يجمع هذا المقال عن قانون حماية البيانات الشخصية الأردني وبيانات الفواتير مجموعتين من الحقائق في صفحة واحدة. الأولى ما يحتاج القارئ إلى معرفته عن قانون حماية البيانات الشخصية رقم (24) لسنة 2023 من حيث تواريخه والجهة المشرفة عليه وأبرز ما يرتبه على من يعالج البيانات. والثانية ما تحمله الفاتورة في الأردن من بيانات المشتري بحكم نظام تنظيم شؤون الفوترة والرقابة عليها والدليل التقني لنظام الفوترة الوطني.
والغاية أن يرى المحاسب وصاحب المنشأة النصين متجاورين، فيعرف ما يطلبه كل منهما وما لا يطلبه. أما العلاقة القانونية بين النصين، أي هل يحكم أحدهما الآخر أم يستثنيه، فلا تتناولها الوثائق الرسمية التي يستند إليها هذا المقال. لذلك لا يجيب المقال عنها، ولا يقدّم رأيًا قانونيًا في الامتثال لقانون حماية البيانات. ومن يحتاج إلى حكم في حالة بعينها فمرجعه الجهة المختصة أو مستشار قانوني.
ما قانون حماية البيانات الشخصية الأردني؟
قانون حماية البيانات الشخصية رقم (24) لسنة 2023 هو أول قانون لحماية البيانات في الأردن. ونصه الرسمي منشور على موقع وزارة الاقتصاد الرقمي والريادة. ويمر سريان القانون بثلاثة تواريخ يحسن حفظها.
فمنذ 17/3/2025 لم تعد مهلة السنة قائمة، وصار القانون نافذًا بكامل أحكامه على الجهات التي كانت تعالج البيانات قبل نفاذه. وهذه التواريخ هي كل ما يعتمد عليه المقال من جهة الجدول الزمني، فلا يذكر مواعيد أخرى لتعليمات أو أنظمة تصدر بموجب القانون.
ويختلف هذا القانون في موضوعه وجهته عن نظام الفوترة. فنظام تنظيم شؤون الفوترة والرقابة عليها رقم (34) لسنة 2019 تشريع ضريبي صادر بمقتضى قانون ضريبة الدخل، وتتولى تطبيقه دائرة ضريبة الدخل والمبيعات. وقد شرحنا مواده كلها في مقال نظام تنظيم شؤون الفوترة والرقابة عليها. أما قانون حماية البيانات فتشرف عليه جهة أخرى هي موضوع القسم التالي.
الجهة المشرفة: مجلس حماية البيانات الشخصية
يشرف على تطبيق القانون مجلس حماية البيانات الشخصية، ويرأسه وزير الاقتصاد الرقمي والريادة. وتعمل داخل الوزارة وحدة لحماية البيانات تتولى ثلاث مهام.
- الشكاوى. تستقبل الوحدة الشكاوى المتعلقة بمعالجة البيانات الشخصية.
- التحقق من الامتثال. تجري الوحدة عمليات التحقق من التزام الجهات بأحكام القانون.
- السجل. تدير الوحدة سجل المتحكمين بالبيانات والمعالجين لها.
هذا التوزيع يوضح أمرًا عمليًا. فكل ما يخص الفاتورة نفسها من بيانات وصيغة وإرسال مرجعه دائرة ضريبة الدخل والمبيعات ونظام الفوترة الوطني. وكل ما يخص تطبيق قانون حماية البيانات مرجعه المجلس ووحدته في وزارة الاقتصاد الرقمي والريادة. ولا يذكر أي من المصدرين أن إحدى الجهتين تفصل في مسائل الأخرى.
أبرز الالتزامات في قانون حماية البيانات الشخصية الأردني
يرتب القانون على من يعالج البيانات الشخصية مجموعة من الالتزامات. والجدول التالي يجمع أبرزها كما يلخصها المصدر الذي يعتمد عليه هذا المقال، دون الدخول في نص كل مادة أو استثناءاتها التفصيلية.
لاحظ أن الجدول يصف ما يرتبه القانون بوجه عام، ولا يحدد أي هذه الالتزامات ينطبق على منشأة بعينها. فتعيين مسؤول حماية البيانات مثلًا مرتبط بحالات محددة كالمعالجة الواسعة أو معالجة البيانات الحساسة، وليس التزامًا على كل من يعالج بيانات. وتحديد موقع منشأتك من هذه الالتزامات مسألة قانونية تخرج عن حدود هذا المقال.
