التزامات الشركات في قانون حماية البيانات في سوريا 2026
فرض التطور الرقمي المتسارع على بيئة الأعمال في الجمهورية العربية السورية معايير تشريعية جديدة لحماية حقوق المستهلكين والمتعاملين عبر الإنترنت. تكتسب التزامات الشركات في قانون حماية البيانات الصادر بالقانون رقم 12 لعام 2024 أهمية استثنائية مع بدء التطبيق الإلزامي للوائح التنفيذية في عام 2026، حيث أصبحت المنشآت التجارية والمتاجر الإلكترونية والمؤسسات المالية ملزمة باتباع حوكمة صارمة للبيانات تضمن السرية وتمنع الاستغلال التجاري العشوائي تحت طائلة الجزاءات المشددة.
خلاصة الحكم القانوني: يفرض القانون رقم 12 لعام 2024 التزامات مشددة على الشركات والكيانات التجارية في سوريا تشمل تعيين مسؤول حماية بيانات معتمد، وحظر التسويق الإلكتروني المباشر دون ترخيص مسبق وموافقة المستهلك، والاحتفاظ بسجلات المعالجة الرقمية مع توفير تدابير التشفير التقنية لحماية البيانات من الاختراق والتسريب.
1. الإطار القانوني والتنظيمي لامتثال الشركات السورية
حرص مجلس الشعب السوري عند إقرار القانون رقم 12 لعام 2024 على خلق بيئة استثمارية شفافة تحاكي النظم الدولية، وتلزم الكيانات التجارية المقيدة في السجل التجاري في سوريا بحماية أصول المعلومات الخاصة بعملائها. يشمل نطاق الامتثال الشركات المساهمة، الشركات محدودة المسؤولية، المؤسسات الفردية، وحتى المتاجر الإلكترونية غير المسجلة التي تقدم خدماتها داخل سوريا.
إن إغفال هذه المتطلبات لم يعد مجرد مخالفة إدارية هامشية، بل يرتب مسؤولية مدنية وجزائية تضامنية على مجالس الإدارة والمديرين التنفيذيين استناداً إلى قانون الشركات وقانون التجارة السوري.
2. شروط وتعيين مسؤول حماية البيانات (DPO) ومهامه
يعد تعيين مسؤول حماية البيانات (Data Protection Officer) أحد أهم الالتزامات المؤسسية المستحدثة في القانون السوري. ويلتزم بتعيين هذا المسؤول كل كيان يقوم بمعالجة واسعة النطاق للبيانات الشخصية أو يتعامل مع بيانات حساسة تتصل بالسجلات المالية أو الصحية أو السلوكية للعملاء.
تشمل المهام القانونية لمسؤول حماية البيانات ما يلي:
- الإشراف المباشر على امتثال إدارات الشركة لسياسات الخصوصية وحوكمة الأنظمة.
- تدريب الموظفين وفرق العمل المعنية على بروتوكولات حماية وسرية المعلومات.
- التنسيق الدائم مع “هيئة حماية البيانات الشخصية” وتقديم التقارير الفنية الدورية.
- استقبال شكاوى وطلبات أصحاب البيانات المتعلقة بالمحو أو التصحيح ومعالجتها نظامياً.
3. الضوابط التشريعية الصارمة للتسويق الإلكتروني المباشر
وضع القانون 12/2024 حداً للممارسات العشوائية في إرسال الحملات الدعائية عبر الرسائل النصية القصيرة أو رسائل الواتساب والبريد الإلكتروني، وقرر مجموعة من القواعد الملزمة:
- حظر الإرسال دون موافقة مسبقة (Opt-in): يجب أن يمنح المستهلك موافقة صريحة وكتابية أو إلكترونية على استلام العروض الترويجية قبل إدراج رقمه في أي قائمة بريدية أو دعائية.
- وضوح هوية المرسل: يجب أن تتضمن كل رسالة تسويقية اسم الشركة التجاري الصريح وبيانات الاتصال المعتمدة بها.
- خيار الانسحاب الفوري المجاني (Opt-out): يجب أن توفر الرسالة أو المنصة خياراً تقنياً واضحاً يتيح للعميل إلغاء الاشتراك بنقرة واحدة ودون تكبد أي رسوم مالية.
⚠️ تنبيه للمسوقين وأصحاب المتاجر: إن شراء قوائم أرقام الهواتف الجاهزة واستخدامها في حملات إعلانية ممولة دون موافقة أصحابها يعتبر عملاً غير مشروع يعاقب عليه القانون بغرامات مالية مشددة وسحب تراخيص العمل الرقمي.
4. الالتزام بمسك سجل أنشطة المعالجة والشفافية الرقمية
تلتزم الشركات بإنشاء وحفظ سجل إلكتروني تفصيلي لجميع أنشطة معالجة البيانات التي تجري داخل أنظمتها، بحيث يشتمل السجل على:
- أسماء الفئات المستهدفة بالمعالجة وطبيعة البيانات المخزنة (أسماء، هواتف، أرقام وطنية، حسابات).
- الغرض التجاري الدقيق لكل عملية معالجة وسندها التعاقدي.
