ممثل GDPR في الاتحاد الأوروبي لتطبيقات Android: من يحتاج إليه في 2026

من يمكنه أن يكون الممثل، وما الذي تغيّره قواعد Google للتجار في 2027، وأين يُذكر اسم الممثل، وكم يكلّف غياب التعيين.

على مطوري Google Play المقيمين خارج الاتحاد الأوروبي تعيين ممثل في الاتحاد بموجب المادة 27 من اللائحة العامة لحماية البيانات (GDPR) متى عالج تطبيقهم على Android البيانات الشخصية لأشخاص موجودين في الاتحاد يُعرض عليهم التطبيق أو يراقب سلوكهم.

لماذا يجلب التوزيع عبر Google Play معه اللائحة العامة لحماية البيانات

يأتي المعياران كلاهما من المادة 3 من اللائحة. وفي Google Play يُحسم المعيار الأول في Play Console. فالإصدار المتاح في دول الاتحاد، مع صفحة متجر مترجمة إلى لغاتها وأسعار بالعملة المحلية، يستهدف تلك الأسواق، واللائحة نفسها تعدّ لغة إحدى دول الاتحاد أو عملتها، مع إمكانية الطلب بها، من علامات الاستهداف.

وتستوفي تطبيقات Android المعيار الثاني أكثر مما يتوقع مطوروها. فالمجلس الأوروبي لحماية البيانات يعدّ من مراقبة السلوك الإعلانات السلوكية، وبيانات الموقع المستخدمة في التسويق، والتتبع عبر الإنترنت بملفات تعريف الارتباط أو بتقنيات مثل بصمة الجهاز، والتحليلات الشخصية للصحة أو النظام الغذائي. والتطبيق الذي يصرّح قسم «أمان البيانات» فيه بمشاركة الموقع أو نشاط التطبيق أو معرّفات الجهاز لأغراض الإعلان أو التسويق يصف ذلك بالضبط. وجمع البيانات عبر الإنترنت ليس مراقبة في حد ذاته: فالمجلس ينظر إلى الغرض وإلى التنميط الذي يليه.

والاستثناء في المادة 27 ضيق. فهو يشترط معالجة عرضية، لا تشمل على نطاق واسع بيانات حساسة كالبيانات الصحية أو البيومترية، ولا يُرجّح أن تنشئ مخاطر على الأشخاص، وكل ذلك معًا. والتطبيق الذي يتلقى زيارات أوروبية منتظمة لا يستفيد منه.

من يمكنه أن يكون ممثلك

يمكن لأي شخص طبيعي أو كيان قانوني مقيم في دولة من دول الاتحاد يعيش فيها مستخدموك أن يتولى الدور بعد تعيينه كتابيًا. وتقدم مكاتب المحاماة وشركات الاستشارات والشركات المتخصصة هذا الدور خدمةً، وتصلح له أيضًا شركة مسجلة في الاتحاد تابعة لمجموعتك. ويوصي المجلس الأوروبي لحماية البيانات بأن يكون الممثل في الدولة العضو التي يعيش فيها جزء كبير من جمهورك.

وتستبعد التوجيهات نفسها حالتين من الجمع بين الأدوار: لا يجوز لممثلك أن يعمل في الوقت نفسه مسؤولًا خارجيًا لحماية البيانات لديك، ولا أن يعالج البيانات الشخصية نيابة عنك. كما أن التعيين في المملكة المتحدة لا يُحتسب للاتحاد: ففي 2025 عاملت هيئة حماية البيانات الإسبانية شركة كان ممثلها في أيرلندا الشمالية كأنها بلا أي ممثل في الاتحاد.

ما الذي يفعله الممثل من أجلك

بموجب التفويض، يمكن للمستخدمين والسلطات الرقابية مخاطبة الممثل إلى جانب المطور أو بدلًا منه في أي مسألة تخص المعالجة. ويحتفظ الممثل أيضًا بسجل أنشطة المعالجة الذي يحدّثه المطور، ويقدمه عندما تطلبه السلطة، ويتعاون في التحقيقات، ويسلّم المعلومات التي تأمر بها السلطة.

ولا يحمي التعيين المطور: فالإجراءات القانونية ضد الشركة نفسها تبقى ممكنة، ويجوز للسلطات أن توجه الأوامر التصحيحية والغرامات إلى المطور عبر الممثل. لذلك ينبغي أن يذكر التفويض المادة 27 من اللائحة وأن يعدّد هذه الواجبات بعبارات واضحة. والممثل المفوض المعيّن بموجب قانون أوروبي آخر، كقانون الأجهزة الطبية مثلًا، لا يغطي حماية البيانات: فقد غرّمت هيئة حماية البيانات الإيطالية صانع تطبيق Eversense لمراقبة سكر الدم $51,000 (€45,000) في 2022 في قضية تضمنت هذا الخطأ بالضبط.

