a loi sur la protection des données personnelles des Émirats arabes unis (PDPL), décret-loi fédéral n° 45 de 2021, s'applique depuis le 2 janvier 2022 et fait du consentement la base juridique par défaut pour le traitement des données personnelles, avec une courte liste d'exceptions qui n'inclut pas le marketing. Pour les campagnes SMS et WhatsApp, cela signifie un consentement opt-in prouvable, un moyen simple de le retirer et le droit pour chaque destinataire de refuser le marketing direct. Les règlements d'exécution qui fixent les délais en cas de violation, les contrôles de transfert et le délai de mise en conformité de six mois n'étaient pas encore répertoriés sur le portail de la législation des Émirats arabes unis lors de notre vérification en septembre 2026, tandis que la politique anti-spam de la TDRA impose déjà des règles strictes pour tout message marketing contenant un lien des Émirats arabes unis.
Ce guide résume les textes juridiques publics à la date du 26 septembre 2026. Il s'agit d'informations générales et non de conseils juridiques — confirmez vos obligations auprès d'un conseiller ou de l'autorité compétente avant de vous y fier.
Points clés
- La PDPL a été émise le 20 septembre 2021, publiée au Journal officiel le 26 septembre 2021 et est entrée en vigueur le 2 janvier 2022. Elle concerne les entreprises situées aux Émirats arabes unis ainsi que les entreprises à l'étranger qui traitent les données personnelles de personnes résidant aux Émirats arabes unis.
- L'article 4 interdit le traitement des données personnelles sans le consentement de la personne concernée, puis énumère des exceptions telles que l'exécution d'un contrat ou le respect d'une obligation légale. Le marketing n'en fait pas partie ; le consentement opt-in est donc la base pratique pour les SMS et WhatsApp promotionnels.
- L'article 17 donne à chacun le droit de s'opposer au traitement à des fins de marketing direct, y compris le profilage associé, et de l'interrompre.
- Les règlements d'exécution devaient être publiés dans les six mois suivant la loi mais, au moment de notre vérification, n'étaient pas répertoriés sur le portail de la législation fédérale. Les entreprises disposent de six mois à compter de leur publication pour régulariser leur situation (Article 29).
- Les entreprises des zones franches disposant de leur propre législation sur la protection des données — la DIFC et la ADGM — sont en dehors du champ d'application de la PDPL et suivent leurs propres lois.
- Par ailleurs, la politique de la TDRA exige des enregistrements de consentement d'opt-in, une option de désinscription dans chaque SMS marketing, un préfixe d'identifiant d'expéditeur AD- et aucune communication marketing entre 21:00 et 07:00.
Qu'est-ce que la PDPL des Émirats arabes unis et à qui s'applique-t-elle ?
Le décret-loi fédéral n° 45 de 2021 concernant la protection des données personnelles est la loi fédérale des Émirats arabes unis sur la protection des données. Le portail UAE Legislation la répertorie comme étant en vigueur, émise le 20 septembre 2021, publiée dans le Journal officiel n° 712 (supplément) le 26 septembre 2021 et effective depuis le 2 janvier 2022. En vertu de l'article 2, elle s'applique à toute personne concernée résidant ou faisant des affaires aux Émirats arabes unis, à tout responsable de traitement ou sous-traitant aux Émirats arabes unis (pour les personnes concernées à l'intérieur ou à l'extérieur du pays), ainsi qu'à tout responsable de traitement ou sous-traitant situé hors des Émirats arabes unis qui traite les données personnelles de personnes concernées situées à l'intérieur du pays. Une marque en Europe ou en Asie qui envoie des SMS à des clients à Dubaï entre donc dans ce champ d'application.
Les données personnelles sont définies de manière large — le nom, la voix, l'image, le numéro d'identification, l'identifiant électronique et la localisation sont tous répertoriés — ainsi, un numéro de mobile lié au dossier d'un client constitue une donnée personnelle. L'article 2 exclut les données et entités gouvernementales, les données de sécurité et judiciaires, l'usage purement personnel, les données de santé et bancaires régies par leur propre législation, ainsi que les sociétés des zones franches disposant de leur propre législation de protection des données.
La PDPL est-elle pleinement en vigueur en 2026 ?
