قانون رقم 151 لسنة ۲۰۲۰ بإصدار قانون حماية البيانات الشخصية

باسم الشعب

رئيس الجمهورية

قرر مجلس النواب القانون الآتي نصه ، وقد أصدرناه:

( المادة الأولى )

يُعمل بأحكام هذا القانون والقانون المرافق في شأن حماية البيانات الشخصية المعالجة إلكترونيًا جزئيًا أو كليًا لدى أي حائز أو متحكم أو معالج لها ، وذلك بالنسبة للأشخاص الطبيعيين.

( المادة الثانية )

تسري أحكام هذا القانون والقانون المرافق له على كل من ارتكب إحدى الجرائم المنصوص عليها في القانون المرافق متى كان الجاني من المصريين داخل الجمهورية أو خارجها ، أو كان من غير المصريين المقيمين داخل الجمهورية ، أو كان من غير المصريين خارج الجمهورية إذا

كان الفعل معاقبًا عليه في الدولة التي وقع فيها تحت أي وصف قانونی وكانت البيانات محل الجريمة لمصريين أو أجانب مقيمين داخل الجمهورية.

( المادة الثالثة )

لا تسري أحكام القانون المرافق على ما يأتي :

1 – البيانات الشخصية التي يحتفظ بها الأشخاص الطبيعيون للغير ، ويتم معالجتها للاستخدام الشخصي.

۲ – البيانات الشخصية التي تتم معالجتها بغرض الحصول على البيانات الإحصائية الرسمية أو تطبيقًا لنص قانونی .

3 – البيانات الشخصية التي تتم معالجتها حصرًا للأغراض الإعلامية بشرط أن تكون صحيحة ودقيقة ، وألا تستخدم في أي أغراض أخرى ، وذلك دون الإخلال بالتشريعات المنظمة للصحافة والإعلام .

4- البيانات الشخصية المتعلقة بمحاضر الضبط القضائی والتحقيقات والدعاوى القضائية.

 5 – البيانات الشخصية لدى جهات الأمن القومي ، وما تقدره لاعتبارات أخرى.

 ويجب على المركز ، بناءً على طلب جهات الأمن القومي ، إخطار المتحكم أو المعالج بتعديل أو محو أو عدم إظهار أو إتاحة أو تداول البيانات الشخصية ، خلال مدة زمنية محددة ، وفقًا لاعتبارات الأمن القومي ، ويلتزم المتحكم أو المعالج بتنفيذ ما ورد بالإخطار

خلال المدة الزمنية المحددة به.

6- البيانات الشخصية لدى البنك المركزى المصرى والجهات الخاضعة لرقابته وإشرافه ، عدا شركات تحويل الأموال وشركات الصرافة ، على أن يراعى في شأنهما القواعد المقررة من البنك المركزى المصرى بشأن التعامل مع البيانات الشخصية .

( المادة الرابعة )

يُصدر الوزير المعنى بشئون الاتصالات وتكنولوجيا المعلومات اللائحة التنفيذية للقانون المرافق خلال ستة أشهر من تاريخ العمل بهذا القانون .

( المادة الخامسة )

تختص المحاكم الاقتصادية بنظر الجرائم التي ترتكب بالمخالفة لأحكام القانون المرافق .

( المادة السادسة )

يلتزم المخاطبون بأحكام هذا القانون بتوفيق أوضاعهم طبقًا لأحكام القانون المرافق ولائحته التنفيذية ، وذلك خلال سنة من تاريخ صدور هذه اللائحة.

( المادة السابعة )

يُنشر هذا القانون في الجريدة الرسمية ، ويُعمل به بعد مضي ثلاثة أشهر من اليوم التالي لتاريخ نشره .

يُبصم هذا القانون بخاتم الدولة ، ويُنفذ كقانون من قوانينها.

صدر برئاسة الجمهورية في ۲۲ ذي القعدة سنة 1441 هـ ( الموافق 13 يوليو سنة ۲۰۲۰ م).

عبد الفتاح السيسي

قانون حماية البيانات الشخصية

(الفصل الأول )

التعریفات

مادة ( ۱ ) :

في تطبيق أحكام هذا القانون ، يقصد بالكلمات والعبارات التالية المعني المبين قرين كل منها :

 البيانات الشخصية : أي بيانات متعلقة بشخص طبيعي محدد ، أو يمكن تحديده بشكل مباشر أو غير مباشر عن طريق الربط بين هذه البيانات وأي بيانات أخرى کالاسم ، أو الصوت ، أو الصورة أو رقم تعریفی ، أو محدد للهوية عبر الإنترنت ، أو أي بيانات تحدد الهوية النفسية ، أو الصحية ، أو الاقتصادية ، أو الثقافية ، أو الاجتماعية.

 المعالجة : أي عملية إلكترونية أو تقنية لكتابة البيانات الشخصية ، أو تجميعها أو تسجيلها أو حفظها ، أو تخزينها ، أو دمجها ، أو عرضها ، أو إرسالها ، أو استقبالها أو تداولها ، أو نشرها ، أو محوها ، أو تغييرها ، أو تعديلها ، أو استرجاعها أو تحليلها وذلك باستخدام أي وسيط من الوسائط أو الأجهزة الإلكترونية أو التقنية سواء تم ذلك جزئيًا أو كليًا.

 البيانات الشخصية الحساسة : البيانات التي تفصح عن الصحة النفسية أو العقلية أو البدنية أو الجينية ، أو بيانات القياسات الحيوية “البيومترية” أو البيانات المالية أو المعتقدات الدينية أو الآراء السياسية أو الحالة الأمنية ، وفي جميع الأحوال تعد بيانات الأطفال من البيانات الشخصية الحساسة.

الشخص المعني بالبيانات : أي شخص طبيعى تنسب إليه بيانات شخصية معالجة إلكترونيًا تدل عليه قانونًا أو فعلاً ، وتمكن من تمييزه عن غيره .

الحائز : أي شخص طبيعي أو اعتباری ، يحوز ويحتفظ قانونيًا أو فعليًا ببيانات شخصية في أي صورة من الصور ، أو على أي وسيلة تخزين سواءً أكان هو المنشي للبيانات ، أم انتقلت إليه حيازتها بأي صورة.

المتحكم : أي شخص طبيعي أو اعتباری یکون له بحكم أو طبيعة عمله، الحق في الحصول على البيانات الشخصية وتحديد طريقة وأسلوب ومعايير الاحتفاظ بها، أو معالجتها والتحكم فيها طبقاً للغرض المحدد أو نشاطه .

المعالج : أي شخص طبيعي أو اعتباری مختص بطبيعة عمله ، بمعالجة البيانات الشخصية لصاله أو لصالح المتحكم بالاتفاق معه ووفقاً لتعليماته .

 إتاحة البيانات الشخصية : كل وسيلة تحقق اتصال علم الغير بالبيانات الشخصية كالاطلاع أو التداول أو النشر أو النقل أو الاستخدام أو العرض أو الإرسال أو الاستقبال أو الإفصاح عنها .

أمن البيانات : إجراءات وعمليات تقنية تنظيمية من شأنها الحفاظ على خصوصية البيانات الشخصية وسريتها وسلامتها ووحدتها وتكاملها فيما بينها.

