من الخروج من النيش إلى حماية فعلية لبيانات المواطنين
كتبت الزميلة الصحفية صفاء عصام عن قضية شديدة الاهمية تمس حياة المواطنين وحقوقهم اليومية وهي قضية حماية البيانات الشخصية. وقد نجح المقال في لفت الانتباه إلى وقائع مقلقة تتعلق بتسجيل خطوط هاتفية باسماء مواطنين دون علمهم وظهور التزامات تمويلية على أولياء أمور دون موافقة واضحة منهم. كما نقل المقال المخاوف المرتبطة بطلب بيانات بيومترية مثل صورة الوجه أو بصمة الإصبع باعتبارها من أكثر البيانات حساسية في حياة المواطنين.
ومن المهم التأكيد على أن طرح هذه القضية لا ينبغي أن يتحول إلى مواجهة مع المقال أو مع وجهات النظر التي تضمنها. فالمقال قدم مدخلا ضروريا إلى نقاش عام يجب أن يستكمل من خلال رؤية أكثر تكاملا تتعامل مع القضية من زاوية الحوكمة وسيادة القانون وتحديد المسؤوليات. فالمشكلة لا تتعلق فقط بوجود قانون لحماية البيانات الشخصية أو بتأخر صدور لائحته التنفيذية. المشكلة تتعلق بقدرة مؤسسات الدولة والقطاع الخاص على تطبيق هذا القانون وتحويل نصوصه إلى اجراءات ملزمة قابلة للرقابة والمحاسبة.
لا خلاف على أن الدولة تحتاج إلى وسائل تحقق حديثة لمواجهة انتحال الشخصية ومنع تسجيل خطوط الاتصالات أو إنشاء التزامات مالية باسماء المواطنين دون علمهم. وقد يكون التحقق البيومتري احد الحلول التي يمكن بحثها في هذا الاطار. لكن اي استخدام للبيانات البيومترية يجب ان يستند إلى ضرورة قانونية واضحة وان يكون متناسبا مع الغرض المطلوب وان يخضع لرقابة مستقلة. فهذه البيانات لا تشبه رقم الهاتف او كلمة المرور التي يمكن تغييرها عند التسريب. المواطن لا يستطيع تغيير وجهه او بصمته اذا وقعت في يد غير مصرح لها.
لذلك فإن السؤال البرلماني لا يجب أن يتوقف عند مدى فاعلية التحقق البيومتري بل يجب أن يمتد إلى الجهة التي ستجمع البيانات والجهة التي ستخزنها والمدة التي ستحتفظ بها والاشخاص الذين يملكون حق الوصول اليها والضمانات المقررة للمواطن في حال وقوع خطأ او تسريب. كما يجب تحديد المسؤولية القانونية عن كل مرحلة من مراحل جمع البيانات ومعالجتها ونقلها واستخدامها.
وقبل الانتقال إلى اجراءات جديدة تتطلب بيانات اكثر حساسية يجب اعلان نتائج التحقيقات في وقائع تسجيل الخطوط دون علم اصحابها. فمن حق المواطن ومن حق البرلمان ان يعرفا اين وقع الخلل وهل كان بسبب انتحال الشخصية ام بسبب اساءة استخدام بيانات المواطنين لدى منافذ البيع ام نتيجة تلاعب من موظفين او وكلاء ام بسبب قصور في اجهزة التفعيل او قواعد البيانات. تحديد مصدر الخلل هو الخطوة الاولى في اختيار الحل المناسب. فلا يمكن معالجة مشكلة مجهولة السبب من خلال اضافة اعباء جديدة على المواطن.
ويمتد الأمر ذاته إلى وقائع التمويل الاستهلاكي التي اشار اليها المقال والتي تضمنت بحسب ما ورد فيه تسجيل تمويلات وعقود باسماء اولياء امور دون علمهم. هذه الوقائع تكشف ان حماية البيانات ليست مسؤولية شركات الاتصالات وحدها. المواطن يترك بياناته لدى المدارس والجامعات والاندية وشركات التمويل وجهات العمل ومقدمي الخدمات. وكل جهة من هذه الجهات يجب ان تكون مسؤولة عن الغرض الذي جمعت من اجله البيانات وعن طريقة حفظها وعن الاشخاص المصرح لهم باستخدامها.
