حفاظت از داده در امارات پس از ژوئن ۲۰۲۶: ایمیل شرکت و تیکت‌های پشتیبانی کجا می‌توانند بمانند

در ۱۴ ژوئن ۲۰۲۶، شیخ محمد بن راشد تأسیس «سازمان هوش مصنوعی و داده» را تصویب کرد؛ نهادی که وظایف سه دستگاه را به عهده می‌گیرد و یکی از آن‌ها «دفتر داده امارات» است. این دفتر روی کاغذ ناظرِ قانون فدرال حفاظت از داده‌های شخصی (PDPL) بود. چهار روز بعد، DIFC برای اصلاح آیین‌نامه‌های حفاظت از داده با محوریت سامانه‌های هوش مصنوعی نظرخواهی عمومی را آغاز کرد. هیچ‌کدام از این دو خبر کارِ فردای تیم IT شما را عوض نمی‌کند. اما هر دو یادآوری می‌کنند که «حفاظت از داده در امارات» یعنی سه مجموعه قاعدهٔ جدا، و اینکه کدام‌یک بر صندوق‌های ایمیل و صف تیکت‌های شما حاکم است، به محل ثبت شرکت بستگی دارد.

این مقاله این قواعد را برای دو سامانه‌ای کنار هم می‌گذارد که در یک شرکت کوچک یا متوسط بیشترین دادهٔ شخصی را نگه می‌دارند: ایمیل سازمانی و هلپ‌دسک. این متن برداشتی کاربردی از متن قوانین است و مشاورهٔ حقوقی نیست. برای تصمیمی که ریسک واقعی دارد، با وکیلِ دارای مجوز در همان حوزهٔ قضایی مشورت کنید.

سه رژیم حقوقی در یک کشور

قانون فدرال، فرمان-قانون فدرال شمارهٔ ۴۵ سال ۲۰۲۱ است که از ۲ ژانویهٔ ۲۰۲۲ اجرایی شده. مادهٔ ۲ آن، کنترل‌کننده‌های مستقر در امارات را، دادهٔ هر کسی را که پردازش کنند، و کنترل‌کننده‌های خارج از کشور را که دادهٔ افراد ساکن امارات را پردازش می‌کنند، پوشش می‌دهد. همین ماده فهرست استثناها را هم دارد. دو استثنا برای ایمیل و تیکت مهم است: شرکت‌های مناطق آزادی که قانون حفاظت از دادهٔ خودشان را دارند، و داده‌های سلامت یا بانکی که قانون جداگانه دارند (بندهای ۲(۲)(هـ) تا (ز)).

دو منطقهٔ آزاد مالی دقیقاً چنین قانونی دارند: قانون حفاظت از دادهٔ DIFC، قانون شمارهٔ ۵ سال ۲۰۲۰ و مقررات حفاظت از دادهٔ ADGM مصوب ۲۰۲۱. طبق مادهٔ ۶(۳) قانون DIFC، این قانون بر کنترل‌کنندهٔ ثبت‌شده در DIFC اعمال می‌شود «صرف‌نظر از اینکه پردازش در DIFC انجام شود یا نه». یعنی شرکتی در DIFC که ایمیلش در یک دیتاسنتر اروپایی است، برای همان ایمیل‌ها همچنان تابع قانون DIFC است.

خلاصه: شرکتِ سرزمین اصلی، یا شرکتی در منطقهٔ آزادی که قانون حفاظت از دادهٔ مستقل ندارد، باید PDPL را بخواند. نهاد ثبت‌شده در DIFC قانون DIFC را، و نهاد ADGM مقررات ADGM را. گروهی که در هر سه جا شرکت دارد، به سه پاسخ نیاز دارد، نه یک «سیاست امارات».

