الخطوات بالترتيب
- المحامي
حصر البيانات وتحديد صفتك
يبدأ المحامي بحصر البيانات الشخصية التي تجمعها الشركة ومصدرها والغرض منها، ثم يحدد هل الشركة متحكم أم معالج أم الاثنان، لأن لكل صفة التزامات مختلفة في المادتين 4 و5.
- المحامي
مراجعة أساس المعالجة والموافقات
لا تكون المعالجة مشروعة إلا بموافقة صاحب البيانات أو بحالة من الحالات المحددة في المادة 6 كتنفيذ عقد أو التزام قانوني. يراجع المحامي نماذج الموافقة وسياسة الخصوصية لتكون الأغراض مشروعة ومحددة ومعلنة.
- أنت
تعيين مسئول حماية البيانات
يلتزم الممثل القانوني للشركة بتعيين موظف مختص مسئول عن حماية البيانات وقيده في سجل مسئولي حماية البيانات بالمركز والإعلان عن ذلك. هذا المسئول هو نقطة الاتصال مع المركز ومع أصحاب البيانات.
- المحامي
طلب الترخيص أو التصريح
يلتزم المتحكم والمعالج بالحصول على ترخيص أو تصريح من المركز للتعامل مع البيانات. يقدم الطلب على نماذج المركز بالمستندات المطلوبة، ويبت المركز خلال مدة لا تجاوز تسعين يومًا من استيفاء المستندات وإلا اعتبر الطلب مرفوضًا.
- أنت
إمساك السجلات وتأمين البيانات
أعدّ سجلًا يصف فئات البيانات ومن تُتاح لهم ومددها وآليات محوها وإجراءات التأمين، وطبّق الإجراءات التقنية والتنظيمية اللازمة. وامحُ البيانات فور انقضاء الغرض منها.
- المحامي
خطة الاستجابة للخرق
يضع المحامي مع الفريق التقني خطة تضمن إبلاغ المركز خلال اثنتين وسبعين ساعة من العلم بأي خرق، وإخطار أصحاب البيانات خلال ثلاثة أيام عمل من تاريخ الإبلاغ، مع توثيق الواقعة والإجراءات التصحيحية.
- المحامي
البيانات الحساسة والنقل للخارج والتسويق
معالجة البيانات الحساسة (الصحية والمالية والبيومترية وبيانات الأطفال وغيرها) تحتاج ترخيصًا وموافقة كتابية صريحة، ونقل البيانات لدولة أجنبية يحتاج مستوى حماية لا يقل عن المصري وترخيصًا أو تصريحًا. والتسويق الإلكتروني المباشر له ترخيص أو تصريح خاص وشروط موافقة مستقلة.
الرقابة والجزاءات
عند المخالفة ينذر الرئيس التنفيذي للمركز الشركة بإزالتها خلال مدة يحددها، ثم يجوز لمجلس الإدارة إيقاف الترخيص أو سحبه أو نشر بيان بالمخالفات أو إخضاع الشركة للإشراف الفني، وذلك فضلًا عن المسئولية الجنائية والمدنية.
المستندات المطلوبة
- السجل التجاري والبطاقة الضريبية وما يثبت صفة الممثل القانوني
- خريطة بالبيانات التي تجمعها الشركة ومصادرها وأغراضها
- نماذج الموافقة وسياسة الخصوصية الحالية
- عقود المعالجين ومقدمي الخدمات التقنية
- بيانات الموظف المرشح كمسئول حماية البيانات
- وصف إجراءات أمن المعلومات المطبقة
المواعيد المهمة
| الإجراء | الميعاد | السند |
|---|---|---|
| توفيق الأوضاع للمخاطبين بالقانون | سنة من تاريخ صدور اللائحة التنفيذية | المادة السادسة من مواد إصدار قانون حماية البيانات الشخصية 151 لسنة 2020 |
| بت المركز في طلب الترخيص أو التصريح | مدة لا تجاوز تسعين يومًا من استيفاء المستندات، وإلا اعتبر مرفوضًا | المادة 27 من قانون حماية البيانات الشخصية 151 لسنة 2020 |
| إبلاغ المركز بالخرق | اثنتان وسبعون ساعة من العلم به | المادة 7 من قانون حماية البيانات الشخصية 151 لسنة 2020 |
| الرد على طلبات أصحاب البيانات | ستة أيام عمل من تاريخ تقديم الطلب | المادة 32 من قانون حماية البيانات الشخصية 151 لسنة 2020 |
| مدة الترخيص | ثلاث سنوات قابلة للتجديد (والتصريح لمدة مؤقتة لا تجاوز سنة) | المادة 1 (تعريف الترخيص والتصريح) من قانون حماية البيانات الشخصية 151 لسنة 2020 |
السند القانوني
قانون رقم ١٥١ لسنة ٢٠٢٠ بإصدار قانون حماية البيانات الشخصيةالنص الكامل في مكتبة القوانين
نطاق التطبيق والاستثناءات، التزامات المتحكم والمعالج، شروط المعالجة، الإبلاغ عن الخرق، مسئول حماية البيانات، البيانات الحساسة والنقل عبر الحدود، التراخيص والجزاءات الإدارية والعقوبات ومسئولية الإدارة الفعلية.
