القوانين، وما تعنيه عمليًا

GDPR

الاتحاد الأوروبي

المرجع العالمي لقوانين الخصوصية: الأسس القانونية، والمبادئ، والحقوق، والمساءلة، والإخطار بالخرق خلال 72 ساعة، وقواعد النقل، وغرامات تصل إلى 4 في المائة من حجم الأعمال العالمي.

قانون الذكاء الاصطناعي الأوروبي (EU AI Act)

الاتحاد الأوروبي

تنظيم قائم على المخاطر للذكاء الاصطناعي، مع التزامات موزعة حسب الدور: ممارسات محظورة، ومتطلبات للأنظمة عالية المخاطر، والتزامات بالشفافية، وقواعد للنماذج متعددة الأغراض.

توجيه الخصوصية الإلكترونية

الاتحاد الأوروبي

مصدر قواعد الاتحاد الأوروبي بشأن الموافقة على ملفات تعريف الارتباط والتسويق الإلكتروني، إلى جانب GDPR.

NIS2

الاتحاد الأوروبي

إدارة مخاطر الأمن السيبراني، ومساءلة الإدارة، والإبلاغ المرحلي عن الحوادث بدءًا بإنذار مبكر خلال 24 ساعة.

DORA

الاتحاد الأوروبي

إدارة مخاطر ICT، والإبلاغ عن الحوادث، واختبار المرونة، وسجل لترتيبات الأطراف الثالثة لخدمات ICT في القطاع المالي.

قانون البيانات

الاتحاد الأوروبي

حقوق للمستخدمين في الوصول إلى بيانات المنتجات المتصلة ومشاركتها، وقواعد تسهّل التحول بين مزودي الخدمات السحابية.

DSA

الاتحاد الأوروبي

الإشراف على المحتوى، والشفافية، وحظر الإعلانات الموجهة باستخدام البيانات الحساسة أو الموجهة إلى القاصرين بناءً على التنميط، وتقييمات المخاطر للمنصات الكبيرة جدًا.

DMA

الاتحاد الأوروبي

قيود على كيفية جمع حراس البوابات للبيانات الشخصية عبر الخدمات دون موافقة، ضمن قواعد سلوك أخرى.

CRA

الاتحاد الأوروبي

متطلبات أمنية طوال دورة حياة منتجات الأجهزة والبرمجيات، مع التزامات بمعالجة الثغرات والإبلاغ عنها.

DGA

الاتحاد الأوروبي

قواعد لوسطاء البيانات المحايدين ولإعادة استخدام بيانات القطاع العام المحمية.

EHDS

الاتحاد الأوروبي

وصول المرضى إلى البيانات الصحية الإلكترونية والتحكم فيها في أنحاء الاتحاد الأوروبي، وإطار للاستخدام الثانوي للبيانات الصحية.

EU-US DPF

الاتحاد الأوروبي

قرار كفاية يتيح تدفق البيانات الشخصية إلى الشركات الأمريكية ذاتية التصديق دون بنود تعاقدية قياسية.

UK GDPR

المملكة المتحدة

نسخة المملكة المتحدة من GDPR بعد خروجها من الاتحاد الأوروبي، والتي باتت تختلف عنه في بعض المواضع بموجب Data (Use and Access) Act 2025.

HIPAA

الاتحادي الأمريكي

ينظم المعلومات الصحية المحمية التي يحتفظ بها نظام الرعاية الصحية ومورّدوه: الاستخدامات والإفصاحات المسموح بها، وحقوق المرضى، والضمانات الأمنية للسجلات الإلكترونية، والإخطار بالخرق.

FTC Act، المادة 5

الاتحادي الأمريكي

الأداة الاتحادية الرئيسية لإنفاذ الخصوصية: الممارسات غير العادلة أو المضللة، بما فيها وعود الخصوصية غير المنفذة والأمن غير المعقول.

GLBA

الاتحادي الأمريكي

إشعارات الخصوصية وإلغاء الاشتراك في مشاركة المعلومات المالية للعملاء، وبرنامج لأمن المعلومات بضمانات محددة بموجب قاعدة الضمانات.

