Page du service : Commerce numérique et IA : un avocat pour les conditions générales, la vie privée et la prospection directe.
Quel est le montant de la sanction selon l’amendement n° 13 en 2026 ?
Les montants inscrits à l’article 23Z de la loi sur la protection de la vie privée sont des montants de base. Ils sont actualisés le 1er janvier de chaque année selon l’indice des prix à la consommation, arrondis au multiple de 10 ₪ le plus proche ; pour les montants par personne, selon l’avis, on arrondit le montant final de la sanction après la multiplication. L’avis sur les montants 2026 a été publié au Yalkout HaPirsoumim (le Journal des avis officiels) le 7 octobre 2026, et il prévoit que les montants actualisés s’appliquent à partir du 1er janvier 2026. La sanction est calculée selon le montant en vigueur le jour où la demande de paiement est remise et, si vous n’avez pas présenté d’arguments dans les 45 jours, le jour de la remise de l’avis d’intention d’imposer une sanction. Celui qui lit aujourd’hui « 150 000 ₪ » lit donc le montant de base ; le montant pour 2026 est de 153 540 ₪.
La plupart des sanctions sont de trois types : un montant fixe, un montant par personne (selon le nombre de personnes sollicitées ou dont les données figurent dans la base de données, avec un plancher), et un montant selon le niveau de sécurité de la base de données pour les violations du règlement sur la sécurité des données.
Tableau des montants : ce que dit la loi et ce qui s’applique à partir du 1er janvier 2026
| La violation (article 23Z) | Dans la loi | À partir du 1er janvier 2026 |
|---|---|---|
| Traitement dans une base de données soumise à enregistrement qui n’a pas été enregistrée ; informations inexactes dans la demande ; absence de mise à jour ; absence de notification selon l’article 8A(b) ; base de données de prospection directe non enregistrée (paragraphe (a)) | 150 000 ₪ ; le double pour une base de 1 000 000 de personnes ou plus | 153 540 ₪ ; le double : 307 080 ₪ |
| Refus d’accès, absence de rectification, absence de suppression d’une base de prospection directe sur demande (paragraphe (b)) | 15 000 ₪ | 15 350 ₪ |
| Sollicitation d’une personne pour collecter des données sans l’avis prévu à l’article 11 ; sollicitation par prospection directe sans les mentions de l’article 17F(a) (paragraphe (c)) | 50 ₪ par personne sollicitée (100 ₪ pour des informations sensibles) ; plancher 30 000 ₪ | 51,18 ₪ (102,36 ₪) ; plancher 30 710 ₪ |
| Sollicitation d’un groupe indéterminé sans l’avis prévu à l’article 11 ; absence de nomination d’un responsable de la sécurité des données ; absence de nomination d’un délégué à la protection de la vie privée dans un organisme public ou chez un courtier en données ; base de prospection directe sans registre des sources (paragraphe (d)) | 2 ₪ par personne figurant dans la base (4 ₪ pour des informations sensibles) ; plancher 20 000 ₪ (40 000 ₪) | 2,05 ₪ (4,09 ₪) ; plancher 20 470 ₪ (40 940 ₪) |
| Traitement dans un but illicite ; traitement sans l’autorisation du responsable de la base de données ; non-respect d’une instruction de l’Autorité de cesser le traitement (paragraphe (e)) | 4 ₪ par personne figurant dans la base (8 ₪ pour des informations sensibles) ; plancher 200 000 ₪ | 4,09 ₪ (8,19 ₪) ; plancher 204 720 ₪ |
| Non-remise d’un document ou de données informatiques à l’inspecteur (paragraphe (g)) | 300 000 ₪ | 307 080 ₪ |
Le « plancher » signifie que si le montant calculé selon le nombre de personnes lui est inférieur, le chef de l’Autorité (ראש הרשות) a le pouvoir d’imposer le montant plancher (article 23Z(c)(2), (d)(3) et (e)(2)). Dans une multiplication par le nombre de personnes, l’arrondi porte sur le montant final après la multiplication. Selon le guide de l’Autorité, une sollicitation au moyen d’un lien sur un site Internet est un exemple de sollicitation « d’un groupe indéterminé ».
Une question sur un site internet, la vie privée, les conditions d’utilisation ou l’IA dans votre entreprise ?Je vous réponds dans un délai d’un jour ouvré.
Appels et réponses en hébreu ou en anglais
Ce qui se passe après votre message
- Vous écrivez ce qui s’est passé et avec qui. Sans documents.
- Je vous recontacte dans un délai d’un jour ouvré pour un court appel de quelques minutes, en hébreu ou en anglais.
- S’il s’agit d’une affaire que je traite : après l’appel, vous recevrez par écrit ce qui sera fait et quelle est la prochaine étape. Le travail ne commence qu’après votre accord.
