حماية المعطيات في تونس: ما يجب أن تعرفه شركات الفنتك

لا تزال حماية المعطيات الشخصية في تونس تستند إلى قانون صدر عام 2004، أي قبل الهواتف الذكية والاستضافة السحابية والتسجيل عبر التعرّف على الوجه. ويضع ذلك شركات التكنولوجيا المالية (الفنتك) في وضع غريب: قواعد صارمة على الورق، وهيئة رقابية لم تكد تعمل في السنوات الأخيرة، ومشروع قانون إصلاحي من 132 فصلًا قيد الدرس في البرلمان منذ 2025. وفي ما يلي ما ينطبق اليوم وما قد يتغيّر.

قانون 2004 لا يزال ساريًا

النص الأساسي في تونس هو القانون الأساسي عدد 63 لسنة 2004 المؤرخ في 27 جويلية 2004 المتعلق بحماية المعطيات الشخصية. ويكمّله أمران مؤرخان في 27 نوفمبر 2007: الأمر عدد 2007-3003 المتعلق بطرق سير الهيئة الوطنية، والأمر عدد 2007-3004 المتعلق بكيفية التصريح بالمعالجة أو الحصول على الترخيص. كما يحمي الدستور المعطيات الشخصية، وقد صادقت تونس عام 2017 على الاتفاقية 108 لمجلس أوروبا.

وتتولى الرقابة الهيئة الوطنية لحماية المعطيات الشخصية (INPDP). وبموجب نموذج 2004، يجب التصريح لديها مسبقًا بمعظم عمليات المعالجة، فيما يستوجب بعضها ترخيصًا مسبقًا منها.

الالتزامات الرئيسية لشركة فنتك اليوم

لم يُكتب القانون للتمويل الرقمي، غير أن عددًا من أحكامه يمسّ نماذج أعمال التكنولوجيا المالية مباشرة.

التصريح المسبق

تُعدّ معالجة المعطيات الشخصية دون تصريح مسبق مخالفةً يعاقب عليها القانون. ووفقًا لدليل عملي صدر عام 2024 عن مكتب المحاماة Boussayen Knani & Associés، أحالت الهيئة نحو ثلاثين ملفًا إلى النيابة العمومية في جويلية 2023 بسبب معالجات غير مصرّح بها.

النقل إلى الخارج

هذه هي القاعدة الأكثر صلة بالشركات الناشئة التي تستضيف بياناتها على خدمات سحابية أجنبية أو تتقاسمها مع شركاء أجانب:

• يستوجب أي نقل للمعطيات الشخصية إلى الخارج ترخيصًا من الهيئة (الفصل 52). وللهيئة أجل شهر واحد للبتّ.
• لا يُسمح بالنقل إلا إلى بلدان توفّر مستوى حماية كافيًا (الفصل 51).
• يُحظر النقل الذي قد يمسّ الأمن العام أو المصالح الحيوية لتونس (الفصل 50).
• قد يُعاقَب النقل غير المرخّص بالسجن مدة عام وبخطية قدرها 5 000 دينار (الفصل 90).

الموافقة والغير

لا يجوز إحالة المعطيات الشخصية إلى الغير دون موافقة صريحة وكتابية من الشخص المعني (الفصل 47)، وتظلّ واجبات السرّية قائمة بعد انتهاء المعالجة.

القواعد القطاعية تضيف متطلباتها الخاصة

باتت الهيئات الرقابية المالية تشير الآن إلى حماية المعطيات بشكل مباشر. فللحصول على المصادقة، تحتاج منصة التمويل التشاركي في رأس المال إلى ترخيص من هيئة حماية المعطيات. كما يشترط منشور البنك المركزي الصادر في سبتمبر 2026 بشأن مؤسسات الدفع الحصول على موافقة صريحة على معالجة المعطيات عند تسجيل الحرفاء عن بعد (انظر دليلنا حول التحقق الإلكتروني عن بعد وقواعد مكافحة غسل الأموال).

