القوانين، وما تعنيه عمليًا

GDPR

الاتحاد الأوروبي

المرجع العالمي لقوانين الخصوصية: الأسس القانونية، والمبادئ، والحقوق، والمساءلة، والإخطار بالخرق خلال 72 ساعة، وقواعد النقل، وغرامات تصل إلى 4 في المائة من حجم الأعمال العالمي.

UK GDPR

المملكة المتحدة

نسخة المملكة المتحدة من GDPR بعد خروجها من الاتحاد الأوروبي، والتي باتت تختلف عنه في بعض المواضع بموجب Data (Use and Access) Act 2025.

FTC Act، المادة 5

الاتحادي الأمريكي

الأداة الاتحادية الرئيسية لإنفاذ الخصوصية: الممارسات غير العادلة أو المضللة، بما فيها وعود الخصوصية غير المنفذة والأمن غير المعقول.

CCPA/CPRA

كاليفورنيا

أكثر قوانين الخصوصية في الولايات الأمريكية تفصيلًا، والوحيد الذي له جهة تنظيمية مخصصة للخصوصية. يشمل بيانات الموظفين والبيانات بين الشركات، ويوجب إتاحة إلغاء الاشتراك في البيع والمشاركة، وله لوائحه الخاصة بشأن اتخاذ القرارات المؤتمت.

VCDPA

فيرجينيا

النموذج الذي اتبعته معظم قوانين الولايات اللاحقة: حقوق المستهلكين، وإلغاء الاشتراك في الإعلانات الموجهة والبيع والتنميط، والموافقة المسبقة على البيانات الحساسة، وتقييمات حماية البيانات.

CPA

كولورادو

قانون على نمط فيرجينيا مع قواعد مفصلة من المدعي العام، منها متطلبات احترام إشارات إلغاء الاشتراك الشاملة.

CTDPA

كونيتيكت

قانون على نمط فيرجينيا، عُدّل لتوسيع نطاق التغطية وتشديد القواعد بشأن البيانات الحساسة والقاصرين.

UCPA

يوتا

من أكثر قوانين الولايات مراعاةً للشركات، بحقوق أضيق وحدود أعلى.

TDPSA

تكساس

لا حد للإيرادات أو لحجم البيانات: يشمل كل شركة تقريبًا ليست منشأة صغيرة، ما يجعله عمليًا من أوسع قوانين الولايات نطاقًا.

OCPA

أوريغون

قانون على نمط فيرجينيا يمنح المستهلكين أيضًا الحق في معرفة الأطراف الثالثة المحددة التي أُفصح لها عن بياناتهم.

MCDPA

مونتانا

قانون على نمط فيرجينيا بحدود منخفضة نسبيًا، تعكس عدد سكان الولاية.

FDBR

فلوريدا

ضيق في نطاق من يشملهم، لكنه صارم مع كبرى شركات التقنية التي يستهدفها.

ICDPA

آيوا

قانون أضيق على نمط فيرجينيا بحقوق أقل للمستهلكين.

DPDPA

ديلاوير

قانون على نمط فيرجينيا بحدود منخفضة ويشمل كثيرًا من المنظمات غير الربحية.

NHDPA

نيوهامبشير

قانون على نمط فيرجينيا بحدود تتناسب مع ولاية صغيرة.

NJDPA

نيوجيرسي

قانون على نمط فيرجينيا مع تعريفات واسعة للبيانات الحساسة وصلاحية وضع القواعد لإدارة شؤون المستهلكين.

NDPA

نبراسكا

قانون على نمط تكساس دون حد لحجم البيانات، ينطبق على معظم الشركات التي ليست منشآت صغيرة.

TIPA

تينيسي

حدود مرتفعة، ودفاع إيجابي للشركات التي تتبع إطار الخصوصية الصادر عن NIST.

MCDPA

مينيسوتا

يضيف حقوقًا تفتقر إليها الولايات الأخرى، منها الحق في الاعتراض على نتيجة قرار قائم على التنميط والاطلاع على قائمة الأطراف الثالثة التي تلقت البيانات.

MODPA

ماريلاند

أشد قوانين الولايات صرامة في تقليل البيانات: يجب أن يكون الجمع ضروريًا بشكل معقول للخدمة، ويُحظر بيع البيانات الحساسة.

ICDPA

إنديانا

قانون على نمط فيرجينيا، ساري اعتبارًا من 2026.

