Un proyecto tecnológico egipcio se rige a la vez por cuatro leyes: la Ley de Regulación de las Telecomunicaciones n.º 10 de 2003 y su regulador, la Autoridad Nacional Reguladora de las Telecomunicaciones (NTRA); la Ley de Firma Electrónica n.º 15 de 2004; la Ley de Lucha contra la Ciberdelincuencia n.º 175 de 2018; y la Ley de Protección de Datos Personales n.º 151 de 2020, cuyo reglamento de ejecución, dictado por la Decisión Ministerial n.º 816 de 2025, entró en vigor en noviembre de 2025 y hizo operativo el régimen de licencias. Este artículo mapea lo que cada capa exige a una empresa de conectividad, alojamiento, nube, plataforma o software que atiende a clientes egipcios, y cómo nuestro despacho revisa el conjunto antes del lanzamiento, de un contrato o de un cambio.
Mapee el servicio antes de preguntar por licencias
Enumere lo que el cliente egipcio recibe realmente: conectividad, alojamiento, capacidad en la nube, una plataforma, contenidos, funciones de pago o software puro. Registre qué entidad vende, cuál opera y qué proveedores están debajo, porque la Ley n.º 10 de 2003 regula redes y servicios, no denominaciones comerciales. Una marca tecnológica genérica no dice nada al regulador; nuestro consejo habitual es fijar la función de cada componente frente a las definiciones del artículo 1 de esa ley antes de responder cualquier cuestión de cumplimiento.
Dibuje el recorrido del cliente desde el alta hasta la facturación y el soporte, y compare la sociedad descrita en el sitio web con la entidad que figura en los contratos y las facturas. Identifique los componentes físicos y remotos, las ubicaciones de los clientes y los accesos desde el extranjero. Si un socio opera parte del servicio, registre qué puede cambiar ese socio y qué promesas sigue esperando el cliente del vendedor, porque la aplicación de la ley en Egipto mira a través de la marca hasta el operador.
Licencias NTRA según la Ley n.º 10 de 2003
El artículo 21 de la Ley n.º 10 de 2003 prohíbe establecer u operar redes de telecomunicaciones, prestar servicios de telecomunicaciones, eludir las llamadas telefónicas internacionales o anunciar cualquiera de estas actividades sin licencia de la NTRA. La única excepción es una red privada de telecomunicaciones que no usa sistemas de radio, que no necesita licencia, aunque el operador licenciado cuya infraestructura la soporta debe notificarlo a la NTRA. El artículo 22 fija el procedimiento: solicitud en los formularios de la NTRA con prueba de capacidad técnica y financiera, y decisión en noventa días desde un expediente completo, transcurridos los cuales la solicitud se entiende rechazada.
El artículo 23 deja las tasas de licencia y las reglas de cobro al consejo de la NTRA. Las condiciones de licencia se publican en el Boletín Oficial o en un diario de amplia circulación a costa del licenciatario según el artículo 21, el artículo 25 impone obligaciones generales a los licenciatarios, y los artículos 28 a 33 rigen la interconexión, la mediación, las subvenciones cruzadas y los acuerdos entre licenciatarios. Cuando revisamos un lanzamiento en Egipto, la primera pregunta es siempre si algún componente equivale a operar una red o prestar un servicio según el artículo 21, porque todo lo demás depende de esa respuesta.
Equipos, homologación y frecuencias
El hardware se controla aparte. El artículo 44 de la Ley n.º 10 de 2003 restringe la importación, fabricación y ensamblaje de equipos de telecomunicaciones a las partes autorizadas, el artículo 46 prohíbe importar y vender equipos terminales usados, y el artículo 48 faculta a la NTRA a fijar reglas de homologación y permisos para importar, fabricar, comerciar y comercializar equipos, con una decisión debida en los noventa días siguientes a una solicitud completa. La posesión y el uso de equipos de radio sin permiso son materia penal conforme al artículo 77.
El espectro lo gestiona la NTRA según los artículos 49 a 59: asigna y adjudica frecuencias, otorga y cancela licencias de espectro según el artículo 51, fija tasas según el artículo 53, inspecciona el uso según el artículo 55 y mantiene la base de datos de usuarios según el artículo 58. Todo producto que emita radio, desde un sistema Wi-Fi hasta una flota de dispositivos IoT, necesita que se confirme su situación de frecuencias antes de la importación o el despliegue, y no después de que intervengan la aduana o la NTRA.
Las sanciones como base del análisis de riesgo
El artículo 72 de la Ley n.º 10 de 2003 castiga el establecimiento u operación sin licencia de redes, infraestructuras o servicios, o la elusión de llamadas internacionales, con prisión de seis meses a cinco años y multa de cincuenta mil a quinientas mil libras, o una de ambas penas, además del decomiso de los equipos. El artículo 77 castiga importar, fabricar, poseer u operar equipos de radio sin permiso con prisión de al menos un año y multa de veinte mil a cincuenta mil libras, o una de ambas penas, con decomiso en todos los casos.
