قانون حماية البيانات 151 والـ AI Chatbots: دليل عملي لشركتك

أيوه، قانون حماية البيانات الشخصية رقم 151 لسنة 2020 بيطبق على أي AI chatbot أو automation بيلمس بيانات عملائك. اللائحة التنفيذية بتاعته صدرت في نوفمبر 2025، ومهلة توفيق الأوضاع بتخلص آخر أكتوبر/أول نوفمبر 2026. يعني البوت والـ CRM والـ LLM محتاجين أساس قانوني، وموافقة واضحة، وتأمين، وفيه أنشطة محتاجة ترخيص من مركز حماية البيانات الشخصية.

أهم النقط

• القانون 151 لسنة 2020 بقى ليه لائحة تنفيذية (القرار رقم 816 لسنة 2025)، والمهلة قربت تخلص.
• بوت الواتساب والـ CRM والـ workflow على n8n كلهم "معالجة بيانات"، وكلهم عليهم نفس القواعد.
• لما تبعت بيانات عميل لـ LLM API برا مصر، ده نقل عبر الحدود محتاج ترخيص أو تصريح حسب المادة 14.
• أرخص حاجة تعملها علشان تبقى compliant: متبعتش بيانات مش محتاجها أصلاً.
• الكلام ده معلومات عامة ومش استشارة قانونية. اسأل محامي مصري عن وضعك بالظبط.

يعني إيه قانون حماية البيانات الشخصية 151؟

ده أول قانون شامل لحماية البيانات في مصر. اتنشر في الجريدة الرسمية يوم 15 يوليو 2020 وبقى ساري بعدها بتلات شهور (Library of Congress). بس فضل حوالي خمس سنين شبه متجمد، لأن اللائحة التنفيذية مكانتش صدرت.

القانون بيطبق على أي "متحكم" (اللي بيقرر البيانات هتتعالج ليه وإزاي) أو "معالج" (اللي بيشتغل على البيانات لحساب المتحكم). فيه استثناءات في المادة 3، أشهرها البيانات اللي عند البنك المركزي والجهات اللي تحت رقابته، ودي ليها قواعد البنك المركزي (ترجمة ACC غير رسمية).

الجهة المسؤولة اسمها مركز حماية البيانات الشخصية، وتابع لوزارة الاتصالات وتكنولوجيا المعلومات. هو اللي بيدي التراخيص والتصاريح وبيستقبل الشكاوى وبيطبق القانون.

اللائحة التنفيذية صدرت؟ والمهلة إمتى؟

أيوه صدرت، بالقرار رقم 816 لسنة 2025، واتنشرت يوم 1 نوفمبر 2025 (Kennedys). فيه اختلاف بسيط بين المصادر: فيه اللي بيقول قرار رئيس وزرا وفيه اللي بيقول قرار وزاري.

الشركات خدت سنة توفّق فيها أوضاعها. Baker McKenzie بيقول آخر يوم 31 أكتوبر 2026، ومصادر تانية بتقول 1 نوفمبر. يعني فاضل أقل من أسبوعين من وقت كتابة المقال.

وفي أكتوبر 2026، المركز فتح بوابة إلكترونية لطلبات التراخيص والتصاريح. الدخول عليها بيبقى عن طريق "مصر الرقمية" بالرقم القومي، فالشركات الأجنبية غالباً هتحتاج ممثل محلي يقدّم لها.

القانون عايز مني إيه بالظبط؟

• الموافقة. المادة 2 بتقول إن البيانات الشخصية في الغالب متتجمعش ولا تتعالج إلا بموافقة صريحة من صاحبها، أو في الحالات اللي القانون بيسمح بيها.
• غرض واضح وأقل بيانات ممكنة. خد اللي محتاجه بس، ومتحتفظش بيه أكتر من اللازم.
• حقوق صاحب البيانات. من حقه يعرف إيه اللي عندك عنه ويوصله، ويسحب موافقته، ويصحح أو يمسح بياناته، ويقيّد معالجتها، ويتبلّغ لو حصل تسريب.
• التبليغ عن الخرق. المادة 7 بتلزمك تبلّغ المركز خلال 72 ساعة.
• مسؤول حماية بيانات (DPO). لازم يبقى عندك DPO مؤهل ومتسجل في المركز، وبيقدّم تقرير سنوي.
• تراخيص وتصاريح. فيه أنشطة محتاجة ترخيص أو تصريح: إنك تشتغل كمتحكم أو معالج، والبيانات الحساسة (زي الصحة والبيانات المالية والبيومترية وبيانات الأطفال)، والنقل برا مصر، والتسويق الإلكتروني. الرسوم بتزيد مع عدد السجلات، وملخصات مكاتب المحاماة بتقول إن أقصاها حوالي 2 مليون جنيه على ترخيص التلات سنين.
• العقوبات. الغرامات ممكن توصل لـ 5 مليون جنيه، وفيه مخالفات عليها حبس. مثلاً مخالفة قواعد النقل برا مصر (المواد 14 لـ 16) عليها حبس مش أقل من 3 شهور، و/أو غرامة من 500 ألف لـ 5 مليون جنيه. ومخالفات التسويق الإلكتروني (المواد 17 و18) عليها غرامة من 200 ألف لـ 2 مليون.

