أصدر حضرة صاحب الجلالة السلطان هيثم بن طارق المعظم حفظه الله ورعاه المرسوم السلطاني رقم 68/2026 بتعديل بعض أحكام قانون حماية البيانات الشخصية، في إطار تعزيز حماية الخصوصية وتنظيم عمليات معالجة البيانات، بما يتواكب مع التطورات التقنية ومتطلبات التعامل مع البيانات الشخصية.
ونص المرسوم على إجراء تعديلات على عدد من مواد قانون حماية البيانات الشخصية، وإضافة أحكام جديدة تنظم المعالجة المؤتمتة، وتحدد حالات معالجة البيانات دون موافقة صريحة، إلى جانب تشديد بعض الغرامات المالية.
سريان القانون داخل سلطنة عمان وخارجها
وسع التعديل نطاق تطبيق القانون ليشمل معالجة البيانات الشخصية للأشخاص الطبيعيين في سلطنة عمان، سواء تمت المعالجة داخل السلطنة أو خارجها.
وفي المقابل، حدد حالات لا تسري عليها أحكام القانون، من بينها حماية الأمن الوطني أو المصلحة العامة، وتنفيذ الاختصاصات القانونية لوحدات الجهاز الإداري للدولة والأشخاص الاعتبارية العامة، وحماية المصالح الاقتصادية والمالية للدولة.
كما شملت الاستثناءات كشف أو منع الجرائم الجزائية بناء على طلب رسمي مكتوب من جهات التحقيق، والمعالجة الشخصية أو الأسرية ما لم يتم نشر البيانات، إلى جانب بعض أغراض البحوث التاريخية والإحصائية والعلمية والأدبية والاقتصادية وفق ضوابط محددة.
وزارة النقل والاتصالات وتقنية المعلومات تتولى التطبيق
أناط التعديل بالوزارة مسؤولية تطبيق أحكام قانون حماية البيانات الشخصية، مع عدم الإخلال بالاختصاصات المقررة لمركز الدفاع الإلكتروني.
وتشمل اختصاصات الوزارة إعداد واعتماد الضوابط والإجراءات المتعلقة بحماية البيانات، وإصدار قواعد معالجة البيانات والتحقق من التزام المتحكم والمعالج بها، إلى جانب تلقي البلاغات والشكاوى والبت فيها.
كما تتولى الوزارة التعاون مع الجهات المختصة بحماية البيانات في الدول الأخرى، وتقديم المشورة والدعم للجهات الحكومية، واعتماد المدققين الخارجيين المكلفين بتقييم مدى الالتزام بأحكام القانون.
موافقة صريحة وشروط أوضح لمعالجة البيانات
أكد التعديل عدم جواز معالجة البيانات الشخصية أو تغيير الغرض من معالجتها إلا في إطار الشفافية والأمانة واحترام كرامة الإنسان، وبعد الحصول على الموافقة الصريحة لصاحب البيانات.
وألزم المتحكم بإثبات هذه الموافقة، على أن يكون طلبها مكتوبا بصورة واضحة وصريحة ومفهومة، ويتضمن بيانات المتحكم والمعالج إن وجد، وآلية التواصل مع مسؤول حماية البيانات، وأهداف المعالجة وطبيعتها، وأي معلومات أخرى لازمة لاستيفاء شروط المعالجة.
تنظيم المعالجة المؤتمتة
أضاف القانون تعريفا للمعالجة المؤتمتة، باعتبارها المعالجة التي تتم باستخدام برنامج أو نظام إلكتروني يعمل بصورة آلية وتلقائية، سواء بشكل مستقل كليا دون تدخل بشري أو بشكل جزئي بإشراف وتدخل بشري محدود.
وألزم المتحكم والمعالج عند استخدام المعالجة المؤتمتة باتخاذ الإجراءات والتدابير المناسبة لحماية خصوصية وسرية البيانات وعدم الإضرار بصاحبها.
