تعتمد الشركات والمؤسسات في الكويت على قواعد بيانات العملاء في المبيعات والخدمات والتمويل والرعاية الصحية والتعليم والتطبيقات الرقمية، ولذلك فإن أي تسريب لبيانات العملاء لا يعد مجرد خطأ تقني عابر. إنه واقعة قد ترتب أضرارًا واسعة: إساءة استعمال المعلومات، انكشاف أرقام أو عناوين أو مراسلات أو ملفات مالية، تأثر السمعة التجارية، فقدان الثقة، وربما نشوء مطالبات بالتعويض أو مساءلات جزائية أو تعاقدية بحسب طبيعة الواقعة.

عندما يطرح السؤال: تسريب بيانات العملاء في الكويت، ما المسؤولية وما حدود التعويض؟ فإن الإجابة تبدأ من نقطة أساسية: ليست كل الحالات صورة واحدة. فهناك فرق بين اختراق خارجي لحسابات الشركة، وخطأ من موظف سرّب ملفًا أو أرسله إلى غير مستحق، وضعف تقني أدى إلى انكشاف البيانات، وإساءة استعمال داخلي للأنظمة، وتسريب وقع من جهة متعاقدة مع الشركة. وكل صورة من هذه الصور قد تؤثر في تحديد المسؤولية والجهة المختصة ونوع المطالبات الممكنة. وللجانب الوقائي قبل وقوع الحادث، وسياسات الخصوصية والعقود وضبط الصلاحيات، راجع محامي قضايا حماية البيانات والخصوصية في الكويت.

هذه الملفات تحتاج إلى فصل دقيق بين قواعد حماية الخصوصية التنظيمية وبين المسؤولية المدنية أو التعاقدية أو الجزائية. فإذا كان مقدم الخدمة من الجهات المرخص لها والخاضعة للهيئة العامة للاتصالات وتقنية المعلومات، فإن المرجع التنظيمي الحالي هو لائحة حماية خصوصية البيانات الصادرة بالقرار رقم 26 لسنة 2024، وهي التي ألغت لائحة القرار 42 لسنة 2021 وتعديلاته. أما بقية الشركات والجهات فتُبحث مسؤوليتها بحسب طبيعة نشاطها والعقود والقواعد المدنية والجزائية والتشريعات القطاعية المنطبقة، ولا يصح افتراض أن اللائحة التنظيمية نفسها تسري على كل منشأة بلا تمييز.

ما الذي تفرضه لائحة حماية خصوصية البيانات الحالية؟

تسري اللائحة على مقدمي الخدمة المرخص لهم لدى هيئة الاتصالات ومن يعملون تحت إدارتهم في جمع ومعالجة وتخزين البيانات الشخصية ومحتوى المستخدمين، سواء تمت المعالجة داخل الكويت أو خارجها ضمن نطاق اللائحة. وهي تفرض شروطًا للمشروعية والشفافية، وتلزم باتخاذ تدابير أمنية وتقنية وتنظيمية مناسبة لحماية البيانات من الفقد أو التغيير أو الكشف أو الوصول غير المصرح به.

ومن أهم النقاط العملية أن المادة السادسة توجب على مقدم الخدمة عند حدوث اختراق للبيانات الشخصية، وبعد علمه به، إخطار الهيئة العامة للاتصالات وتقنية المعلومات عبر القنوات الرسمية خلال مدة لا تتجاوز 24 ساعة. ويجب أن يتضمن الإخطار طبيعة الاختراق ومدى تسرب البيانات والفئات المتضررة والنتائج المحتملة والتدابير المتخذة أو المقترحة للمعالجة.

كما تقرر المادة السادسة إخطار صاحب البيانات الشخصية عند حدوث اختراق، مع استثناء الحالة التي يكون فيها مقدم الخدمة قد طبق تدابير حماية فنية وتنظيمية مناسبة تجعل الخطر على حقوق وحريات أصحاب البيانات غير مرجح. لذلك يجب تجنب النصائح القديمة التي تتحدث عن 72 ساعة أو التي تعمم الإخطار على جميع الشركات دون فحص نطاق اللائحة أولًا.

وعندما يكون التسريب ناتجًا عن اختراق أو وصول غير مشروع، فقد تتداخل معه أحكام جرائم تقنية المعلومات في الكويت، كما يجب الرجوع إلى اختراق البريد الإلكتروني للشركة إذا كان البريد هو نقطة الدخول، وإلى الاحتيال البنكي عبر الروابط الوهمية إذا تحول التسريب أو الانتحال إلى استيلاء مالي.

