قانون الهوية الرقمية وخدمات الثقة والتوقيع والمعاملات الإلكترونية

يسمى هذا القانون «قانون الهوية الرقمية وخدمات الثقة والتوقيع والمعاملات الإلكترونية»، ويهدف إلى إنشاء إطار قانوني موحد وحيادي تقنياً لإثبات الهوية والصفة في البيئة الرقمية، ومنح الأثر القانوني للمعاملات والسجلات والتوقيعات والأختام الإلكترونية، وتنظيم خدمات الثقة ومقدميها والرقابة عليها والاعتراف بها داخل العراق وعبر الحدود.

يطبق القانون بما يعزز الثقة في الاقتصاد والخدمات العامة الرقمية ويحفظ الحقوق الدستورية والخصوصية والأمن، من دون أن يجعل استخدام الوسائل الإلكترونية إلزامياً على الأفراد إلا بنص خاص يضمن بديلاً معقولاً عند تعذر الوصول الرقمي.

لأغراض هذا القانون يقصد بالمصطلحات الآتية المعاني المبينة إزاءها: الهوية الرقمية: مجموعة بيانات ووسائل اعتماد إلكترونية تمكّن من إثبات هوية شخص طبيعي أو معنوي أو صفة تمثيله بصورة موثوقة. وسيلة التعريف الإلكتروني: أداة مادية أو غير مادية تتضمن بيانات تعريف وتستخدم للمصادقة. المصادقة: عملية إلكترونية للتحقق من هوية شخص أو من منشأ بيانات وسلامتها. محفظة الهوية الرقمية: تطبيق أو وسيلة مأمونة تمكّن صاحبها من إدارة بيانات الاعتماد والصفات وإبرازها أو مشاركتها بصورة انتقائية.

ويقصد بخدمة الثقة: خدمة إلكترونية تقدم لضمان هوية شخص أو منشأ البيانات أو سلامتها أو توقيتها أو تسليمها أو حفظها، وتشمل التوقيع الإلكتروني والختم الإلكتروني والطابع الزمني والتسليم الإلكتروني المسجل والأرشفة الإلكترونية ومصادقة المواقع وإثبات الصفات وغيرها مما يحدده النظام. ويقصد بمقدم خدمة الثقة: الشخص المعنوي الذي يقدم خدمة ثقة بموجب هذا القانون. وتكون الخدمة مؤهلة إذا استوفت المتطلبات المشددة المنصوص عليها في هذا القانون والأنظمة الصادرة بموجبه وأدرجت في قائمة الثقة الوطنية.

ويقصد بالتوقيع الإلكتروني: بيانات في شكل إلكتروني ترتبط ببيانات أخرى ويستخدمها الموقّع للتوقيع. والتوقيع الإلكتروني المتقدم: توقيع يرتبط بالموقّع ارتباطاً فريداً، ويمكن من التعرف عليه، وينشأ بوسائل تحت سيطرته بدرجة عالية، ويرتبط بالبيانات بما يكشف أي تعديل لاحق. والتوقيع الإلكتروني المؤهل: توقيع متقدم ينشأ بواسطة أداة إنشاء توقيع مؤهلة ويستند إلى شهادة مؤهلة. ويقصد بالختم الإلكتروني ما ينشئه شخص معنوي لإثبات منشأ البيانات وسلامتها، وتطبق عليه درجات مماثلة عند الاقتضاء.

ويقصد بالسجل الإلكتروني: معلومات تنشأ أو ترسل أو تستلم أو تحفظ بوسيلة إلكترونية بحيث تكون قابلة للرجوع والاستعمال اللاحق. والمعاملة الإلكترونية: أي تصرف أو إجراء أو اتصال قانوني ينفذ كلياً أو جزئياً إلكترونياً. والطابع الزمني الإلكتروني: بيانات تربط بيانات أخرى بوقت محدد بما يثبت وجودها في ذلك الوقت. والتسليم الإلكتروني المسجل: خدمة تنقل البيانات بين أطراف وتوفر دليلاً على الإرسال والاستلام وتحميها من مخاطر الفقد أو التغيير غير المأذون. وإثبات الصفة الإلكتروني: بيانات موثقة تثبت حقيقة أو حقاً أو صفة تخص شخصاً، كالوكالة أو المؤهل أو الترخيص أو صفة التمثيل.

تقوم أحكام هذا القانون على الحياد التكنولوجي، وعدم التمييز ضد الشكل الإلكتروني، والتعادل الوظيفي بين الشكل الورقي والإلكتروني متى تحققت الوظيفة القانونية المطلوبة، والتناسب بين مستوى الثقة ومخاطر المعاملة، وقابلية التشغيل البيني، والمعايير المفتوحة، والخصوصية والأمن منذ التصميم، وتقليل البيانات، وإمكانية التدقيق، وعدم الارتهان لمورد أو تقنية بعينها.

