GDPR وقانون الذكاء الاصطناعي الأوروبي والتعرف على الوجه في الفعاليات: دليل امتثال 2026

يقدّم هذا المقال معلومات عامة عن أطر حماية البيانات وتطبيقها على التعرف على الوجه في الفعاليات. لا يُشكّل استشارة قانونية. لأسئلة امتثال محددة تخص جهتك واختصاصك القضائي، استشر محامي حماية بيانات مؤهلاً أو مستشاراً قانونياً.

حين بدأ توزيع الصور بالذكاء الاصطناعي بالظهور في فعاليات الشركات، بدأت فرق المشتريات تطرح سؤالاً لم يكن المصورون وبائعو تقنية الفعاليات مستعدين دائماً للإجابة عنه جيداً: "هل هذا متوافق مع GDPR؟" السؤال مشروع والمخاطر حقيقية. ينبغي أن تتمكن منصة مصممة جيداً من الإجابة عنه بتفاصيل محددة، لا بهزّة كتف - رغم أن كون إعداد معين يفي فعلاً بالتزامات امتثالك الخاصة سؤال يعود في النهاية لمستشارك القانوني، لا لهذا المقال ولا لصفحة تسويق أي بائع.

يستعرض هذا الدليل المشهد القانوني للتعرف على الوجه في الفعاليات، ومتطلبات الامتثال المحددة بموجب كل إطار رئيسي، وشكل الموافقة المُصمَّمة جيداً عملياً، والأسئلة التي ينبغي لفرق المشتريات طرحها على البائعين.

لماذا ينطبق GDPR على التعرف على الوجه في الفعاليات

يصنّف GDPR البيانات الحيوية كـ"فئة خاصة" من البيانات الشخصية بموجب المادة 9. تُعرَّف البيانات الحيوية بأنها "بيانات شخصية ناتجة عن معالجة تقنية محددة تتعلق بالخصائص الجسدية أو الفسيولوجية أو السلوكية لشخص طبيعي، تتيح أو تؤكد تحديد هوية ذلك الشخص على نحو فريد." تستوفي بيانات التعرف على الوجه هذا التعريف مباشرة.

هذا التصنيف مهم لأن بيانات الفئة الخاصة تتطلب معياراً أعلى من التبرير مقارنة بالبيانات الشخصية العادية. تحظر المادة 9(1) معالجة بيانات الفئة الخاصة افتراضياً. ثم توفر المادة 9(2) قائمة شروط يُسمح بموجبها بالمعالجة. للتطبيقات التجارية في الفعاليات، الشرط ذو الصلة هو المادة 9(2)(أ): أن يكون صاحب البيانات قد أعطى موافقة صريحة على المعالجة لغرض أو أغراض محددة.

كلمة "صريحة" تحمل وزناً كبيراً هنا. كانت إرشادات GDPR من الجهات الرقابية عبر أوروبا ثابتة: بالنسبة لبيانات الفئة الخاصة، لا تفي الموافقة السلبية (دفن بند في شروط الفعالية وأحكامها)، ولا الموافقة الضمنية (حضرت الفعالية إذن وافقت على التصوير)، ولا الموافقة العامة (وافقت على التقاط الصور لكن لا على معالجة التعرف على الوجه) بالمعيار. يجب أن تكون الموافقة فعّالة ومحددة ومستنيرة.

لتوزيع الصور بالذكاء الاصطناعي، هذا يعني أن تدفق سيلفي الضيف، حيث يختار الضيف فعلياً تقديم صورة وجهه لغرض استلام صور فعاليته، يمثل بالضبط نوع الموافقة الصريحة التي تتطلبها المادة 9(2)(أ). الإجراء طوعي، والغرض مُعلَن، ولا تُعالَج أي صور شخصية دونه.

ماذا تعني "الموافقة الصريحة" عملياً في سياق فعالية

ترجمة معيار GDPR إلى تجربة فعالية متوافقة تتطلب معالجة أربعة عناصر على شاشة التقاط الموافقة:

هوية واضحة للمتحكم بالبيانات: من يعالج البيانات الحيوية؟ ينبغي تحديد ذلك بوضوح، سواء منظم الفعالية أو منصة الصور أو كلاهما، حسب البنية التعاقدية.

