RGPD pour une société israélienne : quand il s’applique et quelle amende

Page du service : Commerce numérique et IA : un avocat pour les conditions générales, la vie privée et la prospection directe.

Le RGPD vous concerne-t-il — même si la société n’est qu’en Israël ?

Vous avez des utilisateurs en Allemagne ? Des clients en France ? Des abonnés à votre newsletter en Italie ? Le RGPD s’applique à une société qui n’est pas établie dans l’Union lorsqu’elle offre des biens ou des services à des personnes qui se trouvent dans l’Union — contre paiement ou gratuitement — ou qu’elle y suit leur comportement (article 3(2)). Le critère n’est ni la nationalité ni le lieu d’immatriculation de la société, mais le lieu où se trouvent les personnes et le lien de l’activité avec elles. La seule accessibilité du site depuis l’Europe ne suffit pas (considérant 23).

Ce n’est pas de la théorie. Pour la violation des principes du traitement, des conditions du consentement et des droits des personnes concernées, l’amende peut atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (article 83(5)). La tenue du registre des activités de traitement (ROPA) est obligatoire selon l’article 30. Une dispense existe pour les organisations de moins de 250 salariés, mais elle ne s’applique pas lorsque le traitement n’est pas occasionnel, comporte un risque ou porte sur des catégories particulières de données.

Le RGPD — l’essentiel du règlement européen

Le RGPD (règlement général sur la protection des données, en anglais General Data Protection Regulation ou GDPR) est la loi de l’Union européenne sur la protection des données personnelles. Il s’applique depuis le 25 mai 2018 (article 99). C’est l’une des lois les plus strictes au monde en matière de protection des données, et il change la façon dont les sociétés du monde entier traitent les données personnelles.

L’essentiel du RGPD :

• Base légale du traitement : les sociétés ne peuvent traiter des données que si elles disposent d’une base juridique (consentement, contrat, obligation légale, etc. — article 6(1)). On ne peut pas traiter des données simplement parce que c’est « agréable » ou « utile ».
• Consentement : le consentement n’est que l’une des six bases légales (article 6(1)). Lorsqu’on s’appuie sur lui, il doit être libre, spécifique, éclairé et univoque, donné par une déclaration ou par un acte positif clair (article 4(11)). Le silence ou une case cochée par défaut ne valent pas consentement (considérant 32). Un consentement « explicite » est exigé dans des cas particuliers, comme le traitement de données sensibles (article 9(2)(a)).
• Droits des personnes concernées : les personnes ont un droit d’accès, de rectification, d’effacement, de limitation du traitement, de portabilité des données et d’opposition (articles 15–21).
• Analyse d’impact relative à la protection des données : lorsque le traitement — en particulier avec de nouvelles technologies — est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes, une analyse d’impact relative à la protection des données doit être effectuée avant qu’il ne commence (article 35).
• Délégué à la protection des données : l’obligation de désigner un délégué à la protection des données (DPO — Data Protection Officer) s’applique à une autorité publique, et à un organisme dont les activités de base comprennent un suivi régulier et systématique des personnes à grande échelle, ou un traitement à grande échelle de catégories particulières de données — par exemple des données de santé — ou de données relatives aux condamnations (article 37(1)).
• Notification des violations : notification à l’autorité de contrôle sans retard injustifié et, si possible, dans les 72 heures après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque (article 33). Communication aux personnes concernées sans retard injustifié, lorsque la violation est susceptible d’engendrer un risque élevé pour elles (article 34).
• Amendes : pour la violation des principes du traitement, des conditions du consentement, des droits des personnes concernées et des règles de transfert — jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (article 83(5)). Pour d’autres violations, comme les obligations de sécurité et de documentation — jusqu’à 10 millions d’euros ou 2 % (article 83(4)).

Le RGPD est un outil puissant en faveur du droit à la vie privée, et il a créé une nouvelle norme mondiale de protection des données.

