个人数据保护法

第1条

第一章 · 定义及一般规定

为适用本法，下列词语具有下述含义，但上下文另有要求的除外： 主管部：交通、通信与信息技术部。 部长：交通、通信与信息技术部长。 个人数据：通过姓名、公民号码、电子标识符数据、位置数据等一个或多个标识符，或通过与遗传、身体、心智、心理、社会、文化或经济身份有关的一个或多个因素，可以直接或间接识别某一自然人的数据。 遗传数据：涉及遗传或后天获得的遗传特征，并由生物样本分析产生的个人数据。 生物识别数据：通过对身体、心理或行为特征进行特定技术处理而产生的个人数据，例如面部图像或遗传指纹数据。 健康数据：涉及身体、心智及心理健康的个人数据。 处理：对个人数据实施的一项或一系列操作，包括收集、记录、分析、组织、存储、修改、调整、检索、查阅、匹配、合并、屏蔽、删除、销毁，或通过发送、传播、转送、转移、转换及其他方式予以披露或提供。 数据主体：可通过其个人数据识别的自然人。 控制者：确定个人数据处理目的及方式，并自行处理或委托他人处理的人。 处理者：代表控制者处理个人数据的人。 实施条例：本法的实施条例。

第2条

第一章 · 定义及一般规定

本法适用于被处理的个人数据。

第3条

第一章 · 定义及一般规定

本法不适用于下列个人数据处理： （一）保护国家安全或公共利益； （二）国家行政机关单位及其他公法人履行法律规定的职权； （三）控制者履行任何法律、判决或法院决定所规定的法定义务； （四）保护国家的经济及财政利益； （五）保护数据主体的重大生命利益； （六）根据调查机关正式书面请求侦查或预防刑事犯罪； （七）履行数据主体作为一方当事人的合同； （八）在个人或家庭范围内进行处理； （九）经授权机构开展历史、统计、科学、文学或经济研究，但其公开的研究及统计不得使用与数据主体有关的标记或信息，以确保个人数据不能归属于已识别或可识别的自然人； （十）数据已向公众开放且其使用不违反本法。

第4条

第一章 · 定义及一般规定

个人数据依本法受到保护。

第5条

第一章 · 定义及一般规定

除非依实施条例规定的规则和程序事先取得主管部许可，不得处理涉及遗传数据、生物识别数据、健康数据、种族出身、性生活、政治或宗教观点、信仰、刑事定罪或安全措施的个人数据。

第6条

第一章 · 定义及一般规定

除处理符合儿童最佳利益外，未经其监护人同意，不得处理儿童的个人数据；具体依实施条例规定的规则和程序执行。

第7条

第二章 · 主管部的职责与权限

在不影响网络防御中心法定职权的前提下，主管部负责实施本法，尤其履行下列职责： （一）制定并批准个人数据保护规则和程序，包括必要保障、措施及行为准则； （二）发布个人数据处理所需规则和程序，并核验控制者及处理者的合规情况； （三）接收数据主体提交的举报和投诉，并在实施条例规定的期限内作出处理； （四）与其他国家个人数据保护主管机关合作； （五）就个人数据保护事项向国家行政机关单位及其他公法人提供咨询、支持与协调； （六）依实施条例规定的规则和程序，向受托评估控制者和处理者合规情况的服务提供者颁发或撤销许可证； （七）在需要时编制实施本法的指导性表格； （八）定期编制个人数据保护工作报告并在其网站公布； （九）依实施条例建立符合规定条件的控制者及处理者名册。

第8条

第二章 · 主管部的职责与权限

为保护数据主体的权利，主管部可以采取下列任何措施： （一）就违反本法的行为向控制者或处理者发出警告； （二）命令更正并删除违反本法处理的个人数据； （三）暂时或永久停止处理个人数据； （四）停止向另一国家或国际组织传输个人数据； （五）依实施条例采取其认为保护个人数据所必需的其他措施。

