قانون حماية البيانات الشخصية رقم 151 لسنة 2020 م

في ظل الثورة الرقمية المتسارعة التي يشهدها العالم، أصبحت البيانات الشخصية أحد أهم الأصول التي تعتمد عليها الحكومات والمؤسسات والأفراد في مختلف المعاملات والأنشطة اليومية. ومع التوسع غير المسبوق في إستخدام وسائل الإتصال الإلكترونية ومنصات التكنولوجيا الحديثة، برزت تحديات قانونية متزايدة تتعلق بحماية خصوصية الأفراد وضمان عدم إساءة إستخدام بياناتهم أو إستغلالها بطرق غير مشروعة. وقد أدي ذلك إلي تنامي الحاجة إلي وضع إطار تشريعي متكامل يوازن بين متطلبات التطور التكنولوجي من جهة، وحماية الحقوق والحريات الأساسية للأفراد من جهة أخري.

وفي هذا السياق، أصدر المشرع المصري قانون حماية البيانات الشخصية رقم 151 لسنة 2020 ليُشكل نقلة نوعية في المنظومة التشريعية المصرية، بإعتباره أول تشريع متكامل ينظم عمليات جمع ومعالجة وتخزين ونقل البيانات الشخصية، ويضع الضوابط والإلتزامات القانونية اللازمة لحمايتها. ويهدف القانون إلي تعزيز الثقة في البيئة الرقمية، وترسيخ مباديء الشفافية والمساءلة، وضمان احترام الحق الدستوري في الخصوصية، بما يتوافق مع المعايير الدولية الحديثة لحماية البيانات الشخصية.

ومن ثم، تبرز أهمية هذا القانون ليس فقط بإعتباره أداة لحماية الأفراد من الإنتهاكات الرقمية، وإنما كذلك كركيزة أساسية لدعم التحول الرقمي وجذب الإستثمارات وتعزيز تنافسية الإقتصاد المصري في ظل التطورات التكنولوجية العالمية المتلاحقة.

البيانات الشخصية هي أي بيانات متعلقة بشخص طبيعي محدد، أو يمكن تحديده بشكل مباشر أو غير مباشر عن طريق الربط بين هذه البيانات وأي بيانات أخري كالإسم، أو الصوت، أو الصورة، أو رقم تعريفي ، أو محدد للهوية عبر الإنترنت، أو أي بيانات تحدد الهوية النفسية، أو الصحية، أو الإقتصادية، أو الثقافية، أو الإجتماعية.

الشخص المعني بالبيانات هو أي شخص طبيعي تُنسب إليه بيانات شخصية معالجة إلكترونياً تدل عليه قانوناً أو فعلاً، وتُمكن من تمييزه عن غيره.

الحائز هو أي شخص طبيعي أو إعتباري، يحوز ويحتفظ قانونياً أو فعلياً ببيانات شخصية في أي صورة من الصور، أو علي أي وسيلة تخزين سواءً أكان هو المنشيء للبيانات، أو انتقلت إليه حيازتها بأي صورة.

المتحكم هو أي شخص طبيعي أو إعتباري يكون له بحكم عمله، الحق في الحصول علي البيانات الشخصية وتحديد طريقة وأسلوب ومعايير الإحتفاظ بها، أو معالجتها والتحكم فيها طبقاً للغرض المحدد أو نشاطه.

نطاق سريان قانون حماية البيانات الشخصية رقم 151 لسنة 2020

يُطبق القانون علي البيانات الشخصية للأشخاص الطبيعية التي تتم معالجتها إلكترونياً كلياً أو جزئياً لدي أي حائز أو متحكم أو معالج للبيانات، ويمتد نطاق تطبيق القانون علي مرتكب الواقعة من المصريين داخل مصر أو خارجها، أو كان من غير المصريين المقيمين داخل مصر، أو كان من غير المصريين خارج مصر إذا كان الفعل معاقباً عليه في الدولة التي وقع فيها تحت أي وصف قانوني وكانت البيانات محل الجريمة لمصريين أو أجانب مقيمين داخل مصر.

