تعيين مراقب حماية البيانات لدى الجهات الحكومية في القانون الأردني واللائحة العامة الأوروبية لحماية البيانات (GDPR) – دراسة مقارنة

تُعد مسألة تعيين مراقب حماية البيانات أحد أهم الآليات التي اعتمدتها الأنظمة الحديثة، وذلك ضمانًا للامتثال لقواعد حماية البيانات الشخصية وتعزيزًا لمبادئ الشفافية والمسائلة. وقد تجلّى اهتمامًا بالغًا في هذه المسألة في اللائحة العامة الأوروبية لحماية البيانات، بحيث نظّمت الحالات التي يلتزم فيها المسؤول بتعيين مراقب حماية البيانات من خلال نصوص واضحة وصريحة لا تدع مجالًا للشك. إلّا أنه وعلى النقيض من ذلك تمامًا، فقد انتهج المشرّع الأردني مسارًا مختلفًا في قانون حماية البيانات الشخصية رقم (24) لسنة 2023، الأمر الذي أفرز إشكالًا من الناحيتين العملية والتفسيرية، لا سيّما فيما يتعلق فيما إذا كانت الوزارات والدوائر الحكومية والرسمية ملزمة قانونًا بتعيين مراقب حماية البيانات.

• موقف اللائحة العامة الأوروبية لحماية البيانات
• تنص المادة (37/1) من اللائحة العامة الأوروبية لحماية البيانات على ما يلي:

“يُعيّن المسؤول والمعالج مراقبًا لحماية البيانات في أي من الحالات الآتية:

• إذا كانت المعالجة تتم من قبل سلطة أو هيئة عامة، باستثناء المحاكم عند ممارستها لوظيفتها القضائية.”
• ذكرت المادة (4) من اللائحة الأوروبية لحماية البيانات عدة تعريفات من ضمنها:
• المسؤول: الشخص الطبيعي أو الاعتباري، أو السلطة العامة، أو الوكالة، أو أي جهة أخرى، الذي يحدد، بمفرده أو بالاشتراك مع غيره، أغراض ووسائل معالجة البيانات الشخصية، وفي الحالات التي تكون فيها أغراض ووسائل هذه المعالجة محددة بموجب قانون الاتحاد الأوروبي أو قانون دولة عضو، يجوز أن يُحدد المسؤول أو المعايير الخاصة بتعيينه بموجب قانون الاتحاد الأوروبي أو قانون الدولة العضو.
• المعالج: يعني الشخص الطبيعي أو الاعتباري، أو السلطة العامة، أو الوكالة، أو أي جهة أخرى، الذي يقوم بمعالجة البيانات الشخصية نيابةً عن المسؤول.

• • موقف قانون حماية البيانات الشخصية الأردني
  • تنص المادة (11) من قانون حماية البيانات الشخصية الأردني رقم (24) لسنة على ما يلي:

  “أ- يلتزم المسؤول بتعيين المراقب في الحالات التالية:-

  • اذا كان العمل الرئيسي للمسؤول معالجة البيانات الشخصية.
  • معالجة البيانات الشخصية الحساسة”.
  • ذكرت المادة (1) من قانون حماية البيانات الشخصية الأردني رقم (24) لسنة عدة تعريفات من ضمنها:
  • المسؤول: أي شخص طبيعي أو اعتباري سواء أكان داخل المملكة أم خارجها تكون البيانات في عهدته.
  • المعالج: الشخص الطبيعي أو الاعتباري الذي يكون مختصا بمعالجة البيانات.
  • المراقب: الشخص الطبيعي المعين للإشراف على قواعد البيانات والمعالجة وفقا لأحكام هذا القانون.

