# PDPL nos Emirados Árabes Unidos para marketing de SMS e WhatsApp em 2026: consentimento, transferências transfronteiriças e o que está realmente em vigor

> A Lei de Proteção de Dados Pessoais dos Emirados Árabes Unidos está em vigor desde 2 de janeiro de 2022, mas os seus regulamentos executivos ainda não constavam no portal de legislação federal quando verificamos em setembro de 2026. Veja o que isso significa para o marketing de SMS e WhatsApp: consentimento, descadastramento, transferências transfronteiriças, as exceções de DIFC e ADGM, tráfego de OTP e um checklist prático.

- URL canônico: https://www.broadnet.me/pt/blog/uae-pdpl-sms-whatsapp-marketing-2026
- Idioma: pt
- Última atualização: 2026-10-19
- Editor: BroadNet (https://www.broadnet.me)

- Publicado em: 2026-09-26
- Autor: BroadNet Regulatory Affairs

A Lei de Proteção de Dados Pessoais dos Emirados Árabes Unidos (PDPL), Decreto-Lei Federal nº 45 de 2021, aplica-se desde 2 de janeiro de 2022 e estabelece o consentimento como a base legal padrão para o processamento de dados pessoais, com uma lista curta de exceções que não inclui marketing. Para campanhas de SMS e WhatsApp, isso significa um consentimento de opt-in que você possa comprovar, uma forma fácil de retirá-lo e o direito de cada destinatário de interromper o marketing direto. Os regulamentos executivos que definem os prazos para violações, controlos de transferência e o prazo de seis meses para conformidade ainda não estavam listados no portal de Legislação dos Emirados Árabes Unidos quando verificamos em setembro de 2026, enquanto a política de spam da TDRA já estabelece regras rígidas para cada texto de marketing com um link dos Emirados Árabes Unidos.

> Este guia resume textos legais públicos até 26 de setembro de 2026. Trata-se de informações gerais, não de aconselhamento jurídico — confirme as suas obrigações com um consultor jurídico ou com a autoridade competente antes de basear-se nestas informações.

## Principais conclusões

- A PDPL foi emitida em 20 de setembro de 2021, publicada no Diário Oficial em 26 de setembro de 2021 e entrou em vigor em 2 de janeiro de 2022. Ela abrange empresas dentro dos Emirados Árabes Unidos e empresas no exterior que processam dados pessoais de pessoas nos Emirados Árabes Unidos.
- O Artigo 4 proíbe o processamento de dados pessoais sem o consentimento do titular dos dados e lista exceções, como a execução de um contrato ou o cumprimento de uma obrigação legal. O marketing não é uma delas, portanto, o consentimento de opt-in é a base prática para SMS e WhatsApp promocionais.
- O Artigo 17 concede a todos o direito de se opor e interromper o processamento para marketing direto, incluindo a respetiva criação de perfis.
- Os regulamentos executivos deveriam ter sido publicados em até seis meses após a lei, mas, conforme a nossa verificação, não constavam no portal de legislação federal. As empresas têm seis meses a partir da emissão dos regulamentos para regularizar a sua situação (Artigo 29).
- Empresas em zonas francas com a sua própria legislação de proteção de dados — a DIFC e a ADGM — estão fora da PDPL e seguem as suas próprias leis.
- Separadamente, a política da TDRA exige registos de consentimento de opt-in, um descadastramento em cada mensagem de marketing, um prefixo de identificador de remetente AD- e a proibição de mensagens de marketing entre 21:00 e 07:00.

## O que é a PDPL dos Emirados Árabes Unidos e a quem ela se aplica?

O Decreto-Lei Federal nº 45 de 2021 sobre a Proteção de Dados Pessoais é a lei federal de proteção de dados dos Emirados Árabes Unidos. O portal UAE Legislation a lista como ativa, emitida em 20 de setembro de 2021, publicada no Diário Oficial nº 712 (suplemento) em 26 de setembro de 2021 e em vigor desde 2 de janeiro de 2022. De acordo com o Artigo 2, ela se aplica a todo titular de dados que resida ou faça negócios nos Emirados Árabes Unidos, a todo controlador ou operador nos Emirados Árabes Unidos (para titulares de dados dentro ou fora do país) e a todo controlador ou operador fora dos Emirados Árabes Unidos que processe dados pessoais de titulares dentro do país. Portanto, uma marca na Europa ou Ásia que envia mensagens para clientes no Dubai está sob o âmbito da lei.

