قانون حماية البيانات في الأردن (رقم 24 لسنة 2023) — دليل شامل للشركات

لسنوات طويلة، تعاملت الشركات في الأردن مع البيانات الشخصية في ظل مجموعة متفرقة من القواعد القطاعية والمبادئ الدستورية المتعلقة بالخصوصية، دون وجود تشريع واحد شامل ينظم كيفية جمع المؤسسات للمعلومات المتعلقة بالأفراد وتخزينها ومشاركتها. وقد تغيّر ذلك مع صدور قانون حماية البيانات الشخصية رقم 24 لسنة 2023، وهو أول قانون مخصص لحماية البيانات يعتمده الأردن على المستوى الوطني. ويرسي هذا القانون التزامات واضحة على المؤسسات، وحقوقاً فعلية للأفراد، وإطاراً رقابياً لإنفاذ كليهما.

يستعرض هذا الدليل ما يشمله القانون، والمصطلحات التي يتعين على كل مؤسسة فهمها، والأسس القانونية لمعالجة البيانات الشخصية، والحقوق التي يمنحها للأفراد، وقواعد نقل البيانات خارج الأردن، والإجراءات الملموسة التي ينبغي لشركتك اتخاذها الآن. وقد كُتب لصنّاع القرار وفرق الامتثال الذين يحتاجون إلى توجيه عملي أكثر منه شرحاً قانونياً مفصّلاً بنداً بنداً. وهو لا يُعدّ استشارة قانونية: تحقق دائماً من المتطلبات المحددة وأرقام المواد بالرجوع إلى النص الرسمي المنشور في الجريدة الرسمية، واستشر شركة تقنيات الحماية الرقمية للحصول على إرشادات تخص وضعك الخاص.

نظرة عامة على قانون حماية البيانات الشخصية رقم 24 لسنة 2023

يضع قانون حماية البيانات الشخصية رقم 24 لسنة 2023 إطاراً عاماً للمعالجة المشروعة للبيانات الشخصية في الأردن. وينطبق على نطاق واسع على المؤسسات التي تجمع وتستخدم معلومات عن أفراد يمكن تحديد هويتهم، سواء كانت هذه المؤسسات تعمل في القطاع العام أو الخاص. ويقدّم القانون مبادئ مألوفة لكل من عمل مع أنظمة الخصوصية الحديثة: يجب معالجة البيانات الشخصية بصورة مشروعة وعادلة، وجمعها لأغراض محددة ومشروعة، والحفاظ على دقتها، والاحتفاظ بها فقط طالما كان ذلك ضرورياً، وحمايتها بتدابير أمنية مناسبة.

وبدلاً من أن يحل القانون محل كل قاعدة قطاعية قائمة، فإنه يعمل كأساس شامل. فالمؤسسات الخاضعة أصلاً لرقابة البنك المركزي الأردني أو هيئات الاتصالات أو قواعد القطاع الصحي عليها أن تقرأ القانون الجديد جنباً إلى جنب مع تلك الالتزامات. ولمزيد من التفصيل حول كيفية مواءمة المؤسسات المصرفية ومؤسسات الدفع، راجع دليلنا حول الامتثال لحماية البيانات لدى البنك المركزي الأردني.

التعريفات الأساسية التي ينبغي لكل مؤسسة معرفتها

يبدأ فهم القانون من مفرداته. فالتعريفات تحدد من يتحمل أي التزام، وأي بيانات تحظى بحماية أقوى. وتعكس المصطلحات التالية جوهر أحكام القانون؛ وينبغي لك التأكد من الصياغة النظامية الدقيقة بالرجوع إلى النص المنشور.

البيانات الشخصية

تعني البيانات الشخصية أي معلومات تتعلق بشخص طبيعي محدد الهوية أو يمكن تحديد هويته. ويشمل ذلك المعرّفات الواضحة مثل الاسم والرقم الوطني والعنوان ورقم الهاتف والبريد الإلكتروني، إضافةً إلى البيانات التي يمكن أن تحدد هوية الشخص عند دمجها مع معلومات أخرى، مثل بيانات الموقع أو المعرّفات الإلكترونية.

البيانات الحساسة أو ذات الطبيعة الخاصة

يمنح القانون حماية معززة لفئات معينة من المعلومات البالغة الحساسية، توصف عادةً بالبيانات الحساسة أو ذات الطبيعة الخاصة. ويشمل ذلك غالباً البيانات التي تكشف الحالة الصحية، أو المعلومات الجينية أو الحيوية، أو الأصل العرقي أو الإثني، أو المعتقدات الدينية أو السياسية، والبيانات المتعلقة بالسجلات الجنائية. وتتطلب معالجة هذه البيانات عادةً مبرراً أقوى وضمانات إضافية.

