LGPD واتساب للأعمال 2026: الامتثال، الموافقة الصريحة، والعقوبات

إن قانون حماية البيانات العامة (LGPD) هو قانون الخصوصية البرازيلي الساري منذ عام 2020، والذي تفرضه الهيئة الوطنية لحماية البيانات (ANPD). في عام 2025، دخلت الهيئة الوطنية لحماية البيانات (ANPD) مرحلة التنفيذ النشط، مع تطبيق غرامات حقيقية ضد الشركات البرازيلية التي تستخدم واتساب للتواصل مع العملاء دون أساس قانوني كافٍ. في عام 2026، لم يعد الامتثال لقانون حماية البيانات العامة (LGPD) لتطبيق واتساب للأعمال اختياريًا - بل هو التزام فني موثق مع غرامات تصل إلى 50 مليون ريال برازيلي لكل مخالفة.

يغطي هذا الدليل كل ما يجب على كل شركة برازيلية القيام به: الأساس القانوني، الموافقة الصريحة، الاحتفاظ بالبيانات، حقوق أصحاب البيانات، والحد الأدنى من المكدس التقني.

ما يتطلبه قانون حماية البيانات العامة (LGPD) فيما يتعلق بواتساب للأعمال

يعالج قانون حماية البيانات العامة (LGPD) البيانات الشخصية (بما في ذلك رقم واتساب، ومحتوى المحادثة، وأنماط الاستخدام) بموجب ستة أسس قانونية. لاستخدام واتساب للأعمال مع العملاء، الأكثر شيوعًا هما:

• الموافقة (المادة 7، الفقرة الأولى). يوافق صاحب البيانات صراحةً على المعالجة. الأساس المفضل للاتصالات التسويقية والترويجية.
• تنفيذ العقد (المادة 7، الفقرة الخامسة). المعالجة الضرورية لتنفيذ العقد مع صاحب البيانات. أساس لتأكيدات الطلبات، وتحديثات الشحن، ورموز التحقق لمرة واحدة (OTPs).

نشرت الهيئة الوطنية لحماية البيانات (ANPD) إرشادات محددة في 2024-2025 موضحةً أن موافقة البريد الإلكتروني لا تغطي واتساب. إنهما قناتان مختلفتان وتتطلبان موافقات منفصلة.

خمسة التزامات دنيا للامتثال لـ واتساب و LGPD في عام 2026:

1. أساس قانوني موثق لكل غرض (الدعم، التسويق، المعاملات).
2. سياسة خصوصية محددة تذكر واتساب كقناة.
3. آلية واضحة للموافقة الصريحة مع سجل قابل للتدقيق (الطابع الزمني، عنوان IP، نص الموافقة الدقيق).
4. آلية واضحة لإلغاء الاشتراك (كلمة "إيقاف"، رابط الإلغاء، عملية الإزالة اليدوية).
5. احتفاظ محدود بالبيانات والتخلص منها وفق جدول زمني.

الأساس القانوني: كيفية الاختيار

الشركات التي تستخدم اتصالات واتساب في البرازيل يجب أن تختار بعناية الأساس القانوني المناسب بموجب LGPD اعتمادًا على الغرض من كل نوع رسالة. رموز التحقق لمرة واحدة (OTPs) للمصادقة، والتحقق من الحساب، وتأكيدات الطلبات، وتحديثات الشحن، وإشعارات التسليم تتم معالجتها عادةً بموجب تنفيذ العقد لأنها ضرورية لتقديم الخدمة، وأمان الحساب، وإتمام الشراء. قد تعتمد الإيصالات وتأكيدات الدفع بالإضافة إلى ذلك على التزام قانوني بسبب متطلبات حفظ السجلات الضريبية والمالية.

بالنسبة لاستبيانات رضا العملاء، قد تعتمد الشركات على المصلحة المشروعة أو الموافقة الصريحة، على الرغم من أن استخدام المصلحة المشروعة غالبًا ما يتطلب توثيقًا تقييم المصلحة المشروعة (RIPD) لتبرير نشاط المعالجة. تتطلب الحملات التسويقية والرسائل الترويجية واستعادة سلة التسوق المهجورة وحملات إعادة تنشيط العملاء عمومًا موافقة صريحة من العميل بموجب قانون حماية البيانات العامة (LGPD) لأن المنظمين البرازيليين يصنفون هذه العمليات بشكل متزايد على أنها أنشطة تسويق مباشر. يعد الحفاظ على سجلات الموافقة وسجلات الاشتراك وآليات واضحة لإلغاء الاشتراك أمرًا ضروريًا لتقليل مخاطر الامتثال وتشغيل سير عمل اتصالات واتساب القابلة للتطوير في البرازيل.

