إذا كان في موقعك نموذج تواصل أو حجز أو سلة شراء، أو حتى أداة تحليلات، فهو يجمع بيانات شخصية. وقد صار لقانون حماية البيانات الشخصية المصري رقم 151 لسنة 2020 لائحة تنفيذية مفصلة، وتنتهي مهلة التوافق معه في 1 نوفمبر 2026، بحسب ملخص مكتب سليمان وحشيش وشركاه.
يشرح هذا المقال ما يعنيه القانون لموقعك بلغة بسيطة، ويقدّم قائمة مراجعة من عشر نقاط يمكنك إنجازها خلال الأسابيع القادمة. المقال معلومات عامة وليس استشارة قانونية؛ وأي سؤال عن التراخيص أو العقوبات أو وضع شركتك تحديدًا اعرضه على محامٍ.
ماذا تغيّر في قانون حماية البيانات الشخصية في مصر، ومتى؟
صدر القانون عام 2020، لكن تطبيقه الفعلي انتظر صدور لائحته التنفيذية. وقد صدرت اللائحة بقرار وزير الاتصالات وتكنولوجيا المعلومات رقم 816 لسنة 2025، وبدأ العمل بها في 2 نوفمبر 2025 (ملخص بيكر مكنزي بالإنجليزية). ومُنحت الجهات سنة واحدة لتوفيق أوضاعها، فيكون الموعد النهائي 1 نوفمبر 2026. وتذكر بعض الملخصات القانونية 31 أكتوبر، لذلك الأسلم أن تعتبر 31 أكتوبر هو الموعد.
ويشرف على القانون مركز حماية البيانات الشخصية. وينشر موقع المركز اللائحة وإرشادات عن الموافقة وإشعار الخصوصية والتسويق الإلكتروني المباشر ومسؤول حماية البيانات.
هل ينطبق القانون على موقعك؟
غالبًا نعم، إذا كنت تجمع بيانات من أشخاص داخل مصر. يسمّي القانون من يحدد كيف تُستخدم البيانات ولماذا «المتحكم»، ومن يعالجها نيابة عنه «المعالج». والفندق أو العيادة أو المتجر الذي يدير موقعًا يكون عادة متحكمًا، بينما تكون شركة تصميم الموقع وشركة الاستضافة ومنصة البريد وشركة التسويق معالجين. أما البيانات التي تُجمع لاستخدام شخصي أو عائلي فقط فهي خارج نطاق القانون.
وإذا كان بين ضيوفك زوار من الاتحاد الأوروبي، كما في كثير من فنادق البحر الأحمر وشركات السياحة، فقد تنطبق عليك أيضًا اللائحة الأوروبية GDPR.
قائمة مراجعة من عشر نقاط لموقعك
اتبعها بالترتيب. كل نقطة منها يمكن فحصها على أي موقع تجاري عادي.
1. حدّد البيانات الشخصية التي يجمعها موقعك
أحصِ كل مكان يمكن للزائر أن يترك فيه بيانات: نماذج التواصل والحجز، والدفع، والنشرة البريدية، وتسجيل الدخول، والتعليقات، والدردشة المباشرة، وأزرار واتساب، وأدوات التحليلات والإعلانات. اكتب لكل مكان: ما الذي تجمعه ولماذا، ومن يستلمه، ومدة الاحتفاظ به. وهذه القائمة هي نقطة البداية لـ«سجل أنشطة المعالجة» الذي يطلب المركز الاحتفاظ به.
2. انشر إشعار خصوصية واضحًا
تنص إرشادات المركز على أن يكون إشعار الخصوصية ظاهرًا وموجزًا ودقيقًا ومكتوبًا بلغة مبسطة وباللغة العربية. اربطه من تذييل الصفحة وبجوار كل نموذج. ويجب أن يوضح الغرض ونوع البيانات والجهات التي تستلمها وأي نقل للبيانات خارج مصر ومدة الاحتفاظ وحقوق الأشخاص وطريقة تقديم شكوى للمركز. وإذا كان موقعك بلغتين فانشر النسختين؛ وتشرح صفحة تصميم مواقع متعددة اللغات كيف ننفذ ذلك.
