经过漫长等待和筹备，埃及于2020年7月15日颁布第一部《数据保护法》。涵盖自然人的数字个人数据，但不包括该法第3条所涵盖的适用范围之外的某些数据，包括为官方统计数据或法律规定的应用而处理的个人数据，与司法报告，调查和索赔有关的个人数据，还有埃及中央银行（CBE）以及受其监督的大多数实体。

一、执行

该法将于2020年10月14日生效，其执行条例计划在该法颁布后6个月内（大约在2021年4月之前）颁布。

二、合规时限

法律适用的所有实体，即在埃及境内或埃及境外处理埃及境内个人数据的公司，应在“行政法规发布之日起一年内”完全遵守法律要求。

三、数据保护原则

该法引入了各种合规要求及刑事处罚，纳入并遵循国际公认的数据保护法律、实践和程序基本原则，为埃及收集、处理和存储个人数据的机构作出指引。该法还规定了数据处理、数据控制、敏感数据处理、数字/线上营销和数据跨境传输的许可要求。

法律一般禁止处理个人数据，除非获得数据所有者同意，或法律允许。

四、个人数据

法律将“个人数据”定义为与有身份的自然人相关的任何数据，或通过引用任何其他数据（如姓名、声音、图片、身份证号、在线标识符或识别心理、健康、经济的任何数据）直接或间接与自然人相关的任何数据，文化或社会身份。

该法进一步将“敏感个人数据”单独定义为披露心理、精神、身体或遗传健康状况的个人数据、生物特征数据、财务数据、宗教信仰、政治观点或安全状况；与儿童有关的个人数据也被视为敏感个人数据。

五、数据所有者的权利

数据所有者/相关数据拥有者根据法律享有各种权利，包括：

• 有权知道哪些个人数据正被处理，由谁处理，并有权访问这些数据；

• 撤回对处理个人数据的授权；

• 更正、修改、删除、添加或更新其个人资料；

• 在有限范围内限制对其个人数据的处理；以及

• 对涉及其个人数据的任何泄露情况有知情权。

六、持有者、控制者和处理者

法律根据公司处理个人信息/个人数据的方式（将其分为持有者、控制者和处理者，均在法律中定义）赋予其不同所有权，这些所有权除影响法律规定的核心数据保护原则外，还影响其规定的具体义务，对每一个控制者和处理者来说，他们都有诸多明确义务。

七、监管机构

该法律规定设立埃及数据保护中心/管理局，以监管数据保护行为，强制遵守法律，并制定进一步实施条例和机制，以确保数据保护并接收调查投诉。

该中心的目标是制定保护个人数据所需的战略计划、政策和方案，并与所有政府和非政府机构协调执行保护措施。它将由来自信息技术产业发展局、国家电信管理局、行政管制局以及国防部、内政部、外交部和情报局的代表组成。此外，该中心的任务是颁发许可证，授权法律规定的某些受限个人数据处理。

八、数据保护专员

法律要求处理个人数据的公司（法律中定义为控制者或处理者）指定一名数据保护员，负责监测守法情况，定期进行检查，并作为数据保护中心的监管联络人。此类专员应在（尚未建立的）埃及数据保护中心/管理局注册，否则公司将面临高达200万埃及镑的经济处罚。

九、数据泄露报告

法律要求被处理的公司必须在24小时内报告网络攻击，但是，如果攻击威胁国家安全，则必须立即报告。

十、跨境数据传输

将个人数据转移到其他国家可能会给数据、个人和传输组织带来风险，这就是为什么在某些例外情况下，法律包含了一项一般禁止，即禁止将个人数据传输给埃及境外的接收者，除非获得（尚未建立的）埃及数据保护中心/管理局同意，且数据传输目的国提供的数据保护水平不低于埃及。行政法规应规定跨境传输个人数据所需的政策、标准、指南和规则。

十一、数字/电子营销

该法将电子/数字营销纳入其与数据保护相关的条款中，规定了管理电子/数字营销的具体要求。它要求事先获得许可和同意，作为直接的电子营销法律依据。此外，它授予数据所有者/与数据相关的人撤销任何先前同意的权利。

十二、个人权利

与大多数采用现代数据保护法一样，该法授予个人与其个人数据相关的权利。数据保护法规定的个人权利旨在使个人能对其数据的处理方式行使控制权。除访问权外，与数据相关的数据所有者有权向持有人、控制者和/或处理者提交请求，说明其根据数据保护法行使其权利的情况，被请求方应在请求后6个工作日内作出答复。此外，尽管此类事项可提交诉讼，但相关数据所有人和/或任何有能力的人都有权向（尚未成立的）数据保护中心提出申诉，被告应在7天内遵守中心判决。

十三、制裁和处罚

该法还规定了各种刑事犯罪及一系列惩罚措施（罚款达300万埃及镑和监禁等），包括但不限于：

• 以任何方式收集、处理、披露、提供访问或传播个人数据，除非获得数据相关方同意，或法律允许的其他方式；

• 未根据个人数据保护法处理个人数据；

• 阻止数据所有者行使个人数据保护法授予的权利；

• 数据控制者或数据处理者未能遵守法律规定的具体义务和通知/报告要求；

• 未能任命数据保护专员，或未能向其提供履行职责的基本要求；

• 数据保护专员未能履行法律规定的职责；

• 以不合法方式传输个人数据；以及

• 未能遵守法律规定的电子/数字营销要求。

法律具体规定可判处监禁的行为如下：

• 违反跨境数据传输条件；

• 未经数据所有人明确书面同意或违反法律相关规定处理敏感数据；

• 任何数据处理者或控制者违反法律相关规定或未经数据所有人/相关数据所有者（如适用）同意，以换取利益或意图使数据所有者遭受危险或伤害；以及，

• 妨碍数据保护中心代表履行其职责。

法律还特别允许在法院外与受害个人和/或（尚未建立的）数据保护中心进行调解和解。

该中心也有权对违规情况发出警告，并暂停或撤销先前发给违规控制者或处理者的任何许可。

发布此数据保护法的目的之一是助力本国为公民个人数据和权利提供充分保护，从而创造健康的经济环境，使埃及能够高效处理包括跨境数据传输的贸易行为。

该法律还应在其行政法规发布之后，通过提供清晰框架来努力提高埃及对外国投资者的吸引力。预计该行政法规将包括对执行该法所规定的所有细节解释，包括但不限于数据保护中心机制等。