غرامات GDPR لا تقيس حجم الضرر الذي أصاب الأفراد، بل حجم الشركة التي أصابتهم.
أعلنت سلطة حماية البيانات الهولندية في 21 أغسطس 2026 غرامة قدرها 824.99 مليون يورو على أوبر، لأنها اتخذت قرارات آلية كاملة بحق السائقين، وفق بيان السلطة. وتقول أوبر في المقابل إن 126 سائقاً فقط أُوقفت حساباتهم نهائياً في أوروبا عام 2021.
الفجوة بين الرقمين تختصر سؤال حماية البيانات الشخصية في أوروبا: لماذا تبلغ غرامات GDPR مئات الملايين، وكيف تُحسب أصلاً؟ الجواب لا يبدأ من حجم الضرر. يبدأ من تصميم العقوبة نفسه.
غرامات GDPR تُحسب على المجموعة لا على الضرر
تنص المادة 83 على سقفين للغرامة الإدارية. المخالفات الأخف تصل غرامتها إلى 10 ملايين يورو أو 2% من رقم الأعمال العالمي، والأشد إلى 20 مليوناً أو 4%، ويُعتمد الرقم الأعلى في الحالتين. هذه الكلمة تمنع الغرامة من التحول إلى رقم رمزي أمام شركة عملاقة.
أما كلمة «المنشأة» (undertaking) فتفتح الباب الثاني. لم تعرّفها اللائحة، فأحالتها محكمة العدل الأوروبية إلى قانون المنافسة، حيث تعني الوحدة الاقتصادية كلها لا الشخص القانوني المخالف وحده. وقد أكدت المحكمة هذا المفهوم في قضية Deutsche Wohnen عام 2023، ثم حسمته في 13 فبراير 2025: يُحسب الحد الأقصى للغرامة على رقم الأعمال العالمي للمنشأة التي ينتمي إليها المخالف، وهي قضية ILVA (C-383/23). الوقائع توضح الأثر، فقد بلغ رقم أعمال ILVA الدنماركية 1.8 مليار كرونة، بينما بلغ رقم أعمال مجموعة Lars Larsen التي تتبعها 6.57 مليار. الفرع الصغير لا يحميه صِغره.
حين يكون المخالف Meta يصبح السقف نفسه رقماً هائلاً: بلغ رقم أعمالها 116.61 مليار دولار في السنة التي سبقت قرار 2023، فتجاوز الحد الأقصى الممكن أربعة مليارات دولار.
من السقف إلى الرقم النهائي: خلاف الجهات الرقابية يرفع الغرامة
السقف لا يفسر الرقم النهائي. قضية Meta تكشف كيف تتشكل الأرقام الكبرى فعلاً. رأت لجنة حماية البيانات الأيرلندية في مسودة قرارها أن الغرامة غير متناسبة، لأن نقل البيانات إلى الولايات المتحدة جرى بحسن نية وفق آلية قانونية قائمة. لكن أربع جهات من أصل 47 جهة معنية اعترضت، ورأت جميعها وجوب فرض غرامة، فأُحيل الخلاف إلى المجلس الأوروبي لحماية البيانات وفق المادة 65.
أصدر المجلس قراره الملزم في 13 أبريل 2023، وأمر بفرض غرامة تنطلق من نقطة تتراوح بين 20% و100% من السقف القانوني. فصدر قرار اللجنة الأيرلندية بغرامة 1.2 مليار يورو. وبحسبة تقريبية على الأرقام السابقة، هذا أقل من ثلث الحد الأقصى الممكن.
النمط تكرر في قرارين ضد Meta في يناير 2023. كانت اللجنة الأيرلندية تنوي فرض 36 و23 مليون يورو، فارتفعت الغرامتان إلى 210 و180 مليوناً بعد تدخل المجلس. والاستنتاج الذي أرجّحه أن الأرقام الكبرى لا تخرج من معادلة هادئة، بل من خلاف بين الجهة الرئيسية ونظيراتها، ويحسمه المجلس في اتجاه الصرامة.
