Page du service : Commerce numérique et IA : un avocat pour les conditions générales, la vie privée et la prospection directe.
Qu’est-ce qu’un cookie, et pourquoi la loi s’y intéresse
Les cookies sont de petits fichiers que le site enregistre sur l’ordinateur de l’utilisateur. Certains sont strictement indispensables : maintien de la connexion, panier d’achat. Ils n’exigent pas de consentement particulier, et personne ne s’en plaindra. Le problème commence avec les autres : les cookies d’analyse qui suivent chacun de vos clics, et les cookies marketing qui créent un profil comportemental transmis à Google, à Facebook et aux plateformes publicitaires.
À côté des cookies, il existe aussi les pixels (comme le Meta Pixel, qui signale à Facebook les actions effectuées sur le site), le fingerprinting (l’identification par les caractéristiques du navigateur) et le local storage. Tous sont soumis aux mêmes exigences de consentement.
Le droit israélien : ce qui est obligatoire et ce qui est recommandé
Israël n’a pas de loi dédiée aux cookies, et le cadre est la loi sur la protection de la vie privée, 5741-1981. Une « information personnelle » est une donnée sur une personne identifiée ou identifiable, notamment au moyen d’un « identifiant en ligne » (article 3). Et l’atteinte à la vie privée exige un consentement éclairé (articles 1 et 3). Selon la position du conseiller juridique du gouvernement, que l’Autorité de protection de la vie privée a adoptée dans un avis du 25 février 2026, l’utilisation d’informations pour un profilage sans lien avec l’objet de la transaction exige un consentement actif. Un cookie qui crée un profil personnel, qu’il soit « d’analyse » ou « marketing », est un traitement d’informations personnelles à part entière.
L’Autorité de protection de la vie privée (PPA), l’autorité de régulation israélienne dans ce domaine, a recommandé dès novembre 2020, dans un projet soumis aux commentaires du public sur la « vie privée dans les moyens de paiement avancés », que le consentement à l’usage de cookies dans ces moyens soit demandé séparément, avec une explication, et par un acte actif de l’utilisateur (opt-in), et non par défaut. Le montant des sanctions pécuniaires que l’Autorité peut infliger a nettement augmenté avec l’amendement n° 13 à la loi sur la protection de la vie privée, entré en vigueur le 14 août 2025.
Le RGPD s’applique aussi à vous, même si votre société est en Israël
Si vous proposez des biens ou des services à des personnes qui se trouvent dans l’Union européenne, ou si vous suivez leur comportement sur place (par exemple avec des cookies de profilage), le RGPD s’applique à vous, même si votre société est en Israël (article 3(2)). Le RGPD (règlement 2016/679) est l’un des régimes les plus stricts au monde en matière de consentement. Selon l’article 4(11), le consentement doit être « libre, spécifique, éclairé et univoque », donné par un acte positif de l’utilisateur. L’Union européenne reconnaît qu’Israël assure un niveau adéquat de protection des données, mais cela ne dispense pas de respecter le RGPD lorsqu’il s’applique.
Les amendes du RGPD sont énormes : jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Les autorités européennes ont infligé des amendes à Google, à Meta et à de petits sites.
Une question sur un site internet, la vie privée, les conditions d’utilisation ou l’IA dans votre entreprise ?Je vous réponds dans un délai d’un jour ouvré.
Appels et réponses en hébreu ou en anglais
Ce qui se passe après votre message
- Vous écrivez ce qui s’est passé et avec qui. Sans documents.
- Je vous recontacte dans un délai d’un jour ouvré pour un court appel de quelques minutes, en hébreu ou en anglais.
- S’il s’agit d’une affaire que je traite : après l’appel, vous recevrez par écrit ce qui sera fait et quelle est la prochaine étape. Le travail ne commence qu’après votre accord.
