В Египте теперь действует полноценный режим защиты данных. Закон № 151 от 2020 года о защите персональных данных задаёт правила, а министр связи и информационных технологий издал его исполнительный регламент решением № 816 от 2025 года, после чего начал течь годичный срок, в течение которого компании должны привести свою деятельность в соответствие. Этот срок истекает на рубеже октября и ноября 2026 года, поэтому режим вот-вот станет применяться на практике. Из нашего офиса в Каире мы консультируем операторов и обработчиков данных о том, чего требует закон: согласие, права физических лиц, лицензии и разрешения, ответственное лицо за защиту данных, уведомление об утечках, трансграничные передачи, маркетинг и санкции. В этой статье эти обязанности изложены по законам и номерам статей.
Рамки: Закон 151 от 2020 года, исполнительный регламент и закон о киберпреступлениях
Закон № 151 от 2020 года защищает персональные данные, обрабатываемые электронным способом полностью или частично любым держателем, оператором или обработчиком, и защищает только физических лиц. Он создал Центр защиты персональных данных, публичный экономический орган при министре связи и информационных технологий, который выдаёт лицензии и разрешения, принимает жалобы и уведомления об утечках, проводит проверки и применяет санкции. Исполнительный регламент, изданный министерским решением № 816 от 2025 года и вступивший в силу на следующий день после публикации в официальной газете, устанавливает процедуры, сборы и технические стандарты, которые закон оставил открытыми.
Наряду с законом о защите данных действует Закон № 175 от 2018 года о борьбе с преступлениями в сфере информационных технологий. Статья 2 обязывает поставщиков услуг хранить данные идентификации, трафика и оконечных устройств пользователей 180 дней и сохранять их конфиденциальность, а статья 25 карает за нарушение неприкосновенности частной жизни и за передачу персональных данных электронной системе или сайту для продвижения товаров или услуг без согласия. Эти два закона пересекаются, поэтому один инцидент может одновременно повлечь регуляторные обязанности по Закону № 151 и уголовную ответственность по Закону № 175.
Сфера действия: кто охвачен и что исключено
Вводные статьи Закона № 151 от 2020 года распространяют его уголовные положения на египтян, где бы они ни действовали, на иностранцев, проживающих в Египте, и на иностранцев за рубежом, если деяние наказуемо и по месту совершения, а данные относятся к египтянам или к иностранцам, проживающим в Египте. Преступления подсудны экономическим судам. Статья 4 требует также, чтобы оператор, находящийся за границей, назначил представителя в Египте в порядке, который определяет исполнительный регламент.
Закон исключает данные, которые физические лица хранят для личного использования, данные для официальной статистики, данные, обрабатываемые исключительно в журналистских или медийных целях при их достоверности, данные в протоколах судебного изъятия, расследованиях и судебных производствах, данные органов национальной безопасности, а также данные Центрального банка Египта и подконтрольных ему организаций, кроме компаний по денежным переводам и обмену валюты. Мы проверяем каждое исключение на фактах, прежде чем клиент на него полагается, потому что исключения толкуются узко.
Переходный период и срок в ноябре 2026 года
Статья 6 вводного закона даёт организациям, подпадающим под закон, один год с момента издания исполнительного регламента, чтобы привести свою деятельность в соответствие. По сообщениям юридических фирм и прессы, регламент издан 1 ноября 2025 года (официальной газетной публикации мы не нашли), поэтому юридические фирмы называют срок 31 октября или 1 ноября 2026 года в зависимости от способа подсчёта. Регламент стал общедоступным лишь в конце декабря 2025 года, и некоторые комментаторы спрашивали, не применит ли Центр более позднюю дату. Мы советуем клиентам ориентироваться на установленную законом дату и не рассчитывать на продление, потому что в изученных нами источниках о нём не объявлено.
Центр открыл электронный портал для заявлений на лицензии, разрешения и аккредитацию. Для создания профиля и подачи заявлений требуется аутентификация через государственную платформу Digital Egypt, привязанную к номеру египетского национального удостоверения, поэтому иностранному оператору нужен надлежащим образом уполномоченный местный представитель. Статья 27 закона даёт Центру девяносто дней на решение по полному заявлению, а молчание считается отказом. Компания, подавшая заявление поздно, может остаться без лицензии к концу льготного периода, поэтому мы советуем подавать заявление сейчас.
