Qu'est-ce qui constitue une violation de données ?
Une violation de données au sens du droit égyptien désigne tout accès non autorisé, toute divulgation, destruction, modification ou perte de données personnelles détenues par un responsable du traitement ou un sous-traitant. Parmi les exemples courants touchant les expatriés, on peut citer :
- Le piratage de la base de données clients d'une banque
- Un employeur qui envoie accidentellement vos bulletins de salaire à la mauvaise personne
- L'accès non autorisé aux données d'un opérateur de télécommunications
- La fuite de données de résidence ou d'identification par un portail gouvernemental
La règle de notification sous 72 heures (Article 7)
En vertu de l'article 7 de la loi n° 151 de 2020, les organisations qui découvrent une violation de données doivent :
- Notifier le Centre de protection des données personnelles dans un délai de 72 heures à compter du moment où elles ont pris connaissance de la violation.
- Si la violation concerne la sécurité nationale, la notification doit être immédiate — aucun délai d'attente n'est applicable.
Le Centre est ensuite chargé de gérer la réponse globale, notamment en notifiant les personnes concernées lorsque cela est approprié.
Ce que cela signifie pour vous : Si une banque, un employeur, un hôpital ou un prestataire de services en Égypte a subi une violation affectant vos données, il est légalement tenu de la signaler. Le non-respect de cette obligation l'expose à des sanctions réglementaires.
Les obligations des organisations à la suite d'une violation
Au-delà de la notification au Centre, les responsables du traitement et les sous-traitants sont tenus de :
- Contenir la violation et prévenir tout accès non autorisé supplémentaire.
- Documenter la nature de la violation, les données affectées et les conséquences probables.
- Mettre en œuvre des mesures correctives pour remédier aux causes de la violation.
- Coopérer pleinement avec le Centre de protection des données personnelles lors de toute enquête.
Les organisations qui traitent des données personnelles sensibles — telles que les dossiers médicaux, les données biométriques ou les informations financières — sont soumises à des obligations renforcées en vertu de l'article 13, qui les contraint à maintenir des politiques de sécurité robustes spécifiquement conçues pour prévenir les violations de cette catégorie de données.
Vos droits en cas de violation de vos données
En tant qu'expatrié et personne concernée, vous disposez de droits concrets à la suite d'une violation :
- Droit à l'information : Vous devez recevoir une notification si la violation présente un risque significatif pour vos droits et libertés.
- Droit de savoir quelles données ont été affectées : Vous pouvez adresser une demande écrite au Délégué à la protection des données (DPD) de l'organisation afin d'obtenir des précisions.
- Droit de demander réparation : Vous pouvez engager la responsabilité civile de l'organisation pour les dommages causés par la violation.
- Droit de déposer une plainte : Vous pouvez signaler la violation et la réponse de l'organisation — ou son absence — au Centre de protection des données personnelles.
Mesures à prendre si vous suspectez une violation
Si vous pensez que vos données personnelles ont été compromises en Égypte, prenez les mesures suivantes :
- Contactez par écrit le DPD de l'organisation et demandez confirmation qu'une violation a eu lieu ainsi que les données qui ont été affectées.
- Modifiez immédiatement vos mots de passe et identifiants de sécurité pour tous les comptes associés.
- Surveillez vos comptes bancaires et votre crédit pour détecter toute activité inhabituelle.
- Conservez les preuves : gardez toutes les notifications, courriels ou messages que vous recevez concernant la violation.
- Déposez une plainte auprès du Centre de protection des données personnelles si l'organisation omet de vous notifier ou refuse de coopérer.
- Consultez un avocat local si vous avez subi un préjudice financier ou de réputation mesurable — vous pourriez disposer de fondements pour une action civile.
Préoccupation particulière : les violations de données sensibles
Si les données compromises comprennent des données personnelles sensibles — telles que vos dossiers médicaux, informations biométriques ou appartenance religieuse — les conséquences sont potentiellement plus graves. Les organisations détenant ce type de données doivent être agréées par le Centre (article 12) et sont soumises à des obligations de sécurité plus strictes (article 13).
Pour les expatriés, cela est particulièrement pertinent si vous êtes inscrit auprès :
- D'hôpitaux privés ou publics
- De systèmes de résidence ou de visa basés sur la biométrie
- D'employeurs gérant des données d'assurance maladie
En cas de violation de données sensibles, vous devez en priorité obtenir une confirmation écrite de l'organisation et saisir rapidement le Centre en l'absence de réponse.
Preuves numériques et procédures judiciaires
En vertu de l'article 11, les preuves numériques issues de données personnelles ont la même valeur juridique que les documents écrits, à condition qu'elles satisfassent aux normes techniques prévues par le règlement d'application. Cela signifie que les captures d'écran, les journaux système et les courriels peuvent être utilisés pour étayer une action en justice découlant d'une violation de données.
Référence rapide : calendrier de réponse à une violation
- 0 à 72 heures : L'organisation doit notifier le Centre de protection des données personnelles
- Immédiatement : Notification requise pour les violations liées à la sécurité nationale
- Dès que possible : Les personnes concernées doivent être notifiées lorsqu'il existe un risque significatif
- En continu : L'organisation doit coopérer avec l'enquête du Centre
La connaissance de ces délais vous permet de tenir les organisations responsables de leurs actes et d'agir rapidement pour limiter le préjudice subi.