# PDPL ОАЭ для SMS и WhatsApp маркетинга в 2026 году: согласие, трансграничная передача и что действует на самом деле

> Закон ОАЭ о защите персональных данных действует с 2 января 2022 года, однако на момент нашей проверки в сентябре 2026 года его исполнительные регламенты все еще не были опубликованы на федеральном портале законодательства. Вот что это означает для SMS и WhatsApp маркетинга: согласие, отказ от рассылки, трансграничная передача, исключения для DIFC и ADGM, трафик OTP и практический чек-лист.

- Канонический URL: https://www.broadnet.me/ru/blog/uae-pdpl-sms-whatsapp-marketing-2026
- Язык: ru
- Последнее обновление: 2026-10-19
- Издатель: BroadNet (https://www.broadnet.me)

- Опубликовано: 2026-09-26
- Автор: BroadNet Regulatory Affairs

Закон ОАЭ о защите персональных данных (PDPL), Федеральный декрет-закон № 45 от 2021 года, применяется с 2 января 2022 года и устанавливает согласие в качестве основного законного основания для обработки персональных данных, при наличии краткого списка исключений, в который не входит маркетинг. Для кампаний SMS и WhatsApp это означает необходимость получения подтвержденного согласия (opt-in), наличие простого способа его отзыва и право каждого получателя прекратить получение прямого маркетинга. Исполнительные регламенты, устанавливающие сроки устранения нарушений, контроль передачи данных и шестимесячный период на соблюдение требований, на момент нашей проверки в сентябре 2026 года все еще не были размещены на портале законодательства ОАЭ, в то время как политика TDRA в отношении спама уже устанавливает строгие правила для любого маркетингового текста с ссылкой на домен ОАЭ.

> В данном руководстве обобщены открытые юридические тексты по состоянию на 26 сентября 2026 года. Это общая информация, а не юридическая консультация — перед принятием решений подтвердите свои обязательства у юристов или в компетентном органе.

## Основные выводы

- PDPL был издан 20 сентября 2021 года, опубликован в Официальном вестнике 26 сентября 2021 года и вступил в силу 2 января 2022 года. Он распространяется на компании внутри ОАЭ, а также на зарубежные компании, которые обрабатывают персональные данные лиц, находящихся в ОАЭ.
- Статья 4 запрещает обработку персональных данных без согласия субъекта данных и перечисляет такие исключения, как исполнение договора или выполнение юридического обязательства. Маркетинг к ним не относится, поэтому практическим основанием для рекламных SMS и WhatsApp является согласие (opt-in).
- Статья 17 дает каждому право возражать против обработки данных в целях прямого маркетинга, включая связанное с этим профилирование, и требовать ее прекращения.
- Исполнительные регламенты должны были быть приняты в течение шести месяцев после принятия закона, но на момент нашей проверки они не были опубликованы на федеральном портале законодательства. У компаний есть шесть месяцев с момента издания регламентов на то, чтобы привести свою деятельность в соответствие с требованиями (Статья 29).
- Компании в свободных зонах, имеющие собственное законодательство о защите данных — DIFC и ADGM — находятся вне сферы действия PDPL и руководствуются своими законами.
- Кроме того, политика TDRA требует наличия записей о согласии на рассылку (opt-in), наличия возможности отказа от рассылки (opt-out) в каждом маркетинговом сообщении, использования префикса имени отправителя AD- и запрета на маркетинговые рассылки в период с 21:00 до 07:00.

## Что такое PDPL в ОАЭ и на кого он распространяется?

Федеральный декрет-закон № 45 от 2021 года «О защите персональных данных» является федеральным законом ОАЭ о защите данных. На портале законодательства ОАЭ он указан как действующий, издан 20 сентября 2021 года, опубликован в Официальном вестнике № 712 (дополнение) 26 сентября 2021 года и вступил в силу 2 января 2022 года. Согласно Статье 2, он применяется к каждому субъекту данных, проживающему или ведущему бизнес в ОАЭ, к каждому контролеру или процессору в ОАЭ (для субъектов данных внутри или за пределами страны), а также к каждому контролеру или процессору за пределами ОАЭ, который обрабатывает персональные данные субъектов внутри страны. Таким образом, бренд в Европе или Азии, который отправляет сообщения клиентам в Дубае, подпадает под действие закона.

