Règlement d'exécution de la loi égyptienne sur la protection des données : où en sommes-nous

Si vous essayez de vous conformer à la loi égyptienne sur la protection des données personnelles (Loi n° 151 de 2020) et que vous buttez constamment sur le même obstacle — les règlements d'exécution — ce n'est pas une illusion. Ils sont retardés depuis des années. Voici où les choses en sont réellement et ce qu'il faut faire en attendant.

Réponse rapide

En octobre 2026, les règlements d'exécution de la loi égyptienne sur la protection des données personnelles (Loi 151/2020) n'ont toujours pas été formellement émis. La loi elle-même est en vigueur depuis octobre 2020, mais l'article 60 exige des règlements d'application du Premier ministre dans les six mois suivant la publication de la loi — un délai qui a expiré en 2021 et ne cesse de glisser. Le Centre de protection des données personnelles, l'organisme de régulation que la loi crée, n'est pas non plus pleinement opérationnel. En pratique, les obligations de conformité existent sur papier mais les mécanismes d'application restent incomplets.[1][2]

Pourquoi les règlements d'exécution de la loi égyptienne sur la protection des données importent

La loi principale pose le squelette. Elle définit les données personnelles, les données sensibles, les responsables de traitement, les sous-traitants, les droits des personnes concernées, les règles de transfert transfrontalier et les pénalités pouvant atteindre 5 millions de livres égyptiennes pour les violations graves.[1]

Mais le squelette ne suffit pas pour mettre en place un programme de conformité.

Les règlements d'exécution sont censés détailler les aspects opérationnels : les frais de licence pour les responsables de traitement et les sous-traitants, le format et la procédure d'approbation des transferts transfrontaliers, les normes techniques et organisationnelles de sécurité, la mécanique exacte de la nomination d'un Délégué à la protection des données (DPD), et comment le Centre de protection des données personnelles (CPDP) traite réellement les réclamations. L'article 60 de la Loi 151/2020 a chargé le Premier ministre de les émettre dans les six mois suivant la publication au Journal officiel.[1]

Ce délai était avril 2021. Nous en sommes bien loin.

Des versions de projet ont circulé parmi les parties prenantes — ministères, régulateurs des télécommunications, organismes sectoriels — mais aucun texte final n'a été publié au Journal officiel. Le ministère des Communications et des Technologies de l'information (MCIT) a publiquement reconnu le retard à plusieurs reprises.[2]

Honnêtement, c'est là que la plupart des équipes de conformité se retrouvent bloquées. Vous ne pouvez pas demander de licences qui n'ont pas de barème de frais publié. Vous ne pouvez pas déposer de demandes de transfert auprès d'un centre qui n'est pas pleinement doté en personnel.

Ce qui est réellement applicable en ce moment

La loi elle-même est en vigueur. C'est la partie que les gens oublient.

Les obligations essentielles de la Loi 151/2020 s'appliquent indépendamment du fait que les règlements soient publiés :

• Exigences de consentement (art. 2) — vous avez besoin d'un consentement clair, éclairé et spécifique avant de traiter les données personnelles, avec des exceptions limitées pour les obligations légales et les intérêts légitimes.[1]
• Droits des personnes concernées (art. 3-6) — accès, rectification, suppression, retrait du consentement, objection au traitement.
• Notification des violations (art. 7) — les responsables de traitement doivent notifier le CPDP dans les 72 heures suivant la découverte d'une violation, et notifier les personnes concernées dans les trois jours.
• Restrictions de transfert transfrontalier (art. 14-17) — les transferts à l'étranger exigent un niveau de protection équivalent à celui de l'Égypte et, en principe, une licence du CPDP.
• Nomination du DPD (art. 8) — obligatoire pour les responsables de traitement et les sous-traitants traitant des données sensibles, des traitements à grande échelle ou une surveillance systématique régulière.

Les pénalités des articles 35-45 sont réelles. Les amendes varient de 100 000 à 5 millions de livres égyptiennes selon la violation, avec des pénalités criminelles incluant l'emprisonnement pour les violations de données sensibles et les transferts transfrontaliers non autorisés.[1]

L'écart pratique : sans un régime de licence fonctionnel, les entreprises ne peuvent pas obtenir formellement les autorisations que la loi exige. L'application a été limitée jusqu'à présent, mais la fenêtre d'exposition ne cesse d'augmenter.

