В Кувейте нет единого закона о защите данных, который охватывал бы все компании. Персональные данные защищает многоуровневая система: Закон № 20 от 2014 года об электронных транзакциях и его исполнительный регламент (решение № 48 от 2014 года) образуют общую основу, Регламент защиты конфиденциальности данных, принятый Регулятором в сфере связи и информационных технологий (CITRA) решением № 26 от 2024 года, обязывает телекоммуникационных и интернет-операторов, имеющих лицензию, а Закон № 63 от 2015 года о киберпреступлениях добавляет уголовно-правовую защиту. В статье объясняется, кто обязан соблюдать эти нормы, как работают согласие и прозрачность, какие права есть у людей, в какой срок нужно сообщить об утечке, когда данные можно вывозить из Кувейта и какие предусмотрены санкции.
Многоуровневая система вместо одного закона
Закон № 20 от 2014 года об электронных транзакциях применяется к персональным данным, которые хранятся в электронных реестрах и системах обработки государственных органов, компаний, негосударственных организаций и их сотрудников. CITRA, созданный Законом № 37 от 2014 года в редакции Закона № 98 от 2015 года, издаёт обязательные для своих лицензиатов регламенты в сфере связи и интернета. Закон № 63 от 2015 года о киберпреступлениях карает за несанкционированный доступ к данным и информационным системам, а также за их изменение, раскрытие и уничтожение, причём наказание строже, если данные персональные или государственные.
Отраслевые законы добавляют собственные обязанности. Закон № 70 от 2020 года о медицинской деятельности требует от медицинских организаций надёжно хранить истории болезни и, как правило, получать письменное согласие пациента перед раскрытием сведений, а статья 80 Закона № 6 от 2010 года о труде в частном секторе обязывает работодателя вести личное дело на каждого работника. Система национальная и не построена по образцу GDPR, поэтому обязанности складываются. Компания может отвечать за требования о согласии и точности данных по закону об электронных транзакциях и, если она лицензиат CITRA, за более строгие требования регламента CITRA. Определить, какой акт регулирует какую деятельность, значит сделать первый шаг любой проверки.
Кого сегодня охватывает регламент CITRA
Решением CITRA № 26 от 2024 года, датированным 7 февраля 2024 года, был принят действующий Регламент защиты конфиденциальности данных и отменён прежний регламент, изданный решением № 42 от 2021 года, вместе с его поправками. Согласно статье 1, регламент распространяется на поставщиков услуг, имеющих лицензию CITRA, которые собирают, обрабатывают или хранят персональные данные, независимо от того, происходит обработка в Кувейте или за его пределами. Определение охватывает лицензированных телекоммуникационных и интернет-операторов и включает лицензированных поставщиков информации или контента, предоставляемого через сети связи. Регламент не затрагивает практики, связанные с расследованиями в сфере безопасности, судебными решениями и финансовыми требованиями из договора подписки.
Одного лишь обслуживания пользователей в Кувейте недостаточно, чтобы подпасть под регламент: статья 1 привязывает его применение к наличию лицензии CITRA. Кроме того, в феврале 2024 года CITRA отменил свою политику классификации данных решением № 34 от 2024 года, поэтому прежние правила хранения по уровням больше не действуют. Мы обычно советуем заранее выяснить, есть ли у клиента лицензия CITRA, потому что самые строгие обязанности ложатся именно на лицензиатов.
Согласие и законный сбор данных
Статья 4 закона об электронных транзакциях требует согласия лица до совершения действий электронным способом; согласие можно вывести из поведения, которое ясно показывает одобрение. Статья 32 конкретнее: когда организация собирает персональные данные из электронных реестров, включая сведения о профессиональных делах, социальном положении, здоровье или финансовом состоянии человека, она обязана получить согласие и указать цель сбора. По статьям 32 и 35 любой последующий доступ, раскрытие, передача или обработка тоже должны опираться на согласие, осуществляться законными средствами и оставаться в рамках заявленной цели.
Для лицензиатов CITRA статьи 2 и 3 регламента требуют согласия заявителя и его осознанного принятия условий об обработке данных до оказания услуги. Статья 3 перечисляет случаи, когда сбор и обработка допустимы, включая согласие, исполнение закона и защиту субъекта данных, и требует письменного согласия опекуна, если лицу нет восемнадцати лет. В любом случае лицензиат должен уметь доказать наличие согласия. Когда мы проверяем процессы получения согласия, мы ищем заранее отмеченные флажки, объединённые цели и отсутствие записей.
