Un progetto tecnologico in Kuwait può trovarsi in tre posizioni giuridiche insieme: gestire infrastrutture di telecomunicazione licenziate, usare reti licenziate come cliente e operare software che nessuna licenza settoriale tocca. Distinguerle è il primo compito, perché l'Autorità di regolamentazione delle comunicazioni e delle tecnologie dell'informazione (CITRA) regola il settore secondo la Legge n. 37 del 2014. Questo articolo mappa le regole su licenze, frequenze, omologazione, privacy, transazioni elettroniche e criminalità informatica che decidono cosa un servizio kuwaitiano può lecitamente promettere, e come il nostro studio le esamina prima di un lancio, di un contratto o di una modifica.
Mappare il servizio prima di chiedere le licenze
Elencare ciò che il cliente kuwaitiano riceve realmente: connettività, hosting, cloud, piattaforma, contenuti, pagamenti o software puro. Registrare poi chi opera ciascuna parte, perché la risposta giuridica differisce per l'operatore di rete, il provider internet, il provider cloud e il venditore di applicazioni. Un'etichetta TMT su una presentazione non stabilisce quali regole si applicano; il nostro consiglio è classificare ogni funzione rispetto alle definizioni dell'articolo 1 della Legge n. 37 del 2014 prima di ogni questione regolamentare.
Tracciate il percorso del cliente dall'iscrizione alla disdetta e confrontate la società indicata sul sito, nel contratto e in fattura. Annotate le infrastrutture estere, l'amministrazione remota e le società del gruppo che svolgono funzioni critiche senza comparire nel contratto. Quando un fornitore cambia, l'entità che resta responsabile verso il cliente deve essere identificata per iscritto, perché autorità e tribunali cercano l'operatore registrato, non il marchio.
Il regime di licenze CITRA secondo la Legge n. 37 del 2014
L'articolo 16 consente l'istituzione, gestione o fornitura al pubblico di reti pubbliche di telecomunicazione, servizi internet e telecomunicazioni internazionali o terrestri, e persino la loro pubblicità, solo con licenza CITRA. L'articolo 21 divide il campo: i servizi su risorse statali scarse, come frequenze e fibra nazionale, sono licenziati tramite gare pubbliche, mentre le altre licenze di servizio pubblico si concedono a condizioni del Consiglio aperte a tutti i richiedenti qualificati secondo l'articolo 22. Secondo l'articolo 24, le licenze su risorse scarse si concedono con decreto emirale; le altre con decisione del Consiglio, documentate in un contratto amministrativo che fissa durata, rinnovo, tariffe e proventi dovuti alla CITRA.
Le reti private hanno regole proprie. Ai sensi degli articoli 17 e 18, la CITRA fissa le tipologie, le linee guida e le condizioni tecniche delle reti private, che non possono essere istituite o gestite senza una licenza CITRA distinta da qualsiasi licenza di frequenza; l'articolo 19 consente l'interconnessione tra di esse solo attraverso reti pubbliche con accordi scritti. Il confine netto è l'articolo 20: chi possiede o gestisce una rete privata non può fornire attraverso di essa servizi pubblici di telecomunicazione. Quando esaminiamo una rete aziendale cresciuta fino a diventare un servizio per affiliate, locatari o clienti, questa disposizione decide se si tratta di un impianto interno o di un servizio pubblico non licenziato.
Frequenze, stazioni radio e omologazione degli apparati
Lo spettro è risorsa nazionale secondo l'articolo 26, e l'articolo 27 vieta l'uso di qualsiasi frequenza radio senza la licenza richiesta, salvo strette eccezioni per forze armate e organi di sicurezza. Secondo l'articolo 30, nessuno può possedere o usare una stazione radio sul territorio kuwaitiano, né introdurla nel Paese, senza licenza e permesso CITRA, e l'articolo 32 vincola il licenziatario alle frequenze assegnate, alle specifiche, al sito e ai limiti geografici della licenza.
