تعديلات قانون حماية البيانات الشخصية في عُمان: ما الذي غيّره المرسوم السلطاني 68/2026 في عمل شركتك
عدّلت سلطنة عُمان قانون حماية البيانات الشخصية في 3 سبتمبر 2026. فقد صدر المرسوم السلطاني رقم 68/2026، ونُشر في الجريدة الرسمية (العدد 1664) في 6 سبتمبر، وأصبح نافذًا منذ 7 سبتمبر 2026 دون أي مهلة انتقالية. استبدل المرسوم نصوص تسع مواد، وأضاف مادتين جديدتين، واستحدث تعريفًا لـ«المعالجة المؤتمتة».
ولأي منشأة خاصة، أربعة تغييرات هي الأهم: صارت الموافقة طلبًا له مضمون محدّد وعليك أنت إثباتها، وصارت هناك أربع حالات لا تحتاج فيها إلى موافقة أصلًا، وصار من حق الشخص الاعتراض على القرارات المؤتمتة مع مراجعة بشرية لها، وصار محو البيانات واجبًا فور انتهاء الغرض منها. وفوق ذلك، انتهت مهلة توفيق الأوضاع بموجب اللائحة التنفيذية في 5 فبراير 2026.
يتناول هذا المقال ما تغيّر فقط. أما الصورة الكاملة لما يفرضه القانون على أنظمتك فتجدها في سبعة أشياء يغيّرها القانون داخل أنظمتك، واقرأ هذا المقال تحديثًا له.
الجواب المختصر
| المادة | قبل سبتمبر 2026 | منذ 7 سبتمبر 2026 | ماذا يعني لك |
|---|---|---|---|
| 2 — النطاق | «البيانات الشخصية التي تتم معالجتها» | بيانات الأشخاص الطبيعيين في عُمان، سواء عولجت داخل السلطنة أو خارجها | المعالجة في الخارج، منك أو من مورّديك، داخلة في القانون بوضوح |
| 3 — الاستثناءات | عشر حالات، منها العقود والالتزامات القانونية | ست حالات، وخرجت منها العقود والالتزامات القانونية | معالجة العقود والرواتب صارت داخل القانون بالكامل |
| 10 — الموافقة | موافقة صريحة مع إثبات الموافقة الكتابية | موافقة صريحة يلتزم المتحكم بإثباتها، بطلب يتضمن أربعة عناصر | شاشات الموافقة عندك تحتاج إعادة صياغة وترقيمًا للإصدارات |
| 10 مكررًا — جديدة | — | أربع حالات لا تُشترط فيها الموافقة | عقودك تحتاج بندًا لحماية البيانات |
| 14 — المعالجة المؤتمتة | واجبات الإخطار قبل المعالجة | ضمانات، وحق في الاعتراض، ومراجعة بشرية | أي قرار مؤتمت يحتاج مسارًا للاعتراض |
| 15 — المحو | الالتزام بضوابط الوزارة | المحو فور انتهاء الغرض | «نحتفظ بها احتياطًا» لم يعد لها سند |
| 22 — التسويق | موافقة كتابية | موافقة صريحة | راجع قوائمك التسويقية |
| 5 مكررًا — جديدة | — | إعفاء بيانات العاملين وكاميرات المراقبة من التصريح، بشروط | بيانات الموارد البشرية الحساسة قد لا تحتاج تصريحًا بعد الآن |
أولًا: التواريخ التي تحدد موقعك
أربعة تواريخ تحسم وضعك، وكثير من الملخصات تخلط بين اثنين منها.
القانون صدر بالمرسوم السلطاني رقم 6/2022، ونُشر في 13 فبراير 2022، وعُمل به بعد سنة من نشره، أي في فبراير 2023. واللائحة التنفيذية صدرت بالقرار الوزاري رقم 34/2024 ونفذت في 5 فبراير 2024، وكانت مهلة توفيق الأوضاع فيها سنة واحدة.
