يشكل القانون رقم 09.08 المتعلق بحماية الأشخاص الذاتيين تجاه معالجة المعطيات ذات الطابع الشخصي الأساس التشريعي لمنظومة حماية المعطيات ذات الطابع الشخصي في المغرب، إذ يحدد القواعد التي تحكم جمع المعطيات ومعالجتها واستعمالها، ويقرر مجموعة من الحقوق لفائدة الأشخاص المعنيين، كما يرتب التزامات على المسؤولين عن المعالجة ويحدد اختصاصات اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي.
ويأتي هذا الدليل ضمن سلسلة «حماية المعطيات ذات الطابع الشخصي بالمغرب»، التي تهدف إلى تقديم قراءة عملية في المنظومة القانونية والمؤسساتية المرتبطة بحماية الخصوصية والمعطيات ذات الطابع الشخصي، انطلاقًا من النصوص الرسمية والوثائق الصادرة عن الجهات المختصة.
خريطة المقال
أولًا: ما هو القانون 09.08؟ ولماذا يمثل أساس منظومة حماية المعطيات؟
القانون رقم 09.08 هو القانون المغربي المتعلق بحماية الأشخاص الذاتيين تجاه معالجة المعطيات ذات الطابع الشخصي. وقد صدر بتنفيذه الظهير الشريف رقم 1.09.15 بتاريخ 18 فبراير 2009، ونشر في الجريدة الرسمية عدد 5711 بتاريخ 23 فبراير 2009. ويشكل هذا النص الإطار التشريعي الأساسي الذي ينظم حماية الأشخاص عند معالجة المعطيات المرتبطة بهم.
وتنطلق فلسفة القانون من اعتبار أن استعمال المعلوميات والتقنيات الحديثة يجب ألا يتحول إلى وسيلة للمساس بهوية الإنسان أو حقوقه وحرياته أو الكشف غير المشروع عن أسراره وحياته الخاصة. ويظهر ذلك منذ المقتضيات العامة الواردة في المادة الأولى من القانون.
وبذلك لا يقتصر القانون على حماية الملفات الورقية أو قواعد البيانات الإلكترونية، وإنما ينظم من حيث المبدأ عمليات معالجة المعطيات ذات الطابع الشخصي، سواء تمت بوسائل آلية أو غير آلية، متى كانت داخلة في نطاق تطبيقه.
📄 الاطلاع على النص العربي الرسمي للقانون 09.08
ثانيًا: ما المقصود بالمعطيات ذات الطابع الشخصي ومعالجتها؟
يعرّف القانون المعطيات ذات الطابع الشخصي بأنها كل معلومة، مهما كانت طبيعتها أو دعامتها، بما في ذلك الصوت والصورة، تتعلق بشخص ذاتي محدد أو قابل للتحديد.
ويشمل مفهوم الشخص القابل للتحديد من يمكن التعرف عليه بصورة مباشرة أو غير مباشرة، ولاسيما بالرجوع إلى رقم للتعريف أو إلى عناصر خاصة بهويته الجسدية أو الفسيولوجية أو الجينية أو النفسية أو الاقتصادية أو الثقافية أو الاجتماعية.
أما معالجة المعطيات فهي مفهوم أوسع من مجرد جمع المعلومات؛ إذ تشمل مختلف العمليات التي يمكن أن تجرى عليها، مثل الجمع والتسجيل والتنظيم والحفظ والتكييف والتغيير والاستخراج والاستعمال والإيصال أو غيرها من العمليات المرتبطة بها.
ولهذا فإن التعامل مع اسم شخص أو عنوانه أو رقم هاتفه أو صورته أو بياناته المهنية أو غيرها من المعلومات التي تسمح بتحديد هويته قد يدخل، بحسب الحالة، في نطاق معالجة المعطيات ذات الطابع الشخصي.
