عندما تُثار مسألة الخصوصية وحماية البيانات الشخصية في فلسطين، فعادة ما تكون الإجابة: “لا يوجد قانون حماية بيانات شخصية فلسطيني؛ إذن لا التزام”. وباعتقادي فإن هذه الإجابة متسرعة ومجحفة؛ فالالتزام موجود فعلاً، لكنه متناثر بين أكثر من قرار وقانون، وبعضه قديم ومضى على إصداره سنوات، وبعضه جديد لم يكمل عامه الأول.
الفكرة التي يحتاج كل صاحب عمل أن يستوعبها أن غياب القانون “الشامل” شيء، وغياب “الحماية” شيء آخر تماما.
فجوة تشريعية … لكنها ليست فراغا
حتى لحظة كتابة هذا المقال، لا تملك فلسطين قانونا مستقلا وشاملا لحماية البيانات الشخصية على غرار القوانين الحديثة التي تنظم الموضوع من ألفه إلى يائه: من يملك البيانات، ومن يعالجها، وما حقوق صاحبها، وكم مدة الاحتفاظ بها، وكيف تُنقل، ومن السلطة التي تراقب وتعاقب …إلخ
ما يوجد بدلا من ذلك هو منظومة مُتناثرة بين حق دستوري، وقاعدة عامة في قرار حكومي، ونصوص عقابية في قانون الجرائم الإلكترونية، والتزامات أمنية في قانون المعاملات الإلكترونية، وأخيرا – وهو الأحدث والأهم عمليا – التزام صريح ومباشر في قانون التجارة الإلكترونية. ولأن هذه النصوص لم تُكتب كمنظومة واحدة، فإن من يقرأ كلا منها بمعزل عن الآخر يخرج بانطباع ناقص؛ وأحاول في هذا المقال أن أستقرئها مجتمعة، وأقدم تحليلا قانونيا يضعنا أمام فهم أوضح لالتزامات حماية البيانات الشخصية في فلسطين.
أين تكمن حماية البيانات الشخصية في التشريعات الفلسطينية؟
أولاً: الأساس الدستوري العام للخصوصية
قبل الدخول في النصوص القانونية، لا بد من الإشارة إلى القاعدة الدستورية العامة الواردة في المادة (32) من القانون الأساسي الفلسطيني، والتي تنص على:
“كل اعتداء على أي من الحريات الشخصية أو حرمة الحياة الخاصة للإنسان وغيرها من الحقوق والحريات العامة التي يكفلها القانون الأساسي أو القانون، جريمة لا تسقط الدعوى الجنائية ولا المدنية الناشئة عنها بالتقادم، وتضمن السلطة الوطنية تعويضاً عادلاً لمن وقع عليه الضرر.”
وتتمثل أهمية هذه المادة في كونها تؤسس لفكرة احترام الخصوصية كحق عام؛ وأشير إلى أنه جرى فهمها وتفسيرها فقهياً وقضائياً في سياق الاعتداءات الواقعة من أجهزة الدولة أو الموظفين العموميين على الحريات الأساسية، أكثر من اعتبارها قاعدة تحكم علاقة المستهلك بالتاجر أو علاقة الأفراد والجهات الخاصة في معالجة خصوصية البيانات.
ثانياً: قرار مجلس الوزراء رقم (3) لسنة 2019 – أقدم قاعدة عامة، وأكثرها تجاهلا
قبل أن تتبلور في فلسطين نقاشات أعمق حول الخصوصية وحماية البيانات، كان مجلس الوزراء قد أصدر في أيار 2019 قراراً قصيراً من مادتين، لكنه شديد الدلالة. فقد جاء هذا القرار في مرحلة مبكرة نسبياً، كإشارة تنظيمية إلى أن بيانات المواطنين ليست مادة مباحة للتداول أو النقل أو النشر دون ضوابط، وتنص مادته الأولى على:
“يُحظر استخدام البيانات الشخصية (المباشرة/غير المباشرة) الخاصة بالمواطنين متلقي الخدمة من الشركات والمؤسسات المزودة بها لأغراض تجارية، دون الحصول على إذن مسبق منهم، تحت طائلة المسؤولية القانونية”
تتلخص أهمية هذا القرار في أنه يُرسخ ثلاثة مبادئ دفعة واحدة: (1) حظر الاستعمال التجاري للبيانات؛ (2) اشتراط الإذن المسبق؛ (3) وضع أساس للمسؤولية القانونية. كما يُلاحظ نطاقه الواسع في كونه يخاطب وبصفة العموم كافة الشركات والمؤسسات التي تجمع لديها بيانات المواطنين بحكم تقديمها لخدمة. أي أن من يجمع أرقام عملائه وعناوينهم وسجل الخدمات المقدمة لهم، ثم يستعملها في حملة تسويقية أو يبيعها لطرف ثالث دون إذنهم، يكون مخالفا لهذا القرار.
