الرسالة التسويقية نفسها، التي ترسلها الشركة نفسها في اللحظة نفسها، قد تكون قانونية حين تصل إلى قارئ في أوهايو وغير قانونية حين تصل إلى قارئ في برلين أو تورنتو. ولا يلزم أن يتغير شيء في الرسالة. الفرق في مكان المستلم وهل وافق مسبقًا. فالمتجر الأمريكي يستطيع عمومًا مراسلة شخص غريب دون أن يسأله أولًا، ما دام صادقًا ويتيح له إلغاء الاشتراك، بينما تحتاج الرسالة نفسها في الاتحاد الأوروبي وكندا عادةً إلى موافقة قبل إرسالها.
هذا الانقسام هو جوهر قوانين خصوصية البريد الإلكتروني. فقواعد GDPR وePrivacy في أوروبا وقانون CASL في كندا تقوم على الموافقة المسبقة (opt-in)، بينما يقوم قانون CAN-SPAM الأمريكي على إلغاء الاشتراك لاحقًا (opt-out). وإلى جانبها توجد قوانين عامة للخصوصية، مثل GDPR وقانون CCPA في كاليفورنيا، تمنحك حقوقًا على البيانات التي تحتفظ بها الشركات عنك. هذا المقال معلومات عامة وليس استشارة قانونية. فالقوانين تتغير وتختلف من بلد إلى آخر، وتطبيقها يتوقف على الوقائع، لذا راجع إرشادات الجهة الرقابية المعنية أو تحدث إلى محامٍ مؤهل بشأن أي حالة محددة.
رسالة ترويجية واحدة، وأربع نتائج
لنأخذ مثالًا عمليًا. متجر إلكتروني صغير في تكساس يشتري قائمة عناوين ويرسل إلى كل من فيها رسالة «خصم 20% في عطلة نهاية الأسبوع». في الرسالة عنوان موضوع صادق وعنوان بريدي ورابط لإلغاء الاشتراك. إليك تقريبًا كيف يكون الوضع بالنسبة إلى المستلمين الأفراد في أماكن مختلفة، على افتراض أن كل قانون ينطبق على نشاط المتجر هناك.
| المستلم في | القاعدة الأساسية | الوضع المرجح في هذا المثال |
|---|---|---|
| الولايات المتحدة | قانون CAN-SPAM | لا تُشترط موافقة مسبقة. ويمكن أن تكون الرسالة ملتزمة إذا استوفت قواعد المحتوى وإلغاء الاشتراك، وإن كانت العناوين المجموعة آليًا تثير مشكلات منفصلة |
| ألمانيا (الاتحاد الأوروبي) | GDPR إضافة إلى قواعد ePrivacy الوطنية، وفي ألمانيا المادة 7 من قانون مكافحة المنافسة غير المشروعة (UWG) | تحتاج عمومًا إلى موافقة مسبقة. ولا تستوفي العناوين المشتراة دون علاقة مع العميل استثناء soft opt-in |
| المملكة المتحدة | UK GDPR واللائحة 22 من PECR | تحتاج عمومًا إلى موافقة مسبقة للمشتركين الأفراد، أو إلى soft opt-in لا يستطيع المتجر الاحتجاج به هنا |
| كندا | CASL | تحتاج إلى موافقة صريحة أو ضمنية. ولا توفر القائمة المشتراة عادةً أيًا منهما، ويجب أن يتمكن المتجر من إثبات الموافقة |
ويوضح هذا أيضًا لماذا لا يحسم بلد المرسل الكثير. فالشركة التكساسية التي تستهدف عملاء في الاتحاد الأوروبي قد تخضع لقانونه، ويشمل CASL الرسائل التي تُفتح على أجهزة كمبيوتر في كندا. وأين تبيع الشركة وأين يوجد مستلمو رسائلها أهم عادةً من مكان مكتبها.
القوانين في لمحة
| القانون | النطاق | نموذج التسويق | جهة الإنفاذ | الحد الأقصى المعلن للعقوبة |
|---|---|---|---|---|
| GDPR | الاتحاد الأوروبي والمنطقة الاقتصادية الأوروبية؛ وكذلك المؤسسات في أماكن أخرى التي تستهدف الناس هناك أو تراقبهم | يحتاج إلى أساس قانوني، ويُقرأ مع قواعد ePrivacy | هيئات حماية البيانات الوطنية والمحاكم | حتى 20 مليون يورو أو 4% من الإيرادات السنوية العالمية، أيهما أعلى |
| توجيه ePrivacy | الاتحاد الأوروبي، عبر القانون الوطني لكل دولة عضو | موافقة مسبقة للأفراد، مع soft opt-in للعملاء الحاليين | الجهات الرقابية الوطنية، وتختلف من بلد إلى آخر | يحددها القانون الوطني |
| UK GDPR وPECR | المملكة المتحدة | موافقة مسبقة مع soft opt-in، قريب من النموذج الأوروبي | الجهة البريطانية المنظمة لحماية البيانات | 17.5 مليون جنيه إسترليني أو 4% من الإيرادات العالمية، أيهما أعلى |
| قانون CAN-SPAM | الولايات المتحدة | إلغاء الاشتراك لاحقًا | FTC وجهات اتحادية أخرى والمدعون العامون في الولايات ومزودو الوصول إلى الإنترنت | أكثر من 50,000 دولار لكل رسالة مخالفة، مع تعديل سنوي بحسب التضخم |
| CCPA، بصيغته المعدلة بقانون CPRA | المقيمون في كاليفورنيا والشركات الربحية المشمولة | لا قاعدة لموافقة البريد؛ وينظم الجمع والبيع والمشاركة | وكالة حماية الخصوصية في كاليفورنيا والمدعي العام | غرامات عن كل مخالفة، وأعلى للمخالفات المتعمدة وتلك التي تتعلق بالقاصرين |
| CASL | كندا، بما في ذلك الرسائل المرسلة من الخارج والتي تُفتح هناك | موافقة صريحة أو ضمنية قبل الإرسال | CRTC ومكتب المنافسة ومكتب مفوض الخصوصية | حتى 10 ملايين دولار كندي لكل مخالفة للمؤسسات، ومليون دولار كندي للأفراد |
هل عنوان البريد من البيانات الشخصية؟
بموجب المادة 4(1) من GDPR، البيانات الشخصية هي أي معلومات تتعلق بشخص طبيعي محدد أو يمكن تحديده. وينطبق ذلك بوضوح على عنوان مثل maria.lopez@example.com. وعلى عنوان أقل وضوحًا مثل ml1987@example.com أيضًا في الغالب، لأنه يخص شخصًا واحدًا ويمكن ربطه بمعلومات أخرى لتحديد هويته. أما العنوان المشترك مثل info@company.example فقد لا يكون بيانات شخصية أصلًا، ما لم يمكن ربطه بفرد.
