نظرة عامة حول قانون حماية البيانات الشخصية الأردني
لا يخفى عن الفطنة ما تمثله البيانات الشخصية من أهمية للأفراد خاصة تلك البيانات ذات الخصوصية التي قد يلحق الفرد ضررا في حال معالجتها بشكل يخالف القانون سواء بإضافة بيانات غير صحيحة أو تعديل أو نسخ أو نشر بيانات صحيحة تلحق الضرر بالشخص المعني بها، ومع التقدم التكنولوجي المتسارع وما ترتب عليها من تخزين البيانات الشخصية على سجلات وقواعد بيانات إلكترونية سواء في المستشفيات أو البنوك أو السجلات العدلية فقد اصبح من الممكن معالجة هذه البيانات بطرق تؤدي الى ضرر الشخص المعني بها ضررا كبير وهو ما لفت نظر المشرع الأردني وعليه فقد سن تشريعا خاصا بحماية البيانات الشخصية وهو القانون رقم 24 لسنة 2023 وفي خلال هذا المثال سوف نتناول أهم ما جاء في هذا القانون من أحكام على التفصيل الآتي :
ثانيا: مظاهر حماية المشرع الأردني للبيانات الشخصية في ظل قانون حماية البيانات الشخصية
ثالثا: القواعد والضوابط اللازمة لمعالجة البيانات الشخصية
ثالثا: تشكيل مجلس حماية البيانات الشخصية
أولا: تعريف البيانات الشخصية
يعتبر مصطلح البيانات الشخصية من المصطلحات الدارجة وكثيرة الذكر إلا أن تعريفها ظل لفترة طويلة ليس محل اتفاق بين الفقهاء، حيث يرى البعض أنها البيانات التي يحاول الفرد فرض السرية عليها بحيث يصعب على الغير معرفتها بدون إذنه وهي غالبا المعلومات المتعلقة بصحته وماليته وحياته العائلية. [1] ويرى جانب آخر أنها المعلومات المتعلقة بشخص ما دون اشتراط أن تكون خاصة كالمعلومات المتعلقة بانتمائه السياسي أو النقابي وحياته المنهية أو حتى حياته العامة.[2]
ـ ويرى البعض أن البيانات الشخصية هي تلك البيانات التي تتعلق بحرمة حياة الإنسان الخاصة وتحدد ميوله واتجاهاته كالمعتقدات الدينية والاتجاهات السياسية ومعاملاته المالية والبنكية وهواياته وجنسيته.([3])
- ومن اهم التعريفات التي ساقها الفقه القانوني في معرض تعريف البيانات الشخصية أنها المعلومات الملتصقة بالشخص الطبيعي وتلازمه وتجعل من السهل معرفته أو تجعله قابلا للتعريف.([4])
ومع زيادة أهمية البيانات الشخصية والتفكير في إسباغ الحماية القانونية عليها خاصة مع التطور التكنولوجي الرهيب الحادث مؤخرا، وما ترتب عليه من توسيع مفهوم البيانات الشخصية وزيادة عناصره فقد أدى كل ذلك إلى ضرورة وضع تعريف جامع لمفهوم البيانات الشخصية وهو ما تنبه له المشرع الأردني، فقد عرف البيانات الشخصية في المادة الثانية من القانون رقم 24 لسنة 2023 وهو قانون حماية البيانات الشخصية بأنها : ( البيانات لشخصية : أي بيانات أو معلومات تتعلق بشخص طبيعي ومن شأنها التعريف به بطريقة مباشرة أو غير مباشرة مهما كان مصدرها أو شكلها بما في ذلك البيانات المتعلقة بشخصه أو وضعه العائلي أو أماكن تواجده ).
