قانون حماية البيانات الشخصية المصري: ما المطلوب من تطبيقك؟
قائمة عملية للتطبيقات وفق القانون رقم 151 لسنة 2020: سجلات الموافقة، وحقوق المستخدمين، والتأمين، والإبلاغ عن الاختراق، وترخيص المركز أو تصريحه.
ينطبق قانون حماية البيانات الشخصية المصري رقم 151 لسنة 2020 على كل منشأة تجمع البيانات الشخصية أو تخزنها أو تعالجها بوسائل إلكترونية، وقد صدرت لائحته التنفيذية بالفعل. وعمليًا يحتاج تطبيقك إلى موافقة مسجلة، وغرض ومدة احتفاظ واضحين لكل نوع من البيانات، ووسيلة يمارس بها المستخدمون حقوقهم، وتأمين حقيقي، وإجراء للإبلاغ عن الاختراق خلال 72 ساعة، وترخيص أو تصريح من مركز حماية البيانات الشخصية. يحوّل هذا الدليل تلك الالتزامات إلى قائمة تحقق يمكن لفريق التطوير العمل عليها.
آخر تحديث: 6 نوفمبر 2026
هذه معلومات عامة وليست استشارة قانونية. استخدمها للاستعداد للحديث مع محاميك، لا بديلًا عنه.
نطاق القانون ووضعه الحالي
ينظم القانون البيانات الشخصية، أي كل بيان يحدد شخصًا طبيعيًا بشكل مباشر أو غير مباشر، مثل الاسم أو الصوت أو الصورة أو الرقم التعريفي أو المعرّف على الإنترنت. والمعالجة معرّفة تعريفًا واسعًا، فالجمع والتسجيل والحفظ والعرض والإرسال والتحليل والتعديل والمحو كلها معالجة، سواء تمت كليًا أو جزئيًا بوسائل إلكترونية.
ظل القانون سنوات دون لائحة تنفيذية، وهذا تغيّر الآن. فموقع المركز نفسه يذكر أن اللائحة التنفيذية قد صدرت وأن التركيز انتقل إلى التطبيق العملي. ويدير المركز حاليًا بوابة إلكترونية تتقدم المنشآت من خلالها بطلبات التصاريح والتراخيص وتسجل مسؤولي حماية البيانات لديها.
والمبادئ الأساسية قصيرة، ويستحق كل فريق منتج أن يضعها أمامه:
- اجمع البيانات لغرض مشروع ومحدد أعلنته للشخص المعني.
- حافظ على صحة البيانات وتأمينها.
- عالجها بطريقة ملائمة للغرض الذي جُمعت من أجله.
- لا تحتفظ بها مدة أطول مما يتطلبه ذلك الغرض.
المتحكم أم المعالج: حدّد دورك أولًا
يوزع القانون المسؤولية بين دورين، وتختلف التزاماتك بحسب الدور الذي تشغله.
| الدور | من يكون عادةً | أهم الالتزامات |
|---|---|---|
| المتحكم | المنشأة التي تحدد سبب استخدام البيانات وطريقته، مثل العيادة أو المتجر أو مالك التطبيق | الموافقة، والغرض، ومدة الاحتفاظ، وحقوق المستخدمين، والسجلات، والترخيص أو التصريح |
| المعالج | شركة تتعامل مع البيانات نيابةً عن المتحكم، مثل مزود الاستضافة أو البرمجيات | اتباع التعليمات المكتوبة، وتأمين البيانات، وسجل المعالجة، والترخيص أو التصريح |
أغلب مالكي التطبيقات متحكمون. أما شركة البرمجيات التي تستضيف النظام وتشغله لك فقد تكون معالجًا، ويتوقع القانون من المعالج أن يعمل وفق تعليمات مكتوبة. فإذا كنت تتعاقد على تطوير تطبيق، فضمّن التزامات حماية البيانات في عقد التطوير والدعم، ويتناول دليلنا عن ما يجب مراجعته في عقد تطوير البرمجيات بقية البنود.