مادة اصدار 3مادة اصدار 6مادة 1مادة 3مادة 4مادة 5مادة 6مادة 7مادة 8مادة 9مادة 12مادة 14مادة 17مادة 26مادة 27مادة 30مادة 38مادة 39مادة 47مادة 45
نص المادة اصدار 3
مادة (الثالثة)
لا تسري أحكام القانون المرافق على ما يأتي:
١ - البيانات الشخصية التي يحتفظ بها الأشخاص الطبيعيون للغير، ويتم معالجتها للاستخـدام الشخـصي.
٢ - البيانات الشخصية التي تتم معالجتها بغرض الحصول على البيانات الإحصائية الرسمية أو تطبيقًا لنص قانوني.
٣ - البيانات الشخصية التي تتم معالجتها حصرًا للأغراض الإعلامية بشرط أن تكون صحيحة ودقيقة، وألا تستخدم في أي أغراض أخري، وذلك دون الإخلال بالتشريعات المنظمة للصحافة والإعلام.
٤ - البيانات الشخصية المتعلقة بمحاضر الضبط القضائي والتحقيقات والدعاوي القضائية.
٥ - البيانات الشخصية لدي جهات الأمن القومي، وما تقدره لاعتبارات أخري. ويجب على المركز، بناءً على طلب جهات الأمن القومي، إخطار المتحكم أو المعالج بتعديل أو محو أو عدم إظهار أو إتاحة أو تداول البيانات الشخصية، خلال مدة زمنية محددة، وفقًا لاعتبارات الأمن القومي، ويلتزم المتحكم أو المعالج بتنفيذ ما ورد بالإخطار خلال المدة الزمنية المحددة به.
٦ - البيانات الشخصية لدي البنك المركزي المصري والجهات الخاضعة لرقابته وإشرافه، عدا شركات تحويل الأموال وشركات الصرافة، على أن يراعي في شأنهما القواعد المقررة من البنك المركزي المصري بشأن التعامل مع البيانات الشخصية.
نص المادة اصدار 6
مادة (السادسة)
يلتزم المخاطبون بأحكام هذا القانون بتوفيق أوضاعهم طبقًا لأحكام القانون المرافق ولائحته التنفيذية، وذلك خلال سنة من تاريخ صدور هذه اللائحة.
نص المادة 1
مادة (١)
في تطبيق أحكام هـذا القـانون، يقصد بالكلمات والعبـارات التـالية المعني المبـين قـرين كـل منهـا:
البيـانات الشخصيـة: أي بيــانات متعلقـة بشخــص طبيعي محــدد، أو يمكـن تحـديده بشكل مباشر أو غير مباشر عن طريق الربط بين هذه البيانات وأي بيانات أخري كالاسم، أو الصوت، أو الصورة، أو رقم تعريفي، أو محدد للهوية عبر الإنترنت، أو أي بيانات تحدد الهوية النفسية، أو الصحية، أو الاقتصادية، أو الثقافية، أو الاجتماعية.
