الامتثال لقانون حماية البيانات الشخصية المصري مع ConsentX

ما هو قانون حماية البيانات الشخصية المصري؟

يضع قانون حماية البيانات الشخصية رقم 151 لسنة 2020 قواعد لحماية البيانات الشخصية التي تُعالَج إلكترونيًا، سواء تمت المعالجة كليًا أو جزئيًا بوسائل إلكترونية.

وينظّم هذا الإطار المؤسسات التي تجمع البيانات الشخصية أو تتحكم فيها أو تعالجها أو تحتفظ بها أو تفصح عنها أو تنقلها، ويقرر حقوقًا لأصحاب البيانات.

كما ينشئ القانون Personal Data Protection Center (PDPC) بوصفه الجهة المختصة بتنظيم هذا الإطار وإنفاذه.

ومن ثمّ يتألف الإطار المصري الحالي للخصوصية بصفة أساسية مما يلي:

• قانون حماية البيانات الشخصية رقم 151 لسنة 2020
• اللائحة التنفيذية رقم 816 لسنة 2025
• قرارات المركز ومعاييره وإجراءاته وإرشاداته

النطاق الإقليمي لقانون حماية البيانات الشخصية المصري

يغطي القانون البيانات الشخصية المعالَجة إلكترونيًا المتعلقة بما يلي:

• المواطنين المصريين، بمن فيهم المقيمون خارج مصر
• الأشخاص من غير المصريين المقيمين في مصر

ويحدد الشرح الحالي للمركز بشأن هذا الإطار صراحةً كلًا من المواطنين المصريين والمقيمين من غير المصريين بوصفهم أصحاب بيانات يتمتعون بحماية القانون ولائحته التنفيذية.

ولذلك ينبغي للمؤسسات خارج مصر التي تجمع أو تعالج بيانات شخصية تقع ضمن نطاق القانون أن تقيّم ما إذا كانت تترتب عليها التزامات بموجب القانون المصري.

ما هي البيانات الشخصية بموجب القانون المصري؟

تشير البيانات الشخصية عمومًا إلى المعلومات التي تحدد هوية شخص طبيعي أو تجعله قابلًا للتحديد، بصورة مباشرة أو غير مباشرة.

ومن الأمثلة على ذلك:

• الاسم
• الرقم القومي
• الصورة الفوتوغرافية
• الصوت
• عنوان البريد الإلكتروني
• رقم الهاتف
• المعرّف الإلكتروني
• معلومات الموقع الجغرافي
• المعلومات المالية
• المعلومات الصحية
• المعلومات البيومترية
• معلومات التوظيف

ويذكر المركز على وجه التحديد الأسماء والتسجيلات الصوتية والصور والأرقام القومية والمعرّفات الإلكترونية كأمثلة على البيانات الشخصية.

المبادئ الأساسية في القانون المصري

ينبغي للمؤسسات أن تبني أنشطة المعالجة لديها على المبادئ الجوهرية للخصوصية، ومنها:

المشروعية. ينبغي جمع البيانات الشخصية ومعالجتها وفقًا للقانون.

تحديد الغرض. ينبغي جمع البيانات لأغراض محددة ومشروعة.

تقليل البيانات. ينبغي للمؤسسات قصر الجمع على المعلومات اللازمة للغرض المقصود.

الشفافية. ينبغي إبلاغ الأفراد على نحو ملائم بكيفية جمع بياناتهم واستخدامها.

الدقة. ينبغي للمؤسسات الحفاظ على دقة المعلومات الشخصية والتعامل على النحو المناسب مع البيانات غير الدقيقة.

تحديد مدة الحفظ. لا ينبغي الاحتفاظ بالبيانات الشخصية إلى أجل غير مسمى دون غرض مشروع.

الأمن. ينبغي للمتحكمين والمعالجين تطبيق ضمانات تقنية وتنظيمية مناسبة.

المساءلة. ينبغي للمؤسسات الاحتفاظ بسجلات وإجراءات تثبت الامتثال.