Os dados pessoais são definidos de forma ampla — nome, voz, imagem, número de identificação, identificador eletrónico e localização estão todos listados — portanto, um número de telemóvel vinculado ao registo de um cliente é um dado pessoal. O Artigo 2 exclui dados e entidades governamentais, dados de segurança e judiciais, uso puramente pessoal, dados de saúde e bancários regidos pelas suas próprias legislações e empresas de zonas francas com a sua própria legislação de proteção de dados.

## A PDPL estará totalmente em vigor em 2026?

A lei está em vigor; os detalhes ainda faltam. O Artigo 28 exigia regulamentações executivas em seis meses, e diversas obrigações dependem delas: o prazo para notificação de violação (Artigo 9), os limites para um encarregado de proteção de dados (Artigo 10) e os controlos para transferências transfronteiriças (Artigo 23). O Artigo 26 deixa as violações e penalidades administrativas para uma decisão separada do Gabinete.

Quando verificamos em 26 de setembro de 2026, nenhuma regulamentação executiva constava no portal UAE Legislation: a página da lei, conforme capturada em 27 de agosto de 2026, ainda mostrava 20 de setembro de 2021 como a sua última atualização, e a sua lista de legislação relacionada não mencionava nenhuma regulamentação de implementação. O portal governamental u.ae (atualizado em 4 de dezembro de 2025) afirma que o UAE Data Office, estabelecido pelo Decreto-Lei Federal nº 44 de 2021, "atuará como o regulador federal de dados". Alguns sites comerciais dizem que as regulamentações foram emitidas em 2026; considere isso como não confirmado, a menos que cite um número de Resolução do Gabinete que possa ser consultado no portal oficial.

O Artigo 29 concede aos controladores e operadores seis meses a partir da sua emissão para conformidade, podendo ser prorrogado uma vez pelo Gabinete — portanto, programas que já atendem ao texto da lei terão pouco a mudar.

## É necessário consentimento para marketing de SMS e WhatsApp nos Emirados Árabes Unidos?

Sim, na prática. O Artigo 4 inicia com uma proibição — "É proibido processar Dados Pessoais sem o consentimento do seu proprietário" — e então lista onze exceções, como a execução de um contrato com o titular dos dados ou o cumprimento de uma obrigação sob outra lei dos Emirados Árabes Unidos. Não existe uma exceção geral de "interesses legítimos" como a da lei DIFC, portanto, uma campanha promocional para pessoas que nunca deram opt-in não possui uma base legal óbvia.

O consentimento deve ser fornecido de maneira "específica, clara e inequívoca" por meio de "uma declaração ou ação positiva clara" (Artigo 1). Sob o Artigo 6, o controlador deve ser capaz de comprová-lo; a solicitação deve ser "clara, simples, inequívoca e de fácil acesso", e deve incluir o direito de revogação fácil, a qualquer momento. O Artigo 13 acrescenta que, antes do início do processamento, as pessoas devem ser informadas sobre as finalidades, com quem os dados são partilhados dentro e fora dos Emirados Árabes Unidos (UAE) e as proteções para o processamento transfronteiriço.

As regras de telecomunicações seguem o mesmo caminho: a Política Regulatória sobre Comunicações Eletrónicas Não Solicitadas da TDRA (versão 1.1, 13 de junho de 2022) abrange todas as mensagens de texto com um link dos Emirados Árabes Unidos, incluindo aquelas cujo destinatário esteja nos Emirados Árabes Unidos, e proíbe a entrega de mensagens de marketing sem consentimento comprovado. O WhatsApp acrescenta a política da Meta: as empresas devem obter permissão de opt-in "confirmando que desejam receber mensagens ou chamadas subsequentes de uma empresa específica", nomear essa empresa e cumprir a legislação aplicável. Veja [WhatsApp Business API](https://www.broadnet.me/products/whatsapp-business-api).

## O que a TDRA exige para mensagens de marketing?

A política vincula as operadoras licenciadas, que devem incluí-la em todos os contratos de serviços de mensagens, para que cada marca que envia por meio delas também a herde:

| Requisito | O que diz a política da TDRA | Cláusula |
|---|---|---|
| Consentimento de opt-in | Nenhuma mensagem de marketing pode ser enviada a menos que o consentimento do destinatário tenha sido obtido, verificado e comprovado | 8.2, 9.2.2 |
| Registo de consentimento | Data, hora, as palavras ou conteúdo pelo qual o cliente deu o consentimento, identidade e número de telefone; mantidos enquanto mensagens de marketing forem enviadas | 5.6, 5.7 |
| Solicitações de consentimento | Uma marca (assinante do serviço de mensagens) não pode solicitar consentimento via SMS ou chamada de voz | 9.2.5 |
| Descadastramento | Toda mensagem de marketing deve oferecer uma forma gratuita de descadastramento; as mensagens não podem ser usadas para desencorajar o descadastramento | 5.8–5.10 |
| Identificador de remetente | Remetentes de marketing utilizam o código AD- seguido pelo nome do remetente | 8.8 |
| Horário de envio | Sem textos de marketing entre as 21:00 e as 07:00 | 8.3, 9.2.4 |
| Números reciclados | Os consentimentos vinculados a um número que muda de titularidade são cancelados | 8.11 |