Israël : la loi sur la protection de la vie privée, 5741-1981, et le règlement sur la sécurité des données

En Israël, la protection de la vie privée est régie par la loi sur la protection de la vie privée, 5741-1981 (חוק הגנת הפרטיות, התשמ״א-1981), et par des lois et règlements connexes. Elle n’est pas aussi stricte que le RGPD, mais elle impose tout de même des obligations importantes aux sociétés.

• Loi sur la protection de la vie privée, 5741-1981 : les informations d’une base de données ne peuvent être traitées que pour la finalité qui lui a été légalement fixée (article 8(b)). Celui qui collecte des informations personnelles pour les traiter dans une base de données doit indiquer à la personne si la communication est obligatoire ou dépend de son consentement, quelle est la finalité de la collecte et à qui les informations seront transmises. Depuis l’amendement n° 13, cette information comprend aussi la conséquence d’un refus, le nom du responsable de la base de données et les moyens de le contacter, ainsi que l’existence du droit d’accès et du droit de rectification (article 11).
• Règlement sur la sécurité des données : le règlement sur la protection de la vie privée (sécurité des données), 5777-2017 (תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017), s’applique à toute base de données, avec un niveau de sécurité de base, moyen ou élevé selon le type d’informations, le nombre de personnes et le nombre de personnes autorisées. Celui qui détient des informations transférées depuis l’Espace économique européen est aussi soumis au règlement de 2023 : obligations d’effacement, d’exactitude et d’information.
• Délégué à la protection de la vie privée : depuis l’amendement n° 13 (en vigueur depuis le 14 août 2025), un délégué à la protection de la vie privée doit être désigné dans un organisme public, chez un courtier en données dont la base contient des informations sur plus de 10 000 personnes, et dans un organisme dont l’activité principale comprend un suivi systématique à une échelle importante ou un traitement à une échelle importante d’informations particulièrement sensibles (article 17B1) — comme le DPO dans le RGPD.

Et quelle est la sanction en Israël ? Depuis l’amendement n° 13, le directeur de l’Autorité de protection de la vie privée peut imposer des sanctions pécuniaires, dont certaines sont calculées selon le nombre de personnes figurant dans la base de données. Par exemple, pour le traitement d’informations personnelles pour une finalité illicite : 4 ₪ par personne sur laquelle la base contient des informations (8 ₪ pour des informations particulièrement sensibles). Si le montant calculé est inférieur à 200 000 ₪, le directeur de l’Autorité peut imposer 200 000 ₪ (article 23Z(e)). Pour le traitement dans une base de données soumise à enregistrement et non enregistrée : 150 000 ₪, et le double pour une base de 1 000 000 personnes ou plus (article 23Z(a)). Ce sont les montants de base de la loi. Selon l’article 23FF(b), ils sont actualisés le 1er janvier de chaque année. En 2026, ils sont de 4,09 ₪ (8,19 ₪), 204 720 ₪ et 153 540 ₪ (avis d’actualisation des montants des sanctions pécuniaires, Yalkout HaPirsoumim (le Journal des avis officiels) 15000, 7 octobre 2026 (en hébreu)). En outre, pour certaines violations, comme le refus de permettre l’accès aux informations, le tribunal peut accorder des dommages-intérêts exemplaires d’un montant maximal de 10 000 ₪, sans qu’il soit nécessaire de prouver un préjudice (article 15A).

Quand exactement une société israélienne doit-elle respecter le RGPD ?

La réponse est plus simple qu’on ne le pense — le RGPD s’applique dans trois situations :

