نظام مكافحة الجرائم المعلوماتية في السعودية: ما تحتاج شركتك معرفته
23 يوليو
8 دقيقة قراءة
تاريخ التحديث: 24 أغسطس
تتعرض المنشآت التجارية في السعودية اليوم لمخاطر رقمية لم تكن موجودة قبل عشر سنوات: اختراق أنظمة الفوترة، انتحال هوية الشركة في رسائل احتيالية، تسريب بيانات العملاء من موظف سابق، أو ابتزاز إلكتروني لأحد المسؤولين التنفيذيين. لكل هذه الوقائع إطار قانوني محدد هو نظام مكافحة الجرائم المعلوماتية، وهو النظام الذي يحدد هذه الأفعال بوصفها جرائم ويقرر عقوباتها. مشكلة كثير من الشركات أنها لا تتعامل مع الجريمة الإلكترونية بوصفها واقعة قانونية لها إجراءات محددة، بل كحادثة تقنية تُحل داخليًا ثم تُنسى. في هذا المقال نوضح ماهية النظام، وأبرز الجرائم التي يغطيها، ومسؤولية شركتك في الحماية والإبلاغ، والخطوات العملية عند وقوع اعتداء إلكتروني على أعمالك.
نظام مكافحة الجرائم المعلوماتية نظام سعودي صادر بالمرسوم الملكي رقم م/17 وتاريخ 8/3/1428هـ، ويهدف إلى تحديد الجرائم المرتكبة عبر الحاسب الآلي والشبكة المعلوماتية وتحديد عقوبة كل منها، بما يشمل الاختراق، الاحتيال الإلكتروني، تسريب البيانات، والابتزاز، مع عقوبات تصل إلى السجن والغرامة المالية بحسب نوع الجريمة وظروفها.
ما المقصود بنظام مكافحة الجرائم المعلوماتية؟
نظام مكافحة الجرائم المعلوماتية نظام سعودي مستقل صدر بالمرسوم الملكي رقم م/17 وتاريخ 8/3/1428هـ الموافق 26 مارس 2007م، ويهدف بحسب نصه إلى الحد من وقوع الجرائم المعلوماتية عبر تحديدها وتحديد العقوبة المقررة لكل منها، بما يحقق جملة من الأهداف من بينها حماية الحقوق المترتبة على الاستخدام المشروع للحاسبات الآلية وشبكات المعلومات، وحماية المصلحة العامة والقيم الأخلاقية، وصون الاقتصاد الوطني.
يُقصد بالجريمة المعلوماتية وفق هذا النظام أي فعل يُرتكب متضمنًا استخدام الحاسب الآلي أو الشبكة المعلوماتية بما يخالف أحكام النظام، سواء وقع الفعل على بيانات أو أنظمة تخص أفرادًا أو جهات حكومية أو منشآت خاصة. وهذا التوسع في التعريف هو ما يجعل نظام مكافحة الجرائم المعلوماتية قابلًا للتطبيق على وقائع تمس الشركات بشكل مباشر، وليس فقط على النزاعات الشخصية.
لماذا يهم هذا النظام الشركات تحديدًا؟
حين تُذكر الجرائم المعلوماتية، يتجه الذهن غالبًا إلى حالات التشهير أو الابتزاز الشخصي. لكن نظام مكافحة الجرائم المعلوماتية يغطي أيضًا وقائع تمس الشركات في صميم نشاطها: اختراق قواعد بيانات العملاء، انتحال اسم الشركة أو نطاقها الإلكتروني لخداع الموردين أو العملاء، تسريب عقود أو بيانات مالية من موظف حالي أو سابق، وتعطيل الأنظمة التشغيلية أو المتاجر الإلكترونية عمدًا.
من زاوية أخرى، لا تقتصر علاقة الشركة بالنظام على كونها ضحية محتملة، بل تمتد إلى مسؤوليتها في الامتثال. فالشركة التي تحتفظ ببيانات عملائها أو موظفيها مطالبة بحمايتها بالقدر المعقول، وأي تقصير جسيم في هذه الحماية قد يعرّضها لمساءلة مدنية من المتضررين إلى جانب الأثر السمعي، حتى وإن كان الفاعل الأصلي طرفًا خارجيًا.
