في 14 يونيو 2026 اعتمد الشيخ محمد بن راشد إنشاء هيئة الذكاء الاصطناعي والبيانات، وهي جهة تتولى اختصاصات ثلاث جهات، إحداها مكتب الإمارات للبيانات. وكان هذا المكتب، على الورق، الجهة الرقابية على القانون الاتحادي لحماية البيانات الشخصية. وبعد أربعة أيام أطلق مركز دبي المالي العالمي استشارة عامة حول تعديل لوائح حماية البيانات المتعلقة بأنظمة الذكاء الاصطناعي. لا يغيّر أي من الخبرين ما يجب على فريق تقنية المعلومات فعله صباح الاثنين. لكنهما يذكّران بأن "حماية البيانات في الإمارات" تعني ثلاث مجموعات منفصلة من القواعد، وأن المجموعة التي تحكم صناديق البريد وقائمة التذاكر لديك تتوقف على مكان ترخيص شركتك.
يضع هذا المقال تلك القواعد جنبًا إلى جنب لنظامين يحملان أكبر قدر من البيانات الشخصية في الشركة الصغيرة أو المتوسطة المعتادة: بريد الأعمال ومكتب المساعدة. وهو قراءة عملية للنصوص وليس استشارة قانونية. وفي أي قرار ينطوي على مخاطر حقيقية، استشر محاميًا مرخصًا في الجهة القضائية المعنية.
ثلاثة أنظمة في دولة واحدة
القانون الاتحادي هو المرسوم بقانون اتحادي رقم 45 لسنة 2021، النافذ منذ 2 يناير 2022. تشمل المادة 2 منه المتحكمين المقيمين في الدولة أيًا كان أصحاب البيانات التي يعالجونها، والمتحكمين خارج الدولة الذين يعالجون بيانات أشخاص داخلها. وتعدد المادة نفسها ما لا يسري عليه القانون. واستثناءان منها يهمان البريد والتذاكر: الشركات في المناطق الحرة التي لديها تشريعات خاصة بحماية البيانات، والبيانات الصحية أو المصرفية التي ينظمها تشريع خاص (البنود 2(2)(هـ) إلى (ز)).
والمنطقتان الحرتان الماليتان لديهما ذلك بالضبط: قانون حماية البيانات في مركز دبي المالي العالمي، القانون رقم 5 لسنة 2020 ولوائح حماية البيانات في سوق أبوظبي العالمي لسنة 2021. وبموجب المادة 6(3) من قانون المركز، يسري القانون على المتحكم المسجّل في المركز "بصرف النظر عما إذا كانت المعالجة تتم داخل المركز أم لا". فالشركة المسجلة في المركز التي يقع بريدها في مركز بيانات أوروبي تبقى خاضعة لقانون المركز بشأن ذلك البريد.
باختصار: الشركة في البر الرئيسي، أو في منطقة حرة ليس لها قانون مستقل لحماية البيانات، تقرأ القانون الاتحادي. والكيان المسجل في مركز دبي المالي العالمي يقرأ قانون المركز، والكيان في سوق أبوظبي العالمي يقرأ لوائح السوق. والمجموعة التي لها كيانات في الأماكن الثلاثة تحتاج إلى ثلاث إجابات، لا إلى "سياسة إماراتية" واحدة.
ما الذي تغيّر فعلًا في 2026
في البر الرئيسي، أقل مما توحي به العناوين. فقد ألزمت المادة 28 من القانون مجلس الوزراء بإصدار اللائحة التنفيذية خلال ستة أشهر من صدور المرسوم بقانون في 20 سبتمبر 2021. ويُفترض أن تحدد هذه اللائحة مهلة الإبلاغ عن الاختراق وشروط النقل وعددًا من الإعفاءات. وما زالت البوابة الرسمية للتشريعات تعرض آخر تحديث للمرسوم بتاريخ 20 سبتمبر 2021، ولا تبدأ مهلة توفيق الأوضاع البالغة ستة أشهر في المادة 29 إلا من تاريخ صدور اللائحة، مع إمكانية تمديدها مرة واحدة لمدة مماثلة. أما الاختصاصات المعلنة للهيئة الجديدة فتشمل معايير البيانات والذكاء الاصطناعي والبيانات الحكومية وضمان الامتثال في الجهات الاتحادية، ولا تذكر قانون حماية البيانات الشخصية بالاسم.
