Fonte ufficiale confermata
Che cosa è successo
Il 29 gennaio 2026 il Qatar Financial Centre, il Dubai International Financial Centre e l'Abu Dhabi Global Market hanno annunciato di essersi inseriti a vicenda nelle rispettive liste di adeguatezza in materia di protezione dei dati personali. Ognuno dei tre centri finanziari riconosce quindi che gli altri due offrono un livello di tutela equivalente al proprio. Il riconoscimento è arrivato al termine di una valutazione reciproca dei tre quadri normativi e delle rispettive prassi di vigilanza.
Che cosa cambia in pratica
È una semplificazione, non un nuovo adempimento. Prima di questo riconoscimento, per spostare dati personali — anagrafiche clienti, documentazione KYC, fascicoli dei dipendenti — da una società DIFC a una società ADGM o del QFC servivano strumenti di trasferimento aggiuntivi: clausole contrattuali tipo o meccanismi equivalenti, da negoziare, firmare e conservare. Adesso quei dati circolano fra i tre centri senza garanzie supplementari, come se restassero dentro la stessa giurisdizione.
A chi si applica
Società con licenza DIFC, ADGM o QFC che condividono dati personali con una consociata, una casa madre o un fornitore stabilito in uno degli altri due centri. È il caso frequente di chi tiene la holding in ADGM e la società operativa in DIFC, o di chi appoggia amministrazione e contabilità a un service provider insediato in un centro diverso dal proprio.
Il rischio da non sottovalutare
Il riconoscimento vale fra i tre centri e soltanto fra loro. Non copre i trasferimenti verso il territorio federale emiratino fuori dalle free zone, né quelli verso l'Europa: chi manda dati a una società italiana continua a muoversi sotto il GDPR e i suoi strumenti di trasferimento. L'errore da evitare è leggere l'apertura come una liberalizzazione generale e smontare presidi che su altre rotte servono ancora. Va ricordato inoltre che nel DIFC, dal 15 luglio 2025, l'interessato può agire direttamente davanti alle corti del centro per chiedere il risarcimento, senza passare prima dal Commissioner: un trattamento sbagliato dei dati è contestabile da chi lo subisce, non solo dal regolatore.
Che cosa fare adesso
Mappare le rotte dei dati personali della propria struttura, indicando per ciascuna il punto di partenza e quello di arrivo. Dove entrambi gli estremi stanno fra DIFC, ADGM e QFC, le clausole contrattuali tipo eventualmente in essere si possono archiviare: le versioni firmate vanno però conservate, perché coprono il periodo precedente al 29 gennaio 2026. Dove uno dei due estremi è fuori dai tre centri, i presidi esistenti restano necessari e non vanno toccati.
Fonti
https://www.qfc.qa/en/media-centre/news/list/qfc-adgm-and-difc-enhance-cross-border-data-flowhttps://www.hoganlovells.com/en/publications/qfc-difc-and-adgm-advance-regional-data-protection-cooperation-through-mutual-adequacy-recognitionQuesto aggiornamento riguarda la tua situazione?
Ogni norma vale poco finché non la si applica al caso concreto. Se hai una società negli Emirati o stai valutando il trasferimento, il modo più veloce per capire cosa cambia per te è parlarne direttamente.
Prenota la tua consulenza