Guia de consentiment de cookies de la PDPL dels EAU: Decret-llei federal 45 de 2021 per a editors
Els Emirats Àrabs Units van aprovar la seva Llei de Protecció de Dades Personals a finals de 2021 i la van posar en vigor l'any següent. Federal Decree-Law 45 of 2021, coneguda com a PDPL, és l'estatut de privacitat federal integral primer del país, i pren molt del GDPR mentre adapta disposicions clau a la llei federal dels EAU i les consideracions de localització de dades del país. Per als editors que operen als EAU o que busquen tràfic dels EAU — un mercat que ha crescut considerablement amb el desenvolupament del comerç electrònic regional, fintech, i els negocis de mitjans de comunicació d'hipescala basats a Dubai i Abu Dhabi — la PDPL va convertir el consentiment de galetes d'una expectativa suau en una obligació de compliment federal. Aquesta guia passa per com la PDPL tracta el seguiment en línia, on l'Oficina de Dades dels EAU està enfocant l'aplicació, i quines són les implicacions pràctiques per al disseny de bàners de galetes i la configuració de CMP.
El Marc Legal de la PDPL
La PDPL s'aplica al tractament de dades personals de residents dels EAU, tant si el tractament es produeix dins dels EAU com fora, i tant si el responsable o el processor està establert als EAU com si opera des de l'estranger. L'abast territorial és per tant extraterritorial de la mateixa manera que ho és el GDPR — un editor que opera des de Londres o Singapur tractant dades sobre residents dels EAU està dins de l'abast. L'autoritat supervisora és l'Oficina de Dades dels EAU, establerta sota el mateix paquet legislatiu, que ha adoptat una postura mesurada però cada vegada més activa respecte a l'aplicació.
Els principis fonamentals de la PDPL seran familiars per a qualsevol que hagi treballat amb el GDPR: base legítima, limitació de propòsit, minimització de dades, exactitud, limitació d'emmagatzematge, integritat i confidencialitat, i responsabilitat. Les bases legítimes segons Article 4 inclouen consentiment, execució de contracte, obligació legal, interessos vitals, interès públic i interessos legítims, cadascun amb el seu propi abast i condicions. Per al seguiment en línia, les bases rellevants són el consentiment i, en circumstàncies limitades, l'interès legítim. Les galetes preinstal·lades que recopilen dades personals sense consentiment són una violació de la mateixa manera que seria sota el GDPR.
Què Compta com a Dada Personal Segons la PDPL
La definició de dada personal de la PDPL és àmplia i segueix de prop el GDPR: qualsevol dada relacionada amb una persona física identificada o identificable, incloent identificadors en línia. Les galetes que identifiquen de forma persistent un dispositiu, les adreces IP processades juntament amb altres dades, els ID de publicitat i els identificadors d'estil d'empremta digital tots cauen dins de l'abast. La guia d'implementació de l'Oficina de Dades ha confirmat que l'anàlisi aplicada a les galetes de comportament i publicitat a la UE s'aplica essencialment de la mateixa forma als EAU — el que difereix és l'arquitectura d'aplicació, no l'estàndard substantiu.
La PDPL també defineix una categoria de dades personals sensibles amb requisits de tractament més estrictes, cobrint informació de salut, dades genètiques i biomètriques, creença religiosa, antecedents penals i categories similars. Les galetes que capturen qualsevol d'aquestes dades requereixen consentiment exprés i salvaguardes addicionals.
Consentiment de Galetes Segons la PDPL
La PDPL no conté una disposició específica de galetes de la manera que ho fa la Directiva ePrivacy de la UE. En canvi, el requisit de consentiment sorgeix de Article 6, que estableix l'estàndard general per al consentiment vàlid: ha de ser específic, inequívoc, informat i lliurement donat, i el titular de les dades ha de poder retirar el consentiment amb tanta facilitat com l'ha donat. L'Oficina de Dades ha interpretat aquest estàndard per requerir:
- Una acció afirmativa explícita abans que les galetes no essencials es disparin. La navegació contínua, l'desplaçament o el consentiment implícit no són suficients.
- Controls de categoria granulars separant galetes estrictament necessàries de les analítiques i de la publicitat, amb la possibilitat que el visitant accepti unes i en rebutgi altres.
- Un mecanisme de retirada clar accessible des de qualsevol pàgina on el seguiment estigui actiu, amb la retirada prenent efecte immediatament.
- Documentació de la decisió de consentiment suficient per satisfer el requisit de responsabilitat segons Article 5.
En la pràctica, aquest és l'estàndard operacional mateix que un editor construiria per al GDPR. Un bàner que passa els criteris de la EDPB Cookie Banner Taskforce satisfarà la PDPL; un que falla els fallarà sota l'escrutini de la PDPL també.
Transferències de Dades Transfronterer
Una de les característiques més distintives de la PDPL és el seu marc de transferència transfronterera. Article 22 i Article 23 de la PDPL estableixen les condicions sota les quals les dades personals es poden transferir fora dels EAU, estructurades al llarg de línies que són paral·leles — però no idènticament mirall — al Capítol V del GDPR.
Designacions d'estil d'adequació
La PDPL permet que l'Oficina de Dades designi els països com a que proporcionen protecció adequada. La llista actual és més curta que la de la Comissió Europea i s'espera que evolucioni. Fins que un país es designi, les transferències requereixen un dels altres mecanismes legítims.
