AE個人データ保護法（PDPL、連邦政令法第45号/2021年）は2022年1月2日から適用されており、個人データ処理のデフォルトの法的根拠として「同意」を定めています。例外事項は限定的であり、マーケティングは含まれていません。SMSおよびWhatsAppキャンペーンにおいては、証明可能なオプトインによる同意、容易な撤回方法、およびすべての受信者がダイレクトマーケティングを停止できる権利が必要であることを意味します。違反の通知期限、移転管理、および6ヶ月のコンプライアンス期間を定める実施規則は、2026年9月の確認時点ではまだUAE立法ポータルに掲載されていませんでしたが、一方でTDRAのスパムポリシーは、UAEのリンクを含むすべてのマーケティングテキストに対して既に厳格な規則を定めています。
本ガイドは、2026年9月26日時点の公開されている法的文書をまとめたものです。これは一般的な情報であり、法的助言ではありません。これに依拠する前に、弁護士または管轄当局に義務を確認してください。
主なポイント
- PDPLは2021年9月20日に発行され、2021年9月26日に官報に掲載され、2022年1月2日に施行されました。これはUAE国内の企業、およびUAE居住者の個人データを処理する国外の企業を対象としています。
- 第4条では、データ主体の同意なしに個人データを処理することを禁止しており、契約の履行や法的義務の遵守などの例外を列挙しています。マーケティングはそれらの例外には含まれないため、プロモーション用のSMSおよびWhatsAppにおける実務的な根拠はオプトインによる同意となります。
- 第17条は、関連するプロファイリングを含む、ダイレクトマーケティングのための処理に対して、すべての人が異議を唱え、かつ停止させる権利を与えています。
- 実施規則は法律の制定から6か月以内に策定される予定でしたが、当社の確認時点では連邦立法ポータルに掲載されていませんでした。企業は、実施規則の発行から6か月以内に状況を適正化する必要があります（第29条）。
- 独自のデータ保護法を持つフリーゾーン内の企業（DIFCおよびADGM）は、PDPLの対象外となり、独自の法律に従います。
- これとは別に、TDRAのポリシーでは、オプトインの同意記録、すべてのマーケティングテキストへのオプトアウトの記載、AD-の送信元プレフィックス、および21:00から07:00までの間のマーケティングテキストの禁止が求められています。
UAEのPDPLとは何ですか？また、誰に適用されますか？
連邦政令法律第45号（2021年）個人データ保護に関する法は、UAEの連邦データ保護法です。UAE立法ポータルでは、2021年9月20日に発行、2021年9月26日に官報第712号（付録）に掲載され、2022年1月2日から施行されている有効な法律として記載されています。第2条に基づき、UAEに居住または事業を行うすべてのデータ主体、UAE内のすべての管理者または処理者（国内・国外のデータ主体を問わず）、およびUAE内のデータ主体の個人データを処理するUAE国外のすべての管理者または処理者に適用されます。したがって、欧州やアジアのブランドであっても、ドバイの顧客にテキストメッセージを送信する場合は対象となります。
個人データは広く定義されており、氏名、音声、画像、識別番号、電子識別子、位置情報がすべて含まれます。そのため、顧客レコードに紐付けられた携帯電話番号は個人データとなります。第2条では、政府のデータおよび機関、セキュリティおよび司法データ、純粋な個人利用、独自の法律によって管理される健康および銀行データ、および独自のデータ保護法を持つフリーゾーン企業が除外されています。
2026年時点でPDPLは完全に施行されていますか？
法律は施行されていますが、詳細が欠けています。第28条では6か月以内の施行令の策定が求められており、いくつかの義務は施行令の内容に依存しています。具体的には、違反通知の期限（第9条）、データ保護責任者の基準（第10条）、および国境を越えたデータ移転の管理（第23条）です。第26条により、違反および行政罰については別途閣僚決定に委ねられています。
2026年9月26日時点の確認では、UAE Legislationポータルの当該法律のページには、施行規則は記載されていませんでした（2026年8月27日時点のキャプチャ）。同ページでは最終更新日が2021年9月20日となっており、関連法規リストにも施行規則の記載はありませんでした。政府ポータルであるu.ae（2025年12月4日更新）によると、連邦政令法律第44号（Federal Decree-Law No. 44 of 2021）によって設立されたUAE Data Officeが「連邦データ規制当局として機能する」とされています。一部の商業サイトでは、規制が2026年に発行されたと記載されていますが、公式ポータルで閲覧可能な閣僚会議決議（Cabinet Resolution）番号が引用されていない限り、未確認事項として扱ってください。
