حماية البيانات الشخصية في عُمان — ما الذي تغيّر في 7 سبتمبر 2026

في 7 سبتمبر 2026 توقّف قانون حماية البيانات الشخصية في عُمان عن كونه قانونًا محليًا. فقد صدر المرسوم السلطاني 68/2026 ونُشر في الجريدة الرسمية العدد 1664 بتاريخ 6 سبتمبر 2026، وسرى في اليوم التالي، معدِّلًا المادة 2 بحيث يسري القانون على معالجة بيانات الأشخاص الموجودين في عُمان سواء جرت المعالجة داخل السلطنة أو خارجها. فإن كانت لديك قائمة عملاء فيها مقيمون في عُمان، فقد كفّ السؤال عن موقع خادمك عن أن يكون ذا أثر. ولم تُمنح مهلة انتقالية: التعديلات نافذة الآن، والمهلة التي كانت سببًا للتأجيل انتهت في 5 فبراير 2026.

ما الذي تغيّر في 7 سبتمبر 2026

صدر المرسوم السلطاني 68/2026 عن جلالة السلطان هيثم بن طارق، ونُشر في الجريدة الرسمية العدد 1664 في 6 سبتمبر 2026، وسرى في 7 سبتمبر 2026. وهو ليس قانونًا جديدًا ولا يحلّ محل شيء، بل يعيد صياغة مواد بعينها من قانون حماية البيانات الشخصية الصادر بـالمرسوم السلطاني 6/2022. وستة تغييرات منه تخصّ المنشأة العادية.

• المادة 2 — نطاق السريان. صار القانون يسري على معالجة البيانات الشخصية للأشخاص الموجودين في عُمان بصرف النظر عن وقوع المعالجة داخل السلطنة أو خارجها. وكانت الصياغة السابقة أضيق من ذلك.
• المادة 5 مكررًا، جديدة. تحدد أسسًا قانونية بعينها للمعالجة بدل الاستثناءات السابقة: بيانات الموظفين، والمراقبة والكاميرات، والالتزامات القانونية، وضرورة تنفيذ العقد، والبيانات المتاحة للعموم، وحماية المصالح الحيوية.
• المادة 10 معدَّلة، والمادة 10 مكررًا جديدة. تضعان اشتراطات لكيفية طلب الموافقة، لا مجرد وجوبها.
• المادة 14 معدَّلة. تُعرّف المعالجة الآلية بأنها المعالجة التي يقوم بها برنامج أو نظام إلكتروني دون تدخل بشري إطلاقًا أو بإشراف بشري محدود، ويكتسب صاحب البيانات حق الاعتراض على القرار الآلي وإلزام المتحكم بإدخال عنصر بشري لمراجعته.
• المادة 15 معدَّلة. يجب حذف البيانات الشخصية فور تحقق الغرض الذي جُمعت من أجله، ما لم يكن ثمة نزاع قائم أو التزام قانوني بالاحتفاظ بها.
• المادة 22 معدَّلة. تشترط موافقة صريحة قبل إرسال الإعلانات التجارية، وتترك آلية هذه الموافقة للائحة.

ولم يُنص على مهلة انتقالية ولا على موعد للامتثال. فالتعديلات نافذة الآن منذ سبتمبر 2026، وقت كتابة هذه الصفحة، ولا شيء يُنتظر. وهذا يستحق القول صراحة، لأن تاريخ هذا القانون نفسه كان تاريخ انتظار متّصل.

وجودك خارج عُمان لم يعد يضعك خارج القانون

هذا هو التغيير الأرجح أن يطال منشأة لم تفكر يومًا في هذا القانون. فـالمادة 2 بصيغتها المعدَّلة تُخضع للقانون معالجة البيانات الشخصية للأشخاص الموجودين في عُمان، وتقول إن المعالجة مشمولة سواء وقعت داخل السلطنة أو خارجها. فالمعيار هو مكان الشخص، لا مكان الخادم ولا مقر الشركة ولا موضع المعالجة.