ورغم أن نطاق القرار ينحصر في نشاط جمع البيانات في سياق تقديم الخدمات ولا يمتد إلى تنظيم جميع صور بيع المنتجات، إلا أنه يظل ذا قيمة مهمة، لأنه يقرر مبدأ عاما قابلا للبناء عليه؛ علماً أن قانون التجارة الالكترونية قد أكد على هذا المبدأ وأغلق هذه الثغرة بحيث شمل كل من الخدمات والمنتجات، كما سيجري بيانه لاحقاً.
المشكلة أن هذا القرار ظل شبه غائب عن الوعي العملي، رغم أنه يصلح – من حيث المبدأ – أساسا للمساءلة. غير أن الإشكالية الحقيقية تكمن في أن هذا الالتزام يبدو في صورته المباشرة التزاما بلا أنياب؛ لأن غياب الجزاء المباشر يُضعف حضوره في سلوك المخاطبين به، ويحوله من واجب قانوني إلى نص محدود الأثر.
ثالثاً: قانون الجرائم الإلكترونية رقم (10) لسنة 2018 وتعديلاته – الطبقة العقابية الرادعة
يُعد هذا القانون عقابي بطبيعته، وينحصر دوره في سياق حماية البيانات والخصوصية في أنه يُجرّم بعض صور الاعتداء على الأنظمة والبيانات والخصوصية ويعاقب عليها، إذ نجد فيه نصوصا تلامس حماية البيانات والخصوصية ومن أهمها:
- المادة (22): تحظر في فقرتها الأولى التدخل التعسفي أو غير القانوني في خصوصيات أي شخص أو في شؤون أسرته أو بيته أو مراسلاته. وتعاقب فقرتها الثانية على نشر أخبار أو صور أو تسجيلات تتصل بالتدخل غير القانوني في الحياة الخاصة أو العائلية، ولو كانت صحيحة. وهذا النص باعتقادي هو أقرب ما في القانون الفلسطيني إلى تكريس عقابي لحق الخصوصية في الفضاء الرقمي.
- المادة (7): تعاقب على التقاط ما يُرسل عبر الشبكة أو إحدى وسائل التكنولوجيا أو تسجيله أو اعتراضه أو التنصت عليه عمدا دون وجه حق.
- المادة (4): تعاقب على الدخول غير المشروع إلى نظام أو موقع أو شبكة، وتشدد العقوبة إذا ترتب على الدخول حذف بيانات إلكترونية أو إفشاؤها أو نسخها أو نقلها أو التقاطها.
- المادة (31): تعاقب على نشر أو إشاعة مضمون أي اتصال أو مكالمة هاتفية أو رسالة هاتفية اطلع عليها الشخص بحكم وظيفته أو سجلها دون سند قانوني.
وتتلخص أهمية هذه النصوص في كونها تُجرّم بعض الأفعال التي تمس البيانات متى أخذت صورة اعتداء غير مشروع. وعليه فالفارق دقيق لكنه مهم، إذ أن حماية البيانات بالمعنى الحديث تتعلق بتنظيم جمع البيانات ومعالجتها وحفظها وحقوق أصحابها، أما هذه النصوص فتتحرك غالبا بعد وقوع الاعتداء.
رابعاً: قانون المعاملات الإلكترونية وخدمات الثقة رقم (17) لسنة 2024 – طبقة الأمن والثقة
ينظم هذا القانون الثقة الرقمية: التوقيع والختم الإلكتروني، والهوية الرقمية، والسجلات والمستندات الإلكترونية، وسلامة المعاملات وما إلى ذلك؛ ورغم أن علاقته بحماية البيانات غير مباشرة إلا أنها حقيقية، ومركزها فكرة الأمن وسلامة البيانات والإبلاغ عن الخروقات:
- المادة (38): تُلزم مقدم خدمات الثقة بحماية البيانات الشخصية ومعالجتها بما يتوافق مع متطلبات الجهات المختصة والتشريعات النافذة (بند 6)، وباتخاذ التدابير اللازمة لإدارة المخاطر وضمان أمن الخدمة (بند 7)، وبإخطار الهيئة والجهات المختصة والمشترك بأي انتهاك أو مساس يخل بأمن وسلامة البيانات فور علمه (بند 8).
