Защита данных на Ближнем Востоке и в Северной Африке уже не лоскутное одеяло из проектов. В Египте, Саудовской Аравии, Объединённых Арабских Эмиратах, Катаре и Бахрейне действует собственный закон о персональных данных, а Кувейт регулирует эту сферу решением регулятора CITRA, законом об электронных транзакциях и законом о киберпреступлениях. Правила различаются по сфере применения, согласию, срокам уведомления об утечках, передаче данных и санкциям, поэтому компания, работающая в регионе, не может просто перенести политику одной страны в другую. Из наших офисов в Кувейте и Каире Hind Bin Al Sheikh & Partners сравнивает шесть режимов по законам и номерам статей, чтобы специалисты по комплаенсу видели, где одна программа подходит для нескольких стран, а где без местной работы не обойтись.
Шесть юрисдикций, шесть моделей
Саудовская Аравия, ОАЭ, Катар, Бахрейн и Египет опираются каждая на отдельный закон: Закон о защите персональных данных, изданный королевским указом № M/19 и изменённый королевским указом № M/148, в Саудовской Аравии, федеральный указ-закон № 45 от 2021 года в ОАЭ, Закон № 13 от 2016 года в Катаре, Закон № 30 от 2018 года в Бахрейне и Закон № 151 от 2020 года в Египте. У каждого закона свой надзорный орган, а подробности содержатся в исполнительных регламентах или решениях.
Кувейт составляет исключение. Общего закона о защите данных там нет. Решение № 26 от 2024 года Управления по регулированию связи и информационных технологий (CITRA) распространяется на лицензированных операторов связи и интернета, Закон № 20 от 2014 года об электронных транзакциях охватывает персональные данные в электронных реестрах, а Закон № 63 от 2015 года о киберпреступлениях добавляет уголовную ответственность. Поэтому клиент начинает с вопроса, какой режим применяется к какой организации и какой деятельности.
Сфера действия: кто охвачен в каждой стране
Саудовская Аравия по статье 2 применяет закон к обработке персональных данных лиц в Королевстве, в том числе из-за его пределов, и исключает личное и семейное использование, если данные не опубликованы и не раскрыты. Закон ОАЭ по статье 2 применяется к операторам и обработчикам в ОАЭ и к находящимся за границей, обрабатывающим данные субъектов в ОАЭ, и исключает правительственные данные, органы безопасности и судебные органы, данные о здоровье и банковские данные с собственным регулированием, а также компании в свободных зонах со своим законодательством о данных, такие как DIFC и ADGM. Статья 2 катарского закона охватывает персональные данные при электронной обработке.
Египет защищает только физических лиц и распространяет уголовные нормы на некоторые деяния за границей; он исключает личное использование, официальную статистику, журналистику, судебные материалы, органы национальной безопасности и организации под надзором Центрального банка, кроме компаний по денежным переводам и обмену валюты. Регламент CITRA по статье 1 применяется к поставщикам с лицензией CITRA, в Кувейте и за его пределами, а остальные организации полагаются на Закон № 20 от 2014 года. Статья 2 бахрейнского закона применяется к автоматизированной обработке и структурированным ручным картотекам.
Где находится каждый режим в 2026 году
Исполнительный регламент Египта издан решением MCIT № 816 от 2025 года (вторичные источники датируют его 1 ноября 2025 года), и годичный срок на приведение деятельности в соответствие истекает около 31 октября или 1 ноября 2026 года в зависимости от способа подсчёта, так что у Египта ближайший срок. Закон Саудовской Аравии вступил в силу 14 сентября 2023 года с годичным периодом исправления, который уже закончился. В Катаре и Бахрейне соответствующие законы применяются уже много лет, в Бахрейне с 1 августа 2019 года.
ОАЭ отличаются. Статья 28 указа-закона № 45 от 2021 года поручала Совету министров издать исполнительный регламент в течение шести месяцев, а статья 29 даёт операторам шесть месяцев с его издания на приведение деятельности в соответствие, но вторичные источники сообщают, что регламент до сих пор не опубликован и перечень административных санкций по статье 26 не принят. Мы считаем закон действующим и отмечаем, что его практические детали остаются открытыми. Годичный льготный срок статьи 7 решения CITRA, отсчитываемый от публикации в феврале 2024 года, истёк.
