Un projet technologique égyptien relève de quatre lois à la fois : la loi n° 10 de 2003 sur les télécommunications et son régulateur, la NTRA ; la loi n° 15 de 2004 sur la signature électronique ; la loi n° 175 de 2018 contre la cybercriminalité ; et la loi n° 151 de 2020 sur la protection des données personnelles, dont le règlement d'application, pris par la décision ministérielle n° 816 de 2025, est entré en vigueur en novembre 2025 et a rendu le régime de licences opérationnel. Cet article présente ce que chaque couche exige d'une entreprise de connectivité, cloud, plateforme ou logiciel servant des clients égyptiens, et comment notre cabinet l'examine avant lancement, contrat ou changement.
Cartographier le service avant toute question de licence
Énumérez ce que le client égyptien reçoit réellement : connectivité, hébergement, cloud, plateforme, contenus, fonctions de paiement ou logiciel pur. Consignez quelle entité vend, laquelle exploite et quels fournisseurs se situent en dessous, car la loi n° 10 de 2003 régule les réseaux et services, non les dénominations. Une marque technologique générale n'apprend rien au régulateur ; notre conseil constant est de fixer la fonction de chaque composant selon les définitions de l'article 1er de cette loi avant de répondre à toute question de conformité.
Tracez le parcours client de l'inscription à la facturation et au support, et comparez la société décrite sur le site avec l'entité nommée dans les contrats et factures. Identifiez composants physiques et distants, localisations des clients et accès depuis l'étranger. Si un partenaire exploite une partie du service, consignez ce qu'il peut modifier et ce que le client attend toujours du vendeur, car l'exécution égyptienne regarde derrière la marque vers l'exploitant.
Licences NTRA selon la loi n° 10 de 2003
L'article 21 de la loi n° 10 de 2003 interdit d'établir ou d'exploiter des réseaux de télécommunications, de fournir des services de télécommunications, de contourner les appels internationaux ou d'annoncer l'une de ces activités sans licence de la NTRA. Seule exception : le réseau privé sans systèmes radio, qui ne requiert pas de licence, bien que l'opérateur licencié de l'infrastructure support doive le notifier à la NTRA. L'article 22 fixe la procédure : demande sur formulaires NTRA avec preuves de capacité technique et financière, décision sous quatre-vingt-dix jours après dossier complet, faute de quoi la demande est réputée rejetée.
L'article 23 laisse les redevances et les règles de perception au conseil de la NTRA. Les conditions de licence sont publiées au Journal officiel ou dans un quotidien à large diffusion aux frais du licencié selon l'article 21 ; l'article 25 impose des obligations générales, et les articles 28 à 33 régissent l'interconnexion, la médiation, les subventions croisées et les accords entre licenciés. Lors de toute revue de lancement égyptien, la première question est toujours de savoir si un composant constitue l'exploitation d'un réseau ou un service au sens de l'article 21 ; tout le reste en découle.
Équipements, homologation et fréquences
Le matériel est contrôlé séparément. L'article 44 de la loi n° 10 de 2003 réserve l'importation, la fabrication et l'assemblage d'équipements de télécommunications aux parties autorisées ; l'article 46 interdit l'importation et la vente de terminaux d'occasion ; l'article 48 habilite la NTRA à fixer les règles d'homologation et les permis d'importation, fabrication, commerce et commercialisation, avec décision due dans les quatre-vingt-dix jours d'une demande complète. La détention et l'exploitation d'équipements radio sans permis sont pénales selon l'article 77.
Le spectre est géré par la NTRA selon les articles 49 à 59 : attribution des fréquences, octroi et annulation des licences de spectre selon l'article 51, redevances selon l'article 53, inspections selon l'article 55 et base des utilisateurs selon l'article 58. Tout produit émettant des ondes, du Wi-Fi à la flotte d'objets connectés, doit voir sa position de fréquence confirmée avant importation ou déploiement, et non après l'intervention des douanes ou de la NTRA.
Les sanctions pénées comme base de l'analyse de risque
L'article 72 de la loi n° 10 de 2003 punit l'établissement ou l'exploitation non licenciés de réseaux, d'infrastructures, de services ou le contournement d'appels internationaux d'un emprisonnement de six mois à cinq ans et d'une amende de cinquante mille à cinq cent mille livres égyptiennes, ou de l'une de ces peines, avec confiscation des équipements. L'article 77 punit l'importation, la fabrication, la détention ou l'exploitation d'équipements radio sans permis d'au moins un an d'emprisonnement et de vingt mille à cinquante mille livres égyptiennes d'amende, ou de l'une de ces peines, avec confiscation dans tous les cas.
