محجوب الجلاصي: لمحة عن الإطار التشريعي لحماية المعطيات الشخصية بتونس

لقد عملت البلاد التونسية على إقرار الحق في حماية المعطيات الشخصية وأكدت على هذا الحق في دستور 1959 بعد تنقيحة سنة 2002، ثم وردضمن الفقرة الأولى من الفصل 24 من دستور 2014 ما مفاده أن الدولة تحمي الحياة الخاصة، وحرمة المسكن، وسرية المراسلات والاتصالات والمعطيات الشخصية.

أما على مستوى التشريعات فقد تم إصدار القانون الأساسي عدد 63 لسنة 2004 المؤرخ في27 جويلية 2004 المتعلق بحماية المعطيات الشخصية وهو النص الساري المفعول حاليا.فما هي أهم الأحكام التي جاء بها هذا التشريع والى أي مدى يمكن القول بتوفّقهفي توفير الحماية اللازمة؟

في البداية يتجه القول بأن هذا القانون حسب ما ورد في جلسة المصادقة عليه بالبرلمان قد كانت الغاية منه هو"العمل على مواكبة التطور والاستئناس بعديد التجارب المقارنة الناجحة في مجال حماية المعطيات الشخصية "و قد ورد ضمن شرح الأسباب المتعلق به ما مفاده أنّ"الحياة الخاصة لا تقوم فقط على مفهوم الحق في الحماية الجسدية بل أيضا على أدق التفاصيل المتصلة بالإنسان، وأن المجتمع الحديث، باعتباره مجتمع المعلومات، فقد الزمن والمكان لديه معناهما".

والمعطيات الشخصية على معنى القانون هي تلك التي تتعلق بالحياة الخاصة للشخص، ويمكن من خلالها التعرف على هويته وخصائصه الذاتية، والتي يفترض أن لا يطلع عليها إلا الأشخاص الذين يرضى المعني بالأمر باطلاعهم عليها. وفي هذا الإطار يتجه التمييز بين المعطيات الشخصية العادية والمعطيات الشخصية الحساسة.فالمعطيات الشخصية العادية هي المتعلقة بخصوصيات الشخص وخاصياته ومميزاته، وهي تتصل بحياته الخاصة، ويمكن حسب المشروع أن تقع معالجتها بعد الحصول على الموافقة من المعني بالأمر، على أن يقع التصريح بالمعالجة إلى الهيئة الوطنية لحماية المعطيات الشخصية.أما المعطيات الحساسة، فهي تلك المتعلقة بالأصول العرقية أو الجينية أو المعتقدات الدينية أو الأفكار السياسية أو الفلسفية أو النقابية أو التي لها علاقة بالصحة، وتخضع من حيث معالجتها إلى نظام الترخيص المسبق إلى جانب الموافقة الشخصية من المعني بالأمر.

وتشمل المعالجة التي جاء بها القانون عدة عمليات تهدف إلى جمع المعطيات وجعلها قابلة للاستغلال في أوجه عديدة. فهي تشمل جميع العمليات المنجزة سواء بطريقة آلية أو غير آلية من شخص طبيعي أو معنوي والتي تهدف خاصة إلى جمع معطيات شخصية أو تسجيلها أو حفظها أو تنظيمها.

وقد سعى هذا التشريع إلى تحقيق النجاعة والفاعلية مع توفير الضمانات لتمارس معالجة المعطيات الشخصية بشكل يضمن الموازنة بين تقدم التعامل بوسائل الاتصال الحديثة وبين عدم المساس بعناصر الحياة الخاصة. ومن بين تلك الضمانات يمكن أن نذكر:

• ضرورة موافقة المعني بالأمر على أن تتم معالجة المعطيات الشخصية المتعلقة به، وتشترط هذه الموافقة مبدئيا في جميع صور المعالجة. وقد جعل المشرع من موافقة المعني بالأمر على معالجة معطياته الشخصية حجر الزاوية في كامل النظام، ولم يعف من هذا الشرط إلا فيأحوال استثنائية.
• حق الرجوع في الموافقة.
• وجوب الإعلام السابق بالمعالجة، إذ أوجب المشرع إعلام المعني بالأمر بالمعالجة قبل وقوعها، وإثبات هذا الإعلام بوسيلة تترك أثرا كتابيا.
• حق المعني بالأمر في النفاذ إلى معطياته الشخصية بعد أن خوّل القانون للمعني بالأمر النفاذ إلى البطاقات المتضمنة لمعطياته الشخصية، ومنع الحدّ من هذا الحق أو الحرمان منه إلا في صور استثنائية تقتضيها مصلحة المعني بالأمر نفسه، كما اقتضى عدم صحة كلّ تنازل مسبق عن هذا الحق.
• حق الاعتراض على المعالجة.
• يجب أن تتم المعالجة في إطار احترام الحياة الخاصة والكرامة الإنسانية.
• يجب أن تتم المعالجة لغايات مشروعة ومحددة وواضحة.
• يجب أن تتم المعالجة بكامل الأمانة، مع الاقتصار على معالجة ماهو ضروري لنشاط المسؤول عن المعالجة.
• وجوب جمع المعطيات من المعنيين بالأمر مباشرة، ولم يجز القانون جمعها عنهم من الغير إلا في صور استثنائية.
• أوجب المشرع إعدام المعطيات بمجرد تحقق الغاية من معالجتها أو انتهاء أمد الاحتفاظ بها.
• حجّر المشرع مبدئيا إحالة المعطيات الشخصية إلى الغير، عدا صورة الموافقة من قبل المعني بالأمر أو إحالة المعطيات إلى السلط العمومية لإنجاز المهام الموكولة إليها قانونا أو إذا كانت الإحالة تهدف إلى تحقيق مصلحة عامة أو إلى تيسير إنجاز أبحاث علمية أو تاريخية. كما يمكن أن تتم الإحالة بمجرد ترخيص من الهيئة الوطنية لحماية المعطيات الشخصية ودون الحصول على موافقة المعني بالأمر إذا كان في ذلك تحقيق لمصلحته أو إذا كانت الإحالة ضرورية لتنفيذ عقد كان المعني بالأمر طرفا فيه.
• يحجر نقل المعطيات إلى الخارج إذا كان من شأنه المساس بأمن البلاد أو بمصالحها الحيوية، وذلك خاضع إلى ترخيص الهيئة إلى جانب موافقة المعني بالأمر إذا لم يكن له هذا الأثر.
• يطالب المسؤول عن المعالجة بالتحري حول دقة المعطيات وصحتها وبالحرص على تحيينها وتصحيحها عند الاقتضاء، كالإشارة إلى أنها محل نزاع.
• يجب على المسؤول عن المعالجة أن يتخذ جميع الاحتياطات اللازمة للحفاظ على سرية المعطيات.
• منع المشرع الابتزاز للحصول على موافقة المعني بالأمر على معالجة معطياته الشخصية، حفاظا على حريته في اتخاذ القرار بالرفض أو بالموافقة.
• يمكن للهيئة عندما تأذن بمعالجة المعطيات الشخصية الحساسة أن تطلب من المسؤول عن المعالجة اتخاذ الاحتياطات اللازمة لحماية مصلحة المعني بالأمر.

كما وضع المشرع ضمانات أخرى تتعلق بشخص المسؤول عن المعالجة والمناول وأعوانهما، للتأكد من نزاهتهم وتلافي خطر سوء توظيف المعطيات الشخصية، حيث اشترط فيهم الجنسية التونسية والإقامة بالبلاد التونسية ونقاوة السوابق العدلية. كما أوجب إعلام الهيئة في آجال معقولة بالتوقف عن نشاط المعالجة،حتى يتم اتخاذ الاحتياطات الملائمة لإعدام المعطيات أو تحديد مآلها.

من جهة أخرى وضع هذا القانون نظاما خاصا لمعالجة المعطيات الحساسة وهي المعالجة لأغراض البحث العلمي، أو التي لها علاقة بالصحة. وبالنظر إلى ما لهذه العمليات من أهمية، فقد أحاطها المشرع بجملة من الضوابط والقيود والضمانات.

أما بالنسبة إلى المعطيات المتعلقة بالحالة الصحية للشخص،فقد اقتضى المشرع أن معالجتها لا تستوجب الترخيص من الهيئة الوطنية لحماية المعطيات الشخصية أو موافقة المعني بالأمر الكتابية.

وبالإضافة إلى كل ذلك فقد أحدث هذا القانون  "الهيئة الوطنية لحماية المعطيات الشخصية" التي تقوم بدور أساسي في ضمان حماية المعنيين بالأمر من المعالجة غير المشروعة أو التعسفية لمعطياتهم الشخصية، وذلك بتسليط رقابة سابقة أو متزامنة مع عملية المعالجة، من خلال تلقي التصاريح أو النظر في مطالب منح التراخيص بالمعالجة.

