قانون حماية البيانات الشخصية والخصوصية الرقمية

يقصد بالكلمات والعبارات الآتية لأغراض هذا القانون المعاني المبينة إزاء كل منها، ما لم يدل السياق على غير ذلك:

1. البيانات الشخصية: كل معلومة، أياً كان شكلها أو مصدرها، تتعلق بشخص طبيعي محدد أو يمكن تحديده بصورة مباشرة أو غير مباشرة، منفردة أو بالجمع بينها وبين معلومات أخرى يرجح بصورة معقولة إتاحتها.
2. البيانات الشخصية الحساسة: البيانات التي يكشف استخدامها أو إساءة استخدامها عن مخاطر مرتفعة على الحقوق والحريات، وتشمل بوجه خاص البيانات الصحية والجينية والبيومترية المستخدمة للتعرف الفريد، والآراء والانتماءات السياسية، والمعتقدات الدينية أو الفلسفية، والانتماء النقابي، والحياة الجنسية، والسجل الجزائي، وبيانات التحقق المالي شديدة الحساسية، وأي فئة أخرى يحددها القانون.
3. المعالجة: أي عملية أو مجموعة عمليات تجرى على البيانات الشخصية بوسائل آلية أو غير آلية، ومنها الجمع والتسجيل والتنظيم والتصنيف والحفظ والتعديل والاسترجاع والاطلاع والاستخدام والربط والإفصاح والنقل والنشر والتقييد والمحو والإتلاف.
4. صاحب البيانات: الشخص الطبيعي الذي تتعلق به البيانات الشخصية.
5. المتحكم: الشخص الطبيعي أو المعنوي، العام أو الخاص، الذي يحدد منفرداً أو بالاشتراك مع غيره أغراض معالجة البيانات ووسائلها الجوهرية.
6. المعالج: الشخص الطبيعي أو المعنوي الذي يعالج البيانات الشخصية لحساب المتحكم وبناءً على تعليماته.
7. المتلقي: كل شخص أو جهة تكشف لها بيانات شخصية، سواء كانت طرفاً ثالثاً أم لم تكن كذلك، ولا تعد الجهة العامة التي تتلقى البيانات في إطار تحقيق محدد وفق القانون متلقياً مستقلاً لمجرد ذلك.
8. الموافقة: تعبير حر ومحدد ومستنير وواضح لا لبس فيه عن إرادة صاحب البيانات، يصدر بفعل إيجابي قابل للإثبات، ويجوز سحبه بالسهولة ذاتها التي منح بها.
9. الاختراق: أي حادث أمني يؤدي، بصورة عرضية أو غير مشروعة، إلى إتلاف البيانات الشخصية أو فقدها أو تعديلها أو الإفصاح عنها أو الوصول إليها دون تصريح.
10. إخفاء الهوية: معالجة تجعل البيانات غير قابلة للارتباط بشخص محدد أو قابل للتحديد بوسائل يرجح بصورة معقولة استخدامها، على نحو لا يمكن عكسه عملياً.
11. الترميز المستعار: معالجة البيانات بطريقة لا تعود معها قابلة للنسبة إلى شخص محدد دون معلومات إضافية تحفظ منفصلة وتخضع لضمانات تقنية وتنظيمية.
12. التنميط: أي معالجة آلية تهدف إلى تقييم جوانب شخصية تتعلق بفرد، ولا سيما أداءه في العمل أو وضعه الاقتصادي أو صحته أو تفضيلاته أو اهتماماته أو موثوقيته أو سلوكه أو موقعه أو تحركاته.
13. القرار المؤتمت: قرار ينتج كلياً عن معالجة آلية، بما فيها التنميط، ويترتب عليه أثر قانوني أو أثر جوهري مماثل في صاحب البيانات.
14. الجهة العامة: الوزارات والجهات غير المرتبطة بوزارة والهيئات المستقلة والشركات العامة والسلطات المحلية وكل شخص عهد إليه القانون أو العقد بأداء وظيفة أو خدمة عامة، بحدود تلك الوظيفة أو الخدمة.
15. الهيأة: الهيأة الاتحادية لحماية البيانات الشخصية والخصوصية الرقمية المنشأة بموجب هذا القانون.
16. مسؤول حماية البيانات: الشخص المؤهل والمستقل وظيفياً الذي يكلف بمتابعة امتثال الجهة لأحكام هذا القانون والتواصل مع الهيأة وأصحاب البيانات.
17. المعالجة واسعة النطاق: المعالجة التي تتسم بحجم أو نطاق جغرافي أو عدد أصحاب بيانات أو مدة أو حساسية تجعل آثارها المحتملة كبيرة، وفق معايير تصدرها الهيأة.
18. التتبع الرقمي: جمع أو ربط معرفات الجهاز أو ملفات تعريف الارتباط أو البصمات التقنية أو الموقع أو السلوك بغرض التعرف أو التحليل أو الإعلان أو القياس بما يتجاوز ما يلزم فنياً لتقديم خدمة طلبها المستخدم.

يهدف هذا القانون إلى حماية كرامة الفرد وحقه في الخصوصية، وتنظيم معالجة البيانات الشخصية على أساس المشروعية والضرورة والتناسب، وتمكين الأفراد من حقوق عملية قابلة للإنفاذ، وتعزيز الثقة في الخدمات الحكومية والاقتصاد الرقمي، وتوحيد الحد الأدنى من الالتزامات على الجهات العامة والخاصة، وضمان تدفق البيانات المشروع والآمن داخل العراق وعبر حدوده دون تحويل حماية البيانات إلى أداة للرقابة أو إعاقة الابتكار أو حجب المعلومات العامة المشروعة.

أولاً— يسري هذا القانون على معالجة البيانات الشخصية التي يقوم بها متحكم أو معالج مستقر في جمهورية العراق، أياً كان مكان تنفيذ المعالجة فعلياً.

ثانياً— يسري على المتحكم أو المعالج غير المستقر في العراق متى تعلقت المعالجة بعرض سلع أو خدمات لأشخاص موجودين في العراق، أو بمراقبة سلوكهم داخل العراق، أو بمعالجة منتظمة لبياناتهم في سياق نشاط موجه بصورة جوهرية إلى السوق العراقية.

ثالثاً— تسري أحكامه على المعالجة الآلية وعلى المعالجة غير الآلية إذا كانت البيانات جزءاً من ملف منظم أو معدة لأن تكون جزءاً منه.

