شركتي تعمل في الأردن. ماذا يطلب منا القانون حين يقرأ وكيل ذكاء اصطناعي بياناتنا؟

Question

أسئلة أخرى

Answer 1 · 2026-10-28

شركتي تعمل في الأردن. ماذا يطلب منا القانون حين يقرأ وكيل ذكاء اصطناعي بياناتنا؟

الجواب المختصر

قانون حماية البيانات الشخصية رقم 24 لسنة 2023 نافذ، وكان أمام الجهات التي تحتفظ بالبيانات قبله مهلة حتى مارس 2025 لتوفّق أوضاعها. ويجب أن تكون الموافقة صريحة وموثقة، إلا إذا انطبق استثناء من الاستثناءات التي يذكرها القانون. ولا يجوز إرسال البيانات إلى جهة في الخارج تقل حمايتها عن حماية القانون، إلا في حالات محددة، مثل موافقة الشخص بعد أن يُبلَّغ بهذا النقص. والاستراتيجية الأردنية للذكاء الاصطناعي وميثاق أخلاقياته ليسا قانونًا.

القانون الذي ينطبق عليك

ينطبق قانون حماية البيانات الشخصية رقم 24 لسنة 2023. وتذكر وزارة الاقتصاد الرقمي والريادة أنه صدر في 17 سبتمبر 2023. وبدأ العمل به في 17 مارس 2024، بعد 6 أشهر من نشره في الجريدة الرسمية. وكان أمام الجهات التي تتعامل مع البيانات قبل ذلك مدة لا تزيد على سنة لتوفّق أوضاعها، وتذكر الوزارة أنها انتهت في 17 مارس 2025.

ويشمل القانون البيانات التي جُمعت أو عولجت قبل بدء العمل به أيضًا. ولا ينطبق على الشخص الذي يعالج بياناته لأغراضه الشخصية.

من يطبّق القانون

ينشئ القانون مجلس حماية البيانات الشخصية، ويرأسه الوزير. ويصدر المجلس التراخيص والتصاريح، ويقرّ التعليمات التي تنفّذ القانون، وينشر قائمة الدول والجهات التي يجوز نقل البيانات إليها. وتتولى العمل اليومي وحدة تنظيمية مختصة بحماية البيانات الشخصية في الوزارة، وهي التي تتلقى البلاغات عن الخروقات.

ويترك القانون كثيرًا من التفاصيل للأنظمة والتعليمات. وقد وافق مجلس الوزراء على الأسباب الموجبة لمشروع نظام آليات وإجراءات عمل الوحدة لسنة 2025، تمهيدًا لإرساله إلى ديوان التشريع والرأي. وتذكر الوزارة أيضًا أدلة إرشادية عن سياسة الخصوصية، وتقييم الأثر، والإبلاغ عن الخروقات. ولم أجد نظامًا خاصًا بالنقل إلى الخارج حتى أكتوبر 2026.

هل يجوز للوكيل أن يقرأ البيانات الشخصية أصلًا؟

الأصل هو الموافقة. ويجب أن تكون الموافقة صريحة وموثقة، كتابيًا أو إلكترونيًا. ولا تصح الموافقة إذا قامت على معلومات غير صحيحة أو على ممارسة مضللة، أو إذا تغيّرت طبيعة المعالجة أو غرضها دون موافقة جديدة.

ويذكر القانون حالات لا تلزم فيها الموافقة. منها المعالجة التي يفرضها أو يجيزها تشريع أو حكم قضائي، والمعالجة اللازمة للطب الوقائي أو التشخيص الطبي أو تقديم الرعاية الصحية، والمعالجة اللازمة لحماية حياة الشخص أو مصالحه الحيوية، والمعالجة التي تحتاجها الجهات الخاضعة لرقابة البنك المركزي الأردني، والبيانات التي أتاحها الشخص للجمهور بنفسه. ولا يجوز الاحتفاظ بالبيانات بعد أن يتحقق الغرض من معالجتها.

وتشمل البيانات الحساسة في هذا القانون الوضع المالي للشخص، وكذلك البيانات الصحية والجينية وبيانات القياسات الحيوية biometric.

التنميط

يعرّف القانون التنميط profiling بأنه معالجة البيانات آليًا لمعرفة اتجاهات الشخص أو تفضيلاته أو اختياراته أو سلوكه. ويحق للشخص أن يعترض على المعالجة والتنميط إذا لم يكونا ضروريين للغرض، أو زادا عليه، أو كانا تمييزيين، أو خالفا القانون. ويجب على المسؤول أن يُعلم الشخص بالتنميط قبل أن تبدأ المعالجة.

