# PDPL UEA untuk pemasaran SMS dan WhatsApp pada tahun 2026: persetujuan, transfer lintas batas, dan apa yang sebenarnya berlaku

> Undang-Undang Perlindungan Data Pribadi UEA telah berlaku sejak 2 Januari 2022, namun peraturan pelaksananya masih belum tersedia di portal legislasi federal saat kami memeriksanya pada September 2026. Berikut adalah artinya bagi pemasaran SMS dan WhatsApp: persetujuan, opt-out, transfer lintas batas, pengecualian DIFC dan ADGM, trafik OTP, serta daftar periksa praktis.

- URL kanonis: https://www.broadnet.me/id/blog/uae-pdpl-sms-whatsapp-marketing-2026
- Bahasa: id
- Terakhir diperbarui: 2026-10-19
- Penerbit: BroadNet (https://www.broadnet.me)

- Diterbitkan: 2026-09-26
- Penulis: BroadNet Regulatory Affairs

Undang-Undang Perlindungan Data Pribadi UEA (PDPL), Dekrit Undang-Undang Federal No. 45 Tahun 2021, telah berlaku sejak 2 Januari 2022 dan menetapkan persetujuan sebagai dasar hukum utama untuk pemrosesan data pribadi, dengan daftar singkat pengecualian yang tidak mencakup pemasaran. Untuk kampanye SMS dan WhatsApp, hal ini berarti persetujuan opt-in yang dapat Anda buktikan, cara mudah untuk menariknya kembali, dan hak bagi setiap penerima untuk menghentikan pemasaran langsung. Peraturan pelaksana yang menetapkan tenggat waktu pelanggaran, kontrol transfer, dan jangka waktu kepatuhan enam bulan masih belum tercantum di portal Legislasi UEA saat kami memeriksanya pada September 2026, sementara kebijakan spam TDRA telah menetapkan aturan ketat untuk setiap teks pemasaran dengan tautan UEA.

> Panduan ini merangkum teks hukum publik per 26 September 2026. Ini adalah informasi umum, bukan nasihat hukum — konfirmasikan kewajiban Anda dengan penasihat hukum atau otoritas yang berwenang sebelum mengandalkannya.

## Poin-poin utama

- PDPL diterbitkan pada 20 September 2021, dipublikasikan dalam Berita Negara pada 26 September 2021, dan mulai berlaku pada 2 Januari 2022. Ini mencakup bisnis di dalam UEA dan bisnis di luar negeri yang memproses data pribadi orang-orang di UEA.
- Pasal 4 melarang pemrosesan data pribadi tanpa persetujuan subjek data, kemudian mencantumkan pengecualian seperti pelaksanaan kontrak atau pemenuhan kewajiban hukum. Pemasaran bukan salah satunya, sehingga persetujuan opt-in adalah dasar praktis untuk SMS promosi dan WhatsApp.
- Pasal 17 memberikan hak kepada setiap orang untuk keberatan terhadap, dan menghentikan, pemrosesan untuk pemasaran langsung, termasuk pemprofilan terkait.
- Peraturan pelaksana seharusnya tersedia dalam waktu enam bulan setelah undang-undang tersebut disahkan, namun berdasarkan pengecekan kami, peraturan tersebut belum tercantum di portal perundang-undangan federal. Perusahaan memiliki waktu enam bulan sejak penerbitannya untuk menyesuaikan status mereka (Pasal 29).
- Perusahaan di zona bebas yang memiliki undang-undang perlindungan data sendiri — yaitu DIFC dan ADGM — berada di luar cakupan PDPL dan mengikuti hukum mereka sendiri.
- Secara terpisah, kebijakan TDRA mewajibkan adanya catatan persetujuan opt-in, opsi opt-out di setiap teks pemasaran, awalan sender ID AD-, dan larangan pengiriman teks pemasaran antara pukul 21:00 hingga 07:00.

