Un programma di conformità in Egitto poggia su poche norme con sanzioni reali: la legge sulla protezione dei dati personali, legge n. 151 del 2020, con il suo regolamento di attuazione emanato con la Decisione ministeriale n. 816 del 2025; la legge antiriciclaggio, legge n. 80 del 2002; la legge sulla concorrenza, legge n. 3 del 2005, modificata dalla legge n. 175 del 2022; e le disposizioni del codice penale sulla corruzione. Il nostro ufficio del Cairo legge questi testi come li applica e verifica ogni controllo su un'operazione reale, non su un documento di policy.
Il quadro normativo: quattro regimi e un solo standard di prova
Quattro regimi coprono la maggior parte delle questioni di conformità delle imprese in Egitto. La legge n. 151 del 2020 disciplina i dati personali ed è fatta rispettare dal Centro per la protezione dei dati personali. La legge n. 80 del 2002 disciplina il riciclaggio e istituisce presso la Banca centrale d'Egitto l'unità per il contrasto del riciclaggio e del finanziamento del terrorismo. La legge n. 3 del 2005 disciplina i cartelli, le restrizioni verticali e le concentrazioni. Il codice penale, legge n. 58 del 1937, punisce la corruzione agli articoli da 103 a 111. Le autorità di settore aggiungono regole proprie.
Lo standard che applichiamo è lo stesso in tutti: un controllo esiste solo se può essere dimostrato. Per ogni regime chiediamo chi ha l'obbligo, quale registrazione prova che è stato adempiuto e che cosa esaminerebbe per primo un'autorità di vigilanza o una procura. Secondo l'articolo 4 della legge n. 151 del 2020, il titolare del trattamento deve fornire i mezzi per provare la propria conformità e consentire l'ispezione; gli altri regimi arrivano allo stesso risultato con la conservazione dei registri e i poteri di indagine.
Diritto dei dati personali: ambito, definizioni ed esclusioni
L'articolo 1 della legge n. 151 del 2020 definisce i dati personali come qualsiasi dato relativo a una persona fisica identificata o identificabile, direttamente o indirettamente, e comprende il trattamento con mezzi elettronici o tecnologici. I dati sensibili includono i dati sanitari, genetici, biometrici e finanziari, le convinzioni religiose, le opinioni politiche e i precedenti penali; i dati dei minori sono sempre sensibili. L'articolo 2 degli articoli di promulgazione estende la legge ad alcune condotte di non egiziani fuori dall'Egitto quando l'interessato è egiziano o uno straniero residente in Egitto.
L'articolo 3 degli articoli di promulgazione elenca le esclusioni: i dati detenuti da privati per uso personale, le statistiche ufficiali, i dati trattati esclusivamente per fini mediatici, gli atti e i procedimenti giudiziari, i dati delle autorità di sicurezza nazionale e i dati della Banca centrale d'Egitto e degli enti da essa vigilati, con eccezione delle società di trasferimento di fondi e di cambio. Prima di costruire un programma sui dati collochiamo ogni linea di attività rispetto a queste esclusioni, perché una banca e un rivenditore dello stesso gruppo possono trovarsi su lati diversi.
Obblighi del titolare, consenso e richieste degli interessati
L'articolo 4 della legge allegata elenca gli obblighi del titolare. Egli deve raccogliere i dati dopo il consenso dell'interessato o nei casi consentiti dalla legge, assicurarne l'esattezza e l'adeguatezza alla finalità, proteggerli con misure tecniche e organizzative, cancellarli una volta raggiunta la finalità o conservarli in forma che non identifichi la persona, correggere subito gli errori e tenere un registro di categorie, destinatari, conservazione e misure di sicurezza. Deve inoltre ottenere una licenza o un'autorizzazione dal Centro e, se si trova all'estero, nominare un rappresentante in Egitto.
Secondo l'articolo 32, l'interessato può chiedere a qualsiasi detentore, titolare o responsabile di esercitare i suoi diritti, e chi riceve la richiesta deve rispondere entro sei giorni lavorativi. Secondo l'articolo 33, il reclamo va al Centro, che decide entro trenta giorni lavorativi, e il destinatario deve eseguire la decisione entro sette giorni lavorativi. Verifichiamo questa catena con una richiesta reale: chi la riceve, chi decide, chi cerca nei sistemi e chi prova la data della risposta.