 خرق وانتهاك البيانات الشخصية : كل دخول غير مرخص به إلى بيانات شخصية أو وصول غير مشروع لها ، أو أي عملية غير مشروعة لنسخ أو إرسال أو توزيع أو تبادل أو نقل أو تداول يهدف إلى الكشف أو الإفصاح عن البيانات الشخصية أو إتلاقها أو تعديلها أثناء تخزينها أو نقلها أو معالجتها.

حركة البيانات الشخصية عبر الحدود : نقل البيانات أو إتاحتها أو تسجيلها أو تخزينها أو تداولها أو نشرها أو استخدامها أو عرضها أو إرسالها أو استقبالها أو استرجاعها أو معالجتها، من داخل النطاق الجغرافي لجمهورية مصر العربية إلى خارجه أو العكس .

 التسويق الإلكتروني : إرسال أي رسالة أو بيان أو محتوى إعلاني أو تسويقى بأی وسيلة تقنية أياً كانت طبيعتها أو صورتها تستهدف بشكل مباشر أو غير مباشر ترویج سلع أو خدمات أو التماسات أو طلبات تجارية أو سياسية أو اجتماعية أو خيرية موجهة إلى أشخاص بعينهم .

جهات الأمن القومي : رئاسة الجمهورية ووزارة الدفاع ووزارة الداخلية وجهاز المخابرات العامة وهيئة الرقابة الإدارية .

المرکز: مركز حماية البيانات الشخصية.

 الترخيص: وثيقة رسمية تصدر عن المركز للشخص الاعتباری تمنحه من خلالها الحق في مزاولة نشاط جمع البيانات الشخصية الإلكترونية أو تخزينها أو نقلها أو معالجتها أو القيام بأنشطة التسويق الإلكتروني أو كل ما سبق والتعامل عليها بأي صورة ، وتحدد التزامات المرخص له وفق القواعد والشروط الإجراءات والمعايير الفنية المحد دة باللائحة التنفيذية لهذا القانون ، وذلك لمدة ثلاث سنوات قابلة للتجديد لمدد أخرى .

 التصريح: وثيقة رسمية تصدر عن المركز للشخص الطبيعى أو الاعتباري تمنحه من خلالها الحق في ممارسة نشاط جمع البيانات الشخصية الإلكترونية أو تخزينها أو نقلها أو معالجتها أو القيام بأنشطة التسويق الإلكتروني أو كل ما سبق والتعامل عليها بأي صورة ، أو لأداء مهمة أو مهام معينة ، وتحدد هذه الوثيقة التزامات المصرح له وفق القواعد والشروط والإجراءات والمعايير الفنية المحددة باللائحة التنفيذية ، لمدة مؤقتة لا تجاوز سنة ، ويجوز تجديدها لأكثر من مدة .

الاعتماد : شهادة تصدر عن المركز تفيد أن الشخص الطبيعي أو الاعتباری قد استوفی جميع المتطلبات الفنية والقانونية والتنظيمية المحددة باللائحة التنفيذية لهذا القانون ويكون بموجبها مؤهلاً لتقديم الاستشارات في مجال حماية البيانات الشخصية.

 الوزير المختص: الوزير المعنى بشئون الاتصالات وتكنولوجيا المعلومات.

( الفصل الثاني )

 حقوق الشخص المعني بالبيانات

وشروط جمع ومعالجة البيانات

مادة ( ۲ )

لا يجوز جمع البيانات الشخصية أو معالجتها أو الإفصاح عنها أو إفشائها بأی وسيلة من الوسائل إلا بموافقة صريحة من الشخص المعني بالبيانات ، أو في الأحوال المصرح بها قانونًا .

ويكون الشخص المعني بالبيانات الحقوق الآتية:

1- العلم بالبيانات الشخصية الخاصة به الموجودة لدى أي حائز أو متحكم أو معالج والاطلاع عليها والوصول إليها أو الحصول عليها .

2- العدول عن الموافقة المسبقة على الاحتفاظ ببياناته الشخصية أو معالجتها.

3 – التصحيح أو التعديل أو المحو أو الإضافة أو التحديث للبيانات الشخصية .

4- تخصيص المعالجة في نطاق محدد .

ه – العلم والمعرفة بأي خرق أو انتهاك لبياناته الشخصية.

6- الاعتراض على معالجة البيانات الشخصية أو نتائجها متى تعارضت مع الحقوق والحريات الأساسية للشخص المعني بالبيانات.

وباستثناء البند ( ۵ ) من الفقرة السابقة ، يؤدي الشخص المعنى بالبيانات مقابل تكلفة الخدمة المقدمة إليه من المتحكم أو المعالج فيما يخص ممارسته لحقوقه ، ويتولى المركز إصدار قرارات تحديد هذا المقابل بما لا يجاوز عشرين ألف جنيه .

مادة ( 3 ):

يجب لجمع البيانات الشخصية ومعالجتها والاحتفاظ بها ، توافر الشروط الآتية :

 1- أن تجمع البيانات الشخصية لأغراض مشروعة ومحددة ومعلنة للشخص المعنی .

 ۲ – أن تكون صحيحة وسليمة ومؤمنة .

3 – أن تعالج بطريقة مشروعة وملائمة للأغراض التي تم تجميعها من أجلها.

4 – ألا يتم الاحتفاظ بها لمدة أطول من المدة اللازمة للوفاء بالغرض المحدد لها .

وتحدد اللائحة التنفيذية لهذا القانون السياسات والإجراءات والضوابط والمعاییر القياسية للجمع والمعالجة والحفظ والتأمين لهذه البيانات .

(الفصل الثالث)

التزامات المتحكم والمعالج

أولاً: التزامات المتحكم

مادة ( 4 ):

مع مراعاة أحكام المادة ( ۱۲ ) من هذا القانون ، يلتزم المتحكم بما يأتي :

 ١ – الحصول على البيانات الشخصية أو تلقيها من الحائز أو من الجهات المختصة بتزویده بها بحسب الأحوال بعد موافقة الشخص المعني بالبيانات ، أو في الأحوال المصرح بها قانوناً.

2- التأكد من صحة البيانات الشخصية واتفاقها وكفايتها مع الغرض المحدد لجمعها .

3- وضع طريقة وأسلوب ومعايير المعالجة طبقا للغرض المحدد ، ما لم يقرر تفویض المعالج في ذلك بموجب تعاقد مکتوب .

4 – التأكد من انطباق الغرض المحدد من جمع البيانات الشخصية لأغراض معالجتها .

 ه – القيام بعمل أو الامتناع عن عمل يكون من شأنه إتاحة البيانات الشخصية إلا في الأحوال المصرح بها قانوناً.

6- اتخاذ جميع الإجراءات التقنية والتنظيمية وتطبيق المعايير القياسية اللازمة لحماية البيانات الشخصية وتأمينها حفاظًا على سريتها ، وعدم اختراقها أو إتلافها أو تغييرها أو العبث بها قِبَل أي إجراء غير مشروع .

۷ – محو البيانات الشخصية لديه فور انقضاء الغرض المحدد منها ، أما في حال الاحتفاظ بها لأي سبب من الأسباب المشروعة بعد انتهاء الغرض ، فيجب ألا تبقي في صورة تسمح بتحديد الشخص المعني بالبيانات .

۸ – تصحيح أي خطأ بالبيانات الشخصية فور إبلاغه أو علمه به.

