أصبحت معالجة المعطيات ذات الطابع الشخصي جزءًا من الحياة اليومية، سواء عند إنشاء حساب على موقع إلكتروني، أو استعمال تطبيق رقمي، أو طلب خدمة، أو الولوج إلى مؤسسة، أو إبرام عقد، أو الاستفادة من خدمة عمومية أو خاصة. ومع التطور التكنولوجي، لم يعد جمع المعلومات وتخزينها وربطها بغيرها أمرًا معقدًا، بل أصبحت الإمكانات التقنية تسمح بجمع كميات كبيرة من المعطيات والاحتفاظ بها وتحليلها بطرق متعددة.
غير أن القدرة التقنية على جمع المعطيات لا تعني أن جمعها يصبح جائزًا لمجرد إمكانية ذلك. فالحماية القانونية للمعطيات ذات الطابع الشخصي تنطلق من منطق مختلف يقوم على تحديد الغاية من المعالجة أولًا، ثم تحديد المعطيات التي تقتضيها هذه الغاية، وبعد ذلك التأكد من أن حجم المعالجة وطريقتها ومدتها تظل في حدود ما تبرره الغاية المقصودة. ولذلك لا يكفي أن نطرح السؤال: هل يمكن جمع هذه المعلومة؟ بل ينبغي أن نطرح قبل ذلك: لماذا نحتاج إليها؟ وهل نحتاج إليها فعلًا؟ وهل نحتاج إلى هذا القدر منها؟
ومن هنا تبرز أهمية ثلاثة مفاهيم مترابطة في فهم قواعد معالجة المعطيات ذات الطابع الشخصي، وهي الغاية والضرورة والتناسب. فالغاية تحدد السبب الذي من أجله تتم المعالجة، والضرورة تساعد على تحديد ما تحتاج إليه المعالجة فعلًا، بينما يسمح التناسب بالتأكد من أن طبيعة المعطيات وحجمها وطريقة استعمالها والمدة التي يتم الاحتفاظ بها لا تتجاوز ما تقتضيه الغاية المحددة. ونستعمل هذه المفاهيم في هذا المقال باعتبارها مفاتيح تحليلية لفهم المقتضيات القانونية وتطبيقها عمليًا، وليس باعتبارها عناوين منفصلة عن باقي القواعد التي تحكم المعالجة.
خريطة المقال
- أولًا: الغاية هي نقطة الانطلاق
- ثانيًا: مشروعية الغاية لا تعني أن جمع كل المعطيات يصبح مشروعًا
- ثالثًا: الضرورة تعني البحث عما نحتاج إليه فعلًا
- رابعًا: التناسب يضع حدودًا لحجم المعالجة
- خامسًا: متى يصبح المعطى زائدًا عن الحاجة؟
- سادسًا: الضرورة لا تتعلق فقط بجمع المعطيات، وإنما أيضًا بالاحتفاظ بها
- سابعًا: التناسب يتعلق أيضًا بطريقة استعمال المعطيات
- ثامنًا: مداولات CNDP تكشف كيف تتحول المبادئ إلى تطبيقات عملية
- تاسعًا: كيف يمكن لمسؤول المعالجة أن يختبر مدى احترام هذه المبادئ؟
- عاشرًا: الغاية والضرورة والتناسب حلقات مترابطة
- أين يندرج هذا المقال ضمن سلسلة حماية المعطيات؟
- 🔗 للتوسع في الموضوع
- الخلاصة
أولًا: الغاية هي نقطة الانطلاق
لا يمكن تقييم معالجة المعطيات ذات الطابع الشخصي دون معرفة الغرض الذي تتم من أجله. فالمعالجة لا ينبغي أن تقوم على جمع المعلومات بصورة مفتوحة ثم البحث بعد ذلك عن استعمالات محتملة لها، وإنما يفترض أن تكون الغاية محددة منذ البداية، لأن تحديدها هو الذي يسمح بتحديد نطاق المعالجة ومعرفة ما إذا كانت المعطيات التي يراد جمعها مرتبطة فعلًا بالغرض المعلن.
