مسقط- شؤون عمانية
أصدر حضرة صاحب الجلالة السلطان هيثم بن طارق المعظم -حفظه الله ورعاه- مرسوما سلطانيا ساميا، هذا نصه:
مرســــوم ســــلطاني 6 / 2022 بإصـدار قانـون حمايـة البيانـات الشخصيـة
نحـن هيثــم بــن طــارق سلطــان عمــان
بعد الاطلاع على النظام الأساسي للدولة، وعلى قانون المعاملات الإلكترونية الصادر بالمرسوم السلطاني رقم 69/ 2008، وعلى المرسوم السلطاني رقم ٦٤/٢٠٢٠ بإنشاء مركز الدفاع الإلكتروني وإصدار نظامه، وبعد العرض على مجلس عمان،
وبناء على ما تقتضيه المصلحة العامة.
رسمنـــا بمـــا هــــو آت
المــادة الأولـــــى
يعمل بقانون حماية البيانات الشخصية، المرفق.
المــادة الثانيــــة
يصـــدر وزيـــر النقـــل والاتصــــالات وتقنيـــة المعلومـــات اللائحة التنفـيذيــة للقانون المرفــق، كمـــا يصـــدر القـــرارات اللازمـــة لتنفـيــذ أحكامـــه، وإلى أن تصدر يستمر العمـــل باللوائــــح والقرارات القائمة، فـيما لا يتعارض مع أحكامه.
المــادة الثالثــــة
يلغى الفصل السابع من قانون المعاملات الإلكترونية المشار إليه، كما يلغى كل ما يخالف القانون المرفق، أو يتعارض مع أحكامه.
المــادة الرابعــة
ينشر هذا المرسوم فـي الجريدة الرسمية، ويعمل به بعد انقضاء سنة من تاريخ نشره.
صـدر فـي: ٧ مـن رجـــــــــــــــــــــب سنــة 3441هـ
المـوافــــق: ٩ مـن فبرايــــــــــــــــر سنــة 2202م
قانـون حمايــة البيانـــات الشخصيــة
الفصــل الأول
تعريفــات وأحكـــام عامــــة
المــادة ( 1 )
فـي تطبيق أحكام هذا القانون، يكون للكلمات والعبارات الآتية المعنى المبين قرين كل منها، ما لم يقتض سياق النص معنى آخر:
الـــــــــــــــــــــــــــــوزارة: وزارة النقل والاتصالات وتقنية المعلومات.
الوزيـــــــــــــــــــــــــــــــر: وزير النقل والاتصالات وتقنية المعلومات.
البيانات الشخصيـة: البيانات التــي تجعل شخصــا طبيعيـــا معرفـــا، أو قابــــلا للتعريــف بطريقة مباشرة، أو غــير مباشـــــرة، وذلك بالرجــــوع إلى معـــرف أو أكثر، كالاسم أو الرقم المدنـي أو بيانــــات المعرفات الإلكترونية أو البيانـــــات المكانيـــة، أو بالرجوع إلى عامل أو أكثر خاص بالهوية الجينيــــــة أو الجسديـــــــة أو العقلــــيــــة أو النفسيـــة أو الاجتماعيـــة أو الثقافـية أو الاقتصادية.
البيانــــات الجينيــة: البيانات الشخصية المتعلقة بالخصائص الموروثة، أو المكتسبة جينيا، والتي تنتج عن تحليل العينة البيولوجية.
البيانــات الحيويـــة: البيانات الشخصية التي تنتج عن معالجة فنية محددة تتعلق بالخصائـــص الجسديــــة أو النفسيـــة أو السلوكية كصـــورة الوجـــه، أو بيانات البصمة الوراثية.
البيانــات الصحيـــة: البيانـــــات الشخصيــــة المتعلقــــة بالصحــــة الجسديــــة، والعقليـــــة، والنفسية.
المعالجـــــــــــــــــــــــــــة: عمليـة أو مجموعة عمليات يتم إجراؤها على البيانـــات الشخصية، تتضمن جمعهـــــــا أو تسجيلهـا أو تحليلهـــا أو تنظيمها أو تخزينها أو تعديلهـــا أو تحويرهــا أو استرجاعهـــا أو مراجعتهــا أو تنسيقهـــا أو ضم بعضها لبعض أو حجبها أو محوها أو إلغـــاءها أو الإفصاح عنها، عــن طريق إرسالها أو توزيعها أو نقلها أو تحويلها أو إتاحتها بوسائل أخرى.
