Ägyptens Datenschutzgesetz: Was Ihnen das Gesetz Nr. 151 von 2020 garantiert

Jedes Mal, wenn ein Bürger über eine App Essen bestellt, ein Bankkonto eröffnet oder eine SIM-Karte kauft, wandern persönliche Angaben aus seiner Hand zu Stellen, die er nie zu Gesicht bekommt: der Name, die Telefonnummer, die Anschrift, mitunter sehr viel mehr. Jahrzehntelang blieb dieser Datenfluss ohne umfassende gesetzliche Regelung – bis im Sommer 2020 das Gesetz Nr. 151 des Jahres 2020 zum Schutz personenbezogener Daten erlassen wurde, Ägyptens erstes vollständiges Regelwerk dazu, wie Unternehmen und Institutionen Daten von Einzelpersonen erheben, speichern, verarbeiten und nutzen dürfen.

Das Gesetz hat klare verfassungsrechtliche Wurzeln: Artikel 57 der Verfassung von 2014 erklärt das Privatleben für unantastbar und stellt Korrespondenz und Kommunikation jeder Art unter einen Schutz, der nur durch begründete richterliche Anordnung aufgehoben werden darf. Das Gesetz übersetzt diesen Verfassungsgrundsatz in praktische Pflichten für alle, die mit den Daten der Bürger umgehen. Entstanden ist es zudem im Zuge einer weltweiten Gesetzgebungswelle nach der europäischen Datenschutz-Grundverordnung, kurz „DSGVO“ (englisch GDPR), die in Dutzenden Staaten ähnliche Regelwerke angestoßen hat.

Was aber gilt im Sinne des Gesetzes als „personenbezogene Daten“? Die Definition ist bewusst weit gefasst: alle Daten, die sich auf eine identifizierte oder – unmittelbar wie mittelbar – identifizierbare natürliche Person beziehen, vom Namen und der nationalen Ausweisnummer bis zu Standortdaten und elektronischen Kennungen. Eine besonders streng geschützte Kategorie führt das Gesetz gesondert auf: die „sensiblen personenbezogenen Daten“, zu denen Angaben zur körperlichen und psychischen Gesundheit, biometrische und finanzielle Daten, religiöse Überzeugungen, politische Ansichten und Vorstrafen zählen; hinzu kommen Daten von Kindern, die der Einwilligung des Erziehungsberechtigten bedürfen.

Tragendes Prinzip des gesamten Gesetzes ist die Einwilligung: Grundsätzlich dürfen personenbezogene Daten weder erhoben noch verarbeitet oder offengelegt werden ohne die ausdrückliche Zustimmung der betroffenen Person – außer in den Fällen, die das Gesetz selbst zulässt. Daten müssen für rechtmäßige, genau bestimmte und der betroffenen Person offengelegte Zwecke erhoben werden, sie müssen richtig und aktuell sein, und sie dürfen nicht länger aufbewahrt werden, als der Zweck der Erhebung es verlangt.

Das Gesetz räumt der betroffenen Person ein Bündel praktisch nutzbarer Rechte ein: das Recht zu erfahren, welche Daten eine Stelle über Sie gespeichert hat, das Recht auf Einsicht und Zugang, das Recht auf Berichtigung oder Änderung fehlerhafter Angaben, das Recht auf Löschung, sobald der Zweck entfallen ist, das Recht auf Widerspruch gegen die Verarbeitung und das Recht, eine einmal erteilte Einwilligung zu widerrufen. Ebenso hält es fest, dass Sie über jeden Einbruch und jedes Leck, das Ihre Daten betrifft, benachrichtigt werden müssen.

Damit diese Rechte mehr sind als Tinte auf Papier, hat das Gesetz eine eigene Aufsichtsbehörde geschaffen: das Zentrum für den Schutz personenbezogener Daten, angesiedelt beim Ministerium für Kommunikation und Informationstechnologie. Das Zentrum erteilt Lizenzen und Genehmigungen an datenverarbeitende Stellen, nimmt Beschwerden von Bürgern entgegen, prüft die dem Gesetz unterliegenden Einrichtungen, gibt Leitlinien heraus und verhängt Verwaltungssanktionen gegen Zuwiderhandelnde.

Umgekehrt legt das Gesetz Unternehmen und Institutionen konkrete Pflichten auf: einen Datenschutzbeauftragten zu bestellen, wo dies vorgeschrieben ist, Verarbeitungsverzeichnisse zu führen, technische und organisatorische Maßnahmen zur Sicherung der Daten zu treffen und dem Zentrum jede Datenpanne binnen zweiundsiebzig Stunden zu melden. Auch die elektronische Direktwerbung wird geregelt: Sie setzt die vorherige Einwilligung des Adressaten voraus, verlangt die Offenlegung der Identität des Absenders und muss den Empfängern jederzeit ermöglichen, den Empfang weiterer Nachrichten zu beenden.

Die Übermittlung personenbezogener Daten ins Ausland ist nur mit einer Lizenz oder Genehmigung des Zentrums zulässig – und nur unter der Bedingung, dass das rechtliche Schutzniveau im Empfängerstaat nicht hinter dem des ägyptischen Rechts zurückbleibt. Diese Bedingung wiegt schwer im Zeitalter des Cloud-Computings, in dem Daten von Ägyptern auf Servern liegen können, die Tausende Kilometer von Kairo entfernt stehen.

Zahnlos ist das Gesetz nicht: Verstöße können Geldstrafen nach sich ziehen, die bei mehreren Hunderttausend ägyptischen Pfund beginnen und bei bestimmten Straftatbeständen in die Millionen reichen, dazu in einzelnen Fällen Freiheitsstrafen, etwa bei der unrechtmäßigen Offenlegung sensibler Daten. Die vollständige Anwendung war allerdings an eine Durchführungsverordnung geknüpft, deren Erlass sich nach Inkrafttreten des Gesetzes um Jahre verzögerte – eine Verzögerung, die Fachleute als die auffälligste Lücke zwischen Gesetzestext und Wirklichkeit dokumentiert haben.

Festzuhalten bleibt, dass das Gesetz nicht alle und nicht alles erfasst: Es kennt genau umrissene Ausnahmen, darunter Daten, die Einzelpersonen ausschließlich für private Zwecke verarbeiten, Daten, die eigenen Regulierungsrahmen unterliegen – etwa im Zuständigkeitsbereich der Zentralbank –, sowie Belange der nationalen Sicherheit, die andere Gesetze ordnen. Die Grenzen des Gesetzes zu kennen gehört dazu, wenn Sie Ihre Rechte darin verstehen wollen.

Und was fängt der gewöhnliche Bürger damit an? Ganz praktisch: Lesen Sie Datenschutzerklärungen, bevor Sie ihnen zustimmen, und sei es nur überflogen. Geben Sie Apps keine Berechtigungen, die deren Funktion nicht braucht. Fragen Sie die Stellen, mit denen Sie zu tun haben, was mit Ihren Daten geschieht. Und bewahren Sie Belege für Ihre Vorgänge auf. Das Gesetz hat den Bürgern Werkzeuge in die Hand gegeben, die es zuvor schlicht nicht gab – ihr wirklicher Wert hängt jedoch davon ab, ob die Berechtigten von ihnen wissen und ob der Apparat zu ihrer Durchsetzung in den kommenden Jahren vollendet wird.