- الجهات أو الأطراف الثالثة المصرح لها بالاطلاع على البيانات (مثل شركات الشحن والدفع الإلكتروني).
- المدد الزمنية المحددة للاحتفاظ بالبيانات وآليات الإتلاف أو التشفير بعد انتهاء الغرض.
5. التدابير الأمنية الفنية وإجراءات الإخطار عن الاختراق
يفرض المشرع السوري التزاماً بنتيجة فيما يخص سلامة البيانات وحمايتها من الاختراق، حيث تلزم الشركة باتخاذ التدابير التقنية المناسبة وفقاً لمعايير أمن المعلومات المعاصرة، كاستخدام طبقات التشفير الآمنة (SSL/TLS)، والتحكم في صلاحيات الوصول، وجدران الحماية المحدثة.
وفي حال وقوع أي حادث أمني أو تسريب للبيانات، تلتزم الشركة بإخطار هيئة حماية البيانات الشخصية خلال مهلة لا تتجاوز 72 ساعة من تاريخ العلم بالخرق، مع تقديم تقرير فني يوضح أسباب الحادث وعدد السجلات المتأثرة والتدابير التصحيحية المتخذة لحماية المتضررين.
6. جدول مصفوفة الامتثال المؤسسي للشركات في سوريا
يوضح الجدول الآتي مصفوفة متطلبات الامتثال الأساسية والمهل والإجراءات المقررة للشركات السورية في عام 2026:
| مجال الامتثال | الإجراء القانوني المطلوب | المستند أو الآلية المعتمدة |
|---|---|---|
| مسؤول الحماية (DPO) | تعيين مسؤول رسمي معتمد والتسجيل لدى الهيئة. | قرار إداري ومذكرة تسجيل لدى هيئة حماية البيانات. |
| سياسة الخصوصية | صياغة ونشر سياسة شفافة ومحدثة على المنصة. | وثيقة سياسة الخصوصية وشروط الاستخدام الرقمية. |
| التسويق الإلكتروني | الاعتماد الحصري على قوائم العملاء الموافقين مسبقاً. | سجلات الموافقة الإلكترونية وآلية إلغاء الاشتراك. |
| سجل المعالجة | توثيق دورة حياة البيانات من الجمع إلى الإتلاف. | سجل أنشطة المعالجة الرقمي المحدث دورياً. |
| إخطار الخروقات | الإبلاغ الفوري عن أي اختراق أو تسريب غير مقصود. | نموذج الإخطار الأمني المعتمد لدى الهيئة خلال 72 ساعة. |
7. تحديث العقود وسياسات الخصوصية الداخلية وفق القانون
يوصي مستشارو “مكتب غرس القانوني” كافة المؤسسات والشركات بمراجعة منظومتها التعاقدية الداخلية، وإبرام ملاحق أمن بيانات (Data Processing Agreements – DPA) مع جميع الشركات المزودة لخدمات الاستضافة السحابية ومطوري البرمجيات، مع إضافة بنود سرية صارمة في عقود العمل الخاصة بالموظفين الذين يملكون صلاحيات الدخول إلى قواعد بيانات العملاء.
8. الأسئلة الشائعة حول التزامات الشركات في حماية البيانات
هل يلزم كل متجر إلكتروني صغير في سوريا بتعيين مسؤول حماية بيانات؟
إذا كانت معالجة البيانات محدودة وغير حساسة، يمكن لمدير المتجر تولي مسؤولية الإشراف المباشر، لكن المتاجر التي تعالج بيانات مصرفية أو تشهد تدفقاً واسعاً لمعلومات المستخدمين ملزمة بتعيين مسؤول معتمد وفق اللائحة التنفيذية.
ما هي المهلة المحددة للشركات للإبلاغ عن تسريب بيانات العملاء؟
يوجب القانون على الشركة إخطار هيئة حماية البيانات الشخصية خلال مدة أقصاها 72 ساعة من لحظة اكتشاف الخرق الأمني، مع إبلاغ العملاء المتأثرين إذا كان التسريب يشكل خطراً جسيماً على حقوقهم.
هل يجوز للشركة نقل بيانات العملاء السوريين إلى خوادم سحابية خارج البلاد؟
يشترط لنقل البيانات عبر الحدود الحصول على ترخيص مسبق من هيئة حماية البيانات والتأكد من أن الخوادم الخارجية توفر مستوى حماية أمنية مكافئاً للمعايير المقررة بالقانون السوري.
ما هو الإجراء القانوني في حال رفض العميل استلام رسائل تسويقية؟
تلتزم الشركة فورياً وبشكل مجاني بحذف العميل من القوائم التسويقية وعدم إرسال أي محتوى دعائي مستقبلاً، ويعد استمرار الإرسال بعد طلب الإلغاء مخالفة صريحة تستوجب الغرامة.
يقوم فريق المحامين المتخصصين في مكتب غرس القانوني بمساعدة الشركات في التدقيق القانوني لأنظمة إدارة البيانات، وصياغة لوائح الامتثال، وتأمين البيئة التعاقدية لشركائكم بما يضمن استقرار أعمالكم وريادتها في السوق السورية.