الاشتراك الذي يفي بمتطلبات قانون حماية البيانات العامة (LGPD)

يجب أن تكون الموافقة الصالحة بموجب قانون حماية البيانات العامة (LGPD) حرة ومستنيرة ولا لبس فيها ومحددة.

حرة

‍لا يمكن أن تكون مشروطة بالحصول على منتج/خدمة.

مستنيرة

‍يجب أن يذكر النص: ما الذي سيتم إرساله، التكرار التقريبي، كيفية الإلغاء، ورابط للسياسة.

لا لبس فيها

‍إجراء إيجابي وواضح. مربع الاختيار غير محدد مسبقًا.

محددة

‍لكل غرض، موافقة واحدة. لا يجوز التجميع.

مثال على موافقة صالحة

[ ] أرغب في تلقي العروض والأخبار عبر واتساب
(يمكننا إرسال ما يصل إلى رسالتين في الأسبوع، يمكنك الإلغاء بالرد بكلمة "إيقاف")


مثال على موافقة غير صالحة

[x] أوافق على شروط الاستخدام وسياسة الخصوصية وأصرح بالتسويق عبر البريد الإلكتروني وواتساب.

يفشل بسبب: محدد مسبقًا، تجميع لأغراض متعددة. تعتبره ANPD غير صالح.

سجل الموافقة

لكل موافقة، وثّق:

• الطابع الزمني الكامل (التاريخ، الوقت، المنطقة الزمنية).
• عنوان IP الأصلي.
• وكيل المستخدم.
• نص الموافقة الدقيق.
• إصدار سياسة الخصوصية في ذلك الوقت.
• قناة التجميع (نموذج ويب، تطبيق، رمز QR).
• الأغراض المحددة المصرح بها.

يمكن للهيئة الوطنية لحماية البيانات (ANPD) أثناء التنفيذ طلب تقرير موحد في غضون 15-30 يومًا. A واجهة برمجة تطبيقات واتساب للأعمال في البرازيل تحتفظ بسجل متوافق مع LGPD لكل موافقة.

إلغاء الاشتراك: الآلية الإلزامية

كل رسالة تسويقية عبر واتساب يجب أن توفر آلية واضحة للإلغاء:

• كلمة مفتاحية في نص حر. يرد العميل بـ STOP، END، CANCEL. يتعرف النظام عليها، ويزيلها، ويؤكد ذلك.
• زر الرد السريع. قالب مزود بزر "إيقاف الاستلام".
• رابط الإدارة. يفتح الرابط لوحة حيث يدير العميل تفضيلاته.

خمس قواعد:

1. إلغاء الاشتراك في كل رسالة تسويقية. ليس فقط في الرسالة الأولية.
2. المعالجة خلال 24 ساعة. لا يمكن للعميل استلام المزيد بعد 24 ساعة.
3. تأكيد واضح. يحتاج العميل إلى استلام رسالة تأكيد.
4. لا تصعّب الأمر. التأكيد المزدوج وتسجيل الدخول المعقد محظوران.
5. الاحتفاظ بسجل إلغاء الاشتراك. حفظ الطابع الزمني لإلغاء الاشتراك لمدة لا تقل عن 5 سنوات.

الاحتفاظ بالبيانات

الشركات التي تستخدم واجهة برمجة تطبيقات واتساب للأعمال في البرازيل يجب عليها تطبيق سياسات منظمة للاحتفاظ بالبيانات للبقاء متوافقة مع قانون حماية البيانات العامة (LGPD) والاحتفاظ بسجلات تدقيق يمكن الدفاع عنها.

رسائل التسويق يوصى عادةً بالاحتفاظ بسجلاتها لمدة تصل إلى سنتين بعد آخر تفاعل للعميل للحفاظ على إثبات الاتصال ونشاط الحملة. الرسائل المتعلقة بالمعاملات، بما في ذلك تأكيدات الطلبات، والإيصالات، وإشعارات الحساب، يتم الاحتفاظ بها عادةً لمدة خمس سنوات للتوافق مع فترة التقادم الخاصة بقانون حماية المستهلك البرازيلي (CDC). يجب أيضًا الاحتفاظ بسجلات موافقة العملاء لمدة تصل إلى خمس سنوات بعد سحب الموافقة لتوفير أدلة قانونية ومتعلقة بالامتثال في حال نشوء نزاعات. يتم الاحتفاظ بسجلات الإرسال التشغيلية بشكل عام لمدة عامين تقريبًا لدعم عمليات التدقيق الداخلية، وتحقيقات التسليم، ومراقبة المنصة. غالبًا ما يتم تخزين سجلات العملاء غير النشطين لمدة تصل إلى ثلاث سنوات لدعم حملات إعادة تنشيط العملاء المحتملين وسير عمل استعادة الحسابات مع الحفاظ على ممارسات إدارة البيانات المتوافقة.

