مقدمة
يرتبط تطبيق قانون حماية البيانات الشخصية بقدرة مركز حماية البيانات الشخصية على إدارة منظومة التراخيص التي تخضع لها أنشطة جمع البيانات وحفظها ومعالجتها. في هذا السياق، تكتسب مواعيد البت في طلبات الترخيص أهمية خاصة؛ إذ تحدد المدة التي تظل خلالها الشركات في انتظار قرار يتوقف عليه استيفاء أحد متطلبات ممارسة نشاطها بصورة مشروعة. ويقتضي ذلك أن تكون هذه المواعيد واضحة في مدتها وبداية احتسابها، وأن تضبط إجراءات الفحص والاستيفاء، بما يتيح تقييم ضمانات حماية البيانات ويمنع امتداد الانتظار دون حد معلوم.
غير أن مقارنة أحكام القانون رقم 151 لسنة 2020 بلائحته التنفيذية وإرشادات المركز تكشف اختلافًا في تحديد مدة الرد والواقعة التي يبدأ منها احتسابها، إلى جانب غموض أثر طلب المستندات الإضافية على سريان الميعاد. وتزداد أهمية هذه الإشكالات مع اعتبار سكوت المركز رفضًا للطلب، وما قد يترتب على تأخر القرار من آثار عند تجديد الترخيص أو انتهاء مهلة توفيق الأوضاع. وبذلك قد تتحمل الشركة تبعات تأخر إداري رغم تقديم طلبها واستيفاء متطلباته، دون أن يعكس هذا التأخر تقييمًا موضوعيًا لمدى كفاية الحماية التي توفرها للبيانات.
تفحص هذه الورقة تنظيم مواعيد البت في طلبات الترخيص، مع اقتراب انتهاء مهلة توفيق الأوضاع في 1 نوفمبر 2026، ومدى اتساق النصوص الحاكمة لها، والآثار المترتبة على تأخر المركز أو امتناعه عن الرد. وتنطلق من أن فعالية حماية البيانات تقتضي إخضاع ممارسة السلطة التنظيمية لضمانات الوضوح والمساءلة، مع الحفاظ على فحص جاد لطلبات الترخيص. وتهدف إلى تقديم مقترحات تضبط المواعيد وتحمي حقوق أصحاب البيانات والمراكز القانونية لطالبي الترخيص.
الإطار التشريعي لحماية البيانات الشخصية ومهلة توفيق الأوضاع
صدر قانون حماية البيانات الشخصية رقم 151 لسنة 2020 لتنظيم التعامل مع البيانات الشخصية المعالجة إلكترونيًا، وتحديد حقوق الأشخاص المعنيين بها والتزامات القائمين على جمعها وحفظها ومعالجتها، في نطاق سريانه. وأنشأ القانون مركز حماية البيانات الشخصية، وأسند إليه اختصاصات تنظيمية ورقابية، من بينها إصدار التراخيص والتصاريح اللازمة لأنشطة التعامل مع البيانات. وبذلك أصبح الحصول على الترخيص أحد متطلبات الامتثال، إلى جانب الالتزامات الموضوعية المتعلقة بمشروعية المعالجة وتأمين البيانات وتمكين أصحابها من ممارسة حقوقهم (المادتان 19 و26 من القانون).
ورغم أن القانون ألزم الوزير المختص بإصدار اللائحة التنفيذية خلال ستة أشهر من تاريخ العمل به، تأخر صدورها حتى عام 2025. وقد نُشر القرار الوزاري رقم 816 لسنة 2025 بإصدارها في الأول من نوفمبر، وبدأ العمل به في اليوم التالي لنشره.أتاح صدور اللائحة تفاصيل أساسية لتنفيذ منظومة الترخيص، شملت فئات التراخيص والتصاريح وشروطها ومستنداتها. كما شملت هذه التفاصيل الرسوم وإجراءات الإصدار والتجديد. وبذلك تجاوز الفاصل بين نشر القانون وإتاحة إطاره التنفيذي خمس سنوات، رغم ارتباط استكمال جوانب أساسية من الامتثال بهذا الإطار (المادة الرابعة من مواد إصدار القانون، والمادة الثانية من قرار إصدار اللائحة).
