借助 ConsentX 遵守埃及个人数据保护法 的要求

什么是埃及个人数据保护法？

2020 年第 151 号个人数据保护法为以电子方式处理的个人数据确立了保护规则，无论处理是全部还是部分通过电子方式进行。

该框架规范收集、控制、处理、保存、披露或转移个人数据的组织，并为数据主体设定权利。

该法还设立了 Personal Data Protection Center（PDPC），作为负责监管和执行该框架的主管机关。

因此，埃及现行的隐私框架主要由以下部分构成：

• 2020 年第 151 号个人数据保护法
• 2025 年第 816 号实施条例
• PDPC 的决定、标准、程序和指引

埃及 PDPL 的地域适用范围

该法覆盖与下列人员有关、以电子方式处理的个人数据：

• 埃及公民，包括居住在埃及境外的公民
• 居住在埃及的非埃及籍人士

PDPC 目前对该框架的说明明确将埃及公民和非埃及籍居民均列为受 PDPL 及实施条例保护的数据主体。

因此，收集或处理落入该法适用范围内个人数据的埃及境外组织，应评估其是否负有埃及 PDPL 下的义务。

埃及 PDPL 下的个人数据是什么？

个人数据一般是指可直接或间接识别自然人身份的信息。

例如包括：

• 姓名
• 国民身份证号码
• 照片
• 语音
• 电子邮件地址
• 电话号码
• 在线标识符
• 位置信息
• 财务信息
• 健康信息
• 生物识别信息
• 就业信息

PDPC 明确将姓名、语音录音、照片、国民身份证号码和在线标识符列为个人数据的示例。

埃及 PDPL 的关键原则

组织应围绕核心隐私原则开展其处理活动，包括：

合法性。个人数据应依法收集和处理。

目的限制。数据应为明确、正当的目的而收集。

数据最小化。组织应将收集范围限制在实现既定目的所必需的信息内。

透明度。应以适当方式告知个人其数据如何被收集和使用。

准确性。组织应保持个人信息准确，并妥善处理不准确的数据。

存储期限限制。个人数据不应在缺乏正当目的的情况下被无限期保存。

安全。控制者和处理者应实施适当的技术和组织保障措施。

问责。组织应保存能够证明合规的记录和程序。

实施条例进一步细化了有关目的确定、同意、保存、记录、安全和组织管控方面的要求。

埃及 PDPL 下的同意

同意是埃及数据保护框架的核心要素。

PDPL 第 2 条规定，除取得数据主体明示同意或法律允许的情形外，通常不得收集、处理、披露或公开个人数据。

因此，该法将明示同意模式与法定例外相结合。

组织不应假定每项处理活动都需要同意，但在同意构成适用依据时，组织应能证明其取得了有效同意。

在埃及什么样的同意才有效？

合规的同意机制应向个人提供足够的信息，使其理解自己所同意的内容。

组织应考虑：

• 组织的身份
• 处理目的
• 所收集数据的类别
• 预期用途
• 相关接收方
• 保存期限或其判断标准
• 国际转移
• 营销目的
• 数据主体的权利
• 撤回机制

实施条例要求在特定情形下，对用于收集个人数据和取得同意的机制进行审批。

组织应保存能够证明以下内容的电子记录：

• 谁作出了同意
• 何时作出同意
• 披露了何种目的
• 涵盖了哪些数据
• 使用了何种同意机制
• 同意是否被撤回或变更

这一点尤为重要，因为埃及的许可框架要求组织证明其取得同意的机制以及保存相关电子记录的做法。

撤回同意

当处理以同意为基础时，个人应拥有撤回或变更其同意的切实可行途径。

同意撤回流程应当：

• 便于访问
• 清楚说明撤回的效果
• 记录该请求
• 更新个人的偏好设置
• 停止相应的处理
• 在适当情况下将变更同步至相关系统

ConsentX 可为记录和管理这些同意变更提供技术层支持。

埃及 PDPL 下的敏感个人数据

埃及的框架对敏感个人数据提供强化保护。

PDPC 列举的敏感类别包括：

• 健康数据
• 心理或精神健康信息
• 基因信息
• 生物识别信息
• 财务信息
• 宗教信仰
• 政治观点
• 与安全有关的信息
• 儿童数据

实施条例要求处理敏感个人数据的控制者和处理者遵守额外的保障措施，其中包括：

• 取得 PDPC 相应的许可证或批准
• 在适用情形下取得明示书面同意
• 确保该数据对既定目的而言确有必要
• 避免对数据主体造成损害
• 适用所要求的安全标准
• 保存电子记录
• 记录同意及相关请求