صاحب البيانات الشخصية: الشخـــص الطبيعــي الـــذي يمكن التعـــرف عليــه مــن خـــلال بياناته الشخصية.
المتحكـــــــــــــــــــــــــــــــــــــــم: الشخــص الـــذي يتولـى تحديــد أهـداف ووسائــل معالجــة البيانات الشخصية، ويقوم بهـــذه المعالجة بنفســه، أو يعهـــد بها إلى غيره.
المعالــــــــــــــــــــــــــــــــــــــــــج: الشخـــص الــذي يقــوم بمعالــجة البيانــات الشخصــية نيابـــة عن المتحكم.
اللائحـــــــــــــــــــــــــــــــــــــة: اللائحة التنفـيذية لهذا القانون.
المــادة ( 2 )
تسري أحكام هذا القانون على البيانات الشخصية التي تتم معالجتها.
المــادة ( 3 )
لا تسري أحكام هذا القانون على معالجة البيانات الشخصية التي تتم فـي الأحوال الآتية:
حماية الأمن الوطني، أو المصلحة العامة.
تنفـيذ وحدات الجهاز الإداري للدولة وغيرها من الأشخاص الاعتبارية العامة للاختصاصات المقررة لها قانونا.
تنفـيذ التزام قانونـــي ملقى علــــى عاتق المتحكم بموجب أي قانون أو حكم أو قـــرار من المحكمة.
حماية المصالح الاقتصادية، والمالية للدولة.
هـ – حماية مصلحة حيوية لصاحب البيانات الشخصية.
و – كشف أو منع أي جريمة جزائية بناء على طلب رسمي مكتوب من جهات التحقيق.
ز – تنفـيذ عقد يكون صاحب البيانات الشخصية طرفا فـيه.
ح – إذا كانت المعالجة فـي إطار شخصي، أو أسري.
ط – أغــراض البحــوث التاريخيــة أو الإحصائية أو العلميــة أو الأدبيـــة أو الاقتصاديــــة، وذلك من قبل الجهات المصرح لها القيام بهذه الأعمال، شريطة عدم استخدام أي دلالة أو إشارة تتعلق بصاحب البيانات الشخصية فـيما تنشره من بحوث وإحصائيات، لضمان عدم نسب البيانات الشخصية إلى شخص طبيعي معرف، أو قابل للتعريف.
ي – إذا كانت البيانات متاحة للجمهور وبما لا يخالف أحكام هذا القانون.
المــادة ( 4 )
تعد البيانات الشخصية محمية بموجب أحكام هذا القانون.
المــادة ( 5 )
تحظــــر معالجـــة البيانـــات الشخصيــة التي تتعلـــق بالبيانات الجينية أو البيانات الحيويــة أو البيانات الصحية أو الأصــول العرقية أو الحياة الجنسية أو الآراء السياسيــة أو الدينية أو المعتقدات أو الإدانة الجزائية أو المتعلقة بتدابير أمنية إلا بعد الحصول على تصريح بذلك من الوزارة، وفقا للضوابط والإجراءات التي تحددها اللائحة.
المــادة ( 6 )
يحظر معالجة البيانات الشخصية للطفل إلا بموافقة ولي أمره، ما لم تكن تلك المعالجة لمصلحة الطفل الفضلى، وذلك وفقا للضوابط والإجراءات التي تحددها اللائحة.
الفصـــل الثانــــي
مهــام وصلاحيـــات الــوزارة
المــادة ( 7 )
مع عدم الإخلال بالاختصاصات المقررة لمركز الدفاع الإلكتروني، تتولى الوزارة مسؤولية تطبيق أحكام هذا القانون، ولها على الأخص الآتي:
إعـــداد واعتمــــاد الضوابــــط والإجـــــراءات المتعلقـــة بحمايـــة البيانـــــات الشخصيـــــة بما فـي ذلك تحديد الضمانات الضروريـــة والتدابـــير اللازمة وقواعـــد السلــوك المتعلقة بحماية البيانات الشخصية.
