La protection des données au Moyen-Orient et en Afrique du Nord n'est plus une mosaïque de projets. L'Égypte, l'Arabie saoudite, les Émirats arabes unis, le Qatar et Bahreïn disposent chacun d'une loi sur les données personnelles en vigueur, et le Koweït régule par une décision de l'autorité CITRA, une loi sur les transactions électroniques et une loi sur la cybercriminalité. Les règles diffèrent selon le champ d'application, le consentement, les délais de notification des violations, les transferts et les sanctions, de sorte qu'une entreprise qui opère dans toute la région ne peut pas copier la politique d'un pays dans un autre. Depuis nos bureaux du Koweït et du Caire, Hind Bin Al Sheikh & Partners compare les six régimes par texte et par numéro d'article, afin que les équipes de conformité voient où un programme unique couvre plusieurs pays et où un travail local reste inévitable.
Six juridictions, six modèles
L'Arabie saoudite, les Émirats, le Qatar, Bahreïn et l'Égypte s'appuient chacun sur une loi dédiée : la loi sur la protection des données personnelles promulguée par le décret royal n° M/19 et modifiée par le décret royal n° M/148 en Arabie saoudite, le décret-loi fédéral n° 45 de 2021 aux Émirats, la loi n° 13 de 2016 au Qatar, la loi n° 30 de 2018 à Bahreïn et la loi n° 151 de 2020 en Égypte. Chaque loi a son propre organe de supervision, et les détails figurent dans des règlements d'exécution ou des décisions.
Le Koweït fait exception. Il n'a pas de loi générale sur la protection des données. La décision n° 26 de 2024 de l'Autorité de régulation des communications et des technologies de l'information (CITRA) régit les opérateurs de télécommunications et d'internet titulaires d'une licence, la loi n° 20 de 2014 sur les transactions électroniques couvre les données personnelles des registres électroniques, et la loi n° 63 de 2015 sur la cybercriminalité ajoute une responsabilité pénale. Un client commence donc par identifier quel régime s'applique à quelle entité et à quelle activité.
Champ d'application : qui est visé dans chaque pays
L'Arabie saoudite applique sa loi, selon l'article 2, au traitement des données personnelles de personnes se trouvant dans le Royaume, y compris depuis l'extérieur, et exclut l'usage personnel et familial non publié ni divulgué. La loi émiratie s'applique, selon l'article 2, aux responsables de traitement et sous-traitants établis aux Émirats et à ceux établis à l'étranger qui traitent des données de personnes aux Émirats, et exclut les données gouvernementales, les autorités de sécurité et judiciaires, les données de santé et bancaires ayant leur propre législation et les sociétés des zones franches dotées de leur propre droit des données, comme le DIFC et l'ADGM. L'article 2 de la loi qatarie couvre les données personnelles faisant l'objet d'un traitement électronique.
L'Égypte ne protège que les personnes physiques, avec une portée pénale sur certains actes commis à l'étranger, et exclut l'usage personnel, les statistiques officielles, le journalisme, les dossiers judiciaires, les autorités de sécurité nationale et les entités supervisées par la Banque centrale, hors sociétés de transfert d'argent et de change. Le règlement de la CITRA s'applique, selon l'article 1, aux prestataires titulaires d'une licence CITRA, au Koweït comme à l'étranger, tandis que les autres entités relèvent de la loi n° 20 de 2014. L'article 2 de la loi bahreïnie s'applique aux traitements automatisés et aux fichiers manuels structurés.
Où en est chaque régime en 2026
Le règlement d'exécution égyptien a été promulgué par la décision n° 816 de 2025 du MCIT (des sources secondaires la datent du 1er novembre 2025), et le délai d'un an pour se régulariser s'achève autour du 31 octobre ou du 1er novembre 2026 selon le mode de décompte de l'année, de sorte que l'Égypte est le pays dont l'échéance est la plus proche. La loi saoudienne est entrée en vigueur le 14 septembre 2023 avec une période de correction d'un an qui est aujourd'hui terminée. Le Qatar et Bahreïn sont applicables depuis des années, Bahreïn depuis le 1er août 2019.
Les Émirats sont différents. L'article 28 du décret-loi n° 45 de 2021 chargeait le Conseil des ministres d'édicter le règlement d'exécution dans les six mois, et l'article 29 laisse aux responsables de traitement six mois après sa publication pour se conformer, mais des sources secondaires indiquent que ce règlement n'a toujours pas été publié et qu'aucune liste de sanctions administratives n'a été arrêtée au titre de l'article 26. Nous traitons la loi comme étant en vigueur et signalons que son détail opérationnel reste ouvert. Le délai de grâce d'un an de l'article 7 de la décision de la CITRA, compté depuis la publication de février 2024, a expiré.
