إجابة سريعة: بموجب اللائحة العامة لحماية البيانات (GDPR)، يحدد مراقب البيانات سبب وكيفية معالجة البيانات الشخصية، بينما يتعامل معالج البيانات مع البيانات بناءً على تعليمات المراقب فقط. تختلف المسؤولية بشكل كبير: يتحمل المراقبون أوسع نطاق من المساءلة، بينما يواجه المعالجون مسؤولية مباشرة فقط عندما يتصرفون خارج التعليمات القانونية أو ينتهكون التزامات GDPR الموجهة إليهم تحديدًا.
النقاط الرئيسية
- يقرر مراقب البيانات أغراض ووسائل المعالجة؛ ويتصرف معالج البيانات نيابة عن المراقب.
- يتحمل المراقبون المسؤولية الأساسية بموجب GDPR؛ ويواجه المعالجون مسؤولية مباشرة بموجب المادة 82 فقط في ظروف محددة.
- يمكن أن يتواجد كلا الدورين في وقت واحد داخل منظمة واحدة، يمكن للشركة أن تكون مراقبًا لعملائها ومعالجًا لعمل تجاري آخر.
- اتفاقية معالجة البيانات (DPA) الملزمة قانونًا إلزامية كلما قام المراقب بإشراك معالج.
- يتطلب المعالجون الفرعيون تفويضًا كتابيًا مسبقًا من المراقب؛ ويظل المعالج الرئيسي مسؤولاً بالكامل عن سلوك المعالج الفرعي.
- سوء تصنيف دورك هو خطر امتثال يمكن أن يعرض مؤسستك لعقوبات تنظيمية.
- يصبح المعالجون الذين يستخدمون البيانات الشخصية لأغراضهم الخاصة مراقبين تلقائيًا لنشاط المعالجة هذا.
- يقدم قانون البيانات (الاستخدام والوصول) لعام 2026 في المملكة المتحدة تغييرات إضافية يجب على المنظمات العاملة بموجب GDPR في المملكة المتحدة مراجعتها على الفور.
ما هو الفرق بين مراقب البيانات ومعالج البيانات بموجب GDPR؟
مراقب البيانات هو أي كيان يحدد أغراض ووسائل معالجة البيانات الشخصية. معالج البيانات هو أي كيان يعالج البيانات الشخصية نيابة عن مراقب، ويتبع تعليمات المراقب بدقة [1].
يعتمد التمييز على سلطة اتخاذ القرار. إذا قررت مؤسستك لماذا يتم جمع البيانات وكيف سيتم استخدامها، فأنت المراقب. إذا كانت مؤسستك تتعامل مع البيانات فقط لأن كيانًا آخر قد وجهك للقيام بذلك، وليس لديك رأي مستقل في الغرض، فأنت المعالج.
أمثلة عملية:
| السيناريو | الدور |
|---|---|
| بائع تجزئة للتجارة الإلكترونية يجمع بيانات شراء العملاء | المراقب |
| مزود استضافة سحابية يخزن قاعدة بيانات هذا البائع | المعالج |
| منصة SaaS للرواتب تعالج بيانات الموظفين لصاحب العمل | المعالج |
| وكالة تسويق تبني قائمة العملاء المحتملين الخاصة بها | المراقب |
| بائع CRM يصل إلى بيانات العميل لتقديم الدعم | المعالج |
تؤكد ICO أن التسمية في العقد لا تحدد الدور، بل السلوك الفعلي هو الذي يحدده [1]. البائع الذي يطلق عليه "معالج" في العقد ولكنه يتخذ قرارات مستقلة بشأن استخدام البيانات هو قانونًا مراقب بغض النظر عما ينص عليه الاتفاق.
ما هي المسؤوليات الرئيسية لمراقب البيانات بموجب GDPR؟
يتحمل المراقبون أثقل عبء امتثال بموجب GDPR. فهم مسؤولون عن دورة حياة البيانات بأكملها ويجب عليهم التأكد من أن أي معالج يقومون بإشراكه يفي بمعايير GDPR [3].