À la fin de l’appel, vous saurez l’une de ces trois choses : c’est une affaire que je traite, et quelle est la prochaine étape ; vous pouvez vous passer d’avocat, et quel guide vous convient ; ou ce n’est pas mon domaine, et vers qui vous tourner.
Service aux entreprises : mise en conformité
Vous vérifiez le site et les formulaires de votre entreprise ?
Nous passons en revue ce que le site et les formulaires collectent, l’avis de confidentialité, le consentement aux cookies, la politique de conservation et de suppression et les conditions générales du site. À la fin, vous recevez par écrit une liste des écarts et, si nécessaire, les documents rédigés. Le périmètre et le délai sont fixés à l’avance.
Exemple : une boutique en ligne qui installe des outils de suivi avant d’obtenir le consentement
Prenons une boutique en ligne israélienne qui vend aussi à des internautes européens. Elle installe des balises Google Analytics et Meta Pixel qui se chargent automatiquement dès l’arrivée sur le site, avant que l’utilisateur ait exprimé le moindre consentement. Dans ce cas, la boutique est doublement exposée. Face à l’Autorité de protection de la vie privée en Israël, en tant que professionnel qui a collecté des informations comportementales sans consentement éclairé. Et face aux régulateurs européens, puisqu’elle suit des internautes qui se trouvent dans l’Union européenne, selon les exigences plus strictes du RGPD. La solution pratique : bloquer l’installation des balises dans le code du site lui-même jusqu’à l’obtention effective du consentement. Il ne suffit pas d’un bandeau (banner) affiché qui ne bloque pas le chargement en temps réel.
Cookie Banner : ce qui le rend licite, et ce qui est interdit
Pour que le bandeau soit conforme, il doit remplir les conditions suivantes : un bouton « J’accepte » et un bouton « Je refuse » également accessibles, sans manipulation visuelle ; un clic sur « X » ne vaut pas consentement ; le défilement de la page ne vaut pas consentement ; activer par défaut tous les cookies n’est pas licite.
Les dark patterns les plus courants, déjà sanctionnés par des régulateurs : un bouton « Accepter » vert et visible et un bouton « Refuser » petit et gris ; un parcours de 5 clics pour refuser les cookies contre un seul clic pour accepter ; et un message « aidez-nous à nous améliorer » qui crée une pression psychologique pour accepter.
Gestion des consentements : pourquoi la documentation vous protège
Lorsqu’un régulateur frappe à la porte, la première question est : « Prouvez que l’utilisateur a consenti. » Un site qui utilise une Consent Management Platform (CMP) comme Cookiebot, OneTrust ou Axeptio conserve un journal chiffré de chaque consentement : date, version du bandeau, catégories acceptées. C’est votre protection.
De plus, si l’utilisateur a demandé à retirer son consentement, Google Analytics et Meta Pixel doivent tous deux être bloqués. Les sites qui les font fonctionner « quand même » après un refus violent les exigences du RGPD et de la directive ePrivacy, et en Israël, ils agissent sans consentement.
Mesures pratiques pour une mise en conformité immédiate
Vérifiez manuellement qu’aucun script tiers du site (Analytics, Pixel, HotJar, LinkedIn Insight) ne se charge avant l’obtention du consentement. Utilisez Google Tag Manager avec Consent Mode v2 : il permet de gérer les consentements de façon ordonnée depuis un seul endroit. Mettez à jour votre politique de confidentialité pour y inclure la liste de tous les cookies tiers utilisés par le site.
Questions fréquentes
Quels cookies exigent le consentement exprès de l’utilisateur ?
Les cookies indispensables au fonctionnement du site, comme le maintien de la connexion ou le panier d’achat, sont dispensés de consentement. Les cookies d’analyse et marketing, qui créent un profil comportemental de l’utilisateur, exigent selon le droit européen un consentement clair et préalable, donné par un acte positif. En Israël, c’est aussi le consentement que l’Autorité de protection de la vie privée préfère pour les usages qui ne sont pas nécessaires au service.
