Cybersecurity

قانون حماية البيانات في الإمارات: ما الذي يجب على شركتك فعله قبل 1 يناير 2027

يتم الآن تطبيق قانون حماية البيانات الشخصية في الإمارات وفق جدول زمني. إليك ما يجب على شركة إماراتية متوسطة الحجم فعله فعلياً، بالترتيب الذي يقلل المخاطر بأسرع شكل.

2026-09-05 · PDPL, Compliance, Data Protection, UAE

قانون حماية البيانات الشخصية في الإمارات (المرسوم بقانون اتحادي رقم 45 لسنة 2021، ويُختصر عادةً بـ PDPL) موجود منذ سنوات، لكن عام 2026 هو العام الذي بدأ فيه أثره يُلمس فعلياً. فمع سريان اللائحة التنفيذية، وتداول موعد نهائي للامتثال في 1 يناير 2027 على نطاق واسع، بات السؤال الأكثر تكراراً الذي يطرحه علينا المديرون الماليون ومديرو تقنية المعلومات في دبي بسيطاً: ما الذي يتعين علينا فعله فعلياً؟

هذه هي قائمة التحقق التي نستخدمها مع عملائنا. وهي موجهة لشركة يتراوح عدد موظفيها بين 20 و500 شخص، تعالج بيانات العملاء والموظفين والموردين، وليس لديها إدارة قانونية. تأكد من التفاصيل مع مستشارك القانوني؛ أما الضوابط التقنية فهي من اختصاصنا.

1. اعرف ما تحتفظ به من بيانات شخصية، وأين

كل ما عدا ذلك يعتمد على هذه الخطوة. أنشئ خريطة بيانات تُدرج كل نظام يحتفظ ببيانات شخصية (Microsoft 365، ونظام ERP، ومنصة الموارد البشرية، ونظام CRM، ومحركات الأقراص المشتركة، ومجموعات WhatsApp، وذلك الجدول في قسم المالية)، وفئات البيانات الموجودة في كل منها، ومن يملك صلاحية الوصول إليها، وأين توجد البيانات فعلياً.

تكتشف معظم الشركات في الإمارات مفاجأتين هنا: كمية من البيانات الشخصية على الأجهزة الطرفية غير المُدارة والحسابات السحابية الشخصية تفوق بكثير ما كانت تتوقعه، وأداة SaaS واحدة على الأقل تخزّن البيانات خارج الدولة دون أن يوافق عليها أحد.

2. حدّد الأساس القانوني لكل نشاط معالجة

يشترط PDPL، كما هو الحال في GDPR، وجود أساس قانوني لكل استخدام للبيانات الشخصية. بالنسبة لمعظم عمليات المعالجة التجارية يكون هذا الأساس هو العقد أو المصلحة المشروعة؛ أما للتسويق فهو عادةً الموافقة. وثّق ذلك لكل نشاط على حدة. وإذا لم تتمكن من تحديد أساس واضح، فأوقف المعالجة أو صحّح الأساس.

3. أصلح آليات الموافقة وإشعارات الخصوصية

يجب أن يوضح إشعار الخصوصية على موقعك الإلكتروني، وشريط ملفات تعريف الارتباط (Cookies)، وأي نماذج اشتراك تسويقية، ما الذي تجمعه، ولماذا، ولأي مدة، ومع من تشاركه، بلغة واضحة. ويجب أن تكون الموافقة خياراً فعلياً يتخذه المستخدم. فالمربعات المحددة مسبقاً وصيغ مثل "باستخدامك لهذا الموقع فإنك توافق" لا تستوفي المعيار.

