حماية بيانات العملاء في مكاتب المحاماة وفق نظام حماية البيانات الشخصية

يعرف المحامي منذ يومه الأول في المهنة أن أسرار موكله أمانة، لكن صورة هذه الأمانة تغيرت: لم تعد ملفات ورقية في خزانة مقفلة، بل صارت صوراً لهويات وتقارير طبية وكشوف حسابات ومحادثات تنتقل بين البريد الإلكتروني وتطبيقات الهاتف والخدمات السحابية. ومع صدور نظام حماية البيانات الشخصية في المملكة، أضيفت إلى واجب السرية المهنية التزامات تنظيمية محددة تخضع لها مكاتب المحاماة بوصفها جهات تعالج بيانات شخصية. فما الذي يعنيه ذلك عملياً لمكتبك؟

لماذا يعني النظام مكاتب المحاماة تحديداً؟

المكتب يجمع بيانات شخصية من كل اتجاه: بيانات الموكلين وعائلاتهم، وبيانات الخصوم والشهود، وبيانات موظفي الشركات الموكلة في النزاعات العمالية، فضلاً عن بيانات موظفي المكتب أنفسهم. وكثير من هذه البيانات من الفئات الحساسة، كالبيانات الصحية في قضايا الإصابات والأحوال الشخصية، والبيانات الجنائية والأمنية، والبيانات الائتمانية والمالية التي تستلزم حماية مشددة.

ويشرف على تطبيق النظام في المملكة الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)، وقد صدرت له لوائح تنفيذية تفصّل الالتزامات. وفي دولة قطر يسري قانون حماية خصوصية البيانات الشخصية بإشراف الجهة المختصة، ويقوم على مبادئ متقاربة. والمكاتب العاملة في البلدين تحتاج إلى مراعاة الإطارين معاً، مع الرجوع إلى النص الساري ولوائحه، لأن التفاصيل والإجراءات قد تختلف وتتطور.

هل المكتب جهة تحكم أم جهة معالجة؟

يميز النظام بين الجهة التي تحدد أغراض معالجة البيانات ووسائلها، وهي «جهة التحكم»، والجهة التي تعالجها لحساب غيرها. وفي الغالب يكون مكتب المحاماة جهة تحكم بالنسبة لبيانات ملفاته، لأنه هو من يقرر ما يجمعه وكيف يستخدمه في تمثيل موكله، بينما يكون مزود الخدمة السحابية أو برنامج إدارة المكتب جهة معالجة لحسابه. ويترتب على هذا التكييف أن المسؤولية الأساسية عن الامتثال تقع على المكتب، وأن عليه اختيار مقدمي الخدمات الذين يوفرون ضمانات كافية والتعاقد معهم بما يكفل ذلك.

المبادئ الأساسية بلغة المكتب

يمكن ترجمة المبادئ العامة لحماية البيانات إلى ممارسات يومية في المكتب على النحو التالي:

المبدأ	ما يعنيه في مكتب المحاماة
تحديد الغرض	جمع البيانات لغرض تمثيل الموكل أو تقديم الاستشارة، وعدم استخدامها لأغراض أخرى كالتسويق دون أساس نظامي.
تقليل البيانات	طلب ما يلزم للملف فقط؛ فلا داعي لنسخة جواز السفر إن كانت الهوية الوطنية كافية.
الدقة	تحديث بيانات التواصل والصفة النظامية للموكلين وتصحيح الأخطاء عند العلم بها.
تحديد مدة الاحتفاظ	وضع سياسة مكتوبة لمدة حفظ الملفات بعد انتهاء القضية، توازن بين المتطلبات النظامية والمهنية وعدم الإبقاء على البيانات بلا حاجة.
الأمن	اتخاذ تدابير تنظيمية وتقنية تتناسب مع حساسية البيانات، كالتشفير والصلاحيات والنسخ الاحتياطي.

حقوق صاحب البيانات وكيف يستجيب لها المكتب

يمنح النظام صاحب البيانات حقوقاً منها: الحق في العلم بالأساس النظامي والغرض من جمع بياناته، والحق في الوصول إليها والحصول على نسخة منها، والحق في طلب تصحيحها، والحق في طلب إتلافها متى انتفت الحاجة إليها، مع مراعاة الاستثناءات المقررة. وفي سياق مكتب المحاماة تثور أسئلة دقيقة، كطلب الخصم الاطلاع على بياناته الموجودة في ملف الموكل، وهنا يتقاطع النظام مع واجب السرية المهنية ومع الاستثناءات المتعلقة بالإجراءات القضائية؛ فلا يُجاب عن مثل هذه الطلبات بصورة آلية، بل بعد دراسة قانونية لكل حالة.

الأساس النظامي للمعالجة

لا تقوم كل معالجة على موافقة صاحب البيانات؛ فالنظام يعرف أسساً أخرى، كتنفيذ اتفاقية يكون صاحب البيانات طرفاً فيها، أو الوفاء بالتزام نظامي، أو المصلحة المشروعة في حدودها. وتحديد الأساس الصحيح لكل نوع من البيانات في المكتب يجنّب الاعتماد على موافقات شكلية قد لا تصمد عند المساءلة.

