a legge sulla protezione dei dati personali degli EAU (PDPL), Decreto-Legge Federale n. 45 del 2021, è applicabile dal 2 gennaio 2022 e stabilisce il consenso come base giuridica predefinita per il trattamento dei dati personali, con un breve elenco di eccezioni che non include il marketing. Per le campagne SMS e WhatsApp, ciò significa un consenso opt-in dimostrabile, un modo semplice per revocarlo e il diritto di ogni destinatario di interrompere il marketing diretto. I regolamenti esecutivi che stabiliscono le scadenze per le violazioni, i controlli sui trasferimenti e il termine di sei mesi per la conformità non erano ancora elencati sul portale della legislazione degli EAU al momento del nostro controllo nel settembre 2026, mentre la politica anti-spam della TDRA stabilisce già regole rigide per ogni messaggio di marketing contenente un link degli EAU.
Questa guida riassume i testi legali pubblici aggiornati al 26 settembre 2026. Si tratta di informazioni generali e non di consulenza legale: confermare i propri obblighi con un consulente o l'autorità competente prima di fare affidamento su quanto riportato.
Punti chiave
- La PDPL è stata emessa il 20 settembre 2021, pubblicata sulla Gazzetta Ufficiale il 26 settembre 2021 ed è entrata in vigore il 2 gennaio 2022. Si applica alle aziende all'interno degli EAU e alle aziende all'estero che trattano i dati personali di persone negli EAU.
- L'articolo 4 vieta il trattamento dei dati personali senza il consenso dell'interessato, elencando poi eccezioni come l'esecuzione di un contratto o l'adempimento di un obbligo legale. Il marketing non è tra queste, pertanto il consenso opt-in è la base pratica per le comunicazioni promozionali SMS e WhatsApp.
- L'articolo 17 garantisce a tutti il diritto di opporsi al trattamento per finalità di marketing diretto, inclusa la profilazione correlata, e di interromperlo.
- I regolamenti esecutivi dovevano essere pubblicati entro sei mesi dalla legge ma, al momento del nostro controllo, non erano elencati sul portale della legislazione federale. Le aziende hanno sei mesi dalla loro emissione per regolarizzare la propria posizione (Articolo 29).
- Le aziende nelle zone franche dotate di propria legislazione sulla protezione dei dati — la DIFC e la ADGM — sono escluse dalla PDPL e seguono le proprie leggi.
- Inoltre, la policy del TDRA richiede la registrazione del consenso all'opt-in, una disiscrizione in ogni SMS di marketing, un prefisso dell'ID mittente AD- e il divieto di invio di messaggi di marketing tra le 21:00 e le 07:00.
Cos'è il PDPL degli Emirati Arabi Uniti e a chi si applica?
Il Decreto-Legge Federale n. 45 del 2021 relativo alla protezione dei dati personali è la legge federale sulla protezione dei dati degli Emirati Arabi Uniti. Il portale UAE Legislation lo indica come attivo, emesso il 20 settembre 2021, pubblicato nella Gazzetta Ufficiale n. 712 (suppl.) il 26 settembre 2021 ed entrato in vigore il 2 gennaio 2022. Ai sensi dell'Articolo 2, si applica a ogni interessato che risiede o svolge attività negli Emirati Arabi Uniti, a ogni titolare o responsabile del trattamento negli Emirati Arabi Uniti (per gli interessati all'interno o all'esterno del Paese) e a ogni titolare o responsabile del trattamento all'esterno degli Emirati Arabi Uniti che tratta i dati personali di interessati situati all'interno dello Stato. Pertanto, un brand in Europa o Asia che invia SMS ai clienti a Dubai rientra nell'ambito di applicazione.
I dati personali sono definiti in modo ampio — nome, voce, immagine, numero di identificazione, identificatore elettronico e posizione sono tutti elencati — pertanto un numero di cellulare associato all'anagrafica di un cliente è un dato personale. L'Articolo 2 esclude i dati e gli enti governativi, i dati di sicurezza e giudiziari, l'uso puramente personale, i dati sanitari e bancari regolati dalle proprie legislazioni e le società delle zone franche dotate di propria normativa sulla protezione dei dati.
Il PDPL sarà pienamente in vigore nel 2026?
