# 2026年阿联酋PDPL短信与WhatsApp营销指南：同意、跨境传输及现行有效法规

> 阿联酋《个人数据保护法》自2022年1月2日起生效，但在我们2026年9月进行核查时，其执行条例尚未发布在联邦立法门户网站上。以下是该法律对短信和WhatsApp营销的影响：包括同意、退订、跨境传输、DIFC与ADGM的豁免、OTP流量以及一份实用的检查清单。

- 规范网址: https://www.broadnet.me/zh/blog/uae-pdpl-sms-whatsapp-marketing-2026
- 语言: zh
- 最后更新: 2026-10-19
- 发布方: BroadNet (https://www.broadnet.me)

- 发布日期: 2026-09-26
- 作者: BroadNet Regulatory Affairs

阿联酋《个人数据保护法》（PDPL，即2021年第45号联邦法令）自2022年1月2日起施行，并将“同意”作为处理个人数据的默认法律依据，且其列出的少数例外情况中并不包括营销。对于短信和WhatsApp活动而言，这意味着您需要能够证明已获得选择性同意（opt-in consent）、提供便捷的撤回方式，并保障每位接收者停止接收直接营销的权利。当我们2026年9月进行核查时，设定违规期限、传输控制和六个月合规时限的执行条例仍未列在阿联酋立法门户网站上，而TDRA的垃圾邮件政策已经对所有带有阿联酋链接的营销短信制定了严格规则。

> 本指南总结了截至2026年9月26日的公开法律文本。本文仅供参考，不构成法律建议——在依赖本文内容之前，请向法律顾问或主管机关确认您的义务。

## 核心要点

- PDPL于2021年9月20日颁布，于2021年9月26日在官方公报上公布，并于2022年1月2日起生效。其覆盖范围包括阿联酋境内的企业，以及处理阿联酋境内人员个人数据的境外企业。
- 第4条禁止在未经数据主体同意的情况下处理个人数据，随后列出了履行合同或履行法律义务等例外情况。营销并不属于例外情况，因此，选择性同意是开展促销短信和WhatsApp的实际法律依据。
- 第17条赋予每个人反对并停止用于直接营销（包括相关的画像分析）的数据处理的权利。
- 执行条例应在法律颁布后的六个月内出台，但根据我们的核查，联邦立法门户网站尚未列出相关条例。公司自条例颁布之日起有六个月的时间来使其状态合规（第29条）。
- 拥有自身数据保护法规的自贸区公司——即DIFC和ADGM——不受PDPL约束，并遵循其自身的法律。
- 此外，TDRA的政策要求保留选择加入（opt-in）的同意记录，每条营销短信中必须包含退订（opt-out）选项，使用AD-发送者前缀，且在21:00至07:00之间不得发送营销短信。

## 什么是阿联酋PDPL？它适用于哪些对象？

《2021年第45号关于个人数据保护的联邦法令》是阿联酋的联邦数据保护法。阿联酋立法门户网站将其列为现行有效法律，颁布于2021年9月20日，于2021年9月26日在第712号（增刊）《官方公报》上公布，并于2022年1月2日起生效。根据第2条，该法适用于所有居住在阿联酋或在阿联酋开展业务的数据主体，适用于阿联酋境内的所有控制者或处理者（针对境内或境外的数据主体），以及在阿联酋境外处理阿联酋境内数据主体个人数据的任何控制者或处理者。因此，在欧洲或亚洲向迪拜客户发送短信的品牌也属于适用范围。

个人数据的定义非常广泛——姓名、声音、图像、身份号码、电子标识符和位置均在列——因此，与客户记录绑定的手机号码属于个人数据。第2条排除了政府数据和实体、安全与司法数据、纯个人用途、受其自身法律管辖的医疗和银行数据，以及拥有自身数据保护法规的自贸区公司。

## PDPL在2026年是否已全面生效？

法律已经生效，但具体细则尚缺。第28条要求在六个月内制定执行条例，而多项义务均取决于这些条例：包括违规通知期限（第9条）、数据保护官的门槛（第10条）以及跨境传输的控制措施（第23条）。第26条将违规行为和行政处罚留给单独的内阁决定。

我们在2026年9月26日进行检查时，阿联酋立法门户网站（UAE Legislation portal）上并未列出任何行政法规：根据2026年8月27日的页面截图，该法律页面的最后更新日期仍显示为2021年9月20日，且其相关立法列表中未列出任何实施条例。政府门户网站u.ae（更新于2025年12月4日）指出，根据2021年第44号联邦法令设立的阿联酋数据办公室“将担任联邦数据监管机构”。一些商业网站称相关法规已于2026年发布；除非该网站引用了您可以在官方门户网站上查到的内阁决议编号，否则请将其视为未经证实的信息。