La loi est en vigueur ; les détails font défaut. L'article 28 exigeait des règlements d'exécution dans un délai de six mois, et plusieurs obligations en dépendent : le délai de notification des violations (article 9), les seuils pour la désignation d'un délégué à la protection des données (article 10) et les contrôles pour les transferts transfrontaliers (article 23). L'article 26 renvoie les violations et les sanctions administratives à une décision distincte du Cabinet.
Lors de notre vérification le 26 septembre 2026, aucun règlement d'exécution n'était répertorié sur le portail UAE Legislation : la page de la loi, telle qu'extraite le 27 août 2026, indiquait toujours le 20 septembre 2021 comme dernière mise à jour, et sa liste de législation connexe ne mentionnait aucun règlement d'application. Le portail gouvernemental u.ae (mis à jour le 4 décembre 2025) indique que le Bureau des données des Émirats arabes unis, établi par le décret-loi fédéral n° 44 de 2021, « agira en tant que régulateur fédéral des données ». Certains sites commerciaux affirment que les règlements ont été émis en 2026 ; considérez cela comme non confirmé, à moins qu'un numéro de résolution du Cabinet ne soit cité et consultable sur le portail officiel.
L'article 29 accorde ensuite aux responsables de traitement et aux sous-traitants un délai de six mois à compter de leur émission pour se mettre en conformité, délai pouvant être prolongé une fois par le Cabinet — ainsi, les programmes qui respectent déjà le texte de la loi n'auront que peu de changements à effectuer.
Le consentement est-il nécessaire pour le marketing SMS et WhatsApp aux Émirats arabes unis ?
Oui, en pratique. L'article 4 commence par une interdiction — « Il est interdit de traiter des données personnelles sans le consentement de son titulaire » — puis énumère onze exceptions, telles que l'exécution d'un contrat avec la personne concernée ou le respect d'une obligation en vertu d'une autre loi des Émirats arabes unis. Il n'existe pas d'exception générale relative aux « intérêts légitimes » comme dans la loi DIFC, une campagne promotionnelle ciblant des personnes n'ayant jamais donné leur consentement n'a donc pas de base juridique évidente.
Le consentement doit être donné de « manière spécifique, claire et univoque » par le biais d'une « déclaration ou d'une action positive claire » (Article 1). En vertu de l'Article 6, le responsable du traitement doit être en mesure de le prouver, la demande doit être « claire, simple, univoque et facilement accessible », et elle doit inclure le droit de retirer son consentement facilement et à tout moment. L'Article 13 précise qu'avant le début du traitement, les personnes doivent être informées des finalités, des destinataires des données (au sein et en dehors des Émirats arabes unis) et des protections relatives au traitement transfrontalier.
La réglementation des télécoms suit la même logique : la politique réglementaire de la TDRA sur les communications électroniques non sollicitées (version 1.1, 13 juin 2022) couvre tous les messages textuels contenant un lien aux Émirats arabes unis, y compris ceux dont le destinataire se trouve aux Émirats arabes unis, et interdit l'envoi de SMS marketing sans preuve de consentement. WhatsApp ajoute la politique de Meta : les entreprises doivent obtenir une autorisation d'opt-in « confirmant qu'elles souhaitent recevoir des messages ou des appels ultérieurs de la part d'une entreprise spécifique », nommer cette entreprise et se conformer à la loi applicable. Voir WhatsApp Business API.
Quelles sont les exigences de la TDRA pour les SMS marketing ?