ويحمل البريد بيانات شخصية تتجاوز العنوان بكثير. فهناك محتوى الرسالة ومرفقاتها. وهناك البيانات الوصفية، أي المرسل والمستلمون والأوقات وعناوين الموضوع وعناوين IP في الترويسات. وهناك بيانات التفاعل، مثل وقت فتحك الرسالة والروابط التي ضغطتها. وهناك أيضًا الملفات المستنتجة، مثل شرائح الاهتمامات والتوقعات لما قد تشتريه لاحقًا.
وتختلف المصطلحات الأمريكية. فقانون CCPA يتحدث عن «المعلومات الشخصية»، ويعرّفها تعريفًا واسعًا يشمل المعرّفات مثل عناوين البريد، والاستنتاجات المستخلصة لبناء ملف عنك. أما CAN-SPAM فلا يستخدم مفهومًا كهذا، لأنه ليس قانونًا عامًا للخصوصية إطلاقًا. فهو ينظم طريقة إرسال البريد التجاري، ولا يمنحك حق الاطلاع على أي شيء تحتفظ به شركة أو حذفه.
أوروبا: قانونان يعملان معًا
تصف مقالات كثيرة التسويق بالموافقة المسبقة بأنه قاعدة من GDPR. والواقع أن اشتراط الموافقة لرسائل التسويق يأتي من قانون آخر هو توجيه ePrivacy (التوجيه 2002/58/EC)، بينما يحدد GDPR معنى الموافقة الصحيحة وينظم ما يحدث للبيانات. وبما أن التوجيه يُطبَّق في كل دولة عضو على حدة، فإن التفاصيل تختلف داخل الاتحاد الأوروبي. ففرنسا وألمانيا مثلًا لديهما أحكام وطنية خاصة ولكل جهة رقابية فيهما رؤيتها.
المادة 13 من توجيه ePrivacy
تضع المادة 13 الإطار الأساسي. فرسائل التسويق المباشر إلى الأفراد تحتاج إلى موافقة مسبقة. وهناك استثناء ضيق يسمى عادةً soft opt-in، يتيح للشركة التي حصلت على عنوانك في سياق بيع منتج أو خدمة أن تسوّق منتجاتها أو خدماتها المشابهة، بشرط أن تكون قد أُتيحت لك فرصة واضحة وسهلة للاعتراض عند جمع بياناتك وفي كل رسالة بعد ذلك. ولا يجوز للمرسلين إخفاء هويتهم أو التستر عليها، ويجب أن يقدموا عنوانًا صالحًا لإلغاء الاشتراك.
وتختلف قواعد مراسلة الشركات. فالمادة 13(5) تترك للدول الأعضاء مجالًا لمعاملة الأشخاص الاعتباريين معاملة مختلفة، فبعضها يمد الموافقة المسبقة إلى عناوين الشركات وبعضها لا يفعل. وتبقى عناوين العمل التي تحمل الأسماء، مثل firstname.lastname@company.example، بيانات شخصية بموجب GDPR حتى حيث تكون قاعدة التسويق أخف.
أدوات التتبع المخفية
تشترط المادة 5(3) من التوجيه نفسه الموافقة على تخزين المعلومات في جهاز المستخدم أو الوصول إليها، ما لم يكن ذلك ضروريًا تمامًا لخدمة طلبها المستخدم. وهي معروفة أكثر بلافتات ملفات الارتباط. ويرى المجلس الأوروبي لحماية البيانات في إرشاداته 2/2023 بشأن النطاق التقني للمادة 5(3) أن أدوات التتبع المخفية في البريد قد تقع ضمنها. وذهبت الجهة الرقابية الفرنسية، CNIL، إلى أبعد من ذلك فنشرت في أبريل 2026 توصية تجعل الموافقة هي الأصل في أدوات التتبع المخفية في البريد، مع استثناءات محدودة لأغراض مثل الأمان. توقع اختلافات بين البلدان، وراجع موقف الجهة الرقابية في بلدك. ويتناول مقالنا عن أدوات التتبع المخفية في البريد طريقة عمل هذه التقنية.
ما الذي يضيفه GDPR
يسري النظام الأوروبي العام لحماية البيانات منذ 25 مايو 2018. وهو يشمل المؤسسات القائمة في الاتحاد الأوروبي، كما يشمل بموجب المادة 3(2) المؤسسات في أماكن أخرى التي تقدم سلعًا أو خدمات إلى أشخاص في الاتحاد الأوروبي أو تراقب سلوكهم هناك. وتقدم الحيثية 23 دلائل على الاستهداف: فمجرد وجود موقع يمكن الوصول إليه من أوروبا لا يكفي، أما استخدام لغة دولة عضو أو عملتها لعرض السلع هناك فقد يكفي. وتطبق آيسلندا وليختنشتاين والنرويج GDPR من خلال المنطقة الاقتصادية الأوروبية.
المبادئ والأسس القانونية
تحدد المادة 5 المبادئ. فلا يجوز ببساطة إعادة استخدام عنوان جُمع لإرسال تأكيد طلب لأغراض لا صلة لها به (تقييد الغرض). ولا تُجمع إلا البيانات الضرورية (تقليل البيانات)، ولا يُحتفظ بها أطول مما يلزم (تقييد التخزين)، وتُحفظ بأمان. وعلى المؤسسة كذلك أن تتمكن من إثبات التزامها (المساءلة).
وتشترط المادة 6 أساسًا قانونيًا لكل استخدام. وفي البريد، هذه هي الأسس المعتادة:
- العقد: إرسال تأكيد طلبك أو إشعارات حسابك.
- الالتزام القانوني: الاحتفاظ بالفواتير لأغراض ضريبية.
- الموافقة: الاشتراك في نشرة بريدية.