Прозрачность и политика конфиденциальности
Требования к прозрачности в Кувейте конкретны. Статья 2 регламента обязывает лицензиата до оказания услуги ясно изложить на арабском и английском языках свои условия и сведения об услуге, в том числе как потребовать изменения или удаления данных. Статья 4 добавляет чёткую информацию о практике лицензиата, цели и основании обработки, сроке хранения, если он есть, личности, местонахождении и контактах поставщика и о том, хранятся ли данные в Кувейте или за его пределами.
Лицензиат обязан также вести письменную политику конфиденциальности, охватывающую сбор, использование и раскрытие данных, и делать её доступной пользователям. Нормативная база CITRA по облачным вычислениям добавляет параллельные обязанности для лицензированных облачных провайдеров: описывать собираемую информацию, называть сторонних поставщиков, действующих от имени провайдера, и немедленно уведомлять пользователей, если их данные переходят к новым владельцам при слиянии, ликвидации или роспуске. Двуязычная политика, соответствующая реальной деятельности, является регуляторным документом, а скопированный шаблон, описывающий другой продукт, является риском.
Права физических лиц
Статья 33 закона об электронных транзакциях позволяет человеку, чьи данные хранит подпадающая под закон организация, требовать доступа к этим данным и выписки о них. Статья 36 даёт право изменять или удалять данные и обновлять их при изменении обстоятельств. По статьям 25 и 26 исполнительного регламента такие запросы вправе подавать только сам субъект данных или его законный представитель, а если удаление допускается ради исправления, прежние сведения нужно сохранить без какого-либо использования или обработки.
Регламент защиты конфиденциальности данных добавляет права для пользователей лицензиатов. Статья 4 требует механизмов для доступа к данным, их исправления или удаления, ограничения доступа или обработки, возражения против обработки и запроса на переносимость, а также простого способа отозвать согласие. Данные подлежат удалению, когда согласие отозвано, когда они больше не нужны для запрошенной услуги или когда подписка закончилась, хотя регламент допускает хранение и использование данных ради безопасности, судебных решений и финансовых требований из подписки. Работающий на практике порядок обработки запросов является обязанностью по соблюдению требований.
Меры безопасности и реестры обработки
Статья 35 закона об электронных транзакциях обязывает организации проверять и обновлять точность хранимых персональных данных и принимать надлежащие меры защиты. Статья 2 его исполнительного регламента добавляет, что электронные записи, включая персональные данные, хранятся в исходном виде и в течение сроков, согласованных сторонами. Статья 5 регламента защиты конфиденциальности данных подробнее для лицензиатов: меры, соразмерные деятельности и чувствительности данных, шифрование, гарантии конфиденциальности и доступности систем и регулярная проверка технических и организационных мер.
По статье 5 лицензиаты обязаны вести реестры операций обработки и предоставлять их CITRA по запросу. В реестрах указываются лицензиат и его контакты, цели обработки, категории субъектов и данных, любая передача за пределы Кувейта с названием страны назначения и общее описание мер безопасности. Мы составляем такие реестры на основе карты данных, а не по шаблону, чтобы каждая цель и каждый получатель были прослеживаемы.
Уведомление об утечке: 24 часа и 72 часа
Согласно статье 6 регламента, лицензиат обязан уведомить CITRA по официальным каналам в течение двадцати четырёх часов с момента, когда ему стало известно о нарушении безопасности персональных данных. В уведомлении нужно описать характер нарушения и масштаб утечки, категории затронутых пользователей, затронутые уровни безопасности, способ связи с ответственным за защиту данных, вероятные последствия и принятые или предлагаемые меры. Статья 6 предусматривает и уведомление затронутых субъектов данных без числового срока и освобождает от него, если к данным уже были применены надлежащие технические и организационные меры защиты.
Статья 4 содержит отдельное правило. Если персональные данные, которые хранит лицензиат, неправомерно раскрыты и раскрытие или доступ причиняет вред большому числу пользователей, он обязан уведомить CITRA, пользователей и правоохранительные органы как можно скорее и не позднее семидесяти двух часов. Это два разных положения, и второе не говорит, с какого момента идут семьдесят два часа. Поэтому мы строим план по более короткому сроку: проверенный канал связи с CITRA в течение суток с момента, когда стало известно об инциденте, и фиксация времени обнаружения с первого часа.
