غرامات GDPR تقفز 230% في الربع الثاني من 2026 إلى 225.88 مليون يورو

تشير أبحاث Finbold المنشورة في 20 أغسطس 2026 إلى تسارع واضح في وتيرة إنفاذ اللائحة العامة لحماية البيانات (GDPR). فقد أصدرت السلطات غرامات بقيمة 225,879,175 يورو (260.59 مليون دولار) خلال الربع الثاني، بزيادة تقارب 230% مقارنة بـ68.18 مليون يورو (73.63 مليون دولار) في الربع الأول. وبذلك وصلت غرامات النصف الأول من العام إلى نحو 295 مليون يورو (340.5 مليون دولار).

ويعادل هذا الإجمالي، عند توزيعه على أيام الربع، نحو 2.48 مليون يورو (2.86 مليون دولار) يوميًا من العقوبات.

هولندا تستحوذ على ما يقارب نصف الإجمالي المعلن

سجلت هولندا أعلى حصيلة بين الدول، بلغت 100.25 مليون يورو، أي ما يقارب 49% من الإجمالي المعلن. وجاءت فرنسا في المرتبة التالية بـ52 مليون يورو، ثم إيطاليا بـ45.50 مليون يورو، والمملكة المتحدة بنحو 18 مليون يورو.

وتعود الحصة الأكبر من الرقم الهولندي إلى غرامة قدرها 100 مليون يورو فرضتها هيئة حماية البيانات الهولندية على شركة MLU B.V.، المشغلة لتطبيق النقل Yango والخلف القانوني لشركة Ridetech International B.V. ووجدت الهيئة أن بيانات شخصية لمستخدمين وسائقين في فنلندا والنرويج نُقلت إلى روسيا دون حماية كافية، وأمرت بوقف عمليات النقل ما لم تتوافر ضمانات متوافقة مع GDPR.

لماذا تحمل قضية Yango أهمية خاصة؟

توضح القضية أحد أبرز تحديات نقل البيانات دوليًا: فمجرد استخدام البنود التعاقدية القياسية (SCCs) لا يحسم بالضرورة جميع مخاطر النقل. ووفقًا للتقارير المتاحة، أخذت الهيئة الهولندية في الاعتبار عوامل، من بينها إمكانية وصول جهات روسية إلى مفاتيح التشفير، ووجود إدارة مشتركة هولندية-روسية، بما قد يثير مخاطر تتعلق بالوصول إلى البيانات أو إعادة تحديد هوية أصحابها.

وتنص إرشادات الجهة التنظيمية الهولندية على أن نقل البيانات الشخصية إلى دول خارج المنطقة الاقتصادية الأوروبية يتطلب مستوى حماية مناسبًا، أو ضمانات ملائمة، أو الاستناد إلى استثناء محدد. وتُعد البنود التعاقدية القياسية إحدى وسائل الحماية الممكنة، لكنها لا تعفي المؤسسات من التأكد من أن هذه الحماية فعالة فعليًا في ظروف النقل المعنية.

أكبر غرامات فرنسا ارتبطت بإخفاقات أمنية

تضمنت حصيلة فرنسا، البالغة 52 مليون يورو، عدة قضايا مهمة. فقد فُرضت غرامة قدرها 27 مليون يورو على FREE MOBILE، وأخرى بقيمة 15 مليون يورو على الشركة الأم FREE، عقب اختراق كبير للبيانات. كما عوقبت IQVIA Operations France بغرامة 15 مليون يورو بسبب خروقات طالت بيانات صحية.

وتكشف هذه القضايا حجم التعرض المالي الذي قد ينشأ عندما تفشل المؤسسات في حماية المعلومات الحساسة أو في تشغيل ضوابط أمنية فعالة. كما تظهر أن المساءلة قد تمتد إلى شركات مرتبطة داخل المجموعة نفسها عندما تتوزع مسؤوليات معالجة البيانات وأمنها بين عدة كيانات.

البيانات المصرفية تقود غرامات إيطاليا

بلغ إجمالي الغرامات في إيطاليا 45.50 مليون يورو. وكانت أكبر مساهمة من نصيب غرامة قدرها 31.8 مليون يورو على Intesa Sanpaolo بسبب أوجه قصور في حماية البيانات المصرفية للعملاء. كما فُرضت غرامتان بقيمة 6.62 مليون يورو على Poste Italiane و5.88 مليون يورو على PostePay، على خلفية إخفاقات مرتبطة بإدارة التطبيقات المصرفية.