ثم مُدّت تلك المهلة. فقد استبدل القرار الوزاري رقم 6/2025، المنشور في الجريدة الرسمية (العدد 1580) في 19 يناير 2025، بالمهلة الأصلية مهلةً لا تزيد على عامين من تاريخ العمل باللائحة. فانتهت المهلة في 5 فبراير 2026، لا في 2025 كما تذكر بعض الإرشادات السابقة.
أما التعديلات فنفذت في 7 سبتمبر 2026، أي في اليوم التالي لنشرها، ولا مهلة توفيق خاصة بها. ما تطلبه مطلوب منذ ذلك اليوم.
1. النطاق صار يتبع الشخص لا الخادم
كانت المادة 2 الأصلية تقول فقط إن القانون يسري على البيانات الشخصية التي تتم معالجتها. أما النص الجديد فيقول إنه يسري على معالجة البيانات الشخصية للأشخاص الطبيعيين في سلطنة عُمان سواء تمت المعالجة داخل السلطنة أم خارجها.
وهذا يحسم سؤالًا تركته شركات كثيرة معلقًا. فإن كان نظام إدارة علاقات العملاء (CRM) يعمل على منصة أجنبية، أو كان مركز الاتصال في بلد آخر، أو كانت شركة شقيقة في الخارج تتولى سجلات عملائك، فالقانون العُماني يرافق تلك البيانات. نقل المعالجة إلى الخارج لا يُخرجها من القانون.
ولا يحل هذا محل قواعد النقل. فنقل البيانات خارج السلطنة ما زال تحكمه المادة 23 واللائحة التنفيذية، وما زال يحمل أثقل غرامة في القانون. المادة 2 الجديدة تؤكد فقط أن البيانات تبقى تحت الحماية العُمانية بعد أن تغادر. وقرارات الاستضافة مشروحة في أين يُسمح لبيانات شركتك أن تُخزَّن.
2. أربعة استثناءات تحولت إلى استثناءات من الموافقة فقط — فدخلت القانون
هذا هو التغيير الأرجح أن يمر دون انتباه، لأنه يبدو مجرد ترتيب للنص.
كانت المادة 3 الأصلية تعدد حالات لا يسري فيها القانون إطلاقًا، ومنها: تنفيذ التزام قانوني، وحماية مصلحة حيوية لصاحب البيانات، وتنفيذ عقد يكون صاحب البيانات طرفًا فيه، ومعالجة البيانات المتاحة للجمهور. وبقراءة حرفية، كان نظام رواتب يعمل بموجب عقود العمل يقع في معظمه خارج القانون.
حذفت المادة 3 الجديدة هذه الحالات الأربع. وما بقي مستثنى أضيق: حماية الأمن الوطني أو المصلحة العامة، وممارسة وحدات الجهاز الإداري للدولة اختصاصاتها المقررة قانونًا، وحماية المصالح الاقتصادية والمالية للدولة، وكشف الجرائم بناءً على طلب رسمي مكتوب من جهات التحقيق، والمعالجة في الإطار الشخصي أو الأسري ما لم تُنشر، والبحوث التي تجريها جهات مصرح لها دون أي إشارة إلى صاحب البيانات.
أما الحالات الأربع المحذوفة فظهرت في المادة 10 مكررًا الجديدة، بوصفها حالات لا تحتاج فيها إلى موافقة. وكل ما عدا الموافقة يسري عليها: الحماية الأمنية، والإبلاغ عن الاختراقات، والمحو، والسجلات، وقواعد النقل. أي أن معالجة ربما عاملتها على أنها خارج النطاق صارت داخله، باستثناء خطوة الموافقة وحدها.
3. الموافقة صارت طلبًا بمضمون محدد
تحتفظ المادة 10 الجديدة بالقاعدة الأساسية: لا يجوز معالجة البيانات الشخصية أو تغيير الغرض من معالجتها إلا في إطار الشفافية والأمانة واحترام كرامة الإنسان، وبعد الحصول على الموافقة الصريحة لصاحبها. ويلتزم المتحكم بإثبات تلك الموافقة.