ولا يجوز تفسير أي نص في هذا القانون بما يفضي إلى احتكار تقني غير مبرر أو إلى إلزام المتعامل بتقنية محددة إذا حققت تقنية أخرى مستوى الثقة والضمان المقرر قانوناً.

تسري أحكام هذا القانون على المعاملات الإلكترونية وخدمات إدارة الهوية والثقة التي تتم داخل جمهورية العراق، وعلى مقدميها المنشأين فيها، وعلى الخدمات المقدمة من خارج العراق إذا استهدفت بصورة منتظمة أشخاصاً أو جهات داخل العراق أو طلب الاعتراف القانوني بها فيه.

وتسري الأحكام المتعلقة بالهوية الوطنية الرقمية على السلطات والجهات الاتحادية وعلى ما يرتبط بالسجل المدني والجنسية والبطاقة الوطنية والخدمات الاتحادية، مع مراعاة الاختصاصات الدستورية للأقاليم وآليات التنسيق والاعتراف المتبادل.

لا يترتب على هذا القانون بذاته إلغاء اشتراط الحضور الشخصي أو التوثيق الرسمي أو الشكل الخاص إذا أوجبه قانون موضوعي لسبب جوهري، ولا يحوّل وثيقة أو صكاً قابلاً للتداول إلى سجل إلكتروني قابل للتحويل إلا وفق تشريع يقرر متطلبات السيطرة والتفرد والنزاهة الخاصة به.

يجوز للجهات المختصة، ضمن حدود القوانين النافذة، اعتماد إجراءات إلكترونية تحقق الغاية ذاتها من الحضور أو التوثيق متى أمكن إثبات الهوية والإرادة والاختصاص وسلامة السجل بصورة مكافئة أو أعلى.

لا يجبر شخص على قبول معاملة إلكترونية مع شخص آخر ما لم يوجب القانون أو العقد ذلك. ويستدل على القبول من اتفاق صريح أو من سلوك لا يترك شكاً معقولاً في قبول التعامل الإلكتروني.

لا يجوز للجهة العامة رفض طلب أو محرر لمجرد كونه إلكترونياً إذا استوفى شروط القانون والنظام الخاص بالخدمة.

لا يفقد السجل أو الرسالة أو العقد أو الدليل أثره القانوني أو قابليته للإثبات لمجرد أنه في شكل إلكتروني، ويكون وزنه في الإثبات بحسب موثوقية طريقة إنشائه وحفظه وإسناده وسلامته وسائر ظروف الحال.

إذا اشترط القانون الكتابة، عد الشرط متحققاً بالسجل الإلكتروني متى كانت المعلومات الواردة فيه قابلة للرجوع إليها لاحقاً بصورة مفهومة ولم يمنع قانون خاص ذلك صراحة.

إذا اشترط القانون تقديم أصل، جاز الوفاء إلكترونياً متى وجدت وسيلة موثوقة لضمان سلامة المعلومات منذ إنشائها لأول مرة وإمكان عرضها عند الطلب، مع مراعاة طبيعة المستند والغرض من اشتراط الأصل.

إذا اشترط القانون توقيعاً، جاز الوفاء به إلكترونياً متى استخدمت طريقة تحدد هوية الموقّع وتدل على قصده بالموافقة على المعلومات وكانت موثوقة ومناسبة للغرض. ويكون للتوقيع الإلكتروني المؤهل الأثر القانوني للتوقيع الخطي ما لم ينص قانون خاص على خلاف ذلك لسبب دستوري أو جوهري.

يعد السجل الإلكتروني مرسلاً عند خروجه من نظام معلومات تحت سيطرة المنشئ أو من يمثله، ويعد مستلماً عند دخوله نظام المعلومات الذي عينه المرسل إليه أو عند إتاحته له على نحو يمكنه من استرجاعه إذا لم يعين نظاماً محدداً.

ما لم يتفق على غير ذلك، يعد مكان إرسال السجل مكان عمل المنشئ ومكان استلامه مكان عمل المرسل إليه، ولا يغير موقع الخادم أو مزود الخدمة من هذا الحكم.

يجوز اشتراط إقرار إلكتروني بالاستلام. وإذا علق المنشئ أثر الرسالة على وصول الإقرار، فلا تنتج الأثر المتفق عليه قبل الإقرار، مع مراعاة قواعد حسن النية وعدم التعسف.

ينسب السجل الإلكتروني إلى منشئه إذا أرسله بنفسه أو أرسله شخص مخول عنه أو نظام معلومات مبرمج للعمل لحسابه. ولا يمنع استخدام نظام آلي من انعقاد العقد أو صحة الإجراء متى أمكن إسناده إلى الطرف وتوافرت سبل تصحيح الخطأ في الحالات التي يوجبها القانون.

