قد يستيقظ مالك شركة ليكتشف أن البريد الإلكتروني الإداري قد تعرض للاختراق، وأن بيانات العملاء والتقارير المالية وكلمات المرور أصبحت في حوزة شخص مجهول. وقد يتطور الأمر إلى حذف السجلات، أو تعطيل أنظمة الشركة، أو انتحال صفة المدير المالي وإرسال تعليمات تحويل مزيفة.
لم يعد هذا السيناريو مجرد احتمال تقني بعيد، بل أصبح من المخاطر القانونية والتجارية التي قد تهدد استثمارات سنوات خلال ساعات قليلة. ولهذا وضع المشرع القطري إطارًا جنائيًا لمواجهة الدخول غير المشروع إلى الحسابات والأنظمة الإلكترونية، إلى جانب قواعد لحماية البيانات الشخصية وحقوق الشركات المتضررة في المطالبة بالتعويض.
الإجابة المختصرة: يعاقب القانون القطري على الدخول العمدي غير المشروع إلى المواقع أو الأنظمة أو الشبكات أو وسائل تقنية المعلومات بالحبس مدة لا تجاوز ثلاث سنوات، وبغرامة لا تزيد على 500,000 ريال قطري، أو بإحدى هاتين العقوبتين. وقد تتضاعف العقوبة إذا ترتب على الدخول حذف البيانات أو إفشاؤها أو تغييرها أو نسخها أو نشرها أو تعطيل النظام أو الإضرار بالمستخدمين.
ما القانون المنظم لجرائم اختراق الحسابات في قطر؟
ينظم القانون رقم 14 لسنة 2014 بإصدار قانون مكافحة الجرائم الإلكترونية صورًا متعددة من الاعتداءات الرقمية. ويشمل ذلك، بحسب ظروف الواقعة والنص المنطبق عليها:
- الدخول غير المشروع إلى المواقع والحسابات والأنظمة والشبكات المعلوماتية.
- تجاوز النطاق أو المستوى المصرح به للدخول، أو الاستمرار داخل النظام بعد العلم بعدم مشروعية التواجد فيه.
- اعتراض البيانات أو التنصت عليها أثناء إرسالها عبر الشبكات.
- حذف البيانات أو تعديلها أو إتلافها أو نسخها أو تسريبها أو نشرها.
- انتحال هوية شخص طبيعي أو معنوي واستخدام الحسابات المخترقة في الاحتيال.
- الاستيلاء على الأموال أو التوقيعات أو السندات باستخدام وسائل تقنية المعلومات.
- الاعتداء على بيانات بطاقات التعامل الإلكتروني.
- التعدي باستخدام الوسائل التقنية على الأسرار التجارية وحقوق الملكية الفكرية المحمية قانونًا.
كما عُدل القانون بموجب القانون رقم 11 لسنة 2025، الذي أضاف المادة 8 مكرر المتعلقة بنشر أو تداول صور أو مقاطع مرئية للأفراد أثناء وجودهم في الأماكن العامة في الأحوال التي حددها النص.
غير أن هذه المادة ليست الأساس القانوني لاختراق حسابات الشركات، إذ تخضع تلك الأفعال أساسًا لنصوص الدخول غير المشروع والاحتيال وانتحال الهوية والتعدي على البيانات والأسرار التجارية، وفقًا لملابسات كل حالة.
هل مجرد الدخول إلى حساب إلكتروني دون إذن يُعد جريمة؟
نعم. لا يشترط لقيام جريمة الدخول غير المشروع أن ينجح الجاني في سرقة أموال أو حذف ملفات.
فـ المادة 3 من قانون مكافحة الجرائم الإلكترونية تعاقب كل من يدخل عمدًا ودون وجه حق، بأي وسيلة، إلى موقع إلكتروني أو نظام معلوماتي أو شبكة معلوماتية أو وسيلة من وسائل تقنية المعلومات أو جزء منها.
وتشمل المادة كذلك تجاوز الدخول المصرح به، أو الاستمرار في التواجد داخل النظام بعد العلم بعدم مشروعية ذلك.