El artículo 73 protege con sanciones penales la privacidad de las comunicaciones, y el artículo 78 castiga la interceptación deliberada de las ondas de radio asignadas a otros, o la interferencia con ellas. No son riesgos teóricos: la NTRA tiene poderes de inspección y vigilancia según los artículos 55 y 19, y poderes de decomiso administrativo según el artículo 11. Nuestras revisiones toman el mapa de sanciones como base para decidir qué componentes de un servicio deben licenciarse, autorizarse o reestructurarse.
Protección de datos personales según la Ley n.º 151 de 2020
La Ley n.º 151 de 2020 es la ley general egipcia de protección de datos. El artículo 2 prohíbe recoger, tratar, divulgar o revelar datos personales salvo con el consentimiento explícito del titular o cuando la ley lo permita, y otorga al titular derechos de acceso, retirada del consentimiento, rectificación, supresión, limitación, notificación de violaciones y oposición. El artículo 3 fija las condiciones de la recogida, el tratamiento y la conservación lícitos, incluidas la limitación de finalidad y la adecuación. El artículo 36 sanciona con multa de cien mil a un millón de libras el tratamiento no autorizado, con un trato más severo cuando el tratamiento se hace para obtener un beneficio material o para dañar al titular.
La ley creó el Centro de Protección de Datos Personales como regulador, con poderes de licencia y de permiso según el artículo 26. La transferencia transfronteriza se encuadra en los artículos 14 a 16: transferir, almacenar o compartir en el extranjero exige un nivel de protección adecuado y licencia o permiso del Centro, salvo las excepciones de consentimiento y necesidad del artículo 15. El artículo 33 abre una vía de reclamación ante el Centro, que decide en treinta días hábiles; el reclamado ejecuta la decisión en siete días hábiles desde la notificación.
El reglamento de 2025 hace operativo el régimen
La Decisión Ministerial n.º 816 de 2025 dictó el reglamento de la Ley n.º 151 de 2020, en vigor desde el 2 de noviembre de 2025 según fuentes secundarias. Instaura un régimen gradual de licencias y permisos gestionado por el Centro: responsables y encargados deben ostentar una licencia o permiso acorde a su actividad, con tasas escalonadas según el número de registros de datos personales tratados, que alcanzan varios cientos de miles de libras al año para los mayores volúmenes y se topan en dos millones de libras durante la vigencia trienal de la licencia. Las licencias de responsable solo o encargado solo para personas jurídicas se fijan en la mitad del valor del cuadro.
El reglamento también activa los detalles: registro de delegados de protección, registros electrónicos seguros de tratamiento, condiciones de licencias y permisos de transferencias transfronterizas según sus artículos 24 a 27, licencia de mercadotecnia electrónica directa según el artículo 28 y acreditaciones trienales. Toda empresa egipcia que recoja datos de clientes o empleados debe tratar ahora la licencia del Centro como un asunto de cumplimiento vigente y no futuro, y verificamos la tabla de tasas y los formularios vigentes frente a los volúmenes reales de registros del cliente antes de presentar la solicitud.
Notificación de violaciones de datos
El artículo 5 del reglamento pone el reloj en marcha: el responsable o encargado debe notificar al Centro por su portal electrónico o línea directa en setenta y dos horas desde que conoce una violación o infracción, consignando hora del conocimiento, naturaleza de la violación, estimación de los datos comprometidos, efectos esperados, medidas correctoras adoptadas y datos de contacto del delegado. Las violaciones que tocan la seguridad nacional deben reportarse de inmediato.
Después debe notificarse al titular de los datos en los tres días hábiles siguientes a la notificación al Centro, por el medio acordado al recoger los datos, como mensaje de texto, correo electrónico o teléfono. Estos plazos determinan cómo deben redactarse los planes de respuesta a incidentes: la detección, evaluación y escalado deben caber en setenta y dos horas, lo que exige un derecho contractual a notificación rápida de todo proveedor que aloje datos personales egipcios y una vía interna ensayada hasta el delegado designado en la presentación.
La Ley n.º 175 de 2018 de ciberdelincuencia y el proveedor
La Ley n.º 175 de 2018 impone deberes directos a los proveedores de servicios. El artículo 2 les obliga a conservar de forma continua los registros de los sistemas de información durante ciento ochenta días, incluidos datos de identificación de usuarios y datos de contenido, tráfico y terminales bajo su control; a preservar la confidencialidad de los datos salvo orden judicial motivada; a protegerlos contra accesos no autorizados; a poner a disposición de usuarios y autoridades su nombre, dirección, contactos y datos de licencia; y a facilitar a los órganos de seguridad nacional las capacidades técnicas exigidas por la ley.
