الخلاصة القانونية
مسؤولية شركة السمسرة عن حماية بيانات العميل تبدأ من التزام الشركة بالمحافظة على سرية بيانات عملائها ومعاملاتهم، وعدم إفشاء المعلومات عنهم خارج الحدود المقررة قانونًا. كما تلزم المادة 230 من اللائحة التنفيذية لقانون سوق رأس المال الشركة باتخاذ الإجراءات التي تكفل محافظة المديرين والعاملين لديها على سرية هذه البيانات والمعلومات.
لكن وقوع تسريب أو اختراق لا يعني تلقائيًا ثبوت مسؤولية شركة السمسرة. بل يجب تحديد نوع البيانات المتأثرة، ومصدر الوصول إليها، والجهة أو النظام الذي وقعت لديه المشكلة، وما إذا كان هناك إخلال بالتزام قانوني أو تنظيمي ينطبق على الواقعة.
لذلك يجب التمييز بين تسريب بيانات العميل، واختراق حساب التداول، واستخدام أحد العاملين للمعلومات، والخلل الذي قد يحدث في منصة أو نظام إلكتروني؛ لأن كل واقعة تحتاج إلى فحصها وفق طبيعتها والأدلة المتاحة بشأنها.
هل شركة السمسرة ملزمة بالحفاظ على سرية بيانات العميل؟
نعم. تضع اللائحة التنفيذية لقانون سوق رأس المال التزامًا مباشرًا على شركة السمسرة بالمحافظة على سرية بيانات عملائها ومعاملاتهم.
ويمثل قانون سوق المال في مصر ولائحته التنفيذية الإطار الأساسي الذي يجب الرجوع إليه عند بحث هذا الالتزام.
ولا تقتصر المسألة على منع إفشاء اسم العميل أو رقم هاتفه. فشركة السمسرة تتعامل، خلال علاقتها بالعميل، مع بيانات ومعلومات مرتبطة بملفه ومعاملاته ومراسلاته وحسابه.
هل تمر بموقف قانوني مشابه؟
كل حالة لها تفاصيلها، والاستشارة القانونية الصحيحة قد تحمي حقوقك.
وعند ظهور مشكلة تتعلق بالبيانات، يجب البدء بسؤالين واضحين:
- ما البيانات أو المعلومات التي تأثرت؟
- ماذا حدث لهذه البيانات بالفعل؟
بعد تحديد ذلك، يمكن معرفة القواعد القانونية والتنظيمية التي تنطبق على الواقعة. 
ماذا تقول المادة 230 عن سرية بيانات عملاء شركات السمسرة؟
تقرر المادة 230 من اللائحة التنفيذية لقانون سوق رأس المال التزام الشركة بالمحافظة على السرية التامة لبيانات العملاء.
ولا يجوز للشركة إفشاء معلومات عن العميل أو معاملاته إلى الغير دون موافقته الكتابية المسبقة، وفي حدود هذه الموافقة.
لكن هذا الأصل ليس حظرًا مطلقًا على كل إفصاح؛ إذ يستثني النص المعلومات المحددة التي يلزم تقديمها إلى البورصة أو الجهات الرقابية أو القضائية وفقًا لما تفرضه القوانين.
كما تلزم المادة الشركة باتخاذ الإجراءات التي تكفل محافظة المديرين والعاملين لديها على سرية البيانات والمعلومات.
وتحظر كذلك استخدام هذه المعلومات لتحقيق كسب خاص للشركة أو لأي من عملائها الآخرين دون الموافقة الكتابية المسبقة لصاحب البيانات.
ويمكن الرجوع عند الحاجة إلى اللائحة التنفيذية المحدثة لقانون سوق رأس المال على موقع الهيئة العامة للرقابة المالية لمراجعة النص التنظيمي الساري.
خلاصة المادة 230
الأصل هو المحافظة على سرية بيانات العميل ومعاملاته، وعدم الإفصاح عنها للغير دون الموافقة المطلوبة، مع بقاء الاستثناءات الخاصة بالمعلومات التي يتعين تقديمها للجهات المختصة وفقًا للقانون.