إصـــدار الضوابــــط والإجـــراءات اللازمـــة لمعالجة البيانات الشخصيــة والتحقـــق من التزام المتحكم والمعالج بها.
تلقي البلاغات والشكاوى التي يودعها أصحاب البيانات الشخصية، والبت فـيها، خلال المدة التي تحددها اللائحة.
التعاون مع الجهات المختصة بحماية البيانات الشخصية فـي الدول الأخرى.
هـ – تقديــــم المشـــورة والدعم والتنسيــــق مع وحـــدات الجهاز الإداري للدولــة وغيرهـا من الأشخاص الاعتبارية العامة فـي أي مسألة تتعلق بحماية البيانات الشخصية.
و – إصدار وإلغاء تراخيص مزودي الخدمة الذين يعهد إليهم دراسة وتقييم التزام المتحكم والمعالج بأحكام هذا القانون، وفقا للضوابط والإجراءات التي تحددها اللائحة.
ز – إعــــداد نمـــاذج استرشاديــــة لأغــراض تطبيق أحكـــام هذا القانــون، كلمــا اقتضــى الأمر ذلك.
ح – إعـــــداد تقاريــــر دوريــــة عـــن نشاطهــــا فــــي مجـــال حمايـــة البيانـــات الشخصيـــة، ونشرهـــا فـي موقعهـــا الإلكترونـــي.
ط – إعــــداد سجـــل يقيــــد فـيـــه المتحكمــــون والمعالجــــون المستوفـــون الشـــروط المقــــررة، وذلك علــى النحــو الــذي تحـدده اللائحــة.
المــادة ( 8 )
تتخذ الوزارة فـي سبيل حماية حقوق أصحاب البيانات الشخصية أيا من الإجراءات الآتية:
إنذار المتحكم أو المعالج، بالمخالفة التي تقع منه لأحكام هذا القانون.
الأمر بتصحيح ومحو البيانات الشخصية التي تمت معالجتها بالمخالفة لأحكام هذا القانون.
وقف معالجة البيانات الشخصية بشكل مؤقت، أو دائم.
وقف تحويل البيانات الشخصية إلى دولة أخرى، أو منظمة دولية.
هـ – أي إجراء آخر تراه الوزارة ضروريا لحماية البيانات الشخصية، وذلك على النحو الذي تحدده اللائحة.
المــادة ( 9 )
يكــــون لموظفــــي الــــوزارة الذيــــن يصـــدر بتحديدهـــم قــــرار مـــن الجهـــة المختصـــة بالاتفــــاق مع الوزير، صفة الضبطية القضائية فـي تطبيق أحكـــام هذا القانون واللائحــة والقـــرارات الصادرة تنفـيذا له.
الفصل الثالث
حقوق صاحب البيانات الشخصية
المــادة ( 10 )
لا يجـــوز معالجـــة البيانـــات الشخصية إلا فـي إطار الشفافـيـــة والأمانـــة، واحتـــرام كرامـــة الإنسان، وبعد الموافقة الصريحة لصاحب البيانات الشخصية على ذلك.
ويجـــب أن يكون طلب معالجة البيانات الشخصيـــة مكتوبـــا وبصــورة واضحــة وصريحــــة ومفهومة، ويلتزم المتحكم بإثبات الموافقة الكتابية لصاحب البيانات الشخصية لمعالجة بياناته.
المــادة ( 11 )
يكون لصاحب البيانات الشخصية الحق فـي الآتي:
إلغاء موافقته على معالجة بياناته الشخصية، وذلك مع عدم الإخلال بالمعالجات التي تمت قبل الإلغاء.
طلب تعديل بياناته الشخصية أو تحديثها أو حجبها.
الحصول على نسخة من بياناته الشخصية المعالجة.
نقل بياناته الشخصية إلى متحكم آخر.
هـ – طلب محو بياناته الشخصية ما لم تكن تلك المعالجة ضرورية لأغراض الحفظ والتوثيق الوطنية.
و – إخطاره بأي اختراق أو انتهاك لبياناته الشخصية، وما تم اتخاذه من إجراءات فـي هذا الشأن.
