وفي دولة قطر، صدر القانون رقم 13 لسنة 2016 بشأن حماية خصوصية البيانات الشخصية ليضع إطارًا قانونيًا ينظم جمع البيانات الشخصية ومعالجتها وتخزينها والإفصاح عنها، ويحدد التزامات المراقب والمعالج، ويقرر عقوبات مالية على مخالفة أحكامه.
وتكمن أهمية هذا القانون في أنه لا يتعامل مع حماية البيانات باعتبارها مسألة تقنية فقط، بل باعتبارها التزامًا قانونيًا وتنظيميًا يرتبط بحق الفرد في الخصوصية، وبمسؤولية الجهات التي تجمع البيانات أو تستخدمها أو تديرها.
ما المقصود بالبيانات الشخصية في القانون القطري؟
عرف قانون حماية خصوصية البيانات الشخصية البيانات الشخصية بأنها بيانات عن الفرد الذي تكون هويته محددة، أو يمكن تحديدها بصورة معقولة، سواء من خلال هذه البيانات أو عن طريق الجمع بينها وبين أي بيانات أخرى.
ويعكس هذا التعريف اتساع نطاق الحماية القانونية؛ إذ لا يشترط أن تكشف المعلومة عن هوية الشخص بصورة مباشرة، بل يكفي أن تؤدي إلى تحديده عند ربطها ببيانات أخرى.
وقد تشمل البيانات الشخصية، بحسب طبيعة كل حالة، ما يلي:
- الاسم الكامل.
- الرقم الشخصي أو رقم الهوية.
- الجنسية.
- تاريخ ومكان الميلاد.
- عنوان السكن أو البريد الإلكتروني.
- رقم الهاتف.
- المهنة أو جهة العمل.
- الحالة الاجتماعية.
- الصور الشخصية والتسجيلات الصوتية أو المرئية.
- البيانات المالية.
- البيانات الرقمية المرتبطة باستخدام التطبيقات أو المواقع الإلكترونية.
وبذلك لا تقتصر الحماية على البيانات التقليدية الواضحة، بل تمتد إلى كل معلومة يمكن أن تساهم وحدها أو مع غيرها في تحديد هوية الفرد.
أقرأ ايضًا: التعاقد الإلكتروني والعمل عن بعد في قطر: الإطار القانوني الكامل 2026
ما نطاق تطبيق قانون حماية البيانات الشخصية في قطر؟
لا يطبق القانون على كل استخدام للبيانات في الحياة اليومية. فقد قررت المادة 2 من قانون حماية خصوصية البيانات الشخصية أن أحكامه تسري على البيانات الشخصية عندما تتم معالجتها إلكترونيًا، أو يتم الحصول عليها أو جمعها أو استخراجها بأي طريقة تمهيدًا لمعالجتها إلكترونيًا، أو تتم معالجتها عن طريق الجمع بين المعالجة الإلكترونية والمعالجة التقليدية.
كما استثنى القانون البيانات الشخصية التي يعالجها الأفراد في نطاق شخصي أو عائلي، والبيانات الشخصية التي تتم معالجتها بغرض الحصول على البيانات الإحصائية الرسمية وفق القانون المنظم لذلك.
وهذا يعني أن نطاق القانون يرتبط أساسًا بالمعالجة المنظمة للبيانات، خاصة داخل المؤسسات والمنصات والأنظمة التي تجمع بيانات الأفراد أو تستخدمها أو تخزنها أو تنقلها.
من هو الفرد صاحب البيانات الشخصية؟
يقصد بالفرد في سياق القانون الشخص الطبيعي الذي تتم معالجة بياناته الشخصية.
وقد قررت المادة 3 من قانون حماية خصوصية البيانات الشخصية أن لكل فرد الحق في حماية خصوصية بياناته الشخصية، ولا يجوز معالجة تلك البيانات إلا في إطار الشفافية والأمانة واحترام كرامة الإنسان والممارسات المقبولة، ووفقًا لأحكام القانون.