COPPA

الاتحادي الأمريكي

موافقة أبوية يمكن التحقق منها قبل جمع المعلومات الشخصية من الأطفال دون 13 عامًا، مع حقوق الإشعار والوصول والحذف للوالدين.

CAN-SPAM

الاتحادي الأمريكي

ترويسات وعناوين رسائل صادقة، وعنوان بريدي، وتنفيذ طلب إلغاء الاشتراك خلال عشرة أيام عمل. ولا تُشترط الموافقة للإرسال.

TCPA

الاتحادي الأمريكي

قواعد الموافقة للمكالمات والرسائل النصية الآلية والمسجلة مسبقًا، والسجل الوطني لعدم الاتصال، وتعويضات قانونية عن كل مكالمة.

FCRA

الاتحادي الأمريكي

الدقة والغرض المسموح به وحقوق الاعتراض على تقارير المستهلكين، بما فيها التحقق من الخلفية لأغراض التوظيف.

FERPA

الاتحادي الأمريكي

حقوق الوالدين والطلاب المؤهلين على السجلات التعليمية، وقيود على الإفصاح عنها.

VPPA

الاتحادي الأمريكي

يقيّد الإفصاح عن مقاطع الفيديو التي شاهدها الشخص؛ وأصبح الآن أساسًا متكررًا للدعاوى القضائية بشأن بكسلات التتبع في صفحات الفيديو.

GINA

الاتحادي الأمريكي

يحظر استخدام المعلومات الجينية في قرارات التوظيف والتأمين الصحي.

الإفصاح السيبراني لدى SEC

الاتحادي الأمريكي

الإفصاح عن حوادث الأمن السيبراني الجوهرية خلال أربعة أيام عمل من تحديد جوهريتها، والإفصاح السنوي عن إدارة المخاطر والحوكمة.

FTC HBNR

الاتحادي الأمريكي

إخطار بالخرق لتطبيقات الصحة والخدمات المماثلة خارج نطاق HIPAA، حيث تُعد المشاركة غير المصرح بها خرقًا.

CCPA/CPRA

كاليفورنيا

أكثر قوانين الخصوصية في الولايات الأمريكية تفصيلًا، والوحيد الذي له جهة تنظيمية مخصصة للخصوصية. يشمل بيانات الموظفين والبيانات بين الشركات، ويوجب إتاحة إلغاء الاشتراك في البيع والمشاركة، وله لوائحه الخاصة بشأن اتخاذ القرارات المؤتمت.

VCDPA

فيرجينيا

النموذج الذي اتبعته معظم قوانين الولايات اللاحقة: حقوق المستهلكين، وإلغاء الاشتراك في الإعلانات الموجهة والبيع والتنميط، والموافقة المسبقة على البيانات الحساسة، وتقييمات حماية البيانات.

CPA

كولورادو

قانون على نمط فيرجينيا مع قواعد مفصلة من المدعي العام، منها متطلبات احترام إشارات إلغاء الاشتراك الشاملة.

CTDPA

كونيتيكت

قانون على نمط فيرجينيا، عُدّل لتوسيع نطاق التغطية وتشديد القواعد بشأن البيانات الحساسة والقاصرين.

UCPA

يوتا

من أكثر قوانين الولايات مراعاةً للشركات، بحقوق أضيق وحدود أعلى.

TDPSA

تكساس

لا حد للإيرادات أو لحجم البيانات: يشمل كل شركة تقريبًا ليست منشأة صغيرة، ما يجعله عمليًا من أوسع قوانين الولايات نطاقًا.

OCPA

أوريغون

قانون على نمط فيرجينيا يمنح المستهلكين أيضًا الحق في معرفة الأطراف الثالثة المحددة التي أُفصح لها عن بياناتهم.

MCDPA

مونتانا

قانون على نمط فيرجينيا بحدود منخفضة نسبيًا، تعكس عدد سكان الولاية.

FDBR

فلوريدا

ضيق في نطاق من يشملهم، لكنه صارم مع كبرى شركات التقنية التي يستهدفها.