ما البيانات الموجودة في ملف عميل شركة السمسرة؟
تتضمن اللائحة التنفيذية تنظيمًا لملف العميل والمستندات والمعلومات المرتبطة به.
وقد يشمل الملف، بحسب طبيعة التعامل:
- بيانات التعريف.
- بيانات التواصل.
- المستندات التعاقدية.
- المراسلات.
- المعلومات المتعلقة بمعاملات العميل.
- البيانات أو السجلات المتصلة باستخدام النظام الإلكتروني، متى كانت الواقعة مرتبطة بها.
ولهذا فإن القول بوجود «تسريب بيانات» لا يكفي وحده لتحديد طبيعة المشكلة.
فقد تتعلق الواقعة ببيانات تعريفية، أو معلومات عن التداول، أو مراسلات، أو بيانات مرتبطة باستخدام نظام إلكتروني.
ويختلف التقييم بحسب نوع البيانات، وكيف وصلت إلى الغير، والغرض الذي استخدمت من أجله، والطرف الذي كان يتعامل معها وقت حدوث الواقعة.
هل يجوز لشركة السمسرة الإفصاح عن بيانات العميل؟
الأصل هو عدم إفشاء معلومات العميل أو معاملاته إلى الغير دون موافقته الكتابية المسبقة وفي حدود هذه الموافقة.
لكن المادة 230 تستثني المعلومات التي يلزم تقديمها إلى البورصة أو الجهات الرقابية أو القضائية وفقًا للقانون.
لذلك لا يكفي أن يكتشف العميل أن معلوماته وصلت إلى جهة أخرى ليستنتج تلقائيًا أن الشركة خالفت واجب السرية.
بل يجب تحديد:
- من حصل على المعلومات؟
- ما نوع البيانات التي تم تقديمها؟
- لماذا تم تقديمها؟
- هل توجد موافقة من العميل؟
- هل يوجد التزام قانوني يبرر الإفصاح؟
هل تقديم البيانات إلى جهة رقابية يعد تسريبًا؟
ليس بمجرده.
فإذا كان القانون يلزم الشركة بتقديم معلومات محددة إلى جهة رقابية أو قضائية، فلا يعامل هذا الإفصاح بالطريقة نفسها التي يعامل بها كشف المعلومات للغير دون سند.
ما علاقة قانون حماية البيانات الشخصية بشركات السمسرة؟
إلى جانب القواعد الخاصة بسوق رأس المال، يوجد قانون حماية البيانات الشخصية رقم 151 لسنة 2020، ولائحته التنفيذية الصادرة بقرار رقم 816 لسنة 2025.
ويتعلق القانون بالبيانات الشخصية للأشخاص الطبيعيين التي تتم معالجتها إلكترونيًا، في حدود نطاق تطبيقه والاستثناءات المقررة فيه.
وتظهر أهميته عندما تتعلق الواقعة بمعالجة بيانات العميل أو خرقها أو الوصول إليها بصورة غير مشروعة.
لكن لا يصح افتراض أن شركة السمسرة تحمل الصفة القانونية نفسها في كل عملية معالجة للبيانات.
بل يجب تحديد:
- الدور الفعلي للشركة.
- نوع البيانات محل التعامل.
- طريقة معالجتها.
- طبيعة الواقعة التي حدثت.
كما يجب مراعاة أن قانون الإصدار منح المخاطبين بأحكام القانون مدة سنة من تاريخ صدور اللائحة التنفيذية لتوفيق أوضاعهم وفقًا للقانون ولائحته، وهي مهلة يجب أخذها في الاعتبار عند تقييم الوضع القانوني خلال الفترة الانتقالية الحالية.
متى تقوم مسؤولية شركة السمسرة عن حماية بيانات العميل؟
لا يكفي وقوع تسريب أو اختراق للحكم بقيام المسؤولية.
فالواقعة قد تكون مرتبطة بإفشاء معلومات من داخل الشركة، أو استخدام أحد العاملين للبيانات، أو دخول غير مصرح به إلى نظام إلكتروني، أو فقد بيانات الدخول الخاصة بالعميل، أو مشكلة مرتبطة بمنصة أو طرف تقني آخر.
