أصدر رئيس مجلس إدارة الهيئة العامة للاتصالات وتقنية المعلومات عمر سعود العمر قرارا بشأن تعديل لائحة خصوصية البيانات.
وتضمن القرار ما يلي:
٭ مادة أولى: اعتماد تعديل اللائحة التنظيمية لحماية خصوصية البيانات المرفقة لهذا القرار.
٭ مادة ثانية: على جهات الاختصاص – كل فيما يخصه – تنفيذ هذا القرار.
٭ مادة ثالثة: يلغى جميع ما يتعارض مع أحكام هذا القرار.
٭ مادة رابعة: ينشر هذا القرار في الجريدة الرسمية والموقع الإلكتروني للهيئة وتسري أحكامه من تاريخ نشره.
وفيما يلي نص اللائحة: (الإصدار: 2.0).
تمهيد: يتزايد الطلب على خدمات الاتصالات وتقنية المعلومات من قبل القطاعين العام والخاص والتي يوفرها مقدمون لهذه الخدمات في الكويت وباستخدام تقنيات متطورة كحلول الحوسبة السحابية (Cloud Computing) وإنترنت الأشياء وغيرها، ولما تقدمه هذه الخدمات من مميزات والتي تعتمد على موارد البنية التشغيلية والبرمجيات وغيرها من عناصر تقنية المعلومات التي يوفرها ويشغلها مقدمو خدمات الاتصالات وتقنية المعلومات وتشمل عمليات تخزين، أو نقل، أو معالجة لبيانات ومحتويات المستخدم، فإن الهيئة العامة للاتصالات وتقنية المعلومات تعي ضرورة أن يلتزم مقدمو خدمات الاتصالات وتقنية المعلومات بحماية البيانات والحقوق والحريات الأساسية للنقل المتعلقة بخصوصية البيانات الشخصية المجمعة، مما يستدعي أن تصدر الهيئة مجموعة من الأدوات التنظيمية والشروط والأسس والتوجيهات تتعلق بممارسة مقدمي هذا النشاط وكل ما يرتبط به من أحكام ومزايا، والتزامات لدعم هذا التوجه.
كما أن الهيئة العامة للاتصالات وتقنية المعلومات تطمح لتطوير صناعة متينة تعتمد على توفير أفضل خدمات الاتصالات وتقنية المعلومات، وتقديمها للجهات الحكومية وقطاع الأعمال والأفراد داخل الكويت، مما يعزز من عمل الأنشطة الحكومية والتجارية والصناعية، ويساهم في استقطاب المستثمرين المهتمين بهذا المجال وتعزيز أسس تنافسية تحقيقا لرؤية الكويت في تحويلها إلى مركز مالي وتجاري (كويت جديدة 2035).
التعريفات:
يكون للكلمات والعبارات التالية حيثما وردت في هذا الدليل المعاني المخصصة لها أدناه وكما تعتمد التعاريف الواردة في قانون الهيئة العامة للاتصالات وتقنية المعلومات ولائحته التنفيذية:
٭ الهيئة: الهيئة العامة للاتصالات وتقنية المعلومات بموجب قانون 37 لسنة 2014 وتعديلاته ولائحته التنفيذية.
٭ مقدم الخدمة المرخص له: الشخص الذي يرخص له بتقديم خدمة أو أكثر من خدمات الاتصالات للجمهور، أو يرخص له بإدارة، أو إنشاء، أو تشغيل شبكة اتصالات، أو خدمة الإنترنت لتوفير خدمات الاتصالات للجمهور، يشمل مقدمي المعلومات أو المحتوى الذي يقدم بواسطة شبكة الاتصالات.
٭ الشخص الاعتباري: هو كيان ذاتي مستقل لتحقيق غرض معين ويتمتع بالشخصية القانونية في حدود هذا الغرض، وينطبق على الشركات أو الكيانات المؤسسية الخاصة أو العامة التي تملكها الدولة أو المنظمات التي لديها موطن في الكويت.
٭ البيانات الشخصية: هي البيانات ذات الصلة بشخص طبيعي أو شخص اعتباري محدد الهوية أو يمكن تحديده من خلال هذه البيانات بطريقة مباشرة كتحديد الاسم والهوية، أو المعلومات المالية، أو الصحية أو العرقية أو الدينية أو أي بيانات تسمح بتحديد الموقع الجغرافي للشخص أو البصمة الشخصية أو البصمة الوراثية، أو من خلال الجمع بين البيانات المتوافرة وأي بيانات أخرى، أو أي ملف صوتي بما في ذلك صوت الشخص، وأي معرف آخر يسمح بالاتصال عبر الإنترنت بالشخص.