ICDPA

آيوا

قانون أضيق على نمط فيرجينيا بحقوق أقل للمستهلكين.

DPDPA

ديلاوير

قانون على نمط فيرجينيا بحدود منخفضة ويشمل كثيرًا من المنظمات غير الربحية.

NHDPA

نيوهامبشير

قانون على نمط فيرجينيا بحدود تتناسب مع ولاية صغيرة.

NJDPA

نيوجيرسي

قانون على نمط فيرجينيا مع تعريفات واسعة للبيانات الحساسة وصلاحية وضع القواعد لإدارة شؤون المستهلكين.

NDPA

نبراسكا

قانون على نمط تكساس دون حد لحجم البيانات، ينطبق على معظم الشركات التي ليست منشآت صغيرة.

TIPA

تينيسي

حدود مرتفعة، ودفاع إيجابي للشركات التي تتبع إطار الخصوصية الصادر عن NIST.

MCDPA

مينيسوتا

يضيف حقوقًا تفتقر إليها الولايات الأخرى، منها الحق في الاعتراض على نتيجة قرار قائم على التنميط والاطلاع على قائمة الأطراف الثالثة التي تلقت البيانات.

MODPA

ماريلاند

أشد قوانين الولايات صرامة في تقليل البيانات: يجب أن يكون الجمع ضروريًا بشكل معقول للخدمة، ويُحظر بيع البيانات الحساسة.

ICDPA

إنديانا

قانون على نمط فيرجينيا، ساري اعتبارًا من 2026.

KCDPA

كنتاكي

قانون على نمط فيرجينيا، ساري اعتبارًا من 2026.

RIDTPPA

رود آيلاند

قانون على نمط فيرجينيا مع التزامات غير معتادة بالإفصاح على المواقع الإلكترونية ودون مهلة للتصحيح.

BIPA

إلينوي

إشعار مكتوب وموافقة قبل جمع البيانات البيومترية، وجدول احتفاظ علني، وحق خاص في التقاضي أفضى إلى بعض أكبر التسويات في قضايا الخصوصية في الولايات المتحدة.

CUBI

تكساس

إشعار وموافقة قبل التقاط المعرّفات البيومترية، وقيود على البيع والإفصاح، وإتلاف خلال مدة محددة. وينفذه المدعي العام الذي حصل على تسويات كبيرة.

RCW 19.375

واشنطن

إشعار وموافقة أو آلية لإلغاء الاشتراك قبل تسجيل المعرّفات البيومترية لغرض تجاري.

MHMDA

واشنطن

تعريف واسع للبيانات الصحية للمستهلكين، وموافقة منفصلة على الجمع وعلى المشاركة، وتفويض موقّع للبيع، وقيود على التسييج الجغرافي قرب المرافق الصحية، وحق خاص في التقاضي.

SB 370

نيفادا

مشابه في نهجه لقانون واشنطن، دون حق خاص في التقاضي.

Delete Act

كاليفورنيا

يتيح لسكان كاليفورنيا مطالبة جميع وسطاء البيانات المسجلين بحذف بياناتهم بطلب واحد، ويجب على الوسطاء التحقق منه ومعالجته وفق جدول زمني محدد.

قانون وسطاء البيانات في فيرمونت

فيرمونت

أول سجل لوسطاء البيانات على مستوى الولايات، مع متطلبات لبرنامج أمني وللإفصاح.

قانون وسطاء البيانات في تكساس

تكساس

التسجيل، والإشعارات على المواقع الإلكترونية، وبرنامج أمني لوسطاء البيانات.

سجل وسطاء البيانات في أوريغون

أوريغون

تسجيل سنوي لوسطاء البيانات.

SHIELD Act

نيويورك

وسّع قانون الإخطار بالخرق في نيويورك ويشترط ضمانات إدارية وتقنية ومادية معقولة.

201 CMR 17.00

ماساتشوستس

من أوائل قواعد الأمن التفصيلية على مستوى الولايات: برنامج مكتوب لأمن المعلومات، والتشفير، والإشراف على الموردين.