   

إن الاختلاف في الصياغة بين القانون الأردني واللائحة الأوروبية يؤكد وجود إشكالية عملية في تطبيق المادة (11) من قانون حماية البيانات الشخصية الأردني، إذ يثور التساؤل حول مدى إلزام الوزارات والجهات الحكومية والرسمية بتعيين مراقب حماية البيانات. ذلك أن النص لم يتضمن حكمًا صريحًا يُلزم الوزارات والدوائر الحكومية والرسمية بهذا التعيين، وإنما قرّر هذا الالتزام على عاتق “المسؤول“، وهو المصطلح الذي عرّفه قانون حماية البيانات الشخصية الأردني بأنه: “أي شخص طبيعي أو اعتباري، سواء أكان داخل المملكة أم خارجها، تكون البيانات الشخصية في عهدته”.

وبناءً على ذلك، فإن الوازارات والجهات الحكومية والرسمية قد تُلزم بتعيين مراقب حماية البيانات متى توافرت فيها الشروط المنصوص عليها في المادة (11)، إذا كانت تعالج بيانات شخصية حساسة بصورة مستمرة، أو كانت معالجة البيانات الشخصية تشكل جزءًا أساسيًا من نشاطها واختصاصها. إلا أن هذا الالتزام لا يستند إلى نص تشريعي صريح يقرر وجوب تعيين مراقب حماية البيانات من قبل الجهات الحكومية والرسمية على وجه الخصوص، إذ إن القانون بدايةً لم يورد تعريفًا لهذه الجهات، وإنما جاء النص بصياغة عامة موجّهة إلى “المسؤول“، الأمر الذي يجعل خضوع تلك الجهات لهذا الالتزام قائمًا على تفسير مدى توافر الشروط المحددة في المادة (11) وانطباقها عليه، وليس استنادًا إلى نص تشريعي صريح يقرر إلزامها بتعيين مراقب حماية البيانات.

إن استكمال قراءة المادة (37) من اللائحة الأوروبية لحماية البيانات يُظهر أنها تتشابه إلى حد كبير مع المادة (11) من قانون حماية البيانات الشخصية، باستثناء الجزء المتعلق بإلزام الجهات الحكومية والرسمية بتعيين مراقب حماية البيانات، وهو الحكم الوارد في اللائحة العامة لحماية البيانات، ويُستدل من ذلك أن المشرع قد اتجه عمدًا إلى عدم إلزام الجهات الحكومية والرسمية بتعيين مراقب لحماية البيانات، إذ استقى من النص الأوروبي الأحكام التي أراد تبنيها واستبعد ما لم يُرد الأخذ به. ولو كانت إرادة المشرع قد انصرفت إلى إلزام الجهات الحكومية والرسمية بهذا التعيين، لنص على ذلك صراحةً في القانون، ويؤيد هذا التفسير مبدأ أصيل في التفسير التشريعي مؤداه أن المشرع لو أراد قال، والمشرع لا ينطق لغوًا، ومن ثم فإن إغفال النص على هذا الالتزام يُعد قرينة على انتفاء قصد المشرع إلى تقريره.

وفيما يتعلق بنص المادة (11) من القانون الأردني، فإن عدم النص صراحةً على إلزام الجهات الحكومية بتعيين مراقب لحماية البيانات، والاكتفاء بمعايير عامة تتيح مجالًا واسعًا للتفسير، يثير إشكاليات عملية عند التطبيق، فمن جهة يبقى تحديد المقصود ب “العمل الرئيسي” يختلف باختلاف طبيعة الجهة الحكومية أو الرسمية واختصاصها، ومن جهة أخرى يكون توصيف بعض البيانات على أنها بيانات شخصية حساسة محل تبايُن في التطبيق، الأمر الذي يفتح المجال لاختلاف التفسيرات بين الجهات الإدارية، ويؤدي إلى تفاوت في مدى الالتزام بتعيين مراقب حماية البيانات.

ومن ثم، فإن ترك هذا الالتزام رهينًا بالتفسير الإداري أو القضائي لا ينسجم مع متطلبات اليقين القانوني، الذي يقتضي أن تكون الالتزامات القانونية واضحة ومحددة، ولا سيما عندما يتعلق الأمر بواجبات تقع على عاتق الجهات العامة. كما أن تفاوت تطبيق هذا الالتزام بين المؤسسات الحكومية قد ينعكس سلبًا على مستوى حماية البيانات الشخصية، ويُخل بمبدأ المساواة في تطبيق القانون.

