Transfert de données personnelles à l’étranger : quand c’est permis

Page du service : Commerce numérique et IA : un avocat pour les conditions générales, la vie privée et la prospection directe.

L’encadrement du transfert de données à l’étranger en droit israélien

Le transfert à l’étranger d’informations de nature personnelle ou commerciale a des conséquences juridiques importantes en droit israélien. Le fondement légal du contrôle de ce transfert se trouve principalement dans la loi sur la protection de la vie privée, 5741-1981 (חוק הגנת הפרטיות, התשמ״א-1981), et dans le règlement sur la protection de la vie privée (transfert de données vers des bases de données situées hors des frontières de l’État), 5761-2001. La loi sur la protection de la vie privée protège le droit de toute personne à la vie privée et impose diverses obligations de prudence à celui qui détient des informations sur elle. Cela comprend les informations qu’une personne a gardées privées ou les informations recueillies sur elle par un organisme public ou commercial. Le transfert de ces informations à l’étranger les fait sortir du champ de protection du droit israélien. C’est pourquoi le règlement le soumet à des conditions.

Les dispositions du règlement sur la protection de la vie privée (transfert de données à l’étranger)

Le règlement sur la protection de la vie privée (transfert de données vers des bases de données situées hors des frontières de l’État), 5761-2001, fixe un cadre clair. L’article 1 interdit de transférer à l’étranger des informations d’une base de données située en Israël, sauf si le droit du pays de destination assure un niveau de protection au moins égal à celui du droit israélien : collecte et transfert licites et loyaux, utilisation pour la finalité de la collecte, exactitude et mise à jour, droit d’accès et de rectification, et mesures de sécurité. L’article 2 énumère des exceptions, dont une seule suffit : le consentement de la personne concernée ; un transfert indispensable pour protéger sa santé lorsqu’il est impossible d’obtenir son consentement ; un transfert à une personne morale contrôlée par le responsable de la base de données, qui a assuré la protection de la vie privée ; l’engagement contractuel du destinataire de respecter les conditions du droit israélien ; des informations publiées légalement ; un transfert nécessaire à la protection de la sécurité publique ou imposé par la loi ; ou un transfert vers un pays partie à la Convention européenne pour la protection des personnes (Convention 108), vers un pays qui reçoit des informations de l’Union européenne aux mêmes conditions, ou vers un pays que le registraire des bases de données a notifié au Reshoumot (le Journal officiel). Le principe de minimisation des données (ne transférer que le nécessaire) est une pratique recommandée qui réduit l’exposition.

Conditions relatives aux pays et aux types d’informations

Il n’existe pas en Israël de liste officielle des « pays adéquats ». Celui qui se fonde sur l’article 1 doit établir lui-même que le droit du pays de destination atteint le niveau requis. En pratique, la plupart des transferts reposent sur les exceptions de l’article 2 : consentement, contrôle par une société du groupe ou engagement contractuel. Cette règle compte particulièrement pour les transferts vers des pays sans législation complète sur la vie privée. Les informations particulièrement sensibles (médicales, biométriques, sur l’orientation sexuelle ou les convictions religieuses) justifient un examen plus rigoureux et des mesures de sécurité renforcées avant le transfert.

Exactitude des informations et conditions du transfert

Tout transfert d’informations doit se faire avec soin et professionnalisme. L’organisme qui transfère doit s’assurer : (1) que les informations sont exactes et à jour ; (2) que les informations sont sécurisées au niveau requis par le règlement sur la protection de la vie privée (sécurité des données), 5777-2017 (תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017), y compris par un chiffrement selon des méthodes reconnues lorsque les informations circulent sur un réseau public ou sur Internet (article 14(b)) ; (3) qu’il existe un engagement écrit du destinataire à l’étranger sur la sécurité des informations et leur traitement (article 3) ; (4) que les informations ne seront pas transmises à un tiers, dans le même pays ou dans un autre.

Pensez aussi au document de définition de la base de données. Selon l’article 2(a)(4) du règlement sur la sécurité des données, le responsable de la base de données doit y détailler tout transfert de la base, ou d’une partie substantielle de celle-ci, hors d’Israël, et toute utilisation des informations hors d’Israël : finalité du transfert, pays de destination, mode de transfert et identité du destinataire. Il doit mettre ce document à jour en cas de changement important (article 2(b)). Un document manquant est une violation pour laquelle une sanction pécuniaire est prévue au point (1) de la troisième annexe de la loi sur la protection de la vie privée : le montant de base va de 2 000 ₪ à 160 000 ₪ selon le niveau de sécurité de la base de données, et il est indexé le 1er janvier de chaque année (article 23FF(b)).

Les droits de la personne dont les informations sont transférées

La personne dont les informations sont transférées à l’étranger a des droits importants selon la loi sur la protection de la vie privée.

Liste de contrôle pratique

1. Selon la loi sur la protection de la vie privée, une personne a le droit de savoir quels organismes détiennent des informations sur elle et à quelle fin elles servent, y compris leur transfert à l’étranger.
2. Une personne a le droit de demander à consulter les informations détenues sur elle et d’exiger leur correction si elles sont erronées.
3. Une personne qui estime que des informations la concernant ont été transférées à l’étranger sans autorisation ou en violation d’un contrat peut porter plainte auprès de l’Autorité de protection de la vie privée.
4. Le droit d’accès et le droit de rectification (articles 13–14 de la loi) appartiennent à la personne même lorsque les informations sont en fait détenues par un destinataire à l’étranger. La responsabilité de leur exercice reste au responsable de la base de données en Israël.

