مسقط – الرؤية

أصدر حضرة صاحب الجلالة السلطان هيثم بن طارق-حفظه الله ورعاه- المرسوم السلطاني رقم (2026/68) بتعديل بعض أحكام قانون حماية البيانات الشخصية، الصادر بالمرسوم السلطاني رقم (6/2022)، وذلك وفقًا لما تقتضيه المصلحة العامة، وبعد العرض على مجلس عُمان.

ونص المرسوم، المنشور في الجريدة الرسمية العدد (1664)، على إجراء التعديلات المرفقة على قانون حماية البيانات الشخصية، وإلغاء كل ما يخالفها أو يتعارض مع أحكامها، على أن يعمل بها اعتبارًا من اليوم التالي لتاريخ نشر المرسوم.

شملت التعديلات إعادة صياغة تعريف البيانات الصحية، لتشمل البيانات الشخصية المتعلقة بالحالة الصحية للفرد، سواء كانت جسدية أو عقلية أو نفسية، أو المرتبطة بتوفير خدمات الرعاية الصحية له، بما يكشف عن وضعه الصحي.

كما عُدّل تعريف المتحكم ليصبح الشخص الاعتباري الذي يقوم بمعالجة البيانات بنفسه أو يعهد بهذه المعالجة إلى المعالج.

ونص التعديل على أن تسري أحكام قانون حماية البيانات الشخصية على معالجة البيانات الشخصية للأشخاص الطبيعيين في سلطنة عُمان، سواء تمت المعالجة داخل السلطنة أو خارجها.

في المقابل، حدد القانون حالات لا تسري عليها أحكامه، من بينها حماية الأمن الوطني أو المصلحة العامة، وتنفيذ وحدات الجهاز الإداري للدولة والأشخاص الاعتبارية العامة لاختصاصاتها القانونية، وحماية المصالح الاقتصادية والمالية للدولة.

كما استثنى معالجة البيانات بهدف كشف أو منع أي جريمة جزائية بناءً على طلب رسمي مكتوب من جهات التحقيق، والمعالجة التي تتم في إطار شخصي أو أسري ما لم يتم نشر البيانات، إلى جانب أغراض البحوث التاريخية أو الإحصائية أو العلمية أو الأدبية أو الاقتصادية التي تنفذها جهات مصرح لها، شريطة عدم إمكانية ربط البيانات المنشورة بشخص طبيعي محدد أو قابل للتعريف.

وأسندت التعديلات إلى الوزارة، مع عدم الإخلال بالاختصاصات المقررة لمركز الدفاع الإلكتروني، مسؤولية تطبيق أحكام قانون حماية البيانات الشخصية.

وتشمل اختصاصاتها إعداد واعتماد الضوابط والإجراءات المتعلقة بحماية البيانات الشخصية، وإصدار القواعد المنظمة للمعالجة والتحقق من التزام المتحكم والمعالج بها، إضافة إلى تلقي البلاغات والشكاوى المقدمة من أصحاب البيانات والبت فيها.

كما تتولى الوزارة التعاون مع الجهات المختصة بحماية البيانات الشخصية في الدول الأخرى، وتقديم المشورة والدعم والتنسيق مع وحدات الجهاز الإداري للدولة والأشخاص الاعتبارية العامة، فضلًا عن اعتماد المدققين الخارجيين المكلفين بتقييم مدى التزام المتحكم والمعالج بأحكام القانون.

وأدخل المرسوم تعديلات على المادة (10)، بحيث لا يجوز معالجة البيانات الشخصية أو تغيير الغرض من معالجتها إلا في إطار الشفافية والأمانة واحترام كرامة الإنسان، وبعد الحصول على الموافقة الصريحة لصاحب البيانات الشخصية.

وألزم التعديل المتحكم بإثبات حصوله على هذه الموافقة، على أن يكون طلب الموافقة مكتوبًا بصورة واضحة وصريحة ومفهومة، ويتضمن بيانات المتحكم والمعالج – إن وجد – وآلية التواصل مع مسؤول حماية البيانات الشخصية، وأهداف المعالجة وطبيعتها، وأي معلومات أخرى ضرورية لاستيفاء شروط المعالجة وفقًا للقانون.

