عندما تصبح بيانات المواطن جزءاً من البنية التحتية للدولة
كل معاملة إلكترونية ينجزها المواطن، وكل حساب مصرفي يفتحه، وكل بطاقة أو محفظة إلكترونية يستخدمها، وكل بصمة أو صورة وجه تُسجل، وكل خدمة حكومية رقمية يدخل إليها، تترك وراءها بيانات.
وفي الدولة الرقمية لا تبقى هذه البيانات ملفات منفصلة.
بل تتحول تدريجياً إلى شبكات مترابطة من المعلومات يمكن استخدامها للتحقق من الهوية، وتقديم الخدمات، ومكافحة الاحتيال، والتخطيط، والتحليل، واتخاذ القرار.
وهنا تبدأ القضية الحقيقية.
المشكلة ليست أن الدولة والمؤسسات تمتلك بيانات.
بل أن البيانات، كلما أصبحت أكثر ترابطاً وقيمة، أصبحت في الوقت نفسه أكثر حساسية.
فالمعلومة التي تبدو بسيطة وحدها قد تكشف الكثير عند دمجها مع معلومات أخرى.
رقم الهاتف مع الاسم والعنوان قد يكون كافياً لهندسة اجتماعية مقنعة.
بيانات الموقع على مدى أشهر قد تكشف نمط حياة شخص كامل.
والسجل الصحي يمكن أن يكشف معلومات لا ينبغي أن يراها إلا أشخاص محددون.
أما البيانات البيومترية فتمثل فئة أكثر حساسية؛ لأن أثر تسريبها قد يكون دائماً.
لهذا يجب أن نتعامل مع البيانات بوصفها أصلاً وطنياً يحتاج إلى حوكمة، وليس مجرد مخزون رقمي يحتاج إلى خادم أكبر.
ما هي البيانات الشخصية؟
البيانات الشخصية هي كل معلومة تتعلق بفرد محدد أو يمكن استخدامها، منفردة أو مع بيانات أخرى، للتعرف عليه.
وفي البيئة العراقية قد تشمل:
الاسم، والعنوان، والرقم الوطني، ورقم الهاتف، والبريد الإلكتروني، والصور، وبيانات الحسابات المصرفية، وسجل المدفوعات، والبيانات الصحية، والسجلات التعليمية، وبيانات الموظفين، وعنوان IP، ومعرّفات الأجهزة، وبيانات الموقع، وسجل استخدام التطبيقات والمنصات.
وتوجد بيانات تستحق حماية أعلى، ومنها:
البيانات البيومترية مثل بصمة الإصبع وصورة الوجه.
البيانات الصحية.
البيانات المالية.
بيانات الأطفال.
بيانات الموقع الدقيق.
البيانات المرتبطة بالهوية الوطنية.
البيانات التي يمكن أن تكشف معلومات حساسة عن حياة الفرد.
ولا ينبغي وضع جميع هذه الفئات في مستوى حماية واحد.
كلما ارتفع الضرر المحتمل الناتج عن التسريب أو سوء الاستخدام، وجب أن ترتفع معه متطلبات الحماية.
من يجمع بيانات العراقيين؟
بيانات المواطن العراقي اليوم موزعة بين عدد كبير من الجهات.
الحكومة تجمع بيانات تتعلق بالهوية والسكن والخدمات والتعليم والعمل والتقاعد والرعاية الاجتماعية وغيرها.
المصارف وشركات الدفع الإلكتروني تحتفظ ببيانات مالية وبيانات للتحقق من العملاء.
شركات الاتصالات تجمع بيانات المشتركين واستخدام الشبكات.
المستشفيات والمختبرات تحفظ ملفات صحية.
الجامعات والمدارس تمتلك بيانات طلبة وموظفين.
الشركات والتطبيقات ومواقع التجارة الإلكترونية تجمع بيانات إضافية عن المستخدمين.
وفي كثير من الحالات لا تبقى البيانات لدى الجهة الأصلية، بل تنتقل إلى:
شركة برمجيات، أو مزود استضافة، أو مركز بيانات، أو مزود خدمة سحابية، أو شركة دعم فني، أو طرف متعاقد آخر.
لهذا السبب فإن السؤال: "من يملك البيانات؟" لا يكفي.
الأدق هو أن نسأل:
من هو صاحب البيانات؟
من هو المتحكم بالبيانات Data Controller الذي يحدد الغرض من جمعها؟
ومن هو معالج البيانات Data Processor الذي يعالجها نيابة عن الجهة الأصلية؟
وما الالتزامات التي تقع على كل طرف؟
حماية البيانات ليست فقط منع الاختراق
من الأخطاء الشائعة مساواة حماية البيانات بالأمن السيبراني فقط.
الأمن السيبراني يركز على حماية الأنظمة والشبكات والمعلومات من الاختراق والتخريب والتسريب.
لكن الخصوصية تسأل أسئلة أوسع.
هل كان ينبغي جمع هذه البيانات أصلاً؟
هل جُمعت لأجل غرض مشروع وواضح؟
هل جُمعت أقل كمية ممكنة؟
هل يمكن استخدامها لغرض مختلف لاحقاً؟
هل يعرف المواطن مع من تُشارك؟
كم سنة ستبقى محفوظة؟
وهل تستطيع المؤسسة إثبات أنها تعاملت معها بمسؤولية؟
NIST نفسه يوضح أن إدارة مخاطر الأمن السيبراني تسهم في إدارة مخاطر الخصوصية، لكنها ليست كافية وحدها، لأن أضرار الخصوصية قد تحدث حتى من دون حادث أمني تقني.
يمكن إذاً أن يكون النظام شديد الأمان من الاختراق، لكنه يظل سيئاً من ناحية الخصوصية إذا كان يجمع معلومات أكثر من الحاجة أو يستخدمها بصورة غير شفافة.
أين يقف العراق اليوم؟
العراق لا يبدأ من الصفر.
بل على العكس، توسع الخدمات الإلكترونية والأنظمة الحكومية والمدفوعات الرقمية خلال السنوات الأخيرة جعل موضوع البيانات أكثر حضوراً من أي وقت سابق.
فبوابة أور الحكومية، على سبيل المثال، تنشر سياسة خصوصية توضح أنواعاً من المعلومات التي تجمع أثناء استخدام البوابة، ومنها عنوان IP وبعض بيانات التصفح والموقع الجغرافي، وتوضح أسباب الجمع وطريقة الاستخدام. وهذه خطوة مهمة في اتجاه الشفافية.
كما يعمل البنك المركزي العراقي ضمن بيئة أصبحت أكثر اعتماداً على الدفع والخدمات الرقمية، وقد نشر ضوابط للصمود السيبراني للقطاع المالي والمصرفي، إلى جانب تعليمات وضوابط للمواقع والتطبيقات المصرفية الإلكترونية، وخدمات الدفع والالتحاق الرقمي وتسجيل الزبائن والمحافظ والبطاقات.
وفي الجانب الحكومي الأوسع، تظهر أنشطة وزارة التخطيط خلال 2026 اهتماماً بالحوكمة الرقمية والأمن السيبراني وتكييف الذكاء الاصطناعي مع الخدمة العامة، مع التأكيد على أن الثقة الرقمية تحتاج إلى حوكمة مؤسسية وأمن سيبراني متكامل.
هذه كلها مؤشرات إيجابية.
لكنها لا تلغي وجود فجوة مهمة:
تطور استخدام البيانات أسرع من اكتمال المنظومة القانونية والمؤسسية التي تحكم استخدامها.
أين نقف تشريعياً؟
يمثل الدستور العراقي نقطة البداية من حيث الاعتراف بالخصوصية كحق.
لكن الحق الدستوري العام يختلف عن وجود قانون متخصص يحدد دورة حياة البيانات وحقوق أصحابها والتزامات الجهات التي تجمعها وتعالجها.
وحتى سبتمبر 2026، لا يظهر في المصادر التشريعية الرسمية التي راجعتها وجود قانون عراقي شامل ونافذ لحماية البيانات الشخصية بمستوى التفصيل الموجود في القوانين الحديثة المتخصصة.
وفي الوقت نفسه، هناك تحرك تشريعي في مجال الجرائم الإلكترونية.