La legge è in vigore, ma mancano i dettagli. L'Articolo 28 richiedeva regolamenti esecutivi entro sei mesi, e diverse obbligazioni dipendono da essi: la scadenza per la notifica di violazione (Articolo 9), le soglie per la nomina di un responsabile della protezione dei dati (Articolo 10) e i controlli per i trasferimenti transfrontalieri (Articolo 23). L'Articolo 26 rimanda le violazioni e le sanzioni amministrative a una decisione separata del Gabinetto.
Al momento del nostro controllo il 26 settembre 2026, non risultavano regolamenti esecutivi sul portale UAE Legislation: la pagina della legge, come acquisita il 27 agosto 2026, indicava ancora il 20 settembre 2021 come ultimo aggiornamento e l'elenco delle legislazioni correlate non menzionava alcun regolamento attuativo. Il portale governativo u.ae (aggiornato il 4 dicembre 2025) afferma che l'UAE Data Office, istituito dal Decreto-Legge Federale n. 44 del 2021, "agirà come autorità federale per la regolamentazione dei dati". Alcuni siti web commerciali affermano che i regolamenti siano stati emessi nel 2026; da considerare come informazione non confermata, a meno che non venga citato un numero di risoluzione del Gabinetto consultabile sul portale ufficiale.
L'Articolo 29 concede quindi ai titolari e ai responsabili del trattamento sei mesi dalla loro emissione per conformarsi, con una possibilità di proroga una sola volta da parte del Gabinetto — pertanto, i programmi che già rispettano il testo della legge avranno poco da modificare.
È necessario il consenso per il marketing SMS e WhatsApp negli Emirati Arabi Uniti?
Sì, nella pratica. L'Articolo 4 si apre con un divieto — "È vietato trattare Dati Personali senza il consenso del titolare" — per poi elencare undici eccezioni, come l'esecuzione di un contratto con l'interessato o l'adempimento di un obbligo previsto da un'altra legge degli Emirati Arabi Uniti. Non esiste un'eccezione generale per il "legittimo interesse" come quella prevista dalla legge DIFC, quindi una campagna promozionale rivolta a persone che non hanno mai fornito il consenso non ha una base legale evidente.
Il consenso deve essere fornito in "modo specifico, chiaro e inequivocabile" attraverso "una dichiarazione o un'azione positiva chiara" (Articolo 1). Ai sensi dell'Articolo 6, il titolare del trattamento deve essere in grado di dimostrarlo; la richiesta deve essere "chiara, semplice, inequivocabile e facilmente accessibile" e deve includere il diritto di revoca facile e in qualsiasi momento. L'Articolo 13 aggiunge che, prima dell'inizio del trattamento, le persone devono essere informate sulle finalità, su con chi i dati vengono condivisi all'interno e all'esterno degli Emirati Arabi Uniti (UAE) e sulle tutele per il trattamento transfrontaliero.
Anche le normative delle telecomunicazioni seguono la stessa linea: la Regulatory Policy sulle comunicazioni elettroniche non sollecitate del TDRA (versione 1.1, 13 giugno 2022) copre tutti i messaggi di testo con un link degli UAE, inclusi quelli il cui destinatario si trova negli UAE, e vieta la consegna di messaggi di marketing senza un consenso documentato. WhatsApp integra la policy di Meta: le aziende devono ottenere il consenso opt-in "confermando di desiderare di ricevere messaggi o chiamate successive da una specifica azienda", indicando il nome di tale azienda e rispettando la legge applicabile. Consultare WhatsApp Business API.
Cosa richiede il TDRA per i messaggi di marketing?