Согласие и законные основания
Согласие почти везде служит базовым правилом. Статья 5 саудовского закона в изменённой редакции требует явного согласия, если не применяется случай статьи 6, а изменённая статья 6 добавляет законный интерес. Статья 4 закона ОАЭ запрещает обработку без согласия с перечисленными исключениями, а статья 6 требует, чтобы оператор мог доказать согласие и чтобы его отзыв был лёгким. Статья 4 катарского закона допускает обработку только с согласием, если она не нужна для законной цели, а статья 5 даёт право отзыва. Статья 4 бахрейнского закона запрещает обработку без согласия, кроме случаев договора, юридической обязанности, жизненно важных интересов или законных интересов.
Египет требует явного согласия по статье 2 Закона 151, а законные основания указаны в статье 6. Регламент CITRA требует от лицензиатов согласия и его доказательства по статьям 2 и 3, а Закон № 20 от 2014 года по статьям 32 и 35 требует согласия и указания цели для персональных данных в электронных реестрах. На практике единый процесс получения согласия, явного, привязанного к цели, доказуемого и легко отзываемого, пройдёт большинство этих проверок.
Права физических лиц
Права шире всего в ОАЭ, Саудовской Аравии и Египте. Статьи 13-18 закона ОАЭ дают доступ к информации, переносимость, исправление и удаление, ограничение, возражение против прямого маркетинга и возражение против автоматизированных решений. Статья 4 саудовского закона даёт права быть проинформированным, получать доступ, получать копию, исправлять и уничтожать данные. Статья 2 египетского закона даёт право знать, доступ, отзыв, исправление, удаление, ограничение и возражение, а статьи 10 и 32 устанавливают срок ответа шесть рабочих дней.
Статьи 5 и 6 катарского закона дают отзыв, возражение, удаление, исправление, доступ и копию за плату не выше стоимости услуги. Статьи 17-23 бахрейнского закона охватывают информирование, доступ, возражение против прямого маркетинга, возражение против вредной обработки и автоматизированных решений, а также исправление, блокирование и удаление. Регламент CITRA в Кувейте добавляет для лицензиатов по статье 4 доступ, исправление, удаление, ограничение, возражение и переносимость.
Обязанности операторов, реестры и ответственные лица
Больше всего режимы расходятся в реестрах и ответственных лицах. Статья 8 египетского закона требует, чтобы юридическое лицо назначило зарегистрированного ответственного за защиту данных. Статья 10 закона ОАЭ требует такого специалиста при высокорисковой, систематической или масштабной обработке чувствительных данных. Статья 10 бахрейнского закона учреждает уполномоченного по защите данных (Data Protection Guardian), аккредитованного Органом. Статья 31 саудовского закона требует вести реестры операций обработки, которые вправе запросить компетентный орган. Регламент CITRA требует реестры обработки в статье 5.
Статьи 8 и 11 катарского закона обязывают оператора защищать данные, проверять меры конфиденциальности перед новой обработкой, определять и обучать обработчиков и вести внутреннюю систему управления данными. Обязанности по безопасности есть везде: статья 13 в Катаре, статья 20 в ОАЭ, статья 19 в Саудовской Аравии, статья 8 в Бахрейне, статья 4 в Египте и статья 5 регламента CITRA в Кувейте. Единая базовая модель безопасности, сопоставленная с этими статьями, позволяет избежать дублирования работы.
Лицензии, регистрация и уведомление
Египет является режимом с наибольшим числом лицензий. Статья 26 Закона 151 позволяет Центру защиты персональных данных выдавать лицензии и разрешения операторам и обработчикам, а статья 4 требует от оператора иметь одну из них, поэтому портал подачи заявлений важен по мере приближения срока ноября 2026 года. Бахрейн требует предварительного уведомления Органа об автоматизированной обработке по статье 14 и предварительного разрешения на отдельные операции по статье 15.
Катар требует разрешения компетентного департамента на обработку персональных данных особого характера по статье 16. Статья 33 саудовского закона даёт органу полномочия по аккредитации и требованиям к деятельности, а изменение отменило прежнюю обязанность регистрации по статье 32. В ОАЭ закон не предусматривает общего лицензирования. Кувейт связывает обязанности с наличием лицензии CITRA, поэтому первый вопрос к кувейтскому клиенту: является ли он лицензиатом.
