Les données personnelles sont aujourd'hui devenues le nerf de l'économie numérique et l'une des sources de responsabilité juridique les plus sensibles pour les organisations aux Émirats arabes unis. Chaque nom, numéro de téléphone, adresse e-mail et enregistrement de transaction est désormais régi par un cadre législatif fédéral qui oblige les entreprises à protéger ce qu'elles collectent et confère aux individus un véritable pouvoir sur leurs données. Le législateur émirien a établi ce cadre par la loi fédérale sur la protection des données personnelles, qui concilie la libre circulation de l'information et les exigences des affaires, d'une part, et les droits fondamentaux des personnes concernées, d'autre part. Dans cet article, nous exposons les principales obligations des entreprises et les droits reconnus aux individus, en précisant qui est soumis à la loi et qui en est exempté.

Quelles sont les obligations des entreprises et les droits des individus en vertu de la loi sur la protection des données personnelles aux Émirats arabes unis ?

Le cadre juridique et l'autorité de contrôle

Le système de protection des données personnelles dans l'État repose sur la loi fédérale sur la protection des données personnelles, qui fixe les cadres généraux relatifs à la collecte, au traitement, à la conservation et à la protection des données personnelles, ainsi que les droits et devoirs de toutes les parties. La supervision de son application relève de l'Office des données des Émirats, institué par une loi fédérale distincte, qui constitue l'autorité de régulation compétente pour émettre des directives, recevoir les plaintes et contrôler la conformité. Plusieurs aspects procéduraux détaillés — tels que les sanctions, les règles de transfert transfrontalier et les limites des exemptions — sont renvoyés au règlement d'exécution de la loi.

Champ d'application : qui est soumis à la loi ?

La loi s'applique au traitement des données personnelles, en tout ou en partie, par des moyens électroniques ou autres, et elle a une portée extraterritoriale dans des cas déterminés. Son champ d'application comprend :

Entités et cas exemptés de la loi

La loi définit expressément les cas auxquels ses dispositions ne s'appliquent pas — un point essentiel pour déterminer la législation applicable à chaque entité :

Pourquoi les zones franches sont-elles indépendantes ? En vertu de cette exemption, les entités opérant dans des zones franches disposant de leur propre système — telles que le Dubai International Financial Centre et l'Abu Dhabi Global Market — sont soumises à leur législation indépendante et à leur propre autorité de contrôle, et non à la loi fédérale. L'Office des données des Émirats peut également exempter certains établissements ne traitant pas un volume important de données d'une partie des exigences, selon les règles du règlement d'exécution.

Le système de protection à plusieurs niveaux dans l'État

Les principes de traitement des données personnelles

Le consentement et les cas de traitement licite sans consentement

En principe, le traitement des données personnelles sans le consentement de la personne concernée est interdit. Ce consentement doit pouvoir être prouvé par le responsable ; il doit être clair, simple, non équivoque et facilement accessible ; et il doit inclure le droit de le retirer aisément — sans que ce retrait affecte la licéité du traitement antérieur. La loi exempte de l'exigence de consentement certains cas où le traitement est licite, notamment :

Les obligations des entreprises (responsable et sous-traitant)

La notification d'une violation de données

Dès qu'il a connaissance de toute violation ou atteinte portant sur la confidentialité, le caractère privé et la sécurité des données, le responsable doit notifier à l'Office la nature de la violation, ses causes, ses effets potentiels et les mesures prises, et doit en informer la personne concernée lorsque la violation touche ses données. Le sous-traitant doit informer le responsable dès qu'il en a connaissance, afin que celui-ci puisse en aviser l'Office.

La désignation d'un délégué à la protection des données (DPO)

Un délégué qualifié à la protection des données doit être désigné dans trois cas : si le traitement engendre un risque élevé pour la vie privée des données du fait de nouvelles technologies ou du volume des données ; s'il comporte une évaluation systématique et exhaustive de données sensibles, y compris le profilage et le traitement automatisé ; ou s'il porte sur un volume important de données sensibles. Le délégué vérifie la conformité, reçoit les demandes et les plaintes, et fait office de point de liaison avec l'Office.

Les droits des individus sur leurs données personnelles

Le transfert transfrontalier des données

Les données personnelles peuvent être transférées hors de l'État vers un pays ou un territoire assurant un niveau de protection adéquat, ou dans des cas déterminés, notamment : le consentement explicite de la personne concernée, d'une manière non contraire à l'intérêt public et sécuritaire ; lorsque le transfert est nécessaire à l'établissement de droits devant les autorités judiciaires ; pour conclure ou exécuter un contrat servant l'intérêt de la personne concernée ; pour une procédure relative à la coopération judiciaire internationale ; ou pour protéger l'intérêt public. Le règlement d'exécution fixe les règles de ces cas.

Le contrôle, les plaintes et les sanctions

Le rôle de l'Office des données des Émirats : la personne concernée peut déposer une plainte auprès de l'Office en cas d'atteinte à l'un de ses droits, et l'Office peut vérifier les causes des violations et infliger des sanctions administratives au responsable ou au sous-traitant qui enfreint les dispositions de la loi et les décisions prises pour son application. Le montant de ces sanctions administratives et leurs procédures sont déterminés par le règlement d'exécution de la loi, outre le pouvoir de l'Office d'émettre des directives et de suivre la conformité.

Références juridiques

Foire aux questions