Loi égyptienne protection données : obligations?

Si vous traitez des données personnelles de toute personne en Égypte — clients, employés, visiteurs de site Web — vous êtes visé par la loi n° 151 de 2020. Elle est en vigueur depuis octobre 2020, mais l'application effective a pris du temps à se mettre en place. Voici ce que le cadre de la loi égyptienne sur la protection des données personnelles vous impose réellement dès maintenant.

Réponse rapide

La loi égyptienne sur la protection des données personnelles applicable est la loi n° 151 de 2020, qui protège les données personnelles traitées électroniquement des résidents égyptiens. Vous devez obtenir un consentement légal (ou une autre base légale), désigner un responsable de la protection des données dans certains cas, obtenir une licence du Centre de protection des données personnelles (CPDP) pour la plupart des activités de traitement, et respecter des règles strictes pour les transferts transfrontaliers. Les violations entraînent des amendes de 100 000 à 5 millions de livres égyptiennes, plus une possible emprisonnement pour les violations concernant des données sensibles. Les règlements d'exécution sont restés en attente de rédaction pendant des années, ce qui crée une véritable ambiguïté en matière de conformité.

Qui est visé par la loi

La loi 151/2020 s'applique à toute personne physique ou morale — égyptienne ou étrangère — qui traite les données personnelles d'Égyptiens, ou les données traitées en Égypte. Si vous êtes une entreprise SaaS à l'étranger ayant des utilisateurs égyptiens, vous êtes visé. Si vous gérez un système RH pour une filiale égyptienne, vous êtes visé.

La loi définit les « données personnelles » largement : tout élément qui identifie une personne physique directement ou indirectement. Les « données sensibles » reçoivent un traitement plus strict — la santé, la biométrie, les convictions religieuses, les opinions politiques, les antécédents criminels, les données des enfants et les données financières sont tous visés.[1]

Quelques exemptions existent. L'usage personnel/domestique, le traitement statistique officiel par les organismes d'État, le travail de presse et médias dans les limites légales, et les données détenues par la Banque centrale ou dans les contextes de sécurité nationale échappent généralement à la portée de la loi.[2]

Honnêtement, la plupart des entreprises supposent que l'une de ces exemptions les couvre. La plupart se trompent.

Les obligations fondamentales que vous ne pouvez pas ignorer

Base légale. Le consentement est en avant-plan, mais ce n'est pas le seul itinéraire. Vous pouvez également traiter les données pour exécuter un contrat, vous conformer à une obligation légale, ou poursuivre un intérêt légitime — bien que la loi s'appuie fortement sur un consentement explicite et documenté, en particulier pour tout ce qui est sensible.

Licence. C'est là que l'Égypte s'écarte nettement du RGPD. Les articles 7–8 exigent que les exploitants obtiennent une licence ou un permis du Centre de protection des données personnelles avant de traiter, détenir ou stocker électroniquement des données personnelles. Le CPDP a été établi sous le ministère des Communications et des Technologies de l'information (MCIT), mais son portail de licence et son barème des frais dépendent des règlements d'exécution — qui, à la fin 2026, restent non publiés.[3]

Nomination d'un DPD. L'article 8 exige que certaines entités (organismes publics, ceux traitant des données sensibles, et ceux effectuant une surveillance régulière à grande échelle) nomment un délégué à la protection des données. Le DPD doit s'inscrire auprès du CPDP.

Notification de violation. Vous disposez de 72 heures pour notifier le CPDP d'une violation, et vous devez informer les sujets de données concernés dans les 3 jours suivant la notification du Centre. Si vous manquez cela, les pénalités s'accumulent.

Attention : Les règlements d'exécution de la loi 151/2020 devaient être publiés dans les 6 mois suivant son émission. Nous sommes maintenant passé 6 ans. Jusqu'à leur publication, les frais de licence, le processus d'enregistrement des DPD, et la liste blanche des transferts transfrontaliers fonctionnent sur la base des orientations provisoires du CPDP — pas de règlement contraignant. Documentez vos efforts de conformité de bonne foi.

Transferts transfrontaliers

Vous ne pouvez pas transférer de données personnelles hors d'Égypte sans une licence du CPDP et uniquement vers des pays offrant un « niveau adéquat de protection » (articles 14–17). La loi autorise également les transferts avec le consentement explicite du sujet de données, ou lorsqu'ils sont nécessaires pour l'exécution du contrat, les réclamations légales, ou les intérêts vitaux.[4]

En pratique, si vous utilisez AWS, Google Workspace, Microsoft 365, ou tout cloud non égyptien pour les données personnelles d'Égyptiens, vous devez documenter votre base de transfert. Les clauses contractuelles types modélisées sur les CCS de l'UE sont couramment utilisées, mais elles ne sont pas un port sûr statutaire en vertu du droit égyptien — c'est une position défendable, pas un laissez-passer.

Conservez un registre des transferts. Quand l'application du CPDP s'intensifiera, c'est la première chose qu'on vous demandera.

Pénalités et application

Les amendes ne sont pas petites pour un marché de la taille de l'Égypte.

• Traitement ou divulgation illégale : 100 000 à 1 million de livres égyptiennes (art. 35)
• Violations de transfert transfrontalier : 500 000 à 5 millions de livres égyptiennes (art. 36)
• Violations de données sensibles : 500 000 à 5 millions de livres égyptiennes plus 3 mois à 3 ans d'emprisonnement (art. 37)
• Défaut de notification d'une violation : 100 000 à 1 million de livres égyptiennes

Les amendes doublent en cas de récidive. Pour les personnes morales, le gestionnaire responsable fait face aux mêmes pénalités si la négligence ou la complicité est prouvée.[5]

L'application à ce jour a été limitée — le CPDP recrute toujours et le vide réglementaire donne aux défendeurs des arguments évidents. Ne vous réconfortez pas de cela. La trajectoire est claire, et l'Autorité nationale de réglementation des télécommunications (ANRT) a déjà utilisé des pouvoirs adjacents contre les télécommunications et les FAI sur des bases de traitement des données.

Ce qu'il faut faire ce trimestre

Cartographiez vos données. Vous ne pouvez pas vous conformer à la loi égyptienne sur la protection des données personnelles si vous ne savez pas ce que vous détenez, où il se trouve, avec qui vous le partagez, et pourquoi. Un registre de traitement d'une page vaut mieux qu'une politique de 40 pages que personne ne lit.

Ensuite : examinez vos mécanismes de consentement (les cases précochées ne comptent pas), rédigez un plan d'intervention en cas de violation avec l'horloge de 72 heures intégrée, et nommez un DPD si vous êtes dans une catégorie obligatoire. Si vous êtes une entreprise étrangère servant des utilisateurs égyptiens, nommez un représentant local — le CPDP en attendra un quand les règlements seront publiés.

Pour les questions de conformité connexes, consultez notre hub de réponses sur la protection des données.

Les règlements peuvent toujours être retardés. Les pénalités ne le sont pas.

Références

[1] Loi n° 151 de 2020 sur la protection des données personnelles, articles 1–2 (définitions des données personnelles et des données personnelles sensibles). [2] Loi n° 151 de 2020, article 3 (exclusions de portée). [3] Ministère des Communications et des Technologies de l'information, aperçu du Centre de protection des données personnelles — mcit.gov.eg. [4] Loi n° 151 de 2020, articles 14–17 (régime de transfert de données transfrontalières). [5] Loi n° 151 de 2020, articles 35–45 (pénalités).

Avez-vous besoin de cela vérifié pour votre situation ? Parlez avec un avocat agréé en Égypte →