الوحدة 9 — حماية البيانات الشخصية

بينما يُنظّم القانون الأوروبيّ للذكاء الاصطناعيّ النظام، تُنظّم قوانين حماية البيانات البيانات نفسها. النصّان يعملان معًا: نموذج القرض عالي الخطر بموجب قانون الذكاء الاصطناعيّ، ومعالج للبيانات الشخصية بموجب اللائحة الأوروبيّة العامّة لحماية البيانات (RGPD) والقوانين الوطنيّة العربيّة. تُلخّص هذه الوحدة المبادئ المشتركة، وتُشير إلى الفروق الوطنيّة، وتُطبّق كلّ ذلك على الخيط الأحمر.

البيانات الشخصية: تعريف واسع

يعتبر النصّ الأوروبيّ (المادّة 4-1 من RGPD) «بيانات شخصية» كلّ معلومة تتعلّق بشخص طبيعيّ مُعرَّف أو قابل للتعريف. القوانين العربيّة تتبنّى تعريفًا مقاربًا: قانون حماية البيانات الشخصية المغربيّ (09-08) في المادّة 1-1، والقانون التونسيّ للبيانات الشخصية (2004-63)، والنظام السعوديّ لحماية البيانات الشخصية (2021)، وقانون الإمارات الاتّحاديّ رقم 45 لسنة 2021.

نقطة حيويّة: بيانات مثل الرمز البريديّ أو تاريخ الميلاد، منفردةً، قد لا تكون شخصيّة؛ مجتمعةً، تصبح كذلك (الوحدة 5). المعيار قانونيّ لا تقنيّ صرف: هل يمكن، بجهد معقول، إعادة التعرّف على الفرد؟

المبادئ الستّة المشتركة

النصوص العربيّة والأوروبيّة تتقاطع في ستّة مبادئ:

المشروعيّة (Lawfulness): كلّ معالجة تحتاج أساسًا قانونيًّا. الستّة الرئيسة: الموافقة، تنفيذ عقد، التزام قانونيّ، حماية مصالح حيويّة، مهمّة عامّة، مصلحة مشروعة. لنموذج القرض، الأساس المستخدَم عادة هو تنفيذ عقد (طلب القرض من العميل).

الغاية المحدَّدة (Purpose limitation): البيانات المجموعة لغاية «تقييم القرض» لا يمكن أن تُستخدَم لاحقًا لتسويق منتج آخر بلا موافقة إضافيّة. هذا هو الخرق الأشيع في الشركات.

التقليل (Data minimization): لا نجمع إلّا ما يلزم للغاية. الرمز البريديّ الكامل (٥ أرقام) قد يكفي عنه الرمز على أربعة أرقام. تاريخ الميلاد يمكن استبداله بالفئة العمريّة.

الدقّة (Accuracy): البيانات الخاطئة تُصحَّح فورًا. الأشخاص لهم الحقّ في تصحيح ما يتعلّق بهم.

الاحتفاظ المحدَّد (Storage limitation): تُحذَف البيانات بعد انتهاء الغاية. على قاعدتنا: ست سنوات بعد سداد آخر قسط لعقود القرض.

السلامة (Integrity and confidentiality): تشفير عند الاستراحة والانتقال، وضبط الوصول، وسجلّات الوصول.

حقوق الأشخاص: قائمة قابلة للتنفيذ

كلّ شخص تُعالَج بياناته له حقوق:

1. حقّ الإعلام: إخباره بالمعالجة عند الجمع، ولاحقًا عند تغيّرها.
2. حقّ الوصول: الحصول على نسخة من بياناته.
3. حقّ التصحيح: تعديل ما هو خاطئ.
4. حقّ الحذف («الحقّ في النسيان»): بشروط، تُحذَف البيانات.
5. حقّ تقييد المعالجة: توقيف مؤقّت.
6. حقّ النقل (Portability): الحصول على البيانات بصيغة مُهيكَلة.
7. حقّ الاعتراض: رفض معالجة لاحقة.
8. الحقّ في عدم الخضوع لقرار آليّ بالكامل (المادّة 22 من RGPD).

