تخيّل رجل أعمال خليجيًا يكتشف، أثناء إجراءات العناية الواجبة التي يجريها بنك أوروبي مراسل على حساب شركته، أنه أُدرج على قائمة مراقبة داخلية. يُبلغه المصرف بأن اسمه ظهر ضمن قواعد بيانات اليوروبول المتقاطعة عند فحص المعاملات العابرة للحدود — رغم أنه لم يُتهم قط، ولم يُستجوب، بل لم يُبلَّغ أصلًا بوجود أي تحقيق جنائي. وأمامه مهلة قصيرة لتقديم طلب اطلاع رسمي عبر هيئة حماية البيانات في الدولة الأوروبية المعنية قبل أن يُعيد البنك النظر في تجميد الحساب. هذا سيناريو افتراضي توضيحي، لكنه يعكس واقعًا يواجهه كثير من المستثمرين ورجال الأعمال في المنطقة عند تعاملهم مع الاتحاد الأوروبي.

لا يحتفظ اليوروبول بقاعدة بيانات مركزية عن عامة الناس. فوكالة الاتحاد الأوروبي للتعاون في مجال إنفاذ القانون تعالج البيانات الشخصية التشغيلية فقط عندما يكون ذلك ضروريًا ومتناسبًا بشكل صارم لمنع أو مكافحة الجرائم الخطيرة العابرة للحدود، ضمن الإطار القانوني الذي أرسته اللائحة (الاتحاد الأوروبي) 2016/794 (لائحة اليوروبول)، بصيغتها المعدّلة باللائحة (الاتحاد الأوروبي) 2022/991. ولا تظهر بياناتك في أنظمة اليوروبول إلا إذا كنت تقع ضمن إحدى الفئات المدرجة في الملحق الثاني من تلك اللائحة — مشتبه به، أو مُدان، أو ضحية، أو شاهد، أو جهة اتصال، أو مُبلِّغ، أو قاصر معرّض للخطر — وقامت سلطة وطنية لإنفاذ القانون بإحالتها.

البيانات الشخصية التشغيلية – جميع البيانات الشخصية التي يعالجها اليوروبول لتحقيق أهدافه، بما في ذلك بيانات تحديد الهوية، والبيانات البيومترية، ووثائق السفر، وسجلات الاتصالات، والمعلومات المالية، وفي ظروف محدودة، البيانات الحساسة مثل الأصل العرقي أو الإثني، أو البيانات الجينية، أو المعلومات الصحية، أو التفاصيل المتعلقة بالحياة الجنسية أو التوجه الجنسي (المادتان 18 و30 من لائحة اليوروبول).

أبرز النقاط

• لا يحتفظ اليوروبول ببيانات إلا عن الأفراد الذين يقعون ضمن فئات الملحق الثاني — المشتبه بهم، والضحايا، والشهود، والمدانين، والمبلِّغين، وجهات الاتصال، والقاصرين المعرّضين للخطر. وليس عن عامة السكان.
• تنشأ البيانات من 29 مكتبًا مركزيًا وطنيًا في الدول الأعضاء بالاتحاد الأوروبي، وضباط الاتصال التابعين لليوروبول، والدول الثالثة والمنظمات الدولية بموجب اتفاقيات تعاون. واليوروبول لا يجمعها مباشرة.
• لك حق الاطلاع بموجب المادة 80 من اللائحة (الاتحاد الأوروبي) 2018/1725 (اللائحة الأوروبية لحماية البيانات – EUDPR). ويجب على اليوروبول الرد خلال 3 أشهر من تلقيه طلبك محالًا من سلطة إشرافية وطنية.
• قد يُقيَّد الاطلاع جزئيًا أو كليًا بموجب المادة 81 من اللائحة الأوروبية لحماية البيانات. ومن أسباب ذلك حماية التحقيقات الجارية، أو صون الضحايا والشهود، أو الأمن الوطني.
• تخضع البيانات الشخصية الحساسة لقيود المادة 10 من اللائحة الأوروبية لحماية البيانات: لا يجوز الاطلاع عليها إلا لعدد محدود من الموظفين المخوّلين، ولا يمكن أن تكون الأساس الوحيد لقرارات تمسّك.

هل يحتفظ اليوروبول بقاعدة بيانات مركزية عن عامة الناس؟

لا يجمع اليوروبول قاعدة بيانات عن عموم السكان. فالمادة 18 من لائحة اليوروبول تقصر البيانات الشخصية التشغيلية على المعلومات المعالَجة لأغراض الوكالة الأساسية: منع ومكافحة الإرهاب والجريمة المنظمة وسائر الأشكال الخطيرة من الجريمة العابرة للحدود التي تمسّ دولتين عضوين أو أكثر. ولا توجد البيانات إلا إذا ظهرت في تحقيقات جنائية جارية أو مغلقة، أو في تقييمات استخباراتية، أو في تحليلات التهديدات العابرة للحدود التي تجريها سلطات الدول الأعضاء.

تعمل الوكالة بوصفها مركز دعم. وتحتفظ أجهزة إنفاذ القانون الوطنية بملكية البيانات التي تحيلها والسيطرة عليها؛ ويعالجها اليوروبول ضمن ولايته، تحت إشراف المشرف الأوروبي لحماية البيانات (EDPS). فإن لم يسبق أن جرى التحقيق معك، أو ذُكِر اسمك بوصفك شاهدًا في قضية عابرة للحدود، أو أُشير إليك بوصفك جهة اتصال لمشتبه به، فإن اليوروبول لا يحتفظ على الأرجح بأي سجل عنك.

