قد يقع المشروع التقني في الكويت في ثلاثة مراكز قانونية في وقت واحد: فقد يشغّل بنية تحتية للاتصالات مرخّصة، وقد يستخدم شبكات مرخّصة بصفته عميلاً، وقد يدير برمجيات لا يمسّها أي ترخيص قطاعي. والتمييز بين هذه المراكز هو المهمة الأولى، لأن هيئة تنظيم الاتصالات وتقنية المعلومات (سيترا) تنظّم القطاع بموجب القانون رقم 37 لسنة 2014 في شأن إنشاء هيئة الاتصالات وتقنية المعلومات. تستعرض هذه المقالة قواعد الترخيص والترددات واعتماد الأجهزة والخصوصية والمعاملات الإلكترونية وجرائم تقنية المعلومات التي تحدد ما يجوز لخدمة تقنية في الكويت أن تعد به قانوناً، وكيف يراجعها مكتبنا قبل الإطلاق أو التعاقد أو التغيير.
حدد الخدمة قبل طرح أسئلة الترخيص
احصر ما يتلقاه العميل في الكويت فعلياً: الاتصال، أو الاستضافة، أو السعة السحابية، أو منصة، أو محتوى، أو دعم مدفوعات، أو برمجيات خالصة. ثم سجّل من يشغّل كل جزء، لأن الجواب القانوني يختلف بين مشغّل الشبكة ومزوّد خدمة الإنترنت ومزوّد السحابة وبائع التطبيق. فالتسمية التسويقية لا تحدد القواعد الواجبة التطبيق، ونصيحتنا الدائمة هي تصنيف كل وظيفة وفق التعريفات الواردة في المادة 1 من القانون رقم 37 لسنة 2014 قبل الإجابة عن أي سؤال تنظيمي.
ارسم رحلة العميل من التسجيل إلى الإلغاء، وقارن الشركة المذكورة على الموقع وفي الاتفاقية وعلى الفاتورة. دوّن البنية الأجنبية والإدارة عن بُعد والشركات التابعة التي تؤدي وظائف جوهرية دون أن تظهر في العقد. وعند تغيّر مورّد، يجب تحديد الكيان الذي يبقى مسؤولاً أمام العميل كتابةً، لأن الجهات الرقابية والمحاكم تبحث عن المشغّل المسجَّل لا عن العلامة التجارية.
نظام تراخيص سيترا وفق القانون رقم 37 لسنة 2014
تجيز المادة 16 إنشاء شبكات الاتصالات العامة أو تشغيلها أو إدارتها أو تقديمها للجمهور، وخدمات الإنترنت، والاتصالات الدولية أو الأرضية، بل وحتى الإعلان عن أي من ذلك، بعد الحصول على ترخيص من الهيئة فقط. وتقسم المادة 21 المجال: فالخدمات المعتمدة على الموارد الحكومية النادرة كالترددات والألياف الضوئية على مستوى الدولة تُرخّص بمناقصات عامة، بينما تُمنح تراخيص الخدمات العامة الأخرى بشروط يضعها مجلس إدارة الهيئة ويحق لكل مستوفٍ لها التقدم بها وفق المادة 22. وبموجب المادة 24 تُمنح تراخيص الموارد النادرة بمرسوم أميري، أما الباقي فيصدر بقرار من المجلس وينظمه عقد إداري يحدد المدة والتجديد والرسوم والعوائد المستحقة للهيئة.
وللشبكات الخاصة قواعدها. فبموجب المادتين 17 و18 تضع الهيئة أنواع الشبكات الخاصة وضوابطها وشروطها الفنية، ولا يجوز إنشاؤها أو تشغيلها دون ترخيص من الهيئة مستقل عن أي ترخيص ترددات؛ وتجيز المادة 19 ربطها ببعضها عبر الشبكات العامة فقط بموجب اتفاقيات مكتوبة. أما الحد الفاصل فهو المادة 20: لا يجوز لمن يملك شبكة خاصة أو يديرها أن يقدم عبرها خدمات اتصالات عامة. وعندما نراجع شبكة شركات تحوّلت إلى خدمة للشركات التابعة أو المستأجرين أو العملاء، فهذه المادة هي التي تحسم ما إذا كانت مرفقاً داخلياً أم خدمة عامة غير مرخّصة.