النظام صادر بالمرسوم الملكي رقم م/17 لعام 1428هـ.
يغطي جرائم تمس الأفراد والشركات والجهات الحكومية على حد سواء.
الشركات معرضة لدور "الضحية" و"الجهة المسؤولة عن الحماية" في آن واحد.
العقوبات تشمل السجن والغرامة المالية، وتختلف شدتها حسب نوع الجريمة وظروفها.
الإبلاغ الرسمي شرط أساسي لتحريك الحماية القانونية في أغلب الحالات.
أبرز الجرائم المعلوماتية التي يعاقب عليها النظام
حدد نظام مكافحة الجرائم المعلوماتية عدة تصنيفات للجرائم، بعقوبات متفاوتة بحسب جسامة الفعل وأثره. الجدول التالي يلخص أبرزها بصورة عامة، مع الإشارة إلى أن التكييف الدقيق لكل واقعة يحتاج مراجعة قانونية متخصصة لأن الوصف الفعلي للفعل هو ما يحدد المادة المنطبقة عليه.
التصنيف | أمثلة على الفعل | الحد الأعلى للعقوبة المشار إليه في النظام |
الاعتداء على الخصوصية والتهديد الإلكتروني | التقاط بيانات خاصة أو مراقبتها دون مسوغ نظامي، التهديد أو الابتزاز إلكترونيًا | سجن حتى سنة وغرامة حتى 500 ألف ريال |
الاحتيال وانتحال الصفة | استخدام اسم كاذب أو صفة غير صحيحة للاستيلاء على أموال أو بيانات بنكية أو ائتمانية | سجن حتى 3 سنوات وغرامة حتى 2 مليون ريال |
الاعتداء على الأنظمة والمحتوى الإلكتروني | الدخول غير المشروع لإلغاء بيانات أو حذفها أو تدميرها أو تسريبها، تعطيل الشبكة المعلوماتية | سجن حتى 4 سنوات وغرامة حتى 3 ملايين ريال |
المحتوى المخالف للنظام العام والآداب | إنتاج أو إعداد أو إرسال أو تخزين محتوى يمس النظام العام أو القيم الدينية أو الحياة الخاصة | سجن حتى 5 سنوات وغرامة حتى 3 ملايين ريال |
جرائم أمن الدولة والاقتصاد الوطني | الدخول غير المشروع للحصول على بيانات تمس الأمن الداخلي أو الخارجي أو الاقتصاد الوطني | عقوبات مشددة تصل إلى السجن لسنوات طويلة وفق تقدير الجهة القضائية |
جرائم الاعتداء على الخصوصية والتهديد الإلكتروني
تشمل هذه الفئة مشاهدة بيانات خاصة أو الحصول عليها دون إذن نظامي، وكذلك استخدام وسائل التقنية للتهديد أو الابتزاز، كتهديد شخص أو منشأة بنشر معلومات أو صور مقابل مبلغ مالي أو خدمة معينة. تتكرر هذه الجريمة في سياق الشركات حين يُهدَّد أحد المسؤولين التنفيذيين أو الموظفين بنشر مراسلات أو بيانات داخلية.
يهمك ايضا محامي جرائم الإنترنت
جرائم الاحتيال وانتحال الصفة للاستيلاء على الأموال
يغطي النظام حالات استخدام الاحتيال أو انتحال صفة أو اسم كاذب للاستيلاء على مال منقول أو مستند أو بيانات بنكية أو ائتمانية. هذه الفئة هي الأكثر شيوعًا في استهداف الشركات، من خلال رسائل بريد إلكتروني منتحلة تطلب تحويل مبالغ، أو مواقع مزيفة تحاكي واجهة الشركة لخداع العملاء.
جرائم اختراق الأنظمة وتخريب البيانات
تتعلق هذه الفئة بالدخول غير المشروع إلى نظام معلوماتي بقصد إلغاء بيانات أو حذفها أو تدميرها أو تسريبها أو تعديلها، وكذلك تعطيل الشبكة المعلوماتية أو تدمير البرامج المستخدمة فيها. هذا التصنيف هو الأكثر ارتباطًا بحوادث الاختراق التقني التي تتعرض لها الأنظمة الداخلية للشركات ومتاجرها الإلكترونية.
