منذ دخول القانون الفدرالي الجديد لحماية البيانات (nLPD) حيّز التنفيذ في 1 سبتمبر 2023، تفترض كثير من الشركات السويسرية أنه، بما أنها تعمل في سويسرا فقط، فإن القانون السويسري وحده يعنيها. لكن الواقع أكثر دقة: فبحسب مصدر جهات الاتصال والأسواق المستهدفة، قد تنطبق أيضاً اللائحة العامة لحماية البيانات في الاتحاد الأوروبي (RGPD) على عملاء محتملين تتم معالجتهم من سويسرا. بالنسبة لشركة تشتري أو تعيد بيع طلبات العملاء، فإن معرفة القانون الذي يحكم البيانات المستلَمة ليست شكلية قانونية مجردة: بل هي ما يحدد كيفية جمع الموافقة، وكيف يمكن للبيانات أن تنتقل، ومن يتحمل المسؤولية في حال حدوث مخالفة.
يقارن هذا الملف بين الإطارين من زاوية شراء العملاء المحتملين المؤهلين تحديداً، دون مصطلحات معقدة لا لزوم لها. وهو لا يغني عن رأي مختص قانوني في وضعكم الخاص، لكنه يمنحكم المعايير لطرح الأسئلة الصحيحة على المزوّد والتحقق من أن سلسلة البيانات التي تصلكم مطابقة للقانون. يكمّل هذا الملف ملفنا المخصص للقانون السويسري وشراء العملاء المحتملين B2B، إضافة إلى ملفاتنا حول جودة العملاء المحتملين واختيار المزوّد، حيث يُفصَّل الجانب التعاقدي أكثر. الفهم الجيد لهذا التمييز يوفّر عليكم وقتاً ثميناً ويقلّل مخاطركم القانونية عند مقارنة العروض المتاحة في السوق السويسرية.
لماذا قد يعنيكم القانونان معاً
الخطأ الأول هو التفكير بجنسية الشركة بدلاً من وضع المعالجة. ينطبق القانون السويسري (nLPD) على معالجات البيانات التي تُحدث آثارها في سويسرا، بصرف النظر عن المكان الذي تُنفَّذ فيه. أما اللائحة الأوروبية (RGPD) فلها نطاق يتجاوز الحدود: فهي تنطبق بمجرد أن تعرض شركة، ولو كانت مقرّها خارج الاتحاد، سلعاً أو خدمات على أشخاص موجودين في الاتحاد الأوروبي أو تراقب سلوكهم. عملياً، تبقى الشركة السويسرية التي تشتري عملاء محتملين يخصون مقيمين سويسريين حصراً خاضعة أساساً للقانون السويسري؛ لكن بمجرد أن يخص عميل محتمل شخصاً مقيماً في الاتحاد الأوروبي، أو أن يستهدف نشاطكم عملاء عبر الحدود، تدخل اللائحة الأوروبية حيّز التطبيق بالتوازي.
لمشتري العملاء المحتملين، لهذا نتيجة عملية: يجب معرفة مصدر جهات الاتصال التي تستلمونها. فالمزوّد الذي يجمع الطلبات عبر نماذج يمكن الوصول إليها من فرنسا المجاورة أو موجّهة للعاملين عبر الحدود يعالج بيانات مشمولة على الأرجح باللائحة الأوروبية. هذا ليس عائقاً بحد ذاته — فالنظامان متوافقان إلى حد كبير — لكنه يفرض التحقق من أن المزوّد يطبّق المعيار الأشد بين الاثنين، بدلاً من افتراض أنه «بما أننا في سويسرا، يكفي القانون السويسري». عند الشك، من الأحوط معالجة جميع العملاء المحتملين وفق المعيار الأكثر صرامة.
الأساس المشترك بين النظامين
رغم اختلافهما، يقوم القانون السويسري واللائحة الأوروبية على المبادئ الكبرى نفسها، وهذا خبر جيد لمن يشتري عملاء محتملين: فالامتثال الجدي لأحدهما يقرّبكم كثيراً من الآخر. يفرض النصان الشفافية (يجب أن يعرف الشخص من يجمع بياناته ولأي غرض)، والتقيّد بالغاية (لا يمكن تحويل البيانات المجمّعة لغرض الربط بين الأطراف إلى استخدام لا صلة له)، والتقليل إلى الحد الأدنى (جمع ما هو ضروري فقط)، وأمن البيانات، واحترام حقوق الأشخاص: الاطلاع، والتصحيح، والمحو، والاعتراض.
بالنسبة للشركة المستلِمة، تُترجَم هذه المبادئ إلى التزامات ملموسة. يجب أن تكونوا قادرين على إخبار العميل، إن طلب ذلك، بمصدر طلبه وسبب اتصالكم به. ويجب أن تكونوا قادرين على محو بياناته إذا اعترض أو إذا لم يعد لديكم سبب مشروع للاحتفاظ بها. ويجب حماية ملف العملاء المحتملين المستلَم مثل أي بيانات شخصية أخرى. هذه المتطلبات متطابقة أو متقاربة جداً في النظامين؛ أما الفروق الحقيقية، تلك التي تهم عند اختيار مزوّد أو صياغة عقد، فتقع في مكان آخر.
