الخصوصية وحماية البيانات
PDPL
Personal Data Protection Law (الإمارات العربية المتحدة والمملكة العربية السعودية)
يشير PDPL إلى قوانين حماية البيانات الشخصية في الإمارات العربية المتحدة والمملكة العربية السعودية، التي تحدد كيف يجب جمع البيانات الشخصية ومعالجتها ونقلها. نساعدك على رسم خريطة بياناتك وسد الثغرات وإثبات الامتثال.
ما هو PDPL
تحكم قوانين حماية البيانات الشخصية في الإمارات العربية المتحدة والمملكة العربية السعودية كيفية قيام المؤسسات بجمع البيانات الشخصية للأفراد ومعالجتها وتخزينها ونقلها. وهي تحدد الأسس القانونية للمعالجة وحقوق الأفراد والتزامات الأمن والقواعد المتعلقة بالنقل عبر الحدود، وتتولى إدارتها الهيئات الوطنية لحماية البيانات المعنية.
PDPL هو التزام قانوني تُثبت امتثالك له، وليس معياراً تمنحك جهة معتمدة شهادة بناءً عليه. ويتشارك النظامان مبادئ مألوفة لحماية البيانات لكنهما يختلفان في التفاصيل، وقد ينطبقان على مؤسسات خارج المنطقة عندما تعالج البيانات الشخصية لأفراد موجودين فيها.
تشريح القانونين
المبادئ · معالجة مشروعة وعادلة
يتطلب القانونان أن تُعالَج البيانات الشخصية بشكل مشروع وعادل وشفاف، لأغراض محددة وبما يقتصر على ما هو ضروري.
الأساس القانوني · أسس المعالجة
يجب أن تستند المعالجة إلى أساس قانوني معترف به مثل الموافقة أو أساس آخر منصوص عليه في القانون المنطبق.
حقوق صاحب البيانات · التحكم للأفراد
يُمنح الأفراد حقوقاً تشمل الوصول والتصحيح والحذف والاعتراض، ويجب أن يكون المتحكم قادراً على تنفيذها ضمن مُدد محددة.
التزامات المتحكم · المساءلة
يجب على المؤسسات الاحتفاظ بسجلات المعالجة وتطبيق تدابير الأمن وتقييم المخاطر، وفي حالات محددة تعيين مسؤول حماية بيانات أو دور معادل.
الإخطار بالخرق · الإبلاغ عن الحوادث
يجب الإخطار عن خروقات البيانات الشخصية التي تبلغ العتبة المحددة إلى الهيئة الوطنية المعنية، وإلى الأفراد المتضررين عند الاقتضاء.
النقل عبر الحدود · نقل البيانات للخارج
لا يُسمح بنقل البيانات الشخصية خارج الولاية القضائية إلا إلى وجهات ملائمة أو بموجب ضمانات وشروط معتمدة.
الهيئة الإشرافية · الإنفاذ
يتولى إدارة كل قانون هيئة وطنية لحماية البيانات تملك صلاحيات التحقيق وتوجيه المعالجة وفرض العقوبات.
من يحتاج إليه
- المؤسسات القائمة في الإمارات العربية المتحدة أو المملكة العربية السعودية التي تعالج البيانات الشخصية
- الشركات خارج المنطقة التي تتعامل مع البيانات الشخصية لأفراد موجودين فيها
- الأعمال التي تتوسع في منطقة الخليج والتي تحتاج إلى وضعية دفاعية لحماية البيانات
ما تحصل عليه
- خريطة بيانات وتقييم للثغرات مقابل متطلبات PDPL المنطبقة
- سياسات وإشعارات وسجلات للأساس القانوني أو الموافقة
- إجراءات لحقوق الأفراد والاستجابة للخروقات وسجلات المعالجة
- حزمة أدلة امتثال ووثائق النقل عبر الحدود
تعتمد الجداول الزمنية على أي نظام ينطبق، وكمية البيانات الشخصية التي تعالجها، وكيفية تدفقها عبر الحدود. نحدد النطاق بصدق مسبقاً بدلاً من الوعد بعدد ثابت من الأسابيع.
الإصدار الحالي
في الإمارات العربية المتحدة، يُعد Federal Decree-Law No. 45 of 2021 بشأن حماية البيانات الشخصية النظام الاتحادي الحالي، تحت إشراف UAE Data Office. وفي المملكة العربية السعودية، يسري Personal Data Protection Law الصادر بموجب Royal Decree M/19 of 2021، بصيغته المعدلة في 2023، مع لوائحه التنفيذية Implementing Regulations واللوائح المتعلقة بنقل البيانات الشخصية، وتتولى إنفاذه Saudi Data and AI Authority. ويواصل النظامان نشر وتحديث القواعد التنفيذية واللوائح، بحيث تتطور الالتزامات التفصيلية مع مرور الوقت. اعتبر التوجيهات الحالية لكل هيئة نقطة المرجع، وأعد النظر في ضوابطك مع صدور لوائح إضافية.