جرائم المحتوى المخالف للنظام العام والآداب العامة
يعاقب النظام على إنتاج أو إعداد أو إرسال أو تخزين محتوى إلكتروني يمس النظام العام أو القيم الدينية أو الآداب العامة أو حرمة الحياة الخاصة. تحتاج الشركات إلى إدراك هذه الفئة خصوصًا فيما يتعلق بمحتوى موظفيها على القنوات الرسمية للشركة، لأن مسؤولية النشر قد تمتد إلى المنشأة في حالات معينة.
الظروف المشددة للعقوبة
لا تقل عقوبة السجن أو الغرامة عن نصف الحد الأعلى المقرر إذا اقترنت الجريمة المعلوماتية بأي من الظروف التالية: ارتكاب الجاني الجريمة من خلال عصابة منظمة، أو شغله وظيفة عامة واستغلاله سلطاته أو نفوذه في ارتكابها، أو التغرير بقاصرين ومن في حكمهم واستغلالهم، أو صدور أحكام سابقة محلية أو أجنبية بإدانة الجاني في جرائم مماثلة. هذا يعني أن الجريمة نفسها قد تُعاقَب بشدة أكبر بحسب صفة مرتكبها أو ظروف ارتكابها، وليس فقط بحسب نوع الفعل.
تنبيه: بعض الشركات تتعامل مع حادثة الاختراق أو التسريب باعتبارها "مشكلة تقنية" فقط، وتكتفي بإصلاح الثغرة دون توثيق الواقعة أو تقديم بلاغ رسمي. هذا يُضعف موقف الشركة لاحقًا في حال احتاجت إلى إثبات الضرر أو المطالبة بالتعويض، أو في حال تكرر الاعتداء من الفاعل نفسه.
مسؤولية الشركة عن حماية بياناتها والوقاية من الجريمة
إلى جانب كون الشركة ضحية محتملة للجرائم المعلوماتية، فإنها طرف مسؤول عن حماية ما تحتفظ به من بيانات عملائها وموظفيها. هذه المسؤولية لا ينظمها نظام مكافحة الجرائم المعلوماتية وحده، بل تتقاطع مع أنظمة أخرى ذات صلة مثل نظام حماية البيانات الشخصية، إلا أن الوقاية العملية من الجريمة المعلوماتية تبقى خط الدفاع الأول قبل الوصول إلى مرحلة التقاضي.
تقييد صلاحيات الوصول إلى الأنظمة الحساسة بحسب طبيعة كل وظيفة.
توثيق سياسة داخلية واضحة للتعامل مع البيانات السرية ومشاركتها.
إلزام الموظفين والمتعاقدين ببنود سرية صريحة ضمن العقود.
تحديث إجراءات الحماية التقنية بشكل دوري ومراجعة سجلات الدخول للأنظمة.
تدريب الموظفين على التعرف على رسائل الاحتيال والانتحال الإلكتروني.
خطوات الإبلاغ عن جريمة معلوماتية تستهدف شركتك
عند وقوع اعتداء إلكتروني على شركتك، سواء اختراقًا أو احتيالًا أو ابتزازًا، يحدد الإجراء العملي التالي المسار الرسمي للتعامل مع الواقعة:
توثيق الواقعة فور اكتشافها: لقطات شاشة، رسائل، سجلات الدخول، وأي أثر رقمي قبل أن يُحذف أو يُستبدل.
عدم التفاعل مع الجهة المحتالة أو المبتزة، وعدم تحويل أي مبالغ أو تسليم رموز تحقق (OTP) تحت أي ظرف.
تقديم بلاغ رسمي عبر تطبيق "كلنا أمن" التابع لوزارة الداخلية، أو عبر منصة أبشر، أو عبر الرقم الموحد 330330 في حالات الاحتيال والرسائل المشبوهة.
إبلاغ الجهات المصرفية فورًا إذا كانت الواقعة تتضمن تحويلات مالية، لطلب تجميد أي معاملة مشبوهة.
الاستعانة بمحامٍ متخصص لمتابعة البلاغ أمام هيئة التحقيق والادعاء العام وصياغة أي مطالبة مدنية بالتعويض إن وُجد ضرر.