ما الذي يتغير فعلاً: الأساس القانوني والموافقة والعقوبات
يتعلق الفرق الأكثر جوهرية بالأساس القانوني للمعالجة. تشترط اللائحة الأوروبية، لكل معالجة، أساساً قانونياً صريحاً من قائمة محددة: الموافقة، تنفيذ عقد، التزام قانوني، مصلحة مشروعة، وما إلى ذلك. أما القانون السويسري فيفكّر بطريقة مختلفة: بالنسبة لشركة خاصة، تُعدّ معالجة البيانات غير الحساسة مشروعة من حيث المبدأ ما دامت لا تمسّ بشكل غير مشروع بشخصية المعني. الموافقة ليست مطلوبة بشكل منهجي؛ بل تصبح ضرورية على وجه الخصوص لرفع مساس، أو للبيانات الحساسة، أو لبعض المراسلات. عملياً، يترك القانون السويسري هامشاً أوسع قليلاً في معالجة جهات الاتصال المهنية، لكن هذه المرونة لا تعفي أبداً من إعلام الأشخاص أو احترام حقهم في الاعتراض.
يكمن الفرق الرئيسي الثاني في العقوبات ومن تستهدفهم. تنص اللائحة الأوروبية على غرامات إدارية موجّهة ضد الشركة المسؤولة، تُحسَب بنسبة من رقم أعمالها العالمي. أما القانون السويسري فينص على عقوبات جزائية تستهدف بالدرجة الأولى الشخص الطبيعي المسؤول داخل الشركة (كالمدير الذي خالف بعض الالتزامات)، وليس الكيان بحد ذاته. يفسّر هذا المنطق المختلف جداً لماذا يتوقف الامتثال للقانون السويسري كثيراً على مستوى المسؤوليات الداخلية الموزّعة بوضوح. توجد فروق أخرى — مهلة الإبلاغ عن خرق للبيانات، وحدود الإعفاء من سجل المعالجات للشركات الصغيرة والمتوسطة، وتعيين ممثل في سويسرا للمسؤولين المقيمين في الخارج — لكن الأساس القانوني ونظام العقوبات هما النقطتان اللتان يجب أن يضعهما كل مشترٍ للعملاء المحتملين في الحسبان.
الموافقة والتنقيب ودور قانون المنافسة غير المشروعة
على صعيد العملاء المحتملين، تقترن مسألة الموافقة بقاعدة كثيراً ما تُنسى: في سويسرا، لا يخضع التنقيب التجاري الجماعي للقانون السويسري لحماية البيانات وحده، بل أيضاً لقانون مكافحة المنافسة غير المشروعة (LCD). فهذا القانون يُخضِع إرسال الإعلانات الجماعية بالوسائل الإلكترونية (بريد إلكتروني، رسائل نصية) لنظام الموافقة المسبقة (opt-in): فمن حيث المبدأ يلزم الحصول على موافقة المرسَل إليه مسبقاً، وتحديد هوية المرسِل بشكل صحيح، وإتاحة إمكانية رفض بسيطة. تستهدف هذه القاعدة الشركة التي تستغل العميل المحتمل، لا الشركة التي جمعته فحسب. بعبارة أخرى، شراء عميل محتمل لا يعفيكم من التحقق من الأساس الذي يخوّل لكم الاتصال به، وعبر أي قناة.
ما يطمئن المشتري أن العميل المحتمل المؤهل جيداً يحلّ جوهر المشكلة: فالشخص ملأ نموذجاً طالباً صراحةً أن يُعاود الاتصال به مهني من قطاعكم. هذه الموافقة، شرط أن تكون موثّقة وقابلة للتتبع، تشكّل أساساً متيناً في ظل القانون السويسري واللائحة الأوروبية على حد سواء، وتغطّي المبادرة بالاتصال المنصوص عليها في قانون المنافسة غير المشروعة. ولهذا السبب بالضبط فإن إمكانية تتبع الموافقة — ختم زمني، الصياغة الدقيقة للنموذج، عنوان IP عند الاقتضاء — هي المعيار الأهم الذي ينبغي اشتراطه على المزوّد. فالعميل المحتمل من دون دليل على الموافقة هو خطر قانوني متنكّر في صورة فرصة تجارية، أياً كان النظام المطبّق.
ما الذي يجب على مشتري العملاء المحتملين التحقق منه عملياً
عند اختيار مزوّد، تتيح بعض عمليات التحقق البسيطة تأمين السلسلة بأكملها. اطلبوا أولاً دليل الموافقة: يجب أن يكون المزوّد قادراً على أن يُظهر لكم، لعميل محتمل بعينه، ما الذي وافق عليه الشخص، ومتى وكيف. ثم تأكدوا من أن العقد الذي يربطكم يحدد دور كل طرف من منظور حماية البيانات — من يقرر الأغراض، ومن يعالج لحساب من — لأن هذه الوثيقة هي التي ستحدد مسؤوليتكم في حال إجراء رقابة أو تقديم شكوى. تحققوا من طريقة نقل العملاء المحتملين إليكم وتخزينهم، ومن المدة التي يحتفظ فيها المزوّد بالبيانات بعد تسليمها إليكم.
تستحق نقطتان اهتماماً خاصاً إذا وُجد بُعد أوروبي. أولاً، نقل البيانات: تملك سويسرا نظامها الخاص للتدفقات عبر الحدود، ويعترف الاتحاد الأوروبي بأن سويسرا توفّر حماية ملائمة، ما يُسهّل التبادلات — لكن على المزوّد الذي يستضيف أو يتعاقد من الباطن خارج هذا الفضاء أن يكون قادراً على تبرير ذلك. ثانياً، وجود جهة اتصال واضحة لطلبات الأشخاص المعنيين (الاطلاع، المحو)، والتي يجب أن تكونوا قادرين على الاستجابة لها. وبمجرد توافر هذه العناصر، يصبح تعرّضكم القانوني تحت السيطرة: فأنتم تعملون انطلاقاً من طلبات مُوافَق عليها، ضمن إطار تعاقدي واضح، ومع مزوّد قادر على توثيق مطابقة عملية جمعه. هذا الانضباط المسبق، أكثر بكثير من الاختيار بين القانون السويسري واللائحة الأوروبية، هو ما يحمي الشركة المستلِمة على المدى الطويل.