هل تحتاج كل معالجة إلى موافقة؟
من أكثر التصورات شيوعًا في موضوع حماية المعطيات ذات الطابع الشخصي الاعتقاد بأن أي جهة تريد جمع معلومات عن شخص أو استعمالها لا بد أن تحصل أولًا على موافقته. ويبدو هذا التصور، في ظاهره، منسجمًا مع فكرة حماية الحياة الخاصة، لأن الشخص هو صاحب المعطيات، ومن الطبيعي أن يكون له رأي في ما إذا كانت ستجمع عنه أو تستعمل.
غير أن هذه الفكرة، رغم أهميتها، لا تعكس وحدها البناء القانوني الكامل الذي أقامه القانون رقم 09.08. فالمشرع لم يجعل موافقة الشخص المعني الطريق الوحيد الذي يمكن أن تستند إليه المعالجة، وإنما وضعها ضمن منظومة أوسع من الأسس القانونية التي يمكن أن تجعل المعالجة مشروعة بحسب طبيعتها والغرض منها والجهة التي تقوم بها.
وهنا تكمن أهمية التمييز بين سؤالين قد يبدوان متشابهين، لكنهما ليسا كذلك: هل وافق الشخص على معالجة معطياته؟ وما الأساس القانوني الذي يجيز هذه المعالجة؟ ففي بعض الحالات تكون الموافقة هي الأساس، بينما يمكن أن تستند المعالجة في حالات أخرى إلى التزام قانوني، أو إلى ضرورة تنفيذ عقد، أو إلى حماية مصلحة حيوية، أو إلى تنفيذ مهمة تدخل في إطار المصلحة العامة أو ممارسة السلطة العمومية، أو إلى مصلحة مشروعة ضمن الحدود التي يقررها القانون.
ولهذا فإن فهم حماية المعطيات لا ينبغي أن يتوقف عند عبارة «وافق الشخص أو لم يوافق»، بل يتطلب معرفة لماذا تتم المعالجة، وعلى أي أساس قانوني تقوم، وما حدودها، وما إذا كانت ضرورية ومتناسبة مع الغرض الذي تتم من أجله.
وتزداد أهمية هذا التمييز عندما نلاحظ أن وجود موافقة من الشخص لا يحول تلقائيًا دون تطبيق باقي قواعد الحماية. فالموافقة لا تجعل كل استعمال للمعطيات مشروعًا، ولا تسمح بجمع معلومات لا علاقة لها بالغرض المعلن، ولا تحول المعالجة إلى تفويض مفتوح لاستعمال المعطيات في كل وقت ولأي غرض.
ونستعمل في هذا المقال مفهومي الرضى والموافقة للدلالة على الأساس الذي يعبّر فيه الشخص المعني عن قبوله لمعالجة معطياته، مع الاحتفاظ بمصطلح الرضى عندما تقتضي الدقة الرجوع إلى الصياغة القانونية الواردة في القانون رقم 09.08.
📚 خريطة المقال
- أولًا: ماذا يعني رضى الشخص المعني؟
- ثانيًا: متى تكون الموافقة أساسًا للمعالجة؟
- ثالثًا: هل مجرد التوقيع يجعل المعالجة مشروعة؟
- رابعًا: متى تجوز معالجة المعطيات دون موافقة؟
- خامسًا: الالتزام القانوني ليس موافقة
- سادسًا: تنفيذ العقد لا يعني الموافقة على كل استعمال
- سابعًا: حماية المصالح الحيوية للشخص المعني
- ثامنًا: المصلحة العامة وممارسة السلطة العمومية
- تاسعًا: المصلحة المشروعة وحدودها
- عاشرًا: الموافقة لا تلغي الغاية والضرورة والتناسب
- حادي عشر: كيف تظهر هذه القواعد في الحياة اليومية؟
- ثاني عشر: كيف يعرف الشخص الأساس القانوني للمعالجة؟
- ثالث عشر: من الموافقة إلى حقوق الشخص المعني
- 📚 أين يندرج هذا المقال ضمن سلسلة حماية المعطيات ذات الطابع الشخصي؟
- 🔗 للتوسع في الموضوع
- الخاتمة
أولًا: ماذا يعني رضى الشخص المعني؟
لا ينبغي فهم رضى الشخص المعني في مجال حماية المعطيات باعتباره مجرد وجود إشارة أو توقيع أو ضغط على زر يحمل كلمة «أوافق». فالرضى، لكي يؤدي دوره باعتباره أساسًا للمعالجة، يرتبط بإرادة الشخص وبعلمه بما يقبله، وبطبيعة المعالجة التي تنصب عليها هذه الموافقة.
