الدكتوراه في قانون العقود والعقار ـ إشراف الدكتور إدريس الفاخوري 
ورقة حول حماية المعطيات الشخصية في تونس
- - النّصوص والتّشاريع الدّوليّة والإقليميّة المتعلّقة بحماية المعطيات الشّخصيّة وحماية الحياة الخاصّة:
ومن بين النّصوص المتعلّقة بحماية المعطيات الشّخصيّة، الدّليل الإرشاديّ، الّذي صدر سنة 1980 عن منظّمة التّعاون الاقتصاديّ والتّنمية، والمتعلّق بحماية الحياة الخاصّة وعمليّات نقل المعطيات الشّخصيّة، واتّفاقيّة المجلس الأوروبيّ المؤرّخة في 28 جانفي 1981 والمعروفة بالاتّفاقيّة عدد 108 الخاصّة بحماية الأشخاص تجاه المعالجة الآليّة للمعطيات الشّخصيّة، وكذلك قرار الجمعيّة العامّة للأمم المتّحدة سنة 1990، والإرشاد الأوروبيّ المؤرّخ في 24 أكتوبر 1995 المتعلّق بحماية الأشخاص الطّبيعيّين تجاه معالجة المعطيات الشّخصيّة وقد صدرت أخيرا اللائحة التنظيمية الأوروبية المؤرخة في 27 أفريل 2016 المتعلقة بحماية المعطيات الشخصية و دخلت حيز التنفيذ في 25 ماي 2018.
أمّا بالنّسبة إلى النّصوص المتعلّقة بحماية الحياة الخاصّة، فهي خاصّة الإعلان العالميّ لحقوق الإنسان لسنة 1948[2]، والعهد الدّوليّ الخاصّ بالحقوق المدنيّة والسّياسيّة[3]. كما نصّت بعض التّشاريع الاقليميّة على هذه الحماية، كالاتّفاقيّة الأوروبيّة لحقوق الإنسان المؤرّخة في 4 نوفمبر 1950[4].
وقد أقرّت كلّ التّشاريع الدّوليّة والإقليميّة والوطنيّة جملة من المبادئ، يمكن حوصلتها فيما يلي: مبدأ الشّفافيّة ووجوب إعلام المعنيّ بمعالجة معطياته الشّخصيّة والتّحصيل على موافقته المسبقة والمستنيرة، مبدأ جمع المعطيات الشّخصيّة بطريقة مُعلَنة ومشروعة ولأغراض محدّدة، مبدأ احترام أهداف وأغراض المعالجة، مبدأ ضمان أمان المعطيات الشّخصيّة وسرّيّتها، مبدأ حفظ المعطيات الشّخصيّة لمدّة محدّدة[5].
تشكّل كلّ هذه المبادئ، وغيرها، الإطار القانونيّ الملزم لمختلف عمليات المعالجة للمعطيات الشخصية ,
سنقتصر، في هذا السّياق، على تحليل بعض المبادئ. من بينها مبدأ الشّفافيّة، ووجوب إعلام المعنيّ بمعالجة معطياته الشّخصيّة، والتّحصيل على موافقته المسبقة والمستنيرة. ويقتضي هذا المبدأ أن يتمّ التّحصيل على موافقة المعنيّين على معالجة معطياتهم الشّخصيّة بموجب إرادة حرّة ومستنيرة وصريحة، ما لم يقتضي القانون خلاف ذلك، وعلى أن يتمّ بعد إعلامهم بكلّ وضوح بجميع الظّروف المحيطة بعمليّات المعالجة الّتي ستستهدف معطياتهم الشّخصيّة، ومدّهم بكافة المعطيات الّتي ستمكّنهم من مراقبة العمليّة، كهويّة المسؤول عن المعالجة وأغراضها والمستفيدين منها، وإعلامهم بجميع الإجراءات المتّبعة للغرض، وبحقوقهم، كالحقّ في النّفاذ للمعطيات، وحقّ تحيينها والاعتراض عليها[6].
