متطلبات حفظ البيانات داخل الكويت في الحوسبة السحابية: دليل تقني

متطلبات حفظ البيانات داخل الكويت ليست قانوناً واحداً، بل ثلاث وثائق صادرة عن الهيئة العامة للاتصالات وتقنية المعلومات (CITRA)، وتغيّر وضع اثنتين منها في 2024: أُلغيت سياسة تصنيف البيانات في فبراير 2024، وأصبحت لائحة حماية خصوصية البيانات، بصيغتها المعدّلة بالقرار رقم 26 لسنة 2024، مقتصرة على المرخّص لهم من الهيئة. يشرح هذا الدليل من تُلزم كل قاعدة، وأي بيانات تذكرها، وأين يمكن استضافة كل نوع منها اليوم.

هذا دليل تقني وليس استشارة قانونية. راجعنا المعلومات مقابل المصادر المذكورة أسفل الصفحة بتاريخ 27 سبتمبر 2026.

الوثائق الثلاث التي يقصدها الناس بـ«قواعد هيئة الاتصالات»

النتيجة العملية: المستويات ما زالت مذكورة في نص الإطار، لكن السياسة التي عرّفتها أُلغيت. ويصف معدّو دليل Chambers الوضع بأن الإطار المنظّم لتخزين البيانات ونقلها أصبح «أقل وضوحاً».

مستويات تصنيف البيانات الأربعة كما عرّفتها الهيئة

التعريفات أدناه من نص سياسة تصنيف البيانات نفسها، وقواعد الاستضافة من نص الإطار التنظيمي للحوسبة السحابية.

يلخّص دليل Chambers لعام 2026 السياسة الملغاة بأنها كانت تسمح بحفظ بيانات المستوى الثالث في سحابة هجينة «داخل الكويت وخارجها». لكن نص الإطار (المادة 3.2.1.2.2) يشترط بقاء جزء المستوى الثالث من السحابة الهجينة داخل الكويت، وهذه هي القراءة التي نعتمدها.

ملاحظتان تغيّران طريقة التصميم:

• رقم البطاقة المدنية في المستوى الثاني وليس الثالث. جدول عملاء فيه الأسماء والهواتف وأرقام البطاقات المدنية كان يُعد من المستوى الثاني، والمادة 3.1.4.2 تجيز وضعه في سحابة عامة بشرط التشفير وبقاء المفاتيح لديك وحدك. لكن المادة 4.2.1.1.3 (أدناه) تعقّد ذلك لكل من يسري عليه الإطار.
• مفاتيح التشفير نفسها في المستوى الرابع. إذا طبّقت المستويات بحذر، فمكان المفاتيح التي تحمي بيانات المستوى الثالث هو داخل الكويت، حتى لو كانت البيانات المشفّرة في مكان آخر.

ماذا يطلب الإطار من المشتركين؟

يُلزم الإطار مقدمي الخدمة أولاً، لكنه يضع التزامات على العملاء (المشتركين) أيضاً. تنص مقدمته على أن جميع بنوده ملزمة لكل الأطراف المعنية باستخدام خدمات الحوسبة السحابية ما لم يُنص على غير ذلك. ويحدد نطاقه (المادة 1.4) أنه يسري على جميع مشتركي القطاع العام، وعلى مشتركي القطاع الخاص الذين يستضيفون بيانات حكومية، ويضع الفصل الثالث التزامات على مشتركي القطاع الخاص والأعمال كذلك. وبحسب نص الإطار:

• على المشترك أن يصنّف بياناته ويختار الحماية المناسبة لكل مستوى (المادة 3.2.1).
• لا يجوز لمشترك القطاع الخاص حفظ البيانات الشخصية للأفراد أو البيانات الحكومية من المستويين الثالث والرابع لدى مقدم خدمة خارج الكويت (المادة 3.2.1.2.2).
• لا تُستضاف بيانات المستويين الثالث والرابع خارج الكويت «لأي غرض، أو في أي صيغة، سواء كان ذلك بشكل مؤقت أو دائم» (المادة 4.2.1.1). وهذا يشمل عملياً النسخ الاحتياطية والنسخ المتزامنة (Replicas) وسجلات الأنظمة، لا قاعدة البيانات الرئيسية وحدها.
• وتذكر المادة نفسها «البيانات الشخصية للأفراد الموجودة لدى الجهات الحكومية أو شركات القطاع الخاص أو لدى مقدمي الخدمة كما نصت عليه المادة 4.1.4» (المادة 4.2.1.1.3)، والمادة 4.1.4 تشترط إذناً خطياً واضحاً وصريحاً من أصحاب البيانات قبل استخدامها للاستدلال على هويتهم. هذا يتعارض ظاهرياً مع المادة 3.1.4.1 التي تجيز حفظ ما دون المستوى الثالث لدى مقدم خدمة خارج الكويت. فإذا كان الإطار يسري عليك، فاعتبر بيانات العملاء الشخصية داخل الكويت إلى أن يقرر مستشارك القانوني غير ذلك.
• لا يجوز نقل محتوى المشترك أو تخزينه أو معالجته في سحابة عامة أو هجينة أو مجتمعية إلا لدى مقدم خدمة مسجّل ومرخّص من الهيئة (المادة 4.2.1.2). والنص الإنجليزي للإطار يترجمها «shared content»، بينما الأصل العربي يقصد محتوى المشترك.
• ملكية البيانات للمشترك، ولا يحق لمقدم الخدمة الاطلاع عليها أو تعديلها أو نقلها أو حذفها دون إذن مالكها (المادة 3.1.2).

