الالتزامات الواردة على المسؤول والمعالج للبيانات الشخصية

يعتبر المسؤول عن البيانات الشخصية وكذلك المعالج لها هما من أهم الأشخاص الذي عنى المشرع ببيان واجبتهما والتزاماتهما في هذا القانون، كونهما اكثر الأشخاص الذين يتعاملون مع البيانات الشخصية للأفراد بشكل مباشر فالأول دائما ما تكون البينات الشخصية تحت سيطرته المادية، والثاني هو الذي يباشر علمية المعالجة بالنقل أو النسخ أو النشر ا واو التعديل فكان من اللازم تقييد هذه الصلاحيات والمهام الممنوحة لهم بقيود تضمن قيامهم بأداء واجبهم الوظيفي دون شطط أو نقصان.

• وفي خلال هذا المقال الوجيز سوف نتناول الالتزامات الواردة على المسؤول والمعالج للبيانات الشخصية على النحو الآتي :

أولا: التعريف بالمسؤول عن البيانات الشخصية

ثانيا: الالتزامات التي قررها قانون البيانات الشخصية على المسؤول

ثالثا: لالتزامات التي قررها قانون البيانات الشخصية على المسؤول في مرحلة المعالجة

ثالثا: التعريف بمعالج البيانات الشخصية ومهامه

 

أولا: التعريف بالمسؤول عن البيانات الشخصية

اهتم لمشرع الأردني بشكل جاد بحماية البيانات الشخصية، ولا أدل على ذلك من إصداره لتشريع خاص يتناول سبل وطرق حماية هذه البيانات، وقد عرفت المادة ( 2  ) منه البيانات الشخصية بقولها : ( أي بيانات أو معلومات تتعلق بشخص طبيعي ومن شأنها التعريف به بطريقة مباشرة أو غير مباشرة مهما كان مصدرها، أو شكلها بما في ذلك البيانات المتعلقة بشخصه أو وضعه العائلي أو أماكن تواجده).

• كما عرفت البيانات الشخصية الحساسة بأنها : ( أي بيانات أو معلومات تتعلق بشخص طبيعي تدل بصورة مباشرة أو غير مباشرة على أصله أو عرقه أو تدل على آرائه أو انتماءاته السياسية أو معتقداته الدينية أو أي بيانات تتعلق بوضعه المالي أو بحالته الصحية أو الجسدية أو العقلية أو الجينية أو بصماته الحيوية  (البيو مترية) أو بسجل السوابق الجنائية الخاص به أو أي معلومات أو بيانات يقرر المجلس اعتبارها حساسة إذا كان إفشاؤها أو سوء استخدامها يلحق ضررا بالشخص المعني بها ).

• وعرفت ذات المادة الشخص المعني بهذه البيانات بأنه : ( الشخص الطبيعي الذي تتم معالجة البيانات الخاصة به ).

• وقد وضع المشرع الأردني العديد من الالتزامات والواجبات التي يجب على المسؤول عن البيانات الشخصية التقيد بها أثناء عملية حفظ، أو معالجة، أو تعديل البيانات الشخصية، وقبل أن نقف على مضمون هذه الالتزامات و والواجبات يجب أولا أن نتطرق الى تعريف المسؤول، والذي عرفته المادة (2) من قانون حماية البيانات الشخصية بأنه : (أي شخص طبيعي أو اعتباري سواء أكان داخل المملكة أم خارجها تكون البيانات في عهدته ) .

• ومن خلال هذا التعريفات فيمكننا القول أن المسؤول هو : الشخص الطبيعي أو الاعتباري الذي عهد المشرع إليه بالبيانات الشخصية والبيانات الشخصية الحساسة وجعلها في عهدته وتحت يده وسيطرته المادية، سواء كانت في صورة وثائق ورقية، أو في صورة قواعد بيانات وسجلات إلكترونية والزمه المشرع بتوفير الحماية اللازمة لهذه البيانات وذلك باتباع الإجراءات والاحتياطات التي يتضمنها هذا القانون.