Consentement et fondements licites
Le consentement est la règle de base presque partout. L'article 5 de la loi saoudienne, tel que modifié, exige un consentement explicite sauf si un cas de l'article 6 s'applique, et l'article 6 modifié ajoute l'intérêt légitime. L'article 4 de la loi émiratie interdit le traitement sans consentement sous réserve d'exceptions listées, et l'article 6 exige que le responsable puisse prouver le consentement et que son retrait soit aisé. L'article 4 de la loi qatarie n'autorise le traitement qu'avec consentement, sauf nécessité d'une finalité légitime, et l'article 5 donne le droit de retrait. L'article 4 de la loi bahreïnie interdit le traitement sans consentement sauf pour un contrat, une obligation légale, des intérêts vitaux ou des intérêts légitimes.
L'Égypte exige un consentement explicite selon l'article 2 de la loi 151, avec les fondements licites de l'article 6. Le règlement de la CITRA exige, pour les titulaires de licence, le consentement et sa preuve selon les articles 2 et 3, et la loi n° 20 de 2014 exige selon les articles 32 et 35 le consentement et la finalité pour les données personnelles des registres électroniques. En pratique, un parcours de consentement unique, explicite, propre à chaque finalité, démontrable et facile à retirer répondra à la plupart de ces critères.
Droits des personnes
Les droits sont les plus étendus aux Émirats, en Arabie saoudite et en Égypte. Les articles 13 à 18 de la loi émiratie donnent l'accès à l'information, la portabilité, la rectification et l'effacement, la limitation, l'opposition à la prospection directe et l'opposition aux décisions automatisées. L'article 4 de la loi saoudienne donne les droits d'être informé, d'accéder, d'obtenir une copie, de corriger et de détruire. L'article 2 de la loi égyptienne donne la connaissance, l'accès, le retrait, la correction, la suppression, la limitation et l'opposition, et les articles 10 et 32 fixent un délai de réponse de six jours ouvrables.
Les articles 5 et 6 de la loi qatarie donnent le retrait, l'opposition, l'effacement, la correction, l'accès et une copie moyennant au plus le coût du service. Les articles 17 à 23 de la loi bahreïnie couvrent l'information, l'accès, l'opposition à la prospection directe, l'opposition aux traitements préjudiciables et aux décisions automatisées, ainsi que la rectification, le blocage et l'effacement. Le règlement de la CITRA ajoute pour les titulaires de licence, à l'article 4, l'accès, la correction, la suppression, la limitation, l'opposition et la portabilité.
Obligations des responsables, registres et délégués
C'est sur les registres et les délégués que les régimes divergent le plus. L'article 8 de la loi égyptienne impose à une personne morale de nommer un délégué à la protection des données enregistré. L'article 10 de la loi émiratie impose un délégué en cas de traitement à haut risque, systématique ou à grande échelle de données sensibles. L'article 10 de la loi bahreïnie crée le gardien de la protection des données, agréé par l'Autorité. L'article 31 de la loi saoudienne impose des registres des activités de traitement que l'autorité compétente peut demander. Le règlement de la CITRA exige des registres de traitement à l'article 5.
Les articles 8 et 11 de la loi qatarie imposent au responsable de protéger les données, d'examiner les mesures de protection avant tout nouveau traitement, d'identifier et de former les sous-traitants et de tenir un système interne de gestion des données. Les obligations de sécurité apparaissent partout : article 13 au Qatar, article 20 aux Émirats, article 19 en Arabie saoudite, article 8 à Bahreïn, article 4 en Égypte et article 5 du règlement de la CITRA au Koweït. Un socle de sécurité unique rattaché à ces articles évite un travail en double.
Licences, enregistrement et notification
L'Égypte est le régime le plus riche en licences. L'article 26 de la loi 151 permet au Centre de protection des données personnelles de délivrer licences et autorisations aux responsables de traitement et aux sous-traitants, et l'article 4 impose au responsable d'en détenir une, de sorte que le portail de demande compte à l'approche de l'échéance de novembre 2026. Bahreïn exige la notification préalable des traitements automatisés à l'Autorité selon l'article 14 et l'autorisation préalable de certaines opérations selon l'article 15.
Le Qatar exige l'autorisation du service compétent pour traiter des données personnelles de nature particulière, selon l'article 16. L'article 33 de la loi saoudienne donne à l'autorité des pouvoirs en matière d'agrément et d'exigences d'exercice, et la modification a abrogé l'ancienne obligation d'enregistrement de l'article 32. Aux Émirats, la loi ne prévoit pas d'étape générale de licence. Le Koweït lie les obligations à la détention d'une licence de la CITRA, de sorte que la première question pour un client koweïtien est de savoir s'il est titulaire d'une licence.