وتفصّل اللائحة التنفيذية كذلك المتطلبات المتعلقة بتحديد الغرض والموافقة والحفظ والسجلات والأمن والضوابط التنظيمية.

الموافقة بموجب القانون المصري

تُعدّ الموافقة عنصرًا محوريًا في إطار حماية البيانات المصري.

وتنص المادة 2 من القانون على أنه لا يجوز عمومًا جمع البيانات الشخصية أو معالجتها أو الإفصاح عنها أو الكشف عنها إلا بموافقة صريحة من صاحب البيانات أو في الأحوال التي يجيزها القانون.

ومن ثمّ يجمع القانون بين نموذج الموافقة الصريحة والاستثناءات القانونية.

ولا ينبغي للمؤسسات أن تفترض أن الموافقة لازمة لكل عملية معالجة، لكن متى كانت الموافقة هي الأساس المنطبق، وجب أن تكون المؤسسة قادرة على إثبات حصولها على موافقة صحيحة.

ما الذي يجعل الموافقة صحيحة في مصر؟

ينبغي لآلية الموافقة المتوافقة مع المتطلبات أن تزوّد الأفراد بمعلومات كافية لفهم ما يوافقون عليه.

وينبغي للمؤسسات مراعاة ما يلي:

• هوية المؤسسة
• الغرض من المعالجة
• فئات البيانات التي يجري جمعها
• الاستخدام المقصود
• الجهات المتلقية ذات الصلة
• مدة الحفظ أو معايير تحديدها
• عمليات النقل الدولية
• أغراض التسويق
• حقوق صاحب البيانات
• آليات سحب الموافقة

وتشترط اللائحة التنفيذية في حالات معينة اعتماد الآليات المستخدمة في جمع البيانات الشخصية والحصول على الموافقة.

وينبغي للمؤسسات الاحتفاظ بسجلات إلكترونية تثبت ما يلي:

• من الذي منح الموافقة
• متى مُنحت الموافقة
• ما الغرض الذي جرى الإفصاح عنه
• ما البيانات التي شملتها الموافقة
• ما آلية الموافقة التي استُخدمت
• ما إذا كانت الموافقة قد سُحبت أو عُدّلت

ويكتسب ذلك أهمية خاصة لأن إطار التراخيص المصري يقتضي من المؤسسات إثبات آلياتها في الحصول على الموافقة والاحتفاظ بالسجلات الإلكترونية ذات الصلة.

سحب الموافقة

متى كانت المعالجة قائمة على الموافقة، وجب أن تتاح للأفراد وسيلة عملية لسحب موافقتهم أو تعديلها.

وينبغي لمسارات سحب الموافقة أن تكون كما يلي:

• سهلة الوصول
• موضِّحة بجلاء لأثر السحب
• مسجِّلة للطلب
• محدِّثة لتفضيلات الشخص
• موقِفة للمعالجة ذات الصلة
• ناقِلة للتغيير إلى الأنظمة المعنية عند الاقتضاء

ويمكن أن يوفّر ConsentX الطبقة التقنية اللازمة لتسجيل تغييرات الموافقة هذه وإدارتها.

البيانات الشخصية الحساسة بموجب القانون المصري

يوفّر الإطار المصري حماية معززة للبيانات الشخصية الحساسة.

ويحدد المركز فئات حساسة تشمل ما يلي:

• البيانات الصحية
• المعلومات المتعلقة بالصحة النفسية أو العقلية
• المعلومات الجينية
• المعلومات البيومترية
• المعلومات المالية
• المعتقدات الدينية
• الآراء السياسية
• المعلومات المتصلة بالأمن
• بيانات الأطفال

وتُلزم اللائحة التنفيذية المتحكمين والمعالجين الذين يتعاملون مع البيانات الشخصية الحساسة بالتقيد بضمانات إضافية، ومنها:

• الحصول على الترخيص أو التصريح المعني من المركز
• الحصول على موافقة كتابية صريحة في الحالات المنطبقة
• التحقق من أن البيانات لازمة للغرض المقصود
• تجنّب إلحاق الضرر بصاحب البيانات
• تطبيق معايير الأمن المطلوبة
• الاحتفاظ بسجلات إلكترونية
• تسجيل الموافقة والطلبات ذات الصلة

البيانات الشخصية للأطفال

تستحدث اللائحة التنفيذية المصرية متطلبات خاصة ببيانات الأطفال.

