Conformidade com a Lei de Proteção de Dados Pessoais do Egito com a ConsentX

O que é a Lei de Proteção de Dados Pessoais do Egito?

A Lei de Proteção de Dados Pessoais n.º 151 de 2020 estabelece regras para proteger dados pessoais tratados eletronicamente, quer o tratamento ocorra total ou parcialmente por meios eletrônicos.

O marco regula as organizações que coletam, controlam, tratam, conservam, divulgam ou transferem dados pessoais e assegura direitos aos titulares.

A lei institui também o Personal Data Protection Center (PDPC) como autoridade competente para regular e fazer cumprir o marco.

O atual marco egípcio de privacidade é composto, portanto, principalmente por:

• Lei de Proteção de Dados Pessoais n.º 151 de 2020
• Regulamento Executivo n.º 816 de 2025
• Decisões, padrões, procedimentos e orientações do PDPC

Âmbito territorial da PDPL do Egito

A lei abrange dados pessoais tratados eletronicamente relativos a:

• Cidadãos egípcios, inclusive os residentes fora do Egito
• Pessoas não egípcias residentes no Egito

A explicação atual do PDPC sobre o marco identifica expressamente tanto cidadãos egípcios quanto residentes não egípcios como titulares protegidos pela PDPL e pelo Regulamento Executivo.

Organizações situadas fora do Egito que coletem ou tratem dados pessoais abrangidos pela lei devem, portanto, avaliar se possuem obrigações sob a PDPL egípcia.

O que são dados pessoais segundo a PDPL do Egito?

Dados pessoais referem-se, de modo geral, a informações que identificam ou podem identificar uma pessoa natural, direta ou indiretamente.

Exemplos incluem:

• Nome
• Número nacional de identificação
• Fotografia
• Voz
• Endereço de e-mail
• Número de telefone
• Identificador on-line
• Informações de localização
• Informações financeiras
• Informações de saúde
• Informações biométricas
• Informações de emprego

O PDPC identifica especificamente nomes, gravações de voz, fotografias, números nacionais de identificação e identificadores on-line como exemplos de dados pessoais.

Princípios fundamentais da PDPL do Egito

As organizações devem estruturar suas atividades de tratamento em torno de princípios essenciais de privacidade, entre eles:

Legalidade. Os dados pessoais devem ser coletados e tratados em conformidade com a lei.

Limitação da finalidade. Os dados devem ser coletados para finalidades definidas e legítimas.

Minimização de dados. As organizações devem limitar a coleta às informações necessárias para a finalidade pretendida.

Transparência. As pessoas devem ser adequadamente informadas sobre como seus dados são coletados e utilizados.

Exatidão. As organizações devem manter informações pessoais exatas e tratar adequadamente dados inexatos.

Limitação do prazo de conservação. Os dados pessoais não devem ser mantidos indefinidamente sem uma finalidade legítima.

Segurança. Controladores e operadores devem implementar salvaguardas técnicas e organizacionais adequadas.

Responsabilização. As organizações devem manter registros e procedimentos que comprovem a conformidade.

O Regulamento Executivo detalha ainda os requisitos relativos à especificação da finalidade, ao consentimento, à conservação, aos registros, à segurança e aos controles organizacionais.

O consentimento na PDPL do Egito

O consentimento é elemento central do marco egípcio de proteção de dados.

O artigo 2.º da PDPL dispõe que, em regra, dados pessoais não podem ser coletados, tratados, divulgados ou revelados sem o consentimento explícito do titular ou nas hipóteses permitidas em lei.

A lei combina, assim, um modelo de consentimento explícito com exceções legais.

As organizações não devem presumir que o consentimento é exigido para toda operação de tratamento, mas, quando ele for a base aplicável, a organização deve ser capaz de demonstrar que obteve consentimento válido.

O que torna o consentimento válido no Egito?

Um mecanismo de consentimento em conformidade deve fornecer às pessoas informações suficientes para que compreendam com o que estão concordando.

