إدراج قانون حماية البيانات الشخصية على جدول أعمال «النواب» الأسبوع المقبل

حصلت «المصرى اليوم» على تقرير اللجنة المشتركة من لجنة الاتصالات، ومكاتب لجان الشؤون الدستورية والتشريعية، والخطة والموازنة والدفاع والأمن القومى بمجلس النواب، عن مشروع القانون المقدم من الحكومة الخاص بحماية البيانات الشخصية والمزمع مناقشته الأسبوع المقبل بالجلسة العامة.
وكشفت المذكرة الإيضاحية للقانون عن خلو التشريعات المصرية من أى إطار قانونى ينظم عملية حماية البيانات الشخصية المعالجة إلكترونيًا أثناء جمعها أو تخزينها أو معالجتها، وأن هذا القانون جاء لينظم التعامل مع البيانات الشخصية للأفراد على نطاق واسع، بحيث يكشف عن صور حق الأشخاص فى حماية البيانات الشخصية لهم، ويجرم جمع البيانات الشخصية بطرق غير مشروعة أو بدون موافقة أصحابها، كما يجرم معالجتها بطرق تدليسية أو غير مطابقة للأغراض المصرح بها من قبل صاحب البيانات، كما يتناول القانون أيضا تنظيم نقل ومعالجة البيانات عبر الحدود بما يعود بالنفع على المواطنين وعلى الاقتصاد القومى ويسهم فى حماية الاستثمارات والأعمال، كما يتوافق مع المعايير الدولية فى مجالات حماية البيانات الشخصية، وذلك من خلال قواعد ومعايير واشتراطات يضعها ويباشر الإشراف عليها المركز المنشأ لهذا الغرض.
وجاء مشروع القانون فى 49 مادة، أبرزها ما طرأ على المادة الأولى التى جاءت من الحكومة بإعادة صياغة تعريف البيانات الشخصية الحساسة ليصبح: بيانات الصحة النفسية أو العقلية أو البدنية أو الجينية، أو بيانات القياسات الحيوية «البيومترية» أو البيانات المالية أو المعتقدات الدينية أو الآراء السياسية أو الحالة الأمنية، وفى جميع الأحوال تُعد بيانات الأطفال من البيانات الشخصية الحساسة. وطبقًا للمادة الثانية، لا يجوز جمع البيانات الشخصية أو معالجتها أو الإفصاح أو الإفشاء عنها بأى وسيلة من الوسائل إلا بموافقة صريحة من الشخص المعنى بالبيانات أو فى الأحوال المصرح بها قانونًا، ويكون للشخص المعنى بالبيانات حق العلم والاطلاع والوصول والحصول على البيانات الشخصية الخاصة به الموجودة لدى أى حائز أو متحكم أو معالج، والعدول عن الموافقة المسبقة على الاحتفاظ أو معالجة بياناته الشخصية، والتصحيح أو التعديل أو المحو أو الإضافة أو التحديث للبيانات الشخصية، وتخصيص المعالجة فى نطاق محدد، والعلم والمعرفة بأى خرق أو انتهاك لبياناته الشخصية.
وألزمت المادة الثالثة لجمع ومعالجة البيانات الشخصية والاحتفاظ بها، بأن تجمع لأغراض مشروعة ومحددة ومعلنة للشخص المعنى، وأن تكون صحيحة وسليمة، وأن تعالج بطريقة مشروعة وملائمة للأغراض التى تم تجميعها من أجلها، وألا يتم الاحتفاظ بها لمدة أطول من المدة اللازمة للوفاء بالغرض المحدد لها.
فيما ألزمت المادة الرابعة المتحكم بالحصول على البيانات الشخصية أو تلقيها من الحائز أو من الجهات المختصة بتزويده بها بحسب الأحوال بعد موافقة الشخص المعنى بالبيانات، أو فى الأحوال المصرح بها قانونًا، والتأكد من صحة واتفاق وكفاية البيانات الشخصية مع الغرض المحدد لجمعها، واتخاذ كافة الإجراءات التقنية والتنظيمية وتطبيق المعايير القياسية اللازمة لحماية وتأمين البيانات الشخصية حفاظًا على سريتها وعدم اختراقها أو إتلافها أو تغييرها أو العبث بها قبل أى إجراء غير مشروع، ومحو البيانات الشخصية لديه فور انقضاء الغرض المحدد منها، ووصف الإجراءات التقنية والتنظيمية الخاصة بأمن البيانات، والحصول على ترخيص أو تصريح من المركز للتعامل مع البيانات الشخصية المشروعة، ما لم يتعارض ذلك مع الحقوق والحريات الأساسية للشخص المعنى بالبيانات.
ومن أبرز التعديلات إعادة صياغة البند السابع فى المادة الخامسة ليصبح «عدم إجراء أى معالجة للبيانات الشخصية تتعارض مع غرض أو نشاط المتحكم فيها. إلا إذا كانت البيانات الشخصية لغرض إحصائى أو تعليمى أو لا يهدف للربح ودون الإخلال بحرمة الحياة الخاصة».
وألزمت المادة 7 المتحكم والمعالج، حال علمه بوجود خرق أو انتهاك للبيانات الشخصية لديه، بإبلاغ المركز خلال 24 ساعة من تاريخ الواقعة، والذى يقوم بدوره بالإخطار الفورى لجهات الأمن القومى بالواقعة.
وتم استحداث مادة برقم (25) تسمح لمركز حماية البيانات الشخصية بالتنسيق مع السلطات المختصة بالتعاون مع نظرائه بالبلاد الأجنبية فى إطار اتفاقيات التعاون الدولية والإقليمية والثنائية أو بروتوكولات التعاون المصدق عليها.
وطبقا للمادة 33 يكون للعاملين بالمركز، الذين يصدر بتحديدهم قرار من وزير العدل بناءً على اقتراح الوزير المختص، صفة الضبطية القضائية فى إثبات الجرائم التى تقع بالمخالفة لأحكام هذا القانون. وتم دمج المادتين (35 و36) من مشروع القانون فى المادة (37)، وتمت إعادة صياغتها لتصبح «يعاقب بغرامة لا تقل عن مائة ألف جنيه ولا تجاوز مليون جنيه كل حائز أو متحكم أو معالج جمع أو عالج أو أفشى أو أتاح أو تداول بيانات شخصية معالجة إلكترونيًا بأى وسيلة من الوسائل فى غير الأحوال المصرح بها قانونًا أو بدون موافقة الشخص المعنى بالبيانات. وتكون العقوبة الحبس مدة لا تقل عن ستة شهور وبغرامة لا تقل عن مائتى ألف جنيه ولا تجاوز مليونى جنيه أو بإحدى هاتين العقوبتين إذا اُرتكب ذلك مقابل الحصول على منفعة مادية أو أدبية، أو إذا ترتب على ذلك تعريض الشخص المعنى بالبيانات للخطر أو الضرر.. ويُعاقب بغرامة لا تقل عن مائتى ألف جنيه ولا تجاوز مليونى جنيه كل من جمع بيانات شخصية دون توفر الشروط المنصوص عليها فى المادة (3) من هذا القانون».
وتم إعادة صياغة المادة 39 لتصبح «يُعاقب بغرامة لا تقل عن ثلاثمائة ألف جنيه ولا تجاوز ثلاثة ملايين جنيه كل متحكم أو معالج لم يلتزم بواجباته المنصوص عليها».