ولهذا يرتبط مفهوم الرضى ارتباطًا وثيقًا بمبدأ الإخبار. فالشخص لا يستطيع أن يعبّر عن إرادة واعية تجاه معالجة معطياته إذا كان لا يعرف الجهة التي ستعالجها، أو الغرض من المعالجة، أو طبيعة المعطيات المعنية، أو كيفية استعمالها في الحدود التي يفرضها القانون.
ومن هنا، فإن الموافقة لا ينبغي النظر إليها باعتبارها لحظة منفصلة عن باقي العملية، تبدأ بتوقيع الشخص وتنتهي بمجرد حصول الجهة على ذلك التوقيع، وإنما ينبغي وضعها داخل سياق المعالجة كلها. فالشخص ينبغي أن يعرف، بالقدر الذي يفرضه القانون، ما الذي يوافق عليه ولماذا تتم المعالجة وفي أي إطار ستستعمل معطياته.
وهذا ما يجعل الموافقة الحقيقية مختلفة عن الموافقة الشكلية. فقد توجد وثيقة موقعة، ومع ذلك يظل السؤال مطروحًا حول مدى وضوح المعلومات المقدمة للشخص وحول ما إذا كانت إرادته قد انصرفت فعلًا إلى المعالجة التي تتم ممارستها.
ومن ثم، فإن حماية المعطيات لا تكتفي بمجرد إثبات أن الشخص قال «نعم»، وإنما تنظر أيضًا إلى السياق الذي قيلت فيه هذه الـ«نعم»، وإلى المعالجة التي انصرفت إليها، وإلى الحدود التي ينبغي أن تظل المعالجة محصورة فيها.
ثانيًا: متى تكون الموافقة أساسًا للمعالجة؟
تكون الموافقة ذات أهمية خاصة عندما تكون المعالجة قائمة على رضى الشخص المعني باعتباره الأساس الذي يجيزها. وفي هذه الحالة، ينبغي أن تكون الموافقة مرتبطة بالمعالجة التي يتم إبلاغ الشخص بها، لا أن تتحول إلى إذن عام ومفتوح لكل استعمال مستقبلي يمكن أن تتصوره الجهة التي تجمع المعطيات.
وهنا تظهر العلاقة المباشرة بين هذا المقال والمقال السابق حول الغاية والضرورة والتناسب. فإذا كان الشخص قد وافق على معالجة معطياته لغرض محدد، فإن هذه الموافقة لا تعني بالضرورة أنه وافق على استعمال المعطيات نفسها في أغراض أخرى لا علاقة لها بالغرض الأصلي. فمبدأ تحديد الغاية يظل حاضرًا، كما تظل قاعدة عدم جمع معطيات مفرطة بالنسبة إلى الغرض من المعالجة قائمة.
وبعبارة أخرى، لا يمكن اختزال المشروعية في السؤال: «هل توجد موافقة؟»؛ بل ينبغي أن يضاف إليه سؤال آخر: «على ماذا وافق الشخص تحديدًا؟».
وهذا التمييز مهم جدًا في الحياة اليومية، لأن الشخص قد يوافق على تقديم بياناته من أجل الحصول على خدمة معينة، بينما تحاول الجهة نفسها استعمال البيانات لأغراض أخرى، مثل التسويق أو إنشاء ملفات إضافية أو مشاركة المعلومات مع جهات أخرى. وهنا لا يكفي وجود موافقة سابقة للقول إن جميع هذه العمليات أصبحت مشروعة تلقائيًا.
فالموافقة ينبغي أن تُقرأ داخل حدود الغرض الذي جُمعت المعطيات من أجله، وضمن القواعد الأخرى التي تحكم المعالجة.
ثالثًا: هل مجرد التوقيع يجعل المعالجة مشروعة؟
التوقيع يمكن أن يكون وسيلة للتعبير عن الموافقة، لكنه لا ينبغي أن يُعامل باعتباره دليلًا مطلقًا على مشروعية كل معالجة لاحقة.
