اللائحة التنفيذية لقانون حماية البيانات الشخصية في مصر: أين تقف الأمور؟

إن كنت تحاول الامتثال لقانون حماية البيانات الشخصية المصري (القانون رقم 151 لسنة 2020) وتصطدم بالعقبة ذاتها في كل مرة — اللائحة التنفيذية — فأنت لست وحدك. لقد تأخر إصدارها لسنوات. فيما يلي عرض لواقع الحال وما يمكنك فعله في غضون ذلك.

الإجابة المختصرة

حتى أكتوبر 2026، لم تُصدَر اللائحة التنفيذية لقانون حماية البيانات الشخصية (القانون 151/2020) بصورة رسمية حتى الآن. القانون نفسه ساري المفعول منذ أكتوبر 2020، غير أن المادة 60 منه تُلزم رئيس مجلس الوزراء بإصدار اللائحة التنفيذية خلال ستة أشهر من تاريخ نشر القانون — وهو أجل مضى في عام 2021 وظل يتأجل. كما أن مركز حماية البيانات الشخصية، الجهة التنظيمية التي أنشأها القانون، لم يُستكمل تشغيله بعد. ومن الناحية العملية، فإن التزامات الامتثال موجودة على الورق، لكن آليات التطبيق لا تزال منقوصة.[1][2]

لماذا تُعدّ اللائحة التنفيذية لقانون حماية البيانات بالغة الأهمية؟

القانون الأصلي يضع الهيكل العام. إذ يُعرّف البيانات الشخصية، والبيانات الحساسة، والمتحكمين، والمعالجين، وحقوق أصحاب البيانات، وقواعد نقل البيانات عبر الحدود، والعقوبات التي قد تبلغ خمسة ملايين جنيه مصري في حالات الانتهاكات الجسيمة.[1]

بيد أن هذا الهيكل وحده غير كافٍ لإدارة برنامج امتثال متكامل.

من المفترض أن تُوضّح اللائحة التنفيذية التفاصيل التشغيلية: رسوم التراخيص للمتحكمين والمعالجين، وشكل ومساطر الحصول على موافقة نقل البيانات عبر الحدود، ومعايير الأمن التقني والتنظيمي، وآليات تعيين مسؤول حماية البيانات (DPO)، وكيفية تلقّي مركز حماية البيانات الشخصية (PDPC) للشكاوى ومعالجتها. وقد أوجبت المادة 60 من القانون 151/2020 على رئيس مجلس الوزراء إصدار هذه اللائحة خلال ستة أشهر من نشر القانون في الجريدة الرسمية.[1]

كان ذلك الأجل في أبريل 2021، ونحن الآن بعيدون عنه كثيراً.

تداولت مسوّدات في أوساط أصحاب المصلحة — الوزارات، والجهات التنظيمية للاتصالات، والهيئات الصناعية — لكن لم يُنشر أي نص نهائي في الجريدة الرسمية. وقد أقرّت وزارة الاتصالات وتكنولوجيا المعلومات (MCIT) علناً بهذا التأخير في مناسبات عدة.[2]

وبصراحة، هنا تقف معظم فرق الامتثال عاجزة. فلا يمكنك التقدم بطلب تراخيص لا يوجد لها جدول رسوم منشور، ولا يمكنك تقديم طلبات نقل البيانات عبر مركز لم يكتمل تشغيله بعد.

ما الذي يمكن تطبيقه فعلاً الآن؟

القانون نفسه سارٍ. وهذا ما يغفل عنه كثيرون.

تسري الالتزامات الجوهرية بموجب القانون 151/2020 بصرف النظر عن صدور اللائحة التنفيذية:

• اشتراطات الموافقة (المادة 2) — يلزمك الحصول على موافقة صريحة ومستنيرة ومحددة قبل معالجة البيانات الشخصية، مع استثناءات محدودة تتعلق بالالتزامات القانونية والمصالح المشروعة.[1]
• حقوق أصحاب البيانات (المواد 3-6) — الاطلاع، والتصحيح، والمحو، وسحب الموافقة، والاعتراض على المعالجة.
• الإخطار بالاختراقات (المادة 7) — يتعيّن على المتحكمين إخطار مركز PDPC خلال 72 ساعة من العلم بالاختراق، وإخطار أصحاب البيانات المتضررين خلال ثلاثة أيام.
• قيود نقل البيانات عبر الحدود (المواد 14-17) — يستلزم النقل إلى الخارج مستوى حماية مكافئاً للمستوى المصري، ويستوجب من حيث المبدأ الحصول على ترخيص من مركز PDPC.
• تعيين مسؤول حماية البيانات (المادة 8) — إلزامي للمتحكمين والمعالجين الذين يتناولون البيانات الحساسة، أو يقومون بمعالجة واسعة النطاق، أو يضطلعون بمراقبة منهجية منتظمة.

العقوبات الواردة في المواد من 35 إلى 45 حقيقية وقائمة. تتراوح الغرامات بين 100,000 جنيه مصري و5 ملايين جنيه مصري بحسب المخالفة، فضلاً عن عقوبات جنائية تشمل السجن في انتهاكات البيانات الحساسة والنقل غير المشروع عبر الحدود.[1]

الفجوة العملية: في غياب نظام ترخيص فاعل، لا تستطيع الشركات الحصول رسمياً على التصاريح التي يشترطها القانون. وقد ظل التطبيق محدوداً حتى الآن، لكن نافذة التعرض للمسؤولية تتسع يوماً بعد يوم.

تنبيه: ينبدأ سريان أجل الإخطار بالاختراق خلال 72 ساعة الآن، لا عند صدور اللائحة. فإذا تعرضت أنظمتك لاختراق اليوم، فأنت مُلزَم بإخطار مركز PDPC — حتى لو لم تكتمل بوابة الإخطار وإجراءاته بعد. وثّق محاولتك للإخطار توثيقاً كاملاً.