و فرق المشرع بين البيانات الشخصية، والبيانات الشخصية الحساسة كون الثانية أكثر خصوصية من الأولى، فبينما البيانات الشخصية قد تعني اسم الشخص الطبيعي، أو عمره، أو نوعه فإن البينات الشخصية الحساسة: هي بيانات تشمل أمور وعناصر أكثر دقة وأكثر حساسية بالنسبة للشخص مثل معتقداته الدينية وآراءه السياسية وكذلك أصله العرقي وكذلك المعلومات الخاصة بسجله الجنائي أو معاملاته المالية، أو البنكية، أو البيانات الخاصة بحالته الصحية وغيرها من أمور خاصة ليس من الدارج اطلاع الجميع عليها، لذلك فقد عرفها المشرع الأردني بتعريف خاص في المادة الثانية من قانون حماية البيانات الشخصية الأردني بقوله : ( البيانات الشخصية الحساسة: أي بيانات أو معلومات تتعلق بشخص طبيعي تدل بصورة مباشرة أو غير مباشرة على أصله أو عرقه أو تدل على آرائه أو انتماءاته السياسية أو معتقداته الدينية أو أي بيانات تتعلق بوضعه المالي أو بحالته الصحية أو الجسدية أو العقلية أو الجينية أو بصماته الحيوية (البيو مترية) أو بسجل السوابق الجنائية الخاص به أو أي معلومات أو بيانات يقرر المجلس اعتبارها حساسة إذا كان إفشاؤها أو سوء استخدامها يلحق ضررا بالشخص المعني بها ) .
– كما تضمنت المادة الثانية من قانون حماية البيانات الشخصية العديد من التعريفات الهامة والتي تساعد في معرفة نطاق تطبيق هذا القانون ومن اهم هذه التعريفات:
1- مفهوم البيانات الشخصية والبيانات الشخصية الحساسة السابق ذكرهما
2- تعريف المقصود بقواعد البيانات حيث عرفها المشرع بأنها : (الملفات أو السجلات الإلكترونية أو غير الإلكترونية التي تشتمل على البيانات).
3- تعريف الإخلال بأمن وسلامة البيانات حيث عرفها المشرع : ( أي وصول غير مشروع أو أي عملية أو نقل أو إجراء غير مصرح به على البيانات ).
4- تعريف المسئول والمعالج والمراقب حيث عرف المسئول بأنه : (أي شخص طبيعي أو اعتباري سواء أكان داخل المملكة أم خارجها تكون البيانات في عهدته)، كما عرف المعالج بأنه: ( الشخص الطبيعي أو الاعتباري الذي يكون مختصا بمعالجة البيانات )، وعرف المراقب بأنه : ( الشخص الطبيعي المعين للإشراف على قواعد البيانات والمعالجة وفقا لأحكام هذا القانون الشخص الطبيعي المعين للإشراف على قواعد البيانات والمعالجة وفقا لأحكام هذا القانون ).
5- كما عرف عملية معالجة البيانات بأنها : (عملية واحدة أو أكثر يتم إجراؤها بأي شكل أو وسيلة بهدف جمع البيانات أو تسجيلها، أو نسخها، أو حفظها، أو تخزينها، أو تنظيمها، أو تنقيحها، أو استغلالها أو استعمالها، أو إرسالها، أو توزيعها، أو نشرها أو ربطها ببيانات أخرى أو إتاحتها أو نقلها أو عرضها، أو إخفاء هويتها، أو ترميزها، أو إتلافها، أو تقييدها، أو محوها، أو تعديلها، أو توصيفها، أو الإفصاح عنها بأي وسيلة كانت ).
– و يمكننا القول أن المشرع الأردني وفي ظل رغبته في مواجهة العديد من الأفعال التي يظهر فيها تعدي على حريات الأشخاص وخاصة حقهم في حفظ وتأمين بياناتهم الشخصية وخاصة الحساسة منها فقد اصدر هذا التشريع لمواجهة ظاهرة تسريب البيانات الشخصية للأفراد أو التعديل عليها دون إذن مسبق، فلا مناص أن تسريب البيانات الشخصية لأحد المرضى أو تسريب بيانات السجل الجنائي أو لبيانات البنكية أو حتى عنوان أحد الأفراد ما قد يصيبه بضرر أو يسهل من ارتكاب جريمة جزائية ضده.