رابعاً— يراعى عند تطبيق هذا القانون توزيع الاختصاصات الدستورية بين السلطات الاتحادية وسلطات الإقليم والمحافظات، ويكون ملزماً مباشرة للسلطات والجهات الخاضعة للاختصاص الاتحادي وللمعالجات المتصلة بالاختصاصات الاتحادية، مع عدم جواز النزول عن الضمانات الدستورية للخصوصية في أي تنظيم محلي أو إقليمي.

أولاً— لا يسري هذا القانون على معالجة الشخص الطبيعي لبيانات في نطاق نشاط شخصي أو عائلي محض لا يتصل بنشاط مهني أو تجاري ولا يتيح البيانات لجمهور غير محدد.

ثانياً— لا تعد البيانات مجهولة الهوية بصورة فعلية بيانات شخصية، أما البيانات المرمزة باسم مستعار فتبقى خاضعة لهذا القانون متى أمكن إعادة ربطها بالشخص.

ثالثاً— لا ينشئ هذا القانون أي سلطة جديدة لاعتراض الاتصالات أو مراقبتها أو تفتيش الأجهزة أو النفاذ السري إلى البيانات؛ وتبقى هذه التدابير خاضعة للدستور والقوانين الخاصة والرقابة القضائية المطلوبة.

رابعاً— لا يجوز إنشاء استثناء عام لجهة أو قطاع بقرار إداري؛ ويجب أن يستند كل تقييد لحقوق أصحاب البيانات إلى نص قانوني محدد يراعي الضرورة والتناسب والضمانات.

يلتزم المتحكم والمعالج، كل بحسب دوره، بالمبادئ الآتية: المشروعية والإنصاف والشفافية؛ تحديد الغرض وعدم استخدام البيانات بصورة غير متوافقة معه؛ تقليل البيانات إلى الحد اللازم؛ الدقة والتحديث؛ تقييد مدة الاحتفاظ؛ سلامة البيانات وسريتها؛ المساءلة وقابلية الإثبات؛ حماية البيانات منذ التصميم وبالوضع الافتراضي؛ وعدم التمييز أو الإضرار غير المشروع بسبب المعالجة. وعلى المتحكم أن يثبت امتثاله لهذه المبادئ.

تكون معالجة البيانات الشخصية مشروعة إذا استندت إلى واحد على الأقل من الأسس الآتية وبالقدر اللازم له:

1. موافقة صاحب البيانات.
2. تنفيذ عقد يكون صاحب البيانات طرفاً فيه أو اتخاذ إجراءات بطلب منه قبل إبرامه.
3. الوفاء بالتزام قانوني يقع على المتحكم.
4. حماية المصالح الحيوية لصاحب البيانات أو لشخص آخر عند تعذر الاعتماد على أساس مناسب في الوقت الملائم.
5. أداء مهمة للمصلحة العامة أو ممارسة سلطة رسمية مقررة بالقانون.
6. تحقيق مصلحة مشروعة للمتحكم أو لطرف ثالث، بعد موازنتها مع حقوق صاحب البيانات وتوقعاته المعقولة، على ألا تعتمد الجهة العامة على هذا الأساس عند أداء مهامها الرسمية.

يجب تحديد الأساس القانوني قبل بدء المعالجة وتوثيقه، ولا يجوز تغييره بأثر رجعي لتبرير معالجة غير مشروعة.

أولاً— يجب أن تكون الموافقة منفصلة عن الشروط غير اللازمة لتقديم الخدمة، بلغة واضحة وميسرة، وأن يكون طلبها قابلاً للتمييز عن غيره من المسائل.

ثانياً— لا تعد الموافقة حرة إذا كان تنفيذ عقد أو تقديم خدمة مشروطاً بالموافقة على معالجة لا تلزم لتنفيذ العقد أو الخدمة، أو إذا كان اختلال القوة بين الطرفين يجعل الرفض غير واقعي، ولا سيما في علاقات العمل أو السلطة العامة، ما لم توجد ضمانات تكفل حرية الاختيار فعلاً.

ثالثاً— يقع عبء إثبات الموافقة على المتحكم، ويجوز لصاحب البيانات سحبها في أي وقت دون أن يؤثر ذلك في مشروعية المعالجة السابقة على السحب.

أولاً— تحظر معالجة البيانات الشخصية الحساسة ما لم تتحقق إحدى الحالات الآتية مع ضمانات مناسبة: الموافقة الصريحة؛ التزام أو حق مقرر في قانون العمل أو الضمان الاجتماعي؛ حماية مصلحة حيوية؛ نشاط مشروع لجمعية أو مؤسسة غير ربحية ضمن أعضائها؛ بيانات أظهرها صاحبها علناً بوضوح؛ تأسيس مطالبة قانونية أو ممارستها أو الدفاع عنها؛ مصلحة عامة جوهرية يحددها القانون؛ الرعاية الصحية أو إدارة النظم الصحية بواسطة مهنيين ملتزمين بالسرية؛ الصحة العامة؛ الأرشفة للمصلحة العامة أو البحث العلمي أو التاريخي أو الإحصاء وفق ضمانات التقليل والترميز.

ثانياً— لا يجوز للهيأة إنشاء فئة حساسة جديدة لمجرد التوسع الإداري، ويقتصر دورها على تفسير الفئات الواردة في القانون واقتراح تعديل تشريعي عند الحاجة.

أولاً— تقدم المعلومات المتعلقة بمعالجة بيانات الطفل أو القاصر بصياغة ملائمة لعمره وقدرته على الفهم.

ثانياً— عند اعتماد الموافقة أساساً لمعالجة بيانات قاصر غير مكتمل الأهلية، تستحصل موافقة من يمثله قانوناً وفق أحكام القوانين النافذة، مع مراعاة رأي القاصر ودرجة نضجه ومصلحته الفضلى.

ثالثاً— يحظر التنميط الإعلاني التجاري للقاصرين باستخدام بيانات حساسة أو تتبع سلوكي ممتد، كما يحظر تصميم الواجهات على نحو يستغل ضعفهم لدفعهم إلى الإفصاح عن بيانات أكثر من اللازم.

رابعاً— تراعى ضرورة حماية الطفل دون أن يؤدي التحقق من العمر إلى جمع مفرط للهوية أو البيانات البيومترية.