غرض محدد: لماذا تُعالَج البيانات الحيوية؟ يجب أن يكون الغرض محدداً، لا غامضاً. "مطابقة وجهك مع الصور الملتقطة في هذه الفعالية وتوصيل معرض شخصي لك" غرض محدد. "تحسين خدماتنا" ليس كذلك ولا يمكن إلحاقه.

الاحتفاظ بالبيانات: إلى متى ستُحفَظ البيانات الحيوية؟ يتطلب مبدأ تقليل البيانات ألا تُحفَظ البيانات الحيوية أبعد مما هو ضروري للغرض المحدد. لمطابقة صور الفعالية، يعني هذا أن تُحذَف البيانات الوجهية بعد اكتمال المطابقة أو خلال نافذة محددة بعد الفعالية.

آلية السحب: يجب أن تكون الموافقة سهلة السحب بقدر سهولة إعطائها. ينبغي أن تتضمن شاشة الموافقة مساراً واضحاً لطلب حذف البيانات أو رابطاً إليه. عنوان بريد إلكتروني (مثل privacy@platform.com) أو زر طلب حذف داخل المعرض كلاهما مقبول.

شاشة موافقة تغطي بوضوح العناصر الأربعة، تُعرَض قبل التقاط السيلفي وقبل أي معالجة حيوية، تُفهَم عموماً على أنها تعالج معيار GDPR لمعالجة بيانات الفئة الخاصة - رغم أن مستشارك القانوني الخاص هو من يستطيع تأكيد ذلك لفعاليتك واختصاصك القضائي المحددين. وهي أيضاً، عملياً، تجربة مستخدم مصممة جيداً تبني ثقة الضيف بدل أن تآكلها.

كيف تبني تدفق الموافقة عند تسجيل فعاليتك

السؤال الأكثر شيوعاً من المنظمين الجدد على توزيع الصور بالذكاء الاصطناعي هو: أين في رحلة الضيف تحدث الموافقة؟

هناك خياران عمليان، لكل منهما مزايا واضحة:

الخيار الأول: موافقة تسجيل قبل الفعالية. ضمّن خطوة تسجيل السيلفي في رحلة الحاضر قبل الفعالية، إما في بريد تأكيد التسجيل أو كخطوة في تطبيق الفعالية أو بوابة الحاضر. يصل الضيوف الذين يكملون هذه الخطوة إلى الفعالية ووجوههم مفهرسة بالفعل، ما يتيح بدء مطابقة الصور فوراً عند رفعها. يتيح هذا أيضاً للضيوف مراجعة إشعار الخصوصية بهدوء، لا في يوم الفعالية حين يكونون في خضم لوجستيات الوصول.

الخيار الثاني: موافقة في اليوم نفسه عند نقطة التجربة. تُشغّل رموز QR في الفعالية تدفق موافقة السيلفي حين يكون الضيف جاهزاً للوصول لمعرضه. تُعرَض شاشة الموافقة مباشرة قبل التقاط السيلفي، ما يجعل الصلة بين الموافقة والإجراء صريحة. يعمل هذا النموذج جيداً للفعاليات التي لم يكن التسجيل المسبق فيها ممكناً أو حيث كان الحضور بلا تسجيل مسبق.

كلا النهجين صالح بموجب GDPR بشرط وجود عناصر الموافقة الأربعة. عادة ما ينتج التسجيل قبل الفعالية معدلات مطابقة أفضل (وقت أطول للفهرسة، تغطية صور أعلى قبل وصول الضيف) بينما يكون الالتقاط في اليوم نفسه أكثر مرونة للفعاليات ذات أنماط التسجيل المتنوعة.

تقليل البيانات: كيف تتعامل المنصات المسؤولة مع البيانات الحيوية

يتطلب مبدأ تقليل البيانات بموجب المادة 5(1)(ج) من GDPR أن تكون البيانات الشخصية "كافية وملائمة ومحدودة بما هو ضروري فيما يتعلق بالأغراض التي تُعالَج من أجلها." للبيانات الحيوية، لهذا انعكاس تقني محدد.