وهناك تسائل هام يتم طرحه وهو مما هي آلية أو كيفية الاعتداء على البيانات الشخصية ؟
الحقيقة أن التطور التكنولوجي الحالي قد ساهم في تغيير طريقة تخزين البيانات الشخصية، فبينما قديما كانت البيانات الشخصية تخزن في سجلات ورقية، أصبح الوضع الآن مختلفا فأصبح تخزين هذه البيانات غالبا ما يتم على الأجهزة الإلكترونية في صورة السجلات الإلكترونية أو قواعد البيانات الإلكترونية والتي اصبح وجودها طبيعيا في جميعا الهيئات الحكومية وكذلك المستشفيات والبنوك، ولا شك أن هذه البيانات قد تتعرض إلى العديد من الأفعال التي تشكل خرقا لمبدأ حماية البيانات الشخصية، مثل الإفصاح عنها بدون مسوغ قانوني، أو تسريبها، أو نشرها، إضافة إلى إمكانية تعديل ومعالجة هذه البيانات بما قد يلحق بالمعني بها ضررا مباشرا، أو غير مباشر، وبالتالي فكان صدور هذا القانون يلبي الحاجة الملحة لحماية البيانات الشخصية، وخاصة الحساسة منها إلى جانب تقنين ووضع مسوغات تعديل، ومعالجة هذه البيانات و تحديد الشروط اللازمة ، وكذلك تحديد شروط الإفصاح عنها أو نشرها وذلك كله يأتي اتساقا مع ما قرره الدستور الأردني خاصة ما ورد في المادة (7) منه : (1- الحرية الشخصية مصونة .
2- كل اعتداء على الحقوق والحريات العامة أو حرمة الحياة الخاصة للأردنيين جريمة يعاقب عليها القانون).
ثانيا: مظاهر حماية المشرع الأردني للبيانات الشخصية في ظل قانون حماية البيانات الشخصية
لا شك أن قانون حماية البيانات الشخصية قد تضمن العديد من القواعد والإجراءات التي تهدف بشكل صريح وواضح إلى حماية البيانات الشخصية للأفراد، إذ هي باعث المشرع في استصدار هذا القانون ومن أهم ما جاء في هذا القانون:
– أولا: تقرير حق الأشخاص في صون وحماية بياناتهم الشخصية وعدم جواز معالجتها إلا بعد الحصول على موافقة مسبقة منهم، أو في حالة توفر مسوغ قانوني لذلك، و كذلك تقرير حق الشخص المعني بالاطلاع على هذه البيانات وطلب تصحيحها، أو تعديلها أو تحديثها أو محوها أو إخفائها، وكذلك الحق في الاعتراض على البيانات أو على معالجتها أو تعديلها أو تشخيصها إذا كان هناك مبرر لذلك، وهو ما تضمنته المادة( 4 ) من قانون حماية البيانات الشخصية بنصها على : ( مع مراعاة المادة (6) من هذا القانون:-
أ- لكل شخص طبيعي الحق في حماية بياناته ولا يجوز معالجتها ألا بعد الحصول على الموافقة المسبقة للشخص المعني أو في الأحوال المصرح بها قانونا.
ب- يتمتع الشخص المعني بالحقوق التالية:-
1- العلم والاطلاع والوصول إلى البيانات الموجودة لدى المسؤول والحصول عليها.
2- سحب الموافقة المسبقة.
3- التصحيح أو التعديل أو الإضافة أو التحديث للبيانات .
4- تخصيص المعالجة في نطاق محدد.
5- المحو أو الإخفاء للبيانات وفقاً لأحكام هذا القانون.
6- الاعتراض على المعالجة والتشخيص إذا كانا غير ضروريين لتحقيق الأغراض التي جمعت البيانات من أجلهما أو كانتا زائدتين على متطلباتها أو تمييزية أو مجحفة أو مخالفة للقانون.
7- نقل نسخة من بياناته من المسؤول إلى مسؤول آخر.
8- العلم والمعرفة بأي خرق أو انتهاك أو إخلال بأمن وسلامة بياناته.
ج- لا يترتب على ممارسة الشخص المعني لحقوقه المنصوص عليها في الفقرة (ب) من هذه المادة أي تبعات مالية أو تعاقدية بما لا يخل بحقوق المسؤول.
د- تنظم أحكام هذه المادة بمقتضى نظام يصدر لهذه الغاية ).