- المادة (10): تُدرج ضمن مهام الهيئة الإشرافية وضع ضوابط لحماية مصالح وخصوصية المشترك (بند 6)، كما تتولى الهيئة إبلاغ الجهات ذات العلاقة والمواطنين بالخروقات الأمنية وفقدان البيانات المتعلقة بخدمات الثقة (بند 15).
مع الإشارة إلى أن هذه الالتزامات وعلى الرغم من أنها تؤكد منطق “الأمن والإبلاغ عن الخرق” إلا أنها تظل غير كافية، كونها لا تعتبر قواعد عامة أو شاملة لحماية البيانات، إذ أنها مفصلة على مقاس بيئة خدمات الثقة حصراً؛ وعلى الرغم من أن أثرها العملي محصور في نطاق قطاعي محدد، فقد آثرتُ ذكرها في هذا المقال سعياً لتكوين صورة أقرب ما تكون إلى الوضوح حول مسألة حماية البيانات الشخصية في فلسطين.
خامساً: كيف نظر القضاء الفلسطيني إلى الخصوصية والبيانات الرقمية؟
من المفهوم أن القضاء هو من يمنح النصوص القانونية وزنها العملي وذلك بتفسيرها وتطبيقها واسقاطها على الوقائع محل النزاع؛ وحتى الآن لا يظهر من الأحكام المنشورة أن القضاء الفلسطيني قد بلور اجتهادا مستقلا ومتكاملا في “حماية البيانات الشخصية” بوصفها فرعا قانونيا قائما بذاته، وهو أمر متوقع في ظل غياب قانون شامل أو يتناول هذه المسألة بشكل مباشر على الأقل. لكن المتابع للاجتهادات القضائية يرصد اتجاها واضحا يلامس جوهر الموضوع من بوابة غير مباشرة، ولكنها باعتقادي تصلح للنفاذ منها إلى تكوين فهم أوضح لمسألة حماية البينات في فلسطين.
ففي الطعن الجزائي رقم 424/2023 (الصادر بتاريخ 20/3/2024) نُقض الحكم في أصله لسبب إجرائي، إلا أن محكمة النقض – مشكورةً – قد أضافت تنبيها “نفعا للقانون” يتجاوز وقائع القضية، وهو ما يهمنا في هذا السياق. حيث قالت المحكمة أن استخراج وتفريغ الرسائل من الهاتف – أي الحصول على الدليل الإلكتروني – يجب أن يتم وفق الأصول الخاصة بتفتيش وسائل التكنولوجيا؛ والأهم في لغة الحكم أنه وصف هذا الأمر بأنه يتعلق بـ “المساس بحياة الأفراد الخاصة وأسرارهم”، وأن مخالفة هذه الضوابط “ترتب البطلان لتعلقها بالنظام العام”. كما أشار الحكم إلى قرار نقض سابق في الاتجاه نفسه، بما يوحي بوجود توجه قضائي في طور التبلور.
ثم جاء حكم أحدث، وأقرب إلى تفاصيل الحياة اليومية: الطعن الجزائي رقم 272/2024 (الصادر بتاريخ 10/2/2025)، وخلاصة وقائعه أن نجلا قاصرا صوّر محادثات “واتساب” من هاتف والدته دون رضاها وأرسلها إلى والده وآخرين، فعُرضت تلك الصور دليلا في الدعوى. وواجهت محكمة النقض هذا الدليل بثلاثة نصوص متضافرة: المادة (17) من القانون الأساسي التي تقرّر حرمة المساكن وتُبطل كل ما يترتب على مخالفتها، والمادة (32) من قانون الجرائم الإلكترونية الخاصة بتفتيش وسائل التكنولوجيا، والمادة (273/1) من قانون الإجراءات الجزائية التي تمنع المحكمة من أن تبني حكمها على دليل تم التوصل إليه بطريق غير مشروع. وخلصت إلى أن المحادثات استخرجت من هاتف صاحبتها بلا رضاها، فكان استبعادها من البينة “هو صحيح القانون”.
وقيمة هذين الحكمين لموضوعنا أنهما يقولان الشيء نفسه بصوتين: حتى في غياب قانون حماية بيانات، فإن بيانات الإنسان الرقمية – رسائله ومحادثاته على هاتفه – هي جزء من حياته الخاصة وأسراره؛ والوصول إليها دون رضا صاحبها أو دون سند قانوني هو عمل غير مشروع، وهذا – في جوهره – هو المنطق الذي تقوم عليه فكرة حماية البيانات.
