قانون حماية البيانات الشخصية في الأردن والحق في محو البيانات

يُستخدم تعبير «الحق في النسيان الرقمي» لوصف نقاش قانوني حول إمكان طلب محو بيانات شخصية أو إخفائها أو الحد من إتاحتها عندما تصبح غير دقيقة، أو لا تعود لازمة للغرض الذي جُمعت من أجله، أو يكون استمرار معالجتها مخالفًا للقانون، وتختلف تفاصيل هذا المفهوم من تشريع إلى آخر.

ولا يعني التعبير حقًا مطلقًا في حذف كل معلومة صحيحة أو محو أحداث الماضي من السجلات العامة، فالموازنة قد تشمل الخصوصية، وحرية التعبير، وحق الجمهور في المعرفة، والمصلحة العامة، والالتزامات القانونية بحفظ البيانات.

يضع الدستور الأردني إطارًا عامًا لحماية الخصوصية، فالمادة 7 تقرر أن «الحرية الشخصية مصونة»، وتعد الاعتداء على الحقوق والحريات العامة أو حرمة الحياة الخاصة للأردنيين جريمة يعاقب عليها القانون.

وتقرر المادة 18 سرية المراسلات البريدية والبرقية والمخاطبات الهاتفية وغيرها من وسائل الاتصال، ولا تجيز مراقبتها أو الاطلاع عليها أو توقيفها أو مصادرتها إلا بأمر قضائي وفق أحكام القانون، وهذه ضمانات دستورية عامة، بينما ينظم قانون حماية البيانات الشخصية تفاصيل معالجة البيانات وحقوق أصحابها.

يقرر قانون حماية البيانات الشخصية رقم 24 لسنة 2023، في المادة 4، حق كل شخص طبيعي في حماية بياناته، كما يعدد حقوق الشخص المعني، مع مراعاة المادة 6، ومنها العلم بالبيانات الموجودة لدى المسؤول والوصول إليها، وسحب الموافقة المسبقة، وتصحيح البيانات أو تحديثها، وتقييد نطاق المعالجة، وطلب محو البيانات أو إخفائها وفق القانون.

وتشمل الحقوق كذلك الاعتراض على المعالجة أو التشخيص الآلي في الحالات التي يحددها القانون، ونقل نسخة من البيانات إلى مسؤول آخر، والعلم بوقوع خرق أو انتهاك لأمن البيانات وسلامتها، وتقرر المادة 4 أيضًا أن ممارسة هذه الحقوق لا يترتب عليها بذاتها تبعات مالية أو تعاقدية، دون الإخلال بحقوق المسؤول.

تجعل المادة 4 حماية البيانات هي الأصل، فلا تجوز المعالجة إلا بموافقة مسبقة أو في الحالات التي يجيزها القانون، وتطلب المادة 5 أن تكون الموافقة صريحة وموثقة، ومحددة من حيث الغرض والمدة، وأن يُعرض طلبها بلغة واضحة وبسيطة وغير مضللة، ولا يُعتد بها إذا انتُزعت بمعلومات غير صحيحة أو ممارسات مضللة، أو إذا تغيرت طبيعة المعالجة أو أهدافها دون موافقة على التغيير.

وتعدد المادة 6 حالات تجوز فيها المعالجة دون موافقة مسبقة أو إخطار، ضمن حدود كل حالة؛ ومن أمثلتها أداء جهة عامة مختصة لمهامها القانونية، وأغراض طبية محددة، وحماية حياة الشخص أو مصالحه الحيوية، ومنع الجرائم أو كشفها وملاحقتها من الجهة المختصة، وتنفيذ تشريع أو حكم قضائي، وبعض أغراض البحث والإحصاء والأمن الوطني أو المصلحة العامة.

