Un programme de conformité en Égypte repose sur une courte liste de textes assortis de sanctions réelles : la loi n° 151 de 2020 sur la protection des données personnelles, dont le règlement d'application a été pris par la décision ministérielle n° 816 de 2025 ; la loi n° 80 de 2002 sur la lutte contre le blanchiment d'argent ; la loi n° 3 de 2005 sur la concurrence, modifiée par la loi n° 175 de 2022 ; et les dispositions du code pénal sur la corruption. Nous lisons ces textes en les appliquant depuis notre bureau du Caire, et nous éprouvons chaque contrôle sur une opération réelle, non sur un document de politique interne.
Le cadre légal : quatre régimes et une règle de preuve
Quatre régimes couvrent l'essentiel des questions de conformité d'entreprise en Égypte. La loi n° 151 de 2020 régit les données personnelles et son application relève du Centre de protection des données personnelles. La loi n° 80 de 2002 régit le blanchiment d'argent et crée, au sein de la Banque centrale d'Égypte, l'Unité de lutte contre le blanchiment d'argent et le financement du terrorisme. La loi n° 3 de 2005 régit les ententes, les restrictions verticales et les concentrations. Le code pénal, loi n° 58 de 1937, réprime la corruption aux articles 103 à 111. Les régulateurs sectoriels y ajoutent leurs propres règles.
Le critère que nous appliquons est le même pour tous : un contrôle n'existe que s'il peut être démontré. Pour chaque régime, nous demandons qui porte l'obligation, quelle pièce prouve qu'elle a été respectée et ce qu'un régulateur ou un procureur examinerait en premier. Selon l'article 4 de la loi n° 151 de 2020, le responsable du traitement doit fournir les moyens de prouver sa conformité et permettre le contrôle, et les autres régimes aboutissent au même résultat par leurs pouvoirs de tenue de registres et d'enquête.
Droit des données personnelles : champ d'application, définitions et exclusions
L'article 1 de la loi n° 151 de 2020 définit la donnée personnelle comme toute donnée relative à une personne physique identifiée, ou identifiable directement ou indirectement, et couvre le traitement par des moyens électroniques ou technologiques. Les données personnelles sensibles comprennent les données de santé, génétiques, biométriques et financières, les convictions religieuses, les opinions politiques et les antécédents judiciaires, et les données relatives aux enfants sont toujours sensibles. L'article 2 des articles de promulgation étend la loi à certains actes commis par des non-Égyptiens hors d'Égypte lorsque la personne concernée est égyptienne ou est un étranger résidant en Égypte.
L'article 3 des articles de promulgation énumère les exclusions : les données détenues par des particuliers à des fins personnelles, les statistiques officielles, les données traitées exclusivement à des fins médiatiques, les dossiers et affaires judiciaires, les données détenues par les autorités de sécurité nationale, et les données détenues par la Banque centrale d'Égypte et les entités qu'elle supervise, à l'exception des sociétés de transfert de fonds et de change. Avant de bâtir un programme de protection des données, nous situons chaque ligne d'activité à l'intérieur ou à l'extérieur de ces exclusions, car une banque et un détaillant d'un même groupe peuvent se trouver de part et d'autre.
Obligations du responsable du traitement, consentement et demandes des personnes concernées
L'article 4 de la loi annexée énumère les obligations du responsable du traitement. Il doit obtenir les données après le consentement de la personne concernée ou dans les cas où la loi le permet, veiller à leur exactitude et à leur adéquation à la finalité, les protéger par des mesures techniques et organisationnelles, les supprimer une fois la finalité atteinte ou les conserver sous une forme qui n'identifie pas la personne, corriger sans délai les erreurs et tenir un registre des catégories, des destinataires, de la durée de conservation et des mesures de sécurité. Il doit également obtenir une licence ou une autorisation du Centre et, s'il est établi à l'étranger, désigner un représentant en Égypte.
Selon l'article 32, la personne concernée peut s'adresser à tout détenteur, responsable du traitement ou sous-traitant pour exercer ses droits, et le destinataire doit répondre dans un délai de six jours ouvrables. Selon l'article 33, la plainte est portée devant le Centre, qui statue dans un délai de trente jours ouvrables, et la partie visée doit exécuter la décision dans un délai de sept jours ouvrables. Nous éprouvons cette chaîne avec une demande réelle : qui la reçoit, qui décide, qui interroge les systèmes et qui établit la date de la réponse.
