المتطلبات القانونية للأمن السيبراني للشركات في الإمارات

المتطلبات القانونية للأمن السيبراني في الإمارات العربية المتحدة: دليل الامتثال للشركات

أصبحت الإمارات العربية المتحدة مركزاً عالمياً للتكنولوجيا والتمويل والابتكار، غير أن هذا النمو الرقمي يصاحبه تصاعد في مستوى التهديدات السيبرانية. وتقوم رؤية الدولة لاقتصاد رقمي آمن على إطار قانوني متين، ويُنتظر من كل منشأة أن تلتزم به.

بالنسبة إلى الشركات العاملة في الدولة، لم تعد المتطلبات القانونية للأمن السيبراني شأناً يخص تقنية المعلومات وحدها، بل أصبحت التزاماً قانونياً والتزاماً بالامتثال. ويقع في صميم هذا المجال قانونان: المرسوم بقانون اتحادي رقم (34) لسنة 2021 في شأن مكافحة الشائعات والجرائم الإلكترونية (قانون الجرائم الإلكترونية) والمرسوم بقانون اتحادي رقم (45) لسنة 2021 في شأن حماية البيانات الشخصية (قانون حماية البيانات الشخصية).

ذو صلة: اطّلع على خدمات الاستشارات القانونية في دبي للحصول على المشورة بشأن التزاماتك في الإمارات العربية المتحدة.

يعرض هذا الدليل المتطلبات القانونية الرئيسية والتدابير العملية التي يتعين على الشركات اعتمادها لتحقيق الامتثال وحماية أصولها الرقمية وبيانات عملائها. وقد يؤدي عدم الامتثال إلى غرامات مالية مشددة وأضرار بالسمعة، بل وإلى مسؤولية جزائية.

ذو صلة: اطّلع على خدماتنا في تأسيس الشركات في المناطق الحرة بدبي.

الأساس: قانون الجرائم الإلكترونية في الإمارات (المرسوم بقانون اتحادي رقم (34) لسنة 2021)

يُعد قانون الجرائم الإلكترونية، الصادر عام 2021، التشريع الرئيسي في الدولة لتجريم طيف واسع من الجرائم الرقمية. ونطاقه واسع، إذ يشمل كل شيء بدءاً من الدخول غير المصرح به إلى الأنظمة، وصولاً إلى إساءة استخدام التقنية في الاحتيال ونشر المعلومات الكاذبة.

وبالنسبة إلى الشركات، يمثل هذا القانون رادعاً قوياً وتعبيراً واضحاً عن التزام الدولة بالأمن الرقمي.

الأحكام الرئيسية وآثارها على الشركات

يؤثر القانون تأثيراً مباشراً في الطريقة التي يتعين على الشركات أن تؤمّن بها أنظمتها وتدير بها حضورها الرقمي. ومن أبرز أحكامه:

• الدخول غير المصرح به والاختراق: يفرض القانون عقوبات مشددة على الدخول غير المصرح به إلى المواقع الإلكترونية أو أنظمة المعلومات أو الشبكات، ويشمل ذلك الاختراق الخارجي وإساءة الاستخدام الداخلية من جانب الموظفين. ويتعين على الشركات تطبيق ضوابط صارمة للوصول، والمصادقة متعددة العوامل، واختبارات الاختراق الدورية لإثبات بذل العناية الواجبة في مواجهة مثل هذه الاختراقات.
• سرقة البيانات والاحتيال: يجرّم القانون الحصول على البيانات أو تعديلها أو إتلافها بصورة غير مشروعة، وهو أمر بالغ الأهمية للشركات التي تحتفظ ببيانات تجارية أو شخصية حساسة. وتُشدد العقوبات إذا كانت البيانات المسروقة مصنفة سرية أو تتعلق بالأمن الوطني أو بالمؤسسات المالية.
• التزوير الإلكتروني وإساءة استخدام تقنية المعلومات: يتناول القانون إنشاء المستندات الإلكترونية المزورة أو استعمالها، وإساءة استخدام أنظمة المعلومات لارتكاب الاحتيال. ولذلك يتعين على الشركات الحفاظ على سلامة سجلاتها ومعاملاتها الإلكترونية وصحتها.
• مسؤولية الشخص الاعتباري: يجوز للقانون أن يرتب المسؤولية على الشخص الاعتباري (الشركة) إذا ارتُكبت جريمة إلكترونية باسمه أو لحسابه، حتى لو ارتكبها أحد الموظفين. ولهذا تُعد السياسات الداخلية الشاملة وبرامج تدريب الموظفين أمراً ضرورياً.

