باختصار: البيانات الشخصية (personenbezogene Daten) هي كل المعلومات التي تتعلق بشخص طبيعي محدد الهوية أو قابل لتحديد هويته. ويكفي أن يكون قابلًا لتحديد هويته: أي أن يكون من الممكن تحديد الشخص بجهد معقول عن طريق معلومات إضافية.
هل تُطبَّق اللائحة العامة لحماية البيانات (DSGVO) أصلًا؟ هذا يتوقف على سؤال واحد: هل الأمر يتعلق ببيانات شخصية؟ إذا كان الجواب نعم، تسري كل القواعد، من الأساس القانوني حتى الحذف. وإذا كان الجواب لا، فلا مجال لتطبيق DSGVO. ولهذا يُسأل عن هذا المصطلح كثيرًا في الامتحان، وغالبًا بأمثلة لا يظهر فيها ارتباط بشخص من النظرة الأولى. من يتقن هذه النقطة يتجنب لاحقًا أخطاء كثيرة.
ما ينص عليه القانون
تعرّف Art. 4 Nr. 1 DSGVO البيانات الشخصية بأنها كل المعلومات التي تتعلق بشخص طبيعي محدد الهوية أو قابل لتحديد هويته. والشخص المعني هو الإنسان الذي تتعلق به البيانات. ويكون قابلًا لتحديد هويته وفق القانون إذا أمكن تحديده بشكل مباشر أو غير مباشر، وخصوصًا عن طريق معرِّف مثل الاسم، أو رقم تعريف، أو بيانات الموقع، أو معرِّف على الإنترنت، أو عن طريق صفات خاصة بهويته الجسدية أو الاقتصادية أو الثقافية أو الاجتماعية.
محدد الهوية وقابل لتحديد الهوية
محدد الهوية (identifiziert)
يكون الشخص محدد الهوية إذا ظهر من المعلومة مباشرة عمّن يدور الحديث. فإدخال مثل «Maria Kessler، شركة Kessler Elektro، الساعة 08:12» في سجل الزوار واضح تمامًا.
قابل لتحديد الهوية (identifizierbar)
الحالة الثانية أكثر شيوعًا بكثير. المعلومة لا تذكر اسمًا، لكن يمكن تحديد الشخص بمعلومات إضافية. أمثلة من العمل:
- لوحة أرقام السيارة: يمكن معرفة الشخص عن طريق مالك المركبة المسجل. وإذا كانت المركبة ملكًا لإنسان، فلوحة الأرقام من البيانات الشخصية.
- رقم بطاقة الدخول (Transponder) في نظام التحكم في الدخول: الرقم مرتبط بموظف معيّن.
- صورة الكاميرا: حتى دون اسم يمكن التعرّف على الإنسان في صورة الفيديو من وجهه أو بنيته أو ملابسه.
- وصف في سجل الحراسة: «ترك عامل الصيانة في المبنى C الباب مفتوحًا الساعة 23.» في الموقع يعرف الجميع من المقصود.
- الرقم الوظيفي أو رقم الخدمة لزميل.
- تسجيل اللاسلكي الذي يحتوي على صوت عنصر أمن.
ما مقدار المعلومات الإضافية الذي يُحسب؟ وفق الحيثية 26 (Erwägungsgrund 26) المهم هو الوسائل التي يُرجَّح، بحسب التقدير العام، أن تُستخدم لتحديد الشخص. ويؤدي دورًا في ذلك التكاليف والوقت اللازم والتقنية المتاحة. وقد قضت محكمة العدل الأوروبية (EuGH) في 2016 بأن عناوين IP الديناميكية نفسها قد تكون بيانات شخصية، إذا كانت لدى مشغّل الموقع وسائل قانونية للوصول إلى الاسم عن طريق طرف ثالث.
ما المعلومات المقصودة
كلمة «كل» مقصودة بجدية. الأمر لا يقتصر على الاسم أو العنوان أو تاريخ الميلاد. فالمعلومات عن السلوك وأماكن الوجود والصور، وحتى التقييمات، كلها بيانات شخصية. إذا كتبت في تقرير «بدا السيد B. عدوانيًا وثملًا»، فهذه معلومة عن السيد B.، حتى لو كانت رأيك. ولذلك يجب أن تكون موضوعية ويمكن التحقق منها. وإذا تعلق الأمر بمعلومات عن الصحة أو الدين أو الأصل، تسري بالإضافة إلى ذلك القواعد الصارمة الخاصة بـ الفئات الخاصة من البيانات الشخصية.
ما الذي ليس من البيانات الشخصية
- بيانات عن أشياء دون ارتباط بشخص: «البوابة 2 لم تكن مقفلة الساعة 3.» لا ينشأ الارتباط بشخص إلا عندما يُعرف من أقفلها آخر مرة.