وينص القانون أيضًا على أن المتحكم أو المعالج الموجود خارج مصر يلتزم بتعيين ممثل له في مصر على النحو الذي تبينه اللائحة التنفيذية. ويهم ذلك الشركات الخليجية والأجنبية التي تخدم مستخدمين في مصر أو تدير جزءًا من عملها فيها، فاسأل محاميك عن انطباقه على هيكل شركتك.
ترخيص المركز أو تصريحه
يُلزم القانون المتحكمين والمعالجين بالحصول على ترخيص أو تصريح من مركز حماية البيانات الشخصية للتعامل مع البيانات الشخصية. وتعرض بوابة المركز حاليًا مسارين رئيسيين:
- تصريح أو ترخيص للشخص الاعتباري، وهو للشركات.
- تصريح للمهن الحرة، وهو للمهنيين الأفراد مثل الأطباء والمحامين والاستشاريين المستقلين.
ويوضح مسار المهن الحرة على البوابة طبيعة الاستعداد المطلوب: يتحقق مقدم الطلب من رقم التسجيل الضريبي لدى مصلحة الضرائب المصرية، ويجيب عن استبيان امتثال يحدد التزاماته وفق القانون، ويرفع مستندات موقعة رقميًا عبر هيئة تنمية صناعة تكنولوجيا المعلومات (إيتيدا)، منها صحيفة الحالة الجنائية وإقرار بصحة البيانات وقائمة تحقق للامتثال، ثم يسدد الرسوم. وتذكر البوابة أن مراجعة الطلب قد تستغرق من أسبوع إلى أسبوعين.
والاستبيان هو الخطوة الأولى المفيدة لأغلب المنشآت، لأن إجاباته تعتمد على البيانات التي يجمعها التطبيق وسبب جمعها، وهو بالضبط حصر البيانات الموضح في القسم التالي.
وتضم البوابة كذلك خدمات لتعيين مسؤول حماية البيانات واستبداله واعتماده، ولإخطار المركز بمغادرته. حدّد مبكرًا من سيتولى هذا الدور، فالقانون يتوقع بياناته في بلاغات الاختراق وفي سجل المعالجة لدى المعالج.
قائمة التحقق الهندسية
هذه الخصائص تحوّل التزامات القانون إلى برمجيات تعمل فعلًا. ابنِها من البداية، فإضافتها إلى تطبيق قائم أبطأ وأكثر مخاطرة.
حصر البيانات
اكتب قائمة بكل حقل يجمعه التطبيق، والشاشة التي تجمعه، وسبب جمعه، ومكان تخزينه، ومن يطّلع عليه، ومدة الاحتفاظ به. هذه القائمة هي أساس استبيان المركز وإشعار الخصوصية والسجل الذي يُلزمك القانون بإمساكه. وإذا لم يكن للحقل غرض واضح فاحذفه.
موافقة يمكنك إثباتها
- اعرض الغرض بلغة واضحة عند جمع البيانات، بالعربية والإنجليزية إذا احتاج عملاؤك إليهما.
- سجّل كل موافقة مع تاريخها ونسخة النص المعروض وطريقة إعطائها.
- اطلب موافقة جديدة قبل استخدام البيانات لغرض جديد.
- اجعل سحب الموافقة سهلًا كإعطائها، واجعل التطبيق يلتزم بالسحب.
البيانات التي يقدمها الشخص للحصول على خدمة مشروعة تُعد موافقة لهذا الغرض وحده. فتطبيق الحجز يمكنه استخدام رقم الهاتف لتأكيد الحجز، لكن لا يجوز له استخدامه في العروض الترويجية دون موافقة مستقلة.
البيانات الحساسة وبيانات الأطفال
يمنح القانون حماية إضافية للبيانات الحساسة، ومنها البيانات الصحية والجينية والبيومترية والمالية، والمعتقدات الدينية والآراء السياسية والسجل الجنائي، وجميع بيانات الأطفال. ويتطلب التعامل معها ترخيصًا من المركز، وموافقة كتابية صريحة من الشخص المعني ما لم يجز القانون غير ذلك، وموافقة الولي في حالة الأطفال. والعيادات والمعامل والصيدليات والمدارس وتطبيقات التقنية المالية تقع في صميم ذلك. وإذا كنت تدير منشأة طبية فاطّلع على ملاحظاتنا عن برامج إدارة العيادات في مصر وعن منصات الاستشارات الطبية عن بُعد.