ذو صلة: اطّلع على خدمة مسؤول حماية البيانات للحصول على دعم مستمر في الامتثال داخل الإمارات العربية المتحدة.

ذو صلة: اطّلع على خدماتنا في الاستشارات القانونية العقارية.

أفضل الممارسات: ينبغي للشركات أن تتعامل مع قانون الجرائم الإلكترونية بوصفه الحد الأدنى لمعايير الأمن. ويتطلب الامتثال ضمانات تقنية، إلى جانب سياسة داخلية واضحة وقابلة للتطبيق تحدد الاستخدام المقبول لموارد تقنية المعلومات وعواقب مخالفته. وللمساعدة في وضع إطار داخلي، استشر خبراءنا في الامتثال والحوكمة المؤسسية.

متطلبات حماية البيانات: قانون حماية البيانات الشخصية في الإمارات (المرسوم بقانون اتحادي رقم (45) لسنة 2021)

يركز قانون الجرائم الإلكترونية على الجرائم الجزائية، أما قانون حماية البيانات الشخصية، الذي دخل حيز النفاذ الكامل عام 2022، فيضع إطاراً شاملاً للمعالجة المشروعة للبيانات الشخصية. وهو استجابة الدولة لمعايير حماية البيانات العالمية مثل اللائحة العامة لحماية البيانات الأوروبية (GDPR)، ويرفع بشكل ملحوظ سقف الامتثال لجميع المؤسسات العاملة في الدولة.

النطاق ومجال التطبيق

يسري قانون حماية البيانات الشخصية على أي مؤسسة تعالج البيانات الشخصية لأصحاب بيانات مقيمين في الإمارات العربية المتحدة، سواء جرت المعالجة داخل الدولة أو خارجها. وبسبب هذا النطاق العابر للحدود، يتعين على الشركات الدولية التي لها وجود في الدولة، أو التي تعالج بيانات المقيمين فيها، أن تمتثل لأحكامه.

الاستثناءات: لا يسري قانون حماية البيانات الشخصية على المنطقتين الحرتين الماليتين، مركز دبي المالي العالمي (DIFC) وسوق أبوظبي العالمي (ADGM)، اللتين لديهما أنظمتهما الراسخة الخاصة بحماية البيانات. أما سائر المنشآت في البر الرئيسي والمناطق الحرة الأخرى، فإن قانون حماية البيانات الشخصية هو القانون الواجب التطبيق عليها.

الالتزامات الأساسية لمراقبي البيانات

يُلقي قانون حماية البيانات الشخصية مسؤوليات جسيمة على مراقب البيانات، وهو الجهة التي تحدد أغراض معالجة البيانات الشخصية ووسائلها. وتقوم هذه الالتزامات على مبادئ الشفافية والإنصاف والأمن:

1. الأساس القانوني للمعالجة: يجب أن تُعالج البيانات الشخصية استناداً إلى سند قانوني واضح، مثل موافقة صاحب البيانات، أو ضرورة المعالجة لتنفيذ عقد، أو الامتثال لالتزام قانوني. وحيثما يُعتمد على الموافقة، يجب أن تكون محددة وواضحة وصريحة.
2. الشفافية والإشعار: يتعين على المراقبين تزويد أصحاب البيانات بمعلومات واضحة وميسّرة عن المعالجة، بما في ذلك غرضها، وفئات البيانات التي تُجمع، وهوية المراقب.
3. جودة البيانات وتحديد الغرض: يجب أن تكون البيانات التي تُجمع دقيقة وذات صلة ومقتصرة على ما هو ضروري للأغراض المحددة، ولا يجوز الاحتفاظ بها مدة تزيد على ما تقتضيه تلك الأغراض.
4. التدابير الأمنية: هذا هو الرابط الأكثر مباشرة بالأمن السيبراني. إذ يلتزم المراقبون بتطبيق تدابير تقنية وتنظيمية مناسبة لحماية البيانات الشخصية من المعالجة غير المصرح بها أو غير المشروعة، ومن الفقدان أو الإتلاف أو الضرر العرضي. وتشمل هذه التدابير التشفير، والترميز المستعار، وضبط الوصول.
5. اتفاقيات معالجة البيانات: عندما يستعين المراقب بـمعالج بيانات (جهة تعالج البيانات نيابة عن المراقب، مثل مزوّد الخدمات السحابية)، يجب إبرام عقد مكتوب ينظم المعالجة ويضمن أن يستوفي المعالج أيضاً معايير الأمن المطلوبة.

