حماية بيانات العملاء في مكاتب المحاماة وفق نظام حماية البيانات الشخصية

حماية بيانات العملاء في مكاتب المحاماة تعني التعامل مع كل ملف موكل على أنه بيانات شخصية خاضعة لنظام حماية البيانات الشخصية: مسوّغ نظامي لكل استخدام، وجمع ما تحتاجه القضية فقط، وحماية البيانات الحساسة كالبيانات الجنائية والصحية، وسجل لأنشطة المعالجة، والاستجابة لطلبات أصحاب البيانات، وضبط النقل خارج المملكة، وإشعار سدايا بالتسرب خلال 72 ساعة.

دخل نظام حماية البيانات الشخصية حيز النفاذ في 14 سبتمبر 2023، مع مهلة امتثال مدتها عام انتهت في 14 سبتمبر 2024. وهو يسري على مكاتب المحاماة كما يسري على أي جهة تحكم، لكن طبيعة الملفات القانونية تجعل المخاطر أعلى بكثير. يحوّل هذا الدليل أهم التزامات النظام إلى قرارات عملية في إدارة المكتب. وللإطار العام راجع دليل الامتثال لنظام حماية البيانات الشخصية، أما النصوص الرسمية فمنشورة في المنصة الوطنية لحوكمة البيانات التابعة لسدايا.

لماذا يُعد مكتب المحاماة جهة تحكم عالية المخاطر؟

يعالج المكتب بيانات أشخاص يتجاوزون موكليه بكثير: الخصوم، والشهود، والخبراء، والورثة، وموظفي الشركات الموكلة، وموظفي المكتب أنفسهم. وكثير من هذه البيانات يصل من أطراف أخرى لا من أصحابها مباشرة، وجزء كبير منها يقع ضمن الفئات الحساسة في النظام.

تعرّف المادة الأولى من نظام حماية البيانات الشخصية البيانات الحساسة بأنها كل بيان شخصي يتعلق بأصل الفرد العرقي أو الإثني، أو معتقده الديني أو الفكري أو السياسي، وكذلك البيانات الأمنية والجنائية، وبيانات السمات الحيوية التي تحدد الهوية، والبيانات الوراثية، والبيانات الصحية، والبيانات التي تدل على أن الفرد مجهول الأبوين أو أحدهما. وفي العمل القانوني تنطبق هذه الفئات على ملفات حقيقية:

• قضايا الدفاع الجنائي والتحقيقات تحمل بيانات أمنية وجنائية.
• دعاوى الأخطاء الطبية والتأمين وإصابات العمل تحمل بيانات صحية.
• قضايا الأحوال الشخصية والتركات قد تكشف معلومات دينية وعائلية، وأحياناً أن أحد الأبوين مجهول.
• التحقق من الهوية بالبصمة أو صورة الوجه يدخل في بيانات السمات الحيوية.

ولا يجوز معالجة البيانات الحساسة استناداً إلى المصلحة المشروعة، ولذلك ينبغي أن تحكمها أشد قواعد الوصول في المكتب.

ما المسوّغ النظامي الذي يعتمد عليه مكتب المحاماة؟

تجعل المادة الخامسة الموافقة هي الأصل: لا تجوز معالجة البيانات الشخصية أو تغيير الغرض من معالجتها إلا بموافقة صاحبها، فيما عدا الأحوال المنصوص عليها في النظام. وتعدد المادة السادسة هذه الاستثناءات، وأهمها للمكتب الخاص ثلاثة:

• الاتفاق السابق. المعالجة تنفيذاً لاتفاق يكون صاحب البيانات طرفاً فيه، مثل عقد تقديم الخدمة القانونية مع الموكل.
• نظام آخر. المعالجة التي يقتضيها نظام آخر معمول به في المملكة.
• المصلحة المشروعة. المعالجة الضرورية لمصالح المكتب المشروعة، بشرط ألا تخل بحقوق صاحب البيانات أو تتعارض مع مصالحه، وألا تكون البيانات حساسة. وتشترط المادة السادسة عشرة من اللائحة التنفيذية إجراء تقويم موثق قبل الاعتماد عليها.

