◄ 20 شكوى وبلاغًا متعلقة بحماية البيانات الشخصية.. و22 حالات اختراق بنهاية مايو
◄ التوبية: "النقل والاتصالات" تتبنى نهجًا متكاملًا لمتابعة امتثال المؤسسات للقانون
◄ تنفيذ أكثر من 15 ورشة وبرنامجًا توعويًا منذ إصدار القانون
◄ التعديل يستهدف تطوير الإطار التشريعي ويعزز القدرة على مواكبة الممارسات الحديثة
◄ الرحبي: تعديلات القانون تعزز الثقة في الاقتصاد الرقمي والاحتفاظ بالبيانات آمنةً
◄ العقوبات الواردة في التعديل تكفي لتحقيق الردع
◄ القانون يعالج مسألة بيانات الموظفين داخل المؤسسات "بصورة أكثر واقعية"
◄ "المعالجة المؤتمتة" من أبرز الإضافات في القانون المُعدّل
◄ التعديلات تشمل الرسائل الإعلانية والتسويقية التي تصل للأفراد
الرؤية- فيصل السعدي
أكد مختصون أن قانون حماية البيانات الشخصية بصيغته المعدلة بموجب المرسوم السلطاني رقم (68/2026) يواكب المتغيرات المتسارعة التي يشهدها العالم في ظل تنامي مخاطر اختراق البيانات الشخصية وتزايد التحديات المرتبطة بحمايتها، وأشاروا- في تحقيق خاص لـ"الرؤية"- إلى أن التعديلات الصادرة أسهمت في تعزيز منظومة الحماية القانونية، من خلال تطوير عدد من نصوص القانون وتوسيع نطاقها، بما يجعلها أكثر شمولًا ومواءمةً لمتطلبات المرحلة الراهنة والتحولات المتسارعة في البيئة الرقمية.
وقالت فاطمة بنت حمد التوبية رئيسة قسم حماية البيانات الشخصية بوزارة النقل والاتصالات وتقنية المعلومات، في تصريحات خاصة لـ"الرؤية"- إن الوزارة تتولى مسؤولية متابعة تطبيق أحكام قانون حماية البيانات الشخصية ولائحته التنفيذية، في إطار اختصاصاتها المقررة قانونًا، وذلك من خلال إعداد واعتماد الضوابط والإجراءات المنظمة لحماية البيانات الشخصية، والتحقق من التزام المتحكمين والمعالجين بها، وتلقي الشكاوى والبلاغات والبت فيها، واعتماد المدققين الخارجيين، إلى جانب تقديم المشورة والدعم والتنسيق مع وحدات الجهاز الإداري للدولة وغيرها من الأشخاص الاعتبارية العامة في المسائل المتعلقة بحماية البيانات الشخصية.
وأفصحت التوبية عن تلقي الوزارة حتى نهاية مايو الماضي، 20 شكوى وبلاغًا مُتعلقًا بحماية البيانات الشخصية، بالإضافة إلى 22 بلاغًا عن حالات اختراق للبيانات الشخصية، مشيرةً إلى أنه جرى التعامل معها وفق الإجراءات والضوابط القانونية المعتمدة، بما يشمل الدراسة والتحقق ومتابعة الإجراءات التصحيحية ومدى التزام الجهات المعنية بالمتطلبات القانونية.
وأوضحت التوبية أهمية التمييز بين حماية البيانات الشخصية والأمن السيبراني، مع التأكيد على تكاملهما؛ حيث إن الأمن السيبراني يركز على حماية الأنظمة والشبكات من التهديدات والهجمات، بينما تركز حماية البيانات الشخصية على مشروعية معالجة البيانات وصون حقوق أصحابها طوال دورة حياتها، بدءًا من جمعها واستخدامها وتخزينها، وصولًا إلى مشاركتها أو نقلها أو محوها.
وحول حرص الوزارة على امتثال مؤسسات القطاع الخاص المختلفة لأحكام قانون حماية البيانات الشخصية، قالت التوبية: "تتبنى الوزارة نهجًا متكاملًا لمتابعة الامتثال، يجمع بين التوعية والتوجيه والرقابة واتخاذ الإجراءات القانونية عند ثبوت المخالفة". وأضافت أن متابعة الامتثال لا تقتصر على التعامل مع الشكاوى بعد وقوعها، بل تشمل أدوات استباقية تساعد المؤسسات على تقييم ممارساتها ومعالجة أوجه القصور قبل أن تؤدي إلى المساس بحقوق أصحاب البيانات الشخصية. وأوضحت أن الوزارة نفذت أكثر من 15 ورشة وبرنامجًا توعويًا منذ إصدار القانون وقد استهدفت قطاعات مختلفة، وركزت على التعريف بأحكام القانون ولائحته التنفيذية، وبيان حقوق أصحاب البيانات الشخصية، والتزامات المتحكمين والمعالجين، والإجراءات العملية اللازمة لتحقيق الامتثال.
