Vodič za usklađenost pristanka za kolačiće prema Zakonu o zaštiti ličnih podataka Omana: Kraljevski dekret br. 6 iz 2022. za izdavače u 2026.
Zakon o zaštiti ličnih podataka Omana stigao je kasnije od GCC ekvivalenata Bahreina i Katara, ali sa prednošću arhitekture koja je usvojila lekcije oba. Kraljevski dekret br. 6 iz 2022. proglašen je 9. February 2022., stupio na snagu godinu dana kasnije 13. February 2023. i od tada ga aktivno sprovodi Ministarstvo saobraćaja, komunikacija i informacionih tehnologija. Suštinski oblik Zakona biće odmah poznat svakome ko je implementirao GDPR: zakonite osnove za obradu, prava subjekata podataka, odgovornost rukovaoca-obrađivača, obaveštavanje o povredi, kontrole prekograničnog prenosa i sistem administrativnih sankcija sa novčanim kaznama do OMR 500.000.
Šta omanski PDPL zaista zahteva
Zakon se primenjuje na obradu ličnih podataka lica koja se nalaze u Omanu bez obzira gde je rukovalac ili obrađivač osnovan. Lični podaci su široko definisani kao svi podaci koji direktno ili indirektno identifikuju fizičko lice; osetljivi lični podaci podležu višem pragu pristanka.
Zakon uspostavlja zakonite osnove za obradu po uzoru na GDPR, standardni skup prava subjekata podataka — pristup, ispravka, prenos, brisanje, ograničenje i prigovor — okvir odgovornosti rukovaoca-obrađivača sa obaveznim imenovanjem DPO za kategorije višeg rizika, obaveze obaveštavanja Ministarstva o povredi u roku od 72 sata, kontrole prekograničnog prenosa i sistem administrativnih sankcija.
Kako PDPL tretira pristanak za kolačiće
Omanski PDPL ne sadrži zasebnu odredbu sličnu ePrivacy o kolačićima; kolačići spadaju pod opšti okvir pristanka. Standard je izričit, dobrovoljan, specifičan i informisan pristanak dokazan afirmativnom radnjom. Ministarstvo je potvrdilo da unapred označena polja, implicitni pristanak zaključen iz nastavka pregledanja i grupovani baneri pristanka ne zadovoljavaju prag Zakona.
Praktični učinak je da se kolačići koji nisu strogo neophodni za pružanje usluge ne smeju postavljati pre nego što korisnik da pristanak. Strogo neophodni kolačići — identifikatori sesije, sadržaji korpe, bezbednosni tokeni — mogu se postavljati. Sve ostalo — analitika, oglašavanje, personalizacija, A/B testiranje, snimanje sesije — zahteva prethodni pristanak.
Kako se omanski PDPL razlikuje od GDPR u praksi
Tri razlike su važne pri spajanju CMP-a. Prvo, PDPL zahteva odobrenje Ministarstva za obradu osetljivih ličnih podataka i prekogranični prenos. Drugo, rok za obaveštavanje o povredi čvrsto je postavljen na 72 sata. Treće, PDPL nameće obavezno imenovanje DPO za rukovaoce koji obrađuju osetljive lične podatke ili obrađuju u velikom obimu.
Kako izgleda usklađeni baner za kolačiće prema PDPL-u
Baner prvog sloja mora korisniku predstaviti pravi izbor — prihvati, odbij, upravljaj — gde je opcija odbijanja bar jednako istaknuta kao opcija prihvatanja. Grupisani pristanak je zabranjen; drugi sloj mora omogućiti pristanak po kategorijama koji pokriva najmanje analitiku, oglašavanje i svaku obradu zavisnu od prekograničnog prenosa. Kategorije moraju biti podrazumevano isključene.
Obaveštenje o privatnosti dostupno sa banera mora identifikovati rukovaoca, broj odobrenja Ministarstva, kategorije prikupljenih ličnih podataka, zakonitu osnovu za svaku svrhu obrade, rok čuvanja podataka, kategorije primalaca, prava subjekta podataka, kontaktne podatke DPO-a i kontaktne podatke Ministarstva za pritužbe.
Integracioni obrazac koji prolazi pregled Ministarstva
Referentna implementacija ima četiri pokretna dela: CMP koji podržava podrazumevano-isključeni pristanak po kategorijama; sloj učitavanja oznaka; dnevnik pristanka pohranjen na strani servera; i put povlačenja.
- Oznake analitike — Google Analytics 4, Adobe Analytics, Matomo, Amplitude, Mixpanel, PostHog, Heap — moraju se učitavati samo nakon davanja kategorije analitike.
- Reklamne oznake — Google Ads, Meta Pixel, TikTok Pixel, LinkedIn Insight — moraju biti jednako kontrolisane.
- Alati za snimanje sesija i toplotne mape — Hotjar, Microsoft Clarity, FullStory, Contentsquare — moraju biti iza zasebnih, strožih vrata.
- Obelodanjivanja prekograničnih prenosa moraju biti specifična za svaku jurisdikciju primaoca i upućivati na odobrenje Ministarstva.
Validacija, odobrenje i revizijska pozicija za 2026.
Branjivo omansko postavljanje u 2026. mora proći četiri tehnička provere: čista sesija pregledača servisirana sa omanskog IP adrese mora pre aktiviranja banera proizvesti nula nebitnih kolačića; put odbij-sve mora dovesti do iste pozicije kao sesija bez radnje; tok prihvati-sve mora proizvesti samo oznake kojima je korisnik dao pristanak; i tok povlačenja mora odmah zaustaviti dalja aktiviranja oznaka. Dnevnik pristanka, obaveštenje o privatnosti, dokumentacija imenovanja DPO-a i autorizacije prekograničnih prenosa čine dokumentaciju koju Ministarstvo može zatražiti tokom pregleda usklađenosti.