9- إمساك سجل خاص للبيانات ، على أن يتضمن وصف فئات البيانات الشخصية لديه ، وتحديد من سيفصح لهم عن هذه البيانات أو يتيحها لهم وسنده والمدد الزمنية و قیودها ونطاقها وآليات محو البيانات الشخصية لديه أو تعديلها وأي بيانات أخری متعلقة بنقل تلك البيانات الشخصية عبر الحدود ووصف الإجراءات التقنية والتنظيمية الخاصة بأمن البيانات.

۱۰ – الحصول على ترخيص أو تصريح من المركز للتعامل مع البيانات الشخصية .

 11 – يلتزم المتحكم خارج جمهورية مصر العربية بتعيين ممثل له في جمهورية مصر العربية وذلك على النحو الذي تبينه اللائحة التنفيذية.

۱۲ – توفير الإمكانيات اللازمة لإثبات التزامه بتطبيق أحکام هذا القانون وتمكين المركز من التفتيش والرقابة للتأكد من ذلك .

 وفي حال وجود أكثر من متحكم يلتزم كل منهم بجميع الالتزامات المنصوص عليها في هذا القانون ، وللشخص المعنى ممارسة حقوقه تجاه كل متحكم على حدة .

 وتحدد اللائحة التنفيذية لهذا القانون السياسات والإجراءات والضوابط والمعاییر الفنية لتلك الالتزامات.

ثانيا: التزامات المعالج

مادة ( 5 ):

مع مراعاة أحكام المادة (۱۲) من هذا القانون ، يلتزم معالج البيانات الشخصية بما يأتی :

 ا – إجراء المعالجة وتنفيذها طبقًا للقواعد المنظمة لذلك بهذا القانون ولائحته التنفيذية وفقًا للحالات المشروعة والقانونية وبناءً على التعليمات المكتوية الواردة إليه من المركز أو المتحكم أو من أي ذي صفة بحسب الأحوال ، وبصفة خاصة فيما يتعلق بنطاق عملية المعالجة وموضوعها وطبيعتها ونوع البيانات الشخصية واتفاقها وكفايتها مع الغرض المحدد له.

2- أن تكون أغراض المعالجة وممارستها مشروعة ، ولا تخالف النظام العام أو الآداب العامة.

3- عدم تجاوز الغرض المحدد للمعالجة و مدتها ، ويجب إخطار المتحكم أو الشخص المعنی بالبيانات أو كل ذي صفة ، بحسب الأحوال ، بالمدة اللازمة للمعالجة.

4 – محو البيانات الشخصية بانقضاء مدة المعالجة أو تسليمها للتحكم .

5 – القيام بعمل أو الامتناع عن عمل يكون من شأنه إتاحة البيانات الشخصية أو نتائج المعالجة إلا في الأحوال المصرح بها قانونًا.

6- عدم إجراء أي معالجة للبيانات الشخصية تتعارض مع غرض المتحكم فيها أو نشاطه إلا إذا كان ذلك بغرض إحصائي أو تعليمى ولا يهدف للربح ودون الإخلال بحرمة الحياة الخاصة.

7 – حماية وتأمين عملية المعالجة والوسائط والأجهزة الإلکترونية المستخدمة في ذلك ما عليها من بيانات شخصية.

8- عدم إلحاق أي ضرر بالشخص المعني بالبيانات بشكل مباشر أو غير مباشر.

9 – إعداد سجل خاص بعمليات المعالجة لديه ، على أن يتضمن فئات المعالجة التي يجريها نيابة عن أي متحکم وبيانات الاتصال به ومسئول حماية البيانات لديه، والمدة الزمنية للمعالجة وقيودها ونطاقها وآليات محو البيانات الشخصية لديه أو تعديلها ، و وصفًا للإجراءات التقنية والتنظيمية الخاصة بأمن البيانات وعمليات المعالجة.

 ۱۰- توفير الإمكانيات لإثبات التزامه بتطبيق أحكام هذا القانون عند طلب المتحكم وتمكين المركز من التفتيش والرقابة للتأكد من التزامه بذلك.

 ۱۱ – الحصول على ترخيص أو تصريح من المركز للتعامل على البيانات الشخصية .

 ۱۲ – يلتزم المعالج خارج جمهورية مصر العربية بتعيين ممثل له في جمهورية مصر العربية وذلك على النحو الذي تبينه اللائحة التنفيذية .

وفي حال وجود أكثر من معالج ، يلتزم كل منهم بجميع الالتزامات المنصوص عليها في هذا القانون وذلك في حال عدم وجود عقد يحدد التزامات ومسئوليات كل منهم بوضوح .

وتحدد اللائحة التنفيذية لهذا القانون السياسات والإجراءات والضوابط والشروط والتعليمات والمعايير القياسية لتلك الالتزامات .

ثالثا: شروط المعالجة

مادة ( 6 ):

تعد المعالجة الإلكترونية مشروعة وقانونية في حال توفر أي من الحالات الآتية :

 1 – موافقة الشخص المعني بالبيانات على إجراء المعالجة من أجل تحقیق غرض محدد أو أكثر .

2 – أن تكون المعالجة لازمة وضرورية تنفيذاً لالتزام تعاقدي أو تصرف قانونی أو لإبرام عقد لصالح الشخص المعني بالبيانات ، أو لمباشرة أى من إجراءات المطالبة بالحقوق القانونية له أو الدفاع عنها.

3- تنفيذ التزام ينظمه القانون أو أمر من جهات التحقيق المختصة أو بناءً على حکم قضائی .

4 – تمكين المتحكم من القيام بالتزاماته أو أي ذي صفة من ممارسة حقوقه المشروعة ، ما لم يتعارض ذلك مع الحقوق والحريات الأساسية للشخص المعني بالبيانات .

 رابعا : الالتزام بالإخطار والإبلاغ

مادة ( ۷ ):

يلتزم كل من المتحكم والمعالج بحسب الأحوال حال علمه بوجود خرق أو انتهاك للبيانات الشخصية لديه بإبلاغ المركز خلال اثنتين وسبعين ساعة ، وفي حال كان هذا الخرق أو الانتهاك متعلقا باعتبارات حماية الأمن القومي فيكون الإبلاغ فوريًا ، وعلى المركز وفي جميع الأحوال إخطار جهات الأمن القومي بالواقعة فورًا ، كما يلتزم بموافاة المركز خلال اثنتين وسبعين ساعة من تاريخ علمه بما يأتي :

 ١ – وصف طبيعة الخرق أو الانتهاك ، وصورته وأسبابه والعدد التقريبي للبيانات الشخصية وسجلاتها .

2- بيانات مسئول حماية البيانات الشخصية لديه.

٣ – الآثار المحتملة لحادث الخرق أو الانتهاك.

4- وصف الإجراءات المتخذة والمقترح تنفيذها لمواجهة هذا الخرق أو الانتهاك والتقليل من آثاره السلبية.

ه – توثيق أي خرق أو انتهاك البيانات الشخصية ، والإجراءات التصحيحية المتخذة لمواجهة .

6- أي وثائق أو معلومات أو بيانات يطلبها المركز .

 وفي جميع الأحوال يجب على المتحكم والمعالج، بحسب الأحوال ، إخطار الشخص المعني بالبيانات خلال ثلاثة أيام عمل من تاريخ الإبلاغ وما تم اتخاذه من إجرا ءات.