Gli apparati seguono un regime separato. Secondo gli articoli da 43 a 45, la CITRA fissa regole tecniche e specifiche standard per gli apparati di telecomunicazione e terminali; nessuno può usare, fornire o vendere apparati non conformi, e importare un apparato con specifiche non annunciate richiede previa approvazione CITRA. L'articolo 46 vieta il commercio o il possesso di dispositivi di intercettazione fuori dagli enti ufficiali competenti. Gli articoli 76 e 77 sostengono il regime con sanzioni penali per l'importazione o il commercio di apparati non conformi.
Il ciclo di vita della licenza: rinnovo, modifica e cancellazione
Le licenze hanno durata fissa e rinnovabile secondo l'articolo 33. La CITRA può modificare le condizioni secondo l'articolo 34 con procedimento scritto che dà motivazioni, termine di esecuzione e diritto di opposizione, con ricorso al tribunale. La cancellazione secondo l'articolo 35 richiede grave violazione della licenza, della legge o delle istruzioni del Consiglio, oppure grave danno a terzi, in genere dopo diffida scritta e trenta giorni per sanare; l'articolo 36 aggiunge la revoca per mancato pagamento dei proventi, e l'articolo 37 per omesso mantenimento dei mezzi tecnici per proteggere e conservare ciò che transita in rete.
Le conseguenze sono rigorose. Secondo l'articolo 39, il licenziatario cui sia notificata la cancellazione deve fermare le nuove sottoscrizioni e può continuare solo per trasferire gli abbonati con approvazione CITRA. L'articolo 40 vieta una nuova domanda per due anni, l'articolo 38 esclude ogni rimborso dei proventi e l'articolo 41 conserva le pretese risarcitorie dei danneggiati. L'articolo 42 chiude il cerchio: la licenza è personale e intrasferibile, salvo approvazione del Consiglio a condizioni prescritte.
Tutela degli utenti e dovere di continuità
La legge pone obblighi quotidiani verso i consumatori. L'articolo 47 obbliga ogni licenziatario di servizio pubblico a mantenere una sezione per i reclami dei beneficiari; l'articolo 48 consente modifiche tariffarie solo dopo annuncio su due quotidiani locali almeno sette giorni prima, con previa notifica alla CITRA; l'articolo 49 consente alla CITRA di indagare sui reclami e ordinare la rimozione entro novanta giorni; e l'articolo 50 richiede una relazione annuale tecnica, amministrativa e finanziaria che dimostri la capacità di continuare a servire.
Due tutele contano in ogni revisione contrattuale. L'articolo 51 dichiara le telefonate e le telecomunicazioni private riservate e legalmente protette, e l'articolo 53 vieta il blocco o la cancellazione del servizio salvo danno materiale alla rete, uso contrario alla legge o alla morale pubblica, o mancato pagamento dopo diffida scritta; la disconnessione per controversie tra licenziatari è vietata fuori dagli accordi di interconnessione dell'articolo 25. Le sanzioni penali degli articoli da 75 a 79 sostengono il regime, punendo abuso di frequenze, disturbo e intercettazione con reclusione e multe.
Privacy dei dati: il Regolamento CITRA di protezione dei dati
Il Kuwait non ha una legge generale sulla protezione dei dati, ma il settore telecom e internet è regolato. La CITRA ha emanato il Regolamento di protezione dei dati con la Decisione n. 26 del 2024, pubblicato in Kuwait Al-Youm (n. 1675) il 18 febbraio 2024 e abroga la Decisione n. 42 del 2021; si applica ai fornitori di telecomunicazioni e internet licenziati CITRA. Impone doveri di consenso, trasparenza, sicurezza, avviso di trasferimento e notifica delle violazioni: i licenziatari devono dire agli utenti prima della raccolta come i dati saranno usati e perché, fornire condizioni di servizio, consentire la correzione dei dati o l'annullamento del trattamento, e classificare i dati detenuti; la politica CITRA di classificazione prima usata a tale scopo è stata abrogata dalla Decisione n. 34 del 2024, quindi ora si applicano le migliori prassi.
