Ustawa o ochronie danych osobowych w ZEA a strona Twojej firmy

Formularz „Kontakt”, zapytanie ofertowe, rezerwacja wizyty, zapis do newslettera. Każdy z nich zbiera imię i nazwisko, numer telefonu i adres e-mail, a wszystko to są dane osobowe chronione prawem w Zjednoczonych Emiratach Arabskich.

Chodzi o federalny dekret z mocą ustawy nr (45) z 2021 r. o ochronie danych osobowych. Wydano go 20 września 2021 r., a w życie wszedł 2 stycznia 2022 r. Jego obowiązki spoczywają na samej Twojej firmie, nie tylko na programiście czy firmie hostingowej. Wyjaśniam tu, co to oznacza dla strony firmowej i kiedy obowiązują inne zasady, jeśli Twoja firma ma licencję w Dubajskim Międzynarodowym Centrum Finansowym (DIFC) albo w Abu Dhabi Global Market (ADGM).

Artykuł ma charakter informacyjny i nie jest poradą prawną. W konkretnej sprawie zapytaj prawnika i sięgnij do oficjalnego tekstu na portalu prawa ZEA (po arabsku).

Kogo dotyczy ustawa

Zgodnie z art. 2 ustawa obejmuje przetwarzanie danych osobowych każdego, kto mieszka w ZEA albo ma tam miejsce prowadzenia działalności, każdego administratora lub podmiot przetwarzający z siedzibą w ZEA, nawet jeśli przetwarza dane osób spoza kraju, a także administratora lub podmiot przetwarzający spoza ZEA, który przetwarza dane osób w kraju.

W języku ustawy administrator to ten, kto decyduje, jak i w jakim celu dane są przetwarzane, czyli Twoja firma. Podmiot przetwarzający przetwarza je w Twoim imieniu i według Twoich poleceń: firma hostingowa, agencja, która prowadzi stronę, narzędzie do newslettera, system rezerwacji.

Ustawa wyłącza kilka kategorii. Dla właścicieli firm najważniejsze są:

• dane o zdrowiu, dla których istnieją osobne przepisy o ich ochronie i przetwarzaniu,
• dane bankowe i kredytowe, które mają własne przepisy,
• firmy i instytucje w strefach wolnocłowych, które mają własne przepisy o ochronie danych osobowych, przede wszystkim DIFC i ADGM.

Za stosowanie ustawy odpowiada UAE Data Office (Biuro Danych ZEA), utworzone federalnym dekretem z mocą ustawy nr (44) z 2021 r.

Co Twoja strona naprawdę zbiera

Definicja w ustawie jest szeroka: dane osobowe to wszelkie dane dotyczące zidentyfikowanej osoby fizycznej albo takiej, którą można zidentyfikować bezpośrednio lub pośrednio. Wśród przykładów ustawa wymienia imię i nazwisko, głos, wizerunek, numer dowodu tożsamości, identyfikator elektroniczny i położenie geograficzne.

Na zwykłej stronie firmowej te dane pojawiają się w wielu miejscach:

• w formularzach kontaktowych, zapytaniach ofertowych i rezerwacjach wizyt,
• w kontach klientów i zamówieniach w sklepie internetowym,
• w formularzach rekrutacyjnych, które przyjmują CV,
• w zapisie do newslettera,
• w narzędziach analitycznych i reklamowych, bo opierają się na elektronicznych identyfikatorach odwiedzającego.

Zacznij od prostej listy: każdy formularz i każde narzędzie na stronie, jakie dane zbiera, dokąd one trafiają (skrzynka pocztowa, CRM, arkusz kalkulacyjny), kto może je czytać i jak długo są przechowywane. Ta lista to podstawa rejestru, którego wymaga art. 7. Rejestr obejmuje kategorie danych, osoby uprawnione do dostępu, cel przetwarzania, każde przekazanie danych poza ZEA oraz środki bezpieczeństwa informacji. Administrator przekazuje go Biuru na żądanie.

Zgoda i informacja, zanim ktoś kliknie „Wyślij”

Zasada z art. 4 jest taka, że przetwarzanie danych osobowych bez zgody osoby, której dotyczą, jest zakazane, z określonymi wyjątkami. Wśród wyjątków ważnych dla stron internetowych jest przetwarzanie niezbędne do wykonania umowy, której ta osoba jest stroną, do podjęcia na jej żądanie działań przed zawarciem umowy albo do wykonania obowiązku, który na Twoją firmę nakłada inna ustawa. Odpowiedź na zapytanie ofertowe to jedno. Dopisanie tej samej osoby do listy marketingowej to coś innego.

Gdy opierasz się na zgodzie, art. 6 wymaga, żeby była jasna, prosta, jednoznaczna i łatwo dostępna, żebyś mógł ją udowodnić i żeby obejmowała prawo osoby do łatwego jej wycofania. Art. 13 zobowiązuje Cię, żeby przed rozpoczęciem przetwarzania poinformować ją o jego celach, o podmiotach w ZEA i za granicą, którym jej dane zostaną udostępnione, oraz o środkach ochrony, jeśli dane trafią za granicę.

W praktyce oznacza to:

1. Widoczny link do polityki prywatności przy każdym formularzu, w obu językach, jeśli strona jest po arabsku i po angielsku.
2. Osobne, niezaznaczone domyślnie pole zgody na wiadomości marketingowe.
3. Zapisywanie daty i godziny zgody oraz treści, na którą osoba się zgodziła.
4. Działający link do wypisania się w każdej wiadomości marketingowej, bo art. 17 daje osobie prawo sprzeciwu wobec marketingu bezpośredniego.
5. Adres e-mail albo czytelny formularz, przez który przyjmujesz wnioski osób, których dane dotyczą, jak wymaga art. 19.

