المحتوى
مع التحول الرقمي السريع واعتماد قطاع الأعمال في المملكة العربية السعودية على الحوسبة السحابية، وقواعد البيانات الرقمية، ومنصات التجارة الإلكترونية، تعاظمت التهديدات السيبرانية بشكل غير مسبوق. لم يعد اختراق الأنظمة أو تسريب البيانات مجرد خلل تقني عابر، بل أضحى جريمة معلوماتية جسيمة تترتب عليها مسؤوليات قانونية ومدنية وجنائية تطال مرتكبيها، وتفرض التزامات صارمة على الشركات لحماية بيانات عملائها وموظفيها.
أولى المشرّع السعودي هذا الملف أولوية تشريعية قصوى عبر منظومة متكاملة، تتصدرها أحكام نظام مكافحة جرائم المعلوماتية، ونظام حماية البيانات الشخصية (PDPL)، والضوابط الصادرة عن الهيئة الوطنية للأمن السيبراني (NCA).
في هذا الدليل، نسلط الضوء على أبرز أشكال الجرائم الإلكترونية التي تواجه الشركات، والعقوبات المقررة نظاماً، والمسؤولية القانونية لإدارات الشركات عند وقوع تسريب أو اختراق للبيانات، مع بيان خطوات الاستجابة القانونية الصحيحة.
أولاً: أبرز أشكال الجرائم الإلكترونية والاعتداء على بيانات الشركات
تتنوع صور الجرائم المعلوماتية التي تستهدف المنشآت والأنشطة التجارية في السوق السعودي، ومن أهمها:
• الدخول غير المشروع واختراق الأنظمة: تعمد الدخول غير المصرح به إلى موقع إلكتروني، أو نظام معلوماتي، أو شبكة حاسوبية خاصة بشركة بقصد إتلاف البيانات، أو تعطيل الخوادم، أو تغيير التصاميم، أو إلغاء الحسابات.
• سرقة الأسرار التجارية والبيانات الحساسة: استيلاء موظفين سابقين أو أطراف منافسة على الشيفرات المصدرية للبرمجيات، أو خطط التسعير، أو قوائم العملاء والموردين، واستخدامها دون مسوغ نظامي لتحقيق مكاسب غير مشروعة.
• هجمات برامج الفدية (Ransomware) والابتزاز الرقمي: تشفير قواعد بيانات الشركة ومطالبتها بمبالغ مالية مقابل فك التشفير، أو التهديد بنشر البيانات الحساسة للجمهور والمنافسين.
• الاحتيال المالي الإلكتروني وانتحال الشخصية: استخدام تقنيات التصيد الاحتيالي واختراق البريد الإلكتروني للمديرين الماليين أو التنفيذيين لتوجيه تحويلات مصرفية لحسابات احتيالية خارج أو داخل المملكة.
ثانياً: عقوبات الجرائم الإلكترونية وفق نظام مكافحة جرائم المعلوماتية السعودي
وضع نظام مكافحة جرائم المعلوماتية عقوبات رادعة بحق كل من يرتكب فعلاً يجرمه النظام، وتتدرج العقوبات بحسب جسامة الجريمة:
• عقوبة الدخول غير المشروع وتهديد البيانات: يُعاقب بالسجن مدة تصل إلى سنة واحدة، وبغرامة مالية تصل إلى 500 ألف ريال سعودي، أو بإحدى هاتين العقوبتين، كل شخص يقوم بالدخول غير المشروع لإلغاء بيانات خاصة، أو حذفها، أو تدميرها، أو تسريبها، أو إتلافها.
• عقوبة الاستيلاء على الأموال والاحتيال المعلوماتي: يُعاقب بالسجن مدة تصل إلى 3 سنوات، وبغرامة مالية تصل إلى 2 مليون ريال سعودي، أو بإحدى هاتين العقوبتين، كل من استولى لنفسه أو لغيره على مال أو سند أو توقيع عبر الاحتيال، أو اتخاذ اسم كاذب، أو انتحال صفة غير صحيحة عن طريق الشبكة المعلوماتية.