وتنص المادة 6 أيضًا على عدم الاحتفاظ بالبيانات بعد تحقق الغرض من معالجتها، إلا إذا نصت التشريعات على خلاف ذلك، لذلك قد يؤثر وجود التزام قانوني بالحفظ أو أساس آخر للمعالجة في طلب المحو.

تشترط المادة 7 أن تكون معالجة البيانات لغرض مشروع ومحدد وواضح، ومتسقة مع الغرض الذي جُمعت من أجله، وأن تتم بوسائل قانونية ومشروعة وببيانات صحيحة ودقيقة ومحدثة، كما توجب مراعاة السرية والسلامة، وألا تؤدي المعالجة إلى الإضرار بالشخص المعني أو الانتقاص من حقوقه.

وتلزم المادة 8 المسؤول باتخاذ تدابير لحماية البيانات، ووضع آليات وإجراءات للمعالجة وتلقي الشكاوى والرد عليها، ونشرها، وتوفير وسائل تمكّن الشخص من ممارسة حقوقه، كما تلزمه المادة 9، قبل بدء المعالجة، بإبلاغ الشخص المعني بالبيانات المراد معالجتها، والغرض والمدة، والمعالجين المشاركين، وضوابط أمن البيانات، ومعلومات التشخيص الآلي، مع مراعاة الاستثناءات القانونية.

وتقرر المادة 13 سرية البيانات التي تتم معالجتها، وتلزم المسؤول والمعالج بالمحافظة على سريتها، كما تضع المادة 14 شروطًا لنقل البيانات أو تبادلها، ومنها مشروعية مصلحة المسؤول والمتلقي، وإحاطة الشخص المعني بالمتلقي وأغراض الاستخدام، وعدم استخدام النقل للتسويق إلا بموافقته.

تنظم المادة 10 حالات طلب المحو أو الإخفاء، ومنها معالجة البيانات لغرض مختلف عن الغرض الذي جُمعت من أجله أو على نحو يخالف الموافقة، وسحب الموافقة التي استندت إليها المعالجة ما لم تقتضِ تشريعات أخرى خلاف ذلك، ومعالجة البيانات بالمخالفة للقانون أو الأنظمة والتعليمات الصادرة بمقتضاه، وتورد المادة كذلك حالة متصلة بتنفيذ التزام قانوني أو تعاقدي؛ ويجب قراءتها في سياق النص العربي الكامل والوقائع.

وتستثني المادة 10 صراحةً من أحكام المحو والإخفاء الواردة فيها المعالجة التي تتم وفق المادة 6، ولهذا لا يكفي تقديم طلب وحده للجزم بوجوب محو البيانات؛ بل يلزم فحص الغرض، والموافقة، والأساس القانوني، والاستثناءات، وأي تشريع يوجب الاحتفاظ بها.

يفصل نظام تنظيم حقوق الشخص المعني رقم 68 لسنة 2025 إجراءات الطلب: يقدمه الشخص المعني إلى المسؤول عن البيانات، وعلى المسؤول التحقق من هوية مقدم الطلب والرد خلال 15 يوم عمل، ويجوز تمديد المدة عند وجود مبرر، بشرط إبلاغ الشخص بالتمديد وأسبابه.

وتتناول المادة 4 من النظام البيانات التي سبق نقلها إلى متلقٍ أو معالج؛ إذ تلزم المسؤول بالنظر في إمكان حذفها، والتأكد من حذفها لدى الجهة المستلمة، أو إبلاغ مقدم الطلب وبيانات التواصل اللازمة إذا تعذر ضمان الحذف.

وينظم النظام كذلك الشكاوى لدى المسؤول، وتلزم المادة 8 بوجود آلية لتلقيها والرد عليها خلال 10 أيام عمل؛ وإذا لم يصدر رد، يمكن تصعيد الأمر إلى الجهة المختصة، دون المساس بالحق في اللجوء إلى القضاء.

