Un programa de cumplimiento en Egipto se apoya en pocas normas con sanciones reales: la ley de protección de datos personales, Ley n.º 151 de 2020, con su reglamento de desarrollo dictado por la Decisión Ministerial n.º 816 de 2025; la ley contra el blanqueo de capitales, Ley n.º 80 de 2002; la ley de competencia, Ley n.º 3 de 2005, modificada por la Ley n.º 175 de 2022; y las disposiciones del Código Penal sobre el soborno. Nuestra oficina de El Cairo lee estos textos tal como los aplica y prueba cada control sobre una operación real, no sobre un documento de políticas.
El marco legal: cuatro regímenes y un único estándar de prueba
Cuatro regímenes cubren la mayoría de las cuestiones de cumplimiento de las empresas en Egipto. La Ley n.º 151 de 2020 regula los datos personales y la aplica el Centro de Protección de Datos Personales. La Ley n.º 80 de 2002 regula el blanqueo y crea en el Banco Central de Egipto la unidad de lucha contra el blanqueo de capitales y la financiación del terrorismo. La Ley n.º 3 de 2005 regula los cárteles, las restricciones verticales y las concentraciones. El Código Penal, Ley n.º 58 de 1937, castiga el soborno en los artículos 103 a 111. Los reguladores sectoriales añaden sus propias reglas.
El estándar que aplicamos es el mismo en todos: un control existe solo si puede demostrarse. En cada régimen preguntamos quién tiene la obligación, qué registro prueba que se cumplió y qué examinaría primero un regulador o un fiscal. Según el artículo 4 de la Ley n.º 151 de 2020, el responsable del tratamiento debe facilitar los medios para probar su cumplimiento y permitir la inspección; los demás regímenes llegan al mismo resultado mediante la conservación de registros y las facultades de investigación.
Ley de datos personales: ámbito, definiciones y exclusiones
El artículo 1 de la Ley n.º 151 de 2020 define los datos personales como cualquier dato relativo a una persona física identificada o identificable, directa o indirectamente, y abarca el tratamiento por medios electrónicos o tecnológicos. Los datos sensibles incluyen los datos de salud, genéticos, biométricos y financieros, las creencias religiosas, las opiniones políticas y los antecedentes penales; los datos de menores son siempre sensibles. El artículo 2 de los artículos de promulgación extiende la ley a ciertas conductas de no egipcios fuera de Egipto cuando el titular es egipcio o un extranjero residente en Egipto.
El artículo 3 de los artículos de promulgación enumera las exclusiones: los datos que los particulares conservan para uso personal, las estadísticas oficiales, los datos tratados exclusivamente con fines periodísticos, los expedientes y causas judiciales, los datos de las autoridades de seguridad nacional y los datos del Banco Central de Egipto y de las entidades que supervisa, con excepción de las empresas de transferencia de fondos y de cambio de divisas. Antes de construir un programa de datos situamos cada línea de negocio respecto de estas exclusiones, porque un banco y un minorista del mismo grupo pueden quedar a lados distintos.
Deberes del responsable, consentimiento y solicitudes de los titulares
El artículo 4 de la ley anexa enumera los deberes del responsable. Debe obtener los datos con el consentimiento del titular o en los casos que la ley permite, asegurar que sean exactos y adecuados a la finalidad, protegerlos con medidas técnicas y organizativas, borrarlos cuando se cumpla la finalidad o conservarlos de forma que no identifique a la persona, corregir los errores de inmediato y llevar un registro de categorías, destinatarios, conservación y medidas de seguridad. También debe obtener una licencia o permiso del Centro y, si está en el extranjero, designar un representante en Egipto.
Según el artículo 32, el titular puede pedir a cualquier poseedor, responsable o encargado que ejerza sus derechos, y quien reciba la solicitud debe responder en seis días hábiles. Según el artículo 33, la reclamación se presenta ante el Centro, que resuelve en treinta días hábiles, y el reclamado debe ejecutar la decisión en siete días hábiles. Probamos esta cadena con una solicitud real: quién la recibe, quién decide, quién busca en los sistemas y quién prueba la fecha de la respuesta.
