حماية البيانات في الكويت: ما الذي يعنيه فعلا لموقعك وأنظمتك

السؤال الذي يصلني من أصحاب الأعمال في الكويت ليس سؤالا قانونيا عادة، بل سؤال عملي: هل نحن مخالفون؟ والجواب الصادق أن أغلب الشركات لا تعرف، لأن الإجابة لا تعتمد على نص واحد بل على ثلاث لوائح مختلفة، وعلى قرارات تقنية اتخذت قبل سنوات ولم يراجعها أحد منذ ذلك الحين.

هذه المقالة ليست استشارة قانونية، ولست محاميا. هي نظرة تقنية على ما يعنيه إطار حماية البيانات في الكويت لموقعك وأنظمتك فعليا: أين تقع بياناتك، ومن يستطيع الوصول إليها، وماذا يحدث في اليوم الذي يتسرب فيه شيء. هذه ثلاثة قرارات هندسية، وكلها تتخذ قبل أن يصبح الأمر مشكلة.

ما الذي يحكم بياناتك فعلا

يدور أغلب النقاش حول لائحة واحدة، بينما تتأثر القرارات التقنية بثلاث على الأقل. اللائحة التي تحكم الخصوصية تخبرك بما يجوز جمعه ومتى يحذف. ولائحة تصنيف البيانات تخبرك كم هي حساسة كل فئة. وإطار الحوسبة السحابية يحكم من يجوز أن يستضيفها لك. الشركة التي تقرأ الأولى فقط تكتشف الثانية والثالثة متأخرة، وعادة بعد أن يكون قرار الاستضافة قد اتخذ.

إلى جانب ذلك يوجد قانون المعاملات الإلكترونية ولائحته التنفيذية، وقانون مكافحة جرائم تقنية المعلومات، وإطار حوكمة الأمن السيبراني الصادر عن المركز الوطني للأمن السيبراني. لا يحتاج صاحب العمل أن يحفظ هذه الأسماء. يحتاج أن يعرف أن المسؤولية موزعة على أكثر من جهة، وأن الجواب على أي سؤال جدي يأتي من النص العربي الرسمي لا من مقالة إنجليزية عن الشرق الأوسط.

لماذا تتناقض المصادر التي تجدها بالبحث

جرب أن تبحث عن مدة الإشعار الواجبة عند تسرب بيانات في الكويت. ستجد مصادر تقول أربعا وعشرين ساعة، وأخرى تقول اثنتين وسبعين. وستجد مصادر تصف نطاقا واسعا يشمل كل القطاعين العام والخاص، وأخرى تصف نطاقا أضيق يقتصر على المرخص لهم من هيئة تنظيم الاتصالات. الفرق ليس خطأ في القراءة، بل أن هذه المصادر لا تتحدث عن النص نفسه.

السبب أن الإطار تغير. صدرت لائحة حماية خصوصية البيانات أول مرة بقرار عام 2021 ويمكنك قراءة نصها المنشور على موقع هيئة تنظيم الاتصالات. ثم صدر قرار إداري أحدث عام 2024 بإصدار لائحة حماية خصوصية البيانات، وهو المرجع الذي تشير إليه المراجعات القانونية الدولية والمذكرات الإرشادية المحلية اليوم. وكثير من الملخصات المنشورة على الإنترنت، ومنها ملخصات شركات الامتثال، ما زال يصف النسخة الأقدم.

وهذا في حد ذاته درس عملي: لا تبن قرارا تقنيا على ملخص إنجليزي وجدته في البحث. المذكرات الجادة تشير إلى أن النص الأحدث منشور بالعربية فقط، ما يعني أن من يعتمد على الترجمات المتداولة يبني على نسخة قديمة. إن كان القرار كبيرا فاطلب من مستشارك القانوني النص العربي الساري، ثم ترجم أثره إلى متطلبات تقنية.

