باختصار
يسري الـGDPR على الشركة الإسرائيلية التي ليس لها فرع في الاتحاد الأوروبي عندما تعرض سلعًا أو خدمات على أشخاص في الاتحاد، أو تراقب سلوكهم هناك (المادة 3(2)). وتحتاج مثل هذه الشركة عادةً إلى تعيين ممثل في الاتحاد (المادة 27)، وإلى توقيع اتفاقيات معالجة مع الموردين والوفاء بسائر الالتزامات التنظيمية. وقرار الكفاية الصادر عن الاتحاد بشأن إسرائيل، الذي أُقرَّ مجددًا في مراجعة كانون الثاني/يناير 2024، يسهِّل نقل البيانات من أوروبا إلى إسرائيل لكنه لا يُعفي من الـGDPR. وفي إسرائيل، دخل التعديل 13 لقانون حماية الخصوصية حيز النفاذ في 14 آب/أغسطس 2025.
أبرز النقاط
- 1مجرد إمكانية الوصول إلى الموقع من أوروبا لا يُخضع للـGDPR؛ أما العرض الموجَّه لعملاء في الاتحاد أو مراقبة سلوكهم هناك فيُخضع له.
- 2الشركة الإسرائيلية التي يسري عليها الـGDPR وفق المادة 3(2) تحتاج عادةً إلى ممثل معيَّن كتابةً في الاتحاد، ما لم تكن المعالجة عرضية ومنخفضة المخاطر.
- 3قرار الكفاية بشأن إسرائيل (2011) أُقرَّ ساريًا في مراجعة المفوضية الصادرة في 15 كانون الثاني/يناير 2024؛ وهو يتعلق بنقل البيانات، لا بالالتزامات الجارية.
- 4دخل التعديل 13 لقانون حماية الخصوصية حيز النفاذ في 14 آب/أغسطس 2025، ووسَّع صلاحيات الإنفاذ لدى هيئة حماية الخصوصية.
- 5مع كل مورِّد يعالج بيانات شخصية نيابةً عن الشركة تُوقَّع اتفاقية معالجة (DPA) وفق المادة 28.
شركة برمجيات من تل أبيب تبيع اشتراكات في ألمانيا، أو متجر إلكتروني من إسرائيل تصل شحناته إلى رومانيا، أو شركة تسويق تدير حملات موجَّهة في فرنسا - كلها قد تخضع للائحة العامة لحماية البيانات في الاتحاد الأوروبي (GDPR)، حتى دون مكتب أو موظف أو حساب مصرفي في أوروبا. ويشرح هذا الدليل متى يحدث ذلك، وما الالتزامات الرئيسية، وما معنى قرار الكفاية بشأن إسرائيل والتعديل 13 لقانون حماية الخصوصية، وما الذي ينبغي فحصه. وهو صحيح بحسب الوضع في تشرين الثاني/نوفمبر 2026.
متى يسري الـGDPR على شركة إسرائيلية بلا وجود في أوروبا؟
وفقًا للمادة 3(2) من الـGDPR، تسري اللائحة على الجهة غير المؤسَّسة في الاتحاد عندما تتعلق المعالجة بأحد نشاطين: عرض السلع أو الخدمات على أصحاب البيانات الموجودين في الاتحاد، بمقابل أو مجانًا، أو مراقبة سلوكهم بقدر ما يجري هذا السلوك داخل الاتحاد.
