تعديلات قانون حماية البيانات الشخصية (المرسوم 68/2026): ماذا تغيّر على متجرك ورسائل واتساب التسويقية

باختصار: عدّل المرسوم السلطاني 68/2026 قانون حماية البيانات الشخصية في سلطنة عُمان، ونُشر في الجريدة الرسمية في 6 سبتمبر 2026 وبدأ العمل به في اليوم التالي. أهم ما يمسّ المتاجر: القانون يسري على بيانات الأشخاص في عُمان حتى لو عولجت خارجها، والرسائل الإعلانية والتسويقية تحتاج «موافقة صريحة» مسبقة، وتنفيذ طلب العميل صار استثناءً من الموافقة بشرط، والبيانات تُمحى فور انتهاء غرضها.

آخر تحديث: أكتوبر 2026

وإن كنت تبني متجرك أو موقعك الآن، فخانة الموافقة على التسويق وصفحة الخصوصية تُبنيان فيه من البداية: انظر إنشاء متجر إلكتروني في عُمان وتصميم مواقع الشركات.

تنبيه: هذه المقالة شرح عام لنص المرسوم واللائحة التنفيذية كما نُشرا، وليست استشارة قانونية. قراءتنا العملية للنصوص اجتهاد للتوضيح، وللجهة المختصة ولمستشارك القانوني الكلمة الأخيرة في حالتك.

ما هو المرسوم السلطاني 68/2026؟

صدر المرسوم السلطاني 68/2026 بتعديل بعض أحكام قانون حماية البيانات الشخصية الصادر بالمرسوم 6/2022. صدر في 3 سبتمبر 2026، ونُشر في الجريدة الرسمية العدد 1664 بتاريخ 6 سبتمبر 2026، ويُعمل به من اليوم التالي لنشره، أي من 7 سبتمبر 2026.

استبدل المرسوم نصوص تسع مواد (2، 3، 7، 10، 14، 15، 22، 25، 27)، وغيّر تعريفي «البيانات الصحية» و«المتحكم»، وأضاف تعريف «المعالجة المؤتمتة»، وأضاف مادتين جديدتين (5 مكررًا و10 مكررًا).

والقانون تطبّقه وزارة النقل والاتصالات وتقنية المعلومات. أما تفاصيل التطبيق فما زالت في اللائحة التنفيذية الصادرة بالقرار الوزاري 34/2024، والتي انتهت مهلة توفيق الأوضاع فيها بعد مدّها إلى عامين بالقرار 6/2025، أي في فبراير 2026.

سبعة تعديلات تهم صاحب المتجر

1. متجرك خارج عُمان لا يخرجك من القانون

إن كان متجرك على منصة خوادمها في الخارج، أو كانت بيانات عملائك في أداة تحليلات أو بريد أو CRM أجنبية، فهذا لا يغيّر شيئًا. العبرة بأن العميل في سلطنة عُمان، لا بمكان الخادم.

وانتبه إلى أن المادة (23) من القانون الأصلي، التي لم يغيّرها المرسوم، تجيز نقل البيانات خارج عُمان «وفقًا للضوابط والإجراءات التي تحددها اللائحة»، وتحظره إن عولجت البيانات بالمخالفة للقانون. وعقوبة مخالفتها في المادة (29) هي الأعلى في القانون: من 100 ألف إلى 500 ألف ر.ع. اعرف أين تُخزَّن بيانات عملائك، واكتب ذلك في سياسة الخصوصية.

2. تنفيذ الطلب لا يحتاج موافقة منفصلة، بشرط

قبل التعديل كان «تنفيذ عقد يكون صاحب البيانات طرفًا فيه» مستثنى من القانون كله. الآن صار استثناءً من الموافقة فقط، أي أن بقية التزامات القانون تنطبق، وبشرط أن يتضمن العقد ما يفيد أن المعالجة تتم وفقًا لأحكام القانون.

في المتجر الإلكتروني، «العقد» هو عادة الطلب مع الشروط والأحكام. قراءتنا العملية: أضف إلى الشروط والأحكام بندًا صريحًا يقول إن بيانات العميل تُعالج لتنفيذ طلبه وفق قانون حماية البيانات الشخصية، واربطه بسياسة الخصوصية.

3. الموافقة على التسويق: من «كتابية» إلى «صريحة»

اشتراط الموافقة قبل الرسائل التسويقية ليس جديدًا. الجديد أن النص صار «الموافقة الصريحة» بدل «الموافقة الكتابية»، مع إحالة التفاصيل إلى اللائحة. واللائحة التنفيذية تضع في مادتها (22) أربعة شروط قبل أي رسالة إعلانية أو تسويقية:

1. الحصول على موافقة صاحب البيانات.
2. إخطاره بوسيلة الإرسال (واتساب، بريد، رسائل نصية).
3. تحديد آلية لإيقاف الاستقبال.
4. التوقف فور طلب الإيقاف، ودون مقابل.

