قانون حماية البيانات لعام 1998

عرّف القسم الأول من قانون حماية البيانات لعام 1998 "البيانات الشخصية" بأنها أي معلومات يمكن من خلالها تحديد هوية شخص حي. ويشمل ذلك تفاصيل مثل الاسم والعنوان ورقم الهاتف والبريد الإلكتروني. وينطبق القانون على البيانات المخزنة إلكترونيًا أو في "نظام ملفات ذي صلة"، والذي يشير إلى السجلات الورقية المنظمة التي يمكن البحث فيها بسهولة عن التفاصيل الشخصية. ^{[ 16 ]}

كما شمل القانون بعض المستندات الورقية إذا كانت مرتبة بطريقة تتيح الوصول بسهولة إلى المعلومات الشخصية، مثل قواعد بيانات العملاء المحفوظة في ملفات. وهذا يعني أنه لا يمكن للشركات التهرب من الامتثال بادعاء أن بياناتها ليست رقمية.

عمل قانون حرية المعلومات لعام 2000 لاحقًا جنبًا إلى جنب مع قانون حماية البيانات، إذ سمح للأفراد بالوصول إلى البيانات التي تحتفظ بها الهيئات العامة. وفي الوقت نفسه، أوضحت قضية دورانت ضد هيئة الخدمات المالية كيفية استخدام مصطلح "البيانات الشخصية" وتفسيره. ^{[ 17 ]} وقد قضت قضية دورانت بأن ليس كل ذكر لاسم شخص ما يُعد بيانات شخصية، إلا إذا كانت المعلومات تتعلق فعلاً بذلك الشخص أو تؤثر على خصوصيته أو تكشفها بأي شكل من الأشكال. وقد ساهم هذا في تضييق نطاق التعريف، وأصبحت القضية من أكثر القضايا استشهادًا في تاريخ حماية البيانات في المملكة المتحدة.

تضمن الجدول 1 من القانون ثمانية مبادئ للحماية. وتنص هذه المبادئ على ضرورة التعامل مع البيانات بنزاهة وقانونية وأمان، وعدم استخدامها بطرق تتعارض مع غرضها الأصلي. ^{[ 18 ]}

1. يجب معالجة البيانات الشخصية بشكل عادل وقانوني.
2. لا يجوز الحصول عليه إلا لأغراض مشروعة وقانونية.
3. يجب أن يكون كافياً وذا صلة وغير مفرط.
4. يجب أن تكون دقيقة ومحدثة باستمرار.
5. لا ينبغي الاحتفاظ بالمعلومات لفترة طويلة بلا داعٍ.
6. سيتم التعامل معها وفقاً لحقوق الأفراد.
7. يجب حمايتها من الوصول غير المصرح به أو الفقدان أو التلف.
8. لا يجوز نقلها خارج المنطقة الاقتصادية الأوروبية دون توفير الحماية الكافية.

شكّلت هذه المبادئ أساس قانون الخصوصية في المملكة المتحدة، ولا تزال تؤثر على القواعد الحالية بموجب قانون حماية البيانات لعام 2018 واللائحة العامة لحماية البيانات (GDPR). ^{[ 19 ]} وقد أوضحت هذه المبادئ أن جمع البيانات الشخصية يستتبع مسؤولية قانونية لحمايتها. وقد تم تبسيط العديد من هذه الأفكار لاحقًا إلى ستة مبادئ أساسية بموجب اللائحة العامة لحماية البيانات، إلا أن الهيكل الأصلي في قانون عام 1998 ساهم في وضع توقعات واضحة للإنصاف والمساءلة. ^{[ 20 ] [ 21 ]}

نصّ القانون على أن جميع عمليات معالجة البيانات الشخصية تخضع لأحكامه ما لم ينطبق استثناء محدد. ^{[ 3 ]} وقد سمحت هذه الاستثناءات، الواردة في الجزء الرابع من القانون، لبعض الأنشطة بتجاوز بعض أو كل مبادئ حماية البيانات عند الضرورة. ^{[ 35 ]}

