تحديث المصادر: 1 نوفمبر 2026.
الإجابة المختصرة: حماية بيانات المستفيدين في مصر ليست مجرد سياسة خصوصية على الموقع. على المنظمة غير الحكومية أن تعرف ما تجمعه ولماذا، وأن تحدد صفتها القانونية في كل عملية معالجة، وتوثق الأساس القانوني والموافقات، وتحمي البيانات الحساسة وبيانات الأطفال، وتنظم علاقة الموردين والشركاء، وتراجع التخزين أو المشاركة خارج مصر، وتجهز آلية لطلبات أصحاب البيانات والحوادث والتخلص من البيانات.
ينطبق قانون حماية البيانات الشخصية رقم 151 لسنة 2020 على البيانات الشخصية للأشخاص الطبيعيين متى عولجت إلكترونيًا كليًا أو جزئيًا. وقد صدرت لائحته التنفيذية بقرار وزير الاتصالات وتكنولوجيا المعلومات رقم 816 لسنة 2025. وتنص مادة الإصدار السادسة على توفيق الأوضاع خلال سنة من تاريخ إصدار اللائحة، وقد بلغت هذه المهلة نهايتها مع مطلع نوفمبر 2026؛ لذلك يجب على المنظمات التي لم تستكمل المراجعة أن تبدأ فورًا، مع التحقق من أحدث قرارات وإرشادات مركز حماية البيانات الشخصية قبل التقديم أو اتخاذ إجراء نهائي.
لماذا يختلف ملف البيانات في المنظمات غير الحكومية؟
قد تجمع المنظمة بيانات هوية واتصال ودخل وحالة اجتماعية وصحية وإعاقة وصورًا وشكاوى وبيانات أطفال، ثم تشارك أجزاء منها مع مانح أو شريك محلي أو خبير تقييم أو مزود منصة سحابية. بعض هذه البيانات يعد حساسًا، وبيانات الأطفال تعامل باعتبارها بيانات حساسة. والخطر لا ينشأ فقط من الاختراق؛ بل من جمع معلومات أكثر من الحاجة، أو استخدام قصة مستفيد في تقرير أو حملة دون أساس واضح، أو إبقاء ملفات قديمة، أو إرسال جدول أسماء إلى طرف غير مخول.
خطة امتثال عملية من عشر خطوات
- احصر مسارات البيانات. سجل النماذج الورقية التي تُدخل لاحقًا إلى النظام، وملفات Excel، والبريد وWhatsApp، ومنصات التسجيل، ونظام إدارة المستفيدين، والكاميرات، والنسخ الاحتياطية، وأجهزة الموظفين.
- حدد الغرض قبل الحقول. اربط كل فئة بيانات بغرض مشروع ومحدد ومعلن. لا تطلب الرقم القومي أو التقرير الطبي أو بيانات الأسرة لمجرد احتمال الاحتياج إليها لاحقًا.
- حدد الأدوار القانونية. قد تكون المنظمة متحكمًا عندما تقرر لماذا وكيف تجمع البيانات، وقد يكون مزود النظام أو مركز الاتصالات معالجًا يعمل وفق تعليماتها. وقد يصبح الشريك متحكمًا مستقلًا إذا قرر أغراض استخدام جديدة.
- وثق الأساس القانوني والإخطار. راجع ما إذا كانت المعالجة تقوم على موافقة صريحة أو التزام قانوني أو تعاقد أو مصلحة مشروعة أو غير ذلك من الأسس التي يجيزها القانون. ويجب أن يوضح إخطار الخصوصية هوية الجهة والغرض وفئات البيانات ومدة الاحتفاظ والمشاركة وحقوق صاحب البيانات ووسيلة التواصل.
- عامل البيانات الحساسة والأطفال بمستوى أعلى. افصل الوصول إلى الملفات الصحية وبيانات الإعاقة والحالة المالية والدينية والبيومترية وبيانات الأطفال. وثق موافقة الولي عند انطباقها، وامنع نشر الصور أو القصص التي تكشف هوية طفل أو مستفيد دون سند صحيح وضوابط واضحة.