 وتحدد اللائحة التنفيذية لهذا القانون الإجراءات الخاصة بالإبلاغ والإخطار .

( الفصل الرابع)

مسئول حماية البيانات الشخصية

أولاً : تعيين مسئول حماية البيانات الشخصية

مادة ( ۸ ):

ينشأ بالمركز سجل لقيد مسئولي حماية البيانات الشخصية ، وتحديد اللائحة التنفيذية لهذا القانون شروط القيد وإجراءاته وآليات التسجيل .

ويلتزم المثل القانوني للشخص الاعتبارى لأي متحكم أو معالج بأن يعين داخل کیانه القانون وهيكله الوظيفى موظفًا مختصًا مسئولاً عن حماية البيانات الشخصية ، وذلك بقيده في سجل مسئولى حماية البيانات الشخصية بالمركز ، ويعلن عن ذلك.

ويكون الشخص الطبيعي المتحكم أو المعالج هو المسئول عن تطبيق أحكام هذا القانون .

ثانیاً: التزامات مسئول حماية البيانات الشخصية

مادة ( 9 ) :

يكون مسئول حماية البيانات الشخصية مسئولاً عن تنفيذ أحكام القانون ولائحته التنفيذية وقرارات المركز ، ومراقبة الإجراءات المعمول بها داخل كيانه الإشراف عليها ، وتلقى الطلبات المتعلقة بالبيانات الشخصية وفقاً لأحكام هذا القانون.

 ويلتزم علي الأخص بالآتي:

 ۱ – إجراء التقييم والفحص الدوري لنظم حماية البيانات الشخصية ومنع اختراقها، وتوثيق نتائج التقييم وإصدار التوصيات اللازمة لحمايتها.

 ۲ – العمل كنقطة اتصال مباشرة مع المركز وتنفيذ قراراته ، فيما يخص تطبيق أحكام هذا القانون .

3- تمكين الشخص المعني بالبيانات من ممارسة حقوقه المنصوص عليها في هذا القانون .

4 – إخطار المركز في حال وجود أي خرق أو انتهاك للبيانات الشخصية لديه.

 ه – الرد على الطلبات المقدمة من الشخص المعني بالبيانات أو كل ذي صفة ، والرد على المركز في التظلمات المقدمة إليه من أي منهما وفقاً لأحكام هذا القانون.

 6 – متابعة القيد والتحديث لسجل البيانات الشخصية لدى المتحكم أو سجل عمليات المعالجة لدى المعالج ، بما يكفل ضمان دقة البيانات والمعلومات المقيدة به .

 ۷- إزالة أي مخالفات متعلقة بالبيانات الشخصية داخل کیانه ، واتخاذ الإجراءات التصحيحية حيالها .

۸- تنظيم البرامج التدريبية اللازمة لموظفي کیانه ، لتأهيلهم بما يتناسب مع متطلبات هذا القانون .

وتحدد اللائحة التنفيذية لهذا القانون الالتزامات والإجراءات والمهام الأخرى التي يجب على مسئول حماية البيانات الشخصية القيام بها.

(الفصل الخامس)

 إجراءات إتاحة البيانات الشخصية

مادة ( ۱۰ ):

يلتزم كل من المتحكم والمعالج والحائز عند طلب إتاحة البيانات الشخصية بالإجراءات الآتية:

1- أن يكون بناءً على طلب کتابی بقدم إليه من ذي صفة أو وفقًا لسند قانونی.

 ۲ – التحقق من توافر المستندات اللازمة لتنفيذ الإتاحة والاحتفاظ بها.

3 – البت في الطلب ومستنداته خلال ستة أيام عمل من تاريخ تقديمه إليه، و عند صدور قرار بالرفض يجب أن يكون الرفض مسيبًا ، ويعتبر مضي المدة المشار إليها دون رد في حكم الرفض .

مادة ( ۱۱ ):

يكون للدليل الرقمي المستمد من البيانات الشخصية طبقًا لأحكام هذا القانون ذات الحجية في الإثبات المقررة للأدلة المستمدة من البيانات والمعلومات الخطية متی استوفت المعايير والشروط الفنية الواردة باللائحة التنفيذية لهذا القانون.

 ( الفصل السادس)

البيانات الشخصية الحساسة

مادة ( ۱۲ ):

يحظر على المتحكم أو المعالج سواء كان شخصًا طبيعيًا أو اعتباريًا جمع بیانات شخصية حساسة أو نقلها أو تخزينها أو حفظها أو معالجتها أو إتاحتها إلا بترخيص من المركز .

وفيما عدا الأحوال المصرح بها قانونًا ، يلزم الحصول على موافقة كتابية وصريحة من الشخص المعني.

وفي حالة إجراء أي عملية مما ذكر تتعلق ببيانات الأطفال ، يلزم موافقة ولى الأمر .

ويجب ألا تكون مشاركة الطفل في لعبة أو مسابقة أو أي نشاط آخر مشروطة بتقدیم بيانات شخصية للطفل تزيد على ما هو ضروري للمشاركة في ذلك.

 وذلك كله وفقًا للمعايير والضوابط التي تحددها اللائحة التنفيذية لهذا القانون .

 مادة ( ۱۳ ):

 و بالإضافة إلى الالتزامات الواردة بالمادة ( 9 ) من هذا القانون ، يلتزم مسئول حماية البيانات الشخصية وتابعوه لدى المتحكم أو المعالج باتباع واستيفاء السباسات والإجراءات التأمينية اللازمة لعدم خرق البيانات الشخصية الحساسة أو انتهاكها .

( الفصل السابع)

البيانات الشخصية عبر الحدود

مادة (14):

 يحظر إجراء عمليات نقل للبيانات الشخصية التي تم جمعها أو تجهيزها للمعالجة إلى دولة أجنبية أو تخزينها أو مشاركتها إلا بتوافر مستوى من الحماية لا يقل عن المستوی المنصوص عليه في هذا القانون ، وبترخيص أو تصريح من المركز.

وتحدد اللاتحة التنفيذية لهذا القانون السياسات والمعايير والضوابط والقواعد اللازمة لنقل أو تخزين أو مشاركة أو معالجة أو إتاحة البيانات الشخصية عبر الحدود وحمایتها.

 مادة ( ۱۵ ):

 استثناء من حكم المادة ( 14 ) من هذا القانون ، يجوز في حالة الموافقة الصريحة للشخص المعني بالبيانات أو من ينوب عنه نقل أو مشاركة أو تداول أو معالجة البيانات الشخصية إلى دولة لا يتوافر فيها مستوى الحماية المشار إليها في المادة السابقة،

وذلك في الحالات الآتية :

 1- المحافظة على حياة الشخص المعني بالبيانات ، وتوفير الرعاية الطبية أو العلاج أو إدارة الخدمات الصحية له.

۲- تنفيذ التزامات بما يضمن إثبات حق أو مارسته أمام جهات العدالة أو الدفاع عنه.

3- إبرام عقد ، أو تنفيد عقد مبرم بالفعل ، أو سيتم إبرامه بین المسئول عن المعالجة والغير ، وذلك لمصلحة الشخص المعني بالبيانات.

4 – تنفيذ إجراء خاص بتعاون قضائی دولي.

5-  وجود ضرورة أو إلزام قانونی لحماية المصلحة العامة.