وتصل العقوبة إلى الحبس مدة لا تجاوز ثلاث سنوات، والغرامة التي لا تزيد على 500,000 ريال قطري، أو بإحدى هاتين العقوبتين.
وبذلك قد تقع الجريمة حتى لو لم يحذف المخترق أي ملف؛ لأن الحماية القانونية تتعلق بسلامة النظام وحق صاحبه في التحكم فيمن يملك صلاحية الوصول إليه.
أما استخدام صلاحية صحيحة في غير الغرض الوظيفي المخصص لها، فيخضع لتكييف الواقعة وحدود التفويض والضرر الناتج عنها، ولا ينبغي افتراض انطباق وصف جنائي واحد على جميع الحالات.
متى تتضاعف عقوبة اختراق الحسابات في قطر؟
تنص المادة 3 على مضاعفة العقوبة إذا ترتب على الدخول غير المشروع أي من النتائج التي حددها القانون، ومن بينها:
- إلغاء البيانات أو حذفها أو إتلافها أو تغييرها.
- إضافة معلومات غير صحيحة إلى النظام.
- إفشاء البيانات أو الأسرار الموجودة داخله.
- نقل المعلومات أو التقاطها أو نسخها.
- نشر البيانات أو إعادة نشرها.
- إيقاف الموقع أو النظام أو الشبكة أو تعطيلها.
- الإضرار بالمستخدمين أو المستفيدين.
- تغيير محتوى الموقع أو تصميمه أو طريقة استخدامه.
- انتحال شخصية مالك الموقع أو المسؤول عن إدارته.
ولهذا تختلف المسؤولية القانونية بين شخص دخل إلى حساب دون تصريح، وشخص استغل هذا الدخول لحذف قاعدة بيانات الشركة أو تسريب معلومات العملاء أو تعطيل أعمالها.
ففي الحالة الثانية لا تكون الواقعة مجرد دخول غير مشروع، بل دخولًا ترتبت عليه نتائج مشددة نص القانون على مضاعفة العقوبة عند تحققها.
ما عقوبة اعتراض البيانات أو التنصت عليها؟
لا تقتصر الجرائم الإلكترونية على الدخول إلى الحسابات. فقد تقع الجريمة عن طريق التقاط البيانات أثناء إرسالها أو اعتراضها أو التنصت عليها دون وجه حق.
وبموجب المادة 4، تصل العقوبة إلى الحبس مدة لا تجاوز سنتين، والغرامة التي لا تزيد على 100,000 ريال قطري، أو بإحدى هاتين العقوبتين.
وقد تنطبق هذه المادة، بحسب ملابسات الواقعة والأدلة الفنية، على اعتراض المراسلات الإلكترونية أو مراقبة البيانات المتبادلة عبر الشبكات من دون سند قانوني أو تصريح مشروع.
سرقة أسرار الشركات وتسريب البيانات الحساسة
قد تتضمن الأنظمة المخترقة معلومات لا تقل قيمة عن الأموال، مثل قوائم العملاء والموردين، وخطط التسعير، والعروض التجارية، والتقارير المالية الداخلية، والاستراتيجيات، والمواصفات الفنية والبرمجية، والعقود والمراسلات السرية.
ويجب هنا التمييز بين نوعين من المعلومات:
- بيانات النفاذ والمعلومات الحساسة: مثل كلمات المرور ورموز التحقق ومفاتيح الوصول، وهي معلومات يتعين حمايتها ولو لم تُصنف قانونًا باعتبارها أسرارًا تجارية.
- الأسرار التجارية المحتمل حمايتها قانونًا: مثل خطط التسعير أو قواعد العملاء السرية أو الاستراتيجيات غير المتاحة للجمهور، متى توافرت فيها شروط الحماية واتخذت الشركة إجراءات معقولة للمحافظة على سريتها.
وتعاقب المادة 13 من قانون مكافحة الجرائم الإلكترونية من يستخدم الشبكة المعلوماتية أو وسائل تقنية المعلومات في التعدي أو تسهيل التعدي على حقوق المؤلف والحقوق المجاورة وبراءات الاختراع والأسرار التجارية والتصاميم الصناعية والعلامات التجارية والأسماء التجارية والمؤشرات الجغرافية، متى كانت محمية قانونًا.