Сроки уведомления об утечках
Сроки различаются и часто становятся ловушкой. Статья 6 в Кувейте обязывает лицензиата уведомить CITRA в течение 24 часов с момента, когда ему стало известно о нарушении, а статья 4 отдельно говорит о 72 часах для вредного масштабного раскрытия. Статья 7 в Египте требует уведомить Центр в течение 72 часов, а субъекта данных в течение трёх рабочих дней. Статья 20 саудовского закона в изменённой редакции требует уведомить компетентный орган, а статья 24 исполнительного регламента устанавливает 72 часа при соблюдении условий.
Статья 9 закона ОАЭ требует уведомить Бюро данных с описанием нарушения, данными ответственного лица, вероятными последствиями и мерами по исправлению в срок, который установит исполнительный регламент, ещё не изданный. Статья 14 в Катаре требует уведомить лицо и компетентный департамент, если нарушение может причинить серьёзный ущерб, без указания часов. Вторичные источники сообщают о 72 часах в Бахрейне, и мы отмечаем, что этот срок не привязан к прочитанной нами статье. Разумное групповое правило: внутренний путь эскалации в 24 часа, способный уложиться в самый строгий срок.
Трансграничные передачи
Передачи требуют наибольшего местного анализа. Статья 29 саудовского закона в изменённой редакции допускает передачи только для перечисленных целей и при условиях, защищающих национальную безопасность и жизненные интересы, согласно регламенту о передаче персональных данных за пределы Королевства. Статья 22 закона ОАЭ допускает передачу в страны с достаточной защитой, признанной Бюро данных, а статья 23 допускает передачи на основании договоров и иных гарантий, если защита недостаточна. Статья 12 бахрейнского закона запрещает передачи, кроме стран из списка Органа или с его разрешения в каждом случае, а статья 13 перечисляет исключения.
Статья 14 египетского закона требует достаточной защиты и лицензии Центра, а исполнительный регламент добавляет согласие и названные страны. Статья 15 катарского закона действует в обратную сторону: оператор не вправе ограничивать трансграничный поток данных, если обработка не нарушает закон и не может причинить серьёзный ущерб. В Кувейте нет общего правила локализации, а частным организациям по Закону № 20 от 2014 года обычно не требуется разрешение на передачу за границу, если речь не о государственной информации или информации органов власти. Карта передач по странам - первый результат, который мы готовим.
Чувствительные данные, дети и прямой маркетинг
Чувствительные данные влекут дополнительные условия. Статья 12 в Египте требует лицензии Центра и письменного согласия. Статья 16 в Катаре определяет данные особого характера, включая данные детей и о здоровье, и требует разрешения компетентного департамента, а статья 17 требует согласия родителей для детских сайтов. Статья 5 в Бахрейне устанавливает особые условия для чувствительных данных. Статья 4 в ОАЭ рассматривает чувствительные данные по собственным исключениям, а статья 35 саудовского закона устанавливает уголовную ответственность за раскрытие чувствительных данных с намерением причинить вред или ради личной выгоды.
Правила маркетинга тоже различаются. Статья 22 в Катаре требует предварительного согласия, указания отправителя, пометки о маркетинге и простого адреса для отказа. Статья 25 саудовского закона ограничивает использование личных каналов связи для рекламы, а статья 26 допускает маркетинговое использование только данных, собранных напрямую с согласием. Статья 17 закона ОАЭ даёт право возражать против прямого маркетинга, статьи 19 и 20 в Бахрейне касаются возражения против прямого маркетинга, статья 17 в Египте требует предварительного согласия, а статья 4 регламента CITRA требует предварительного согласия на маркетинг третьих лиц.
Санкции и правоприменение
Статья 35 саудовского закона в изменённой редакции карает раскрытие чувствительных данных с намерением причинить вред или ради личной выгоды лишением свободы до двух лет и штрафом до 3 000 000 SAR либо одним из этих наказаний, а статья 36 допускает предупреждение или штраф до 5 000 000 SAR за остальные нарушения, который можно удвоить при повторном нарушении. Статья 23 в Катаре предусматривает наказание до 1 000 000 QAR за нарушение перечисленных статей, статья 24 - до 5 000 000 QAR за нарушение статей 13, 16(3) и 17, а статья 25 охватывает юридических лиц. Штрафы в Египте составляют от 100 000 до 5 000 000 EGP, с лишением свободы за преступления с чувствительными данными и передачами по статьям 41 и 42.
