《2021 年数据保护条例》
阿布扎比全球市场董事会；执法机关为 ADGM 数据保护专员（数据保护办公室） · ADGM Data Protection Regulations 2021
ADGM 的数据保护条例在条文编号与实质内容上最接近 GDPR：处理原则与合法性基础、同意条件、特殊类别数据、数据主体权利（第 10–20 条，含第 20 条自动化个人决策与画像）、控制者责任与"设计与默认的数据保护"、数据保护费与向专员的通知（第 24 条）、共同控制者与处理者、处理活动记录、处理安全、处理终止、泄露通报（第 32 条，72 小时）、数据主体告知（第 33 条）、数据保护影响评估（第 34 条）、数据保护官（第 35–37 条）、行为准则与认证、以及第 40–44 条的出境规则（充分性认定、适当保障措施、约束性公司规则、特定情形减损）。第 55 条规定专员可处以其认为适当的罚款，单次及同一或关联处理操作的多项违规累计均不得超过 2,800 万美元。
中国 AI 企业受 ADGM 条例约束的情形：（1）在 ADGM 注册实体（含区域总部、基金、金融科技牌照主体、里姆岛扩区后的经营主体），只要该机构的活动涉及个人数据处理，无论处理是否发生在 ADGM 内——第 3(1) 条；（2）作为处理者为 ADGM 之外的控制者处理数据时，须在考虑该控制者本国法项下类似义务的前提下尽可能遵守本条例——第 3(2) 条；（3）向 ADGM 内的金融机构提供风控模型、KYC、智能投顾或数据服务而成为其处理者或子处理者。注意 ADGM 的登记制是刚性的：只要在 ADGM 注册的实体处理个人数据，就必须以控制者身份登记并缴纳数据保护费，未按时缴纳可按费额的 150% 另处罚款。
重点行业：通用、金融科技 AI、企业软件 SaaS、大模型 / 生成式 AI
2021-02-11
《2021 年数据保护条例》颁布（颁布≠生效：第 63 条设分期废止与生效）
条例首页载明颁布日期为 2021-02-11。第 63(1) 条规定《2015 年数据保护条例》的废止分两档生效：对公布日当日或之后在 ADGM 设立的机构，自公布之日起满 6 个月；对在本条例生效日之前已设立的机构，自公布之日起满 12 个月。第 63(2) 条进一步规定，本条例自 2015 年条例被废止之日起生效并具有约束力。因此对既有机构而言，实际适用日晚于颁布日约一年。本轮未从官方渠道核实"公布日"的具体日历日期，故此处不给出两档生效的具体日期。
2024-12-31
里姆岛（Al Reem Island）过渡豁免期届满
第 3(4) 条规定：自 2023 年第 41 号内阁决议生效之日起至 2024-12-31 止，在里姆岛地理范围内的常设机构从事经济、商业或专业活动的主体不适用本条例；期满或其在 ADGM 注册／取得牌照后即被视为"机构（Establishment）"并受条例约束。
2025-09-09
《数据保护条例（第 1 号修订）2025》自公布之日起生效
修订条例第 2(3) 条规定自公布之日起生效，页面载明公布日期为 2025-09-09。修订内容极为有限：在第 7(2)(k)（特殊类别个人数据的处理条件）清单末尾新增第 (xii) 项"董事会规则规定的其他条件"，并相应调整第 (x)(xi) 项的连接词；另将第 36(1)(c) 项的交叉引用由"第 36 条"更正为"第 37 条"。对企业的实务影响是：特殊类别数据的处理条件此后可由 ADGM 董事会以规则扩充，需持续跟踪规则更新。
每条都写明触发条件、需要留存的证据与条款出处
第 24(1) 条要求控制者在开始处理个人数据之前、或在开始后尽快：向专员缴纳自开始处理之日起 12 个月的数据保护费，并通知专员其名称与地址（注册公司为注册办事处地址）以及开始处理的日期。第 24(2) 条要求此后每年在开始处理周年日届满后一个月内按董事会规则规定的金额缴纳续费。ADGM 数据保护办公室官网亦明确：所有处理个人数据的 ADGM 注册实体均须登记为数据控制者。