أولاً— يجب أن تستند معالجة الجهة العامة إلى اختصاص قانوني واضح وغرض عام محدد، ولا يكفي مجرد الملاءمة الإدارية أو الرغبة في تجميع البيانات.

ثانياً— على الجهة العامة توثيق مصادر البيانات ووجه استخدامها والأساس القانوني وفترات الاحتفاظ والجهات التي تشاركها، ونشر ما يمكن نشره من ذلك في سجل عام للمعالجات دون كشف أسرار أو مخاطر أمنية مشروعة.

ثالثاً— لا يجوز إلزام المواطن بتقديم البيانات ذاتها لجهات عامة متعددة متى أمكن تبادلها قانوناً وبأمان، شريطة ألا يتحول مبدأ «مرة واحدة» إلى إذن شامل لتبادل غير محدد بين قواعد البيانات.

أولاً— لا يجوز استخدام الرقم الوطني أو المعرف الحكومي الموحد خارج الأغراض التي يحددها القانون أو ما يرتبط بها ارتباطاً ضرورياً ومتناسباً.

ثانياً— يحظر إنشاء قاعدة مركزية عامة للبيانات البيومترية أو ربط قواعد بيومترية مستقلة دون سند تشريعي خاص يحدد الغرض والجهات المخولة ومدة الاحتفاظ وآليات التدقيق والطعن.

ثالثاً— تخضع نظم التعرف البيومتري واسعة النطاق لتقييم أثر إلزامي وموافقة مسبقة من الهيأة إذا لم تكن منظّمة بقانون خاص، مع مراعاة الأحكام المتعلقة بالأمن الوطني وإنفاذ القانون.

يجب على المتحكم، عند جمع البيانات من صاحبها، أن يبين له بلغة واضحة هوية المتحكم ووسائل الاتصال به، وبيانات مسؤول حماية البيانات عند وجوب تعيينه، وأغراض المعالجة وأسسها القانونية، والمصلحة المشروعة إن استند إليها، وفئات المتلقين، ونية نقل البيانات خارج العراق وضماناتها، ومدة الاحتفاظ أو معايير تحديدها، وحقوق صاحب البيانات، وحقه في الشكوى، وما إذا كان تقديم البيانات إلزامياً وآثار عدم تقديمها، ووجود القرار المؤتمت أو التنميط ومعلومات ذات معنى عن منطقه وآثاره المتوقعة.

إذا لم تحصل البيانات من صاحبها مباشرة، يزوده المتحكم بالمعلومات المنصوص عليها في المادة (12) وبفئات البيانات ومصدرها، خلال مدة معقولة لا تتجاوز ثلاثين يوماً، أو عند أول تواصل معه، أو قبل أول إفصاح عنها، أيها أسبق. ويستثنى من ذلك ما إذا كان صاحب البيانات يعلم المعلومات فعلاً، أو كان الإبلاغ مستحيلاً أو يتطلب جهداً غير متناسب في الأرشفة والبحث والإحصاء مع اتخاذ تدابير بديلة للشفافية، أو كان الحصول أو الإفصاح مقرراً صراحة بقانون يتضمن ضمانات مناسبة.

لصاحب البيانات أن يحصل من المتحكم على تأكيد بوجود معالجة تخصه أو عدمها، وعلى نسخة من بياناته ومعلومات عن أغراض المعالجة وفئات البيانات والمتلقين ومدة الاحتفاظ وحقوقه ومصدر البيانات عند عدم جمعها منه، وعن وجود القرارات المؤتمتة والضمانات ذات الصلة. ولا يمس توفير النسخة حقوق الآخرين أو أسرارهم، ويجوز إجراء الحجب الجزئي بدلاً من رفض الطلب كاملاً.

لصاحب البيانات طلب تصحيح البيانات غير الدقيقة واستكمال الناقص منها. ويلتزم المتحكم بإبلاغ المتلقين الذين أفصح لهم عن البيانات بأي تصحيح جوهري متى كان ذلك ممكناً ومعقولاً، وبإعلام صاحب البيانات بهؤلاء المتلقين إذا طلب ذلك.

لصاحب البيانات طلب محو بياناته عندما تنتفي الحاجة إليها للغرض الذي جمعت من أجله، أو يسحب موافقته ولا يوجد أساس قانوني آخر، أو يعترض على المعالجة ولا توجد أسباب مشروعة راجحة، أو تكون المعالجة غير مشروعة، أو يلزم المحو لتنفيذ حكم قانوني. ولا يسري الحق بقدر ما تكون المعالجة لازمة لحرية التعبير والإعلام، أو التزام قانوني، أو مهمة عامة، أو الصحة العامة، أو الأرشفة والبحث والإحصاء بضمانات، أو تأسيس المطالبات القانونية وممارستها والدفاع عنها.

لصاحب البيانات طلب تقييد المعالجة عند منازعته في دقة البيانات إلى حين التحقق، أو إذا كانت المعالجة غير مشروعة وفضّل التقييد على المحو، أو لم يعد المتحكم يحتاج البيانات لكن صاحبها يحتاجها لمطالبة قانونية، أو عند الاعتراض إلى حين التحقق من رجحان مصالح المتحكم. وفي أثناء التقييد لا تعالج البيانات، عدا التخزين، إلا بموافقة صاحبها أو لغرض قانوني محدد أو حماية حقوق شخص آخر أو مصلحة عامة جوهرية.

إذا كانت المعالجة مبنية على الموافقة أو العقد وتتم بوسائل آلية، يحق لصاحب البيانات الحصول على البيانات التي قدمها بصيغة منظمة وشائعة وقابلة للقراءة آلياً، ونقلها إلى متحكم آخر متى كان ذلك ممكناً تقنياً ولا يمس حقوق الآخرين أو سلامة الأنظمة. ولا يطبق هذا الحق على المعالجة اللازمة لمهمة عامة أو ممارسة سلطة رسمية.

لصاحب البيانات الاعتراض، لأسباب تتعلق بوضعه الخاص، على المعالجة القائمة على المصلحة العامة أو المصلحة المشروعة، بما فيها التنميط المرتبط بها. وعلى المتحكم وقف المعالجة ما لم يثبت أسباباً مشروعة قاهرة ترجح على حقوق الشخص أو كانت لازمة لمطالبة قانونية. ويكون الاعتراض على التسويق المباشر حقاً مطلقاً بالنسبة إلى هذا الغرض.

