GDPR والكوكيز: ما الذي يجب أن يكون في موقعك

ما هو GDPR، ولماذا يخصّ موقعك الصغير؟

GDPR هو قانون حماية البيانات الأوروبي، واسمه بالسويدية dataskyddsförordningen. معمول به في السويد منذ 25 مايو 2018، وينطبق على كل من يجمع بيانات شخصية: من الشركة الكبيرة إلى صالون الحلاقة الذي عنده موقع من صفحة واحدة.

البيانات الشخصية هي أي معلومة تدل على شخص بعينه: الاسم، البريد الإلكتروني، رقم الهاتف، عنوان IP، وحتى صورة الزبون. بمعنى أنك في اللحظة التي يكتب فيها زبون اسمه ورقمه في نموذج «اتصل بنا»، تكون قد بدأت بمعالجة بيانات شخصية. وإذا كان عندك Google Analytics، فأنت تجمع بيانات عن كل زائر، حتى لو لم يكتب حرفاً واحداً.

القانون لا يطلب منك المستحيل. يطلب ثلاثة أشياء أساسية: أن تجمع ما تحتاجه فقط، وأن تشرح للناس ماذا تجمع ولماذا، وأن تحمي ما جمعته ولا تحتفظ به أكثر من اللازم.

سياسة الخصوصية integritetspolicy: ماذا يجب أن تقول؟

سياسة الخصوصية صفحة في موقعك، ورابطها عادة في أسفل كل الصفحات. لا يُشترط أن تكون طويلة ولا مكتوبة بلغة قانونية معقدة. الأهم أن تكون صادقة ومطابقة لما يحدث فعلاً في موقعك. وإذا كان موقعك بالعربية والسويدية، فاكتبها باللغتين: زبونك العربي من حقه أن يفهم ما يوافق عليه، والزبون السويدي كذلك.

المادة 13 من GDPR تحدد ما يجب أن تذكره فيها، وأهمه:

• من أنت: اسم الشركة، رقم تسجيلها organisationsnummer، وبريد إلكتروني للتواصل بخصوص البيانات.
• ماذا تجمع: مثلاً الاسم ورقم الهاتف والبريد من نموذج الاتصال، وبيانات الزيارة من Google Analytics.
• لماذا تجمعها: للرد على الاستفسار، أو لتنفيذ الحجز، أو لتحسين الموقع.
• على أي أساس قانوني: موافقة الزائر، أو تنفيذ عقد (حجز موعد مثلاً)، أو مصلحة مشروعة للشركة. وإذا كان الأساس هو الموافقة، فاذكر أن من حقه سحبها في أي وقت.
• كم تحتفظ بها: مثلاً «نحذف رسائل نموذج الاتصال بعد 12 شهراً».
• مع من تشاركها: شركة الاستضافة، Google، نظام الحجز الذي تستخدمه. وإذا كانت البيانات تُنقل خارج الاتحاد الأوروبي (إلى الولايات المتحدة مثلاً عبر Google)، فاذكر ذلك.
• حقوق الشخص: أن يطلب نسخة من بياناته، وأن يصحّحها، وأن يطلب حذفها، وأن يعترض على معالجتها، وأن يشتكي إلى هيئة حماية الخصوصية IMY.

بانر الكوكيز: ليس زينة، بل قانون سويدي

هنا يقع كثيرون في الخلط. قواعد الكوكيز في السويد ليست في GDPR وحده، بل في قانون الاتصالات الإلكترونية lagen om elektronisk kommunikation (2022:482)، واختصاره LEK، وتحديداً في الفصل 9 المادة 28. والقاعدة صريحة: لا يجوز تخزين كوكيز (أو ما يشبهها من تقنيات، مثل البكسل والتخزين المحلي في المتصفح) على جهاز الزائر ولا قراءتها قبل إعلامه وموافقته، إلا إذا كانت ضرورية لعمل الموقع.

ما معنى «ضرورية»؟ الكوكي الذي يحفظ سلة المشتريات، أو يُبقي المستخدم مسجَّل الدخول، أو يتذكر اللغة التي اختارها. هذه لا تحتاج إلى موافقة. أما Google Analytics وMeta Pixel وأدوات الإعلانات وفيديوهات YouTube المدمجة، فكلها غير ضرورية، ولا يجوز تشغيلها قبل أن يضغط الزائر «موافق». حتى أدوات الإحصاء «اللطيفة» مثل Matomo قررت PTS أن كوكيزها غير ضرورية وتحتاج إلى موافقة.

لذلك البانر الصحيح فيه خياران بالوضوح نفسه والحجم نفسه وفي النافذة نفسها: «قبول الكل» و«الضرورية فقط». هذا ما تطلبه PTS حرفياً: يجب أن يكون رفض الكوكيز بسهولة قبولها. أما البانر الذي فيه زر «حسناً» وحده، أو الذي يشغّل Analytics قبل أن يضغط الزائر أي شيء، فوجوده كعدمه. والجهة التي تراقب قاعدة الكوكيز تحديداً هي هيئة البريد والاتصالات PTS (وقد أجرت حملة تفتيش على مواقع سويدية في 2022–2023)، بينما تراقب IMY معالجة البيانات الشخصية عموماً.

