نحن هيثم بن طارق سلطان عمان
بعد الاطلاع على النظام الأساسي للدولة،
وعلى قانون حماية البيانات الشخصية الصادر بالمرسوم السلطاني رقم ٦ / ٢٠٢٢،
وبعد العرض على مجلس عمان،
وبناء على ما تقتضيه المصلحة العامة،
رسمنا بما هو آت
المادة الأولى
تجرى التعديلات المرفقة على قانون حماية البيانات الشخصية المشار إليه.
المادة الثانية
يلغى كل ما يخالف التعديلات المرفقة، أو يتعارض مع أحكامها.
المادة الثالثة
ينشر هذا المرسوم في الجريدة الرسمية، ويعمل به من اليوم التالي لتاريخ نشره.
صدر في: ٢١ من ربيع الأول سنة ١٤٤٨هـ
الموافق: ٣ من سبتمبر سنة ٢٠٢٦م
هيثم بن طارق
سلطان عمان
نشر في عدد الجريدة الرسمية رقم (١٦٦٤) الصادر في ٦ من سبتمبر ٢٠٢٦م.
تعديلات على بعض أحكام قانون حماية البيانات الشخصية
المادة (١)
يستبدل بتعريفي (البيانات الصحية) و(المتحكم) الواردين في المادة (١) من قانون حماية البيانات الشخصية المشار إليه، التعريفان الآتيان:
– البيانات الصحية:
البيانات الشخصية المتعلقة بحالة الفرد الصحية، سواء الجسدية أو العقلية أو النفسية، أو المتعلقة بتوفير خدمات الرعاية الصحية له، التي تكشف عن وضعه الصحي.
– المتحكم:
الشخص الاعتباري الذي يقوم بالمعالجة بنفسه أو يعهد بها إلى المعالج.
المادة (٢)
تستبدل بنصوص المواد (٢، ٣، ٧، ١٠، ١٤، ١٥، ٢٢، ٢٥، ٢٧) من قانون حماية البيانات الشخصية المشار إليه، النصوص الآتية:
المادة (٢)
تسري أحكام هذا القانون على معالجة البيانات الشخصية للأشخاص الطبيعيين في سلطنة عمان سواء تمت المعالجة داخل سلطنة عمان أم خارجها.
المادة (٣)
لا تسري أحكام هذا القانون على معالجة البيانات الشخصية التي تتم في الأحوال الآتية:
أ – حماية الأمن الوطني، أو المصلحة العامة.
ب – تنفيذ وحدات الجهاز الإداري للدولة وغيرها من الأشخاص الاعتبارية العامة للاختصاصات المقررة لها قانونا.
ج – حماية المصالح الاقتصادية، والمالية للدولة.
د – كشف أو منع أي جريمة جزائية بناء على طلب رسمي مكتوب من جهات التحقيق.
هـ – قيام الشخص بمعالجة البيانات الشخصية في إطار شخصي، أو أسري، ما لم يتم نشرها.
و – أغراض البحوث التاريخية أو الإحصائية أو العلمية أو الأدبية أو الاقتصادية، وذلك من قبل الجهات المصرح لها في القيام بهذه الأعمال، شريطة عدم استخدام أي دلالة أو إشارة تتعلق بصاحب البيانات الشخصية فيما تنشره من بحوث وإحصائيات، لضمان عدم نسب البيانات الشخصية إلى شخص طبيعي معرف، أو قابل للتعريف.
المادة (٧)
مع عدم الإخلال بالاختصاصات المقررة لمركز الدفاع الإلكتروني، تتولى الوزارة مسؤولية تطبيق أحكام هذا القانون، ولها على الأخص الآتي:
أ – إعداد واعتماد الضوابط والإجراءات المتعلقة بحماية البيانات الشخصية بما في ذلك تحديد الضمانات الضرورية والتدابير اللازمة وقواعد السلوك المتعلقة بحماية البيانات الشخصية.
ب – إصدار الضوابط والإجراءات اللازمة لمعالجة البيانات الشخصية والتحقق من التزام المتحكم والمعالج بها.
ج – تلقي البلاغات والشكاوى التي يودعها أصحاب البيانات الشخصية، والبت فيها، خلال المدة التي تبينها اللائحة.
د – التعاون مع الجهات المختصة بحماية البيانات الشخصية في الدول الأخرى.
هـ – تقديم المشورة والدعم والتنسيق مع وحدات الجهاز الإداري للدولة وغيرها من الأشخاص الاعتبارية العامة في أي مسألة تتعلق بحماية البيانات الشخصية.
و – اعتماد المدققين الخارجيين الذين يعهد إليهم تقييم التزام المتحكم والمعالج بأحكام هذا القانون.
المادة (١٠)
لا يجوز معالجة البيانات الشخصية أو تغيير الغرض من معالجتها إلا في إطار الشفافية والأمانة واحترام كرامة الإنسان، وبعد الحصول على الموافقة الصريحة لصاحب البيانات الشخصية على ذلك، ويلتزم المتحكم بإثبات الموافقة الصريحة لصاحب البيانات الشخصية لمعالجة بياناته.