As organizações devem considerar:

• Identidade da organização
• Finalidade do tratamento
• Categorias de dados coletados
• Uso pretendido
• Destinatários relevantes
• Prazo de conservação ou seus critérios
• Transferências internacionais
• Finalidades de marketing
• Direitos do titular
• Mecanismos de retirada

O Regulamento Executivo exige, em determinadas situações, a aprovação dos mecanismos usados para coletar dados pessoais e obter o consentimento.

As organizações devem manter registros eletrônicos que demonstrem:

• Quem deu o consentimento
• Quando o consentimento foi dado
• Qual finalidade foi informada
• Quais dados foram abrangidos
• Qual mecanismo de consentimento foi utilizado
• Se o consentimento foi retirado ou alterado

Isso é especialmente importante porque o marco egípcio de licenciamento exige que as organizações demonstrem seus mecanismos de obtenção do consentimento e de manutenção dos respectivos registros eletrônicos.

Retirada do consentimento

Quando o tratamento se baseia no consentimento, as pessoas devem dispor de um mecanismo prático para retirá-lo ou alterá-lo.

Os fluxos de retirada do consentimento devem:

• Ser acessíveis
• Explicar com clareza o efeito da retirada
• Registrar a solicitação
• Atualizar a preferência da pessoa
• Interromper o tratamento correspondente
• Propagar a alteração aos sistemas pertinentes quando cabível

A ConsentX pode fornecer a camada técnica para registrar e gerenciar essas alterações de consentimento.

Dados pessoais sensíveis na PDPL do Egito

O marco egípcio confere proteção reforçada aos dados pessoais sensíveis.

O PDPC identifica categorias sensíveis que incluem:

• Dados de saúde
• Informações sobre saúde psicológica ou mental
• Informações genéticas
• Informações biométricas
• Informações financeiras
• Convicções religiosas
• Opiniões políticas
• Informações relacionadas à segurança
• Dados de crianças

O Regulamento Executivo exige que controladores e operadores que tratam dados pessoais sensíveis observem salvaguardas adicionais. Entre elas:

• Obter a licença ou autorização pertinente do PDPC
• Obter consentimento escrito explícito nos casos aplicáveis
• Assegurar que os dados sejam necessários à finalidade pretendida
• Evitar dano ao titular
• Aplicar os padrões de segurança exigidos
• Manter registros eletrônicos
• Registrar o consentimento e as solicitações pertinentes

Dados pessoais de crianças

O Regulamento Executivo egípcio introduz requisitos específicos para dados de crianças.

Para crianças menores de 15 anos, as organizações devem obter o consentimento escrito explícito do responsável legal antes de coletar e tratar seus dados pessoais, ressalvadas as exceções legalmente admitidas. O consentimento deve especificar o período pelo qual os dados serão coletados e tratados e permitir sua retirada ou alteração.

O Regulamento Executivo estabelece requisitos de consentimento distintos para pessoas entre 15 e 18 anos, com mecanismos definidos conforme os requisitos regulatórios aplicáveis.

Quando crianças participam de jogos, concursos ou atividades semelhantes, as organizações não podem coletar mais dados do que o necessário para a participação nem utilizá-los para atividades proibidas de classificação, rastreamento ou monitoramento comportamental.

Avisos de privacidade e transparência

As organizações devem fornecer informações adequadas às pessoas ao coletar seus dados pessoais.

Um aviso de privacidade deve explicar aspectos relevantes, tais como:

• Identidade do controlador
• Dados de contato
• Finalidade da coleta
• Categorias de dados pessoais
• Como os dados serão tratados
• Destinatários relevantes
• Conservação
• Direitos dos titulares
• Mecanismos de consentimento e de retirada
• Transferências internacionais
• Atividades de marketing
• Tratamentos automatizados relevantes

A transparência deve estar integrada ao processo de coleta, e não ser tratada apenas como exigência da política do site.

Direitos dos titulares na PDPL do Egito

A PDPL do Egito assegura às pessoas diversos direitos sobre seus dados pessoais.

Conhecer e acessar os dados pessoais. As pessoas têm o direito de conhecer e acessar os dados pessoais mantidos a seu respeito, observadas as condições aplicáveis.

Obter informações. Os titulares podem obter informações relevantes sobre como seus dados são tratados.