第29条では、管理者および処理者に対し、発行から6か月間の遵守期間を与えています。これは閣僚会議によって1回に限り延長可能です。したがって、すでに法律の条文を満たしているプログラムについては、変更の必要性はほとんどありません。
UAEにおいて、SMSおよびWhatsAppのマーケティングを行うには同意が必要ですか？
はい、実務上は必要です。第4条では、「本人の同意なしに個人データを処理することは禁止される」という禁止規定から始まり、その後、データ主体との契約履行や他のUAE法律に基づく義務の遵守など、11の例外事項が列挙されています。DIFC法にあるような一般的な「正当な利益」による例外規定は存在しないため、オプトインしていない人々に対するプロモーションキャンペーンには、明確な法的根拠がありません。
同意は、「明確な肯定的表明または行動」を通じて、「特定かつ明確で、曖昧でない方法」で行われなければなりません（第1条）。第6条に基づき、管理者はその同意を証明できなければならず、同意の要請は「明確、簡潔、曖昧ではなく、容易にアクセスできる」ものでなければならず、かつ、いつでも容易に撤回できる権利を含んでいなければなりません。第13条では、処理を開始する前に、目的、UAE国内外の誰とデータを共有するか、および国境を越えた処理に関する保護措置について、本人に通知しなければならないと付け加えられています。
通信分野の規則も同様の方向性を示しています。TDRAの「未承諾電子通信に関する規制方針（Regulatory Policy on Unsolicited Electronic Communications）」（バージョン1.1、2022年6月13日）は、受信者がUAE内にいるものを含む、UAEへのリンクを含むすべてのテキストメッセージを対象としており、同意の証跡がないマーケティングテキストの配信を禁止しています。WhatsAppはMetaの方針を追加しています。企業は、「特定の企業からのその後のメッセージまたは通話の受信を希望することを確認する」オプトインの許可を得なければならず、その企業名を明示し、適用法を遵守しなければなりません。詳細はWhatsApp Business APIを参照してください。
マーケティングテキストに関して、TDRAは何を要求していますか？
この方針はライセンスを持つ通信事業者を拘束するものであり、各メッセージングサービス契約にこれを盛り込む義務があるため、それらを通じて送信を行うすべてのブランドはその規定を継承することになります。
| 要件 | TDRAポリシーの規定内容 | 条項 |
|---|---|---|
| オプトインの同意 | 受信者の同意が得られ、検証され、かつその証跡が残されていない限り、マーケティングテキストを送信してはならない | 8.2, 9.2.2 |
| 同意記録 | 日付、時刻、顧客が同意した文言または内容、本人確認情報、および電話番号。マーケティングテキストの送信期間中はこれを保持すること | 5.6, 5.7 |
| 同意の要請 | ブランド（メッセージングサービス加入者）は、SMSまたは音声通話によって同意を求めることはできません | 9.2.5 |
| オプトアウト | すべてのマーケティングテキストには、無料でオプトアウトする方法を記載しなければなりません。また、購読解除を思いとどまらせるためにテキストを使用してはなりません | 5.8–5.10 |
| 送信元ID | マーケティング送信者は、AD-コードに続いて送信者名を付与します | 8.8 |
| 送信時間帯 | 午後9時から午前7時の間は、マーケティング用テキストの送信は禁止されています | 8.3, 9.2.4 |
| 再利用された電話番号 | 所有者が変更された電話番号に紐付く同意は、すべて無効となります | 8.11 |
テレマーケティングには、さらにもう一つの規則が適用されます。2024年内閣決議第56号（Cabinet Resolution No. 56 of 2024）は、マーケティング電話を午前9時から午後6時までに制限し、Do Not Call Register（拒否登録）に登録された番号への連絡を禁止しています。また、同決議のテレマーケティングの定義にはマーケティング用のテキストメッセージも含まれます。この重なりについてはUAE内閣決議第56号の解説で説明しています。国別の概要はUAEのSMS規制を、送信元IDの登録手順はUAEの送信元ID登録方法をご参照ください。
PDPLでは、OTPとトランザクションメッセージを区別していますか？
法律にはメッセージの種類は明記されていませんが、例外規定によって分類されます。ユーザーがリクエストした直後のワンタイムパスワード、配送状況の更新、または領収書などは、サービスの提供に必要な処理であり、第4条(9)の契約例外に該当します。プロモーションにはそのような例外はなく、第17条により受信者はいつでもこれらを停止できます。同様に、TDRAのポリシーもマーケティングテキストのみを対象としています。つまり、商品、サービス、ビジネスチャンスの提供や広告、または寄付の勧誘を行うものが対象となります。
