قانون حماية البيانات الشخصية

في تطبيق أحكام هذا القانون، يكون للكلمات والعبارات الآتية المعنى المبين قرين كل منها، ما لم يقتض سياق النص معنى آخر: الوزارة: وزارة النقل والاتصالات وتقنية المعلومات. الوزير: وزير النقل والاتصالات وتقنية المعلومات. البيانات الشخصية: البيانات التي تجعل شخصا طبيعيا معرفا، أو قابلا للتعريف بطريقة مباشرة، أو غير مباشرة، وذلك بالرجوع إلى معرف أو أكثر، كالاسم أو الرقم المدني أو بيانات المعرفات الإلكترونية أو البيانات المكانية، أو بالرجوع إلى عامل أو أكثر خاص بالهوية الجينية أو الجسدية أو العقلية أو النفسية أو الاجتماعية أو الثقافية أو الاقتصادية. البيانات الجينية: البيانات الشخصية المتعلقة بالخصائص الموروثة، أو المكتسبة جينيا، والتي تنتج عن تحليل العينة البيولوجية. البيانات الحيوية: البيانات الشخصية التي تنتج عن معالجة فنية محددة تتعلق بالخصائص الجسدية أو النفسية أو السلوكية كصورة الوجه، أو بيانات البصمة الوراثية. البيانات الصحية: البيانات الشخصية المتعلقة بحالة الفرد الصحية، سواء الجسدية أو العقلية أو النفسية، أو المتعلقة بتوفير خدمات الرعاية الصحية له، التي تكشف عن وضعه الصحي. المعالجة: عملية أو مجموعة عمليات يتم إجراؤها على البيانات الشخصية، تتضمن جمعها أو تسجيلها أو تحليلها أو تنظيمها أو تخزينها أو تعديلها أو تحويرها أو استرجاعها أو مراجعتها أو تنسيقها أو ضم بعضها لبعض أو حجبها أو محوها أو إلغاءها أو الإفصاح عنها، عن طريق إرسالها أو توزيعها أو نقلها أو تحويلها أو إتاحتها بوسائل أخرى. المعالجة المؤتمتة: المعالجة التي تتم باستخدام برنامج أو نظام إلكتروني يعمل بطريقة آلية وتلقائية، إما بشكل مستقل كليا دون أي تدخل بشري، أو بشكل جزئي بإشراف وتدخل بشري محدود. صاحب البيانات الشخصية: الشخص الطبيعي الذي يمكن التعرف عليه من خلال بياناته الشخصية. المتحكم: الشخص الاعتباري الذي يقوم بالمعالجة بنفسه أو يعهد بها إلى المعالج. المعالج: الشخص الذي يقوم بمعالجة البيانات الشخصية نيابة عن المتحكم. اللائحة: اللائحة التنفيذية لهذا القانون.

تسري أحكام هذا القانون على معالجة البيانات الشخصية للأشخاص الطبيعيين في سلطنة عمان سواء تمت المعالجة داخل سلطنة عمان أم خارجها.

لا تسري أحكام هذا القانون على معالجة البيانات الشخصية التي تتم في الأحوال الآتية: أ – حماية الأمن الوطني، أو المصلحة العامة. ب – تنفيذ وحدات الجهاز الإداري للدولة وغيرها من الأشخاص الاعتبارية العامة للاختصاصات المقررة لها قانونا. ج – حماية المصالح الاقتصادية، والمالية للدولة. د – كشف أو منع أي جريمة جزائية بناء على طلب رسمي مكتوب من جهات التحقيق. هـ – قيام الشخص بمعالجة البيانات الشخصية في إطار شخصي، أو أسري، ما لم يتم نشرها. و – أغراض البحوث التاريخية أو الإحصائية أو العلمية أو الأدبية أو الاقتصادية، وذلك من قبل الجهات المصرح لها في القيام بهذه الأعمال، شريطة عدم استخدام أي دلالة أو إشارة تتعلق بصاحب البيانات الشخصية فيما تنشره من بحوث وإحصائيات، لضمان عدم نسب البيانات الشخصية إلى شخص طبيعي معرف، أو قابل للتعريف.

تعد البيانات الشخصية محمية بموجب أحكام هذا القانون.

تحظر معالجة البيانات الشخصية التي تتعلق بالبيانات الجينية أو البيانات الحيوية أو البيانات الصحية أو الأصول العرقية أو الحياة الجنسية أو الآراء السياسية أو الدينية أو المعتقدات أو الإدانة الجزائية أو المتعلقة بتدابير أمنية إلا بعد الحصول على تصريح بذلك من الوزارة، وفقا للضوابط والإجراءات التي تحددها اللائحة.