ثانيا: الالتزامات التي قررها قانون البيانات الشخصية على المسؤول

كما ذكرنا في الفقرة السابقة فالمسؤول هو الشخص الطبيعي أو الاعتباري الذي تكون البيانات الشخصية تحت سيطرته المادية وفي عهدته القانونية، وقد يكون المسؤول شخص طبيعي بان يكون أحد موظفي الدولة الذين يعهد اليهم بهذه البيانات، أو قد يكون شخصا اعتباريا كأن يكون أحد الوزارات أو هيئات أو مؤسسات الدولة التي يوجد تحت يدها بيانات تخص الأفراد كالسجل المدني أو الجوازات أو وزارة الداخلية، أو غيرها من جهات سواء كانت عامة كما سبق ذكره أو خاصة،  وفي سبيل ضمان المشرع قيام هذه الجهات جميعها بتطبيق أحكام هذا القانون وتوفير الحماية اللازمة للبيانات الشخصية وضع العديد من الالتزامات على المسؤول ومن أهمها :

1- التزام المسؤول باتخاذ الإجراءات التي تحفظ وتحمي البيانات الشخصية التي تحت يده أو التي سلمت إليه من الغير، وذلك بان يتخذ المسؤول الإجراءات المعتادة وأن يبذل العناية اللازمة لحماية تلك  البيانات، وتتمثل اهم هذه الإجراءات في قيام المسؤول بتوفير جميع التدابير الأمنية اللازمة لحفظ البيانات بما فيها التدابير الإلكترونية والتقنية، وذلك من خلال وضع البيانات في سجلات، أو دفاتر، أو حوافظ محكمة لا يمكن التلاعب أو التعديل عليها، وكذلك لا يمكن لغير الأشخاص المصرح لهم قانونا بالاطلاع عليها.

وفي حالة كانت البيانات الشخصية محفوظة على أي وسيلة إلكترونية في صورة قواعد بيانات وسجلات إلكترونية، فيجب على المسؤول أن يتخذ التدابير التقنية اللازمة لحفظ تلك البيانات وحمياتها وذلك عن طريق إنشاء كلمات مرور قوية لهذه القواعد والسجلات الإلكترونية بحيث لا يمكن الدخول إليها إلا بواسطته، وعن طريق إدخال كلمة المرور المعدة مسبقا، وكذلك توفير  البرمجيات المتخصصة في حماية هذه القواعد والسجلات الإلكترونية من أي اختراق إلكتروني يتم بقصد إتلاف هذه البيانات أو التعديل عليها، أو معالجتها أو مجرد  الاطلاع عليها، الى جانب اتخاذ الوسائل الأخرى التي  ستنص عليها تعليمات مجلس حماية البيانات في هذا الشأن.

2- التزام المسؤول بوضع آلية محددة مسبقا لعملية معالجة البيانات الشخصية التي في عهدته على أن يبين الإجراءات اللازمة لهذه المعالجة، وطرق التظلم أو الاعتراض عليها بشكل يحفظ حقوق الشخص المعني وان يبين هذه الألية وتلك الإجراءات بشكل واضح على موقعه الإلكتروني  كما يلتزم المسؤول بأن يرد على الشكاوى التي تتعلق بعملية معالجة البيانات.

3- التزام المسؤول بتمكين الشخص المعنى من سحب الموافقة المسبقة التي قد يكون أبداها بالسماح بالاطلاع على بياناته الشخصية، أو معالجتها ووضع الآلية اللازمة لتمكينه من هذا الحق.

4- التزام المسؤول بتصحيح أي من البيانات الشخصية التي وردت على غير الحقيقة، أو وردت منقوصة وغير كاملة، أو تلك البيانات التي وردت مخالفة للواقع، ومنعه القيام بذلك اذا كانت هذه البيانات جمعت بقصد منع وقوع جريمة أو لاكتشاف مرتكبها أو لملاحقته.

• حيث نصت المادة(  8 ) من قانون البيانات الشخصية على  ( يلتزم المسؤول بما يلي:-

أ- اتخاذ الإجراءات اللازمة لحماية البيانات التي في عهدته وتلك التي سلمت إليه من قبل أي شخص آخر.