Corrigir ou atualizar dados. As pessoas podem solicitar a correção ou atualização de informações pessoais inexatas.

Excluir ou eliminar dados. As pessoas têm direitos relativos à exclusão ou eliminação quando atendidos os requisitos legais.

Restringir ou interromper o tratamento. As pessoas podem exercer direitos para se opor a determinados tratamentos ou interrompê-los, nos termos das disposições aplicáveis.

Retirar o consentimento. Quando o consentimento for a base do tratamento, as pessoas podem retirá-lo.

O PDPC aponta o exercício dos direitos dos titulares como componente central de seu marco regulatório.

Solicitações de acesso dos titulares no Egito

As organizações devem manter um fluxo de trabalho estruturado para as solicitações de privacidade.

Um processo prático de DSAR deve incluir:

• Recebimento da solicitação
• Verificação de identidade
• Classificação da solicitação
• Localização dos dados
• Análise das condições legais aplicáveis
• Preparação da resposta
• Entrega segura
• Registro da solicitação
• Evidência de conclusão

A ConsentX pode ajudar a centralizar o recebimento, o acompanhamento, a gestão de status e as evidências de auditoria das solicitações.

O encarregado de proteção de dados no Egito

O Regulamento Executivo institui um marco formal para o encarregado de proteção de dados (DPO).

O PDPC descreve o DPO como pessoa designada pelo representante legal de uma pessoa jurídica que atua como usuária de dados, que exerce suas funções de forma independente e está inscrita no registro de DPOs do PDPC.

As responsabilidades do DPO incluem:

• Monitorar a conformidade em privacidade
• Monitorar os procedimentos internos de proteção de dados
• Apoiar a implementação das políticas de segurança
• Receber as solicitações dos titulares
• Manter a comunicação com o PDPC
• Reportar a situação de privacidade da organização

O Regulamento Executivo também estabelece procedimentos para registrar e substituir DPOs.

As organizações devem, portanto, revisar suas obrigações de nomeação e registro de DPO como parte de seu programa de conformidade de 2026.

Licenças e autorizações na PDPL do Egito

Uma das características mais marcantes do novo marco egípcio é seu regime de licenças e autorizações.

O PDPC informa que os usuários de dados devem obter as licenças ou autorizações aplicáveis.

O marco prevê categorias de licença ou autorização para:

• Atividades combinadas de controlador e operador
• Controladores
• Operadores
• Marketing eletrônico
• Transferências internacionais de dados
• Ferramentas de videomonitoramento

Segundo o FAQ atual do PDPC, as licenças em regra têm prazo renovável de três anos, ao passo que as autorizações em regra têm prazo renovável de um ano.

As organizações devem determinar quais licenças ou autorizações se aplicam às suas atividades, em vez de presumir que uma política de privacidade genérica basta para a conformidade.

Segurança de dados na PDPL do Egito

Controladores e operadores devem implementar salvaguardas técnicas e organizacionais adequadas.

Os controles de segurança devem endereçar riscos como:

• Acesso não autorizado
• Divulgação não autorizada
• Perda
• Destruição
• Alteração
• Tratamento ilícito
• Vazamento de dados

As medidas práticas podem incluir:

• Criptografia
• Controles de acesso
• Autenticação
• Autenticação multifator
• Backups seguros
• Segurança de rede
• Registro de logs
• Monitoramento
• Gestão de vulnerabilidades
• Treinamento de colaboradores
• Resposta a incidentes
• Controles de segurança de fornecedores

O Regulamento Executivo exige que os solicitantes de licença informem os mecanismos utilizados para proteger e resguardar os dados pessoais.

Notificação de incidentes de dados no Egito

O marco egípcio atual estabelece prazos específicos de notificação de incidentes.

Segundo o PDPC, os usuários de dados devem notificar o Center em até 72 horas a contar do conhecimento do incidente, apresentando as informações e seguindo os procedimentos exigidos pela lei, pelo regulamento e pelas orientações aplicáveis do PDPC.

Quando o incidente envolver questões de segurança nacional, a notificação deve ser feita imediatamente.