لذلك، فإن النص صراحةً في قانون حماية البيانات الشخصية على إلزام جميع الوزارات والدوائر الحكومية والرسمية بتعيين مراقب لحماية البيانات يمثل خيارًا تشريعيًا أكثر اتساقًا مع فلسفة قانون حماية البيانات الشخصية وأهدافه. فمن شأن هذا التعديل أن يزيل أي غموض بشأن نطاق الالتزام، ويوحّد التطبيق بين الجهات العامة، فضلًا عن توفير مستوى أعلى من الحماية للبيانات الشخصية التي تجمعها الدولة وتعالجها في إطار ممارستها لاختصاصاتها.

ينبغي الإشارة ابتداءً إلى أن قانون حماية البيانات الشخصية الأردني قد استلهم في جانب كبير من أحكامه من اللائحة العامة الأوروبية لحماية البيانات، وهو توجّه تشريعي يُعد من حيث المبدأ نهجًا سليمًا ومُتسقًا، بالنظر إلى المكانة التي تحتلها اللائحة الأوروبية بوصفها أحد أبرز الأُطر القانونية الحديثة في مجال حماية البيانات الشخصية.

غير أن الاستفادة من تجربة تشريعية رائدة تقتضي أن يكون الاقتباس قائمًا على الدراسة والتحليل، لا على مجرد النقل الحرفي للنصوص. فإذا كان المشرع الأردني قد اختار الاستفادة من اللائحة الأوروبية، فإنه كان من الأولى أن يعتمدها بصورة متكاملة، مع استبعاد الأحكام التي لا تنسجم مع أحكام الدستور الأردني أو مع خصوصية المجتمع الأردني وقيمه وعاداته وتقاليده، أو أن يتبنى منهجًا أكثر تطورًا يقوم على متابعة ما يطرأ على المنظومة الأوروبية من تعديلات تشريعية وتفسيرات قضائية وإدارية، ثم تكييفها بما يتلائم مع البيئة القانونية الوطنية.

حيث أن الاقتباس التشريعي لا يقوم على النقل المجرد، وإنما على الاستفادة الواعية من التجارب المقارنة وإعادة صياغتها بما يحقق الانسجام مع النظام القانوني المحلي ويستجيب لاحتياجاته العملية، ومن شأن هذا النهج أن يُفضي إلى إصدار تشريع أكثر نُضجًا وتماسكًا، ويحد من احتمالية ظهور الثغرات التشريعية أو الإشكالات التطبيقية. وحيث أن المشرّع الأردني تبنّى جانبًا كبيرًا من أحكام اللائحة الأوروبية لحماية البيانات، فقد كان الأولى، أن يأخذ بالنص الذي يُلزم الجهات الحكومية بتعيين مراقب حماية البيانات باعتبار أن هذا الالتزام يُعد أمرًا جوهريًا، وأن استبعاده من القانون من شأنه أن يضعف من فعالية أحكامه.

تتمثل الغاية الأساسية من التشريعات، ولا سيما التشريعات ذات الطابع الحقوقي، في توفير الحماية للأفراد، سواء في علاقاتهم المتبادلة فيما بينهم أو في علاقتهم بالسلطة العامة. ومن ثم، فإذا كان القانون قد شُرّع ابتداءً لحماية الأفراد في هاتين العلاقتين، فإن من الأولى أن تبدأ هذه الحماية من الدولة ذاتها، باعتبارها الطرف الذي يمتلك سلطات وامتيازات قد تؤثر في حقوق الأفراد وحرياتهم. ومن ثم، فإن إخضاع الدولة لأحكام القانون وضمان عدم تعسفها في ممارسة سلطاتها يُعدان شرطان أساسيان لتحقيق الغاية التي استهدفها المشرّع، والمتمثلة في صون الحقوق والحريات وترسيخ مبدأ سيادة القانون.

