- جمع البيانات غير مشروع أو قانوني.. إلا بموافقة المستخدم صاحب البيانات
- «الاتصالات» اشترطت تحديد آلية لتصحيح أو إزالة البيانات وتقييد الوصول إليها
- إخطار صاحب البيانات إذا كان مقدم الخدمة يعتزم نقل بياناته إلى خارج الكويت
- توفير التدابير لحماية البيانات الشخصية.. وإخطار الهيئة حال حدوث أي اختراقات
علي إبراهيم
أنهت هيئة الاتصالات وتقنية المعلومات النسخة التجريبية من لائحة حماية خصوصية البيانات في الكويت، والتي تعنى بتأمين وحماية البيانات الشخصية للأشخاص الطبيعيين والاعتباريين.
وفي اللائحة، التي تعد إنجازا مطلوبا ومنتظرا بالكويت، حددت الهيئة 3 شروط لجمع ومعالجة البيانات الشخصية، من بينها الحصول على موافقة مسبقة وتوضيح الغرض من جمع بيانات المستخدم، إلى جانب تحديد 5 شروط لمشروعية جمع ومعالجة البيانات يأتي على رأسها موافقة المستخدم صاحب البيانات، بالإضافة إلى 16 شرطا لجمع ومعالجة البيانات أثناء توفير الخدمة أو بعد انتهائها.
ووضعت الهيئة قواعد خاصة بأمن وحماية البيانات الشخصية تتضمن 12 محورا تضمن من خلالها معالجة وتشفير البيانات الشخصية وضمان السرية المستمرة وتأمينها من التدمير العرضي وإخطار هيئة الاتصالات حال حدوث اختراقات للبيانات.
وتفصيليا، أصدرت الهيئة العامة للاتصالات وتقنية المعلومات النسخة التجريبية من لائحة حماية خصوصية البيانات، على اثر تزايد الطلب على خدمات الاتصالات وتقنية المعلومات من قبل القطاعين العام والخاص التي يوفرها مقدمو هذه الخدمات في الكويت باستخدام تقنيات متطورة كحلول الحوسبة السحابية وانترنت الأشياء وغيرهما، ولما تقدمه هذه الخدمات من مميزات تعتمد على موارد البنية التشغيلية والبرمجيات وغيرها من عناصر تقنية المعلومات التي يوفرها ويشغلها مقدمو خدمات الاتصالات وتقنية المعلومات وتشمل عمليات جمع ومعالجة لبيانات ومحتويات المستخدم.
وأكدت الهيئة أنها تعي ضرورة ان يلتزم مقدمو خدمات الاتصالات وتقنية المعلومات بحماية البيانات والحقوق والحريات الاساسية للنقل المتعلقة بخصوصية البيانات الشخصية المجمعة، ما يحفز الهيئة ان تصدر مجموعة من الأدوات التنظيمية تتضمن الشروط والأسس والتوجيهات التي تتعلق بتنظيم ممارسات ادارة ومعالجة البيانات من قبل مقدمي خدمات الاتصالات وتقنية المعلومات وكل ما يرتبط بها من احكام والتزامات لدعم هذا التوجه التنظيمي.
وكشفت عن انها تطمح لتطوير صناعة متينة تعتمد على توفير افضل خدمات الاتصالات وتقنية المعلومات بغرض تقديمها للجهات الحكومية وقطاع الاعمال والافراد داخل الكويت، ما يدعم عمل الانشطة الحكومية والتجارية والصناعية، ويسهم في استقطاب المستثمرين المهتمين بهذا المجال وتعزيز أسس التنافسية تحقيقا لرؤية الكويت نحو النهوض بها الى مركز مالي وتجاري (كويت جديدة 2035).
وحددت نطاق اللائحة في ان تطبق على جميع مقدمي الخدمة المرخص لهم من قبل الهيئة الذين يعملون على جمع ومعالجة وتخزين البيانات الشخصية ومحتوى بيانات المستخدمين كليا او جزئيا، سواء بشكل دائم او مؤقت بالوسائل الآلية او بأي وسائل اخرى والتي تشكل جزءا من نظام حفظ البيانات، سواء تمت المعالجة داخل الكويت او خارجها.
ولا تطبق احكامها على الممارسات المتعلقة بالتحريات الامنية ورصد المخالفات او الممارسات المخالفة للقوانين والقرارات والاحكام القضائية والمطالبات المالية الناشئة عن عقد الاشتراك.
ووضعت الهيئة شروط جمع ومعالجة البيانات الشخصية، اذ يجب على مقدمي الخدمة وقبل توفير الخدمة للمستخدم ان يقوموا بالتالي:
1 توفير كل معلومات وشروط الخدمة وطلب تغيير او الغاء البيانات، موضحة وبعبارات سهلة، وان تتوافر باللغتين الانجليزية والعربية.
