Privacidad y protección de datos
PDPL
Personal Data Protection Law (Emiratos Árabes Unidos y Arabia Saudí)
PDPL se refiere a las leyes de protección de datos personales de los Emiratos Árabes Unidos y de Arabia Saudí, que establecen cómo deben recopilarse, tratarse y transferirse los datos personales. Le ayudamos a mapear sus datos, cerrar las brechas y demostrar el cumplimiento.
Qué es PDPL
Las leyes de protección de datos personales de los Emiratos Árabes Unidos y del Reino de Arabia Saudí rigen cómo las organizaciones recopilan, tratan, almacenan y transfieren los datos personales de las personas físicas. Establecen las bases legales para el tratamiento, los derechos de las personas, las obligaciones de seguridad y las reglas sobre transferencias transfronterizas, administradas por las respectivas autoridades nacionales de protección de datos.
PDPL es una obligación legal cuyo cumplimiento usted demuestra, en lugar de una norma frente a la que un organismo acreditado lo certifica. Los dos regímenes comparten principios familiares de protección de datos, pero difieren en el detalle, y pueden aplicarse a organizaciones fuera de la región cuando tratan los datos personales de las personas que se encuentran allí.
La anatomía de las dos leyes
Principios · tratamiento lícito y leal
Ambas leyes exigen que los datos personales se traten de manera lícita, leal y transparente, para fines determinados y limitados a lo necesario.
Base legal · fundamentos del tratamiento
El tratamiento debe apoyarse en un fundamento jurídico reconocido, como el consentimiento u otra base establecida en la ley aplicable.
Derechos del interesado · control para las personas
A las personas se les conceden derechos que incluyen el acceso, la rectificación, la supresión y la oposición, que el responsable del tratamiento debe poder atender dentro de plazos establecidos.
Obligaciones del responsable · rendición de cuentas
Las organizaciones deben llevar registros de tratamiento, aplicar medidas de seguridad, evaluar el riesgo y, en casos definidos, nombrar a un delegado de protección de datos o un rol equivalente.
Notificación de violaciones · comunicación de incidentes
Las violaciones de datos personales que alcancen el umbral definido deben notificarse a la autoridad nacional competente, y a las personas afectadas cuando se requiera.
Transferencia transfronteriza · sacar datos
Las transferencias de datos personales fuera de la jurisdicción solo se permiten a destinos adecuados o bajo garantías y condiciones aprobadas.
Autoridad de control · aplicación
Cada ley es administrada por una autoridad nacional de protección de datos con facultades para investigar, ordenar la subsanación e imponer sanciones.
Quién lo necesita
- Organizaciones establecidas en los Emiratos Árabes Unidos o en Arabia Saudí que tratan datos personales
- Empresas fuera de la región que manejan los datos personales de las personas que se encuentran allí
- Negocios que se expanden hacia el Golfo y necesitan una postura de protección de datos defendible
Qué obtiene
- Un mapa de datos y una evaluación de brechas frente a los requisitos PDPL aplicables
- Políticas, avisos y registros de base legal o de consentimiento
- Procedimientos de derechos de las personas, respuesta a violaciones y registros de tratamiento
- Un paquete de evidencias de cumplimiento y documentación de transferencia transfronteriza
Los plazos dependen del régimen que se aplique, de cuántos datos personales trate y de cómo fluyen a través de las fronteras. Definimos el alcance con honestidad desde el principio en lugar de prometer un número fijo de semanas.
Versión actual
En los Emiratos Árabes Unidos, el Federal Decree-Law No. 45 of 2021 sobre la protección de datos personales es el régimen federal actual, supervisado por la UAE Data Office. En Arabia Saudí, el Personal Data Protection Law promulgado mediante el Royal Decree M/19 of 2021, modificado en 2023, está en vigor con sus Implementing Regulations y los reglamentos sobre transferencia de datos personales, aplicado por la Saudi Data and AI Authority. Ambos regímenes continúan publicando y actualizando reglas ejecutivas y de aplicación, por lo que las obligaciones detalladas evolucionan con el tiempo. Tome la orientación actual de cada autoridad como punto de referencia y revise sus controles a medida que se emitan nuevas regulaciones.