À la fin de l’appel, vous saurez l’une de ces trois choses : c’est une affaire que je traite, et quelle est la prochaine étape ; vous pouvez vous passer d’avocat, et quel guide vous convient ; ou ce n’est pas mon domaine, et vers qui vous tourner.
La sanction selon le nombre de personnes : deux exemples de calcul
Exemple hypothétique 1 : une boutique en ligne. Le formulaire d’inscription du site ne contient pas l’avis exigé par l’article 11, et la base de données contient des informations sur 12 000 clients, sans informations sensibles. Le calcul selon l’article 23Z(d) et les montants 2026 : 12 000 × 2,05 ₪ = 24 600 ₪, ce qui dépasse le plancher de 20 470 ₪. Si aucune sanction n’a été imposée à la boutique pour la même disposition dans les cinq ans précédant la violation, le chef de l’Autorité réduira la sanction de 20 % ; si elle a pris, à sa satisfaction, des mesures pour éviter la répétition, une réduction supplémentaire de 20 % est possible, de manière cumulative. Après les deux réductions : 24 600 ₪ × 60 % = 14 760 ₪.
Exemple hypothétique 2 : un courtier en données sans délégué. Une société dont l’objet principal est la vente de listes, avec 30 000 personnes dans sa base de données, n’a pas nommé de délégué à la protection de la vie privée. Selon l’article 23Z(d)(1)(c) : 30 000 × 2,05 ₪ = 61 500 ₪. Si aucune sanction n’a été imposée à la société pour la même disposition dans les cinq ans précédant la violation, le chef de l’Autorité réduira la sanction de 20 %, à 49 200 ₪. Si la société est une « micro-entreprise » (chiffre d’affaires de 4 millions ₪ au plus pendant l’année précédant la violation) et qu’elle le demande, la sanction ne dépassera pas 51 180 ₪, qu’elle ait été réduite ou non ; dans cet exemple, le montant après réduction est déjà inférieur au plafond. En outre, une telle base de données est soumise à enregistrement, et son traitement sans enregistrement est une violation distincte selon l’article 23Z(a).
Violations du règlement sur la sécurité des données : selon le niveau de sécurité
Pour une violation du règlement sur la protection de la vie privée (sécurité des données) (תקנות הגנת הפרטיות (אבטחת מידע)), le montant dépend du niveau de sécurité de la base de données, tel que défini à la troisième annexe de la loi : base gérée par un particulier, niveau de base, moyen ou élevé. Pour une base de niveau élevé contenant des informations sur un million de personnes ou plus, le montant de la colonne « élevé » est doublé. Quelques exemples, aux montants 2026 :
| La violation (troisième annexe) | Particulier | De base | Moyen | Élevé |
|---|---|---|---|---|
| Pas de document de définition de la base de données, ou document non mis à jour (points 1–2) | 2 050 ₪ | 2 050 ₪ | 40 940 ₪ | 163 780 ₪ |
| Pas de contrat avec un prestataire externe sur les points prévus à l’article 15 du règlement, ou pas de contrôle de ce contrat (point 24) | — | 4 090 ₪ | 81 890 ₪ | 327 560 ₪ |
| L’Autorité n’a pas été informée immédiatement d’un incident de sécurité grave (point 21) | — | — | 81 890 ₪ | 327 560 ₪ |
| Pas d’analyse des risques ni de tests d’intrusion tous les 18 mois (points 9–10) | — | — | — | 327 560 ₪ |
Les montants du tableau sont ceux de 2026. « — » signifie qu’aucune sanction n’est fixée par l’annexe dans cette colonne. Que faire lorsqu’un incident se produit : fuite de données dans une entreprise : l’obligation de notifier l’Autorité.
Il vous est arrivé quelque chose de semblable ?Vous pouvez m’écrire ce qui s’est passé et avec qui, sans documents.
Appels et réponses en hébreu ou en anglais
Réductions : comportement, micro-entreprise et petite entreprise, et 5 % du chiffre d’affaires
Le chef de l’Autorité n’a pas le droit d’imposer un montant inférieur à celui fixé, sauf selon la cinquième annexe de la loi. Les réductions :
- 20 % si, dans les cinq ans précédant la violation, aucune sanction ni autre mesure administrative coercitive n’a été imposée pour la violation de la même disposition ; 10 % si aucune n’a été imposée dans les trois ans précédant la violation, même si une l’a été dans les cinq ans.
- 30 % si vous avez mis fin à la violation de votre propre initiative et l’avez signalée au chef de l’Autorité.
- 20 % si vous avez pris des mesures pour éviter la répétition et réduire le préjudice, à la satisfaction du chef de l’Autorité.
- 10 % pour un organisme tenu de nommer un délégué à la protection de la vie privée uniquement en raison d’une surveillance systématique ou d’informations sensibles, et qui l’a nommé avant l’avis d’intention d’imposer une sanction.