استثناء من حكم المادة (٥) من هذا القانون، يجوز للمتحكم معالجة البيانات الشخصية في الأحوال الآتية: ١ – معالجة البيانات الشخصية للعاملين لدى المتحكم، وفقا للشروط الآتية: أ – أن تكون المعالجة في إطار تنظيم العمل الداخلي للمتحكم. ب – أن تتم المعالجة وفقا لأحكام هذا القانون. ج – عدم الإفصاح عن البيانات الشخصية للغير إلا بعد الحصول على الموافقة الكتابية لصاحب البيانات الشخصية. ٢ – معالجة البيانات الشخصية التي تتم عبر أجهزة وكاميرات المراقبة المستخدمة استيفاء للمتطلبات الأمنية الصادرة عن الجهات المختصة. ٣ – أي حالات أخرى يصدر بتحديدها قرار من الوزير، وفقا للضوابط التي تبينها اللائحة.

يحظر معالجة البيانات الشخصية للطفل إلا بموافقة ولي أمره، ما لم تكن تلك المعالجة لمصلحة الطفل الفضلى، وذلك وفقا للضوابط والإجراءات التي تحددها اللائحة.

مع عدم الإخلال بالاختصاصات المقررة لمركز الدفاع الإلكتروني، تتولى الوزارة مسؤولية تطبيق أحكام هذا القانون، ولها على الأخص الآتي: أ – إعداد واعتماد الضوابط والإجراءات المتعلقة بحماية البيانات الشخصية بما في ذلك تحديد الضمانات الضرورية والتدابير اللازمة وقواعد السلوك المتعلقة بحماية البيانات الشخصية. ب – إصدار الضوابط والإجراءات اللازمة لمعالجة البيانات الشخصية والتحقق من التزام المتحكم والمعالج بها. ج – تلقي البلاغات والشكاوى التي يودعها أصحاب البيانات الشخصية، والبت فيها، خلال المدة التي تبينها اللائحة. د – التعاون مع الجهات المختصة بحماية البيانات الشخصية في الدول الأخرى. هـ – تقديم المشورة والدعم والتنسيق مع وحدات الجهاز الإداري للدولة وغيرها من الأشخاص الاعتبارية العامة في أي مسألة تتعلق بحماية البيانات الشخصية. و – اعتماد المدققين الخارجيين الذين يعهد إليهم تقييم التزام المتحكم والمعالج بأحكام هذا القانون.

تتخذ الوزارة في سبيل حماية حقوق أصحاب البيانات الشخصية أيا من الإجراءات الآتية: أ – إنذار المتحكم أو المعالج، بالمخالفة التي تقع منه لأحكام هذا القانون. ب – الأمر بتصحيح ومحو البيانات الشخصية التي تمت معالجتها بالمخالفة لأحكام هذا القانون. ج – وقف معالجة البيانات الشخصية بشكل مؤقت، أو دائم. د – وقف تحويل البيانات الشخصية إلى دولة أخرى، أو منظمة دولية. هـ – أي إجراء آخر تراه الوزارة ضروريا لحماية البيانات الشخصية، وذلك على النحو الذي تحدده اللائحة.

يكون لموظفي الوزارة الذين يصدر بتحديدهم قرار من الجهة المختصة بالاتفاق مع الوزير، صفة الضبطية القضائية في تطبيق أحكام هذا القانون واللائحة والقرارات الصادرة تنفيذا له.

لا يجوز معالجة البيانات الشخصية أو تغيير الغرض من معالجتها إلا في إطار الشفافية والأمانة واحترام كرامة الإنسان، وبعد الحصول على الموافقة الصريحة لصاحب البيانات الشخصية على ذلك، ويلتزم المتحكم بإثبات الموافقة الصريحة لصاحب البيانات الشخصية لمعالجة بياناته. ويجب أن يكون طلب الموافقة على معالجة البيانات الشخصية مكتوبا بصورة واضحة وصريحة ومفهومة، متضمنا الآتي: أ – بيانات المتحكم، والمعالج (إن وجد). ب – آلية التواصل مع مسؤول حماية البيانات الشخصية. ج – أهداف المعالجة وطبيعتها. د – أي معلومات أخرى قد تكون ضرورية لاستيفاء شروط المعالجة وفقا لأحكام هذا القانون.