ما الذي يُتوقع أن تُغطيه اللائحة التنفيذية؟

تسرّبت نسخ متعددة من المسوّدات أو جرى تداولها في إطار التشاور. النطاق المتوقع — وهذا هو الشكل الذي يُرجَّح أن يتخذه النص النهائي — يشمل:

التراخيص والرسوم. فئات ترخيص منفصلة للمتحكمين، والمعالجين، ومشغّلي نقل البيانات عبر الحدود، والتسويق الإلكتروني. لكل فئة نموذج طلب خاص، ومتطلبات وثائق، وجدول رسوم. وقد أشارت مسوّدات مبكرة إلى رسوم تتراوح بين 20,000 و500,000 جنيه مصري لكل فئة ترخيص، وإن كانت الأرقام النهائية لم تُؤكَّد بعد.

التدابير التقنية والتنظيمية. معايير أمنية دنيا — تشفير، وضوابط وصول، وتسجيل للأحداث، وخطط الاستجابة للحوادث. ومن المتوقع أن تستند إلى أطر الأمن السيبراني القائمة لدى وزارة الاتصالات وتكنولوجيا المعلومات (MCIT) والجهاز القومي لتنظيم الاتصالات (NTRA).

آليات نقل البيانات عبر الحدود. معايير تقييم مدى كفاية الحماية، ونماذج البنود التعاقدية المعيارية، والاعتراف بقواعد الشركات الملزمة. وكذلك إجراء عمليات النقل الاستثنائية بموجب المادة 15.

اشتراطات مسؤول حماية البيانات. المؤهلات، وضمانات الاستقلالية، والتسجيل لدى مركز PDPC، وخطوط الإبلاغ.

بيانات الأطفال. إجراءات التحقق من موافقة الوالدين على معالجة بيانات القاصرين دون الثامنة عشرة.

القواعد التشغيلية لمركز PDPC. إجراءات التعامل مع الشكاوى، وصلاحيات التفتيش، ومساطر الطعن الإداري.

إن كنت تبني برنامج امتثال الآن، فهذه هي المجالات التي ينبغي أن تُدخل فيها مرونة في تصميمك. ابنِ وفق أحكام القانون، واجعل الإجراءات وحداتٍ قابلة للتعديل، وتوقّع أن تُضيّق اللائحة ما هو قائم لا أن تُخففه.

ماذا تفعل ريثما تنتظر؟

ثمة ثلاثة إجراءات جديرة باتخاذها الآن، بصرف النظر عن الفجوة التنظيمية:

رسم خريطة بياناتك. لا يمكنك الامتثال لقواعد لم تترجمها بعد إلى واقع أنظمتك. ضع جرداً بالبيانات الشخصية التي تجمعها، وأين تُخزَّن، ومن يعالجها، وأيّ عمليات النقل تتجاوز الحدود المصرية. هذا العمل لن يتغير عند صدور اللائحة.

صياغة نصوص الموافقة والإخطار. حدّدت المادة 12 من القانون 151/2020 ما يجب أن تتضمنه إشعارات الخصوصية. ابنِها الآن. إن كنت تعمل على الإنترنت، فينبغي أن تعكس سياسة الخصوصية لديك لغة القانون 151، لا مجرد نسخة مستنسخة عن نظام GDPR الأوروبي.

إعداد وظيفة مسؤول حماية البيانات. إن كنت في قطاع سيحتاج قطعاً إلى مسؤول حماية بيانات — التكنولوجيا المالية، والرعاية الصحية، والاتصالات، والتجارة الإلكترونية الكبيرة — فحدّد الشخص المنوط به المهمة، ووثّق الدور، وأرسِ خط الإبلاغ إلى الإدارة. ستُرسي اللائحة التسجيل الرسمي، لكن ينبغي أن تكون الوظيفة قائمة بالفعل.

للاطلاع على سياق أشمل حول الالتزامات الخاصة بكل قطاع، راجع نظرتنا العامة حول إجابات حماية البيانات الخاصة بمصر.

ستصدر اللائحة في نهاية المطاف. والشركات التي انتظرت قبل أن تبدأ هي التي ستجد نفسها في سباق محموم.

أين تتابع المستجدات؟

ستُنشر اللائحة التنفيذية، حين تصدر، في الجريدة الرسمية (الوقائع المصرية). يُعدّ موقع وزارة الاتصالات وتكنولوجيا المعلومات (MCIT) وصفحة مركز حماية البيانات الشخصية من أكثر نقاط المتابعة موثوقية. وقد تواترت أنباء دورياً منذ عام 2022 عن مسوّدة مرسوم رئاسي — تعامل معها باعتبارها مؤشرات لا نصوصاً نهائية.[2][3]

إلى حين النشر في الجريدة الرسمية، لا شيء مُلزِم سوى القانون 151/2020 ذاته.

---

المراجع

[1] القانون رقم 151 لسنة 2020 بشأن حماية البيانات الشخصية، الجريدة الرسمية، العدد 34 مكرر (أ)، 15 يوليو 2020.

[2] وزارة الاتصالات وتكنولوجيا المعلومات (مصر)، تصريحات رسمية بشأن تطبيق قانون حماية البيانات الشخصية، mcit.gov.eg.

[3] مجلس الوزراء المصري / مكتب رئيس الوزراء — اللائحة التنفيذية المرتقبة للقانون 151/2020 (لم تُنشر في الجريدة الرسمية حتى أكتوبر 2026).

هل تحتاج إلى التحقق من هذه المعلومات بما يتناسب مع وضعك؟ تواصل مع محامٍ مرخّص في مصر ←