AE 개인정보 보호법(PDPL, 연방 법령 제45호 2021년)은 2022년 1월 2일부터 적용되었으며, 개인정보 처리의 기본 법적 근거를 수신 동의로 규정하고 있습니다. 마케팅은 예외 목록에 포함되지 않습니다. 따라서 SMS 및 WhatsApp 캠페인의 경우, 증명 가능한 수신 동의, 간편한 수신 거부 방법, 그리고 모든 수신자가 직접 마케팅을 중단할 수 있는 권리가 보장되어야 합니다. 위반 기한, 이전 통제 및 6개월의 준수 기간을 설정하는 시행령은 2026년 9월 확인 당시 UAE 법률 포털에 아직 등재되지 않았으나, TDRA의 스팸 정책은 UAE 링크가 포함된 모든 마케팅 문자에 대해 이미 엄격한 규칙을 적용하고 있습니다.
본 가이드는 2026년 9월 26일 기준 공개된 법률 문서를 요약한 것입니다. 이는 일반적인 정보이며 법률 자문이 아닙니다. 본 내용을 신뢰하기 전에 반드시 법률 고문이나 관할 당국을 통해 귀사의 의무 사항을 확인하십시오.
핵심 요약
- PDPL은 2021년 9월 20일에 공포되어 2021년 9월 26일 관보에 게재되었으며, 2022년 1월 2일부터 시행되었습니다. 이 법은 UAE 내 기업과 UAE 거주자의 개인정보를 처리하는 해외 기업 모두에 적용됩니다.
- 제4조는 정보 주체의 동의 없이 개인정보를 처리하는 것을 금지하며, 계약 이행 또는 법적 의무 준수와 같은 예외 사항을 나열합니다. 마케팅은 예외에 해당하지 않으므로, 프로모션 SMS 및 WhatsApp을 위한 실질적인 근거는 수신 동의입니다.
- 제17조는 모든 개인에게 관련 프로파일링을 포함하여 직접 마케팅을 위한 정보 처리에 반대하고 이를 중단할 권리를 부여합니다.
- 시행령은 법률 제정 후 6개월 이내에 마련되어야 했으나, 확인 당시 연방 법령 포털에는 등재되어 있지 않았습니다. 기업은 시행령 공포 후 6개월 이내에 준수 상태를 정비해야 합니다 (제29조).
- 자체 데이터 보호 법령을 보유한 프리존 기업 — 즉 DIFC 및 ADGM — 은 PDPL의 적용 대상에서 제외되며 자체 법률을 따릅니다.
- 이와 별도로, TDRA의 정책에 따라 수신 동의 기록을 보유해야 하며, 모든 마케팅 문자에는 수신 거부 문구를 포함해야 하고, AD- 발신자 접두사를 사용해야 하며, 21:00부터 07:00 사이에는 마케팅 문자를 발송할 수 없습니다.
UAE PDPL은 무엇이며 누구에게 적용됩니까?
연방 법령 제45호 2021년 개인정보 보호에 관한 법률은 UAE의 연방 데이터 보호법입니다. UAE 법령 포털에 따르면 이 법은 유효하며, 2021년 9월 20일에 공포되었고, 2021년 9월 26일 관보 제712호(보충)에 게재되었으며, 2022년 1월 2일부터 시행되었습니다. 제2조에 따라 이 법은 UAE에 거주하거나 사업을 하는 모든 정보 주체, UAE 내의 모든 컨트롤러 또는 프로세서(국내외 정보 주체 대상), 그리고 UAE 내 정보 주체의 개인정보를 처리하는 UAE 외부의 모든 컨트롤러 또는 프로세서에게 적용됩니다. 따라서 유럽이나 아시아의 브랜드가 두바이 고객에게 문자를 발송하는 경우 이 법의 적용 범위에 포함됩니다.