• عقوبة إيقاف الشبكات والإضرار بالبنية التحتية الحيوية: تصل العقوبة إلى السجن مدة 4 سنوات، وغرامة تصل إلى 3 ملايين ريال سعودي، في حالات الدخول غير المشروع لإلغاء أو تعديل بيانات طبية، أو مالية، أو تعطيل تقديم الخدمات العامة والأنظمة التشغيلية للشركات.
ثالثاً: المسؤولية القانونية للشركات وفق نظام حماية البيانات الشخصية (PDPL)
لا تقتصر المساءلة في حوادث الأمن السيبراني على الجاني الخارجي فحسب؛ بل تمتد المسؤولية النظامية إلى الشركة بوصفها "جهة التحكم بالبيانات" في حال ثبوت إهمالها أو تقصيرها في تطبيق التدابير الوقائية.
تتمثل التزامات ومسؤوليات المنشآت التجارية فيما يلي:
1. الالتزام بالتدابير الأمنية والتقنية: تلتزم الشركات بتطبيق السياسات الأمنية المعتمدة لحماية البيانات الشخصية لعملائها وموظفيها من التسريب أو الوصول غير المصرح به، ومواءمة أنظمتها مع متطلبات الهيئة الوطنية للأمن السيبراني.
2. إلزامية الإبلاغ عن حوادث التسرب والاختراق: يفرض النظام على جهة التحكم إشعار الجهة المختصة (الهيئة السعودية للبيانات والذكاء الاصطناعي - سدايا) فور علمها بحدوث واقعة تسريب أو اختراق للبيانات الشخصية خلال المدة النظامية المحددة، مع بيان طبيعة الحادث والبيانات المتأثرة والإجراءات المتخذة للمعالجة.
3. إشعار أصحاب البيانات المتضررين: إذا كان من شأن الاختراق إلحاق ضرر جسيم بأصحاب البيانات (كالبيانات الائتمانية أو الصحية أو أرقام الهوية)، تلتزم الشركة بإبلاغهم فوراً لتفادي تفاقم الأضرار.
4. العقوبات الإدارية والتعويضات المدنية:
o يفرض النظام غرامات مالية مشددة على المنشآت التي تفشل في حماية البيانات الشخصية أو تفصح عنها بالمخالفة لأحكام النظام.
o يحق للأفراد والعملاء المتضررين من تسريب بياناتهم رفع دعاوى تعويض مدني أمام المحاكم المختصة للمطالبة بجبر الضرر المادي والمعنوي اللاحق بهم.
رابعاً: خطة الاستجابة القانونية عند تعرض شركتك لاختراق إلكتروني
عند وقوع حادث أمني أو اكتشاف اختراق لقواعد البيانات، يجب على الإدارة اتخاذ الخطوات النظامية التالية دون تأخير:
• الخطوة الأولى (التحريز الرقمي وتوثيق الأدلة): الاستعانة بفريق فني متخصص لتوثيق السجلات الرقمية (Log Files)، وعناوين الـ IP، وتحديد نطاق الاختراق دون العبث بالأدلة الرقمية حتى تكون صالحة للإثبات الجنائي أمام النيابة العامة.
• الخطوة الثانية (تقديم البلاغ الجنائي الرسمي): إيداع بلاغ فوري عن الجريمة المعلوماتية عبر منصة "كلنا أمن" والجهات الأمنية المختصة لملاحقة الجناة وتجميد أي مسارات احتيالية.
• الخطوة الثالثة (إشعار الجهات الرقابية): إرسال إشعار رسمي إلى (سدايا) أو الجهات القطاعية المختصة (مثل البنك المركزي السعودي أو هيئة التأمين بحسب نشاط الشركة) تفادياً للغرامات الإدارية الناتجة عن كتمان الاختراق.
• الخطوة الرابعة (تفعيل المسؤولية التعاقدية): مراجعة العقود المبرمة مع شركات استضافة السحابة ومطوري البرمجيات الخارجيين لتحديد المسؤولية التعاقدية والمطالبة بالتعويضات إن كان الاختراق ناتجاً عن إخلال من طرف ثالث.
