حقوق صاحب البيانات الشخصية

تعريف حقوق صاحب البيانات الشخصية

حقوق صاحب البيانات الشخصية (بالإنجليزية: Data Subject Rights) هي ما يقرره نظام حماية البيانات الشخصية للفرد الذي تتعلق به البيانات تجاه الجهة التي تحدد غرض معالجتها وكيفيتها، وتسمى جهة التحكم. وصاحب البيانات في النظام هو «الفرد الذي تتعلق به البيانات الشخصية» (المادة 1/16 من نظام حماية البيانات الشخصية). فالعامل والمتقدم لوظيفة والمتدرب والعامل السابق أفراد تتعلق بهم بيانات، والمنشأة التي تحتفظ بملفاتهم هي جهة التحكم فيها.

ويُقصد في هذه الصفحة بـ«النظام» نظام حماية البيانات الشخصية، وبـ«اللائحة» لائحته التنفيذية، لا اللائحة التنفيذية لنظام العمل التي تُسمّى باسمها الكامل كلما ذُكرت. ويسري النظام على أي معالجة لبيانات شخصية تتعلق بالأفراد تتم في المملكة بأي وسيلة (المادة 2/1 من النظام). ولا يخرج من نطاقه إلا الفرد الذي يعالج بيانات لأغراض لا تتجاوز الاستخدام الشخصي أو العائلي، «ما دام أنه لم ينشرها أو يفصح عنها للغير» (المادة 2/2 من النظام). وتذكر المادة 2/3 من اللائحة أمرين لا يُعدان استخدامًا شخصيًا أو عائليًا: قيام الفرد بنشر البيانات الشخصية للجمهور أو الإفصاح عنها لأي شخص خارج النطاق المحدد في الفقرة 2 من المادة نفسها، واستخدامها لأغراض ذات طابع مهني أو تجاري أو غير ربحي.

الحقوق الخمسة في المادة 4 من النظام

تقرر المادة 4 من النظام للفرد خمسة حقوق، «وفقًا للأحكام الواردة في النظام وما تحدده اللوائح»:

• الحق في العلم يشمل إحاطة الفرد علمًا بالمسوغ النظامي لجمع بياناته والغرض من جمعها.
• الحق في الوصول هو أن يصل الفرد إلى بياناته المتوافرة لدى جهة التحكم، وفق الضوابط والإجراءات التي تحددها اللوائح، ودون إخلال بالمادة 9 من النظام.
• الحق في طلب نسخة هو أن يطلب الفرد الحصول على بياناته المتوافرة لدى جهة التحكم بصيغة مقروءة وواضحة.
• الحق في التصحيح هو أن يطلب الفرد تصحيح بياناته أو إتمامها أو تحديثها.
• الحق في الإتلاف هو أن يطلب الفرد إتلاف ما انتهت الحاجة إليه من بياناته، دون إخلال بالمادة 18 من النظام.

ولا يدخل سحب الموافقة في هذه الخمسة. فالمادة 5 من النظام هي التي تجيز لصاحب البيانات الرجوع عن موافقته في أي وقت، وتحيل ضوابط ذلك إلى اللوائح. وتعرض صفحة خصوصية بيانات الموظفين الواجبات التي يفرضها النظام على المنشأة بوصفها جهة تحكم، وتذكر هذه الحقوق في جملة واحدة، وتفصّلها هذه الصفحة.

كيف يُمارس الحق: المادتان 3 و10 من اللائحة

تلزم المادة 3 من اللائحة جهة التحكم، عند تلقيها طلبًا من صاحب البيانات يتعلق بحقوقه، بأربعة أمور:

• تنفيذ الطلب خلال مدة لا تتجاوز ثلاثين يومًا دون تأخير.
• تبنّي الوسائل التقنية والإدارية والتنظيمية اللازمة لضمان سرعة الاستجابة.
• اتخاذ الإجراءات والتدابير المناسبة للتحقق من هوية مقدم الطلب قبل تنفيذه.
• توثيق وحفظ كافة الطلبات المقدمة إليها، بما في ذلك الطلبات الشفهية.

ولها أن تمدد مدة التنفيذ بما لا يزيد على ثلاثين يومًا إضافية إذا تطلب التنفيذ جهدًا إضافيًا غير متوقع أو غير معتاد، أو إذا تلقت طلبات متعددة من صاحب البيانات نفسه، بشرط أن تُشعره مسبقًا بالتمديد ومبرراته. فالحد الأقصى ستون يومًا في الجملة (30 + 30). وإذا كان الطلب متكررًا بشكل غير مبرر أو يتطلب تنفيذه جهدًا غير عادي، كان لجهة التحكم عدم معالجته، على أن يكون ذلك مسببًا وتُشعر صاحب البيانات به (المادة 3/2 من اللائحة). وإذا كان صاحب البيانات ناقص الأهلية أو عديمها، كان لوليه الشرعي ممارسة حقوقه نيابة عنه (المادة 3/3).