استثناء من حكم المادة (١٠) من هذا القانون، يجوز معالجة البيانات الشخصية دون الحصول على الموافقة الصريحة لصاحب البيانات الشخصية، وذلك في الأحوال الآتية: أ – إذا كانت المعالجة تنفيذا لالتزام قانوني ملقى على عاتق المتحكم بموجب أي قانون أو حكم أو أمر أو قرار من المحكمة. ب – إذا كانت البيانات متاحة للجمهور، وبما لا يخالف أحكام هذا القانون. ج – حماية مصلحة حيوية لصاحب البيانات الشخصية في حال تعذر الاتصال به. د – إذا كانت المعالجة تنفيذا لعقد يكون صاحب البيانات الشخصية طرفا فيه، على أن يتضمن العقد ما يفيد أن معالجة البيانات الشخصية تتم وفقا لأحكام هذا القانون.

يكون لصاحب البيانات الشخصية الحق في الآتي: أ – إلغاء موافقته على معالجة بياناته الشخصية، وذلك مع عدم الإخلال بالمعالجات التي تمت قبل الإلغاء. ب – طلب تعديل بياناته الشخصية أو تحديثها أو حجبها. ج – الحصول على نسخة من بياناته الشخصية المعالجة. د – نقل بياناته الشخصية إلى متحكم آخر. هـ – طلب محو بياناته الشخصية ما لم تكن تلك المعالجة ضرورية لأغراض الحفظ والتوثيق الوطنية. و – إخطاره بأي اختراق أو انتهاك لبياناته الشخصية، وما تم اتخاذه من إجراءات في هذا الشأن. وتبين اللائحة الضوابط والإجراءات اللازمة لممارسة هذه الحقوق.

يجوز لصاحب البيانات الشخصية التقدم بشكوى إلى الوزارة إذا رأى أو اعتبر أن معالجة بياناته الشخصية لا تتوافق مع أحكام هذا القانون، وذلك طبقا للضوابط والإجراءات التي تحددها اللائحة.

يلتزم المتحكم بوضع الضوابط والإجراءات الواجب الالتزام بها عند معالجة البيانات الشخصية، ويجب أن تشتمل على وجه الخصوص الآتي: أ – تحديد المخاطر التي قد تقع على صاحب البيانات الشخصية جراء المعالجة. ب – إجراءات وضوابط نقل وتحويل البيانات الشخصية. ج – التدابير الفنية والإجرائية لضمان تنفيذ المعالجة وفقا لأحكام هذا القانون. د – أي ضوابط أو إجراءات أخرى تحددها اللائحة.

يلتزم المتحكم والمعالج عند استخدام المعالجة المؤتمتة باتخاذ الإجراءات والتدابير المناسبة لحماية خصوصية وسرية البيانات الشخصية، وعدم الإضرار بصاحبها. وفي جميع الأحوال، يحق لصاحب البيانات الشخصية الاعتراض على القرارات الناتجة عن المعالجة المؤتمتة، ويجب على المتحكم أو المعالج إدخال العنصر البشري عند مراجعة القرارات المعترض عليها، وذلك وفقا للضوابط التي تبينها اللائحة.

يلتزم المتحكم والمعالج بمحو البيانات الشخصية فور انتهاء الغرض من معالجتها، واستثناء من ذلك يجب عليهما الاحتفاظ بها في الحالتين الآتيتين: أ – وجود نزاع قائم بين المتحكم أو المعالج، وصاحب البيانات الشخصية. ب – تنفيذ التزام قانوني ملقى على عاتق المتحكم أو المعالج بموجب أي قانون أو حكم أو أمر أو قرار من المحكمة.

يلتزم المتحكم والمعالج – بناء على طلب الوزارة – بتعيين مدقق خارجي للتأكد من أن إجراءات معالجة البيانات الشخصية قد تمت وفقا لأحكام هذا القانون، ووفقا لإجراءات وضوابط المتحكم المنصوص عليها في المادة (١٣) من هذا القانون، وتحدد اللائحة ضوابط وإجراءات تعيين المدقق الخارجي. كما يلتزم المتحكم والمعالج بموافاة الوزارة بنسخة من تقرير المدقق الخارجي.

يلتزم المتحكم والمعالج بالاحتفاظ بمستندات عمليات المعالجة، وذلك وفقا للمدد والإجراءات التي تحددها اللائحة.

يلتزم المتحكم والمعالج بالتعاون مع الوزارة، وتقديم ما تطلبه من بيانات ومستندات تراها لازمة لممارسة اختصاصها طبقا لأحكام هذا القانون، وذلك خلال المدة التي تحددها اللائحة.

