حماية البيانات في الجزائر: التنقل في عصر الامتثال 2026
مقال من Buyini – برنامج ERP في الجزائر للمؤسسات الصغيرة والمتوسطة
تُشكّل جمع ومعالجة البيانات الشخصية اليوم أساس كل نشاط تجاري. استمارات الاتصال، قواعد بيانات العملاء، ملفات الموظفين، المدفوعات الإلكترونية — كل تفاعل يُنتج بيانات. وكل بيانة تُحمّل الشركة المسؤولية.
في الجزائر، لم يعد هذا الإطار المسؤولية نظرياً. يُعدّ القانون رقم 18-07 المؤرخ في 10 جوان 2018، المتعلق بحماية الأشخاص الطبيعيين في معالجة البيانات ذات الطابع الشخصي، المكافئ الجزائري للنظام الأوروبي العام لحماية البيانات (GDPR). ومنذ أوت 2023، دخل التطبيق الفعلي حيز التنفيذ، تمارس الهيئة الوطنية لحماية البيانات ذات الطابع الشخصي صلاحياتها في المراقبة والعقاب بشكل كامل.
بالنسبة للشركات الجزائرية، لم يعد الامتثال خياراً. إنه التزام قانوني، وقضية سمعة، وعامل تنافسي.
1. نطاق تطبيق القانون 18-07
ينطبق القانون على أي شخص طبيعي أو اعتباري، عمومي أو خاص، يعالج بيانات شخصية لمواطنين جزائريين، سواء أجريت المعالجة في الجزائر أو من الخارج.
تشمل على وجه الخصوص:
- الشركات ذات المواقع الإلكترونية التي تتضمن استمارات اتصال أو تسجيل
- المتاجر الإلكترونية
- مستخدمي أنظمة إدارة علاقات العملاء (CRM)
- مرسلي النشرات الإخبارية أو الرسائل القصيرة التسويقية
- ناشري تطبيقات الهاتف المحمول التي تجمع بيانات المستخدمين
- الشركات التي تحتفظ بملفات العملاء أو الموردين أو الموظفين
- مستخدمي أدوات تحليل الويب (Google Analytics، إلخ)
تُعتبر بيانة شخصية أي معلومة تمكّن من تحديد هوية شخص: الاسم، الاسم الأول، عنوان البريد الإلكتروني، رقم الهاتف، عنوان IP، الموقع الجغرافي، الصورة، البيانات المصرفية، بيانات الصحة، إلخ.
2. الالتزامات القانونية للشركات
2.1 التصريح أو الترخيص المسبق لدى الهيئة الوطنية
يجب أن يكون أي معالجة للبيانات الشخصية مُصرَّحاً به أو مُرخَّصاً من قبل الهيئة الوطنية قبل بدء التنفيذ. تتطلب المعالجات الحساسة — بيانات الصحة، الأصل العرقي، الآراء السياسية، المعتقدات الدينية، البيانات البيومترية، السوابق العدلية — ترخيصاً مسبقاً إلزامياً.
ينص المادة 28 من القانون على إنشاء سجل وطني لحماية البيانات، تديره الهيئة الوطنية، يُدرج فيه جميع الملفات المصرَّح بها والتراخيص الممنوحة.
2.2 الموافقة الحرة والمستنيرة والصريحة
يجب على المسؤول عن المعالجة الحصول على موافقة مسبقة من الشخص المعني قبل أي جمع. يجب أن تكون هذه الموافقة:
- حرة: مُعطاة دون إكراه
- مستنيرة: يكون الشخص على علم بالغرض، ومدة الاحتفاظ، وحقوقه
- صريحة: خانة اختيار غير محددة مسبقاً، إشارة واضحة في سياسة خصوصية يمكن الوصول إليها
يجب أن تكون الموافقة قابلة للسحب في أي وقت، وأن يكون هذا السحب سهلاً مثل منحها.
