المداولة رقم 003/2026 تتضمن رأيا حول مشروع مقرر مشترك يتعلق بترخيص إنشاء وتنظيم وتسيير منصة رقمية تسمى ” منصة الحج” لصالح وزارة الشؤون الاسلامية والتعليم الاصلي

اجتمعت سلطة حماية البيانات ذات الطابع الشخصي تحت رئاسة السيد محمد الأمين ولد سيدي يوم الأربعاء 29 ابريل 2026 بحضور أعضائها التالية أسماؤهم:

النائب فاطمة محمد يرب الجيد، النائب أزعورة شيخا بيديه، خطري ولد اليزيد، محمد ولد بوب، آمدو عمر صال، القاضي يحيى ولد باريك، القاضي محمد عبد الرحمن محمد مفيد ابّو، الأستاذ المحامي محمد المامي ولد مولاي اعل.

وبعد الاطلاع على:

– القانون رقم 2017-020 الصادر بتاريخ 22 يوليو 2017 المتعلق بحماية البيانات ذات الطابع الشخصي؛
– المرسوم رقم 2022-13 الصادر بتاريخ 18 فبراير 2022 المتعلق بتشكيلة وتنظيم وسير عمل سلطة حماية البيانات ذات الطابع الشخصي؛
– النظام الداخلي لسلطة حماية البيانات ذات الطابع الشخصي المعدل (المصادق عليه من طرف الوزير الأول بتاريخ 22 نوفمبر 2023).

                                                                                تصدر الرأي التالي:

توصلت سلطة حماية البيانات ذات الطابع الشخصي بتاريخ 3 فبراير 2026 بمشروع مقرر مشترك يتعلق بإنشاء وتنظيم وتسيير منصة رقمية تسمى ” منصة الحج” لصالح وزارة الشؤون الإسلامية والتعليم الأصلي لتنظيم الإجراءات المتعلقة بالحج، وذلك بإحالة من معالي وزير الشؤون الإسلامية والتعليم الأصلي، لترخيص هذه المنصة بناء على رأي سلطة حماية البيانات.

إنّ الغرض من هذا المقرر المشترك الذي يأتي تطبيقا لمقتضيات المادة 10 من المرسوم رقم 154-2024 الصادر بتاريخ 12 نوفمبر 2024 المحدد لضوابط وتسيير وإجراءات الولوج للبوابة الرقمية للخدمات العمومية (خدماتي) هو إنشاء منصة رقمية تسمى “منصة الحج” والتي تسيرها وزارة الشؤون الاسلامية والتعليم الاصلي لتنظيم إجراءات الحج، ومعالجة البيانات ذات الطابع الشخصي للحجاج.

تذكر سلطة حماية البيانات أنها قد سبق وأجلت هذه المداولة إلى حين إحالة المواصفات الفنية المتعلقة بالمنصة إليها، وأبلغت قرارها لمعالي وزير الشؤون الاسلامية والتعليم الأصلي بتاريخ 30 مارس 2026.

تقتصر الملاحظات والاقتراحات المقدمة من سلطة حماية البيانات على مواد مسودة مشروع المقرر المشترك المتعلقة بحماية البيانات ذات الطابع الشخصي.

حول غاية المعالجة:

إن الغاية من المعالجة هي إنشاء منصة رقمية، تهدف لتنظيم إجراءات الحج، خصوصا:

• التسجيل الالكتروني وفق الشروط المحددة لكل موسم حج؛
• تتبع مراحل معالجة الطلبات والاشعارات المرتبطة بها؛
• تحميل وإيداع الوثائق المطلوبة والتحقق منها؛
• إدارة بيانات المرافقين ورفقاء السفر؛
• الولوج الى المعلومات والخدمات المرتبطة بتنظيم موسم الحج.

تعتبر سلطة حماية البيانات أن الغاية من المعالجة محددة وصريحة ومشروعة، وفقا لأحكام المادة 7 من القانون رقم 2017-020.

حول البيانات المعالجة:

تذكر سلطة حماية البيانات أن البيانات ذات الطابع الشخصي المعالجة، يجب أن تكون دقيقة ومحددة ومحينة، كما يجب اتخاذ كل التدابير الضرورية من أجل محو البيانات غير الدقيقة أو الناقصة، بالنظر إلى الغاية التي يتم من أجلها جمعها ومعالجتها، طبقا للمادة 8 من القانون 2017-020 المتعلق بحماية البيانات ذات الطابع الشخصي.

وعليه، فإن سلطة حماية البيانات، تطلب من وزارة الشؤون الاسلامية والتعليم الاصلي حذف عبارة «وأية معلومات إضافية تقتضيها متطلبات حسن تنظيم موسم الحج” من المادة 4 من المقرر المشترك، وذلك لأنها لا تتماشى مع مبدأ تحديد ودقة البيانات المعالجة.

حول الالتزامات المتعلقة بشروط المعالجة:

تذكر سلطة حماية البيانات أن أية معالجة للبيانات ذات الطابع الشخصي يجب أن تحترم الشروط الواردة في القانون رقم 2017-020 والمتعلقة بالسرية والأمن والحفظ والاستدامة.
وعليه، فإن سلطة حماية البيانات، تطلب من وزارة الشؤون الإسلامية والتعليم الاصلي أن تمتثل منصة الحج للشروط الآنفة الذكر.