- المصالح المشروعة: بعض أعمال الأمان ومنع الاحتيال، وفي حالات محدودة التسويق المباشر، لكن حيث تسمح قواعد ePrivacy بالرسالة نفسها فقط.
ما الذي يجعل الموافقة صحيحة
تعرّف المادة 4(11) الموافقة بأنها تُعطى بحرية، وتكون محددة ومستنيرة وغير ملتبسة، ويُعبَّر عنها بفعل إيجابي واضح. وتقول الحيثية 32 إن السكوت والمربعات المحددة مسبقًا وعدم التصرف لا تُعد موافقة، وقد أكدت محكمة العدل الأوروبية مسألة المربعات المحددة مسبقًا في قضية Planet49 عام 2019 (C-673/17). وتقول المادة 7(3) إن سحب الموافقة يجب أن يكون بسهولة إعطائها، فالاشتراك بنقرة واحدة لا ينبغي أن يتطلب تسجيل دخول وخمس صفحات لإلغائه. وتشترط المادة 7(1) أن تتمكن المؤسسة من إثبات الموافقة، وهذا أحد أسباب استخدام المرسلين المحترمين رسائل تأكيد الموافقة المزدوجة (double opt-in)، وإن كان GDPR لا يذكر هذه الطريقة بالاسم.
والربط نقطة ضعف شائعة. فالمادة 7(4) تسأل هل عُلّقت الخدمة على موافقة لا تحتاج إليها. وعبارة «أعطنا موافقتك على التسويق وإلا فلن تتمكن من قراءة هذه الصفحة» من الترتيبات التي تدقق فيها الجهات الرقابية، وقد يختلف الجواب بحسب السياق.
حقوقك
| الحق | المادة | ما الذي يمنحك إياه | مثال من البريد |
|---|---|---|---|
| المعلومات | 13، 14 | من يعالج بياناتك، ولماذا، وإلى متى، ومن يتلقاها | إشعار خصوصية مرتبط بنموذج الاشتراك في النشرة |
| الاطلاع | 15 | نسخة من بياناتك وتفاصيل استخدامها، مجانًا عادةً | سؤال متجر عما يحتفظ به مرتبطًا بعنوانك، بما في ذلك الشرائح |
| التصحيح | 16 | تصحيح البيانات غير الدقيقة | إصلاح اسم مكتوب خطأ |
| المحو | 17 | الحذف في حالات محددة، مثل البيانات التي لم تعد لازمة أو سحب الموافقة | إزالة ملفك من خدمة تركتها |
| التقييد | 18 | إيقاف الاستخدام مؤقتًا أثناء نزاع | وقف المعالجة ريثما تُفحص الدقة |
| قابلية النقل | 20 | البيانات التي قدمتها، بتنسيق يقرأه الجهاز، حيث تقوم المعالجة على الموافقة أو العقد | تصدير جهات الاتصال من مزود بريد |
| الاعتراض | 21 | وقف المعالجة القائمة على المصالح المشروعة؛ وهو مطلق في التسويق المباشر | إبلاغ شركة بأن توقف كل تسويق |
| الشكوى والتعويض | 77، 82 | الشكوى إلى جهة رقابية، والمطالبة بتعويض عن الضرر | الإبلاغ عن مرسل يتجاهل اعتراضك |
تمنح المادة 12(3) المؤسسات شهرًا واحدًا للرد، يمكن تمديده شهرين آخرين في الطلبات المعقدة أو الكثيرة، وعليها في هذه الحالة إبلاغك خلال الشهر الأول. ويمكنها طلب إثبات معقول للهوية. وبموجب المادة 12(5)، لا يجوز لها فرض رسوم معقولة أو الرفض إلا إذا كان الطلب غير مبرر بوضوح أو مفرطًا.
والحق في الاعتراض على التسويق هو أقوى هذه الحقوق، ومن السهل إغفاله. فالمادة 21(2) و(3) تنصان على أنه بمجرد اعتراضك على التسويق المباشر، يجب ألا تُعالج بياناتك لهذا الغرض بعد ذلك. وخلافًا للاعتراضات الأخرى، لا يُطبق هنا اختبار موازنة. ويجوز للشركة إبقاء عنوانك في قائمة الاستبعاد حتى لا تراسلك مرة أخرى، لكن لا يجوز لها مواصلة التسويق لك.
أما المحو فله حدود. إذ تذكر المادة 17(3) استثناءات، منها الالتزامات القانونية. ويمكن للمتجر الاحتفاظ بفواتيرك بعد حذف ملفك، وعليه أن يخبرك بذلك حين تطلب.
الإبلاغ عن التسريبات
تشترط المادة 33 على المؤسسة إبلاغ الجهة الرقابية بتسريب البيانات الشخصية خلال 72 ساعة من علمها به، ما لم يكن من غير المرجح أن يشكل خطرًا على الناس. وتشترط المادة 34 إبلاغ المتضررين دون تأخير لا مبرر له حين يكون الخطر كبيرًا. ولهذا تسمع أحيانًا من خدمات تركتها قبل سنوات. وإذا وصلك إشعار، فإن دليلنا عما تفعله بعد تسريب بيانات البريد يشرح الخطوات العملية.
وقد يأتي تغيير. فمقترح Digital Omnibus الذي نشرته المفوضية الأوروبية في نوفمبر 2025 سيمدد الساعات الـ72 إلى 96، ويقصر إبلاغ الجهة الرقابية على التسريبات عالية الخطورة، ضمن أمور أخرى. وحتى أواخر 2026 ما زال مقترحًا قيد المسار التشريعي، فالقواعد الحالية هي السارية. وراجع النص النهائي إذا احتجت إلى الاعتماد على هذا.
المملكة المتحدة: وضع مشابه، بتحديثاتها الخاصة
بعد Brexit، أبقت المملكة المتحدة GDPR في قانونها المحلي باسم UK GDPR، إلى جانب قانون حماية البيانات لعام 2018. وتحمل لوائح الخصوصية والاتصالات الإلكترونية لعام 2003 (PECR) قواعد ePrivacy، وتعكس اللائحة 22 منها النموذج الأوروبي للموافقة المسبقة وsoft opt-in للمشتركين الأفراد.
