إذا كنت تعالج بيانات شخصية لأي شخص في مصر — سواء أكانوا عملاء أم موظفين أم زوار مواقع إلكترونية — فأنت خاضع لأحكام القانون رقم 151 لسنة 2020. دخل القانون حيز التنفيذ في أكتوبر 2020، غير أن آليات التطبيق الفعلي استغرقت وقتاً حتى تنضج. فيما يلي ما يستلزمه إطار قانون حماية البيانات الشخصية في مصر منك في الوقت الراهن.
الإجابة المختصرة
القانون المعمول به في مصر في مجال حماية البيانات الشخصية هو القانون رقم 151 لسنة 2020، الذي يحمي البيانات الشخصية المعالجة إلكترونياً للمقيمين في مصر. تحتاج إلى أساس قانوني مشروع — كالموافقة الصريحة أو غيرها من الأسس المقررة — وإلى تعيين مسؤول حماية بيانات في حالات بعينها، والحصول على ترخيص من مركز حماية البيانات الشخصية (PDPC) لمعظم أنشطة المعالجة، مع التقيد بقواعد صارمة تحكم نقل البيانات عبر الحدود. تتراوح الغرامات المقررة عند وقوع انتهاكات بين 100,000 جنيه مصري و5 ملايين جنيه مصري، فضلاً عن عقوبة السجن المحتملة في حالات انتهاك البيانات الحساسة. وقد ظلت اللائحة التنفيذية في مرحلة الإعداد لسنوات، مما يُفضي إلى غموض حقيقي على صعيد الامتثال.
نطاق تطبيق القانون
يسري القانون 151/2020 على كل شخص طبيعي أو اعتباري — مصري أو أجنبي — يعالج البيانات الشخصية للمصريين أو يعالج بيانات داخل مصر. إذا كانت شركتك تقدم خدمات برمجية (SaaS) من الخارج ولديها مستخدمون مصريون، فأنت في نطاق القانون. وإذا كنت تُشغّل نظام موارد بشرية لشركة تابعة مصرية، فأنت أيضاً في نطاقه.
يُعرّف القانون "البيانات الشخصية" تعريفاً واسعاً: كل ما يُمكّن من التعرف على شخص طبيعي بصورة مباشرة أو غير مباشرة. وتخضع "البيانات الحساسة" لمعاملة أشد صرامة — إذ تشمل: البيانات الصحية، والبيانات البيومترية، والمعتقد الديني، والآراء السياسية، والسجلات الجنائية، وبيانات الأطفال، والبيانات المالية.[1]
ثمة استثناءات محدودة: الاستخدام الشخصي والعائلي، ومعالجة البيانات الإحصائية الرسمية من قِبل الجهات الحكومية، والعمل الصحفي والإعلامي في حدوده القانونية، والبيانات التي يحتفظ بها البنك المركزي أو تلك المتعلقة بالأمن القومي — تقع هذه عموماً خارج نطاق تطبيق القانون.[2]
بصراحة، كثير من الشركات تفترض أن أحد هذه الاستثناءات ينطبق عليها. معظمها مخطئ.
الالتزامات الجوهرية التي لا يمكن تجاوزها
الأساس القانوني للمعالجة. الموافقة هي العنوان الأبرز، لكنها ليست المسار الوحيد. يجوز كذلك معالجة البيانات لتنفيذ عقد، أو للوفاء بالتزام قانوني، أو لتحقيق مصلحة مشروعة — غير أن القانون يميل بشكل واضح نحو اشتراط الموافقة الصريحة والموثقة، لا سيما فيما يخص البيانات الحساسة.
الترخيص. هنا يتباين القانون المصري تبايناً جوهرياً عن اللائحة الأوروبية لحماية البيانات (GDPR). تُلزم المادتان 7 و8 المشغّلين بالحصول على ترخيص أو تصريح من مركز حماية البيانات الشخصية (PDPC) قبل معالجة البيانات الشخصية أو حيازتها أو تخزينها إلكترونياً. أُسّس المركز تحت إشراف وزارة الاتصالات وتكنولوجيا المعلومات (MCIT)، إلا أن بوابة الترخيص وجدول الرسوم يظلان رهينَين بصدور اللائحة التنفيذية — التي لم تُصدر حتى أواخر عام 2026.[3]
تعيين مسؤول حماية البيانات. تُلزم المادة 8 فئات بعينها — الجهات العامة، والجهات التي تعالج بيانات حساسة، والجهات التي تُجري مراقبة منتظمة على نطاق واسع — بتعيين مسؤول حماية بيانات، ويتعين تسجيله لدى المركز (PDPC).
الإخطار بالاختراقات. يجب عليك إخطار مركز PDPC خلال 72 ساعة من وقوع الاختراق، وإبلاغ أصحاب البيانات المتضررين خلال 3 أيام من تاريخ إخطار المركز لك. التقصير في ذلك يُضاعف العقوبات.