KCDPA

كنتاكي

قانون على نمط فيرجينيا، ساري اعتبارًا من 2026.

RIDTPPA

رود آيلاند

قانون على نمط فيرجينيا مع التزامات غير معتادة بالإفصاح على المواقع الإلكترونية ودون مهلة للتصحيح.

OCDPA

أوكلاهوما

صدر في 2026 ولم يدخل حيز التنفيذ بعد. على نمط فيرجينيا إلى حد كبير، مع حدوده الخاصة ومهلة للتصحيح.

LDPA

لويزيانا

صدر في 2026 ولم يدخل حيز التنفيذ بعد. على نمط فيرجينيا إلى حد كبير، مع حدوده الخاصة ومهلة للتصحيح.

APDPA

ألاباما

صدر في 2026 ولم يدخل حيز التنفيذ بعد. على نمط فيرجينيا إلى حد كبير، مع حدوده الخاصة ومهلة للتصحيح.

VDPOSA

فيرمونت

صدر في 2026 ولم يدخل حيز التنفيذ بعد. على نمط فيرجينيا إلى حد كبير، مع حدوده الخاصة ومهلة للتصحيح.

LPDP

الأرجنتين

قانون مبكر يحظى بقرار الكفاية من الاتحاد الأوروبي، قائم على الموافقة المكتوبة وتسجيل قواعد البيانات ودعوى «هابياس داتا» القضائية، مع مهل رد قصيرة جدًا. ولا يتضمن التزامًا بالإخطار بالخرق ولا التزامات DPO أو DPIA، وتبقى الغرامات صغيرة.

Privacy Act (AU)

أستراليا

قانون الخصوصية في أستراليا، القائم على مبادئ الخصوصية الأسترالية الثلاثة عشر، ويمر حاليًا بمرحلة إصلاح.

LGPD

البرازيل

قانون البرازيل المستوحى من GDPR، مع عشرة أسس قانونية وهيئة وطنية.

PIPEDA

كندا

القانون الاتحادي الكندي للخصوصية في القطاع الخاص، القائم على عشرة مبادئ للممارسات العادلة في التعامل مع المعلومات.

Law 25

كيبيك، كندا

أكثر قوانين الخصوصية صرامة في كندا، مع تقييمات لأثر الخصوصية على عمليات النقل وغرامات بمستوى GDPR.

Bill C-36

كندا

مشروع القانون الاتحادي الذي سيحل محل الجزء الخاص بالقطاع الخاص من PIPEDA. ويحتفظ بسقوف العقوبات المقترحة في C-27 (حتى 10 ملايين CAD أو 3% من الإيرادات العالمية، وغرامات تصل إلى 25 مليون CAD أو 5%) لكنه يتخلى عن قانون الذكاء الاصطناعي وعن المحكمة. ويظل PIPEDA ساريًا حتى يُقر.

LPVP

تشيلي

حتى ديسمبر 2026 تطبّق تشيلي نظام 1999 الخفيف الذي لا تنفذه سوى المحاكم، مع موافقة مكتوبة ومهلة رد مدتها يومان وغرامات زهيدة. ثم يأتي القانون 21,719 بنظام على غرار GDPR مع هيئة جديدة والتزامات بشأن الخرق وغرامات تصل إلى 20,000 UTM.

PIPL

الصين

قانون الخصوصية الشامل في الصين، مع قواعد صارمة بشأن الموافقة والنقل عبر الحدود.

القانون 1581

كولومبيا

يحتاج كل استخدام للبيانات الشخصية إلى تفويض مسبق وصريح ومستنير يستطيع المتحكم إثباته، ويجب على كل متحكم تسمية شخص أو جهة لحماية البيانات. وتمارس SIC الإنفاذ بنشاط، وتسجّل الشركات الكبرى قواعد بياناتها في RNBD، ويُبلَّغ عن حالات الخرق إلى SIC خلال 15 يوم عمل.

LOPDP

الإكوادور

أقرب نسخة من GDPR في المنطقة، مع المصلحة المشروعة وقابلية النقل وتقييمات الأثر ومسؤولي حماية البيانات، إضافة إلى غرامات مرتبطة بحجم الأعمال تصل إلى 1%. وهو أكثر صرامة في التوقيت: 5 أيام لإخطار الجهة التنظيمية و3 أيام لإخطار الأفراد.