Понятие персональных данных трактуется широко — в списке указаны имя, голос, изображение, идентификационный номер, электронный идентификатор и местоположение — поэтому номер мобильного телефона, привязанный к записи клиента, является персональными данными. Статья 2 исключает государственные данные и организации, данные органов безопасности и судебных органов, данные для исключительно личного использования, медицинские и банковские данные, регулируемые собственным законодательством, а также компании в свободных экономических зонах, имеющие собственное законодательство о защите данных.

## Будет ли PDPL полностью введен в действие в 2026 году?

Закон вступил в силу, но детали отсутствуют. Статья 28 требовала принятия исполнительных регламентов в течение шести месяцев, и ряд обязательств зависят от них: сроки уведомления об утечках данных (Статья 9), критерии назначения ответственного за защиту данных (Статья 10) и механизмы контроля трансграничной передачи данных (Статья 23). Статья 26 оставляет вопросы нарушений и административных штрафов на усмотрение отдельного решения Кабинета министров.

На момент нашей проверки 26 сентября 2026 года на портале законодательства ОАЭ не было указано никаких исполнительных регламентов: на странице закона (согласно снимку экрана от 27 августа 2026 года) последним обновлением по-прежнему значится 20 сентября 2021 года, а в списке связанного законодательства нет упоминаний о подзаконных актах. На государственном портале u.ae (обновлено 4 декабря 2025 года) указано, что Управление данных ОАЭ, созданное Федеральным декретом-законом № 44 от 2021 года, «будет выступать в качестве федерального регулятора данных». Некоторые коммерческие сайты утверждают, что регламенты были изданы в 2026 году; считайте эту информацию неподтвержденной, если в ней не указан номер Постановления Кабинета министров, который можно проверить на официальном портале.

Статья 29 предоставляет контролерам и процессорам шесть месяцев с момента издания регламентов на приведение деятельности в соответствие с законом, с возможностью однократного продления Кабинетом министров — таким образом, программам, которые уже соответствуют тексту закона, практически не придется ничего менять.

## Требуется ли согласие для маркетинговых SMS и WhatsApp в ОАЭ?

Да, на практике. Статья 4 начинается с запрета — «Запрещается обрабатывать персональные данные без согласия их владельца» — а затем перечисляет одиннадцать исключений, таких как выполнение договора с субъектом данных или выполнение обязательств согласно другому закону ОАЭ. В отличие от закона DIFC, здесь нет общего исключения о «законных интересах», поэтому у рекламной кампании, направленной на людей, которые никогда не давали согласие на рассылку, нет очевидного правового основания.

Согласие должно быть дано «конкретным, четким и недвусмысленным образом» посредством «явного утвердительного заявления или действия» (Статья 1). Согласно Статье 6, контролер должен иметь возможность доказать это; запрос должен быть «четким, простым, недвусмысленным и легкодоступным», а также включать право на легкий отзыв согласия в любое время. Статья 13 дополняет, что до начала обработки данных люди должны быть проинформированы о целях, о том, кому данные передаются внутри и за пределами ОАЭ, а также о мерах защиты при трансграничной обработке.

Правила в сфере телекоммуникаций придерживаются того же подхода: Регуляторная политика TDRA в отношении нежелательных электронных сообщений (версия 1.1 от 13 июня 2022 г.) распространяется на все текстовые сообщения с ссылкой на ОАЭ, включая сообщения, получатель которых находится в ОАЭ, и запрещает доставку маркетинговых сообщений без подтвержденного согласия. WhatsApp дополняет политику Meta: компании должны получить предварительное согласие (opt-in), «подтверждающее желание получать последующие сообщения или звонки от конкретной компании», указать название этой компании и соблюдать применимое законодательство. См. [WhatsApp Business API](https://www.broadnet.me/products/whatsapp-business-api).

## Какие требования предъявляет TDRA к маркетинговым сообщениям?

Политика является обязательной для лицензированных операторов, которые должны прописывать её в каждом контракте на услуги обмена сообщениями, чтобы каждый бренд, использующий их каналы, автоматически следовал этим правилам:

| Требование | Положения политики TDRA | Пункт |
|---|---|---|
| Предварительное согласие (Opt-in) | Запрет на маркетинговые сообщения без получения, проверки и документального подтверждения согласия получателя | 8.2, 9.2.2 |
| Запись о согласии | Дата, время, текст или содержание, посредством которых клиент дал согласие, идентификатор и номер телефона; хранятся в течение всего периода рассылки маркетинговых сообщений | 5.6, 5.7 |
| Запросы на получение согласия | Бренд (абонент сервиса обмена сообщениями) не может запрашивать согласие через SMS или голосовой вызов | 9.2.5 |
| Отказ от рассылки | Каждое маркетинговое сообщение должно содержать бесплатный способ отказа от рассылки; сообщения не могут использоваться для того, чтобы убедить пользователя не отписываться | 5.8–5.10 |
| Имя отправителя | Маркетинговые отправители используют код AD-, за которым следует имя отправителя | 8.8 |
| Часы отправки | Никаких маркетинговых рассылок с 21:00 до 07:00 | 8.3, 9.2.4 |
| Повторно используемые номера | Согласия, привязанные к номеру, при смене владельца аннулируются | 8.11 |

