Соответствие египетскому Закону о защите персональных данных с ConsentX

Что такое египетский Закон о защите персональных данных?

Закон о защите персональных данных № 151 от 2020 года устанавливает правила защиты персональных данных, обрабатываемых электронным способом, независимо от того, осуществляется ли обработка полностью или частично электронными средствами.

Эта система регулирует организации, которые собирают, контролируют, обрабатывают, хранят, раскрывают или передают персональные данные, и закрепляет права субъектов данных.

Закон также учреждает Personal Data Protection Center (PDPC) в качестве компетентного органа по регулированию и применению этой системы.

Таким образом, действующая египетская система защиты частной жизни складывается главным образом из:

• Закона о защите персональных данных № 151 от 2020 года
• Исполнительного регламента № 816 от 2025 года
• решений, стандартов, процедур и разъяснений PDPC

Территориальная сфера действия египетского PDPL

Закон охватывает обрабатываемые электронным способом персональные данные, относящиеся к:

• гражданам Египта, включая проживающих за пределами Египта
• лицам, не являющимся гражданами Египта, но проживающим в Египте

Действующие разъяснения PDPC по этой системе прямо относят и граждан Египта, и проживающих в стране иностранцев к субъектам данных, защищаемым PDPL и Исполнительным регламентом.

Поэтому организациям за пределами Египта, которые собирают или обрабатывают персональные данные, подпадающие под действие закона, следует оценить, возникают ли у них обязанности по египетскому PDPL.

Что такое персональные данные согласно египетскому PDPL?

Персональные данные в общем смысле означают информацию, которая прямо или косвенно идентифицирует физическое лицо или позволяет его идентифицировать.

Примеры включают:

• Имя
• Номер национального удостоверения личности
• Фотографию
• Голос
• Адрес электронной почты
• Номер телефона
• Сетевой идентификатор
• Данные о местоположении
• Финансовые сведения
• Сведения о здоровье
• Биометрические сведения
• Сведения о трудоустройстве

PDPC прямо называет имена, голосовые записи, фотографии, номера национальных удостоверений личности и сетевые идентификаторы примерами персональных данных.

Ключевые принципы египетского PDPL

Организациям следует выстраивать свои операции обработки вокруг базовых принципов защиты частной жизни, включая:

Законность. Персональные данные следует собирать и обрабатывать в соответствии с законом.

Ограничение цели. Данные следует собирать для определенных и законных целей.

Минимизация данных. Организациям следует ограничивать сбор информацией, необходимой для намеченной цели.

Прозрачность. Людей следует надлежащим образом информировать о том, как их данные собираются и используются.

Точность. Организациям следует поддерживать точность персональных сведений и надлежащим образом реагировать на неточные данные.

Ограничение срока хранения. Персональные данные не следует хранить бессрочно в отсутствие законной цели.

Безопасность. Контролерам и обработчикам следует внедрять надлежащие технические и организационные меры защиты.

Подотчетность. Организациям следует вести записи и процедуры, подтверждающие соблюдение требований.

Исполнительный регламент дополнительно конкретизирует требования к определению целей, согласию, хранению, документированию, безопасности и организационным мерам контроля.

Согласие в египетском PDPL

Согласие является центральным элементом египетской системы защиты данных.

Статья 2 PDPL предусматривает, что персональные данные по общему правилу не могут собираться, обрабатываться, раскрываться или разглашаться без явного согласия субъекта данных либо вне случаев, допускаемых законом.

Таким образом, закон сочетает модель явного согласия с установленными законом исключениями.

Организациям не следует исходить из того, что согласие требуется для каждой операции обработки, однако там, где согласие является применимым основанием, организация должна быть способна подтвердить, что получила действительное согласие.

Что делает согласие действительным в Египте?

Соответствующий требованиям механизм согласия должен давать людям достаточно информации, чтобы они понимали, на что соглашаются.