Согласие и законность обработки
Статья 2 Закона № 151 от 2020 года запрещает собирать, обрабатывать, раскрывать или разглашать персональные данные любым способом без явного согласия субъекта данных, если закон не разрешает иное. Статья 3 требует, чтобы данные собирались для законных, конкретных и заявленных целей, были точными и защищёнными, обрабатывались законно и в соответствии с целями и не хранились дольше необходимого. По статье 6 обработка законна при явном согласии, необходимости для договора или судебного иска, исполнении закона или судебного приказа либо законном праве оператора, если оно не перевешивает основные права субъекта данных.
Статья 2 исполнительного регламента добавляет, что физическое лицо, предоставившее данные для получения законной услуги, считается давшим согласие на сбор и обработку только для этой цели, а использовать данные для других целей без предварительного согласия нельзя. Регламент требует также одобрения Центром механизма сбора данных и получения согласия, включая согласие опекуна в отношении детей. При проверке мы сверяем каждый экран согласия с этими двумя статьями, потому что уведомление, не соответствующее реальным целям, является самым частым дефектом.
Права физических лиц, запросы и жалобы
Статья 2 даёт субъекту данных право знать свои данные и получать к ним доступ, отозвать согласие, требовать исправления, изменения, удаления, дополнения или обновления, ограничить обработку определённым объёмом, получить уведомление об утечке и возражать против обработки, противоречащей его основным правам и свободам. Кроме права на уведомление об утечке, субъект данных несёт стоимость услуги, а Центр устанавливает сборы в пределах 20 000 EGP. Статьи 10 и 32 требуют рассмотреть письменный запрос в течение шести рабочих дней, отказ должен быть мотивирован, а молчание считается отказом.
Статья 33 позволяет субъекту данных или лицу с прямым интересом подать жалобу в Центр, который проводит проверку и принимает решение в течение тридцати рабочих дней. Сторона, на которую подана жалоба, должна исполнить решение в течение семи рабочих дней после уведомления и направить Центру подтверждение исполнения. Статья 37 карает держателя, оператора или обработчика, незаконно отказавшего в этих правах, штрафом от 100 000 до 1 000 000 EGP. Поэтому мы выстраиваем процедуру обработки запросов с шестидневным сроком, проверкой личности и записью причины каждого отказа.
Обязанности оператора и обработчика и ответственное лицо за защиту данных
Статья 4 обязывает оператора получать данные законно, проверять их точность и относимость, применять технические и организационные меры, удалять данные по достижении цели, если они не хранятся в обезличенном виде, исправлять неточности, вести реестр категорий данных, получателей, механизмов удаления, передач и мер безопасности, получить лицензию или разрешение Центра и допускать проверки. Статья 5 устанавливает параллельные обязанности для обработчиков, которые действуют на основании письменного соглашения. Если участвует несколько операторов, каждый из них лично отвечает за полное соблюдение требований.
Статья 8 требует, чтобы законный представитель оператора или обработчика, являющегося юридическим лицом, назначил квалифицированного сотрудника ответственным за защиту данных, внёс его в реестр Центра и публично объявил о назначении. Статья 9 определяет его задачи: периодические проверки, связь с Центром, обработка запросов субъектов данных, уведомление об утечках и обучение персонала. Статьи 7-12 исполнительного регламента требуют квалификации, экзамена Центра, чистой судимости, уникального кода ответственного лица и уведомления Центра за пятнадцать дней до замены.
Лицензии и разрешения
Статья 26 закона позволяет Центру выдавать лицензии и разрешения операторам и обработчикам для прямого электронного маркетинга, видеонаблюдения в общественных местах, чувствительных данных и трансграничных передач, а также аккредитацию консультантам по защите данных. Она ограничивает сборы за лицензии суммой 2 000 000 EGP, а за разрешения и аккредитацию 500 000 EGP. Статья 19 исполнительного регламента предусматривает единую годовую лицензию для юридических лиц со сборами в зависимости от числа хранимых записей, а для крупнейших держателей устанавливает сбор на уровне законного максимума 666 666 EGP в год, то есть 2 000 000 EGP за три года.
Разрешение по статье 20 регламента временное и действует не более года. Заявления на лицензию должны подтверждать механизм согласия, электронные реестры, меры безопасности, договор и независимость ответственного лица, а также соблюдение требований к чувствительным данным и данным детей по статье 21. По статье 27 закона Центр обязан решить вопрос в течение девяноста дней после подачи полного пакета. Работа без лицензии является преступлением по статье 45 и наказывается штрафом от 500 000 до 5 000 000 EGP, поэтому определение вида лицензии стоит первым в каждом поручении.
