شركتي تعمل في عُمان. ماذا يطلب منا القانون حين يقرأ وكيل ذكاء اصطناعي بياناتنا؟

القانون الذي ينطبق عليك

صدر قانون حماية البيانات الشخصية بالمرسوم السلطاني رقم 6/2022. وصدرت لائحته التنفيذية بالقرار الوزاري رقم 34/2024. وتؤرخها الوزارة بتاريخ 4 فبراير 2024. وتطبّقهما وزارة النقل والاتصالات وتقنية المعلومات، عن طريق الإدارة المختصة بحماية البيانات الشخصية. وتتلقى هذه الإدارة الشكاوى والبلاغات عن الاختراقات، وتبتّ في طلبات التصاريح.

وعدّل المرسوم السلطاني رقم 68/2026 القانون في 3 سبتمبر 2026. وبدأ العمل به من اليوم التالي لنشره في الجريدة الرسمية. وصار القانون يسري على البيانات الشخصية للأشخاص الطبيعيين في سلطنة عُمان، سواء جرت المعالجة داخل سلطنة عُمان أو خارجها. فمزوّد النموذج الأجنبي الذي يعالج بيانات عملائك يدخل في نطاق القانون.

ولا يسري القانون المعدّل على بعض أنواع المعالجة، منها المعالجة لحماية الأمن الوطني أو المصلحة العامة، والمعالجة التي تقوم بها وحدات الجهاز الإداري للدولة وغيرها من الأشخاص الاعتبارية العامة في حدود اختصاصاتها المقررة قانونًا. ولا يسري أيضًا على معالجة الشخص للبيانات في إطار شخصي أو أسري ما لم تُنشر. وتخضع الوحدات الحكومية لسياسة مستقلة لحماية البيانات الشخصية صدرت بالتعميم رقم 6/2024.

هل يجوز للوكيل أن يقرأ البيانات الشخصية أصلًا؟

القاعدة الأصلية صارمة. فلا يجوز معالجة البيانات الشخصية، ولا تغيير الغرض من معالجتها، إلا في إطار الشفافية والأمانة واحترام كرامة الإنسان، وبعد الحصول على الموافقة الصريحة لصاحبها. ويجب أن تستطيع إثبات هذه الموافقة. ويجب أن يكون طلب الموافقة مكتوبًا بصورة واضحة وصريحة. ويجب أن يذكر بياناتك وبيانات المعالج لديك، وطريقة التواصل مع مسؤول حماية البيانات الشخصية، وأهداف المعالجة وطبيعتها.

وتجيز تعديلات 2026 المعالجة دون الموافقة الصريحة في أربع حالات:

• التزام قانوني يقع عليك بموجب قانون، أو حكم، أو أمر، أو قرار من المحكمة.
• بيانات متاحة للجمهور، بشرط ألا تخالف المعالجة أحكام القانون.
• مصلحة حيوية لصاحب البيانات، إذا تعذّر الاتصال به.
• عقد يكون صاحب البيانات طرفًا فيه، بشرط أن ينص العقد على أن البيانات ستُعالَج وفق أحكام هذا القانون.

وثلاث قواعد أخرى تهم الوكيل:

• القرارات الناتجة عن المعالجة المؤتمتة. أعادت تعديلات 2026 صياغة هذه المادة. ففي جميع الأحوال يحق للشخص أن يعترض على القرارات التي تنتج عن المعالجة المؤتمتة. وعندها يجب عليك أو على المعالج إدخال العنصر البشري عند مراجعة القرار المعترض عليه، وفق الضوابط التي تبيّنها اللائحة. ويجب أيضًا حين تستخدم المعالجة المؤتمتة أن تتخذ التدابير المناسبة لحماية خصوصية البيانات وسريتها، وألا تضر بصاحبها.
• تصريح للبيانات الحساسة. تحتاج البيانات الجينية، وبيانات القياسات الحيوية biometric، والبيانات الصحية، والأصل العرقي، والحياة الجنسية، والآراء أو المعتقدات السياسية أو الدينية، والأحكام الجنائية، والبيانات المتعلقة بالتدابير الأمنية، إلى تصريح من الوزارة قبل أن تعالجها. وتعفي تعديلات 2026 بعض الحالات من التصريح، منها بيانات العاملين لديك في إطار تنظيم العمل الداخلي.
• المحو حين ينتهي الغرض. يجب عليك وعلى المعالج محو البيانات فور انتهاء الغرض من معالجتها، إلا إذا وُجد نزاع قائم أو التزام قانوني يوجب الاحتفاظ بها.

مزوّد النموذج، والبيانات التي تُرسل إلى الخارج

يجوز لك أن تتعاقد مع جهة أخرى، هي المعالج، لتعالج البيانات الشخصية نيابة عنك. وتوضح الوزارة أن المعالج يُعد وكيلًا عنك أمام الغير في المسؤولية المدنية والإدارية. ومزوّد النموذج الذي يشغّل نموذج وكيلك هو معالج لديك.