لكن هنا بيت القصيد: البراءة لا تضمن الغياب من السجلات. فتدفقات البيانات تشوبها الفوضى. والخطأ في تحديد الهوية، والمطابقة غير الصحيحة للأسماء، والحذف غير المكتمل بعد التبرئة — هذه الأخطاء الإدارية قد تُدرج الأفراد في أنظمة اليوروبول دون علمهم أو مسوّغ. والتأكد يتطلب فعلًا من جانبك: ممارسة حقك في الاطلاع.

ما فئات البيانات الشخصية التي قد يعالجها اليوروبول؟

تحدّد المادة 18(2) من لائحة اليوروبول فئات البيانات الشخصية التشغيلية. وهي تشمل الاسم الكامل واسم ما قبل الزواج والأسماء المستعارة؛ وتاريخ الميلاد ومكانه؛ والجنسية؛ والنوع؛ والبيانات البيومترية بما فيها البصمات وصور الوجه والملامح الجينية (DNA)؛ ووثائق السفر والهوية؛ وبيانات الاتصال كأرقام الهواتف وعناوين البريد الإلكتروني وعناوين الإقامة المعروفة؛ والمعلومات المالية بما فيها أرقام الحسابات المصرفية والمعاملات المالية وملكية الشركات؛ والإدانات الجنائية والجرائم والجرائم المشتبه بها؛ وأسلوب ارتكاب الجريمة والوسائل التقنية المستخدمة فيها؛ ومعلومات عن الشركاء وأفراد الأسرة والعلاقات المهنية وجهات الاتصال.

«لا يجوز لليوروبول معالجة البيانات الشخصية التشغيلية إلا عندما يكون ذلك ضروريًا ومتناسبًا بشكل صارم لمنع أو مكافحة الجريمة ضمن شروط قانونية محددة — فلا وجود لأي احتفاظ شامل بمعلومات مواطني الاتحاد الأوروبي.»

وفي ظروف استثنائية، تسمح المادة 30(2) من لائحة اليوروبول والمادتان 10 و76 من اللائحة الأوروبية لحماية البيانات بمعالجة البيانات الشخصية الحساسة: الأصل العرقي أو الإثني، والآراء السياسية، والمعتقدات الدينية أو الفلسفية، والانتماء النقابي، والبيانات الجينية، والبيانات البيومترية لأغراض تحديد الهوية بشكل فريد، والمعلومات الصحية، والبيانات المتعلقة بالحياة الجنسية أو التوجه الجنسي. ويقتصر الاطلاع على البيانات الحساسة على عدد محدود من موظفي اليوروبول المخوّلين صراحةً من المدير التنفيذي؛ ولا يمكن استخدامها بوصفها الأساس الوحيد لقرارات تمسّك.

من أين يحصل اليوروبول على بياناتك الشخصية؟

لا يجمع اليوروبول البيانات مباشرة ولا يجري مراقبة مستقلة. فجميع البيانات التشغيلية تنشأ من مصادر خارجية مأذون بها بموجب الفصل الرابع من لائحة اليوروبول. والمصدر الأساسي هو المكاتب المركزية الوطنية الـ 29 التي أنشأتها كل دولة عضو في الاتحاد الأوروبي بموجب المادة 7. وتعمل هذه المكاتب بوصفها نقاط اتصال بين أجهزة إنفاذ القانون الوطنية واليوروبول، إذ تحيل ملفات التحقيق والتقارير الاستخباراتية وأوامر التوقيف والسجلات الجنائية.

وتشمل المصادر الثانوية ضباط الاتصال التابعين لليوروبول المنتدبين من الدول الأعضاء، والدول الثالثة التي تربطها اتفاقيات تعاون (المملكة المتحدة، والولايات المتحدة، وألبانيا، وأستراليا، وكندا، وكولومبيا، والدنمارك، وجورجيا، وأيسلندا، وليختنشتاين، ومولدوفا، وموناكو، والجبل الأسود، ومقدونيا الشمالية، والنرويج، وصربيا، وسويسرا، وأوكرانيا، من بين غيرها)، والمنظمات الدولية مثل الإنتربول، وEurojust، والوكالة الأوروبية لحرس الحدود والسواحل، ومكتب المدعي العام الأوروبي. وقد توفّر الجهات الخاصة — كالبنوك ومزوّدي خدمات الدفع وشركات الطيران — بيانات ردًّا على طلبات محددة تصدرها سلطة دولة عضو بموجب القانون الوطني، ثم تحيلها إلى اليوروبول إذا كان للقضية بُعد عابر للحدود.

وتسمح المادة 25 لليوروبول بمعالجة البيانات المتاحة للعموم: المعلومات المنشورة من المحاكم ووسائل الإعلام والسجلات التجارية ومنصات التواصل الاجتماعي. ولا يجوز ذلك إلا عندما تكون المعالجة ضرورية لتحليل تشغيلي محدد ومتناسبة مع الهدف المنشود. ويجب تسجيل البيانات المستقاة من المصادر المفتوحة، ويخضع الاحتفاظ بها لنفس الحدود الزمنية وقواعد الحذف المطبّقة على البيانات الواردة من المكاتب المركزية الوطنية.