أما بيانات الخصوم والشهود فمسألة مستقلة. فالمادة العاشرة تقرر أن الأصل جمع البيانات من صاحبها مباشرة، ثم تعدد حالات جواز جمعها من غيره، ومنها الموافقة، والمصادر المتاحة للعموم، والمصلحة المشروعة (وليس للبيانات الحساسة). وبعض الاستثناءات، مثل المعالجة لاستيفاء متطلبات قضائية، مقصورة في النص على الجهات العامة، فلا يفترض المكتب الخاص أنها تشمله. وثّق المسوّغ الذي تعتمد عليه لكل فئة بيانات ولكل غرض.

كيف يُطبَّق مبدأ الحد الأدنى من البيانات على ملفات الموكلين؟

تُلزم المادة التاسعة عشرة من اللائحة التنفيذية جهة التحكم بجمع الحد الأدنى اللازم من البيانات لتحقيق الغرض، والاحتفاظ بالحد الأدنى كذلك. وفي المكتب يعني هذا نماذج استقبال لا تسأل إلا عما تحتاجه القضية، وعدم الاحتفاظ بنسخ من كل ما يرسله الموكل "احتياطاً"، وحوافظ مستندات تُحجب فيها البيانات غير اللازمة.

ولوثائق الهوية قاعدة خاصة. فالمادة الحادية والثلاثون توجب على جهة التحكم الامتناع عن تصوير الوثائق الرسمية التي تحدد هوية صاحبها أو نسخها، إلا بناءً على طلب جهة عامة مختصة أو تنفيذاً لأحكام نظام، مع حماية ما لديها من نسخ وإتلافها فور انتهاء الغرض ما لم يوجد متطلب نظامي للاحتفاظ بها. وكثير من المكاتب تصوّر الهويات الوطنية بحكم العادة، فتحقق من وجود نص نظامي يوجب ذلك في كل خطوة.

ماذا يتضمن سجل أنشطة المعالجة في مكتب المحاماة؟

تُلزم المادة الثالثة والثلاثون من اللائحة التنفيذية بسجل مكتوب لأنشطة المعالجة، يُحفظ طوال مدة المعالجة وخمس سنوات بعد انتهائها، ويبقى دقيقاً ومحدّثاً، ويُتاح لسدايا عند طلبه. ويتضمن كحد أدنى: بيانات جهة التحكم، وبيانات مسؤول حماية البيانات إذا لزم تعيينه، وأغراض المعالجة، وفئات البيانات وأصحابها، ومدد الاحتفاظ ما أمكن، وفئات الجهات التي يُفصح لها، وعمليات النقل خارج المملكة ومسوّغاتها والجهات المنقول إليها، والتدابير الأمنية المطبقة. وهذا مثال لسجل مكتب محاماة:

نشاط المعالجة	أصحاب البيانات	البيانات المعتادة	سؤال يجب حسمه
استقبال القضايا وفحص التعارض	الموكلون المحتملون والخصوم	الأسماء وأرقام الهوية وبيانات الشركات وملخص القضية	ما الحد الأدنى اللازم لفحص التعارض؟
ملفات التقاضي والاستشارات	الموكلون والخصوم والشهود والخبراء	العقود والمراسلات والأدلة، وأحياناً بيانات جنائية أو صحية	أي القضايا تحوي بيانات حساسة، ومن يحق له فتحها؟
الوكالات ومراجع المحاكم	الموكلون والمحامون	أرقام الوكالات وصلاحياتها وتواريخ انتهائها وأرقام القضايا في ناجز	كم تُحفظ بعد إغلاق القضية؟
الفوترة والتحصيل	الموكلون والدافعون	اتفاقيات الأتعاب والفواتير والبيانات البنكية	ما القواعد الضريبية والمحاسبية التي تحدد مدة الاحتفاظ؟
الموارد البشرية والتوظيف	الموظفون والمتقدمون	العقود والرواتب والمؤهلات	هل الوصول إليها منفصل عن ملفات الموكلين؟
التسويق والنشرات	جهات الاتصال	الأسماء والبريد الإلكتروني	هل توجد موافقة وطريقة سهلة لإلغاء الاشتراك؟

ومراجع المحاكم جزء من هذا السجل أيضاً، ويعرض دليلنا عن ناجز للمحامين وإدارة المكتب الحقول التي تحفظها معظم المكاتب.

