ما يشترطه PDPL العُماني فعلياً

يسري القانون على معالجة البيانات الشخصية للأفراد المتواجدين في عُمان بصرف النظر عن مقر المتحكم أو المعالج، وعلى المتحكمين والمعالجين العاملين في عُمان بصرف النظر عن موقع أصحاب البيانات. النطاق الجغرافي واسع وينطبق على معظم الناشرين الذين يخدمون القراء العُمانيين. البيانات الشخصية محددة على نطاق واسع بوصفها أي بيانات تُعرّف شخصاً طبيعياً بصورة مباشرة أو غير مباشرة، فيما تخضع البيانات الشخصية الحساسة لعتبة موافقة أعلى وإجراءات حماية إضافية.

يُرسي القانون أسساً مشروعة للمعالجة مستوحاة من GDPR، وطيفاً من حقوق أصحاب البيانات — الوصول والتصحيح والنقل والحذف والتقييد والاعتراض — وإطاراً لمساءلة المتحكم والمعالج مع تعيين إلزامي لمسؤول حماية البيانات للفئات الأعلى مخاطرة، وإشعار الوزارة بالاختراقات في غضون 72 ساعة، وضوابط للنقل عبر الحدود مشروطة بموافقة الوزارة، ونظام عقوبات إدارية بغرامات تصل إلى 500,000 ريال عُماني لكل اختراق.

كيف يعامل PDPL موافقة الكوكيز

لا يتضمن PDPL العُماني حكماً مستقلاً على غرار ePrivacy بشأن الكوكيز؛ إذ تندرج الكوكيز وتقنيات التخزين والوصول المماثلة ضمن إطار الموافقة العام. المعيار هو الموافقة الصريحة الطوعية المحددة والمُستنيرة التي يُثبتها فعل إيجابي. أكدت الوزارة في إرشاداتها الصادرة أن مربعات الاختيار المحددة مسبقاً والموافقة الضمنية المستنتجة من مواصلة التصفح والبانرات المجمّعة لا تستوفي عتبة القانون.

الأثر العملي هو أن الكوكيز والتقنيات المماثلة غير الضرورية تحديداً لتقديم الخدمة يجب ألا تُضبط قبل موافقة المستخدم. يمكن ضبط الكوكيز الضرورية بالضرورة — معرّفات الجلسة ومحتويات العربة ورموز الأمان وكوكيز موازنة التحميل — على أساس أن المستخدم طلب الخدمة بنشاط. كل شيء آخر يستلزم موافقة مسبقة.

أوجه اختلاف PDPL العُماني عن GDPR في التطبيق

ثمة ثلاثة فروق تهم عند توصيل نظام CMP. أولاً، يشترط PDPL تصريحاً من الوزارة لمعالجة البيانات الشخصية الحساسة وللنقل عبر الحدود إلى ولايات قضائية لم تُقيّمها الوزارة بإيجابية. ثانياً، نافذة إشعار الاختراق محددة بصرامة بـ 72 ساعة. ثالثاً، يفرض PDPL تعييناً إلزامياً لمسؤول حماية البيانات DPO للمتحكمين الذين يعالجون البيانات الحساسة أو يعالجون على نطاق واسع.

كيف يبدو بانر الكوكيز المتوافق مع PDPL

يجب أن يمنح المستخدمَ خياراً حقيقياً — قبول أو رفض أو إدارة — حيث يكون خيار الرفض بارزاً على الأقل بقدر خيار القبول. الموافقة المجمّعة محظورة، لذا يجب أن تتيح الطبقة الثانية الاشتراك لكل فئة تشمل على الأقل التحليلات والإعلانات وأي معالجة مرتبطة بالنقل عبر الحدود. يجب أن تكون الفئات افتراضياً معطّلة.

يجب أن يُعرّف إشعار الخصوصية المتاح من البانر المتحكمَ ورقم تصريح الوزارة وفئات البيانات الشخصية المجمّعة والأساس المشروع لكل غرض معالجة وفترة الاحتفاظ بالبيانات وفئات المستلمين وحقوق صاحب البيانات وبيانات تواصل DPO وبيانات تواصل الوزارة للشكاوى.

نمط التكامل الذي يجتاز مراجعة الوزارة

التنفيذ المرجعي له أربعة مكونات متحركة: نظام CMP يدعم الاشتراك الافتراضي المعطّل لكل فئة، وطبقة تحميل العلامات التي تطبّق حالة الموافقة، وسجل موافقة مخزّن من جانب الخادم، ومسار سحب سهل على الأقل بقدر المنح الأصلي.

• علامات التحليلات — Google Analytics 4, Adobe Analytics, Matomo, Amplitude, Mixpanel, PostHog, Heap — يجب تحميلها فقط بعد منح فئة التحليلات.
• علامات الإعلانات — Google Ads, Meta Pixel, TikTok Pixel, LinkedIn Insight, ومزايدو الهيدر البرنامجيون — يجب تقييدها بالمثل.
• أدوات إعادة تشغيل الجلسة وخرائط الحرارة — Hotjar, Microsoft Clarity, FullStory, Contentsquare — يجب أن تقع خلف بوابة منفصلة وأكثر صرامة.
• إفصاحات النقل عبر الحدود يجب أن تكون محددة لكل ولاية قضائية مستلمة وتُشير إلى تصريح الوزارة.

الموقف من التحقق والتصريح والتدقيق لعام 2026

يجب أن يجتاز النشر العُماني القابل للدفاع عنه في 2026 أربعة فحوصات تقنية: إنتاج جلسة متصفح نظيفة من IP عُماني صفراً من الكوكيز غير الضرورية قبل التصرف في البانر؛ وأن يُنتج مسار رفض الكل الموقف ذاته كجلسة عدم الإجراء؛ وأن يُنتج مسار قبول الكل فقط العلامات التي وافق عليها المستخدم؛ وأن يوقف مسار السحب إطلاق العلامات فوراً. تُشكّل وثائق التصريح والتدقيق — سجل الموافقة وإشعار الخصوصية ونتائج تقييم أثر حماية البيانات وأوراق تعيين DPO وتصاريح النقل عبر الحدود — ما قد تطلبه الوزارة خلال مراجعة الامتثال.