الامتثال لقانون حماية البيانات الشخصية PDPL 151

ينظم قانون حماية البيانات الشخصية في مصر رقم 151 لسنة 2020 القواعد الملزمة لأي كيان يجمع أو يخزن أو يعالج بيانات الأفراد. يضع هذا التشريع ضوابط صارمة على الشركات بمختلف أحجامها لضمان سرية المعلومات. يفرق القانون بوضوح بين نوعين من البيانات: البيانات الشخصية العادية مثل الأسماء وأرقام الهواتف، والبيانات الحساسة التي تشمل السجلات الطبية، المعلومات المالية، المعتقدات الدينية، والبيانات الحيوية (البيومترية).

تخضع الشركات التي تتعامل مع بيانات المواطنين المصريين لأحكام هذا القانون، سواء كان مقر الشركة داخل مصر أو خارجها. يلزم النص القانوني أصحاب الأعمال بتحديد الغرض من جمع البيانات بوضوح، والحصول على موافقة صريحة من العميل أو الموظف قبل تسجيل أي معلومة. ينطبق هذا الالتزام على كافة القطاعات، بدءاً من المتاجر الإلكترونية التي تجمع عناوين الشحن، وصولاً إلى الشركات التي تدير سجلات رواتب موظفيها.

يحدد القانون ثلاثة أطراف رئيسية في عملية معالجة البيانات: "الشخص المعني بالبيانات" وهو الفرد صاحب المعلومة، "المتحكم" وهو الشركة أو الجهة التي تحدد غرض وطريقة معالجة البيانات، و"المعالج" وهو الجهة التي تنفذ عملية المعالجة نيابة عن المتحكم. يفرض القانون التزامات تضامنية على المتحكم والمعالج لضمان سرية وأمان المعلومات، ويمنع أي استخدام للبيانات خارج النطاق الذي وافق عليه الفرد.

منح القانون الأفراد حقوقاً واسعة للتحكم في بياناتهم الرقمية. تنص المادة 2 من القانون على حق الفرد في العلم بالبيانات الموجودة لدى أي شركة، والاطلاع عليها، والحصول على نسخة منها. يمتلك الفرد حق سحب الموافقة في أي وقت، وطلب تصحيح البيانات أو محوها تماماً من سجلات الشركة متى انتهى الغرض من جمعها.

تحتاج الشركات إلى تعديل سياساتها الداخلية لتتوافق مع هذه الحقوق وتتجنب المساءلة. تبدأ الخطوة الأولى بمراجعة وتحديث سياسة الخصوصية (Privacy Policy) وإتاحتها للعملاء بلغة واضحة ومباشرة. تتضمن هذه السياسة نوع البيانات المجموعة، الغرض منها، ومدة الاحتفاظ بها، مع توفير وسيلة تواصل واضحة لتلقي طلبات العملاء المتعلقة ببياناتهم.

تلتزم الشركات بتعيين "مسؤول حماية البيانات" (DPO) داخل المؤسسة، وفقاً للمادة 9 من القانون. يتولى هذا المسؤول مراقبة الامتثال، وتلقي طلبات الأفراد لتعديل أو حذف بياناتهم، والتواصل مع الجهات الرقابية عند حدوث أي خرق أمني، والإشراف على تدريب الموظفين على سياسات الخصوصية وتأمين المعلومات.

تجمع إدارات الموارد البشرية كميات ضخمة من البيانات الشخصية والحساسة للموظفين، تشمل الحسابات البنكية، السجلات الجنائية، والتقارير الطبية. يفرض القانون حماية هذه السجلات بنفس صرامة حماية بيانات العملاء. يستوجب ذلك تضمين بنود واضحة للموافقة على معالجة البيانات عند صياغة عقود العمل المتوافقة مع قانون العمل المصري.

