat SSL (en anglais),
• le cœur de WordPress, le thème et les extensions sont à jour, et les extensions abandonnées sont supprimées (voir extensions WordPress obsolètes),
• la connexion à l'administration du site et au panneau de l'hébergeur utilise la validation en deux étapes,
• les sauvegardes sont stockées hors du dossier public du site, et leur restauration a réellement été testée,
• les messages des formulaires ne sont pas conservés indéfiniment, car l'article 5 n'autorise pas à garder des données une fois la finalité du traitement atteinte, sauf si l'identité de la personne concernée en a été retirée.

L'article 7 exige aussi de désigner un sous-traitant qui offre des garanties suffisantes quant à la mise en œuvre des mesures techniques et organisationnelles requises. Interrogez par écrit votre hébergeur et votre agence à ce sujet, et faites-le figurer au contrat.

En cas de violation

L'article 9 exige du responsable du traitement, dès qu'il a connaissance d'une violation ou d'une atteinte aux données personnelles susceptible de compromettre leur vie privée, leur confidentialité et leur sécurité, qu'il la notifie au Bureau des données des Émirats dans le délai et selon les procédures fixés par le règlement d'application. La notification comprend la description de la nature de la violation, de ses causes et de son ampleur approximative, les coordonnées du délégué à la protection des données, les effets probables et les mesures prises pour y faire face. Les personnes concernées doivent aussi être informées si la violation touche la vie privée, la confidentialité et la sécurité de leurs données. Si un sous-traitant, comme votre agence ou votre hébergeur, l'apprend en premier, il doit vous en informer dès qu'il en a connaissance.

Notez que la loi elle-même ne fixe pas de nombre d'heures pour la notification, contrairement au règlement général sur la protection des données de l'Union européenne (72 heures). Elle laisse le délai au règlement d'application. Il en va de même pour les sanctions administratives, qui sont prononcées par une décision du Conseil des ministres en vertu de l'article 26. L'article 29 accorde pour se mettre en conformité un délai d'au plus six mois à compter de la publication du règlement d'application, que le Conseil des ministres peut prolonger de la même durée. Ces détails évoluent, vérifiez donc leur état sur le portail de la législation avant de fonder une décision dessus.

Vous n'avez pas besoin d'attendre le règlement pour vous préparer. Décidez qui, dans votre entreprise, gère la notification, où sont conservés les journaux du serveur et qui appeler chez votre agence et chez votre hébergeur.

DIFC et ADGM : deux régimes distincts

Si votre entreprise est autorisée dans le Dubai International Financial Centre ou l'Abu Dhabi Global Market, chacun a sa propre législation sur la protection des données et sa propre autorité de contrôle.

Au DIFC, la loi n° 5 de 2020 sur la protection des données s'applique aux sociétés enregistrées dans le Centre quel que soit le lieu du traitement, et à toute personne qui traite des données à l'intérieur du Centre. Elle est supervisée par le Commissaire à la protection des données. Un responsable du traitement doit notifier ses opérations de traitement au Commissaire et renouveler cette notification chaque année, moyennant des frais. En cas de violation, le Commissaire est informé « dès que possible dans les circonstances », sans délai en heures, et les personnes sont informées si le risque pour elles est élevé. Depuis les modifications de juillet 2025, les personnes concernées peuvent demander réparation directement devant les tribunaux du DIFC.

À l'ADGM, les Data Protection Regulations 2021 s'appliquent, sous la supervision du Bureau de la protection des données. Toute entité enregistrée à l'ADGM qui traite des données personnelles doit s'enregistrer comme responsable du traitement. Une violation doit être notifiée au Bureau sans retard injustifié et, lorsque c'est possible, dans les 72 heures suivant sa découverte.

Si votre entreprise est sur le territoire continental ou dans une autre zone franche, demandez à l'autorité qui a délivré votre licence si la zone a sa propre législation sur la protection des données. Si ce n'est pas le cas, la loi fédérale s'applique.