PDPL (مصر)

مصر

قانون حماية البيانات في مصر. يحتاج المتحكمون والمعالجون إلى ترخيص من مركز حماية البيانات الشخصية، ويسجّل مسؤولو حماية البيانات لديه.

DPA (غانا)

غانا

قانون حماية البيانات في غانا. يسجّل المتحكمون لدى لجنة حماية البيانات ويجددون التسجيل كل سنتين.

PDPO

هونغ كونغ

أقدم قانون شامل للخصوصية في آسيا، قائم على ستة مبادئ لحماية البيانات، دون التزام بالإخطار بالخرق ودون قيود سارية على النقل. وأشد أدواته جرائم جنائية للتسويق المباشر دون موافقة ولنشر البيانات الشخصية بقصد الإيذاء.

قانون DPDP

الهند

قانون الخصوصية الشامل في الهند، القائم على الموافقة، مع التزامات على أمناء البيانات المهمين.

قانون PDP

إندونيسيا

بنية شبيهة بـ GDPR لكن بمهل قصيرة جدًا مدتها 72 ساعة لكل من طلبات أصحاب البيانات والإخطار بالخرق. ويجب أن تكون الموافقة مكتوبة أو مسجلة، وتقترن عقوبات جنائية تصل إلى 6 سنوات بغرامات تبلغ 2% من الإيرادات.

PPL

إسرائيل

PPL قانون قائم على الموافقة ومتمحور حول قواعد البيانات، مع قواعد أمنية شديدة التفصيل، منها الإبلاغ الفوري عن الحوادث الجسيمة. وأضاف التعديل 13 تعريفات على غرار GDPR، والتزامات DPO، وغرامات إدارية عن كل صاحب بيانات، وتعويضات قانونية، وقصر تسجيل قواعد البيانات على وسطاء البيانات والجهات العامة.

APPI

اليابان

قانون الخصوصية في اليابان، ويعترف الاتحاد الأوروبي بكفايته.

DPA (كينيا)

كينيا

قانون حماية البيانات في كينيا. يسجّل المتحكمون والمعالجون لدى مفوض البيانات. وتعيين مسؤول لحماية البيانات اختياري بموجب القانون.

PDPA (ماليزيا)

ماليزيا

قانون حماية البيانات في ماليزيا، المعدّل في 2024. ويسري تعيين مسؤول حماية البيانات والإخطار بالخرق إلى المفوض خلال 72 ساعة اعتبارًا من 1 يونيو 2025.

LFPDPPP

المكسيك

الموافقة هي الأساس الافتراضي، وتكفي الموافقة الضمنية عبر إشعار الخصوصية لمعظم البيانات، ويجب على كل متحكم تسمية شخص أو قسم لحماية البيانات. ونقلت إعادة الصياغة في 2025 صلاحية الإنفاذ من INAI المستقل إلى وزارة اتحادية، وألغت التزامات القانون القديم تجاه الجهة التنظيمية مع الإبقاء على عقوبات السجن لجرائم البيانات.

Privacy Act

نيوزيلندا

قانون قائم على المبادئ يتضمن 14 مبدأً لحماية المعلومات، وإلزام كل جهة بتعيين مسؤول للخصوصية، والإخطار بالخرق عند الضرر الجسيم. والغرامات صغيرة؛ وتمر سبل الانتصاف عبر المفوض ومحكمة مراجعة حقوق الإنسان.

NDPA (نيجيريا)

نيجيريا

قانون حماية البيانات في نيجيريا. يسجّل المتحكمون والمعالجون ذوو الأهمية الكبرى لدى NDPC ويعيّنون مسؤولًا لحماية البيانات، يجب عليه مواصلة التطوير المهني سنويًا.

LPDP

بيرو

قرّبت لائحة 2024 بيرو من GDPR: نطاق تطبيق خارج الحدود مع ممثل محلي، وإخطار بالخرق خلال 48 ساعة للجهة التنظيمية والأفراد، وقابلية النقل، والتزام بتعيين DPO على مراحل. وتحتفظ بما يميز بيرو من تسجيل قواعد البيانات والإخطار بكل تدفق عابر للحدود.

DPA (الفلبين)

الفلبين

قانون خصوصية البيانات في الفلبين. تعيّن المؤسسات مسؤولًا لحماية البيانات، وتسجّل المؤسسات التي تستوفي الحدود لدى اللجنة الوطنية للخصوصية.