حقوق الشخص المعني بالبيانات، وشروط معالجة تلك البيانات

لا يجوز جمع البيانات الشخصية أو معالجتها أو الإفصاح عنها أو إفشائها بأي وسيلة إلا بموافقة صريحة من الشخص المعني بالبيانات، أو في الأحوال المُصرح بها قانوناً.

• حقوق الشخص المعني بالبيانات، تتمثل في:

1- العلم بالبيانات الشخصية الخاصة به لدي أي حائز أو متحكم والإطلاع عليها، والعلم بأي خرق أو إنتهاك لبياناته الشخصية.

2- العدول عن الموافقة المسبقة علي الإحتفاظ ببياناته الشخصية أو معالجتها، وله حق تصحيح أو تعديل أو محو أو إضافة أو تحديث بياناته الشخصية.

3- حق تخصيص المعالجة في نطاق محدد، والإعتراض علي المعالجة ونتائجها متي تعارضت مع حقوقه.

• شروط معالجة البيانات الشخصية للشخص المعني بالبيانات:

1- يجب جمع تلك البيانات لأغراض مشروعة ومحددة ومعلنة للشخص المعني بالبيانات، وأن تكون صحيحة وسليمة ومؤمنة.

2- يجب معالجة البيانات بطريقة مشروعة وملائمة للغرض من أجله، ويجب عدم الإحتفاظ بها لمدة أطول من المدة اللازمة للوفاء بالغرض منها.

إلتزامات المتحكم في البيانات الشخصية

ألزم قانون حماية البيانات الشخصية رقم 151 لسنة 2020 المتحكم في البيانات بمجموعة من الإلتزامات التي تهدف لضمان حماية البيانات الشخصية والحفاظ علي سريتها، ومن أبرز هذه الإلتزامات:

1- الحصول علي البيانات الشخصية ومعالجتها بوسائل مشروعة ولأغراض محددة ومعلومة ومشروعة.

2- التأكد من صحة البيانات الشخصية ودقتها وتحديثها بصورة دورية كلما كان ذلك لازماً.

3- عدم الإحتفاظ بالبيانات الشخصية لمدة تتجاوز المدة اللازمة لتحقيق الغرض من جمعها أو معالجتها.

4- تمكين الشخص المعني بالبيانات من ممارسة حقوق المقررة قانوناً، بما في ذلك الإطلاع علي بياناته وتصحيحها أو تحديثها أو محوها وفقاً لأحكام القانون.

5- إتخاذ جميع التدابير والإجراءات الفنية والتنظيمية المناسبة لتأمين البيانات الشخصية وحمايتها من الإختراق أو التلف أو التعديل أو  الإفشاء أو الوصول غير المصرح به.

6- الحصول علي التراخيص أو التصاريح اللازمة من الجهات المختصة في الحالات التي يتطلبها القانون.

7- إخطار مركز حماية البيانات الشخصية بأي خرق أو إنتهاك للبيانات الشخصية متي إستوجب القانون ذلك.

8- الإلتزام بالحفاظ علي سرية البيانات وعدم تداولها أو الإفصاح عنها إلا في الحدود التي يجيزها القانون أو بناءً علي موافقة الشخص المعني بالبيانات.

وتعكس هذه الإلتزامات مسؤولية المتحكم بإعتباره الطرف الرئيسي الذي يحدد أغراض ووسائل معالجة البيانات الشخصية، الأمر الذي يضع علي عاتقه واجباً قانونياً في ضمان الإمتثال لأحكام القانون وحماية حقوق أصحاب البيانات.

إلتزامات المعالج للبيانات الشخصية

لقد أوجب قانون حماية البيانات الشخصية رقم 151 لسنة 2020 على المعالج الالتزام بمجموعة من الواجبات القانونية التي تكفل معالجة البيانات الشخصية بصورة آمنة ومشروعة، ومن أبرزها:

1- إجراء معالجة البيانات الشخصية وفقًا للأغراض والتعليمات المحددة من المتحكم، وفي الحدود المصرح بها قانونًا.

2- عدم تجاوز الغرض من المعالجة أو استخدام البيانات الشخصية في أي أغراض أخرى غير متفق عليها أو مصرح بها.