سادساً: قانون التجارة الإلكترونية رقم (21) لسنة 2025 – نقطة التحول العملية
هنا يصبح الكلام موجها لصاحب المتجر الالكتروني مباشرة، وأول ما يلفت النظر أن هذا القانون عرّف “البيانات الشخصية” في مادته الأولى بأنها: “كل بيانات تتعلق بالشخص ويمكن من خلالها مجتمعة أو منفردة التعرف بطريقة مباشرة أو غير مباشرة على هويته أو تحديدها أو الإشارة إليها مهما كان نوعها أو مصدرها”؛ ويعد هذا التعريف واسع وحديث، ويقترب من الفهم الدولي للبيانات الشخصية.
ثم جاءت المادة (18) من ذات القانون بعنوان صريح “حماية البيانات الشخصية”، ولغايات هذا المقال نقرؤها بندا بندا كما يلي:
الفقرة (1) المسؤولية: “يكون المزود الإلكتروني مسؤولا عن حماية البيانات الشخصية ووسائل الاتصال الخاصة بالمستهلك الالكتروني التي تكون تحت عهدته أو عهدة أي من الجهات التي يتعامل معها لغايات تنفيذ العقد الإلكتروني”؛ وتنسجم هذه الفقرة مع الاتجاهات الدولية الحديثة في حماية البيانات، وبخاصة GDPR لا سيما المادة (28) منها، وكذلك معاييرOECD، إذ لا تقف مسؤولية المزود الإلكتروني عند البيانات الموجودة داخل أنظمته فقط، بل تمتد إلى الجهات التي يتعامل معها، مثل شركات الشحن، وبوابات الدفع، ومزودي الاستضافة وخدمات الرسائل …الخ. ونافلة القول إن المزود لا يستطيع التنصل من مسؤوليته بحجة أن البيانات أصبحت لدى طرف آخر، طالما أن هذا الطرف حصل عليها بسبب العلاقة التعاقدية مع المزود.
الفقرة (2) الالتزامات عند جمع البيانات، (ملاحظة: أعدت صياغة النصوص للتبسيط):
- الموافقة: الحصول على موافقة المستهلك قبل جمع بياناته؛ إذ أن مجرد جمع البيانات دون موافقة المستهلك تعد بحد ذاتها مخالفة للقانون.
- تقليل البيانات: جمع البيانات الضرورية اللازمة لإبرام العقد وتنفيذه فقط؛ أي لا تجمع ما لا تحتاجه، ذلك أن طلب بيانات زائدة عن حاجة الصفقة مخالف لهذا المبدأ ومن شأنه أن يضاعف مخاطر الامتثال لاحقا.
- الأمن: اتخاذ كافة الوسائل اللازمة لحماية البيانات والحفاظ على خصوصيتها.
- حظر إساءة الاستعمال والمشاركة: عدم استخدام البيانات المجموعة أو مشاركتها مع أي جهة أخرى لغايات تجارية أو غير تجارية. لاحظ أن مجرد المشاركة – ولو بلا مقابل – ممنوعة دون أساس. ونلاحظ أن هذه الفقرة تتقاطع مع نص قرار مجلس الوزراء رقم (3) للعام 2019 المشار إليه أعلاه وتغلق الثغرة الواردة فيه.
- الإبلاغ عن الخرق: إبلاغ الوزارة والجهات المختصة عن أي خرق يؤدي إلى تسريب بيانات المستهلك حال العلم بالاختراق.
بهذه الفقرات الخمس تكون المادة 18 قد جمعت الموافقة، وتقليل البيانات، والأمن، وتحديد الغاية، والإبلاغ عن الخرق. وهي لبنات أساسية في أي منظومة حماية بيانات؛ ورغم أن النص لم يستخدم عبارة “تحديد الغاية” صراحة، إلا أن هذا المبدأ يظهر ضمنا من حصر جمع البيانات بما يلزم لإبرام العقد وتنفيذه، ومن منع استخدامها أو مشاركتها لغايات أخرى.
الأثر العملي للمادة (18)
يمكن القول إن المادة 18 تؤسس لالتزام قانوني صريح، إلا أننا يجب أن نكون صريحين في توصيف “أنياب” هذا الالتزام؛ إذ من اللافت أن مخالفة أحكام المادة 18 نفسها ليست مدرجة ضمن العقوبات الجزائية المباشرة في المادة (23) من ذات القانون، والتي رتبت عقوبات تتراوح ما بين الغرامات والحبس على مخالفات محددة سنأتي على ذكر بعضها أدناه، إلا أنها لم تخص المادة 18 بعقوبة جزائية مستقلة جراء مخالفة أحكامها.