La policy vincola gli operatori con licenza, i quali devono integrarla in ogni contratto di servizio di messaggistica, affinché ogni brand che invia messaggi tramite di essi ne erediti l'applicazione:
| Requisito | Cosa prevede la policy del TDRA | Clausola |
|---|---|---|
| Consenso opt-in | Nessun messaggio di marketing a meno che il consenso del destinatario non sia stato ottenuto, verificato e documentato | 8.2, 9.2.2 |
| Registro del consenso | Data, ora, parole o contenuti con cui il cliente ha prestato il consenso, identità e numero di telefono; conservati per tutta la durata dell'invio di messaggi di marketing | 5.6, 5.7 |
| Richieste di consenso | Un brand (abbonato al servizio di messaggistica) non può richiedere il consenso tramite SMS o chiamata vocale | 9.2.5 |
| Disiscrizione | Ogni messaggio di marketing deve includere un modo gratuito per disiscriversi; i messaggi non possono essere utilizzati per scoraggiare la disiscrizione | 5.8–5.10 |
| ID mittente | I mittenti marketing riportano il codice AD- seguito dal nome del mittente | 8.8 |
| Orari di invio | Nessun messaggio di marketing tra le 21:00 e le 07:00 | 8.3, 9.2.4 |
| Numeri riciclati | I consensi associati a un numero che cambia proprietà vengono annullati | 8.11 |
Si applica un'ulteriore regola al telemarketing. La Risoluzione del Gabinetto n. 56 del 2024 limita le chiamate di marketing alla fascia oraria 9:00–18:00 e vieta il contatto con i numeri presenti nel Do Not Call Register; inoltre, la sua definizione di telemarketing include anche i messaggi di testo a scopo commerciale. Spieghiamo la sovrapposizione in Spiegazione della Risoluzione del Gabinetto UAE 56; il riepilogo nazionale è disponibile in Regolamenti SMS UAE, mentre la procedura completa per l'ID mittente è descritta in come registrare un ID mittente UAE.
Il PDPL tratta in modo diverso i OTP e i messaggi transazionali?
La legge non elenca esplicitamente le tipologie di messaggi, ma sono le sue eccezioni a stabilire la distinzione. Una password monouso appena richiesta dall'utente, un aggiornamento sulla consegna o una ricevuta sono necessari per l'esecuzione del servizio, rientrando nell'eccezione contrattuale dell'Articolo 4(9). Le promozioni non godono di tale eccezione, e l'Articolo 17 consente al destinatario di interromperle in qualsiasi momento. Allo stesso modo, la policy TDRA si rivolge esclusivamente ai testi di marketing — ovvero quelli che offrono o pubblicizzano beni, servizi o opportunità commerciali, o sollecitano donazioni.
Mantieni i flussi separati: utilizza ID mittente distinti (AD- è riservato solo al marketing), template separati e non inserire offerte all'interno di un OTP o di un aggiornamento sull'ordine — in caso contrario, verrebbe considerato marketing. Le banche sono soggette a un regime di autenticazione aggiuntivo, trattato in Il SMS OTP è vietato?; consultare anche OTP.
| Messaggio | Base tipica secondo la PDPL | Si applicano le regole di marketing TDRA? | Disiscrizione |
|---|---|---|---|
| OTP o codice di login richiesto dall'utente | Contratto / servizio richiesto dall'utente (Art. 4(9)) | No — non è un testo di marketing | Non applicabile al codice stesso |
| Aggiornamento di ordine, consegna o appuntamento | Contratto (Art. 4(9)) | No, purché non contenga un'offerta | Offrire la possibilità di impostare le preferenze |
| Informativa legalmente richiesta | Obbligo legale ai sensi di un'altra legge (Art. 4(10)) | No | Non applicabile |
| Promozione, offerta o newsletter | Consenso (Art. 4, Art. 6) | Sì — opt-in, ID mittente AD-, disiscrizione, 07:00–21:00 | Obbligatorio; da rispettare immediatamente (Art. 17) |
I dati dei clienti possono lasciare gli Emirati Arabi Uniti?
Sì, entro certi limiti. L'Articolo 22 consente i trasferimenti, nei casi approvati dall'Ufficio per la protezione dei dati degli Emirati Arabi Uniti, verso un paese che disponga di una legislazione sulla protezione dei dati con un'autorità giudiziaria o di regolamentazione in grado di farla rispettare, o con il quale gli Emirati Arabi Uniti abbiano un accordo bilaterale o multilaterale sulla protezione dei dati. Laddove non esista tale protezione, l'Articolo 23 consente comunque il trasferimento in base a un contratto che vincoli il destinatario agli standard della legge, con il consenso esplicito dell'interessato (a condizione che il trasferimento non contrasti con l'interesse pubblico o la sicurezza degli Emirati Arabi Uniti), o laddove il trasferimento sia necessario per l'esecuzione di un contratto con l'interessato, tra gli altri casi. I controlli dettagliati sono, ancora una volta, rimessi ai regolamenti esecutivi.