Notification des violations : 72 heures et trois jours ouvrables
L'article 7 de la loi n° 151 de 2020 impose au responsable du traitement ou au sous-traitant de notifier au Centre toute violation de données personnelles dans un délai de soixante-douze heures, et immédiatement lorsque la sécurité nationale est en cause. La notification doit décrire la violation et les mesures prises, et le règlement d'application reprend les deux mêmes délais. La personne concernée doit être informée dans un délai de trois jours ouvrables à compter de la notification au Centre.
Ces délais ne laissent pas le temps de décider, après l'événement, qui est responsable. Notre conseil constant est de prévoir par écrit une procédure d'incident qui désigne la personne qui qualifie l'événement, celle qui signe la notification au Centre, celle qui contacte les personnes touchées et celle qui tient le registre des violations. Nous la testons par un exercice sur table et nous vérifions que le délai est décompté à partir du moment où la société a connaissance de la violation.
Délégué à la protection des données, licences et règlement d'application
L'article 8 impose au représentant légal d'une personne morale de désigner un employé compétent comme délégué à la protection des données, inscrit au registre du Centre et rendu public. L'article 9 rend ce délégué responsable de l'application de la loi. Selon les articles 26 et 27, le Centre délivre les licences et autorisations, statue dans les quatre-vingt-dix jours d'un dossier complet et traite le silence comme un rejet. Le règlement d'application a été pris par la décision ministérielle n° 816 de 2025 du ministre des Communications et des Technologies de l'information ; des sources secondaires la datent du 1er novembre 2025, en vigueur à compter du 2 novembre 2025, et aucune copie au journal officiel n'a été trouvée.
L'article 6 des articles de promulgation accorde aux destinataires un an à compter de la date d'émission du règlement d'application pour régulariser leur situation. Selon une lecture stricte, ce délai expire vers le 1er novembre 2026. Des commentateurs relèvent que le Centre pourrait considérer que le délai court plus longtemps ; nous planifions donc sur la date la plus proche et nous suivons les indications officielles. Les barèmes de redevances, les registres et les règles d'inscription du délégué figurent dans le règlement et sont vérifiés sur le texte en vigueur.
Transferts transfrontaliers et prospection électronique directe
L'article 14 de la loi n° 151 de 2020 n'autorise le transfert de données personnelles à l'étranger que si le niveau de protection du pays étranger satisfait aux exigences de la loi et si le transfert est autorisé par le Centre. L'article 16 permet la communication à un autre responsable du traitement ou sous-traitant à l'étranger, sous licence, si l'activité ou la finalité est concordante, s'il existe un intérêt légitime et si la protection à l'étranger n'est pas inférieure à celle de l'Égypte. Avant de conseiller sur la structure, nous recensons chaque service cloud, chaque société affiliée et chaque prestataire qui reçoit des données personnelles égyptiennes.
L'article 17 interdit la prospection électronique directe sauf si la personne concernée y a consenti, si l'expéditeur est identifié, si une adresse valide est indiquée, si le message est présenté comme une prospection et s'il existe une possibilité claire de refus. L'article 18 exige une finalité définie et la conservation électronique des preuves de consentement pendant trois ans à compter de la dernière communication. L'article 26 ajoute une licence pour la prospection électronique directe. Un consentement dont la preuve ne peut être produite équivaut, en pratique, à l'absence de consentement.
Sanctions en matière de protection des données et mise en œuvre
L'article 36 punit d'une amende de 100 000 à 1 000 000 de livres égyptiennes la collecte, le traitement ou la divulgation non autorisés de données personnelles traitées électroniquement, et prévoit une peine d'emprisonnement d'au moins six mois et une amende de 200 000 à 2 000 000 de livres égyptiennes, ou l'une de ces deux peines, lorsque l'acte est commis en vue d'un avantage ou pour nuire à la personne concernée. L'article 41 punit le traitement de données sensibles sans consentement d'au moins trois mois d'emprisonnement et d'une amende de 500 000 à 5 000 000 de livres égyptiennes, ou de l'une de ces deux peines. L'article 38 punit d'une amende de 300 000 à 3 000 000 de livres égyptiennes les manquements aux obligations du responsable du traitement et du sous-traitant.
L'article 47 rend responsable le gérant de fait d'une personne morale. L'article 48 double les peines en cas de récidive et ordonne la publication du jugement, et l'article 49 autorise la transaction pour les délits. L'article 30 permet au Centre d'avertir, de suspendre ou de retirer les licences et de publier les infractions. Les tribunaux économiques sont compétents en vertu de l'article 5 des articles de promulgation.
