a Ley de Protección de Datos Personales de los EAU (PDPL), Decreto-Ley Federal n.º 45 de 2021, se aplica desde el 2 de enero de 2022 y establece el consentimiento como la base legal por defecto para el tratamiento de datos personales, con una breve lista de excepciones que no incluye el marketing. Para las campañas de SMS y WhatsApp, esto significa un consentimiento de aceptación expresa (opt-in) que se pueda demostrar, una forma sencilla de retirarlo y el derecho de cada destinatario a detener el marketing directo. Los reglamentos ejecutivos que establecen los plazos de infracción, los controles de transferencia y el plazo de cumplimiento de seis meses aún no figuraban en el portal de legislación de los EAU cuando consultamos en septiembre de 2026, mientras que la política de spam de la TDRA ya establece reglas estrictas para cada mensaje de marketing con un enlace de los EAU.
Esta guía resume los textos legales públicos hasta el 26 de septiembre de 2026. Es información general, no asesoramiento legal; confirme sus obligaciones con un asesor jurídico o la autoridad competente antes de confiar en ella.
Conclusiones clave
- La PDPL se emitió el 20 de septiembre de 2021, se publicó en la Gaceta Oficial el 26 de septiembre de 2021 y entró en vigor el 2 de enero de 2022. Abarca a las empresas dentro de los EAU y a las empresas en el extranjero que tratan los datos personales de personas en los EAU.
- El Artículo 4 prohíbe el tratamiento de datos personales sin el consentimiento del interesado y luego enumera excepciones como la ejecución de un contrato o el cumplimiento de una obligación legal. El marketing no es una de ellas, por lo que el consentimiento de aceptación expresa es la base práctica para los SMS y WhatsApp promocionales.
- El Artículo 17 otorga a todos el derecho a oponerse y detener el tratamiento para marketing directo, incluyendo la elaboración de perfiles relacionada.
- Se esperaba que los reglamentos ejecutivos se presentaran dentro de los seis meses posteriores a la ley pero, según nuestra consulta, no figuraban en el portal de legislación federal. Las empresas disponen de seis meses a partir de su emisión para regularizar su situación (Artículo 29).
- Las empresas en zonas francas con su propia legislación de protección de datos —la DIFC y la ADGM— quedan fuera de la PDPL y siguen sus propias leyes.
- Por separado, la política del TDRA requiere registros de consentimiento de opt-in, una opción de baja en cada mensaje de marketing, un prefijo de AD- en el identificador de remitente y la prohibición de mensajes de marketing entre las 21:00 y las 07:00.
¿Qué es el PDPL de los EAU y a quién se aplica?
El Decreto-Ley Federal n.º 45 de 2021 sobre la Protección de Datos Personales es la ley federal de protección de datos de los EAU. El portal de Legislación de los EAU lo enumera como vigente, emitido el 20 de septiembre de 2021, publicado en la Gaceta Oficial n.º 712 (suplemento) el 26 de septiembre de 2021 y efectivo desde el 2 de enero de 2022. Según el Artículo 2, se aplica a todo interesado que resida o realice negocios en los EAU, a todo responsable o encargado del tratamiento en los EAU (para interesados dentro o fuera del país), y a todo responsable o encargado fuera de los EAU que procese datos personales de interesados dentro del país. Por lo tanto, una marca en Europa o Asia que envíe mensajes de texto a clientes en Dubái entra en su ámbito de aplicación.
Los datos personales se definen de forma amplia —se enumeran nombre, voz, imagen, número de identificación, identificador electrónico y ubicación—, por lo que un número de móvil vinculado al registro de un cliente es un dato personal. El Artículo 2 excluye los datos y entidades gubernamentales, los datos de seguridad y judiciales, el uso puramente personal, los datos sanitarios y bancarios regulados por su propia legislación, y las empresas de zonas francas con su propia legislación de protección de datos.
¿Estará el PDPL plenamente en vigor en 2026?