ما الذي تغيّر في 2024؟

فبراير 2024: إلغاء سياسة تصنيف البيانات

يذكر مكتب GLA في دليل Chambers (آخر تحديث 10 مارس 2026) أن الهيئة ألغت سياسة تصنيف البيانات في فبراير 2024، وأن القانون الكويتي لا يتناول بشكل عام متطلبات توطين البيانات، خصوصاً بعد هذا الإلغاء. وبحسب رأيهم، أصبح تخزين البيانات الحساسة ونقلها محكوماً أساساً بأحكام الموافقة في قانون المعاملات الإلكترونية رقم 20 لسنة 2014.

ويذكر الدليل مثالين قطاعيين ما زالا يفرضان حفظ سجلات معينة:

• المنشآت الصحية ملزمة بسجل وقاعدة بيانات للمرضى وفق المادة 60 من قانون مزاولة مهنة الطب رقم 70 لسنة 2020.
• صاحب العمل في القطاع الأهلي ملزم بملف لكل موظف وفق المادة 80 من قانون العمل في القطاع الأهلي رقم 6 لسنة 2010.

لائحة الخصوصية: للمرخّص لهم من الهيئة فقط

بحسب DLA Piper، تسري لائحة حماية خصوصية البيانات على الأفراد والجهات العاملة كمقدمي خدمات في قطاع الاتصالات والحاصلة على تراخيص من الهيئة. ويقول دليل Chambers، الذي يشير إلى اللائحة بصيغتها المعدّلة بالقرار رقم 26 لسنة 2024، الشيء نفسه. فهي ليست قانوناً عاماً لحماية البيانات يسري على كل الشركات.

مع ملاحظة مهمة: تعريف مقدم الخدمة في اللائحة واسع، ويذكر من يشغّل موقعاً إلكترونياً أو تطبيقاً ذكياً أو خدمة حوسبة سحابية. لكن نطاق اللائحة ما زال مرتبطاً بالمرخّص لهم من الهيئة، لذلك إذا كانت شركتك تحمل ترخيصاً من الهيئة أو لست متأكداً، فاسأل مستشاراً قانونياً.

أبرز التزامات المرخّص لهم بحسب DLA Piper:

• نشر معلومات الخدمة وشروطها بلغة سهلة بالعربية والإنجليزية.
• توضيح الغرض من جمع البيانات والحصول على الموافقة.
• الإفصاح عن أي نقل للبيانات الشخصية إلى دول أجنبية مع تسميتها.
• حذف بيانات المستخدم عند سحب موافقته.
• إبلاغ الهيئة والمتضررين عن أي اختراق للبيانات الشخصية خلال 24 ساعة، ولا يلزم إبلاغ المستخدمين إذا كانت تدابير حماية مناسبة مطبّقة فعلياً على البيانات المتأثرة.

ما الذي يسري على كل الشركات؟

قانون المعاملات الإلكترونية رقم 20 لسنة 2014 يسري على الشركات الخاصة والجهات الحكومية والجمعيات، ويمنع جمع البيانات الشخصية أو معالجتها بطريقة غير مشروعة أو دون موافقة صاحبها، بحسب ملخص DLA Piper. وقانون مكافحة جرائم تقنية المعلومات رقم 63 لسنة 2015 يعاقب على الوصول غير المشروع إلى البيانات الشخصية والحكومية أو إفشائها. ولا توجد في الكويت هيئة وطنية لحماية البيانات ولا اشتراط تسجيل، بحسب DLA Piper.

هل تنطبق هذه القواعد على شركتك؟

تذكّر أن العقد قد يكون أشد من القانون. إذا اشترط بنك أو جهة حكومية أو عميل كبير بقاء البيانات داخل الكويت، فهذا البند هو ما يحكم تصميم نظامك مهما قالت اللائحة.

