Программа комплаенса в Египте опирается на небольшое число актов с реальными санкциями: закон о защите персональных данных, закон № 151 от 2020 года, с исполнительным регламентом, изданным министерским решением № 816 от 2025 года; закон о противодействии отмыванию денег, закон № 80 от 2002 года; закон о защите конкуренции, закон № 3 от 2005 года в редакции закона № 175 от 2022 года; и положения Уголовного кодекса о взяточничестве. Наш офис в Каире читает эти тексты так, как применяет их, и проверяет каждый контроль на реальной операции, а не на документе с политиками.
Правовая основа: четыре режима и один стандарт доказывания
Четыре режима охватывают большинство вопросов корпоративного комплаенса в Египте. Закон № 151 от 2020 года регулирует персональные данные, и его применение обеспечивает Центр защиты персональных данных. Закон № 80 от 2002 года регулирует отмывание денег и создает при Центральном банке Египта подразделение по борьбе с отмыванием денег и финансированием терроризма. Закон № 3 от 2005 года регулирует картели, вертикальные ограничения и слияния. Уголовный кодекс, закон № 58 от 1937 года, устанавливает ответственность за взяточничество в статьях 103-111. Отраслевые регуляторы добавляют свои правила.
Стандарт, который мы применяем, одинаков для всех режимов: контроль существует, только если его можно подтвердить. По каждому режиму мы спрашиваем, на ком лежит обязанность, какая запись доказывает ее исполнение и что в первую очередь проверит регулятор или прокуратура. По статье 4 закона № 151 от 2020 года контролер обязан обеспечить возможность доказать свое соответствие и допустить проверку; остальные режимы приходят к тому же результату через требования о хранении записей и полномочия по расследованию.
Закон о персональных данных: сфера действия, определения и исключения
Статья 1 закона № 151 от 2020 года определяет персональные данные как любые данные об идентифицированном или прямо либо косвенно идентифицируемом физическом лице и охватывает обработку электронными или технологическими средствами. К чувствительным данным относятся данные о здоровье, генетические, биометрические и финансовые данные, религиозные убеждения, политические взгляды и сведения о судимости; данные детей всегда считаются чувствительными. Статья 2 вводных статей распространяет закон на отдельные действия неегиптян за пределами Египта, если субъект данных является египтянином или иностранцем, проживающим в Египте.
Статья 3 вводных статей перечисляет исключения: данные, которые частные лица хранят для личного пользования, официальная статистика, данные, обрабатываемые исключительно в журналистских целях, судебные материалы и дела, данные органов национальной безопасности, а также данные Центрального банка Египта и подконтрольных ему организаций, за исключением компаний по переводу денег и обмену валюты. Прежде чем строить программу по данным, мы относим каждое направление бизнеса к этим исключениям, потому что банк и ритейлер из одной группы могут оказаться по разные стороны.
Обязанности контролера, согласие и запросы субъектов данных
Статья 4 приложенного закона перечисляет обязанности контролера. Он должен получать данные с согласия субъекта или в случаях, разрешенных законом, обеспечивать их точность и соответствие цели, защищать их техническими и организационными мерами, удалять после достижения цели или хранить в форме, не позволяющей идентифицировать лицо, немедленно исправлять ошибки и вести реестр категорий, получателей, сроков хранения и мер безопасности. Он также обязан получить лицензию или разрешение Центра и, если находится за рубежом, назначить представителя в Египте.
По статье 32 субъект данных может потребовать от любого держателя, контролера или обработчика осуществить его права, и получатель запроса обязан ответить в течение шести рабочих дней. По статье 33 жалоба подается в Центр, который решает ее в течение тридцати рабочих дней, а ответчик должен исполнить решение в течение семи рабочих дней. Мы проверяем эту цепочку на реальном запросе: кто его получает, кто решает, кто ищет по системам и кто подтверждает дату ответа.
