ما الذي غيّره القانون 25-11 للشركات المنتجة
الإطار الجزائري لحماية البيانات سبق القانون 25-11. أرسى القانون 18-07 (يونيو 2018) التزامات المعالجة الأساسية وأنشأ ANPDP. تأسست ANPDP رسميًا في أغسطس 2022، وفُتحت نافذة تطبيق الامتثال في أغسطس 2023 بعد فترة سماح مدتها سنة.
القانون 25-11 (يوليو 2025)، الموثّق في الفصل الجزائري من دليل CMS Law، أضاف ثلاثة إضافات جوهرية:
تعيين DPO إلزامي. يجب على المتحكمين في المعالجة تعيين مفوّض حماية بيانات “مختار على أساس المؤهلات المهنية، ولا سيما المعرفة المتخصصة في قانون وممارسات حماية البيانات.” لشركة ناشئة في مرحلة السلسلة أ مع 30 مهندسًا وبدون فريق قانوني، هذا التزام توظيف أو تعاقد ملموس.
الاستشارة المسبقة للمعالجة عالية المخاطر عبر DPIA. قبل إطلاق أي ميزة تعالج بيانات شخصية على نطاق واسع أو تتضمن مخاطر، يجب على الشركات إجراء تقييم أثر حماية البيانات وتقديمه لـ ANPDP للاستشارة المسبقة. هذا يُغيّر الجداول الزمنية لتطوير المنتجات: DPIA لميزة analytics جديدة أو وحدة مصادقة بيومترية يمكن أن يستغرق أربعة إلى ستة أسابيع للإعداد والتقديم.
إبلاغ عن انتهاك في غضون 5 أيام. يجب على المتحكمين إبلاغ ANPDP “في أجل لا يتجاوز خمسة أيام من تاريخ علمهم بانتهاك البيانات الشخصية.” يجب على المعالجين إبلاغ المتحكمين فور الاكتشاف. خمسة أيام قصير — يتطلب عملية استجابة للحوادث التشغيلية لم تصممها معظم الشركات الناشئة الجزائرية قط.
لماذا إدارة الموافقة هي الفجوة الفعلية في الامتثال
للشركات المنتجة، الالتزام الأكثر تطلبًا من الناحية التقنية ليس تعيين DPO أو حتى عملية DPIA. إنه بناء بنية تحتية لإدارة الموافقة قابلة للدفاع خلال تفتيش ANPDP.
يتحقق إطار التفتيش الميداني لـ ANPDP، النشط منذ أغسطس 2023، من ثلاث قدرات مرتبطة بالموافقة:
الأساس القانوني الموثق لكل نشاط معالجة. سجل المعالجة — المطلوب بموجب القانون 25-11 — يجب أن يسجّل الأساس القانوني لكل عملية معالجة للبيانات. لشركة ناشئة تعالج بيانات الموقع الجغرافي للمستخدم لتخصيص التوصيل، وعنوان البريد الإلكتروني للإشعارات، والتحليلات السلوكية لتحسين المنتج، فإن لكل منها أساسًا قانونيًا مختلفًا (تنفيذ العقد والمصلحة المشروعة والموافقة الصريحة على التوالي)، ويجب توثيق كل منها بشكل منفصل.
جمع الموافقة الصحيحة حيث تكون الموافقة هي الأساس القانوني. يجب أن تكون الموافقة حرة ومحددة ومستنيرة وصريحة. القانون الجزائري، المنسجم مع بنية اللائحة الأوروبية GDPR، لا يسمح بالموافقة المجمّعة (مثل خانة اختيار واحدة توافق على الشروط والتسويق معًا) أو الخانات المُحددة مسبقًا.
الوفاء بحقوق أصحاب البيانات. للمستخدمين الحق في الوصول إلى بياناتهم وطلب التصحيح وطلب الحذف. تفتيش ANPDP يتحقق مما إذا كانت الشركات لديها عمليات تشغيلية للوفاء بهذه الطلبات — ليس فقط ما إذا كانت سياسة الخصوصية تذكر وجود هذه الحقوق.
إعلان
ما يجب على الفرق الجزائرية العاملة في SaaS والتطبيقات بناؤه
1. دمج وحدة إدارة موافقة في المنتج قبل الإطلاق القادم
البنية التحتية للموافقة يجب بناؤها قبل شحن الميزة. وحدة إدارة الموافقة تحتاج إلى أربعة مكوّنات: قاعدة بيانات سجلات الموافقة (تخزين ما وافق عليه كل مستخدم ومتى وفي أي إصدار من نص الموافقة)؛ وآلية تحديث الموافقة (إعادة طلب الموافقة عند تغيّر أغراض المعالجة)؛ وآلية السحب (واجهة مستخدم للتراجع عن موافقات محددة دون إغلاق الحساب)؛ وسجل تدقيق (سجل غير قابل للتغيير لأحداث الموافقة لتفتيش ANPDP). توجد مكتبات مفتوحة المصدر لإدارة الموافقة للويب والجوال — تطبيق إحداها هو مهمة هندسية لسبرينت واحد.