الجديد هو الطلب نفسه. يجب أن يكون مكتوبًا بصورة واضحة وصريحة ومفهومة، وأن يتضمن:
- بيانات المتحكم، والمعالج إن وُجد؛
- آلية التواصل مع مسؤول حماية البيانات الشخصية؛
- أهداف المعالجة وطبيعتها؛
- أي معلومات أخرى ضرورية لاستيفاء شروط المعالجة وفق القانون.
كان القانون الأصلي يضع معلومات مشابهة في إخطار مستقل قبل المعالجة بموجب المادة 14 القديمة. وبما أن تلك المادة صارت تتناول المعالجة المؤتمتة، فقد انتقل مضمون الإخطار عمليًا إلى طلب الموافقة. ومخالفة المادة 10 عقوبتها غرامة من 500 إلى 2,000 ريال عماني بموجب المادة 25 الجديدة.
وبلغة الأنظمة، هذا عمل دقيق. فشاشة الموافقة يجب أن تذكر المعالِجين وطريقة الوصول إلى مسؤول حماية البيانات، ويجب أن تحفظ أي إصدار من النص رآه كل شخص. وتجيز اللائحة التنفيذية أن تكون الموافقة كتابية أو إلكترونية أو بأي وسيلة يحددها المتحكم، بشرط أن تصدر من شخص كامل الأهلية، بوضوح ودون إكراه. وعبء الإثبات عليك، فالسجل لا يقل أهمية عن الشاشة.
4. أربع حالات لم تعد تحتاج فيها إلى موافقة
تجيز المادة 10 مكررًا المعالجة دون موافقة صريحة في أربع حالات:
- تنفيذ التزام قانوني بموجب قانون أو حكم أو أمر أو قرار من المحكمة، كالسجلات الضريبية وما يُرفع عن الموظفين للجهات الرسمية.
- البيانات المتاحة للجمهور، بما لا يخالف أحكام القانون. وكون البيانات ظاهرة للعموم لا يعني أنها مباحة لأي استخدام.
- حماية مصلحة حيوية لصاحب البيانات إذا تعذّر الاتصال به.
- تنفيذ عقد يكون صاحب البيانات طرفًا فيه، على أن يتضمن العقد ما يفيد أن المعالجة تتم وفق أحكام القانون.
الشرط الأخير هو العملي. فإن أردت الاستناد إلى مسار العقد مع العملاء والموظفين، فعقودك تحتاج نصًا خاصًا بحماية البيانات. وشروط البيع وعقود العمل واتفاقيات الموردين المكتوبة قبل سبتمبر 2026 نادرًا ما تتضمنه. وإضافة بند قصير أرخص كثيرًا من جمع موافقة كل عميل على حدة.
5. القرارات المؤتمتة: حق في الاعتراض وعنصر بشري في المراجعة
المادة 14 الجديدة هي أقرب ما لدى عُمان إلى قاعدة ملزمة في شأن الذكاء الاصطناعي. وأضاف التعديل تعريفًا جديدًا: المعالجة المؤتمتة هي التي تتم باستخدام برنامج أو نظام إلكتروني يعمل بطريقة آلية وتلقائية، إما دون أي تدخل بشري، أو بإشراف وتدخل بشري محدود.
وتترتب على ذلك ثلاثة التزامات:
- على المتحكم والمعالج عند استخدام المعالجة المؤتمتة اتخاذ الإجراءات والتدابير المناسبة لحماية خصوصية البيانات وسريتها، وعدم الإضرار بصاحبها.
- لصاحب البيانات حق الاعتراض على القرارات الناتجة عن المعالجة المؤتمتة «في جميع الأحوال».