El artículo 7 permite a la autoridad de investigación ordenar el bloqueo de un sitio web, dentro o fuera de Egipto, que difunda contenido constitutivo de delito conforme a la ley y que amenace la seguridad nacional o la economía nacional, con sometimiento de la orden al tribunal competente en veinticuatro horas y decisión motivada en setenta y dos horas; en casos urgentes, la NTRA puede ordenar el bloqueo temporal inmediato, que el proveedor debe ejecutar de inmediato. Los artículos 25 a 27 castigan con prisión y multa, o con una de ambas penas, las violaciones de la privacidad, el uso indebido de datos personales y el uso de sitios o cuentas para facilitar delitos. Toda plataforma egipcia necesita un procedimiento de tramitación de órdenes de bloqueo y una arquitectura de conservación de registros acorde con el artículo 2.
Firma electrónica y prueba según la Ley n.º 15 de 2004
La Ley n.º 15 de 2004 regula la firma electrónica y creó la Autoridad de Desarrollo de la Industria de Tecnologías de la Información, ITIDA. El artículo 14 otorga a las firmas electrónicas, en transacciones civiles, mercantiles y administrativas, el mismo efecto determinante que a las firmas según la Ley de Prueba, cuando se crean y se perfeccionan conforme a la ley y a las reglas técnicas de su reglamento. El artículo 15 otorga a la escritura electrónica el mismo efecto que a la escritura oficial y privada en las mismas condiciones.
El artículo 18 fija las condiciones probatorias: la firma debe vincularse únicamente al firmante, estar bajo su control exclusivo, y cualquier cambio en los datos firmados debe ser detectable. Para contratos tecnológicos egipcios, flujos de alta y condiciones de plataformas, este marco decide si un clic, un código de un solo uso o una firma con certificado resistirá en los tribunales. Alineamos cada flujo de firma con los artículos 14, 15 y 18 y con el régimen de prestadores de certificación acreditados creado por la ley y su reglamento.
Alinear las promesas al cliente con la cadena de suministro
Compare la disponibilidad, los tiempos de respuesta, la seguridad y el soporte anunciados con los compromisos de red, nube y subcontratistas subyacentes. Reparta la responsabilidad por interrupciones, mantenimiento programado, subcontratación e incidentes, y compruebe cómo se informará y ayudará al cliente si un proveedor aguas arriba suspende el servicio. Los deberes legales, como la conservación del artículo 2 de la Ley n.º 175 de 2018 y la notificación de violaciones del reglamento de datos, no pueden trasladarse al cliente por redacción.
Repase una caída de ejemplo y una solicitud de datos de una autoridad. ¿Quién ve las alertas, quién puede acceder a los registros, quién autoriza una corrección, quién informa al cliente y quién responde a la NTRA o al Centro de Protección de Datos Personales? Registre los contactos de escalado y los pasos de conservación de pruebas. El contrato debe corresponder a las herramientas reales del equipo y a los derechos sobre proveedores, y no prometer una respuesta que nadie pueda dar dentro del reloj regulatorio de setenta y dos horas.
Salida, cambio y expediente probatorio
Defina formatos de exportación, ayuda a la migración, preaviso, pruebas de supresión y tratamiento de dominios, cuentas o números antes de que la dependencia se instale, y pruebe una exportación antes de que termine el contrato. La promesa de devolver los datos vale poco si el cliente no puede leer el formato ni asignarlo a sus propios registros, y las promesas de supresión deben conciliarse con el deber de conservar los registros durante ciento ochenta días del artículo 2 de la Ley n.º 175 de 2018.
Un nuevo canal de pago, una fuente local de contenido o una función de red pueden cambiar a la vez el análisis de licencia, datos y ciberdelincuencia. Exija una revisión actualizada ante cada cambio y conserve una versión fechada de decisiones y cuestiones abiertas: mapas del servicio, correspondencia con la NTRA, presentaciones ante el Centro, condiciones de proveedores y registros de incidentes. Ese expediente es lo primero que piden reguladores, tribunales y adquirentes, y marca la diferencia entre un lanzamiento defendible y una reconstrucción costosa.
