أين يُسمح لبيانات شركتك أن تُخزَّن؟ قواعد الاستضافة السحابية في عُمان
ابحث عمّا إذا كان يجب أن تبقى بياناتك داخل عُمان، وستجد جملة واثقة: يجب أن تبقى جميع البيانات داخل حدود السلطنة، بما فيها النسخ الاحتياطية. وهي اقتباس حقيقي من وثيقة حكومية حقيقية — ولمعظم الشركات الخاصة التي تقرأها، هي القاعدة الخطأ.
لا يوجد قانون واحد لتوطين البيانات في عُمان. توجد ثلاثة نصوص منفصلة، تُلزم ثلاث جهات مختلفة، وأكثرها تداولًا في المقالات هو الذي لا يُلزمك غالبًا.
الجواب المختصر
| النص | من يُلزِم | ما يشترطه فعلًا |
|---|---|---|
| معيار الخدمات السحابية والاستضافة، وسياسة «السحابة أولًا» من وزارة النقل والاتصالات | الجهات الحكومية التي تشتري خدمات سحابية | بقاء البيانات، ومنها النسخ الاحتياطية، داخل السلطنة؛ وحيازة المزوّد لشهادات أمنية معترف بها |
| لائحة تنظيم خدمات الحوسبة السحابية ومراكز البيانات (قرار هيئة تنظيم الاتصالات ١١٥٢/٢/١٩/٢٠٢٤-٢٠) | مزوّدي الخدمات السحابية ومشغّلي مراكز البيانات | تصريح من الهيئة لمزاولة النشاط؛ وعدم نقل البيانات المصنّفة في المستويات الحساسة خارج السلطنة دون موافقة مسبقة من الهيئة |
| المادة ٢٣ من قانون حماية البيانات الشخصية ولائحته التنفيذية (قرار وزاري ٣٤/٢٠٢٤) | أنت — المتحكّم في البيانات الشخصية | لا تخرج البيانات الشخصية من السلطنة إلا بشروط محددة، وعبء التقييم يقع عليك |
إن كنت شركة خاصة متوسطة الحجم، فالصفّ الثالث هو قاعدتك. أما الصفّ الأول فلا يصلك إلا حين تبيع لجهة حكومية، وحينها يصلك في صورة بند تعاقدي. والصفّ الثاني يصلك عبر مزوّدك، وهو قيد حقيقي لكنك لست مرخَّصًا بموجبه شخصيًا.
وضبط هذا التمييز يستحق العناء، لأن القاعدة الأولى الشائعة أشدّ من التزامك الفعلي — بينما القاعدة التي تُلزمك فعلًا تحمل أثقل شريحة عقوبات في قانون حماية البيانات العُماني.
القاعدة التي تُلزمك: المادة ٢٣
تحكم المادة ٢٣ من قانون حماية البيانات الشخصية نقل البيانات الشخصية خارج السلطنة، فتجيزه وفقًا للضوابط والإجراءات التي تحددها اللائحة، وتحظره إذا كانت المعالجة تتم بالمخالفة لأحكام القانون.
واللائحة التنفيذية، الصادرة بالقرار الوزاري ٣٤/٢٠٢٤ والنافذة من مطلع فبراير ٢٠٢٤ مع مهلة توفيق أوضاع امتدت حتى ٥ فبراير ٢٠٢٥، هي التي تضع تلك الضوابط. وكما يقرؤها المحامون العُمانيون والدوليون، يتاح النقل إلى الخارج على ثلاثة أسس:
- الموافقة الصريحة لصاحب البيانات.
- الالتزام باتفاقية دولية تكون السلطنة طرفًا فيها.
- إخفاء الهوية — فالبيانات التي لا يمكن التعرّف على صاحبها منها ليست المشكلة ذاتها.
وفي هذا سمتان تستحقّان انتباه كل من عمل على اللائحة الأوروبية، لأن ردود الفعل المكتسبة هناك لا تنتقل إلى هنا.
لا توجد قرارات كفاية، ولا تُذكر البنود التعاقدية النموذجية كضمانة. النموذج الذهني الأوروبي — «الدولة المستقبِلة معتمدة، أو نوقّع البنود النموذجية» — بلا مقابل هنا. لا يمكنك حلّ هذه المسألة بمستند جاهز تنزّله.
عبء التقييم عليك أنت. يُتوقّع من المتحكّم أن يتحقّق بنفسه من أن المعالج الأجنبي يوفّر حماية لا تقلّ عن المستوى الذي يفرضه القانون، وأن يكون قادرًا على تقديم هذا التقييم للوزارة عند الطلب. وهذه وثيقة إمّا أن تكون لديك أو لا تكون، عن مورّد اخترته أصلًا.