تشمل التزامات المراقب الأساسية ما يلي:
- إنشاء وتوثيق أساس قانوني لكل نشاط معالجة
- تقديم إشعارات خصوصية شفافة لأصحاب البيانات
- تسهيل حقوق أصحاب البيانات، والوصول، والتصحيح، والمحو، وقابلية النقل، والاعتراض
- إجراء تقييمات تأثير حماية البيانات (DPIAs) للمعالجة عالية المخاطر
- تعيين مسؤول حماية البيانات (DPO) عند الاقتضاء
- إجراء العناية الواجبة قبل إشراك المعالجين ومراقبة امتثالهم المستمر
- تنفيذ اتفاقية معالجة بيانات مكتوبة مع كل معالج يتم إشراكه [3]
لا يمكن للمراقبين الاستعانة بمصادر خارجية للمساءلة. حتى عندما يتسبب المعالج في اختراق، يظل المراقب مسؤولاً أمام السلطات الإشرافية عن اختياره للمعالج وكفاية الضمانات التعاقدية.
ما هي المسؤوليات الرئيسية لمعالج البيانات بموجب GDPR؟
لدى المعالجين التزامات مباشرة بموجب GDPR، وليست مجرد التزامات تعاقدية، ولا يمكنهم التعامل مع الامتثال على أنه مشكلة المراقب وحده [3].
تشمل التزامات المعالج المباشرة بموجب GDPR ما يلي:
- معالجة البيانات فقط بناءً على تعليمات موثقة من المراقب
- تنفيذ تدابير أمنية تقنية وتنظيمية مناسبة
- الاحتفاظ بسجلات لجميع أنشطة المعالجة التي تتم نيابة عن المراقبين
- إخطار المراقب بأي خرق للبيانات دون تأخير لا مبرر له
- مساعدة المراقب في تلبية طلبات حقوق أصحاب البيانات
- حذف أو إرجاع جميع البيانات الشخصية عند إنهاء العقد
- إشراك المعالجين الفرعيين فقط بتفويض كتابي مسبق من المراقب [3]
"لدى المعالجين التزامات مباشرة بموجب GDPR، وليس فقط واجبات تعاقدية، ويواجهون تعرضًا تنظيميًا إذا تصرفوا خارج التعليمات القانونية للمراقب."
من هو المسؤول في حالة وجود خرق للبيانات: المراقب أم المعالج؟
يمكن أن يكون كلاهما مسؤولاً، لكن النطاق يختلف. بموجب المادة 82 من GDPR، يحق لأي شخص يعاني من ضرر نتيجة انتهاك GDPR المطالبة بتعويض من المراقب أو المعالج المسؤول [2].
المراقبون مسؤولون عن الأضرار الناجمة عن أي معالجة تنتهك GDPR. المعالجون مسؤولون فقط عندما يفشلون في الامتثال لالتزامات GDPR الموجهة إليهم تحديدًا، أو عندما يتصرفون خارج أو بما يتعارض مع التعليمات القانونية للمراقب [2].
توزيع المسؤولية في الممارسة العملية:
- إذا تعرض معالج لاختراق لأن المراقب قدم تعليمات أمنية غير كافية، فمن المرجح أن يتحمل المراقب المسؤولية الأساسية.
- إذا تجاهل معالج متطلبات الأمان للمراقب، فإن المعالج يتحمل المسؤولية المباشرة.
- يمكن أن يتحمل كلاهما مسؤولية مشتركة ومتعددة، مما يعني أن صاحب البيانات يمكنه مقاضاة أي من الطرفين للحصول على كامل مبلغ التعويضات، تاركًا لهما تقسيم المسؤولية بينهما لاحقًا.
يمكن للمعالج أن يفلت من المسؤولية بإثبات أنه لم يكن مخطئًا في الحدث الذي تسبب في الضرر [2]. هذا معيار عالٍ: يجب على المعالج إثبات الامتثال الكامل لالتزاماته بموجب GDPR.
هل يمكن للشركة أن تكون مراقبًا ومعالجًا في نفس الوقت؟
نعم. يمكن للمنظمة أن تعمل في وقت واحد كمراقب لبعض أنشطة المعالجة ومعالج لأخرى، حتى ضمن نفس العلاقة التجارية [1].