فالشخص عندما يوقع على وثيقة لا يمنح، بمجرد التوقيع، سلطة غير محدودة على معطياته. وإنما ينبغي النظر إلى مضمون الوثيقة، والمعلومات المقدمة إليه، والغرض الذي تم تحديده، وطبيعة المعالجة التي قبل بها، وما إذا كانت هذه المعالجة تظل داخل الإطار الذي يسمح به القانون.
ولهذا فإن عبارة «لقد وقع الشخص إذن فقد وافق على كل شيء» ليست نتيجة يمكن استخلاصها من مجرد وجود التوقيع. فالتوقيع لا يلغي مبدأ تحديد الغاية، ولا يلغي ضرورة أن تكون المعطيات ملائمة وغير مفرطة، ولا يلغي باقي الحقوق التي يقررها القانون للشخص المعني.
وقد تكون هذه المسألة أكثر وضوحًا عندما تكون الموافقة واردة ضمن عقد أو استمارة طويلة تتضمن مجموعة من الشروط. ففي هذه الحالة ينبغي التمييز بين الموافقة التي تتعلق فعلًا بمعالجة معطيات معينة، وبين مجرد وجود توقيع على وثيقة تجمع في آن واحد بين أغراض متعددة.
والقاعدة التي ينبغي الاحتفاظ بها هنا بسيطة: الموافقة أساس للمعالجة عندما تكون هي الأساس القانوني المناسب لها، لكنها لا تتحول بمجرد وجودها إلى ترخيص عام بتجاوز باقي قواعد حماية المعطيات.
رابعًا: متى تجوز معالجة المعطيات دون موافقة؟
بعد توضيح مكانة الموافقة وحدودها، نصل إلى الجانب الذي يصحح التصور الأكثر شيوعًا في هذا الموضوع: القانون لا يجعل رضى الشخص المعني شرطًا لازمًا في جميع حالات معالجة المعطيات ذات الطابع الشخصي. فالمادة 4 من القانون رقم 09.08 تنطلق من مبدأ الرضى، لكنها تحدد في الوقت نفسه حالات يكون فيها هذا الرضى غير مطلوب، متى كانت المعالجة ضرورية وتستند إلى أحد الأسس التي حددها القانون.
وهذا يعني أن غياب الرضى لا يؤدي، بمجرده، إلى القول بأن المعالجة غير مشروعة. فقد يكون هناك أساس قانوني آخر يبررها. وفي المقابل، فإن وجود الرضى لا يكفي، بمجرده، لإثبات أن المعالجة مشروعة في جميع جوانبها. ولذلك فإن التحليل الصحيح يجب أن يبدأ بتحديد الأساس القانوني للمعالجة، ثم النظر في مدى احترام الشروط والحدود التي تحكم ذلك الأساس.
وقد حدد القانون، في هذا الإطار، عدة حالات يمكن فيها أن تكون المعالجة مشروعة دون الحاجة إلى رضى الشخص المعني، من بينها احترام التزام قانوني، وتنفيذ عقد أو إجراءات سابقة للعقد بطلب من الشخص المعني، وحماية المصالح الحيوية له في الحالات التي يتعذر فيها عليه التعبير عن رضاه، وتنفيذ مهمة تندرج ضمن الصالح العام أو ممارسة السلطة العمومية، وكذلك تحقيق مصلحة مشروعة مع مراعاة مصلحة الشخص المعني وحقوقه وحرياته الأساسية.
ولا ينبغي فهم هذه الحالات باعتبارها أبوابًا مفتوحة للمعالجة دون موافقة، وإنما باعتبارها أسسًا قانونية محددة جعلها المشرع بديلة عن الرضى في ظروف معينة. ولذلك تبقى كل حالة مرتبطة بطبيعتها وبالغرض الذي تتم من أجله المعالجة وبمدى ضرورتها.
خامسًا: الالتزام القانوني ليس موافقة
من أبرز الحالات التي يمكن فيها معالجة المعطيات دون موافقة الشخص أن تكون المعالجة ضرورية لاحترام التزام قانوني. وهنا لا يكون مصدر مشروعية المعالجة هو إرادة الشخص المعني، وإنما وجود واجب يفرضه القانون ويجعل معالجة معطيات معينة أمرًا لازمًا لتنفيذه.