ومن ثم، يجب أن تكون الجهة الحكومية على وعيٍ كامل بأنها تتولى معالجة كميات هائلة من البيانات، وهو ما ينطوي على مخاطر جسيمة تستوجب إدراك آثارها المحتملة على حقوق الأفراد وحرياتهم. فكلما اتّسع نطاق البيانات التي تحتفظ بها الجهة الحكومية أو تعالجها، ازدادت احتمالية المساس بخصوصية الأفراد في حال إساءة استخدامها أو الإخلال بضمانات حمايتها. ومن هذا المنطلق، ينبغي أن تكون الضمانات التي يقررها قانون حماية البيانات الشخصية أكثر صرامةً عندما تكون الجهة الحكومية هي “المسؤول” عن البيانات، وذلك بالنظر إلى ما تتمتع به من سلطات قانونية واسعة، وما تملكه من قدرة على جمع والاحتفاظ ومعالجة كميات ضخمة من البيانات الشخصية المتعلقة بأعداد كبيرة من الأشخاص، الأمر الذي يفرض عليها مستوى أعلى من المسؤولية والالتزام بضمان حماية تلك البيانات ومنع إساءة استخدامها.

ويرجع ذلك إلى أن الجهات الحكومية لا تقتصر في الغالب على الاحتفاظ بالبيانات التعريفية الأساسية، وإنما تتولى جمع ومعالجة طيف واسع من البيانات الشخصية والبيانات الشخصية الحساسة، كالبيانات الصحية والمالية والضريبية والتعليمية والبيانات البيومترية، فضلًا عن بيانات الأحوال المدنية والسجل الجنائي وغيرها من البيانات التي قد يترتب على إساءة استخدامها أو الإفصاح غير المشروع عنها أو اختراقها المساس بحقوق الأفراد وحرياتهم الأساسية، وإلحاق أضرار جسيمة بمراكزهم القانونية والشخصية.

إلى جانب الالتزام بتعيين مراقب حماية البيانات لدى الجهات الرسمية والحكومية، تجدر الإشارة إلى أن جمع هذه البيانات والاحتفاظ بها في أروقة الدولة يعني بالضرورة وجود موظفين عموميين مخوّلين بالوصول إليها والتعامل معها، وبالتالي ينبغي أن تكون عمليات الدخول إلى تلك البيانات والوصول إليها خاضعة لضوابط وإجراءات صارمة تضمن عدم إساءة استخدامها أو الوصول غير المصرح به إليها.

وعليه، يتعين على الجهات المعنية وضع وتطبيق جميع التدابير الأمنية والتقنية والتنظيمية المنصوص عليها في قانون حماية البيانات الشخصية، بما يضمن حماية البيانات والمحافظة على سريتها وسلامتها، وذلك من خلال اعتماد أنظمة الرقابة والحماية المناسبة، مثل أنظمة المراقبة بالكاميرات، وبرامج مكافحة الفيروسات، وآليات التحكم في صلاحيات الوصول، وغيرها من الوسائل التقنية التي تكفل مستوى عالياً من أمن المعلومات وحماية البيانات الشخصية.

انطلاقًا من ذلك، فإن الدولة، بوصفها الجهة المنوط بها إرساء الحماية القانونية للحقوق والحريات، ينبغي أن تكون أول من يلتزم بأعلى معايير حماية البيانات الشخصية، وأن تقدم نموذجًا في الامتثال لأحكام القانون. ويتحقق ذلك من خلال إنشاء منظومة مؤسسية فعّالة لحوكمة البيانات، تقوم على توزيع واضح للمسؤوليات وتفعيل آليات الرقابة والامتثال. ويأتي في مقدمة تلك الآليات تعيين مراقب حماية البيانات، يتولى الإشراف على ضمان الامتثال لأحكام قانون حماية البيانات الشخصية، ومراقبة سلامة عمليات المعالجة، وتعزيز التدابير الكفيلة بصون وحماية حقوق الأشخاص الذين تتم معالجة بياناتهم الشخصية وحمايتها.