المعـالجة: أي عملية إلكترونية أو تقنية لكتــابة البيـانات الشخصية، أو تجميعها، أو تسجيلها، أو حفظها، أو تخزينها، أو دمجها، أو عرضها، أو إرسالها، أو استقبالها، أو تداولها، أو نشرها، أو محوها، أو تغييرها، أو تعديلها، أو استرجاعها أو تحليلها وذلك باستخدام أي وسيط من الوسائط أو الأجهزة الإلكترونية أو التقنية سواء تم ذلك جـزئيا أو كليـًا.
البيانات الشخصية الحساسة: البيـانات التي تفصـح عن الصحة النفسيـة أو العقليـة أو البدنية أو الجينية، أو بيانات القياسات الحيوية "البيومترية" أو البيانات المـالية أو المعتقدات الدينية أو الآراء السياسية أو الحالة الأمنيــة، وفي جميع الأحوال تعد بيــانات الأطفــال من البيانات الشخصية الحساسة.
الشخص المعني بالبيانات: أي شـخـص طبيعي تنسـب إليه بيــانات شـخصية معــالجة إلكترونيًا تدل عليه قانونًا أو فعلاً، وتمكن من تمييزه عن غيره.
الحــائز: أي شـخص طـبيعي أو اعتباري، يحـوز ويحتفـظ قـانونيًا أو فعليا ببيـانات شخصية في أي صورة من الصور، أو على أي وسيلة تخزين سواءً أكان هو المنشئ للبيانات، أم انتقلت إليه حيازتها بأي صورة.
المتحـكـم: أي شــخـــص طبيــعي أو اعتبـاري يكــون لــه بحـكـم أو طــبيعـــة عـمــله، الحق في الحصول على البيانات الشخصية
نص المادة 3
مادة (٣)
يجب لجمع البيانات الشخصية ومعالجتها والاحتفاظ بها، توافر الشروط الآتية:
١ - أن تجمع البيانات الشخصية لأغراض مشروعة ومحددة ومعلنة للشخص المعني.
٢ - أن تكون صحيحة وسليمة ومؤمنة.
٣ - أن تعالج بطريقة مشروعة وملائمة للأغراض التي تم تجميعها من أجلها.
٤ - ألا يتــم الاحتفــاظ بهـا لمــدة أطــول من المــدة اللازمـــة للـوفـــاء بالغــــرض المحــدد لهــا.
وتحدد اللائحة التنفيذية لهذا القانون السياسات والإجراءات والضوابط والمعايير القياسية للجمع والمعالجة والحفظ والتأمين لهذه البيانات.
(الفصل الثـالث)
التزامات المتحكم والمعالج
أولا: التزامات المتحكم
نص المادة 4
مادة (٤)
مع مراعاة أحكام المـادة (١٢) من هذا القانون، يلتزم المتحكم بمـا يأتي:
١ - الحصول على البيانات الشخصية أو تلقيها من الحائز أو من الجهات المختصة بتزويده بها بحسب الأحوال بعد موافقة الشخص المعني بالبيانات، أو في الأحوال المصرح بهـا قـانونـًا.
٢ - التأكد من صحة البيانات الشخصية واتفاقها وكفايتها مع الغرض المحدد لجمعها.
٣ - وضع طريقة وأسلوب ومعايير المعالجة طبقا للغرض المحدد، ما لم يقرر تفويض المعالج في ذلك بموجب تعاقد مكتوب.
٤ - التأكد من انطباق الغرض المحدد من جمع البيانات الشخصية لأغراض معالجتها.
٥ - القيام بعمل أو الامتناع عن عمل يكون من شـأنه إتـاحة البيــانات الشخصية إلا في الأحوال المصرح بها قانونًا.
٦ - اتخاذ جميع الإجراءات التقنية والتنظيمية وتطبيق المعايير القياسية اللازمة لحماية البيــانات الشخصية وتأمينهـا حفــاظـًا على سريتها، وعدم اخــتراقها أو إتلافهـا أو تغييرها أو العبث بها قِبَل أي إجراء غير مشروع.
٧ - محو البيانات الشخصية لديه فور انقضاء الغرض المحدد منها، أما في حال الاحتفاظ بها لأي سبب من الأسباب المشروعة بعد انتهاء الغرض، فيجب ألا تبقي في صورة تسمح بتحديد الشخص المعني بالبيانات.
٨ - تصحيح أي خطأ بالبيانات الشخصية فور إبلاغه أو علمه به.