개인정보는 이름, 음성, 이미지, 식별 번호, 전자 식별자 및 위치를 포함하여 광범위하게 정의되므로, 고객 기록과 연결된 휴대전화 번호는 개인정보에 해당합니다. 제2조는 정부 데이터 및 기관, 보안 및 사법 데이터, 순수 개인적 용도, 자체 법령의 적용을 받는 보건 및 금융 데이터, 그리고 자체 데이터 보호 법령을 보유한 프리존 기업을 적용 대상에서 제외합니다.
2026년에 PDPL이 완전히 시행됩니까?
법률은 시행 중이나 세부 사항이 누락되어 있습니다. 제28조는 6개월 이내에 시행령을 마련할 것을 요구하고 있으며, 다음과 같은 여러 의무 사항이 시행령에 달려 있습니다: 개인정보 침해 통지 기한(제9조), 데이터 보호 책임자 선임 기준(제10조), 국외 이전 통제 사항(제23조). 제26조에 따라 위반 사항 및 행정 처벌은 별도의 국무회의 결정에 따릅니다.
2026년 9월 26일 확인 결과, UAE 법령 포털의 해당 법률 페이지에는 시행령이 등재되어 있지 않았습니다. 2026년 8월 27일 캡처된 내용에 따르면 마지막 업데이트는 여전히 2021년 9월 20일로 표시되어 있으며, 관련 법령 목록에도 별도의 시행 규정이 명시되어 있지 않았습니다. 정부 포털인 u.ae(2025년 12월 4일 업데이트)에 따르면, 연방 법령 제44호(Federal Decree-Law No. 44 of 2021)에 의해 설립된 UAE 데이터 사무국(UAE Data Office)이 "연방 데이터 규제 기관의 역할을 수행하게 됩니다". 일부 상업용 웹사이트에서는 2026년에 규정이 발행되었다고 언급하고 있으나, 공식 포털에서 확인할 수 있는 국무회의 결의(Cabinet Resolution) 번호가 인용되지 않았다면 이는 확인되지 않은 정보로 간주해야 합니다.
제29조에 따라 컨트롤러와 프로세서는 규정 발행일로부터 6개월 이내에 준수해야 하며, 국무회의를 통해 한 차례 연장이 가능합니다. 따라서 이미 해당 법률의 본문을 충족하는 프로그램은 변경할 사항이 거의 없을 것입니다.
UAE에서 마케팅 문자 및 WhatsApp을 발송할 때 수신 동의가 필요한가요?
네, 실무적으로는 그렇습니다. 제4조는 "정보 주체의 동의 없이 개인정보를 처리하는 것을 금지한다"라는 금지 조항으로 시작하며, 데이터 주체와의 계약 이행 또는 다른 UAE 법률에 따른 의무 준수와 같은 11가지 예외 사항을 나열하고 있습니다. DIFC 법에 있는 것과 같은 일반적인 "정당한 이익" 예외 조항이 없으므로, 수신 동의를 하지 않은 사람들을 대상으로 하는 프로모션 캠페인은 명확한 법적 근거를 갖지 못합니다.
동의는 "명확한 긍정적 진술 또는 행동"을 통해 "구체적이고 명확하며 모호하지 않은 방식"으로 이루어져야 합니다(제1조). 제6조에 따라 컨트롤러는 이를 증명할 수 있어야 하며, 동의 요청은 "명확하고 단순하며 모호하지 않고 쉽게 접근할 수 있어야" 하고, 언제든지 쉽게 동의를 철회할 수 있는 권리가 포함되어야 합니다. 제13조는 데이터 처리가 시작되기 전, 정보 주체에게 처리 목적, UAE 내외의 데이터 공유 대상, 그리고 국외 이전 처리에 대한 보호 조치를 알려야 한다고 명시하고 있습니다.