ثالثًا: مجال تطبيق القانون والاستثناءات الواردة عليه
يطبق القانون 09.08 على معالجة المعطيات ذات الطابع الشخصي في الحالات التي يحددها النص، ومن بينها المعالجة التي يقوم بها مسؤول عن معالجة مستقر في التراب المغربي، كما يمكن أن يمتد إلى بعض الحالات التي يكون فيها المسؤول غير مستقر بالمغرب لكنه يستعمل وسائل معالجة موجودة في التراب الوطني، وفق الشروط المحددة قانونًا.
وفي المقابل، يحدد القانون وبعض النصوص المرتبطة به حالات لا تسري فيها مقتضياته أو تسري فيها بشروط خاصة. ومن أمثلة ذلك بعض المعالجات التي تتم من طرف شخص ذاتي لأغراض شخصية أو منزلية محضة، وبعض المعالجات المرتبطة بالدفاع الوطني والأمن الداخلي والخارجي للدولة أو بالوقاية من الجرائم وزجرها، وفق الحدود التي يحددها القانون.
وتوضح اللجنة الوطنية أيضًا أن بعض المعالجات الخاضعة لتشريع خاص قد تستفيد من أحكام خاصة، مع خضوع عمليات المعالجة الإضافية، خارج نطاق الجمع والتسجيل، لمقتضيات القانون 09.08 بحسب الحالة.
🔗 الاطلاع على الحالات والاستثناءات كما تعرضها CNDP
رابعًا: المبادئ الأساسية لمعالجة المعطيات ذات الطابع الشخصي
لا يمنح القانون المسؤول عن المعالجة حرية غير محدودة في جمع واستعمال المعطيات ذات الطابع الشخصي، وإنما يضع مجموعة من القواعد والمبادئ التي يجب احترامها.
ومن أهمها أن تكون المعالجة مشروعة ونزيهة، وأن تجمع المعطيات لغايات محددة وصريحة ومشروعة، وألا تتم معالجتها لاحقًا بطريقة تتعارض مع تلك الغايات.
كما يجب أن تكون المعطيات ملائمة وذات صلة وغير مفرطة بالنظر إلى الغايات التي جمعت من أجلها، وأن تكون صحيحة ومحيّنة عند الاقتضاء، وأن يتم الاحتفاظ بها لمدة لا تتجاوز المدة الضرورية لتحقيق الغرض من جمعها ومعالجتها.
وتضع هذه المبادئ أساسًا مهمًا لفكرة التناسب في معالجة المعطيات: فليس كل ما يمكن جمعه يجوز بالضرورة جمعه، وليس كل استعمال لاحق للبيانات مشروعًا لمجرد أن البيانات جُمعت في البداية بطريقة قانونية.
🔗 مبادئ وشروط معالجة المعطيات ذات الطابع الشخصي– CNDP
خامسًا: حقوق الشخص المعني بالمعالجة
يمنح القانون الشخص الذي تتم معالجة معطياته مجموعة من الحقوق التي تشكل جوهر الحماية القانونية.
- الحق في الإخبار أثناء جمع المعطيات؛
- الحق في الولوج إلى المعطيات؛
- الحق في التصحيح؛
- الحق في التعرض وفق الشروط القانونية؛
- والحقوق الأخرى التي يقررها القانون بحسب طبيعة المعالجة والحالة المعنية.
يهدف الحق في الإخبار إلى تمكين الشخص من معرفة هوية المسؤول عن المعالجة، والغاية من معالجة بياناته، وبعض المعلومات المتعلقة بالمرسل إليهم وبالحقوق التي يمكنه ممارستها.
أما الحق في الولوج فيمكن الشخص، بعد إثبات هويته ووفق الشروط القانونية، من الحصول على معلومات بشأن معالجة بياناته وعلى المعطيات المتعلقة به.
ويتيح حق التصحيح طلب تحيين أو تصحيح أو مسح أو إغلاق الولوج إلى المعطيات التي تكون معالجتها غير مطابقة للقانون، وفق الشروط والآجال التي يحددها النص.