Délais de notification des violations
Les délais varient et sont un piège courant. L'article 6 au Koweït oblige le titulaire de licence à notifier la CITRA dans les 24 heures de sa connaissance, et l'article 4 mentionne séparément 72 heures pour la divulgation préjudiciable à grande échelle. L'article 7 en Égypte exige la notification au Centre sous 72 heures et à la personne concernée sous trois jours ouvrables. L'article 20 de la loi saoudienne, tel que modifié, exige que le responsable notifie l'autorité compétente, et l'article 24 du règlement d'application fixe 72 heures lorsque les conditions sont réunies.
L'article 9 de la loi émiratie exige la notification au Bureau des données avec la description de la violation, les coordonnées du délégué, les effets probables et les mesures correctives, dans le délai que fixe le règlement d'exécution, non encore publié. L'article 14 au Qatar exige d'informer la personne et le service compétent lorsqu'une violation peut causer un préjudice grave, sans nombre d'heures. Des sources secondaires font état d'un délai de 72 heures à Bahreïn, que nous signalons comme non rattaché à un article que nous avons lu. La règle de groupe raisonnable est un circuit d'escalade interne de 24 heures qui permet de respecter le délai le plus strict.
Transferts transfrontaliers
Les transferts exigent le plus d'analyse locale. L'article 29 de la loi saoudienne, tel que modifié, n'autorise les transferts que pour des finalités listées et à des conditions protégeant la sécurité nationale et les intérêts vitaux, selon le règlement sur le transfert de données personnelles hors du Royaume. L'article 22 de la loi émiratie autorise les transferts vers des pays offrant une protection adéquate reconnue par le Bureau des données, et l'article 23 les autorise sur la base de contrats et d'autres garanties lorsque la protection n'est pas adéquate. L'article 12 de la loi bahreïnie interdit les transferts sauf vers les pays figurant sur la liste de l'Autorité ou avec son autorisation au cas par cas, et l'article 13 énumère des dérogations.
L'article 14 de la loi égyptienne exige une protection adéquate et une licence du Centre, et son règlement d'exécution ajoute le consentement et des pays nommés. L'article 15 de la loi qatarie va dans l'autre sens : un responsable ne peut restreindre le flux transfrontalier de données sauf si le traitement viole la loi ou peut causer un préjudice grave. Le Koweït n'a pas de règle générale de localisation, et les entités privées relevant de la loi n° 20 de 2014 n'ont en général pas besoin d'autorisation pour transférer à l'étranger, sauf s'il s'agit d'informations de l'État ou des pouvoirs publics. Une cartographie des transferts par pays est le premier livrable que nous préparons.
Données sensibles, enfants et prospection directe
Les données sensibles appellent des conditions supplémentaires. L'article 12 en Égypte exige une licence du Centre et un consentement écrit. L'article 16 au Qatar définit les données de nature spéciale, dont celles des enfants et de santé, et exige l'autorisation du service compétent, tandis que l'article 17 exige le consentement des parents pour les sites destinés aux enfants. L'article 5 à Bahreïn fixe des conditions spécifiques pour les données sensibles. L'article 4 de la loi émiratie traite les données sensibles selon ses propres exceptions, et l'article 35 de la loi saoudienne sanctionne pénalement la divulgation de données sensibles dans l'intention de nuire ou pour un avantage personnel.
Les règles de prospection diffèrent aussi. L'article 22 au Qatar exige un consentement préalable, l'identité de l'expéditeur, une mention de prospection et une adresse de désinscription facile. L'article 25 de la loi saoudienne limite l'usage des canaux de contact personnels pour la publicité, et l'article 26 n'autorise l'usage marketing que pour des données recueillies directement avec consentement. L'article 17 de la loi émiratie donne un droit d'opposition à la prospection directe, les articles 19 et 20 à Bahreïn portent sur l'opposition à la prospection directe, l'article 17 en Égypte exige un consentement préalable, et l'article 4 du règlement de la CITRA exige un consentement préalable pour le marketing par des tiers.
Sanctions et application
L'article 35 de la loi saoudienne, tel que modifié, punit la divulgation de données sensibles dans l'intention de nuire ou pour un avantage personnel d'un emprisonnement de deux ans au plus et d'une amende de 3 000 000 SAR au plus, ou de l'une de ces peines, et l'article 36 permet un avertissement ou une amende de 5 000 000 SAR au plus pour les autres violations, pouvant être doublée en cas de récidive. L'article 23 au Qatar prévoit des peines pouvant atteindre 1 000 000 QAR pour la violation d'articles listés, l'article 24 jusqu'à 5 000 000 QAR pour la violation des articles 13, 16(3) et 17, et l'article 25 vise les personnes morales. Les amendes en Égypte vont de 100 000 à 5 000 000 EGP, avec emprisonnement pour les infractions relatives aux données sensibles et aux transferts selon les articles 41 et 42.