## Apa itu PDPL UEA dan kepada siapa aturan ini berlaku?

Federal Decree-Law No. 45 of 2021 Concerning the Protection of Personal Data adalah undang-undang perlindungan data federal UEA. Portal Perundang-undangan UEA mencantumkannya sebagai aturan aktif, diterbitkan pada 20 September 2021, dipublikasikan dalam Official Gazette No. 712 (suplemen) pada 26 September 2021, dan berlaku sejak 2 Januari 2022. Berdasarkan Pasal 2, aturan ini berlaku untuk setiap subjek data yang tinggal atau berbisnis di UEA, untuk setiap pengendali atau prosesor di UEA (untuk subjek data di dalam atau di luar negeri), dan untuk setiap pengendali atau prosesor di luar UEA yang memproses data pribadi subjek data di dalam UEA. Oleh karena itu, sebuah merek di Eropa atau Asia yang mengirimkan pesan teks kepada pelanggan di Dubai termasuk dalam cakupan aturan ini.

Data pribadi didefinisikan secara luas — nama, suara, gambar, nomor identifikasi, pengenal elektronik, dan lokasi semuanya tercantum — sehingga nomor seluler yang terhubung dengan catatan pelanggan adalah data pribadi. Pasal 2 mengecualikan data dan entitas pemerintah, data keamanan dan yudisial, penggunaan pribadi murni, data kesehatan dan perbankan yang diatur oleh undang-undang mereka sendiri, serta perusahaan zona bebas yang memiliki undang-undang perlindungan data sendiri.

## Apakah PDPL berlaku sepenuhnya pada tahun 2026?

Undang-undangnya sudah berlaku; namun rinciannya belum tersedia. Pasal 28 mewajibkan adanya peraturan pelaksana dalam waktu enam bulan, dan beberapa kewajiban bergantung pada peraturan tersebut: tenggat waktu pemberitahuan pelanggaran (Pasal 9), ambang batas untuk petugas perlindungan data (Pasal 10), dan kontrol untuk transfer lintas batas (Pasal 23). Pasal 26 menyerahkan pelanggaran dan sanksi administratif kepada keputusan Kabinet yang terpisah.

Saat kami melakukan pengecekan pada 26 September 2026, tidak ada peraturan pelaksana yang tercantum pada portal Legislasi UEA: halaman undang-undang tersebut, sebagaimana ditangkap pada 27 Agustus 2026, masih menunjukkan 20 September 2021 sebagai pembaruan terakhirnya, dan daftar peraturan terkaitnya tidak menyebutkan peraturan pelaksana apa pun. Portal pemerintah u.ae (diperbarui 4 Desember 2025) menyatakan bahwa Kantor Data UEA, yang didirikan berdasarkan Federal Decree-Law No. 44 tahun 2021, "akan bertindak sebagai regulator data federal". Beberapa situs web komersial menyatakan bahwa peraturan tersebut telah diterbitkan pada tahun 2026; anggap hal tersebut belum terkonfirmasi kecuali jika mencantumkan nomor Resolusi Kabinet yang dapat Anda buka di portal resmi.

Pasal 29 kemudian memberikan waktu enam bulan bagi pengendali dan prosesor sejak penerbitannya untuk mematuhi aturan tersebut, yang dapat diperpanjang satu kali oleh Kabinet — sehingga program yang sudah memenuhi teks undang-undang tersebut tidak perlu banyak melakukan perubahan.

## Apakah Anda memerlukan persetujuan untuk pemasaran SMS dan WhatsApp di UEA?

Ya, dalam praktiknya. Pasal 4 dimulai dengan larangan — "Dilarang memproses Data Pribadi tanpa persetujuan pemiliknya" — kemudian mencantumkan sebelas pengecualian, seperti pelaksanaan kontrak dengan subjek data atau memenuhi kewajiban berdasarkan undang-undang UEA lainnya. Tidak ada pengecualian "kepentingan sah" secara umum seperti yang ada dalam undang-undang DIFC, sehingga kampanye promosi kepada orang-orang yang tidak pernah memberikan persetujuan (opt-in) tidak memiliki dasar hukum yang jelas.

Persetujuan harus diberikan dengan "cara yang spesifik, jelas, dan tidak ambigu" melalui "pernyataan atau tindakan positif yang jelas" (Pasal 1). Berdasarkan Pasal 6, pengendali harus dapat membuktikannya, permintaan tersebut harus "jelas, sederhana, tidak ambigu, dan mudah diakses", serta harus mencakup hak untuk menarik persetujuan dengan mudah, kapan saja. Pasal 13 menambahkan bahwa, sebelum pemrosesan dimulai, orang-orang harus diberitahu mengenai tujuannya, dengan siapa data tersebut dibagikan di dalam dan di luar UEA, serta perlindungan untuk pemrosesan lintas batas.