La politique lie les opérateurs sous licence, qui doivent l'intégrer dans chaque contrat de service de messagerie, afin que chaque marque utilisant leurs services en hérite :
| Exigence | Ce que stipule la politique de la TDRA | Clause |
|---|---|---|
| Consentement d'opt-in | Aucun SMS marketing ne peut être envoyé sans que le consentement du destinataire n'ait été obtenu, vérifié et prouvé | 8.2, 9.2.2 |
| Preuve de consentement | Date, heure, termes ou contenu par lesquels le client a donné son consentement, identité et numéro de téléphone ; conservés tant que des textes marketing sont envoyés | 5.6, 5.7 |
| Demandes de consentement | Une marque (abonné au service de messagerie) ne peut pas solliciter le consentement par SMS ou par appel vocal | 9.2.5 |
| Désinscription | Chaque message marketing doit proposer un moyen gratuit de se désinscrire ; les messages ne peuvent pas être utilisés pour dissuader les personnes de se désinscrire | 5.8–5.10 |
| Identifiant d'expéditeur | Les identifiants d'expéditeur marketing portent le code AD- suivi du nom de l'expéditeur | 8.8 |
| Horaires d'envoi | Aucun message marketing entre 21:00 et 07:00 | 8.3, 9.2.4 |
| Numéros recyclés | Les consentements associés à un numéro changeant de propriétaire sont annulés | 8.11 |
Une règle supplémentaire s'applique au télémarketing. La résolution de cabinet n° 56 de 2024 limite les appels marketing à la plage 9:00–18:00 et interdit tout contact avec les numéros inscrits sur le registre « Do Not Call », sa définition du télémarketing couvrant également les messages texte marketing. Nous expliquons ce chevauchement dans la Résolution 56 du Cabinet des EAU expliquée ; le résumé du pays se trouve dans les réglementation SMS aux Émirats arabes unis, et le processus complet d'identifiant d'expéditeur est détaillé dans comment enregistrer un identifiant d'expéditeur aux EAU.
La PDPL traite-t-elle différemment les OTP et les messages transactionnels ?
La loi ne définit pas explicitement les types de messages, mais ses exceptions permettent de les classer. Un mot de passe à usage unique que l'utilisateur vient de demander, une mise à jour de livraison ou un accusé de réception nécessaire à l'exécution du service relèvent de l'exception contractuelle de l'Article 4(9). Les promotions ne bénéficient d'aucune exception de ce type, et l'Article 17 permet au destinataire de s'y désinscrire à tout moment. La politique TDRA cible de la même manière uniquement les SMS marketing — c'est-à-dire ceux proposant ou faisant la promotion de biens, de services ou d'opportunités d'affaires, ou sollicitant des dons.
Séparez les flux : utilisez des identifiants d'expéditeur distincts (AD- est réservé exclusivement au marketing), des modèles distincts, et n'incluez aucune offre à l'intérieur d'un OTP ou d'une mise à jour de commande — cela transformerait le message en contenu marketing. Les banques sont soumises à un régime d'authentification supplémentaire, traité dans Le SMS OTP est-il interdit ? ; voir aussi OTP.
| Message | Base juridique type selon la PDPL | Les règles marketing de la TDRA s'appliquent ? | Désinscription |
|---|---|---|---|
| OTP ou code de connexion demandé par l'utilisateur | Contrat / service demandé par l'utilisateur (Art. 4(9)) | Non — ce n'est pas un texte marketing | Non applicable au code lui-même |
| Mise à jour de commande, de livraison ou de rendez-vous | Contrat (Art. 4(9)) | Non, tant qu'il ne contient aucune offre | Proposer un paramétrage de préférence |
| Avis légalement requis | Obligation légale en vertu d'une autre loi (Art. 4(10)) | Non | Non applicable |
| Promotion, offre ou newsletter | Consentement (Art. 4, Art. 6) | Oui — opt-in, identifiant d'expéditeur AD-, désinscription, 07:00–21:00 | Obligatoire ; à respecter immédiatement (Art. 17) |
Les données clients peuvent-elles quitter les Émirats arabes unis ?
Oui, dans certaines limites. L'article 22 autorise les transferts, dans les cas approuvés par le Bureau des données des Émirats arabes unis, vers un pays disposant d'une législation sur la protection des données avec une autorité judiciaire ou réglementaire capable de l'appliquer, ou avec lequel les Émirats arabes unis ont un accord bilatéral ou multilatéral de protection des données. Lorsqu'une telle protection n'existe pas, l'article 23 autorise toujours un transfert dans le cadre d'un contrat qui lie le destinataire aux normes de la loi, avec le consentement explicite de la personne concernée (à condition que le transfert ne contrevienne pas à l'intérêt public ou à la sécurité des Émirats arabes unis), ou lorsque le transfert est nécessaire à l'exécution d'un contrat avec la personne concernée, entre autres cas. Les contrôles détaillés sont, là encore, laissés aux règlements d'exécution.