L'article 73 protège pénalement la confidentialité des communications, et l'article 78 punit l'interception ou le brouillage délibéré des ondes attribuées à autrui. Ces risques ne sont pas théoriques : la NTRA dispose de pouvoirs d'inspection et de surveillance selon les articles 55 et 19, et de pouvoirs de saisie administrative selon l'article 11. Nos revues traitent la carte des sanctions comme la base pour décider quels composants doivent être licenciés, autorisés ou restructurés.
Protection des données personnelles selon la loi n° 151 de 2020
La loi n° 151 de 2020 est la loi égyptienne générale de protection des données. L'article 2 interdit la collecte, le traitement, la divulgation ou la mise à disposition de données personnelles sans le consentement explicite de la personne ou une autorisation légale, et lui accorde des droits d'accès, de retrait du consentement, de rectification, d'effacement, de limitation, de notification de violation et d'opposition. L'article 3 fixe les conditions de licéité, dont la limitation de finalité et l'adéquation. L'article 36 sanctionne le traitement non autorisé d'une amende de cent mille à un million de livres égyptiennes, aggravée lorsque le traitement vise un avantage matériel ou à nuire à la personne concernée.
La loi a créé le Centre de protection des données personnelles, doté de pouvoirs de licence selon l'article 26. Le transfert transfrontalier est encadré par les articles 14 à 16 : transfert, stockage ou partage à l'étranger exigent un niveau de protection adéquat et une licence ou autorisation du Centre, sous réserve des exceptions de consentement et de nécessité de l'article 15. L'article 33 ouvre aux personnes une voie de plainte devant le Centre, qui doit décider sous trente jours ouvrables ; le mis en cause doit exécuter la décision sous sept jours ouvrables.
Le règlement d'application de 2025 rend le régime opérationnel
La décision ministérielle n° 816 de 2025 a édicté le règlement d'application de la loi n° 151 de 2020, en vigueur à partir du 2 novembre 2025 selon des sources secondaires. Il instaure un régime gradué de licences et autorisations géré par le Centre : responsables et sous-traitants doivent détenir une licence adaptée à leur activité, avec des redevances étagées selon le nombre de dossiers traités, atteignant plusieurs centaines de milliers de livres égyptiennes par an pour les plus gros volumes et plafonnées à deux millions de livres égyptiennes sur la durée de trois ans. Les licences de responsable seul ou de sous-traitant seul coûtent la moitié du barème.
Le règlement rend aussi les détails opérationnels : enregistrement des délégués à la protection des données, registres électroniques sécurisés, conditions des licences de transferts transfrontaliers selon ses articles 24 à 27, licence de marketing électronique direct selon l'article 28, et certificats d'accréditation valables trois ans. Toute entreprise égyptienne collectant des données de clients ou de salariés doit traiter la licence du Centre comme une obligation de conformité actuelle, non future ; nous vérifions barème et formulaires au regard des volumes réels avant tout dépôt.
Notification des violations de données
L'article 5 du règlement lance le décompte : le responsable ou le sous-traitant doit notifier le Centre via son portail électronique ou sa ligne directe sous soixante-douze heures à compter de la connaissance de la violation, en consignant l'heure de connaissance, la nature de la violation, une estimation des données compromises, les effets attendus, les mesures correctives prises et les coordonnées du délégué. Les violations touchant la sécurité nationale doivent être signalées immédiatement.
La personne concernée doit ensuite être notifiée sous trois jours ouvrables suivant la notification au Centre, par le moyen convenu lors de la collecte : SMS, e-mail ou appel. Ces délais déterminent la rédaction des plans de réponse : détection, évaluation et escalade doivent tenir en soixante-douze heures, ce qui impose un droit contractuel à notification rapide de tout fournisseur détenant des données personnelles égyptiennes et un chemin interne rodé jusqu'au délégué déclaré.
La loi n° 175 de 2018 sur la cybercriminalité et le fournisseur
La loi n° 175 de 2018 impose des obligations directes aux fournisseurs. L'article 2 les oblige à conserver les journaux des systèmes d'information cent quatre-vingts jours en continu, y compris données d'identification des utilisateurs et données de contenu, de trafic et de terminaux sous leur contrôle ; à préserver la confidentialité des données sauf ordonnance judiciaire motivée ; à les sécuriser contre tout accès non autorisé ; à publier leurs nom, adresse, contacts et données de licence ; et à fournir aux agences de sécurité nationale les capacités techniques requises par la loi.