خامساً: كيف تساعدك شركة لزوم (Luzom) في حماية منشأتك من المخاطر السيبرانية؟
يتطلب التعامل مع قضايا الجرائم الإلكترونية واختراق البيانات تكاملاً بين الفهم التقني الدقيق والتطبيق الصارم للأنظمة السعودية. تقدم شركة لزوم للاستشارات القانونية منظومة خدمات شاملة للشركات تشمل:
• صياغة سياسات الخصوصية وشروط الاستخدام: إعداد سياسات متوافقة بالكامل مع نظام حماية البيانات الشخصية (PDPL) ونظام التجارة الإلكترونية.
• إعداد لوائح حماية الأسرار التجارية: تضمين بنود عدم الإفصاح (NDA) والسرية والأمان الرقمي في عقود العمل والعقود التجارية مع الموردين والمطورين.
• التمثيل القضائي في الجرائم المعلوماتية: الترافع ومتابعة الشكاوى والبلاغات الجنائية أمام النيابة العامة والمحاكم الجزائية لاسترداد الحقوق ومحاسبة المتسببين.
• إدارة النزاعات الناتجة عن تسريب البيانات: الدفاع عن الشركة ومراجعة المطالبات والتعويضات المدنية والامتثال لمتطلبات الجهات التنظيمية والرقابية.
الأسئلة الشائعة (FAQ)
هل يُعاقب الموظف الذي يسرب بيانات عملاء الشركة بعد استقالته؟
• نعم، يعد استيلاء الموظف على بيانات العملاء أو إفشاؤها جريمة معلوماتية معاقباً عليها بالسجن والغرامة وفق نظام مكافحة جرائم المعلوماتية، بالإضافة إلى مسؤوليته العقدية والمدنية عن التعويض ومخالفة بنود السرية في عقد العمل.
هل تسجيل أو تصوير المحادثات الخاصة بالعمل بدون إذن يعد جريمة معلوماتية؟
• نعم، يعد المساس بالحياة الخاصة عن طريق إساءة استخدام الهواتف النقالة المزودة بكاميرا أو ما في حكمها والتقاط الصور أو تسجيل المحادثات ونشرها دون رضا أصحابها جريمة معلوماتية صريحة يُعاقب عليها بالسجن مدة تصل إلى سنة وغرامة تصل إلى 500 ألف ريال.
أولى المشرّع السعودي هذا الملف أولوية تشريعية قصوى عبر منظومة متكاملة، تتصدرها أحكام نظام مكافحة جرائم المعلوماتية، ونظام حماية البيانات الشخصية (PDPL)، والضوابط الصادرة عن الهيئة الوطنية للأمن السيبراني (NCA).
في هذا الدليل، نسلط الضوء على أبرز أشكال الجرائم الإلكترونية التي تواجه الشركات، والعقوبات المقررة نظاماً، والمسؤولية القانونية لإدارات الشركات عند وقوع تسريب أو اختراق للبيانات، مع بيان خطوات الاستجابة القانونية الصحيحة.
أولاً: أبرز أشكال الجرائم الإلكترونية والاعتداء على بيانات الشركات
تتنوع صور الجرائم المعلوماتية التي تستهدف المنشآت والأنشطة التجارية في السوق السعودي، ومن أهمها:
• الدخول غير المشروع واختراق الأنظمة: تعمد الدخول غير المصرح به إلى موقع إلكتروني، أو نظام معلوماتي، أو شبكة حاسوبية خاصة بشركة بقصد إتلاف البيانات، أو تعطيل الخوادم، أو تغيير التصاميم، أو إلغاء الحسابات.
• سرقة الأسرار التجارية والبيانات الحساسة: استيلاء موظفين سابقين أو أطراف منافسة على الشيفرات المصدرية للبرمجيات، أو خطط التسعير، أو قوائم العملاء والموردين، واستخدامها دون مسوغ نظامي لتحقيق مكاسب غير مشروعة.
