حماية البيانات والخصوصية في قطر: ما الذي يجب على الشركات معرفته؟

يحكم معالجة البيانات الشخصية في دولة قطر القانون رقم (13) لسنة 2016 بشأن حماية خصوصية البيانات الشخصية، المنشور في الجريدة الرسمية بالعدد الخامس عشر بتاريخ 29 ديسمبر 2016. وهو قانون من اثنتين وثلاثين مادة، له مصطلحاته الخاصة وبنيته الخاصة. والخطأ الأكثر شيوعاً في التعامل معه هو قراءته بمفردات أطر أجنبية، فيُفترض فيه ما لا يقرّره.

المصطلحات التي يستخدمها القانون

المراقب هو الشخص الطبيعي أو المعنوي الذي يقوم منفرداً أو بالاشتراك مع آخرين بتحديد كيفية معالجة البيانات الشخصية والغرض منها. والمعالج هو الشخص الطبيعي أو المعنوي الذي يقوم بمعالجة البيانات الشخصية لصالح المراقب. والفرد هو الشخص الطبيعي الذي تتم معالجة بياناته. والبيانات الشخصية هي بيانات عن الفرد الذي تكون هويته محددة أو يمكن تحديدها بصورة معقولة، سواء من خلال هذه البيانات أو بالجمع بينها وبين أية بيانات أخرى (المادة 1).

وتُعرّف المادة (1) كذلك «الوزارة» بأنها وزارة المواصلات والاتصالات، و«الوزير» بأنه وزير المواصلات والاتصالات، و«الإدارة المختصة» بأنها الوحدة الإدارية المختصة بالوزارة، و«الجهة المختصة» بأنها أي جهة حكومية تختص قانوناً بتنظيم أعمال أو إجراءات ذات صلة بمعالجة البيانات الشخصية والإشراف عليها. وهذه أسماء النص التشريعي كما صدر. وقد تطوّر الترتيب المؤسسي للجهة التي تتولى الإشراف عملياً منذ صدور القانون، ويتعيّن التحقق من الجهة المختصة حالياً ومن قنوات التواصل معها قبل مراسلتها أو الاعتماد على إجراءاتها.

نطاق التطبيق

تسري أحكام القانون على البيانات الشخصية عندما تتم معالجتها على نحو إلكتروني، أو يتم الحصول عليها أو جمعها أو استخراجها على أي نحو آخر تمهيداً لمعالجتها إلكترونياً، أو تتم معالجتها عن طريق الجمع بين المعالجة الإلكترونية والمعالجة التقليدية. ولا تسري على البيانات الشخصية التي يعالجها الأفراد في نطاق شخصي أو عائلي، ولا على البيانات التي تُعالَج بغرض الحصول على البيانات الإحصائية الرسمية وفقاً للقانون رقم (2) لسنة 2011 (المادة 2).

ولكل فرد الحق في حماية خصوصية بياناته الشخصية، ولا يجوز معالجة تلك البيانات إلا في إطار الشفافية والأمانة واحترام كرامة الإنسان والممارسات المقبولة، وفقاً لأحكام القانون (المادة 3).

الموافقة والغرض المشروع

لا يجوز للمراقب معالجة البيانات الشخصية إلا بعد الحصول على موافقة الفرد، ما لم تكن المعالجة ضرورية لتحقيق غرض مشروع للمراقب أو الغير الذي تُرسل إليه البيانات (المادة 4). فالبنية هنا ليست قائمة على قائمة أسس للمعالجة، بل على قاعدة الموافقة مع استثناء الضرورة لتحقيق غرض مشروع. والغرض المشروع مصطلح معرَّف في القانون، ولا يُقرأ على أنه مجرد مصلحة تجارية.