من يمكنه الاطلاع على البيانات التي يحتفظ بها اليوروبول؟

يخضع الاطلاع على البيانات الشخصية التشغيلية لصلاحيات صارمة قائمة على الأدوار. فالمادة 10 من اللائحة الأوروبية لحماية البيانات لا تجيز إلا لموظفي اليوروبول المخوّلين ممن لديهم حاجة تشغيلية مشروعة الاستعلام من قواعد البيانات؛ وتُحفظ سجلات الاطلاع ويدقّقها المشرف الأوروبي لحماية البيانات بانتظام. وقد تطّلع المكاتب المركزية الوطنية للدول الأعضاء على البيانات التي أسهمت بها بنفسها، وعند وجود مسوّغ تشغيلي، على البيانات التي أسهمت بها دول أعضاء أخرى أو دول ثالثة — رهنًا باتفاق مسبق وموافقة الجهة المصدِّرة.

وقد تتلقى سلطات الدول الثالثة والمنظمات الدولية التي تربطها اتفاقيات تعاون بيانات اليوروبول بموجب الفصل السادس من لائحة اليوروبول، شريطة أن يوفّر الاختصاص المتلقّي ضمانات كافية لحماية البيانات وأن يكون النقل ضروريًا لمهام اليوروبول. أما عمليات النقل اللاحق — أي مشاركة البيانات المتلقاة من اليوروبول مع طرف ثالث غير مشمول بالاتفاق الأصلي — فمحظورة دون إذن مسبق صريح.

وليس لك حق استعلام مباشر من قواعد بيانات اليوروبول. والآلية الوحيدة لمعرفة ما يحتفظ به اليوروبول عنك هي تقديم طلب اطلاع رسمي بموجب المادة 80 من اللائحة الأوروبية لحماية البيانات.

ما المخاطر الناشئة عن البيانات التي يحتفظ بها اليوروبول؟

تُحدث البيانات الخاطئة أو القديمة في أنظمة اليوروبول عواقب واقعية. فقد تُشير سلطات مراقبة الحدود في الدول الأعضاء والدول الثالثة التي لديها اطلاع على تنبيهات اليوروبول إليك للفحص الثانوي، أو ترفض دخولك، أو تحتجزك ريثما يجري التحقق. والتصنيف الخاطئ — إدراجك بوصفك مشتبهًا به بدلًا من شاهد، أو الإشارة إليك بوصفك مُدانًا رغم التبرئة — قد يضرّ بالسمعة، ويُفشِل فحوص الخلفية للتوظيف، ويؤدي إلى رفض التأشيرات، ويقيّد الوصول إلى الخدمات المالية.

وتحمل البيانات الحساسة مخاطر أعلى. فإن عالج اليوروبول بشكل خاطئ بيانات تتعلق بالصحة أو التوجه الجنسي أو المعتقد الديني أو الأصل العرقي، وشاركها مع دولة ثالثة تفتقر إلى حماية مكافئة، فقد تواجه التمييز أو الاضطهاد أو المراقبة غير المشروعة في اختصاصك الأصلي. وتحظر المادة 10 من اللائحة الأوروبية لحماية البيانات استخدام البيانات الحساسة بوصفها الأساس الوحيد لقرارات تمسّك، لكن الأخطاء الإدارية وضعف ضوابط الاطلاع قد يفضيان إلى إساءة الاستخدام.

وتضاعف مُدد الاحتفاظ بالبيانات هذه المخاطر. فالمادة 31 من لائحة اليوروبول تجيز الاحتفاظ لمدة تصل إلى 3 سنوات من تاريخ آخر تحديث؛ وللمدير التنفيذي تمديدها بفترات إضافية مدتها 3 سنوات إذا استمرت الضرورة التشغيلية. وعمليًا، قد تبقى البيانات المرتبطة بتحقيقات جارية أو تقييمات تهديد غير محسومة في أنظمة اليوروبول لعقد أو أكثر — بعد وقت طويل من إغلاق القضية الأساسية أو تبرئتك. وخلال هذه المدة، قد يعطّل وجود بياناتك وحده السفر وفرص العمل والمعاملات الدولية.

كيف يمكنك معرفة البيانات التي يحتفظ بها اليوروبول عنك؟

تمنحك المادة 80 من اللائحة الأوروبية لحماية البيانات حق الاطلاع: الحق في الحصول من اليوروبول على تأكيد بشأن ما إذا كانت تُعالَج بيانات شخصية تخصّك، وإن كان الأمر كذلك، الاطلاع على تلك البيانات ومعلومات عن مصدرها، وأغراض المعالجة، وفئات المتلقين، ومدة الاحتفاظ المتوخّاة. وهذا الحق مجاني، ولا يُشترط شكل محدد لطلبك.

ولا يمكنك تقديم طلب اطلاع مباشرةً إلى اليوروبول. فبموجب المادة 80(2)، يجب توجيه جميع الطلبات عبر السلطة الإشرافية الوطنية للدولة العضو التي تقيم فيها أو التي تحمل جنسيتها. وعمليًا، يعني ذلك تقديم طلبك إلى هيئة حماية البيانات في بلدك. وتحيل الهيئة الطلب إلى اليوروبول؛ ثم يكون أمام اليوروبول 3 أشهر من تاريخ التلقي للرد. وإذا كان الطلب معقدًا بشكل خاص أو تلقى اليوروبول عددًا كبيرًا من الطلبات، جاز للوكالة تمديد المهلة بثلاثة أشهر إضافية، لكن عليها إبلاغك بالتمديد وأسبابه خلال مهلة الأشهر الثلاثة الأولى. وهنا الأثر العملي: إن قدّمت طلبك في يناير، فستنتظر حتى أبريل على الأقل — وأطول إذا احتجّ اليوروبول بالتمديد. فخطّط تبعًا لذلك لأي قرارات حساسة زمنيًا (طلبات التأشيرات، فحوص الخلفية للتوظيف).

