Un progetto tecnologico egiziano è disciplinato da quattro leggi contemporaneamente: la Legge n. 10 del 2003 di regolamentazione delle telecomunicazioni e la sua autorità di regolamentazione, l'Autorità nazionale di regolamentazione delle telecomunicazioni (NTRA); la Legge n. 15 del 2004 sulla firma elettronica; la Legge n. 175 del 2018 contro la criminalità informatica; e la Legge n. 151 del 2020 sulla protezione dei dati personali, il cui regolamento (Decisione Ministeriale n. 816 del 2025, in vigore da novembre 2025) ha reso operativo il regime di licenze. Questo articolo riassume ciò che ogni livello richiede a un'impresa di connettività, cloud, piattaforme o software con clienti egiziani, e come il nostro studio esamina l'insieme prima di un lancio, di un contratto o di una modifica.
Mappare il servizio prima di chiedere le licenze
Elencare ciò che il cliente egiziano riceve realmente: connettività, hosting, cloud, piattaforma, contenuti, pagamenti o software puro. Registrare quale entità vende, quale opera e quali fornitori stanno sotto, perché la Legge n. 10 del 2003 regola reti e servizi, non denominazioni. Un marchio tecnologico generico non dice nulla al regolatore; il nostro consiglio costante è fissare la funzione di ogni componente secondo le definizioni dell'articolo 1 di tale legge prima di rispondere a qualsiasi questione di conformità.
Tracciate il percorso del cliente dall'iscrizione alla fatturazione e al supporto, e confrontate la società descritta sul sito con l'entità indicata nei contratti e nelle fatture. Identificate i componenti fisici e remoti, le sedi dei clienti e gli accessi dall'estero. Se un partner gestisce parte del servizio, registrate che cosa quel partner può modificare e quali promesse il cliente si aspetta ancora dal venditore, perché l'esecuzione egiziana guarda oltre il marchio, verso l'operatore.
Licenze NTRA secondo la Legge n. 10 del 2003
L'articolo 21 della Legge n. 10 del 2003 vieta di istituire o gestire reti di telecomunicazioni, fornire servizi di telecomunicazioni, eludere le chiamate internazionali o pubblicizzare una di queste attività senza licenza della NTRA. Unica eccezione: la rete privata priva di sistemi radio, che non richiede licenza, benché l'operatore licenziato dell'infrastruttura di supporto debba notificarla alla NTRA. L'articolo 22 fissa il procedimento: domanda sui moduli NTRA con prova della capacità tecnica e finanziaria, e decisione entro novanta giorni dalla documentazione completa; in caso contrario, la domanda si intende respinta.
L'articolo 23 lascia le tariffe e le regole di riscossione al consiglio della NTRA. Le condizioni di licenza si pubblicano nella Gazzetta Ufficiale o in un quotidiano ad ampia diffusione a spese del licenziatario secondo l'articolo 21; l'articolo 25 impone obblighi generali, e gli articoli da 28 a 33 disciplinano interconnessione, mediazione, sussidi incrociati e accordi tra licenziatari. In ogni revisione, la prima domanda è se un componente costituisca gestione di rete o fornitura di servizio ai sensi dell'articolo 21; tutto il resto ne consegue.
Apparati, omologazione e frequenze
L'hardware è controllato separatamente. L'articolo 44 della Legge n. 10 del 2003 riserva importazione, fabbricazione e assemblaggio di apparati di telecomunicazione a soggetti autorizzati; l'articolo 46 vieta importare e vendere terminali usati; e l'articolo 48 abilita la NTRA a fissare regole di omologazione e permessi di importazione, fabbricazione, commercio e commercializzazione, con decisione entro novanta giorni da una domanda completa. Possedere o gestire apparati radio senza permesso è reato secondo l'articolo 77.
Lo spettro è gestito dalla NTRA secondo gli articoli da 49 a 59: assegna frequenze, concede e revoca licenze di frequenza secondo l'articolo 51, fissa tariffe secondo l'articolo 53, ispeziona l'uso secondo l'articolo 55 e mantiene la banca dati degli utenti secondo l'articolo 58. Ogni prodotto che emette radiofrequenza, da un sistema Wi-Fi a una flotta di dispositivi IoT, deve confermare la propria posizione di frequenza prima dell'importazione o del dispiegamento, non dopo l'intervento della dogana o della NTRA.
Le sanzioni penali come base dell'analisi del rischio
L'articolo 72 della Legge n. 10 del 2003 punisce l'istituzione o gestione non licenziata di reti, infrastrutture o servizi, o l'elusione delle chiamate internazionali, con reclusione da sei mesi a cinque anni e multa da cinquantamila a cinquecentomila sterline egiziane, o una delle due, con confisca degli apparati. L'articolo 77 punisce importare, fabbricare, possedere o gestire apparati radio senza permesso con almeno un anno di reclusione e multa da ventimila a cinquantamila sterline egiziane, o una delle due, sempre con confisca.
L'articolo 73 protegge penalmente la riservatezza delle comunicazioni, e l'articolo 78 punisce l'intercettazione o interferenza deliberata di onde altrui. Non sono rischi teorici: la NTRA dispone di poteri di ispezione e sorveglianza secondo gli articoli 55 e 19, e di sequestro amministrativo secondo l'articolo 11. Le nostre revisioni prendono la mappa delle sanzioni come base per decidere quali componenti debbano essere licenziati, autorizzati o ristrutturati.
Protezione dei dati personali secondo la Legge n. 151 del 2020
La Legge n. 151 del 2020 è la legge generale egiziana sulla protezione dei dati. L'articolo 2 vieta di raccogliere, trattare, divulgare o rendere disponibili dati personali senza consenso esplicito dell'interessato o permesso legale, e gli attribuisce diritti di accesso, revoca del consenso, rettifica, cancellazione, limitazione, notifica delle violazioni e opposizione. L'articolo 3 fissa le condizioni di liceità, incluse limitazione di finalità e adeguatezza. L'articolo 36 sanziona il trattamento non autorizzato con multa da centomila a un milione di sterline egiziane, aggravata quando il trattamento mira a un vantaggio materiale o a nuocere all'interessato.
La legge ha istituito il Centro per la Protezione dei Dati Personali con poteri di licenza secondo l'articolo 26. Il trasferimento transfrontaliero rientra negli articoli da 14 a 16: trasferire, conservare o condividere all'estero richiede un livello di protezione adeguato e licenza o permesso del Centro, salve le eccezioni di consenso e necessità dell'articolo 15. L'articolo 33 apre agli interessati una via di reclamo presso il Centro, che decide in trenta giorni lavorativi; il reclamato esegue la decisione entro sette giorni lavorativi dalla notifica.
Il regolamento del 2025 rende operativo il regime
La Decisione Ministeriale n. 816 del 2025 ha emanato il regolamento della Legge n. 151 del 2020, in vigore dal 2 novembre 2025 secondo fonti secondarie. Istituisce un regime graduale di licenze e permessi gestito dal Centro: titolari e responsabili devono possedere una licenza o un permesso adeguato alla propria attività, con tariffe scaglionate secondo il numero di record trattati, che raggiungono diverse centinaia di migliaia di sterline egiziane all'anno per i volumi maggiori e si limitano a due milioni di sterline egiziane nel corso della validità triennale della licenza. Le licenze di solo titolare o solo responsabile per le persone giuridiche costano la metà della tabella.
Il regolamento attiva anche i dettagli: registrazione dei delegati alla protezione dei dati, registri elettronici sicuri del trattamento, condizioni delle licenze di trasferimento transfrontaliero secondo i suoi articoli da 24 a 27, licenza specifica di marketing elettronico diretto secondo l'articolo 28 e accreditamenti triennali. Ogni impresa egiziana che raccoglie dati di clienti o dipendenti deve ora trattare la licenza del Centro come un obbligo di conformità attuale, non futuro; verifichiamo tariffe e moduli rispetto ai volumi reali del cliente prima della presentazione.
Notifica delle violazioni dei dati
L'articolo 5 del regolamento avvia l'orologio: il titolare o il responsabile deve notificare il Centro tramite il portale elettronico o la linea diretta entro settantadue ore dalla conoscenza della violazione, indicando ora della conoscenza, natura della violazione, stima dei dati compromessi, effetti attesi, misure correttive adottate e contatti del delegato. Le violazioni che toccano la sicurezza nazionale vanno segnalate immediatamente.
L'interessato va poi notificato entro tre giorni lavorativi dalla notifica al Centro, con il mezzo concordato al momento della raccolta: SMS, e-mail o chiamata. Queste scadenze determinano come vanno redatti i piani di risposta agli incidenti: rilevamento, valutazione ed escalation devono rientrare nelle settantadue ore, il che richiede un diritto contrattuale a una notifica rapida da ogni fornitore che ospita dati egiziani e un percorso interno collaudato fino al delegato registrato.
La Legge n. 175 del 2018 sulla criminalità informatica e il fornitore
La Legge n. 175 del 2018 impone obblighi diretti ai fornitori di servizi. L'articolo 2 li obbliga a conservare in modo continuo i registri dei sistemi informativi per centottanta giorni, inclusi dati identificativi degli utenti e dati di contenuto, traffico e terminali sotto il loro controllo; a preservare la riservatezza dei dati salvo ordinanza giudiziaria motivata; a proteggerli da accessi non autorizzati; a mettere a disposizione di utenti e autorità nome, indirizzo, contatti e dati di licenza; e a fornire agli organi di sicurezza nazionale le capacità tecniche richieste dalla legge.
L'articolo 7 consente all'autorità inquirente di ordinare il blocco di un sito, all'interno o all'esterno dell'Egitto, che diffonda contenuti costituenti reato ai sensi della legge e che minaccino la sicurezza nazionale o l'economia nazionale, con l'ordinanza sottoposta al tribunale competente entro ventiquattro ore e una decisione motivata entro settantadue ore; nei casi urgenti la NTRA può disporre il blocco temporaneo immediato, che il fornitore deve attuare subito. Gli articoli da 25 a 27 puniscono con la reclusione e una multa, o con una delle due pene, le violazioni della privacy, l'uso indebito dei dati personali e l'uso di siti o account per facilitare reati. Ogni piattaforma egiziana necessita di una procedura di gestione degli ordini di blocco e di un'architettura di conservazione dei registri conforme all'articolo 2.
Firma elettronica e prova secondo la Legge n. 15 del 2004
La Legge n. 15 del 2004 regola la firma elettronica e ha istituito l'Autorità per lo Sviluppo dell'Industria delle Tecnologie dell'Informazione, ITIDA. L'articolo 14 attribuisce alle firme elettroniche, nelle transazioni civili, commerciali e amministrative, lo stesso effetto determinante delle firme autografe secondo la Legge sulla Prova, quando create conformemente alla legge e alle regole tecniche del suo regolamento. L'articolo 15 attribuisce alla scrittura elettronica lo stesso effetto dei documenti ufficiali e privati alle stesse condizioni.
L'articolo 18 fissa le condizioni probatorie: la firma deve essere collegata unicamente al firmatario, sotto il suo controllo esclusivo, e ogni modifica dei dati firmati deve essere rilevabile. Per contratti tecnologici egiziani, flussi di attivazione e condizioni di piattaforma, questo quadro decide se un clic, un codice monouso o una firma con certificato resisterà in tribunale. Allineiamo ogni flusso di firma agli articoli 14, 15 e 18 e al regime dei prestatori di certificazione accreditati creato dalla legge e dal suo regolamento.
Allineare le promesse al cliente con la catena di fornitura
Confrontate disponibilità, tempi di risposta, sicurezza e supporto annunciati con gli impegni di rete, cloud e subappaltatori sottostanti. Assegnate la responsabilità per interruzioni, manutenzione programmata, subappalto e incidenti, e verificate come il cliente sarà informato e assistito se un fornitore a monte sospende il servizio. Gli obblighi che la legge impone, come la conservazione dei registri ai sensi dell'articolo 2 della Legge n. 175 del 2018 e la notifica delle violazioni ai sensi del regolamento sulla protezione dei dati, non possono essere scaricati sul cliente per via contrattuale.
Percorrete un guasto di esempio e una richiesta di dati di esempio da parte di un'autorità. Chi vede gli allarmi, chi può accedere ai registri, chi autorizza una correzione, chi informa il cliente e chi risponde alla NTRA o al Centro per la protezione dei dati personali? Registrate i contatti di escalation e i passaggi di conservazione delle prove. Il contratto dovrebbe corrispondere agli strumenti reali del team e ai diritti verso i fornitori, non promettere una risposta che nessuno può garantire entro i termini regolamentari di settantadue ore.
Uscita, cambiamento e fascicolo probatorio
Specificate formati di esportazione, assistenza alla migrazione, preavvisi, prove di cancellazione e trattamento di domini, account o numeri prima che si consolidi la dipendenza, e collaudate un'esportazione prima della scadenza del contratto. La promessa di un fornitore di restituire i dati vale poco se il cliente non sa leggere il formato o collegarlo alle proprie registrazioni, e le promesse di cancellazione vanno conciliate con l'obbligo di conservazione dei registri di centottanta giorni dell'articolo 2 della Legge n. 175 del 2018.
Un nuovo canale di pagamento, una fonte locale di contenuti o una funzione di rete può modificare insieme l'analisi di licenza, dati e criminalità informatica. Esigere una revisione aggiornata a ogni cambiamento e conservare una versione datata di decisioni e questioni aperte: mappe del servizio, corrispondenza con la NTRA, presentazioni al Centro, condizioni dei fornitori e registri degli incidenti. Quel fascicolo è la prima cosa che chiedono autorità, tribunali e acquirenti, e segna la differenza tra un lancio difendibile e una ricostruzione costosa.
Cosa esaminiamo prima di un lancio o cambiamento tecnologico in Egitto
Il nostro fascicolo di prima revisione per un servizio tecnologico egiziano copre: la mappa del servizio e delle entità; l'analisi di licenza dell'articolo 21 della Legge n. 10 del 2003 con l'eccezione delle reti private; le verifiche su apparati, omologazione e frequenze degli articoli da 44 a 59; la mappa delle sanzioni degli articoli da 72 a 78; l'inventario dei dati secondo la Legge n. 151 del 2020 e gli obblighi di licenza, tariffe, notifica delle violazioni e registrazione dei delegati della Decisione n. 816 del 2025; la strutturazione transfrontaliera degli articoli da 14 a 16; la conservazione dell'articolo 2 e il blocco dell'articolo 7 della Legge n. 175 del 2018; i flussi di firma secondo la Legge n. 15 del 2004; e i contratti dei fornitori rispetto alle promesse al cliente, con parere egiziano datato su ogni questione aperta.
Si veda anche: la nostra guida alla protezione dei dati in Egitto e la nostra guida alla proprietà intellettuale in Egitto, oltre alla nostra pratica di diritto commerciale e societario.
Domande frequenti
Ogni impresa IT in Egitto necessita di una licenza NTRA?
No. L'articolo 21 della Legge n. 10 del 2003 richiede licenza per istituire o gestire reti di telecomunicazioni, fornire servizi di telecomunicazioni o eludere chiamate internazionali. Chi sviluppa soltanto software o rivende applicazioni, senza gestire reti né fornire servizi di telecomunicazioni, in genere non necessita di licenza NTRA, benché le importazioni di apparati restino soggette ai permessi degli articoli 44 e 48 e una rete privata con sistemi radio esca dall'eccezione.
Cosa rischia un servizio che opera senza licenza NTRA?
L'articolo 72 rende la gestione non licenziata di reti, la fornitura di servizi o l'elusione di chiamate internazionali un reato punito con reclusione da sei mesi a cinque anni e multa da cinquantamila a cinquecentomila sterline egiziane, o una delle due, con confisca degli apparati. Ristrutturare dopo un'indagine costa molto più di un'analisi di licenza prima del lancio.
La legge egiziana sulla protezione dei dati si applica davvero ora?
Sì. La Legge n. 151 del 2020 è in vigore dal 2020, e la Decisione Ministeriale n. 816 del 2025 ha reso efficace il regolamento, secondo fonti secondarie il 2 novembre 2025, attivando il regime di licenze del Centro, le tariffe scaglionate, la registrazione dei delegati e gli obblighi di notifica delle violazioni. Titolari e responsabili di dati personali egiziani devono trattare la licenza come obbligo presente.
Con quale rapidità va notificata una violazione di dati in Egitto?
L'articolo 5 del regolamento del 2025 richiede la notifica al Centro entro settantadue ore dalla conoscenza, e la notifica agli interessati entro tre giorni lavorativi successivi, con i mezzi concordati alla raccolta dei dati. Piani di risposta e contratti con i fornitori vanno costruiti per rientrare in quell'orologio.
I dati personali possono essere trasferiti fuori dall'Egitto?
Solo nel quadro degli articoli da 14 a 16 della Legge n. 151 del 2020: trasferire, conservare o condividere all'estero richiede un livello di protezione adeguato e licenza o permesso del Centro, salvo eccezione dell'articolo 15, come il consenso esplicito nei casi enumerati o l'esecuzione di un contratto a beneficio dell'interessato. Il regolamento del 2025 fissa le condizioni di domanda; strutturiamo i trasferimenti di conseguenza.
Le firme elettroniche sono valide in Egitto?
Sì. L'articolo 14 della Legge n. 15 del 2004 attribuisce alle firme elettroniche conformi lo stesso effetto delle firme autografe secondo la Legge sulla Prova nelle transazioni civili, commerciali e amministrative, e l'articolo 15 fa lo stesso per la scrittura elettronica. L'articolo 18 richiede collegamento unico con il firmatario, suo controllo esclusivo e rilevabilità di ogni alterazione; il flusso e l'architettura dei certificati contano quanto la firma stessa.
Cosa deve fare una piattaforma davanti a un'ordinanza di blocco?
L'articolo 7 della Legge n. 175 del 2018 consente alle autorità inquirenti di ordinare il blocco di siti che diffondono contenuti illeciti che minacciano la sicurezza nazionale o l'economia, con presentazione al tribunale in ventiquattro ore e decisione in settantadue; in urgenza, la NTRA può esigere il blocco temporaneo immediato. I fornitori devono eseguire tali notifiche immediatamente, quindi necessitano di una procedura documentata di ricezione ed esecuzione.
Come incaricare lo studio in una questione tecnologica egiziana?
Inviate la descrizione del servizio, le bozze dei contratti e l'elenco dei fornitori tramite la pagina dei contatti, e delimiteremo una prima revisione che copra licenze NTRA, protezione dei dati, obblighi in materia di criminalità informatica e contratti come descritto sopra. Il nostro ufficio del Cairo svolge abitualmente queste revisioni, e delimitare presto costa sensibilmente meno che ristrutturare dopo che la NTRA o il Centro solleva la questione.