• المادة 28 – الأمن القومي. أي معالجة تتم لأغراض الأمن القومي مستثناة من جميع مبادئ حماية البيانات الثمانية، بالإضافة إلى الجزء الثاني (حقوق الوصول للأفراد)، والجزء الثالث (الإخطار)، والجزء الخامس (الإنفاذ). ^{[ 36 ]}
  • لم يُستخدم هذا الاستثناء إلا في حالات محدودة حيث يمكن أن يتعارض تطبيق القواعد الكاملة مع التحقيقات الأمنية.
• القسم 29 – الجريمة والضرائب. البيانات الشخصية المستخدمة لمنع الجريمة أو كشفها، أو القبض على المجرمين، أو تقييم الضرائب وتحصيلها، مستثناة من مبدأ حماية البيانات الأول.
  • وهذا يعني أن وكالات إنفاذ القانون يمكنها طلب أو استخدام المعلومات دون موافقة إذا كانت تدعم بشكل مباشر تحقيقًا جنائيًا أو واجبًا متعلقًا بالضرائب.
• القسم 36 - الأغراض المنزلية. البيانات الشخصية المستخدمة فقط لأغراض الأسرة أو المنزل الشخصية للفرد معفاة من جميع مبادئ حماية البيانات وقواعد الإخطار الرسمية المنصوص عليها في القانون.
  • تضمنت الأمثلة الشائعة دفاتر العناوين الشخصية، ومجموعات الصور المنزلية، أو الاتصالات الخاصة التي لم تكن مرتبطة بالأعمال التجارية أو الاستخدام المهني.

صُممت هذه الاستثناءات لتحقيق التوازن بين خصوصية الأفراد والمصالح العامة الأوسع. وقد ضمنت ألا يعيق القانون الأنشطة الأساسية، مثل أعمال الأمن القومي أو التحقيقات الجنائية، مع حماية البيانات الشخصية اليومية من سوء الاستخدام غير الضروري. ^{[ 37 ]}

منح القانون صلاحيات محددة لقوات الشرطة والمحاكم عند التعامل مع البيانات الشخصية أو طلبها.

• بموجب المادة 29، لم يكن الحصول على موافقة صاحب البيانات مطلوباً إذا تمت معالجة المعلومات لمنع الجريمة أو كشفها، أو لمقاضاة المجرمين، أو للوفاء بواجبات تحصيل الضرائب. ^{[ 38 ]}
  • هذا يعني أن الشرطة تستطيع الحصول على بيانات مثل سجلات الهاتف أو التفاصيل المالية إذا كانت ذات صلة بالتحقيق. كما يمكن للمحاكم أن تأمر بالكشف عن السجلات عند الضرورة في الإجراءات القانونية.
• سمحت المادة 35 بمشاركة البيانات إذا اقتضى القانون ذلك أو أمر قضائي. وقد ضمن هذا عدم عرقلة الإجراءات القانونية بسبب دعاوى حماية البيانات. ^{[ 39 ]}
  • مع ذلك، كان يُتوقع من الهيئات العامة، حتى مع هذه الصلاحيات، حماية سرية المعلومات. وكان لا يزال يتعين تخزين أي بيانات يتم تبادلها بموجب هذه البنود بشكل آمن واستخدامها فقط للغرض المحدد. وقد نشر مكتب مفوض المعلومات لاحقًا إرشادات لمساعدة وكالات إنفاذ القانون على تطبيق هذه القواعد بشكل عادل.

وقد أنشأ القانون العديد من الجرائم المدنية والجنائية المتعلقة بإساءة استخدام البيانات. وقد انطبقت هذه الجرائم بشكل رئيسي على المنظمات أو الأفراد الذين تعاملوا مع المعلومات بشكل غير مسؤول.

• نصت المادة 21(1) على أن معالجة البيانات الشخصية دون تسجيل صحيح تعتبر جريمة . ^{[ 40 ]}
• القسم 21 (2) يعاقب على حالات عدم اتباع متطلبات الإخطار ^{[ 40 ]}
• نصت المادة 55 على تجريم الحصول على البيانات الشخصية أو الكشف عنها دون إذن، وهو ما شمل المتسللين والمنتحلين للشخصيات والموظفين الذين وصلوا إلى الملفات دون إذن. ^{[ 41 ]}
• نصّت المادة 56 على تجريم إجبار أي شخص على تقديم طلب للاطلاع على سجله الجنائي أثناء إجراءات التوظيف أو التحقق من أهليته للعمل. ^{[ 42 ]} وقد دخل هذا القانون حيز التنفيذ في 10 مارس 2015.

كانت معظم هذه المخالفات تستوجب الغرامات، لكن الانتهاكات الجسيمة أو المتكررة قد تؤدي إلى إجراءات قانونية أشد وتضر بسمعة المنظمة. وانتهت العديد من القضايا بتحذيرات علنية أو أوامر قضائية من مفوض المعلومات. ^{[ 43 ]}

أكدت هذه الأقسام أن قانون حماية البيانات لم يكن مجرد قانون استشاري، بل كان له وزن قانوني حقيقي. ^{[ 44 ]} كان على المؤسسات أن تثبت جديتها في حماية البيانات وإلا ستواجه مسؤولية جنائية. عمليًا، واجهت العديد من الشركات صعوبة في البداية لفهم واجباتها. ^{[ 45 ]} أصبحت برامج التدريب وعمليات تدقيق الامتثال لاحقًا من الوسائل الشائعة لتجنب العقوبات.

