Un projet technologique au Koweït peut occuper trois positions juridiques à la fois : exploiter une infrastructure de télécommunications licenciée, utiliser des réseaux licenciés comme client et exploiter des logiciels qu'aucune licence sectorielle ne touche. Les distinguer est la première tâche, car la Communication and Information Technology Regulatory Authority, CITRA, régule le secteur selon la loi n° 37 de 2014. Cet article présente les règles de licence, fréquences, homologation, confidentialité, transactions électroniques et cybercriminalité qui déterminent ce qu'un service technologique koweïtien peut promettre, et comment notre cabinet les examine avant lancement, contrat ou changement.
Cartographier le service avant toute question de licence
Énumérez ce que le client koweïtien reçoit réellement : connectivité, hébergement, capacité cloud, plateforme, contenus, support de paiement ou logiciel pur. Consignez ensuite qui exploite chaque composant, car la réponse juridique diffère pour l'opérateur de réseau, le fournisseur d'accès à Internet, le fournisseur cloud et l'éditeur d'applications. Une étiquette TMT sur une présentation n'établit pas les règles applicables, et notre conseil constant est de classer chaque fonction selon les définitions de l'article 1 de la loi n° 37 de 2014 avant de répondre à toute question réglementaire.
Tracez le parcours client de l'inscription à la résiliation et comparez la société nommée sur le site, dans le contrat et sur la facture. Notez infrastructures étrangères, administration à distance et sociétés du groupe remplissant des fonctions critiques sans figurer au contrat. Si un fournisseur change, l'entité qui reste responsable envers le client doit être identifiée par écrit : régulateurs et tribunaux recherchent l'exploitant officiel, non la marque.
Le régime de licences de la CITRA selon la loi n° 37 de 2014
L'article 16 n'autorise l'établissement, l'exploitation, la gestion ou la fourniture au public de réseaux publics de télécommunications, de services Internet et de télécommunications internationales ou terrestres, et même leur publicité, qu'avec une licence CITRA. L'article 21 divise le champ : les services reposant sur des ressources publiques rares comme les fréquences et la fibre nationale sont licenciés par appels d'offres publics, tandis que les autres licences de services publics sont accordées aux conditions fixées par le conseil de la CITRA, ouvertes à tout candidat qualifié en vertu de l'article 22. Selon l'article 24, les licences portant sur les ressources rares sont accordées par décret amiri ; les autres sont délivrées par décision du conseil et régies par un contrat administratif fixant durée, renouvellement, redevances et produits dus à la CITRA.
Les réseaux privés ont leurs propres règles. Aux termes des articles 17 et 18, la CITRA fixe les types, lignes directrices et conditions techniques des réseaux privés, qui ne peuvent être établis ni exploités sans licence de la CITRA distincte de toute licence de fréquences ; l'article 19 n'autorise leur interconnexion que via les réseaux publics en vertu d'accords écrits. La frontière nette est l'article 20 : quiconque possède ou gère un réseau privé ne peut fournir par ce réseau des services publics de télécommunications. Quand nous examinons un réseau d'entreprise devenu un service pour des affiliés, des locataires ou des clients, cette disposition décide s'il s'agit d'une installation interne ou d'un service public non licencié.
Fréquences, stations radio et homologation des équipements
Le spectre est une ressource nationale selon l'article 26, et l'article 27 interdit l'usage de toute fréquence radio sans la licence requise, sous réserve d'exceptions étroites pour les forces armées et les services de sécurité. Selon l'article 30, nul ne peut posséder ou utiliser une station radio sur le territoire koweïtien, ni l'y introduire, sans licence et permis de la CITRA, et l'article 32 lie le licencié aux fréquences attribuées, aux spécifications des équipements, au site et aux limites géographiques de la licence.
Les équipements relèvent d'un régime distinct. Aux termes des articles 43 à 45, la CITRA fixe les règles techniques et normes des équipements et terminaux de télécommunications ; nul ne peut utiliser, fournir ou vendre des équipements non conformes, et l'importation d'un équipement dont les spécifications n'ont pas été annoncées exige l'accord préalable de la CITRA. L'article 46 interdit le commerce et la possession de dispositifs d'écoute hors des entités officielles compétentes. Les articles 76 et 77 y ajoutent des sanctions pénales pour l'importation ou le commerce d'équipements non conformes.
Le cycle de vie de la licence : renouvellement, modification et annulation
Les licences sont accordées pour une durée déterminée renouvelable selon l'article 33. La CITRA peut modifier les conditions selon l'article 34 par une procédure écrite donnant au licencié les motifs, un délai d'exécution et un droit d'opposition, avec recours devant le tribunal compétent. L'annulation selon l'article 35 exige une violation grave de la licence, de la loi ou des instructions du conseil, ou un préjudice grave causé à des tiers, en général après avertissement écrit et délai de régularisation de trente jours ; l'article 36 ajoute la révocation pour non-paiement des produits convenus, l'article 37 pour défaut de maintien des moyens techniques de sécurisation et de stockage de ce qui transite par le réseau.