وتظهر أهمية هذا التمييز بوضوح في علاقة المواطن بالإدارة. فقد تكون الإدارة مطالبة، بحكم اختصاصها أو بموجب نص قانوني، بجمع معلومات معينة أو تسجيلها أو الاحتفاظ بها من أجل القيام بمهمة تدخل في نطاق اختصاصها. وفي مثل هذه الحالة، لا يكون من المنطقي اعتبار المعالجة متوقفة على موافقة الشخص إذا كان القانون نفسه يفرض القيام بها. فالأساس هنا هو الالتزام القانوني، وليس الرضى.
لكن وجود الالتزام القانوني لا يعني أن الإدارة تصبح حرة في جمع كل ما يمكن جمعه من معلومات. فالالتزام يجب أن يقرأ في حدود الغرض الذي يبرره، وتظل القواعد المتعلقة بملاءمة المعطيات وعدم الإفراط فيها والاحتفاظ بها للمدة اللازمة حاضرة بحسب طبيعة المعالجة.
ومن هنا يتضح أن السؤال لا ينبغي أن يكون فقط: «هل وافق المواطن؟»، وإنما أيضًا: «هل توجد قاعدة قانونية تجعل معالجة هذه المعطيات ضرورية؟ وما حدود المعالجة التي تقتضيها هذه القاعدة؟».
سادسًا: تنفيذ العقد لا يعني الموافقة على كل استعمال
توجد حالة أخرى تختلف عن الالتزام القانوني، وهي عندما تكون معالجة المعطيات ضرورية لتنفيذ عقد يكون الشخص المعني طرفًا فيه، أو لتنفيذ إجراءات سابقة للعقد اتخذت بناءً على طلبه. وهنا أيضًا لا تكون الموافقة هي الأساس الذي تستمد منه المعالجة مشروعيتها، وإنما تكون ضرورتها مرتبطة بالعلاقة التعاقدية القائمة أو بالإجراءات التي تسبق إبرام العقد.
ويظهر ذلك بوضوح في العلاقة بين الزبون والمقاولة. فعندما يطلب شخص خدمة أو يبرم عقدًا يتطلب تنفيذُه معالجة بعض بياناته، فإن معالجة هذه البيانات قد تكون ضرورية لتنفيذ الالتزامات الناشئة عن العقد. ولا يعني ذلك أن المقاولة تحتاج إلى الحصول على موافقة منفصلة حتى تتمكن من القيام بكل إجراء ضروري لتنفيذ العقد.
غير أن هذه القاعدة لا تمنح المقاولة صلاحية استعمال المعطيات في كل الأغراض التي قد ترغب فيها. فهناك فرق بين البيانات التي تحتاج إليها فعلًا لتنفيذ العقد، وبين بيانات إضافية قد تجمعها لأغراض أخرى لا يتطلبها تنفيذ ذلك العقد. وإذا انتقلت المعالجة إلى غرض آخر، فإن السؤال عن الأساس القانوني لذلك الاستعمال الجديد يصبح مطروحًا من جديد.
وهنا تتجدد الصلة بين الأساس القانوني وبين الغاية والضرورة والتناسب. فكون المعالجة ضرورية لتنفيذ عقد لا يعني أن كل معالجة تجريها المقاولة بشأن الزبون أصبحت ضرورية لتنفيذ العقد.
سابعًا: حماية المصالح الحيوية للشخص المعني
أجاز القانون كذلك معالجة المعطيات عندما تكون ضرورية لحماية المصالح الحيوية للشخص المعني، في الحالات التي يكون فيها هذا الشخص غير قادر، من الناحية البدنية أو القانونية، على التعبير عن رضاه.
وتقوم هذه الحالة على منطق مختلف؛ إذ قد توجد ظروف يكون فيها الحصول على الموافقة غير ممكن، في الوقت الذي تكون فيه معالجة المعطيات ضرورية لحماية مصلحة أساسية للشخص. وفي مثل هذه الظروف لا يجعل القانون غياب الرضى عائقًا مطلقًا أمام المعالجة، لأن انتظار التعبير عن الموافقة قد يتعارض أصلًا مع الغاية التي تستدعي التدخل.
لكن هذه الحالة، شأنها شأن الحالات الأخرى، مرتبطة بالضرورة التي يفرضها الظرف وبالغرض الذي من أجله تتم المعالجة. فلا يكفي الاستناد بصورة عامة إلى عبارة «المصلحة الحيوية» لتبرير أي معالجة كيفما كانت، وإنما ينبغي أن تكون المعالجة مرتبطة فعلًا بحماية تلك المصلحة.
