1.    ما هي المبادئ الأسباب الموجبة لاستصدار قانون حماية البيانات الشخصية الأردني؟

•    تحقيق للحقوق والحريات الدستورية التي نص عليها الدستور الأردني ولتكون الأردن بمصاف الدول التي تنظم البيئة الرقمية
•    إيجاد ايطار قانوني يوازن بين اليات حقوق الأفراد في حماية البيانات الشخصية وبين السماح بمعالجة البيانات.
•    تأسيس أطر تنظيمية لحفظ البيانات الشخصية واجراء المعالجة عليها مما يعزز الثقة في الانخراط بالاقتصاد الرقمي.

2.    ما هي المحاور الرئيسية والبنود التي نص عليها القانون؟ 

ان مجموع مواد القانون 25 مادة، تمحور حول القضايا التالية:
تعريفات، نطاق التطبيق، حقوق الشخص المعني، شروط الموافقة المسبقة، استثناءات، شروط المعالجة، التزامات المسؤول، مهام المسؤول، المحو والاخفاء، حالات تعيين المراقب، مهام ومسؤوليات المراقب، التزامات المعالج، نقل وتبادل البيانات داخليا وخارجيا، الحوكمة، مهام المجلس، ومهام الوحدة.

3.    ما الفرق بين البيانات الشخصية والبيانات الشخصية الحساسة؟

كلاهما أي بيانات أو معلومات تتعلق بشخص طبيعي ومن شأنها التعرف به بطريقة مباشرة أو غير مباشرة بغض النظر عن مصدر هذه البيانات. ولكن الفرق بين النوعين المذكورين أن البيانات الشخصية البيانات المتعلقة بشخصه أو وضعه العائلي أو أماكن تواجده، أما البيانات الشخصية الحساسة أي بيانات تتعلق بالوضع المالي أو الحالة الصحية، أو الجسدية، أو العقلية، أو الجينية، أو بصماته الحيوية (البيومترية) أو بسجل السوابق الجنائية الخاصة بالشخص الطبيعي، او أي بيانات أخرى يقرر المجلس أنها حساسة وافشاؤها يلحق الضرر بالشخص المعني.

4.    ما هي أشكال البيانات الشخصية الحساسة؟

•    الأصل والعرق
•    الآراء السياسة والانتماءات 
•    المعتقدات الدينية
•    المعلومات الصحية
•    المعلومات المالية

5.    ما هي البيانات التي يمكن أن نطلق عليها اسم بيانات شخصية وتقع تحت نطاق القانون؟

يجب أن يتوفر في البيانات ثلاثة عناصر لتصنيفها ضمن البيانات الشخصية ألا وهي:

•    أن تتعلق بشخص طبيعي وليس معنوي / اعتباري (أفراد وليست شركات)
•    أن ترتبط بشخص محدد بعينه
•    أن تعرف بالشخص المعني بطريقة مباشرة أو غير مباشرة

6.    على من ينطبق قانون حماية البيانات؟ 

تسري أحكام قانون حماية البيانات الشخصية الأردني على البيانات وان تم جمعها أو معالجتها قبل نفاذ القانون أي قبل 17/3/2024، ولكنها لا تسري أحكامه على الأشخاص الطبيعيين الذين يقومون بمعالجة بياناتهم لأغراضهم الشخصية.

7.    ما هي عمليات المعالجة التي من الممكن اجرائها على البيانات؟

هنالك اربعة  وعشرون شكل من أشكال المعالجة على الأقل وردت في القانون ألا وهي: 
جمع، افصاح، تسجيل، نسخ، توصيف، ربط، حفظ، تنظيم، تنقيح، استغلال، استعمال، اتلاف، عرض، تخزين، توزيع، نشر، اتاحة، ارسال، تقيد، محو، تعديل، إخفاء أو ترميز، ونقل البيانات.

