نقل بيانات اليوروبول إلى دولة ثالثة

عندما يتشارك اليوروبول بياناتك الشخصية مع جهة إنفاذ قانون في الولايات المتحدة أو الإمارات العربية المتحدة أو أي دولة أخرى خارج الاتحاد الأوروبي، فإنه ملزم بالامتثال لضمانات قانونية صارمة بموجب اللائحة (الاتحاد الأوروبي) 2016/794. ويمكن الاعتراض على أي نقل يخالف هذه القواعد أمام المشرف الأوروبي لحماية البيانات (EDPS)، وعند الاقتضاء أمام محكمة العدل للاتحاد الأوروبي (CJEU). ويتخصص فريقنا القانوني المستقل، العامل من ليماسول ولندن، في الطعون المتعلقة بحماية البيانات ضد اليوروبول عبر ثماني وعشرين ولاية قضائية، لمساعدة الأفراد على إنفاذ حقوقهم عندما تعبر بياناتهم حدود الاتحاد الأوروبي دون حماية كافية.

النقل إلى دولة ثالثة – هو إرسال اليوروبول لبيانات شخصية إلى دولة أو منظمة دولية خارج المنطقة الاقتصادية الأوروبية، ولا يُسمح به إلا عندما تكون المفوضية الأوروبية قد اعتمدت قرار كفاية بموجب المادة 36 من التوجيه (الاتحاد الأوروبي) 2016/680، أو عندما توفر اتفاقية دولية مبرمة بموجب المادة 218 من معاهدة عمل الاتحاد الأوروبي (TFEU) ضمانات كافية، أو عند وجود اتفاقية تعاون سابقة لعام 2017 بموجب المادة 23 من القرار 2009/371/JHA (لائحة اليوروبول 2016/794، المادة 25).

النقاط الرئيسية

• تحدد المادة 25 من اللائحة (الاتحاد الأوروبي) 2016/794 ثلاثة مسارات حصرية لنقل اليوروبول بياناتك إلى دول ثالثة: قرار كفاية من المفوضية، أو معاهدة دولية، أو اتفاقية تعاون موروثة.
• لا يجوز للمدير التنفيذي أن يأذن بعمليات نقل استثنائية على أساس كل حالة على حدة إلا إذا كان ذلك ضرورياً بشكل صارم، ومتعلقاً بحالة فردية، وحيث توجد ضمانات مناسبة ولا تَرجح أي حقوق أساسية على المصلحة العامة (المادة 25(2)).
• وسّعت تعديلات عام 2022 (اللائحة (الاتحاد الأوروبي) 2022/991) صلاحية اليوروبول في مشاركة البيانات مع أطراف خاصة في دول ثالثة على أساس كل حالة على حدة، رهناً باختبار الضرورة الصارمة ذاته.
• يجوز لأصحاب البيانات طلب الاطلاع على بياناتهم لدى اليوروبول عبر سلطتهم الوطنية أو مباشرة، مع إلزام السلطات الوطنية بإحالة الطلبات إلى اليوروبول خلال شهر واحد (مسودة إرشادات المجلس الأوروبي لحماية البيانات، يوليو 2023).
• تُرفع الطعون على عمليات النقل غير المشروعة أمام المشرف الأوروبي لحماية البيانات في المقام الأول، مع مراجعة قضائية لاحقة أمام محكمة العدل للاتحاد الأوروبي.

الإطار القانوني: ثلاثة مسارات واستثناء واحد

لا يجوز لليوروبول نقل بياناتك إلى دولة خارج الاتحاد الأوروبي إلا في ظل أحد ثلاثة شروط. أولاً، يجب أن تكون المفوضية الأوروبية قد أصدرت قرار كفاية بموجب المادة 36 من التوجيه (الاتحاد الأوروبي) 2016/680، تقرر فيه أن الدولة المتلقية تضمن مستوى كافياً من حماية البيانات. ثانياً، قد تُنشئ اتفاقية دولية مبرمة بموجب المادة 218 من معاهدة عمل الاتحاد الأوروبي ضمانات كافية، تشكل الأساس القانوني للنقل. ثالثاً، قد تظل اتفاقية تعاون أُبرمت قبل مايو 2017 بموجب المادة 23 من القرار 2009/371/JHA سارية، شريطة أن تتضمن ضمانات خصوصية مناسبة.

