ConsentX によるエジプト個人データ保護法 への対応

エジプト個人データ保護法とは

個人データ保護法 2020年第151号は、処理が全部または一部電子的手段によって行われるかを問わず、電子的に処理される個人データを保護するための規則を定めています。

この枠組みは、個人データを収集、管理、処理、保持、開示または移転する組織を規律し、データ主体の権利を定めています。

同法はまた、この枠組みの規制および執行を担う所管当局として Personal Data Protection Center（PDPC）を設置しています。

したがって、現在のエジプトのプライバシー枠組みは主に次のもので構成されます。

• 個人データ保護法 2020年第151号
• 施行規則 2025年第816号
• PDPC の決定、基準、手続およびガイダンス

エジプト PDPL の地理的適用範囲

同法は、次の者に関する電子的に処理された個人データを対象とします。

• エジプト国外に居住する者を含むエジプト国民
• エジプトに居住する非エジプト人

枠組みに関する PDPC の現行の説明は、エジプト国民と非エジプト人居住者の双方を、PDPL および施行規則によって保護されるデータ主体として明示的に位置づけています。

したがって、同法の適用範囲に含まれる個人データを収集または処理するエジプト国外の組織は、エジプト PDPL 上の義務を負うかどうかを評価すべきです。

エジプト PDPL における個人データとは

個人データとは、一般に、直接または間接に自然人を識別する、または識別しうる情報をいいます。

例としては次のものがあります。

• 氏名
• 国民識別番号
• 写真
• 音声
• メールアドレス
• 電話番号
• オンライン識別子
• 位置情報
• 財務情報
• 健康情報
• 生体情報
• 雇用情報

PDPC は、氏名、音声記録、写真、国民識別番号およびオンライン識別子を個人データの例として明示しています。

エジプト PDPL の主要原則

組織は、次を含む中核的なプライバシー原則を軸に処理活動を組み立てるべきです。

適法性。個人データは法令に従って収集され、処理されるべきです。

目的の限定。データは明確かつ正当な目的のために収集されるべきです。

データ最小化。組織は、収集を意図した目的に必要な情報に限定すべきです。

透明性。個人は、自らのデータがどのように収集され利用されるかについて適切に知らされるべきです。

正確性。組織は正確な個人情報を保持し、不正確なデータに適切に対応すべきです。

保存期間の限定。個人データは、正当な目的なく無期限に保有されるべきではありません。

安全性。管理者および処理者は、適切な技術的および組織的な保護措置を実施すべきです。

説明責任。組織は、遵守状況を示す記録および手続を整備すべきです。

施行規則はさらに、目的の特定、同意、保存、記録、セキュリティ、組織的統制に関する要件を具体化しています。

エジプト PDPL における同意

同意は、エジプトのデータ保護の枠組みにおける中核的な要素です。

PDPL 第2条は、データ主体の明示的な同意がある場合または法律が認める場合を除き、個人データを収集、処理、開示または公表してはならない旨を定めています。

したがって同法は、明示的同意モデルと法定の例外とを組み合わせています。

組織は、すべての処理に同意が必要であると考えるべきではありませんが、同意が適用される根拠である場合には、有効な同意を取得したことを示せるようにしておくべきです。

エジプトで有効な同意とはどのようなものか

適合的な同意の仕組みは、何に同意しているのかを理解するのに十分な情報を個人に提供すべきです。

組織は次の点を検討すべきです。

• 組織の識別情報
• 処理の目的
• 収集されるデータのカテゴリー
• 想定される利用方法
• 関係する提供先
• 保存期間またはその基準
• 国際移転
• マーケティング目的
• データ主体の権利
• 撤回の仕組み

施行規則は、一定の場合に、個人データの収集および同意の取得に用いる仕組みについて承認を得ることを求めています。

組織は、次の事項を示す電子的な記録を保持すべきです。

• 誰が同意したか
• いつ同意が与えられたか
• どの目的が開示されたか
• どのデータが対象であったか
• どの同意の仕組みが用いられたか
• 同意が撤回または変更されたか

これは特に重要です。エジプトのライセンス枠組みは、同意を取得する仕組みと、関連する電子的記録を保持する仕組みを組織が示すことを求めているためです。

同意の撤回

処理が同意に基づく場合、個人は同意を撤回または変更するための実用的な手段を有するべきです。

同意撤回のフローは次の要件を満たすべきです。

• 利用しやすいこと
• 撤回の効果を明確に説明すること
• 申出を記録すること
• 本人の選好を更新すること
• 該当する処理を停止すること
• 必要に応じて、変更を関連システムへ反映すること