ما المقصود بتسريب بيانات العملاء؟

يقصد به خروج بيانات العميل من نطاق الحفظ أو الاستعمال المشروع إلى جهة غير مخولة، سواء بالاختراق أو الخطأ أو الإهمال أو الفعل العمدي. وقد تكون البيانات بسيطة مثل الاسم ورقم الهاتف، وقد تكون أكثر حساسية مثل أرقام الهوية أو كشوف الطلبات أو العناوين أو بيانات الدفع أو الملفات الطبية أو العقود أو المراسلات الداخلية. وإذا كان الكشف صادرًا ممن اؤتمن على المعلومة بحكم مهنته، فقد تتقاطع الواقعة مع إفشاء السر المهني في الكويت ومسؤولية الطبيب والمحامي والمحاسب.

• إرسال ملف العملاء إلى بريد إلكتروني خاطئ.
• تمكن موظف غير مخول من نسخ البيانات ثم مشاركتها خارج العمل.
• اختراق البريد الإلكتروني للشركة في الكويت أو نظامها والوصول إلى قاعدة البيانات، مع ضرورة حفظ سجلات الدخول والرسائل والأدلة الرقمية قبل أي معالجة.
• نشر قائمة عملاء أو صور وثائق على مجموعة أو منصة عامة.
• ترك صلاحيات الوصول واسعة من دون ضوابط مناسبة أو سجلات متابعة.

كيف تتحدد المسؤولية في مثل هذه الوقائع؟

المسؤولية قد تكون متعددة الجوانب. فقد توجد شبهة جنائية إذا كان هناك دخول غير مشروع إلى النظام أو استيلاء أو إفشاء متعمد أو إساءة استخدام للبيانات. وقد تقوم مسؤولية مدنية أو تعاقدية إذا ثبت الإهمال في الحماية أو سوء التنظيم أو مخالفة التزامات السرية أو حصول ضرر مباشر للعميل أو للشركة. كما قد يكون للملف بعد وظيفي أو تأديبي إذا كان المتسبب موظفًا أو متعاونًا أو مقدم خدمة.

ولا يفترض القانون أو القضاء أن كل تسريب يقود تلقائيًا إلى النتيجة نفسها. فالواقعة تدرس من حيث سببها، ومدى التزام المؤسسة بإجراءات الحماية المعقولة، وهل بادرت إلى الحد من الضرر، وما إذا كانت احتفظت بسجلات الدخول والنسخ والمراسلات الداخلية. ففي بعض الملفات يكون العنصر الحاسم هو الإهمال، وفي أخرى يكون العنصر الحاسم هو الفعل العمدي أو الاختراق الخارجي.

ما الذي يجب على الشركة فعله فور اكتشاف التسريب؟

الخطأ الأكبر هو التعامل المرتبك: حذف السجلات، أو إغلاق الحسابات بلا توثيق، أو الاكتفاء ببحث داخلي شفهي، أو محاولة معالجة الأمر تقنيًا من دون حفظ الأثر الرقمي. الأولى أن تعمل المؤسسة على محورين متوازيين: وقف الضرر أو احتواؤه، وحفظ الأدلة اللازمة لفهم ما وقع وإثباته أو الدفاع بشأنه لاحقًا.

• عزل الحساب أو الجهاز أو الصلاحية محل الاشتباه من دون إتلاف السجلات.
• الاحتفاظ بسجلات الدخول والخروج والتنزيل والنسخ والبريد الإلكتروني المرتبط بالواقعة.
• تحديد نوع البيانات التي تسربت وعدد الأشخاص المتأثرين ونطاق التسريب.
• توثيق الإجراءات العاجلة التي اتخذتها الشركة للمعالجة والتخفيف.
• منع تداول الملف داخليًا بلا حاجة حتى لا تتفاقم دائرة الانكشاف.
• طلب مشورة قانونية مبكرة قبل إرسال مراسلات أو إقرارات قد تؤثر لاحقًا في المسؤولية.

وفي ملفات كثيرة يكون حسن التوثيق منذ الساعات الأولى سببًا في تقوية موقف الشركة أو العميل المتضرر. ومن أراد فهم قيمة الترتيب المبكر للأدلة يمكنه ملاحظة التقاطع مع موضوعات أخرى في المدونة، مثل مقال عقوبة تزوير التوقيع في الكويت وكيف يثبت التزوير حيث كان الحفاظ على الأصل عنصرًا حاسمًا، أو مقال هل نشر المحادثات الخاصة جريمة في الكويت؟ الذي تناول أهمية عدم توسيع دائرة النشر عند وقوع الاعتداء.