الترددات ومحطات الراديو واعتماد الأجهزة
يُعد الطيف الترددي مورداً وطنياً بموجب المادة 26، وتحظر المادة 27 استخدام أي ترددات راديوية دون الترخيص المطلوب، مع استثناءات ضيقة للقوات المسلحة والأجهزة الأمنية. وبموجب المادة 30 لا يجوز امتلاك محطة راديو أو استخدامها على أراضي الدولة أو إدخالها إليها دون ترخيص وإذن من الهيئة، وتلزم المادة 32 المرخّص له بالترددات المخصصة ومواصفات الأجهزة والموقع والحدود الجغرافية الواردة في الترخيص.
أما الأجهزة فلها نظام مستقل. فبموجب المواد 43 إلى 45 تضع الهيئة القواعد الفنية والمواصفات القياسية لأجهزة الاتصالات والأجهزة الطرفية، ولا يجوز استخدام أو توريد أو بيع أجهزة غير مطابقة، ويتطلب استيراد جهاز لم تُعلن مواصفاته موافقة مسبقة من الهيئة. وتحظر المادة 46 الاتجار في أجهزة التنصت أو حيازتها خارج الجهات الرسمية المختصة. وتترتب مسؤولية جزائية: إذ تعاقب المادتان 76 و77 على استيراد الأجهزة غير المطابقة أو الاتجار بها بعقوبات جزائية.
دورة حياة الترخيص: التجديد والتعديل والإلغاء
تُمنح التراخيص لمدة محددة قابلة للتجديد بموجب المادة 33. ويجوز للهيئة تعديل شروط الترخيص وفق المادة 34 بإجراء مكتوب يُخطِر المرخّص له بالأسباب ومدة التنفيذ ويمنحه حق الاعتراض، مع الطعن أمام المحكمة المختصة. ويشترط الإلغاء بموجب المادة 35 وقوع مخالفة جسيمة لشروط الترخيص أو القانون أو تعليمات المجلس، أو إلحاق ضرر جسيم بالغير، وذلك في الغالب بعد إنذار كتابي ومهلة ثلاثين يوماً للتصحيح؛ وتضيف المادة 36 الإلغاء لعدم سداد العوائد المتفق عليها، والمادة 37 لعدم صيانة الوسائل الفنية اللازمة لتأمين ما يمر عبر الشبكة وتخزينه.
والعواقب صارمة. فبموجب المادة 39 يجب على المرخّص له المُخطَر بالإلغاء التوقف عن قبول اشتراكات جديدة، ولا يجوز له الاستمرار إلا بالقدر اللازم لنقل المشتركين بموافقة الهيئة. وتحظر المادة 40 التقدم بترخيص جديد قبل انقضاء سنتين، وتستبعد المادة 38 أي تعويض أو رد للعوائد، وتحفظ المادة 41 حقوق المتضررين في التعويض. وتُكمل المادة 42 الإطار: الترخيص شخصي ولا يجوز التنازل عنه إلا بموافقة المجلس وفق الشروط المقررة.
حماية المستفيدين وواجب استمرارية الخدمة
يفرض القانون التزامات يومية لحماية المستهلك على المرخّص لهم. فالمادة 47 تلزم كل مرخّص له بخدمة عامة بإنشاء قسم خاص لتلقي شكاوى المستفيدين؛ ولا تجيز المادة 48 تعديل الأجور إلا بعد الإعلان في صحيفتين محليتين يوميتين قبل سبعة أيام على الأقل مع إخطار الهيئة مسبقاً؛ وتخوّل المادة 49 الهيئة التحقيق في الشكاوى وإلزام المرخّص له بإزالة المخالفة خلال تسعين يوماً؛ وتوجب المادة 50 تقريراً سنوياً فنياً وإدارياً ومالياً يثبت قدرة المرخّص له على الاستمرار في الخدمة.