Передача данных за пределы Кувейта
Общего требования о локализации данных в Кувейте нет. Отмена политики классификации данных сняла прежние ограничения хранения по уровням, а частным организациям, на которые распространяется только закон об электронных транзакциях, как правило, не нужно разрешение регулятора для отправки персональных данных за границу, если только речь не идёт о государственной информации. Их трансграничная работа по-прежнему подчиняется требованиям согласия, целевого использования и безопасности по статьям 32 и 35, а статья 37 карает за раскрытие или использование данных за пределами заявленной цели где бы то ни было.
На лицензиатов возложены обязанности по прозрачности. По статье 4 регламента лицензиат должен сообщать пользователям, хранятся ли данные в Кувейте или за его пределами, и уведомлять субъекта данных до передачи его данных за границу. Статья 5 требует указывать страну назначения в реестрах обработки, а статья 4 требует уведомлять CITRA, когда данные пользователей передаются аффилированной или материнской компании либо третьему лицу; ответственность при этом остаётся за лицензиатом. Практика показывает, что лицензиатам, возможно, придётся обращаться в CITRA по международным передачам, хотя ни один регламент не устанавливает механизм одобрения, поэтому мы обсуждаем планы передачи с регулятором, а не считаем их свободными.
Прямой маркетинг и согласие
Использование персональных данных в маркетинге основано на согласии. Статья 4 регламента требует предварительного согласия субъекта данных, прежде чем лицензиат передаст персональные данные третьему лицу для маркетинга, не связанного напрямую с услугой, которую запросил пользователь. По статье 12 регламентов CITRA лицензиаты обязаны вести базу пользователей, отказавшихся от нежелательных сообщений, а коммерческие сообщения можно отправлять только с 7:00 до 22:00 по времени Кувейта.
Документы CITRA о защите прав пользователей добавляют правила поведения. По статье 14 реклама лицензиата не должна использовать слабость, инвалидность, возраст или недостаток знаний потребителей и не должна прибегать к обману. Для компаний вне круга лицензиатов маркетинговые списки остаются персональными данными по закону об электронных транзакциях, поэтому их сбор без согласия или использование не для заявленной цели подпадает под статью 37.
Уголовная ответственность за незаконную обработку
Статья 37 закона об электронных транзакциях устанавливает два состава. Первый: несанкционированный доступ к персональным данным, записанным в электронных реестрах или системах обработки и относящимся к профессиональным делам, социальному положению, здоровью или финансовому состоянию человека, либо их раскрытие или публикация без согласия субъекта данных или его законного представителя. Второй: сбор, запись или обработка таких данных незаконными средствами или без согласия, либо использование их не для той цели, ради которой они были собраны. За оба предусмотрены лишение свободы до трёх лет и штраф от 5 000 до 20 000 KWD либо одно из этих наказаний, с возможной конфискацией использованных средств.
Закон № 63 от 2015 года о киберпреступлениях добавляет составы на уровне систем. По статье 2 несанкционированный доступ к компьютеру, системе обработки данных или информационной сети наказывается лишением свободы до шести месяцев и штрафом от 500 до 2 000 KWD либо одним из этих наказаний. Если доступ удаляет, изменяет, повреждает или раскрывает данные, наказание возрастает до двух лет и штрафа от 2 000 до 5 000 KWD либо одного из этих наказаний, а если данные персональные - до трёх лет и штрафа от 3 000 до 10 000 KWD либо одного из этих наказаний. Статья 3 наказывает несанкционированный доступ к секретным государственным данным лишением свободы до трёх лет и штрафом от 3 000 до 10 000 KWD либо одним из этих наказаний, а если данные удалены, уничтожены, опубликованы или изменены - до десяти лет и штрафа от 5 000 до 20 000 KWD либо одного из этих наказаний. То же правило применяется к данным о счетах клиентов банков.
Правоприменение и приоритеты соблюдения
CITRA обеспечивает исполнение отраслевых правил на основании Закона № 37 от 2014 года. По статье 49 он может рассмотреть жалобу на лицензиата и потребовать устранить нарушение в течение девяноста дней. По административному пути статьи 64 доказанное нарушение закона или решений CITRA может повлечь предупреждение, приостановление или аннулирование лицензии и штраф до 1 000 000 KWD за каждое нарушение, удваиваемый при повторении. Сам регламент штрафов не устанавливает и по статье 7 отсылает к Закону № 37 от 2014 года. Статья 7 дала поставщикам год с момента публикации в феврале 2024 года на приведение деятельности в соответствие, и этот срок истёк.