Per un'impresa che non sia licenziataria CITRA, il Regolamento non si applica direttamente, ma il vuoto non va letto come libertà. La riservatezza contrattuale, l'articolo 51 della Legge n. 37 del 2014, il diritto penale e le regole settoriali vincolano comunque il trattamento dei dati, e le strutture di gruppo spesso attraggono un'entità non licenziata negli obblighi di quella licenziata. Quando esaminiamo un flusso di dati kuwaitiano, verifichiamo prima se qualche soggetto della catena è licenziatario CITRA: ciò decide quali doveri vincolano il progetto.
Servizi cloud e il Quadro Cloud della CITRA
La CITRA regola il cloud attraverso il suo Quadro regolatorio del cloud computing, che riguarda i fornitori di servizi cloud che gestiscono data center in Kuwait e i servizi di piattaforma e software costruiti su di essi. Il quadro distingue le classi di informazioni che un fornitore può trattare e prescrive aspettative di sicurezza, trasparenza e registrazione per i fornitori titolari di licenza. La politica separata di classificazione dei dati accanto alla quale era collocato è stata abrogata dalla Decisione n. 34 del 2024. Un cliente che sposta carichi di lavoro sul cloud in Kuwait dovrebbe confermare se il fornitore sia registrato o titolare di licenza CITRA e dove risiedano i dati.
Le questioni pratiche sono soprattutto contrattuali. L'accordo dovrebbe indicare la sede del data center, le categorie di dati trattabili, i limiti al subappalto e cosa accade ai dati all'uscita. Quando un licenziatario kuwaitiano rivende capacità di un operatore cloud estero, resta responsabile verso la CITRA; il cliente deve sapere quale entità detiene quale obbligo. Le nostre revisioni mappano queste catene prima della migrazione, non dopo l'incidente.
Transazioni elettroniche secondo la Legge n. 20 del 2014
La Legge n. 20 del 2014 sulle transazioni elettroniche dà al contratto tecnologico la sua base giuridica. L'articolo 3 attribuisce a registrazioni, documenti, messaggi, transazioni e firme elettroniche lo stesso effetto degli equivalenti scritti nei rapporti civili, commerciali e amministrativi, e l'articolo 4 protegge la controparte: nessuno è obbligato a operare per via elettronica senza consenso. L'articolo 9 fissa le condizioni di validità di una registrazione elettronica: integrità dei dati dalla creazione, recuperabilità in qualsiasi momento, identificazione dell'autore con data e ora, e conservazione nel formato richiesto.
Per le firme, gli articoli 19 e 20 definiscono la firma elettronica protetta: deve identificare il firmatario, essere collegata esclusivamente a lui, essere creata con uno strumento sotto il suo controllo esclusivo e consentire di rilevare modifiche successive, con un certificato di autenticazione che ne attesti la validità. L'articolo 14 conferma il valore probatorio della registrazione conservata salvo che un'altra legge richieda la prova scritta. Quando esaminiamo condizioni di piattaforma, flussi di onboarding o diffusioni di firme elettroniche, queste disposizioni decidono se il clic, il registro e il certificato resisteranno in una controversia kuwaitiana.
Esposizione alla criminalità informatica secondo la Legge n. 63 del 2015
La Legge n. 63 del 2015 sul contrasto dei reati informatici delinea il rischio. L'articolo 2 punisce l'accesso illecito a un computer, sistema informativo o rete con reclusione fino a sei mesi e multa da cinquecento a duemila dinari, o una delle due; se l'accesso porta a cancellazione, danneggiamento, divulgazione o alterazione dei dati, il tetto sale a due anni e multa da duemila a cinquemila dinari, o una delle due pene. L'articolo 3 punisce l'accesso illecito mirato a dati governativi segreti con reclusione fino a tre anni e multa da tremila a diecimila dinari, o una delle due pene, elevati a dieci anni e multa da cinquemila a ventimila dinari, o una delle due pene, se i dati sono cancellati, danneggiati, distrutti, pubblicati o alterati.