وتزداد أهمية تعيين مراقب حماية البيانات في الجهات الحكومية والرسمية بالنظر إلى أن المادة (6) من قانون حماية البيانات الشخصية قد منحت الجهات العامة استثناءً يجيز لها معالجة البيانات الشخصية في حالات محددة دون الحاجة إلى الحصول على موافقة مسبقة من الشخص المعني بالبيانات، شريطة أن تستند هذه المعالجة إلى أساس قانوني يجيزها.

ولا يُفهم من هذا الاستثناء أنه يمثل تخفيفًا للحماية المقررة للبيانات الشخصية، بل على العكس، فإنه يستوجب تعزيز الرقابة وضمانات الامتثال، إذ أن إعفاء الجهات العامة من شرط الحصول على الموافقة يقابله التزام أكثر صرامة بمنع إساءة استخدام هذه الصلاحية أو تجاوز حدودها القانونية. كما أن هذا الاستثناء ليس مطلقًا، وإنما قُيد بما ورد في المادة (6/1)، التي اشترطت أن تتم المعالجة من قبل جهة عامة مختصة وفي حدود ما تقتضيه مهامها وفقًا للتشريعات النافذة، أو من خلال جهات متعاقد معها على أن يتضمن التعاقد الالتزام بأحكام القانون والأنظمة والتعليمات الصادرة بمقتضاه. وبالتالي، فإن معالجة الدولة للبيانات الشخصية يجب أن تكون قائمة على أساس قانوني ومقتصرة على القدر اللازم والكافي لتحقيق الغرض المشروع منها، بما يضمن تحقيق التوازن بين متطلبات المصلحة العامة وحماية حقوق الأشخاص المعنيين بالبيانات.

وعليه، فإن اتساع نطاق السلطات الممنوحة للجهات الحكومية في جمع ومعالجة البيانات الشخصية، وما يترتب عليه من زيادة حجم البيانات التي تقع تحت سيطرتها، يفرض وجود آلية رقابية داخلية تتولى الإشراف على مدى التزام تلك الجهات بأحكام قانون حماية البيانات الشخصية. ومن هنا تتجلّى الأهمية الجوهرية لتعيين مراقب حماية البيانات، بوصفه الضامن الداخلي للامتثال، والمسؤول عن مراقبة مشروعية عمليات المعالجة، والتأكد من توافقها مع المبادئ والضمانات التي قرّرها القانون.

إن الجهات الحكومية تتولى بصورة يومية جمع ومعالجة ملايين السجلات والبيانات الشخصية، كما تتبادل هذه البيانات فيما بينها ومع جهات أخرى داخل الدولة، وقد يمتد هذا التبادل إلى جهات أجنبية أو منظمات دولية أو بعثات دبلوماسية أو هيئات دولية، وفقًا لما تجيزه التشريعات والاتفاقيات ذات الصلة. ومن شأن هذا الاتساع في نطاق عمليات المعالجة والنقل أن يزيد من احتمالات وقوع المخاطر المرتبطة بإساءة استخدام البيانات أو الإفصاح غير المشروع عنها أو اختراقها.

وتتضاعف هذه المخاطر مع التوسع في مشاريع التحول الرقمي والحكومة الإلكترونية، وما يصاحبها من استخدام قواعد بيانات مركزية، وأنظمة الأرشفة الإلكترونية، وأنظمة المراقبة بالكاميرات (CCTV)، وغيرها من الوسائل التقنية الحديثة التي تتطلب خبرات فنية وقانونية متخصصة لإدارتها والإشراف عليها. فكلما ازدادت تعقيدات البيئة التقنية، ازدادت الحاجة إلى وجود أشخاص مؤهلين يمتلكون المعرفة القانونية والفنية اللازمة لضمان سلامة عمليات معالجة البيانات والالتزام بالضوابط التي يفرضها قانون حماية البيانات الشخصية.

