هل ينطبق النظام الأوروبي لحماية البيانات (GDPR) على شركة في عُمان أو الخليج؟ اختبار المادة 3
ينطبق النظام الأوروبي العام لحماية البيانات (GDPR) على شركة في عُمان أو في أي دولة خليجية في ثلاث حالات: أن يكون لها كيان في الاتحاد الأوروبي، أو أن تعرض سلعًا أو خدمات على أشخاص موجودين في الاتحاد، أو أن تراقب سلوك أشخاص أثناء وجودهم فيه.
والمعيار هو مكان الشخص لا جنسيته. فالسائح الألماني الذي يشتري من متجرك في مسقط لا يحمل معه النظام الأوروبي. أما موقع باللغة الألمانية يشحن إلى هامبورغ فقد يفعل.
فإن انطبق عليك النظام، احتجت في الغالب إلى ممثل داخل الاتحاد، وتعرّضت لغرامات تصل إلى 20 مليون يورو أو 4% من الإيرادات السنوية العالمية في أخطر المخالفات.
وهناك طريق رابع أكثر شيوعًا يصل به النظام إلى الشركات الخليجية، ولا يتطلب أن يكون لك عملاء أوروبيون أصلًا: أن تعمل معالِجًا لبيانات عميل أوروبي. وهذه الحالة مشروحة أدناه.
الجواب المختصر
| وضعك | هل ينطبق النظام الأوروبي؟ | ما الذي يترتب |
|---|---|---|
| مكتب أو فرع أو شركة تابعة في الاتحاد | نعم، على المعالجة المرتبطة بنشاط ذلك الكيان أينما تمت | التزامات النظام كاملة لتلك المعالجة |
| لا وجود لك في الاتحاد لكنك تستهدف عملاء فيه | نعم (المادة 3(2)(أ)) | التزامات النظام، وممثل في الاتحاد في معظم الحالات |
| لا وجود لك في الاتحاد لكنك تتتبع أشخاصًا فيه أو تنمّطهم | نعم (المادة 3(2)(ب)) | كما في السابق |
| شركة أوروبية تتعاقد معك لمعالجة بيانات لحسابها | التزاماتها تصلك عبر العقد، والنقل إليك يحتاج آلية قانونية | اتفاقية معالجة بيانات، وغالبًا البنود التعاقدية النموذجية |
| موقعك متاح من أوروبا فحسب | لا، على هذا الأساس وحده | لا شيء خاص بالنظام الأوروبي |
عرض السلع والخدمات: ماذا يعني «الاستهداف»
تشمل المادة 3(2)(أ) المتحكمين والمعالجين خارج الاتحاد الذين يعرضون سلعًا أو خدمات على أصحاب بيانات في الاتحاد، سواء طُلب منهم مقابل أم لا. والسؤال هنا عن النية: هل قصدت أن تعرض على أشخاص في الاتحاد؟
وتعطي حيثيات النظام وإرشادات المجلس الأوروبي لحماية البيانات بشأن النطاق الإقليمي مؤشرات واضحة. فإتاحة الموقع أو البريد الإلكتروني أو رقم الهاتف وحدها لا تكفي. أما المؤشرات التي تُحسب فمنها:
- استخدام لغة أو عملة دولة عضو مع إمكانية الطلب بها؛
- توصيل السلع إلى عناوين داخل الاتحاد؛
- ذكر عملاء أو مستخدمين موجودين في الاتحاد؛
- الدفع لحملات بحث أو إعلان موجهة إلى جمهور أوروبي؛
- استخدام نطاق وطني لدولة أوروبية مثل
.deأو.fr.
لا يحسم مؤشر واحد المسألة، بل الصورة الكاملة. فمتجر إلكتروني عُماني بالعربية والإنجليزية، يسعّر بالريال ويشحن داخل الخليج، لا يستهدف الاتحاد. والمتجر نفسه إن أضاف أسعارًا باليورو ولافتة «توصيل مجاني إلى ألمانيا» يستهدفه.