وبالنسبة للأطفال دون سن 15 عامًا، يجب على المؤسسات الحصول على موافقة كتابية صريحة من الولي الشرعي للطفل قبل جمع بياناته الشخصية ومعالجتها، مع مراعاة الاستثناءات التي يجيزها القانون. وينبغي أن تحدد الموافقة المدة التي ستُجمع خلالها البيانات وتُعالَج، وأن تتيح السحب أو التعديل.

وتضع اللائحة التنفيذية متطلبات موافقة منفصلة للأشخاص الذين تتراوح أعمارهم بين 15 و18 عامًا، وتُحدَّد آلياتها وفقًا للمتطلبات التنظيمية المنطبقة.

وعندما يشارك الأطفال في ألعاب أو مسابقات أو أنشطة مماثلة، لا يجوز للمؤسسات جمع بيانات تتجاوز ما يلزم للمشاركة، ولا استخدام تلك البيانات في أنشطة تصنيف أو تتبع أو مراقبة سلوكية محظورة.

إشعارات الخصوصية والشفافية

ينبغي للمؤسسات تقديم معلومات مناسبة للأفراد عند جمع بياناتهم الشخصية.

وينبغي لإشعار الخصوصية أن يوضح المسائل ذات الصلة، ومنها:

• هوية المتحكم
• بيانات التواصل
• الغرض من الجمع
• فئات البيانات الشخصية
• كيفية معالجة البيانات
• الجهات المتلقية ذات الصلة
• الحفظ
• حقوق أصحاب البيانات
• آليات الموافقة والسحب
• عمليات النقل الدولية
• أنشطة التسويق
• المعالجة الآلية ذات الصلة

وينبغي أن تكون الشفافية جزءًا من عملية الجمع ذاتها، لا أن تُعامل بوصفها مجرد متطلب في سياسة الموقع الإلكتروني.

حقوق أصحاب البيانات بموجب القانون المصري

يمنح القانون المصري الأفراد عددًا من الحقوق المتعلقة ببياناتهم الشخصية.

الحق في العلم بالبيانات الشخصية والوصول إليها. للأفراد الحق في العلم بالبيانات الشخصية المحتفظ بها عنهم والوصول إليها، وفقًا للشروط المنطبقة.

الحق في الحصول على المعلومات. يمكن لأصحاب البيانات الحصول على المعلومات ذات الصلة بكيفية معالجة بياناتهم.

الحق في تصحيح البيانات أو تحديثها. يمكن للأفراد طلب تصحيح المعلومات الشخصية غير الدقيقة أو تحديثها.

الحق في محو البيانات. يتمتع الأفراد بحقوق تتعلق بالحذف أو المحو متى استوفيت الشروط القانونية.

الحق في تقييد المعالجة أو وقفها. يمكن للأفراد ممارسة حقوقهم في الاعتراض على بعض أنشطة المعالجة أو وقفها وفقًا للأحكام المنطبقة.

الحق في سحب الموافقة. متى كانت الموافقة أساس المعالجة، جاز للأفراد سحبها.

ويعتبر المركز ممارسة حقوق أصحاب البيانات مكوّنًا جوهريًا في إطاره التنظيمي.

طلبات اطلاع أصحاب البيانات في مصر

ينبغي للمؤسسات الحفاظ على مسار عمل منظم لطلبات الخصوصية.

وينبغي أن تتضمن عملية إدارة طلبات الاطلاع ما يلي:

• استلام الطلب
• التحقق من الهوية
• تصنيف الطلب
• البحث عن البيانات
• مراجعة الشروط القانونية المنطبقة
• إعداد الرد
• التسليم الآمن
• تسجيل الطلب
• إثبات إتمام الطلب

ويمكن أن يساعد ConsentX في توحيد استلام الطلبات وتتبعها وإدارة حالتها وتوثيق أدلة التدقيق الخاصة بها.