| الحالة | هل يسري الـGDPR عادةً؟ | لماذا |
|---|---|---|
| موقع بالإنجليزية فقط، دون توجُّه إلى سوق أوروبية، دخله أوروبي مصادفةً | عادةً لا | إمكانية الوصول إلى الموقع وحدها لا تكفي وفق الحيثية 23 من اللائحة |
| موقع بالألمانية، وأسعار باليورو، وشحن إلى الاتحاد | نعم | مؤشرات واضحة على نية عرض السلع على أشخاص في الاتحاد |
| تطبيق يستخدم ملفات تعريف الارتباط والتنميط للإعلان الموجَّه لمستخدمين في الاتحاد | نعم | مراقبة سلوك يجري داخل الاتحاد |
| خدمة B2B لشركات أوروبية، تعالج فيها الشركة الإسرائيلية بيانات موظفي العميل | يتوقف؛ وفي الغالب تكون الشركة معالِجًا للبيانات | العميل الأوروبي هو المتحكم، وسيُلزم باتفاقية معالجة وبالتزامات أمنية |
| مقيم في إسرائيل يحمل جنسية أوروبية ويستخدم الخدمة في إسرائيل | عادةً لا بسبب جنسيته | المعيار هو مكان وجود الشخص، لا جنسيته |
تشير المبادئ التوجيهية للـEDPB بشأن النطاق الإقليمي إلى مؤشرات مثل لغة دولة عضو أو عملتها، وذكر العملاء في الاتحاد، والحملات الموجَّهة، والشحن إلى الاتحاد، والنطاق المحلي. ومؤشر واحد ليس حاسمًا دائمًا؛ فالصورة الإجمالية هي المعتبرة.
ما الالتزامات الرئيسية عندما يسري الـGDPR؟
الالتزامات مشابهة لالتزامات الشركة الأوروبية: أساس قانوني لكل معالجة، والشفافية تجاه المستخدمين، واحترام حقوقهم، وأمن المعلومات، والإبلاغ عن الحوادث الأمنية. والفرق الرئيسي بالنسبة للشركة من خارج الاتحاد هو الالتزام بتعيين ممثل.
- الأساس القانوني: لكل غرض من أغراض المعالجة يلزم أساس من المادة 6 - الموافقة، أو الضرورة لتنفيذ العقد، أو الالتزام القانوني، أو المصلحة المشروعة، وغير ذلك.
- سياسة الخصوصية: معلومات واضحة عما يُجمع، ولماذا، وكم يُحتفظ به، ولمن يُنقل، وما الحقوق المتاحة للمستخدم.
- حقوق أصحاب البيانات: الاطلاع، والتصحيح، والمحو، والتقييد، والنقل، والاعتراض، مع عملية داخلية للرد في الموعد.
- سجل أنشطة المعالجة وفق المادة 30، رهنًا بالاستثناءات للجهات الصغيرة.
- الأمن والإبلاغ عن الحادث: تدابير أمنية مناسبة، وعند وقوع حادث أمني ينطوي على خطر - إبلاغ سلطة الرقابة في غضون 72 ساعة، كقاعدة عامة.
- نقل البيانات: النقل من الاتحاد إلى دولة ثالثة يستلزم أساسًا - قرار كفاية، أو بنودًا تعاقدية نموذجية، أو آلية أخرى.
هل تحتاج الشركة الإسرائيلية إلى ممثل في الاتحاد وفق المادة 27؟
عادةً نعم. فالمادة 27 تنص على أنه عندما تسري المادة 3(2)، يعيِّن المتحكم أو المعالج كتابةً ممثلًا في الاتحاد. ويجب أن يكون الممثل مؤسَّسًا في إحدى الدول التي يوجد فيها أصحاب البيانات الذين تعرض عليهم الشركة خدماتها أو تراقبهم.
- الاستثناء: لا يسري الالتزام على المعالجة العرضية التي لا تشمل معالجة واسعة النطاق لفئات خاصة من البيانات (مثل الصحة) أو لبيانات الإدانات، ولا يُتوقع أن تعرِّض حقوق الأشخاص للخطر. والشركة التي تبيع بانتظام في أوروبا سيصعب عليها عادةً الدخول في هذا الاستثناء.
- دور الممثل: عنوان لطلبات سلطات الرقابة وأصحاب البيانات، ومسك سجل المعالجة بطلب من السلطة. ولا يحل محل مسؤول حماية البيانات (DPO)، الذي يُفحص الالتزام بتعيينه على حدة.
- كيفية التعيين: باتفاقية مكتوبة مع الممثل، وتُنشر بياناته في سياسة الخصوصية.
- المسؤولية: تعيين الممثل لا ينقل إليه مسؤولية الشركة؛ وتبقى الشركة مسؤولة عن الامتثال للائحة.