وتذكّر بنية العقوبات: المادة ٢٣ هي المخالفة الوحيدة في القانون المسعّرة بـ١٠٠٬٠٠٠ إلى ٥٠٠٬٠٠٠ ريال عُماني. وكل شريحة أخرى سقفها ٢٠٬٠٠٠. وقد تناولنا الأشياء السبعة التي يغيّرها قانون حماية البيانات داخل أنظمتك؛ وهذه هي المُكلفة منها، ويحسمها قرار معماري.
القاعدة التي تُلزم مزوّدك
في سبتمبر ٢٠٢٤ أصدرت هيئة تنظيم الاتصالات القرار رقم ١١٥٢/٢/١٩/٢٠٢٤-٢٠ بإصدار لائحة تنظيم خدمات الحوسبة السحابية ومراكز البيانات. وهو النص الذي حوّل الاستضافة في عُمان إلى نشاط مرخَّص.
والأحكام التي تهمّك بصفتك عميلًا، كما لخّصها محامون عُمانيون:
- يلزم تصريح لتقديم خدمات الحوسبة السحابية أو مراكز البيانات في السلطنة، مدته ثلاث سنوات قابلة للتجديد رهنًا باستمرار الامتثال، مع إمكان الإيقاف أو الإلغاء عند المخالفة.
- تُصنَّف البيانات إلى أربعة مستويات حساسية. والمستويان الأعلى هما المقيَّدان: المستوى الثالث يشمل بيانات القطاع الخاص المنظَّم كالطاقة والمرافق والتأمين، والمستوى الرابع يشمل البيانات بالغة الحساسية لجهات الدولة والقطاعين المالي والصحي. ونقل بيانات هذين المستويين خارج السلطنة يستلزم موافقة مسبقة من الهيئة.
- إخطار المشتركين بالاختراق خلال ٧٢ ساعة، مع مهلة أقصر لإخطار الهيئة في الحوادث الجسيمة.
- الإفصاح الشفاف عن مستويات الخدمة، ومنع المزوّدين من التنصّل التعاقدي من المسؤولية عن فقد البيانات أو تعطّل الخدمة.
اقرأ البندين الأخيرين مرة أخرى من جانب المشتري. حكمان في هذه اللائحة حمايةٌ مكتوبة لصالحك مباشرةً — إخطار تستحقّه، وتنصّل من المسؤولية لا يحقّ لمزوّدك الاستناد إليه. ومعظم المشترين لا يعلمون أنهما لهم.
أما تفاصيل مستويات التصنيف فمكانها اللائحة وملاحقها. وإن كان قطاعك من القطاعات المذكورة في المستوى الثالث، فهذا سؤال يوجَّه إلى مستشار مؤهّل عن بياناتك تحديدًا، لا إلى مقال. [يوصى بمراجعة متخصص]
القاعدة التي يقتبسها الجميع، ولمن هي فعلًا
معيار الخدمات السحابية والاستضافة الصادر عن وزارة النقل والاتصالات وتقنية المعلومات — النسخة الأولى، النافذة منذ ٢٠١٨ — مكتوب للجهات الحكومية العُمانية التي تتبنّى الخدمات السحابية. ومنه تأتي الصياغة المشدّدة: بقاء البيانات، ومنها النسخ الاحتياطية، داخل حدود السلطنة. كما يحدّد ما يجب أن يثبته المزوّد المعتمَد، بالإشارة إلى ISO/IEC 27001 و27017 و27018 ومصفوفة ضوابط السحابة من Cloud Security Alliance، مع التقييم من طرف ثالث والتقرير المستمر للوزارة كشرطين لاستمرار الاعتماد. وتقف إلى جانبه سياسة الحوسبة السحابية لعام ٢٠٢١، وهي بدورها موجّهة إلى وحدات الجهاز الإداري للدولة.
ولهذا نتيجتان عمليتان لشركة خاصة:
إذا كنت تبيع برمجيات أو خدمات لجهة حكومية، فهذه تصبح قاعدتك بحكم العقد. لا لأن المعيار يُلزمك مباشرة، بل لأن عميلك مُلزَم وسيمرّره إليك. واكتشاف ذلك أثناء التفاوض على العقد، بعد أن بنيت معمارك على منصة أجنبية، أسبوع مكلف.
قائمة الشهادات مفيدة كقائمة تسوّق على أي حال. فـISO 27001 و27017 و27018 والمصفوفة المذكورة هي ما يحوزه أي مزوّد جادّ في أي مكان. وطلبها معقول حتى حين لا يُلزمك به شيء.
أما عن أي المزوّدين التجاريين يحمل اعتمادًا ساريًا من الوزارة: راجع القائمة الحالية لدى الوزارة نفسها. فحالة الاعتماد تتغيّر، والمزوّد المذكور في مقال كُتب اليوم قد يكون جوابًا خاطئًا حين تقرؤه.
