阿曼数据合规全解析：中东“隐私新规”下的中企出海必修课

阿曼的数据保护体系以皇家法令第6/2022号颁布的《个人数据保护法》（PDPL）为核心。该法于2022年发布，2023年2月正式生效，随后在2024年通过第34/2024号部长决定发布了配套的执行条例，进一步细化了各项合规要求。

• 皇家法令第6/2022号《个人数据保护法》第1-3条：立法目的、适用范围和关键定义

• 同法第12-18条：数据主体权利（访问、更正、删除、反对等）

• 执行条例（第34/2024号部长决定）第5-9条：同意机制的具体要求

• 同执行条例第22-25条：数据保护官的任命条件与职责

阿曼PDPL具有明确的域外适用效力，管辖以下情形：

• 在阿曼境内设立的数据控制者或处理者

• 虽未在阿曼设立，但向阿曼境内个人提供商品或服务的外国实体

• 监控阿曼境内个人行为的外国实体

对中企的影响：许多中国企业的阿曼业务通过远程方式开展（如跨境电商、SaaS服务），即使没有当地实体，只要处理阿曼居民个人数据，就必须遵守PDPL。

PDPL对同意的要求极为严格：

• 必须获得数据主体的明确书面同意（法律规定的例外情形除外）

• 同意必须是自由、具体、知情且毫不含糊的

• 禁止使用预选勾选框或默认同意

• 撤回同意的途径必须与给予同意时同样简便

• 敏感数据的处理需要更高标准的同意

实操建议：中企的隐私政策和用户注册流程必须针对阿曼市场单独设计，确保同意机制符合当地语言（阿拉伯语）和文化习惯。

阿曼PDPL赋予数据主体以下核心权利：

1) 知情权：了解数据收集的目的、接收方、存储期限等

2) 访问权：获取其个人数据的副本

3) 更正权：要求修正不准确或不完整的数据

4) 删除权（被遗忘权）：在特定条件下要求删除数据

5) 限制处理权：在争议期间暂停数据处理

6) 反对权：反对基于特定目的的处理

7) 可携权：以结构化、通用格式获取数据并传输给其他控制者

8) 不受自动化决策约束权：反对完全由算法做出的重要决定

法律条文参考：PDPL第12-18条系统规定了上述权利及其行使程序。

根据执行条例，以下情况必须任命数据保护官（DPO）：

• 政府部门和公共机构

• 核心业务涉及大规模系统化监控的企业

• 大规模处理敏感数据的企业

• 其他执行条例规定的特定情形

  
  

DPO必须具备专业知识，直接向最高管理层汇报，并保持独立履职。其联系方式必须在监管机构备案。

阿曼对个人数据的跨境传输设置了严格限制，基本逻辑是：禁止向保护水平低于阿曼的国家传输，除非满足特定条件。

合法传输的路径：

1) 充分性认定：目的地国家被阿曼监管机构认定为提供充分保护（目前尚未公布名单）

2) 适当保障措施：采用标准合同条款、有约束力的公司规则等

3) 数据主体明确同意：已充分告知传输风险并获得明确书面同意

4) 法定例外：履行合同、保护重大公共利益、法律要求等

对中企的挑战：中国尚未被认定为“充分保护国家”，从阿曼向中国总部传输员工或客户数据，必须通过其他三条路径之一获得合法性基础。使用标准合同条款是最可行的方案。

安全保障义务：

• 实施适当的技术和组织措施保护个人数据

• 进行数据保护影响评估（DPIA）

• 建立数据安全政策和内部流程

泄漏通知要求：

• 向监管机构报告：发现数据泄露后必须在规定时限内向交通、通信和信息技术部（MTCIT）报告

• 向数据主体通知：当泄露可能对其权利和自由构成高风险时

• 记录保存：所有数据泄露事件必须记录在案，供监管机构检查

虽然PDPL未强制要求所有数据本地化，但执行条例对敏感数据和重要数据的存储和处理提出了更严格要求。实际操作中，许多企业选择将阿曼个人数据存储在本地或海湾地区的数据中心，以降低合规风险。

阿曼PDPL的处罚力度在海湾国家中属于第一梯队：

• 行政罚款：最高可达50万阿曼里亚尔（约合130万美元）

• 业务制裁：吊销营业执照、暂停数据处理活动

• 刑事处罚：严重违规可能面临监禁

• 双重处罚：企业及其负责人可能同时被追责

• 公开通报：重大违规案件可能被监管机构公开曝光

处罚裁量因素：

• 违规的性质、严重程度和持续时间

• 受影响数据主体的数量和数据类型

• 企业是否采取了补救措施

• 是否属于重复违规

法律条文参考：PDPL第37-42条详细规定了处罚体系和程序。

许多中企在阿曼参与基建、能源项目，需要处理大量阿曼籍员工的个人数据。PDPL合规已成为投标资格预审的隐性要求，不合规可能导致错失商机。

应对：将数据合规纳入项目前期规划，提前投入资源建设合规体系。

从阿曼子公司向中国总部传输员工信息、客户数据，必须通过标准合同条款等机制获得合法性基础。

应对：由集团法务牵头，统一设计跨境传输的合规框架，避免各子公司自行其是。

电商、金融科技、SaaS服务等企业进入阿曼市场，产品设计必须融入“隐私默认设置”，用户界面和同意机制需符合当地要求。

应对：在进入市场前完成产品合规改造，将数据保护要求纳入开发流程。

与阿曼本地企业合资合作时，需要确保对方的数据保护水平符合PDPL要求，否则可能承担连带责任。

应对：在合作协议中加入数据保护条款，要求合作方提供合规证明，定期审查其合规状况。

MTCIT的执法方式和监管风格可能与国内不同，应对监管调查需要专业的本地支持。

应对：建立与当地律所、咨询机构的合作关系，确保在监管介入时能获得及时、专业的支持。

律意是一家创新型综合性跨境法律服务平台。

基于创始团队在法律大数据及法律服务行业近20年的经验，拥有覆盖全球156个国家和地区的资深律师网络及各行业法律专家资源，已经为数十家跨境制造与消费类企业节约了50%的时间与经济成本。致力于为企业出海提供专业、完善、便捷的一站式法律服务。