الخلاصة

  • تقترح مسودة المبادئ التوجيهية 04/2026 التي اعتمدها European Data Protection Board للتشاور خمسة أسئلة لتحديد ما إذا كانت غرامة GDPR تضاف إلى تدبير تصحيحي آخر أو تحل محله.
  • في المخالفة البسيطة، ترجّح المسودة التوبيخ بدلاً من الغرامة عادةً؛ أما إذا لم تكن المخالفة بسيطة، فتقوم قرينة قوية على فرض غرامة، مع بقاء التناسب خاضعاً لتقييم الحالة ذاتها.

إثبات انتهاك لبيانات شخصية لا يحدد وحده ما يجب على الجهة الرقابية فعله. قد تحتاج إلى وقف المعالجة أو الأمر بتصحيحها أو توجيه توبيخ أو تقييد نشاط أو فرض غرامة. والسؤال هو: أي تدبير يعالج الخلل المثبت، ولماذا؟

يقترح European Data Protection Board (EDPB) ترتيب هذا الاختيار في خمس خطوات. وفي الجلسة نفسها، أنهى EDPB مبادئ توجيهية منفصلة بشأن العلاقة بين DSA وGDPR؛ وهذه ليست موضوع منهج اختيار الغرامة الجديد. ففي 17 سبتمبر اعتمد النسخة الأولى من المبادئ التوجيهية 04/2026 وفتحها للتشاور. وتطلب المسودة من سلطة الرقابة الوطنية المختصة أن تتحقق بالتتابع من: ما إذا كان GDPR أو القانون الوطني يسمح بفرض غرامة على المخالفة؛ وما إذا كان الطرف الخاضع للتحقيق هو من التزم بالحكم الذي جرى خرقه؛ وما إذا كان السلوك متعمداً أو ناتجاً عن إهمال؛ وما إذا كانت عوامل المادة 83(2) تدل على مخالفة بسيطة؛ ثم ما إذا كانت الغرامة فعّالة ومتناسبة ورادعة في القضية المعنية.

تشكّل الخطوة الرابعة الحد الأكثر حساسية في المنهج. فالمسودة تقول إن المخالفة البسيطة ينبغي عموماً أن تقابل بتوبيخ لا بغرامة. أما المخالفة غير البسيطة، فتقوم بشأنها قرينة قوية لصالح الغرامة. لكنها ليست تعرفة ثابتة. فالخطوة الخامسة تفرض على السلطة أن تسأل مجدداً إن كانت الغرامة تحقق أهداف القانون في تلك الحالة، وإن كان ثمة سبب للخروج عن النهج المعتاد.

تتناول المسودة اختيار التدبير، لا حساب المبلغ. فالمبادئ التوجيهية 04/2022 الصادرة عن EDPB تتناول حساب قيمة الغرامة. لذلك لا ينبغي للشركات أن تقرأ المشروع كجدول يحوّل المخالفة مباشرة إلى مبلغ محدد. كما أنه لا ينشئ صلاحية جديدة للغرامة: أساسها يظل GDPR، ولا سيما المادتين 58 و83، والقرار في الحالة الفردية يعود إلى سلطة الرقابة المختصة، لا إلى EDPB بوصفه مجلساً.

كانت محكمة العدل قد رسمت الحد العام في القضية C-768/21، Land Hessen. فسلطة حماية البيانات غير ملزمة بفرض غرامة كلما اكتشفت مخالفة. لكنها ملزمة باتخاذ تدبير تصحيحي عندما يكون مناسباً وضرورياً ومتناسباً لمعالجة الخلل وضمان تطبيق GDPR. وتحاول مسودة EDPB جعل هذه السلطة التقديرية أوضح بين القضايا من دون إسقاط واجب الإنفاذ. كما تجيز تجاوز الخطوات التي لا تنطبق، وتوضح أن أمثلتها تشرح طريقة التفكير ولا تنشئ سوابق.

يوضح الفرق بين التحذير والغرامة سبب أهمية التسلسل. فتحذير GDPR يتعلق بعملية معالجة مقصودة لم تتحول بعد إلى مخالفة؛ وتقول المسودة إنه لا يمكن الجمع بينه وبين غرامة على السلوك ذاته. أما التوبيخ أو الأمر أو التقييد فيعالج وضعاً قانونياً مختلفاً وقد يؤدي غرضاً آخر. بعض التدابير يعيد الامتثال، في حين تحمل الغرامة أيضاً وظيفة الردع. ومساواة الأدوات جميعاً تخفي ما تحاول السلطة تحقيقه.

ينتهي تلقي الآراء في 13 نوفمبر 2026 عند الساعة 23:59 بتوقيت وسط أوروبا. ويقول EDPB إنه سينشر المساهمات بعد فحص محدود للتأكد من خلوها من الإرسال غير المصرح به، مثل الرسائل المزعجة. ويدعو المشاركين إلى إزالة المعلومات الشخصية وبيانات الملفات الوصفية التي لا يريدون نشرها؛ ولن تُنشر عناوين البريد الإلكتروني. ويختبر التشاور ما إذا كان الحد بين المخالفة البسيطة والقرينة القوية على الغرامة واضحاً بما يكفي لتوجيه السلطات من دون تحويل القرينة إلى قاعدة آلية.

المصادر

  1. إعلان اجتماع EDPB العام في سبتمبر
  2. مسودة المبادئ التوجيهية 04/2026، النسخة 1.0
  3. التشاور العام وشروط المشاركة
  4. GDPR، اللائحة (الاتحاد الأوروبي) 2016/679
  5. محكمة العدل، القضية C-768/21، Land Hessen
  6. المبادئ التوجيهية 04/2022 لحساب الغرامات
  7. عرض EDPB لغرامات GDPR وصلاحيات التصحيح
  8. بيان محكمة العدل 149/24 بشأن Land Hessen
  9. مبادئ EDPB التوجيهية 3/2025 بشأن العلاقة بين DSA وGDPR