تلزم المادة السادسة من مواد إصدار القانون المخاطبين بأحكامه بتوفيق أوضاعهم خلال سنة من تاريخ صدور اللائحة التنفيذية. وتشمل هذه العملية مراجعة ممارسات التعامل مع البيانات، واستيفاء متطلبات الحماية، والحصول على التراخيص والتصاريح اللازمة بحسب النشاط. ومن ثم، تتوقف الاستفادة الفعلية من المهلة على وضوح الاشتراطات وإتاحة إجراءات التقديم وقدرة المركز على البت في الطلبات. فاكتمال الامتثال يتضمن إجراءات تملك الشركات تنفيذها، وأخرى يتوقف إنجازها على قرار المركز. ولذلك تُعد مواعيد الترخيص وضمانات الالتزام بها عنصرًا أساسيًا في تقييم عدالة تطبيق القانون وفعاليته.
ميعاد الرد بين القانون واللائحة وإرشادات المركز
حددت المادة 27 من قانون حماية البيانات الشخصية أجلًا للبت في طلبات التراخيص والتصاريح والاعتمادات لا يتجاوز تسعين يومًا من تاريخ استيفاء جميع المستندات والمعلومات، ورتبت على انقضاء هذه المدة دون البت في الطلب اعتباره مرفوضًا. وبذلك ربط المشرع مدة الفحص باكتمال الطلب، وحدد الأثر القانوني لانقضاء هذه المدة. وتكمن أهمية هذا التنظيم في تمكين مقدم الطلب من معرفة الحد الأقصى للانتظار، وتحديد وقت نشوء رفض ضمني يمكنه منازعته. ومن ثم، يؤثر تحديد المدة مباشرة في المركز القانوني للشركة وفي توقيت تحركها لحماية مصالحها.
على الرغم من ذلك، استخدمت اللائحة التنفيذية صياغة مختلفة عند تنظيم إجراءات حصول الأشخاص الاعتبارية على التراخيص والتصاريح. فقد ألزمت المركز بإبلاغ مقدم الطلب بالموافقة أو الرفض خلال مدة لا تتجاوز تسعين يوم عمل من تاريخ استيفاء جميع البيانات والمستندات، مع اعتبار عدم الرد رفضًا للطلب (المادة 36، البند 3). وتؤدي إضافة وصف «عمل» إلى إطالة المدة باستبعاد أيام العطلات من حسابها. فعلى افتراض أسبوع عمل من خمسة أيام، تمتد مدة تسعين يوم عمل إلى نحو ثمانية عشر أسبوعًا، قبل احتساب العطلات الرسمية.
يثير هذا الاختلاف إشكالًا يتعلق بحدود سلطة اللائحة في تنفيذ القانون، فالأصل أن تفصّل اللائحة إجراءات تطبيقه دون تعديل أحكامه. غير أن اللائحة استخدمت عبارة «تسعين يوم عمل» بدلًا من «تسعين يومًا» الواردة في المادة 27 من القانون، وهو ما يطيل المدة باستبعاد أيام العطلات من حسابها. ويرجّح احتساب المدة بالأيام التقويمية، التي تدخل فيها أيام العطلات ضمن الحساب. يدعم هذا الترجيح أن المشرع استخدم تعبير «أيام عمل» صراحة عند تحديد مواعيد أخرى، ومنها ميعاد الرد على طلبات الأشخاص المعنيين بالبيانات في المادة 32. ولذلك، قد يعتبر أن إطالة المدة في اللائحة تثير شبهة مخالفة القانون، باعتباره أعلى مرتبة من اللائحة. ولا يزيل التفويض بتنظيم إجراءات إصدار التراخيص هذه الشبهة، ما دام القانون قد حدد مدة البت بنفسه.