ب- اتخاذ التدابير الأمنية والتقنية والتنظيمية التي تكفل حماية البيانات من أي إخلال بأمنها وسلامتها أو أي كشف أو تغيير أو إضافة أو إتلاف أو إجراء غير مصرح به وفقا لتعليمات يصدرها المجلس لهذه الغاية.

ج- وضع الآليات والإجراءات التي تخضع لها  المعالجة وتلقي الشكاوى بخصوصها والرد عليها وفقًا لأحكام هذا القانون والأنظمة والتعليمات الصادرة بمقتضاه ونشرها على الموقع الإلكتروني الخاص به وفي وسائل الإعلام المتاحة.

د-  توفير الوسائل التي من شأنها تمكين الشخص المعني من ممارسة حقوقه وفقا لأحكام هذا القانون.

هـ- تصحيح البيانات غير الكاملة أو غير الدقيقة اذا تبين له عدم صحتها أو عدم مطابقتها مع الواقع قبل البدء بالمعالجة باستثناء البيانات التي جمعت لمنع وقوع الجريمة أو اكتشافها أو ملاحقتها .

و- تمكين الشخص المعني من الاعتراض على المعالجة وسحب الموافقة المسبقة والوصول إلى بياناته وتحديثها، و توفير الوسائل التي يراها مناسبة لتمكينه من ذلك بطريقة آمنة ).

ثالثا: لالتزامات التي قررها قانون البيانات الشخصية على المسؤول في مرحلة المعالجة

كما اشرنا سابقا فإن المسؤول عن البيانات الشخصية قد يكون له الحق في معالجة البيانات الشخصية اذا ما اتضح عدم صحتها أو مخالفتها للواقع وفقا لأحكام هذا القانون، إلا أن المشرع قد وضع العديد من الالتزامات في مواجهة المسؤول خلال هذه المرحلة لضمان قيامه بهذه العملية بشكل يتفق مع أهداف هذا القانون و أهمها حماية البيانات الشخصية للأفراد ومن اهم الالتزامات التي قررها المشرع على المسؤول خلال هذه المرحلة :

1– الزام المسؤول بإعلام الشخص المعني بأن المسؤول بصدد القيام بعملية معالجة لبياناته الشخصية، ويجب أن يكن هذا الإعلام الى شخص المعني بالبيانات، وإعلامه إما خطيا أو إلكتروني، كما يجب أن يتضمن هذا الإعلام مضمون البيانات التي ستخضع للمعالجة، والميعاد المقرر لهذه المعالجة ، كما يجب تحديد الهدف من هذه المعالجة والمدة التي ستستغرقها المعالجة، و اشترط المشرع ألا يتم تمديد هذه المددة إلا بعد الحصول على موافقة الشخص المعني الى جانب التزام المسؤول بإعلام الشخص المعني بالشخص القائم بالمعالجة (المعالج ) وغيرها من اشتراطات نصت عيها المادة 9 من قانون حماية البيانات الشخصية حيث جاء نصها : ( مع مراعاة المادة (6) من هذا القانون، يتعين على المسؤول وقبل البدء بالمعالجة إعلام الشخص المعني خطيا أو إلكترونيا بما يلي:-

أ-  البيانات التي ستتم معالجتها وتاريخ البدء بذلك.

ب-  الغرض الذي تجرى من أجله معالجة بياناته.

ج- المدة الزمنية التي ستتم خلالها معالجة البيانات على أن لا يتم تمديد هذه المدة إلا بموافقة الشخص المعني ووفقا لأحكام هذا القانون .

د-  المعالج الذي سيشارك المسؤول في تنفيذ المعالجة .

هـ- ضوابط أمن وسلامة وحماية البيانات.

و-  معلومات عن التشخيص ).

2- الزام المسؤول بإخفاء البيانات أو محوها بناء على طلب صاحب الشأن أو الوحدة اذا توافرت الشروط

الزم المشرع الأردني المسؤول بإخفاء البيانات أو محوها واتخاذ ما يزم من تدابير لتحقيق ذلك اذا توافرت احد الحالات الآتية :

1- إذا ثبت للوحدة أو للشخص المعني أن عملية المعالجة قد تمت بما يخالف الغرض الذي صدرت الموافقة لأجله، والمقصود بالوحدة في تطبيق هذا القانون وعلى ما قررته المادة ( 2 ) منه أنها : ( الوحدة التنظيمية المختصة بحماية البيانات الشخصية في الوزارة ).