통신 규정 또한 동일한 방향을 가리킵니다. TDRA의 스팸 전자 통신에 관한 규제 정책(Regulatory Policy on Unsolicited Electronic Communications, 버전 1.1, 2022년 6월 13일)은 수신자가 UAE에 있는 경우를 포함하여 UAE 링크가 포함된 모든 문자를 대상으로 하며, 동의 증빙이 없는 마케팅 문자 발송을 금지합니다. WhatsApp은 Meta의 정책을 추가합니다. 기업은 "특정 기업으로부터 향후 메시지나 전화를 받기를 원한다"는 것을 확인하는 수신 동의를 얻어야 하며, 해당 기업의 명칭을 명시하고 관련 법률을 준수해야 합니다. WhatsApp Business API를 참조하세요.
TDRA에서는 마케팅 문자에 대해 무엇을 요구합니까?
해당 정책은 면허를 보유한 통신사에 구속력을 가지며, 통신사는 모든 메시징 서비스 계약에 이 내용을 포함해야 합니다. 따라서 해당 통신사를 통해 문자를 발송하는 모든 브랜드는 이 정책을 준수해야 합니다.
| 요구 사항 | TDRA 정책 내용 | 조항 |
|---|---|---|
| 수신 동의 | 수신자의 동의를 얻고, 확인 및 증빙하지 않은 경우 마케팅 문자를 발송할 수 없음 | 8.2, 9.2.2 |
| 동의 기록 | 날짜, 시간, 고객이 동의한 문구 또는 내용, 신원 및 전화번호; 마케팅 문자를 발송하는 동안 유지되어야 함 | 5.6, 5.7 |
| 수신 동의 요청 | 브랜드(메시징 서비스 가입자)는 문자 또는 음성 통화를 통해 수신 동의를 요청할 수 없습니다 | 9.2.5 |
| 수신 거부 | 모든 마케팅 문자는 무료로 수신 거부를 할 수 있는 방법을 포함해야 하며, 문자를 통해 수신 거부를 하지 못하도록 유도해서는 안 됩니다 | 5.8–5.10 |
| 발신자 ID | 마케팅 발신자는 AD- 코드를 사용하며, 그 뒤에 발신자 이름이 표시됩니다 | 8.8 |
| 발송 시간 | 오후 9:00부터 오전 7:00 사이에는 마케팅 문자 발송이 금지됩니다 | 8.3, 9.2.4 |
| 재사용 번호 | 번호의 소유권이 변경될 경우 해당 번호에 연결된 수신 동의는 취소됩니다 | 8.11 |
텔레마케팅에는 한 가지 규칙이 더 적용됩니다. Cabinet Resolution No. 56 of 2024에 따라 마케팅 전화는 오전 9시부터 오후 6시까지만 허용되며, 수신 거부 등록(Do Not Call Register)된 번호로의 연락은 금지됩니다. 또한 이 규정에서 정의하는 텔레마케팅에는 마케팅 문자 메시지도 포함됩니다. 이러한 중복 적용 사항은 UAE Cabinet Resolution 56 설명에서 자세히 설명하며, 국가별 요약은 UAE SMS 규정에서, 전체 발신자 ID 등록 절차는 UAE 발신자 ID 등록 방법에서 확인하실 수 있습니다.
PDPL은 OTP와 알림 메시지를 다르게 취급합니까?
법률에는 메시지 유형이 명시되어 있지 않지만, 예외 조항을 통해 분류가 이루어집니다. 사용자가 방금 요청한 OTP 인증, 배송 업데이트 또는 영수증은 서비스 수행에 필요한 처리 과정이므로 제4조(9)의 계약 예외 조항에 해당합니다. 프로모션은 이러한 예외가 적용되지 않으며, 제17조에 따라 수신자는 언제든지 이를 중단할 수 있습니다. TDRA 정책 역시 마케팅 문자, 즉 상품, 서비스, 비즈니스 기회를 제공 또는 광고하거나 기부를 권유하는 메시지만을 대상으로 합니다.