Уведомление об утечках: 72 часа и три рабочих дня
Статья 7 закона № 151 от 2020 года обязывает контролера или обработчика уведомить Центр о любом нарушении безопасности персональных данных в течение семидесяти двух часов, а если затронута национальная безопасность, немедленно. Уведомление должно описывать нарушение и принятые меры, а исполнительный регламент повторяет те же два срока. Субъект данных должен быть проинформирован в течение трех рабочих дней после уведомления Центра.
Эти сроки не оставляют времени на то, чтобы после события решать, кто отвечает. Наш неизменный совет: письменный порядок действий при инциденте, где названо, кто классифицирует событие, кто подписывает уведомление Центру, кто связывается с пострадавшими и кто ведет реестр нарушений. Мы проверяем его на настольном учении и следим, чтобы срок отсчитывался с момента, когда компании стало известно о нарушении.
Ответственный за защиту данных, лицензии и исполнительный регламент
Статья 8 обязывает законного представителя юридического лица назначить компетентного сотрудника ответственным за защиту данных, внести его в реестр Центра и объявить о назначении. Статья 9 возлагает на него ответственность за применение закона. По статьям 26 и 27 Центр выдает лицензии и разрешения, принимает решение в течение девяноста дней после подачи полного комплекта документов и считает молчание отказом. Исполнительный регламент издан решением № 816 от 2025 года министра связи и информационных технологий; вторичные источники датируют его 1 ноября 2025 года, в силе с 2 ноября 2025 года, а официальной газетной копии найдено не было.
Статья 6 вводных статей предоставляет адресатам один год со дня издания исполнительного регламента для приведения своего положения в соответствие. При строгом прочтении этот срок истекает около 1 ноября 2026 года. Комментаторы отмечают, что Центр может считать срок более длинным; поэтому мы планируем по более ранней дате и следим за официальными разъяснениями. Ступени сборов, реестры и регистрация ответственного лица содержатся в регламенте и проверяются по действующему тексту.
Трансграничная передача и прямой электронный маркетинг
Статья 14 закона № 151 от 2020 года разрешает передачу персональных данных за границу, только если уровень защиты в иностранном государстве отвечает требованиям закона и передача лицензирована Центром. Статья 16 допускает раскрытие иностранному контролеру или обработчику по лицензии, если совпадают деятельность или цель, есть законный интерес и защита за рубежом не ниже, чем в Египте. Прежде чем рекомендовать структуру, мы составляем карту каждого облачного сервиса, аффилированной компании и поставщика, получающих египетские данные.
Статья 17 запрещает прямой электронный маркетинг, если субъект не дал согласия, отправитель не идентифицирован, не указан действующий адрес, сообщение не помечено как рекламное и нет понятного способа отказаться. Статья 18 требует определенной цели и электронных записей о согласии в течение трех лет с последнего сообщения. Статья 26 добавляет лицензию на прямой электронный маркетинг. Запись о согласии, которую нельзя предъявить, на практике равна отсутствию согласия.
Санкции за нарушения в сфере данных и правоприменение
Статья 36 наказывает несанкционированный сбор, обработку или раскрытие электронно обрабатываемых персональных данных штрафом от 100 000 до 1 000 000 египетских фунтов и предусматривает лишение свободы не менее шести месяцев и штраф от 200 000 до 2 000 000 фунтов либо одним из этих наказаний, если деяние совершено ради выгоды или во вред субъекту данных. Статья 41 наказывает обработку чувствительных данных без согласия лишением свободы не менее трех месяцев и штрафом от 500 000 до 5 000 000 фунтов либо одним из этих наказаний. Статья 38 наказывает нарушение обязанностей контролера и обработчика штрафом от 300 000 до 3 000 000 фунтов.
Статья 47 возлагает ответственность на фактического руководителя юридического лица. Статья 48 удваивает наказание при рецидиве и предписывает публикацию приговора, а статья 49 допускает примирение по проступкам. Статья 30 позволяет Центру выносить предупреждения, приостанавливать или аннулировать лицензии и публиковать сведения о нарушениях. Экономические суды обладают юрисдикцией по статье 5 вводных статей.
