ملفات تعريف الارتباط والتتبّع: واجبات الموافقة والخصوصية

صفحة الخدمة: محامٍ للتجارة الرقمية والذكاء الاصطناعي: شروط الموقع، والخصوصية، والتسويق المباشر.

ما هي ملفات تعريف الارتباط، ولماذا يهتم بها القانون

ملفات تعريف الارتباط (cookies) ملفات صغيرة يخزّنها الموقع على حاسوب المستخدم. بعضها ضروري تمامًا: حفظ تسجيل الدخول، وسلة المشتريات. وهذه لا تتطلب موافقة خاصة، ولن يشتكي منها أحد. والمشكلة تبدأ مع البقية: كوكيز التحليلات التي تتتبّع كل نقرة لكم، والكوكيز التسويقية التي تبني ملفًا سلوكيًا يُنقل إلى غوغل وفيسبوك ومنصّات الإعلان.

وإلى جانب الكوكيز، توجد أيضًا وحدات البكسل (pixels) (مثل Meta Pixel الذي يبلّغ فيسبوك بالأفعال في الموقع)، والبصمة الرقمية (fingerprinting) (التعرّف بحسب خصائص المتصفّح)، والتخزين المحلي (local storage). وكل ذلك خاضع لمتطلبات الموافقة نفسها.

القانون الإسرائيلي: ما المُلزِم وما المستحسن

لا يوجد في إسرائيل قانون خاص بالكوكيز، والإطار هو قانون حماية الخصوصية، 1981: «المعلومات الشخصية» هي معطى عن شخص محدَّد الهوية أو قابل لتحديد هويته، بما في ذلك بواسطة «مُعرِّف إلكتروني» (المادة 3)، والمسّ بالخصوصية يتطلب الموافقة المستنيرة (المادتان 1 و3). ووفق موقف المستشار القضائي للحكومة، الذي تبنّته سلطة حماية الخصوصية في بيان رأي (גילוי דעת) صدر في 25.2.2026، فإن استعمال المعلومات لبناء الملفات الشخصية (profiling) الذي لا يرتبط بغرض الصفقة يتطلب موافقة فاعلة. والكوكي الذي يُنشئ ملفًا شخصيًا، سواء كان «تحليليًا» أو «تسويقيًا»، هو معالجة لمعلومات شخصية بكل معنى الكلمة.

أوصت سلطة حماية الخصوصية (PPA)، وهي الجهة التنظيمية في إسرائيل في هذا المجال، منذ تشرين الثاني/نوفمبر 2020، في مسودة لملاحظات الجمهور بشأن «الخصوصية في وسائل الدفع المتقدّمة»، بأن تُطلب الموافقة على استعمال الكوكيز في هذه الوسائل بشكل منفصل، مع شرح، وبفعل إيجابي من المستخدم (opt-in) لا كخيار افتراضي. وقد ارتفع مقدار العقوبات المالية التي تملك السلطة صلاحية فرضها ارتفاعًا كبيرًا في التعديل رقم 13 لقانون حماية الخصوصية، الذي بدأ سريانه في 14 آب/أغسطس 2025.

GDPR تسري عليكم أيضًا، حتى لو كانت الشركة في إسرائيل

إذا كنتم تعرضون بضائع أو خدمات على أشخاص موجودين في الاتحاد الأوروبي، أو تتتبّعون سلوكهم هناك، مثلًا بكوكيز بناء الملفات الشخصية، فإن GDPR تسري عليكم حتى لو كانت الشركة في إسرائيل (المادة 3(2)). وGDPR (اللائحة 2016/679) من أشد التنظيمات في العالم في موضوع الموافقة: وفق المادة 4(11) يجب أن تكون الموافقة «حرة ومحدّدة ومستنيرة ولا لبس فيها»، بفعل إيجابي من المستخدم. وإسرائيل معترف بها من الاتحاد الأوروبي دولةً ذات مستوى ملائم لحماية البيانات، لكن هذا لا يُعفي من الامتثال لـGDPR عندما تسري.

الغرامات في GDPR ضخمة: حتى 20 مليون يورو أو 4% من رقم الأعمال السنوي العالمي، أيهما أعلى. وقد فرضت السلطات الأوروبية غرامات على غوغل وميتا وعلى مواقع صغيرة على حد سواء.

مثال: متجر إلكتروني يُدمج أدوات تتبّع قبل الحصول على الموافقة

لنفترض متجرًا إلكترونيًا إسرائيليًا يبيع أيضًا لمتصفّحين من أوروبا، ويُدمج وسوم Google Analytics وMeta Pixel التي تُحمَّل تلقائيًا منذ لحظة الدخول إلى الموقع، قبل أن يُبدي المستخدم أي موافقة. في حالة كهذه يكون المتجر معرّضًا مرتين: أمام سلطة حماية الخصوصية في إسرائيل، بوصفه تاجرًا جمع معلومات سلوكية دون الموافقة المستنيرة؛ وأمام الجهات التنظيمية الأوروبية، عندما يتتبّع متصفّحين موجودين في الاتحاد الأوروبي، وفق المتطلبات الأشد في GDPR. والحل العملي: منع تحميل الوسوم في شيفرة الموقع نفسها إلى أن تُتلقّى الموافقة فعلًا، وعدم الاكتفاء بشريط (banner) يُعرض لكنه لا يمنع التحميل في الوقت الفعلي.