ومن هنا لا تكون البيانات الشخصية مجرد ملف لدى شركة أو خانة داخل نموذج إلكتروني، بل ترتبط بشخص له حقوق يجب احترامها قبل جمع البيانات وأثناء معالجتها وبعد انتهاء الغرض منها.
من هو المراقب في قانون حماية البيانات؟
يعد المراقب أحد أهم أطراف المسؤولية في قانون حماية البيانات الشخصية في قطر.
وقد عرفه القانون بأنه الشخص الطبيعي أو المعنوي الذي يقوم منفردًا أو بالاشتراك مع غيره بتحديد كيفية معالجة البيانات الشخصية والغرض منها.
وبذلك فإن المراقب هو الجهة التي تقرر لماذا تُجمع البيانات، وكيف تُستخدم، ومن يطلع عليها، وما مدة الاحتفاظ بها، وما الأنظمة أو الجهات التي ستعالجها.
وقد يكون المراقب:
- شركة تجارية.
- مؤسسة مالية.
- مستشفى أو منشأة صحية.
- منصة إلكترونية.
- جهة تعليمية.
- تطبيقًا رقميًا.
- جهة حكومية أو خاصة تعالج بيانات الأفراد.
ولذلك يتحمل المراقب المسؤولية الأساسية عن مشروعية المعالجة وشفافيتها وأمنها، ولا يستطيع الهروب من الالتزام بمجرد أنه عهد بالمعالجة إلى طرف تقني خارجي. فالبيانات ليست حقيبة تُرمى عند المعالج وينتهي الموضوع، رغم أن بعض المؤسسات تتمنى لو كان الامتثال بهذه السذاجة.
من هو المعالج؟
المعالج هو الشخص الطبيعي أو المعنوي الذي يعالج البيانات الشخصية لصالح المراقب ووفق توجيهاته.
ولا يملك المعالج حرية استخدام البيانات لتحقيق أغراضه الخاصة، بل يلتزم بتنفيذ عمليات المعالجة في حدود التكليف الصادر إليه.
وقد يكون المعالج مزود خدمة سحابية، أو شركة تقنية، أو جهة تدير نظامًا إلكترونيًا، أو طرفًا خارجيًا يتولى تخزين البيانات أو تحليلها أو تشغيل خدمة تعتمد عليها.
ومع ذلك، لا يعني وجود معالج أن مسؤولية المراقب تختفي. فالمراقب يظل مسؤولًا عن اختيار المعالج المناسب، وضبط العلاقة معه، والتأكد من التزامه بالضوابط القانونية والفنية اللازمة لحماية البيانات.
ما حقوق الأفراد في حماية بياناتهم الشخصية؟
لا يكتفي القانون بوضع التزامات على الجهات التي تعالج البيانات، بل يمنح الفرد حقوقًا تساعده على معرفة ما يحدث لبياناته والتحكم فيها بقدر مناسب.
وتشمل حقوق الأفراد، وفق المادة 5 من قانون حماية خصوصية البيانات الشخصية، الحق في طلب الوصول إلى البيانات الشخصية ومراجعتها، وطلب تصحيحها إذا كانت غير دقيقة، وطلب حذفها أو محوها في الحالات التي يقررها القانون، ومنها انتهاء الغرض الذي تمت من أجله المعالجة أو عدم وجود مبرر للاحتفاظ بها لدى المراقب.
وتظهر أهمية هذه الحقوق في البيئة الرقمية؛ لأن الفرد قد يقدم بياناته مرة واحدة، ثم تنتقل بين أنظمة أو أقسام أو أطراف متعددة دون أن يدرك كيف تُستخدم أو لمدة كم ستظل محفوظة.
ما الالتزامات القانونية المفروضة على المراقب؟
ألزم القانون المراقب بعدد من الواجبات التي تهدف إلى ضمان معالجة البيانات بطريقة قانونية وآمنة وشفافة.
1. معالجة البيانات في حدود الغرض المشروع
يجب أن ترتبط معالجة البيانات الشخصية بغرض مشروع ومحدد، وأن تكون البيانات التي يتم جمعها ذات صلة بهذا الغرض وكافية لتحقيقه.