2- إذا قام الشخص المعني بسحب الموافقة المسبقة الصادرة منه بمعالجة بياناته، فيجب في هذه الحالة أيضا أن يقوم المسؤول بإخفاء ومحو هذه البيانات التي تمت معالجتها، إلا أن المسؤول لا يقع عليه هذا الالتزام اذا كانت المعالجة قد تمت وفقا لأحكام المادة ( 6 ) من هذا القانون والتي تجيز المعالجة في حالات معينة دون اشتراط الحصول على موافقة مسبقة من الشخص المعني.

3- اذا كانت المعالجة قد تمت بطريقة أو بإجراءات تخالف أحكام قانون البيانات الشخصية والأنظمة والتعليمات المتعلقة به.

• حيث نصت المادة ( 10 ) من قانون حماية البيانات الشخصية على : ( أ-  يتم محو البيانات أو إخفاؤها واتخاذ التدابير اللازمة لذلك من قبل المسؤول بناء على طلب الشخص المعني أو الوحدة في أي من الحالات التالية:-

1-إذا تمت المعالجة لغرض غير الذي جمعت من أجله أو بشكل غير الذي تمت الموافقة المسبقة عليه.

2-إذا سحب الشخص المعني الموافقة المسبقة التي كانت تستند إليها المعالجة ما لم تتطلب التشريعات الأخرى  غير ذلك .

3-إذا خضعت البيانات لمعالجة خلافا لأحكام هذا القانون والأنظمة والتعليمات الصادرة بمقتضاه.

4-إذا كان تنفيذا لالتزام قانوني أو تعاقدي.

ب- لا تسري أحكام الفقرة (أ) من هذه المادة على المعالجة التي تتم وفقا لأحكام المادة (6) من هذا القانون ).

3-  التزام المسؤول بتعيين المراقب في الحالات التي ينص عليها القانون

عرف المشرع الأردني في المادة ( 2 من قانون حماية البيانات الشخصية المراقب بأنه : ( الشخص الطبيعي المعين للإشراف على قواعد البيانات والمعالجة وفقا لأحكام هذا القانون).

وقد ألزم المشرع الأردني المسؤول بتعيينه لمراقب يقوم بدوره في الإشراف والرقابة على معالجة قواعد البيانات والتأكد من  القيام بها من قبل المعالج بالشروط والإجراءات المقررة قانونان وقد عدد المشرع الأردني الحالات التي يجب على المسؤول تعيين مراقب فيها على الحالات الآتية:

1– اذا كان المسؤول شخصا طبيعيا وهو المسؤول بنفسه عن عملية معالجة البيانات:  إذ في هذه الحالة رأى المشرع ضرورة وجود شخص آخر يتولى مسؤولية رقابة معالجة البيانات،  حيث يعد ذلك ضمانة قوية لمعالجة البيانات الشخصية بشكل يتفق مع القانون، خاصة أنه لا يتصور قيام هذه الضمانة إذا كان المسؤول  هو ذاته القائم بالمعالجة دون رقابة من شخص آخر.

2– اذا كان عملية المعالجة تتم على بيانات شخصية خاصة بشخص لا يتمتع بالأهلية القانونية اللازمة:  وذلك سواء كان قاصرا، أو مصابا بعاهة عقلية، كالجنون، أو العته ويرجع السبب في ذلك الى رغبة المشرع في زيادة حماية البيانات الشخصية لهذه الطائفة من الأشخاص نظرا لظروفهم الشخصية  المتمثلة في صغر أعمارهم أو في فقدانهم لقواهم العقلية كليا أو جزئيا، وهو الأمر الذي يستلزم فرض مزيدا للحماية على بيانتهم الشخصية حتى لا تتعرض الى أي معالجة غير صحيحة تضيع حقوقهم، خاصة مع انتفاء مقدرتهم على الاعتراض بشخصهم على المعالجة الغير صحيحة لبيانتهم بخلاف الأشخاص الطبيعيين المتمتعين بكامل أهليتهم القانونية.