6 – إجراء تحويلات نقدية إلى دولة أخري وفقًا لتشريعاتها المحددة والسارية.

7 – إذا كان النقل أو التداول يتم تنفيذاً لاتفاق دولى ثنائي أو متعدد الأطراف تكون جمهورية مصر العربية طرفًا فيه.

مادة (16):

 يجوز للمتحكم أو المعالج، بحسب الأحوال، إتاحة البيانات الشخصية لمتحكم أو معالج آخر خارج جمهورية مصر العربية بترخيص من المرکز متى توافرت الشروط الآتية :

١ – اتفاق طبيعة عمل كل من المتحكمين أو المعالجين ، أو وحدة الغرض الذي يحصلان بموجبه على البيانات الشخصية.

 ۲ – توافر المصلحة المشروعة لدى كل من المتحكمين أو المعالجين للبيانات الشخصية أو لدى الشخص المعني بالبيانات.

3- ألا يقل مستوى الحماية القانونية والتقنية للبيانات الشخصية لدى المتحكم أو المعالج الموجودة بالخارج عن المستوى المتوافر في جمهورية مصر العربية .

 وتحدد اللاتحة التنفيذية لهذا القانون الاشتراطات والإجراءات والاحتياطات والمعايير والقواعد اللازمة لذلك.

( الفصل الثامن )

 التسويق الإلكتروني المباشر

مادة ( ۱۷ ):

يحظر إجراء أي اتصال إلكترونی بغرض التسويق المباشر للشخص المعني بالبيانات ، إلا بتوافر الشروط الآتية :

١ – الحصول على موافقة من الشخص المعني بالبيانات .

۲ – أن يتضمن الاتصال هوية منشئه ومرسله.

 3 – أن يكون للمرسل عنوان صحیح و کاف للوصول إليه.

4 – الإشارة إلى أن الاتصال الإلكتروني مرسل لأغراض التسويق المباشر .

 5 – وضع آليات واضحة وميسرة لتمكين الشخص المعني بالبيانات من رفض الاتصال الإلكتروني أو العدول عن موافقته على إرسالها.

مادة ( ۱۸ ):

 يلتزم المرسل إلى اتصال إلكتروني بغرض التسويق المباشر بالالتزامات الآتية :

1- الغرض التسويقي المحدد.

 ۲ – عدم الإفصاح عن بيانات الاتصال للشخص المعني بالبيانات.

3- الاحتفاظ بسجلات إلکترونية مثبت بها موافقة الشخص المعني بالبيانات وتعديلاتها، أو عدم اعتراضه على استمراره ، بشأن تلقي الاتصال الإلكتروني التسويقي وذلك لمدة ثلاث سنوات من تاريخ آخر إرسال.

 وتحدد اللائحة التنفيذية لهذا القانون القواعد والشروط والضوابط المتعلقة بالتسويق الإلكتروني المباشر .

( الفصل التاسع)

مركز حماية البيانات الشخصية

مادة (۱۹):

 تنشأ هيئة عامة اقتصادية تسمى “مرکز حماية البيانات الشخصية” ، تتبع الوزير المختص ، وتكون لها الشخصية الاعتبارية ، ويكون مقرها الرئيس محافظة القاهرة أو إحدى المحافظات المجاورة لها ، وتهدف إلى حماية البيانات الشخصية وتنظيم معالجتها وإتاحتها ، ولها في سبيل تحقيق أهدافها أن تباشر جميع الاختصاصات المنصوص عليها بهذا القانون ، ولها على الأخص الآتي :

وضع وتطوير السياسات والخطط الاستراتيجية والبرامج اللازمة لحماية البيانات الشخصية ، والقيام على تنفيذها.

توحيد سياسات وخطط حماية ومعالجة البيانات الشخصية داخل الجمهورية.

 وضع وتطبيق القرارات والضوابط والتدابير والإجراءات والمعايير الخاصة بحماية البيانات الشخصية .

وضع إطار إرشادي لمدونات السلوك الخاصة بحماية البيانات الشخصية ، واعتماد مدونات السلوك الخاصة بحماية البيانات الشخصية بالجهات المختلفة.

التنسيق والتعاون مع جميع الجهات والأجهزة الحكومية وغير الحكومية في ضمان إجراءات حماية البيانات الشخصية ، والتواصل مع جميع المبادرات ذات الصلة.

 دعم تطوير كفاءة الكوادر البشرية العاملة في جميع الجهات الحكومية وغير الحكومية القائمة على حماية البيانات الشخصية.

إصدار التراخيص أو التصاريح والموافقات والتدابير المختلفة المتعلقة بحماية البيانات الشخصية وتطبيق أحكام هذا القانون .

 اعتماد الجهات والأفراد ، ومنحهم التصاريح اللازمة التي تتيح لهم تقديم الاستشارات في إجراءات حماية البيانات الشخصية.

تلقي الشکاوی والبلاغات المتعلقة بأحكام هذا القانون ، وإصدار القرارات اللازمة في شأنها.

إبداء الرأي في مشروعات القوانين والاتفاقيات الدولية التي تنظم البيانات الشخصية أو تتعلق أو تنعکس نصوصها بصورة مباشرة أو غير مباشرة عليها.

 الرقابة والتفتيش على المخاطبين بأحكام هذا القانون ، واتخاذ الإجراءات القانونية اللازمة .

 التحقق من شروط حركة البيانات عبر الحدود ، واتخاذ القرارات المنظمة لها.

 تنظيم المؤتمرات و ورش العمل والدورات التدريبية والتثقيفية ، وإصدار المطبوعات لنشر الوعي والتثقيف للأفراد والجهات حول حقوقهم فيما يتعلق بالتعامل على البيانات الشخصية.

 تقديم جميع أنواع الخبرة والاستشارات المتعلقة بحماية البيانات الشخصية ، وعلى الأخص لجهات التحقيق والجهات القضائية.

إبرام الاتفاقيات ومذكرات التفاهم والتنسيق والتعاون وتبادل الخبرات مع الجهات الدولية ذات الصلة بعمل المركز وفقًا للقواعد والإجراءات المقررة في هذا الشان.

 إصدار الدوريات الخاصة بتحديت إجراءات الحماية بما يتوافق مع أنشطة القطاعات المختلفة وتوصيات المركز في شأنها.

 إعداد وإصدار تقرير سنوي عن حالة حماية البيانات الشخصية في جمهورية مصر العربية.

مادة ( ۲۰ ):

يكون للمركز مجلس إدارة، يشكل برئاسة الوزير المختص، وعضوية كل من :

 ۱ – مثل عن وزارة الدفاع يختاره وزير الدفاع.

۲ – ممثل عن وزارة الداخلية يختاره وزير الداخلية.

3- ممثل عن جهاز المخابرات العامة بختاره رئيس الجهاز.

 4 – مثل عن هيئة الرقابة الإدارية يختاره رئيس الهيئة .

5- ممثل عن هيئة تنمية صناعة تكنولوجيا المعلومات يختاره رئيس مجلس إدارة الهيئة.

6- ممثل عن الجهاز القومي لتنظيم الاتصالات يختاره رئيس مجلس إدارة الجهاز .

۷ – الرئيس التنفيذي للمركز.

 ۸- ثلاثة من ذوي الخبرة يختارهم الوزير المختص .