La PDPL n'établit pas de règle de localisation globale, mais l'article 7 exige que votre registre de traitement inclue « toute donnée relative au mouvement transfrontalier et au traitement » des données personnelles. Demandez à chaque fournisseur où sont stockées les listes de contacts, le contenu des messages et les rapports de livraison ; les options de BroadNet sont disponibles sur notre page sur la résidence des données.
Qu'en est-il des entreprises situées dans DIFC et ADGM ?
L'article 2 de la PDPL exclut les « entreprises et établissements situés dans les zones franches » qui disposent de leur propre législation sur la protection des données. Deux zones franches financières le font : le Dubai International Financial Centre applique sa loi sur la protection des données, la loi DIFC n° 5 de 2020 (consolidée en juillet 2025 après les amendements de 2022 et 2025), aux responsables de traitement et sous-traitants constitués dans la DIFC et au traitement dans la DIFC ; l'Abu Dhabi Global Market a promulgué ses règlements sur la protection des données 2021 le 14 février 2021, sous la supervision de son propre Bureau de la protection des données.
Différences pratiques pour les marketeurs : la loi DIFC énumère les intérêts légitimes comme base légale aux côtés du consentement (Article 10) et donne aux individus le droit de s'opposer à tout moment au traitement à des fins de marketing direct. Une entité située dans ces zones suit la loi de sa propre zone pour la protection des données — mais ses messages marketing transitent toujours par les réseaux des Émirats arabes unis, donc les règles de consentement, de désinscription, de AD- et de créneau horaire de la TDRA s'appliquent toujours au SMS lui-même.
Liste de contrôle PDPL des Émirats arabes unis pour le marketing SMS et WhatsApp
- Identifiez quels systèmes détiennent les numéros des Émirats arabes unis, le contenu des messages et les rapports de livraison, et enregistrez une base pour chaque flux — contrat pour les OTP, consentement pour le marketing (Article 7).
- Recueillez le consentement marketing via une action positive claire sur un formulaire web, un écran d'application ou en magasin, jamais par un SMS ou un appel non sollicité, et indiquez le nom de votre entreprise.
- Conservez la preuve du consentement : date, heure, libellé affiché, identité et numéro (TDRA 5.6), et conservez-la aussi longtemps que vous effectuez des envois.
- Intégrez une option de désinscription gratuite et fonctionnelle dans chaque SMS marketing et respectez immédiatement les objections au marketing direct (PDPL Article 17).
- Utilisez un identifiant d'expéditeur AD- pour les promotions et un expéditeur distinct pour les OTP et les alertes ; ne mélangez pas les offres avec les modèles transactionnels.
- Planifiez les envois promotionnels entre 07:00 et 21:00, heure des Émirats arabes unis, et vérifiez la fenêtre plus restreinte de la Résolution 56 auprès de votre conseiller juridique.
- Informez les personnes avant le traitement de la destination de leurs données, y compris à l'étranger, et incluez des clauses de transfert dans chaque contrat de fournisseur (Articles 13, 22 et 23).
- Préparez dès maintenant un plan de réponse en cas de violation ; les règlements d'exécution fixeront le délai de notification, et vous disposerez de six mois pour vous y conformer une fois qu'ils seront publiés.
BroadNet, opérant depuis 2003, a son siège social à Dubai Internet City, détient les certifications ISO 27001, ISO 27018 et SOC 2 Type II, et gère l'enregistrement de l'identifiant d'expéditeur aux Émirats arabes unis auprès des opérateurs lors de l'intégration. Consultez A2P SMS et la couverture aux Émirats arabes unis.
Foire aux questions
La PDPL des Émirats arabes unis est-elle en vigueur ?
Oui. Le décret-loi fédéral n° 45 de 2021 est entré en vigueur le 2 janvier 2022 ; seuls ses règlements d'exécution sont encore attendus.
Les règlements d'exécution de la PDPL ont-ils été publiés ?
Pas d'après les registres officiels. L'article 28 exigeait leur publication dans les six mois suivant la loi, mais aucun règlement d'application n'était répertorié sur le portail de la législation des Émirats arabes unis lors de notre vérification de septembre 2026. Une fois publiés, l'article 29 accorde aux entreprises six mois pour se mettre en conformité.