نقل البيانات خارج الأردن والاستضافة
من الأسئلة التي ترتبط بالبرامج المحاسبية السحابية مكان استضافة البيانات. والجواب بحسب المصدر الذي يعتمد عليه المقال أن القانون لا يفرض إلزامًا صريحًا بتوطين استضافة بيانات المحاسبة السحابية أو البيانات المالية العامة داخل الأردن. ما يضعه القانون هو شروط لنقل البيانات الشخصية إلى خارج الأردن، لا منعًا مطلقًا لهذا النقل.
والقاعدة أن البيانات الشخصية لا تُنقل إلى جهة خارج الأردن يقل مستوى الحماية لديها عن المستوى الذي يقرره القانون، ما لم ينطبق استثناء. ومن الاستثناءات التي يذكرها المصدر.
- الموافقة الصريحة المستنيرة من صاحب البيانات.
- التعاون القضائي أو الدولي.
- تبادل البيانات لأغراض طبية أو تتعلق بالصحة العامة.
- النقل اللازم لحركة الأموال.
وهناك تحفظ مهم على هذا الجواب. فالجهات الرقابية القطاعية قد تفرض قواعدها الخاصة في الاستعانة بمصادر خارجية أو في الخدمات السحابية، ومثالها البنك المركزي الأردني مع المؤسسات المالية المرخصة. فلا يصح القول إن الأردن ليس فيه أي قواعد على البيانات، ومن يعمل في قطاع منظم يرجع إلى تعليمات الجهة المشرفة على قطاعه.
قانون حماية البيانات الشخصية الأردني وبيانات الفواتير جنبًا إلى جنب
ننتقل الآن إلى الجهة الثانية، وهي بيانات المشتري التي تحملها الفاتورة في الأردن. ومصدرها نصان رسميان صادران عن دائرة ضريبة الدخل والمبيعات، هما نظام تنظيم شؤون الفوترة والرقابة عليها، والدليل التقني للربط مع نظام الفوترة الوطني في إصداره 1.5.
ما يشترطه نظام الفوترة: اسم المشتري في حالات محددة
تحدد الفقرة (أ) من المادة (5) خمسة بيانات إلزامية في كل فاتورة، تخص الفاتورة نفسها والبائع والسلعة أو الخدمة، ومنها «الرقم الوطني» للبائع إذا كان غير مسجل في ضريبة المبيعات. ولا تذكر هذه الفقرة المشتري بشيء. أما المشتري فتتناوله الفقرة (ب)، ونصها.
«يجب أن تحتوي الفاتورة على اسم المشتري بشكل واضح في حال بيع السلعة أو الخدمة الآجل أو البيع بالتقسيط أو على دفعات».
فالنظام يشترط من بيانات المشتري الاسم وحده، وفي ثلاث حالات بيع فقط هي البيع الآجل والبيع بالتقسيط والبيع على دفعات. ويضيف النظام في مواضع أخرى ما يتصل بالمشتري دون أن يزيد في بياناته.
- تسليم النسخة. تنص الفقرة (ج/1) من المادة (5) على تسليم نسخة من الفاتورة إلى المشتري «وفقاً للطريقة المستخدمة في تنظيم وإصدار الفواتير»، وتحفظ باقي النسخ لدى البائع.
- إثبات الاستلام. إذا زادت قيمة الفاتورة على 10000 دينار يثبت البائع استلامها من قبل المشتري (المادة 5/ج/2).
- سجل فواتير البيع. تطلب المادة (6) سجلًا ورقيًا أو محوسبًا لفواتير البيع، من بنوده «اسم المشتري».
- نقل البيانات إلى الدائرة. تنص المادة (9) على أن «على كل بائع تمكين الدائرة من نقل البيانات والمعلومات كافة المتعلقة بالفواتير ومحتوياتها إلكترونياً».
ما يحدده الدليل التقني: كتلة المشتري في ملف الفاتورة
حين تصدر الفاتورة إلكترونيًا عبر نظام الفوترة الوطني، تُكتب بيانات المشتري في كتلة من ملف XML اسمها cac:AccountingCustomerParty. ويظلل الدليل التقني العناصر الإجبارية بالأصفر والاختيارية بالأخضر، ونص مفتاح الألوان فيه أن العناصر الصفراء «مطلوب تعبئتها (إجبارية) من خلال نظام البائع»، والخضراء «مطلوب تعبئتها» ويصفها الدليل بأنها اختيارية.