 وتكون مدة عضوية مجلس الإدارة ثلاث سنوات قابلة للتجديد ، ويصدر بتشكيله، وتحديد المعاملة المالية لأعضائه قرار من رئيس مجلس الوزراء .

 ولمجلس الإدارة أن يشكل من بين أعضائه لجنة أو أكثر يعهد إليها بصفة مؤقتة ببعض المهام ، وللمجلس أن يفوض رئيس مجلس الإدارة أو الرئيس التنفيذي للمركز في بعض اختصاصاته.

مادة (21):

مجلس إدارة المركز هر السلطة المهيمنة على شئونه ومباشرة اختصاصاته ، وله أن يتخذ ما يراه لازمًا من قرارات لتحقيق أغراض المركز والقانون ولائحته التنفيذية و له علي الأخص ما يأتي:

إقرار السياسات والخطط الاستراتيجية والبرامج اللازمة لحماية البيانات الشخصية .

اعتماد اللوائح والضوابط والتدابير و المعايير الخاصة بحماية البيانات الشخصية.

 اعتماد خطط التعاون الدولي وتبادل الخبرات مع الجهات والمنظمات الدولية .

اعتماد الهيكل التنظيمي واللوائح المالية والإدارية والموارد البشرية والموازنة السنوية للمركز .

الموافقة على إنشاء مكاتب أو فروع للمركز على مستوى الجمهورية.

 قبول المنح والتبرعات والهبات اللازمة لتحقيق أغراض المركز بعد الحصول على الموافقات المتطلبة قانونًا.

مادة ( ۲۲ )

يجتمع مجلس إدارة المركز بدعوة من رئيسه مرة على الأقل كل شهر ، وكلما دعت الحاجة لذلك ، ويكون اجتماعه صحيحاً بحضور أغلبية أعضائه ، وتصدر قراراته بأغلبية ثلثي أصوات الأعضاء الحاضرين ، وللرئيس أن يدعو من يرى لحضور الاجتماع دون أن يكون له صوت معدود .

مادة ( ۲۳ ):

 يكون للمركز رئيس تنفيذي ، يصدر بتعيينه وتحديد معاملته المالية قرار من رئيس مجلس الوزراء بناءً على اقتراح الوزير المختص لمدة أربع سنوات قابلة للتجديد لمرة واحدة.

 ويكون مسئولاً أمام مجلس الإدارة عن سير أعمال المركز فنيًا وإداريًا وماليًا، ويمثله في صلاته بالغير وأمام القضاء وله على الأخص ما يأتي :

 ۱ – الإشراف على تنفيذ قرارات مجلس الإدارة .

 ۲ – إدارة المركز والإشراف على سير العمل به ، وتصريف شئونه .

3- عرض تقارير دورية على مجلس الإدارة عن نشاط المرکز وسير العمل به وما تم إنجازه وفقًا للأهداف والخطط والبرامج الموضوعة ، وتحديد معوقات الأداء والحلول المقترحة لتفاديها.

4- ممارسة الاختصاصات الأخرى التي تحددها لوائح المركز .

ه – اتخاذ كل ما يلزم لإنفاذ جميع مهام المركز واختصاصاته الواردة في المادة ( ۲۱ ) من هذا القانون .

وبعاون الرئيس التنفيذي في مباشرة اختصاصاته عدد كاف من الخبراء والفنيين والإداريين وفقًا للهيكل التنظيمي للمركز .

مادة (24):

يحظر على أعضاء مجلس إدارة المركز والعاملين به ، إفشاء أي وثائق أو مستندات أو بيانات تتعلق بالحالات التي يقوم المركز برقابتها أو فحصها أو التي يتم تقديها أو تداولها أثناء فحص أو إصدار القرارات الخاصة بها ، ويظل هذا الالتزام قانما بعد انتهاء العلاقة بالمركز.

وفي جميع الأحوال ، لا يجوز الإفصاح عن المعلومات والوثائق والمستندات والبيانات المشار إليها في هذه المادة إلا لسلطات التحقيق والجهات والهيئات القضائية.

مادة (25) :

للمركز بالتنسيق مع السلطات المختصة التعاون مع نظرائه بالبلاد الأجنبية وذلك في إطار اتفاقيات التعاون الدولية والإقليمية والثنائية أو بروتوكولات التعاون المصدق عليها أو تطبيقًا لمبدأ المعاملة بالمثل بما من شأنه حماية البيانات الشخصية والتحقق من مدى الامتثال للقانون من قبل المتحكمين والمعالجين خارج الجمهورية ، ويعمل المركز على تبادل البيانات والمعلومات بما من شأنه أن يكفل حماية البيانات الشخصية وعدم انتهاکها والمساعدة في التحقيق في الانتهاكات والجرائم ذات الصلة وتتبع مرتكبيها .

( الفصل العاشر )

التراخيص والتصاريح والاعتمادات

 أولاً : أنواع التراخيص والتصاريح والاعتمادات

مادة (26):

يصدر المركز التراخيص أو التصاريح أو الاعتمادات على النحو الآتی:

1- يقوم المركز بتصنيف التراخيص والتصاريح والاعتمادات وتحديد أنواعها ، ووضع الشروط الخاصة بمنح كل نوع منها ، وذلك وفقًا لما تحدده اللائحة التنفيذية لهذا القانون .

 ۲ – إصدار الترخيص أو التصريح للمتحكم أو المعالج لإجراء عمليات حفظ البيانات ، والتعامل عليها ومعالجتها وفقًا لأحكام هذا القانون .

3- إصدار التراخيص أو التصاريح الخاصة بالتسويق الإلكتروني المباشر.

 4 – إصدار التراخيص أو التصاريح الخاصة بالمعالجات التي تقوم بها الجمعيات أو النقابات أو النوادي للبيانات الشخصية لأعضاء تلك الجهات وفي إطار أنشطتها.

 ه – إصدار التراخيص أو التصاريح الخاصة بوسائل المراقبة البصرية في الأماكن العامة.

 6 – إصدار التراخيص أو التصاريح الخاصة بالتحكم ومعالجة البيانات الشخصية الحساسة .

 ۷ – إصدار التصاريح والاعتمادات الخاصة بالجهات والأفراد التي تتيح لهم تقديم الاستشارات في إجراءات حماية البيانات الشخصية ، وإجراءات الامتثال لها.

8 – إصدار التراخيص والتصاريح الخاصة بنقل البيانات الشخصية عبر الحدود.

 وتحدد اللائحة التنفيذية لهذا القانون أنواع هذه التراخيص والتصاريح والاعتمادات وفئاتها ومستوياتها ، وإجراءات وشروط إصدارها وتجديدها ونماذجها المستخدمة ، وذلك بمقابل رسوم لا تتجاوز مليوني جنيه بالنسبة للترخيص ، ومبلغ لا يتجاوز خمسمائة ألف جنيه للتصريح أو الاعتماد.

ثانيًا: إجراءات إصدار التراخيص والتصاريح والاعتمادات

مادة (27 ):

تقدم طلبات التراخيص والتصاريح والاعتمادات على النماذج التي يضعها المركز مشفوعة بجميع المستندات والمعلومات التي يحددها ، مع تقديم ما بثبت قدرة المتقدم المالية وقدرته على توفير وتنفيذ المتطلبات والمعايير الفنية المقررة ، ويبت في الطلب خلال مدة لا تتجاوز تسعين يومًا من تاريخ استيفائه لجميع المستندات والمعلومات وإلا اعتبر الطلب مرفوضًا.