مزوّد النموذج، والبيانات التي تُرسل إلى الخارج

حين يرسل الوكيل نصًا إلى نموذج يشغّله مزوّد، يكون المزوّد جهة معالجة لديك. ويقول القانون إن على المعالج أن يعالج البيانات ضمن شروط القانون فقط، وألا يتجاوز الغرض المحدد للمعالجة ومدتها، وأن يمحو البيانات عند انتهاء المعالجة أو يسلّمها إلى المسؤول، وألا يتيح البيانات أو نتائج المعالجة لغيره إلا بما يجيزه القانون. ويجب عليك أن تتخذ التدابير الأمنية والتقنية والتنظيمية التي تحمي البيانات.

ولا يجوز نقل البيانات إلى شخص خارج المملكة إذا كانت الحماية التي يوفرها أقل من حماية القانون. ومن الاستثناءات موافقة الشخص على النقل بعد أن يُبلَّغ بأن الحماية غير كافية، والتعاون القضائي بموجب اتفاقيات نافذة، والبيانات الطبية اللازمة للعلاج، والعمليات المصرفية وتحويل الأموال. وقبل أي نقل، يجب أن تتحقق من مستوى الحماية الذي توفره الجهة المستقبلة في الخارج.

ويجب على المسؤول أن يعيّن مراقبًا لحماية البيانات في حالات عدة. منها نقل قواعد البيانات إلى خارج المملكة. ومنها أيضًا معالجة البيانات الحساسة أو المالية، وكون معالجة البيانات الشخصية النشاط الرئيسي للمسؤول.

حين يقع خطأ

إذا كان الخرق قد يُلحق بالشخص ضررًا جسيمًا، فيجب أن تبلّغ الأشخاص المتأثرين خلال 24 ساعة من اكتشافه. ويجب أن تبلّغ الوحدة بمصدر الخرق وطريقة حدوثه خلال 72 ساعة. ويلتزم المسؤول الذي يرتكب خطأً جسيمًا أو سوء سلوك متعمدًا بتعويض الشخص.

وإذا استمرت المخالفة بعد إنذار الوحدة، يجوز للمجلس، بتنسيب من الوحدة، فرض غرامة لا تزيد على 500 دينار عن كل يوم تستمر فيه المخالفة، على ألا يزيد مجموعها على 3% من الإيرادات السنوية للسنة المالية السابقة. ويجوز للمحاكم فرض غرامة من 1,000 إلى 10,000 دينار، وتتضاعف عند التكرار.

ماذا يقول الأردن عن الذكاء الاصطناعي نفسه

نشرت وزارة الاقتصاد الرقمي والريادة الاستراتيجية الأردنية للذكاء الاصطناعي والخطة التنفيذية 2023-2027، ووصفتها الوزارة في مارس 2023 بأن مجلس الوزراء أقرّها حديثًا. ونشرت الوزارة أيضًا مسودة الميثاق الوطني لأخلاقيات الذكاء الاصطناعي للتشاور العام في 2022، وتعرض صفحتها عن الذكاء الاصطناعي هذا الميثاق. وتقول الاستراتيجية إن الميثاق يركّز على حماية الخصوصية، إلى جانب أمور أخرى. وليست الاستراتيجية ولا الميثاق قانونًا. ولم أجد قانونًا أردنيًا للذكاء الاصطناعي حتى أكتوبر 2026.

قواعد القطاعات

البنوك والشركات المالية. المعالجة التي تحتاجها الجهات الخاضعة لرقابة البنك المركزي الأردني معفاة من الموافقة، والعمليات المصرفية وتحويل الأموال إلى الخارج معفاة من قيد النقل. فراجع قواعد البنك المركزي نفسه أيضًا.

ماذا يعني هذا لك

احصل على موافقة صريحة وموثقة لكل غرض، إلا إذا استطعت أن تستند إلى استثناء يذكره القانون.
قبل أن يرسل الوكيل البيانات إلى مزوّد في الخارج، تحقق من مستوى الحماية هناك، وعيّن مراقبًا لحماية البيانات إذا كنت تنقل قواعد بيانات إلى خارج الأردن.
إذا كان الوكيل يبني ملفات تنميط عن الأشخاص، فأخبرهم قبل أن تبدأ، ووفّر لهم طريقة للاعتراض.
استعد لإبلاغ الأشخاص المتأثرين خلال 24 ساعة، والوحدة خلال 72 ساعة، إذا وقع خرق جسيم.

لست محاميًا. تلخص هذه الصفحة النصوص الرسمية كما قرأتها في أكتوبر 2026. فاسأل محاميًا عن حالتك أنت.

المراجع

هشام المهدي، نُشر 28 أكتوبر 2026