埃及的合规方案建立在少数带有实际处罚的法律之上：2020年第151号个人数据保护法及其由2025年第816号部长决定发布的实施条例；2002年第80号反洗钱法；经2022年第175号法律修订的2005年第3号竞争法；以及刑法典中的贿赂条款。我们开罗办公室按实际适用的方式解读这些文本，并以真实交易而不是政策文件来测试每一项控制措施。
法律框架：四项制度与一个举证标准
四项制度涵盖了埃及企业合规的大部分问题。2020年第151号法律规范个人数据，由个人数据保护中心执行。2002年第80号法律规范洗钱，并在埃及中央银行设立反洗钱和反恐融资单位。2005年第3号法律规范卡特尔、纵向限制和经营者集中。1937年第58号法律颁布的刑法典在第103至111条惩处贿赂。行业监管机构另有各自的规则。
我们适用的标准在各项制度中是一致的：只有能够证明的控制措施才算存在。针对每项制度，我们都会问：义务由谁承担，什么记录能证明义务已履行，监管机构或检察机关会先检查什么。根据2020年第151号法律第4条，控制者必须提供证明其合规的手段并允许检查；其他制度则通过记录保存和调查权力得到同样的结果。
个人数据法：适用范围、定义与例外
2020年第151号法律第1条将个人数据定义为与已识别或可直接、间接识别的自然人有关的任何数据，并涵盖以电子或技术手段进行的处理。敏感数据包括健康、基因、生物识别和财务数据、宗教信仰、政治观点和犯罪记录；儿童数据始终属于敏感数据。颁布条文第2条将该法扩展适用于非埃及人在埃及境外的某些行为，前提是数据主体是埃及人或居住在埃及的外国人。
颁布条文第3条列明了例外：个人为私人用途持有的数据、官方统计、仅为媒体目的处理的数据、司法记录和案件、国家安全机构持有的数据，以及埃及中央银行及其监管机构持有的数据，但汇款和货币兑换公司除外。在搭建数据合规方案之前，我们会先判断每条业务线是否落入这些例外，因为同一集团内的银行和零售商可能处于不同一侧。
控制者的义务、同意与数据主体请求
所附法律第4条列明控制者的义务。控制者必须在取得数据主体同意后或在法律允许的情形下收集数据，确保数据准确并与目的相符，以技术和组织措施加以保护，在目的达成后删除数据或以无法识别个人的形式保存，立即更正错误，并保存包含类别、接收方、保存期限和安全措施的记录。控制者还必须从中心取得许可证或许可，位于境外的还须在埃及指定代表。
根据第32条，数据主体可以要求任何持有者、控制者或处理者行使其权利，收到请求者必须在六个工作日内答复。根据第33条，投诉提交至中心，中心在三十个工作日内作出决定，被投诉方必须在七个工作日内执行。我们用一个真实请求来测试这一链条：谁接收，谁决定，谁检索系统，谁证明答复日期。
数据泄露通知：72小时与三个工作日
2020年第151号法律第7条要求控制者或处理者在七十二小时内向中心通报任何个人数据泄露，涉及国家安全的须立即通报。通报须说明泄露情况和已采取的措施，实施条例重申了同样的两个期限。数据主体须在向中心通报后三个工作日内获知。
这些期限不留时间让人在事后才决定由谁负责。我们的一贯建议是制定书面的事件处理路径，写明由谁对事件定级，由谁签署向中心的通报，由谁联系受影响的个人，以及由谁保管泄露登记册。我们通过桌面推演来测试，并确认期限从公司知悉泄露之时起算。
数据保护官、许可证与实施条例
第8条要求法人的法定代表人指定一名称职的员工担任数据保护官，在中心的登记册中登记并予以公告。第9条规定该官员负责法律的适用。根据第26条和第27条，中心颁发许可证和许可，在材料齐全后九十日内作出决定，沉默视为拒绝。实施条例由通信与信息技术部长以2025年第816号部长决定发布；二手来源将其日期记为2025年11月1日，自2025年11月2日起生效，未找到《官方公报》文本。