ومن ثم، فإن مواجهة هذه التحديات لا تتحقق بمجرد سن قواعد قانونية، وإنما تستلزم إيجاد رقابة مؤسسية فعالة تضمن التطبيق العملي لتلك القواعد داخل الجهات الحكومية. ومن هذا المنطلق، لا يقتصر دور مراقب حماية البيانات على التحقق من الامتثال القانوني، وإنما يمتد إلى نشر ثقافة حماية البيانات داخل المؤسسة، وتدريب الموظفين على الممارسات السليمة في التعامل مع البيانات الشخصية، ووضع السياسات والإجراءات الداخلية المنظمة لعمليات المعالجة، ومراجعة التدابير التقنية والأمنية والتنظيمية، والتنسيق مع الجهات المختصة، وإدارة المخاطر المرتبطة بمعالجة البيانات، والاستجابة لحوادث اختراق البيانات والحد من آثارها.

إلى جانب ذلك، فإن أهمية تعيين مراقب حماية البيانات تبرز بصورة خاصة في سياق نقل البيانات الشخصية عبر الحدود، إذ أن انتقال البيانات إلى دولة أخرى أو منظمة دولية يفترض توافر مستوى مناسب من الحماية القانونية والعملية للبيانات الشخصية. وقد أكدت اللائحة العامة الأوروبية لحماية البيانات هذا المبدأ من خلال المادة (45) منها، التي أجازت نقل البيانات الشخصية إلى دولة ثالثة أو منظمة دولية متى قررت المفوضية الأوروبية أن تلك الدولة أو المنظمة توفر مستوى كافي من الحماية، وذلك في ضوء عدد من المعايير، من بينها مدى فعالية الإطار القانوني لحماية البيانات، ووجود ضمانات مؤسسية وآليات رقابية تكفل احترام حقوق أصحاب البيانات وإنفاذ قواعد الحماية.

ومن هذا المنطلق، يثور التساؤل حول مدى توافر الضمانات المؤسسية الكافية في النظام القانوني الأردني، ولا سيما في ظل عدم وجود نص صريح يُلزم جميع الجهات الحكومية بتعيين مراقب حماية البيانات. فهل يمكن اعتبار منظومة حماية البيانات مكتملة في الحالات التي يتم فيها تبادل البيانات الشخصية مع جهات أجنبية أو منظمات دولية، في الوقت الذي لا تكون فيه الجهة الحكومية الملزمة بجمع ومعالجة تلك البيانات خاضعة لآلية رقابية داخلية متخصصة تتولى متابعة الامتثال لأحكام قانون حماية البيانات الشخصية؟

وتزداد أهمية هذا التساؤل في الحالات التي تتطلب تعاونًا أو تبادلًا للبيانات مع جهات أجنبية، كالسفارات أو المنظمات الدولية أو الجهات العامة في الدول الأخرى، إذ أن ثقة تلك الجهات في مشاركة البيانات أو تبادلها ترتبط بمدى توافر ضمانات قانونية ومؤسسية فعالة لدى الدولة المستقبلة للبيانات. ورغم أن تعيين مراقب حماية البيانات لا يُشكل وحده معيارًا للحكم على كفاية مستوى الحماية وفقًا للمادة (45) من اللائحة العامة الأوروبية لحماية البيانات، إلا أن غيابه عن الجهات الحكومية قد يُعد مؤشرًا على وجود نقص في الضمانات المؤسسية اللازمة لضمان الحوكمة الفعالة للبيانات، الأمر الذي قد يؤثر في تقييم مدى اكتمال مستوى الحماية المقرر، وفي قدرة الدولة على بناء الثقة اللازمة في عمليات نقل البيانات عبر الحدود.

المحامية ميسم أبو حمدة