تفاصيل تطبيق قانون حماية البيانات الشخصية.. هل ينطبق على الفنادق وشركات التكنولوجيا المالية؟

 أكد الدكتور محمد حجازي، خبير التشريعات وحماية البيانات الشخصية، أن تطبيق قانون حماية البيانات الشخصية رقم 151 لسنة 2020 يتطلب من المؤسسات مراجعة جميع عمليات جمع المعلومات وتخزينها ومعالجتها، بما يشمل البيانات التي يتم الحصول عليها من العملاء والزوار، وليس فقط المعلومات الموجودة في قواعد البيانات الإلكترونية التقليدية.

 وأوضح حجازي، أن فهم نطاق تطبيق القانون والاستثناءات الواردة فيه يمثل خطوة أساسية أمام الشركات لتحديد التزاماتها القانونية، مشيرًا إلى أن طبيعة النشاط والبيانات التي يتم التعامل معها قد تفرض إجراءات مختلفة للامتثال.

مركز حماية البيانات الشخصية ودوره في تطبيق القانون:

 وأشار حجازي إلى أن مركز حماية البيانات الشخصية يمثل الجهة التنظيمية المعنية بمتابعة تطبيق القانون، موضحًا أن اختصاصاته تشمل الإجراءات المرتبطة بالتراخيص والتصاريح، وتنظيم عمل مسؤولي حماية البيانات الشخصية، وتلقي الإخطارات والشكاوى المتعلقة بمعالجة البيانات.

 وأضاف أن المركز يؤدي دورًا مهمًا في توضيح المتطلبات التنظيمية للمؤسسات، ومتابعة الشكاوى التي يتقدم بها أصحاب البيانات بشأن كيفية جمع معلوماتهم أو استخدامها، وفقًا للاختصاصات والإجراءات المقررة قانونًا.

 ولفت إلى أن الإطار القانوني يتضمن كذلك عقوبات إدارية وجنائية تختلف بحسب طبيعة المخالفة وأحكام النصوص المنطبقة عليها، وهو ما يجعل فهم الالتزامات القانونية أمرًا ضروريًا قبل بدء عمليات معالجة البيانات أو التوسع فيها.

 وأوضح خبير التشريعات وحماية البيانات الشخصية أن اللائحة التنفيذية للقانون، إلى جانب الإرشادات الصادرة عن مركز حماية البيانات الشخصية، تساعد على تحويل القواعد القانونية إلى إجراءات عملية يمكن للمؤسسات الاستناد إليها عند تنظيم أعمالها.

 وتشمل هذه الإجراءات متطلبات مرتبطة بالتراخيص والتصاريح، والرسوم، وتنظيم عمليات معالجة البيانات، وتحديد المسؤوليات داخل المؤسسة، بما يساعد الشركات على التعرف على الخطوات المطلوبة لتوفيق أوضاعها.

 وأكد حجازي أن الامتثال لا يبدأ بمجرد الاطلاع على نصوص القانون، بل يتطلب مراجعة طريقة عمل المؤسسة وتحديد البيانات التي تجمعها، والأغراض التي تستخدمها من أجلها، وكيفية تخزينها ومشاركتها، والضوابط التي تحكم الوصول إليها.

هل يخضع الفندق لقانون حماية البيانات الشخصية؟

 وضرب حجازي مثالًا بالفنادق التي تطلب من الزوار تقديم بطاقات الهوية أو رخص القيادة عند الدخول، موضحًا أن مسح هذه المستندات ضوئيًا وتخزين بياناتها إلكترونيًا يثير تساؤلات مهمة بشأن كيفية التعامل مع المعلومات الشخصية.

 وأشار إلى أن المسألة لا تتوقف عند جمع البيانات، وإنما تشمل أيضًا مكان تخزينها، والأشخاص الذين يمكنهم الوصول إليها، والجهات التي قد تُرسل إليها، والضوابط التي تحميها من الاستخدام غير المصرح به.

 وأوضح أن بعض الممارسات اليومية قد تنطوي على مخاطر لا تنتبه إليها المؤسسات، مثل استخدام الهاتف الشخصي لمسح مستندات العملاء، أو إرسال صور بطاقات الهوية عبر تطبيقات المراسلة، أو حفظها على خدمات تخزين سحابي دون التحقق من ملاءمة الإجراءات المتبعة.