وهذا يؤكد مرة أخرى أن القانون لا يضع الموافقة في مواجهة حماية الشخص، بل يبحث عن الطريقة التي تضمن حماية الشخص في الحالات التي لا تكون فيها الموافقة هي الوسيلة المناسبة أو الممكنة.
ثامنًا: المصلحة العامة وممارسة السلطة العمومية
من الأسس التي يمكن أن تبرر المعالجة دون رضى الشخص كذلك أن تكون المعالجة ضرورية لتنفيذ مهمة تندرج ضمن الصالح العام أو ضمن ممارسة السلطة العمومية التي يتولاها المسؤول عن المعالجة أو الجهة التي يتم إطلاعها على المعطيات.
وتكتسي هذه الحالة أهمية خاصة بالنسبة إلى الإدارات والمؤسسات والجهات التي تمارس اختصاصات أو مهامًا ذات طابع عمومي. فقيام الإدارة بمعالجة معطيات المواطنين قد يكون مرتبطًا مباشرة بمهمة أو اختصاص يمنحه لها القانون، وليس بموافقة فردية يحصل عليها من كل شخص في كل مرة.
ومع ذلك، فإن القول بأن المعالجة تدخل ضمن الصالح العام لا يعني أن كل معطى يمكن جمعه يصبح مشروعًا، ولا أن كل استعمال للبيانات يصبح مبررًا. فالمهمة العمومية نفسها لها حدود، والمعالجة ينبغي أن تظل مرتبطة بالمهمة التي تستند إليها، وأن تحترم القواعد التي تحكم حماية المعطيات.
ولهذا فإن وجود السلطة أو الاختصاص لا يلغي مبدأ الضرورة والتناسب، بل يجعل تطبيقهما أكثر أهمية؛ لأن الشخص قد لا يكون في وضع يسمح له برفض المعالجة عندما تكون مستندة إلى أساس قانوني، ولذلك تصبح الضوابط القانونية الأخرى وسيلة أساسية لحمايته من المعالجة المفرطة أو غير المرتبطة بالغرض المشروع.
تاسعًا: المصلحة المشروعة وحدودها
ويعترف القانون أيضًا بإمكانية الاستناد إلى مصلحة مشروعة يسعى إليها المسؤول عن المعالجة أو المرسل إليه، غير أن هذا الأساس لا يعمل بصورة مطلقة، إذ اشترط المشرع ألا تؤدي هذه المصلحة إلى تجاهل مصلحة الشخص المعني أو حقوقه وحرياته الأساسية.
وهنا تظهر طبيعة هذا الأساس بصورة أوضح؛ فالمشرع لم يقل إن مجرد وجود مصلحة لدى الجهة التي تعالج المعطيات يكفي لتبرير المعالجة، وإنما ربط المصلحة المشروعة بضرورة احترام مصالح الشخص المعني وحقوقه وحرياته الأساسية. وبالتالي فإن الأمر يتعلق بتوازن بين مصلحة الجهة التي تريد معالجة المعطيات وبين الحماية التي يستحقها الشخص الذي تتعلق به هذه المعطيات.
وهذا التوازن يعيدنا مرة أخرى إلى الفكرة التي شكلت أساس المقال السابق: المعالجة لا تقاس فقط بإمكانية القيام بها، وإنما أيضًا بمدى ضرورتها وتناسبها مع الغرض المشروع الذي تسعى إلى تحقيقه.
لذلك لا ينبغي استعمال عبارة «لدينا مصلحة مشروعة» باعتبارها جوابًا نهائيًا، وإنما باعتبارها بداية للتحقق من طبيعة هذه المصلحة، ومن علاقتها بالمعالجة، ومن آثارها على الشخص المعني، ومن مدى احترام حقوقه وحرياته الأساسية.
عاشرًا: الموافقة لا تلغي الغاية والضرورة والتناسب
إذا كانت الموافقة أحد الأسس التي يمكن أن تستند إليها معالجة المعطيات ذات الطابع الشخصي، فإن ذلك لا يعني أنها تحل محل باقي القواعد التي تحكم المعالجة. فالشخص قد يوافق على معالجة معطياته، ولكن هذه الموافقة تظل مرتبطة بالغرض الذي قدمت من أجله، ولا تحول المعالجة إلى مجال مفتوح لجمع معلومات إضافية أو استعمالها في أغراض لا صلة لها بما تم إبلاغ الشخص به.