Notifica delle violazioni: 72 ore e tre giorni lavorativi
L'articolo 7 della legge n. 151 del 2020 obbliga il titolare o il responsabile a notificare al Centro ogni violazione dei dati personali entro settantadue ore, e immediatamente se è coinvolta la sicurezza nazionale. La notifica deve descrivere la violazione e le misure adottate, e il regolamento di attuazione ribadisce gli stessi due termini. L'interessato deve essere informato entro tre giorni lavorativi dalla notifica al Centro.
Questi termini non lasciano tempo per decidere chi comanda dopo l'evento. Il nostro consiglio costante è un percorso scritto per gli incidenti che indichi chi classifica l'evento, chi firma la notifica al Centro, chi contatta le persone colpite e chi tiene il registro delle violazioni. Lo verifichiamo con un'esercitazione a tavolino e controlliamo che il termine decorra dal momento in cui la società viene a conoscenza della violazione.
Responsabile della protezione dei dati, licenze e regolamento di attuazione
L'articolo 8 obbliga il rappresentante legale di una persona giuridica a nominare un dipendente competente come responsabile della protezione dei dati, iscritto nel registro del Centro e reso noto. L'articolo 9 lo rende responsabile dell'applicazione della legge. Secondo gli articoli 26 e 27, il Centro rilascia licenze e autorizzazioni, decide entro novanta giorni da un fascicolo completo e considera il silenzio un rigetto. Il regolamento di attuazione è stato emanato con la Decisione ministeriale n. 816 del 2025 del ministro delle comunicazioni e delle tecnologie dell'informazione; fonti secondarie la datano 1° novembre 2025, in vigore dal 2 novembre 2025, e non è stata trovata alcuna copia della gazzetta ufficiale.
L'articolo 6 degli articoli di promulgazione concede ai destinatari un anno dall'emanazione del regolamento per adeguare la propria posizione. In una lettura rigorosa questo termine scade intorno al 1° novembre 2026. I commentatori osservano che il Centro potrebbe considerare il termine più lungo; pianifichiamo quindi sulla data più vicina e seguiamo le indicazioni ufficiali. Scaglioni di tariffe, registri e iscrizione del responsabile sono nel regolamento e si verificano sul testo vigente.
Trasferimenti transfrontalieri e marketing elettronico diretto
L'articolo 14 della legge n. 151 del 2020 consente il trasferimento di dati personali all'estero solo se il livello di protezione del Paese terzo soddisfa i requisiti della legge e il trasferimento è autorizzato dal Centro. L'articolo 16 consente la comunicazione a un titolare o responsabile all'estero con licenza quando attività o finalità coincidono, esiste un interesse legittimo e la protezione all'estero non è inferiore a quella egiziana. Mappiamo ogni servizio cloud, società affiliata e fornitore che riceve dati egiziani prima di consigliare una struttura.
L'articolo 17 vieta il marketing elettronico diretto salvo che l'interessato abbia acconsentito, il mittente sia identificato, sia indicato un indirizzo valido, il messaggio sia contrassegnato come promozionale e sia prevista una chiara opzione di disiscrizione. L'articolo 18 richiede una finalità definita e registrazioni elettroniche del consenso per tre anni dall'ultima comunicazione. L'articolo 26 aggiunge una licenza per il marketing elettronico diretto. Una registrazione del consenso che non si può esibire equivale, in pratica, all'assenza di consenso.
Sanzioni in materia di dati personali e applicazione
L'articolo 36 punisce la raccolta, il trattamento o la comunicazione non autorizzati di dati personali trattati elettronicamente con una multa da 100.000 a 1.000.000 di sterline egiziane, e prevede la reclusione di almeno sei mesi e una multa da 200.000 a 2.000.000 di sterline, o una delle due pene, quando l'atto è compiuto per un vantaggio o per danneggiare l'interessato. L'articolo 41 punisce il trattamento di dati sensibili senza consenso con la reclusione di almeno tre mesi e una multa da 500.000 a 5.000.000 di sterline, o una delle due pene. L'articolo 38 punisce la violazione degli obblighi di titolare e responsabile con una multa da 300.000 a 3.000.000 di sterline.
L'articolo 47 rende responsabile l'amministratore di fatto di una persona giuridica. L'articolo 48 raddoppia le pene in caso di recidiva e ordina la pubblicazione della sentenza, e l'articolo 49 consente la conciliazione per i delitti minori. L'articolo 30 consente al Centro di avvertire, sospendere o revocare le licenze e pubblicare le violazioni. I tribunali economici sono competenti ai sensi dell'articolo 5 degli articoli di promulgazione.