- وعند الاعتراض، يجب إدخال العنصر البشري في مراجعة القرار المعترض عليه، وفق ضوابط تبينها اللائحة. ولم نجد حتى تاريخ النشر أن هذه الضوابط قد صدرت.
ولا يعرّف القانون كلمة «قرار»، فالقراءة الحذرة هي القراءة الواسعة. حد ائتماني يضعه نموذج، أو متقدم لوظيفة يستبعده برنامج فرز، أو طلب يلغيه نظام كشف الاحتيال، أو استرداد يرفضه شات بوت — كلها قرارات بهذا المعنى.
ومخالفة المادة 14 عقوبتها غرامة من 5,000 إلى 10,000 ريال عماني بموجب المادة 27 الجديدة، وهي الشريحة نفسها المقررة لعدم وضع الضوابط التي تتطلبها المادة 13.
وعمليًا تحتاج إلى ثلاثة أشياء: قناة يعترض منها الناس، وقائمة انتظار يراجع فيها شخص الاعتراض، وسجلات تبين ماذا قرر النظام ولماذا. وإن كان الشات بوت لديك قادرًا على رفض أي طلب، فاقرأ كيف يُبنى شات بوت مخصص للأعمال فعليًا وهذه المادة في ذهنك.
6. المحو صار هو الأصل
توجب المادة 15 الجديدة على المتحكم والمعالج محو البيانات الشخصية فور انتهاء الغرض من معالجتها. ولا يجوز الاحتفاظ بها إلا في حالتين: وجود نزاع قائم مع صاحب البيانات، أو تنفيذ التزام قانوني بموجب قانون أو حكم أو أمر أو قرار من المحكمة.
عبارة «قد نحتاجها لاحقًا» ليست في القائمة، ولا «فريق التحليلات يحب البيانات التاريخية». فكل مدة احتفاظ في أنظمتك صارت تحتاج إلى سند: إما نزاع قائم، وإما التزام قانوني محدد كقاعدة الاحتفاظ الضريبية. ومخالفة المادة 15 تقع في شريحة 1,000 إلى 5,000 ريال عماني بموجب المادة 26.
وهذا تغيير هندسي أكثر منه تغيير في السياسات. فالمحو يجب أن يصل إلى النسخ الاحتياطية ونسخ التقارير والملفات المصدّرة، ولهذا مكانه في التصميم لا في حملة تنظيف سنوية. ويشرح مقال الخصوصية بالتصميم في البرمجيات المخصصة كيف يُبنى ذلك.
7. التسويق يحتاج موافقة صريحة مسبقة
كانت المادة 22 تشترط موافقة كتابية قبل إرسال أي مادة إعلانية أو تسويقية ذات أغراض تجارية، وصارت تشترط موافقة صريحة مسبقة على النحو الذي تبينه اللائحة. واللائحة التنفيذية تلزمك أصلًا بإخطار الشخص بوسيلة الإرسال، وتوفير آلية لإيقاف الاستقبال، والتوقف فور طلبه وبلا مقابل.
فإن بُنيت قائمتك التسويقية من سجلات المشتريات أو التسجيل في الفعاليات أو خانة مؤشّرة مسبقًا، فراجعها. والمخالفة تقع في شريحة 1,000 إلى 5,000 ريال.
8. بيانات العاملين وكاميرات المراقبة: إعفاء محدود من التصريح
ما زالت المادة 5 تحظر معالجة الفئات الحساسة، كالبيانات الوراثية والحيوية والصحية وغيرها، إلا بتصريح من الوزارة. والمادة 5 مكررًا الجديدة تضع استثناءات.
فيجوز معالجة بيانات العاملين لدى المتحكم دون تصريح إذا اجتمعت ثلاثة شروط: أن تكون المعالجة في إطار تنظيم العمل الداخلي، وأن تتم وفق أحكام القانون، وألا يُفصح عنها للغير إلا بموافقة كتابية من صاحبها. وتُعفى كذلك المعالجة عبر أجهزة وكاميرات المراقبة المستخدمة استيفاءً للمتطلبات الأمنية الصادرة عن الجهات المختصة. وللوزير أن يضيف حالات أخرى بقرار.
