Confidentialité et protection des données
PDPL
Personal Data Protection Law (Émirats arabes unis et Arabie saoudite)
PDPL désigne les lois sur la protection des données personnelles des Émirats arabes unis et de l'Arabie saoudite, qui définissent comment les données personnelles doivent être collectées, traitées et transférées. Nous vous aidons à cartographier vos données, à combler les écarts et à démontrer votre conformité.
Ce qu'est PDPL
Les lois sur la protection des données personnelles des Émirats arabes unis et du Royaume d'Arabie saoudite régissent la manière dont les organisations collectent, traitent, conservent et transfèrent les données personnelles des individus. Elles définissent les bases légales du traitement, les droits des individus, les obligations de sécurité et les règles relatives aux transferts transfrontaliers, administrées par les autorités nationales de protection des données respectives.
PDPL est une obligation légale dont vous démontrez la conformité plutôt qu'une norme pour laquelle un organisme accrédité vous certifie. Les deux régimes partagent des principes familiers de protection des données mais diffèrent dans le détail, et ils peuvent s'appliquer à des organisations situées hors de la région lorsqu'elles traitent les données personnelles des individus qui s'y trouvent.
L'anatomie des deux lois
Principes · traitement licite et loyal
Les deux lois exigent que les données personnelles soient traitées de manière licite, loyale et transparente, pour des finalités déterminées et limitées à ce qui est nécessaire.
Base légale · fondements du traitement
Le traitement doit reposer sur un fondement juridique reconnu, tel que le consentement ou une autre base prévue par la loi applicable.
Droits de la personne concernée · maîtrise pour les individus
Les individus se voient accorder des droits incluant l'accès, la rectification, l'effacement et l'opposition, que le responsable du traitement doit pouvoir mettre en œuvre dans des délais déterminés.
Obligations du responsable du traitement · responsabilité
Les organisations doivent tenir des registres des traitements, appliquer des mesures de sécurité, évaluer les risques et, dans des cas définis, désigner un délégué à la protection des données ou un rôle équivalent.
Notification des violations · signalement des incidents
Les violations de données personnelles qui atteignent le seuil défini doivent être notifiées à l'autorité nationale compétente, et aux individus concernés lorsque cela est requis.
Transfert transfrontalier · faire sortir les données
Les transferts de données personnelles hors de la juridiction ne sont autorisés que vers des destinations adéquates ou dans le cadre de garanties et de conditions approuvées.
Autorité de contrôle · application
Chaque loi est administrée par une autorité nationale de protection des données dotée de pouvoirs d'enquête, d'injonction de remédiation et d'imposition de sanctions.
Qui en a besoin
- Les organisations établies aux Émirats arabes unis ou en Arabie saoudite qui traitent des données personnelles
- Les entreprises situées hors de la région qui traitent les données personnelles des individus qui s'y trouvent
- Les entreprises en expansion dans le Golfe qui ont besoin d'une posture de protection des données défendable
Ce que vous obtenez
- Une cartographie des données et une analyse des écarts par rapport aux exigences PDPL applicables
- Des politiques, des mentions d'information et des registres de base légale ou de consentement
- Des procédures relatives aux droits des individus, à la réponse aux violations et aux registres des traitements
- Un dossier de preuves de conformité et une documentation sur les transferts transfrontaliers
Les délais dépendent du régime applicable, du volume de données personnelles que vous traitez et de la façon dont elles circulent au-delà des frontières. Nous en définissons honnêtement le périmètre en amont plutôt que de promettre un nombre fixe de semaines.
Version actuelle
Aux Émirats arabes unis, le Federal Decree-Law No. 45 of 2021 relatif à la protection des données personnelles est le régime fédéral actuel, supervisé par l'UAE Data Office. En Arabie saoudite, le Personal Data Protection Law promulgué par le Royal Decree M/19 of 2021, tel que modifié en 2023, est en vigueur avec ses Implementing Regulations et les règlements relatifs au transfert de données personnelles, appliqué par la Saudi Data and AI Authority. Les deux régimes continuent de publier et de mettre à jour des règles exécutives et d'application, de sorte que les obligations détaillées évoluent dans le temps. Considérez les orientations actuelles de chaque autorité comme la référence et réexaminez vos contrôles à mesure que de nouvelles réglementations sont publiées.