2 الحصول على موافقة طالب الخدمة على جمع او معالجة البيانات الشخصية وعلمه وقبوله بجميع الشروط والالتزامات واحكام جمع ومعالجة البيانات.
3 توضيح الغرض من جمع بيانات المستخدم الشخصية واللازمة لتقديم الخدمة وكيفية استخدام هذه البيانات.
وعالجت اللائحة مشروعية جمع ومعالجة البيانات، في ألا يكون جمع ومعالجة البيانات مشروعة وقانونية إلا في حال توافر إحدى الحالات التالية:
1 الحصول على موافقة المستخدم صاحب البيانات.
2 أن تكون ضرورية للامتثال لالتزام قانوني يخضع له مقدم الخدمة.
3 أن تكون ضرورية لحماية بيانات المستخدم.
4 إذا كانت الأغراض التي يقوم بها مقدم الخدمة تتطلب تحديد هوية صاحب البيانات.
5 الحصول على موافقة خطية من قبل ولي أمر القاصر إذا كان عمره أقل من 18 سنة.
وفي جميع الأحوال يجب ان يكون لمقدم الخدمة القدرة على إثبات موافقة صاحب البيانات على معالجة البيانات.
معالجة البيانات
ووضعت شروط جمع ومعالجة البيانات، اذ يجب على مقدم الخدمة أثناء توفير الخدمة او بعد انتهائها ان يقوم بجمع ومعالجة البيانات وفقا للشروط التالية:
1 تقديم معلومات واضحة يسهل الوصول اليها حول ممارساتهم وسياساتهم فيما يتعلق بالبيانات الشخصية لضمان إجراء عمليات الجمع والمعالجة وبشفافية.
2 تحديد الغرض من جمع البيانات والأساس القانوني لمعالجة البيانات وفترة الاحتفاظ بها إن وجدت.
3 تحديد هوية ومكان مقدم الخدمة، بما في ذلك معلومات عن كيفية الاتصال بهم بشأن ممارساتهم ومعالجة البيانات الشخصية.
4 معالجة البيانات بطريقة تضمن حماية البيانات الشخصية من المعالجة غير المصرح بها او المعالجة غير القانونية وضد الخسارة العارضة والتلف او الإضرار بها، وذلك باستخدام التدابير الفنية والتنظيمية المناسبة (السلامة والسرية).
5 يجب على مقدم الخدمة إخطار الهيئة في حال كشف بيانات المستخدمين الشخصية لأي شركة زميلة او مالكة لمقدم الخدمة او طرف ثالث بشكل مباشر او غير مباشر، على ان يكون مقدم الخدمة هو المسؤول عن حماية خصوصية البيانات المشارك فيها.
6 استخدام الوسائل التكنولوجية المناسبة التي تمكن المستخدمين من ممارسة حقهم في الوصول الى البيانات الشخصية ومراجعتها وتصحيحها بشكل مباشر، ويتعين على مقدم الخدمة منح الطرف الثالث (إن وجد) كل الصلاحيات الضرورية والتنظيمية لاستخدام اي برامج، او اي أعمال ملكية فكرية أخرى يحميها النظام.
7 تقديم معلومات عن مكان تخزين البيانات الشخصية في حال كانت داخل او خارج الكويت.
8 تحديد آلية الحصول على أو تصحيح أو إزالة البيانات الشخصية او تقييد الوصول إليها أو معالجتها، أو الاعتراض على معالجتها او طلب نقل البيانات الشخصية.
9 إخطار صاحب البيانات في حال كان مقدم الخدمة يعتزم نقل بياناته الشخصية الى خارج الكويت.
10 إزالة البيانات الشخصية التي بحوزته حال انتهاء العلاقة التعاقدية مع صاحب البيانات.
11 الحصول على موافقة صاحب البيانات قبل الكشف عن بياناته الشخصية لأي طرف ثالث لأغراض تسويقية لا تتعلق مباشرة بتوفير خدمات الاتصالات وتقنية المعلومات التي يطلبها المستخدم.
12 يجب على مقدم الخدمة ان يوفر وسيلة سهلة الاستخدام، وعملية ويمكن النفاذ اليها بسهولة تمكن المستخدم من تعديل بياناته، او سحب موافقته، او تعطيل خدمة، او طريقة جمع، او استخدام، او معالجة او الافصاح عن بياناته الشخصية.
13 يجب على مقدم الخدمة ازالة البيانات الشخصية للمستخدم إذا:
أ قام المستخدم بسحب الموافقة الخاصة بمعالجة او استخدام البيانات الشخصية.