والعملي أن يعتمد المكتب إجراءً مكتوباً لاستقبال هذه الطلبات: من يتلقاها، وكيف يُتحقق من هوية مقدمها، ومن يقرر الاستجابة، وخلال أي مدة، وكيف يُوثَّق ذلك.

المخاطر الأكثر شيوعاً في المكاتب

• تطبيقات المحادثة الشخصية: تبادل صور المستندات مع الموكلين عبر حسابات شخصية على هواتف المحامين، دون رقابة ولا أرشفة ولا قدرة على الحذف عند مغادرة الموظف.
• البريد الإلكتروني غير المحمي: إرسال ملفات حساسة دون تشفير أو إلى عنوان خاطئ بسبب الإكمال التلقائي.
• الصلاحيات المفتوحة: وصول كل موظف إلى كل الملفات، بما فيها ملفات لا علاقة له بها.
• الأجهزة غير المؤمنة: حواسيب محمولة دون تشفير أو كلمات مرور ضعيفة ومشتركة.
• الأدوات الخارجية: رفع مستندات الموكلين إلى خدمات عامة على الإنترنت للترجمة أو التلخيص أو تحويل الصيغ، دون معرفة أين تُخزَّن البيانات ومن يطلع عليها.
• نقل البيانات خارج الحدود: استخدام خدمات تُستضاف بياناتها خارج المملكة دون مراعاة الضوابط النظامية المنظمة لنقل البيانات الشخصية إلى خارجها.

تخيل محامياً يغادر المكتب وفي هاتفه مئات المحادثات مع موكلين تتضمن صور هويات وعقوداً وتقارير طبية. لا يملك المكتب في هذه الحالة أي وسيلة لاسترجاع تلك البيانات أو حذفها، ولا يعرف على وجه الدقة ما الذي غادر معه. هذا السيناريو المتكرر وحده كافٍ لتبرير الانتقال إلى قنوات تواصل مؤسسية يملكها المكتب ويتحكم فيها.

قائمة امتثال عملية للمكتب

1. حصر البيانات: أين توجد بيانات الموكلين؟ في أي أنظمة وأجهزة وحسابات؟ ومن يصل إليها؟
2. سجل المعالجة: توثيق أنواع البيانات وأغراض معالجتها ومدد الاحتفاظ بها والجهات التي تُشارَك معها.
3. سياسة خصوصية واضحة: تُبلَّغ للموكلين عند فتح الملف، بلغة مفهومة.
4. صلاحيات مبنية على الحاجة: يطلع كل عضو في الفريق على الملفات التي يعمل عليها فقط.
5. قناة تواصل آمنة مع الموكلين: بدلاً من تطبيقات المحادثة الشخصية والبريد غير المحمي.
6. عقود مع مقدمي الخدمات: تتضمن التزامات واضحة بحماية البيانات وسريتها ومكان استضافتها.
7. خطة للاستجابة للحوادث: تحدد كيفية اكتشاف التسرب واحتوائه وتقييمه وإبلاغ الجهة المختصة وأصحاب البيانات عند الاقتضاء وفي المدد التي تحددها اللوائح.
8. تدريب دوري: لجميع الموظفين، بمن فيهم السكرتارية والمتدربون.

نصائح عملية للمحامي

• عامل كل مستند يصلك من موكل كأنه سيُطلب منك يوماً إثبات كيف حفظته ومن اطلع عليه.
• لا تطلب من الموكل بيانات «احتياطاً»؛ فكل بيان إضافي مسؤولية إضافية.
• عند انتهاء الملف، طبّق سياسة الاحتفاظ فعلياً بدل أن تبقى حبراً على ورق.
• حين تراجع عقود الموكلين من الشركات بشأن حماية البيانات، طبّق المعايير نفسها على مكتبك؛ فمصداقيتك المهنية جزء من خدمتك.
• تابع اللوائح والإرشادات التي تصدرها الجهات المختصة، فهي تتطور بوتيرة متسارعة.
• عيّن داخل المكتب مسؤولاً واضحاً عن ملف حماية البيانات، حتى لو كان المكتب صغيراً، ليكون مرجعاً للفريق وجهة تنسيق عند وقوع أي حادث.
• راجع دورياً قائمة من يملكون صلاحية الوصول إلى الأنظمة، وألغِ صلاحيات من غادروا المكتب فور مغادرتهم.

خلاصة

حماية بيانات الموكلين ليست ملفاً تقنياً يُترك لمسؤول الحاسب الآلي، بل امتداد لواجب السرية الذي تقوم عليه مهنة المحاماة، وأصبحت له اليوم أبعاد نظامية واضحة. والخطوة الأهم هي نقل العمل من الأدوات المتفرقة إلى بيئة واحدة منضبطة؛ ففي عدالة تُدار الملفات والمستندات والتواصل مع الموكلين ضمن صلاحيات محددة لكل مستخدم وسجل للعمليات، ويمكن الاطلاع على تفاصيل ضوابط الأمان وحماية البيانات وتقييم مدى ملاءمتها لسياسة المكتب، مع بقاء المسؤولية النظامية عن الامتثال على المكتب نفسه.

تنبيه: هذا المقال للتثقيف القانوني العام ولا يُعد استشارة قانونية. تختلف الأحكام باختلاف الوقائع وتعديلات الأنظمة، فراجع النص النظامي الساري أو محامياً مختصاً قبل اتخاذ أي إجراء.