اللائحة التنفيذية لقانون حماية البيانات الشخصية رقم 816 لسنة 2025: الأثر التشغيلي على أنظمة الذكاء الاصطناعي

لماذا اللائحة التنفيذية مهمة؟

وضع قانون حماية البيانات الشخصية رقم 151 لسنة 2020 الأساس القانوني لحماية البيانات الشخصية المعالجة إلكترونياً.

ثم جاءت اللائحة التنفيذية الصادرة بقرار رقم 816 لسنة 2025 لتفصل كثيراً من الجوانب التشغيلية اللازمة لتطبيق القانون.

بالنسبة لحوكمة AI، الفرق جوهري.

وجود مبدأ قانوني مثل “حماية البيانات” لا يخبر فريق ML وحده:

• ما الذي يجب توثيقه؟
• من المسؤول؟
• ما السجلات المطلوبة؟
• كيف تدار الموافقات؟
• ما الذي يجب إثباته عند التفتيش؟
• كيف تدار علاقة المتحكم بالمعالج؟
• كيف يدار النقل عبر الحدود؟
• كيف يتم التعامل مع التسويق الإلكتروني؟
• ما دور DPO؟

اللائحة تنقل الامتثال من مستوى المبادئ إلى مستوى الإجراءات.

القانون واللائحة

يجب عدم التعامل معهما كوثيقتين منفصلتين تماماً.

القانون يضع القاعدة التشريعية.

اللائحة تفصل كيفية تشغيل أجزاء مهمة منها.

لذلك فإن Compliance Program يجب أن يبنى على:

Law + Executive Regulations + PDPC Decisions/Guidelines

لا على أحدها وحده.

PDPC كجهة إنفاذ وتشغيل

مركز حماية البيانات الشخصية هو الجهة الوطنية المختصة بإنفاذ المنظومة.

المركز لا يعمل فقط كجهة تستقبل شكاوى.

بحسب الإطار المنشور لديه تشمل وظائفه مجالات مثل:

• regulation.
• guidance.
• licensing.
• permits.
• DPO registration.
• inspection.
• supervision.
• complaints.
• coordination.
• awareness.

وبالتالي يصبح التعامل مع PDPC جزءاً من operating model للمؤسسات التي تخضع للمنظومة.

من السياسة العامة إلى Evidence

بعد اللائحة، السؤال لم يعد:

“هل لدينا سياسة خصوصية؟”

السؤال هو:

هل نستطيع إثبات أن معالجة البيانات تعمل فعلاً وفق الإجراءات والضوابط المطلوبة؟

الأدلة قد تشمل بحسب النشاط:

• processing records.
• consent records.
• policies.
• contracts.
• retention records.
• deletion records.
• access records.
• DPO documentation.
• transfer documentation.
• incident records.
• licenses or permits where applicable.

بيان نوع البيانات والغرض

من المبادئ التشغيلية المهمة تحديد:

• نوع البيانات الشخصية.
• الغرض من الاحتفاظ.
• الغرض من المعالجة.

هذه القاعدة حاسمة في AI.

عبارة مثل:

“نستخدم البيانات لتحسين خدماتنا”

قد تكون أوسع من اللازم إذا كانت المعالجة الفعلية تتضمن تدريب نموذج أو profiling أو automated scoring.

يجب ربط كل processing activity بغرض واضح.

Retention Periods

تتطلب الحوكمة التشغيلية معرفة مدة الاحتفاظ.

في AI يجب أن تكون retention matrix أكثر تفصيلاً من التطبيقات التقليدية.

قد تحتاج إلى صفوف منفصلة لـ:

• source data.
• labeled data.
• fine-tuning data.
• prompts.
• responses.
• embeddings.
• evaluation datasets.
• logs.
• security telemetry.
• backups.

السبب أن دورة حياة كل نوع مختلفة.

Personal Data Register

تشدد المنظومة التنفيذية على وجود سجلات منظمة للبيانات والمعالجة.

بالنسبة لـAI، من المفيد ألا يكون السجل مجرد spreadsheet عام.

يجب أن يستطيع أن يجيب عن:

• ما البيانات؟
• من أين؟
• لأي AI system؟
• لماذا؟
• من يتلقاها؟
• هل تنتقل للخارج؟
• متى تحذف؟
• ما الأساس القانوني؟
• من هو controller؟
• من هو processor؟
• ما المورد؟

Consent Mechanism

عندما تكون الموافقة هي الأساس المستخدم، يجب أن توجد آلية حقيقية لإدارتها.

في AI لا يكفي تخزين:

consent = true

بل يجب معرفة:

• ماذا وافق عليه الشخص؟
• متى؟
• بأي notice؟
• لأي purpose؟
• لأي version من الشروط؟
• هل سحب الموافقة؟
• ما أثر السحب على البيانات والنموذج؟

Withdrawal and Model Training

أحد أصعب الأسئلة التشغيلية هو ما يحدث عندما تسحب الموافقة بعد استخدام البيانات في training أو fine-tuning.