Существует еще одно правило, касающееся телемаркетинга. Постановление Кабинета министров № 56 от 2024 года ограничивает маркетинговые звонки периодом с 9:00 до 18:00 и запрещает контакты с номерами из Реестра запрещенных вызовов (Do Not Call Register), при этом определение телемаркетинга также охватывает маркетинговые текстовые сообщения. Мы объясняем причины пересечения этих норм в статье [Постановление Кабинета министров ОАЭ № 56: разбор](https://www.broadnet.me/blog/uae-tdra-cabinet-decision-56-explained); краткий обзор по стране представлен в разделе [регулирование SMS в ОАЭ](https://www.broadnet.me/regulations/uae), а подробное описание процесса регистрации имени отправителя — в руководстве [как зарегистрировать имя отправителя в ОАЭ](https://www.broadnet.me/answers/sender-id-registration-uae-tdra).

## Различает ли PDPL OTP и транзакционные сообщения?

Закон не классифицирует типы сообщений напрямую, но разделение происходит по исключениям. Одноразовый пароль, который пользователь запросил только что, уведомление о доставке или подтверждение оплаты, необходимые для оказания услуги, подпадают под исключение о выполнении договора согласно Статье 4(9). Для рекламных сообщений такого исключения нет, и Статья 17 позволяет получателю в любой момент оформить отказ от рассылки. Политика TDRA также распространяется только на маркетинговые тексты — те, что предлагают или рекламируют товары, услуги или бизнес-возможности, либо запрашивают пожертвования.

Разделяйте потоки: используйте разные имена отправителя (AD- предназначен только для маркетинга), разные шаблоны, и не включайте предложения в OTP или уведомления о заказе — это превратит сообщение в маркетинговое. Для банков предусмотрен дополнительный режим аутентификации, описанный в [Запрещен ли SMS OTP?](https://www.broadnet.me/blog/sms-otp-bank-regulation-uae-india-philippines-2026); также см. [OTP](https://www.broadnet.me/products/otp).

| Сообщение | Типичное основание согласно PDPL | Применяются ли правила маркетинга TDRA? | Отказ от рассылки |
|---|---|---|---|
| OTP или код входа, запрошенный пользователем | Договор / услуга, запрошенная пользователем (Статья 4(9)) | Нет — не является маркетинговым текстом | Не относится к самому коду |
| Обновление информации о заказе, доставке или записи | Договор (Art. 4(9)) | Нет, если он не содержит оферту | Предоставить возможность настройки предпочтений |
| Юридически обязательное уведомление | Юридическое обязательство согласно другому закону (Art. 4(10)) | Нет | Не применимо |
| Реклама, предложение или информационная рассылка | Согласие (ст. 4, ст. 6) | Да — согласие, AD- имя отправителя, отказ от рассылки, 07:00–21:00 | Обязательно; выполнять немедленно (ст. 17) |

## Могут ли данные клиентов покидать ОАЭ?

Да, в определенных пределах. Статья 22 допускает передачу данных в страны, имеющие законодательство о защите данных с судебным или регулирующим органом, способным обеспечить его соблюдение, или с которыми у ОАЭ заключено двустороннее или многостороннее соглашение о защите данных (в случаях, одобренных Управлением по защите данных ОАЭ). Если такой защиты не существует, Статья 23 по-прежнему допускает передачу на основании контракта, обязывающего получателя соблюдать стандарты закона, при наличии явного согласия субъекта данных (при условии, что передача не противоречит государственным интересам или интересам безопасности ОАЭ), либо если передача необходима для исполнения контракта с субъектом данных и в других случаях. Детальный контроль, как и прежде, возложен на исполнительные регламенты.

PDPL не устанавливает общего правила локализации, однако Статья 7 требует, чтобы ваш реестр обработки включал «любые данные, связанные с трансграничным перемещением и обработкой» персональных данных. Уточняйте у каждого поставщика, где хранятся списки контактов, содержание сообщений и отчеты о доставке; варианты BroadNet представлены на нашей странице [локализации данных](https://www.broadnet.me/security/data-residency).

