حماية البيانات للمسوّقين: الأساس القانوني والموافقة والحقوق، من اللائحة الأوروبية إلى الخليج

هذا المقال معلومات عامة وليس استشارة قانونية. وهو يخدم القرار الذي تتخذه كل حملة تمسّ قائمة عملاء: هل يجوز لنا استخدام بيانات هذا الشخص لهذا الغرض، وعلى أي أساس، وفي هذه السوق؟

• الأساس قبل البيانات لا تسمح اللائحة العامة لحماية البيانات الأوروبية بالمعالجة إلا على أحد ستة أسس قانونية؛ والأساسان الواقعيان في التسويق هما الموافقة والمصلحة المشروعة¹.
• الاعتراض يُحترم دائماً يحقّ للشخص أن يعترض في أي وقت على استخدام بياناته في التسويق المباشر، وعندئذ يجب أن تتوقف المعالجة¹.
• المملكة المتحدة باتت تنصّ في القانون على أن التسويق المباشر غرض قد يُعدّ مصلحة مشروعة، لكنها ما زالت تتوقّع اختبار موازنة³.
• كاليفورنيا تعمل بحقوق الانسحاب، وتضيف لوائح جديدة نافذة منذ 1 يناير 2026 تقييماتٍ للمخاطر عند بيع البيانات أو مشاركتها للإعلان الموجّه^6، 7.
• الخليج ومصر تشترط السعودية الموافقة للتسويق المباشر وتطبّق قانونها منذ سبتمبر 2024^8، 9؛ وأصدرت مصر لائحتها التنفيذية في نوفمبر 2025¹²؛ وكانت لائحة الإمارات ما تزال منتظرة في يونيو 2026¹¹.

وللرسائل الإلكترونية قواعد موافقة خاصة بها، نتناولها في الموافقة على البريد الإلكتروني والرسائل النصية والمراسلة.

تسري اللائحة على المؤسسات داخل الاتحاد الأوروبي، وكذلك على المؤسسات خارجه التي تعرض سلعاً أو خدمات على أشخاص في الاتحاد أو تراقب سلوكهم¹. فالعلامة في الرياض أو القاهرة أو دبي التي تستهدف متسوّقين في فرنسا داخلة في نطاقها.

وتسرد المادة 6 ستة أسس قانونية: الموافقة، والعقد، والالتزام القانوني، والمصالح الحيوية، والمهمة العامة، والمصلحة المشروعة¹. ثلاثة منها تهمّ التسويق:

• العقد يغطّي ما يلزم لتسليم ما اشتراه الشخص أو طلبه: تأكيد الطلب، ورسالة التوصيل. ولا يغطّي النشرة البريدية¹.
• الموافقة يجب أن تكون حرّة ومحدّدة ومستنيرة ولا لبس فيها، بفعل إيجابي واضح؛ وعليك أن تستطيع إثباتها، وأن يكون سحبها بسهولة منحها¹.
• المصلحة المشروعة تغطّي المعالجة اللازمة لمصلحة لك، بشرط ألا تتغلّب عليها مصالح الشخص وحقوقه. وتقول ديباجة اللائحة إن التسويق المباشر قد يُعدّ مصلحة من هذا النوع¹.

وقاعدتان أخريان تشكّلان التسويق: لا تُعتدّ بموافقة الطفل على الخدمات الرقمية إلا من سن 16، أو من سن أدنى لا تقلّ عن 13 إن حدّدتها دولة عضو¹. وتبلغ غرامات مخالفة المبادئ الأساسية 20 مليون يورو أو 4% من رقم الأعمال السنوي العالمي، أيهما أعلى¹.

