وفقا لمرسوم سلطاني.. النص الكامل لتعديل بعض أحكام قانون حماية البيانات الشخصية

مسقط- شؤون وطنية

أصدر حضرة صاحب الجلالة السلطان هيثم بن طارق المعظم- حفظه الله ورعاه- المرسوم السلطاني رقــم 68/٢٠٢٦ بتعديل بعض أحكام قانون حماية البيانات الشخصية

المــادة الأولــــى

تجرى التعديلات المرفقة على قانون حماية البيانات الشخصية المشار إليه.

المــادة الثانيـــة

يلغى كل ما يخالف التعديلات المرفقة، أو يتعارض مع أحكامها.

المــادة الثالثـــة

ينشر هذا المرسوم فـي الجريدة الرسمية، ويعمل به من اليوم التالي لتاريخ نشره.

صـدر فـي: ٢١ مـن ربيع الأول سنـة ١٤٤٨هـ

المـوافــــق:   ٣  مـن سبتمبـــــــر سنـة ٢٠٢٦م

هيثــم بن طــارق

ســـلطان عـمـــان

تعديلات على بعض أحكام قانون حماية البيانات الشخصية

المــادة ( 1 )

يستبدل بتعريفـي (البيانات الصحية) و(المتحكم) الواردين فـي المادة (1) من قانون حماية البيانات الشخصية المشار إليه، التعريفان الآتيان:

– البيانات الصحية:

البيانات الشخصية المتعلقة بحالة الفرد الصحية، سواء الجسدية أو العقلية أو النفسية، أو المتعلقة بتوفـير خدمات الرعاية الصحية له، التي تكشف عن وضعه الصحي.

– المتحكم:

الشخص الاعتباري الذي يقوم بالمعالجة بنفسه أو يعهد بها إلى المعالج.

المــادة( 2 )

تستبدل بنصوص المواد (2، 3، 7، 10، 14، 15، 22، 25، 27) من قانون حماية البيانات الشخصية المشار إليه، النصوص الآتية:

المــادة ( 2 )

تســـري أحكـــام هـــذا القانون على معالجة البيانــــات الشخصيــة للأشخـــاص الطبيعيـين فـي سلطنة عمان سواء تمت المعالجة داخل سلطنة عمان أم خارجها.

المــادة ( 3 )

لا تسري أحكام هذا القانون على معالجة البيانات الشخصية التي تتم فـي الأحوال الآتية:

‌أ – حماية الأمن الوطني، أو المصلحة العامة.

‌ب – تنفـيذ وحدات الجهاز الإداري للدولة وغيرها من الأشخاص الاعتبارية العامة للاختصاصات المقررة لها قانونا.

‌ج – حماية المصالح الاقتصادية، والمالية للدولة.

‌د – كشف أو منع أي جريمة جزائية بناء على طلب رسمي مكتوب من جهات التحقيق.

‌هـ – قيام الشخص بمعالجة البيانات الشخصية فـي إطار شخصي، أو أسري، ما لم يتم نشرها.

‌و – أغراض البحوث التاريخية أو الإحصائية أو العلمية أو الأدبية أو الاقتصادية، وذلك من قبل الجهات المصرح لها فـي القيام بهذه الأعمال، شريطة عدم استخدام أي دلالة أو إشارة تتعلق بصاحب البيانات الشخصية فـيما تنشره من بحوث وإحصائيات، لضمان عدم نسب البيانات الشخصية إلى شخص طبيعي معرف، أو قابل للتعريف.

المــادة ( 7 )

مع عدم الإخلال بالاختصاصات المقررة لمركز الدفاع الإلكتروني، تتولى الوزارة مسؤولية تطبيق أحكام هذا القانون، ولها على الأخص الآتي:

‌أ – إعداد واعتماد الضوابط والإجراءات المتعلقة بحماية البيانات الشخصية بما فـي ذلك تحديد الضمانات الضرورية والتدابيـــر اللازمـة وقواعد السلوك المتعلقة بحماية البيانات الشخصية.

‌ب – إصـــدار الضوابـــط والإجراءات اللازمة لمعالجة البيانات الشخصية والتحقق من التزام المتحكم والمعالج بها.

‌ج – تلقي البلاغات والشكاوى التي يودعها أصحاب البيانات الشخصية، والبت فـيها، خلال المدة التي تبينها اللائحة.

‌د – التعاون مع الجهات المختصة بحماية البيانات الشخصية فـي الدول الأخرى.

‌هـ – تقديـــم المشــــورة والدعم والتنسيــق مع وحــدات الجهاز الإداري للدولة وغيرها من الأشخاص الاعتبارية العامة فـي أي مسألة تتعلق بحماية البيانات الشخصية.

‌و – اعتمــاد المدققــين الخارجيين الذيــن يعهــد إليهــم تقييـم التــزام المتحكـم والمعالـج بأحكام هذا القانون.

المــادة ( 10 )

لا يجــــوز معالجــــة البيانــــات الشخصية أو تغيير الغرض مــن معالجتهـــا إلا فـي إطـــار الشفافـية والأمانة واحترام كرامة الإنسان، وبعد الحصـــول علـــى الموافقــــة الصريحـــــة لصاحـــب البيانات الشخصيـــة عـــلى ذلك، ويلتزم المتحكم بإثبــــات الموافقـــة الصريحــــة لصاحـــب البيانات الشخصية لمعالجة بياناته.

