قانون حماية البيانات الشخصية: ما يلزم نظامك

الإجابة المختصرة: قانون حماية البيانات الشخصية رقم 151 لسنة 2020 بقى شغال مع لائحة تنفيذية صدرت في نوفمبر 2025، ومدة السنة اللي القانون اداها لتوفيق الأوضاع خلصت اعتبارًا من 10 نوفمبر 2026. لو موقعك أو تطبيقك أو نظامك الداخلي بيعالج بيانات شخصية في مصر، محتاج استشارة قانونية وشغل في المنتج: إثبات الموافقات، التراخيص، طلبات أصحاب البيانات، مدد الحفظ، مراجعة الاستضافة والنقل، ومسار إخطار خرق خلال 72 ساعة.

بقلم محمد سامي، مطوّر باك إند أول متخصص في Laravel/PHP، بخبرة سبع سنوات في التطوير. نُشر: 10 نوفمبر 2026. آخر تحديث: 10 نوفمبر 2026.

الكلام ده مش استشارة قانونية، ومش بديل عن محامٍ أو عن إرشادات مركز حماية البيانات الشخصية. أنا بكتب برمجيات. النص العربي الرسمي للقانون ولائحته هو المعتمد، وأي ترجمة غير رسمية استخدمتها لتحديد أرقام المواد تتراجع قدامه.

أغلب أصحاب الأعمال اللي بيكلموني مش بيبدأوا برقم قانون. بيبدأوا بلوحة Laravel فيها أسماء وأرقام قومية وتليفونات وفواتير، وقاعدة بيانات سحابية برة مصر، وقائمة تسويق من غير سجل موافقة واضح. السؤال العملي: قانون حماية البيانات الشخصية يطلب إيه من النظام، وإيه اللي يفضل عند المحامي؟

جولدن كود بتبني أنظمة مخصصة من الصفر. مش بنبيع منتج امتثال جاهز، ولا باقة تراخيص، ولا وكالة قانونية. القائمة تحت هي الشغل التقني اللي بحدد نطاقه للشركات في مصر أولًا، وبعدين للفرق اللي بتتوسع في الخليج، حيث قوانين تانية.

إيه اللي اتغيّر، ولييه التاريخ مهم

قانون رقم 151 لسنة 2020 نُشر في الجريدة الرسمية، ووفق المادة 7 من قانون الإصدار دخل حيّز النفاذ بعد ثلاثة أشهر من اليوم التالي لتاريخ النشر. المادة 6 من قانون الإصدار نفسه بتلزم المخاطبين بتوفيق أوضاعهم مع القانون المرافق ولائحته التنفيذية خلال سنة من تاريخ صدور تلك اللائحة.

اللائحة صدرت بقرار وزير الاتصالات وتكنولوجيا المعلومات رقم 816 لسنة 2025. سجلات النشر بتحط القرار في الوقائع المصرية بتاريخ 1 نوفمبر 2025، ويُعمل به من اليوم التالي. لو حسبنا السنة من تاريخ الصدور في 1 نوفمبر 2025، بتنتهي في 1 نوفمبر 2026؛ بعض التعليقات بتستخدم 31 أكتوبر 2026. مش هخترع «ساعة إنفاذ» واحدة. اعتبارًا من 10 نوفمبر 2026، السنة دي عدّت. أكّد خطوات الترخيص المتبقية مع مستشارك ومع المركز.

المركز هيئة اقتصادية عامة تتبع الوزير المختص. موقعه الرسمي pdpc.gov.eg. استخدم الموقع للنماذج وقنوات التقديم الحالية.

مين القانون بيغطي فعلًا

القانون المرافق يسري على البيانات الشخصية للأشخاص الطبيعيين لما تتعالج إلكترونيًا كليًا أو جزئيًا. المادة 3 من قانون الإصدار بتعدد استثناءات، منها الاستخدام الشخصي البحت، ومعالجة إحصائية أو قانونية معيّنة، واستخدامات إعلامية محددة، والسجلات القضائية، والبيانات لدى جهات الأمن القومي كما عرّفها القانون، والبيانات لدى البنك المركزي المصري والجهات الخاضعة لرقابته، مع استثناء شركات تحويل الأموال والصرافة كما ورد في المادة.