Qué revisamos antes de un lanzamiento o cambio tecnológico en Egipto
Nuestro expediente de primera revisión de un servicio tecnológico egipcio cubre: el mapa del servicio y de entidades; el análisis de licencia del artículo 21 de la Ley n.º 10 de 2003 con la excepción de redes privadas; las comprobaciones de equipos, homologación y frecuencias de los artículos 44 a 59; el mapa de sanciones de los artículos 72 a 78; el inventario de datos según la Ley n.º 151 de 2020 y los deberes de licencia, tasas, notificación de violaciones y registro de delegados de la Decisión n.º 816 de 2025; la estructuración transfronteriza de los artículos 14 a 16; la conservación del artículo 2 y el bloqueo del artículo 7 de la Ley n.º 175 de 2018; los flujos de firma según la Ley n.º 15 de 2004; y los contratos de proveedores frente a las promesas al cliente, con asesoramiento fechado sobre cada cuestión abierta.
Vea también: nuestra guía de protección de datos en Egipto y nuestra guía de propiedad intelectual en Egipto, además de nuestra práctica mercantil y societaria.
Preguntas frecuentes
¿Necesita toda empresa de TI en Egipto una licencia de la NTRA?
No. El artículo 21 de la Ley n.º 10 de 2003 exige licencia para establecer u operar redes de telecomunicaciones, prestar servicios de telecomunicaciones o eludir llamadas internacionales. Quien solo desarrolla software o revende aplicaciones, sin operar redes ni prestar servicios de telecomunicaciones, en general no necesita licencia NTRA, aunque las importaciones de equipos siguen sujetas a los permisos de los artículos 44 y 48 y una red privada con sistemas de radio queda fuera de la excepción.
¿Qué ocurre si un servicio opera sin licencia de la NTRA?
El artículo 72 de la Ley n.º 10 de 2003 convierte la operación no licenciada de redes, la prestación de servicios o la elusión de llamadas internacionales en delito castigado con seis meses a cinco años de prisión y multa de cincuenta mil a quinientas mil libras, o una de ambas penas, con decomiso de los equipos utilizados. Reestructurar tras una investigación cuesta mucho más que un análisis de licencia antes del lanzamiento.
¿Se aplica realmente la ley egipcia de protección de datos ahora?
Sí. La Ley n.º 151 de 2020 está en vigor desde 2020, y la Decisión Ministerial n.º 816 de 2025 puso el reglamento en vigor, según fuentes secundarias el 2 de noviembre de 2025, activando el régimen de licencias y permisos del Centro de Protección de Datos, las tasas escalonadas, el registro de delegados y los deberes de notificación de violaciones. Responsables y encargados de datos personales egipcios deben tratar la licencia como obligación presente.
¿Con qué rapidez debe notificarse una violación de datos en Egipto?
El artículo 5 del reglamento de 2025 exige notificar al Centro en setenta y dos horas desde el conocimiento, y notificar a los titulares afectados en tres días hábiles después, por los medios acordados al recoger los datos. Los planes de respuesta y los contratos con proveedores deben construirse para caber en ese reloj.
¿Pueden transferirse datos personales fuera de Egipto?
Solo en el marco de los artículos 14 a 16 de la Ley n.º 151 de 2020: transferir, almacenar o compartir en el extranjero exige un nivel de protección adecuado y licencia o permiso del Centro, salvo excepción del artículo 15, como el consentimiento explícito en los casos enumerados o la ejecución de un contrato en beneficio del titular. El reglamento de 2025 fija las condiciones de solicitud; estructuramos las transferencias en consecuencia.
¿Son válidas las firmas electrónicas en Egipto?
Sí. El artículo 14 de la Ley n.º 15 de 2004 da a las firmas electrónicas conformes el mismo efecto que a las manuscritas según la Ley de Prueba en transacciones civiles, mercantiles y administrativas, y el artículo 15 hace lo propio con la escritura electrónica. El artículo 18 exige vínculo único con el firmante, su control exclusivo y detectabilidad de toda alteración; el flujo y la arquitectura de certificados importan tanto como la firma misma.
¿Qué debe hacer una plataforma ante una orden de bloqueo?
El artículo 7 de la Ley n.º 175 de 2018 permite a las autoridades de investigación ordenar el bloqueo de sitios que difundan contenidos delictivos que amenacen la seguridad nacional o la economía, con presentación al tribunal en veinticuatro horas y decisión en setenta y dos; en urgencia, la NTRA puede exigir bloqueo temporal inmediato. Los proveedores deben ejecutar tales notificaciones de inmediato, por lo que necesitan un procedimiento documentado de recepción y ejecución.
¿Cómo contratar al despacho en un asunto tecnológico egipcio?
Envíe la descripción del servicio, los borradores de contratos y la lista de proveedores a través de la página de contacto; acotaremos una primera revisión de licencias NTRA, datos, ciberdelincuencia y contratos como se describe. Nuestra oficina de El Cairo realiza estas revisiones habitualmente, y acotar pronto es sensiblemente más barato que reestructurar después de que la NTRA o el Centro planteen la cuestión.