لا توجد إجابة تقنية واحدة تصلح لكل حالة.

يجب تصميم:

• lineage.
• dataset versioning.
• deletion logic.
• retraining decision.
• legal review.
• model impact assessment.

ولا يجوز اختزال المسألة في حذف record من production database.

Security Obligations

AI security وdata security يتداخلان بقوة.

الضوابط يجب أن تغطي:

• unauthorized access.
• leakage.
• excessive permissions.
• model endpoints.
• API credentials.
• prompt injection.
• insecure integrations.
• logs.
• file uploads.
• RAG repositories.
• admin tools.

قدرة الجهة الرقابية على الفحص

الامتثال الذي لا يمكن إثباته أثناء المراجعة ضعيف.

لذلك يجب بناء traceability منذ البداية.

من الخطأ الانتظار حتى التفتيش ثم محاولة إعادة بناء الأحداث من logs ناقصة.

DPO Operating Model

دور DPO يجب أن يكون جزءاً من governance workflow.

مثلاً يمكن تحديد triggers تلزم بمراجعته عند:

• new AI use case.
• sensitive data.
• new vendor.
• new cross-border flow.
• profiling.
• material model change.
• retention change.
• breach.
• new purpose.

بهذه الطريقة يصبح DPO control point وليس mailbox.

تراخيص وتصاريح واعتمادات

مركز حماية البيانات الشخصية يوضح أنه يملك صلاحيات مرتبطة بالتراخيص والتصاريح والاعتماد ضمن نطاق القانون واللائحة.

لكن لا ينبغي استنتاج أن كل نشاط AI يحتاج إلى الترخيص نفسه.

المطلوب هو تحديد النشاط الفعلي ومراجعة نوع الترخيص أو التصريح الذي ينطبق عليه إن وجد.

لا تبنِ License Assumption

من الأخطاء الخطرة إنشاء قاعدة داخلية مثل:

“كل AI vendor يحتاج PDPC license.”

أو:

“لا يوجد أي AI activity يحتاج license.”

كلاهما تبسيط غير صحيح.

يجب تحليل:

• نوع processing.
• الدور.
• النشاط.
• البيانات.
• location.
• service model.
• قرارات وإرشادات PDPC ذات الصلة.

Cross-Border Processing

Cloud AI يجعل مفهوم cross-border أكثر تعقيداً.

قد تكون هناك عدة طبقات:

User → Egypt App → EU API → US Monitoring → Global Support → Backup Region

المؤسسة تحتاج إلى معرفة كل hop.

Subprocessors

استخدام processor رئيسي لا يعني أن السلسلة تنتهي عنده.

AI platforms تعتمد غالباً على:

• cloud infrastructure.
• content moderation provider.
• observability provider.
• support platform.
• subprocessors.

يجب الاحتفاظ بقائمة مفهومة ومحدثة للأطراف ذات الصلة.

Vendor Change Management

إذا غيّر vendor:

• hosting region.
• subprocessor.
• retention policy.
• training policy.
• security architecture.
• model.
• terms.

قد تتغير نتيجة Privacy Assessment.

لذلك supplier monitoring يجب أن يكون مستمراً.

Direct Electronic Marketing

ينشر PDPC قواعد تشغيلية خاصة بالتسويق الإلكتروني المباشر.

تشمل بحسب المعلومات الرسمية المنشورة مسائل مثل:

• prior consent.
• withdrawal mechanism.
• identification of sender.
• contact details.
• purpose.
• record keeping.
• licensing/permit requirements بحسب الدور والنشاط.

هذه القواعد تهم AI إذا تم استخدام AI في:

• personalized campaigns.
• automated outreach.
• segmentation.
• marketing agents.
• recommendation engines.

وجود AI لا يلغي قواعد marketing.

AI Agents والتسويق

Agent يستطيع إرسال آلاف الرسائل لا يغير الطبيعة القانونية للنشاط.

بل قد يزيد المخاطر بسبب:

• scale.
• autonomous targeting.
• personalization.
• dynamic content.
• rapid execution.

لذلك يجب وضع transaction and communication limits على agents.

Legitimate Interest

مركز حماية البيانات يذكر legitimate interests ضمن الأسس المحتملة للمعالجة بشرط ألا تتغلب على حقوق وحريات صاحب البيانات.

لا ينبغي استخدام Legitimate Interest كعبارة جاهزة لكل analytics أو AI project.

يجب إجراء تحليل حقيقي للسياق والتوقعات والمخاطر والتناسب.

Employee Data

AI tools المستخدمة في:

• recruitment.
• productivity monitoring.
• performance analysis.
• access management.
• workforce analytics.

قد تعالج بيانات موظفين أو متقدمين.

وجود العلاقة الوظيفية لا يجعل أي معالجة تلقائياً مباحة بلا تحليل.

Children and Vulnerable Persons

أنظمة AI التي تتعامل مع الأطفال أو فئات أكثر عرضة للضرر تحتاج إلى مستوى أعلى من الحذر.