– ثانيا: التشديد في شروط الموافقة المسبقة وإحاطتها بالعديد من الضوابط
كما أوضحت المادة ( 5 ) من ذات القانون الشروط الواجب توافرها في الموافقة المسبقة التي يبديها الشخص المعني وحالات عدم الاعتداد بهذه الموافقة حيث جاء نصها : (أ- يشترط في الموافقة المسبقة ما يلي:-
1- أن تكون صريحة وموثقة خطيا أو إلكترونيا.
2- أن تكون محددة من حيث المدة والغرض .
3- أن يكون الطلب بلغة واضحة وبسيطة وغير مضللة ويمكن الوصول إليه بسهولة.
4- موافقة أحد والدي أو ولي الشخص الذي لا يتمتع بالأهلية القانونية أو موافقة القاضي بناء على طلب الوحدة إذا اقتضت المصلحة الفضلى لمن لا يتمتع بالأهلية القانونية ذلك.
ب- لا يعتد بالموافقة المسبقة في الحالتين التاليتين:-
1- إذا صدرت استنادا إلى معلومات غير صحيحة أو ممارسات خادعة أو مضللة وكانت هي السبب في قرار الشخص المعني بمنحها.
2- إذا تم تغيير طبيعة المعالجة أو نوعها أو أهدافها دون الحصول على موافقة بذلك).
- والبين من هذا النص أن المشرع أراد حماية حق الشخص في حماية بياناته الشخصية لأقصى درجة ممكنة، فبالرغم من الاكتفاء بشرط موافقة الشخص المعني لتمكين الغير من تعديل بياناته، إلا أنه أحاط هذه الموافقة بالعديد من الشروط والضمانات خاصة إذا كان الشخص المعني لا يتمتع بالأهلية القانونية اللازمة.
-
كما واجه عملية الحصول على موافقة مسبقة من الشخص المعني التي تكون مبنية على غش، أو خداع، أو معلومات غير صحيحة، فاعتبر الموافقة المبينة على أي من هذه الأسباب غير نافذة ولا يعتد بها وكذلك في حالة إذ تم تغير طبيعة المعالجة أو التعديل، أو تغيير الهدف منها إذ في هذه الحالة يشترط الحصول على موافقة جديدة من الشخص المعني ولا يعتد بالموافقة السابقة.
– ثالثا: تقرير المسئولية المدنية والجزائية على كل من ثبت ارتكابه تعديا على البيانات الشخصية دون مسوغ، و يعتبر ذلك من أهم مظاهر حماية البيانات الشخصية للأفراد إذ قرر المشرع مسائلة كل من يثبت خرقه لحكام قانون البيانات الشخصية جزائيا ومدنيا.
- فمن الناحية الجزائية جعل المشرع الأردني فعل الاعتداء على البيانات الشخصية سواء من قبل الأفراد أو الأشخاص المعنوية مخالفة وجريمة جزائية نصت عليها المواد (21 ، 22 ) من القانون حيث نصت المادة (21 ) على : ( أ- في حال ارتكاب أي مخالفة لأحكام هذا القانون والأنظمة والتعليمات الصادرة بمقتضاه تقوم الوحدة بإنذار المخالف للتوقف عن المخالفة وإزالة أسبابها وآثارها خلال مدة تحددها في الإنذار وإذا انقضت هذه المدة دون تنفيذ مضمون الإنذار يتخذ المجلس بناء على تنسيب الوحدة أيا من الجزاءات التالية:-
1-الإنذار بإيقاف الترخيص أو التصريح جزئيا أو كلياً.
2-إيقاف الترخيص أو التصريح جزئياً أو كلياً.
3-إلغاء الترخيص أو التصريح جزئيا أو كليا.
4-فرض غرامة مالية لا يزيد مقدارها على (500) دينار عن كل يوم تستمر فيه المخالفة على أن لا يزيد مجموع مبلغ الغرامة المفروضة على (3%) من إجمالي الإيرادات السنوية للسنة المالية السابقة للمسؤول المخالف.
ب- يجوز للوحدة نشر بيان بالمخالفات التي ثبت وقوعها على نفقة المخالف بالوسيلة والكيفية التي تراها مناسبة.