الحقّ الثامن مركزيّ لنموذجنا: إذا كان القرض يُقرَّر آليًّا بالكامل مع أثر قانونيّ أو أثر مماثل، للشخص الحقّ في: تدخّل بشريّ، التعبير عن رأيه، الاعتراض. هذا يعزّز إجراء الطعن الّذي بنيناه في الوحدة 7.

تحليل الأثر على حماية البيانات

DPIA (Data Protection Impact Assessment) إلزاميّ عندما تكون المعالجة ذات خطر عالٍ على الحقوق والحرّيات. نموذج القرض يستوفي ذلك بموجب المادّة 35 من RGPD. القوالب الوطنيّة متاحة عبر مواقع سلطات الحماية (CNIL الفرنسيّة، الهيئة الوطنيّة لحماية المعطيات الشخصية بتونس، لجنة البيانات الشخصية بالمغرب).

يشمل DPIA عادةً:

1. وصف المعالجة: الغاية، البيانات، الأشخاص المعنيّون، مدّة الاحتفاظ.
2. تقييم الضرورة والتناسب: هل يمكن تحقيق الغاية بأقلّ بيانات؟
3. تقييم المخاطر: على الحقوق والحرّيات، مع سيناريوهات تسريب أو تمييز.
4. تدابير التخفيف: التقنيّة (تشفير، تفاضلية الخصوصية) والتنظيميّة (إجراءات، تدريب).

القرار الآليّ: خطّ فاصل صعب

المادّة 22 تنطبق حين يكون القرار «آليًّا بالكامل». إدخال مستشار يوقّع دون أن يراجع فعليًّا لا يُخرِج القرار من هذه الفئة (الوحدة 7). المعيار الّذي تتبنّاه اللجنة الأوروبيّة لحماية البيانات: هل للتدخّل البشريّ قدرة فعليّة على تغيير القرار؟

الاستثناءات الثلاثة: القرار ضروريّ لتنفيذ عقد، مصرَّح به بموجب قانون، أو مبنيّ على موافقة صريحة. في كلّ الحالات، تبقى الحقوق الثلاثة المذكورة قائمة.

الفروق الوطنيّة: نظرة سريعة

• المغرب: القانون 09-08، مع اشتراط ترخيص مسبق للجهة الرقابيّة (CNDP) لمعالجات معيّنة.
• تونس: القانون العضوي 63-2004، جارٍ تحديثه؛ سلطة رقابية مستقلّة.
• المملكة العربيّة السعوديّة: النظام الصادر 2021، ولوائحه التنفيذيّة 2023، مع اشتراطات نقل البيانات خارج المملكة.
• الإمارات العربيّة المتّحدة: القانون الاتّحاديّ 45-2021، مع مناطق حرّة (DIFC، ADGM) لها أنظمتها الخاصّة.

القاسم المشترك يكفي لبناء نظام واحد يمرّ في هذه المرجعيّات جميعًا؛ الفروق تتعلّق بالتراخيص والإخطارات.

تحفّظ عمليّ

إعلان «نحن ملتزمون بحماية بياناتك» في السياسات الخصوصيّة لا يعني شيئًا بلا سجلّ للمعالجات يوضّح لكلّ نشاط: الأساس القانونيّ، الغاية، البيانات، المدّة، والمتلقّون. سجلّ المعالجة هو أوّل مستند يطلبه المدقّق.

الخلاصة

• البيانات الشخصية تعريفها واسع؛ ومجموعة بيانات «غير حسّاسة» قد تكون شخصيّة بمجرّد إمكان إعادة التعرّف.
• ستّة مبادئ مشتركة: مشروعيّة، غاية محدَّدة، تقليل، دقّة، احتفاظ محدَّد، سلامة؛ مطبَّقة في القوانين العربيّة والأوروبيّة.
• ثمانية حقوق للأشخاص، أبرزها الحقّ في عدم الخضوع لقرار آليّ بالكامل مع أثر قانونيّ (المادّة 22).
• DPIA إلزاميّ للمعالجات ذات الخطر العالي؛ والقرار الآليّ يخرج من هذه الفئة فقط إذا كان التدخّل البشريّ ذا قدرة فعليّة على التغيير.

الوحدة القادمة: دراسة حالة تدقيق كامل لنظام القرض، تجمع كلّ الوحدات السابقة في تقرير قابل للدفاع عنه.