التوقيع الإلكتروني وحماية البيانات الشخصية: المتطلبات القانونية ومعايير اختيار المزود

حين تضغط على زر "أوقّع" في وثيقة رقمية، فإنك لا توافق على بنود العقد فحسب، بل تُسلِّم أيضاً جملةً من بياناتك الشخصية إلى منصة التوقيع: هويتك، وعنوان بريدك الإلكتروني، وعنوان IP جهازك، وربما صورة وثيقتك الثبوتية. هذا التقاطع بين التوقيع الإلكتروني وحماية البيانات الشخصية يجعل اختيار المزود المناسب قراراً قانونياً وتقنياً في آنٍ واحد. يُرشدك هذا الدليل إلى المتطلبات التي تفرضها أنظمة حماية البيانات في المملكة العربية السعودية والإمارات العربية المتحدة وجمهورية مصر العربية، ويُبيّن الأسئلة الجوهرية التي ينبغي لكل جهة طرحها قبل التعاقد مع أي مزوّد.

ما البيانات الشخصية التي يُعالجها التوقيع الإلكتروني؟

أنواع البيانات المُجمَّعة

تعمل منصات التوقيع الإلكتروني على معالجة فئات متعددة من البيانات الشخصية في أثناء كل جلسة توقيع. وتشمل هذه البيانات في الغالب:

• بيانات الهوية: الاسم الكامل، ورقم الهاتف، وعنوان البريد الإلكتروني.
• البيانات التقنية: عنوان IP، ونوع المتصفح، وطابع التوقيت الزمني لكل إجراء.
• البيانات الوثائقية: صورة الوثيقة الثبوتية عند التحقق من الهوية، وفي حالات بعينها البيانات البيومترية كبصمة الإصبع أو التعرف على الوجه.
• البيانات السلوكية: مسار حركة المستخدم داخل المستند ومواضع النقر.

تُمثّل هذه الفئات مجتمعةً معطيات شخصية خاضعة للحماية القانونية في الدول الثلاث المستهدفة، وهو ما يستوجب من كل طرف يستخدم خدمة التوقيع الإلكتروني التحقق من أن المزود يُعاملها وفق الأطر التشريعية النافذة.

لماذا تُعدّ البيانات البيومترية حساسة بوجه خاص؟

تنتمي البيانات البيومترية إلى فئة البيانات الحساسة التي تخضع لمعايير حماية مشدَّدة بموجب الأنظمة الثلاثة. فحين تعتمد منصة التوقيع التحقق بالوجه أو بصمة الإصبع، فإن المعالجة تتجاوز حدود البيانات الاعتيادية وتستلزم ضمانات إضافية كالحصول على موافقة صريحة ومحددة، وتقييد مدة الاحتفاظ، وتطبيق تشفير قوي. ولمزيد من التفاصيل حول أنواع التوقيعات الإلكترونية ومتطلبات التحقق من الهوية المرتبطة بكل مستوى، يمكنك الاطلاع على الفرق بين التوقيع الإلكتروني البسيط والمتقدم والمعتمد.

مبادئ حماية البيانات المُطبَّقة على خدمات التوقيع الإلكتروني

مبدأ التقليل من البيانات والغرض المحدد

يقضي هذا المبدأ بألا يُجمع من البيانات إلا ما هو ضروري لتحقيق غرض التوقيع. بمعنى آخر، لا يجوز للمزود استغلال بيانات الموقِّع لأغراض تسويقية أو إعادة بيعها لطرف ثالث ما لم تُمنح موافقة صريحة ومستقلة. ينبغي أن تنص اتفاقية مستوى الخدمة ووثيقة سياسة الخصوصية على هذا القيد بصراحة.

الموافقة الصريحة وأثرها في سياق التوقيع

تثير بيئة التوقيع الإلكتروني إشكالية قانونية دقيقة: هل تشمل موافقة الموقِّع على العقد الموافقةَ على معالجة بياناته أيضاً؟ الجواب في معظم الأطر القانونية: لا. تبقى الموافقة على العقد منفصلةً عن الموافقة على معالجة البيانات الشخصية، وعلى المزود الحصول على الأخيرة بصورة مستقلة وواضحة، لا مُدمجةً في نصوص طويلة يصعب قراءتها. وللاطلاع على كيفية استخدام التوقيع الإلكتروني في العقود وما يترتب على ذلك من آثار قانونية، راجع مقالة عقد العمل الإلكتروني ومتطلبات التوقيع القانونية.