ConsentX は、こうした同意の変更を記録し管理するための技術的な基盤を提供できます。

エジプト PDPL におけるセンシティブ個人データ

エジプトの枠組みは、センシティブ個人データに強化された保護を与えています。

PDPC は、次を含むセンシティブなカテゴリーを示しています。

• 健康データ
• 心理的または精神的健康に関する情報
• 遺伝情報
• 生体情報
• 財務情報
• 宗教的信条
• 政治的意見
• 安全保障に関わる情報
• 子どものデータ

施行規則は、センシティブ個人データを取り扱う管理者および処理者に追加の保護措置の遵守を求めています。これには次のものが含まれます。

• PDPC の該当するライセンスまたは許可の取得
• 該当する場合の明示的な書面による同意の取得
• 当該データが意図した目的に必要であることの確認
• データ主体への損害の回避
• 求められるセキュリティ基準の適用
• 電子的記録の保持
• 同意および関連する申出の記録

子どもの個人データ

エジプトの施行規則は、子どものデータについて固有の要件を導入しています。

15歳未満の子どもについては、法律上認められる例外がある場合を除き、組織は当該子どもの個人データを収集し処理する前に、法定代理人の明示的な書面による同意を取得しなければなりません。同意には、データを収集し処理する期間を明示し、撤回または変更を可能とすべきです。

施行規則は、15歳以上18歳未満の者について別個の同意要件を定めており、その仕組みは適用される規制上の要求に従って定められます。

子どもがゲーム、コンテストまたはこれに類する活動に参加する場合、組織は参加に必要な範囲を超えてデータを収集してはならず、また、禁止された分類、追跡または行動監視の活動にそのデータを利用してはなりません。

プライバシー通知と透明性

組織は、個人データを収集する際に、個人に対して適切な情報を提供すべきです。

プライバシー通知では、一般に次のような関連事項を説明すべきです。

• 管理者の識別情報
• 連絡先
• 収集の目的
• 個人データのカテゴリー
• データの処理方法
• 関係する提供先
• 保存
• データ主体の権利
• 同意および撤回の仕組み
• 国際移転
• マーケティング活動
• 関連する自動処理

透明性は、ウェブサイトのポリシー上の要件としてのみ扱うのではなく、収集のプロセスに組み込まれるべきです。

エジプト PDPL におけるデータ主体の権利

エジプト PDPL は、自らの個人データに関して個人にいくつかの権利を認めています。

個人データを知り、アクセスする権利。個人は、適用される条件のもとで、自らに関して保有される個人データを知り、これにアクセスする権利を有します。

情報を得る権利。データ主体は、自らのデータがどのように処理されているかに関する情報を得ることができます。

データを訂正し、更新する権利。個人は、不正確な個人情報の訂正または更新を求めることができます。

データを削除する権利。法定の要件が満たされる場合、個人は削除または消去に関する権利を有します。

処理を制限し、停止する権利。個人は、適用される規定に従い、一定の処理に異議を述べ、またはこれを停止させる権利を行使できます。

同意を撤回する権利。処理が同意に基づく場合、個人はその同意を撤回できます。

PDPC は、データ主体の権利行使を、その規制枠組みの中核的要素と位置づけています。

エジプトにおけるデータ主体アクセス請求

組織は、プライバシーに関する請求のために体系的なワークフローを整備すべきです。

実務的な DSAR プロセスには次の要素を含めるべきです。

• 請求の受付
• 本人確認
• 請求の分類
• データの探索
• 適用される法的要件の検討
• 回答の作成
• 安全な提供
• 請求の記録
• 完了の証跡

ConsentX は、請求の受付、進捗管理、ステータス管理および監査証跡の一元化を支援します。

エジプトにおけるデータ保護責任者

施行規則は、データ保護責任者（DPO）に関する正式な枠組みを設けています。

PDPC は DPO を、データ利用者として行動する法人の法定代表者が選任し、独立して職務を行い、PDPC の DPO 登録簿に登録された者として説明しています。

DPO の責務には次のものが含まれます。

• プライバシー遵守状況の監視
• 社内のデータ保護手続の監視
• セキュリティ方針の実施の支援
• データ主体からの請求の受付
• PDPC との連絡の維持
• 組織のプライバシー体制に関する報告

