قانون حماية البيانات الشخصية في عُمان: سبعة أشياء يغيّرها داخل أنظمتك
قانون حماية البيانات الشخصية في سلطنة عُمان نافذ منذ 2023. صدر بالمرسوم السلطاني رقم 6/2022، ونصّت المادة 4 من المرسوم على العمل به بعد انقضاء سنة من نشره، ثم تبعته اللائحة التنفيذية في 2024. فإن كانت شركتك تحتفظ بسجلات عملاء أو ملفات موظفين أو تسجيلات كاميرات أو قائمة تسويقية، فالقانون ينطبق عليك. ولا إعفاء فيه للمنشآت الصغيرة.
ومعظم ما كُتب عن هذا القانون كتبه محامون لمحامين، وينتهي عند عبارة «عليك مراجعة سياساتك». وهذا المقال هو النصف الآخر: سبعة أشياء يغيّرها داخل البرمجيات التي تشغّلها فعلًا.
أولًا، السؤال الذي يطرحه الجميع
هل ينطبق عليّ إن كنت أخدم عملاء عُمانيين فقط ولا عمليات دولية لديّ؟ نعم. فالقانون يحكم معالجة البيانات الشخصية لأشخاص في السلطنة. وغياب العملاء الأجانب يضيّق التزامًا واحدًا — النقل خارج السلطنة — ولا يلغي شيئًا مما عداه.
هل ينطبق على بيانات الموظفين؟ سجلات الموظفين بيانات شخصية. وكذلك طلبات التوظيف، والسيرة الذاتية القابعة في بريد أحد المديرين منذ ثمانية عشر شهرًا.
مهلة توفيق الأوضاع انتهت أصلًا
هذه أهم من تاريخ النفاذ، وهي الجزء الذي تُسقطه معظم الملخصات.
فاللائحة التنفيذية، الصادرة بالقرار الوزاري 34/2024، دخلت حيّز النفاذ في 5 فبراير 2024 وحملت مهلة توفيق أوضاع مدتها سنة. وقد انقضت تلك المهلة في 5 فبراير 2025. ومنذ ذلك الحين لا يوجد غطاء انتقالي — فالالتزامات منطبقة وواجبة النفاذ، والوزارة تعتمد مدققين خارجيين لتقييم الامتثال.
والنتيجة العملية لشركة لم تبدأ بعد أنه لا توجد درجة جزئية على «العمل جارٍ». فالمستندات المذكورة أدناه إمّا موجودة أو غير موجودة، وأول مرة تكتشف فيها معظم الشركات أيّهما هي حين يسأل أحدٌ من الخارج.
العقوبات متدرّجة، وشريحة واحدة أثقل من البقية بكثير
لا يحمل القانون غرامة واحدة معلنة، بل يوزّع شرائح مختلفة على مواد مختلفة:
| مخالفة المادة | الغرامة (ريال عماني) |
|---|---|
| المادة 14 | 500 – 2,000 |
| المواد 15 و16 و17 و18 و20 و22 | 1,000 – 5,000 |
| المادة 13 | 5,000 – 10,000 |
| المواد 5 و6 و19 و21 | 15,000 – 20,000 |
| المادة 23 | 100,000 – 500,000 |
وتقع الجزاءات الإدارية، بحد أقصى 2,000 ريال، بشكل منفصل تحت المادة 32.
وتستحق الشريحة العليا وقفة. فالمادة 23 تحكم نقل البيانات الشخصية خارج السلطنة، وهي المخالفة الوحيدة التي سعّرها القانون بستة أرقام. ومعنى ذلك أن أغلى خطأ متاح لك تحت هذا القانون هو قرار بنية تحتية — أين تقع قاعدة بياناتك، وإلى أين تتناسخ نسخك الاحتياطية، وعلى خوادم أي مورّد SaaS تهبط بيانات نظام علاقات العملاء لديك. ليست خانة موافقة تسويقية. إنها معمارية.
ولهذا السبب أيضًا فإن قواعد أين يجوز استضافة بيانات الشركات ليست موضوعًا منفصلًا عن حماية البيانات. إنه الموضوع نفسه منظورًا إليه من جهة أخرى.
التغييرات السبعة
القانون ينصّ على التزامات. وما يلي هو ما تعنيه تلك الالتزامات داخل قاعدة بيانات وقاعدة شفرة — الترجمة الهندسية، وهي الموضع الذي يتحقق فيه الامتثال أو لا يتحقق.
1. الموافقة تُلتقَط، لا تُفترَض
تشترط المادة 10 الموافقة الصريحة، وأن يكون الطلب مكتوبًا وبصورة واضحة وصريحة ومفهومة.