ولا يجوز للمراقب أن يجمع بيانات أكثر مما يحتاجه فعليًا، أو يحتفظ بها لمدة أطول من اللازم، أو يستخدمها لأغراض جديدة دون سند قانوني أو أساس مشروع.
فالقاعدة العملية هنا بسيطة: لا تجمع كل ما تستطيع جمعه، بل اجمع ما تحتاج إليه قانونًا وتشغيليًا. الإنترنت جعل جمع البيانات سهلًا، لكنه لم يجعل الإفراط فيها فكرة ذكية.
2. إعلام الفرد قبل المعالجة
يلتزم المراقب، قبل البدء في معالجة البيانات الشخصية، بإعلام الفرد بمجموعة من المعلومات الأساسية.
ومن ذلك، وفق المادة 9 من قانون حماية خصوصية البيانات الشخصية، تعريف الفرد بالمراقب وأغراض المعالجة، والوصف الشامل والدقيق لأنشطة المعالجة ودرجات الإفصاح عن البيانات الشخصية للأغراض المشروعة، أو تمكين الفرد من وصف عام لها إذا تعذر تقديم وصف تفصيلي.
ويهدف هذا الالتزام إلى منع المعالجة الغامضة التي لا يعرف فيها الفرد من يجمع بياناته، ولماذا تجمع، وكيف ستستخدم.
3. الالتزام بالدقة والتحديث وعدم الاحتفاظ الزائد
على المراقب أن يتحقق من أن البيانات الشخصية التي يجمعها أو تجمع لصالحه ذات صلة بالأغراض المشروعة وكافية لتحقيقها، وأن تكون دقيقة ومكتملة ومحدثة بما يفي بتلك الأغراض، وألا يحتفظ بها لمدة تزيد على المدة الضرورية لتحقيقها.
وهذا الالتزام يحمي الفرد من آثار البيانات القديمة أو غير الصحيحة، ويحمي المؤسسة من بناء قراراتها على معلومات فاسدة. والبيانات القديمة في نظام مهمل تشبه ملفًا ورقيًا منسيًا في درج، لكنها هذه المرة قادرة على الانتشار بسرعة مؤسفة.
4. مراعاة حماية الخصوصية عند تصميم الأنظمة
ألزم القانون المراقب باتخاذ إجراءات تتعلق بمراجعة حماية الخصوصية قبل إدراج عمليات معالجة جديدة، وتحديد المعالجين المسؤولين عن حماية البيانات، واستخدام الوسائل التكنولوجية المناسبة لتمكين الأفراد من ممارسة حقوقهم في الوصول إلى البيانات ومراجعتها وتصحيحها.
ويقترب هذا الالتزام من مفهوم الخصوصية منذ التصميم، أي إدخال حماية البيانات في بنية المنتج أو النظام أو الخدمة منذ البداية، بدل محاولة ترقيعها بعد الإطلاق عندما تبدأ الشكاوى والانكشافات، وهي هواية مؤسسية قديمة للأسف.
5. الالتزام بسياسات حماية الخصوصية
يتعين على المراقب الالتزام بسياسات حماية الخصوصية التي تضعها الإدارة المختصة ويصدر بها قرار من الوزير، وفق المادة 8 من قانون حماية خصوصية البيانات الشخصية.
ويعني ذلك أن الامتثال لا يقف عند قراءة القانون، بل يمتد إلى السياسات والقرارات التنظيمية التي تضعها الجهة المختصة لتنفيذ أحكامه.
التدابير الأمنية لحماية البيانات الشخصية
تمثل التدابير الأمنية جوهر الامتثال لقانون حماية البيانات، لأن المعالجة المشروعة لا تكفي إذا كانت البيانات معرضة للضياع أو الإفشاء أو الوصول غير المصرح به.
وقد أوجبت المادة 13 من قانون حماية خصوصية البيانات الشخصية على كل من المراقب والمعالج اتخاذ الاحتياطات اللازمة لحماية البيانات الشخصية من الضياع أو التلف أو التعديل أو الإفشاء أو الوصول إليها أو استخدامها بشكل عارض أو غير مشروع.
