Confidentialité et protection des données
DIFC
DIFC Data Protection Law (Loi sur la protection des données, Dubaï)
Le DIFC Data Protection Law régit la manière dont les organisations du Dubai International Financial Centre traitent les données à caractère personnel. Nous vous aidons à cartographier vos données, à combler les écarts et à démontrer votre conformité au DIFC Commissioner of Data Protection.
Ce qu'est DIFC
Le DIFC Data Protection Law est le régime de protection des données du Dubai International Financial Centre, une zone franche financière dotée de son propre cadre juridique. Il énonce les bases légales du traitement, les droits des personnes, les obligations de responsabilité et les règles relatives aux transferts internationaux de données, et il est supervisé par le DIFC Commissioner of Data Protection.
La loi s'inspire des normes internationales de protection des données et constitue une obligation légale dont vous démontrez le respect, plutôt qu'une norme pour laquelle un organisme accrédité vous certifie. Elle s'applique aux entités établies dans le DIFC qui traitent des données à caractère personnel en tant que responsables du traitement ou sous-traitants, et comprend des obligations d'enregistrement et de notification auprès du Commissioner.
La structure de la loi
Parties 1 à 2 · Application et définitions
La loi définit les personnes qu'elle couvre, en précisant les données à caractère personnel, les responsables du traitement, les sous-traitants et la portée territoriale pour les entités établies dans le DIFC ou opérant depuis celui-ci.
Partie 3 · Principes de protection des données
Le traitement doit être licite, loyal et transparent, limité à une finalité déclarée, exact, réduit au minimum, conservé pas plus longtemps que nécessaire et sécurisé.
Partie 4 · Bases légales et catégories particulières
Elle précise les fondements sur lesquels le traitement peut avoir lieu et ajoute des conditions plus strictes pour les catégories sensibles de données à caractère personnel.
Partie 5 · Responsabilité et gouvernance
Les responsables du traitement et les sous-traitants doivent démontrer leur conformité au moyen de registres de traitement, de la protection des données dès la conception, d'évaluations pour les activités à haut risque et, lorsque cela est requis, d'un délégué à la protection des données.
Partie 6 · Droits des personnes concernées
Les personnes peuvent accéder au traitement de leurs données à caractère personnel, le rectifier, l'effacer, le limiter, le porter et s'y opposer, y compris selon des règles sur les décisions automatisées.
Partie 7 · Transferts internationaux
Les transferts en dehors du DIFC ne sont autorisés que vers des juridictions offrant une protection adéquate ou dans le cadre de garanties et de dérogations reconnues.
Partie 8 · Le Commissioner et l'application
Le DIFC Commissioner of Data Protection supervise le régime, gère l'enregistrement et la notification, mène des enquêtes et peut émettre des injonctions et des amendes.
Partie 9 · Notification des violations
Les responsables du traitement doivent notifier au Commissioner, et aux personnes concernées le cas échéant, les violations de données à caractère personnel qui atteignent le seuil fixé.
Qui en a besoin
- Entités enregistrées ou opérant dans le Dubai International Financial Centre
- Responsables du traitement et sous-traitants traitant des données à caractère personnel au sein du DIFC
- Sociétés de services financiers et professionnels utilisant le DIFC comme base régionale
Ce que vous obtenez
- Une cartographie des données et une évaluation des écarts au regard du DIFC Data Protection Law
- Politiques, mentions d'information et registres de base légale
- Procédures relatives aux droits des personnes, à la notification des violations et aux registres de traitement
- Accompagnement à l'enregistrement et un dossier de preuves de conformité
Les délais dépendent de votre rôle, du volume de données à caractère personnel que vous traitez et de la façon dont elles circulent à l'international. Nous en définissons honnêtement le périmètre dès le départ plutôt que de promettre un nombre fixe de semaines.
Version actuelle
Le régime en vigueur est le DIFC Law No. 5 of 2020, le Data Protection Law, qui a remplacé la loi antérieure de 2007 et s'applique parallèlement aux DIFC Data Protection Regulations qui portent une grande partie des détails opérationnels. Le DIFC a publié des modifications périodiques et des orientations du Commissioner depuis l'adoption, de sorte que les Regulations et les orientations publiées doivent être lues avec la loi principale plutôt qu'isolément. Il n'y a aujourd'hui aucune transition depuis une édition antérieure à gérer ; la tâche pratique consiste à maintenir votre programme à jour à mesure que le Commissioner actualise ses orientations, ses frais et ses attentes en matière de notification. Nous confirmons les dispositions exactes et toute modification récente ayant une incidence sur votre périmètre au cours de la mission.