Antiriciclaggio: obblighi degli intermediari finanziari e delle attività non finanziarie
L'articolo 3 della legge n. 80 del 2002 istituisce presso la Banca centrale d'Egitto l'unità per il contrasto del riciclaggio e del finanziamento del terrorismo, e l'articolo 7 le affida il controllo del rispetto della legge da parte degli intermediari finanziari e delle attività e professioni non finanziarie. L'articolo 8 impone loro di segnalare senza indugio all'unità ogni operazione che sospettano riguardi proventi di reato, riciclaggio o finanziamento del terrorismo, o ogni tentativo, quale che ne sia il valore, e di applicare sistemi di adeguata verifica della clientela.
L'articolo 9 impone di conservare le registrazioni delle operazioni nazionali e internazionali, con dati sufficienti a identificarle, e quelle di clienti e titolari effettivi, per almeno cinque anni dalla fine del rapporto o dalla chiusura del conto, più a lungo su richiesta dell'unità o degli investigatori. L'articolo 9 bis 1 obbliga gli intermediari finanziari, le attività non finanziarie e ogni detentore di beni rilevanti ad applicare i meccanismi dell'unità sulle sanzioni finanziarie mirate, compreso il congelamento. Verifichiamo se il sistema di monitoraggio produce davvero segnalazioni.
Sanzioni antiriciclaggio e collaborazione
L'articolo 14 punisce il riciclaggio, e il tentativo, con la reclusione fino a sette anni e una multa pari al doppio dei fondi coinvolti, e i fondi sequestrati sono confiscati. L'articolo 15 punisce la violazione degli articoli 8, 9 e 11 con la reclusione e una multa da 100.000 a 500.000 sterline, o una delle due pene. L'articolo 15 bis punisce la violazione dell'articolo 9 bis 1 con la reclusione fino a un anno o una multa da 100.000 a 300.000 sterline.
Quando più persone hanno preso parte al reato, l'articolo 17 consente al giudice di esonerare dalla reclusione e dalla multa dell'articolo 14 chi lo segnala alle autorità competenti prima che ne vengano a conoscenza, o la cui segnalazione porta all'arresto degli altri o al sequestro dei fondi; la confisca resta dovuta. La segnalazione è quindi una decisione con peso giuridico, e ci assicuriamo che chi segnala e chi decide di segnalare siano chiaramente distinti e documentati.
Anticorruzione nel codice penale
Gli articoli da 103 a 111 del codice penale, legge n. 58 del 1937, puniscono la corruzione dei pubblici ufficiali. L'articolo 103 definisce il reato mediante un pagamento, un dono o una promessa a un pubblico ufficiale perché compia o ometta un atto del suo ufficio, e l'articolo 107 bis esonera il corruttore o l'intermediario che denuncia il reato alle autorità o lo confessa. L'articolo 111 definisce chi è considerato pubblico ufficiale, e l'articolo 106 bis (b), aggiunto nel 2018, riguarda la corruzione di pubblici ufficiali stranieri.
L'articolo 105 bis estende il reato ad amministratori, dirigenti e dipendenti di società per azioni e di alcuni enti di pubblica utilità, e l'articolo 106 riguarda i dipendenti che accettano un vantaggio all'insaputa del datore di lavoro. Un'impresa i cui dipendenti o intermediari sono coinvolti affronta conseguenze contrattuali, di licenza e di reputazione, oltre al rischio individuale. Non indichiamo qui importi di multe perché si verificano caso per caso sul testo vigente.
Conformità antitrust: cartelli, restrizioni verticali e controllo delle concentrazioni
L'articolo 6 della legge n. 3 del 2005 vieta gli accordi tra concorrenti che fissano prezzi, ripartiscono mercati, coordinano la partecipazione a gare o limitano la produzione, e gli articoli 7 e 8 trattano gli accordi verticali e l'abuso di posizione dominante. L'articolo 22 sanziona la violazione dell'articolo 6 con una multa dal 2 al 12 per cento dei ricavi del prodotto nel periodo della violazione, oppure da 500.000 a 500 milioni di sterline se i ricavi non sono determinabili. L'articolo 26 ferma l'azione penale contro il primo partecipante che denuncia un cartello all'Autorità con prove.