ما الذي ينشره Google Play وتصريح التاجر

يعرض Google Play بالفعل الاسم القانوني لكل مطور وبريده الإلكتروني في ملفه على المتجر. ويعرض حساب المؤسسة أيضًا عنوانه القانوني ورقم هاتفه، ويعرض الحساب الشخصي الذي يبيع تطبيقات مدفوعة أو مشتريات داخل التطبيق عنوانه الكامل. ولفتح حساب مؤسسة تتحقق Google من رقم D-U-N-S للشركة واسمها القانوني وعنوانها وهاتفها.

وثمة تغيير أكبر في الطريق. فعلى كل حساب مطور في العالم أن يصرّح في Play Console بصفته تاجرًا أو غير تاجر بموجب قوانين المنطقة الاقتصادية الأوروبية والمملكة المتحدة بحلول 1 فبراير 2027، أما الحسابات الجديدة فتقدم التصريح عند إنشائها. واعتبارًا من 1 مارس 2027 يعمل Google Play سوقًا إلكترونية في المنطقة الاقتصادية الأوروبية والمملكة المتحدة. وسيرى المستخدمون في كل مكان بيانات الاتصال بالتاجر، ورقم D-U-N-S الخاص به في قسم دعم التطبيق، ورابطًا إلى شروط الخدمة إن وُجدت، وفي المنطقة الاقتصادية الأوروبية والمملكة المتحدة يحل اسم المطور محل Google في سطر «مقدم من». والحساب الذي يفوّت الموعد يواجه إجراءات تبدأ بمنع تحديثات التطبيقات وتصل إلى إزالة تطبيقاته من Google Play في العالم كله. والتصريح الكاذب بعدم كونك تاجرًا يخالف اتفاقية توزيع المطورين لدى Google وقد يكلفك الحساب. وعلى الحساب الشخصي الذي يصرّح بأنه تاجر أن يعلن رقم هاتفه وعنوانه.

ولا تعيّن أي من هذه البيانات أحدًا ليجيب عن معالجتك للبيانات، لذا فتصريح التاجر وممثل المادة 27 التزامان منفصلان. وللمطورين الذين يفضلون عدم نشر عنوان منزلهم، يعرض التطبيق الذي تنشره شركة بيانات الشركة، كما نشرح في دليلنا حول حساب مطور Google Play لشركة.

سياسة الخصوصية ونموذج «أمان البيانات»

يشترط Google Play على كل تطبيق، حتى الذي لا يمس أي بيانات شخصية، أن ينشر سياسة خصوصية في الحقل المخصص لها في Play Console وداخل التطبيق معًا. ويجب أن تكون السياسة على عنوان عام فعّال، من دون حجب جغرافي وليس في ملف PDF، وتطلب سياسة بيانات المستخدمين لدى Google أن تذكر المطور وجهة اتصال للخصوصية. وبالنسبة للمطور من خارج الاتحاد، فإن قسم الاتصال هذا هو المكان الذي تتوقع فيه اللائحة ذكر ممثل المادة 27: اسم الممثل، وعنوانًا بريديًا في الاتحاد، وبريدًا إلكترونيًا يُتابَع. ولا يوجد في Play Console حقل منفصل للممثل، فما يراه المستخدمون في السياسة هو ما يُعتدّ به.

ويجب أن يطابق نموذج «أمان البيانات» سياسة الخصوصية، بما في ذلك البيانات التي تجمعها كل حزمة تطوير برمجيات في إصدارك. واختبر صندوق بريد الممثل قبل نشره: فرسالة الجهة الرقابية التي تصل إلى البريد العشوائي تبقى بلا رد على أي حال.

تطبيقات الأطفال أكثر عرضة للمخاطر

بموجب اللائحة، تحتاج الخدمة الإلكترونية التي تعتمد على الموافقة إلى موافقة أحد الوالدين قبل معالجة بيانات طفل دون سن الموافقة الرقمية. وهذا السن 16 عامًا ما لم تخفضه دولة من دول الاتحاد، ولا يجوز لأي دولة أن تحدده بأقل من 13 عامًا. والمعالجة المنتظمة لبيانات الأطفال ليست عرضية ولا منخفضة المخاطر، فلا ينطبق استثناء المادة 27، ويحتاج تطبيق الأطفال الذي له مستخدمون في أوروبا إلى ممثل منذ أول تثبيت أوروبي. وقد سبق أن عيّنا ممثلًا كهذا لتطبيق أطفال.

التطبيقات ذات محتوى المستخدمين تحتاج أيضًا إلى ممثل بموجب قانون الخدمات الرقمية

تطبيق Android الذي يخزّن ويعرض ما يرفعه مستخدموه، من المنشورات والصور إلى المراجعات والإعلانات والملفات المشتركة، يُعد خدمة وسيطة بمفهوم قانون الخدمات الرقمية (DSA). ومنذ 17 فبراير 2024 يتعين على كل مزود من هذا النوع لا مقر له في الاتحاد أن يعيّن كتابيًا ممثلًا قانونيًا في دولة عضو يعمل فيها، أيًا كان حجم الشركة. وتذكر الحيثيات التمهيدية للقانون إتاحة الخدمة في متجر تطبيقات وطني ضمن العلامات على أنها موجهة إلى ذلك البلد.

