حماية الخصوصية وGDPR: واجبات الشركات الإسرائيلية

صفحة الخدمة: محامٍ للتجارة الرقمية والذكاء الاصطناعي: شروط الموقع، والخصوصية، والتسويق المباشر.

هل تسري عليكم اللائحة الأوروبية (GDPR)، حتى لو كانت الشركة في إسرائيل فقط؟

هل لديكم مستخدمون في ألمانيا؟ زبائن في فرنسا؟ مشتركون في النشرة الإخبارية في إيطاليا؟ تسري GDPR على شركة غير موجودة في الاتحاد الأوروبي عندما تعرض بضائع أو خدمات لأشخاص موجودين في الاتحاد، مقابل دفع أو مجانًا، أو تراقب سلوكهم هناك (المادة 3(2)). المعيار ليس الجنسية ولا مكان تسجيل الشركة، بل مكان وجود الأشخاص وصلة النشاط بهم؛ وإمكانية الوصول إلى الموقع من أوروبا لا تكفي وحدها (الحيثية 23 من الديباجة).

هذا ليس كلامًا نظريًا: على مخالفة مبادئ المعالجة وشروط الموافقة وحقوق أصحاب البيانات تصل الغرامة إلى 20 مليون يورو أو 4% من رقم الأعمال السنوي العالمي، أيهما أعلى (المادة 83(5))؛ وتوثيق أنشطة المعالجة (ROPA) واجب وفق المادة 30، مع إعفاء للمنظمة التي تشغّل أقل من 250 عاملًا، وهو إعفاء لا يسري عندما لا تكون المعالجة عرضية، أو تنطوي على خطر، أو تشمل فئات خاصة من البيانات.

GDPR: أهم ما في اللائحة الأوروبية

اللائحة العامة لحماية البيانات (General Data Protection Regulation، GDPR) هي قانون حماية الخصوصية في الاتحاد الأوروبي، وتسري منذ 25 أيار/مايو 2018 (المادة 99). وهي من أشدّ القوانين في العالم في مجال حماية البيانات، وتغيّر طريقة تعامل الشركات في العالم كله مع البيانات الشخصية.

أهم ما في GDPR:

• الأساس القانوني للمعالجة: يمكن للشركات معالجة البيانات فقط إذا كان لديها أساس قانوني (الموافقة، أو العقد، أو واجب قانوني، وغير ذلك؛ المادة 6(1)). لا يجوز معالجة البيانات لمجرد أن ذلك «لطيف» أو «مفيد».
• الموافقة: الموافقة هي أساس واحد فقط من الأسس القانونية الستة (المادة 6(1))؛ وعند الاعتماد عليها، يجب أن تكون حرّة ومحدّدة ومستنيرة وقاطعة، بتصريح أو بفعل إيجابي واضح (المادة 4(11))، فالسكوت أو الخانة المؤشَّرة مسبقًا ليسا موافقة (الحيثية 32 من الديباجة). الموافقة «الصريحة» مطلوبة في حالات خاصة، مثل معالجة البيانات الحساسة (المادة 9(2)(أ)).
• حقوق أصحاب البيانات: للأشخاص حق الوصول والتصحيح والمحو وتقييد المعالجة ونقل البيانات والاعتراض (المواد 15–21).
• تقييم الأثر على حماية البيانات: عندما يُتوقَّع أن تُنشئ المعالجة، ولا سيما بالتقنيات الجديدة، خطرًا عاليًا على حقوق الأشخاص وحرياتهم، يجب إجراء تقييم للأثر على حماية البيانات قبل البدء بها (المادة 35).
• مسؤول حماية البيانات: واجب تعيين مسؤول حماية البيانات (DPO — Data Protection Officer) يسري على السلطة العامة، وعلى الجهة التي يشمل نشاطها الأساسي مراقبة منتظمة ومنهجية للأشخاص على نطاق واسع، أو معالجة على نطاق واسع لفئات خاصة من البيانات، مثل البيانات الصحية، أو لبيانات عن الإدانات الجنائية (المادة 37(1)).
• الإبلاغ عن الخرق: إبلاغ سلطة الرقابة دون تأخير وخلال 72 ساعة من الوقت الذي عُلم فيه بالخرق، قدر الإمكان، إلا إذا كان لا يُتوقَّع أن ينشئ الخرق خطرًا (المادة 33)؛ وإبلاغ أصحاب البيانات دون تأخير، عندما يُتوقَّع أن ينشئ الخرق خطرًا عاليًا عليهم (المادة 34).
• الغرامات: على مخالفة مبادئ المعالجة وشروط الموافقة وحقوق أصحاب البيانات وقواعد النقل: حتى 20 مليون يورو أو 4% من رقم الأعمال السنوي العالمي، أيهما أعلى (المادة 83(5))؛ وعلى مخالفات أخرى، مثل واجبات الأمن والتوثيق: حتى 10 ملايين يورو أو 2% (المادة 83(4)).