4. كن قادراً على الرد على طلبات أصحاب البيانات

يحق للأفراد أن يسألوا عن البيانات التي تحتفظ بها عنهم، وأن يطلبوا تصحيحها أو حذفها، وأن يعترضوا على أنواع معينة من المعالجة. خصّص صندوق بريد، وإجراءً بسيطاً، وطريقة فعلية للعثور على بيانات الشخص وتصديرها عبر أنظمتك. تغطي ميزتا البحث في المحتوى (Content Search) وeDiscovery في Microsoft Purview معظم بيئة Microsoft 365؛ أما نظام ERP ونظام الموارد البشرية فسيحتاج كل منهما إلى طريقته الخاصة.

5. استعد للإبلاغ عن الاختراقات

يتوقع PDPL منك اكتشاف الاختراقات وإبلاغ UAE Data Office، وفي بعض الحالات الأفراد المتأثرين، دون تأخير غير مبرر. ولا يمكنك الإبلاغ عما لا تراه. كحد أدنى تحتاج إلى:

• تسجيل مركزي (Logging) للهويات والبريد الإلكتروني والأجهزة الطرفية
• جهة تراقب هذه السجلات، سواء فريق داخلي أو خدمة اكتشاف واستجابة مُدارة (MDR)
• خطة مكتوبة للاستجابة للحوادث تتضمن أدواراً محددة بالأسماء ونموذجاً للإبلاغ

6. قرّر ما إذا كنت بحاجة إلى مسؤول حماية بيانات

تعيين مسؤول حماية البيانات (DPO) إلزامي في حالات معينة، بشكل عام حين تكون المعالجة عالية المخاطر أو واسعة النطاق أو تتضمن بيانات حساسة. كثير من الشركات متوسطة الحجم لن تحتاج إليه بشكل صارم، لكن تعيين مسؤول محدد بالاسم عن حماية البيانات يُعد ممارسة جيدة ويجعل عمليات التدقيق أسهل بكثير.

7. طبّق الضوابط التقنية

هنا تحديداً يُثبت شريك تقنية المعلومات قيمته. أكثر الضوابط التي ننفذها لأغراض PDPL هي:

• المصادقة متعددة العوامل على كل حساب، مع الوصول المشروط (Conditional Access) للمسؤولين
• تصنيف البيانات وDLP في Microsoft 365 حتى لا تخرج البيانات الشخصية عبر البريد الإلكتروني أو USB دون أن يُلاحَظ ذلك
• التشفير أثناء التخزين وأثناء النقل، بما في ذلك أجهزة الكمبيوتر المحمولة (BitLocker) والأجهزة المحمولة (Intune)
• مراجعات الوصول حتى لا يترك الموظفون المغادرون وتغييرات الأدوار صلاحيات قديمة قائمة
• نسخ احتياطية غير قابلة للتعديل حتى لا تتحول حادثة فدية إلى حادثة فقدان بيانات أيضاً
• سياسات الاحتفاظ حتى تُحذف البيانات عند انتهاء الغرض منها

8. وثّق كل شيء

يريد المدققون والجهات التنظيمية أدلة: خريطة البيانات، وسجل الأسس القانونية، وتقييمات أثر حماية البيانات (DPIAs) للمعالجة عالية المخاطر، وخطة الاستجابة للحوادث، وسجلات التدريب، وما يثبت وجود الضوابط. مجلد مشترك يضم مستندات مؤرخة يكفي للبدء.

من أين تبدأ

إذا لم تفعل شيئاً آخر خلال هذا الربع، فنفّذ الخطوات 1 و5 و7. فهي الأكثر حداً من المخاطر، وهي التي سيكشفها أي اختراق. يغطي تقييم الجاهزية لـ PDPL من Binary Minds المجالات الثمانية كلها خلال أسبوع، ويمنحك خطة مرتبة حسب الأولوية يمكنك تقديمها إلى مجلس الإدارة.

أفادت التقارير بأن الغرامات بموجب إطار PDPL قد تصل إلى 5 ملايين درهم (AED 5 million). اعتبر هذه الأرقام دافعاً للبدء، لا سبباً للذعر.

العودة إلى المدونة · اطلب عرض سعر مجاني