حقوق الأفراد

للفرد في أي وقت أن يسحب موافقته السابقة على معالجة بياناته؛ وأن يعترض على المعالجة إذا كانت غير ضرورية لتحقيق الأغراض التي جُمعت من أجلها، أو كانت زائدة على متطلباتها، أو تمييزية أو مجحفة أو مخالفة للقانون؛ وأن يطلب حذف بياناته أو محوها في هاتين الحالتين، أو عند انتهاء الغرض الذي تمت من أجله المعالجة، أو إذا لم يكن هناك مبرر للاحتفاظ بها لدى المراقب؛ وأن يطلب تصحيح بياناته مرفقاً به ما يثبت صحة طلبه (المادة 5).

وللفرد في أي وقت الوصول إلى بياناته الشخصية وطلب مراجعتها في مواجهة أي مراقب، وله بوجه خاص الحق في إخطاره بمعالجة بياناته وبالأغراض التي تجري من أجلها، وإخطاره بأي إفشاء لبيانات شخصية غير دقيقة عنه، والحصول على نسخة من بياناته بعد سداد مبلغ لا يجاوز مقابل الخدمة (المادة 6). وتُحدَّد بقرار من الوزير الضوابط والإجراءات المتعلقة بممارسة الأفراد لهذه الحقوق (المادة 7).

التزامات المراقب والمعالج

يتعين على المراقب معالجة البيانات بأمانة ومشروعية؛ ومراعاة الضوابط الخاصة بتصميم أو تغيير أو تطوير المنتجات والنظم والخدمات المتعلقة بمعالجة البيانات الشخصية؛ واتخاذ الاحتياطات الإدارية والفنية والمادية المناسبة لحماية البيانات وفقاً لما تحدده الإدارة المختصة؛ والتزام سياسات حماية الخصوصية التي تضعها الإدارة المختصة ويصدر بها قرار من الوزير (المادة 8).

وعلى المراقب، قبل البدء في معالجة أية بيانات، أن يُعلم الفرد ببيانات المراقب أو أي طرف آخر يتولى المعالجة لصالحه أو لاستغلالها، وبالأغراض المشروعة للمعالجة، وبالوصف الشامل والدقيق لأنشطة المعالجة ودرجات الإفصاح للأغراض المشروعة — وإذا لم يتمكن من ذلك فيتعين تمكين الفرد من وصف عام لها — وبأي معلومات أخرى ضرورية لاستيفاء شروط المعالجة (المادة 9).

وعلى المراقب التحقق من أن البيانات التي يجمعها أو تُجمع لصالحه ذات صلة بالأغراض المشروعة وكافية لتحقيقها، وأنها دقيقة ومكتملة ومحدَّثة بما يفي بتلك الأغراض، وألا يحتفظ بها لمدة تزيد على المدة الضرورية لتحقيقها (المادة 10).

وتُفصّل المادة (11) إجراءات تنظيمية على المراقب اتخاذها: مراجعة إجراءات حماية الخصوصية قبل إدراج عمليات معالجة جديدة؛ وتحديد المعالجين المسؤولين عن حماية البيانات؛ وتدريبهم وتوعيتهم؛ ووضع نظم داخلية لتلقي ودراسة الشكاوى وطلبات الوصول والتصحيح والحذف وإتاحة ذلك للأفراد؛ ووضع نظم داخلية للإدارة الفعالة للبيانات والإبلاغ عن أي تجاوز؛ واستخدام الوسائل التكنولوجية المناسبة لتمكين الأفراد من الوصول والمراجعة والتصحيح مباشرةً؛ وإجراء عمليات تدقيق ومراجعة شاملة لمدى الالتزام؛ والتحقق من التزام المعالج بالتعليمات الموجّهة إليه واتخاذه الاحتياطات المناسبة، ورصد ذلك بصفة مستمرة.

ويجب على المراقب، لدى إفصاحه عن البيانات أو نقلها إلى المعالج، مراعاة أن تكون مطابقة للأغراض المشروعة وأن تُعالَج وفقاً لأحكام القانون (المادة 12). وهذا هو الأساس النصّي لمراجعة عقود المورّدين ومقدّمي الخدمات، ويُعالج في الإطار التعاقدي.

