《数据保护法》DIFC 第 5 号法（2020）；《数据保护条例》第 2 号合订本
迪拜国际金融中心管理局；执法机关为 DIFC 数据保护专员 · DIFC Law No. 5 of 2020
DIFC 是海湾地区第一个制定数据保护立法的司法辖区，《数据保护法 2020》在结构与术语上高度对齐 GDPR：合法性基础、特殊类别数据、同意条件、问责与向专员备案、处理活动记录、数据保护官、数据保护影响评估与事前咨询、共同控制者与处理者链条、出境的充分性名单与保障措施、信息提供、数据主体权利（含第 38 条自动化决策与画像、第 39 条不得因行权而歧视）、泄露通报，以及附表 2 的行政罚款目录与第 62(3) 条不受目录上限约束的一般罚款。2023 年 9 月起施行的《数据保护条例》第 10 条把治理对象从"数据"扩展到"系统"：只要个人数据被用于或喂给自主／半自主系统，部署者与运营者就必须在初次使用时以清晰明确的方式告知系统的非人为发起处理、可自行定义目的的范围与限度、输出及其用途、内建的合规保障设计、以及所依据的准则或认证；系统本身还必须满足伦理、公平、透明、安全、问责五项设计要求，且只能为人类定义或批准的目的处理个人数据；用于高风险处理活动的系统在专员发布审计与认证要求之前不得投入商用，并须任命"自主系统官（ASO）"。
中国 AI 企业在以下情形直接适用：（1）在 DIFC 注册子公司、区域总部或研发实体——第 6(3)(a) 条规定，只要控制者或处理者在 DIFC 注册，无论处理行为是否发生在 DIFC 内均适用；（2）虽未在 DIFC 注册，但作为"稳定安排（stable arrangements）"的一部分在 DIFC 内处理个人数据，包括把数据传出 DIFC——第 6(3)(b) 条不问注册地；（3）向 DIFC 内的银行、保险、资管、金融科技客户提供模型、风控评分、KYC／人脸核身、智能客服或数据标注服务，从而成为其处理者或子处理者；（4）你的 AI 系统被 DIFC 实体部署或运营——此时你很可能落入第 10 条的"提供者（Provider）"角色，需要向部署者与运营者提供足以支撑其告知义务与合规设计声明的材料。
重点行业：通用、大模型 / 生成式 AI、企业软件 SaaS、金融科技 AI、AI 智能体、计算机视觉
2020-07-01
《数据保护法 2020》施行，取代 2007 年第 1 号法
第 1 条与第 4 条：本法取代旧法及其全部条例，自 2020 年 7 月 1 日起施行。
2023-09-01
修订后的《数据保护条例》（第 2 号合订本）生效，新增第 10 条"通过自主与半自主系统处理个人数据"
第 10 条对 AI 系统的"部署者（Deployer）""运营者（Operator）""提供者（Provider）"设定告知、设计原则、认证与问责规则，并把部署者视为控制者、运营者视为处理者。
2025-07-01日期未最终确定
现行合订本：经 DIFC 第 1 号修订法（2025）与第 2 号修订法（2022）修订
DIFC 官网提供的现行法律文本封面标注为"2025 年 7 月合订本"。修订内容包括第 64A 条的私人诉权等。本条目未逐条比对两次修订的全部改动。
每条都写明触发条件、需要留存的证据与条款出处
第 14(7) 条要求控制者与处理者向专员提交处理操作通知完成登记，并通过修订通知保持更新；第 14(8) 条明确该通知将进入专员维护的公开登记册并须缴纳条例规定的费用。第 14(5) 条另要求实施并维持一份书面数据保护政策，其详略程度须与处理的范围和类型相称并与本法一致。第 15 条要求控制者与处理者分别维持处理活动书面记录（含接收方类别、第三国与国际组织、第 27 条传输的保障措施文档、各类数据的删除期限、技术与组织安全措施概述）。
首次达标投入估算：3–8 人日（估算，非承诺）
