مسار الجزائر نحو ملاءمة RGPD: كيف تفتح القانون 25-11 أبواب تصدير البيانات إلى الاتحاد الأوروبي

من القانون 18-07 إلى القانون 25-11: ما الذي تغيّر ولماذا يهمّ

بدأت رحلة الجزائر في مجال حماية البيانات مع القانون رقم 18-07 يونيو 2018، الذي أنشأ الهيئة الوطنية لحماية البيانات الشخصية (ANPDP) ووضع قواعد أساسية بشأن الموافقة وحقوق الأفراد والنقل عبر الحدود. وظل الإطار لسنوات خمس تقريباً حبراً على ورق — إذ لم تصبح ANPDP فاعلة عملياً إلا في أغسطس 2022، ولم يسرِ الامتثال الإلزامي إلا في أغسطس 2023.

أما القانون 25-11 الصادر في يوليو 2025 فيُمثّل ترقيةً جوهرية. إذ يُضيف ثلاثة ركائز تبحث عنها المفوضية الأوروبية تحديداً عند تقييم ملاءمة الدول الثالثة: اشتراط تعيين مسؤول لحماية البيانات (DPO) للمؤسسات التي تُجري معالجة عالية المخاطر، واشتراط تقييمات أثر حماية البيانات (DPIA) قبل الشروع في أي عملية عالية المخاطر، وسجلات المعالجة الآلية. وهذه ليست إضافات شكلية — بل هي آليات الحوكمة التي يعتبرها RGPD متطلبات مسبقة لنظام حماية البيانات الجدير بالثقة.

تحتفظ ANPDP بدورها بوصفها الجهة التنظيمية المستقلة، وهو شرط هيكلي للملاءمة. وتُصدر التفويضات للنقل عبر الحدود، وتتعامل مع شكاوى الأفراد، وتفرض عقوبات إدارية وجنائية تتراوح بين 20,000 و1,000,000 دينار جزائري، مع السجن من سنتين إلى خمس سنوات للانتهاكات الجنائية.

كيف تعمل ملاءمة الاتحاد الأوروبي — وأين تقف الجزائر

تصدر قرارات الملاءمة الأوروبية عن المفوضية الأوروبية بموجب المادة 45 من RGPD. وعند منحها، تتيح تدفق البيانات الشخصية بحرية من الاتحاد الأوروبي (والمنطقة الاقتصادية الأوروبية) إلى الدولة الثالثة دون أي ضمانة إضافية — لا بنود تعاقدية موحدة، ولا قواعد ملزمة للشركات، ولا تقييمات أثر النقل. وتتمتع حالياً 31 ولاية قضائية بوضع الملاءمة، منها اليابان وكوريا الجنوبية والمملكة المتحدة والولايات المتحدة (في إطار Data Privacy Framework).

الجزائر ليست ضمن هذه القائمة، ولم يُعلَن عن أي إجراء تقديم رسمي. غير أن معايير المفوضية المنشورة تتطابق تقريباً مع ما تُوفّره لوائح القانون 25-11:

• سلطة رقابية مستقلة — ANPDP (أُسست أغسطس 2022) ✓
• سيادة القانون واحترام الحقوق الأساسية — الإطار الدستوري ✓
• إنفاذ فعّال — عقوبات إدارية وجنائية ✓
• حقوق الأفراد — الوصول والتصحيح والاعتراض والحذف (ثغرة جزئية مقارنةً بحق النقل في RGPD)
• نظام الإخطار — خمسة أيام (يشترط RGPD 72 ساعة؛ الفارق ثغرة محتملة تستوجب المعالجة)
• متطلبات DPO وDPIA — أُضيفت حديثاً بموجب القانون 25-11 ✓

تُشير دراسة CMS Law التخصصية حول الجزائر إلى أن الإطار الجزائري يشترك مع RGPD في مبادئه الأساسية — المعالجة المشروعة والنزيهة، وتحديد الغرض، وتقليل البيانات، والدقة، وتحديد فترة الحفظ — وإن كان “أقل تفصيلاً في المعايير التقنية”. سد هذا الفجوة، لا سيما فيما يخص مواعيد الإخطار بالاختراق وحقوق نقل البيانات، سيُعزّز موقف الجزائر في أي مسعى للملاءمة تعزيزاً ملموساً.

فرصة الوصول إلى السوق لشركات SaaS الجزائرية

الحجة التجارية للسعي نحو ملاءمة الاتحاد الأوروبي جوهرية. تضطر شركات SaaS الجزائرية التي تخدم عملاء أوروبيين حالياً إلى التعامل مع طلبات تفويض النقل كل صفقة عبر ANPDP، أو التفاوض على بنود تعاقدية موحدة مع كل شريك أوروبي. كلا الآليتين بطيئتان ومحفوفتان بالقانوني عدم اليقين، إذ تُشكّلان عائقاً يستشهد به المشترون الأوروبيون عند اختيار موردين من ولايات قضائية غير ملائمة.

وستُزيل قرارات الملاءمة هذا العائق فجأةً. وستتيح لمزودي الخدمات السحابية الجزائريين ومنصات التقنية المالية وشركات البرمجيات B2B تقديم عروض للعقود الأوروبية على قدم المساواة التنظيمية مع منافسيهم اليابانيين أو الكوريين الجنوبيين. وفق تحليل DataGuidance للولاية القضائية الجزائرية، يستوجب نظام النقل الحالي إثبات “مستوى كافٍ من الحماية” لإرضاء ANPDP — معيار ذاتي يُفرز مخاطر قانونية لكل صفقة بدلاً من اليقين المنهجي.