الأمن والإخلال بالاحتياطات

يجب على كل من المراقب والمعالج اتخاذ الاحتياطات اللازمة لحماية البيانات الشخصية من الضياع أو التلف أو التعديل أو الإفشاء أو الوصول إليها أو استخدامها بشكل عارض أو غير مشروع، وأن تكون تلك الاحتياطات متناسبة مع طبيعة البيانات وأهميتها. وعلى المعالج أن يخطر المراقب بوجود أي إخلال بهذه الاحتياطات، أو عند حدوث أي خطر يهدد البيانات الشخصية للأفراد بأي وجه، فور علمه بذلك (المادة 13).

ويجب على المراقب إعلام الفرد والإدارة المختصة بحدوث أي إخلال بالاحتياطات المنصوص عليها في المادة السابقة، إذا كان من شأن ذلك إحداث ضرر جسيم بالبيانات الشخصية أو بخصوصية الفرد (المادة 14). والمعيار هنا هو جسامة الضرر، ولم يضع القانون مهلة زمنية محددة للإبلاغ؛ فمن يخطّط لاستجابة الحوادث ينبغي ألا يفترض مهلة مستمدة من إطار آخر، وأن يتحقق من الضوابط الصادرة عن الجهة المختصة.

تدفق البيانات عبر الحدود

صياغة القانون في هذه المسألة تستحق الانتباه، لأنها معاكسة لما يتوقعه كثيرون: يُحظر على المراقب اتخاذ أي قرار أو إجراء من شأنه الحدّ من تدفق البيانات الشخصية عبر الحدود، إلا إذا كانت معالجة تلك البيانات مخالفة لأحكام القانون، أو كان من شأنها إلحاق ضرر جسيم بالبيانات الشخصية أو بخصوصية الفرد (المادة 15). فالنص يقيّد الحدّ من التدفق، لا التدفق ذاته.

البيانات ذات الطبيعة الخاصة، والأطفال

تُعدّ بيانات شخصية ذات طبيعة خاصة البيانات المتعلقة بالأصل العرقي، والأطفال، والصحة أو الحالة الجسدية أو النفسية، والمعتقدات الدينية، والعلاقة الزوجية، والجرائم الجنائية. وللوزير أن يضيف أصنافاً أخرى إذا كان من شأن سوء استخدامها أو إفشائها إلحاق ضرر جسيم بالفرد. ولا يجوز معالجة هذه البيانات إلا بعد الحصول على تصريح من الإدارة المختصة، وفقاً للإجراءات والضوابط التي يصدر بتحديدها قرار من الوزير، وللوزير فرض احتياطات إضافية لحمايتها (المادة 16).

واشتراط التصريح المسبق هو أهم ما يجب على المنشآت الانتباه إليه: فمعالجة هذه الأصناف ليست مسألة تقييم داخلي للمخاطر، بل تستلزم تصريحاً.

ويضع القانون نظاماً خاصاً للمواقع الموجّهة للأطفال: على مالك أو مشغّل أي موقع إلكتروني موجّه للأطفال أن يضع على الموقع إخطاراً حول ماهية بيانات الأطفال وكيفية استخدامها وسياسات الإفصاح عنها؛ وأن يحصل على موافقة صريحة من ولي أمر الطفل عن طريق اتصال إلكتروني أو أي وسيلة أخرى مناسبة؛ وأن يزوّد ولي الأمر، بناءً على طلبه وبعد التحقق من هويته، بوصف لنوع البيانات التي تتم معالجتها والغرض منها ونسخة منها؛ وأن يحذف أو يمحو أو يوقف معالجة أي بيانات جُمعت من الطفل أو عنه إذا طلب ولي الأمر ذلك؛ وألا تكون مشاركة الطفل في لعبة أو عرض جائزة أو أي نشاط آخر مشروطة بتقديم بيانات شخصية تزيد على ما هو ضروري للمشاركة (المادة 17).