وهناك حمايتان تستحقان الانتباه في كل مراجعة عقدية. تعلن المادة 51 أن المكالمات الهاتفية والاتصالات الخاصة سرية ومصونة قانوناً، وتحظر المادة 53 حجب الخدمة عن المستفيدين أو إلغاءها إلا لإلحاق ضرر مادي بالشبكة أو استخدامها بما يخالف التشريعات أو الآداب العامة أو عدم سداد الأجور بعد إنذار كتابي؛ ويُحظَر قطع الخدمة بسبب نزاعات بين المرخّص لهم إلا وفق اتفاقيات الربط المبرمة بموجب المادة 25. وتدعم العقوبات الجزائية في المواد 75 إلى 79 هذا النظام، إذ تعاقب على إساءة استخدام الترددات والتشويش والاعتراض غير المشروع بالحبس والغرامة.
خصوصية البيانات: لائحة سيترا لحماية خصوصية البيانات
لا يوجد في الكويت قانون عام شامل لحماية البيانات، لكن قطاع الاتصالات والإنترنت منظّم. فقد أصدرت الهيئة لائحة حماية خصوصية البيانات بالقرار رقم 26 لسنة 2024، المنشورة في كويت اليوم (العدد 1675) بتاريخ 18 فبراير 2024 والمُلغية للائحة رقم 42 لسنة 2021؛ وتسري على المرخّص لهم من الهيئة في مجالي الاتصالات والإنترنت. وتفرض اللائحة واجبات الموافقة والشفافية والأمان والإخطار بالنقل والإخطار بالخرق: فيجب إعلام المستخدمين قبل الجمع بكيفية استخدام بياناتهم الشخصية والغرض منها، وتقديم شروط الخدمة لهم، وتمكينهم من تصحيح بياناتهم أو إلغاء المعالجة، وتصنيف البيانات التي يحتفظون بها؛ وقد أُلغيَت سياسة تصنيف البيانات التي كانت الهيئة تعتمدها لهذا الغرض بالقرار رقم 34 لسنة 2024، فتُطبق الآن أفضل الممارسات.
أما المنشأة التقنية غير المرخّص لها من الهيئة فلا تسري عليها اللائحة مباشرة، لكن لا ينبغي قراءة هذه الفجوة على أنها حرية مطلقة. فالسرية التعاقدية، وقاعدة السرية في المادة 51 من القانون رقم 37 لسنة 2014، والقانون الجزائي، والقواعد القطاعية، كلها تقيّد التعامل مع بيانات العملاء، وكثيراً ما تجرّ الهياكل المجمّعة الكيان غير المرخّص إلى التزامات الكيان المرخّص. وعند مراجعتنا لتدفق بيانات في الكويت، نتحقق أولاً مما إذا كان أي طرف في السلسلة مرخّصاً له من الهيئة، لأن ذلك يحدد الالتزامات الملزمة للمشروع.
الخدمات السحابية والإطار التنظيمي للحوسبة السحابية
تنظّم الهيئة الحوسبة السحابية من خلال الإطار التنظيمي للحوسبة السحابية، الذي يتناول مزوّدي الخدمات السحابية المشغّلين لمراكز بيانات في الكويت وخدمات المنصات والبرمجيات المبنية عليها. ويميّز الإطار بين فئات المعلومات التي يجوز للمزوّد التعامل معها، ويضع توقعات الأمان والشفافية والتسجيل للمزوّدين المرخّص لهم. وقد أُلغيت سياسة تصنيف البيانات المنفصلة التي كانت تعمل إلى جانبه بالقرار رقم 34 لسنة 2024. وعلى العميل الذي ينقل أعباء العمل إلى السحابة في الكويت أن يتحقق مما إذا كان المزوّد مسجّلاً أو مرخّصاً له من الهيئة وأين توجد البيانات فعلياً.
والأسئلة العملية تعاقدية بقدر ما هي تنظيمية. فيجب أن تحدد الاتفاقية موقع مركز البيانات، وفئات البيانات التي يجوز للمزوّد معالجتها، وحدود التعاقد من الباطن، ومصير البيانات عند الخروج. وعندما يعيد مرخّص كويتي بيع سعة من مشغّل سحابي أجنبي، يبقى المرخّص له مسؤولاً أمام الهيئة، وينبغي للعميل أن يعرف أي كيان يتحمل أي التزام. وترسم مراجعاتنا هذه السلاسل قبل الترحيل، لا بعد الواقعة.
