GDPR للشركات العربية التي تراسل عملاء أوروبيين على واتساب: متى تنطبق وماذا تفعل؟

آخر تحديث: 5 نوفمبر 2026 · إعداد: فريق مظبوت (MazBot) · المصدر الأساسي: نص اللائحة (EU) 2016/679 من مكتب منشورات الاتحاد الأوروبي، وإرشادات المجلس الأوروبي لحماية البيانات (EDPB)، وصفحات المفوضية الأوروبية

الإجابة المختصرة: تنطبق GDPR على شركتك في مصر أو الخليج إذا كنت تستهدف أشخاصاً موجودين في الاتحاد الأوروبي (المادة 3(2))، مثل الأسعار باليورو أو الشحن لأوروبا أو إعلانات موجهة لها، أياً كانت جنسيتهم. وقتها تحتاج أساساً قانونياً لكل نوع من رسائلك، وموافقة يسهل سحبها، وإيقافاً فورياً لمن يعترض على التسويق (المادة 21)، وغالباً ممثلاً داخل الاتحاد (المادة 27). والغرامة تصل إلى 20 مليون يورو أو 4% من الإيراد العالمي السنوي.

ليست استشارة قانونية: هذا ملخص عملي لنص اللائحة وإرشادات EDPB كما اطّلعنا عليها في 5 نوفمبر 2026. قد تضيف قوانين الدول الأعضاء قواعد خاصة بالتسويق الإلكتروني، فراجع مستشاراً قانونياً مختصاً بقانون الدولة التي فيها عملاؤك قبل أي حملة.

محتوى المقال:

هل تنطبق GDPR على شركة عربية تراسل عملاء في أوروبا؟

اللائحة العامة لحماية البيانات (GDPR) رقم 2016/679 تطبَّق منذ 25 مايو 2018، وتشمل أيضاً النرويج وأيسلندا وليختنشتاين عبر اتفاقية المنطقة الاقتصادية الأوروبية. والمادة 3(2) تمدّها إلى جهات بلا أي فرع في الاتحاد إذا عالجت بيانات أشخاص موجودين فيه في حالتين:

  • عرض سلع أو خدمات عليهم، مدفوعة أو مجانية.
  • مراقبة سلوكهم ما دام هذا السلوك يحدث داخل الاتحاد.

والاسم والرقم ومحتوى المحادثة كلها «بيانات شخصية» حسب المادة 4، وجمعها وحفظها والإرسال إليها «معالجة». ويوضح EDPB نقطتين:

  • الجنسية لا تهم: العبرة بوجود الشخص داخل الاتحاد، فعميل مصري مقيم في ميلانو مشمول إذا كنت تستهدف عملاء في إيطاليا.
  • العبرة بلحظة العرض: الخدمة الموجهة لأشخاص خارج الاتحاد لا تدخل في اللائحة لمجرد أن أحدهم سافر إلى أوروبا واستمر في استخدامها.

وحسب المفوضية الأوروبية، انطباق اللائحة لا يتوقف على حجم شركتك بل على طبيعة نشاطك.

ما العلامات التي تعني أنك «تستهدف» أوروبا؟

حسب الحيثية 23، مجرد فتح موقعك من أوروبا أو ذكر رقمك لا يكفي. وتعدّد إرشادات EDPB رقم 3/2018 علامات تُقرأ مجتمعة:

العلامة حسب EDPBمثال من نشاط عربي على واتساب
لغة أو عملة دولة عضو مع إمكانية الطلب بهامتجر عبايات في القاهرة يعرض الأسعار باليورو وبالألمانية
التوصيل إلى دول الاتحاد«نشحن لفرنسا وألمانيا وهولندا خلال 5 أيام»
حملات إعلانية موجهة لجمهور في دولة عضومطوّر عقاري في الرياض يطلق إعلانات Click to WhatsApp تستهدف العرب المقيمين في فرنسا
ذكر دولة عضو بالاسم، أو رقم مخصص لعملائها«كورس القرآن أونلاين لأطفال الجالية في بلجيكا»

من إرشادات EDPB رقم 3/2018 بشأن النطاق الإقليمي (الإصدار 2.1)، والحيثية 23 من اللائحة، اطّلعنا عليهما في 5 نوفمبر 2026.