L'article 7 permet à l'autorité d'enquête d'ordonner le blocage d'un site, en Égypte ou à l'étranger, diffusant des contenus constituant une infraction à la loi et menaçant la sécurité nationale ou l'économie nationale, l'ordonnance étant soumise au tribunal compétent dans les vingt-quatre heures et une décision motivée devant intervenir dans les soixante-douze heures ; en urgence, la NTRA peut ordonner le blocage temporaire immédiat, que le prestataire doit exécuter sans délai. Les articles 25 à 27 punissent les atteintes à la vie privée, l'usage abusif de données personnelles et l'utilisation de sites ou de comptes pour faciliter un crime d'un emprisonnement et d'une amende, ou de l'une de ces peines. Toute plateforme égyptienne a besoin d'une procédure de traitement des ordonnances de blocage et d'une architecture de conservation des journaux conforme à l'article 2.
Signature électronique et preuve selon la loi n° 15 de 2004
La loi n° 15 de 2004 régule la signature électronique et a créé l'Information Technology Industry Development Authority, ITIDA. L'article 14 confère aux signatures électroniques, dans les transactions civiles, commerciales et administratives, la même force déterminante qu'aux signatures selon la loi de preuve, lorsqu'elles sont créées conformément à la loi et aux règles techniques de son règlement. L'article 15 confère à l'écrit électronique la même valeur qu'aux actes officiels et sous seing privé aux mêmes conditions.
L'article 18 pose les conditions de force probante : la signature doit être liée au seul signataire, sous son contrôle exclusif, et toute modification des données signées doit être détectable. Pour les contrats technologiques égyptiens, les parcours d'intégration et les conditions de plateformes, ce cadre décide si un clic, un code à usage unique ou une signature par certificat tiendra devant les tribunaux. Nous alignons chaque flux de signature sur les articles 14, 15 et 18 et sur le régime des prestataires de certification accrédités institué par la loi et son règlement.
Aligner les promesses clients sur la chaîne fournisseurs
Comparez disponibilité, délais de réponse, sécurité et support annoncés avec les engagements réseau, cloud et sous-traitants sous-jacents. Répartissez la responsabilité des interruptions, maintenances, sous-traitance et incidents, et testez comment le client sera informé si un fournisseur amont suspend le service. Les obligations légales, comme la conservation des journaux de l'article 2 de la loi n° 175 de 2018 et la notification de violation prévue par le règlement sur la protection des données, ne peuvent être reportées sur le client par la rédaction.
Simulez une panne et une demande de données d'une autorité. Qui voit les alertes, qui peut accéder aux journaux, qui autorise une correction, qui informe le client et qui répond à la NTRA ou au Centre de protection des données personnelles ? Consignez contacts d'escalade et conservation des preuves. Le contrat doit correspondre aux outils réels de l'équipe, non promettre une réponse impossible dans le délai réglementaire de soixante-douze heures.
Sortie, changement et dossier de preuve
Précisez formats d'export, aide à la migration, préavis, preuves de suppression et traitement des domaines, comptes ou numéros avant que la dépendance ne s'installe, et testez un export avant la fin du contrat. La promesse de restitution vaut peu si le client ne peut lire le format ni l'appliquer à ses registres, et les promesses de suppression doivent être conciliées avec la conservation de cent quatre-vingts jours de l'article 2 de la loi n° 175 de 2018.
Un nouveau canal de paiement, une source de contenu locale ou une fonction réseau peut modifier à la fois l'analyse de licence, de données et de cybercriminalité. Exigez une revue à chaque changement produit et conservez une version datée des décisions et points ouverts : cartes du service, correspondance NTRA, dépôts au Centre, conditions fournisseurs et registres d'incidents. Ce dossier daté est ce que régulateurs, tribunaux et acquéreurs demandent en premier ; il distingue un lancement défendable d'une reconstruction coûteuse.
Ce que nous examinons avant un lancement ou changement technologique en Égypte
Notre dossier de première revue couvre : la cartographie du service et des entités ; l'analyse de licence de l'article 21 de la loi n° 10 de 2003, y compris l'exception des réseaux privés ; les contrôles d'équipements, d'homologation et de fréquences des articles 44 à 59 ; la carte des sanctions des articles 72 à 78 ; l'inventaire des données selon la loi n° 151 de 2020 et les obligations de licence, redevances, notification de violation et d'enregistrement des délégués de la décision n° 816 de 2025 ; la structuration des transferts transfrontaliers des articles 14 à 16 ; la capacité de conservation de l'article 2 et de blocage de l'article 7 de la loi n° 175 de 2018 ; les flux de signature selon la loi n° 15 de 2004 ; et les contrats fournisseurs face aux promesses clients, avec avis égyptiens datés sur chaque point ouvert.