فقد أنهى مجلس النواب العراقي في 6 تموز 2026 القراءة الأولى لمقترح قانون مكافحة جرائم تقنية المعلومات، ثم واصلت لجنة الأمن والدفاع النيابية مناقشته خلال تموز وآب وأيلول، وبقي في مرحلة الإنضاج التشريعي استعداداً للقراءة الثانية.
وهنا من الضروري التفريق بين أمرين:
قانون مكافحة الجرائم الإلكترونية يعالج الجرائم والاعتداءات الرقمية.
أما قانون حماية البيانات الشخصية فينظم الاستخدام المشروع اليومي للبيانات داخل الوزارات والمصارف والمستشفيات والشركات والتطبيقات.
قد لا يكون هناك مهاجم أو اختراق، ومع ذلك يمكن أن تقع مشكلة خصوصية إذا جُمعت بيانات بلا ضرورة، أو استُخدمت لغرض غير معلن، أو شاركتها المؤسسة دون ضوابط.
ولهذا يحتاج العراق إلى المسارين معاً.
الحكومة الرقمية: فرصة هائلة… لكنها تضاعف المسؤولية
التحول الرقمي الحكومي يمكن أن يغير تجربة المواطن جذرياً.
فبدلاً من تقديم المستمسكات نفسها في عشر مؤسسات، يمكن للأنظمة أن تتحقق من البيانات بصورة إلكترونية.
وبدلاً من تكرار السجلات، يمكن تقليل الازدواج.
وبدلاً من الاعتماد على ملفات متناثرة، يمكن استخدام البيانات للتخطيط واتخاذ القرار.
لكن تكامل البيانات لا يعني فتحها.
إذا كانت وزارة تحتاج إلى التحقق من معلومة محددة، فلا يعني ذلك أنها تحتاج إلى الاطلاع على الملف الكامل للمواطن.
وهنا يظهر مبدآن أساسيان:
تقليل البيانات Data Minimization
وأقل قدر من الصلاحيات Least Privilege
الأول يعني ألا تجمع المؤسسة أكثر مما تحتاج إليه.
والثاني يعني ألا يحصل المستخدم أو الموظف على صلاحيات أكثر مما تتطلب وظيفته.
حوكمة البيانات الحكومية يجب أن تسبق ربط قواعد البيانات
قبل الحديث عن منصات وطنية مترابطة، يجب أن يكون لكل مؤسسة حكومية تصور واضح عن بياناتها.
أي مؤسسة كبيرة يجب أن تعرف:
ما البيانات التي تملكها؟
أين توجد؟
من يملك حق الوصول إليها؟
ما تصنيفها؟
ما مدة الاحتفاظ بها؟
مع من تُشارك؟
وما المخاطر المرتبطة بها؟
وهذا هو جوهر حوكمة البيانات Data Governance.
والحوكمة الحكومية الجيدة يجب أن تشمل:
تصنيف البيانات.
تحديد مالك لكل مجموعة بيانات.
تحديد المسؤوليات.
إدارة الصلاحيات.
سجلات الوصول.
فصل قواعد البيانات بحسب الحساسية.
سياسات الاحتفاظ والحذف.
تشفير البيانات.
إدارة النسخ الاحتياطية.
مراجعة وصول الموظفين.
إدارة الموردين والمتعاقدين.
تقييم أثر الخصوصية للمشاريع عالية المخاطر.
بدون هذه العناصر، قد يتحول "التكامل الحكومي" من ميزة إلى نقطة تعرض واسعة.
البيانات البيومترية: أخطر من كلمة المرور
البيانات البيومترية تحتاج إلى معاملة خاصة.
إذا تعرضت كلمة مرور للتسريب يمكن تغييرها.
أما الوجه أو بصمة الإصبع فلا يمكن تغييرهما بسهولة.
لذلك فإن أي توسع في استخدام البصمة أو التعرف على الوجه أو أدوات التحقق البيومتري يجب أن يخضع لأسئلة دقيقة:
هل استخدام البيانات البيومترية ضروري فعلاً؟
أين تُخزن؟
هل يتم حفظ الصورة الأصلية أم نموذج رقمي مشتق منها؟
هل البيانات مشفرة؟
من يمتلك مفاتيح التشفير؟
هل توجد نسخة لدى شركة خارجية؟
هل تُستخدم لغرض مختلف لاحقاً؟
وما مدة الاحتفاظ بها؟
يجب ألا يكون السؤال: هل نستطيع استخدام التقنية؟
بل: هل نحتاجها؟ وهل نستطيع ضمان استخدامها بمسؤولية؟
المصارف والدفع الإلكتروني
كل توسع في الاقتصاد الرقمي يزيد من قيمة البيانات المالية.
وعندما تصبح المحافظ الإلكترونية والبطاقات والتطبيقات المصرفية أكثر انتشاراً، فإن حماية رحلة العميل تصبح مسألة أساسية.
الأمن هنا لا يقتصر على حماية خادم المصرف.
بل يبدأ من:
تسجيل العميل.
التحقق من هويته.
تطبيق الهاتف.
واجهة API.
الخدمات السحابية.
مزود الدفع.
مركز البيانات.
وأي شركة طرف ثالث تستطيع الوصول إلى المعلومة.
ضوابط الصمود السيبراني التي أصدرها البنك المركزي العراقي تمثل أساساً مهماً لرفع مستوى الجاهزية في القطاع المالي، لكن حماية المواطن تتطلب أيضاً ضمان ألا تقل معايير الحماية عندما تنتقل بياناته من مصرف إلى مزود أو شركة دفع أو نظام خارجي.
ماذا يحدث عندما تتسرب البيانات؟
مصطلح Data Breach لا يعني فقط أن قاعدة بيانات كاملة ظهرت على الإنترنت.
قد يكون الخرق:
وصول موظف غير مخول.
نسخ ملفات إلى جهاز شخصي.
إرسال بريد إلى الجهة الخطأ.
كشف نسخ احتياطية.
اختراق حساب مدير النظام.
تسريب معلومات من مزود خدمة.
أو حتى طباعة بيانات ووصول شخص غير مخول إليها.
أما الأضرار الناتجة فقد تشمل:
الاحتيال المالي.
انتحال الهوية.
الهندسة الاجتماعية.
الابتزاز.
اختراق الحسابات.
التتبع.
استهداف الشخص بناءً على معلومات مسربة.
وكلما جُمعت قواعد بيانات متعددة، أصبح بالإمكان بناء هجمات أكثر إقناعاً.
من يتحمل المسؤولية عند حدوث خرق؟
لا يكفي أن تقول المؤسسة إن "هاكراً" هاجمها.
يجب أن نسأل:
هل طبقت المؤسسة ضوابط مناسبة؟
هل كانت الأنظمة محدثة؟
هل البيانات مشفرة؟
هل كانت الصلاحيات مضبوطة؟
هل أجرت اختبارات؟
هل احتفظت ببيانات لم تعد تحتاج إليها؟
كم استغرق اكتشاف الحادث؟
هل تم احتواؤه؟
وهل تم إبلاغ المتضررين؟
هذه هي المساءلة Accountability.
المؤسسة المسؤولة لا تدعي أن بياناتها محمية فقط.
بل تستطيع إثبات ذلك.
العراق يحتاج نظاماً وطنياً للإبلاغ عن خروقات البيانات
من العناصر المهمة التي يجب أن تدخل ضمن أي إطار عراقي مستقبلي وجود آلية واضحة لـ Data Breach Notification.
أي أن تكون هناك قواعد تحدد:
متى يجب على المؤسسة إبلاغ الجهة الرقابية؟
خلال أي مدة؟
ما المعلومات التي يجب تقديمها؟
ومتى يجب إبلاغ المواطنين أنفسهم؟
فإذا كان التسريب قد يعرض المواطن للاحتيال أو انتحال الهوية، فمن حقه أن يعرف حتى يتمكن من حماية نفسه.
بيانات الأطفال تحتاج إلى قانون مختلف في شدته
حماية بيانات الأطفال يجب ألا تكون فقرة صغيرة داخل قانون عام.
الطفل لا يستطيع دائماً تقدير نتائج مشاركة المعلومات.
وقد تجمع المدارس، والمنصات التعليمية، والألعاب، والتطبيقات، والهواتف والخدمات الصحية كمية كبيرة من بياناته.
