يقوم برنامج الامتثال في مصر على عدد محدود من التشريعات التي تقترن بعقوبات حقيقية: قانون حماية البيانات الشخصية رقم 151 لسنة 2020 ولائحته التنفيذية الصادرة بقرار وزير الاتصالات وتكنولوجيا المعلومات رقم 816 لسنة 2025، وقانون مكافحة غسل الأموال رقم 80 لسنة 2002، وقانون حماية المنافسة ومنع الممارسات الاحتكارية رقم 3 لسنة 2005 المعدل بالقانون رقم 175 لسنة 2022، وأحكام الرشوة في قانون العقوبات. ويقرأ مكتبنا في القاهرة هذه النصوص كما يطبقها، ويختبر كل ضابط رقابي على معاملة فعلية لا على وثيقة سياسات.
الإطار التشريعي: أربعة أنظمة ومعيار إثبات واحد
تغطي أربعة أنظمة معظم مسائل الامتثال المؤسسي في مصر. فالقانون رقم 151 لسنة 2020 ينظم البيانات الشخصية ويتولى إنفاذه مركز حماية البيانات الشخصية. والقانون رقم 80 لسنة 2002 ينظم غسل الأموال وينشئ وحدة مكافحة غسل الأموال وتمويل الإرهاب في البنك المركزي المصري. والقانون رقم 3 لسنة 2005 ينظم الكارتلات والقيود الرأسية والاندماجات. وقانون العقوبات الصادر بالقانون رقم 58 لسنة 1937 يجرّم الرشوة في المواد من 103 إلى 111. وتضيف الجهات الرقابية القطاعية قواعدها فوق ذلك.
والمعيار الذي نطبقه واحد في هذه الأنظمة: لا يعد الضابط قائماً ما لم يمكن إثباته. فنسأل في كل نظام عمن يتحمل الواجب، وأي سجل يثبت الوفاء به، وما الذي سيفحصه الجهاز الرقابي أو النيابة أولاً. فبموجب المادة 4 من القانون رقم 151 لسنة 2020 يلتزم المتحكم بتوفير ما يثبت امتثاله والسماح بالتفتيش، وتصل الأنظمة الأخرى إلى النتيجة نفسها عبر الاحتفاظ بالسجلات وسلطات التحقيق.
قانون البيانات الشخصية: النطاق والتعريفات والاستثناءات
تعرّف المادة 1 من القانون رقم 151 لسنة 2020 البيانات الشخصية بأنها أي بيانات متعلقة بشخص طبيعي محدد أو يمكن تحديده بشكل مباشر أو غير مباشر، وتشمل المعالجة بوسائل إلكترونية أو تقنية. وتشمل البيانات الحساسة البيانات الصحية والجينية والبيومترية والمالية والمعتقدات الدينية والآراء السياسية والسوابق الجنائية، وتعد بيانات الأطفال حساسة دائماً. وتمد المادة 2 من مواد الإصدار نطاق القانون إلى بعض أفعال غير المصريين خارج مصر متى كان صاحب البيانات مصرياً أو أجنبياً مقيماً في مصر.
وتعدد المادة 3 من مواد الإصدار الاستثناءات: البيانات التي يحتفظ بها الأفراد للاستخدام الشخصي، والإحصاءات الرسمية، والبيانات المعالجة لأغراض إعلامية فقط، ومحاضر الضبط والدعاوى القضائية، والبيانات لدى جهات الأمن القومي، والبيانات لدى البنك المركزي المصري والجهات الخاضعة لرقابته، مع استثناء شركات تحويل الأموال والصرافة. وقبل بناء أي برنامج للبيانات نحدد موقع كل نشاط من هذه الاستثناءات، لأن البنك وتاجر التجزئة داخل المجموعة الواحدة قد يقعان في جانبين مختلفين.
