إصلاح الجهاز المصرفي السوداني: التحول الرقمي وحماية بيانات العملاء.. السؤال الذي لا يجوز تأجيله
إصلاح الجهاز المصرفي السوداني: التحول الرقمي وحماية بيانات العملاء.. السؤال الذي لا يجوز تأجيله
عمر سيد أحمد
أعاد اللقاء الذي جمع عضو مجلس السيادة الفريق إبراهيم جابر بمحافظ بنك السودان المركزي وقيادات القطاع المصرفي، وما تلاه من حديث عن تطوير الخدمات المصرفية والتحول الرقمي وتوسيع أنظمة الدفع الإلكتروني وتعزيز رؤوس أموال المصارف، طرح سؤال جوهري حول مستقبل الجهاز المصرفي السوداني: هل نملك بالفعل الرؤية المؤسسية والتشريعية التي تجعل هذا التحول آمناً ومستداماً، أم أننا نندفع نحو بناء بنية رقمية قبل استكمال الضمانات التي تحمي حقوق المتعاملين معها؟
لا خلاف على أن الجهاز المصرفي السوداني يحتاج إلى تحديث جذري. فالحرب ألحقت به أضراراً جسيمة، وأضعفت قدرته التشغيلية، ووسعت دائرة التعاملات خارج القنوات المصرفية الرسمية، وأعادت قطاعات واسعة من المواطنين إلى التعامل النقدي والاقتصاد غير المنظم. وفي ظل هذا الواقع، يصبح تطوير أنظمة الدفع الإلكتروني، وتوسيع الشمول المالي، وربط المصارف ومؤسسات الدفع، وتحسين الخدمات الرقمية، أموراً ضرورية وليست مجرد خيارات تقنية.
لكن التحول الرقمي المصرفي لا يُقاس بعدد التطبيقات والمحافظ الإلكترونية والشركات المرخصة، ولا بسرعة ربط المؤسسات بعضها ببعض. المعيار الحقيقي هو قدرة الدولة والجهة الرقابية على ضمان سلامة هذه المنظومة، وحماية أموال المتعاملين وبياناتهم، وتحديد المسؤوليات القانونية عند وقوع اختراق أو تسريب أو إساءة استخدام للمعلومات.
وهنا تحديداً تبرز فجوة تشريعية ومؤسسية لا ينبغي تجاوزها أو التعامل معها باعتبارها تفصيلاً مؤجلاً.
بيانات العملاء ليست مجرد معلومات تقنية
تتعامل المصارف اليوم مع واحدة من أكثر مجموعات البيانات حساسية في حياة الأفراد والمؤسسات. فملف العميل المصرفي لا يقتصر على الاسم ورقم الحساب ورقم الهاتف، بل يشمل بيانات الهوية، والعناوين، والأرصدة، والتحويلات، والرواتب، والالتزامات التمويلية، والأنشطة التجارية، وأنماط الإنفاق، والمستفيدين من التحويلات، وسجل التعاملات المالية.
ومع توسع الخدمات الرقمية، لم تعد هذه البيانات محصورة داخل أنظمة المصرف الذي يحتفظ بالحساب. فقد تنتقل، وفق طبيعة الخدمة، بين المصرف ومشغل نظام الدفع وشركة التكنولوجيا المالية ومقدم الخدمات التقنية، وربما أطراف أخرى تتولى الاستضافة أو المعالجة أو الدعم الفني.
وهذا التوسع يخلق شبكة من العلاقات التقنية والتعاقدية التي تتبادل من خلالها البيانات، وقد تتعدد فيها الجهات التي تستطيع الوصول إليها أو تخزينها أو معالجتها. ومن ثم فإن السؤال لا يتعلق فقط بكفاءة النظام أو سرعة تنفيذ المعاملة، وإنما بمن يملك حق الوصول إلى بيانات العميل؟ ولأي غرض؟ وتحت أي ضوابط؟ ومن يتحمل المسؤولية إذا أسيء استخدامها أو تعرضت للاختراق؟
إن بيانات العميل المصرفي ليست مورداً تجارياً متاحاً للشركات لمجرد أنها تقدم خدمة رقمية، وليست ملكاً للمصرف أو شركة التكنولوجيا المالية للتصرف فيها دون ضوابط. إنها معلومات شخصية ومالية ذات طبيعة خاصة، ويجب أن تكون حمايتها حقاً قانونياً واضحاً للعميل، والتزاماً ملزماً على كل جهة تتعامل معها.