GDPR حلّ قوي لصالح الحق في الخصوصية، وقد أوجد معيارًا جديدًا لحماية البيانات في العالم.

قانون حماية الخصوصية الإسرائيلي، 1981، وأنظمة أمن المعلومات

تُنظَّم حماية الخصوصية في إسرائيل بموجب قانون حماية الخصوصية، 1981 (חוק הגנת הפרטיות, התשמ״א-1981) والقوانين والأنظمة المرافقة له. هو ليس قويًا مثل GDPR، لكنه مع ذلك يفرض على الشركات واجبات جوهرية.

• قانون حماية الخصوصية، 1981: يُسمح بمعالجة المعلومات الموجودة في قاعدة بيانات فقط للغرض الذي حُدّد لها وفق القانون (المادة 8(ب))، ومن يجمع معلومات شخصية لمعالجتها في قاعدة بيانات ملزم بأن يُبلغ الشخص ما إذا كان تقديمها واجبًا أم متوقفًا على موافقته، وما غرض الجمع، ولمن ستُسلَّم المعلومات؛ ومنذ التعديل رقم 13 يشمل البلاغ أيضًا نتيجة عدم الموافقة، واسم المتحكّم في قاعدة البيانات وطرق الاتصال به، ووجود حق الاطّلاع وحق التصحيح (المادة 11).
• أنظمة أمن المعلومات: أنظمة حماية الخصوصية (أمن المعلومات)، 2017 (תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017) تسري على كل قاعدة بيانات، بمستوى أمن أساسي أو متوسط أو عالٍ بحسب نوع المعلومات وعدد الأشخاص وعدد أصحاب الصلاحية؛ ومن يحوز معلومات نُقلت من المنطقة الاقتصادية الأوروبية يخضع أيضًا لأنظمة سنة 2023: واجبات الحذف والدقة والإعلام.
• مسؤول حماية الخصوصية: منذ التعديل رقم 13 (الساري منذ 14.8.2025) يجب تعيين مسؤول حماية الخصوصية في الهيئة العامة، ولدى تاجر المعلومات الذي تحوي قاعدة بياناته معلومات عن أكثر من 10,000 شخص، وفي الجهة التي يشمل عملها الرئيسي مراقبة منهجية على نطاق كبير أو معالجة على نطاق كبير لمعلومات ذات حساسية خاصة (المادة 17ب1)، على غرار الـDPO في GDPR.

وما العقوبة في إسرائيل؟ منذ التعديل رقم 13 يجوز لرئيس سلطة حماية الخصوصية فرض عقوبات مالية، يُحسب بعضها بحسب عدد الأشخاص في قاعدة البيانات. مثلًا، على معالجة معلومات شخصية لغرض غير قانوني: 4 ش.ج. عن كل شخص توجد معلومات عنه في قاعدة البيانات (8 ش.ج. في المعلومات ذات الحساسية الخاصة)، وإذا كان المبلغ المحسوب أقل من 200,000 ش.ج.، يجوز لرئيس السلطة فرض 200,000 ش.ج. (المادة 23كو(هـ))؛ وعلى المعالجة في قاعدة بيانات ملزمة بالتسجيل لم تُسجَّل: 150,000 ش.ج.، وضعف المبلغ في قاعدة بيانات تضم 1,000,000 شخص فأكثر (المادة 23كو(أ)). هذه هي المبالغ الأساسية في القانون؛ ووفق المادة 23لب(ب) تُحدَّث في 1 كانون الثاني/يناير من كل سنة، وفي سنة 2026 هي 4.09 ش.ج. (8.19 ش.ج.)، و204,720 ش.ج.، و153,540 ش.ج. (إعلان عن تحديث مبالغ العقوبات المالية، مجموعة الإعلانات الرسمية 15000، 7.10.2026، بالعبرية). إضافة إلى ذلك، على مخالفات معيّنة، مثل رفض السماح بالاطّلاع على المعلومات، يجوز للمحكمة أن تحكم بتعويضات نموذجية تصل إلى 10,000 ش.ج. لا تتوقف على الضرر (المادة 15أ).

متى بالضبط يجب على شركة إسرائيلية الامتثال لـGDPR؟

الجواب أبسط مما يُظنّ، فـGDPR تسري في ثلاث حالات:

• نطاق السريان: تسري GDPR على المعالجة التي تتم في إطار نشاط فرع للشركة في الاتحاد الأوروبي، بغضّ النظر عن مكان المعالجة (المادة 3(1))؛ وكذلك على شركة غير موجودة في الاتحاد، عندما تكون المعالجة مرتبطة بعرض بضائع أو خدمات لأشخاص موجودين في الاتحاد أو بمراقبة سلوكهم هناك (المادة 3(2)).
• استهداف المقيمين في الاتحاد الأوروبي: عرض البضائع أو الخدمات يُفحص بحسب نيّة التوجّه إلى أشخاص في الاتحاد، مثلًا لغة دولة أوروبية أو عملتها، أو ذكر زبائن هناك؛ أما إمكانية الوصول إلى الموقع من أوروبا، أو استخدام العبرية، وهي اللغة المتعارف عليها في إسرائيل، فلا تكفي وحدها (الحيثية 23 من الديباجة).
• عرض خدمات أو بضائع: إذا كنتم تعرضون خدمات أو منتجات لأشخاص في الاتحاد، حتى مجانًا، فإن GDPR تسري (المادة 3(2)(أ))؛ وكذلك عندما تراقبون سلوكهم هناك، مثلًا بالتتبّع وبناء الملفات الشخصية (التنميط) على الإنترنت (المادة 3(2)(ب)، الحيثية 24 من الديباجة).