Uma regra adicional se aplica ao telemarketing. A Resolução de Gabinete nº 56 de 2024 limita as chamadas de marketing ao período das 9:00 às 18:00 e proíbe o contacto com números no Registo de Não Perturbe, sendo que a sua definição de telemarketing também abrange mensagens de texto de marketing. Explicamos a sobreposição em [Resolução 56 do Gabinete dos EAU explicada](https://www.broadnet.me/blog/uae-tdra-cabinet-decision-56-explained); o resumo do país está em [regulamentação de SMS nos EAU](https://www.broadnet.me/regulations/uae), e o processo completo de identificador de remetente está em [como registar um identificador de remetente nos EAU](https://www.broadnet.me/answers/sender-id-registration-uae-tdra).

## O PDPL trata OTPs e mensagens transacionais de forma diferente?

A lei não especifica tipos de mensagens, mas as suas exceções fazem essa classificação. Uma palavra-passe de uso único que o utilizador acabou de solicitar, uma atualização de entrega ou um comprovativo são processamentos necessários para a prestação do serviço, o que se enquadra na exceção contratual do Artigo 4(9). Promoções não possuem tal exceção, e o Artigo 17 permite que o destinatário as interrompa a qualquer momento. A política da TDRA também visa apenas textos de marketing — aqueles que oferecem ou anunciam bens, serviços ou oportunidades de negócios, ou solicitam doações.

Mantenha os fluxos separados: identificadores de remetente distintos (AD- é apenas para marketing), modelos distintos e não inclua ofertas dentro de um OTP ou atualização de pedido — isso o transformaria em marketing. Bancos possuem um regime de autenticação extra, coberto em [O SMS OTP é proibido?](https://www.broadnet.me/blog/sms-otp-bank-regulation-uae-india-philippines-2026); veja também [OTP](https://www.broadnet.me/products/otp).

| Mensagem | Base típica sob a PDPL | As regras de marketing da TDRA se aplicam? | Descadastramento |
|---|---|---|---|
| OTP ou código de login solicitado pelo utilizador | Contrato / serviço solicitado pelo utilizador (Art. 4(9)) | Não — não é um texto de marketing | Não aplicável ao código em si |
| Atualização de pedido, entrega ou agendamento | Contrato (Art. 4(9)) | Não, desde que não contenha uma oferta | Oferecer uma configuração de preferência |
| Aviso legal obrigatório | Obrigação legal sob outra lei (Art. 4(10)) | Não | Não aplicável |
| Promoção, oferta ou newsletter | Consentimento (Art. 4, Art. 6) | Sim — opt-in, identificador de remetente AD-, descadastramento, 07:00–21:00 | Obrigatório; atender imediatamente (Art. 17) |

## Os dados do cliente podem sair dos Emirados Árabes Unidos?

Sim, dentro de certos limites. O Artigo 22 permite transferências, em casos aprovados pelo Data Office dos Emirados Árabes Unidos, para um país que possua legislação de proteção de dados com uma autoridade judicial ou regulatória capaz de aplicá-la, ou com o qual os Emirados Árabes Unidos possuam um acordo bilateral ou multilateral de proteção de dados. Onde não houver tal proteção, o Artigo 23 ainda permite a transferência sob um contrato que vincule o destinatário aos padrões da lei, com o consentimento explícito do titular dos dados (desde que a transferência não conflite com o interesse público ou de segurança dos Emirados Árabes Unidos), ou onde a transferência seja necessária para a execução de um contrato com o titular dos dados, entre outros casos. Os controlos detalhados ficam, novamente, a cargo dos regulamentos executivos.

A PDPL não estabelece uma regra de localização generalizada, mas o Artigo 7 exige que o seu registo de processamento inclua "quaisquer dados relacionados ao movimento transfronteiriço e ao processamento" de dados pessoais. Pergunte a cada fornecedor onde as listas de contactos, o conteúdo das mensagens e os relatórios de entrega são armazenados; as opções da BroadNet estão na nossa página de [residência de dados](https://www.broadnet.me/security/data-residency).