ما حقوق الموكلين وغيرهم من أصحاب البيانات؟

تمنح المادة الرابعة صاحب البيانات الحق في العلم، والحق في الوصول إلى بياناته، والحق في الحصول عليها بصيغة مقروءة وواضحة، والحق في طلب تصحيحها، والحق في طلب إتلافها، وتضيف المادة الخامسة حق الرجوع عن الموافقة. وتُلزم المادة الثالثة من اللائحة التنفيذية بتنفيذ الطلبات خلال مدة لا تتجاوز 30 يوماً، يجوز تمديدها 30 يوماً أخرى إذا تطلب التنفيذ جهداً غير معتاد أو تعددت طلبات الشخص نفسه، بشرط إشعاره مسبقاً بالتمديد ومبرراته. وعلى المكتب التحقق من هوية مقدم الطلب، وتوثيق كل الطلبات بما فيها الشفهية.

وتزداد طلبات الوصول تعقيداً في الملفات القانونية. فالنظام يمنع جهة التحكم من تمكين صاحب البيانات من الوصول إليها في حالات منها انتهاك خصوصية فرد آخر، أو المساس بحقوق متهم في محاكمة عادلة أو بسلامة إجراءات جنائية قائمة (المادتان التاسعة والسادسة عشرة)، ويمنع الإفصاح إذا كان يخل بالتزامات مهنية مقررة نظاماً. وهذه القيود ضيقة، فاجعل كل الطلبات تمر عبر شخص واحد، ووثّق القرار، واستشر قانونياً قبل أي رفض.

كم يحق لمكتب المحاماة الاحتفاظ ببيانات الموكلين؟

توجب المادة الثامنة عشرة إتلاف البيانات دون تأخير بعد انتهاء الغرض من جمعها، مع استثناءين مهمين للعمل القانوني. فإذا وُجد مسوّغ نظامي يوجب الاحتفاظ بها مدة محددة، تُحفظ ثم تُتلف بعد انتهاء تلك المدة أو انتهاء الغرض أيهما أطول. وإذا كانت البيانات متصلة اتصالاً وثيقاً بقضية منظورة أمام جهة قضائية وكان الاحتفاظ بها مطلوباً لذلك، تُحفظ وتُتلف بعد استكمال الإجراءات القضائية. ويجوز كذلك الاحتفاظ بها بعد إزالة كل ما يؤدي إلى معرفة صاحبها.

وتضيف المادة الثامنة من اللائحة التنفيذية أن الإتلاف يشمل جميع النسخ بما فيها النسخ الاحتياطية، وأن على جهة التحكم إشعار من أفصحت لهم عن البيانات وطلب إتلافها. والحل العملي جدول احتفاظ لكل نوع من القضايا، تولّد فيه تواريخ الإغلاق مهام الإتلاف تلقائياً.

متى يجوز نقل بيانات الموكلين خارج المملكة؟

تجيز المادة التاسعة والعشرون من النظام نقل البيانات الشخصية إلى خارج المملكة أو الإفصاح عنها لجهة خارجها لأغراض محددة، منها تنفيذ التزام يكون صاحب البيانات طرفاً فيه، وأغراض أخرى تحددها اللوائح. ويُشترط ألا يمس النقل الأمن الوطني أو مصالح المملكة الحيوية، وأن يتوفر في الخارج مستوى حماية لا يقل عن المقرر في النظام، وأن يقتصر النقل على الحد الأدنى اللازم من البيانات. وتفصّل لائحة نقل البيانات الشخصية إلى خارج المملكة المسارات المتاحة.