儿童个人数据

埃及实施条例对儿童数据引入了专门要求。

对于未满 15 周岁的儿童，除法律允许的例外情形外，组织必须在收集和处理该儿童的个人数据之前取得其法定监护人的明示书面同意。该同意应写明收集和处理数据的期限，并应允许撤回或变更。

实施条例对 15 周岁至 18 周岁之间的个人设定了单独的同意要求，具体机制依照适用的监管规定确定。

当儿童参与游戏、竞赛或类似活动时，组织不得收集超出参与所需范围的数据，也不得将此类数据用于被禁止的分类、追踪或行为监测活动。

隐私声明与透明度

组织在收集个人数据时应向相关个人提供适当信息。

隐私声明应说明相关事项，例如：

• 控制者的身份
• 联系方式
• 收集目的
• 个人数据的类别
• 数据的处理方式
• 相关接收方
• 保存期限
• 数据主体权利
• 同意与撤回机制
• 国际转移
• 营销活动
• 相关的自动化处理

透明度应融入收集流程本身，而不应仅被视为网站政策层面的要求。

埃及 PDPL 下的数据主体权利

埃及 PDPL 赋予个人若干与其个人数据有关的权利。

知悉并访问个人数据的权利。在符合适用条件的前提下，个人有权知悉并访问关于其本人所保存的个人数据。

获取信息的权利。数据主体可以获取有关其数据如何被处理的相关信息。

更正或更新数据的权利。个人可请求更正或更新不准确的个人信息。

删除数据的权利。在满足法定要求的情况下，个人享有与删除或清除有关的权利。

限制或停止处理的权利。个人可依据适用条款行使权利，对特定处理活动提出反对或要求停止。

撤回同意的权利。当处理以同意为基础时，个人可撤回其同意。

PDPC 将数据主体权利的行使列为其监管框架的核心组成部分。

埃及的数据主体访问请求

组织应为隐私请求维持结构化的处理流程。

可操作的 DSAR 流程应包括：

• 请求受理
• 身份核验
• 请求分类
• 数据检索
• 适用法律条件的审查
• 回复的准备
• 安全交付
• 请求记录
• 办结证据

ConsentX 可帮助集中处理请求的受理、跟踪、状态管理和审计证据。

埃及的数据保护官

实施条例建立了正式的数据保护官（DPO）制度。

PDPC 将 DPO 描述为由作为数据使用者的法人实体的法定代表人任命、独立开展工作并在 PDPC 的 DPO 登记册中登记的人员。

DPO 的职责包括：

• 监督隐私合规情况
• 监督内部数据保护程序
• 支持安全政策的落实
• 接收数据主体请求
• 保持与 PDPC 的沟通
• 报告组织的隐私状况

实施条例还规定了 DPO 的登记和更换程序。

因此，组织应将 DPO 的任命和登记义务纳入其 2026 年合规计划加以审视。

埃及 PDPL 下的许可证与批准

埃及新框架最重要的特征之一，就是其许可证与批准制度。

PDPC 指出，数据使用者须取得相应的许可证或批准。

该框架设有以下类别的许可证或批准：

• 兼具控制者与处理者身份的活动
• 控制者
• 处理者
• 电子营销
• 跨境数据转移
• 视频监控工具

根据 PDPC 目前的常见问题解答，许可证通常为三年有效期并可续期，批准通常为一年有效期并可续期。

组织应确定哪些许可证或批准适用于自身活动，而不应假定一份通用隐私政策即可满足合规要求。

埃及 PDPL 下的数据安全

控制者和处理者必须实施适当的技术和组织保障措施。

安全控制措施应应对以下风险：

• 未经授权的访问
• 未经授权的披露
• 丢失
• 损毁
• 篡改
• 违法处理
• 数据泄露

实际措施可包括：

• 加密
• 访问控制
• 身份认证
• 多因素认证
• 安全备份
• 网络安全
• 日志记录
• 监控
• 漏洞管理
• 员工培训
• 事件响应
• 供应商安全管控