Организациям следует учитывать:

• Сведения об организации
• Цель обработки
• Категории собираемых данных
• Предполагаемое использование
• Соответствующих получателей
• Срок хранения или критерии его определения
• Международные передачи
• Маркетинговые цели
• Права субъекта данных
• Механизмы отзыва

Исполнительный регламент требует в определенных случаях утверждения механизмов, используемых для сбора персональных данных и получения согласия.

Организациям следует вести электронные записи, подтверждающие:

• Кто дал согласие
• Когда согласие было дано
• Какая цель была раскрыта
• Какие данные были охвачены
• Какой механизм согласия использовался
• Было ли согласие отозвано или изменено

Это особенно важно, поскольку египетская система лицензирования требует от организаций подтверждать применяемые ими механизмы получения согласия и ведения соответствующих электронных записей.

Отзыв согласия

Если обработка основана на согласии, у людей должен быть практичный механизм отозвать или изменить свое согласие.

Процессы отзыва согласия должны:

• Быть доступными
• Ясно разъяснять последствия отзыва
• Фиксировать обращение
• Обновлять настройки предпочтений человека
• Прекращать соответствующую обработку
• При необходимости распространять изменение на связанные системы

ConsentX может обеспечить технический слой для фиксации и управления такими изменениями согласия.

Чувствительные персональные данные в египетском PDPL

Египетская система обеспечивает усиленную защиту чувствительных персональных данных.

PDPC относит к чувствительным категориям, в частности:

• Данные о здоровье
• Сведения о психологическом или психическом здоровье
• Генетические сведения
• Биометрические сведения
• Финансовые сведения
• Религиозные убеждения
• Политические взгляды
• Сведения, связанные с безопасностью
• Данные детей

Исполнительный регламент обязывает контролеров и обработчиков, работающих с чувствительными персональными данными, соблюдать дополнительные меры защиты. К ним относятся:

• Получение соответствующей лицензии или разрешения PDPC
• Получение явного письменного согласия в применимых случаях
• Проверка того, что данные необходимы для намеченной цели
• Недопущение вреда субъекту данных
• Применение требуемых стандартов безопасности
• Ведение электронных записей
• Фиксация согласия и соответствующих обращений

Персональные данные детей

Египетский Исполнительный регламент вводит особые требования к данным детей.

В отношении детей младше 15 лет организации обязаны получить явное письменное согласие законного представителя ребенка до сбора и обработки его персональных данных, за исключением случаев, допускаемых законом. В согласии следует указать период, в течение которого данные будут собираться и обрабатываться, и предусмотреть возможность отзыва или изменения.

Исполнительный регламент устанавливает отдельные требования к согласию для лиц в возрасте от 15 до 18 лет, при этом соответствующие механизмы определяются согласно применимым нормативным требованиям.

Если дети участвуют в играх, конкурсах или подобных активностях, организации не должны собирать больше данных, чем необходимо для участия, и не должны использовать такие данные для запрещенной классификации, отслеживания или наблюдения за поведением.

Уведомления о конфиденциальности и прозрачность

Организациям следует предоставлять людям надлежащую информацию при сборе их персональных данных.

Уведомление о конфиденциальности должно разъяснять существенные вопросы, такие как:

• Сведения о контролере
• Контактные данные
• Цель сбора
• Категории персональных данных
• Как данные будут обрабатываться
• Соответствующие получатели
• Хранение
• Права субъектов данных
• Механизмы согласия и отзыва
• Международные передачи
• Маркетинговые активности
• Соответствующая автоматизированная обработка

Прозрачность следует встраивать в сам процесс сбора, а не рассматривать ее только как требование к политике сайта.

Права субъектов данных в египетском PDPL

Египетский PDPL наделяет людей рядом прав в отношении их персональных данных.

Право знать о персональных данных и получать к ним доступ. Люди вправе знать о хранящихся о них персональных данных и получать к ним доступ с учетом применимых условий.

Право получать информацию. Субъекты данных могут получать соответствующую информацию о том, как обрабатываются их данные.

Право исправлять или обновлять данные. Люди могут потребовать исправления или обновления неточных персональных сведений.