وهذا يجعل بيانات الأطفال أكثر حساسية، خصوصاً عندما تُستخدم في:
التتبع.
الإعلانات.
التنميط.
التنبؤ بالسلوك.
أو تدريب أنظمة الذكاء الاصطناعي.
لهذا ينبغي أن يتضمن القانون العراقي المستقبلي قواعد مشددة لبيانات الأطفال، وأن يكون مبدأ حماية الخصوصية للأطفال افتراضياً لا خياراً إضافياً.
أطفال العراق والذكاء الاصطناعي
المشكلة ستزداد مع انتشار أدوات AI.
قد يكتب طفل في روبوت محادثة:
اسمه.
اسم مدرسته.
موقعه.
مشكلة أسرية.
معلومة صحية.
أو صورة شخصية.
دون أن يعرف أين ستذهب هذه المعلومات.
لذلك فإن محو الأمية الرقمية في العراق يجب أن يتطور ليشمل أيضاً AI Literacy.
أي تعليم الطفل والطالب والموظف:
ما الذي يمكن إدخاله إلى أدوات الذكاء الاصطناعي؟
وما الذي لا ينبغي إدخاله؟
الذكاء الاصطناعي الحكومي يحتاج إلى قواعد قبل التوسع
الذكاء الاصطناعي يمكن أن يساعد الدولة في التحليل والتنبؤ واكتشاف الأنماط وتحسين الخدمات.
لكن استخدامه مع بيانات المواطنين يخلق أسئلة جديدة.
من أين جاءت بيانات التدريب؟
هل البيانات دقيقة؟
هل تتضمن تحيزاً؟
هل يمكن للنظام اتخاذ قرار يؤثر على شخص؟
هل يستطيع المواطن الاعتراض؟
من يراجع القرار؟
وأين تذهب البيانات المدخلة للنظام؟
من هنا يجب أن يصبح تقييم أثر الخصوصية Privacy Impact Assessment جزءاً من المشاريع الحكومية عالية التأثير.
لا ينبغي وضع بيانات المواطنين في أدوات ذكاء اصطناعي عامة
هذه نقطة تحتاج إلى سياسة فورية في المؤسسات.
لا ينبغي أن ينسخ موظف حكومي أو مصرفي أو موظف في شركة ملفاً يحتوي أسماء أو أرقاماً وطنية أو معلومات صحية أو مالية ثم يضعه في أداة AI عامة بغرض التلخيص.
هذه ليست مسألة راحة تقنية.
قد تصبح قناة غير مرئية لخروج البيانات.
ولذلك تحتاج المؤسسات إلى:
قائمة بالأدوات المسموح بها.
قواعد للبيانات التي يجوز إدخالها.
إخفاء الهوية عند الحاجة.
واتفاقيات واضحة مع مزودي خدمات AI.
الاستضافة خارج العراق: لا إفراط ولا تبسيط
من الخطأ القول إن كل بيانات العراق يجب أن تكون داخل العراق.
ومن الخطأ أيضاً القول إن موقع التخزين لا يهم.
الأمر يعتمد على نوع البيانات.
فبعض البيانات العامة قد لا تحتاج إلى قيود كبيرة.
أما البيانات السيادية أو الحساسة أو الحرجة، فتحتاج إلى قواعد أشد.
المطلوب أولاً هو تصنيف وطني للبيانات.
ثم تحديد:
ما الذي يمكن استضافته خارج العراق؟
ما الشروط المطلوبة؟
ما القانون الذي يخضع له المزود؟
هل البيانات مشفرة؟
من يملك مفاتيح التشفير؟
هل يمكن نقل البيانات إلى مزود آخر؟
هل توجد نسخة وطنية؟
وما الذي يحدث إذا تعطلت الخدمة أو توقفت العلاقة؟
هذه هي السيادة الرقمية بصورة عملية.
القطاع الخاص ليس خارج المسؤولية
حماية البيانات ليست واجباً حكومياً فقط.
المتاجر الإلكترونية.
شركات التوصيل.
شركات الاتصالات.
المؤسسات الصحية الخاصة.
الجامعات والمدارس.
شركات البرمجيات.
المنصات والتطبيقات.
كلها تتعامل مع بيانات أفراد.
ولهذا تحتاج هي أيضاً إلى قواعد واضحة.
يجب أن يعرف العميل:
ما الذي جمعته الشركة؟
ولماذا؟
وكم ستحتفظ به؟
وهل ستبيعه أو تشاركه؟
وماذا يحدث إذا طلب تصحيح بياناته؟
المورد التقني جزء من سلسلة المسؤولية
إذا تعاقدت وزارة مع شركة لبناء نظام، فهذا لا يعني أن مسؤولية الوزارة انتهت.
إذا كان المورد يستطيع الوصول إلى البيانات، فهو جزء من سلسلة المخاطر.
لذلك يجب أن تتضمن العقود التقنية مستقبلاً:
متطلبات الأمن والخصوصية.
مكان الاستضافة.
قواعد الوصول.
الإبلاغ عن الحوادث.
إدارة المتعاقدين الفرعيين.
حذف البيانات عند انتهاء العقد.
حق التدقيق.
ومتطلبات استرجاع البيانات.
ماذا نستفيد من GDPR وOECD وNIST وISO؟
العراق لا يحتاج إلى نسخة عربية من GDPR.
بل يحتاج إلى نظام عراقي يستفيد من المبادئ العالمية ويكيّفها مع الواقع المحلي.
من أهم المبادئ التي يمكن البناء عليها:
المشروعية والشفافية.
تحديد الغرض.
تقليل البيانات.
تحديد مدة الاحتفاظ.
أمن البيانات.
مساءلة المؤسسة.
وتضع OECD ثمانية مبادئ أساسية تشمل الحد من الجمع، وجودة البيانات، وتحديد الغرض، وتقييد الاستخدام، وضمانات الأمن، والانفتاح، ومشاركة الفرد، والمساءلة. كما تعتبر الخصوصية عنصراً أساسياً لبناء الثقة والاقتصاد الرقمي.
ويقدم NIST Privacy Framework أداة طوعية تساعد المؤسسات على إدارة مخاطر الخصوصية ضمن إدارة المخاطر المؤسسية.
أما ISO/IEC 27701:2025 فيضع متطلبات وإرشادات لإنشاء وإدارة وتحسين نظام إدارة معلومات الخصوصية PIMS، وهو موجه للجهات التي تتحكم أو تعالج المعلومات الشخصية.
هذه الأطر مفيدة جداً للعراق.
لكنها أدوات.
ولا تغني عن التشريع الوطني.
ما الذي يجب أن يتضمنه قانون حماية البيانات العراقي؟
إذا أراد العراق بناء قانون شامل، فمن المهم ألا يقتصر على العقوبات.
بل يجب أن ينظم دورة الحياة كاملة.
ويجب أن يتضمن على الأقل:
تعريفات دقيقة
البيانات الشخصية.
البيانات الحساسة.
البيانات البيومترية.
صاحب البيانات.
المتحكم Data Controller.
المعالج Data Processor.
الأسس القانونية للمعالجة
متى يجوز جمع البيانات؟
هل تعتمد المعالجة على موافقة؟
أم التزام قانوني؟
أم أداء خدمة عامة؟
أم مصلحة مشروعة ضمن حدود واضحة؟
حقوق المواطن
الحق في المعرفة.
الوصول.
التصحيح.
الاعتراض حيثما ينطبق.
تقييد المعالجة.
الحذف في الحالات التي يسمح بها القانون.
والتعامل مع القرارات الآلية عالية التأثير.
التزامات المؤسسات
تقليل البيانات.
التشفير.
تسجيل عمليات المعالجة.
تحديد فترات الاحتفاظ.
الإبلاغ عن الخروقات.
تقييم أثر الخصوصية.
إدارة الموردين.
نقل البيانات خارج العراق
يجب ألا يكون النقل محظوراً مطلقاً ولا مفتوحاً بلا شروط.
بل يخضع إلى مستوى حساسية البيانات والضمانات المتاحة.
الأطفال
تحتاج بيانات الأطفال إلى قواعد خاصة وأكثر صرامة.