Os titulares afetados devem ser notificados em até três dias úteis contados da data da notificação ao PDPC, quando os requisitos aplicáveis determinarem essa comunicação.

As organizações devem manter um processo documentado de resposta a incidentes que abranja:

• Detecção
• Contenção
• Avaliação de risco
• Identificação dos dados afetados
• Notificação ao PDPC
• Notificação aos titulares
• Remediação
• Documentação
• Revisão pós-incidente

Transferências internacionais e transfronteiriças de dados

As transferências transfronteiriças são parte especialmente relevante da PDPL do Egito.

O PDPC informa que, em regra, dados pessoais não podem ser transferidos para fora do Egito, salvo se a organização obtiver previamente licença ou autorização de transferência internacional junto ao PDPC ou se a transferência se enquadrar em exceção legal.

O Regulamento Executivo estabelece requisitos relativos a:

• Destinos da transferência
• Organizações destinatárias
• Salvaguardas jurídicas e técnicas
• Licenças ou autorizações aplicáveis
• Categorias de dados
• Arranjos de transferência
• Proteções de segurança

O marco regulatório é, portanto, mais restritivo do que um simples mecanismo contratual de transferência.

Organizações que utilizam provedores de nuvem, analytics, CRM, publicidade ou hospedagem no exterior devem mapear seus fluxos internacionais de dados e verificar se é necessária autorização do PDPC.

Licença de transferência internacional de dados

O Regulamento Executivo institui licença ou autorização específica para transferir dados pessoais do Egito para outro país.

A autorização permite as transferências observados os controles e restrições aprovados.

A inclusão de novos países de destino pode exigir a atualização da autorização.

As organizações devem manter um inventário atualizado de:

• Países de destino
• Fornecedores no exterior
• Categorias de dados
• Finalidades do tratamento
• Volumes de transferência
• Mecanismos de transferência
• Controles de segurança

Marketing eletrônico direto no Egito

O marco egípcio contém regras específicas para o marketing eletrônico direto.

As organizações que realizam marketing eletrônico direto devem tratar de:

• Consentimento explícito prévio
• Transparência quanto à finalidade de marketing
• Identidade do remetente
• Dados de contato
• Mecanismos de descadastramento
• Retirada do consentimento
• Registros de consentimento
• Licenciamento aplicável do PDPC

O PDPC informa que as comunicações de marketing devem oferecer mecanismo claro e acessível para retirar o consentimento ou se opor a novas comunicações.

O Regulamento Executivo também exige registros eletrônicos que demonstrem como e quando o consentimento de marketing foi obtido e como as solicitações de exclusão ou alteração foram tratadas.

Cookies e rastreamento on-line na PDPL do Egito

A PDPL regula o tratamento de dados pessoais em vez de criar uma regra universal autônoma sobre cookies.

Contudo, cookies, pixels, SDKs, identificadores de publicidade, ferramentas de analytics e outras tecnologias on-line podem tratar dados pessoais.

As organizações devem, portanto, avaliar:

• O que cada rastreador coleta
• Se as pessoas podem ser identificadas
• A finalidade do tratamento
• A justificativa legal aplicável
• Se o consentimento é exigido
• Se os dados saem do Egito
• Se terceiros recebem as informações
• Se há dados sensíveis envolvidos

Consentimento de cookies e bloqueio prévio de scripts

Para sites que se apoiam no consentimento, uma implementação técnica em conformidade deve assegurar que os rastreadores não essenciais pertinentes não sejam ativados antes do sinal de consentimento exigido.

Uma implementação com a ConsentX pode apoiar:

• Descoberta de cookies
• Categorização de rastreadores
• Banners de consentimento
• Preferências por finalidade
• Bloqueio prévio de scripts
• Registros de consentimento
• Retirada de preferências
• Configurações regionais

Isso ajuda a alinhar o comportamento técnico de um site às escolhas de privacidade que ele declara.

Decisões automatizadas e definição de perfis

As organizações que utilizam definição de perfis ou tratamento automatizado devem avaliar as implicações dessas atividades para a privacidade.