استحدثت التعديلات تعريفًا لـ المعالجة المؤتمتة، باعتبارها المعالجة التي تتم باستخدام برنامج أو نظام إلكتروني يعمل بطريقة آلية وتلقائية، سواء بصورة مستقلة كليًا دون تدخل بشري أو جزئيًا بإشراف وتدخل بشري محدود.

وألزمت التعديلات المتحكم والمعالج، عند استخدام المعالجة المؤتمتة، باتخاذ الإجراءات والتدابير المناسبة لحماية خصوصية وسرية البيانات الشخصية وعدم الإضرار بصاحبها.

كما منحت صاحب البيانات الشخصية الحق في الاعتراض على القرارات الناتجة عن المعالجة المؤتمتة، مع إلزام المتحكم أو المعالج بإدخال العنصر البشري عند مراجعة القرارات محل الاعتراض، وفق الضوابط التي تحددها اللائحة.

وأوجب القانون على المتحكم والمعالج محو البيانات الشخصية فور انتهاء الغرض من معالجتها، مع استثناء حالتين يجوز فيهما الاحتفاظ بالبيانات، هما وجود نزاع قائم بين المتحكم أو المعالج وصاحب البيانات الشخصية، أو وجود التزام قانوني يفرض الاحتفاظ بها بموجب قانون أو حكم أو أمر أو قرار من المحكمة.

وفي الجانب المتعلق بالتسويق، ألزمت التعديلات المتحكم بالحصول على الموافقة الصريحة لصاحب البيانات الشخصية قبل إرسال أي مادة إعلانية أو تسويقية ذات أغراض تجارية إليه، وذلك وفقًا للضوابط التي تحددها اللائحة.

وأضيفت مادة جديدة برقم (5 مكرر) تجيز للمتحكم معالجة البيانات الشخصية في حالات محددة، من بينها معالجة بيانات العاملين لديه في إطار تنظيم العمل الداخلي، شريطة الالتزام بأحكام القانون وعدم الإفصاح عن البيانات للغير إلا بعد الحصول على موافقة كتابية من صاحبها.

كما أجازت معالجة البيانات عبر أجهزة وكاميرات المراقبة المستخدمة استيفاءً للمتطلبات الأمنية الصادرة عن الجهات المختصة، إضافة إلى حالات أخرى يحددها الوزير وفق الضوابط التي تبينها اللائحة.

كذلك استحدثت مادة (10 مكرر) حالات يجوز فيها معالجة البيانات الشخصية دون الحصول على الموافقة الصريحة، من بينها تنفيذ التزام قانوني يقع على عاتق المتحكم، أو تنفيذ حكم أو أمر أو قرار صادر عن المحكمة.

وتشمل الحالات أيضًا البيانات المتاحة للجمهور، بما لا يخالف أحكام القانون، وحماية مصلحة حيوية لصاحب البيانات الشخصية عند تعذر الاتصال به، وكذلك المعالجة اللازمة لتنفيذ عقد يكون صاحب البيانات الشخصية طرفًا فيه، على أن يتضمن العقد ما يفيد بأن معالجة البيانات تتم وفقًا لأحكام قانون حماية البيانات الشخصية.

ورفع المرسوم مستوى الجزاءات المالية على بعض المخالفات، إذ نص على معاقبة كل من يخالف أحكام المادة (10) بغرامة لا تقل عن 500 ريال عُماني ولا تزيد على 2000 ريال عُماني.

كما نص على غرامة لا تقل عن 5000 ريال عُماني ولا تزيد على 10 آلاف ريال عُماني لكل من يخالف أحكام المادتين (13) و(14) من القانون.

وصدر المرسوم السلطاني في 21 ربيع الأول 1448هـ، الموافق 3 سبتمبر 2026م، على أن يعمل به من اليوم التالي لتاريخ نشره في الجريدة الرسمية.