PDPL ОАЭ и email-маркетинг: согласие, исключения и ваша платформа рассылок

Email-маркетинг и PDPL в ОАЭ связаны напрямую: по закону ОАЭ о защите персональных данных, Федеральному декрету-закону № 45 от 2021 года, компании обычно требуется согласие подписчика на отправку рекламных писем конкретному человеку, и она должна уметь доказать это согласие и позволить легко его отозвать. Исключения закона, такие как исполнение договора, куда лучше подходят для писем о заказе и обслуживании, чем для рекламы.

Закон охватывает не всех. Данные государственных органов, некоторые медицинские и банковские данные, а также компании свободных зон с собственным законодательством о защите данных из-под него выведены. Для тех компаний, на кого закон распространяется, он также вводит правила о цели обработки, сроках хранения, правах подписчиков и передаче данных на платформы рассылок, размещённые за пределами ОАЭ. Этот материал разбирает email-маркетинг и PDPL в ОАЭ применительно к рассылкам по состоянию на сентябрь 2026 года.

Распространяется ли PDPL в ОАЭ на ваш бизнес

Сфера действия установлена статьёй 2. Закон применяется к обработке персональных данных, автоматизированной или иной, относящихся к субъектам данных, которые проживают или имеют место деятельности в ОАЭ, контролёрами или обработчиками, находящимися в ОАЭ, независимо от того, где находятся сами субъекты данных, а также контролёрами или обработчиками за рубежом, обрабатывающими персональные данные людей внутри ОАЭ.

Та же статья перечисляет исключения. Для маркетологов актуальны следующие:

• Свободные зоны с собственным законом. Компании, расположенные в свободных зонах со специальным законодательством о защите персональных данных, исключены из сферы действия. Портал Правительства ОАЭ ссылается на закон DIFC о защите данных № 5 от 2020 года как на один из таких режимов. Email-маркетинг компании из DIFC регулируется именно этим законом.
• Медицинские данные с собственным законодательством. Персональные медицинские данные, охваченные собственными правилами защиты, исключены, а значит многие вопросы маркетинга клиник и больниц переходят в отдельную правовую рамку.
• Банковские и кредитные данные с собственным законодательством. Банкам и финансовым компаниям стоит в первую очередь смотреть на правила своего регулятора.

Не в каждой свободной зоне есть собственный закон о данных, поэтому одна лишь лицензия свободной зоны вопрос не решает. Прежде чем составлять формулировки согласия, проверьте, какой режим PDPL применяется именно к вашей лицензии, ведь email-маркетинг в ОАЭ зависит от этого выбора.

Статья 3 позволяет Управлению по данным ОАЭ освобождать компании, не обрабатывающие большой объём персональных данных, от части или всех требований, по стандартам, установленным исполнительными регламентами. Пока такое освобождение для вашего бизнеса не подтверждено, не стройте на нём планы.

Как выглядит действительное согласие на практике

Определение согласия в законе требует разрешения, которое конкретным, ясным и недвусмысленным образом показывает, что человек принимает обработку, через явное положительное заявление или действие. Далее статья 6 гласит, что согласие засчитывается только при выполнении трёх условий: контролёр может его доказать, оно было запрошено ясным, простым, недвусмысленным и легкодоступным способом, в письменной или электронной форме, и включает право легко его отозвать. Отзыв не делает более раннюю обработку незаконной, и именно это правило PDPL формирует email-маркетинг в ОАЭ на практике.

В переводе на язык формы подписки для дубайской компании эти формулировки исключают несколько распространённых решений:

Статья 4(5) закона о защите прав потребителей указывает в том же направлении, называя среди прав потребителя защиту его конфиденциальности и данных и запрет на использование этих данных для рекламы и маркетинга.

Исключения статьи 4 и почему они редко подходят для email-маркетинга

Статья 4 запрещает обработку персональных данных без согласия, а затем перечисляет случаи, исключённые из этого запрета. Маркетологи часто ищут в этом списке способ обойти согласие, поэтому стоит разобрать два наиболее часто упоминаемых пункта.

