حماية البيانات والخصوصية في فلسطين في عصر الذكاء الاصطناعي: منظومة متفرقة وفجوة تشريعية قيد التطور

حماية البيانات والخصوصية في فلسطين في عصر الذكاء الاصطناعي

آخر تحقق: 10 سبتمبر 2026

🔴 DRAFT_LEGISLATION — غير نافذ: مشروع قرار بقانون حماية البيانات لعام 2025 يمثل مسارًا تشريعيًا قيد التطوير، ولا يجوز تقديم أحكامه باعتبارها التزامات قانونية نافذة ما لم يصدر نص نهائي ويُنشر ويبدأ سريانه وفق الإجراءات الرسمية.

تمثل حماية البيانات واحدة من أكثر القضايا حساسية عند استخدام الذكاء الاصطناعي، لأن كثيرًا من الأنظمة تعتمد على بيانات شخصية أو سلوكية أو مهنية أو صحية أو مالية أو بيانات يمكن ربطها بأفراد بصورة مباشرة أو غير مباشرة.

وفي فلسطين، الصورة الحالية ليست قانونًا واحدًا شاملًا، بل منظومة موزعة بين عدة أدوات.

1. ما الحالة القانونية العامة؟

حتى آخر تحقق، لم يثبت صدور قانون فلسطيني شامل ونهائي ونافذ لحماية البيانات الشخصية يغطي جميع القطاعات بصورة أفقية.

وبدلًا من ذلك توجد قواعد ذات صلة موزعة في قرارات حكومية، وتنظيمات اتصالات، وقوانين الخدمات الحكومية الرقمية، وقوانين الجرائم الإلكترونية، وقانون الأمن السيبراني، وقواعد قطاعية أخرى، إلى جانب مشروع تشريع شامل ما يزال غير نافذ.

هذا يعني أن المؤسسة لا تستطيع الاكتفاء بعبارة «لا يوجد قانون حماية بيانات» ولا بعبارة «يوجد قانون شامل». كلا التبسيطين غير دقيق.

2. قرار مجلس الوزراء رقم 3 لسنة 2019

من القواعد النافذة المهمة قرار مجلس الوزراء رقم 3 لسنة 2019 المتعلق بالبيانات الشخصية للمواطنين.

يتضمن القرار حظر استخدام البيانات الشخصية المباشرة أو غير المباشرة لمتلقي الخدمات لأغراض تجارية دون الحصول على إذن مسبق.

أهميته للذكاء الاصطناعي تظهر عندما تحاول جهة إعادة استخدام بيانات جُمعت لغرض خدمي في تدريب نموذج أو تحليل سلوك أو استهداف تجاري أو تصنيف أو مشاركة مع طرف ثالث.

[ممارسة تنفيذية] الغرض الأصلي من جمع البيانات يجب ألا يختفي لمجرد أن تقنية AI تستطيع استخراج قيمة جديدة منها.

3. تنظيم الخصوصية في قطاع الاتصالات

توجد قواعد قطاعية أقدم تتعلق بخصوصية المشتركين وسرية الاتصالات والاحتفاظ بالبيانات لدى المرخص لهم في قطاع الاتصالات.

هذه القواعد مهمة عندما تعتمد حالة استخدام AI على سجلات اتصالات أو بيانات مشتركين أو حركة شبكية أو خدمات اتصال رقمية أو بيانات يحتفظ بها مقدم الخدمة.

لكنها لا تشكل قانونًا عامًا لكل أنواع البيانات الشخصية.

4. قانون الخدمات الحكومية الإلكترونية

قرار بقانون رقم 11 لسنة 2023 بشأن منظومة الخدمات الحكومية الإلكترونية يتضمن قواعد لحماية سرية المعلومات والبيانات المقدمة في سياق الخدمات الحكومية واستخدامها للغرض المقصود.

وهذا يجعل الخصوصية عنصرًا مباشرًا في AI الحكومي عند استخدام بيانات المواطنين أو المستفيدين داخل خدمات رقمية.

[ممارسة تنفيذية] إذا استُخدم AI داخل خدمة حكومية، يجب تحديد ما إذا كان الاستخدام الجديد متسقًا مع الغرض الذي جمعت البيانات من أجله، ومن يستطيع الوصول إليها، وهل يرسل النظام البيانات إلى طرف خارجي.

5. قانون الجرائم الإلكترونية

قرار بقانون الجرائم الإلكترونية رقم 10 لسنة 2018 يتناول مجموعة من الأفعال المرتبطة بالدخول غير المشروع والاعتراض والاعتداء على البيانات والأنظمة والخصوصية.

لكنه ليس قانون حماية بيانات شاملًا.

التمييز مهم لأن الأمن الجنائي للبيانات لا يساوي منظومة متكاملة لحقوق الأشخاص والأسس القانونية ودورة حياة المعالجة.

6. قانون الهيئة الوطنية للأمن السيبراني 2026

قرار بقانون رقم 8 لسنة 2026 يمنح الهيئة الوطنية للأمن السيبراني اختصاصات واسعة تتعلق بالأمن السيبراني والأنظمة والبيانات الحساسة وإدارة المخاطر والاستجابة للحوادث.

قد تتقاطع هذه الصلاحيات مع حماية البيانات في البيئات الرقمية.

لكن:

Cybersecurity Authority ≠ Comprehensive Data Protection Authority

الأمن يحمي السرية والسلامة والتوافر، بينما حماية البيانات تشمل أيضًا مشروعية الاستخدام والغرض وحقوق الشخص والشفافية والحد من المعالجة وغيرها.

