المسؤولية المدنية في قضايا القرصنة الإلكترونية واختراق الأنظمة

عندما يُخترق نظام شركة وتُسرَّب بيانات عملائها أو تتعطل خدماتها، يتجه التفكير أولًا إلى الجريمة والعقوبة. لكن السؤال الذي يهم مجالس الإدارات والعملاء والمستثمرين هو سؤال آخر: من يعوّض الخسارة؟ هنا تبدأ المسؤولية المدنية والتقصيرية في قضايا القرصنة الإلكترونية واختراق الأنظمة. هذا المقال يرتب الأطراف المحتملة للمسؤولية، ويبيّن أساس كل مسؤولية في النظام السعودي، وكيف تُرفع المطالبة وتُثبت.

ثلاث طبقات من المسؤولية في حادثة واحدة

حادثة الاختراق الواحدة تُنشئ عادةً علاقات قانونية متعددة: بين المخترق والشركة المخترَقة، وبين الشركة وعملائها الذين تضرروا، وبين الشركة ومزودي التقنية الذين يديرون أنظمتها أو يستضيفونها، وأحيانًا بين الشركة وشركة التأمين. وكل علاقة لها أساس مختلف: الأولى تقصيرية بحتة، والثانية غالبًا تعاقدية مع عنصر تنظيمي من نظام حماية البيانات الشخصية، والثالثة تعاقدية تحكمها اتفاقية مستوى الخدمة.

الطبقة الأولى: مسؤولية المخترق

يجرّم نظام مكافحة جرائم المعلوماتية الصادر عام 1428هـ الدخول غير المشروع إلى الأنظمة، والتنصت، والابتزاز، وتعطيل الشبكات، وإتلاف البيانات أو تسريبها، ويقرر لها عقوبات تتفاوت بحسب جسامة الفعل. ولا نذكر هنا أرقام مواد أو مقادير عقوبات لأننا لم نطّلع على النص الرسمي في هذه المهمة، ويكفي القول إن الفعل جريمة تختص بها النيابة العامة والمحكمة الجزائية.

وإلى جانب العقوبة، يرتّب نظام المعاملات المدنية الصادر عام 1444هـ المسؤولية عن الفعل الضار: فكل من أحدث بفعله ضررًا للغير يلتزم بتعويضه، سواء كان الضرر ماليًا مباشرًا (أموال محوَّلة، كلفة استعادة الأنظمة، توقف الأعمال) أو ضررًا أدبيًا في الحالات التي يعتد بها النظام. والعائق هنا عملي أكثر منه قانوني: تحديد هوية المخترق والوصول إلى أصوله لتنفيذ الحكم، لا سيما إذا كان خارج المملكة.

ويستطيع المتضرر أن يطالب بالتعويض بوصفه مدعيًا بالحق الخاص أمام المحكمة الجزائية التي تنظر الجريمة، أو أن يرفع دعوى مدنية مستقلة. والخيار الأول يوفر على المتضرر إثبات الواقعة لأن ملف التحقيق يحملها، والثاني يناسب الحالات التي لا تكتمل فيها الدعوى الجزائية أو يُراد فيها تقدير أوسع للضرر.

الطبقة الثانية: مسؤولية الشركة المخترَقة تجاه عملائها

هذه الطبقة هي التي تقلق مجالس الإدارات، لأن الشركة ضحية الاختراق قد تكون في الوقت نفسه مسؤولة أمام من تضرروا من تسريب بياناتهم أو تعطل خدماتهم. ويقوم أساس المسؤولية على أحد أمرين أو كليهما:

• الأساس التعاقدي: إذا كان بين الشركة وعميلها عقد (خدمة، اشتراك، حساب) فالتزام الشركة بحماية بيانات العميل وتوافر الخدمة جزء من العقد صراحة أو ضمنًا، والإخلال به يرتب التعويض وفق قواعد العقد في نظام المعاملات المدنية، مع مراعاة أي شروط حد أو إعفاء من المسؤولية في حدود ما يجيزه النظام.
• الأساس التنظيمي والتقصيري: يُلزم نظام حماية البيانات الشخصية جهة التحكم باتخاذ التدابير التنظيمية والإدارية والتقنية اللازمة لحماية البيانات، وبإشعار الجهة المختصة بحوادث التسرب وأصحاب البيانات عند توافر شروط معينة، ويقرر لصاحب البيانات حق المطالبة بالتعويض عن الضرر الناتج عن مخالفة أحكامه. وتفصيل هذه الالتزامات في مقال حماية بيانات العملاء بموجب النظام الجديد.