تم تكريس القواعد والضّوابط الواردة بالنّصوص الدّوليّة والإقليميّة، المذكورة آنفا، في التّشاريع الوطنيّة لعدّة دول، منها فرنسا وتونس والمغرب وغيرها من البلدان[7].
II-النّصوص والتّشاريع الوطنيّة الحالية المتعلّقة بحماية المعطيات الشّخصيّة بتونس:
كرست تونس الحق في حماية المعطيات الشخصية بالدستور منذ شهر جوان 2002 ثم
تم تثبيت هذا التمشي بالدستور التونسي الجديد المؤرخ في 27 جانفي 2014 صلب الفصل 24 منه الذي نص " تحمي الدولة الحياة الخاصة وحرمة المسكن وسرية المراسلات والمعطيات الشخصية " وبالتالي فان الحق في حماية المعطيات الشخصية هو حق دستوري وأحد الحقوق الأساسية بتونس.
كما نجد أساسا لهذه الحماية في القانون الأساسي عدد 63 لسنة 2004 المؤرخ في 27 جويلية 2004 المتعلق بحماية المعطيات الشخصية
الإطار القانوني لحماية المعطيات الشخصية في تونس طبق القانون الأساسي 2004:
تعريف المعطيات الشخصية وأصنافها:
عرف الفصل 4 من القانون الأساسي المعطيات شخصية بأنها " كل البيانات مهما كان مصدرها أو شكلها والتي تجعل شخصا طبيعيا معرّفا أو قابلا للتعريف بطريقة مباشرة أو غير مباشرة باستثناء المعلومات المتصلة بالحياة العامة أو المعتبرة كذلك قانونا وبيّن الفصل 5 بأنه يعد قابلا للتعريف الشخص الطبيعي الذي يمكن التعرّف عليه بصورة مباشرة أو غير مباشرة من خلال مجموعة من المعطيات أو الرموز المتعلقة خاصة بهويته أو بخصائصه الجسمية أو الفيزيولوجية أو الجينية أو النفسية أو الاجتماعية أو الاقتصادية أو الثقافية".
كما صنّف القانون الأساسي المعطيات الشخصية بين عادية، كالهوية و العنوان و رقم الهاتف مثلا وأخضع معالجة هذه النوعية من المعطيات إلى نظام التصريح ، ومعطيات شخصية حساسة كالمعطيات البيومترية أو المتعلقة بالوضعية الصحية أو الجزائية للشخص وأخضع معالجة هذه النوعية من المعطيات إلى نظام الترخيص لخطورتها وتأثيرها على حقوق الشخص وحياته الخاصة.
النظام القانوني للمعطيات الشخصية :
- المعطيات الشخصية هي ملك الشخص المعني بها مهما كان الهيكل الذي يقوم بتجميعها ومعالجتها.
- أقرّ المشرع جملة من الإلتزامات والواجبات المحمولة على الهيكل (المسؤول على المعالجة) الذي يقوم بمعالجة معطيات شخصية كما أقر بعض المبادئ المعتمدة في ميدان حماية المعطيات الشخصية كمبدأ شفافية المعالجة واحترام الأغراض التي جمعت من أجلها المعطيات وأن تكون المعطيات موضوع المعالجة تتناسب وغرض المعالجة كوجوب تأمين سلامة وسرية المعطيات موضوع المعالجة.
كما أقر المشرع كذلك جملة من الحقوق لفائدة أصحاب المعطيات الشخصية (المعنيين بالمعالجة).
* بالنسبة لواجبات الحماية المحمولة على المسؤول عن المعالجة :
المسؤول عن المعالجة هو كل شخص مادي أو معنوي، عمومي أو خاص يقوم بتجميع معطيات شخصية قصد معالجتها لغاية معينة وفي إطار النشاط الذي يقوم به وهو الذي يحدّد أهداف معالجة المعطيات الشخصية وطرقها وقد ألزمه المشرع باحترام عدة واجبات نذكر منها ما يالي:
- واجب الحصول على موافقة الشخص المعني بالأمر عند التحصيل على معطياته الشخصية ومعالجتها.