Notificación de brechas: 72 horas y tres días hábiles
El artículo 7 de la Ley n.º 151 de 2020 obliga al responsable o encargado a notificar al Centro cualquier violación de datos personales en un plazo de setenta y dos horas, e inmediatamente si afecta a la seguridad nacional. La notificación debe describir la violación y las medidas adoptadas, y el reglamento de desarrollo reitera los mismos dos plazos. El titular debe ser informado en los tres días hábiles siguientes a la notificación al Centro.
Estos plazos no dejan tiempo para decidir quién está al mando después del suceso. Nuestro consejo habitual es un circuito de incidentes escrito que nombre quién clasifica el suceso, quién firma la notificación al Centro, quién contacta a los afectados y quién lleva el registro de brechas. Lo probamos con un simulacro de mesa y comprobamos que el plazo se cuenta desde que la empresa tiene conocimiento de la violación.
Delegado de protección de datos, licencias y reglamento de desarrollo
El artículo 8 obliga al representante legal de una persona jurídica a designar a un empleado competente como delegado de protección de datos, inscrito en el registro del Centro y dado a conocer. El artículo 9 lo hace responsable de aplicar la ley. Según los artículos 26 y 27, el Centro concede licencias y permisos, resuelve en noventa días desde que el expediente está completo y considera el silencio como denegación. El reglamento de desarrollo se dictó como Decisión Ministerial n.º 816 de 2025 del ministro de Comunicaciones y Tecnología de la Información; las fuentes secundarias la fechan el 1 de noviembre de 2025, en vigor desde el 2 de noviembre de 2025, y no se encontró copia en el boletín oficial.
El artículo 6 de los artículos de promulgación concede a los destinatarios un año desde la emisión del reglamento para regularizar su situación. En una lectura estricta, ese plazo termina hacia el 1 de noviembre de 2026. Los comentaristas señalan que el Centro podría tratar ese plazo como más largo, por lo que planificamos con la fecha más temprana y seguimos las indicaciones oficiales. Los tramos de tasas, los registros y la inscripción del delegado figuran en el reglamento y se verifican con el texto vigente.
Transferencias internacionales y marketing electrónico directo
El artículo 14 de la Ley n.º 151 de 2020 solo permite transferir datos personales al extranjero si el nivel de protección del país receptor cumple los requisitos de la ley y la transferencia está autorizada por el Centro. El artículo 16 permite la comunicación a un responsable o encargado en el extranjero con licencia cuando coinciden la actividad o la finalidad, existe un interés legítimo y la protección en el extranjero no es inferior a la de Egipto. Mapeamos cada servicio en la nube, filial y proveedor que recibe datos egipcios antes de aconsejar una estructura.
El artículo 17 prohíbe el marketing electrónico directo salvo que el titular haya consentido, el remitente esté identificado, se indique una dirección válida, el mensaje se marque como comercial y exista una opción clara de baja. El artículo 18 exige una finalidad definida y registros electrónicos del consentimiento durante tres años desde la última comunicación. El artículo 26 añade una licencia para el marketing electrónico directo. Un registro de consentimiento que no puede presentarse equivale, en la práctica, a no tener consentimiento.
Sanciones en protección de datos y ejecución
El artículo 36 castiga la recogida, el tratamiento o la divulgación no autorizados de datos personales tratados electrónicamente con multa de 100.000 a 1.000.000 de libras egipcias, y prevé prisión de al menos seis meses y multa de 200.000 a 2.000.000 de libras cuando el acto se comete para obtener un beneficio o dañar al titular, o una de ambas penas. El artículo 41 castiga el tratamiento de datos sensibles sin consentimiento con prisión de al menos tres meses y multa de 500.000 a 5.000.000 de libras, o una de ambas penas. El artículo 38 castiga el incumplimiento de los deberes del responsable y del encargado con multa de 300.000 a 3.000.000 de libras.
El artículo 47 hace responsable al administrador de hecho de una persona jurídica. El artículo 48 duplica las penas en caso de reincidencia y ordena publicar la sentencia, y el artículo 49 permite la conciliación en los delitos menores. El artículo 30 permite al Centro advertir, suspender o cancelar licencias y publicar las infracciones. Los tribunales económicos son competentes según el artículo 5 de los artículos de promulgación.