تعالج منصة توزيع صور بالذكاء الاصطناعي مصمَّمة بمسؤولية صور الوجوه لكن ينبغي ألا تحتفظ ببيانات صورة الوجه الخام أبعد مما تحتاجه المطابقة. ما يُستخدَم فعلياً للمطابقة مُستمَد من الوجه لا من الصورة الأصلية نفسها. بمجرد اكتمال المطابقة، الاحتفاظ بصور الوجه الأصلية غير ضروري ويضيف مخاطرة تنظيمية.

أفضل ممارسة عملية حذف على مرحلتين: حذف صور السيلفي الخام فور حساب هذا التمثيل؛ وحذف البيانات الوجهية نفسها بعد الفعالية أو عند طلب حذف البيانات. هذا يعني أنه خلال فترة محددة بعد الفعالية، ينبغي ألا توجد بيانات حيوية مرتبطة بفرد محدد في أنظمة المنصة.

عند تقييم البائعين، اسأل تحديداً: "ما البيانات الحيوية التي تحتفظون بها بعد اكتمال المطابقة، وإلى متى؟" ينبغي أن تكون الإجابة دقيقة وموثَّقة ومتاحة للإدراج في إشعار خصوصيتك.

GDPR البريطاني مقابل GDPR الأوروبي: ما تغيّر بعد خروج بريطانيا

للفعاليات المنظَّمة في المملكة المتحدة بعد 31 ديسمبر 2020، الإطار المُطبَّق هو GDPR البريطاني - نسخة محتفَظ بها من GDPR الأوروبي أُدمِجت في القانون البريطاني بموجب قانون حماية البيانات لعام 2018. لمعظم الأغراض العملية، بما فيها قواعد بيانات الفئة الخاصة ومتطلبات الموافقة الصريحة التي تنطبق على التعرف على الوجه في الفعاليات، يتطابق GDPR البريطاني و GDPR الأوروبي جوهرياً.

الفارق الأساسي هو الاختصاص التنظيمي: تشرف على فعاليات المملكة المتحدة هيئة مكتب مفوض المعلومات (ICO)، لا الجهات الرقابية الأوروبية. تخضع عمليات نقل البيانات عبر الحدود بين المملكة المتحدة والاتحاد الأوروبي لقرارات الكفاية البريطانية، ويحتاج المتحكمون بالبيانات البريطانيون الذين ينقلون بيانات إلى معالجين أوروبيين (أو العكس) آليات نقل مناسبة.

لمنظمي فعاليات بريطانيين يستخدمون منصة صور مقرها أوروبا (أو العكس)، تأكد من آلية النقل التي يعتمدها بائعك، عادة البنود التعاقدية المعيارية، وتأكد من توثيقها في اتفاقية معالجة البيانات.

قانون الذكاء الاصطناعي الأوروبي: طبقة امتثال جديدة للأنظمة الحيوية في الفعاليات

دخل قانون الذكاء الاصطناعي الأوروبي حيز النفاذ في 1 أغسطس 2024، وينطبق إلى جانب GDPR، لا بدلاً منه، على أي جهة تنشر تعرفاً على الوجه في فعاليات بمشاركين أوروبيين. حيث يتعلق GDPR بالبيانات الشخصية المُعالَجة، يتعلق قانون الذكاء الاصطناعي بنظام الذكاء الاصطناعي الذي يقوم بالمعالجة، ويصنّف التعرف على الوجه المستخدَم لتحديد الأشخاص كنظام عالي المخاطر بالتزامات خاصة به على البائع والمنظم الذي ينشره.

هذا موضوع كبير بما يكفي ليكون له دليله الخاص المخصص، يغطي تصنيف المخاطر، وما هو مسؤول عنه الناشر (المنظم) مقابل ما هو مسؤول عنه المزوّد (البائع)، وما ينبغي طلبه من بائع منصة صور قبل موعد أغسطس 2026 النهائي لالتزامات الأنظمة عالية المخاطر. اقرأ هذه الصفحة للصورة الخاصة بـ GDPR وتلك الصفحة لقواعد قانون الذكاء الاصطناعي الخاصة.

قانون حماية البيانات الإماراتي وقانون حماية البيانات القطري

تعمل فعاليات مجلس التعاون الخليجي بموجب أطر حماية بيانات إقليمية تشترك في المبدأ الأساسي للموافقة على المعالجة الحيوية، مع فروق تطبيق مهمة.