## Как насчет компаний в DIFC и ADGM?

Статья 2 PDPL исключает «компании и учреждения, расположенные в свободных зонах», которые имеют собственное законодательство о защите данных. Две финансовые свободные зоны имеют такое законодательство: Международный финансовый центр Дубая (DIFC) применяет свой Закон о защите данных, DIFC Закон № 5 от 2020 года (обновленный в июле 2025 года после поправок 2022 и 2025 годов), к контролерам и процессорам, зарегистрированным в DIFC, и к обработке данных в DIFC; Глобальный рынок Абу-Даби (ADGM) принял Регламент о защите данных 2021 года 14 февраля 2021 года под надзором собственного Управления по защите данных.

Практические различия для маркетологов: закон DIFC указывает законные интересы в качестве правового основания наряду с согласием (Статья 10) и предоставляет физическим лицам право в любое время возражать против обработки данных в целях прямого маркетинга. Организация в этих зонах следует собственному закону зоны о защите данных, но её маркетинговые тексты всё равно проходят через сети ОАЭ, поэтому правила согласия, отказа от рассылки, AD- и временных интервалов, установленные TDRA, всё равно применяются к самой SMS.

## Контрольный список PDPL ОАЭ для маркетинга в SMS и WhatsApp

1. Определите, какие системы содержат номера ОАЭ, содержание сообщений и отчеты о доставке, и зафиксируйте основание для каждого потока данных — контракт для OTP, согласие для маркетинга (Статья 7).
2. Собирайте согласие на маркетинг путем четкого активного действия на веб-форме, в приложении или в магазине; никогда не используйте нежелательные SMS или звонки, и указывайте название вашей компании.
3. Храните подтверждение согласия: дату, время, формулировку, личность и номер (TDRA 5.6), и сохраняйте его на протяжении всего периода рассылок.
4. Предоставляйте бесплатную и рабочую возможность отказа от рассылки в каждом маркетинговом SMS и немедленно учитывайте возражения против прямого маркетинга (PDPL Статья 17).
5. Используйте AD- имя отправителя для промоакций и отдельное имя для OTP и уведомлений; не включайте предложения в транзакционные шаблоны.
6. Планируйте рекламные рассылки в период с 07:00 до 21:00 по времени ОАЭ и проконсультируйтесь с юристом относительно более узкого временного окна согласно Resolution 56.
7. Предупреждайте пользователей о том, куда передаются их данные, включая передачу за границу, и включайте положения о передаче данных в каждый контракт с поставщиком (Статьи 13, 22 и 23).
8. Подготовьте план реагирования на утечки данных уже сейчас; исполнительный регламент установит сроки уведомления, и у вас будет шесть месяцев на выполнение требований после его публикации.

> BroadNet, работающая с 2003 года, имеет штаб-квартиру в Dubai Internet City, обладает ISO 27001, ISO 27018 и SOC 2 Type II, а также обеспечивает регистрацию имени отправителя в ОАЭ через операторов в рамках процесса подключения. См. [A2P SMS](https://www.broadnet.me/products/a2p-sms) и [покрытие в ОАЭ](https://www.broadnet.me/coverage/uae).

## Часто задаваемые вопросы

### Действует ли PDPL в ОАЭ?

Да. Федеральный декрет-закон № 45 от 2021 года вступил в силу 2 января 2022 года; ожидается только принятие исполнительных регламентов к нему.

### Были ли изданы исполнительные регламенты PDPL?

Насколько известно из официальных источников — нет. Статья 28 требовала их принятия в течение шести месяцев после вступления закона в силу, однако по состоянию на нашу проверку в сентябре 2026 года на портале законодательства ОАЭ (UAE Legislation) ни один исполнительный регламент не был указан. После их издания Статья 29 предоставляет компаниям шесть месяцев на приведение деятельности в соответствие с требованиями.

### Требуется ли согласие для отправки маркетинговых SMS в ОАЭ?

Да. PDPL запрещает обработку персональных данных без согласия, за исключением особых случаев, к которым маркетинговые рассылки не относятся. Политика TDRA отдельно запрещает доставку маркетинговых сообщений, если согласие получателя не было получено, подтверждено и задокументировано.

