Di cosa si tratta.
La Personal Data Protection Law federale degli Emirati Arabi Uniti è contenuta nel Federal Decree-Law n. 45 del 2021. Introduce un quadro per proteggere le informazioni personali e governarne il trattamento. La pagina divulgativa del governo aiuta a individuare la legge, ma non deve essere confusa con il testo normativo completo. Per chi apre un’attività, usa fornitori o serve clienti negli Emirati, la prima domanda è quale disciplina si applichi: il quadro federale contiene esclusioni e convive con regimi specifici. Una società non può quindi scegliere l’informativa soltanto in base alla lingua del sito o alla sede dichiarata nel contratto del gruppo.
A chi può interessare.
Occorre verificare soggetti, operazioni e collegamenti territoriali previsti dalla legge, insieme alle esclusioni per ambiti regolati separatamente. Le zone franche con proprie leggi di protezione dei dati, come DIFC e ADGM, richiedono un esame distinto; non tutte le attività negli Emirati seguono automaticamente lo stesso testo. Anche settori come salute e credito possono presentare regole dedicate. Per i flussi con l’Unione europea si aggiunge la verifica GDPR dell’esportazione, che non viene assorbita dalla sola esistenza del regime federale.
I punti da capire.
- 01
La scelta del regime precede la redazione dei documenti: legge federale, disciplina della zona franca e regole settoriali devono essere confrontate con l’organizzazione reale dell’attività.
- 02
Finalità, sicurezza e diritti devono essere tradotti in processi. Una clausola contrattuale non descrive, da sola, chi consulta il CRM o come viene cancellato un allegato.
- 03
I trasferimenti richiedono attenzione a destinatari e condizioni applicabili. Collocare un server in un paese non esclude accessi da altri paesi o comunicazioni tra società.
- 01Individua l’ambito
- 02Leggi le regole pertinenti
- 03Verifica sul tuo contesto
Il percorso orienta la lettura: non costituisce una verifica automatica di conformità.
Cosa verificare in pratica.
- Disegnare una mappa delle entità e delle sedi coinvolte, identificando per ciascun trattamento il regime da approfondire prima di adottare un modello documentale.
- Distinguere dati di clienti, dipendenti e utenti e verificare quali regole speciali possono riguardare documenti sanitari, finanziari o altri contenuti delicati.
- Controllare testo corrente, atti esecutivi e fonti dell’autorità competente prima di fissare scadenze, nomine o misure obbligatorie nel piano di progetto.
UN ESEMPIO PER ORIENTARSI
Dal principio alla situazione concreta.
Scenario ipotetico: un’azienda italiana apre una società negli Emirati e utilizza lo stesso portale per clienti europei e locali. Il team considera sufficiente aggiungere una traduzione araba all’informativa. Prima del lancio verifica invece dove è costituita la società, quale attività svolge e quali servizi sono gestiti da soggetti separati. Distingue poi dati commerciali e documenti sanitari ricevuti incidentalmente. Questa ricostruzione consente di affidare la verifica giuridica al regime corretto e di limitare gli accessi, senza presumere che un solo documento copra qualsiasi sede.
Scenario ipotetico a scopo divulgativo.Ambito, limiti e aggiornamenti.
La pagina del governo è una panoramica e non prova che ogni possibile disposizione esecutiva sia già operativa. Ambito, eccezioni e adempimenti vanno verificati nella fonte normativa e negli atti pertinenti. Questa scheda non tratta in dettaglio i regimi DIFC e ADGM. La presenza di una sede a Dubai, da sola, non identifica la legge applicabile a tutti i trattamenti del gruppo.
Verificare ambito, eccezioni e atti esecutivi. Zone franche come DIFC e ADGM hanno discipline proprie, da valutare separatamente.
Le fonti ufficiali.
La scheda spiega il riferimento in termini divulgativi. Per applicarlo consulta il testo vigente, gli allegati, gli aggiornamenti e le disposizioni pertinenti.