2.3 إعلام الأشخاص المعنيين
يجب أن يرافق أي جمع معلومات شفافة تحدد:
| العنصر | الوصف |
|---|---|
| هوية المسؤول عن المعالجة | الاسم التجاري، تفاصيل الاتصال |
| غرض المعالجة | لماذا يتم جمع البيانات |
| مدة الاحتفاظ | إلى متى تُحفظ البيانات |
| حقوق الشخص | الوصول، التصحيح، الاعتراض، الحذف |
| المستلمون | من لديه حق الوصول إلى البيانات |
| تدابير الأمان | كيف تُحمى البيانات |
يجب أن تظهر هذه المعلومات في سياسة خصوصية يمكن الوصول إليها عبر موقع الشركة الإلكتروني.
2.4 التدابير التقنية والتنظيمية للأمان
تفرض المادة 38 من القانون على المسؤول عن المعالجة اتخاذ تدابير تقنية وتنظيمية ملائمة لحماية البيانات ضد:
- التدمير العرضي أو غير المشروع
- الفقدان العرضي
- التغيير
- الكشف أو الوصول غير المصرَّح به
- أي شكل آخر من المعالجة غير المشروعة
يجب أن تضمن هذه التدابير مستوى أمان ملائماً بالنظر إلى المخاطر التي يطرحها المعالج، وطبيعة البيانات المراد حمايتها.
2.5 الاحتفاظ بسجل المعالجات
يجب على الشركة الاحتفاظ بـ سجل لأنشطة المعالجة يفصّل لكل عملية معالجة:
- الغرض
- فئات البيانات والأشخاص المعنيين
- فئات المستلمين
- نقل البيانات إلى دول أجنبية
- آجال الاحتفاظ
- تدابير الأمان المطبقة
2.6 تعيين مسؤول حماية البيانات (DPO)
يجب على الشركات التي تعالج بيانات حساسة أو على نطاق واسع تعيين مسؤول حماية بيانات، داخلي أو خارجي، مكلف بالإشراف على الامتثال ويكون نقطة الاتصال مع الهيئة الوطنية.
2.7 نقل البيانات إلى الخارج
يحظر المادة 44 من القانون نقل البيانات الشخصية إلى دولة أجنبية دون ترخيص مسبق من الهيئة الوطنية. لا يُمنح هذا الترخيص إلا إذا كانت دولة الوجهة تضمن مستوى حماية كافياً، يُقاس بناءً على تشريعاتها، وتدابير أمانها، وخصائص المعالجة.
3. حقوق الأشخاص المعنيين
يعزز القانون 18-07 بشكل كبير حقوق الأفراد على بياناتهم الشخصية:
| الحق | الوصف | مدة الاستجابة |
|---|---|---|
| حق الوصول | الحصول على نسخة من البيانات المحتفظ بها | 30 يوماً |
| حق التصحيح | تصحيح بيانات غير دقيقة أو غير كاملة | 30 يوماً |
| حق الاعتراض | الاعتراض على المعالجة لأسباب مشروعة | 30 يوماً |
| حق الحذف | طلب حذف البيانات | 30 يوماً |
| حق النقل | استلام البيانات بتنسيق منظم | 30 يوماً |
يجب على الشركة وضع إجراء للاستجابة لطلبات ممارسة هذه الحقوق في مدة معقولة، تحدد عموماً بـ 30 يوماً.
4. العقوبات في حالة عدم الامتثال
تملك الهيئة الوطنية ترسانة رادعة بشكل خاص من العقوبات:
العقوبات الإدارية والجزائية
| المخالفة | العقوبة |
|---|---|
| رفض المعلومات أو الوصول أو التصحيح أو الاعتراض | حبس من شهرين إلى سنتين + غرامة من 20,000 إلى 200,000 د.ج |
| انتهاك التزامات الأمان (المادتان 38 و39) | غرامة من 200,000 إلى 500,000 د.ج |
| الاحتفاظ بالبيانات بعد المدة القانونية | غرامة من 200,000 إلى 500,000 د.ج |
| الوصول غير المصرَّح به إلى السجل الوطني | حبس من سنة إلى 3 سنوات + غرامة من 100,000 إلى 300,000 د.ج |
| الكشف عن بيانات حساسة | حبس من سنتين إلى 5 سنوات + غرامة من 200,000 إلى 500,000 د.ج |
| إعاقة عمل الهيئة الوطنية | حبس من 6 أشهر إلى سنتين + غرامة من 60,000 إلى 200,000 د.ج |
في حالة العود، تُضاعف الغرامات. يمكن للهيئة الوطنية أيضاً أن تصدر أمراً بوقف المعالجة أو تأمر بنشر قرارها، مما يؤثر مباشرة على سمعة الشركة.