حقوق المستخدمين داخل المنتج
يمنح القانون كل شخص الحق في العلم بالبيانات المحفوظة عنه والاطلاع عليها، وسحب موافقته، وتصحيحها أو تحديثها أو محوها، وقصر المعالجة على غرض محدد، والاعتراض عليها في بعض الحالات، والعلم بأي خرق. خصّص لهذه الطلبات مكانًا واضحًا:
- شاشة ملف شخصي يرى فيها المستخدم بياناته ويصححها.
- مسار لطلبات الاطلاع والمحو والاعتراض برقم مرجعي وموعد نهائي تتابعه.
- شاشة في لوحة التحكم يجد فيها الموظف كل ما يخص شخصًا واحدًا ويصدّره ويحذفه.
مدة الاحتفاظ والمحو
حدّد مدة احتفاظ لكل فئة من البيانات، واجعل النظام ينفذها. فعند انتهاء الغرض يتوقع القانون محو البيانات، أو الاحتفاظ بها في صورة لا تسمح بتحديد الشخص. والمهام المجدولة التي تحذف السجلات القديمة أو تُخفي هوية أصحابها أفضل من التنظيف اليدوي، وتترك سجلًا يمكنك إبرازه.
التأمين وصلاحيات الوصول
يُلزم القانون باتخاذ الإجراءات التقنية والتنظيمية اللازمة لحماية سرية البيانات ومنع العبث بها أو إتلافها أو الوصول غير المشروع إليها. وفي التطبيق يعني ذلك عادةً:
- اتصالات مشفرة في كل مكان، وتشفير البيانات الحساسة أثناء التخزين.
- أدوار وصلاحيات، فلا يرى موظف الاستقبال ما يراه الطبيب، ولا يرى الكاشير بيانات الرواتب.
- سجل تدقيق يوضح من اطّلع على البيانات الشخصية أو صدّرها أو عدّلها أو حذفها.
- تسجيل دخول قوي للمسؤولين، ويفضل بالتحقق بخطوتين.
- نسخ احتياطية مختبرة، ومسؤول واضح عن تحديثات الخوادم والمكتبات البرمجية.
وبيانات الرواتب وشؤون الموظفين نقطة يغفل عنها كثيرون، ويتناولها دليلنا عن برامج الموارد البشرية والحضور والرواتب في مصر.
الرسائل التسويقية
إذا كان التطبيق يرسل رسائل ترويجية عبر الرسائل النصية أو البريد الإلكتروني أو واتساب، فاحصل على موافقة خاصة بالتسويق، وعرّف بالجهة المرسلة، ووفّر وسيلة بسيطة لإلغاء الاشتراك ينفذها النظام فورًا. وافصل موافقة التسويق عن رسائل الخدمة مثل تأكيد الحجز.
الاستجابة للاختراق: قاعدة 72 ساعة
عندما يعلم المتحكم أو المعالج بخرق للبيانات الشخصية، يُلزمه القانون بإبلاغ المركز خلال 72 ساعة، وفورًا إذا تعلق الخرق باعتبارات الأمن القومي. ويتضمن البلاغ وصف ما حدث، والعدد التقريبي للسجلات المتأثرة، وبيانات مسؤول حماية البيانات، والآثار المحتملة، والإجراءات المتخذة لاحتوائه. ثم يجب إخطار الأشخاص المتأثرين خلال ثلاثة أيام عمل من تاريخ الإبلاغ.
لا يمكن الالتزام بهذه المهلة بالارتجال، فجهّز خطة مختصرة قبل الإطلاق:
- حدّد من يملك إعلان الحادث ومن يتواصل مع المركز.
- تأكد أن السجلات والتنبيهات توضح ما تم الوصول إليه ومتى.
- احتفظ بنموذج بلاغ يضم الحقول التي يطلبها القانون.
- جهّز رسالة المستخدمين بالعربية والإنجليزية.
- وثّق كل حادث وطريقة معالجته، حتى الصغير منها.
