Panduan Pematuhan Persetujuan Kuki Undang-Undang Perlindungan Data Peribadi Oman: Dekri Diraja No. 6 Tahun 2022 untuk Penerbit pada 2026
Undang-Undang Perlindungan Data Peribadi Oman tiba lebih lewat daripada padanan GCC Bahrain dan Qatar, tetapi dengan kelebihan seni bina yang menyerap pengajaran daripada kedua-duanya. Dekri Diraja No. 6 Tahun 2022 diisytiharkan pada 9 February 2022, berkuat kuasa setahun kemudian pada 13 February 2023, dan telah dikuatkuasakan secara aktif sejak itu oleh Kementerian Pengangkutan, Komunikasi dan Teknologi Maklumat. Bentuk substantif Undang-Undang akan serta-merta dikenali oleh sesiapa yang telah melaksanakan GDPR: asas sah untuk pemprosesan, hak subjek data, akauntabiliti pengawal-pemproses, pemberitahuan pelanggaran, kawalan pemindahan merentas sempadan, dan rejim penalti pentadbiran dengan denda sehingga OMR 500,000.
Apa yang Sebenarnya Diperlukan PDPL Oman
Undang-Undang terpakai kepada pemprosesan data peribadi individu yang berada di Oman tanpa mengira di mana pengawal atau pemproses ditubuhkan. Data peribadi ditakrifkan secara luas sebagai sebarang data yang mengenal pasti seseorang secara langsung atau tidak langsung; data peribadi sensitif tertakluk kepada ambang persetujuan yang lebih tinggi.
Undang-Undang mewujudkan asas sah pemprosesan berdasarkan GDPR, senarai standard hak subjek data — akses, pembetulan, pemindahan, pemadaman, sekatan dan bantahan — rangka kerja akauntabiliti pengawal-pemproses dengan perlantikan DPO mandatori untuk kategori berisiko lebih tinggi, kewajipan pemberitahuan pelanggaran kepada Kementerian dalam masa 72 jam, dan kawalan pemindahan merentas sempadan.
Bagaimana PDPL Menangani Persetujuan Kuki
PDPL Oman tidak mengandungi peruntukan berasingan gaya ePrivacy tentang kuki; kuki termasuk dalam rangka kerja persetujuan umum. Piawaiannya ialah persetujuan eksplisit, sukarela, spesifik dan bermaklumat yang dibuktikan dengan tindakan afirmatif. Kementerian telah mengesahkan bahawa kotak yang telah ditanda terlebih dahulu, persetujuan tersirat yang disimpulkan daripada penyemakan imbas berterusan, dan banner persetujuan berbungkus tidak memenuhi ambang Undang-Undang.
Kesan praktikalnya ialah kuki yang tidak mutlak diperlukan untuk menyampaikan perkhidmatan tidak boleh ditetapkan sebelum pengguna bersetuju. Kuki yang mutlak diperlukan — pengecam sesi, kandungan troli, token keselamatan — boleh ditetapkan. Selebihnya — analitik, pengiklanan, pemperibadian, ujian A/B, main semula sesi — memerlukan persetujuan terlebih dahulu.
Bagaimana PDPL Oman Berbeza daripada GDPR dalam Amalan
Tiga perbezaan penting semasa menyambung CMP. Pertama, PDPL memerlukan permit Kementerian untuk pemprosesan data peribadi sensitif dan pemindahan merentas sempadan. Kedua, tetingkap pemberitahuan pelanggaran ditetapkan dengan tegas pada 72 jam. Ketiga, PDPL mengenakan pelantikan DPO mandatori untuk pengawal yang memproses data peribadi sensitif atau memproses dalam skala besar.
Rupa Banner Kuki yang Mematuhi PDPL
Banner lapisan pertama mesti membentangkan pilihan sebenar kepada pengguna — terima, tolak, urus — dengan pilihan tolak sekurang-kurangnya semenonjol pilihan terima. Persetujuan berbungkus dilarang; lapisan kedua mesti membenarkan opt-in mengikut kategori. Kategori mesti secara lalai dimatikan.
Notis privasi yang boleh diakses daripada banner mesti mengenal pasti pengawal, nombor permit Kementerian, kategori data peribadi yang dikumpulkan, asas sah bagi setiap tujuan pemprosesan, tempoh penyimpanan data, kategori penerima, hak subjek data, butiran hubungan DPO, dan butiran hubungan Kementerian untuk aduan.
Corak Integrasi yang Lulus Semakan Kementerian
Pelaksanaan rujukan mempunyai empat bahagian bergerak: CMP yang menyokong opt-in lalai-dimatikan mengikut kategori; lapisan pemuatan tag; log persetujuan yang disimpan di sebelah pelayan; dan laluan penarikan balik.
- Tag analitik — Google Analytics 4, Adobe Analytics, Matomo, Amplitude, Mixpanel, PostHog, Heap — mesti dimuatkan hanya selepas kategori analitik diberikan.
- Tag pengiklanan — Google Ads, Meta Pixel, TikTok Pixel, LinkedIn Insight — mesti dikawal dengan cara yang sama.
- Alat main semula sesi dan peta haba — Hotjar, Microsoft Clarity, FullStory, Contentsquare — mesti berada di belakang get yang berasingan dan lebih ketat.
- Pendedahan pemindahan merentas sempadan mesti khusus bagi setiap bidang kuasa penerima dan merujuk permit Kementerian.
Pengesahan, Permit dan Postur Audit untuk 2026
Penyebaran Oman yang boleh dipertahankan pada 2026 mesti lulus empat semakan teknikal: sesi penyemak imbas bersih yang dilayan daripada alamat IP Oman mesti menghasilkan sifar kuki bukan penting sebelum banner diambil tindakan; laluan tolak-semua mesti menghasilkan postur yang sama seperti sesi tanpa tindakan; aliran terima-semua mesti menghasilkan hanya tag yang dipersetujui pengguna; dan aliran penarikan balik mesti segera menghentikan penembakan tag selanjutnya. Log persetujuan, notis privasi, dokumentasi pelantikan DPO dan kebenaran pemindahan merentas sempadan membentuk dokumentasi yang boleh diminta oleh Kementerian semasa semakan pematuhan.