ما يشترطه PDPL الأردني فعلياً

يسري القانون على معالجة البيانات الشخصية للأفراد المتواجدين في الأردن بصرف النظر عن مكان تأسيس المتحكم أو المعالج، وعلى المتحكمين والمعالجين المتواجدين في الأردن بصرف النظر عن مكان وجود أصحاب البيانات. وبذلك يكون النطاق الإقليمي للقانون واسعاً ويشمل معظم الناشرين الذين يخدمون القراء الأردنيين، إذ تُحسم الحالة الحدية الأكثر شيوعاً — ناشر غير أردني بدون بنية تحتية أردنية لكن لديه زوار أردنيون — بالرجوع إلى ما إذا كان المتحكم قد وجّه خدماته بصورة نشطة نحو الأردن. تُعرَّف البيانات الشخصية تعريفاً واسعاً بوصفها أي معلومات تُعرّف شخصاً طبيعياً أو تجعله قابلاً للتعريف، فيما تخضع البيانات الشخصية الحساسة — بما تشمله من بيانات تتعلق بالأصل العرقي والرأي السياسي والمعتقد الديني والصحة والحياة الجنسية والسجلات الجنائية والبيانات المالية — لحد موافقة أعلى وضمانات إجرائية إضافية.

يُرسي القانون أسساً مشروعة للمعالجة، وطيفاً معتاداً من حقوق أصحاب البيانات — الوصول والتصحيح والمحو والتقييد والاعتراض وقابلية النقل — وإطاراً للمساءلة بين المتحكم والمعالج مع التعيين الإلزامي لمسؤول حماية البيانات في الفئات ذات المخاطر العالية، وإخطار المجلس بالاختراقات في غضون 72 ساعة من الاكتشاف، وضوابط النقل العابر للحدود المرتبطة بتحديد المجلس لمدى الملاءمة أو الضمانات المعتمدة، ونظام العقوبات الإدارية بغرامات تصل إلى JOD 1 مليون لكل اختراق فضلاً عن العقوبات الجنائية للفئات الأشد خطورة بما فيها النقل العابر للحدود غير المرخص ومعالجة البيانات الحساسة دون أساس سليم.

كيف يتعامل PDPL مع موافقة الكوكيز

لا يتضمن PDPL الأردني حكماً منفصلاً على غرار ePrivacy بشأن الكوكيز؛ فالكوكيز وتقنيات التخزين والوصول المماثلة تندرج ضمن إطار الموافقة العام. المعيار هو الاتفاق الصريح الطوعي المحدد والمستنير المُثبت بفعل إيجابي — مجموعة المتطلبات التي وضعها GDPR كخط أساسي عالمي واستوردتها الأردن مع تعديلاتها الإجرائية الخاصة. أكد المجلس في إرشاداته الصادرة أن المربعات المحددة مسبقاً والموافقة الضمنية المستنتجة من الاستمرار في التصفح ولافتات الموافقة المجمعة لا تستوفي حد القانون. وهذا يضع الأردن في صف الاتجاه العالمي ويعني أن الموقف الذي يحافظ عليه الناشرون بالفعل لحركة مرور EEA هو نقطة البداية الصحيحة لحركة المرور الأردنية.

الأثر العملي هو أن الكوكيز والتقنيات المماثلة التي ليست ضرورية بالمعنى الصارم لتقديم الخدمة التي طلبها المستخدم فعلياً يجب ألا تُضبط قبل موافقة المستخدم. يمكن ضبط الكوكيز الضرورية بالمعنى الصارم — معرفات الجلسة ومحتويات سلة التسوق ورموز الأمان وكوكيز موازنة الحمل — على أساس أن المستخدم طلب الخدمة فعلياً. أما كل شيء آخر — التحليلات والإعلانات والتخصيص واختبار A/B وإعادة تشغيل الجلسة وأي علامة طرف ثالث — فيستلزم موافقة مسبقة.