As considerações relevantes incluem:

• Transparência
• Limitação da finalidade
• Minimização de dados
• Exatidão
• Segurança
• Supervisão humana
• Tratamento de dados sensíveis
• Dados de crianças
• Possíveis efeitos sobre as pessoas

As organizações devem ainda verificar se o tratamento aciona requisitos regulatórios adicionais ou o escrutínio do PDPC.

Conservação e eliminação de dados

As organizações devem definir prazos de conservação com base em:

• Finalidade do tratamento
• Obrigações legais
• Exigências contratuais
• Exigências regulatórias
• Sensibilidade dos dados
• Necessidades operacionais

Um programa de conservação deve incluir:

• Cronogramas de conservação
• Regras de eliminação
• Procedimentos de arquivamento
• Retenções por motivo legal
• Destruição segura
• Revisão periódica

Dados pessoais não devem ser mantidos indefinidamente apenas porque podem ser úteis no futuro.

Operadores e fornecedores terceiros

As organizações devem manter controles contratuais e operacionais adequados sobre os operadores.

Os contratos com fornecedores devem tratar de:

• Instruções de tratamento
• Confidencialidade
• Segurança
• Suboperadores
• Conservação de dados
• Eliminação de dados
• Notificação de incidentes
• Solicitações dos titulares
• Transferências internacionais
• Cooperação com o regulador

As organizações devem manter inventário atualizado dos fornecedores que acessam dados pessoais egípcios.

Privacidade desde a concepção

A privacidade deve ser incorporada desde o início a sites, aplicativos, bancos de dados e processos de negócio.

As organizações devem considerar:

• Minimização de dados
• Configurações padrão favoráveis à privacidade
• Controles de consentimento
• Restrições de acesso
• Criptografia
• Limites de conservação
• Eliminação segura
• Logs de auditoria
• Controles sobre fornecedores

Isso é especialmente importante no novo marco egípcio de licenciamento e conformidade, pois as organizações podem precisar demonstrar como suas medidas técnicas e organizacionais protegem os dados pessoais.

Registros de conformidade e evidências de auditoria

As organizações devem manter evidências que comprovem a conformidade.

Registros importantes podem incluir:

• Licenças e autorizações do PDPC
• Registros de consentimento
• Avisos de privacidade
• Inventários de tratamento
• Mapas de dados
• Documentação do DPO
• Contratos com fornecedores
• RIPDs ou avaliações de risco
• Documentação de segurança
• Registros de incidentes
• Solicitações dos titulares
• Registros de consentimento de marketing
• Registros de transferências internacionais
• Cronogramas de conservação

A ConsentX pode ajudar as organizações a manter a camada de evidências de consentimento e preferências para o tratamento em sites e ambientes digitais.

A atuação do Personal Data Protection Center

O Personal Data Protection Center (PDPC) é a autoridade nacional egípcia responsável por implementar e fazer cumprir a PDPL e seu Regulamento Executivo.

Entre suas atribuições estão:

• Regulação
• Licenciamento
• Monitoramento da conformidade
• Fiscalização
• Registro de DPOs
• Credenciamento
• Orientações
• Reclamações
• Conscientização
• Cooperação internacional

O PDPC identifica a Lei de Proteção de Dados Pessoais n.º 151 de 2020 e o Regulamento Executivo n.º 816 de 2025 como o marco jurídico sob o qual atua.

Sanções previstas na PDPL do Egito

A PDPL do Egito prevê sanções penais para diversas violações de privacidade.

Por exemplo, a coleta, o tratamento, a divulgação ou a transferência ilícitos de dados pessoais sem amparo legal ou consentimento do titular podem resultar em multas de 100.000 EGP a 1 milhão de EGP.

Quando a conduta é praticada com intuito de ganho material ou moral, ou com a intenção de expor o titular a risco ou dano, as sanções podem chegar a pena privativa de liberdade de no mínimo seis meses e multas entre 200.000 EGP e 2 milhões de EGP, ou uma dessas penas.

Outras disposições estabelecem sanções adicionais para violações como impedir ilicitamente o exercício dos direitos dos titulares.

A pena máxima pode alcançar 5 milhões de EGP em infrações específicas quando a disposição aplicável prevê esse patamar de multa.