2. رسم خريطة سجل المعالجة قبل وصول أول طلب ANPDP
القانون 25-11 يشترط على المتحكمين الاحتفاظ بسجل المعالجة وسجل آلي لأحداث الوصول إلى البيانات. معظم الشركات الجزائرية الناشئة لم تُعدّ واحدًا قط. يوثّق السجل: ما البيانات المجمّعة، ولأي غرض، وبموجب أي أساس قانوني، ومن يمكنه الوصول إليها، ومدة الاحتفاظ بها، وما إذا كانت تُنقل إلى معالجين خارج الجزائر. يُشترط الحصول على إذن من ANPDP لنقل البيانات الشخصية إلى الخارج — وهو اشتراط يؤثر على أي شركة ناشئة تستخدم بنية تحتية AWS أو Google Cloud أو Azure المستضافة خارج الجزائر. السجل هو الوثيقة التي يطلبها مفتشو ANPDP أولًا.
3. تصميم سير عمل إبلاغ بانتهاك خلال 5 أيام في عملية الاستجابة للحوادث
نافذة إبلاغ 5 أيام تعني أن الشركة الناشئة تحتاج لتحديد وتصنيف والإبلاغ عن انتهاك البيانات الشخصية لـ ANPDP قبل أن تنتهي معظم الشركات من التحقيق الداخلي. يتطلب سير العمل: تعريفًا محددًا لـ”انتهاك البيانات” (ليس كل حادث أمني انتهاكًا)؛ ومُبلِّغًا داخليًا مُعيَّنًا مع وصول مباشر لـ ANPDP؛ ونموذج إبلاغ مُعدًّا مسبقًا يمكن للموظفين إكماله بسرعة تحت ضغط الحوادث؛ وبروتوكول لالتقاط السجلات الجنائية.
4. تدقيق كل معالج ثالث لحالة التصريح من ANPDP
شركة جزائرية ترسل بيانات مستخدم إلى أداة SaaS تابعة لجهة خارجية تعمل كمتحكم ينقل البيانات إلى معالج. القانون 25-11 يشترط تصريح ANPDP مسبق لنقل البيانات إلى الخارج. العقوبات بموجب القانون 25-11 تشمل الغرامات، وللانتهاكات المتكررة، السجن من شهرين إلى خمس سنوات — وهو ما يجعل استكمال التصاريح المتأخرة مبررًا بشكل استباقي.
الدرس الهيكلي للشركات الجزائرية المنتجة
النمط الذي كشفت عنه تفتيشات ANPDP الميدانية منذ أغسطس 2023 متسق: الشركات المبكرة تعامل حماية البيانات كإجراء شكلي قانوني والشركات المتقدمة تعاملها كمتطلب هندسي. تفويض ANPDP هو تطبيق القانون 25-11 بغض النظر عن حجم الشركة أو مرحلة التمويل — لا يوجد إعفاء للشركات الناشئة في القانون.
الشركات الجزائرية المؤسِّسة في القطاعات المنظَّمة — التكنولوجيا المالية وتكنولوجيا الصحة والتكنولوجيا التعليمية والتجارة الإلكترونية — يجب أن تعامل بنية الامتثال للقانون 25-11 كمتطلب منتج في الفئة ذاتها للأمان والموثوقية.
الأسئلة الشائعة
هل ينطبق القانون 25-11 على الشركات الناشئة الصغيرة أم على الشركات الكبرى فحسب؟
ينطبق القانون 25-11 بغض النظر عن حجم الشركة أو مرحلة تمويلها — لا يوجد إعفاء للشركات الناشئة في القانون. تفويض ANPDP هو تطبيق القانون بشكل موحّد. ما يتغير بحسب الحجم ليس قابلية التطبيق بل نطاق الالتزامات: شركة ناشئة تعالج بيانات 500 مستخدم تواجه نفس اشتراطات إدارة الموافقة وتعيين مفوّض حماية البيانات (DPO) مثل شركة تعالج بيانات 500,000 مستخدم، وإن اختلف ملف المخاطر وأولوية التفتيش. يجب على المؤسسين في المراحل المبكرة معاملة بنية الامتثال للقانون 25-11 كمتطلب منتج من السبرينت الأول.
ما هو تقييم أثر حماية البيانات (DPIA) ومتى يُشترط؟
DPIA تقييم منهجي يُحدّد ويُقيّم مخاطر الخصوصية لنشاط معالجة بيانات مُخطَّط له قبل إطلاقه. بموجب القانون 25-11، يجب على الشركات إجراء DPIA وتقديمه لـ ANPDP للاستشارة المسبقة قبل إطلاق أي ميزة تعالج بيانات شخصية على نطاق واسع أو تتضمن مخاطر. عمليًا يشمل هذا: وحدات المصادقة البيومترية، ميزات التحليلات السلوكية على نطاق واسع، معالجة بيانات الصحة أو المالية، وأي نظام يتخذ قرارات آلية تؤثر على المستخدمين. تستغرق عملية DPIA عادةً أربعة إلى ستة أسابيع للإعداد والتقديم.
ما الذي يحدث إذا فشلت شركة ناشئة جزائرية في إبلاغ ANPDP بانتهاك بيانات في غضون 5 أيام؟
عدم الإبلاغ لـ ANPDP خلال نافذة 5 أيام يُشكّل انتهاكًا للقانون 25-11 ويُعرّض الشركة لإطار العقوبات: الغرامات، وللانتهاكات المتكررة السجن من شهرين إلى خمس سنوات للأشخاص المسؤولين. الحل التشغيلي هو تصميم سير عمل إبلاغ الانتهاك قبل وقوع أول حادثة — بما فيه نموذج إبلاغ مُعدٌّ مسبقًا، ومُبلِّغ داخلي مُعيَّن مع وصول مباشر لـ ANPDP، وبروتوكول لالتقاط السجلات الجنائية.
—