وانظر ما الذي يشمله ذلك عمليًا. متجر إلكتروني خليجي مسجَّل في بلد آخر يشحن إلى مسقط ويحتفظ بعناوين التسليم. شركة برمجيات بين عملائها منشآت عُمانية يدخل موظفوها إلى نظامها. عيادة في الخارج تستقبل مواعيد من مرضى في عُمان. وكالة تسويق تدير قائمة بريدية فيها مشتركون عُمانيون. شركة أمّ يحتفظ نظام مواردها البشرية في بلد آخر بملفات موظفين يعملون هنا. لم يكن لأي من هؤلاء حجة ظاهرة على خضوعه للقانون العُماني قبل 7 سبتمبر 2026، وكلهم اليوم داخل المادة 2. وإن كنت تبيع عبر الإنترنت من داخل عُمان فراجع أيضًا دليل البيع الإلكتروني والترخيص. أما ما لا نستطيع تتبّعه في أي مصدر منشور فهو كيف تصل الوزارة إلى متحكم لا وجود له في السلطنة: النص يقرر النطاق، ولا يشرح آلية التنفيذ على كيان أجنبي.

قراءة «الحد الأقصى 2,000 ر.ع.» قراءة ناقصة

يلخّص جزء كبير من التعليقات الاستشارية هذا القانون بأن الغرامة القصوى فيه 2,000 ر.ع. عن كل مخالفة. والرقم حقيقي وموجود في القانون فعلًا: إنه المادة 32، التي تضع سقف الجزاءات الإدارية. لكنه ليس سقف القانون.

وأمران يُقرآن مع الجدول. الأول أن الجزاءات الإدارية الأخرى لدى الوزارة ليست مالية: الإنذار، ووقف تصريح المعالجة أو إلغاؤه. وبالنسبة إلى منشأة يقوم منتجها على معالجة بيانات صحية أو حيوية، فالإلغاء هو العقوبة التي تُنهي النشاط، لا الغرامة. والثاني أن مكتب CMS يذكر الغرامات بموجب المواد المعدَّلة على أنها حتى 2,000 ر.ع. لمخالفات الموافقة في المادة 10، وحتى 10,000 ر.ع. لمخالفات ضوابط المعالجة والمعالجة الآلية. وهذه قراءة مكتب محاماة للنص المعدَّل، فتعامل مع الرقمين على أنهما مصدر ثانوي؛ أما نطاقات الجدول فمأخوذة من نص المرسوم السلطاني 6/2022 نفسه.

من الجهة المنظِّمة

الجهة المنظِّمة هي وزارة النقل والاتصالات وتقنية المعلومات. فليست في عُمان هيئة مستقلة لحماية البيانات ولا مفوّض لها. والوزارة هي التي تتلقى الإخطار بالاختراق، وتبتّ في طلبات تصريح معالجة البيانات الحساسة، وتنظر شكاوى أصحاب البيانات الذين رُفضت طلباتهم أو أُهملت، وتصدر اللائحة التنفيذية. واللائحة النافذة هي القرار الوزاري 34/2024 المعدَّل بـالقرار الوزاري 6/2025.

وتنشر الوزارة على موقعها نص القانون وملخصًا مبسطًا لحقوق أصحاب البيانات. لكنها لا تنشر على تلك الصفحة رقم قرار اللائحة التنفيذية، ولا إجراءات التصريح، ولا الرسوم، ولا المواعيد. وستجد اللائحة نفسها في مكتبة التشريعات لدى الوزارة وفي بوابة البيانات المفتوحة، غير أن التفصيل التشغيلي الذي يحتاجه المتحكم — كيف يتقدم، وإلى من، وبأي مستندات، وبكم — غير مجمّع في أي صفحة حكومية. ويحسن أن تعرف ذلك قبل أن تنفق بعد الظهر كله في البحث عنه.

الموافقة والتسويق المباشر والأسس القانونية الجديدة

يجب أن تكون الموافقة صريحة ومستنيرة، وأن تسبق بدء المعالجة. وقد عُدِّلت المادة 10 وأُضيفت المادة 10 مكررًا، وكلتاهما تتناول كيفية طلب الموافقة، أي الاشتراطات لا مجرد المبدأ. فإن كانت آليتك عندك خانة محددة سلفًا، أو سطرًا مدفونًا في شروط الاستخدام، أو موافقة واحدة مجمّعة تغطي التسويق والتحليلات وتقديم الخدمة معًا، فهي أرجح ما في تشغيلك أن يكون مخالفًا.