Les conséquences sont strictes. Selon l'article 39, le licencié notifié de l'annulation doit cesser toute nouvelle souscription et ne peut poursuivre que pour transférer les abonnés avec l'accord de la CITRA. L'article 40 barre toute nouvelle demande pour deux ans, l'article 38 exclut tout remboursement des produits, et l'article 41 préserve les droits à indemnisation. L'article 42 complète le dispositif : la licence est personnelle et incessible sauf approbation du conseil aux conditions prescrites.
Protection des usagers et devoir de continuité
La loi impose aux licenciés des obligations quotidiennes de protection des consommateurs. L'article 47 oblige tout licencié de service public à maintenir un service de réclamations ; l'article 48 n'autorise les modifications de tarifs qu'après annonce dans deux quotidiens locaux au moins sept jours à l'avance, avec notification à la CITRA ; l'article 49 permet à la CITRA d'enquêter et d'ordonner la suppression d'une violation sous quatre-vingt-dix jours ; l'article 50 exige un rapport annuel technique, administratif et financier démontrant que le titulaire de licence peut continuer à servir les bénéficiaires.
Deux protections méritent l'attention. L'article 51 déclare les appels et communications privées confidentiels et protégés, et l'article 53 interdit de bloquer ou résilier le service sauf dommage matériel au réseau, usage contraire à la législation ou aux bonnes mœurs, ou impayés après mise en demeure écrite ; la coupure pour litiges financiers ou techniques entre licenciés est interdite hors des accords d'interconnexion de l'article 25. Des sanctions pénales aux articles 75 à 79 appuient le régime, en punissant l'abus de fréquences, le brouillage et l'interception non autorisée d'un emprisonnement et d'amendes.
Confidentialité des données : le règlement CITRA sur la protection des données
Le Koweït n'a pas de loi générale sur la protection des données, mais le secteur des télécoms et de l'Internet est régulé. La CITRA a édicté le règlement sur la protection de la confidentialité des données (Data Privacy Protection Regulation) par la décision n° 26 de 2024, publiée dans Kuwait Al-Youm (n° 1675) le 18 février 2024, qui abroge le règlement édicté par la décision n° 42 de 2021 ; il s'applique aux fournisseurs de télécommunications et d'Internet licenciés par la CITRA. Il impose des obligations de consentement, de transparence, de sécurité, de notification de transfert et de notification de violation : les titulaires de licence doivent informer les utilisateurs avant la collecte de la manière dont leurs données seront utilisées et pourquoi, fournir des conditions de service, permettre aux utilisateurs de corriger les données ou d'annuler le traitement, et classer les données qu'ils détiennent ; la politique de classification de la CITRA utilisée auparavant à cette fin a été abrogée par la décision n° 34 de 2024, de sorte que les meilleures pratiques s'appliquent désormais.
Pour une entreprise non licenciée par la CITRA, le règlement ne s'applique pas directement, mais cette lacune ne doit pas être comprise comme une liberté. La confidentialité contractuelle, l'article 51 de la loi n° 37 de 2014, le droit pénal et les règles sectorielles encadrent les données clients, et les structures de groupe entraînent souvent l'entité non licenciée dans les obligations de la licenciée. Quand nous examinons un flux de données au Koweït, nous vérifions d'abord si une partie de la chaîne est licenciée par la CITRA, car cela décide quelles obligations lient le projet.
Services cloud et le cadre cloud de la CITRA
La CITRA régule le cloud par son cadre réglementaire de l'informatique en nuage (Cloud Computing Regulatory Framework), qui vise les fournisseurs de cloud exploitant des centres de données au Koweït ainsi que les services de plateforme et de logiciel qui s'y appuient. Le cadre distingue les classes d'informations qu'un fournisseur peut traiter et prescrit des attentes de sécurité, de transparence et d'enregistrement pour les fournisseurs licenciés. La politique distincte de classification des données à laquelle il était associé a été abrogée par la décision n° 34 de 2024. Un client qui migre des charges de travail vers le cloud au Koweït doit vérifier si le fournisseur est enregistré ou licencié par la CITRA et où résident les données.
Les questions pratiques sont autant contractuelles que réglementaires. Le contrat doit préciser l'emplacement du centre de données, les catégories de données traitables, les limites de la sous-traitance et le sort des données à la sortie. Un licencié koweïtien qui revend la capacité d'un opérateur cloud étranger demeure responsable devant la CITRA, et le client doit savoir quelle entité porte quelle obligation. Nos revues cartographient ces chaînes avant la migration, pas après l'incident.