لو عندك موقع شركة أو متجر أو نظام عيادة أو ملفات موارد بشرية أو برنامج CRM مخصص، متفترضش إنك خارج القانون. الاستثناء مسألة قانونية. السؤال الهندسي: النظام أصلًا بيحفظ أسماء وجهات اتصال وأرقام قومية ومدفوعات وملاحظات صحية أو بيانات أطفال أو قوائم تسويق؟

القانون بيفرّق بين المتحكم، اللي بيحدد الغرض والوسائل، والمعالج، اللي بيعالج وفق تعليمات المتحكم أو حسب التعريف. مزودو السحابة وشركات الرواتب ووكالات التسويق غالبًا على جانب المعالج. المتجر الإلكتروني أو نظام الموارد البشرية والرواتب أو تطبيق الموبايل ممكن يكون متحكم أو معالج أو الاتنين. ارسم الخريطة مع المستشار قبل ما تعيد تصميم الشاشات.

إيه اللي النظام المخصص لازم يدعمه

سياسة خصوصية جاهزة مش بتنفّذ قانون حماية البيانات الشخصية. القانون متوقع قدرة تشغيلية في المنتج وفي الجهة حواليه.

المجال	إيه اللي القانون بيسعى له	الشغل المعتاد في تطبيق مخصص
الموافقة والإخطار	موافقة صريحة إلا إذا القانون صرّح بأساس تاني	جمع لغرض محدد، إخطار عربي، إثبات محفوظ، عدول
حقوق صاحب البيانات	الاطلاع والتصحيح والمحو والتقييد والاعتراض والإخطار بالخرق	قناة طلب، تحقق هوية، مهلة 6 أيام عمل، سجل قرار
السجلات	سجل فئات وإفصاحات وتدابير أمنية للمتحكم والمعالج	سجل معالجة حيّ، مش شيت منسِي
التراخيص والتصاريح	إذن مسبق للتعامل مع البيانات، وتراخيص لأنشطة معيّنة	ملف أدلة للمركز؛ متسيّبش التقديم في آخر الطابور
النقل والاستضافة	النقل عبر الحدود محتاج ترخيصًا ومستوى حماية لا يقل عن القانون	اعرف البيانات عايشة فين، بما فيها النسخ والدعم
التسويق الإلكتروني	موافقة مسبقة، هوية المرسل، آلية رفض، وسجلات موافقة	افصل علامات التسويق عن الرسائل التشغيلية
التعامل مع الخرق	إبلاغ المركز خلال 72 ساعة من العلم	رصد، خطة 72 ساعة، ثم إخطار الأشخاص المعنيين

الموافقة والأغراض والحقول اللي أصلًا بتجمعها

المادة 2 بتقول إنه لا يجوز جمع البيانات الشخصية أو معالجتها أو الإفصاح عنها بغير موافقة صريحة من الشخص المعني، إلا في الأحوال المصرح بها قانونًا. المادة 3 بتطلب أغراضًا مشروعة ومحددة أُعلن عنها للشخص، وبيانات دقيقة وآمنة، ومعالجة ملائمة لتلك الأغراض، وعدم الاحتفاظ أطول من اللازم. المادة 6 بتحدد متى تُعد المعالجة الإلكترونية مشروعة، ومنها الموافقة، واحتياجات تعاقدية أو تصرف قانوني معيّن، والتزام قانوني أو أمر جهة مختصة، وحالات أخرى بشرط ألا تتعارض مع الحقوق والحريات الأساسية.

في تطبيق Laravel ده تصميم منتج، مش بانر. اجمع بس اللي المسار محتاجه. افصل إنشاء الحساب عن الموافقة على العروض. احفظ مين وافق، وعلى إيه، وإمتى، وإزاي ظهر الإخطار، وسيب العدول يوقف المعالجة دي فعلًا. الغرض الجديد محتاج أساس جديد، مش إعادة استخدام صامت للعلامة القديمة.

البيانات الشخصية الحساسة، حسب المادة 1، تشمل البيانات الصحية والبيومترية والمالية والمعتقدات والآراء السياسية والحالة الأمنية، وبيانات الأطفال في كل الأحوال. المادة 12 بتضيف ترخيصًا من المركز، وموافقة كتابية صريحة إلا إذا القانون صرّح بغير ذلك، وموافقة ولي الأمر لبيانات الأطفال.