3- اتخاذ التدابير والإجراءات الفنية والتنظيمية اللازمة لحماية البيانات الشخصية وتأمينها ضد الاختراق أو التلف أو الفقد أو الإفصاح غير المصرح به.

4- الحفاظ على سرية البيانات الشخصية وعدم الكشف عنها أو إتاحتها للغير إلا بناءً على تعليمات المتحكم أو وفقًا لأحكام القانون.

5- محو البيانات الشخصية أو التخلص منها فور انتهاء الغرض من المعالجة أو بناءً على تعليمات المتحكم، ما لم يقتض القانون الاحتفاظ بها لمدة محددة.

6- تمكين المتحكم من التحقق من التزامه بالضوابط والإجراءات المقررة لحماية البيانات الشخصية.

7-  عدم إسناد عمليات المعالجة إلى معالج آخر إلا بعد الحصول على التصاريح أو الموافقات اللازمة وفقًا لأحكام القانون.

8- الاحتفاظ بسجل إلكتروني لعمليات معالجة البيانات الشخصية متى أوجب القانون ذلك.

ويُعد المعالج مسؤولًا عن تنفيذ عمليات المعالجة وفقًا للضوابط القانونية والفنية المقررة، بما يضمن حماية البيانات الشخصية وصون حقوق أصحابها، مع مراعاة التعليمات الصادرة من المتحكم وأحكام قانون حماية البيانات الشخصية.

شروط صحة المعالجة، تتمثل في:

تكون المعالجة صحيحة ومشروعة قانوناً حال توافر إحدي الحالات الآتية:

1- موافقة الشخص المعني بالبيانات علي إجراء المعالجة من أجل تحقيق غرض محدد أو أكثر.

2- أن تكون المعالجة لازمة وضرورية تنفيذاً لإلتزام تعاقدي أو تصرف قانوني أو لإبرام عقد لصالح الشخص المعني بالبيانات.

3- تنفيذ إلتزام ينظمه القانون أو أمر من جهات التحقيق المختصة أو بناءً علي حكم قضائي.

4- تمكين المتحكم من القيام بإلتزاماته أو أي ذي صفة من ممارسة حقوقه المشروعة، ما لم يتعارض ذلك مع الحقوق والحريات الأساسية للشخص المعني بالبيانات.

الإلتزام بالإخطار والإبلاغ:

يلتزم كل من المتحكم والمعالج بإخطار مركز حماية البيانات الشخصية بأي خرق أو إنتهاك للبيانات الشخصية خلال 72 ساعة من وقت حدوثه، وإذا كان الإنتهاك يتعلق بإعتبارات حماية الأمن القومي فيكون الإخطار فورياً، وفي جميع الأحوال يلتزم المعالج والمتحكم بإخطار الشخص المعني بالبيانات خلال 3 أيام عمل من تاريخ الإبلاغ والإجراءات التي تم إتخاذها.

إلتزامات مسئول حماية البيانات الشخصية:

ألزم قانون حماية البيانات الشخصية رقم 151 لسنة 2020 المتحكم والمعالج بتعيين مسؤول لحماية البيانات الشخصية، يتولي الإشراف علي تنفيذ أحكام القانون وضمان إمتثال المؤسسة للضوابط والإجراءات المنظمة لمعالجة البيانات الشخصية. كما يضطلع هذا المسؤول بمتابعة نظم حماية البيانات، ورصد المخاطر والإنتهاكات المحتملة، والتنسيق مع مركز حماية البيانات الشخصية، وتمكين أصحاب البيانات من ممارسة حقوقهم القانونية، بما يُعزز من مستوي الحماية والحوكمة داخل المؤسسات ويضمن الإلتزام بالمعايير المقررة قانوناً.

ضوابط إتاحة البيانات الشخصية وحجية الدليل الرقمي:

نظم القانون إتاحة البيانات الشخصية للغير، حيث ألزم المتحكم والمعالج والحائز بعدم إتاحة البيانات إلا بناءً علي طلب كتابي مُقدم من ذي صفة أو إستناداً إلي سند قانوني، مع التحقق من المستندات اللازمة والبت في الطلب خلال 6 أيام عمل، علي أن يكون قرار الرفض مُسبباً.