٩ - إمساك سجل خاص للبيانات، على أن يتضمن وصف فئات البيانات الشخصية لديه، وتحديد من سيفصح لهم عن هذه البيانات أو يتيحها لهم وسنده والمدد الزمنية وقيودها ونطاقها وآليات محو البيانات الشخصية لديه أو تعديلها وأي بيانات أخري متعلقة بنقل تلك البيانات الشخصية عبر الحدود ووصف الإجراءات التقنية والتنظيمية الخاصة بأمن البيانات.
١٠ - الحصول على ترخيص أو تصريح من المركز للتعامل مع البيانات الشخصية.
١١ - يلتزم المتحكم خ
نص المادة 5
مادة (٥)
مع مراعاة أحكام المـادة (١٢) من هذا القانون، يلتزم معالج البيانات الشخصية بما يأتي:
١ - إجراء المعالجة وتنفيذها طبقـًا للقواعد المنظمة لذلك بهذا القانون ولائحته التنفيذية ووفقًا للحالات المشروعة والقانونية وبناءً على التعليمات المكتوبة الواردة إليه من المركز أو المتحكم أو من أي ذي صفة بحسب الأحوال، وبصفة خاصة فيما يتعلق بنطاق عملية المعالجة وموضوعها وطبيعتها ونوع البيانات الشخصية واتفاقها وكفايتها مع الغـرض المحـدد لـه.
٢ - أن تـكــون أغراض المعــالجة وممـــارستها مشروعة، ولا تخــالف النظــام العـــام أو الآداب العـامة.
٣ - عدم تجاوز الغرض المحدد للمعالجة ومدتها، ويجب إخطار المتحكم أو الشخص المعني بالبيانات أو كل ذي صفة، بحسب الأحوال، بالمدة اللازمة للمعالجة.
٤ - محو البيانات الشخصية بانقضاء مدة المعالجة أو تسليمها للمتحكم.
٥ - القيام بعمل أو الامتناع عن عمل يكون من شـــأنه إتـاحة البيــانات الشخصية أو نتائج المعالجة إلا في الأحوال المصرح بها قانونًا.
٦ - عدم إجراء أي معــالجة للبيــانات الشخصية تتعارض مع غرض المتحكم فيهــا أو نشاطه إلا إذا كان ذلك بغرض إحصائي أو تعليمي ولا يهدف للربح ودون الإخلال بحرمة الحياة الخاصة.
٧ - حماية وتأمين عملية المعالجة والوسائط والأجهزة الإلكترونية المستخدمة في ذلك وما عليها من بيانات شخصية.
٨ - عدم إلحاق أي ضرر بالشخص المعني بالبيانات بشكل مباشر أو غير مباشر.
٩ - إعداد سجل خاص بعمليات المعــالجة لديه، على أن يتضمن فئــات المعــالجة التي يجريها نيابة عن أي متحكم وبيانات الاتصال به ومسئول حماية البيانات لديه، والمدد الزمنية للمعالجة وقيودها ونطاقها وآليات محو البيانات الشخصية لديه أو تعديلها، ووصفًا للإجراءات التقنية والتنظيمية
نص المادة 6
مادة (٦)
تعد المعالجة الإلكترونية مشروعة وقانونية في حال توفر أي من الحالات الآتية:
١ - موافقة الشخص المعني بالبيانات على إجراء المعالجة من أجل تحقيق غرض محدد أو أكثر.
٢ - أن تكون المعــالجة لازمة وضرورية تنفــيذًا لالـتزام تعـــاقدي أو تصرف قــانوني أو لإبـرام عقد لصالح الشخص المعني بالبيانات، أو لمباشرة أي من إجراءات المطالبة بالحقوق القانونية له أو الدفاع عنها.
٣ - تنفيذ التزام ينظمه القانون أو أمر من جهات التحقيق المختصة أو بناءً على حكم قضائي.
٤ - تمكين المتحكم من القيام بالتزاماته أو أي ذي صفة من ممارسة حقوقه المشروعة، ما لم يتعارض ذلك مع الحقوق والحريات الأساسية للشخص المعني بالبيانات.