البيانات التي تغادر مصر
يقيّد القانون نقل البيانات الشخصية إلى خارج مصر، والأصل أن يكون مستوى الحماية في الدولة المستقبِلة غير أقل من مستواه في مصر، وأن تحصل على ترخيص أو تصريح من المركز. ويجيز القانون استثناءات محدودة، مثل الرعاية الطبية، بشرط الموافقة الصريحة للشخص المعني. ويجب أن يصف سجل المعالجة أي نقل عبر الحدود.
وفي التطبيقات يكون هذا غالبًا سؤالًا عن الاستضافة. فإذا كانت خوادمك أو خدمة البريد أو أدوات التحليلات أو مزود روبوت المحادثة خارج مصر، فقد تكون البيانات الشخصية تغادر البلاد. أدرج كل خدمة خارجية في حصر البيانات، ودوّن مكان تخزينها للبيانات، واعرض القائمة على محاميك وفي استبيان المركز. وعلى الشركات الخليجية التي تستعين بفريق في مصر أن تحصر الاتجاه المعاكس أيضًا: ما البيانات التي يصل إليها الفريق في مصر، وبموجب أي عقد.
دورنا في ذلك
تبني KF Tech Solutions برمجيات مخصصة ومواقع وتطبيقات ويب وتطبيقات جوال وأنظمة للعيادات والمنشآت. ومن خلال خدمة تطوير البرمجيات المخصصة نبني الجانب التقني من هذه القائمة داخل المنتج: حصر البيانات، وسجلات الموافقة، والأدوار والصلاحيات، وسجلات التدقيق، وشاشات حقوق المستخدمين، ومهام الاحتفاظ والمحو، وتسجيل الحوادث. ولا نقدم استشارات قانونية ولا نتقدم بطلبات إلى المركز نيابةً عنك، لذلك نعمل جنبًا إلى جنب مع محاميك ومسؤول حماية البيانات لديك. نعمل مع المنشآت في مصر والخليج.
أسئلة شائعة
هل ينطبق القانون على المنشآت الصغيرة والشركات الناشئة؟
ينطبق القانون على كل من يعالج البيانات الشخصية إلكترونيًا، وتوفر بوابة المركز مسارات للشركات وللمهنيين الأفراد. ويصدر الترخيص للأشخاص الاعتبارية، بينما يجوز منح التصريح للأفراد أيضًا، وتتطلب البيانات الحساسة ترخيصًا، لذا أجب عن استبيان المركز وتحقق من النتيجة مع محامٍ.
هل تكفي صفحة سياسة الخصوصية؟
لا. السياسة تصف ما تفعله، أما القانون فيتوقع أن تستطيع إثباته، وذلك يعني سجلات الموافقة، وسجل المعالجة، وطلبات حقوق المستخدمين التي تعمل فعلًا، وضوابط التأمين، وإجراء الاستجابة للاختراق.
من يجب أن يكون مسؤول حماية البيانات؟
شخص يفهم عمل المنشأة والقانون معًا، ويملك الصلاحية لإصلاح المشكلات. وتتولى بوابة المركز تعيين المسؤول واستبداله واعتماده، فراجع متطلباتها قبل الاختيار.
هل يمكننا استضافة التطبيق خارج مصر؟
ربما، لكن تخزين البيانات الشخصية في الخارج قد يُعد نقلًا عبر الحدود، وهو ما يقيّده القانون ويربطه بترخيص أو تصريح من المركز. تحقق من خطة الاستضافة مع محاميك قبل الإطلاق.
لدينا تطبيق قائم بالفعل، فمن أين نبدأ؟
ابدأ بحصر البيانات، فهو يوضح ما تحتفظ به وأين يذهب وأي الثغرات أهم، وهو ما يسأل عنه استبيان المركز. وتأتي بعده عادةً سجلات الموافقة والمحو وصلاحيات الوصول.
إذا كنت تخطط لتطبيق جديد أو تحتاج إلى مواءمة تطبيق قائم مع القانون رقم 151 لسنة 2020، أخبرنا بما يفعله التطبيق أو احجز مكالمة مجانية، وسنراجع معك الثغرات التقنية.
المصادر
اقرأ المزيد
النشرة البريدية
ملاحظات من حين لآخر عن البرمجيات والأتمتة وإدارة أعمال أفضل. دون رسائل مزعجة.