مراقبة السلوك: التتبع لا مجرد العدّ
تشمل المادة 3(2)(ب) مراقبة سلوك أشخاص في الاتحاد بقدر ما يقع ذلك السلوك داخله. وتشير الحيثيات إلى تتبع الأشخاص عبر الإنترنت لتنميطهم، أي لاتخاذ قرارات بشأنهم أو تحليل تفضيلاتهم وسلوكهم ومواقفهم أو التنبؤ بها.
فالإعلان السلوكي الموجه لزوار أوروبيين، والتتبع عبر المواقع، والتخصيص القائم على سجل التصفح، كلها قد تدخل في ذلك. وتوضح إرشادات المجلس الأوروبي أن ليس كل جمع أو تحليل للبيانات عبر الإنترنت مراقبةً، وأن الغرض هو الفيصل. فالإحصاءات المجمّعة البسيطة عن موقعك أضعف حجةً من تنميط زائر عبر جلسات متعددة.
الكيان القائم: متى يُحسب الوجود الصغير
تطبّق المادة 3(1) النظام على المعالجة المرتبطة بأنشطة كيان قائم في الاتحاد، أينما تمت المعالجة. والكيان القائم يعني نشاطًا حقيقيًا وفعليًا من خلال ترتيبات مستقرة. فالفرع أو الشركة التابعة يدخلان في ذلك، وقد يكفي في بعض الظروف وجود أخف بكثير.
فإن كان لمجموعتك أي كيان أوروبي، فافحص ما يفعله بالبيانات الشخصية قبل أن تستنتج أن النظام الأوروبي مشكلة غيرك.
الطريق الأرجح: المعالجة لعميل أوروبي
قد تكون خارج المادة 3 تمامًا ومع ذلك تعمل بشروط النظام الأوروبي. فإن تعاقدت شركة أوروبية مع شركة عُمانية لبناء نظام يحمل بيانات عملائها أو تشغيله، فالشركة الأوروبية هي المتحكم وأنت معالجها، وعليها أن توقّع معك عقدًا يستوفي المادة 28.
يُلزمك ذلك العقد بالعمل وفق تعليماتها الموثقة فقط، والمحافظة على سرية البيانات وأمنها، وعدم الاستعانة بمعالجين من الباطن إلا بإذن، ومساعدتها في الرد على طلبات أصحاب البيانات، وحذف البيانات أو إعادتها في النهاية.
والبيانات تغادر الاتحاد أيضًا حين تصل إليك. ولم تعتمد المفوضية الأوروبية قرار كفاية لأي دولة خليجية، فيحتاج النقل إلى آلية أخرى بموجب الفصل الخامس، أكثرها شيوعًا البنود التعاقدية النموذجية التي أصدرتها المفوضية. وسيطلب منك عميلك توقيعها، مع تقييم لأثر النقل يصف القانون العُماني وضماناتك.
فإن كنت تبيع برمجيات أو خدمات لشركات أوروبية، فهذا هو الطريق الأرجح الذي سيصلك منه النظام الأوروبي. ومن المفيد أن تكون لديك اتفاقية معالجة جاهزة بدل التفاوض عليها تحت ضغط موعد. ويتناول مقال كيف تتعاقد مع شركة برمجيات دون أن تسلّمها بياناتك البنود نفسها من جهة المشتري.
إن انطبق عليك النظام: الالتزامات التي تغيّر أنظمتك
أساس نظامي لكل غرض. يتيح النظام الأوروبي ستة أسس: الموافقة، والعقد، والالتزام القانوني، والمصالح الحيوية، والمهمة العامة، والمصالح المشروعة. وهذا أوسع من القانون العُماني القائم على الموافقة. فالنظام الذي يخدم السوقين يجب أن يسجل الأساس لكل غرض ولكل ولاية قانونية.
الشفافية. تحدد المادتان 13 و14 ما يجب إبلاغ الناس به عند جمع بياناتهم: من أنت، ولماذا تعالج، وعلى أي أساس، وإلى متى، ومن يتلقى البيانات، وما حقوقهم.
الحقوق، والرد خلال شهر. الاطلاع والتصحيح والمحو والتقييد وقابلية النقل والاعتراض. وتشترط المادة 12 الرد دون تأخير غير مبرر وخلال شهر، قابل للتمديد شهرين آخرين للطلبات المعقدة.
