اللائحة التنفيذية لقانون حماية البيانات الشخصية — المواد 1–45

في تطبيق أحكام هذه اللائحة، يكون للكلمات والعبارات الواردة فيها المعنى ذاته المنصوص عليه في قانون حماية البيانات الشخصية المشار إليه، كما يكون للكلمات والعبارات الآتية المعنى المبين قرين كل منها، ما لم يقتض سياق النص معن…

يلتزم المتحكم أو المعالج – بحسب الأحوال – بموافاة الإدارة المختصة بأي مستندات أو بيانات أو معلومات وغيرها خلال (٣٠) ثلاثين يوما من تاريخ طلبها.

يجوز للمتحكم في سبيل معالجته للبيانات الشخصية التعاقد مع المعالج، ويكون المعالج في علاقته بالغير فيما يقدمه من خدمات نائبا عن المتحكم، وذلك في نطاق تطبيق أحكام المسؤولية المدنية، والمسؤولية الإدارية أمام الوزارة، ودون ال…

يلتزم المتحكم قبل معالجة البيانات الشخصية بالحصول على الموافقة الصريحة لصاحب البيانات الشخصية، ويشترط للاعتداد بالموافقة الآتي: ١ – أن تصدر الموافقة من شخص كامل الأهلية. ٢ – أن تصدر الموافقة بطريقة واضحة ودون إكراه. ٣ – …

في نطاق تطبيق حكم المادة (٥) من القانون، يلتزم المتحكم بالحصول على تصريح من الوزارة قبل معالجة أي من البيانات الشخصية وفقا للنموذج المعد لذلك، متضمنا البيانات الآتية: ١ – الاسم والعنوان والبريد الإلكتروني لمسؤول حماية ال…

يلتزم المتحكم عند تقديم طلب التصريح بإرفاق سياسة حماية البيانات الشخصية الخاصة به، والتدابير الاحترازية المعتمدة لديه عند حدوث اختراق للبيانات الشخصية.

تتولى الإدارة المختصة دراسة طلب التصريح والبت فيه خلال مدة لا تتجاوز (٤٥) خمسة وأربعين يوما من تاريخ استيفاء البيانات والمستندات المطلوبة، وفي حال رفض الطلب يجب أن يكون القرار مسببا، ويعتبر انقضاء تلك المدة دون رد رفضا ل…

يصدر التصريح من الوزير لمدة لا تزيد على (٥) خمسة أعوام متضمنا بيانات المصرح له، وبعد سداد الرسوم المقررة، ويكون تجديد التصريح لمدة أو مدد مماثلة بذات الإجراءات المنصوص عليها في هذا الفصل.

يلتزم المتحكم بإخطار الإدارة المختصة – على النموذج المعد لذلك – بأي تعديلات في البيانات الواردة في التصريح الصادر له، وذلك خلال (١٥) خمسة عشر يوما من تاريخ إجراء تلك التعديلات.

يلغى التصريح في إحدى الحالات الآتية: ١ – بناء على طلب المتحكم. ٢ – إذا ارتكب المتحكم مخالفة لأحكام القانون أو هذه اللائحة. ٣ – عدم إخطار الإدارة المختصة بالتعديلات على بيانات التصريح خلال المدة المحددة. ٤ – إذا ثبت حصول …

يجب على المتحكم أو المعالج – بحسب الأحوال – الحصول على الموافقة الصريحة لولي أمر الطفل قبل القيام بمعالجة بياناته الشخصية. ويجوز للمتحكم أو المعالج – بحسب الأحوال – أن يطلب من الطفل الحد الأدنى من بيانات ولي أمره، وذلك ب…

يجب على المتحكم أو المعالج – بحسب الأحوال – عند معالجة البيانات الشخصية للطفل التقيد بالضوابط الآتية: ١ – أن يكون الهدف من المعالجة واضحا ومباشرا وآمنا وخاليا من التدليس والتضليل. ٢ – أن تكون المعالجة مقتصرة على الحد الأ…

يجب على المتحكم أو المعالج – بحسب الأحوال – تحديد وتوفير الوسائل التي تمكن ولي أمر الطفل من الوصول إلى البيانات الشخصية لطفله، وذلك لتحديثها وتعديلها.

لا يجوز للمتحكم أو المعالج – بحسب الأحوال – الإفصاح عن البيانات الشخصية للطفل أو مشاركتها مع الغير إلا بعد الحصول على الموافقة الصريحة لولي الأمر بذلك.

ينوب عن الشخص عديم أو ناقص أو فاقد الأهلية وليه أو الوصي أو القيم عليه بحسب الأحوال، وتسري بشأن معالجة بياناته الشخصية الأحكام المنصوص عليها في هذا الفصل.