يستوفى الالتزام بحفظ محرر أو سجل إذا حفظ إلكترونياً بصورة تضمن إمكان الوصول إليه، وسلامته، والاحتفاظ ببيانات المنشأ والوجهة والتاريخ والوقت متى كانت لازمة، طوال المدة المقررة قانوناً، وفق معايير الأرشفة وحماية البيانات.

تقدر المحكمة أو الجهة المختصة حجية السجل الإلكتروني بالنظر إلى موثوقية طريقة إنشائه ونقله وحفظه، وسلامته، وطريقة تحديد منشئه، واستخدام خدمات ثقة، وأي دليل فني آخر. ولا يجوز استبعاد دليل لمجرد عدم حصوله على صفة «مؤهلة».

يجوز التعبير عن الإيجاب والقبول وسائر التصرفات التعاقدية إلكترونياً، ولا يبطل العقد لمجرد استخدام نظام إلكتروني أو آلي، مع بقاء أحكام الأهلية والرضا والسبب والمحل وحماية المستهلك وأي متطلبات موضوعية خاصة نافذة.

إذا أبرم شخص معاملة عبر نظام آلي ولم يتيح النظام فرصة معقولة لتصحيح خطأ إدخال جوهري، جاز له طلب التصحيح أو الإلغاء دون تأخير غير مبرر متى لم ينتفع من المعاملة على نحو يتعذر رده، وذلك دون الإخلال بالقواعد الخاصة بحماية المستهلك.

تنشأ منظومة وطنية للهوية الرقمية ترتكز، بالنسبة للأشخاص الطبيعيين العراقيين، إلى السجلات الرسمية للبطاقة الوطنية والأحوال المدنية ضمن الحدود القانونية، وتتيح التحقق الرقمي دون اشتراط نسخ كامل بيانات السجل في كل جهة مستخدمة.

لا تنشئ الهوية الرقمية جنسية أو حالة مدنية أو حقاً جديداً، ولا تعد بديلاً عن السجل المنشئ للصفة، وإنما وسيلة لإثبات الهوية أو الصفة إلكترونياً بالقدر اللازم للمعاملة.

تتولى وزارة الداخلية، من خلال الجهة المختصة بإدارة البطاقة الوطنية والسجل المدني، إصدار أو تأكيد بيانات الهوية الأساسية للأشخاص الطبيعيين وربطها بالمنظومة الوطنية وفق بروتوكولات آمنة، فيما تتولى الجهات المسؤولة عن سجلات الأشخاص المعنوية تأكيد هوياتها وصفات ممثليها ضمن اختصاصها.

يجوز تقديم خدمات إدارة الهوية والمصادقة من جهات عامة أو خاصة معتمدة وفق هذا القانون، شريطة ألا تنشئ هوية مدنية موازية للسجل الرسمي وألا تغير بياناته. ويجوز لها إصدار وسائل اعتماد أو محافظ رقمية مرتبطة ببيانات موثوقة وفق مستوى ضمان محدد.

تحدد السلطة المختصة، بنظام، مستويات ضمان للهوية الرقمية تراعي مخاطر انتحال الهوية وآثار الخطأ، وتبين متطلبات التسجيل والتحقق وإصدار وسيلة الاعتماد والمصادقة والاسترداد لكل مستوى. ولا يجوز فرض أعلى مستوى ضمان على معاملات منخفضة المخاطر بلا مبرر.

يجب أن تكون إجراءات التسجيل متناسبة وموثقة وقابلة للتدقيق، وأن تعتمد مصادر موثوقة للتحقق من الهوية والصفة. ويجوز التسجيل عن بعد إذا حقق مستوى ضمان معادلاً للحضور بوسائل فنية وتنظيمية معتمدة، بما في ذلك المطابقة الآمنة والاتصال المرئي أو وسائل أخرى يقرها النظام.

لا تصدر وسيلة تعريف إلكتروني إلا بعد التحقق الملائم من الهوية والصفة، ويجب ربطها بصاحبها بطريقة تمنع الاستخدام غير المصرح به بقدر يتناسب مع مستوى الضمان. ويبين مقدم الخدمة شروط الاستخدام والمخاطر وآلية التعليق والإلغاء والاسترداد بصورة واضحة.

يجوز ربط الهوية الرقمية بإثباتات صفة مستقلة، كالوكالة أو الوظيفة أو العضوية أو الترخيص أو المؤهل، ويكون مصدر الصفة هو السجل أو الجهة المختصة بها. ولا يحق لمقدم الهوية إنشاء صفة قانونية من تلقاء نفسه، ويجب التحقق من سريانها عند الحاجة.

تصمم منظومة الهوية بحيث تتيح، متى كان ذلك ممكناً، إثبات حقيقة محددة دون كشف بيانات زائدة، مثل إثبات بلوغ سن أو أهلية أو صفة من دون إظهار كامل السجل. وتلتزم الأطراف المعتمدة بطلب الحد الأدنى من السمات اللازمة للغرض.