Право удалять данные. При соблюдении установленных законом условий люди имеют права, связанные с удалением или уничтожением данных.

Право ограничить или прекратить обработку. Люди могут реализовать права на возражение против отдельных операций обработки или их прекращение в соответствии с применимыми нормами.

Право отозвать согласие. Если обработка основана на согласии, люди могут его отозвать.

PDPC называет реализацию прав субъектов данных ключевым элементом своей системы регулирования.

Запросы субъектов данных на доступ в Египте

Организациям следует поддерживать структурированный процесс работы с запросами по вопросам конфиденциальности.

Практичный процесс DSAR должен включать:

• Прием запроса
• Проверку личности
• Классификацию запроса
• Поиск данных
• Анализ применимых правовых условий
• Подготовку ответа
• Безопасную передачу ответа
• Регистрацию запроса
• Подтверждение исполнения

ConsentX помогает централизовать прием, отслеживание, управление статусами и доказательную базу по запросам.

Специалист по защите данных в Египте

Исполнительный регламент вводит формальную систему специалиста по защите данных (DPO).

PDPC описывает DPO как лицо, назначенное законным представителем юридического лица, выступающего пользователем данных, действующее независимо и зарегистрированное в реестре DPO, который ведет PDPC.

В обязанности DPO входят:

• Мониторинг соблюдения требований конфиденциальности
• Мониторинг внутренних процедур защиты данных
• Поддержка внедрения политик безопасности
• Прием запросов субъектов данных
• Поддержание связи с PDPC
• Отчетность о состоянии защиты данных в организации

Исполнительный регламент также определяет процедуры регистрации и замены DPO.

Поэтому организациям следует пересмотреть свои обязанности по назначению и регистрации DPO в рамках программы соблюдения требований на 2026 год.

Лицензии и разрешения в египетском PDPL

Одна из самых заметных особенностей новой египетской системы - режим лицензий и разрешений.

PDPC указывает, что пользователи данных обязаны получать соответствующие лицензии или разрешения.

Система включает категории лицензий или разрешений для:

• Деятельности, совмещающей роли контролера и обработчика
• Контролеров
• Обработчиков
• Электронного маркетинга
• Трансграничных передач данных
• Средств видеонаблюдения

Согласно действующему разделу вопросов и ответов PDPC, лицензии, как правило, выдаются на три года с возможностью продления, а разрешения - на один год с возможностью продления.

Организациям следует определить, какие лицензии или разрешения применимы к их деятельности, а не исходить из того, что общей политики конфиденциальности достаточно для соблюдения требований.

Безопасность данных в египетском PDPL

Контролеры и обработчики обязаны внедрять надлежащие технические и организационные меры защиты.

Меры безопасности должны учитывать такие риски, как:

• Несанкционированный доступ
• Несанкционированное раскрытие
• Утрата
• Уничтожение
• Изменение
• Неправомерная обработка
• Утечка данных

Практические меры могут включать:

• Шифрование
• Управление доступом
• Аутентификацию
• Многофакторную аутентификацию
• Защищенное резервное копирование
• Сетевую безопасность
• Журналирование
• Мониторинг
• Управление уязвимостями
• Обучение сотрудников
• Реагирование на инциденты
• Контроль безопасности поставщиков

Исполнительный регламент требует от заявителей на получение лицензии предоставлять сведения о механизмах, применяемых для защиты и обеспечения безопасности персональных данных.

Уведомление об утечках данных в Египте

Действующая египетская система устанавливает конкретные сроки уведомления об утечках.

По информации PDPC, пользователи данных обязаны уведомить Центр в течение 72 часов с момента, когда им стало известно об утечке, включая сведения и процедуры, требуемые законом, регламентом и применимыми указаниями PDPC.

Если утечка затрагивает вопросы национальной безопасности, уведомление должно быть направлено незамедлительно.

Затронутые субъекты данных должны быть уведомлены в течение трех рабочих дней с даты уведомления PDPC, если применимые требования влекут такую обязанность.