Au Koweït, l'article 37 de la loi n° 20 de 2014 prévoit jusqu'à trois ans d'emprisonnement et une amende de 5 000 à 20 000 KWD, ou de l'une de ces peines, et l'article 64 de la loi n° 37 de 2014 est lu comme permettant, pour les titulaires de licence, des amendes pouvant atteindre 1 000 000 KWD par violation. Les Émirats n'ont pas encore de liste de sanctions publiée au titre de l'article 26, et les infractions à Bahreïn visent les données sensibles, les transferts illicites et le défaut de notification, avec une amende pouvant atteindre 20 000 BHD ou un emprisonnement d'un an au plus, selon des sources secondaires.
Ce que nous examinons dans un dossier MENA de protection des données
Lorsque nous examinons un dossier multi-pays de protection des données, nous rattachons d'abord chaque entité et chaque activité à son régime, et pour le Koweït nous vérifions si le client détient une licence CITRA. Nous alignons ensuite les formules de consentement, les procédures de droits et les registres sur l'article le plus strict applicable, bâtissons une voie d'escalade unique capable de respecter les délais de 24 et de 72 heures, cartographions les transferts pays par pays et préparons le dossier de licence égyptien avant l'échéance de novembre 2026.
Voir aussi : notre guide de la protection des données au Koweït et notre guide de la protection des données en Égypte, ainsi que notre pratique en droit commercial et des sociétés.
Questions fréquentes
Existe-t-il une loi unique de protection des données pour toute la région MENA ?
Non. Chaque pays a son régime : la loi n° 151 de 2020 en Égypte, la loi sur la protection des données personnelles en Arabie saoudite, le décret-loi fédéral n° 45 de 2021 aux Émirats, la loi n° 13 de 2016 au Qatar et la loi n° 30 de 2018 à Bahreïn, tandis que le Koweït s'appuie sur la décision n° 26 de 2024 de la CITRA, la loi n° 20 de 2014 et la loi n° 63 de 2015.
Le Koweït a-t-il une loi sur la protection des données ?
Pas de loi générale. La décision n° 26 de 2024 de la CITRA s'applique, selon l'article 1, aux titulaires de licence CITRA, et les autres entités relèvent de la loi n° 20 de 2014 sur les transactions électroniques et de la loi sur la cybercriminalité.
Quel pays a l'échéance de conformité la plus proche ?
L'Égypte. Le délai d'un an suivant la décision n° 816 de 2025 portant règlement d'exécution s'achève autour du 31 octobre ou du 1er novembre 2026.
Le règlement d'exécution émirati est-il publié ?
Des sources secondaires indiquent qu'il ne l'est pas, bien que l'article 28 du décret-loi n° 45 de 2021 l'ait prévu dans les six mois. Nous traitons la loi comme en vigueur et suivons le règlement.
En combien de temps une violation doit-elle être notifiée ?
Cela dépend. L'article 6 au Koweït fixe 24 heures pour les titulaires de licence CITRA, l'article 7 en Égypte fixe 72 heures, l'article 24 du règlement d'application saoudien fixe 72 heures lorsqu'il s'applique, et l'article 14 au Qatar ne fixe pas de nombre d'heures. Une voie interne de 24 heures respecte la règle la plus stricte.
Les données personnelles peuvent-elles quitter ces pays ?
Souvent oui, sous conditions. L'article 29 en Arabie saoudite, les articles 22 et 23 aux Émirats, les articles 12 et 13 à Bahreïn et l'article 14 en Égypte fixent des conditions de transfert, tandis que l'article 15 au Qatar limite les restrictions aux flux de données et que le Koweït n'a pas de règle générale de localisation.
Quelles sont les peines maximales ?
L'article 36 en Arabie saoudite permet des amendes allant jusqu'à 5 000 000 SAR, pouvant être doublées en cas de récidive, l'article 24 au Qatar jusqu'à 5 000 000 QAR, et l'Égypte prévoit des amendes jusqu'à 5 000 000 EGP, avec emprisonnement pour certaines infractions dans chaque pays.
Conseillez-vous en matière de conformité transfrontalière à la protection des données ?
Oui. Nous qualifions chaque entité, cartographions le régime applicable, rédigeons les documents de consentement et de confidentialité, préparons les dossiers de licence en Égypte et assurons le contact avec les autorités. Veuillez nous contacter via notre page de contact pour examiner votre situation.