في عام 2025، رفضت المحكمة العليا في ألمانيا الاستجابة لطلب أمريكي بموجب قانون CLOUD Act، حيث مانعةً شركة محلية من تسليم بيانات مخزّنة على أراضيها لجهة تحقيق أمريكية. القرار لم يكن مفاجئًا للمتخصصين، لكنه كشف بوضوح نادر التناقض البنيوي الذي تعيشه الشركات العاملة في بيئة رقمية عابرة للحدود: أي قانون يسري حين تكون البيانات في فرانكفورت وصاحبها في نيويورك والطلب القضائي صادر من واشنطن؟
هذا السؤال ليس أكاديميًا فقط . ولكنه يُحدد يوميًا من يملك حق السيادة على البيانات، ومن يستطيع إجبار الشركات على تسليمها، ومن يتحمل المسؤولية حين تُخترق أو تضيع. والإجابة عنه لم تُحسم بعد في أي نظام قانوني على وجه الأرض.
حين تتصادم القوانين: قانون CLOUD Act الامريكي مقابل اللائحة الأوروبية لحماية البياناتGDPR
المشكلة القانونية الأكثر إلحاحًا في منظومة مراكز البيانات العالمية ليست غياب التشريع، بل تصادم التشريعات.
قانون CLOUD Act الأمريكي الصادر عام 2018 يمنح السلطات الأمريكية صلاحية طلب بيانات من الشركات الأمريكية بصرف النظر عن موقع تخزينها. بمعنى آخر: إذا كانت بياناتك مخزّنة على خوادم Microsoft في أيرلندا، تستطيع وزارة العدل الأمريكية طلبها بموجب أمر قضائي أمريكي.
في المقابل، اللائحة الأوروبية لحماية البيانات GDPR تمنع نقل البيانات خارج الاتحاد الأوروبي إلا بضمانات محددة وصارمة. الشركة التي تمتثل لطلب CLOUD Act قد تنتهك GDPR، والشركة التي ترفض الامتثال قد تواجه عقوبات أمريكية.
هذا التناقض ليس نظريًا. في 2025 وقّعت الولايات المتحدة اتفاقيات وصول متبادل للبيانات مع المملكة المتحدة وكندا لتسريع التحقيقات العابرة للحدود، في محاولة لحل جزء من هذا التعارض عبر الاتفاقيات الثنائية لا التشريع الموحد. لكن الفجوة مع الاتحاد الأوروبي لا تزال قائمة وتُنتج حالات تعارض يومية تضطر فيها الشركات للاختيار بين مخالفة قانون وانتهاك آخر.
النتيجة العملية أن الشركات الكبرى طوّرت ما يمكن تسميته “استراتيجية التجزئة القانونية”: تعمل كل منطقة جغرافية بوحدات قانونية شبه مستقلة، ومفاتيح تشفير منفصلة، وفرق امتثال مختلفة، بحيث يصعب على أي جهة قضائية الوصول إلى البيانات الكاملة دفعةً واحدة. هذا الهيكل يحمي الشركات، لكنه يُعقّد عمل الجهات التحقيقية المشروعة في الوقت ذاته.
توطين البيانات: حل جزئي لمشكلة معقدة
الاستجابة الأكثر شيوعًا لمعضلة السيادة الرقمية هي قوانين توطين البيانات: إلزام الشركات بتخزين بيانات المواطنين داخل الحدود الوطنية. المنطق بسيط وجذاب سياسيًا: إذا كانت البيانات على أراضينا، يسري عليها قانوننا.
الواقع أكثر تعقيدًا.
بين 2024 و2026 أصدرت دول عدة تشريعات توطين جديدة أو حدّثت القائمة منها. إندونيسيا ألزمت مزودي الخدمات السحابية بتخزين البيانات الحكومية والمالية الحساسة داخل حدودها. فيتنام فعّلت مرسوم حماية البيانات الشخصية الذي يُجبر الشركات الأجنبية على إنشاء مكاتب محلية وتخزين بيانات مستخدميها على أراضيها. الهند منحت حكومتها سلطة تقييد نقل البيانات إلى “دول محظورة” بموجب قانون حماية البيانات الشخصية الرقمية.
