قانون حماية البيانات الشخصية رقم 151 لسنة 2020
الامتثال لقانون حماية البيانات الشخصية وGDPR
ترخيص مركز حماية البيانات الشخصية، مسؤول حماية البيانات، العقوبات والمواعيد، بشرح قانوني واضح من محامٍ متخصص.
هل تحتاج شركتك ترخيصًا من مركز حماية البيانات الشخصية؟
نعم، إذا كانت شخصًا اعتباريًا تجمع بيانات شخصية لعملاء أو موظفين أو غيرهم أو تعالجها إلكترونيًا، ولا يتوقف ذلك على حجم الشركة. الأشخاص الطبيعيون يحصلون على تصريح مؤقت لغرض محدد لا تزيد مدته على سنة، أما الأشخاص الاعتباريون فيحصلون على ترخيص مدته 3 سنوات قابلة للتجديد، ويقدَّم طلب التجديد قبل انتهاء المدة بثلاثة أشهر على الأقل (المادة 40 من اللائحة).
أنواع التراخيص
- ترخيص أساسي: متحكم ومعالج، أو متحكم فقط، أو معالج فقط.
- تراخيص تكميلية لا تصدر إلا مع ترخيص أساسي ساري: نقل البيانات عبر الحدود (ويشمل الاعتماد على خوادم أو سحابة خارج مصر)، والتسويق الإلكتروني المباشر، ووسائل المراقبة البصرية في الأماكن العامة.
مسؤول حماية البيانات: شرط للترخيص
تشترط المادة 21 من اللائحة لترخيص الشخص الاعتباري تقديم سند العلاقة التعاقدية مع مسؤول حماية البيانات، متضمنًا تحمله مسؤولياته ومنحه الاستقلالية اللازمة لأداء مهامه، وتشترط المادة 35 تحديد المسؤول في طلب الترخيص. ويقيَّد المسؤول في سجل خاص لدى المركز ويحصل على كود تعريفي (المادة 9). وتلزم المادة 8 من القانون الشخص الاعتباري بأن يعيّن داخل هيكله موظفًا مختصًا مسؤولًا عن حماية البيانات يُقيَّد في سجل المركز، كما يجوز لمسؤول واحد خدمة أكثر من كيان بموافقة تلك الكيانات والمركز (المادة 11 من اللائحة). ومن أهم التزاماته مراجعة تطبيق سياسات التأمين، وتقديم تقرير سنوي للمركز، ومتابعة طلبات أصحاب البيانات والشكاوى (المادة 12). وعند إنهاء التعاقد مع المسؤول يُخطَر المركز قبل 15 يومًا على الأقل (المادة 10).
تحتاج مسؤول حماية بيانات أو مراجعة عقد تعيينه؟
نراجع معك شروط المادة 21 من اللائحة ونجهز عقد التعيين بما يحقق متطلبات المركز.
رسوم الترخيص
تُحسب الرسوم السنوية للشخص الاعتباري بحسب عدد السجلات (كل سجل يخص شخصًا معنيًا) وفق جدول المادة 19 من اللائحة:
- معفاة الجهات التي تتعامل مع ما بين 1 و100 ألف سجل.
- 200 جنيه سنويًا من 101 إلى 200 ألف سجل، وتزيد 100 جنيه مع كل مائة ألف سجل إضافية حتى 1000 جنيه لمن يصل إلى مليون سجل، ثم تتصاعد الشرائح بعد ذلك.
- الحد الأقصى للرسوم 666,666 جنيه سنويًا (2 مليون جنيه على ثلاث سنوات) لما يزيد على 5 ملايين سجل.
- تُخفَّض الرسوم إلى النصف لمن يعمل متحكمًا فقط أو معالجًا فقط، ولنقل البيانات عبر الحدود 50% من رسوم الترخيص، وللتسويق الإلكتروني 10% للنفس و25% للغير.
إجراءات الحصول على الترخيص
يُقدَّم الطلب إلكترونيًا عبر بوابة المركز (pdpc.gov.eg) مرفقًا به المستندات المطلوبة، ومنها صورة السجل التجاري والهيكل التنظيمي، وطبيعة وحجم البيانات الشخصية وتحديد الحساس منها، ومدة الاحتفاظ، وإجراءات التأمين ونقل البيانات، وآلية محو البيانات وتعديلها، وآلية الحصول على الموافقة، وتحديد مسؤول حماية البيانات، والشهادات الفنية للبنية التحتية (المادة 35). يبت المركز في الطلب خلال 90 يوم عمل من استيفاء المستندات، وعدم الرد يُعدّ رفضًا (المادة 36).
الموعد النهائي لتوفيق الأوضاع
تنص مادة الإصدار السادسة من القانون على التزام المخاطبين بتوفيق أوضاعهم خلال سنة من تاريخ صدور اللائحة التنفيذية. ونُشرت اللائحة في الوقائع المصرية بتاريخ 1 نوفمبر 2025، فتنتهي المهلة بحسب هذا التاريخ في نهاية أكتوبر أو أول نوفمبر 2026. ننصح بعدم انتظار آخر المهلة، وبمتابعة بوابة المركز وإعلاناته لمعرفة تفاصيل التطبيق العملي وأي توضيحات تصدر عنه.