وتبين اللائحة الضوابط والإجراءات اللازمة لممارسة هذه الحقوق.
المــادة ( 12 )
يجوز لصاحب البيانات الشخصية التقدم بشكوى إلى الوزارة إذا رأى أو اعتبر أن معالجة بياناته الشخصية لا تتوافق مع أحكام هذا القانون، وذلك طبقا للضوابط والإجراءات التي تحددها اللائحة.
الفصــل الرابــــع
التزامــات المتحكـــم والمعالـــج
المــادة ( 13 )
يلتزم المتحكم بوضع الضوابط والإجراءات الواجب الالتزام بها عند معالجة البيانات الشخصية، ويجب أن تشتمل على وجه الخصوص الآتي:
تحديد المخاطر التي قد تقع على صاحب البيانات الشخصية جراء المعالجة.
إجراءات وضوابط نقل وتحويل البيانات الشخصية.
التدابير الفنية والإجرائية لضمان تنفـيذ المعالجة وفقا لأحكام هذا القانون.
أي ضوابط أو إجراءات أخرى تحددها اللائحة.
المــادة ( 14 )
يلتزم المتحكم قبل البدء فـي معالجة أي بيانات شخصية أن يخطر صاحب البيانات الشخصية كتابة بما يأتي:
بيانات المتحكم، والمعالج.
بيانات التواصل مع مسؤول حماية البيانات الشخصية.
الغرض من معالجة البيانات الشخصية، والمصدر الذي جمعت منه.
الوصــف الشامل والدقيق للمعالجة وإجراءاتها، ودرجات الإفصـــاح عـــن البيانــــات الشخصية.
هـ – حقـــوق صاحـــب البيانــــات الشخصيــــة بما فـي ذلك حق الوصـــول إلــى البيانـــات، وتصحيحها، ونقلها، وتحديثها.
و – أي معلومات أخرى قد تكون ضرورية لاستيفاء شروط المعالجة.
المــادة ( 15 )
يلتزم المتحكم والمعالج بالضوابط والإجراءات التي تقررها الوزارة، لضمان أن معالجة البيانات الشخصية تمت وفقا لأحكام هذا القانون.
المــادة ( 16 )
يلتزم المتحكم والمعالج – بناء على طلب الوزارة – بتعيين مدقق خارجي للتأكد من أن إجراءات معالجة البيانات الشخصية قد تمت وفقا لأحكام هذا القانون، ووفقا لإجراءات وضوابط المتحكم المنصوص عليها فـي المــادة (13) مـن هـذا القانـــون، وتحدد اللائحـــة ضوابــــط وإجراءات تعيين المدقق الخارجي.
كما يلتزم المتحكم والمعالج بموافاة الوزارة بنسخة من تقرير المدقق الخارجي.
المــادة ( 17 )
يلتـــزم المتحكــــم والمعالـــج بالاحتفاظ بمستنـــدات عمليــــات المعالجـــة، وذلك وفقــــا للمــــدد والإجــراءات التـي تحددهــا اللائحــة.
المــادة ( 18 )
يلتزم المتحكم والمعالج بالتعاون مع الوزارة، وتقديم ما تطلبه من بيانات ومستندات تراها لازمة لممارسة اختصاصها طبقا لأحكام هذا القانون، وذلك خلال المدة التي تحددها اللائحة.
المــادة ( 19 )
يلتـــزم المتحكـــم، عــــند حدوث اختراق للبيانات الشخصية، يؤدي إلى تدميرها أو تغييرهـــا أو الإفصاح عنها أو الوصول إليها أو معالجتها بصورة غير قانونية، بإبلاغ الوزارة وصاحب البيانات الشخصية عن الاختراق وذلك وفقا للضوابط والإجراءات التي تحددها اللائحة.
المــادة ( 20 )
يلتزم المتحكم بتحديد مسؤول حماية البيانات الشخصية، وتحدد اللائحة ضوابط اختيار هذا المسؤول ومهامه.
المــادة ( 21 )
يلتـــــزم المتحكم بضمــــان سريـــة البيانــــات الشخصــــية، وعــــدم نشرهـــا إلا بموافـــقة مسبقـــة من صاحب البيانات الشخصية، وذلك على النحو الذي تحدده اللائحة.