ملفات تعريف الارتباط والتتبّع تخضع لقواعد الخصوصية الإلكترونية لا للائحة وحدها: فتخزين أي شيء على جهاز المستخدم أو قراءته منه يحتاج إلى موافقة ما لم يكن ضرورياً بصورة صارمة (الخصوصية الإلكترونية، ملف تعريف الارتباط). وقد اقترحت المفوضية الأوروبية، ضمن حزمتها الرقمية، نقل هذه القواعد إلى اللائحة حين تتعلق ببيانات شخصية، مع رفض بنقرة واحدة، والتزام باحترام الاختيار ستة أشهر على الأقل، وتفضيلات تُضبط مرة واحدة، في المتصفح مثلاً¹⁴. وهذا اقتراح لا قانون؛ وإلى أن يُعتمد تبقى القواعد الحالية سارية¹⁴.

تضيّع فرق تسويق كثيرة وقتها في الجدل حول الأساس بعد أن تُبنى الحملة. فحدّده أولاً، لكل غرض، واكتبه.

حق الاعتراض. حين تُستخدم البيانات في التسويق المباشر، بما في ذلك التنميط المرتبط به، يحقّ للشخص الاعتراض في أي وقت، ولا يجوز بعدها استخدام البيانات لهذا الغرض¹. ويجب لفت انتباهه إلى هذا الحق صراحةً، في أول تواصل على أبعد تقدير¹. وعملياً يعني ذلك قائمة حظر واحدة تقرؤها كل القنوات: البريد الإلكتروني، والرسائل النصية، ورفع الجماهير إلى منصات الإعلان، ومراكز الاتصال.

الحقوق الأخرى. يحقّ للناس الاطلاع على بياناتهم وتصحيحها ومحوها ونقلها، وألا يخضعوا لبعض القرارات الآلية بالكامل¹. وينبغي لفريق التسويق أن يعرف أين تقيم بياناته ليجيب ضمن المهلة.

البيانات التي تشاركها مع منصات الإعلان. رفع قائمة عملاء لبناء جمهور مشابه أو لـإعادة الاستهداف معالجة كأي معالجة أخرى: تحتاج إلى أساس، ويجب ذكرها في إشعار الخصوصية، ويجب أن تصل إليها الاعتراضات.

تحتفظ المملكة المتحدة بنسختها من اللائحة، وقد عدّلها قانون البيانات (الاستخدام والوصول) لعام 2025. ويُدرج القانون التسويق المباشر بين الأغراض التي قد تُعدّ مصالح مشروعة³. وهذا ليس الأساس الجديد المسمّى «المصالح المشروعة المعترف بها» الذي لا يحتاج إلى موازنة: فما زال مكتب مفوّض المعلومات (ICO) يتوقّع تقييماً للمصلحة المشروعة في التسويق المباشر، ويقول في إرشاداته المحدّثة في 23 مارس 2026 إن المؤسسات التي تعتمد على المصلحة المشروعة لا تحتاج إلى تغيير أساسها³. ويرى بعض المستشارين أن الموافقة تبقى أفضل الممارسات للتسويق المباشر للمستهلكين⁵.

ويخضع التسويق الإلكتروني في المملكة المتحدة أيضاً للوائح الخصوصية والاتصالات الإلكترونية (PECR)، التي تسري إلى جانب اللائحة البريطانية². ورفع قانون 2025 غرامات PECR إلى مستوى غرامات اللائحة البريطانية⁴. والقاعدة العملية: تحدّد اللائحة هل يجوز لك استخدام البيانات، وتحدّد PECR هل يجوز لك إرسال الرسالة الإلكترونية أو النصية.

لا يوجد في الولايات المتحدة قانون اتحادي عام للخصوصية في التسويق. ويمنح قانون كاليفورنيا، CCPA بصيغته المعدّلة بـCPRA، المستهلكين حق معرفة بياناتهم وحذفها وتصحيحها، وحق الانسحاب من بيعها أو مشاركتها للإعلان السلوكي عبر السياقات⁷. وهو نموذج انسحاب: يجوز لك غالباً استخدام البيانات حتى يقول الشخص «توقّف»، لكن يجب أن تجعل التوقّف سهلاً، بما في ذلك احترام إشارات الانسحاب في المتصفح مثل Global Privacy Control⁷.