٭ المستفيد المستخدم: الشخص الذي يستفيد من خدمة الاتصالات العامة أو التي يقصد استخدامها في أغراض خاصة باستخدام عمليات الاتصال.
٭ جمع ومعالجة البيانات: أي عملية أو مجموعة من العمليات يتم اتخاذها على البيانات الشخصية وسواء كانت داخل الكويت أو خارجها باستخدام الوسائل الآلية أو وسائل أخرى مثل جمع وتسجيل وتنظيم وتحليل وتخزين أو تعديل أو استرجاع أو استخدام أو إفصاح من خلال الإرسال والنشر أو جعلها متاحة أو دمجها أو تقييدها أو حذفها وإتلافها.
٭ التشفير: هي عملية تحويل البيانات من نص مقروء إلى نص غير مقروء لأحد باستثناء من يملك معرفة خاصة أو مفتاحا خاصا لإعادة تحويل النص المشفر إلى نص مقروء، وتطبق عملية التشفير سواء أثناء تخزين البيانات أو عند نقلها على شبكات الاتصالات.
٭ الطرف الثالث: هو أي شخص طبيعي أو اعتباري يقوم بجمع أو معالجة البيانات الشخصية بالنيابة عن مقدم الخدمة وبتوجيه منه وذلك من خلال مراكز بيانات يمتلكونها أو يستخدمونها بشكل مباشر أو غير مباشر.
نطاق اللائحة:
– المادة (1) تطبق هذه اللائحة على جميع مقدمي الخدمة المرخص لهم من قبل الهيئة والذين يعملون على جمع ومعالجة وتخزين البيانات الشخصية ومحتوى بيانات المستخدم كليا أو جزئيا، سواء بشكل دائم أو مؤقت بالوسائل الآلية أو بأي وسائل أخرى والتي تشكل جزءا من نظام حفظ البيانات، سواء تمت المعالجة داخل الكويت أو خارجها.
شروط جمع ومعالجة البيانات الشخصية:
– المادة (2): يجب على مقدم الخدمة وقبل توفير الخدمة للمستخدم أن يقوم بالتالي:
1 – توفير كافة معلومات وشروط الخدمة وطلب تغيير أو إلغاء البيانات، موضحة وبعبارات سهلة، وأن تتوافر باللغتين الإنجليزية والعربية.
2 – الحصول على موافقة طالب الخدمة على جمع أو معالجة البيانات الشخصية وعلمه وقبوله بجميع الشروط والالتزامات وأحكام جمع ومعالجة البيانات.
3 – توضيح الغرض من جمع بيانات المستخدم الشخصية واللازمة لتقديم الخدمة وكيفية استخدام هذه البيانات.
– المادة (3): لا تكون جمع ومعالجة البيانات مشروعة وقانونية إلا في حال توافر إحدى الحالات التالية:
1 – الحصول على موافقة المستخدم صاحب البيانات.
2 – أن تكون ضرورية للامتثال لالتزام قانوني يخضع له مقدم الخدمة.
3 – أن تكون ضرورية لحماية بيانات المستخدم.
4 – إذا كانت الأغراض التي يقوم بها مقدم الخدمة تتطلب تحديد هوية صاحب البيانات.
5 – الحصول على موافقة خطية من قبل ولي أمر القاصر إذا كان عمره أقل من 18 سنة.
وفي جميع الأحوال يجب أن يكون لمقدم الخدمة القدرة على إثبات موافقة صاحب البيانات على معالجة البيانات.
– المادة (4): يجب على مقدم الخدمة أثناء توفير الخدمة أو بعد انتهائها أن يقوم بجمع ومعالجة البيانات وفقا للشروط التالية:
1 – تقديم معلومات واضحة يسهل الوصول إليها حول ممارساتهم وسياساتهم فيما يتعلق بالبيانات الشخصية لضمان اجراء عمليات الجمع والمعالجة وبشفافية.
2 – تحديد الغرض من جمع البيانات والأساس القانوني لمعالجة البيانات وفترة الاحتفاظ بها – ان وجدت.
3 – تحديد هوية ومكان مقدم الخدمة، بما في ذلك معلومات عن كيفية الاتصال بهم بشأن ممارساتهم ومعالجة البيانات الشخصية.
4 – معالجة البيانات بطريقة تضمن حماية البيانات الشخصية من المعالجة غير المصرح بها أو المعالجة غير القانونية وضد الخسارة العارضة والتلف أو الإضرار بها وذلك باستخدام التدابير الفنية والتنظيمية المناسبة (السلامة والسرية).
