قانون SECURE Data Act الأمريكي: كيف تُغيّر الاستباقية الفيدرالية لحماية البيانات قواعد اللعبة لكل مؤسسة تجمع بيانات أمريكية

ما الذي سيغيره SECURE Data Act — ولماذا الفسيفساء هي المشكلة التي يحلها

لا تمتلك الولايات المتحدة حتى الآن أي قانون فيدرالي شامل لحماية البيانات. ما تمتلكه بدلاً من ذلك هو فسيفساء متكاثرة: اعتباراً من مايو 2026، أصدرت 20 ولاية تشريعات شاملة للخصوصية بتعريفات وعتبات وحقوق للمستهلكين وآليات تطبيق متفاوتة. تضطر الشركة متوسطة الحجم في التجارة الإلكترونية التي تجمع بيانات مستخدمين من جميع الولايات الخمسين للامتثال لـ CCPA الكاليفورني (المعدَّل بموجب CPRA) وCDPA الفيرجيني وCPA كولورادو وCTDPA كونيتيكت وTDPSA تكساس و15 إطاراً ولائياً إضافياً — كل منها بتواريخ سريان مختلفة وتعريفات مختلفة للبيانات الحساسة وعتبات تطبيق مختلفة وفترات إصلاح مختلفة قبل التطبيق.

قُدِّم SECURE Data Act — قانون تعزيز وإرساء حقوق المستهلك الموحدة للبيانات الإلكترونية — في 22 أبريل 2026 من قِبل أعضاء لجنة الطاقة والتجارة في مجلس النواب. يحاول حل هذا التشتت من خلال آليتين: معيار فيدرالي واحد قابل للتطبيق في جميع الولايات الخمسين، واستباقية صريحة لجميع قوانين الخصوصية الولائية الشاملة غير المتوافقة.

المنطق الاستراتيجي واضح: ستمتلك الشركات نظام امتثال واحداً لتطبيقه بدلاً من 20. يدور النقاش السياسي حول ما إذا كان هذا المعيار الواحد يجب أن يكون أقوى أو أضعف مما أصدرته كاليفورنيا وكولورادو وكونيتيكت بالفعل.

الالتزامات الأساسية الأربعة التي يجب على كل شركة معنية الوفاء بها

ينطبق SECURE Data Act على أي كيان: (أ) يجمع أو يعالج أو ينقل بيانات شخصية لأكثر من 200,000 مستهلك سنوياً، أو (ب) يجمع بيانات أكثر من 50,000 مستهلك ويستمد 25% أو أكثر من إيراداته السنوية من بيع البيانات الشخصية أو مشاركتها، أو (ج) يحقق إيرادات إجمالية سنوية تبلغ 25 مليون دولار أو أكثر ويجمع أي بيانات شخصية. تُستثنى الشركات الصغيرة الواقعة دون الحدود الثلاثة صراحةً.

1. تقليل البيانات: جمع ما هو ضروري فحسب لغرض معلَن

يُلزم القانون الشركات المعنية بجمع البيانات الشخصية ومعالجتها والاحتفاظ بها فقط بالقدر المعقول اللازم للأغراض المحددة والمُفصَح عنها التي حُصل من أجلها على الموافقة. SECURE Act يشترط سياسة معالجة بيانات مكتوبة تربط كل فئة بيانات بغرض مشروع مع جداول احتفاظ لكل فئة.

بالنسبة للشركات المبنية على نماذج الإعلانات السلوكية، هذا هو الالتزام الأعلى احتكاكاً. إذا كانت بنيتك التحتية للبيانات تلتقط حالياً سجل التصفح وإشارات الموقع وسلوك الشراء وبيانات التتبع عبر المواقع بالغرض المعلَن المتمثل في «تحسين تجربة المستخدم»، فإن SECURE Act يشترط إما (أ) تضييق جمع بياناتك لما يخدم هذا الغرض المعلَن فعلياً، أو (ب) الحصول على موافقة محددة لكل غرض معالجة إضافي.