يجوز للدولة اعتماد محفظة هوية رقمية وطنية أو أكثر من وسيلة متوافقة، تتيح تخزين وإدارة بيانات الاعتماد وإثباتات الصفة بصورة آمنة. ولا يجوز تصميمها بما يحصر المستخدم في مزود واحد أو يجعل استخدامها شرطاً وحيداً للحصول على خدمة أساسية إذا تعذر عليه استخدامها.

توضع إجراءات سريعة وآمنة لاسترداد الهوية أو وسيلة الاعتماد عند فقد الجهاز أو تغيير رقم الاتصال أو الاشتباه بالاختراق أو وفاة صاحبها أو فقدان الصفة. ويجب أن تمنع إجراءات الاسترداد الاستيلاء على الحساب وأن تعتمد تحققاً مستقلاً متناسباً مع مستوى الضمان.

تتيح المنظومة خدمة موثوقة وفورية قدر الإمكان للتحقق من حالة وسيلة التعريف أو الشهادة أو إثبات الصفة من حيث السريان أو التعليق أو الإلغاء، من دون كشف معلومات لا يحتاجها الطرف المعتمد.

لصاحب الهوية الحق في معرفة الجهات التي طلبت التحقق منه أو من صفاته ضمن حدود القانون، وتصحيح البيانات عبر مصدرها الأصلي، وإيقاف وسيلة اعتماد مشتبه بها، والحصول على مساعدة غير تمييزية. وتطبق أحكام قانون حماية البيانات الشخصية والخصوصية الرقمية على جميع عمليات المعالجة.

لا يجوز حرمان شخص من حق أو خدمة أساسية لمجرد عدم امتلاكه هاتفاً ذكياً أو إعاقة أو ضعف اتصال أو عدم قدرته على استخدام وسيلة بعينها. وتوفر قنوات مساعدة ووسائل بديلة معقولة للتحقق، وتراعى متطلبات إمكانية الوصول للأشخاص ذوي الإعاقة وكبار السن.

تشمل خدمات الثقة الخاضعة لهذا القانون: التوقيع الإلكتروني، والختم الإلكتروني، والطابع الزمني، والتسليم الإلكتروني المسجل، والأرشفة الإلكترونية الموثوقة، وشهادات مصادقة المواقع، وإثباتات الصفات الإلكترونية، والخدمات القائمة على السجلات أو الدفاتر الإلكترونية عندما تؤدي وظيفة ثقة محددة، وأي خدمة أخرى يحددها نظام بما يتفق مع مبادئ القانون.

يجوز تقديم خدمات ثقة غير مؤهلة وفق القواعد العامة دون وصفها بالمؤهلة. ولا يجوز استخدام وصف «مؤهل» أو علامة الثقة الوطنية إلا لخدمة ومقدم مدرجين في قائمة الثقة الوطنية بعد استيفاء متطلبات المطابقة والترخيص أو الاعتماد.

لا ينكر الأثر القانوني للتوقيع الإلكتروني لمجرد كونه إلكترونياً أو لعدم كونه مؤهلاً. ويقدر أثره بحسب درجة موثوقيته، على أن يتمتع التوقيع المؤهل بقرينة قانونية على نسبة التوقيع إلى صاحبه وعلى سلامة البيانات المرتبطة به، قابلة لإثبات العكس وفق القانون.

يجب أن تضمن أداة إنشاء التوقيع المؤهلة، بقدر عال من الثقة، سرية بيانات الإنشاء، ومنع اشتقاقها عملياً، وحمايتها من الاستخدام من غير صاحبها، وألا تغير البيانات المراد توقيعها أو تمنع عرضها على الموقّع قبل التوقيع. ويحدد النظام متطلبات المطابقة والتقييم الفني.

تتضمن الشهادة المؤهلة، بالحد الأدنى، تعريفاً واضحاً بأنها مؤهلة، وبيانات مقدم الخدمة، واسم الموقّع أو اسمه المستعار إذا أجازه القانون، وبيانات التحقق من التوقيع، ومدة السريان، ورقم تعريف فريد، وتوقيع أو ختم مقدم الخدمة، ومكان التحقق من حالة الشهادة والقيود الجوهرية على استخدامها إن وجدت.

يستخدم الختم الإلكتروني لإثبات أن البيانات صادرة عن شخص معنوي ولضمان منشئها وسلامتها. ويكون للختم المؤهل قرينة على سلامة البيانات وصحة منشئها المبيّن في الشهادة، ولا يعد الختم بذاته دليلاً على إرادة شخص طبيعي في إبرام تصرف إلا إذا نص القانون أو دلت الوقائع على ذلك.

لا يرفض الطابع الزمني دليلاً لمجرد كونه إلكترونياً. ويكون للطابع الزمني المؤهل قرينة على دقة التاريخ والوقت وعلى سلامة البيانات المرتبطة به ضمن حدود معيار الخدمة، ويجب ربط الوقت بمصدر زمني موثوق ومعاير.