ده معناه إيه للواتساب بوت والـ CRM والـ LLM؟

بوت الواتساب

العميل اللي بيكلم البوت بيديك رقمه واسمه وعنوانه، وساعات تفاصيل صحية أو مالية. فاعمل كده:

• في أول رسالة، عرّف نفسك وقول البوت بياخد إيه وليه، وحط لينك لسياسة الخصوصية.
• متبعتش broadcast تسويقي غير لما العميل يوافق صراحةً، ولو كتب "STOP" وقّف فوراً.
• خلي بالك إن الـ WhatsApp Cloud API شغال على سيرفرات Meta. فيه خاصية "local storage" لمناطق معينة، بس الرسايل ممكن تتعالج برا لفترة قصيرة (Meta). على حد علمنا مفيش region في مصر.

لو عايز تفاصيل أكتر عن بناء البوت، اقرا إزاي ت automate خدمة العملاء من غير ما تخسر اللمسة البشرية.

الـ CRM وأدوات الـ automation

أغلب الأدوات المشهورة (HubSpot وZoho وMake وZapier) بتخزّن البيانات برا مصر. يعني كل أداة فيهم معالج، وغالباً فيه نقل عبر الحدود. لازم تعرف كل أداة بتخزّن فين، وتمضي مع كل واحدة DPA (اتفاقية معالجة بيانات).

الـ LLM APIs

لما البوت بيبعت رسالة العميل لـ OpenAI أو Anthropic أو Google، البيانات بتطلع برا مصر. المادة 14 بتطلب إن البلد التانية تكون حمايتها مش أقل من مصر، وإن معاك ترخيص أو تصريح من المركز.

اللي لسه مش واضح: مفيش لحد دلوقتي إرشادات منشورة من المركز عن الـ API calls العادية، ولا قايمة بالدول "الآمنة". الشركات دي بتقدم data residency في مناطق معينة، زي أوروبا والإمارات عند OpenAI، بس مفيش حاجة منهم جوه مصر. فالحل العملي دلوقتي إنك تبعت أقل بيانات ممكنة للموديل.

Checklist عملي للبوتات والـ automation

1. ارسم خريطة البيانات. كل أداة عندك بتلمس بيانات إيه، ومتخزنة في أنهي بلد.
2. قلل اللي بيروح للـ LLM. شيل أو اخفي الاسم والموبايل والرقم القومي والعنوان قبل الـ prompt. أغلب أسئلة الأسعار والمواعيد وحالة الأوردر مش محتاجة هوية العميل أصلاً.
3. اكتب رسالة موافقة. مثلاً: "أهلاً، ده المساعد الآلي بتاع [الشركة]. هنستخدم رسايلك ورقمك علشان نرد عليك وننفذ طلبك. التفاصيل: [لينك]. ابعت موافق علشان نكمل." واحفظ وقت الموافقة.
4. افصل الخدمة عن التسويق. موافقة التسويق تبقى لوحدها، ويبقى فيه opt-out بضغطة.
5. حدد مدة الاحتفاظ. امسح المحادثات والـ execution logs أوتوماتيك بعد مدة محددة يوافق عليها محاميك.
6. Logs من غير تكديس بيانات. سجّل مين عمل إيه وإمتى، من غير ما تنسخ نص الرسالة كامل في كل log.
7. امضي DPAs مع كل vendor، وبص على بنود التدريب على بياناتك ومدة الاحتفاظ.
8. البيانات الحساسة ليها حساب تاني. العيادات والـ fintech وأي حاجة فيها أطفال محتاجة ترخيص بيانات حساسة، فاستشير محامي قبل ما تشغّل بوت عليها.
9. جهّز خطة للتسريب تقدر تنفذها في 72 ساعة.
10. فكّر في الـ self-hosting. لو شغّلت n8n على سيرفر تحت إيدك، هتتحكم إنت البيانات والـ logs بتتخزن فين. شوف شرح n8n بالعربي ومقارنة n8n وMake وZapier.
11. قدّم على التراخيص المطلوبة من خلال بوابة المركز، بعد ما تراجع مع محاميك.

مصر ولا السعودية ولا الإمارات: إيه الفرق؟

لو بتفكر تتوسع في الخليج:

المصادر: Latham & Watkins، Clyde & Co، DLA Piper.

إحنا بنتعامل مع الموضوع ده إزاي

إحنا بنحط الخصوصية في التصميم من أول يوم، مش بنرقّعها بعدين. في الـ pilot بتاع الـ 14 يوم، أول خطوة هي خريطة البيانات. بعدها بنبني بحيث الـ LLM ميشوفش غير اللي محتاجه بس: بنخفي الأرقام والأسماء، وبنسيب بيانات العملاء في الداتابيز بتاعتك، وبنعمل self-host لـ n8n لو مكان التخزين مهم. وبنسلّمك ورقة مكتوبة بإيه بيروح فين، علشان محاميك والـ DPO يشتغلوا عليها. إحنا مش محامين، ولو فيه سؤال محتاج محامي هنقولك.

ولو عايز تعرف أكتر عن اللي ممكن يتعمل، اقرا إزاي تعمل automation لخدمة العملاء.

تنبيه: المقال ده معلومات عامة ومش استشارة قانونية. القوانين والإرشادات بتتغير، فاسأل محامي مصري متخصص عن وضعك.

المصادر

• Library of Congress – دخول قانون حماية البيانات المصري حيز التنفيذ
• ACC – ترجمة إنجليزية غير رسمية للقانون 151 لسنة 2020
• Kennedys – بداية العد التنازلي للالتزام بالقانون المصري
• Baker McKenzie – تحديث أكتوبر 2026
• Chambers – نظرة أولى على اللائحة التنفيذية
• Latham & Watkins – دخول القانون السعودي حيز التنفيذ
• Clyde & Co – تعديلات SDAIA المقترحة (أكتوبر 2026)
• DLA Piper – قوانين حماية البيانات في الإمارات
• Meta – WhatsApp Cloud API Local Storage
• OpenAI – Data residency