NYDFS الجزء 500

نيويورك

لائحة مفصلة لبرامج الأمن السيبراني مع اعتماد سنوي، وتقارير من CISO، وإخطار بالحوادث خلال 72 ساعة، وتعرّض للمسؤولية الشخصية للمسؤولين التنفيذيين الذين يوقّعون الاعتماد.

تشترط كل ولاية إخطار السكان المتأثرين بعد خرق المعلومات الشخصية. وتختلف المهل والإخطارات المقدمة إلى الجهات التنظيمية وما يُعد معلومات شخصية، لذا فإن الخرق في عدة ولايات يعني تطبيق عدة قوانين في آن واحد.

LPDP

الأرجنتين

قانون مبكر يحظى بقرار الكفاية من الاتحاد الأوروبي، قائم على الموافقة المكتوبة وتسجيل قواعد البيانات ودعوى «هابياس داتا» القضائية، مع مهل رد قصيرة جدًا. ولا يتضمن التزامًا بالإخطار بالخرق ولا التزامات DPO أو DPIA، وتبقى الغرامات صغيرة.

Privacy Act (AU)

أستراليا

قانون الخصوصية في أستراليا، القائم على مبادئ الخصوصية الأسترالية الثلاثة عشر، ويمر حاليًا بمرحلة إصلاح.

LGPD

البرازيل

قانون البرازيل المستوحى من GDPR، مع عشرة أسس قانونية وهيئة وطنية.

PIPEDA

كندا

القانون الاتحادي الكندي للخصوصية في القطاع الخاص، القائم على عشرة مبادئ للممارسات العادلة في التعامل مع المعلومات.

Law 25

كيبيك، كندا

أكثر قوانين الخصوصية صرامة في كندا، مع تقييمات لأثر الخصوصية على عمليات النقل وغرامات بمستوى GDPR.

LPVP

تشيلي

حتى ديسمبر 2026 تطبّق تشيلي نظام 1999 الخفيف الذي لا تنفذه سوى المحاكم، مع موافقة مكتوبة ومهلة رد مدتها يومان وغرامات زهيدة. ثم يأتي القانون 21,719 بنظام على غرار GDPR مع هيئة جديدة والتزامات بشأن الخرق وغرامات تصل إلى 20,000 UTM.

PIPL

الصين

قانون الخصوصية الشامل في الصين، مع قواعد صارمة بشأن الموافقة والنقل عبر الحدود.

القانون 1581

كولومبيا

يحتاج كل استخدام للبيانات الشخصية إلى تفويض مسبق وصريح ومستنير يستطيع المتحكم إثباته، ويجب على كل متحكم تسمية شخص أو جهة لحماية البيانات. وتمارس SIC الإنفاذ بنشاط، وتسجّل الشركات الكبرى قواعد بياناتها في RNBD، ويُبلَّغ عن حالات الخرق إلى SIC خلال 15 يوم عمل.

LOPDP

الإكوادور

أقرب نسخة من GDPR في المنطقة، مع المصلحة المشروعة وقابلية النقل وتقييمات الأثر ومسؤولي حماية البيانات، إضافة إلى غرامات مرتبطة بحجم الأعمال تصل إلى 1%. وهو أكثر صرامة في التوقيت: 5 أيام لإخطار الجهة التنظيمية و3 أيام لإخطار الأفراد.

PDPL (مصر)

مصر

قانون حماية البيانات في مصر. يحتاج المتحكمون والمعالجون إلى ترخيص من مركز حماية البيانات الشخصية، ويسجّل مسؤولو حماية البيانات لديه.

DPA (غانا)

غانا

قانون حماية البيانات في غانا. يسجّل المتحكمون لدى لجنة حماية البيانات ويجددون التسجيل كل سنتين.

PDPO

هونغ كونغ

أقدم قانون شامل للخصوصية في آسيا، قائم على ستة مبادئ لحماية البيانات، دون التزام بالإخطار بالخرق ودون قيود سارية على النقل. وأشد أدواته جرائم جنائية للتسويق المباشر دون موافقة ولنشر البيانات الشخصية بقصد الإيذاء.