L'articolo 4 riguarda l'ostruzione dell'accesso ai siti web e l'intercettazione delle trasmissioni. Per un operatore la lezione va in entrambe le direzioni: rafforzare i sistemi contro questi reati, ed evitare condotte del personale, come sondare i sistemi di un fornitore o ex partner durante una controversia, che la legge criminalizza senza eccezione per le buone intenzioni. I piani di risposta dovrebbero conservare registri e prove, così che la vittima di un reato degli articoli 2 o 3 possa sostenere una denuncia penale.
Allineare le promesse al cliente con la catena di fornitura
Leggete le condizioni al cliente rispetto ai contratti di rete, cloud, sicurezza e supporto sottostanti. Se il sito promette un servizio continuo mentre un fornitore a monte esclude le interruzioni, qualcuno possiede quel divario, e dovrebbe essere la parte meglio posta per gestirlo. Fissate livelli di servizio, avvisi di manutenzione, diritti di accesso, controlli sui subappaltatori e contatti per gli incidenti in termini operativi, e verificateli rispetto ai doveri regolatori che non possono essere derogati per contratto, come il dovere relativo alla sezione reclami dell'articolo 47 e la tutela della continuità dell'articolo 53.
Simulate un'interruzione del fornitore prima della firma. Chi la rileva, chi ispeziona i registri, chi autorizza la correzione e chi informa il cliente, con quali prove conservate? Un tempo di risposta che il fornitore sottostante non sosterrà è una passività, non un punto di forza commerciale. Quando il titolare di licenza registrato differisce dalla società che si rivolge al cliente, il trasferimento degli obblighi CITRA a valle deve essere esplicito: l'autorità persegue il titolare di licenza, mentre il cliente persegue il marchio.
Pianificare uscita e cambiamento prima che cresca la dipendenza
Specificare l'uscita finché resta la buona volontà: formato di esportazione, supporto al trasferimento, preavviso, prova della cancellazione, e trattamento di domini, numeri, account e frequenze licenziate ove rilevante. Verificare se un fornitore sostitutivo potrebbe subentrare senza perdere registrazioni, e chi possiede file di configurazione e documentazione di migrazione. Secondo l'articolo 39 della Legge n. 37 del 2014, persino un licenziatario cancellato può continuare solo per trasferire gli abbonati: la continuità del servizio viene prima.
Un nuovo modulo di pagamento, partner di rete, regione cloud o funzione di contenuto può cambiare la classificazione giuridica dell'intero servizio. Costruire un innesco di cambio-prodotto che riesegua l'analisi di licenza degli articoli da 16 a 24, il controllo privacy quando è coinvolto un licenziatario, e la revisione dei fornitori, conservando un fascicolo datato che separi la versione approvata dai rilasci proposti. Quel fascicolo è di solito la prima cosa che un'autorità, un tribunale o il team di due diligence di un acquirente chiede.
Cosa esaminiamo prima di un lancio o cambiamento tecnologico in Kuwait
Il nostro fascicolo di prima revisione copre: la mappa del servizio e delle entità lungo il percorso del cliente; l'analisi di licenza secondo gli articoli da 16 a 24 della Legge n. 37 del 2014, inclusi i confini delle reti private degli articoli da 17 a 20; le verifiche su frequenze e apparati degli articoli 27, 30 e da 43 a 45; le condizioni al cliente contro la catena dei fornitori e i doveri di tutela degli articoli da 47 a 53; il flusso dei dati contro il Regolamento quando qualche parte è licenziatario CITRA; lo status del provider cloud secondo il quadro CITRA; la validità della contrattazione elettronica secondo la Legge n. 20 del 2014; le prove su incidenti, evidenza e uscita; e parere kuwaitiano datato su ogni questione aperta.
Si veda anche: la nostra guida alla protezione dei dati in Kuwait e la nostra guida alla proprietà intellettuale in Kuwait, oltre alla nostra pratica di diritto commerciale e societario.
Domande frequenti
Ogni impresa tecnologica in Kuwait necessita di una licenza CITRA?