وقد أسند القانون لهذه الهيئة مهمة السهر على حماية المعطيات الشخصية وحقوق أصحابها،وهي تتركب من ممثّلي الجهات الرسمية المعنية ومن ممثّلي المجتمع وهيئاته. ولممارسة صلاحياتها المذكورة، تتمتع بسلطات واسعة تخوّل لها البحث والتحري وإجراء الاختبارات وسماع من ترى فائدة في سماعه، ولا يمكن معارضتها بالسر المهني.وتنظر الهيئة في مطالب الترخيص في المعالجة التي تعرض عليها بالنسبة إلى المعالجات التي تستوجب الترخيص، ولها صلاحية التحري حول الطالب والمطلوب، كما تنظر في الشكايات المعروضة عليها في إطار مجال اختصاصها.

وتقبل قرارات الهيئة الطعن لدى محكمة الاستئناف بتونس، ويمكن توقيف تنفيذ قراراتها من قبل الجهة القضائية المتعهدة تلافيا لتفاقم الضرر الناجم عنها. ويتم التعقيب أمام محكمة التعقيب.

أما عن الجانب الردعي لهذا القانون فقد وضع المشرع مجموعة من العقوبات منها ما هو سالب للحرية الى جانب بعضالعقوبات الماليةالتي تتفاوت بحسبنوعية المخالفات، وذلك بالإضافة إلى بعض العقوبات التكميلية.

وقــد أجــاز هذا القانون إبـــرام الصلــح في بعــض الجرائــم المنصــوص عليهــا فيـــه، باستثناء الجرائــم ذات الخطـــورة الخاصــة التي تمــس بالمجتمــع برمتــه، وأهمهــا جريمــة نقل المعطيــات الشخصيــة إلى الخارج بمــا من شأنـــه المســاس بالأمــن العــام أو بالمصالــح الحيويــة للبـــلاد.

ولتطبيق هذا القانون الهام على أحسن وجه صدرالأمر عدد 3003 لسنة 2007 المؤرخ في 27 نوفمبر 2007 المتعلق بضبط طرق سير الهيئة الوطنية لحماية المعطيات الشخص والأمر عدد 3004 لسنة 2007 المؤرخ في 27 نوفمبر 2007 المتعلق بضبط شروط وإجراءات التصريح والترخيص لمعالجة المعطيات الشخصية، ثمّالأمر عدد 1753 لسنة 2008 المؤرخ في 5 ماي 2008المتعلق بتعيين رئيس وأعضاء الهيئة.

غير أنه رغم أهمية هذا القانون الأساسي وما جاء به من أحكام لحماية المعطيات الشخصية الا أنه أصبح غير متلائم مع التطورات الكبيرة التي عرفها العالم في هذا المجال خاصة في الدول الأوروبية، ولذلك فقد أصبح البعض ينادون بضرورة إصدار قانون أساسي جديد يواكب هذه التطورات وذلك لعدة اعتبارات منها بالخصوص:

• انضمام تونس إلى الاتفاقية رقم 108 للمجلس الأوروبي المتعلقة بحماية الأشخاص تجاه المعالجة الآلية للمعطيات الشخصية، وإلى بروتوكولها الإضافي رقم 181 الخاص بسلطات المراقبة وانسياب وتدفق المعطيات عبر الحدود، وذلك بمقتضى القانون الأساسي عدد 42 لسنة 2017 المؤرخ في 30 ماي 2017، وتمت المصادقة على هذا الانضمام بموجب الأمر الرئاسي عدد 75 لسنة 2017 المؤرخ في 30 ماي 2017.
• صدور اللائحة التنظيمية الأوروبية رقم 967/2016 التي دخلت حيز النفاذ في المجال الأوروبي في 25 ماي 2018 والتي تنطبق بصفة آلية على مستوى الدول الــ 47 معوّضة بالتالي التشريعات الوطنية السارية في تلك الدول.واعتبارا من هذا التاريخ أصبحمن واجب المنطقة الأوربية توفير حماية عليا للمعطيات الشخصية، ولهذا السبب، أصبح على الاتحاد الأوروبياتخاذ  تدابير صارمة للغاية في خصوص نقل معطيات تتعلق بالأشخاص من أيّ دولة عضوة به أو إليها وتسحب بالتالي تلك المقتضيات على تعاملات هذه الدول عند تبادل المعطيات الشخصية مع الدول الخارجة عن الفضاء الأوروبي. وبالتالي، أصبح من الضروري أن ترتقي تونس إلى مستوى الحماية الذي يوفره الاتحاد الأوروبي أو على الأقل أن تتلاءم معه لضمان عدم استبعادها من التعامل مع هذا الفضاء لما لهذه المسألة من ارتباط وثيق بفرص الاستثمارو بالمبادلاتالاقتصادية وبمجال تكنولوجيا الاتصال وانسياب المعلومات، وبالتحديد مع الدول الأكثر شراكة مع تونس.