بعد الاحتفاظ بالبيانات، يجب أن تكون البيانات مجهولة الهوية أو يتم التخلص منها. إخفاء الهوية ليس تشفيرًا قابلاً للعكس.

حقوق أصحاب البيانات

يضمن قانون حماية البيانات العامة (LGPD) تسعة حقوق (المادة 18):

تأكيد المعالجة

‍الرد في غضون 15 يومًا.

الوصول إلى البيانات

‍نسخة إلكترونية خلال 15 يومًا.

تصحيح البيانات

‍بدون تكلفة.

إخفاء الهوية أو الحجب أو المحو

‍خلال 15 يومًا، باستثناء الالتزام القانوني.

قابلية النقل

‍ملف منظم للنقل.

معلومات عن المشاركة

‍قائمة مستلمي البيانات.

معلومات عن عدم الموافقة

‍العواقب موضحة مسبقًا.

سحب الموافقة

‍خلال 24 ساعة.

مراجعة القرار الآلي

‍مراجعة بشرية للخوارزمية.

النقل الدولي

خوادم واتساب التابعة لـ Meta تقع خارج البرازيل. يسمح قانون حماية البيانات العامة (LGPD) بالنقل الدولي مع متطلبات (المادة 33). بالنسبة لعمليات واتساب للأعمال، يغطي تنفيذ العقد مع صاحب البيانات النقل بشكل عام.

مزودو خدمات الأعمال البرازيليون (أو منصات واتساب التسويقية) يديرون خوادمهم الخاصة داخل الأراضي الوطنية لتخزين السجلات والموافقات وبيانات الإدارة. يمر إرسال الرسائل فقط عبر Meta.

المشغلون والمتحكمون

• أنت المتحكم. تحدد شركتك ما سيتم إرساله، ولمن، ولأي غرض. وهي المسؤولة بشكل أساسي أمام الهيئة الوطنية لحماية البيانات (ANPD).
• مزود خدمة الأعمال (BSP) هو المشغل. يعالج البيانات نيابة عنك بموجب العقد. أنت بحاجة إلى عقد مشغل.
• Meta هي مشغل فرعي. تعالج البيانات نيابة عن مزود خدمة الأعمال (BSP).

البنود الدنيا في عقد مزود خدمة الأعمال (BSP): أغراض معالجة محددة، تدابير أمنية تقنية، مشغلون فرعيون مصرح لهم، المساعدة في حقوق أصحاب البيانات، الإبلاغ عن الحوادث خلال 24 ساعة، حذف البيانات أو إعادتها عند انتهاء العقد.

حادث أمني

الالتزامات في حالة وقوع حادث:

1. إبلاغ الهيئة الوطنية لحماية البيانات (ANPD) في غضون فترة زمنية معقولة. عادةً ما يصل إلى 72 ساعة؛ 24 ساعة في الحالات الخطيرة.
2. إبلاغ أصحاب البيانات المتأثرين. تواصل واضح، بدون مصطلحات فنية.
3. توثيق داخلي. الاحتفاظ بالتقرير لمدة 5 سنوات على الأقل.
4. تطبيق التصحيحات. تدقيق بعد 6 أشهر.

خمسة أنواع من الحوادث الأكثر شيوعًا: نسيان الوكيل تسجيل الخروج، تكامل خاطئ يكشف مفتاح API، إرسال الروبوت إلى مستلم خاطئ، موظف سابق لديه صلاحية وصول للوحة التحكم، تصيد احتيالي على مسؤول BSP.

العقوبات

يمكن للهيئة الوطنية لحماية البيانات (ANPD) تطبيق عقوبات متدرجة (المادة 52):

• إنذار.
• غرامة بسيطة تصل إلى 2 بالمائة من الإيرادات في البرازيل، بحد أقصى 50 مليون ريال برازيلي لكل مخالفة.
• غرامة يومية.
• الإعلان عن المخالفة.
• حظر البيانات أو حذفها.
• تعليق تشغيل قاعدة البيانات.
• حظر أنشطة المعالجة.