- راجع الموردين والشركاء. يجب أن يحدد العقد موضوع المعالجة ومدتها وتعليمات المنظمة والسرية والأمن والحوادث والعودة أو المحو عند انتهاء الخدمة. لا يكفي أن يذكر المورد في عرضه أنه «متوافق» دون التزامات قابلة للتحقق.
- ارسم خريطة النقل خارج مصر. تخزين الملفات على خدمة سحابية أو إتاحة لوحة بيانات لمقر أجنبي قد يمثل تعاملًا عابرًا للحدود. تحدد اللائحة ضوابط تشمل الترخيص أو التصريح، وتقييم الحماية، والموافقة، والدول المحددة، وإجراءات الأمن؛ لذلك لا تعتمد على موقع الشركة الموردة وحده، بل افحص مسار البيانات الفعلي.
- أنشئ قناة لحقوق أصحاب البيانات. جهز إجراءً لتلقي طلبات العلم والوصول والحصول على نسخة والتصحيح والتحديث والمحو وسحب الموافقة والاعتراض أو تقييد المعالجة بحسب الحالة، وسجل الطلب والقرار والتنفيذ.
- جهز خطة للحوادث. يجب أن يعرف الفريق من يتلقى البلاغ، وكيف يعزل الحادث ويحفظ الأدلة ويقيّم الضرر. ينص القانون واللائحة على إخطار المركز خلال 72 ساعة من العلم بالخرق، وإخطار صاحب البيانات خلال ثلاثة أيام عمل من إخطار المركز، مع أحكام أشد للحالات المرتبطة بالأمن القومي.
- راجع مسؤول الحماية والتراخيص والسجلات. توضح إرشادات المركز أن الأشخاص الاعتبارية التي تعمل كمستخدمي بيانات تعين مسؤول حماية بيانات بغض النظر عن حجم المعالجة. كما يجب فحص فئة الترخيص أو التصريح المناسبة، والاحتفاظ بالسجلات الإلكترونية الآمنة التي تثبت الموافقات والأغراض ومدد الاحتفاظ والطلبات والحوادث والإجراءات الفنية والتنظيمية.
المستندات التي ينبغي تجهيزها
- سجل أنشطة المعالجة وخريطة تدفق البيانات والأنظمة والأطراف التي تصل إليها.
- إخطارات الخصوصية ونماذج الموافقة العامة، والحساسة، وموافقة ولي الطفل عند اللزوم.
- جدول الاحتفاظ والمحو أو إخفاء الهوية لكل فئة من البيانات.
- عقود المعالجة وملاحق حماية البيانات مع الموردين والشركاء والباحثين والاستشاريين.
- سجل الدول والخدمات السحابية والتحويلات الدولية والأساس والموافقات والتدابير المستخدمة.
- إجراء طلبات أصحاب البيانات وسجل الاستجابات وإجراء الشكاوى.
- خطة الاستجابة للحوادث ونموذج التقييم والإخطار وسجل الاختبارات.
- قرار تعيين مسؤول حماية البيانات ووصف مهامه واستقلاله ومسار رفع التقارير.
أخطاء شائعة تزيد المخاطر
- نسخ سياسة خصوصية عامة لا تعكس أنظمة المنظمة أو برامجها الفعلية.
- اعتبار موافقة المستفيد مفتوحة لكل استخدام مستقبلي أو لكل جهة مانحة.
- إرسال قوائم الأسماء والجوازات والتقارير الطبية بالبريد أو تطبيقات المراسلة دون ضوابط وصول وتشفير ومدة حذف.
- الخلط بين البيانات الإحصائية المجهلة فعلًا والبيانات ذات الرموز التي يمكن إعادة ربطها بالشخص.
- الاعتقاد أن الخادم الموجود خارج مصر يعفي من القانون المصري أو أن عقد المانح يحل محل التصريح المطلوب.
- الاحتفاظ بنسخ متعددة على أجهزة الموظفين بعد انتهاء المشروع أو العلاقة.
كيف تبدأ المنظمة خلال أسبوع؟
ابدأ باجتماع واحد يضم المسؤول القانوني وتقنية المعلومات والبرامج والموارد البشرية والتمويل. اختر برنامجًا واحدًا عالي المخاطر، واحصر بياناته من أول نموذج حتى الحذف. أوقف فورًا أي جمع لا يملك غرضًا واضحًا، وحدد الموردين والدول التي تصل إلى البيانات، وراجع نموذج الموافقة وإخطار الخصوصية، ثم افتح سجل فجوات بأصحاب ومواعيد تنفيذ. بعد اختبار هذا المسار، عمم النموذج على باقي البرامج.
أسئلة شائعة
هل تكفي موافقة المستفيد؟
لا. الموافقة قد تكون أحد الأسس، لكنها لا تعفي من تحديد الغرض وتقليل البيانات والأمن والاحتفاظ والحقوق والتراخيص أو التصاريح المطلوبة. كما يجب أن تكون الموافقة صريحة ومحددة وقابلة للإثبات والسحب حين تقوم المعالجة عليها.
هل يجوز إرسال تقرير للمانح يتضمن أسماء المستفيدين؟
يجب أولًا تحديد ضرورة الأسماء والغرض والأساس القانوني ودور المانح ومكان الوصول والتدابير التعاقدية والفنية. في كثير من الحالات يحقق التقرير غرضه ببيانات مجمعة أو مجهلة، وهو خيار أقل مخاطرة متى كان مناسبًا.
هل استخدام Google Drive أو Microsoft 365 يعد نقلًا دوليًا؟
لا تحسم المسألة باسم الخدمة. افحص مكان التخزين والنسخ الاحتياطي والدعم الفني والجهات التي تستطيع الوصول والاتفاق التعاقدي ومسار البيانات الفعلي، ثم طبق ضوابط النقل عبر الحدود التي تنطبق على الحالة.
هل تنطبق القواعد على الجمعية الصغيرة؟
حجم المنظمة لا يلغي المسؤولية. تختلف بعض الإجراءات أو فئات الرسوم بحسب طبيعة وحجم المعالجة، لكن البيانات الحساسة أو بيانات الأطفال قد تجعل برنامجًا صغيرًا عالي المخاطر.
مراجع رسمية ومهنية
- وزارة الاتصالات وتكنولوجيا المعلومات: قانون حماية البيانات الشخصية رقم 151 لسنة 2020.
- الوقائع المصرية: قرار رقم 816 لسنة 2025 باللائحة التنفيذية.
- مركز حماية البيانات الشخصية: إرشادات تسجيل وتعيين مسؤول حماية البيانات.
- مركز حماية البيانات الشخصية: إرشادات إخطار الخصوصية.
- وزارة الاتصالات: برنامج حماية البيانات الموجه للمنظمات غير الحكومية، 13 أغسطس 2026.
- وزارة التضامن الاجتماعي: ورشة قانون حماية البيانات وضوابط بيانات المستفيدين، أكتوبر 2026.
- وزارة التضامن الاجتماعي: الوحدة المركزية للجمعيات والعمل الأهلي.
دعم قانوني للمنظمات في مصر
تساعد Legal Protector المنظمات الدولية والمنظمات غير الحكومية والجمعيات على فحص مسارات البيانات والعقود والسياسات والطلبات التنظيمية ضمن الإطار القانوني لنشاطها. راجع خدمات دعم المنظمات الدولية والمنظمات غير الحكومية، واطلع كذلك على دليل ترخيص المنظمة الأجنبية في مصر ومراجعة شراكة المنظمة الأجنبية مع جمعية مصرية.
للتقييم الأولي: أرسل وصفًا مختصرًا للبرامج وفئات المستفيدين والأنظمة ومواقع التخزين والشركاء والدول التي تصل إلى البيانات، دون إرسال بيانات شخصية أو مستندات حساسة في الرسالة الأولى.
هذه المادة للتوعية القانونية العامة ولا تعد استشارة قانونية. يجب مراجعة النصوص والقرارات وإرشادات المركز والتصاريح السارية بحسب حالة المنظمة وطبيعة البيانات.