Уведомление об утечке: 72 часа и три рабочих дня
Статья 7 закона обязывает оператора или обработчика уведомить Центр о любой утечке находящихся у него персональных данных в течение семидесяти двух часов с момента, когда ему стало известно о ней, и немедленно, если утечка затрагивает национальную безопасность. В те же семьдесят два часа нужно представить Центру описание характера, формы, причин и предполагаемого объёма, контакты ответственного лица, вероятные последствия, принятые меры и документацию об инциденте. Субъекта данных нужно уведомить в течение трёх рабочих дней после уведомления Центра.
Статья 5 исполнительного регламента требует уведомлять через электронный портал или горячую линию Центра с фиксацией времени, когда стало известно, и времени сообщения, и добавляет, что уведомление субъекта данных должно описывать принятые меры безопасности. Нарушение статьи 7 наказывается по статье 38 штрафом от 300 000 до 3 000 000 EGP. На практике семьдесят два часа идут с момента осведомлённости, а не с подтверждения причины. Поэтому плану реагирования на инцидент нужны назначенное лицо, принимающее решения, и журнал доказательств с первого часа.
Трансграничные передачи
Статья 14 закона запрещает передавать персональные данные за границу, а также хранить их там или предоставлять доступ, если страна назначения не обеспечивает защиту не ниже установленной законом и Центр не лицензирует или не разрешает передачу. Статья 15 перечисляет исключения, требующие явного согласия субъекта данных, включая медицинскую помощь, судебные иски, исполнение договора в пользу субъекта данных, судебное сотрудничество, финансовые переводы и международные соглашения. Статья 16 допускает предоставление данных другому оператору за пределами Египта только по лицензии, при согласованности деятельности, законном интересе и не меньшей защите.
Статья 16 исполнительного регламента требует лицензии или разрешения и согласия субъекта данных, ограничивает передачи странами, названными в лицензии, и обязывает Центр публиковать страны, которые он считает обеспечивающими достаточную защиту с учётом их законодательства, мер безопасности и правил возмещения. Центр решает вопрос в течение девяноста рабочих дней по статье 26 регламента. Нарушение этих правил наказывается по статье 42 лишением свободы не менее трёх месяцев и штрафом от 500 000 до 5 000 000 EGP либо одним из этих наказаний. Облачный хостинг за рубежом считается передачей, поэтому до подачи мы картируем расположение каждой системы и субобработчика.
Чувствительные данные, дети и прямой маркетинг
Статья 12 запрещает собирать, передавать, хранить или обрабатывать чувствительные персональные данные без лицензии Центра и, кроме разрешённых законом случаев, без письменного и явного согласия. К чувствительным данным относятся данные о здоровье, генетические и биометрические данные, финансовые данные, религиозные убеждения, политические взгляды и данные о статусе безопасности, а данные детей всегда считаются чувствительными. Статья 15 исполнительного регламента требует письменного согласия опекуна для детей младше пятнадцати лет и согласия опекуна для лиц от пятнадцати до восемнадцати. Статья 41 карает незаконное обращение с чувствительными данными лишением свободы не менее трёх месяцев и штрафом от 500 000 до 5 000 000 EGP либо одним из этих наказаний.
Статья 17 допускает прямой электронный маркетинг только при предварительном согласии, чётко указанном отправителе с действующим адресом, явной маркировке рекламы и простой отписке. Статья 18 запрещает раскрывать контактные данные получателя и требует хранить подтверждения согласия три года с момента последнего сообщения. Статья 18 исполнительного регламента добавляет маркетинговую лицензию и удаление данных при отзыве согласия. Статья 43 наказывает нарушения штрафом от 200 000 до 2 000 000 EGP. Мы проверяем списки, обработку отказов от рассылки и договоры с агентствами до лицензирования любой кампании.
