القانون الجزائري 25-11: قاعدة الإشعار في 5 أيام التي تغيّر كل شيء

ما الذي غيّره القانون 25-11 فعلياً — ولماذا يهم الآن

تمتلك الجزائر قانون حماية بيانات منذ يونيو 2018 — القانون 18-07، الإطار الأساسي لحماية البيانات الشخصية الذي أنشأ الهيئة الوطنية لحماية البيانات الشخصية (ANPDP). لثلاث سنوات، وُجد القانون دون هيئة تطبيق فاعلة. تغيّر ذلك في أغسطس 2023 حين أصبحت ANPDP عملياتية، وصارت التزامات الإخطار والامتثال حقيقية.

ثم في يوليو 2025، أقرّ المشرع الجزائري القانون 25-11 معدِّلاً القانون 18-07 بأربعة إضافات هيكلية تغيّر جوهرياً ما يجب على المؤسسات القيام به:

1. التزام إشعار بالاختراق خلال 5 أيام لـ ANPDP فور علم المتحكم باختراق البيانات الشخصية
2. تعيين مسؤول حماية البيانات (DPO) إلزامي بمعايير مؤهلات صريحة
3. تقييمات أثر حماية البيانات (DPIA) إلزامية للمعالجة عالية المخاطر
4. سجل أنشطة المعالجة (المادة 41 مكرر 2) وسجل العمليات الآلي (المادة 41 مكرر 3)

كل التزام يتفاعل مع الآخرين. نافذة الـ 5 أيام غير قابلة للتطبيق دون السجل. السجل يكشف الأنشطة التي تستلزم DPIA. والـ DPO مسؤول عن الأربعة.

الالتزامات الأربعة بالتفصيل

ما يشترطه القانون 25-11 لإشعار الاختراق

تنص المادة 41 مكرر 4 من القانون المعدَّل على أن المتحكمين يجب أن “يُخطروا الهيئة في موعد أقصاه خمسة (5) أيام من تاريخ علمهم بوقوع اختراق للبيانات الشخصية.” أما المعالجون — مزودو الخدمات السحابية، المستعينون بالخدمات، أي مورد يعالج بيانات شخصية نيابةً عن المتحكم — فيجب أن يُخطروا المتحكم “فوراً عند الاكتشاف.” تسري نافذة الـ 5 أيام من تاريخ علم المتحكم لا من تاريخ اكتشاف المعالج.

يُنشئ ذلك سلسلة عملية: المعالج يكتشف الاختراق ← يُخطر المتحكم فوراً ← للمتحكم 5 أيام من علمه لتقديم الإشعار لـ ANPDP. يجب أن يتضمن الإشعار: طبيعة الاختراق، فئات وعدد تقريبي للأشخاص المتضررين، الفئات وعدد تقريبي للسجلات المعنية، العواقب المحتملة، والتدابير المتخذة.

ما يشترطه تعيين DPO

يجب اختيار DPO بناءً على “مؤهلات مهنية ولا سيما المعرفة المتخصصة بالقانون والممارسات المتعلقة بحماية البيانات.” لا يكفي ذلك مدير أمن المعلومات العام دون تكوين قانوني. يجب أن يتمتع DPO بوصول موثق إلى الإدارة العليا واستقلالية تنظيمية.

ما تشترطه DPIA ومتى تُطلَب

تنطبق التزامات DPIA على المعالجة التي “من المرجح أن تُفضي إلى مخاطر عالية على حقوق الأشخاص الطبيعيين وحرياتهم.” فئات التفعيل تشمل: التنميط المنهجي، المعالجة الواسعة للبيانات الحساسة (الصحة، القياسات الحيوية، السوابق الجنائية)، والمراقبة المنهجية للأماكن العامة.

ما تشترطه سجل المعالجة والسجل الآلي

تشترط المادة 41 مكرر 2 سجلاً مكتوباً أو إلكترونياً لجميع أنشطة المعالجة يتضمن: غرض المعالجة، فئات البيانات، فئات المستلمين، فترات الاحتفاظ، والتدابير الأمنية. تشترط المادة 41 مكرر 3 سجلاً آلياً يُثبت الأحداث التشغيلية الفعلية — الوصول، التعديل، الحذف. هذا السجل هو السند الذي ستفحصه ANPDP حين يُطلق إشعار اختراق مراجعةً.

إطار الامتثال في أربعة أعمدة للمؤسسات الجزائرية

1. تعيين DPO وتوثيق التفويض

لا تسمحوا بأن يُمتصّ دور DPO من قِبَل RSSI أو الفريق القانوني دون تعيين رسمي. يجب أن يكون التعيين مكتوباً، ويحدد نطاق العمل وخط الإبلاغ، ويُقرّ وصول DPO لجميع أنشطة المعالجة ذات الصلة، ويوفر بيانات الاتصال للتواصل مع ANPDP. للمؤسسات التي تفتقر إلى مرشحين مؤهلين داخلياً، خدمات DPO الخارجية — أشار عدد من الممارسين المرتبطين بـ SOLTIC Algérie إلى توافرهم — حل مؤقت مناسب.