首次达标投入估算：1–3 人日（估算，非承诺）
第 35(1) 条要求在三种情形下任命数据保护官：由公共机关处理（司法职能的法院除外）；控制者或处理者的核心活动包含因其性质、范围与目的而需要对数据主体进行大规模常规系统性监测的处理操作；核心活动包含大规模处理特殊类别个人数据。数据保护官可服务于单一实体、集团或多个独立实体，可兼任其他职务，不必是雇员（但须有书面协议），亦无需常驻 ADGM，前提是对其服务的每一实体均易于联络且其他职务不与本条例项下义务冲突。第 35(3) 条要求基于专业素质特别是数据保护法律与实务的专门知识任命；第 35(4) 条要求在任命或辞任后一个月内通知专员，通知须包含新任数据保护官的联系方式，辞任情形下还须说明理由。
首次达标投入估算：2–6 人日（估算，非承诺）
第 32(1) 条要求控制者在发生个人数据泄露时无不当迟延地、在可行情况下不迟于知悉后 72 小时内向专员通报，除非该泄露不太可能对自然人权利造成风险；超过 72 小时的通报须附迟延理由。第 32(2) 条要求处理者在知悉后无不当迟延通知控制者。通报内容须包括泄露性质（含数据主体与记录的类别与大致数量）、数据保护官或联络点、可能后果、已采取或拟采取的措施；信息不能一次提供的可分阶段提供。第 32(5) 条要求控制者记录全部泄露的事实、影响与补救措施，使专员能够核查合规。
首次达标投入估算：4–10 人日（估算，非承诺）
出境方面：第 41 条允许依专员的充分性认定传输，专员在评估时可考虑欧盟委员会依 GDPR 第 45(3) 条作出的充分性决定；无充分性认定时适用第 42 条，可无需专员单独授权而依赖公共机构间具法律约束力的文书、约束性公司规则、专员依第 42(2) 条通过的标准数据保护条款（专员可直接批准欧盟委员会或其他监管机构发布的标准合同条款并以引用方式纳入本条例）、经批准的行为准则或认证机制加可执行承诺；第 42(4) 条项下的定制合同条款与行政安排则须经专员授权；均不可用时才适用第 44 条的特定减损（含在被告知无充分性认定与保障措施的风险后作出的明示同意）。自动化决策方面：第 20(1) 条赋予不受纯自动化决策约束的权利，例外为合同必要、明示同意、以及适用法律要求或授权（含反欺诈、反洗钱、安全与完整性目的）；依赖第三种例外时，控制者须在合理可行范围内尽快书面通知数据主体已作出纯自动化决策，且数据主体自收到通知起一个月内未要求重新考虑或作出非纯自动化的新决定，该例外方可维持。第 20(3) 条要求在合同必要与明示同意两种情形下实施适当措施，至少包括获得人工介入、表达观点与对决策提出异议的权利。
首次达标投入估算：8–18 人日（估算，非承诺）
第 55(1) 条：专员可通过书面处罚通知对控制者或处理者处以其认定适当的罚款，金额不得超过 2,800 万美元；第 55(6) 条：同一或关联处理操作下多项违规的罚款总额同样不得超过 2,800 万美元。第 56 条：未按第 24 条缴纳数据保护费或续费的，可在应缴费额之外另处不超过该费额 150% 的罚款。
（1）2022、2023、2024 年的三次修订未逐条比对（合订本中可见"2022 年 7 月 26 日修订""2023 年 11 月 1 日修订""2024 年 2 月 28 日修订"等脚注），本条目的条文以 2025 年 8 月合订本为准；（2）数据保护费与续费的具体金额由董事会规则规定，本条目未取得费率表，未列出金额，ADGM 数据保护办公室官网设有"Fees"栏目可查；（3）第 3(4) 条里姆岛豁免的起算依赖 2023 年第 41 号内阁决议的生效日，该决议本身未核实；（4）第 63 条两档生效日的起点是本条例的"公布日"，本轮未从官方渠道取得该日历日期，故条目内不给出具体生效日。
内容截至 2026-09-12 · 语料版本 2026.09|本内容基于公开官方来源整理，标注了来源链接与复核日期，供合规决策参考；监管要求可能变化，正式对外披露、监管申报或合同承诺前请由持证专业人士复核。