في المنطقة العربية، فعّلت السعودية نظام حماية البيانات الشخصية عبر هيئة SDAIA بما يحظر نقل البيانات الحساسة خارج المملكة إلا بموافقة صريحة. الإمارات تسير في الاتجاه ذاته بقانون حماية البيانات الاتحادي. مصر والمغرب تتبعان نموذجًا مستلهمًا من GDPR مع ميل متزايد نحو توطين البيانات الحكومية والمالية.
لكن توطين البيانات يواجه إشكالية جوهرية: حين تُلزم دولة شركةً أجنبية ببناء بنية تحتية داخل حدودها، فهي لا تحمي بيانات مواطنيها بالضرورة، بل قد تفرض عليهم خدمة أغلى وأقل كفاءة. اتفاقيات التجارة الحرة الحديثة كـ CPTPP بدأت تتضمن بنودًا تمنع التوطين القسري إلا لأغراض السياسة العامة المُبرَّرة، مما يضع الدول أمام توتر حقيقي بين السيادة الرقمية والتزاماتها التجارية الدولية.
المسؤولية القانونية: الفراغ الذي تستفيد منه الشركات
في يونيو 2025، توقفت خدمات مزود سحابي رائد لثماني ساعات متواصلة. الخسائر طالت قطاع الطيران والتجارة الإلكترونية وعشرات القطاعات المعتمدة على البنية التحتية السحابية. رُفعت دعوى جماعية في كاليفورنيا.
ما اكتشفه المدّعون أن عقود الخدمة SLA التي وقّعوها تحصر مسؤولية الشركة في “تعويضات الرصيد”: استرداد مالي لجزء من قيمة الاشتراك الشهري. الأرباح الفائتة والأضرار التبعية والخسائر غير المباشرة كلها مستبعدة صراحةً من العقد، إلا في حالات “الإهمال الجسيم” التي يصعب إثباتها.
هذا الفراغ القانوني ليس صدفةً. هو نتيجة معادلة تفاوضية غير متكافئة: الشركات السحابية الكبرى تفرض شروطها على العملاء دون مساومة حقيقية، والبديل غير موجود بالكثافة الكافية.
الاتحاد الأوروبي بدأ يتحرك في هذا الاتجاه. قانون الذكاء الاصطناعي الأوروبي الذي دخل حيز التنفيذ الكامل في أبريل 2026 يحمّل مزودي البنية التحتية مسؤولية مباشرة إذا استُخدمت خوادمهم لتدريب نماذج “عالية المخاطر” دون توثيق أمني كافٍ. وبعض الحكومات الأوروبية وسنغافورة باتت تفرض غرامات “مرونة البنية التحتية” التي لا تعتمد على تضرر أفراد بعينهم، بل على فشل المنشأة الحيوية في الحفاظ على استمراريتها.
في المقابل، ظهرت في 2025 نماذج تأمينية جديدة تُسمى “تأمين انقطاع الأعمال الرقمي” تسعى لسد الفجوة التي تتركها عقود SLA. لكن هذا التأمين يعالج الأعراض لا السبب: الفراغ القانوني في تحديد مسؤولية مزودي البنية التحتية لا يزال قائمًا ويستفيد منه من يملك القدرة على صياغة العقود.
الكابلات البحرية: حماية دولية هشة
حين انقطعت كابلات بحرية في بحر البلطيق عام 2024، دخلت التحقيقات في متاهة قانونية معقدة: من يملك صلاحية التحقيق؟ الدولة الساحلية التي وقع الانقطاع قرب مياهها؟ دولة علم السفينة المشتبه بها؟ الدولة المالكة للكابل؟
الإجابة القانونية الرسمية تقسم المسألة: الدولة الساحلية تملك الصلاحية داخل مياهها الإقليمية، ودولة العلم مسؤولة في أعالي البحار. لكن هذا التقسيم يُنتج فراغات واسعة، خاصةً في المناطق الاقتصادية الخالصة التي تمتد مئتي ميل بحري، والتي لا تملك الدولة الساحلية فيها صلاحيات مكافئة لصلاحياتها في المياه الإقليمية.