وفي المقابل، يضرب EDPB مثال فندق في نيويورك تحجز فيه سائحة إيطالية دون أن يستهدف الفندق أوروبا: هنا لا تنطبق اللائحة، وعيادة في دبي يراسلها سائح ألماني عابر أقرب لهذه الحالة.

ما الأساس القانوني لرسائل واتساب؟

المادة 6 تشترط أساساً قانونياً لكل معالجة. والأقرب لرسائل واتساب:

نوع الرسالةالأساس الأقرب في المادة 6(1)ما تنتبه له
رد على استفسار العميل أو تحديث طلب اشتراه(ب): خطوات يطلبها قبل التعاقد أو تنفيذ عقد هو طرف فيهMeta تشترط موافقته على رسائلك أيضاً
عروض لعميل سابق(و): المصلحة المشروعة، أو (أ): الموافقةالحيثية 47: التسويق المباشر «قد» يُعد مصلحة مشروعة، وللعميل حق الاعتراض
عروض لرقم جديد(أ): الموافقةبشروط المادة 7

حق الاعتراض على التسويق مطلق: حسب المادة 21(2) و21(3) يعترض العميل في أي وقت على استخدام بياناته للتسويق المباشر، وبعدها لا تُعالج لهذا الغرض. والمادة 21(4) تلزمك بإبلاغه بهذا الحق صراحةً في أول تواصل.

وشروط الموافقة في المادة 7: أن تستطيع إثباتها، وأن تكون منفصلة وبلغة واضحة، وأن يكون سحبها بسهولة إعطائها، وألا تجعلها شرطاً لخدمة لا تحتاجها، وتكون بفعل إيجابي مثل خانة يحددها العميل بنفسه حسب المفوضية الأوروبية.

نصيحتنا العملية: سياسة Meta تشترط موافقة (Opt-in) تذكر اسم نشاطك، وتوصي بموافقة منفصلة لكل فئة رسائل. فاجعل هذه الموافقة نفسها مطابقة لشروط المادة 7 بدل الاعتماد على المصلحة المشروعة وحدها.

مثال من القاهرة: متجر ملابس يشحن لألمانيا يضع في صفحة الدفع خانتين غير محددتين مسبقاً: «أرسلوا تحديثات طلبي على واتساب»، و«أرسلوا لي عروض متجر نور على واتساب مرتين شهرياً بالكثير، وأوقفها بكتابة STOP»، وكل رسالة عروض تحمل زر «إيقاف العروض».

صيغ موافقة جاهزة في قواعد موافقة العميل (Opt-in) على واتساب، وتنفيذ الإيقاف في التعامل مع طلبات إلغاء الاشتراك.

ماذا تخبر العميل قبل أن تراسله؟

المادة 13 تلزمك عند جمع البيانات بإعلام العميل باسم شركتك وطريقة التواصل معها ومع ممثلك في الاتحاد إن وُجد، وبأغراض المعالجة وأساسها القانوني، ومن يتلقى البيانات مثل Meta (واتساب) ومنصة المراسلة، وهل ستُنقل خارج الاتحاد وبأي ضمانات، ومدة الاحتفاظ وحقوقه ومنها الشكوى لسلطة حماية البيانات. والمكان الطبيعي لذلك سياسة خصوصية منشورة، وهي شرط في سياسة واتساب لرسائل الأعمال أيضاً.

هل تحتاج ممثلاً داخل الاتحاد الأوروبي؟

المادة 27(1): إذا انطبقت المادة 3(2) عليك فعليك أن تعيّن كتابةً ممثلاً في الاتحاد، مقيماً في إحدى الدول التي فيها عملاؤك (المادة 27(3)). يتواصل معه العملاء والسلطات، وتعيينه لا يمنع رفع الدعاوى عليك أنت (المادة 27(5)).

