أصبح لدى مصر اليوم نظام متكامل لحماية البيانات. فقانون حماية البيانات الشخصية رقم 151 لسنة 2020 يضع القواعد، وقد أصدر وزير الاتصالات وتكنولوجيا المعلومات لائحته التنفيذية بالقرار رقم 816 لسنة 2025، فبدأت بذلك مهلة السنة التي يتعين على المنشآت خلالها توفيق أوضاعها. وتنتهي هذه المهلة عند مفترق أكتوبر ونوفمبر 2026، ولذلك يوشك النظام أن يصبح واجب التطبيق عملياً. ومن مكتبنا في القاهرة نقدم المشورة للمتحكمين والمعالجين بشأن ما يتطلبه القانون: الموافقة، وحقوق الأفراد، والتراخيص والتصاريح، ومسؤول حماية البيانات، والإبلاغ عن الاختراقات، والنقل عبر الحدود، والتسويق، والعقوبات.
الإطار العام: القانون 151 لسنة 2020 ولائحته التنفيذية وقانون مكافحة جرائم تقنية المعلومات
يحمي القانون رقم 151 لسنة 2020 البيانات الشخصية التي تُعالج إلكترونياً كلياً أو جزئياً لدى أي حائز أو متحكم أو معالج، ولا يحمي إلا الأشخاص الطبيعيين. وقد أنشأ مركز حماية البيانات الشخصية، وهو هيئة عامة اقتصادية تتبع وزير الاتصالات وتكنولوجيا المعلومات، يصدر التراخيص والتصاريح ويتلقى الشكاوى وإخطارات الاختراق ويفتش ويوقع الجزاءات. أما اللائحة التنفيذية الصادرة بقرار الوزير رقم 816 لسنة 2025 والنافذة من اليوم التالي لنشرها في الوقائع المصرية، فتحدد الإجراءات والرسوم والمعايير الفنية التي تركها القانون مفتوحة.
ويقف إلى جانب قانون حماية البيانات القانون رقم 175 لسنة 2018 في شأن مكافحة جرائم تقنية المعلومات. فالمادة 2 تُلزم مقدمي الخدمة بحفظ بيانات تحديد هوية المستخدم وبيانات حركة الاتصال وبيانات الأجهزة الطرفية مدة 180 يوماً والمحافظة على سريتها، وتعاقب المادة 25 كل من انتهك الخصوصية أو أتاح بيانات شخصية لنظام إلكتروني أو موقع للترويج لسلع أو خدمات دون موافقة. ويتداخل القانونان، فقد يرتب الحادث الواحد التزامات تنظيمية بموجب القانون 151 ومسؤولية جنائية بموجب القانون 175 في الوقت نفسه.
نطاق التطبيق: من يشمله القانون وما الذي يخرج عنه
تمد مواد الإصدار في القانون رقم 151 لسنة 2020 أحكامه العقابية إلى المصريين أينما ارتكبوا الفعل، وإلى غير المصريين المقيمين في مصر، وإلى غير المصريين في الخارج إذا كان الفعل مجرّماً في بلد ارتكابه وكانت البيانات تخص مصريين أو أجانب مقيمين في مصر. وتختص المحاكم الاقتصادية بنظر الجرائم. فلا تستطيع منشأة أجنبية تعالج بيانات مستخدمين مصريين اعتبار القانون شأناً محلياً بحتاً، وتوجب المادة 4 على المتحكم المقيم في الخارج تعيين ممثل له في مصر وفق ما تحدده اللائحة التنفيذية.
ويستثني القانون البيانات التي يحتفظ بها الأشخاص الطبيعيون للاستخدام الشخصي، والبيانات المعالجة للإحصاءات الرسمية، والبيانات المعالجة حصراً للأغراض الصحفية والإعلامية متى كانت صحيحة، والبيانات الواردة في محاضر الضبط القضائي والتحقيقات والدعاوى القضائية، والبيانات لدى جهات الأمن القومي، والبيانات لدى البنك المركزي المصري والجهات الخاضعة لرقابته، عدا شركات تحويل الأموال وشركات الصرافة. ونفحص كل استثناء على ضوء الوقائع قبل أن يعتمد عليه العميل، لأن الاستثناءات تُفسَّر تفسيراً ضيقاً.