وتضع هذه القضايا المؤسسات المالية ضمن القطاعات التي تواجه عواقب كبيرة عندما لا تكفي ضوابط الوصول، أو حوكمة البيانات، أو إجراءات تشغيل الخدمات الرقمية لحماية معلومات العملاء.

غرامة Reddit تبرز مخاطر ضعف التحقق من العمر

فرض مكتب مفوض المعلومات في المملكة المتحدة (ICO) غرامة قدرها 14.47 مليون جنيه إسترليني (16.61 مليون يورو) على Reddit بسبب قصور إجراءات التحقق من العمر والمعالجة غير القانونية لبيانات الأطفال.

وتوسّع هذه القضية نطاق مشهد الإنفاذ ليتجاوز خروقات البيانات ونقلها دوليًا. فالمنصات التي تعالج معلومات تخص الأطفال مطالبة أيضًا بإثبات أن ضوابط التحقق من العمر وممارسات المعالجة لديها تستند إلى أساس قانوني، وتوفر مستوى الحماية المناسب.

ما المخالفات والقطاعات الأكثر تكرارًا؟

خلصت مراجعة Finbold إلى أن الإخفاقات الأمنية وغياب الأساس القانوني لمعالجة البيانات شكّلا تقريبًا جميع أسباب الغرامات الكبرى التي شملها تحليل الربع الثاني.

ومن بين أكبر عشر غرامات، ظهر قطاعا الإعلام والمال ثلاث مرات لكل منهما. كما ساهم قطاعا النقل والطاقة بمرتين لكل منهما ضمن القائمة، بما في ذلك قضية Yango الهولندية، وهي أكبر غرامة منفردة في التحليل.

ويحمل هذا النمط دلالة مهمة للشركات التي تنظر إلى مخاطر GDPR باعتبارها مشكلة أمن تقني فقط. فقضايا الربع الثاني تشير إلى أن الجهات التنظيمية تدقق أيضًا في الأسس التي تحكم استخدام البيانات الشخصية: هل المعالجة قانونية؟ وهل تعمل الضمانات في الواقع؟ وهل يمكن الدفاع عن عمليات النقل الدولي؟ وهل تراقب الشركات شركاءها وهياكلها المؤسسية على نحو مناسب؟

ماذا تعني أرقام الربع الثاني للشركات؟

لا يعني ارتفاع الغرامات أن جميع المؤسسات تواجه مستوى الخطر نفسه، كما أن هذه الأرقام تمثل تجميعًا للغرامات المعلنة وليست توقعًا للعقوبات المستقبلية. لكنها تقدم إشارة امتثال واضحة: فقد تنشأ العقوبات الكبرى عن نقاط ضعف تمتد عبر الضوابط القانونية والتشغيلية والتقنية والتنظيمية.

وينبغي للشركات التي تعالج بيانات شخصية مراجعة المجالات التالية على وجه الخصوص:

• الأساس القانوني: توثيق سبب السماح بكل نشاط رئيسي لمعالجة البيانات، والتأكد من أن الأساس المعلن يتطابق مع الاستخدام الفعلي.
• الضوابط الأمنية: اختبار ما إذا كانت آليات الوصول والتشفير والمراقبة والاستجابة للحوادث تحمي البيانات في التطبيق العملي.
• نقل البيانات دوليًا: تقييم البيئة القانونية والتقنية الفعلية في كل دولة وجهة، بدل الاعتماد على الصياغة التعاقدية وحدها.
• الإشراف على الأطراف الثالثة: الحفاظ على اتفاقيات واضحة للمعالجة، وتوزيع محدد للمسؤوليات، وإجراءات للتحقق من الموردين والشركات التابعة.
• بيانات الأطفال وضمان العمر: التأكد من أن عمليات التحقق من العمر وحماية الأطفال تدعم معالجة قانونية ومتناسبة للبيانات.

والخلاصة التي تخرج بها مراجعة Finbold للربع الثاني هي أن إنفاذ GDPR أصبح خطرًا ماليًا ملموسًا على المؤسسات ذات الحوكمة الضعيفة للبيانات. فلم تقتصر أكبر القضايا على أخطاء تقنية معزولة، بل شملت إخفاقات أساسية في مشروعية المعالجة، وأمن البيانات، وضمانات النقل الدولي، والإشراف على الأطراف المرتبطة.