ترخيص التسويق الإلكتروني في مصر: انتهت فترة السماح في قانون حماية البيانات

ظل قانون حماية البيانات الشخصية المصري (القانون رقم 151 لسنة 2020) خمس سنوات حبرًا على ورق دون القواعد اللازمة لتطبيقه. وتغيّر ذلك حين أصدر وزير الاتصالات وتكنولوجيا المعلومات اللائحة التنفيذية بالقرار الوزاري رقم 816 لسنة 2025 في 1 نوفمبر 2025، بحسب Al Tamimi & Company (حُدّث في 4 فبراير 2026). وقد بدأت اللائحة لمدة عام مهلة للشركات للامتثال. وانتهت فترة السماح هذه في 31 أكتوبر / 1 نوفمبر 2026 بحسب القراءة، ولم يُعلن عن أي تمديد حين راجعنا في 31 أكتوبر 2026.

أكثر ما يهم فريق التسويق تغيّر يسهل قوله ويصعب تنفيذه. فإرسال رسائل تسويقية عبر الرسائل النصية أو واتساب أو البريد الإلكتروني أو أي قناة إلكترونية أخرى يحتاج إلى ثلاثة أشياء معًا: موافقة مسبقة من كل مستلم، وسجلات تثبتها، وترخيص أو تصريح من مركز حماية البيانات الشخصية. يشرح هذا الدليل ما يعنيه ذلك للقوائم التي تملكها بالفعل، ويضع ترتيبًا للعمل يتجنب التقدم بطلب ترخيص على قاعدة بيانات لا تستطيع الدفاع عنها.

ما الذي تغيّر ومتى بدأ الإنفاذ

صدرت اللائحة التنفيذية في 1 نوفمبر 2025. CMS (13 يناير 2026) تشير إلى أن النص لم يُتح للعموم إلا في 25 ديسمبر 2025، وأن القانون يمنح الشركات سنة واحدة من صدور اللائحة للامتثال. ولا تتفق المصادر على آخر يوم بالضبط:

• Clyde & Co (21 يناير 2026) تذكر 31 أكتوبر 2026 موعدًا للإنفاذ الكامل، بينما Baker McKenzie (7 أكتوبر 2026) تقول إن على الشركات الامتثال الكامل بحلول ذلك التاريخ.
• ترى CMS أن الإنفاذ يبدأ بصرامة من 1 نوفمبر 2026، وتشير إلى أن الإتاحة المتأخرة للنص تخلق بعض عدم اليقين بشأن ما إذا كان بإمكان المركز اعتبار الفترة ممتدة إلى نهاية 2026. وتنصح CMS باتباع الجدول الزمني القانوني إلى أن يوضح المركز موقفه.

Soliman Hashish & Partners (14 مايو 2026) أيضًا نهاية فترة السماح في 1 نوفمبر 2026. ولم نتمكن من تأكيد التاريخ على موقع المركز نفسه، الذي لم يعرض محتوى مقروءًا حين راجعناه. وفي الحالتين انتهت فترة السماح في 31 أكتوبر / 1 نوفمبر 2026 بحسب القراءة: فحين راجعنا في 31 أكتوبر 2026 لم نجد أي مصدر رسمي أو من مكاتب المحاماة يذكر وجود تمديد. وهذا يعني أن ترخيص المركز أو تصريحه، والموافقة المسبقة الموثقة، مطلوبان الآن للتسويق الإلكتروني، ويُتوقع الإنفاذ. ولا يذكر تحديث Baker McKenzie أي تمديد، ويقول إن المركز أطلق بوابة إلكترونية في أوائل أكتوبر 2026 لاستقبال طلبات الاعتماد والتراخيص والتصاريح. ويتطلب إنشاء الملف التوثيق عبر مصر الرقمية المرتبطة بالرقم القومي المصري. ويحتاج المتحكمون والمعالجون الأجانب إلى ممثل محلي مفوَّض حسب الأصول للتقدم بها.

