エジプトの個人情報保護制度とお店の措置

包括的な法令として、以下の法令が存在する。

個人情報保護法の公布に関する2020年法律第151号及びその附属法「個人情報保護法」（قانون حماية البيانات الشخصية。以下「個人情報保護法」）

• 公布：2020年7月13日（ヒジュラ暦1441年ズー・アル＝カアダ月22日）に大統領が署名し、官報（الجريدة الرسمية）2020年7月15日第28号追補（هـ）に掲載された【一次・アーカイブ：個人データ保護センター（PDPC）掲載の官報写し。表紙・3頁で掲載号・日付・署名日を確認】。
• 施行状況：公布法7条により、官報掲載の翌日から3か月を経て施行された（2020年10月）。公布法6条により、名宛人は施行規則の「発出（صدور）の日から1年以内」に体制を整えなければならない【一次・アーカイブ：同官報3頁】。
• 施行規則：2025年通信情報技術大臣令第816号（個人情報保護法施行規則）。官報追補 الوقائع المصرية 2025年11月1日第244号付録（أ）に掲載。大臣令2条により掲載の翌日（2025年11月2日）から施行【一次・アーカイブ：PDPC掲載の官報写し（国営印刷庁の「原本と相違ない写し」印あり）2・3頁】。
• 公布法6条の1年の期限は「施行規則の発出の日」から数える。大臣令の署名日はこの調査で確認できず、官報掲載日（2025年11月1日）と施行日（2025年11月2日）のどちらを起点とするかで、期限は2026年10月31日又は11月1日になる（資料によって日付が分かれる理由はこれと考えられる）。このページの基準日（2026年10月28日）の時点では、期限はまだ来ていなかった。
• 対象機関：電子的に処理される個人データ（全部又は一部）を扱う保有者・管理者・処理者。自然人のデータのみ（公布法1条）。次のものは適用除外（公布法3条）：個人的利用、公的統計・法令の適用による処理、報道目的、司法警察記録・捜査・訴訟、国家安全保障機関が保有するデータ、エジプト中央銀行とその監督下の機関（送金会社・両替商を除く）【一次・アーカイブ：同官報2〜3頁（3条4号〜6号を直接確認）】。
• 対象情報【一次・アーカイブ：同官報4頁、附属法1条】：「個人データ」は、特定の自然人に関するデータ、又はそのデータと他のデータを結び付けることで直接・間接に特定できる自然人に関するデータ（氏名、音声、画像、識別番号、オンライン識別子、心理的・健康・経済・文化・社会的同一性を示すデータなど）。「機微な個人データ」は、心身の健康、遺伝、生体（バイオメトリクス）、金融データ、宗教的信条、政治的意見、治安上の状態（الحالة الأمنية）を明らかにするデータ。子どものデータはすべて機微データとみなされる。

• 【一次・アーカイブ、保存日2026年7月14日】 法律（官報第28号追補（هـ）の写し・アラビア語、PDPC掲載）PDPCの現行サイトの文書（https://pdpc.gov.eg/assets/pdf-data/PDPL%20no.%20151%20of%202020%20(ar).pdf）には、この調査の環境から接続できなかった。
• 【一次・アーカイブ、保存日2026年8月10日】 施行規則（官報第244号付録（أ）の写し・アラビア語、PDPC掲載）
• 【一次・非公式英訳】 法律の英訳（Matouk Bassiouny & Hennawy）
• 【一次・非公式英訳】 施行規則の英訳（The Sedona Conference 掲載）

アラビア語の官報写しは画像（スキャン）で、この調査ではアラビア語の文字認識が使えなかった。アラビア語で直接読んだのは、公布法3条4〜6号・4〜7条、附属法1条（個人データ・機微データ・処理等の定義）、7条末尾、8条、13条、14条、15条1・2号のみ。その他の条文は非公式英訳による。

• EUの十分性認定：なし
• APECのCBPRシステム：なし（Global CBPR Forum にも参加していない。2026年10月27日に確認した範囲）

注：エジプト法には次の特徴がある。

• 管理者・処理者はセンターの許可（ترخيص）又は認可（تصريح）を得なければ個人データを扱えない（4条10号、5条11号）。
• 国外への移転・保存・共有は、移転先の保護水準がエジプト法の水準を下回らないこと、かつセンターの許可又は認可があることが条件（14条〔亜〕）。ただし本人（又はその代理人）の明示の同意があり、15条が定める場合（本人の生命の保護・医療、権利の立証・行使・防御のための義務の履行、本人のための契約の締結・履行など）に当たれば、同等の水準がない国へも移転できる（15条〔亜：1・2号を確認〕）。
• 施行規則16条は、国外移転にセンターの許可と本人の同意を求めている（非公式英訳）。
• 「国境を越えた移転」の定義には、国外から国内への移転も含まれる（附属法1条、非公式英訳）。