حقوق صاحب البيانات مسار شغل، مش صندوق بريد

المادة 2 بتعدد حق العلم والاطلاع، والعدول عن الموافقة، والتصحيح أو المحو، وتقييد المعالجة، والإخطار بأي خرق، والاعتراض في حالات محددة. المادة 32 بتلزم الرد على طلب ممارسة الحقوق خلال ستة أيام عمل من تقديمه. المادة 10 بتستخدم المهلة نفسها لما يطلب مستحق إتاحة البيانات؛ السكوت يُعد رفضًا.

صفحة «ابعت إيميل لـ admin» هتخطّي المهلة. محتاج قناة يستخدمها الناس، وتحقق هوية، وسجل بالقرار، ومسار لتصدير أو تصحيح أو محو البيانات من غير ما تكسر سجلات لازم تحتفظ بيها. لو قواعد ضريبية أو الإيصال الإلكتروني في مصر بتفرض الاحتفاظ بمعاملة، المستشار يحدّد إيه ينمسح وإيه المادة 4 بند 7 بتطلب الإبقاء عليه من غير ما يفضل يعرّف الشخص بعد انتهاء الغرض.

مسار الـ 72 ساعة عند الخرق

المادة 7 محددة. لما المتحكم أو المعالج يعلم بخرق أو انتهاك للبيانات الشخصية اللي عنده، لازم يبلغ المركز خلال اثنتين وسبعين ساعة، وفورًا لو الأمر يتعلق باعتبارات الأمن القومي. وفي نفس المهلة يقدم وصفًا لطبيعة الواقعة وصورتها وأسبابها، والحجم التقريبي للبيانات والسجلات، وبيانات مسؤول الحماية، والآثار المحتملة، والتدابير المتخذة والمقترحة، والتوثيق، وأي مستندات يطلبها المركز. وبعدين يخطر الشخص المعني خلال ثلاثة أيام عمل من تاريخ تقديم البلاغ، ويعرّفه بالتدابير المتخذة.

الساعة بتتحسب من العلم إلى المركز، وبعدين من تاريخ البلاغ إلى الأشخاص المتأثرين. الرصد والسجلات وجدول الاستعداد لازم يدعموا التسلسل ده.

التراخيص والمسؤول والاستضافة برة مصر

المادتان 4 و5 بتلزما المتحكم والمعالج بالحصول على ترخيص أو تصريح من المركز للتعامل مع البيانات الشخصية. المادة 26 بتشمل أنواعًا منها التعامل والمعالجة، والتسويق الإلكتروني المباشر، والمراقبة البصرية في الأماكن العامة، والبيانات الحساسة، واعتماد الاستشارات، والنقل عبر الحدود. وفق المادة 1، ترخيص الشخص الاعتباري صالح لثلاث سنوات وقابل للتجديد؛ والتصريح مؤقت وبحد أقصى سنة. المادة 27 بتوجب البت خلال تسعين يومًا من اكتمال المستندات، وإلا يُعد الطلب مرفوضًا. المادة 26 بتضع حدًا أقصى لرسم الترخيص مليوني جنيه، ولرسم التصريح أو الاعتماد خمسمائة ألف جنيه. ده سقف في القانون، مش سعر جولدن كود؛ الرسوم الفعلية بجداول المركز واللائحة.

المادة 8 بتلزم الممثل القانوني للشخص الاعتباري بتعيين موظف متخصص لحماية البيانات، وقيده في سجل مسؤولي الحماية بالمركز، والإعلان عن التعيين. المتحكم أو المعالج الشخص الطبيعي يفضل مسؤولًا عن تنفيذ القانون. البرنامج يقدر يدعم المسؤول؛ مش يقدر يكون هو المسؤول.

حركة البيانات عبر الحدود معرّفة بشكل واسع في المادة 1. المادة 14 بتمنع نقل البيانات المجمعة أو المعدّة للمعالجة إلى دولة أجنبية أو تخزينها أو مشاركتها هناك إلا إذا توافر مستوى حماية لا يقل عن القانون، وبعد الحصول على ترخيص أو تصريح. المادة 15 بتعدد استثناءات محدودة مع موافقة صريحة. لو بيانات الإنتاج أو النسخ الاحتياطي أو البريد أو تتبع الأخطاء أو دعم الموردين قاعدة برة مصر، حطّها على الخريطة قبل ما تفترض إن «التطبيق مستضاف محليًا».