أولاً— لا يجوز إرسال اتصالات تسويقية إلكترونية مباشرة أو إجراء تتبع رقمي غير ضروري لتقديم الخدمة إلا وفق أساس قانوني صالح مع تمكين المستخدم من الرفض بسهولة ودون كلفة إضافية.

ثانياً— يتطلب تخزين أو قراءة معرفات على جهاز المستخدم، بما فيها ملفات التتبع غير الضرورية، موافقة واضحة مسبقة، باستثناء ما يلزم حصراً لنقل الاتصال أو تقديم خدمة طلبها المستخدم أو لأمنها الأساسي.

ثالثاً— يحظر استخدام أنماط تصميم مضللة تجعل الرفض أصعب من القبول أو تدفع المستخدم إلى الإفصاح عن بيانات لا تلزم.

أولاً— يحق لصاحب البيانات ألا يخضع لقرار قائم حصراً على المعالجة الآلية، بما فيها التنميط، إذا رتب أثراً قانونياً أو أثراً جوهرياً مماثلاً، إلا إذا كان ضرورياً لعقد، أو أجازه قانون خاص بضمانات مناسبة، أو استند إلى موافقة صريحة.

ثانياً— في الحالات الجائزة يكفل المتحكم حق الشخص في تدخل بشري فعلي، وإبداء وجهة نظره، وفهم العوامل الرئيسية المؤثرة في القرار بالقدر الذي لا يكشف سراً مشروعاً، والاعتراض على النتيجة وطلب إعادة النظر.

ثالثاً— لا يجوز اتخاذ قرار مؤتمت مؤثر على أساس بيانات حساسة إلا في حالات استثنائية محددة بالقانون ومع ضمانات مشددة لمنع التمييز.

أولاً— ييسر المتحكم ممارسة الحقوق ويوفر قنوات إلكترونية وغير إلكترونية معقولة.

ثانياً— يجيب المتحكم على الطلب خلال ثلاثين يوماً من استلامه، ويجوز تمديد المدة ثلاثين يوماً أخرى للطلبات المعقدة أو المتعددة مع إبلاغ صاحب البيانات بأسباب التمديد قبل انتهاء المدة الأولى.

ثالثاً— تكون ممارسة الحقوق بلا مقابل، ويجوز فرض كلفة فعلية معقولة أو رفض الطلب إذا كان متكرراً على نحو مفرط أو كيدياً بصورة ظاهرة، ويقع عبء إثبات ذلك على المتحكم.

رابعاً— إذا رفض المتحكم الطلب، يبين أسبابه وحق الشخص في الشكوى أمام الهيأة والطعن القضائي.

يجوز للمتحكم طلب معلومات إضافية لازمة ومعقولة للتحقق من هوية مقدم الطلب، مع مراعاة عدم جمع بيانات أكثر من اللازم. ويجوز لصاحب البيانات ممارسة حقوقه بواسطة وكيل أو ممثل قانوني وفق القواعد العامة، ولا يجوز استخدام التحقق من الهوية ذريعة لتعطيل الحقوق أو فرض نسخة من وثيقة رسمية متى أمكن التحقق بوسيلة أقل تدخلاً.

يتحمل المتحكم مسؤولية تحديد الأساس والغرض ومدى البيانات والاحتفاظ بها وضمان أمنها واختيار المعالجين القادرين على الامتثال. وعليه وضع سياسات وإجراءات متناسبة مع طبيعة المعالجة ومخاطرها، وتوثيق قراراته الجوهرية، وتدريب العاملين، ومراجعة الضوابط دورياً، وإثبات الامتثال للهيأة عند الطلب.

أولاً— يحتفظ المتحكم والمعالج بسجل لأنشطة المعالجة التي يجريانها، يبين الأغراض وفئات الأشخاص والبيانات والمتلقين والنقل الدولي ومدد الحفظ والتدابير الأمنية العامة.

ثانياً— يجوز للهيأة إعفاء المنشآت الصغيرة من بعض متطلبات السجل إذا كانت المعالجة عرضية ومنخفضة المخاطر ولا تشمل بيانات حساسة أو مراقبة منتظمة، على ألا يؤدي الإعفاء إلى سقوط الالتزامات الموضوعية.

لا يعين المتحكم معالجاً إلا بضمانات كافية، ويكون التكليف بموجب عقد أو أداة قانونية ملزمة تحدد موضوع المعالجة ومدتها وطبيعتها وغرضها وفئات البيانات والأشخاص وحقوق المتحكم. ويلتزم المعالج بالمعالجة وفق التعليمات الموثقة، والسرية، والأمن، وضوابط المعالج الفرعي، ومساعدة المتحكم في الحقوق والاختراقات وتقييمات الأثر، وحذف البيانات أو إعادتها عند انتهاء الخدمة، وإتاحة ما يلزم لإثبات الامتثال والتدقيق.

إذا حدد شخصان أو أكثر أغراض المعالجة ووسائلها الجوهرية بصورة مشتركة، اتفقوا كتابة وبشفافية على توزيع مسؤولياتهم، ولا سيما بشأن حقوق أصحاب البيانات والإشعارات والأمن. ولا يحول الاتفاق الداخلي دون ممارسة صاحب البيانات حقوقه تجاه أي منهم بالقدر الذي تسمح به طبيعة المسؤولية المشتركة.

يلتزم المتحكم، قبل المعالجة وأثناءها، بإدماج تدابير تقنية وتنظيمية تتناسب مع المخاطر والكلفة وحالة التقنية، ومنها التقليل والترميز والفصل والتحكم في الصلاحيات. ويجب أن تضمن الإعدادات الافتراضية عدم جمع أو إتاحة أو الاحتفاظ إلا بما يلزم لكل غرض، وألا تكون البيانات متاحة افتراضياً لعدد غير محدد من الأشخاص.

يتخذ المتحكم والمعالج تدابير أمنية مناسبة للمخاطر تشمل، بحسب الحاجة، التشفير والترميز وإدارة الهوية والصلاحيات والسجلات والنسخ الاحتياطي والتعافي واختبار الضوابط والاستجابة للحوادث وإدارة الموردين والثغرات. وعند تحديد المستوى المناسب تراعى طبيعة البيانات وحجمها وسياقها وآثار فقدان السرية أو السلامة أو التوافر على الأشخاص.

