من الإدارة إلى كاميرا الجار: من المسؤول عن معطياتك الشخصية؟

مع كل وثيقة إدارية أو ملف طبي أو كاميرا مراقبة يتم من خلالها تجميع معطيات ذات طابع شخصي تخص مواطنين، يُطرح السؤال في كل مرة: من يتحمل مسؤولية هذه المعطيات الشخصية؟ ومن يضمن أنها لن تستعمل خارج الأغراض التي جمعت من أجلها؟

يجيب القانون رقم 09.08 المتعلق بحماية الأشخاص الذاتيين تجاه معالجة المعطيات ذات الطابع الشخصي، عن هذا السؤال من خلال مفهوم محوري هو “المسؤول عن المعالجة”، باعتباره “الشخص الذاتي أو المعنوي أو السلطة العامة أو المصلحة أو أي هيئة تقوم سواء بمفردها أو باشتراك مع آخرين بتحديد الغايات من معالجة المعطيات ذات الطابع الشخصي ووسائلها”، وبالتالي يتحمل المسؤولية القانونية عن احترام حقوق الأشخاص المعنيين وحماية معطياتهم.

ويقصد بمعالجة المعطيات ذات الطابع الشخصي كل عملية أو مجموعة من العمليات التي تُنجز بوسائل آلية أو غير آلية، وتشمل التجميع أو التسجيل أو التنظيم أو الحفظ أو الملاءمة أو التغيير أو الاستخراج أو الاطلاع أو الاستعمال أو الإرسال والإتاحة والربط البيني والإغلاق والمسح أو الإتلاف. وبذلك لا تقتصر المعالجة على تجميع المعطيات، وإنما تمتد إلى مختلف مراحل التعامل معها منذ الحصول عليها إلى غاية حذفها.

المسؤول عن المعالجة

قد يظن البعض أن المسؤول عن المعالجة هو الموظف الذي يستقبل الوثائق أو الشخص الذي يُدخل المعطيات إلى النظام المعلوماتي، أو أنه مسؤول بمصلحة الموارد البشرية، غير أن القانون يمنح هذا الوصف للجهة التي تحدد لماذا ستتم معالجة المعطيات؟ وكيف ستتم؟.

ويمكن أن يكون المسؤول عن المعالجة شخصا معنويا، مثل وزارة أو إدارة عمومية أو مستشفى أو شركة أو جمعية أو تعاونية. كما يمكن أن يكون شخصا ذاتيا عندما يقوم بنفسه بمعالجة معطيات ذات طابع شخصي.

وتخضع هذه الجهة لالتزامات قانونية دقيقة، إذ يتعين عليها احترام الغاية التي جُمّعت من أجلها المعطيات، وعدم استعمالها في أغراض أخرى إلا وفق الشروط التي يحددها القانون، فضلا عن ضمان أمنها وحمايتها وإخبار الأشخاص المعنيين بحقوقهم.

اللجنة الوطنية لا تمنح ترخيصا عاما للمؤسسة بل تمنحه من أجل معالجة لها غاية محددة

حددت مقتضيات القانون 09.08، حالتين أساسيتين قبل مباشرة معالجة المعطيات ذات الطابع الشخصي. ففي بعض الحالات، يتعين الحصول على إذن مسبق من اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي، خاصة عندما يتعلق الأمر بمعالجة المعطيات الحساسة أو استعمال المعطيات لأغراض تختلف عن تلك التي جُمعت من أجلها، أو معالجة المعطيات الجينية أو المعطيات المتعلقة بالمخالفات أو المعطيات التي تتضمن رقم البطاقة الوطنية للتعريف، إضافة إلى بعض عمليات الربط البيني- Interconnexion بين الملفات التي تديرها جهات تختلف في أغراضها.

أما في باقي عمليات المعالجة، فيكتفي القانون بالتصريح المسبق، بما يسمح للجنة الوطنية بتتبع مختلف المعالجات وضمان امتثالها للمقتضيات القانونية.

حالة المستشفى

لفهم مفهوم المسؤول عن المعالجة بشكل أوضح، يكفي النظر إلى حالة المستشفى. فالمسؤول عن المعالجة لا يكون في الأصل الطبيب أو الموظف الإداري، وإنما المستشفى نفسه باعتباره شخصا معنويا يحدد الغاية من معالجة المعطيات والوسائل المستعملة لذلك.