2. رفض عالمي للإعلانات المستهدفة — دون تدهور الخدمة

لأي مستهلك مشمول بالقانون الحق في رفض الإعلانات المستهدفة وبيع بياناته الشخصية لأطراف ثالثة والتنميط الآلي الذي يُنتج آثاراً قانونية أو مشابهة لها. SECURE Act يحظر تدهور الخدمة نتيجة لممارسة هذا الحق. لا يمكن للشركة رفض الخدمة أو فرض سعر أعلى أو تقليل الوظائف للمستهلكين الذين يرفضون بيع بياناتهم.

3. موافقة مسبقة (Opt-In) لفئات البيانات الحساسة

بالنسبة للبيانات الحساسة — المُعرَّفة لتشمل بيانات الصحة والجينات وبيانات الحسابات المالية والمعرّفات البيومترية والموقع الجغرافي الدقيق (ضمن نطاق 533 متراً) والبيانات الخاصة بالأطفال دون 17 عاماً وحالة المواطنة والهجرة والتوجه الجنسي والهوية الجندرية وأرقام الضمان الاجتماعي — يشترط القانون الحصول على موافقة مسبقة إيجابية (opt-in) قبل الجمع أو المعالجة. يجب أن يكون opt-in محدداً للغرض: عبارة «أوافق على الشروط» الشاملة غير كافية.

هذا معيار أعلى من معظم قوانين الولايات الحالية، التي تشترط عادةً opt-out (لا opt-in) للبيانات الحساسة. كولورادو هي الاستثناء الرئيسي — يشترط CPA الخاص بها opt-in للبيانات الحساسة. SECURE Act يُعمّم نهج كولورادو لهذه الفئة على المستوى الفيدرالي.

4. تطبيق من قِبل FTC بهيكل غرامات 20,000 دولار لكل انتهاك

يُسنِد القانون التطبيق للجنة التجارة الفيدرالية (FTC). يمكنها رفع دعاوى مدنية بغرامات تصل إلى 20,000 دولار لكل انتهاك في اليوم. يمكن لمدعي عام الولايات أيضاً رفع دعاوى تطبيق داخل ولاياتهم، لكن SECURE Act يحدد غرامات مدعي العام الولائي عند نفس مستوى 20,000 دولار لكل انتهاك ويشترط إخطار FTC قبل الرفع. لا يوجد حق رفع دعاوى خاصة — لا يمكن للمستهلكين الأفراد مقاضاة الشركات مباشرةً بموجب SECURE Act.

حساب الاستباقية: أي 20 قانوناً ولائياً معرَّضة للخطر

الاستباقية الصريحة هي أبرز خصائص القانون وأكثر أحكامه طعناً في الوقت ذاته. سيستبق SECURE Act جميع قوانين الخصوصية الولائية الشاملة، بما فيها:

قوانين سارية ستُستبدَل: CCPA/CPRA الكاليفورني (ساري منذ 2018/2023)، CDPA الفيرجيني (يناير 2023)، CPA كولورادو (يوليو 2023)، CTDPA كونيتيكت (يوليو 2023)، UCPA يوتا (ديسمبر 2023)، TDPSA تكساس (يوليو 2024)، Oregon (يوليو 2024)، Montana (أكتوبر 2024)، Indiana (يناير 2026)، Kentucky (يناير 2026)، Rhode Island (يناير 2026)، وArkansas (يوليو 2026).

ما تعنيه الاستباقية عملياً: الشركة التي بنت بنية تحتية للامتثال بـ CCPA ستجد أن هذه الالتزامات تُستبدَل جزئياً بالمعيار الفيدرالي. حيث يكون SECURE Act أقوى من القانون الولائي (opt-in للبيانات الحساسة في معظم الولايات)، يختفي القانون الولائي ويُطبَّق المعيار الفيدرالي. حيث يكون SECURE Act أضعف (لا حق رفع دعاوى خاصة)، يختفي القانون الولائي كلياً.

