Conformité à la Personal Data Protection Law (PDPL) des Émirats arabes unis

Qu’est-ce que la PDPL ?

La Personal Data Protection Law (PDPL) est la loi fédérale des Émirats arabes unis sur la protection des données, promulguée sous la forme du décret-loi fédéral n° 45 de 2021 relatif à la protection des données personnelles. Elle fixe les conditions dans lesquelles les données personnelles peuvent être traitées, les droits dont disposent les personnes sur leurs données et les obligations qui s’imposent aux entreprises qui les collectent. Son application est supervisée par l’UAE Data Office, créé par un décret-loi distinct la même année.

La PDPL reprend de nombreux principes du RGPD de l’UE. Ses principales règles sont les suivantes :

• Les données personnelles ne peuvent pas être traitées sans le consentement de la personne concernée, sauf si l’une des exceptions prévues par la loi s’applique, comme l’exécution d’un contrat ou le respect d’une obligation légale.
• Le consentement doit être spécifique, clair et non équivoque, l’entreprise doit être en mesure de le prouver, et les personnes peuvent le retirer à tout moment.
• Les personnes ont le droit d’être informées de la manière dont leurs données sont traitées, et de demander leur rectification, leur effacement, la limitation du traitement et la portabilité des données, ainsi que de s’opposer à certains traitements.
• Les entreprises doivent assurer la sécurité des données personnelles, signaler les violations de données à l’UAE Data Office et, dans certains cas, désigner un délégué à la protection des données.
• Les données personnelles ne peuvent être transférées à l’étranger que vers des pays offrant une protection adéquate des données ou dans les autres conditions prévues par la loi.

La PDPL ne s’applique pas sur l’ensemble du territoire. Les zones franches dotées de leurs propres lois sur la protection des données, comme le Dubai International Financial Centre (DIFC) et l’Abu Dhabi Global Market (ADGM), en sont exclues, tout comme certains types de données couverts par une législation distincte, comme les données de santé et les données bancaires.

Que se passe-t-il si je ne respecte pas la PDPL ?

Une infraction à la PDPL peut entraîner :

• Des plaintes et des enquêtes : les personnes peuvent déposer une plainte auprès de l’UAE Data Office si elles estiment que leurs données ont été traitées en violation de la loi, et le Data Office peut mener une enquête.
• Des sanctions administratives : le Data Office peut infliger des sanctions administratives. La loi laisse à une décision du Conseil des ministres des Émirats arabes unis le soin de définir les infractions et le montant des sanctions administratives, si bien que le montant exact des amendes dépend de ces règles d’application.

Comme les règles relatives aux sanctions relèvent de règlements d’application, vérifiez leur état actuel avant de vous fier à un quelconque montant.

Se conformer à la PDPL

Si votre boutique en ligne vend à des clients aux Émirats arabes unis, la PDPL peut s’appliquer aux données personnelles que vous collectez auprès d’eux, y compris les données recueillies au moyen des cookies et des outils de suivi de votre boutique.

Pour les cookies et le suivi, les points essentiels sont les suivants :

• Consentement : le consentement est la base juridique par défaut au titre de la PDPL. Pour les cookies d’analyse, de publicité et les autres cookies non essentiels, demandez le consentement avant leur dépôt, formulez la demande de manière claire et compréhensible, et permettez aux visiteurs de retirer leur consentement aussi facilement qu’ils l’ont donné.
• Information : indiquez aux visiteurs quelles données vous collectez, pourquoi et avec qui vous les partagez, y compris les outils tiers qui déposent des cookies sur votre boutique.
• Preuve du consentement : la loi exige que vous puissiez prouver le consentement, conservez donc une trace du choix de chaque visiteur.
• Transferts transfrontaliers : de nombreux outils d’analyse et de marketing traitent des données hors des Émirats arabes unis. Vérifiez que chaque transfert respecte les conditions de la PDPL.
• Demandes des personnes concernées : soyez prêt à répondre aux demandes d’accès, de rectification, d’effacement et de portabilité.

Si votre entreprise est établie dans le DIFC ou l’ADGM, ce sont les règles de protection des données propres à la zone franche qui s’appliquent, avec leurs propres exigences.

Pour simplifier la tâche, pensez à utiliser une plateforme de gestion du consentement (CMP) comme Pandectes GDPR Compliance. Elle affiche une bannière de cookies qui bloque les cookies non essentiels jusqu’au consentement du visiteur, scanne votre boutique pour détecter et classer automatiquement les cookies, et génère une déclaration de cookies pour votre page de politique. Elle conserve des journaux de consentement comme preuve du choix de chaque visiteur, vous aide à traiter les demandes des personnes concernées et utilise la géolocalisation pour afficher des paramètres de bannière propres à chaque région aux visiteurs de différents pays. Pandectes GDPR Compliance est conçue spécialement pour les boutiques Shopify.

Les règles d’application de la PDPL sont encore en cours d’élaboration : faites examiner votre configuration par un conseiller juridique le cas échéant.