- بيانات الأشخاص الاعتباريين: مثل حجم مبيعات شركة GmbH أو مقرها. أما اسم المدير العام فهو من البيانات الشخصية.
- البيانات المجهولة الهوية: معلومات لم يعد ممكنًا لأحد أن يستنتج منها شخصًا، مثل «في هذا اليوم جاء 312 زائرًا». ولا تسري عليها DSGVO.
- بيانات المتوفين: لا تدخل في نطاق DSGVO وفق الحيثية 27.
مجهولة الهوية أم مستعارة فقط؟
هنا فخ شائع في الامتحان. البيانات المستعارة (pseudonymisiert) تعني وفق Art. 4 Nr. 5 DSGVO: يُستبدل الاسم برمز، لكن توجد في مكان ما قائمة تربط الرموز بالأشخاص. ومثل هذه البيانات تبقى بيانات شخصية. فإذا كُتبت في جدول المناوبات الرموز WP01 إلى WP12 بدل الأسماء، وكانت في المكتب قائمة بالأسماء، فهذه ما زالت بيانات شخصية. ولا تصبح البيانات مجهولة الهوية (anonym) إلا عندما لا يعود ممكنًا ربطها بالشخص.
حالة من العمل اليومي
عند بوابة مجمّع كيميائي تسجّل في المناوبة الليلية لوحات أرقام كل المركبات التي تدخل الموقع، مع الوقت. ويقول زميل إن ذلك لا يهم من ناحية حماية البيانات، لأن القائمة لا تحتوي على أسماء.
هذا غير صحيح. يمكن تحديد صاحب لوحة الأرقام عن طريق مالك المركبة المسجل، إذن القائمة تحتوي على بيانات شخصية. ومع الوقت تبيّن من كان في الموقع ومتى. هذا ليس ممنوعًا، لكنه يحتاج إلى أساس قانوني وغرض واضح ومدة محددة للحذف. وفي العادة يحدد العميل (Auftraggeber) ذلك، وتخبرك تعليمات الخدمة (Dienstanweisung) بما يجب أن تسجّله. ولا مكان لهذه القائمة مكشوفةً على طاولة الاستقبال، ولا في دفتر ملاحظاتك الخاص.
أخطاء شائعة في الامتحان
- يكفي أن يكون الشخص قابلًا لتحديد هويته. ولا يشترط أن يكون الاسم موجودًا في البيانات.
- لوحات الأرقام والصور والأرقام الوظيفية وأرقام بطاقات الدخول بيانات شخصية، إذا أمكن ربطها بإنسان.
- البيانات المستعارة تبقى بيانات شخصية. البيانات المجهولة الهوية وحدها تخرج من نطاق DSGVO.
- الآراء والتقييمات عن شخص هي أيضًا بيانات شخصية.
- بيانات الشركات غير محمية، أما بيانات الناس في الشركة فمحمية.
أسئلة تدريبية: البيانات الشخصية
6 أسئلة حول: البيانات الشخصية. كما في امتحان غرفة الصناعة والتجارة (IHK) تكون إجابة واحدة أو إجابتان صحيحتين، والعدد مذكور فوق كل سؤال.
Wie definiert die DSGVO personenbezogene Daten?كيف تعرّف DSGVO البيانات الشخصية؟
Welche der folgenden Angaben sind personenbezogene Daten?أيّ المعلومات التالية بيانات شخصية؟
Im Schichtplan stehen statt Namen die Kürzel WP01 bis WP12. Im Büro liegt eine Liste, welches Kürzel zu welchem Kollegen gehört. Wie sind die Daten im Schichtplan einzuordnen?في جدول المناوبات توجد الرموز WP01 إلى WP12 بدل الأسماء. وفي المكتب قائمة تبيّن أيّ رمز يعود لأيّ زميل. كيف تُصنَّف البيانات في جدول المناوبات؟
Du schreibst in den Wachbericht: Der Hausmeister aus Gebäude C hat die Rolltür offen gelassen. Ist das ein personenbezogenes Datum?تكتب في تقرير الحراسة: ترك عامل الصيانة في المبنى C الباب المتحرك مفتوحًا. هل هذه بيانات شخصية؟
Für welche Daten gilt die DSGVO nicht?على أيّ بيانات لا تسري DSGVO؟
Was meint der Begriff betroffene Person?ماذا يعني مصطلح الشخص المعني؟
مزيد من الأسئلة حول «البيانات الشخصية» وحول مجال قانون حماية البيانات كله تجدها في التدريب على هذا المجال، ومجمّعة في صفحة أسئلة الامتحان في قانون حماية البيانات.
نص Art. 4 DSGVO كاملًا (gesetze-im-internet.de) · آخر تحديث 06.11.2026. هذا الشرح حول «البيانات الشخصية» لا يغني عن الاستشارة القانونية، والمعتمد هو النص الحالي للقانون.