وحيث لا يوجد أي من هذه المسارات الثلاثة، لا يزال بإمكان المدير التنفيذي أن يأذن بالنقل على أساس استثنائي، حالة بحالة. وتشترط المادة 25(2) من اللائحة (الاتحاد الأوروبي) 2016/794 أربعة شروط تراكمية: أن يكون النقل ضرورياً بشكل صارم، وأن يتعلق بحالة فردية ومحددة، وأن يوفر ضمانات مناسبة، وألا توجد حقوق أساسية غالبة ترجح على المصلحة العامة. وهذا المسار الرابع ضيق. إذ يجب على اليوروبول أن يوثق سبب تعذر استخدام المسارات المعتادة وأن يثبت التناسب قبل كل عملية نقل.

أدخلت تعديلات عام 2022 بُعداً إضافياً: إذ تتيح اللائحة (الاتحاد الأوروبي) 2022/991 لليوروبول نقل بيانات شخصية إلى كيانات خاصة في دول ثالثة — البنوك وشركات الطيران وشركات التكنولوجيا — حيث يساعد الطرف المتلقي في حالة محددة ويمنح المدير التنفيذي إذناً مسبقاً. وينطبق اختبار الضرورة الصارمة ذاته، ويجب على الطرف الخاص أن يلتزم بضمانات كافية عبر اتفاقية مكتوبة.

اليوروبول مقابل السلطات الوطنية: من ينقل ماذا

يحتفظ اليوروبول بفئتين من البيانات: معلومات تشغيلية تُعالج في أنظمته الخاصة، وبيانات تساهم بها الدول الأعضاء في الاتحاد الأوروبي عبر وحداتها الوطنية. وعندما تنشأ بياناتك من قاعدة بيانات وطنية لإنفاذ القانون وتُشارَك عبر تطبيق شبكة تبادل المعلومات الآمن (SIENA) التابع لليوروبول، فإن المسؤولية القانونية عن النقل الأولي تقع على عاتق الدولة العضو المساهِمة، لا على اليوروبول. أما بمجرد أن يحتفظ اليوروبول بالبيانات في بيئته التشغيلية، فإن أي نقل لاحق إلى دولة ثالثة يُفعّل التزامات اليوروبول الخاصة بموجب المادة 25.

وهذا التمييز مهم بالنسبة للطعون. فإذا رفعت السلطات الإيطالية بياناتك الحيوية إلى نظام اليوروبول ثم شاركها اليوروبول لاحقاً مع دائرة الهجرة والجمارك الأمريكية (ICE) دون قرار كفاية، فقد تطعن في كل من المساهمة الأولية (بموجب قانون حماية البيانات الإيطالي والتوجيه (الاتحاد الأوروبي) 2016/680) والنقل اللاحق (بموجب اللائحة (الاتحاد الأوروبي) 2016/794 أمام المشرف الأوروبي لحماية البيانات). ويسير الإجراءان بالتوازي لكنهما يتناولان أفعالاً قانونية مختلفة.