كما منح صاحب البيانات الحق في الاعتراض على القرارات الناتجة عن المعالجة المؤتمتة، مع إلزام المتحكم أو المعالج بإدخال العنصر البشري عند مراجعة القرارات محل الاعتراض، وفقا للضوابط التي تحددها اللائحة.
محو البيانات بعد انتهاء الغرض من معالجتها
ألزم التعديل المتحكم والمعالج بمحو البيانات الشخصية فور انتهاء الغرض من معالجتها.
واستثنى من ذلك حالتين، هما وجود نزاع قائم بين المتحكم أو المعالج وصاحب البيانات، أو وجود التزام قانوني يفرض الاحتفاظ بها بموجب قانون أو حكم أو أمر أو قرار من المحكمة.
سلطنة عماننفط عُمان يقفز 9.33 دولار ويتجاوز 107 دولارات للبرميل
ضوابط للإعلانات والتسويق
اشترط التعديل حصول المتحكم على الموافقة الصريحة لصاحب البيانات الشخصية قبل إرسال أي مادة إعلانية أو تسويقية ذات أغراض تجارية إليه، وفقا للضوابط التي تحددها اللائحة.
حالات محددة للمعالجة دون موافقة
أجاز القانون، في حالات محددة، معالجة البيانات الشخصية دون الحصول على الموافقة الصريحة، إذا كانت المعالجة تنفيذا لالتزام قانوني على المتحكم، أو كانت البيانات متاحة للجمهور بما لا يخالف القانون.
كما شملت الحالات حماية مصلحة حيوية لصاحب البيانات عند تعذر الاتصال به، أو تنفيذ عقد يكون صاحب البيانات طرفا فيه، شريطة أن يتضمن العقد ما يفيد بأن معالجة البيانات تتم وفقا لأحكام القانون.
استثناءات تشمل بيانات العاملين وكاميرات المراقبة
أجاز التعديل معالجة البيانات الشخصية للعاملين لدى المتحكم ضمن تنظيم العمل الداخلي، شريطة الالتزام بأحكام القانون وعدم الإفصاح عن البيانات للغير إلا بعد الحصول على الموافقة الكتابية لصاحب البيانات.
كما أجاز معالجة البيانات عبر أجهزة وكاميرات المراقبة المستخدمة لاستيفاء المتطلبات الأمنية الصادرة عن الجهات المختصة، إلى جانب حالات أخرى يحددها الوزير وفقا للضوابط التي تبينها اللائحة.
غرامات مالية على المخالفين
رفع التعديل مستوى الجزاءات المالية على بعض المخالفات، حيث يعاقب كل من يخالف أحكام المادة (10) بغرامة لا تقل عن 500 ريال عماني ولا تزيد على 2000 ريال عماني.
كما يعاقب كل من يخالف أحكام المادتين (13) و(14) بغرامة لا تقل عن 5000 ريال عماني ولا تزيد على 10000 ريال عماني.
تعريف جديد للبيانات الصحية والمتحكم
شملت التعديلات إعادة صياغة تعريف البيانات الصحية لتشمل البيانات الشخصية المرتبطة بالحالة الصحية الجسدية أو العقلية أو النفسية للفرد، أو المتعلقة بتوفير خدمات الرعاية الصحية له والتي تكشف عن وضعه الصحي.
كما أعيد تعريف المتحكم بأنه الشخص الاعتباري الذي يقوم بالمعالجة بنفسه أو يعهد بها إلى المعالج.
تعزيز حماية البيانات الشخصية
وتعكس التعديلات توجها نحو تعزيز الضوابط المنظمة لمعالجة البيانات الشخصية، مع منح أصحاب البيانات حقوقا أوضح تجاه القرارات المؤتمتة والإعلانات التجارية، ووضع استثناءات محددة للمعالجة دون موافقة، بما يحقق التوازن بين حماية الخصوصية ومتطلبات العمل والمصلحة العامة.
وينص المرسوم على نشره في الجريدة الرسمية والعمل به من اليوم التالي لتاريخ نشره، وقد صدر في 3 سبتمبر 2026.