لماذا تتركز الأرقام الضخمة في أيرلندا ولوكسمبورغ وهولندا؟
تعمل اللائحة بمبدأ الشباك الواحد: الجهة الرقابية في بلد المقر الأوروبي الرئيسي للشركة تقود التحقيق. لذلك جاءت غرامات Meta وتيك توك من أيرلندا، وغرامة أمازون من لوكسمبورغ، وغرامات أوبر من هولندا. وينتقد باحثون هذا الترتيب لأن قرارات بلدين، أحدهما نحو خمسة ملايين نسمة والآخر أقل من 700 ألف، تمس نحو 450 مليون أوروبي.
والصورة العامة هرمية. تجاوز مجموع الغرامات منذ 2018 سبعة مليارات يورو وفق مسح DLA Piper الصادر في يناير 2026. وبحسبة تقريبية استناداً إلى قوائم الغرامات المنشورة، تتجاوز تسع غرامات فقط في مجموعها 4.4 مليار يورو، أي أكثر من نصف المجموع. وفي الأسفل تتراكم معظم الغرامات دون 100 ألف يورو. قاعدة عريضة من الغرامات الصغيرة، وقمة ضيقة تصنع العناوين.
حين تصبح الخوارزمية مخالفة: ما الذي أضافه حكم أوبر؟
لم تأتِ غرامة أوبر من إعلان سلوكي ولا من نقل بيانات عبر الأطلسي، وهما المساران اللذان صنعا أكبر الأرقام السابقة. اعتمدت أوبر بين 2018 و2022 أنظمة آلية تراقب سلوك السائقين وتقييمات الركاب، فتُعطَّل الحسابات عند الاشتباه بالاحتيال أو انخفاض التقييم دون تدخل بشري ذي معنى. رأت السلطة أن ذلك يخالف حظر القرارات الآلية الكاملة في المادة 22، وأن الشركة لم تُعلم السائقين بما يكفي عن منطق هذه القرارات. وبدأ الملف بـشكوى جماعية قدمتها رابطة حقوق الإنسان الفرنسية عام 2020 نيابة عن أكثر من 170 سائقاً. Uber’s €825 million fine: a warning for businesses using automated decision making +2
الغرامة هي الرابعة من السلطة الهولندية بحق الشركة، بعد 600 ألف يورو عام 2018 و10 ملايين عام 2023 و290 مليوناً عام 2024، وهي 2.8 ضعف غرامة 2024. غير أن السلطة لم تفصّل كيف وُزعت الغرامة بين مخالفة القرار الآلي ومخالفة الشفافية، ويبقى أثر التكرار استنتاجاً لا واقعة موثقة. Uber fined nearly 825 million euros for automated driver blocking +2
الأهم للباحث العربي أن المادة 22 انتقلت من نص نظري إلى أداة ذات ثمن. كل نظام يعتمد على الخوارزمية في تعليق حساب أو رفض قرض أو إنهاء عقد صار تحت اختبار «التدخل البشري ذي المعنى»، وهو اختبار يلتقي مع قانون الذكاء الاصطناعي الأوروبي في فلسفة الرقابة البشرية. وقد استأنفت أوبر القرار، وتقول إنها غيّرت سياساتها لتشمل مراجعة بشرية ومسار اعتراض.
غرامة على الورق وغرامة في الخزينة
الرقم المعلن ليس الرقم المدفوع. فرضت لجنة حماية البيانات اللوكسمبورغية على أمازون 746 مليون يورو عام 2021، وأيدتها المحكمة الإدارية ابتدائياً في مارس 2025، ثم ألغتها محكمة الاستئناف الإدارية في 12 مارس 2026. السبب أن اللجنة لم تحدد هل ارتكبت أمازون المخالفة عمداً أم إهمالاً، ولم تبحث هل كان إجراء أخف كافياً. وهذا شرط أرساه حكم لمحكمة العدل الأوروبية عام 2023، وطُبّق على قرار صدر قبله. وأُعيدت القضية إلى اللجنة، بحسب تقرير Reuters. Luxembourg court annuls Amazon’s €746M GDPR fine, sends case back to regulator +2
الحكم لم يبرّئ أمازون. أكدت المحكمة أن المصلحة المشروعة لا تصلح أساساً للإعلان السلوكي، وأن إشعارات الشفافية قاصرة. خمس سنوات فصلت بين الغرامة والإلغاء. وأوبر ستستأنف، وهذا يوقف تنفيذ الغرامة سنوات على الأرجح.