施行規則は、DPO の登録および交代の手続も定めています。

したがって組織は、2026年のコンプライアンス計画の一環として、DPO の選任および登録に関する義務を見直すべきです。

エジプト PDPL におけるライセンスと許可

新たなエジプトの枠組みの最も重要な特徴の一つが、ライセンスおよび許可の制度です。

PDPC は、データ利用者が該当するライセンスまたは許可を取得する必要があるとしています。

この枠組みには、次の分野のライセンスまたは許可の区分が含まれます。

• 管理者と処理者を兼ねる活動
• 管理者
• 処理者
• 電子マーケティング
• 越境データ移転
• 映像監視ツール

PDPC の現行の FAQ によれば、ライセンスは原則として3年間の更新可能な有効期間を有し、許可は原則として1年間の更新可能な有効期間を有します。

組織は、一般的なプライバシーポリシーがあれば遵守として十分だと考えるのではなく、自らの活動にどのライセンスまたは許可が適用されるかを判断すべきです。

エジプト PDPL におけるデータセキュリティ

管理者および処理者は、適切な技術的および組織的な保護措置を実施しなければなりません。

セキュリティ対策は、次のようなリスクに対応すべきです。

• 不正アクセス
• 不正な開示
• 滅失
• 破壊
• 改変
• 違法な処理
• データ漏えい

具体的な措置には次のものが含まれます。

• 暗号化
• アクセス制御
• 認証
• 多要素認証
• 安全なバックアップ
• ネットワークセキュリティ
• ログ記録
• 監視
• 脆弱性管理
• 従業員研修
• インシデント対応
• ベンダーのセキュリティ管理

施行規則は、ライセンス申請者に対し、個人データの保護および安全確保に用いる仕組みに関する情報の提出を求めています。

エジプトにおけるデータ侵害の通知

現行のエジプトの枠組みは、侵害通知について具体的な期限を定めています。

PDPC によれば、データ利用者は侵害を認識してから72時間以内に、法令、規則および PDPC の適用される指示が求める情報および手続を含めて、Center へ通知しなければなりません。

侵害が国家安全保障に関わる場合、通知は直ちに行わなければなりません。

適用される要件により個人への通知が必要となる場合、影響を受けるデータ主体には、PDPC への通知の日から3営業日以内に通知しなければなりません。

したがって組織は、次を対象とする文書化されたインシデント対応プロセスを整備すべきです。

• 検知
• 封じ込め
• リスク評価
• 影響を受けたデータの特定
• PDPC への通知
• データ主体への通知
• 是正措置
• 記録の作成
• 事後レビュー

国際移転および越境データ移転

越境移転は、エジプト PDPL の中でも特に重要な部分です。

PDPC は、組織が PDPC から越境データ移転のライセンスまたは許可を事前に取得した場合、または当該移転が法定の例外に該当する場合を除き、個人データを原則としてエジプト国外へ移転してはならないとしています。

施行規則は、次の事項に関する要件を定めています。

• 移転先
• 受領組織
• 法的および技術的な保護措置
• 適用されるライセンスまたは許可
• データのカテゴリー
• 移転の取決め
• セキュリティ上の保護

したがってこの規制枠組みは、単純な契約による移転の仕組みよりも制限的です。

海外のクラウド、アナリティクス、CRM、広告またはホスティングの事業者を利用する組織は、国際的なデータの流れを把握し、PDPC の許可が必要かどうかを判断すべきです。

越境データ移転ライセンス

施行規則は、エジプトから他国へ個人データを移転するための固有のライセンスまたは許可を設けています。

この許可は、承認された管理および制限に従って移転を認めるものです。

新たな移転先国を追加する場合、許可の更新が必要となることがあります。

組織は、次の事項について最新の一覧を保持すべきです。

• 移転先の国
• 海外のベンダー
• データのカテゴリー
• 処理の目的
• 移転の量
• 移転の仕組み
• セキュリティ管理策

エジプトにおける電子的ダイレクトマーケティング

エジプトの枠組みには、電子的ダイレクトマーケティングに関する固有の規則があります。

電子的ダイレクトマーケティングを行う組織は、次の点に対応しなければなりません。

• 事前の明示的な同意
• マーケティング目的に関する透明性
• 送信者の識別情報
• 連絡先
• オプトアウトの仕組み
• 同意の撤回
• 同意の記録
• 該当する PDPC のライセンス