رابعا: الالتزام بالإخطار والإبلاغ
نص المادة 7
مادة (٧)
يلتزم كل من المتحكم والمعالج بحسب الأحوال حال علمه بوجود خرق أو انتهاك للبيانات الشخصية لديه بإبلاغ المركز خلال اثنتين وسبعين ساعة، وفي حال كان هذا الخرق أو الانتهاك متعلقًا باعتبارات حماية الأمن القومي فيكون الإبلاغ فوريا، وعلى المركز وفي جميع الأحوال إخطار جهات الأمن القومي بالواقعة فورًا، كما يلتزم بموافاة المركز خلال اثنتين وسبعين ساعة من تاريخ علمه بما يأتي:
١ - وصف طبيعة الخرق أو الانتهاك، وصورته وأسبابه والعدد التقريبي للبيانات الشخصيـة وسجـلاتها.
٢ - بيانات مسئول حماية البيانات الشخصية لديه.
٣ - الآثار المحتملة لحادث الخرق أو الانتهاك.
٤ - وصف الإجراءات المتخذة والمقترح تنفيذها لمواجهة هذا الخرق أو الانتهاك والتقليل من آثاره السلبية.
٥ - توثيق أي خرق أو انتهاك للبيــانات الشخصية، والإجــراءات التصحيحية المتخـذة لمواجهتـه.
٦ - أي وثائق أو معلومات أو بيانات يطلبها المركز.
وفي جميع الأحوال يجب على المتحكم والمعالج، بحسب الأحوال، إخطار الشخص المعني بالبيانات خلال ثلاثة أيام عمل من تاريخ الإبلاغ وما تم اتخاذه من إجراءات.
وتحدد اللائحة التنفيذية لهذا القانون الإجراءات الخاصة بالإبلاغ والإخطار.
(الفصل الرابع)
مسئول حماية البيانات الشخصية
أولا: تعيين مسئول حماية البيانات الشخصية
نص المادة 8
مادة (٨)
ينشأ بالمركز سجل لقيد مسئولي حماية البيانات الشخصية، وتحدد اللائحة التنفيذية لهذا القانون شروط القيد وإجراءاته وآليات التسجيل.
ويلتزم الممثل القانوني للشخص الاعتباري لأي متحكم أو معالج بأن يعين داخل كيانه القانوني وهيكله الوظيفي موظفًا مختصًا مسئولاً عن حماية البيانات الشخصية، وذلك بقيده في سجل مسئولي حماية البيانات الشخصية بالمركز، ويعلن عن ذلك.
ويـكــون الشخـــص الطبيعــي المتحكم أو المعــالج هــو المسئول عن تطـبيــق أحكــام هـذا القـانون.
ثانيا: التزامات مسئول حماية البيانات الشخصية
نص المادة 9
مادة (٩)
يكون مسئول حماية البيانات الشخصية مسئولاً عن تنفيذ أحكام القانون ولائحته التنفيذية وقرارات المركز، ومراقبة الإجراءات المعمول بها داخل كيانه الإشراف عليها، وتلقي الطلبات المتعلقة بالبيانات الشخصية وفقا لأحكام هذا القانون. ويلـتزم على الأخـص بالآتـي:
١ - إجراء التقييم والفحص الدوري لنظم حماية البيانات الشخصية ومنع اختراقها، وتوثيق نتائج التقييم وإصدار التوصيات اللازمة لحمايتها.
٢ - العمل كنقطة اتصال مباشرة مع المركز وتنفيذ قراراته، فيما يخص تطبيق أحكام هذا القانون.
٣ - تمكين الشخص المعني بالبيانات من ممارسة حقوقه المنصوص عليها في هذا القانون.
٤ - إخطار المركز في حال وجود أي خرق أو انتهاك للبيانات الشخصية لديه.
٥ - الرد على الطلبات المقدمة من الشخص المعني بالبيانات أو كل ذي صفة، والرد على المركز في التظلمـات المقدمة إليه من أي منهما وفقا لأحكام هذا القانون.
٦ - متابعة القيد والتحديث لسجل البيانات الشخصية لدي المتحكم أو سجل عمليات المعالجة لدي المعالج، بمـا يكفل ضمان دقة البيانات والمعلومات المقيدة به.
٧ - إزالة أي مخالفات متعلقة بالبيانات الشخصية داخل كيانه، واتخاذ الإجراءات التصحيحيـة حيـالها.