ما تشترطه القواعد في كل رسالة تسويقية

يعرّف القانون التسويق الإلكتروني تعريفًا واسعًا: إرسال أي رسالة ترويجية أو تسويقية «بأي وسيلة تقنية وبأي شكل»، بحسب الترجمة الإنجليزية من Andersen Egypt للقانون واللائحة. وبهذه الصياغة تدخل الرسائل النصية وواتساب والبريد الإلكتروني والرسائل المباشرة على المنصات الاجتماعية كلها في النطاق. وتضع المادة 17 من القانون والمادة 18 من اللائحة الشروط؛ أما اشتراط الترخيص فمصدره اللائحة. استنادًا إلى تلك الترجمة:

تقرير PPC Land (23 سبتمبر 2026) يصف قائمة امتثال من 23 صفحة تحمل شعار المركز لكن دون تاريخ أو إصدار أو توقيع، جرى تداولها على LinkedIn. ويضيف أن التسويق لا ينبغي أن يكون شرطًا للخدمة إلا إذا اقتضته الضرورة الموضوعية، وأن يستطيع المستلمون التحكم في التكرار أو القناة أو نوع المحتوى. ولم نعثر على تلك القائمة في صفحة رسمية، فتعامل معها على أنها غير رسمية: نقاطها إشارات إلى اتجاه محتمل للمركز لا نص مستقر.

القوائم التي بنيتها أو اشتريتها قبل القواعد

هنا تتعرض معظم الشركات للخطر. فقاعدة بيانات المبيعات المصرية النموذجية تخلط جهات اتصال من المعارض ونماذج الموقع واستفسارات واتساب والعملاء السابقين وقوائم الموزعين، وأحيانًا قوائم مشتراة. وتعامل اللائحة هذه المصادر معاملة مختلفة.

بيانات العملاء المجموعة لتقديم خدمة

تعامل المادة 2 من اللائحة، في ترجمة Andersen، البيانات المقدمة للحصول على خدمة على أنها موافقة على معالجتها لذلك الغرض. أما استخدامها لغرض مختلف فيحتاج إلى موافقة مسبقة. وبحسب القراءة المباشرة، فإن رقم الجوال الذي أعطاه العميل للتوصيل أو الفوترة لا يجيز وحده رسائل ترويجية.

العملاء الحاليون و”الموافقة الضمنية“

هنا تختلف المصادر، ومن المفيد أن تعرف ذلك قبل أن تقرر. تقول CMS إن اللائحة تعترف بـ”الموافقة الضمنية” للعملاء الحاليين خلال فترة السماح، التي انتهت الآن. وتشترط ترجمة Andersen للمادة 18 من اللائحة موافقة صريحة، ولم نجد فيها استثناءً للعملاء الحاليين في نصها. ومما يزيد الغموض أن المادة 18 من القانون، في الترجمة نفسها، تشير إلى سجلات تبين أن المستلم وافق أو لم يعترض، وأن قائمة التحقق غير الرسمية التي نقلها PPC Land تكرر صياغة “عدم الاعتراض” دون أن تذكر متى تكفي. وإلى أن يؤكد محامٍ أو المركز كيفية التعامل مع العملاء الحاليين بعد فترة السماح، فالنهج الحذر هو إعادة أخذ الإذن منهم.

القوائم المشتراة أو المؤجرة أو المشتركة

تشترط اللائحة على الوسطاء في السلسلة التأكد من أخذ الموافقة وحفظ سجلات مصدر البيانات والموافقة. وإن لم يستطيعوا ذلك فعليهم التوقف عن استخدام البيانات. والقائمة المشتراة من بائع بيانات دون سجلات موافقة مرفقة هي عمليًا قائمة لا ينبغي مراسلتها. اطلب من البائع دليل الموافقة؛ فإن لم يوجد فاسحب القائمة من الاستخدام.

ترتيب العمل: التدقيق، إعادة أخذ الإذن، ثم مسؤول حماية البيانات، ثم الترخيص

التقدم بطلب ترخيص أولًا وإصلاح البيانات لاحقًا هو الترتيب الخاطئ. فطلب الترخيص يطلب منك وصف آليات الموافقة لديك (اللائحة، المادة 30)، ويجب أن يحدد طلب الشركة مسؤول حماية البيانات لديها (المادة 35). وكلا الأمرين أسهل بعد إنجاز عمل البيانات.