Ce que cela coûte
PDPL est une obligation légale, pas une norme certifiable, il n'y a donc aucun certificat à acheter ni aucun organisme accrédité à payer pour un tampon. Les coûts correspondent à nos honoraires de conseil et de mise en œuvre au périmètre défini, chiffrés en amont une fois que nous comprenons votre taille, le régime applicable et votre point de départ, plus toute évaluation indépendante, tout audit externe, ou tout délégué à la protection des données et toute contribution juridique locale que vous choisissez de solliciter, que ces parties facturent séparément selon leurs propres conditions. tr3labs n'est jamais l'organisme de certification, l'auditeur ou le régulateur ; c'est l'autorité nationale de protection des données qui détient ce rôle. Nous définissons le périmètre du travail avec vous plutôt que de chiffrer à l'aveugle.
Comment tr3labs vous y amène
Périmètre et cartographie des données
Nous déterminons quel régime s'applique, cartographions les données personnelles que vous détenez et la façon dont elles circulent, et mesurons vos pratiques actuelles par rapport aux exigences PDPL applicables.
Construire les contrôles
Nous vous aidons à mettre en place les politiques, les mentions d'information, les registres de consentement et de base légale, ainsi que les processus de protection des données nécessaires pour satisfaire à la loi, y compris les exigences relatives aux transferts transfrontaliers.
Droits et gouvernance
Nous mettons en œuvre les processus de traitement des demandes relatives aux droits des individus, de réponse aux violations et de registres des traitements, et menons une revue interne pour confirmer qu'ils fonctionnent.
Préparation et preuves
Nous rassemblons les preuves qui démontrent la conformité à l'autorité compétente et aux clients, et vous maintenons alignés à mesure que les réglementations et leurs règlements d'application évoluent.
PDPL et GDPR côte à côte
On confond les deux parce que les régimes PDPL du Golfe empruntent une grande partie de leur structure et de leur vocabulaire au GDPR, tout en différant par la juridiction et le détail.
| PDPL (UAE & Saudi Arabia) | GDPR | |
|---|---|---|
| Couvre | Les données personnelles aux Émirats arabes unis et en Arabie saoudite | Les données personnelles dans l'UE et l'EEE |
| Qui l'exige | L'UAE Data Office et la SDAIA saoudienne | Les autorités de protection des données de l'UE et nationales |
| Idée centrale | Traitement licite et sécurisé des données personnelles | Traitement licite et sécurisé des données personnelles |
| Modèle d'audit | Conformité démontrée à l'autorité, sans certificat | Conformité démontrée à l'autorité, sans certificat |
| Règles de transfert | Adéquation et garanties propres à la région | Décisions d'adéquation et garanties standard |
| Souvent détenu avec | Le droit du DIFC et ISO 27001 | ISO 27001 et SOC 2 |
FAQ PDPL
- Le PDPL des Émirats arabes unis ou de l'Arabie saoudite s'applique-t-il à nous si nous sommes établis ailleurs ?
- C'est possible. Les lois peuvent atteindre les organisations situées hors de la région lorsqu'elles traitent les données personnelles des individus qui s'y trouvent. Nous vous aidons à déterminer si et comment chaque régime s'applique lors de la définition du périmètre.
- Comment PDPL se compare-t-il au GDPR ?
- Les lois des Émirats arabes unis et de l'Arabie saoudite partagent avec le GDPR des principes familiers de protection des données, tels que les bases légales, les droits des individus et les obligations de sécurité, mais diffèrent dans le détail et dans leurs règles de transfert. Un travail GDPR existant vous donne une solide longueur d'avance.
- PDPL est-il une certification ?
- Non. Il s'agit d'une obligation légale dont vous démontrez la conformité à l'autorité compétente, et non d'une norme certifiable. Nous construisons les contrôles et les preuves qui soutiennent et démontrent votre conformité.
Normes associées
À lire aussi
Le OWASP LLM Top 10, expliqué : un guide en langage clair pour les équipes qui déploient des fonctionnalités d'IA
Un parcours clair et pratique des dix principaux risques du OWASP pour les applications fondées sur de grands modèles de langage, avec une description en langage simple et une mesure d'atténuation concrète pour chacun, destiné aux équipes qui ajoutent des fonctionnalités d'IA pour la première fois.
9 min de lecture
Comment lire un rapport de test d'intrusion (VAPT) : un guide en langage clair pour les équipes
Une présentation pratique du contenu d'un rapport de test d'intrusion, section par section, afin que les fondateurs et les équipes d'ingénierie puissent le lire en confiance et agir sur ce qu'il indique.
8 min de lecture
SOC 2 ou ISO 27001 : une comparaison honnête pour vous aider à choisir
Un guide en langage clair sur les véritables différences entre SOC 2 et ISO 27001 : ce qu'est chacun, qui réclame lequel, comment se déroulent les audits, ce que vous détenez au bout du compte, et s'il vous faut les deux.
8 min de lecture