التكلفة
PDPL التزام قانوني وليس معياراً قابلاً للحصول على شهادة، لذا لا توجد شهادة تُشترى ولا جهة معتمدة تُدفع لها مقابل ختم. التكاليف هي أتعاب الاستشارة والتنفيذ المحددة النطاق لدينا، والمعروضة مسبقاً بمجرد أن نفهم حجمك وأي نظام ينطبق ونقطة انطلاقك، بالإضافة إلى أي تقييم مستقل أو تدقيق خارجي أو مسؤول حماية بيانات أو مدخلات قانونية محلية تختار الاستعانة بها، والتي تتقاضى تلك الأطراف مقابلها بشكل منفصل وفق شروطها الخاصة. tr3labs ليست أبداً جهة التصديق أو المدقق أو المنظّم؛ فهذا الدور تتولاه الهيئة الوطنية لحماية البيانات. نحدد نطاق العمل معك بدلاً من التسعير دون معرفة.
كيف توصلك tr3labs إلى هناك
النطاق ورسم خريطة البيانات
نحدد أي نظام ينطبق، ونرسم خريطة البيانات الشخصية التي تحتفظ بها وكيفية تدفقها، ونقيس ممارساتك الحالية مقابل متطلبات PDPL المنطبقة.
بناء الضوابط
نساعدك على وضع السياسات والإشعارات وسجلات الموافقة والأساس القانوني وعمليات حماية البيانات اللازمة لتلبية القانون، بما في ذلك متطلبات النقل عبر الحدود.
الحقوق والحوكمة
ننفّذ العمليات الخاصة بمعالجة طلبات حقوق الأفراد والاستجابة للخروقات وسجلات المعالجة، ونجري مراجعة داخلية للتأكد من أنها تعمل.
الجاهزية والأدلة
نجمّع الأدلة التي تُثبت الامتثال للهيئة المعنية وللعملاء، ونبقيك متوافقاً مع تطور اللوائح ولوائحها التنفيذية.
PDPL و GDPR جنباً إلى جنب
يُخلط بينهما لأن أنظمة PDPL الخليجية تستعير الكثير من بنيتها ومفرداتها من GDPR، إلا أنهما يختلفان في الولاية القضائية والتفاصيل.
| PDPL (UAE & Saudi Arabia) | GDPR | |
|---|---|---|
| يغطي | البيانات الشخصية في الإمارات العربية المتحدة والمملكة العربية السعودية | البيانات الشخصية في الاتحاد الأوروبي والمنطقة الاقتصادية الأوروبية |
| من يطلبه | UAE Data Office و SDAIA السعودية | هيئات حماية البيانات في الاتحاد الأوروبي والهيئات الوطنية |
| الفكرة الجوهرية | معالجة مشروعة وآمنة للبيانات الشخصية | معالجة مشروعة وآمنة للبيانات الشخصية |
| نموذج التدقيق | امتثال يُثبت للهيئة، دون شهادة | امتثال يُثبت للهيئة، دون شهادة |
| قواعد النقل | ملاءمة وضمانات خاصة بالمنطقة | قرارات ملاءمة وضمانات معيارية |
| كثيراً ما يُقترن بـ | قانون DIFC و ISO 27001 | ISO 27001 و SOC 2 |
الأسئلة الشائعة حول PDPL
- هل ينطبق علينا PDPL الإماراتي أو السعودي إذا كان مقرّنا في مكان آخر؟
- قد ينطبق. يمكن أن تصل القوانين إلى مؤسسات خارج المنطقة عندما تعالج البيانات الشخصية لأفراد موجودين فيها. نساعدك على تحديد ما إذا كان كل نظام ينطبق وكيف أثناء تحديد النطاق.
- كيف يُقارَن PDPL بـ GDPR؟
- تتشارك قوانين الإمارات العربية المتحدة والمملكة العربية السعودية مع GDPR مبادئ مألوفة لحماية البيانات، مثل الأسس القانونية وحقوق الأفراد والتزامات الأمن، لكنها تختلف في التفاصيل وفي قواعد النقل الخاصة بها. ويمنحك العمل القائم على GDPR بداية قوية.
- هل PDPL شهادة؟
- لا. إنه التزام قانوني تُثبت امتثالك له للهيئة المعنية، وليس معياراً قابلاً للحصول على شهادة. نبني الضوابط والأدلة التي تدعم امتثالك وتُثبته.
المعايير ذات الصلة
قراءات ذات صلة
نظام OWASP LLM Top 10 موضَّحًا: دليل مبسّط للفرق التي تطلق ميزات الذكاء الاصطناعي
شرح عملي وواضح لأكبر عشر مخاطر وفق OWASP لتطبيقات نماذج اللغة الكبيرة، مع وصف مبسّط وإجراء تخفيف ملموس لكل منها، موجَّه للفرق التي تضيف ميزات الذكاء الاصطناعي لأول مرة.
قراءة 9 دقائق
كيف تقرأ تقرير اختبار الاختراق (VAPT): دليل مبسّط للفرق
شرح عملي لما يتضمّنه تقرير اختبار الاختراق، قسمًا بقسم، حتى يتمكّن المؤسّسون وفرق الهندسة من قراءته بثقة والتصرّف بناءً على ما يقوله.
8 دقائق قراءة
SOC 2 مقابل ISO 27001: مقارنة صادقة تساعدك على الاختيار
دليل مبسّط وواضح للفروق الحقيقية بين SOC 2 و ISO 27001: ما هو كل منهما، ومن يطلب أيًّا منهما، وكيف تجري عمليات التدقيق، وما الذي ينتهي بك الأمر إلى امتلاكه، وهل ينبغي لك الحصول على الاثنين معًا.
قراءة 8 دقائق