والمادة 22 بصيغتها المعدَّلة تشترط موافقة صريحة قبل إرسال الإعلانات التجارية. وهذا هو النص الذي يطال أكبر عدد من المنشآت المنضبطة في غير ذلك، لأن قائمة اشتريتها، أو جمعتها من الإنترنت، أو تضم من اشترى منك مرة، ليست موافقة على الإعلان عليه. أما آلية الحصول على هذه الموافقة وتوثيقها فمتروكة للائحة، واللائحة لم تحددها بعد.

أما المادة 5 مكررًا الجديدة فتعمل في الاتجاه المعاكس، وهي الخبر الجيد الوحيد في المرسوم. إذ تضع أسسًا قانونية محددة للمعالجة بدل الاستثناءات السابقة: بيانات الموظفين، والمراقبة والكاميرات، والالتزامات القانونية، وضرورة تنفيذ العقد، والبيانات المتاحة للعموم، وحماية المصالح الحيوية. وبحسب قراءة decree.om للتعديل، فإن هذا يتيح لصاحب العمل معالجة بيانات موظفيه بما فيها البيانات الحيوية كالبصمة دون تصريح من الوزارة — وهو أمر يعني كل منشأة عُمانية تستخدم جهاز بصمة عند الباب.

والمادة 15 المعدَّلة قصيرة وذات أثر: يجب حذف البيانات الشخصية فور تحقق الغرض الذي جُمعت من أجله، ما لم يكن ثمة نزاع قائم أو التزام قانوني بالاحتفاظ. وليس ثمة مدة احتفاظ منصوص عليها ترجع إليها. فإن كنت تحتفظ بكل سيرة ذاتية وصلتك، وبكل عنوان تسليم استلمته يومًا، وبكل تسجيل لم يكتمل، فموقف القانون الأصلي أنك لا ينبغي أن تحتفظ بها.

مسؤول حماية البيانات مطلوب مهما كان حجمك

على المنشآت تعيين مسؤول لحماية البيانات الشخصية وإتاحة بيانات التواصل معه للعموم. والالتزام قائم بصرف النظر عن حجم المنشأة. فليس في القانون ولا في القرار الوزاري 34/2024 استثناء للمنشآت الصغيرة، ولا حدّ أدنى لعدد الموظفين، ولا حدّ لحجم الإيرادات — فشركة من خمسة أشخاص في الغبرة تحمل الالتزام نفسه الذي يحمله بنك.

المواقيت: 72 ساعة و45 يومًا و60 يومًا

أمامك 72 ساعة لإبلاغ الوزارة باختراق البيانات الشخصية، تُحسب من علم المتحكم بالاختراق لا من وقوعه. وإذا كان الاختراق مرجَّح التسبب في ضرر جسيم أو يمثل خطرًا مرتفعًا على المتضررين، فعليك إبلاغ أصحاب البيانات أنفسهم كذلك. واثنتان وسبعون ساعة مدة قصيرة، وقصرها هو ما يحسم النتيجة: فهي لا تكفي لتبدأ فيها بتحديد المسؤول، ثم تبحث عن قناة التواصل مع الوزارة، ثم تصوغ موقفًا. والمنشآت التي تلتزم بهذا الموعد هي التي حسمت مسبقًا من يتخذ القرار.

وفي المقابل، من يطلب منك محو بياناته أو استرجاعها أو نقلها يجب أن يُجاب خلال 45 يومًا. فإن رفضتَ أو لم تجب أصلًا، جاز له أن يشتكي إلى الوزارة، وأمامها 60 يومًا للبتّ. وسكوت الوزارة يُعدّ رفضًا للشكوى. وهذا يعمل في الاتجاهين: فهو يحمي المتحكم من ملف مفتوح بلا نهاية، ويحرم الشاكي من قرار يستطيع مجادلته.