La ley está en vigor; los detalles faltan. El Artículo 28 exigía reglamentos ejecutivos en un plazo de seis meses, y varias obligaciones dependen de ellos: el plazo de notificación de brechas de seguridad (Artículo 9), los umbrales para un delegado de protección de datos (Artículo 10) y los controles para las transferencias transfronterizas (Artículo 23). El Artículo 26 deja las infracciones y las sanciones administrativas a una decisión separada del Gabinete.
Cuando realizamos la comprobación el 26 de septiembre de 2026, no figuraba ningún reglamento ejecutivo en el portal de Legislación de los EAU: la página de la ley, según se capturó el 27 de agosto de 2026, aún mostraba el 20 de septiembre de 2021 como su última actualización, y su lista de legislación relacionada no mencionaba ningún reglamento de implementación. El portal gubernamental u.ae (actualizado el 4 de diciembre de 2025) indica que la Oficina de Datos de los EAU, establecida por el Decreto-Ley Federal n.º 44 de 2021, "actuará como el regulador federal de datos". Algunos sitios web comerciales dicen que los reglamentos se emitieron en 2026; considere esto como no confirmado a menos que cite un número de Resolución del Gabinete que pueda consultar en el portal oficial.
El Artículo 29 otorga entonces a los responsables y encargados del tratamiento seis meses a partir de su emisión para cumplir, prorrogables una vez por el Gabinete; por lo tanto, los programas que ya cumplen con el texto de la ley tendrán poco que cambiar.
¿Se requiere consentimiento para el marketing de SMS y WhatsApp en los EAU?
Sí, en la práctica. El Artículo 4 comienza con una prohibición —"Se prohíbe el tratamiento de Datos Personales sin el consentimiento de su titular"— y luego enumera once excepciones, como la ejecución de un contrato con el interesado o el cumplimiento de una obligación bajo otra ley de los EAU. No existe una excepción general de "intereses legítimos" como la de la ley DIFC, por lo que una campaña promocional dirigida a personas que nunca han dado su consentimiento no tiene una base legal evidente.
El consentimiento debe otorgarse de "manera específica, clara e inequívoca" mediante "una declaración o acción positiva clara" (Artículo 1). Según el Artículo 6, el responsable debe poder demostrarlo; la solicitud debe ser "clara, sencilla, inequívoca y de fácil acceso", y debe incluir el derecho a retirarlo fácilmente en cualquier momento. El Artículo 13 añade que, antes de comenzar el tratamiento, se debe informar a las personas sobre los fines, con quién se comparten los datos tanto dentro como fuera de los EAU, y las protecciones para el tratamiento transfronterizo.
Las normas de telecomunicaciones siguen la misma línea: la Política Regulatoria sobre Comunicaciones Electrónicas no Solicitadas del TDRA (versión 1.1, 13 de junio de 2022) cubre todos los mensajes de texto con un enlace de los EAU, incluidos aquellos cuyo destinatario se encuentre en los EAU, y prohíbe la entrega de mensajes de marketing sin un consentimiento acreditado. WhatsApp añade la política de Meta: las empresas deben obtener un permiso de suscripción (opt-in) que "confirme su deseo de recibir mensajes o llamadas posteriores de una empresa en particular", nombre dicha empresa y cumpla con la legislación aplicable. Consulte WhatsApp Business API.
¿Qué exige el TDRA para los mensajes de texto de marketing?