السؤال الحاسم في هذه الطبقة: هل بذلت الشركة العناية المعقولة؟ فالاختراق في ذاته ليس دليلًا على الخطأ؛ وإنما يُنظر إلى ما كان متاحًا ومتوقعًا من تدابير في حجم الشركة وطبيعة نشاطها. وهنا تصبح الضوابط الصادرة عن الهيئة الوطنية للأمن السيبراني (كالضوابط الأساسية للأمن السيبراني) والأطر القطاعية للبنك المركزي وهيئة الاتصالات والفضاء والتقنية معيارًا عمليًا يستأنس به القاضي والخبير لتقدير ما إذا كانت الشركة مقصّرة، حتى عندما لا تكون تلك الضوابط ملزمة للشركة مباشرة.

الطبقة الثالثة: مزودو الخدمات التقنية

كثير من الاختراقات تحدث عبر مزود استضافة، أو شركة تطوير، أو مزود خدمة مدارة، أو ثغرة في برمجية طرف ثالث. ومسؤولية هؤلاء تجاه الشركة تعاقدية في الأساس، وتتحدد بما في العقد من التزامات أمنية، ومستويات خدمة، وبنود الإبلاغ عن الحوادث، وحدود التعويض. والعقد الذي يخلو من هذه البنود يترك الشركة أمام القواعد العامة التي تتطلب إثبات الخطأ، وهو أمر شاق تقنيًا. ولهذا نفرد مقالًا كاملًا عن صياغة اتفاقيات مستوى الخدمة لشركات تقنية المعلومات.

وعندما يكون المزود هو جهة المعالجة وفق نظام حماية البيانات الشخصية، فإن النظام يُلزم جهة التحكم بالتعاقد مع معالجين يقدمون ضمانات كافية، وهذا يعني أن إهمال اختيار المزود أو مراقبته قد يُعد خطأ من الشركة نفسها لا من المزود وحده.

جدول: من يسأل عن ماذا؟

الطرف	أساس المسؤولية	من يطالبه	الصعوبة الرئيسية
المخترق	الفعل الضار + الجريمة المعلوماتية	الشركة والعملاء المتضررون	تحديد الهوية وتنفيذ الحكم
الشركة المخترَقة	الإخلال بالعقد وواجب العناية + نظام حماية البيانات	العملاء وأصحاب البيانات	إثبات التقصير أو نفيه فنيًا
مزود التقنية	العقد واتفاقية مستوى الخدمة + التزامات المعالج	الشركة	حدود المسؤولية في العقد وإثبات السببية
الموظف المتسبب	الإخلال بعقد العمل وواجب الأمانة	الشركة	قيود نظام العمل على الخصم والتعويض
شركة التأمين	وثيقة التأمين السيبراني	الشركة المؤمَّن لها	الاستثناءات وشروط الإبلاغ

ما الذي يُعوَّض؟ عناصر الضرر في حوادث الاختراق

يُعوَّض في الأصل الضرر المباشر المتوقع: المبالغ المحوَّلة أو المسروقة، وكلفة الاستجابة والتحقيق الفني واستعادة الأنظمة، وكلفة إشعار العملاء، والخسائر الناتجة عن توقف الأعمال في المدة المعقولة للتعافي. أما الكسب الفائت والأضرار غير المباشرة كخسارة عقود مستقبلية أو تراجع القيمة السوقية فتخضع لتقدير أدق، ويشترط فيها عادةً أن تكون نتيجة طبيعية للفعل الضار وأن تُثبت بتقرير مالي لا بالتخمين.

وفي العلاقات التعاقدية، تؤثر بنود حد المسؤولية واستثناء الأضرار غير المباشرة في ما يمكن استرداده من المزود أو ما يمكن للعميل المطالبة به من الشركة، ويُنظر إليها في ضوء قواعد نظام المعاملات المدنية التي لا تُجيز الإعفاء من المسؤولية عن الغش أو الخطأ الجسيم. ولذلك فإن مراجعة هذه البنود قبل الحادثة أرخص بكثير من الاختصام حولها بعدها.

ويضاف إلى ذلك احتمال الضرر الأدبي لأصحاب البيانات في حالات التسريب الحساسة، وهو ما يعترف به النظام في حدود معينة ويخضع لتقدير القاضي بحسب طبيعة البيانات وأثر تسريبها على الشخص.

إثبات الضرر الرقمي

تقوم المسؤولية التقصيرية على ثلاثة عناصر: الخطأ، والضرر، وعلاقة السببية. وفي البيئة الرقمية يتطلب كل عنصر دليلًا فنيًا: سجلات الدخول، وتقارير الاستجابة للحوادث، وتحليل البرمجيات الخبيثة، وتقدير مالي لكلفة الاستعادة وتوقف الأعمال. ويعترف نظام الإثبات بالدليل الرقمي ويترك تقدير حجيته للقاضي، الذي يستعين عادة بخبير معتمد.