مسؤول حماية البيانات في مصر

تُنشئ اللائحة التنفيذية إطارًا رسميًا لمسؤول حماية البيانات.

ويصف المركز مسؤول حماية البيانات بأنه شخص يعيّنه الممثل القانوني للشخص الاعتباري الذي يتصرف بصفته مستخدمًا للبيانات، ويعمل باستقلالية ويكون مقيدًا في سجل مسؤولي حماية البيانات لدى المركز.

وتشمل مسؤوليات مسؤول حماية البيانات ما يلي:

• متابعة الامتثال في مجال الخصوصية
• متابعة الإجراءات الداخلية لحماية البيانات
• دعم تنفيذ سياسات الأمن
• تلقي طلبات أصحاب البيانات
• الحفاظ على التواصل مع المركز
• إعداد التقارير عن وضع الخصوصية في المؤسسة

كما تحدد اللائحة التنفيذية إجراءات قيد مسؤولي حماية البيانات واستبدالهم.

ولذلك ينبغي للمؤسسات مراجعة التزاماتها المتعلقة بتعيين مسؤول حماية البيانات وقيده ضمن برنامج الامتثال الخاص بها لعام 2026.

التراخيص والتصاريح بموجب القانون المصري

من أبرز سمات الإطار المصري الجديد نظام التراخيص والتصاريح الذي يقوم عليه.

ويذكر المركز أنّ على مستخدمي البيانات الحصول على التراخيص أو التصاريح المنطبقة.

ويشمل الإطار فئات تراخيص أو تصاريح لما يلي:

• الأنشطة التي تجمع بين صفتي المتحكم والمعالج
• المتحكمون
• المعالجون
• التسويق الإلكتروني
• نقل البيانات عبر الحدود
• أدوات المراقبة المرئية

ووفقًا للأسئلة الشائعة الحالية للمركز، تكون مدة التراخيص عادةً ثلاث سنوات قابلة للتجديد، بينما تكون مدة التصاريح عادةً سنة واحدة قابلة للتجديد.

وينبغي للمؤسسات تحديد التراخيص أو التصاريح المنطبقة على أنشطتها، بدل افتراض أنّ سياسة خصوصية عامة تكفي لتحقيق الامتثال.

أمن البيانات بموجب القانون المصري

يجب على المتحكمين والمعالجين تطبيق ضمانات تقنية وتنظيمية مناسبة.

وينبغي أن تعالج الضوابط الأمنية مخاطر من قبيل:

• الوصول غير المصرح به
• الإفصاح غير المصرح به
• الفقدان
• الإتلاف
• التعديل
• المعالجة غير المشروعة
• تسريب البيانات

وقد تشمل التدابير العملية ما يلي:

• التشفير
• ضوابط الوصول
• التحقق من الهوية
• المصادقة متعددة العوامل
• النسخ الاحتياطي الآمن
• أمن الشبكات
• التسجيل
• المراقبة
• إدارة الثغرات
• تدريب الموظفين
• الاستجابة للحوادث
• ضوابط أمن المورّدين

وتشترط اللائحة التنفيذية على طالبي الترخيص تقديم معلومات عن الآليات المستخدمة لتأمين البيانات الشخصية وحمايتها.

الإخطار باختراق البيانات في مصر

يضع الإطار المصري الحالي مواعيد محددة للإخطار بالاختراقات.

ووفقًا للمركز، يجب على مستخدمي البيانات إخطاره خلال 72 ساعة من علمهم بالاختراق، متضمنًا المعلومات والإجراءات التي يقتضيها القانون واللائحة والتوجيهات المنطبقة الصادرة عن المركز.

وإذا كان الاختراق يمس مسائل تتعلق بالأمن القومي، وجب الإخطار فورًا.

ويجب إخطار أصحاب البيانات المتأثرين خلال ثلاثة أيام عمل من تاريخ الإخطار المقدَّم إلى المركز، متى استوجبت المتطلبات المنطبقة هذا الإخطار.