در ۲۰۲۶ واقعاً چه تغییر کرد

برای سرزمین اصلی، کمتر از آنچه تیترها نشان می‌دهند. مادهٔ ۲۸ قانون PDPL از هیئت وزیران خواسته بود آیین‌نامهٔ اجرایی را ظرف شش ماه از امضای فرمان (۲۰ سپتامبر ۲۰۲۱) صادر کند. این آیین‌نامه قرار است مهلت گزارش نشت داده، شرایط انتقال و چند معافیت را مشخص کند. درگاه رسمی قوانین هنوز آخرین به‌روزرسانی فرمان را ۲۰ سپتامبر ۲۰۲۱ نشان می‌دهد، و مادهٔ ۲۹ مهلت شش‌ماههٔ انطباق را تازه از زمان صدور آیین‌نامه شروع می‌کند که یک بار هم به همین مدت قابل تمدید است. مأموریت اعلام‌شدهٔ سازمان جدید شامل استانداردهای داده و هوش مصنوعی، دادهٔ دولتی و «تضمین انطباق در نهادهای فدرال» است و نامی از PDPL نمی‌برد.

در DIFC تغییر جدی‌تر بوده و در دو مرحله آمده است. اصلاحاتی که از ۱۵ ژوئیهٔ ۲۰۲۵ اجرایی شده مادهٔ ۶۴A را اضافه کرد، یعنی حق اقامهٔ دعوای خصوصی: کسی که از نقض قانون آسیب ببیند، می‌تواند مستقیم به دادگاه‌های DIFC برود، و طبق مادهٔ ۶۴A(۵) آسیب فقط زیان مالی نیست و «پریشانی» را هم شامل می‌شود. بعد سند نظرخواهی شمارهٔ ۳ سال ۲۰۲۶ تکالیف تازه‌ای برای هر کسی که سامانهٔ هوش مصنوعی را روی دادهٔ شخصی اجرا می‌کند پیشنهاد داد، از جمله تعیین «مسئول سامانه‌های خودمختار» برای پردازش‌های پرخطر. مهلت نظرخواهی ۱۸ ژوئیهٔ ۲۰۲۶ تمام شد و خود سند می‌گوید تا تصویب رسمی نباید بر اساس پیش‌نویس عمل کرد.

ارسال داده به خارج: هر متن چه اجازه‌ای می‌دهد

بیشتر سرویس‌های ابری ایمیل و هلپ‌دسک، اگر چیز دیگری انتخاب نکنید، داده را در اروپا یا آمریکا نگه می‌دارند. در هر سه رژیم، این یعنی انتقال فرامرزی.

سرزمین اصلی (PDPL). مادهٔ ۲۲ در مواردی که «دفتر» تأیید کند، انتقال به کشوری را مجاز می‌داند که قانون حفاظت از دادهٔ شخصی و یک مرجع قضایی یا نظارتی داشته باشد که بتواند علیه کنترل‌کننده اقدام کند، یا بر اساس توافق حفاظت از داده‌ای که امارات به آن پیوسته است. مادهٔ ۲۳ راه‌های جایگزین را اضافه می‌کند: قراردادی که گیرنده را به تدابیر PDPL متعهد کند، رضایت صریح خود فرد، یا انتقالی که برای اجرای قرارداد با او لازم است. مادهٔ ۲۳(۲) جزئیات را به آیین‌نامهٔ اجرایی سپرده است. تا وقتی آن آیین‌نامه منتشر نشده، فهرست رسمی کشورهای تأییدشده‌ای وجود ندارد، پس مسیر قرارداد همان مسیری است که می‌توانید مستندش کنید.

DIFC. مادهٔ ۲۶ انتقال به جاهایی را که کمیسیونر «کافی» تشخیص داده مجاز می‌داند. در غیر این صورت مادهٔ ۲۷ تضمین‌های مناسب می‌خواهد، مثل بندهای استاندارد مصوب کمیسیونر یا قواعد الزام‌آور شرکتی، «به شرط آنکه حقوق قابل‌اجرا و جبران مؤثر حقوقی برای صاحبان داده وجود داشته باشد»، یا یکی از معدود استثناها مثل رضایت صریح و آگاهانه.

ADGM. بخش ۴۱ به همین شکل با تصمیم‌های کفایتِ کمیسیونر کار می‌کند. بخش ۴۲ بندهای قراردادی استاندارد را می‌پذیرد و کمیسیونر می‌تواند بندهای کمیسیون اروپا را برای این منظور تأیید کند.