تنبيه: كان من المقرر صدور اللائحة التنفيذية للقانون 151/2020 خلال 6 أشهر من إصداره. لقد مضى الآن أكثر من 6 سنوات. وحتى تصدر، تظل رسوم الترخيص، وإجراءات تسجيل مسؤول حماية البيانات، وقائمة الدول المُعتمدة لنقل البيانات عبر الحدود، خاضعة للتوجيهات المؤقتة الصادرة عن المركز لا للوائح ملزمة. وثّق جهودك في الامتثال بحسن نية.
نقل البيانات عبر الحدود
لا يجوز نقل البيانات الشخصية خارج مصر دون الحصول على ترخيص من مركز PDPC، وحصراً إلى الدول التي توفر "مستوى كافياً من الحماية" (المواد 14–17). يُجيز القانون أيضاً النقل بناءً على الموافقة الصريحة لصاحب البيانات، أو حين يكون ضرورياً لتنفيذ عقد، أو لحماية مطالبات قانونية، أو لصون المصالح الحيوية.[4]
عملياً، إذا كنت تستخدم خدمات مثل AWS أو Google Workspace أو Microsoft 365 أو أي منصة سحابية غير مصرية لتخزين بيانات شخصية لمصريين، فيتعين عليك توثيق الأساس القانوني للنقل. تُستخدم البنود التعاقدية النموذجية المستوحاة من البنود الأوروبية المعيارية (SCCs) على نطاق واسع، لكنها لا تُشكّل ملاذاً آمناً بموجب القانون المصري — بل هي موقف قابل للدفاع، لا ضماناً بالنجاة من العقوبة.
احتفظ بسجل لعمليات النقل. حين يتصاعد تطبيق المركز لصلاحياته، سيكون هذا السجل أول ما يُطلب منك.
العقوبات والتطبيق
الغرامات ليست هينة بالنسبة لسوق بحجم مصر.
- المعالجة أو الإفصاح غير المشروع: من 100,000 إلى 1,000,000 جنيه مصري (المادة 35)
- مخالفات نقل البيانات عبر الحدود: من 500,000 إلى 5,000,000 جنيه مصري (المادة 36)
- مخالفات البيانات الحساسة: من 500,000 إلى 5,000,000 جنيه مصري مع السجن من 3 أشهر إلى 3 سنوات (المادة 37)
- الإخفاق في الإخطار بالاختراق: من 100,000 إلى 1,000,000 جنيه مصري
تتضاعف الغرامات عند تكرار المخالفة. وبالنسبة للأشخاص الاعتباريين، يتحمل المدير المسؤول العقوبات ذاتها إذا ثبت الإهمال أو التواطؤ.[5]
ظل التطبيق الفعلي حتى الآن محدوداً — إذ لا يزال مركز PDPC في طور استكمال طاقمه البشري، وثغرات اللائحة التنفيذية تتيح للمخالفين حججاً واضحة. لا تأخذ راحتك من ذلك. المسار واضح نحو التصعيد، وقد لجأ الجهاز القومي لتنظيم الاتصالات (NTRA) بالفعل إلى صلاحيات مجاورة في مواجهة شركات الاتصالات ومزودي الإنترنت بشأن ممارسات التعامل مع البيانات.
ما يجب عليك فعله هذا الربع
رسّم خريطة بياناتك. لا يمكنك الامتثال لقانون حماية البيانات الشخصية في مصر إذا كنت لا تعلم ما تحوزه من بيانات، وأين تقع، ومن تشاركها معه، ولماذا. سجل معالجة من صفحة واحدة يفوق في فائدته سياسة من 40 صفحة لا يقرأها أحد.
ثم: راجع آليات الحصول على الموافقة (المربعات المحددة مسبقاً لا تُعد موافقة مقبولة)، وأعدّ خطة استجابة للاختراقات مع دمج مهلة 72 ساعة فيها، وعيّن مسؤول حماية البيانات إن كنت ضمن الفئات الملزمة. وإن كنت شركة أجنبية تخدم مستخدمين مصريين، فعيّن ممثلاً محلياً — سيتوقع المركز ذلك حين تصدر اللائحة.
للاطلاع على أسئلة الامتثال ذات الصلة، راجع مركز إجابات حماية البيانات لدينا.
قد تتأخر اللائحة التنفيذية. أما العقوبات فلن تتأخر.
المراجع والمصادر
[1] القانون رقم 151 لسنة 2020 بشأن حماية البيانات الشخصية، المادتان 1 و2 (تعريفات البيانات الشخصية والبيانات الشخصية الحساسة). [2] القانون رقم 151 لسنة 2020، المادة 3 (الاستثناءات من نطاق التطبيق). [3] وزارة الاتصالات وتكنولوجيا المعلومات، نبذة عن مركز حماية البيانات الشخصية — mcit.gov.eg. [4] القانون رقم 151 لسنة 2020، المواد 14–17 (نظام نقل البيانات عبر الحدود). [5] القانون رقم 151 لسنة 2020، المواد 35–45 (العقوبات).
هل تحتاج إلى مراجعة هذه المعلومات وفق ظروفك الخاصة؟ تواصل مع محامٍ مرخص في مصر ←
هذه معلومات قانونية عامة وليست استشارة قانونية. للحصول على نصيحة لحالتك، استشر محامياً مسجلاً في جهة الترخيص في مصر.