ما الذي يمنحه قرار الكفاية الصادر عن الاتحاد بشأن إسرائيل؟
قرار المفوضية 2011/61/EU الصادر في كانون الثاني/يناير 2011 قضى بأن إسرائيل توفر مستوى حماية كافيًا للبيانات الشخصية المنقولة إليها من الاتحاد. وفي 15 كانون الثاني/يناير 2024 نشرت المفوضية تقريرها عن المراجعة الأولى لأحد عشر قرار كفاية قديمًا، من بينها إسرائيل، وقضت بأنها تظل سارية.
- ما الذي يسهِّله: يمكن للعميل أو الشريك الأوروبي نقل البيانات الشخصية إلى شركة في إسرائيل دون بنود تعاقدية نموذجية ودون تقييم منفصل لمخاطر النقل، في إطار القرار.
- ما الذي لا يفعله: لا يُعفي الشركة الإسرائيلية من الـGDPR عندما تسري المادة 3(2)، ولا يُلغي الالتزام بالممثل أو باتفاقية المعالجة أو حقوق المستخدمين.
- النقل اللاحق: عندما تنقل الشركة الإسرائيلية البيانات إلى مورِّد في دولة ثالثة أخرى، مثل خدمة سحابية في الولايات المتحدة، يلزم أساس منفصل لهذا النقل.
- المتابعة: أعلنت المفوضية أنها ستواصل متابعة التطورات في الدول المشمولة بالمراجعة، ودعت منظمات من المجتمع المدني إلى إعادة النظر في القرار بشأن إسرائيل. ويُستحسن متابعة المستجدات.
ما الذي تغيَّر في إسرائيل مع التعديل 13 لقانون حماية الخصوصية؟
أُقرَّ التعديل 13 لقانون حماية الخصوصية، 5741-1981، في الكنيست في آب/أغسطس 2024 ودخل حيز النفاذ في 14 آب/أغسطس 2025. وقد وسَّع صلاحيات هيئة حماية الخصوصية، بما فيها صلاحية فرض عقوبات مالية، وفرض التزامًا بتعيين مسؤول عن حماية الخصوصية في جهات معيَّنة.
- مسؤول حماية الخصوصية: نشرت الهيئة توجيهات، وانتهت فترة السماح لإنفاذ الالتزام بالتعيين في 31 تشرين الأول/أكتوبر 2025. وما إذا كان الالتزام يسري على شركة معيَّنة يتوقف على نوع النشاط ونطاقه.
- الإنفاذ: أعلنت الهيئة أن بعض العقوبات قد تُفرض حتى دون إنذار مسبق.
- منظومتان بالتوازي: الشركة الإسرائيلية التي تبيع في أوروبا تخضع للقانون الإسرائيلي بشأن قاعدة بياناتها كلها، وللـGDPR بشأن النشاط تجاه الأشخاص في الاتحاد. والامتثال للـGDPR يسهِّل عادةً الامتثال للقانون الإسرائيلي أيضًا، لكن المتطلبات ليست متطابقة، وينبغي فحص كل منهما على حدة.
ما الذي يجب أن تتضمنه اتفاقية المعالجة (DPA) مع الموردين؟
كل مورِّد يعالج بيانات شخصية نيابةً عن الشركة - خدمة سحابية، أو CRM، أو خدمة بريد جماعي، أو مركز دعم - يجب أن يوقِّع اتفاقية معالجة تستوفي المادة 28. وعندما تكون الشركة الإسرائيلية نفسها مورِّدًا لعميل أوروبي، سيطلب منها العميل مثل هذه الاتفاقية.
- المعالجة فقط وفق تعليمات موثَّقة من المتحكم، وللأغراض المحددة.
- التزام بالسرية على الموظفين الذين يطَّلعون على البيانات.
- تدابير أمنية مناسبة.
- شروط الاستعانة بمعالج فرعي، بما فيها الموافقة المسبقة أو الإشعار وإمكانية الاعتراض.
- مساعدة المتحكم في الرد على طلبات أصحاب البيانات وفي الإبلاغ عن الحوادث الأمنية.
- محو البيانات أو إعادتها عند انتهاء التعاقد.
- حق التدقيق وتقديم المعلومات اللازمة لإثبات الامتثال للالتزامات.