وتوجب المادة 10 من اللائحة على جهة التحكم توفير الوسائل الملائمة للاستجابة للطلبات. ويكون لصاحب البيانات أن يستخدم واحدة أو أكثر من هذه الوسائل بحسب اختياره وتوافرها لدى جهة التحكم: البريد الإلكتروني، والرسائل النصية، والعنوان الوطني، والتواصل عبر التطبيقات الإلكترونية، وأي وسيلة تواصل نظامية أخرى معدة لهذا الغرض.

ومثال بأرقام مفروضة: قدم موظف في اليوم 0 رسالة واحدة تطلب نسخة من ملفه وتصحيح تاريخ التحاقه بالعمل وإتلاف صورة وثيقة قديمة. الرسالة تتضمن ثلاثة طلبات، والمدة الأولى ثلاثون يومًا تنتهي في اليوم 30. فإن رأت المنشأة أن التنفيذ يتطلب جهدًا إضافيًا، أشعرته قبل انقضاء المدة بالتمديد ومبرراته، فيصير الحد الأقصى اليوم 60. أما التمديد الذي يُعلن بعد انقضاء الثلاثين فلا يحقق شرط الإشعار المسبق الذي تنص عليه المادة 3/1 من اللائحة.

الحق في العلم: المادة 4 من اللائحة

تنص المادة 4 من اللائحة على أن جهة التحكم، إذا جمعت البيانات من صاحبها مباشرة، تتخذ قبل الجمع أو عنده التدابير اللازمة لإبلاغه بما يأتي:

• الاسم النظامي لجهة التحكم وبيانات التواصل الخاصة بها، وأي تفاصيل تخص قنوات التواصل التي أنشأتها لغرض حماية البيانات الشخصية.
• بيانات الاتصال بمسؤول حماية البيانات الشخصية إن وُجد.
• المسوغ النظامي والغرض من جمع البيانات ومعالجتها، بصورة محددة وواضحة وصريحة.
• مدة الاحتفاظ بالبيانات، أو معايير حساب المدة إذا تعذر تحديدها مسبقًا.
• حقوق صاحب البيانات المنصوص عليها في المادة 4 من النظام وآلية ممارسة أي منها.
• كيفية الرجوع عن الموافقة الممنوحة لمعالجة أي من البيانات.
• بيان ما إذا كان جمع أي من البيانات أو معالجتها إلزاميًا أو اختياريًا.

ولا يسري هذا الإبلاغ إذا كانت المعلومات متوافرة مسبقًا لصاحب البيانات، أو إذا كان تقديمها يتعارض مع أي من الأنظمة السارية في المملكة (المادة 4/2 من اللائحة). وإذا جُمعت البيانات من غير صاحبها مباشرة، وجب على جهة التحكم، دون تأخير غير مبرر وخلال ثلاثين يومًا من تلقيها البيانات، إبلاغه بهذه البنود مضافًا إليها فئات البيانات التي تُعالج والمصدر الذي حصلت منه عليها (المادة 4/3). وتستثني المادة 4/4 خمس حالات: أن تكون المعلومات متوافرة مسبقًا لصاحب البيانات، وأن يكون الإبلاغ غير ممكن أو يتطلب جهدًا غير معقول، وأن يكون حصول جهة التحكم على البيانات قد تم تنفيذًا لنظام، وأن تكون جهة التحكم جهة عامة وجمعت البيانات لأغراض أمنية أو لاستيفاء متطلبات قضائية أو لتحقيق مصلحة عامة، وأن تكون البيانات خاضعة لأحكام السرية المهنية المقررة نظامًا. وإذا أرادت جهة التحكم معالجة إضافية لغرض آخر غير الذي جُمعت من أجله، وجب عليها قبل المعالجة أن تقدم لصاحب البيانات المعلومات اللازمة وفق المادة نفسها (المادة 4/6).

وفي التوظيف يكون نموذج التقديم الذي يملؤه المتقدم جمعًا مباشرًا، فيُبلَّغ بهذه البنود قبل الجمع أو عنده. أما ما تحصل عليه المنشأة من جهة ثالثة، كمكتب توظيف أو جهة عمل سابقة يُسأل عنها المتقدم، فجمع من غير صاحب البيانات، وتسري عليه مدة الثلاثين يومًا ما لم تتحقق إحدى الحالات الخمس. وهذا تطبيق للنص على وقائع التوظيف. وتتناول صفحتا نظام تتبّع المتقدمين وقاعدة بيانات المرشحين الأداتين اللتين تُحفظ فيهما ملفات المتقدمين.