اعرف موقف شركتك قبل انتهاء المهلة
مراجعة أولية سريعة لوضع شركتك وتحديد التراخيص التي تلزمها.
عقوبات مخالفة قانون حماية البيانات الشخصية
| المخالفة | المادة | العقوبة |
|---|---|---|
| مخالفة أحكام التراخيص أو التصاريح أو الاعتمادات | 45 | غرامة من 500 ألف إلى 5 ملايين جنيه |
| عدم الالتزام بواجبات المتحكم أو المعالج | 38 | غرامة من 300 ألف إلى 3 ملايين جنيه |
| معالجة بيانات حساسة دون موافقة | 41 | حبس لا يقل عن 3 أشهر وغرامة من 500 ألف إلى 5 ملايين جنيه أو إحداهما |
| مخالفة قواعد نقل البيانات عبر الحدود | 42 | حبس لا يقل عن 3 أشهر وغرامة من 500 ألف إلى 5 ملايين جنيه أو إحداهما |
| مخالفة أحكام التسويق الإلكتروني | 43 | غرامة من 200 ألف إلى مليوني جنيه |
| جمع أو معالجة أو إفشاء بيانات إلكترونيًا بغير الحالات المصرح بها | 36 | غرامة من 100 ألف إلى مليون جنيه، وتشدد العقوبة بقصد المنفعة أو تعريض صاحب البيانات للخطر |
| إخلال مسؤول حماية البيانات بوظيفته | 40 | غرامة من 200 ألف إلى مليوني جنيه |
| العود | 48 | مضاعفة الحدين الأدنى والأقصى |
ويعاقَب المسؤول عن الإدارة الفعلية للشخص الاعتباري بذات العقوبات إذا ثبت علمه، ويكون الشخص الاعتباري متضامنًا في التعويضات (المادة 47). وللمركز جزاءات إدارية تبدأ بالإنذار ثم إيقاف الترخيص أو سحبه جزئيًا أو كليًا (المادة 30). والتصالح جائز في بعض الجرائم وفق المادة 49.
ما الذي يمكن لشركتك فعله الآن
- حصر البيانات الشخصية وعدد السجلات، وتحديد دور الشركة: متحكم أم معالج أم الاثنان.
- اختيار مسؤول حماية بيانات وتجهيز عقد تعيينه بما يحقق شروط المادة 21 من اللائحة.
- إعداد سجل عمليات المعالجة وسياسة الخصوصية وآليات الموافقة وطلبات أصحاب البيانات.
- مراجعة عقود الموردين ومقدمي الخدمات السحابية، وتحديد ما يستلزم ترخيصًا تكميليًا لنقل البيانات عبر الحدود.
- وضع خطة للإبلاغ عن الاختراق: إخطار المركز خلال 72 ساعة، وإخطار الأشخاص المعنيين خلال 3 أيام عمل من إخطار المركز (المادة 7 من القانون).
- للجهات الأجنبية التي تعالج بيانات مصريين أو مقيمين في مصر: تعيين ممثل قانوني في مصر.
نتولى عنك التنفيذ من الألف إلى الياء
من حصر البيانات وحتى إعداد ملف الترخيص والسياسات والعقود.
أسئلة شائعة
هل أحتاج ترخيصًا إذا كانت شركتي صغيرة؟
نعم، الالتزام يقع على كل شخص اعتباري يتحكم في بيانات شخصية أو يعالجها، أما الرسوم فتتدرج بحسب عدد السجلات وتُعفى الجهات حتى 100 ألف سجل.
هل يلزمني مسؤول حماية بيانات؟
نعم، تشترط اللائحة لترخيص الشخص الاعتباري وجود مسؤول حماية بيانات متعاقد معه، ويكون مقيّدًا في سجل المركز.
هل استخدام خدمة سحابية خارج مصر يحتاج تصريحًا؟
نقل البيانات الشخصية إلى خارج مصر أو تخزينها أو معالجتها هناك يستلزم ترخيصًا أو تصريحًا بنقل البيانات عبر الحدود، ولا يصدر إلا مع ترخيص أساسي ساري.
ما الفرق بين الترخيص والتصريح؟
الترخيص للأشخاص الاعتبارية ومدته 3 سنوات، والتصريح للأشخاص الطبيعيين ولغرض محدد ومدة لا تزيد على سنة.
ما العلاقة بين القانون المصري وGDPR؟
القانونان مختلفان، لكنهما يتشابهان في مبادئ الموافقة والشفافية وحقوق أصحاب البيانات، والشركات ذات النشاط الأوروبي غالبًا تلتزم بالاثنين معًا.
هل شركتكم ملتزمة بقانون حماية البيانات الشخصية؟
تواصلوا معنا الآن لاستشارة أولية سريعة، ونحدد معكم خطوات الامتثال المناسبة لنشاطكم.