والجدول التالي يجمع عناصر الكتلة كما يوثقها الدليل، وقد فصّلناها عنصرًا عنصرًا في مقال بيانات المشتري في ملف فاتورة نظام الفوترة الوطني.
مرِّر الجدول أفقيًا لعرض بقية الأعمدة
يتضح من الجدول أن عنصرين فقط مظللان بالأصفر، هما نوع المعرّف واسم المشتري. ووجوب محتوى الاسم نفسه مشروط بحالتين، فاتورة الذمم أيًا كانت قيمتها، والفاتورة النقدية التي تزيد قيمتها على 10,000 دينار أو ما يعادلها بالعملات الأجنبية. وإذا غاب الاسم في إحدى هاتين الحالتين رُفضت الفاتورة، وشرح رسالة الرفض في مقال رسالة Bayer name is missing.
وفي نموذج الفاتورة على بوابة نظام الفوترة الوطني تظهر الحقول نفسها بأسماء عربية، وهي الاسم، و«نوع المعرفات الإضافية للمشتري»، و«رقم المشتري»، ورقم الهاتف، والمدينة، والرمز البريدي.
متى تصل الفاتورة إلى المشتري
يتحقق نظام الفوترة الوطني من الفاتورة قبل مشاركتها مع المشتري، لا بعد ذلك. وفي فاتورة الإرجاع ينص الدليل التقني على أنه «يجب أن تتوافق بيانات المشتري في فاتورة الإرجاع مع بياناته في فاتورة البيع الأصلية المرتبطة بها». فبيانات المشتري التي تُكتب في الفاتورة الأصلية تتكرر كما هي في أي إرجاع عليها.
ما يقوله كل نص وما لا يقوله
بعد عرض الجهتين، يجمع الجدول التالي موضوع كل نص وجهته وحدود ما ينقله هذا المقال عنه.
مرِّر الجدول أفقيًا لعرض بقية الأعمدة
وفي ضوء هذا الجدول، هذه أمور لا يقولها المقال عن قانون حماية البيانات الشخصية الأردني وبيانات الفواتير، ولا ينبغي أن تُفهم منه.
- لا يصنّف المقال حقول الفاتورة. فهو لا يقول إن اسم المشتري أو رقمه الوطني أو هاتفه يدخل أو لا يدخل في تعريف البيانات الشخصية بحسب القانون، لأن المصدر الذي يعتمد عليه لا يورد نص التعريف.
- لا يقول إن أحد النصين يستثني الآخر. فلا يذكر أن قانون حماية البيانات يعفي بيانات الفواتير من أحكامه، ولا أن نظام الفوترة يعفي البائع من أحكام قانون حماية البيانات.
- لا يقول إن بين النصين تعارضًا. ولا يقول إنهما متوافقان. فالحكم في العلاقة بينهما يحتاج إلى نص أو رأي رسمي لم يرد في الوثائق التي يعتمد عليها المقال.
- لا يتناول مدد حفظ الفواتير. فهذه مسألة ينظمها نظام الفوترة في المادة (8)، ولها مقالها المستقل.
قائمة مراجعة لبيانات المشتري قبل إصدار الفاتورة
ما يمكن ضبطه بثقة هو الجانب الذي توثقه دائرة ضريبة الدخل والمبيعات. والقائمة التالية تعتمد على نظام الفوترة والدليل التقني وحدهما، وتساعدك على معرفة ما تطلبه كل فاتورة من بيانات المشتري.
- حدد نوع البيع. هل هو بيع آجل أو بالتقسيط أو على دفعات؟ في هذه الحالات الثلاث يشترط النظام اسم المشتري بشكل واضح (المادة 5/ب).
- حدد طريقة الدفع في الملف. في فاتورة الذمم يلزم محتوى الاسم أيًا كانت القيمة، وفي النقدية يلزم إذا زادت القيمة على 10,000 دينار أو ما يعادلها.
- اختر نوع المعرّف. العنصر
schemeIDمظلل بالأصفر، وقيمه الثلاث NIN للرقم الوطني وPN للرقم الشخصي لغير الأردني وTN للرقم الضريبي. - راجع العناصر الخضراء. رقم المشتري والرمز البريدي ورمز المحافظة والهاتف اختيارية بحسب تظليل الدليل، ما لم يجعلها شرط آخر واجبًا، كالرقم الضريبي للمشتري في فاتورة المناطق التنموية.
