تسريب معطيات شخصية وإعادة توزيعها.. ماذا يقول القانون؟

ولوحظ بعد انتشار هذه البيانات الشخصية، التي تعني آلاف الأشخاص، كيف انتشرت بقوة في مواقع التواصل الاجتماعي وتطبيقات الدردشة، حيث عمد كثيرون إلى إعادة توزيعها وإرسالها إلى أشخاص آخرين.

ودعا الصندوق الوطني للضمان الاجتماعي كافة المواطنين ووسائل الإعلام إلى التحلي باليقظة وحس المسؤولية وتفادي أي عمل من أعمال نشر أو مشاركة البيانات المسربة أو المزورة، تحت طائلة المساءلة القانونية.

ماذا يقول القانون؟     

ما وقع سلط الضوء على القانون رقم 09.08 المتعلق بحماية الأشخاص الذاتيين تجاه معاجلة المعطيات ذات الطابع الشخصي.

وبمقتضى هذا القانون، الذي دخل حيز التنفيذ بعد صدوره في الجريدة الرسمية في عدد 18 فبراير 2009، تم إحداث اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي.

وعلى ضوء ما حدث، والذي وصفته الحكومة على لسان ناطقها الرسمي بـ"الفعل الإجرامي"، خرجت اللجنة لتحسيس كافة فئات العموم بشأن المخاطر المرتبطة باستخدام البيانات ذات الطابع الشخصي، التي قد تكون مسربة أو منشورة على قنوات غير مرخصة، مذكرة في بلاغ لها بأن المعالجة القانونية للبيانات الشخصية تستند إلى الموافقة الصريحة للشخص المعني، أو إلى إطار قانوني مسموح به بموجب القانون رقم 08-09، وأن كل معلومة متحصل عليها خارج هذا الإطار تعتبر غير مشروعة، ويشكل استعمالها مخالفة.

وأشارت اللجنة إلى أنها تتمتع، على وجه الخصوص، بصلاحيات التحري والتحقيق، بموجب المادة 30 من القانون نفسه، الذي يخولها التحقق من أن المسؤولين عن معالجة المعطيات ذات الطابع الشخصي يقومون بهذه المعالجة وفقا للقانون 09-08، وأن المعطيات ذات الطابع الشخصي المعالجة محمية على نحو مطابق لأحكام المادة 24 من القانون 09-08.

كما أكدت أنها مستعدة لتلقي استعدادها لتلقي ومعالجة شكاوى كل شخص ذاتي يعتبر نفسه ضحية لتسريب أو نشر غير قانوني للمعطيات الشخصية، وستفتح تحقيقا للتأكد من مدى مطابقة معالجة البيانات المذكورة لمقتضيات القانون ونصوصه التطبيقية، خاصة في ضوء عمليات التحقق الأولية المنجزة من قبل بعض الفاعلين.

محام يبسط العقوبات

شرح المستشار القانوني أمين الفتحي أن القانون 09.08 يمنع أي جمع أو معالجة أو إفشاء للبيانات الشخصية دون الموافقة الصريحة للشخص المعني وخارج الأغراض المشروعة المصرح بها.

وأشار، ضمن تصريحه لـSNRTnews، إلى أن المادة 4 تنص على أن المعالجة لا يمكن أن تتم إلا إذا استندت إلى أساس قانوني واضح أو موافقة صريحة. وفي حال وقوع انتهاك، تنص المواد من 50 إلى 60 على عقوبات تتراوح بين غرامات من 10.000 إلى 300.000 درهم، بل وحتى عقوبات سالبة للحرية قد تصل إلى 5 سنوات في حال الإضرار الخطير بالبيانات الحساسة (آراء سياسية، البيانات البيومترية...).

هل هناك فرق بين المشاركة الطوعية والمشاركة العرضية للبيانات؟ يجيب الفتحي بأن القانون لا يساوي بينهما، مضيفا أن المشاركة الطوعية تنطوي على نية إذن فهو فعل متعمد، وربما احتيالي ويتم معاقبتها بشدة، أما المشاركة العرضية فهي غالبا نتيجة إهمال أو ضعف في التأمين لكن ذلك لا يعفي المسؤول عن المعالجة. 

وتابع في الشرح أن المادة 23 تنص على أن كل مسؤول ملزم بوضع التدابير التقنية والتنظيمية الملائمة لضمان أمن البيانات. وإذا لم يفعل، يمكن أن تُلقى عليه المسؤولية المدنية أو الجنائية. 

وبخصوص العقوبات الجنائية، قال إنه بالنسبة للأشخاص الطبيعيين فالقانون ينص على عقوبات مالية وسالبة للحرية بحسب خطورة الأفعال، موضحا أن القانون الجنائي، خصوصا المواد من 607-3 إلى 607-9، يُجرم الدخول الاحتيالي إلى نظام معلوماتي، وحذف أو تغيير البيانات، والتشفير.

وتتراوح العقوبات بين شهر و5 سنوات سجن، وغرامات من 2.000 إلى 200.000 درهم.

أما بالنسبة للأشخاص المعنويين، لا يحتوي القانون 09.08 على أحكام خاصة بمسؤولياتهم الجنائية. ومع ذلك، يتابع في الشرح، يسمح القانون الجنائي بمساءلتهم عبر المادة 127، خاصة إذا تم ارتكاب الجريمة لحسابهم. وقد تشمل العقوبات غرامة، أو إغلاق المؤسسة، أو إلزامها بالتعويض المدني لفائدة الضحايا.

وحتى إن كان الأمر برضى المعني، فإن ذلك لا يعفي الالتزام بواجب الأمان والشفافية وتحديد الأغراض من توزيع المعطيات، يقول المستشار القانوني نفسه موضحا أن المادة 24 من القانون تنص على أن على المسؤولين عن المعالجة تأطير كل تعاقد مع متعهد فرعي بشكل رسمي، بينما تذكّر المادة 4 بأن البيانات يجب أن تتم معالجتها بشكل متناسب وشفاف، وبالتالي حتى مع وجود موافقة فإن سوء الإدارة أو تسريب البيانات أو تحويلها عن غايتها الأصلية يمكن أن يؤدي إلى عقوبات صارمة.