الأنماط الثلاثة المشروعة، بمفاضلات صادقة
| النمط | الموقف من الامتثال | التكلفة | زمن الاستجابة لمستخدمي الخليج | يناسب |
|---|---|---|---|---|
| بنية تحتية داخل عُمان، مملوكة أو مستضافة بالإيواء | الأقوى والأسهل إثباتًا | أعلى تكلفة ثابتة، وعبء تشغيلي حقيقي | الأفضل داخل السلطنة | البيانات المنظَّمة؛ العقود الحكومية؛ من لديه قدرة تشغيلية قائمة |
| مزوّد سحابي أو استضافة محلي مصرَّح له | قوي؛ والمزوّد يحمل التزام الترخيص | متوسطة ويمكن التنبؤ بها | جيد | معظم الشركات المتوسطة التي تعالج بيانات شخصية |
| منصة سحابية أجنبية | يعتمد كليًا على البنية التعاقدية وعلى أين تستقرّ البيانات | أقل سعر معلن عادةً، وأعلى تكلفة امتثال خفية | يتفاوت حسب المنطقة؛ قد يكون ممتازًا أو رديئًا | الأحمال غير الشخصية؛ المنتجات العالمية؛ كل ما أُخفيت هويته |
والمفاضلات التي لا يظهرها الجدول:
البنية التحتية المحلية قرار توظيف لا قرار أجهزة. الخوادم هي الجزء الرخيص. لا بدّ لأحد أن يحدّثها ويراقبها وينسخها ويستعيدها، وأن يكون متاحًا حين تتعطّل في الثانية فجرًا. وهذه مشكلة توظيف في سوق فيه منافسة حقيقية على هذه المهارات — وهو ما يربط هذا القرار بكيفية بناء فريقك التقني في عُمان.
المزوّد المحلي ينقل عنك عبء ترخيص كنت ستحمله. وهذه أكثر مزايا الخيار الأوسط بخسًا لحقها. أنت تشتري تصريح غيرك وشهاداته والتزاماته التدقيقية.
أقل سعر لمنصة أجنبية ليس تكلفتها الكلية. أضف تقييم الامتثال، والمراجعة القانونية، وآليات الموافقة، والعمل التعاقدي، واحتمال الانتقال لاحقًا. والأرخص عند التوقيع كثيرًا ما يكون الأغلى في السنة الثالثة.
النمط الهجين مشروع وصحيح غالبًا. البيانات الشخصية والمنظَّمة داخل السلطنة؛ والتحليلات مخفية الهوية وخطوط البناء والمواقع التسويقية والأحمال غير الشخصية حيث يكون الأرخص. وهذا يتطلب معرفة أي بياناتك هي أي — وهو جرد البيانات الذي يفرضه عليك قانون حماية البيانات أصلًا. والعمليتان عملية واحدة.
زمن الاستجابة والتكلفة، بواقعية
لتطبيق أعمال يستخدمه موظفون وعملاء داخل عُمان والخليج، فالاستضافة داخل البلد أو في منطقة قريبة ليست جوابًا امتثاليًا فحسب، بل هي عادةً الجواب التقني الأفضل. فزمن الذهاب والإياب إلى منطقة أوروبية أو أمريكية ضريبة تُدفع على كل طلب، وأظهر ما تكون في الواجهات التي يستخدمها الناس طوال اليوم.
والحجة المضادة حقيقية أيضًا: منطقة بعيدة بخدمات مُدارة ناضجة قد تكون أرخص تشغيلًا وأسهل توظيفًا. وهذه مفاضلة حقيقية، يحسمها ما إذا كان الحمل يحتوي بيانات شخصية أو منظَّمة. فإن لم يكن، فحسّن بحرية. وإن كان، فسؤال الامتثال أولًا وكل ما عداه يُرتَّب حول الجواب.
وثمة تكلفة تُبخس باستمرار: الإخراج والترحيل. إخراج البيانات من منصة سحابية يكلّف مالًا ووقتًا، وكلاهما يتضخم بطول انتظارك. وإن كان ثمة احتمال أن تنتقل لاحقًا، فوقت التفاوض على شروط التصدير قبل التوقيع.
ما تضعه في عقد الاستضافة
ستة بنود، قصيرة، وغيابها مكلف:
- الموقع الفعلي للبيئة الأساسية، مسمّى — دولة ومنطقة، لا «الشرق الأوسط».
- موقع النسخ الاحتياطية وأي نسخة متطابقة، مذكورًا على حدة. وهنا ينكسر أغلب مواقف التوطين بهدوء: البيئة الأساسية ممتثلة ونسخة التعافي من الكوارث في مكان آخر.
- تعهّد بعدم نقل البيانات دون موافقتك الكتابية المسبقة. فالمزوّدون يعيدون تنظيم مناطقهم.
- تسمية المعالجين من الباطن ومواقعهم، مع إشعارك قبل تغيير القائمة. فمزوّد مزوّدك يعالج بياناتك أيضًا.