وقد تشمل هذه التدابير، بحسب طبيعة البيانات وحجم المعالجة ومخاطرها:
- تحديد صلاحيات الوصول إلى البيانات.
- تشفير البيانات الحساسة عند الحاجة.
- تسجيل عمليات الدخول والاستخدام.
- اعتماد سياسات كلمات مرور قوية.
- تدريب الموظفين على حماية البيانات.
- وضع إجراءات للاستجابة للحوادث.
- مراجعة المعالجين ومزودي الخدمات.
- النسخ الاحتياطي الآمن.
- تقييم المخاطر قبل إدخال أنظمة أو عمليات معالجة جديدة.
ولا يكفي أن تمتلك المؤسسة سياسة خصوصية منشورة على موقعها إذا كانت أنظمتها الداخلية لا تحمي البيانات فعليًا. فسياسة الخصوصية ليست تميمة إلكترونية لطرد الاختراقات.
أقرأ ايضًا: حماية المحتوى المنشأ بالذكاء الاصطناعي وفق قانون حقوق المؤلف القطري
الإخطار عند وقوع اختراق أو إخلال أمني
قد تتعرض البيانات الشخصية لاختراق أو فقدان أو تسريب نتيجة هجوم إلكتروني أو خطأ بشري أو خلل تقني أو قصور في إدارة الصلاحيات.
ولهذا أوجبت المادة 14 من قانون حماية خصوصية البيانات الشخصية على المراقب إعلام الفرد والإدارة المختصة بحدوث أي إخلال بالاحتياطات الأمنية المنصوص عليها في المادة السابقة، إذا كان من شأن ذلك إحداث ضرر جسيم بالبيانات الشخصية أو بخصوصية الفرد.
ويكون الإخطار مهمًا في حالتين أساسيتين:
- إذا كان الإخلال قد يؤدي إلى ضرر جسيم بالبيانات الشخصية.
- إذا كان الإخلال قد يؤدي إلى ضرر جسيم بخصوصية الفرد.
ويهدف الإخطار إلى تمكين الفرد والجهة المختصة من اتخاذ إجراءات تقلل الضرر، مثل تغيير كلمات المرور، أو وقف استخدام حسابات معينة، أو متابعة أي إساءة استخدام محتملة للبيانات.
البيانات الشخصية ذات الطبيعة الخاصة
خص القانون بعض أنواع البيانات بحماية أشد، نظرًا لحساسيتها وخطورة إساءة استخدامها أو إفشائها.
وقد قررت المادة 16 من قانون حماية خصوصية البيانات الشخصية أن البيانات الشخصية ذات الطبيعة الخاصة تشمل البيانات المتعلقة بالأصل العرقي، والأطفال، والصحة أو الحالة الجسدية أو النفسية، والمعتقدات الدينية، والعلاقة الزوجية، والجرائم الجنائية.
كما أجازت للوزير إضافة أصناف أخرى من البيانات الشخصية ذات الطبيعة الخاصة إذا كان من شأن سوء استخدامها أو إفشائها إلحاق ضرر جسيم بالفرد.
ولا يجوز معالجة البيانات الشخصية ذات الطبيعة الخاصة إلا بعد الحصول على تصريح من الإدارة المختصة، وفق الإجراءات والضوابط التي يصدر بتحديدها قرار من الوزير.
وهنا تظهر حساسية الامتثال؛ فمعالجة بيانات صحية أو بيانات أطفال أو بيانات مرتبطة بالحالة النفسية ليست مثل جمع بريد إلكتروني للاشتراك في نشرة. الخلط بينهما قانونيًا يشبه وضع خزنة ومفتاحها تحت لوحة “الرجاء عدم السرقة”.
حماية بيانات الأطفال
تضع المادة 17 من القانون التزامات خاصة على مالك أو مشغل أي موقع إلكتروني موجه للأطفال.
وتشمل هذه الالتزامات، بحسب القانون، وضع إشعار واضح بكيفية معالجة بيانات الأطفال، والحصول على موافقة صريحة من ولي أمر الطفل عند معالجة بياناته الشخصية، وتزويد ولي الأمر عند طلبه بوصف لنوع البيانات التي تتم معالجتها والغرض منها ونسخة من البيانات التي تمت معالجتها أو جمعها عن الطفل.
