حماية البيانات الشخصيّة في العقود الذكيّة ضمن الإطار التشريعي لدولة الإمارات العربية المتحدة

Personal Data Protection in Smart Contracts within the Legislative Framework of the United Arab Emirates

Abstract

This study provides a descriptive and analytical account of the contemporary legal and technical challenges of "personal data protection in the smart contracts environment" within the legislative framework of the United Arab Emirates. The research problem lies in the inevitable gap between the automated, decentralized nature of smart contracts (notably the immutability of blockchain) and the flexible legal principles of privacy protection, which restrict the collection and processing of data. To address this, the study adopts a descriptive-analytical approach, projecting the provisions of the UAE's 2021 legislation onto the digital reality of smart contracts. It characterizes a smart contract as an "automated electronic transaction" and a fully integrated legal document that derives its authenticity and enforceability from the Electronic Transactions and Trust Services Law (No. 46 of 2021), while also classifying it as a processing tool subject to the obligations of the Personal Data Protection Law (No. 45 of 2021). The study reviews the classifications of processed data (general data, sensitive data such as biometric prints, and data resulting from behavioral and credit profiling) and defines the obligations of the contracting parties: the "controller" bears primary responsibility for data security and compliance with the "privacy-by-design" principle, whereas the "processor" is committed to technical measures that prevent breaches and leaks. It also highlights the guarantees granted to the data subject, including the right to data portability, the right to object to purely automated decisions, and the right to demand a "human review." The study concludes by emphasizing the need to balance the efficiency of digital innovation with the preservation of personal privacy. It recommends flexible technical solutions, such as avoiding the direct and permanent storage of personal data in the immutable records of the smart contract and replacing it with encrypted tokens, and it advocates activating guidelines for trust service providers to periodically audit source codes and protect them from vulnerabilities.

الملخص

تتناول هذه الدراسة، بالتوصيف والتحليل، التحديات القانونية والتقنية المعاصرة المرتبطة بـ"حماية البيانات الشخصية في بيئة العقود الذكية" في إطار النظام التشريعي لدولة الإمارات العربية المتحدة. وتتبلور مشكلة البحث في وجود فجوة حتمية بين الطبيعة التلقائية واللامركزية للعقود الذكية (خاصية عدم القابلية للتعديل في البلوكشين) وبين المبادئ القانونية المرنة لحماية الخصوصية، التي تفرض قيودًا على جمع المعطيات ومعالجتها. ولمعالجة هذه الإشكالية، تتبع الدراسة المنهج الوصفي التحليلي لإسقاط نصوص التشريعات الإماراتية الحديثة لعام 2021 على الواقع الرقمي للعقود الذكية، حيث تُكيّف العقد الذكي بوصفه "معاملة إلكترونية مؤتمتة" ومستندًا قانونيًا متكامل الأركان يستمد حجيته ونفاذه من قانون المعاملات الإلكترونية وخدمات الثقة (رقم 46 لسنة 2021)، وفي الوقت ذاته يُصنّف أداةَ معالجةٍ تخضع لالتزامات وضوابط قانون حماية البيانات الشخصية (رقم 45 لسنة 2021). واستعرضت الدراسة تصنيفات البيانات المتداولة (العامة، والحساسة كالبصمات الحيوية، والبيانات الناتجة عن التنميط السلوكي والائتماني)، وحددت بدقة التزامات أطراف التعاقد؛ إذ تقع المسؤولية الأساسية على "المتحكم" لضمان أمن البيانات والامتثال لمبدأ "الخصوصية بالتصميم"، بينما يلتزم "المعالج» باتخاذ التدابير التقنية لمنع الاختراقات والتسريبات. كما أبرز البحث الضمانات الممنوحة لصاحب البيانات، كحقه في نقل معلوماته والاعتراض على القرارات الآلية الصرفة والمطالبة بـ«مراجعة بشرية". وخلصت الدراسة إلى أهمية الموازنة بين كفاءة الابتكار الرقمي وصون الحرمة الشخصية، وأوصت بضرورة تبني حلول تقنية مرنة، مثل عدم تخزين البيانات الشخصية المباشرة داخل سجلات العقد الذكي الدائمة والاستعاضة عنها برموز مشفرة، مع تفعيل أدلة إرشادية لمزودي خدمات الثقة لتدقيق الشيفرات البرمجية دوريًا وحمايتها من الثغرات.