وتوضح المقارنة التالية تقسيم المسؤولية:

المرحلة	المتحكم في البيانات	الأساس القانوني	السلطة الإشرافية
الرفع من قبل سلطة وطنية	جهة وطنية لإنفاذ القانون	التوجيه (الاتحاد الأوروبي) 2016/680، والنقل إلى القانون الوطني	سلطة وطنية لحماية البيانات
التخزين في أنظمة اليوروبول	اليوروبول	اللائحة (الاتحاد الأوروبي) 2016/794	المشرف الأوروبي لحماية البيانات
النقل اللاحق إلى دولة ثالثة	اليوروبول (إذا بادر اليوروبول)؛ السلطة الوطنية (إذا تصرفت باستقلال)	المادة 25، اللائحة (الاتحاد الأوروبي) 2016/794؛ أو المادة 38، التوجيه (الاتحاد الأوروبي) 2016/680	المشرف الأوروبي لحماية البيانات (عمليات نقل اليوروبول)؛ سلطة حماية البيانات الوطنية (عمليات النقل الوطنية)

الخلاصة: إذا مرّر اليوروبول بياناتك إلى جهة خارج الاتحاد الأوروبي، فإن اليوروبول يتحمل مسؤولية الامتثال للمادة 25. وإذا نقلت قوة شرطة وطنية البيانات ذاتها مباشرة، فإن قانون حماية البيانات الوطني هو الذي يحكم، وتطعن في السلطة الوطنية أولاً. حدد دائماً الكيان الذي بادر بالنقل قبل تقديم الشكوى.

عمليات النقل إلى أطراف خاصة بعد تعديلات عام 2022: مجال جديد

أنشأت تغييرات عام 2022 على لائحة اليوروبول شيئاً لم يكن موجوداً من قبل: مشاركة بياناتك مع شركات خاصة في دول ثالثة. شركات الطيران، والبنوك، وشركات التكنولوجيا، ومشغلو الخدمات اللوجستية. فإذا ساعدوا اليوروبول في حالة محددة ووافق المدير التنفيذي، يحدث النقل.

لماذا؟ يحتاج محققو اليوروبول إلى قوائم الركاب من شركات الطيران خارج الاتحاد الأوروبي، والتحويلات المصرفية من مؤسسات خارجية، والبيانات الوصفية من منصات التكنولوجيا الأمريكية. غير أن الضمانات ضعيفة. فيجب على الشركة أن توقع عقداً تتعهد فيه بتقييد الاستخدام، والتزام السرية، وإتلاف البيانات عند الانتهاء. لا عمليات تدقيق مستقلة. لا إلزام بإبلاغك بأن بياناتك قد انتقلت. لا عقوبة إن خرقت القواعد.

وهنا تكمن الثغرة: عندما يرسل اليوروبول بيانات إلى جهة شرطة أجنبية، يكون لتلك الجهة قانون حماية بيانات خاص بها وغالباً جهة رقابية مستقلة. أما إذا أرسلت البيانات ذاتها إلى شركة خاصة، فالرقيب الوحيد هو العقد. لا يستطيع اليوروبول إنفاذه عبر الحدود، ولا مقاضاة شركة أمريكية على الإخلال، ولا فعل الكثير إذا سلمت الشركة ملفك إلى طرف آخر. وتبقى معلقاً الآمال على أن يكون المدير التنفيذي يراقب — والمدير التنفيذي لديه موظفون محدودون ولا سلطة له على الجهات الخاصة الأجنبية.

مسار الشكوى ذاته كما في السابق: قدّم شكوى إلى المشرف الأوروبي لحماية البيانات، واحتجّ بأن النقل لم يكن ضرورياً، أو أن الضمانات جوفاء، أو أن دولة الشركة تتيح للجهات الحكومية الاستيلاء على البيانات دون أمر قضائي. ولم يصدر المشرف الأوروبي لحماية البيانات بعد قواعد تفصيلية بشأن عمليات النقل إلى الأطراف الخاصة، لذا ستشكل القضايا المبكرة ما سيأتي لاحقاً.

ماذا يحدث إذا فاتك الموعد النهائي: المهل الزمنية لطلبات الاطلاع والشكاوى

طلبات الاطلاع لا موعد نهائي لها. اطلب من اليوروبول بياناتك غداً أو بعد خمس سنوات — لا يوجد تقادم. لكن الانتظار طويلاً يفقدك حقك على أي حال. يحتفظ اليوروبول بالبيانات التشغيلية لمدة تتراوح بين ستة أشهر (لدعم تحقيق دولة عضو أخرى) وحتى عشر سنوات (الجرائم الخطيرة أو الإرهاب). وبعد ذلك، يحدث الحذف أو إخفاء الهوية تلقائياً. فقد لا يترك نقل جرى قبل سنوات أي أثر.