ولهذا يجب أولًا فحص مصدر الواقعة والبيانات التي تأثرت.
| العنصر | ما الذي يجب فحصه؟ |
|---|---|
| البيانات | ما المعلومات التي تعرضت للتسريب أو الاستخدام؟ |
| مكان الواقعة | أين كانت البيانات وقت حدوث المشكلة؟ |
| صلاحية الوصول | من كان يملك حق الاطلاع عليها؟ |
| النظام | هل حدثت المشكلة داخل نظام الشركة أم خارجه؟ |
| العاملون | هل ارتبطت الواقعة بأحد العاملين؟ |
| الطرف الثالث | هل توجد منصة أو جهة تقنية مرتبطة بالمشكلة؟ |
| الأدلة | ما المراسلات والسجلات والمستندات المتاحة؟ |
| الضرر | ما الأثر الذي يدعي العميل أنه نتج عن الواقعة؟ |
ولا ينبغي نسبة المسؤولية المدنية النهائية إلى الشركة أو أحد العاملين أو طرف آخر قبل تحديد الأساس القانوني والوقائع التي تستند إليها المطالبة.
ما الفرق بين تسريب البيانات واختراق حساب التداول؟
قد يجتمع تسريب البيانات واختراق الحساب في واقعة واحدة، لكنهما ليسا الشيء نفسه بالضرورة.
| الحالة | جوهر المشكلة |
|---|---|
| تسريب بيانات العميل | خروج البيانات أو إتاحتها أو استخدامها على نحو يثير مسألة السرية |
| اطلاع غير مصرح به | وصول شخص إلى المعلومات دون الصلاحية المناسبة |
| استخدام موظف للبيانات | طريقة استخدام المعلومات وحدود صلاحية الموظف |
| اختراق نظام تقني | مصدر الدخول والإجراءات التقنية المطبقة |
| فقد بيانات دخول العميل | كيفية حصول الغير على بيانات الدخول |
| عمليات تداول ينكرها العميل | مصدر أمر التداول وكيف ورد إلى شركة السمسرة |
فإذا كان جوهر المشكلة هو ظهور أوامر بيع أو شراء لا يقر العميل بصدورها منه، فهذه مسألة تختلف عن مجرد تسريب البيانات، وتحتاج إلى فحص مصدر أمر التداول وكيفية وروده إلى الشركة.
أما هذا المقال فيركز على سرية البيانات، وطريقة التعامل معها، ومدى إمكان نسبة الإخلال بحمايتها إلى شركة السمسرة.
ماذا لو كان أحد العاملين بشركة السمسرة هو مصدر المشكلة؟
تلزم المادة 230 الشركة باتخاذ الإجراءات التي تكفل محافظة المديرين والعاملين لديها على سرية بيانات العملاء ومعلوماتهم.
لذلك، إذا ظهرت مؤشرات على ارتباط أحد العاملين بالواقعة، فمن المهم تحديد:
- طبيعة عمل الموظف.
- الصلاحيات المتاحة له.
- البيانات التي وصل إليها.
- سبب الوصول إلى البيانات.
- كيفية استخدام المعلومات.
- الإجراءات التي كانت مطبقة داخل الشركة.
لكن ثبوت تصرف صادر من أحد العاملين لا يكفي وحده لتقرير الأساس المدني النهائي لمسؤولية الشركة عن هذا الفعل.
فهذه المسألة تحتاج إلى تحديد الأساس القانوني للمطالبة وظروف الواقعة ومستنداتها.
ماذا لو حدثت المشكلة من خلال منصة تداول رقمية؟
نظم قرار مجلس إدارة الهيئة العامة للرقابة المالية رقم 332 لسنة 2025 الضوابط المنظمة للموافقة لشركات السمسرة في الأوراق المالية على تلقي أوامر عملائها من خلال استخدام المنصات الرقمية.
وقد نُشر القرار في الوقائع المصرية في 3 فبراير 2026، ويعمل به من اليوم التالي للنشر.
وفي نطاق تطبيق القرار، يجب أن تكون الخدمات المقدمة من شركة السمسرة لعملائها عبر المنصة مشفرة تشفيرًا كاملًا من نقطة إدخالها بواسطة العميل حتى وصولها إلى أنظمتها
كما يشترط عدم تمكين غير الأشخاص المصرح لهم من الاطلاع عليها، بما في ذلك مدير المنصة والعاملون بها.
