阿联酋《个人数据保护法》与邮件营销：同意、例外情况与您的邮件平台

迪拜邮件营销同意，根据阿联酋《个人数据保护法》（2021年第45号联邦法令），企业向具名个人发送营销邮件通常需要获得订阅者的同意，并且必须能够证明该同意的存在，同时让对方可以轻松撤回。该法律列出的例外情形，例如为履行合同，更适用于订单和服务类邮件，而非推广邮件。

该法律并非覆盖所有主体。政府数据、部分医疗和银行数据，以及在拥有自身数据保护法律的自由区内注册的公司均被排除在外。对于受该法律约束的企业，法律还就处理目的、数据保留、订阅者权利以及向阿联酋境外邮件平台传输数据设定了规则。本文以截至2026年9月的情况，解读这些条款在邮件营销中的适用方式。

迪拜邮件营销同意：PDPL 是否适用于您的企业

第2条规定了适用范围。该法律适用于以自动或其他方式，对居住在阿联酋或在阿联酋设有营业场所的数据主体的个人数据进行处理，适用对象包括位于阿联酋境内的控制者或处理者（无论其数据主体是否在境内），也包括处理阿联酋境内人员个人数据的境外控制者或处理者。

同一条款也列出了排除情形。对营销人员而言，相关的排除情形包括：

• 拥有自身立法的自由区。位于拥有个人数据保护专门立法的自由区内的公司被排除在外。阿联酋政府门户将迪拜国际金融中心（DIFC）2020年第5号数据保护法列为此类制度之一。DIFC 企业的邮件营销受该法律管辖，而非本法。
• 拥有自身立法的医疗数据。受其他专门保护规则约束的个人健康数据被排除在外，这使得许多诊所和医院的营销问题归入另一套规则体系。
• 拥有自身立法的银行与信贷数据。银行和金融公司应首先参照其所属监管机构的规则。

并非每个自由区都拥有自身的数据法律，因此仅凭自由区营业执照并不能确定答案。在制定同意条款之前，请先确认您的具体营业执照适用哪一套制度。

第3条允许阿联酋数据办公室根据《实施细则》设定的标准，豁免不处理大量个人数据的机构部分或全部义务。在您的企业获得确认的豁免之前，不应据此规划业务。

迪拜邮件营销同意：有效同意在实践中的样子

该法律对同意的定义要求，授权必须以具体、清晰且明确的方式表明该人接受相关处理，且通过明确的积极声明或行为作出。第6条随后规定，只有满足三项条件，同意才算有效：控制者能够证明该同意的存在；该同意是以清晰、简单、明确且易于获取的方式，通过书面或电子方式请求获得的；并且包含便捷的撤回权利。撤回并不会使此前的处理行为变为不合法。

将这些条文对应到迪拜企业的注册表单上，可以排除以下几种常见设计：

《消费者保护法》第4条第5款也指向同一方向，将隐私和数据保护，以及不得将其数据用于推广和营销，列为消费者权利之一。

迪拜邮件营销同意：第4条的例外情形，以及为何它们很少适用于推广活动

第4条禁止在未经同意的情况下处理个人数据，随后列出了被排除在该禁止之外的情形。营销人员常常在这份清单中寻找绕开同意的方式，因此有必要解读其中被引用最多的两项。

履行合同。第4条第9款涵盖为履行该人为一方的合同所必需的处理，或为应对方要求签订、变更或终止合同而采取的步骤所必需的处理。收据、配送更新、预订确认或密码重置都属于此类。但包含新品信息的新闻通讯不属于此类，因为不发送这类邮件，合同仍然可以履行。

该人自行公开的数据。第4条第2款涵盖因数据主体自身行为而变得公开、为众人所知的个人数据。有时这被用来为从领英资料或公司网站收集邮箱地址找依据。但该条文只涉及处理行为的合法性，并不因此取消第17条下反对定向营销的独立权利，也不解除第5条对处理目的的限制。基于抓取所得邮箱建立的冷邮件营销活动，在启动前应交由律师审查。

其他例外情形，例如维护公共利益、法律主张及健康目的，与普通营销活动关系不大。该清单最后还列有“《实施细则》规定的其他情形”，这也是该领域可能发生变化的原因之一。

迪拜邮件营销同意：处理目的、数据最小化与数据保留

第5条设定的处理控制要求，对建立名单的影响不亚于同意规则。个人数据必须为特定且明确的目的而收集，此后不得以与该目的不相容的方式处理，不过法律允许为与原目的相似或相近的目的进行处理。数据须限于必要范围，保持准确并及时更新，且在目的已实现后不得继续保留，除非已作匿名化处理。