الشكاوى المقدمة إلى المشرف الأوروبي لحماية البيانات تخضع لساعة مختلفة. لا يوجد موعد نهائي ثابت، لكن التأخير يضر بقضيتك. فإذا قدمت في مارس 2026 بشأن نقل علمت به في يناير 2024، فسيتساءل المشرف الأوروبي لحماية البيانات عن سبب انتظارك. وإذا كان اليوروبول قد محا السجلات فعلاً، فلن يكون لديك ما تطعن فيه.

المهل القضائية صارمة ونهائية. يجب رفع دعوى إلغاء قرار المشرف الأوروبي لحماية البيانات خلال شهرين من تلقيك الإخطار — قابلة للتمديد بعشرة أيام للمسافة فقط. ويمكن رفع دعوى الامتناع عن التصرف بعد شهرين من مطالبتك المشرف الأوروبي لحماية البيانات بالتصرف وعدم استجابته خلال شهرين من طلبك. وإذا فاتتك هذه النوافذ، فقدت كل حق في المراجعة القضائية. لا استثناءات. لا فرص ثانية.

لماذا تختارنا: متخصصون مستقلون في حماية البيانات بالاتحاد الأوروبي

نعمل باستقلال، لا لصالح اليوروبول، ولا لأي جهة إنفاذ قانون، ولا لأي حكومة. عملاؤنا أفراد في أنحاء الاتحاد الأوروبي وخارجه يواجهون خروقات لحماية البيانات، وطعوناً على المراقبة، وقضايا تسليم مرتبطة بمشاركة اليوروبول للبيانات. مقرنا في ليماسول ولندن، ولدينا مستشارون في حماية البيانات عبر ثماني وعشرين ولاية قضائية، بحيث يصل طلب الاطلاع الخاص بك إلى الجهة الصحيحة وتستوفي شكواك كل متطلب إجرائي.

نحن لا نستخدم خطابات نموذجية. فكل طلب اطلاع يستهدف فئات البيانات المحددة التي يُرجح أن يحتفظ بها اليوروبول. وكل شكوى إلى المشرف الأوروبي لحماية البيانات تستند إلى الأساس القانوني المنطبق. وكل طلب قضائي يستند إلى أحدث اجتهاد قضائي لمحكمة العدل للاتحاد الأوروبي. وعندما يحتج اليوروبول باتفاقية دولية، نحصل على نص المعاهدة، ونحدد الثغرات في الضمانات، ونعد رأياً قانونياً مفصلاً يثبت عدم الامتثال. المادة 25(2)؟ نحلل تقييم الضرورة، ونطلب الإذن المكتوب للمدير التنفيذي، ونطعن في أي إخفاق في النظر في التدابير البديلة.

سجل إنجازاتنا يتحدث عن نفسه: شكاوى أمام المشرف الأوروبي لحماية البيانات أفضت إلى أوامر بالحذف. أحكام من المحكمة العامة تلغي قرارات اليوروبول. تسويات متفاوض عليها وافق فيها اليوروبول على إخطار سلطات الدول الثالثة وطلب إعادة البيانات. نحن لا نضمن النتائج — فالتقاضي في مجال حماية البيانات كثيف الوقائع، ويحتفظ المشرف الأوروبي لحماية البيانات والمحاكم بسلطة تقديرية واسعة — لكننا نقدم تحليلاً شفافاً، وجداول زمنية واقعية، ومرافعة دؤوبة في كل مرحلة.

يُنشر هذا المقال من قِبَل مكتب محاماة مستقل لأغراض إعلامية فقط، ولا يعني وجود أي ارتباط بأي جهة حكومية أو منظمة دولية أو هيئة رسمية.