 وشدد على أهمية وضع آليات واضحة للتعامل مع هذه المعلومات، وتحديد وسائل التخزين والنقل المسموح بها، وتقييد الوصول إلى البيانات وفقًا لاحتياجات العمل، مع مراعاة المتطلبات القانونية ذات الصلة.

كاميرات المراقبة وبيانات العملاء ضمن حسابات الامتثال:

 ولفت حجازي إلى أن مراجعة التزامات حماية البيانات ينبغي أن تشمل مختلف الوسائل التي تستخدمها المؤسسة لجمع المعلومات، بما في ذلك كاميرات المراقبة وبيانات العملاء والبيانات المالية والمعلومات المتعلقة بالأطفال، متى كانت هذه البيانات تدخل ضمن نطاق القانون.

 وأضاف أن المؤسسات تحتاج إلى تحديد نوع البيانات التي تجمعها، والغرض من جمعها، والأساس القانوني لمعالجتها، إلى جانب تقييم التدابير اللازمة لحمايتها.

 وأشار إلى أن التزامات المؤسسة قد تختلف بحسب طبيعة البيانات، خصوصًا عند التعامل مع البيانات الشخصية الحساسة التي تخضع لضوابط قانونية خاصة، وهو ما يستلزم عدم التعامل مع جميع المعلومات بالطريقة نفسها.

استثناءات قانون حماية البيانات تثير تساؤلات لدى الشركات:

 وتناول حجازي مسألة الجهات والبيانات المستثناة من تطبيق بعض أحكام القانون، موضحًا أن فهم هذه الاستثناءات ضروري للمؤسسات التي تعمل في قطاعات تخضع لأطر تنظيمية مختلفة.

 وأشار إلى أن القانون يتضمن استثناءات تتعلق بجهات الأمن القومي، وبعض البيانات المرتبطة بالإجراءات والمحاضر القضائية والأمنية، وفقًا لما تحدده النصوص القانونية.

 وأكد أن وجود استثناءات لجهة أو قطاع معين لا يعني بالضرورة امتدادها إلى جميع الشركات التي تتعامل معه أو تقدم له خدمات، إذ يجب تحديد نطاق الاستثناء وشروطه قبل اتخاذ قرار بشأن الالتزامات القانونية.

 وأوضح حجازي أن التداخل بين الأطر التنظيمية يمثل أحد التحديات التي تحتاج الشركات إلى دراستها، خاصة في قطاع الخدمات المالية والتكنولوجيا المالية، الذي يضم مؤسسات تعمل تحت إشراف جهات رقابية مختلفة.

 وأشار إلى أن قانون حماية البيانات الشخصية يتضمن حكمًا يتعلق بالبيانات الشخصية لدى البنك المركزي والجهات الخاضعة لإشرافه، وهو ما يطرح تساؤلات بشأن نطاق الاستثناء وكيفية تطبيقه في الحالات التي تتداخل فيها الأنشطة والتراخيص.

 وضرب مثالًا بشركات التكنولوجيا المالية وشركات التمويل الاستهلاكي التي قد تعمل وفق تراخيص أو ترتيبات رقابية متعددة، موضحًا أن تحديد موقف كل شركة يتطلب النظر إلى طبيعة نشاطها والجهة التي تخضع لإشرافها ونطاق الاستثناء القانوني، بدلًا من افتراض خضوع جميع المؤسسات في القطاع لحكم واحد.

 وشدد على أهمية أن تراجع الشركات أوضاعها التنظيمية بصورة دقيقة، لتحديد التزاماتها في مجال حماية البيانات، وعدم الاعتماد على وجود ترخيص من جهة رقابية باعتباره دليلًا تلقائيًا على الإعفاء من بقية المتطلبات القانونية.

 وتطرق حجازي كذلك إلى أهمية مراعاة ضوابط حماية البيانات عند تنفيذ أنشطة التسويق الإلكتروني، خاصة عند جمع بيانات العملاء أو استخدامها في الحملات التسويقية والتواصل معهم.

 وأوضح أن المؤسسات تحتاج إلى مراجعة الأساس القانوني لمعالجة البيانات، وطبيعة الموافقات المطلوبة بحسب الحالة، والضوابط المنظمة لاستخدام المعلومات الشخصية في الأغراض التسويقية، بما يضمن احترام حقوق أصحاب البيانات والالتزام بالقواعد المطبقة.