Dalla legge n. 175 del 2022 ogni concentrazione che raggiunge le soglie dell'articolo 19 bis deve essere notificata all'Autorità, e secondo l'articolo 19 bis A non può essere eseguita prima dell'approvazione. La soglia nazionale è un fatturato o attivo combinato in Egitto superiore a 900 milioni di sterline con almeno due parti che superano ciascuna 200 milioni; la soglia mondiale è di 7,5 miliardi di sterline con almeno una parte che supera 200 milioni in Egitto. L'articolo 22 bis D sanziona la mancata notifica con una multa dall'1 al 10 per cento del fatturato, dell'attivo o del valore dell'operazione. Il regime è pienamente operativo dal 1° giugno 2024.
Che cosa esaminiamo in un fascicolo di conformità egiziano
Quando il nostro ufficio del Cairo esamina un programma di conformità, partiamo da un campione datato e non da una policy. Prendiamo un'approvazione di contratto, un pagamento e una richiesta sui dati personali, e seguiamo ciascuno dalla richiesta all'archivio alla luce della legge n. 151 del 2020, degli articoli 8 e 9 della legge n. 80 del 2002, degli articoli 6 e 19 bis A della legge n. 3 del 2005 e degli articoli da 103 a 111 del codice penale. Registriamo chi ha approvato, chi ha pagato, chi ha conservato la registrazione e quale eccezione aveva un proprio percorso di approvazione, e teniamo separati i ruoli di ricezione della segnalazione, accertamento dei fatti e decisione.
Si veda anche: la nostra guida alla protezione dei dati in Egitto, la nostra guida al diritto commerciale egiziano e la nostra pratica di diritto commerciale e societario.
Domande frequenti
Quando va notificata una violazione di dati personali in Egitto?
L'articolo 7 della legge n. 151 del 2020 richiede la notifica al Centro per la protezione dei dati personali entro settantadue ore, subito se è coinvolta la sicurezza nazionale, e l'informazione delle persone colpite entro tre giorni lavorativi dalla notifica al Centro.
Ci serve un responsabile della protezione dei dati?
Sì, se è una persona giuridica che agisce come titolare o responsabile. L'articolo 8 della legge n. 151 del 2020 obbliga il rappresentante legale a nominare un dipendente competente, iscriverlo presso il Centro e rendere nota la nomina.
Quando scade il periodo di adeguamento del regolamento di attuazione?
L'articolo 6 degli articoli di promulgazione concede un anno dall'emanazione della Decisione n. 816 del 2025, che fonti secondarie datano 1° novembre 2025, con effetto dal 2 novembre 2025 (nessuna copia della gazzetta ufficiale trovata), quindi, in lettura rigorosa, circa il 1° novembre 2026. Consigliamo di pianificare su quella data.
Possiamo inviare dati a una società estera del gruppo?
Solo se è rispettato l'articolo 14 della legge n. 151 del 2020: il livello di protezione estero deve eguagliare lo standard egiziano e il trasferimento deve essere autorizzato dal Centro. L'articolo 42 punisce la violazione con la reclusione e una multa da 500.000 a 5.000.000 di sterline, o una delle due pene.
Dobbiamo segnalare un'operazione sospetta qualunque ne sia il valore?
Sì. L'articolo 8 della legge n. 80 del 2002 obbliga gli intermediari finanziari e le attività e professioni non finanziarie a segnalare senza indugio all'unità i presunti proventi di reato, il riciclaggio o il tentativo, quale che ne sia il valore, e l'articolo 9 impone di conservare le registrazioni per almeno cinque anni.
Qual è la pena per il riciclaggio?
Secondo l'articolo 14 della legge n. 80 del 2002, la reclusione fino a sette anni e una multa pari al doppio dei fondi coinvolti, con confisca. Quando più persone hanno preso parte al reato, l'articolo 17 consente al giudice di esonerare chi lo segnala prima che le autorità vengano a conoscenza del reato dalla reclusione e dalla multa dell'articolo 14, ma la confisca resta dovuta.
Dobbiamo notificare una fusione all'Autorità garante della concorrenza?
Sì, se raggiunge le soglie dell'articolo 19 bis della legge n. 3 del 2005, e non può essere eseguita prima dell'approvazione ai sensi dell'articolo 19 bis A. La mancata notifica è punita, ai sensi dell'articolo 22 bis D, con una multa dall'1 al 10 per cento del fatturato, dell'attivo o del valore dell'operazione.
Il vostro studio può esaminare il nostro programma di conformità e condurre un'indagine interna?
Sì. Il nostro ufficio del Cairo verifica i controlli alla luce delle norme citate e tiene separati ricezione della segnalazione, accertamento dei fatti e decisione. La invitiamo a contattarci tramite la nostra pagina dei contatti.