وقد غيّر قانون البيانات (الاستخدام والوصول) لعام 2025 أجزاء من هذه الصورة. فرفع الحد الأقصى لغرامة PECR من 500,000 جنيه إسترليني إلى مستوى UK GDPR، أي الأعلى بين 17.5 مليون جنيه إسترليني و4% من الإيرادات العالمية، وذُكر أن التغيير بدأ سريانه في مطلع 2026. كما أنشأ نسخة من soft opt-in للجمعيات الخيرية، تتيح لها مراسلة من دعموا عملها أو سألوا عنه، بشروط منها إتاحة إلغاء الاشتراك عند جمع البيانات. ويعاد أيضًا تشكيل الجهة الرقابية نفسها، إذ من المقرر أن تحل Information Commission محل Information Commissioner's Office، فقد ترى أيًا من الاسمين. ويبقى موقعها المكان الذي تراجع فيه الإرشادات الحالية، وهو يوفر أداة للإبلاغ عن التسويق غير المرغوب فيه.
CAN-SPAM: ما الذي يشترطه القانون الاتحادي الأمريكي فعلًا
قانون CAN-SPAM لعام 2003 هو القانون الاتحادي الأمريكي الرئيسي بشأن البريد التجاري. ورغم اسمه، فهو لا يحظر التسويق غير المطلوب. بل يضع قواعد لطريقة إرسال هذا البريد، ويمنح المستلمين حق إيقافه. وترد القاعدة التنفيذية الصادرة عن FTC في 16 CFR Part 316، وتنشر الوكالة دليل امتثال للشركات يستحق القراءة كاملًا إذا كنت ترسل بريدًا تسويقيًا.
ما الرسائل التي يشملها
المهم هو الغرض الأساسي من الرسالة. فالرسائل التجارية تعلن عن منتج أو خدمة أو تروج له، وتخضع للقانون كاملًا. أما رسائل المعاملات أو العلاقة فتؤكد معاملة، أو تقدم معلومات عن الضمان أو السلامة، أو تبلغ عن تغييرات في حساب أو اشتراك، أو تقدم معلومات عن التوظيف، أو تسلّم سلعًا سبق شراؤها. وهذه مستثناة من معظم الشروط، لكن يجب ألا تحتوي على معلومات توجيه كاذبة أو مضللة. أما البريد الشخصي البحت فخارج نطاق القانون.
ولا يوجد استثناء للبريد بين الشركات. فالرسالة الترويجية إلى عنوان مؤسسي يجب أن تلتزم أيضًا، وهذا يفاجئ من اعتادوا المعاملة الأخف لهذا النوع من البريد في بعض البلدان.
الشروط
- يجب أن تكون معلومات الترويسة دقيقة. فيجب أن تحدد حقول From وTo وReply-To وبيانات التوجيه بدقة من بدأ الرسالة.
- يجب ألا يضلل عنوان الموضوع بشأن المحتوى.
- يجب أن تُعرَّف الرسالة بوضوح بأنها إعلان، ما لم يكن المستلم قد أعطى موافقة إيجابية مسبقة.
- يجب أن تتضمن عنوانًا بريديًا فعليًا صالحًا، وقد يكون عنوان شارع أو صندوق بريد مسجلًا أو صندوقًا خاصًا مسجلًا.
- يجب أن توضح طريقة إلغاء الاشتراك وأن تقدم وسيلة تعمل لذلك، مثل عنوان للرد أو رابط.
- يجب تنفيذ طلبات إلغاء الاشتراك خلال 10 أيام عمل، ويجب أن تظل الآلية تعمل 30 يومًا على الأقل بعد الإرسال. ولا يجوز للمرسل فرض رسوم، أو طلب معلومات شخصية تتجاوز عنوان البريد وتفضيلات الإلغاء، أو اشتراط أي خطوة تتجاوز الرد أو زيارة صفحة ويب واحدة.
- لا يجوز بيع العناوين التي ألغت الاشتراك أو نقلها، إلا إلى شركة مكلفة بالمساعدة في الامتثال.
- تظل الشركة مسؤولة عن أي جهة ترسل نيابة عنها، فالتعاقد مع وكالة لا ينقل الواجب إلى غيرها.
ويجب أن يحمل البريد التجاري ذو المحتوى الجنسي الصريح علامة التحذير «SEXUALLY-EXPLICIT:» في عنوان الموضوع بموجب قاعدة منفصلة من FTC.
الممارسات المشددة والإنفاذ
يعامل القانون ممارسات معينة على أنها ظروف مشددة، ومنها جمع العناوين من المواقع آليًا، وتوليد العناوين بـ«هجمات القاموس» التي تجمع بين الأسماء والحروف، واستخدام برامج نصية لتسجيل حسابات بالجملة لإرسال الرسائل المزعجة. وبعض الممارسات المخادعة جرائم جنائية.
وليس للمستلمين الأفراد حق رفع دعوى خاصة، وهذه إحدى أكثر النقاط سوء فهم في هذا القانون. فالإنفاذ من اختصاص FTC، والجهات الاتحادية الأخرى في القطاعات الخاضعة للتنظيم، والمدعين العامين في الولايات، ومزودي الوصول إلى الإنترنت. ويمكنك الإبلاغ عن المخالفات في ReportFraud.ftc.gov. وFTC ترفع قضايا بالفعل: ففي 2024 أعلنت عقوبة قدرها 2.95 مليون دولار على شركة كاميرات المراقبة Verkada، في قضية تضمنت تهمًا بموجب CAN-SPAM. كما يتقدم هذا القانون على معظم قوانين الولايات التي تنظم البريد التجاري تحديدًا، إلا حيث تحظر الكذب أو الخداع.
الرسائل النصية مسألة منفصلة
تخضع الرسائل النصية التسويقية في الولايات المتحدة أساسًا لقانون حماية مستهلكي الهاتف (Telephone Consumer Protection Act)، الذي يشترط عمومًا موافقة صريحة مسبقة على الرسائل التسويقية الآلية. فمنطق إلغاء الاشتراك في البريد لا ينتقل إلى رقم هاتفك، ونموذج الدفع الذي يطلب رقمك يطلب موافقة منفصلة.