_ واجب التحصيل على ترخيص لاحالة ونقل المعطيات إلى الخارج,
* بالنسبة لحقوق المعنيين بالمعالجة :
أقر المشرع جملة من الحقوق بالنسبة للمعنيين بالمعالجة وهي الموافقة على تجميع معطياته الشخصية ومعالجتها والإعتراض على المعالجة والحق في النفاذ إلى معطياته الشخصية والحصول على نسخة منها وطلب تحيينها أو فسخها .
- الهيئة الوطنية لحماية المعطيات الشخصية كهيئة تعديلية
أحدث القانون الأساسي هيئة تعديلية في مجال حماية المعطيات الشخصية وهي الهيئة الوطنية لحماية المعطيات الشخصية وتتركب من رئيس يقع اختياره من بين الشخصيات المختصة في المجال وقاضيين أحدهما قاض عدلي والثاني قاض إداري يعمل ثلاثتهم بتفرغ وكامل الوقت وممثلين عن السلطة التشريعية وعن عدد من الوزارات وعن الهيئة العليا لحقوق الإنسان والحريات الأساسية وخبير من بين الخبراء المختصين في مجال تكنولوجيات الاتصال ويقع تعيين رئيس الهيئة وأعضائها بمقتضى أمر لمدة ثلاث سنوات.
وتتمثل مهام الهيئة فيما يلي:
- منح التراخيص وتلقي التصاريح المتعلقة بمعالجة المعطيات الشخصية وسحبها.
- النفاذ بواسطة أعوانها إلى المعطيات الشخصية المضمنة بالسجلات وقواعد البيانات الممسوكة يدويا أو إلكترونيا لغرض المراقبة والتحري.
- تحديد الضمانات الضرورية والتدابير الملائمة لحماية المعطيات الشخصية التي يتعين على المسؤولين على المعالجة التقيد بها وإعداد قواعد سلوكية في المجال .
- تلقي الشكايات المعروضة عليها والمتعلقة بمخالفة أحكام القانون الأساسي المتعلق بحماية المعطيات الشخصية.
- إعلام وكيل الجمهورية بالجرائم التي تعاينها.
- اصدار عقوبات تتعلق بمنع المعالجة أو سحب الترخيص..
- يمكن الطعن في قرارات الهيئة أمام محكمة الإستئناف بتونس في أجل شهر من تاريخ الإعلام بالقرار.
تجاوزت الأحداث الوطنية والإقليمية والدولية القانون الأساسي الحالي بالنظر إلى التطورات التي شهدها مجال الحريات والحقوق الأساسية بصفة عامة بتونس منذ 2011 و بالنظر إلى ما شهدته تقنيات وتكنولوجيا المعلومات والاتصال من تطور هائل ومستمر و وقع ذلك وتأثيره على حقوق وحريات الأفراد سواء كانوا طبيعيين أو معنويين وما نتج عن ذلك من تحديات جديدة في ميدان معالجة المعطيات الشخصية على غرار تطور شبكة الإنترنت، والهواتف الذكية، وبروز نظام "الحوسبة السحابية (Cloud computing) و"البيانات الضخمة" (Big data ) وهي كلها مسائل تقنية يجب على القانون التونسي تأطيرها وحماية المعطيات الشخصية في ظلها.
وبالنظر كذلك لما عرفه نظام حماية المعطيات الشخصية المعتمد بأوروبا من تطور ، وهي تعتبر رائدة في هذا المجال، اتجهت نية المشرع التونسي إلى إصدار قانون أساسي جديد يلغي ويعوض القانون الحالي ويواكب هذه التطورات ، إضافة لعدة اعتبارات أخرى نذكر منها بالخصوص :
- ملاءمة القانون الوطني ومقتضيات أحكام الدستور الجديد.