ج- لا يحول اتخاذ أي من الإجراءات المنصوص عليها في الفقرة (أ) من هذه المادة دون حق المتضرر من إقامة دعوى التعويض المدني عن الأضرار التي لحقت به نتيجة مخالفة أحكام هذا القانون والأنظمة والتعليمات الصادرة بمقتضاه) .
- كما نصت المادة ( 22 ) من ذات القانون على : ( أ- مع عدم الإخلال بأي عقوبة أشد ورد النص عليها في أي تشريع آخر يعاقب كل من يخالف أحكام هذا القانون والأنظمة والتعليمات الصادرة بمقتضاه بغرامة لا تقل عن (1000) الف دينار ولا تزيد على (10000) عشرة آلاف دينار وتضاعف العقوبة في حال التكرار.
ب- إضافة إلى العقوبة المنصوص عليها في الفقرة (أ) من هذه المادة يجوز للمحكمة المختصة بناء على طلب النيابة العامة أو المتضرر أو من تلقاء نفسها أن تقضي بإتلاف البيانات أو إلغاء قاعدة البيانات موضوع الدعوى التي صدر بها قرار قطعي بالإدانة ) .
- و فيما يتعلق بالمسئولية المدنية فرغم أن القواعد العامة تقرر مسئولية الشخص عن أفعاله الغير مشروعة وطالما قرر المشرع الأردني أن مجرد الاعتداء على البيانات الشخصية دون مسوغ قانوني فعلا يشكل جريمة جزائية يستحق مرتكبها العقاب الجزائي، فان ذلك يعتبر كافيا لتقرير المسؤولية المدنية تباعا للمسؤولية الجزائية، إلا أن المشرع الأردني وفي سبيل التأكيد على ذلك فقد نصت المادة ( 21 ) في الفقرة الأخيرة منها (ج ) على : ( ج- لا يحول اتخاذ أي من الإجراءات المنصوص عليها في الفقرة (أ) من هذه المادة دون حق المتضرر من إقامة دعوى التعويض المدني عن الأضرار التي لحقت به نتيجة مخالفة أحكام هذا القانون والأنظمة والتعليمات الصادرة بمقتضاه )
ثالثا: القواعد والضوابط اللازمة لمعالجة البيانات الشخصية
وضع المشرع الأردني العديد من القواعد والضوابط اللازم لإجراء عملية المعالجة للبيانات الشخصية، وقد بينا في العنصر السابق ما قرره المشرع من شروط لإجراء تعديل على البيانات الشخصية بموافقة المعنى بذلك، إلا أن المشرع أيضا أجاز في بعض الحالات وعلى سبيل الاستثناء إجراء معالجة للبيانات والتعديل عليها دون اشتراط الحصول على موافقة الشخص المعني، وذلك في الحالات التي قررها المشرع الأردني في المادة ( 9 ) من القانون حيث نصت على : ( أ- تعد المعالجة قانونية ومشروعة ويجوز إجراؤها دون الحصول على الموافقة المسبقة أو إعلام الشخص المعني في الحالات التالية:-
1- المعالجة التي تتم مباشرة من قبل جهة عامة مختصة بالقدر الذي يقتضيه تنفيذ المهام المنوطة بها وفقاً لأحكام التشريعات النافذة أو من خلال جهات أخرى متعاقد معها على أن يتضمن التعاقد مراعاة كافة الالتزامات والشروط المنصوص عليها في هذا القانون والأنظمة والتعليمات الصادرة بمقتضاه.
2-اذا كانت ضرورية للأغراض الطبية الوقائية أو التشخيص الطبي أو تقديم الرعاية الصحية من قبل المرخص له بمزاولة أي من المهن الطبية .
3- إذا كانت ضرورية لحماية حياة الشخص المعني أو لحماية مصالحه الحيوية.
4- إذا كانت ضرورية لمنع جريمة أو لكشفها من قبل جهة مختصة أو لملاحقة الجرائم المرتكبة خلافا لأحكام القانون.
5- إذا كانت مطلوبة أو مصرحا بها بموجب أي من التشريعات أو تنفيذا لها أو بقرار من المحكمة المختصة.
6- إذا كانت مطلوبة لأغراض قيام الجهات الخاضعة لرقابة وإشراف البنك المركزي الأردني بأعمالها وفقا لما يقرره البنك المركزي الأردني بما في ذلك نقل وتبادل البيانات داخل المملكة أو خارجها.