Lucha contra el blanqueo: deberes de las entidades financieras y de los negocios no financieros
El artículo 3 de la Ley n.º 80 de 2002 crea en el Banco Central de Egipto la unidad de lucha contra el blanqueo de capitales y la financiación del terrorismo, y el artículo 7 le encomienda verificar el cumplimiento por las entidades financieras y por los negocios y profesiones no financieros. El artículo 8 les obliga a comunicar sin demora a la unidad cualquier operación que sospechen que procede de un delito, de blanqueo o de financiación del terrorismo, o cualquier intento, sea cual sea su valor, y a aplicar sistemas de diligencia debida con los clientes.
El artículo 9 exige conservar los registros de las operaciones nacionales e internacionales, con datos suficientes para identificarlas, y los de clientes y titulares reales, durante al menos cinco años desde el fin de la relación o el cierre de la cuenta, y más si lo piden la unidad o los investigadores. El artículo 9 bis 1 obliga a las entidades financieras, a los negocios no financieros y a todo poseedor de activos relevantes a aplicar los mecanismos de la unidad sobre sanciones financieras selectivas, incluida la inmovilización. Comprobamos si el sistema de vigilancia produce comunicaciones de verdad.
Sanciones por blanqueo y cooperación
El artículo 14 castiga el blanqueo, y su tentativa, con prisión de hasta siete años y multa igual al doble de los fondos implicados, y los fondos incautados se decomisan. El artículo 15 castiga el incumplimiento de los artículos 8, 9 y 11 con prisión y multa de 100.000 a 500.000 libras, o con una de las dos penas. El artículo 15 bis castiga el incumplimiento del artículo 9 bis 1 con prisión de hasta un año o multa de 100.000 a 300.000 libras.
Cuando varias personas participaron en el delito, el artículo 17 permite al tribunal eximir de la prisión y de la multa del artículo 14 a quien lo comunica a las autoridades competentes antes de que lo conozcan, o cuya comunicación lleva a la detención de los demás o a la incautación de los fondos, pero el decomiso sigue aplicándose. La comunicación es, por tanto, una decisión con peso jurídico, y cuidamos que la persona que comunica y la que decide comunicar estén claramente separadas y documentadas.
Lucha contra el soborno en el Código Penal
Los artículos 103 a 111 del Código Penal, Ley n.º 58 de 1937, castigan el soborno de funcionarios públicos. El artículo 103 define el delito mediante un pago, regalo o promesa a un funcionario para que realice u omita un acto de su cargo, y el artículo 107 bis exime al sobornador o intermediario que denuncia el delito a las autoridades o lo confiesa. El artículo 111 define quiénes se consideran funcionarios públicos, y el artículo 106 bis (b), añadido en 2018, abarca el soborno de funcionarios extranjeros.
El artículo 105 bis extiende el delito a miembros de consejos de administración, directivos y empleados de sociedades anónimas y de ciertas entidades de interés público, y el artículo 106 alcanza a los empleados que aceptan un beneficio sin conocimiento de su empleador. Una empresa cuyos empleados o intermediarios intervienen afronta consecuencias contractuales, de licencia y de reputación, además del riesgo individual. No indicamos aquí importes de multas porque se verifican caso por caso con el texto vigente.
Cumplimiento de competencia: cárteles, restricciones verticales y control de concentraciones
El artículo 6 de la Ley n.º 3 de 2005 prohíbe los acuerdos entre competidores que fijan precios, reparten mercados, coordinan la participación en licitaciones o limitan la producción, y los artículos 7 y 8 tratan los acuerdos verticales y el abuso de posición dominante. El artículo 22 sanciona la infracción del artículo 6 con multa del 2 al 12 por ciento de los ingresos del producto durante el periodo de infracción, o de 500.000 a 500 millones de libras si los ingresos no pueden determinarse. El artículo 26 detiene la acción penal contra el primer participante que denuncia un cártel ante la Autoridad con pruebas.
Desde la Ley n.º 175 de 2022, toda concentración que alcance los umbrales del artículo 19 bis debe notificarse a la Autoridad, y según el artículo 19 bis A no puede ejecutarse antes de su aprobación. El umbral nacional es una facturación o activos combinados en Egipto superiores a 900 millones de libras con al menos dos partes que superen cada una 200 millones; el umbral mundial es de 7.500 millones de libras con al menos una parte que supere 200 millones en Egipto. El artículo 22 bis D sanciona la falta de notificación con una multa del 1 al 10 por ciento de la facturación, los activos o el valor de la operación. El régimen es plenamente aplicable desde el 1 de junio de 2024.