كما لا يجوز أن تكون مشاركة الطفل في لعبة أو عرض جائزة أو أي نشاط آخر مشروطة بتقديم بيانات شخصية تزيد على ما هو ضروري للمشاركة في ذلك النشاط.
وهذا التنظيم مهم لأن الطفل لا يملك دائمًا القدرة على تقدير أثر مشاركة بياناته، كما أن المنصات الموجهة للأطفال قد تجمع بيانات شديدة الحساسية إذا لم تخضع لضوابط واضحة.
نقل البيانات الشخصية عبر الحدود
يتعامل القانون مع تدفق البيانات الشخصية عبر الحدود بمنطق متوازن.
فقد قررت المادة 15 من قانون حماية خصوصية البيانات الشخصية أنه يُحظر على المراقب اتخاذ أي قرار أو إجراء من شأنه الحد من تدفق البيانات الشخصية عبر الحدود، إلا إذا كانت معالجة تلك البيانات مخالفة لأحكام القانون، أو كان من شأنها إلحاق ضرر جسيم بالبيانات الشخصية أو بخصوصية الفرد.
وتظهر أهمية هذا النص في المعالجة السحابية والخدمات الرقمية العابرة للحدود، حيث قد تُخزن البيانات أو تعالج خارج الدولة ضمن أنظمة أو منصات عالمية.
ولذلك تحتاج المؤسسات إلى فهم أين تذهب البيانات، ومن يعالجها، وما الضمانات المطبقة عليها، بدل الاكتفاء بعبارة “الخدمة على السحابة” وكأن السحابة كائن أخلاقي يحمي كل شيء من تلقاء نفسه.
الغرامة التي لا تجاوز مليون ريال قطري
دعم المشرع القطري التزامات حماية البيانات بعقوبات مالية لضمان جدية الامتثال.
فقد قررت المادة 23 من قانون حماية خصوصية البيانات الشخصية أنه، مع عدم الإخلال بأي عقوبة أشد ينص عليها قانون آخر، يعاقب بالغرامة التي لا تزيد على مليون ريال كل من خالف أيًا من أحكام المواد 4 و8 و9 و10 و11 و12 و14 و15 و22 من القانون.
وتشمل هذه المخالفات مجموعة من الالتزامات المرتبطة بمشروعية المعالجة، وشفافيتها، وحقوق الأفراد، والإخطار عند الإخلال بالتدابير الأمنية، وتدفق البيانات عبر الحدود، وغيرها من المسائل التنظيمية المهمة.
ويعني ذلك أن مخالفة قواعد حماية البيانات لا تقف عند المسؤولية المعنوية أو السمعة السيئة، بل قد تتحول إلى أثر مالي مباشر على المؤسسة أو المخالف.
الغرامة التي لا تجاوز خمسة ملايين ريال قطري
شدد القانون العقوبة في بعض المخالفات التي تمس جوهر حماية البيانات.
فقد قررت المادة 24 من قانون حماية خصوصية البيانات الشخصية أنه، مع عدم الإخلال بأي عقوبة أشد ينص عليها قانون آخر، يعاقب بالغرامة التي لا تزيد على خمسة ملايين ريال كل من خالف أيًا من أحكام المادة 13، والفقرة الثالثة من المادة 16، والمادة 17 من القانون.
وتكشف هذه العقوبة المشددة أن المشرع ينظر بجدية خاصة إلى:
- الإخلال بالتدابير الأمنية اللازمة لحماية البيانات.
- معالجة البيانات الشخصية ذات الطبيعة الخاصة بالمخالفة للضوابط المقررة.
- مخالفة الالتزامات الخاصة بمواقع الأطفال ومعالجة بياناتهم.
وهذا منطقي؛ لأن التساهل في أمن البيانات أو بيانات الأطفال أو البيانات الحساسة قد يسبب أضرارًا جسيمة لا يمكن علاجها بمجرد حذف ملف أو إرسال اعتذار بارد بعد الكارثة.
