في ظل التحول الرقمي المتسارع الذي تشهده دولة الكويت، أصبحت حماية البيانات الشخصية من أبرز التحديات القانونية التي تواجه الأفراد والمؤسسات على حد سواء. وبينما لم تصدر الكويت حتى الآن قانوناً شاملاً مستقلاً لحماية البيانات الشخصية على غرار اللائحة الأوروبية العامة لحماية البيانات (GDPR)، إلا أن المنظومة التشريعية الكويتية تتضمن عدداً من القوانين والنصوص التي توفر حماية متعددة الجوانب للخصوصية والبيانات الشخصية. يستعرض هذا المقال الإطار القانوني القائم، والالتزامات المفروضة على الجهات المعالجة للبيانات، وحقوق أصحاب البيانات، والتطورات التشريعية المنتظرة في هذا المجال.
أولاً: الأساس الدستوري لحماية الخصوصية
يكفل الدستور الكويتي الصادر عام 1962 حق الخصوصية باعتباره من الحقوق الأساسية للإنسان. فالمادة 39 من الدستور تنص على أن "حرية المراسلة البريدية والبرقية والهاتفية مصونة، وسريتها مكفولة، فلا يجوز مراقبة الرسائل، أو إفشاء سريتها إلا في الأحوال المبينة في القانون وبالإجراءات المنصوص عليها فيه". كما تكفل المادة 38 حرمة المساكن، وتحظر المادة 30 التعرض للحرية الشخصية.
يُشكّل هذا الأساس الدستوري ركيزة جوهرية يمكن الاستناد إليها في أي طعن أو دعوى تتعلق بانتهاك الخصوصية أو إساءة استخدام البيانات الشخصية، إذ تلتزم جميع التشريعات العادية بعدم مخالفة هذه الضمانات الدستورية.
ثانياً: التشريعات الرئيسية المنظمة لحماية البيانات
تتوزع أحكام حماية البيانات الشخصية في الكويت على عدة تشريعات متخصصة، أبرزها:
1. قانون مكافحة جرائم تقنية المعلومات رقم 63 لسنة 2015
يُعد هذا القانون من أهم التشريعات الكويتية ذات الصلة بحماية البيانات في البيئة الرقمية. وقد تضمن عدة نصوص تُجرّم الاعتداء على الخصوصية الرقمية، منها:
- تجريم الدخول غير المشروع إلى أنظمة المعلومات والحصول على بيانات أو معلومات شخصية دون وجه حق.
- تجريم اعتراض الاتصالات والمراسلات الإلكترونية أو التنصت عليها دون إذن قانوني.
- تجريم التعدي على حرمة الحياة الخاصة عن طريق التقاط صور أو تسجيلات صوتية أو مرئية بدون رضا صاحبها ونشرها عبر الوسائل الإلكترونية.
- تجريم إفشاء البيانات الشخصية المحفوظة في أنظمة المعالجة الآلية للبيانات.
وتتراوح العقوبات المقررة في هذا القانون بين الحبس والغرامات المالية، وتُشدد في حالات معينة كالتعدي على بيانات جهات حكومية أو بيانات ذات طبيعة حساسة.
2. قانون المعاملات الإلكترونية رقم 20 لسنة 2014
ينظم هذا القانون جوانب عديدة من التعاملات الإلكترونية، ويتضمن أحكاماً تتعلق بحماية البيانات المتبادلة إلكترونياً، والتوقيع الإلكتروني، وشروط صحة المعاملات الرقمية. ويُلزم مقدمي خدمات التصديق الإلكتروني بالحفاظ على سرية المعلومات التي يطلعون عليها بحكم عملهم.
3. قانون الاتصالات وتقنية المعلومات رقم 37 لسنة 2014
يُنظم هذا القانون قطاع الاتصالات في الكويت ويتضمن أحكاماً صريحة بشأن حماية سرية الاتصالات وبيانات المشتركين. ويُلزم مشغلي الاتصالات بالحفاظ على سرية بيانات عملائهم وعدم إفشائها إلا في الحالات المنصوص عليها قانوناً، كما ينظم عملية الاحتفاظ بالبيانات ومدتها.
4. قانون تنظيم أعمال التأمين رقم 125 لسنة 2019
يتضمن أحكاماً خاصة بحماية بيانات المؤمن لهم وحظر إفشاء معلوماتهم الشخصية والمالية والصحية إلا بموافقتهم أو بموجب حكم قضائي.