11 إدراجاً في سجل شركات التكنولوجيا المالية.. أين الإطار القانوني المتكامل؟
تُظهر القائمة المنشورة على الموقع الرسمي لبنك السودان المركزي وجود 11 إدراجاً لشركات تعمل في مجالات التكنولوجيا المالية، موزعة بين مؤسسات الدفع عبر الهاتف المحمول ومشغلي محولات المعاملات المالية. وهذا يعكس اتساع نطاق الأطراف المشاركة في منظومة المدفوعات الرقمية.
ولا اعتراض على مبدأ تعدد الشركات أو فتح المجال أمام الاستثمار والابتكار والمنافسة في تقديم الخدمات المالية. بل إن تطوير هذه الخدمات يتطلب مشاركة القطاع الخاص والاستفادة من قدراته التقنية والاستثمارية. لكن تعدد الجهات التي تتعامل مع بيانات العملاء يضاعف، في المقابل، مسؤولية البنك المركزي في وضع قواعد دقيقة تحكم معالجتها وتخزينها وتبادلها، وتحدد المسؤولية القانونية لكل طرف.
المشكلة أن التوسع في منح التراخيص وتطوير أنظمة الدفع والربط الإلكتروني لا يصاحبه، بالقدر نفسه من الوضوح، إعلان عن إطار تشريعي شامل لحماية البيانات الشخصية والمالية، يحدد حقوق العملاء والتزامات الجهات التي تتعامل مع معلوماتهم، وآليات الرقابة والمساءلة والتعويض.
وقد يكون لدى البنك المركزي منشورات وتعليمات رقابية تتناول جوانب من هذه المسائل، لكن وجود تعليمات متفرقة لا يعادل وجود قانون شامل لحماية البيانات، ولا يغني عن وجود جهة مستقلة أو آلية مؤسسية واضحة تتولى إنفاذه.
الأمن السيبراني ليس بديلاً عن قانون حماية البيانات
من الضروري التمييز بين مفهومين كثيراً ما يجري الخلط بينهما: الأمن السيبراني وحماية البيانات الشخصية.
الأمن السيبراني يهتم بحماية الأنظمة والشبكات والبنية التحتية الرقمية من الاختراق والهجمات والتعطيل، وبضمان سرية المعلومات وسلامتها واستمرارية الخدمات. أما حماية البيانات الشخصية فتتجاوز ذلك إلى تنظيم الأساس القانوني الذي يسمح بجمع المعلومات واستخدامها ومعالجتها ومشاركتها، وتحديد حقوق صاحب البيانات، والجهات التي يجوز لها الوصول إليها، والمدة التي يجوز الاحتفاظ بالبيانات خلالها، والضوابط التي تحكم نقلها إلى أطراف أخرى أو خارج البلاد.
قد يكون النظام المصرفي محمياً من الاختراقات بدرجة عالية، لكنه يظل بحاجة إلى قواعد قانونية تمنع استخدام بيانات العملاء في أغراض لم يوافقوا عليها، أو الاحتفاظ بها دون مبرر، أو مشاركتها مع أطراف لا تملك حق الوصول إليها.
وقد تكون الشركة ملتزمة بمتطلبات التشفير وإدارة الصلاحيات، لكن ذلك لا يجيب عن سؤال: هل يحق لها أصلاً جمع هذه البيانات؟ وما حدود استخدامها؟ وهل يستطيع العميل معرفة الجهات التي حصلت عليها؟ وهل يملك حق الاعتراض أو طلب التصحيح أو المحو وفق ضوابط القانون؟
لذلك فإن الإشارة إلى الأمن السيبراني أو التشفير أو ضوابط الوصول لا تكفي لإثبات اكتمال منظومة حماية البيانات.
ماذا يقول التشخيص الدولي عن الفجوة السودانية؟
لم تكن هذه الفجوة مجهولة أو طارئة. فقد أشار تقرير البنك الدولي بشأن تشخيص الاقتصاد الرقمي في السودان، الصادر في يونيو 2023 ضمن مبادرة الاقتصاد الرقمي من أجل أفريقيا، إلى أن السودان يفتقر إلى إطار قانوني ومؤسسي متكامل لحماية البيانات.
وأوضح التقرير أن قانون مكافحة جرائم المعلوماتية، رغم ارتباطه بأمن المعلومات والجرائم الإلكترونية، لا يغطي المبادئ الأساسية لقوانين حماية البيانات، مثل تحديد قواعد جمع البيانات واستخدامها، وحقوق أصحاب البيانات، والتزامات الجهات المتحكمة في البيانات والجهات التي تعالجها. كما أشار إلى غياب جهة مستقلة تتولى تنظيم حماية البيانات والخصوصية على المستوى الوطني، ودعا إلى بناء إطار مؤسسي وقانوني متكامل لحماية البيانات الشخصية والخصوصية.