وتضيف إرشادات المركز صياغة ثالثة، إذ تقرر إصدار القرار خلال تسعين يومًا من تاريخ استلام الطلب، دون أن تنص على احتساب المدة بأيام العمل أو تربط بدايتها صراحة باستيفاء المستندات (البند 2.3). وبذلك تتفق الإرشادات مع القانون في التعبير عن مدة التسعين يومًا، لكنها تختلف عنه في تحديد بدايتها. ولا تحسم الإرشادات هذا الاضطراب، فهي وثيقة تفسيرية تتضمن تنويهًا بأنها لا تُعد قرارًا إداريًا أو تنظيميًا ملزمًا. ولا تملك هذه الوثيقة تعديل حكم القانون أو معالجة التعارض بينه وبين اللائحة بمجرد صياغة مغايرة.
يترتب على تعدد الصياغات غموض في توقيت تحقق الرفض الضمني، فقد تعتبر الشركة أن المدة انقضت، بينما يواصل المركز احتسابها بأيام العمل. ويقتضي ضبط هذا الوضع تصحيح النص اللائحي بما يتفق مع القانون، وتوحيد الإرشادات وإجراءات البوابة الإلكترونية على الأساس نفسه. فوضوح الميعاد شرط لإمكان مساءلة المركز عن تجاوزه، ولتمكين طالب الترخيص من تحديد وضع طلبه دون الاضطرار إلى تحمل كلفة النزاع حول طريقة حساب المدة ذاتها.
بدء احتساب الميعاد من استلام الطلب أم استيفاء المستندات
تتوقف فعالية ميعاد البت في طلب الترخيص على إمكان تحديد بدايته وإثباتها. فالقانون يربط بدء سريان مدة التسعين يومًا باستيفاء جميع المستندات والمعلومات، وتتبع اللائحة التنفيذية الأساس نفسه في طلبات الأشخاص الاعتبارية (المادة 27 من القانون، والمادة 36 من اللائحة). ويعني ذلك أن مجرد إيداع طلب ناقص لا يكفي لبدء المدة. لكن النصين يتركان مساحة للالتباس بشأن كيفية إثبات استيفاء المتطلبات، والمدة التي يجوز أن يستغرقها المركز للتحقق من اكتمال الملف وإخطار الشركة بالنواقص. وقد يؤدي غياب هذا التحديد إلى بقاء الطلب معلقًا قبل بدء الميعاد المقرر للبت فيه.
في المقابل، تربط إرشادات المركز مدة الرد بتاريخ استلام الطلب (البند 2.3). ويمكن فهم عبارة «استلام الطلب» على أنها تفترض اكتماله، في ضوء البند السابق الذي يطلب إرفاق جميع المعلومات والمستندات اللازمة. غير أن هذا التفسير لا يغني عن توضيح الفرق بين إثبات إيداع الطلب وإثبات استيفاء متطلباته، خاصة عندما تقبل البوابة الإلكترونية الطلب ثم تظهر أثناء مراجعته متطلبات إضافية. فقبول رفع المستندات أو منح رقم للطلب يثبت واقعة التقديم، لكنه لا يثبت بالضرورة اكتمال المتطلبات القانونية والفنية.
يقتضي ضبط بداية الميعاد التمييز بين تاريخ استيفاء متطلبات الطلب فعليًا وتاريخ إقرار المركز بهذا الاستيفاء. ويرجّح أن المدة تبدأ من تاريخ تقديم آخر ما يلزم من مستندات أو معلومات لاستكمال المتطلبات الواجبة، متى أمكن إثبات ذلك، دون تعليق بدايتها على موعد لاحق يحدده المركز لإصدار إشعار الاكتمال. فالنص يربط الميعاد بواقعة الاستيفاء، ولا يجعل بدايته مشروطة بصدور هذا الإشعار. ويترتب على ذلك أن تأخر الفحص الإداري لا ينبغي أن يؤخر بذاته بداية المدة. ولا يعني اكتمال المستندات الموافقة على مضمونها، إذ يظل للمركز أن يقيّم كفايتها ومدى استيفاء شروط منح الترخيص خلال مرحلة البت.