实施条例要求许可证申请人提供有关其用于保障和保护个人数据的机制的信息。

埃及的数据泄露通知

埃及现行框架规定了具体的数据泄露通知时限。

根据 PDPC 的规定，数据使用者必须自知悉泄露之时起 72 小时内通知该中心，并提供法律、条例及 PDPC 适用指示所要求的信息并履行相应程序。

若泄露涉及国家安全事项，必须立即通知。

在适用要求触发对个人通知义务的情况下，受影响的数据主体必须自通知 PDPC 之日起三个工作日内获得通知。

因此，组织应保持一套书面的事件响应流程，涵盖：

• 检测
• 遏制
• 风险评估
• 受影响数据的识别
• 向 PDPC 通知
• 向数据主体通知
• 补救
• 记录留存
• 事后复盘

国际与跨境数据转移

跨境转移是埃及 PDPL 中尤为重要的内容。

PDPC 指出，除非组织事先从 PDPC 取得跨境数据转移许可证或批准，或该转移属于法定例外情形，否则通常不得将个人数据转移至埃及境外。

实施条例就以下方面设定了要求：

• 转移目的地
• 接收组织
• 法律和技术保障措施
• 适用的许可证或批准
• 数据类别
• 转移安排
• 安全保护措施

因此，该监管框架比单纯的合同转移机制更为严格。

使用境外云服务、分析、CRM、广告或托管服务提供商的组织，应梳理其国际数据流动并确定是否需要取得 PDPC 的批准。

跨境数据转移许可证

实施条例为将个人数据从埃及转移至其他国家设立了专门的许可证或批准。

该授权允许在经批准的管控和限制条件下进行转移。

新增目的地国家可能需要更新该授权。

组织应保持一份最新清单，内容包括：

• 目的地国家
• 境外供应商
• 数据类别
• 处理目的
• 转移数量
• 转移机制
• 安全控制措施

埃及的电子直接营销

埃及的框架对电子直接营销设有专门规则。

开展电子直接营销的组织必须处理以下事项：

• 事先明示同意
• 营销目的的透明度
• 发送者身份
• 联系方式
• 退出机制
• 同意撤回
• 同意记录
• 适用的 PDPC 许可

PDPC 指出，营销通讯必须提供清晰且易于使用的机制，以便撤回同意或反对继续接收通讯。

实施条例还要求保存电子记录，以说明营销同意是如何以及何时取得的，以及删除或变更请求是如何处理的。

埃及 PDPL 下的 Cookie 与在线跟踪

PDPL 规范的是个人数据处理，而非为所有 Cookie 设立一项独立的通用规则。

不过，Cookie、像素、SDK、广告标识符、分析工具及其他在线技术都可能处理个人数据。

因此，组织应评估：

• 每个跟踪器收集哪些信息
• 是否可以识别到个人
• 处理的目的
• 适用的法律依据
• 是否需要取得同意
• 数据是否离开埃及
• 第三方是否接收这些信息
• 是否涉及敏感数据

Cookie 同意与脚本预先拦截

对于依赖同意的网站，合规的技术实现应确保相关非必要跟踪器不会在取得所需同意信号之前启用。

借助 ConsentX 的实施方案可支持：

• Cookie 发现
• 跟踪器分类
• 同意横幅
• 基于目的的偏好设置
• 脚本预先拦截
• 同意记录
• 偏好撤回
• 区域化配置

这有助于使网站的技术行为与其所声明的隐私选项保持一致。

自动化决策与画像分析

使用画像分析或自动化处理的组织应评估这些活动对隐私的影响。

相关考量包括：

• 透明度
• 目的限制
• 数据最小化
• 准确性
• 安全
• 人工监督
• 敏感数据处理
• 儿童数据
• 对个人的潜在影响

组织还应判断该处理是否会触发额外的监管要求或 PDPC 的审查。

数据保存与删除

组织应基于以下因素确定保存期限：

• 处理目的
• 法定义务
• 合同要求
• 监管要求
• 数据敏感程度
• 业务需要

保存管理方案应包括：

• 保存期限表
• 删除规则
• 归档程序
• 法律保全
• 安全销毁
• 定期复核

不应仅因个人数据将来可能有用，就将其无限期保存。

处理者与第三方供应商

组织应对处理者保持适当的合同和运营管控。

供应商协议应涵盖：

• 处理指令
• 保密义务
• 安全
• 次级处理者
• 数据保存
• 数据删除
• 泄露通知
• 数据主体请求
• 国际转移
• 配合监管机构

组织应保持一份可访问埃及个人数据的供应商最新清单。

隐私设计

隐私应从一开始就融入网站、应用程序、数据库和业务流程之中。

组织应考虑：

• 数据最小化
• 有利于隐私的默认设置
• 同意控制功能
• 访问限制
• 加密
• 保存期限限制
• 安全删除
• 审计日志
• 供应商管控

这在埃及新的许可与合规框架下尤为重要，因为组织可能需要证明其技术和组织措施如何保护个人数据。

合规记录与审计证据

组织应保存能够证明合规的证据。

重要记录可包括：

• PDPC 许可证与批准
• 同意记录
• 隐私声明
• 处理活动清单
• 数据地图
• DPO 相关记录
• 供应商协议
• 数据保护影响评估或风险评估
• 安全文档
• 泄露事件记录
• 数据主体请求
• 营销同意记录
• 跨境转移记录
• 保存期限表