وفي مكاتب المحاماة يختبئ النقل غالباً في الأدوات اليومية: بريد إلكتروني مستضاف في الخارج، وتخزين سحابي خارجي، وخدمات التوقيع الإلكتروني والترجمة، وأدوات الصياغة بالذكاء الاصطناعي، ومشاركة الملفات مع محامين متعاونين في دول أخرى. ويوضح دليل سدايا لجهات التحكم والمعالجة أن البيانات المستضافة في الخارج، كالسحابة الأجنبية، تبقى خاضعة للنظام. ارسم هذه التدفقات وأضفها إلى سجل أنشطة المعالجة.

ماذا يفعل المكتب عند تسرب البيانات؟

توجب المادة الرابعة والعشرون من اللائحة التنفيذية على جهة التحكم إشعار سدايا خلال مدة لا تتجاوز 72 ساعة من علمها بحادثة تسرب البيانات الشخصية، إذا كان من شأنها الإضرار بالبيانات أو بأصحابها أو التعارض مع حقوقهم أو مصالحهم. ويتضمن الإشعار وصف الحادثة ووقتها وكيفية وقوعها، وفئات المتأثرين وأعدادهم الفعلية أو التقريبية ونوع البيانات، والمخاطر والإجراءات المتخذة، وما إذا كان أصحاب البيانات قد أُشعروا، وبيانات شخص للتواصل. وما تعذر تقديمه خلال 72 ساعة يُقدَّم في أقرب وقت مع مبررات التأخير. ويجب إشعار أصحاب البيانات دون تأخير غير مبرر وبلغة مبسطة إذا كان التسرب قد يضرهم، مع الاحتفاظ بنسخ التقارير والتدابير التصحيحية. ولا تُخل هذه الأحكام بالتزامات الإبلاغ أمام الهيئة الوطنية للأمن السيبراني.

وأكثر الحوادث احتمالاً في المكتب: بريد يُرسل خطأً ومعه حافظة مستندات، أو حاسب محمول مفقود، أو صندوق بريد مخترق، أو رابط مشاركة بقي مفتوحاً. اكتب خطة استجابة من صفحة واحدة تحدد من يقرر، ومن يُشعر سدايا، ومن يتحدث إلى الموكلين.

ما ضوابط الوصول وسجلات التدقيق التي يحتاجها المكتب؟

تُلزم المادة الثالثة والعشرون من اللائحة التنفيذية باتخاذ التدابير التنظيمية والإدارية والتقنية اللازمة، والالتزام بضوابط الهيئة الوطنية للأمن السيبراني، أو بأفضل ممارسات الأمن السيبراني المتعارف عليها إذا لم تكن جهة التحكم ملزمة بتلك الضوابط. ويعرض دليل الضوابط الأساسية للأمن السيبراني هذا الحد الأدنى. وفي مكتب المحاماة يعني ذلك:

• صلاحيات على مستوى القضية لا يفتح فيها الملف إلا فريقها، مع حواجز معلومات بين القضايا المتعارضة.
• التحقق متعدد العوامل للبريد ومستودع المستندات ونظام المكتب.
• سجلات تدقيق توثق من اطلع على كل مستند أو نزّله أو شاركه أو حذفه، تُراجع بانتظام.
• تشفير الحواسب المحمولة والهواتف والنسخ الاحتياطية، وروابط مشاركة خارجية تنتهي صلاحيتها.
• مراجعة الصلاحيات كل ربع سنة، وسحبها فوراً عند مغادرة الموظف أو انتقاله إلى فريق آخر.

وتطبيق هذه الضوابط أسهل بكثير في برنامج محاماة منظم منه في المجلدات المشتركة وصناديق البريد الشخصية.