ودخلت لوائح جديدة لوكالة حماية الخصوصية في كاليفورنيا، التي صار اسمها التجاري CalPrivacy، حيّز التنفيذ في 1 يناير 2026⁶. وهي تشترط تقييمات للمخاطر، من بين أمور أخرى، عند بيع المعلومات الشخصية أو مشاركتها للإعلان الموجّه وعند معالجة المعلومات الحساسة^6، 7. وتسري قواعد تقنيات اتخاذ القرار الآلي من 1 يناير 2027، وعلى القرارات الجوهرية وحدها مثل الائتمان والسكن والوظائف والرعاية الصحية؛ وقد أُسقط الإعلان السلوكي من مسبّبات تطبيقها في النص النهائي⁶. وإن كنت تسوّق في أنحاء الولايات المتحدة، فتحقّق مما إذا كانت للولايات الأخرى التي يقيم فيها عملاؤك قوانين خصوصية خاصة بها.

المملكة العربية السعودية. دخل نظام حماية البيانات الشخصية حيّز التنفيذ في 14 سبتمبر 2023، مع مهلة سنة انتهت في 14 سبتمبر 2024؛ والجهة المنظِّمة هي الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)⁸. وتشترط اللائحة التنفيذية الموافقة لمعالجة البيانات الشخصية لأغراض الإعلان والتسويق المباشر، ووسيلة سهلة لإيقاف تلقّي المواد التسويقية في أي وقت⁹. وطرحت سدايا مسودة تعديلات على اللائحة التنفيذية للاستطلاع من 6 أكتوبر إلى 5 نوفمبر 2026¹⁰: فتحقّق من النص النهائي.

الإمارات العربية المتحدة. القانون الاتحادي هو المرسوم بقانون اتحادي رقم 45 لسنة 2021. وحتى يونيو 2026 لم تكن لائحته التنفيذية قد صدرت، وأُنشئت هيئة اتحادية جديدة للذكاء الاصطناعي والبيانات، مما يترك توزيع الرقابة مسألة مفتوحة¹¹. وتطبّق المنطقتان الحرّتان الماليتان، مركز دبي المالي العالمي (DIFC) وسوق أبوظبي العالمي (ADGM)، نظامين خاصّين لحماية البيانات¹¹. وإلى أن تصدر اللائحة، ابنِ على معيار أشدّ أسواقك.

مصر. صدرت اللائحة التنفيذية لقانون حماية البيانات الشخصية رقم 151 لسنة 2020 بالقرار الوزاري رقم 816 لسنة 2025 في 1 نوفمبر 2025¹². وهي تنظّم ترخيص المتحكّمين والمعالجين لدى مركز حماية البيانات الشخصية، برسوم متدرّجة بحسب عدد السجلات، وتشترط الإبلاغ عن الاختراقات خلال 72 ساعة، وتتناول التسويق الإلكتروني المباشر¹². وبصدور اللائحة بدأت مهلة امتثال مدتها سنة، ونشر المركز إرشادات منها إرشاد عن التسويق الإلكتروني المباشر¹³.

حالة إيضاحية وليست شركة حقيقية. متجر إلكتروني مقرّه دبي يبيع لعملاء في الإمارات والسعودية وفرنسا وكاليفورنيا. ويريد استخدام سجلّ المشتريات لإرسال عروض مخصّصة بالبريد الإلكتروني، ورفع قائمة عملائه إلى منصة اجتماعية لبناء جمهور مشابه.