ConsentX 可帮助组织为网站和数字化处理维护同意与偏好的证据层。

Personal Data Protection Center 的执法

Personal Data Protection Center（PDPC）是负责实施和执行 PDPL 及其实施条例的埃及国家主管机关。

其职责包括：

• 监管
• 颁发许可
• 合规监测
• 执法
• DPO 登记
• 资质认定
• 提供指引
• 处理投诉
• 宣传普及
• 国际合作

PDPC 将 2020 年第 151 号个人数据保护法和 2025 年第 816 号实施条例列为其履行职责所依据的法律框架。

埃及 PDPL 下的处罚

埃及 PDPL 对多种侵犯隐私的行为规定了刑事处罚。

例如，未经法律授权或数据主体同意而非法收集、处理、披露或转移个人数据的，可处 10 万至 100 万埃及镑罚款。

若该行为系为谋取物质或精神利益，或意图使数据主体面临风险或损害，则处罚可提高至六个月以上监禁并处 20 万至 200 万埃及镑罚款，或二者择一适用。

其他条款对非法阻碍数据主体行使权利等违法行为规定了额外处罚。

在适用条款规定该罚款幅度的特定罪行中，最高处罚可达 500 万埃及镑。

因此，组织应针对具体的违法行为评估适用的法定处罚，而不应仅依据某一个笼统的罚款数字。

埃及 PDPL 的合规期限

实施条例由 2025 年第 816 号部长令颁布，并在 2025 年 11 月公布后生效。

PDPC 指出，一年的合规期自实施条例生效之日起算。

对于正在规划合规路线图的组织而言，2026 年 11 月因而是一个关键的实施里程碑。

组织应在 2026 年 11 月之前完成的工作

在埃及运营的组织应优先推进以下事项。

• 梳理个人数据。识别收集了哪些个人数据、存储在何处、为何处理以及由谁接收。
• 明确控制者与处理者角色。就每项处理活动记录本组织所处的角色。
• 审查同意机制。在需要同意时，确保同意为明示并得到妥善记录。
• 审查敏感数据处理。识别敏感类别并落实强化保障措施。
• 审查儿童数据。确认未满 15 周岁的个人是否可能使用该服务，并在必要时落实监护人同意的管控措施。
• 任命并登记 DPO。评估 DPO 相关要求并完成适用的登记程序。
• 审查 PDPC 许可。确定控制者、处理者、营销、跨境转移、监控或其他许可证或批准是否适用。
• 梳理国际转移。识别境外供应商、云服务提供商、分析服务及其他接收方。
• 审查直接营销。确保电子营销具备适当的同意、记录、撤回途径和许可。
• 落实泄露处置程序。确保组织能够满足适用的 PDPC 通知和数据主体通知时限。

埃及 PDPL 合规清单

为埃及框架做准备的组织应参考以下合规清单。

• 确定埃及 PDPL 是否适用
• 梳理个人数据处理活动
• 识别控制者、处理者和数据持有人
• 确定适用的法律依据
• 审查同意机制
• 提供适当的隐私声明
• 识别敏感个人数据
• 审查儿童数据处理
• 在需要时落实监护人同意
• 任命并登记 DPO
• 评估 PDPC 许可要求
• 审查跨境转移要求
• 取得适用的转移授权
• 审查电子直接营销
• 取得所需的营销同意
• 落实退出机制
• 保存同意与营销记录
• 落实安全控制措施
• 建立 72 小时泄露通知能力
• 建立数据主体通知程序
• 建立 DSAR 工作流
• 落实保存与删除政策
• 审查处理者协议
• 审查 Cookie 与跟踪技术
• 在需要时落实脚本预先拦截
• 保存合规证据
• 在 2026 年 11 月前完成向新框架的过渡

为什么同意管理对埃及很重要

在埃及 PDPL 下，若无法定例外适用，明示同意即构成收集和处理个人数据的核心要求，因此同意管理尤为重要。

组织应能够证明：

• 向个人告知了哪些内容
• 展示了何种处理目的
• 作出了何种同意
• 何时取得该同意
• 使用了哪一版本的同意机制
• 同意是否被变更
• 同意是否被撤回
• 组织如何执行用户的决定

同意管理平台可提供采集和留存这些证据所需的技术基础设施。