ويبدو لي أن عدم إفراد المادة (18) بعقوبة جزائية مباشرة هنا مقصودا، لا سهوا؛ فربما آثر المشرع ترك مساحة لمعالجة مسائل حماية البيانات الشخصية بصورة أكثر تفصيلا في تشريع خاص لاحق، خصوصا أن هذا الموضوع يحتاج إلى قواعد أوسع من مجرد نص عقابي.
ورغم ذلك فإنني أرى أن الأثر الحقيقي للمادة يظهر من خلال شبكة النصوص المحيطة بها:
- المادة (15): يجب أن يكون لكل متجر إلكتروني سياسة تتضمن – كحد أدنى – سياسة الخصوصية وحماية البيانات الشخصية، ومخالفة المادة 15 معاقب عليها صراحة بموجب المادة (23/2)، أي أن غياب سياسة خصوصية حقيقية يُعرض المتجر لغرامة مباشرة.
- المادة (7): من شروط تسجيل المتجر تقديم سياسته لاعتمادها من الوزارة، فلا اعتماد دون سياسة، ولا سياسة جدية دون التزام بمضمون المادة 18.
- نصوص الرقابة والتفتيش: للوزارة الرقابة والإشراف والتفتيش على المتاجر (المادة 4/6)، ولهذه الغاية يتمتع موظفوها المكلفون بصفة الضبط القضائي (المادة 22).
- المادة (8): عند مخالفة أحكام القانون توجه الوزارة إنذارا لتصويب الوضع، وللوزير عند عدم التصويب إصدار قرار بإلغاء تسجيل المتجر.
- النصوص الناظمة لقيد المخالفات والإغلاق: تُقيد المخالفات في السجل الخاص بها (المادة 20)، ويمكن إصدار قرار بإغلاق المتجر (المادة 21/1)، مع بقاء حق المتضرر في المطالبة بالتعويض قائما (المادة 21/2).
والخلاصة أن المادة (18) يجب أن تُفهم بتوازن، فهي نص قانوني مُلزم لكنها لا تعني وجود عقوبة جزائية تلقائية على كل إخلال؛ إذ أن قوتها العملية تأتي من اشتراط سياسة الخصوصية المعاقَب على غيابها، ومن سلطات الرقابة والإغلاق، ومن المسؤولية المدنية، ومن النصوص الأخرى المتشابكة معها.
ماذا تعني المادة (18) لمتجرك الإلكتروني؟ – الخلاصة العملية
- لم يعد مقبولا أن يجمع متجرك أرقام الهواتف والعناوين وسجل الطلبات بلا سياسة واضحة ومعلنة.
- يجب أن يعرف العميل لماذا تُجمع بياناته، وأن يوافق على ذلك قبل الجمع.
- اجمع ما تحتاجه للصفقة فقط؛ كل معلومة إضافية تطلبها او تجمعها يجب أن يكون لها مبرر.
- لا تستخدم بيانات العملاء في التسويق ولا تشاركها مع طرف ثالث دون أساس واضح وموافقة.
- يجب أن تكون سياسة الخصوصية مكتوبة بلغة مفهومة تعكس واقع متجرك فعلا، لا نصا منسوخا من موقع أجنبي لا ينطبق على عملك.
- ضع إجراء داخليا واضحا للتعامل مع التسريب أو الاختراق، يتضمن إبلاغ الوزارة والجهات المختصة حال العلم به.
- تذكر أن مسؤوليتك تمتد إلى شركة الشحن وبوابة الدفع ومزود الاستضافة الذين تتعامل معهم.
الخلاصة
قد لا تملك فلسطين حتى الآن قانونا مستقلا لحماية البيانات، لكن صاحب المتجر الإلكتروني لا يستطيع أن يتعامل مع بيانات عملائه كأنها بلا حماية. القاعدة بدأت من قرار حكومي في 2019، ومرت بقانون يعاقب على الاعتداء على الخصوصية والبيانات، وبقضاء يربط بين الدليل الرقمي وحرمة الحياة الخاصة، ووصلت اليوم إلى نص صريح في قانون التجارة الإلكترونية. وفي ظل الوضع الراهن أرى أن المادة 18 تصلح الآن كبوابة عملية لبناء سياسات خصوصية حقيقية، إلى حين صدور قانون شامل.
تنويه
هذا المقال محتوى تثقيفي عام لأغراض التوعية القانونية، ولا يُعد استشارة قانونية ولا يُنشئ علاقة محامٍ وموكل. ويُنصح بطلب المشورة القانونية المتخصصة قبل اتخاذ أي إجراء بناءً على المعلومات الواردة فيه.