- التزم بقيود الصيغة. رقم المشتري أرقام فقط، والرمز البريدي خمس خانات حدًا أعلى، والهاتف أرقام فقط بين 9 و14 رقمًا.
- طابق بيانات الإرجاع. في فاتورة الإرجاع تكون بيانات المشتري مطابقة لبياناته في الفاتورة الأصلية.
أما أسئلة حماية البيانات نفسها، كالموافقة وسياسة الخصوصية وحقوق أصحاب البيانات، فمرجعها نص القانون والجهة المشرفة عليه. وللصورة الأوسع عن نظام الفوترة وأساسه القانوني، راجع مقال نظام الفوترة الوطني الإلكتروني في الأردن. وإذا كنت تصدر فواتيرك من برنامج محاسبي، فالبرنامج يحتاج إلى ربط بنظام الفوترة الوطني، وبرنامج قيود المحاسبي متكامل مع نظام الفوترة الوطني.
فوترة إلكترونية ومحاسبة متكاملة في نظام واحد
قيود متكامل مع نظام الفوترة الوطني (JoFotara). تُصدر فاتورتك بالدينار الأردني من قيود فتُقيَّد في دفاترك تلقائيًا وتُرسل إلى النظام، وبعد قبولها يعود عليها رمز QR من دائرة ضريبة الدخل والمبيعات.
الأسئلة الشائعة
ما رقم قانون حماية البيانات الشخصية في الأردن وسنته؟
صدر القانون برقم (24) لسنة 2023، ونُشر في الجريدة الرسمية في 17/9/2023. ودخل حيز النفاذ في 17/3/2024 بعد ستة أشهر من نشره، وانتهت مهلة السنة الممنوحة للجهات القائمة بالمعالجة في 17/3/2025.
من الجهة التي تشرف على تطبيق القانون؟
يشرف عليه مجلس حماية البيانات الشخصية برئاسة وزير الاقتصاد الرقمي والريادة. وتعمل داخل الوزارة وحدة لحماية البيانات تتولى الشكاوى والتحقق من الامتثال وسجل المتحكمين والمعالجين.
ما بيانات المشتري التي يشترطها نظام الفوترة في الأردن؟
يشترط نظام تنظيم شؤون الفوترة اسم المشتري بشكل واضح في البيع الآجل أو بالتقسيط أو على دفعات (المادة 5/ب). ويضيف الدليل التقني أن محتوى الاسم إجباري في فاتورة الذمم، وفي الفاتورة النقدية التي تزيد على 10,000 دينار.
هل رقم المشتري الوطني إجباري في الفاتورة الإلكترونية؟
يظلل الدليل التقني قيمة رقم المشتري بالأخضر، أي أنها اختيارية بحسب مفتاح الألوان. أما نوع المعرّف فمظلل بالأصفر. ويوثق الدليل حالة يصبح فيها الرقم الضريبي للمشتري إجباريًا، وهي فاتورة المناطق التنموية.
هل يفرض القانون استضافة البيانات داخل الأردن؟
لا يتضمن القانون بحسب المصدر الذي يعتمد عليه هذا المقال إلزامًا صريحًا بتوطين استضافة بيانات المحاسبة السحابية أو البيانات المالية العامة. لكنه يضع شروطًا لنقل البيانات الشخصية إلى خارج الأردن، وقد تفرض جهات رقابية قطاعية قواعد خاصة على المؤسسات المالية المرخصة.
هل يعفي القانون بيانات الفواتير من أحكامه؟
لا تتناول الوثائق الرسمية التي يستند إليها هذا المقال هذه المسألة، فلا يذكر المقال إعفاءً ولا خضوعًا. ومن يحتاج إلى حكم في حالة بعينها يرجع إلى الجهة المشرفة على القانون أو إلى مستشار قانوني.
المراجع
- قانون حماية البيانات الشخصية رقم (24) لسنة 2023، النص الرسمي المنشور على موقع وزارة الاقتصاد الرقمي والريادة.
- دائرة ضريبة الدخل والمبيعات، نظام تنظيم شؤون الفوترة والرقابة عليها وتعديلاته، النص الموحد.
- دائرة ضريبة الدخل والمبيعات، الدليل التقني للربط مع نظام الفوترة الوطني من خلال واجهة برمجة التطبيقات (API)، الإصدار 1.5.