Acords contractuals estàndard
La PDPL permet transferències recolzades per salvaguardes contractuals apropiades, similars als SCCs de la UE en estructura. Molts responsables dels EAU operen amb addenda contractuals bespoke que l'Oficina de Dades revisa sota petició.
Derogacions específiques
Les derogacions de consentiment explícit, execució de contracte i interès vital estan disponibles però estretament construïdes. La confiança rutinària en el consentiment per a transferències — que sota el GDPR sovint es considera excepcional en lloc de sistemàtica — es tracta de manera similar aquí.
Per als editors en línia, l'impacte pràctic és que el registre de consentiment de galetes ara també ha de suportar una obligació de responsabilitat de transferència. Si un visitant als EAU accepta galetes que encaminen les seves dades a un proveïdor de tecnologia publicitària dels EUA, el CMP ha de poder mostrar l'instrument de transferència que autoritza aquest flux.
Consideracions Sectorials i de Zones Francas
El panorama de privacitat dels EAU és estratificat. La PDPL federal s'aplica àmpliament, però diverses zones franques — el Dubai International Financial Centre (DIFC), l'Abu Dhabi Global Market (ADGM) i la Dubai Healthcare City — operen els seus propis règims de protecció de dades que preedaten la PDPL. DIFC Data Protection Law No. 5 of 2020 i les ADGM Data Protection Regulations 2021 són totes dues alineades amb el GDPR i s'apliquen dins de les seves respectives zones. Els editors que operen en múltiples zones han de reconciliar la PDPL federal amb el marc aplicable de la zona franca; en la majoria dels casos els estàndards substantius convergeixen però el canal supervisiu difereix.
Què ha Senyalat l'Oficina de Dades
L'Oficina de Dades dels EAU ha estat deliberada en la seva postura d'aplicació, prioritzant la construcció de capacitat, la consulta sectorial i els casos d'alt perfil sobre un règim de multes d'alt volum. Els documents de guia pública han emfatitzat:
Disseny de bàners
L'Oficina de Dades s'ha alineat amb criteris d'estil EDPB en disseny de bàners, tractant botons de rebuig desapareguts, estil de enllaç enganyós i caselles de verificació premarquées com a defectes comuns que requereixen remei. L'expectativa és convergència amb normes europees.
Transparència transfronterera
L'Oficina ha senyalat que les transferències internacionals seran un focus particular, especialment on les dades personals es dirigeixen a jurisdiccions sense adequació designada. La documentació del mecanisme de transferència es tracta com un requisit de responsabilitat, no opcional.
Revelació en idioma àrab
Mentre que la PDPL no obliga l'àrab, l'Oficina de Dades ha indicat que les revelacions haurien d'estar disponibles en àrab on la principal audiència és arabòfona, tant per a l'accessibilitat com per a propòsits probatoris.
Una Llista de Control Pràctica de Compliment
Sis preguntes concretes a respondre per a qualsevol bàner de galetes que serveixi tràfic dels EAU.
1. Consentiment afirmatiu abans del seguiment
Són bloquejades les galetes no essencials a nivell de carregador de script fins que el visitant prengui una acció afirmativa? La precarrega del bàner sobre rastrejadors que ja es disparen és una violació per se.
2. Categories granulars
Separa el bàner les categories necessària, analítiques i de publicitat, amb togles independents? L'acceptació conjunta sense granularitat és un defecte.
3. Disponibilitat en idioma àrab
Detecta el bàner visitants que parlen àrab i presenta en àrab per defecte, amb anglès com a alternativa commutable? L'Oficina de Dades ha assenyalat explícitament l'accessibilitat lingüística.
4. Accés a la retirada
Són el control de retirada persistent i accessible des de cada pàgina? Els ajustos de múltiples passos enterrats en un enllaç de peu de pàgina falten l'estàndard "tan fàcil de retirar com de donar".
5. Documentació de transferència transfronterera
Per a cada galeta que activés una transferència internacional, està documentat el mecanisme de transferència (adequació, salvaguarda contractual, derogació) i és surfaceable a petició?
6. Registre de consentiment
Enregistra el sistema cada decisió de consentiment amb marca de temps, versió de bàner, opció i jurisdicció del visitant perquè l'editor pugui respondre una consulta de l'Oficina de Dades amb proves?
On la PDPL es Col·loca en la Imatge Regional
La PDPL dels EAU és una de les diverses marcs de privacitat del Golf que han entrat en vigor els últims anys — el PDPL de l'Aràbia Saudita, la Llei de Protecció de Dades Personals del Bahrain, la Llei de Privacitat de Dades Personals de Qatar i la Llei de Protecció de Dades Personals d'Oman totes operen al costat. Els estàndards substantius a través de la regió estan convergint en principis alineats amb el GDPR, amb variacions nacionals en arquitectura supervisiva, mecanismes de transferència i exempcions sectorials. Per als editors que operen a través del Golf, construir una vegada a l'estàndard més alt — consentiment granular, retirada persistent, transferències documentades, suport d'idioma àrab, registre d'audit — gestiona el compliment regional a través de la mateixa infraestructura de CMP que gestiona el compliment europeu. Els EAU són, en molts aspectes, el campanó regional: on es mou l'Oficina de Dades, els reguladors veïns tendeixen a seguir.
```