Émirats arabes unis : les règles cookies et consentement

Quelle loi sur la protection des données s’applique aux Émirats ?

Cela dépend de l’endroit où l’entreprise est établie. Le décret-loi fédéral nº 45 de 2021 relatif à la protection des données personnelles, la PDPL, a été promulgué le 20 septembre 2021 et est en vigueur depuis le 2 janvier 2022. Il couvre la plus grande partie du pays, mais l’article 2 exclut les données gouvernementales, les données de santé et bancaires régies par leur propre législation, et les sociétés établies dans des zones franches dotées de leur propre loi sur la protection des données. Deux zones franches financières en ont une : le Dubai International Financial Centre (DIFC Data Protection Law No. 5 of 2020) et Abu Dhabi Global Market (ADGM Data Protection Regulations 2021). Chacune a son propre régulateur.

À qui s’applique la PDPL fédérale ?

L’article 2 applique la PDPL au traitement des données personnelles de personnes concernées qui résident ou ont un lieu d’activité aux Émirats, aux responsables de traitement et sous-traitants établis aux Émirats, que les personnes concernées soient dans le pays ou non, et aux responsables et sous-traitants établis hors des Émirats qui traitent des données personnelles de personnes concernées qui s’y trouvent. Un site étranger qui suit des visiteurs aux Émirats entre donc dans le texte. Les données personnelles comprennent toute donnée qui identifie une personne directement ou indirectement, et la définition cite l’identifiant électronique et la localisation géographique parmi les éléments d’identification : les identifiants de cookies et les identifiants publicitaires sont couverts.

Les cookies exigent-ils un consentement au titre de la PDPL ?

La PDPL n’a pas de clause sur les cookies, mais sa règle de consentement est plus stricte que celle du RGPD. L’article 4 interdit de traiter des données personnelles sans le consentement de la personne concernée et énumère les exceptions : intérêt public, données rendues publiques par la personne, actions en justice, santé et action sociale, archivage et statistiques, protection des intérêts de la personne, obligations liées à l’emploi, exécution d’un contrat auquel la personne est partie, obligations légales, et tout autre cas ajouté par les règlements d’application. Il n’existe pas de fondement d’intérêt légitime : les cookies de mesure d’audience et de publicité qui ne sont pas nécessaires à un contrat avec le visiteur n’ont pas d’autre base que le consentement.

Le consentement est défini à l’article 1 comme une acceptation spécifique, claire et non équivoque, donnée par une déclaration ou un acte positif clair. L’article 6 ajoute que le responsable doit pouvoir le prouver, qu’il doit être clair, simple, non équivoque et facilement accessible, et qu’il doit mentionner le droit de le retirer facilement. L’article 18 donne un droit d’opposition aux décisions fondées sur un traitement automatisé, profilage compris. En pratique, cela conduit à un bandeau de consentement préalable avec une option Refuser et un enregistrement de chaque choix.

Ce qui manque encore à la PDPL, ce sont les détails. L’article 28 demandait au Conseil des ministres d’adopter les règlements d’application dans les six mois, l’article 29 donne aux entreprises six mois à compter de ces règlements pour se mettre en conformité, et l’article 26 renvoie la liste des manquements et des sanctions administratives à une décision du Conseil des ministres. Au 20 octobre 2026, le portail officiel de la législation des Émirats ne mentionnait ni règlements d’application ni décision sur les sanctions pour la PDPL.

Qu’exige le DIFC pour les cookies ?

Le DIFC est le seul régime des Émirats doté d’une règle expresse sur les cookies. Le règlement 9 des DIFC Data Protection Regulations, dans sa version en vigueur depuis le 1er septembre 2023, vise les « digital communications and services » (communications et services numériques), qui comprennent la publicité comportementale, définie comme incluant l’utilisation de cookies pour la personnalisation, la mesure d’audience ou la constitution de profils publicitaires, ainsi que le suivi par pixel ou entre applications. Pour ces usages, le responsable doit :

• indiquer, au moment de la collecte et en termes simples, si des données personnelles seront utilisées à ces fins ;
• donner à la personne la possibilité de refuser ou de s’opposer la première fois que des données sont collectées à ces fins ;
• régler les préférences de confidentialité par défaut de sorte que seul le minimum de données nécessaire au service soit collecté ;
• proposer des cases ou des boutons de sélection clairs et de couleur neutre, qui n’encouragent ni ne découragent un réglage, une explication des réglages, et un lien ou un tableau de bord de préférences pour les modifier plus tard ;
• lorsqu’il se fonde sur le consentement, utiliser une case non cochée ou une sélection positive similaire, expliquer les finalités et renvoyer à une notice de confidentialité ; les cases précochées, le silence et l’inactivité ne sont pas acceptables.

La loi du DIFC s’applique aux responsables et sous-traitants constitués au DIFC, où qu’ils traitent les données, et aux traitements effectués au DIFC par d’autres dans le cadre d’arrangements stables (article 6). Le consentement doit être un acte positif clair, distinct pour chaque finalité, et aussi facile à retirer qu’à donner (article 12). Le Commissioner peut infliger des amendes administratives jusqu’aux montants de l’annexe 2, de 25 000 USD à 100 000 USD par manquement, et une amende générale qui n’est pas limitée à ces montants (article 62).

Et l’ADGM ?

Les ADGM Data Protection Regulations 2021 s’appliquent aux traitements effectués dans le cadre d’un établissement à l’ADGM. Les lignes directrices de l’Office of Data Protection rangent les identifiants de cookies parmi les identifiants en ligne, précisent que le silence, l’inaction et les cases précochées ne valent pas consentement, et indiquent que le Commissioner peut infliger des amendes jusqu’à 28 millions de dollars américains. L’ADGM n’a pas de règle propre aux cookies. L’Office publie ses mesures réglementaires, comme un avis de sanction variable notifié à Okadoc Technologies le 21 mai 2024 pour des manquements aux dispositions sur les droits des personnes.

Les données personnelles peuvent-elles quitter les Émirats ?

Au titre de la PDPL, les transferts sont autorisés vers les pays dotés d’une législation sur la protection des données et d’un régulateur, ou avec lesquels les Émirats ont conclu un accord sur la protection des données (article 22). À défaut, l’article 23 autorise les transferts sous couvert d’un contrat qui oblige le destinataire à respecter les normes de la PDPL, avec le consentement exprès de la personne concernée, ou lorsqu’ils sont nécessaires à un contrat, à des actions en justice ou à l’intérêt public ; les règlements d’application doivent en fixer les conditions. Le DIFC et l’ADGM tiennent leurs propres listes d’adéquation et leurs propres clauses contractuelles types.

Comment Cookiequiet s’y adapte

Les Émirats arabes unis ne figurent pas dans la liste par défaut des pays réglementés de Cookiequiet : ajoutez-les à une liste de pays personnalisée ou affichez le bandeau partout ; le ciblage géographique est inclus dans chaque offre. Le bandeau bloque les scripts non essentiels jusqu’au choix, affiche « Tout accepter » et « Tout refuser » avec la même taille et le même poids et sans catégorie précochée, ce qui correspond aux règles du DIFC sur les choix de couleur neutre et les cases non cochées, et le registre des consentements enregistre chaque choix. L’arabe ne fait pas partie des 24 langues intégrées : les visiteurs dont le navigateur le demande voient la langue par défaut du site, dont vous pouvez modifier les textes. Vérifiez ce que dépose votre site avec le scanner de cookies, et lisez les dark patterns dans les bandeaux cookies pour la conception. Les offres sont sur la page des tarifs. Ceci n’est pas un conseil juridique.