ولذلك ينبغي للمؤسسات الحفاظ على إجراء موثّق للاستجابة للحوادث يغطي ما يلي:

• الاكتشاف
• الاحتواء
• تقييم المخاطر
• تحديد البيانات المتأثرة
• إخطار المركز
• إخطار أصحاب البيانات
• المعالجة التصحيحية
• التوثيق
• المراجعة اللاحقة للحادث

عمليات النقل الدولية وعبر الحدود

تمثّل عمليات النقل عبر الحدود جزءًا بالغ الأهمية من القانون المصري.

ويذكر المركز أنه لا يجوز عمومًا نقل البيانات الشخصية خارج مصر ما لم تحصل المؤسسة مسبقًا على ترخيص أو تصريح منه لنقل البيانات عبر الحدود، أو ما لم يندرج النقل ضمن استثناء قانوني.

وتضع اللائحة التنفيذية متطلبات تتعلق بما يلي:

• جهات النقل المقصودة
• المؤسسات المتلقية
• الضمانات القانونية والتقنية
• التراخيص أو التصاريح المنطبقة
• فئات البيانات
• ترتيبات النقل
• وسائل الحماية الأمنية

ومن ثمّ فإن الإطار التنظيمي أكثر تقييدًا من مجرد آلية تعاقدية للنقل.

وينبغي للمؤسسات التي تستخدم مزودي خدمات سحابية أو تحليلات أو إدارة علاقات عملاء أو إعلانات أو استضافة في الخارج أن ترسم خريطة لتدفقات بياناتها الدولية وتحدد ما إذا كان الحصول على تصريح من المركز لازمًا.

ترخيص نقل البيانات عبر الحدود

تُنشئ اللائحة التنفيذية ترخيصًا أو تصريحًا خاصًا لنقل البيانات الشخصية من مصر إلى دولة أخرى.

ويتيح هذا التصريح إجراء عمليات النقل وفقًا للضوابط والقيود المعتمدة.

وقد تتطلب إضافة دول وجهة جديدة تحديث التصريح.

وينبغي للمؤسسات الاحتفاظ بحصر محدَّث لما يلي:

• دول الوجهة
• المورّدون في الخارج
• فئات البيانات
• أغراض المعالجة
• أحجام عمليات النقل
• آليات النقل
• الضوابط الأمنية

التسويق الإلكتروني المباشر في مصر

يتضمن الإطار المصري قواعد خاصة بالتسويق الإلكتروني المباشر.

ويجب على المؤسسات التي تمارس التسويق الإلكتروني المباشر معالجة ما يلي:

• الموافقة الصريحة المسبقة
• الشفافية بشأن الغرض التسويقي
• هوية المرسل
• بيانات التواصل
• آليات إلغاء الاشتراك
• سحب الموافقة
• سجلات الموافقة
• الترخيص المنطبق من المركز

ويذكر المركز أنّ الرسائل التسويقية يجب أن توفّر آلية واضحة وميسورة لسحب الموافقة أو الاعتراض على تلقي مزيد من المراسلات.

كما تشترط اللائحة التنفيذية سجلات إلكترونية توضح كيف ومتى جرى الحصول على موافقة التسويق، وكيف عولجت طلبات الحذف أو التعديل.

ملفات تعريف الارتباط والتتبع الإلكتروني بموجب القانون المصري

ينظّم القانون معالجة البيانات الشخصية ولا يضع قاعدة عامة مستقلة تسري على كل ملف تعريف ارتباط.

ومع ذلك فإن ملفات تعريف الارتباط والبكسلات وحزم تطوير البرمجيات ومعرّفات الإعلانات وأدوات التحليلات وغيرها من التقنيات الإلكترونية قد تعالج بيانات شخصية.