وهذا يهم كل من يشغّل نظام حضور بالبصمة، أو يحتفظ بشهادات طبية في ملفات الموظفين، أو يدير كاميرات مراقبة؛ فقد لا تحتاج هذه الأنشطة إلى تصريح بعد الآن. لكن انتبه لأمرين: الإعفاء يخص التصريح وحده لا بقية القانون، وهل مشاركة بيانات الموارد البشرية مع مزوّد رواتب خارجي أو مع شركة تأمين تُعدّ إفصاحًا للغير؟ هذا سؤال لمستشار مؤهل.
تعريفان تغيّرا أيضًا
صار تعريف البيانات الصحية يشمل صراحة البيانات المتعلقة بتوفير خدمات الرعاية الصحية التي تكشف عن الوضع الصحي للشخص. فسجل المواعيد ومطالبات التأمين صار أصعب أن يُعامل معاملة البيانات العادية.
وصار المتحكم يُعرَّف بأنه الشخص الاعتباري الذي يقوم بالمعالجة بنفسه أو يعهد بها إلى المعالج. وكيف ينطبق ذلك على المؤسسة الفردية ليس واضحًا من النص، وهو نقطة أخرى تُراجع مع مستشار.
جدول الغرامات كما هو الآن
| مخالفة | الغرامة (ريال عماني) | مادة العقوبة |
|---|---|---|
| المادة 10 (الموافقة) | 500 – 2,000 | 25 |
| المواد 15 و16 و17 و18 و20 و22 (المحو، المدقق، المستندات، التعاون، مسؤول الحماية، التسويق) | 1,000 – 5,000 | 26 |
| المادتان 13 و14 (الضوابط، المعالجة المؤتمتة) | 5,000 – 10,000 | 27 |
| المواد 5 و6 و19 و21 (البيانات الحساسة، الأطفال، الإبلاغ عن الاختراق، السرية) | 15,000 – 20,000 | 28 |
| المادة 23 (النقل خارج السلطنة) | 100,000 – 500,000 | 29 |
ويعاقَب الشخص الاعتباري بغرامة من 5,000 إلى 100,000 ريال إذا ارتُكبت الجريمة باسمه أو لحسابه من إدارته أو بموافقتها أو بتسترها أو بإهمالها الجسيم (المادة 30). وتقع إلى جانب ذلك الجزاءات الإدارية بحد أقصى 2,000 ريال لكل مخالفة (المادة 32 من القانون والمادة 44 من اللائحة).
ما لم يتغيّر
لم يُمس حكم النقل خارج السلطنة ولا شريحته ذات الأرقام الستة. وكذلك الإبلاغ عن الاختراق: إلى الإدارة المختصة خلال 72 ساعة من العلم متى هدد الاختراق حقوق أصحاب البيانات، وإلى المتأثرين خلال 72 ساعة متى كان من شأنه أن يسبب ضررًا جسيمًا أو مخاطر عالية. وبقي كما هو تحديد مسؤول حماية البيانات، وسجل أنشطة المعالجة، والتدقيق الخارجي بطلب من الوزارة.
ماذا تفعل هذا الشهر
- أعد صياغة طلبات الموافقة لتتضمن العناصر الأربعة، ورقّم إصداراتها كي تثبت ما رآه كل شخص.
- أضف بندًا لحماية البيانات إلى عقودك — شروط البيع وعقود العمل واتفاقيات الموردين — كي يتاح لك مسار العقد في المادة 10 مكررًا.
- اجرد كل قرار مؤتمت تتخذه أنظمتك بشأن الأشخاص، وابنِ لكل منها مسار اعتراض بمراجعة بشرية.
- استبدل الاحتفاظ المفتوح بالمحو عند انتهاء الغرض، واحتفظ بسجل قصير بالالتزامات القانونية التي تبرر احتفاظًا أطول.