PDPC は、マーケティング通信において、同意を撤回し、またはそれ以降の通信に異議を述べるための明確で利用しやすい手段を提供しなければならないとしています。

施行規則はまた、マーケティングの同意がどのように、いつ取得されたか、また削除または変更の申出がどのように処理されたかを示す電子的記録を求めています。

エジプト PDPL における Cookie とオンライントラッキング

PDPL は個人データの処理を規律するものであり、すべての Cookie に及ぶ独立した一般規則を設けるものではありません。

もっとも、Cookie、ピクセル、SDK、広告識別子、アナリティクスツールその他のオンライン技術は個人データを処理することがあります。

したがって組織は、次の点を評価すべきです。

• 各トラッカーが何を収集するか
• 個人を識別できるか
• 処理の目的
• 適用される法的根拠
• 同意が必要か
• データがエジプト国外へ出るか
• 第三者が当該情報を受け取るか
• センシティブデータが関わるか

Cookie 同意とスクリプトの事前ブロック

同意に依拠するウェブサイトでは、適合的な技術実装により、対象となる必須ではないトラッカーが必要な同意シグナルの前に作動しないようにすべきです。

ConsentX による実装は、次の機能を支援します。

• Cookie の検出
• トラッカーの分類
• 同意バナー
• 目的別の選好設定
• スクリプトの事前ブロック
• 同意の記録
• 選好の撤回
• 地域別の構成

これにより、ウェブサイトの技術的な挙動を、表示しているプライバシー上の選択肢と整合させやすくなります。

自動化された意思決定とプロファイリング

プロファイリングまたは自動処理を用いる組織は、これらの活動がプライバシーに及ぼす影響を評価すべきです。

関連する考慮事項には次のものが含まれます。

• 透明性
• 目的の限定
• データ最小化
• 正確性
• セキュリティ
• 人による監督
• センシティブデータの処理
• 子どものデータ
• 個人への潜在的な影響

組織はまた、当該処理が追加の規制要件や PDPC による精査を生じさせるかどうかを判断すべきです。

データの保存と削除

組織は、次の事項に基づいて保存期間を定めるべきです。

• 処理の目的
• 法令上の義務
• 契約上の要求
• 規制上の要求
• データの機微性
• 業務上の必要性

保存管理のプログラムには次の要素を含めるべきです。

• 保存スケジュール
• 削除の規則
• アーカイブ手続
• リーガルホールド
• 安全な廃棄
• 定期的な見直し

個人データは、将来役立つかもしれないという理由だけで無期限に保有されるべきではありません。

処理者および第三者ベンダー

組織は、処理者に対して適切な契約上および運用上の統制を維持すべきです。

ベンダーとの契約では次の事項を定めるべきです。

• 処理に関する指示
• 秘密保持
• セキュリティ
• 再委託先
• データの保存
• データの削除
• 侵害の通知
• データ主体からの請求
• 国際移転
• 規制当局への協力

組織は、エジプトの個人データにアクセスするベンダーの最新の一覧を保持すべきです。

プライバシー・バイ・デザイン

プライバシーは、ウェブサイト、アプリケーション、データベースおよび業務プロセスに当初から組み込まれるべきです。

組織は次の点を検討すべきです。

• データ最小化
• プライバシーに配慮した既定設定
• 同意の管理機能
• アクセス制限
• 暗号化
• 保存期間の制限
• 安全な削除
• 監査ログ
• ベンダー管理

これはエジプトの新しいライセンスおよびコンプライアンスの枠組みにおいて特に重要です。組織は、技術的および組織的な措置がどのように個人データを保護しているかを示す必要が生じうるためです。

コンプライアンス記録と監査証跡

組織は、遵守を示す証跡を保持すべきです。

重要な記録には次のものが含まれます。

• PDPC のライセンスおよび許可
• 同意の記録
• プライバシー通知
• 処理の一覧
• データマップ
• DPO に関する記録
• ベンダーとの契約
• DPIA またはリスク評価
• セキュリティ関連文書
• 侵害の記録
• データ主体からの請求
• マーケティング同意の記録
• 越境移転の記録
• 保存スケジュール

ConsentX は、ウェブサイトおよびデジタル上の処理について、同意と選好に関する証跡の基盤を維持することを支援します。

Personal Data Protection Center による執行

Personal Data Protection Center（PDPC）は、PDPL およびその施行規則の実施と執行を担うエジプトの国家当局です。

その責務には次のものが含まれます。

• 規制
• ライセンスの付与
• 遵守状況の監視
• 執行
• DPO の登録
• 認定
• ガイダンスの提供
• 苦情への対応
• 啓発
• 国際協力

PDPC は、個人データ保護法 2020年第151号および施行規則 2025年第816号を、自らが活動する法的枠組みとして示しています。

エジプト PDPL における制裁

エジプト PDPL は、さまざまなプライバシー違反に対して刑事罰を定めています。

たとえば、法的根拠またはデータ主体の同意なく個人データを収集、処理、開示または移転した場合、10万 EGP から100万 EGP の罰金が科されることがあります。