7- المعالجة التي تتم وفقاً لأحكام النظام الصادر بمقتضى أحكام هذا القانون.
8- إذا كانت ضرورية لأغراض البحث العلمي أو التاريخي شريطة أن لا يكون الغرض منها اتخاذ أي قرار أو إجراء بشأن شخص محدد.
9- إذا كانت ضرورية لأغراض إحصائية أو لمتطلبات الأمن الوطني أو لتحقيق المصلحة العامة.
10- إذا كان محل المعالجة بيانات متاحة للجمهور من الشخص المعني.
ب- لا يجوز الاحتفاظ بالبيانات التي تمت معالجتها بعد انتهاء الغرض من المعالجة ما لم تنص التشريعات على خلاف ذلك ) .
- ثم جاءت المادة (10 ) لتبين الشروط اللازمة في عملية المعالجة ذاتها حيث نصت على : ( يشترط في المعالجة ما يلي:-
أ- أن يكون الغرض منها مشروعا ومحددا وواضحا .
ب- أن تكون متفقة مع الأغراض التي تم جمع البيانات من أجلها.
ج- أن تتم بوسائل قانونية ومشروعة.
د- أن تستند إلى بيانات صحيحة ودقيقة ومحدثة.
هـ- أن لا تؤدي إلى تحديد الشخص المعني بعد استنفاذ الغرض منها.
و- أن لا تؤدي إلى التسبب بضرر للشخص المعني أو تنال من حقوقه بشكل مباشر أو غير مباشر.
ز- أن تتم بطريقة تضمن سرية المعلومات وسلامتها وعدم حدوث أي تغيير عليها).
- كما تضمنت المواد ( 9 و 10 و 11 ) المزيد من الضمانات والإجراءات التي يجب على المسئول عن المعالجة اتخاذها لضمان تنفيذ المعالجة بشكل يتفق مع أهداف القانون، فنجد أن المادة ( 9 ) قد نصت
على : ( مع مراعاة المادة (6) من هذا القانون، يتعين على المسؤول وقبل البدء بالمعالجة إعلام الشخص المعني خطيا أو إلكترونيا بما يلي:-
أ- البيانات التي ستتم معالجتها وتاريخ البدء بذلك.
ب- الغرض الذي تجرى من أجله معالجة بياناته.
ج- المدة الزمنية التي ستتم خلالها معالجة البيانات على أن لا يتم تمديد هذه المدة ألا بموافقة الشخص المعني ووفقا لأحكام هذا القانون .
د- المعالج الذي سيشارك المسؤول في تنفيذ المعالجة .
هـ- ضوابط أمن وسلامة وحماية البيانات.
و- معلومات عن التشخيص. )
- كما نصت المادة ( 10 على : (أ- يتم محو البيانات أو إخفاؤها واتخاذ التدابير اللازمة لذلك من قبل المسؤول بناء على طلب الشخص المعني أو الوحدة في أي من الحالات التالية:-
1-إذا تمت المعالجة لغرض غير الذي جمعت من أجله أو بشكل غير الذي تمت الموافقة المسبقة عليه.
2-إذا سحب الشخص المعني الموافقة المسبقة التي كانت تستند إليها المعالجة ما لم تتطلب التشريعات الأخرى غير ذلك.
3-إذا خضعت البيانات لمعالجة خلافا لأحكام هذا القانون والأنظمة والتعليمات الصادرة بمقتضاه.
4-إذا كان تنفيذا لالتزام قانوني أو تعاقدي.
ب- لا تسري أحكام الفقرة (أ) من هذه المادة على المعالجة التي تتم وفقا لأحكام المادة (6) من هذا القانون).
كما نصت المادة 11 على : ( أ- يلتزم المسؤول بتعيين المراقب في الحالات التالية:-
1-اذا كان العمل الرئيسي للمسؤول معالجة البيانات الشخصية.
2- معالجة البيانات الشخصية الحساسة.
3- معالجة البيانات لمن لا يتمتع بالأهلية القانونية.
4- معالجة البيانات التي تتضمن معلومات مالية.