ولذلك ينبغي للمؤسسات تقييم ما يلي:

• ما الذي تجمعه كل أداة تتبع
• ما إذا كان يمكن تحديد هوية الأفراد
• الغرض من المعالجة
• السند القانوني المنطبق
• ما إذا كانت الموافقة مطلوبة
• ما إذا كانت البيانات تغادر مصر
• ما إذا كانت أطراف ثالثة تتلقى هذه المعلومات
• ما إذا كانت بيانات حساسة معنية بالأمر

الموافقة على ملفات تعريف الارتباط والحجب المسبق للنصوص البرمجية

بالنسبة للمواقع التي تعتمد على الموافقة، ينبغي أن يضمن التنفيذ التقني المتوافق ألا تُفعَّل أدوات التتبع غير الضرورية المعنية قبل ورود إشارة الموافقة المطلوبة.

ويمكن للتنفيذ باستخدام ConsentX أن يدعم ما يلي:

• اكتشاف ملفات تعريف الارتباط
• تصنيف أدوات التتبع
• لافتات الموافقة
• التفضيلات القائمة على الغرض
• الحجب المسبق للنصوص البرمجية
• سجلات الموافقة
• سحب التفضيلات
• الإعدادات الإقليمية

ويساعد ذلك في مواءمة السلوك التقني للموقع مع خيارات الخصوصية المعلنة فيه.

اتخاذ القرارات الآلية والتنميط

ينبغي للمؤسسات التي تستخدم التنميط أو المعالجة الآلية تقييم آثار هذه الأنشطة على الخصوصية.

وتشمل الاعتبارات ذات الصلة ما يلي:

• الشفافية
• تحديد الغرض
• تقليل البيانات
• الدقة
• الأمن
• الإشراف البشري
• معالجة البيانات الحساسة
• بيانات الأطفال
• الآثار المحتملة على الأفراد

كما ينبغي للمؤسسات تحديد ما إذا كانت المعالجة تستوجب متطلبات تنظيمية إضافية أو تدقيقًا من جانب المركز.

حفظ البيانات وحذفها

ينبغي للمؤسسات تحديد مدد الحفظ استنادًا إلى ما يلي:

• الغرض من المعالجة
• الالتزامات القانونية
• المتطلبات التعاقدية
• المتطلبات التنظيمية
• حساسية البيانات
• الاحتياجات التشغيلية

وينبغي أن يتضمن برنامج الحفظ ما يلي:

• جداول الحفظ
• قواعد الحذف
• إجراءات الأرشفة
• حالات الحجز القانوني
• الإتلاف الآمن
• المراجعة الدورية

ولا ينبغي الاحتفاظ بالبيانات الشخصية إلى أجل غير مسمى لمجرد أنها قد تكون مفيدة مستقبلًا.

المعالجون والمورّدون من الأطراف الثالثة

ينبغي للمؤسسات الحفاظ على ضوابط تعاقدية وتشغيلية مناسبة على المعالجين.

وينبغي أن تتناول اتفاقيات المورّدين ما يلي:

• تعليمات المعالجة
• السرية
• الأمن
• المعالجون من الباطن
• حفظ البيانات
• حذف البيانات
• الإخطار بالاختراقات
• طلبات أصحاب البيانات
• عمليات النقل الدولية
• التعاون مع الجهة التنظيمية

وينبغي للمؤسسات الاحتفاظ بحصر محدَّث للمورّدين الذين يطّلعون على بيانات شخصية مصرية.

الخصوصية بالتصميم

ينبغي دمج الخصوصية في المواقع الإلكترونية والتطبيقات وقواعد البيانات وعمليات العمل منذ البداية.

وينبغي للمؤسسات النظر في ما يلي:

• تقليل البيانات
• إعدادات افتراضية داعمة للخصوصية
• ضوابط الموافقة
• قيود الوصول
• التشفير
• حدود الحفظ
• الحذف الآمن
• سجلات التدقيق
• ضوابط المورّدين

ويكتسب ذلك أهمية خاصة في إطار التراخيص والامتثال المصري الجديد، لأن المؤسسات قد تحتاج إلى بيان كيفية حماية تدابيرها التقنية والتنظيمية للبيانات الشخصية.

سجلات الامتثال وأدلة التدقيق

ينبغي للمؤسسات الاحتفاظ بأدلة تثبت الامتثال.