البيانات البيومترية
يجب أن تخضع لضوابط مستقلة نظراً لصعوبة تغييرها عند التسريب.
الجزاءات
المساءلة تحتاج إلى عقوبات واضحة ومتناسبة، مع وجود سبل اعتراض وتظلم.
العراق يحتاج إلى جهة وطنية واضحة لحماية البيانات
القانون لا يطبق نفسه.
لذلك يجب تحديد جهة مؤسسية مسؤولة عن حماية البيانات.
قد يكون النموذج هيئة مستقلة أو جهازاً تنظيمياً آخر يحدده المشرع.
لكن المهم أن تكون الجهة قادرة على:
إصدار الإرشادات.
تلقي الشكاوى.
التحقيق في الخروقات.
فرض الالتزام.
التنسيق مع الجهات القطاعية.
ونشر الوعي.
كما يجب أن تكون العلاقة واضحة بينها وبين المركز الوطني للأمن السيبراني والبنك المركزي والهيئات التنظيمية الأخرى.
توصيات عملية للحكومة العراقية
لا ينبغي أن تنتظر الحكومة صدور قانون شامل كي تبدأ تحسين الحوكمة.
يمكن البدء فوراً بمجموعة خطوات عملية:
إعداد تصنيف وطني للبيانات.
اعتماد حد أدنى موحد لحماية البيانات في المؤسسات الحكومية.
إلزام المشاريع الحكومية العالية المخاطر بتقييم أثر الخصوصية.
إنشاء سجل واضح لتدفقات البيانات بين الجهات.
تقليل الصلاحيات الداخلية.
تطبيق المصادقة متعددة العوامل على الأنظمة الحساسة.
تنظيم استخدام أدوات الذكاء الاصطناعي.
إنشاء نظام وطني للإبلاغ عن خروقات البيانات.
تطوير برامج تدريب لموظفي الدولة.
وضع متطلبات خاصة للبيانات البيومترية والصحية وبيانات الأطفال.
إدراج شروط حماية البيانات في العقود الحكومية.
جعل Privacy by Design جزءاً من معايير شراء وتطوير الأنظمة.
توصيات للقطاع الخاص
الشركات العراقية أيضاً تستطيع رفع مستوى الثقة من الآن.
وأهم ما تحتاج إليه:
معرفة البيانات التي تمتلكها.
حذف ما لم تعد تحتاج إليه.
تقليل الجمع.
كتابة سياسات خصوصية مفهومة.
تشفير المعلومات الحساسة.
تقليل صلاحيات الموظفين.
تدريب العاملين.
فحص الموردين.
إعداد خطة لاستجابة الخروقات.
عدم إدخال بيانات العملاء إلى أدوات AI عامة دون ضوابط.
تطبيق مبادئ Privacy by Design في التطبيقات الجديدة.
وهذه الإجراءات ليست تكلفة فقط.
بل يمكن أن تصبح ميزة تنافسية.
Privacy by Design يجب أن تصبح ثقافة وطنية
أحد أهم التحولات المطلوبة هو أن تصبح الخصوصية جزءاً من التصميم.
لا نبني النظام ثم نسأل لاحقاً:
كيف نضيف الخصوصية؟
بل يجب أن تبدأ الأسئلة من أول اجتماع:
ما البيانات التي نحتاجها فعلاً؟
هل يمكننا تقديم الخدمة ببيانات أقل؟
هل نحتاج الاحتفاظ بها خمس سنوات؟
هل يمكن إخفاء الهوية؟
من يحتاج إلى الوصول؟
ماذا يحدث عند انتهاء الغرض؟
هذه الفلسفة تقلل الخطر من البداية.
أين سيكون العراق خلال السنوات المقبلة؟
المرحلة المقبلة ستكون مختلفة عن المرحلة السابقة.
سننتقل من:
قواعد بيانات منفصلة إلى قواعد مترابطة.
ومن الوثائق إلى الهوية الرقمية.
ومن المواقع إلى منصات خدمات متكاملة.
ومن الموظف الذي يراجع الملف إلى أنظمة تقترح قرارات.
ومن التحليل اليدوي إلى الذكاء الاصطناعي.
ومن مراكز البيانات التقليدية إلى السحب والبنى الهجينة.
وهذا يعني أن كل قرار يتعلق بالبيانات اليوم سيترك أثراً لسنوات.
لذلك فإن السنوات الحالية تمثل نافذة مهمة لبناء القواعد قبل أن تصبح الأنظمة أكبر وأكثر تعقيداً.
رؤية المهندسة سجى البياتي
من وجهة نظري، لا ينبغي أن يكون الهدف العراقي هو "حماية قاعدة البيانات".
هذا مفهوم أضيق بكثير من التحدي الحقيقي.
المطلوب هو الانتقال إلى حوكمة دورة حياة البيانات بالكامل.
الحماية تبدأ قبل جمع البيانات.
ثم أثناء المعالجة.
ثم عند مشاركتها.
ثم أثناء تخزينها.
ثم عند استخدامها في التحليل والذكاء الاصطناعي.
ثم عند حذفها أو أرشفتها.
وأرى أن أي نموذج وطني عراقي يجب أن يقوم على أربعة محاور مترابطة:
التشريع.
الحوكمة المؤسسية.
الأمن التقني.
حقوق المواطن.
فإذا ركزنا على الأمن وحده، حصلنا على أنظمة محمية لكنها قد تستخدم البيانات بطريقة غير شفافة.
وإذا ركزنا على القانون وحده، حصلنا على نصوص لا تُطبق تقنياً.
وإذا ركزنا على التكنولوجيا وحدها، فقد نسرع الرقمنة دون أن نبني الثقة.
أما عندما تتكامل هذه العناصر، يمكن أن يتحول العراق إلى دولة رقمية أكثر نضجاً وسيادة وثقة.
خلاصة ورؤية للمرحلة المقبلة
هناك خمس رسائل أرى أنها يجب أن تكون واضحة في المرحلة القادمة.
أولاً: البيانات أصبحت جزءاً من البنية التحتية الوطنية، وليست ملفات إدارية فقط.
ثانياً: العراق يحتاج إلى قانون شامل لحماية البيانات الشخصية، منفصل في أهدافه عن تشريعات مكافحة الجريمة الإلكترونية وإن كان متكاملاً معها.
ثالثاً: نحتاج إلى جهة وطنية واضحة تتولى الرقابة على حماية البيانات وحوكمة هذا الملف.
رابعاً: استخدام الذكاء الاصطناعي في مؤسسات الدولة يجب أن يسبقه إطار لحوكمة البيانات والخصوصية والمساءلة.
خامساً: حماية بيانات الأطفال والبيانات البيومترية يجب أن تكون من أولويات التشريع، لا من التفاصيل الثانوية.
العراق يحتاج إلى البيانات لكي يبني دولة رقمية أكثر كفاءة.
ويحتاج إلى التكامل لكي يقدم خدمات أفضل.
ويحتاج إلى الذكاء الاصطناعي لكي يواكب العالم.
لكن هذه المسارات جميعاً تحتاج إلى عنصر واحد حتى تنجح:
الثقة.
والثقة الرقمية لا تُبنى بالشعارات.
بل عندما يعرف المواطن أن بياناته لا تُجمع بلا حاجة، ولا تُشارك بلا قاعدة، ولا تُستخدم بلا مساءلة، ولا تُترك بلا حماية.
المهندسة سجى البياتي
مستشارة في الأمن السيبراني والتحول الرقمي
مصادر مرجعية أساسية
استند هذا التحليل إلى مصادر عراقية رسمية ومراجع دولية، من بينها: مجلس النواب العراقي فيما يتعلق بمسار مقترح قانون مكافحة جرائم تقنية المعلومات، البنك المركزي العراقي وضوابط تقنية المعلومات والصمود السيبراني، بوابة أور وسياسة الخصوصية، وزارة التخطيط فيما يتعلق بالحوكمة الرقمية والأمن السيبراني، إضافة إلى NIST Privacy Framework، ومبادئ OECD للخصوصية، وISO/IEC 27701:2025.