الاحتفاظ بسجلات التدقيق وتقاطعها مع حقوق الحذف

يستلزم التوقيع الإلكتروني الاحتفاظ بسجل تدقيق كامل يُثبت صحة العقد، في حين يمنح قانون حماية البيانات الموقِّعَ حق طلب حذف بياناته. يُحلّ هذا التعارض الظاهري عادةً بالتمييز بين بيانات التحقق من الصحة القانونية الواجب الاحتفاظ بها لمدة لا تقل عن مدة سريان العقد وطبيعة النزاعات المحتملة، وبيانات التعريف الشخصي التي يمكن إخضاعها لطلبات الحذف بعد انتهاء الغرض منها. يتفاوت التطبيق بحسب طبيعة كل عقد وطبيعة الجهة المتعاقدة.

معايير اختيار مزود التوقيع الإلكتروني من منظور حماية البيانات

الوثائق القانونية المطلوبة من المزود

قبل الاشتراك في أي خدمة توقيع إلكتروني، تحقق من توافر الوثائق الآتية:

1. سياسة خصوصية مكتوبة بلغة واضحة، تُحدد الغرض من كل فئة بيانات ومدة الاحتفاظ بها والأطراف التي تُشارَك معهم.
2. اتفاقية معالجة البيانات (Data Processing Agreement) عند الاستخدام المؤسسي، تُبيّن أدوار الطرفين: هل الجهة المستخدِمة مسؤول معالجة أم جهة تحكم بالبيانات؟
3. آلية الإخطار بالاختراق: يجب أن يلتزم المزود بإخطار الجهة المستخدِمة ضمن المدة التي يحددها النظام المعمول به في دولتك في حال وقوع أي خرق أمني.
4. آلية نقل البيانات عبر الحدود: إذا كانت الخوادم خارج دولتك، فإن أنظمة حماية البيانات في السعودية والإمارات ومصر تُقيّد نقل البيانات إلى دول لا تُوفّر مستوى حماية مكافئاً، ما لم تتوافر ضمانات مناسبة.

الأسئلة التقنية الواجب طرحها

بعيداً عن الوثائق القانونية، اسأل المزود عن:

• مكان تخزين البيانات وما إذا كانت الخوادم تلتزم بمتطلبات الإقامة المحلية للبيانات حين تكون مطلوبة.
• منهجية تشفير البيانات في وضع السكون وأثناء النقل.
• سياسة الوصول الداخلي: من بين موظفي المزود لديه صلاحية الوصول إلى مستنداتك؟
• خطة استمرارية الأعمال وما يحدث للبيانات في حال إفلاس المزود أو توقفه.

وللمقارنة بين الحلول المتاحة في السوق، يمكنك الاطلاع على أفضل برنامج توقيع إلكتروني للشركات ومعايير الاختيار.

التزامات الجهة المستخدِمة للتوقيع الإلكتروني

الجهة المستخدِمة بوصفها مسؤول معالجة بيانات

في السياق المؤسسي، لا تقتصر مسؤولية حماية البيانات على مزود التوقيع، بل تمتد لتشمل الجهة التي تُرسل الوثائق للتوقيع. فحين تُرسل شركة ما عقداً لأحد موظفيها أو عملائها عبر منصة توقيع، فإنها تُعدّ في الغالب مسؤولةً عن معالجة بياناته، ويقع عليها الالتزام بإخطاره بطريقة المعالجة قبل البدء فيها. يستوجب ذلك تضمين سياسة الخصوصية الخاصة بالجهة إشارةً صريحة إلى استخدام خدمات التوقيع الإلكتروني.

التوثيق الداخلي وسجلات نشاط المعالجة

تُلزم أنظمة حماية البيانات المؤسساتِ ذات الحجم المعين بالاحتفاظ بسجلات نشاط المعالجة، وهو ما يستلزم توثيق خدمة التوقيع الإلكتروني باعتبارها إحدى عمليات المعالجة، مع تحديد الغرض منها وفئات البيانات المعالَجة والأطراف المتداخلة. ومن الأهمية بمكان مراجعة هذه السجلات بصفة دورية لمواكبة أي تغييرات في خدمة المزود أو في التشريعات النافذة. وللاستفسار عن الحلول الملائمة لاحتياجات مؤسستك، يمكنك التواصل مع فريق متخصص لتقييم متطلباتك.

الإطار القانوني

تتشابك في مجال التوقيع الإلكتروني وحماية البيانات منظومتان تشريعيتان متمايزتان في كل دولة من الدول الثلاث: نظام يُنظّم صحة التوقيع وحجيته، ونظام يُنظّم حماية البيانات الشخصية المرتبطة بعملية التوقيع. ويتعين على كل جهة أن تستوفي الشروط المُقررة في كلا النظامين معاً.