配信ストリームを分けてください。送信元IDを分け（AD-はマーケティング専用です）、テンプレートを分け、OTPや注文更新の中にオファーを含めないようにしてください。オファーを含めるとマーケティング扱いになります。銀行には追加の認証制度があり、詳細はSMS OTPは禁止されたのか？で説明されています。あわせてOTPもご確認ください。
| メッセージ | PDPLにおける一般的な根拠 | TDRAのマーケティング規則は適用されますか？ | オプトアウト |
|---|---|---|---|
| OTPまたはユーザーがリクエストしたログインコード | ユーザーが要求した契約／サービス（第4条第9項） | いいえ — マーケティングテキストではありません | コード自体には該当しません |
| 注文、配送、または予約に関する更新情報 | 契約（第4条第9項） | いいえ、オファーが含まれていない限り該当しません | 設定（プリファレンス）の提供 |
| 法律で義務付けられた通知 | 他の法律に基づく法的義務（第4条第10項） | いいえ | 該当なし |
| プロモーション、オファー、またはニュースレター | 同意（第4条、第6条） | はい — オプトイン、AD- 送信元、オプトアウト、07:00–21:00 | 必須。直ちに履行すること（第17条） |
顧客データはUAE国外へ持ち出すことができますか？
はい、制限の範囲内であれば可能です。第22条では、UAEデータオフィスによって承認された場合に限り、司法または規制当局がその法を執行できるデータ保護法を有する国、あるいはUAEが二国間または多国間のデータ保護協定を締結している国への移転を認めています。そのような保護が存在しない場合でも、第23条に基づき、受領者に法の基準を遵守させる契約を締結し、データ主体の明示的な同意がある場合（ただし、移転がUAEの公共利益または安全保障上の利益に抵触しない場合に限る）、あるいはデータ主体との契約履行に必要な場合などにおいて、移転が認められます。詳細な管理については、繰り返しになりますが、施行規則に委ねられています。
PDPLは一律のローカライゼーション規則を定めていませんが、第7条では、個人データの「国境を越えた移動および処理に関連するあらゆるデータ」を処理記録に含めることを義務付けています。連絡先リスト、メッセージ内容、配信レポートがどこに保存されているか、各ベンダーに確認してください。BroadNetのオプションについては、当社のデータレジデンシーページに記載されています。
DIFCおよびADGMの企業についてはどうなりますか？
PDPLの第2条では、独自のデータ保護法を持つ「フリーゾーンに所在する企業および事業所」は除外されています。2つの金融フリーゾーンがこれに該当します。ドバイ国際金融センター（DIFC）は、そのデータ保護法、すなわちDIFC Law No. 5 of 2020（2022年および2025年の改正を経て2025年7月に統合）を、DIFCに設立された管理者および処理者、ならびにDIFCにおける処理に適用しています。アブダビ・グローバル・マーケット（ADGM）は、2021年2月14日に独自のデータ保護局が監督するデータ保護規則2021を制定しました。
マーケターにとっての実務的な違い：DIFCの法律では、同意（第10条）と並んで正当な利益が適法な根拠として挙げられており、個人にはダイレクトマーケティングのための処理に対していつでも異議を申し立てる権利が与えられています。これらのゾーン内の事業体は、そのゾーン独自のデータ保護法に従いますが、マーケティングテキストは依然としてUAEのネットワークを経由するため、TDRAの同意、オプトアウト、AD-、およびタイムウィンドウの規則はSMS自体に適用されます。
SMSおよびWhatsAppのマーケティングに関するUAE PDPLチェックリスト
- どのシステムがUAEの電話番号、メッセージ内容、配信レポートを保持しているかを特定し、各フローの根拠を記録してください。OTPについては契約、マーケティングについては同意（第7条）に基づきます。
- Webフォーム、アプリ画面、または店舗での明確な肯定的アクションを通じてマーケティングの同意を取得してください。未承諾のSMSや電話による取得は決して行わず、自社名を明示してください。
- 同意の証明（日付、時刻、表示された文言、身元、および番号（TDRA 5.6））を保存し、メッセージを送信している期間中、その記録を保持してください。
- すべてのマーケティング用SMSに、無料で機能するオプトアウト手段を設け、ダイレクトマーケティングに対する拒否の申し出には直ちに応じるようにしてください（PDPL第17条）。
- プロモーションにはAD-送信元IDを使用し、OTPやアラートには別の送信元を使用してください。トランザクション用テンプレートに特典内容を含めないようにしてください。
- プロモーションの送信は、UAE時間の07:00から21:00の間にスケジュールしてください。また、より限定的なResolution 56の適用期間については、顧問弁護士に確認してください。
- データの処理を開始する前に、データが海外を含むどこへ送られるかを本人に通知し、すべてのベンダー契約に転送条項を盛り込んでください（第13条、第22条、第23条）。