وتظل شركة السمسرة، في نطاق هذا النظام، هي التي تفتح حساب العميل وتنفذ أوامره، ولا يجوز لها تفويض المنصة الرقمية للقيام بأعمالها.
ويتطلب القرار أيضًا توفير مواد تعريفية وتعليمية للعملاء بشأن المخاطر التكنولوجية وكيفية المحافظة على سرية بيانات الدخول ووسائل المصادقة.
وعند بحث مسؤولية شركة السمسرة عن حماية بيانات العميل في واقعة مرتبطة بمنصة رقمية، يجب تحديد مكان حدوث المشكلة والدور الذي كان يؤديه كل طرف، بدل افتراض أن مجرد وجود المنصة ينقل المسؤولية إلى طرف معين.
هل وجود منصة تداول يعفي شركة السمسرة من المسؤولية؟
لا يمكن وضع قاعدة عامة بهذا المعنى.
يجب تحديد طبيعة العلاقة بين الشركة والمنصة، ونطاق القواعد المنطبقة، ومكان حدوث الخلل، والدور الذي قام به كل طرف.
ما علاقة الأمن السيبراني بحماية بيانات عملاء شركات السمسرة؟
تنظم قرارات الهيئة العامة للرقابة المالية جوانب من البنية التكنولوجية وأنظمة المعلومات والأمن السيبراني في الأنشطة المالية غير المصرفية.
ومن بينها القرار رقم 227 لسنة 2025 بشأن التجهيزات والبنية التكنولوجية وتعزيز الأمن السيبراني.
ويجب مراعاة نطاق القرار بدقة؛ فهو يخاطب الشركات والجهات التي تحددها الهيئة والمرخص لها بمزاولة الأنشطة المالية غير المصرفية.
ويتضمن، بالنسبة إلى الجهات المخاطبة به، متطلبات مرتبطة بأمن المعلومات، وحوكمة تكنولوجيا المعلومات، وإدارة المخاطر والأمن السيبراني.
كما يتناول اختبارات الاختراق وتقارير أمن المعلومات وفق الضوابط المقررة فيه، مع مراعاة المهل التي منحها القرار للجهات المخاطبة به لتوفيق أوضاعها بحسب نوع الالتزام.
ولهذا لا يكفي القول إن نظامًا تعرض للاختراق للحكم بوجود مخالفة من شركة السمسرة.
بل يجب أولًا التحقق من خضوع الشركة محل الواقعة لأحكام القرار، ثم تحديد الالتزام الذي يقال إنها أخلت به.
هل يجب إخطار العميل عند حدوث خرق للبيانات؟
تنظم المادة 7 من قانون حماية البيانات الشخصية مسألة الإبلاغ عن خرق أو انتهاك البيانات عند تحقق نطاق تطبيق القانون.
وبحسب المادة 7، يلتزم المتحكم أو المعالج، بحسب الأحوال، بإبلاغ مركز حماية البيانات الشخصية خلال 72 ساعة من علمه بالخرق أو الانتهاك.
أما إذا تعلق الخرق أو الانتهاك باعتبارات حماية الأمن القومي، فيكون الإبلاغ فوريًا.
كما يتضمن النص إخطار الشخص المعني بالبيانات خلال ثلاثة أيام عمل من تاريخ الإبلاغ، وما تم اتخاذه من إجراءات.
ويجب الانتباه إلى أن ميعاد 72 ساعة ليس ميعادًا خاصًا بشركات السمسرة في قانون سوق رأس المال، وإنما هو حكم وارد في قانون حماية البيانات الشخصية، ويرتبط تطبيقه بتوافر نطاق القانون والصفة القانونية للطرف المعني، مع مراعاة الفترة المقررة قانونًا لتوفيق الأوضاع.
كيف توثق واقعة تسريب أو استخدام غير مصرح به للبيانات؟
ابدأ بترتيب الوقائع زمنيًا بدل توجيه اتهام قبل معرفة مصدر المشكلة.