قانون DPDP

الهند

قانون الخصوصية الشامل في الهند، القائم على الموافقة، مع التزامات على أمناء البيانات المهمين.

قانون PDP

إندونيسيا

بنية شبيهة بـ GDPR لكن بمهل قصيرة جدًا مدتها 72 ساعة لكل من طلبات أصحاب البيانات والإخطار بالخرق. ويجب أن تكون الموافقة مكتوبة أو مسجلة، وتقترن عقوبات جنائية تصل إلى 6 سنوات بغرامات تبلغ 2% من الإيرادات.

PPL

إسرائيل

PPL قانون قائم على الموافقة ومتمحور حول قواعد البيانات، مع قواعد أمنية شديدة التفصيل، منها الإبلاغ الفوري عن الحوادث الجسيمة. وأضاف التعديل 13 تعريفات على غرار GDPR، والتزامات DPO، وغرامات إدارية عن كل صاحب بيانات، وتعويضات قانونية، وقصر تسجيل قواعد البيانات على وسطاء البيانات والجهات العامة.

APPI

اليابان

قانون الخصوصية في اليابان، ويعترف الاتحاد الأوروبي بكفايته.

DPA (كينيا)

كينيا

قانون حماية البيانات في كينيا. يسجّل المتحكمون والمعالجون لدى مفوض البيانات. وتعيين مسؤول لحماية البيانات اختياري بموجب القانون.

PDPA (ماليزيا)

ماليزيا

قانون حماية البيانات في ماليزيا، المعدّل في 2024. ويسري تعيين مسؤول حماية البيانات والإخطار بالخرق إلى المفوض خلال 72 ساعة اعتبارًا من 1 يونيو 2025.

LFPDPPP

المكسيك

الموافقة هي الأساس الافتراضي، وتكفي الموافقة الضمنية عبر إشعار الخصوصية لمعظم البيانات، ويجب على كل متحكم تسمية شخص أو قسم لحماية البيانات. ونقلت إعادة الصياغة في 2025 صلاحية الإنفاذ من INAI المستقل إلى وزارة اتحادية، وألغت التزامات القانون القديم تجاه الجهة التنظيمية مع الإبقاء على عقوبات السجن لجرائم البيانات.

Privacy Act

نيوزيلندا

قانون قائم على المبادئ يتضمن 14 مبدأً لحماية المعلومات، وإلزام كل جهة بتعيين مسؤول للخصوصية، والإخطار بالخرق عند الضرر الجسيم. والغرامات صغيرة؛ وتمر سبل الانتصاف عبر المفوض ومحكمة مراجعة حقوق الإنسان.

NDPA (نيجيريا)

نيجيريا

قانون حماية البيانات في نيجيريا. يسجّل المتحكمون والمعالجون ذوو الأهمية الكبرى لدى NDPC ويعيّنون مسؤولًا لحماية البيانات، يجب عليه مواصلة التطوير المهني سنويًا.

LPDP

بيرو

قرّبت لائحة 2024 بيرو من GDPR: نطاق تطبيق خارج الحدود مع ممثل محلي، وإخطار بالخرق خلال 48 ساعة للجهة التنظيمية والأفراد، وقابلية النقل، والتزام بتعيين DPO على مراحل. وتحتفظ بما يميز بيرو من تسجيل قواعد البيانات والإخطار بكل تدفق عابر للحدود.

DPA (الفلبين)

الفلبين

قانون خصوصية البيانات في الفلبين. تعيّن المؤسسات مسؤولًا لحماية البيانات، وتسجّل المؤسسات التي تستوفي الحدود لدى اللجنة الوطنية للخصوصية.

PDPL (المملكة العربية السعودية)

المملكة العربية السعودية

قانون حماية البيانات في المملكة العربية السعودية، وتنفذه SDAIA. وتحدد القواعد متى يلزم تعيين مسؤول لحماية البيانات، ويجري التسجيل والإخطار بالخرق عبر المنصة الوطنية لحوكمة البيانات.