وهذا ما يبرز في المادة 3 من القانون رقم 09.08، التي تقرر أن المعطيات ذات الطابع الشخصي يجب أن تكون مجمعة لغايات محددة ومعلنة ومشروعة، وألا تتم معالجتها لاحقًا بطريقة تتنافى مع تلك الغايات.
وتكتسي هذه القاعدة أهمية عملية كبيرة، لأن الغاية ليست مجرد معلومة تدرج في وثيقة أو استمارة، وإنما هي العنصر الذي يساعد على تحديد حدود المعالجة. فإذا كانت مؤسسة ما تجمع معطيات من أجل تدبير علاقة تعاقدية أو تقديم خدمة معينة، فإن عليها أن تنظر في المعطيات التي تحتاج إليها فعلًا لتحقيق هذا الغرض، بدل اعتبار كل معلومة يمكن الحصول عليها قابلة للجمع والاستعمال.
وبمعنى آخر، فإن تحديد الغاية يجيب عن السؤال الأول: لماذا تتم معالجة هذه المعطيات؟ ومن خلال الجواب عن هذا السؤال يمكن الانتقال إلى السؤال التالي: ما المعطيات التي نحتاج إليها لتحقيق هذه الغاية؟
ثانيًا: مشروعية الغاية لا تعني أن جمع كل المعطيات يصبح مشروعًا
قد تكون الغاية من المعالجة مشروعة، ومع ذلك لا يعني ذلك أن جميع المعطيات التي يمكن جمعها تصبح تلقائيًا مشروعة لمجرد ارتباطها بشكل عام بالنشاط الذي تقوم به الجهة المسؤولة عن المعالجة. فهناك فرق بين أن تكون الغاية مشروعة وبين أن تكون كل وسيلة مستخدمة لتحقيقها مبررة ومتناسبة.
ولهذا يشترط القانون رقم 09.08 أن تكون المعطيات ملائمة ومناسبة وغير مفرطة بالنظر إلى الغايات التي جمعت وعولجت من أجلها. وهذا يعني أن وجود غرض مشروع لا يمنح، في حد ذاته، صلاحية مفتوحة لجمع جميع المعلومات الممكنة عن الشخص.
فإذا كانت الغاية محددة، أصبح من الممكن طرح السؤال بصورة أكثر دقة: هل هذه المعلومة لها علاقة فعلية بالغرض؟ وهل توجد حاجة حقيقية إليها؟ وهل يمكن تحقيق الغرض نفسه دون جمعها؟ وإذا كانت الإجابة أن الغاية يمكن تحقيقها من دون هذه المعلومة، فإن الحاجة إلى جمعها تصبح محل تساؤل.
وهنا تظهر إحدى أهم الأفكار التي يقوم عليها هذا المبدأ: ليس المطلوب جمع أكبر قدر ممكن من المعطيات، وإنما جمع ما يتناسب مع الغرض الذي من أجله تتم المعالجة.
ثالثًا: الضرورة تعني البحث عما نحتاج إليه فعلًا
بعد تحديد الغاية، تأتي مسألة الضرورة. والمقصود هنا هو النظر إلى كل معطى على أساس الحاجة الفعلية إليه لتحقيق الغرض المحدد. ولذلك يمكن لمسؤول المعالجة أن يسأل نفسه، قبل جمع أي معلومة: هل نحتاج فعلًا إلى هذا المعطى لتحقيق الغاية؟
ولا يعني ذلك أن كل حالة يمكن حسمها بقاعدة بسيطة، لأن تقدير الضرورة يختلف بحسب طبيعة المعالجة والقطاع والغرض والالتزامات القانونية المرتبطة بالنشاط. لكن المبدأ العام يظل قائمًا: لا ينبغي أن تتحول إمكانية جمع المعطيات إلى مبرر لجمعها دون حاجة.