ب لم تعد البيانات الشخصية لازمة لتقديم الخدمات التي يطلبها المستخدم.
ج لم يعد المستخدم مشتركا في الخدمة التي تم جمع البينات الشخصية بشأنها.
14 يجب على مقدم الخدمة إنشاء والحفاظ على سياسة خصوصية مكتوبة بحيث:
أ تبين بالتفصيل عمليات وإجراءات مقدم الخدمة فيما يتعلق بجمع واستخدام والإفصاح عن البيانات الشخصية، بما في ذلك الطريقة التي سوف يتبعها للامتثال.
ب يتم نشرها على الموقع الإلكتروني لمقدم الخدمة وتقدم للمستخدمين عند التعاقد في الخدمات.
15 إذا تم الكشف عن البينات الشخصية المخزنة من قبل مقدم الخدمة بشكل غير صحيح وأدى هذا الكشف او النفاذ الى إلحاق الضرر بعدد كبير من المستخدمين، وجب على مقدم الخدمة اخطار الهيئة والمستخدمين وجهات انفاذ القانون في اقرب وقت ممكن وبما لا يزيد في اي حال على 72 ساعة.
16 عند اعداد اي عملية او نظام او اجراءات لتوفير تسهيلات او خدمات الاتصالات، يجب على مقدم الخدمة ان يعتمد الخصوصية من خلال تصميم الخدمات.
حماية البيانات
وضعت هيئة الاتصالات قواعد لتحقيق أمن وحماية البيانات الشخصية إذ يجب على مقدم الخدمة اتخاذ الآتي:
1 توفير التدابير الأمنية المناسبة لحماية البيانات الشخصية للمستخدم ضد الخسارة، الضرر، الافصاح او الاختراق من طرف آخر غير مصرح له او استبدال البيانات او المعلومات بأخرى غير صحيحة او اضافة معلومات غير صحيحة، ويجب ان تكون هذه التدابير ملائمة لطبيعة ونطاق انشطته وحساسية اي بيانات شخصية يتم جمعها وتخزينها، بما في ذلك الامور التالية:
أ معالجة وتشفير البيانات الشخصية، تبعا لمستوى البيانات المحددة بسياسة تصنيف البيانات لمقدم الخدمة.
ب ضمان السرية المستمرة ونزاهة وتوافر ومرونة نظم وخدمات المعالجة.
ج استعادة التوافر والوصول الى البيانات الشخصية في الوقت المناسب في حال وقوع قوة قاهرة.
د اختبار وتقييم فعالية التدابير التقنية والتنظيمية لضمان أمن المعالجة.
2 تأمين البيانات من التدمير العرضي، غير القانوني، الفقد، و/أو التغيير او الكشف غير المصرح به او الوصول الى البيانات الشخصية والمرسلة او المخزنة او التي تتم معالجتها بطرق اخرى.
3 الالتزام بالسياسات والممارسات العالمية المتعلقة باستمرارية الاعمال، والتعافي من الكوارث، وادارة المخاطر، وسياسات امن المعلومات.
4 الاحتفاظ بسجلات انشطة المعالجة وان تتضمن السجلات كل المعلومات التالية:
أ اسم وبيانات الاتصال بمقدم الخدمة وممثله اذا كان خارج الكويت ومسؤول حماية البيانات.
ب أغراض معالجة البيانات.
ج وصف فئات اصحاب البيانات وفئات البيانات الشخصية الاخرى.
د نقل البيانات الشخصية، اذا لزم الامر، الى خارج الكويت مع تحديد هوية هذه الدولة.
هـ وصف عام للتدابير الامنية الفنية والتنظيمية المستخدمة.
5 اتاحة السجلات للاطلاع عليها من قبل الهيئة عند الطلب.
6 مراعاة الضوابط الخاصة بتصميم او تغيير او تطوير المنتجات والنظم والخدمات والتي من الممكن ان تؤثر على معالجة البيانات الشخصية.
7 تطوير والالتزام بسياسات داخلية للحماية وخصوصية البيانات.
8 تحديد وتدريب وتوعية المسؤولين عن حماية البيانات الشخصية.
9 وضع نظم داخلية لتلقي الشكاوى ودراستها على مدار الساعة، وطلبات الوصول للبيانات، وطلبات تصحيحها او حذفها.
10 وضع نظم داخلية للادارة الفعالة للبيانات الشخصية، والابلاغ عن اي تجاوز للاجراءات التي تهدف الى حمايتها.
11 اجراء عمليات تدقيق ومراجعة شاملة على مدى الالتزام بحماية البيانات الشخصية.
12 اخطار الهيئة العامة للاتصالات وتقنية المعلومات في حال حدوث اختراقات للبيانات الشخصية.
