الامتثال للائحة PDPL الإماراتية: ماذا يعني ذلك لموقعك؟

منح المرسوم بقانون اتحادي رقم 45 لسنة 2021 دولة الإمارات قانون حماية بيانات شامل خاصًا بها، يتماشى تقريبًا مع التوجه العالمي نحو قواعد على غرار GDPR. معظم الشركات تعرف بالفعل أن PDPL موجود. لكن القليل منها حدّد فعليًا ما يتطلبه من شيء بسيط مثل موقع شركة يحتوي نموذج تواصل.

أمر يجب توضيحه أولًا

القانون نافذ منذ يناير 2022، لكن لوائحه التنفيذية الكاملة تأخرت عن الجدول الأصلي، ولا يزال مكتب البيانات الإماراتي يبني آلية تنفيذه. أي شخص يخبرك أن قواعد PDPL الإماراتية مستقرة تمامًا فهو يبالغ. ما يلي هو الشكل العملي للالتزامات كما هي قائمة حاليًا — يستحق البناء حوله الآن، بدلًا من انتظار حسم كل التفاصيل.

ما الذي يُعد بيانات شخصية في موقع أعمال عادي

نموذج تواصل، أو اشتراك في نشرة بريدية، أو ملفات تحليلات أو إعلانات (cookies)، أو أي نظام حجز يخزّن اسمًا أو بريدًا إلكترونيًا أو رقم هاتف — كل ذلك يقع تحت مظلة PDPL بمجرد أنك تعالج بيانات تخص أفرادًا في الإمارات، بصرف النظر عن مكان وجود خوادمك فعليًا.

ثلاثة متطلبات تظهر عمليًا

• أساس واضح للمعالجة، وعادة ما تكون موافقة صريحة لأي شيء يتجاوز تلبية طلب مباشر — أي أن نماذجك ولافتات الكوكيز يجب أن تُوضّح ما يُجمع ولماذا، لا مجرد الإشارة إلى صفحة خصوصية عامة واعتبار الأمر منتهيًا
• ممارسات محددة للاحتفاظ بالبيانات وحذفها، بحيث يكون لبيانات نموذج التواصل تاريخ انتهاء فعلي بدلًا من بقائها دون لمس إلى ما لا نهاية
• عملية موثّقة لإشعار الاختراقات، لا مجرد سطر في سياسة الخصوصية يعِد بأن ذلك لن يحدث

كيف تتقاطع خيارات الاستضافة مع هذا

لا تشترط PDPL بقاء بياناتك فعليًا داخل الإمارات في كل سيناريو، لكنها تشترط أن تعرف بالضبط أين تقيم وأن تبرر الضمانات إن كانت في مكان آخر. هذا سبب عملي يجعلنا نميل إلى بنية تحتية مستضافة ذاتيًا ومفتوحة المصدر — تحديدًا Payload CMS — بدلًا من منصة SaaS مشتركة من طرف ثالث. هذا يمنحك إجابة واضحة وقابلة للتدقيق على سؤال "أين تقيم بياناتنا فعليًا"، بدلًا من الإشارة إلى بنية تحتية مشتركة لمزوّد ما والأمل أن تغطيك شروط خدمته.

التحفّظ الواضح

لا شيء مما سبق يُعد استشارة قانونية، ومدى تعرضك الفعلي لمتطلبات PDPL يعتمد على تفاصيل يجب أن يراجعها محامٍ — كيف تجمع البيانات، وماذا تفعل بها، ومن يتعامل معها أيضًا. ما يمكننا الحديث عنه، من الجانب الهندسي، هو أي خيارات بنية تقنية تجعل إثبات الامتثال سهلًا لاحقًا، وأيها يحوّله إلى صداع فيما بعد.

عند تحديد نطاق منصة جديدة، تُناقش تبعات الامتثال منذ البداية، لا كإضافة في الأسبوع الأخير قبل الإطلاق. اطرح السؤال خلال مكالمة تحديد النطاق وسنأخذه بعين الاعتبار منذ المسودة الأولى.