3. اطلب الموافقة بالشكل الصحيح
حين تعتمد على الموافقة، يجب أن تكون صريحة ومرتبطة بغرض محدد وسهلة السحب. عمليًا يعني ذلك: لا مربعات محددة مسبقًا، ومربعًا منفصلًا لكل غرض، وسجلًا بتاريخ ووسيلة موافقة كل شخص. وتشمل إرشادات المركز عن الموافقة طريقة حفظ هذه السجلات.
4. أصلح شريط الكوكيز
أدوات التحليلات وبكسلات الإعلانات والأدوات المضمّنة تضع كوكيز ومتتبعات تحتاج إلى موافقة. يجب أن يتيح الشريط القبول أو الرفض دون بحث، وألا يُحمَّل أي شيء غير ضروري قبل أن يختار الزائر. وحدّث سياسة الكوكيز لتذكر ما تستخدمه فعلًا؛ وتعرض سياسة الكوكيز لدينا مثالًا على ذلك.
5. افصل التسويق عن الاستفسارات
للتسويق الإلكتروني المباشر قواعد خاصة: موافقة صريحة مسبقة، وتعريف واضح بالمرسل، وطريقة سهلة لإلغاء الاشتراك، وحذف البيانات عند سحب الموافقة. كما تشترط اللائحة ترخيصًا أو تصريحًا مستقلًا لهذا النشاط. وطلب الحجز أو الاستفسار لا يمنحك إذنًا بإضافة صاحبه إلى نشرتك. استخدم مربعًا منفصلًا غير محدد مسبقًا، وأبقِ رابط إلغاء الاشتراك يعمل.
6. اجمع بيانات أقل واحذفها في موعدها
احذف حقول النماذج التي لا تستخدمها. حدّد مدة الاحتفاظ بالاستفسارات والحجوزات والحسابات القديمة، ثم احذفها بعد انتهائها. وللبيانات الحساسة، ومنها البيانات الصحية، وبيانات الأطفال قواعد أشد، منها الموافقة الكتابية الصريحة، وموافقة ولي الأمر لمن هم دون 15 سنة. وإذا كنت تدير نماذج حجز مواعيد لعيادة فاقرأ هذه القواعد بعناية؛ وتتناول مواقع المستشفيات والعيادات لدينا هذا النوع من النماذج.
7. اعرف أين تُخزَّن بياناتك
تعامل اللائحة نقل البيانات الشخصية أو تخزينها أو الوصول إليها خارج مصر نشاطًا منظّمًا يحتاج إلى ترخيص أو تصريح، وإلى تقييم مستوى الحماية في الدولة المقصودة، وإلى موافقة صريحة من صاحب البيانات. وقد ترسل الاستضافة والنسخ الاحتياطية وأدوات البريد والتحليلات وأنظمة إدارة العملاء بيانات إلى الخارج. اكتب قائمة بمزوّديك وبمكان تخزين كل منهم والعقد الذي يحكمه، ثم اسأل محاميًا كيف تنطبق القواعد على كل حالة. ولاختيار الاستضافة دور مهم هنا.
8. أمّن الموقع وجهّز خطة للاختراقات
تُلزمك اللائحة بإبلاغ المركز خلال 72 ساعة من علمك بالاختراق، وبإبلاغ المتضررين خلال ثلاثة أيام عمل. ولا يتحقق ذلك إلا إذا كنت تكتشف المشكلة وتعرف من يفعل ماذا. أبقِ HTTPS مفعّلًا (دليل تفعيل شهادة SSL)، وحدّث ووردبريس والإضافات والقوالب (دليل صيانة الموقع)، واستخدم كلمات مرور قوية ودخولًا بخطوتين ونسخًا احتياطية مجرَّبة (كيفية تأمين موقعك). وباقات صيانة المواقع تغطي معظم ذلك بشكل دوري.
9. جهّز طريقة للتعامل مع طلبات الأشخاص
من حق الأشخاص طلب الاطلاع على بياناتهم وتصحيحها وحذفها وسحب موافقتهم. خصّص لهم بريدًا واحدًا، وعيّن شخصًا مسؤولًا، واحتفظ بسجل بسيط لكل طلب ولردّك عليه.