المملكة العربية السعودية: نظام التعاملات الإلكترونية ونظام حماية البيانات الشخصية

في المملكة العربية السعودية، يُرسي نظام التعاملات الإلكترونية الصادر بالمرسوم الملكي م/18 لعام 1428هـ الأساسَ القانوني للتوقيع الإلكتروني وحجيته في الإثبات، ويُحيل إلى هيئة الاتصالات وتقنية المعلومات للاعتماد والإشراف. ويُعزَّز هذا الإطار بنظام حماية البيانات الشخصية الصادر بالمرسوم الملكي م/19 لعام 1443هـ، الذي يُلزم كل جهة تُعالج بيانات شخصية باتخاذ تدابير تقنية وتنظيمية ملائمة لحماية تلك البيانات، ويُقيّد نقلها إلى خارج المملكة إلا وفق الضوابط التي تحددها اللوائح التنفيذية، مع منح الأفراد حقوق الاطلاع والتصحيح والحذف.

الإمارات العربية المتحدة: المرسوم الاتحادي للمعاملات الإلكترونية وقانون حماية البيانات

في الإمارات العربية المتحدة، يُنظّم المرسوم بقانون اتحادي رقم 46 لسنة 2021 في شأن المعاملات الإلكترونية وخدمات الثقة منظومةَ التوقيعات الإلكترونية بمستوياتها المختلفة وخدمات الثقة المرتبطة بها، فيما يُعالج المرسوم بقانون اتحادي رقم 45 لسنة 2021 في شأن حماية البيانات الشخصية حقوقَ الأفراد وواجبات المؤسسات في جمع البيانات ومعالجتها ونقلها. ويشترط هذا الأخير توافر أساس قانوني مشروع لكل عملية معالجة، والإخطار بالانتهاكات الأمنية ضمن المدد المقررة، واحترام حق الوصول والتصحيح والاعتراض.

جمهورية مصر العربية: قانون التوقيع الإلكتروني وقانون حماية البيانات الشخصية

في مصر، يُرسي قانون التوقيع الإلكتروني رقم 15 لسنة 2004 الحجية القانونية للتوقيع الإلكتروني ويُنشئ جهاز تنمية صناعة تكنولوجيا المعلومات المنوط به اعتماد الجهات المرخصة. ويُكمّل هذا الإطارَ قانونُ حماية البيانات الشخصية رقم 151 لسنة 2020، الذي يُصنّف بيانات التعريف الشخصي وبيانات التحقق من الهوية بيانات محمية، ويُلزم المؤسسات بتسجيل عمليات المعالجة لدى الجهاز القومي لتنظيم الاتصالات وفق الحالات التي تحددها اللوائح، ويُقيّد نقل البيانات للخارج إلا في حدود مُعيّنة.

حالات الاستخدام

الحالة الأولى: شركة توظيف تُرسل عقود العمل إلكترونياً

واجهت شركة توظيف متوسطة الحجم مقرها الرياض إشكالية قانونية حين طعن أحد الموظفين السابقين في صحة عقد عمله المُبرَم إلكترونياً، مدّعياً أن بياناته استُخدمت لأغراض تتجاوز ما أُخطر به. تبيّن عند المراجعة أن الشركة لم تُضمّن سياسة خصوصيتها إشارةً إلى استخدام منصة توقيع إلكتروني خارجية، ولم تُبرم مع المزود اتفاقية معالجة بيانات. أسفرت هذه الثغرة عن تعقيدات قانونية كان يمكن تفاديها بمراجعة الوثائق التعاقدية مع المزود مسبقاً، واستيفاء متطلبات نظام حماية البيانات الشخصية المعمول به في المملكة العربية السعودية.

الحالة الثانية: مؤسسة مالية في الإمارات تُدير عمليات التوقيع عن بُعد

شرعت مؤسسة مالية في دبي في إتاحة توقيع العقود عن بُعد عبر منصة إلكترونية تشترط التحقق من الهوية بالوجه. طرح مستشارها القانوني تساؤلاً جوهرياً: هل تُصنَّف بيانات التعرف على الوجه بيانات حساسة بموجب المرسوم بقانون اتحادي رقم 45 لسنة 2021 في الإمارات العربية المتحدة؟ أفضى البحث القانوني إلى وجوب الحصول على موافقة صريحة ومستقلة على معالجة هذه البيانات، وتطبيق ضمانات مشددة، وتقييد مدة الاحتفاظ بالصور إلى أدنى مدة تكفي للتحقق. أسهم هذا التدقيق في تجنيب المؤسسة مخاطر قانونية محتملة قبل إطلاق الخدمة.

الحالة الثالثة: مكتب محاماة مصري يُدير عقود العملاء رقمياً

تبنّى مكتب محاماة في القاهرة منصة توقيع إلكتروني لإدارة عقود عملائه. في أثناء مراجعة داخلية، اكتشف المكتب أن المنصة تحتفظ بنسخ من الوثائق الموقَّعة على خوادم خارج مصر دون أن يكون ثمة بيان واضح بشأن ذلك في العقد مع المزود. استدعت هذه الواقعة المراجعةَ في ضوء قانون حماية البيانات الشخصية المصري رقم 151 لسنة 2020 الذي يُقيّد نقل البيانات الشخصية إلى خارج البلاد، فتفاوض المكتب مع المزود للحصول على ضمانات كتابية مناسبة قبل الاستمرار في استخدام الخدمة.