الوصول والنسخة: المادتان 5 و6 من اللائحة والمادة 9 من النظام

تجيز المادة 9/1 من النظام لجهة التحكم أن تحدد مددًا لممارسة حق الوصول وفق ما تحدده اللوائح، وأن تقيد هذا الحق إذا كان التقييد ضروريًا لحماية صاحب البيانات أو غيره من أي ضرر وفق الأحكام التي تحددها اللوائح. وتضيف حالة ثانية تخص الجهة العامة، إذا كان التقييد مطلوبًا لأغراض أمنية أو لتنفيذ نظام آخر أو لاستيفاء متطلبات قضائية. وتمنع المادة 9/2 من النظام جهة التحكم من تمكين صاحب البيانات من الوصول متى تحقق أي من الأحوال الستة الأولى في المادة 16 من النظام، وهي أن يتصف الإفصاح بأحد ما يأتي:

• أن يمثل خطرًا على الأمن، أو يسيء إلى سمعة المملكة، أو يتعارض مع مصالحها.
• أن يؤثر على علاقات المملكة مع دولة أخرى.
• أن يمنع من كشف جريمة، أو يمس حقوق متهم في محاكمة عادلة، أو يؤثر في سلامة إجراءات جنائية قائمة.
• أن يعرّض سلامة فرد أو أفراد للخطر.
• أن يترتب عليه انتهاك خصوصية فرد آخر غير صاحب البيانات وفق ما تحدده اللوائح.
• أن يتعارض مع مصلحة ناقص الأهلية أو عديمها.

وتضيف المادة 5 من اللائحة أن حق الوصول لا يجوز أن يؤثر سلبًا على حقوق الغير، مثل حقوق الملكية الفكرية أو الأسرار التجارية، وأن للجهة إتاحة الوصول بناء على طلب، أو بوسيلة توفرها لتمكين صاحب البيانات من الوصول إلى بياناته بشكل تلقائي دون الحاجة إلى تقديم طلب. وعلى جهة التحكم التأكد من أن ذلك لا يتضمن الإفصاح عن بيانات شخصية تحدد هوية فرد آخر. وتكرر المادة 6 من اللائحة في شأن النسخة قيدين فقط من قيود المادة 5: ألا تؤثر النسخة سلبًا على حقوق الغير، وأن تتأكد جهة التحكم من أنها لا تفصح عن بيانات تحدد هوية فرد آخر. وتزيد المادة 6 أن البيانات تُقدَّم بصيغة إلكترونية شائعة الاستخدام، ولصاحب البيانات طلب نسخة مطبوعة منها متى كان ذلك ممكنًا.

والأثر العملي في ملف الموظف أن الملف يضم أحيانًا ما يتصل بغيره، كشكوى قدمها زميل أو محضر ورد فيه اسم عامل آخر. فعند تسليم النسخة تُراجع الوثائق ويُحجب منها ما يحدد هوية الفرد الآخر، وهذا تطبيق للمادتين 5/2 و6/3 من اللائحة على وقائع الموارد البشرية.

التصحيح: المادتان 7 و22 من اللائحة والمادة 17 من النظام

تنص المادة 7 من اللائحة على أن لصاحب البيانات، إذا لم تصح بياناته لدى جهة التحكم، أن يطلب تقييد معالجتها مدة يمكن لجهة التحكم التحقق خلالها من صحتها، «مع مراعاة عدم سريان حق صاحب البيانات الشخصية في الحصول على التقييد المذكور إذا كان تقديم تلك البيانات يتعارض مع أحكام النظام وهذه اللائحة». ولجهة التحكم طلب المستندات الداعمة لطلب التصحيح متى كان ذلك ضروريًا، على أن تُتلف تلك المستندات بعد الانتهاء من التحقق. وبعد التصحيح تُشعر جهة التحكم الجهات التي أفصحت لها سابقًا عن البيانات دون تأخير. والحكم نفسه في المادة 17/1 من النظام، فإذا جرى تصحيح خطأ أو إكمال نقص أو إجراء تحديث، أشعرت جهة التحكم أي جهة انتقلت إليها البيانات بالتعديل وأتاحته لها.

وتفصّل المادة 22 من اللائحة أنواع التصحيح الثلاثة: تصحيح بيانات خاطئة، وإكمال بيانات ناقصة، وتحديث بيانات سابقة. وتوجب على جهة التحكم عند التصحيح أن تضمن دقة البيانات وسلامتها بفحص الوثائق الداعمة إن اقتضت الضرورة، وأن تُشعر الجهات التي أُفصح لها دون تأخير، وأن تُشعر صاحب البيانات عند الانتهاء، وأن توثق كل ما أُجري من تحديثات. وإذا تبيّن أن البيانات غير صحيحة أو غير مكتملة وكان من شأن ذلك إحداث أضرار على صاحبها، وجب إيقاف المعالجة لحين تحديثها أو تصحيحها (المادة 22/3 من اللائحة). وعلى جهة التحكم عند علمها بعدم صحة البيانات أو حداثتها أن تصححها أو تكملها أو تحدّثها دون تأخر بالوسائل المتاحة لديها (المادة 22/4).

