Короткий ответ. До выбора стека нужно ответить на два вопроса: под какой закон попадает ваше юрлицо и какие из ваших данных этот закон называет. Федеральный закон ОАЭ о персональных данных не применяется к свободным зонам с собственным режимом, включая DIFC и ADGM, и не охватывает медицинские и кредитные данные, у которых своё регулирование. У большинства компаний на двадцать человек обязательного класса не оказывается вовсе.
Суверенность стала товарной категорией: её продают на конференциях и в интервью дистрибьюторов. Решение, которое стоит за этой продажей, куда более узкое, и принять его можно за день.
Кто продаёт суверенность и кому?
Вендоры и их дистрибьюторы, а целятся они в госсектор и регулируемые отрасли.
25 сентября 2026 года TahawulTech опубликовал интервью с Nextcloud и её региональным дистрибьютором VAD Technologies о спросе на суверенную совместную работу в Заливе. Читать это стоит как вендорский материал, потому что он таким и написан. Полезен он всё равно тем, что говорит о покупателе.
Руководитель продаж Nextcloud называет самым сильным интерес госсектора ОАЭ: государственные организации усиливают внимание к приватности и контролю над чувствительной информацией. Технический аргумент тоже назван: развёртывание на своей площадке и работа в изолированных контурах для тех, кто не может полностью полагаться на публичные облака.
Аргумент верный, и каждое слово в нём адресовано министерству или банку. Никаких оценок рынка, долей и процентов в интервью нет, поэтому оно ничего не говорит компании на двадцать человек в Business Bay о том, работает ли та же логика для неё.
Под какой закон попадает ваше юрлицо?
Решает место регистрации, и этот вопрос стоит первым.
Федеральный инструмент называется Federal Decree-Law No. 45 of 2021 о защите персональных данных, он в силе со 2 января 2022 года и перечислен на официальном портале правительства. Три исключения решают, достаёт ли он до вас вообще. Закон не применяется к государственным органам, к свободным зонам с собственным законодательством о защите данных, среди которых DIFC и ADGM, и к медицинским и кредитным данным, которые регулируются отраслевым законодательством.
Компания в DIFC поэтому отвечает по DIFC Data Protection Law No. 5 of 2020, который портал правительства ОАЭ перечисляет отдельно от федерального закона. Клиника отвечает по отраслевым правилам здравоохранения. Маркетинговое агентство на материке отвечает по федеральному закону. Три компании на одной улице, три разных режима, и разговор про стек не начинается, пока вы не знаете, в каком из них находитесь.
Ещё одна особенность федерального закона касается сроков.
Существуют ли исполнительные регламенты, вопрос спорный. Часть источников ссылается на Cabinet Resolution No. 33 of 2024, другие и в сентябре 2026 года не находят их ни на одном официальном ресурсе ОАЭ. В любом случае сказать, когда пошёл шестимесячный срок статьи 29, никто не может, а список стран с достаточным уровнем защиты не опубликован.
Подробно мы разбирали это в статье про то, что закон ОАЭ говорит о клиентских данных в публичных моделях, и с тех пор ничего не изменилось.
Четыре класса, и у каждого своя причина остаться
Заполните эти строки по своей компании, и спор в основном закончится.
| Класс | Что задаёт место хранения | Кто устанавливает требование | Если не задаёт никто |
|---|---|---|---|
| Персональные данные клиентов и сотрудников | Правила передачи вашего режима | Федеральный закон либо DIFC или ADGM | Выбор по цене и риску |
| Данные под договором с клиентом | Пункт, который вы подписали | Клиент, часто его собственный регулятор | Пересогласовать или выполнять |
| Отраслевые: медицина, кредиты, госзаказ | Отраслевое законодательство, условия контракта | Отраслевой регулятор или заказчик | Почти никогда не пусто, проверяйте |
| Всё остальное | Ничего | Никто | Выбор по цене |
Вторая строка подводит чаще всего. У небольшой компании обычно нет законной обязанности по локализации и есть один крупный клиент, в договоре с которым записано, что данные остаются в стране. Практически этот пункт связывает не слабее закона, и лежит он в документе, который вы уже подписали. В вестнике его нет.
Третью строку надо проверять. Медицинские и кредитные записи выпадают из федерального закона, и послаблений это никому не даёт: правила там другие, обычно строже и отраслевые.
Когда четыре строки заполнены по вашей компании, спор в основном заканчивается. Остаётся вопрос денег, и эту арифметику мы разбирали в статье подписка или своя разработка.
Что делать, если обязательного класса не нашлось?
Тогда вы принимаете решение по деньгам, а у своего размещения есть расходы, которых нет в счёте.
Сервер под вашим контролем приносит с собой обновления, резервные копии, проверки восстановления, продление сертификатов и человека, до которого можно дозвониться, когда всё упало в пятницу. Ничего экзотического здесь нет, и всё это – чьи-то регулярные часы. Недооценивают обычно не саму суверенность, а эксплуатацию вокруг неё.
Между «публичное облако где придётся» и «своя стойка» помещаются три варианта.
- Выберите регион, оставьте провайдера. Любое крупное облако позволяет задать место хранения. Это закрывает большинство договорных требований о локализации и стоит одной настройки.
- Разделите по классам. Персональные данные клиентов в одном месте под более строгим контролем, всё остальное там, где дешевле. Регулируемая доля почти у всех оказывается небольшой.
- Разместите у себя одну систему, которой это нужно. Хранилище документов, и только его. Чем уже область, тем реалистичнее эксплуатация.
Честный порядок такой: назвать класс, найти требование, посчитать варианты. В обратную сторону получается покупка стека и поиск обоснования задним числом, и тогда требованием оказывается то, что стек уже умеет.
Что это значит для вашей работы
- Какой закон к вам применяется, решает место регистрации. Ни отрасль, ни здравый смысл ответа тут не подскажут. Начинайте с юрлица.
- Федеральный закон о персональных данных не достаёт до свободных зон с собственным режимом, включая DIFC и ADGM, и до медицинских и кредитных данных.
- У большинства небольших компаний обязательство по локализации приходит из договора с клиентом, а не из законодательства.
- Выбор региона внутри действующего облака закрывает значительную долю реальных требований и не добавляет эксплуатации.
- С этим вопросом идут к юристу, и дешевле прийти с уже выписанными четырьмя классами.
Мы разворачиваем системы заказчикам, и решение о размещении каждый раз выводится из классов данных. Как мы через это проходим, описано на странице разработки под задачу. До всего этого: выпишите, что хранит ваша компания, и отметьте строки, про которые вам хоть раз говорили, что они должны остаться в стране.
Данил Иванов
Основатель KAIVIX
Строит AI-системы для компаний в ОАЭ и за их пределами.