背景介绍：
迪拜，这座位于阿拉伯湾的国际化都市，以其开放的经济环境、稳定的政治体制和一流的基础设施，吸引了全球投资者的广泛关注。在当前企业“走出去”的热潮下，中国对迪拜的投资也呈现出持续增长的态势。近期，美团Keeta Drone无人机物流配送项目在迪拜成功落地，成为中国企业智慧物流出海领域的一次重要实践。
然而，Keeta Drone项目的成功落地并非一路坦途，其运营过程中也面临诸多法律与政策上的挑战。特别是在出海项目中，数据合规风险已成为不可忽视的问题。本文拟从阿联酋数据保护法律框架切入，以美团Keeta Drone项目在迪拜的落地为视角，分析其潜在风险，为类似项目提供参考。
1. Keeta Drone项目简述
Keeta Drone是美团在海外市场推出的无人机配送业务品牌，其首个商业化落地项目选址于阿联酋迪拜。美团这一业务由副总裁兼无人机业务部负责人毛一年领衔，目前已搭建起完善的研发和运营团队，并在海外配备了全职员工。
项目落地的两个关键时间节点备受瞩目：首先是2023年10月，在“Gitex Global 2023”活动上，美团完成了于迪拜首次获批的在人群密集区域起飞的无人机试飞展示。其次是2024年12月，Keeta Drone获得迪拜民航局（DCAA）颁发的BVLOS（超视距无人机配送）商业运营许可，成为阿联酋首个合法运行的无人机配送项目。
美团对这一项目的定位是采取“第三方物流”（3PL）模式，与餐饮连锁品牌合作，率先在迪拜的特定区域内运营，例如RIT校区（Rochester Institute of Technology）和DDP（Dubai Digital Park）。未来，美团团队计划拓展至医疗配送场景，与当地医院展开合作。配送流程与美团传统外卖服务相似：无人机从专用起降场出发，沿设定航线完成订单运输，并降落至社区机场或自动化存餐柜，用户通过扫码完成取餐。
至于为何首站选择迪拜而非美团外卖首发地沙特，除了中东地区普遍存在的高温气候和交通拥堵问题对传统配送方式形成限制外，迪拜在低空经济政策上的开放性显然更胜一筹。“无人机运输计划”等政策支持，为项目的商业化落地提供了更为友好的环境。同时，无人机配送在迪拜的人工岛屿和复杂绕行道路场景中展现出了巨大的效率优势。
尽管Keeta Drone是美团实施出海战略的一次重要尝试，同时也象征着中国企业在无人机配送领域迈向国际市场取得关键进展，但我们认为，其运营背后隐藏着诸多数据合规风险的挑战。
2. 迪拜数据保护立法现状简述
阿联酋颁布的《个人数据保护法》（Federal Decree-Law No. 45 of 2021 on the Protection of Personal Data Protection，“《个人数据保护法》”）是该国在联邦层面首次建立的统一个人信息保护框架，并已于2022年1月2日正式生效。这部法律旨在通过强化个人数据的合法性基础和数据主体权利，提升数据安全及跨境数据传输的合规性。这一规定适用于所有位于阿联酋的实体或个人，无论数据主体的实际位置，同时也涵盖了境外主体对阿联酋境内数据主体的个人数据处理活动[1]。不过，该法并不适用于某些自由区，如迪拜国际金融中心（DIFC）和迪拜健康城（DHCC），因为这些自由区实施着独立的数据保护立法[2]。
《个人数据保护法》的内容与欧盟《通用数据保护条例》（GDPR）高度相仿，其处理个人数据的合法性原则强调必须获得数据主体的明确同意（除非满足其他合法基础的要求）[3]。数据主体拥有多项广泛的权利，包括访问、更正、删除、被遗忘以及拒绝自动化决策等权利，这些规定与GDPR的核心要求一致[4]。在跨境传输方面，该法允许个人数据传输到阿联酋境外的地区，但前提是目的地具备足够的数据保护水平，或者符合一些豁免条件，例如获得数据主体明确同意、履行合同需求或基于公共利益[5]。此外，对于使用新技术或处理大规模敏感数据的高风险活动，该法要求开展个人数据保护影响评估（DPIA），以确定隐私和安全风险[6]。
与此同时，部分迪拜自由区通过独立立法进一步细化了数据保护规定。《迪拜国际金融中心数据保护法》（DIFC Law No. 5 of 2020）自2020年7月1日起正式施行，其适用范围不仅包括DIFC内的数据控制者或处理者，还包括在DIFC内从事稳定业务的数据处理活动[7]。与GDPR一致，该法要求数据处理活动必须有合法性基础，例如数据主体的同意或合同履行，并赋予数据主体多项权利，例如删除权、拒绝权和限制处理权[8]。此外，该法律的一个显著特征是明确规定了每项违规行为的处罚金额，罚款金额从25,000美元到100,000美元不等[9]，并采用行政处罚与民事赔偿相结合的双轨机制，从而显著增加了企业的违法成本[10]。
