رصد - أثير
في خطوة تشريعية تعزز البنية الرقمية وتواكب التطورات التقنية ومتطلبات الذكاء الاصطناعي، أصدر صاحب الجلالة السلطان هيثم بن طارق حفظه الله ورعاه، المرسوم السلطاني رقم (68/2026) بتعديل عدد من أحكام قانون حماية البيانات الشخصية.
التعديلات الجديدة التي تدخل حيز التنفيذ اعتباراً من اليوم التالي لنشرها بالجريدة الرسمية أي غدًا الاثنين 7 سبتمبر، تمثل تصعيداً نوعياً في مستويات الحماية، حيث جاءت لمعالجة فراغات قانونية وتطورات تقنية لم يكن القانون القديم يتوقعها، وفقًا لما اطلعت عليه “أثير” في العدد الجديد من الجريدة الرسمية الصادر اليوم 6 سبتمبر 2026 رقم (1664).
التوسع الجغرافي والمفاهيم الجديدة
شهد المرسوم الجديد تعديلات جوهرية على عدة مستويات. فعلى صعيد النطاق الجغرافي، أصبحت أحكام القانون تسري على معالجة البيانات الشخصية للأشخاص الطبيعيين في سلطنة عمان سواء تمت المعالجة داخل سلطنة عمان أم خارجها، بينما كان النص السابق يقتصر على البيانات “التي تتم معالجتها” دون تحديد واضح للنطاق الجغرافي.
تحديث التعريفات
شهد تعريف “المتحكم” وهو الجهة المسؤولة عن تحديد أهداف ووسائل معالجة البيانات تعديلاً جوهرياً. كان التعريف السابق يشمل “الشخص الطبيعي والاعتباري”، لكن النسخة المعدلة قصرته على “الشخص الاعتباري الذي يقوم بالمعالجة بنفسه أو يعهد بها إلى المعالج”. هذا التعديل يعكس رغبة واضحة في تركيز المسؤوليات والالتزامات على الكيانات التنظيمية الكبرى والمؤسسات، بدلاً من الأفراد، مما يخفف الضغط التنظيمي على الأفراد العاديين.
كما تلقت البيانات الصحية اهتماماً خاصاً. عُدّل التعريف من “البيانات المتعلقة بالصحة الجسدية والعقلية والنفسية” إلى صيغة أكثر شمولاً: “البيانات الشخصية المتعلقة بحالة الفرد الصحية سواء كانت جسدية أو عقلية أو نفسية، أو المتعلقة بتوفير خدمات الرعاية الصحية له، التي تكشف عن وضعه الصحي”. الإضافة المهمة هنا هي شمول البيانات المتعلقة بتوفير الخدمات الصحية نفسها، وليس فقط حالة الفرد الصحية، مما يعني حماية أوسع للسجلات الطبية والاستشارات والعلاجات عما كانت عليه في القانون السابق.
أما على صعيد المفاهيم الجديدة، فقد أدرج المرسوم مفهوماً جديداً بالكامل هو “المعاجلة المؤتمتة”، وعرّفه بأنه “المعالجة التي تتم باستخدام برنامج أو نظام إلكتروني يعمل بطريقة آلية وتلقائية، إما بشكل مستقل كلياً دون أي تدخل بشري، أو بشكل جزئي بإشراف وتدخل بشري محدود”. هذه الإضافة تعترف بالواقع الحديث لتقنيات الذكاء الاصطناعي وخوارزميات التعلم الآلي، وتفرض على المتحكمين التزامات خاصة عند استخدام هذه التقنيات، بما في ذلك حق صاحب البيانات في الاعتراض على القرارات الآلية وطلب التدخل البشري في مراجعتها، وهو حق جديد لم يكن معروفاً في القانون القديم.
ما الحالات التي لا تشملها أحكام هذا القانون؟
حدد التعديل الجديد 6 حالات فقط لا تسري عليها أحكام القانون في حال معالجة البيانات الشخصية، مقارنة بـ 10 حالات في القانون الصبح، لتصبح الحالات الجديدة كالآتي:
- حماية الامن الوطني أو المصلحة العامة (لم يتغير البند).
- تنفيذ وحدات الجهاز الإداري للدولة وغيرها من الأشخاص الاعتبارية العامة للاختصاصات المقررة لها قانونا (لم يتغير البند).
- حماية المصالح الاقتصادية والمالية للدولة (لم يتغير البند).
