W lipcu 2020 r. weszły w życie przepisy ustawy o ochronie danych osobowych Międzynarodowego Centrum Finansowego w Dubaju nr 5 z 2020 r. (Dubai International Finance Centre’s data protection law No. 5 – DPL 2020). Zastąpiły one wcześniej obowiązujące prawo z 2007 r. Członkowie Międzynarodowego Centrum Finansowego w Dubaju (Dubai International Financial Centre – DIFC) mieli czas na dostosowanie się do nowego prawa do października 2020 r. Tymczasem, niespełna rok po tej dacie Zjednoczone Emiraty Arabskie zapowiedziały nową, tym razem federalną, ustawę o ochronie danych osobowych, tj. obejmującą swoim zastosowaniem cały kraj, a nie jedynie obszar DIFC.
Czym jest DIFC
DIFC jest ośrodkiem finansowym dla Bliskiego Wschodu, Afryki i Azji Południowej, zrzeszającym 72 kraje, których łączne PKB wynosi przeszło 7,7 biliona dolarów. Został on utworzony w Dubaju (Zjednoczone Emiraty Arabskie) jako tzw. wolna strefa czyli wyodrębniony obszar posiadający własne prawo, w tym w zakresie ochrony danych osobowych. Wskazuje się, że wolne strefy zostały utworzone w celu promowania określonych sektorów (np. sektor finansowy), przy zagwarantowaniu swobody przy uchwalaniu wewnętrznych regulacji prawnych. W tym kontekście DPL 2020 można uznać za najbardziej nietypową regulację z zakresu ochrony danych osobowych na świecie.
DPL 2020 podobne do RODO
W założeniu DPL 2020 z jednej strony ma zastosowanie do przedsiębiorców zarejestrowanych w DIFC, niezależnie od tego, gdzie faktycznie ma miejsce przetwarzanie danych osobowych. Z drugiej natomiast, do tych przetwarzających dane osobowe na obszarze DIFC, ale zarejestrowanych gdzieś indziej. W ocenie twórców przepisów, ma ona na celu ułatwienie międzynarodowego transferu danych osobowych, poprzez m.in. dostosowanie regulacji obowiązujących w DIFC do RODO. Ten kierunek nie dziwi. W przeciwnym razie, przedsiębiorcy zmuszeni byliby do wdrażania odpowiednich rozwiązań na własną rękę, co w praktyce może być zadaniem bardzo czasochłonnym i kosztownym.
Zagraniczne media zwracają uwagę, że przepisy DPL 2020 zawierają instytucje bardzo zbliżone do tych z RODO. Podobnie jak unijne rozporządzenie, regulują one m.in. zasady dotyczące przetwarzania danych osobowych, uprawnienia osób, których dane dotyczą, czy też określone obowiązki administratora w zakresie przejrzystości przetwarzania danych osobowych. Co ciekawe również DPL 2020 nakazuje administratorom wyznaczenie inspektora ochrony danych (IOD) w określonych przypadkach.
Przepisy DPL 2020 egzekwowane są przez organ nadzorczy, tj. Komisarza DIFC ds. ochrony danych. Podmiot ten może nakładać na administratorów kary finansowe w wysokości do 100 000 dolarów (ok. 400 000 złotych), co wydaje się być kwotą mocno symboliczną w porównaniu do kar przewidzianych w RODO. Regulator jest także uprawniony do przyznawania odszkodowania bezpośrednio osobie, których dane dotyczą, co jest rozwiązaniem obcym RODO.
Brytyjski organ nałożył karę w wysokości 500 000 funtów na biuro informacji gospodarczej
Nowe przepisy w drodze
Chociaż od wejścia w życie DPL 2020 minął niewiele ponad rok, we wrześniu br. rządzący ogłosili, że rozpoczęły się prace nad nową, federalną, ustawą o ochronie danych osobowych obowiązującą na całym obszarze Zjednoczonych Emiratów Arabskich. W założeniu prawo to przypominać ma RODO, podobnie jak DPL 2020. Zauważa się, że uchwalenie nowych – federalnych – przepisów otworzyć ma Zjednoczonym Emiratom Arabskim drogę do uzyskania ze strony UE decyzji stwierdzającej odpowiedni poziom ochrony danych, co ułatwi transfer danych osobowych do i z UE. Co ciekawe, dotychczas UE nie brała DIFC pod uwagę przy podejmowaniu tego typu decyzji. DIFC nie posiada bowiem statusu kraju, co de facto uniemożliwiało UE działanie w tym zakresie. W odniesieniu do Zjednoczonych Emiratów Arabskich jako kraju, sytuacja może kształtować się zupełnie inaczej.
Źródła:
