L'Egitto dispone ormai di un regime completo di protezione dei dati. La Legge n. 151 del 2020 sulla protezione dei dati personali fissa le regole, e il Ministro delle Comunicazioni e delle Tecnologie dell'informazione ha emanato il regolamento di attuazione con la Decisione n. 816 del 2025, che ha avviato il periodo di un anno per mettersi in regola. Quel periodo termina tra ottobre e novembre 2026, quindi il regime sta per diventare applicabile nella pratica. Dal nostro ufficio del Cairo assistiamo titolari e responsabili del trattamento su ciò che la legge richiede: consenso, diritti delle persone, licenze e permessi, responsabile della protezione dei dati, notifica delle violazioni, trasferimenti transfrontalieri, marketing e sanzioni. Questo articolo illustra tali obblighi per legge e numero di articolo.
Il quadro: Legge 151 del 2020, regolamento di attuazione e legge sui reati informatici
La Legge n. 151 del 2020 protegge i dati personali trattati per via elettronica, in tutto o in parte, da qualsiasi detentore, titolare o responsabile, e tutela solo le persone fisiche. Ha istituito il Centro per la protezione dei dati personali, un'autorità economica pubblica collegata al Ministro delle Comunicazioni e delle Tecnologie dell'informazione, che rilascia licenze e permessi, riceve reclami e notifiche di violazione, ispeziona e sanziona. Il regolamento di attuazione, emanato con la Decisione ministeriale n. 816 del 2025 e in vigore dal giorno successivo alla pubblicazione nella Gazzetta ufficiale, fissa le procedure, le tasse e gli standard tecnici che la legge aveva lasciato aperti.
Accanto alla legge sulla protezione dei dati c'è la Legge n. 175 del 2018 sul contrasto ai reati informatici. L'articolo 2 obbliga i fornitori di servizi a conservare per 180 giorni i dati di identificazione, di traffico e dei terminali degli utenti e a mantenerli riservati, e l'articolo 25 punisce chi viola la privacy o fornisce dati personali a un sistema elettronico o a un sito per promuovere beni o servizi senza consenso. Le due leggi si sovrappongono, per cui un incidente può far scattare allo stesso tempo gli obblighi regolatori ai sensi della Legge 151 e l'esposizione penale ai sensi della Legge 175.
Ambito di applicazione: chi è coperto e che cosa è escluso
Gli articoli di promulgazione della Legge n. 151 del 2020 estendono le sue norme penali agli egiziani ovunque agiscano, ai non egiziani residenti in Egitto e ai non egiziani all'estero quando il fatto è reato anche nel luogo in cui è commesso e i dati riguardano egiziani o stranieri residenti in Egitto. Per i reati sono competenti i tribunali economici. Un'impresa straniera che tratta dati di utenti egiziani non può quindi considerare la legge una questione puramente locale. L'articolo 4 richiede inoltre che il titolare stabilito all'estero nomini un rappresentante in Egitto secondo il regolamento di attuazione.
La legge esclude i dati detenuti da persone fisiche per uso personale, i dati trattati per le statistiche ufficiali, i dati trattati esclusivamente a fini giornalistici o mediatici se esatti, i dati nei verbali di sequestro giudiziario, nelle indagini e nei procedimenti giudiziari, i dati in possesso delle autorità di sicurezza nazionale e quelli della Banca centrale d'Egitto e degli enti da essa vigilati, ad eccezione delle società di trasferimento di denaro e di cambio valuta. Verifichiamo ciascuna esclusione sui fatti prima che un cliente vi faccia affidamento, perché le esclusioni sono interpretate in modo restrittivo.
Il periodo di grazia e la scadenza di novembre 2026
L'articolo 6 della legge di promulgazione concede ai soggetti tenuti all'osservanza della legge un anno dall'emanazione del regolamento di attuazione per regolarizzare la loro posizione. Secondo fonti di studi legali e stampa, il regolamento è stato emanato il 1° novembre 2025 (non abbiamo trovato una copia della gazzetta ufficiale), per cui gli studi indicano la scadenza al 31 ottobre o al 1° novembre 2026 a seconda di come si conta l'anno. Il regolamento è stato reso pubblico solo a fine dicembre 2025, e alcuni commentatori si sono chiesti se il Centro possa applicare una data successiva. Consigliamo di pianificare sulla data legale e di non contare su una proroga, perché nelle fonti esaminate non ne risulta alcuna.
Il Centro ha aperto un portale elettronico per le domande di licenza, permesso e accreditamento. Creare un profilo e presentare le domande richiede l'autenticazione tramite la piattaforma governativa Digital Egypt, collegata a un numero di documento d'identità nazionale egiziano, quindi un titolare straniero ha bisogno di un rappresentante locale debitamente autorizzato. L'articolo 27 della legge dà al Centro novanta giorni per decidere su una domanda completa, e il silenzio equivale a rigetto. Un'impresa che presenta la domanda in ritardo può ancora essere priva di licenza alla fine del periodo di grazia, e il nostro consiglio è di presentarla subito.
Consenso e liceità del trattamento
L'articolo 2 della Legge n. 151 del 2020 vieta di raccogliere, trattare, divulgare o rivelare dati personali con qualsiasi mezzo senza il consenso esplicito dell'interessato, salvo che la legge lo consenta. L'articolo 3 richiede che i dati siano raccolti per finalità legittime, specifiche e dichiarate, siano esatti e protetti, siano trattati lecitamente e in linea con le finalità e non siano conservati più del necessario. Ai sensi dell'articolo 6 il trattamento è lecito in presenza di consenso esplicito, di necessità per un contratto o un'azione legale, di obbligo di legge o ordine giudiziario, o di diritto legittimo del titolare che non prevalga sui diritti fondamentali dell'interessato.
L'articolo 2 del regolamento di attuazione aggiunge che la persona fisica che fornisce dati per ottenere un servizio lecito è considerata consenziente alla raccolta e al trattamento per quella sola finalità, e i dati non possono essere usati per altri scopi senza previo consenso. Il regolamento richiede anche l'approvazione del Centro per il meccanismo di raccolta dei dati e di acquisizione del consenso, compreso il consenso del tutore per i minori. Nella nostra revisione verifichiamo ogni schermata di consenso rispetto a questi due articoli, perché un'informativa che non corrisponde alle finalità effettive è il difetto più frequente.
Diritti delle persone, richieste e reclami
L'articolo 2 riconosce all'interessato il diritto di conoscere i propri dati e di accedervi, di revocare il consenso, di chiederne la rettifica, modifica, cancellazione, integrazione o aggiornamento, di limitare il trattamento a un ambito definito, di essere informato di una violazione e di opporsi a un trattamento contrario ai suoi diritti e libertà fondamentali. Salvo il diritto alla notifica della violazione, l'interessato sostiene il costo del servizio, e il Centro fissa le tasse fino a un massimo di 20.000 EGP. Gli articoli 10 e 32 impongono di decidere su una richiesta scritta entro sei giorni lavorativi, il rifiuto deve essere motivato e il silenzio equivale a rifiuto.
L'articolo 33 consente all'interessato o a chi ha un interesse diretto di presentare reclamo al Centro, che indaga e decide entro trenta giorni lavorativi. La parte oggetto del reclamo deve attuare la decisione entro sette giorni lavorativi dalla notifica e inviare al Centro la prova della conformità. L'articolo 37 punisce con una multa da 100.000 a 1.000.000 EGP il detentore, titolare o responsabile che nega illecitamente questi diritti. Costruiamo quindi una procedura di richiesta con un termine di sei giorni, controlli di identità e un motivo registrato per ogni rifiuto.
Obblighi di titolare e responsabile e il responsabile della protezione dei dati
L'articolo 4 impone al titolare di ottenere i dati lecitamente, verificarne esattezza e pertinenza, applicare misure tecniche e organizzative, cancellare i dati quando la finalità cessa salvo conservazione in forma non identificabile, correggere le inesattezze, tenere un registro di categorie di dati, destinatari, meccanismi di cancellazione, trasferimenti e misure di sicurezza, ottenere una licenza o un permesso dal Centro e consentire le ispezioni. L'articolo 5 stabilisce obblighi paralleli per i responsabili, che operano sulla base di un accordo scritto. Quando sono coinvolti più titolari, ciascuno è individualmente responsabile della piena conformità.
L'articolo 8 richiede che il rappresentante legale di un titolare o responsabile che sia persona giuridica nomini un dipendente qualificato come responsabile della protezione dei dati, lo iscriva nel registro del Centro e renda pubblica la nomina. L'articolo 9 definisce i compiti: verifiche periodiche, contatto con il Centro, gestione delle richieste degli interessati, notifica delle violazioni e formazione del personale. Gli articoli da 7 a 12 del regolamento richiedono qualifiche, una prova del Centro, assenza di precedenti, un codice univoco e un preavviso di quindici giorni al Centro prima della sostituzione.
Licenze e permessi
L'articolo 26 della legge consente al Centro di rilasciare licenze e permessi a titolari e responsabili, per il marketing elettronico diretto, la videosorveglianza negli spazi pubblici, i dati sensibili e i trasferimenti transfrontalieri, e accreditamenti ai consulenti in materia di protezione dei dati. Limita le tasse di licenza a 2.000.000 EGP e quelle di permessi e accreditamenti a 500.000 EGP. L'articolo 19 del regolamento prevede una licenza annuale consolidata per le persone giuridiche, con tasse graduate in base al numero di record detenuti, e per i maggiori detentori fissa la tassa al massimo legale di 666.666 EGP l'anno, 2.000.000 EGP su tre anni.
Un permesso ai sensi dell'articolo 20 del regolamento è temporaneo e dura al massimo un anno. Le domande di licenza devono documentare il meccanismo di consenso, i registri elettronici, le misure di sicurezza, il contratto e l'indipendenza del responsabile e la conformità per i dati sensibili e dei minori ai sensi dell'articolo 21. Il Centro deve decidere entro novanta giorni da un fascicolo completo ai sensi dell'articolo 27 della legge. Operare senza licenza è un reato ai sensi dell'articolo 45, punito con una multa da 500.000 a 5.000.000 EGP, per cui la classificazione del tipo di licenza viene per prima in ogni incarico.
Notifica delle violazioni: 72 ore e tre giorni lavorativi
L'articolo 7 della legge obbliga il titolare o il responsabile a notificare al Centro qualsiasi violazione di dati personali in suo possesso entro settantadue ore dalla conoscenza, e immediatamente se tocca la sicurezza nazionale. Entro le stesse settantadue ore deve fornire al Centro la descrizione di natura, forma, cause e volume stimato, i recapiti del responsabile, le probabili conseguenze, le misure adottate e la documentazione dell'incidente. Deve informare l'interessato entro tre giorni lavorativi dalla notifica al Centro.
L'articolo 5 del regolamento richiede la notifica tramite il portale elettronico o la linea diretta del Centro, con registrazione dell'ora della conoscenza e di quella della segnalazione, e aggiunge che l'avviso all'interessato deve descrivere le misure di sicurezza adottate. L'inosservanza dell'articolo 7 è punita dall'articolo 38 con una multa da 300.000 a 3.000.000 EGP. In pratica le settantadue ore decorrono dalla conoscenza e non dall'accertamento della causa, per cui un piano di gestione degli incidenti richiede un responsabile decisionale designato e un registro delle prove fin dalla prima ora.
Trasferimenti transfrontalieri
L'articolo 14 della legge vieta di trasferire dati personali all'estero, o di conservarli o condividerli là, salvo che il paese di destinazione offra una protezione non inferiore a quella della legge e il Centro licenzi o autorizzi il trasferimento. L'articolo 15 elenca eccezioni che richiedono il consenso esplicito dell'interessato, tra cui cure mediche, azioni legali, esecuzione di un contratto a favore dell'interessato, cooperazione giudiziaria, trasferimenti finanziari e accordi internazionali. L'articolo 16 consente di rendere disponibili dati a un altro titolare fuori dall'Egitto solo con licenza, con attività coerenti, interesse legittimo e protezione non inferiore.
L'articolo 16 del regolamento richiede licenza o permesso e il consenso dell'interessato, limita i trasferimenti ai paesi indicati nella licenza e prevede che il Centro pubblichi i paesi che ritiene adeguati in base alla legislazione, alle misure di sicurezza e alle regole di risarcimento. Il Centro decide entro novanta giorni lavorativi ai sensi dell'articolo 26 del regolamento. La violazione è punita dall'articolo 42 con la reclusione di almeno tre mesi e una multa da 500.000 a 5.000.000 EGP, o con una delle due. L'hosting cloud all'estero è un trasferimento, per cui mappiamo ogni sistema e ogni sede dei sub-responsabili prima della presentazione della domanda.
Dati sensibili, minori e marketing diretto
L'articolo 12 vieta di raccogliere, trasferire, conservare o trattare dati personali sensibili senza licenza del Centro e, salvo i casi consentiti dalla legge, senza consenso scritto ed esplicito. I dati sensibili comprendono dati sanitari, genetici e biometrici, dati finanziari, convinzioni religiose, opinioni politiche e situazione di sicurezza, e i dati dei minori sono sempre trattati come sensibili. L'articolo 15 del regolamento richiede il consenso scritto del tutore per i minori di quindici anni e il consenso del tutore per quelli da quindici a diciotto. L'articolo 41 punisce il trattamento illecito di dati sensibili con almeno tre mesi di reclusione e una multa da 500.000 a 5.000.000 EGP, o con una delle due pene.
L'articolo 17 consente il marketing elettronico diretto solo con consenso preventivo, mittente chiaramente identificato con indirizzo valido, indicazione esplicita di marketing e semplice disiscrizione. L'articolo 18 vieta di divulgare i recapiti del destinatario e richiede di conservare le prove del consenso per tre anni dall'ultimo messaggio. L'articolo 18 del regolamento aggiunge una licenza di marketing e la cancellazione in caso di revoca. L'articolo 43 punisce le violazioni con una multa da 200.000 a 2.000.000 EGP. Controlliamo elenchi, gestione della disiscrizione e contratti con le agenzie prima che qualsiasi campagna sia autorizzata.
Sanzioni, responsabilità e transazione
L'articolo 36 punisce la raccolta, il trattamento, la divulgazione o il trasferimento illeciti senza consenso né base legale con una multa da 100.000 a 1.000.000 EGP e, se il fatto è commesso per profitto o per danneggiare l'interessato, con la reclusione di almeno sei mesi e una multa da 200.000 a 2.000.000 EGP, o con una delle due pene. L'articolo 39 sanziona il rappresentante legale che non nomina il responsabile, e l'articolo 40 il responsabile che trascura i compiti dell'articolo 9. Ai sensi dell'articolo 47 è punito anche chi gestisce di fatto l'ente se era a conoscenza della violazione, e l'ente risponde in solido del risarcimento.
L'articolo 30 attribuisce al Centro sanzioni amministrative dopo una diffida: sospensione, revoca o annullamento della licenza, pubblicazione delle violazioni e supervisione tecnica a spese del trasgressore. L'articolo 48 raddoppia le pene in caso di recidiva e ordina la pubblicazione delle condanne. L'articolo 49 consente la transazione con il Centro o con la vittima in ogni fase prima della sentenza definitiva per la maggior parte dei reati, pagando la metà della multa minima prima dell'avvio del procedimento o la metà della massima dopo. La transazione estingue il procedimento penale, per cui un coinvolgimento precoce del Centro può ridurre l'esposizione.
Che cosa verifichiamo in un fascicolo su protezione dei dati e privacy in Egitto
Quando esaminiamo un fascicolo egiziano di protezione dei dati, stabiliamo prima se il cliente è titolare, responsabile o entrambi e quali licenze e permessi ne derivano. Poi mettiamo alla prova le formule di consenso rispetto agli articoli 2, 3 e 6, verifichiamo la procedura di richiesta in sei giorni, confermiamo la nomina del responsabile ai sensi degli articoli 8 e 9 e proviamo il percorso di notifica di settantadue ore dell'articolo 7. Mappiamo ogni trasferimento all'estero rispetto agli articoli da 14 a 16, esaminiamo i flussi di marketing rispetto agli articoli 17 e 18 e prepariamo il fascicolo di licenza per il portale del Centro prima della scadenza.
Si veda anche: la nostra guida agli incentivi della legge sugli investimenti 72 del 2017 e la nostra guida alla costituzione in Egitto, oltre alla nostra pratica di diritto commerciale e societario.
Domande frequenti
La legge egiziana sulla protezione dei dati è in vigore?
Sì. La Legge n. 151 del 2020 è in vigore e il suo regolamento di attuazione è stato emanato con la Decisione n. 816 del 2025. L'articolo 6 della legge di promulgazione ha dato ai soggetti un anno dall'emanazione di quel regolamento per mettersi in regola, termine che scade tra ottobre e novembre 2026.
Ho bisogno di una licenza del Centro per la protezione dei dati personali?
In generale sì. L'articolo 4 della legge richiede al titolare una licenza o un permesso, e l'articolo 45 punisce le violazioni delle norme sulle licenze con una multa da 500.000 a 5.000.000 EGP. Per marketing, sorveglianza e trasferimenti transfrontalieri valgono licenze o permessi distinti.
Ho bisogno di un responsabile della protezione dei dati?
Sì, se è una persona giuridica. L'articolo 8 richiede che il rappresentante legale nomini un dipendente qualificato, lo iscriva presso il Centro e renda pubblica la nomina, e l'articolo 39 punisce l'omissione con una multa da 200.000 a 2.000.000 EGP.
Entro quanto tempo va notificata una violazione?
Entro settantadue ore dalla conoscenza ai sensi dell'articolo 7, e immediatamente se è coinvolta la sicurezza nazionale. L'interessato va informato entro tre giorni lavorativi dalla notifica al Centro.
Posso conservare all'estero i dati di clienti egiziani?
Solo con licenza o permesso del Centro e consenso dell'interessato, verso un paese che il Centro ritenga adeguatamente protetto, ai sensi dell'articolo 14 della legge e dell'articolo 16 del regolamento. Il trasferimento non autorizzato è reato ai sensi dell'articolo 42.
Di quanto tempo dispongo per rispondere a una richiesta di accesso?
Sei giorni lavorativi dalla presentazione ai sensi degli articoli 10 e 32, motivando ogni rifiuto. Un reclamo al Centro viene deciso entro trenta giorni lavorativi ai sensi dell'articolo 33.
Quali sono le pene massime?
Dipendono dalla violazione. Le multe arrivano a 5.000.000 EGP e la reclusione si applica ai reati su dati sensibili e trasferimenti ai sensi degli articoli 41 e 42, le pene raddoppiano in caso di recidiva ai sensi dell'articolo 48, e la Legge n. 175 del 2018 aggiunge pene distinte per le violazioni della privacy.
Fornite consulenza sulla conformità alla protezione dei dati in Egitto?
Sì. Classifichiamo il suo ruolo, prepariamo i fascicoli di licenza e permesso, redigiamo i documenti di consenso e privacy, impostiamo le procedure per le violazioni e rappresentiamo i clienti davanti al Centro. La invitiamo a contattarci tramite la nostra pagina dei contatti per discutere la sua situazione.