وبيَّنت التوبية أن التعديل الأخير على قانون البيانات الشخصية الصادر وفق المرسوم السلطاني رقم (68/2026)، استهدف تطوير الإطار التشريعي لحماية البيانات الشخصية، وتعزيز قدرته على مواكبة الممارسات الحديثة في معالجة البيانات الشخصية، من خلال توسيع نطاق تطبيق القانون عدد من الجوانب من بينها: معالجة البيانات الشخصية للأشخاص الطبيعيين في سلطنة عُمان، سواء تمت المعالجة داخل السلطنة أم خارجها، وتوضيح اختصاصات الوزارة في تطبيق أحكام القانون والتحقق من امتثال المتحكمين والمعالجين في القطاع الخاص، بإضافة تعريف "المُعالجة المؤتمَتة"، وتنظيم استخدام الأنظمة والبرامج التي تتخذ القرارات آليًا أو بتدخل بشري محدود.
وأكدت رئيسة قسم حماية البيانات الشخصية بوزارة النقل والاتصالات وتقنية المعلومات أن تنظيم "المعالجة المؤتمتة" في نص القانون يكتسب أهمية خاصة في ظل التوسع في استخدام الذكاء الاصطناعي والأنظمة الرقمية في تحليل البيانات واتخاذ القرارات؛ حيث ركَّز تعديل قانون البيانات الشخصية على تحقيق التوازن بين الاستفادة من هذه التقنيات وحماية حقوق الأفراد؛ فألزم المُتحَكِّم والمُعالِج باتخاذ الإجراءات والتدابير المناسبة لحماية خصوصية البيانات وسريتها، ومنح صاحب البيانات الحق في الاعتراض على القرارات الناتجة عن المعالجة المؤتمتة، مع ضمان مراجعتها بتدخل بشري.
وقالت إن قانون حماية البيانات الشخصية- بصيغته المعدلة- يشكل إطارًا تشريعيًا أساسيًا في تعزيز الثقة بالاقتصاد الرقمي والخدمات الإلكترونية؛ إذ إن التعديل لا يقتصر على إضافة أحكام جديدة، بل يعكس توجهًا تشريعيًا نحو إيجاد منظومة أكثر وضوحًا ومرونة، تستجيب للمتغيرات التقنية والاحتياجات العملية، وتحقق التوازن بين حماية الحقوق الفردية وتمكين المؤسسات من أداء أعمالها والتزاماتها القانونية بكفاءة.
ومن جانبه، أكد المحامي خليفة بن مرهون الرحبي نائب رئيس مجلس إدارة جمعية المحامين العُمانية أن التعديلات الأخيرة على قانون حماية البيانات الشخصية تمثل خطوة مهمة في تطوير المنظومة التشريعية المنظمة للبيانات في سلطنة عُمان، خصوصًا في ظل التوسع الكبير في الخدمات الإلكترونية والذكاء الاصطناعي والمعالجة المؤتمتة للبيانات.
وأوضح الرحبي- في تصريح خاص لـ"الرؤية"- أن البيانات الشخصية باتت جزءًا أساسيًا من الحياة الاقتصادية والاجتماعية، وأن حمايتها لم تعد مسألة فنية أو تقنية فقط، وإنما حق قانوني يرتبط مباشرة بخصوصية الإنسان وكرامته وثقته في المؤسسات التي تتعامل مع بياناته.
وقال الرحبي: "ننظر إلى التعديلات الأخيرة على قانون حماية البيانات الشخصية تطويرًا مهما للقانون الصادر في عام 2022، واستجابة طبيعية للتغير المتسارع في البيئة الرقمية؛ إذ إن اليوم معظم التعاملات، سواء المصرفية أو الصحية أو التجارية أو الوظيفية، تمر عبر أنظمة إلكترونية تجمع وتعالج كميات كبيرة جدا من البيانات الشخصية، ولذلك كان من الضروري أن يتطور الإطار القانوني بصورة تواكب هذه الممارسات".
وأوضح أن التعديل الأخير للقانون جاء ليحدد بصورة أوضح نطاق تطبيق القانون، ومسؤوليات المتحكم والمعالج، وشروط الحصول على الموافقة، إلى جانب تنظيم جوانب جديدة مرتبطة بالمعالجة المؤتمتة. وذكر نائب رئيس مجلس إدارة جمعية المحامين العُمانية أن التشديد على مفهوم الموافقة الصريحة لصاحب البيانات، من أهم الجوانب التي تناولها القانون، فالأصل وبحسب التعديل أنه لا يجوز معالجة البيانات الشخصية أو تغيير الغرض من معالجتها إلا في إطار من الشفافية والأمانة واحترام كرامة الإنسان وبعد الحصول على موافقة صريحة من صاحب البيانات.
وتابع الرحبي قائلًا: "عبء إثبات وجود هذه الموافقة أصبح يقع على المتحكم في البيانات، كما يجب أن يكون طلب الموافقة واضحا ومفهوما ويبين الغرض من المعالجة وطبيعتها وبيانات المتحكم والمعالج وآلية التواصل مع مسؤول حماية البيانات، وهذا يمنع الكثير من الممارسات التي تعتمد على موافقات عامة أو مبهمة لا يعرف الشخص من خلالها كيف ستستخدم بياناته فعليًا".