هيئة توقّفت عن العمل

تكمن نقطة الضعف في التطبيق. ففي جلسة استماع برلمانية في فيفري 2026 نقلها موقع Webdo استنادًا إلى وكالة تونس إفريقيا للأنباء (TAP)، أفادت وزارة الصحة بأن هيئة حماية المعطيات لم تعد تعمل منذ 2024، محذّرة من أن ذلك قد يؤخّر مشاريع البحث التي تحتاج إلى ترخيصها. ويصف أصحاب المبادرة التشريعية الهيئة الحالية بأنها بلا دور فعلي، ما يُحدث فراغًا مؤسساتيًا.

وبالنسبة إلى شركات الفنتك، يطرح هذا مشكلة عملية: فبعض الالتزامات، كالترخيص في النقل إلى الخارج، رهينة هيئة قد لا تكون قادرة على معالجة الطلبات. وينبغي للمؤسسين توثيق ملفاتهم والاحتفاظ بما يثبت حسن نيتهم.

مشروع القانون الإصلاحي: ماذا يقترح؟

في جويلية 2025، أودعت مجموعة من 17 نائبًا مقترح قانون أساسي يتعلق بحماية المعطيات الشخصية. ويتضمّن النص 132 فصلًا موزّعة على ستة أبواب، ومن شأنه أن يحلّ محلّ قانون 2004 بالكامل. ووفقًا لتقارير APA وallAfrica وTunisie Numérique، فإنه سيقوم بما يلي:

• إحداث هيئة مستقلة جديدة تتمتع بالشخصية القانونية والاستقلال المالي، يُعيَّن أعضاؤها لولاية واحدة مدتها خمس سنوات؛
• رفع العقوبات المالية على المخالفات الجسيمة لتصل إلى 200 000 دينار، إضافة إلى عقوبات سجنية محتملة؛
• إلزام بتعيين مسؤول عن حماية المعطيات (في الهياكل العمومية، وفقًا لـAPA)؛
• إقرار دراسات للأثر بالنسبة إلى المعالجات عالية المخاطر، وحقّ في عدم الخضوع لقرارات تستند حصرًا إلى المعالجة الآلية؛
• إضافة أربعة فصول حول الذكاء الاصطناعي في انتظار قانون مستقل؛
• إعادة صياغة قواعد النقل إلى الخارج، ووضع إطار للمعطيات الصحية، وإلغاء الترخيص المسبق لمعظم كاميرات المراقبة.

ويقول أصحاب المبادرة إن النص يتماشى مع المعايير الدولية، بما فيها قواعد الاتحاد الأوروبي لحماية المعطيات.

أين وصل مشروع القانون؟

عقدت لجنة الحقوق والحريات البرلمانية جلسات استماع في فيفري 2026، من بينها جلسات مع أصحاب المبادرة ووزارة الصحة. وفي 20 ماي 2026، ناقشت اللجنة توسيع قائمة الخبراء والجمعيات المزمع الاستماع إليهم. ولم نعثر على أي تقرير عن تصويت في اللجنة أو في الجلسة العامة حتى أكتوبر 2026، ومن ثمّ قد يختلف النص النهائي عن المشروع.

ما الذي ينبغي لمؤسسي شركات الفنتك فعله الآن؟

انتظار القانون الجديد ليس استراتيجية. والسبيل الأكثر أمانًا هو الامتثال لقانون 2004 والاستعداد لنظام على غرار اللائحة الأوروبية العامة لحماية البيانات (GDPR):

• رسم خريطة لبياناتك: ما الذي تجمعه، ولماذا، وأين يُخزَّن، ومع من تتقاسمه.
• إيداع التصاريح لدى الهيئة والاحتفاظ بما يثبت الإيداع.
• مراجعة الاستضافة السحابية: إذا غادرت البيانات تونس، فأنت بحاجة إلى ترخيص بموجب القانون الحالي.
• التعامل مع القياسات الحيوية والتصنيف الائتماني على أنها عالية المخاطر: وثّق منطق القرارات الآلية واعرض مراجعة بشرية. وهذا مهمّ بالنسبة إلى الذكاء الاصطناعي في القطاع المصرفي والإقراض.
• تأمين الأنظمة: تتداخل التزامات حماية المعطيات والأمن السيبراني بشكل متزايد في قواعد البنك المركزي التونسي.

وسيتوقّع الشركاء والمستثمرون الأوروبيون على أي حال ممارسات شبيهة باللائحة الأوروبية، والقيام بهذا العمل الآن سيسهّل الانتقال حين يُعتمد الإصلاح.