Lutte contre le blanchiment d'argent : obligations des institutions financières et des entreprises non financières
L'article 3 de la loi n° 80 de 2002 crée, au sein de la Banque centrale d'Égypte, l'Unité de lutte contre le blanchiment d'argent et le financement du terrorisme, et l'article 7 lui confie le contrôle du respect de la loi par les institutions financières et par les entreprises et professions non financières. L'article 8 leur impose de notifier sans délai à l'Unité toute opération dont elles soupçonnent qu'elle porte sur le produit d'un crime, un blanchiment d'argent ou un financement du terrorisme, ou toute tentative, quelle qu'en soit la valeur, et de mettre en place des systèmes de vigilance à l'égard de la clientèle.
L'article 9 impose de conserver pendant au moins cinq ans à compter de la fin de la relation ou de la clôture du compte les registres des opérations locales et internationales, comportant des données suffisantes pour les identifier, ainsi que les registres des clients et des bénéficiaires effectifs, et plus longtemps si l'Unité ou les enquêteurs le demandent. L'article 9 bis 1 impose aux institutions financières, aux entreprises non financières et à toute personne détenant des actifs concernés de mettre en œuvre les mécanismes de l'Unité relatifs aux sanctions financières ciblées, y compris le gel. Nous vérifions que le système de surveillance produit effectivement des déclarations.
Sanctions en matière de blanchiment d'argent et coopération
L'article 14 punit le blanchiment d'argent, ainsi que la tentative, d'un emprisonnement de sept ans au plus et d'une amende égale au double des fonds concernés, les fonds saisis étant confisqués. L'article 15 punit les manquements aux articles 8, 9 et 11 d'un emprisonnement et d'une amende de 100 000 à 500 000 livres égyptiennes, ou de l'une de ces deux peines. L'article 15 bis punit les manquements à l'article 9 bis 1 d'un emprisonnement d'un an au plus ou d'une amende de 100 000 à 300 000 livres égyptiennes.
Lorsque plusieurs personnes ont participé à l'infraction, l'article 17 permet au tribunal de dispenser de l'emprisonnement et de l'amende prévus à l'article 14 celle qui la dénonce aux autorités compétentes avant qu'elles n'en aient connaissance, ou dont la dénonciation conduit à l'arrestation des autres ou à la saisie des fonds, mais la confiscation demeure. La déclaration est donc une décision qui a un poids juridique, et nous veillons à ce que la personne qui dépose la déclaration et celle qui décide de la déposer soient clairement distinguées et que chacune soit documentée.
Lutte contre la corruption selon le code pénal
Les articles 103 à 111 du code pénal, loi n° 58 de 1937, répriment la corruption d'agents publics. L'article 103 définit l'infraction par référence à un paiement, un cadeau ou une promesse faits à un agent public pour qu'il accomplisse un acte de ses fonctions ou s'en abstienne, et l'article 107 bis exempte le corrupteur ou l'intermédiaire qui dénonce l'infraction aux autorités ou l'avoue. L'article 111 définit les personnes traitées comme agents publics, et l'article 106 bis (b), ajouté en 2018, couvre la corruption d'agents publics étrangers.
L'article 105 bis étend l'infraction aux administrateurs, aux dirigeants et aux employés des sociétés par actions et de certains organismes d'intérêt public, et l'article 106 couvre les employés qui acceptent un avantage à l'insu de leur employeur. Une société dont le personnel ou les intermédiaires sont impliqués s'expose à des conséquences contractuelles, en matière de licences et de réputation, en plus de l'exposition individuelle. Nous n'indiquons pas ici de montants d'amende, car ils sont vérifiés au cas par cas sur le texte en vigueur.
Conformité en droit de la concurrence : ententes, restrictions verticales et contrôle des concentrations
L'article 6 de la loi n° 3 de 2005 interdit les accords entre concurrents qui fixent les prix, répartissent les marchés, coordonnent la participation à des appels d'offres ou restreignent la production, et les articles 7 et 8 traitent des accords verticaux et de l'abus de position dominante. L'article 22 punit d'une amende de 2 à 12 % du chiffre d'affaires du produit pendant la durée de l'infraction, ou de 500 000 à 500 millions de livres égyptiennes lorsque ce chiffre ne peut être déterminé, la violation de l'article 6. L'article 26 arrête les poursuites pénales contre le premier contrevenant qui dénonce une entente à l'Autorité avec des preuves.