8.    هل منح القانون حقوق لشخص المعني بمعالجة بياناته كما منح الجهات المعالجة استثناءات في المادة 6 من القانون؟

نعم، استنادا الى ما ورد في المادة 4 من القانون هناك 8 حقوق لكل شخص طبيعي الحق في حماية بياناته ولا يجوز احداث أي شكل من أشكال المعالجة عليها الا بعد الحصول على الموافقة المسبقة للشخص المعني أو في الأحوال المصرح بها قانونيا. 
يتمتع الشخص المعني بالحقوق التالية:
•    العلم والاطلاع والوصول الى البيانات الموجودة لدى المسؤول والحصول عليها
•    سحب الموافقة المسبقة
•    التصحيح أو التعديل أو الإضافة أو التحديث للبيانات
•    تخصيص المعالجة في نطاق محدد
•    المحو أو الاخفاء للبيانات وفقا لأحكام هذا القانون
•    الاعتراض على المعالجة والتشخيص اذا كانا غير ضروريين لتحقيق الأغراض التي جمعت البيانات من أجلها أو كانتا زائدتين على متطلباتها أو تمييزية أو مجحفة أو مخافة للقانون.
•    نقل نسخة من بياناته من المسؤول الى مسؤول آخر
•    العلم والمعرفة بأي خرق أو انتهاك أو إخلال بأمن وسلامة بياناته

9.    ما هي الطلبات التي من الممكن الشخص المعني التقدم بها للمسؤول؟

•    طلب الوصل إلى بياناته والحصول على نسخة منها.
•    طلب تصحيح / تعديل / تحديث البيانات
•    طلب على الاعتراض
•    طلب للتقدم بالشكوى.
•    طلبي الموافقة المسبقة وسحبها.

10.    ما هي الأمور التي يجب مراعاتها وأخذها بالحسبان عند أخذ الموافقة المسبقة من الشخص المعني؟

نعم، هناك بعض الأمور التي يشترط تحقيقها عند أخذ الموافقة المسبقة من الشخص المعني ألا وهي:
•    أن تكون الموافقة صريحة وموثقة خطيا أو الكترونيا.
•    أن تكون محددة من حيث المدة والغرض
•    أن تكون لغة الطلب واضحة وبسيطة وغير مضللة ويمكن الوصول اليها بسهولة.
•    في حال كان الشخص المعني لا يتمتع بالأهلية القانونية يجب الحصول على موافقة أحد والدي الشخص أو موافقة القاضي بناء على طلب الوحدة.

11.    كيف يمكنني العلم هل الجهة تصنف ك مسؤول أم مراقب أم معالج للبيانات بناء على ما ورد في قانون حماية البيانات؟ 

استنادا لما نص عليه القانون في المادة رقم 2 فإن:
المسؤول: أي شخص طبيعي أو اعتباري أكان داخل المملكة أم خارجها
المعالج: الشخص الطبيعي أو الاعتباري الذي يكون مختصا بمعالجة البيانات
المتلقي: أي شخص طبيعي أو اعتباري سواء أكان داخل المملكة أم خارجها يتم نقل البيانات إليه أو تبادلها معه من المسؤول. 

12.    هل هناك شروط تقع على المعالج عند معالجة البيانات؟

نعم، ان القانون يفرض على الجهات التي تقوم بمعالجة البيانات الشخصية الالتزام بمجموعة من الشروط:
•    الحصول على موافقة الشخص المعني بالمعالجة على معالجة بياناته الشخصية الا في الحالات التي ينص عليها القانون
•    استخدام البيانات الشخصية لأغراض محددة ومشروعة
•    اتخاذ جميع التدابير اللازمة لحماية البيانات الشخصية من الوصول غير المصرح به أو الاستخدام غير المشروع، أو الافشاء غير المصرح به.

13.    ماهي القطاعات أو الجهات الواجب عليها تعيين مراقب؟

يجب على الجهة / المسؤول إذا انطبق عليها أي من الحالات الواردة في المادة 11 الفقرة أ من القانون تعيين مراقب. فمن هذه الحالات: 
•    إذا كان العمل الرئيسي للمسؤول معالجة البيانات الشخصية
•    معالجة البيانات الشخصية الحساسة
•    معالجة البيانات لمن لا يتمتع بالأهلية القانونية
•    معالجة البيانات التي تضمن معلومات مالية
•    نقل قواعد البيانات الى خارج المملكة
•    أي حالة لأخرى يقرر المجلس إلزام المسؤول بتعيين المراقب لأجلها.