كاليفورنيا والولايات الأمريكية الأخرى
دخل قانون خصوصية المستهلك في كاليفورنيا (CCPA) حيز التنفيذ عام 2020، وعُدّل تعديلًا كبيرًا بقانون حقوق الخصوصية في كاليفورنيا (CPRA) اعتبارًا من 2023. وهو قانون عام للخصوصية، ويرتبط بالبريد لأن عنوانك معلومة شخصية، وكثيرًا ما تشاركه الشركات لأغراض الإعلان.
وينطبق على الشركات الربحية التي تعمل في كاليفورنيا وتستوفي واحدًا على الأقل من ثلاثة معايير: إيرادات سنوية إجمالية تتجاوز حدًا معدلًا بحسب التضخم (بدأ بـ25 مليون دولار، وحدده تعديل الجهة الرقابية لعام 2025 بـ26,625,000 دولار)؛ أو شراء المعلومات الشخصية أو بيعها أو مشاركتها لـ100,000 مستهلك أو أسرة أو أكثر في كاليفورنيا سنويًا؛ أو تحقيق نصف الإيرادات السنوية على الأقل من بيع المعلومات الشخصية أو مشاركتها.
وعلى الشركات المشمولة احترام هذه الحقوق:
- معرفة ما يُجمع، ومن أين، ولماذا، ومع أي فئات من الأطراف الثالثة يُشارك.
- حذف المعلومات الشخصية التي جُمعت منك، مع استثناءات مثل إتمام معاملة أو الوفاء بالتزامات قانونية.
- تصحيح المعلومات الشخصية غير الدقيقة.
- إلغاء الموافقة على البيع أو المشاركة. وتغطي «المشاركة» تحديدًا الإفصاح لأغراض الإعلان السلوكي عبر السياقات، وقد يشمل ذلك رفع قوائم بريد العملاء إلى منصات الإعلان.
- تقييد استخدام المعلومات الشخصية الحساسة، وهي فئة تشمل محتوى البريد والرسائل الإلكترونية والنصية ما لم تكن الشركة هي المستلم المقصود.
- عدم التعرض للتمييز بسبب ممارسة هذه الحقوق، وإن كان يجوز للشركات تقديم حوافز مالية معلنة مثل برامج الولاء.
يجب الرد على طلبات المعرفة والحذف والتصحيح خلال 45 يومًا تقويميًا، يمكن تمديدها 45 يومًا أخرى بإشعار. ولإلغاء الموافقة مهلة أقصر بموجب اللوائح، 15 يوم عمل كحد أقصى. ويجب على الشركات كذلك أن تعامل إشارة تفضيل الإلغاء مثل Global Privacy Control، التي يرسلها متصفحك أو إضافة فيه، على أنها إلغاء صحيح للبيع والمشاركة.
وتتولى إنفاذ القانون وكالة حماية الخصوصية في كاليفورنيا، المعروفة أيضًا باسم CalPrivacy، والمدعي العام. ولا يمكن للأفراد رفع دعوى إلا بشأن تسريبات معينة ناتجة عن الإخفاق في الحفاظ على أمان معقول، مع تعويضات قانونية لكل مستهلك عن كل حادث. ولدى سكان كاليفورنيا كذلك أداة منفصلة بموجب Delete Act: فمنصة Delete Request and Opt-out Platform (DROP) تتيح لهم إرسال طلب حذف واحد إلى وسطاء البيانات المسجلين، وكان من المقرر أن يبدأ الوسطاء معالجة هذه الطلبات في أغسطس 2026.
وقد أصدرت ولايات أخرى كثيرة، منها فرجينيا وكولورادو وكونيتيكت وتكساس وأوريغون، قوانين شاملة للخصوصية بحقوق مشابهة عمومًا. وتختلف التفاصيل والحدود، ومعظمها لا يتيح حقًا خاصًا في رفع الدعاوى، لذا راجع صفحة المدعي العام في ولايتك.
CASL: النظام الكندي الصارم
يسري قانون مكافحة الرسائل المزعجة الكندي في معظمه منذ 1 يوليو 2014، وهو من أشد قوانين التسويق بالبريد في أي مكان. ويشمل الرسائل الإلكترونية التجارية، ومنها البريد والرسائل النصية، المرسلة إلى أجهزة كمبيوتر في كندا أو التي تُفتح عليها.
يحتاج المرسل إلى موافقة صريحة، أو موافقة ضمنية في حالات محددة. وأشهر مثال على الموافقة الضمنية علاقة تجارية قائمة، مثل عملية شراء في السنتين السابقتين أو استفسار في الأشهر الستة السابقة. ويجب أن تحدد كل رسالة هوية المرسل وتقدم معلومات الاتصال. وتحتاج كل رسالة أيضًا إلى آلية لإلغاء الاشتراك تظل صالحة 60 يومًا على الأقل بعد الإرسال، ويجب معالجة الطلبات خلال 10 أيام عمل.
وقد تصل العقوبات إلى 10 ملايين دولار كندي لكل مخالفة للمؤسسات ومليون دولار كندي للأفراد. وقد علّقت الحكومة عام 2017 حق الدعوى الخاصة في هذا القانون، الذي كان سيتيح للأفراد رفع الدعاوى، قبل دخوله حيز التنفيذ. ويمكن للكنديين الإبلاغ عن الرسائل المزعجة عبر مركز الإبلاغ عن الرسائل المزعجة (Spam Reporting Centre)، وهو جزء من البرنامج الاتحادي لمكافحتها.
في أماكن أخرى باختصار
يشترط قانون Spam Act 2003 في أستراليا الموافقة وتحديد هوية المرسل وآلية عاملة لإلغاء الاشتراك، ويجب تنفيذ الطلبات خلال خمسة أيام عمل. وتتولى إنفاذه الهيئة الأسترالية للاتصالات والإعلام. وقانون LGPD في البرازيل قانون عام على غرار GDPR، تتولى إنفاذه الهيئة الوطنية ANPD، ويتضمن حقوق الاطلاع والتصحيح والحذف والمعلومات عن المشاركة. ويقدم قانون حماية البيانات الشخصية الرقمية لعام 2023 في الهند معالجة تقوم على الموافقة، وتسري قواعده التي أُعلنت في نوفمبر 2025 تدريجيًا على مدى 18 شهرًا، فمعظم الواجبات العملية لم تدخل حيز التنفيذ بعد. ويسري القانون الاتحادي السويسري المعدل لحماية البيانات منذ سبتمبر 2023، وهو قريب جدًا من مبادئ GDPR.