وبلغة الأنظمة، هذه ليست خانة اختيار. إنها سجل: ما الذي وافق عليه الشخص بالضبط، وبأي صياغة، وفي أي تاريخ، ومن أي نموذج، وهل سحب موافقته بعد ذلك. وعمود منطقي اسمه marketing_optin لا يجيب أيًّا من هذه الأسئلة بعد ستة أشهر حين يسأل أحدهم لماذا تصله رسائلك.
وما يعنيه هذا عمليًا: جدول موافقات لا حقل موافقة، يخزّن نسخة النص المعروض، وطابعًا زمنيًا، والمصدر، وواقعة السحب. أما الخانات المؤشّرة مسبقًا، والموافقة المحشورة داخل شروط الاستخدام، فلا تصمد أمام اشتراط موافقة صريحة ومفهومة.
2. عليك أن تعرف لماذا تحتفظ بكل فئة بيانات
لا لماذا تحتفظ بـ«بيانات العملاء»، بل لماذا تحتفظ بكل حقل. رقم الهاتف، وصورة البطاقة الشخصية، وتاريخ الميلاد الذي جمعه أحدهم في 2019 لسبب لم يعد أحد يذكره.
والتغيير النظامي هنا حصر بيانات يُصان باستمرار، لا يُنتَج مرة واحدة من أجل تدقيق. والنسخة المعمّرة منه عمليًا توثيق يعيش بجوار مخطط قاعدة البيانات، بحيث تُلزِم إضافةُ عمود جديد باتخاذ قرار عن غرضه ومدة حفظه. أما جدول البيانات الذي يُعدّ للمدقق فيبقى دقيقًا أسبوعًا واحدًا.
3. عليك أن تقدر على إخراج كل ما تحتفظ به عن شخص واحد
طلب الاطلاع استعلامٌ. فإن كانت تلبيته تعني أن يكتب مهندس استعلامات SQL خاصة عبر ستة جداول ونظامين قديمين وأرشيف بريد، فأنت لا تملك عملية امتثال — تملك جهدًا بطوليًا لن يتكرر بانتظام.
ابنِها دالةً لا معروفًا. مدخل واحد: معرّف. ومخرَج واحد: سجل كامل مُهيكل لكل ما لديك، من كل نظام.
واللحظة التي يصير فيها هذا مؤلمًا هي اللحظة التي تكتشف فيها في كم مكانٍ تسكن بيانات عملائك فعلًا داخل شركتك. وذلك الاكتشاف أثمن عادةً من الطلب الذي أثاره.
4. قابلية النقل تعني تصديرًا مقروءًا آليًا
إنتاج ملف PDF ليقرأه إنسان ليس هو إنتاج بيانات تستطيع مؤسسة أخرى استيرادها. صمّم التصدير بيانات مُهيكلة من البداية؛ والنسخة التي يقرأها الإنسان عرضٌ لها.
5. الحذف يجب أن يكون حقيقيًا، والاحتفاظ يجب أن تحكمه قاعدة
كل فئة بيانات تحتاج جوابًا عن سؤال «كم مدة، وماذا بعدها». وعلى الحذف أن يحذف فعلًا — من النسخ الاحتياطية، ومن قاعدة بيانات التقارير التي نسي الجميع أنها نسخة، ومن أداة التحليلات، ومن ملف CSV صدّره مدير مبيعات إلى حاسوبه في مارس.
والأخير لا يُحلّ بالبرمجة، ولهذا فالضبط العملي يكون في المنبع: قلّل عدد الأماكن التي يمكن نسخ البيانات إليها. فكل تكامل يدفع بيانات شخصية إلى نظام آخر هو مكان ستضطر للحذف منه لاحقًا. وهذا هو الانضباط ذاته الذي يقتضي تحديد أي نظام يملك أي معلومة — لسبب مختلف، وبالجواب نفسه.
6. عليك أن تقدر على اكتشاف الاختراق في وقت يسمح بالإبلاغ
الموعد هو سبب وجود هذا القسم. فبموجب اللائحة التنفيذية، على المتحكّم إخطار الدائرة المختصة بالوزارة خلال 72 ساعة من علمه بالاختراق الذي يهدّد حقوق أصحاب البيانات، وإخطار المتأثرين خلال المدة نفسها متى تسبّب الاختراق بضرر جسيم أو مخاطر عالية.