ما حقوق العميل المتضرر من التسريب؟

يحق للعميل المتضرر مبدئيًا أن يبحث عن مصدر الضرر وأن يطالب بحماية مركزه القانوني إذا ثبت أن بياناته استعملت على نحو غير مشروع أو كُشفت من دون مسوغ. وقد تكون مصلحته في مطالبة الشركة ببيان ما حدث، أو في اتخاذ إجراء لمنع استمرار الضرر، أو في التقدم ببلاغ عند وجود شبهة جزائية، أو في المطالبة بالتعويض إذا تحقق ضرر مادي أو معنوي وكان هناك رابط سببي بين التسريب والضرر.

أما المؤسسة المتضررة، فلها بدورها مصلحة في تتبع المتسبب، سواء كان موظفًا أو طرفًا خارجيًا أو متعاقدًا، وفي تقليل الخسارة، وإثبات أنها تعاملت مع الواقعة بجدية، وأنها لم تتقاعس عن المعالجة أو عن حفظ الأدلة أو عن تنظيم الصلاحيات والسرية على نحو معقول.

متى يثبت التعويض؟

التعويض لا يبنى على مجرد الشعور بالاستياء أو الخوف، بل على إثبات ضرر حقيقي أو محتمل بدرجة معتبرة مع وضوح العلاقة السببية. فقد يكون الضرر ماليًا، كاستغلال البيانات للوصول إلى حسابات أو خسارة عميل أو إلغاء صفقة. وقد يكون معنويًا، كالمساس بالسمعة أو الخصوصية. وقد يكون تنظيميًا أو تجاريًا إذا أدى التسريب إلى اهتزاز الثقة في المنشأة أو تعطيل العمل أو تحمل تكاليف استجابة ومعالجة كبيرة.

وكلما كانت السجلات أوضح والمراسلات أدق وقرارات المعالجة موثقة، كان من الأسهل تقدير الضرر أو نفي المبالغة فيه. ولهذا فإن من أهم ما ننصح به هو عدم الاكتفاء بالقول إن “البيانات تسربت”، بل يجب بيان نوعها، وعدد المتأثرين، وكيف تسربت، وما النتائج التي لحقت فعليًا أو يُخشى لحوقها بصورة جدية.

ما دور الإهمال وضعف الحماية؟

قد لا يكون هناك موظف تعمد التسريب، ومع ذلك تنشأ مساءلة إذا تبين أن الحماية كانت ضعيفة بصورة غير مبررة: كلمات مرور مشتركة، صلاحيات غير مقيدة، غياب سجلات دخول، مشاركة ملفات حساسة من دون ضوابط، أو عدم وجود سياسات واضحة للتعامل مع البيانات. فالإهمال في التنظيم قد يكون عنصرًا مهمًا في تقييم المسؤولية، خاصة إذا كان بالإمكان توقع الخطر ومنعه أو الحد منه.

وفي المقابل، فإن وجود سياسات سرية، وتوثيق للصلاحيات، وسجلات دقيقة، وتحرك سريع عند اكتشاف الحادثة، قد يساعد في الدفاع وإظهار أن المؤسسة لم تتقاعس، وأنها اتخذت إجراءات مناسبة وفق ما تسمح به ظروفها. وهذا فارق كبير بين مسؤولية مبنية على الفوضى أو اللامبالاة، وبين حادثة رغم وقوعها أحسن التعامل معها واحتواؤها.

كيف يبنى الملف القانوني في هذه القضايا؟

يبنى الملف عادة على مجموعة متكاملة من العناصر: تقارير تقنية أو داخلية، سجلات أنظمة، بريد إلكتروني، رسائل داخلية، سياسات عمل، عقود سرية، إفادات موظفين، وقرائن تبين مسار البيانات ومن وصل إليها وما إذا كانت نُقلت أو استعملت. وفي الجانب القانوني، قد يجتمع المسار الجزائي مع المطالبة المدنية أو مع نزاع وظيفي أو تجاري، ولذلك يجب ترتيب الأولويات بعناية.

• تحديد مصدر التسريب المحتمل داخليًا أو خارجيًا.
• جمع السجلات التقنية والمراسلات وقرارات المعالجة مبكرًا.
• التحقق من العقود والالتزامات المتعلقة بالسرية وحماية المعلومات.
• تقدير حجم الضرر على العملاء وعلى سمعة المؤسسة وعلى كلفة الاستجابة.
• اختيار المسار الأنسب: بلاغ، مطالبة، إنذار، تسوية، أو مزيج منها.

ويفيد في بعض الصور الرجوع أيضًا إلى ما نشره الموقع في موضوعات قريبة من زاوية الإثبات أو الاتهام أو المسؤولية، مثل البلاغ الكاذب في الكويت: العقوبة والتعويض عن الاتهام الباطل أو المقال الجديد تسجيل المكالمات دون إذن في الكويت وحجيتها أمام القضاء عندما تكون الواقعة مصحوبة باتصالات أو تعليمات أو اعترافات صوتية يحتاج ترتيبها.