Depuis la loi n° 175 de 2022, l'Autorité doit être informée de toute concentration économique qui atteint les seuils de l'article 19 bis, et selon l'article 19 bis A elle ne peut être réalisée avant d'avoir été approuvée. Le seuil national est un chiffre d'affaires ou des actifs cumulés en Égypte supérieurs à 900 millions de livres égyptiennes, avec au moins deux parties dépassant chacune 200 millions, et le seuil mondial est de 7,5 milliards de livres égyptiennes avec au moins une partie dépassant 200 millions en Égypte. L'article 22 bis D punit le défaut de notification d'une amende de 1 à 10 % du chiffre d'affaires, des actifs ou de la valeur de l'opération. Le régime est pleinement entré en vigueur le 1er juin 2024.
Ce que nous examinons dans un dossier de conformité égyptien
Lorsque notre bureau du Caire examine un programme de conformité, nous commençons par un échantillon daté, non par une politique. Nous prenons une approbation de contrat, un paiement et une demande relative à des données personnelles, et nous suivons chacun de la demande à l'archivage au regard de la loi n° 151 de 2020, des articles 8 et 9 de la loi n° 80 de 2002, des articles 6 et 19 bis A de la loi n° 3 de 2005 et des articles 103 à 111 du code pénal. Nous consignons qui a approuvé, qui a payé, qui a conservé la pièce et quelle exception a fait l'objet de sa propre piste d'approbation, et nous maintenons comme fonctions distinctes la réception des signalements, l'établissement des faits et la décision.
Voir aussi : notre guide de la protection des données en Égypte et notre guide du droit commercial égyptien, ainsi que notre pratique en droit commercial et des sociétés.
Questions fréquentes
Quand faut-il notifier une violation de données personnelles en Égypte ?
L'article 7 de la loi n° 151 de 2020 impose une notification au Centre de protection des données personnelles dans un délai de soixante-douze heures, immédiatement si la sécurité nationale est en cause, et une notification aux personnes concernées dans un délai de trois jours ouvrables à compter de la notification au Centre.
Faut-il un délégué à la protection des données ?
Oui, si vous êtes une personne morale agissant comme responsable du traitement ou sous-traitant. L'article 8 de la loi n° 151 de 2020 impose au représentant légal de désigner un employé compétent, de l'inscrire auprès du Centre et de rendre cette désignation publique.
Quand expire le délai de grâce prévu par le règlement d'application ?
L'article 6 des articles de promulgation accorde un an à compter de l'émission de la décision n° 816 de 2025, que des sources secondaires datent du 1er novembre 2025, avec effet au 2 novembre 2025 (aucune copie au journal officiel n'a été trouvée) ; selon la lecture stricte, le délai expire donc vers le 1er novembre 2026. Nous conseillons de planifier sur cette date.
Peut-on transférer des données personnelles à une société étrangère du groupe ?
Seulement si l'article 14 de la loi n° 151 de 2020 est respecté : le niveau de protection étranger doit satisfaire à la norme égyptienne et le transfert doit être autorisé par le Centre. L'article 42 punit le manquement d'un emprisonnement et d'une amende de 500 000 à 5 000 000 de livres égyptiennes, ou de l'une de ces deux peines.
Faut-il déclarer une opération suspecte quelle qu'en soit la valeur ?
Oui. L'article 8 de la loi n° 80 de 2002 impose aux institutions financières et aux entreprises et professions non financières de notifier sans délai à l'Unité tout produit ou blanchiment soupçonné, ou toute tentative, quelle qu'en soit la valeur, et l'article 9 impose la conservation des registres pendant au moins cinq ans.
Quelle est la peine pour blanchiment d'argent ?
Selon l'article 14 de la loi n° 80 de 2002, un emprisonnement de sept ans au plus et une amende égale au double des fonds concernés, avec confiscation. Lorsque plusieurs personnes ont participé à l'infraction, l'article 17 permet au tribunal de dispenser de l'emprisonnement et de l'amende de l'article 14 celle qui dénonce l'infraction avant que les autorités n'en aient connaissance, mais la confiscation demeure.
Faut-il notifier une concentration à l'Autorité de la concurrence ?
Oui, si elle atteint les seuils de l'article 19 bis de la loi n° 3 de 2005, et elle ne peut être réalisée avant d'avoir été approuvée selon l'article 19 bis A. Le défaut de notification est puni par l'article 22 bis D d'une amende de 1 à 10 % du chiffre d'affaires, des actifs ou de la valeur de l'opération.
Votre cabinet peut-il examiner notre programme de conformité et mener une enquête interne ?
Oui. Notre bureau du Caire éprouve les contrôles au regard des textes ci-dessus et maintient distinctes la réception des signalements, l'établissement des faits et la décision. Veuillez nous contacter par la page de contact.