كيف يختار المكتب مزوّدي الأنظمة والخدمات السحابية؟

توجب المادة الثامنة من النظام على جهة التحكم اختيار جهة معالجة توفر الضمانات اللازمة لتنفيذ أحكام النظام، والتحقق من التزامها، ولا يُخلي ذلك المكتب من مسؤوليته أمام الموكلين وسدايا. وقبل التعاقد مع مزوّد نظام إدارة أو بريد أو سحابة أو ذكاء اصطناعي، اسأل:

• أين تُخزَّن البيانات وتُعالج، بما في ذلك النسخ الاحتياطية ووصول فرق الدعم؟
• هل يُلزم العقد المزوّد بالنظام، ويقصر الاستخدام على تعليماتك، ويفرض إشعاراً بالتسرب يكفي لمهلة 72 ساعة؟
• هل تستطيع تصدير بياناتك كاملة وحذفها عند انتهاء العقد؟
• ما سجلات التدقيق والتشفير وضوابط الوصول التي توفرها الخدمة؟
• من المتعاقدون من الباطن الذين يعالجون البيانات، وفي أي دول؟

والاستضافة في مراكز بيانات داخل المملكة تختصر كثيراً من تحليل النقل عبر الحدود. وتصمم خدمة الأمن السيبراني والامتثال لدينا هذه البنى للجهات الخاضعة للتنظيم.

هل يحتاج مكتب المحاماة إلى مسؤول لحماية البيانات؟

توجب المادة الثانية والثلاثون من اللائحة التنفيذية تعيين مسؤول لحماية البيانات الشخصية في ثلاث حالات، منها أن تقوم الأنشطة الأساسية لجهة التحكم على معالجة بيانات شخصية حساسة. فالمكتب الذي تتركز ممارسته في الدفاع الجنائي أو الدعاوى الطبية أو الأحوال الشخصية ينبغي أن يقيّم انطباق ذلك عليه. ويجوز أن يكون المسؤول موظفاً لدى المكتب أو متعاقداً خارجياً.

قائمة تحقق لحماية بيانات العملاء في مكاتب المحاماة

المجال	الإجراء	الدليل الذي يُحفظ
خريطة البيانات	حصر أنواع القضايا وفئات البيانات والأنظمة والجهات المستلمة	سجل أنشطة المعالجة
المسوّغ النظامي	تحديد مسوّغ لكل غرض، بما في ذلك بيانات الغير	سجل المسوّغات وتقويمات المصلحة المشروعة
الاستقبال	تقليص النماذج ووقف تصوير الهويات دون حاجة نظامية	نموذج استقبال معتمد
البيانات الحساسة	تصنيف القضايا التي تحوي بيانات جنائية أو صحية أو مماثلة	تصنيف القضايا
الصلاحيات	صلاحيات لكل قضية وتحقق متعدد العوامل وحواجز معلومات	محاضر مراجعة الصلاحيات
سجلات التدقيق	تسجيل الوصول إلى المستندات ومراجعته	تقارير مراجعة السجلات
طلبات الحقوق	قناة استقبال واحدة ومتابعة مهلة 30 يوماً	سجل الطلبات والردود
الاحتفاظ	جدول لكل نوع قضية يشمل النسخ الاحتياطية	جدول الاحتفاظ وسجل الإتلاف
النقل خارج المملكة	حصر الأدوات المستضافة خارجياً وتطبيق شروط المادة 29	سجل عمليات النقل
المزوّدون	بنود حماية البيانات والإشعار بالتسرب وشروط الخروج	اتفاقيات المعالجة الموقعة
التسرب	خطة استجابة خلال 72 ساعة تُختبر سنوياً على الأقل	الخطة وتقرير التمرين

ما الخطوة التالية؟

اختر قضية قائمة وتتبّع بياناتها من الاستقبال إلى الأرشفة: من جمع ماذا، وأين تُحفظ، ومن يستطيع فتحها، ومتى ستُتلف. الثغرات التي تجدها هي قائمة أولوياتك. وإذا أردت أن تصبح هذه الضوابط جزءاً من عمل المكتب اليومي، فاطلع على برنامج إدارة مكاتب المحاماة واطلب مراجعة مجانية.

هذا المقال معلومات عامة وليس استشارة قانونية، فتحقق من التزاماتك مع مستشار قانوني مؤهل ومن النصوص الرسمية المنشورة لدى سدايا.