Qu’est-ce qui rend un Cookie Banner illicite ?
Un bandeau n’est pas conforme lorsque le bouton de refus est petit ou caché par rapport au bouton d’acceptation, lorsque le défilement de la page ou un clic sur « X » valent consentement, et lorsque, par défaut, tous les cookies sont activés d’avance.
Vous vérifiez votre conformité ?Vous pouvez m’écrire ce que l’entreprise collecte et où, sans documents.
Appels et réponses en hébreu ou en anglais
Le RGPD s’applique-t-il à une entreprise israélienne ?
Oui, lorsque l’entreprise propose des biens ou des services à des personnes qui se trouvent dans l’Union européenne ou suit leur comportement sur place, même sans succursale en Europe (article 3(2) du RGPD). Le critère est le lieu où se trouve l’utilisateur, et non sa nationalité.
Une extension de consentement aux cookies suffit-elle pour être en règle ?
Une extension ou une plateforme de gestion des consentements (CMP) est un outil, et n’assure pas à elle seule la conformité. Vérifiez trois choses : que l’extension bloque réellement les balises d’analyse et de publicité jusqu’au clic sur « J’accepte », et ne se contente pas d’afficher un bandeau ; que le bouton de refus est aussi accessible et visible que le bouton d’acceptation ; et que chaque consentement est documenté. Sur un site soumis au RGPD, celui qui se fonde sur le consentement doit être en mesure de prouver qu’il a été donné (article 7(1)), et le retrait du consentement doit être aussi simple que son octroi (article 7(3)). Il est aussi recommandé de détailler dans la politique de confidentialité les cookies utilisés par le site.
Sources
- Loi sur la protection de la vie privée, 5741-1981
- Autorité de protection de la vie privée — avis sur le consentement en droit de la protection de la vie privée (25 février 2026) (en hébreu)
- Centre de recherche et d’information de la Knesset — sur les cookies et autres technologies d’identification en ligne (mars 2021) (en hébreu)
- Regulation (EU) 2016/679 (GDPR) - EUR-Lex
- Kol Zchut – loi sur la protection de la vie privée
Les liens renvoient au texte original de la législation (en hébreu). Le texte qui fait foi est celui publié au Sefer HaHoukim (le Journal officiel des lois).
Points à vérifier
- Conseil pratique : pour adapter le site à la loi sur la protection de la vie privée, ne vous contentez pas de « mettre un bandeau ». Faites un Cookies Audit complet : analysez le site avec Cookiebot Scanner et vérifiez quels cookies se déclenchent avant le consentement
- Législation applicable : loi sur la protection de la vie privée, 5741-1981, articles 1, 3 et 8 ; règlement sur la protection de la vie privée (sécurité des données), 5777-2017 (תקנות הגנת הפרטיות (אבטחת מידע) תשע״ז-2017) ; RGPD, articles 4(11) et 7 et Recital 32 (considérant 32) ; ePrivacy Directive 2002/58/EC
- Erreur fréquente : invoquer l’« intérêt légitime » (Legitimate Interest) comme base juridique des cookies d’analyse. L’article 5(3) de la directive européenne 2002/58/CE (vie privée et communications électroniques) ne permet de stocker des informations sur l’appareil de l’utilisateur, ou d’y accéder, qu’avec son consentement, sauf ce qui est strictement nécessaire au service qu’il a demandé. Les cookies non indispensables exigent donc un consentement (consent), et non un intérêt légitime (legitimate interest).
- Point tactique : le montant des amendes administratives en Israël a nettement augmenté après l’amendement n° 13 à la loi sur la protection de la vie privée (2024). Le montant des sanctions pécuniaires est fixé à l’article 23Z de la loi sur la protection de la vie privée et dans les troisième à cinquième annexes de la loi, et il est mis à jour le 1er janvier de chaque année (article 23FF(b)).