個人情報の域内保存義務に係る制度であって、本人の権利利益に重大な影響を及ぼす可能性のあるもの

• 一般的な域内保存義務は確認できなかった。国外移転は許可制で（附属法14〜16条、施行規則16・17条）、国外の管理者・処理者にはエジプト国内の代理人の選任が義務付けられている（附属法4条11号・5条12号）。

事業者に対し政府の情報収集活動への協力義務を課す制度であって、本人の権利利益に重大な影響を及ぼす可能性のあるもの

• 公布法3条5号後段：国家安全保障機関の求めに基づき、センターは管理者・処理者に、期限を定めて個人データの修正・消去、又は表示・提供・流通の停止（عدم إظهار أو إتاحة أو تداول）を通知しなければならない。管理者・処理者はその期限内に従わなければならない。情報を政府に提供させる規定ではなく、修正・消去・停止を命じる規定である（非公式英訳も “amend, erase, withhold, restrict access to, or suspend circulation”）【一次・アーカイブ：官報3頁】。国家安全保障機関は附属法1条で、大統領府、国防省、内務省、総合情報庁、行政監督庁と定義されている（非公式英訳）。
• 2018年法律第175号（情報技術犯罪対策法）2条：この義務を負うのは通信・情報技術の「サービス提供者」で、商品を売るお店は通常これに当たらない。サービス提供者は利用者識別データ・通信トラフィックデータ・端末データなどを180日間保存しなければならない。国家安全保障機関の求めに応じ、職務遂行に必要な技術的手段を提供しなければならない。保存データの開示は、管轄司法当局の理由を付した命令による。注文者向けの説明では「捜査機関の命令や裁判に基づいて、事業者が情報を扱うこともあります」とまとめている【一次・非公式英訳：Andersen 訳】。
• 個人情報保護法7条：漏えいの通知を受けたセンターは、直ちに国家安全保障機関へ通知する（非公式英訳）。

• 本人の権利：開示（知る・閲覧・取得）、同意の撤回、訂正・削除・追加・更新、利用目的の限定、漏えいの通知を受ける権利、基本的権利に反する処理への異議（附属法2条）。権利行使に対価がかかることがある（漏えい通知を除く。上限2万エジプト・ポンド）。センターへの苦情申立て（33条。30営業日以内に決定）。
• 監督機関：個人データ保護センター（مركز حماية البيانات الشخصية。通信情報技術大臣の下にある公的経済機関。附属法19条）。理事会は大臣が議長を務め、国防省・内務省・総合情報庁・行政監督庁の代表を含む（20条）。
• センターの稼働状況【二次】：2026年10月に電子申請ポータルが開設され、許可・認可の申請受付が始まった（Baker McKenzie、2026年10月8日）。国外事業者は現地代理人を通じて申請する。
• PDPCは、施行規則、DPO、同意、漏えい通知、許可・認可、プライバシー通知などの指針をサイトに掲載している（2026年8月の保存版で一覧を確認）【一次・アーカイブ】。
• 十分な保護水準を持つ国のリストは、公表を確認できなかった【二次：AMERELLER、2026年4月28日は「作成中」】。
• 罰則：違法な処理には10万〜100万エジプト・ポンドの罰金（36条）。国外移転規定の違反には3か月以上の拘禁及び／又は50万〜500万エジプト・ポンドの罰金（42条）など（非公式英訳）。

1. 掲載号・日付・施行日・定義・移転の条文はアラビア語の官報写し（PDPCの公開文書の保存版）で確認した。その他の条文は非公式英訳による。PDPCの現行サイトには、この調査の環境から接続できなかった。
2. 公布法6条の移行期限は2026年10月31日又は11月1日で、このページの基準日（2026年10月28日）の時点ではまだ来ていなかった。同日の時点で運用はこれからで、センターの許可実務・手数料・十分性リストは動いている。
3. エジプトの店舗（受領者）自身も、エジプト法上は原則として許可の取得・DPOの選任などの義務を負う。受領者が実際に許可を得ているかは、Convika は確認していない。