الإعفاءات

للجهة المختصة أن تقرر معالجة بعض البيانات الشخصية دون التقيّد بأحكام المواد (4) و(9) و(15) و(17)، لتحقيق أي من الأغراض الآتية: حماية الأمن الوطني والأمن العام؛ وحماية العلاقات الدولية للدولة؛ وحماية المصالح الاقتصادية أو المالية للدولة؛ ومنع أي جريمة جنائية أو جمع معلومات عنها أو التحقيق فيها. وتحتفظ الجهة المختصة بسجل خاص تقيّد به هذه البيانات (المادة 18).

ويُعفى المراقب من الالتزام بأحكام المواد (4) و(5/البنود 1 و2 و3) و(6) في حالات: تنفيذ مهمة متعلقة بالمصلحة العامة وفقاً للقانون؛ وتنفيذ التزام قانوني أو أمر من محكمة مختصة؛ وحماية المصالح الحيوية للفرد؛ وتحقيق أغراض البحث العلمي الذي يجرى للمصلحة العامة؛ وجمع المعلومات اللازمة للتحقيق في إحدى الجرائم الجنائية بناءً على طلب رسمي من جهات التحقيق (المادة 19).

ويُعفى المراقب من الإفصاح عن أسباب رفضه الالتزام بحقوق الفرد المنصوص عليها في المادة (6) إذا كان من شأن ذلك أن يحول دون تحقيق الأغراض المنصوص عليها في المادة (18) (المادة 20). كما يُعفى من الالتزام بأحكام المادة (6) إذا كان من شأن الإفصاح الإضرار بالمصالح التجارية لشخص آخر، أو إذا كان تنفيذ هذا الالتزام يؤدي إلى الإفصاح عن بيانات شخصية تتعلق بفرد آخر لم يوافق على ذلك وقد يترتب على الإفصاح ضرر مادي أو معنوي لهذا الفرد أو لأي فرد آخر (المادة 21).

التسويق المباشر

يُحظر إرسال أي اتصال إلكتروني بغرض التسويق المباشر إلى الفرد إلا بعد الحصول على موافقته المسبقة. ويجب أن يتضمن الاتصال هوية مُنشئه، وما يفيد بأنه مرسل لأغراض التسويق المباشر، وعنواناً صحيحاً يسهل الوصول إليه يستطيع الفرد من خلاله أن يرسل طلباً إلى المُنشئ بإيقاف تلك الاتصالات أو الرجوع في موافقته على إرسالها (المادة 22).

العقوبات والشكاوى

مع عدم الإخلال بأي عقوبة أشد ينص عليها قانون آخر، يعاقب بالغرامة التي لا تزيد على مليون ريال كل من خالف أياً من أحكام المواد (4) و(8) و(9) و(10) و(11) و(12) و(14) و(15) و(22)، وبالغرامة التي لا تزيد على خمسة ملايين ريال كل من خالف أياً من أحكام المواد (13) و(16/الفقرة الثالثة) و(17). ويُعاقب الشخص المعنوي بالغرامة التي لا تزيد على مليون ريال إذا ارتُكبت باسمه ولحسابه إحدى الجرائم المنصوص عليها في القانون، مع عدم الإخلال بالمسؤولية الجنائية للشخص الطبيعي التابع له (المواد 23 إلى 25).

وللفرد أن يتقدم بشكوى إلى الإدارة المختصة في حالة مخالفة أحكام القانون والقرارات الصادرة تنفيذاً له. وللإدارة المختصة، بعد التحقيق في الشكوى وثبوت جديتها، أن تصدر قراراً مسبباً بإلزام المراقب أو المعالج بتدارك المخالفة خلال مدة تحددها. ويجوز التظلم من هذا القرار إلى الوزير خلال ستين يوماً من تاريخ الإخطار به، ويبتّ الوزير في التظلم خلال ستين يوماً من تقديمه، ويُعتبر انقضاء هذه المدة دون ردّ رفضاً ضمنياً، ويكون قرار الوزير نهائياً (المادة 26).

