في عصر تتنافس فيه الشركات على جمع أكبر قدر ممكن من بيانات عملائها بوصفها "الذهب الجديد" الذي يغذي التسويق واتخاذ القرار، يغيب عن كثير من مجالس الإدارة والمستشارين القانونيين الداخليين إدراك حقيقي لحجم المسؤولية التي يرتبها هذا التجميع.
فالبيانات الشخصية لم تعد مجرد أصل تجاري، بل مصدر خطر قانوني ومالي وسمعي إذا لم تُدَر وفق ضوابط واضحة، وهو ما تؤكده التشريعات المصرية والعربية على حد سواء، إضافة إلى سابقة قضائية باتت تُنذر الشركات بجدية الموقف.
أين تكمن الخطورة تحديدًا؟
الخطر لا يكمن في جمع البيانات في ذاته، بل في تراكمها دون غرض محدد، وربطها ببعضها لبناء ملفات تفصيلية عن الأفراد (مواقعهم، سلوكهم الشرائي، حالتهم الاجتماعية والاقتصادية)، ثم مشاركتها أو تسليمها لأطراف أخرى دون تحقق كافٍ من الهوية أو الرضا الصريح من صاحب البيانات.
هذا النمط يتجاوز مبدأين جوهريين في كل تشريعات حماية البيانات الحديثة: تحديد الغرض من المعالجة، وتقليل البيانات إلى الحد اللازم فعلًا لتحقيق هذا الغرض.
وكل خروج عليهما يفتح الباب أمام مساءلة الشركة، سواء كانت هي من جمع البيانات مباشرة أو من عالجها نيابة عن جهة أخرى، وسواء نتج الضرر عن خطأ متعمد أو مجرد تراخٍ في إجراءات التحقق.
الإطار القانوني في مصر
نظّم المشرّع المصري هذا الملف بموجب القانون رقم 151 لسنة 2020بإصدار قانون حماية البيانات الشخصية، الذي ألزم كل من "المتحكم" و"المعالج" في البيانات بالحصول على موافقة صريحة من صاحب البيانات، وتحديد الغرض من المعالجة، وتأمين البيانات ضد الاختراق أو التسريب، وعدم نقلها خارج مصر إلا بترخيص من مركز حماية البيانات الشخصية ووفق شروط محددة.
وتصل الغرامات إلى مليوني جنيه في حالات التسريب أو عدم الامتثال، مع مساءلة شخصية للمسؤول عن الإدارة الفعلية للشخص الاعتباري إذا ثبت علمه بالمخالفة. والأهم أن المادة 48 من القانون تُلزم المحكمة بالحكم بنشر واقعة الإدانة في جريدتين واسعتي الانتشار وعلى شبكة الإنترنت على نفقة المحكوم عليه، ما يجعل الأثر السمعي للمخالفة لا يقل خطورة عن أثرها المالي.
سابقة قضائية دالة
في الدعوى رقم 554 لسنة 2024 اقتصادي الإسكندرية، قضت محكمة الإسكندرية الاقتصادية بإلزام إحدى شركات الاتصالات الكبرى العاملة في مصر بتعويض قدره 10 ملايين جنيه لصالح مواطنة، بعد أن سهّلت الشركة استخراج شريحة هاتفها لشخص آخر دون التحقق الكافي من الهوية أو اتباع الضوابط القانونية اللازمة، ما أدى إلى اختراق حساباتها وابتزازها. واستندت المحكمة في حكمها إلى قانون مكافحة جرائم تقنية المعلومات، وقانون حماية البيانات الشخصية، وقانون حماية المستهلك، إضافة إلى المادة 178 من القانون المدني الخاصة بمسؤولية حارس الأشياء عن الأضرار الناتجة عنها.
الأهمية القانونية لهذا الحكم أنه لم يكتفِ بتطبيق قانون حماية البيانات وحده، بل جمع بين عدة أسانيد قانونية متكاملة لإثبات مسؤولية الشركة عن تراخيها في التحقق من هوية طالب الخدمة قبل تسليم بيانات حساسة.
وهذا يرسّخ مبدأً ينبغي أن يستحضره كل مستشار قانوني داخلي: التزام الشركة بحماية البيانات لا يقف عند حدود التشريع الخاص بها، بل يمتد إلى القواعد العامة في القانون المدني وقانون حماية المستهلك، ما يوسّع من دائرة المساءلة المحتملة أمام القضاء الاقتصادي.
المشهد التشريعي في الدول العربية
لا تنفرد مصر بهذا التوجه، فقد شهدت المنطقة العربية موجة تشريعية متسارعة في هذا الملف:
الإمارات العربية المتحدة : المرسوم بقانون اتحادي رقم 45 لسنة 2021 بشأن حماية البيانات الشخصية، الذي فرض ضوابط على معالجة البيانات ونقلها عبر الحدود، ومنح صاحب البيانات حقوقًا عدة أبرزها الحصول مجانًا على معلومات حول القرارات المتخذة بناءً على معالجة بياناته، إلى جانب تشريعات خاصة في مركزي دبي المالي العالمي وسوق أبوظبي العالمي.
المملكة العربية السعودية: يفرض نظام حماية البيانات الشخصية غرامات تصل إلى خمسة ملايين ريال، وحبسًا قد يمتد إلى سنتين في حال استخدام البيانات لغرض غير مشروع، مع جواز مضاعفة الغرامة عند التكرار.
مملكة البحرين
: نظّم قانون حماية البيانات الشخصية رقم 30 لسنة 2018 اختصاصات هيئة حماية البيانات الشخصية وآليات الرقابة على الجهات المعالِجة للبيانات.
هذا التقارب التشريعي بين مصر ودول الخليج يعكس اتجاهًا عربيًا موحدًا نحو تشديد الرقابة على الشركات التي تتعامل مع بيانات العملاء، بصرف النظر عن قطاع نشاطها.
ما المطلوب عمليًا من الشركات ومستشاريها القانونيين؟
أمام هذا المشهد، لم يعد الامتثال لقوانين حماية البيانات ترفًا قانونيًا، بل ركيزة أساسية في إدارة المخاطر، وتحديدًا:
1. تحديد الغرض من جمع البيانات
بدقة، وعدم استخدامها في أي غرض آخر دون إذن صريح ومحدث من صاحبها.
2. التحقق الصارم من الهوية
قبل تسليم أي بيانات أو خدمات حساسة، تفاديًا لمسؤولية مماثلة لما ورد في حكم محكمة الإسكندرية الاقتصادية.
3. تأمين البيانات تقنيًا
ضد الاختراق، وتوثيق إجراءات الإبلاغ الفوري عن أي تسريب.
4. مراجعة العقود مع أي طرف ثالث
يعالج البيانات نيابة عن الشركة، لضمان التزامه بذات المعايير التي تلتزم بها الشركة نفسها.
الشركة التي تنظر إلى بيانات عملائها كأصل بلا التزام مقابل تضع نفسها على مرمى حجر من مساءلة قد تكلفها ملايين الجنيهات وسمعتها في آن واحد. والدرس الأهم لكل مستشار قانوني ومسؤول امتثال في المنطقة العربية اليوم واضح: مراجعة سياسات جمع البيانات ومعالجتها لم تعد بندًا مؤجلًا على قائمة الأولويات، بل التزامًا فوريًا تفرضه التشريعات النافذة وتؤكده أحكام القضاء الاقتصادي.