- ملاءمة القانون الوطني ومقتضيات أحكام الإتفاقية 108 للمجلس الأوروبي المتعلقة بحماية الأشخاص تجاه المعالجة الآلية للمعطيات الشخصية، وإلى بروتوكولها الإضافي رقم 181 الخاص بسلطات المراقبة وانسياب وتدفق المعطيات عبر الحدود، والتي انضمت إليه تونس مؤخرا وذلك بمقتضى القانون الأساسي عدد 42 لسنة 2017 المؤرخ في 30 ماي 2017، وتمت المصادقة على هذا الانضمام بموجب الأمر الرئاسي عدد 75 لسنة 2017 المؤرخ في 30 ماي 2017 وأصبحت تونس عضوة في هذه الاتفاقية منذ 1 نوفمبر 2017.
- صدور اللائحة التنظيمية الأوروبية رقم 2016/967 التي دخلت حيز التنفيذ في 25 ماي 2018 وأدرجت آليا بالنظام التشريعي الوطني لكافة دول الاتحاد الأوروبي وأصبحت بالتالي جزء لا يتجزء منه وهي الآن سارية المفعول بالبلدان المعنية وستوفر حماية عليا للمعطيات الشخصية بالمنطقة الأوروبية ولها تداعيات هامة على ميدان نقل وتبادل المعلومات بين الدول والمؤسسات الأجنبية حيث إتخذ الاتحاد الأوروبي تدابير صارمة للغاية في خصوص نقل المعطيات الشخصية من وإلى أي دولة عضوة به و ستسحب تلك المقتضيات على تعاملاتها لدى تبادل المعطيات الشخصية مع دول خارج الفضاء الأوروبي والتي لا توفر مستوى حماية يعادل المستوى الذي يوفره الاتحاد الأوروبي . وبالتالي، فقد كان من مصلحة بلادنا أن ترتقي إلى مستوى الحماية الذي يوفره الإتحاد الأوروبي أو على الأقل أن تتلاءم معه لضمان عدم استبعادها من التعامل مع هذا الفضاء لما لهذه المسألة من إرتباط وثيق بالمبادلات الاقتصادية و مجال تكنولوجيا الاتصال و انسياب المعلومات.
*الجديد حسب مشروع القانون الأساسي المعروض على السلطة التشريعية:
تضمن مشروع القانون الأساسي المعروض على السلطة التشريعية خاصة التوجهات التالية:
- تكريس استقلالية هيئة حماية المعطيات الشخصية من حيث تركيبتها وتسمية أعضائها وطرق سيرها وميزانيتها وذلك مواكبة لما هو معمول به في التجارب المقارنة والإتفاقية رقم 108 واللائحة التنظيمية الأوروبية رقم 2016/967
- منح الهيئة سلطة تقريرية تتمثل في إصدار قرارات وتوصيات باعتبارها سلطة تعديلية في مجال حماية المعطيات الشخصية و سلطة استشارية في ذات المجال ومنحها كذلك سلطة قضائية درجة أولى خيث مكنها من صلاحية إصدار قرارات تقتصر على العقوبات الإدارية والمالية.
- إخضاع الأشخاص العموميون إلى نظام العام لحماية المعطيات الشخصية ، باعتبار وأن القانون الحالي قد وضع إعفاء شبه تام للذوات العمومية من المراقبة ، باعتبارها لا تخضع لإجراءات التصريح أو الترخيص ، كما أنها غير ملزمة باحترام الحق في النفاذ إلى المعطيات وتصحيحها .
- إقرار الحق في النفاذ غير المباشر فيما يتعلق بالمعالجات ذات الصلة بالأمن الوطني والدفاع الوطنيوالتتبعات القضائية و الصحة ، وفق شروط و إجراءات قانونية محددة و تحت مراقبة الهيئة .
- وجوب تكليف عون بحماية المعطيات الشخصية (DPO) داخل الهياكل المسؤولة عن المعالجة قصد تيسير حق النفاذ وتامين السلامة القصوى عند معالجة المعطيات الشخصية.