أولاً— يخطر المتحكم الهيأة بأي اختراق للبيانات الشخصية يرجح أن يسبب خطراً على حقوق الأفراد وحرياتهم، دون تأخير غير مبرر، وخلال اثنتين وسبعين ساعة من العلم به متى كان ذلك ممكناً.

ثانياً— إذا تجاوز الإخطار المدة، يرفق بأسباب التأخير. ويبين الإخطار طبيعة الاختراق وفئات البيانات والأشخاص والأعداد التقريبية متى أمكن، والعواقب المحتملة، والتدابير المتخذة أو المقترحة.

ثالثاً— يبلغ المعالج المتحكم بالاختراق دون تأخير غير مبرر، ويوثق المتحكم جميع الاختراقات بما يسمح للهيأة بالتحقق من الامتثال.

إذا كان الاختراق يرجح أن يسبب خطراً مرتفعاً على حقوق صاحب البيانات، يبلغه المتحكم دون تأخير غير مبرر بلغة واضحة، ويصف طبيعة الاختراق والعواقب المحتملة والتدابير وخطوات الحماية المتاحة. ولا يلزم الإبلاغ الفردي إذا طبقت تدابير تجعل البيانات غير مفهومة لغير المصرح لهم أو أزيل الخطر المرتفع لاحقاً، أو كان الإبلاغ الفردي يتطلب جهداً غير متناسب وعندئذ يستخدم إعلان عام فعال.

يجري المتحكم، قبل بدء أي معالجة يرجح أن تسبب خطراً مرتفعاً على حقوق الأشخاص، تقييماً مكتوباً لأثر حماية البيانات، ولا سيما في حالات المراقبة المنتظمة واسعة النطاق، أو المعالجة واسعة النطاق للبيانات الحساسة، أو استخدام تقنيات جديدة في قرارات مؤثرة، أو الربط واسع النطاق بين قواعد بيانات مستقلة، أو التعرف البيومتري عن بعد في أماكن عامة، أو معالجة بيانات الأطفال على نطاق واسع. ويتضمن التقييم وصف المعالجة وضرورتها وتناسبها ومخاطرها والتدابير المقترحة لمعالجتها.

إذا أظهر تقييم الأثر بقاء خطر مرتفع لا يمكن خفضه بتدابير معقولة، يستشير المتحكم الهيأة قبل بدء المعالجة. وللهيأة خلال مدة تحددها اللوائح، وبما لا يعطل الخدمات العامة دون سبب، تقديم مشورة ملزمة في حدود القانون أو استخدام صلاحياتها الوقائية عند قيام خطر وشيك وجسيم على الحقوق.

يجب تعيين مسؤول حماية بيانات في: الجهات العامة التي تجري معالجة منتظمة، عدا المحاكم عند ممارستها ولايتها القضائية؛ الجهات التي تتطلب أنشطتها الأساسية مراقبة منتظمة واسعة النطاق؛ الجهات التي تتضمن أنشطتها الأساسية معالجة واسعة النطاق لبيانات حساسة؛ وأي حالات أخرى تحددها الهيأة على أساس المخاطر لا على أساس القطاع وحده. ويجوز لمجموعة جهات تعيين مسؤول مشترك إذا كان متاحاً بفعالية لكل منها.

يشارك مسؤول حماية البيانات في المسائل المتعلقة بالحماية في الوقت المناسب، ويتمتع بالموارد والوصول إلى الإدارة العليا والاستقلال المهني، ولا يتلقى تعليمات بشأن رأيه في الامتثال ولا يعاقب بسبب أداء مهامه. ويتولى المشورة والرقابة والتوعية وتقييمات الأثر والتعاون مع الهيأة. ويجوز أن يؤدي مهام أخرى إذا لم ينشأ عنها تعارض مصالح.

يجوز للهيأة اعتماد مدونات سلوك قطاعية وآليات شهادة وأختام امتثال طوعية تساعد المنشآت، ولا سيما الصغيرة والمتوسطة، على تطبيق القانون. ولا تعفي الشهادة أو المدونة من المسؤولية ولا تمنع التحقيق أو ممارسة الحقوق، وتكون معاييرها وإجراءات سحبها ونطاقها منشورة.

أولاً— يجب أن تستند المراقبة المرئية في الأماكن العامة أو أماكن العمل إلى غرض مشروع محدد، وأن تقتصر التغطية والاحتفاظ والوصول على القدر الضروري، مع إشعار ظاهر ما لم يمنع القانون ذلك لسبب مشروع.

ثانياً— يحظر استخدام التعرف البيومتري عن بعد في الوقت الحقيقي على نطاق واسع في الأماكن المتاحة للجمهور لأغراض التعرف على الأشخاص، إلا بموجب قانون خاص يحدد الحالات الخطرة والجرائم الجسيمة المستهدفة، وبإذن قضائي مسبق كلما كان ذلك ممكناً، ولمدة ونطاق محددين، ومع تسجيل كامل لعمليات البحث والمراجعة المستقلة.

ثالثاً— لا يجوز استخدام التعرف على الوجه أو السمات البيومترية لمجرد تصنيف الأشخاص بحسب صفات حساسة أو استنتاجها لأغراض التمييز أو الاستهداف السياسي أو التجاري.

تجوز معالجة البيانات لأغراض البحث العلمي أو التاريخي أو الإحصاء أو الأرشفة للمصلحة العامة إذا تعذر تحقيق الغرض ببيانات مجهولة الهوية، وبشرط تطبيق ضمانات مناسبة تشمل التقليل والترميز والفصل وتقييد الوصول ومنع اتخاذ قرارات فردية ضارة بناءً على المخرجات البحثية ما لم يوجد أساس قانوني مستقل. ويجوز تقييد بعض الحقوق بالقدر الضروري إذا كان ممارستها تجعل الغرض البحثي أو الأرشيفي مستحيلاً أو تعوقه جدياً وكان القانون أو النظام يقرر ضمانات بديلة.

توازن معالجة البيانات لأغراض صحفية أو أدبية أو فنية أو أكاديمية بين حماية الخصوصية وحرية التعبير وحق الجمهور في المعرفة. ويجوز استثناء بعض الالتزامات عندما يكون تطبيقها متعارضاً بصورة جوهرية مع غرض صحفي مشروع ومتصل بالمصلحة العامة، شريطة مراعاة الدقة وتقليل الضرر وعدم استخدام الاستثناء للتحايل التجاري أو الابتزاز أو النشر الكيدي لبيانات لا صلة لها بالمصلحة العامة.

