أصبحت حماية البيانات الشخصية من أبرز القضايا القانونية في العصر الرقمي، إذ تتزايد المخاطر المرتبطة بجمع المعلومات الشخصية ومعالجتها وتخزينها ومشاركتها عبر الإنترنت. ودولة الكويت، شأنها شأن غيرها من الدول، تواجه تحديات متنامية في هذا المجال مع التوسع المتسارع في الخدمات الرقمية والتجارة الإلكترونية.
يستعرض هذا المقال الإطار القانوني الحالي لحماية البيانات الشخصية في الكويت، والحقوق التي يتمتع بها الأفراد، والالتزامات التي تقع على عاتق المؤسسات والشركات، إضافة إلى أفضل الممارسات لضمان الامتثال.
الأساس الدستوري لحماية الخصوصية
يكفل الدستور الكويتي حق الخصوصية بوصفه حقاً أساسياً من حقوق الإنسان. فقد نصّ الدستور على حُرمة المساكن وسرية المراسلات والاتصالات، مما يؤسس لمبدأ عام يحمي الحياة الخاصة للأفراد من أي تدخل غير مشروع. ويُعدّ هذا النص الدستوري الركيزة التي تقوم عليها جميع التشريعات اللاحقة المتعلقة بحماية البيانات والخصوصية.
وقد أكدت المحكمة الدستورية في أكثر من مناسبة على أن حماية الخصوصية تشمل المعلومات الشخصية بمختلف أشكالها، سواء كانت مكتوبة أو إلكترونية، مما يمنح الأفراد حصانة قانونية ضد الاطلاع غير المصرّح به على بياناتهم.
الإطار التشريعي الحالي
لا يوجد حتى الآن في الكويت قانون شامل ومستقل لحماية البيانات الشخصية على غرار اللائحة الأوروبية العامة لحماية البيانات (GDPR). ومع ذلك، توجد عدة تشريعات توفر حماية جزئية للبيانات الشخصية، أبرزها:
- قانون الجزاء الكويتي: يُجرّم الاعتداء على حُرمة الحياة الخاصة، بما في ذلك التنصت وتسجيل المحادثات والتقاط الصور دون إذن.
- قانون مكافحة جرائم تقنية المعلومات رقم 63 لسنة 2015: يُعدّ التشريع الأكثر صلة بحماية البيانات الرقمية، إذ يُجرّم الدخول غير المشروع إلى الأنظمة المعلوماتية، والاستيلاء على البيانات الشخصية، وإفشاء المعلومات السرية المحفوظة إلكترونياً.
- قانون تنظيم الاتصالات وتقنية المعلومات: يفرض على مقدمي خدمات الاتصالات التزامات تتعلق بسرية بيانات المشتركين وعدم الإفصاح عنها إلا في الحالات التي يحددها القانون.
- قانون العمل في القطاع الأهلي رقم 6 لسنة 2010: يتضمن أحكاماً تتعلق بسرية بيانات العمال وحماية ملفاتهم الشخصية لدى صاحب العمل.
حقوق الأفراد في حماية بياناتهم
استناداً إلى التشريعات النافذة والمبادئ الدستورية، يتمتع الأفراد في الكويت بعدد من الحقوق المتعلقة ببياناتهم الشخصية، منها:
- حق الموافقة: لا يجوز جمع البيانات الشخصية أو معالجتها دون موافقة صاحبها، إلا في الحالات التي يحددها القانون صراحة.
- حق المعرفة: يحق للفرد معرفة الجهة التي تحتفظ ببياناته والغرض من جمعها.
- حق السرية: يلتزم كل من يتعامل مع البيانات الشخصية بالحفاظ على سريتها وعدم إفشائها لأطراف غير مخوّلة.
- حق التقاضي: يحق لمن انتُهكت خصوصيته اللجوء إلى القضاء للمطالبة بالتعويض عن الأضرار المادية والمعنوية.
التزامات الشركات وأصحاب العمل
تقع على عاتق الشركات والمؤسسات العاملة في الكويت التزامات جوهرية فيما يتعلق بالبيانات الشخصية، سواء كانت بيانات عملائها أو موظفيها:
- الحصول على الموافقة: يجب الحصول على موافقة صريحة وواضحة قبل جمع أي بيانات شخصية، مع تحديد الغرض من الجمع.
- تأمين البيانات: اتخاذ التدابير التقنية والتنظيمية اللازمة لحماية البيانات من الاختراق أو الفقدان أو التسريب.
- تحديد الغرض: عدم استخدام البيانات في أغراض تتجاوز ما جُمعت من أجله دون الحصول على موافقة جديدة.
- حماية بيانات الموظفين: يلتزم صاحب العمل بحماية البيانات الشخصية لموظفيه، بما في ذلك السجلات الصحية والمالية والمعلومات العائلية، وعدم مشاركتها مع أطراف خارجية إلا بموجب القانون.
- الإخطار بالاختراقات: رغم عدم وجود نص صريح يفرض الإخطار بخروقات البيانات حتى الآن، إلا أن المسؤولية المدنية والجزائية تبقى قائمة عند حدوث تسريب ناتج عن إهمال أو تقصير.
