阿联酋《个人数据保护法》与你公司的网站

“联系我们”表单、报价请求、预约、邮件订阅。每一个都会收集姓名、电话号码和电子邮箱，而这些都是阿联酋法律保护的个人数据。

所说的法律是 2021 年第 45 号关于个人数据保护的联邦法令（Federal Decree-Law No. 45 of 2021）。它于 2021 年 9 月 20 日颁布，2022 年 1 月 2 日生效。它规定的义务落在你的公司本身，而不仅仅是开发者或主机商。本文说明这对公司网站意味着什么，以及如果你的公司在迪拜国际金融中心（DIFC）或阿布扎比全球市场（ADGM）注册，适用的规则有何不同。

本文仅供参考，不构成法律意见。具体情况请咨询律师，并参阅阿联酋立法门户网站上的官方文本（阿拉伯文）。

法律适用于谁

依据第 2 条，该法适用于：处理居住在阿联酋或在阿联酋有营业地点的任何人的个人数据；位于阿联酋的每一个控制者或处理者，即使其处理的是阿联酋境外人员的数据；以及在阿联酋境外、处理阿联酋境内人员数据的控制者或处理者。

按该法的术语，控制者是决定数据如何处理、为何处理的一方，也就是你的公司。处理者是代表你、按你的指示处理数据的一方：主机商、运营网站的代理公司、邮件订阅工具、预约系统。

该法排除了几类情形。与企业主最相关的是：

• 有专门立法规范其保护和处理的健康数据，
• 有专门立法的银行和信贷数据，
• 自由区内有自己个人数据保护立法的公司和机构，最典型的是 DIFC 和 ADGM。

负责该法的机构是阿联酋数据办公室，根据 2021 年第 44 号联邦法令设立。

你的网站实际收集了什么

该法的定义很宽：个人数据是与已识别的自然人，或可以直接或间接识别的自然人有关的任何数据。它列举的例子包括姓名、声音、图像、身份证号码、电子标识符和地理位置。

在普通公司网站上，这类数据出现在很多地方：

• 联系、报价请求和预约表单，
• 网店里的客户账号和订单，
• 接收简历的求职申请表，
• 邮件订阅，
• 分析和广告工具，因为它们依赖访客的电子标识符。

先从一份简单的清单开始：网站上的每个表单和每个工具，收集什么数据，数据去了哪里（邮箱、CRM、电子表格），谁能读取，保存多久。这份清单是第 7 条所要求的记录的基础，记录内容包括数据类别、有权访问的人、处理目的、是否转移到阿联酋境外，以及信息安全措施。控制者应在数据办公室要求时提供。

访客点击“发送”之前的同意与告知

第 4 条的出发点是：未经数据主体同意处理个人数据是被禁止的，但有具体例外。对网站而言重要的例外有：为履行数据主体作为一方的合同所必需的处理、应其请求为订立合同而采取措施所必需的处理，或为履行其他法律加给你公司的义务所必需的处理。回复一份报价请求是一回事，把同一个人加进营销名单是另一回事。

当你依靠同意时，第 6 条要求同意必须清晰、简单、明确且易于获得，你必须能够证明它，并且其中包括数据主体以简便方式撤回同意的权利。第 13 条要求你在处理开始之前告知他们：处理目的、其数据将向阿联酋境内外哪些方共享，以及转移到境外时的保护措施。

实际做法是：

1. 每个表单旁边放一个指向隐私政策的清晰链接，如果网站有阿拉伯语和英语两个版本，两种语言都要有。
2. 为同意接收营销信息设一个单独的复选框，不要预先勾选。
3. 保存同意的日期和时间，以及此人同意的文本。
4. 每封营销邮件里都有一个有效的退订链接，因为第 17 条赋予数据主体反对直接营销的权利。
5. 设一个邮箱地址或一个清晰的表单，用来接收数据主体的请求，这是第 19 条的要求。

数据安全：与网站直接相关的部分

第 20 条要求控制者和处理者实施与风险相称的技术和组织措施，符合最佳国际标准和实践。其中点名包括个人数据加密、确保处理系统的保密性和完整性、在任何故障后及时恢复数据，以及测试这些措施的有效性。

该法没有点名 WordPress 插件或 SSL 证书，但在公司网站上，实际含义如下：

• 每个带表单的页面都通过 HTTPS 运行并使用有效证书，你可以用免费的 SSL 证书检查（英文）来核对，
• 核心程序、主题和插件保持最新，被弃用的插件要删除（见过期的 WordPress 插件），
• 登录网站后台和主机面板使用两步验证，
• 备份存放在公开网站文件夹之外，并且确实测试过恢复，
• 表单消息不要永久保存，因为第 5 条不允许在处理目的结束后继续保存数据，除非已去除数据主体的身份信息。

第 7 条还要求你指定的处理者能够提供足够的保证，落实所需的技术和组织措施。请就此书面询问你的主机商和代理公司，并在合同中写明。

如果发生泄露

第 9 条要求控制者一旦知悉任何可能危及个人数据隐私、保密性和安全性的泄露或侵害，就按照实施条例规定的期限和程序向阿联酋数据办公室报告。报告包括泄露性质、原因和大致规模的描述，数据保护官的联系信息，可能的影响，以及已采取的应对措施。如果泄露影响到数据主体数据的隐私、保密性和安全性，还必须通知数据主体。如果处理者（例如你的代理公司或主机商）先得知泄露，必须在知悉后立即通知你。

请注意，该法本身没有像欧盟《通用数据保护条例》（GDPR）那样规定报告的小时数（72 小时）。期限留给实施条例规定。行政处罚也是如此，由内阁依据第 26 条发布决定。第 29 条给出了自实施条例发布起不超过六个月的合规期限，内阁可以延长同样的期限。这些细节会变化，所以在据此做决定之前，请到立法门户网站查看它们的最新状态。

你不必等条例出台才开始准备。决定公司里由谁负责报告，服务器日志保存在哪里，以及在代理公司和主机商那里该联系谁。

DIFC 和 ADGM：两套独立的制度

如果你的公司在迪拜国际金融中心或阿布扎比全球市场注册，两者各有自己的数据保护立法和监管机构。

在 DIFC，适用 2020 年第 5 号数据保护法，适用于在中心注册的公司（无论处理发生在哪里），以及在中心内处理数据的任何人。由数据保护专员监督。控制者必须向专员通报其处理活动，并每年续期，需缴费。发生泄露时，应“在当时情况下尽快”通知专员，没有以小时计的期限；如果对个人的风险很高，还要通知个人。自 2025 年 7 月的修订起，数据主体可以直接向 DIFC 法院要求赔偿。

在 ADGM，适用《2021 年数据保护条例》，由数据保护办公室监督。在 ADGM 注册、处理个人数据的每个实体都必须登记为控制者。泄露必须不得无故拖延地向办公室报告，在可行的情况下，应在知悉后 72 小时内报告。

如果你的公司在本土或其他自由区，请询问向你颁发执照的机构，该自由区是否有自己的数据保护立法。如果没有，则适用联邦法律。