La política vincula a los operadores con licencia, quienes deben incluirla en cada contrato de servicio de mensajería, de modo que cada marca que envíe mensajes a través de ellos la herede:
| Requisito | Lo que establece la política del TDRA | Cláusula |
|---|---|---|
| Consentimiento de suscripción (opt-in) | No se permite ningún mensaje de marketing a menos que se haya obtenido, verificado y acreditado el consentimiento del destinatario | 8.2, 9.2.2 |
| Registro de consentimiento | Fecha, hora, las palabras o el contenido mediante el cual el cliente otorgó su consentimiento, identidad y número de teléfono; se conservan mientras se envíen mensajes de marketing | 5.6, 5.7 |
| Solicitudes de consentimiento | Una marca (suscriptor de servicios de mensajería) no puede solicitar el consentimiento mediante SMS o llamada de voz | 9.2.5 |
| Baja | Cada mensaje de marketing incluye una forma gratuita de solicitar la baja; no se pueden utilizar los mensajes para disuadir a las personas de darse de baja | 5.8–5.10 |
| Nombre del remitente | Los remitentes de marketing incluyen el código AD- seguido del nombre del remitente | 8.8 |
| Horario de envío | No se enviarán textos de marketing entre las 21:00 y las 7:00 | 8.3, 9.2.4 |
| Números reciclados | Los consentimientos vinculados a un número que cambia de titular se cancelan | 8.11 |
Se aplica una regla adicional al telemarketing. La Resolución de Gabinete n.º 56 de 2024 limita las llamadas de marketing al horario de 9:00 am–6:00 pm y prohíbe el contacto con números inscritos en el Registro de No Llamar, y su definición de telemarketing también abarca los mensajes de texto comerciales. Explicamos la relación entre ambos en Explicación de la Resolución de Gabinete 56 de los EAU; el resumen del país se encuentra en Regulaciones de SMS en los EAU, y el proceso completo del identificador de remitente está en cómo registrar un identificador de remitente en los EAU.
¿El PDPL trata de forma diferente los OTPs y los mensajes transaccionales?
La ley no especifica tipos de mensajes, pero sus excepciones sí realizan la clasificación. Una contraseña de un solo uso que el usuario acaba de solicitar, una actualización de entrega o un recibo son procesamientos necesarios para prestar el servicio, lo que encaja en la excepción contractual del Artículo 4(9). Las promociones no cuentan con dicha excepción, y el Artículo 17 permite que el destinatario las detenga en cualquier momento. La política de la TDRA se dirige igualmente solo a los textos de marketing: aquellos que ofrecen o publicitan bienes, servicios u oportunidades de negocio, o solicitan donaciones.
Mantenga los flujos separados: identificadores de remitente distintos (AD- es solo para marketing), plantillas distintas y no incluya ofertas dentro de un OTP o una actualización de pedido, ya que eso lo convertiría en marketing. Los bancos cuentan con un régimen de autenticación adicional, detallado en ¿Está prohibido SMS OTP?; consulte también OTP.
| Mensaje | Base típica bajo la PDPL | ¿Se aplican las reglas de marketing de la TDRA? | Baja |
|---|---|---|---|
| OTP o código de inicio de sesión solicitado por el usuario | Contrato / servicio solicitado por el usuario (Art. 4(9)) | No — no es un texto de marketing | No aplicable al código en sí |
| Actualización de pedido, entrega o cita | Contrato (Art. 4(9)) | No, siempre que no contenga una oferta | Ofrecer un ajuste de preferencias |
| Aviso legalmente requerido | Obligación legal bajo otra ley (Art. 4(10)) | No | No aplica |
| Promoción, oferta o boletín informativo | Consentimiento (Art. 4, Art. 6) | Sí — opt-in, identificador de remitente AD-, baja, 07:00–21:00 | Obligatorio; cumplir de inmediato (Art. 17) |
¿Pueden salir los datos de los clientes de los EAU?
Sí, dentro de ciertos límites. El Artículo 22 permite las transferencias, en casos aprobados por la Oficina de Datos de los EAU, a un país que cuente con legislación de protección de datos y una autoridad judicial o reguladora capaz de hacerla cumplir, o con el que los EAU tengan un acuerdo bilateral o multilateral de protección de datos. En los casos donde no exista tal protección, el Artículo 23 permite la transferencia bajo un contrato que obligue al destinatario a cumplir con los estándares de la ley, con el consentimiento explícito del interesado (siempre que la transferencia no entre en conflicto con el interés público o de seguridad de los EAU), o cuando la transferencia sea necesaria para ejecutar un contrato con el interesado, entre otros casos. Los controles detallados quedan, nuevamente, sujetos a la reglamentación ejecutiva.