إذا لم يكن بلدك مذكورًا هنا، فقد يكون لديه قانون ذو صلة مع ذلك. والهيئة الوطنية لحماية البيانات أو المستهلك هي المكان المناسب للتحقق.
لماذا لا يوقف إلغاء الاشتراك إيصالاتك
كثيرًا ما يسأل الناس لماذا تستمر رسائل الطلبات بعد إلغاء الاشتراك في تسويق المتجر. فالقوانين تفصل بين الأمرين عمدًا، ولهذا أيضًا لا يستطيع المرسل الإفلات من قواعد التسويق بمجرد تسمية شيء ما رسالة خدمة.
| النوع | أمثلة | GDPR وePrivacy | CAN-SPAM | CASL |
|---|---|---|---|---|
| رسائل المعاملات | الإيصالات، وتحديثات الشحن، وإعادة تعيين كلمة المرور، والتنبيهات الأمنية | تحتاج إلى أساس قانوني، هو عادةً العقد أو المصالح المشروعة، لا موافقة التسويق | مستثناة من معظم القواعد؛ ولا معلومات توجيه كاذبة | الفئات المذكورة معفاة من الموافقة لكنها تحتاج إلى تحديد المرسل ومحتوى إلغاء الاشتراك |
| التسويق | التخفيضات، والنشرات الترويجية، وتوصيات المنتجات | موافقة أو soft opt-in؛ وحق مطلق في الاعتراض | مسموح دون موافقة؛ وتنطبق كل الشروط | تلزم موافقة صريحة أو ضمنية |
| المختلطة | تأكيد طلب مع لافتة ترويجية كبيرة | قد يحتاج الجزء الترويجي إلى موافقة التسويق | يُحكم عليها بالغرض الأساسي، بالنظر إلى عنوان الموضوع وطريقة وضع المحتوى | قد تُعامل على أنها تجارية إذا كانت تروج لمنتجات |
وليست كل قاعدة تصادفها صادرة عن هيئة تشريعية. فمنذ 2024، تشترط Google وYahoo على المرسلين بالجملة دعم إلغاء الاشتراك بنقرة واحدة عبر الآلية الواردة في RFC 8058، وتنفيذ الطلبات خلال يومين. وهذا شرط لحسن التسليم يضعه مزودو البريد، ولا قوة قانونية وراءه، لكنه عمليًا يوقف بعض المرسلين أسرع من الأيام العشرة في القانون.
استخدام حقوقك خطوة بخطوة
1. أوقف التسويق
استخدم زر إلغاء الاشتراك الذي يعرضه تطبيق البريد بجوار المرسل، وهو يعتمد على الترويسة List-Unsubscribe. وإذا لم يوجد، فاستخدم الرابط في أسفل رسالة مشروعة. ولا تفعل ذلك إلا مع مرسلين تعرفهم، لأن الرابط في رسالة مزعجة واضحة قد يقود إلى أي مكان، والإبلاغ هو الرد الأفضل هناك. ودوّن التاريخ. فبموجب CAN-SPAM وCASL، ينبغي أن يتوقف البريد خلال 10 أيام عمل. وفي الاتحاد الأوروبي والمملكة المتحدة، ينبغي أن يسري الاعتراض دون تأخير، وإن كانت الجهات الرقابية تقبل عمومًا فترة معالجة قصيرة.
2. اعرف ما تحتفظ به الشركة
أرسل طلب وصول إلى البيانات بموجب GDPR، أو طلب معرفة بموجب CCPA. تقدم شركات كثيرة نموذجًا أو بوابة للخصوصية، واستخدامها قد يسرع الأمر. وإلا فتكفي رسالة قصيرة مثل هذا النموذج:
الموضوع: طلب الاطلاع على البيانات الشخصية
أطلب الاطلاع على البيانات الشخصية التي تحتفظون بها عني بموجب المادة 15 من GDPR [أو: بموجب California Consumer Privacy Act]. عنوان بريدي في سجلاتكم هو [العنوان]. يرجى تزويدي بنسخة من البيانات، وأغراض المعالجة، وفئات الجهات التي شاركتموها معها، ومدة الاحتفاظ بها، ومصدر البيانات إن لم تجمعوها مني. أتطلع إلى ردكم خلال المهلة القانونية.
أرسله من العنوان المسجل لدى الشركة، إلى جهة الخصوصية المذكورة في سياسة الخصوصية، واحتفظ بنسخة مؤرخة. وتوقع فحصًا للهوية. وهذا مشروع، لكن ينبغي أن يكون متناسبًا. فالمتجر الذي يطلب صورة جواز سفر للرد على طلب يتعلق بعنوان نشرة بريدية يستحق أن تسأله عن السبب.
3. اطلب الحذف
إذا توقفت عن استخدام خدمة، فاطلب المحو بموجب المادة 17 من GDPR أو الحذف بموجب CCPA. وقد تحتفظ الشركة بالسجلات الملزمة بالاحتفاظ بها، مثل الفواتير، وبعنوان في قائمة الاستبعاد حتى لا تراسلك بالخطأ. ومن المعقول أن تسأل عما تحتفظ به ولماذا.
4. ألغِ البيع والمشاركة في الولايات الأمريكية
ابحث عن رابط مثل «Do Not Sell or Share My Personal Information» أو «Your Privacy Choices»، أو فعّل Global Privacy Control في متصفح أو إضافة تدعمه. ويمكن لسكان كاليفورنيا استخدام DROP مع وسطاء البيانات المسجلين.
5. صعّد الأمر إذا لم تصل إلى نتيجة
- الاتحاد الأوروبي والمنطقة الاقتصادية الأوروبية: قدم شكوى إلى الهيئة الوطنية لحماية البيانات. ويذكرها المجلس الأوروبي لحماية البيانات جميعًا.
- المملكة المتحدة: قدم شكوى إلى الجهة البريطانية المنظمة لحماية البيانات بعد عرض الأمر على المؤسسة أولًا، أو أبلغ عن التسويق غير المرغوب فيه عبر أداتها الإلكترونية.
- الولايات المتحدة: أبلغ عن البريد التجاري المخادع أو غير الملتزم في ReportFraud.ftc.gov. ولمشكلات CCPA، قدم شكوى إلى وكالة حماية الخصوصية في كاليفورنيا أو المدعي العام.
