أصدرت محكمة التمييز الأردنية أول حكم استئنافي ملزم يفسر قانون حماية البيانات الشخصية رقم 28 لسنة 2023، قاضياً بأن تتبع شركة لسائقي التوصيل عبر نظام تحديد المواقع العالمي (GPS) بشكل مستمر — يمتد إلى ما بعد ساعات العمل وإلى مساكنهم الخاصة — يشكل معالجة غير قانونية للبيانات الشخصية. وقررت المحكمة أن بنود الموافقة العامة في عقود العمل لا تفي بمتطلبات القانون القاضي بأن تكون الموافقة محددة ومستنيرة ومفصلة، وقدمت أول توجيه قضائي بشأن حدود استثناء "المصلحة المشروعة" في قانون حماية البيانات الأردني. ويُعد هذا القرار أهم حكم في مجال الخصوصية يصدر في المملكة الأردنية الهاشمية حتى الآن، ومن المتوقع أن يشكل برامج الامتثال في القطاع الخاص الأردني قبل موعد النفاذ الكامل للقانون.
قامت شركة سامح لخدمات التوصيل ذ.م.م، ومقرها عمان، وهي إحدى أكبر شركات التوصيل اللوجستي في الأردن بأسطول يضم 230 دراجة نارية، بتركيب أجهزة تتبع بنظام تحديد المواقع العالمي (GPS) في جميع مركبات الشركة كجزء من نظام إدارة الأسطول. وكان برنامج التتبع يسجل بيانات الموقع بشكل مستمر — على مدار 24 ساعة يومياً وطيلة أيام الأسبوع — بما في ذلك الفترات التي يكون فيها السائقون خارج أوقات العمل والمركبات متوقفة في منازلهم. وتقدم سبعة من سائقي التوصيل، يمثلهم الاتحاد العام لنقابات العمال الأردنية، بشكوى إلى وزارة الاقتصاد الرقمي والريادة، بصفتها هيئة حماية البيانات المؤقتة في الأردن، زاعمين انتهاك قانون حماية البيانات الشخصية. وبناءً على تحقيق، أصدرت الوزارة أمراً إدارياً يلزم سامح بوقف التتبع المستمر خارج ساعات العمل والحصول على موافقة جديدة ومحددة من كل موظف. واستأنفت سامح الأمر أمام محكمة بداية عمان التي أيدت قرار الوزارة، ثم استأنفت الشركة الحكم أمام محكمة التمييز من حيث المسائل القانونية.
حددت محكمة التمييز أربع مسائل مبدئية: (1) هل يكفي بند عام في عقد العمل للوفاء بمتطلبات الموافقة بموجب قانون حماية البيانات الشخصية، أم أن القانون يقتضي موافقة منفصلة ومحددة لكل غرض من أغراض المعالجة؟ (2) هل يمكن لاستثناء "المصلحة المشروعة" لصاحب العمل بموجب المادة 6(1)(و) من القانون — التي تعكس هيكل اللائحة الأوروبية العامة لحماية البيانات (GDPR) — أن يتغلب على شرط الموافقة فيما يخص مراقبة الموظفين؟ (3) هل تشكل بيانات الموقع الجغرافي المستمرة "بيانات شخصية حساسة" بموجب المادة 8 من القانون، بما يستوجب حماية مشددة؟ (4) هل كانت وزارة الاقتصاد الرقمي والريادة مختصة بإصدار أوامر إدارية ملزمة بموجب القانون قبل إنشاء هيئة حماية البيانات الشخصية الدائمة؟
رفضت محكمة التمييز الاستئناف بقرار إجماعي، وقضت بما يلي:
(1) لا يكفي بند عام في عقد العمل للوفاء بمتطلبات الموافقة بموجب قانون حماية البيانات الشخصية. فالمادة 5(1) من القانون تشترط أن تكون الموافقة "محددة وصريحة ومعطاة بحرية لغرض محدد بوضوح." ولا يرتقي النص التعاقدي العام الذي يخول صاحب العمل "مراقبة أصول الشركة" إلى هذا المستوى. ويجب على صاحب العمل الحصول على موافقة منفصلة وتوثيقها لكل نشاط معالجة متميز — وفي هذه القضية، يُعتبر التتبع عبر نظام تحديد المواقع أثناء ساعات العمل والتتبع خارج ساعات العمل نشاطين متميزين يتطلبان موافقة منفصلة.