المادتان 17 و18 بتنظما التسويق الإلكتروني المباشر: موافقة، هوية المرسل، عنوان يمكن الوصول إليه، غرض تسويقي واضح، آلية رفض شغالة، وسجلات موافقة تُحفظ ثلاث سنوات من آخر إرسال.

العقوبات في النص، مش كسعر تخويف

الباب الرابع عشر بيحدد نطاقات عقوبات، مش عرض سعر لحالتك. المادة 36 بتضع غرامة لا تقل عن مائة ألف ولا تجاوز مليون جنيه للجمع أو المعالجة أو الإفصاح أو التداول بغير الأحوال المصرح بها أو بغير موافقة، مع نطاق أعلى وحبس محتمل في حالات التشديد الواردة في المادة. المادة 38 (واجبات المواد 4 و5 و7) من ثلاثمائة ألف إلى ثلاثة ملايين جنيه. المواد 41 و42 و45 بتستخدم حدًا أعلى خمسة ملايين جنيه لجرائم بيانات حساسة ونقل عبر الحدود ومخالفات التراخيص المحددة، والمادتان 41 و42 كمان بتجيزا الحبس مدة لا تقل عن ثلاثة أشهر أو إحدى العقوبتين. المادة 49 بتاكد الصلح أو التصالح في أحوال محددة. اقرأ الباب مع محامٍ. الأرقام دي مش باقة من جولدن كود.

إزاي بنحدد نطاق الشغل التقني

الخطوة 1: جرّد البيانات الشخصية اللي عندك أصلًا

اعمل قائمة بالأنظمة والجداول والملفات والنسخ الاحتياطية والموردين وأدوات الدعم اللي بتخزن بيانات شخصية أو تقدر توصلها. سجّل عملاء مقيمين في مصر، والأطفال، والحقول المالية أو الصحية، ومكان السيرفرات.

الخطوة 2: اربط الأغراض والأسس وإثبات الموافقة

لكل مسار، اكتب الغرض المعلن، والأساس اللي اختاره المستشار، وقدرة المنتج على إثباته. افصل الرسائل التشغيلية عن التسويق. صلّح شاشات الجمع أولًا.

الخطوة 3: ابنِ مسارات الحقوق ومدد الاحتفاظ

نفّذ استقبال الطلبات، والتحقق من الهوية، ومهلة الستة أيام عمل، والتصدير والتصحيح والمحو أو التقييد، وسجل القرارات. حدّد مدد الاحتفاظ مع المستشار عشان السجلات المطلوبة تفضل، والباقي متتخزنش «احتياط».

الخطوة 4: راجع الاستضافة والمعالجين والنفاذ عبر الحدود

سمّي كل مورد يقدر يشوف بيانات شخصية، بما فيها بيئات التجربة والنسخ. لو البيانات بتخرج من مصر، اعتبر المادة 14 بوابة، مش حاشية. خلّي عقود المعالجين وسجلات النفاذ مع رسم المعمارية.

الخطوة 5: درّب مسار الـ 72 ساعة

اتفق مين يقرر إن الواقعة تستوجب الإبلاغ، ومين يقدم بلاغ المركز، ومين يخطر الناس خلال ثلاثة أيام عمل من البلاغ. اختبر السجلات وتغطية الاستعداد.

الخطوة 6: وفّق التراخيص والمسؤول مع خطة بناء مخصصة

المستشار يقود التراخيص وتعيين المسؤول وتقديمات المركز. إحنا نحدد نطاق البرنامج: الإخطارات، الإثبات، الطلبات، السجلات، علامات التسويق، ضبط الصلاحيات، ودعم الحوادث. جولدن كود مش بتنشر باقة امتثال ثابتة. بعد المراجعة نقدر نبعّتلك عرض سعر تقني مخصص.