كان قانون حماية البيانات لعام 1998 معروفًا بتعقيده، لا سيما بالنسبة للمؤسسات الصغيرة التي لا تمتلك فرقًا قانونية أو تقنية. وقد وجد الكثيرون صعوبة في فهم صياغته، ولم يكن من الواضح دائمًا كيفية تطبيق قواعده في المواقف اليومية. ^{[ 46 ] [ 47 ]}

في البداية، أساءت الشركات والهيئات العامة فهم ما يُعتبر " بيانات شخصية " أو المدة المسموح لها بالاحتفاظ بالمعلومات. بل إن بعض المنظمات استخدمت القانون كذريعة لرفض مشاركة المعلومات المتاحة للجمهور، مما يُظهر مدى غموض التوجيهات في ذلك الوقت. ^{[ 48 ] [ 49 ]} لاحقًا، نشر مكتب مفوض المعلومات شروحات وأمثلة مبسطة لمساعدة المنظمات على اتباع القواعد بشكل صحيح. شجعت هذه الأدلة على تواصل أوضح مع الجمهور وممارسات أفضل لحفظ السجلات.

بمرور الوقت، أصبحت الدورات التدريبية وعمليات التحقق من الامتثال أكثر شيوعًا، لا سيما في المدارس والمستشفيات والمجالس المحلية. ^{[ 50 ]} ساهمت هذه الجهود في رفع مستوى الوعي بالقانون، لكنها أظهرت أيضًا مدى صعوبة مواكبة العديد من المجموعات لتوقعات الخصوصية المتغيرة.

بموجب القانون، تشير البيانات الشخصية إلى المعلومات المتعلقة بشخص حي يمكن التعرف عليه من البيانات وحدها أو عند دمجها مع معلومات أخرى. وتشمل الأمثلة الأسماء والعناوين وأرقام الهواتف والتفاصيل المالية. ^{[ 51 ]}

كما أقر القانون بالبيانات الشخصية الحساسة ، التي تتطلب حماية إضافية. وشمل ذلك معلومات عن الخلفية العرقية أو الإثنية للشخص، وآرائه السياسية، ومعتقداته الدينية، وانتمائه إلى النقابات العمالية، وسجلاته الصحية، وحياته الجنسية، أو سجله الجنائي: أي معلومات تتجاوز مجرد تحديد هوية الشخص. ^{[ 52 ]}

أدت قضية دورانت ضد هيئة الخدمات المالية لاحقًا إلى تضييق نطاق مفهوم البيانات الشخصية، حيث نصت على ضرورة أن تكون المعلومات مرتبطة ارتباطًا وثيقًا بالفرد، وليس مجرد ذكر اسمه عرضًا. ^{[ 53 ]} وقد أثر هذا القرار على كيفية تفسير المؤسسات للقانون لعدة سنوات. ^{[ 54 ]}

أصبحت هذه التعريفات مهمة مع ازدياد تخزين البيانات إلكترونياً. وقد ساعدت في تحديد الفرق بين المعلومات العامة والتفاصيل التي تتطلب إجراءات حماية أقوى، لا سيما في أماكن العمل والرعاية الصحية والوكالات الحكومية. ^{[ 50 ]}

كان أحد أهم أجزاء القانون مجموعة الحقوق التي منحها للأفراد، المعروفين باسم أصحاب البيانات . وقد سمحت هذه الحقوق للأفراد بفهم كيفية استخدام معلوماتهم الشخصية والتحكم فيها.

طلبات الوصول إلى البيانات الشخصية (SARs):

• بموجب المادة 7، كان بإمكان الأفراد تقديم طلب للاطلاع على المعلومات التي تحتفظ بها المؤسسات عنهم. وكان على الشركات عادةً الرد خلال فترة زمنية محددة، ولم يكن مسموحًا لها بتقاضي سوى رسوم رمزية في حالات معينة. وكانت طلبات الاطلاع على البيانات الشخصية تُستخدم بشكل شائع للتحقق من الأخطاء، وفهم كيفية اتخاذ القرارات، أو التأكد مما إذا كانت البيانات الشخصية قد تمت مشاركتها مع جهات أخرى. وقد أصبح هذا وسيلة مهمة لحماية خصوصية الأفراد في أماكن العمل، والمرافق الطبية، والخدمات الإلكترونية.