قائمة التحقق من الامتثال للائحة العامة لحماية البيانات (LGPD) في واتساب للأعمال

1. هل تذكر سياسة الخصوصية المنشورة واتساب كقناة؟
2. هل الأساس القانوني محدد لكل غرض؟
3. هل موافقة واتساب منفصلة عن الموافقات الأخرى؟
4. هل لكل موافقة سجل يتضمن الطابع الزمني، وعنوان IP، والنص، وإصدار السياسة؟
5. هل تحتوي كل رسالة تسويقية على آلية لإلغاء الاشتراك؟
6. هل تتم معالجة طلبات إلغاء الاشتراك خلال 24 ساعة؟
7. هل تم تعيين مسؤول حماية البيانات (DPO) ومعلومات الاتصال به متاحة للعامة؟
8. هل سياسة الاحتفاظ بالبيانات محددة بمهلة زمنية لكل نوع بيانات؟
9. هل يتم التخلص التلقائي من البيانات منتهية الصلاحية؟
10. هل توجد قناة موثقة لممارسة الحقوق؟
11. هل تم توقيع عقد المشغل مع BSP، مع تضمين البنود الأساسية؟
12. هل خطة الاستجابة للحوادث موثقة ومختبرة؟
13. هل يوجد برنامج تدريب للفريق حول LGPD؟
14. هل يوجد RIPD للمعالجة عالية المخاطر؟
15. هل يتم إجراء تدقيق امتثال داخلي سنوي لـ LGPD؟

الشركات التي تجيب بنعم على جميع الأسئلة الـ 15 تتمتع بوضع دفاعي قوي. أقل من 10 يشكل تعرضًا جوهريًا.

كيف يدعم WhatsAppNow Brazil الامتثال لـ LGPD

واتساب ناو تم تصميمه مع مراعاة LGPD: سجل موافقة متوافق مع LGPD، معالجة تلقائية لطلبات إلغاء الاشتراك، خوادم برازيلية، عقد مشغل قياسي، خطة استجابة للحوادث، دعم مسؤول حماية البيانات (DPO).

الأسئلة الشائعة

هل يمكنني استخدام واتساب للعملاء الذين زودوني ببريدهم الإلكتروني بالفعل؟‍

ليس تلقائيًا. موافقة البريد الإلكتروني منفصلة عن موافقة واتساب. اطلب موافقة صريحة قبل بدء التواصل عبر واتساب.

ماذا يحدث إذا تلقيت إشعارًا من ANPD؟‍

الرد في غضون الموعد النهائي (عادة 15 يومًا) بأدلة موثقة. تعيين مسؤول حماية البيانات (DPO) أو محامٍ متخصص. إذا كان هناك انتهاك حقيقي، فإن التسوية الذاتية عادة ما تقلل العقوبة.

هل يمكن للعميل طلب سجل بكل ما أرسلته إليه؟‍

نعم. يتيح حق الوصول للعميل طلب نسخة من جميع البيانات الشخصية المعالجة. يجب تقديمها في غضون 15 يومًا بتنسيق إلكتروني منظم.

هل أحتاج إلى مسؤول حماية بيانات (DPO) إذا كنت شركة صغيرة؟‍

نعم. يتطلب قانون حماية البيانات العامة (LGPD) التعيين بغض النظر عن الحجم. بالنسبة للشركات الصغيرة، يمكن أن يكون موظفًا يجمع بين الوظائف أو مسؤول حماية بيانات خارجي. يجب نشر معلومات الاتصال على الموقع.

هل يمكنني استخدام بيانات واتساب لتدريب الذكاء الاصطناعي/الروبوتات الدردشة؟‍

فقط بأساس قانوني محدد. تدريب النموذج هو غرض مختلف - يتطلب موافقة محددة أو مصلحة مشروعة مع تقرير تأثير حماية البيانات (RIPD).

ماذا أفعل إذا قام موظف بمشاركة محادثات العملاء؟‍

تعامل معها كحادث أمني. قم بالتحقيق، الاحتواء، إخطار الهيئة الوطنية لحماية البيانات (ANPD) وأصحاب البيانات إذا لزم الأمر، تطبيق إجراء تأديبي، وتطبيق ضوابط تقنية.

الخطوات التالية

اتبع قائمة التحقق المكونة من 15 بندًا المذكورة أعلاه. ابدأ بالثلاثة الأهم: الموافقة الصريحة مع سجل قابل للتدقيق، إلغاء الاشتراك التلقائي، وسياسة الاحتفاظ بالبيانات. عيّن مسؤول حماية البيانات (DPO) رسميًا وانشر معلومات الاتصال الخاصة به. راجع عقد مزود خدمة الأعمال (BSP). درّب فريق التسويق والدعم. قم بإجراء تدقيق داخلي سنوي.

لبنية تحتية تقنية متوافقة مع قانون حماية البيانات العامة (LGPD)، فإن واجهة برمجة تطبيقات واتساب للأعمال للشركات البرازيلية توفر سجل الموافقة، وإلغاء الاشتراك التلقائي، وخوادم برازيلية، وعقدًا قياسيًا.