وتشترط اللائحة ثلاثة أمور قبل أن ترسل البيانات الشخصية إلى خارج سلطنة عُمان:

• الموافقة الصريحة. تحتاج إلى الموافقة الصريحة لصاحب البيانات، ويجب ألا يمسّ النقل الأمن الوطني أو المصالح العليا للدولة. ولا تُشترط الموافقة إذا كان النقل تنفيذًا لالتزام دولي بموجب اتفاقية تكون سلطنة عُمان طرفًا فيها، أو إذا جرى بطريقة تخفي هوية صاحب البيانات فلا يمكن التعرف عليه بأي طريقة.
• حماية كافية. يجب أن تتأكد أن المعالج في الخارج يوفر حماية لا تقل عن الحماية المقررة في القانون واللائحة.
• تقييم مكتوب. يجب أن تقيّم مستوى الحماية في الجهة المستقبلة ومخاطر النقل. ويشمل التقييم طبيعة البيانات وحجمها، والغرض، والمدة، والدول التي ستمر بها البيانات. ويجوز للوزارة أن تطلب نسخة منه.

وللبيانات الحساسة خطوة إضافية. فالوزارة تذكر أن موافقة مركز الدفاع الإلكتروني مطلوبة إذا كانت البيانات الشخصية الحساسة ستُخزَّن أو تُعالَج خارج سلطنة عُمان.

حين يقع خطأ

يجب أن تبلغ الإدارة المختصة في الوزارة خلال 72 ساعة من علمك بالاختراق، إذا كان من شأنه أن يؤدي إلى خطر يهدد حقوق أصحاب البيانات المتأثرة. ويجب أيضًا أن تُخطر صاحب البيانات خلال 72 ساعة إذا كان الاختراق قد يسبب له ضررًا جسيمًا أو مخاطر عالية. ويجب أن توثّق كل اختراق في سجل المعالجة لديك.

وحددت تعديلات 2026 غرامات لقاعدتين تهمان هذا الموضوع. فمخالفة قاعدة الموافقة قد تؤدي إلى غرامة من 500 إلى 2,000 ريال عُماني. ومخالفة أحكام المادتين 13 و14، ومنها مادة المعالجة المؤتمتة، قد تؤدي إلى غرامة من 5,000 إلى 10,000 ريال عُماني.

ماذا تقول عُمان عن الذكاء الاصطناعي نفسه

تدير الوزارة البرنامج الوطني للذكاء الاصطناعي والتقنيات الرقمية المتقدمة. وأحد محاوره الثلاثة هو حوكمة تطبيقات الذكاء الاصطناعي، ومنها الأطر القانونية والتنظيمية للاستخدام الآمن والأخلاقي وخصوصية البيانات. وفي 1 أبريل 2025 نشرت الوزارة السياسة العامة للاستخدام الآمن والأخلاقي لأنظمة الذكاء الاصطناعي. وهي سياسة، وليست قانونًا. ولم أجد قانونًا عُمانيًا ينظم الذكاء الاصطناعي بذاته حتى أكتوبر 2026. فالقواعد الملزمة للوكيل الذي يتعامل مع بيانات شخصية هي قانون حماية البيانات ولائحته.

ماذا يعني هذا لك

• احصل على موافقة صريحة، مكتوبة وبكلام واضح، إلا إذا انطبق على حالتك فعلًا أحد الاستثناءات الأربعة.
• إذا كان الوكيل يقرر شيئًا يخص شخصًا، فوفّر طريقة يراجع بها إنسان القرار حين يعترض الشخص.
• تحقق هل يقرأ الوكيل بيانات حساسة. فإن كان يقرؤها، فقد تحتاج إلى تصريح من الوزارة، وإلى موافقة مركز الدفاع الإلكتروني إذا كان النموذج يعمل خارج سلطنة عُمان.
• اكتب تقييم النقل قبل أن يرسل الوكيل بيانات شخصية إلى مزوّد في الخارج.

لست محاميًا. تلخص هذه الصفحة النصوص الرسمية كما قرأتها في أكتوبر 2026. فاسأل محاميًا عن حالتك أنت.

المراجع

1. MTCIT, Royal Decree 68/2026 Amending Some Provisions of the Personal Data Protection Law
2. MTCIT, Executive Regulations of the Personal Data Protection Law
3. MTCIT, Personal Data Protection: overview, forms and FAQ
4. MTCIT, General Policy for the Safe and Ethical Use of Artificial Intelligence Systems, April 2025
5. MTCIT, National Program for Artificial Intelligence and Advanced Digital Technologies

هشام المهدي، نُشر 28 أكتوبر 2026