ومن المفيد الاحتفاظ بما يتوافر لديك من:
- عقد التعامل أو فتح الحساب.
- كشوف الحساب.
- المراسلات مع شركة السمسرة.
- رسائل البريد الإلكتروني.
- الرسائل النصية.
- إشعارات الدخول أو تغيير البيانات.
- شروط استخدام المنصة ذات الصلة بالواقعة.
- رد الشركة على الاعتراض.
- تاريخ اكتشاف المشكلة.
- ما يوضح الأثر الذي ترتب عليها.
ما أهمية هذه المستندات؟
| المستند أو الدليل | أهميته |
|---|---|
| المراسلات | توضح توقيت إخطار الشركة وموقف الطرفين |
| إشعارات الدخول | تساعد في تحديد توقيت نشاط الحساب |
| كشف الحساب | يوضح الآثار التي ظهرت على الحساب |
| العقد | يبين طبيعة العلاقة بين العميل والشركة |
| شروط المنصة | تساعد في تحديد الأدوار المعلنة |
| رد الشركة | يوضح تفسير الشركة للواقعة |
وهذه ليست قائمة قانونية موحدة أو مستندات إلزامية لقبول كل شكوى، وإنما عناصر عملية تساعد على تحديد ما حدث.
كما لا يفترض وجود حق مباشر للعميل في الحصول على جميع السجلات الفنية الموجودة لدى الشركة أو مقدم الخدمة دون تحديد السند والإجراء القانوني المناسب.
أين تقدم شكوى ضد شركة السمسرة؟
تتلقى الهيئة العامة للرقابة المالية الشكاوى المتعلقة بالجهات الخاضعة لرقابتها في سوق رأس المال.
كما تتيح تقديم الشكاوى المتعلقة بالشركات العاملة في مجال الأوراق المالية أو أحد العاملين لديها عندما تكون الواقعة داخلة في نطاق اختصاص الهيئة.
ومن الأفضل أن تتضمن الشكوى وصفًا واضحًا لما حدث، وتاريخ الواقعة أو اكتشافها، والمستندات والمراسلات المتاحة.
ولا يصح اعتبار الاعتراض السابق على شركة السمسرة شرطًا قانونيًا عامًا لقبول شكوى الهيئة ما لم يوجد نص خاص يقرر ذلك.
ويمكن مراجعة بوابة شكاوى المتعاملين بالهيئة العامة للرقابة المالية لمعرفة القناة الرسمية المتاحة لتقديم الشكوى.
هل يترتب التعويض تلقائيًا على تسريب بيانات العميل؟
لا.
ثبوت واقعة تتعلق بسرية البيانات أو وجود مخالفة تنظيمية لا يعني وحده استحقاق تعويض محدد.
وعند بحث المطالبة بالتعويض، يجب تحديد:
- الأساس القانوني للمطالبة.
- الفعل المنسوب إلى الشركة.
- الضرر الذي يتمسك به العميل.
- مدى ارتباط الضرر بالفعل محل الاعتراض.
ومن ثم، فإن بحث مسؤولية شركة السمسرة عن حماية بيانات العميل لا يعني أن كل حالة تنتهي بتعويض، كما لا يمكن تحديد قيمة تعويض عامة أو ضمان النتيجة قبل مراجعة الوقائع والمستندات.
وإذا ارتبطت الخسارة بتوصية استثمارية أو طرف آخر وليس بتسريب البيانات نفسه، فيجب تحديد مصدر التصرف بدل نسبة الخسارة تلقائيًا إلى شركة السمسرة. ويمكن في هذه الحالة مراجعة مقال التوصيات الوهمية للأسهم في مصر لفهم أهمية تحديد الطرف الذي صدر عنه التصرف محل الاعتراض.
ماذا تفعل عند اكتشاف مشكلة في بيانات حساب التداول؟
عند اكتشاف واقعة محتملة، تعامل معها باعتبارها مسألة تحتاج إلى توثيق قبل أن تكون اتهامًا.
- احتفظ بالرسائل والإشعارات المرتبطة بالمشكلة.
- وثق تاريخ ووقت اكتشاف الواقعة.