أما حق التعرض فيسمح للشخص المعني، لأسباب مشروعة، بالاعتراض على معالجة المعطيات المتعلقة به، كما يقرر القانون حماية خاصة في مجال الاستقراء المباشر.
🔗 حقوق الأشخاص المعنيين – CNDP
سادسًا: التزامات المسؤول عن معالجة المعطيات
في مقابل الحقوق الممنوحة للشخص المعني، يضع القانون مجموعة من الالتزامات على عاتق المسؤول عن المعالجة.
ويتعين عليه، بحسب طبيعة المعالجة، احترام الغايات المحددة، وضمان جودة المعطيات، واحترام حقوق الأشخاص، واتخاذ التدابير الضرورية لحماية المعطيات، والالتزام بالقواعد المتعلقة بالتصريح أو الترخيص وغيرها من الإجراءات التي يقررها القانون.
كما يتحمل المسؤول عن المعالجة مسؤولية ضمان سرية المعطيات وسلامتها، واتخاذ التدابير المناسبة للحيلولة دون إتلافها أو فقدانها أو تغييرها أو إيصالها إلى أشخاص غير مأذون لهم.
وتؤكد CNDP أن المسؤول عن المعالجة مطالب باتخاذ تدابير أمنية مادية ومنطقية مناسبة، كما يتعين عليه التأكد من احترام المتعاملين معه والمناولة والأطراف التي تصل إلى البيانات للمقتضيات القانونية ذات الصلة.
سابعًا: التصريح والترخيص والتعامل مع CNDP
لا تنظر منظومة القانون 09.08 إلى جميع المعالجات على أنها في الوضع القانوني نفسه؛ إذ تخضع بعض المعالجات لإذن مسبق، بينما تخضع معالجات أخرى للتصريح لدى اللجنة الوطنية، وفق طبيعة البيانات والغاية من المعالجة والظروف التي تتم فيها.
وتوضح CNDP أن طلب الإذن يكون مطلوبًا في حالات من بينها معالجة بعض البيانات الحساسة، أو تغيير غاية المعالجة، أو معالجة البيانات المتعلقة بالجرائم والإدانات والتدابير الأمنية، أو استعمال رقم البطاقة الوطنية للتعريف، أو بعض حالات الربط البيني للملفات ذات الغايات المختلفة.
أما المعالجات الأخرى التي لا تدخل ضمن الحالات التي تستوجب الإذن، فتخضع من حيث الأصل لإجراء التصريح، مع مراعاة الاستثناءات والإعفاءات التي يحددها القانون أو قرارات اللجنة.
وتوفر CNDP خدمات إلكترونية ومساطر موجهة إلى المسؤولين عن المعالجة لمساعدتهم على الإشعار والامتثال للمقتضيات القانونية.
🔗 الموقع الرسمي للجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي
ثامنًا: أمن المعطيات والسرية وحماية البيانات
لا تقتصر حماية المعطيات على منع استعمالها دون أساس قانوني، بل تشمل أيضًا حمايتها من المخاطر التي قد تهدد سلامتها وسريتها.
ويلزم القانون المسؤول عن المعالجة باتخاذ التدابير المناسبة لضمان أمن المعالجة، وحماية البيانات من الإتلاف أو الضياع العرضي، ومن كل أشكال المعالجة غير المشروعة، ومن الولوج أو الإيصال غير المرخص به.
وهذا الجانب يكتسي أهمية خاصة في البيئة الرقمية، حيث أصبحت قواعد البيانات والأنظمة المعلوماتية والخدمات الإلكترونية تعتمد بصورة متزايدة على معالجة كميات كبيرة من البيانات .
وتؤكد CNDP ضمن إرشاداتها على ضرورة اعتماد تدابير أمنية مادية ومنطقية، وعلى حماية البيانات سواء كانت دعاماتها ورقية أو إلكترونية.