5. قائمة مراجعة الامتثال للشركات الجزائرية
لتقييم مستوى امتثالك، أجب عن الأسئلة التالية:
التصريح والسجل
- هل صرّحت بمعالجات بياناتك لدى الهيئة الوطنية؟
- هل تحتفظ بسجل محدّث لأنشطة المعالجة؟
- هل حصلت على الترخيص المسبق للمعالجات الحساسة؟
الموافقة والشفافية
- هل تتضمن استماراتك خانة موافقة غير محددة مسبقاً؟
- هل سياسة خصوصيتك متاحة وكاملة؟
- هل تُعلم عملاءك بوضوح عن استخدام بياناتهم؟
الأمان التقني
- هل بياناتك الحساسة مشفرة (في حالة السكون والنقل)؟
- هل يحتوي موقعك على شهادة SSL (HTTPS)؟
- هل نفذت ضوابط وصول وتسجيلاً؟
- هل نسخك الاحتياطية منتظمة ومختبرة؟
التنظيم
- هل عيّنت مسؤولاً لحماية البيانات؟
- هل فرقك على دراية بأمان البيانات؟
- هل لديك إجراء في حالة اختراق البيانات؟
- هل لديك خطة استعادة الأعمال (PRA) وخطة استمرارية الأعمال (PCA)؟
إذا أجبت لا على أي من هذه الأسئلة، فأنت في وضعية عدم امتثال وتعرّض شركتك للعقوبات.
6. الآثار المحددة للشركات الصغيرة والمتوسطة
غالباً ما تُغري الشركات الصغيرة والمتوسطة بالاعتقاد بأن حماية البيانات قضية محصورة بالشركات الكبرى. هذا خطأ. ينطبق القانون 18-07 دون تمييز في الحجم على أي معالجة للبيانات الشخصية.
المخاطر المحددة للشركات الصغيرة والمتوسطة
| المخاطر | الأثر |
|---|---|
| نقص الموارد التقنية المخصصة | ثغرات أمان غير مكتشفة |
| غياب سياسة نسخ احتياطي | فقدان لا رجعة فيه لبيانات العملاء |
| الاستضافة على خوادم غير آمنة | ضعف أمام الهجمات السيبرانية |
| عدم التصريح لدى الهيئة الوطنية | عقوبات إدارية فورية |
| التعهيد غير المُطوَّق | مسؤولية تضامنية في حالة تسريب |
مزايا الامتثال الاستباقي
فوق تجنب العقوبات، يُشكّل الامتثال للقانون 18-07 رافعة ثقة للعملاء وعامل تمايز تنافسي. في الجزائر، حيث يبقى عدم الثقة بالتقنيات الرقمية واضحاً، تكتسب الشركة التي تُثبت التزامها بحماية البيانات أفضلية كبيرة على منافسيها.
7. دور الهيئة الوطنية وآلية عملها
الهيئة الوطنية لحماية البيانات ذات الطابع الشخصي هي هيئة إدارية مستقلة، تتمتع بالشخصية المعنوية والاستقلال المالي والإداري. مقرها الجزائر العاصمة.