وتصل العقوبة إلى الحبس مدة لا تجاوز ثلاث سنوات، والغرامة التي لا تزيد على 500,000 ريال قطري، أو بإحدى هاتين العقوبتين.
وقد تجتمع هذه الجريمة مع جريمة الدخول غير المشروع إذا تضمنت الواقعة أفعالًا متعددة، مثل اختراق نظام الشركة ثم نسخ أسرارها التجارية وتسليمها إلى منافس.
ويظل تحديد النصوص المنطبقة وتعدد الجرائم من مسائل التكييف التي تتوقف على الوقائع والأدلة.
انتحال صفة المدير أو الشركة بعد الاختراق
يلجأ بعض المخترقين إلى استخدام البريد الإلكتروني أو الحسابات المستولى عليها لانتحال صفة المدير العام أو المدير المالي، ثم إرسال أوامر مزيفة إلى الموظفين أو العملاء.
وتعاقب المادة 11 على استخدام الشبكة المعلوماتية أو وسائل تقنية المعلومات في انتحال هوية شخص طبيعي أو معنوي، كما تعاقب على الاستيلاء على مال أو سند أو توقيع بطريق الاحتيال أو باستخدام اسم كاذب أو صفة غير صحيحة.
وتصل العقوبة إلى الحبس مدة لا تجاوز ثلاث سنوات، والغرامة التي لا تزيد على 100,000 ريال قطري، أو بإحدى هاتين العقوبتين.
ومن الصور العملية المحتملة:
- إرسال تعليمات مزيفة لتغيير الحساب البنكي للمورد.
- مطالبة موظف بتحويل مبلغ عاجل باسم المدير.
- استخدام البريد الإلكتروني للشركة لإبرام تعاملات وهمية.
- مخاطبة العملاء وطلب بيانات مالية أو كلمات مرور.
- إنشاء فواتير أو مراسلات تحمل اسم الشركة أو شعارها بقصد الاحتيال.
اختراق الحسابات البنكية وبيانات بطاقات الدفع
يفرض القانون حماية خاصة على بيانات بطاقات التعامل الإلكتروني.
وتعاقب المادة 12 بالحبس مدة لا تجاوز ثلاث سنوات، والغرامة التي لا تزيد على 200,000 ريال قطري، أو بإحدى هاتين العقوبتين، على أفعال من بينها الحصول دون وجه حق على أرقام أو بيانات بطاقة تعامل إلكتروني، وتزوير البطاقات أو استخدامها مع العلم بتزويرها، وفقًا للتفاصيل الواردة في النص.
وقد يؤدي اختراق حساب مصرفي أو استخدام بيانات دفع مسروقة إلى تطبيق أكثر من نص قانوني، بحسب طريقة الدخول والوسيلة المستخدمة والبيانات التي جرى الاستيلاء عليها والنتيجة المالية المترتبة على الجريمة.
هل يحق للشركة المطالبة بالتعويض بعد الاختراق؟
المسار الجنائي لا يمنع الشركة المتضررة من المطالبة بالتعويض المدني متى ثبت الخطأ والضرر وعلاقة السببية.
وتنص المادة 199 من القانون المدني القطري على أن كل خطأ سبب ضررًا للغير يلزم من ارتكبه بالتعويض.
كما تقضي المادة 201 بأن الضرر القابل للتعويض يشمل الخسارة التي وقعت والكسب الذي فات، متى كانا نتيجة طبيعية للعمل غير المشروع.
وبحسب ظروف الواقعة ومستنداتها، قد تشمل المطالبة بالتعويض:
- تكلفة فحص الأنظمة واحتواء الحادث واستعادة التشغيل.
- تكلفة استعادة الملفات والنسخ الاحتياطية.
- الخسائر الناتجة عن توقف النشاط أو تعطل الخدمات.
- المبالغ التي استولى عليها الجاني.
- تكاليف إخطار المتضررين ومعالجة آثار تسرب بياناتهم.
- الكسب الذي فات الشركة بسبب فقدان فرص تجارية.
