لائحة حماية البيانات الشخصية الصادرة عن مصرف ليبيا المركزي

الجهة المنظمة

• إدارة البحوث والإحصاء – مصرف ليبيا المركزي.

المتحدث الرسمي

• المستشار ربيع الراقوبي، مستشار في مصرف ليبيا المركزي وأحد أعضاء اللجنة الفنية التي أعدت اللائحة.

المقدمة

عُقدت هذه الورشة بهدف تسليط الضوء على “نظام حماية البيانات واللائحة التنظيمية” التي أصدرها مصرف ليبيا المركزي بموجب المنشور رقم 18 بتاريخ 1 يونيو 2025م.

استهل المستشار ربيع الراقوبي الجلسة بتقديم شكره للجهة المنظمة، موضحًا أن الهدف من اللائحة هو خلق أساس تشريعي وتنظيمي واضح لحماية البيانات داخل القطاع المصرفي والمالي في ليبيا، نظرًا لغياب مرجعية قانونية محددة في هذا الشأن سابقًا.

أشار المستشار إلى أن إعداد اللائحة استغرق قرابة ستة أشهر من العمل المكثف من قبل لجنة متخصصة، واجهت فيها تحديات متعددة لصياغة إطار عمل يناسب واقع القطاع المالي في ليبيا. وأكد أن الجلسة ستكون حوارية وتفاعلية للإجابة عن استفسارات الحضور وتوضيح أي غموض حول بنود اللائحة.

محاور الورشة

المحور الأول: الإطار العام للائحة وأهدافها

أوضح المستشار ربيع الروبي أن النظام يهدف إلى تنظيم عملية التعامل مع البيانات بجميع أنواعها داخل المؤسسات المالية، ويشمل ذلك:

• البيانات الشخصية: معلومات تعريفية خاصة بالأفراد.
• البيانات المالية والائتمانية: تفاصيل الحسابات والمعاملات والتاريخ الائتماني.
• البيانات الحساسة: أي معلومات أخرى تتطلب درجة عالية من السرية.

تُغطي اللائحة دورة حياة البيانات برمتها، بدءًا من أحقية الجمع، مرورًا بـالمعالجة، والتخزين، ومدة الاحتفاظ، وإجراءات الحماية، وانتهاءً بـآلية الإزالة الآمنة للبيانات.

المحور الثاني: نطاق التطبيق والجدول الزمني الإلزامي

جرى التأكيد على أن اللائحة ستكون نافذة وملزمة لجميع المؤسسات الخاضعة لرقابة مصرف ليبيا المركزي، اعتبارًا من تاريخ 1 يوليو 2026م، وتشكل هذه المؤسسات:

• مصرف ليبيا المركزي والمصارف التجارية.
• فروع المصارف الأجنبية العاملة في ليبيا.
• شركات التكنولوجيا المالية (FinTech).
• شركات خدمات الدفع الإلكتروني.
• شركات الصرافة.
• المؤسسات والشركات التي تقدم خدمات ائتمانية.
• شركات التأجير التمويلي.

المحور الثالث: سيادة البيانات والتخزين داخل ليبيا (النقطة الأكثر جدلًا)

كان هذا المحور نقطة النقاش الأبرز في الورشة، فقد نصت اللائحة بصورة قاطعة على “عدم جواز تخزين البيانات الشخصية، أو المالية، أو الائتمانية، أو الحساسة خارج حدود الدولة الليبية”.

أثار الحضور تساؤلات حول إمكانية استخدام خدمات الحوسبة السحابية (Cloud) العالمية أو تخزين نسخ احتياطية مشفرة في الخارج.

• الرد: كان رد المستشار حاسمًا بأن التخزين يجب أن يكون داخل ليبيا بنسبة 100%. وأوضح أن المصرف المركزي أجرى مسحًا للسوق المحلي، وتأكد من وجود سعة كافية لدى مزودي الخدمات المحليين (مراكز البيانات) لتغطية احتياجات القطاع المالي كله، مع وجود قابلية للتوسع مستقبلًا. يمكن للمؤسسات بناء مراكز بيانات خاصة بها أو الاستعانة بخدمات الاستضافة من شركات ليبية متخصصة.