颁布条文第6条给予适用对象自实施条例发布之日起一年的时间调整其状况。严格解读，该期限约于2026年11月1日届满。评论者指出，中心可能认为期限更长；因此我们按较早日期规划，并关注官方指引。费用档次、登记册和数据保护官登记规则载于条例，并对照现行文本核对。
跨境传输与电子直接营销
2020年第151号法律第14条仅在外国的保护水平符合该法要求且传输获中心许可时，才允许向境外传输个人数据。第16条允许在取得许可的情况下向境外的控制者或处理者披露，条件是业务或目的相符、存在正当利益，且境外保护不低于埃及。在建议任何架构之前，我们会梳理每一项接收埃及数据的云服务、关联公司和供应商。
第17条禁止电子直接营销，除非数据主体已同意、发送者身份明确、提供有效地址、信息标明为营销信息，并有明确的退订方式。第18条要求目的明确，并要求自最后一次联系起保存三年的电子同意记录。第26条为电子直接营销增设许可证。无法出示的同意记录，在实践中等于没有同意。
数据保护处罚与执行
第36条对未经授权收集、处理或披露以电子方式处理的个人数据处以10万至100万埃及镑罚款；若为牟利或损害数据主体而实施，则处至少六个月监禁并处20万至200万埃及镑罚款，或二者择一。第41条对未经同意处理敏感数据处至少三个月监禁并处50万至500万埃及镑罚款，或二者择一。第38条对违反控制者和处理者义务处以30万至300万埃及镑罚款。
第47条规定法人的实际管理人承担责任。第48条规定累犯加倍处罚并公布判决，第49条允许对轻罪达成和解。第30条允许中心警告、暂停或撤销许可证并公布违法行为。根据颁布条文第5条，经济法院具有管辖权。
反洗钱：金融机构与非金融行业的义务
2002年第80号法律第3条在埃及中央银行设立反洗钱和反恐融资单位，第7条赋予其检查金融机构以及非金融企业和职业遵守情况的职责。第8条要求它们立即向该单位报告任何涉嫌来自犯罪所得、洗钱或恐怖融资的交易或任何企图，无论金额大小，并实施客户尽职调查制度。
第9条要求对国内和国际交易保存足以识别交易的记录，并对客户和受益所有人保存记录，自业务关系结束或账户关闭起至少五年，该单位或调查人员要求的则更长。第9条之一要求金融机构、非金融企业及任何持有相关资产的人执行该单位关于定向金融制裁（包括冻结）的机制。我们会检验监测系统是否真正产生报告。
反洗钱处罚与配合
第14条对洗钱及其未遂处以最高七年监禁，并处相当于涉案资金两倍的罚款，扣押的资金予以没收。第15条对违反第8条、第9条和第11条处以监禁并处10万至50万埃及镑罚款，或二者择一。第15条之二对违反第9条之一处以最高一年监禁或10万至30万埃及镑罚款。
数人参与犯罪的，第17条允许法院对在主管当局知悉之前报告犯罪，或其报告促成其他参与人被捕或资金被扣押的报告人，免除第14条的监禁和罚款，但没收仍适用。因此报告是具有法律分量的决定，我们确保提交报告的人与决定报告的人明确分开并有记录。
刑法典中的反贿赂规定
1937年第58号法律颁布的刑法典第103至111条惩处贿赂公职人员。第103条以向公职人员支付款项、赠送礼物或作出承诺，使其履行或不履行职务行为来界定该罪，第107条之二免除向当局报告或坦白的行贿人或中间人的刑罚。第111条界定被视为公职人员的人员，2018年增加的第106条之二（乙）涵盖贿赂外国公职人员。