Противодействие отмыванию денег: обязанности финансовых организаций и нефинансовых предприятий
Статья 3 закона № 80 от 2002 года создает при Центральном банке Египта подразделение по борьбе с отмыванием денег и финансированием терроризма, а статья 7 поручает ему контроль за соблюдением закона финансовыми организациями и нефинансовыми предприятиями и профессиями. Статья 8 обязывает их незамедлительно сообщать подразделению о любой операции, в отношении которой есть подозрение, что она связана с доходами от преступления, отмыванием денег или финансированием терроризма, или о любой попытке, независимо от суммы, и применять системы надлежащей проверки клиентов.
Статья 9 требует хранить записи о внутренних и международных операциях с данными, достаточными для их идентификации, а также записи о клиентах и бенефициарных владельцах не менее пяти лет с окончания отношений или закрытия счета, дольше по требованию подразделения или следователей. Статья 9 бис 1 обязывает финансовые организации, нефинансовые предприятия и любого держателя соответствующих активов применять механизмы подразделения по целевым финансовым санкциям, включая заморозку. Мы проверяем, действительно ли система мониторинга приводит к подаче сообщений.
Санкции за отмывание денег и сотрудничество
Статья 14 наказывает отмывание денег и покушение на него лишением свободы на срок до семи лет и штрафом в двукратном размере средств, являющихся предметом преступления; арестованные средства конфискуются. Статья 15 наказывает нарушение статей 8, 9 и 11 лишением свободы и штрафом от 100 000 до 500 000 фунтов либо одним из этих наказаний. Статья 15 бис наказывает нарушение статьи 9 бис 1 лишением свободы на срок до одного года или штрафом от 100 000 до 300 000 фунтов.
Если в преступлении участвовали несколько лиц, статья 17 позволяет суду освободить того, кто сообщит о нём компетентным органам до того, как им станет о нём известно, или чьё сообщение приведёт к аресту остальных или изъятию средств, от лишения свободы и штрафа по статье 14, но конфискация остаётся в силе. Сообщение, таким образом, является решением с юридическим весом, и мы следим за тем, чтобы лицо, подающее сообщение, и лицо, решающее его подать, были четко разделены и задокументированы.
Противодействие взяточничеству по Уголовному кодексу
Статьи 103-111 Уголовного кодекса, закона № 58 от 1937 года, устанавливают ответственность за подкуп должностных лиц. Статья 103 определяет преступление через платеж, подарок или обещание должностному лицу за совершение или несовершение действия по службе, а статья 107 бис освобождает от наказания лицо, давшее взятку, или посредника, которые сообщили о преступлении властям или признались. Статья 111 определяет, кто считается должностным лицом, а статья 106 бис (б), добавленная в 2018 году, охватывает подкуп иностранных должностных лиц.
Статья 105 бис распространяет состав на членов советов директоров, руководителей и работников акционерных обществ и некоторых организаций общественного значения, а статья 106 охватывает работников, принимающих выгоду без ведома работодателя. Компания, чьи сотрудники или посредники вовлечены в такое дело, сталкивается с договорными, лицензионными и репутационными последствиями наряду с индивидуальным риском. Размеры штрафов мы здесь не указываем, поскольку они проверяются в каждом случае по действующему тексту.
Конкурентный комплаенс: картели, вертикальные ограничения и контроль слияний
Статья 6 закона № 3 от 2005 года запрещает соглашения между конкурентами, фиксирующие цены, разделяющие рынки, согласовывающие участие в торгах или ограничивающие производство, а статьи 7 и 8 посвящены вертикальным соглашениям и злоупотреблению доминирующим положением. Статья 22 наказывает нарушение статьи 6 штрафом от 2 до 12 процентов выручки от продукта за период нарушения либо от 500 000 до 500 миллионов фунтов, если выручку определить нельзя. Статья 26 прекращает уголовное преследование первого участника, который сообщил ведомству о картеле и представил доказательства.