المسؤول عن البيانات ومعالج البيانات

المسؤول عن البيانات هو الجهة التي تحدد أغراض ووسائل معالجة البيانات الشخصية؛ فهي التي تقرر لماذا وكيف تُستخدم البيانات. أما معالج البيانات فهو طرف يعالج البيانات الشخصية بالنيابة عن المسؤول، مثل مزوّد الاستضافة السحابية أو مكتب إعداد الرواتب أو وكالة التسويق. ويهم هذا التمييز لأن المسؤول عن البيانات يتحمل المساءلة الأساسية، بينما يقع على المعالجين التزاماتهم الخاصة وعليهم التصرف فقط وفق تعليمات موثقة.

الموافقة

تُعد الموافقة أحد الأسس القانونية للمعالجة، وحيثما يُعتمد عليها يجب أن تكون عموماً تعبيراً حراً ومحدداً ومستنيراً عن قبول الفرد لمعالجة بياناته. والموافقة المتحصّل عليها عبر خانات محددة مسبقاً أو شروط مجمّعة أو إكراه من غير المرجح أن تفي بالمعيار المطلوب. والأهم أنه يجب أن يتمكن الأفراد من سحب موافقتهم بالسهولة نفسها التي منحوها بها.

الأساس القانوني للمعالجة: الموافقة واستثناءاتها

يتبع القانون الأردني نهجاً يقوم على الموافقة أولاً، وهو ما يميّزه عن بعض الأنظمة الأخرى. فبموجب المادة 4/أ، تتطلب معالجة البيانات الشخصية الحصول على الموافقة المسبقة من الشخص المعني، ما لم تندرج المعالجة ضمن حالة يجيزها القانون. أي أن الموافقة هي الأساس القانوني الأصلي، وعلى المؤسسة التي لا تستطيع الاستناد إلى استثناء نظامي محدد أن تحصل على موافقة صحيحة قبل معالجة البيانات.

وتحدد المادة 6/أ الحالات التي يجوز فيها معالجة البيانات الشخصية بصورة مشروعة دون الحصول على الموافقة المسبقة للشخص المعني. وهذه الاستثناءات ضيّقة ومقيّدة بالغرض، وتشمل الحالات التالية:

• أن تتولى المعالجة جهة عامة مختصة عند لزومها لأداء المهام الموكلة إليها قانوناً.
• المعالجة لأغراض الطب الوقائي أو التوصيف الطبي أو تقديم الرعاية الصحية من قبل ممارس أو مؤسسة صحية مرخّصة.
• المعالجة اللازمة لحماية حياة الشخص المعني أو مصالحه الحيوية.
• المعالجة اللازمة لمنع جريمة أو كشفها أو التحقيق فيها أو ملاحقتها من قبل جهة مختصة.
• المعالجة التي يقتضيها أو يجيزها تشريع نافذ أو قرار صادر عن محكمة مختصة.
• المعالجة من قبل الجهات الخاضعة لرقابة البنك المركزي الأردني في سياق أداء مهامها وفق ما يحدده البنك المركزي، بما في ذلك نقل البيانات أو تبادلها داخل المملكة أو خارجها (المادة 6/أ/6).
• المعالجة التي تتم بموجب الأنظمة الصادرة تنفيذاً لأحكام القانون.
• المعالجة لأغراض البحث العلمي أو التاريخي، شريطة ألا تُستخدم نتائجها لاتخاذ قرارات أو تدابير بحق شخص معيّن.
• المعالجة لأغراض إحصائية أو لأغراض الأمن الوطني أو المصلحة العامة المعترف بها قانوناً.
• معالجة البيانات الشخصية التي جعلها الشخص المعني متاحة للعموم بمحض إرادته.

وتجدر ملاحظة فارق مهم للمؤسسات المعتادة على النموذج الأوروبي: لا ينص القانون على أساس عام قوامه «المصلحة المشروعة»، ولا على أساس مستقل قوامه «تنفيذ عقد» للمعالجة الاعتيادية. ولا ترد المصلحة المشروعة في القانون إلا في نطاق ضيّق، بوصفها أحد شروط تبرير نقل البيانات عبر الحدود بموجب المادة 14، لا أساساً عاماً للمعالجة. لذا فإن اختيار الأساس الصحيح وتوثيقه قرار استراتيجي؛ ويمكن أن تساعدك مراجعة الامتثال للخصوصية والامتثال التنظيمي في مطابقة كل نشاط مع الموافقة أو مع استثناء محدد من المادة 6/أ. وتحقق من الصياغة الدقيقة لهذه الأحكام بالرجوع إلى نص الجريدة الرسمية.