ويجب تقديم الردود الكتابية بصيغة مفهومة وسهلة الوصول. وعندما يحتفظ اليوروبول ببيانات عنك، تفصح الوكالة عن فئات البيانات، ومصادرها (دولة عضو، دولة ثالثة، منظمة دولية، مصادر عامة)، والأساس القانوني للمعالجة، والأغراض (التحليل التشغيلي، تبادل المعلومات الاستخباراتية، دعم التحقيقات)، ومدة الاحتفاظ المخطط لها. وتُبلَّغ أيضًا بحقوقك في طلب التصحيح بموجب المادة 82 من اللائحة الأوروبية لحماية البيانات، أو المحو بموجب المادة 83، أو تقييد المعالجة بموجب المادة 84، وحقك في تقديم شكوى إلى المشرف الأوروبي لحماية البيانات.

ما القيود التي قد يفرضها اليوروبول على حقك في الاطلاع؟

تسمح المادة 81 من اللائحة الأوروبية لحماية البيانات لليوروبول بتقييد حقك في الاطلاع كليًا أو جزئيًا إذا كان الإفصاح سيمسّ بمنع الجرائم الجنائية أو التحقيق فيها أو كشفها أو ملاحقتها؛ أو بحقوق وحريات أفراد آخرين، بمن فيهم الضحايا والشهود والمبلِّغون؛ أو بأمن الدول الأعضاء أو الدول الثالثة. ويجب أن تكون هذه القيود متناسبة، ومطبَّقة على أساس كل حالة على حدة، ومبلَّغة إليك كتابةً مع بيان الأسس القانونية وإجراءات تقديم شكوى إلى المشرف الأوروبي لحماية البيانات.

وعند رفض الاطلاع أو تقييده، يجب على اليوروبول إبلاغ المشرف الأوروبي لحماية البيانات خلال سبعة أيام. وللمشرف مراجعة القرار، وإذا خلص إلى أن التقييد غير مشروع أو غير متناسب، أن يأمر اليوروبول بمنح الاطلاع الكامل أو الجزئي. وبدلًا من ذلك، يمكنك رفع دعوى أمام محكمة العدل للاتحاد الأوروبي بموجب المادة 263 من معاهدة عمل الاتحاد الأوروبي (TFEU) لإبطال رفض اليوروبول. لكن هنا المأزق: عليك رفع الدعوى خلال شهرين وعشرة أيام من تاريخ إخطارك بالقرار — وإن فاتك ذلك الأجل فقدت الحق في الطعن عليه أمام القضاء.

خطوة بخطوة: كيف تقدّم طلب اطلاع إلى اليوروبول

1. حدّد سلطتك الإشرافية الوطنية. ابحث عن هيئة حماية البيانات في الدولة العضو بالاتحاد الأوروبي التي تقيم فيها أو التي تحمل جنسيتها. وقائمة كاملة منشورة من المجلس الأوروبي لحماية البيانات على edpb.europa.eu.
2. حرّر طلبك كتابةً. اذكر بوضوح أنك تمارس حقك في الاطلاع بموجب المادة 80 من اللائحة (الاتحاد الأوروبي) 2018/1725، واطلب تأكيدًا بشأن ما إذا كان اليوروبول يحتفظ ببيانات شخصية تخصّك. وأدرِج اسمك الكامل وتاريخ ميلادك ومكانه وجنسيتك وعنوانك الحالي وأي عناوين سابقة أو أسماء مستعارة. مزلق يجب تجنّبه: المعلومات التعريفية الغامضة أو الناقصة قد تدفع الهيئة أو اليوروبول إلى رفض الطلب أو تأخير معالجته.
3. أرفق إثبات الهوية. أدرِج نسخة واضحة من جواز سفرك أو بطاقة هويتك الوطنية أو ما يعادلها من إثبات هوية رسمي بصورة صادر عن الحكومة. وتشترط معظم هيئات حماية البيانات أيضًا إثبات الإقامة (فاتورة مرافق، كشف حساب مصرفي). تحقّق من متطلبات هيئتك المحددة قبل التقديم — فبعضها أكثر تشددًا من غيره.
4. قدّم الطلب إلى هيئة حماية البيانات الوطنية لديك. اتّبع إجراء التقديم الذي تحدده هيئتك — فمعظمها يقبل البريد الإلكتروني والبريد العادي والبوابات الإلكترونية الآمنة. واحتفظ بنسخة مؤرّخة من طلبك وبإثبات التقديم. فهذا السجل الورقي يحميك إن احتجت لاحقًا إلى إثبات تقديمك في الوقت المناسب أو إلى الطعن في كيفية تعامل الهيئة معه.
5. انتظر الإحالة إلى اليوروبول. تحيل هيئتك الطلب إلى اليوروبول؛ وتستغرق هذه الخطوة الداخلية عادةً من أسبوعين إلى أربعة أسابيع. ولا تُحتسب ضمن مهلة الأشهر الثلاثة الخاصة باليوروبول، لكنها تمدّد جدولك الزمني الإجمالي.
6. استلم رد اليوروبول. يجب على اليوروبول الرد خلال ثلاثة أشهر من تلقّي الطلب المحال. فإن كانت بياناتك محفوظة، ستوفّر الوكالة ملخصًا كتابيًا للفئات والمصادر والأغراض ومدة الاحتفاظ. وإن قُيّد الاطلاع، فعلى اليوروبول توضيح الأساس القانوني.

