التعامل مع البيانات البيومترية بموجب قوانين حماية البيانات الأفريقية

تُعامل نيجيريا وكينيا وجنوب أفريقيا البيانات البيومترية كفئة خاصة تتطلب أساسًا قانونيًا يتجاوز الأساس القانوني العادي. ينص قانون حماية البيانات في نيجيريا على أن صور الوجه تُصنف ضمن البيانات البيومترية، ولا يسمح بمعالجة البيانات الحساسة إلا لأسباب محددة. أما كينيا، فتُصنف البيانات البيومترية ضمن البيانات الحساسة، وتُعامل معالجتها، بموجب اللوائح، على أنها عالية المخاطر. POPIA يبدأ الأمر بحظر معالجة المعلومات البيومترية ثم يحدد متى يُسمح بذلك.

لإجراء فحص الهوية الشخصية والتحقق من الحيوية، يجب تحديد ثلاثة أمور قبل الإطلاق: الأساس القانوني الذي تستند إليه في كل دولة، وتقييم الأثر الموثق، وتصميم لا يجمع ويحتفظ ببيانات بيومترية أكثر مما يتطلبه الفحص. تختلف المتطلبات باختلاف الاختصاص القضائي وتتغير بمرور الوقت، وهذه المقالة معلومات عامة وليست استشارة قانونية. استشر مختصًا بشأن وضعك القانوني.

هل صورة السيلفي للتحقق من الهوية هي بيانات بيومترية؟

من المرجح جداً أن يتم ذلك بمجرد معالجة البيانات لتحديد هوية شخص ما، على الرغم من اختلاف الصياغة باختلاف البلد.

يُعدّ قانون نيجيريا القانون الوحيد من بين القوانين الثلاثة الذي يُشير صراحةً إلى صور الوجه. أما قوائم كينيا وجنوب أفريقيا فهي أمثلة وليست قوائم مُغلقة، وتشير لوائح حماية البيانات (العامة) الكينية لعام 2021 (يفتح في علامة تبويب جديدة) إلى "التكنولوجيا البيومترية، بما في ذلك التعرف على الصوت أو الوجه" (المادة 6(1)(هـ)). يبقى تحديد ما إذا كان نموذج الوجه أو نتيجة المطابقة يُعتبر بيانات بيومترية في كل دولة مسألةً تستدعي استشارة محاميك؛ ويفترض البرنامج الحذر أنه كذلك.

ما الذي تحتاجه نيجيريا؟

ينص قانون حماية البيانات النيجيري لعام 2023 (يفتح في علامة تبويب جديدة) على أنه لا يجوز للمتحكم معالجة البيانات الشخصية الحساسة إلا إذا انطبق أحد الأسباب الواردة في المادة 30(1). وتشمل هذه الأسباب الموافقة "للغرض أو الأغراض المحددة التي ستتم المعالجة من أجلها"، والمعالجة الضرورية لدعوى قانونية، والمعالجة الضرورية "لأسباب تتعلق بالمصلحة العامة الجوهرية، استنادًا إلى قانون" مع وجود ضمانات مناسبة. ولا تتضمن المادة 30(1) أي أساس "التزام قانوني" عام من النوع الذي تفترضه العديد من الفرق، لذا يتطلب اختيار الأساس عناية فائقة.

يشترط البند 28 إجراء تقييم لأثر خصوصية البيانات ( DPIA ) قبل المعالجة التي "من المحتمل أن تؤدي إلى مخاطر عالية". يمنح القسم 37 الأفراد الحق في عدم الخضوع لقرارات تستند فقط إلى معالجة آلية ذات آثار قانونية أو آثار مماثلة ذات أهمية، مع مراعاة الاستثناءات، ويشترط وجود ضمانات تشمل الحق في التدخل البشري والطعن في القرار.

التوجيه العام لتطبيق وتنفيذ (يفتح في علامة تبويب جديدة) لجنة حماية البيانات النيجيرية (GAID صدرت اللائحة (2025) في 20 مارس 2025، ودخلت حيز التنفيذ في 19 سبتمبر 2025، وفقًا (يفتح في علامة تبويب جديدة)للتقرير السنوي (يفتح في علامة تبويب جديدة) للمفوضية لعام 2025. هناك بندان مهمان هنا:

• تنص المادة 18 (1) (ب) على أن الموافقة مطلوبة "لمعالجة البيانات الشخصية الحساسة".

• تنص المادة 28(3) على DPIA إلزامي، ويجب تقديمه إلى المفوضية، في الظروف المدرجة، بما في ذلك "عندما يتعلق الأمر ببيانات حساسة أو شخصية للغاية" و"الخدمات المالية التي تتضمن معالجة البيانات الشخصية من خلال الأجهزة الرقمية".

من المرجح أن تلبي شركة التكنولوجيا المالية التي تُجري عمليات التحقق من الصور الشخصية في نيجيريا كلا هذين الشرطين. DPIA المحفزات.

ما الذي تحتاجه كينيا؟

بموجب قانون حماية البيانات لعام ٢٠١٩ (يفتح في علامة تبويب جديدة) ، لا يجوز معالجة البيانات الشخصية الحساسة إلا عند استيفاء المبادئ الواردة في المادة ٢٥ (المادة ٤٤)، وتحدد المادة ٤٥ الأسس المسموح بها. وتشمل هذه الأسس المعالجة اللازمة لدعوى قانونية، والمعالجة اللازمة "لغرض تنفيذ التزامات وممارسة حقوق محددة للمتحكم بالبيانات أو لصاحب البيانات". وخلافًا لنيجيريا وجنوب إفريقيا، لا تُدرج المادة ٤٥ الموافقة كأساس لمعالجة البيانات الحساسة، لذا يتطلب التحقق من صور السيلفي في كينيا عناية خاصة. وتشترط المادة ٣١ إجراء تقييم لأثر حماية البيانات قبل أي معالجة يُحتمل أن تُؤدي إلى مخاطر عالية، بينما تُقيد المادة ٣٥ القرارات التي تستند فقط إلى المعالجة الآلية.