ثالثاً: مبادئ حماية البيانات في الممارسة الكويتية
رغم عدم وجود قانون شامل موحد، يمكن استخلاص مجموعة من المبادئ الأساسية لحماية البيانات من مجمل التشريعات الكويتية النافذة والتوجهات التنظيمية الحديثة:
- مبدأ الموافقة: يستلزم الحصول على موافقة صاحب البيانات قبل جمعها أو معالجتها، وهو مبدأ مستمد من الحماية الدستورية للخصوصية ومن أحكام قانون جرائم تقنية المعلومات.
- مبدأ تحديد الغرض: ينبغي جمع البيانات لغرض محدد ومشروع، وعدم استخدامها في أغراض أخرى غير متوافقة مع الغرض الأصلي.
- مبدأ تقليل البيانات: الاقتصار على جمع البيانات الضرورية للغرض المحدد دون توسع غير مبرر.
- مبدأ الدقة: الالتزام بتحديث البيانات وتصحيحها وضمان دقتها.
- مبدأ تحديد فترة الاحتفاظ: عدم الاحتفاظ بالبيانات لمدة تتجاوز ما هو ضروري لتحقيق الغرض من جمعها، مع مراعاة المتطلبات القانونية للاحتفاظ بالسجلات.
- مبدأ الأمان: اتخاذ التدابير التقنية والتنظيمية اللازمة لحماية البيانات من الوصول غير المصرح به أو التلف أو الفقدان.
رابعاً: التزامات الجهات المعالجة للبيانات
تقع على عاتق الجهات التي تقوم بجمع البيانات الشخصية ومعالجتها في الكويت التزامات قانونية متعددة، أبرزها:
- تطبيق تدابير أمنية كافية لحماية البيانات الشخصية من الاختراق أو التسريب، وفقاً لما تقتضيه طبيعة البيانات ومستوى حساسيتها.
- عدم نقل البيانات الشخصية إلى أطراف ثالثة دون موافقة صاحبها أو دون سند قانوني.
- الالتزام بالسرية المهنية فيما يخص البيانات التي يتم الاطلاع عليها بحكم العمل أو الوظيفة.
- إخطار الجهات المختصة في حالة وقوع اختراق أمني يؤثر على البيانات الشخصية، وذلك وفقاً للتعليمات الصادرة عن الجهات الرقابية المعنية.
- الاحتفاظ بسجلات توثق عمليات المعالجة والأساس القانوني لها.
خامساً: الحماية القطاعية للبيانات
حماية بيانات الموظفين في بيئة العمل
يضع قانون العمل في القطاع الأهلي رقم 6 لسنة 2010 التزامات على أصحاب العمل تتعلق بحماية خصوصية العاملين. ويُحظر على صاحب العمل إفشاء المعلومات الشخصية للعامل التي يطلع عليها بحكم علاقة العمل. كما تستلزم مراقبة الاتصالات الإلكترونية للموظفين وجود سياسة واضحة ومعلنة تُبلغ للعاملين مسبقاً، وأن تكون المراقبة متناسبة مع الهدف المشروع منها.
السرية المصرفية وحماية البيانات المالية
يُوفر قانون بنك الكويت المركزي والمهنة المصرفية رقم 32 لسنة 1968 وتعديلاته حماية قوية للسرية المصرفية. ويحظر هذا القانون على البنوك والمؤسسات المالية إفشاء معلومات العملاء أو حساباتهم أو معاملاتهم المالية لأي جهة كانت، إلا في حالات محددة حصراً كصدور حكم قضائي أو طلب من جهات التحقيق المختصة وفقاً للإجراءات القانونية المقررة. ويُعاقب على مخالفة أحكام السرية المصرفية بعقوبات جزائية رادعة.
كما تصدر تعليمات بنك الكويت المركزي بشكل دوري ضوابط تتعلق بأمن المعلومات وحماية بيانات العملاء في القطاع المصرفي، بما في ذلك اشتراطات الأمن السيبراني وحماية البنية التحتية الرقمية للمؤسسات المالية.
سرية البيانات الطبية
يُلزم قانون مزاولة مهنة الطب ومهنة التمريض والمهن المعاونة لهما الأطباء والعاملين في القطاع الصحي بالحفاظ على سرية المعلومات الطبية للمرضى. ويُعد إفشاء السر الطبي جريمة يعاقب عليها القانون، إلا في الحالات الاستثنائية المنصوص عليها كالإبلاغ عن أمراض معدية أو في حالات الضرورة القصوى.