يلتزم المتحكم، عند حدوث اختراق للبيانات الشخصية، يؤدي إلى تدميرها أو تغييرها أو الإفصاح عنها أو الوصول إليها أو معالجتها بصورة غير قانونية، بإبلاغ الوزارة وصاحب البيانات الشخصية عن الاختراق وذلك وفقا للضوابط والإجراءات التي تحددها اللائحة.

يلتزم المتحكم بتحديد مسؤول حماية البيانات الشخصية، وتحدد اللائحة ضوابط اختيار هذا المسؤول ومهامه.

يلتزم المتحكم بضمان سرية البيانات الشخصية، وعدم نشرها إلا بموافقة مسبقة من صاحب البيانات الشخصية، وذلك على النحو الذي تحدده اللائحة.

يلتزم المتحكم بالحصول على الموافقة الصريحة لصاحب البيانات الشخصية قبل إرسال أي مادة إعلانية أو تسويقية ذات أغراض تجارية إليه، وذلك على النحو الذي تبينه اللائحة.

مع عدم الإخلال بالاختصاصات المقررة لمركز الدفاع الإلكتروني، يجوز للمتحكم نقل البيانات الشخصية، والسماح بتحويلها خارج حدود سلطنة عمان وفقا للضوابط والإجراءات التي تحددها اللائحة. ويحظر عليه نقل البيانات الشخصية إذا تمت معالجتها بالمخالفة لأحكام هذا القانون، أو كان من شأنها إلحاق ضرر بصاحب البيانات الشخصية.

مع عدم الإخلال بأي عقوبة أشد ينص عليها قانون الجزاء أو أي قانون آخر، يعاقب على الجرائم المبينة في هذا القانون بالعقوبات المنصوص عليها فيه.

يعاقب بغرامة لا تقل عن (٥٠٠) خمسمائة ريال عماني، ولا تزيد على (٢٠٠٠) ألفي ريال عماني، كل من يخالف أحكام المادة (١٠) من هذا القانون.

يعاقب بغرامة لا تقل عن (١٠٠٠) ألف ريال عماني، ولا تزيد على (٥٠٠٠) خمسة آلاف ريال عماني، كل من يخالف أحكام المواد (١٥)، (١٦)، (١٧)، (١٨)، (٢٠)، (٢٢) من هذا القانون.

يعاقب بغرامة لا تقل عن (٥٠٠٠) خمسة آلاف ريال عماني، ولا تزيد على (١٠٠٠٠) عشرة آلاف ريال عماني، كل من يخالف أحكام المادتين (١٣) و(١٤) من هذا القانون.

يعاقب بغرامة لا تقل عن (١٥٠٠٠) خمسة عشر ألف ريال عماني، ولا تزيد على (٢٠٠٠٠) عشرين ألف ريال عماني، كل من يخالف أحكام المواد (٥)، (٦)، (١٩)، (٢١) من هذا القانون.

يعاقب بغرامة لا تقل عن (١٠٠٠٠٠) مائة ألف ريال عماني، ولا تزيد على (٥٠٠٠٠٠) خمسمائة ألف ريال عماني، كل من يخالف أحكام المادة (٢٣) من هذا القانون.

مع عدم الإخلال بالمسؤولية الجزائية للأشخاص الطبيعيين، يعاقب الشخص الاعتباري بغرامة لا تقل عن (٥٠٠٠) خمسة آلاف ريال عماني، ولا تزيد على (١٠٠٠٠٠) مائة ألف ريال عماني، إذا كانت الجريمة قد ارتكبت باسمه، أو لحسابه من قبل رئيس، أو أحد أعضاء مجلس إدارته، أو مديره، أو أي مسؤول آخر، بموافقته، أو بتستر، أو إهمال جسيم منه.

يجوز للمحكمة المختصة في نطاق تطبيق أحكام هذا القانون أن تحكم، بالإضافة إلى الغرامة، بمصادرة الأدوات التي استعملت لارتكاب الجريمة.

مع عدم الإخلال بالعقوبات المنصوص عليها في هذا القانون، يجوز للوزارة فرض جزاءات إدارية على المخالفات التي يتم ارتكابها بالمخالفة لأحكام هذا القانون أو اللائحة أو القرارات الصادرة تنفيذا له، على ألا تزيد الغرامة الإدارية على (٢٠٠٠) ألفي ريال عماني.