PDPL (المملكة العربية السعودية)

المملكة العربية السعودية

قانون حماية البيانات في المملكة العربية السعودية، وتنفذه SDAIA. وتحدد القواعد متى يلزم تعيين مسؤول لحماية البيانات، ويجري التسجيل والإخطار بالخرق عبر المنصة الوطنية لحوكمة البيانات.

PDPA (SG)

سنغافورة

قانون خصوصية قائم على الموافقة، مع إخطار إلزامي بالخرق منذ 2021.

POPIA

جنوب أفريقيا

قانون الخصوصية الشامل في جنوب أفريقيا، القائم على ثمانية شروط للمعالجة المشروعة.

PIPA

كوريا الجنوبية

تجمع كوريا بين حقوق على غرار GDPR وقواعد موافقة دقيقة على نحو غير معتاد، بندًا بندًا، مع إلزام كل متحكم بتعيين رئيس للخصوصية. والإنفاذ مشدد: رسوم إضافية مرتبطة بالإيرادات تصل الآن إلى 10%، وتعويضات قانونية، وعقوبات جنائية.

nFADP

سويسرا

القانون المعدّل في سويسرا، المتوافق بشكل وثيق مع GDPR، مع غرامات تستهدف الأفراد المسؤولين.

DIFC DPL

الإمارات العربية المتحدة

قانون حماية البيانات في مركز دبي المالي العالمي، وهو منطقة حرة مالية لها قوانينها ومحاكمها الخاصة. ويتبع GDPR عن كثب، وله مفوض خاص لحماية البيانات.

PDPA

تايلاند

مبني بشكل وثيق على GDPR، لكن الموافقة يجب أن تكون عمومًا مكتوبة أو إلكترونية، ويحتاج القاصرون دون 20 عامًا إلى مشاركة ولي الأمر. والمسؤولية المدنية صارمة، ويجوز للمحاكم إضافة تعويضات عقابية تصل إلى ضعف الخسارة الفعلية.

KVKK

تركيا

KVKK مستوحى من GDPR لكنه يحتفظ بسجل عام للمتحكمين (VERBIS) مع جرد مودَع للبيانات، ويوجب إخطار الأفراد بالخرق في جميع الحالات. ومنذ 2024 يقوم النقل إلى الخارج على الكفاية، أو الضمانات التي يعتمدها المجلس، أو العقود القياسية التي يصدرها المجلس والتي يجب إيداعها خلال خمسة أيام عمل.

DPPA (أوغندا)

أوغندا

قانون حماية البيانات في أوغندا. يجب على رئيس كل مؤسسة يشملها القانون تعيين مسؤول لحماية البيانات، ويسجّل كل من يجمع البيانات الشخصية أو يعالجها لدى مكتب حماية البيانات الشخصية.

PDPL (UAE)

الإمارات العربية المتحدة

القانون الاتحادي لحماية البيانات في UAE. وهو ساري منذ يناير 2022، لكن لائحته التنفيذية لم تصدر بعد، ولذلك لا توجد حتى الآن مهلة محددة للإخطار بالخرق ولا جدول للعقوبات.

LPDP

أوروغواي

قانون يحظى بقرار الكفاية من الاتحاد الأوروبي، يجمع بين الموافقة الموثقة والتسجيل الشامل لقواعد البيانات وإضافات على غرار GDPR: إخطار بالخرق خلال 72 ساعة، وتقييمات أثر وتعيين مسؤولي حماية بيانات إلزاميان للمعالجة الواسعة أو الحساسة. الغرامات منخفضة لكن مهل الرد خمسة أيام عمل.

PDPL

فيتنام

أول تشريع في فيتنام بشأن البيانات الشخصية، يحل محل المرسوم 13 بنظام يقدّم الموافقة أولًا، ويجب فيه إيداع تقييمات الأثر وتقييمات النقل لدى وزارة الأمن العام. وتصل الغرامات إلى 5% من الإيرادات لمخالفات النقل و10 أضعاف الإيرادات للاتجار غير المشروع بالبيانات.

CDPA (زيمبابوي)

زيمبابوي

قانون حماية البيانات في زيمبابوي، وتنفذه POTRAZ. يحتاج المتحكمون إلى ترخيص، ويجب تعيين مسؤولي حماية البيانات خلال 90 يومًا وإكمالهم دورة اعتماد معتمدة.