حالة عملية: شركة ناشئة إسرائيلية بنت تطبيقًا وتبيعه في السوق الأوروبية سيكون عليها الامتثال لـGDPR في ما يتعلق بمعالجة بيانات المستخدمين في الاتحاد (المادة 3(2)(أ))، وكقاعدة عامة أيضًا تعيين ممثل في الاتحاد (المادة 27)، حتى لو كان معظم الزبائن في إسرائيل.

7 خطوات للامتثال لـGDPR: ابدأوا من هنا

هذا ما يجب إنجازه، بحسب الأولوية:

• سياسة خصوصية واضحة: اكتبوا سياسة خصوصية تشرح بالتفصيل أي بيانات تجمعونها، ولماذا، وكيف تستخدمونها.
• إدارة الموافقات: تأكدوا من وجود موافقة واضحة وفعلية من المستخدمين. لا تستخدموا إعدادات افتراضية توافق مسبقًا، ولا تكتبوا شروطًا مضلِّلة.
• تقليل البيانات: اجمعوا فقط البيانات التي تحتاجون إليها لأغراض محدّدة صراحةً. لا تجمعوا بيانات «لمجرد أنها مثيرة للاهتمام».
• إدارة المزوِّدين: إذا كنتم تستعينون بمعالجي بيانات (مزوِّدي خدمات سحابية، ومنصّات إعلان، وما شابه)، فتأكدوا من وجود اتفاق معالجة مكتوب معهم (المادة 28(3)).
• أمن البيانات: اتخذوا تدابير تقنية وتنظيمية للحفاظ على أمن البيانات: التشفير، وتقييد الوصول، والمراقبة الدورية.
• خطة الاستجابة للخرق: أعدّوا خطة لما يجب فعله إذا وقع خرق للبيانات: ماذا ستفعلون، ومن ستبلغون، وكيف ستفعلون ذلك خلال 72 ساعة.
• فحوص دورية: راجعوا سياسة الخصوصية لديكم بشكل دوري. كيف تتعاملون مع البيانات فعليًا؟ هذا يتغيّر من وقت لآخر.

حماية الخصوصية ليست واجبًا قانونيًا فقط، بل هي أيضًا مسألة ثقة. الشركات التي تتعامل مع البيانات بشفافية ومسؤولية تبني سمعة أقوى لدى المستثمرين والزبائن والجهات الرقابية، والشركات التي تُهمل الخصوصية تدفع الثمن، في أحيان كثيرة أكثر مما توقّعت.

أسئلة شائعة

هل يجب على شركة إسرائيلية خاضعة لـGDPR تعيين ممثل في الاتحاد الأوروبي؟

كقاعدة عامة، نعم. شركة ناشئة إسرائيلية بنت تطبيقًا وتبيعه في السوق الأوروبية سيكون عليها الامتثال لـGDPR في ما يتعلق بمعالجة بيانات المستخدمين في الاتحاد (المادة 3(2)(أ))، وكقاعدة عامة أيضًا تعيين ممثل في الاتحاد (المادة 27)، حتى لو كان معظم الزبائن في إسرائيل.

هل تُعتبر الخانة المؤشَّرة مسبقًا موافقةً وفق GDPR؟

لا. عند الاعتماد على الموافقة، يجب أن تكون حرّة ومحدّدة ومستنيرة وقاطعة، بتصريح أو بفعل إيجابي واضح (المادة 4(11))، فالسكوت أو الخانة المؤشَّرة مسبقًا ليسا موافقة (الحيثية 32 من الديباجة). الموافقة هي أساس واحد فقط من الأسس القانونية الستة للمعالجة (المادة 6(1)).

متى يجب تعيين مسؤول حماية الخصوصية في إسرائيل؟

منذ التعديل رقم 13 (الساري منذ 14.8.2025) يجب تعيين مسؤول حماية الخصوصية في الهيئة العامة، ولدى تاجر المعلومات الذي تحوي قاعدة بياناته معلومات عن أكثر من 10,000 شخص، وفي الجهة التي يشمل عملها الرئيسي مراقبة منهجية على نطاق كبير أو معالجة على نطاق كبير لمعلومات ذات حساسية خاصة (المادة 17ب1 من قانون حماية الخصوصية).