وهنا تظهر العلاقة المباشرة بين هذا المقال والمقال السابق حول الغاية والضرورة والتناسب. فالموافقة تجيب عن جانب من السؤال المتعلق بمشروعية المعالجة، لكنها لا تجيب وحدها عن جميع الأسئلة الأخرى. فإذا كانت الغاية غير محددة، أو كانت المعطيات المطلوبة غير ملائمة لها، أو كان حجم المعالجة يتجاوز ما تقتضيه تلك الغاية، فإن مجرد وجود موافقة لا ينبغي أن يُفهم باعتباره إعفاءً من هذه الضوابط.
ولهذا يمكن أن نقول إن هناك مستويين ينبغي عدم الخلط بينهما: الأساس القانوني للمعالجة من جهة، وحدود المعالجة من جهة أخرى. فقد تكون المعالجة مستندة إلى أساس قانوني صحيح، سواء كان رضى الشخص أو التزامًا قانونيًا أو تنفيذًا لعقد أو غير ذلك من الأسس التي يقرها القانون، لكن ذلك لا يعني أن كل طريقة في تنفيذها أصبحت مشروعة. فالأساس القانوني يفسر لماذا يمكن إجراء المعالجة، بينما تحدد باقي القواعد كيف ينبغي أن تتم هذه المعالجة وفي أي حدود.
وهذه النقطة بالذات تمنعنا من الوقوع في تصور شائع مفاده أن توقيع الشخص على وثيقة أو اختياره زر «أوافق» يمنح المسؤول عن المعالجة حرية غير محدودة في استعمال بياناته. فالموافقة لا تغير طبيعة المعطيات، ولا تلغي ارتباطها بالغرض الذي جُمعت من أجله، ولا تجعل المعالجة المفرطة متناسبة لمجرد أن الشخص قبل بها.
بل إن أهمية هذا المبدأ تزداد عندما تكون المعالجة واسعة أو مستمرة أو تسمح بالربط بين مجموعات مختلفة من المعطيات. ففي مثل هذه الحالات لا يكفي إثبات وجود الموافقة، وإنما ينبغي النظر في طبيعة المعالجة والغاية منها وحجم البيانات التي تشملها والمدة التي يتم الاحتفاظ بها والجهات التي يمكن أن تصل إليها، وفق القواعد القانونية المطبقة على الحالة.
ومن هنا فإن العبارة التي ينبغي أن تحل محل مقولة «وافق الشخص إذن كل شيء مباح» هي: «وافق الشخص على معالجة محددة، في إطار غرض محدد، وضمن الحدود التي يسمح بها القانون».
حادي عشر: كيف تظهر هذه القواعد في الحياة اليومية؟
قد تبدو هذه التمييزات قانونية ومجردة، لكنها تظهر في عدد كبير من العلاقات اليومية التي يتم فيها جمع المعطيات ذات الطابع الشخصي. ففي علاقة المواطن بالإدارة، قد تطلب الإدارة معلومات شخصية من أجل إنشاء ملف أو تقديم خدمة أو تنفيذ اختصاص يحدده القانون. وفي هذه الحالة، قد لا تكون الموافقة هي الأساس الذي تستند إليه المعالجة أصلًا، لأن المعالجة قد تكون مرتبطة بالتزام قانوني أو بمهمة تدخل في إطار الصالح العام أو ممارسة السلطة العمومية. لكن هذا لا يمنح الإدارة صلاحية جمع كل المعلومات التي يمكنها الوصول إليها، وإنما ينبغي أن تظل المعالجة مرتبطة بالمهمة أو الغرض الذي يبررها.
وفي العلاقة بين الزبون والمقاولة، يمكن أن تكون معالجة بعض المعطيات ضرورية لإبرام العقد أو لتنفيذه. فعندما يقدم الزبون بياناته من أجل الحصول على خدمة تتطلب تلك البيانات، فإن الأساس القانوني للمعالجة قد يكون مرتبطًا بتنفيذ العقد، وليس بالضرورة بموافقة مستقلة على كل عملية ضرورية لتنفيذه. غير أن هذا الأساس لا يبرر تلقائيًا استعمال البيانات لأغراض أخرى، كإرسال عروض تجارية أو إنشاء ملفات إضافية، إذا كانت تلك الاستعمالات تتطلب أساسًا قانونيًا آخر أو تخضع لشروط إضافية.