Transactions électroniques selon la loi n° 20 de 2014
La loi n° 20 de 2014 relative aux transactions électroniques donne au contrat technologique son assise juridique. L'article 3 confère aux registres, documents, messages, transactions et signatures électroniques la même valeur juridique que leurs équivalents écrits dans les relations civiles, commerciales et administratives, et l'article 4 protège le cocontractant : nul n'est tenu de traiter électroniquement sans son consentement. L'article 9 pose les conditions de validité du registre électronique : intégrité des données depuis la création, récupérabilité à tout moment, identification du créateur avec date et heure, et conservation dans le format requis.
Pour les signatures, les articles 19 et 20 définissent la signature électronique protégée : identification du signataire, lien exclusif avec lui, outil sous son contrôle exclusif, détection de toute modification, et certificat d'authentification. L'article 14 confirme la valeur probante du registre conservé sauf si une autre loi exige un écrit. Quand nous examinons des conditions de plateforme, des parcours d'inscription ou des déploiements de signature électronique, ces dispositions décident si le clic, le journal et le certificat résisteront à un litige koweïtien.
Risques pénaux selon la loi n° 63 de 2015
La loi n° 63 de 2015 relative à la lutte contre les crimes des technologies de l'information dessine les risques. L'article 2 punit l'accès illicite à un ordinateur, à un système d'information ou à un réseau de six mois d'emprisonnement au plus et d'une amende de cinq cents à deux mille dinars, ou de l'une de ces peines ; si l'accès entraîne la suppression, l'atteinte, la divulgation ou l'altération de données, le maximum passe à deux ans d'emprisonnement et à une amende de deux mille à cinq mille dinars, ou l'une de ces peines. L'article 3 punit l'accès illicite visant des données gouvernementales secrètes de trois ans au plus et d'une amende de trois mille à dix mille dinars, ou de l'une de ces peines, portés à dix ans et à une amende de cinq mille à vingt mille dinars, ou l'une de ces peines, si les données sont supprimées, endommagées, détruites, publiées ou altérées.
L'article 4 vise l'obstruction de l'accès aux sites web et l'interception des transmissions. Pour un opérateur technologique, la leçon vaut dans les deux sens : durcir les systèmes contre ces infractions, et veiller à ce que le personnel évite tout comportement, comme sonder les systèmes d'un fournisseur ou d'un ancien partenaire pendant un litige, que la loi pénalise sans exception pour bonne intention. Les plans de réponse aux incidents doivent préserver les journaux et les preuves afin que la victime d'une infraction des articles 2 ou 3 puisse étayer une plainte pénale par des preuves exploitables.
Aligner les promesses clients sur la chaîne d'approvisionnement
Lisez les conditions clients avec les contrats de réseau, cloud, sécurité et support sous-jacents. Si le site promet un service continu alors qu'un fournisseur amont exclut les interruptions, quelqu'un doit porter cet écart, et ce doit être la partie la mieux placée pour le gérer. Fixez niveaux de service, notifications de maintenance, droits d'accès, contrôles des sous-traitants et contacts d'incident en termes opérationnels, et confrontez-les aux obligations réglementaires non négociables, comme le service de réclamations de l'article 47 et la continuité de l'article 53.
Simulez une panne fournisseur avant signature. Qui la détecte, consulte les journaux, autorise la correction et informe le client, avec quelles preuves conservées ? Un délai de réponse que le fournisseur sous-jacent ne soutient pas est un passif, non un argument de vente. Si le licencié officiel diffère de la société face au client, la répercussion des obligations CITRA doit être explicite : le régulateur poursuit le licencié, le client poursuit la marque.
Planifier sortie et changement avant la dépendance
Précisez la sortie tant que les relations sont saines : format d'export, assistance à la migration, préavis, preuves de suppression, et traitement des domaines, numéros, comptes et, le cas échéant, fréquences licenciées. Testez si un remplaçant pourrait reprendre sans perte de registres, et consignez qui détient fichiers de configuration et documentation de migration. Selon l'article 39 de la loi n° 37 de 2014, même un titulaire de licence dont la licence est annulée ne peut poursuivre que pour transférer les abonnés, ce qui montre que la loi traite la continuité du service comme la priorité.
Un nouveau module de paiement, partenaire réseau, région cloud ou fonction de contenu peut changer la qualification de tout le service. Instaurez un déclencheur qui relance l'analyse de licence des articles 16 à 24, le contrôle de confidentialité prévu par le règlement sur la protection de la confidentialité des données lorsqu'un titulaire de licence est concerné, et la revue des fournisseurs, et tenez un dossier de décisions daté séparant la version approuvée des projets. Ce dossier est souvent la première pièce demandée par un régulateur, un tribunal ou la due diligence d'un acquéreur.