مسؤولية الشخص المعنوي عن مخالفات حماية البيانات
لم يقصر القانون المسؤولية على الأشخاص الطبيعيين، بل مد نطاقها إلى الأشخاص المعنويين.
فقد نصت المادة 25 من قانون حماية خصوصية البيانات الشخصية على معاقبة الشخص المعنوي المخالف بالغرامة التي لا تزيد على مليون ريال إذا ارتكبت باسمه ولحسابه إحدى الجرائم المنصوص عليها في القانون، وذلك دون الإخلال بالمسؤولية الجنائية للشخص الطبيعي التابع له.
ويعني ذلك أن مسؤولية الشركة أو المؤسسة لا تمنع مساءلة الموظف أو المدير أو الشخص الطبيعي الذي ارتكب الفعل أو شارك فيه متى توافرت أركان المسؤولية.
وهذه القاعدة تدفع المؤسسات إلى بناء أنظمة امتثال داخلية فعلية، لا مجرد تحميل المسؤولية لموظف صغير عند وقوع المشكلة، وهي رياضة إدارية رخيصة يعرفها الجميع.
لماذا شدد المشرع القطري عقوبات حماية البيانات؟
يرجع تشديد العقوبات إلى أن الاعتداء على البيانات الشخصية لا يقتصر أثره على فقدان معلومات مجردة.
فقد يؤدي تسريب البيانات أو استخدامها بصورة غير مشروعة إلى:
- انتحال الهوية.
- الاحتيال المالي.
- الابتزاز الإلكتروني.
- انتهاك الحياة الخاصة.
- الإضرار بالسمعة.
- استغلال البيانات الصحية أو الأسرية أو بيانات الأطفال.
- المساس بثقة العملاء والمستخدمين في المؤسسة.
- تعريض المؤسسة لمخاطر قانونية وتشغيلية وسمعة تجارية.
ولذلك لا ينبغي النظر إلى الامتثال لقانون حماية البيانات باعتباره عبئًا إداريًا، بل باعتباره جزءًا من الحوكمة الرقمية وإدارة المخاطر داخل المؤسسة.
كيف تبني المؤسسات برنامج امتثال لحماية البيانات الشخصية؟
تحتاج الجهات التي تعالج بيانات شخصية إلى تحويل القانون إلى خطوات داخلية قابلة للتنفيذ.
ومن أهم عناصر برنامج الامتثال:
- حصر أنواع البيانات الشخصية التي تجمعها المؤسسة.
- تحديد أغراض جمع البيانات ومعالجتها.
- تمييز البيانات الشخصية ذات الطبيعة الخاصة.
- تحديد المراقب والمعالج في كل عملية معالجة.
- تحديث سياسات الخصوصية وإشعارات المعالجة.
- مراجعة نماذج الموافقة عند الحاجة.
- ضبط صلاحيات الوصول إلى البيانات.
- وضع سياسة للاحتفاظ بالبيانات وحذفها.
- مراجعة عقود المعالجين ومزودي الخدمات.
- إعداد خطة للاستجابة لحوادث الاختراق أو التسريب.
- تدريب الموظفين على التعامل مع البيانات الشخصية.
- توثيق إجراءات الامتثال والقرارات المتعلقة بالمعالجة.
هذه الخطوات لا تمنع كل خطر، لكنها تقلل احتمالات المخالفة وتساعد المؤسسة على إثبات أنها تعاملت مع البيانات بجدية ومسؤولية إذا وقع نزاع أو تحقيق.
مؤشرات الخطر في معالجة البيانات الشخصية
هناك علامات عملية يجب أن تنتبه إليها المؤسسات، لأنها قد تشير إلى وجود فجوة امتثال أو خطر قانوني.
- جمع بيانات لا تحتاجها الخدمة فعليًا.
- عدم وضوح سياسة الخصوصية للمستخدمين.
- استخدام البيانات لأغراض تسويقية دون توضيح كافٍ.
- الاحتفاظ بالبيانات بعد انتهاء الغرض منها.