وهذا التشخيص يوضح أن المسألة ليست مجرد حاجة إلى تحديث بعض اللوائح المصرفية، وإنما إلى تأسيس منظومة قانونية تحمي حق المواطن في الخصوصية، وتحدد المسؤوليات والجزاءات، وتوفر آليات تظلم وإنصاف عند وقوع الضرر.
كما أن الضمانات الدستورية المتعلقة بالخصوصية، وما تتضمنه بعض القوانين القطاعية من أحكام متفرقة، لا تعوض غياب قانون شامل يحدد بصورة مباشرة حقوق أصحاب البيانات والتزامات الجهات التي تجمعها وتعالجها وتشاركها.
تطور تشريعي جديد.. لكنه لا ينهي الأسئلة
ومن المهم، في هذا السياق، الإشارة إلى تطور حدث في الأول من نوفمبر 2026؛ إذ أعلنت الحكومة أن مجلس الوزراء أجاز مشروعات قوانين قدمتها وزارة التحول الرقمي والاتصالات، من بينها مشروع قانون تنظيم البيانات والذكاء الاصطناعي لسنة 2026، إلى جانب مشروعي قانون تنظيم الأمن السيبراني وقانون تنظيم التحول الرقمي.
هذه خطوة تستحق المتابعة، وقد تمثل بداية لمعالجة جانب من الفجوة التشريعية التي ظلت قائمة. لكن إجازة مجلس الوزراء مشروع قانون لا تعني بذاتها صدور قانون نافذ، كما أن الإعلان عن المشروع لا يكشف عن تفاصيل أحكامه أو مدى كفايته لحماية البيانات الشخصية والمالية.
فحتى الآن، لا يكفي الإعلان عن مشروع قانون للقول إن حقوق أصحاب البيانات أصبحت محمية بالفعل. المطلوب نشر النصوص، وإتاحة مناقشتها، ومعرفة ما إذا كانت تتضمن تعريفاً واضحاً للبيانات الشخصية والبيانات المالية الحساسة، وضوابط الموافقة على جمعها ومعالجتها، وحقوق الوصول والتصحيح والاعتراض، والتزامات الجهات المتحكمة والمعالجة، وقواعد نقل البيانات عبر الحدود، والإبلاغ عن الاختراقات، والتعويض عن الأضرار.
كما ينبغي أن يتضح ما إذا كان المشروع ينشئ جهة رقابية مستقلة تتمتع بالصلاحيات والموارد اللازمة للتحقيق والمساءلة، أم يكتفي بتوزيع الاختصاصات بين مؤسسات حكومية قائمة.
والأهم من ذلك كله هو بيان العلاقة بين هذه التشريعات الجديدة وبين اللوائح والتعليمات التي يصدرها بنك السودان المركزي، حتى لا تنشأ فجوة بين القواعد العامة لحماية البيانات والقواعد الخاصة بالقطاع المصرفي.
أين بنك السودان من هذه المسؤولية؟
بنك السودان المركزي ليس جهة ترخيص فحسب، بل هو السلطة الرقابية المسؤولة عن سلامة النظام المصرفي ونظم الدفع، وعن ضمان التزام المؤسسات الخاضعة لإشرافه بالمعايير اللازمة لحماية المتعاملين واستقرار القطاع.
وقد أصدر البنك تعليمات تؤكد ضرورة الحصول على موافقته المسبقة قبل الدخول في علاقات تعاقدية أو تشغيلية أو فنية أو تنفيذ عمليات تبادل للبيانات بين المصارف وشركات التكنولوجيا المالية. كما أشار إلى خضوع هذه الجهات لمعايير الحوكمة والملاءة وإدارة المخاطر واستمرارية الأعمال والأمن السيبراني وحماية البيانات.