المرسوم بقانون اتحادي إماراتي رقم 45 لسنة 2021 (قانون حماية البيانات الإماراتي): ينطبق القانون الإماراتي الأساسي لحماية البيانات على كل المتحكمين والمعالجين العاملين في الإمارات أو الذين يعالجون بيانات مقيمين إماراتيين. تُصنَّف البيانات الحيوية كبيانات شخصية حساسة بموجب هذا القانون وتتطلب موافقة صريحة للمعالجة. يرسي القانون حقوقاً لصاحب البيانات تشمل حق الوصول والتصحيح والحذف. يجب على المتحكمين تطبيق تدابير تقنية وتنظيمية مناسبة لحماية البيانات الحساسة، ويجب أن يكونوا قادرين على إثبات الامتثال عند الطلب.

جهة الإنفاذ لقانون حماية البيانات الإماراتي هي مكتب بيانات الإمارات، الذي بدأ عمله في 2023. تشمل عقوبات المخالفات غرامات، وفي الحالات الجسيمة، تعليق عمليات معالجة البيانات. قد تخضع الفعاليات التي تستضيفها جهات حكومية إماراتية أيضاً لمتطلبات قطاعية إضافية.

قانون حماية خصوصية البيانات الشخصية القطري (القانون رقم 13 لسنة 2016): يسبق الإطار القطري GDPR لكنه طُوِّر وفق مبادئ مماثلة. يتطلب القانون موافقة لجمع البيانات الشخصية ومعالجتها ويرسي حمايات لفئات البيانات الحساسة. نشرت الوكالة الوطنية للأمن السيبراني إرشادات تكميلية تنطبق على معالجة البيانات الحيوية تحديداً، تتطلب ألا تُستخدَم البيانات الحيوية المجموعة لغرض واحد لأي غرض آخر، وهو قيد مباشر على الاستخدامات الثانوية.

السعودية (نظام حماية البيانات الشخصية): للفعاليات في المملكة العربية السعودية، يحكم نظام حماية البيانات الشخصية الصادر بالمرسوم الملكي م/19 معالجة البيانات الحيوية. مثل أطر الإمارات وقطر، تُطلَب موافقة صريحة للبيانات الحساسة. الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) هي الجهة الرقابية وأصدرت لوائح تنفيذية توفر إرشاداً تفصيلياً حول متطلبات الموافقة.

عملياً، يميل تدفق موافقة مصمَّم لتلبية معيار الموافقة الصريحة في GDPR الأوروبي للبيانات الحيوية إلى تغطية متطلبات الموافقة الأساسية في أطر الإمارات وقطر والسعودية أيضاً، بما أن معيار GDPR عموماً هو القاسم المشترك الأعلى بينها. هذه نقطة انطلاق مفيدة للتصميم، لا بديل عن التحقق من متطلبات كل اختصاص قضائي محدد مع مستشارك القانوني قبل الفعالية.

المتحكم بالبيانات مقابل معالج البيانات: من المسؤول عن ماذا

بموجب GDPR وما يعادله، يشغل منظم الفعالية ومنصة توزيع الصور أدواراً متمايزة بمسؤوليات متمايزة. فهم هذا مهم لفرق المشتريات.

المتحكم بالبيانات: الجهة التي تحدد أغراض ووسائل معالجة البيانات الشخصية. لتصوير الفعاليات بالتوصيل بالذكاء الاصطناعي، المتحكم بالبيانات عادة هو منظم الفعالية، فأنت قررت إقامة هذه الفعالية، والتصوير فيها، واستخدام التعرف على الوجه لتوصيل الصور. استخدامك منصة طرف ثالث لا ينقل التحكم؛ إنه يخلق علاقة معالجة.

معالج البيانات: جهة تعالج البيانات الشخصية نيابة عن المتحكم، بموجب عقد، لأغراض يحددها المتحكم. تعمل منصة توزيع الصور كمعالج بيانات: تعالج البيانات الحيوية وفق تعليمات منظم الفعالية ونيابة عنه.