Voir aussi : notre guide de la protection des données en Égypte et notre guide de la propriété intellectuelle en Égypte, ainsi que notre pratique en droit commercial et des sociétés.
Questions fréquentes
Toute entreprise TI en Égypte a-t-elle besoin d'une licence NTRA ?
Non. L'article 21 de la loi n° 10 de 2003 exige une licence pour établir ou exploiter des réseaux, fournir des services télécoms ou contourner les appels internationaux. Qui développe seulement des logiciels ou revend des applications n'en a en général pas besoin, bien que les importations d'équipements restent soumises aux permis des articles 44 et 48 et qu'un réseau privé utilisant des systèmes radio n'entre pas dans l'exception.
Que risque un service sans licence NTRA ?
L'article 72 de la loi n° 10 de 2003 érige l'exploitation non licenciée de réseaux, la fourniture de services ou le contournement d'appels internationaux en infraction punie de six mois à cinq ans d'emprisonnement et de cinquante mille à cinq cent mille livres égyptiennes d'amende, ou de l'une de ces peines, avec confiscation des équipements utilisés. Restructurer après une enquête coûte bien plus cher qu'une analyse avant le lancement.
La loi égyptienne sur les données est-elle réellement appliquée maintenant ?
Oui. La loi n° 151 de 2020 est en vigueur depuis 2020, et la décision ministérielle n° 816 de 2025 a mis le règlement d'application en vigueur, selon des sources secondaires le 2 novembre 2025, activant le régime de licences du Centre de protection des données, les redevances étagées, l'enregistrement des délégués et les obligations de notification de violation. Responsables et sous-traitants de données personnelles égyptiennes doivent traiter la licence comme une obligation présente.
En combien de temps une violation doit-elle être signalée en Égypte ?
L'article 5 du règlement 2025 exige la notification au Centre de protection des données personnelles dans les soixante-douze heures de la prise de connaissance d'une violation, et la notification des personnes concernées dans les trois jours ouvrables suivants, par les moyens convenus lors de la collecte. Plans de réponse et contrats fournisseurs doivent être construits dans ce délai.
Peut-on transférer des données personnelles hors d'Égypte ?
Uniquement dans le cadre des articles 14 à 16 de la loi n° 151 de 2020 : transfert, stockage ou partage exigent un niveau de protection adéquat et une licence ou autorisation du Centre, sauf exception de l'article 15, comme le consentement explicite dans les cas énumérés ou l'exécution d'un contrat au bénéfice de la personne. Le règlement 2025 fixe les conditions de demande, et nous structurons les transferts en conséquence.
Les signatures électroniques sont-elles valables en Égypte ?
Oui. L'article 14 de la loi n° 15 de 2004 donne aux signatures électroniques conformes la force des signatures manuscrites selon la loi de preuve dans les transactions civiles, commerciales et administratives, et l'article 15 en fait autant pour l'écrit électronique. L'article 18 exige un lien unique avec le signataire, son contrôle exclusif et la détectabilité de toute altération ; le flux et l'architecture de certificat comptent donc autant que la signature elle-même.
Que doit faire une plateforme face à une ordonnance de blocage ?
L'article 7 de la loi n° 175 de 2018 permet aux autorités d'enquête d'ordonner le blocage de sites diffusant des contenus pénalement répréhensibles menaçant la sécurité nationale ou l'économie, avec saisine du tribunal sous vingt-quatre heures et décision sous soixante-douze heures ; en urgence, la NTRA peut exiger un blocage temporaire immédiat. Les fournisseurs doivent exécuter ces notifications aussitôt et ont donc besoin d'une procédure documentée de réception et d'exécution.
Comment engager le cabinet sur une question technologique égyptienne ?
Envoyez la description du service, les projets de contrats et la liste des fournisseurs via la page de contact ; nous définirons une première revue couvrant licences NTRA, données, cybercriminalité et contrats. Notre bureau du Caire mène ces revues couramment, et une définition précoce coûte nettement moins cher qu'une restructuration après que la NTRA ou le Centre a soulevé la question.