ويظهر الأمر بصورة أوضح في المواقع الإلكترونية والتطبيقات. فقد يحتاج الموقع إلى بعض البيانات حتى يتمكن المستخدم من إنشاء حساب أو تنفيذ طلب أو الاستفادة من خدمة معينة. وفي المقابل، قد يطلب بيانات أخرى لأغراض مختلفة، مثل التحليل أو التخصيص أو التسويق. وهنا ينبغي ألا تختلط هذه الأغراض لمجرد أن المستخدم ضغط على زر واحد للموافقة. فالمسألة ليست في وجود كلمة «موافق» على الشاشة فقط، وإنما في معرفة ما الذي تمت الموافقة عليه، ولأي غرض، وما إذا كانت المعالجة التي تتم فعلًا تظل ضمن الإطار الذي تم إبلاغ المستخدم به.
ومن هذه الأمثلة يتبين أن السؤال عن الموافقة ينبغي أن يأتي ضمن مجموعة أوسع من الأسئلة. فالشخص لا يحتاج فقط إلى معرفة ما إذا كان قد وافق، بل يحتاج أيضًا إلى معرفة الجهة التي تعالج معطياته، والغرض من المعالجة، والأساس القانوني الذي تستند إليه، ونوع المعطيات المطلوبة، وكيفية استعمالها، والمدة التي سيُحتفظ بها خلالها، والجهات التي يمكن أن تصل إليها.
ثاني عشر: كيف يعرف الشخص الأساس القانوني للمعالجة؟
ومن المفيد للشخص المعني، حتى يستطيع فهم وضع معطياته، ألا يكتفي بمعرفة أن جهة معينة تجمع معلومات عنه، وإنما أن يتعرف أيضًا على الأساس الذي تستند إليه هذه المعالجة. فإذا كانت المعالجة تستند إلى موافقته، فمن المهم أن يكون واضحًا ما الذي وافق عليه. وإذا كانت تستند إلى التزام قانوني، فمن الطبيعي أن يكون معلومًا أن المعالجة تتم في إطار ذلك الالتزام. وإذا كانت مرتبطة بعقد، فينبغي أن يكون واضحًا ارتباط المعالجة بتنفيذ العقد أو بالإجراءات السابقة عليه.
وهذا الفهم يساعد الشخص على التمييز بين الحالات التي يستطيع فيها أن يعبّر عن رفضه أو يسحب رضاه وفق الشروط القانونية، وبين الحالات التي لا تكون فيها الموافقة هي الأساس أصلًا، بحيث لا يكون رفض الشخص، بمجرده، سببًا في إنهاء معالجة يفرضها القانون أو تقتضيها طبيعة العلاقة القانونية القائمة.
ولهذا فإن معرفة الأساس القانوني ليست مسألة تقنية تخص مسؤول المعالجة وحده، وإنما هي وسيلة تساعد الشخص المعني على فهم موقعه داخل عملية المعالجة والحقوق التي يستطيع ممارستها تجاهها. فكلما كان الأساس القانوني واضحًا، أصبح من الأسهل أيضًا فهم حدود المعالجة ومساءلة الجهة المعنية عندما يبدو أن استعمال المعطيات تجاوز الغرض الذي يبرره.
ثالث عشر: من الموافقة إلى حقوق الشخص المعني
إذا كانت الموافقة ليست الأساس الوحيد للمعالجة، فقد يطرح سؤال طبيعي: ماذا عن حقوق الشخص عندما تتم معالجة معطياته دون موافقته؟ والجواب هو أن عدم الحاجة إلى الموافقة في بعض الحالات لا يعني أن الشخص يفقد الحماية التي يمنحها له القانون. فالمعالجة، سواء استندت إلى الرضى أو إلى أساس قانوني آخر، تظل جزءًا من منظومة قانونية هدفها حماية الشخص تجاه استعمال معطياته ذات الطابع الشخصي.