La PDPL non stabilisce una regola di localizzazione generalizzata, ma l'Articolo 7 richiede che il registro del trattamento includa "qualsiasi dato relativo al movimento transfrontaliero e al trattamento" dei dati personali. Chiedete a ogni fornitore dove vengono conservati gli elenchi di contatti, il contenuto dei messaggi e i rapporti di consegna; le opzioni di BroadNet sono disponibili sulla nostra pagina sulla residenza dei dati.
E per le aziende in DIFC e ADGM?
L'Articolo 2 della PDPL esclude le "società e gli stabilimenti situati nelle zone franche" che dispongono di una propria legislazione sulla protezione dei dati. Due zone franche finanziarie ne hanno una: il Dubai International Financial Centre applica la propria legge sulla protezione dei dati, la legge DIFC n. 5 del 2020 (consolidata a luglio 2025 dopo gli emendamenti del 2022 e 2025), ai titolari e ai responsabili del trattamento costituiti nella DIFC e al trattamento nella DIFC; l'Abu Dhabi Global Market ha promulgato i suoi Regolamenti sulla protezione dei dati 2021 il 14 febbraio 2021, supervisionati dal proprio Ufficio per la protezione dei dati.
Le differenze pratiche per i marketer: la legge DIFC elenca gli interessi legittimi come base giuridica insieme al consenso (Articolo 10) e conferisce agli individui il diritto di opporsi in qualsiasi momento al trattamento per finalità di marketing diretto. Un'entità in queste zone segue la legge della propria zona per la protezione dei dati — ma i suoi testi di marketing viaggiano comunque sulle reti degli Emirati Arabi Uniti, quindi le regole di TDRA relative a consenso, disiscrizione, ID mittente AD- e finestre temporali si applicano comunque all'SMS stesso.
Checklist UAE PDPL per il marketing in SMS e WhatsApp
- Mappare quali sistemi contengono numeri degli Emirati Arabi Uniti, contenuti dei messaggi e rapporti di consegna, e registrare una base giuridica per ogni flusso — contratto per i OTP, consenso per il marketing (Articolo 7).
- Raccogli il consenso per il marketing tramite un'azione positiva e chiara su un modulo web, uno schermo dell'app o in negozio, mai tramite un SMS o una chiamata non sollecitata, e indica il nome della tua azienda.
- Conserva la prova del consenso: data, ora, testo visualizzato, identità e numero (TDRA 5.6), e conservala per tutto il periodo in cui effettui l'invio.
- Inserisci un'opzione di disiscrizione gratuita e funzionante in ogni SMS di marketing e rispetta immediatamente le obiezioni al marketing diretto (PDPL Articolo 17).
- Utilizza un ID mittente AD- per le promozioni e un mittente separato per OTP e avvisi; evita di inserire offerte nei template transazionali.
- Programma gli invii promozionali tra le 07:00 e le 21:00 ora degli Emirati Arabi Uniti e verifica con un consulente la finestra più ristretta prevista dalla Resolution 56.
- Informa le persone prima del trattamento su dove verranno destinati i loro dati, inclusi i trasferimenti all'estero, e inserisci clausole di trasferimento in ogni contratto con i fornitori (Articoli 13, 22 e 23).
- Prepara subito un piano di risposta in caso di violazione; i regolamenti esecutivi stabiliranno la scadenza per la notifica e avrai sei mesi per conformarti una volta emessi.
BroadNet, operativa dal 2003, ha sede a Dubai Internet City, detiene ISO 27001, ISO 27018 e SOC 2 Type II, e gestisce la registrazione dell'ID mittente negli Emirati Arabi Uniti con gli operatori come parte dell'onboarding. Consulta A2P SMS e la copertura negli Emirati Arabi Uniti.
Domande frequenti
Il PDPL degli Emirati Arabi Uniti è in vigore?
Sì. Il Decreto-Legge Federale n. 45 del 2021 è in vigore dal 2 gennaio 2022; si attendono solo i suoi regolamenti esecutivi.
Sono stati emessi i regolamenti esecutivi del PDPL?
Non risultano emessi dai registri ufficiali. L'articolo 28 ne richiedeva l'adozione entro sei mesi dalla legge, ma al momento del nostro controllo di settembre 2026, nessun regolamento attuativo era presente sul portale UAE Legislation. Una volta emessi, l'articolo 29 concede alle aziende sei mesi per adeguarsi.