메시지 스트림을 분리하십시오. 발신자 ID를 분리하고(AD-는 마케팅 전용입니다), 템플릿을 별도로 관리하며, OTP 또는 주문 업데이트 메시지 내에 프로모션 내용을 포함하지 마십시오. 프로모션 내용이 포함되면 마케팅 메시지로 간주됩니다. 은행은 별도의 인증 체계를 갖추고 있으며, 이에 대한 내용은 SMS OTP가 금지되었나요?에서 확인하실 수 있습니다. OTP도 함께 참조하십시오.
| 메시지 | PDPL에 따른 일반적인 기준 | TDRA 마케팅 규칙이 적용됩니까? | 수신 거부 |
|---|---|---|---|
| OTP 또는 사용자가 요청한 로그인 코드 | 사용자가 요청한 계약 / 서비스 (제4조(9)) | 아니요 — 마케팅 문자가 아님 | 코드 자체에는 해당되지 않음 |
| 주문, 배송 또는 예약 업데이트 | 계약 (제4조 제9항) | 아니요, 제안 내용이 포함되지 않는 한 해당되지 않음 | 선호 설정 제공 |
| 법적 필수 고지 사항 | 타 법령에 따른 법적 의무 (제4조 제10항) | 아니요 | 해당 없음 |
| 홍보, 제안 또는 뉴스레터 | 동의 (제4조, 제6조) | 예 — 수신 동의, AD- 발신자, 수신 거부, 07:00–21:00 | 의무 사항; 즉시 이행 (제17조) |
고객 데이터가 UAE 외부로 반출될 수 있습니까?
네, 제한 범위 내에서 가능합니다. 제22조에 따라 UAE 데이터 사무소(Data Office)가 승인한 경우, 사법 또는 규제 기관을 통해 법 집행이 가능한 데이터 보호 법률을 보유한 국가 또는 UAE와 양자 또는 다자간 데이터 보호 협정을 체결한 국가로의 전송이 허용됩니다. 그러한 보호 장치가 없는 경우에도 제23조에 따라, 수신자가 해당 법률의 표준을 준수하도록 구속하는 계약을 체결하고 정보 주체의 명시적인 동의를 받은 경우(단, 전송이 UAE의 공공 또는 보안 이익과 충돌하지 않아야 함), 또는 정보 주체와의 계약 이행을 위해 전송이 필요한 경우 등에는 전송이 허용됩니다. 세부적인 통제 사항은 마찬가지로 시행령에 위임됩니다.
PDPL은 포괄적인 데이터 현지화 규칙을 설정하지 않지만, 제7조에 따라 처리 기록에는 개인 데이터의 "국경 간 이동 및 처리와 관련된 모든 데이터"가 포함되어야 합니다. 각 벤더에게 연락처 목록, 메시지 내용 및 전송 결과 보고가 어디에 저장되는지 문의하십시오. BroadNet의 옵션은 당사의 데이터 레지던시 페이지에서 확인하실 수 있습니다.
DIFC 및 ADGM에 위치한 기업은 어떻게 됩니까?
PDPL 제2조는 자체적인 데이터 보호 법률을 보유한 "자유 구역(free zones)에 위치한 기업 및 사업체"를 제외합니다. 두 곳의 금융 자유 구역이 이에 해당합니다. Dubai International Financial Centre는 자체 데이터 보호법인 DIFC Law No. 5 of 2020(2022년 및 2025년 개정 후 2025년 7월 통합됨)을 DIFC에 설립된 컨트롤러 및 프로세서와 DIFC에서의 처리에 적용합니다. Abu Dhabi Global Market은 2021년 2월 14일에 자체 데이터 보호 사무소의 감독하에 데이터 보호 규정 2021을 제정했습니다.