Le consentement de la personne concernée et la nature de l’accord

Lorsque le transfert repose sur le consentement de la personne concernée (article 2(1)), ce consentement doit être un « consentement éclairé » au sens de l’article 3 de la loi sur la protection de la vie privée, c’est-à-dire donné après que la personne a compris à qui les informations sont transférées, vers quel pays et dans quel but. Un consentement imposé comme condition pour obtenir un service qui ne dépend pas du transfert (« take-it-or-leave-it ») s’expose à l’argument qu’il n’est pas libre. Mieux vaut donc fonder les transferts courants sur l’engagement contractuel du destinataire, et pas seulement sur le consentement.

Prestataires à l’étranger : que doit contenir le contrat ?

Dans certains cas, une entreprise ou un organisme israélien doit transférer des informations à un prestataire à l’étranger (comme un service cloud, la sous-traitance du support ou un laboratoire à l’étranger). Selon l’article 3 du règlement, celui qui transfère doit obtenir l’engagement écrit du prestataire étranger de prendre des mesures suffisantes pour assurer la vie privée et de ne transmettre les informations à personne. Lorsque le prestataire obtient l’accès à la base de données, l’article 15 du règlement sur la protection de la vie privée (sécurité des données), 5777-2017, impose de prévoir dans le contrat, notamment : (1) les informations qu’il peut traiter et les finalités de leur utilisation ; (2) les systèmes de la base de données auxquels il peut accéder et le type de traitement permis ; (3) la manière d’appliquer les obligations de sécurité des données et l’engagement de confidentialité à faire signer par ses salariés ; (4) la durée de la relation, la restitution des informations et leur destruction à la fin ; (5) les conditions du recours à un sous-traitant ; (6) un rapport au moins une fois par an et la notification de tout incident de sécurité. Celui qui transfère reste responsable envers les personnes concernées même lorsque la défaillance s’est produite chez le prestataire.

Risques juridiques et obligations de signalement

Lorsque des informations personnelles transmises à l’étranger sont ensuite piratées, volées ou utilisées de façon abusive, la responsabilité reste au responsable de la base de données en Israël. Selon le règlement sur la sécurité des données, un incident de sécurité grave doit être signalé immédiatement à l’Autorité de protection de la vie privée, qui peut ordonner d’en informer aussi les personnes concernées. Depuis l’amendement n° 13 à la loi sur la protection de la vie privée (en vigueur depuis août 2025), l’Autorité peut infliger des sanctions pécuniaires pour les violations, en plus des actions civiles des personnes concernées lésées.

Israël face au RGPD : qu’est-ce qui change ?

L’Union européenne reconnaît qu’Israël assure un niveau de protection adéquat (décision d’adéquation, ou adequacy, de 2011, confirmée en janvier 2024). Les informations peuvent donc circuler de l’Union vers Israël sans autorisation particulière. En parallèle, le règlement sur la protection de la vie privée (dispositions relatives aux informations transférées en Israël depuis l’Espace économique européen), 5783-2023 (תקנות הגנת הפרטיות (הוראות לעניין מידע שהועבר לישראל מהאזור הכלכלי האירופי), התשפ״ג-2023), impose au responsable d’une base de données en Israël qui détient des informations provenant de l’Espace économique européen des obligations supplémentaires : suppression ou anonymisation des informations qui ne sont plus nécessaires, maintien de l’exactitude et information des personnes concernées. Une entreprise israélienne qui transmet ces informations à un pays tiers doit respecter à la fois les exigences israéliennes et le droit du pays de destination.

Questions fréquentes

La société utilise un fournisseur cloud connu. Est-ce suffisant ?

Non. Le contrat avec le fournisseur cloud doit contenir des clauses précises selon l’article 3 du règlement sur le transfert de données à l’étranger : l’engagement écrit du destinataire de prendre des mesures suffisantes pour assurer la vie privée et de ne transmettre les informations à personne, et pas seulement un DPA.

Le consentement du client suffit-il pour transférer ses informations à l’étranger ?

Pas toujours. Lorsque le transfert repose sur le consentement de la personne concernée (article 2(1)), ce consentement doit être un « consentement éclairé » (article 3 de la loi sur la protection de la vie privée), donné après que la personne a compris à qui les informations sont transférées, vers quel pays et dans quel but. Un consentement imposé comme condition pour obtenir un service qui ne dépend pas du transfert s’expose à l’argument qu’il n’est pas libre. Mieux vaut donc fonder les transferts courants sur l’engagement contractuel du destinataire.

Les informations ont fuité chez le prestataire à l’étranger. Qui est responsable ?

La responsabilité reste au responsable de la base de données en Israël. Un incident de sécurité grave doit être signalé immédiatement à l’Autorité de protection de la vie privée, qui peut ordonner d’en informer aussi les personnes concernées. Depuis l’amendement n° 13, l’Autorité peut infliger des sanctions pécuniaires, en plus des actions civiles des personnes concernées lésées.