(2) إن استثناء "المصلحة المشروعة" بموجب المادة 6(1)(و) لا يسمح بمعالجة تتجاوز الحقوق والحريات الأساسية للشخص المعني بالبيانات. واعتمدت المحكمة اختبار موازنة ثلاثي المراحل: (أ) يجب على صاحب العمل إثبات وجود مصلحة مشروعة ذات مضمون؛ (ب) يجب أن تكون المعالجة ضرورية تماماً لتلك المصلحة؛ (ج) ويجب ألا تتجاوز المصلحةُ حقوقَ الشخص المعني بالبيانات. وفي هذه القضية، تُعتبر إدارة الأسطول مصلحة مشروعة، لكن التتبع على مدار الساعة ليس ضرورياً لإدارة الأسطول — فالتتبع خارج أوقات العمل غير متناسب.
(3) إن بيانات الموقع الجغرافي المستمرة التي تكشف عن عنوان منزل الفرد وأنماط تنقله وشعائره الدينية (من خلال أنماط ارتياد المساجد) تُعتبر بيانات "تكشف عن المعتقدات الدينية" وبالتالي تشكل بيانات شخصية حساسة بموجب المادة 8 من القانون، مما يستوجب موافقة صريحة ومعيار تبرير مشدد.
(4) إن وزارة الاقتصاد الرقمي والريادة، بصفتها الهيئة الإشرافية المؤقتة المعينة بموجب الأحكام الانتقالية للقانون، تملك الاختصاص الكامل لإصدار أوامر إدارية ملزمة وفرض تدابير تصحيحية لحين إنشاء الهيئة الدائمة.
هذا أول قرار قضائي يفسر قانون حماية البيانات الشخصية الأردني — وهو تشريع صيغ على غرار اللائحة الأوروبية العامة لحماية البيانات (GDPR) وصدر في إطار رؤية التحديث الاقتصادي 2033 — ويبعث برسالة لا لبس فيها بأن القضاء الأردني سيفسر القانون بما يتماشى مع المعايير الأوروبية لحماية البيانات. وللحكم آثار فورية على جميع أصحاب العمل الأردنيين الذين يستخدمون تقنيات مراقبة القوى العاملة، من أنظمة التتبع عبر نظام تحديد المواقع إلى أنظمة البصمة لتسجيل الدوام وبرمجيات مراقبة الإنتاجية. ويتوقع محامو العمل في عمان موجة من مراجعات الامتثال وعمليات تجديد الموافقة في قطاعات الخدمات اللوجستية والصناعة والأمن. ويؤكد القرار أيضاً صلاحيات الوزارة التنفيذية، مما يضفي مصداقية على نظام حماية البيانات الأردني في وقت تسعى فيه المملكة للحصول على قرار كفاية من الاتحاد الأوروبي لتسهيل تدفق البيانات عبر الحدود مع الشركاء الأوروبيين.
"الموافقة بموجب قانون حماية البيانات الشخصية ليست إجراءً شكلياً يُدفن في البنود الدقيقة لعقد العمل. إنها ضمانة حية ومستمرة — يجب تجديدها وتنقيحها كلما امتدت يد صاحب العمل إلى المجال الخاص للموظف. واختلال توازن القوى في علاقة العمل يجعل هذه الضمانة أكثر أهمية، لا أقل." — رئيس المحكمة القاضي محمد الطراونة