対象：Convika の注文機能で、エジプトにあるお店が注文を受けた場合に、注文者の情報を受け取るお店。

根拠：お店が注文機能の利用時に同意する「注文と支払いの利用条件」（株式会社Fluxenic、2026年10月28日版）。

このお店は、Convika の「注文と支払いの利用条件」に同意したうえで注文を受けています。この条件で、お店は次のことを約束しています。

1. 受け取った情報（名前、電話番号、メールアドレス、住所、注文の内容など）を、注文に応じる、注文者に連絡する、法令上の義務を果たす、という目的にだけ使います。注文者の同意なく、宣伝のメールなどほかの目的には使いません。
2. 情報の漏えい、紛失、不正な利用を防ぐ措置を講じます。書き出したファイルも同じく管理します。
3. 漏えいが起きたとき、又は起きたおそれがあるときは、すぐに Convika に知らせ、法令に従って日本の個人情報保護委員会への報告と本人への通知をします。
4. 注文者から開示、訂正、削除などを求められたときは、法令に従って応じます。
5. 日本の外にあるお店として、受け取った情報について、日本の個人情報保護法がお店に求める措置に相当する措置を講じます。
6. 日本の法令に加えて、お店のある国と注文者の国の法令を守ります。
7. 注文者に、お店の名前、問い合わせ先、受け取った情報の利用目的、開示などの求めの受け付け方法を示します。日本の外にあるお店は、これらを載せたプライバシーポリシーを公表します。
8. 受け取った情報を、利用目的に必要な範囲で、正確で最新の内容に保ちます。

注文画面で集める項目と、その情報をお店に渡すことは、Convika が注文画面で示しています。

Convika は、これらの約束を守らないお店の注文の受付を止めることができます。ただし、Convika は、お店がこれらの措置を実際に講じているか、お店がその国の監督機関の登録・許可を得ているかを、個別には確かめていません。

Convika は、Convika のプライバシーポリシーに定めた期間が過ぎた注文者の情報を消します。消す前に、お店に CSV での書き出しを案内します。お店が書き出して保存した情報は、お店の管理になります。

個人情報保護委員会

• 【一次】 個人情報保護委員会「外国における個人情報の保護に関する制度等の調査」
• 【一次】 同「カタール国」（様式の参照）

エジプト

• 【一次・アーカイブ】 官報第28号追補（هـ）2020年7月15日（PDPC掲載、保存日2026年7月14日）
• 【一次・アーカイブ】 الوقائع المصرية 第244号付録（أ）2025年11月1日、大臣令816/2025（PDPC掲載、保存日2026年8月10日）
• 【一次・非公式英訳】 Law No. 151 of 2020（Matouk Bassiouny & Hennawy 訳）
• 【一次・非公式英訳】 Ministerial Decree No. 816 of 2025
• 【一次・非公式英訳】 Law No. 175 of 2018（Andersen 訳）
• 【二次】 Baker McKenzie Connect On Tech（2026年10月8日、ポータル開設）
• 【二次】 AMERELLER（2026年4月28日）
• 【二次】 Soliman, Hashish & Partners（2026年1月11日）
• 【二次】 Al Tamimi & Company（Legal 500、2026年1月27日）
• 【二次】 Baker McKenzie（2026年1月9日）

1. アラビア語原文で読めていない条文：附属法2条（本人の権利）、3〜6条、9条、15条3号以下、16条、19・20条、32・33・36・42条、施行規則16・17条。いずれも非公式英訳による（官報写しは画像で、この調査の環境ではアラビア語の文字認識が使えなかった）。
2. 施行規則（大臣令816/2025）の署名日。公布法6条の期限が2026年10月31日か11月1日かは、これで決まる。
3. 「国境を越えた移転」の定義（国外から国内を含む）のアラビア語原文と、日本の注文者のデータをエジプトのお店が受け取ることがエジプトの許可の対象になるか。
4. 十分性リスト・許可手数料の公表の有無（PDPCの現行サイトに接続できなかった）。
5. 国家安全保障機関の範囲（附属法1条の定義）のアラビア語原文。
6. Global CBPR Forum への参加の有無（「確認した範囲で不参加」）。