تخضع معالجة بيانات العاملين والمرشحين للعمل لمبادئ الضرورة والتناسب وتحديد الغرض. ولا تعتمد الموافقة وحدها أساساً للمعالجة عندما تكون طبيعة العلاقة الوظيفية تجعل رفضها غير حر عملياً. وتحظر المراقبة السرية المستمرة إلا في حالات استثنائية يجيزها القانون أو تبررها ضرورة جدية محددة وبعد استنفاد الوسائل الأقل تدخلاً، مع حماية المراسلات والأنشطة الخاصة وفق الدستور والقوانين.

لا تعالج البيانات الصحية إلا لأغراض مشروعة وبواسطة أشخاص ملتزمين بالسرية أو تحت إشرافهم، مع ضوابط وصول دقيقة وسجلات تدقيق. ولا يجوز لشركات التأمين أو أصحاب العمل أو المنصات التجارية طلب أو استخدام بيانات صحية أو جينية تتجاوز ما يسمح به قانون خاص. وتلتزم نظم الصحة الرقمية بتمكين الوصول العلاجي المشروع دون توسيع الوصول الإداري غير الضروري.

أولاً— تعد الآراء والانتماءات السياسية بيانات حساسة، ويحظر شراء قواعد بيانات انتخابية أو تجارية تتضمنها أو استنتاجها بالتنميط لأغراض الاستهداف السياسي الدقيق دون أساس قانوني صريح وشفافية وضمانات.

ثانياً— تلتزم الأحزاب والمرشحون والجهات التي تدير الحملات بأحكام هذا القانون، ولا يجوز استخدام بيانات حكومية أو خدمية أو بيانات المساعدات الاجتماعية في الدعاية أو بناء ملفات سياسية.

ثالثاً— تضع الهيأة، بالتنسيق مع المفوضية العليا المستقلة للانتخابات، قواعد شفافية خاصة باستخدام البيانات في الحملات بما لا يمس استقلال المفوضية واختصاصها.

لا يجوز تفسير حماية البيانات على نحو يلغي مبدأ الشفافية أو الحق في الحصول على المعلومات متى قرره القانون. وعند نشر سجلات أو بيانات حكومية مفتوحة، تطبق الجهة اختباراً يوازن بين المصلحة العامة والخصوصية، وتستخدم الإخفاء أو الحجب الجزئي أو التجميع عندما يحقق الغرض دون كشف هوية غير لازمة. ولا يعد كون البيانات متاحة للجمهور سبباً مستقلاً لإعادة استخدامها لأي غرض جديد دون مراعاة هذا القانون.

أولاً— يكون تبادل البيانات بين الجهات العامة على أساس قانوني محدد وبمذكرة أو سجل تبادل يبين الغرض وفئات البيانات والجهات المخولة ومدة الاحتفاظ وضوابط الأمن والتدقيق.

ثانياً— لا يجوز إنشاء «بحيرة بيانات» أو منصة اتحادية تربط قواعد متعددة لأغراض مفتوحة أو مستقبلية غير محددة. ويجب تصميم التشغيل البيني على أساس الوصول عند الحاجة، والتقليل، وتقسيم الصلاحيات، والسجلات غير القابلة للعبث، والتدقيق الدوري.

ثالثاً— لا يمنع هذا الحكم تبادل البيانات اللازم لتقديم خدمة حكومية متكاملة إذا كان الغرض معلوماً للمواطن ومشروعاً ومتوقعاً ومعه ضمانات مناسبة.

يحدد المتحكم مدد الاحتفاظ لكل فئة بيانات على أساس الغرض والالتزامات القانونية والحاجة الفعلية، ويراجعها دورياً. وعند انتهاء المدة تمحى البيانات أو تتلف أو تحول إلى بيانات مجهولة الهوية بصورة فعلية، ما لم يلزم القانون بحفظها أو تكون لازمة لدعوى قائمة أو أرشفة مشروعة. وتصدر الجهات العامة جداول حفظ متوافقة مع قوانين الوثائق والأرشيف.

يجوز نقل البيانات الشخصية إلى خارج العراق إذا كفل النقل مستوى حماية عملياً مكافئاً في جوهره لمبادئ هذا القانون وحقوق صاحبه، أو استند إلى ضمانة معتمدة، أو تحقق استثناء محدود. ولا يجوز استخدام قواعد النقل الدولي لإجبار جميع البيانات على التوطين المحلي دون تقييم للمخاطر أو سند قانوني قطاعي.

يجوز للهيأة، بعد تقييم علني، أن تقرر أن دولة أو إقليماً أو قطاعاً محدداً يوفر مستوى كافياً من الحماية، مع مراعاة سيادة القانون والحقوق وآليات الإنفاذ واستقلال جهة الرقابة والالتزامات الدولية. وتراجع القرارات دورياً، ويجوز تعليقها أو سحبها إذا تغيرت الظروف، دون أثر رجعي على النقل الذي كان مشروعاً ما لم يستمر الخطر.

في غياب قرار كفاية، يجوز النقل بناءً على شروط تعاقدية معيارية تعتمدها الهيأة، أو قواعد مؤسسية ملزمة، أو اتفاق دولي نافذ، أو ترتيبات بين سلطات عامة تتضمن حقوقاً قابلة للإنفاذ، أو شهادة وآلية تعاقدية مناسبة. وعلى المتحكم تقييم ما إذا كانت قوانين أو ممارسات بلد الاستقبال تقوض الضمانات بصورة جوهرية واتخاذ تدابير إضافية عند الحاجة.

يجوز النقل في حالات محددة عند عدم توافر قرار كفاية أو ضمانة مناسبة إذا وافق صاحب البيانات صراحة بعد إبلاغه بالمخاطر، أو كان النقل ضرورياً لعقد معه أو لمصلحته، أو لمصلحة عامة جوهرية يقررها القانون، أو لمطالبة قانونية، أو لحماية مصالح حيوية، أو من سجل عام مفتوح قانوناً وبحدود شروطه. ولا تستخدم هذه الاستثناءات أساساً لنقل واسع أو متكرر أو هيكلي.

