حماية المعطيات ذات الطابع الشخصي في الجزائر: التزامات المؤسسات ودليل العمل التطبيقي

تنبيه تنظيمي: يقدم هذا الدليل إرشادات عملية للمديرين ومسؤولي الموارد البشرية والمالية والإعلام الآلي لهيكلة الامتثال القانوني. ولا يغني عن استشارة محام أو مستشار قانوني مختص، كما تخضع إجراءات التطبيق للمستجدات الصادرة عن السلطة الوطنية لحماية المعطيات ذات الطابع الشخصي (ANPDP).

في معظم المؤسسات، لا يبدأ فقدان السيطرة على المعلومات بهجوم سيبراني معقد. بل يبدأ بعادات عمل يومية تبدو عادية: مئات السير الذاتية المحفوظة دون سقف زمني في علب البريد الإلكتروني، صور بطاقات التعريف البيومترية وصكوك البنوك المتداولة عبر تطبيقات المراسلة العامة، ملفات الرواتب المنسوخة على أقراص فلاش غير مشفرة، أو تقارير داخلية يتم لصقها في أدوات ذكاء اصطناعي مجانية لاستخراج ملخص سريع.

وطالما أن المؤسسة لا تدرك بدقة ما هي المعطيات التي تمتلكها، وأين تنسخ، ومن يملك صلاحية فتحها، وما هي الشركات الخارجية التي تطلع عليها، فإن أي ميثاق داخلي للخصوصية يظل حبرا على ورق.

1. الثغرة التشغيلية في المؤسسات: تداول الملفات دون رقابة

تعد كل معلومة تتيح التعرف على شخص طبيعي، بصورة مباشرة أو غير مباشرة، معطى ذا طابع شخصي بقوة القانون الجزائري. وفي بيئة المؤسسة، يتجاوز هذا المفهوم بكثير مجرد قوائم الزبائن:

• الموارد البشرية والتوظيف: السير الذاتية، الشهادات العلمية، شهادات العمل، رقم الضمان الاجتماعي CNAS، الحالة العائلية، بيانات الحسابات البنكية أو البريدية (RIB/RIP)، وشبكات تقييم المقابلات.
• العلاقات التجارية والمالية: البيانات الاسمية، عناوين البريد الإلكتروني المهنية الفردية، ونسخ وثائق الهوية الخاصة بالمسيرين والشركاء في ملفات الاستثمار.
• الأمن وإدارة الدخول: سجلات تسجيل الحضور والانصراف (البطاقات الإلكترونية، الأجهزة البيومترية)، دفاتر استقبال الزوار، وتسجيلات كاميرات المراقبة.

ويتعين على المؤسسة توثيق خمسة عناصر أساسية لكل عملية معالجة: طبيعة البيانات، الغرض المحدد منها، الأشخاص المخولون بالاطلاع عليها، مدة الحفظ المقررة، والبرمجيات والموردون المشاركون فيها.

2. ما الذي استحدثه القانون رقم 25-11 المؤرخ في يوليو 2025؟

عدل القانون رقم 25-11 المؤرخ في 24 يوليو 2025، المنشور في العدد 48 من الجريدة الرسمية، وتمم القانون التأسيسي رقم 18-07 المؤرخ في 10 يونيو 2018. ويفرض القانون على المؤسسات سبعة التزامات تنظيمية محددة:

1. تعيين مفوض لحماية المعطيات (المادتان 41 مكرر و 41 مكرر 1): أصبح تعيين المفوض واجبا على الهيئات العمومية والخاصة. ويتولى تقديم الاستشارة للإدارة، ومراقبة الامتثال الداخلي، وتوعية الموظفين، والعمل كنقطة اتصال رسمية مع السلطة الوطنية (ANPDP). وتجيز النصوص تعيين مفوض مشترك لعدة فروع تابعة للمجمع نفسه.
2. مسك سجل لأنشطة المعالجة (المادة 41 مكرر 2): يمسك ورقيا أو رقميا، ويتضمن هوية المسؤول والمفوض، غايات المعالجة وسندها القانوني، فئات الأشخاص والبيانات، الجهات المستقبلة، آجال المسح، والتدابير الأمنية المعتمدة.
3. السجل الآلي للعمليات (المادة 41 مكرر 3): في المعالجات الرقمية، يلزم المسؤول والمتعاقد معه بحفظ سجل تقني آلي لعمليات الجمع والاطلاع والتشفير والمسح مع تسجيل التاريخ والتوقيت وهوية المنفذ.
4. سجل خروقات المعطيات (المادة 43): وثيقة رسمية تسجل الحوادث الأمنية المؤثرة على المعطيات الشخصية وتداعياتها والإجراءات التصحيحية المتخذة لمعالجتها.
5. تنظيم نقل المعطيات نحو الخارج: يشترط لنقل المعطيات إلى خوادم خارج التراب الوطني الحصول على ترخيص صريح ومسبق من السلطة الوطنية (ANPDP)، باستثناء الحالات المحددة قانونا. وهذا الشرط ينطبق مباشرة على البرمجيات السحابية المستضافة في الخارج.
6. إجراء التصريح المسبق: تخضع معالجات البيانات لإجراءات التصريح الرسمي لدى السلطة الوطنية قبل الشروع في استخدامها.
7. العقوبات الجزائية والإدارية: تبعا لخطورة المخالفة، قد تصل العقوبات إلى الحبس لمدة خمس سنوات وغرامة مالية قدرها 500 ألف دينار جزائري.

إن أي برنامج سحابي مستضاف خارج الجزائر يضيف التزاما بنقل البيانات نحو الخارج يتطلب ترخيصا رسميا وعقدا يؤطر المقاول الخارجي.

3. دراسة حالة واقعية: تنظيم مسار التوظيف وفرز السير الذاتية

لنتأمل حالة مؤسسة تتلقى 200 سيرة ذاتية إثر إعلان توظيف:

المسار العشوائي عالي المخاطر: تصل السير الذاتية إلى عنوان بريد عام، ويتم توجيهها دون ضوابط لعدة مسؤولين، وحفظها على حواسيب شخصية، ونسيانها لسنوات على أقراص صلبة دون تشفير أو حذف.

المسار المنضبط المطابق للقانون: 1. تجميع طلبات التوظيف في برنامج موارد بشرية مكتبي مثبت على جهاز مخصص، مثل Inara، بدلا من تشتيت الملفات في البريد الإلكتروني. 2. فحص السير الذاتية بنموذج ذكاء اصطناعي يعمل محليا دون إنترنت، بما يضمن عدم خروج المعطيات الاسمية للمترشحين خارج شبكة المؤسسة. 3. تفعيل نمط الفرز الأعمى لإخفاء البيانات التعريفية مؤقتا أثناء التقييم الفني للمهارات، تفاديا للتحيزات البشرية. 4. تطبيق مسح تلقائي عند اختتام الحملة لحذف ملفات المترشحين غير المقبولين بصفة نهائية.

4. نموذج بطاقة معالجة لسجل المؤسسة

يوضح الجدول التالي نموذجا قياسيا لبطاقة معالجة مطابقة لمتطلبات المادة 41 مكرر 2:

5. ثمانية أسئلة يجب طرحها على موردي البرمجيات

1. الموقع الجغرافي للبيانات: هل تستقر المعطيات حصرا داخل أجهزتنا في الجزائر، أم تمر عبر خوادم سحابية في الخارج؟
2. المقاولون الفرعيون غير المصرح بهم: هل تستدعي وظائف التحليل أو الذكاء الاصطناعي واجهات برمجة (APIs) خارجية دون إشعارنا؟
3. الصفة التعاقدية للناشر: هل يملك الناشر وصولا تقنيا عن بعد لقواعد بياناتكم، مما يجعله مقاولا فرعيا بالمعنى القانوني؟
4. السجل التقني الآلي: هل يوفر البرنامج سجلا يوثق هوية من اطلع على الملفات الحساسة أو قام بتصديرها أو حذفها؟
5. الحذف الفعلي: هل يؤدي حذف الملف من واجهة البرنامج إلى إزالته وتدميره فعليا من قاعدة البيانات؟
6. تشفير النسخ الاحتياطية: كيف تتم حماية النسخ الاحتياطية في حال ضياع أو سرقة وسائط التخزين؟
7. استرجاع البيانات: هل تستطيع المؤسسة تصدير كامل أرشيفها بصيغ قياسية ومفتوحة دون رسوم إضافية؟
8. بيئات التدريب: هل تستخدم الدورات التدريبية بيانات تجريبية وهمية معزولة تماما عن البيانات الواقعية للمؤسسة؟

6. خطة عمل تشغيلية في 10 أيام عمل

7. المقاربة الهندسية لبرمجيات LeapDz في ضوء القانون

وفقا لسياسة الخصوصية المعتمدة، لا تقوم LeapDz بجمع أو استضافة أو تمرير أي بيانات صادرة عن البرمجيات المثبتة لدى زبائنها (FinXplorer و Inara و Tajmaat AI). ولذلك لا يوجد أي نقل دولي للمعطيات من جانب الناشر، ولا توجد خوادم تابعة لـ LeapDz تتطلب الإخطار بها كمتعاقد فرعي لدى السلطة الوطنية (ANPDP).

تسهم هذه الهندسة المكتبية المحلية في تيسير إجراءات الامتثال التنظيمي بإلغاء الحاجة لطلب تراخيص معقدة لنقل البيانات عبر الحدود. ومع ذلك، فإنها لا تعفي المؤسسة من مسؤولياتها القانونية كمسؤول معالجة: إعداد التصريح، مسك السجلات، تأمين الأجهزة، والالتزام بآجال الحفظ المحددة.

تعرف على برنامج Inara لإدارة التوظيف المحلي بأمان

الأسئلة الشائعة

هل تخضع المؤسسة الصغيرة التي لا تبيع عبر الإنترنت لهذا القانون؟

نعم، دون أي استثناء. فبمجرد أن تشغل المؤسسة عمالا، أو تتلقى سير ذاتية لمترشحين، أو تحتفظ ببيانات اتصال لشركاء تجاريين، فإنها تنجز معالجات لمعطيات شخصية وتخضع تماما لأحكام القانونين 18-07 و 25-11.

هل يكفي حذف اسم المترشح لجعل السيرة الذاتية مجهولة الهوية تماما؟

نادرا. فرقم الهاتف وعنوان البريد والمسار الوظيفي وتواريخ التخرج تسمح غالبا بإعادة التعرف على الشخص بسهولة. في المقابل، يعد حجب البيانات الاسمية مؤقتا أثناء التقييم الفني الأولي (نمط الفرز الأعمى) ممارسة ممتازة لحيادية التقييم.

ما هي العقوبات المترتبة على عدم الامتثال لأحكام القانون؟

تصل العقوبات الجزائية المنصوص عليها قانونا إلى الحبس لمدة خمس سنوات وغرامة بـ 500 ألف دينار جزائري، إلى جانب التدابير الإدارية التي تقرها السلطة الوطنية. وتعد المبادرة بتنظيم السجلات وتوثيق الإجراءات الخطوة الأولى لإثبات حسن نية المؤسسة أمام الجهات الرقابية.

المصادر والمراجع الرسمية

• الجريدة الرسمية الجزائرية العدد 48: القانون رقم 25-11 المعدل للقانون رقم 18-07 (PDF)
• السلطة الوطنية لحماية المعطيات ذات الطابع الشخصي (ANPDP)
• الإذاعة الجزائرية: شروحات السلطة الوطنية حول مستجدات القانون
• في السلسلة نفسها: الذكاء الاصطناعي المحلي أو السحابي للشركات والتوظيف بالذكاء الاصطناعي وفرز السير الذاتية