Ai-je besoin du consentement pour envoyer des SMS marketing aux Émirats arabes unis ?
Oui. La PDPL interdit le traitement des données personnelles sans consentement, sauf exception applicable, et le marketing ne fait pas partie des exceptions. La politique de la TDRA interdit par ailleurs l'envoi d'un SMS marketing à moins que le consentement du destinataire n'ait été obtenu, vérifié et documenté.
La PDPL s'applique-t-elle aux entreprises situées hors des Émirats arabes unis ?
Oui. L'article 2 couvre les responsables du traitement et les sous-traitants situés hors des Émirats arabes unis qui traitent les données personnelles de personnes concernées se trouvant aux Émirats arabes unis ; ainsi, une marque étrangère envoyant des SMS aux résidents des Émirats arabes unis entre dans ce champ d'application.
Les messages OTP sont-ils couverts par la PDPL ?
La loi s'applique, mais un OTP demandé par l'utilisateur relève de l'exception contractuelle de l'article 4, et les OTP ne sont pas des messages marketing ; par conséquent, les règles de la TDRA concernant l'opt-in, le AD- et les heures d'envoi ne s'appliquent pas à ces derniers.
Quelles sont les amendes prévues par la PDPL des Émirats arabes unis ?
La loi ne les définit pas. L'article 26 renvoie la liste des infractions et des sanctions administratives à une décision du Cabinet, que nous n'avons pas trouvée publiée à la date de septembre 2026. Soyez prudent avec tout montant d'amende spécifique que vous pourriez voir cité sans numéro de décision.
La PDPL s'applique-t-elle au DIFC et à l'ADGM ?
Non. Les entreprises des zones franches disposant de leur propre législation sur la protection des données sont exclues. Le DIFC applique la loi DIFC n° 5 de 2020 et l'ADGM ses règlements sur la protection des données de 2021 ; les règles SMS de la TDRA s'appliquent toujours aux messages marketing envoyés depuis ces zones.
À quelles heures puis-je envoyer des SMS marketing aux Émirats arabes unis ?
La politique de la TDRA interdit les messages marketing entre 21h00 et 7h00. La résolution du Cabinet n° 56 de 2024 limite les appels marketing à la plage 9h00–18h00 et définit le télémarketing comme incluant les messages marketing ; de nombreux expéditeurs utilisent donc la fenêtre la plus restreinte ; veuillez confirmer auprès de votre conseiller juridique.
Nous avons lu chaque texte ci-dessous le 26 septembre 2026, en utilisant des copies de web.archive.org lorsque le site officiel bloquait nos serveurs ; consultez nos normes éditoriales.
Sources
- Décret-loi fédéral n° (45) de 2021 concernant la protection des données personnelles, texte officiel en anglais, portail de la législation des Émirats arabes unis (consulté le 26 septembre 2026 via la copie de web.archive.org du 7 septembre 2026) : uaelegislation.gov.ae.
- Portail de la législation des Émirats arabes unis — page de la loi (statut, publication, journal officiel et dates d'entrée en vigueur) telle que capturée le 27 août 2026 et législations connexes telles que capturées le 5 janvier 2026 : uaelegislation.gov.ae.
- Le portail officiel du gouvernement des Émirats arabes unis — Lois sur la protection des données, mises à jour le 4 décembre 2025 (consulté le 26 septembre 2026) : u.ae.
- TDRA — Politique réglementaire sur les communications électroniques non sollicitées, version 1.1, 13 juin 2022 (consultée sur la copie web.archive.org) : tdra.gov.ae.
- DIFC — Loi sur la protection des données, Loi DIFC n° 5 de 2020, version consolidée de juillet 2025 (consultée le 26 septembre 2026) : difc.com.
- ADGM — ADGM promulgue ses nouveaux règlements sur la protection des données 2021, 14 février 2021 : adgm.com.
- Meta — Plateforme WhatsApp Business, obtenir le consentement (consultée le 26 septembre 2026) : developers.facebook.com.
- Ministère de l'Économie — note d'information sur les résolutions du Cabinet n° 56 et n° 57 de 2024, 29 août 2024 : moet.gov.ae.