Pourquoi les règles sur les transferts transfrontaliers de données concernent les expatriés
En tant qu'expatrié en Égypte, les transferts transfrontaliers de données font probablement partie de votre quotidien. Les situations courantes incluent :
- Le système RH de votre employeur qui stocke vos données de paie sur des serveurs situés hors d'Égypte
- Un établissement de santé transmettant votre dossier médical à un assureur à l'étranger
- Une banque communiquant vos données de compte à une société mère établie dans un autre pays
- Votre utilisation de plateformes internationales qui hébergent vos données à l'étranger
Le droit égyptien traite ces transferts avec sérieux, et les règles s'appliquent à tout responsable du traitement ou sous-traitant opérant sur le territoire égyptien, qu'il soit de droit égyptien ou étranger.
Règle générale : un niveau de protection adéquat requis (article 14)
En vertu de l'article 14 de la loi n° 151 de 2020, il est interdit de transférer, stocker, partager ou traiter des données personnelles dans un pays étranger, sauf si :
- Le pays de destination garantit un niveau de protection des données au moins équivalent à celui exigé par le droit égyptien.
- Le transfert est autorisé ou agréé par le Centre de protection des données personnelles.
Ce dispositif est similaire aux mécanismes en vigueur dans d'autres juridictions, notamment le processus de décision d'adéquation du RGPD de l'Union européenne. Le Centre évalue si le cadre juridique d'un pays étranger offre des protections comparables avant d'autoriser la libre circulation des données vers ce pays.
Exceptions : transferts autorisés en l'absence de protection adéquate (articles 15 et 16)
L'article 15 prévoit un ensemble limité d'exceptions permettant des transferts vers des pays ne disposant pas d'un niveau de protection adéquat. Ces exceptions comprennent :
- Le consentement explicite de la personne concernée (vous-même) ou de votre représentant légal.
- Le transfert est nécessaire à l'exécution d'un contrat auquel vous êtes partie.
- Le transfert est nécessaire dans le cadre d'une procédure judiciaire ou pour établir, exercer ou défendre des droits en justice.
- Le transfert répond à des intérêts vitaux lorsque le consentement ne peut être obtenu.
- Le transfert est requis pour des raisons d'intérêt public majeur.
L'article 16 autorise par ailleurs un responsable du traitement ou un sous-traitant à communiquer des données à une entité homologue à l'étranger — sous réserve d'un agrément du Centre — à condition que :
- La finalité du transfert soit clairement définie et proportionnée.
- Le destinataire offre des garanties de protection adéquate.
- Les conditions fixées par le Centre soient intégralement respectées.
Conseil pratique pour les expatriés : Si votre employeur vous demande de signer un formulaire de consentement au transfert de vos données à l'étranger, lisez-le attentivement. Votre consentement doit être explicite et éclairé — un consentement général inclus dans un contrat de travail peut ne pas être suffisant au regard du droit égyptien.
Données personnelles sensibles : un régime encore plus strict
Lorsque les données transférées sont qualifiées de sensibles — notamment les dossiers médicaux, les données biométriques ou les informations relatives aux convictions religieuses — les exigences sont encore plus contraignantes. L'article 12 impose aux organisations de détenir une licence délivrée par le Centre avant tout traitement ou transfert de cette catégorie de données. Leur transfert à l'étranger sans licence et sans votre consentement explicite et écrit constitue une violation grave.
Les expatriés doivent être particulièrement vigilants concernant :
- Les compagnies d'assurance maladie internationales recevant des données médicales
- Les employeurs transférant des données biométriques de contrôle des présences vers des serveurs étrangers
- Les établissements financiers transmettant des dossiers de vérification de l'identité du client (KYC) à des entités mères étrangères
La procédure d'agrément pour les transferts internationaux
En vertu des articles 26 et 27, les organisations souhaitant transférer des données à l'international doivent :
- Déposer une demande auprès du Centre de protection des données personnelles selon le formulaire prescrit.
- Fournir une documentation comprenant la preuve de leur capacité financière et de leur compétence technique.
- Attendre la décision du Centre dans un délai de 90 jours à compter de la réception d'un dossier complet.
- Se conformer à toutes les conditions attachées à l'agrément.
Les agréments peuvent être modifiés (article 28) ou révoqués (article 29) si l'organisation manque aux conditions fixées, omet de s'acquitter des frais de renouvellement ou enfreint de manière répétée les décisions du Centre.
Coopération internationale du Centre (article 25)
Le Centre égyptien de protection des données personnelles peut coopérer avec des autorités étrangères de protection des données dans le cadre d'accords bilatéraux ou internationaux, ou sur la base de la réciprocité. Cela signifie que si vos données font l'objet d'un traitement irrégulier lors d'un transfert depuis l'Égypte vers un pays lié par un accord de coopération, des mesures coercitives pourraient potentiellement être coordonnées entre les deux pays.
Ce que vous devriez faire en tant qu'expatrié
- Interrogez votre employeur sur le lieu de stockage ou de traitement de vos données personnelles et sur le fondement juridique de ce traitement.
- Consultez les notices de confidentialité des prestataires de services afin de savoir si vos données quittent l'Égypte.
- Refusez ou retirez votre consentement si vous n'êtes pas satisfait des protections offertes pour les transferts internationaux.
- Contactez le délégué à la protection des données de toute organisation concernée pour obtenir des précisions sur les flux transfrontaliers impliquant vos informations.
- Déposez une plainte auprès du Centre de protection des données personnelles si vous estimez que vos données ont été transférées à l'étranger de manière illicite.
Récapitulatif des règles essentielles
| Situation | Exigence | |---|---| | Transfert vers un pays offrant une protection adéquate | Agrément ou autorisation du Centre | | Transfert vers un pays sans protection adéquate | Consentement explicite + respect des exceptions prévues à l'article 15 | | Transfert de données personnelles sensibles à l'étranger | Agrément du Centre + consentement explicite et écrit | | Transfert vers un responsable du traitement ou sous-traitant à l'étranger | Agrément du Centre + respect des conditions de l'article 16 |