Kaj omansko PDPL dejansko zahteva

Zakon se nanaša na obdelavo osebnih podatkov posameznikov v Omanu, ne glede na to, kje ima sedež upravljavec ali obdelovalec. Osebni podatki so široko opredeljeni kot vsi podatki, ki neposredno ali posredno identificirajo fizično osebo; občutljivi osebni podatki so podvrženi višjemu pragu privolitve.

Zakon določa zakonite podlage za obdelavo po zgledu GDPR, standardni nabor pravic posameznikov — dostop, popravek, prenos, izbris, omejitev in ugovor — okvir odgovornosti upravljavca-obdelovalca z obveznim imenovanjem DPO za bolj tvegane kategorije, obveznosti obveščanja ministrstva o kršitvah v 72 urah, nadzor čezmejnih prenosov in sistem upravnih sankcij.

Kako PDPL obravnava privolitev piškotkov

Omansko PDPL ne vsebuje ločene določbe v slogu ePrivacy o piškotkih; piškotki spadajo pod splošni okvir privolitve. Standard je izrecna, prostovoljna, specifična in informirana privolitev, izkazana s potrditvenim dejanjem. Ministrstvo je v svojih izdanih smernicah potrdilo, da vnaprej označena polja, implicitna privolitev, sklepana iz nadaljnjega brskanja, in skupinska pasica privolitve ne izpolnjujejo praga Zakona.

Praktični učinek je, da piškotkov, ki niso nujno potrebni za zagotavljanje storitve, ni dovoljeno nastaviti, preden uporabnik privoli. Nujno potrebne piškotke — identifikatorje seje, vsebino košarice, varnostne žetone — je mogoče nastaviti. Vse ostalo — analitika, oglaševanje, personalizacija, testiranje A/B, ponovna predvajanje seje — zahteva predhodno privolitev.

Kako se omansko PDPL v praksi razlikuje od GDPR

Pri priključitvi CMP so pomembne tri razlike. Prvič, PDPL zahteva dovoljenje ministrstva za obdelavo občutljivih osebnih podatkov in čezmejne prenose. Drugič, okno za obvestilo o kršitvi je trdno nastavljeno na 72 ur. Tretjič, PDPL nalaga obvezno imenovanje DPO za upravljavce, ki obdelujejo občutljive osebne podatke ali obdelujejo v velikem obsegu.

Kako je videti skladna pasica piškotkov po PDPL

Pasica prve plasti mora uporabniku predstaviti resnično izbiro — sprejmi, zavrni, upravljaj — kjer je možnost zavrnitve vsaj tako izrazita kot možnost sprejema. Skupinska privolitev je prepovedana; druga plast mora omogočati izbiro po kategorijah. Kategorije morajo biti privzeto izklopljene.

Obvestilo o zasebnosti, dostopno s pasice, mora identificirati upravljavca, številko dovoljenja ministrstva, kategorije zbranih osebnih podatkov, zakonito podlago za vsak namen obdelave, obdobje hrambe podatkov, kategorije prejemnikov, pravice posameznika, kontaktne podatke DPO in kontaktne podatke ministrstva za pritožbe.

Integracijski vzorec, ki prestane pregled ministrstva

Referenčna implementacija ima štiri premikajočih se delov: CMP, ki podpira privzeto izklopljeno privolitev po kategorijah; plast za nalaganje oznak; dnevnik privolitev, shranjen na strani strežnika; in pot za umik.

• Oznake za analitiko — Google Analytics 4, Adobe Analytics, Matomo, Amplitude, Mixpanel, PostHog, Heap — je treba naložiti šele po odobritvi kategorije analitike.
• Oznake za oglaševanje — Google Ads, Meta Pixel, TikTok Pixel, LinkedIn Insight — je treba podobno nadzorovati.
• Orodja za ponovitev seje in toplotne zemljevide — Hotjar, Microsoft Clarity, FullStory, Contentsquare — morajo biti za ločenimi, strožjimi vrati.
• Razkritja čezmejnih prenosov morajo biti specifična za vsako prejemniško jurisdikcijo in se sklicevati na dovoljenje ministrstva.

Preverjanje, dovoljenje in revizijsko stanje za leto 2026

Branljiva omanska namestitev leta 2026 mora prestati štiri tehnična preverjanja: čista seja brskalnika iz omanskega IP-naslova mora pred aktiviranjem pasice ustvariti nič nebistvenih piškotkov; pot zavrni-vse mora povzročiti enak položaj kot seja brez dejanja; tok sprejmi-vse mora ustvariti samo oznake, h katerim je uporabnik privolil; in tok umika mora takoj ustaviti nadaljnje aktivacije oznak. Dnevnik privolitev, obvestilo o zasebnosti, dokumentacija o imenovanju DPO in pooblastila za čezmejne prenose tvorijo dokumentacijo, ki jo ministrstvo lahko zahteva med pregledom skladnosti.