يجوز لصاحب البيانات الشخصية تقديم طلب كتابي للمتحكم لممارسة أي من حقوقه المنصوص عليها في البنود (أ، ب، ج، د، هـ) من المادة (١١) من القانون وذلك بدون مقابل، ويجب على المتحكم البت في الطلب خلال مدة لا تتجاوز (٤٥) خمسة وأرب…

يجوز للمتحكم رفض طلب صاحب البيانات الشخصية جزئيا أو كليا إذا كان الطلب متكررا بشكل غير مبرر، أو أن تنفيذه يتطلب جهدا غير عادي. وفي جميع الأحوال، يلتزم المتحكم بإخطار صاحب البيانات الشخصية بقرار الرفض مسببا خلال المدة الم…

لصاحب البيانات الشخصية الحق في طلب محو بياناته الشخصية لدى المتحكم في أي من الحالات الآتية: ١ – إذا انتهى الغرض من المعالجة. ٢ – إذا ألغى موافقته على معالجة بياناته، وذلك دون الإخلال بحكم المادة (١٧) من هذه اللائحة. ٣ – …

يحق لصاحب البيانات الشخصية أن يطلب من المتحكم نسخة من بياناته الشخصية المعالجة بصيغة مقروءة وواضحة إلكترونية أو ورقية، شريطة التأكد من خلو النسخة التي قدمها من أي بيانات شخصية تحدد هوية شخص آخر.

يحق لصاحب البيانات الشخصية أن ينقل بياناته الشخصية إلى متحكم جديد، على أن يقوم المتحكم بنقل البيانات الشخصية للمتحكم الجديد إذا كان ملزما قانونا بذلك.

يلتزم المتحكم أو المعالج – بحسب الأحوال – بوضع سياسة حماية البيانات الشخصية في مكان ظاهر يتيح لصاحب البيانات الشخصية الاطلاع عليها قبل معالجة بياناته، على أن تتضمن تلك السياسة – على الأقل – آلية وإجراءات ممارسة صاحب البي…

يجب على المتحكم قبل إرسال أي مادة إعلانية أو تسويقية أو ذات أغراض تجارية لصاحب البيانات الشخصية الالتزام بالآتي: ١ – الحصول على الموافقة الكتابية لصاحب البيانات الشخصية. ٢ – إخطار صاحب البيانات الشخصية بوسيلة إرسال الموا…

يلتزم المتحكم والمعالج بتعيين المدقق الخارجي، وذلك وفق الاشتراطات الآتية: ١ – أن يكون معتمدا ومرخصا له من قبل الوزارة. ٢ – أن يكون مستقلا وغير مرتبط بأي اتصال مباشر أو غير مباشر مع المتحكم أو المعالج. وفي جميع الأحوال، ي…

يجب على المتحكم والمعالج موافاة الإدارة المختصة بنسخة من تقرير المدقق الخارجي خلال مدة لا تتجاوز (٦٠) ستين يوما من تاريخ تعيين المدقق الخارجي.

يحظر على المتحكم والمعالج نشر أو مشاركة أو الإفصاح عن البيانات الشخصية المنصوص عليها في المادة (٥) من القانون إلا في الحدود والحالات المقررة قانونا، أو إذا كان تنفيذا لحكم أو قرار قضائي.

يلتزم المتحكم بضمان سرية البيانات الشخصية وفقا للضوابط والإجراءات الآتية: ١ – وضع واستخدام وتفعيل الأنظمة الإلكترونية من الوصول غير المشروع للبيانات الشخصية، أو تسريبها أو العبث بها أو إساءة استخدامها. ٢ – وضع أنظمة استع…

مع عدم الإخلال بحكم المادة (١٨) من هذه اللائحة، يلتزم المتحكم أو المعالج – بحسب الأحوال – بالاحتفاظ بمستندات عمليات المعالجة، مع مراعاة الضوابط الآتية: ١ – أن يكون سبب الاحتفاظ بمستندات عمليات المعالجة محددا ومشروعا. ٢ –…

يلتزم المتحكم أو المعالج – بحسب الأحوال – بإنشاء سجل خاص لأنشطة معالجة البيانات الشخصية، يتضمن على الأقل الآتي: ١ – بيانات مسؤول حماية البيانات الشخصية. ٢ – وصف فئات البيانات الشخصية لديه وبيانات الأشخاص المصرح لهم بالوص…

يجب على المتحكم تحديث سجل أنشطة المعالجة بشكل مستمر، وتقديمها للإدارة المختصة متى ما طلبت ذلك.