لا يحرم البيانات المرسلة بخدمة تسليم إلكتروني مسجل من الأثر القانوني. وتوفر الخدمة المؤهلة دليلاً على هوية المرسل والمتلقي عند الاقتضاء وعلى تاريخ ووقت الإرسال والاستلام وتحمي البيانات من التغيير غير المكتشف، وفق متطلبات النظام.

تهدف خدمة الأرشفة الموثوقة إلى حفظ السجلات بما يضمن قابليتها للقراءة وسلامتها وإمكان التحقق من منشئها وخصائصها طوال مدة الحفظ رغم تغير التقنيات. ويجوز تجديد الأختام الزمنية أو التحويل بين الصيغ وفق سلسلة حفظ موثقة دون المساس بالحجية.

يجوز إصدار شهادات موثوقة لمصادقة المواقع والنطاقات لإثبات هوية الجهة المسؤولة عن الموقع وربطها به. ولا تعد الشهادة ضماناً لمحتوى الموقع أو مشروعية جميع أنشطته، ويجب عدم عرضها بطريقة توحي بضمان أوسع من وظيفتها.

يجوز إصدار إثباتات إلكترونية لصفات أو حقوق أو وقائع مستمدة من مصدر موثوق. ويجب بيان مصدر الصفة وتاريخ إصدارها وسريانها وآلية التحقق منها. وتكون مسؤولية صحة الصفة موزعة بحسب دور المصدر ومقدم الخدمة والطرف المعتمد وفق هذا القانون.

يجوز الاعتراف بخدمة ثقة تستخدم سجلاً إلكترونياً أو تقنية دفتر موزع إذا حققت وظيفة قانونية محددة بصورة موثوقة وقابلة للتدقيق ولم تعتمد على افتراض أن التقنية بذاتها تضمن الحقيقة القانونية. وتحدد الأنظمة متطلبات الاعتماد دون تفضيل بنية تقنية بعينها.

يلتزم مقدم خدمة الثقة باتباع سياسات منشورة وواضحة، والتحقق من هوية المشترك بحسب مستوى الخدمة، واستخدام أنظمة وموظفين مؤهلين، وحماية المفاتيح والأسرار، وإدارة الحوادث والثغرات، وحفظ السجلات اللازمة، وتوفير حالة الشهادات والخدمات، وإدارة الشكاوى، وخطة إنهاء الخدمة، والامتثال لقواعد حماية البيانات والأمن السيبراني.

يلتزم المشترك بتقديم معلومات صحيحة، والمحافظة على وسائل الاعتماد وبيانات إنشاء التوقيع وعدم تمكين الغير منها، وإبلاغ مقدم الخدمة فور الاشتباه بفقدانها أو إساءة استخدامها أو تغير البيانات الجوهرية، وعدم استخدام الشهادة خارج القيود المعلنة فيها.

على من يعتمد على خدمة ثقة أن يتحقق، متى كان ذلك معقولاً، من حالة الشهادة ونطاقها وقيودها ومستوى الخدمة، وألا يتجاهل تحذيراً واضحاً أو إشعار إلغاء. وتقدر مسؤوليته بقدر المخاطر وطبيعة المعاملة وتوافر وسائل التحقق.

يعلق مقدم الخدمة الشهادة أو الاعتماد أو يلغيها فور تحقق سبب قانوني أو أمني، وبالأخص بناء على طلب صاحبها الموثوق، أو ثبوت فقد السيطرة على بيانات الإنشاء، أو عدم صحة بيانات جوهرية، أو أمر من السلطة أو القضاء. وتتاح معلومات الحالة دون تأخير وبطريقة موثوقة.

يجب على مقدم الخدمة المؤهلة أن يحتفظ بخطة معتمدة لإنهاء النشاط أو التوقف الكلي أو الجزئي، تشمل إخطار المشتركين والسلطة، ونقل أو حفظ السجلات، وإبقاء معلومات الحالة متاحة، وإبطال المفاتيح على نحو آمن، وضمان استمرار إمكانية التحقق من الخدمات السابقة خلال المدد القانونية.

تنشأ في وزارة الاتصالات دائرة متخصصة تسمى «دائرة تنظيم الهوية الرقمية وخدمات الثقة»، تتولى التنظيم والترخيص والإشراف الفني على خدمات إدارة الهوية وخدمات الثقة في نطاق هذا القانون، وتتمتع باستقلال وظيفي في قرارات الترخيص والرقابة عن أي شركة أو جهة حكومية تقدم الخدمة فعلياً.

لا يجوز إسناد وظيفة الترخيص والرقابة على مقدم خدمة إلى الوحدة التشغيلية ذاتها التي تنافسه أو تقدم الخدمة نفسها، ويحدد النظام قواعد الفصل المؤسسي والمالي وتعارض المصالح.