دادهٔ سلامت، در همهٔ مناطق. اگر تیکت‌ها یا ایمیل‌ها اطلاعات بیماران مربوط به خدمات درمانیِ ارائه‌شده در امارات را دارند، قانون دیگری اعمال می‌شود، مناطق آزاد هم مشمول‌اند. مادهٔ ۱۳ قانون فدرال شمارهٔ ۲ سال ۲۰۱۹ می‌گوید این داده‌ها نباید خارج از کشور ذخیره، پردازش یا منتقل شوند، مگر با تصمیم مرجع سلامت، و مادهٔ ۲۴ برای نقض این حکم جریمهٔ ۵۰۰٬۰۰۰ تا ۷۰۰٬۰۰۰ درهم تعیین کرده است. کلینیکی که پرسش‌های بیماران را در هلپ‌دسکی با میزبانی خارجی مدیریت می‌کند، مشکلی دارد که هیچ بند قراردادی حلش نمی‌کند.

ساعت گزارش نشت داده

توصیهٔ ما این است که برنامهٔ واکنش به حادثه را، هر جا که مجوز دارید، بر اساس ساعت ۷۲ساعتهٔ ADGM تنظیم کنید. این تنها عدد مشخص در این سه متن است (برای قواعد عربستان، مطلب ما دربارهٔ پیش‌نویس اصلاحات سدایا را ببینید)، و اطلاعاتی که در ساعت ۷۲ لازم دارید همان چیزی است که PDPL و DIFC هم می‌خواهند: چه چیزی افشا شد، تقریباً چند نفر، و چه کردید. اگر ارائه‌دهندهٔ ایمیل یا هلپ‌دسک نتواند ظرف یک روز بگوید مهاجم کدام صندوق‌ها یا تیکت‌ها را باز کرده، آن ساعت را پیش از شروع باخته‌اید.

هزینهٔ کوتاهی چقدر است

PDPL هیچ مبلغی تعیین نکرده است. مادهٔ ۲۶ فهرست تخلفات و جریمه‌ها را به مصوبهٔ هیئت وزیران سپرده است. DIFC جدول دارد: جدول ۲ سقف جریمهٔ گزارش‌ندادن نشت داده طبق مادهٔ ۴۱ را ۵۰٬۰۰۰ دلار آمریکا تعیین کرده و همین سقف برای نقض قواعد انتقال در مادهٔ ۲۷ هم هست، و مادهٔ ۶۲(۳) به کمیسیونر اجازه می‌دهد یک جریمهٔ عمومی «غیرمحدود به مبالغ جدول ۲» هم اضافه کند. دعاوی خسارت طبق مادهٔ ۶۴A هم جداست. در ADGM، بخش ۵۵(۱) سقف جریمه را ۲۸ میلیون دلار آمریکا گذاشته است.

دادهٔ ایمیل و هلپ‌دسک از کجا از کشور خارج می‌شود

منطقهٔ اصلی صندوق ایمیل همان بخشی است که همه بررسی می‌کنند. نشت معمولاً از جای دیگری است:

• نسخه‌های پشتیبان و نسخه‌های بازیابی از فاجعه که در منطقهٔ دوم نگه داشته می‌شوند.
• فیلتر هرزنامه و بدافزار که شخص ثالثی آن را اجرا می‌کند و هر پیام را در دیتاسنتر خودش اسکن می‌کند.
• پیوست تیکت‌ها: اسکن گذرنامه، کپی کارت شناسایی اماراتی، گواهی پزشکی، فیش حقوقی.
• قابلیت‌های هوش مصنوعی که متن تیکت یا رشتهٔ ایمیل را برای خلاصه‌سازی یا پیشنهاد پاسخ به مدلی با میزبانی دیگر می‌فرستند.
• کارکنان پشتیبانی فروشنده که از کشور دیگری به حساب شما دسترسی دارند. تعریف «پردازش فرامرزی» در PDPL نمایش و بازیابی دادهٔ شخصی خارج از کشور را هم شامل می‌شود، پس دسترسی از راه دور هم حساب است.
• لاگ‌ها و نمایه‌های جست‌وجو که نام، نشانی و موضوع پیام‌ها را مدت‌ها بعد از حذف پیام نگه می‌دارند.