Поэтому организациям следует поддерживать документированный процесс реагирования на инциденты, охватывающий:

• Выявление
• Локализацию
• Оценку риска
• Определение затронутых данных
• Уведомление PDPC
• Уведомление субъектов данных
• Устранение последствий
• Документирование
• Анализ после инцидента

Международные и трансграничные передачи данных

Трансграничные передачи - особенно важная часть египетского PDPL.

PDPC указывает, что персональные данные по общему правилу не могут передаваться за пределы Египта, если организация не получила предварительно лицензию или разрешение PDPC на трансграничную передачу либо если передача не подпадает под установленное законом исключение.

Исполнительный регламент устанавливает требования в отношении:

• Стран назначения
• Организаций-получателей
• Правовых и технических гарантий
• Применимых лицензий или разрешений
• Категорий данных
• Условий передачи
• Мер безопасности

Таким образом, регуляторная рамка строже, чем простой договорный механизм передачи.

Организациям, использующим зарубежных облачных, аналитических, CRM, рекламных или хостинг-провайдеров, следует составить карту международных потоков данных и определить, требуется ли разрешение PDPC.

Лицензия на трансграничную передачу данных

Исполнительный регламент вводит отдельную лицензию или разрешение на передачу персональных данных из Египта в другую страну.

Такое разрешение допускает передачи с учетом утвержденных условий и ограничений.

Добавление новых стран назначения может потребовать обновления разрешения.

Организациям следует вести актуальный перечень:

• Стран назначения
• Зарубежных поставщиков
• Категорий данных
• Целей обработки
• Объемов передачи
• Механизмов передачи
• Мер безопасности

Электронный прямой маркетинг в Египте

Египетская система содержит специальные правила для электронного прямого маркетинга.

Организации, ведущие электронный прямой маркетинг, обязаны учитывать:

• Предварительное явное согласие
• Прозрачность маркетинговой цели
• Сведения об отправителе
• Контактные данные
• Механизмы отказа от рассылок
• Отзыв согласия
• Записи о согласии
• Применимое лицензирование PDPC

PDPC указывает, что маркетинговые сообщения должны содержать понятный и доступный механизм отзыва согласия или возражения против дальнейших сообщений.

Исполнительный регламент также требует вести электронные записи о том, как и когда было получено маркетинговое согласие и как были обработаны обращения об удалении или изменении.

Cookie и онлайн-отслеживание в египетском PDPL

PDPL регулирует обработку персональных данных, а не вводит отдельное универсальное правило о cookie.

Тем не менее cookie, пиксели, SDK, рекламные идентификаторы, аналитические инструменты и другие онлайн-технологии могут обрабатывать персональные данные.

Поэтому организациям следует оценить:

• Что собирает каждый трекер
• Можно ли идентифицировать людей
• Цель обработки
• Применимое правовое обоснование
• Требуется ли согласие
• Покидают ли данные Египет
• Получают ли эту информацию третьи лица
• Затрагиваются ли чувствительные данные

Согласие на cookie и предварительная блокировка скриптов

Для сайтов, опирающихся на согласие, соответствующая требованиям техническая реализация должна обеспечивать, чтобы соответствующие необязательные трекеры не активировались до получения требуемого сигнала согласия.

Реализация на базе ConsentX может поддерживать:

• Обнаружение cookie
• Категоризацию трекеров
• Баннеры согласия
• Настройки предпочтений по целям
• Предварительную блокировку скриптов
• Записи о согласии
• Отзыв предпочтений
• Региональные конфигурации

Это помогает привести техническое поведение сайта в соответствие с заявленными на нем настройками конфиденциальности.

Автоматизированное принятие решений и профилирование

Организациям, использующим профилирование или автоматизированную обработку, следует оценить последствия этих действий для частной жизни.

К значимым аспектам относятся:

• Прозрачность
• Ограничение цели
• Минимизация данных
• Точность
• Безопасность
• Человеческий контроль
• Обработка чувствительных данных
• Данные детей
• Возможные последствия для людей

Организациям следует также определить, влечет ли такая обработка дополнительные нормативные требования или внимание со стороны PDPC.

