Le normative degli Emirati Arabi Uniti e degli Stati del Golfo in materia di intercettazioni legali differiscono notevolmente da quelle europee. Gli Stati del Consiglio di Cooperazione del Golfo (CCG) - Emirati Arabi Uniti, Arabia Saudita, Qatar, Bahrein, Kuwait e Oman - rappresentano alcuni dei mercati delle telecomunicazioni in più rapida crescita al mondo. Gli operatori europei, gli MVNO e i fornitori di tecnologia che intendono entrare o collaborare in questi mercati devono comprendere che il panorama delle intercettazioni legali nel Golfo è fondamentalmente diverso da quello a cui sono abituati nell'UE. La filosofia normativa, le strutture istituzionali, i requisiti tecnici e il grado di coinvolgimento dello Stato nella sorveglianza delle telecomunicazioni differiscono notevolmente dal modello europeo.
Questo articolo si concentra principalmente sugli Emirati Arabi Uniti, il mercato del Golfo più importante per gli operatori internazionali, ma affronta anche temi comuni a tutta la regione del CCG. Per gli operatori europei, il punto di partenza è che l'ingresso nel mercato delle telecomunicazioni del Golfo richiede un'approfondita rivalutazione delle ipotesi sul funzionamento delle intercettazioni legali, su chi le gestisce e sull'aspetto pratico della conformità.
Intercettazione legale negli Emirati Arabi Uniti: Requisiti per l'ingresso nel mercato
In the EU, lawful interception operates within a framework of judicial oversight, proportionality, and fundamental rights protections. Interception generally requires judicial authorisation or, for national-security interception, approval by a minister subject to independent oversight; oversight bodies review the use of surveillance powers, and operators operate within a context of legal certainty and procedural safeguards. In the Gulf states, the regulatory philosophy is markedly different. Telecommunications surveillance is generally treated as a sovereign prerogative, exercised by state security agencies with broad authority and, in most cases, limited independent oversight.
Negli Emirati Arabi Uniti, la Telecommunications and Digital Government Regulatory Authority (TDRA) - precedentemente Telecommunications Regulatory Authority (TRA) - è l'ente normativo principale per il settore delle telecomunicazioni. La TDRA stabilisce il quadro normativo all'interno del quale gli operatori devono operare, compresi i requisiti relativi alle intercettazioni legali. Tuttavia, la direzione operativa delle attività di intercettazione è guidata principalmente dai servizi di sicurezza e gli operatori devono essere pronti a lavorare a stretto contatto con queste agenzie per soddisfare i loro requisiti.
The UAE’s telecommunications sector is governed by Federal Decree-Law No. 3 of 2003 Regulating the Telecommunications Sector, as amended, and by the licences TDRA issues under it; the specific interception powers are not set out in a public regulation. Federal Decree-Law No. 34 of 2021 on Countering Rumours and Cybercrimes makes unauthorised interception a criminal offence. The scope of the state’s powers is significantly broader than in most EU jurisdictions, and the procedural safeguards are different in nature. The UAE has only two licensed public telecom operators (e& and du), whose licences TDRA renewed in 2026 until 2046. European entrants usually come in through a partnership or MVNO arrangement with one of them, so the LI set-up is largely the host’s.
Requisiti tecnici negli EAU
I requisiti tecnici per l’intercettazione legale negli Emirati Arabi Uniti sono definiti dalla TDRA in consultazione con le agenzie di sicurezza. Gli operatori sono tenuti a implementare capacità di intercettazione that meet the TDRA’s specifications, which include the ability to intercept voice, SMS, data, and IP-based communications. The detailed technical specifications are confidential and are made available to licensees only.
One of the most significant differences from the European model is the degree of direct access that security agencies may require to an operator’s network infrastructure. Public reports suggest that in parts of the region security agencies may have more direct access to operator systems than is usual in the EU; operators should clarify the access model contractually before signing. This model contrasts sharply with the European approach, where operators typically retain control over the activation and execution of intercepts and deliver the resulting data to law enforcement through defined interfacce di trasferimento.
UAE licensees are also subject to content and service-access rules, for example on unlicensed VoIP, which are enforced through network filtering. These are separate from lawful interception obligations. The deployment of such technologies raises significant technical and ethical questions for European operators, particularly given the EU’s emphasis on privacy and data protection.
For operators providing services in the UAE, the technical compliance requirements are non-negotiable. Failure to deploy the required interception capabilities can put the licence of the operator concerned at risk. Compliance is monitored by the regulator and the security authorities under confidential licence conditions.
Paesaggio più ampio del CCG
While each GCC state has its own regulatory framework, several common themes emerge across the region. Saudi Arabia’s Communications, Space and Technology Commission (CST) licenses operators whose obligations include cooperation with the security authorities; the detailed requirements are not public.
Qatar’s Communications Regulatory Authority (CRA) and Bahrain’s Telecommunications Regulatory Authority (TRA) likewise require licensees to cooperate with the security services. In Kuwait and Oman, the regulatory frameworks are somewhat less publicly documented, but the expectation of operator cooperation with interception requirements is consistent across the region.
A common feature across the GCC is tight control of OTT services. The Gulf states have at various times restricted or blocked VoIP services such as WhatsApp voice calls, Skype, and FaceTime, partly for commercial reasons (to protect the revenues of incumbent operators) and partly for security reasons (to maintain surveillance capabilities). Operators entering the GCC market must understand these dynamics and be prepared to comply with requirements that may include the blocking or filtering of specific services.