مهلة التوفيق وموعد نوفمبر 2026
تمنح المادة 6 من قانون الإصدار الجهات الخاضعة للقانون سنة من تاريخ صدور اللائحة التنفيذية لتوفيق أوضاعها. وبحسب تقارير مكاتب المحاماة والصحافة صدرت اللائحة في 1 نوفمبر 2025 (ولم نجد نسخة منشورة في الجريدة الرسمية)، ولذلك تحدد مكاتب المحاماة نهاية المهلة بـ31 أكتوبر أو 1 نوفمبر 2026 بحسب طريقة احتساب السنة. ولم تُتح اللائحة للجمهور إلا في أواخر ديسمبر 2025. وقد تساءل بعض المعلقين عما إذا كان المركز قد يطبق موعداً لاحقاً. وننصح العملاء بالتخطيط على أساس التاريخ القانوني وعدم الاعتماد على تمديد، إذ لم يُعلن عن أي تمديد في المصادر التي راجعناها.
وقد فتح المركز بوابة إلكترونية لطلبات الترخيص والتصريح والاعتماد. ويتطلب إنشاء الحساب وتقديم الطلبات التحقق من الهوية عبر منصة مصر الرقمية الحكومية المرتبطة بالرقم القومي المصري، ولذلك يحتاج المتحكم الأجنبي إلى ممثل محلي مفوض تفويضاً صحيحاً. وتمنح المادة 27 من القانون المركز تسعين يوماً للبت في الطلب المستوفي، ويُعد السكوت رفضاً. ومن يتأخر في التقديم قد يبقى بلا ترخيص عند انتهاء المهلة، ولذلك ننصح بالتقديم الآن.
الموافقة ومشروعية المعالجة
تحظر المادة 2 من القانون رقم 151 لسنة 2020 جمع البيانات الشخصية أو معالجتها أو الإفصاح عنها أو إتاحتها بأي وسيلة دون موافقة صريحة من الشخص المعني، إلا في الأحوال التي يجيزها القانون. وتشترط المادة 3 أن تُجمع البيانات لأغراض مشروعة ومحددة ومعلنة، وأن تكون صحيحة ومؤمنة، وأن تُعالج بطريقة مشروعة وبما يتفق مع أغراضها، وألا يُحتفظ بها مدة أطول من اللازم. وتعد المادة 6 المعالجة مشروعة عند الموافقة الصريحة أو الضرورة لتنفيذ عقد أو دعوى قانونية أو التزام قانوني أو أمر قضائي أو الحق المشروع للمتحكم متى لم يتعارض مع الحقوق الأساسية للشخص المعني.
وتضيف المادة 2 من اللائحة التنفيذية أن الشخص الطبيعي الذي يقدم بياناته للحصول على خدمة مشروعة يُعد موافقاً على الجمع والمعالجة لهذا الغرض وحده، ولا يجوز استخدام البيانات في أغراض أخرى دون موافقة مسبقة. وتشترط اللائحة كذلك اعتماد المركز لآلية جمع البيانات والحصول على الموافقة، بما في ذلك موافقة الولي بالنسبة إلى الأطفال. وفي مراجعتنا نختبر كل شاشة موافقة على هاتين المادتين، لأن الإشعار الذي لا يطابق الأغراض الفعلية هو أكثر العيوب شيوعاً.
حقوق الأفراد والطلبات والشكاوى
تمنح المادة 2 الشخص المعني حق العلم ببياناته والوصول إليها، وسحب الموافقة، وطلب التصحيح أو التعديل أو المحو أو الإضافة أو التحديث، وتخصيص المعالجة في نطاق محدد، والإخطار بالاختراق، والاعتراض على المعالجة المخالفة لحقوقه وحرياته الأساسية. وفيما عدا حق الإخطار بالاختراق يتحمل الشخص المعني تكلفة الخدمة، ويحدد المركز الرسوم بحد أقصى 20 ألف جنيه. وتوجب المادتان 10 و32 البت في الطلب الكتابي خلال ستة أيام عمل، ويجب أن يكون الرفض مسبباً، ويُعد السكوت رفضاً.
وتتيح المادة 33 للشخص المعني أو لذي المصلحة المباشرة التقدم بشكوى إلى المركز، الذي يحقق ويبت فيها خلال ثلاثين يوم عمل. ويجب على المشكو في حقه تنفيذ القرار خلال سبعة أيام عمل من إخطاره وموافاة المركز بما يثبت التنفيذ. وتعاقب المادة 37 الحائز أو المتحكم أو المعالج الذي يمتنع دون وجه حق عن تمكين هذه الحقوق بغرامة من 100 ألف إلى مليون جنيه. ولذلك نبني إجراءً للطلبات بعدّاد زمني من ستة أيام، وتحقق من الهوية، وتسجيل لسبب كل رفض.