3– إذا كانت المعالجة تتم على بيانات أو معلومات مالية: فهذا النوع من البيانات يستحق أيضا المزيد من الحماية نظرا لخطورة الخطأ في معالجتها.

4- اذا كان دور المسؤول نقل بيانات شخصية الى خارج المملكة.

• حيث نصت المادة ( 11 / أ  )  على هذه الحالات بقولها : ( أ- يلتزم المسؤول بتعيين المراقب في الحالات التالية:-

1-اذا كان العمل الرئيسي للمسؤول معالجة البيانات الشخصية.

2- معالجة البيانات الشخصية الحساسة.

3- معالجة البيانات لمن لا يتمتع بالأهلية القانونية.

4- معالجة البيانات التي تتضمن معلومات مالية.

5- نقل قواعد البيانات إلى خارج المملكة.

6- أي حالة أخرى يقرر المجلس الزام المسؤول بتعيين المراقب لأجلها )

• وتظهر أهمية تعيين المراقب من خلال ما قررته الفقرة (ب من المادة 11 ) والتي أوضحت مهام المراقب ومسؤولياته والتي  تدور جميعها حول إضفاء مزيد من الحماية للبيانات الشخصية والتأكد من التزام المسؤول بتنفيذ عملية المعالجة بشكل يتفق مع القانون وأحكامه حيث جاء نصها : ( ب- يتولى المراقب المهام والمسؤوليات التالية:-

1- مراقبة إجراءات المسؤول المتعلقة بحماية البيانات وتوثيق مدى توافقها مع أحكام هذا القانون والتشريعات ذات العلاقة.

2- التأكد من إجراء التقييم والفحص الدوري لأنظمة قواعد البيانات وأنظمة معالجة البيانات وأنظمة المحافظة على أمن وسلامة وحماية البيانات بشكل دوري على أن يقوم بتوثيق نتائج التقييم وإصدار التوصيات اللازمة لحماية البيانات ومتابعة تنفيذ هذه التوصيات.

3- العمل كضابط ارتباط مباشر مع الوحدة والجهات الأمنية والقضائية فيما يخص الالتزام بأحكام هذا القانون.

4- وضع تعليمات داخلية لتلقي الشكاوى ودراستها   وطلبات الوصول للبيانات، وطلبات تصحيحها أو محوها أو إخفائها أو نقلها، وإتاحة ذلك للشخص المعني وفق أحكام القانون.

5- تمكين الشخص المعني من ممارسة حقوقه المنصوص عليها في هذا القانون.

6- تنظيم البرامج التدريبية اللازمة لموظفي المسؤول والمعالج لتأهيلهم للتعامل مع البيانات بما يتناسب ومتطلبات هذا القانون والأنظمة والتعليمات الصادرة بمقتضاه.

7- أي مهام أو مسؤوليات أخرى منوطة به بمقتضى أحكام هذا القانون والأنظمة والتعليمات الصادرة بمقتضاه ).

4– التزام المسؤول بعدم تبادل البيانات أو نقلها مع الغير إلا بموافقة الشخص المعني

اشترط المشرع الأردني ألا يتم نقل البيانات أو مبادلتها مع الغير إلا بموافقة الشخص المعني بها، وأن يكون النقل أو المبادلة بهدف تحقيق مصلحة مشروعة للمسؤول أو المتلقي كتأكيد هذه البيانات، أو مقارنتها بغيرها من بيانات مع علم الشخص المعني الغرض من نقل هذه البيانات.

• وقد نصت المادة ( 14 ) من قانون حماية البيانات الشخصية على : ( أ- لا يجوز نقل البيانات وتبادلها بين المسؤول وأي شخص آخر بمن فيهم المتلقي إلا بموافقة الشخص المعني ووفقا للشروط التالية:-

1-أن يحقق النقل مصالح مشروعة للمسؤول والمتلقي.

2- أن يتوافر العلم الكافي لدى الشخص المعني بالمتلقي والأغراض التي ستستخدم البيانات من أجلها.