Aturan telekomunikasi mengarah ke hal yang sama: Kebijakan Regulasi TDRA tentang Komunikasi Elektronik yang Tidak Diminta (versi 1.1, 13 Juni 2022) mencakup semua pesan teks dengan tautan UEA, termasuk pesan yang penerimanya berada di UEA, dan melarang pengiriman teks pemasaran tanpa bukti persetujuan. WhatsApp menambahkan kebijakan Meta: bisnis harus mendapatkan izin opt-in yang "mengonfirmasi bahwa mereka ingin menerima pesan atau panggilan berikutnya dari bisnis tertentu", menyebutkan nama bisnis tersebut, dan mematuhi hukum yang berlaku. Lihat [WhatsApp Business API](https://www.broadnet.me/products/whatsapp-business-api).

## Apa yang disyaratkan oleh TDRA untuk teks pemasaran?

Kebijakan tersebut mengikat operator berlisensi, yang wajib mencantumkannya ke dalam setiap kontrak layanan perpesanan, sehingga setiap merek yang mengirimkan pesan melalui mereka akan mewarisi ketentuan tersebut:

| Persyaratan | Apa yang dinyatakan dalam kebijakan TDRA | Klausul |
|---|---|---|
| Persetujuan opt-in | Tidak ada teks pemasaran kecuali persetujuan penerima telah diperoleh, diverifikasi, dan dibuktikan | 8.2, 9.2.2 |
| Catatan persetujuan | Tanggal, waktu, kata-kata atau konten yang digunakan pelanggan untuk memberikan persetujuan, identitas, dan nomor telepon; disimpan selama teks pemasaran dikirimkan | 5.6, 5.7 |
| Permintaan persetujuan | Sebuah merek (pelanggan layanan perpesanan) tidak boleh meminta persetujuan melalui SMS atau panggilan suara | 9.2.5 |
| Opt-out | Setiap teks pemasaran menyertakan cara gratis untuk opt-out; teks tidak boleh digunakan untuk membujuk orang agar tidak berhenti berlangganan | 5.8–5.10 |
| Nama pengirim | Pengirim pemasaran menyertakan kode AD- yang diikuti oleh nama pengirim | 8.8 |
| Jam pengiriman | Tidak ada teks pemasaran antara pukul 21:00 dan 07:00 | 8.3, 9.2.4 |
| Nomor yang didaur ulang | Persetujuan yang terikat pada nomor yang berpindah tangan akan dibatalkan | 8.11 |

Satu aturan tambahan berlaku untuk telemarketing. Keputusan Kabinet No. 56 Tahun 2024 membatasi panggilan pemasaran pada pukul 09.00–18.00 dan melarang kontak dengan nomor yang terdaftar dalam Daftar Jangan Hubungi (Do Not Call Register), dan definisinya mengenai telemarketing juga mencakup pesan teks pemasaran. Kami menjelaskan tumpang tindih tersebut dalam [penjelasan Keputusan Kabinet UEA No. 56](https://www.broadnet.me/blog/uae-tdra-cabinet-decision-56-explained); ringkasan negara tersedia di [peraturan SMS UEA](https://www.broadnet.me/regulations/uae), dan proses sender ID lengkap ada di [cara mendaftarkan sender ID UEA](https://www.broadnet.me/answers/sender-id-registration-uae-tdra).

## Apakah PDPL memperlakukan OTP dan pesan transaksional secara berbeda?

Undang-undang tersebut tidak menyebutkan jenis pesan secara spesifik, namun pengecualiannya yang melakukan pengelompokan. Kode OTP yang baru saja diminta pengguna, pembaruan pengiriman, atau tanda terima merupakan proses yang diperlukan untuk menjalankan layanan, yang sesuai dengan pengecualian kontrak dalam Pasal 4(9). Promosi tidak memiliki pengecualian tersebut, dan Pasal 17 memungkinkan penerima untuk menghentikannya kapan saja. Kebijakan TDRA juga hanya menargetkan teks pemasaran — yaitu pesan yang menawarkan atau mengiklankan barang, jasa, atau peluang bisnis, atau meminta donasi.