حقوق أصحاب البيانات

من السمات المميزة للقانون مجموعة الحقوق القابلة للإنفاذ التي يمنحها للأفراد على بياناتهم. وتمنح المادة 4/ب الشخص المعني ثمانية حقوق، ويجب أن تكون المؤسسات قادرة على التعرف على هذه الطلبات والتحقق منها والاستجابة لها ضمن المهل التي يحددها القانون وأنظمته. وهذه الحقوق الثمانية هي:

• الحق في العلم ببياناته الشخصية والوصول إليها، بما في ذلك معرفة ما إذا كانت تُعالَج وكيفية استخدامها.
• الحق في سحب الموافقة على المعالجة.
• الحق في تصحيح بياناته الشخصية أو تعديلها أو الإضافة إليها أو تحديثها.
• الحق في قصر المعالجة على نطاق محدد.
• الحق في محو بياناته الشخصية أو حجبها.
• الحق في الاعتراض على معالجة بياناته أو على التوصيف (اتخاذ القرارات الآلية).
• الحق في الحصول على نسخة من بياناته الشخصية ونقلها من مسؤول إلى آخر (قابلية نقل البيانات).
• الحق في إشعاره بأي اختراق يمسّ بياناته الشخصية.

إن الوفاء بهذه الالتزامات يتطلب أكثر من حسن النية. فأنت بحاجة إلى تحقق موثوق من الهوية، وسجلات قابلة للبحث عن أماكن وجود البيانات الشخصية، وسير عمل داخلي محدد بحيث لا يتعثر طلب يستقبله فريق واحد. وكثيراً ما تنكشف نقاط الضعف في هذه العمليات فقط عند وصول أول طلب جدي، ولهذا فإن إجراء تقييم مخاطر وتعرّض أمني استباقي أمر قيّم قبل ظهور المشكلات.

الإشعار باختراق البيانات (المادة 20)

تحدد المادة 20 مهلاً واضحة للاستجابة لأي اختراق جسيم للبيانات الشخصية. فعلى المسؤول إشعار الأشخاص المعنيين خلال 24 ساعة من علمه باختراق يهدد بياناتهم الشخصية بشكل جسيم، وإشعار وحدة حماية البيانات الشخصية خلال 72 ساعة. وإذا نتج الاختراق عن إهمال جسيم أو تقصير من المسؤول، فإنه يكون ملزماً بتعويض من لحقهم ضرر. لذا ينبغي أن يكون لدى المؤسسات عملية للاستجابة للحوادث قادرة على كشف الاختراق وتقييمه وتصعيده بالسرعة الكافية للوفاء بمهلتي 24 و72 ساعة. وتحقق من الصياغة الحالية وأي تعليمات تنفيذية بالرجوع إلى الجريدة الرسمية.

قواعد نقل البيانات عبر الحدود

تعتمد كثير من المؤسسات في الأردن على الخدمات السحابية الدولية أو الشركات الشقيقة في الخارج أو المعالجين خارج البلاد، لذا فإن قواعد نقل البيانات الشخصية خارج البلاد من أكثر أجزاء القانون أهمية تجارياً. وبصورة عامة، يقيّد القانون نقل البيانات الشخصية خارج الأردن ما لم تُستوفَ شروط مناسبة تضمن استمرار حصول البيانات على مستوى كافٍ من الحماية.

وعملياً، يعني ذلك أن على المؤسسة تقييم الدولة المستقبِلة والجهة المستقبِلة، ووضع ضمانات ملائمة مثل الحماية التعاقدية، وفي بعض الحالات الحصول على موافقة أو إذن قبل تصدير البيانات. ولأن الآليات الدقيقة وأي قائمة بالوجهات المعتمدة منصوص عليها في القانون وأنظمته التنفيذية، ينبغي لك التحقق من المتطلبات الحالية بالرجوع إلى النص الرسمي قبل الاعتماد على أي مسار نقل بعينه. وتساعد مراجعة ترتيباتك مع المورّدين وداخل المجموعة عبر ضوابط أمن الشبكات والتطبيقات والضمانات التعاقدية في ضمان بقاء عمليات النقل قابلة للدفاع عنها.