 ويجوز للمركز طلب بيانات أو وثائق أو مستندات أخرى للبت في الطلب ، كما يكون له الحق في طلب توفير ضمانات إضافية لحماية البيانات الشخصية إذا تبين عدم كفاية الحماية المبينة بالمستندات المقدمة إليه.

كما يجوز للمتحكم أو المعالج الحصول على أكثر من ترخيص أو تصريح وفقًا لنوعية البيانات الشخصية المتعامل عليها .

ثالثا: تعديل شروط التراخيص والتصاريح

مادة ( 28 ):

يجوز للمركز ، وفقًا لاعتبارات المصلحة العامة، تعديل شروط الترخيص أو التصريح بعد إصداره في أي من الحالات الآتية :

 ١ – الاستجابة إلى الاتفاقيات الدولية أو الإقليمية أو القوانين الوطنية ذات الصلة.

 ۲ – بناءً على طلب المرخص له.

3- اندماج المتحكم أو المعالج مع آخرين داخل جمهورية مصر العربية أو خارجها.

4 – إذا كان التعديل ضروريًا لتحقيق أهداف هذا القانون .

 رابعًا: إلغاء التراخيص والتصاريح والاعتمادات

مادة ( ۲۹ ):

يجوز للمركز إلغاء الترخيص أو التصريح أو الاعتماد بعد إصداره في أي من الحالات الآتية :

۱- مخالفة شروط الترخيص أو التصريح أو الاعتماد.

۲ – عدم سداد رسوم تجديد الترخيص أو التصريح أو الاعتماد .

 ۳ – تكرار عدم الامتثال لقرارات المركز.

4 – التنازل عن الترخيص أو التصريح أو الاعتماد للغير دون موافقة المركز.

 ه – صدور حکم بإ فلاس المتحكم أو المعالج.

خامسا : الجزاءات الإدارية

مادة ( ۳۰ ):

مع عدم الإخلال بأحكام المسئولية المدنية والجنائية ، يقوم الرئيس التنفيذي للمركز ، في حال ارتكاب أي مخالفة لأحكام هذا القانون بإنذار المخالف بالتوقف عن المخالفة وإزالة أسبابها أو آثارها خلال فترة زمنية يحددها ، فإذا انقضت المدة المشار إليها دون تنفيذ مضمون ذلك الإنذار ، كان لمجلس إدارة المركز أن يصدر قراراً مسببًا بما يأتي:

 ۱ – الإنذار بإيقاف الترخيص أو التصريح أو الاعتماد جزئيًا أو كليًا لمدة محددة.

 ۲ – إيقاف الترخيص أو التصريح أو الاعتماد جزئيًا أو كليًا.

3 – سحب الترخيص أو التصريح أو الاعتماد أو إلغاؤه جزئيًا أو كليًا.

 4 – نشر بيان بالمخالفات التي ثبت وقوعها في وسيلة إعلام أو أكثر واسعة الانتشار على نفقة المخالف.

5- إخضاع المتحكم أو المعالج للإشراف الفني للمركز لتأمين حماية البيانات الشخصية على نفقتهما بحسب الأحوال.

( الفصل الحادي عشر)

موازنة المركز وموارده المالية

مادة ( ۳۱ ):

يكون للمركز موازنة خاصة تعد على نمط موازنات الهيئات الاقتصادية طبقًا للقواعد التي تحددها لائحة المركز وتتبع قواعد النظام المحاسبي الموحد ، وذلك دون التقيد بالقواعد والنظم الحكومية ، وتبدأ السنة المالية للمركز مع بداية السنة المالية للدولة وتنتهي بنهايتها.

كما يكون للمركز حساب خاص لدى البنك المركزي تودع فيه موارده ، ويجوز له إنشاه حساب باسمه لدى أحد البنوك التجارية بعد موافقة وزير المالية ، ويرحل الفائض من موازنة المركز من سنة مالية إلى أخرى ، ويتم الصرف من موارده وفقا للائحته المالية وذلك في المجالات التي يحددها مجلس إدارته ، وتتكون موارده من الآتی :

1- ما يخصص له من موازنة هيئة تنمية صناعة تكنولوجيا المعلومات .

2- ما پخصص له من الخزانة العامة بما لا يقل عن ثلث حصيلة الغرامات المقضی بها تطبيقًا لأحكام هذا القانون ،

۳ – مقابل الخدمات التي يقوم المركز بتقديها.

4 – قيمة رسوم ومقابل التراخيص والتصاريح والاعتمادات التي يتم إصدارها و قيمة التصالحات التي يتم قبولها .

 ه – عائد استثمار أموال المركز .

6- ما يقبله مجلس الإدارة من المنح والتبرعات والهبات.

( الفصل الثانی عشر)

الطلبات والشکاوی

أولاً : الطلبات

مادة ( ۳۲ ):

يجوز للشخص المعني بالبيانات ولكل ذي صفة أن يتقدم إلى أي حائز أو متحكم أو معالج بطلب يتعلق بمارسة حقوقه المنصوص عليها في هذا القانون ، ويلتزم المقدم إليه الطلب بالرد عليه خلال ستة أيام عمل من تاريخ تقديمه إليه.

ثانيًا : الشكاوى

مادة (۳ ۳):

مع عدم الإخلال بالحق في اللجوء إلى القضاء ، يكون للشخص المعني بالبيانات ولكل ذي صفة ومصلحة مباشرة حق الشكوى في الحالات الآتية :

 1 – انتهاك حق حماية البيانات الشخصية أو الإخلال به.

۲ – الامتناع عن تمكين الشخص المعني بالبيانات من استيفاء حقه.

٣ – القرارات الصادرة عن المسئول عن حماية البيانات الشخصية لدى المعالج أو المتحكم بشأن الطلبات المقدمة إليه.

  وتقدم الشكوى إلى المركز ، وله في ذلك اتخاذ ما يلزم من إجراءات التحقيق، وعليه أن يصدر قراره خلال ثلاثين يوم عمل من تاريخ تقديمها إليه ، على أن يخطر الشاكي والمشكو في حقه بالقرار.

 ويلتزم المشكو في حقه بتنفيذ قرار المركز خلال سبعة أيام عمل من تاريخ إخطاره به ، وإفادة المركز ماتم نحو تنفيذه.

( الفصل الثالث عشر)

الضبطية القضائية

مادة ( 34 ):

يكون للعاملين بالمركز الذين يصدر بتحديدهم قرار من وزير العدل بناءً على اقتراح الوزير المختص صفة الضبطية القضائية في إثبات الجرائم التي تقع بالمخالفة لأحكام هذا القانون .

( الفصل الرابع عشر)

الجرائم والعقوبات

مادة ( ۳۵ ):

مع عدم الإخلال بأي عقوبة أشد منصوص عليها في أي قانون آخر ، ومع عدم الإخلال بحق المضرور في التعويض ، يعاقب على الجرائم المنصوص عليها في المواد التالية العقوبات المقررة لها.