Qué revisamos en un expediente de cumplimiento egipcio
Cuando nuestra oficina de El Cairo revisa un programa de cumplimiento, empezamos con una muestra fechada y no con una política. Tomamos una aprobación de contrato, un pago y una solicitud de datos personales, y seguimos cada una desde la petición hasta el archivo conforme a la Ley n.º 151 de 2020, los artículos 8 y 9 de la Ley n.º 80 de 2002, los artículos 6 y 19 bis A de la Ley n.º 3 de 2005 y los artículos 103 a 111 del Código Penal. Anotamos quién aprobó, quién pagó, quién guardó el registro y qué excepción tuvo su propio circuito de aprobación, y mantenemos separados los papeles de recepción de la denuncia, averiguación de los hechos y decisión.
Vea también: nuestra guía de protección de datos en Egipto y nuestra guía mercantil y societaria de Egipto, además de nuestra práctica mercantil y societaria.
Preguntas frecuentes
¿Cuándo hay que notificar una brecha de datos personales en Egipto?
El artículo 7 de la Ley n.º 151 de 2020 exige notificarla al Centro de Protección de Datos Personales en setenta y dos horas, de inmediato si afecta a la seguridad nacional, e informar a los afectados en los tres días hábiles siguientes a la notificación al Centro.
¿Necesitamos un delegado de protección de datos?
Sí, si son una persona jurídica que actúa como responsable o encargado. El artículo 8 de la Ley n.º 151 de 2020 obliga al representante legal a designar a un empleado competente, inscribirlo en el Centro y dar a conocer la designación.
¿Cuándo termina el plazo de adaptación del reglamento de desarrollo?
El artículo 6 de los artículos de promulgación concede un año desde la emisión de la Decisión n.º 816 de 2025, que las fuentes secundarias fechan el 1 de noviembre de 2025, con efectos desde el 2 de noviembre de 2025 (no se encontró copia en el boletín oficial), es decir, en lectura estricta, hacia el 1 de noviembre de 2026. Aconsejamos planificar con esa fecha.
¿Podemos enviar datos a una empresa extranjera del grupo?
Solo si se cumple el artículo 14 de la Ley n.º 151 de 2020: el nivel de protección extranjero debe igualar el estándar egipcio y el Centro debe autorizar la transferencia. El artículo 42 castiga la infracción con prisión y multa de 500.000 a 5.000.000 de libras, o una de ambas penas.
¿Hay que comunicar una operación sospechosa sea cual sea su valor?
Sí. El artículo 8 de la Ley n.º 80 de 2002 obliga a las entidades financieras y a los negocios y profesiones no financieros a comunicar sin demora a la unidad los presuntos productos del delito, el blanqueo o el intento, sea cual sea el valor, y el artículo 9 exige conservar los registros al menos cinco años.
¿Qué pena tiene el blanqueo de capitales?
Según el artículo 14 de la Ley n.º 80 de 2002, prisión de hasta siete años y multa igual al doble de los fondos implicados, con decomiso. Cuando varias personas participaron, el artículo 17 permite al tribunal eximir de la prisión y de la multa del artículo 14 a quien comunica antes de que las autoridades conozcan el delito, pero el decomiso sigue aplicándose.
¿Hay que notificar una fusión a la Autoridad de Competencia?
Sí, si alcanza los umbrales del artículo 19 bis de la Ley n.º 3 de 2005, y no puede ejecutarse antes de su aprobación según el artículo 19 bis A. La omisión de la notificación se sanciona, conforme al artículo 22 bis D, con una multa del 1 al 10 por ciento de la facturación, los activos o el valor de la operación.
¿Puede su despacho revisar nuestro programa de cumplimiento y realizar una investigación interna?
Sí. Nuestra oficina de El Cairo prueba los controles conforme a las normas citadas y mantiene separadas la recepción de la denuncia, la averiguación de los hechos y la decisión. Póngase en contacto con nosotros a través de nuestra página de contacto.