تصريح البيانات الحساسة، والرسم الذي لا ينشره أحد

معالجة البيانات الشخصية الحساسة — البيانات الصحية والحيوية وما في حكمها — تستلزم تصريحًا من الوزارة قبل البدء. وأمام الوزارة 45 يومًا للبتّ، وعدم الرد يعني رفض الطلب. ويجوز التظلم إلى الوزير، وأمامه 60 يومًا، وعدم الرد يعني رفض التظلم كذلك. فكلا السكوتين رفض، ومعنى ذلك أن الطلب الذي يختفي هو طلب فشل؛ فقيّد اليوم الخامس والأربعين في تقويمك.

ويجب أن يتضمن الطلب بيان التدابير الاحترازية المتّبعة في حال وقوع اختراق — أي أن خطة الاستجابة عندك يجب أن تكون موجودة قبل منح التصريح، لا بعد أول حادثة. ولاحظ تداخل ذلك مع المادة 5 مكررًا الجديدة: فبحسب قراءة decree.om، لم تعد بيانات الموظفين الحيوية التي يعالجها صاحب العمل بحاجة إلى تصريح من الوزارة. أما البيانات الحيوية لغير الموظفين — العملاء والمرضى والزوار — فما زالت بحاجة إليه.

نقل البيانات خارج السلطنة

نقل البيانات خارج السلطنة يستلزم موافقة صريحة من صاحب البيانات، وألا يمسّ النقل الأمن الوطني. وليست هناك قائمة دول ذات حماية كافية، ولا نظام شروط تعاقدية معيارية، ولا آلية منشورة تقوم مقامهما — فموافقة الشخص نفسه هي البوابة.

واقرأ ذلك مع المادة 29 تجد أنها أخطر فقرة تجاريًا في هذه الصفحة. فكل ترتيب حديث معتاد هو نقل: نظام إدارة علاقات عملاء مستضاف في أوروبا، ومكتب رواتب في الهند، ومنصة بريد إلكتروني في الولايات المتحدة، ونظام موارد بشرية للمجموعة في المقر الرئيسي، ونسخة احتياطية سحابية. فإن كانت بيانات أشخاص في عُمان موجودة في أي منها ولم يوافق أصحابها صراحة على النقل، فهذا هو السلوك الذي تسعّره المادة 29 بين 100,000 و500,000 ر.ع. وإذا جمعتَ ذلك مع المادة 2 المعدَّلة بدا الموقف حادًا: فالمتحكم الأجنبي الذي يعالج بيانات مقيمين في عُمان خارجها صار داخل نطاق القانون، وصار — بحكم احتفاظه بها خارج السلطنة — في مرمى أغلى مواده ما لم تكن الموافقة الصريحة موجودة وموثّقة.

القرارات الآلية والذكاء الاصطناعي وحق طلب المراجعة البشرية

تُعرّف المادة 14 المعدَّلة المعالجة الآلية بأنها المعالجة التي يقوم بها برنامج أو نظام إلكتروني دون تدخل بشري إطلاقًا أو بإشراف بشري محدود. ولاحظ الشق الثاني: الإشراف المحدود داخل في التعريف. فمن يلقي نظرة على المخرجات ثم يضغط «موافق» لا يُخرج القرار من نطاق المادة. ويكتسب أصحاب البيانات حق الاعتراض على القرار الآلي وإلزام المتحكم بإدخال عنصر بشري لمراجعته — ومعنى ذلك أنك إن شغّلت نموذجًا يفرز المتقدمين، أو يسعّر وثيقة تأمين، أو يوقف معاملة، أو يرتّب السير الذاتية، فأنت بحاجة إلى مسار يستطيع به شخص في عُمان أن يطلب المراجعة البشرية، وإلى إنسان يمكن إدخاله فعلًا.

ويضع تطوّران قريبان هذا في سياقه، وليس أي منهما قاعدة ملزمة في حماية البيانات. فقد أصدرت الوزارة السياسة العامة للاستخدام الآمن والأخلاقي للذكاء الاصطناعي في 1 أبريل 2025، وهي إرشادات للقطاعين العام والخاص مبنية على مبادئ حوكمة معترف بها دوليًا، لا قانون. وصدر المرسوم السلطاني 50/2026 في 30 أبريل 2026 بإنشاء المنطقة الخاصة بالذكاء الاصطناعي، فمدّ حوافز كالإعفاءات الضريبية والجمركية إلى مشاريع الذكاء الاصطناعي. والملاحظة المهمة هي الجمع بينهما: عُمان تدعو شركات الذكاء الاصطناعي بنص، وتجعل بنص آخر المادة 2 المعدَّلة تسري على أي أداة تتخذ قرارات بشأن أشخاص في عُمان أيًّا كان مكان تشغيلها. فالشركة التي تأخذ الحوافز لا تأخذ معها إعفاءً من قانون حماية البيانات.