وقد تشمل السجلات المهمة ما يلي:

• تراخيص المركز وتصاريحه
• سجلات الموافقة
• إشعارات الخصوصية
• حصر أنشطة المعالجة
• خرائط البيانات
• سجلات مسؤول حماية البيانات
• اتفاقيات المورّدين
• تقييمات أثر حماية البيانات أو تقييمات المخاطر
• وثائق الأمن
• سجلات الاختراقات
• طلبات أصحاب البيانات
• سجلات موافقة التسويق
• سجلات النقل عبر الحدود
• جداول الحفظ

ويمكن أن يساعد ConsentX المؤسسات في الحفاظ على طبقة أدلة الموافقة والتفضيلات الخاصة بالمعالجة عبر المواقع الإلكترونية والقنوات الرقمية.

الإنفاذ من جانب Personal Data Protection Center

Personal Data Protection Center (PDPC) هو الجهة الوطنية المصرية المسؤولة عن تنفيذ القانون ولائحته التنفيذية وإنفاذهما.

وتشمل مسؤولياته ما يلي:

• التنظيم
• إصدار التراخيص
• متابعة الامتثال
• الإنفاذ
• قيد مسؤولي حماية البيانات
• الاعتماد
• إصدار الإرشادات
• تلقي الشكاوى
• التوعية
• التعاون الدولي

ويحدد المركز قانون حماية البيانات الشخصية رقم 151 لسنة 2020 واللائحة التنفيذية رقم 816 لسنة 2025 بوصفهما الإطار القانوني الذي يعمل بموجبه.

العقوبات بموجب القانون المصري

ينص قانون حماية البيانات الشخصية المصري على عقوبات جنائية لعدد من المخالفات المتعلقة بالخصوصية.

فعلى سبيل المثال، يجوز أن يترتب على جمع البيانات الشخصية أو معالجتها أو الإفصاح عنها أو نقلها بغير سند قانوني أو دون موافقة صاحب البيانات غرامة تتراوح بين 100 ألف وحتى مليون جنيه مصري.

وإذا ارتُكب الفعل بقصد تحقيق منفعة مادية أو معنوية أو بنية تعريض صاحب البيانات للخطر أو الضرر، فقد تصل العقوبة إلى الحبس مدة لا تقل عن ستة أشهر وغرامة تتراوح بين 200 ألف ومليوني جنيه مصري، أو إحدى هاتين العقوبتين.

وتقرر أحكام أخرى عقوبات إضافية على مخالفات مثل الحيلولة دون ممارسة أصحاب البيانات لحقوقهم بغير وجه حق.

وقد تبلغ العقوبة القصوى 5 ملايين جنيه مصري في جرائم محددة متى نص الحكم المنطبق على هذا الحد من الغرامة.

ولذلك ينبغي للمؤسسات تقييم الجريمة المحددة والعقوبة القانونية المنطبقة بدل الاعتماد على رقم غرامة واحد بارز.

الموعد النهائي للامتثال للقانون المصري

صدرت اللائحة التنفيذية بالقرار الوزاري رقم 816 لسنة 2025 وأصبحت نافذة عقب نشرها في نوفمبر 2025.

ويذكر المركز أنّ مهلة امتثال مدتها سنة واحدة تبدأ من تاريخ نفاذ اللائحة التنفيذية.

وبالنسبة للمؤسسات التي تخطط لخارطة طريق الامتثال، يمثل نوفمبر 2026 محطة تنفيذ حاسمة.

ما ينبغي للمؤسسات فعله قبل نوفمبر 2026

ينبغي للمؤسسات العاملة في مصر إعطاء الأولوية لما يلي.