حقوق أصحاب البيانات بموجب قانون حماية البيانات الشخصية

من السمات الرئيسية لقانون حماية البيانات الشخصية مجموعة الحقوق التي يمنحها لأصحاب البيانات، ويتعين على الشركات أن تكون مستعدة للوفاء بها:

• الحق في الوصول: حق صاحب البيانات في طلب نسخة من بياناته الشخصية التي يحتفظ بها المراقب والحصول عليها.
• الحق في التصحيح: حقه في تصحيح بياناته الشخصية غير الدقيقة أو غير المكتملة.
• الحق في المحو (الحق في النسيان): حقه في طلب حذف بياناته الشخصية وفق شروط معينة، كأن تصبح البيانات غير ضرورية للغرض الذي جُمعت من أجله.
• الحق في تقييد المعالجة: حقه في الحد من معالجة بياناته الشخصية.
• الحق في نقل البيانات: حقه في الحصول على بياناته الشخصية بصيغة منظمة وشائعة الاستخدام وقابلة للقراءة آلياً، ونقلها إلى مراقب آخر.
• الحق في الاعتراض على المعالجة: حقه في الاعتراض على المعالجة في ظروف محددة، ولا سيما المعالجة لأغراض التسويق المباشر.

يتعين على الشركات وضع إجراءات واضحة وفعالة للتعامل مع هذه الطلبات ضمن المهل التي يحددها القانون. وللمساعدة في الامتثال لقانون حماية البيانات الشخصية وحقوق أصحاب البيانات، اطّلع على خدماتنا في الاستشارات في حماية البيانات.

وللحصول على توجيه قانوني متخصص، اطّلع على صفحتي استشارات امتثال الشركات وخدمة مسؤول حماية البيانات.

متطلب امتثال جوهري: الإبلاغ الإلزامي عن الحوادث

من أهم الالتزامات المقررة بموجب قانون حماية البيانات الشخصية وأكثرها ارتباطاً بعامل الوقت الإخطار الإلزامي باختراق البيانات. واختراق البيانات هو أي خرق أمني يؤدي إلى إتلاف البيانات الشخصية أو فقدانها أو تغييرها أو الإفصاح عنها أو الوصول إليها بصورة عرضية أو غير مشروعة أو دون تصريح.

التزام الإخطار

ينص قانون حماية البيانات الشخصية على أنه يجب على مراقب البيانات إخطار مكتب الإمارات للبيانات فور علمه بأي خرق أو انتهاك للبيانات الشخصية لصاحب البيانات من شأنه المساس بخصوصية تلك البيانات أو سريتها أو أمنها.

يستخدم قانون حماية البيانات الشخصية عبارة "فوراً". وتشير أفضل الممارسات، المستمدة غالباً من مهلة الـ 72 ساعة المعمول بها في ولايات قضائية أخرى مثل DIFC واللائحة العامة لحماية البيانات (GDPR)، إلى أن الإخطار ينبغي أن يتم دون تأخير غير مبرر، وفي موعد لا يتجاوز 72 ساعة من اكتشاف الخرق متى أمكن ذلك.

وقد يُطلب من المراقب كذلك إخطار أصحاب البيانات المتضررين إذا كان من المرجح أن يترتب على الخرق خطر جسيم على خصوصيتهم وسرية بياناتهم.