على سبيل المثال، قد تعمل وكالة تسويق رقمي كمراقب عندما تدير بيانات الموارد البشرية لموظفيها، وكمعالج عندما تدير حملات إعلانية باستخدام بيانات عملاء العميل. يتم تحديد الدور نشاطًا بنشاط، وليس شركة بشركة.
هل يمكن للمعالج أن يصبح مراقبًا إذا استخدم البيانات لأغراضه الخاصة؟
يصبح المعالج مراقبًا تلقائيًا في اللحظة التي يستخدم فيها البيانات الشخصية لأغراض تتجاوز تعليمات المراقب [1]. هذا هو أحد أهم الأخطاء في التصنيف في الممارسة العملية.
إذا بدأ بائع تحليلات سحابية في استخراج بيانات العميل لتدريب نماذج الذكاء الاصطناعي الخاصة به دون إذن، فقد خرج عن دور المعالج واكتسب صفة المراقب لهذا النشاط، مع جميع التزامات GDPR والتعرض للمسؤولية المصاحبة. لا يمكن لأي بند في العقد أن يمنع هذا إعادة التصنيف؛ إنها مسألة واقع، وليست اتفاقية.
كيف تحمي اتفاقيات معالجة البيانات المعالجين من المسؤولية؟
اتفاقية معالجة البيانات (DPA) هي أداة قانونية إلزامية بموجب GDPR كلما قام المراقب بإشراك معالج [3]. بالنسبة للمعالجين، تعد اتفاقية معالجة البيانات (DPA) المصاغة جيدًا هي الآلية الأساسية للحد من التعرض للمسؤولية.
يجب أن تحدد اتفاقية معالجة البيانات (DPA) المتوافقة ما يلي:
- موضوع المعالجة ومدتها وطبيعتها والغرض منها
- نوع البيانات الشخصية وفئات أصحاب البيانات المعنيين
- التزامات وحقوق المراقب
- متطلبات السرية للموظفين المصرح لهم
- التدابير الأمنية التي سيتم تنفيذها
- شروط إشراك المعالجين الفرعيين
- إجراءات إرجاع أو حذف البيانات عند انتهاء العقد [3]
عندما يتصرف المعالج بدقة ضمن نطاق اتفاقية معالجة البيانات (DPA)، تنتقل المسؤولية عن أي ضرر ناتج بشكل أساسي إلى المراقب. على العكس من ذلك، إذا تجاوز المعالج تلك التعليمات، تصبح اتفاقية معالجة البيانات (DPA) دليلًا على الانحراف بدلاً من درع.
ماذا يحدث إذا انتهك المعالج قواعد GDPR؟
يواجه المعالجون الذين ينتهكون GDPR غرامات تنظيمية ومسؤولية مدنية عن الأضرار. يمكن للسلطات الإشرافية فرض غرامات إدارية مباشرة على المعالجين، تصل إلى 20 مليون يورو أو 4% من إجمالي الإيرادات السنوية العالمية لأخطر الانتهاكات، أيهما أعلى [2].
بالإضافة إلى الغرامات، يواجه المعالجون مطالبات بموجب المادة 82 من أصحاب البيانات الذين عانوا من ضرر. وقد يواجهون أيضًا مسؤولية تعاقدية تجاه المراقب بموجب اتفاقية معالجة البيانات (DPA)، بما في ذلك التزامات التعويض.
هل يحتاج المعالجون إلى مسؤول حماية البيانات الخاص بهم؟
يخضع المعالجون لنفس عتبات تعيين مسؤول حماية البيانات (DPO) مثل المراقبين. يجب على المعالج تعيين مسؤول حماية البيانات (DPO) إذا كان يقوم بمراقبة منهجية واسعة النطاق للأفراد، أو يعالج فئات خاصة من البيانات أو بيانات الإدانة الجنائية على نطاق واسع [1].
كونك معالجًا لا يعفي المنظمة من متطلبات مسؤول حماية البيانات (DPO). العديد من مزودي الخدمات السحابية ومنصات SaaS الكبيرة التي تعمل كمعالجين مطالبة بالحفاظ على مسؤول حماية البيانات (DPO) على وجه التحديد بسبب حجم وحساسية البيانات التي يتعاملون معها.