<!-- SAJA_INTERNAL_LINKS_DATA_PROTECTION_FINAL --><p><strong>مواضيع ذات صلة:</strong> الأمن السيبراني في العراق، السيادة الرقمية، الاقتصاد الرقمي، محو الأمية الرقمية.</p>
كل معاملة إلكترونية ينجزها المواطن، وكل حساب مصرفي يفتحه، وكل بطاقة أو محفظة إلكترونية يستخدمها، وكل بصمة أو صورة وجه تُسجل، وكل خدمة حكومية رقمية يدخل إليها، تترك وراءها بيانات.
وفي الدولة الرقمية لا تبقى هذه البيانات ملفات منفصلة.
بل تتحول تدريجياً إلى شبكات مترابطة من المعلومات يمكن استخدامها للتحقق من الهوية، وتقديم الخدمات، ومكافحة الاحتيال، والتخطيط، والتحليل، واتخاذ القرار.
وهنا تبدأ القضية الحقيقية.
المشكلة ليست أن الدولة والمؤسسات تمتلك بيانات.
بل أن البيانات، كلما أصبحت أكثر ترابطاً وقيمة، أصبحت في الوقت نفسه أكثر حساسية.
فالمعلومة التي تبدو بسيطة وحدها قد تكشف الكثير عند دمجها مع معلومات أخرى.
رقم الهاتف مع الاسم والعنوان قد يكون كافياً لهندسة اجتماعية مقنعة.
بيانات الموقع على مدى أشهر قد تكشف نمط حياة شخص كامل.
والسجل الصحي يمكن أن يكشف معلومات لا ينبغي أن يراها إلا أشخاص محددون.
أما البيانات البيومترية فتمثل فئة أكثر حساسية؛ لأن أثر تسريبها قد يكون دائماً.
لهذا يجب أن نتعامل مع البيانات بوصفها أصلاً وطنياً يحتاج إلى حوكمة، وليس مجرد مخزون رقمي يحتاج إلى خادم أكبر.
ما هي البيانات الشخصية؟
البيانات الشخصية هي كل معلومة تتعلق بفرد محدد أو يمكن استخدامها، منفردة أو مع بيانات أخرى، للتعرف عليه.
وفي البيئة العراقية قد تشمل:
الاسم، والعنوان، والرقم الوطني، ورقم الهاتف، والبريد الإلكتروني، والصور، وبيانات الحسابات المصرفية، وسجل المدفوعات، والبيانات الصحية، والسجلات التعليمية، وبيانات الموظفين، وعنوان IP، ومعرّفات الأجهزة، وبيانات الموقع، وسجل استخدام التطبيقات والمنصات.
وتوجد بيانات تستحق حماية أعلى، ومنها:
البيانات البيومترية مثل بصمة الإصبع وصورة الوجه.
البيانات الصحية.
البيانات المالية.
بيانات الأطفال.
بيانات الموقع الدقيق.
البيانات المرتبطة بالهوية الوطنية.
البيانات التي يمكن أن تكشف معلومات حساسة عن حياة الفرد.
ولا ينبغي وضع جميع هذه الفئات في مستوى حماية واحد.
كلما ارتفع الضرر المحتمل الناتج عن التسريب أو سوء الاستخدام، وجب أن ترتفع معه متطلبات الحماية.
من يجمع بيانات العراقيين؟
بيانات المواطن العراقي اليوم موزعة بين عدد كبير من الجهات.
الحكومة تجمع بيانات تتعلق بالهوية والسكن والخدمات والتعليم والعمل والتقاعد والرعاية الاجتماعية وغيرها.
المصارف وشركات الدفع الإلكتروني تحتفظ ببيانات مالية وبيانات للتحقق من العملاء.
شركات الاتصالات تجمع بيانات المشتركين واستخدام الشبكات.
المستشفيات والمختبرات تحفظ ملفات صحية.
الجامعات والمدارس تمتلك بيانات طلبة وموظفين.
الشركات والتطبيقات ومواقع التجارة الإلكترونية تجمع بيانات إضافية عن المستخدمين.
وفي كثير من الحالات لا تبقى البيانات لدى الجهة الأصلية، بل تنتقل إلى:
شركة برمجيات، أو مزود استضافة، أو مركز بيانات، أو مزود خدمة سحابية، أو شركة دعم فني، أو طرف متعاقد آخر.
لهذا السبب فإن السؤال: "من يملك البيانات؟" لا يكفي.
الأدق هو أن نسأل:
من هو صاحب البيانات؟
من هو المتحكم بالبيانات Data Controller الذي يحدد الغرض من جمعها؟
ومن هو معالج البيانات Data Processor الذي يعالجها نيابة عن الجهة الأصلية؟
وما الالتزامات التي تقع على كل طرف؟
حماية البيانات ليست فقط منع الاختراق
من الأخطاء الشائعة مساواة حماية البيانات بالأمن السيبراني فقط.
الأمن السيبراني يركز على حماية الأنظمة والشبكات والمعلومات من الاختراق والتخريب والتسريب.
لكن الخصوصية تسأل أسئلة أوسع.
هل كان ينبغي جمع هذه البيانات أصلاً؟
هل جُمعت لأجل غرض مشروع وواضح؟
هل جُمعت أقل كمية ممكنة؟
هل يمكن استخدامها لغرض مختلف لاحقاً؟
هل يعرف المواطن مع من تُشارك؟
كم سنة ستبقى محفوظة؟
وهل تستطيع المؤسسة إثبات أنها تعاملت معها بمسؤولية؟
NIST نفسه يوضح أن إدارة مخاطر الأمن السيبراني تسهم في إدارة مخاطر الخصوصية، لكنها ليست كافية وحدها، لأن أضرار الخصوصية قد تحدث حتى من دون حادث أمني تقني.
يمكن إذاً أن يكون النظام شديد الأمان من الاختراق، لكنه يظل سيئاً من ناحية الخصوصية إذا كان يجمع معلومات أكثر من الحاجة أو يستخدمها بصورة غير شفافة.
أين يقف العراق اليوم؟
العراق لا يبدأ من الصفر.
بل على العكس، توسع الخدمات الإلكترونية والأنظمة الحكومية والمدفوعات الرقمية خلال السنوات الأخيرة جعل موضوع البيانات أكثر حضوراً من أي وقت سابق.
فبوابة أور الحكومية، على سبيل المثال، تنشر سياسة خصوصية توضح أنواعاً من المعلومات التي تجمع أثناء استخدام البوابة، ومنها عنوان IP وبعض بيانات التصفح والموقع الجغرافي، وتوضح أسباب الجمع وطريقة الاستخدام. وهذه خطوة مهمة في اتجاه الشفافية.
كما يعمل البنك المركزي العراقي ضمن بيئة أصبحت أكثر اعتماداً على الدفع والخدمات الرقمية، وقد نشر ضوابط للصمود السيبراني للقطاع المالي والمصرفي، إلى جانب تعليمات وضوابط للمواقع والتطبيقات المصرفية الإلكترونية، وخدمات الدفع والالتحاق الرقمي وتسجيل الزبائن والمحافظ والبطاقات.
وفي الجانب الحكومي الأوسع، تظهر أنشطة وزارة التخطيط خلال 2026 اهتماماً بالحوكمة الرقمية والأمن السيبراني وتكييف الذكاء الاصطناعي مع الخدمة العامة، مع التأكيد على أن الثقة الرقمية تحتاج إلى حوكمة مؤسسية وأمن سيبراني متكامل.
هذه كلها مؤشرات إيجابية.
لكنها لا تلغي وجود فجوة مهمة:
تطور استخدام البيانات أسرع من اكتمال المنظومة القانونية والمؤسسية التي تحكم استخدامها.
أين نقف تشريعياً؟
يمثل الدستور العراقي نقطة البداية من حيث الاعتراف بالخصوصية كحق.
لكن الحق الدستوري العام يختلف عن وجود قانون متخصص يحدد دورة حياة البيانات وحقوق أصحابها والتزامات الجهات التي تجمعها وتعالجها.
وحتى سبتمبر 2026، لا يظهر في المصادر التشريعية الرسمية التي راجعتها وجود قانون عراقي شامل ونافذ لحماية البيانات الشخصية بمستوى التفصيل الموجود في القوانين الحديثة المتخصصة.
وفي الوقت نفسه، هناك تحرك تشريعي في مجال الجرائم الإلكترونية.