المعاملات الإلكترونية وفق القانون رقم 20 لسنة 2014
يمنح القانون رقم 20 لسنة 2014 في شأن المعاملات الإلكترونية العقد التقني أساسه القانوني. فالمادة 3 تمنح السجلات والمستندات والرسائل والمعاملات والتوقيعات الإلكترونية ذات الحجية القانونية للمستندات والتوقيعات المكتوبة في المعاملات المدنية والتجارية والإدارية متى تمت وفق أحكام القانون، وتحمي المادة 4 الطرف الآخر: فلا يُلزَم أحد بالتعامل إلكترونياً دون رضاه. وتضع المادة 9 شروط صحة السجل الإلكتروني: سلامة البيانات منذ إنشائها، وقابليتها للاسترجاع في أي وقت، وتحديد منشئها وتاريخ ووقت الإرسال أو الاستلام، والحفظ بالصيغة المطلوبة.
وفي شأن التوقيعات، تعرّف المادتان 19 و20 التوقيع الإلكتروني المحمي: يجب أن يحدد هوية الموقّع، وأن يرتبط به وحده، وأن ينشأ بأداة توقيع تحت سيطرته الحصرية، وأن يتيح كشف أي تغيير لاحق، مع شهادة تصديق إلكتروني تثبت صلاحيته. وتؤكد المادة 14 حجية السجل المحفوظ ما لم يشترط قانون آخر حجة مكتوبة. وعندما نراجع شروط المنصات أو تدفقات التسجيل أو مشاريع التوقيع الإلكتروني، فهذه المواد هي التي تحسم ما إذا كانت الموافقة الإلكترونية والسجل والشهادة ستصمد أمام نزاع كويتي.
المسؤولية الجزائية وفق القانون رقم 63 لسنة 2015
يرسم القانون رقم 63 لسنة 2015 في شأن مكافحة جرائم تقنية المعلومات حدود المخاطر. فالمادة 2 تعاقب على الدخول غير المشروع إلى حاسب آلي أو نظام معلوماتي أو شبكة معلوماتية بالحبس مدة لا تجاوز ستة أشهر وبغرامة من خمسمائة إلى ألفي دينار أو بإحداهما؛ فإذا ترتب على الدخول إلغاء البيانات أو إتلافها أو إفشاؤها أو تغييرها ارتفع الحد إلى سنتين وغرامة من ألفين إلى خمسة آلاف دينار أو بإحداهما. وتعاقب المادة 3 على الدخول غير المشروع بقصد الحصول على بيانات حكومية سرية بالحبس حتى ثلاث سنوات وغرامة من ثلاثة آلاف إلى عشرة آلاف دينار أو بإحداهما، وترتفع إلى عشر سنوات وغرامة من خمسة آلاف إلى عشرين ألف دينار أو بإحداهما إذا أُلغيت البيانات أو أُتلفت أو دُمرت أو نُشرت أو عُدلت.
وتتناول المادة 4 إعاقة الوصول إلى المواقع والتنصت على المرسلات. وبالنسبة للمشغّل التقني، فالدرس وجهان: يجب تحصين الأنظمة ضد هذه الجرائم، ويجب منع العاملين من سلوك مثل فحص أنظمة مورّد أو شريك سابق أثناء نزاع، فالقانون يجرّمه دون استثناء للنوايا الحسنة. وينبغي لخطط الاستجابة للوقائع أن تحفظ السجلات والأدلة حتى يتمكن ضحية جريمة المواد 2 أو 3 من دعم شكوى جزائية بدليل قابل للاستخدام.
مواءمة وعود العملاء مع سلسلة التوريد
اقرأ شروط العملاء إلى جانب عقود الشبكة والسحابة والأمان والدعم القائمة تحتها. فإذا وعد الموقع بخدمة متواصلة بينما يستثني مورّد أساسي الانقطاعات، فلا بد من مالك لهذه الفجوة، وليكن الطرف الأقدر على إدارتها. وحدد مستويات الخدمة وإشعارات الصيانة وحقوق الوصول وضوابط المتعاقدين من الباطن وجهات اتصال الوقائع بعبارات تشغيلية، وقارنها بالالتزامات التنظيمية التي لا يجوز التعاقد على خلافها، كواجب قسم الشكاوى في المادة 47 وحماية الاستمرارية في المادة 53.