🔗 شروط حماية وأمن المعطيات ذات الطابع الشخصي – CNDP
تاسعًا: نقل المعطيات ذات الطابع الشخصي إلى الخارج
أفرد القانون 09.08 مقتضيات خاصة لنقل المعطيات ذات الطابع الشخصي إلى دولة أجنبية، وهو موضوع يكتسي أهمية متزايدة مع انتشار الخدمات السحابية والاستضافة الخارجية والمنصات الرقمية العالمية.
ولا ينظر إلى نقل البيانات إلى الخارج باعتباره مجرد عملية تقنية، وإنما يخضع لشروط قانونية تهدف إلى ضمان مستوى مناسب من حماية المعطيات والحقوق المرتبطة بها.
وتشير CNDP إلى وجود مسطرة خاصة بطلب نقل المعطيات إلى الخارج عندما تكون المعطيات ذات الطابع الشخصي ستستضاف أو سترسل إلى الخارج.
🔗 المعلومات والإجراءات المتعلقة بنقل المعطيات إلى الخارج – CNDP
عاشرًا: العلاقة بين القانون 09.08 واللجنة الوطنية CNDP
أحدث القانون 09.08 اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي، وأسند إليها مجموعة من الاختصاصات المرتبطة بمراقبة مدى احترام القواعد القانونية المتعلقة بمعالجة المعطيات ذات الطابع الشخصي.
وتوضح CNDP أنها مكلفة بالتحقق من أن معالجة المعطيات ذات الطابع الشخصي تتم بصورة مشروعة وقانونية، وألا تمس بالحياة الخاصة أو بالحقوق والحريات الأساسية للأشخاص.
وتشمل مهام اللجنة، وفق القانون، إبداء الآراء، واستقبال بعض التصاريح والطلبات، ومراقبة المعالجات، واتخاذ التدابير التي تدخل في نطاق اختصاصها، فضلًا عن ممارسة اختصاصات أخرى حددها المشرع.
ولهذا يجب التمييز بين مستويين مترابطين:
- القانون 09.08 باعتباره النص التشريعي الذي يحدد القواعد والحقوق والالتزامات؛
- CNDP باعتبارها الهيئة الوطنية المكلفة بالمراقبة والتنظيم والمواكبة في مجال حماية المعطيات ذات الطابع الشخصي.
حادي عشر: كيف يستفيد المواطن والمهني من القانون؟
بالنسبة إلى المواطن، يوفر القانون 09.08 أساسًا قانونيًا لممارسة مجموعة من الحقوق تجاه الجهات التي تجمع أو تستعمل بياناته الشخصية، وفي مقدمتها الحق في الإخبار والولوج والتصحيح والتعرض وفق الشروط القانونية.
أما بالنسبة إلى المهني أو المؤسسة أو الإدارة التي تعالج بيانات شخصية، فإن القانون يفرض الانتقال من مجرد جمع البيانات إلى تدبيرها وفق قواعد واضحة تتعلق بالغاية والمشروعية والتناسب والأمن والسرية واحترام حقوق الأشخاص.
ومن الناحية العملية، فإن أي جهة تجمع بيانات شخصية ينبغي أن تطرح قبل المعالجة أسئلة أساسية، من قبيل: ما الغاية من الجمع؟ ما البيانات الضرورية فعلًا؟ من سيصل إليها؟ إلى متى سيتم الاحتفاظ بها؟ وهل توجد مسطرة قانونية واجبة أمام CNDP؟
وهذه الأسئلة تمثل نقطة الانطلاق لفهم الامتثال للقانون 09.08، قبل الانتقال إلى النصوص التطبيقية والمداولات والأدلة العملية التي أصدرتها اللجنة الوطنية.
ثاني عشر: النصوص والوثائق الرسمية ذات الصلة
لا تكتمل قراءة القانون 09.08 بالاقتصار على مواده فقط، إذ ترتبط به مجموعة من النصوص والوثائق المؤسساتية والتطبيقية التي تساعد على فهم كيفية تنزيله عمليًا.