14.    هل يتوجب على المسؤول تعيين وتكليف مهام المراقب من داخل المؤسسة؟؟

ليس من الضروري أن يتم تعيين وتكليف مهام المراقب من داخل المؤسسة حال عدم توفر المهارات والخبرات المطلوبة، ويمكن تعيين وتكليف مهام المراقب بالتعاقد مع مراقب خارجي إذا استوفى المتطلبات مع مراعاة المادة رقم (11) من القانون، مع التزام المسؤول بإعلام الوحدة أولاً عن رغبته بالتعاقد مع مراقب خارجي مع ذكر الأسباب.

15.    ما المقصود بالوحدة؟ هل تختلف عن المجلس؟

نعم أن الوحدة "مديرية حماية البيانات الشخصية" هي الذراع التنفيذي للمجلس. واستنادا الى المادة (18) تتولى الوحدة العديد من المهام على سبيل المثال لا الحصر أي مهام يكلفها الوزير أو المجلس بها.

16.    عند حدوث اخطار أي خلل بأمن وسلامة البيانات، ما هي الإجراءات التي يجب على المسؤول القيام بها؟

•    ابلاغ الأشخاص المعنيين الذين تكون بياناتهم قد تأثرت خلال (24) ساعة من اكتشاف عملية الاخلال. وتزويدهم بالإجراءات اللازمة لتفادي أي عواقب قد تترتب على هذا الاخلال.
•    بلاغ الوحدة خلال (72) ساعة من اكتشاف عملية الاخلال عن مصدر الاخلال وأليته والأشخاص المعنيين الذين تأثرت بياناتهم بهذا الاخلال وأي معلومات أخرى متوافرة حولها.

17.    هل هناك أي نوع من التنبيه والإنذار يتم إصدارها من قبل الوحدة قبل اصدار الجزاءات القضائية؟

هناك عدد من الإجراءات التي تتخذها المديرية (جزائيات إدارية) قبل اتخاذ أي عقوبات قضائية:
•    انذار للتوقف عن المخالفة خلال مدة تحددها الوحدة
•    انذار بإيقاف الترخيص أو التصريح جزئيا او كليا
•    إيقاف الترخيص أو التصريح جزيئيا أو كليا
•    الغاء الترخيص أو التصريح جزئيا أو كليا
•    غرامة مالية 500 دينار عن كل يوم تستمر فيه المخالفة ولا تزيد عن 3% من اجمالي الإيرادات للسنة المالية السابقة.

18.    هل أصدرت الوحدة أي خطوات أو إجراءات واجب اتخاذها للامتثال للقانون؟

نعم، أوصت المديرية بعشر خطوات رئيسية للامتثال للقانون ألا وهي:
•    تعيين مراقب حماية البيانات الشخصية
•    التسجيل في سجل " مسؤولو ومعالجو ومراقبو حماية البيانات"
•    الحصول على الموافقة المسبقة من الأشخاص المعنيين قبل القيام بعمليات المعالجة
•    اتخاذ التدابير الأمنية والتقنية والتنظيمية التي تكفل حماية البيانات
•    تمكين الشخص المعني من ممارسة حقوقه
•    الاخطار في حال حدوث اختراق للبيانات
•    وضع آليات وإجراءات تلقي الشكاوى المتعلقة بالبيانات 
•    تنظيم التعاقدات من الجهات الخارجية لضمان مراعاة كافة الالتزامات والشروط المنصوص عليها في القانون
•    الالتزام بأحكام النقل والتبادل داخل وخارج حدود المملكة
•    تصحيح البيانات غير الكاملة أو غير الدقيقة إذا تبين له عدم صحتها