أخطاء شائعة تُضعف موقف الشركة القانوني
من أكثر الأخطاء تكرارًا تأخر الشركة في الإبلاغ بعد اكتشاف الواقعة، اعتقادًا بأن التعامل الداخلي كافٍ. كذلك يقع بعض المسؤولين في خطأ التفاوض المباشر مع الجهة المبتزة أو المحتالة على أمل إنهاء الأزمة بهدوء، وهو ما قد يُفسَّر لاحقًا كإقرار ضمني أو يُفقد الشركة فرصة تتبع الأثر الرقمي للجاني.
خطأ آخر شائع هو إغفال توثيق سياسات حماية البيانات داخليًا، بحيث تجد الشركة نفسها عاجزة عن إثبات أنها اتخذت إجراءات معقولة للحماية عند مواجهة مطالبة من عميل متضرر من تسريب بياناته.
التحديات التي تواجه الشركات في إثبات الجريمة المعلوماتية
يعتمد إثبات الجريمة المعلوماتية غالبًا على أدلة رقمية قابلة للتلاعب أو الحذف السريع، مثل سجلات الدخول أو عناوين IP أو المراسلات الإلكترونية، ما يجعل توقيت التوثيق عاملًا حاسمًا. تزداد الصعوبة حين يكون الفاعل خارج المملكة، إذ قد تحتاج الجهات المختصة إلى قنوات تعاون دولي لتتبع مصدر الجريمة، وهو إجراء يطول زمنيًا مقارنة بالوقائع المحلية البحتة.
متى تحتاج شركتك إلى محامٍ متخصص في الجرائم المعلوماتية؟
ليست كل واقعة تقنية تستدعي تدخلًا قانونيًا فوريًا، لكن هناك حالات يصبح فيها وجود محامٍ متخصص ضرورة لا رفاهية: عند وقوع اختراق يمس بيانات عملاء أو موظفين بشكل جوهري، عند تلقي تهديد أو ابتزاز إلكتروني موجه لأحد قيادات الشركة، عند اكتشاف تسريب من موظف حالي أو سابق يستوجب اتخاذ إجراء نظامي بحقه، أو عند الحاجة لصياغة بلاغ رسمي بصورة دقيقة تراعي التكييف القانوني الصحيح للواقعة قبل تقديمه للجهات المختصة.
دور شركة لزم للمحاماة في قضايا الجرائم المعلوماتية
يقدّم فريق لزم للمحاماة دعمًا قانونيًا للشركات في مختلف مراحل التعامل مع الجرائم المعلوماتية، بدءًا من دراسة الواقعة وتكييفها القانوني، ومراجعة الأدلة الرقمية المتوفرة، وصياغة البلاغات الرسمية بما يتوافق مع نظام مكافحة الجرائم المعلوماتية، وصولًا إلى تمثيل الشركة أمام الجهات المختصة ومتابعة الإجراءات حتى صدور القرار النهائي. كما يساعد الفريق الشركات في الجانب الوقائي، من خلال مراجعة السياسات الداخلية وبنود السرية في العقود بما يقلل من فرص وقوع هذه الجرائم من الأساس.
لا يقدّم الفريق أي ضمانات لنتيجة قضية بعينها، إذ يبقى تقدير الوقائع والأدلة منوطًا بالجهات القضائية، لكنه يوفر مرافقة قانونية دقيقة تزيد من فرص حماية حقوق الشركة في كل مرحلة.
نظام مكافحة الجرائم المعلوماتية يمنح الشركات إطارًا قانونيًا واضحًا للتعامل مع الاعتداءات الرقمية، لكن الاستفادة الفعلية منه تبدأ من لحظة اكتشاف الواقعة، لا من لحظة اللجوء إلى القضاء. توثيق الحادثة فور وقوعها، والامتناع عن التفاوض المباشر مع الجاني، والإبلاغ عبر القنوات الرسمية، خطوات تحدد إلى حد كبير قوة موقف شركتك لاحقًا. وبقدر ما يمثل النظام حماية للشركة كضحية، فإنه يفرض عليها أيضًا مسؤولية جدية في حماية بيانات من تتعامل معهم.
