Закон о защите персональных данных

Статья 1

Глава I · Определения и общие положения

Для целей настоящего Закона следующие слова и выражения имеют указанные ниже значения, если контекст не требует иного: Министерство — Министерство транспорта, связи и информационных технологий. Министр — министр транспорта, связи и информационных технологий. Персональные данные — данные, которые позволяют идентифицировать физическое лицо прямо или косвенно путем обращения к одному или нескольким идентификаторам, таким как имя, гражданский номер, данные электронных идентификаторов или сведения о местонахождении, либо к одному или нескольким факторам, относящимся к генетической, физической, умственной, психологической, социальной, культурной или экономической идентичности. Генетические данные — персональные данные о наследуемых или приобретенных генетических характеристиках, полученные в результате анализа биологического образца. Биометрические данные — персональные данные, полученные в результате специальной технической обработки физических, психологических или поведенческих характеристик, например изображения лица или данных генетического отпечатка. Данные о здоровье — персональные данные о физическом, умственном и психологическом здоровье. Обработка — операция или совокупность операций с персональными данными, включая сбор, запись, анализ, систематизацию, хранение, изменение, адаптацию, извлечение, просмотр, согласование, объединение, блокирование, удаление, уничтожение или раскрытие посредством отправки, распространения, передачи, преобразования либо предоставления иным способом. Субъект персональных данных — физическое лицо, которое может быть идентифицировано по его персональным данным. Контролер — лицо, определяющее цели и средства обработки персональных данных и осуществляющее такую обработку самостоятельно либо поручающее ее другому лицу. Обработчик — лицо, обрабатывающее персональные данные от имени контролера. Регламент — исполнительный регламент настоящего Закона.

Статья 2

Глава I · Определения и общие положения

Настоящий Закон применяется к персональным данным, которые подвергаются обработке.

Статья 3

Глава I · Определения и общие положения

Настоящий Закон не применяется к обработке персональных данных в следующих случаях: а) защита национальной безопасности или общественных интересов; б) осуществление подразделениями государственного административного аппарата и иными публичными юридическими лицами полномочий, возложенных на них законом; в) исполнение юридической обязанности, возложенной на контролера законом, судебным решением или постановлением суда; г) защита экономических и финансовых интересов государства; д) защита жизненно важного интереса субъекта персональных данных; е) выявление или предотвращение уголовного преступления на основании официального письменного запроса органов расследования; ж) исполнение договора, стороной которого является субъект персональных данных; з) обработка в личном или семейном контексте; и) исторические, статистические, научные, литературные или экономические исследования, проводимые уполномоченными организациями, при условии, что в опубликованных исследованиях и статистике не используются указания или ссылки на субъекта данных и данные не могут быть отнесены к идентифицированному или идентифицируемому физическому лицу; к) данные общедоступны и их использование не противоречит настоящему Закону.

Статья 4

Глава I · Определения и общие положения

Персональные данные считаются защищенными в соответствии с настоящим Законом.

Статья 5

Глава I · Определения и общие положения

Запрещается обрабатывать персональные данные, относящиеся к генетическим, биометрическим данным, данным о здоровье, расовому происхождению, половой жизни, политическим или религиозным взглядам, убеждениям, судимости либо мерам безопасности, без предварительного получения разрешения Министерства в соответствии с правилами и процедурами, установленными Регламентом.

Статья 6

Глава I · Определения и общие положения

Запрещается обрабатывать персональные данные ребенка без согласия его законного представителя, кроме случаев, когда такая обработка отвечает наилучшим интересам ребенка, в соответствии с правилами и процедурами, установленными Регламентом.

Статья 7

Глава II · Задачи и полномочия Министерства

Без ущерба для полномочий Центра киберзащиты Министерство отвечает за применение настоящего Закона и, в частности: а) разрабатывает и утверждает правила и процедуры защиты персональных данных, включая необходимые гарантии, меры и кодексы поведения; б) устанавливает правила и процедуры обработки и проверяет их соблюдение контролерами и обработчиками; в) принимает и рассматривает сообщения и жалобы субъектов данных в срок, установленный Регламентом; г) сотрудничает с органами по защите персональных данных других государств; д) консультирует, поддерживает и координирует подразделения государственного административного аппарата и иные публичные юридические лица по вопросам защиты данных; е) выдает и отзывает лицензии поставщиков услуг, которым поручается оценка соблюдения Закона контролерами и обработчиками, в соответствии с Регламентом; ж) при необходимости разрабатывает рекомендованные формы для применения Закона; з) готовит периодические отчеты о деятельности в области защиты данных и публикует их на своем сайте; и) ведет реестр контролеров и обработчиков, отвечающих установленным требованиям, в порядке, определенном Регламентом.

Статья 8

Глава II · Задачи и полномочия Министерства

Для защиты прав субъектов персональных данных Министерство вправе принять любую из следующих мер: а) предупредить контролера или обработчика о нарушении настоящего Закона; б) потребовать исправления и удаления персональных данных, обработанных с нарушением Закона; в) временно или постоянно приостановить обработку; г) приостановить передачу персональных данных другому государству или международной организации; д) принять иную меру, которую Министерство считает необходимой для защиты персональных данных, в порядке, установленном Регламентом.