Bezpieczeństwo danych: część, która dotyczy bezpośrednio strony

Art. 20 wymaga od administratora i podmiotu przetwarzającego środków technicznych i organizacyjnych odpowiednich do ryzyka, zgodnych z najlepszymi międzynarodowymi standardami i praktykami. Wymienia wśród nich szyfrowanie danych osobowych, zapewnienie poufności i integralności systemów przetwarzania, przywracanie danych w odpowiednim czasie po awarii oraz testowanie skuteczności tych środków.

Ustawa nie wymienia z nazwy wtyczek WordPress ani certyfikatów SSL, ale na stronie firmowej przekłada się to na konkretne rzeczy:

• każda podstrona z formularzem działa przez HTTPS z ważnym certyfikatem, co sprawdzisz darmowym testem certyfikatu SSL,
• CMS, motyw i wtyczki są aktualne, a porzucone wtyczki usunięte (zobacz artykuł o nieaktualnych wtyczkach WordPress),
• logowanie do panelu strony i panelu hostingu wymaga weryfikacji dwuetapowej,
• kopie zapasowe leżą poza publicznym katalogiem strony, a ich przywracanie zostało naprawdę przetestowane,
• wiadomości z formularzy nie są trzymane w nieskończoność, bo art. 5 nie pozwala przechowywać danych po zakończeniu celu przetwarzania, chyba że usunięto z nich tożsamość osoby.

Art. 7 zobowiązuje Cię też do wyboru podmiotu przetwarzającego, który daje wystarczające gwarancje zastosowania wymaganych środków technicznych i organizacyjnych. Zapytaj o to firmę hostingową i agencję na piśmie i poproś, żeby zapisano to w umowie.

Gdy dojdzie do naruszenia

Art. 9 zobowiązuje administratora, gdy tylko dowie się o naruszeniu danych osobowych, które może zagrozić ich prywatności, poufności i bezpieczeństwu, do zgłoszenia go do UAE Data Office w terminie i trybie określonym w rozporządzeniu wykonawczym. Do zgłoszenia dołącza się opis charakteru naruszenia, jego przyczyn i przybliżonej skali, dane inspektora ochrony danych, możliwe skutki i działania podjęte w odpowiedzi. Trzeba też powiadomić osoby, których dane dotyczą, jeśli naruszenie dotyka prywatności, poufności i bezpieczeństwa ich danych. Jeśli o naruszeniu pierwszy dowie się podmiot przetwarzający, na przykład agencja albo firma hostingowa, musi Cię zawiadomić, gdy tylko się o nim dowie.

Sama ustawa nie podaje liczby godzin na zgłoszenie, jak robi to RODO (72 godziny), tylko odsyła w tej sprawie do rozporządzenia wykonawczego. Tak samo jest z karami administracyjnymi, które zgodnie z art. 26 ustala uchwała Rady Ministrów. Art. 29 daje na dostosowanie się najwyżej sześć miesięcy od wydania rozporządzenia wykonawczego, a Rada Ministrów może ten termin przedłużyć o tyle samo. Te szczegóły się zmieniają, więc sprawdź ich aktualny stan na portalu prawa, zanim oprzesz na nich decyzję.

Nie czekaj z przygotowaniami na rozporządzenie. Ustal, kto w firmie zajmuje się zgłoszeniem, gdzie są przechowywane logi serwera i do kogo dzwonić w agencji i w firmie hostingowej.

DIFC i ADGM: dwa osobne systemy

Jeśli Twoja firma ma licencję w Dubajskim Międzynarodowym Centrum Finansowym albo w Abu Dhabi Global Market, każde z nich ma własne przepisy o ochronie danych i własny organ nadzorczy.

W DIFC obowiązuje ustawa o ochronie danych nr 5 z 2020 r. Dotyczy firm zarejestrowanych w Centrum, bez względu na to, gdzie odbywa się przetwarzanie, oraz każdego, kto przetwarza dane na terenie Centrum. Nadzoruje ją Commissioner of Data Protection (komisarz ds. ochrony danych). Administrator musi zgłaszać komisarzowi swoje operacje przetwarzania i co roku odnawiać zgłoszenie za opłatą. Przy naruszeniu zawiadamia się komisarza „tak szybko, jak to w danych okolicznościach praktycznie możliwe”, bez terminu liczonego w godzinach, a osoby fizyczne wtedy, gdy ryzyko dla nich jest wysokie. Od zmian z lipca 2025 r. osoby, których dane dotyczą, mogą dochodzić odszkodowania bezpośrednio przed sądami DIFC.

W ADGM obowiązują Data Protection Regulations 2021, nadzorowane przez Office of Data Protection (urząd ochrony danych). Każdy podmiot zarejestrowany w ADGM, który przetwarza dane osobowe, musi zarejestrować się jako administrator. Naruszenie trzeba zgłosić urzędowi bez zbędnej zwłoki i, jeśli to możliwe, w ciągu 72 godzin od dowiedzenia się o nim.

Jeśli Twoja firma działa poza strefami wolnocłowymi (tzw. mainland) albo w innej strefie wolnocłowej, zapytaj organ, który wydał Ci licencję, czy strefa ma własne przepisy o ochronie danych. Jeśli nie ma, obowiązuje ustawa federalna.