الإعفاء ضيق: المادة 27(2) تعفي المعالجة العرضية منخفضة الخطر التي لا تشمل بيانات حساسة على نطاق واسع، ويفسر EDPB «العرضية» بأنها غير منتظمة وخارج النشاط المعتاد، فمتجر يرسل حملات شهرية لعملاء في أوروبا يصعب أن يعدّها عرضية. وفي مثال EDPB رقم 24، موقع تركي يشحن ألبومات صور إلى فرنسا وألمانيا عليه تعيين ممثل وذكر بياناته في سياسة الخصوصية.

هل استخدام واتساب نقل للبيانات خارج أوروبا؟

تجيب إرشادات EDPB رقم 05/2021 بمثالين مباشرين:

  • الجمع المباشر ليس نقلاً: عميلة في إيطاليا تعطي بياناتها بنفسها لشركة خارج الاتحاد تستهدف السوق الأوروبي؛ ليس نقلاً، لكن الشركة ملزمة بتطبيق اللائحة كاملة.
  • إعطاؤها لمزود خارج الاتحاد نقل: إذا سلّمتها الشركة لمعالج خارج المنطقة الاقتصادية الأوروبية يعمل لحسابها، لزمها عقد معالجة (المادة 28) وأداة نقل من الفصل الخامس.

وقائمة المفوضية الأوروبية للدول ذات «الحماية الكافية» لا تضم أي دولة عربية حين اطّلعنا عليها، وتضم الولايات المتحدة للشركات المشاركة في إطار خصوصية البيانات (قرار 10 يوليو 2023). وما يخص واتساب:

  • دور واتساب: شروط معالجة بيانات واتساب للأعمال (آخر تحديث 22 أغسطس 2025) تعامل واتساب كمعالج يعمل بتعليماتك حيث تنص شروط الأعمال على ذلك.
  • التخزين المحلي: تتيح Meta لرسائل Cloud API خيار «EU (Germany)» يُضبط لكل رقم عند تسجيله، مع معالجة المحتوى في مراكزها حول العالم حتى 60 دقيقة.
  • اسأل مستشارك عن أداة النقل المناسبة، مثل البنود التعاقدية القياسية، لكل مزود يعالج بيانات عملائك خارج الاتحاد.

البيانات الصحية والتسريب والسجلات

  • البيانات الصحية: المادة 9(1) تحظر معالجة البيانات الصحية وغيرها من الفئات الخاصة إلا باستثناء محدد، وسياسة واتساب تمنع إرسال معلومات صحية أو طلبها حيث تمنع الأنظمة ذلك، وتمنع طلب أرقام البطاقات كاملة. فالعيادة تبني عروضها على الموافقة لا على التشخيص.
  • التسريب خلال 72 ساعة: المادة 33 تلزمك بإبلاغ السلطة المختصة دون تأخير، وخلال 72 ساعة من علمك بالتسريب حيثما أمكن، إلا إذا لم يُرجح أن يضر بالأشخاص.
  • سجل أنشطة المعالجة: المادة 30(5) تعفي من يعمل لديه أقل من 250 شخصاً، إلا إذا كانت المعالجة غير عرضية أو فيها خطر أو بيانات حساسة، والمراسلة المنتظمة للعملاء غالباً ليست عرضية.

ما الغرامات ومن يفرضها؟

المستوىأمثلة المخالفاتالحد الأقصى
المادة 83(5)شروط الموافقة (المواد 5 و6 و7 و9)، وحقوق الأشخاص ومنها الاعتراض (12 إلى 22)، والنقل (44 إلى 49)20 مليون يورو أو 4% من الإيراد العالمي السنوي، أيهما أعلى
المادة 83(4)المواد 25 إلى 39، ومنها الممثل (27) والمعالج (28) والسجلات (30) والتسريب (33)10 ملايين يورو أو 2%، أيهما أعلى

من نص اللائحة (EU) 2016/679 كما نشره مكتب منشورات الاتحاد الأوروبي، اطّلعنا عليه في 5 نوفمبر 2026.

تفرضها سلطات حماية البيانات الوطنية، ولها أيضاً الإنذار والتوبيخ وحظر المعالجة مؤقتاً أو نهائياً. وحسب المفوضية الأوروبية يطلب المتضرر تعويضاً أمام المحاكم الوطنية إذا أثبت ضرراً فعلياً.