يجوز بقانون أو نظام يستند إلى قانون فرض تخزين محلي أو قيود إضافية على نقل فئات محددة من البيانات الحكومية أو الأمنية أو البنى الحرجة إذا أثبت تقييم مخاطر أن ذلك ضروري ومتناسب مع غرض مشروع ولا يمكن تحقيقه بضمانات أقل تقييداً. ولا يعد التوطين بديلاً عن التشفير وإدارة الصلاحيات والأمن، ولا يفرض على بيانات القطاع الخاص أو الأفراد بصورة شاملة لمجرد كونها شخصية.

تنشأ بموجب هذا القانون هيأة تسمى «الهيأة الاتحادية لحماية البيانات الشخصية والخصوصية الرقمية»، تتمتع بالشخصية المعنوية والاستقلال المالي والإداري، وتؤدي مهامها باستقلال وحياد، وتخضع للرقابة البرلمانية والمالية والقضائية وفق الدستور والقانون. ويكون مقرها في بغداد ويجوز فتح مكاتب إقليمية بحسب الحاجة وبمراعاة هيكل الدولة الاتحادي.

أولاً— يدير الهيأة مجلس من رئيس وأربعة أعضاء من ذوي الخبرة في القانون وحماية البيانات والتقنية والأمن السيبراني والاقتصاد أو الإدارة العامة، وبما يحقق تنوع الخبرات.

ثانياً— تكون إجراءات الترشيح علنية وتنافسية، وتعلن المؤهلات وتعارض المصالح، ويصدر التعيين وفق الآلية الدستورية والقانونية المعتمدة للهيئات المستقلة بعد موافقة مجلس النواب.

ثالثاً— تكون مدة العضوية خمس سنوات غير قابلة للتجديد مباشرة، وتحدد بقانون الهيأة أو نظامها قواعد التدرج في انتهاء المدد بما يمنع استبدال المجلس كله دفعة واحدة.

رابعاً— لا يجوز عزل الرئيس أو العضو قبل انتهاء مدته إلا لأسباب قانونية محددة وبإجراءات تضمن حق الدفاع والطعن، ويحظر عليه أثناء الخدمة الجمع بين العضوية وأي وظيفة أو مصلحة تتعارض مع الاستقلال.

تتولى الهيأة: مراقبة تطبيق القانون؛ تلقي الشكاوى والتحقيق فيها؛ إصدار إرشادات وقرارات تفسيرية عامة في حدود القانون؛ اعتماد الشروط التعاقدية ومدونات السلوك والشهادات؛ إصدار قرارات كفاية النقل؛ إعداد قائمة بالمعالجات التي تتطلب تقييم أثر؛ تقديم الرأي في مشروعات التشريعات ذات الأثر الكبير على البيانات؛ إجراء حملات توعية؛ التعاون مع القضاء والجهات التنظيمية والهيئات النظيرة؛ نشر تقرير سنوي عن مستوى الامتثال؛ وإصدار الأوامر التصحيحية والجزاءات الإدارية المقررة في هذا القانون.

أولاً— للهيأة طلب المعلومات والسجلات والوثائق اللازمة للتحقيق، وإجراء التدقيقات الفنية والإدارية، واستدعاء ممثلي الجهات لسماع أقوالهم.

ثانياً— لا يجوز دخول الأماكن غير المفتوحة للجمهور أو ضبط أجهزة أو نسخ محتوى خاص قسراً إلا بإذن قضائي وفق القوانين الإجرائية النافذة.

ثالثاً— تراعي الهيأة سرية الأسرار التجارية والأمنية والمهنية، ولا تستخدم البيانات التي تحصل عليها إلا لغرض أداء مهامها القانونية.

رابعاً— تتمتع الجهات الخاضعة للتحقيق بحق الاطلاع على المخالفات المنسوبة إليها والرد عليها والحصول على قرار مسبب.

لكل شخص أن يقدم شكوى إلى الهيأة بشأن معالجة يعتقد أنها تخالف هذا القانون، دون اشتراط استنفاد الشكوى الداخلية إذا كان ذلك مرهقاً أو غير مجدٍ. وللهيأة السعي إلى تسوية رضائية لا تنتقص من الحقوق، أو فتح تحقيق، أو حفظ الشكوى بقرار مسبب. وتحدد الأنظمة مدد نظر الشكاوى وإجراءات الإخطار والسرية وحماية المبلغين من الانتقام، مع حق الطعن القضائي في القرار النهائي أو التأخير غير المبرر.

أولاً— للهيأة، بحسب جسامة المخالفة، توجيه إنذار، أو أمر بالامتثال خلال مدة، أو أمر بتصحيح البيانات أو محوها أو تقييد المعالجة، أو تعليق تدفق بيانات محدد، أو وقف معالجة عالية الخطر مؤقتاً، أو تعليق شهادة، أو فرض غرامة إدارية.

ثانياً— تراعي الغرامة طبيعة المخالفة ومدتها ونطاقها وعدد المتضررين وحساسية البيانات ودرجة القصد أو الإهمال والإجراءات المتخذة للتخفيف والتعاون والسوابق والمنافع المتحققة والقدرة الاقتصادية.

ثالثاً— تكون الغرامات على الأشخاص والجهات الخاصة على الوجه الآتي: (أ) من مليون دينار إلى خمسين مليون دينار عند مخالفة الالتزامات الإجرائية المتعلقة بالسجلات أو الإشعارات أو مسؤول حماية البيانات أو متطلبات التعاون، ما لم يترتب عليها ضرر جسيم؛ (ب) من عشرة ملايين دينار إلى مئتين وخمسين مليون دينار عند مخالفة حقوق صاحب البيانات أو واجبات الأمن أو الإخطار بالاختراق أو أحكام المعالجين والتسويق والتتبع؛ (ج) من خمسين مليون دينار إلى مليار دينار، أو بما لا يجاوز اثنين بالمئة من إجمالي الإيراد السنوي المتحقق في العراق في السنة المالية السابقة بالنسبة إلى المنشأة الاقتصادية، أيهما أعلى، وبحد أقصى خمسة مليارات دينار، عند المعالجة دون أساس قانوني، أو المعالجة غير المشروعة للبيانات الحساسة، أو النقل الدولي غير المشروع، أو عدم تنفيذ أمر نهائي للهيأة، أو تكرار مخالفة جسيمة.

رابعاً— لا تفرض غرامة مالية على وزارة أو جهة حكومية ممولة من الموازنة عن المخالفة المؤسسية، ويستعاض عنها بالأمر التصحيحي والإفصاح الرقابي وإحالة المسؤولية الشخصية أو الانضباطية عند توافرها؛ ولا يشمل ذلك الشركات العامة التي تمارس نشاطاً اقتصادياً في السوق.