الأثر العملي: يجب أن تمتلك منظم الفعالية اتفاقية معالجة بيانات (DPA) مع بائع منصة الصور. هذا متطلب قانوني بموجب المادة 28 من GDPR وليس اختيارياً. يجب أن تحدد اتفاقية معالجة البيانات ما البيانات التي تُعالَج، لأي غرض، لأي مدة، وما تدابير الأمن التي يطبقها المعالج.

حين تسأل فرق المشتريات بائع صور بالذكاء الاصطناعي "هل لديك اتفاقية معالجة بيانات؟"، فهي تطرح السؤال الصحيح. أي بائع لا يستطيع توفير واحدة لا ينبغي استخدامه لفعاليات ينطبق عليها GDPR.

متطلبات الإبلاغ عن الاختراق

في حال اختراق بيانات شخصية يشمل بيانات حيوية، تتطلب المادة 33 من GDPR أن يُبلِغ المتحكم الجهة الرقابية المختصة خلال 72 ساعة من علمه بالاختراق. تتطلب المادة 34 إبلاغ الأفراد المتضررين إن كان الاختراق يُرجَّح أن يُحدِث مخاطرة عالية على حقوقهم وحرياتهم. يُفتَرض أن اختراق بيانات حيوية، وهي بيانات فئة خاصة، يستوفي عتبة المخاطرة العالية ما لم تكن البيانات مشفَّرة أو مجعولة بطريقة أخرى غير قابلة للوصول للمهاجم.

الأثر العملي لمنظمي الفعاليات: اعرف إجراء استجابة الحوادث لدى بائعك قبل الفعالية. ينبغي أن تتضمن اتفاقية معالجة البيانات التزامات إبلاغ عن الاختراق (عادة، يجب أن يُبلِغوك خلال 24-48 ساعة من اكتشاف اختراق، بحيث تستطيع الوفاء بنافذة إبلاغ الجهة الرقابية البالغة 72 ساعة).

أسئلة امتثال شائعة من فرق مشتريات الفعاليات

س: هل يتطلب التقاط صور في فعالية موافقة الحضور بموجب GDPR؟
ج: للتصوير العادي في فعالية (دون معالجة حيوية) معاملة قانونية أدق. يُعتبَر مصور يلتقط صوراً في فعالية عامة أو شبه عامة كبيرة عموماً معالجاً لبيانات شخصية، لكن الأساس القانوني قد يكون المصلحة المشروعة لا الموافقة، حسب السياق. معالجة التعرف على الوجه هي بيانات فئة خاصة دون لبس، تتطلب موافقة صريحة بموجب المادة 9(2)(أ).

س: ماذا لو رفض حاضر المشاركة في تدفق السيلفي؟
ج: تصميم تدفق الموافقة الاختياري يعني أن الرفض يعني ببساطة عدم استلام الحاضر معرضاً شخصياً. لا يُحدَّد ولا يُطابَق ولا يُعالَج. حيث توجد طرق وصول بديلة (رقم الصدر، رمز التذكرة)، ينبغي ألا يمنع رفض المعالجة الحيوية الوصول إلى صور الفعالية العامة. يجب أن يكون حق رفض الموافقة حقيقياً، دون عقوبة على عدم المشاركة.

س: هل يمكننا استخدام بيانات التعرف على الوجه لأغراض أخرى غير مطابقة الصور؟
ج: لا. تقييد الغرض مبدأ أساسي في GDPR. إن حُصِلَت الموافقة لمطابقة الصور، فاستخدام البيانات الحيوية نفسها للتحكم بالوصول أو رصد الحضور أو تنميط تسويقي يُعَد معالجة منفصلة غير موافَق عليها. كل غرض يتطلب موافقته الخاصة.

س: ننظّم الفعالية خارج الاتحاد الأوروبي - هل ينطبق GDPR رغم ذلك؟
ج: لـ GDPR نطاق خارج إقليمي بموجب المادة 3. ينطبق حين تتعلق المعالجة بتقديم سلع أو خدمات لأفراد في الاتحاد الأوروبي أو رصد سلوكهم، بصرف النظر عن مكان المعالجة. إن كان لفعاليتك حضور من الاتحاد الأوروبي أو كانت جهتك مؤسَّسة فيه، ينطبق GDPR على المعالجة الحيوية حتى إن أُقيمت الفعالية في مكان آخر.