نموذج الاتصال والحجز وبيانات العيادة

في نموذج الاتصال اطلب الحد الأدنى. الاسم، ورقم الهاتف أو البريد الإلكتروني، ورسالة: هذا يكفي. لا تجعل تاريخ الميلاد أو الرقم الشخصي personnummer حقلاً إلزامياً إلا إذا كنت تحتاجه فعلاً لتقديم الخدمة.

تحت النموذج ضع سطراً قصيراً: «بإرسال النموذج توافق على معالجة بياناتك للرد على طلبك»، مع رابط لسياسة الخصوصية. هذا يكفي لنموذج اتصال عادي. أما إذا أردت أن ترسل للزبون عروضاً ونشرات لاحقاً، فهذه موافقة منفصلة، تحتاج إلى مربع اختيار منفصل غير مُعلَّم مسبقاً.

العيادات وأصحاب المهن الصحية: بيانات الصحة من «الفئات الخاصة» في GDPR (المادة 9)، وحمايتها أشد بكثير. لا تسأل في نموذج الحجز عن التشخيص أو الأعراض أو الأدوية. اطلب الاسم والهاتف والوقت المناسب فقط، واترك التفاصيل الطبية للمكالمة أو الزيارة. والشيء نفسه ينطبق على صالون التجميل الذي يسأل عن «حساسية الجلد»: الأفضل أن يبقى سؤالاً شفهياً عند الموعد.

وتذكّر أن رسائل النموذج تصل إلى بريدك الإلكتروني وتبقى هناك. لا تتركها إلى الأبد؛ حدد مدة، 6 أو 12 شهراً، واحذفها بعدها.

IMY والغرامات: ما الخطر الحقيقي؟

IMY، واسمها الكامل Integritetsskyddsmyndigheten، هي هيئة حماية الخصوصية في السويد. الغرامات في GDPR كبيرة على الورق: حتى 20 مليون يورو أو 4% من إجمالي رقم الأعمال السنوي العالمي للشركة في السنة المالية السابقة، أيهما أعلى. لكن هذه الأرقام موجّهة أساساً إلى الشركات الكبيرة والمخالفات الجسيمة.

الخطر الواقعي لمطعم أو صالون أو شركة نقل هو الشكوى. زبون غاضب، أو منافس، أو موظف سابق يشتكي إلى IMY بأن موقعك بلا سياسة خصوصية، أو أنك لم تحذف بياناته حين طلب ذلك. عندها تصلك رسالة تطلب توضيحاً، وربما أمر بتصحيح الوضع خلال مهلة محددة. الموقع المرتّب من البداية يوفر عليك هذا كله.

وهناك خطر آخر لا يُذكر كثيراً: الثقة. الزبون في السويد يلاحظ إن كان موقعك يحترم خصوصيته أم لا، والبانر الصادق وصفحة الخصوصية الواضحة جزء من الانطباع الأول عن شركتك.

كيف نبني هذا في HejNord؟

هكذا بنينا hejnord.se نفسه: Google Analytics وMicrosoft Clarity لا يعملان إلا بعد أن يضغط الزائر «قبول الكل»، ومن يختار «الضرورية فقط» لا يُسجَّل عنه شيء. يمكنك التحقق بنفسك: افتح الموقع، ولا تضغط على البانر، وستجد أنه لا توجد كوكيز تتبّع.

نبني المواقع بهذه الطريقة من البداية: شهادة SSL، وبانر كوكيز بخيارين، وGoogle Analytics مربوط بحيث لا يعمل قبل الموافقة. وصفحة سياسة الخصوصية نجهّزها معك بناءً على ما يجمعه موقعك فعلاً، بالعربية والسويدية إذا كان الموقع بلغتين، مع تخطيط صحيح من اليمين إلى اليسار.

باقة Start بـ 4 990 كرونة (≈ $520) (بدون ضريبة القيمة المضافة moms) تشمل حتى 5 صفحات، ونموذج اتصال، وSSL، وGoogle Analytics وSearch Console، وتدريباً لتحدّث الموقع بنفسك. السعر نفسه للجميع، وعرض السعر مكتوب وثابت قبل أن نبدأ. وإذا كان عندك موقع قائم وتريد فقط أن نراجعه على القائمة أعلاه، أرسل لنا الرابط على WhatsApp ونقول لك بصراحة ما ينقصه.

تنويه

هذه الصفحة شرح عام من شركة ويب، وليست استشارة قانونية. القواعد تتغير، والهيئات تحدّث إرشاداتها، ولكل نشاط تفاصيله. إذا كنت تعالج بيانات حساسة (صحة، أطفال، بيانات مالية) فاستشر محامياً، وراجع إرشادات IMY على imy.se وإرشادات PTS عن الكوكيز على pts.se، فهي المرجع الرسمي وليس هذه الصفحة. المعلومات هنا صحيحة حسب معرفتنا في سبتمبر 2026.