对邮件营销项目而言，这意味着：

• 只收集您实际会用到的字段，新闻通讯的注册表单很少需要出生日期或国籍信息。
• 不要将为保修登记、求职申请或客服工单而收集的邮箱地址，悄悄转入推广名单。
• 对已撤回同意且与您没有其他关系的订阅者，应予删除或匿名化处理，而非无限期保留。
• 及时更正退信和输入错误的邮箱地址，因为第5条对准确性和安全性都有要求。

第7条第4款还要求控制者保存个人数据处理记录，内容涵盖数据类别、可访问人员、处理目的、跨境传输情况及安全措施，并应数据办公室要求提供该记录。您的邮件营销项目应当出现在这份记录之中。

邮件营销项目必须支持的订阅者权利

该法律赋予数据主体多项权利，这些权利会转化为邮件平台中的具体功能。

• 处理前的告知。第13条第2款要求控制者在处理开始前告知该人处理目的、数据将在阿联酋境内外与哪些行业或机构共享，以及跨境处理的保护措施。在注册框旁附上隐私声明链接，是常见的做法。
• 反对定向营销。第17条允许该人反对并停止用于定向营销的处理，包括与之相关的画像分析。
• 删除权。第15条允许在同意被撤回、该人提出反对，或数据已不再需要的情况下提出删除请求，但存在相应例外。
• 更正与限制处理。第15条和第16条涵盖更正不准确数据，以及在核实准确性期间限制处理。
• 访问与可携带性。第13条和第14条允许就所持有的数据提出信息请求，并在处理基于同意且以自动方式进行时，要求提供可机读的副本。
• 联系渠道。第19条要求提供清晰、适当的方式，供该人就其权利与控制者联系，第24条允许该人向数据办公室投诉。

反对与删除请求并非同一件事。如果在对方提出反对后就将其信息完全删除，之后的一次名单导入可能会重新把对方加回来。大多数平台会保留一条抑制记录，阻止未来的邮件发送，您应当记录这条记录存在的原因。

您的邮件平台、处理者与跨境传输

迪拜大多数企业使用的邮件工具，将数据存储在阿联酋境外的服务器上。在该法律下，平台通常作为代表您（控制者）行事的处理者。第7条第5款要求控制者委任具备充分保障措施的处理者，以落实法律所要求的技术和组织措施；第8条要求处理者依据控制者的指示行事，并订立明确处理范围、目的和数据类型的合同。

将订阅者数据传往境外属于跨境处理。第22条允许向拥有符合本法标准的个人数据保护立法的国家传输数据，或依据阿联酋加入的相关协议、经数据办公室批准的情形进行传输。第23条随后列出了在无法达到该保护水平时的替代方式，包括与接收方签订约束其遵守本法要求的合同，以及获得该人对传输的明确同意。

实际可行的做法是阅读您所用平台的数据处理条款，记录订阅者数据的存储位置，在处理记录中登记该传输情况，并在注册时展示的隐私声明中提及跨境处理。如果传输的法律依据不明确，在将大批量名单迁移到新工具之前，应先寻求专业意见。

《实施细则》与时间表

该法律于2022年1月2日生效。第28条要求在六个月内出台《实施细则》，第29条则给予控制者和处理者自细则颁布之日起六个月的时间来使自身状况合规，内阁可延长该期限。我们在2026年9月14日检索阿联酋立法门户时，未找到该法律的《实施细则》被列出。包括数据泄露通报期限和小型企业豁免标准在内的多项重要细节，均取决于该细则的出台。

这一空白并不构成等待的理由。具体、可证明且易于撤回的同意，是该法律各条款本身的要求，也是保持投诉率低、名单健康的做法。现在就着手建立这套机制的企业，等细则出台时几乎不需要作出改动。

对现有名单进行同意审计，通常按以下顺序进行：

1. 确认适用于您所持营业执照的数据保护制度。
2. 追溯名单中每一部分联系人的收集来源，以及当时展示的文案。
3. 将拥有可证明营销同意的联系人，与仅因订单或客服关系而保留的客户区分开来。
4. 对没有证据支持的部分暂停推广邮件发送，并通过法律允许的渠道计划一次清晰的许可请求。
5. 更新表单、隐私声明和处理记录，包括平台的数据存储位置。
6. 制定抑制和保留规则，使已撤回同意及不活跃的联系人得到一致的处理。

Digital Marketing Dubai 能提供哪些帮助

我们为迪拜及阿联酋各地的企业搭建并运营邮件营销，从获取同意和名单清理入手；我们的邮件文案团队以阿拉伯文和英文撰写许可请求和营销内容。注册表单和偏好设置页面可以通过网站开发集成到您的网站中，网站数据分析则用于衡量订阅者点击后的行为。

我们是一家营销机构，而非律师事务所，因此我们会与您的法律顾问共同处理上述事项。如果 WhatsApp 或短信也是您营销项目的一部分，同样的同意原则适用，可参阅我们关于阿联酋推广短信规则的指南。发送您的需求简介，我们通常会在工作时间内 45 分钟内提供书面固定报价。