- 今すぐデータ侵害への対応計画を準備してください。施行規則によって通知期限が定められ、規則の発効後、遵守のために6ヶ月間の猶予が与えられます。
2003年から事業を展開しているBroadNetは、Dubai Internet Cityに本社を置いており、ISO 27001、ISO 27018、およびSOC 2 Type IIの認証を保持しています。また、オンボーディングの一環として、通信事業者とのUAE送信元IDの登録も取り扱っています。詳細はA2P SMSおよびUAEのカバレッジをご覧ください。
よくある質問
UAEのPDPLは施行されていますか？
はい。連邦政令法第45号（2021年）は2022年1月2日より施行されています。現在、その実施規則のみが待たれている状態です。
PDPLの実施規則は発行されましたか？
公式記録によれば、まだ発行されていません。第28条では法律の施行から6か月以内に実施規則を定めることが求められていますが、当社の2026年9月の確認時点では、UAE Legislationポータルに実施規則は掲載されていません。規則が発行され次第、第29条に基づき、企業には6か月間のコンプライアンス遵守期間が与えられます。
UAEでマーケティング目的のSMSを送信するには同意が必要ですか？
はい。PDPLでは、例外が適用される場合を除き、同意なしに個人データを処理することを禁止しており、マーケティングはその例外には含まれません。また、TDRAのポリシーにより、受信者の同意が得られ、検証され、かつ証明されていない限り、マーケティングテキストの配信は別途禁止されています。
PDPLはUAE国外の企業にも適用されますか？
はい。第2条は、UAE国内のデータ主体の個人データを処理するUAE国外の管理者および処理者にも適用されるため、UAE居住者にSMSを送信する海外ブランドも対象に含まれます。
OTP認証SMSはPDPLの対象となりますか？
法律は適用されますが、ユーザーがリクエストしたOTPは第4条の契約上の例外に該当し、またOTPはマーケティングテキストではないため、TDRAのオプトイン、AD-、および送信時間に関するルールは適用されません。
UAEのPDPLに基づく罰金はいくらですか？
法律には罰金は定められていません。第26条では、違反行為および行政罰のリストを閣僚会議の決定に委ねていますが、2026年9月現在、公開されている決定は見つかりませんでした。決定番号の記載がない特定の罰金額が引用されている場合は、注意して扱う必要があります。
PDPLはDIFCおよびADGMでも適用されますか？
いいえ。独自のデータ保護法を持つフリーゾーン企業は除外されます。DIFCはDIFC法律2020年第5号を適用し、ADGMはデータ保護規則2021を適用しています。ただし、それらのゾーンから送信されるマーケティング目的のSMSには、引き続きTDRAのSMSルールが適用されます。
UAEでマーケティング用のSMSを送信できる時間帯はいつですか？
TDRAポリシーにより、午後9時から午前7時の間のマーケティングSMS送信は禁止されています。2024年閣僚決議第56号では、マーケティング電話の時間を午前9時から午後6時までに制限しており、テレマーケティングにはマーケティングSMSも含まれると定義されているため、多くの送信者がより狭い時間枠を採用しています。詳細は顧問弁護士にご確認ください。
以下のテキストはすべて2026年9月26日に確認したものです。公式サイトが当社のサーバーをブロックしている場合は、web.archive.orgのコピーを使用しています。当社の編集基準をご覧ください。
出典
- 個人データ保護に関する2021年連邦政令法律第(45)号、公式英文テキスト、UAE Legislationポータル（2026年9月26日に2026年9月7日のweb.archive.orgのコピーから閲覧）：uaelegislation.gov.ae。
- UAE Legislationポータル — 法令ページ（ステータス、発行、官報および施行日）は2026年8月27日に取得、関連法令は2026年1月5日に取得：uaelegislation.gov.ae。
- UAE政府公式ポータル — データ保護法、2025年12月4日更新（2026年9月26日にアクセス）：u.ae。
- TDRA — 未承諾電子通信に関する規制ポリシー、バージョン1.1、2022年6月13日（web.archive.orgのコピーから閲覧）：tdra.gov.ae。
- DIFC — データ保護法、DIFC 2020年法律第5号、2025年7月統合版（2026年9月26日にアクセス）：difc.com。
- ADGM — ADGMが新しいデータ保護規則2021を施行、2021年2月14日：adgm.com。
- Meta — WhatsApp Businessプラットフォームによるオプトイン取得（2026年9月26日閲覧）：developers.facebook.com。
- 経済省 — 2024年閣僚決定第56号および第57号に関するブリーフィング、2024年8月29日：moet.gov.ae。