الخلاصة: تستغرق العملية بأكملها من التقديم إلى الرد عادةً من أربعة إلى خمسة أشهر. وإذا قُيّد الاطلاع وطعنت في القرار أمام المشرف الأوروبي لحماية البيانات، فقد يمتد الحسم إلى تسعة أشهر أو أكثر.

ما الحقوق الأخرى لحماية البيانات التي تملكها تجاه اليوروبول؟

المادة 82: حق التصحيح. إذا اكتشفت أن اليوروبول يحتفظ ببيانات غير دقيقة أو ناقصة عنك، جاز لك طلب تصحيحها. وعلى اليوروبول تقييم الطلب، وإن كان مبرَّرًا، تعديل البيانات وإخطار جميع المتلقين الذين أُفصح لهم عنها. وإن كانت البيانات مصدرها مكتب مركزي وطني لدولة عضو، فسيوعز اليوروبول إلى المكتب بتصحيح السجل المصدر. والأثر العملي: قد تبقى البيانات غير الدقيقة متداولة لأشهر بينما تنتشر الإخطارات إلى الأجهزة الأخرى.

المادة 83: حق المحو. يجوز لك طلب الحذف إذا لم تعد البيانات ضرورية للغرض الذي جُمعت من أجله؛ أو كانت المعالجة غير مشروعة؛ أو سحبت موافقتك (حيث كانت الموافقة هي الأساس القانوني)؛ أو تجاوز الاحتفاظ المدة القصوى المنصوص عليها في المادة 31 من لائحة اليوروبول. ولا يُلزم اليوروبول بمحو البيانات إذا كان الاحتفاظ ضروريًا للامتثال لالتزام قانوني، أو لأداء مهمة تُنفَّذ للمصلحة العامة، أو لإثبات مطالبات قانونية أو ممارستها أو الدفاع عنها. ومع ذلك، حتى عند رفض المحو، لا يزال بإمكانك طلب التقييد بموجب المادة 84.

المادة 84: حق تقييد المعالجة. إذا طعنت في دقة البيانات، أو إذا كانت المعالجة غير مشروعة لكنك تعارض المحو وتطلب التقييد بدلًا منه، وجب على اليوروبول قصر استخدام البيانات على التخزين فقط (دون أي نشر أو تحليل إضافي) إلى حين حسم النزاع. ويجب وسم البيانات المقيّدة بوضوح في أنظمة اليوروبول لمنع أي نقل لاحق غير مقصود.

وتُمارَس الحقوق الثلاثة جميعها عبر القناة ذاتها التي يُمارَس بها حق الاطلاع: طلب كتابي يُقدَّم إلى هيئة حماية البيانات الوطنية لديك، التي تحيله إلى اليوروبول. وتماثل مهل الرد وأسباب التقييد تلك المطبّقة على طلبات الاطلاع.

كيف يعمل الإشراف على معالجة اليوروبول للبيانات؟

يعمل اليوروبول تحت إشراف مزدوج. فـالمشرف الأوروبي لحماية البيانات، المُنشأ بموجب المادة 52 من اللائحة (الاتحاد الأوروبي) 2018/1725، يراقب امتثال اليوروبول لقانون حماية البيانات، ويجري عمليات تفتيش، ويحقق في الشكاوى، وقد يصدر أوامر ملزمة تُلزم اليوروبول بتصحيح البيانات المحفوظة بشكل غير مشروع أو محوها أو تقييد معالجتها. وتُنشر التقارير السنوية عن أنشطة اليوروبول في معالجة البيانات على edps.europa.eu.

وداخل اليوروبول نفسه، يتولى مسؤول حماية البيانات المعيَّن بموجب المادة 43 من لائحة اليوروبول إسداء المشورة للمدير التنفيذي بشأن الامتثال، ومراقبة عمليات المعالجة الداخلية، والعمل بوصفه نقطة اتصال للمشرف الأوروبي لحماية البيانات وللأفراد الذين يمارسون حقوقهم. ويُرفع تقرير النشاط السنوي لمسؤول حماية البيانات إلى مجلس الإدارة والبرلمان الأوروبي.

ولـمحكمة العدل للاتحاد الأوروبي اختصاص مراجعة مشروعية أفعال اليوروبول وقراراته، بما فيها رفض منح الاطلاع أو التصحيح أو المحو. وقد أرست قضية Europol ضد EDPS (القضية T-354/22، المفصول فيها في 3 يونيو 2024) أن التزام اليوروبول بحذف البيانات عقب حكم نهائي بالبراءة أو انقضاء مدد التقادم القانونية هو التزام فوري وغير تقديري — وهو حكم يعزّز موقف أصحاب البيانات الطاعنين على الاحتفاظ المطوّل.