ومن منظور الحوكمة لا يكفي الغاء التمويل او تصحيح السجل الائتماني بعد اكتشاف الواقعة. هذه اجراءات ضرورية لكنها لا تعفي من تحديد المسؤولية عن انشاء الالتزام من البداية. يجب معرفة من تسلم البيانات ومن اعتمد المستندات ومن اثبت الموافقة ومن سمح بتسجيل العقد. كما يجب ان تكون موافقة المواطن صريحة وقابلة للاثبات وان يتمكن من مراجعة البيانات المسجلة عنه والاعتراض على اي استخدام غير مشروع لها وتصحيحها او طلب محوها وفقا للقانون.
وعندما وصف المقال قانون حماية البيانات بانه موجود في النيش فقد عبر عن فجوة حقيقية بين النص القانوني والتطبيق العملي. لكن اخراج القانون من النيش لا يكون فقط باصدار التصريحات او باضافة اجراءات جديدة على المواطنين. اخراج القانون من النيش يعني تفعيل منظومة مؤسسية متكاملة تحدد اختصاصات جهة الرقابة وتلزم المؤسسات بتعيين مسؤول عن حماية البيانات وتفرض تقييم المخاطر قبل تشغيل اي نظام يعتمد على بيانات حساسة وتضع قواعد واضحة للاحتفاظ بالبيانات وحذفها وتقرر عقوبات فعالة على التسريب او الاستخدام خارج الغرض المعلن.
كما أن الحوكمة تقتضي وجود شفافية مؤسسية في التعامل مع هذه الوقائع. يجب على الجهات المختصة اعلان نتائج التحقيقات بصورة مجمعة تحمي خصوصية المتضررين وتوضح عدد الحالات التي ثبتت ومراحل وقوع الخلل والجهات المسؤولة والاجراءات المتخذة لمنع تكرارها. الشفافية ليست موقفا اعلاميا بل هي جزء من حق المواطن في المعرفة واداة اساسية لرقابة البرلمان والمجتمع.
وفي الوقت نفسه يجب ألا تتحول المخاوف المشروعة من اساءة استخدام البيانات إلى رفض كامل للتحول الرقمي. فالدولة تحتاج إلى هوية رقمية ووسائل تحقق امنة لكن هذه الوسائل لا تكون مشروعة وفعالة الا اذا قامت على سند قانوني واضح وعلى مبادئ الضرورة والتناسب وتحديد الغرض وتقليل البيانات والرقابة والمساءلة. التطور التكنولوجي لا يتعارض مع حماية الخصوصية لكن غياب الحوكمة قد يحول التكنولوجيا إلى مصدر جديد للخطر.
ومن موقعي البرلماني أرى أن المرحلة الحالية تتطلب الانتقال من ردود الافعال إلى سياسة عامة واضحة لحماية البيانات. هذه السياسة يجب ان تبدأ من لحظة جمع البيانات وان تحدد الغرض من الجمع ومدة الاحتفاظ ووسائل الحماية والجهة المسؤولة عن الاستخدام وان تضع مسارا سريعا لشكاوى المواطنين وان تضمن حقهم في التصحيح والاعتراض وان تربط اي معالجة لبيانات حساسة بموافقة قانونية واضحة ورقابة قابلة للتحقق.
ما طرحته صفاء عصام يستحق التقدير لانه وضع قضية حماية البيانات في قلب النقاش العام. والإضافة المطلوبة ليست مهاجمة المقال أو رفض ما ورد فيه بل توسيع النقاش من سؤال الخروج من النيش إلى سؤال ما بعد الخروج. هل لدينا مؤسسات قادرة على التنفيذ وهل لدينا رقابة مستقلة وهل يعرف المواطن من يملك بياناته ومن يستخدمها ومن يحاسبه عند اساءة استخدامها؟
القانون يجب ألا يظل محفوظا في النيش ولا يكفي ان يكون موجودا في سجلات الانجاز التشريعي. قيمته الحقيقية تقاس بقدرته على حماية المواطن في المدرسة وشركة الاتصالات وشركة التمويل وكل مكان يطلب منه فيه تقديم بياناته. فالخروج من النيش هو البداية فقط اما الهدف فهو بناء حماية فعلية تضمن الخصوصية وتدعم التحول الرقمي وتحافظ على ثقة المواطنين في مؤسسات الدولة.