Статья 9

Глава II · Задачи и полномочия Министерства

Сотрудники Министерства, определенные решением компетентного органа по согласованию с Министром, наделяются полномочиями судебного контроля при применении настоящего Закона, Регламента и принятых во исполнение Закона решений.

Статья 10

Глава III · Права субъекта персональных данных

Обработка персональных данных допускается только прозрачно, добросовестно, с уважением человеческого достоинства и после получения явно выраженного согласия субъекта персональных данных. Запрос на обработку должен быть письменным, ясным, прямо сформулированным и понятным. Контролер обязан доказать наличие письменного согласия субъекта данных на обработку.

Статья 11

Глава III · Права субъекта персональных данных

Субъект персональных данных вправе: а) отозвать согласие на обработку без ущерба для обработки, проведенной до отзыва; б) требовать изменения, обновления или блокирования персональных данных; в) получить копию обрабатываемых персональных данных; г) передать персональные данные другому контролеру; д) требовать удаления персональных данных, кроме случаев, когда обработка необходима для национального архивного хранения и документирования; е) получать уведомления о любом нарушении безопасности или неправомерном использовании его данных и о принятых в связи с этим мерах. Правила и процедуры осуществления этих прав устанавливаются Регламентом.

Статья 12

Глава III · Права субъекта персональных данных

Если субъект персональных данных полагает, что обработка его данных не соответствует настоящему Закону, он вправе подать жалобу в Министерство в соответствии с правилами и процедурами, установленными Регламентом.

Статья 13

Глава IV · Обязанности контролера и обработчика

Контролер обязан установить правила и процедуры, соблюдаемые при обработке персональных данных. Они должны, в частности, включать: а) определение рисков, которым субъект данных может подвергнуться вследствие обработки; б) процедуры и правила перемещения и трансграничной передачи персональных данных; в) технические и организационные меры, обеспечивающие обработку в соответствии с настоящим Законом; г) иные правила или процедуры, предусмотренные Регламентом.

Статья 14

Глава IV · Обязанности контролера и обработчика

До начала обработки персональных данных контролер обязан письменно уведомить субъекта данных о следующем: а) сведения о контролере и обработчике; б) контактные данные ответственного за защиту персональных данных; в) цель обработки и источник получения данных; г) полное и точное описание обработки, ее процедур и уровней раскрытия персональных данных; д) права субъекта данных, включая право на доступ, исправление, передачу и обновление; е) иная информация, необходимая для соблюдения условий обработки.

Статья 15

Глава IV · Обязанности контролера и обработчика

Контролер и обработчик обязаны соблюдать правила и процедуры, установленные Министерством для обеспечения обработки персональных данных в соответствии с настоящим Законом.

Статья 16

Глава IV · Обязанности контролера и обработчика

По требованию Министерства контролер и обработчик обязаны назначить внешнего аудитора для проверки того, что обработка персональных данных осуществлялась в соответствии с настоящим Законом и правилами и процедурами контролера, предусмотренными статьей 13. Правила и процедуры назначения внешнего аудитора устанавливаются Регламентом. Контролер и обработчик также обязаны предоставить Министерству копию отчета внешнего аудитора.

Статья 17

Глава IV · Обязанности контролера и обработчика

Контролер и обработчик обязаны хранить документы об операциях обработки в течение сроков и в порядке, установленных Регламентом.

Статья 18

Глава IV · Обязанности контролера и обработчика

Контролер и обработчик обязаны сотрудничать с Министерством и в срок, установленный Регламентом, предоставлять запрошенные данные и документы, которые Министерство считает необходимыми для осуществления полномочий по настоящему Закону.

Статья 19

Глава IV · Обязанности контролера и обработчика

При нарушении безопасности персональных данных, которое приводит к их незаконному уничтожению, изменению, раскрытию, доступу или обработке, контролер обязан уведомить Министерство и субъекта персональных данных в соответствии с правилами и процедурами, установленными Регламентом.

Статья 20

Глава IV · Обязанности контролера и обработчика

Контролер обязан назначить ответственного за защиту персональных данных. Критерии его выбора и обязанности устанавливаются Регламентом.

Статья 21

Глава IV · Обязанности контролера и обработчика

Контролер обязан обеспечивать конфиденциальность персональных данных и не публиковать их без предварительного согласия субъекта данных в порядке, установленном Регламентом.

Статья 22

Глава IV · Обязанности контролера и обработчика

До направления субъекту персональных данных рекламных или маркетинговых материалов коммерческого характера контролер обязан получить его письменное согласие в порядке, установленном Регламентом.

Статья 23

Глава IV · Обязанности контролера и обработчика

Без ущерба для полномочий Центра киберзащиты контролер вправе перемещать персональные данные и разрешать их передачу за пределы Султаната Оман в соответствии с правилами и процедурами, установленными Регламентом. Перемещение персональных данных запрещается, если они были обработаны с нарушением настоящего Закона либо если такое перемещение может причинить вред субъекту данных.

Статья 24

Глава V · Ответственность

Без ущерба для более строгого наказания, предусмотренного Уголовным кодексом или иным законом, за преступления, указанные в настоящем Законе, применяются предусмотренные им наказания.