## E quanto às empresas em DIFC e ADGM?

O Artigo 2 da PDPL exclui "empresas e estabelecimentos localizados em zonas francas" que possuam a sua própria legislação de proteção de dados. Duas zonas francas financeiras possuem: o Dubai International Financial Centre aplica a sua Lei de Proteção de Dados, a Lei DIFC nº 5 de 2020 (consolidada em julho de 2025 após emendas em 2022 e 2025), para controladores e operadores incorporados na DIFC e para o processamento na DIFC; o Abu Dhabi Global Market promulgou os seus Regulamentos de Proteção de Dados de 2021 em 14 de fevereiro de 2021, supervisionados pelo seu próprio Office of Data Protection.

As diferenças práticas para profissionais de marketing: a lei da DIFC lista os interesses legítimos como uma base legal ao lado do consentimento (Artigo 10) e concede aos indivíduos o direito de se opor a qualquer momento ao processamento para marketing direto. Uma entidade nessas zonas segue a lei da sua própria zona para proteção de dados — mas os seus textos de marketing ainda trafegam pelas redes dos Emirados Árabes Unidos, portanto, as regras de consentimento, descadastramento, AD- e janelas de horário da TDRA ainda se aplicam ao SMS em si.

## Checklist de PDPL dos Emirados Árabes Unidos para marketing em SMS e WhatsApp

1. Mapeie quais sistemas detêm números dos Emirados Árabes Unidos, conteúdo de mensagens e relatórios de entrega, e registe uma base para cada fluxo — contrato para OTPs, consentimento para marketing (Artigo 7).
2. Recolha o consentimento de marketing por meio de uma ação positiva clara num formulário web, ecrã de aplicação ou na loja, nunca por meio de um SMS ou chamada não solicitada, e identifique a sua empresa.
3. Armazene a prova de consentimento: data, hora, redação exibida, identidade e número (TDRA 5.6), e mantenha-a pelo tempo que durarem os envios.
4. Inclua um descadastramento gratuito e funcional em cada SMS de marketing e respeite as objeções ao marketing direto imediatamente (PDPL Artigo 17).
5. Use um identificador de remetente AD- para promoções e um remetente separado para OTPs e alertas; não inclua ofertas em templates transacionais.
6. Agende os envios promocionais entre 07:00 e 21:00, no horário dos Emirados Árabes Unidos, e verifique a janela mais restrita da Resolução 56 com assessoria jurídica.
7. Informe às pessoas, antes do processamento, para onde os seus dados são enviados, inclusive para o exterior, e inclua cláusulas de transferência em todos os contratos de fornecedores (Artigos 13, 22 e 23).
8. Prepare um plano de resposta a incidentes agora; os regulamentos executivos definirão o prazo de notificação, e você terá seis meses para cumprir após a sua emissão.

> A BroadNet, a operar desde 2003, está sediada no Dubai Internet City, possui ISO 27001, ISO 27018 e SOC 2 Tipo II, e realiza o registo de identificador de remetente nos Emirados Árabes Unidos junto às operadoras como parte do onboarding. Veja [A2P SMS](https://www.broadnet.me/products/a2p-sms) e [cobertura nos Emirados Árabes Unidos](https://www.broadnet.me/coverage/uae).

## Perguntas frequentes

### A PDPL dos Emirados Árabes Unidos está em vigor?

Sim. O Decreto-Lei Federal nº 45 de 2021 está em vigor desde 2 de janeiro de 2022; apenas os seus regulamentos executivos ainda aguardam publicação.

### Os regulamentos executivos do PDPL já foram emitidos?

Até onde os registos oficiais mostram, não. O Artigo 28 exigia a sua publicação em até seis meses após a lei, mas nenhum regulamento de implementação constava no portal UAE Legislation até a nossa verificação em setembro de 2026. Assim que forem emitidos, o Artigo 29 concede às empresas seis meses para conformidade.

### Preciso de consentimento para enviar SMS de marketing nos Emirados Árabes Unidos?

Sim. O PDPL proíbe o processamento de dados pessoais sem consentimento, a menos que se aplique uma exceção, e o marketing não é uma delas. A política do TDRA veda separadamente a entrega de mensagens de marketing, a menos que o consentimento do destinatário tenha sido obtido, verificado e comprovado.