واجبات المتحكم والموافقة وطلبات أصحاب البيانات
تحدد المادة 4 من القانون المرفق واجبات المتحكم. فعليه الحصول على البيانات بعد موافقة صاحبها أو في الأحوال التي يجيزها القانون، والتأكد من صحتها وملاءمتها للغرض، وحمايتها بإجراءات تقنية وتنظيمية، ومحوها متى تحقق الغرض أو الاحتفاظ بها في صورة لا تحدد الشخص، وتصحيح الأخطاء فوراً، ومسك سجل بالفئات والمستلمين والاحتفاظ وإجراءات الأمن. وعليه أيضاً الحصول على ترخيص أو تصريح من المركز، وتعيين ممثل في مصر إن كان مقيماً في الخارج.
وبموجب المادة 32 يجوز لصاحب البيانات أن يطلب من أي حائز أو متحكم أو معالج ممارسة حقوقه، وعلى من تلقى الطلب الرد خلال ستة أيام عمل. وبموجب المادة 33 تقدم الشكوى إلى المركز الذي يبت فيها خلال ثلاثين يوم عمل، وعلى المشكو في حقه تنفيذ القرار خلال سبعة أيام عمل. ونختبر هذه السلسلة بطلب حقيقي: من يتلقاه، ومن يقرر، ومن يبحث في الأنظمة، ومن يثبت تاريخ الرد.
الإخطار بالاختراق: اثنتان وسبعون ساعة وثلاثة أيام عمل
تلزم المادة 7 من القانون رقم 151 لسنة 2020 المتحكم أو المعالج بإخطار المركز بأي خرق للبيانات الشخصية خلال اثنتين وسبعين ساعة، وفوراً إذا تعلق الأمر بالأمن القومي. ويجب أن يصف الإخطار الخرق والإجراءات المتخذة، وتعيد اللائحة التنفيذية تأكيد الموعدين نفسيهما. ويجب إخطار صاحب البيانات خلال ثلاثة أيام عمل من إخطار المركز.
وهذه المواعيد لا تترك وقتاً لتحديد المسؤول بعد وقوع الحدث. ونصيحتنا الثابتة اعتماد مسار مكتوب للحوادث يسمي من يصنف الحدث، ومن يوقع إخطار المركز، ومن يتصل بالأفراد المتأثرين، ومن يمسك سجل الخروقات. ونختبره بتمرين نظري ونتحقق من أن الساعة تحتسب من لحظة علم الشركة بالخرق.
مسؤول حماية البيانات والتراخيص واللائحة التنفيذية
تلزم المادة 8 الممثل القانوني للشخص الاعتباري بتعيين موظف كفء مسؤولاً عن حماية البيانات، يقيد في سجل المركز ويعلن عنه. وتجعله المادة 9 مسؤولاً عن تطبيق القانون. وبموجب المادتين 26 و27 يصدر المركز التراخيص والتصاريح، ويبت خلال تسعين يوماً من استيفاء المستندات، ويعد السكوت رفضاً. وقد صدرت اللائحة التنفيذية بقرار وزير الاتصالات وتكنولوجيا المعلومات رقم 816 لسنة 2025؛ وتؤرخ المصادر الثانوية صدورها في 1 نوفمبر 2025 وبدء العمل بها في 2 نوفمبر 2025، ولم يُعثر على نسخة من الجريدة الرسمية.
وتمنح المادة 6 من مواد الإصدار المخاطبين سنة من تاريخ صدور اللائحة لتوفيق أوضاعهم. وعلى القراءة الصارمة تنتهي هذه المهلة نحو 1 نوفمبر 2026. ويلاحظ بعض الشراح أن المركز قد يعد المهلة أطول، لذلك نخطط على التاريخ الأبكر ونتابع أي توجيه رسمي. وتقع شرائح الرسوم وقواعد السجلات وقيد المسؤول في اللائحة وتراجع على نصها الحالي.
نقل البيانات عبر الحدود والتسويق الإلكتروني المباشر
لا تجيز المادة 14 من القانون رقم 151 لسنة 2020 نقل البيانات الشخصية إلى الخارج إلا إذا كان مستوى الحماية في الدولة الأجنبية موافقاً لمتطلبات القانون وكان النقل مرخصاً من المركز. وتجيز المادة 16 الإفصاح لمتحكم أو معالج في الخارج بترخيص إذا اتفقت الأعمال أو الغرض وتوافرت مصلحة مشروعة وكانت الحماية في الخارج لا تقل عنها في مصر. ونرسم خريطة لكل خدمة سحابية وشركة شقيقة ومورد يتلقى بيانات مصرية قبل أن نوصي بأي هيكل.