### Распространяется ли PDPL на компании за пределами ОАЭ?

Да. Статья 2 охватывает контролеров и обработчиков данных за пределами ОАЭ, которые обрабатывают персональные данные субъектов данных внутри ОАЭ. Таким образом, иностранный бренд, отправляющий сообщения резидентам ОАЭ, подпадает под действие закона.

### Распространяется ли PDPL на сообщения OTP?

Закон применяется, однако OTP, запрошенный пользователем, подпадает под исключение о выполнении договора согласно Статье 4, а OTP не являются маркетинговыми сообщениями. Следовательно, правила TDRA относительно согласия (opt-in), рекламных идентификаторов (AD-) и часов отправки на них не распространяются.

### Каковы штрафы согласно PDPL ОАЭ?

Закон не устанавливает их самостоятельно. Статья 26 передает перечень нарушений и административных штрафов на рассмотрение Кабинета министров, решение которого на момент сентября 2026 года опубликовано не было. Относитесь с осторожностью к любым указанным суммам штрафов, если к ним не приложен номер соответствующего решения.

### Применяется ли PDPL в DIFC и ADGM?

Нет. Компании в свободных экономических зонах, имеющие собственное законодательство о защите данных, исключены. В DIFC применяется Закон DIFC № 5 от 2020 года, а в ADGM — Регламент по защите данных 2021 года; при этом правила SMS TDRA по-прежнему распространяются на маркетинговые сообщения, отправляемые из этих зон.

### В какие часы в ОАЭ можно отправлять маркетинговые SMS?

Политика TDRA запрещает рассылку маркетинговых сообщений в период с 21:00 до 07:00. Постановление Кабинета министров № 56 от 2024 года ограничивает маркетинговые звонки периодом с 09:00 до 18:00 и относит маркетинговые сообщения к телемаркетингу, поэтому многие отправители используют более узкое временное окно; уточните детали у юристов.

Все приведенные ниже тексты были прочитаны 26 сентября 2026 года; в случаях, когда официальный сайт блокировал наши серверы, использовались копии с web.archive.org; ознакомьтесь с нашими [редакционными стандартами](https://www.broadnet.me/about/editorial-standards).

## Источники

- Федеральный декрет-закон № (45) от 2021 года «О защите персональных данных», официальный текст на английском языке, портал законодательства ОАЭ (просмотрено 26 сентября 2026 года через архивную копию от 7 сентября 2026 года на web.archive.org): [uaelegislation.gov.ae](https://uaelegislation.gov.ae/en/legislations/1972).
- Портал законодательства ОАЭ — страница закона (статус, издание, вестник и даты вступления в силу) по состоянию на 27 августа 2026 года, а также связанные законодательные акты по состоянию на 5 января 2026 года: [uaelegislation.gov.ae](https://uaelegislation.gov.ae/en/legislations/1972/related-legislations).
- Официальный портал правительства ОАЭ — Законы о защите данных, обновлено 4 декабря 2025 года (дата обращения 26 сентября 2026 года): [u.ae](https://u.ae/en/about-the-uae/digital-uae/data/data-protection-laws).
- TDRA — Регуляторная политика в отношении нежелательных электронных сообщений, версия 1.1, 13 июня 2022 г. (архивная копия web.archive.org): [tdra.gov.ae](https://tdra.gov.ae/-/media/About/regulations-and-ruling/EN/cellular-phone-spam-regulatory-policy-English.ashx).
- DIFC — Закон о защите данных, DIFC Закон № 5 от 2020 г., сводная версия за июль 2025 г. (дата обращения 26 сентября 2026 г.): [difc.com](https://www.difc.com/business/laws-and-regulations/legal-database/difc-laws/data-protection-law-difc-law-no-5-2020).
- ADGM — ADGM вводит в действие новые Правила защиты данных 2021 года, 14 февраля 2021 г.: [adgm.com](https://www.adgm.com/media/announcements/adgm-enacts-its-new-data-protection-regulations-2021).
- Meta — Платформа WhatsApp Business, получение согласия (дата обращения 26 сентября 2026 г.): [developers.facebook.com](https://developers.facebook.com/docs/whatsapp/overview/getting-opt-in).
- Министерство экономики — брифинг по Постановлениям Кабинета министров № 56 и № 57 от 2024 года, 29 августа 2024 г.: [moet.gov.ae](https://www.moet.gov.ae/en/-/ministry-of-economy-and-telecommunications-and-digital-government-regulatory-authority-review-regulatory-legislations-in-organizing-operational-mechanisms-for-telemarketing-companies-in-the-uae-and-enhancing-consumer-protection-in-line-with-best-practices).