• Champ d’application : le RGPD s’applique au traitement effectué dans le cadre des activités d’un établissement de la société dans l’Union, quel que soit le lieu du traitement (article 3(1)). Il s’applique aussi à une société qui n’est pas établie dans l’Union, lorsque le traitement est lié à l’offre de biens ou de services à des personnes qui se trouvent dans l’Union ou au suivi de leur comportement dans l’Union (article 3(2)).
• Ciblage des personnes dans l’Union : l’offre de biens ou de services s’apprécie selon l’intention de s’adresser à des personnes dans l’Union — par exemple la langue ou la monnaie d’un pays européen, ou la mention de clients qui s’y trouvent. L’accessibilité du site depuis l’Europe, ou l’utilisation de l’hébreu, la langue courante en Israël, ne suffisent pas à elles seules (considérant 23).
• Offre de services ou de biens : si vous offrez des services ou des produits à des personnes dans l’Union — même gratuitement — le RGPD s’applique (article 3(2)(a)). Il en va de même lorsque vous suivez leur comportement dans l’Union, par exemple par un suivi et un profilage sur internet (article 3(2)(b), considérant 24).

Cas pratique : une start-up israélienne qui a créé une application et la vend sur le marché européen devra respecter le RGPD pour le traitement des données des utilisateurs dans l’Union (article 3(2)(a)). En règle générale, elle devra aussi désigner un représentant dans l’Union (article 27) — même si la plupart de ses clients sont en Israël.

7 étapes vers la conformité au RGPD — commencez ici

Voici ce qu’il faut régler, par ordre de priorité :

• Une politique de confidentialité claire : rédigez une politique de confidentialité qui explique en détail quelles données vous collectez, pourquoi, et comment vous les utilisez.
• Gestion du consentement : vérifiez que vous obtenez des utilisateurs un consentement clair et actif. N’utilisez pas de paramètres par défaut qui consentent à l’avance, et n’écrivez pas de conditions trompeuses.
• Minimisation des données : ne collectez que les données nécessaires à des finalités explicites. Ne collectez pas « simplement parce que c’est intéressant ».
• Gestion des prestataires : si vous faites appel à des sous-traitants (fournisseurs de cloud, plateformes publicitaires, etc.), assurez-vous d’avoir avec eux un contrat de traitement écrit (article 28(3)).
• Sécurité des données : prenez des mesures techniques et organisationnelles pour garder les données en sécurité — chiffrement, accès restreint, surveillance périodique.
• Plan de réponse aux violations : préparez un plan sur ce qu’il faut faire en cas de violation de données. Ce que vous ferez, qui vous informerez, et comment vous le ferez dans les 72 heures.
• Audits réguliers : vérifiez périodiquement votre politique de confidentialité. Comment traitez-vous réellement les données ? Cela change de temps en temps.

La protection de la vie privée n’est pas seulement une obligation juridique — c’est aussi une question de confiance. Les sociétés qui traitent les données avec transparence et responsabilité se construisent une meilleure réputation auprès des investisseurs, des clients et des autorités de régulation. Celles qui négligent la vie privée en paient le prix, souvent plus cher qu’elles ne le pensaient.

Questions fréquentes

Une société israélienne soumise au RGPD doit-elle désigner un représentant dans l’Union ?

En règle générale, oui. Une start-up israélienne qui a créé une application et la vend sur le marché européen devra respecter le RGPD pour le traitement des données des utilisateurs dans l’Union (article 3(2)(a)). En règle générale, elle devra aussi désigner un représentant dans l’Union (article 27) — même si la plupart de ses clients sont en Israël.

Une case cochée par défaut vaut-elle consentement selon le RGPD ?

Non. Lorsqu’on s’appuie sur le consentement, il doit être libre, spécifique, éclairé et univoque, donné par une déclaration ou par un acte positif clair (article 4(11)). Le silence ou une case cochée par défaut ne valent pas consentement (considérant 32). Le consentement n’est que l’une des six bases légales du traitement (article 6(1)).

Quand faut-il désigner un délégué à la protection de la vie privée en Israël ?

Depuis l’amendement n° 13 (en vigueur depuis le 14 août 2025), un délégué à la protection de la vie privée doit être désigné dans un organisme public, chez un courtier en données dont la base contient des informations sur plus de 10 000 personnes, et dans un organisme dont l’activité principale comprend un suivi systématique à une échelle importante ou un traitement à une échelle importante d’informations particulièrement sensibles (article 17B1 de la loi sur la protection de la vie privée).