مصر أولًا، وبعدين قوانين الخليج

ابدأ بواقع مصر: إخطارات عربية، بيانات عملاء محليين، وأي ربط ضريبي أو إيصال إلكتروني موجود في النظام. لو نفس المنتج بعدين هيخدم السعودية أو الإمارات، متلصقش القائمة دي على الأسواق دي.

البوابة الرسمية الإماراتية بتوصف المرسوم بقانون اتحادي رقم 45 لسنة 2021 في شأن حماية البيانات الشخصية، والساري في 2 يناير 2022، ومكتب الإمارات للبيانات. السعودية بتنشر نظام حماية البيانات الشخصية ولائحته عبر الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا). دول أنظمة منفصلة. استخدم روابط استكشاف Google Trends بدل درجات مخترعة: مصر، والإمارات، والسعودية.

خطوة تالية هادية

لو منتجك أصلًا بيحفظ بيانات عملاء أو موظفين في مصر، ابعت جرد مختصر: رابط النظام، حقول البيانات الشخصية، مكان الاستضافة والنسخ، وهل بتبعت رسائل تسويق. هنقولك إيه يدخل في نطاق تقني مخصص وإيه يفضل مع المحامي والمركز. ابدأ من صفحة الخدمات أو ابعت لجولدن كود جرد مختصر بالبيانات الشخصية اللي نظامك بيجمعها عشان عرض تقني مخصص—مفيش باقة ثابتة، فيه عرض نطاق بعد المراجعة.

الأسئلة الشائعة

كل موقع مصري محتاج ترخيص من المركز؟

مش تلقائيًا، والمقال ده مش هيحسم حالتك. أكّد مع المستشار والمركز إذا كنت متحكمًا أو معالجًا، وأنهي ترخيص أو تصريح ينطبق.

سياسة الخصوصية كافية للامتثال لقانون حماية البيانات الشخصية؟

لا. الإخطار ضروري، لكن القانون كمان متوقع أساسًا مشروعًا، ومسارات حقوق، وسجلات، وتدابير أمنية، ووقت اللزوم تراخيص ومسؤول معيّن وتصريحات نقل.

قاعدة الـ 72 ساعة إيه بالظبط؟

المادة 7 بتطلب إبلاغ المركز خلال اثنتين وسبعين ساعة من العلم، وفورًا لو فيه اعتبارات أمن قومي، ثم إخطار الشخص المعني خلال ثلاثة أيام عمل من تاريخ البلاغ.

السيرفرات برة مصر معناها المخالفة تلقائيًا؟

مش تلقائيًا، لكن المادة 14 بتطلب مستوى حماية لا يقل عن القانون وترخيصًا أو تصريحًا، مع استثناءات محدودة في المادة 15. ارسم الاستضافة والنسخ ونفاذ الموردين أولًا.

عندكم باقة امتثال ثابتة لقانون حماية البيانات الشخصية؟

لا. جولدن كود مش بتنشر باقة امتثال ثابتة ولا رسم ترخيص. بنسعّر شغل تقني مخصص بعد الجرد. التقديمات تفضل معاك ومع المستشار والمركز.

قانون الإمارات أو السعودية بيستبدل القانون المصري؟

لا. أنظمة منفصلة. لبيانات الأشخاص في مصر ابدأ بالقانون 151 لسنة 2020 والمركز. لو بتشتغل كمان في الإمارات أو السعودية، ضيف تلك الأنظمة مع مستشار محلي.

المصادر

• مركز حماية البيانات الشخصية — pdpc.gov.eg
• قانون رقم 151 لسنة 2020 (الجريدة الرسمية). ترجمة إنجليزية غير رسمية استُخدمت لأرقام المواد: Youssry Saleh & Partners. النص العربي الرسمي هو المعتمد.
• قرار رقم 816 لسنة 2025 بإصدار اللائحة التنفيذية (الوقائع المصرية، 1 نوفمبر 2025؛ يُعمل به في 2 نوفمبر 2025)
• بوابة حكومة الإمارات الرسمية — قوانين حماية البيانات (المرسوم بقانون اتحادي رقم 45 لسنة 2021)
• الهيئة السعودية للبيانات والذكاء الاصطناعي — الأنظمة واللوائح
• روابط استكشاف Google Trends أعلاه؛ مفيش درجات مخترعة