随后，第29条规定控制者和处理者在法规发布后的六个月内须予以遵守，内阁可准许延长一次——因此，已经符合该法律文本的计划几乎无需进行更改。

## 在阿联酋发送营销短信和WhatsApp是否需要征得同意？

在实践中，是的。第4条开头便提出了禁止性规定——“未经所有者同意，禁止处理个人数据”——随后列出了11项例外情况，例如履行与数据主体之间的合同或履行另一项阿联酋法律规定的义务。由于不存在像DIFC法律中那样的通用“合法利益”例外情况，因此向从未订阅（opt-in）的人群开展促销活动将缺乏明显的法律依据。

同意必须通过“明确的积极声明或行动”，以“具体、清晰且明确的方式”给出（第1条）。根据第6条，控制者必须能够证明这一点，且请求必须是“清晰、简单、明确且易于获取的”，并必须包含随时轻松撤回同意的权利。第13条补充规定，在开始处理数据之前，必须告知相关人员处理目的、数据在阿联酋境内外共享的对象，以及跨境处理的保护措施。

电信规则也指向相同的方向：TDRA关于未经请求的电子通信监管政策（1.1版本，2022年6月13日）涵盖了所有与阿联酋相关的短信，包括接收者位于阿联酋的所有消息，并禁止在没有证明已获得同意的情况下发送营销短信。WhatsApp补充了Meta的政策：企业必须获得“确认其希望接收来自特定企业的后续消息或通话”的订阅许可，并注明该企业名称并遵守适用法律。请参阅[WhatsApp Business API](https://www.broadnet.me/products/whatsapp-business-api)。

## TDRA对营销短信有哪些要求？

该政策对持牌运营商具有约束力，运营商必须将其写入每一份消息服务合同中，因此通过这些运营商发送短信的每个品牌都将继承该规定：

| 要求 | TDRA政策规定 | 条款 |
|---|---|---|
| 选择性加入同意 | 除非已获得、验证并证明了接收者的同意，否则不得发送营销短信 | 8.2, 9.2.2 |
| 同意记录 | 日期、时间、客户表示同意的文字或内容、身份及电话号码；在发送营销短信期间需予以保留 | 5.6, 5.7 |
| 征得同意请求 | 品牌（消息服务订户）不得通过短信或语音通话请求征得同意 | 9.2.5 |
| 退订 | 每条营销短信都应包含免费的退订方式；不得利用短信劝阻用户退订 | 5.8–5.10 |
| 发送者ID | 营销发送者需使用AD-代码，后接发送者名称 | 8.8 |
| 发送时段 | 晚上9:00至次日凌晨7:00之间禁止发送营销短信 | 8.3, 9.2.4 |
| 回收号码 | 绑定在易主号码上的同意授权将被取消 | 8.11 |

针对电话营销还有一项额外的规定。2024年第56号内阁决议将营销电话限制在上午9:00至下午6:00之间，并禁止联系“请勿打扰”注册列表中的号码，其对电话营销的定义也涵盖了营销短信。我们将在[详解阿联酋第56号内阁决议](https://www.broadnet.me/blog/uae-tdra-cabinet-decision-56-explained)中解释其中的重叠部分；国家概况请参阅[阿联酋短信法规](https://www.broadnet.me/regulations/uae)，完整的发送者ID流程请参阅[如何注册阿联酋发送者ID](https://www.broadnet.me/answers/sender-id-registration-uae-tdra)。

## PDPL是否对OTP和交易类消息进行区分对待？

法律并未明确列出消息类型，但其豁免条款进行了分类。用户刚刚请求的一次性密码、物流更新或收据属于执行服务所需的处理过程，符合第4(9)条中的合同豁免条款。促销信息则没有此类豁免，且根据第17条，接收者可以随时停止接收。同样，TDRA政策仅针对营销短信——即提供或广告商品、服务或商业机会，或征集捐款的信息。