وقد يكون بعض المعطيات ضروريًا بصورة واضحة، بينما تكون معطيات أخرى مرتبطة بالنشاط بشكل عام ولكن الحاجة إليها أقل وضوحًا. وفي هذه الحالة ينبغي أن يكون هناك مبرر حقيقي لجمعها، لأن العلاقة العامة بالنشاط لا تكفي وحدها دائمًا لإثبات ضرورتها.
ولهذا فإن التفكير في الضرورة يسمح بالانتقال من سؤال عام مثل «هل يمكننا جمع هذه المعلومة؟» إلى سؤال أكثر دقة: «ما الذي سنحتاج إليه من هذه المعلومة، وما علاقتها المباشرة بالغاية التي حددناها؟»
رابعًا: التناسب يضع حدودًا لحجم المعالجة
إذا كانت الضرورة تساعد على معرفة ما نحتاج إليه، فإن التناسب يطرح سؤالًا أوسع يتعلق بمدى انسجام المعالجة في مجموعها مع الغاية المحددة. فالمسألة لا تتعلق فقط بوجود علاقة بين المعطى والغرض، وإنما أيضًا بما إذا كان حجم المعالجة وطريقتها وآثارها تتلاءم مع ذلك الغرض.
وقد تكون هناك معالجة لمعطيات مرتبطة بالفعل بالغاية، لكن طريقة استعمالها أو نطاقها أو عدد الأشخاص الذين يمكنهم الولوج إليها أو مدة الاحتفاظ بها تجعل من الضروري إعادة النظر في مدى تناسبها. ولذلك فإن تقييم التناسب لا ينبغي أن يتوقف عند قائمة المعطيات، بل يجب أن ينظر إلى المعالجة باعتبارها عملية متكاملة تشمل الغاية والمعطيات والوسائل والأشخاص الذين يمكنهم الولوج إليها وكيفية استعمالها ومدة الاحتفاظ بها.
ومن هذا المنظور، فإن مبدأ التناسب لا يعني بالضرورة أن المعالجة يجب أن تكون محدودة في كل الحالات إلى الحد الأدنى المطلق، وإنما يعني أن تكون في حدود ما تقتضيه الغاية المشروعة التي حددت من أجلها.
خامسًا: متى يصبح المعطى زائدًا عن الحاجة؟
إذا كانت الضرورة تساعدنا على تحديد ما نحتاج إليه، فإن التطبيق العملي لهذا المبدأ يقتضي التمييز بين المعطى الذي يخدم الغاية فعلًا والمعطى الذي يتجاوز ما تقتضيه تلك الغاية.
ولهذا فإن السؤال العملي المفيد هو: لو حذفنا هذا المعطى، هل سيصبح تحقيق الغاية المحددة مستحيلًا أو متعذرًا، أم يمكن تحقيقها بدونه؟
ولا ينبغي فهم هذا السؤال باعتباره اختبارًا آليًا يحسم كل الحالات، وإنما باعتباره وسيلة للتأكد من أن كل معطى يدخل في نطاق المعالجة له مبرر يرتبط بالغاية المحددة. فكلما اتسعت المعالجة وجب أن يكون من الممكن تفسير سبب هذا الاتساع، وكلما أمكن تحقيق الغاية بقدر أقل من المعطيات، أصبحت مسألة الإفراط أكثر وضوحًا.
وتتجسد هذه الفكرة أيضًا في بعض أعمال اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي، التي تراعي عند تناول بعض المعالجات علاقة المعطيات المطلوبة بالغاية، ولا سيما من حيث كونها محددة وذات صلة وغير مفرطة بالنسبة إلى الغرض المقصود.
سادسًا: الضرورة لا تتعلق فقط بجمع المعطيات، وإنما أيضًا بالاحتفاظ بها
قد تكون المعطيات ضرورية عند بداية المعالجة، لكن ذلك لا يعني أن الحاجة إليها تستمر إلى ما لا نهاية. فالمعطى الذي كان ضروريًا لتحقيق غرض معين في مرحلة من المراحل قد يفقد هذه الضرورة بعد انتهاء الغرض أو تغير الظروف التي كانت تبرر الاحتفاظ به.