Pisahkan alur pesan: gunakan sender ID yang berbeda (AD- hanya untuk pemasaran), templat yang berbeda, dan jangan sertakan penawaran di dalam OTP atau pembaruan pesanan — karena hal itu akan mengubahnya menjadi pemasaran. Bank memiliki rezim autentikasi tambahan, yang dibahas dalam [Apakah SMS OTP dilarang?](https://www.broadnet.me/blog/sms-otp-bank-regulation-uae-india-philippines-2026); lihat juga [OTP](https://www.broadnet.me/products/otp).

| Pesan | Dasar umum berdasarkan PDPL | Apakah aturan pemasaran TDRA berlaku? | Berhenti berlangganan |
|---|---|---|---|
| OTP atau kode login yang diminta pengguna | Kontrak / layanan yang diminta pengguna (Pasal 4(9)) | Tidak — bukan teks pemasaran | Tidak berlaku untuk kode itu sendiri |
| Pembaruan pesanan, pengiriman, atau janji temu | Kontrak (Pasal 4(9)) | Tidak, selama tidak berisi penawaran | Tawarkan pengaturan preferensi |
| Pemberitahuan yang diwajibkan secara hukum | Kewajiban hukum berdasarkan undang-undang lain (Pasal 4(10)) | Tidak | Tidak berlaku |
| Promosi, penawaran, atau buletin | Persetujuan (Pasal 4, Pasal 6) | Ya — opt-in, AD- sender, opt-out, 07:00–21:00 | Wajib; penuhi segera (Pasal 17) |

## Apakah data pelanggan dapat keluar dari UEA?

Ya, dalam batasan tertentu. Pasal 22 mengizinkan transfer, dalam kasus yang disetujui oleh Kantor Data UEA, ke negara yang memiliki undang-undang perlindungan data dengan otoritas yudisial atau regulasi yang mampu menegakkannya, atau negara yang memiliki perjanjian perlindungan data bilateral atau multilateral dengan UEA. Jika perlindungan tersebut tidak ada, Pasal 23 tetap mengizinkan transfer di bawah kontrak yang mengikat penerima pada standar undang-undang tersebut, dengan persetujuan eksplisit dari subjek data (asalkan transfer tidak bertentangan dengan kepentingan publik atau keamanan UEA), atau jika transfer diperlukan untuk melaksanakan kontrak dengan subjek data, di antara kasus lainnya. Kontrol terperinci, sekali lagi, diserahkan pada peraturan pelaksana.

PDPL tidak menetapkan aturan lokalisasi menyeluruh, tetapi Pasal 7 mewajibkan catatan pemrosesan Anda untuk mencakup "data apa pun yang terkait dengan pergerakan lintas batas dan pemrosesan" data pribadi. Tanyakan kepada setiap vendor di mana daftar kontak, konten pesan, dan laporan pengiriman disimpan; opsi BroadNet tersedia di halaman [residensi data](https://www.broadnet.me/security/data-residency) kami.

## Bagaimana dengan perusahaan di DIFC dan ADGM?

Pasal 2 dari PDPL mengecualikan "perusahaan dan pendirian yang berlokasi di zona bebas" yang memiliki undang-undang perlindungan data sendiri. Dua zona bebas keuangan memilikinya: Dubai International Financial Centre menerapkan Undang-Undang Perlindungan Datanya, Undang-Undang DIFC No. 5 tahun 2020 (dikonsolidasikan pada Juli 2025 setelah amandemen pada 2022 dan 2025), kepada pengendali dan pemroses yang didirikan di DIFC dan untuk pemrosesan di DIFC; Abu Dhabi Global Market memberlakukan Peraturan Perlindungan Data 2021 pada 14 Februari 2021, yang diawasi oleh Kantor Perlindungan Data miliknya sendiri.

Perbedaan praktis bagi pemasar: undang-undang DIFC mencantumkan kepentingan sah sebagai dasar hukum di samping persetujuan (Pasal 10) dan memberikan hak kepada individu untuk keberatan kapan saja terhadap pemrosesan untuk pemasaran langsung. Entitas di zona-zona ini mengikuti undang-undang zona masing-masing untuk perlindungan data — tetapi teks pemasaran mereka tetap berjalan melalui jaringan UEA, sehingga aturan persetujuan, opt-out, AD-, dan jendela waktu dari TDRA tetap berlaku untuk SMS itu sendiri.