请保持业务流分离：使用不同的发送者ID（AD-仅用于营销）、使用不同的模板，且不得在OTP或订单更新中包含优惠信息——否则该信息将被视为营销信息。银行设有额外的身份验证机制，详见[短信OTP是否被禁用？](https://www.broadnet.me/blog/sms-otp-bank-regulation-uae-india-philippines-2026)；另请参阅[OTP](https://www.broadnet.me/products/otp)。

| 消息 | PDPL下的典型依据 | 是否适用TDRA营销规则？ | 退订 |
|---|---|---|---|
| OTP或用户请求的登录验证码 | 用户要求的合同/服务 (第4(9)条) | 否——不属于营销短信 | 不适用于验证码本身 |
| 订单、交付或预约更新 | 合同 (Art. 4(9)) | 否，只要其中不包含要约 | 提供偏好设置 |
| 法律要求的通知 | 根据其他法律承担的法律义务 (Art. 4(10)) | 否 | 不适用 |
| 促销、优惠或新闻通讯 | 同意（Art. 4, Art. 6） | 是 — 选择加入、AD- 发送者、退订、07:00–21:00 | 强制性；立即执行（Art. 17） |

## 客户数据可以离开阿联酋吗？

可以，但有一定限制。根据第22条，在经阿联酋数据办公室批准的情况下，允许将数据传输至拥有能够执行数据保护立法的司法或监管机构的国家，或与阿联酋签有双边或多边数据保护协议的国家。在不存在此类保护的情况下，第23条仍允许在以下情况下进行传输：通过合同约束接收方遵守法律标准并获得数据主体的明确同意（前提是传输不违反阿联酋的公共利益或安全利益），或者为了履行与数据主体的合同等情况。具体的控制措施仍由执行条例规定。

PDPL并未设定一刀切的本地化规则，但第7条要求您的处理记录必须包含与个人数据“跨境移动和处理相关的任何数据”。请询问每家供应商联系人列表、消息内容和状态报告的存储位置；BroadNet的方案请参见我们的[数据驻留](https://www.broadnet.me/security/data-residency)页面。

## 那么位于DIFC和ADGM的公司呢？

PDPL第2条排除了“位于自由区的公司和机构”，因为这些区域拥有自己的数据保护立法。有两个金融自由区确实如此：迪拜国际金融中心（DIFC）对其在DIFC注册的控制者和处理者以及在DIFC进行的处理适用其《数据保护法》，即DIFC 2020年第5号法律（在2022年和2025年修订后，将于2025年7月进行整合）；阿布扎比全球市场（ADGM）于2021年2月14日颁布了其《2021年数据保护条例》，并由其自身的数据保护办公室监管。

对营销人员而言，实际的区别在于：DIFC法律将合法利益与同意（第10条）并列作为合法基础，并赋予个人随时反对用于直接营销处理的权利。这些区域内的实体遵循其所在区域的数据保护法——但其营销短信仍通过阿联酋网络传输，因此TDRA关于同意、退订、AD-以及时间窗口的规则仍然适用于短信本身。

## 阿联酋PDPL短信及WhatsApp营销检查清单

1. 梳理哪些系统持有阿联酋号码、消息内容和状态报告，并记录每项数据流的依据——OTP适用合同依据，营销适用同意依据（第7条）。
2. 通过网页表单、应用界面或门店内的明确积极操作来收集营销许可，绝不要通过未经请求的短信或电话进行，并注明您的企业名称。
3. 存储许可证明：日期、时间、显示的措辞、身份和号码（TDRA 5.6），并在发送期间持续保留。
4. 在每条营销短信中都提供免费且有效的退订选项，并立即响应对直接营销的拒绝请求（PDPL第17条）。
5. 使用AD-发送者ID进行促销，并为OTP和警报使用单独的发送者ID；不要在交易类模板中包含优惠信息。
6. 将促销发送时间安排在阿联酋时间07:00至21:00之间，并咨询法律顾问以确认更窄的第56号决议（Resolution 56）窗口期。
7. 在处理数据之前告知用户其数据去向（包括境外），并在每个供应商合同中加入传输条款（第13、22和23条）。
8. 现在就准备好违规响应计划；执行条例将确定通知截止日期，一旦条例发布，您将有六个月的时间进行合规。

> BroadNet自2003年开始运营，总部位于迪拜互联网城，持有ISO 27001、ISO 27018和SOC 2 Type II认证，并在入驻过程中负责处理与运营商的阿联酋发送者ID报备。请参阅[A2P短信](https://www.broadnet.me/products/a2p-sms)和[阿联酋覆盖范围](https://www.broadnet.me/coverage/uae)。