وبالنسبة للحكومة الجزائرية، سيُشير وضع الملاءمة أيضاً إلى المصداقية الرقمية السيادية — وهو مؤشر يستقطب المشاريع الرقمية الممولة أوروبياً والشراكات البحثية والاستثمارات التقنية التي تتدفق حالياً بشكل تفضيلي نحو الدول الملائمة.

ما يجب على الشركات التقنية الجزائرية فعله الآن

1. بناء حوكمة مكافئة لـ RGPD اليوم

لا تنتظر صدور قرار ملاءمة لبدء الاستثمار في بنية تحتية لحوكمة البيانات. العملاء الأوروبيون من المؤسسات يُجرون بالفعل عمليات العناية الواجبة بالموردين باستخدام قوائم مراجعة مكافئة لـ RGPD. الشركات التي تُعيّن مسؤول حماية البيانات، وتحتفظ بسجل المعالجة، وتُجري تقييمات أثر الخصوصية لبيانات العملاء، يمكنها إثبات الجاهزية للامتثال في طلبات العروض الآن — حتى قبل حصول الجزائر على ملاءمة رسمية. يُحوّل هذا التوجه التزاماً تنظيمياً (اشتراط DPO في القانون 25-11) إلى أصل تجاري.

عملياً: ارسم خرائط تدفقات البيانات من البداية إلى النهاية، وصنّف أنشطة المعالجة حسب مستوى المخاطرة، وعيّن مسؤولية DPO لشخص مُسمّى بصلاحية موثّقة. وقد أشارت ANPDP إلى توقعها أن تبدأ المؤسسات هذا العمل دون انتظار اتخاذ إجراءات تنفيذية.

2. تحديد الثغرات المتبقية بالنسبة لـ RGPD وسدّها

ثمة ثغرتان تقنيتان في القانون 25-11 ستستقطبان على الأرجح اهتمام المفوضية الأوروبية في أي مراجعة ملاءمة: النافذة الجزائرية للإخطار بالاختراق في خمسة أيام (مقارنةً بـ 72 ساعة في RGPD) وغياب حق رسمي في نقل البيانات (المادة 20 من RGPD). وينبغي للشركات الجزائرية المُصدِّرة للبيانات إلى الاتحاد الأوروبي توثيق آلية سد هذه الثغرات تعاقدياً — بالالتزام بالإخطار في 72 ساعة للشركاء الأوروبيين وتوفير البيانات بصيغ قابلة للقراءة آلياً عند الطلب.

يتعين على الفرق القانونية أيضاً مراجعة أي معالجة عابرة للحدود في ضوء اشتراط تفويض ANPDP. فالنقل غير المرخّص ينطوي على مخاطر تنفيذية مع توسّع ANPDP في برامج التفتيش.

3. المشاركة في العملية السياسية لـ ANPDP

لا تمتلك ANPDP حالياً أي إرشادات تنفيذية منشورة أو إجراءات تنفيذية أو لوائح ثانوية تُوضّح تفاصيل تنفيذ القانون 25-11. وهذا يُتيح فرصة لجمعيات الصناعة التقنية الجزائرية — والشركات الفردية الأكبر حجماً — للتواصل مع الهيئة عبر استشارات رسمية. تقديم مدخلات تقنية حول معايير مؤهلات DPO ومنهجية DPIA وصيغ الإخطار بالاختراق يعكس نوع الحوار بين الصناعة والجهات التنظيمية الذي سبق قرارات الملاءمة في ولايات قضائية أخرى.

نافذة الملاءمة وما هو آتٍ

يُمثّل القانون 25-11 الجزائري أهمّ توافق مع المعايير الدولية لحماية البيانات في تاريخ البلاد التشريعي. غير أن الملاءمة ليست تلقائية — تستلزم اقتراحاً رسمياً من المفوضية ورأياً من المجلس الأوروبي لحماية البيانات وموافقة ممثلي الدول الأعضاء في الاتحاد الأوروبي وقرار اعتماد من المفوضية. استغرقت العملية في ولايات قضائية أخرى سنتين إلى خمس سنوات حتى بعد توفّر أطر راسخة.

الأفق الواقعي للجزائر هو 2028-2030، شريطة أن تُبادر الحكومة إلى فتح المناقشات. وفي غضون ذلك، يمكن للشركات الجزائرية استخدام البنود التعاقدية الموحدة لتمكين صادرات بيانات الاتحاد الأوروبي — مسار قانوني سليم (وإن كان يُكلّف جهداً تشغيلياً) تجعله متطلبات القانون 25-11 القائمة ذات مصداقية. التوجه الاستراتيجي لقطاع التقنية الجزائري هو معاملة الامتثال للقانون 25-11 لا بوصفه مركز تكلفة بل استثماراً في الوصول إلى الأسواق.

الأسئلة الشائعة

المصادر والقراءات الإضافية

• القانون الجزائري لحماية البيانات: نظرة عامة على لوائح القانون 25-11 — CMS Law
• شرح قانون حماية البيانات الجزائري 25-11 — CookieYes
• قرارات الملاءمة الأوروبية: الدول والإجراءات — المفوضية الأوروبية
• ملخص السياسة الرقمية الجزائرية — Digital Policy Alert
• نظرة عامة على الولاية القضائية الجزائرية — DataGuidance