5 – يجب على مقدم الخدمة إخطار الهيئة في حال كشف بيانات المستخدمين الشخصية لأي شركة زميلة أو مالكة لمقدم الخدمة أو طرف ثالث بشكل مباشر أو غير مباشر، على أن يكون مقدم الخدمة هو المسؤول عن حماية خصوصية البيانات المشارك فيها.
6 – استخدام الوسائل التكنولوجية المناسبة التي تمكن المستخدمين من ممارسة حقهم في الوصول إلى البيانات الشخصية ومراجعتها وتصحيحها بشكل مباشر، ويتعين على مقدم الخدمة منح الطرف الثالث (إن وجد) كافة الصلاحيات الضرورية والتنظيمية لاستخدام أي برامج، أو أي أعمال ملكية فكرية أخرى يحميها النظام.
7 – تقديم معلومات عن مكان تخزين البيانات الشخصية في حال كانت داخل أو خارج الكويت.
8 – تحديد آلية الحصول على أو تصحيح أو حذف البيانات الشخصية أو تقييد الوصول إليها أو معالجتها، أو الاعتراض على معالجتها أو طلب نقل البيانات الشخصية.
9 – إخطار صاحب البيانات في حال كان مقدم الخدمة يعتزم نقل بياناته الشخصية إلى خارج الكويت.
10 – إزالة البيانات الشخصية التي بحوزته حال انتهاء العلاقة التعاقدية مع صاحب البيانات.
11 – الحصول على موافقة صاحب البيانات قبل الكشف عن بياناته الشخصية لأي طرف ثالث لأغراض تسويقية لا تتعلق مباشرة بتوفير خدمات الاتصالات وتقنية المعلومات التي يطلبها المستخدم.
12 – يجب على مقدم الخدمة أن يوفر وسيلة سهلة الاستخدام، وعملية ويمكن النفاذ إليها بسهولة تمكن المستخدم من تعديل بياناته، أو سحب موافقته، أو تعطيل خدمة، أو طريقة جمع، أو استخدام أو معالجة أو الإفصاح عن بياناته الشخصية.
13 – يجب على مقدم الخدمة حذف البيانات الشخصية للمستخدم إذا:
أ – قام المستخدم بسحب الموافقة الخاصة بمعالجة أو استخدام البيانات الشخصية.
ب – لم تعد البيانات الشخصية لازمة لتقديم الخدمات التي يطلبها المستخدم.
ج – لم يعد المستخدم مشتركا في الخدمة التي تم جمع البيانات الشخصية بشأنها.
14 – يجب على مقدم الخدمة إنشاء والحفاظ على سياسة خصوصية مكتوبة بحيث:
أ – تبين بالتفصيل عمليات وإجراءات مقدم الخدمة فيما يتعلق بجمع واستخدام والإفصاح عن البيانات الشخصية، بما في ذلك الطريقة التي سوف يتبعها للامتثال.
ب – يتم نشرها على الموقع الإلكتروني لمقدم الخدمة وتقدم للمستخدمين عند التعاقد في الخدمات.
15 – إذا تم الكشف عن البيانات الشخصية المخزنة من قبل مقدم الخدمة بشكل غير صحيح وأدى هذا الكشف أو النفاذ إلى إلحاق الضرر بعدد كبير من المستخدمين، وجب على مقدم الخدمة إخطار الهيئة والمستخدمين وجهات إنفاذ القانون في أقرب وقت ممكن وبما لا يزيد في أي حال عن 24 ساعة.
16 – عند إعداد أي عملية أو نظام أو إجراءات لتوفير تسهيلات أو خدمات الاتصالات، يجب على مقدم الخدمة أن يعتمد الخصوصية من خلال تصميم الخدمات.
أمن وحماية البيانات الشخصية:
– المادة (5): على مقدم الخدمة اتخاذ الآتي:
1 – توفير التدابير الأمنية المناسبة لحماية البيانات الشخصية للمستخدم ضد الخسارة أو الضرر أو الإفصاح أو الاختراق من طرف آخر غير مصرح له أو استبدال البيانات أو المعلومات بأخرى غير صحيحة أو إضافة معلومات غير صحيحة. ويجب أن تكون هذه التدابير ملائمة لطبيعة ونطاق أنشطته وحساسية أي بيانات شخصية يتم جمعها وتخزينها، بما في ذلك الأمور التالية:
أ – معالجة وتشفير البيانات الشخصية، وتبعا لمستوى البيانات المحددة بسياسة تصنيف البيانات لمقدم الخدمة.
ب – ضمان السرية المستمرة ونزاهة وتوافر ومرونة نظم وخدمات المعالجة.