ماذا عن الشركات المتعاقدة ومقدمي الخدمات؟

في الواقع العملي لا تكون البيانات محفوظة دائمًا داخل خوادم المنشأة نفسها؛ فقد تمر عبر مزود خدمة، أو شركة تسويق، أو مزود تقني، أو موظفين خارجيين، أو منصات إدارة علاقات العملاء. وهنا تبرز أهمية العقود وسياسات السرية وحدود الصلاحيات. فإذا جاء التسريب من طرف متعاقد، فإن الملف لا يبحث فقط مسؤولية هذا الطرف، بل أيضًا مدى احتياط المؤسسة في اختيار المتعاقد ومتابعته وتنظيم تبادل البيانات معه.

ولهذا فمن الحكمة عند بناء الملف جمع العقود وبنود السرية واتفاقات مستوى الخدمة والمراسلات التي تحدد من يملك حق الوصول وما هي حدود الاستعمال، لأن هذه المستندات قد تكون جوهرية في توزيع المسؤولية وفي دعم مطالبة التعويض أو في تخفيفها.

أثر إدارة الأزمة على المسؤولية

طريقة تعامل الشركة مع الحادثة بعد اكتشافها قد تؤثر هي الأخرى في تقييم الموقف. فالتأخر غير المبرر، أو تجاهل شكوى العميل، أو بعثرة السجلات، أو إصدار رسائل متناقضة، كلها أمور قد تضعف الدفاع وتوسع نطاق الضرر. أما الاستجابة السريعة والمنظمة، والتواصل المنضبط، وتوثيق الخطوات، فقد يساعد في إظهار الجدية وتقليل آثار الواقعة وحماية السمعة.

مصادر رسمية كويتية لحماية البيانات والاختراقات

للتأكد من النص النافذ، راجع الهيئة العامة للاتصالات وتقنية المعلومات – القرار 26 لسنة 2024 بإصدار لائحة حماية خصوصية البيانات، والنص الحالي للائحة حماية خصوصية البيانات. وعند وجود دخول غير مشروع أو إفشاء أو تغيير للبيانات بسبب اختراق، راجع وزارة العدل – قانون 63 لسنة 2015 بشأن مكافحة جرائم تقنية المعلومات.

خاتمة عملية

إذا كنت تمثل شركة اكتشفت تسريبًا، أو كنت عميلًا تضرر من انكشاف بياناته، فلا تتعامل مع الحادثة باعتبارها مشكلة تقنية فقط أو مسألة علاقات عامة فقط. إنها واقعة قانونية كذلك، وقد تكبر آثارها إذا لم تحفظ السجلات ولم يرتب مسار المعالجة والبلاغ أو المطالبة منذ البداية. والمعلومة الأساسية هنا أن المسؤولية قد تمتد إلى الفعل العمدي، وقد تمتد أيضًا إلى الإهمال وضعف الحماية، وأن التعويض يرتبط بثبوت الضرر ووضوح أسبابه.

ويؤكد مكتب المحامي محمد الحميدي أن ما ورد أعلاه معلومات عامة لا تغني عن دراسة ملف كل واقعة على حدة، وأن النتيجة النهائية تتوقف على الوقائع والأدلة وسلوك الأطراف وطريقة معالجة الحادثة. فإذا احتجت إلى تقييم مسؤولية تسريب بيانات أو بناء مطالبة أو دفاع متصل بحادثة رقمية، فالتواصل المبكر مع المكتب يساعد على حماية الحق وتقليل الخسائر.

أسئلة شائعة

هل كل تسريب بيانات يعني وجود جريمة؟

ليس بالضرورة. فقد تكون هناك شبهة جنائية في بعض الصور، بينما تكون القضية في صور أخرى مدنية أو تعاقدية أو وظيفية بحسب السبب والظروف.

هل يكفي قول الشركة إن الخطأ تقني لنفي المسؤولية؟

لا. يجب بحث سبب الخطأ، وإجراءات الحماية، وسرعة الاستجابة، وما إذا كان الإهمال أو ضعف التنظيم سببًا في الواقعة أو في تضخيم آثارها.

متى يطالب العميل بالتعويض؟

عندما يثبت ضرر معتبر وتقوم علاقة بينه وبين التسريب، سواء كان الضرر ماديًا أو معنويًا أو مهنيًا أو تجاريًا.

ما أول ما يجب حفظه بعد اكتشاف الحادثة؟

السجلات والمراسلات وقرارات المعالجة والصلاحيات وبيانات الأجهزة أو الحسابات المرتبطة بالواقعة، لأنها أساس فهم السبب وبناء المطالبة أو الدفاع.