As organizações devem, portanto, avaliar a infração específica e a sanção legal aplicável, em vez de se apoiar em um único valor de multa destacado.

O prazo de adequação da PDPL do Egito

O Regulamento Executivo foi editado pelo Decreto Ministerial n.º 816 de 2025 e tornou-se eficaz após a publicação em novembro de 2025.

O PDPC informa que o período de adequação de um ano começa a contar da entrada em vigor do Regulamento Executivo.

Para as organizações que planejam seu roteiro de conformidade, novembro de 2026 é, portanto, um marco decisivo de implementação.

O que as organizações devem fazer antes de novembro de 2026

As organizações que atuam no Egito devem priorizar o seguinte.

• Mapear os dados pessoais. Identifique quais dados pessoais são coletados, onde são armazenados, por que são tratados e quem os recebe.
• Identificar os papéis de controlador e operador. Documente o papel da organização em cada atividade de tratamento.
• Revisar os mecanismos de consentimento. Garanta que o consentimento seja explícito e devidamente registrado quando exigido.
• Revisar o tratamento de dados sensíveis. Identifique as categorias sensíveis e implemente salvaguardas reforçadas.
• Revisar os dados de crianças. Verifique se menores de 15 anos podem usar o serviço e implemente controles de consentimento do responsável quando necessário.
• Nomear e registrar o DPO. Avalie os requisitos do DPO e conclua os procedimentos de registro aplicáveis.
• Revisar o licenciamento do PDPC. Verifique se incidem licenças ou autorizações de controlador, operador, marketing, transferência internacional, videomonitoramento ou outras.
• Mapear as transferências internacionais. Identifique fornecedores no exterior, provedores de nuvem, serviços de analytics e demais destinatários.
• Revisar o marketing direto. Garanta que o marketing eletrônico tenha consentimento, registros, mecanismos de retirada e licenciamento adequados.
• Implementar procedimentos de incidentes. Garanta que a organização consiga cumprir os prazos aplicáveis de notificação ao PDPC e aos titulares.

Checklist de conformidade com a PDPL do Egito

As organizações que se preparam para o marco egípcio devem considerar o checklist a seguir.

• Determinar se a PDPL egípcia é aplicável
• Mapear o tratamento de dados pessoais
• Identificar controladores, operadores e detentores de dados
• Identificar as bases legais aplicáveis
• Revisar os mecanismos de consentimento
• Fornecer avisos de privacidade adequados
• Identificar os dados pessoais sensíveis
• Revisar o tratamento de dados de crianças
• Implementar o consentimento do responsável quando exigido
• Nomear e registrar um DPO
• Avaliar os requisitos de licenciamento do PDPC
• Revisar os requisitos de transferência internacional
• Obter a autorização de transferência aplicável
• Revisar o marketing eletrônico direto
• Obter o consentimento de marketing exigido
• Implementar mecanismos de descadastramento
• Manter registros de consentimento e de marketing
• Implementar controles de segurança
• Estabelecer capacidade de notificação em 72 horas
• Estabelecer procedimentos de notificação aos titulares
• Estabelecer fluxos de trabalho de DSAR
• Implementar políticas de conservação e eliminação
• Revisar os contratos com operadores
• Revisar cookies e tecnologias de rastreamento
• Implementar o bloqueio prévio de scripts quando exigido
• Manter evidências de conformidade
• Concluir a transição para o novo marco até novembro de 2026

Por que a gestão de consentimento é importante no Egito

A gestão de consentimento é especialmente importante na PDPL do Egito porque o consentimento explícito é requisito central para a coleta e o tratamento de dados pessoais quando não incide nenhuma exceção legal.

As organizações devem ser capazes de demonstrar:

• O que foi informado à pessoa
• Qual finalidade foi apresentada
• Qual consentimento foi dado
• Quando o consentimento foi obtido
• Qual versão do mecanismo de consentimento foi utilizada
• Se o consentimento foi alterado
• Se o consentimento foi retirado
• Como a organização aplicou a decisão do usuário

Uma plataforma de gestão de consentimento pode fornecer a infraestrutura técnica necessária para capturar e preservar essas evidências.