物質的または精神的な利益を得る目的で、あるいはデータ主体を危険や損害にさらす意図をもって行われた場合には、6か月以上の拘禁刑および20万 EGP から200万 EGP の罰金、またはそのいずれかへと引き上げられることがあります。

その他の規定は、データ主体の権利行使を不法に妨げる行為などに対する追加の制裁を定めています。

適用条文がその水準の罰金を定める特定の犯罪については、上限が500万 EGP に達することがあります。

したがって組織は、単一の目立つ罰金額に頼るのではなく、具体的な犯罪類型と適用される法定の制裁を確認すべきです。

エジプト PDPL のコンプライアンス期限

施行規則は2025年大臣令第816号によって公布され、2025年11月の公布を経て効力を生じました。

PDPC は、施行規則の発効から1年間のコンプライアンス期間が始まるとしています。

コンプライアンスのロードマップを立てる組織にとって、2026年11月は重要な実施上の節目となります。

2026年11月までに組織が行うべきこと

エジプトで事業を行う組織は、次の事項を優先すべきです。

• 個人データを可視化する。どの個人データを収集し、どこに保存し、なぜ処理し、誰が受け取るのかを特定します。
• 管理者と処理者の役割を特定する。各処理活動における自社の役割を文書化します。
• 同意の仕組みを見直す。同意が必要な場合に、明示的な同意が取得され、適切に記録されるようにします。
• センシティブデータの処理を見直す。センシティブなカテゴリーを特定し、強化された保護措置を実施します。
• 子どものデータを見直す。15歳未満の者がサービスを利用しうるかを確認し、必要な場合は保護者の同意に関する仕組みを実装します。
• DPO を選任し登録する。DPO に関する要件を評価し、該当する登録手続を完了します。
• PDPC のライセンスを確認する。管理者、処理者、マーケティング、越境移転、監視その他のライセンスまたは許可が適用されるかを判断します。
• 国際移転を可視化する。海外のベンダー、クラウド事業者、アナリティクスサービスその他の受領者を特定します。
• ダイレクトマーケティングを見直す。電子マーケティングについて、適切な同意、記録、撤回手段およびライセンスを備えているか確認します。
• 侵害対応手続を実装する。PDPC およびデータ主体への通知に関する期限を組織が遵守できるようにします。

エジプト PDPL コンプライアンス チェックリスト

エジプトの枠組みに備える組織は、次のチェックリストを検討すべきです。

• エジプト PDPL が適用されるかを判断する
• 個人データの処理を可視化する
• 管理者、処理者およびデータ保有者を特定する
• 適用される法的根拠を特定する
• 同意の仕組みを見直す
• 適切なプライバシー通知を提供する
• センシティブ個人データを特定する
• 子どものデータの処理を見直す
• 必要な場合に保護者の同意を実装する
• DPO を選任し登録する
• PDPC のライセンス要件を評価する
• 越境移転の要件を確認する
• 該当する移転の許可を取得する
• 電子的ダイレクトマーケティングを見直す
• 必要なマーケティング同意を取得する
• オプトアウトの仕組みを実装する
• 同意およびマーケティングの記録を保持する
• セキュリティ管理策を実装する
• 72時間以内に通知できる体制を整える
• データ主体への通知手続を整える
• DSAR のワークフローを整える
• 保存および削除の方針を実装する
• 処理者との契約を見直す
• Cookie およびトラッキング技術を見直す
• 必要な場合にスクリプトの事前ブロックを実装する
• コンプライアンスの証跡を保持する
• 2026年11月までに新たな枠組みへの移行を完了する

エジプトで同意管理が重要である理由

エジプト PDPL では、法定の例外が適用されない場合、明示的な同意が個人データの収集および処理の中核的な要件であるため、同意管理は特に重要です。

組織は、次の事項を示せるようにしておくべきです。

• 本人に何が伝えられたか
• どの目的が提示されたか
• どのような同意が与えられたか
• いつ同意が取得されたか
• どのバージョンの同意の仕組みが用いられたか
• 同意が変更されたか
• 同意が撤回されたか
• 組織が利用者の決定をどのように反映したか

同意管理プラットフォームは、こうした証跡を取得し保存するために必要な技術基盤を提供できます。