第 16(2)(b) 条规定，系统性或常规性开展"高风险处理活动"的控制者或处理者必须任命数据保护官；DIFC 主体本身亦须任命。不需任命的主体，依第 16(4) 条必须在组织内明确分配数据保护职责与合规监督责任，并能在专员要求时提供负责人信息。数据保护官可由内部员工、集团内员工或第三方以服务合同方式担任，集团可共用一名但须对各实体均易于联络。特别注意第 16(7) 条的居住要求：数据保护官必须居住在阿联酋境内，除非其为集团内雇员并在国际层面为集团履行类似职能——中国企业若打算由境内团队远程兼任，须先确认是否落入该但书。第 16(8) 条另要求以第三方可轻易获取的方式公开数据保护官联系方式，并在专员要求时书面确认其身份。
首次达标投入估算：3–10 人日（估算，非承诺）
依第 20 条对高风险处理开展数据保护影响评估；依第 21 条，当评估显示即便采取第 20(6)(e) 条所述措施后对数据主体权利的风险仍然存在时，控制者必须在处理前咨询专员；专员认定该处理将违反本法时可通知控制者与处理者并动用第 46 条项下的权力。AI 项目应把 DPIA 与模型评估、红队测试与上线审批串联，避免出现"先上线后补评估"。
首次达标投入估算：8–20 人日（估算，非承诺）
第 26 条允许向专员认定具备充分保护水平的第三国或国际组织传输，专员通过条例发布并维护该名单，此类传输无需单独授权。不具备充分性时适用第 27 条：可依赖第 27(2) 条的保障措施（公共机构间具法律约束力的文书、约束性公司规则、专员通过的标准合同条款／示范条款、经批准的行为准则或认证机制加上可执行承诺），或第 27(3) 条的具体减损情形；仅在均不可用时才落入第 27(4) 条的有限情形，且依第 27(5) 条控制者须将该传输通知专员。DIFC 专员办公室官网提供第 26 条充分性名单与第 27(2)(c) 条示范条款的下载入口，应以其最新版本为准。
首次达标投入估算：6–15 人日（估算，非承诺）
第 41 条规定，凡发生损害数据主体保密性、安全或隐私的个人数据泄露，控制者须"在当时情形下尽快（as soon as practicable）"通知专员，通知至少包含泄露性质（含可能的数据主体与记录类别与大致数量）、数据保护官或其他联络点、可能后果、以及已采取或拟采取的措施；信息可分阶段提供。处理者在知悉后须无不当迟延通知控制者。第 42 条要求在泄露可能对数据主体的安全或权利造成高风险时尽快告知受影响个人，存在即时损害风险的须立即沟通；告知内容须以清晰易懂语言说明性质并至少包含第 41(4)(b)–(d) 项，并尽可能给出缓解建议。第 41(6) 条要求控制者书面记录全部泄露的事实、影响与补救措施，并在专员要求时无延迟提供。
首次达标投入估算：4–10 人日（估算，非承诺）
当应用或网站服务使用自主／半自主系统处理个人数据时，部署者或运营者必须在用户初次使用或访问该系统时以清晰明确的措辞告知：系统中可能进行非人为发起、控制或指示的个人数据处理的底层技术与流程（例如系统是否仅限于为特定人类定义目的处理，或能否自行定义进一步目的），以及该系统的使用对个人依第 29(1)(h)(ix) 条享有的权利行使的影响。告知还必须包含对下列内容的全面、真实、平实描述：系统处理个人数据的人类定义目的；系统自行定义进一步目的时所依据的全部人类定义原则与限度；系统产生的输出及其使用方式；系统在设计上遵循的原则，包括为确保处理合规而内建的保障措施；以及系统设计或开发所依据的准则、认证或原则（条例例示了迪拜数字管理局、经济合作与发展组织（OECD）、联合国教科文组织（UNESCO）、美国国家标准与技术研究院（NIST）AI 框架，以及阿联酋中央银行、证券与商品管理局（SCA）、DFSA 与 FSRA 发布的《金融机构采用赋能技术指引》，并允许专员另行指定其他准则与认证）。
