Voldoen aan de UAE Personal Data Protection Law (PDPL)
Pandectes GDPR Compliance helpt Shopify-winkels te voldoen aan de eisen van de PDPL van de VAE door niet-essentiële cookies te blokkeren tot bezoekers toestemming geven, cookies te scannen en in te delen en toestemmingen bij te houden.
Gratis starten
De #1 app voor cookietoestemming op Shopify, vertrouwd door 185k winkels
Wat is de PDPL?
De Personal Data Protection Law (PDPL) is de federale wet inzake gegevensbescherming van de Verenigde Arabische Emiraten, uitgevaardigd als Federal Decree-Law No. 45 of 2021 Regarding the Protection of Personal Data. De wet bepaalt hoe persoonsgegevens mogen worden verwerkt, welke rechten mensen over hun gegevens hebben en welke verplichtingen gelden voor de bedrijven die ze verzamelen. Het toezicht ligt bij het UAE Data Office, dat in hetzelfde jaar bij een apart decreet-wet is opgericht.
De PDPL volgt veel van dezelfde ideeën als de AVG van de EU. De belangrijkste regels zijn:
- Persoonsgegevens mogen niet worden verwerkt zonder toestemming van de betrokkene, tenzij een van de uitzonderingen in de wet geldt, zoals de uitvoering van een overeenkomst of het nakomen van een wettelijke verplichting.
- Toestemming moet specifiek, duidelijk en ondubbelzinnig zijn, het bedrijf moet die kunnen aantonen en mensen kunnen hun toestemming op elk moment intrekken.
- Mensen hebben recht op informatie over hoe hun gegevens worden verwerkt, en kunnen om correctie, wissing, beperking van de verwerking en gegevensoverdraagbaarheid vragen, en bezwaar maken tegen bepaalde verwerkingen.
- Bedrijven moeten persoonsgegevens veilig bewaren, datalekken melden bij het UAE Data Office en in sommige gevallen een functionaris voor gegevensbescherming aanstellen.
- Persoonsgegevens mogen alleen naar het buitenland worden doorgegeven aan landen met een passend beschermingsniveau of onder de andere voorwaarden in de wet.
De PDPL geldt niet overal in het land. Vrijhandelszones met hun eigen wetten inzake gegevensbescherming, zoals het Dubai International Financial Centre (DIFC) en Abu Dhabi Global Market (ADGM), zijn uitgezonderd, net als sommige soorten gegevens die onder aparte wetgeving vallen, zoals gezondheids- en bankgegevens.
Voor wie geldt de PDPL?
De PDPL geldt voor de verwerking van persoonsgegevens van mensen die in de VAE wonen of er een vestiging hebben. De wet geldt voor bedrijven die in de VAE zijn gevestigd, maar ook voor bedrijven buiten de VAE die persoonsgegevens van mensen in de VAE verwerken. Een buitenlandse webwinkel die aan klanten in de VAE verkoopt, kan er dus onder vallen.
Wat gebeurt er als ik me niet aan de PDPL houd?
Een overtreding van de PDPL kan leiden tot:
- Klachten en onderzoeken: Mensen kunnen een klacht indienen bij het UAE Data Office als ze denken dat hun gegevens in strijd met de wet zijn verwerkt, en het Data Office kan een onderzoek instellen.
- Bestuurlijke sancties: Het Data Office kan bestuurlijke sancties opleggen. De wet laat de overtredingen en de hoogte van de bestuurlijke sancties vaststellen bij besluit van het kabinet van de VAE, dus de precieze boetes hangen af van die uitvoeringsregels.
Omdat de sanctieregels uit uitvoeringsregelingen komen, controleer je de actuele stand van zaken voordat je op een bedrag vertrouwt.
Wanneer ging de PDPL in?
De PDPL werd uitgevaardigd op 20 september 2021 en trad in werking op 2 januari 2022. Bedrijven hebben zes maanden vanaf de publicatie van de uitvoeringsregelingen om hun verwerkingen in lijn te brengen met de wet.
Aan de PDPL voldoen
Verkoopt je webwinkel aan klanten in de VAE, dan kan de PDPL gelden voor de persoonsgegevens die je van hen verzamelt, ook voor gegevens die via cookies en trackingtools in je winkel worden verzameld.
Voor cookies en tracking zijn dit de belangrijkste punten:
- Toestemming: Toestemming is onder de PDPL de standaard rechtsgrond. Vraag voor analytische, advertentie- en andere niet-essentiële cookies toestemming voordat ze worden geplaatst, maak het verzoek duidelijk en begrijpelijk, en laat bezoekers hun toestemming net zo makkelijk intrekken als ze die gaven.
- Informatie: Vertel bezoekers welke gegevens je verzamelt, waarom en met wie je ze deelt, inclusief de tools van derden die cookies in je winkel plaatsen.
- Bewijs van toestemming: De wet verplicht je toestemming te kunnen aantonen, dus leg de keuze van elke bezoeker vast.
- Doorgifte naar het buitenland: Veel analyse- en marketingtools verwerken gegevens buiten de VAE. Controleer of elke doorgifte aan de voorwaarden van de PDPL voldoet.
- Verzoeken van betrokkenen: Wees klaar om te reageren op verzoeken om inzage, correctie, wissing en overdraagbaarheid.
Is je bedrijf gevestigd in het DIFC of ADGM, dan gelden in plaats daarvan de eigen regels voor gegevensbescherming van die vrijhandelszone, met hun eigen eisen.
Om dit beheersbaar te houden, kun je een Consent Management Platform (CMP) gebruiken zoals Pandectes GDPR Compliance. Het toont een cookiebanner die niet-essentiële cookies blokkeert tot de bezoeker toestemming geeft, scant je winkel om cookies automatisch te herkennen en in te delen, en maakt een cookieverklaring voor je beleidspagina. Het bewaart toestemmingslogs als bewijs van de keuze van elke bezoeker, helpt je verzoeken van betrokkenen af te handelen en gebruikt geolocatie om bezoekers uit verschillende landen regiospecifieke bannerinstellingen te tonen. Pandectes GDPR Compliance is speciaal gemaakt voor Shopify-winkels.
De uitvoeringsregels van de PDPL zijn nog in ontwikkeling, dus laat je opzet waar nodig door een jurist beoordelen.