- منح صلاحيات واسعة للموظفين دون ضرورة.
- عدم وجود سجل واضح لمن يعالج البيانات ولماذا.
- الاعتماد على مزود خارجي دون عقد يحدد التزاماته.
- عدم وجود خطة للإخطار عند حدوث اختراق جسيم.
- معالجة بيانات أطفال أو بيانات صحية دون ضوابط خاصة.
- نقل البيانات إلى خدمات خارجية دون فهم المخاطر أو الضمانات.
وجود مؤشر واحد لا يعني بالضرورة وقوع مخالفة، لكنه يستدعي مراجعة داخلية قبل أن تتحول الفجوة الصغيرة إلى تحقيق رسمي أو غرامة موجعة.
أقرأ ايضًا: حقوق الملكية والذكاء الاصطناعي: الدليل القانوني الشامل لحماية الابتكارات
أسئلة شائعة حول حماية البيانات الشخصية في قطر
ما المقصود بالبيانات الشخصية في القانون القطري؟
البيانات الشخصية هي أي بيانات تتعلق بفرد تكون هويته محددة أو يمكن تحديدها بصورة معقولة، سواء من خلال هذه البيانات وحدها أو من خلال الجمع بينها وبين بيانات أخرى.
من هو المراقب في قانون حماية البيانات؟
المراقب هو الشخص الطبيعي أو المعنوي الذي يحدد منفردًا أو بالاشتراك مع غيره كيفية معالجة البيانات الشخصية والغرض من معالجتها.
من هو المعالج؟
المعالج هو الشخص الطبيعي أو المعنوي الذي يعالج البيانات الشخصية لصالح المراقب ووفق تعليماته، ولا يجوز له استخدامها لأغراض مستقلة خارج نطاق التكليف.
متى يجب الإخطار عن اختراق البيانات؟
يجب على المراقب إعلام الفرد والإدارة المختصة عند حدوث إخلال بالاحتياطات الأمنية إذا كان من شأنه إحداث ضرر جسيم بالبيانات الشخصية أو بخصوصية الفرد.
ما عقوبة مخالفة قانون حماية البيانات في قطر؟
تصل الغرامة إلى مليون ريال قطري لبعض المخالفات، وتصل إلى خمسة ملايين ريال قطري في مخالفات أكثر جسامة، مثل مخالفة التدابير الأمنية أو بعض أحكام البيانات ذات الطبيعة الخاصة وبيانات الأطفال.
هل تسأل الشركة عن مخالفة حماية البيانات؟
نعم، يعاقب الشخص المعنوي بالغرامة إذا ارتكبت الجريمة باسمه ولحسابه، دون الإخلال بالمسؤولية الجنائية للشخص الطبيعي التابع له.
الخاتمة
أصبحت حماية البيانات الشخصية في قطر جزءًا أساسيًا من الحوكمة الرقمية والامتثال القانوني، خاصة مع توسع المؤسسات في استخدام المنصات الرقمية والحوسبة السحابية والذكاء الاصطناعي والخدمات الإلكترونية.
وقد وضع القانون رقم 13 لسنة 2016 بشأن حماية خصوصية البيانات الشخصية إطارًا ينظم معالجة البيانات، ويحدد مسؤوليات المراقب والمعالج، ويحمي حقوق الأفراد، ويفرض تدابير أمنية وإجراءات إخطار عند الإخلال الجسيم.
كما قرر القانون غرامات مالية قد تصل إلى خمسة ملايين ريال قطري في بعض المخالفات الجسيمة، ومد نطاق المسؤولية إلى الأشخاص المعنويين متى ارتكبت الجريمة باسمهم ولحسابهم.
ولذلك لم يعد الالتزام بقواعد حماية البيانات مجرد إجراء شكلي أو بندًا في سياسة خصوصية طويلة لا يقرأها أحد. بل أصبح ضرورة قانونية واستراتيجية لحماية حقوق الأفراد، وتعزيز الثقة في الخدمات الرقمية، وضمان استدامة الأعمال في بيئة رقمية تتطور بسرعة لا تنتظر المؤسسات المترددة.