5- نقل قواعد البيانات إلى خارج المملكة.
6- أي حالة أخرى يقرر المجلس الزام المسؤول بتعيين المراقب لأجلها.
ب- يتولى المراقب المهام والمسؤوليات التالية:-
1- مراقبة إجراءات المسؤول المتعلقة بحماية البيانات وتوثيق مدى توافقها مع أحكام هذا القانون والتشريعات ذات العلاقة.
2- التأكد من إجراء التقييم والفحص الدوري لأنظمة قواعد البيانات وأنظمة معالجة البيانات وأنظمة المحافظة على أمن وسلامة وحماية البيانات بشكل دوري على أن يقوم بتوثيق نتائج التقييم وإصدار التوصيات اللازمة لحماية البيانات ومتابعة تنفيذ هذه التوصيات.
3- العمل كضابط ارتباط مباشر مع الوحدة والجهات الأمنية والقضائية فيما يخص الالتزام بأحكام هذا القانون.
4- وضع تعليمات داخلية لتلقي الشكاوى ودراستها وطلبات الوصول للبيانات، وطلبات تصحيحها أو محوها أو إخفائها أو نقلها، وإتاحة ذلك للشخص المعني وفق أحكام القانون.
5- تمكين الشخص المعني من ممارسة حقوقه المنصوص عليها في هذا القانون.
6- تنظيم البرامج التدريبية اللازمة لموظفي المسؤول والمعالج لتأهيلهم للتعامل مع البيانات بما يتناسب ومتطلبات هذا القانون والأنظمة والتعليمات الصادرة بمقتضاه.
7- أي مهام أو مسؤوليات أخرى منوطة به بمقتضى أحكام هذا القانون والأنظمة والتعليمات الصادرة بمقتضاه ) .
كما نصت المادة 12 على الالتزامات التي تقع على الشخص القائم بعملية المعالجة (المعالج ) حيث نصت على : ( يلتزم المعالج بما يلي:-
أ- إجراء المعالجة وتنفيذها وفقا للمتطلبات والشروط المنصوص عليها في هذا القانون والأنظمة والتعليمات الصادرة بمقتضاه.
ب- عدم تجاوز الغرض المحدد للمعالجة ومدتها .
ج- محو البيانات بانقضاء مدة المعالجة أو تسليمها للمسؤول.
د- الامتناع عن القيام بأي عمل يكون من شأنه إتاحة البيانات أو نتائج المعالجة ألا في الأحوال المصرح بها قانونا.)
ثالثا: تشكيل مجلس حماية البيانات الشخصية
ومن أهم ما تضمنه قانون حماية البيانات الشخصية هو الزام الحكومة بإنشاء مجلس حماية البيانات الشخصية وحدد في نصوصه كيفية تشكيل هذا المجلس، حيث يتولى رئاسته وزير الاقتصاد الرقمي والريادة وبعضوية كلا من 1- مفوض المعلومات نائبا للرئيس.
2- المفوض العام لحقوق الإنسان.
3-رئيس المركز الوطني للأمن السيبراني.
4-ممثل عن البنك المركزي .
حيث نصت المادة ( 16 ) على : (أ- يشكل مجلس يسمى (مجلس حماية البيانات الشخصية) برئاسة الوزير وعضوية كل من:-
1- مفوض المعلومات نائبا للرئيس.
2- المفوض العام لحقوق الإنسان.
3-رئيس المركز الوطني للأمن السيبراني.
4-ممثل عن البنك المركزي .
5- ممثلين اثنين عن الأجهزة الأمنية يسميهما مديرو تلك الأجهزة بناء على طلب الوزير.
6- أربعة أشخاص من ذوي الخبرة والاختصاص يسميهم مجلس الوزراء على أن يكون من بينهم ممثل عن قطاع الاتصالات وممثل عن قطاع البنوك وممثل عن قطاع تكنولوجيا المعلومات.
ب- تكون مدة العضوية في المجلس أربع سنوات قابلة للتجديد لمرة واحدة.
ج- يصدر المجلس تعليمات تنظم اجتماعاته وآلية اتخاذ قراراته وسائر الشؤون المتعلقة به.)