ويجب أن يكون طلب الموافقة على معالجة البيانات الشخصية مكتوبا بصورة واضحة وصريحة ومفهومة، متضمنا الآتي:

‌أ – بيانات المتحكم، والمعالج (إن وجد).

‌ب – آلية التواصل مع مسؤول حماية البيانات الشخصية.

‌ج – أهداف المعالجة وطبيعتها.

‌د – أي معلومات أخرى قد تكون ضرورية لاستيفاء شروط المعالجة وفقا لأحكام هذا القانون.

المــادة ( 14 )

يلتــزم المتحكـــم والمعالج عند استخدام المعالجــة المؤتمتـــة باتخـــاذ الإجـــراءات والتدابيـــر المناسبة لحماية خصوصية وسرية البيانات الشخصية، وعدم الإضرار بصاحبها.

وفـي جميع الأحوال، يحق لصاحب البيانات الشخصية الاعتراض على القرارات الناتجة عن المعالجة المؤتمتة، ويجب على المتحكم أو المعالج إدخال العنصر البشري عند مراجعة القرارات المعترض عليها، وذلك وفقا للضوابط التي تبينها اللائحة.

المــادة ( 15 )

يلتزم المتحكم والمعالج بمحو البيانات الشخصية فور انتهاء الغرض من معالجتها، واستثناء من ذلك يجب عليهما الاحتفاظ بها فـي الحالتين الآتيتين:

‌أ – وجود نزاع قائم بين المتحكم أو المعالج، وصاحب البيانات الشخصية.

‌ب – تنفـيذ التزام قانوني ملقى على عاتق المتحكم أو المعالج بموجب أي قانون أو حكـــم أو أمر أو قرار من المحكمة.

المــادة ( 22 )

يلتزم المتحكم بالحصول على الموافقة الصريحة لصاحب البيانات الشخصية قبل إرسال أي مادة إعلانية أو تسويقية ذات أغراض تجارية إليه، وذلك على النحو الذي تبينه اللائحة.

المــادة ( 25 )

يعاقـــــب بغرامــــــة لا تقــــل عــــن (500) خمسمائـــة ريـــال عماني، ولا تزيــد علــى (2000) ألفـي ريال عماني، كل من يخالف أحكام المادة (10) من هذا القانون.

المــادة ( 27 )

يعاقب بغرامة لا تقل عن (5000) خمسة آلاف ريال عماني، ولا تزيد على (10000) عشرة آلاف ريال عماني، كل من يخالف أحكام المادتين (13) و(14) من هذا القانون.

المــادة ( 3 )

يضـــاف تعريــــف جديد إلى المـــــادة (1) من قانــــون حماية البيانات الشخصيــة المشــار إليــه، نصه الآتي:

المعالجة المؤتمتة:

المعالجة التي تتم باستخدام برنامج أو نظام إلكتروني يعمل بطريقة آلية وتلقائية، إما بشكل مستقل كليا دون أي تدخل بشري، أو بشكل جزئي بإشراف وتدخل بشري محدود.

المــادة ( 4 )

تضاف مادتان جديدتان برقمي (5 مكررا، 10 مكررا) إلى قانون حماية البيانات الشخصية المشار إليه، نصاهما الآتي:

المــادة ( 5 ) مكــررا

استثناء من حكم المادة (5) من هذا القانون، يجوز للمتحكم معالجة البيانات الشخصية فـي الأحوال الآتية:

1 – معالجة البيانات الشخصية للعاملين لدى المتحكم، وفقا للشروط الآتية:

‌أ – أن تكون المعالجة فـي إطار تنظيم العمل الداخلي للمتحكم.

‌ب – أن تتم المعالجة وفقا لأحكام هذا القانون.

‌ج – عدم الإفصاح عن البيانات الشخصية للغير إلا بعد الحصول على الموافقة الكتابية لصاحب البيانات الشخصية.

2 – معالجة البيانات الشخصية التي تتم عبر أجهزة وكاميرات المراقبة المستخدمة استيفاء للمتطلبات الأمنية الصادرة عن الجهات المختصة.

3 – أي حالات أخرى يصدر بتحديدها قرار من الوزير، وفقا للضوابط التي تبينها اللائحة.

المــادة ( 10 ) مكــررا

استثناء من حكم المادة (10) من هذا القانون، يجوز معالجة البيانات الشخصية دون الحصــول على الموافقة الصريحة لصاحــــب البيانــــات الشخصيـــــة، وذلك فـي الأحـــــوال الآتية:

‌أ – إذا كانـــــت المعالجــــة تنفـيذا لالتزام قانونــــي ملقى علـــى عاتق المتحكــم بموجــب أي قانون أو حكم أو أمر أو قرار من المحكمة.

‌ب – إذا كانت البيانات متاحة للجمهور، وبما لا يخالف أحكام هذا القانون.

‌ج – حماية مصلحة حيوية لصاحب البيانات الشخصية فـي حال تعذر الاتصال به.

‌د – إذا كانت المعالجة تنفـيذا لعقد يكون صاحب البيانات الشخصية طرفا فـيه، على أن يتضمن العقد ما يفـيد أن معالجة البيانات الشخصية تتم وفقا لأحكام هذا القانون.