تتولى السلطة وضع المعايير والسياسات الفنية، وترخيص أو اعتماد الخدمات المؤهلة، وإدارة قائمة الثقة الوطنية، واعتماد جهات تقييم المطابقة أو الاعتراف بها، وإجراء التفتيش والتدقيق، وتلقي بلاغات الحوادث والشكاوى التنظيمية، وإصدار أوامر تصحيحية، والتنسيق مع الجهات المعنية بالهوية والسجل المدني وحماية البيانات والأمن السيبراني والمصارف والاتصالات، وإبرام ترتيبات الاعتراف المتبادل ضمن صلاحياتها.

تدار البنية الوطنية للمفاتيح العامة NPKI وفق فصل واضح بين الجذر الوطني أو الجذور المعتمدة والسلطة التنظيمية ومقدمي الخدمات. وتحدد الأنظمة سياسات الشهادات وإدارة المفاتيح والنسخ الاحتياطية ومراسم التوليد والإبطال والتدقيق واستمرارية الأعمال، ويمنع الوصول الفردي المنفرد إلى مفاتيح الجذر الحرجة.

تنشر السلطة قائمة إلكترونية محدثة وموقعة رقمياً بمقدمي خدمات الثقة المؤهلة والخدمات المحددة لكل منهم وحالتها وتاريخ بدء ونهاية الصفة المؤهلة. ويجب أن تكون القائمة متاحة مجاناً للأنظمة والجمهور بصيغ قابلة للتحقق الآلي.

لا يقدم شخص خدمة ثقة بوصفها مؤهلة إلا بترخيص من السلطة. ويشترط للترخيص الأهلية القانونية والقدرة المالية والفنية، والحوكمة والموظفون الأكفاء، وسياسات الأمن والخصوصية، والتأمين أو الضمان المالي المتناسب، وخطة الاستمرارية والإنهاء، وتقرير تقييم مطابقة مستقل.

تخضع الخدمات المؤهلة لتقييم مطابقة أولي ودوري من جهة مستقلة معترف بها، وفق معايير دولية أو وطنية منشورة وملائمة لنوع الخدمة. ولا يحول تقرير المطابقة دون مسؤولية السلطة أو مقدم الخدمة، وللسلطة أن تطلب اختباراً إضافياً عند وجود خطر جوهري أو حادث كبير.

تعتمد السلطة، بالتنسيق مع الجهات الوطنية المختصة بالتقييس والأمن السيبراني، معايير فنية مفتوحة قدر الإمكان ومتوافقة دولياً. وتذكر الأنظمة وظائف الحماية ومستويات الضمان بدلاً من فرض منتج تجاري أو خوارزمية واحدة، مع السماح بتحديث المعايير دون الحاجة إلى تعديل القانون.

يحتفظ مقدم الخدمة بسجلات كافية لإثبات العمليات والقرارات الأمنية والتحقق من الهوية وإصدار الشهادات وتعليقها وإلغائها، للمدد التي يحددها النظام بحسب نوع الخدمة، مع حماية السجلات من العبث والوصول غير المأذون. وتكون سجلات التدقيق نفسها خاضعة لمبدأ تقليل البيانات.

يبلغ مقدم الخدمة المؤهلة السلطة والجهة الوطنية المختصة بالأمن السيبراني، دون تأخير غير مبرر، بأي حادث يخل بصورة جوهرية بأمن الخدمة أو سلامة المفاتيح أو ثقة المستخدمين، ويتخذ إجراءات الاحتواء والاسترداد والإخطار. ويبلغ الأفراد المتأثرون عندما يرجح أن يترتب على الحادث خطر مرتفع على حقوقهم.

تعد بيانات الاعتماد والهوية والسجلات التشغيلية سرية بحسب طبيعتها، ولا يجوز استخدامها لغير الغرض المحدد قانوناً أو تعاقدياً. وتطبق على مقدمي الخدمات أحكام قانون حماية البيانات الشخصية والخصوصية الرقمية، ولا يجوز استخدام سجلات المصادقة لبناء ملفات سلوكية أو تجارية خارج الغرض الأصلي من دون أساس قانوني مستقل.

تحدد رسوم التراخيص والخدمات الحكومية بقرار قانوني أو نظام وفق قواعد معلنة ومتناسبة مع الكلفة والغرض التنظيمي. ولا يجوز جعل إصدار وسيلة هوية رقمية أساسية لازمة للوصول إلى الخدمات العامة مشروطاً برسوم تحول دون الانتفاع بها، ويجوز استيفاء بدل للخدمات الاختيارية ذات القيمة المضافة.

لا ترفض خدمة إدارة هوية أو خدمة ثقة أجنبية لمجرد منشئها الأجنبي. ويجوز الاعتراف بها إذا ثبت أن مستوى موثوقيتها وضماناتها يعادل بصورة جوهرية المستوى المطلوب للخدمة الوطنية المقابلة، وفق تقييم أو اتفاق أو آلية اعتراف يعتمدها القانون أو السلطة.