마케터를 위한 실무적 차이점: DIFC 법은 동의(제10조)와 더불어 정당한 이익을 적법한 근거로 나열하고 있으며, 개인에게 직접 마케팅을 위한 처리에 대해 언제든지 이의를 제기할 권리를 부여합니다. 해당 구역의 기업은 해당 구역의 데이터 보호법을 따르지만, 마케팅 문자는 여전히 UAE 네트워크를 통해 전송되므로 TDRA의 동의, 수신 거부, AD- 및 시간 제한 규칙이 SMS 자체에 여전히 적용됩니다.
문자 및 WhatsApp 마케팅을 위한 UAE PDPL 체크리스트
- 어떤 시스템이 UAE 번호, 메시지 내용 및 전송 결과 보고를 보유하고 있는지 파악하고, 각 데이터 흐름에 대한 근거를 기록하십시오. OTP의 경우 계약을, 마케팅의 경우 동의(제7조)를 근거로 합니다.
- 웹 양식, 앱 화면 또는 매장에서 명확한 긍정적 행동을 통해 마케팅 수신 동의를 수집해야 하며, 요청하지 않은 문자나 전화를 통해서는 절대 수집해서는 안 됩니다. 또한, 기업명을 명시하십시오.
- 수신 동의 증빙 자료(날짜, 시간, 표시된 문구, 신원 및 번호(TDRA 5.6))를 저장하고, 메시지를 발송하는 동안 해당 자료를 보관하십시오.
- 모든 마케팅 문자에 무료로 작동하는 수신 거부 기능을 포함해야 하며, 다이렉트 마케팅에 대한 거부 의사를 즉시 수용해야 합니다(PDPL Article 17).
- 프로모션에는 AD- 발신자 ID를 사용하고, OTP 및 알림에는 별도의 발신자 ID를 사용하십시오. 트랜잭션 템플릿에는 프로모션 내용을 포함하지 마십시오.
- 프로모션 발송은 UAE 시간 기준 07:00에서 21:00 사이에 예약하고, 더 좁은 범위의 Resolution 56 규정은 법률 자문을 통해 확인하십시오.
- 데이터가 해외를 포함하여 어디로 전송되는지 처리 전에 사용자에게 고지해야 하며, 모든 벤더 계약에 전송 조항을 포함해야 합니다(Articles 13, 22 및 23).
- 지금 즉시 데이터 유출 대응 계획을 마련하십시오. 시행령을 통해 통지 기한이 확정될 예정이며, 시행 후 준수할 수 있는 기간은 6개월입니다.
2003년부터 운영 중인 BroadNet은 Dubai Internet City에 본사를 두고 있으며, ISO 27001, ISO 27018 및 SOC 2 Type II 인증을 보유하고 있습니다. 또한 온보딩 과정의 일환으로 통신사와 함께 UAE 발신자 ID 등록을 처리합니다. A2P SMS 및 UAE 커버리지를 확인하세요.
자주 묻는 질문
UAE PDPL이 시행 중인가요?
네. 연방 법령 제45호(Federal Decree-Law No. 45 of 2021)는 2022년 1월 2일부터 시행되었습니다. 현재 시행령(executive regulations)의 공포만을 기다리고 있는 상태입니다.
PDPL 시행령이 공포되었나요?
공식 기록상으로는 아직 공포되지 않았습니다. 제28조에 따라 법 제정 후 6개월 이내에 시행령이 마련되어야 하지만, 2026년 9월 확인 시점까지 UAE 법령 포털(UAE Legislation portal)에 등록된 시행령은 없습니다. 시행령이 공포되면 제29조에 따라 기업은 6개월의 준수 기간을 갖게 됩니다.
UAE에서 마케팅 문자를 발송하려면 수신 동의가 필요한가요?
네. PDPL은 예외 사항에 해당하지 않는 한 동의 없이 개인정보를 처리하는 것을 금지하며, 마케팅은 예외 사항에 포함되지 않습니다. 또한 TDRA의 정책에 따라 수신자의 동의를 얻고 확인 및 증빙하지 않은 마케팅 문자의 발송은 별도로 금지됩니다.