Ce que cela coûte
Il n'y a pas de certificat DIFC de protection des données à acheter ; il s'agit d'une obligation légale dont vous démontrez le respect au Commissioner, et non d'une norme pour laquelle un organisme accrédité vous certifie, et tr3labs n'est jamais le certificateur, l'auditeur ou le régulateur. Les coûts qui se placent côte à côte sont nos honoraires de conseil et de mise en œuvre au périmètre défini, chiffrés dès le départ une fois que nous comprenons votre taille, votre rôle de responsable du traitement ou de sous-traitant et votre point de départ, ainsi que toute contribution indépendante que vous choisissez d'ajouter, telle qu'une évaluation externe, des conseils juridiques ou l'appui d'un délégué à la protection des données, chacun facturé séparément selon son propre barème. Les frais d'enregistrement et de notification à verser au DIFC Commissioner, lorsqu'ils s'appliquent, sont fixés par le DIFC et sont encore une fois distincts. Nous en définissons le périmètre avec vous plutôt que de chiffrer à l'aveugle.
Comment tr3labs vous y amène
Périmètre et cartographie des données
Nous confirmons votre rôle de responsable du traitement ou de sous-traitant, nous cartographions les données à caractère personnel que vous détenez et la façon dont elles circulent, et nous mesurons vos pratiques actuelles au regard de la loi du DIFC.
Construire les contrôles
Nous vous aidons à mettre en place les politiques, les mentions d'information, les registres de base légale et les processus de protection des données, y compris les dispositions relatives aux transferts internationaux qu'exige la loi.
Droits, enregistrement et gouvernance
Nous mettons en œuvre les droits des personnes, la notification des violations et les registres de traitement, et nous accompagnons les obligations d'enregistrement et de notification auprès du Commissioner, confirmées par un examen interne.
Préparation et preuves
Nous rassemblons les preuves qui démontrent la conformité au Commissioner et aux clients, et nous vous maintenons alignés à mesure que la loi et ses lignes directrices évoluent.
DIFC Data Protection Law comparé au GDPR
Les deux sont des régimes de confidentialité fondés sur des principes, aux droits et obligations étroitement alignés, ce qui explique pourquoi la loi du DIFC est souvent décrite comme proche du GDPR et pourquoi les deux sont facilement confondus.
| DIFC Data Protection Law | GDPR | |
|---|---|---|
| Couvre | Les entités du Dubai International Financial Centre | Les organisations traitant des données à caractère personnel de l'UE et de l'EEE |
| Qui l'exige | Le DIFC Commissioner of Data Protection | Les autorités de contrôle nationales de l'UE et de l'EEE |
| Idée centrale | Principes, droits et responsabilité pour une zone franche financière | Principes, droits et responsabilité dans toute l'UE et l'EEE |
| Certification | Pas de certificat ; conformité démontrée au Commissioner | Pas de certificat ; conformité démontrée aux régulateurs |
| Obligation distinctive | Enregistrement et notification auprès du Commissioner | Autorité de contrôle chef de file et mécanisme de guichet unique |
| Souvent détenu avec | UAE PDPL, ISO 27001 | ISO 27001, lois nationales sur la confidentialité |
FAQ DIFC
- En quoi la loi du DIFC diffère-t-elle du PDPL fédéral des Émirats arabes unis ?
- Le DIFC est une zone franche financière dotée de sa propre loi sur la protection des données, supervisée par le DIFC Commissioner, distincte du PDPL fédéral des Émirats arabes unis. La loi applicable dépend du lieu d'établissement de votre entité. Nous le confirmons lors de la définition du périmètre.
- Devons-nous nous enregistrer auprès du DIFC Commissioner ?
- Le régime du DIFC comprend des obligations d'enregistrement et de notification auprès du Commissioner of Data Protection. Nous vous aidons à comprendre et à respecter ces obligations dans le cadre de la mission.
- Le DIFC Data Protection Law est-il une certification ?
- Non. Il s'agit d'une obligation légale dont vous démontrez le respect au Commissioner, et non d'une norme certifiable. Nous construisons les contrôles et les preuves qui soutiennent et démontrent votre conformité.
Normes associées
À lire aussi
Le OWASP LLM Top 10, expliqué : un guide en langage clair pour les équipes qui déploient des fonctionnalités d'IA
Un parcours clair et pratique des dix principaux risques du OWASP pour les applications fondées sur de grands modèles de langage, avec une description en langage simple et une mesure d'atténuation concrète pour chacun, destiné aux équipes qui ajoutent des fonctionnalités d'IA pour la première fois.
9 min de lecture
Comment lire un rapport de test d'intrusion (VAPT) : un guide en langage clair pour les équipes
Une présentation pratique du contenu d'un rapport de test d'intrusion, section par section, afin que les fondateurs et les équipes d'ingénierie puissent le lire en confiance et agir sur ce qu'il indique.
8 min de lecture
SOC 2 ou ISO 27001 : une comparaison honnête pour vous aider à choisir
Un guide en langage clair sur les véritables différences entre SOC 2 et ISO 27001 : ce qu'est chacun, qui réclame lequel, comment se déroulent les audits, ce que vous détenez au bout du compte, et s'il vous faut les deux.
8 min de lecture