شريط الكوكيز (Cookie Banner): ما الذي يجعله قانونيًا، وما الذي يُبطله

لكي يكون الشريط سليمًا، يجب أن يستوفي الشروط التالية: زر «أوافق» وزر «أرفض» متاحان بالمستوى نفسه، دون تلاعب بصري؛ والنقر على «X» لا يُعتبر موافقة؛ والتمرير في الموقع لا يُعتبر موافقة؛ وجعل كل الكوكيز «مفعَّلة» كخيار افتراضي غير قانوني.

أنماط التصميم المضلِّلة (dark patterns) الشائعة التي فرضت عليها جهات تنظيمية غرامات بالفعل: زر «الموافقة» أخضر وبارز، وزر «الرفض» صغير ورمادي؛ ومسار من 5 نقرات لرفض الكوكيز مقابل نقرة واحدة للموافقة؛ ورسالة «ساعدونا على التحسين» التي تُحدث ضغطًا نفسيًا للموافقة.

إدارة الموافقات: لماذا التوثيق هو حمايتكم

عندما تطرق جهة تنظيمية الباب، يكون السؤال الأول: «أثبتوا أن المستخدم وافق.» والموقع الذي يشغّل منصّة لإدارة الموافقات (Consent Management Platform، CMP) مثل Cookiebot أو OneTrust أو Axeptio يحتفظ بسجل مشفّر لكل موافقة: الموعد، وإصدار الشريط، وأيّ الفئات أُقرّت. هذه هي حمايتكم.

وإضافةً إلى ذلك: إذا طلب المستخدم سحب الموافقة، فيجب منع Google Analytics وMeta Pixel كليهما. والمواقع التي تشغّلها «في كل الأحوال» بعد الرفض تخالف متطلبات GDPR وتوجيه الخصوصية الإلكترونية (ePrivacy)، وفي إسرائيل تعمل دون موافقة.

خطوات عملية للامتثال الفوري

افحصوا يدويًا أن كل نص برمجي (script) لطرف ثالث في الموقع (Analytics، Pixel، HotJar، LinkedIn Insight) لا يُحمَّل قبل الحصول على الموافقة. استعملوا Google Tag Manager مع Consent Mode v2، فهو يتيح إدارة منظَّمة للموافقات من مكان واحد. وحدّثوا سياسة الخصوصية لديكم لتتضمن قائمة بكل كوكيز الطرف الثالث التي يشغّلها الموقع.

أسئلة شائعة

ما ملفات تعريف الارتباط (الكوكيز) التي تتطلب موافقة صريحة من المستخدم؟

الكوكيز الضرورية لعمل الموقع، مثل حفظ تسجيل الدخول أو سلة المشتريات، معفاة من الموافقة. أما كوكيز التحليلات والكوكيز التسويقية، التي تُنشئ ملفًا سلوكيًا للمستخدم، فتتطلب وفق القانون الأوروبي موافقة واضحة مسبقة، بفعل إيجابي؛ وفي إسرائيل هذه أيضًا هي الموافقة التي تفضّلها سلطة حماية الخصوصية للاستعمالات غير اللازمة للخدمة.

ما الذي يجعل شريط الكوكيز (Cookie Banner) غير قانوني؟

لا يستوفي الشريط المتطلبات عندما يكون زر الرفض صغيرًا أو مخفيًا مقارنةً بزر الموافقة، وعندما يُعتبر التمرير في الموقع أو النقر على «X» موافقة، وعندما يكون الخيار الافتراضي أن كل الكوكيز مفعَّلة مسبقًا.

هل تسري GDPR على مصلحة تجارية إسرائيلية؟

نعم، عندما تعرض المصلحة بضائع أو خدمات على أشخاص موجودين في الاتحاد الأوروبي أو تتتبّع سلوكهم هناك، حتى دون فرع في أوروبا (المادة 3(2) من GDPR). والمعيار هو مكان وجود المستخدم، لا جنسيته.

إضافة موافقة الكوكيز: هل تكفي لاستيفاء المتطلبات؟

الإضافة أو المنصّة لإدارة الموافقات (CMP) أداة، ولا تضمن الامتثال بحد ذاتها. افحصوا ثلاثة أمور: أن الإضافة تمنع فعلًا وسوم التحليلات والإعلان حتى النقر على «أوافق»، لا أن تعرض شريطًا فقط؛ وأن زر الرفض متاح وبارز مثل زر الموافقة؛ وأن يُحفظ توثيق لكل موافقة. وفي الموقع الذي تسري عليه GDPR، من يعتمد على الموافقة يجب أن يكون قادرًا على إثبات أنها أُعطيت (المادة 7(1))، وسحب الموافقة يجب أن يكون سهلًا مثل إعطائها (المادة 7(3)). ويُستحسن أيضًا أن تُفصَّل في سياسة الخصوصية الكوكيز التي يشغّلها الموقع.