المحور الرابع: العقوبات والمخالفات

أوضح المستشار أن اللائحة تتضمن عقوبات رادعة لضمان الامتثال، وأهمها:

• غرامة مالية قدرها 100,000 دينار ليبي عن كل مخالفة. وجرى التشديد على أن هذه القيمة تُطبق على “كل مخالفة على حدة” وليست غرامة إجمالية، ما يعني أن تكرار المخالفات لعدد كبير من العملاء قد يؤدي إلى غرامات مليونية.
• إمكانية سحب الترخيص لبعض أنواع الشركات (مثل شركات التكنولوجيا المالية) في حال تكرار المخالفات الجسيمة.
• فتح الباب أمام أي عقوبات أخرى يراها مصرف ليبيا المركزي مناسبة.

المحور الخامس: تحديات البنية التحتية والكفاءات المحلية

أعرب بعض الحضور عن قلقهم من ضعف البنية التحتية التقنية في ليبيا وعدم قدرتها على مجاراة المعايير العالمية، إضافة إلى الاعتماد الحالي على شركات أجنبية وخبرات أجنبية.

• الرد: فنّد المستشار فكرة غياب الكفاءات المحلية، مشيرًا إلى وجود شركات ليبية قادرة على تقديم خدمات استضافة ومراكز بيانات بمعايير عالية (وذكر بعضها بالاسم من بين الحضور)، وأكد أن وجود اللائحة سيخلق طلبًا في السوق المحلي، ما سيشجع هذه الشركات على تطوير خدماتها. ثم إنه أشار إلى أن المصرف المركزي بصدد تنظيم قائمة بالشركات التقنية المعتمدة لتقديم الخدمات للقطاع المالي.

المحور السادس: استخدام البيانات والموافقة الصريحة للعميل

نوقش موضوع استخدام بيانات العملاء لأغراض تسويقية. وأكدت اللائحة على ضرورة الحصول على “موافقة صريحة ومسبقة” من العميل قبل استخدام بياناته لأي غرض ثانوي غير الخدمة الأساسية المقدمة له، على أن تكون الموافقة اختيارية وليست شرطًا إلزاميًّا للحصول على الخدمة.

المحور السابع: المسؤولية القانونية وتعيين “مسؤول البيانات”

لتجاوز مشكلة التنسيق البطيء بين الإدارات، نصّت اللائحة على ضرورة تعيين منصب جديد داخل كل مؤسسة مالية وهو (مسؤول البيانات Data Officer).

• مهامه: يكون هذا الشخص (ويُشترط أن يكون ليبي الجنسية) مسؤولًا مباشرًا عن الإشراف على تطبيق اللائحة، والتنسيق بين جميع الإدارات، ويكون حلقة الوصل مع مصرف ليبيا المركزي.
• المساءلة: يتحمل مسؤول البيانات المسؤولية المباشرة في حال وجود تقصير في تطبيق بنود اللائحة.

التوصيات

كانت الورشة منصة مهمة لتوضيح الأبعاد التنظيمية والقانونية للائحة حماية البيانات، التي تمثل نقلة نوعية في تنظيم القطاع المالي في ليبيا. ويمكن تلخيص المخرجات في النقاط التالية:

1. الإلزامية المطلقة: اللائحة ستكون ملزمة إلزامًا كاملًا بحلول 1 يوليو 2026م، ولا مجال للتأجيل.
2. سيادة البيانات: مبدأ تخزين البيانات داخل ليبيا هو حجر الزاوية في اللائحة، وهو غير قابل للتفاوض.
3. المسؤولية المشتركة: تقع المسؤولية على عاتق المؤسسة المالية كلها، مع تحديد مسؤول مباشر متمثل في (مسؤول البيانات).
4. الجانب الرادع: العقوبات المالية مصممة لتكون رادعة وتُحتسب على أساس كل مخالفة، ما يجعل عدم الامتثال خيارًا مكلفًا للغاية.

التوصية الأهم للمؤسسات المالية هي البدء فورًا بوضع خطط عمل واضحة للامتثال للائحة في المهلة الممنوحة، وتقييم بنيتها التحتية الحالية، واستكشاف الشراكات مع مزودي الخدمات المحليين؛ لتلبية متطلبات التخزين والمعالجة داخل ليبيا.