يكون الاعتراف عبر الحدود بقرار عام لفئة محددة، أو باتفاق دولي أو مذكرة تنفيذية مخولة، أو بتقييم مقدم أو خدمة بعينها، أو بالاعتماد على قائمة ثقة أجنبية موثوقة. ويجب بيان نطاق الاعتراف وآثاره ومدته ووسائل تعليقه أو إنهائه.

يجوز منح توقيع أو ختم أو طابع زمني أجنبي أثراً قانونياً مكافئاً لنظيره الوطني إذا استوفى معيار التكافؤ الجوهري. ولا يشترط أن تكون البنية التقنية أو مكان الخوادم مطابقاً حرفياً للبنية العراقية إذا تحققت وظائف الثقة والحماية المطلوبة.

يجوز قبول وسائل تعريف إلكتروني أجنبية للوصول إلى خدمات أو معاملات عراقية بحسب مستوى الضمان، مع مراعاة قوانين الدخول والإقامة ومكافحة غسل الأموال والعقوبات والالتزامات الخاصة بكل قطاع. ولا يؤدي قبول وسيلة تعريف إلى الاعتراف بجنسية أو إقامة أو صفة موضوعية غير مثبتة وفق القانون العراقي.

تلتزم الجهات العامة، وفق جدول زمني يقره مجلس الوزراء، بقبول الهوية الرقمية الوطنية ووسائل التعريف المعترف بها متى كانت المعاملة قابلة للإنجاز إلكترونياً، وبالامتناع عن طلب نسخة ورقية من بيانات يمكن التحقق منها مباشرة من مصدر رسمي وفق القانون.

تستخدم الجهات العامة التوقيع الإلكتروني للأشخاص المخولين والختم الإلكتروني للمؤسسة وفق توزيع الصلاحيات. ويجب ألا يستخدم الختم المؤسسي لإخفاء هوية الموظف المسؤول عن قرار يتطلب مساءلة شخصية، وتحتفظ الأنظمة بسجل تدقيق يبين من أجاز الإجراء.

يجوز استخدام خدمة تسليم إلكتروني مسجل في الإشعارات والتبليغات الإدارية إذا نص القانون الخاص أو وافق صاحب الشأن أو اعتمد حساباً رقمياً رسمياً لهذا الغرض. ولا يعد مجرد إرسال بريد إلكتروني عادي بديلاً عن التبليغ القانوني إذا كان القانون يشترط دليلاً موثوقاً على التسليم.

تراعي المشتريات الحكومية قابلية التشغيل البيني والمعايير المفتوحة وملكية الدولة لبياناتها ومفاتيحها الحرجة وخطط الانتقال بين الموردين. ويحظر تضمين العقود ما يمنع نقل البيانات أو مفاتيح الإدارة أو السجلات اللازمة لاستمرار الخدمة عند انتهاء العقد، مع حماية الأسرار التجارية المشروعة.

يجب أن تصمم جميع مكونات الهوية والثقة وفق مبدأي الخصوصية والأمن منذ التصميم وبالوضع الافتراضي، بما يشمل تقليل البيانات، والفصل بين المعرفات عند الإمكان، والتشفير، والمصادقة متعددة العوامل بحسب المخاطر، وسجلات التدقيق، والاختبارات الدورية، والحد من تتبع المستخدم عبر الخدمات.

يجب أن يعلم المستخدم، بلغة واضحة، نوع وسيلة الهوية أو الخدمة، ومستوى ضمانها، والجهة المقدمة لها، والبيانات المطلوبة والغرض منها، والقيود الجوهرية، وكيفية الاعتراض أو الإبلاغ عن فقدان الوسيلة أو إساءة استخدامها. ولا يجوز إخفاء أثر قانوني جوهري في شروط مطولة أو مبهمة.

لكل شخص حق تقديم شكوى إلى مقدم الخدمة والحصول على جواب مسبب خلال مدة معقولة، وله التظلم لدى السلطة من قرارات الترخيص أو الخدمة في حدود اختصاصها، دون الإخلال بحقه في اللجوء إلى القضاء أو إلى جهة حماية البيانات أو أي جهة رقابية مختصة.

يسأل مقدم خدمة الهوية أو الثقة عن الضرر الناتج عن إخلاله العمدي أو بإهماله بالتزام قانوني أو فني واجب، مع مراعاة دور المتضرر والطرف المعتمد ومصدر البيانات. ويقع على مقدم الخدمة المؤهلة عبء إثبات أنه لم يتعمد ولم يهمل عند وقوع خلل في المتطلبات التي تخضع لسيطرته المباشرة.

يجوز لمقدم الخدمة تحديد قيود استعمال الشهادة أو الخدمة وقيمة المعاملة أو نوعها متى كانت القيود واضحة وقابلة للتحقق قبل الاعتماد عليها. ولا يحتج بقيود غير منشورة أو غامضة، ولا يجوز الاتفاق على الإعفاء من المسؤولية عن الغش أو الخطأ الجسيم أو خرق التزامات الأمن الأساسية.