В Кувейте статья 37 Закона № 20 от 2014 года предусматривает лишение свободы до трёх лет и штраф от 5 000 до 20 000 KWD либо одно из этих наказаний, а статья 64 Закона № 37 от 2014 года понимается как допускающая для лицензиатов штрафы до 1 000 000 KWD за нарушение. В ОАЭ перечень санкций по статье 26 пока не опубликован, а преступления в Бахрейне охватывают чувствительные данные, незаконные передачи и неуведомление, со штрафом до 20 000 BHD или лишением свободы до года по сообщениям вторичных источников.
Что мы проверяем в досье по защите данных в регионе MENA
Проверяя многострановое досье по защите данных, мы сначала относим каждую организацию и деятельность к своему режиму, а для Кувейта выясняем, есть ли у клиента лицензия CITRA. Затем мы приводим формулировки согласия, процедуры по правам и реестры к самой строгой применимой статье, выстраиваем единый путь эскалации утечек, способный уложиться в сроки 24 и 72 часа, картируем передачи страна за страной и готовим египетский пакет документов на лицензию до срока ноября 2026 года.
См. также: наше руководство по защите данных в Кувейте и наше руководство по защите данных в Египте, а также наша корпоративная и коммерческая практика.
Часто задаваемые вопросы
Есть ли единый закон о защите данных для всего региона MENA?
Нет. В каждой стране свой режим: Закон № 151 от 2020 года в Египте, Закон о защите персональных данных в Саудовской Аравии, федеральный указ-закон № 45 от 2021 года в ОАЭ, Закон № 13 от 2016 года в Катаре и Закон № 30 от 2018 года в Бахрейне, а Кувейт опирается на решение CITRA № 26 от 2024 года, Закон № 20 от 2014 года и Закон № 63 от 2015 года.
Есть ли в Кувейте закон о защите данных?
Общего нет. Решение CITRA № 26 от 2024 года по статье 1 применяется к лицензиатам CITRA, а остальные организации подпадают под Закон № 20 от 2014 года об электронных транзакциях и закон о киберпреступлениях.
В какой стране ближайший срок соблюдения требований?
В Египте. Год после решения № 816 от 2025 года об исполнительном регламенте истекает около 31 октября или 1 ноября 2026 года.
Издан ли исполнительный регламент ОАЭ?
Вторичные источники сообщают, что нет, хотя статья 28 указа-закона № 45 от 2021 года предусматривала это в течение шести месяцев. Мы считаем закон действующим и следим за регламентом.
В какой срок нужно сообщить об утечке?
Это зависит от страны. Статья 6 в Кувейте устанавливает 24 часа для лицензиатов CITRA, статья 7 в Египте - 72 часа, статья 24 саудовского исполнительного регламента - 72 часа там, где она применяется, а статья 14 в Катаре не называет часов. Внутренний путь в 24 часа соответствует самому строгому правилу.
Можно ли вывозить персональные данные из этих стран?
Часто да, при соблюдении условий. Статья 29 в Саудовской Аравии, статьи 22 и 23 в ОАЭ, статьи 12 и 13 в Бахрейне и статья 14 в Египте устанавливают условия передачи, тогда как статья 15 в Катаре ограничивает запреты на потоки данных, а в Кувейте нет общего правила локализации.
Каковы максимальные наказания?
Статья 36 в Саудовской Аравии допускает штрафы до 5 000 000 SAR, которые можно удвоить при повторном нарушении, статья 24 в Катаре - до 5 000 000 QAR, а в Египте штрафы доходят до 5 000 000 EGP, и в каждой стране за некоторые преступления грозит лишение свободы.
Консультируете ли вы по трансграничному соблюдению требований о защите данных?
Да. Мы классифицируем каждую организацию, определяем применимый режим, готовим документы о согласии и конфиденциальности, готовим пакеты на лицензии в Египте и ведём контакты с регуляторами. Свяжитесь с нами через страницу контактов, чтобы обсудить вашу ситуацию.