个人数据保护法 — 第1–32条

为适用本法，下列词语具有下述含义，但上下文另有要求的除外： 主管部：交通、通信与信息技术部。 部长：交通、通信与信息技术部长。 个人数据：通过姓名、公民号码、电子标识符数据、位置数据等一个或多个标识符，或通过与遗传、身体、心智、心理、社会、文化或经济身份有关的一个或多个因素，可以直接或间接识别某一自然人的数据。 遗传数据：涉及遗传或后天获得的遗传特征，并由生物样本分析产生的个人数据。 生物识别数据：通过对身体、心理或行为特征进行特定技术…

本法适用于被处理的个人数据。

本法不适用于下列个人数据处理： （一）保护国家安全或公共利益； （二）国家行政机关单位及其他公法人履行法律规定的职权； （三）控制者履行任何法律、判决或法院决定所规定的法定义务； （四）保护国家的经济及财政利益； （五）保护数据主体的重大生命利益； （六）根据调查机关正式书面请求侦查或预防刑事犯罪； （七）履行数据主体作为一方当事人的合同； （八）在个人或家庭范围内进行处理； （九）经授权机构开展历史、统计、科学、文学或经济研究，但其公…

个人数据依本法受到保护。

除非依实施条例规定的规则和程序事先取得主管部许可，不得处理涉及遗传数据、生物识别数据、健康数据、种族出身、性生活、政治或宗教观点、信仰、刑事定罪或安全措施的个人数据。

除处理符合儿童最佳利益外，未经其监护人同意，不得处理儿童的个人数据；具体依实施条例规定的规则和程序执行。

在不影响网络防御中心法定职权的前提下，主管部负责实施本法，尤其履行下列职责： （一）制定并批准个人数据保护规则和程序，包括必要保障、措施及行为准则； （二）发布个人数据处理所需规则和程序，并核验控制者及处理者的合规情况； （三）接收数据主体提交的举报和投诉，并在实施条例规定的期限内作出处理； （四）与其他国家个人数据保护主管机关合作； （五）就个人数据保护事项向国家行政机关单位及其他公法人提供咨询、支持与协调； （六）依实施条例规定的规…

为保护数据主体的权利，主管部可以采取下列任何措施： （一）就违反本法的行为向控制者或处理者发出警告； （二）命令更正并删除违反本法处理的个人数据； （三）暂时或永久停止处理个人数据； （四）停止向另一国家或国际组织传输个人数据； （五）依实施条例采取其认为保护个人数据所必需的其他措施。…

由主管机关会同部长通过决定指定的主管部工作人员，在实施本法、实施条例及据此作出的决定时，具有司法执法人员的资格。

个人数据仅可在透明、诚信并尊重人格尊严的框架内，且经数据主体明确同意后进行处理。 个人数据处理请求必须采用书面形式，内容清晰、明确且易于理解。控制者应当能够证明数据主体已书面同意处理其数据。…

数据主体享有下列权利： （一）撤回对个人数据处理的同意，但不影响撤回前已进行的处理； （二）请求修改、更新或屏蔽个人数据； （三）取得已处理个人数据的副本； （四）将个人数据转移给另一控制者； （五）请求删除个人数据，但为国家档案保存及文献记录所必需的处理除外； （六）获知其个人数据的任何泄露或侵犯以及为此采取的措施。 上述权利的行使规则和程序由实施条例规定。…

数据主体认为其个人数据处理不符合本法的，可以依实施条例规定的规则和程序向主管部投诉。

控制者应当制定个人数据处理时必须遵守的规则和程序，其中尤其包括： （一）识别处理可能给数据主体造成的风险； （二）个人数据转送及跨境传输的程序和规则； （三）确保处理符合本法的技术及程序性措施； （四）实施条例规定的其他规则或程序。…

控制者在开始处理任何个人数据前，应当书面告知数据主体下列事项： （一）控制者及处理者的资料； （二）个人数据保护负责人的联系方式； （三）处理目的及数据收集来源； （四）对处理及其程序、个人数据披露程度作出的全面准确说明； （五）数据主体的权利，包括访问、更正、转移及更新数据的权利； （六）满足处理条件所需的其他信息。…

控制者及处理者应当遵守主管部规定的规则和程序，确保个人数据处理符合本法。

应主管部要求，控制者及处理者应当指定外部审计员，以核验个人数据处理是否符合本法以及本法第13条所规定的控制者程序和规则。外部审计员的指定规则和程序由实施条例规定。 控制者及处理者还应当向主管部提交外部审计报告副本。…

控制者及处理者应当依实施条例规定的期限和程序保存处理活动的文件记录。

控制者及处理者应当与主管部合作，并在实施条例规定的期限内，提供主管部为依本法行使职权而要求且认为必要的数据和文件。

发生导致个人数据被非法销毁、修改、披露、访问或处理的数据泄露时，控制者应当依实施条例规定的规则和程序通知主管部及数据主体。

控制者应当指定个人数据保护负责人；其选任标准及职责由实施条例规定。

控制者应当保证个人数据的保密性；未经数据主体事先同意，不得公布个人数据，具体依实施条例执行。

控制者向数据主体发送任何商业广告或营销材料前，应当依实施条例取得其书面同意。

在不影响网络防御中心法定职权的前提下，控制者可以依实施条例规定的规则和程序转送个人数据，并允许其传输至阿曼苏丹国境外。 个人数据系违反本法处理，或转送可能损害数据主体的，不得转送。…

在不影响刑法或其他法律规定的更严厉刑罚的前提下，本法所列犯罪依本法规定处罚。

违反本法第14条的，处不少于500阿曼里亚尔且不超过2,000阿曼里亚尔的罚款。

违反本法第15、16、17、18、20或22条的，处不少于1,000阿曼里亚尔且不超过5,000阿曼里亚尔的罚款。

违反本法第13条的，处不少于5,000阿曼里亚尔且不超过10,000阿曼里亚尔的罚款。

违反本法第5、6、19或21条的，处不少于15,000阿曼里亚尔且不超过20,000阿曼里亚尔的罚款。

违反本法第23条的，处不少于100,000阿曼里亚尔且不超过500,000阿曼里亚尔的罚款。

在不影响自然人刑事责任的前提下，若犯罪由法人的董事长、董事会成员、经理或其他负责人以法人名义或为法人利益实施，且经其同意、包庇或因其重大过失而发生，对该法人处不少于5,000阿曼里亚尔且不超过100,000阿曼里亚尔的罚款。

主管法院除罚款外，还可以判决没收用于实施本法所规定犯罪的工具。

在不影响本法规定刑罚的前提下，主管部可以就违反本法、实施条例或据此作出决定的行为实施行政处罚；行政罚款不得超过2,000阿曼里亚尔。