وتحظر المادة 17 التسويق الإلكتروني المباشر ما لم يوافق صاحب البيانات، ويعرّف المرسل بنفسه، ويقدم عنواناً صحيحاً، ويوسم الخطاب بأنه تسويقي، ويتاح خيار واضح للإلغاء. وتشترط المادة 18 غرضاً محدداً وسجلات إلكترونية للموافقة تحفظ ثلاث سنوات من آخر اتصال. وتضيف المادة 26 ترخيصاً للتسويق الإلكتروني المباشر. وسجل الموافقة الذي لا يمكن إبرازه هو عملياً غياب للموافقة.
عقوبات حماية البيانات والإنفاذ
تعاقب المادة 36 على جمع البيانات الشخصية المعالجة إلكترونياً أو معالجتها أو الإفصاح عنها دون إذن بغرامة من 100 ألف إلى مليون جنيه، وبالحبس مدة لا تقل عن ستة أشهر وغرامة من 200 ألف إلى مليوني جنيه أو بإحدى هاتين العقوبتين إذا تم ذلك للحصول على منفعة أو للإضرار بصاحب البيانات. وتعاقب المادة 41 على معالجة البيانات الحساسة دون موافقة بالحبس مدة لا تقل عن ثلاثة أشهر وغرامة من 500 ألف إلى 5 ملايين جنيه أو بإحدى هاتين العقوبتين. وتعاقب المادة 38 على الإخلال بواجبات المتحكم والمعالج بغرامة من 300 ألف إلى 3 ملايين جنيه.
وتحمّل المادة 47 المسؤولية للمدير الفعلي للشخص الاعتباري. وتضاعف المادة 48 العقوبة عند العود وتقضي بنشر الحكم، وتجيز المادة 49 التصالح في الجنح. وتتيح المادة 30 للمركز الإنذار أو إيقاف التراخيص أو إلغاءها ونشر المخالفات. وينعقد الاختصاص للمحاكم الاقتصادية بموجب المادة 5 من مواد الإصدار.
مكافحة غسل الأموال: واجبات المؤسسات المالية والأعمال غير المالية
تنشئ المادة 3 من القانون رقم 80 لسنة 2002 وحدة مكافحة غسل الأموال وتمويل الإرهاب في البنك المركزي المصري، وتكلفها المادة 7 بالتحقق من امتثال المؤسسات المالية والأعمال والمهن غير المالية. وتلزمها المادة 8 بإخطار الوحدة فوراً بأي معاملة يشتبه في أنها متحصلة من جريمة أو تتعلق بغسل الأموال أو تمويل الإرهاب، أو أي محاولة لذلك، أياً كانت قيمتها، وبتطبيق نظم العناية الواجبة بالعملاء.
وتوجب المادة 9 الاحتفاظ بسجلات المعاملات المحلية والدولية بما يكفي لتحديدها، وبسجلات العملاء والمستفيدين الحقيقيين، لمدة خمس سنوات على الأقل من انتهاء العلاقة أو إغلاق الحساب، وأطول إذا طلبت الوحدة أو جهات التحقيق. وتلزم المادة 9 مكرراً 1 المؤسسات المالية والأعمال غير المالية وكل حائز لأصول ذات صلة بتنفيذ آليات الوحدة للعقوبات المالية المستهدفة ومنها التجميد. ونختبر ما إذا كان نظام الرصد ينتج بلاغات فعلاً.
عقوبات غسل الأموال والتعاون
تعاقب المادة 14 على غسل الأموال، والشروع فيه، بالسجن مدة تصل إلى سبع سنوات وغرامة تعادل ضعف الأموال محل الجريمة، مع مصادرة الأموال المضبوطة. وتعاقب المادة 15 على مخالفة المواد 8 و9 و11 بالحبس وغرامة من 100 ألف إلى 500 ألف جنيه أو بإحداهما. وتعاقب المادة 15 مكرراً على مخالفة المادة 9 مكرراً 1 بالحبس مدة تصل إلى سنة أو بغرامة من 100 ألف إلى 300 ألف جنيه.