ولجعل هذا التمييز قابلًا للتطبيق، يلزم إعلان قائمة واضحة بمتطلبات كل فئة من التراخيص، وإثبات المستندات المقدمة وتواريخ تقديمها. كما يلزم تحديد أجل قصير للفحص الأولي وإخطار الشركة بالنواقص، مع بيان أساس طلب استكمالها. وينبغي أن يحدد إشعار الاكتمال التاريخ الذي تحقق فيه الاستيفاء والموعد المتوقع لانتهاء مدة البت، مع إتاحة الاعتراض على اعتبار الملف ناقصًا. وبذلك تصبح بداية الميعاد واقعة يمكن التحقق منها ومراجعتها، وتضيق مساحة إبقاء الطلبات دون بدء احتساب مدة البت فيها، من غير مبرر محدد.
طلبات الاستيفاء الإضافية وأثرها على مدة البت
يجيز القانون للمركز طلب بيانات أو وثائق أو مستندات إضافية للبت في طلب الترخيص، وطلب ضمانات أخرى لحماية البيانات إذا تبين أن الحماية المبينة في المستندات المقدمة غير كافية. وتتيح هذه الصلاحية التحقق من قدرة الشركة على الوفاء بالتزاماتها، خاصة عندما يكشف الفحص الفني عن مخاطر لم يتضح نطاقها عند تقديم الطلب. غير أن النص لا يحدد صراحة أثر هذه الطلبات على ميعاد البت، ولا يضع قواعد تفصيلية لوقفه أو استئناف سريانه أو احتسابه من جديد. وتكرر اللائحة وإرشادات المركز صلاحية طلب الاستيفاء دون حسم أثره على حساب المدة.
يتطلب تحليل المسألة التمييز بين استكمال نقص كان موجودًا في الطلب عند تقديمه، وتقديم إيضاح بشأن مستند سبق تقديمه، وتنفيذ ضمان إضافي استلزمه التقييم الفني. ففي الحالة الأولى، قد يحول غياب مستند لازم، سبق الإعلان عن وجوب تقديمه، دون بدء الميعاد أصلًا. أما الاستيضاح اللاحق فلا يدل بذاته على أن الطلب كان ناقصًا منذ تقديمه، كما أن طلب تعزيز الحماية يعبر عن نتيجة توصل إليها المركز أثناء الفحص. ومن ثم، فإن اعتبار كل مخاطبة إضافية سببًا لإعادة احتساب المدة كاملة من جديد يتيح تمديد الانتظار بصورة متكررة، وقد يجعل الحد الأقصى للبت غير فعّال في ضبط مدة الانتظار.
لا ينبغي أن تنشئ صلاحية طلب المعلومات، بذاتها، سلطة مفتوحة لإعادة بدء الميعاد. وفي الوقت نفسه، يستلزم التقييم الجاد تمكين المركز من الحصول على المعلومات الضرورية، مع تحديد مسؤولية الشركة عن التأخر في تقديمها. لذلك يحتاج أثر الاستيفاء على المدة إلى تنظيم صريح، يحترم الحد الزمني الذي قرره القانون، ويبيّن حالات عدم اكتمال الطلب منذ البداية ويميزها عن إجراءات الفحص اللاحقة. ويجب أن يستند أي تنظيم لوقف الميعاد بعد بدئه إلى أساس قانوني كافٍ، ولا يجوز افتراض أن صلاحية طلب المستندات تمنح المركز صلاحية وقف الميعاد.
وعمليًا، ينبغي أن تتضمن مخاطبة الاستيفاء بيانًا محددًا بالمطلوب، مع توضيح ضرورته وأساس طلبه. وينبغي أن تحدد أجلًا مناسبًا للاستجابة، وأن توضح أثر طلب الاستيفاء على حساب المدة. كما ينبغي تجميع النواقص التي يمكن اكتشافها بالفحص المعتاد في مخاطبة واحدة، وبيان أسباب أي طلب لاحق، وتوثيق تاريخ استجابة الشركة. يتيح ذلك مراجعة مصدر التأخير والتمييز بين الوقت المستغرق في استكمال المعلومات والوقت الذي يستغرقه المركز في دراستها، مع الحفاظ على متطلبات حماية البيانات.