ما هو الفرق في غرامات GDPR بين المراقبين والمعالجين؟
ينطبق هيكل الغرامات ذو المستويين في GDPR بالتساوي على المراقبين والمعالجين. يغطي المستوى الأول الانتهاكات الأقل خطورة (حتى 10 ملايين يورو أو 2% من إجمالي الإيرادات العالمية)؛ ويغطي المستوى الثاني أخطر الانتهاكات، بما في ذلك المعالجة غير القانونية والفشل في احترام حقوق أصحاب البيانات (حتى 20 مليون يورو أو 4% من إجمالي الإيرادات العالمية) [2].
لا يوجد خصم قانوني للمعالجين. ومع ذلك، في الممارسة العملية، تقوم السلطات الإشرافية بتقييم المسؤولية والتعاون وطبيعة الانتهاك عند تحديد مبالغ الغرامات، وهي عوامل قد تؤدي إلى نتائج مختلفة للمراقبين مقابل المعالجين في نفس الحادث.
هل يتحمل المعالجون الفرعيون مسؤولية مختلفة عن المعالجين الرئيسيين؟
يتحمل المعالجون الفرعيون نفس التزامات GDPR مثل المعالجين الرئيسيين ولكنهم ملزمون تعاقديًا بالمعالج الرئيسي بدلاً من المراقب مباشرة. التمييز الحاسم: يظل المعالج الرئيسي مسؤولاً بالكامل أمام المراقب عن أداء المعالج الفرعي [3].
إذا تسبب معالج فرعي في خرق، فإن اللجوء القانوني للمراقب يكون ضد المعالج الرئيسي. يجب على المعالج الرئيسي بعد ذلك مقاضاة المعالج الفرعي بشكل منفصل. قد يواجه المعالجون الفرعيون أيضًا إجراءات تنظيمية مباشرة من السلطات الإشرافية لانتهاكاتهم الخاصة بـ GDPR.
قواعد المعالج الفرعي في لمحة:
- يلزم الحصول على تفويض كتابي مسبق من المراقب قبل إشراك أي معالج فرعي
- يجب على المعالج الرئيسي فرض التزامات حماية بيانات مكافئة على المعالج الفرعي
- لا يمكن للمعالج الرئيسي التهرب من المسؤولية بالإشارة إلى خطأ المعالج الفرعي
كيف تحدد ما إذا كنت مراقبًا أم معالجًا لعملك؟
يعتمد التحديد على سؤال واحد: هل تقرر مؤسستك بشكل مستقل لماذا يتم معالجة البيانات الشخصية؟ إذا كانت الإجابة نعم، فأنت مراقب. إذا كنت تعالج البيانات فقط لأن كيانًا آخر قد وجهك للقيام بذلك، وليس لديك غرض مستقل، فأنت معالج [1].
قائمة مرجعية عملية للقرار:
- من قرر جمع هذه البيانات في المقام الأول؟
- من حدد الغرض من استخدام البيانات؟
- هل تتمتع مؤسستك بسلطة تقديرية بشأن كيفية معالجة البيانات، أم أنك تتبع مواصفات طرف آخر؟
- هل ستتوقف المعالجة إذا سحب الطرف الآخر تعليماته؟
- هل تستخدم البيانات لأي غرض يفيد مؤسستك بشكل مستقل؟
إذا أشارت إجاباتك إلى اتجاهات مختلفة عبر هذه الأسئلة، فقد تكون مراقبًا مشتركًا، وهو موقف يتطلب ترتيبًا شفافًا منفصلاً مع الطرف الآخر [1].
ما هي الأخطاء الشائعة التي ترتكبها الشركات فيما يتعلق بأدوار المراقب والمعالج؟
يعد سوء التصنيف هو الخطأ الأكثر شيوعًا، ويترتب عليه عواقب حقيقية على الامتثال. غالبًا ما تفترض المنظمات أن تسميتها "بائع" أو "مزود خدمة" في العقد يجعلها معالجًا، بينما يؤهلها سلوكها الفعلي كمراقب.
أخطاء شائعة أخرى:
- تخطي اتفاقية معالجة البيانات (DPA): المراقبون الذين يشركون المعالجين بدون اتفاقية معالجة بيانات (DPA) مكتوبة ينتهكون GDPR بشكل مباشر، بغض النظر عن مدى أمان أنظمة المعالج.
