Égypte : les règles cookies et consentement de la loi nº 151 de 2020

Qu’est-ce que la loi égyptienne sur la protection des données ?

La loi nº 151 de 2020 portant promulgation de la loi sur la protection des données personnelles a été publiée au Journal officiel en juillet 2020 et est entrée en vigueur trois mois après le lendemain de sa publication, en octobre 2020. En pratique, elle est restée en sommeil : l’article 4 de la loi de promulgation demandait au ministre des Communications et des Technologies de l’information d’adopter le règlement exécutif dans les six mois, et il a fallu cinq ans. Le décret ministériel nº 816 de 2025 a pris le règlement exécutif le 1er novembre 2025, applicable le lendemain de sa publication au Journal officiel. L’article 6 de la loi de promulgation donne aux entités un an à compter de l’adoption du règlement pour mettre leurs traitements en conformité : la pleine conformité est donc exigible vers le 1er novembre 2026. Des cabinets d’avocats relèvent que le texte n’a été largement accessible qu’à la fin de décembre 2025 et que la fin exacte du délai de grâce peut être interprétée différemment : retenez l’automne 2026 comme échéance.

L’autorité de contrôle est le Personal Data Protection Center (PDPC, centre de protection des données personnelles), une autorité économique publique rattachée au ministre (article 19). Il délivre des licences et des autorisations, reçoit les notifications de violations de données, traite les plaintes et gère un portail en ligne pour l’enregistrement et les licences.

À qui s’applique la loi ?

La loi couvre les données personnelles des personnes physiques traitées en tout ou partie par des moyens électroniques, par tout détenteur, responsable de traitement ou sous-traitant (article 1 de la loi de promulgation). Ses infractions s’appliquent aux Égyptiens en Égypte ou à l’étranger, aux étrangers résidant en Égypte, et aux étrangers hors d’Égypte lorsque l’acte est aussi une infraction là où il a été commis et que les données concernent des Égyptiens ou des étrangers résidant en Égypte (article 2 de la loi de promulgation). Les exclusions comprennent les données conservées pour un usage personnel, les statistiques officielles, le journalisme, les dossiers judiciaires, la sécurité nationale, et les entités placées sous le contrôle de la Banque centrale d’Égypte, à l’exception des sociétés de transfert d’argent et de change.

Une donnée personnelle est toute donnée relative à une personne physique identifiée, ou identifiable directement ou indirectement par rapprochement avec d’autres données comme un nom, une voix, une image, un numéro d’identification ou un identifiant en ligne (article 1). Un identifiant de cookie ou un identifiant publicitaire rattaché à un visiteur est donc une donnée personnelle.

Les cookies exigent-ils un consentement en Égypte ?

Il n’existe pas de règle égyptienne écrite pour les cookies : les règles générales décident. L’article 2 interdit de collecter, traiter, divulguer ou révéler des données personnelles par quelque moyen que ce soit sans le consentement explicite de la personne concernée, sauf autorisation de la loi. L’article 6 considère le traitement comme licite lorsque la personne a donné son consentement explicite pour une ou plusieurs finalités déterminées, lorsqu’il est nécessaire à un contrat ou à des actions en justice, pour respecter une obligation légale ou une décision de justice, ou pour permettre au responsable d’exercer des droits légitimes qui ne sont pas contraires aux droits et libertés fondamentaux de la personne. L’article 3 ajoute que les données doivent être collectées pour des finalités légitimes, déterminées et déclarées, connues de la personne, et conservées pas plus longtemps que nécessaire.

Le règlement exécutif précise ces règles :

• les données personnelles ne peuvent être collectées qu’après consentement et après avoir clairement informé la personne de la finalité ; fournir des données pour obtenir un service vaut consentement pour cette seule finalité ;
• le PDPC doit approuver les mécanismes utilisés pour collecter les données personnelles et recueillir le consentement ;
• les responsables doivent tenir un registre électronique sécurisé qui consigne chaque consentement, sa date, la forme sous laquelle il a été donné, les catégories de données et l’étendue de l’utilisation ;
• les données collectées auprès d’enfants qui participent à des jeux ou à des concours ne peuvent pas servir au profilage, au suivi ou à l’observation comportementale.

Les cookies strictement nécessaires entrent dans la lecture liée au service. Les cookies de mesure d’audience et de publicité n’ont pas de base claire autre que le consentement explicite, ce qui veut dire un bandeau qui demande le consentement avant que ces cookies s’exécutent, offre un vrai refus et enregistre chaque réponse. La prospection électronique directe a ses propres règles : consentement préalable, expéditeur identifié, moyen clair de s’y opposer et conservation des preuves de consentement pendant trois ans après le dernier message (articles 17 et 18), plus une licence dédiée.

Ai-je besoin d’une licence ?

Probablement, si vous traitez à titre professionnel des données personnelles de personnes en Égypte. Le PDPC délivre des licences et des autorisations aux responsables de traitement et aux sous-traitants, et séparément pour la prospection électronique directe, les données sensibles, la vidéosurveillance et les transferts transfrontaliers (article 26). Les frais de licence sont plafonnés à 2 000 000 EGP et les frais d’autorisation ou d’agrément à 500 000 EGP, les montants réels étant fixés par le règlement exécutif selon l’activité et le volume de données. Le Centre statue dans les 90 jours suivant le dépôt d’un dossier complet ; son silence vaut refus (article 27).

Les données personnelles peuvent-elles quitter l’Égypte ?

L’article 14 interdit de transférer, de stocker ou de partager des données personnelles à l’étranger, sauf si la destination offre une protection au moins égale à celle du droit égyptien et que le PDPC a délivré une licence ou une autorisation. L’article 15 autorise les transferts vers des pays sans protection adéquate avec le consentement explicite de la personne dans des cas énumérés, comme les soins médicaux, les actions en justice, un contrat conclu dans l’intérêt de la personne ou des accords internationaux. Les prestataires de mesure d’audience et de publicité qui traitent les données hors d’Égypte relèvent de ces règles.

Quelles sont les sanctions ?

La loi prévoit des sanctions pénales, jugées par les tribunaux économiques :

Les peines sont doublées en cas de récidive, les condamnations sont publiées dans deux journaux aux frais du condamné (article 48), et la personne qui dirige effectivement une société peut être punie personnellement si elle avait connaissance du manquement (article 47). Nous n’avons trouvé aucune décision de sanction publiée au titre de la loi en octobre 2026.

Comment Cookiequiet s’y adapte

L’Égypte ne figure pas dans la liste par défaut des pays réglementés de Cookiequiet : ajoutez-la à une liste de pays personnalisée ou affichez le bandeau partout ; le ciblage géographique est inclus dans chaque offre. Le bandeau retient les scripts de mesure d’audience et de marketing jusqu’au choix, affiche « Tout refuser » à côté de « Tout accepter », et le registre des consentements enregistre la date, le choix, les catégories et la version du bandeau de chaque décision, ce qui correspond au registre des consentements du règlement. L’arabe ne fait pas partie des 24 langues intégrées : les visiteurs dont le navigateur le demande voient la langue par défaut du site, dont vous pouvez modifier les textes. Cookiequiet ne gère ni les licences du PDPC ni les autorisations de transfert. Commencez par le scanner de cookies pour lister vos prestataires, et comparez avec les règles saoudiennes et le RGPD. Ceci n’est pas un conseil juridique.