Публичных сведений о штрафах мало, поскольку регуляторы, как правило, не публикуют итоги дел, поэтому разумный подход профилактический: документированная цепочка согласий и целей, двуязычная политика конфиденциальности, соответствующая реальным системам, отработанный канал уведомления CITRA в течение двадцати четырёх часов, прозрачные передачи данных и актуальные реестры обработки. Организации, не являющиеся лицензиатами, остаются связанными Законом об электронных транзакциях и уголовными положениями, а внутренняя проверка до получения жалобы обходится гораздо дешевле, чем после неё.
Что мы проверяем в деле о защите данных и конфиденциальности в Кувейте
Когда мы проверяем дело о защите данных в Кувейте, мы сначала определяем статус организации: лицензиат CITRA, подпадающий под решение № 26 от 2024 года, или организация, на которую распространяется только закон об электронных транзакциях. Мы сверяем формулировки согласия со статьями 32 и 35, сравниваем политику конфиденциальности с языковыми требованиями статьи 2, проверяем реестры обработки, которых требует статья 5, и отрабатываем суточный канал по статье 6. Мы также картируем передачи за границу, проверяем маркетинговые потоки на соблюдение правил отказа и времени отправки и оцениваем уголовные риски по статье 37 и закону о киберпреступлениях.
См. также: наше руководство по телекоммуникациям и ИТ в Кувейте и наше руководство по комплаенсу в Кувейте, а также наша корпоративная и коммерческая практика.
Часто задаваемые вопросы
Есть ли в Кувейте единый закон о защите данных?
Нет. Персональные данные регулируют Закон № 20 от 2014 года об электронных транзакциях как общая основа, регламент CITRA (решение № 26 от 2024 года) для лицензированных телекоммуникационных и интернет-операторов и Закон № 63 от 2015 года о киберпреступлениях, а также отраслевые законы, например Закон № 70 от 2020 года о медицинской деятельности.
Кто обязан соблюдать регламент CITRA о защите конфиденциальности данных?
Согласно статье 1 регламента, принятого решением № 26 от 2024 года, он применяется к поставщикам услуг с лицензией CITRA, которые собирают, обрабатывают или хранят персональные данные, включая лицензированных телекоммуникационных и интернет-операторов, независимо от места обработки.
Всегда ли нужно согласие для сбора персональных данных в Кувейте?
Для данных в электронных реестрах статья 32 закона об электронных транзакциях требует согласия и указания цели, а статья 4 допускает вывод согласия из ясного поведения. Лицензиаты CITRA, кроме того, обязаны в любом случае уметь доказать согласие по статье 3 регламента.
В какой срок нужно сообщить об утечке данных?
Лицензиат CITRA обязан уведомить CITRA в течение двадцати четырёх часов с момента, когда узнал о нарушении, по статье 6 регламента. По статье 4 раскрытие, причиняющее вред большому числу пользователей, нужно довести до CITRA, пользователей и правоохранительных органов не позднее семидесяти двух часов.
Можно ли передавать персональные данные за пределы Кувейта?
Да, общего требования о локализации нет. Лицензиат должен сообщить пользователям место хранения, уведомить субъекта данных до передачи за границу и зафиксировать страну назначения, а любая организация остаётся связанной пределами согласия и цели по статьям 32 и 35 закона об электронных транзакциях.
Регулируются ли маркетинговые сообщения?
Да. Лицензиату нужно предварительное согласие субъекта данных, чтобы передать данные третьему лицу для маркетинга, не связанного с услугой, по статье 4 регламента; он обязан вести базу отказов и вправе отправлять коммерческие сообщения только с 7:00 до 22:00 по времени Кувейта.
Какие наказания предусмотрены за незаконную обработку персональных данных?
Статья 37 закона об электронных транзакциях предусматривает лишение свободы до трёх лет и штраф от 5 000 до 20 000 KWD либо одно из этих наказаний, а закон о киберпреступлениях доходит до десяти лет за отягчённые деяния против государственных систем и банковских данных. CITRA может также оштрафовать лицензиата на сумму до 1 000 000 KWD за нарушение по статье 64 Закона № 37 от 2014 года.
Консультируете ли вы по вопросам соблюдения требований о защите данных в Кувейте?
Да. Мы определяем применимый режим, готовим документы о согласии и конфиденциальности, выстраиваем процедуры реагирования на утечки и реестры обработки и ведём взаимодействие с CITRA. Свяжитесь с нами через страницу контактов, чтобы обсудить вашу ситуацию.