Ce que nous examinons avant un lancement ou changement technologique au Koweït
Notre dossier de première revue couvre : la cartographie du service et des entités sur le parcours client ; l'analyse de licence selon les articles 16 à 24 de la loi n° 37 de 2014, y compris les frontières des réseaux privés des articles 17 à 20 ; les contrôles de fréquences et d'équipements selon les articles 27, 30 et 43 à 45 ; les conditions clients face à la chaîne d'approvisionnement et aux obligations de protection des usagers des articles 47 à 53 ; le flux de données face au règlement de protection des données lorsqu'un maillon est licencié par la CITRA ; le statut du fournisseur cloud selon le cadre CITRA ; la validité des contrats électroniques selon la loi n° 20 de 2014 ; les tests d'incidents, de preuves et de sortie ; et des avis koweïtiens datés sur chaque question ouverte.
Voir aussi : notre guide de la protection des données au Koweït et notre guide de la propriété intellectuelle au Koweït, ainsi que notre pratique en droit commercial et des sociétés.
Questions fréquentes
Toute entreprise technologique au Koweït a-t-elle besoin d'une licence CITRA ?
Non. L'article 16 de la loi n° 37 de 2014 vise les réseaux publics, les services Internet et les télécommunications internationales ou terrestres ; qui se contente d'écrire des logiciels ou de revendre des équipements échappe en général à l'obligation de licence, bien que l'importation et la vente d'équipements restent soumises à l'homologation des articles 43 à 45. Nous confirmons la qualification selon la pratique actuelle de la CITRA.
Une société peut-elle servir des affiliés via son réseau privé ?
Dans certaines limites. Les articles 17 et 18 exigent une licence CITRA pour les réseaux privés, et l'article 20 interdit les services publics de télécommunications via un réseau privé. Dès que des tiers extérieurs au groupe reçoivent de la connectivité, le montage risque la qualification de service public non licencié, avec les poursuites prévues par la loi.
Comment les licences télécoms koweïtiennes sont-elles accordées ?
Selon l'article 24 de la loi n° 37 de 2014, les licences de services reposant sur des ressources rares de l'État, comme les fréquences et la fibre nationale, sont accordées par décret amiri via des appels d'offres publics selon l'article 21, tandis que les autres licences de services publics sont délivrées par décision du conseil de la CITRA et consignées dans un contrat administratif fixant la durée, les redevances et les produits. Les licences sont personnelles et incessibles selon l'article 42 sauf approbation du conseil pour un transfert.
Les signatures électroniques sont-elles valables au Koweït ?
Oui. L'article 3 de la loi n° 20 de 2014 donne aux registres et signatures électroniques la valeur de l'écrit dans les transactions civiles, commerciales et administratives, sous réserve des conditions légales, et les articles 19 et 20 définissent la signature protégée adossée à un certificat. Nous conseillons une signature protégée et la conservation intégrale du registre selon l'article 9.
Quel droit de la protection des données s'applique à une application koweïtienne ?
Il n'existe pas de loi globale sur la protection des données. Le règlement CITRA sur la protection des données, édicté par la décision n° 26 de 2024 et remplaçant le règlement de 2021, lie les fournisseurs de télécoms et d'Internet licenciés par la CITRA par des obligations de consentement, de transparence, de sécurité, de notification des transferts et de notification des violations. Les autres entreprises relèvent du contrat, de la confidentialité de l'article 51 de la loi n° 37 de 2014 et du droit pénal général ; le cadre se construit donc le plus souvent contractuellement.
Un litige entre fournisseurs peut-il couper mon service ?
Pas licitement. L'article 53 de la loi n° 37 de 2014 interdit de bloquer ou résilier le service aux bénéficiaires sauf dommage matériel au réseau, usage illicite ou impayés après mise en demeure écrite, et protège les usagers des coupures liées à des litiges financiers ou techniques entre licenciés. Si votre continuité dépend d'un seul fournisseur, la protection légale a encore des limites, de sorte que des dispositions contractuelles de repli restent indispensables.
Quels risques pénaux pèsent sur réseaux et équipements ?
Les articles 75 à 79 de la loi n° 37 de 2014 punissent l'abus de fréquences, le brouillage, les équipements non conformes et les dispositifs d'écoute, et les articles 2 et 3 de la loi n° 63 de 2015 punissent l'accès illicite aux systèmes et aux données gouvernementales secrètes, jusqu'à dix ans en cas aggravé. Les importations exigent la conformité CITRA selon les articles 43 à 45, et le personnel ne doit jamais accéder à des systèmes tiers sans autorisation, même pour enquêter sur un litige.
Comment engager le cabinet sur une question technologique koweïtienne ?
Envoyez la description du service, les projets de contrats et la liste des fournisseurs via la page de contact ; nous définirons une première revue couvrant licence, confidentialité, contrats et sortie. Une revue précoce coûte nettement moins cher qu'une restructuration après que la CITRA ou une contrepartie a soulevé la question.