حاكِ انقطاع مورّد قبل التوقيع. من يكتشفه، ومن يطّلع على السجلات، ومن يأذن بالإصلاح، ومن يبلغ العميل، وبأي أدلة محفوظة؟ فزمن استجابة في اتفاقية العميل لا يدعمه المورّد الأساسي هو التزام مكلّف لا ميزة بيع. وعندما يختلف المرخّص له القياسي عن الشركة المواجهة للعميل، يجب أن يكون انتقال التزامات الهيئة صريحاً، لأن الجهة الرقابية تلاحق المرخّص له بينما يلاحق العميل العلامة التجارية.
خطط للخروج والتغيير قبل أن يترسخ الاعتماد
حدد الخروج ما دامت العلاقة سليمة: صيغة التصدير، ودعم النقل، ومهلة الإخطار، ودليل الحذف، ومعاملة النطاقات وأرقام الهواتف والحسابات والترددات المرخّصة عند الاقتضاء. واختبر ما إذا كان مورّد بديل قادراً فعلاً على تولي الخدمة دون فقدان السجلات، ودوّن من يملك ملفات الإعداد والوثائق اللازمة للترحيل. وبموجب المادة 39 من القانون رقم 37 لسنة 2014، حتى المرخّص له الملغى ترخيصه لا يجوز له الاستمرار إلا لنقل المشتركين، وهو ما يبيّن كيف يجعل القانون استمرارية الخدمة أولوية.
وقد تغيّر وحدة مدفوعات جديدة أو شريك شبكة أو منطقة سحابية أو وظيفة محتوى التصنيف القانوني للخدمة بأكملها. فأنشئ محفّز تغيير للمنتج يعيد تحليل الترخيص وفق المواد 16 إلى 24، وفحص الخصوصية وفق لائحة حماية خصوصية البيانات عند وجود مرخّص له، ومراجعة المورّدين، واحتفظ بملف قرارات مؤرخ يفصل النسخة المعتمدة عن المقترحات. فهذا الملف عادة أول ما تطلبه جهة رقابية أو محكمة أو فريق العناية الواجبة لدى المشتري.
ما الذي نراجعه قبل إطلاق خدمة تقنية كويتية أو تغييرها
يغطي ملف المراجعة الأولى لدينا: خريطة الخدمة والكيانات عبر رحلة العميل؛ وتحليل الترخيص وفق المواد 16 إلى 24 من القانون رقم 37 لسنة 2014، بما فيها حدود الشبكات الخاصة في المواد 17 إلى 20؛ وفحص الترددات والأجهزة وفق المواد 27 و30 و43 إلى 45؛ ومواءمة شروط العملاء مع سلسلة التوريد وواجبات حماية المستفيدين في المواد 47 إلى 53؛ وتدفق البيانات وفق لائحة حماية خصوصية البيانات عندما يكون أي طرف مرخّصاً له من الهيئة؛ ووضع مزوّد السحابة وفق الإطار السحابي؛ وصحة التعاقد الإلكتروني وفق القانون رقم 20 لسنة 2014؛ واختبارات الوقائع والأدلة والخروج؛ ومشورة كويتية مؤرخة لكل مسألة معلقة.
اقرأ أيضا: دليلنا لحماية البيانات في الكويت ودليلنا للملكية الفكرية في الكويت، إضافة إلى ممارستنا في قانون الشركات والأعمال التجارية.
أسئلة شائعة
هل تحتاج كل منشأة تقنية في الكويت إلى ترخيص من سيترا؟
لا. فالمادة 16 من القانون رقم 37 لسنة 2014 تستهدف شبكات الاتصالات العامة وخدمات الإنترنت والاتصالات الدولية أو الأرضية؛ أما من يكتب البرمجيات فحسب أو يعيد بيع الأجهزة دون تشغيل شبكات أو تقديم خدمات اتصالات عامة، فلا يخضع في الغالب لواجب الترخيص، وإن ظل استيراد الأجهزة وبيعها خاضعاً لقواعد الاعتماد النوعي في المواد 43 إلى 45. ونؤكد التصنيف وفق ممارسة الهيئة الراهنة قبل الإطلاق.