خصوصاً في:

• EdTech.
• profiling.
• recommendations.
• content systems.
• identity systems.

Privacy Notice Guidelines

نشر PDPC إرشادات عملية للـPrivacy Notice.

هذه الإرشادات مفيدة لتحويل الشفافية إلى وثيقة قابلة للفهم.

لكن المركز نفسه يوضح أن مواده الإرشادية لا تستبدل القانون أو اللائحة.

هذه نقطة مهمة:

Guideline helps compliance; it is not a substitute for the legal text.

Data Subject Consent Guidelines

كذلك نشر المركز إرشادات مرتبطة بالموافقة.

هذا يعني أن الامتثال ليس static.

بعد صدور اللائحة، تتوسع الطبقة التنظيمية من خلال:

• guidelines.
• forms.
• decisions.
• sector-specific interpretations.

ولذلك يجب أن يكون regulatory monitoring مستمراً.

AI Compliance Evidence Pack

[ممارسة تنفيذية]

لكل AI system يعالج personal data، أنشئ ملف أدلة يضم على الأقل:

1. AI system description.
2. Data inventory.
3. Processing purposes.
4. Lawful basis.
5. Controller/processor map.
6. Data flow diagram.
7. Vendor/subprocessor list.
8. Retention schedule.
9. Security controls.
10. Privacy notice.
11. Consent evidence where relevant.
12. Cross-border assessment.
13. DPO review.
14. Incident procedure.
15. Rights-request procedure.
16. Change log.
17. Model/data version.
18. Approval record.

Change Trigger Framework

لا تعتمد على review سنوي فقط.

أعد فتح التقييم عند:

• إضافة dataset.
• إضافة model.
• تغيير provider.
• نقل hosting.
• إضافة memory.
• تفعيل training.
• تغيير purpose.
• إضافة integration.
• إطلاق agent.
• زيادة autonomy.
• إضافة sensitive data.
• وقوع incident.

AI Procurement

قبل توقيع عقد AI provider، يجب أن يعرف Procurement ما الذي يحتاجه Privacy وSecurity.

الأسئلة يجب أن تدخل RFP أو contract negotiation وليس بعد الشراء.

Contractual Controls

حسب دور المورد والسياق، قد تحتاج المؤسسة إلى تغطية موضوعات مثل:

• processing instructions.
• confidentiality.
• security.
• deletion.
• retention.
• subprocessors.
• breach support.
• audit evidence.
• location.
• change notifications.
• termination.

Data Sovereignty

اللائحة وحوكمة cross-border ترتبطان أيضاً بالسيادة الرقمية.

السؤال ليس فقط:

“هل المزود آمن؟”

بل:

• أين البيانات؟
• من يستطيع الوصول؟
• تحت أي jurisdiction؟
• هل توجد بدائل؟
• هل نستطيع الخروج؟
• ما الذي يحدث عند termination؟

العلاقة مع Open Data

Open Data Policy وPDPL يعملان في اتجاهين مختلفين لكن متكاملين.

الأولى تضع آلية لإتاحة البيانات الحكومية المناسبة للنشر.

الثاني يحمي البيانات الشخصية.

Dataset حكومية لا تصبح open فقط لأنها لدى جهة حكومية.

العلاقة مع AI Governance Framework

National AI Governance Framework يضيف طبقة أخرى:

• risk classification.
• AI assurance.
• human oversight.
• technical evaluation.
• accountability.

وبالتالي قد يحتاج نظام واحد إلى ثلاثة تحليلات متوازية:

AI Governance

Data Protection

Sector Regulation

Operating Model مقترح

[ممارسة تنفيذية]

عند اقتراح AI use case جديد:

Business Owner → AI Governance Review → Privacy Review → Security Review → Sector Compliance Review → Vendor Review → Approval → Deployment → Monitoring → Change Review

هذا أفضل من جعل Privacy Approval خطوة أخيرة منفصلة.

لا تخلط بين الإرشاد والالتزام

المواد التي ينشرها PDPC مفيدة جداً، لكن يجب الاحتفاظ بالتمييز بين:

• القانون.
• اللائحة.
• القرار التنظيمي.
• الترخيص أو التصريح.
• guideline.
• template.
• FAQ.

القوة القانونية ليست متساوية.

الخلاصة

قرار 816 لسنة 2025 غيّر المشهد من قانون يحتاج إلى تفاصيل تشغيلية واسعة إلى نظام أكثر قابلية للتطبيق العملي.

بالنسبة للذكاء الاصطناعي، الرسالة الأساسية هي:

Privacy Compliance يجب أن تصبح جزءاً من AI lifecycle نفسه.

لا يكفي أن يراجع Legal العقد أو يضيف Privacy Notice.

يجب أن تكون البيانات والأغراض والأطراف والتدفقات والاحتفاظ والنقل والأمن والأدلة قابلة للإدارة المستمرة.