يُنشر هذا المقال من قِبَل مكتب محاماة مستقل لأغراض إعلامية فقط، ولا يعني وجود أي ارتباط بأي جهة حكومية أو منظمة دولية أو هيئة رسمية.

الأسئلة الشائعة

يعالج اليوروبول ملايين سجلات البيانات الشخصية سنويًا في إطار التحقيقات الجنائية عبر الاتحاد الأوروبي. وتتولى جهتان مستقلتان مساءلته: المشرف الأوروبي لحماية البيانات (EDPS) الذي يراقب الالتزام اليومي بموجب المادة 43 من اللائحة (الاتحاد الأوروبي) 2016/794، بينما توفّر محكمة العدل للاتحاد الأوروبي (CJEU) المراجعة القضائية عند نشوء النزاعات. فإذا انتهت بياناتك في إحدى قواعد بيانات اليوروبول — كأن يتعرّض رجل أعمال أو مستثمر خليجي لتجميد حساب أو لتأشير خاطئ بسبب معاملة مع طرف أوروبي — يمكنك تقديم شكوى إلى المشرف الأوروبي لحماية البيانات أو الطعن في القرارات أمام القضاء؛ وهي ضمانة مزدوجة تربط التعاون الأمني باحترام الحقوق الأساسية.

المشرف الأوروبي لحماية البيانات (EDPS) – سلطة مستقلة تابعة للاتحاد الأوروبي أُنشئت بموجب اللائحة (الاتحاد الأوروبي) 2018/1725، ومهمتها الإشراف على كيفية معالجة مؤسسات الاتحاد الأوروبي وهيئاته — ومنها اليوروبول — للبيانات الشخصية، وضمان الالتزام بقواعد حماية البيانات.

محكمة العدل للاتحاد الأوروبي (CJEU) – المؤسسة القضائية للاتحاد الأوروبي، وتتألف من محكمة العدل والمحكمة العامة، وهي مخوّلة بتفسير قانون الاتحاد الأوروبي ومراجعة مشروعية أعمال هيئات الاتحاد، بما في ذلك القرارات الرقابية الصادرة عن المشرف الأوروبي لحماية البيانات وعمليات معالجة البيانات التي يقوم بها اليوروبول.

أبرز النقاط

• تمنح المادة 43 من اللائحة (الاتحاد الأوروبي) 2016/794 المشرف الأوروبي لحماية البيانات سلطة رقابية حصرية على اليوروبول — مع صلاحية تفتيش المقار، والأمر بحذف البيانات، وفرض الغرامات. قبل عام 2022 كان بوسعه أن يوصي فقط؛ أما الآن فيمكنه أن يُلزم.
• يمكنك تقديم شكوى إلى المشرف الأوروبي لحماية البيانات خلال مدة معقولة من اكتشاف المعالجة غير المشروعة. ويتعيّن على المشرف التحقيق والرد خلال ثلاثة أشهر (ستة أشهر إذا كانت الحالة معقّدة)، وإن كانت المدد تتمدّد بحسب صعوبة القضية.
• تعمل المراجعة القضائية بطريقتين: يمكنك الطعن في رفض المشرف الأوروبي لحماية البيانات أمام المحكمة العامة خلال شهرين من الإخطار، أو يمكن للمشرف نفسه أن يحيل عمليات اليوروبول إلى محكمة العدل إذا لاحت مسألة تتعلق بالمشروعية.
• منحت تعديلات عام 2022 المشرف الأوروبي لحماية البيانات أنيابًا حقيقية — القدرة على تعليق تدفقات البيانات إلى دول أخرى وفرض غرامات تتناسب مع جسامة المخالفة ونطاقها. ولم يعد بمقدور اليوروبول أن يتجاهل ببساطة أوامر التصحيح.
• الشفافية إلزامية. ينشر المشرف الأوروبي لحماية البيانات تقارير سنوية تفصّل ما توصّل إليه، وما أمر به، وكيف استجاب اليوروبول. وتبقى هذه التقارير على موقع المشرف الأوروبي لحماية البيانات متاحة للعموم — فلا حصانة من الشمس.

لماذا يحتاج اليوروبول إلى رقابة مستقلة؟

ينسّق اليوروبول التحقيقات الجنائية العابرة للحدود في الإرهاب والجريمة المنظّمة والجرائم الإلكترونية. ويحتفظ بقواعد بيانات تضم محدِّدات بيومترية وسجلات سفر ومعاملات مالية وبيانات وصفية للاتصالات واردة من 27 دولة عضوًا في الاتحاد الأوروبي وعشرات الشركاء من دول ثالثة — ومن بينهم دول ومؤسسات في منطقة الخليج والشرق الأوسط. وهذا النطاق مهمّ. فمن دون ضوابط خارجية، يصبح «زحف الوظيفة» — حيث تتسرّب بيانات جُمعت لغرض معيّن إلى تحقيقات لا صلة لها بها — أمرًا شبه حتمي.

وقد نبّه البرلمان الأوروبي إلى هذه المخاطر في قراره الصادر عام 2021 بشأن الولاية الموسّعة لليوروبول. فمعالجة البيانات على نطاق واسع من دون رقابة قضائية أو برلمانية — كما دفع البرلمان — تقوّض ميثاق الحقوق الأساسية، ولا سيما المادة 8 (حماية البيانات) والمادة 47 (الحق في وسيلة انتصاف فعّالة). وحساسية إنفاذ القانون لا تُعفي اليوروبول من هذه المعايير؛ بل تجعلها أكثر إلحاحًا.