هل يجوز للشركة خدمة الشركات التابعة عبر شبكتها الخاصة؟
ضمن حدود فقط. فالمادتان 17 و18 تشترطان ترخيصاً من الهيئة للشبكات الخاصة وتخوّلانها وضع شروطها الفنية، وتحظر المادة 20 تقديم خدمات اتصالات عامة عبر شبكة خاصة. ومتى تلقى أطراف خارج المجموعة الخاصة خدمة الاتصال، خاطر الترتيب باعتباره خدمة عامة غير مرخّصة، مع ما يترتب على ذلك من ملاحقة وفق النصوص العقابية للقانون.
كيف تُمنح تراخيص الاتصالات الكويتية فعلياً؟
بموجب المادة 24 من القانون رقم 37 لسنة 2014، تُمنح تراخيص الخدمات المعتمدة على الموارد الحكومية النادرة، كالترددات والألياف على مستوى الدولة، بمرسوم أميري عبر مناقصات عامة وفق المادة 21، بينما تصدر تراخيص الخدمات العامة الأخرى بقرار من مجلس إدارة الهيئة وتنظّم بعقد إداري يحدد المدة والرسوم والعوائد. والتراخيص شخصية ولا تُنقل وفق المادة 42 إلا بموافقة المجلس.
هل التوقيعات الإلكترونية صحيحة في الكويت؟
نعم. فالمادة 3 من القانون رقم 20 لسنة 2014 تمنح السجلات والتوقيعات الإلكترونية حجية المكتوب في المعاملات المدنية والتجارية والإدارية متى استوفيت شروط القانون، وتعرّف المادتان 19 و20 التوقيع الإلكتروني المحمي المدعوم بشهادة تصديق. وننصح باستخدام توقيع محمٍ والاحتفاظ بالسجل الكامل وفق المادة 9.
ما قانون حماية البيانات الواجب التطبيق على تطبيق أو منصة كويتية؟
لا يوجد قانون شامل لحماية البيانات. فلائحة سيترا لحماية خصوصية البيانات، الصادرة بالقرار رقم 26 لسنة 2024 والتي حلت محل لائحة عام 2021، تلزم المرخّص لهم في الاتصالات والإنترنت بواجبات الموافقة والشفافية والأمان والإخطار بالنقل والإخطار بالخرق. أما غيرهم فيحكمهم العقد وقاعدة السرية في المادة 51 من القانون رقم 37 لسنة 2014 والقانون الجزائي العام، لذا يُبنى إطار الخصوصية تعاقدياً في الغالب.
هل يمكن أن يقطع نزاع بين المورّدين خدمتي؟
ليس قانوناً. فالمادة 53 من القانون رقم 37 لسنة 2014 تحظر حجب الخدمة عن المستفيدين أو إلغاءها إلا لضرر مادي بالشبكة أو استخدام مخالف للقانون أو عدم سداد بعد إنذار كتابي، وتحمي المستفيدين من القطع بسبب نزاعات مالية أو فنية بين المرخّص لهم. ومع ذلك تبقى للحماية النظامية حدود إذا كانت استمراريتك معلقة بمورّد واحد، فالترتيبات التعاقدية الاحتياطية ضرورية.
ما المخاطر الجزائية المتعلقة بالشبكات والأجهزة؟
تعاقب المواد 75 إلى 79 من القانون رقم 37 لسنة 2014 على إساءة استخدام الترددات والتشويش والأجهزة غير المطابقة وأجهزة التنصت بالحبس والغرامة، وتعاقب المادتان 2 و3 من القانون رقم 63 لسنة 2015 على الدخول غير المشروع إلى الأنظمة وإلى البيانات الحكومية السرية بعقوبات تصل إلى عشر سنوات في الحالات المشددة. ويحتاج استيراد الأجهزة إلى مطابقة الهيئة وفق المواد 43 إلى 45، ولا يجوز للعاملين مطلقاً دخول أنظمة الغير دون تفويض، ولو للتحقيق في نزاع.
كيف نستعين بالمكتب في مسألة تقنية كويتية؟
أرسل وصف الخدمة ومسودات العقود وقائمة المورّدين عبر صفحة التواصل، وسنحدد نطاق مراجعة أولى يشمل الترخيص والخصوصية والتعاقد والخروج كما هو موضح أعلاه. والمراجعة المبكرة أقل كلفة بوضوح من إعادة الهيكلة بعد أن تثير الهيئة أو الطرف المقابل المسألة.