Qué cuesta
PDPL es una obligación legal, no una norma certificable, por lo que no hay certificado que comprar ni organismo acreditado al que pagar por un sello. Los costes son nuestros honorarios de asesoría e implementación con alcance definido, cotizados por adelantado una vez que comprendemos su tamaño, el régimen aplicable y su punto de partida, además de cualquier evaluación independiente, auditoría externa, o delegado de protección de datos y aportación legal local que decida contratar, que esas partes cobran por separado en sus propios términos. tr3labs nunca es el organismo certificador, el auditor ni el regulador; ese papel corresponde a la autoridad nacional de protección de datos. Definimos el alcance del trabajo con usted en lugar de cotizar a ciegas.
Cómo tr3labs le lleva hasta allí
Alcance y mapeo de datos
Determinamos qué régimen se aplica, mapeamos qué datos personales posee y cómo fluyen, y medimos sus prácticas actuales frente a los requisitos PDPL aplicables.
Construir los controles
Le ayudamos a implantar las políticas, los avisos, los registros de consentimiento y base legal, y los procesos de protección de datos necesarios para cumplir la ley, incluidos los requisitos de transferencia transfronteriza.
Derechos y gobernanza
Implantamos los procesos para gestionar las solicitudes de derechos de las personas, la respuesta a violaciones y los registros de tratamiento, y realizamos una revisión interna para confirmar que funcionan.
Preparación y evidencias
Reunimos las evidencias que demuestran el cumplimiento ante la autoridad competente y ante los clientes, y lo mantenemos alineado a medida que las regulaciones y sus reglamentos de aplicación evolucionan.
PDPL y GDPR en paralelo
Se confunden porque los regímenes PDPL del Golfo toman gran parte de su estructura y vocabulario del GDPR, pero difieren en jurisdicción y detalle.
| PDPL (UAE & Saudi Arabia) | GDPR | |
|---|---|---|
| Cubre | Datos personales en los Emiratos Árabes Unidos y Arabia Saudí | Datos personales en la UE y el EEE |
| Quién lo exige | La UAE Data Office y la SDAIA saudí | Las autoridades de protección de datos de la UE y nacionales |
| Idea central | Tratamiento lícito y seguro de los datos personales | Tratamiento lícito y seguro de los datos personales |
| Modelo de auditoría | Cumplimiento demostrado ante la autoridad, sin certificado | Cumplimiento demostrado ante la autoridad, sin certificado |
| Reglas de transferencia | Adecuación y garantías específicas de la región | Decisiones de adecuación y garantías estándar |
| A menudo se tiene con | El derecho del DIFC e ISO 27001 | ISO 27001 y SOC 2 |
Preguntas frecuentes sobre PDPL
- ¿Nos aplica el PDPL de los Emiratos Árabes Unidos o de Arabia Saudí si estamos establecidos en otro lugar?
- Puede aplicar. Las leyes pueden alcanzar a organizaciones fuera de la región cuando tratan los datos personales de las personas que se encuentran allí. Le ayudamos a determinar si cada régimen aplica y cómo durante la definición del alcance.
- ¿Cómo se compara PDPL con GDPR?
- Las leyes de los Emiratos Árabes Unidos y de Arabia Saudí comparten con GDPR principios familiares de protección de datos, como las bases legales, los derechos de las personas y las obligaciones de seguridad, pero difieren en el detalle y en sus reglas de transferencia. El trabajo de GDPR ya realizado le da una sólida ventaja inicial.
- ¿Es PDPL una certificación?
- No. Es una obligación legal cuyo cumplimiento usted demuestra ante la autoridad competente, no una norma certificable. Construimos los controles y las evidencias que respaldan y demuestran su cumplimiento.
Normas relacionadas
Lectura relacionada
El OWASP LLM Top 10, explicado: una guía en lenguaje sencillo para equipos que lanzan funcionalidades de IA
A clear, practical walkthrough of the OWASP Top 10 risks for LLM applications, in Spanish.
9 min de lectura
Cómo leer un informe de test de intrusión (VAPT): una guía en lenguaje sencillo para equipos
Un recorrido práctico, sección por sección, por lo que contiene un informe de test de intrusión, para que fundadores y equipos de ingeniería puedan leerlo con confianza y actuar según lo que dice.
8 min de lectura
SOC 2 frente a ISO 27001: una comparación honesta para ayudarte a elegir
Una guía en lenguaje sencillo sobre las diferencias reales entre SOC 2 e ISO 27001: qué es cada uno, quién pide cuál, cómo funcionan las auditorías, qué acabas teniendo en la mano y si deberías hacer ambos.
8 min de lectura