La protección de datos en EAU depende de dónde esté tu empleador, y tu CV suele circular fuera de ese radar. Una investigación publicada el 23 de octubre de 2026 describe cómo una consultora elaboró listas de usuarios de Facebook con residencia en el país, empleo y otros datos personales. No fue una filtración. Fue un encargo.
Qué pasó con las listas de Facebook en Emiratos
El reportaje de Drop Site News sitúa el origen en Arnica 2, un proyecto de Alp Services, y describe hojas de cálculo con más de 11.300 entradas. El dato cuenta entradas, no personas distintas verificadas, y la diferencia importa: un mismo usuario puede repetirse en varias hojas con correos distintos. Los registros reunían nombres, lugar de residencia y empleo.
La recopilación no copió la base de datos de la plataforma. Se dirigió a las audiencias de diez páginas concretas —UAE71, Arabi21, Al Araby, Rassd, UAE Studies, Emirati Affairs y Al Dabboor, entre las enumeradas en los documentos citados— y el criterio reportado era el ‘me gusta’ en medios y grupos considerados hostiles a Emiratos Árabes Unidos. Un informe interno de julio de 2017 clasificó a unas 1.000 personas como presuntos simpatizantes de los Hermanos Musulmanes sin más prueba que esa interacción.
El operativo tiene fechas. El 28 de agosto de 2017 se enumeran las diez páginas; el 31 de agosto, un empleado de la firma envía enlaces de búsqueda a Total Trust Investigations, con sede en Bucarest, y pide nombres y perfiles en una hoja de Excel. En octubre, el contacto emiratí de la empresa solicitó una propuesta para analizar esas páginas y sus audiencias; la cifra pactada, 55.000 euros, se facturó en diciembre a ARIAF Studies and Research LLC, una sociedad de Abu Dabi. En enero de 2018 los datos se entregaron en una memoria USB.
Retén el límite de la investigación: no establece si las listas llegaron a la Seguridad del Estado emiratí, ni si se usaron operativamente, ni que provocaran detenciones o procesos judiciales. Lo documentado es el método. Y el método es lo que te toca de cerca: tu actividad pública puede convertirse en un fichero clasificado sin que lo sepas.
Tu currículum deja de ser un documento privado en cuanto lo envías: se convierte en un fichero de datos personales que puede acabar en manos que nunca verás.
Qué ley cubre tu CV cuando el empleador está en EAU
Aquí está la trampa: en Emiratos no hay una sola ley, hay tres regímenes que conviven. En el mainland (el territorio bajo licencia del emirato, fuera de las zonas francas) rige la Ley Federal 45/2021 de Protección de Datos Personales, conocida como PDPL y en vigor desde el 2 de enero de 2022. En el DIFC, el centro financiero de Dubái con marco legal propio, se aplica la Data Protection Law 5/2020. En ADGM, los Data Protection Regulations 2021.
La PDPL copia la arquitectura europea —base legal para tratar los datos, derechos de acceso y supresión, obligación de notificar incidentes— pero no su madurez. El desarrollo reglamentario ha ido llegando por partes y el detalle operativo se consulta en las resoluciones del UAE Data Office y en el portal oficial del Gobierno. Aterrizado al día a día: quien guarda tu currículum necesita una base legal para hacerlo, y revenderlo o reenviarlo en bloque sin informarte es difícil de encajar en cualquiera de las bases previstas.
Las zonas francas financieras juegan con un estándar más alto y más antiguo. El DIFC arrastra desde 2020 un régimen con derechos muy cercanos al modelo europeo; ADGM aprobó el suyo en 2021. Si tu empleador es un banco, una gestora o una consultora con licencia en cualquiera de los dos, tu ficha de candidato se trata bajo esas reglas y no bajo la ley federal.
La Realidad del Mercado
El interés por estos perfiles se ha movido, pero despacio. Las vacantes de compliance y privacidad en Dubái se concentran en banca, seguros, tecnología y firmas de servicios profesionales con clientela europea. Los rangos que publican los salary guides de las consultoras varían tanto por sector que conviene confirmarlos en la edición vigente antes de tomar cualquier cifra como referencia. No hay datos públicos verificados de sanciones impuestas por el UAE Data Office, y eso dibuja un mercado donde la norma existe y la presión llega más por el cliente corporativo que por el regulador.
Para un perfil hispanohablante, la baza no es la homologación de títulos: es el RGPD. Un candidato español que haya tratado datos personales bajo el reglamento europeo tiene una ventaja concreta ante el reclutador de Dubái, porque la PDPL y la ley del DIFC se leen en esa clave. Desde Latinoamérica el encaje es parcial —la ley argentina o la mexicana se valoran como equivalente aproximado, no como espejo—. La competencia real es británica e india, con más años en el mercado local y salarios de entrada ajustados.
El error caro no está en la ley, está en el gesto. Mandar copia del pasaporte y del Emirates ID (el documento de identidad emiratí) por mensajería a un reclutador que aún no ha presentado una oferta, o rellenar formularios de portales extranjeros sin mirar quién es el responsable del fichero ni dónde aloja los datos, son las dos prácticas que más se repiten. El CV con foto, estado civil y fecha de nacimiento completa el cuadro. Nada de eso te protege; todo eso te expone.
La comparación con España conviene hacerla sin nostalgia. Allí la Agencia Española de Protección de Datos lleva años sancionando y el ciudadano tiene costumbre de reclamar; aquí la autoridad es joven, el marco se está completando y quien quiera ejercer sus derechos tiene cauce formal ante el regulador, aunque el detalle procedimental conviene confirmarlo en la web oficial. Distinto nivel de madurez, misma lógica.
Qué mirar antes de enviar el próximo CV
Tres comprobaciones rápidas. Primera: quién figura como responsable del tratamiento en el aviso de privacidad de la plataforma y si ese aviso menciona transferencias a terceros países. Segunda: qué campos pide el formulario; si aparecen fecha de nacimiento, nacionalidad, estado civil o fotografía, hay margen para preguntar para qué se necesitan. Tercera: por dónde circula tu documentación. Un PDF enviado por correo corporativo deja rastro; una foto del pasaporte por por mensajería instantánea, también, y peor controlado.
Y una advertencia de calendario: el marco emiratí sigue en construcción y las resoluciones de desarrollo pueden mover requisitos que hoy se dan por hechos. Antes de firmar nada, la referencia que vale es la web del regulador, no el folleto del portal de empleo.
Lo que necesitas saber
- Salario medio: no existe un salario tipo para una cuestión regulatoria; en roles de compliance y privacidad en Dubái los rangos publicados varían y conviene confirmarlos en la edición vigente del salary guide de Cooper Fitch (orientativo).
- Quién contrata: bancos y gestoras con licencia en DIFC y ADGM, aseguradoras, tecnológicas y firmas de servicios profesionales con clientela europea.
- Requisito clave: identificar qué régimen te cubre —PDPL federal, ley del DIFC o regulación de ADGM— y reclamar el aviso de privacidad del responsable del fichero.
- Tendencia: al alza, lenta y desigual.