## Daftar periksa PDPL UEA untuk pemasaran SMS dan WhatsApp

1. Petakan sistem mana yang menyimpan nomor UEA, konten pesan, dan laporan pengiriman, serta catat dasar untuk setiap aliran — kontrak untuk OTP, persetujuan untuk pemasaran (Pasal 7).
2. Kumpulkan persetujuan pemasaran melalui tindakan positif yang jelas pada formulir web, layar aplikasi, atau di toko, jangan pernah melalui SMS atau panggilan yang tidak diminta, dan cantumkan nama bisnis Anda.
3. Simpan bukti persetujuan: tanggal, waktu, redaksi yang ditampilkan, identitas, dan nomor (TDRA 5.6), serta simpan selama Anda masih mengirimkan pesan.
4. Sertakan opsi berhenti berlangganan (opt-out) yang gratis dan berfungsi pada setiap SMS pemasaran dan segera penuhi keberatan terhadap pemasaran langsung (PDPL Pasal 17).
5. Gunakan sender ID AD- untuk promosi dan pengirim terpisah untuk OTP serta peringatan; jangan sertakan penawaran dalam templat SMS transaksional.
6. Jadwalkan pengiriman promosi antara pukul 07:00 dan 21:00 waktu UEA, dan konsultasikan jendela waktu Resolusi 56 yang lebih sempit dengan penasihat hukum.
7. Beri tahu orang-orang sebelum memproses data mereka ke mana data tersebut akan dikirim, termasuk ke luar negeri, dan sertakan klausul transfer dalam setiap kontrak vendor (Pasal 13, 22, dan 23).
8. Siapkan rencana respons pelanggaran sekarang; peraturan eksekutif akan menetapkan tenggat waktu pemberitahuan, dan Anda akan memiliki waktu enam bulan untuk mematuhi aturan tersebut setelah diterbitkan.

> BroadNet, beroperasi sejak 2003, berkantor pusat di Dubai Internet City, memegang sertifikasi ISO 27001, ISO 27018, dan SOC 2 Type II, serta menangani registrasi sender ID UEA dengan para operator sebagai bagian dari onboarding. Lihat [A2P SMS](https://www.broadnet.me/products/a2p-sms) dan [cakupan UEA](https://www.broadnet.me/coverage/uae).

## Pertanyaan yang sering diajukan

### Apakah PDPL di UEA sudah berlaku?

Ya. Keputusan Hukum Federal No. 45 Tahun 2021 telah berlaku sejak 2 Januari 2022; hanya peraturan pelaksananya yang masih ditunggu.

### Apakah peraturan pelaksana PDPL sudah diterbitkan?

Sejauh catatan resmi menunjukkan, belum. Pasal 28 mewajibkan peraturan tersebut dalam waktu enam bulan setelah undang-undang disahkan, namun belum ada peraturan pelaksana yang tercantum di portal Legislasi UEA hingga pengecekan kami pada September 2026. Setelah peraturan tersebut diterbitkan, Pasal 29 memberikan waktu enam bulan bagi perusahaan untuk mematuhi aturan tersebut.

### Apakah saya memerlukan persetujuan untuk mengirim SMS promosi di UEA?

Ya. PDPL melarang pemrosesan data pribadi tanpa persetujuan kecuali jika terdapat pengecualian, dan pemasaran bukan merupakan salah satu pengecualian tersebut. Kebijakan TDRA secara terpisah melarang pengiriman teks promosi kecuali persetujuan penerima telah diperoleh, diverifikasi, dan dibuktikan.

### Apakah PDPL berlaku untuk perusahaan di luar UEA?

Ya. Pasal 2 mencakup pengendali dan prosesor di luar UEA yang memproses data pribadi subjek data di dalam UEA, sehingga merek asing yang mengirim pesan teks kepada penduduk UEA termasuk dalam cakupan tersebut.

### Apakah pesan OTP dicakup oleh PDPL?

Undang-undang ini berlaku, namun OTP yang diminta pengguna memenuhi pengecualian kontrak dalam Pasal 4, dan OTP bukanlah teks promosi, sehingga aturan opt-in, AD-, dan jam pengiriman TDRA tidak berlaku untuk pesan tersebut.