قائمة تحقق قبل أي حملة واتساب لعملاء في أوروبا

الخطوةالسند
حدد هل تستهدف أشخاصاً في الاتحاد، ووثّق تقييمكالمادة 3(2)، وإرشادات EDPB 3/2018
خانة موافقة مستقلة غير محددة مسبقاً تذكر اسم نشاطك، وسجل يثبت تاريخها ومصدرهاالمادتان 6 و7، وشروط Meta
زر «إيقاف» في كل رسالة تسويقية، وتنفيذ فوري لكل اعتراضالمادة 21، وسياسة واتساب
سياسة خصوصية منشورة فيها المستلمون والنقل ومدة الحفظالمادة 13، وسياسة واتساب
ممثل مكتوب في دولة عملائك، إلا إن انطبق الإعفاءالمادة 27
عقود معالجة وأدوات نقل مع كل مزود خارج الاتحادالمادة 28 والفصل الخامس
خطة إبلاغ عن التسريب خلال 72 ساعة، وصلاحيات فريق محدودةالمادة 33

كيف يساعدك مظبوت؟

  • الموافقة داخل المحادثة: فلو بأزرار يسأل العميل عن العروض، وفلو جمع البيانات يحفظ إجاباته في لوحة للعرض والتصدير (فلو جمع بيانات العميل).
  • قوائم وشرائح ووسوم وحقول مخصصة: احفظ تاريخ الموافقة ومصدرها في ملف العميل، وأرسل العروض لقائمة الموافقين وحدها.
  • قائمة سوداء تُستبعد من كل حملة تلقائياً، لمن طلب إيقاف كل الرسائل.
  • صلاحيات لكل موظف: الموظف الذي لا يملك صلاحية صندوق الوارد العام يرى المحادثات المسندة إليه فقط.
  • Webhooks موقّعة وAPI لمزامنة الموافقة والإيقاف مع نظامك.
  • بدون أي عمولة على رسائل Meta: جرّب أول شهر مجاناً.. وبعده الباقات بخصم 50%.

أسئلة شائعة

عميلي مصري يعيش في ألمانيا، هل تنطبق عليه GDPR؟

نعم إذا كنت تعرض خدماتك على أشخاص في الاتحاد. حسب EDPB العبرة بوجود الشخص في الاتحاد وقت العرض، لا بجنسيته.

سائح أوروبي راسلني وهو في القاهرة، هل أنا مشمول؟

المادة 3(2) تخص الأشخاص الموجودين في الاتحاد، ويقاس ذلك وقت عرض الخدمة. فإن كنت لا تستهدف أوروبا فالغالب أنك خارج نطاقها، لكن اسأل مستشارك قبل مراسلته بعروض بعد عودته.

هل تكفي موافقة Meta (Opt-in) لتطبيق GDPR؟

ليس بالضرورة. Meta تشترط ذكر اسم نشاطك وأن العميل يشترك في رسائلك، أما المادة 7 فتشترط موافقة يمكنك إثباتها، منفصلة، ويسهل سحبها. اجعل موافقة واحدة تحقق الشرطين.

هل أحتاج ممثلاً إذا كان عملائي الأوروبيون قليلين؟

القلة وحدها لا تعفيك. الإعفاء في المادة 27(2) للمعالجة العرضية منخفضة الخطر، والحملات المنتظمة لا تُعد عرضية غالباً.

المصادر

راسل عملاءك في أوروبا بموافقتهم فقط

مع مظبوت: فلو بأزرار لطلب الموافقة، وقوائم تفصل التحديثات عن العروض، وقائمة سوداء تُستبعد من كل حملة، وصلاحيات تقصر اطلاع موظفيك على محادثاتهم، بدون أي عمولة على أسعار Meta. جرّب أول شهر مجاناً.. وبعده الباقات بخصم 50%، مع 250,000 توكن ذكاء اصطناعي مجاناً للحسابات الجديدة.

ابدأ تجربتك المجانية