تزيل اللوائح العامة لعام 2021 أي شك بشأن DPIA : تنص اللائحة 49 (1) (ج) على إدراج "معالجة البيانات البيومترية أو الجينية" ضمن العمليات التي تعتبر عالية الخطورة بالنسبة للقسم 31.

ما الذي تحتاجه جنوب أفريقيا؟

POPIA (يفتح في علامة تبويب جديدة)تنص المادة 26 على أنه لا يجوز للجهة المسؤولة معالجة المعلومات البيومترية، مع مراعاة أحكام المادة 27. وتلغي المادة 27(1) هذا الحظر في حالات محددة، بما في ذلك المعالجة بموافقة صاحب البيانات، والمعالجة "الضرورية لإثبات حق أو التزام قانوني أو ممارسته أو الدفاع عنه". وتضيف المادة 33(1) ترخيصًا للجهة المسؤولة "التي حصلت على تلك المعلومات وفقًا للقانون".

هناك بندان إضافيان يؤثران على برامج التحقق:

• يشترط القسم 57 (1) (د) الحصول على ترخيص مسبق من هيئة تنظيم المعلومات قبل نقل المعلومات الشخصية الخاصة إلى طرف ثالث في دولة أجنبية لا توفر مستوى كافياً من الحماية.

• يقيد القسم 71 القرارات ذات الآثار القانونية أو الجوهرية التي تستند فقط إلى المعالجة الآلية، مع استثناءات مرتبطة بالعقود أو القانون.

ما الذي ينبغي أن يفعله برنامج التحقق؟

يتشابه العمل العملي في البلدان الثلاثة.

1. اختر وسجل أساسًا قانونيًا لكل دولة. يتم إدراج الموافقة في نيجيريا (حيث GAID تنص المادة 18(1)(ب) أيضاً على ذلك بالنسبة للبيانات الحساسة، وكذلك في جنوب أفريقيا. أما في كينيا، فلا تُحدد المادة 45 شرط الموافقة، لذا حدد الأساس القانوني الذي تستند إليه في المادة 45. واكتب سبب انطباق كل أساس.

2. اجعل الموافقة والإشعارات محددة. اذكر أنه سيتم استخدام صورة شخصية وفيديو قصير للتحقق من تطابق هوية الشخص مع هويته ووجوده، ومن يقوم بمعالجتها، ومدة الاحتفاظ بها.

3. أكمل DPIA قبل الإطلاق ، وتقديمه في نيجيريا حيث GAID تنص المادة 28 على ذلك.

4. اجمع فقط ما يلزم لإجراء الفحص. حدد بشكل منفصل ما إذا كنت بحاجة إلى إعادة التحقق المستمر من الوجه والتحقق من الوجه المكرر، وقم بتغطية كل منهما في إشعاراتك و DPIA .

5. حدد فترات الاحتفاظ بصور السيلفي ومقاطع الفيديو الحية وأي بيانات وجه مخزنة، واحذفها وفقًا للجدول الزمني المحدد.

6. يجب إبقاء شخص على اطلاع بالقرارات السلبية، حتى يتمكن العملاء من الاعتراض على فشل مطابقة الوجه.

7. قم بتحديد مواقع عمليات النقل عبر الحدود ، بما في ذلك المكان الذي يقوم فيه مزود التحقق الخاص بك بمعالجة البيانات.

أين Toden يناسب

تقوم عملية التحقق من الهوية بجمع صورة شخصية (سيلفي) مع إظهار حيوية المستخدم، وتسجيل فيديو قصير للتحقق من حيوية المستخدم لمراجعته على الخادم ( SDK (الوثائق (يفتح في علامة تبويب جديدة) ). تتطلب إعادة المصادقة البيومترية للمستخدمين العائدين التسجيل. يقارن البحث عن إعادة استخدام الوجه صور السيلفي الجديدة فقط مع عملاء مؤسستك الموثقين، وليس مع عملاء مؤسسات أخرى، والقاعدة التي ترسل التطابقات للمراجعة هي قاعدة تقوم بتفعيلها في سير العمل. تتيح لك سير العمل تحديد نص الموافقة وإرسال النتائج السلبية للمراجعة البشرية. تم وصف نهجنا في مجال الأمن ومعالجة البيانات في صفحة الأمان الخاصة بك. DPIA ينبغي أن يغطي هذا القسم كيفية استخدامك لهذه الميزات ومكان معالجة البيانات.

قائمة التحقق

• تم تسجيل الأساس القانوني للمعالجة البيومترية في نيجيريا وكينيا وجنوب إفريقيا.

• تتضمن شاشة الموافقة أسماءً مثل صورة السيلفي والفيديو والغرض وفترة الاحتفاظ.

• DPIA تم الانتهاء من ذلك، وتم تقديمه إلى NDPC عند الاقتضاء.

• جدول الاحتفاظ والحذف المحدد لكل قطعة أثرية بيومترية.

• تتوفر مراجعة بشرية للمباريات الفاشلة أو المتنازع عليها.

• تم رسم خرائط عمليات النقل عبر الحدود، مع POPIA تم تقييم القسم 57.