النطاق: من تشمله اللائحة ومن لا تشمله

نقطة تفاجئ كثيرا من أصحاب الأعمال: الإطار الكويتي ليس نسخة من اللائحة الأوروبية العامة. تشير المراجعات الحديثة إلى أن لائحة الخصوصية موجهة إلى مقدمي الخدمات في قطاع الاتصالات المرخص لهم من الهيئة، وهو نطاق أضيق بكثير من عبارة كل من يعالج بيانات شخصية.

لكن الاستنتاج الخاطئ أن هذا لا يعنيك. أولا لأن التصنيف يتغير حسب ما تفعله فعلا لا حسب ما تسمي نفسك. وثانيا لأن اللوائح الأخرى أوسع نطاقا: قانون جرائم تقنية المعلومات لا يسأل عن ترخيصك، وضوابط تصنيف البيانات والاستضافة تصلك عبر عقودك مع عملائك من الجهات الحكومية والشركات الكبرى. وثالثا لأن عميلك سيسألك على أي حال، وسيكون السؤال في كراسة الشروط لا في مكالمة ودية.

عمليا أرى أن الشركات التي تتعرض للضغط أولا ليست الأكثر مخالفة، بل الأكثر ظهورا: من يبيع لجهة حكومية، ومن يتعامل مع بيانات صحية أو مالية، ومن لديه تطبيق يجمع بيانات من آلاف المستخدمين.

القرار الأول: أين تقع البيانات

هذا هو القرار الذي يكلف أكثر ما يكلف حين يتأخر. تشير المذكرات الإرشادية إلى ضوابط تمنع تخزين الفئات الأعلى حساسية من البيانات الشخصية خارج الكويت، وإلى اشتراط استخدام مزودين مرخصين لهم حضور فعلي داخل البلد بالنسبة للبيانات الحساسة. أما البيانات العادية فالمساحة فيها أوسع، بشرط أن تعرف أين هي فعلا.

وهنا التفصيل الذي يغفل: موقع الخادم الأساسي ليس كل القصة. النسخ الاحتياطية لها موقع، وسجلات النظام لها موقع، وشبكة توصيل المحتوى تحتفظ بنسخ في مواضع أخرى، وأدوات القياس والدعم التي ربطتها بالموقع ترسل بيانات إلى خوادمها هي. رأيت مؤسسات تجيب بثقة إن بياناتها داخل الكويت، ثم يتبين أن نموذج التواصل يمر عبر خدمة خارجية وأن تذاكر الدعم تعيش على منصة في قارة أخرى.

الاختبار الذي أستخدمه بسيط: اطلب من فريقك قائمة بكل جهة خارجية تصلها بيانات من نظامك، وأمام كل واحدة الدولة التي تعالج فيها. المؤسسة التي تستطيع إخراج هذه القائمة خلال يوم واحد في وضع جيد. أما التي تحتاج أسبوعين، فالمشكلة ليست الامتثال بل أنها لا تعرف بنيتها التقنية، وهو ما أعالجه عادة ضمن مشروع تحول رقمي لا ضمن مشروع امتثال.

تصنيف البيانات: الخطوة التي يتخطاها الجميع

لا يمكن تطبيق أي ضابط قبل أن تعرف ما لديك. ومع ذلك تبدأ أغلب المؤسسات من الأدوات: جدار حماية، وشهادة تشفير، وسياسة خصوصية منسوخة من موقع آخر. بينما الخطوة الأولى الحقيقية جرد وتصنيف: ما البيانات التي نحتفظ بها، ولماذا، وكم مدة الاحتفاظ، وأي فئة حساسية تقع فيها.

الجرد يكشف عادة ثلاثة أشياء غير سارة. الأول أن المؤسسة تحتفظ ببيانات لا تحتاجها ولا تستطيع تبرير الاحتفاظ بها. والثاني أن النسخة الحقيقية من بيانات العملاء ليست في النظام الرسمي بل في ملف جداول على جهاز موظف. والثالث أن لا أحد يعرف من يملك صلاحية الوصول إلى قاعدة البيانات، لأن الصلاحيات منحت على مدى سنوات ولم تسحب من أحد.