ومن أهم المراجع الرسمية التي يمكن الرجوع إليها:
- النص العربي للقانون رقم 09.08
- النص المنشور في الجريدة الرسمية – النسخة الفرنسية
- النصوص والقوانين ذات الصلة بحماية المعطيات ذات الطابع الشخصي – CNDP
- الموقع الرسمي للجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي
- السجل الوطني لحماية المعطيات ذات الطابع الشخصي
📄 وثائق ونماذج رسمية ذات صلة
ومن بين الوثائق والنماذج الرسمية المنشورة على موقع اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي، والتي تساعد على فهم بعض الجوانب العملية لتنزيل مقتضيات القانون 09.08، يمكن الرجوع إلى:
- نموذج F-112 – طلب الترخيص المسبق العادي
- المداولة رقم 236-2015 المتعلقة بنقل المعطيات ذات الطابع الشخصي إلى الخارج
- نموذج F-118 – طلب نقل المعطيات ذات الطابع الشخصي إلى الخارج
- النماذج المعتمدة للعبارات الإخبارية – Mentions types
وتساعد هذه المراجع والوثائق على استكمال الصورة العامة لمنظومة حماية المعطيات ذات الطابع الشخصي، من خلال الربط بين الإطار التشريعي والإجراءات والنماذج العملية ذات الصلة.
وتدرج هذه المراجع ضمن سلسلة الدليل باعتبارها مصادر رسمية يمكن الرجوع إليها للتحقق من النصوص والإجراءات والمعلومات المتعلقة بحماية المعطيات ذات الطابع الشخصي.
📚 أين يندرج هذا المقال ضمن سلسلة حماية المعطيات ذات الطابع الشخصي؟
يمثل هذا المقال المدخل التشريعي الأساسي إلى السلسلة، لأنه يركز على القانون رقم 09.08 باعتباره النص المرجعي الذي تقوم عليه منظومة حماية المعطيات ذات الطابع الشخصي في المغرب.
أما المقال التالي فينتقل من النص القانوني إلى المؤسسة المكلفة بتنزيل ومراقبة هذه المنظومة:
المقال الثاني: CNDP: من هي اللجنة الوطنية؟ وما سلطتها في حماية المعطيات؟
ثم يتناول المقال الثالث العلاقة بين القانون والمداولات والقرارات التفسيرية والتنظيمية الصادرة عن اللجنة:
المقال الثالث: كيف تعمل مداولات CNDP؟ ولماذا تختلف عن القانون؟
⚖️ تنبيه
هذا المقال ذو طبيعة تعريفية ومرجعية، ويهدف إلى تسهيل فهم الإطار القانوني لحماية المعطيات ذات الطابع الشخصي بالمغرب. ولا يغني عن الرجوع إلى النصوص الرسمية المنشورة والوثائق الصادرة عن الجهات المختصة عند اتخاذ قرار قانوني أو مهني محدد.
خاتمة
يمثل القانون رقم 09.08 حجر الأساس في منظومة حماية المعطيات ذات الطابع الشخصي بالمغرب، لأنه يجمع بين حماية حقوق الأشخاص وتنظيم مسؤوليات الجهات التي تقوم بمعالجة بياناتهم.
وتتضح أهمية هذا القانون بصورة أكبر عند قراءته باعتباره جزءًا من منظومة متكاملة تضم النصوص التطبيقية، واختصاصات اللجنة الوطنية، والمداولات والقرارات والأدلة العملية التي تساعد على تنزيل قواعد حماية المعطيات ذات الطابع الشخصي في مختلف المجالات.
ومن هنا تبدأ الحاجة إلى الانتقال من السؤال: ماذا يقول القانون 09.08؟ إلى السؤال الأكثر عملية: كيف تمارس CNDP اختصاصاتها؟ وكيف يلتزم المواطن والمهني والمؤسسة بهذه القواعد في الواقع؟