أما في مركز دبي المالي العالمي فالتغيير أوضح، وجاء على مرحلتين. أضافت التعديلات النافذة منذ 15 يوليو 2025 المادة 64A، أي حق الدعوى الخاصة: يحق لمن يلحقه ضرر من مخالفة القانون أن يلجأ مباشرة إلى محاكم المركز، وبموجب المادة 64A(5) يشمل الضرر "الضيق النفسي" لا الخسارة المالية فقط. ثم اقترحت ورقة الاستشارة رقم 3 لسنة 2026 التزامات جديدة على كل من يشغّل أنظمة ذكاء اصطناعي على بيانات شخصية، منها تعيين مسؤول للأنظمة المستقلة في المعالجة عالية المخاطر. انتهت مهلة التعليقات في 18 يوليو 2026، وتنص الورقة نفسها على عدم التصرف بناءً على المسودة قبل إقرارها رسميًا.
إرسال البيانات إلى الخارج: ما الذي يسمح به كل نص
معظم خدمات البريد ومكاتب المساعدة السحابية تخزن البيانات في أوروبا أو الولايات المتحدة ما لم تختر غير ذلك. وفي الأنظمة الثلاثة يُعد ذلك نقلًا عبر الحدود.
البر الرئيسي (القانون الاتحادي). تجيز المادة 22، في الحالات التي يعتمدها المكتب، النقل إلى دولة لديها تشريع لحماية البيانات الشخصية وجهة قضائية أو رقابية قادرة على اتخاذ إجراءات بحق المتحكم، أو بموجب اتفاقية لحماية البيانات انضمت إليها الدولة. وتضيف المادة 23 بدائل: عقد يُلزم المستلم بتدابير القانون، أو موافقة صريحة من صاحب البيانات، أو نقل ضروري لتنفيذ عقد معه. وتحيل المادة 23(2) الضوابط التفصيلية إلى اللائحة التنفيذية. وإلى أن تصدر، لا توجد قائمة رسمية بالدول المعتمدة يمكن الاستناد إليها، لذا فإن مسار العقد هو المسار الذي يمكنك توثيقه.
مركز دبي المالي العالمي. تجيز المادة 26 النقل إلى الجهات التي قرر المفوض كفاية الحماية فيها. وإلا فإن المادة 27 تشترط ضمانات مناسبة، مثل البنود القياسية التي يعتمدها المفوض أو قواعد الشركات الملزمة، "بشرط توافر حقوق قابلة للتنفيذ وسبل انتصاف قانونية فعالة لأصحاب البيانات"، أو أحد الاستثناءات المحدودة مثل الموافقة الصريحة المستنيرة.
سوق أبوظبي العالمي. يعمل القسم 41 بالطريقة نفسها عبر قرارات الكفاية التي يصدرها المفوض. ويجيز القسم 42 البنود التعاقدية القياسية، ويمكن للمفوض اعتماد بنود المفوضية الأوروبية لهذا الغرض.
البيانات الصحية في كل المناطق. إذا احتوت التذاكر أو الرسائل على معلومات مرضى تتعلق بخدمات صحية مقدمة داخل الدولة، يسري قانون آخر يشمل المناطق الحرة أيضًا. تنص المادة 13 من القانون الاتحادي رقم 2 لسنة 2019 على عدم جواز تخزين هذه البيانات أو معالجتها أو نقلها خارج الدولة إلا بقرار من الجهة الصحية، وتحدد المادة 24 غرامة من 500,000 إلى 700,000 درهم لمخالفة ذلك. والعيادة التي تدير استفسارات المرضى عبر مكتب مساعدة مستضاف في الخارج لديها مشكلة لا يحلها أي بند تعاقدي.