حذف ما لا تحتاجه هو أرخص إجراء امتثال موجود. البيانات التي لا تحتفظ بها لا يمكن أن تتسرب، ولا تحتاج إلى تصنيف، ولا ترفع تكلفة أي مراجعة لاحقة.

الإشعار السريع قرار هندسي لا قرار قانوني

تشير المراجعات الحديثة إلى التزام بإبلاغ الجهة المنظمة والمتأثرين خلال أربع وعشرين ساعة من اكتشاف الاختراق، مع مهلة أطول تصل إلى اثنتين وسبعين ساعة على مزودي الخدمات السحابية تجاه مشتركيهم. اضبط تصميمك على المدة الأقصر ما دامت المصادر تتفاوت.

والمهم أن هذا الالتزام لا يمكن الوفاء به بسياسة مكتوبة. أربع وعشرون ساعة تعني أنك تحتاج إلى أن تكتشف الاختراق أصلا خلال ساعات، وأن تعرف أي البيانات تأثرت بالضبط، وأن تعرف من هم أصحابها لتخطرهم. كل واحدة من هذه الثلاث قرار في بناء النظام: هل لديك سجلات كافية؟ وهل تنبهك؟ وهل تستطيع الإجابة عن سؤال أي السجلات مست دون أن تفتش يدويا في قاعدة البيانات؟

المؤسسة التي لا تسجل الوصول إلى البيانات لا تستطيع أن تعرف ما تسرب، فتضطر إما إلى الإخطار عن الجميع أو إلى الصمت. وكلاهما نتيجة سيئة اتخذت في الحقيقة قبل سنوات، يوم بني النظام بلا سجل وصول.

ماذا يعني هذا لموقعك تحديدا

أغلب المواقع في السوق المحلي تجمع بيانات شخصية دون أن ينتبه أصحابها إلى حجم ما تجمعه. نموذج التواصل يجمع اسما وبريدا ورقم هاتف. وأدوات القياس تجمع سلوك التصفح وعنوان الشبكة. وأدوات الدردشة والإعلانات المضمنة في الصفحة تجمع أكثر من ذلك وترسله إلى خوادم لا تملكها.

• احذف الحقول التي لا تستخدمها فعلا في النموذج — كل حقل زائد التزام إضافي بلا مقابل
• راجع كل نص برمجي خارجي في الصفحة واسأل: ما الذي يرسله، وإلى أين
• اجعل سياسة الخصوصية تصف ما يحدث فعلا لا ما ينبغي أن يحدث
• حدد مدة احتفاظ للرسائل الواردة، ونفذها فعلا بدل أن تبقى في البريد إلى الأبد
• افصل صلاحيات لوحة التحكم: من يحرر المحتوى لا يحتاج الوصول إلى بيانات المتقدمين

هذه كلها قرارات في بناء الموقع وتشغيله، وهي جزء أصيل من بناء موقع يستحق ما دفع فيه لا إضافة تأتي بعد الإطلاق.

وأين يقع الذكاء الاصطناعي من هذا

هنا يقع أكثر خطأ حديث أراه. تربط مؤسسة نموذجا لغويا خارجيا بمستنداتها الداخلية أو بمحادثات عملائها دون أن تسأل أين تعالج هذه النصوص ومن يحتفظ بها وكم مدة الاحتفاظ. النموذج لا يفرق بين مستند عام ومستند يحمل بيانات شخصية، والمسؤولية تبقى عليك لا على المزود.