ولهذا ربط القانون رقم 09.08 مدة الاحتفاظ بالمعطيات بالمدة الضرورية لإنجاز الغايات التي جمعت وعولجت من أجلها.
وبالتالي فإن السؤال لا ينبغي أن يكون فقط: هل كان جمع هذه المعطيات ضروريًا؟ وإنما أيضًا: هل ما زال الاحتفاظ بها ضروريًا؟
وهذه النقطة مهمة لأن معالجة المعطيات لا تنتهي بمجرد جمعها. فالاحتفاظ بها واستعمالها والولوج إليها كلها تدخل ضمن دورة المعالجة، ولذلك فإن استمرار الحاجة إلى المعطيات ينبغي أن يظل حاضرًا عند تحديد مدة الاحتفاظ بها.
وقد أقر القانون إمكانية الاحتفاظ بالمعطيات بعد انتهاء المدة الأصلية في حالات محددة، من بينها الأغراض التاريخية أو الإحصائية أو العلمية، وفق الشروط المنصوص عليها قانونًا وبما في ذلك الإذن من اللجنة الوطنية عند الاقتضاء.
سابعًا: التناسب يتعلق أيضًا بطريقة استعمال المعطيات
قد تكون المعلومة نفسها مرتبطة بالغاية، لكن طريقة استخدامها قد تطرح مسألة مختلفة. فهناك فرق بين جمع معطى من أجل غرض محدد وبين جمعه وربطه بمعطيات أخرى، أو إتاحته لعدد واسع من الأشخاص، أو استخدامه لاحقًا لغرض آخر.
ومن ثم فإن تقييم التناسب يحتاج إلى النظر في الصورة الكاملة للمعالجة: ما الغاية؟ وما المعطيات؟ وكيف يتم استعمالها؟ ومن يمكنه الولوج إليها؟ وما نطاق هذا الولوج؟ وكم من الوقت يتم الاحتفاظ بها؟
وتظهر أهمية هذه النظرة المتكاملة في بعض أعمال اللجنة الوطنية، حيث لا يقتصر تحديد المعالجة على ذكر المعطيات، وإنما يمكن أن يشمل الغايات، وفئات الأشخاص المعنيين، ومصدر المعطيات، والجهات التي يمكن أن تكون المعطيات موجهة إليها، والتدابير المتعلقة بسلامة المعالجة.
وهذا يوضح أن التناسب لا يتعلق فقط بالسؤال: كم معلومة جمعنا؟ بل يمتد إلى السؤال: ماذا نفعل بهذه المعلومات بعد جمعها؟
ثامنًا: مداولات CNDP تكشف كيف تتحول المبادئ إلى تطبيقات عملية
تكتسب هذه المبادئ أهمية أكبر عندما ننتقل من النص القانوني العام إلى بعض التطبيقات العملية التي تناولتها اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي من خلال مداولاتها.
ومن الأمثلة على ذلك المداولة رقم 350-2013 المتعلقة بالشروط الضرورية لاستعمال نظام المراقبة بالكاميرات في أماكن العمل والأماكن الخاصة المشتركة. وتبين هذه المداولة كيف يمكن أن تتحول قواعد حماية المعطيات إلى شروط وضوابط مرتبطة بمعالجة الصور بواسطة أنظمة المراقبة.
فوجود كاميرات للمراقبة لا يمثل في حد ذاته جوابًا كاملًا عن مشروعية المعالجة؛ إذ ينبغي النظر إلى الغرض من استخدامها، ونطاق المراقبة، وطبيعة الأماكن والأشخاص المعنيين، وكيفية التعامل مع الصور الناتجة عنها.
وتزداد أهمية هذه المسألة عندما يتعلق الأمر بمعالجات ذات تأثير أكبر على الحياة الخاصة، مثل تقنيات التعرف على ملامح الوجه. وفي هذا السياق، تكشف المداولة D-194-2019 عن كيفية تعامل اللجنة مع معالجة من هذا النوع في ضوء الاعتبارات المتعلقة بحماية الحياة الخاصة والمقتضيات الدستورية والقانونية ذات الصلة.