Хранение и удаление данных

Организациям следует устанавливать сроки хранения исходя из:

• Цели обработки
• Обязанностей по закону
• Договорных требований
• Нормативных требований
• Чувствительности данных
• Операционных потребностей

Программа хранения должна включать:

• Графики хранения
• Правила удаления
• Процедуры архивирования
• Юридические удержания
• Безопасное уничтожение
• Периодический пересмотр

Персональные данные не следует хранить бессрочно лишь потому, что они могут пригодиться в будущем.

Обработчики и сторонние поставщики

Организациям следует поддерживать надлежащий договорный и операционный контроль над обработчиками.

Договоры с поставщиками должны охватывать:

• Инструкции по обработке
• Конфиденциальность
• Безопасность
• Субобработчиков
• Хранение данных
• Удаление данных
• Уведомление об утечках
• Запросы субъектов данных
• Международные передачи
• Взаимодействие с регулятором

Организациям следует вести актуальный перечень поставщиков, имеющих доступ к египетским персональным данным.

Конфиденциальность по замыслу

Защиту частной жизни следует закладывать в сайты, приложения, базы данных и бизнес-процессы с самого начала.

Организациям следует рассмотреть:

• Минимизацию данных
• Настройки по умолчанию, благоприятные для конфиденциальности
• Средства управления согласием
• Ограничения доступа
• Шифрование
• Ограничение сроков хранения
• Безопасное удаление
• Журналы аудита
• Контроль поставщиков

Это особенно важно в новой египетской системе лицензирования и соблюдения требований, поскольку организациям может потребоваться показать, как их технические и организационные меры защищают персональные данные.

Документация соответствия и доказательства для аудита

Организациям следует сохранять доказательства соблюдения требований.

К важным документам могут относиться:

• Лицензии и разрешения PDPC
• Записи о согласии
• Уведомления о конфиденциальности
• Реестры обработки
• Карты данных
• Документы по DPO
• Договоры с поставщиками
• Оценки воздействия или оценки рисков
• Документацию по безопасности
• Записи об утечках
• Запросы субъектов данных
• Записи о маркетинговом согласии
• Записи о трансграничных передачах
• Графики хранения

ConsentX помогает организациям поддерживать доказательный слой согласия и предпочтений для обработки на сайте и в цифровых каналах.

Правоприменение со стороны Personal Data Protection Center

Personal Data Protection Center (PDPC) - национальный орган Египта, отвечающий за реализацию и применение PDPL и его Исполнительного регламента.

В его компетенцию входят:

• Регулирование
• Лицензирование
• Мониторинг соблюдения требований
• Правоприменение
• Регистрация DPO
• Аккредитация
• Разъяснения
• Рассмотрение жалоб
• Информирование
• Международное сотрудничество

PDPC называет Закон о защите персональных данных № 151 от 2020 года и Исполнительный регламент № 816 от 2025 года правовой основой своей деятельности.

Санкции по египетскому PDPL

Египетский PDPL предусматривает уголовные санкции за различные нарушения в сфере конфиденциальности.

Например, незаконный сбор, обработка, раскрытие или передача персональных данных без правового основания или согласия субъекта данных могут повлечь штрафы в размере от 100 000 до 1 млн EGP.

Если деяние совершено ради материальной или нематериальной выгоды либо с намерением подвергнуть субъекта данных риску или причинить ему вред, санкции могут возрасти до лишения свободы на срок не менее шести месяцев и штрафа от 200 000 до 2 млн EGP либо одной из этих мер.

Иные нормы устанавливают дополнительные санкции за нарушения, такие как незаконное воспрепятствование реализации прав субъектов данных.

Максимальная санкция может достигать 5 млн EGP по отдельным составам, когда соответствующая норма предусматривает такой размер штрафа.

Поэтому организациям следует оценивать конкретный состав нарушения и применимую законную санкцию, а не ориентироваться на одну броскую цифру штрафа.