كما أقر القانون الحجية القانونية للدليل الرقمي المستمد من البيانات الشخصية، ومنحه ذات قوة الإثبات المقررة للمحررات والبيانات الخطية متي إستوفي المعايير والشروط الفنية المقررة قانوناً.

التسويق الإلكتروني وحماية خصوصية الأفراد:

لقد نظم القانون عمليات التسويق الإلكتروني المباشر، حيث حظر  إرسال أي اتصالات إلكترونية ذات غرض تسويقي إلا بعد الحصول على موافقة مسبقة من الشخص المعني بالبيانات، مع ضرورة الإفصاح عن هوية المرسل وبيانات التواصل الخاصة به، وبيان الطبيعة التسويقية للرسالة بشكل واضح. كما ألزم المرسل بعدم الإفصاح عن بيانات الاتصال الخاصة بالأفراد، والاحتفاظ بسجلات تثبت موافقتهم على تلقي الرسائل التسويقية أو عدم اعتراضهم عليها، وذلك لضمان احترام الخصوصية ومنع الاستخدام غير المشروع للبيانات الشخصية في الأنشطة التسويقية.

نقل البيانات الشخصية عبر الحدود، الضوابط والإستثناءات القانونية:

وضع قانون حماية البيانات الشخصية رقم 151 لسنة 2020 إطاراً قانونياً لنقل أو مشاركة البيانات الشخصية خارج جمهورية مصر العربية، حيث حظر نقل البيانات أو إتاحتها أو تداولها أو حفظها خارج البلاد إلا إلي الدول أو الجهات التي توفر مستوي من الحماية لا يقل عن المستوي المقرر قانوناً.

كما أجاز القانون بعض الإستثناءات علي هذا الحظر، من بينها الحصول علي موافقة صريحة من الشخص المعني بالبيانات، أو تنفيذ إلتزامات تعاقدية، أو الوفاء بإلتزامات قانونية، أو حماية مصلحة حيوية لصاحب البيانات.

كذلك إشترط القانون الحصول علي الترخيص أو التصريح اللازم من مركز حماية البيانات الشخصية في الحالات التي تستوجب ذلك، بما يضمن تحقيق التوازن بين متطلبات تداول البيانات عبر الحدود وحماية خصوصية الأفراد وحقوقهم.

• مركز حماية البيانات الشخصية ودوره في تنظيم منظومة حماية البيانات.

مركز حماية البيانات الشخصية هو الجهة المختصة بتنظيم ومراقبة أنشطة جمع ومعالجة وتداول البيانات الشخصية، وذلك بهدف ترسيخ مباديء حماية الخصوصية، وضمان الإمتثال لأحكام القانون، وحماية حقوق الأفراد في مواجهة أي إستخدام غير مشروع لبياناتهم الشخصية.

تنظيم إصدار التراخيص والتصاريح والتعديل عليها وإلغائها:

• إجراءات الحصول علي التراخيص والتصاريح:

يتم الحصول علي الترخيص والتصاريح والإعتمادات وفقاً لكل نوع من التراخيص بناءً علي طلب يُقدم لمركز حماية البيانات الشخصية مشفوعاً بجميع المستندات والمعلومات التي يحددها المركز ، ويلتزم مُقدم الطلب بتقديم ما يثبت الملاءة المالية وقدرته علي توفير وتنفيذ المتطلبات والمعايير الفنية المقررة.

يتم البت في الطلب خلال مدة لا تجاوز 90 يوماً من تاريخ إستيفاء جميع المستندات والمعلومات المطلوبة وإلا اعتبر الطلب مرفوضاً.

ويجوز للمتحكم أو المعالج الحصول علي أكثر من ترخيص أو تصريح وفقاً لنوعية البيانات الشخصية المتعامل عليها.

• التعديل علي شروط التراخيص والتصاريح:

يجوز لمركز حماية البيانات الشخصية وفقاً لإعتبارات المصلحة العامة التعديل علي شروط الترخيص أو التصريح بعد إصداره، عند توافر إحدي الحالات الآتية:

1- الإستجابة إلي الإتفاقيات الدولية أو الإقليمية أو القوانين الوطنية ذات الصلة.