Исполнение договора. Статья 4(9) охватывает обработку, необходимую для исполнения договора, стороной которого является человек, или для действий, которые он попросил совершить, чтобы заключить, изменить или прекратить договор. Чек, уведомление о доставке, подтверждение бронирования или сброс пароля сюда подходят. Рассылка о новых поступлениях нет, поскольку договор может быть исполнен и без неё.

Данные, обнародованные самим человеком. Статья 4(2) охватывает персональные данные, которые стали доступны и известны всем в результате действия самого субъекта данных. Иногда это используют, чтобы оправдать сбор адресов с профилей LinkedIn или сайтов компаний. Формулировка касается правомерности обработки, но не отменяет отдельное право возразить против прямого маркетинга по статье 17 и ограничения по цели из статьи 5. Программы холодных рассылок, построенные на собранных таким образом адресах, стоит проверить у юриста перед запуском, поскольку тут email-маркетинг и PDPL в ОАЭ пересекаются чаще всего.

Другие исключения, такие как защита общественных интересов, судебные требования и цели здравоохранения, к обычному маркетингу почти не относятся. Список также завершается формулировкой «любые иные случаи, предусмотренные исполнительными регламентами», и это одна из причин, по которым данная область может измениться.

Цель, минимизация данных и сроки хранения

Статья 5 устанавливает правила обработки, которые влияют на формирование списка не меньше, чем согласие. Персональные данные должны собираться для конкретной и ясной цели и не обрабатываться впоследствии способом, несовместимым с ней, хотя закон допускает обработку для цели, похожей или близкой к первоначальной. Данные должны быть ограничены необходимым, оставаться точными и актуальными и не храниться после исчерпания цели, если они не были обезличены.

Для email-маркетинга и PDPL в ОАЭ применительно к программам рассылок это означает следующее.

• Запрашивайте только те поля, которые действительно будете использовать. Форме подписки на новости редко нужны дата рождения или гражданство.
• Не переносите незаметно адреса, собранные для регистрации гарантии, заявки на работу или обращения в поддержку, в рекламный список.
• Удаляйте или обезличивайте подписчиков, отозвавших согласие и не имеющих с вами иных отношений, вместо того чтобы хранить их бессрочно.
• Исправляйте отклонённые и ошибочные адреса, поскольку статья 5 требует точности так же, как и безопасности.

Статья 7(4) также требует от контролёров вести реестр обработки персональных данных, охватывающий категории данных, круг лиц с доступом к ним, цели обработки, трансграничные передачи и меры безопасности, и предоставлять его Управлению по данным по запросу. Ваша программа email-маркетинга и PDPL в ОАЭ должна быть отражена в этом реестре.

Права подписчиков, которые должна поддерживать ваша платформа

Закон наделяет субъектов данных рядом прав, которые превращаются в функции платформы рассылок.

• Информация до начала обработки. Статья 13(2) требует, чтобы контролёр сообщил человеку до начала обработки цели обработки, сектора или организации, которым данные будут переданы внутри ОАЭ и за его пределами, и меры защиты при трансграничной обработке. Обычный способ это сделать, разместить ссылку на политику конфиденциальности рядом с формой подписки.
• Возражение против прямого маркетинга. Статья 17 позволяет человеку возразить против обработки для прямого маркетинга и остановить её, включая связанное с ним профилирование.
• Удаление. Статья 15 допускает запрос на удаление, если согласие отозвано, если человек возразил против обработки или если данные больше не нужны, с учётом исключений.
• Исправление и ограничение. Статьи 15 и 16 касаются исправления неточных данных и ограничения обработки на время проверки точности.
• Доступ и переносимость. Статьи 13 и 14 позволяют запрашивать сведения об имеющихся данных, а если обработка основана на согласии и автоматизирована, копию в машиночитаемом формате.
• Способ связаться с вами. Статья 19 требует ясных и подходящих способов для людей обратиться к контролёру по вопросам своих прав, а статья 24 позволяет им подать жалобу в Управление по данным.

Возражение против маркетинга и запрос на удаление, это не одно и то же. Если удалить человека полностью после его возражения, последующий импорт списка может вернуть его обратно. Большинство платформ хранят запись о подавлении рассылки, которая блокирует будущие письма, и стоит фиксировать, почему такая запись существует: именно так email-маркетинг и PDPL в ОАЭ остаются согласованными.