È necessario il consenso per inviare SMS di marketing negli Emirati Arabi Uniti?
Sì. Il PDPL vieta il trattamento dei dati personali senza consenso, a meno che non si applichi un'eccezione, e il marketing non è tra le eccezioni previste. La policy del TDRA vieta separatamente l'invio di messaggi di marketing a meno che il consenso del destinatario non sia stato ottenuto, verificato e documentato.
Il PDPL si applica alle aziende con sede fuori dagli Emirati Arabi Uniti?
Sì. L'articolo 2 copre i titolari e i responsabili del trattamento fuori dagli Emirati Arabi Uniti che trattano dati personali di interessati situati all'interno degli Emirati Arabi Uniti; pertanto, un marchio straniero che invia SMS ai residenti negli Emirati Arabi Uniti rientra nell'ambito di applicazione.
I messaggi OTP sono coperti dal PDPL?
La legge si applica, ma un OTP richiesto dall'utente rientra nell'eccezione contrattuale dell'articolo 4, e gli OTP non sono messaggi di marketing; pertanto, le regole del TDRA relative all'opt-in, all'AD- e agli orari di invio non si applicano ad essi.
Quali sono le sanzioni previste dal PDPL degli Emirati Arabi Uniti?
La legge non le stabilisce. L'articolo 26 rimanda l'elenco delle violazioni e delle sanzioni amministrative a una decisione del Gabinetto, che non abbiamo trovato pubblicata alla data di settembre 2026. Si consiglia cautela nell'accogliere qualsiasi importo specifico di sanzioni citato senza un numero di decisione.
Il PDPL si applica in DIFC e ADGM?
No. Sono escluse le società delle zone franche che dispongono di una propria legislazione sulla protezione dei dati. Il DIFC applica la Legge DIFC n. 5 del 2020 e l'ADGM i suoi Data Protection Regulations 2021; le regole SMS del TDRA si applicano comunque ai testi di marketing inviati da tali zone.
In quali orari posso inviare SMS di marketing negli Emirati Arabi Uniti?
La policy TDRA vieta l'invio di messaggi di marketing tra le 21:00 e le 07:00. La Risoluzione del Gabinetto n. 56 del 2024 limita le chiamate di marketing alla fascia 09:00–18:00 e definisce il telemarketing includendo anche i messaggi di marketing; pertanto, molti mittenti utilizzano la finestra temporale più ristretta; consultare un legale per conferma.
Abbiamo letto ogni testo sottostante il 26 settembre 2026, utilizzando le copie di web.archive.org laddove un sito ufficiale ha bloccato i nostri server; consultare i nostri standard editoriali.
Fonti
- Decreto-legge federale n. (45) del 2021 relativo alla protezione dei dati personali, testo ufficiale in inglese, portale UAE Legislation (consultato il 26 settembre 2026 tramite la copia di web.archive.org del 7 settembre 2026): uaelegislation.gov.ae.
- Portale UAE Legislation — pagina della legge (stato, pubblicazione, gazzetta ufficiale e date di entrata in vigore) come acquisita il 27 agosto 2026 e legislazioni correlate come acquisite il 5 gennaio 2026: uaelegislation.gov.ae.
- Il Portale Ufficiale del Governo degli Emirati Arabi Uniti — Leggi sulla protezione dei dati, aggiornato il 4 dicembre 2025 (consultato il 26 settembre 2026): u.ae.
- TDRA — Politica normativa sulle comunicazioni elettroniche non richieste, versione 1.1, 13 giugno 2022 (consultabile dalla copia su web.archive.org): tdra.gov.ae.
- DIFC — Legge sulla protezione dei dati, Legge DIFC n. 5 del 2020, versione consolidata luglio 2025 (consultata il 26 settembre 2026): difc.com.
- ADGM — ADGM promulga il nuovo Regolamento sulla protezione dei dati 2021, 14 febbraio 2021: adgm.com.
- Meta — Piattaforma WhatsApp Business, gestione dell'opt-in (consultata il 26 settembre 2026): developers.facebook.com.
- Ministero dell'Economia — briefing sulle risoluzioni del Gabinetto n. 56 e n. 57 del 2024, 29 agosto 2024: moet.gov.ae.