- راجع القوائم التسويقية للتأكد من وجود موافقة صريحة وآلية إيقاف تعمل.
- أعد فحص معالجة الموارد البشرية والكاميرات في ضوء شروط المادة 5 مكررًا قبل التخلي عن أي طلب تصريح.
أسئلة شائعة
متى نفذت تعديلات قانون حماية البيانات الشخصية؟ في 7 سبتمبر 2026. صدر المرسوم السلطاني رقم 68/2026 في 3 سبتمبر 2026، ونُشر في الجريدة الرسمية (العدد 1664) في 6 سبتمبر، وعُمل به من اليوم التالي لنشره. ولا توجد مهلة انتقالية.
هل انتهت مهلة توفيق الأوضاع في فبراير 2025 أم فبراير 2026؟ في فبراير 2026. كانت اللائحة التنفيذية تمنح أصلًا سنة واحدة من 5 فبراير 2024، ثم مدّها القرار الوزاري رقم 6/2025 إلى عامين، فانتهت المهلة في 5 فبراير 2026.
هل أستطيع الآن معالجة بيانات العملاء دون موافقة؟ في الحالات الأربع الواردة في المادة 10 مكررًا فقط: التزام قانوني، أو بيانات متاحة للجمهور، أو مصلحة حيوية مع تعذّر الاتصال بالشخص، أو عقد مع صاحب البيانات يتضمن ما يفيد أن المعالجة تتم وفق القانون. وفيما عدا ذلك تبقى الموافقة الصريحة هي القاعدة.
هل تنطبق المادة 14 الجديدة على الشات بوت الخاص بي؟ إن كان الشات بوت يتخذ قرارات بشأن الأشخاص أو ينفذها — كرفض استرداد أو رفض طلب أو إلغاء حجز — فالجواب الحذر نعم. يجب أن يتمكن الناس من الاعتراض، وأن يراجع شخصٌ القرار المعترض عليه.
هل ما زلت أحتاج تصريحًا لنظام الحضور بالبصمة؟ ربما لا. فالمادة 5 مكررًا تستثني معالجة بيانات العاملين في إطار تنظيم العمل الداخلي، بشرط أن تتم وفق القانون وألا يُفصح عنها للغير دون موافقة كتابية. تحقق من وضعك تحديدًا مع مستشار قبل أن تتخلى عن أي طلب.
هل صار القانون يسري على شركات خارج عُمان؟ يسري على معالجة البيانات الشخصية للأشخاص الطبيعيين في السلطنة، سواء تمت المعالجة داخلها أم خارجها. أما كيف ستنفذه الوزارة على شركة لا وجود لها في عُمان فمسألة أخرى.
يعرض هذا المقال الموقف وفق قانون حماية البيانات الشخصية بعد تعديله بالمرسوم السلطاني رقم 68/2026، ولائحته التنفيذية، كما هما نافذان في 21 أكتوبر 2026، تاريخ نشره، وهو ليس استشارة قانونية. ولم تُحدَّث اللائحة التنفيذية بعدُ وفق التعديلات؛ تحقق من وضعك لدى مستشار مؤهل.
المصادر: المرسوم السلطاني 68/2026 بتعديل بعض أحكام قانون حماية البيانات الشخصية · الترجمة الإنجليزية للمرسوم · الوزارة — المرسوم السلطاني 68/2026 · المرسوم السلطاني 6/2022 — قانون حماية البيانات الشخصية · القرار الوزاري 6/2025 بمد مهلة توفيق الأوضاع · القرار الوزاري 34/2024 — اللائحة التنفيذية
هل تحتاج تحديث أنظمتك وفق التعديلات؟ تبني «ذوات» برمجيات مخصصة وأنظمة أعمال تتضمن سجلات الموافقة ومسارات الاعتراض والمحو منذ التصميم. احجز مكالمة.