Ваша платформа email-маркетинга, обработчики и трансграничная передача данных в ОАЭ

Большинство email-инструментов, используемых в Дубае, хранят данные на серверах за пределами ОАЭ. По закону такая платформа обычно выступает обработчиком, действующим от имени вас как контролёра. Статья 7(5) требует от контролёров назначать обработчиков с достаточными гарантиями для внедрения технических и организационных мер, которых требует закон, а статья 8 обязывает обработчиков действовать по указаниям контролёра и на основании договоров, определяющих объём, цель и вид данных.

Перемещение данных подписчиков за рубеж является трансграничной обработкой. Статья 22 разрешает передачу в страны с законодательством о защите персональных данных, соответствующим стандартам данного закона, или в рамках соответствующих соглашений, к которым присоединилась ОАЭ, в случаях, одобренных Управлением по данным. Статья 23 затем перечисляет альтернативы на случай, если такой уровень защиты недоступен, включая договор, обязывающий получателя соблюдать требования закона, и явное согласие человека на передачу.

Практические шаги таковы: изучите условия обработки данных вашей платформы, зафиксируйте, где хранятся данные подписчиков, отразите передачу в реестре обработки и упомяните трансграничную обработку в политике конфиденциальности, показанной при подписке. Если правовое основание для передачи вызывает сомнения, проконсультируйтесь перед переносом крупного списка на новый инструмент: это ключевой момент, где email-маркетинг и PDPL в ОАЭ соприкасаются с трансграничной передачей.

Исполнительные регламенты PDPL и сроки в ОАЭ

Закон вступил в силу 2 января 2022 года. Статья 28 предусматривала выпуск исполнительных регламентов в течение шести месяцев, а статья 29 даёт контролёрам и обработчикам шесть месяцев с момента их издания на приведение своей деятельности в соответствие, срок, который может продлить Кабинет министров. Когда мы проверяли портал UAE Legislation 14 сентября 2026 года, исполнительные регламенты к этому закону там не значились. От них зависят важные детали, включая сроки уведомления об утечках и стандарты освобождения для малого бизнеса.

Этот пробел не повод ждать. Согласие, которое конкретно, доказуемо и легко отзывается, требуется самими статьями закона, и именно оно же поддерживает низкий уровень жалоб и здоровые списки рассылки. Компании, которые выстроят его сейчас, потом будут мало что менять, когда регламенты появятся, потому что email-маркетинг и PDPL в ОАЭ развиваются вместе.

Аудит согласий в существующем списке обычно проводится в таком порядке.

1. Определите, какой режим защиты данных применяется к вашей лицензии.
2. Проследите каждый сегмент списка до точки сбора и формулировки, показанной в тот момент.
3. Отделите контакты с доказуемым маркетинговым согласием от клиентов, данные которых хранятся только для заказов или поддержки.
4. Приостановите рекламные рассылки по сегментам без доказательств и спланируйте ясный запрос разрешения через канал, допускаемый законом.
5. Обновите формы, политику конфиденциальности и реестр обработки, включая место хранения данных на платформе.
6. Установите правила подавления рассылки и хранения, чтобы отозвавшие согласие и неактивные контакты обрабатывались последовательно.

Чем может помочь Digital Marketing Dubai

Мы настраиваем и ведём email-маркетинг для компаний в Дубае и по всей ОАЭ, начиная со сбора согласий и наведения порядка в списке, а наша команда копирайтинга для email пишет запросы на разрешение и кампании на арабском и английском языках. Формы подписки и страницы настроек можно встроить в ваш сайт через разработку сайтов, а веб-аналитика измеряет, что подписчики делают после клика.

Мы маркетинговое агентство, а не юридическая фирма, поэтому работаем вместе с вашим юридическим консультантом по перечисленным вопросам. Если в вашу программу входят WhatsApp или SMS, применяется та же логика согласия, смотрите наш материал о правилах рекламных SMS в ОАЭ. Отправьте бриф, и вы получите письменное предложение с фиксированной ценой, обычно в течение 45 минут в рабочее время.