وتفاعلا مع جملة هذه الاعتبارات قامت الحكومة بتقديم مشروع قانون أساسي جديد إلى مجلس نواب الشعب تحت عدد 25/2018 يتضمّن بعض الأحكام الجديدة لعلّ أهمها ما يلي:

• التخلي عن اشتراط الجنسية التونسية بالنسبةللذوات الطبيعية أو المعنوية لممارسة نشاط معالجة المعطيات الشخصية، باعتبار وأنّ هذا الشرط تجاوزته الأحداث ومن شأنه أن يفوّت على تونس ودون وجه حق الاستثمارات الأجنبية.
• إخضاع الأشخاص العموميين إلى نظام عام لحماية المعطيات الشخصية باعتبار وأنّ القانون الحالي قد وضع إعفاء شبه تام للذوات المعنوية من المراقبة، إذ لا تخضع لإجراءات الاعلام أو الترخيص، كما أنها غير ملزمة باحترام الحق في النفاذ الى المعطيات وتصحيحها.
• تعيين مكلف بحماية المعطيات الشخصية صلب الهياكل المسؤولة عن المعالجة قصد تيسير حق التعامل معها من قبل المعنيين بمعالجة معطياتهم الشخصية وضمان حق نفاذهم لها مع تأمين السلامة القصوى عند المعالجة.
• تحجير إحالة المعطيات الشخصية إلى الغير دون موافقة الشخص المعني بالمعالجة، الا إذا كانت المعطيات موضوع الإحالة ضرورية لتنفيذ المهام الموكلة إلى السلطات العمومية في إطار الأمن العام أو الدفاع الوطني أو المصالح النقدية للدولة أو إذا اتضح أنها ضرورية للقيام بالتتبعات الجزائية طبقا للتشريع الجاري به العمل.
• إرساء إطار قانوني لإرساء منظومتي المراقبة البصرية للطريق العام بالكاميرات المركزة والكاميرات المحمولة وهي مسألة ضرورية في إطار التحديات المطروحة في بلدنا، ويتضمن المشروع أحكاما تمكّن الأشخاص العموميين المكلفين بالأمن والدفاع فحسب من هذا النوع من المراقبة البصرية.
• وضع الإطار العام "للمعرف الوحيد للمواطن" الذي هو بصدد التركيز بالتنسيق بين وزارة الشؤون المحلية والبيئة والمركز الوطني للاعلامية بما يسهل على المواطن تعاملاته الإدارية اليومية،بما يمكن من تقليص آجال تقديم الوثائق والخدمات.
• تعويض "الهيئة الوطنية لحماية المعطيات الشخصية" الحالية بــ "هيئة حماية المعطيات الشخصية" مع إرساء دعائم استقلاليتها من حيث تركيبتها وطرق سيرها وميزانيتها وذلك مواكبة لما هو معمول به في التجارب المقارنة والاتفاقية رقم 108 واللائحة التنظيمية الأوروبية رقم 967/2016 وذلك بمنحها صلاحية قضائية باعتبارها هيئة قضائية ابتدائية الدرجة تصدر عقوبات إدارية مالية يتم استئنافها أمام المحكمة الإدارية الاستئنافية بتونس، وكذلك صلاحية تقريرية تتمثل في إعداد توصيات وفي إصدار قرارات باعتبارها سلطة تعديلية في مجال حماية المعطيات الشخصية، ويتم الطعن في مختلف قراراتها فيما عدى القضائية منها بدعوى تجاوز السلطة أمام المحكمة الإدارية الابتدائية بتونس، هذا بالإضافة إلى صلاحيتهاالاستشارية.

كما كان من أهم أهداف هذا المشروع التقليص من العقوبات السالبة للحرية وجعلها تقتصر على الجرائم الخطيرة التي لها مساس بالأمن العام أو الدفاع الوطني مثل تحويل المعطيات الشخصية إلى الخارج أو إحالة المعطيات الشخصية الحساسة المتعلقة بالصحة أو بالسجل العدلي، مع اعتماد التشديد في العقوبات المالية.

ونظرا لأهمية ما جاء في هذا المشروع من أحكام لضمان حماية أكثر نجاعة للمعطيات الشخصية في ظل ما أفرزه الواقع من نقائص مع القانون الأساسي لسنة 2004 ،فقد دعا رئيس الهيئة الوطنية لحماية المعطيات الشخصية في إحدى تصريحاته الى تسريع مجلس نواب الشعب بالمصادقة عليهفي أقرب وقت ممكن ، مضيفا أنه في حال عدم حصول ذلك" فإنّ المؤسسات الاقتصادية الموجودة في اوروبا لن يمكنها التعامل مع تونس"وأنّ ذلك "سيضرّ بالاقتصاد التونسي".

محجوب الجلاصي
مستشار بمجلس نواب الشعب