埃及个人数据保护法:2020年第151号法律为你保障了什么?

每当一位公民通过手机应用订餐、开设银行账户，或者购买一张手机SIM卡，个人信息便从他手中流向他从未见过的机构：姓名、电话号码、住址，有时还远不止这些。数十年来，这股数据洪流几乎没有全面的法律规范，直到2020年夏天埃及颁布2020年第151号《个人数据保护法》——这是埃及第一部完整界定企业与机构可以如何收集、存储、处理和使用个人数据的立法。

这部法律有清晰的宪法根源：2014年宪法第57条规定，私人生活神圣不可侵犯，各类信函与通信均受保护，非经附具理由的司法命令不得侵犯。该法把这一宪法原则转化为对所有处理公民数据者的具体义务；它的出台也顺应了欧洲《通用数据保护条例》（简称GDPR）之后席卷全球的立法浪潮，那部条例曾促成数十个国家出台类似法律。

那么，在法律眼中什么算是“个人数据”？定义是有意放宽的：任何与已识别或可直接、间接识别的自然人有关的数据，从姓名、国民身份号码，到地理位置数据和电子标识符。法律还单列出一类保护更为严格的“敏感个人数据”，涵盖身心健康数据、生物识别数据、金融数据、宗教信仰、政治观点和犯罪记录，以及需要监护人同意的儿童数据。

整部法律赖以成立的核心原则是同意：原则上，未经数据主体明确同意，不得收集、处理或披露其个人数据，法律另有许可的情形除外。数据的收集必须出于合法、具体并已向当事人告知的目的，必须准确并保持更新，且保存时间不得超过收集目的所需的期限。

法律赋予数据主体一整套可以真正行使的权利：知悉有关机构掌握了您哪些数据的权利，查阅和获取这些数据的权利，更正或修改其中错误内容的权利，在目的消失后要求删除的权利，反对处理的权利，以及撤回此前所作同意的权利。法律同时确认，一旦发生涉及您数据的入侵或泄露，您有权获得通知。

为了让这些权利不至于停留在纸面上，法律设立了专门的监管机构——隶属于通信和信息技术部的个人数据保护中心。该中心负责向数据处理机构颁发许可与批准、受理公民投诉、对适用本法的机构进行检查、发布指导性规则，并对违规者处以行政处罚。

与此相对，法律也为企业和机构设定了明确义务：在法定情形下指定数据保护负责人，保存处理活动记录，采取技术和组织措施保障数据安全，并在发生任何涉及数据的入侵后七十二小时内通报该中心。法律还对电子直接营销作出规范，要求事先取得目标对象的同意、披露发送者身份，并让接收者可以随时停止接收信息。

至于把个人数据传输到境外，则必须取得该中心的许可或批准，并且以接收国的法律保护水平不低于埃及法律所定标准为条件。在云计算的时代，埃及人的数据可能存放在距开罗数千公里之外的服务器上，这一条件因此分量不轻。

这部法律并非没有牙齿：违规者面临的罚款起于数十万埃及镑，某些罪行可高达数百万埃及镑，特定情形下还有剥夺自由的刑罚，例如非法披露敏感数据。不过，法律的全面落地取决于实施细则的出台，而细则在法律生效后拖延了数年才发布；专业人士记录下的这一拖延，正是条文与现实之间最突出的落差。

还应指出，法律并非对所有人和所有情形一概适用：它规定了明确的豁免，包括个人纯粹出于私人用途处理的数据、受特别监管框架约束的数据（例如属于中央银行职权范围的事项），以及由其他法律规范的国家安全事项。了解这部法律的边界，也是了解您在其中享有哪些权利的一部分。

那么普通公民该拿这一切做什么？实际做法是：在点击同意之前，哪怕只是快速浏览，也要读一读隐私政策；不要把应用运行并不需要的权限授予它；向与您打交道的机构询问您的数据将去向何处；并保存好能够证明您办理过哪些业务的记录。这部法律给了公民过去根本不存在的工具，但它们的真正价值，取决于权利人是否知道这些工具，也取决于未来数年执行体系能否建成。