خامساً— تؤول الغرامات إلى الخزينة العامة ولا تعد مورداً ذاتياً للهيأة، منعاً لتعارض الحوافز.

تكون القرارات النهائية للهيأة قابلة للطعن أمام القضاء المختص وفق القواعد العامة، ويشمل نطاق الرقابة مشروعية القرار والاختصاص والإجراءات والتناسب والتسبيب. ولا يوقف الطعن تنفيذ التدبير الوقائي العاجل تلقائياً إذا كان التأخير يهدد بحقوق جسيمة، وللمحكمة أن تقرر وقف التنفيذ عند توافر مبرراته.

لكل شخص لحقه ضرر مادي أو معنوي بسبب مخالفة هذا القانون حق المطالبة بالتعويض وفق القواعد العامة. ويكون المتحكم مسؤولاً عن الضرر الناتج عن معالجة مخالفة، ويكون المعالج مسؤولاً إذا خالف التزاماً موجهاً إليه مباشرة أو تصرف خارج تعليمات المتحكم المشروعة. وتراعى مساهمة كل طرف في الضرر، ولا يمنع التعويض من فرض التدابير الإدارية أو الجزائية عند توافر شروطها.

لا تحول التدابير والجزاءات الإدارية المنصوص عليها في هذا القانون دون تطبيق أحكام قانون العقوبات أو أي قانون جزائي خاص على الأفعال التي تشكل بذاتها جريمة، بما في ذلك الدخول غير المشروع أو الابتزاز أو التزوير أو الاحتيال أو إفشاء الأسرار أو إتلاف الأدلة متى توافرت أركانها القانونية. ولا يجوز التوسع في تفسير النصوص الجزائية لمجرد وجود مخالفة إدارية لقواعد حماية البيانات.

تنسق الهيأة مع هيأة الإعلام والاتصالات والبنك المركزي ووزارات الصحة والتخطيط والداخلية والاتصالات والجهات الرقابية الأخرى ضمن اختصاص كل منها. ولا يؤدي هذا القانون إلى إلغاء الصلاحيات القطاعية المتعلقة بالأمن السيبراني أو سرية الاتصالات أو حماية المستهلك أو المهنة، وتطبق القاعدة الأكثر حماية للبيانات ما لم ينص قانون خاص على حكم لازم ومتناسب لغرض مشروع. ويجب تجنب ازدواج العقوبة الإدارية عن الفعل ذاته بالاستناد إلى القاعدة ذاتها.

أولاً— تخضع معالجة البيانات لأغراض الأمن الوطني والدفاع والاستخبارات ومنع الجرائم والتحقيق فيها لقوانين خاصة واضحة، ويجوز تقييد بعض الحقوق المنصوص عليها في هذا القانون بقدر ما يكون التقييد ضرورياً ومتناسباً ومحدداً في القانون لحماية غرض مشروع ومنع إفساد تحقيق أو عملية أمنية مشروعة.

ثانياً— لا يعفي هذا التقييد الجهات المختصة من مبادئ تحديد الغرض والتقليل والدقة والأمن وسجلات الوصول ومدد الاحتفاظ والمساءلة، ولا يجيز المراقبة الشاملة غير المميزة.

ثالثاً— تبقى مراقبة الاتصالات أو الكشف عنها خاضعة للمادة (40) من الدستور ومتطلبات القرار القضائي في الحالات التي يفرضها الدستور والقانون.

رابعاً— تضع التشريعات الخاصة آليات رقابة قضائية أو مستقلة فعالة على المعالجة السرية، مع إمكان تأجيل إبلاغ الفرد ما دام الإبلاغ يهدد الغرض المشروع وبالقدر اللازم فقط.

أولاً— تراجع الجهات العامة والخاصة عمليات المعالجة القائمة وتوائمها مع هذا القانون خلال ثمانية عشر شهراً من تاريخ نشره، على أن تعطى الأولوية خلال الاثني عشر شهراً الأولى للبيانات الحساسة والمعالجات واسعة النطاق.

ثانياً— تستمر العقود والأنظمة القائمة خلال الفترة الانتقالية بالقدر اللازم لاستمرارية الخدمات، على ألا يبدأ خلالها مشروع عالي المخاطر جديد دون تطبيق أحكام تقييم الأثر والأمن.

ثالثاً— لا يعد استمرار الاحتفاظ ببيانات جمعت قبل نفاذ القانون أساساً مستقلاً لمواصلة استخدامها، وعلى المتحكم تحديد أساس قانوني مشروع ومعقولية مدة الاحتفاظ.

يصدر مجلس الوزراء، بناءً على اقتراح الهيأة وبعد مشاورة عامة مناسبة، الأنظمة اللازمة لتنفيذ هذا القانون في المسائل التي يجيزها صراحة، وتصدر الهيأة التعليمات الفنية والإجرائية الداخلة ضمن اختصاصها. ولا يجوز لأي نظام أو تعليمات أن تنشئ أساساً جديداً لمعالجة البيانات الحساسة، أو توسع استثناءات الأمن، أو تنقص من حقوق أصحاب البيانات، أو تستحدث جزاءً غير منصوص عليه في القانون.

أولاً— على مجلس الوزراء، خلال سنة من نفاذ هذا القانون، تقديم حزمة تعديلات تشريعية لازمة لمواءمة القوانين والأنظمة ذات الصلة، ولا سيما التشريعات المنظمة للاتصالات والمعاملات الإلكترونية والتجارة الإلكترونية والهوية والسجلات الصحية والمصارف والعمل والأرشفة والوصول إلى المعلومات والانتخابات والأدلة الرقمية.

ثانياً— تبقى الأحكام القطاعية الأكثر حماية نافذة ما لم تتعارض مع هذا القانون، ويلغى أو يعدل كل نص أدنى مرتبة يتعارض معه عند صدور أداة المواءمة المختصة.

ينشر هذا القانون في الجريدة الرسمية ويعمل به بعد اثني عشر شهراً من تاريخ نشره، باستثناء أحكام إنشاء الهيأة وتعيين مجلسها وإصدار الأنظمة الأساسية فتسري من تاريخ النشر لغرض الإعداد المؤسسي. ويجوز للهيأة خلال الفترة السابقة للنفاذ إصدار أدلة امتثال غير ملزمة لتسهيل الانتقال.