أين تستضيف كل مستوى من البيانات؟

حتى بعد الإلغاء، تبقى المستويات الأربعة أوضح لغة لجرد البيانات في الكويت، لأن نص الإطار ما زال يشير إليها. وهي الخطوة الأولى التي نوصي بها في دليل التحول الرقمي للشركات الصغيرة والمتوسطة.

تصميم منفصل خطوة بخطوة

1. اجرد كل مخازن البيانات: قواعد البيانات، تخزين الكائنات (Object Storage)، فهارس البحث، ملفات التحليلات المصدّرة، النسخ الاحتياطية، السجلات.
2. ضع مستوى التصنيف في وسوم الموارد (Tags) وفي توثيق الجداول، حتى يمكن التحقق منه عند المراجعة.
3. شغّل الواجهات والمحتوى العام في أقرب منطقة لتحسين السرعة.
4. ثبّت مخازن المستويين الثالث والرابع داخل الكويت واتصل بها عبر اتصال خاص بدل نسخها إلى الخارج.
5. انتبه للمسارات غير المباشرة لخروج البيانات: النسخ الاحتياطي عبر المناطق، ونسخ التعافي من الكوارث، وأدوات تتبع الأخطاء ونقل السجلات، هي الطريق المعتاد لخروج البيانات الحساسة دون قرار من أحد. والخدمات الخارجية تُحتسب أيضاً، فبوت واتساب أو مساعد الذكاء الاصطناعي قد يرسل محتوى الرسائل إلى خوادم مزوّد في الخارج، فتحقق من مكان المعالجة قبل التخطيط لـوكيل واتساب الذكي.
6. احتفظ بمفاتيح التشفير داخل الكويت: نظام إدارة مفاتيح محلي يتوافق مع اعتبار الإطار للمفاتيح من المستوى الرابع.

مناطق السحابة في الكويت وحولها: جوجل ومايكروسوفت وAWS والمزودون المحليون

الوضع كما تحققنا منه في 27 سبتمبر 2026:

لا تبنِ خطة الإطلاق على موعد لم يُعلن. صمّم نظامك قابلاً للنقل (حاويات، البنية التحتية كرمز Infrastructure as Code، قواعد بيانات بمحركات قياسية)، حتى يصبح الانتقال إلى منطقة كويتية لاحقاً عملية ترحيل وليس إعادة بناء.

بنود العقد التي تطلبها من مزوّد السحابة

يحدد الفصل السادس من الإطار ما يجب أن يشمله عقد الحوسبة السحابية واتفاقية مستوى الخدمة، وهي قائمة مفيدة حتى لو لم يُلزمك الإطار مباشرة:

• هوية المزوّد وعنوانه وبيانات التواصل الكاملة.
• الخدمات واستخداماتها المسموحة والرسوم وشروط الدفع والإنهاء.
• ملكية البيانات لك، واستخدامها لتقديم الخدمة فقط وليس للإعلانات دون موافقتك.
• التزامات الأمن وإجراءات الاختراق والإبلاغ، ويُلزم الإطار المزوّد بإبلاغ المشتركين خلال 72 ساعة من علمه بالاختراق (المادة 4.2.2.1).
• التعاقد من الباطن مع بقاء المسؤولية النهائية على المزوّد.
• استمرارية العمل وخطة تعافٍ من الكوارث مختبرة.
• الخروج: نسخة من بياناتك بصيغة قابلة للاستخدام، وحذفها عند الطلب، أو نقلها إلى مزوّد آخر.

ويُلزم الإطار مقدم الخدمة بإبلاغك مسبقاً والحصول على موافقتك قبل نقل بياناتك أو معالجتها خارج الكويت، مؤقتاً أو دائماً (المادة 4.2.1.4). وإذا كنت تقارن بين فريق كويتي وآخر في الخارج، فمكان البيانات والاختصاص القضائي للعقد جزء من القرار. نشرح ذلك في مقارنة شركة برمجة محلية أم شركة خارجية.

أين يأتي دور ركن؟

نصمم البنية السحابية وخطط الترحيل للشركات في الكويت، ويمكننا تخطيط تصميم منفصل يُبقي البيانات الحساسة داخل الكويت وبقية النظام قريباً من المستخدمين. إذا أردت ربط بياناتك بخيارات الاستضافة قبل الترحيل، فاطّلع على خدمات الحوسبة السحابية والترحيل في الكويت.

نراجع هذه الصفحة مقابل مصادرها ونحدّث تاريخ التحقق عند أي تغيير.