• هجمات برامج الفدية (Ransomware) والابتزاز الرقمي: تشفير قواعد بيانات الشركة ومطالبتها بمبالغ مالية مقابل فك التشفير، أو التهديد بنشر البيانات الحساسة للجمهور والمنافسين.
• الاحتيال المالي الإلكتروني وانتحال الشخصية: استخدام تقنيات التصيد الاحتيالي واختراق البريد الإلكتروني للمديرين الماليين أو التنفيذيين لتوجيه تحويلات مصرفية لحسابات احتيالية خارج أو داخل المملكة.
ثانياً: عقوبات الجرائم الإلكترونية وفق نظام مكافحة جرائم المعلوماتية السعودي
وضع نظام مكافحة جرائم المعلوماتية عقوبات رادعة بحق كل من يرتكب فعلاً يجرمه النظام، وتتدرج العقوبات بحسب جسامة الجريمة:
• عقوبة الدخول غير المشروع وتهديد البيانات: يُعاقب بالسجن مدة تصل إلى سنة واحدة، وبغرامة مالية تصل إلى 500 ألف ريال سعودي، أو بإحدى هاتين العقوبتين، كل شخص يقوم بالدخول غير المشروع لإلغاء بيانات خاصة، أو حذفها، أو تدميرها، أو تسريبها، أو إتلافها.
• عقوبة الاستيلاء على الأموال والاحتيال المعلوماتي: يُعاقب بالسجن مدة تصل إلى 3 سنوات، وبغرامة مالية تصل إلى 2 مليون ريال سعودي، أو بإحدى هاتين العقوبتين، كل من استولى لنفسه أو لغيره على مال أو سند أو توقيع عبر الاحتيال، أو اتخاذ اسم كاذب، أو انتحال صفة غير صحيحة عن طريق الشبكة المعلوماتية.
• عقوبة إيقاف الشبكات والإضرار بالبنية التحتية الحيوية: تصل العقوبة إلى السجن مدة 4 سنوات، وغرامة تصل إلى 3 ملايين ريال سعودي، في حالات الدخول غير المشروع لإلغاء أو تعديل بيانات طبية، أو مالية، أو تعطيل تقديم الخدمات العامة والأنظمة التشغيلية للشركات.
ثالثاً: المسؤولية القانونية للشركات وفق نظام حماية البيانات الشخصية (PDPL)
لا تقتصر المساءلة في حوادث الأمن السيبراني على الجاني الخارجي فحسب؛ بل تمتد المسؤولية النظامية إلى الشركة بوصفها "جهة التحكم بالبيانات" في حال ثبوت إهمالها أو تقصيرها في تطبيق التدابير الوقائية.
تتمثل التزامات ومسؤوليات المنشآت التجارية فيما يلي:
1. الالتزام بالتدابير الأمنية والتقنية: تلتزم الشركات بتطبيق السياسات الأمنية المعتمدة لحماية البيانات الشخصية لعملائها وموظفيها من التسريب أو الوصول غير المصرح به، ومواءمة أنظمتها مع متطلبات الهيئة الوطنية للأمن السيبراني.
2. إلزامية الإبلاغ عن حوادث التسرب والاختراق: يفرض النظام على جهة التحكم إشعار الجهة المختصة (الهيئة السعودية للبيانات والذكاء الاصطناعي - سدايا) فور علمها بحدوث واقعة تسريب أو اختراق للبيانات الشخصية خلال المدة النظامية المحددة، مع بيان طبيعة الحادث والبيانات المتأثرة والإجراءات المتخذة للمعالجة.
3. إشعار أصحاب البيانات المتضررين: إذا كان من شأن الاختراق إلحاق ضرر جسيم بأصحاب البيانات (كالبيانات الائتمانية أو الصحية أو أرقام الهوية)، تلتزم الشركة بإبلاغهم فوراً لتفادي تفاقم الأضرار.
4. العقوبات الإدارية والتعويضات المدنية:
o يفرض النظام غرامات مالية مشددة على المنشآت التي تفشل في حماية البيانات الشخصية أو تفصح عنها بالمخالفة لأحكام النظام.
o يحق للأفراد والعملاء المتضررين من تسريب بياناتهم رفع دعاوى تعويض مدني أمام المحاكم المختصة للمطالبة بجبر الضرر المادي والمعنوي اللاحق بهم.