1. دقّق البيانات. أدرج كل مكان توجد فيه بيانات الاتصال: نظام CRM، وجداول البيانات، وحسابات WhatsApp Business، ومنصات البريد الإلكتروني، ونماذج العملاء المحتملين في المنصات الإعلانية، وماسحات المعارض، وهواتف مندوبي المبيعات. ودوّن لكل مصدر ما هو محفوظ ومصدره والموافقة القائمة ومن يستطيع الوصول إليه. وعُدّ السجلات؛ فالعدد يحدد رسومك أيضًا. وإن كنت تسوّق كذلك إلى السعودية، فطابق جهات الاتصال هذه مع قواعد الموافقة في نظام حماية البيانات الشخصية السعودي في الخطوة نفسها.
2. قسّم بحسب الدليل. قسّم جهات الاتصال إلى ثلاث مجموعات: موافقة تسويقية موثقة؛ وعلاقة قائمة دون موافقة تسويقية؛ ومصدر مجهول. أرشف المجموعة الثالثة أو احذفها ما لم تستطع تحديد مصدرها.
3. أعد أخذ الإذن من المجموعة الوسطى. أرسل رسالة واحدة واضحة وصادقة تسأل فيها هل يريدون الاستمرار في تلقي رسائلك، وعبر أي قناة وحول ماذا. سجّل الرد وتاريخه وصياغته. ولا تواصل مراسلة من لا يردون.
4. أصلح الجمع من المصدر. يحتاج كل نموذج وصفحة هبوط وإعلان عملاء محتملين ونقطة دخول واتساب إلى خيار موافقة غير مفعّل مسبقًا، وبيان موجز للغرض، ورابط لإشعار الخصوصية، وطريقة لحفظ السجل. وهنا تهم إعدادات الموقع والحملات بقدر ما يهم النص القانوني.
5. عيّن مسؤول حماية بيانات وسجّله. يشترط القانون على الكيانات القانونية تعيين مسؤول حماية بيانات مؤهل. وتضيف اللائحة معايير للمؤهلات والخبرة، واختبارات معتمدة من المركز، وشهادة حسن السير والسلوك والتسجيل في سجل المركز، مع منح كل مسؤول «رمز مسؤول حماية بيانات». وتشير الترجمة أيضًا إلى أن مسؤول حماية البيانات يمكن التعاقد معه، وأنه يمكن، بشروط وبموافقة المركز، أن يخدم أكثر من كيان. ابدأ مبكرًا: فالتسجيل يتطلب نتائج الاختبار.
6. قدّم طلب الترخيص وتصريح التسويق. قدّم الطلب عبر بوابة المركز لترخيص المتحكم أو المعالج وترخيص أو تصريح التسويق الإلكتروني المباشر، ثم دوّن مواعيد التجديد في تقويم الامتثال.

الرسوم والإعفاءات والعقوبات

تعتمد الرسوم على عدد السجلات التي تعالجها. استنادًا إلى ترجمة Andersen للائحة:

• تُعفى تراخيص المتحكم والمعالج المجمّعة من الرسوم لقواعد البيانات التي تصل إلى 100,000 سجل (المادة 19)؛ وتُعفى التصاريح حتى 25,000 سجل (المادة 20). تراخيص وتصاريح المتحكم فقط أو المعالج فقط تدفع نصف المبلغ المقرر.
• يكلّف ترخيص أو تصريح التسويق الإلكتروني المباشر 10% من رسوم المتحكم أو المعالج حين تسوّق سلعك وخدماتك، و25% حين تسوّق نيابة عن الغير (المادة 29). وتذكر CMS كذلك أن الرسوم تعتمد على ما إذا كان التسويق لمصلحتك أو لمصلحة الغير.
• يضع القانون حدًا أقصى لرسوم التراخيص قدره مليونا جنيه مصري، ولرسوم التصاريح أو الاعتماد 500,000 جنيه مصري (القانون، المادة 26).