إعداد خطة للاستجابة للحوادث

لا يمكن للشركة الوفاء بمتطلب الإخطار دون استراتيجية مخططة ومختبرة للاستجابة للحوادث. وينبغي أن تتضمن خطة الاستجابة السليمة ما يلي:

1. الكشف والاحتواء: خطوات فورية لتحديد الخرق، ووقف الوصول غير المصرح به، واحتواء الضرر.
2. التقييم وتحديد الأولويات: تقييم سريع لنطاق الخرق، ونوع البيانات المتأثرة، والخطر المحتمل على أصحاب البيانات، وهو ما يحدد التزام الإخطار.
3. بروتوكول الإخطار: إجراءات واضحة لإخطار مكتب الإمارات للبيانات، وأصحاب البيانات المتضررين عند الاقتضاء، بما في ذلك المحتوى المطلوب للإخطار (مثل طبيعة الخرق، وجهة الاتصال، والتدابير المتخذة).
4. المعالجة والتعافي: خطوات لإصلاح الثغرات التي أدت إلى الخرق واستعادة سلامة الأنظمة.
5. المراجعة اللاحقة للحادث: مراجعة رسمية لاستخلاص الدروس من الحادث وتحديث التدابير والسياسات الأمنية.

بعد وقوع حادث سيبراني جسيم، تصبح المشورة القانونية الفورية أمراً ضرورياً. ويتولى فريقنا التقاضي وتمويل النزاعات، ويمكنه إرشادك خلال التبعات القانونية والتنظيمية.

أطر عملية لاستيفاء المتطلبات القانونية للأمن السيبراني في الإمارات العربية المتحدة

إلى جانب نص القانون، يتعين على الشركات اتباع نهج استباقي قائم على المخاطر في مجال الأمن السيبراني. فالامتثال عملية مستمرة، وليس إجراءً يُنجز مرة واحدة.

1. التدابير التقنية وتدابير البنية التحتية

• تشفير البيانات: يُعد تشفير البيانات الشخصية أثناء نقلها (باستخدام بروتوكولات مثل TLS/SSL) وأثناء تخزينها (على الخوادم وقواعد البيانات) أمراً أساسياً، وهو تدبير تقني رئيسي للوفاء بالتزام الأمن المقرر في قانون حماية البيانات الشخصية.
• ضبط الوصول ومبدأ الحد الأدنى من الصلاحيات: طبّق مبدأ الحد الأدنى من الصلاحيات، بحيث لا يصل الموظفون إلا إلى البيانات والأنظمة الضرورية تماماً لأداء عملهم، وراجع صلاحيات الوصول بانتظام.
• عمليات التدقيق واختبارات الاختراق الدورية: أجرِ عمليات تدقيق أمني واختبارات اختراق مستقلة لاكتشاف الثغرات ومعالجتها قبل أن يستغلها المهاجمون، فذلك يقلل خطر مخالفة قانون الجرائم الإلكترونية.
• الكشف المتقدم عن التهديدات: استخدم أدوات الأمن الحديثة، بما فيها جدران الحماية من الجيل التالي، وأنظمة الكشف عن التهديدات والاستجابة لها على مستوى الأجهزة الطرفية (EDR)، وأنظمة إدارة المعلومات والأحداث الأمنية (SIEM)، لرصد التهديدات والاستجابة لها في الوقت الفعلي.

2. التدابير التنظيمية وتدابير السياسات

• مسؤول حماية البيانات (DPO): لا يُلزم قانون حماية البيانات الشخصية جميع الجهات بتعيين مسؤول لحماية البيانات، لكن تعيينه يُعد من أفضل الممارسات للمؤسسات التي تجري أنشطة معالجة واسعة النطاق أو عالية المخاطر. ويعمل هذا المسؤول نقطة اتصال مركزية مع مكتب البيانات وأصحاب البيانات.
• تدريب الموظفين: يظل العنصر البشري الحلقة الأضعف. ولذلك يُعد التدريب الإلزامي والدوري على التصيد الاحتيالي، والهندسة الاجتماعية، وسياسات التعامل مع البيانات، وقانون الجرائم الإلكترونية، أمراً حاسماً في بناء ثقافة واعية بالأمن.
• سياسات واضحة لحوكمة البيانات: السياسات الموثقة بشأن الاحتفاظ بالبيانات، والتخلص منها، ونقلها عبر الحدود، وطلبات أصحاب البيانات، ضرورية لإثبات المساءلة والامتثال لقانون حماية البيانات الشخصية.
• إدارة الموردين: أجرِ فحص عناية واجبة شاملاً لجميع الموردين الخارجيين ومزوّدي الخدمات السحابية (معالجي البيانات) لضمان استيفائهم معايير الأمن والامتثال ذاتها التي يتطلبها قانون حماية البيانات الشخصية.