للـسلطة، بعد تمكين المعني من إبداء أقواله ما لم توجد حالة عاجلة، أن تصدر إنذاراً أو أمراً بالتصحيح أو بتقييد خدمة أو تعليق صفتها المؤهلة أو الترخيص أو سحبه، وأن تأمر بنشر تصحيح أو إخطار المستخدمين إذا كان ذلك ضرورياً لحمايتهم. ويجب أن يكون التدبير مسبباً ومتناسباً وقابلاً للطعن.

يجوز فرض غرامات إدارية على المخالفات التنظيمية الجسيمة التي يحددها القانون أو النظام، وتراعى في تقديرها جسامة المخالفة ومدتها وعدد المتأثرين والمنفعة المتحققة والتعاون وسجل الامتثال والقدرة الاقتصادية. ولا توقع عقوبة مالية من دون نص يحدد نطاقها وحدها الأقصى وفق مبدأ الشرعية.

مع عدم الإخلال بقانون العقوبات وقانون مكافحة جرائم تقنية المعلومات، يعاقب وفق النصوص الجزائية المختصة من يتعمد تزوير شهادة أو بيانات اعتماد، أو يستولي على بيانات إنشاء توقيع أو هوية رقمية بقصد انتحالها، أو يصدر خدمة مؤهلة أو علامة ثقة وطنية دون حق، أو يتلف سجلات الثقة بقصد إخفاء دليل. ولا تنشأ المسؤولية الجزائية عن مجرد خطأ فني أو إخلال مدني ما لم تتوافر أركان الجريمة بنص صريح.

تخضع القرارات النهائية الصادرة عن السلطة للطعن أمام القضاء الإداري المختص وفق المدد والإجراءات القانونية، ولا يمنع الطعن من طلب وقف التنفيذ عند توافر شروطه. وتبقى المنازعات المدنية والتجارية والتعويض من اختصاص المحاكم المختصة.

تستمر التراخيص والشهادات وخدمات التصديق الصادرة وفق قانون التوقيع الإلكتروني والمعاملات الإلكترونية رقم (78) لسنة 2012 وتعليمات رقم (1) لسنة 2025 بآثارها إلى انتهاء مدتها أو لمدة لا تتجاوز أربعة وعشرين شهراً من نفاذ هذا القانون، أيهما أقرب، ما لم تقرر السلطة استمرارها بعد استيفاء متطلبات هذا القانون.

على الجهات التي تمارس نشاط التصديق أو خدمات الثقة عند نفاذ هذا القانون توفيق أوضاعها خلال ثمانية عشر شهراً. وتضع السلطة خطة انتقال تحفظ التحقق من التوقيعات والشهادات السابقة وسجلات الإبطال والأرشيف، ولا يؤدي الانتقال إلى إسقاط حجية معاملة صحيحة تمت وفق القانون النافذ وقت إجرائها.

يصدر مجلس الوزراء الأنظمة اللازمة لتنفيذ هذا القانون خلال اثني عشر شهراً من تاريخ نشره، ولوزير الاتصالات والجهات المختصة إصدار التعليمات والمعايير ضمن اختصاصها، وبالأخص بشأن مستويات ضمان الهوية، وقائمة الثقة، وتقييم المطابقة، والأدوات المؤهلة، والحوادث، والرسوم، والاعتراف عبر الحدود، مع نشرها وإتاحة مدة مناسبة للتشاور الفني متى أمكن.

يقدم مجلس الوزراء خلال ثمانية عشر شهراً حزمة تعديلات لتوحيد الإحالات إلى التوقيع والمحررات والختم والحضور والتبليغ في القوانين النافذة، بما يسمح بالتعادل الوظيفي حيث لا يوجد مانع موضوعي. وتنسق الحزمة مع قوانين الإثبات والمرافعات والتجارة والشركات والمصارف والكاتب العدل والسجل العقاري والبطاقة الوطنية والحكومة الرقمية وحماية البيانات والأمن السيبراني.

يلغى قانون التوقيع الإلكتروني والمعاملات الإلكترونية رقم (78) لسنة 2012 من تاريخ نفاذ هذا القانون، وتبقى الأنظمة والتعليمات والقرارات الصادرة بموجبه نافذة بالقدر الذي لا يتعارض مع هذا القانون إلى حين استبدالها، على ألا تتجاوز المدد الانتقالية المنصوص عليها فيه.

ينفذ هذا القانون بعد تسعين يوماً من تاريخ نشره في الجريدة الرسمية، باستثناء الأحكام التي تتطلب نظاماً أو بنية انتقالية فيبدأ إلزامها وفق المدد المحددة فيه، ولا يجوز تأجيل الحقوق أو الضمانات الأساسية بسبب التأخر في إصدار التعليمات.