الإعفاء من الرسوم لا يعني الإعفاء من الترخيص. فقواعد البيانات الصغيرة لا تزال تحتاج إلى الترخيص أو التصريح والموافقة والسجلات.

العقوبات في القانون، بحسب الترجمة، كبيرة بالنسبة لشركة متوسطة الحجم:

تلخص Clyde & Co النطاق الإجمالي بين 200,000 و5 ملايين جنيه مصري، مع مسؤولية جنائية محتملة في بعض الحالات وإفصاح علني إلزامي عن المخالفات. وبالنسبة لعلامة تبيع بالثقة، قد يكون هذا الأخير أهم من الغرامة.

من يفعل ماذا داخل الشركة

كثيرًا ما تُسلَّم حماية البيانات إلى تقنية المعلومات أو الشؤون القانونية وينساها التسويق، مع أن معظم البيانات الخطرة ينتجها التسويق والمبيعات. وهذا توزيع عملي:

• الإدارة: تقرر القنوات التي ستستخدمها الشركة، وتعتمد تعيين مسؤول حماية البيانات، وتخصص ميزانية الترخيص.
• الشؤون القانونية أو المستشار الخارجي: يؤكد تفسير النقاط المفتوحة (موعد الإنفاذ، والعملاء الحاليون، وعمليات النقل عبر الحدود إلى أدوات سحابية مستضافة في الخارج، والتي تشير CMS إلى أنها تحتاج إلى ترخيص خاص بها) ويراجع إشعار الخصوصية.
• مسؤول حماية البيانات: يملك السجل وطلبات أصحاب البيانات والإبلاغ عن الخروقات (بحسب Clyde & Co يجب الإبلاغ عن الخروقات للمركز خلال 72 ساعة؛ وتذكر CMS المدة نفسها) والتقارير السنوية.
• التسويق: يعيد بناء النماذج وإعلانات العملاء المحتملين بآلية موافقة سليمة، ويكتب إعادة أخذ الإذن الرسائل، ويضيف هوية المرسل و الانسحاب في كل قالب، ويتوقف عن استخدام القوائم غير المدعومة.
• المبيعات: تنقل جهات الاتصال من الهواتف الشخصية وجداول البيانات إلى نظام CRM حيث تُسجَّل حالة الموافقة وتُفحص قبل أي بث (والحقول المطلوبة في قائمة متطلبات CRM).

أما في جانبي المبيعات والتسويق فتكون المساعدة الخارجية أنفع. ويغطي حلول الأعمال وتمكين المبيعات عملنا موقع فريقنا إدارة الموافقة على الكوكيز ووضع الموافقة في GA4 هذا الجانب. ولا نقدم آراء قانونية؛ فالتفسير يبقى لدى محاميك ومسؤول حماية البيانات.

قائمة بدء لمدة 30 يومًا

• أوقف الحملات الموجهة إلى أي قائمة لا تملك موافقة تسويقية موثقة.
• أكمل جرد البيانات وعدّ السجلات لكل مصدر.
• اطلب من محاميك رأيًا مكتوبًا في موعد الإنفاذ وفي العملاء الحاليين.
• صِغ وأرسل رسالة إعادة أخذ الإذن ؛ وسجّل كل رد.
• أضف التقاط الموافقة وصياغة الغرض وخيار الانسحاب إلى كل نموذج وإعلان عملاء محتملين وقالب.
• حدد مرشحًا أو مزوّدًا لمسؤول حماية البيانات وتحقق من خطوات الاختبار والتسجيل على بوابة المركز.
• أنشئ ملف الشركة على البوابة، أو عيّن ممثلًا محليًا إن كانت الشركة أجنبية.
• جهّز طلبي الترخيص وتصريح التسويق بعد إنجاز الخطوات أعلاه.

إن لم تستطع إنجاز سوى أمر واحد هذا الأسبوع، فخذ القائمة التي تراسلها أكثر من غيرها وتحقق مما إذا كنت تستطيع أن تثبت لكل جهة اتصال متى وكيف وافقت على التسويق. فإن لم تستطع، فأوقف تلك القائمة وأرسل رسالة إعادة أخذ الإذن قبل أي شيء آخر.