وتظهر الفكرة بصورة أوضح في المداولة رقم 464-2013 المتعلقة بشروط ممارسة الحق في الحصول على المعطيات ذات الطابع الشخصي، حيث تبرز أهمية أن تكون المعطيات المطلوبة محددة ومرتبطة بالغرض، وألا يتحول طلب الحصول عليها إلى وسيلة للحصول على ملف كامل أو معطيات تتجاوز ما تقتضيه الغاية. ويكشف هذا المثال أن مبدأ التناسب لا يتعلق فقط بالجهة التي تجمع المعطيات، وإنما يمكن أن يظهر أيضًا عند تحديد نطاق المعطيات التي يتم طلبها أو إتاحتها.
وهكذا تساعد مداولات اللجنة على فهم أن مبادئ الغاية والضرورة والتناسب ليست مجرد عبارات نظرية، وإنما يمكن أن تكون لها انعكاسات على كيفية تصميم المعالجة وحدودها وشروط تنفيذها.
تاسعًا: كيف يمكن لمسؤول المعالجة أن يختبر مدى احترام هذه المبادئ؟
يمكن لمسؤول المعالجة، قبل البدء في معالجة المعطيات أو عند مراجعة معالجة قائمة، أن يبدأ بسلسلة من الأسئلة المترابطة. ما الغاية المحددة من المعالجة؟ وهل تم تحديدها بصورة واضحة ومعلنة ومشروعة؟ وما المعطيات التي تحتاج إليها المعالجة فعلًا لتحقيق تلك الغاية؟ وهل يمكن تحقيق الغرض نفسه باستخدام عدد أقل من المعطيات؟ وهل طبيعة المعطيات وطريقة استعمالها متناسبتان مع الغرض؟ ومن يحتاج إلى الولوج إليها؟ وهل توجد استعمالات أخرى للمعطيات تختلف عن الغاية الأصلية؟ وكم من الوقت تظل الحاجة إلى الاحتفاظ بها قائمة؟
هذه الأسئلة لا تشكل بديلًا عن التقييم القانوني الذي قد تقتضيه كل معالجة، ولا تغني عن احترام باقي الشروط والالتزامات المنصوص عليها في القانون، لكنها تساعد على بناء طريقة سليمة للتفكير في المعالجة منذ بدايتها، بدل انتظار ظهور مشكلة بعد جمع المعطيات واستعمالها.
عاشرًا: الغاية والضرورة والتناسب حلقات مترابطة
يمكن في النهاية فهم العلاقة بين هذه المبادئ الثلاثة باعتبارها سلسلة مترابطة تبدأ من الغاية وتنتهي بمراجعة استمرار الحاجة إلى المعطيات.
فالغاية تجيب عن السؤال: لماذا نعالج المعطيات؟ ثم تأتي الضرورة لتحديد: ما الذي نحتاج إليه لتحقيق هذه الغاية؟ وبعد ذلك يأتي التناسب لطرح السؤال: هل المعطيات وطريقة استعمالها وحجم المعالجة ومدتها تتناسب مع الغاية المحددة؟
ومن هنا يمكن تصور المسار على النحو التالي:
الغاية ← تحديد الحاجة ← اختيار المعطيات ← تحديد نطاق المعالجة ← تحديد مدة الاحتفاظ ← مراجعة استمرار الحاجة.
وهذا التسلسل يساعد على فهم العلاقة بين عدد من المقتضيات التي تجمعها المادة 3 من القانون رقم 09.08، ولا سيما تحديد الغايات، وملاءمة المعطيات ومناسبتها وعدم إفراطها، ثم عدم الاحتفاظ بها لمدة تتجاوز ما هو ضروري لتحقيق الغاية.
📚 أين يندرج هذا المقال ضمن سلسلة حماية المعطيات ذات الطابع الشخصي؟
يندرج هذا المقال ضمن المحور الثاني: المبادئ التي تحكم المعالجة، ويأتي مباشرة بعد المقالات التأسيسية التي تناولت القانون رقم 09.08، ثم اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي، ثم مداولاتها وطريقة فهم موقعها داخل المنظومة القانونية.