ما القواعد المتعلقة بملفات تعريف الارتباط والتتبع في الموقع؟
لملفات تعريف الارتباط غير الضرورية لعمل الموقع - التحليلات، والإعلان الموجَّه، وبكسلات الشبكات الاجتماعية - تلزم كقاعدة عامة موافقة مسبقة من المستخدم في الاتحاد. وينبع هذا الاشتراط من المادة 5(3) من توجيه ePrivacy، الذي طُبِّق في القوانين الوطنية لكل دولة، ولذلك توجد فروق في التفاصيل بين الدول.
- شريط موافقة يتيح الرفض بسهولة القبول نفسها، دون تأشير مسبق.
- عدم تحميل أدوات طرف ثالث قبل الموافقة.
- سياسة ملفات تعريف الارتباط مع قائمة الأدوات والأغراض ومدد الاحتفاظ.
- توثيق الموافقة وإمكانية الرجوع عنها.
قائمة فحص لشركة إسرائيلية تبيع في أوروبا
- الحصر: ما البيانات الشخصية التي تُجمع من أشخاص في الاتحاد، وأين تُحفظ، وإلى أي موردين تُنقل.
- تحديد السريان: هل يوجد عرض موجَّه أو مراقبة، وفق المادة 3(2).
- تعيين ممثل في الاتحاد إذا لم يسرِ الاستثناء، ونشر بياناته.
- فحص الالتزام بتعيين DPO وفق الـGDPR ووفق التعديل 13 في إسرائيل.
- تحديث سياسة الخصوصية وملفات تعريف الارتباط وتثبيت آلية الموافقة.
- توقيع اتفاقيات المعالجة مع جميع الموردين، وفحص أساس النقل اللاحق خارج إسرائيل والاتحاد.
- إعداد إجراء للحوادث الأمنية يتيح الالتزام بموعد الإبلاغ.
- إعداد عملية للرد على طلبات أصحاب البيانات.
- التوثيق للقرارات، بما في ذلك سجل المعالجة وتقييمات الأثر عند الحاجة.
وفقًا للمادة 83 من الـGDPR، قد تؤدي مخالفة التزامات مثل تعيين الممثل واتفاقية المعالجة والأمن إلى غرامة تصل إلى 10 ملايين يورو أو 2% من رقم الأعمال العالمي السنوي، أيهما أعلى؛ ومخالفة مبادئ المعالجة والأساس القانوني وحقوق أصحاب البيانات - حتى 20 مليون يورو أو 4%. ويُحدَّد مبلغ الغرامة الفعلي وفق ظروف الحالة.
ما الذي ينبغي التحقق منه قبل دخول السوق الأوروبية، وكيف نرافق ذلك
قبل إطلاق منتج أو حملة في أوروبا، يُستحسن التحقق مما إذا كان النشاط يُخضع للـGDPR، وما العقود الناقصة مع الموردين والعملاء، وكيف يتكامل الامتثال للـGDPR مع المتطلبات الإسرائيلية بعد التعديل 13. ونحن نساعد في تحليل السريان، وفي مراجعة وصياغة اتفاقيات المعالجة وشروط الاستخدام وسياسة الخصوصية، وفي التنسيق مع ممثل في الاتحاد ومع مستشارين تقنيين ومحليين عند الحاجة.
هذا الدليل معلومات عامة بحسب الوضع في تشرين الثاني/نوفمبر 2026، وليس استشارة قانونية. فسريان الـGDPR وقوانين الخصوصية في إسرائيل يتوقف على وقائع كل نشاط، وكل حالة تُفحص بحسب ظروفها.
المزيد حول الموضوع: شركة إسرائيلية تعمل في رومانيا · شركة في الخارج: مقارنة بين الدول · الأعمال مع شريك إسرائيلي
أسئلة شائعة
هل يسري الـGDPR على شركة إسرائيلية؟
نعم، عندما تعرض سلعًا أو خدمات على أشخاص موجودين في الاتحاد الأوروبي، أو تراقب سلوكهم هناك، حتى دون فرع في أوروبا. أما الموقع الذي يمكن الوصول إليه من أوروبا فحسب، دون توجُّه إلى السوق الأوروبية، فلا يكفي عادةً.