Срок соблюдения требований египетского PDPL

Исполнительный регламент был издан приказом министра № 816 от 2025 года и вступил в силу после публикации в ноябре 2025 года.

PDPC указывает, что годичный период приведения в соответствие отсчитывается с момента вступления Исполнительного регламента в силу.

Поэтому для организаций, планирующих дорожную карту соответствия, ноябрь 2026 года является критически важной вехой внедрения.

Что организациям следует сделать до ноября 2026 года

Организациям, работающим в Египте, следует уделить приоритетное внимание следующему.

• Составить карту персональных данных. Определите, какие персональные данные собираются, где они хранятся, зачем обрабатываются и кто их получает.
• Определить роли контролера и обработчика. Задокументируйте роль организации для каждой операции обработки.
• Пересмотреть механизмы согласия. Обеспечьте, чтобы согласие было явным и надлежащим образом зафиксированным там, где оно требуется.
• Пересмотреть обработку чувствительных данных. Выявите чувствительные категории и внедрите усиленные меры защиты.
• Пересмотреть данные детей. Определите, могут ли сервисом пользоваться лица младше 15 лет, и при необходимости внедрите механизмы согласия законного представителя.
• Назначить и зарегистрировать DPO. Оцените требования к DPO и выполните применимые процедуры регистрации.
• Проверить лицензирование PDPC. Определите, применимы ли лицензии или разрешения для контролера, обработчика, маркетинга, трансграничных передач, видеонаблюдения или иных видов деятельности.
• Составить карту международных передач. Определите зарубежных поставщиков, облачных провайдеров, аналитические сервисы и иных получателей.
• Пересмотреть прямой маркетинг. Убедитесь, что электронный маркетинг обеспечен надлежащим согласием, записями, возможностью отзыва и лицензиями.
• Внедрить процедуры на случай утечек. Убедитесь, что организация способна соблюсти применимые сроки уведомления PDPC и субъектов данных.

Чек-лист соответствия египетскому PDPL

Организациям, готовящимся к египетской системе, следует учитывать приведенный ниже чек-лист.

• Определить, применяется ли египетский PDPL
• Составить карту обработки персональных данных
• Определить контролеров, обработчиков и держателей данных
• Определить применимые правовые основания
• Пересмотреть механизмы согласия
• Предоставить надлежащие уведомления о конфиденциальности
• Выявить чувствительные персональные данные
• Пересмотреть обработку данных детей
• Внедрить согласие законного представителя, где это требуется
• Назначить и зарегистрировать DPO
• Оценить лицензионные требования PDPC
• Проверить требования к трансграничным передачам
• Получить применимое разрешение на передачу
• Пересмотреть электронный прямой маркетинг
• Получить необходимое маркетинговое согласие
• Внедрить механизмы отказа от рассылок
• Вести записи о согласии и маркетинге
• Внедрить меры безопасности
• Обеспечить возможность уведомления об утечке в течение 72 часов
• Установить процедуры уведомления субъектов данных
• Выстроить рабочие процессы по DSAR
• Внедрить политики хранения и удаления
• Пересмотреть договоры с обработчиками
• Пересмотреть cookie и технологии отслеживания
• Внедрить предварительную блокировку скриптов, где это требуется
• Сохранять доказательства соблюдения требований
• Завершить переход к новой системе до ноября 2026 года

Почему управление согласием важно для Египта

Управление согласием особенно важно в египетском PDPL, поскольку явное согласие является ключевым требованием для сбора и обработки персональных данных, когда не применяется установленное законом исключение.

Организации должны быть способны подтвердить:

• Что было сообщено человеку
• Какая цель была представлена
• Какое согласие было дано
• Когда согласие было получено
• Какая версия механизма согласия использовалась
• Было ли согласие изменено
• Было ли согласие отозвано
• Как организация реализовала решение пользователя

Платформа управления согласием может предоставить техническую инфраструктуру, необходимую для сбора и сохранения таких доказательств.