فقد أنهى مجلس النواب العراقي في 6 تموز 2026 القراءة الأولى لمقترح قانون مكافحة جرائم تقنية المعلومات، ثم واصلت لجنة الأمن والدفاع النيابية مناقشته خلال تموز وآب وأيلول، وبقي في مرحلة الإنضاج التشريعي استعداداً للقراءة الثانية.
وهنا من الضروري التفريق بين أمرين:
قانون مكافحة الجرائم الإلكترونية يعالج الجرائم والاعتداءات الرقمية.
أما قانون حماية البيانات الشخصية فينظم الاستخدام المشروع اليومي للبيانات داخل الوزارات والمصارف والمستشفيات والشركات والتطبيقات.
قد لا يكون هناك مهاجم أو اختراق، ومع ذلك يمكن أن تقع مشكلة خصوصية إذا جُمعت بيانات بلا ضرورة، أو استُخدمت لغرض غير معلن، أو شاركتها المؤسسة دون ضوابط.
ولهذا يحتاج العراق إلى المسارين معاً.
الحكومة الرقمية: فرصة هائلة… لكنها تضاعف المسؤولية
التحول الرقمي الحكومي يمكن أن يغير تجربة المواطن جذرياً.
فبدلاً من تقديم المستمسكات نفسها في عشر مؤسسات، يمكن للأنظمة أن تتحقق من البيانات بصورة إلكترونية.
وبدلاً من تكرار السجلات، يمكن تقليل الازدواج.
وبدلاً من الاعتماد على ملفات متناثرة، يمكن استخدام البيانات للتخطيط واتخاذ القرار.
لكن تكامل البيانات لا يعني فتحها.
إذا كانت وزارة تحتاج إلى التحقق من معلومة محددة، فلا يعني ذلك أنها تحتاج إلى الاطلاع على الملف الكامل للمواطن.
وهنا يظهر مبدآن أساسيان:
تقليل البيانات Data Minimization
وأقل قدر من الصلاحيات Least Privilege
الأول يعني ألا تجمع المؤسسة أكثر مما تحتاج إليه.
والثاني يعني ألا يحصل المستخدم أو الموظف على صلاحيات أكثر مما تتطلب وظيفته.
حوكمة البيانات الحكومية يجب أن تسبق ربط قواعد البيانات
قبل الحديث عن منصات وطنية مترابطة، يجب أن يكون لكل مؤسسة حكومية تصور واضح عن بياناتها.
أي مؤسسة كبيرة يجب أن تعرف:
ما البيانات التي تملكها؟
أين توجد؟
من يملك حق الوصول إليها؟
ما تصنيفها؟
ما مدة الاحتفاظ بها؟
مع من تُشارك؟
وما المخاطر المرتبطة بها؟
وهذا هو جوهر حوكمة البيانات Data Governance.
والحوكمة الحكومية الجيدة يجب أن تشمل:
تصنيف البيانات.
تحديد مالك لكل مجموعة بيانات.
تحديد المسؤوليات.
إدارة الصلاحيات.
سجلات الوصول.
فصل قواعد البيانات بحسب الحساسية.
سياسات الاحتفاظ والحذف.
تشفير البيانات.
إدارة النسخ الاحتياطية.
مراجعة وصول الموظفين.
إدارة الموردين والمتعاقدين.
تقييم أثر الخصوصية للمشاريع عالية المخاطر.
بدون هذه العناصر، قد يتحول "التكامل الحكومي" من ميزة إلى نقطة تعرض واسعة.
البيانات البيومترية: أخطر من كلمة المرور
البيانات البيومترية تحتاج إلى معاملة خاصة.
إذا تعرضت كلمة مرور للتسريب يمكن تغييرها.
أما الوجه أو بصمة الإصبع فلا يمكن تغييرهما بسهولة.
لذلك فإن أي توسع في استخدام البصمة أو التعرف على الوجه أو أدوات التحقق البيومتري يجب أن يخضع لأسئلة دقيقة:
هل استخدام البيانات البيومترية ضروري فعلاً؟
أين تُخزن؟
هل يتم حفظ الصورة الأصلية أم نموذج رقمي مشتق منها؟
هل البيانات مشفرة؟
من يمتلك مفاتيح التشفير؟
هل توجد نسخة لدى شركة خارجية؟
هل تُستخدم لغرض مختلف لاحقاً؟
وما مدة الاحتفاظ بها؟
يجب ألا يكون السؤال: هل نستطيع استخدام التقنية؟
بل: هل نحتاجها؟ وهل نستطيع ضمان استخدامها بمسؤولية؟
المصارف والدفع الإلكتروني
كل توسع في الاقتصاد الرقمي يزيد من قيمة البيانات المالية.
وعندما تصبح المحافظ الإلكترونية والبطاقات والتطبيقات المصرفية أكثر انتشاراً، فإن حماية رحلة العميل تصبح مسألة أساسية.
الأمن هنا لا يقتصر على حماية خادم المصرف.
بل يبدأ من:
تسجيل العميل.
التحقق من هويته.
تطبيق الهاتف.
واجهة API.
الخدمات السحابية.
مزود الدفع.
مركز البيانات.
وأي شركة طرف ثالث تستطيع الوصول إلى المعلومة.
ضوابط الصمود السيبراني التي أصدرها البنك المركزي العراقي تمثل أساساً مهماً لرفع مستوى الجاهزية في القطاع المالي، لكن حماية المواطن تتطلب أيضاً ضمان ألا تقل معايير الحماية عندما تنتقل بياناته من مصرف إلى مزود أو شركة دفع أو نظام خارجي.
ماذا يحدث عندما تتسرب البيانات؟
مصطلح Data Breach لا يعني فقط أن قاعدة بيانات كاملة ظهرت على الإنترنت.
قد يكون الخرق:
وصول موظف غير مخول.
نسخ ملفات إلى جهاز شخصي.
إرسال بريد إلى الجهة الخطأ.
كشف نسخ احتياطية.
اختراق حساب مدير النظام.
تسريب معلومات من مزود خدمة.
أو حتى طباعة بيانات ووصول شخص غير مخول إليها.
أما الأضرار الناتجة فقد تشمل:
الاحتيال المالي.
انتحال الهوية.
الهندسة الاجتماعية.
الابتزاز.
اختراق الحسابات.
التتبع.
استهداف الشخص بناءً على معلومات مسربة.
وكلما جُمعت قواعد بيانات متعددة، أصبح بالإمكان بناء هجمات أكثر إقناعاً.
من يتحمل المسؤولية عند حدوث خرق؟
لا يكفي أن تقول المؤسسة إن "هاكراً" هاجمها.
يجب أن نسأل:
هل طبقت المؤسسة ضوابط مناسبة؟
هل كانت الأنظمة محدثة؟
هل البيانات مشفرة؟
هل كانت الصلاحيات مضبوطة؟
هل أجرت اختبارات؟
هل احتفظت ببيانات لم تعد تحتاج إليها؟
كم استغرق اكتشاف الحادث؟
هل تم احتواؤه؟
وهل تم إبلاغ المتضررين؟
هذه هي المساءلة Accountability.
المؤسسة المسؤولة لا تدعي أن بياناتها محمية فقط.
بل تستطيع إثبات ذلك.
العراق يحتاج نظاماً وطنياً للإبلاغ عن خروقات البيانات
من العناصر المهمة التي يجب أن تدخل ضمن أي إطار عراقي مستقبلي وجود آلية واضحة لـ Data Breach Notification.
أي أن تكون هناك قواعد تحدد:
متى يجب على المؤسسة إبلاغ الجهة الرقابية؟
خلال أي مدة؟
ما المعلومات التي يجب تقديمها؟
ومتى يجب إبلاغ المواطنين أنفسهم؟
فإذا كان التسريب قد يعرض المواطن للاحتيال أو انتحال الهوية، فمن حقه أن يعرف حتى يتمكن من حماية نفسه.
بيانات الأطفال تحتاج إلى قانون مختلف في شدته
حماية بيانات الأطفال يجب ألا تكون فقرة صغيرة داخل قانون عام.
الطفل لا يستطيع دائماً تقدير نتائج مشاركة المعلومات.
وقد تجمع المدارس، والمنصات التعليمية، والألعاب، والتطبيقات، والهواتف والخدمات الصحية كمية كبيرة من بياناته.