ما ممثل الـGDPR في الاتحاد ومن يحتاج إليه؟
الممثل شخص أو شركة في إحدى دول الاتحاد يُعيَّن كتابةً ليكون عنوانًا للسلطات والمستخدمين. ويُشترط على الجهة من خارج الاتحاد التي يسري عليها الـGDPR وفق المادة 3(2)، ما لم تكن المعالجة عرضية ومنخفضة المخاطر ولا تشمل معالجة واسعة النطاق لبيانات حساسة.
هل إسرائيل دولة ذات كفاية وفق الـGDPR؟
نعم. فقرار المفوضية الصادر عام 2011 قضى بأن إسرائيل توفر حماية كافية، والمراجعة المنشورة في 15 كانون الثاني/يناير 2024 قضت بأن القرار يظل ساريًا. والقرار يسهِّل نقل البيانات من الاتحاد إلى إسرائيل، لكنه لا يُعفي الشركة الإسرائيلية من الـGDPR.
متى دخل التعديل 13 لقانون حماية الخصوصية حيز النفاذ؟
في 14 آب/أغسطس 2025. وقد وسَّع التعديل صلاحيات هيئة حماية الخصوصية، بما فيها العقوبات المالية، وفرض التزامًا بتعيين مسؤول عن حماية الخصوصية في جهات معيَّنة.
هل تحتاج شركة SaaS إسرائيلية تبيع لشركات في أوروبا إلى DPA؟
نعم. فعندما تعالج بيانات شخصية نيابةً عن العميل الأوروبي، تكون معالِجًا للبيانات، ويجب على العميل أن يوقِّع معها اتفاقية معالجة وفق المادة 28. وتحتاج أيضًا إلى اتفاقيات مماثلة مع معالجيها الفرعيين.
هل يلزم شريط ملفات تعريف الارتباط في موقع إسرائيلي موجَّه إلى أوروبا؟
إذا كان الموقع يستخدم ملفات تعريف ارتباط غير ضرورية، مثل التحليلات أو الإعلان الموجَّه، تلزم كقاعدة عامة موافقة مسبقة من المستخدمين في الاتحاد، وفق توجيه ePrivacy والقوانين الوطنية التي طبَّقته.
ما الغرامة على عدم الامتثال للـGDPR؟
تحدد المادة 83 سقوفًا تصل إلى 10 ملايين يورو أو 2% من رقم الأعمال العالمي لبعض المخالفات، وحتى 20 مليون يورو أو 4% للمخالفات الأشد. وتُحدَّد الغرامة الفعلية وفق الظروف.
هل يحمي الـGDPR مواطنًا أوروبيًا يعيش في إسرائيل؟
عادةً لا بسبب جنسيته وحدها. فالمادة 3(2) تتعلق بالأشخاص الموجودين في الاتحاد، ولذلك فإن المعيار هو مكان وجودهم وقت العرض أو المراقبة.
اقرأ التالي · 10 دقائق للقراءةالمنشأة الدائمة والعامل عن بُعد في الخارج: متى تخضع الشركة الإسرائيلية للضريبة في دولة العامل، وماذا عن الأجور والتأمين الوطنيالعامل من المنزل في الخارج قد يُنشئ منشأة دائمة لشركة إسرائيلية: مكان العمل الثابت، والوكيل التابع، وموقع البناء، وتحديث OECD 2025، والأجور والتأمين.قراءة الدليلالمصادر
- EUR-Lex - Regulation (EU) 2016/679 (GDPR)
- الـGDPR المادة 27 - ممثلو الجهات غير المؤسَّسة في الاتحاد
- EDPB - Guidelines 3/2018 on the territorial scope of the GDPR
- European Commission - Adequacy decisions (بما في ذلك المراجعة الصادرة في 15.1.2024)
- EUR-Lex - Commission Decision 2011/61/EU (Israel)
- Pearl Cohen - Israel: Significant amendment to the Privacy Law takes effect (أيلول/سبتمبر 2025)
- EUR-Lex - Directive 2002/58/EC (ePrivacy)