Санкции, ответственность и примирение
Статья 36 карает незаконный сбор, обработку, раскрытие или передачу без согласия и законного основания штрафом от 100 000 до 1 000 000 EGP, а если деяние совершено из корысти или с целью причинить вред субъекту данных, лишением свободы не менее шести месяцев и штрафом от 200 000 до 2 000 000 EGP либо одним из этих наказаний. Статья 39 наказывает законного представителя, не назначившего ответственное лицо, а статья 40 ответственное лицо, пренебрегающее обязанностями по статье 9. По статье 47 наказывается и тот, кто фактически управляет организацией, если знал о нарушении, а организация несёт солидарную ответственность за возмещение ущерба.
Статья 30 даёт Центру административные санкции после предупреждения: приостановление, отзыв или аннулирование лицензии, публикацию нарушений и техническое наблюдение за счёт нарушителя. Статья 48 удваивает наказания при рецидиве и предписывает публикацию приговоров. Статья 49 допускает примирение с Центром или потерпевшим на любой стадии до вступления приговора в силу по большинству преступлений при уплате половины минимального штрафа до передачи дела в суд или половины максимального после. Урегулирование прекращает уголовное дело, поэтому раннее обращение к Центру может снизить риск.
Что мы проверяем в деле о защите данных и конфиденциальности в Египте
Проверяя египетское дело о защите данных, мы сначала определяем, является ли клиент оператором, обработчиком или обоими, и какие лицензии и разрешения из этого следуют. Затем мы сверяем формулировки согласия со статьями 2, 3 и 6, проверяем шестидневную процедуру запросов, подтверждаем назначение ответственного лица по статьям 8 и 9 и отрабатываем семидесятидвухчасовой путь уведомления по статье 7. Мы картируем каждую передачу за границу по статьям 14-16, проверяем маркетинговые потоки по статьям 17 и 18 и готовим пакет документов на лицензию для портала Центра до наступления срока.
См. также: наше руководство по льготам инвестиционного закона 72 от 2017 года и наше руководство по регистрации компаний в Египте, а также наша корпоративная и коммерческая практика.
Часто задаваемые вопросы
Действует ли египетский закон о защите данных?
Да. Закон № 151 от 2020 года действует, а его исполнительный регламент издан решением № 816 от 2025 года. Статья 6 вводного закона дала организациям один год с момента издания этого регламента, чтобы привести деятельность в соответствие, и этот срок истекает на рубеже октября и ноября 2026 года.
Нужна ли мне лицензия Центра защиты персональных данных?
Как правило, да. Статья 4 закона требует от оператора лицензии или разрешения, а статья 45 наказывает нарушения правил о лицензиях штрафом от 500 000 до 5 000 000 EGP. Для маркетинга, наблюдения и трансграничных передач действуют отдельные лицензии или разрешения.
Нужно ли мне назначить ответственное лицо за защиту данных?
Да, если вы юридическое лицо. Статья 8 требует, чтобы законный представитель назначил квалифицированного сотрудника, зарегистрировал его в Центре и объявил о назначении, а статья 39 наказывает невыполнение штрафом от 200 000 до 2 000 000 EGP.
В какой срок нужно сообщить об утечке?
В течение семидесяти двух часов с момента осведомлённости по статье 7 и немедленно, если затронута национальная безопасность. При этом субъект данных уведомляется не позднее трёх рабочих дней с момента уведомления Центра.
Можно ли хранить данные египетских клиентов за границей?
Только при наличии лицензии или разрешения Центра и согласия субъекта данных, в страну, которую Центр считает обеспечивающей достаточную защиту, по статье 14 закона и статье 16 исполнительного регламента. Неразрешённая передача является преступлением по статье 42.
Сколько времени у меня есть на ответ на запрос о доступе?
Шесть рабочих дней с момента подачи по статьям 10 и 32 с мотивировкой любого отказа. Жалоба в Центр рассматривается в течение тридцати рабочих дней по статье 33.
Каковы максимальные наказания?
Они зависят от нарушения. Штрафы доходят до 5 000 000 EGP, а лишение свободы применяется за преступления с чувствительными данными и передачами по статьям 41 и 42, при рецидиве наказания удваиваются по статье 48, а Закон № 175 от 2018 года добавляет отдельные уголовные наказания за нарушения неприкосновенности частной жизни.
Консультируете ли вы по вопросам соблюдения требований о защите данных в Египте?
Да. Мы определяем вашу роль, готовим пакеты документов на лицензии и разрешения, составляем документы о согласии и конфиденциальности, выстраиваем процедуры реагирования на утечки и представляем клиентов перед Центром. Свяжитесь с нами через страницу контактов, чтобы обсудить вашу ситуацию.