مهل الإبلاغ عن الاختراق
| النظام | إبلاغ الجهة الرقابية | إبلاغ المتضررين | المعالج إلى المتحكم |
|---|---|---|---|
| القانون الاتحادي (البر الرئيسي) | خلال المدة التي تحددها اللائحة التنفيذية (المادة 9(1)) | كذلك، عند المساس بخصوصيتهم (المادة 9(2)) | "فور علمه" (المادة 9(3)) |
| مركز دبي المالي العالمي | "في أقرب وقت ممكن عمليًا وفقًا للظروف" (المادة 41(1)) | في أقرب وقت ممكن إذا كان الخطر مرتفعًا (المادة 42(1)) | "دون تأخير غير مبرر" (المادة 41(2)) |
| سوق أبوظبي العالمي | دون تأخير غير مبرر، وخلال 72 ساعة متى أمكن (القسم 32(1)) | دون تأخير غير مبرر إذا كان الخطر مرتفعًا (القسم 33(1)) | دون تأخير غير مبرر (القسم 32(2)) |
ننصح بأن تبني خطة الاستجابة للحوادث على مهلة الـ72 ساعة المعمول بها في سوق أبوظبي العالمي أينما كان ترخيصك. فهي الرقم المحدد الوحيد في النصوص الثلاثة (وللجانب السعودي راجع مقالنا عن مسودة تعديلات سدايا)، والمعلومات التي تحتاجها عند الساعة 72 هي ما يطلبه القانون الاتحادي والمركز أصلًا: ما الذي انكشف، وكم شخصًا تقريبًا، وماذا فعلت. وإذا لم يستطع مزود البريد أو مكتب المساعدة أن يخبرك خلال يوم بالصناديق أو التذاكر التي فتحها المهاجم، فقد خسرت المهلة قبل أن تبدأ.
كم قد يكلّف التقصير
لا يحدد القانون الاتحادي أي مبالغ. فقد أحالت المادة 26 تحديد المخالفات والجزاءات إلى قرار من مجلس الوزراء. أما مركز دبي المالي العالمي فلديه جدول: يحدد الجدول 2 سقف غرامة عدم الإبلاغ عن الاختراق وفق المادة 41 بمبلغ 50,000 دولار أمريكي، والسقف نفسه لمخالفة قواعد النقل في المادة 27، وتتيح المادة 62(3) للمفوض فرض غرامة عامة "غير مقيدة بالمبالغ المحددة في الجدول 2". وتأتي دعاوى التعويض بموجب المادة 64A فوق ذلك. وفي سوق أبوظبي العالمي، يحدد القسم 55(1) سقف الغرامة بـ28 مليون دولار أمريكي.
من أين تخرج بيانات البريد ومكتب المساعدة من الدولة
منطقة صندوق البريد الأساسية هي ما يتحقق منه الجميع. أما التسرب فيحدث عادة في مكان آخر:
- النسخ الاحتياطية ونسخ التعافي من الكوارث المحفوظة في منطقة ثانية.
- تصفية البريد المزعج والبرمجيات الخبيثة لدى طرف ثالث يفحص كل رسالة في مركز بياناته.
- مرفقات التذاكر: صور جوازات السفر، ونسخ الهوية الإماراتية، والشهادات الطبية، وكشوف الرواتب.
- ميزات الذكاء الاصطناعي التي ترسل نص التذكرة أو سلسلة الرسائل إلى نموذج مستضاف في مكان آخر للتلخيص أو اقتراح الردود.
- موظفو دعم المزود الذين يستطيعون فتح حسابك من دولة أخرى. ويشمل تعريف المعالجة عبر الحدود في القانون الاتحادي عرض البيانات الشخصية واسترجاعها خارج الدولة، فالوصول عن بُعد محسوب أيضًا.
- السجلات وفهارس البحث التي تحتفظ بالأسماء والعناوين وموضوعات الرسائل بعد حذف الرسالة بوقت طويل.
قائمة تحقق لاختيار استضافة البريد ومكتب المساعدة
- حدّد النظام الذي يخضع له كل كيان قانوني في مجموعتك: البر الرئيسي أو مركز دبي المالي العالمي أو سوق أبوظبي العالمي.
- اطلب من المزود أن يحدد كتابيًا منطقة النسخة الأساسية والنسخ الاحتياطية والتصفية وفهرس البحث وأي معالجة بالذكاء الاصطناعي.
- اسأل من يستطيع الوصول إلى بياناتك ومن أي دول، بما في ذلك فريق دعم المزود.
- في المركز أو السوق، حدّد أساس النقل: قرار كفاية أو بنود قياسية. وفي البر الرئيسي، وقّع عقدًا يُلزم المزود بتدابير القانون وفق المادة 23(1)(أ).
- اقرأ بند الاختراق في عقد المعالج. المطلوب إخطار خلال ساعات لا "في أسرع وقت"، وسجلات تبيّن السجلات التي جرى الوصول إليها.
- أبقِ البيانات الصحية ونسخ وثائق الهوية خارج الأنظمة المستضافة في الخارج ما لم يكن لديك أساس قانوني واضح.
