باختصار: مسؤول حماية البيانات يقدم المشورة ويراقب، لكن المسؤولية عن حماية البيانات تبقى على الشركة. وفي ألمانيا يجب على الشركة تعيينه، من بين حالات أخرى، إذا كان يعمل لديها في العادة 20 شخصًا على الأقل بشكل دائم في المعالجة الآلية للبيانات الشخصية.
في كثير من شركات الأمن يُعلَّق اسمه على لوحة الإعلانات أو يُذكر في تعليمات الخدمة (Dienstanweisung)، ولا يكاد أحد يعرف ماذا يفعل فعلًا. ومع ذلك فإن مسؤول حماية البيانات هو أهم جهة تتوجه إليها عندما تكون غير متأكد: هل يجوز لي تسليم هذا التسجيل؟ ماذا أفعل بقائمة الزوار المفقودة؟ وهو يرد في الامتحان بانتظام، غالبًا مع ثلاثة أسئلة: متى يجب أن يوجد، وما مهامه، ومن يتحمل المسؤولية في النهاية.
ما ينص عليه القانون
القواعد الأساسية موجودة في اللائحة العامة لحماية البيانات (DSGVO) في المواد من 37 إلى 39. تنظم Art. 37 متى يجب تعيين مسؤول حماية البيانات، وArt. 38 مكانته في الشركة، وArt. 39 مهامه. ويكمل القانون الاتحادي الألماني لحماية البيانات (BDSG) ذلك بالنسبة للشركات في §38، ويحيل بشأن الحماية من الفصل والكتمان إلى §6 BDSG.
متى يجب تعيين مسؤول حماية البيانات؟
السلطات والجهات العامة الأخرى تحتاج إليه دائمًا. أما بالنسبة للشركات فهناك طريقان يؤديان إلى هذا الواجب.
وفق DSGVO
تشترط Art. 37 Abs. 1 DSGVO وجود مسؤول حماية البيانات إذا كان النشاط الأساسي للشركة يتمثل في معالجات تتطلب مراقبة واسعة ومنتظمة ومنهجية للأشخاص. والأمر نفسه إذا كان النشاط الأساسي هو المعالجة الواسعة لبيانات حساسة بشكل خاص، مثل البيانات الصحية، أو لبيانات عن الجرائم. وفي شركة أمن يتكون جزء كبير من عملها من المراقبة بالفيديو لصالح العملاء أو من تشغيل مركز تحكم، قد ينطبق ذلك بغض النظر عن عدد الموظفين.
وفق BDSG
يضع §38 Abs. 1 BDSG في ألمانيا إضافة إلى ذلك عددًا ثابتًا: يقوم الواجب إذا كان يعمل في العادة 20 شخصًا على الأقل بشكل دائم في المعالجة الآلية للبيانات الشخصية. ويُحسب عدد الأشخاص، لا عدد الوظائف بدوام كامل. ويُعدّ عاملًا بشكل دائم من يعمل بانتظام على الحاسوب ببيانات العملاء أو بيانات الموظفين أو جداول الخدمة. أما من يكتب تقريرًا من حين لآخر فقط، فلا يُحسب في الغالب.
بغض النظر عن أي عدد، تحتاج الشركة إلى مسؤول حماية البيانات إذا كانت تجري معالجات يُشترط لها تقييم الأثر على حماية البيانات (Datenschutz-Folgenabschätzung) وفق Art. 35 DSGVO. وهذا ينطبق مثلًا في كثير من الأحيان على المراقبة بالفيديو الواسعة للأماكن المفتوحة للعموم مثل مراكز التسوق.
بعض مواد التعلم القديمة ما زالت تذكر حدًا قدره 10 أشخاص. هذا الحد لم يعد ساريًا منذ نوفمبر 2019.
داخلي أو خارجي
يمكن أن يكون مسؤول حماية البيانات موظفًا لدى الشركة نفسها، أو مقدّم خدمة خارجيًا بعقد (Art. 37 Abs. 6 DSGVO). ويجب أن تكون لديه معرفة متخصصة بقانون حماية البيانات وبالتطبيق العملي. ويجب على الشركة نشر بيانات الاتصال به وإبلاغها إلى السلطة الرقابية.
ليس كل شخص يجوز له تولي هذا المنصب. فلا يجوز أن تؤدي المهام الأخرى إلى تضارب في المصالح (Art. 38 Abs. 6 DSGVO). ومن يحدد بنفسه أي بيانات تُعالج ولأي غرض، لا يستطيع أن يراقب نفسه. لذلك يُستبعد في العادة المدير الإداري أو رئيس قسم تقنية المعلومات.
مهامه
تذكر Art. 39 DSGVO قبل كل شيء هذه المهام:
- إعلام الإدارة والعاملين بواجباتهم في حماية البيانات وتقديم المشورة لهم
- مراقبة الالتزام بـDSGVO وBDSG والقواعد الداخلية، بما في ذلك الدورات التدريبية
- تقديم المشورة في تقييم الأثر على حماية البيانات
- التعاون مع السلطة الرقابية وأن يكون جهة الاتصال لها
ما ليس هو: المسؤول عن المعالجة. فالشركة، أي الإدارة، هي التي تتحمل تبعة الالتزام بحماية البيانات. ومسؤول حماية البيانات يقدم المشورة ويراقب، ولا يقرر. ولا يستطيع أن يحظر معالجة، ولا أن يوجّه إنذارًا لموظفين. وهذا التمييز خطأ تقليدي في الامتحان.