وهنا نصل إلى المرحلة التالية في هذه السلسلة. فبعد أن تعرفنا في المقال السابق على الغاية والضرورة والتناسب، ثم انتقلنا في هذا المقال إلى الأساس القانوني للمعالجة ومكانة الموافقة داخله، يصبح السؤال التالي أكثر قربًا من الشخص نفسه: ما الحقوق التي يستطيع ممارستها تجاه الجهة التي تعالج معطياته؟
وهذه النقلة مهمة لأن حماية المعطيات لا تقوم فقط على وضع شروط أمام المسؤول عن المعالجة، وإنما تقوم أيضًا على تمكين الشخص المعني من معرفة ما يحدث لمعطياته، وممارسة الحقوق التي يقررها له القانون، والتدخل عندما يرى أن معالجة بياناته لا تحترم الإطار القانوني المقرر لها.
ومن ثم، فإن الموافقة ليست نهاية العلاقة بين الشخص ومعطياته، بل هي — عندما تكون هي الأساس القانوني المناسب — مجرد جزء من منظومة أوسع تبدأ بتحديد الغاية والأساس القانوني، وتستمر باحترام الضرورة والتناسب، وتنتهي بضمان الحقوق التي يقررها القانون للشخص المعني.
📚 أين يندرج هذا المقال ضمن سلسلة حماية المعطيات ذات الطابع الشخصي؟
يأتي هذا المقال بعد «الغاية والضرورة والتناسب في معالجة المعطيات ذات الطابع الشخصي»، لأن فهم حدود المعالجة لا يكتمل بمجرد تحديد الغرض من جمع المعطيات، بل يقتضي أيضًا معرفة الأساس القانوني الذي تستند إليه المعالجة. ومن هنا انتقلنا من سؤال «لماذا نحتاج إلى هذه المعطيات؟» إلى سؤال «ما الذي يجيز لنا معالجتها؟».
أما الخطوة التالية في هذا المحور فتتعلق بالسؤال المقابل من زاوية الشخص المعني: ما الحقوق التي يملكها تجاه معطياته ذات الطابع الشخصي؟ وبذلك يستمر التسلسل من الغاية والضرورة والتناسب، إلى الأساس القانوني والموافقة عند الاقتضاء، ثم إلى حقوق الشخص المعني.
🔗 للتوسع في الموضوع
لفهم هذا المقال ضمن الإطار العام للسلسلة، يمكن الرجوع إلى المقالات التالية:
- القانون رقم 09.08 المتعلق بحماية الأشخاص الذاتيين تجاه معالجة المعطيات ذات الطابع الشخصي .
- اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي (CNDP) .
- مداولات اللجنة وكيف تتحول بعض المبادئ القانونية إلى تطبيقات عملية .
- المقال السابق: الغاية والضرورة والتناسب في معالجة المعطيات ذات الطابع الشخصي .
ويظل المقال السابق حول الغاية والضرورة والتناسب مرجعًا مباشرًا لفهم إحدى الأفكار الأساسية التي يقوم عليها هذا المقال: فوجود أساس قانوني للمعالجة، بما في ذلك الموافقة عندما تكون هي الأساس المناسب، لا يعني أن جمع المعطيات واستعمالها أصبحا بلا حدود.
الخاتمة
الموافقة أو الرضى قد يكونان أساسًا مهمًا في مجال حماية المعطيات ذات الطابع الشخصي، لكنهما ليسا مفتاحًا وحيدًا لمشروعية كل معالجة، كما أنهما ليسا تفويضًا عامًا للمسؤول عن المعالجة كي يجمع ويستعمل كل ما يريد من معلومات. فقد أجاز القانون رقم 09.08 حالات يمكن فيها أن تستند المعالجة إلى أسس قانونية أخرى دون حاجة إلى رضى الشخص المعني، متى توفرت الشروط التي يحددها القانون.
لكن غياب الموافقة في هذه الحالات لا يعني غياب الحماية، كما أن وجودها لا يعني غياب القيود. ففي الحالتين تظل المعالجة محكومة بالغرض الذي تتم من أجله، وبالضرورة والتناسب، وبباقي القواعد التي وضعها المشرع لحماية الشخص تجاه معالجة معطياته.
ولهذا فإن السؤال الصحيح ليس دائمًا: «هل وافق الشخص؟»، وإنما ينبغي أن يضاف إليه: «ما الأساس القانوني للمعالجة؟ وما الغرض منها؟ وهل هي ضرورية ومتناسبة؟ وما الحقوق التي يملكها الشخص تجاهها؟».
وهنا تتضح الفكرة المركزية لهذا المقال:
الموافقة قد تكون أساسًا للمعالجة، لكنها ليست شيكًا على بياض يسمح بجمع واستعمال كل المعطيات ولأي غرض.