La PDPL no establece una regla de localización general, pero el Artículo 7 exige que su registro de tratamiento incluya "cualquier dato relacionado con el movimiento transfronterizo y el tratamiento" de datos personales. Pregunte a cada proveedor dónde se almacenan las listas de contactos, el contenido de los mensajes y las confirmaciones de entrega; las opciones de BroadNet se encuentran en nuestra página de residencia de datos.
¿Qué ocurre con las empresas en DIFC y ADGM?
El Artículo 2 de la PDPL excluye a las "empresas y establecimientos ubicados en zonas francas" que cuentan con su propia legislación de protección de datos. Dos zonas francas financieras sí la tienen: el Dubai International Financial Centre aplica su Ley de Protección de Datos, la Ley DIFC n.º 5 de 2020 (consolidada en julio de 2025 tras las enmiendas de 2022 y 2025), a los responsables y encargados del tratamiento incorporados en la DIFC y al tratamiento en la DIFC; el Abu Dhabi Global Market promulgó su Reglamento de Protección de Datos 2021 el 14 de febrero de 2021, supervisado por su propia Oficina de Protección de Datos.
Diferencias prácticas para los especialistas en marketing: la ley de la DIFC enumera los intereses legítimos como base legal junto al consentimiento (Artículo 10) y otorga a las personas el derecho de oponerse en cualquier momento al tratamiento para marketing directo. Una entidad en estas zonas sigue la ley de su propia zona para la protección de datos, pero sus textos de marketing siguen viajando por las redes de los EAU, por lo que las reglas de consentimiento, baja, AD- y ventanas de tiempo de la TDRA siguen aplicándose al SMS mismo.
Lista de verificación de la PDPL de los EAU para marketing en SMS y WhatsApp
- Identifique qué sistemas contienen números de los EAU, contenido de mensajes e confirmaciones de entrega, y registre una base para cada flujo: contrato para los OTP, consentimiento para marketing (Artículo 7).
- Obtenga el consentimiento de marketing mediante una acción positiva clara en un formulario web, pantalla de aplicación o en tienda, nunca mediante un SMS o llamada no solicitada, e identifique su empresa.
- Conserve el comprobante del consentimiento: fecha, hora, texto mostrado, identidad y número (TDRA 5.6), y manténgalo mientras realice envíos.
- Incluya una opción de baja gratuita y funcional en cada SMS de marketing y respete las objeciones al marketing directo de inmediato (PDPL Artículo 17).
- Utilice un identificador de remitente AD- para promociones y un remitente distinto para OTP y alertas; no incluya ofertas en plantillas transaccionales.
- Programe los envíos promocionales entre las 07:00 y las 21:00 hora de los EAU, y consulte con su asesor legal el intervalo más restrictivo de la Resolución 56.
- Informe a las personas antes de procesar sus datos sobre su destino, incluso si es al extranjero, e incluya cláusulas de transferencia en cada contrato con proveedores (Artículos 13, 22 y 23).
- Prepare un plan de respuesta ante brechas de seguridad ahora; el reglamento ejecutivo fijará el plazo de notificación y usted dispondrá de seis meses para cumplirlo una vez se publique.
BroadNet, operando desde 2003, tiene su sede en Dubai Internet City, cuenta con ISO 27001, ISO 27018 y SOC 2 Tipo II, y gestiona el registro del identificador de remitente en los EAU con los operadores como parte del proceso de alta. Consulte A2P SMS y cobertura en los EAU.
Preguntas frecuentes
¿Está en vigor la PDPL de los EAU?
Sí. El Decreto-Ley Federal n.º 45 de 2021 está en vigor desde el 2 de enero de 2022; solo se están esperando sus reglamentos ejecutivos.
¿Se han publicado ya los reglamentos ejecutivos de la PDPL?
No según los registros oficiales. El Artículo 28 los requería en un plazo de seis meses tras la ley, pero hasta nuestra última revisión en septiembre de 2026, no figuraba ningún reglamento de aplicación en el portal de legislación de los EAU. Una vez se publiquen, el Artículo 29 otorga a las empresas seis meses para cumplir con la normativa.
