Panduan Kepatuhan Persetujuan Cookie Undang-Undang Perlindungan Data Pribadi Oman: Dekrit Kerajaan No. 6 Tahun 2022 untuk Penerbit di 2026
Undang-Undang Perlindungan Data Pribadi Oman hadir lebih lambat dari padanan GCC Bahrain dan Qatar, namun dengan keunggulan arsitektur yang menyerap pelajaran dari keduanya. Dekrit Kerajaan No. 6 Tahun 2022 diundangkan pada 9 February 2022, mulai berlaku setahun kemudian pada 13 February 2023, dan sejak itu aktif ditegakkan oleh Kementerian Transportasi, Komunikasi dan Teknologi Informasi — regulator yang ditunjuk Undang-Undang sebagai otoritas yang berwenang. Bentuk substantif Undang-Undang akan segera akrab bagi siapa saja yang telah menerapkan GDPR: dasar hukum pemrosesan, hak subjek data, akuntabilitas pengontrol-pemroses, pemberitahuan pelanggaran, kontrol transfer lintas batas, dan rezim sanksi administratif dengan denda hingga OMR 500.000 ditambah kemungkinan penjara untuk kategori paling serius.
Apa yang Sebenarnya Disyaratkan PDPL Oman
Undang-Undang berlaku untuk pemrosesan data pribadi individu yang berlokasi di Oman terlepas dari di mana pengontrol atau pemroses berdomisili, dan untuk pengontrol serta pemroses yang beroperasi di Oman. Data pribadi didefinisikan secara luas sebagai data apa pun yang mengidentifikasi orang alami secara langsung atau tidak langsung; data pribadi sensitif tunduk pada ambang persetujuan yang lebih tinggi.
Undang-Undang menetapkan dasar hukum pemrosesan berdasarkan GDPR, daftar standar hak subjek data — akses, koreksi, transfer, penghapusan, pembatasan, dan keberatan — kerangka akuntabilitas pengontrol-pemroses dengan penunjukan DPO wajib untuk kategori berisiko lebih tinggi, kewajiban pemberitahuan pelanggaran ke Kementerian dalam 72 jam, kontrol transfer lintas batas, dan rezim sanksi administratif.
Bagaimana PDPL Memperlakukan Persetujuan Cookie
PDPL Oman tidak memuat ketentuan terpisah bergaya ePrivacy tentang cookie; cookie termasuk dalam kerangka persetujuan umum. Standarnya adalah persetujuan yang eksplisit, sukarela, spesifik, dan terinformasi yang dibuktikan dengan tindakan afirmatif. Kementerian dalam panduan yang diterbitkannya telah menegaskan bahwa kotak yang telah dicentang sebelumnya, persetujuan implisit yang disimpulkan dari penelusuran berkelanjutan, dan banner persetujuan terbundel tidak memenuhi ambang Undang-Undang.
Efek praktisnya adalah cookie dan teknologi serupa yang tidak mutlak diperlukan untuk memberikan layanan tidak boleh ditetapkan sebelum pengguna memberikan persetujuan. Cookie yang mutlak diperlukan — pengidentifikasi sesi, isi keranjang belanja, token keamanan — dapat ditetapkan. Semua hal lainnya — analitik, periklanan, personalisasi, pengujian A/B, pemutaran ulang sesi — memerlukan persetujuan terlebih dahulu.
Bagaimana PDPL Oman Berbeda dari GDPR dalam Praktik
Tiga perbedaan penting saat menyambungkan CMP. Pertama, PDPL memerlukan izin Kementerian untuk pemrosesan data pribadi sensitif dan transfer lintas batas ke yurisdiksi yang tidak dinilai Kementerian secara menguntungkan. Kedua, jendela pemberitahuan pelanggaran ditetapkan dengan tegas pada 72 jam. Ketiga, PDPL mewajibkan penunjukan DPO bagi pengontrol yang memproses data pribadi sensitif atau memproses dalam skala besar.
Tampilan Banner Cookie yang Patuh PDPL
Banner lapisan pertama harus menyajikan pilihan nyata kepada pengguna — terima, tolak, kelola — di mana opsi penolakan setidaknya semenonjol opsi penerimaan. Persetujuan terbundel dilarang; lapisan kedua harus memungkinkan opt-in per kategori yang mencakup minimal analitik, periklanan, dan pemrosesan yang bergantung pada transfer lintas batas. Kategori harus secara default nonaktif.
Pemberitahuan privasi yang dapat diakses dari banner harus mengidentifikasi pengontrol, nomor izin Kementerian, kategori data pribadi yang dikumpulkan, dasar hukum setiap tujuan pemrosesan, periode retensi data, kategori penerima termasuk sub-pemroses di luar Oman, hak subjek data, detail kontak DPO, dan detail kontak Kementerian untuk pengaduan.
Pola Integrasi yang Lolos Tinjauan Kementerian
Implementasi referensi memiliki empat bagian bergerak: CMP yang mendukung opt-in default-nonaktif per kategori; lapisan pemuatan tag yang menegakkan status persetujuan secara ketat; log persetujuan yang disimpan di sisi server; dan jalur penarikan yang setidaknya semudah pemberian awal.
- Tag analitik — Google Analytics 4, Adobe Analytics, Matomo, Amplitude, Mixpanel, PostHog, Heap — hanya boleh dimuat setelah kategori analitik diberikan.
- Tag periklanan — Google Ads, Meta Pixel, TikTok Pixel, LinkedIn Insight — harus dikontrol dengan cara serupa.
- Alat pemutaran ulang sesi dan peta panas — Hotjar, Microsoft Clarity, FullStory, Contentsquare — harus berada di balik gerbang terpisah yang lebih ketat.
- Pengungkapan transfer lintas batas harus spesifik untuk setiap yurisdiksi penerima dan merujuk pada izin Kementerian.
Validasi, Izin, dan Postur Audit untuk 2026
Penerapan Oman yang dapat dipertahankan pada 2026 harus melewati empat pemeriksaan teknis: sesi browser bersih yang dilayani dari alamat IP Oman harus menghasilkan nol cookie non-esensial sebelum banner ditindaklanjuti; jalur tolak-semua harus menghasilkan postur yang sama seperti sesi tanpa tindakan; aliran terima-semua harus menghasilkan hanya tag yang disetujui pengguna; dan aliran penarikan harus segera menghentikan penembakan tag lebih lanjut. Log persetujuan, pemberitahuan privasi, dokumentasi penunjukan DPO, dan otorisasi transfer lintas batas membentuk dokumentasi yang dapat diminta Kementerian selama tinjauan kepatuhan.