## 常见问题

### 阿联酋的PDPL已生效吗？

是的。2021年第45号联邦法令自2022年1月2日起生效；目前仅其执行条例尚在等待发布。

### PDPL的执行条例已经发布了吗？

就官方记录而言尚未发布。第28条要求在法律颁布后六个月内发布执行条例，但截至我们2026年9月的核查，阿联酋立法门户网站上尚未列出任何实施条例。一旦条例发布，根据第29条，公司将有六个月的时间进行合规。

### 在阿联酋发送营销短信需要征得同意吗？

是的。除非适用例外情况，否则PDPL禁止在未经同意的情况下处理个人数据，而营销并不属于例外情况之一。TDRA的政策另行规定，除非已获得、验证并证明收件人的同意，否则禁止发送营销短信。

### PDPL是否适用于阿联酋境外的公司？

是的。第2条涵盖了在阿联酋境外处理阿联酋境内数据主体个人数据的控制者和处理者，因此，向阿联酋居民发送短信的外国品牌也在适用范围内。

### OTP验证码短信是否受PDPL管辖？

该法律适用，但用户请求的OTP验证码符合第4条中的合同例外情况，且OTP验证码不属于营销短信，因此，TDRA的选择性加入（opt-in）、广告（AD-）以及发送时间规则对其不适用。

### 根据阿联酋PDPL，罚款金额是多少？

法律并未设定罚款金额。第26条将违规行为和行政处罚清单留给内阁决定，截至2026年9月，我们尚未发现已公布的相关决定。对于任何在没有决定编号的情况下引用的具体罚款金额，请谨慎对待。

### PDPL是否适用于DIFC和ADGM？

不适用。拥有自身数据保护立法的自由区公司被排除在外。DIFC适用DIFC 2020年第5号法律，ADGM适用其2021年数据保护条例；但从这些区域发送的营销短信仍需遵守TDRA的短信规则。

### 在阿联酋可以在哪些时段发送营销短信？

TDRA政策禁止在晚上9:00至凌晨7:00之间发送营销短信。第56号内阁决议（2024年）将营销电话限制在上午9:00至下午6:00之间，并将营销短信纳入电话营销的定义范围，因此许多发送者会选择更窄的时间窗口；请咨询法律顾问。

我们在2026年9月26日阅读了以下所有文本，在官方网站屏蔽了我们的服务器时，使用了web.archive.org的存档副本；请参阅我们的[编辑标准](https://www.broadnet.me/about/editorial-standards)。

## 来源

- 《2021年第（45）号关于个人数据保护的联邦法令》官方英文文本，阿联酋立法门户网站（2026年9月26日从2026年9月7日的web.archive.org副本中阅读）：[uaelegislation.gov.ae](https://uaelegislation.gov.ae/en/legislations/1972)。
- 阿联酋立法门户网站——法律页面（状态、发布、公报及生效日期）于2026年8月27日抓取，相关立法于2026年1月5日抓取：[uaelegislation.gov.ae](https://uaelegislation.gov.ae/en/legislations/1972/related-legislations)。
- 阿联酋政府官方门户网站——数据保护法，2025年12月4日更新（2026年9月26日访问）：[u.ae](https://u.ae/en/about-the-uae/digital-uae/data/data-protection-laws)。
- TDRA——关于未经请求的电子通信监管政策，版本1.1，2022年6月13日（从web.archive.org副本阅读）：[tdra.gov.ae](https://tdra.gov.ae/-/media/About/regulations-and-ruling/EN/cellular-phone-spam-regulatory-policy-English.ashx)。
- DIFC——数据保护法，DIFC 2020年第5号法律，2025年7月合并版本（2026年9月26日访问）：[difc.com](https://www.difc.com/business/laws-and-regulations/legal-database/difc-laws/data-protection-law-difc-law-no-5-2020)。
- ADGM — ADGM于2021年2月14日颁布了新的《2021年数据保护条例》：[adgm.com](https://www.adgm.com/media/announcements/adgm-enacts-its-new-data-protection-regulations-2021)。
- Meta — WhatsApp Business平台，获取选择性加入（访问日期：2026年9月26日）：[developers.facebook.com](https://developers.facebook.com/docs/whatsapp/overview/getting-opt-in)。
- 经济部 — 关于2024年第56号和第57号内阁决议的简报，2024年8月29日：[moet.gov.ae](https://www.moet.gov.ae/en/-/ministry-of-economy-and-telecommunications-and-digital-government-regulatory-authority-review-regulatory-legislations-in-organizing-operational-mechanisms-for-telemarketing-companies-in-the-uae-and-enhancing-consumer-protection-in-line-with-best-practices)。