يجب على المتحكم إبلاغ الإدارة المختصة خلال مدة لا تتجاوز (٧٢) اثنتين وسبعين ساعة من وقت علمه بالاختراق إذا كان من شأنه أن يؤدي إلى خطر يهدد حقوق أصحاب البيانات الشخصية. ويجب أن يتضمن البلاغ – على الأقل – الآتي: ١ – وصف و…

يجوز للإدارة المختصة بعد تلقي البلاغ المشار إليه في المادة (٣٠) من هذه اللائحة توثيقه في السجل المعد لذلك، ولها اتخاذ ما تراه مناسبا من الإجراءات الآتية: ١ – تقييم الإجراءات والتدابير التي قام بها المتحكم ومدى مواجهتها ل…

يلتزم المتحكم في حالة اختراق البيانات الشخصية بإخطار صاحب البيانات الشخصية خلال مدة لا تتجاوز (٧٢) اثنتين وسبعين ساعة من علمه بالاختراق، إذا كان من شأن ذلك الاختراق أن يسبب ضررا جسيما أو مخاطر عالية على صاحب البيانات الش…

يلتزم المتحكم بتوثيق حالات اختراق البيانات الشخصية وبيان أسبابها والنتائج المترتبة على وقوعها والإجراءات التصحيحية أو التدابير الفنية والتنظيمية التي تم اتخاذها، والاحتفاظ بها وفقا للمدة التي تحددها الإدارة المختصة، وذلك…

يلتزم المتحكم بتحديد مسؤول حماية البيانات الشخصية، وفق الضوابط الآتية: ١ – أن يكون مؤهلا للقيام بالمهام المنصوص عليها في المادة (٣٥) من هذه اللائحة. ٢ – أن يكون ملما بالقانون وهذه اللائحة وممارسات حماية البيانات الشخصية …

يتولى مسؤول حماية البيانات الشخصية المهام الآتية: ١ – تقديم المقترحات والاستشارات للمتحكم أو المعالج فيما يتعلق بالتزاماتهما الواردة في القانون وهذه اللائحة. ٢ – متابعة تنفيذ سياسات المتحكم أو المعالج المتعلقة بحماية الب…

يجب على المتحكم نشر البيانات المتعلقة بمسؤول حماية البيانات الشخصية، والتي تتضمن اسمه وبيانات التواصل معه بأي وسيلة، ولصاحب البيانات الشخصية الحق في الاتصال بمسؤول حماية البيانات الشخصية في كل المسائل المتعلقة بمعالجة بي…

يلتزم المتحكم قبل نقل أو تحويل البيانات الشخصية إلى خارج حدود سلطنة عمان بالحصول على الموافقة الصريحة لصاحب البيانات الشخصية، وألا يترتب على نقل البيانات أو تحويلها مساس بالأمن الوطني أو المصالح العليا للدولة، ولا يشترط …

يلتزم المتحكم قبل نقل أو تحويل البيانات الشخصية خارج حدود سلطنة عمان بضمان أن لدى جهة المعالجة الخارجية قدرا كافيا من الحماية للبيانات الشخصية لا يقل عن مستوى الحماية المقررة وفقا للقانون وهذه اللائحة.

يجب على المتحكم إجراء تقييم لمستوى الحماية التي توفرها جهة المعالجة الخارجية ومخاطر نقل أو تحويل البيانات الشخصية، على أن يتضمن التقييم على الأخص الآتي: ١ – وصفا لطبيعة وحجم البيانات الشخصية المراد نقلها أو تحويلها، ودرج…

يجوز للوزارة طلب الحصول على نسخة من تقرير التقييم الذي يعده المتحكم للتأكد من مدى توفر مستوى الحماية الكافي لدى جهة المعالجة الخارجية.

يجوز لصاحب البيانات الشخصية أو لأي شخص آخر ذي مصلحة التقدم بشكوى أو بلاغ للإدارة المختصة عن أي مخالفة لأحكام القانون وهذه اللائحة، والقرارات الصادرة تنفيذا له، على النموذج المعد لذلك، خلال مدة أقصاها (٣٠) ثلاثون يوما من …

يحق للمتحكم الرد على الشكوى أو البلاغ المقدم ضده خلال مدة لا تتجاوز (١٤) أربعة عشر يوما من تاريخ إخطاره بذلك.

تتولى الإدارة المختصة البت في الشكوى أو البلاغ خلال (٦٠) ستين يوما من اليوم التالي لانتهاء المدة المحددة في المادة (٤٢) من هذه اللائحة، ويعتبر عدم الرد خلال تلك المدة رفضا له.

يجوز للوزير توقيع أحد الجزاءات الإدارية الآتية في حالة مخالفة أحكام هذه اللائحة: ١ – الإنذار. ٢ – وقف التصريح لحين إزالة المخالفة. ٣ – غرامة إدارية لا تزيد على (٢٠٠٠) ألفي ريال عماني لكل مخالفة. ٤ – إلغاء التصريح.…

يجوز لمن وقع عليه أي من الجزاءات الإدارية المنصوص عليها في هذه اللائحة، أن يتظلم إلى الوزير خلال (٦٠) ستين يوما من تاريخ إخطاره بقرار المخالفة أو علمه به علما يقينيا، ويجب على الوزير البت في التظلم خلال (٣٠) ثلاثين يوما …