- تأكد من أنك تستطيع تصدير كل شيء بصيغة قياسية (EML أو mbox للبريد، وJSON أو CSV للتذاكر)، وأن الحذف يصل إلى النسخ الاحتياطية. تمنح المادة 14 من القانون الأفراد حق الحصول على بياناتهم بصيغة قابلة للقراءة آليًا.
- احتفظ بالسجل الذي تصفه المادة 7(4): فئات البيانات، ومن يملك صلاحية الوصول، وأي بيانات تتعلق بنقلها عبر الحدود.
أين يقع FanMail وFanDesk من ذلك
بنينا المنتجين كي تكون الإجابة عن سؤال المكان قصيرة. يمكن استضافة FanMail داخل الإمارات أو على خوادمك الخاصة، ويمكن تشغيل FanDesk داخل مقرك، فتبقى النسخة الأساسية والنسخ الاحتياطية وفهرس البحث حيث تقرر أنت. هذا وحده لا يجعل أي جهة ممتثلة: العقود والسجلات وخطة الاستجابة المذكورة أعلاه يجب أن تكون موجودة. لكنه يجعل إجابة "أين بياناتنا؟" سطرًا واحدًا.
اقرأ أيضًا: مكان بيانات مكتب المساعدة وفق قانوني حماية البيانات في الإمارات والسعودية، ومسودة نظام حماية البيانات السعودي حول التخزين المحلي والإبلاغ خلال 72 ساعة، ولماذا ما زالت الشركات تختار البريد المستضاف ذاتيًا في 2026.
أسئلة شائعة
هل صدرت اللائحة التنفيذية لقانون حماية البيانات الشخصية الإماراتي؟
لم تُنشر بعد. كانت المادة 28 تشترط صدورها خلال ستة أشهر من 20 سبتمبر 2021، وتمنح المادة 29 المتحكمين ستة أشهر لتوفيق أوضاعهم بعد صدورها، قابلة للتمديد مرة واحدة بقرار من مجلس الوزراء. أما القانون نفسه فنافذ منذ 2 يناير 2022.
هل يسري القانون الاتحادي على شركة في مركز دبي المالي العالمي أو سوق أبوظبي العالمي؟
لا. تستثني المادة 2(2)(ز) شركات المناطق الحرة التي لديها تشريعات خاصة بحماية البيانات. وتخضع شركة المركز لقانون المركز الذي يسري، وفق المادة 6(3)، حتى عندما تتم المعالجة خارج المركز.
هل يمكن الاحتفاظ ببريد الشركة في مركز بيانات أوروبي؟
غالبًا نعم، مع التوثيق اللازم. في المركز والسوق تحتاج إلى قرار كفاية أو ضمانات مثل البنود القياسية. وفي البر الرئيسي تجيز المادة 23 عقدًا ملزمًا أو موافقة صريحة. أما البيانات الصحية المرتبطة بخدمات صحية داخل الدولة فمختلفة: تُبقيها المادة 13 من القانون الاتحادي رقم 2 لسنة 2019 داخل الدولة ما لم تقرر الجهة الصحية غير ذلك.
هل توجد مهلة 72 ساعة للإبلاغ عن الاختراق في الإمارات؟
في سوق أبوظبي العالمي فقط، إذ يطلب القسم 32 الإبلاغ خلال 72 ساعة متى أمكن. ويقول المركز "في أقرب وقت ممكن عمليًا"، ويحيل القانون الاتحادي المهلة إلى لائحته التنفيذية.
هل يستطيع العميل مقاضاتنا مباشرة بسبب اختراق بيانات في مركز دبي المالي العالمي؟
نعم، منذ 15 يوليو 2025. تتيح المادة 64A لمن لحقه ضرر، بما في ذلك الضيق النفسي، المطالبة بالتعويض أمام محاكم المركز دون المرور أولًا بالمفوض. ولا يُعفى المتحكم إلا إذا أثبت أنه "غير مسؤول بأي شكل" عن الواقعة.
المصادر: المرسوم بقانون اتحادي رقم 45 لسنة 2021؛ القانون الاتحادي رقم 2 لسنة 2019؛ وكالة أنباء الإمارات (وام)، 14 يونيو 2026؛ قانون حماية البيانات في مركز دبي المالي العالمي، النسخة الموحدة يوليو 2025؛ بيانات المركز في 16 يوليو 2025 و18 يونيو 2026؛ ورقة الاستشارة رقم 3 لسنة 2026؛ لوائح حماية البيانات في سوق أبوظبي العالمي 2021؛ مكتب حماية البيانات في سوق أبوظبي العالمي.