كما حدد المشرع مهام هذا المجلس والتي من أهمها إصدار التصاريح والتراخيص الخاصة بحفظ البيانات وتشخيصها النظر في الطلبات والاعتراضات التي يقدمها الشخص المعني وغيرها من مهام ذكرتها المادة (17 ) من القانون حيث جاء نصها : (يتولى المجلس المهام والصلاحيات التالية:-
أ- إقرار السياسات والاستراتيجيات والخطط والبرامج المتعلقة بحماية البيانات ومراقبة تنفيذها.
ب- اعتماد المعايير والتدابير الخاصة بحماية البيانات بما فيها مدونات السلوك الخاصة بحسن أداء المسؤول والمعالج لأعمالهما.
ج- إصدار التراخيص والتصاريح الخاصة بحفظ البيانات ومعالجتها وتشخيصها ونقلها.
د- اعتماد النماذج المتعلقة بالموافقة المسبقة وسحب الموافقة والاعتراضات والطلبات المقدمة من الشخص المعني وفقا لأحكام هذا القانون.
هـ- النظر في الشكاوى والطلبات المقدمة من الشخص المعني أو من يفوضه بحق المسؤول أو المقدمة من المسؤول بحق أي مسؤول آخر واتخاذ الإجراءات اللازمة بشأنها .
و- إبداء الرأي بشأن المعاهدات والاتفاقيات والتشريعات والتعليمات المتعلقة بالبيانات.
ز- تمثيل المملكة في المحافل المحلية والإقليمية والدولية المتعلقة بحماية البيانات.
ح- إصدار قائمة تحدث بشكل دوري بالدول أو الهيئات أو المنظمات الدولية أو الإقليمية المعتمدة لدى المملكة والتي يتوافر لديها مستوى الحماية الكافي للبيانات ونشرها بأي وسيلة يراها مناسبة.
ط- اقتراح خطط التعاون الدولي في مجال حماية البيانات وتبادل الخبرات مع الجهات والمنظمات الدولية.
ي-التنسيق والتعاون مع الجهات والأجهزة الحكومية وغير الحكومية لضمان سلامة إجراءات حماية البيانات.
ك- إقرار التقرير السنوي الخاص بحماية البيانات المعد من الوحدة ورفعه إلى مجلس الوزراء.
ل- إقرار التعليمات المتعلقة بأحكام هذا القانون .
م- أي مهام أخرى ذات علاقة بحماية البيانات).
رابعا: خاتمة
و ختاما ومن خلال هذا العرض الموجز لأهم ما ورد في قانون حماية البيانات الشخصية يتضح لنا أن المشرع الأردني قد حاول وبجد إضفاء كامل الحماية على البيانات الشخصية، وبشكل ينم عن رغبته الحثيثة في منع وقوع أي اعتداء عليها بداية، وتلافي آثار أي اعتداء يكون قد وقع بالفعل ومعاقبة المسئول عنه، ومن هذا المنطلق أوجه النداء الى المشرع بسرعة سن الأنظمة واللوائح المكلمة لهذا القانون وخاصة المتعلقة بمجلس حماية البيانات الشخصية حتى يبدأ المجلس فعليا في تطبيق أحكام القانون ومراقبة حسن تعامل المؤسسات والهيئات العامة والخاصة مع البيانات الشخصية للأفراد.
إعداد : محمد إسماعيل حنفي
[1] – أنظر سليم، وليد السيد (2012)، ضمانات الخصوصية في الإنترنت، دار الجامعة الجديدة، مصر، ط1، ص24.
[2] – أنظر غنام، محمد غنام، (2013)، دور قانون العقوبات في مكافحة جرائم الكمبيوتر والإنترنت، دار الفكر والقانون، المنصورة، مصر، ط1، ص99.
[3] – عبدالفتاح بيومي حجازي، دراسة قانونية متعمقة في القانون المعلوماتي، دار الكتب القانونية، مصر، ص615. انظر أيضا قانون العقوبات الأردني.
[4] – انظر المضحكى، حنان ريحان مبارك (2014)، الجرائم المعلوماتية، دراسة مقارنة، منشورات الحلب الحقوقية، بيروت، لبنان، ط1، ص321-329.