وتشترط المادة (4) من اللائحة لصحة الموافقة: أن تصدر من شخص كامل الأهلية، وبطريقة واضحة دون إكراه، وأن تكون كتابية أو إلكترونية أو بأي وسيلة يحددها المتحكم. والمادة (10) من القانون تجعل عبء إثبات الموافقة على المتحكم، أي عليك.

4. المحو فور انتهاء الغرض

المادة (15) الجديدة تُلزم بمحو البيانات فور انتهاء الغرض من معالجتها، إلا في حالتين: نزاع قائم مع صاحب البيانات، أو التزام قانوني بالاحتفاظ. أرقام عملاء قدامى لم يشتروا منذ سنوات، وملفات «ليدز» من حملة انتهت، تحتاج قرارًا: هل لها غرض قائم وموافقة؟ وإلا فتُمحى.

5. القرارات المؤتمتة

إن كان متجرك يرفض طلبًا آليًا (مثل إيقاف الدفع عند الاستلام لعميل بعينه بناءً على نظام آلي)، فللعميل الآن حق الاعتراض، ويجب إدخال «العنصر البشري» عند مراجعة القرار المعترض عليه، وفق ضوابط تبينها اللائحة.

6. تعريف «المتحكم» تغيّر

صار المتحكم في التعريف الجديد «الشخص الاعتباري الذي يقوم بالمعالجة بنفسه أو يعهد بها إلى المعالج». أثر هذا على صاحب العمل الحر أو التاجر الفرد مسألة تفسير لم نجد فيها توضيحًا رسميًا بعد. لا تبنِ عليه إعفاءً لنفسك، فالالتزام بالموافقة وسياسة الخصوصية مطلوب أيضًا في لائحة التجارة الإلكترونية (المادتان 9 و12).

7. بيانات الموظفين وكاميرات المراقبة

المادة (5 مكررًا) تجيز معالجة بيانات العاملين في إطار تنظيم العمل الداخلي، دون إفصاح للغير إلا بموافقة كتابية، وتجيز المعالجة عبر كاميرات المراقبة المستعملة استيفاءً لمتطلبات أمنية صادرة عن الجهات المختصة.

واتساب التسويقي بعد التعديل: ما المسموح وما يحتاج موافقة

هذا أكثر ما يسأل عنه أصحاب المحلات في عُمان. التقسيم التالي قراءتنا العملية للنصوص:

كيف تجمع الموافقة عمليًا:

• في صفحة الدفع: خانة غير مُعلَّمة مسبقًا بنص واضح: «أوافق على استقبال العروض من [اسم المتجر] عبر واتساب، ويمكنني الإيقاف في أي وقت بإرسال كلمة إيقاف».
• في واتساب: رسالة ترحيب تسأل «هل تحب أن تصلك عروضنا هنا؟» واحفظ ردّه بتاريخه.
• في كل رسالة تسويقية: سطر «لإيقاف العروض أرسل: إيقاف». ونفّذ الإيقاف فورًا.
• احتفظ بسجلّ: الرقم، وتاريخ الموافقة، ووسيلتها، وتاريخ الإيقاف إن وُجد.

وإن أردت أن نراجع متجرك أو حسابك من هذه الزاوية، فأرسل رابطه في الفحص المجاني، ونرسل لك ملاحظات مختصرة بما ينقصه.

الغرامات بعد التعديل

ويضاف إليها جزاءات إدارية لا تزيد غرامتها على 2,000 ر.ع (المادة 32)، وغرامة على الشخص الاعتباري من 5,000 إلى 100,000 ر.ع إذا ارتُكبت الجريمة باسمه أو لحسابه (المادة 30).

الاختراق: 72 ساعة

اللائحة التنفيذية (المادتان 30 و32) تُلزم المتحكم بإبلاغ الإدارة المختصة في الوزارة خلال 72 ساعة من علمه بالاختراق إذا كان يهدد حقوق أصحاب البيانات، وبإخطار أصحاب البيانات أنفسهم خلال 72 ساعة إذا كان الاختراق قد يسبب لهم ضررًا جسيمًا. ولائحة التجارة الإلكترونية (المادة 13) تضيف إخطار الوزارة المعنية بالتجارة «فور» العلم.