### O PDPL se aplica a empresas fora dos Emirados Árabes Unidos?

Sim. O Artigo 2 abrange controladores e operadores fora dos Emirados Árabes Unidos que processem dados pessoais de titulares dentro do país; portanto, uma marca estrangeira que envie mensagens para residentes nos Emirados Árabes Unidos está no âmbito.

### As mensagens OTP são cobertas pelo PDPL?

A lei se aplica, mas um OTP solicitado pelo utilizador se enquadra na exceção de contrato do Artigo 4, e OTPs não são mensagens de marketing; portanto, as regras de opt-in, AD- e de horário de envio do TDRA não se aplicam a eles.

### Quais são as multas previstas no PDPL dos Emirados Árabes Unidos?

A lei não os estabelece. O Artigo 26 deixa a lista de violações e penalidades administrativas para uma decisão do Gabinete, a qual não conseguimos encontrar publicada até setembro de 2026. Trate com cautela qualquer valor de multa específico que você encontrar citado sem um número de decisão.

### O PDPL se aplica em DIFC e ADGM?

Não. Empresas de zonas francas com a sua própria legislação de proteção de dados estão excluídas. O DIFC aplica a Lei nº 5 de 2020 de DIFC e o seu Regulamento de Proteção de Dados de 2021 de ADGM; as regras de SMS do TDRA ainda se aplicam a textos de marketing enviados dessas zonas.

### Em quais horários posso enviar SMS de marketing nos Emirados Árabes Unidos?

A política da TDRA proíbe mensagens de marketing entre as 21:00 e as 07:00. A Resolução de Gabinete nº 56 de 2024 limita as chamadas de marketing para o período das 09:00 às 18:00 e define o telemarketing como incluindo mensagens de marketing, por isso muitos remetentes utilizam a janela mais restrita; confirme com o seu departamento jurídico.

Lemos todos os textos abaixo em 26 de setembro de 2026, utilizando cópias do web.archive.org nos casos em que um site oficial bloqueou os nossos servidores; consulte nossos [padrões editoriais](https://www.broadnet.me/about/editorial-standards).

## Fontes

- Decreto-Lei Federal nº (45) de 2021 sobre a Proteção de Dados Pessoais, texto oficial em inglês, portal UAE Legislation (lido em 26 de setembro de 2026 a partir da cópia do web.archive.org de 7 de setembro de 2026): [uaelegislation.gov.ae](https://uaelegislation.gov.ae/en/legislations/1972).
- Portal UAE Legislation — página da lei (status, emissão, diário oficial e datas de vigência) conforme capturado em 27 de agosto de 2026 e legislações relacionadas conforme capturado em 5 de janeiro de 2026: [uaelegislation.gov.ae](https://uaelegislation.gov.ae/en/legislations/1972/related-legislations).
- O Portal Oficial do Governo dos Emirados Árabes Unidos — Leis de proteção de dados, atualizado em 4 de dezembro de 2025 (acedido em 26 de setembro de 2026): [u.ae](https://u.ae/en/about-the-uae/digital-uae/data/data-protection-laws).
- TDRA — Política Regulatória sobre Comunicações Eletrónicas Não Solicitadas, versão 1.1, 13 de junho de 2022 (consultada na cópia do web.archive.org): [tdra.gov.ae](https://tdra.gov.ae/-/media/About/regulations-and-ruling/EN/cellular-phone-spam-regulatory-policy-English.ashx).
- DIFC — Lei de Proteção de Dados, DIFC Lei nº 5 de 2020, versão consolidada de julho de 2025 (acedido em 26 de setembro de 2026): [difc.com](https://www.difc.com/business/laws-and-regulations/legal-database/difc-laws/data-protection-law-difc-law-no-5-2020).
- ADGM — ADGM promulga os seus novos Regulamentos de Proteção de Dados de 2021, 14 de fevereiro de 2021: [adgm.com](https://www.adgm.com/media/announcements/adgm-enacts-its-new-data-protection-regulations-2021).
- Meta — Plataforma WhatsApp Business, obtendo opt-in (acedido em 26 de setembro de 2026): [developers.facebook.com](https://developers.facebook.com/docs/whatsapp/overview/getting-opt-in).
- Ministério da Economia — informativo sobre as Resoluções do Gabinete nº 56 e nº 57 de 2024, 29 de agosto de 2024: [moet.gov.ae](https://www.moet.gov.ae/en/-/ministry-of-economy-and-telecommunications-and-digital-government-regulatory-authority-review-regulatory-legislations-in-organizing-operational-mechanisms-for-telemarketing-companies-in-the-uae-and-enhancing-consumer-protection-in-line-with-best-practices).