اقرأ ذلك بوصفه متطلبًا هندسيًا لا قانونيًا. فاثنتان وسبعون ساعة من العلم تعني أنك ستكتب الإخطار والتحقيق ما زال مفتوحًا — فالسؤال ليس هل تستطيع كتابته، بل هل تستطيع أنظمتك أن تخبرك بما تضعه فيه. والتزام إبلاغ لا تستطيع الوفاء به أسوأ من عدمه، لأنه يحوّل حادثة أمنية إلى إخفاق امتثالي أيضًا.
والاكتشاف عمل غير لامع، وأكثره أشياء إما أن تملكها أو لا: تسجيل وصول يوثّق من قرأ ماذا ومتى، وتنبيهات على أحجام وصول غير معتادة للسجلات، ومدة حفظ لتلك السجلات تكفي للتحقيق. فإن كان لن ينتبه أحد إلى موظف يصدّر جدول العملاء كاملًا بعد ظهر يوم خميس، فتلك هي الفجوة. والضوابط التي تسدّها هي نفسها الواردة في الخط الأساسي للأمن السيبراني للشركات العُمانية، ولهذا ينبغي التخطيط للالتزامين معًا لا بيد شخصين مختلفين.
7. معالِجوك مسؤوليتك أنت
كل طرف ثالث يلمس بيانات شخصية نيابةً عنك — مزوّد الاستضافة، ومنصة البريد، وأداة التحليلات، ومركز الاتصال المُسنَد خارجيًا، والمستقل الذي يملك حساب دخول إلى قاعدة البيانات — جزء من وضعك الامتثالي.
احتفظ بسجل: من، وأي بيانات، وبأي أساس قانوني، وبموجب أي عقد، ومُستضافة أين. وعمود «مُستضافة أين» هو الذي يربط الأمر بالمادة 23، وهو الأرجح أن يكون فارغًا.
البيانات الشخصية الحساسة نظامٌ قائم بذاته
الفئة التي تباغت الشركات هي البيانات الشخصية الحساسة — الفئات الخاصة كالبيانات الصحية والوراثية والحيوية، والأصل العرقي، والمعتقد الديني أو الفلسفي، والسجل الجنائي.
ويتغيّر أمران حين تحتفظ بها.
معالجتها خاضعة لتصريح من الوزارة، ويستلزم الطلب أن تبيّن التدابير الاحترازية التي اعتمدتها في حال وقوع اختراق للبيانات الشخصية. أي أنك مطالَب بوصف وضعك الأمني قبل الحادثة، كتابةً، لجهة تنظيمية.
وعتبة الاحتفاظ بها أدنى مما يُظنّ. فالشركة المتوسطة التي تعتقد أنها لا تحتفظ ببيانات حساسة تجد غالبًا أنها تفعل: شهادات طبية في ملفات الموارد البشرية، ومطالبات تأمين، وأنظمة حضور بالبصمة، وقارئ باب يعمل بالبصمة أو بالتعرّف على الوجه، ومعلومات إعاقة جُمعت لأغراض المرافق. ولا شيء من ذلك يبدو سجلًا صحيًا؛ وكلها قد تُعامَل معاملته.
والتوجيه العملي قصير. قبل أن تفترض أن هذا القسم لا يعنيك، اكتب قائمة بالأنظمة التي تحتفظ بأي مما ورد في الفقرة السابقة، واحمل القائمة — لا الافتراض — إلى مستشار مؤهّل. [يوصى بمراجعة متخصص]
هل أحتاج مسؤول حماية بيانات؟
توجب المادة 20 على المتحكم تحديد مسؤول لحماية البيانات، وفق الشروط الواردة في اللائحة التنفيذية. أما هل تستوفي منشأتك تلك الشروط تحديدًا فسؤال يُطرح على مستشار مؤهل لا على مقال.
وما يستحق القول على كل حال: في الشركة المتوسطة يُسنَد هذا الدور عادةً إلى شخص يشغل أصلًا وظيفة بدوام كامل، ولا ينجح إلا إذا رافقته صلاحية إيقاف الأمور. فمسؤول حماية بيانات يمكن أن يتجاوزه من يريد إطلاق التكامل لقبٌ لا ضابط.
ماذا سيطلب المدقق المعتمد
تعتمد وزارة النقل والاتصالات وتقنية المعلومات مدققين خارجيين لتقييم امتثال القطاع الخاص للقانون ولائحته التنفيذية. وأيًّا كانت قائمة التدقيق تحديدًا، فالمستندات التي تجعل التقييم يمضي بسلاسة ثابتة، ولا يمكن إنتاج أي منها بسرعة:
- حصر البيانات، بغرض ومدة حفظ لكل فئة
- سجلات الموافقة، موضّحةً الصياغة والتواريخ
- سجل المعالِجين، بمواقع الاستضافة
- دليل على تلبية طلب اطلاع من أوله إلى آخره
- سجلات الوصول، ودليل على أن أحدًا يقرؤها
- توثيق ما يحدث عند الاشتباه في اختراق
وإن أردت معرفة نتيجتك اليوم، فحاول إنتاج هذه الستة هذا الأسبوع. ستتضح الفجوات خلال يوم.