- أضرار أخرى يمكن إثبات ارتباطها المباشر بالاختراق.
ولا تُحكم هذه المبالغ تلقائيًا، بل يلزم تقديم مستندات وتقارير مالية وفنية تثبت مقدار الضرر وعلاقته بالفعل غير المشروع.
اقرأ ايضًا: 5 شروط أساسية لمزاولة النشاط التجاري أو الصناعي في قطر
هل يكفي الحكم الجنائي للحصول على التعويض؟
تكون للحكم الجنائي حجية أمام المحاكم المدنية في المسائل التي فصل فيها فصلًا لازمًا، مثل وقوع الفعل ونسبته إلى مرتكبه ووصفه القانوني، متى استوفى الحكم شروط الحجية المقررة قانونًا.
ومع ذلك يظل مقدار التعويض وعناصر الضرر من المسائل التي تحتاج الشركة إلى إثباتها بالمستندات والتقارير الفنية والمالية.
لذلك لا يكفي إثبات وقوع الاختراق وحده، بل ينبغي توثيق أثره المالي والتشغيلي منذ اللحظة الأولى، بما في ذلك ساعات التوقف، وتكلفة الاستجابة، والمبالغ المفقودة، والعقود أو الفرص التي تأثرت.
التزامات الشركات بحماية بيانات العملاء
لا تقتصر مسؤولية الشركة على ملاحقة المخترق بعد وقوع الجريمة، بل تمتد إلى اتخاذ إجراءات مناسبة لحماية البيانات الشخصية التي تحتفظ بها.
ويسري القانون رقم 13 لسنة 2016 بشأن حماية خصوصية البيانات الشخصية على البيانات عندما تتم معالجتها إلكترونيًا أو تُجمع تمهيدًا لمعالجتها إلكترونيًا.
ويلزم القانون المراقب والمعالج باتخاذ احتياطات تتناسب مع طبيعة البيانات وأهميتها لحمايتها من الضياع أو التلف أو التعديل أو الإفشاء أو الوصول أو الاستخدام العارض أو غير المشروع.
ومن الإجراءات المؤسسية العملية:
- تحديد صلاحيات الوصول بناءً على المهام الوظيفية.
- تفعيل المصادقة متعددة العوامل للحسابات الحساسة.
- مراجعة الصلاحيات عند انتقال الموظف أو انتهاء خدمته.
- تشفير البيانات الحساسة أثناء التخزين والنقل.
- تحديث الأنظمة والبرامج بصورة منتظمة.
- اختبار النسخ الاحتياطية وخطط استمرارية الأعمال.
- تدريب الموظفين على رسائل التصيد والاحتيال.
- تحديث التزامات السرية وحماية البيانات في العقود.
- وضع خطة مكتوبة للاستجابة للحوادث السيبرانية وتحديد المسؤوليات داخلها.
هل يجب إخطار العملاء والجهة المختصة بتسرب البيانات؟
إذا شمل الاختراق بيانات شخصية، فلا تقتصر الإجراءات المطلوبة على استعادة الأنظمة أو تقديم البلاغ الجنائي.
توجب المادة 13 على المعالج أن يخطر مراقب البيانات فور علمه بوجود إخلال بالاحتياطات أو خطر يهدد البيانات الشخصية.
كما توجب المادة 14 على المراقب إعلام الفرد والإدارة المختصة إذا كان من شأن الإخلال إحداث ضرر جسيم بالبيانات الشخصية أو بخصوصية الفرد.
ويجب تقييم واقعة التسرب بسرعة، وتحديد نوع البيانات المتأثرة، وعدد الأفراد، واحتمال إساءة استخدامها، ومستوى الضرر المتوقع.
كما ينبغي تنسيق الإخطار مع المستشار القانوني والفريق الفني، حتى تكون المعلومات دقيقة ولا يؤدي التواصل المتسرع إلى الإضرار بالتحقيق أو تضليل المتضررين.
وقد تترتب على مخالفة التزامات حماية البيانات عقوبات مستقلة بموجب قانون حماية خصوصية البيانات الشخصية؛ إذ يقرر القانون، مع عدم الإخلال بأي عقوبة أشد، غرامات تصل إلى مليون ريال قطري لبعض المخالفات، وغرامة تصل إلى خمسة ملايين ريال قطري لمخالفة المادة 13 وغيرها من الأحكام التي حددها النص.
ماذا تفعل الشركة فور اكتشاف الاختراق؟
تؤثر الساعات الأولى بعد اكتشاف الهجوم في إمكانية تحديد نطاقه والحفاظ على الأدلة وتعقب الجاني. وقد يؤدي التدخل الفني العشوائي إلى حذف سجلات أو تغيير بيانات مهمة للتحقيق.
1. احتواء الاختراق دون إتلاف الأدلة
يجب عزل الأجهزة أو الحسابات المتضررة وفق خطة فنية مدروسة، بدلًا من حذف الملفات أو إعادة تهيئة الأجهزة مباشرة.
ويُفضل توثيق كل خطوة وتوقيتها والشخص الذي نفذها.
2. الاحتفاظ بالسجلات والأدلة الرقمية
ينبغي الحفاظ، كلما كان ذلك ممكنًا ومشروعًا، على:
- سجلات الدخول والخروج ومحاولات المصادقة.
- عناوين بروتوكول الإنترنت ومعلومات الأجهزة.
- الرسائل الإلكترونية والروابط والمرفقات المشبوهة.
- أوقات إنشاء الملفات أو تعديلها أو حذفها.
- لقطات الشاشة الأصلية وبياناتها الزمنية.
- سجلات الخوادم والتطبيقات وأنظمة الحماية.
- النسخ الاحتياطية والتنبيهات الصادرة عن أدوات الرصد.
- أي رسائل ابتزاز أو مطالبات مالية وردت من الجاني.
ويجب التعامل مع الأدلة الرقمية بطريقة تحافظ على سلامتها وسلسلة حيازتها، مع الاستعانة بخبير فني عند الحاجة، بدل الاعتماد على نسخ غير موثقة أو لقطات مبتورة.
3. تغيير بيانات النفاذ بصورة منضبطة
تُغيّر كلمات المرور، وتُلغى الجلسات المفتوحة، وتُعطّل الحسابات المشتبه فيها، وتُراجع وسائل الاسترداد ورموز المصادقة، مع توثيق توقيت كل إجراء.
وقد يكون من الضروري تنفيذ ذلك من جهاز آمن غير متأثر بالاختراق.
4. إبلاغ الجهات المختصة
تضم الإدارة العامة للمباحث الجنائية بوزارة الداخلية إدارة مكافحة الجرائم الاقتصادية والإلكترونية.
وتختص الجهات الأمنية بإجراء البحث والتحريات وجمع المعلومات والأدلة اللازمة للكشف عن الجرائم وتعقب مرتكبيها.
ويُراعى عند تقديم البلاغ إرفاق ما يتوافر من سجلات وتقارير ومراسلات دون العبث بأصول الأدلة.
5. إعداد تقرير قانوني وفني
يُفضل إعداد تقرير أولي يتضمن:
- تاريخ وساعة اكتشاف الواقعة وكيفية اكتشافها.
- الحسابات والأجهزة والأنظمة المتضررة.
- نوع البيانات التي جرى الوصول إليها أو تسريبها.
- الإجراءات التي اتخذتها الشركة وتوقيتها.
- قيمة الخسائر الأولية وفترة توقف النشاط.
- أسماء الموظفين ومزودي الخدمة الذين تعاملوا مع الحادث.
- التزامات الإخطار المحتملة تجاه الأفراد أو الجهات المختصة.
- الخطوات المقترحة لمنع تكرار الاختراق.
اقرأ ايضًا: برامج الدمج في الجامعات القطرية ودعم ذوي الإعاقة
هل يعاقب القانون على محاولة الاختراق الفاشلة؟
لا يصح إطلاق قاعدة عامة بأن كل محاولة فاشلة لاختراق أي حساب تُعاقب تلقائيًا بالعقوبة ذاتها المقررة للجريمة المكتملة.
ويعرّف قانون العقوبات الشروع بأنه البدء في تنفيذ فعل بقصد ارتكاب جناية أو جنحة إذا أوقف الفعل أو خاب أثره لسبب لا دخل لإرادة الفاعل فيه، لكنه يقرر أيضًا أن القانون هو الذي يحدد الجنح التي يعاقب على الشروع فيها وعقوبة هذا الشروع.
ولا يُعد مجرد العزم أو الأعمال التحضيرية شروعًا، ما لم يوجد نص يقضي بغير ذلك.
ولهذا يتوقف التكييف القانوني للمحاولة الفاشلة على طبيعة الأفعال التي بدأ الجاني في تنفيذها، والنصوص المنطبقة، وما إذا كانت هذه الأفعال تشكل جريمة مستقلة مكتملة، مثل اعتراض بيانات أو استخدام وسائل احتيالية أو حيازة بيانات متحصلة من جريمة.
أسئلة شائعة عن عقوبة اختراق الحسابات في قطر
ما عقوبة الدخول إلى حساب شخص آخر دون إذنه؟
قد تصل العقوبة إلى الحبس مدة لا تجاوز ثلاث سنوات، والغرامة التي لا تزيد على 500,000 ريال قطري، أو بإحدى هاتين العقوبتين، متى توافرت عناصر الدخول العمدي دون وجه حق وفق المادة 3.
هل تتضاعف العقوبة عند حذف البيانات؟
نعم. تنص المادة 3 على مضاعفة العقوبة إذا ترتب على الدخول حذف البيانات أو تغييرها أو إفشاؤها أو إتلافها أو نسخها أو نشرها أو تعطيل النظام أو الإضرار بالمستخدمين، ضمن الحالات المحددة بالنص.
هل استخدام كلمة مرور موظف آخر يعد اختراقًا؟
قد يعد دخولًا غير مشروع إذا تم دون تصريح أو تجاوز حدود الدخول المصرح به، حتى لو كانت كلمة المرور صحيحة من الناحية التقنية.
ويتوقف التكييف النهائي على الصلاحيات الفعلية والوقائع والأدلة.
هل تسريب قائمة العملاء جريمة إلكترونية؟
قد يشكل تسريب قائمة العملاء أكثر من جريمة بحسب طريقة الحصول عليها وطبيعتها ودرجة سريتها، ومنها الدخول غير المشروع أو إفشاء البيانات أو التعدي على سر تجاري محمي قانونًا.
هل يمكن للشركة المطالبة بخسائر توقف العمل؟
يمكن المطالبة بالخسارة والكسب الفائت متى أثبتت الشركة أنهما نتيجة طبيعية للاختراق وقدمت التقارير والمستندات اللازمة لإثبات القيمة وعلاقة السببية.
متى يجب التواصل مع محامي جرائم إلكترونية؟
يُفضل الحصول على المشورة القانونية فور اكتشاف الواقعة، وقبل اتخاذ إجراءات قد تؤثر في الأدلة أو التواصل مع المشتبه به أو نشر تفاصيل الحادث أمام العملاء والجمهور.
الخلاصة
تؤكد عقوبة اختراق الحسابات في قطر أن الدخول إلى الأنظمة الإلكترونية دون تصريح ليس مجرد مخالفة تقنية بسيطة، بل جريمة قد يترتب عليها الحبس والغرامة.
وقد تتضاعف العقوبة إذا أدى الاختراق إلى حذف البيانات أو تسريبها أو تعطيل الأنظمة أو الإضرار بالمستخدمين.
كما قد يكون للشركة المتضررة حق في المطالبة بالتعويض عن الخسائر المباشرة والكسب الفائت، بشرط الحفاظ على الأدلة الرقمية وإثبات الضرر وعلاقته بالاختراق.
وإذا شملت الواقعة بيانات شخصية، فيجب كذلك تقييم التزامات الإخطار والحماية المقررة بموجب قانون حماية خصوصية البيانات الشخصية.
وتبدأ الحماية الفعلية من الجمع بين ثلاثة مسارات مترابطة: حماية تقنية مناسبة، وسياسات داخلية قابلة للتطبيق، واستجابة قانونية سريعة ومنظمة عند وقوع الحادث.