ولهذا السبب، فإن اللجنة الوطنية لا تمنح ترخيصا عاما للمؤسسة، بل تمنحه من أجل معالجة لها غاية محددة. فقد تحصل مؤسسة استشفائية، على سبيل المثال، على ترخيص يتعلق بمعالجة معطيات الموارد البشرية الخاصة بأُجَرائها، لأن الغاية من هذه المعالجة واضحة وتتمثل في تدبير شؤون العاملين.

وفي هذه الحالة، يكون المستشفى ملزما بإخبار الأجراء بأن معطياتهم تخضع للمعالجة، وبيان الغرض من ذلك، وإعلامهم بالحقوق التي يكفلها لهم القانون، وفي مقدمتها الحق في الولوج إلى معطياتهم، والحق في تصحيحها، والحق في التعرض في الحالات التي يسمح بها القانون.

لا يقتصر الأمر على معطيات الأجراء، بل يتطلب تدبير معطيات المرضى ترخيصا مستقلا، بالنظر إلى الطبيعة الحساسة للمعطيات المتعلقة بالصحة.

ينبغي أن يظهر الإشعار في الوثائق التي يُعبّؤها المرضى أو عبر الملصقات والشاشات داخل المؤسسة الصحية

وفي هذا الإطار، يلتزم المستشفى بإعلام المرضى بأن معطياتهم ستتم معالجتها في إطار تدبير ملفاتهم الصحية، مع توفير وسائل واضحة للتواصل، كرقم هاتفي أو بريد إلكتروني، حتى يتمكنوا من ممارسة حقوقهم أو طلب التوضيحات بشأن كيفية استعمال معطياتهم.

كما ينبغي أن يظهر هذا الإشعار في الوثائق التي يُعبّؤها المرضى، أو عبر الملصقات والشاشات داخل المؤسسة الصحية، مع بيان أن المعالجة تتم بناء على ترخيص صادر عن اللجنة الوطنية، وأن للمريض الحق في معرفة ما إذا كانت معطياته ستُنقل إلى جهة أخرى ولأي غرض.

وإذا قرر المستشفى نقل هذه المعطيات إلى الخارج، فلا يجوز له القيام بذلك إلا بعد إشعار اللجنة الوطنية، عبر استمارة نقل المعطيات إلى الخارج، ثم إخبار الأشخاص المعنيين، مع توضيح أسباب هذا النقل والضمانات القانونية المؤطرة له، من قبيل تدابير الأمن والسلامة، والغاية من النقل إلى الخارج، بالإضافة إلى تحديد المرسل إليه.

لا ينتهي دور اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي عند منح التراخيص، بل يمتد إلى مراقبة مدى احترام المسؤول عن المعالجة لمقتضيات القانون.

وتتحقق اللجنة الوطنية من أن الأشخاص المعنيين جرى إخبارهم بأهداف المعالجة، وبالحقوق المخولة لهم. كما تراقب اعتماد المسؤول عن المعالجة للتدابير التنظيمية الكفيلة بحماية المعطيات من الولوج غير المشروع أو الاستعمال غير المصرح به.

الأشخاص الذاتيين

لا تقتصر أحكام القانون على الإدارات والمؤسسات، بل قد تنطبق أيضا على الأشخاص الذاتيين.

ومن الأمثلة على ذلك تركيب كاميرا مراقبة أمام منزل خاص. فإذا كانت هذه الكاميرا ترصد فقط المجال الخاص بصاحبها، فلا يطرح الأمر إشكالا. أما إذا كانت تلتقط بشكل مستمر تحركات الجيران، وتكشف أوقات دخولهم وخروجهم أو زوارهم أو تنقلاتهم اليومية، فإن صاحبها يصبح مسؤولا عن معالجة معطيات ذات طابع شخصي، ويكون ملزما باحترام الضوابط القانونية.

وفي حال شعر أحد الجيران بأن خصوصيته تعرضت للمساس، يحق له التقدم بشكاية إلى اللجنة الوطنية، التي تتولى دراسة الحالة واتخاذ ما يلزم وفق مقتضيات القانون رقم 09.08.