وإذا اشترك عدة أشخاص في الجريمة، أجازت المادة 17 للمحكمة أن تعفي من أبلغ السلطات المختصة قبل علمها بالجريمة، أو كان بلاغه سبباً في القبض على الباقين أو في ضبط الأموال، من عقوبتي السجن والغرامة في المادة 14، مع بقاء المصادرة. فالإبلاغ قرار له وزن قانوني، ونحرص على الفصل الواضح والتوثيق بين من يقدم البلاغ ومن يقرر تقديمه.
مكافحة الرشوة في قانون العقوبات
تجرّم المواد من 103 إلى 111 من قانون العقوبات الصادر بالقانون رقم 58 لسنة 1937 رشوة الموظفين العموميين. وتعرّف المادة 103 الجريمة بالعطية أو الهدية أو الوعد لموظف عام ليؤدي عملاً من أعمال وظيفته أو يمتنع عنه، وتعفي المادة 107 مكرراً الراشي أو الوسيط الذي يبلغ السلطات بالجريمة أو يعترف بها. وتحدد المادة 111 من يعد موظفاً عاماً، وتشمل المادة 106 مكرراً (ب) المضافة سنة 2018 رشوة الموظفين العموميين الأجانب.
وتمد المادة 105 مكرراً الجريمة إلى أعضاء مجالس إدارة الشركات المساهمة وبعض الهيئات ذات النفع العام ومديريها وموظفيها، وتشمل المادة 106 العاملين الذين يأخذون منفعة دون علم صاحب العمل. وتواجه الشركة التي يتورط موظفوها أو وسطاؤها آثاراً تعاقدية وترخيصية وتتعلق بالسمعة إضافة إلى المسؤولية الفردية. ولا نذكر مبالغ الغرامات هنا لأنها تراجع حالة بحالة على النص الحالي.
امتثال المنافسة: الكارتلات والقيود الرأسية ومراقبة الاندماج
تحظر المادة 6 من القانون رقم 3 لسنة 2005 الاتفاقات بين المتنافسين التي تثبت الأسعار أو تقسم الأسواق أو تنسق المشاركة في المناقصات أو تقيد الإنتاج، وتعالج المادتان 7 و8 الاتفاقات الرأسية وإساءة استغلال الوضع المهيمن. وتعاقب المادة 22 على مخالفة المادة 6 بغرامة من 2 إلى 12 في المائة من إيرادات المنتج خلال فترة المخالفة، أو من 500 ألف إلى 500 مليون جنيه إذا تعذر تحديد الإيراد. وتوقف المادة 26 الدعوى الجنائية عن أول من يبلغ الجهاز بكارتل مقدماً الأدلة.
ومنذ القانون رقم 175 لسنة 2022 يجب إخطار الجهاز بالتركز الاقتصادي الذي يبلغ الحدود الواردة في المادة 19 مكرراً، ولا يجوز تنفيذه قبل الموافقة وفقاً للمادة 19 مكرراً (أ). والحد المحلي هو إجمالي مبيعات أو أصول في مصر يتجاوز 900 مليون جنيه مع طرفين على الأقل يتجاوز كل منهما 200 مليون جنيه، والحد العالمي 7.5 مليار جنيه مع طرف واحد على الأقل يتجاوز 200 مليون جنيه في مصر. وتعاقب المادة 22 مكرراً (د) على عدم الإخطار بغرامة تتراوح بين 1 و10 في المائة من المبيعات أو الأصول أو قيمة الصفقة. وبدأ النظام كاملاً في 1 يونيو 2024.
ما نراجعه في ملف الامتثال المصري
عندما يراجع مكتبنا في القاهرة برنامج الامتثال نبدأ بعينة مؤرخة لا بسياسة مكتوبة. نأخذ موافقة على عقد وعملية دفع وطلباً واحداً يتعلق بالبيانات الشخصية، ونتتبع كلاً منها من الطلب إلى الأرشيف على ضوء القانون رقم 151 لسنة 2020 والمادتين 8 و9 من القانون رقم 80 لسنة 2002 والمادتين 6 و19 مكرراً (أ) من القانون رقم 3 لسنة 2005 والمواد 103 إلى 111 من قانون العقوبات. ونسجل من وافق ومن دفع ومن حفظ السجل وأي استثناء كان له مسار موافقة مستقل، ونبقي تلقي البلاغ وتقصي الوقائع والقرار أدواراً منفصلة.