После закона № 175 от 2022 года о слиянии, достигающем порогов статьи 19 бис, нужно уведомить ведомство, и по статье 19 бис А его нельзя осуществлять до одобрения. Внутренний порог: совокупные оборот или активы в Египте свыше 900 миллионов фунтов при не менее чем двух сторонах, каждая из которых превышает 200 миллионов; всемирный порог: 7,5 миллиарда фунтов при не менее чем одной стороне, превышающей 200 миллионов в Египте. Статья 22 бис Д наказывает неуведомление штрафом от 1 до 10 процентов оборота, активов или стоимости сделки. Режим действует в полном объеме с 1 июня 2024 года.
Что мы проверяем в египетском комплаенс-досье
Когда наш каирский офис проверяет программу комплаенса, мы начинаем с датированной выборки, а не с политики. Берем одно согласование договора, один платеж и один запрос по персональным данным и прослеживаем каждый от заявки до архива в свете закона № 151 от 2020 года, статей 8 и 9 закона № 80 от 2002 года, статей 6 и 19 бис А закона № 3 от 2005 года и статей 103-111 Уголовного кодекса. Мы фиксируем, кто согласовал, кто оплатил, кто хранит запись и какое исключение имело собственный путь согласования, и закрепляем прием сообщений, установление фактов и принятие решения за разными ролями.
См. также: наше руководство по защите данных в Египте и наше руководство по коммерческому праву Египта, а также наша корпоративная и коммерческая практика.
Часто задаваемые вопросы
Когда нужно уведомлять об утечке персональных данных в Египте?
Статья 7 закона № 151 от 2020 года требует уведомить Центр защиты персональных данных в течение семидесяти двух часов, немедленно при затрагивании национальной безопасности, и проинформировать пострадавших лиц в течение трех рабочих дней после уведомления Центра.
Нужен ли нам ответственный за защиту данных?
Да, если вы юридическое лицо, действующее как контролер или обработчик. Статья 8 закона № 151 от 2020 года обязывает законного представителя назначить компетентного сотрудника, зарегистрировать его в Центре и объявить о назначении.
Когда заканчивается переходный срок по исполнительному регламенту?
Статья 6 вводных статей дает один год со дня издания решения № 816 от 2025 года, которое, по данным вторичных источников, датируется 1 ноября 2025 года, с действием с 2 ноября 2025 года (официальной газетной копии мы не нашли), то есть при строгом прочтении около 1 ноября 2026 года. Мы советуем планировать по этой дате.
Можно ли передавать данные иностранной компании группы?
Только если соблюдена статья 14 закона № 151 от 2020 года: иностранный уровень защиты должен соответствовать египетскому стандарту, а передача должна быть лицензирована Центром. Статья 42 наказывает нарушение лишением свободы и штрафом от 500 000 до 5 000 000 фунтов либо одним из этих наказаний.
Нужно ли сообщать о подозрительной операции независимо от суммы?
Да. Статья 8 закона № 80 от 2002 года обязывает финансовые организации и нефинансовые предприятия и профессии незамедлительно сообщать подразделению о предполагаемых преступных доходах, отмывании или попытке, какой бы ни была сумма, а статья 9 требует хранить записи не менее пяти лет.
Какое наказание предусмотрено за отмывание денег?
По статье 14 закона № 80 от 2002 года лишение свободы до семи лет и штраф в двукратном размере средств, а также конфискация. Если в преступлении участвовали несколько лиц, статья 17 позволяет суду освободить того, кто сообщил о преступлении до того, как о нём узнали власти, от лишения свободы и штрафа по статье 14, но конфискация остаётся в силе.
Нужно ли уведомлять о слиянии ведомство по защите конкуренции?
Да, если оно достигает порогов статьи 19 бис закона № 3 от 2005 года, и его нельзя осуществлять до одобрения по статье 19 бис А. За неуведомление по статье 22 бис Д налагается штраф в размере от 1 до 10 процентов оборота, активов или стоимости сделки.
Может ли ваша фирма проверить нашу программу комплаенса и провести внутреннее расследование?
Да. Наш каирский офис проверяет контроли в свете перечисленных актов и держит прием сообщений, установление фактов и решение раздельно. Пожалуйста, свяжитесь с нами через страницу контактов.