غرامات كولورادو كمعيار مرجعي: أنتج تطبيق CPA كولورادو غرامات من 20,000 إلى 50,000 دولار لكل انتهاك في دورته الأولى للتطبيق — منسجمة تقريباً مع سلم العقوبات الفيدرالية في SECURE Act، مما يشير إلى أن الصائغين قاسوا شدة التطبيق على السجل المعتمَد في كولورادو.

ما يجب على الشركات العالمية ذات العمليات الأمريكية فعله الآن

SECURE Act في مرحلة لجنة مجلس النواب — ليس قانوناً بعد. لكن الزخم التشريعي حقيقي: هذا أبعد وصول أي مشروع قانون شامل للخصوصية الفيدرالية منذ فشل ADPPA في 2022. للشركات ذات العمليات الأمريكية أو بيانات العملاء الأمريكيين، ثلاثة إجراءات ذات قيمة فورية بصرف النظر عن مآل القانون:

1. رسم خريطة التزامات الامتثال الولائية في مقابل المسودة الفيدرالية

أجرِ تحليل الفجوات بين وضعك الحالي للامتثال الولائي ومتطلبات SECURE Act. ركّز بشكل خاص على: (أ) ما إذا كانت آلية الموافقة الحالية للبيانات الحساسة هي opt-in أو opt-out — SECURE Act يشترط opt-in؛ (ب) ما إذا كانت آلية رفض الإعلانات المستهدفة تستوفي معيار «العالمية» — أي أن إشارة واحدة (Global Privacy Control أو ما يعادله) يجب أن تُحترَم في جميع أنظمة معالجة البيانات لديك؛ و(ج) ما إذا كانت جداول الاحتفاظ موثقة لكل فئة بيانات مع أغراض مُرتبطة بها.

2. مراجعة ترتيبات مشاركة البيانات مع الأطراف الثالثة لمواءمتها مع SECURE Act

تنطبق متطلبات تقليل البيانات وحق رفض الاشتراك في SECURE Act على بيع البيانات ومشاركتها مع الأطراف الثالثة. يجب على الشركات التي تشارك البيانات مع منصات تكنولوجيا الإعلانات — DSP وDMP وموردي حل الهوية والمعلنين البرمجيين — مراجعة هذه الترتيبات في مقابل إطار الموافقة في القانون. كثير من ترتيبات مشاركة البيانات الحالية المسموح بها بموجب القوانين الولائية ستتطلب إعادة تفاوض أو موافقة جديدة إذا اعتُمد SECURE Act.

3. نمذجة الفائدة من الاستباقية: نظام امتثال واحد = تخفيض للتكاليف

بالنسبة للشركات التي تحافظ حالياً على الامتثال لـ 8 قوانين ولائية للخصوصية أو أكثر، يُمثّل SECURE Act تخفيضاً كبيراً في التكاليف التشغيلية. ابنِ الحجة الاقتصادية الآن: حدِّد كمياً الإنفاق الحالي على الامتثال متعدد الولايات (مراجعة قانونية وتنفيذ تقني وتراخيص منصات إدارة الموافقة وعمل تنفيذ طلبات الأطراف المعنية). المعيار الفيدرالي يُزيل معظم هذا التكرار.

الأسئلة الشائعة

المصادر والقراءات الإضافية

• نص SECURE Data Act وإجراءات اللجنة — House Energy and Commerce Committee
• متتبع قوانين الخصوصية الولائية: تواريخ السريان 2026 — IAPP
• إجراءات تطبيق الخصوصية للنائب العام في كولورادو — Colorado Department of Law
• مقارنة ADPPA مقابل SECURE Act: الاستباقية الفيدرالية للخصوصية — Future of Privacy Forum
• المواصفات التقنية لـ Global Privacy Control — GPC.EFF.org