اتفاقية الأمم المتحدة لقانون البحار UNCLOS تمنح الدول الحق في مد الكابلات وتُلزم بحمايتها، لكنها تعاني من فجوة جوهرية: لا توجد حتى أبريل 2026 اتفاقية دولية شاملة تُجرّم قطع الكابلات البحرية عمدًا بوصفه عملًا إرهابيًا دوليًا. التشريعات لا تزال محلية، والتنسيق الدولي قاصر.
في أوائل 2026، أطلقت دول الناتو وشركاء في آسيا مبادرة لإنشاء “مناطق حماية” حول ممرات الكابلات الحيوية. المبادرة تعترف ضمنًا بأن الإطار القانوني القائم غير كافٍ لحماية بنية تحتية باتت في قلب الأمن القومي لكل دولة متصلة بالإنترنت.
المنطقة العربية: تشريعات ناشئة وفجوات واسعة
المشهد التشريعي العربي يتحرك، لكن بوتيرة غير متكافئة مع حجم التحديات.
السعودية والإمارات تملكان منظومتين تشريعيتين لحماية البيانات بدأتا تُفرزان نتائج عملية. قطر حدّثت قانون حماية الخصوصية في 2024. المغرب يعمل على مسودة قانون جديد يستهدف التوافق مع اتفاقية بودابست للجرائم المعلوماتية والمعايير الأوروبية المحدثة. وفي 2025 رُفعت أول دعوى قضائية كبرى في الإمارات ضد منصة تواصل اجتماعي عالمية تتعلق بـ”الحق في النسيان” وتوطين السجلات القانونية.
لكن هناك ثلاث فجوات تبرز بوضوح هنا .
غياب المسؤولية المدنية الواضحة: لا تتضمن معظم التشريعات العربية نصوصًا صريحة تحدد المسؤولية المدنية لمزودي البنية التحتية عند الكوارث الرقمية الكبرى. من يُعوّض المواطن أو الشركة حين تنهار خدمة سحابية يعتمد عليها؟ السؤال لا يجد إجابة تشريعية واضحة في معظم الأنظمة العربية.
ضعف آليات الحياد السحابي: لا توجد تشريعات عربية تعالج احتكار الشركات الكبرى للبنية التحتية السحابية أو تفرض شروطًا تنافسية تمنع الاعتماد المفرط على مزود واحد.
غياب الاتفاقية الإقليمية الموحدة: يوجد “الإطار الاسترشادي العربي لحماية البيانات” الصادر عن جامعة الدول العربية، لكنه غير ملزم. ولا توجد اتفاقية عربية موحدة ذات قوة إلزامية تُعالج السيادة الرقمية بمفهومها الشامل، وهذا الغياب يُضعف الموقف التفاوضي الجماعي للمنطقة أمام شركات التقنية الكبرى.
في المقابل، تتمسك معظم الدول العربية برفض منح وصول مباشر للبيانات المخزّنة على أراضيها بناءً على قوانين أجنبية، مشترطةً المرور عبر اتفاقيات المساعدة القانونية المتبادلة MLAT. هذا الموقف يعكس وعيًا بمسألة السيادة، لكنه لا يُغني عن منظومة تشريعية متكاملة.
القانون الذي لم يُكتب بعد
السيادة الرقمية الحقيقية تحتاج أكثر من مراكز بيانات على الأرض الوطنية. تحتاج منظومة قانونية متكاملة تُحدد من يملك حق الوصول، ومن يتحمل المسؤولية عند الفشل، وكيف تُحسم النزاعات حين تتصادم الأنظمة القانونية المختلفة.
هذه المنظومة لا تزال في طور البناء حتى في أكثر الاقتصادات تقدمًا. الاتحاد الأوروبي يملك الأكثر اكتمالًا، لكن تطبيقه يصطدم بواقع أن البنية التحتية التي يُنظّمها لا يملكها. والولايات المتحدة تملك أكثر البنية التحتية لكن تشريعاتها تعكس مصالح شركاتها قبل مصالح مستخدميها. والمنطقة العربية تبني تشريعاتها بوتيرة متصاعدة لكنها لا تزال تفتقر إلى الإطار الإقليمي الموحد الذي يمنحها ثقلًا تفاوضيًا حقيقيًا.
المعركة القانونية على السيادة الرقمية لم تُحسم. ومن يكتب قواعدها أولًا سيملك ميزة استراتيجية تتجاوز بكثير حدود القانون.