2. سجل المعالجة — بناؤه من القمة للقاع لا من القاع للقمة

نمط الفشل الأكثر شيوعاً هو بناء السجل كجرد تقني يبدأ من الأنظمة ويحاول اشتقاق الأغراض. ابدأوا بدلاً من ذلك بالعمليات التجارية: ماذا تفعل منظمتكم فعلياً بالبيانات الشخصية؟ التوظيف، الرواتب، إدارة العملاء، العقود مع الموردين. رتّبوا كل عملية بالفئات البيانية التي تلمسها وأساس المعالجة القانونية ومدة الاحتفاظ. الجرد التقني يأتي ثانياً مؤكداً مواقع البيانات — لا محدداً العمليات. سجل مبني هكذا يُنتج تلقائياً قائمة تشغيلات DPIA.

3. السجل الآلي — اعتبروه ضابطاً أمنياً لا أوراقاً بيروقراطية

تتوافق متطلبة السجل الآلي في المادة 41 مكرر 3 تقريباً مع ما تسميه فرق عمليات الأمن الناضجة سجل التدقيق أو سجل SIEM. إذا كانت منظمتكم تشغّل بالفعل SIEM، فلديكم المادة الخام — المهمة ضمان تغطية جميع أنشطة المعالجة المدرجة في السجل. إذا لم يكن لديكم تسجيل آلي على مستوى معالجة البيانات، أعطوا الأولوية للأنشطة الأعلى خطورة أولاً.

4. دليل الاستجابة للاختراقات — تشغيل توقيت الـ 5 أيام قبل الحاجة إليه

لن تكون نافذة الإشعار قابلة للتطبيق إلا إذا أجريتم تدريباً تمثيلياً مسبقاً. يجب أن يحدد الدليل: من يُعلن الاختراق؟ من يصيغ إشعار ANPDP؟ ما البيانات من السجل التي تُغذي الإشعار؟ من يُوافق ويُقدّم؟ وكيف تبدو سلسلة إشعار المعالج؟ تُشير تحليل TÜV Rhineland للقانون 25-11 إلى أن السلسلة معالج→متحكم→هيئة تستلزم جداول زمنية تعاقدية متفقاً عليها مسبقاً مع كل معالج.

مسار التطبيق: ما ستبحث عنه ANPDP أولاً

استهدفت الدورة الأولى للتطبيق في أنظمة مماثلة (CNDP المغربية، INPDP التونسية) الالتزامات الأكثر وضوحاً وقابلية للتحقق: تعيين DPO (أو غيابه)، وجود سجل معالجة، ومدى تقديم إشعارات الاختراق في الوقت المناسب. خضعت منظمات الخدمات المالية والاتصالات والتجارة الإلكترونية للتدقيق الأبكر.

تُلاحظ دورية Digital Policy Alert لحماية البيانات في أفريقيا أن القانون 25-11 الجزائري يجلبه إلى مستوى كثافة الالتزام مماثل لـ POPIA جنوب أفريقيا وقانون حماية البيانات الكيني — وكلاهما انتقلا إلى تطبيق فعّال في غضون 18 شهراً من تعديلاتهما الرئيسية.

الدرس الهيكلي: الالتزامات ضوابط أمنية في الجوهر

كل التزام في القانون 25-11 هو أيضاً ضابط أمني. تعيين DPO يبني المساءلة التنظيمية. سجل المعالجة يكشف تدفقات البيانات التي قد لا تعرفها فرق الأمن. السجل الآلي يخلق سجل التدقيق الذي يحتاجه المحققون عند وقوع اختراق. نافذة الإشعار تفرض الاستثمار في قدرات الكشف.

إطار العقوبات الجنائية الجزائري (حتى 10 سنوات للانتهاكات المتعمدة) يُشير إلى أن الحكومة لا تعتبر حماية البيانات التزاماً هيناً. تجاوز متوسط وقت الكشف العالمي لاختراقات الداخليين 150 يوماً عام 2025. سد هذه الفجوة الكشفية هو الطريق الوحيد لجعل توقيت الإشعار قابلاً للإدارة.

الأسئلة الشائعة

المصادر والقراءات الإضافية

• قوانين حماية البيانات والأمن السيبراني في الجزائر — CMS Law
• نظرة عامة على قانون حماية البيانات الجزائري — CookieYes
• القانون الجزائري 25-11 المعدِّل لقانون حماية البيانات — DataGuidance
• التعديل الجزائري على قانون حماية البيانات الشخصية — TÜV Rhineland
• جولة حول حماية البيانات في أفريقيا — Digital Policy Alert