- كندا: أبلغ مركز الإبلاغ عن الرسائل المزعجة (Spam Reporting Centre).
اجعل أدلتك بسيطة: تاريخ طلبك، ونسخة منه، ونسخة من الرد إن وجد، وأمثلة على الرسائل التي ظلت تصل مع ترويساتها الكاملة. لا تستطيع الجهات الرقابية متابعة كل شكوى، فقد لا تأتي الشكوى الفردية بنتيجة سريعة، لكنها تضاف إلى سجل المخالف المتكرر.
ما لا تغطيه هذه القوانين
الرسائل المزعجة الإجرامية هي أوضح فجوة. فمن يبيع دواءً مزيفًا من خادم مخترق يتجاهل كل القواعد السابقة، ولهذا يفعل فلتر الرسائل المزعجة وزر الإبلاغ لدى مزودك في هذا البريد أكثر مما يفعله أي تشريع. وكشف هذا النوع من الاحتيال والإبلاغ عنه مهارة عملية، ولا تستطيع أي جهة رقابية القيام به نيابة عنك.
ومراسلاتك أنت تقع أيضًا خارج هذه القواعد في معظمها. فالرسالة الشخصية إلى الأصدقاء ليست بريدًا تجاريًا، ويتضمن GDPR استثناءً للنشاط الشخصي أو المنزلي البحت بموجب المادة 2(2)(c). ويخضع وصول جهات إنفاذ القانون إلى الصناديق لقوانين منفصلة، مثل Stored Communications Act الأمريكي وقوانين المراقبة الوطنية، وهذه تستحق شرحًا خاصًا.
وأخيرًا، تُلزم معظم هذه القوانين مؤسسات من نوع معين، أو فوق حجم معين. فالمتجر الصغير في كاليفورنيا الذي يقع دون حدود CCPA يظل ملزمًا بـCAN-SPAM لكن لا واجبات عليه بموجب CCPA. وقد تُعفى جهة غير ربحية من CCPA وتظل خاضعة لـGDPR حين تراسل أشخاصًا في أوروبا. فانظر دائمًا إلى هوية المرسل قبل أن تفترض القواعد المنطبقة.
أين يقع العنوان القابل للتخلص منه؟
عنوان البريد القابل للتخلص منه صندوق مؤقت لا يحتاج إلى تسجيل ويحذف رسائله بعد وقت قصير. ولا نعلم بوجود قانون في الأنظمة المذكورة يحظر على الناس استخدامه حفاظًا على خصوصيتهم، وهذا الاستخدام يتبع المنطق نفسه الذي يقوم عليه واجب تقليل البيانات الذي يفرضه GDPR على المؤسسات. فإذا لم يكن الموقع بحاجة إلى علاقة دائمة معك، يمكنك أن تقرر عدم عرضها، ما دامت شروطه تسمح بذلك. وتختلف القواعد والشروط، فهذه ملاحظة عامة وليست ضمانًا لحالة بعينها.
ومن الاستخدامات العادية استلام تنزيل لمرة واحدة أو اختبار رسائل التسجيل والتأكيد في موقعك أنت. وVookMail إحدى هذه الخدمات. يكون العنوان جاهزًا عند تحميل الصفحة، ويمكنك الضغط على جديد لكتابة اسم مستخدم في أحد أكثر من 30 نطاقًا أو استخدام زر «عشوائي» الأصفر للحصول على عنوان عشوائي، وتُحذف الرسائل والمرفقات والعناوين بعد نحو يوم. وتشرح سياسة الخصوصية طريقة التعامل مع البيانات، وتوضح صفحة المنهجية كيف يصل بريد نطاقاتها إلى مزود التسليم عبر سجلات MX ويُمرَّر عبر HTTPS.
وتنطبق عدة حدود:
- قد ترفض الخدمات العناوين القابلة للتخلص منها، ولدى كثير منها أسباب وجيهة. ويشرحها مقالنا عن سبب حظر المواقع للبريد القابل للتخلص منه. وحين يرفض موقع هذا العنوان، احترم ذلك واستخدم عنوانًا دائمًا أو اسمًا مستعارًا.
- يستطيع أي شخص يعرف العنوان المؤقت أو يخمنه فتح ذلك الصندوق، فهو يمنحك خصوصية من قائمة بريد شركة ما لكنه لا يوفر سرية للرسائل. والعنوان العشوائي هو الخيار الأكثر أمانًا.
- تحتاج حسابات البنوك والجهات الحكومية والصحة والتواصل الاجتماعي الرئيسية إلى عنوان ستتحكم فيه دائمًا، لأنها ترسل إشعارات ذات أثر قانوني ورسائل استرداد.
- لا حماية لسوء الاستخدام. فالاحتيال أو المضايقة أو انتحال الشخصية أو التهرب من حظر قد تترتب عليها عواقب قانونية أيًا كان العنوان المستخدم، وتحظرها الشروط والأحكام لدينا.
- تحتاج طلبات الحقوق إلى عنوان ثابت. فالشركة تتحقق منك عادةً عبر العنوان المسجل لديها، فإذا كنت قد ترغب في استخدام حقوقك بموجب GDPR أو CCPA لاحقًا، فالعنوان الدائم أنفع لك.
إذا كنت ترسل البريد بنفسك
النشرة البريدية أو المتجر الإلكتروني الصغير يضعك على الجانب الآخر من كل هذا. وإذا كان قراؤك من بلدان مختلفة، فالنهج العملي أن تلتزم بأشد قاعدة تنطبق على جمهورك. والقائمة أدناه حد أدنى، أما مراجعة الامتثال الحقيقية فتتوقف على بلدك وعملائك.
- اجمع الموافقة بمربع غير محدد أو بإجراء تسجيل صريح، وسجّل متى وكيف أُعطيت.
- فكر في الموافقة المزدوجة، فهي تمنحك دليلًا على الموافقة وتبعد الأخطاء المطبعية والتسجيلات المزيفة.
- أضف رابطًا لإشعار خصوصية واضح حيثما جمعت العناوين.
- افصل بين مساري المعاملات والتسويق، ولا تدسّ العروض الترويجية في الإيصالات.
- ضع هوية مؤسستك وعنوانًا بريديًا صالحًا في كل رسالة تسويقية.