与DIFC不同，DHCC的《健康数据保护条例》（Dubai Healthcare City Health Data Protection Regulation, Regulation Number (7) of 2013）专注于对医疗健康数据的保护。该条例规定了严格的健康数据收集与使用原则，包括遵循正当性和最小必要原则，并设定了具体的数据保留期限和安全措施[11][12]。同时，对健康数据的披露也施加了明确的限制，只有在满足合法性要求（例如保护患者的紧急利益）时才允许披露患者数据[13]。这使DHCC的数据保护框架在医疗领域的隐私保护中显得尤为严格。
3. Keeta Drone面临的数据合规挑战
作为一家中国背景的无人机配送企业，Keeta Drone在阿联酋的运营不可避免地面临多方面的数据合规压力。其运营模式需要收集和处理大量个人数据，包括用户的送货地址和订单详情等敏感信息。这些数据的处理必须符合法律规定的合法性基础，如获取数据主体明确同意，或者基于合同履行、公共利益等情况[14]。此外，无人机配送的实时位置追踪功能和其他用户相关数据的处理，进一步加剧了隐私泄露的潜在风险。
另一方面，Keeta Drone的中国背景使其在数据跨境传输方面需满足更严格的法律要求。根据《个人数据保护法》，个人数据的跨境传输需前往具有同等或更高保护水平的国家，或符合某些豁免条件，例如获得数据主体明确同意或合同履行需求[15]。同时，该法还明确要求跨境数据传输不得与阿联酋的公共安全和国家利益冲突[16]。由于中国企业在部分国际环境中存在地缘政治敏感性，Keeta Drone的数据传输安排可能面临额外的监管压力。
此外，Keeta Drone的业务本质涉及高风险数据处理活动。根据阿联酋《个人数据保护法》，使用新技术或大规模处理敏感数据的活动需要进行个人数据保护影响评估（DPIA），以评估其可能带来的隐私影响[17]。企业还可能需要任命数据保护官（DPO）以监督数据合规工作，尤其是在高风险或敏感数据处理的情况下[18]。无人机配送技术的应用还要求企业在数据收集和传输过程中采取强有力的加密和安全措施，以防止数据泄露或未经授权的访问。
如果Keeta Drone的业务扩展到迪拜的自由区（如 DIFC 和 DHCC），则需进一步符合这些区域内的独立法律框架。在DIFC，其数据处理活动需完全遵循透明性原则，并在发生数据泄露时及时向数据保护专员和受影响数据主体报告[19]。若进入DHCC 开展医疗配送服务，则需格外注意健康数据的存储、使用和披露的合规性，包括严格的保留期限和合法披露条件[20][21]。
总体来看，Keeta Drone 的运营在数据合规方面面临多重挑战，其核心包括隐私保护、跨境数据传输合规、地缘政治背景下的国家安全疑虑、法规遵从、数据权限管理及技术安全保障。作为无人机配送服务，Keeta Drone 在运行过程中需收集和处理敏感个人信息（如送货地址），这对隐私保护提出了极高要求。同时，项目的中国背景使其可能因地缘政治环境而面临国家安全层面的审查。此外，Keeta Drone 的运营还需完全遵守当地数据保护政策，确保数据处理权限明确、使用透明。为防范数据泄露或滥用，公司需采用先进的隐私保护和加密技术，同时建立应急机制，以在出现数据安全事件时迅速明确责任并采取法律应对措施。无论在联邦层面还是自由区的独立立法下，Keeta Drone的运营都面临严格的数据合规要求。这些法律对数据处理的合法性、透明性、跨境数据传输以及数据主体权利保护提出了全面规范。Keeta Drone必须从法律、技术和管理角度建立起完备的合规体系，方能在阿联酋市场中实现长期合法运营。
4. 结 语
美团Keeta Drone无人机物流配送项目成功落地迪拜，无疑是中国企业在智慧物流领域国际化探索中的一大突破。这不仅展现了中国技术与商业模式在全球市场中的竞争力，也为未来更多中国企业“走出去”提供了宝贵的经验。然而，成功落地只是开始，如何在不同的法律与监管环境中合法合规地长期运营，才是真正决定项目成败的关键。
阿联酋《个人数据保护法》及迪拜自由区（如DIFC和DHCC）的独立数据保护立法，为Keeta Drone的运营设定了严格的合规标准。在个人数据处理、跨境传输和高风险数据处理等方面，项目面临多层次的法律监管和技术挑战。尤其是涉及用户隐私与地缘政治敏感性问题，Keeta Drone的每一步都需谨慎权衡。
通过建立本地化的数据存储体系、任命专业的数据保护官（DPO）、开展数据保护影响评估（DPIA）以及加强与当地监管机构的沟通，企业可以更好地应对合规风险。此外，透明、稳健的合规策略不仅有助于降低法律风险，也将为企业赢得用户信任，构建长期发展的坚实基础。可以预见的是，未来Keeta Drone在数据合规管理方面的表现将很大程度影响其可持续发展。