ويُبلغ المزود منسق الخدمات الرقمية في بلد الممثل باسم الممثل وبيانات الاتصال به ويبقيها علنية، ويمكن مساءلة الممثل نفسه عن مخالفات المزود. وفي أغسطس 2025 طالب منسق الخدمات الرقمية في مالطا علنًا منصة البث الأسترالية Kick بتقديم تفسيرات بعد أن لم تُبلغ عن ممثلها القانوني. ويمكن لكل دول الاتحاد أن تراقب في آن واحد المزود الذي لا ممثل له بموجب قانون الخدمات الرقمية، وقد تصل الغرامات إلى 6% من حجم الأعمال السنوي العالمي. وتستخدم الجهات الرقابية أيضًا إجراء الإخطار في القانون ضد التطبيقات مباشرة: ففي يونيو 2025 أبلغت هيئة حماية البيانات في برلين Google وApple عن تطبيق DeepSeek بوصفه محتوى غير قانوني، مستندة إلى نقل البيانات الشخصية إلى الصين.

المملكة المتحدة تحتاج إلى ممثل خاص بها

تحتفظ المملكة المتحدة بنسختها الخاصة من اللائحة. فقد بقيت المادة 27 من اللائحة البريطانية بعد خروج بريطانيا من الاتحاد: على المطور الذي لا مقر له في بريطانيا ويستهدف مستخدمين في المملكة المتحدة أو يتتبع سلوكهم أن يسمّي كتابيًا ممثلًا موجودًا هناك. والاستثناء ضيق كما في الاتحاد، والغرامات تماثل الغرامات الأوروبية. ولا يغطي الممثل في دولة من دول الاتحاد المستخدمين البريطانيين، لذا يحتاج التطبيق المنشور في السوقين إلى تعيينين.

الإبلاغ عن الثغرات بموجب قانون المرونة السيبرانية

ويشمل قانون المرونة السيبرانية (CRA) أيضًا تطبيقات Android المتاحة في الاتحاد في إطار نشاط تجاري، وهو معيار تستوفيه كذلك التطبيقات المجانية التي تعيش على الإعلانات أو المشتريات داخل التطبيق. ومنذ 11 سبتمبر 2026 يتعين على صانعيها الإبلاغ عن الثغرات المستغَلة فعليًا والحوادث الخطيرة، بدءًا بإنذار مبكر خلال 24 ساعة. وتسري الالتزامات الباقية اعتبارًا من 11 ديسمبر 2027. والممثل بموجب هذا القانون طوعي، على عكس ممثل اللائحة العامة لحماية البيانات.

كم يكلف غياب الممثل

تضع اللائحة حدًا أقصى لغرامات غياب الممثل قدره $12 مليون (€10 ملايين) أو 2% من حجم الأعمال السنوي العالمي، أيهما أكبر. وفي 2022 غرّمت الهيئة الإيطالية Clubhouse بمبلغ $2.3 مليون (€2 مليون) بسبب سلسلة من المخالفات. فقد ذكرت سياسة الخصوصية العنوان البريدي للممثل دون بريد إلكتروني، ووصفته صفحته الخاصة بأنه ميسّر لا طرف مقابل حقيقي. واحتجت الشركة أولًا بأن مجرد إدراج التطبيق في المتجرين الكبيرين لا يدل على نية خدمة إيطاليا، ثم توقفت عن الطعن في انطباق اللائحة، فطبقتها الهيئة. وفي هولندا فرضت هيئة حماية البيانات على Locatefamily.com غرامة قدرها $590,000 (€525,000) لأنها لم تسمّ أي ممثل على الإطلاق.

كيف تتولى Murblz تمثيل مطوري Android

نتولى الأمر من البداية إلى النهاية.

1. نتحقق مما إذا كانت المادة 27 تنطبق: الدول في إصداراتك، ولغات صفحة المتجر، وأنواع البيانات، وحزم تطوير البرمجيات في إصدارك.
2. نعيّن ممثلك ونصوغ تفويضه المكتوب.
3. نضيف الممثل إلى سياسة الخصوصية لديك ونوائم السياسة مع إجاباتك في نموذج «أمان البيانات».
4. نُعد سجل أنشطة المعالجة ونحدّثه مع كل إصدار مهم.
5. ندير صندوق بريد الممثل ونحيل إليك طلبات المستخدمين والسلطات.
6. ونعيّن أيضًا الممثل القانوني الذي يشترطه قانون الخدمات الرقمية للتطبيقات ذات محتوى المستخدمين، ونُعد تصريحك بصفة التاجر في Play Console.
7. ويمكننا أن نسجّل في الاتحاد شركة من مجموعتك لتعمل ممثلًا لك.

الأسئلة الشائعة