وهذا يجعل بيانات الأطفال أكثر حساسية، خصوصاً عندما تُستخدم في:
التتبع.
الإعلانات.
التنميط.
التنبؤ بالسلوك.
أو تدريب أنظمة الذكاء الاصطناعي.
لهذا ينبغي أن يتضمن القانون العراقي المستقبلي قواعد مشددة لبيانات الأطفال، وأن يكون مبدأ حماية الخصوصية للأطفال افتراضياً لا خياراً إضافياً.
أطفال العراق والذكاء الاصطناعي
المشكلة ستزداد مع انتشار أدوات AI.
قد يكتب طفل في روبوت محادثة:
اسمه.
اسم مدرسته.
موقعه.
مشكلة أسرية.
معلومة صحية.
أو صورة شخصية.
دون أن يعرف أين ستذهب هذه المعلومات.
لذلك فإن محو الأمية الرقمية في العراق يجب أن يتطور ليشمل أيضاً AI Literacy.
أي تعليم الطفل والطالب والموظف:
ما الذي يمكن إدخاله إلى أدوات الذكاء الاصطناعي؟
وما الذي لا ينبغي إدخاله؟
الذكاء الاصطناعي الحكومي يحتاج إلى قواعد قبل التوسع
الذكاء الاصطناعي يمكن أن يساعد الدولة في التحليل والتنبؤ واكتشاف الأنماط وتحسين الخدمات.
لكن استخدامه مع بيانات المواطنين يخلق أسئلة جديدة.
من أين جاءت بيانات التدريب؟
هل البيانات دقيقة؟
هل تتضمن تحيزاً؟
هل يمكن للنظام اتخاذ قرار يؤثر على شخص؟
هل يستطيع المواطن الاعتراض؟
من يراجع القرار؟
وأين تذهب البيانات المدخلة للنظام؟
من هنا يجب أن يصبح تقييم أثر الخصوصية Privacy Impact Assessment جزءاً من المشاريع الحكومية عالية التأثير.
لا ينبغي وضع بيانات المواطنين في أدوات ذكاء اصطناعي عامة
هذه نقطة تحتاج إلى سياسة فورية في المؤسسات.
لا ينبغي أن ينسخ موظف حكومي أو مصرفي أو موظف في شركة ملفاً يحتوي أسماء أو أرقاماً وطنية أو معلومات صحية أو مالية ثم يضعه في أداة AI عامة بغرض التلخيص.
هذه ليست مسألة راحة تقنية.
قد تصبح قناة غير مرئية لخروج البيانات.
ولذلك تحتاج المؤسسات إلى:
قائمة بالأدوات المسموح بها.
قواعد للبيانات التي يجوز إدخالها.
إخفاء الهوية عند الحاجة.
واتفاقيات واضحة مع مزودي خدمات AI.
الاستضافة خارج العراق: لا إفراط ولا تبسيط
من الخطأ القول إن كل بيانات العراق يجب أن تكون داخل العراق.
ومن الخطأ أيضاً القول إن موقع التخزين لا يهم.
الأمر يعتمد على نوع البيانات.
فبعض البيانات العامة قد لا تحتاج إلى قيود كبيرة.
أما البيانات السيادية أو الحساسة أو الحرجة، فتحتاج إلى قواعد أشد.
المطلوب أولاً هو تصنيف وطني للبيانات.
ثم تحديد:
ما الذي يمكن استضافته خارج العراق؟
ما الشروط المطلوبة؟
ما القانون الذي يخضع له المزود؟
هل البيانات مشفرة؟
من يملك مفاتيح التشفير؟
هل يمكن نقل البيانات إلى مزود آخر؟
هل توجد نسخة وطنية؟
وما الذي يحدث إذا تعطلت الخدمة أو توقفت العلاقة؟
هذه هي السيادة الرقمية بصورة عملية.
القطاع الخاص ليس خارج المسؤولية
حماية البيانات ليست واجباً حكومياً فقط.
المتاجر الإلكترونية.
شركات التوصيل.
شركات الاتصالات.
المؤسسات الصحية الخاصة.
الجامعات والمدارس.
شركات البرمجيات.
المنصات والتطبيقات.
كلها تتعامل مع بيانات أفراد.
ولهذا تحتاج هي أيضاً إلى قواعد واضحة.
يجب أن يعرف العميل:
ما الذي جمعته الشركة؟
ولماذا؟
وكم ستحتفظ به؟
وهل ستبيعه أو تشاركه؟
وماذا يحدث إذا طلب تصحيح بياناته؟
المورد التقني جزء من سلسلة المسؤولية
إذا تعاقدت وزارة مع شركة لبناء نظام، فهذا لا يعني أن مسؤولية الوزارة انتهت.
إذا كان المورد يستطيع الوصول إلى البيانات، فهو جزء من سلسلة المخاطر.
لذلك يجب أن تتضمن العقود التقنية مستقبلاً:
متطلبات الأمن والخصوصية.
مكان الاستضافة.
قواعد الوصول.
الإبلاغ عن الحوادث.
إدارة المتعاقدين الفرعيين.
حذف البيانات عند انتهاء العقد.
حق التدقيق.
ومتطلبات استرجاع البيانات.
ماذا نستفيد من GDPR وOECD وNIST وISO؟
العراق لا يحتاج إلى نسخة عربية من GDPR.
بل يحتاج إلى نظام عراقي يستفيد من المبادئ العالمية ويكيّفها مع الواقع المحلي.
من أهم المبادئ التي يمكن البناء عليها:
المشروعية والشفافية.
تحديد الغرض.
تقليل البيانات.
تحديد مدة الاحتفاظ.
أمن البيانات.
مساءلة المؤسسة.
وتضع OECD ثمانية مبادئ أساسية تشمل الحد من الجمع، وجودة البيانات، وتحديد الغرض، وتقييد الاستخدام، وضمانات الأمن، والانفتاح، ومشاركة الفرد، والمساءلة. كما تعتبر الخصوصية عنصراً أساسياً لبناء الثقة والاقتصاد الرقمي.
ويقدم NIST Privacy Framework أداة طوعية تساعد المؤسسات على إدارة مخاطر الخصوصية ضمن إدارة المخاطر المؤسسية.
أما ISO/IEC 27701:2025 فيضع متطلبات وإرشادات لإنشاء وإدارة وتحسين نظام إدارة معلومات الخصوصية PIMS، وهو موجه للجهات التي تتحكم أو تعالج المعلومات الشخصية.
هذه الأطر مفيدة جداً للعراق.
لكنها أدوات.
ولا تغني عن التشريع الوطني.
ما الذي يجب أن يتضمنه قانون حماية البيانات العراقي؟
إذا أراد العراق بناء قانون شامل، فمن المهم ألا يقتصر على العقوبات.
بل يجب أن ينظم دورة الحياة كاملة.
ويجب أن يتضمن على الأقل:
تعريفات دقيقة
البيانات الشخصية.
البيانات الحساسة.
البيانات البيومترية.
صاحب البيانات.
المتحكم Data Controller.
المعالج Data Processor.
الأسس القانونية للمعالجة
متى يجوز جمع البيانات؟
هل تعتمد المعالجة على موافقة؟
أم التزام قانوني؟
أم أداء خدمة عامة؟
أم مصلحة مشروعة ضمن حدود واضحة؟
حقوق المواطن
الحق في المعرفة.
الوصول.
التصحيح.
الاعتراض حيثما ينطبق.
تقييد المعالجة.
الحذف في الحالات التي يسمح بها القانون.
والتعامل مع القرارات الآلية عالية التأثير.
التزامات المؤسسات
تقليل البيانات.
التشفير.
تسجيل عمليات المعالجة.
تحديد فترات الاحتفاظ.
الإبلاغ عن الخروقات.
تقييم أثر الخصوصية.
إدارة الموردين.
نقل البيانات خارج العراق
يجب ألا يكون النقل محظوراً مطلقاً ولا مفتوحاً بلا شروط.
بل يخضع إلى مستوى حساسية البيانات والضمانات المتاحة.
الأطفال
تحتاج بيانات الأطفال إلى قواعد خاصة وأكثر صرامة.
البيانات البيومترية
يجب أن تخضع لضوابط مستقلة نظراً لصعوبة تغييرها عند التسريب.