- راجع البيانات والعمليات الظاهرة على الحساب.
- أمّن بيانات الدخول إذا كان هناك خطر قائم على الحساب.
- أخطر شركة السمسرة بالمشكلة، واحتفظ بالمراسلات.
- اطلب ردًا أو تفسيرًا واضحًا للواقعة.
- احتفظ بالعقد وكشوف الحساب والمستندات ذات الصلة.
- حدد الضرر أو الأثر الذي تتمسك بأنه نتج عن المشكلة.
- ميز بين واقعة حماية البيانات وبين اختراق الحساب أو عملية التداول محل الاعتراض.
- حدد الجهة والمسار المناسبين بعد معرفة طبيعة الواقعة.
الأسئلة الشائعة
هل يجوز لموظف شركة السمسرة الاطلاع على بيانات العميل؟
الاطلاع لا يكون مطلقًا لكل موظف، بل يرتبط بحدود وظيفته ومهامه الفعلية. فإذا اطّلع موظف على بيانات لا تدخل ضمن نطاق عمله، فهذا مؤشر يستحق الفحص، لا مجرد سؤال نظري عن الجواز.
ماذا أفعل إذا كنت لا أعرف مصدر تسريب بياناتي؟
ابدأ بتوثيق ما تعرفه دون افتراض مصدر المشكلة. حدد نوع البيانات التي ظهرت لدى الغير، وتوقيت اكتشاف الواقعة، والمراسلات والإشعارات المتاحة، ثم اطلب من الشركة تفسيرًا واضحًا.
هل استخدام كلمة المرور الصحيحة يعني أن الخطأ من العميل؟
لا يمكن تحديد مصدر الواقعة من مجرد استخدام بيانات دخول صحيحة. بل يجب معرفة كيفية الحصول عليها، وأين وقع الاستخدام، وطبيعة النظام الذي تمت من خلاله الواقعة.
هل مشاركة البيانات مع الهيئة العامة للرقابة المالية تخالف واجب السرية؟
لا، طالما كانت المشاركة في حدود ما يفرضه القانون على الشركة تجاه الجهات الرقابية. المخالفة تكون في تجاوز هذا الحد، مثل تقديم بيانات لا يطلبها القانون أو تقديمها لجهة غير مختصة.
هل يمكن أن يكون مصدر المشكلة منصة التداول وليس شركة السمسرة؟
نعم، فالخلل قد ينشأ من جهة تقنية خارج نطاق تحكّم الشركة المباشر. لكن هذا لا يُفترض تلقائيًا، بل يُحسم بمعرفة أين وقع الخلل فعليًا وطبيعة العلاقة التعاقدية بين الطرفين.
هل يمكن المطالبة بالتعويض بمجرد إثبات تسريب البيانات؟
إثبات التسريب وحده خطوة أولى فقط، وليس أساسًا كافيًا للتعويض. فبدون ربط واضح بين الفعل والضرر الفعلي الذي وقع، تبقى المطالبة غير مكتملة الأركان.
الخاتمة
تقوم مسؤولية شركة السمسرة عن حماية بيانات العميل على تحديد الالتزام القانوني والتنظيمي الذي ينطبق على الواقعة، وليس على مجرد حدوث تسريب أو اختراق.
فالأصل هو المحافظة على سرية بيانات العملاء ومعاملاتهم وفق الضوابط المقررة، مع وجود قواعد إضافية قد ترتبط بحماية البيانات الشخصية أو المنصات الرقمية أو الأمن السيبراني بحسب طبيعة الحالة.
ولهذا يبدأ التقييم الصحيح بتحديد البيانات المتأثرة، ومصدر الوصول إليها، والنظام الذي وقعت فيه المشكلة، ودور الشركة أو الموظف أو الطرف التقني، ثم مراجعة المستندات والآثار الناتجة قبل الوصول إلى نتيجة بشأن المسؤولية أو التعويض.
وبهذا يكون تقييم مسؤولية شركة السمسرة عن حماية بيانات العميل قائمًا على الوقائع والمستندات والنصوص المنطبقة، لا على افتراض أن أي اختراق أو خسارة يعني تلقائيًا خطأ شركة السمسرة.