- إخطار بالاختراق خلال مدة محددة، متسقًا مع ما تمنحك إياه لائحة الهيئة أصلًا، وبوقت يكفي لتفي أنت بالتزاماتك.
- شروط الخروج: بأي صيغة تعود بياناتك، وفي أي مدة، وبأي تكلفة، وتأكيد إتلافها بعد ذلك.
ثم احتفظ بالإجابات حيث يجدها المدقّق. فهذا هو سجل المعالجين الذي يفرضه الامتثال لحماية البيانات أصلًا؛ وعقد الاستضافة هو ببساطة مصدر أهم عمود فيه.
من أين تبدأ
صنّف قبل أن تشتري. صفحة واحدة تُدرج فئات بياناتك، ولكل فئة: هل تحتوي بيانات شخصية، وهل هي في قطاع منظَّم، وهل يجب تقديمها لجهة رقابية يومًا ما. ومعظم قرارات الاستضافة تتساقط من تلك الصفحة، وهي تستغرق بعد ظهيرة واحدة.
والترتيب مهم. فاختيار المنصة أولًا ثم تصنيف البيانات هو الطريق الذي تنتهي به الشركات إلى الوضع الوحيد الذي يسعّره قانون حماية البيانات العُماني بستة أرقام.
الأسئلة الشائعة
هل يجب أن تبقى كل بيانات الشركة داخل عُمان؟ لا — هذه الصيغة مأخوذة من المعيار الذي يُلزم الجهات الحكومية. أما الشركة الخاصة فقاعدتها الملزِمة هي المادة ٢٣ ولائحتها التنفيذية، وهي تجيز نقل البيانات الشخصية إلى الخارج بشروط محددة لا تحظره. وقد تكون قواعد قطاعك أشدّ، كما يخضع مزوّدو الخدمات السحابية أنفسهم لقيود منفصلة على المستويات الأكثر حساسية.
هل يمكنني استخدام مزوّد سحابي دولي؟ غالبًا نعم، بحسب البيانات المعنيّة وبنية الترتيب. لكن ما لا يمكنك فعله هو الاعتماد على الضمانات التي تستخدمها في أوروبا: فاللائحة العُمانية لا تعمل بقرارات الكفاية ولا بالبنود التعاقدية النموذجية، وتقييم معالجك الأجنبي مسؤوليتك أنت أداءً وتقديمًا.
وماذا عن النسخ الاحتياطية والتعافي من الكوارث؟ عاملها كمكوّن من الدرجة الأولى. فبيئة أساسية ممتثلة مع نسخة متطابقة في بلد آخر ليست ترتيبًا ممتثلًا — وهذه أشيع طريقة ينكسر بها موقف التوطين عن غير قصد، لأن النسخ المتطابق يُهيّئه عادةً مهندس يحلّ مشكلة إتاحة لا مشكلة امتثال.
هل أحتاج ترخيصًا لاستضافة بياناتي بنفسي؟ اشتراط التصريح من الهيئة موجّه إلى الجهات التي تقدّم خدمات حوسبة سحابية أو مراكز بيانات. وتشغيل بنيتك التحتية لأغراض عملك نشاط مختلف عن بيع الاستضافة. أما إن كنت تفكّر في تقديم استضافة لعملائك — بما في ذلك تضمينها داخل منتج برمجي — فاطلب مشورة قبل ذلك.
وماذا لو كان عميلي جهة حكومية؟ حينها تصلك متطلبات الاستضافة الحكومية عبر عقدك، وهي أشدّ من الوضع العام للقطاع الخاص. اطلب المتطلبات المنطبقة في مرحلة العطاء لا بعد الترسية. فهي تغيّر المعمار، وبالتالي تغيّر السعر.
هذا المقال يلخّص نصوصًا منشورة بتاريخ ٢١ أغسطس ٢٠٢٦، وليس استشارة قانونية. المرجع المعتمد هو القانون ولائحته التنفيذية ونصوص الهيئة والوزارة المذكورة أدناه. تأكّد من موقفك مع مستشار مؤهّل.
المصادر: الوزارة — معيار الخدمات السحابية والاستضافة · الوزارة — سياسة الحوسبة السحابية · المرسوم السلطاني ٦/٢٠٢٢ — قانون حماية البيانات الشخصية · قرار هيئة تنظيم الاتصالات ١١٥٢/٢/١٩/٢٠٢٤-٢٠ (سجل) · SASLO — تحليل لائحة الحوسبة السحابية ومراكز البيانات · Pinsent Masons — نفاذ اللائحة التنفيذية
تقرّر أين يجب أن يعيش نظامك؟ تتولّى زوات التكامل والدعم وتبني منصات الويب بقرار استضافة مقصود لا افتراضي. احجز مكالمة.