المــادة ( 22)
يلتزم المتحكم بالحصول على الموافقة الكتابية لصاحب البيانات الشخصية قبل إرسال أي مادة إعلانية أو تسويقية وذات أغراض تجارية إليه، وذلك على النحو الذي تحدده اللائحة.
المــادة ( 23 )
مــــع عـــــدم الإخلال بالاختصاصـــات المقررة لمركـــز الدفــــاع الإلكترونـــي، يجـــوز للمتحكـــم نقل البيانات الشخصية، والسماح بتحويلها خــــارج حـــدود سلطنة عمان وفقا للضوابـــط والإجراءات التي تحددها اللائحة.
ويحظـــر عليـــه نقـــل البيانات الشخصية إذا تمت معالجتها بالمخالفة لأحكام هـذا القانون، أو كان من شأنها إلحاق ضرر بصاحب البيانات الشخصية.
الفصـــل الخامــــس
العقوبــــــات
المــادة ( 24 )
مـــع عــــدم الإخــــلال بـــأي عقوبة أشـــــد ينـــــص عليهـــــا قانـــــــون الجزاء أو أي قانـــون آخـــــر، يعاقــــب على الجرائم المبينة فـي هذا القانون بالعقوبات المنصوص عليها فـيه.
المــادة ( 25 )
يعاقب بغرامة لا تقل عن (500) خمسمائة ريال عماني، ولا تزيد على (2000) ألفـي ريال عماني، كل من يخالف أحكام المــادة (14) من هذا القانون.
المــادة ( 26 )
يعاقب بغرامة لا تقل عن (1000) ألف ريال عماني، ولا تزيد على (5000) خمسة آلاف ريـــــال عمانــــي، كـــــــــل مـــــــن يخالـــــف أحكــــــام المــــــــواد (15)، (16)، (17)، (18)، (20)، (22) مـــن هــــذا القانــــون.
المــادة ( 27 )
يعاقــــب بغرامـــة لا تـــقل عـــن (5000) خمسة آلاف ريال عماني، ولا تزيد علــى (10000) عشرة آلاف ريال عماني، كل من يخالف أحكام المــادة (13) من هذا القانون.
المــادة ( 28 )
يعاقب بغرامة لا تقل عن (15000) خمسة عشر ألف ريال عماني، ولا تزيد على (20000) عشـــــــرين ألـــــــــف ريــــال عمانـــــــي، كـــل مــــن يخالـــــــف أحكـــــام المـــــواد (5)، (6)، (19)، (21) من هــذا القانــــون.
المــادة ( 29 )
يعاقب بغرامة لا تقل عن (100000) مائة ألف ريال عماني، ولا تزيد على (500000) خمسمائة ألف ريال عماني، كل من يخالف أحكام المــادة (23) من هذا القانون.
المــادة ( 30 )
مع عدم الإخلال بالمسؤولية الجزائية للأشخاص الطبيعيين، يعاقب الشخص الاعتباري بغرامة لا تقل عن (5000) خمسة آلاف ريال عماني، ولا تزيد على (100000) مائة ألف ريال عماني، إذا كانت الجريمة قد ارتكبت باسمه، أو لحسابه من قبل رئيس، أو أحد أعضاء مجلس إدارته، أو مديره، أو أي مسؤول آخر، بموافقته، أو بتستر، أو إهمال جسيم منه.
المــادة ( 31 )
يجـــــوز للمحكمـــــة المختصــــة فـي نطــــاق تطبيـــق أحكـــام هـذا القانون أن تحكـــم، بالإضافــــة إلى الغرامة، بمصادرة الأدوات التي استعملت لارتكاب الجريمة.
المــادة ( 32 )
مــــــع عـــــدم الإخــــلال بالعقوبـــــات المنصــــوص عليهــــا فـي هـــــذا القانـــون، يجــــوز للــــــوزارة فـــــرض جـــزاءات إدارية علـــى المخالفـــات التي يتم ارتكابها بالمخالفــــة لأحـــكام هـــذا القانــــون أو اللائحــة أو القـــرارات الصادرة تنفـيذا لــه، على ألا تزيد الغرامــــة الإدارية علـــى (2000) ألفـي ريال عماني.