No. L'articolo 16 della Legge n. 37 del 2014 mira a reti pubbliche di telecomunicazione, servizi internet e telecomunicazioni internazionali o terrestri; un'impresa che scrive solo software o rivende apparati, senza gestire reti né fornire servizi pubblici, in genere resta fuori dall'obbligo, benché importazione e vendita di apparati richiedano conformità alle regole di omologazione degli articoli da 43 a 45. Confermiamo la classificazione rispetto alla prassi CITRA prima del lancio.
Una società può servire affiliate attraverso la propria rete privata?
Solo entro limiti. Gli articoli 17 e 18 richiedono una licenza CITRA per le reti private e consentono alla CITRA di fissarne le condizioni tecniche, e l'articolo 20 vieta di fornire servizi pubblici di telecomunicazione attraverso una rete privata. Quando terzi esterni al gruppo privato ricevono connettività, l'assetto rischia di essere trattato come servizio pubblico non licenziato, con esecuzione ai sensi delle disposizioni sanzionatorie della legge.
Come vengono concesse le licenze telecom kuwaitiane?
Secondo l'articolo 24 della Legge n. 37 del 2014, le licenze per servizi su risorse statali scarse, come frequenze e fibra nazionale, si concedono con decreto emirale tramite gare pubbliche secondo l'articolo 21, mentre le altre licenze di servizio pubblico sono rilasciate con decisione del Consiglio e documentate in un contratto amministrativo che fissa durata, tariffe e proventi. Le licenze sono personali e intrasferibili secondo l'articolo 42, salvo approvazione del Consiglio.
Le firme elettroniche sono valide in Kuwait?
Sì. L'articolo 3 della Legge n. 20 del 2014 attribuisce a registrazioni e firme elettroniche lo stesso effetto di quelle scritte nelle transazioni civili, commerciali e amministrative, purché siano soddisfatte le condizioni di legge, e gli articoli 19 e 20 definiscono la firma elettronica protetta sostenuta da un certificato di autenticazione. Consigliamo una firma protetta e una registrazione completa secondo l'articolo 9.
Quale legge sulla protezione dei dati si applica a un'app o piattaforma kuwaitiana?
Non esiste una legge completa sulla protezione dei dati. Il Regolamento CITRA, emanato con la Decisione n. 26 del 2024 e sostitutivo della Decisione del 2021, vincola i fornitori telecom e internet licenziati con doveri di consenso, trasparenza, sicurezza, avviso di trasferimento e notifica delle violazioni. Le altre imprese sono disciplinate dal contratto, dalla riservatezza dell'articolo 51 della Legge n. 37 del 2014 e dal diritto penale generale, quindi il quadro privacy si costruisce di solito per via contrattuale.
Una controversia con un fornitore può interrompere il mio servizio?
Non lecitamente. L'articolo 53 della Legge n. 37 del 2014 vieta di bloccare o cancellare il servizio ai beneficiari salvo danno materiale alla rete, uso illecito o mancato pagamento dopo diffida scritta, e protegge i beneficiari dalla disconnessione per controversie finanziarie o tecniche tra licenziatari. Se la continuità dipende da un unico fornitore, la tutela legale resta limitata, quindi accordi di riserva restano essenziali.
Quali rischi penali circondano reti e apparati?
Gli articoli da 75 a 79 della Legge n. 37 del 2014 puniscono abuso di frequenze, disturbo, apparati non conformi e dispositivi di intercettazione con reclusione e multe, e gli articoli 2 e 3 della Legge n. 63 del 2015 puniscono l'accesso illecito a sistemi e a dati governativi segreti, fino a dieci anni nei casi aggravati. Le importazioni richiedono conformità CITRA secondo gli articoli da 43 a 45, e il personale non dovrebbe mai accedere a sistemi di terzi senza autorizzazione, nemmeno per indagare una controversia.
Come incaricare lo studio in una questione tecnologica kuwaitiana?
Inviate la descrizione del servizio, le bozze dei contratti e l'elenco dei fornitori tramite la pagina dei contatti, e delimiteremo una prima revisione che copra licenze, privacy, contrattazione e uscita. Una revisione tempestiva costa meno della ristrutturazione dopo che la CITRA o una controparte solleva la questione.