اقرأ أيضاً: دليلنا لحماية البيانات في مصر ودليلنا للتجاري والشركات في مصر، إضافة إلى ممارستنا في قانون الشركات والأعمال التجارية.
الأسئلة الشائعة
متى يجب الإخطار بخرق البيانات الشخصية في مصر؟
تتطلب المادة 7 من القانون رقم 151 لسنة 2020 الإخطار خلال اثنتين وسبعين ساعة إلى مركز حماية البيانات الشخصية، وفوراً إذا تعلق الأمر بالأمن القومي، وإخطار الأفراد المتأثرين خلال ثلاثة أيام عمل من إخطار المركز.
هل نحتاج إلى مسؤول حماية بيانات؟
نعم إذا كنتم شخصاً اعتبارياً يعمل متحكماً أو معالجاً. تلزم المادة 8 من القانون رقم 151 لسنة 2020 الممثل القانوني بتعيين موظف كفء وقيده لدى المركز والإعلان عن تعيينه.
متى تنتهي مهلة التوفيق وفق اللائحة التنفيذية؟
تمنح المادة 6 من مواد الإصدار سنة من صدور القرار رقم 816 لسنة 2025 الذي تؤرخ المصادر الثانوية صدوره في 1 نوفمبر 2025 وبدء العمل به في 2 نوفمبر 2025 (لم يُعثر على نسخة من الجريدة الرسمية)، فالقراءة الصارمة نحو 1 نوفمبر 2026. وننصح بالتخطيط على هذا التاريخ.
هل يجوز إرسال بيانات شخصية إلى شركة شقيقة أجنبية؟
فقط إذا تحققت المادة 14 من القانون رقم 151 لسنة 2020: أن يوافق مستوى الحماية الأجنبي المعيار المصري وأن يكون النقل مرخصاً من المركز. وتعاقب المادة 42 على المخالفة بالحبس وغرامة من 500 ألف إلى 5 ملايين جنيه أو بإحدى هاتين العقوبتين.
هل يجب الإبلاغ عن معاملة مشبوهة أياً كانت قيمتها؟
نعم. تلزم المادة 8 من القانون رقم 80 لسنة 2002 المؤسسات المالية والأعمال والمهن غير المالية بإخطار الوحدة فوراً بالمتحصلات المشتبه فيها أو الغسل أو المحاولة أياً كانت القيمة، وتوجب المادة 9 الاحتفاظ بالسجلات خمس سنوات على الأقل.
ما عقوبة غسل الأموال؟
بموجب المادة 14 من القانون رقم 80 لسنة 2002 السجن حتى سبع سنوات وغرامة تعادل ضعف الأموال محل الجريمة مع المصادرة. وعند اشتراك عدة أشخاص في الجريمة، تجيز المادة 17 للمحكمة أن تعفي من يبلغ قبل علم السلطات بالجريمة من السجن ومن الغرامة في المادة 14، وتبقى المصادرة.
هل يجب إخطار جهاز حماية المنافسة بالاندماج؟
نعم إذا بلغ الحدود الواردة في المادة 19 مكرراً من القانون رقم 3 لسنة 2005، ولا يجوز تنفيذه قبل الموافقة وفق المادة 19 مكرراً (أ). وتترتب على عدم الإخطار، بموجب المادة 22 مكرراً (د)، غرامة تتراوح بين 1 و10 في المائة من المبيعات أو الأصول أو قيمة الصفقة.
هل يمكن لمكتبكم مراجعة برنامج الامتثال لدينا وإجراء تحقيق داخلي؟
نعم. يختبر مكتبنا في القاهرة الضوابط على ضوء التشريعات المذكورة ويبقي تلقي البلاغ وتقصي الوقائع والقرار منفصلة. يرجى التواصل معنا عبر صفحة الاتصال.