参考文献及资料：
[1]Federal Decree-Law No. 45 of 2021 on the Protection of Personal Data Protection, Article(2)1.
[2]Federal Decree-Law No. 45 of 2021 on the Protection of Personal Data Protection, Article (2) 2.
[3]Federal Decree-Law No. 45 of 2021 on the Protection of Personal Data Protection, Article(4)
[4]Federal Decree-Law No. 45 of 2021 on the Protection of Personal Data Protection, Article(13)to Article (18).
[5]Federal Decree-Law No. 45 of 2021 on the Protection ofPersonal Data Protection, Article(22)and Article(23)
[6]Federal Decree-Law No.45 of 2021 on the Protection of Personal Data Protection, Article(21)
[7]The DlFC Data Protection Law(DlFC Law No.5 of 2020)Article 6.(3)(b)
[8]The DlFC Data Protection Law(DlFC Law No. 5 of 2020)Article 32 to Article 38.
[9]The DlFC Data Protection Law(DlFC Law No. 5 of 2020)Schedule 2.
[10]The DlFC Data Protection Law (DlFC Law No. 5 of 2020)Article 64.
[11]Dubai Healthcare City Health Data Protection Regulation, Regulation Number(7) of 2013, Article 27.
[12] Dubai Healthcare City Health Data Protection Regulation, Regulation Number (7) of 2013, Article 31.
[13]Dubai Healthcare City Health Data Protection Regulation, Regulation Number(7) of 2013, Article 37
[14]Federal Decree-Law No. 45 of 2021 on the Protection of Personal Data Protection, Article(4).
[15]Federal Decree-Law No. 45 of 2021 on the Protection of Personal Data Protection, Article (22)and Article(23).
[16]Federal Decree-Law No. 45 of 2021 on the Protection of Personal Data Protection, Article(23)1.b.
[17]Federal Decree-Law No. 45 of 2021 on the Protection of Personal Data Protection, Article (21)
[18]Federal Decree-Law No. 45 of 2021 on the Protection of Personal Data Protection, Article(10) and Article (11).
[19]The DlFC Data Protection Law (DlFC Law No. 5 of 2020)Article 41.
[20]Dubai Healthcare City Health Data Protection Regulation, Regulation Number (7) of 2013, Article 27.
[21] Dubai Healthcare City Health Data Protection Regulation, Regulation Number (7) of 2013, Article 31.