Privacidad y protección de datos
DIFC
DIFC Data Protection Law (Ley de protección de datos, Dubái)
La DIFC Data Protection Law rige cómo las organizaciones del Dubai International Financial Centre tratan los datos personales. Le ayudamos a cartografiar sus datos, cerrar las brechas y demostrar el cumplimiento ante el DIFC Commissioner of Data Protection.
Qué es DIFC
La DIFC Data Protection Law es el régimen de protección de datos del Dubai International Financial Centre, una zona franca financiera con su propio marco jurídico. Establece las bases legales para el tratamiento, los derechos de las personas, las obligaciones de responsabilidad proactiva y las reglas sobre transferencias internacionales de datos, y está supervisada por el DIFC Commissioner of Data Protection.
La ley se basa en normas internacionales de protección de datos y es una obligación legal cuyo cumplimiento usted demuestra, en lugar de una norma frente a la cual un organismo acreditado le certifica. Se aplica a las entidades establecidas en el DIFC que tratan datos personales como responsables o encargados del tratamiento, e incluye deberes de registro y notificación ante el Commissioner.
La estructura de la ley
Partes 1 a 2 · Aplicación y definiciones
La ley establece a quién cubre, definiendo los datos personales, los responsables, los encargados del tratamiento y el alcance territorial sobre las entidades establecidas en el DIFC o que operan desde él.
Parte 3 · Principios de protección de datos
El tratamiento debe ser lícito, leal y transparente, limitado a una finalidad declarada, exacto, reducido al mínimo, conservado no más tiempo del necesario y protegido.
Parte 4 · Bases legales y categorías especiales
Especifica los fundamentos sobre los que puede proceder el tratamiento y añade condiciones más estrictas para las categorías sensibles de datos personales.
Parte 5 · Responsabilidad proactiva y gobernanza
Los responsables y encargados del tratamiento deben demostrar el cumplimiento mediante registros de las actividades de tratamiento, protección de datos desde el diseño, evaluaciones para actividades de alto riesgo y, cuando se requiera, un delegado de protección de datos.
Parte 6 · Derechos de los interesados
Las personas pueden acceder, rectificar, suprimir, limitar, portar y oponerse al tratamiento de sus datos personales, incluidas las reglas sobre decisiones automatizadas.
Parte 7 · Transferencias internacionales
Las transferencias fuera del DIFC solo se permiten a jurisdicciones con protección adecuada o bajo garantías y excepciones reconocidas.
Parte 8 · El Commissioner y la aplicación
El DIFC Commissioner of Data Protection supervisa el régimen, gestiona el registro y la notificación, investiga y puede emitir instrucciones y multas.
Parte 9 · Notificación de brechas
Los responsables del tratamiento deben notificar al Commissioner, y a las personas afectadas cuando proceda, las brechas de datos personales que alcancen el umbral establecido.
Quién lo necesita
- Entidades registradas o que operan en el Dubai International Financial Centre
- Responsables y encargados del tratamiento que manejan datos personales dentro del DIFC
- Empresas de servicios financieros y profesionales que utilizan el DIFC como base regional
Qué obtiene
- Un mapa de datos y una evaluación de brechas frente a la DIFC Data Protection Law
- Políticas, avisos y registros de base legal
- Procedimientos de derechos de las personas, notificación de brechas y registros de las actividades de tratamiento
- Apoyo al registro y un paquete de evidencia de cumplimiento
Los plazos dependen de su rol, de cuántos datos personales trate y de cómo se mueven a nivel internacional. Definimos el alcance con honestidad desde el principio en lugar de prometer un número fijo de semanas.
Versión actual
El régimen en vigor es la DIFC Law No. 5 of 2020, la Data Protection Law, que sustituyó a la ley anterior de 2007 y se aplica junto con los DIFC Data Protection Regulations, que recogen gran parte del detalle operativo. El DIFC ha emitido modificaciones periódicas y orientaciones del Commissioner desde su promulgación, por lo que los Regulations y las orientaciones publicadas deben leerse junto con la ley principal y no de forma aislada. Hoy no hay transición desde una edición anterior que gestionar; la tarea práctica es mantener su programa actualizado a medida que el Commissioner actualiza sus orientaciones, tarifas y expectativas de notificación. Confirmamos las disposiciones exactas y cualquier modificación reciente que afecte a su alcance durante el encargo.