- إنشاء علامة "سلامة المعطيات الشخصية". على غرار شهادة المنظمة الدولية للمقاييس (ISO)، وهي علامة تشهد بمقتضاها الهيئة بأن المؤسسة المعنية تمتثل في لمعالجتها للمعطيات الشخصية إلى معايير الحماية و شروطها طبق القانون .
- التخلي عن اشتراط الجنسية التونسية في الذات الطبيعية أو المعنوية لممارسة نشاط معالجة المعطيات الشخصية، باعتبار وأن هذا الشرط تجاوزته الأحداث ومن شأنه أن يفوت على تونس دون وجه حق، الاستثمارات الأجنبية في هذا القطاع الواعد.
- تعزيز حماية المعطيات الشخصية المتعلقة بالصحة باعتبار وأن الأحكام الحالية لم تعد تستجيب لشروط الحماية مع تطور الممارسات الطبية .
- التقليص في العقوبات السالبة للحرية وجعلها تقتصر على الجرائم الخطيرة التي لها مساس بالأمن العام أو الدفاع الوطني مثل نقل المعطيات الشخصية إلى الخارج أو إحالة المعطيات الشخصية الحساسة المتعلقة بالصحة أو بالسجل العدلي. ... مع إعتماد التشديد في العقوبات المالية .
[1] مصطلحا الحياة الخاصة والمعطيات الشخصية هما وإن كانا ذا مفهومين متمايزين إلاّ أنّ حمايتهما أدّت إلى دمجهما وكان الهدف آنذاك هو حماية الفرد من تدّخل وتعسّف الدولة أكثر من حمايته من تعسف الاشخاص إلا أنّ الأمر تغيّر الآن مع ظهور شبكات التواصل الاجتماعي حيث أصبح التعسّف الذي يصدر عن الأشخاص هو الأكثر خطورة.
[2] الفصل 12 من الإعلان : "لا يعرض أحد لتدخل تعسفي في حياته الخاصة أو أسرته أو مسكنه أو مراسلاته أو لحملات على شرفه وسمعته، ولكل شخص الحق في حماية القانون من مثل هذا التدخل أو تلك الحملات".
[[3]]url:#_ftnref3 الفصل 17 من العهد: "لا يجوز تعريض أي شخص، على نحو تعسفي أو غير قانوني، لتدخل في خصوصياته أو شؤون أسرته أو بيته أو مراسلاته، ولا لأيّ حملات غير قانونية تمس شرفه أو سمعته.
من حق كل شخص أن يحميه القانون من مثل هذا التدخل أو المساس".
من حق كل شخص أن يحميه القانون من مثل هذا التدخل أو المساس".
[4] الفصل 8 من الاتفاقية "لكل شخص الحق في احترام حياته الخاصة والعائلية ومحل سكناه ومراسلاته".
[5] نصّ الفصل 45 من القانون الأساسي التونسي عدد 63 لسنة 2004 المؤرخ في 27 جويلية 2004 : "يجب اعدام المعطيات الشخصية بمجرد انتهاء الأجل المحدد لحفظها بالتصريح أو بالترخيص أو بالقوانين الخاصة أو في صورة تحقق الغرض الذي جمعت من أجله أو إذا لم تعد ضرورية لنشاط المسؤول عن المعالجة. ويحرّر في ذلك محضر رسمي بواسطة عدل منفذ وبحضور مختص تعينّه الهيئة. وتحمل أجرة المختص التي تقدرها الهيئة وكذلك مصاريف العدل المنفذ على المسؤول عن المعالجة".
[6] الفصول 27 و28 و31 من القانون الأساسي التونسي عدد 63 لسنة 2004 المؤرخ في 27 جويلية 2004، والفصل 32 من القانون الفرنسي عدد 17 لسنة 1978 المؤرخ في 5 جانفي 1978.
[7] فرنسا كرست هذه المبادئ والضوابط في القانون المؤرخ في 6 جانفي 1978 وبالنسبة لتونس في القانون الأساسي المؤرخ في 27 جويلية 2004 أما بالنسبة للمغرب فقد تم تكريسها في القانون المؤرخ في18 فيفري 2009.