التزامات المتحكم والمعالج ومسؤول حماية البيانات
توجب المادة 4 على المتحكم الحصول على البيانات بطريقة مشروعة، والتحقق من صحتها وملاءمتها، وتطبيق تدابير فنية وتنظيمية، ومحو البيانات عند انتهاء الغرض ما لم يُحتفظ بها في صورة غير معرِّفة، وتصحيح الأخطاء، ومسك سجل بفئات البيانات والمستلمين وآليات المحو والنقل وإجراءات الأمن، والحصول على ترخيص أو تصريح من المركز، والسماح بالتفتيش. وتضع المادة 5 التزامات موازية على المعالج الذي يعمل بموجب اتفاق مكتوب. وعند تعدد المتحكمين، يكون كل منهم مسؤولًا بمفرده عن الامتثال الكامل.
وتوجب المادة 8 على الممثل القانوني للمتحكم أو المعالج إذا كان شخصاً اعتبارياً تعيين موظف مؤهل مسؤولاً عن حماية البيانات وقيده في سجل المركز والإعلان عن تعيينه. وتحدد المادة 9 مهامه: التدقيق الدوري، والتواصل مع المركز، والتعامل مع طلبات الأشخاص المعنيين، والإبلاغ عن الاختراقات، وتدريب العاملين. وتشترط المواد من 7 إلى 12 من اللائحة التنفيذية المؤهلات واجتياز اختبار المركز وسلامة الصحيفة الجنائية ورمزاً فريداً للمسؤول وإخطار المركز قبل خمسة عشر يوماً من استبداله.
التراخيص والتصاريح
تجيز المادة 26 من القانون للمركز إصدار تراخيص وتصاريح للمتحكمين والمعالجين، للتسويق الإلكتروني المباشر والمراقبة المرئية في الأماكن العامة والبيانات الحساسة والنقل عبر الحدود، وإصدار اعتمادات لمستشاري حماية البيانات. وتضع حداً أقصى لرسوم الترخيص قدره مليونا جنيه ولرسوم التصاريح والاعتمادات قدره 500 ألف جنيه. وتنص المادة 19 من اللائحة على ترخيص سنوي موحد للأشخاص الاعتبارية برسوم متدرجة بحسب عدد السجلات، وتحدد لأكبر الحائزين الرسم بالحد الأقصى القانوني وهو 666,666 جنيهاً سنوياً، أي مليونا جنيه لمدة ثلاث سنوات.
والتصريح بموجب المادة 20 من اللائحة مؤقت ولا تزيد مدته على سنة. ويجب أن تثبت طلبات الترخيص آلية الموافقة والسجلات الإلكترونية وإجراءات الأمن وعقد المسؤول واستقلاله والالتزام بأحكام البيانات الحساسة وبيانات الأطفال وفق المادة 21. ويجب على المركز البت خلال تسعين يوماً من اكتمال الملف وفق المادة 27 من القانون. والعمل دون ترخيص جريمة بموجب المادة 45 يعاقب عليها بغرامة من 500 ألف إلى خمسة ملايين جنيه، ولذلك يأتي تحديد نوع الترخيص أولاً في كل مهمة.
الإخطار عن الاختراق: 72 ساعة وثلاثة أيام عمل
توجب المادة 7 من القانون على المتحكم أو المعالج إخطار المركز بأي اختراق للبيانات الشخصية لديه خلال اثنتين وسبعين ساعة من علمه به، وفوراً إذا مس الاختراق الأمن القومي. وعليه خلال المدة نفسها موافاة المركز بوصف طبيعة الاختراق وصورته وأسبابه والحجم التقديري، وبيانات الاتصال بالمسؤول، والعواقب المحتملة، والإجراءات المتخذة، ووثائق الحادث. ويجب إخطار الشخص المعني خلال ثلاثة أيام عمل من إخطار المركز.
وتشترط المادة 5 من اللائحة التنفيذية أن يتم الإخطار عبر البوابة الإلكترونية للمركز أو خطه الساخن مع تسجيل وقت العلم ووقت الإبلاغ، وتضيف أن إخطار الشخص المعني يجب أن يصف إجراءات الأمن المتخذة. ويعاقب على مخالفة المادة 7 بموجب المادة 38 بغرامة من 300 ألف إلى ثلاثة ملايين جنيه. وعملياً تسري الساعات الاثنتان والسبعون من وقت العلم لا من وقت تأكيد السبب، ولذلك تحتاج خطة الحوادث إلى صاحب قرار معين وسجل أدلة منذ الساعة الأولى.