وهذه خطوة رقابية مهمة، لكنها تفتح باباً لأسئلة أكثر تحديداً: ما المعايير التفصيلية التي يطبقها البنك عند الموافقة على تبادل البيانات؟ وكيف يتحقق من أن الشركة قادرة على حماية المعلومات التي ستصل إليها؟ وهل يخضع مقدمو الخدمات التقنية ومراكز البيانات والمتعهدون من الباطن للمعايير نفسها؟ وما الضوابط التي تحكم تخزين البيانات خارج السودان أو إتاحتها لجهات مرتبطة بمقدم الخدمة؟
ثم ماذا يحدث إذا تعرضت بيانات العملاء للتسريب؟ هل توجد آلية ملزمة لإبلاغ البنك والعملاء المتضررين؟ ومن يتحمل المسؤولية: المصرف أم شركة التكنولوجيا المالية أم مقدم الخدمة التقنية؟ وهل يملك العميل حق الحصول على تعويض واضح إذا ترتب على ذلك ضرر مالي أو شخصي؟
هذه ليست أسئلة نظرية، ولا يجوز ترك الإجابة عنها للعقود الخاصة بين المصارف والشركات، لأن حماية البيانات المصرفية تمس المصلحة العامة والثقة في النظام المالي بأكمله.
الإغفال المتكرر ليس تفصيلاً عابراً
ما يثير القلق ليس فقط غياب قانون شامل لحماية البيانات طوال السنوات الماضية، وإنما استمرار التركيز في الخطاب المصرفي الرسمي على التوسع في التراخيص، وتطوير التطبيقات، وربط الأنظمة، وتعزيز المدفوعات الرقمية، دون وضع حماية البيانات في موقعها الصحيح باعتبارها أحد الأسس التي يجب أن تسبق التوسع أو تسير معه على الأقل.
إن عدم إدراج هذه القضية بوضوح في أجندة الإصلاح المصرفي، وفي النقاشات التي تتناول مستقبل المدفوعات والتحول الرقمي، يثير تساؤلاً جدياً حول ترتيب الأولويات. ويصعب اعتبار الإغفال المتكرر مجرد نقص فني عابر، خاصة أن المخاطر الناتجة عن جمع البيانات وتبادلها أصبحت معروفة، وأن تقرير البنك الدولي سبق أن نبه إلى الفجوة القانونية والمؤسسية.
ولا يعني ذلك أن بنك السودان لا يتخذ أي إجراءات لحماية البيانات؛ فهناك تعليمات رقابية وأطر للأمن السيبراني، كما أن البنك تحدث صراحة عن حماية البيانات ضمن معاييره. لكن القضية التي لم تجد إجابة كافية هي: أين القانون الشامل الذي يمنح هذه الحماية أساسها الملزم، ويحدد حقوق المواطن، ويضع حدوداً واضحة لسلطات الشركات والمصارف والجهات الرقابية؟
إن الحديث عن حماية البيانات دون توضيح هذا الأساس التشريعي يظل حديثاً عن ضوابط فنية وإدارية، لا عن منظومة حقوق ومساءلة مكتملة.
ما الذي ينبغي أن يسبق التوسع في التحول الرقمي؟
إن معالجة هذه الفجوة تتطلب تحركاً متكاملاً بين بنك السودان المركزي ووزارة التحول الرقمي والاتصالات والجهات التشريعية، على أن تكون حماية البيانات جزءاً أصيلاً من مشروع إصلاح الجهاز المصرفي، لا ملحقاً به.
ويبدأ ذلك بنشر مشروع قانون تنظيم البيانات والذكاء الاصطناعي لسنة 2026 وإتاحة النقاش العام حوله، مع التأكد من أنه يتضمن فصلاً واضحاً لحماية البيانات الشخصية والمالية، أو استكماله بقانون مستقل إذا لم يكن نطاقه كافياً.
كما ينبغي إنشاء جهة رقابية مستقلة أو تحديد آلية مؤسسية ذات صلاحيات واضحة لمراقبة الالتزام، والتحقيق في المخالفات، وتلقي شكاوى المواطنين، وفرض الجزاءات المناسبة.
وعلى بنك السودان أن يصدر إطاراً تفصيلياً ملزماً لحماية البيانات المصرفية، يحدد مسؤوليات المصارف وشركات التكنولوجيا المالية ومشغلي نظم الدفع ومقدمي الخدمات التقنية، ويضع قواعد دقيقة لتبادل البيانات وتخزينها ونقلها، ويُلزم بالإبلاغ عن أي اختراق أو تسريب خلال مدد محددة.
كذلك يجب إخضاع الشركات المرخصة ومقدمي الخدمات المرتبطين بها لمراجعات مستقلة ودورية لأنظمة حماية البيانات، وليس الاكتفاء بالفحص عند منح الترخيص. وينبغي أن تتضمن هذه المراجعات اختبار ضوابط الوصول والتشفير، وإدارة البيانات، والاحتفاظ بها، والتخلص الآمن منها، &#x