PDPL이 UAE 외부 기업에도 적용되나요?
네. 제2조는 UAE 내 정보 주체의 개인정보를 처리하는 UAE 외부의 컨트롤러 및 프로세서를 대상으로 하므로, UAE 거주자에게 문자를 발송하는 해외 브랜드도 적용 범위에 포함됩니다.
OTP 메시지가 PDPL의 적용을 받나요?
해당 법률이 적용되지만, 사용자가 요청한 OTP는 제4조의 계약 예외 조항에 해당하며, OTP는 마케팅 문자가 아니므로 TDRA의 수신 동의, AD- 및 발송 시간 규정은 적용되지 않습니다.
UAE PDPL에 따른 과태료는 얼마인가요?
해당 법률에는 과태료가 명시되어 있지 않습니다. 제26조는 위반 사항 및 행정 처벌 목록을 국무회의 결정에 위임하고 있으나, 2026년 9월 현재 공개된 결정문을 찾을 수 없습니다. 결정 번호 없이 인용된 특정 과태료 금액은 주의해서 확인하시기 바랍니다.
DIFC 및 ADGM에서도 PDPL이 적용되나요?
아니요. 자체 데이터 보호 법령을 보유한 프리존 기업은 제외됩니다. DIFC는 DIFC Law No. 5 of 2020를 적용하고 ADGM은 Data Protection Regulations 2021을 적용합니다. 다만, 해당 구역에서 발송되는 마케팅 문자의 경우 TDRA의 문자 규정이 여전히 적용됩니다.
UAE에서 마케팅 문자를 발송할 수 있는 시간대는 언제인가요?
TDRA 정책에 따라 오후 9:00부터 오전 7:00 사이에는 마케팅 문자를 발송할 수 없습니다. Cabinet Resolution No. 56 of 2024는 마케팅 전화를 오전 9:00~오후 6:00로 제한하며, 텔레마케팅의 범위에 마케팅 문자 발송을 포함하므로 많은 발신자가 더 좁은 시간대를 활용합니다. 법률 자문을 통해 확인하시기 바랍니다.
당사는 2026년 9월 26일에 아래의 모든 텍스트를 검토했으며, 공식 사이트에서 당사 서버를 차단한 경우에는 web.archive.org 사본을 사용했습니다. 당사의 편집 기준을 참조하십시오.
출처
- 개인정보 보호에 관한 연방 법령 제(45)호(Federal Decree-Law No. (45) of 2021 Concerning the Protection of Personal Data), 공식 영문 텍스트, UAE Legislation 포털 (2026년 9월 26일 열람, 2026년 9월 7일의 web.archive.org 사본): uaelegislation.gov.ae.
- UAE Legislation 포털 — 법률 페이지 (상태, 공포, 관보 및 시행일) 2026년 8월 27일 캡처본 및 관련 법령 2026년 1월 5일 캡처본: uaelegislation.gov.ae.
- UAE 정부 공식 포털 — 데이터 보호법, 2025년 12월 4일 업데이트 (2026년 9월 26일 접속): u.ae.
- TDRA — 스팸 전자 통신에 관한 규제 정책, 버전 1.1, 2022년 6월 13일 (web.archive.org 사본에서 열람): tdra.gov.ae.
- DIFC — 데이터 보호법, DIFC 법 제5호(Law No. 5 of 2020), 2025년 7월 통합본 (2026년 9월 26일 접속): difc.com.
- ADGM — ADGM, 새로운 데이터 보호 규정 2021 시행, 2021년 2월 14일: adgm.com.
- Meta — WhatsApp Business 플랫폼, 수신 동의 절차 (2026년 9월 26일 접속): developers.facebook.com.
- 경제부 — 2024년 8월 29일, 2024년 내각 결의안 제56호 및 제57호에 관한 브리핑: moet.gov.ae.