10. راجع مع محامٍ التراخيص ومهام مسؤول حماية البيانات
معظم أنشطة المعالجة تحتاج إلى ترخيص أو تصريح مسبق من المركز، وقد يلزم بعض الجهات تعيين مسؤول حماية بيانات من سجل المركز. وتتدرج رسوم الترخيص بحسب عدد السجلات، وتُعفى الجهات التي تعالج من سجل واحد إلى 100 ألف سجل من رسوم الترخيص. وحين راجعت مكاتب المحاماة اللائحة في أوائل 2026 لم تكن بوابة التقديم الإلكترونية لدى المركز قد فُتحت بعد، فراجع موقع المركز لمعرفة الوضع الحالي. وهذه هي الخطوة التي ينبغي عرضها على محامٍ.
ماذا يعني ذلك للفنادق والعيادات والمتاجر الإلكترونية؟
- الفنادق وشركات السياحة: نماذج الحجز والاستفسار تجمع بيانات الضيوف، وقد يضيف ضيوف الاتحاد الأوروبي التزامات GDPR. اطلع على أعمالنا في مواقع الفنادق وأنظمة الحجز.
- العيادات: قد تحتوي نماذج المواعيد على بيانات صحية، وهي بيانات حساسة تحتاج أشد درجات الحماية.
- المتاجر الإلكترونية: الدفع وسجل الطلبات والاشتراك في النشرة كلها تجمع بيانات شخصية، ويُعد مزوّد الدفع وشركة الشحن معالجين. اطلع على حلول المتاجر الإلكترونية.
خطة واقعية للأسابيع المتبقية
- الأسبوع الأول: حدّد بياناتك (النقطة 1)، ثم راجع النماذج وشريط الكوكيز (النقطتان 3 و4).
- الأسبوع الثاني: انشر إشعار الخصوصية بالعربية والإنجليزية وافصل موافقة التسويق (النقطتان 2 و5).
- الأسبوع الثالث: اكتب قائمة مزوّديك واستضافتك، وجهّز خطة الاختراقات (النقاط من 6 إلى 9).
- الأسبوع الرابع: اعرض أسئلة الترخيص ومسؤول حماية البيانات على محامٍ (النقطة 10)، ثم اختبر كل نموذج والشريط مرة أخيرة.
إذا أردت مراجعة تقنية لنماذجك وكوكيزك واستضافتك وأمان موقعك وفق هذه القائمة، تواصل مع فريق كيميتوفا. نحن نتولى الجانب التقني للموقع، ولا نقدّم استشارات قانونية.
أسئلة شائعة
ما الموعد النهائي لقانون حماية البيانات الشخصية في مصر؟
الموعد النهائي هو 1 نوفمبر 2026، أي بعد سنة من بدء العمل باللائحة التنفيذية. وتذكر بعض الملخصات 31 أكتوبر، فالأسلم اعتماد هذا التاريخ.
هل يلزم الالتزام بالقانون على موقع صغير فيه نموذج تواصل فقط؟
نعم، إذا كنت تجمع بيانات شخصية من أشخاص داخل مصر، فنموذج التواصل يجمع الأسماء والبريد الإلكتروني. أما مدى انطباق التراخيص فيتوقف على نشاطك، لذلك اسأل محاميًا.
هل أحتاج إلى شريط كوكيز؟
إذا كنت تستخدم أدوات تحليلات أو بكسلات إعلانات أو أي متتبعات غير ضرورية فعليك أخذ الموافقة قبل تشغيلها، وعمليًا هذا يعني نعم.
هل يمكن أن تبقى استضافة موقعي خارج مصر؟
تنظّم اللائحة نقل البيانات الشخصية وتخزينها خارج مصر وتشترط ترخيصًا أو تصريحًا وموافقة صريحة. راجع استضافتك وأدواتك مع محامٍ قبل أن تفترض أن وضعك سليم.
هل هذا المقال استشارة قانونية؟
لا. هو معلومات عامة عن الجانب التقني للموقع في الالتزام بالقانون، وعلى محامٍ أن يؤكد ما ينطبق على نشاطك.