ويعمل المشرف الأوروبي لحماية البيانات باستقلالية — إذ تأتي ميزانيته مباشرة من الميزانية العامة للاتحاد الأوروبي، ولا يجوز لموظفيه تلقّي تعليمات من أي حكومة أو مؤسسة تابعة للاتحاد. وتعكس هذه الاستقلالية الهيكلية سلطات حماية البيانات الوطنية بموجب اللائحة العامة لحماية البيانات (GDPR). ويخضع اليوروبول لمستوى التدقيق نفسه الذي يخضع له أي مراقب بيانات في القطاع الخاص، رغم مهمته الأمنية.

ثم تضيف محكمة العدل للاتحاد الأوروبي أنيابها. فالإشراف الإداري الذي يمارسه المشرف الأوروبي لحماية البيانات يرصد الانتهاكات اليومية، لكن المحكمة وحدها قادرة على الحسم النهائي في ما إذا كان قانون أو نشاط معالجة معيّن ينتهك المعاهدات أو الميثاق. ففي قضية Schrems II، ألغت محكمة العدل «درع الخصوصية» بين الاتحاد الأوروبي والولايات المتحدة، مثبتةً أنه حتى الاتفاقات الأمنية الدولية يجب أن تجتاز اختبارات الحقوق الأساسية. وداخل الاتحاد الأوروبي، يجب أن يجتاز الأساس القانوني لليوروبول العقبة نفسها، ويجب أن يتاح للأفراد الوصول إلى قاضٍ.

ما الصلاحيات التي يملكها المشرف الأوروبي لحماية البيانات على اليوروبول؟

تمنح المادة 43 من اللائحة (الاتحاد الأوروبي) 2016/794 المشرف الأوروبي لحماية البيانات ولاية رقابية واسعة النطاق. فبإمكان المشرف أن:

• يطّلع على جميع البيانات الشخصية التي يعالجها اليوروبول — قواعد البيانات التشغيلية (نظام معلومات اليوروبول، وملفات العمل التحليلية) والسجلات الإدارية (ملفات الموظفين، وعقود المتعاقدين) — إضافةً إلى أي معلومات أخرى لازمة للتحقيق.
• يدخل مقار اليوروبول، بما في ذلك مراكز البيانات الآمنة والأقسام التشغيلية، إذا وُجدت أسباب معقولة للاعتقاد بأن معالجةً جاريةً هناك.
• يأمر بتصحيح البيانات أو محوها أو إتلافها إذا عُولجت بصورة غير مشروعة، أو يحظر عمليات معالجة معيّنة كليًا إذا خالفت اللائحة.
• يعلّق تدفقات البيانات إلى دول أخرى أو منظمات دولية إذا كان النقل يخالف الفصل الخامس من لائحة اليوروبول أو إذا أساء المتلقّي استخدام البيانات. وهذا السلاح قادر على تجميد العمليات خلال أيام.
• يفرض غرامات إدارية تتدرّج بحسب جسامة المخالفة ومدتها وعدد الأشخاص المتضررين. وتُحتسب وفق المادة 58 من اللائحة (الاتحاد الأوروبي) 2018/1725.

وتماثل هذه الصلاحيات تلك الممنوحة للسلطات الرقابية الوطنية بموجب اللائحة العامة لحماية البيانات (GDPR). فقبل تعديلات عام 2022، كان بوسع المشرف الأوروبي لحماية البيانات أن يوصي لا أن يُنفّذ؛ وكان اليوروبول أحيانًا يماطل في أوامر التصحيح أو يعترض عليها. أما الإطار المحدَّث فيسدّ هذه الثغرة. إذ يمكن للمشرف الآن أن يُلزم بالامتثال الفوري ويفرض غرامات إذا أخلّ اليوروبول بالمواعيد.

ويجري المشرف الأوروبي لحماية البيانات تحقيقات تفاعلية (شكاوى من الأفراد) وعمليات تفتيش استباقية من دون انتظار الشكاوى. وتُلزم المادة 43(5) من لائحة اليوروبول المشرف بإصدار تقرير سنوي عن أنشطته الرقابية، يُحال إلى البرلمان والمجلس والمفوضية ومجلس إدارة اليوروبول. وتصبح هذه التقارير علنية على موقع المشرف الأوروبي لحماية البيانات — وهي طبقة شفافية غائبة عن الرقابة التقليدية على إنفاذ القانون ويصعب على اليوروبول تحريفها أو دفنها.

كيف يمكن للأفراد تقديم شكوى إلى المشرف الأوروبي لحماية البيانات؟

يمكنك تقديم شكوى إلى المشرف الأوروبي لحماية البيانات بموجب المادة 63 من اللائحة (الاتحاد الأوروبي) 2018/1725 إذا كنت تعتقد أن اليوروبول عالج بياناتك الشخصية بصورة غير مشروعة. وتتكشّف العملية على مراحل:

1. التقديم. قدّم شكوى خطّية (عبر البريد الإلكتروني أو نموذج إلكتروني أو البريد) تفصّل الانتهاك المزعوم، والبيانات المعنية، وأي تواصل سابق مع اليوروبول. لا يلزم نموذج خاص — يكفي الوضوح بشأن ما جرت معالجته ولماذا تعتقد أنه غير قانوني.
2. فحص المقبولية. خلال 30 يومًا، يحدد المشرف الأوروبي لحماية البيانات ما إذا كانت الشكوى تتعلق بمعالجة اليوروبول للبيانات وما إذا كانت لديك صفة (أنك متأثّر مباشرة). تجتاز معظم الشكاوى هذه العتبة، لكن الشكاوى المبهمة أو المقدَّمة نيابة عن الغير قد لا تجتازها.
3. التحقيق. إذا كانت الشكوى مقبولة، يفتح المشرف الأوروبي لحماية البيانات ملف قضية، ويطلب مستندات من اليوروبول، وقد يفتّش المرافق. ويجب على اليوروبول الرد خلال 15 إلى 30 يومًا — وعدم القيام بذلك يصبح بذاته دليلًا على عدم التعاون قد تُرجّحه محكمة العدل للاتحاد الأوروبي لاحقًا.
4. القرار. يُصدر المشرف الأوروبي لحماية البيانات قرارًا مُلزمًا: إما بالأمر باتخاذ إجراء تصحيحي (حذف البيانات، أو إتاحة الاطّلاع، أو تعليق النقل) أو برفض الشكوى. ويبيّن القرار الأسس القانونية والوقائع الثابتة وما يمكنك فعله بعد ذلك.

ليست المدد جامدة — فالتعقيد وحجم البيانات ومدى استجابة اليوروبول كلها تُطيل المهل. ومع ذلك، تضع المادة 58(5) من اللائحة (الاتحاد الأوروبي) 2018/1725 حدًّا أدنى: يجب على المشرف الأوروبي لحماية البيانات إبلاغك بالتقدّم خلال ثلاثة أشهر وبلوغ نتيجة نهائية خلال ستة أشهر ما لم تتطلّب القضية فعلًا مدةً أطول.

والسرّية مُدمجة في العملية. فلن يكشف المشرف الأوروبي لحماية البيانات عن هويتك من دون موافقتك، وبإمكانه إخفاء هوية مراسلاتك مع اليوروبول إذا كان الكشف عنها يعرّضك للخطر. وهذا مهمّ في القضايا المتعلقة بشبكات الجريمة المنظّمة، حيث قد يستدعي التحدّي لإنفاذ القانون انتقامًا.

ما الدور الذي تؤديه محكمة العدل للاتحاد الأوروبي في مراجعة عمليات اليوروبول؟

تراجع محكمة العدل للاتحاد الأوروبي مشروعية اليوروبول عبر مسارين: دعاوى الإلغاء بموجب المادة 263 من TFEU (معاهدة عمل الاتحاد الأوروبي) والإحالات التمهيدية بموجب المادة 267 من TFEU.

دعاوى الإلغاء (الدعاوى المباشرة)

يمكنك أنت، أو الدول الأعضاء، أو مؤسسات الاتحاد الأوروبي، أو المشرف الأوروبي لحماية البيانات، رفع دعوى أمام المحكمة العامة (محكمة الموضوع ضمن محكمة العدل للاتحاد الأوروبي) للطعن في مشروعية عمل من أعمال اليوروبول أو قرار من قرارات المشرف الأوروبي لحماية البيانات. وتتيح المادة 263 من TFEU للأفراد الطعن في عمل صادر عن الاتحاد الأوروبي يعنيهم مباشرةً وبصفة فردية، أو في عمل تنظيمي يعنيهم مباشرةً من دون حاجة إلى تدابير تنفيذية إضافية.

وتوضّح القضية T-578/22 عتبة الصفة. فقد سعى المشرف الأوروبي لحماية البيانات إلى إلغاء حكمين في لائحة اليوروبول المعدَّلة وسّعا صلاحيات اليوروبول في معالجة البيانات. لكن المحكمة العامة قضت بعدم قبول الدعوى، معتبرةً أن المشرف الأوروبي لحماية البيانات ليس «معنيًّا مباشرةً» لأن الحكمين المطعون فيهما وسّعا اختصاصات اليوروبول فحسب — وهي اختصاصات سيشرف عليها المشرف على أي حال. والدرس المستفاد: لا يمكن للمشرف الأوروبي لحماية البيانات أن يمنع التوسعات التشريعية لولاية اليوروبول لمجرد أنها تزيد عبء العمل الرقابي؛ فالصفة تتطلّب تغييرًا في المركز القانوني للمشرف نفسه. وهذا السقف على السلطة القضائية للمشرف يعزّز — بصورة تبدو متناقضة — صفة الأفراد في الطعن بدلًا منه.

وعندما تطعن في قرار للمشرف الأوروبي لحماية البيانات يرفض شكواك، تكون العوائق أقل. فالقرار الموجَّه إليك عملٌ ذو «اهتمام مباشر وفردي»، ولديك شهران من الإخطار لرفع الدعوى (أو من النشر في الجريدة الرسمية إذا لم يكن موجَّهًا إليك بصفة فردية). وتفحص المحكمة العامة ما إذا كان المشرف قد ارتكب خطأً في القانون، أو خطأً بيّنًا في تقدير الوقائع، أو خطأً إجرائيًا. وإذا ألغت المحكمة القرار، فإنه يُعاد إلى المشرف الأوروبي لحماية البيانات لإجراء تحقيق جديد متوافق مع التسبيب القانوني للمحكمة — لا مجرد ختم مطاطي، بل إعادة انطلاق حقيقية بأسس قانونية مُصحَّحة.