• رسم خريطة البيانات الشخصية. حدّد ما يجري جمعه من بيانات شخصية، وأين تُخزَّن، ولماذا تُعالَج، ومن يتلقاها.
• تحديد أدوار المتحكم والمعالج. وثّق دور المؤسسة في كل نشاط معالجة.
• مراجعة آليات الموافقة. تأكد من أن الموافقة صريحة ومسجّلة على النحو الملائم حيثما كانت مطلوبة.
• مراجعة معالجة البيانات الحساسة. حدّد الفئات الحساسة وطبّق ضمانات معززة.
• مراجعة بيانات الأطفال. حدّد ما إذا كان من الممكن أن يستخدم الخدمة أشخاص دون سن 15 عامًا، وطبّق ضوابط موافقة الولي عند الاقتضاء.
• تعيين مسؤول حماية البيانات وقيده. قيّم المتطلبات المتعلقة بمسؤول حماية البيانات وأكمل إجراءات القيد المنطبقة.
• مراجعة تراخيص المركز. حدّد ما إذا كانت تنطبق تراخيص أو تصاريح خاصة بالمتحكم أو المعالج أو التسويق أو النقل عبر الحدود أو المراقبة أو غيرها.
• رسم خريطة عمليات النقل الدولية. حدّد المورّدين في الخارج ومزودي الخدمات السحابية وخدمات التحليلات وغيرهم من الجهات المتلقية.
• مراجعة التسويق المباشر. تأكد من أن التسويق الإلكتروني يستند إلى موافقة وسجلات وآليات سحب وتراخيص مناسبة.
• تطبيق إجراءات الاختراقات. تأكد من قدرة المؤسسة على الوفاء بالمواعيد المنطبقة لإخطار المركز وأصحاب البيانات.

قائمة التحقق من الامتثال للقانون المصري

ينبغي للمؤسسات التي تستعد للإطار المصري النظر في قائمة التحقق التالية.

• تحديد ما إذا كان القانون المصري منطبقًا
• رسم خريطة معالجة البيانات الشخصية
• تحديد المتحكمين والمعالجين وحائزي البيانات
• تحديد الأسس القانونية المنطبقة
• مراجعة آليات الموافقة
• تقديم إشعارات خصوصية مناسبة
• تحديد البيانات الشخصية الحساسة
• مراجعة معالجة بيانات الأطفال
• تطبيق موافقة الولي عند الاقتضاء
• تعيين مسؤول لحماية البيانات وقيده
• تقييم متطلبات الترخيص لدى المركز
• مراجعة متطلبات النقل عبر الحدود
• الحصول على تصريح النقل المنطبق
• مراجعة التسويق الإلكتروني المباشر
• الحصول على موافقة التسويق المطلوبة
• تطبيق آليات إلغاء الاشتراك
• الاحتفاظ بسجلات الموافقة والتسويق
• تطبيق الضوابط الأمنية
• بناء القدرة على الإخطار بالاختراق خلال 72 ساعة
• وضع إجراءات إخطار أصحاب البيانات
• وضع مسارات عمل لطلبات أصحاب البيانات
• تطبيق سياسات الحفظ والحذف
• مراجعة اتفاقيات المعالجين
• مراجعة ملفات تعريف الارتباط وتقنيات التتبع
• تطبيق الحجب المسبق للنصوص البرمجية عند الاقتضاء
• الاحتفاظ بأدلة الامتثال
• إتمام الانتقال إلى الإطار الجديد بحلول نوفمبر 2026

لماذا تهمّ إدارة الموافقة في مصر

تكتسب إدارة الموافقة أهمية خاصة بموجب القانون المصري، لأن الموافقة الصريحة تمثل متطلبًا محوريًا لجمع البيانات الشخصية ومعالجتها متى لم ينطبق استثناء قانوني.

وينبغي أن تكون المؤسسات قادرة على إثبات ما يلي:

• ما الذي أُبلغ به الشخص
• ما الغرض الذي جرى عرضه
• ما الموافقة التي مُنحت
• متى جرى الحصول على الموافقة
• ما إصدار آلية الموافقة الذي استُخدم
• ما إذا كانت الموافقة قد عُدّلت
• ما إذا كانت الموافقة قد سُحبت
• كيف نفّذت المؤسسة قرار المستخدم

ويمكن لمنصة إدارة الموافقة أن توفّر البنية التقنية اللازمة لالتقاط هذه الأدلة والاحتفاظ بها.