الجهة الرقابية والإنفاذ

تقع الرقابة على القانون ضمن إطار وزارة الاقتصاد الرقمي والريادة. وينص القانون على جهة رقابية، يُشار إليها عادةً بمجلس أو وحدة حماية البيانات الشخصية، تتولى إصدار الإرشادات وتلقي الشكاوى والتحقيق في المخالفات والإشراف على الإنفاذ. وينبغي للمؤسسات أن تتعامل مع هذه الجهة بوصفها المرجع الأساسي لواجبات التسجيل ومعالجة الشكاوى وأي موافقات قد يتطلبها القانون.

ولأن الهيكل المؤسسي واسمه الدقيق وصلاحياته محددة في القانون والقرارات اللاحقة، تحقق من الترتيبات الحالية وأي قواعد إجرائية بالرجوع إلى المصادر الرسمية المنشورة بدلاً من الاعتماد على الملخصات.

عقوبات عدم الامتثال (المادتان 21 و22)

ينص القانون على مسارين للإنفاذ. فبموجب المادة 21، وبعد إنذار مسبق، يجوز للجهة الرقابية فرض تدابير إدارية تشمل وقف ترخيص الجهة أو إلغاءه، أو غرامة تصل إلى 500 دينار أردني عن كل يوم تستمر فيه المخالفة، بحد أقصى قدره 3% من إجمالي الإيراد السنوي للجهة عن السنة المالية السابقة. وبموجب المادة 22، يجوز للمحكمة فرض غرامة قضائية تتراوح بين 1,000 و10,000 دينار أردني، تتضاعف في حال تكرار المخالفة، ولها أن تأمر بإتلاف البيانات أو إلغاء قاعدة البيانات. وإلى جانب هذه العقوبات، يحمل عدم الامتثال ضرراً بالسمعة وفقداناً لثقة العملاء والشركاء. وتحقق من الأرقام الحالية بالرجوع إلى نص الجريدة الرسمية، إذ قد تُعدّل.

الجدول الزمني للإنفاذ: انتهاء الفترة الانتقالية

نُشر القانون في الجريدة الرسمية بتاريخ 17 أيلول/سبتمبر 2023، ودخل حيّز النفاذ في 17 آذار/مارس 2024. وقد منحت المادة 23 المؤسسات فترة انتقالية مدتها سنة واحدة لتوفيق أوضاعها، وانتهت هذه الفترة في 17 آذار/مارس 2025. وقد تغيّرت الخلاصة العملية: لم يعد الأمر مهلة يُخطَّط لها. فقد انقضى الموعد النهائي، وأصبح الامتثال الكامل إلزامياً الآن، والمؤسسات التي لا تزال غير ممتثلة معرّضة لتدابير الإنفاذ الموضّحة أعلاه. وعلى أي منشأة لم تُنجز بعد رسم خريطة بياناتها، وتحديد أساس قانوني لكل نشاط معالجة، ووضع عمليات للاستجابة للاختراقات ولطلبات أصحاب البيانات، أن تتعامل مع المعالجة على أنها أمر عاجل. وتحقق من التواريخ الدقيقة وأي قرارات وزارية لاحقة بالرجوع إلى النص الرسمي.

الخطوات الملموسة التي ينبغي لشركتك اتخاذها الآن

الامتثال برنامج عمل، لا وثيقة واحدة. وتشكّل الخطوات التالية خارطة طريق عملية يمكن لمعظم المؤسسات في الأردن اتباعها، مع تكييفها بحسب حجمها وحساسية البيانات التي تتعامل معها.

1. ارسم خريطة بياناتك

ابدأ بجرد البيانات. حدّد ما تحتفظ به من بيانات شخصية، ومن أين تأتي، ولماذا تعالجها، وأين تُخزَّن، ومع من تُشارَك، وكم من الوقت تحتفظ بها. ويشكّل هذا الجرد أساس معظم الالتزامات الأخرى، من الاستجابة لطلبات الوصول إلى تقييم عمليات النقل عبر الحدود، وغالباً ما يكشف عن تدفقات بيانات لم تكن الشركة على علم بوجودها.