Attention : Le délai de 72 heures pour la notification de violation court maintenant, pas quand les règlements sont émis. Si vos systèmes sont violés aujourd'hui, vous êtes censé notifier le CPDP — même si le portail de notification et les procédures ne sont pas complètement développés. Documentez votre tentative de notification.

Ce que les règlements d'exécution de projet sont censés couvrir

Plusieurs itérations de projet ont fuité ou ont été partagées en consultation. Le champ d'application attendu — et c'est la forme que le texte final est susceptible de prendre — comprend :

Licences et frais. Catégories de licence distinctes pour les responsables de traitement, les sous-traitants, les opérateurs de transfert transfrontalier et le marketing électronique. Chacun avec son propre formulaire de demande, ses exigences documentaires et son barème de frais. Les premières versions de projet suggéraient des frais allant de 20 000 à 500 000 livres égyptiennes par catégorie de licence, bien que les chiffres finaux ne soient pas confirmés.

Mesures techniques et organisationnelles. Normes de sécurité minimales — chiffrement, contrôles d'accès, journalisation, plans de réponse aux incidents. Censé s'appuyer sur les cadres de cybersécurité existants du MCIT et de l'Autorité de réglementation des télécommunications nationales (NTRA).

Mécanique des transferts transfrontaliers. Critères d'évaluation de l'adéquation, modèles de clauses contractuelles standard, reconnaissance des règles d'entreprise contraignantes. Aussi la procédure pour les transferts exceptionnels en vertu de l'art. 15.

Exigences du DPD. Qualifications, garanties d'indépendance, enregistrement auprès du CPDP, lignes de rapportage.

Données des enfants. Procédures de vérification du consentement parental pour le traitement des données des mineurs de moins de 18 ans.

Règles opérationnelles du CPDP. Procédure de traitement des réclamations, pouvoirs d'inspection, procédure d'appel administrative.

Si vous mettez en place un programme de conformité maintenant, ce sont les domaines dans lesquels il convient de concevoir de la flexibilité. Construisez en fonction de la loi, gardez les procédures modulaires et attendez-vous à ce que les règlements resserrent plutôt que n'assouplissent ce qui est déjà là.

Ce qu'il faut faire en attendant

Trois choses qui valent la peine d'être faites maintenant, indépendamment de l'écart réglementaire :

Cartographiez vos données. Vous ne pouvez pas vous conformer à des règles que vous n'avez pas traduites dans vos propres systèmes. Inventoriez les données personnelles que vous collectez, où elles se trouvent, qui les traite, quels transferts traversent les frontières égyptiennes. Ce travail ne change pas quand les règlements tombent.

Rédigez le langage de consentement et de notification. L'article 12 de la Loi 151/2020 énumère ce que les avis de confidentialité doivent contenir. Construisez-les maintenant. Si vous opérez en ligne, votre politique de confidentialité doit déjà refléter le langage de la Loi 151, pas une copie générique du RGPD.

Préparez la fonction DPD. Si vous êtes dans un secteur qui aura clairement besoin d'un DPD — fintech, santé, télécommunications, grand commerce électronique — identifiez la personne, documentez le rôle et construisez la ligne de rapportage à la direction. Les règlements formaliseront l'enregistrement, mais la fonction devrait déjà exister.

Pour un contexte plus large sur les obligations spécifiques au secteur, consultez notre aperçu des réponses sur la protection des données pour l'Égypte.

Les règlements arriveront éventuellement. Les entreprises qui ont attendu pour commencer sont celles qui vont devoir se précipiter.

Où vérifier les mises à jour

Les règlements d'exécution, une fois émis, apparaîtront au Journal officiel (Al-Waqa'i al-Masriya). Le site Web du MCIT et la page du Centre de protection des données personnelles sont les points de suivi les plus fiables. Des nouvelles d'un décret ministériel en version de projet ont surgi périodiquement depuis 2022 — traites-les comme des signaux, pas comme un texte final.[2][3]

Jusqu'à la publication au Journal officiel, rien n'est contraignant au-delà de la Loi 151/2020 elle-même.

---