首次达标投入估算：6–15 人日（估算，非承诺）
第 10.3.1 条要求任何可能对数据主体产生正面或负面影响的系统在设计上满足伦理（算法决策与数据谱系应无偏见并已缓解）、公平（平等对待个体、避免或缓解可能导致不公结果的偏见）、透明（以非技术语言向数据主体与其他相关方解释个人数据处理并附适当支持证据）、安全（保护并保密个人数据、防止造成声誉、心理、财务、职业等损害的泄露）、问责（具备内部治理与控制框架或定期外部审计等机制，可对算法、数据与设计流程进行评估）。第 10.3.2 条进一步禁止任何人将不满足以下条件的系统投入商用：只能为人类定义或人类批准的目的处理个人数据，或仅在人类定义原则的基础上并严格限于人类定义的约束内由系统自行定义目的；且按第 10.3.1 条设计并符合专员可能发布的其他审计与认证要求。第 10.3.4 条把部署者视为控制者、运营者视为处理者，责任随之落地。
首次达标投入估算：12–30 人日（估算，非承诺）
第 10.3.3 条规定，任何人不得使用、运营、提供、要约或以其他方式为商业用途提供用于"高风险处理活动"的系统，除非：专员已就用于高风险处理活动的系统设立审计与认证要求；该系统符合全部此类要求；该系统仅为人类定义或人类批准的目的处理个人数据；且部署者或运营者已任命一名"自主系统官（ASO）"，其能力、地位、角色与任务须与本法第 17 条、第 18 条项下的数据保护官相同或实质相似。条例脚注说明其监管意图是：在专员发布上述认证与其他要求之前，任何系统都不得用于高风险处理活动。DIFC 已公布第 10 条认证框架、加速器框架与认可认证机构名单，并提供第 10 条认证在线申请与自评工具。
首次达标投入估算：15–40 人日（估算，非承诺）
数据主体有权反对任何仅基于自动化处理（含画像）、产生法律后果或其他严重影响后果的决策，并要求进行人工复核。第 38(2) 条的例外为：为订立或履行数据主体与控制者之间的合同所必需、依控制者所受的适用法律授权且该法律同时规定了适当保障措施、或基于数据主体的明示同意。控制者依赖合同必要性或明示同意时，第 38(5) 条要求其已实施适当保障措施，至少包括可对处理进行人工复核的能力。第 38(4) 条明确：当数据主体为未成年人（按阿联酋成年年龄判断）时，上述例外一律不适用。第 38(6) 条另规定，除非取得明示同意或基于适用法律的重大公共利益且符合比例并配有适当保障，否则不得仅基于对特殊类别个人数据的自动化处理作出影响数据主体的决策。
首次达标投入估算：6–14 人日（估算，非承诺）
第 62(2) 条与附表 2 列出按条款分档的行政罚款上限（例如违反第 9 条一般要求、第 10 条合法处理、第 14(2) 条技术与组织措施各为 5 万美元；违反第 14(1)(3)(4)(5) 条问责要求、第 14(7) 条向专员备案各为 2.5 万美元）；附表 2 明确该清单非穷尽且可更新。第 62(3) 条另授权专员在附表 2 之外，按违法严重程度与对数据主体的实际损害风险，处以其认为适当且相称的、不受附表金额限制的一般罚款。
（1）第 10.3.3 条以专员"已设立审计与认证要求"为前提，本轮核实确认 DIFC 已公布第 10 条认证框架、加速器框架与认可认证机构名单，但未逐项核对这些框架是否已构成条例意义上的完整"审计与认证要求"，拟用于高风险处理活动前应直接向专员办公室确认；（2）第 26 条充分性名单与第 27(2)(c) 条示范条款的当前版本与名单内容未逐项抄录，使用前须以专员办公室官网最新文件为准；（3）2025 年 7 月合订本相对前版的全部修订未逐条比对。
内容截至 2026-09-12 · 语料版本 2026.09|本内容基于公开官方来源整理，标注了来源链接与复核日期，供合规决策参考；监管要求可能变化，正式对外披露、监管申报或合同承诺前请由持证专业人士复核。