من أين تبدأ
ابدأ بسجل المعالِجين وبسؤال أين يخزّن كل واحد منهم البيانات. فهو الأسرع تجميعًا، والأكثر إثارة للقلق عادةً، وهو يقابل مباشرةً الالتزام الوحيد في هذا القانون المسعّر بنصف مليون ريال.
ثم الحصر. ثم الموافقة. وتأتي آلية طلبات الاطلاع أخيرًا، لأن بناءها قبل معرفة أين تسكن البيانات بناءُ استعلام على خريطة لا تملكها.
أسئلة شائعة
متى دخل قانون حماية البيانات العُماني حيّز النفاذ؟ صدر القانون بالمرسوم السلطاني رقم 6/2022، ونصّت المادة 4 من المرسوم على العمل به بعد انقضاء سنة من نشره. والنشر كان في 13 فبراير 2022، أي أن القانون نافذ منذ مطلع 2023. وتبعته اللائحة التنفيذية في 2024.
ما أقصى غرامة؟ أثقل شريحة في القانون هي 100,000 إلى 500,000 ريال عماني، وتتعلق بالمادة 23 الخاصة بنقل البيانات الشخصية خارج السلطنة. أما بقية الشرائح فتتراوح بين 500 و20,000 ريال، والجزاءات الإدارية بحد أقصى 2,000 ريال بموجب المادة 32.
هل ينطبق القانون على شركة بلا عملاء أجانب؟ نعم. فهو يتعلق ببيانات أشخاص في السلطنة. وغياب العمليات الدولية يمسّ التزام النقل خارج السلطنة وحده.
هل يلزمني تعيين مسؤول حماية بيانات؟ توجب المادة 20 على المتحكم تحديد مسؤول وفق شروط اللائحة التنفيذية. وهل تستوفي منشأتك تلك الشروط سؤالٌ لمستشار مؤهل.
هل أستطيع الاستمرار في استخدام خدمة سحابية دولية؟ ربما، لكن هذا هو القرار الذي سعّره القانون أثقل تسعير، وهو محكوم كذلك بقواعد الاستضافة والحوسبة السحابية في السلطنة. عامِله قرارًا معماريًا يستوجب استشارة، لا تفضيلًا في المشتريات.
هل تكفي سياسة خصوصية؟ لا. سياسة الخصوصية هي المخرَج الظاهر للامتثال لا الامتثال نفسه. وما يُقيَّم هو قدرة أنظمتك على فعل ما تدّعيه تلك السياسة.
كم لدينا من الوقت للإبلاغ عن اختراق للبيانات؟ 72 ساعة من العلم به، إلى الدائرة المختصة بالوزارة، متى كان الاختراق يهدّد حقوق أصحاب البيانات — وإلى المتأثرين خلال المدة نفسها متى تسبّب بضرر جسيم أو مخاطر عالية. والعدّاد يبدأ بالعلم، لا بلحظة اكتمال فهمك لما جرى.
هل يُعدّ نظام الحضور بالبصمة بيانات حساسة؟ البيانات الحيوية تقع ضمن الفئات الخاصة، ومعالجة البيانات الشخصية الحساسة خاضعة لتصريح. وأنظمة الحضور والتحكم في الدخول موضع شائع لأن يكون هذا صحيحًا دون أن يقرّره أحد. تحقّق ممّا تخزّنه أنظمة مبناك ومواردك البشرية فعلًا قبل أن تستنتج غير ذلك.
هذا المقال ملخص للقرّاء من أهل الأعمال حتى 21 أغسطس 2026، وليس استشارة قانونية. النص المعتبر هو القانون ولائحته التنفيذية؛ تحقّق من وضعك لدى مستشار مؤهل.
المصادر: المرسوم السلطاني 6/2022 — قانون حماية البيانات الشخصية (النص الكامل) · الوزارة — برنامج الاعتماد · Clyde & Co — صدور اللائحة التنفيذية لقانون حماية البيانات الشخصية · Pinsent Masons — نفاذ لائحة حماية البيانات في عُمان
ذات صلة: سياسة الخصوصية الخاصة بـ«ذوات» · نبني برمجيات مخصصة وأنظمة أعمال بهذه المتطلبات مصمَّمة فيها منذ البداية. احجز مكالمة.