الأسئلة الشائعة

هل يُعدّ التوقيع الإلكتروني معالجةً للبيانات الشخصية بموجب الأنظمة العربية؟

نعم، تُعدّ عملية التوقيع الإلكتروني معالجةً للبيانات الشخصية بامتياز، إذ تنطوي بحكم طبيعتها على جمع بيانات الهوية وبيانات الجلسة التقنية وبيانات التحقق. وبالتالي تخضع لأحكام نظام حماية البيانات الشخصية في المملكة العربية السعودية، والمرسوم الاتحادي في الإمارات العربية المتحدة، وقانون حماية البيانات المصري، وتستوجب وجود أساس قانوني مشروع لهذه المعالجة.

ما الفرق بين مسؤولية المزود ومسؤولية الجهة المستخدِمة في حماية البيانات؟

المزود مسؤول عن أمن البنية التحتية وتطبيق الضمانات التقنية والإفصاح عن الاختراقات، بينما تتحمل الجهة المستخدِمة مسؤولية إخطار أصحاب البيانات بطريقة المعالجة، والتحقق من أن المزود يستوفي المتطلبات القانونية، وإبرام اتفاقية معالجة بيانات مكتوبة معه. التقصير في أي طرف يُرتّب مسؤوليته القانونية المستقلة وفق الأنظمة المعمول بها في كل دولة.

هل يمكن لصاحب البيانات طلب حذف توقيعه الإلكتروني من السجلات؟

يتمتع الفرد بحق طلب الحذف من حيث المبدأ، غير أن هذا الحق ليس مطلقاً. تُتيح أنظمة حماية البيانات للجهة المعالِجة الاحتفاظ بالبيانات حين يكون ذلك ضرورياً للوفاء بالتزام قانوني أو للدفاع في نزاع قضائي. وبما أن سجلات التدقيق تُثبت صحة العقد، فإن الاحتفاظ بها يظل مشروعاً طوال المدة اللازمة لأغراض الإثبات، مع إمكانية حذف البيانات التعريفية التي تجاوزت الغرض منها.

هل يُجيز القانون نقل بيانات التوقيع الإلكتروني إلى خارج الدولة؟

يُجيز القانون ذلك في حالات بعينها مع توافر ضمانات مناسبة. تشترط كل من المملكة العربية السعودية والإمارات العربية المتحدة ومصر أن تتمتع الدولة المُستقبِلة بمستوى حماية مكافئ أو أن تتوافر ضمانات تعاقدية مناسبة. وعلى الجهة المستخدِمة التحقق من شروط نقل البيانات في عقدها مع مزود التوقيع قبل اعتماد أي خدمة تعتمد خوادم خارجية.

ما أبرز المؤشرات على أن مزود التوقيع الإلكتروني يلتزم بمتطلبات حماية البيانات؟

أبرز هذه المؤشرات: وجود سياسة خصوصية واضحة ومحددة، واستعداده لإبرام اتفاقية معالجة بيانات مكتوبة، والإفصاح الصريح عن مواقع التخزين والأطراف التي تُشارَك معها البيانات، وامتلاكه آلية موثقة للإخطار بالاختراقات. وجود مزود يتهرب من الإجابة على هذه الأسئلة أو يكتفي بإجابات مبهمة يُعدّ مؤشراً سلبياً ينبغي أخذه بجدية.

الخلاصة

يقع التوقيع الإلكتروني في قلب منظومة حماية البيانات الشخصية لا على هامشها؛ فكل جلسة توقيع تعني معالجة بيانات، وكل بيانات تعني مسؤولية قانونية. في المملكة العربية السعودية والإمارات العربية المتحدة ومصر، تُلزم الأنظمة النافذة كلَّ جهة بالتحقق من أن مزود التوقيع الذي تعتمده يستوفي شروط الحماية، لا مجرد الصحة القانونية للتوقيع. واختيار المزود المناسب ليس تفضيلاً تقنياً، بل هو قرار تحكمه الالتزامات القانونية التي تُرتّب المسؤولية على الجهة المستخدِمة قبل غيرها.

ابدأ بمراجعة وثائق المزود ووثائقك الداخلية بصفة دورية، وتأكد من أن كل خطوة في دورة حياة التوقيع مستوفيةٌ لمتطلبات الحماية المطلوبة. إذا كنت تبحث عن خدمة توقيع إلكتروني يمكنك تقييمها بنفسك، فإن Certyneo يُتيح لك إنشاء حساب مجاني والاطلاع على تفاصيل الأسعار والباقات دون أي التزام مسبق.