سكوت المركز واعتبار طلب الترخيص مرفوضًا
يُعد طلب الترخيص مرفوضًا بحكم القانون إذا انقضت مدة البت فيه دون اتخاذ قرار، بعد استيفاء جميع المستندات والمعلومات (المادة 27). ويعني ذلك أن سكوت المركز ينتج أثرًا قانونيًا دون الحاجة إلى صدور قرار صريح، لكنه لا يكشف بذاته عن سبب الرفض أو عمّا إذا كان الطلب قد خضع لتقييم موضوعي. فقد ينقضي الميعاد بسبب تأخر المراجعة أو تعثر الإجراءات الداخلية، رغم اكتمال الملف. ومن ثم، لا يصح اعتبار الرفض الضمني دليلًا على عدم كفاية ضمانات حماية البيانات التي قدمتها الشركة، كما لا يجوز اعتبار السكوت موافقة تتيح لها ممارسة النشاط المطلوب الترخيص له.
يتيح اعتبار السكوت رفضًا تحديد موقف قانوني يمكن لطالب الترخيص منازعته، بدلًا من بقائه في انتظار غير محدد المدة. غير أن هذه الحماية تظل محدودة، لأن الشركة تتحمل عبء الاعتراض على رفض لا تعرف أسبابه، وقد تضطر إلى اللجوء إلى القضاء للحصول على فحص فعلي لطلبها. ويزداد هذا العبء عندما يختلف الطرفان حول تاريخ اكتمال المستندات أو طريقة حساب المدة، فتأتي المنازعة حول تحقق الرفض الضمني أصلًا قبل المنازعة في مشروعيته. لذلك يجب أن يستند تحديد طريق الطعن وتوقيته إلى فحص دقيق لوقائع الطلب والمخاطبات المتبادلة والقواعد الإجرائية المنطبقة.
ولا ينبغي تفسير الرفض الضمني على أنه يعفي المركز من أداء مهمته. فاللائحة تلزمه بإبلاغ مقدم الطلب بنتيجة دراسة طلبه، سواء بالموافقة أو الرفض (المادة 36، البند 3). ويقتضي الوفاء بهذا الالتزام إصدار قرار واضح وإبلاغ الشركة به خلال الميعاد. كما يمثل بيان أسباب الرفض ضمانة ضرورية لفهم أوجه القصور وتصحيحها أو منازعة تقدير المركز، وإن كان النص الخاص بإجراءات الترخيص لا يقرر صراحة وجوب تسبيب الرفض.
من منظور حماية البيانات، لا يقدم السكوت دليلًا على أن الجهة التنظيمية أدت وظيفة الفحص والرقابة. ولذلك تتمثل أولوية الإصلاح في إلزام المركز بإصدار قرار صريح ومسبب، وإتاحة مراجعة فعالة للتأخير والرفض، ونشر مؤشرات عن الطلبات التي انقضت مواعيدها دون رد. أما استبدال الرفض الضمني بموافقة تلقائية عامة، فيحتاج إلى تعديل تشريعي وتقييم لمخاطر السماح بعمليات معالجة للبيانات لم تُفحص ضماناتها. ويجب أن تحمي معالجة تقاعس الإدارة طالب الترخيص من الانتظار غير المبرر، مع إبقاء حقوق أصحاب البيانات أساسًا لتقييم النشاط المطلوب الترخيص له.
ضمانات ضبط المواعيد ومساءلة المركز عن التأخير
تبدأ معالجة اضطراب مواعيد الترخيص بتصحيح المادة 36 من اللائحة التنفيذية بما يتفق مع مدة التسعين يومًا التي حددها القانون، وتوحيد الإرشادات وإجراءات البوابة الإلكترونية على هذا الأساس. وينبغي أن يشمل التصحيح تحديد بداية الميعاد وآلية إثباتها، ونشر قواعد واضحة للبت في طلبات التجديد والتعديل، وتنظيم العلاقة الزمنية بين التراخيص الأساسية والتكميلية. ويجب إصدار القواعد الملزمة بالأداة القانونية المختصة وإتاحتها للمخاطبين بها، مع بيان تاريخ نفاذها وكيفية التعامل مع الطلبات المقدمة قبلها، حتى لا تتغير متطلبات الامتثال أثناء الفحص دون ترتيبات انتقالية واضحة.