يضمن العقد المصاغ بدقة حق الشركة في معالجة بيانات الموظفين لأغراض التأمينات الاجتماعية، تحويل الرواتب، والتقييم الداخلي دون التعرض لمخالفة قانونية. تلتزم الشركة بقصر صلاحية الوصول إلى ملفات الموظفين على الأفراد المختصين فقط داخل إدارة الموارد البشرية والإدارة المالية.

عند انتهاء علاقة العمل، يحق للشركة الاحتفاظ ببيانات الموظف للمدة التي تتطلبها قوانين العمل والضرائب فقط. بمجرد انقضاء هذه المدد القانونية، تلتزم الشركة بإعدام السجلات الورقية والرقمية بطريقة آمنة تمنع استرجاعها أو تسريبها.

نصت المادة 19 من القانون على إنشاء "مركز حماية البيانات الشخصية" كجهة رقابية مختصة بمتابعة الامتثال وإصدار التراخيص. يهدف المركز إلى وضع السياسات الاستراتيجية لحماية البيانات، وتلقي الشكاوى من الأفراد، والتفتيش على الشركات للتحقق من التزامها بالمعايير التقنية والتنظيمية.

يمنح المركز تصاريح محددة للشركات بناءً على طبيعة نشاطها. حددت المادة 26 أنواع التراخيص، والتي تشمل تصاريح للشركات التي تمارس أنشطة التسويق الإلكتروني المباشر، وتراخيص لمعالجة البيانات الحساسة، وتصاريح لتركيب كاميرات المراقبة البصرية في الأماكن العامة.

حددت المادة ذاتها سقف الرسوم المطلوبة، حيث تصل إلى مليوني جنيه مصري لإصدار التراخيص، و500 ألف جنيه للتصاريح أو الاعتمادات. تلتزم الشركات التي تستخدم خوادم سحابية خارج مصر (Cloud Storage) أو تنقل بيانات عملائها إلى فروع أجنبية بالحصول على ترخيص مسبق لنقل البيانات عبر الحدود. يشترط لمنح هذا الترخيص إثبات توفير مستوى حماية في الدولة المستقبلة لا يقل عن المستوى المفروض محلياً في مصر.

يتضمن القانون عقوبات رادعة تهدف إلى منع الممارسات العشوائية في تداول البيانات، وتصل العقوبات إلى الحبس والغرامات المالية الضخمة. تنص المادة 41 على عقوبة الحبس مدة لا تقل عن ثلاثة أشهر، وغرامة تتراوح بين 500 ألف و5 ملايين جنيه مصري، لكل من جمع أو أفشى أو عالج بيانات شخصية حساسة دون موافقة صاحبها أو في غير الأحوال المصرح بها قانوناً.

تعاقب المادة 37 بغرامة من 100 ألف إلى مليون جنيه كل شركة تمتنع عن تمكين الأفراد من ممارسة حقوقهم، مثل حق الوصول إلى البيانات أو طلب محوها. ترتفع هذه الغرامة لتصل إلى مليوني جنيه في حال جمع البيانات دون توافر الشروط القانونية الصارمة، مثل جمع بيانات من مصادر غير مشروعة أو بيع قوائم العملاء لأطراف خارجية.

يفرض القانون غرامات تصل إلى مليوني جنيه على مخالفات التسويق الإلكتروني المنصوص عليها في المادتين 17 و18. يعني ذلك أن إرسال رسائل ترويجية عبر البريد الإلكتروني أو الرسائل النصية القصيرة (SMS) دون موافقة مسبقة صريحة من العميل يعرض الشركة لخطر قانوني جسيم. تمتد المسئولية الجنائية لتشمل الممثل القانوني للشركة (المدير أو رئيس مجلس الإدارة) بموجب المادة 39، إذا ثبت علمه بالمخالفة أو كان وقوعها نتيجة إخلاله بواجبات الإشراف.