النقل عبر الحدود
تحظر المادة 14 من القانون نقل البيانات الشخصية إلى الخارج أو تخزينها أو مشاركتها هناك، ما لم يوفر البلد المقصود حماية لا تقل عن المنصوص عليها في القانون ويرخص المركز بالنقل أو يأذن به. وتورد المادة 15 استثناءات تتطلب موافقة صريحة من الشخص المعني منها الرعاية الطبية والدعاوى القانونية وتنفيذ عقد لمصلحته والتعاون القضائي والتحويلات المالية والاتفاقيات الدولية. وتجيز المادة 16 إتاحة البيانات لمتحكم آخر خارج مصر بموجب ترخيص فقط، عند اتساق الأنشطة ووجود مصلحة مشروعة وحماية لا تقل.
وتشترط المادة 16 من اللائحة التنفيذية ترخيصاً أو تصريحاً وموافقة الشخص المعني، وتقصر النقل على الدول المحددة في الترخيص، وتلزم المركز بنشر الدول التي يعدها ملائمة بالنظر إلى تشريعاتها وإجراءات الأمن وقواعد التعويض فيها. ويبت المركز خلال تسعين يوم عمل وفق المادة 26 من اللائحة. وتعاقب المادة 42 على مخالفة هذه القواعد بالحبس مدة لا تقل عن ثلاثة أشهر وغرامة من 500 ألف إلى خمسة ملايين جنيه أو بإحدى العقوبتين. والاستضافة السحابية في الخارج تُعد نقلاً، ولذلك نحصر كل نظام وموقع لكل معالج فرعي قبل التقديم.
البيانات الحساسة والأطفال والتسويق المباشر
تحظر المادة 12 جمع البيانات الشخصية الحساسة أو نقلها أو تخزينها أو معالجتها دون ترخيص من المركز، ودون موافقة كتابية وصريحة إلا في الحالات التي يجيزها القانون. وتشمل البيانات الحساسة البيانات الصحية والوراثية والبيومترية والمالية والمعتقدات الدينية والآراء السياسية والحالة الأمنية، وتُعامل بيانات الأطفال دائماً بوصفها حساسة. وتشترط المادة 15 من اللائحة موافقة الولي الكتابية لمن هم دون خمس عشرة سنة وموافقة الولي لمن بين الخامسة عشرة والثامنة عشرة. وتعاقب المادة 41 على التعامل غير المشروع مع البيانات الحساسة بالحبس مدة لا تقل عن ثلاثة أشهر وغرامة من 500 ألف إلى خمسة ملايين جنيه أو بإحدى هاتين العقوبتين.
وتجيز المادة 17 التسويق الإلكتروني المباشر بموافقة مسبقة فقط، مع مرسل محدد بوضوح وعنوان صالح وإشارة صريحة إلى الطابع التسويقي ووسيلة يسيرة للانسحاب. وتحظر المادة 18 الإفصاح عن بيانات الاتصال بالمتلقي وتوجب حفظ سجلات الموافقة ثلاث سنوات من آخر رسالة. وتضيف المادة 18 من اللائحة ترخيصاً للتسويق ومحو البيانات عند سحب الموافقة. وتعاقب المادة 43 على المخالفة بغرامة من 200 ألف إلى مليوني جنيه. ونراجع القوائم وآلية الانسحاب وعقود الوكالات قبل ترخيص أي حملة.
العقوبات والمسؤولية والتصالح
تعاقب المادة 36 على الجمع أو المعالجة أو الإفصاح أو النقل غير المشروع دون موافقة أو سند قانوني بغرامة من 100 ألف إلى مليون جنيه، وإذا كان الفعل بقصد الكسب أو الإضرار بالشخص المعني فبالحبس مدة لا تقل عن ستة أشهر وغرامة من 200 ألف إلى مليوني جنيه أو بإحدى هاتين العقوبتين. وتعاقب المادة 39 الممثل القانوني الذي لا يعين المسؤول، وتعاقب المادة 40 المسؤول الذي يهمل مهام المادة 9. وبموجب المادة 47 يُعاقب كذلك المسؤول الفعلي عن إدارة المنشأة إذا علم بالمخالفة، وتكون المنشأة مسؤولة بالتضامن عن التعويض.