مكانته
لكي يستطيع قول الأمور غير المريحة، يحميه القانون حماية خاصة:
- غير خاضع للتعليمات: عند أداء مهامه لا يجوز لأحد أن يعطيه تعليمات. وهو يرفع تقاريره مباشرة إلى أعلى مستوى إداري (Art. 38 Abs. 3 DSGVO).
- حظر الإضرار: لا يجوز عزله ولا الإضرار به بسبب عمله.
- الحماية من الفصل (Kündigungsschutz): إذا كان التعيين واجبًا، فلا يجوز عزل مسؤول حماية البيانات الداخلي إلا لسبب جوهري. والفصل العادي (ordentliche Kündigung) من علاقة العمل مستبعد، وذلك أيضًا لمدة سنة بعد انتهاء عمله في هذا المنصب. ويبقى ممكنًا فقط الفصل الفوري دون مهلة لسبب جوهري (§38 Abs. 2 بالاقتران مع §6 Abs. 4 BDSG).
- الكتمان: هو ملزم بالسرية. ومن يتوجه إليه بصفته شخصًا معنيًا، لا يجوز له الكشف عن هويته إلا بموافقته (§6 Abs. 5 BDSG).
حالة من العمل اليومي
تعمل في حماية منشأة لمركز لوجستي. يريد رئيس نوبتك أن تضعوا صور رخص القيادة لكل سائقي الشاحنات في مجموعة دردشة خاصة، حتى تعرف النوبة التالية من دخل الموقع من قبل. ترى أن هذا خطأ. لكنك أيضًا لا تريد مشكلات مع رئيس النوبة.
يحق لك أن تتوجه مباشرة إلى مسؤول حماية البيانات لدى صاحب عملك، دون الالتزام بالتسلسل الإداري. وهو ملزم بالكتمان. يفحص الأمر ويقدم توصية إلى الإدارة، مثلًا حظر مجموعات الدردشة الخاصة واستخدام سجل منظم للسائقين. وتنفيذ ذلك من واجب الإدارة. وحتى ذلك الحين لا تشارك في مجموعة الدردشة. والتعليمات المخالفة لقانون حماية البيانات لست ملزمًا باتباعها.
أخطاء شائعة في الامتحان
- مسؤول حماية البيانات ليس مسؤولًا عن حماية البيانات. المسؤول هو الشركة.
- الحد في BDSG هو 20 شخصًا، وليس 10.
- عدم الخضوع للتعليمات لا يعني صلاحية اتخاذ القرار. هو يقدم المشورة ويراقب، ولا يأمر بشيء.
- يمكن أن يكون أيضًا مقدّم خدمة خارجيًا.
- لا يمكن للمدير الإداري أن يكون مسؤول حماية البيانات لشركته.
- حتى الشركة الصغيرة التي ليس لديها مسؤول حماية البيانات يجب أن تلتزم بكل قواعد DSGVO.
أسئلة تدريبية: مسؤول حماية البيانات
6 أسئلة عن مسؤول حماية البيانات. كما في امتحان غرفة الصناعة والتجارة (IHK) تكون إجابة واحدة أو إجابتان صحيحتين، والعدد مكتوب دائمًا فوق السؤال.
Wann muss ein Unternehmen nach §38 BDSG einen Datenschutzbeauftragten benennen?متى يجب على الشركة تعيين مسؤول حماية البيانات وفق §38 BDSG؟
Wer ist im Unternehmen dafür verantwortlich, dass der Datenschutz eingehalten wird?من المسؤول في الشركة عن الالتزام بحماية البيانات؟
Welche Aussagen zur Stellung des Datenschutzbeauftragten treffen zu?أي العبارات عن مكانة مسؤول حماية البيانات صحيحة؟
Wer scheidet wegen eines Interessenkonflikts in aller Regel als Datenschutzbeauftragter aus?من يُستبعد في العادة من منصب مسؤول حماية البيانات بسبب تضارب المصالح؟
Du bemerkst, dass Kollegen Fotos von Besucherausweisen in eine private Chatgruppe stellen. Du willst nicht, dass dein Name bekannt wird. Was gilt?تلاحظ أن زملاء يضعون صور بطاقات الزوار في مجموعة دردشة خاصة. لا تريد أن يُعرف اسمك. ما الصحيح؟
Ein Unternehmen ist zur Benennung verpflichtet und hat eine eigene Mitarbeiterin als Datenschutzbeauftragte. Was gilt für eine ordentliche Kündigung ihres Arbeitsverhältnisses?شركة ملزمة بالتعيين، وقد عيّنت إحدى موظفاتها مسؤولة لحماية البيانات. ما الحكم بالنسبة للفصل العادي من علاقة عملها؟
مزيد من الأسئلة حول مسؤول حماية البيانات وحول مجال قانون حماية البيانات كله تجدها في التمرين الخاص بهذا المجال، ومجمّعة في صفحة أسئلة الامتحان في قانون حماية البيانات.
نص Art. 37 DSGVO (gesetze-im-internet.de) · آخر تحديث 06.11.2026. هذا الشرح عن مسؤول حماية البيانات لا يغني عن الاستشارة القانونية، والمعتمد هو النص الحالي للقانون.