Vodič za usklađenost suglasnosti za kolačiće prema Zakonu o zaštiti osobnih podataka Omana: Kraljevski dekret br. 6 iz 2022. za izdavače 2026.
Zakon o zaštiti osobnih podataka Omana stigao je kasnije od GCC ekvivalenata Bahreina i Katara, ali s prednosti arhitekture koja je usvojila lekcije oba. Kraljevski dekret br. 6 iz 2022. proglašen je 9. February 2022., stupio je na snagu godinu dana kasnije 13. February 2023. i od tada ga aktivno primjenjuje Ministarstvo prometa, komunikacija i informacijskih tehnologija. Suštinski oblik Zakona bit će odmah poznat svakome tko je implementirao GDPR: zakonite osnove za obradu, prava ispitanika, odgovornost voditelja-izvršitelja obrade, obavijest o povredi, kontrole prekograničnog prijenosa i administrativni sankcijski režim koji uključuje novčane kazne do OMR 500.000 uz mogući zatvor za najozbiljnije kategorije.
Što omansko PDPL zapravo zahtijeva
Zakon se primjenjuje na obradu osobnih podataka osoba koje se nalaze u Omanu bez obzira na to gdje je voditelj ili izvršitelj obrade osnovan. Osobni podaci definirani su široko kao svi podaci koji izravno ili neizravno identificiraju fizičku osobu; osjetljivi osobni podaci podliježu višem pragu suglasnosti.
Zakon uspostavlja zakonite osnove za obradu po uzoru na GDPR, standardni skup prava ispitanika — pristup, ispravak, prijenos, brisanje, ograničenje i prigovor — okvir odgovornosti voditelja-izvršitelja obrade s obveznim imenovanjem DPO-a za rizičnije kategorije, obveze obavještavanja Ministarstva o povredi u roku od 72 sata, kontrole prekograničnog prijenosa i administrativni sankcijski režim.
Kako PDPL tretira suglasnost za kolačiće
Omansko PDPL ne sadrži zasebnu odredbu sličnu ePrivacy o kolačićima; kolačići spadaju pod opći okvir suglasnosti. Standard je izričita, dobrovoljna, specifična i informirana suglasnost dokazana afirmativnom radnjom. Ministarstvo je u izdanim smjernicama potvrdilo da unaprijed označeni okviri, implicitna suglasnost zaključena iz nastavka pregledavanja i skupne suglasnosti banneri ne zadovoljavaju prag Zakona.
Praktični učinak je da se kolačići koji nisu strogo nužni za pružanje usluge ne smiju postaviti prije nego što korisnik da suglasnost. Strogo nužni kolačići — identifikatori sesije, sadržaji košarice, sigurnosni tokeni — mogu se postaviti. Sve ostalo — analitika, oglašavanje, personalizacija, A/B testiranje, snimanje sesije — zahtijeva prethodnu suglasnost.
Kako se omansko PDPL razlikuje od GDPR-a u praksi
Tri razlike su važne pri spajanju CMP-a. Prvo, PDPL zahtijeva odobrenje Ministarstva za obradu osjetljivih osobnih podataka i za prekogranični prijenos. Drugo, rok za obavijest o povredi čvrsto je postavljen na 72 sata. Treće, PDPL nameće obvezno imenovanje DPO-a za voditelje koji obrađuju osjetljive osobne podatke ili obrađuju u velikom opsegu.
Kako izgleda usklađeni banner za kolačiće prema PDPL-u
Banner prvog sloja mora korisniku predstaviti pravi izbor — prihvati, odbij, upravljaj — gdje je opcija odbijanja barem jednako istaknuta kao opcija prihvaćanja. Skupna suglasnost je zabranjena; drugi sloj mora omogućiti opt-in po kategorijama pokrivajući najmanje analitiku, oglašavanje i svaku obradu ovisnu o prekograničnom prijenosu. Kategorije moraju biti zadano isključene.
Obavijest o privatnosti dostupna s bannera mora identificirati voditelja, broj odobrenja Ministarstva, kategorije prikupljenih osobnih podataka, zakonitu osnovu za svaku svrhu obrade, rok čuvanja podataka, kategorije primatelja uključujući podizvoditelje izvan Omana, prava ispitanika, kontaktne podatke DPO-a i kontaktne podatke Ministarstva za pritužbe.
Integracijski obrazac koji prolazi pregled Ministarstva
Referentna implementacija ima četiri pokretna dijela: CMP koji podržava zadano-isključeni opt-in po kategorijama; sloj učitavanja oznaka; dnevnik suglasnosti pohranjen na strani poslužitelja; i put povlačenja barem jednako lak kao originalno davanje.
- Oznake analitike — Google Analytics 4, Adobe Analytics, Matomo, Amplitude, Mixpanel, PostHog, Heap — moraju se učitavati samo nakon dodjele kategorije analitike.
- Oznake oglašavanja — Google Ads, Meta Pixel, TikTok Pixel, LinkedIn Insight — moraju biti jednako kontrolirane.
- Alati za snimanje sesija i toplinske karte — Hotjar, Microsoft Clarity, FullStory, Contentsquare — moraju biti iza zasebnih, strožih vrata.
- Objave prekograničnih prijenosa moraju biti specifične za svaku primateljsku jurisdikciju i upućivati na odobrenje Ministarstva.
Validacija, odobrenje i pozicija revizije za 2026.
Obranjivo omansko postavljanje u 2026. mora proći četiri tehničke provjere: čista sesija preglednika poslužena s omanske IP adrese mora prije aktiviranja bannera proizvesti nula ne-nužnih kolačića; put odbij-sve mora rezultirati istom pozicijom kao sesija bez radnje; tok prihvati-sve mora proizvesti samo oznake na koje je korisnik pristao; i tok povlačenja mora odmah zaustaviti daljnja aktiviranja oznaka. Dnevnik suglasnosti, obavijest o privatnosti, dokumentacija o imenovanju DPO-a i autorizacije prekograničnih prijenosa čine dokumentaciju koju Ministarstvo može zatražiti tijekom pregleda usklađenosti.