2. عيّن مسؤول حماية بيانات

أوكل ملكية واضحة للامتثال للخصوصية، سواء عبر مسؤول حماية بيانات (المُشار إليه في القانون بـ "المراقب") داخلي أو ترتيب خارجي. فمسؤول حماية البيانات ينسّق برنامج الامتثال، ويعمل نقطة اتصال للأفراد وللجهة الرقابية، ويبقي المؤسسة متوائمة مع تطور الإرشادات. وبموجب المادة 11/أ، يكون تعيين مسؤول لحماية البيانات إلزامياً متى انطبقت أي من ست حالات:

• أن يكون النشاط الرئيس للجهة هو معالجة البيانات الشخصية.
• أن تعالج الجهة بيانات شخصية حساسة.
• أن تعالج الجهة بيانات أشخاص فاقدي الأهلية القانونية.
• أن تعالج الجهة معلومات مالية.
• أن تنقل الجهة البيانات إلى قواعد بيانات خارج المملكة.
• أي حالة أخرى يحددها مجلس حماية البيانات الشخصية.

ويشرح مقالنا حول خدمات مسؤول حماية البيانات في الأردن كيفية توفير موارد هذه الوظيفة، ويمكن للمؤسسات دعمها عبر حوكمة الهوية والوصول للتحكم بمن يمكنه الوصول إلى البيانات الشخصية.

3. حدّث إشعارات الخصوصية

راجع إشعارات الخصوصية التي تقدّمها للعملاء والموظفين وزوّار الموقع الإلكتروني. ينبغي أن توضح بجلاء ما تجمعه من بيانات، وأغراض المعالجة وأسسها القانونية، ومدة الاحتفاظ بها، ومع من تُشارَك، وكيف يمكن للأفراد ممارسة حقوقهم. فالإشعارات الغامضة أو القديمة من أبرز علامات عدم الامتثال.

4. راجع العقود واتفاقيات معالجة البيانات

حيثما يعالج طرف ثالث بيانات شخصية بالنيابة عنك، ينبغي أن يعكس عقدك متطلبات القانون عبر بنود معالجة بيانات مناسبة تغطي الأمن والسرية والمعالجة الفرعية والتعاون بشأن طلبات أصحاب البيانات. راجع العقود التي تكون فيها مسؤولاً عن البيانات وتلك التي تعمل فيها معالجاً لحساب آخرين.

5. نفّذ تقييمات النقل

لكل تدفق للبيانات الشخصية خارج الأردن، قيّم الأساس القانوني للنقل، والحماية المتوفرة في الوجهة، والضمانات القائمة. وثّق هذه التقييمات لتتمكن من إثبات أن عمليات النقل تستوفي شروط القانون، وأعد النظر فيها عند تغيير المورّدين أو إضافة خدمات سحابية جديدة.

6. درّب موظفيك

تنشأ معظم حوادث البيانات عن خطأ بشري أكثر منها عن هجمات متطورة. ويساعد التدريب المنتظم والمناسب لكل دور الموظفين على التعرف على البيانات الشخصية والتعامل معها بشكل صحيح، ورصد علامات الاختراق، وتوجيه طلبات أصحاب البيانات إلى الفريق المناسب. وترسيخ الوعي بالخصوصية في العمليات اليومية من أكثر الاستثمارات فعالية من حيث التكلفة، ويمكن تعزيزه عبر حلول تقنية الامتثال التي تؤتمت السجلات والموافقات ومعالجة الطلبات.

كيف يتلاءم هذا مع الأطر الأخرى

لا يوجد القانون الأردني بمعزل عن غيره. فالمؤسسات التي تخدم عملاء في أوروبا عليها قراءته جنباً إلى جنب مع التزاماتها بموجب النظام الأوروبي، كما نتناول في دليلنا حول الامتثال للائحة العامة لحماية البيانات في الأردن. وقد تجد المؤسسات الساعية إلى شهادات خصوصية رسمية أن المواءمة مع المعايير الدولية تبسّط الامتثال، وهو موضوع نغطيه في نظرتنا العامة على شهادة الأيزو 27701 في الأردن. فالبناء على إطار معترف به غالباً ما يجعل الامتثال المحلي أسرع وأسهل إثباتاً.

يمثّل قانون حماية البيانات الشخصية رقم 24 لسنة 2023 تحولاً كبيراً في كيفية تعامل المؤسسات في الأردن مع البيانات الشخصية، والمؤسسات التي تتحرك مبكراً ستتحمل أقل قدر من الاضطراب وأكبر قدر من الثقة. وتساعد شركة تقنيات الحماية الرقمية الشركات في عمّان وعبر الأردن على تحويل هذه المتطلبات إلى خطة امتثال واضحة ومرتّبة الأولويات، من رسم خرائط البيانات وتقييم الثغرات إلى دعم مسؤول حماية البيانات وإشعارات الخصوصية. ولمناقشة ما يعنيه القانون لمؤسستك وكيفية الاستعداد، تواصل مع فريقنا.