رابعاً: خطة الاستجابة القانونية عند تعرض شركتك لاختراق إلكتروني
عند وقوع حادث أمني أو اكتشاف اختراق لقواعد البيانات، يجب على الإدارة اتخاذ الخطوات النظامية التالية دون تأخير:
• الخطوة الأولى (التحريز الرقمي وتوثيق الأدلة): الاستعانة بفريق فني متخصص لتوثيق السجلات الرقمية (Log Files)، وعناوين الـ IP، وتحديد نطاق الاختراق دون العبث بالأدلة الرقمية حتى تكون صالحة للإثبات الجنائي أمام النيابة العامة.
• الخطوة الثانية (تقديم البلاغ الجنائي الرسمي): إيداع بلاغ فوري عن الجريمة المعلوماتية عبر منصة "كلنا أمن" والجهات الأمنية المختصة لملاحقة الجناة وتجميد أي مسارات احتيالية.
• الخطوة الثالثة (إشعار الجهات الرقابية): إرسال إشعار رسمي إلى (سدايا) أو الجهات القطاعية المختصة (مثل البنك المركزي السعودي أو هيئة التأمين بحسب نشاط الشركة) تفادياً للغرامات الإدارية الناتجة عن كتمان الاختراق.
• الخطوة الرابعة (تفعيل المسؤولية التعاقدية): مراجعة العقود المبرمة مع شركات استضافة السحابة ومطوري البرمجيات الخارجيين لتحديد المسؤولية التعاقدية والمطالبة بالتعويضات إن كان الاختراق ناتجاً عن إخلال من طرف ثالث.
خامساً: كيف تساعدك شركة لزوم (Luzom) في حماية منشأتك من المخاطر السيبرانية؟
يتطلب التعامل مع قضايا الجرائم الإلكترونية واختراق البيانات تكاملاً بين الفهم التقني الدقيق والتطبيق الصارم للأنظمة السعودية. تقدم شركة لزوم للاستشارات القانونية منظومة خدمات شاملة للشركات تشمل:
• صياغة سياسات الخصوصية وشروط الاستخدام: إعداد سياسات متوافقة بالكامل مع نظام حماية البيانات الشخصية (PDPL) ونظام التجارة الإلكترونية.
• إعداد لوائح حماية الأسرار التجارية: تضمين بنود عدم الإفصاح (NDA) والسرية والأمان الرقمي في عقود العمل والعقود التجارية مع الموردين والمطورين.
• التمثيل القضائي في الجرائم المعلوماتية: الترافع ومتابعة الشكاوى والبلاغات الجنائية أمام النيابة العامة والمحاكم الجزائية لاسترداد الحقوق ومحاسبة المتسببين.
• إدارة النزاعات الناتجة عن تسريب البيانات: الدفاع عن الشركة ومراجعة المطالبات والتعويضات المدنية والامتثال لمتطلبات الجهات التنظيمية والرقابية.
الأسئلة الشائعة (FAQ)
هل يُعاقب الموظف الذي يسرب بيانات عملاء الشركة بعد استقالته؟
• نعم، يعد استيلاء الموظف على بيانات العملاء أو إفشاؤها جريمة معلوماتية معاقباً عليها بالسجن والغرامة وفق نظام مكافحة جرائم المعلوماتية، بالإضافة إلى مسؤوليته العقدية والمدنية عن التعويض ومخالفة بنود السرية في عقد العمل.
هل تسجيل أو تصوير المحادثات الخاصة بالعمل بدون إذن يعد جريمة معلوماتية؟
• نعم، يعد المساس بالحياة الخاصة عن طريق إساءة استخدام الهواتف النقالة المزودة بكاميرا أو ما في حكمها والتقاط الصور أو تسجيل المحادثات ونشرها دون رضا أصحابها جريمة معلوماتية صريحة يُعاقب عليها بالسجن مدة تصل إلى سنة وغرامة تصل إلى 500 ألف ريال.