حماية بيانات الاتصالات
بالإضافة إلى قانون الاتصالات وتقنية المعلومات، تصدر هيئة تنظيم الاتصالات وتقنية المعلومات (CITRA) قرارات وتعليمات تُلزم مشغلي الاتصالات بمعايير محددة لحماية بيانات المشتركين، تشمل تأمين قواعد البيانات، وتقييد الوصول إلى البيانات الشخصية، ومنع استخدام بيانات المشتركين لأغراض تسويقية دون موافقتهم الصريحة.
سادساً: انتهاكات الخصوصية عبر وسائل التواصل الاجتماعي
شهدت الكويت ارتفاعاً ملحوظاً في قضايا انتهاك الخصوصية عبر وسائل التواصل الاجتماعي، وقد تصدى قانون جرائم تقنية المعلومات رقم 63 لسنة 2015 لهذه الظاهرة من خلال تجريم عدة أفعال، منها:
- نشر صور أو مقاطع مرئية خاصة بالأشخاص دون إذنهم عبر الإنترنت أو وسائل التواصل الاجتماعي.
- انتحال هوية الغير على المنصات الرقمية واستخدام بياناتهم الشخصية.
- التشهير ونشر معلومات شخصية بقصد الإضرار بالسمعة.
- الابتزاز الإلكتروني باستخدام بيانات أو صور خاصة.
وتصل العقوبات في بعض هذه الجرائم إلى الحبس لعدة سنوات مع غرامات مالية كبيرة، فضلاً عن حق المتضرر في المطالبة بالتعويض المدني.
سابعاً: نقل البيانات عبر الحدود
لا يتضمن التشريع الكويتي حالياً نظاماً شاملاً ينظم نقل البيانات الشخصية عبر الحدود بشكل مفصل. إلا أن بعض التشريعات القطاعية تتضمن قيوداً على نقل بيانات معينة خارج الكويت، لا سيما في القطاعين المصرفي والمالي، حيث تشترط تعليمات بنك الكويت المركزي ضوابط محددة لتخزين ومعالجة بيانات العملاء.
ومع تزايد اعتماد الشركات الكويتية على الخدمات السحابية والحلول التقنية العابرة للحدود، تبرز أهمية وضع إطار تنظيمي واضح لنقل البيانات الدولي، وهو ما يُتوقع أن يعالجه قانون حماية البيانات الشامل المرتقب.
ثامناً: حقوق أصحاب البيانات
يمكن استخلاص حقوق أصحاب البيانات من مجمل التشريعات الكويتية النافذة والمبادئ القانونية العامة، وتشمل:
- حق الوصول: حق الفرد في الاطلاع على بياناته الشخصية المحفوظة لدى أي جهة، ومعرفة كيفية استخدامها.
- حق التصحيح: حق المطالبة بتعديل أو تصحيح البيانات غير الدقيقة أو غير المكتملة.
- حق الحذف: حق طلب إزالة البيانات الشخصية في حالات معينة، كانتهاء الغرض من جمعها أو سحب الموافقة.
- حق الاعتراض: حق الاعتراض على معالجة البيانات لأغراض تسويقية مباشرة.
- حق التقاضي: حق اللجوء إلى القضاء للمطالبة بالتعويض عن الأضرار الناتجة عن انتهاك الخصوصية أو إساءة استخدام البيانات.
تاسعاً: العقوبات المقررة لانتهاك الخصوصية
تتنوع العقوبات المقررة لانتهاك خصوصية البيانات في القانون الكويتي بين العقوبات الجزائية والمدنية:
العقوبات الجزائية: تشمل الحبس والغرامات المالية، وتتفاوت شدتها وفقاً لطبيعة الجريمة وجسامتها. فجرائم الدخول غير المشروع إلى أنظمة المعلومات والحصول على بيانات شخصية يعاقب عليها قانون جرائم تقنية المعلومات بالحبس والغرامة، بينما تتضمن القوانين القطاعية كقانون السرية المصرفية عقوبات مشددة لمخالفة أحكام السرية.
المسؤولية المدنية: يحق للمتضرر من انتهاك خصوصيته المطالبة بالتعويض المادي والأدبي وفقاً لقواعد المسؤولية المدنية المنصوص عليها في القانون المدني الكويتي، ويُقدر التعويض بحسب جسامة الضرر وظروف كل حالة.