الجزاءات
المساءلة تحتاج إلى عقوبات واضحة ومتناسبة، مع وجود سبل اعتراض وتظلم.
العراق يحتاج إلى جهة وطنية واضحة لحماية البيانات
القانون لا يطبق نفسه.
لذلك يجب تحديد جهة مؤسسية مسؤولة عن حماية البيانات.
قد يكون النموذج هيئة مستقلة أو جهازاً تنظيمياً آخر يحدده المشرع.
لكن المهم أن تكون الجهة قادرة على:
إصدار الإرشادات.
تلقي الشكاوى.
التحقيق في الخروقات.
فرض الالتزام.
التنسيق مع الجهات القطاعية.
ونشر الوعي.
كما يجب أن تكون العلاقة واضحة بينها وبين المركز الوطني للأمن السيبراني والبنك المركزي والهيئات التنظيمية الأخرى.
توصيات عملية للحكومة العراقية
لا ينبغي أن تنتظر الحكومة صدور قانون شامل كي تبدأ تحسين الحوكمة.
يمكن البدء فوراً بمجموعة خطوات عملية:
إعداد تصنيف وطني للبيانات.
اعتماد حد أدنى موحد لحماية البيانات في المؤسسات الحكومية.
إلزام المشاريع الحكومية العالية المخاطر بتقييم أثر الخصوصية.
إنشاء سجل واضح لتدفقات البيانات بين الجهات.
تقليل الصلاحيات الداخلية.
تطبيق المصادقة متعددة العوامل على الأنظمة الحساسة.
تنظيم استخدام أدوات الذكاء الاصطناعي.
إنشاء نظام وطني للإبلاغ عن خروقات البيانات.
تطوير برامج تدريب لموظفي الدولة.
وضع متطلبات خاصة للبيانات البيومترية والصحية وبيانات الأطفال.
إدراج شروط حماية البيانات في العقود الحكومية.
جعل Privacy by Design جزءاً من معايير شراء وتطوير الأنظمة.
توصيات للقطاع الخاص
الشركات العراقية أيضاً تستطيع رفع مستوى الثقة من الآن.
وأهم ما تحتاج إليه:
معرفة البيانات التي تمتلكها.
حذف ما لم تعد تحتاج إليه.
تقليل الجمع.
كتابة سياسات خصوصية مفهومة.
تشفير المعلومات الحساسة.
تقليل صلاحيات الموظفين.
تدريب العاملين.
فحص الموردين.
إعداد خطة لاستجابة الخروقات.
عدم إدخال بيانات العملاء إلى أدوات AI عامة دون ضوابط.
تطبيق مبادئ Privacy by Design في التطبيقات الجديدة.
وهذه الإجراءات ليست تكلفة فقط.
بل يمكن أن تصبح ميزة تنافسية.
Privacy by Design يجب أن تصبح ثقافة وطنية
أحد أهم التحولات المطلوبة هو أن تصبح الخصوصية جزءاً من التصميم.
لا نبني النظام ثم نسأل لاحقاً:
كيف نضيف الخصوصية؟
بل يجب أن تبدأ الأسئلة من أول اجتماع:
ما البيانات التي نحتاجها فعلاً؟
هل يمكننا تقديم الخدمة ببيانات أقل؟
هل نحتاج الاحتفاظ بها خمس سنوات؟
هل يمكن إخفاء الهوية؟
من يحتاج إلى الوصول؟
ماذا يحدث عند انتهاء الغرض؟
هذه الفلسفة تقلل الخطر من البداية.
أين سيكون العراق خلال السنوات المقبلة؟
المرحلة المقبلة ستكون مختلفة عن المرحلة السابقة.
سننتقل من:
قواعد بيانات منفصلة إلى قواعد مترابطة.
ومن الوثائق إلى الهوية الرقمية.
ومن المواقع إلى منصات خدمات متكاملة.
ومن الموظف الذي يراجع الملف إلى أنظمة تقترح قرارات.
ومن التحليل اليدوي إلى الذكاء الاصطناعي.
ومن مراكز البيانات التقليدية إلى السحب والبنى الهجينة.
وهذا يعني أن كل قرار يتعلق بالبيانات اليوم سيترك أثراً لسنوات.
لذلك فإن السنوات الحالية تمثل نافذة مهمة لبناء القواعد قبل أن تصبح الأنظمة أكبر وأكثر تعقيداً.
رؤية المهندسة سجى البياتي
من وجهة نظري، لا ينبغي أن يكون الهدف العراقي هو "حماية قاعدة البيانات".
هذا مفهوم أضيق بكثير من التحدي الحقيقي.
المطلوب هو الانتقال إلى حوكمة دورة حياة البيانات بالكامل.
الحماية تبدأ قبل جمع البيانات.
ثم أثناء المعالجة.
ثم عند مشاركتها.
ثم أثناء تخزينها.
ثم عند استخدامها في التحليل والذكاء الاصطناعي.
ثم عند حذفها أو أرشفتها.
وأرى أن أي نموذج وطني عراقي يجب أن يقوم على أربعة محاور مترابطة:
التشريع.
الحوكمة المؤسسية.
الأمن التقني.
حقوق المواطن.
فإذا ركزنا على الأمن وحده، حصلنا على أنظمة محمية لكنها قد تستخدم البيانات بطريقة غير شفافة.
وإذا ركزنا على القانون وحده، حصلنا على نصوص لا تُطبق تقنياً.
وإذا ركزنا على التكنولوجيا وحدها، فقد نسرع الرقمنة دون أن نبني الثقة.
أما عندما تتكامل هذه العناصر، يمكن أن يتحول العراق إلى دولة رقمية أكثر نضجاً وسيادة وثقة.
خلاصة ورؤية للمرحلة المقبلة
هناك خمس رسائل أرى أنها يجب أن تكون واضحة في المرحلة القادمة.
أولاً: البيانات أصبحت جزءاً من البنية التحتية الوطنية، وليست ملفات إدارية فقط.
ثانياً: العراق يحتاج إلى قانون شامل لحماية البيانات الشخصية، منفصل في أهدافه عن تشريعات مكافحة الجريمة الإلكترونية وإن كان متكاملاً معها.
ثالثاً: نحتاج إلى جهة وطنية واضحة تتولى الرقابة على حماية البيانات وحوكمة هذا الملف.
رابعاً: استخدام الذكاء الاصطناعي في مؤسسات الدولة يجب أن يسبقه إطار لحوكمة البيانات والخصوصية والمساءلة.
خامساً: حماية بيانات الأطفال والبيانات البيومترية يجب أن تكون من أولويات التشريع، لا من التفاصيل الثانوية.
العراق يحتاج إلى البيانات لكي يبني دولة رقمية أكثر كفاءة.
ويحتاج إلى التكامل لكي يقدم خدمات أفضل.
ويحتاج إلى الذكاء الاصطناعي لكي يواكب العالم.
لكن هذه المسارات جميعاً تحتاج إلى عنصر واحد حتى تنجح:
الثقة.
والثقة الرقمية لا تُبنى بالشعارات.
بل عندما يعرف المواطن أن بياناته لا تُجمع بلا حاجة، ولا تُشارك بلا قاعدة، ولا تُستخدم بلا مساءلة، ولا تُترك بلا حماية.
المهندسة سجى البياتي
مستشارة في الأمن السيبراني والتحول الرقمي
مصادر مرجعية أساسية
استند هذا التحليل إلى مصادر عراقية رسمية ومراجع دولية، من بينها: مجلس النواب العراقي فيما يتعلق بمسار مقترح قانون مكافحة جرائم تقنية المعلومات، البنك المركزي العراقي وضوابط تقنية المعلومات والصمود السيبراني، بوابة أور وسياسة الخصوصية، وزارة التخطيط فيما يتعلق بالحوكمة الرقمية والأمن السيبراني، إضافة إلى NIST Privacy Framework، ومبادئ OECD للخصوصية، وISO/IEC 27701:2025.
<!-- SAJA_INTERNAL_LINKS_DATA_PROTECTION_FINAL --><p><strong>مواضيع ذات صلة:</strong> الأمن السيبراني في العراق، السيادة الرقمية، الاقتصاد الرقمي، محو الأمية الرقمية.</p>