ويجب أن يكون طلب الموافقة على معالجة البيانات الشخصية مكتوبا بصورة واضحة وصريحة ومفهومة، متضمنا الآتي:
أ – بيانات المتحكم، والمعالج (إن وجد).
ب – آلية التواصل مع مسؤول حماية البيانات الشخصية.
ج – أهداف المعالجة وطبيعتها.
د – أي معلومات أخرى قد تكون ضرورية لاستيفاء شروط المعالجة وفقا لأحكام هذا القانون.
المادة (١٤)
يلتزم المتحكم والمعالج عند استخدام المعالجة المؤتمتة باتخاذ الإجراءات والتدابير المناسبة لحماية خصوصية وسرية البيانات الشخصية، وعدم الإضرار بصاحبها.
وفي جميع الأحوال، يحق لصاحب البيانات الشخصية الاعتراض على القرارات الناتجة عن المعالجة المؤتمتة، ويجب على المتحكم أو المعالج إدخال العنصر البشري عند مراجعة القرارات المعترض عليها، وذلك وفقا للضوابط التي تبينها اللائحة.
المادة (١٥)
يلتزم المتحكم والمعالج بمحو البيانات الشخصية فور انتهاء الغرض من معالجتها، واستثناء من ذلك يجب عليهما الاحتفاظ بها في الحالتين الآتيتين:
أ – وجود نزاع قائم بين المتحكم أو المعالج، وصاحب البيانات الشخصية.
ب – تنفيذ التزام قانوني ملقى على عاتق المتحكم أو المعالج بموجب أي قانون أو حكم أو أمر أو قرار من المحكمة.
المادة (٢٢)
يلتزم المتحكم بالحصول على الموافقة الصريحة لصاحب البيانات الشخصية قبل إرسال أي مادة إعلانية أو تسويقية ذات أغراض تجارية إليه، وذلك على النحو الذي تبينه اللائحة.
المادة (٢٥)
يعاقب بغرامة لا تقل عن (٥٠٠) خمسمائة ريال عماني، ولا تزيد على (٢٠٠٠) ألفي ريال عماني، كل من يخالف أحكام المادة (١٠) من هذا القانون.
المادة (٢٧)
يعاقب بغرامة لا تقل عن (٥٠٠٠) خمسة آلاف ريال عماني، ولا تزيد على (١٠٠٠٠) عشرة آلاف ريال عماني، كل من يخالف أحكام المادتين (١٣) و(١٤) من هذا القانون.
المادة (٣)
يضاف تعريف جديد إلى المادة (١) من قانون حماية البيانات الشخصية المشار إليه، نصه الآتي:
المعالجة المؤتمتة:
المعالجة التي تتم باستخدام برنامج أو نظام إلكتروني يعمل بطريقة آلية وتلقائية، إما بشكل مستقل كليا دون أي تدخل بشري، أو بشكل جزئي بإشراف وتدخل بشري محدود.
المادة (٤)
تضاف مادتان جديدتان برقمي (٥ مكررا، ١٠ مكررا) إلى قانون حماية البيانات الشخصية المشار إليه، نصاهما الآتي:
المادة (٥) مكررا
استثناء من حكم المادة (٥) من هذا القانون، يجوز للمتحكم معالجة البيانات الشخصية في الأحوال الآتية:
١ – معالجة البيانات الشخصية للعاملين لدى المتحكم، وفقا للشروط الآتية:
أ – أن تكون المعالجة في إطار تنظيم العمل الداخلي للمتحكم.
ب – أن تتم المعالجة وفقا لأحكام هذا القانون.
ج – عدم الإفصاح عن البيانات الشخصية للغير إلا بعد الحصول على الموافقة الكتابية لصاحب البيانات الشخصية.
٢ – معالجة البيانات الشخصية التي تتم عبر أجهزة وكاميرات المراقبة المستخدمة استيفاء للمتطلبات الأمنية الصادرة عن الجهات المختصة.
٣ – أي حالات أخرى يصدر بتحديدها قرار من الوزير، وفقا للضوابط التي تبينها اللائحة.
المادة (١٠) مكررا
استثناء من حكم المادة (١٠) من هذا القانون، يجوز معالجة البيانات الشخصية دون الحصول على الموافقة الصريحة لصاحب البيانات الشخصية، وذلك في الأحوال الآتية:
أ – إذا كانت المعالجة تنفيذا لالتزام قانوني ملقى على عاتق المتحكم بموجب أي قانون أو حكم أو أمر أو قرار من المحكمة.
ب – إذا كانت البيانات متاحة للجمهور، وبما لا يخالف أحكام هذا القانون.
ج – حماية مصلحة حيوية لصاحب البيانات الشخصية في حال تعذر الاتصال به.
د – إذا كانت المعالجة تنفيذا لعقد يكون صاحب البيانات الشخصية طرفا فيه، على أن يتضمن العقد ما يفيد أن معالجة البيانات الشخصية تتم وفقا لأحكام هذا القانون.