قائمة عمل لمتجرك هذا الشهر

1. حدّث سياسة الخصوصية: من المتحكم، ومن المعالج (المنصة، بوابة الدفع، شركة الشحن)، ووسيلة التواصل مع مسؤول حماية البيانات، والغرض، وأين تُخزَّن البيانات، وكيف يمارس العميل حقوقه. واللائحة (المادة 21) تطلب وضعها في مكان ظاهر قبل المعالجة.
2. أضف إلى الشروط والأحكام بند المعالجة وفق القانون لتنفيذ الطلب.
3. افصل رسائل الطلب عن رسائل التسويق في واتساب وفي البريد.
4. اجمع موافقة صريحة بخانة غير مُعلَّمة، واحفظ سجلّها.
5. أضف وسيلة إيقاف في كل رسالة تسويقية، ونفّذها فورًا.
6. نظّف قوائمك: ما لا غرض له ولا موافقة يُمحى.
7. اكتب خطة اختراق من صفحة واحدة: من يكتشف، ومن يبلّغ، وخلال 72 ساعة.
8. جهّز طريقة للرد على طلبات العملاء (نسخة من بياناتهم، تصحيح، محو) خلال 45 يومًا كما في المادة (16) من اللائحة.

فصّلنا الصفحات التي يجب أن تظهر في متجرك عمومًا في قائمة التدقيق القانونية لمتجرك في عُمان، وإجراءات الترخيص في دليل ترخيص المتجر الإلكتروني.

كيف تساعدك نقلة

حين نبني موقعًا لشركتك أو متجرًا، نضع سياسة الخصوصية في مكانها الظاهر، ونجعل خانة الموافقة على التسويق غير مُعلَّمة مسبقًا، ونفصل إشعارات الطلب عن العروض. وفي خدمة التسويق والإعلانات نبني قوائم واتساب والحملات على من وافق فعلًا. نصّ سياستك القانوني يبقى مسؤوليتك ومسؤولية مستشارك، ونحن نضعه تقنيًا في المكان الصحيح. تواصل معنا إن أردت مراجعة متجرك.

أسئلة شائعة

متى بدأ العمل بتعديلات قانون حماية البيانات الشخصية في عُمان؟

من 7 سبتمبر 2026، اليوم التالي لنشر المرسوم السلطاني 68/2026 في الجريدة الرسمية العدد 1664 بتاريخ 6 سبتمبر 2026.

هل أحتاج موافقة العميل لأرسل له رسالة «طلبك في الطريق»؟

قراءتنا أنها تدخل في تنفيذ العقد، وهو استثناء من الموافقة في المادة 10 مكررًا، بشرط أن ينصّ العقد (الشروط والأحكام) على أن المعالجة وفق القانون. أما العروض فتحتاج موافقة صريحة.

هل تكفي موافقة العميل على الشروط والأحكام للتسويق؟

الأحوط ألا تكفي. المادة 22 تطلب موافقة صريحة قبل أي مادة تسويقية، واللائحة تطلب إخطاره بوسيلة الإرسال وطريقة الإيقاف. اجعلها خانة مستقلة غير مُعلَّمة.

متجري على منصة خوادمها خارج عُمان، هل ينطبق عليّ القانون؟

نعم. المادة 2 المعدّلة تُسري القانون على بيانات الأشخاص في عُمان سواء عولجت داخلها أو خارجها، والنقل خارج عُمان محكوم بضوابط اللائحة.

كم غرامة إرسال رسائل تسويقية دون موافقة؟

مخالفة المادة 22 يعاقب عليها في المادة 26 بغرامة من 1,000 إلى 5,000 ر.ع، إضافة إلى ما قد تفرضه الوزارة من جزاءات إدارية.

خلال كم ساعة أبلّغ عن اختراق بيانات العملاء؟

خلال 72 ساعة من العلم به، للإدارة المختصة في الوزارة إذا كان يهدد حقوق أصحاب البيانات، ولأصحاب البيانات إذا قد يسبب لهم ضررًا جسيمًا (اللائحة، المادتان 30 و32).

المصادر

المراجع الرسمية والمنشورة التي استندت إليها المقالة، كما اطّلعنا عليها في أكتوبر 2026:

• المرسوم السلطاني 68/2026 بتعديل بعض أحكام قانون حماية البيانات الشخصية — قانون.عُمان
• المرسوم السلطاني 6/2022 بإصدار قانون حماية البيانات الشخصية — قانون.عُمان
• القرار الوزاري 34/2024 بإصدار اللائحة التنفيذية لقانون حماية البيانات الشخصية — قانون.عُمان
• القرار الوزاري 6/2025 بتعديل مهلة توفيق الأوضاع للائحة التنفيذية — قانون.عُمان
• القرار الوزاري 499/2023 بإصدار اللائحة التنظيمية للتجارة الإلكترونية — قانون.عُمان

عن هذا الدليل: أعدّته نقلة للحلول الرقمية، مؤسسة مرخّصة في سلطنة عُمان (س.ت 1647570) تصمّم المواقع والمتاجر والأنظمة. الأرقام والإجراءات منقولة من المصادر أعلاه بتاريخ آخر تحديث المذكور أول المقالة، وإن رأيت معلومة تغيّرت راسلنا لنحدّثها.