چک‌لیست انتخاب میزبانی ایمیل و هلپ‌دسک

1. مشخص کنید هر شخصیت حقوقی گروه شما تابع کدام رژیم است: سرزمین اصلی، DIFC یا ADGM.
2. از فروشنده بخواهید منطقهٔ نسخهٔ اصلی، پشتیبان‌ها، فیلترینگ، نمایهٔ جست‌وجو و هر پردازش هوش مصنوعی را کتبی اعلام کند.
3. بپرسید چه کسانی و از کدام کشورها به داده دسترسی دارند، پشتیبانی فروشنده هم جزو آن است.
4. برای DIFC یا ADGM مبنای انتقال را مشخص کنید: تصمیم کفایت یا بندهای استاندارد. برای سرزمین اصلی قراردادی امضا کنید که فروشنده را طبق مادهٔ ۲۳(۱)(الف) به تدابیر PDPL متعهد کند.
5. بند نشت داده در قرارداد پردازشگر را بخوانید. اطلاع‌رسانی ظرف چند ساعت می‌خواهید، نه «در اسرع وقت»، و لاگ‌هایی که نشان دهد به کدام رکوردها دست زده شده.
6. دادهٔ سلامت و کپی مدارک هویتی را بدون مبنای حقوقی روشن در سامانه‌های با میزبانی خارجی نگه ندارید.
7. مطمئن شوید می‌توانید همه چیز را با قالب استاندارد خروجی بگیرید (EML یا mbox برای ایمیل، JSON یا CSV برای تیکت) و حذف داده به پشتیبان‌ها هم می‌رسد. مادهٔ ۱۴ قانون PDPL به افراد حق می‌دهد داده‌شان را در قالب قابل‌خواندن برای ماشین دریافت کنند.
8. سابقه‌ای را که مادهٔ ۷(۴) توصیف می‌کند نگه دارید: دسته‌های داده، چه کسی دسترسی دارد، و «هر دادهٔ مربوط به جابه‌جایی فرامرزی» آن.

فن‌میل و فن‌دسک کجای این تصویرند

هر دو محصول را طوری ساخته‌ایم که پاسخ پرسش «داده کجاست» کوتاه باشد. فن‌میل را می‌توان در امارات یا روی سرورهای خودتان میزبانی کرد و فن‌دسک را می‌توان on-premise اجرا کرد، پس نسخهٔ اصلی، پشتیبان‌ها و نمایهٔ جست‌وجو همان جایی می‌مانند که شما تصمیم می‌گیرید. این به‌تنهایی کسی را منطبق با قانون نمی‌کند: قراردادها، سوابق و برنامهٔ واکنش به حادثه که بالا گفتیم باید وجود داشته باشند. اما پاسخ «داده‌مان کجاست؟» در یک خط جا می‌شود.

مطالب مرتبط: محل نگهداری دادهٔ هلپ‌دسک طبق PDPL امارات و عربستان، پیش‌نویس PDPL عربستان دربارهٔ ذخیره‌سازی محلی و گزارش ۷۲ساعته و چرا شرکت‌ها در ۲۰۲۶ هنوز ایمیل خودمیزبان را انتخاب می‌کنند.

پرسش‌های متداول

منابع: فرمان-قانون فدرال شمارهٔ ۴۵ سال ۲۰۲۱؛ قانون فدرال شمارهٔ ۲ سال ۲۰۱۹؛ خبرگزاری WAM، ۱۴ ژوئن ۲۰۲۶؛ قانون حفاظت از دادهٔ DIFC، نسخهٔ تلفیقی ژوئیهٔ ۲۰۲۵؛ اطلاعیه‌های DIFC در ۱۶ ژوئیهٔ ۲۰۲۵ و ۱۸ ژوئن ۲۰۲۶؛ سند نظرخواهی شمارهٔ ۳ سال ۲۰۲۶ DIFC؛ مقررات حفاظت از دادهٔ ADGM ۲۰۲۱؛ دفتر حفاظت از دادهٔ ADGM.