حماية البيانات بالتصميم وبالإعداد الافتراضي. تشترط المادة 25 تدابير تقنية وتنظيمية مناسبة منذ مرحلة التصميم. وانظر الخصوصية بالتصميم في البرمجيات المخصصة لما يعنيه ذلك داخل الشيفرة.
السجلات والأمن والإبلاغ عن الاختراق. سجلات المعالجة في المادة 30، وأمن يتناسب مع الخطر في المادة 32. وتشترط المادة 33 إبلاغ السلطة الرقابية خلال 72 ساعة من العلم بالاختراق، ما لم يكن مستبعدًا أن يشكل خطرًا. وتشترط المادة 34 إبلاغ الأفراد متى كان الخطر عاليًا.
القرارات المؤتمتة. تمنح المادة 22 الأشخاص حق ألا يخضعوا لقرار قائم على المعالجة المؤتمتة وحدها، بما فيها التنميط، إذا أنتج آثارًا قانونية أو آثارًا مماثلة جسيمة، مع استثناءات مشروطة بضمانات.
ممثل في الاتحاد. تُلزم المادة 27 المتحكم أو المعالج المشمول بالمادة 3(2) بتعيين ممثل مكتوب داخل الاتحاد. والاستثناء هو المعالجة العرضية التي لا تشمل فئات خاصة على نطاق واسع ويُستبعد أن تشكل خطرًا.
مسؤول حماية بيانات في حالات محددة. تشترط المادة 37 تعيينه إذا كانت الأنشطة الأساسية تتضمن مراقبة منتظمة ومنهجية للأشخاص على نطاق واسع، أو معالجة واسعة للفئات الخاصة.
الغرامات
تضع المادة 83 شريحتين. مخالفة التزامات مثل التدابير بالتصميم والسجلات والأمن والإبلاغ عن الاختراق وتعيين الممثل قد تصل غرامتها إلى 10 ملايين يورو أو 2% من إجمالي الإيرادات السنوية العالمية للسنة السابقة، أيهما أعلى. ومخالفة المبادئ الأساسية، وقواعد الأساس النظامي والموافقة، وحقوق أصحاب البيانات، وقواعد النقل قد تصل إلى 20 مليون يورو أو 4%.
النظام الأوروبي والقانون العُماني جنبًا إلى جنب
| الموضوع | النظام الأوروبي | القانون العُماني (بعد تعديل 2026) |
|---|---|---|
| الأسس النظامية | ستة، منها المصالح المشروعة | الموافقة الصريحة، وأربعة استثناءات محددة |
| الإبلاغ عن الاختراق | السلطة الرقابية خلال 72 ساعة ما لم يُستبعد الخطر | الإدارة المختصة خلال 72 ساعة متى هُددت الحقوق |
| القرارات المؤتمتة | حق عدم الخضوع لقرار مؤتمت كليًا ذي أثر جسيم | حق الاعتراض على القرارات المؤتمتة مع مراجعة بشرية |
| المحو | لأسباب مثل سحب الموافقة، ومبدأ تقييد مدة الحفظ | فور انتهاء الغرض، ما لم يوجد نزاع أو التزام قانوني |
| النقل الدولي | الكفاية، أو ضمانات كالبنود النموذجية، أو استثناءات | موافقة صريحة قبل النقل أو استثناءات محددة، مع تقييم |
| مسؤول حماية البيانات | في حالات محددة | يحدده كل متحكم |
| الامتداد إلى الخارج | استهداف أشخاص في الاتحاد أو مراقبتهم | بيانات الأشخاص في عُمان، داخل السلطنة أو خارجها |
والدرس العملي أن أيًا من القانونين لا يحتوي الآخر. فالنظام المبني للنظام الأوروبي وحده قد يستند إلى مصالح مشروعة لا يعترف بها القانون العُماني. والنظام المبني لعُمان وحده لا يملك جوابًا لسلطة أوروبية تسأل عن ممثلك. وقد قلّصت تعديلات عُمان في 2026 الفجوة في القرارات المؤتمتة والمحو، لكنها لم تُغلقها.