 مادة (36):

يعاقب بغرامة لا تقل عن مائة ألف جنيه ولا تجاوز مليون جنيه كل حائز أو متحكم أو معالج جمع أو عالج أو أفشى أو أتاح أو تداول بيانات شخصية معالجة إلكترونيًا بأي وسيلة من الوسائل في غير الأحوال المصرح بها قانونًا أو بدون موافقة الشخص المعني بالبيانات .

وتكون العقوبة الحبس مدة لا تقل عن ستة شهور وبغرامة لا تقل عن مائتي ألف جنيه ولا تجاوز مليونى جنيه ، أو بإحدى هاتين العقوبتين ، إذا ارتكب ذلك مقابل الحصول على منفعة مادية أو أدبية ، أو بقصد تعريض الشخص المعني بالبيانات للخطر أو الضرر .

مادة ( ۳۷ ):

يعاقب بغرامة لا تقل عن مائة ألف جنيه ولا تجاوز مليون جنيه ، كل حائز أو متحکم أو معالج امتنع دون مقتض من القانون عن تمكين الشخص المعني بالبيانات من ممارسة حقوقه المنصوص عليها في المادة ( ۲ ) من هذا القانون و يعاقب بغرامة لا تقل عن مائتی ألف جنیه ولا تجاوز مليوني جنيه كل من جمع بيانات شخصية بدون توافر الشروط المنصوص عليها في المادة ( 3 ) من هذا القانون.

مادة ( ۳۸ ):

يعاقب بغرامة لا تقل عن ثلاثمائة ألف جنيه ولا تجاوز ثلاثة ملايين جنيه ، كل متحكم أو معالج لم يلتزم بواجباته المنصوص عليها في المواد (4 ، ۷۰۵ ) من هذا القانون .

 مادة ( ۳۹ ):

يعاقب بالغرامة التي لا تقل عن مانتی ألف جنيه ولا تجاوز مليونی جنيه ، كل ممثل قانوني للشخص الاعتبارى لم يلتزم بأحد واجباته المنصوص عليها في المادة ( ۸ ) من هذا القانون .

مادة (40):

يعاقب بغرامة لا تقل عن مائتي ألف جنيه ولا تجاوز ملیونی جنيه ، كل مسئول حماية بيانات شخصية لم يلتزم بمقتضيات وظيفته المنصوص عليها في المادة ( ۹ ) من هذا القانون.

ويعاقب بغرامة لا تقل عن خمسين ألف جنيه ولا تجاوز خمسمائة ألف جنيه إذا وقعت الجريمة نتيجة لإهمال مسئول حماية البيانات الشخصية.

مادة (41):

يعاقب بالحبس مدة لا تقل عن ثلاثة شهور وبغرامة لا تقل عن خمسمائة ألف جنيه ولا تجاوز خمسة ملايين جنيه ، أو بإحدى هاتين العقريتين، كل حائز أو متحكم أو معالج جمع أو أتاح أو تداول أو عالج أو أفشي أو خزن أو نقل أو حفظ بيانات شخصية حساسة بدون موافقة الشخص المعني بالبيانات أو في غير الأحوال المصرح بها قانونًا .

مادة (42):

يعاقب بالحبس مدة لا تقل عن ثلاثة شهور وبغرامة لا تقل عن خمسمائة ألف جنيه ولا تجاوز خمسة ملايين جنيه ، أو بإحدى هاتين العقوبتين كل من خالف أحكام حركة البيانات الشخصية عبر الحدود المنصوص عليها في المواد (14 ، ۱5 ،16 ) من هذا القانون.

مادة ( 43 ):

يعاقب بغرامة لا تقل عن مائتي ألف جنيه ولا تجاوز مليوني جنيه ، كل من خالف أحكام التسويق الإلكتروني المنصوص عليها في المادتين ( ۱۷ ، ۱۸ ) من هذا القانون .

مادة ( 44 ):

 يعاقب بغرامة لا تقل عن ثلاثمائة ألف جنيه ولا تجاوز ثلاثة ملايين جنيه ، كل عضو مجلس إدارة أو أي من العاملين بالمركز خالف الالتزامات المنصوص عليها في المادة (24) من هذا القانون.

مادة ( 45 ):

يعاقب بغرامة لا تقل عن خمسمائة ألف جنيه ولا تجاوز خمسة ملايين جنيه ، كل من خالف أحكام التراخيص أو التصاريح أو الاعتمادات المنصوص عليها في هذا القانون .

مادة ( 46 ):

يعاقب بالحبس مدة لا تقل عن ستة أشهر وبغرامة لا تقل عن مائتي ألف جنيه ولا تجاوز ملیونی جنيه ، أو بإحدى هاتين العقوبتين ، كل من منع أحد العاملين بالمركز ممن يتمتعون بصفة الضبطية القضائية من أداء عمله.

مادة (47):

يعاقب المسئول عن الإدارة الفعلية للشخص الاعتبارى المخالف بذات العقوبات المقررة عن الأفعال التي ترتكب بالمخالفة لأحكام هذا القانون ، إذا ثبت علمه بها ، وكان إخلاله بالواجبات التي تفرضها عليه تلك الإدارة قد أسهم في وقوع الجريمة.

 ويكون الشخص الاعتبارى مسئولا بالتضامن عن الوفاء بما يحكم به من تعويضات إذا كانت المخالفة قد ارتكبت من أحد العاملين لديه وباسم الشخص الاعتباری ولصالحه .

مادة (48):

في جميع الأحوال ، وفضلاً عن العقوبات المنصوص عليها في هذا القانون ، تقضي المحكمة بنشر حكم الإدانة في جريدتين واسعتي الانتشار ، وعلى شبكات المعلومات الإلكترونية المفتوحة على نفقة المحكوم عليه.

 وفي حالة العود ، تضاعف العقوبات الواردة في هذا الفصل بحديها الأقصى والأدنی .

ويعاقب على الشروع في ارتكاب الجرائم المنصوص عليها في هذا القانون بنصف العقوبة المقررة لها .

الصلح والتصالح

مادة (49 ) :

يجوز للمتهم في أي حالة كانت عليها الدعوى الجنائية ، وقبل صيرورة الحكم باتًا، إثبات الصلح مع المجنى عليه أو وكيله الخاص أو خلفه العام ، وبموافقة المركز أمام النيابة العامة أو المحكمة المختصة بحسب الأحوال ، وذلك في الجنح المنصوص عليها في المواد (36، ۳۷، ۳۸، ۳۹، 40،41، 4۳) من هذا القانون.

ويكون التصالح مع المركز في الجنح المنصوص عليها بالمواد (42 ، 44 ، 45 ) من هذا القانون في أي حالة كانت عليها الدعوى .

وفي جميع الأحوال ، يجب على المتهم الذي يرغب في التصالح أن يسدد قبل رفع الدعوى الجنائية مبلغًا يعادل نصف الحد الأدني للغرامة المقررة للجريمة .

يسدد المتهم راغب التصالح بعد رفع الدعوى وقبل صيرورة الحكم باتًا نصف الحد الأقصى للغرامة المقررة للجريمة ، أو قيمة الغرامة المقضي بها أيهما أكبر.

 ويكون السداد في خزانة المحكمة المختصة أو النيابة العامة أو المرکز بحسب الأحوال.

ويترتب على التصالح انقضاء الدعوى الجنائية دون أن يكون له أثر على حقوق المضرور من الجريمة .

بإمكانك الإطلاع علي الصورة الرسمية بمحرد الضغط هنا