ولهذا فإن أول قرار بعد اكتشاف الاختراق قرار قانوني بقدر ما هو تقني: حفظ الأدلة قبل «تنظيف» الأنظمة. فالفريق التقني الذي يعيد تهيئة الخوادم بسرعة قد يُتلف الدليل الذي كانت الشركة ستحتاج إليه لتثبت أنها لم تقصّر أو لتطالب المزود أو المخترق. وتجب مراعاة مواعيد سقوط الدعوى في نظام المعاملات المدنية عند تأخر رفع المطالبة؛ راجع مدد التقادم في نظام المعاملات المدنية.

خطوات الاستجابة القانونية لحادثة اختراق

1. تفعيل خطة الاستجابة وتعيين منسق قانوني إلى جانب المنسق التقني منذ الساعة الأولى.
2. حفظ الأدلة: نسخ جنائية من الأنظمة المتأثرة، وسجلات الدخول، وتوثيق التسلسل الزمني.
3. الإبلاغ الجزائي: بلاغ إلى الجهات الأمنية أو النيابة العامة، مع الاحتفاظ برقم البلاغ لإثبات حسن النية والمطالبة بالحق الخاص.
4. الإشعارات التنظيمية: إشعار الجهة المختصة بحماية البيانات والجهات القطاعية (البنك المركزي، هيئة الاتصالات، الهيئة الوطنية للأمن السيبراني) وفق ما ينطبق على الشركة ومهله.
5. إشعار العملاء المتضررين بصياغة واضحة تتجنب الإقرار غير المدروس بالتقصير وتوفر لهم في الوقت نفسه ما يحتاجون إليه لحماية أنفسهم.
6. مراجعة عقود المزودين وإرسال إشعارات الإخلال والمطالبة بالتقارير في المهل التعاقدية.
7. إشعار شركة التأمين في المدة المحددة بالوثيقة، فالتأخر قد يسقط التغطية.
8. تقدير الضرر بتقرير مالي وفني مستقل يصلح أساسًا للمطالبة أو للدفاع.
9. اختيار مسار المطالبة: الحق الخاص في الدعوى الجزائية، أو دعوى مدنية، أو تحكيم إن وُجد شرطه مع المزود.
10. التصحيح الموثق: تنفيذ توصيات التقرير وتوثيقها، فهي دليل العناية في أي مطالبة لاحقة.

أخطاء شائعة

• إعادة تهيئة الأنظمة فور الاختراق وإتلاف الأدلة التي تحتاج إليها الشركة للدفاع أو للمطالبة.
• الاعتقاد بأن كون الشركة «ضحية» يعفيها من المسؤولية تجاه عملائها.
• التأخر في الإشعارات التنظيمية خوفًا من السمعة، فيتحول الحادث إلى مخالفة مستقلة.
• إصدار بيان عام يحمل إقرارًا بالتقصير قبل التحقيق الفني.
• عقود مزودين بلا بنود أمنية أو بحدود تعويض رمزية لا تغطي حادثة واحدة.
• عدم قراءة استثناءات وثيقة التأمين السيبراني وشروط الإبلاغ فيها.
• مطالبة الموظف المتسبب بكامل الخسارة دون مراعاة قيود نظام العمل على الخصم والتعويض.
• الاعتماد على تقرير داخلي من الفريق التقني نفسه بوصفه دليلًا محايدًا، بينما يحتاج القاضي إلى خبير مستقل.
• إغفال مواعيد سقوط الدعوى، فتضيع المطالبة على المزود أو المخترق بالتقادم بعد سنوات من التفاوض غير المجدي.

متى تحتاج إلى محامٍ؟

تحتاج إليه في الساعات الأولى من الحادثة لضبط الأدلة والإشعارات، وعند مطالبة العملاء أو المزودين أو شركة التأمين، وعند الدفاع عن الشركة في دعوى تعويض، وقبل الحادثة أصلًا عند صياغة العقود والسياسات التي تحدد المسؤوليات. تقدم شركة محمود عادل الثمالي للمحاماة خدمات الاستجابة القانونية للحوادث السيبرانية ومنازعات التقنية ضمن خدمات قطاع التقنية. احجز استشارة.

هذا المقال للتوعية العامة ولا يُعد استشارة قانونية لحالتك.

أسئلة شائعة

المصادر

• الهيئة الوطنية للأمن السيبراني — الضوابط والأطر
• الهيئة السعودية للبيانات والذكاء الاصطناعي — نظام حماية البيانات الشخصية
• المركز الوطني للوثائق والمحفوظات — نظام مكافحة جرائم المعلوماتية ونظام المعاملات المدنية

تحتاج إلى رأي قانوني في حالتك؟

احجز استشارة مع الفريق المختص، ويصل طلبك مباشرة إلى المحامي المسؤول عن القطاع.

احجز استشارةواتساب