¿Necesito el consentimiento para enviar SMS de marketing en los EAU?
Sí. La PDPL prohíbe el tratamiento de datos personales sin consentimiento, a menos que se aplique una excepción, y el marketing no es una de ellas. La política de la TDRA prohíbe por separado el envío de mensajes de marketing a menos que se haya obtenido, verificado y documentado el consentimiento del destinatario.
¿Se aplica la PDPL a empresas fuera de los EAU?
Sí. El Artículo 2 cubre a los responsables y encargados del tratamiento fuera de los EAU que traten datos personales de interesados que se encuentren dentro de los EAU; por tanto, una marca extranjera que envíe mensajes a residentes de los EAU entra en su ámbito de aplicación.
¿Están los mensajes OTP cubiertos por la PDPL?
La ley es aplicable, pero un OTP solicitado por el usuario encaja en la excepción de contrato del Artículo 4, y los OTP no son mensajes de marketing, por lo que no se aplican las reglas de la TDRA sobre el consentimiento (opt-in), el AD- ni el horario de envío.
¿Cuáles son las multas bajo la PDPL de los EAU?
La ley no las establece. El Artículo 26 remite la lista de infracciones y sanciones administrativas a una decisión del Gabinete, la cual no hemos encontrado publicada hasta septiembre de 2026. Tenga precaución con cualquier importe de multa específico que vea citado sin un número de decisión.
¿Se aplica la PDPL en DIFC y ADGM?
No. Las empresas de zonas francas con su propia legislación de protección de datos están excluidas. El DIFC aplica la Ley del DIFC n.º 5 de 2020 y el ADGM su Reglamento de Protección de Datos de 2021; las reglas de SMS de la TDRA siguen aplicándose a los mensajes de marketing enviados desde esas zonas.
¿En qué horario puedo enviar SMS de marketing en los EAU?
La política de TDRA prohíbe los mensajes de marketing entre las 9:00 pm y las 7:00 am. La Resolución del Gabinete n.º 56 de 2024 limita las llamadas de marketing al horario de 9:00 am–6:00 pm y define el telemarketing incluyendo los mensajes de marketing, por lo que muchos remitentes utilizan la ventana más restrictiva; consulte con un asesor legal.
Hemos leído cada uno de los textos a continuación el 26 de septiembre de 2026, utilizando copias de web.archive.org en los casos en que un sitio oficial bloqueó nuestros servidores; consulte nuestros estándares editoriales.
Fuentes
- Decreto-Ley Federal n.º (45) de 2021 sobre la Protección de Datos Personales, texto oficial en inglés, portal de Legislación de los EAU (leído el 26 de septiembre de 2026 de la copia de web.archive.org del 7 de septiembre de 2026): uaelegislation.gov.ae.
- Portal de Legislación de los EAU — página de la ley (estado, emisión, boletín oficial y fechas de entrada en vigor) según se capturó el 27 de agosto de 2026 y legislaciones relacionadas según se capturó el 5 de enero de 2026: uaelegislation.gov.ae.
- El Portal Oficial del Gobierno de los EAU — Leyes de protección de datos, actualizado el 4 de diciembre de 2025 (consultado el 26 de septiembre de 2026): u.ae.
- TDRA — Política regulatoria sobre comunicaciones electrónicas no solicitadas, versión 1.1, 13 de junio de 2022 (leído desde la copia de web.archive.org): tdra.gov.ae.
- DIFC — Ley de Protección de Datos, DIFC Ley n.º 5 de 2020, versión consolidada de julio de 2025 (consultado el 26 de septiembre de 2026): difc.com.
- ADGM — ADGM promulga su nuevo Reglamento de Protección de Datos 2021, 14 de febrero de 2021: adgm.com.
- Meta — Plataforma WhatsApp Business, obtención de consentimiento (consultado el 26 de septiembre de 2026): developers.facebook.com.
- Ministerio de Economía — informe sobre las Resoluciones del Gabinete n.º 56 y n.º 57 de 2024, 29 de agosto de 2024: moet.gov.ae.