تتطلب الإجراءات الضريبية الحديثة معالجة دقيقة لبيانات العملاء والموردين. عند إصدار الفواتير، تجمع الشركات بيانات حساسة تتعلق بالهوية، الأرقام الضريبية، وعناوين الشركات. يتوافق الامتثال لقانون حماية البيانات مع متطلبات الفاتورة الإلكترونية ETA للشركات: الالتزام والإعفاء، حيث تلتزم الشركة بتأمين هذه السجلات ضد التسريب أو الاختراق.

يتحمل المديرون الماليون مسؤولية التأكد من أن البرامج المحاسبية المستخدمة تطبق معايير التشفير المعتمدة، وأن صلاحيات الوصول إلى البيانات المالية تقتصر على الموظفين المختصين فقط. أي تسريب لهذه السجلات يوقع الشركة في مخالفة ضريبية ويفتح باب المساءلة الجنائية بموجب قانون حماية البيانات.

تلتزم الشركات بالاحتفاظ بالبيانات المالية للمدة التي يحددها قانون الضرائب. بمجرد انتهاء هذه المدة القانونية، يسقط مبرر الاحتفاظ بها. يوجب قانون حماية البيانات إعدام هذه السجلات بطريقة آمنة تمنع استرجاعها، ما يتطلب سياسة واضحة لإدارة دورة حياة المستندات داخل المؤسسة.

يفرض القانون التزاماً فورياً على الشركات في حال تعرض أنظمتها للاختراق أو تسريب البيانات. يلتزم المتحكم بإبلاغ مركز حماية البيانات الشخصية خلال 72 ساعة من اكتشاف الخرق الأمني. يتضمن الإبلاغ وصفاً لطبيعة الاختراق، عدد الأفراد المتأثرين، والتدابير التي اتخذتها الشركة لاحتواء الضرر.

إذا كان الخرق يشكل خطراً جسيماً على حقوق الأفراد، تلتزم الشركة بإبلاغ الأشخاص المعنيين مباشرة خلال ثلاثة أيام عمل، وتزويدهم بالمعلومات اللازمة لحماية أنفسهم، مثل تغيير كلمات المرور أو إيقاف البطاقات البنكية. الفشل في الإبلاغ عن هذه الحوادث يضاعف العقوبات القانونية ويدمر سمعة الشركة في السوق.

يتطلب الاستعداد لهذه المواقف وضع خطة طوارئ مسبقة (Incident Response Plan) تحدد أدوار فريق تكنولوجيا المعلومات، الإدارة القانونية، ومسؤول حماية البيانات. وجود هذه الخطة يثبت حسن نية الشركة أمام الجهات الرقابية ويقلل من حجم الغرامات المحتملة عند وقوع الحوادث السيبرانية.

يبدأ الامتثال بتقليل حجم البيانات المجموعة (Data Minimization)؛ لا تطلب من العميل معلومات لا تحتاجها لإتمام الخدمة. راجع دورة حياة البيانات داخل شركتك، وحدد متى وكيف يتم التخلص من السجلات القديمة بطريقة آمنة. وفر نماذج موافقة صريحة لعملائك قبل جمع أي بيانات، واجعل خيار التراجع عن الموافقة متاحاً وسهلاً.

تحتاج المكاتب القانونية والشركات إلى أدوات تقنية موثوقة لإدارة الملفات. يوفر Lexa AI — نظام إدارة مكاتب المحاماة + مساعد قانوني ذكي بيئة سحابية مشفرة تضمن حفظ مستندات العملاء والبيانات الحساسة وفق أعلى معايير الأمان، مما يسهل على مكاتب المحاماة والشركات تلبية متطلبات القانون دون تعقيدات تقنية.

درب فريق العمل على سياسات الخصوصية بشكل دوري، واشترط على الموردين الخارجيين (مثل شركات الشحن، مزودي الخدمات السحابية، أو وكالات التسويق) التوقيع على اتفاقيات سرية ومشاركة البيانات (Data Processing Agreements). يضمن هذا الإجراء التزام الأطراف الثالثة بمعايير الأمان، ويحمي شركتك من تحمل مسؤولية أخطاء الموردين التي قد تؤدي إلى تسريب بيانات عملائك.