3- أن لا يكون الغرض من النقل التسويق لمنتجات أو خدمات ما لم يوافق الشخص المعني على ذلك .

ب- يلتزم المسؤول بالاحتفاظ بسجلات توثق فيها البيانات التي تم نقلها أو تبادلها مع المتلقي والغرض من ذلك وتوثيق موافقات الأشخاص المعنيين على النقل.

ج- على الرغم مما ورد في الفقرتين (أ) و(ب) من هذه المادة يجوز نقل البيانات وتبادلها بين الجهات العامة المختصة بالقدر الذي يقتضيه تنفيذ المهام المنوطة بها قانونا .

د-  يخضع المتلقي للمسؤوليات والواجبات القانونية ذاتها المقررة على المسؤول.

هـ- يلتزم المسؤول والمعالج والمتلقي بضمان سلامة وأمن البيانات وتهيئة الوسائل المناسبة التي تساعد في اكتشاف وتعقب حالات الاعتداء على أمنها وسلامتها).

ثالثا: التعريف بمعالج البيانات الشخصية ومهامه

عرفت المادة ( 2 ) من قانون حماية البيانات الشخصية المعالج بقولها : ( الشخص الطبيعي أو الاعتباري الذي يكون مختصا بمعالجة البيانات ) .

• ويعرف أهل الاختصاص عملية المعالجة بأنها : ( إجراء سلسلة متتابعة من العمليات أو الإجراءات على معلومات محددة خاصة بموضوع ما، بغرض تحقيق نتائج معينة يحددها تخطيط للوصول لحل ). [1]

وعرفتها المادة (2 ) من هذا القانون بأنها : ( عملية واحدة أو أكثر يتم إجراؤها بأي شكل أو وسيلة بهدف جمع البيانات أو تسجيلها أو نسخها أو حفظها أو تخزينها أو تنظيمها أو تنقيحها أو استغلالها أو استعمالها أو إرسالها أو توزيعها أو نشرها أو ربطها ببيانات أخرى أو إتاحتها أو نقلها أو عرضها
أو إخفاء هويتها أو ترميزها أو إتلافها أو تقييدها أو محوها أو تعديلها أو توصيفها أو الإفصاح عنها بأي وسيلة كانت).

• ترتيبا على ما سبق فالمعالج هو الشخص الذي يتعامل مع البيانات بشكل مباشر وبالتالي فقد عنى المشرع بوضع الالتزامات التي يجب على المعالج العمل وفقها أثناء عملية المعالجة، وذلك لضمان أداء عملية المعالجة بشكل يتفق مع هذا القانون ومحققا لأهدافه، ومن اهم  الالتزامات التي يجب على المعالج العمل وفقها:

1- أن يقوم بعملية المعالجة بشكل دقيق ووفقا للمتطلبات والشروط المقررة في هذا القانون

2- العمل على عدم التوسع في المعالجة عن القدر المقرر لها بحيث يحقق المعالج الغرض من المعالجة دون زيادة أو نقصان

3- أن يلتزم بواجب محو البيانات بمجرد انتهاء المعالجة ا وان يقوم بتسلميها الى المسؤول

4- أن يمتنع عن القيام باي عمل يخالف أحكام هذا القانون خاصة منعه من نشر البيانات الشخصية سواء قبل المعالجة أو بعدها إلا  في الحالات التي أجاز القانون ذلك.

• حيث نصت المادة ( 12 ) منه على: ( يلتزم المعالج بما يلي:-

أ-  إجراء المعالجة وتنفيذها وفقا للمتطلبات والشروط المنصوص عليها في هذا القانون والأنظمة والتعليمات الصادرة بمقتضاه.

ب- عدم تجاوز الغرض المحدد للمعالجة ومدتها .

ج-  محو البيانات بانقضاء مدة المعالجة أو تسليمها للمسؤول.

د-   الامتناع عن القيام بأي عمل يكون من شأنه إتاحة البيانات أو نتائج المعالجة إلا في الأحوال المصرح بها قانونا ).

إعداد: محمد إسماعيل حنفي

[1] علاء السالمي، تكنولوجيا المعلومات ، دار المناهج، الأردن، 2009 ، ص 65