التكوين
تتكون الهيئة الوطنية من 16 عضواً، يُعينون بمرسوم رئاسي لولاية مدتها 5 سنوات قابلة للتجديد:
- 3 شخصيات يختارها رئيس الجمهورية
- 3 قضاة يقترحهم المجلس الأعلى للقضاء
- 1 عضو من كل غرفة في البرلمان
- 1 ممثل للمجلس الوطني لحقوق الإنسان
- ممثلون عن وزارات الدفاع، والشؤون الخارجية، والداخلية، والعدل، والاتصالات، والصحة، والعمل
الصلاحيات
تمارس الهيئة الوطنية مراقبة دائمة على معالجة البيانات. يمكنها:
- إجراء تفقدات ميدانية
- طلب الاطلاع على أي وثيقة أو معلومة مفيدة
- إصدار إنذارات رسمية
- فرض عقوبات إدارية وجزائية
- أمر تعليق المعالجة
8. أفضل الممارسات والتوصيات
للمواقع الإلكترونية والتطبيقات
| الإجراء | التطبيق |
|---|---|
| شهادة SSL (HTTPS) | إلزامي لأي موقع يجمع بيانات |
| لافتة ملفات تعريف الارتباط | في حالة استخدام ملفات تعريف ارتباط طرف ثالث (Analytics، Pixel، إلخ) |
| استمارات مطابقة | خانة موافقة غير محددة مسبقاً + رابط سياسة الخصوصية |
| تقليل البيانات | عدم جمع إلا ما هو ضروري بشكل صارم |
| فترة احتفاظ محدودة | حذف البيانات عند انتهاء الغرض |
لإدارة البيانات الداخلية
| الإجراء | التطبيق |
|---|---|
| تشفير قواعد البيانات | AES-256 أو ما يعادله |
| المصادقة القوية | MFA (المصادقة متعددة العوامل) للوصولات الحساسة |
| تجزئة الوصولات | مبدأ أقل الامتيازات |
| تسجيل الوصولات | تتبع كامل للاستشارات والتعديلات |
| اختبارات اختراق سنوية | تحديد استباقي للثغرات |
للتعهيد
عندما تُنفَّذ المعالجة نيابة عن المسؤول عنها، يجب على هذا الأخير اختيار متعهِد يقدم ضمانات كافية فيما يتعلق بالتدابير التقنية والتنظيمية للأمان. يجب عليه التأكد من احترام المتعهِد لهذه التدابير.
لهذا الحكم آثار كبيرة على الشركات التي تستخدم خدمات سحابية أجنبية (Google Workspace، Microsoft 365، AWS، إلخ): يجب على المتعهِد أن يكون قادراً على إثبات امتثاله، ويتطلب نقل البيانات إلى الخارج ترخيصاً مسبقاً من الهيئة الوطنية.
9. الامتثال في سياق قانون المالية 2026
يعزز قانون المالية 2026 الرقمنة للإدارة الضريبية الجزائرية عبر منصة جباياتك. يعني هذا التطور معالجة متزايدة للبيانات الشخصية والمهنية من قبل الشركات: التصريح الإلكتروني بالرواتب، الفوترة الإلكترونية، حفظ البيانات المحاسبية.
في هذا السياق، يصبح الامتثال للقانون 18-07 غير قابل للفصل عن الامتثال الضريبي. الشركة التي ترقّم عملياتها دون تأمين بياناتها تعرّض في آنٍ واحد قابليتها القانونية وقابليتها الضريبية للخطر.
تدمج حلول ERP السحابية العاملة في السوق الجزائري، مثل Buyini، بشكل أصلي متطلبات أمان القانون 18-07: تشفير البيانات، الاستضافة على التراب الوطني، ضوابط الوصول، التسجيل، والامتثال لالتزامات التصريح لدى الهيئة الوطنية.
الخلاصة
دخلت حماية البيانات في الجزائر مرحلة تشغيلية. القانون 18-07، وتعزيز صلاحيات الهيئة الوطنية، والرقمنة المتسارعة للاقتصاد، تخلق بيئة حيث الامتثال لم يعد خياراً للمسؤولية الاجتماعية للشركات، بل متطلباً قانونياً صارماً.
بالنسبة للشركات الجزائرية، يتعلق الأمر بثلاثة تحديات:
- قانوني: تجنب العقوبات الإدارية والجزائية
- اقتصادي: الحفاظ على ثقة العملاء والشركاء
- استراتيجي: تحويل الامتثال إلى ميزة تنافسية
ليست حماية البيانات قيداً. إنها بنية ثقة يُبنى عليها علاقة العميل لغد.