لم تعد البيانات مسألة تقنية تخصّ قسم تقنية المعلومات. فتسريب قاعدة عملاء واحدة قد يعرّض الشركة لمسؤولية مدنية وجزائية وإدارية معًا — إضافة إلى ضرر السمعة الذي لا يُعوَّض بسهولة.
التحوّل الجوهري: البيانات لم تعد أصلًا تملكه الشركة بحرية، بل أمانة تُدار وفق ضوابط ولغرض محدد ولمدة محددة.
فهرس
1) الإطار القانوني
تستند حماية البيانات في الكويت إلى منظومة متعددة المصادر:
- الحماية الدستورية للحياة الخاصة وسرّية المراسلات.
- قانون الجزاء فيما يتعلق بإفشاء الأسرار وانتهاك الخصوصية.
- قانون مكافحة جرائم تقنية المعلومات — راجع الجرائم الإلكترونية.
- لوائح حماية البيانات الصادرة عن الجهة المنظّمة للاتصالات وتقنية المعلومات.
- قواعد قطاعية في المصارف والصحة والتأمين.
ملاحظة للشركات الدولية: التعامل مع بيانات مقيمين في دول ذات تشريعات صارمة قد يُخضع الشركة لالتزامات خارج نطاق القانون الكويتي — وهو اعتبار يُراعى في العقود عابرة الحدود.
2) ما هي البيانات الشخصية؟
بيانات عادية
كل ما يُعرّف بشخص طبيعي أو يجعله قابلًا للتحديد: الاسم، الرقم المدني، الهاتف، البريد، العنوان، بيانات الجهاز.
بيانات حساسة
ما يمسّ الصحة أو المعتقد أو البصمة الحيوية أو السجل الجنائي أو الوضع المالي — وحمايتها أشد.
مفهوم يُغفل كثيرًا: البيانات تبقى شخصية ولو لم تتضمن اسمًا، طالما أمكن الوصول للشخص بربطها ببيانات أخرى.
3) مبادئ المعالجة
- المشروعية والشفافية: أساس قانوني واضح وإخطار صاحب البيانات.
- تحديد الغرض: جمعها لغرض محدد ومعلن، ولا تُستعمل لغيره.
- تقليل البيانات: الاكتفاء بما يلزم للغرض فقط.
- الدقة: تحديثها وتصحيح الخطأ فيها.
- تحديد المدة: عدم الاحتفاظ بها بعد انتفاء الغرض.
- الأمان: حمايتها من الوصول غير المصرّح والتلف.
مبدأ الغرض هو الأهم: جمع البيانات لغرض ثم استعمالها لغرض آخر — كبيع قاعدة العملاء لطرف ثالث — مخالفة جوهرية ولو كان الجمع الأصلي مشروعًا.
4) الرضا وأسس المعالجة
الرضا ليس الأساس الوحيد، لكنه الأشيع. ولصحّته شروط:
- حرّ غير مقترن بإكراه أو بحرمان من خدمة أساسية.
- محدد لكل غرض على حدة لا رضا عام مطلق.
- مستنير بعد إحاطة صاحب البيانات بالغرض والمدة والمستفيدين.
- قابل للسحب بذات سهولة إعطائه.
وإلى جانب الرضا: تنفيذ عقد، أو التزام قانوني، أو حماية مصلحة حيوية.
خطأ شائع في المواقع: صندوق موافقة مُعلَّم مسبقًا أو موافقة واحدة تغطي كل الأغراض. هذا لا يُعدّ رضًا صحيحًا.
5) حقوق صاحب البيانات
- حق العلم بجمع بياناته والغرض منه.
- حق الوصول ونسخة مما يُحتفظ به عنه.
- حق التصحيح للبيانات الخاطئة أو الناقصة.
- حق المحو عند انتفاء الغرض أو سحب الرضا.
- حق الاعتراض على المعالجة لأغراض التسويق.
- حق تقييد المعالجة عند المنازعة في دقتها.
6) التزامات الشركات
تنظيمية
- سياسة خصوصية واضحة ومنشورة.
- سجل لأنشطة المعالجة.
- تحديد مسؤول عن حماية البيانات.
- تدريب العاملين.
تقنية
- تشفير البيانات الحساسة.
- صلاحيات وصول متدرّجة.
- نسخ احتياطي آمن.
- سجلات دخول قابلة للتدقيق.
عقود المعالجين: إذا عهدت لطرف ثالث بمعالجة بيانات عملائك — استضافة أو تسويق أو محاسبة — فالمسؤولية لا تنتقل بالكامل. يجب تنظيمها بعقد يحدد الالتزامات والمسؤولية.
7) تسريب البيانات
عند وقوع الاختراق أو التسريب، الاستجابة تُقاس بالساعات:
- الاحتواء الفوري ووقف مصدر التسريب.
- التوثيق — سجلات النظام ونطاق البيانات المتأثرة.
- الإخطار للجهة المختصة وللمتضررين حيث يلزم.
- التقييم ومعالجة الثغرة ومنع التكرار.
الأخطر من التسريب: إخفاؤه. فالتستر يحوّل المسألة من حادث أمني إلى إخلال متعمّد، ويُفقد الشركة أي دفع بحسن النية.
8) المسؤولية والجزاءات
- مسؤولية مدنية: تعويض المتضرر عن الضرر المادي والأدبي.
- مسؤولية جزائية: في جرائم إفشاء الأسرار والدخول غير المشروع للأنظمة.
- جزاءات إدارية: من الجهات المنظّمة بحسب القطاع.
- مسؤولية تعاقدية: تجاه العملاء والشركاء وفق العقود المبرمة.
ما يخفّف المسؤولية: إثبات أن الشركة اتخذت تدابير معقولة للحماية وأخطرت في وقتها. وهو ما يجعل توثيق السياسات والإجراءات استثمارًا لا عبئًا.
تحتاج مراجعة سياسة الخصوصية أو عقود معالجة البيانات، أو تواجه حادث تسريب؟ تواصل مع المحامي مشاري عبيد العنزي — يُمناك لأعمال المحاماة.