نقاط التباين بين PDPL الأردني وGDPR عملياً

ثمة ثلاثة فوارق مهمة عند توصيل منصة CMP. أولاً، يشترط PDPL على المتحكمين الذين يعالجون البيانات الشخصية لعدد من أصحاب البيانات يتجاوز الحد الذي يحدده المجلس، أو يعالجون بيانات شخصية حساسة، التسجيل في المجلس والحصول على ترخيص معالجة — ترخيص موثق قابل للتجديد وفق الدورة التي يحددها المجلس وقابل للتقديم عند الطلب. ثانياً، تستلزم قواعد النقل العابر للحدود في PDPL أن يُعين المجلس الولايات القضائية المقصودة؛ وتتطلب عمليات النقل إلى الولايات غير المُعيَّنة إما موافقة صريحة من صاحب البيانات، أو ضمانات تعاقدية معتمدة من المجلس، أو إحدى الاستثناءات التشريعية الضيقة. ثالثاً، يفرض PDPL تعيين مسؤول حماية البيانات إلزامياً للمتحكمين الذين يتجاوزون الحد الذي يحدده المجلس، مع تسمية DPO في ملفات المتحكم لدى المجلس واعتباره نقطة الاتصال لطلبات أصحاب البيانات واستفسارات المجلس.

ما يبدو عليه لافتة الكوكيز المتوافقة بموجب PDPL

تتقاطع المتطلبات التقنية مع ما تنتجه كل منصة CMP حديثة بالفعل، لكن يجب أن تعكس التسميات والتوثيق وسجل الموافقة الخصوصيات الأردنية. يجب أن تقدم لافتة الطبقة الأولى للمستخدم خياراً حقيقياً — قبول أو رفض أو إدارة — حيث يكون خيار الرفض بارزاً على الأقل بقدر خيار القبول. الموافقة المجمعة محظورة، لذا يجب أن تتيح الطبقة الثانية الانضمام لكل فئة على حدة تغطي على أقل تقدير التحليلات والإعلانات وأي معالجة تعتمد على النقل العابر للحدود. يجب أن تكون الفئات مضبوطة افتراضياً على إيقاف؛ ويجب ألا تحمل اللافتة أي علامات إلى أن يقوم المستخدم بتفعيلها بصورة إيجابية.

يجب أن يُحدد الإشعار بالخصوصية الظاهر من اللافتة المتحكمَ ورقم تسجيله في المجلس حيثما انطبق ذلك، وفئات البيانات الشخصية المُجمَّعة، والأساس المشروع لكل غرض معالجة، وفترة الاحتفاظ بالبيانات، وفئات المستلمين بما فيهم أي معالجون فرعيون خارج الأردن، وحقوق صاحب البيانات بموجب القانون، وبيانات اتصال DPO حيث يكون تعيينه إلزامياً، وبيانات اتصال المجلس للشكاوى. الإشعار الذي يستوفي معيار المادة 13 من GDPR يتداخل معه إلى حد كبير لكن يجب إضافة سطر تسجيل المجلس وسطر اتصال DPO صراحةً.

نمط التكامل الذي يجتاز مراجعة المجلس

يتألف النموذج المرجعي للتطبيق من أربعة أجزاء متحركة. الأول هو منصة CMP تدعم الانضمام الاختياري لكل فئة مضبوط افتراضياً على الإيقاف وتعرض خيار المستخدم عبر سلسلة موافقة منظمة يمكن للناشر تخزينها. الثاني هو طبقة تحميل العلامات — مدير علامات من جهة الخادم أو بوابة CMP أصلية — تُطبّق حالة الموافقة بدقة قبل ضبط أي كوكي غير أساسي. الثالث هو سجل موافقة مُخزَّن من جهة الخادم يوثق لكل حدث موافقة خيار المستخدم لكل فئة والطابع الزمني وإصدار اللافتة ومعرف IP مبتور أو مجزأ بحيث يستطيع المتحكم تقديم السجل عند طلب المجلس. الرابع هو مسار سحب الموافقة بسهولة مساوية على الأقل للمنح الأصلي — عادةً رابط دائم لإعادة فتح اللافتة في التذييل.