- ادعم إلغاء الاشتراك بنقرة واحدة باستخدام الترويستين
List-UnsubscribeوList-Unsubscribe-Post، ونفذ طلبات الإلغاء بسرعة. - احتفظ بقائمة استبعاد حتى لا يعاد استيراد العناوين الملغاة أبدًا.
- لا تشترِ القوائم. فالقائمة المشتراة تسقط في اختبارات الموافقة في بلدان الموافقة المسبقة، وتجلب عادةً شكاوى ورسائل مرتدة تضر بتسليم بريدك في كل مكان.
- أفصح عن تتبع الفتح والنقرات، وتحقق هل تشترط بلدان قرائك الموافقة عليه. ففرنسا لديها الآن إرشادات خاصة بذلك.
- حدد فترات الاحتفاظ واحذف بيانات المشتركين غير النشطين التي لم تعد تحتاج إليها.
- أعد آلية للرد على طلبات الاطلاع والحذف والتصحيح خلال شهر واحد (GDPR) أو 45 يومًا (CCPA).
- اختبر مسار الاشتراك وإلغائه بصندوق جديد قبل الإطلاق، لترى ما يراه المشترك.
اعتقادات تسبب المتاعب
«إذا كان العنوان علنيًا، فيمكنني التسويق له.» في أنظمة الموافقة المسبقة، لا يوفر العنوان الظاهر للعامة موافقة بحد ذاته. وبموجب CAN-SPAM، يُعد جمع العناوين من المواقع آليًا ظرفًا مشددًا. فالنشر ببساطة لا يحسم المسألة.
«إلغاء الاشتراك لا يفعل سوى تأكيد عنواني لمرسلي الرسائل المزعجة.» هذا صحيح في الرسائل المزعجة الواضحة من مرسلين مجهولين، حيث يكون الإبلاغ هو الخيار الأفضل. أما مع المرسل المشروع، فإلغاء الاشتراك هو الخطوة الصحيحة، ويلزمه القانون بتنفيذه.
«لا ينطبق GDPR إلا على شركات الاتحاد الأوروبي.» تمتد المادة 3(2) إلى المؤسسات في أماكن أخرى التي تستهدف الناس في الاتحاد الأوروبي أو المنطقة الاقتصادية الأوروبية أو تراقبهم. أما كيف تطبق الجهات الرقابية ذلك على شركة لا وجود لها في أوروبا فمسألة أخرى، وقد يكون صعبًا عمليًا.
«يتيح لي CAN-SPAM مقاضاة مرسلي الرسائل المزعجة.» لا يمنح الأفراد هذا الحق. وقد تفيد قوانين أخرى في حالات معينة، وقد تبقى قوانين الولايات المناهضة للخداع سارية رغم أسبقية القانون الاتحادي، فيمكن لمحامٍ أن يخبرك هل ينطبق شيء على حالتك.
«حذف حسابي يحذف كل بياناتي.» يجوز للشركات قانونًا الاحتفاظ ببعض السجلات، مثل سجل المعاملات لأغراض ضريبية. وعليها أن توضح ذلك حين تسأل.
«رسائل المعاملات غير منظمة.» إنها تفلت من كثير من قواعد التسويق، لكنها تظل بحاجة إلى أساس قانوني بموجب GDPR ويجب ألا تكون مخادعة.
إجابات قصيرة عن أسئلة شائعة
هل يمكن لشركة أن تراسلني إذا لم أسجل قط؟
يتوقف ذلك على مكانك. في الولايات المتحدة، نعم عمومًا، بشرط أن تلتزم بـCAN-SPAM وتتوقف حين تلغي اشتراكك. وفي الاتحاد الأوروبي والمملكة المتحدة وكندا، تحتاج الرسالة التسويقية عمومًا إلى موافقتك أو تندرج تحت استثناء ضيق للعملاء الحاليين.
هل يجب على شركة خارج أوروبا أن ترد على طلبي بموجب GDPR؟
إذا كانت تقدم سلعًا أو خدمات إلى أشخاص في الاتحاد الأوروبي أو المنطقة الاقتصادية الأوروبية، أو تراقب سلوكهم هناك، فقد ينطبق عليها GDPR. وتشترط المادة 27 أيضًا بوجه عام أن تعيّن مثل هذه الشركة ممثلًا في الاتحاد الأوروبي، تظهر بياناته في إشعار الخصوصية. أما هل يمكنك إنفاذ الطلب عمليًا فمسألة منفصلة.
هل لدي حقوق بموجب CCPA إذا كنت أعيش خارج كاليفورنيا؟
يحمي CCPA المقيمين في كاليفورنيا. وتمد بعض الشركات خيارات مشابهة إلى الجميع، ولدى ولايات أخرى كثيرة قوانينها الخاصة، فالسؤال يستحق المحاولة مع ذلك.
ما سرعة مفعول إلغاء الاشتراك؟
عشرة أيام عمل كحد أقصى بموجب CAN-SPAM وCASL، وخمسة أيام عمل في أستراليا، ودون تأخير لا مبرر له في الاتحاد الأوروبي والمملكة المتحدة عمليًا. ويُتوقع أيضًا من كبار المرسلين الذين يستخدمون Gmail وYahoo التنفيذ خلال يومين بموجب قواعد هذين المزودين.
هل تتبع فتح الرسائل قانوني؟
في الولايات المتحدة، لا يتناوله CAN-SPAM مباشرة. وفي الاتحاد الأوروبي، تتجه الجهات الرقابية بصورة متزايدة إلى اعتبار أدوات التتبع المخفية في البريد خاضعة للمادة 5(3) من توجيه ePrivacy، وتعامل CNIL الفرنسية الموافقة الآن على أنها القاعدة الأصلية. وفي أماكن أخرى، يتوقف الأمر على القانون الوطني.
أين يمكنني قراءة القوانين نفسها؟
تجد GDPR وتوجيه ePrivacy في EUR-Lex. وتنشر FTC دليل الامتثال لقانون CAN-SPAM، وتنشر الجهة الرقابية في كاليفورنيا والمدعي العام إرشادات CCPA، وتدير حكومة كندا موقعًا عن CASL. وهذه المصادر الرسمية هي التي ينبغي الاعتماد عليها، لأن هذا العرض لا يعكس إلا القانون كما فهمناه وقت كتابته.