القاعدة التي أطبقها في كل مشروع ذكاء اصطناعي بسيطة: يحدد النطاق قبل الربط. ما الفئات التي يجوز للنموذج رؤيتها، وما الذي يمنع عليه، وأين تعالج، وهل تستخدم مدخلاتك في تدريب النموذج أم لا — وهذا بند يقرأ في العقد لا يفترض. والأمر نفسه ينطبق على أتمتة معالجة المستندات، حيث تمر عقود وفواتير كاملة عبر خدمة خارجية دون أن ينتبه أحد.

ست خطوات بالترتيب الصحيح

1. اجرد ما لديك: ما البيانات، وأين تقع، ومن يصل إليها
2. احذف ما لا تحتاجه، وحدد مدة احتفاظ لما تبقى
3. صنف ما بقي حسب الحساسية، وابن قرار الاستضافة على التصنيف لا العكس
4. اجرد الجهات الخارجية: كل خدمة تصلها بياناتك، وفي أي دولة تعالج
5. فعل سجلات الوصول والتنبيهات، حتى تصبح الإجابة عن سؤال ما الذي تسرب ممكنة أصلا
6. اكتب خطة استجابة قصيرة: من يقرر، ومن يخطر، وفي أي مهلة — واختبرها مرة

لاحظ أن الأدوات لا تظهر إلا متأخرة في هذه القائمة. أغلب ما يباع بوصفه حلا للامتثال يعالج الخطوة الخامسة، بينما تعطلت المؤسسة في الأولى. وحين يحتاج هذا الترتيب من يحرسه داخل المؤسسة ويقاوم القفز إلى الأدوات، فذلك دور مدير تقني تنفيذي بدوام جزئي أكثر منه دور مورد أدوات.

أسئلة شائعة

هل يجب أن تبقى بيانات شركتنا داخل الكويت؟

يعتمد على فئة البيانات. تشير المذكرات الإرشادية إلى ضوابط تمنع خروج الفئات الأعلى حساسية، بينما تبقى المساحة أوسع في البيانات العادية. والخطوة الصحيحة أن تصنف أولا ثم تقرر الاستضافة، لا أن تختار المزود ثم تبحث عن مبرر. وأي التزام تعاقدي مع عميل حكومي قد يفرض عليك ما هو أشد من الحد النظامي.

نحن شركة صغيرة، هل يشملنا هذا فعلا؟

الحجم ليس المعيار الأول، بل نوع البيانات ومن تتعامل معه. الشركة الصغيرة التي تعالج بيانات صحية أو مالية أو تبيع لجهة حكومية تواجه متطلبات أشد من شركة أكبر منها تبيع منتجا عاديا. وعلى أي حال فإن أول خطوتين — الجرد والحذف — مفيدتان لأي شركة ولا تكلفان شيئا يذكر.

هل تكفي سياسة خصوصية منشورة على الموقع؟

لا. السياسة وصف لما يحدث، وليست بديلا عنه. والسياسة التي تصف ممارسات لا تطبقها أسوأ من عدم وجودها، لأنها تثبت أنك تعرف ما كان ينبغي فعله. ابدأ بالواقع: ما الذي تجمعه فعلا وأين يذهب، ثم اكتب السياسة على أساسه.

من أين نعرف النص الساري بالضبط؟

من الجهة المنظمة ومن مستشار قانوني كويتي، لا من ملخص إنجليزي على الإنترنت. الإطار تغير خلال السنوات الأخيرة وكثير من الملخصات المتداولة ما زال يصف النسخة الأقدم، والنص الأحدث منشور بالعربية. دوري أن أترجم ما يقوله المستشار القانوني إلى متطلبات في النظام، لا أن أحل محله.

كم يستغرق ترتيب هذا الوضع؟

الجرد والحذف وتحديد مدد الاحتفاظ عمل أسابيع في شركة متوسطة، وأغلبه تنظيمي لا تقني. أما ما يطول فهو تغيير موقع الاستضافة أو إعادة بناء نظام لا يملك سجلات وصول. ولهذا يستحق اتخاذ هذين القرارين مبكرا: كلاهما رخيص في البداية ومكلف بعد ثلاث سنوات.