Pourquoi les règles relatives aux transferts internationaux de données concernent les expatriés
En tant qu'expatrié, vous êtes plus susceptible que le résident égyptien moyen de voir vos données circuler entre l'Égypte et d'autres pays. Les situations courantes comprennent :
- Les systèmes RH internationaux de votre employeur stockant vos données d'emploi et de rémunération sur des serveurs situés à l'étranger
- Les assureurs santé privés transmettant vos dossiers médicaux à des réassureurs étrangers
- Les banques vérifiant votre historique financier auprès d'établissements étrangers
- L'utilisation de plateformes numériques mondiales qui traitent et stockent des données hors d'Égypte
Aux termes de la loi n° 151 de 2020, chacune de ces situations doit satisfaire à des exigences légales spécifiques.
Principe général : un niveau de protection adéquat est requis
L'article 14 établit le principe fondamental régissant les transferts transfrontaliers de données. Il est interdit de transférer des données personnelles collectées en Égypte vers un pays étranger, ou de les stocker ou de les partager à l'étranger, sauf si :
- Le pays de destination offre un niveau de protection au moins équivalent à celui exigé par le droit égyptien
- Le transfert est autorisé ou agréé par le Centre de protection des données personnelles
Cela signifie qu'avant que vos données puissent quitter l'Égypte, l'organisme qui les traite doit démontrer que le pays ou l'organisation destinataire maintient des normes de protection des données équivalentes.
Exceptions : cas dans lesquels les transferts vers des pays non adéquats sont autorisés
L'article 15 prévoit un ensemble d'exceptions permettant le transfert de données vers un pays n'offrant pas un niveau de protection adéquat, notamment :
- Vous-même, ou votre représentant légal, avez donné votre consentement explicite au transfert
- Le transfert est nécessaire à l'exécution d'un contrat auquel vous êtes partie
- Le transfert est requis dans le cadre de procédures judiciaires ou pour protéger vos intérêts vitaux
- Le transfert sert un intérêt public important reconnu par la loi
Point pratique essentiel : votre employeur ne peut pas transmettre vos données personnelles à son siège social à l'étranger sans démontrer le caractère adéquat de la protection dans ce pays ou sans avoir obtenu votre consentement écrit et explicite.
Transferts entre responsables du traitement et sous-traitants à l'étranger
L'article 16 traite spécifiquement des situations dans lesquelles un responsable du traitement ou un sous-traitant établi en Égypte communique vos données à un autre responsable du traitement ou sous-traitant situé hors d'Égypte. Ce transfert n'est autorisé que lorsque :
- Le Centre de protection des données personnelles a délivré une licence pour le transfert
- La nature des activités et la finalité pour laquelle les données sont transférées sont clairement définies et légitimes
- Le destinataire étranger maintient des normes appropriées de protection des données
Cette disposition est particulièrement pertinente pour les sociétés multinationales opérant en Égypte qui partagent régulièrement des données relatives à leurs employés ou à leurs clients au sein de leurs réseaux mondiaux.
Données personnelles sensibles : des contrôles plus stricts
L'article 12 soumet les données personnelles sensibles à un seuil encore plus élevé, notamment les dossiers médicaux, les données biométriques, les données financières et les données relatives à la religion ou aux convictions politiques. Pour les transferts de données sensibles :
- L'organisme doit détenir une licence délivrée par le Centre de protection des données personnelles
- Le consentement écrit et explicite de votre part est requis, sauf si une exception légale spécifique s'applique
- Le destinataire étranger doit satisfaire aux normes renforcées applicables aux données sensibles
Si vous êtes un expatrié recevant des soins médicaux en Égypte et que votre assureur est établi à l'étranger, veillez à ce que votre hôpital ou votre clinique dispose de la licence appropriée avant de communiquer votre dossier à l'international.
Comment protéger vos droits
Pour vous assurer que vos données sont transférées de manière licite lors de votre séjour en Égypte :
- Interrogez votre employeur sur la conformité de ses pratiques de transfert international de données avec les exigences de licence du Centre de protection des données personnelles
- Lisez attentivement les contrats : les contrats de travail, les baux et les polices d'assurance doivent préciser si vos données seront transférées à l'étranger et sur quelle base juridique
- Refusez votre consentement si vous n'êtes pas à l'aise avec les transferts internationaux et qu'aucun fondement juridique adéquat n'est fourni
- Demandez confirmation à tout organisme souhaitant transférer vos données sensibles à l'étranger qu'il détient la licence requise
- Déposez une plainte auprès du Centre de protection des données personnelles si vous constatez que vos données ont été transférées illicitement vers un pays étranger
Le rôle du Centre de protection des données personnelles
Le Centre de protection des données personnelles (institué par l'article 19) est l'autorité compétente pour délivrer les licences relatives à tous les transferts internationaux de données. Il peut :
- Accorder, modifier ou révoquer des licences de transfert
- Coopérer avec les autorités étrangères de protection des données dans le cadre d'accords internationaux (article 25)
- Instruire les transferts non autorisés et imposer des sanctions
Conseils pratiques pour les expatriés travaillant dans des sociétés multinationales
- Veillez à ce que votre contrat de travail précise exactement vers quels pays vos données peuvent être transférées
- Confirmez que le délégué à la protection des données de votre entreprise est bien enregistré auprès du Centre
- Si vos données sont transférées vers la société mère dans votre pays d'origine, l'entité destinataire doit néanmoins satisfaire au critère d'adéquation de l'Égypte ou vous devez avoir donné votre consentement explicite