حول الأشخاص المستقبلين للبيانات:

تطلب سلطة حماية البيانات من وزارة الشؤون الاسلامية والتعليم الاصلي أن يُحصر الاشخاص المستقبلون للبيانات في مصالح الوزارة المعنية والهيئات الأخرى التي يخولها القانون أو نص تنظيمي الحصول على بيانات هذه المنصة، وخاصة البيانات ذات الطابع الشخصي للحجاج.

حول الربط البيني:

إن سلطة حماية البيانات، تؤكد أنه لا يمكن أن يؤدي الربط البيني لمنصة الحج مع معالجات أخرى إلى تمييز أو مس من الحقوق والحريات والضمانات للأشخاص المعنيين، ويجب أن يمكِّن من بلوغ أهداف قانونية أو نظامية، تمثل مصلحة مشروعة بالنسبة لوزارة الشؤون الاسلامية والتعليم الأصلي.

إن المواد 27 و37 من القانون رقم 2017-020 تنص على أنه لا ينفذ الربط البيني إلا بعد ترخيص سلطة حماية البيانات، سواء كان ذلك من أجل تزويد مستخدمي الإدارة بخدمة أو عدة خدمات عن بعد في إطار الادارة الالكترونية، أو غيرها من المعالجات الأخرى.

تلاحظ سلطة حماية البيانات أن المقرر المشترك، ينص في المادة 5 على الربط البيني مع وكالة سجل السكان والخزينة العامة “وغيرها من الانظمة المرجعية الوطنية” دون تحديد دقيق، لذلك تطلب سلطة حماية البيانات من وزارة الشؤون الاسلامية والتعليم الاصلي أن يتم حصر الربط البيني لمنصة الحج على:

 السجل الوطني للسكان، من أجل تحديد هويه الاشخاص المعنيين، وصلاحية وثائقهم المؤمنة؛
 الخزينة العامة من أجل الدفع.

حول نقل البيانات إلى الخارج:

تذكر سلطة حماية البيانات أنها المختصة حصريا في تحديد شروط وقواعد الإجراءات المتعلقة بنقل البيانات ذات الطابع الشخصي إلى الخارج، وترخصها عند الاقتضاء، حسب الشروط المنصوص عليها في القانون 2017-020 المتعلق بحماية البيانات.

تطلب سلطة حماية البيانات من وزارة الشؤون الاسلامية والتعليم الأصلي أن يتم نقل البيانات ذات الطابع الشخصي للحجاج طبقا للإجراءات المحددة في مداولتها المعدلة رقم 004-2025 التي تحدد شروط وقواعد إجراءات تحويل البيانات ذات الطابع الشخصي إلى الخارج (المنشورة على موقع سلطة حماية البيانات www.apd.mr).

حول المعالج الوسيط:

إنّ سلطة حماية البيانات تعتبر استضافة بيانات منصة الحج أو حفظها خارج مصالح وزارة الشؤون الاسلامية والتعليم الأصلي لدى مقدم الخدمات السحابية scaleway في باريس (فرنسا)، استعانة بوسيط معالج لحساب هذه الوزارة (مسؤول المعالجة) و هو ما يلزمها بالامتثال لمقتضيات القانون 2017-020 حيث نص في المادة 11 على أن أية معالجة للبيانات ذات الطابع الشخصي، يقام بها لحساب مسؤول المعالجة، يجب أن يحكمها عقد قانوني مكتوب، يربط المعالج الوسيط بمسؤول المعالجة، وينص بشكل خاص على أن المعالج الوسيط، يتصرف فقط بتعليمات من مسؤول المعالجة، وأن الالتزامات الواردة في قانون حماية البيانات ذات الطابع الشخصي مطبقة كذلك على هذا الأخير، كما أنه في إطار الوساطة بالنسبة للأنشطة المرتبطة بمعالجة البيانات، فإن كل شخص يشارك في تنفيذ المهمة يخضع لواجب السرية.

تطلب سلطة حماية البيانات من وزارة الشؤون الاسلامية والتعليم الاصلي الالتزام بمقتضيات المادة 11 من القانون 2017-020 المتعلقة بالاستعانة بالوسيط المعالج، حيث يجب أن يربطها عقد قانوني مكتوب مع مقدمي الخدمات السحابية، والخدمات الأخرى المتعلقة بمعالجات منصة الحج. كما تطلب السلطة الالتزام بمقتضيات مداولتها رقم 005/2025 المعدلة، المتعلقة بالشروط الدنيا الواجبة عند الاستعانة بالخدمات السحابية (Cloud) في الخارج.
تُصدر سلطة حماية البيانات رأيا إيجابيا شريطة أن يراعي المقرر المشترك المتعلق بمنصة الحج الملاحظات والاقتراحات الواردة أعلاه.

حرر في نواكشوط بتاريخ 92 أبريل 2026

الرئيس

محمد الأمين ولد سيدي