وتمنح المادة 30 المركز جزاءات إدارية بعد الإنذار: الإيقاف أو سحب الترخيص أو إلغاؤه، ونشر المخالفات، والإشراف الفني على نفقة المخالف. وتضاعف المادة 48 العقوبات عند العود وتأمر بنشر الأحكام. وتجيز المادة 49 التصالح مع المركز أو المجني عليه في أي مرحلة قبل صدور حكم نهائي في أغلب الجرائم، بدفع نصف الحد الأدنى للغرامة قبل رفع الدعوى أو نصف الحد الأقصى بعدها. ويُنهي التصالح الدعوى الجنائية، ولذلك قد يخفف التواصل المبكر مع المركز من حجم التعرض.
ما الذي نراجعه في ملف حماية البيانات والخصوصية في مصر
عند مراجعة ملف حماية البيانات في مصر نحدد أولاً ما إذا كان العميل متحكماً أم معالجاً أم كليهما، وما التراخيص والتصاريح المترتبة على ذلك. ثم نختبر صياغات الموافقة على المواد 2 و3 و6، ونفحص إجراء الطلبات خلال ستة أيام، ونتحقق من تعيين مسؤول حماية البيانات وفق المادتين 8 و9، ونجرب مسار الإخطار خلال اثنتين وسبعين ساعة وفق المادة 7. ونحصر كل نقل إلى الخارج في ضوء المواد 14 إلى 16، ونراجع تدفقات التسويق في ضوء المادتين 17 و18، ونعد ملف الترخيص لبوابة المركز قبل الموعد النهائي.
اقرأ أيضا: دليلنا لحوافز قانون الاستثمار 72 لسنة 2017 ودليلنا لتأسيس الشركات في مصر، إضافة إلى ممارستنا في قانون الشركات والأعمال التجارية.
الأسئلة الشائعة
هل قانون حماية البيانات المصري نافذ؟
نعم. القانون رقم 151 لسنة 2020 نافذ، وصدرت لائحته التنفيذية بالقرار رقم 816 لسنة 2025. وقد منحت المادة 6 من قانون الإصدار الجهات سنة من تاريخ صدور هذه اللائحة لتوفيق أوضاعها، وتنتهي عند مفترق أكتوبر ونوفمبر 2026.
هل أحتاج إلى ترخيص من مركز حماية البيانات الشخصية؟
في الغالب نعم. فالمادة 4 من القانون توجب على المتحكم الحصول على ترخيص أو تصريح، وتعاقب المادة 45 على مخالفة أحكام الترخيص بغرامة من 500 ألف إلى خمسة ملايين جنيه. وتسري تراخيص أو تصاريح منفصلة على التسويق والمراقبة والنقل عبر الحدود.
هل أحتاج إلى مسؤول لحماية البيانات؟
نعم إذا كنت شخصاً اعتبارياً. فالمادة 8 توجب على الممثل القانوني تعيين موظف مؤهل وقيده لدى المركز والإعلان عن تعيينه، وتعاقب المادة 39 على الإخلال بذلك بغرامة من 200 ألف إلى مليوني جنيه.
ما المدة المتاحة للإبلاغ عن الاختراق؟
اثنتان وسبعون ساعة من العلم وفق المادة 7، وفوراً إذا تعلق الأمر بالأمن القومي. ويلتزم المتحكم بإخطار صاحب البيانات في مدة أقصاها ثلاثة أيام عمل من تاريخ إخطار المركز.
هل يمكنني تخزين بيانات العملاء المصريين في الخارج؟
فقط بترخيص أو تصريح من المركز وموافقة الشخص المعني، إلى بلد يعده المركز ذا حماية ملائمة، وفق المادة 14 من القانون والمادة 16 من اللائحة. والنقل دون إذن جريمة بموجب المادة 42.
كم أملك من الوقت للرد على طلب الاطلاع؟
ستة أيام عمل من تقديمه وفق المادتين 10 و32 مع تسبيب أي رفض. ويُبت في الشكوى المقدمة إلى المركز خلال ثلاثين يوم عمل وفق المادة 33.
ما العقوبات القصوى؟
تتوقف على المخالفة. فالغرامات تصل إلى خمسة ملايين جنيه وتُطبق عقوبة الحبس على جرائم البيانات الحساسة والنقل وفق المادتين 41 و42، وتتضاعف العقوبات عند العود وفق المادة 48، ويضيف القانون رقم 175 لسنة 2018 عقوبات جنائية مستقلة على انتهاك الخصوصية.
هل تقدمون المشورة بشأن الامتثال لحماية البيانات في مصر؟
نعم. نحدد دوركم، ونعد ملفات التراخيص والتصاريح، ونصوغ وثائق الموافقة والخصوصية، ونضع إجراءات الاختراق، ونمثل العملاء أمام المركز. يرجى التواصل معنا عبر صفحة الاتصال لمناقشة وضعكم.