حين يزور المريض طبيبه أو يجري تحليلا طبيا، فهو لا يمنح فقط معلومات عن حالته الصحية، بل يسلّم جزءا من خصوصيته. ولأن هذه المعطيات من أكثر المعطيات حساسية، اعتمدت اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي (CNDP)، خلال اجتماعها بتاريخ 28 نونبر 2025 برئاسة عمر السغروشني، المداولة عدد D-941-2025 المتعلقة بالنموذج الموحد لطلب الإذن بشأن معالجات تتبع المرضى.
وتُعرَّف المداولات بكونها إحدى أهم الآليات القانونية التي تعتمدها اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي في ممارسة اختصاصاتها، إذ تُعدُّ أعمالا رسمية تعتمدها اللجنة بصورة جماعية، بهدف إضفاء الطابع الرسمي على قرار أو إصدار رأي أو تحديد قواعد أو شروط عامة تندرج ضمن اختصاصاتها.
وتحدد المداولة المتعلقة بالنموذج الموحد لطلب الإذن بشأن معالجات تتبع المرضى، مجال تطبيقها في كل طلب إذن يقدمه مسؤول عن المعالجة يرغب في تجميع المعطيات ذات الطابع الشخصي أو حفظها أو استعمالها في إطار تدبير المرضى وتتبعهم. كما تنص على أن المعالجة المعنية تحمل تسمية “معالجة المعطيات الصحية”، ويمكن أن تتم بطرق يدوية أو آلية، وتهدف إلى تجميع المعطيات الحساسة الخاصة بالمرضى، باعتبارها معطيات غير مجهولة الهوية، مع اعتماد الكاميرات ضمن أدوات تجميع المعطيات.
وحصرت المداولة الغايات التي يمكن أن تبرر هذه المعالجات في تحديد المواعيد الطبية، وتتبع الحالة الصحية للمرضى، والتشخيص والعلاج الطبيين، وإنجاز نتائج التحاليل الطبية وإبلاغها إلى المرضى وأوليائهم القانونيين، وتتبع المسار الطبي للمرضى داخل المؤسسات الصحية، فضلا عن استعمال تقنيات التطبيب عن بعد من أجل التكفل بالمرضى وتتبعهم.
وفي المقابل، أكدت المداولة أن أي معالجة ترمي إلى تحقيق غايات أخرى تستوجب الحصول على إذن خاص من اللجنة الوطنية، مُستبعِدة على وجه الخصوص الأبحاث العلمية المستقلة عن التتبع الطبي، ومعالجة المعطيات الجينية والجينومية من نطاق هذا النموذج الموحد.
أكدت المداولة أنه لا يجوز استعمال سوى المعطيات التي يتم تجميعها مباشرة لدى المرضى أو أوليائهم أو ممثليهم القانونيين
وبخصوص الأشخاص المعنيين، أوضحت المداولة أن المعالجات المأذون بها تشمل المرضى، وعند الاقتضاء، أولياءهم القانونيين وأزواجهم.
كما حددت فئات المعطيات التي يمكن تجميعها، وتشمل معطيات الهوية مثل الاسم الشخصي والعائلي، والعنوان وأرقام الهاتف والبريد الإلكتروني وتاريخ ومكان الازدياد ورقم البطاقة الوطنية للتعريف أو جواز السفر أو بطاقة الإقامة، ورقم التسجيل لدى إحدى هيئات الاحتياط الاجتماعي، وصورة الهوية لأغراض اليقظة والتحقق من الهوية. وتشمل كذلك المعطيات المالية، من قبيل المعلومات البنكية الواردة في الشيكات أو بيانات التعريف البنكي وأرقام الحسابات البنكية، إضافة إلى المعطيات الصحية المتعلقة بالحالة الصحية للمرضى.
وأكدت المداولة أنه لا يجوز استعمال سوى المعطيات التي يتم تجميعها مباشرة لدى المرضى أو أوليائهم أو ممثليهم القانونيين. كما شددت على عدم الاحتفاظ بهذه المعطيات بعد انقضاء المدة الضرورية حصرا لتحقيق الغايات التي جُمعت من أجلها، مع مراعاة المقتضيات القانونية المخالفة.
حقوق وضوابط
وفيما يتعلق بحقوق الأشخاص المعنيين، ألزمت المداولة المسؤول عن المعالجة بالحصول على موافقتهم، وإخبارهم بهوية المسؤول عن المعالجة، وغاياتها، وطبيعة المعطيات التي يتم جمعها، والجهات المتلقية لها، بما في ذلك عمليات نقل المعطيات إلى الخارج المرخص لها قانونا من طرف اللجنة الوطنية، فضلا عن تمكينهم من معلومات الاتصال اللازمة لممارسة حقوقهم في الولوج والتصحيح والتعرض، مع إبراز بشكل علني وواضح رقم التصريح المسلم من اللجنة الوطنية بشأن المعالجة المعنية.
وأولت المداولة أهمية خاصة لأمن المعطيات وسريتها، إذ أوجبت على المسؤول عن المعالجة اتخاذ جميع التدابير اللازمة لضمان حماية المعطيات ومنع إتلافها أو تغييرها أو إفشائها أو الولوج إليها من طرف أشخاص غير مأذون لهم، وفقا للقانون رقم 09.08. كما فرضت، في حالة اللجوء إلى معالج من الباطن (sous-traitant)، التأكد من توفره على ضمانات كافية في مجال الأمن التقني والتنظيمي، ولا سيما من خلال بنود تعاقدية تلزمه بهذه الضمانات.
تسلم الإذن لا يعفي المسؤول عن المعالجة من الالتزام باحترام جميع المقتضيات التشريعية والتنظيمية
وفي الجانب الإجرائي، نصت المداولة على ضرورة حصول كل مسؤول عن المعالجة على إذن مسبق من اللجنة الوطنية قبل الشروع في أي معالجة تدخل في نطاقها، وذلك عبر الاستمارات المناسبة أو من خلال منصة “CNDP-FORMS”. كما ألزمت المسؤولين الذين يباشرون بالفعل معالجات عند تاريخ صدور المداولة بملاءمة معالجاتهم مع مقتضياتها والتقدم بطلب الترخيص داخل الأجل المحدد.
كما شددت المداولة على أنه لا يجوز نقل المعطيات إلى الخارج دون الحصول على إذن مسبق من اللجنة الوطنية، تطبيقا للمادتين 12 و20 من القانون رقم 09.08، وأكدت أن أي ربط بيني (Interconnexion) مع معالجات ذات غايات مختلفة يجب أن يكون موضوع طلب ترخيص مستقل يقدم إلى اللجنة الوطنية.
واختتمت المداولة بالتأكيد على أن تسلم الإذن من طرف اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي لا يعفي المسؤول عن المعالجة من الالتزام باحترام جميع المقتضيات التشريعية والتنظيمية الجاري بها العمل.