第9条

第二章 · 主管部的职责与权限

由主管机关会同部长通过决定指定的主管部工作人员，在实施本法、实施条例及据此作出的决定时，具有司法执法人员的资格。

第10条

第三章 · 数据主体的权利

个人数据仅可在透明、诚信并尊重人格尊严的框架内，且经数据主体明确同意后进行处理。 个人数据处理请求必须采用书面形式，内容清晰、明确且易于理解。控制者应当能够证明数据主体已书面同意处理其数据。

第11条

第三章 · 数据主体的权利

数据主体享有下列权利： （一）撤回对个人数据处理的同意，但不影响撤回前已进行的处理； （二）请求修改、更新或屏蔽个人数据； （三）取得已处理个人数据的副本； （四）将个人数据转移给另一控制者； （五）请求删除个人数据，但为国家档案保存及文献记录所必需的处理除外； （六）获知其个人数据的任何泄露或侵犯以及为此采取的措施。 上述权利的行使规则和程序由实施条例规定。

第12条

第三章 · 数据主体的权利

数据主体认为其个人数据处理不符合本法的，可以依实施条例规定的规则和程序向主管部投诉。

第13条

第四章 · 控制者与处理者的义务

控制者应当制定个人数据处理时必须遵守的规则和程序，其中尤其包括： （一）识别处理可能给数据主体造成的风险； （二）个人数据转送及跨境传输的程序和规则； （三）确保处理符合本法的技术及程序性措施； （四）实施条例规定的其他规则或程序。

第14条

第四章 · 控制者与处理者的义务

控制者在开始处理任何个人数据前，应当书面告知数据主体下列事项： （一）控制者及处理者的资料； （二）个人数据保护负责人的联系方式； （三）处理目的及数据收集来源； （四）对处理及其程序、个人数据披露程度作出的全面准确说明； （五）数据主体的权利，包括访问、更正、转移及更新数据的权利； （六）满足处理条件所需的其他信息。

第15条

第四章 · 控制者与处理者的义务

控制者及处理者应当遵守主管部规定的规则和程序，确保个人数据处理符合本法。

第16条

第四章 · 控制者与处理者的义务

应主管部要求，控制者及处理者应当指定外部审计员，以核验个人数据处理是否符合本法以及本法第13条所规定的控制者程序和规则。外部审计员的指定规则和程序由实施条例规定。 控制者及处理者还应当向主管部提交外部审计报告副本。

第17条

第四章 · 控制者与处理者的义务

控制者及处理者应当依实施条例规定的期限和程序保存处理活动的文件记录。

第18条

第四章 · 控制者与处理者的义务

控制者及处理者应当与主管部合作，并在实施条例规定的期限内，提供主管部为依本法行使职权而要求且认为必要的数据和文件。

第19条

第四章 · 控制者与处理者的义务

发生导致个人数据被非法销毁、修改、披露、访问或处理的数据泄露时，控制者应当依实施条例规定的规则和程序通知主管部及数据主体。

第20条

第四章 · 控制者与处理者的义务

控制者应当指定个人数据保护负责人；其选任标准及职责由实施条例规定。

第21条

第四章 · 控制者与处理者的义务

控制者应当保证个人数据的保密性；未经数据主体事先同意，不得公布个人数据，具体依实施条例执行。

第22条

第四章 · 控制者与处理者的义务

控制者向数据主体发送任何商业广告或营销材料前，应当依实施条例取得其书面同意。

第23条

第四章 · 控制者与处理者的义务

在不影响网络防御中心法定职权的前提下，控制者可以依实施条例规定的规则和程序转送个人数据，并允许其传输至阿曼苏丹国境外。 个人数据系违反本法处理，或转送可能损害数据主体的，不得转送。

第24条

第五章 · 处罚

在不影响刑法或其他法律规定的更严厉刑罚的前提下，本法所列犯罪依本法规定处罚。