الحقوق الأخرى بموجب القانون

كما كان للأفراد العديد من الحقوق الإضافية، بما في ذلك:

• الحق في تصحيح البيانات غير الصحيحة (القسم 14). ^{[ 55 ]}
• الحق في إيقاف المعالجة التي قد تسبب ضرراً أو ضيقاً (القسم 10). ^{[ 56 ]}
• الحق في منع استخدام البيانات لأغراض التسويق المباشر (القسم 11). ^{[ 57 ]}
• يحق لهم المطالبة بالتعويض إذا لحق بهم ضرر نتيجة إساءة استخدام بياناتهم (المادة 13). ^{[ 58 ]}

منحت هذه الحقوق الأفراد مزيدًا من التحكم في معلوماتهم في وقت كانت فيه الشركات تجمع كميات هائلة من البيانات الرقمية. وقد تضمنت العديد من الشكاوى المبكرة التي تعاملت معها مفوضية المعلومات (ICO) سجلات غير دقيقة، أو رسائل تسويقية غير مرغوب فيها، أو إشعارات خصوصية غير واضحة. بعد دخول اللائحة العامة لحماية البيانات (GDPR) وقانون حماية البيانات لعام 2018 حيز التنفيذ، تم توسيع نطاق العديد من هذه الحقوق أو تعزيزها، لكن أسسها بدأت مع قانون حماية البيانات لعام 1998. ^{[ 59 ]}

كان مكتب مفوض المعلومات (ICO) مسؤولاً عن الإشراف على قانون حماية البيانات لعام 1998 وإنفاذه. ^{[ 60 ]} وقدّم المكتب التوجيهات، وأجاب على استفسارات الجمهور، وحقق في الشكاوى المتعلقة بكيفية تعامل المؤسسات مع البيانات الشخصية. ^{[ 61 ]}

تضمنت العديد من الشكاوى قضايا مثل السجلات غير الدقيقة، والتسويق غير المرغوب فيه، أو إشعارات الخصوصية غير الواضحة. ولمساعدة كل من الجمهور والمنظمات، نشر مكتب مفوض المعلومات أدلة عملية وأمثلة توضح كيفية اتباع القانون.

كما احتفظ مكتب مفوض المعلومات (ICO) بسجل عام لمراقبي البيانات، والذي يضم قائمة بالمنظمات الملزمة قانونًا بالإبلاغ عن كيفية معالجتها للبيانات. ^{[ 62 ]} وقد يؤدي عدم التسجيل أو الالتزام بالالتزامات الأساسية إلى توجيه إنذارات أو غرامات. ^{[ 63 ]}

مع ازدياد استخدام البيانات في المدارس والشركات ومرافق الرعاية الصحية، شجعت مفوضية المعلومات على اتباع ممارسات أمنية أقوى للحد من الفقدان العرضي أو الوصول غير المصرح به إلى المعلومات الشخصية. ^{[ 64 ]}

كانت مجموعة العمل المعنية بالمادة 29 هيئة استشارية أوروبية مؤلفة من ممثلين عن سلطات حماية البيانات في كل دولة عضو في الاتحاد الأوروبي. ^{[ 65 ]} وقد أصدرت المجموعة آراءً وتوجيهات للمساعدة في تفسير توجيه حماية البيانات لعام 1995، بما في ذلك كيفية تطبيق قواعد الموافقة والإنصاف ونقل البيانات دوليًا. ^{[ 66 ] [ 67 ]} وساهمت آراؤها في تشكيل فهم قانون حماية البيانات لعام 1998 في المملكة المتحدة، لا سيما في المجالات التي كانت فيها صياغة القانون غير واضحة. وكثيرًا ما اعتمدت المنظمات البريطانية على هذه الوثائق عند تحديد كيفية تلبية متطلبات القانون.

ساعدت مجموعة العمل لاحقًا دول الاتحاد الأوروبي في الاستعداد للائحة العامة لحماية البيانات (GDPR)، التي حلت محل التوجيه. ^{[ 68 ]} وعندما دخلت اللائحة العامة لحماية البيانات حيز التنفيذ في عام 2018، تم إلغاء قانون حماية البيانات لعام 1998 واستبداله بقانون حماية البيانات لعام 2018. ^{[ 69 ]}

على الرغم من أن قانون عام 1998 لم يعد ساري المفعول، إلا أنه وضع الأساس لقانون الخصوصية الحديث في المملكة المتحدة وقدم العديد من المفاهيم التي لا تزال قائمة حتى اليوم.