يحتاج ضبط المدة إلى إجراءات تتيح تتبع الطلب منذ إيداعه. وتشمل هذه الإجراءات إصدار إيصال إلكتروني يثبت المستندات المقدمة وتواريخ تقديمها، وتحديد أجل قصير للفحص الأولي، وإخطار الشركة بالنواقص وأساس طلب استكمالها. ثم يُثبت تاريخ اكتمال الملف والموعد المحدد للبت فيه. كما ينبغي تنظيم طلبات المعلومات الإضافية، وبيان أسباب تكرارها، وتوضيح أثرها على حساب المدة وفق سند قانوني محدد. ويتيح سجل قابل للتنزيل إثبات استجابة الشركة ومخاطبات المركز، بما يساعد على تحديد المسؤول عن كل فترة تأخير.
وتقتضي المساءلة إلزام المركز بإبلاغ مقدم الطلب بقرار صريح ومسبب خلال الميعاد. كما تقتضي إتاحة مسار إداري معلن وسريع لمراجعة التأخير، والخلاف حول اكتمال المستندات، وأسباب الرفض، دون المساس بحق اللجوء إلى القضاء. ويمكن أن تتضمن الإجراءات إحالة الطلب تلقائيًا إلى مستوى إشرافي عند اقتراب انتهاء المدة، ثم تسجيل أي تجاوز لها وسببه والإجراء المتخذ لمعالجته. أما استمرار الترخيص مؤقتًا أثناء التجديد أو تنظيم وضع الطلبات المعلقة عند انتهاء مهلة توفيق الأوضاع، فيلزم تقريره بنص ذي سند قانوني كافٍ. ويجب أن يحدد هذا النص الشروط والنطاق، مع الحفاظ على سلطة التدخل عند وجود مخاطر على أصحاب البيانات.
تكتمل هذه الضمانات بنشر مؤشرات دورية مجمعة عن أعداد الطلبات المكتملة ومتوسط مدد البت ونسبة القرارات الصادرة داخل الميعاد. ويشمل النشر كذلك مؤشرات عن حالات الرفض الضمني وأسباب التأخير. وينبغي أن تميز المؤشرات بين الوقت الذي يستغرقه مقدم الطلب في الاستجابة ووقت الفحص داخل المركز، مع حماية البيانات الشخصية والأسرار التجارية. وتتيح هذه المعلومات تقييم احتياجات المركز من العاملين والخبرات والموارد، وتوفر أساسًا للمساءلة الإدارية والبرلمانية. ففعالية منظومة الترخيص تتطلب أن تكون الجهة المكلفة بإنفاذ القانون قادرة على بيان أسباب قراراتها وتأخرها، وأن تترتب على رصد القصور إجراءات تصحيح محددة يمكن متابعة تنفيذها.
الخاتمة
تكشف مراجعة مواعيد البت في تراخيص حماية البيانات الشخصية عن اضطراب يمس قدرة الشركات على تحديد التزاماتها، وقدرة المركز على إنفاذ القانون بصورة واضحة وقابلة للمساءلة. فالاختلاف في حساب المدة، والغموض المحيط بإثبات اكتمال الطلب وأثر الاستيفاءات اللاحقة، قد يحوّلان ميعاد البت إلى أجل يصعب تحديد نهايته. ومع ترتيب الرفض على السكوت، تتحمل الشركة تبعات انقضاء مدة قد تختلف مع المركز حول بدايتها وطريقة احتسابها، دون أن تتلقى تفسيرًا موضوعيًا لرفض طلبها.
تقتضي معالجة هذا الوضع تصحيح التعارض بين النصوص، وضبط إجراءات الاستيفاء والإخطار، وتنظيم الطلبات المعلقة عند التجديد وانتهاء مهلة توفيق الأوضاع. ويظل المعيار الحاكم لهذه الإصلاحات هو ضمان فحص جاد لحماية البيانات خلال مدة معلومة، مع تمكين طالب الترخيص من معرفة أسباب القرار ومراجعته. فالمركز يمارس سلطة تؤثر في حقوق أصحاب البيانات واستمرار أنشطة المخاطبين بالقانون، ويجب أن تقترن هذه السلطة بالتزام قابل للرقابة بالبت في الطلبات، وبمساءلة واضحة عن التأخير وآثاره.