إذا كانت منشأتك تعرضت لاختراق أو احتيال إلكتروني أو تسريب بيانات، أو كنت تحتاج إلى مراجعة سياساتك الداخلية لحمايتها بموجب نظام مكافحة الجرائم المعلوماتية، يمكن لفريق شركة لزم للمحاماة دراسة الحالة ومراجعة الأدلة المتوفرة وتوضيح الخيارات النظامية المناسبة قبل اتخاذ أي إجراء.
يهمك خدماتنا
الأسئلة الشائعة حول نظام مكافحة الجرائم المعلوماتية
ما الفرق بين الاحتيال الإلكتروني والابتزاز الإلكتروني نظاميًا؟
الاحتيال الإلكتروني يقوم على الخداع للاستيلاء على أموال أو بيانات بنكية بانتحال صفة أو اسم كاذب، بينما الابتزاز الإلكتروني يقوم على التهديد بنشر معلومات أو صور مقابل مال أو خدمة. كلاهما جريمتان منفصلتان ضمن نظام مكافحة الجرائم المعلوماتية، وقد تختلف عقوبة كل منهما بحسب المادة المنطبقة وظروف الواقعة.
هل يمكن مقاضاة موظف سرّب بيانات الشركة إلكترونيًا؟
نعم، إذا ثبت أن الموظف دخل إلى بيانات أو أنظمة دون تفويض نظامي وقام بتسريبها أو نسخها لغرض غير مصرح به، فقد ينطبق عليه وصف جريمة معلوماتية إلى جانب أي مساءلة عقدية أو تأديبية ناتجة عن مخالفته لبنود السرية في عقد عمله.
ما عقوبة اختراق أنظمة الشركة في نظام مكافحة الجرائم المعلوماتية؟
تختلف العقوبة بحسب طبيعة الفعل وأثره؛ فجرائم الدخول غير المشروع لتخريب البيانات أو تعطيل الأنظمة تصل عقوبتها إلى السجن والغرامة المالية بحسب ما ينص عليه النظام، وترتفع العقوبة إذا اقترن الفعل بظروف مشددة كالعصابات المنظمة أو استغلال وظيفة عامة.
كيف تُبلغ شركة سعودية عن جريمة إلكترونية استهدفتها؟
يتم الإبلاغ عبر تطبيق "كلنا أمن" التابع لوزارة الداخلية، أو منصة أبشر، أو الرقم الموحد 330330 في حالات الاحتيال عبر الاتصالات، مع ضرورة إرفاق الأدلة الرقمية المتوفرة كلقطات الشاشة وسجلات المراسلات قبل تقديم البلاغ.
هل تختص الجهات السعودية بجريمة معلوماتية ارتكبها فاعل من خارج المملكة؟
إذا وقعت آثار الجريمة داخل المملكة أو كان المتضرر مقيمًا فيها، تختص الجهات السعودية بالنظر في الواقعة وفق نظام الإجراءات الجزائية، وقد تحتاج إلى الاستعانة بقنوات التعاون الدولي لتتبع الفاعل إذا تطلب الأمر ذلك.
هل يُعاقب من يقدّم بلاغًا كاذبًا عن جريمة معلوماتية؟
نعم، تقديم بلاغ كيدي أو كاذب يُعد فعلًا يعاقب عليه النظام، ويحق للمتضرر من هذا البلاغ رفع دعوى للمطالبة بالتعويض عن الأضرار الناتجة عنه، إلى جانب أي إجراء جزائي بحق مقدّم البلاغ الكاذب.
هل يحتاج كل حادث اختراق تقني إلى تدخل محامٍ؟
ليس بالضرورة، لكن يُنصح بمراجعة قانونية عندما يمس الاختراق بيانات جوهرية للعملاء أو الموظفين، أو حين تفكر الشركة في تقديم بلاغ رسمي أو مطالبة بتعويض، لضمان توثيق الواقعة وتكييفها القانوني بشكل صحيح من البداية.
ما مسؤولية الشركة تجاه بيانات عملائها بموجب هذا النظام؟
لا يفرض نظام مكافحة الجرائم المعلوماتية بذاته التزامات تفصيلية على الشركات لحماية البيانات، لكنه يجرّم الاعتداء عليها من الغير، بينما تتقاطع مسؤولية الشركة في الحماية الوقائية مع أنظمة أخرى ذات صلة، ما يجعل مراجعة السياسات الداخلية خطوة مهمة لتقليل التعرض للمساءلة.