ج – استعادة التوافر والوصول إلى البيانات الشخصية في الوقت المناسب في حالة وقوع قوة قاهرة.
د – اختبار وتقييم فعالية التدابير التقنية والتنظيمية لضمان أمن المعالجة.
2 – تأمين البيانات من التدمير العرضي أو غير القانوني أو الفقد أو التغيير أو الكشف غير المصرح به أو الوصول إلى البيانات الشخصية المرسلة أو المخزنة أو التي تتم معالجتها بطرق أخرى.
3 – الالتزام بالسياسات والممارسات العالمية المتعلقة باستمرارية الأعمال، والتعافي من الكوارث، وإدارة المخاطر، وسياسات أمن المعلومات.
4 – الاحتفاظ بسجلات أنشطة المعالجة وأن تتضمن السجلات كافة المعلومات التالية:
أ – اسم وبيانات الاتصال بمقدم الخدمة، وممثله إذا كان خارج الكويت ومسؤول حماية البيانات.
ب – أغراض معالجة البيانات.
ج – وصف فئات أصحاب البيانات وفئات البيانات الشخصية الأخرى.
د – نقل البيانات الشخصية، إذا لزم الأمر، إلى خارج الكويت مع تحديد هوية هذه الدولة.
هـ – وصف عام للتدابير الأمنية الفنية والتنظيمية المستخدمة.
5 – إتاحة السجلات للاطلاع عليها من قبل الهيئة عند الطلب.
6 – مراعاة الضوابط الخاصة بتصميم أو تغيير أو تطوير المنتجات والنظم والخدمات والتي من الممكن أن تؤثر على معالجة البيانات الشخصية.
7 – تطوير والالتزام بسياسات داخلية للحماية وخصوصية البيانات.
8 – تحديد وتدريب وتوعية المسؤولين عن حماية البيانات الشخصية.
9 – وضع نظم داخلية لتلقي الشكاوى ودراستها على مدار الساعة، وطلبات الوصول للبيانات، وطلبات تصحيحها أو حذفها.
10 – وضع نظم داخلية للإدارة الفعالة للبيانات الشخصية، والإبلاغ عن أي تجاوز للإجراءات التي تهدف إلى حمايتها.
11 – إجراء عمليات تدقيق ومراجعة شاملة عن مدى الالتزام بحماية البيانات الشخصية.
إخطار الهيئة العامة للاتصالات وتقنية المعلومات بحال حدوث اختراقات للبيانات الشخصية.
– المادة (6):
1 – على مقدم الخدمة عند حدوث اختراق للبيانات الشخصية وفي مدة لا تتجاوز 72 ساعة بعد علمها إخطار حدوث اختراق للبيانات الشخصية إلى الهيئة العامة للاتصالات وتقنية المعلومات.
2 – يتضمن الإخطار:
أ – طبيعة الاختراق، ومدى تسرب البيانات الشخصية والأشخاص المسربة معلوماتها والمستويات الأمنية المتضررة.
ب – اسم وآلية التواصل مع مسؤول حماية البيانات.
ج – النتائج المحتملة للاختراق، والتدابير المتخذة أو التي يقترح أن يتخذها مقدم الخدمة لمعالجة الاختراق.
د – إخطار صاحب البيانات الشخصية بحال حدوث اختراقات للبيانات الشخصية.
1 – لا يلزم إبلاغ صاحب البيانات إذا قام مقدم الخدمة باتخاذ تدابير الحماية الفنية والتنظيمية المناسبة، وتم تطبيق هذه التدابير على البيانات الشخصية المتأثرة بحدوث الاختراق.
2 – اتخاذ التدابير اللاحقة التي تكفل عدم ارتفاع المخاطر على حقوق وحريات الأشخاص أصحاب البيانات.
أحكام عامة:
– المادة (7):
1 – على جميع مقدمي الخدمة أو المصرح لهم بامتلاك شبكات اتصالات عامة توفيق أوضاعهم مع أحكام هذه اللائحة واللوائح الأخرى ذات العلاقة مع هذه اللائحة والصادرة عن الهيئة خلال مدة لا تتجاوز سنه من تاريخ نشرها.
2 – يجوز للهيئة إصدار تعليمات أو إرشادات متعلقة بخصوصية البيانات كلما اقتضى الحال ذلك.
3 – للهيئة في حال ثبوت مخالفة أحكام هذه اللائحة أو قوانين الكويت تطبيق الجزاءات والغرامات المنصوص عليها بالقانون رقم 37 لسنة 2014 لإنشاء الهيئة العامة للاتصالات وتقنية المعلومات والمعدل بالقانون رقم 98 لسنة 2015.