第105条之二将该罪扩展至股份公司和某些公益机构的董事会成员、经理和雇员，第106条涵盖在雇主不知情的情况下收受利益的雇员。员工或中间人涉案的公司，除个人风险外，还面临合同、许可证和声誉方面的后果。我们在此不列明罚金数额，因为需逐案对照现行文本核实。
竞争合规：卡特尔、纵向限制与经营者集中审查
2005年第3号法律第6条禁止竞争者之间固定价格、划分市场、协调投标或限制产量的协议，第7条和第8条处理纵向协议和滥用市场支配地位。第22条对违反第6条的行为处以违法期间产品收入的2%至12%的罚款，无法确定收入的，处50万至5亿埃及镑罚款。第26条规定，第一个携证据向主管机构举报卡特尔的参与者不受刑事追诉。
自2022年第175号法律起，达到第19条之二门槛的经营者集中必须通知主管机构，根据第19条之二（甲），未经批准不得实施。国内门槛为在埃及的合并营业额或资产超过9亿埃及镑，且至少两方各自超过2亿埃及镑；全球门槛为75亿埃及镑，且至少一方在埃及超过2亿埃及镑。第22条之二（丁）对未申报处以营业额、资产或交易价值的1%至10%的罚款。该制度自2024年6月1日起全面实施。
我们在埃及合规档案中审查什么
我们开罗办公室审查合规方案时，从带日期的样本入手，而不是从政策文件入手。我们选取一份合同审批、一笔付款和一项个人数据请求，对照2020年第151号法律、2002年第80号法律第8条和第9条、2005年第3号法律第6条和第19条之二（甲）以及刑法典第103至111条，从申请到归档逐一追踪。我们记录谁批准、谁付款、谁保存记录，以及哪项例外有独立的审批路径，并将举报受理、事实调查和决定保持为各自独立的角色。
另请参阅：我们的埃及数据保护指南和我们的埃及商事与公司法指南，以及我们的公司与商事业务。
常见问题
在埃及何时必须通报个人数据泄露？
2020年第151号法律第7条要求在七十二小时内通报个人数据保护中心，涉及国家安全的立即通报，并在向中心通报后三个工作日内告知受影响的个人。
我们需要数据保护官吗？
需要，如果你们是作为控制者或处理者的法人。2020年第151号法律第8条要求法定代表人指定一名称职的员工，在中心登记并公告该任命。
实施条例下的宽限期何时结束？
颁布条文第6条给予自2025年第816号决定发布之日起一年，二手来源将该决定日期记为2025年11月1日，自2025年11月2日起生效（未找到《官方公报》文本），因此严格解读约为2026年11月1日。我们建议按该日期规划。
可以向外国集团公司传输个人数据吗？
仅当满足2020年第151号法律第14条时可以：外国保护水平须达到埃及标准，且传输须获中心许可。第42条对违反者处以监禁并处50万至500万埃及镑罚款，或二者择一。
无论金额大小都必须报告可疑交易吗？
是的。2002年第80号法律第8条要求金融机构以及非金融企业和职业立即向该单位报告疑似犯罪所得、洗钱或企图，无论金额，第9条要求记录至少保存五年。
洗钱的刑罚是什么？
根据2002年第80号法律第14条，处最高七年监禁，并处涉案资金两倍的罚款，另行没收。数人参与犯罪的，第17条允许法院对在当局知悉犯罪之前报告的参与人免除监禁和第14条罚款，但没收仍适用。
合并必须向竞争主管机构申报吗？
必须，只要达到2005年第3号法律第19条之二的门槛，且根据第19条之二（甲）未经批准不得实施。未申报的，依第22条之二（丁）将被处以相当于营业额、资产或交易价值1%至10%的罚款。
贵所可以审查我们的合规方案并开展内部调查吗？
可以。我们开罗办公室对照上述法律测试控制措施，并将举报受理、事实调查和决定分开。请通过我们的联系页面与我们联系。