وقد تم اختيار الغاية والضرورة والتناسب لتكون مدخل هذا المحور لأنها تمثل الأسئلة التي تسبق كثيرًا من المسائل الأخرى: لماذا تتم معالجة المعطيات؟ وما الذي تحتاج إليه المعالجة فعلًا؟ وهل تجاوزت المعالجة الحدود التي تقتضيها الغاية؟
بعد ذلك سينتقل المقال الثاني إلى مسألة الرضا والأساس القانوني للمعالجة، لبحث الحالات التي تكون فيها الموافقة أساسًا للمعالجة والحالات التي قد تستند فيها المعالجة إلى أساس قانوني آخر. أما المقال الثالث فسيتناول حقوق الشخص تجاه معطياته ذات الطابع الشخصي.
وبذلك يأخذ المحور تسلسلًا منطقيًا: الغاية ← الضرورة ← التناسب ← الأساس القانوني للمعالجة ← الموافقة عند الاقتضاء ← حقوق الشخص المعني.
🔗 للتوسع في الموضوع
لا يكتمل فهم الغاية والضرورة والتناسب بمعزل عن باقي القواعد التي تحكم معالجة المعطيات ذات الطابع الشخصي. لذلك يمكن للقارئ العودة إلى المقال التمهيدي حول القانون رقم 09.08 المتعلق بحماية الأشخاص الذاتيين تجاه معالجة المعطيات ذات الطابع الشخصي ، ثم التعرف على دور اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي (CNDP) ، وعلى كيفية ترجمة اختصاصاتها إلى ممارسة عملية من خلال مداولاتها وتطبيقاتها .
ومن جهة أخرى، تقودنا مبادئ الغاية والضرورة والتناسب إلى سؤال أساسي آخر: ما الأساس القانوني الذي يسمح أصلًا بمعالجة المعطيات؟ وهل تكون موافقة الشخص المعني مطلوبة في جميع الحالات؟ وهو ما يمهد للانتقال إلى المقال الموالي من هذا المحور حول الرضا ليس كل شيء: متى تجوز معالجة المعطيات دون موافقة الشخص؟، قبل الوصول لاحقًا إلى موضوع حقوق الشخص تجاه معطياته ذات الطابع الشخصي.
الخلاصة
إن حماية المعطيات ذات الطابع الشخصي لا تبدأ فقط عندما يقع تسريب للمعلومات أو استعمال غير مشروع لها، وإنما تبدأ قبل ذلك بكثير، أي منذ اللحظة التي يتم فيها تحديد ما إذا كانت هناك حاجة أصلًا إلى جمع هذه المعطيات، ولماذا سيتم جمعها، وما الذي سيحدث لها بعد ذلك.
فوجود غاية مشروعة لا يعني أن كل معطى يصبح ضروريًا، ووجود حاجة إلى معطى معين لا يعني أن استعماله يكون بلا حدود، كما أن ضرورة جمع المعطى في مرحلة معينة لا تعني بالضرورة استمرار الحاجة إلى الاحتفاظ به إلى أجل غير محدد.
ولهذا تشكل الغاية والضرورة والتناسب ثلاث حلقات متكاملة: فالغاية تحدد سبب المعالجة، والضرورة تحدد ما تحتاج إليه لتحقيقها، والتناسب يضع حدًا للإفراط في حجم المعالجة وطريقة استعمالها ومدتها.
ومن هنا يمكن اختصار الفكرة الأساسية لهذا المقال في سؤال بسيط، لكنه جوهري في مجال حماية المعطيات ذات الطابع الشخصي:
لماذا نحتاج إلى هذه المعطيات، وهل نحتاج فعلًا إلى هذا القدر منها، وإلى متى؟
والإجابة عن هذه الأسئلة تمهد للانتقال إلى الحلقة التالية من المحور: الرضا ليس كل شيء، فما الأساس القانوني الذي يمكن أن تستند إليه معالجة المعطيات ذات الطابع الشخصي؟