Qué cuesta
No hay un certificado DIFC de protección de datos que comprar; es una obligación legal cuyo cumplimiento usted demuestra ante el Commissioner, no una norma frente a la cual un organismo acreditado le certifica, y tr3labs nunca es el certificador, auditor ni regulador. Los costes que van en paralelo son nuestros honorarios de asesoría e implantación con alcance definido, presupuestados por adelantado una vez que comprendemos su tamaño, su rol como responsable o encargado del tratamiento y su punto de partida, y cualquier aportación independiente que decida añadir, como una evaluación externa, asesoramiento jurídico o el apoyo de un delegado de protección de datos, cada uno facturado por separado según su propia tarifa. Las tasas de registro y notificación pagaderas al DIFC Commissioner, cuando corresponden, las fija el DIFC y son, de nuevo, aparte. Definimos el alcance con usted en lugar de presupuestar a ciegas.
Cómo tr3labs le lleva hasta allí
Alcance y cartografía de datos
Confirmamos su rol como responsable o encargado del tratamiento, cartografiamos qué datos personales posee y cómo fluyen, y medimos sus prácticas actuales frente a la ley del DIFC.
Construir los controles
Le ayudamos a implantar las políticas, los avisos, los registros de base legal y los procesos de protección de datos, incluidas las disposiciones sobre transferencias internacionales que exige la ley.
Derechos, registro y gobernanza
Implantamos los derechos de las personas, la notificación de brechas y los registros de las actividades de tratamiento, y apoyamos los deberes de registro y notificación ante el Commissioner, confirmados mediante una revisión interna.
Preparación y evidencia
Reunimos la evidencia que demuestra el cumplimiento ante el Commissioner y ante los clientes, y le mantenemos alineado a medida que la ley y sus directrices evolucionan.
DIFC Data Protection Law comparada con el GDPR
Ambos son regímenes de privacidad basados en principios, con derechos y obligaciones estrechamente alineados, razón por la cual la ley del DIFC suele describirse como similar al GDPR y ambos se confunden con facilidad.
| DIFC Data Protection Law | GDPR | |
|---|---|---|
| Cubre | Entidades del Dubai International Financial Centre | Organizaciones que tratan datos personales de la UE y del EEE |
| Quién lo exige | El DIFC Commissioner of Data Protection | Autoridades nacionales de control de la UE y del EEE |
| Idea central | Principios, derechos y responsabilidad proactiva para una zona franca financiera | Principios, derechos y responsabilidad proactiva en toda la UE y el EEE |
| Certificación | Sin certificado; cumplimiento demostrado ante el Commissioner | Sin certificado; cumplimiento demostrado ante los reguladores |
| Deber distintivo | Registro y notificación ante el Commissioner | Autoridad de control principal y mecanismo de ventanilla única |
| A menudo se mantiene con | UAE PDPL, ISO 27001 | ISO 27001, leyes nacionales de privacidad |
Preguntas frecuentes sobre DIFC
- ¿En qué se diferencia la ley del DIFC del PDPL federal de los Emiratos Árabes Unidos?
- El DIFC es una zona franca financiera con su propia ley de protección de datos supervisada por el DIFC Commissioner, independiente del PDPL federal de los Emiratos Árabes Unidos. Cuál se aplica depende de dónde esté establecida su entidad. Lo confirmamos durante la definición del alcance.
- ¿Tenemos que registrarnos ante el DIFC Commissioner?
- El régimen del DIFC incluye deberes de registro y notificación ante el Commissioner of Data Protection. Le ayudamos a comprender y cumplir esas obligaciones como parte del encargo.
- ¿Es la DIFC Data Protection Law una certificación?
- No. Es una obligación legal cuyo cumplimiento usted demuestra ante el Commissioner, no una norma certificable. Construimos los controles y la evidencia que respaldan y demuestran su cumplimiento.
Normas relacionadas
Lectura relacionada
El OWASP LLM Top 10, explicado: una guía en lenguaje sencillo para equipos que lanzan funcionalidades de IA
A clear, practical walkthrough of the OWASP Top 10 risks for LLM applications, in Spanish.
9 min de lectura
Cómo leer un informe de test de intrusión (VAPT): una guía en lenguaje sencillo para equipos
Un recorrido práctico, sección por sección, por lo que contiene un informe de test de intrusión, para que fundadores y equipos de ingeniería puedan leerlo con confianza y actuar según lo que dice.
8 min de lectura
SOC 2 frente a ISO 27001: una comparación honesta para ayudarte a elegir
Una guía en lenguaje sencillo sobre las diferencias reales entre SOC 2 e ISO 27001: qué es cada uno, quién pide cuál, cómo funcionan las auditorías, qué acabas teniendo en la mano y si deberías hacer ambos.
8 min de lectura