٨ - تنظيم البرامج التدريبية اللازمة لموظفي كيانه، لتأهيلهم بما يتناسب مع متطلبات هذا القانون.
وتحدد اللائحة التنفيذية لهذا القانون الالتزامات والإجراءات والمهام الأخرى التي يجب على مسئول حماية البيانات الشخصية القيام بها.
(الفصل الخامس)
إجراءات إتاحة البيانات الشخصية
نص المادة 12
مادة (١٢)
يحظر على المتحكم أو المعالج سواء كان شخصًا طبيعيا أو اعتباريًا جمع بيانات شخصية حســاسة أو نقلها أو تخــزينها أو حفظهـا أو معــالجتها أو إتاحتها إلا بترخيص مـن المـركـز. وفيما عدا الأحــوال المصرح بها قانونًا، يلزم الحصول على موافقة كتــابية وصــريحة من الشخص المعني. وفي حالة إجراء أي عملية ممـا ذكر تتعلق ببيانات الأطفال، يلزم موافقة ولي الأمر.
ويجب ألا تكون مشاركة الطفل في لعبة أو مسابقة أو أي نشاط آخر مشروطة بتقديم بيانات شخصية للطفل تزيد على ما هو ضروري للمشاركة في ذلك.
وذلك كله وفقًا للمعايير والضوابط التي تحددها اللائحة التنفيذية لهذا القانون.
نص المادة 14
مادة (١٤)
يحظر إجراء عمليات نقل للبيانات الشخصية التي تم جمعها أو تجهيزها للمعالجة إلي دولة أجنبية أو تخزينها أو مشاركتها إلا بتوافر مستوي من الحماية لا يقل عن المستوي المنصوص عليه في هذا القانون، وبترخيص أو تصريح من المركز.
وتحدد اللائحة التنفيذية لهذا القانون السياسات والمعايير والضوابط والقواعد اللازمة لنقل أو تخزين أو مشاركة أو معالجة أو إتاحة البيانات الشخصية عبر الحدود وحمايتها.
أخطاء شائعة وتنبيهات
- عدم تعيين مسئول حماية البيانات يعرّض الممثل القانوني لغرامة لا تقل عن مائتي ألف جنيه ولا تجاوز مليوني جنيه (المادة 39).
- المسئول عن الإدارة الفعلية يعاقب بذات عقوبات المخالفة إذا ثبت علمه وأسهم إخلاله بواجباته في وقوعها، فالامتثال ليس ملف الإدارة التقنية وحدها.
- الشركة الموجودة خارج مصر وتتعامل مع البيانات بصفة متحكم أو معالج ملزمة بتعيين ممثل لها داخل مصر.
- البنك المركزي والجهات الخاضعة لرقابته مستثناة من القانون، عدا شركات تحويل الأموال والصرافة.
أسئلة شائعة
ما الفرق بين الترخيص والتصريح؟
الترخيص يصدر للشخص الاعتباري لمدة ثلاث سنوات قابلة للتجديد، والتصريح يصدر للشخص الطبيعي أو الاعتباري لمدة مؤقتة لا تجاوز سنة ويجوز تجديده، أو لأداء مهمة معينة.
هل نحتاج ترخيصًا منفصلًا للتسويق أو للبيانات الحساسة؟
المادة 26 تنص على تراخيص أو تصاريح خاصة بالتسويق الإلكتروني المباشر وبالبيانات الحساسة وبالنقل عبر الحدود، ويجوز للشركة الحصول على أكثر من ترخيص أو تصريح وفقًا لنوعية البيانات.
ما عقوبة مخالفة أحكام التراخيص؟
غرامة لا تقل عن خمسمائة ألف جنيه ولا تجاوز خمسة ملايين جنيه لكل من خالف أحكام التراخيص أو التصاريح أو الاعتمادات (المادة 45).
هذا الدليل معلومات قانونية عامة مكتوبة من نصوص القوانين المصرية السارية وقت آخر مراجعة، وليس استشارة قانونية لحالتك. المواعيد قد تبدأ أو تنقطع حسب وقائع كل حالة، وقد يصدر تعديل تشريعي حديث — اعرض أوراقك على محامٍ قبل اتخاذ أي إجراء.