- الفشل في فحص المعالجين الفرعيين: غالبًا ما يتجاهل المراقبون أن معالجهم قد أشرك معالجين فرعيين دون إذن أو حماية تعاقدية مكافئة.
- افتراض أن المعالجين يتعاملون مع حقوق أصحاب البيانات: يظل المراقبون مسؤولين عن الاستجابة لطلبات أصحاب البيانات؛ ويساعد المعالجون فقط.
- تجاهل مخاطر إعادة التصنيف: المعالجون الذين يوسعون خدماتهم ويبدأون في استخدام بيانات العميل للتحليلات أو تدريب النماذج أو المقارنة قد يصبحون مراقبين عن غير قصد دون إدراك التحول.
بالنسبة للمنظمات التي تدير الموافقة وتدفقات البيانات عبر مواقع الويب والممتلكات الرقمية، يمكن لمنصة إدارة الموافقة مثل Biscotti CMP أن تساعد المراقبين في توثيق الأسس القانونية وإدارة سجلات الموافقة، وهو عنصر أساسي في مساءلة المراقب بموجب GDPR.
كيف يجب على الشركات الصغيرة التعامل مع مسؤوليات المراقب مقابل المعالج؟
الشركات الصغيرة ليست معفاة من إطار عمل المراقب-المعالج في GDPR. إذا جمعت شركة صغيرة بيانات العملاء، حتى مجرد عناوين البريد الإلكتروني لرسالة إخبارية، فهي مراقب ويجب عليها الامتثال لجميع التزامات المراقب.
خطوات عملية للشركات الصغيرة:
- تحديد كل أداة أو بائع يتعامل مع البيانات الشخصية نيابة عنك (منصات البريد الإلكتروني، أدوات التحليلات، معالجات الدفع، CRMs).
- التأكد من وجود اتفاقية معالجة بيانات (DPA) موقعة مع كل بائع.
- التحقق من أن اتفاقية معالجة البيانات (DPA) لكل بائع تفي بالحد الأدنى من متطلبات GDPR.
- نشر إشعار خصوصية متوافق يصف بدقة أنشطة المعالجة الخاصة بك.
- إنشاء عملية للاستجابة لطلبات أصحاب البيانات في غضون الإطار الزمني القانوني البالغ 30 يومًا.
يقدم قانون البيانات (الاستخدام والوصول) لعام 2026 في المملكة المتحدة، والذي حصل على الموافقة الملكية في 19 يونيو 2026، تعديلات إضافية على قانون حماية البيانات يجب على الشركات الصغيرة في المملكة المتحدة مراجعتها مع المستشار القانوني لضمان أن التزامات المراقب الخاصة بها تظل حديثة [1].
الأسئلة المتكررة
س: هل شركة SaaS دائمًا معالج؟ ج: شركة SaaS هي معالج فقط عندما تعالج البيانات الشخصية بدقة نيابة عن عملائها ولأغراض غير مستقلة. إذا استخدمت بيانات العملاء لتحليلاتها الخاصة، أو تحسين المنتج، أو التسويق، فإنها تصبح مراقبًا لتلك الأنشطة.
س: هل يحتاج المعالج إلى التسجيل لدى سلطة إشرافية؟ ج: تختلف متطلبات التسجيل حسب الدولة العضو في الاتحاد الأوروبي. ومع ذلك، يجب على المعالجين الاحتفاظ بسجلات داخلية لأنشطة المعالجة (RoPA) بموجب المادة 30 من GDPR إذا كانوا يوظفون 250 شخصًا أو أكثر، أو إذا كان من المحتمل أن تؤدي المعالجة إلى خطر على أصحاب البيانات.
س: هل يمكن للمعالج رفض تعليمات المراقب؟ ج: نعم، إذا كان اتباع التعليمات سيتطلب من المعالج انتهاك GDPR. في مثل هذه الحالات، يجب على المعالج إخطار المراقب، وإذا لم يتم تصحيح التعليمات، فقد يحتاج إلى إنهاء العلاقة.