### Berapa besaran denda berdasarkan PDPL UEA?

Undang-undang tersebut tidak menetapkannya. Pasal 26 menyerahkan daftar pelanggaran dan sanksi administratif kepada keputusan Kabinet, yang hingga September 2026 belum kami temukan publikasinya. Perhatikan dengan hati-hati setiap jumlah denda spesifik yang Anda lihat dikutip tanpa nomor keputusan.

### Apakah PDPL berlaku di DIFC dan ADGM?

Tidak. Perusahaan zona bebas yang memiliki perundang-undangan perlindungan data sendiri dikecualikan. DIFC menerapkan Undang-Undang DIFC No. 5 Tahun 2020 dan ADGM menerapkan Peraturan Perlindungan Data 2021; aturan SMS TDRA tetap berlaku untuk pesan pemasaran yang dikirim dari zona-zona tersebut.

### Jam berapa saya dapat mengirim SMS pemasaran di UEA?

Kebijakan TDRA melarang pesan pemasaran antara pukul 21.00 hingga 07.00. Keputusan Kabinet No. 56 Tahun 2024 membatasi panggilan pemasaran pada pukul 09.00–18.00 dan mendefinisikan telemarketing mencakup pesan pemasaran, sehingga banyak pengirim menggunakan jendela waktu yang lebih sempit; konfirmasikan dengan penasihat hukum Anda.

Kami membaca setiap teks di bawah ini pada 26 September 2026, menggunakan salinan web.archive.org jika situs resmi memblokir server kami; lihat [standar editorial kami](https://www.broadnet.me/about/editorial-standards).

## Sumber

- Federal Decree-Law No. (45) of 2021 Mengenai Perlindungan Data Pribadi, teks resmi bahasa Inggris, portal Legislasi UEA (dibaca pada 26 September 2026 dari salinan web.archive.org tanggal 7 September 2026): [uaelegislation.gov.ae](https://uaelegislation.gov.ae/en/legislations/1972).
- Portal Legislasi UEA — halaman hukum (status, penerbitan, berita negara, dan tanggal berlaku) sebagaimana ditangkap pada 27 Agustus 2026 dan legislasi terkait sebagaimana ditangkap pada 5 Januari 2026: [uaelegislation.gov.ae](https://uaelegislation.gov.ae/en/legislations/1972/related-legislations).
- Portal Resmi Pemerintah UEA — Hukum perlindungan data, diperbarui 4 Desember 2025 (diakses 26 September 2026): [u.ae](https://u.ae/en/about-the-uae/digital-uae/data/data-protection-laws).
- TDRA — Kebijakan Regulasi tentang Komunikasi Elektronik yang Tidak Diminta, versi 1.1, 13 Juni 2022 (dibaca dari salinan web.archive.org): [tdra.gov.ae](https://tdra.gov.ae/-/media/About/regulations-and-ruling/EN/cellular-phone-spam-regulatory-policy-English.ashx).
- DIFC — Undang-Undang Perlindungan Data, Hukum DIFC No. 5 Tahun 2020, versi konsolidasi Juli 2025 (diakses 26 September 2026): [difc.com](https://www.difc.com/business/laws-and-regulations/legal-database/difc-laws/data-protection-law-difc-law-no-5-2020).
- ADGM — ADGM memberlakukan Peraturan Perlindungan Data 2021 yang baru, 14 Februari 2021: [adgm.com](https://www.adgm.com/media/announcements/adgm-enacts-its-new-data-protection-regulations-2021).
- Meta — WhatsApp Business Platform, mendapatkan opt-in (diakses 26 September 2026): [developers.facebook.com](https://developers.facebook.com/docs/whatsapp/overview/getting-opt-in).
- Kementerian Ekonomi — pengarahan mengenai Resolusi Kabinet No. 56 dan No. 57 tahun 2024, 29 Agustus 2024: [moet.gov.ae](https://www.moet.gov.ae/en/-/ministry-of-economy-and-telecommunications-and-digital-government-regulatory-authority-review-regulatory-legislations-in-organizing-operational-mechanisms-for-telemarketing-companies-in-the-uae-and-enhancing-consumer-protection-in-line-with-best-practices).