العقوبات المترتبة على انتهاك البيانات الشخصية
يفرض قانون مكافحة جرائم تقنية المعلومات رقم 63 لسنة 2015 عقوبات على من ينتهك خصوصية البيانات الشخصية، تشمل الحبس والغرامة المالية. وتتفاوت العقوبات بحسب طبيعة الفعل وجسامته، فالدخول غير المشروع إلى نظام معلوماتي يختلف في عقوبته عن الاستيلاء على بيانات شخصية أو إفشائها أو استغلالها تجارياً.
إضافة إلى العقوبات الجزائية، يحق للمتضرر المطالبة بتعويض مدني عن جميع الأضرار الناشئة عن انتهاك بياناته الشخصية، وذلك وفقاً للقواعد العامة في المسؤولية المدنية.
مقارنة مع المعايير الدولية — اللائحة الأوروبية (GDPR)
تُعدّ اللائحة الأوروبية العامة لحماية البيانات (GDPR) المعيار الدولي الأبرز في هذا المجال. وبالمقارنة مع الإطار الكويتي الحالي، نلاحظ الفروقات التالية:
- الشمولية: الـ GDPR قانون شامل ومتكامل يغطي جميع جوانب حماية البيانات، بينما الحماية في الكويت موزعة على عدة تشريعات.
- حق النسيان: يكفل الـ GDPR حق الأفراد في طلب حذف بياناتهم، وهو حق لم يُنظّم بعد بنص صريح في القانون الكويتي.
- نقل البيانات عبر الحدود: يضع الـ GDPR شروطاً صارمة لنقل البيانات خارج الاتحاد الأوروبي، في حين لا تتوفر في الكويت قيود تشريعية واضحة بهذا الشأن حتى الآن.
- مسؤول حماية البيانات: يُلزم الـ GDPR بعض الجهات بتعيين مسؤول حماية بيانات (DPO)، وهو مفهوم لم يُعتمد رسمياً في التشريع الكويتي بعد.
مع ذلك، فإن الاتجاه التشريعي في الكويت يسير نحو تعزيز حماية البيانات الشخصية بما يتوافق مع المعايير الدولية، خاصة في ظل رؤية الكويت 2035 (كويت جديدة) التي تركز على التحول الرقمي.
نقل البيانات عبر الحدود
يُثير نقل البيانات الشخصية خارج حدود دولة الكويت تساؤلات قانونية مهمة، لا سيما مع اعتماد كثير من الشركات على خدمات الحوسبة السحابية والخوادم الخارجية. وفي غياب تنظيم تشريعي صريح لهذه المسألة، يُنصح بما يلي:
- التأكد من أن الدولة المستقبلة للبيانات توفر مستوى حماية مناسباً.
- إدراج بنود حماية البيانات في العقود المبرمة مع مقدمي الخدمات في الخارج.
- الحصول على موافقة أصحاب البيانات قبل نقلها خارج الكويت متى كان ذلك ممكناً.
- الاحتفاظ بنسخة من البيانات الحساسة داخل الكويت كإجراء احترازي.
أفضل الممارسات للامتثال
حتى في غياب قانون شامل لحماية البيانات، يُنصح الشركات والمؤسسات في الكويت باتباع الممارسات التالية لتجنب المسؤولية القانونية والاستعداد للتشريعات المتوقعة:
- وضع سياسة خصوصية واضحة ومكتوبة ونشرها على الموقع الإلكتروني.
- تصنيف البيانات المُجمّعة وتحديد مستويات السرية لكل فئة.
- تدريب الموظفين على أفضل ممارسات أمن المعلومات وحماية البيانات.
- إجراء تقييمات دورية لمخاطر أمن المعلومات ومعالجة الثغرات.
- توثيق عمليات جمع البيانات ومعالجتها والاحتفاظ بسجلات واضحة.
- الاستعانة بمستشار قانوني متخصص لمراجعة سياسات الخصوصية والعقود ذات الصلة.
الخاتمة
تمر دولة الكويت بمرحلة تطور تشريعي مهمة في مجال حماية البيانات الشخصية. ورغم أن الإطار القانوني الحالي لا يتضمن قانوناً شاملاً مستقلاً في هذا الشأن، إلا أن التشريعات النافذة توفر درجة معقولة من الحماية، فضلاً عن أن الاتجاه العام يسير نحو تعزيز هذه الحماية بما يتوافق مع المعايير الدولية.
ننصح الشركات والأفراد بالمبادرة إلى تبني أفضل الممارسات في حماية البيانات دون انتظار صدور تشريع شامل، حيث إن المسؤولية القانونية — المدنية والجزائية — قائمة بالفعل بموجب القوانين النافذة.
إذا كانت لديكم استفسارات حول حماية البيانات الشخصية أو كنتم بحاجة إلى مراجعة سياسات الخصوصية في مؤسستكم، فإن فريق يمناك لأعمال المحاماة مستعد لتقديم الاستشارة القانونية المتخصصة لضمان امتثالكم للتشريعات النافذة وحماية مصالحكم.