PDPA (SG)

سنغافورة

قانون خصوصية قائم على الموافقة، مع إخطار إلزامي بالخرق منذ 2021.

POPIA

جنوب أفريقيا

قانون الخصوصية الشامل في جنوب أفريقيا، القائم على ثمانية شروط للمعالجة المشروعة.

PIPA

كوريا الجنوبية

تجمع كوريا بين حقوق على غرار GDPR وقواعد موافقة دقيقة على نحو غير معتاد، بندًا بندًا، مع إلزام كل متحكم بتعيين رئيس للخصوصية. والإنفاذ مشدد: رسوم إضافية مرتبطة بالإيرادات تصل الآن إلى 10%، وتعويضات قانونية، وعقوبات جنائية.

nFADP

سويسرا

القانون المعدّل في سويسرا، المتوافق بشكل وثيق مع GDPR، مع غرامات تستهدف الأفراد المسؤولين.

DIFC DPL

الإمارات العربية المتحدة

قانون حماية البيانات في مركز دبي المالي العالمي، وهو منطقة حرة مالية لها قوانينها ومحاكمها الخاصة. ويتبع GDPR عن كثب، وله مفوض خاص لحماية البيانات.

PDPA

تايلاند

مبني بشكل وثيق على GDPR، لكن الموافقة يجب أن تكون عمومًا مكتوبة أو إلكترونية، ويحتاج القاصرون دون 20 عامًا إلى مشاركة ولي الأمر. والمسؤولية المدنية صارمة، ويجوز للمحاكم إضافة تعويضات عقابية تصل إلى ضعف الخسارة الفعلية.

KVKK

تركيا

KVKK مستوحى من GDPR لكنه يحتفظ بسجل عام للمتحكمين (VERBIS) مع جرد مودَع للبيانات، ويوجب إخطار الأفراد بالخرق في جميع الحالات. ومنذ 2024 يقوم النقل إلى الخارج على الكفاية، أو الضمانات التي يعتمدها المجلس، أو العقود القياسية التي يصدرها المجلس والتي يجب إيداعها خلال خمسة أيام عمل.

DPPA (أوغندا)

أوغندا

قانون حماية البيانات في أوغندا. يجب على رئيس كل مؤسسة يشملها القانون تعيين مسؤول لحماية البيانات، ويسجّل كل من يجمع البيانات الشخصية أو يعالجها لدى مكتب حماية البيانات الشخصية.

PDPL (UAE)

الإمارات العربية المتحدة

القانون الاتحادي لحماية البيانات في UAE. وهو ساري منذ يناير 2022، لكن لائحته التنفيذية لم تصدر بعد، ولذلك لا توجد حتى الآن مهلة محددة للإخطار بالخرق ولا جدول للعقوبات.

LPDP

أوروغواي

قانون يحظى بقرار الكفاية من الاتحاد الأوروبي، يجمع بين الموافقة الموثقة والتسجيل الشامل لقواعد البيانات وإضافات على غرار GDPR: إخطار بالخرق خلال 72 ساعة، وتقييمات أثر وتعيين مسؤولي حماية بيانات إلزاميان للمعالجة الواسعة أو الحساسة. الغرامات منخفضة لكن مهل الرد خمسة أيام عمل.

PDPL

فيتنام

أول تشريع في فيتنام بشأن البيانات الشخصية، يحل محل المرسوم 13 بنظام يقدّم الموافقة أولًا، ويجب فيه إيداع تقييمات الأثر وتقييمات النقل لدى وزارة الأمن العام. وتصل الغرامات إلى 5% من الإيرادات لمخالفات النقل و10 أضعاف الإيرادات للاتجار غير المشروع بالبيانات.

CDPA (زيمبابوي)

زيمبابوي

قانون حماية البيانات في زيمبابوي، وتنفذه POTRAZ. يحتاج المتحكمون إلى ترخيص، ويجب تعيين مسؤولي حماية البيانات خلال 90 يومًا وإكمالهم دورة اعتماد معتمدة.