7. مشروع قانون حماية البيانات 2025

نشرت وزارة الاتصالات والاقتصاد الرقمي مشروع قرار بقانون لحماية البيانات للاستشارة العامة في 2025.

ويتناول المشروع موضوعات جوهرية مثل مبادئ المعالجة وحقوق الأشخاص والموافقة ومسؤوليات المتحكم والمعالج ومسؤول حماية البيانات وتقييم أثر حماية البيانات والنقل والتدابير التصحيحية والمعالجة المؤتمتة.

لكن هذه الموضوعات لا تصبح التزامات نافذة لمجرد ورودها في مشروع قانون.

🔴 قاعدة Siyada: نغطي المشروع لأنه مهم تنظيميًا، لكن لا ننقله إلى Framework فعال قبل إثبات الاعتماد النهائي والسريان.

8. لماذا AI يجعل الفجوة أكثر حساسية؟

أنظمة AI قد تعيد استخدام بيانات تاريخية لغرض جديد، أو تستنتج معلومات لم يقدمها الشخص مباشرة، أو تربط قواعد بيانات متعددة، أو تنشئ profiles، أو تتخذ أو تدعم قرارات، أو ترسل البيانات إلى نموذج خارجي، أو تحتفظ بالمحادثات، أو تستخدم المدخلات للتدريب.

لهذا فإن غياب إطار شامل يزيد الحاجة إلى حوكمة داخلية قوية، لكنه لا يمنح المؤسسة حرية غير محدودة.

9. DPIA وتقييم الأثر

[ممارسة تنفيذية] حتى إذا لم يكن هناك التزام قانوني أفقي نهائي ومثبت بإجراء DPIA لكل حالة، يمكن استخدام تقييم أثر الخصوصية كأداة حوكمة فعالة للحالات عالية التأثير.

يشمل التقييم الغرض والبيانات والأشخاص المتأثرين والضرورة والتناسب والموردين والنقل والأمن وحقوق الشخص والمخاطر والضوابط والمخاطر المتبقية.

10. القرارات المؤتمتة

وجود AI في القرار لا يلغي مسؤولية المؤسسة.

[ممارسة تنفيذية] عند استخدام نظام للتوصية أو التصنيف أو تحديد الأولوية، يجب توثيق ما الذي يفعله النظام، وهل القرار النهائي بشري، وما البيانات المستخدمة، وما أثر الخطأ، وهل يستطيع الشخص الاعتراض، وهل يمكن مراجعة منطق القرار أو أدلته.

لا ننسب حقوقًا قانونية محددة إلى مشروع القانون قبل اعتماده، لكن هذه الأسئلة ضرورية للحوكمة.

11. GenAI والخصوصية

المشكلة الشائعة هي إدخال الموظف بيانات حقيقية في خدمة GenAI خارجية دون تقييم شروط المورد.

[ممارسة تنفيذية] يجب فحص الاحتفاظ بالـprompts، واستخدامها في التدريب، ومكان المعالجة، والمعالجين الفرعيين، وإمكانية الحذف، ونوع الحساب والخدمة، وضوابط المؤسسة، وما إذا كان إدخال هذه البيانات مسموحًا أصلًا.

12. Privacy by Design

[ممارسة تنفيذية] طبّق الخصوصية من التصميم عبر تقليل البيانات، وفصل الهوية، وتحديد الوصول، والاحتفاظ المحدود، والتشفير، والتسجيل، واختبارات إساءة الاستخدام، ومراجعة المورد، وآليات التصحيح أو الحذف حيث تكون واجبة أو مناسبة.

13. نقل البيانات والموردون

استخدام خدمات AI الدولية قد يخلق اعتماديات واختصاصات قضائية متعددة.

لذلك يجب رسم:

Data → Processor → Subprocessor → Hosting Location → Model Provider → Logs → Retention → Exit

هذه الخريطة تساعد في فهم المخاطر حتى قبل اكتمال القانون الشامل.

14. ما الذي لا ينبغي ادعاؤه؟

لا ينبغي القول إن فلسطين لديها اليوم قانون شامل مماثل لـGDPR، أو أن مشروع 2025 نافذ، أو أن الهيئة الوطنية للأمن السيبراني هي سلطة حماية بيانات شاملة، أو أن غياب قانون شامل يعني غياب جميع التزامات الخصوصية.

15. ما الذي نراقبه؟

سيكون أي من الآتي تغييرًا مهمًا: إقرار ونشر قانون شامل لحماية البيانات، وبدء نفاذه، وإنشاء أو تحديد جهة إشراف مختصة، وصدور لوائح تنفيذية، وقواعد للنقل الدولي أو المعالجة المؤتمتة أو DPIA أو الإبلاغ عن الاختراق.

صدور قانون شامل سيكون M4 structural change في Country Pack لأنه سيؤثر على أغلب المقالات المتعلقة بالAI الحكومي والبيانات والموردين والمخاطر.

الخلاصة

المشهد الفلسطيني لحماية البيانات في 2026 هو:

Fragmented current protection + Draft comprehensive reform

الحوكمة الصحيحة لا تتجاهل القواعد الحالية، ولا ترفع المشروع إلى قانون قبل أوانه.

بالنسبة للمؤسسة، القاعدة العملية هي:

اعرف البيانات والغرض والسلطة والمورد والمخاطر قبل أن تسمح للنموذج باستخدامها.