- كشف أو منع أي جريمة جزائية بناء على طلب رسمي مكتوب من جهات التحقيق (لم يتغير البند).
- قيام الشخص بمعالجة البيانات الشخصية في إطار شخصي أو أسري ما لم يتم نشرها ( تم إضافة ما لم يتم نشرها).
- أغراض البحوث التاريخية أو الإحصائية أو العلمية أو الأدبية أو الاقتصادية من قبل الجهات المصرح لها شريطة عدم استخدام أي دلالة تتعلق بصاحب البيانات (لم يتغير البند).
وتم حذف هذين البندين من النص الجديد:
- إذا كانت البيانات متاحة للجمهور بما لا يخالف أحكام القانون.
- تنفيذ التزام قانوني ملقى على عاتق المتحكم بموجب أي قانون أو حكم أو قرار من المحكمة.
اختصاص جديد وأخرى ملغاة
أضاف التعديل اختصاص لوزارة النقل والاتصالات وتقنية المعلومات وهو اعتماد المدققين الخارجيين الذين يعهد إليهم تقييم التزام المتحكم والمعالج بأحكام القانون.
كما ألغى التعديل الجديد اختصاصات أخرى للوزارة وهي:
- إصدار وإلغاء تراخيص مزودي الخدمة الذين يعهد إليهم دراسة وتقييم التزام المتحكم والمعالج بأحكام هذا القانون، وفقا للضوابط والإجراءات التي تحددها اللائحة.
- إعداد نماذج استرشادية لأغراض تطبيق أحكام هذا القانون، كلما اقتضى الأمر ذلك.
- إعداد تقارير دورية عن نشاطها في مجال حماية البيانات الشخصية، ونشرها في موقعها الإلكتروني.
- إعداد سجل يقيد فيه المتحكمون والمعالجون المستوفون الشروط المقررة، وذلك على النحو الذي تحدده اللائحة.
موافقة صريحة
ألزام القانون موافقة صاحب البيانات الصريحة على معالجة بياناته، ويجب أن يكون طلب الموافقة موضحًا لأهداف المعالجة وآلية التواصل مع مسؤول حماية البيانات الشخصية، وبيانات المتحكم والمعالج.
وهذا يعني أنه لا يمكن لمن يحصل على البيانات بحكم ممارستهم لعمل تجاري.. افتراض أن صاحب البيانات موافق تلقائيًا على قيامهم بمشاركتها مع أطراف أخرى.
تم إضافة المادة 10 مكررًا إلى القانون لتضيف شروطًا يجوز فيها معالجة البيانات الشخصية دون الحصول على الموافقة الصريحة، مثل تنفيذ التزام قانوني، أو البيانات المتاحة للجمهور، أو حماية مصلحة حيوية لصاحب البيانات، وهي حالات لم تكن محددة بوضوح في النسخة القديمة.
الاستثناءات والحقوق الجديدة
أضاف المرسوم “مادة 5 مكررا” تحدد استثناءات محدودة من قواعد حماية البيانات الحساسة. تشمل هذه الاستثناءات معالجة بيانات الموظفين في إطار تنظيم العمل الداخلي، ومعالجة البيانات عبر أجهزة وكاميرات المراقبة المستخدمة لاستيفاء المتطلبات الأمنية. كما فتح الباب أمام وزير النقل والاتصالات لتحديد حالات إضافية بقرار وزاري، وهي مرونة لم تكن موجودة في القانون الأول.
التزامات جديدة وتعديلات العقوبات
فرض المرسوم التزاماً جديداً على المتحكمين والمعالجين: محو البيانات الشخصية فور انتهاء الغرض من معالجتها، مع استثناءات محدودة (وجود نزاع قائم أو التزام قانوني). هذا يعني أن الشركات لا يمكنها الاحتفاظ بالبيانات “للاستخدام المستقبلي” كما كانت الممارسة الشائعة سابقاً، وهو تغيير جوهري في الالتزامات.
على صعيد العقوبات، عدّل المرسوم جدول العقوبات بشكل ملحوظ. من يخالف أحكام المادة 10 (الحصول على الموافقة قبل معالجة البيانات) يعاقب بغرامة من 500 إلى 2000 ريال. أما من يخالف المواد 13 و14 (الالتزامات التقنية)، فيعاقب بغرامة من 5000 إلى 10000 ريال. هذه التعديلات تعكس محاولة من المشرّع لإيجاد توازن بين الحماية والواقعية الاقتصادية.