وللإدارة المختصة، في سبيل تطبيق القانون، أن تتخذ جميع الإجراءات اللازمة، وبوجه خاص: التنسيق مع أي مجموعة أو رابطة مهنية تمثل المراقبين أو مشغّلي مواقع الإنترنت لتشجيع التنظيم الذاتي ونشر الوعي وتطوير برامج التدريب؛ والعمل مع المنظمات والجمعيات المعنية بشؤون الأسرة لتعزيز سلامة الأطفال على الإنترنت؛ وإجراء البحوث ورصد التطورات التكنولوجية وإعداد التقارير والتوصيات (المادة 27).

وحكم له وزن عملي كبير: يقع باطلاً كل عقد أو اتفاق يتم بالمخالفة لأحكام هذا القانون (المادة 28). ولموظفي الوزارة الذين يصدر بتخويلهم قرار من النائب العام بالاتفاق مع الوزير صفة مأموري الضبط القضائي في ضبط وإثبات الجرائم المخالفة للقانون (المادة 29). وقد أوجبت المادة (30) على المخاطبين بأحكام القانون توفيق أوضاعهم خلال ستة أشهر من تاريخ العمل به، مع جواز مدّ المهلة بقرار من مجلس الوزراء.

مركز قطر للمال نظام مستقل

كل ما سبق يتعلق بقانون الدولة. ولمركز قطر للمال إطاره القانوني والتنظيمي الخاص، وله قواعده في شأن حماية البيانات. ولا نتناول في هذه المقالة تلك القواعد، ولا يصحّ افتراض أن أحكام القانون رقم (13) لسنة 2016 هي ذاتها المطبقة على كيان مرخَّص في المركز، ولا العكس. ومن كان نشاطه مرخَّصاً في المركز فعليه التحقق من الإطار المنطبق عليه من مصادره الرسمية.

ما ينبغي على المنشآت مراجعته

• تحديد ما إذا كانت المنشأة مراقباً أو معالجاً أو كليهما بحسب النشاط، فالالتزامات تختلف.
• أساس المعالجة في كل نشاط: موافقة، أم ضرورة لتحقيق غرض مشروع؟ وتوثيق ذلك.
• الإعلام المسبق المطلوب بالمادة (9)، ومطابقة إشعارات الخصوصية القائمة عليه.
• ما إذا كانت المنشأة تعالج بيانات ذات طبيعة خاصة، فذلك يستلزم تصريحاً من الإدارة المختصة.
• المواقع والخدمات الموجّهة للأطفال، فلها نظام خاص بالمادة (17).
• عقود المورّدين والمعالجين: التعليمات، والاحتياطات، والرصد المستمر، والإخطار الفوري بأي إخلال.
• مدد الاحتفاظ بالبيانات، فالمادة (10) تحظر الاحتفاظ بها أطول من اللازم.
• اتصالات التسويق المباشر: الموافقة المسبقة، وهوية المُنشئ، ووسيلة الإيقاف.

وتصدر عن الوزير القرارات اللازمة لتنفيذ أحكام القانون (المادة 31)، وتضع الإدارة المختصة سياسات حماية الخصوصية وضوابط الاحتياطات. ولذلك يتعيّن التحقق من القرارات والضوابط النافذة ومن الجهة التي تتولى الإشراف حالياً قبل بناء برنامج التزام عليها. وعلى وجه الخصوص، ينبغي التحقق من قناة تقديم الإخطارات المقررة في المادة (14) والشكاوى المقررة في المادة (26) لدى الجهة التي تتولى الإشراف حالياً، قبل أن تعتمد المنشأة على أي إجراء للإبلاغ أو التقديم. ويقدّم فريق قانون التقنية وفريق الشركات والقانون التجاري لدينا المشورة في مراجعة سياسات معالجة البيانات والعقود المتصلة بها.