ما لا تقوله المصادر الرسمية

• لا رسم منشور للتصريح. لا لدى الوزارة، ولا في الجريدة الرسمية، ولا في أي مراجعة مهنية تمكّنا من الوصول إليها.
• لا إجراء إنفاذ معلن. حتى سبتمبر 2026 لم نتمكن من العثور على قرار إنفاذ عُماني واحد أو غرامة منشورة بموجب هذا القانون. القانون نافذ وواجب النفاذ، لكن ما تفعله الوزارة به عمليًا ليس مسجّلًا بعد.
• صفحة الوزارة نفسها تتوقف قبل التفصيل التشغيلي. تنشر القانون وملخص الحقوق، ولا تنشر رقم قرار اللائحة التنفيذية ولا إجراءات التصريح ولا الرسوم ولا المواعيد.
• المرسوم السلطاني 68/2026 لا يحدد موعدًا للامتثال. فلم تُمنح مهلة انتقالية لتوفيق الأوضاع القائمة مع التعديلات.

والبند الثاني هو الذي يُساء فهمه، فتعامل معه بحذر. فغياب الإنفاذ المعلن ليس دليلًا على أن القانون لن يُنفَّذ. إنما يعني أنه لا يوجد بعد سجل منشور يبيّن كيف تزن الوزارة المخالفة الأولى، وهل تُنذر قبل أن تُغرّم، ومن أي نقطة في نطاق المادة 29 تبدأ، وكيف تتعامل مع متحكم أجنبي. ويعني كذلك أن أحدًا لا يعرف هذه الأمور — بمن فيهم أي مستشار يسعّر لك المخاطرة. فمن يصف ممارسة الإنفاذ العُمانية في سبتمبر 2026 إنما يصف شيئًا لم يقع بعد.

من أين تبدأ، بالترتيب

1. اكتب ما تحتفظ به من بيانات شخصية، وأين يوجد فعليًا. كل قائمة، وكل نظام، وكل نسخة احتياطية، وكل جدول بيانات على حاسوب محمول. وهذه هي الخطوة التي يتجاوزها الناس، وكل ما بعدها يقوم عليها.
2. علّم على ما هو خارج السلطنة. فكل ما هو مستضاف أو متاح خارج عُمان هو تعرّضك للمادة 29. وابدأ بهذه، لأنها الباهظة.
3. عيّن مسؤول حماية البيانات وانشر بيانات التواصل معه. ويجوز أن يكون موظفًا قائمًا لديك. ولا يجوز أن يكون لا أحد.
4. اكتب إجراء الاثنتين والسبعين ساعة، محددًا فيه من يقرر ومن يخاطب الوزارة، وتأكد من أن من قد يكتشف الاختراق في التاسعة مساء الخميس يعلم بوجوده.
5. أصلح آليات الموافقة، وبخاصة في التسويق — فالمادة 22 صارت تشترط موافقة صريحة على الإعلانات التجارية، والقائمة التي اشتريتها ليست موافقة.
6. إن كنت تعالج بيانات صحية أو حيوية لغير موظفيك فتقدّم بطلب التصريح، وقيّد 45 يومًا من تاريخ التقديم، لأن السكوت رفض.

إن أردتَ معالجة هذا بدل قراءته: الجزء الورقي منه — طلب تصريح البيانات الحساسة، ومخاطبة الوزارة، وصياغة إشعار الخصوصية بعربية تصمد أمام موظف — عمل اعتيادي يستطيع مكتبنا في الغبرة القيام به. أما الجزء غير الورقي، وهو أساسًا معرفة ما تحتفظ به من بيانات وأين هي، فلا يقوم به سواك، وهو موضع عضّ القانون.