تغييرات قيد النقاش في بروكسل
اقترحت المفوضية الأوروبية في نوفمبر 2025 حزمة «Digital Omnibus» تعدّل النظام الأوروبي، ومن مقترحاتها رفع عتبة الإبلاغ عن الاختراق إلى الاختراقات عالية الخطورة بمهلة 96 ساعة، ونقل قواعد ملفات تعريف الارتباط (الكوكيز) إلى داخل النظام. وحتى تاريخ كتابة هذا المقال كان المقترح لا يزال أمام البرلمان الأوروبي والمجلس، فقاعدة الـ72 ساعة وقواعد الكوكيز الحالية ما زالت سارية.
أسئلة شائعة
هل ينطبق النظام الأوروبي على شركتي في عُمان إن كان لدي عملاء أوروبيون؟ فقط إن كان لك كيان قائم في الاتحاد، أو كنت تعرض سلعًا أو خدمات عمدًا على أشخاص فيه، أو تراقب سلوكهم هناك. والبيع لأوروبيين أثناء وجودهم في عُمان لا يستدعي النظام وحده.
موقعي بالإنجليزية ومتاح في أوروبا. هل هذا استهداف؟ ليس وحده. فالإنجليزية لا ترتبط بدولة عضو بعينها، والإتاحة لا تكفي. انظر إلى الصورة كاملة: العملة، والتوصيل، والإعلانات، والنطاقات، وذكر العملاء الأوروبيين صراحة.
هل أحتاج ممثلًا في الاتحاد؟ إن انطبق عليك النظام بموجب المادة 3(2) فنعم، ما لم تكن معالجتك عرضية ولا تشمل بيانات فئات خاصة على نطاق واسع ويُستبعد أن تشكل خطرًا. ويُعيَّن الممثل كتابةً، ويكون مقيمًا في دولة عضو يوجد فيها أصحاب البيانات المعنيون.
يطلب مني عميل أوروبي توقيع البنود التعاقدية النموذجية. لماذا؟ لأنه لا يوجد قرار كفاية أوروبي لأي دولة خليجية، فالبيانات الشخصية المرسلة إليك في عُمان تحتاج آلية نقل. والبنود النموذجية هي الآلية المعتادة، وعادة ما يطلب العملاء معها تقييمًا لأثر النقل.
هل النظام الأوروبي أشد من القانون العُماني؟ في بعض النقاط دون غيرها. فالنظام الأوروبي يجيز المصالح المشروعة والقانون العُماني لا يجيزها، والقانون العُماني يُلزم كل متحكم بتحديد مسؤول لحماية البيانات ويوجب المحو فور انتهاء الغرض. فابنِ على الاثنين حيث ينطبقان معًا.
ما الحد الأقصى لغرامة النظام الأوروبي؟ 20 مليون يورو أو 4% من إجمالي الإيرادات السنوية العالمية للسنة المالية السابقة، أيهما أعلى، في أخطر المخالفات.
يعرض هذا المقال الموقف وفق النظام الأوروبي العام لحماية البيانات وقرارات الكفاية الصادرة عن المفوضية الأوروبية كما هي نافذة في 21 أكتوبر 2026، تاريخ نشره، وهو ليس استشارة قانونية. وكانت التعديلات المقترحة ضمن حزمة Digital Omnibus معلّقة في ذلك التاريخ؛ تحقق من وضعك لدى مستشار مؤهل.
المصادر: اللائحة الأوروبية 2016/679 — النظام العام لحماية البيانات · المجلس الأوروبي لحماية البيانات — إرشادات 3/2018 بشأن النطاق الإقليمي · المفوضية الأوروبية — قرارات الكفاية · White & Case — مقترح Digital Omnibus لتعديل النظام
تعمل مع عملاء أو زبائن أوروبيين؟ تبني «ذوات» برمجيات مخصصة وتتولى التكامل والدعم مع سجلات المعالجة ووثائق النقل ومعالجة الحقوق مصممة فيها منذ البداية. احجز مكالمة.