Le sfide per gli operatori europei
European operators entering the Gulf market face several significant challenges related to lawful interception. The first is the tension between the Gulf’s surveillance requirements and the EU’s legal framework for data protection and privacy. Operators subject to the GDPR may find themselves in a position where compliance with Gulf interception requirements could conflict with their obligations under EU law. A conflict arises mainly where an EU-established entity or EU-hosted systems would process the data: under Art. 48 GDPR, a third-country authority’s request alone does not legitimise a transfer. Keeping Gulf LI systems and data in-country, run by the local entity, avoids most of this tension.
The second challenge is the possibility that security agencies require more direct access to the network than European operators are used to. Clarify the access model contractually and reflect it in network design, security architecture and internal governance.
The third challenge relates to scope. Content and service-access rules, such as blocking unlicensed VoIP, may require network filtering capabilities that European operators do not use at home; these are separate from LI obligations and need their own legal and export-control review.
A fourth challenge is the lack of public documentation for some aspects of the interception requirements. While the TDRA and other Gulf regulators publish general frameworks and guidelines, the detailed technical specifications for interception are often provided on a confidential basis to licensed operators. This means that operators cannot fully assess the technical requirements before entering the market and must be prepared for an iterative process of specification review, development, and testing once they have agreed their arrangement with the host licensee.
Controllo delle esportazioni e considerazioni etiche
European operators and technology vendors must also consider the export control implications of deploying surveillance technology in the Gulf. The EU’s Dual-Use Regulation (Regulation 2021/821) imposes export controls on certain surveillance and interception technologies, including equipment and software that could be used for the interception of telecommunications, and a catch-all for non-listed cyber-surveillance items where there is a risk of serious human rights violations (Art. 5). Operators and vendors exporting such technologies to Gulf states must ensure that they obtain the necessary export licences and comply with the conditions attached to those licences; for a German exporter the licensing authority is BAFA.
Oltre alla conformità legale, ci sono considerazioni etiche che gli operatori europei devono affrontare. La situazione dei diritti umani nei Paesi del Golfo è stata oggetto di un esame internazionale e l'impiego di tecnologie di sorveglianza in questi mercati comporta rischi per la reputazione. Gli operatori dovrebbero condurre valutazioni di due diligence sui diritti umani prima di entrare nel mercato e stabilire politiche di risposta a situazioni in cui la loro tecnologia potrebbe essere utilizzata in modi che contrastano con gli standard internazionali sui diritti umani.
Diverse aziende europee hanno dovuto affrontare critiche pubbliche e sfide legali legate alla vendita o all'impiego di tecnologie di sorveglianza nel Golfo e nella regione del Medio Oriente. Gli operatori che entrano in questo spazio dovrebbero assicurarsi di disporre di solidi programmi di compliance, che includano processi di revisione etica, tutele per gli informatori e valutazioni periodiche dell'impatto delle loro attività sui diritti umani.
Raccomandazioni pratiche
Per gli operatori europei che stanno valutando l'ingresso negli Emirati Arabi Uniti o nel più ampio mercato del CCG, si raccomandano diversi passi pratici. In primo luogo, effettuare un'approfondita valutazione legale e normativa del mercato di destinazione, compresi i requisiti di intercettazione, gli obblighi di localizzazione dei dati ed eventuali potenziali conflitti con la legislazione dell'UE. Rivolgersi a un consulente legale locale esperto in normative sulle telecomunicazioni e sulla sicurezza nazionale.
In secondo luogo, è necessario impegnarsi con l'autorità di regolamentazione competente sin dalle prime fasi del processo di pianificazione per comprendere le specifiche tecniche di intercettazione e avviare il processo di conformità. Prevedere un tempo sufficiente per lo sviluppo tecnico e i test, poiché i requisiti potrebbero essere più estesi del previsto. In terzo luogo, valutate le implicazioni sul controllo delle esportazioni dell'impiego di qualsiasi tecnologia di sorveglianza e ottenete le autorizzazioni necessarie prima di procedere.
Quarto, condurre una valutazione dell'impatto sui diritti umani e stabilire politiche e procedure per gestire le dimensioni etiche dell'utilizzo della tecnologia di sorveglianza nel Golfo. Quinto, assicuratevi che le vostre strutture di governance aziendale consentano un'adeguata supervisione delle attività di sorveglianza e che le vostre politiche interne siano in linea con i requisiti legali locali e con gli standard etici della vostra organizzazione.
Conclusione
The UAE and the broader GCC present significant opportunities for European telecommunications operators, but the lawful interception landscape in these markets requires a fundamentally different approach from what operators are accustomed to in Europe. The state-centric regulatory philosophy, the broad scope of interception powers, the possibility of direct agency access, and the ethical considerations associated with surveillance in the Gulf all demand careful preparation, specialist expertise, and a proactive approach to compliance. Operators that invest in understanding these requirements and building appropriate capabilities will be well positioned to succeed in these dynamic and growing markets, while managing the legal, technical, and reputational risks that come with operating in a fundamentally different regulatory environment.
Il contesto normativo degli Emirati Arabi Uniti in materia di intercettazioni legali differisce notevolmente dalle norme europee. Gli operatori che stanno pianificando l'ingresso nel mercato devono comprendere a fondo i requisiti degli EAU in materia di intercettazioni legali prima di impegnarsi nell'implementazione.
Articoli correlati
Per ulteriori letture su argomenti correlati, esplorate questi articoli:
- LI Requirements in the Netherlands: Telecommunicatiewet Chapter 13, ETSI-IP.nl and What MVNOs Must Know
- Requisiti per l'intercettazione legale in Spagna ai sensi della LGTEL
- Intercettazione legale via satellite: Perché le partnership MNO-Satellite stanno creando nuove esigenze di conformità
Risorse esterne
Le seguenti risorse esterne forniscono ulteriore contesto e documentazione ufficiale:
