المحامي أحمد بن حسن البحراني
أثار استخدام الشبكات الافتراضية الخاصة، المعروفة اختصاراً بـ«VPN»، في الآونة الأخيرة نقاشاً واسعاً، ولا سيما مع لجوء بعض مستخدمي شبكة الإنترنت إلى هذه التطبيقات للوصول إلى مواقع أو منصات يتعذر الوصول إليها بالطريق المعتاد.
وكثيراً ما يُطرح السؤال بصيغة مباشرة: هل استخدام الشبكات الافتراضية الخاصة في سلطنة عُمان جريمة؟ والإجابة عن هذا السؤال لا تستقيم، في تقديري، بالبحث عن لفظ «VPN» وحده في قانون مكافحة جرائم تقنية المعلومات، لأن المشرع قد ينظم التقنية من خلال وظيفتها لا من خلال الاسم التجاري أو التقني الشائع لها.
والشبكة الافتراضية الخاصة، في صورتها المعتادة، تنشئ اتصالاً بين جهاز المستخدم وخادم وسيط، ويكون هذا الاتصال في الغالب مشفراً؛ ولذلك فإن القراءة القانونية للمسألة في سلطنة عُمان تقتضي الجمع بين قانون تنظيم الاتصالات، والقرارات المنظمة لاستخدام التشفير، وقانون مكافحة جرائم تقنية المعلومات الجديد، ثم التمييز بين مجرد استخدام التقنية وبين استخدامها وسيلةً لارتكاب فعل مجرّم.
وتبدأ المسألة من قانون تنظيم الاتصالات الصادر بالمرسوم السلطاني رقم ٣٠/٢٠٠٢؛ إذ نصت المادة ٤٨ منه بعبارة واضحة على أنه: «لا يجوز بغير ترخيص من الوزير استخدام التشفير في الاتصالات أو شبكات الحاسب الآلي»، وأضافت أن الترخيص يحدد الأشخاص الذين يجوز لهم التشغيل وشروطه والرسوم والضوابط المتعلقة بحفظ مفتاح التشفير، وفقاً لما تحدده اللائحة التنفيذية.
ولا تبدو عبارة «بغير ترخيص» هنا زائدة أو عارضة، وإنما هي جوهر الحكم القانوني؛ فالمشرع لم يربط عدم مشروعية استخدام التشفير في هذا النص بكون المستخدم يقصد ارتكاب جريمة أخرى، وإنما جعل الترخيص قيداً سابقاً على الاستخدام الذي يخضع للمادة. كما أن المادة ٤ من القانون ذاته منحت الوزير اختصاص تحديد شروط الاتجار والتعامل في أجهزة التشفير وضوابط استيرادها وتصديرها وإعادة تصديرها والمواصفات والالتزامات المتعلقة بها.
ولم يقف التنظيم العُماني عند هذا النص العام، فقد أصدرت هيئة تنظيم الاتصالات القرار رقم ٣٧/٢٠٠٨ بشأن ضوابط استيراد وتصدير وإعادة تصدير واستخدام أنظمة وأجهزة التشفير، وهو قرار منشور في الجريدة الرسمية رقم ٨٦٠ بتاريخ الأول من أبريل ٢٠٠٨. والأهمية القانونية لهذا القرار أنه ينقل المسألة من مستوى القاعدة العامة إلى تنظيم التشفير نفسه؛ إذ عرّف نظام التشفير بأنه مجموعة منظمة من الأدوات والبرامج والعمليات والمعدات المصممة لأداء عملية التشفير أو فكها، ثم جاءت المادة الثانية منه لتقرر أن الاستخدام الشخصي لأي برنامج أو جهاز للتشفير غير مسموح به، واستثنت استخدام بروتوكول «إس إس إل».
ومن ثم فإن التنظيم لم يقصر المسألة على الأجهزة المادية أو المؤسسات التي تستورد معدات التشفير، بل امتد في عبارته إلى «برامج» التشفير والاستخدام الشخصي لها.
وهنا تحديداً تظهر علاقة هذا التنظيم بالشبكات الافتراضية الخاصة. فلا يصح، من الناحية القانونية، أن ننسب إلى المادة ٤٨ عبارة لم تقلها ونقرر أنها نصت صراحة على «حظر VPN»، لأن هذا المصطلح غير وارد فيها.
ولا يصح في المقابل تجاهل الوظيفة التقنية التي تؤديها هذه التطبيقات؛ فإذا كان برنامج الشبكة الافتراضية الخاصة ينشئ قناة اتصال مشفرة، فإن البحث القانوني ينتقل إلى مدى انطباق مفهوم «نظام التشفير» الوارد في التنظيم عليه. وبعبارة أخرى، العبرة ليست باسم التطبيق الموجود في الهاتف، وإنما بما يقوم به تقنياً.
وهذه التفرقة مهمة لأن المشرع العماني استخدم مفهوماً وظيفياً واسعاً للتشفير، في حين أن القرار التنظيمي نفسه استثنى نوعاً معيناً منه هو بروتوكول «إس إس إل»، مما يدل على أن الحكم لا يمكن اختزاله في مقولة أن كل تقنية تستخدم أي صورة من صور التشفير محظورة دون تمييز.
ومن الضروري هنا التفرقة أيضاً بين الحظر وبين الجزاء الجنائي. فالمادة ٤٨ تقرر قاعدة تنظيمية مفادها عدم جواز استخدام التشفير بغير ترخيص، بينما يتعين البحث عن الجزاء في الباب الخاص بالعقوبات.
وقد نصت المادة ٦٦ من قانون تنظيم الاتصالات على معاقبة كل من يخالف أحكام اللائحة التنفيذية للقانون أو القرارات الصادرة تنفيذاً له بالسجن مدة لا تزيد على ستة أشهر، وبغرامة لا تزيد على خمسمائة ريال عماني، أو بإحدى هاتين العقوبتين، مع مضاعفة العقوبة في حالة التكرار.
وهذا الربط مهم عند تناول القرار رقم ٣٧/٢٠٠٨؛ لأنه قرار صادر تنفيذاً لقانون تنظيم الاتصالات، وبالتالي لا ينبغي قراءة القاعدة المنظمة لاستخدام التشفير بمعزل عن النظام العقابي الذي وضعه القانون لمخالفة اللوائح والقرارات المنفذة له.
وقد يثار هنا سؤال آخر: ما أثر صدور قانون مكافحة جرائم تقنية المعلومات الجديد بالمرسوم السلطاني رقم ٦١/٢٠٢٦؟ والحقيقة أن القانون الجديد، الذي حل محل قانون مكافحة جرائم تقنية المعلومات السابق، لا يتضمن ـ بحسب نصوصه ـ جريمة مستقلة تحمل اسم «استخدام الشبكات الافتراضية الخاصة»، كما أنه لم يلغ قانون تنظيم الاتصالات أو النظام الخاص بالتشفير؛ فالمرسوم رقم ٦١/٢٠٢٦ ألغى قانون مكافحة جرائم تقنية المعلومات السابق الصادر بالمرسوم السلطاني رقم ١٢/٢٠١١ وما يخالف القانون الجديد أو يتعارض معه.
وبالتالي فإن عدم ورود لفظ «VPN» في القانون الجديد لا يؤدي بذاته إلى إهدار التنظيم القائم بموجب قانون تنظيم الاتصالات.
وفي المقابل، يتدخل قانون مكافحة جرائم تقنية المعلومات الجديد عندما تصبح الوسيلة التقنية أداة لارتكاب الجرائم التي جرمها. ومن الأمثلة المهمة المادة ١٢ منه التي تعاقب من يحوز أو يحرز أو يجلب أو يبيع أو يتيح أو يصنع أو ينتج أو يستورد أو يصدر أو يتداول أجهزة أو معدات أو أدوات أو برامج مصممة أو مطورة أو محورة، متى كان ذلك بقصد استخدامها في ارتكاب أو تسهيل ارتكاب إحدى الجرائم المنصوص عليها في القانون، أو إخفاء آثارها أو أدلتها الرقمية.
وهنا نكون أمام بناء قانوني مختلف؛ إذ يتطلب النص قصداً خاصاً مرتبطاً بجريمة من جرائم تقنية المعلومات. وهذا يختلف عن البناء التنظيمي للمادة ٤٨ من قانون تنظيم الاتصالات وقرار ٣٧/٢٠٠٨، حيث تتمحور المسألة حول استخدام التشفير والترخيص به.
ومن هنا يجب عدم الخلط بين أمرين: مخالفة تنظيم التشفير من ناحية، واستخدام وسيلة تقنية لارتكاب جريمة معلوماتية من ناحية أخرى.
ولعل المقارنة مع دولة الإمارات العربية المتحدة تكشف الفارق بصورة أوضح. فقد عالج المشرع الإماراتي المسألة في المادة ١٠ من المرسوم بقانون اتحادي رقم ٣٤ لسنة ٢٠٢١ بشأن مكافحة الشائعات والجرائم الإلكترونية، فنص على معاقبة من يتحايل على العنوان البروتوكولي للشبكة المعلوماتية باستخدام عنوان عائد للغير أو بأي وسيلة أخرى، ولكنه لم يكتف بتحقق هذا السلوك، بل اشترط أن يكون ذلك «بقصد ارتكاب جريمة أو الحيلولة دون اكتشافها». وهاتان العبارتان الأخيرتان تغيران البناء القانوني للجريمة؛ فمجرد استعمال تقنية تؤثر في العنوان البروتوكولي لا يكفي وحده لقيام الجريمة المنصوص عليها في المادة ١٠، وإنما يتعين أن يقترن بالقصد الخاص الذي حدده المشرع.
وقد أكدت هيئة تنظيم الاتصالات والحكومة الرقمية الإماراتية هذا الفهم منذ الجدل الذي ثار سنة ٢٠١٦ حول الشبكات الافتراضية الخاصة، فأوضحت أنه لا يوجد تنظيم يمنع الشركات والمؤسسات والبنوك من استخدام تقنية «VPN» للوصول إلى شبكاتها الداخلية عبر الإنترنت، وأن المساءلة ترتبط بإساءة الاستخدام.
بل أشارت صراحة إلى أن العقوبة المرتبطة بالتحايل على العنوان البروتوكولي تتطلب القصد إلى ارتكاب جريمة أو منع اكتشافها. وما زالت الإرشادات المنشورة من الهيئة تميز بين الاستخدامات المسموح بها وبين خدمات الشبكات الافتراضية التي تستهدف تجاوز أنظمة الحجب؛ إذ تصنف الخدمات التي تساعد على النفاذ إلى المحتوى المحجوب ضمن فئة «تخطي نظام الحجب والدخول إلى المحتوى المحجوب»، كما تنص الإرشادات على عدم السماح باستضافة خدمات موجهة إلى المستخدمين داخل الإمارات تسمح بتجاوز أنظمة الترشيح لدى مزودي الإنترنت.
وهذا يكشف اختلافاً تشريعياً مهماً بين النموذجين. ففي الإمارات، إذا اقتصرنا على المادة ١٠ من قانون مكافحة الشائعات والجرائم الإلكترونية، يدور التجريم حول التحايل على العنوان البروتوكولي مقروناً بقصد إجرامي معين؛ ولذلك لا يمكن القول إن مجرد تشغيل الشبكة الافتراضية الخاصة يشكل الجريمة المنصوص عليها في تلك المادة. أما في سلطنة عُمان، فالمسألة تبدأ في مرحلة أسبق؛ إذ توجد قاعدة في قانون تنظيم الاتصالات تقضي بعدم جواز استخدام التشفير في الاتصالات أو شبكات الحاسب الآلي بغير ترخيص، ويتبعها تنظيم خاص صادر عن هيئة تنظيم الاتصالات يتناول برامج وأنظمة التشفير والاستخدام الشخصي لها. وبالتالي فإن القول الشائع إن «استخدام الشبكات الافتراضية الخاصة مشروع في عُمان ما دام المستخدم لا يرتكب من خلالها جريمة» يحتاج إلى مراجعة؛ لأنه يتجاهل تماماً النظام القانوني المستقل المنظم للتشفير.
وفي الوقت ذاته، فإن القول المقابل بأن «كل تشغيل لأي تطبيق VPN يشكل تلقائياً جريمة» يحتاج هو الآخر إلى قدر من التحفظ القانوني، لأن التكييف الصحيح يتطلب إثبات أن التقنية المستخدمة تدخل فعلاً في نطاق نظام التشفير الذي يخضع للحظر، وعدم انطباق استثناء أو ترخيص عليها، ثم تحديد النص العقابي واجب التطبيق.
وتزداد المسألة أهمية عندما يكون الغرض من استخدام الشبكة الافتراضية الخاصة تجاوز حجب موقع أو منصة معينة.
فهنا ينبغي التمييز بين وسيلة الوصول وبين المحتوى الذي تم الوصول إليه. فإذا كان المحتوى نفسه مجرّماً بموجب قانون مكافحة جرائم تقنية المعلومات، فقد تنشأ مسؤولية مستقلة عن الفعل الذي ارتكبه المستخدم من خلاله متى توافرت أركان الجريمة المعنية. أما إذا كان المحتوى مشروعاً في ذاته، فإن ذلك لا يحسم تلقائياً مشروعية الوسيلة المستخدمة للوصول إليه في عُمان؛ لأن السؤال المتعلق بترخيص التشفير يبقى قائماً بصورة مستقلة.
وهذه نقطة بالغة الأهمية في التطبيق: مشروعية الغاية لا تعني بالضرورة مشروعية الوسيلة، كما أن عدم مشروعية وسيلة تقنية لا يعني بالضرورة أن كل محتوى تم الوصول إليه من خلالها أصبح محتوى مجرّماً. ويجب أن يبقى كل فعل خاضعاً للنص الذي يحكمه ولأركانه القانونية الخاصة، التزاماً بمبدأ شرعية الجرائم والعقوبات وعدم التوسع في تفسير النص الجزائي.
ومن وجهة نظري، تكشف هذه القراءة عن حاجة عملية إلى قدر أكبر من الوضوح التنظيمي بشأن تطبيق أحكام التشفير الصادرة منذ سنوات على الاستخدام التقني المعاصر. فالقرار رقم ٣٧/٢٠٠٨ صدر في بيئة تقنية تختلف بصورة كبيرة عن بيئة عام ٢٠٢٦؛ إذ أصبحت تطبيقات التشفير جزءاً أصيلاً من الخدمات المصرفية والمراسلات والعمل عن بعد والحوسبة السحابية وحماية البيانات، وأصبحت الشبكات الافتراضية الخاصة متاحة للمستخدم العادي بضغطة واحدة على الهاتف المحمول.
ولذلك فإن السؤال لم يعد متعلقاً بوجود نص ينظم التشفير من عدمه، فالنص موجود وصريح في اشتراط الترخيص، وإنما أصبح السؤال الأكثر أهمية هو: كيف يُحدد نطاق تطبيق هذا النص والقرار المنفذ له على تطبيقات الشبكات الافتراضية الخاصة الحديثة التي يستخدمها الأفراد؟ وما الاستخدامات الداخلة في نطاق الحظر؟ وما الاستثناءات أو التراخيص التي يمكن أن تنطبق عليها؟ والجواب الرسمي الواضح عن هذه الأسئلة سيكون مهماً للمستخدم العادي بقدر أهميته للمشتغل بالقانون.
وخلاصة القول إن التعامل القانوني مع الشبكات الافتراضية الخاصة في سلطنة عُمان لا يجوز اختزاله في عبارة متداولة من قبيل «الفي بي إن ممنوع» أو «الفي بي إن مسموح». فلدينا منظومة تشريعية يجب قراءتها كوحدة واحدة: المادة ٤٨ من قانون تنظيم الاتصالات، والقرار رقم ٣٧/٢٠٠٨ المنظم لأنظمة وأجهزة التشفير، والنصوص العقابية في قانون تنظيم الاتصالات، ثم قانون مكافحة جرائم تقنية المعلومات رقم ٦١/٢٠٢٦ عندما تستخدم الوسيلة التقنية في ارتكاب إحدى الجرائم المنصوص عليها فيه. وتظهر المقارنة مع الإمارات أن السياسة التشريعية ليست واحدة؛ فالمادة ١٠ الإماراتية تجعل القصد إلى ارتكاب جريمة أو منع اكتشافها ركناً في جريمة التحايل على العنوان البروتوكولي، بينما يضع النظام العماني تنظيماً سابقاً ومستقلاً لاستخدام التشفير يقوم في أساسه على الترخيص.
ومن هنا فإن القراءة القانونية الأكثر أمانة للنصوص ليست البحث عن إجابة شعبية سريعة بـ«نعم» أو «لا»، وإنما تحديد نوع التقنية المستخدمة، وطبيعة التشفير، ووجود الترخيص أو الاستثناء، والغرض من الاستخدام، والفعل الذي ارتكب بواسطتها؛ فعند اجتماع هذه العناصر وحدها يمكن إعطاء الواقعة وصفها القانوني الصحيح.