ومثال ذلك تاريخ الالتحاق بالعمل في ملف العامل. فإن كان خاطئًا بسبب خطأ إدخال، فقد تتأثر به مدة الخدمة التي تقوم عليها مكافأة نهاية الخدمة في المادة 84 من نظام العمل. وطلب العامل تصحيحه حق له، وتصحيحه واجب على المنشأة بمقتضى المادة 22/4 من اللائحة متى علمت بالخطأ.

الإتلاف: المادة 8 من اللائحة والمادتان 4 و18 من النظام

تعرّف المادة 1/7 من النظام الإتلاف بأنه أي إجراء على البيانات «يجعل من المتعذر الاطلاع عليها أو استعادتها مرة أخرى أو معرفة صاحبها على وجه التحديد». وتوجب المادة 8/1 من اللائحة على جهة التحكم إتلاف البيانات في أي من الأحوال الآتية:

• تنفيذًا لطلب صاحب البيانات.
• إذا لم تعد البيانات ضرورية لتحقيق الغرض الذي جُمعت من أجله.
• إذا عدل صاحب البيانات عن موافقته على الجمع، وكانت الموافقة هي المسوغ النظامي الوحيد للمعالجة.
• إذا علمت جهة التحكم أن البيانات تُعالج بطريقة مخالفة للنظام.

وعند الإتلاف تتخذ جهة التحكم الإجراءات الملائمة لإشعار الجهات التي أفصحت لها عن البيانات والأشخاص الذين تم الإفصاح لهم بأي وسيلة وطلب إتلافها، وتتلف كافة النسخ في أنظمة التخزين بما فيها النسخ الاحتياطية، مع مراعاة المتطلبات النظامية ذات العلاقة (المادة 8/2 من اللائحة). وكل ذلك لا يخل بالمادة 18 من النظام (المادة 8/3 من اللائحة).

وتوجب المادة 18/1 من النظام إتلاف البيانات بعد انتهاء الغرض من جمعها دون تأخير، مع جواز الاحتفاظ بها إذا أُزيل كل ما يؤدي إلى معرفة صاحبها على وجه التحديد وفق الضوابط التي تحددها اللوائح. وتوجب المادة 18/2 الاحتفاظ بها بعد انتهاء الغرض في حالتين: وجود مسوغ نظامي يوجب الاحتفاظ بها مدة محددة، فتُتلف بعد انتهاء المدة أو انتهاء الغرض أيهما أطول، وكونها متصلة اتصالاً وثيقًا بقضية منظورة أمام جهة قضائية وكان الاحتفاظ بها مطلوبًا لهذا الغرض، فتُتلف بعد استكمال الإجراءات القضائية الخاصة بالقضية.

الإتلاف وملف العمل

تنص المادة 17 من نظام العمل على أن يحتفظ صاحب العمل في مكان العمل بالسجلات والكشوف والملفات التي تحدد اللائحة التنفيذية لنظام العمل ماهيتها والبيانات التي يجب أن تتضمنها. وتحدد المادة 5 من اللائحة التنفيذية لنظام العمل سبعة سجلات، من بينها «ملف عمل لكل عامل: يحتوي على بياناته، وعنوانه، ونسخة من عقد العمل، وأي شهادات أو وثائق يقدمها لصاحب العمل». ومن هنا يلتقي طلب الإتلاف المقدم من عامل مع واجب الاحتفاظ بملفه، وتبيّن صفحة اللائحة التنفيذية لنظام العمل موضع هذه المادة بين مواد اللائحة.

ولم نقف في المادة 5 من اللائحة التنفيذية لنظام العمل على مدة لحفظ هذه الملفات، ولا في المواد 3 إلى 10 و22 من لائحة النظام على رسوم لممارسة الحقوق، ولا على المدد التي تجيز المادة 9/1 من النظام وضعها لحق الوصول. فلا نقرر ما يجب في حالة بعينها، ويرجع فيها إلى المختص مع وقائعها.

هل تقتصر حقوق صاحب البيانات على الموظفين؟

لا. فصاحب البيانات في النظام كل فرد تتعلق به بيانات شخصية، ويسري النظام على أي معالجة لبيانات الأفراد تتم في المملكة. فالمتقدم لوظيفة لم يُقبل، والمتدرب، والعامل الذي انتهت خدمته، يملكون الحقوق الخمسة نفسها تجاه المنشأة ما دامت تحتفظ ببياناتهم.

وما سبق تعريف بالمفهوم وبنصوص نظام حماية البيانات الشخصية ولائحته التنفيذية حيث ذُكرت، لا استشارة نظامية.