عاشراً: التطورات التشريعية ومشروع قانون حماية البيانات الشامل
تسعى الكويت إلى تطوير منظومتها التشريعية لتواكب التطورات الدولية في مجال حماية البيانات الشخصية. وقد شهدت السنوات الأخيرة نقاشات مستمرة حول إصدار قانون شامل لحماية البيانات الشخصية يتماشى مع المعايير الدولية، متأثراً بالتوجهات التي أرستها اللائحة الأوروبية العامة لحماية البيانات (GDPR).
ومن المتوقع أن يتضمن هذا القانون المرتقب أحكاماً تتعلق بإنشاء هيئة مستقلة لحماية البيانات، وتنظيم عمليات نقل البيانات عبر الحدود بشكل أكثر تفصيلاً، وتعزيز حقوق أصحاب البيانات، وفرض التزامات أكثر وضوحاً على الجهات المعالجة للبيانات فيما يخص الإخطار بالاختراقات الأمنية وتقييم الأثر على الخصوصية.
الحادي عشر: تأثير اللائحة الأوروبية (GDPR) على الشركات الكويتية
رغم أن اللائحة الأوروبية العامة لحماية البيانات هي تشريع أوروبي، إلا أنها تؤثر بشكل مباشر على العديد من الشركات الكويتية، وذلك في الحالات التالية:
- الشركات الكويتية التي تقدم خدمات أو منتجات لمقيمين في الاتحاد الأوروبي.
- الشركات التي تراقب سلوك أفراد موجودين في الاتحاد الأوروبي عبر الإنترنت.
- الشركات التي لها فروع أو شركاء تجاريون في دول الاتحاد الأوروبي وتتبادل معهم بيانات شخصية.
وتُلزم هذه الشركات بالامتثال لمتطلبات اللائحة فيما يخص البيانات الخاضعة لها، مما يستدعي مراجعة سياساتها وإجراءاتها الداخلية المتعلقة بحماية البيانات.
الثاني عشر: إرشادات عملية للامتثال للشركات العاملة في الكويت
ننصح الشركات والمؤسسات العاملة في الكويت باتخاذ الخطوات التالية لضمان امتثالها للمتطلبات القانونية المتعلقة بحماية البيانات:
- إجراء تقييم شامل للبيانات الشخصية التي تجمعها وتعالجها، وتحديد الأساس القانوني لكل عملية معالجة.
- وضع سياسة خصوصية واضحة وشفافة تُبين للمستخدمين والعملاء كيفية جمع بياناتهم واستخدامها وحمايتها.
- تطبيق تدابير أمنية تقنية وتنظيمية مناسبة لحماية البيانات الشخصية من المخاطر السيبرانية.
- تدريب الموظفين على مبادئ حماية البيانات والتزامات السرية المهنية.
- وضع إجراءات واضحة للاستجابة لحوادث اختراق البيانات والإبلاغ عنها.
- مراجعة العقود مع مزودي الخدمات الخارجيين لضمان التزامهم بمعايير حماية البيانات.
- تعيين مسؤول لحماية البيانات في المؤسسات التي تعالج كميات كبيرة من البيانات الشخصية الحساسة.
- متابعة المستجدات التشريعية والتنظيمية بشكل مستمر لضمان الامتثال الدائم.
خاتمة
تُشكّل حماية البيانات الشخصية تحدياً قانونياً وتقنياً متعدد الأبعاد في الكويت، ورغم أن الإطار التشريعي الحالي يوفر مستوى معقولاً من الحماية من خلال تشريعات متفرقة، فإن الحاجة ماسة إلى تشريع شامل ومتكامل يواكب التطورات التكنولوجية المتسارعة ويُعزز ثقة الأفراد في البيئة الرقمية.
إن فهم الالتزامات القانونية المتعلقة بحماية البيانات الشخصية والامتثال لها يُعد ضرورة حتمية لكل مؤسسة تعمل في الكويت، سواء لتجنب المسؤولية القانونية أو لبناء ثقة العملاء والمتعاملين.
إذا كنتم بحاجة إلى استشارة قانونية متخصصة حول حماية البيانات الشخصية، أو ترغبون في مراجعة سياسات الخصوصية الخاصة بمؤسستكم، أو تواجهون أي نزاع يتعلق بانتهاك الخصوصية، فإن فريق يمناك لأعمال المحاماة مستعد لتقديم المشورة القانونية المتخصصة والدعم اللازم لحماية حقوقكم ومصالحكم.