3. الفروق بين الولايات القضائية: DIFC وADGM

يحكم قانون حماية البيانات الشخصية معظم أنحاء الإمارات العربية المتحدة، لكن ينبغي للشركات أن تكون على دراية بالأنظمة المستقلة والناضجة لحماية البيانات في المنطقتين الحرتين الماليتين:

• قانون DIFC رقم (5) لسنة 2020 (قانون حماية البيانات في DIFC): قانون حديث قائم على المخاطر ومتوافق إلى حد كبير مع مبادئ اللائحة العامة لحماية البيانات (GDPR).
• لوائح حماية البيانات في ADGM لسنة 2021: لوائح شاملة كذلك، توفر إطاراً متكاملاً لحماية البيانات داخل ADGM.

ويتعين على الشركات العاملة عبر هذه الولايات القضائية التأكد من أن برنامج الامتثال لديها مرن بما يكفي لاستيفاء أعلى معيار بين جميع القوانين المنطبقة.

الخلاصة: النهج الاستباقي ضرورة

إن الإطار القانوني للأمن السيبراني وحماية البيانات في الإمارات العربية المتحدة متين وشامل ويُطبَّق بفاعلية. ويُلزم قانون الجرائم الإلكترونية وقانون حماية البيانات الشخصية معاً الشركات بإيلاء الأولوية للأمن الرقمي وخصوصية البيانات. وتعكس هذه القوانين التزام الدولة بحماية سيادتها الرقمية ومصالح المقيمين فيها والشركات العاملة على أرضها.

فالامتثال ليس عبئاً، بل استثمار في ثقة العملاء وفي استدامة الأعمال على المدى الطويل.

وهذه القوانين معقدة، ولا سيما في ما يتعلق بنقل البيانات عبر الحدود، والمهل الزمنية للإبلاغ عن الحوادث، والمتطلبات التقنية للتدابير الأمنية، ولذلك فإن التوجيه القانوني المتخصص ضروري. ويُعد التعاون المبكر مع مستشارين قانونيين متخصصين في قانون التكنولوجيا والبيانات في الإمارات العربية المتحدة أنجع وسيلة للانتقال من إدارة المخاطر بردّ الفعل إلى الامتثال المضمون.

يقدم فريقنا دعماً قانونياً متكاملاً، من صياغة السياسات وتدقيق الامتثال إلى الاستجابة للحوادث والتقاضي. تواصل معنا للحصول على استشارة قانونية متخصصة لحماية المستقبل الرقمي لأعمالك.

خدمات ذات صلة: اطّلع على خدماتنا في الاستشارات في قانون العمل والتوظيف للحصول على دعم قانوني عملي.

إخلاء المسؤولية: المعلومات الواردة في هذه المقالة مقدمة لأغراض إعلامية عامة فقط، ولا تُعد استشارة قانونية. وينبغي للقراء الحصول على مشورة قانونية مهنية تتناسب مع ظروفهم الخاصة قبل اتخاذ أي قرار أو إجراء استناداً إلى محتوى هذه المقالة.

فريق نور اتورنيز

مصادر إضافية

اطّلع على المزيد من مقالاتنا في موضوعات ذات صلة:

• المتطلبات القانونية للأمن السيبراني في الإمارات العربية المتحدة: دليل شامل للامتثال
• المتطلبات القانونية لقطاع الإعلام والترفيه في الإمارات العربية المتحدة: دليل شامل للشركات
• اتفاقيات الامتياز التجاري في الإمارات العربية المتحدة: المتطلبات القانونية في دبي
• سياسة الخصوصية للمواقع الإلكترونية في الإمارات العربية المتحدة: المتطلبات القانونية