موقفي من هذا المشهد أن الغرامة الأوروبية أول نقلة في تفاوض طويل، لا حكماً نهائياً، وأن الردع الفعلي يسكن غالباً في الأوامر المصاحبة. في قضية Meta مثلاً، أُمرت الشركة بتعليق أي نقل مستقبلي للبيانات إلى الولايات المتحدة خلال خمسة أشهر. هذا الأمر يمس نموذج العمل، والغرامة وحدها لا تفعل ذلك.
غرامات GDPR: حين يُقاس السقف بحجم الشركة
أكبر الغرامات الأوروبية وسقوف الغرامة في أربعة أنظمة عربية
الزاوية العربية: أنظمة استعارت الحقوق ولم تستعر التسعير
تقدم السعودية أوضح نموذج عربي للتطبيق. تعاقب المادة 36 على مخالفات النظام بإنذار أو بغرامة لا تتجاوز 5 ملايين ريال، وتتضاعف عند التكرار، وللجان أن تأمر بنشر العقوبة. أما المادة 35 فتجرّم الإفصاح عن البيانات الحساسة بقصد الإضرار أو تحقيق منفعة، بالسجن حتى سنتين و/أو غرامة حتى 3 ملايين ريال. وأعلنت سدايا في 16 يناير 2026 أن لجان النظر في المخالفات أصدرت 48 قراراً خلال 2025، دون نشر مبالغ كل قضية. وتشير قراءة قانونية في مدونة Global Privacy Blog إلى أن النظام يسري على الجهات الأجنبية التي تعالج بيانات المقيمين في المملكة.
وفي قطر ينص القانون رقم 13 لسنة 2016 على عقوبة لا تتجاوز مليون ريال لمخالفة مواد محددة في المادة 23، وخمسة ملايين ريال لمخالفات أخرى في المادة 24. وكلتاهما مبلغ ثابت لا يرتبط برقم أعمال المخالف.
ومصر أصدرت اللائحة التنفيذية للقانون 151 لسنة 2020 في نوفمبر 2025، فبدأ العد التنازلي للامتثال. يعاقب القانون على نقل البيانات خارج البلاد دون ترخيص بالحبس مدة لا تقل عن ثلاثة أشهر و/أو غرامة بين 500 ألف و5 ملايين جنيه، وتشير مصادر قانونية إلى أن مهلة التوافق تنتهي في الأول من نوفمبر 2026.
وفي المغرب تصل غرامات القانون 09-08 إلى 300 ألف درهم، نحو 18 ألف يورو، ولم يصدر تشريع معدِّل حتى 2026. ولم تُسجَّل غرامات كبيرة حتى 2025، وفضّلت اللجنة الوطنية الإنذار. أما الإمارات فيحيل القانون الاتحادي رقم 45 لسنة 2021 مقدار الجزاءات الإدارية إلى قرار من مجلس الوزراء، وتتضارب المصادر الثانوية حول صدور اللائحة التنفيذية وتاريخها، فلا أستطيع الجزم بسقف إماراتي. Data protection and cybersecurity laws in Morocco +3
هنا تظهر الفجوة. غرامة أوبر تعادل نحو 966 مليون دولار، والسقف السعودي نحو 1.33 مليون دولار، أي ما يقارب 700 ضعف بحسبة تقريبية. والمشكلة ليست في السقف الثابت بحد ذاته. المشكلة في المعادلة: اللائحة الأوروبية تعاقب الشركة بحجمها، والأنظمة العربية تعاقب المخالفة بمبلغ مقطوع، وشركة بحجم Meta أو أوبر على الأرجح تحسبه تكلفة تشغيل. والرافعة الأقوى عربياً قد تكون غير مالية: ترخيص نقل البيانات عبر الحدود، ونشر العقوبة، والمسؤولية الجزائية للأفراد. هذا استنتاج يحتاج اختباراً بالممارسة، فسجل القرارات المنشورة ما زال شحيحاً.
يبقى سؤال لا يجيب عنه تصميم العقوبة في أي نظام. حين تُسعَّر الغرامة بحجم الشركة لا بحجم الضرر، من يقدّر ما خسره سائق وجد حسابه معطلاً صباحاً دون أن يعرف السبب؟ وحين يستعير المشرّع العربي حقوق اللائحة ويترك معادلتها الحسابية، هل يستعير القانون أم صورته؟ الغرامة تصنع العنوان، أما الردع فيصنعه من ينجح في تحصيلها.