• علامات التحليلات — Google Analytics 4 وAdobe Analytics وMatomo وAmplitude وMixpanel وPostHog وHeap — يجب أن تُحمَّل فقط بعد منح فئة التحليلات. تدعم كل منصة تهيئة مشروطة بالموافقة تمنع أي كتابة للكوكيز قبل أن تُفتَح البوابة.
• علامات الإعلانات — Google Ads وMeta Pixel وTikTok Pixel وLinkedIn Insight ومزايدو ترويسة الإعلانات المبرمجة — يجب أن تكون مشروطة بالموافقة بالمثل، وحيث ينقل شريك الإعلانات البيانات خارج الأردن إلى ولاية قضائية لم يُعينها المجلس يجب أن يظهر في الإشعار بالخصوصية الولاية المقصودة وأساس النقل.
• أدوات إعادة تشغيل الجلسة وخرائط الحرارة — Hotjar وMicrosoft Clarity وFullStory وContentsquare — يجب أن تقع خلف بوابة منفصلة أكثر صرامة لأن المجلس انسجم مع التوجيهات الدولية التي تُصنّف عرض حقول الإدخال كفئة تستلزم موافقة صريحة ومفصلة.
• إفصاحات النقل العابر للحدود يجب أن تكون محددة لكل ولاية قضائية مستلمة وتستند إلى تحديد المجلس لمدى الملاءمة أو ضمانة معتمدة أو موافقة صريحة من صاحب البيانات كأساس قانوني.

التحقق والتسجيل وموقف التدقيق لعام 2026

يجب أن يجتاز أي نشر أردني قابل للدفاع عنه في 2026 أربع فحوصات تقنية. أولاً، يجب أن تُنتج جلسة متصفح نظيفة مُقدَّمة من عنوان IP أردني صفراً من الكوكيز غير الأساسية قبل التعامل مع اللافتة. ثانياً، يجب أن ينتج مسار رفض الكل الموقفَ ذاته الذي تنتجه جلسة عدم الإجراء — لا علامات تحليلات ولا علامات إعلانات ولا نصوص إعادة تشغيل الجلسة. ثالثاً، يجب أن يُنتج مسار قبول الكل فقط العلامات التي وافق عليها المستخدم، ويجب أن يتضمن سجل الموافقة سجلاً مطابقاً. رابعاً، يجب أن يوقف مسار سحب الموافقة على الفور إطلاق العلامات الإضافية وانتهاء صلاحية الكوكيز المضبوطة خلال الجلسة التي تمت الموافقة عليها وتشغيل أي إشارات حذف أو رفض اشتراك يستلزمها الشركاء المستلمون.

فضلاً عن الفحوصات التقنية، يُعدّ موقف التسجيل والتدقيق ما يجعل النشر قابلاً للدفاع عنه. يجب على المتحكمين الذين يعالجون البيانات الشخصية للمقيمين الأردنيين فوق الحدود التي يحددها المجلس أن يحملوا تسجيل المجلس وترخيص المعالجة ذا الصلة، ويُشكّل سجل التسجيل — إلى جانب سجل الموافقة وإشعار الخصوصية ونتائج تقييم أثر حماية البيانات للمعالجة ذات المخاطر العالية وأوراق تعيين DPO والتصاريح بالنقل العابر للحدود — التوثيق الذي قد يطلبه المجلس خلال مراجعة الامتثال. إن منصة CMP المُهيَّأة بصورة صحيحة مع سجل من جهة الخادم وطبقة تحميل علامات تُطبّق حالة الموافقة وإشعار بالخصوصية يُسمّي كل وجهة نقل عابر للحدود وسطري اتصال DPO والمجلس وأوراق التسجيل المحفوظة — هي ما يحول PDPL الأردني من مجهول تنظيمي إلى جزء قابل للدفاع عنه من موقف الموافقة للناشر في منطقة بلاد الشام.