1. حدّد الأغراض رسائل الطلبات (العقد)؛ العروض المخصّصة (التسويق)؛ رفع القائمة (التسويق والتنميط).
2. فرنسا تسري اللائحة الأوروبية لأن المتجر يستهدف أشخاصاً في الاتحاد¹. ويحتاج البريد التسويقي للأفراد إلى موافقة بموجب قواعد الخصوصية الإلكترونية، ما لم ينطبق استثناء العملاء الحاليين؛ ويحتاج رفع القائمة إلى أساس، وذكر في الإشعار، ومسار للاعتراض¹.
3. السعودية الموافقة شرط للتسويق المباشر⁹؛ فيجمعها المتجر عند الدفع، بخانة غير مؤشَّرة مسبقاً، وباختيار مستقل لكل قناة.
4. كاليفورنيا مشاركة القائمة مع منصة للإعلان الموجّه حقّ انسحاب، وصار تقييم المخاطر لازماً^6، 7.
5. معيار واحد بدل أربعة مسارات، يطبّق المتجر أشدّ قاعدة (موافقة مستقلة وموثّقة للتسويق) في كل مكان، وتغذّي قائمة حظر واحدة كل القنوات.

• اختيار الأساس بعد بناء الحملة حدّده لكل غرض، ووثّقه¹.
• دمج الموافقة في الشروط والأحكام. يجب أن تكون الموافقة محدّدة وحرّة¹.
• معاملة المصلحة المشروعة كثغرة تحتاج إلى اختبار موازنة مكتوب، والاعتراض يتقدّم عليها^1، 3.
• نسيان رفع الجماهير الاعتراض الذي يوقف البريد ولا يوقف منصة الإعلان لم يُحترم¹.
• افتراض أن القانون بلا لائحة قانون بلا أسنان القانون الإماراتي نافذ¹¹، والسعودية تطبّق قانونها⁸.
• إغفال الأنماط المضلِّلة في شاشات الموافقة. يجب أن يكون الرفض بسهولة القبول.

قائمة تحقق تنجزها هذا الأسبوع مع شركائك في البيانات والشؤون القانونية:

1. خريطة البيانات ما الذي تحتفظ به، ومن أين جاء، وأين يقيم، وأي أدوات وشركاء يتلقّونه. وغالباً تكون منصة بيانات العملاء أو نظام إدارة علاقات العملاء نقطة البداية.
2. سجلّ الأغراض صفّ لكل غرض تسويقي، مع أساسه القانوني والأسواق التي يغطّيها والدليل.
3. سجلات الموافقة من، ومتى، وأين، وبأي صيغة، ولأي قنوات؛ وأداة لإدارة الموافقات لملفات الارتباط والتفضيلات.
4. قائمة حظر واحدة للاعتراضات وسحب الموافقة، تقرؤها قنوات البريد والرسائل النصية ومراكز الاتصال ورفع الجماهير.
5. إشعارات بكل لغة تسوّق بها، تذكر رفع البيانات إلى منصات الإعلان والتنميط.
6. فحص لكل سوق في الخطة، بالتواريخ أعلاه، مع قائمة التحقق للإطلاق لحفظ الاعتماد.
7. خطة للاختراقات تتوقّع مصر الإبلاغ خلال 72 ساعة¹²؛ فتدرّب عليها مع قائمة التحقق لاتصالات الأزمات.

قراءات ذات صلة: الدليل الأساسي لإدارة علاقات العملاء والولاء، وبيانات الطرف الأول، وصفحة عمليات التسويق.

• القانون: اللائحة الأوروبية على EUR-Lex¹؛ والحزمة الرقمية للمفوضية¹⁴.
• المملكة المتحدة: إرشادات ICO عن التسويق الإلكتروني² وعن PECR بعد قانون 2025⁴؛ وجمعية DMA عن إرشادات المصلحة المشروعة المحدّثة³؛ وMayer Brown عن القانون⁵.
• كاليفورنيا: Skadden عن اللوائح النهائية⁶ وموجز Future of Privacy Forum⁷.
• الخليج ومصر: Latham & Watkins⁸ وClyde & Co^9، 10 عن السعودية؛ وMorgan Lewis عن الإمارات¹¹؛ والتميمي¹² وCMS¹³ عن مصر.
• التالي في هذا المسار: الإفصاح عن المؤثّرين والتأييد، والموافقة على البريد الإلكتروني والرسائل النصية والمراسلة.