المعالجة المؤتمتة
واعتبر الرحبي أن "المعالجة المؤتمتة" التي تطرق لها قانون البيانات الشخصية الجديد، من أهم الإضافات في القانون، خصوصًا وما نشهده من توسع كبير في استخدام الذكاء الاصطناعي والخوارزميات والأنظمة الإلكترونية في اتخاذ القرارات؛ فالتعديل عرَّف المعالجة المؤتمتة ونظَّم التعامل معها، وأعطى صاحب البيانات الحق في الاعتراض على القرارات الناتجة عنها.
وأضاف الرحبي أن القانون المُعدَّل أوجب إدخال العنصر البشري عند مراجعة القرار محل الاعتراض، وهو مبدأ بالغ الأهمية، باعتبار أن التكنولوجيا مهما بلغت من تطور يجب ألّا تحرم الإنسان من حقه في مراجعة قرار قد يؤثر في مركزه القانوني أو المالي أو الوظيفي أو غير ذلك من مصالحه.
وأشار الرحبي إلى أن القانون المُعدَّل وسَّع نطاق الحماية بشكل واضح، حيث نص على سريان أحكام القانون على معالجة البيانات الشخصية للأشخاص الطبيعيين في سلطنة عُمان؛ سواء تمت المعالجة داخل السلطنة أو خارجها، وهذه نقطة ذات أهمية كبيرة في الاقتصاد الرقمي، لأن البيانات اليوم قد تُجمع في سلطنة عُمان ولكن تتم معالجتها أو تخزينها من خلال أنظمة أو شركات موجودة في دول أخرى، ومن هنا فإن مكان وجود الخادم أو النظام الإلكتروني لا ينبغي أن يكون سببًا في إضعاف الحماية القانونية المقررة لصاحب البيانات.
وأكد نائب رئيس مجلس إدارة جمعية المحامين العُمانية، أن التعديل على قانون حماية البيانات الشخصية عالج مسألة بيانات الموظفين داخل المؤسسات بصورة أكثر واقعية، فأجاز معالجة بيانات العاملين في إطار تنظيم العمل الداخلي، بشرط الالتزام بالقانون وعدم الإفصاح عن البيانات للغير إلا وفقا للضوابط المقررة، وهذا يحقق توازنا مهما بين حاجة المؤسسة إلى إدارة بيانات موظفيها لأغراض العمل وبين حق الموظف في المحافظة على خصوصيته وعدم استخدام بياناته أو إفشائها خارج الغرض الذي جمعت من أجله، موجهًا النصح للمؤسسات بأن تدرك أن وجود علاقة عمل لا يعني تفويضًا مفتوحًا باستخدام جميع بيانات الموظف كيفما شاءت المؤسسة.
وأوضح الرحبي أن التعديل على قانون حماية البينات الشخصية، أكد ضرورة الحصول على الموافقة الصريحة لصاحب البيانات قبل إرسال المواد الإعلانية أو التسويقية ذات الأغراض التجارية، وهذا يعزز حق الشخص في أن يقرر بنفسه ما إذا كان يرغب في تلقي مثل هذه الرسائل، بدلًا من استخدام بياناته أو رقم هاتفه بصورة تلقائية لمجرد وجود تعامل سابق مع شركة أو مؤسسة.
وأشار الرحبي إلى أن الأصل الذي أكده التعديل هو وجوب محو البيانات الشخصية فور انتهاء الغرض من معالجتها؛ باعتبارها مخاطر البيانات لا يرتبط فقط بجمعها، وإنما أيضا بالاحتفاظ بها لفترات طويلة دون حاجة حقيقية. وقال إن القانون وضع استثناءات محددة، مثل وجود نزاع قائم أو وجود التزام قانوني أو حكم أو أمر قضائي يقتضي الاحتفاظ بالبيانات، موضحًا أن المؤسسات مطالبة مُستقبلًا بأن تكون لديها سياسات واضحة تُحدِّد مدة الاحتفاظ بالبيانات وسبب استمرار الاحتفاظ بها.
وأكد الرحبي أن العقوبات الواردة في التعديل كافية لتحقيق الردع، ولكن نجاح القانون لا يقاس فقط بحجم الغرامة، فالتعديل شمل إعادة تنظيم بعض الجزاءات، ومن بينها غرامة تتراوح بين 500 و2000 ريال عُماني على مخالفة بعض أحكام المعالجة، وغرامة تتراوح بين 5000 و10000 ريال عُماني على مخالفات محددة مرتبطة ببعض الالتزامات المقررة في القانون. وبذلك فإن قيمة العقوبة تقاس في بناء ثقافة امتثال حقيقية داخل المؤسسات، فالشركات والبنوك والمستشفيات وشركات الاتصالات والمنصات الرقمية وغيرها يجب أن تنظر إلى حماية البيانات باعتبارها جزءًا من الحوكمة وإدارة المخاطر، وليس مجرد التزام قانوني يتم التعامل معه بعد وقوع المخالفة.