س: ما هو ترتيب المراقب المشترك؟ ج: يوجد المراقبون المشتركون عندما يحدد كيانان أو أكثر بشكل مشترك أغراض ووسائل المعالجة. يجب عليهم توثيق مسؤولياتهم الخاصة في ترتيب شفاف وإتاحة جوهر هذا الترتيب لأصحاب البيانات [1].
س: ما هي المدة التي يجب أن تظل فيها اتفاقية معالجة البيانات (DPA) سارية المفعول؟ ج: يجب أن تظل اتفاقية معالجة البيانات (DPA) سارية المفعول طوال مدة علاقة المعالجة. عند الإنهاء، فإنها تحكم التزام المعالج بحذف أو إرجاع جميع البيانات الشخصية.
س: هل المعالجون مسؤولون عن الغرامات المفروضة على المراقبين؟ ج: لا. يتم تقييم الغرامات ضد الكيان الذي ارتكب الانتهاك. ومع ذلك، قد يواجه المعالجون غرامات منفصلة لانتهاكاتهم الخاصة، وقد يواجهون مطالبات تعويض من المراقبين بموجب اتفاقية معالجة البيانات (DPA).
س: هل ينطبق GDPR على المعالجين الموجودين خارج الاتحاد الأوروبي؟ ج: نعم. ينطبق GDPR على المعالجين خارج الاتحاد الأوروبي عندما يعالجون البيانات الشخصية للمقيمين في الاتحاد الأوروبي نيابة عن المراقبين المقيمين في الاتحاد الأوروبي، أو عندما يخضعون بخلاف ذلك للنطاق الإقليمي لـ GDPR بموجب المادة 3.
س: ما هو الفرق بين اتفاقية معالجة البيانات (DPA) والبنود التعاقدية القياسية (SCC)؟ ج: تحكم اتفاقية معالجة البيانات (DPA) علاقة المراقب-المعالج محليًا. البنود التعاقدية القياسية (SCCs) هي آليات تعاقدية محددة لنقل البيانات الشخصية إلى دول ثالثة خارج الاتحاد الأوروبي/المنطقة الاقتصادية الأوروبية التي تفتقر إلى قرار كفاية.
الخلاصة
المراقب مقابل المعالج: فهم مسؤوليتك بموجب GDPR ليس تمرينًا قانونيًا مجردًا، بل يحدد من يواجه غرامات تنظيمية، ومن يعوض أصحاب البيانات، ومن هو المسؤول أمام السلطات الإشرافية عندما تسوء الأمور. يعتمد التمييز على سؤال واقعي حول سلطة اتخاذ القرار، وليس على تسميات العقد.
خطوات عملية تالية:
- إجراء تمرين رسم خرائط البيانات لتحديد كل نشاط معالجة ودور مؤسستك في كل منها.
- تدقيق عقود البائعين الحالية للتأكد من وجود اتفاقيات معالجة بيانات (DPAs) متوافقة مع كل معالج تقوم بإشراكه.
- مراجعة ترتيبات المعالج الفرعي للتأكد من وجود تفويض مسبق وفرض التزامات مكافئة.
- إذا كنت تعمل كمراقب ومعالج عبر أنشطة مختلفة، فقم بتوثيق كل دور على حدة.
- بالنسبة للمنظمات في المملكة المتحدة، قم بمراجعة آثار قانون البيانات (الاستخدام والوصول) لعام 2026 مع مستشار قانوني مؤهل.
- نشر حل لإدارة الموافقة مثل Biscotti CMP للحفاظ على سجلات موافقة قابلة للتدقيق ودعم التزامات المراقب الخاصة بك.
سوء التصنيف ليس تفصيلاً تقنيًا، بل هو فجوة في الامتثال لها عواقب مالية وسمعة مباشرة. إن تحديد الأدوار بشكل صحيح منذ البداية هو الاستثمار الأكثر فعالية من حيث التكلفة في GDPR الذي يمكن لأي منظمة القيام به.
المراجع
[1] What Are Controllers And Processors - https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/controllers-and-processors/controllers-and-processors/what-are-controllers-and-processors/?utm_source=openai
[2] Art 82 GDPR - https://gdpr-info.eu/art-82-gdpr/?utm_source=openai
[3] Controller And Processor Relationships - https://dataprotection.ie/en/organisations/know-your-obligations/controller-and-processor-relationships?utm_source=openai