2- التعديل بناءً علي طلب المرخص له.

3- إندماج المتحكم أو المعالج مع آخرين داخل جمهورية مصر العربية أو خارجها.

4- إذا كان التعديل ضروري لتحقيق أهداف القانون.

• إلغاء التراخيص والتصاريح والإعتمادات:

يتم إلغاء الترخيص أو التصريح أو الإعتماد بعد إصداره، عند توافر إحدي الحالات الآتية:

1- مخالفة شروط الترخيص أو التصريح أو الإعتماد.

2- عدم سداد رسوم تجديد الترخيص أو التصريح أو الإعتماد.

3- تكرار عدم الإمتثال لقرارات المركز.

4- التنازل عن الترخيص أو التصريح أو الإعتماد للغير دون موافقة المركز.

5- صدور حكم بإفلاس المتحكم أو المعالج.

الجزاءات الإدارية المترتبة علي مخالفة أحكام القانون،، تتمثل في

عند إرتكاب المرخص له أي مخالفة لأحكام القانون يتم إنذاره بالتوقف عن المخالفة وإزالة أسبابها أو آثارها خلال فترة زمنية يحددها الرئيس التنفيذي للمركز ، وإذا إنقضت تلك المدة دون تنفيذ مضمون الإنذار، فيكون لمجلس إدارة المركز  إصدار قراراً مسبباً بالآتي:

1- الإنذار بإيقاف الترخيص أو التصريح أو الإعتماد جزئياً أو كلياً لمدة محددة.

2- إيقاف الترخيص أو التصريح أو الإعتماد جزئياً أو كلياً.

3- سحب الترخيص أو التصريح أو الإعتماد أو إلغاؤه جزئياً أو كلياً.

4- نشر بيان بالمخالفات التي ثبت وقوعها في وسيلة إعلام أو أكثر واسعة الإنتشار علي نفقة المخالف.

5- إخضاع المتحكم أو المعالج للإشراف الفني للمركز لتأمين حماية البيانات الشخصية علي نفقتهما بحسب الأحوال.

وفي الختام، يُمثل قانون حماية البيانات الشخصية رقم 151 لسنة 2020 خطوة تشريعية متقدمة نحو بناء منظومة قانونية متكاملة لحماية الخصوصية الرقمية في جمهورية مصر العربية، بما يتواكب مع التطورات التكنولوجية المتسارعة والمعايير الدولية الحديثة في مجال حماية البيانات. وقد حرص المشرع المصري من خلال هذا القانون علي تحقيق التوازن بين متطلبات التحول الرقمي وتعزيز الإقتصاد القائم علي البيانات من ناحية، وضمان حماية الحقوق والحريات الأساسية للأفراد وصون خصوصيتهم من ناحية أخري.

ومع تزايد الإعتماد علي التقنيات الرقمية وتبادل البيانات عبر الحدود، تُبرز أهمية الإمتثال لأحكام القانون بإعتباره أحد الركائز الأساسية للحوكمة الرشيدة وإدارة المخاطر القانونية والتقنية داخل المؤسسات. كما أن التطبيق الفعال لأحكام القانون يسهم في تعزيز الثقة بالبيئة الإستثمارية والرقمية المصرية، ويدعم جهود الدولة في تحقيق التنمية المستدامة والتحول الرقمي الشامل.

وفي هذا الإطار، تواصل مؤسسة السعدني ومشاركوه للإستشارات القانونية دورها في تقديم الدعم القانوني المتخصص للشركات والمؤسسات المحلية والدولية فيما يتعلق بالإمتثال لمتطلبات حماية البيانات الشخصية، من خلال تقديم الإستشارات القانونية، وإعداد السياسات والإجراءات الداخلية، ومراجعة عقود معالجة البيانات ونقلها، ومساندة العملاء في الحصول علي التراخيص والتصاريح اللازمة، بما يضمن توافق أنشطتهم مع أحكام القانون واللائحة التنفيذية وأفضل الممارسات الدولية في مجال حماية البيانات والخصوصية الرقمية.