وتوضح وزارة الاقتصاد الرقمي والريادة أن الشكوى المتعلقة بمخالفة قانون حماية البيانات تُقدّم أولًا إلى الجهة المشتكى عليها، ثم يمكن تصعيدها إلى مديرية حماية البيانات الشخصية عبر القنوات الحكومية المعلنة إذا لم يُتخذ الإجراء المناسب.

تعالج المادة 18 دور الوحدة التنظيمية المختصة، ومن مهامها تلقي البلاغات والشكاوى المتعلقة بمخالفة القانون والأنظمة والتعليمات والتحقيق فيها ورفع المقترحات إلى مجلس حماية البيانات لاتخاذ القرار المناسب، وتعرض وزارة الاقتصاد الرقمي والريادة قناة تقديم الشكاوى والإجراءات العملية المرتبطة بها.

وفي حال وقوع إخلال بأمن البيانات يُحتمل أن يسبب ضررًا جسيمًا، تلزم المادة 20 المسؤول بإبلاغ الأشخاص المتأثرين خلال 24 ساعة من اكتشاف الإخلال، وإبلاغ الوحدة خلال 72 ساعة بالمعلومات التي يحددها النص، وتلزم المسؤول بالتعويض إذا تسبب بخطأ جسيم أو فعل مقصود.

وتتضمن المادتان 21 و22 تدابير وجزاءات عند مخالفة القانون، مع عدم الإخلال بأي عقوبة أشد في تشريع آخر، كما تحفظان للمتضرر حق المطالبة بالتعويض المدني، وتختلف شروط تطبيق كل جزاء والجهة المختصة به؛ لذلك لا تُفهم هذه الأحكام على أنها تعويض تلقائي أو نتيجة حتمية لكل شكوى.

محو البيانات لدى الجهة التي تحتفظ بها وإزالة نتيجة من محرك بحث مسألتان مختلفتان، فقد يبقى المحتوى في موقعه الأصلي حتى لو نوقش إخفاؤه في سياق آخر، كما أن توافر حق الاعتراض أو طلب الإزالة يتأثر بالقانون المنطبق، ومكان معالجة البيانات، وطبيعة المحتوى والمصلحة العامة.

وتعرض اللائحة العامة لحماية البيانات في الاتحاد الأوروبي، في المادة 17، مثالًا تشريعيًا مقارنًا على الحق في المحو، لكنها لا تطبق تلقائيًا على كل حالة في الأردن، لذلك لا يصح الاستناد إلى المصطلح النظري وحده للجزم بأن رابطًا أو صفحة سيُحذفان.

تعد البيانات المتعلقة بالسجل الجنائي من البيانات الشخصية الحساسة وفق تعريف قانون حماية البيانات الشخصية، لكن وصفها بأنها بيانات حساسة لا يعني بذاته محو الحكم أو شطب القيد من سجل قضائي أو رسمي؛ فهذه آثار وإجراءات قانونية مختلفة.

ينبغي التمييز بين طلب محو بيانات لدى مسؤول عن معالجتها، وبين تصحيح قيد أو طلب رد اعتبار أو شطب أثر قانوني متى أجاز التشريع ذلك، ويتطلب كل طلب تحديد نوع السجل، والجهة التي تحتفظ به، والنصوص الخاصة التي تنظم الوصول إليه أو تعديله.

تُظهر فكرة النسيان الرقمي صعوبة الموازنة بين حق الفرد في الخصوصية وتصحيح البيانات، وبين حق الآخرين في الوصول إلى معلومات ذات قيمة عامة، ومن العوامل التي قد تستدعي النظر: دقة المعلومة، وحداثتها، والغرض من نشرها، وصفة الشخص المعني، والأساس القانوني للاحتفاظ بها، والضرر المحتمل من استمرار إتاحتها.

لهذا، فالأدق التعامل مع النسيان الرقمي بوصفه نقاشًا عن حقوق محددة وموازنة قانونية، لا وعدًا بحذف كل أثر رقمي أو محو كل سجل سابق.