《2021 年第 45 号联邦法令》关于个人数据保护
阿联酋内阁；监管机关为阿联酋数据局（UAE Data Office，依 2021 年第 44 号法令设立） · Federal Decree-Law No. 45 of 2021
这是阿联酋第一部横向适用的联邦个人数据保护法，结构接近 GDPR：以同意为原则并列举 11 类无须同意的处理情形，规定控制者与处理者的一般义务、处理记录、数据保护官、数据主体权利（知情、可携、更正与删除、限制处理、停止处理、反对自动化处理）、安全措施、数据保护影响评估、数据泄露通报，以及在"具备／不具备适当保护水平"两种情况下的跨境传输路径。适用范围明确覆盖境外主体处理境内数据主体个人数据的情形。需要特别注意其排除条款：政府数据与政府实体、安全与司法机关持有的个人数据、已有专门立法的健康数据与银行征信数据，以及"位于自由区且有专门个人数据保护立法的公司与机构"——后者正是 DIFC 与 ADGM 单独立法的法律依据。
中国 AI 企业受本法约束的典型业务动作：（1）在阿联酋大陆（mainland，即 DIFC／ADGM 以外）设立公司或办事处，处理员工、客户或用户个人数据；（2）虽在境外，但处理阿联酋境内数据主体的个人数据——例如向阿联酋用户开放 App、模型 API、智能座舱或服务机器人并采集其账号、位置、语音、影像；（3）作为阿联酋大陆客户的处理者承接标注、训练、推理或运维；（4）通过阿联酋经销商销售含摄像头／麦克风的硬件并回传数据。若企业注册在 DIFC 或 ADGM 自由区，则适用该自由区的数据保护立法而非本法；跨自由区与大陆的数据流动需分别判断。
重点行业：通用、大模型 / 生成式 AI、企业软件 SaaS、具身智能与机器人、计算机视觉
2021-09-20
法令颁布
阿联酋立法门户载明颁布日为 2021-09-20，官方公报第 712 期刊登日为 2021-09-26。
2022-01-02
法令施行
第 31 条明定本法令自 2022 年 1 月 2 日起施行；门户显示法律状态为"有效"。
2026-09-12日期未最终确定
核实：实施细则尚未在官方渠道检索到，整改过渡期与行政处罚目录仍待细则与内阁决议落地
第 28 条要求内阁在法令颁布后 6 个月内发布实施细则；第 29 条规定控制者与处理者应在实施细则发布之日起 6 个月内完成整改（内阁可再延长同等期间）；第 26 条规定行政处罚目录由内阁决议另行发布。截至抓取日，阿联酋立法门户对该法令的"最近更新"仍显示 2021-09-20，未列出实施细则；阿联酋政府门户关于数据局职责的表述仍为将来时。
每条都写明触发条件、需要留存的证据与条款出处
依第 7(4) 条建立并保存"个人数据专用记录"，内容须包括控制者与数据保护官信息、个人数据类别描述、有权访问人员名单、处理时间／限制与范围、删除与修改机制、处理目的、与跨境流动和处理有关的数据、以及信息安全与处理相关的技术和组织措施；数据局要求时须提交。第 20 条另要求按国际最佳实践部署加密与假名化、保障处理系统的持续保密性与完整性、故障后及时恢复访问、并定期测试与评估措施有效性。
首次达标投入估算：6–15 人日（估算，非承诺）
第 10 条规定在三种情形下控制者与处理者必须任命具备充分技能与知识的数据保护官：采用新技术或就数据量而言会对个人数据的保密性与隐私造成高风险的处理；涉及对敏感个人数据的系统性全面评估（含画像与自动化处理）；对大量敏感个人数据的处理。数据保护官可以在境内或境外，但必须将其联系方式告知数据局。第 21 条要求在使用会造成高风险的新技术前开展影响评估，且在上述"系统性全面自动化评估"与"大量敏感数据处理"两种情形下强制进行；评估须至少包含处理操作与目的的系统说明、必要性与相称性评估、风险评估、以及降低风险的措施，并需与数据保护官协同、在风险等级变化时定期复核。
首次达标投入估算：8–18 人日（估算，非承诺）
第 18 条赋予数据主体对自动化处理（含画像）所产生决策——特别是具有法律影响或对其造成不利影响的决策——提出异议的权利；仅在合同约定、其他法律要求、或数据主体事先同意三种情形下不得异议。即使适用这三种例外，控制者仍须采取适当措施保护数据主体个人数据的隐私与保密性且不得损害其权利，并且必须在数据主体提出要求时，在自动化决策的复核中引入人工环节。
首次达标投入估算：5–12 人日（估算，非承诺）
第 9 条要求控制者在知悉任何会损害数据主体隐私、保密性或安全的泄露或违规时，按实施细则规定的期限与程序向数据局通报，通报须附泄露的性质与形式、原因、大致数量与记录、数据保护官信息、可能影响、已采取或拟采取的纠正措施及相关文档；若泄露会损害数据主体个人数据的隐私与保密安全，还须通知数据主体；处理者知悉后须立即通知控制者。跨境方面，第 22 条允许向已有个人数据保护立法且设有可实施措施的司法或监管机构、或与阿联酋签有双多边数据保护协定的国家或地区传输；第 23 条则在不具备适当保护水平时提供合同约束、数据主体明示同意、司法程序所需、履行合同所需、国际司法协助、公共利益六条路径。控制者应据此为每条链路选定路径并留存依据。
首次达标投入估算：6–14 人日（估算，非承诺）
第 26 条规定，构成违法的行为清单与相应行政处罚由内阁根据数据局总干事的提议以决议发布。截至本轮核实，未从官方渠道取得该决议，因此本条目不给出具体罚款金额。
本条目的核心不确定性在于实施细则：第 9 条的泄露通报期限、第 10 条的"新技术类型与数据量标准"、第 23 条跨境传输的具体控制要求、第 26 条的行政处罚目录、以及第 29 条整改过渡期的起算，都取决于尚未在官方渠道检索到的实施细则与内阁决议。抓取当日阿联酋立法门户与政府门户均未列出实施细则。企业据此制定方案时，应按法令原文从严设计，并在细则发布后立即复核。本条目不给出任何罚款金额。
内容截至 2026-09-12 · 语料版本 2026.09|本内容基于公开官方来源整理，标注了来源链接与复核日期，供合规决策参考；监管要求可能变化，正式对外披露、监管申报或合同承诺前请由持证专业人士复核。