- Jusqu’à 30 % en raison d’une indemnisation payée ou accordée pour les mêmes violations ; 20 % pour un particulier en raison de circonstances personnelles.
- Le chef de l’Autorité a le pouvoir de cumuler les réductions, jusqu’à 70 % au maximum.
Plafonds pour la micro-entreprise et la petite entreprise. La « micro-entreprise » est celle dont le chiffre d’affaires pendant l’année précédant la violation n’a pas dépassé 4 millions ₪ ; la « petite entreprise », plus de 4 et jusqu’à 10 millions ₪. À leur demande, la sanction ne dépassera pas les plafonds suivants, aux montants 2026 :
| Les violations | Micro-entreprise | Petite entreprise |
|---|---|---|
| Enregistrement et notification, accès et rectification (paragraphes (a)–(b)) et une partie des obligations de sécurité des données (points 6–8, 11–14, 25–28) | 20 470 ₪ | 40 940 ₪ |
| Avis, prospection directe, absence de nomination d’un délégué, traitement illicite (paragraphes (c)–(f)) et la plupart des obligations de sécurité (points 1–5, 9–10, 15–24, 29) | 51 180 ₪ | 102 360 ₪ |
| Non-remise d’un document à l’inspecteur (paragraphe (g)) | 71 650 ₪ | 143 310 ₪ |
Lorsqu’il y a plusieurs violations, une micro-entreprise ou une petite entreprise ne paiera pas plus que le plafond le plus élevé parmi elles. Autre réduction : si la sanction, après toutes les réductions, dépasse 5 % du chiffre d’affaires, le chef de l’Autorité la réduira à 5 % du chiffre d’affaires, à votre demande. La demande de plafond ou de réduction à 5 % est déposée avec une attestation du montant du chiffre d’affaires, dans les 30 jours suivant la date de remise de l’avis d’intention d’imposer une sanction. L’attestation est délivrée par le commissaire aux comptes et, s’il n’y a pas d’obligation d’en nommer un, par un comptable agréé ou un conseiller fiscal mandataire. Elle atteste que le chiffre d’affaires correspond à ce qui a été déclaré à l’Autorité fiscale ou à la Caisse d’assurance nationale (Bitouah Léoumi).
Vous avez reçu un avis d’intention d’imposer une sanction : 45 jours
Toute sanction commence par un avis écrit d’intention d’imposer une sanction, qui précise la violation, le montant et le droit de présenter des arguments. Vous disposez de 45 jours pour contester le principe même de la sanction et son montant, par écrit ou oralement selon la décision du chef de l’Autorité, et celui-ci a le pouvoir de prolonger le délai pour des raisons particulières. Pour celui qui n’a pas présenté d’arguments dans ce délai, l’avis vaut demande de paiement. Après les arguments, le chef de l’Autorité décide s’il impose une sanction et de quel montant, et motive sa décision.
Ce qu’il faut vérifier dans les 45 jours : si la disposition violée s’applique bien à vous ; si le nombre de personnes retenu dans le calcul est exact ; à quel niveau de sécurité appartient la base de données ; à quelles réductions vous avez droit ; et si vous êtes une micro-entreprise ou une petite entreprise, sachant que l’attestation du chiffre d’affaires doit parvenir dans les 30 jours.
L’avertissement administratif à la place d’une sanction
Dans les circonstances fixées par le règlement sur la protection de la vie privée (avertissement administratif), 5786-2026 (תקנות הגנת הפרטיות (התראה מינהלית), התשפ״ו-2026), le chef de l’Autorité a le pouvoir de remettre un avertissement au lieu d’imposer une sanction. Par exemple, pour une première violation de certaines obligations de sécurité des données, comme le document de définition de la base de données pour une base gérée par un particulier ou de niveau de base, la sécurisation de la connexion à Internet et les obligations de documentation. Vous pouvez demander l’annulation d’un avertissement dans les 45 jours ; la poursuite de la violation après l’avertissement est considérée comme une violation continue. L’avertissement est une faculté de l’Autorité, et non un droit de l’auteur de la violation.
Violation continue, violation répétée, publication, paiement et appel
- Violation continue : pour celui qui continue de commettre la violation après avoir reçu une demande de paiement, un centième de la sanction s’ajoute pour chaque jour.
- Violation répétée : une violation de la même disposition dans les deux ans suivant une violation antérieure qui a donné lieu à une sanction ajoute un montant égal à la sanction.
- Publication : l’Autorité publie sur son site chaque sanction : la nature de la violation, le montant, les réductions et le nom de la société. La publication reste en ligne quatre ans pour une société et deux ans pour un particulier. Le nom d’une société n’est pas publié lorsque la violation est mineure, sauf si la publication est nécessaire pour avertir les personnes dont les données figurent dans la base.
- Paiement : dans les 45 jours suivant la demande de paiement ; en cas de retard, des intérêts et des pénalités de retard s’ajoutent.
- Appel : devant le tribunal de première instance où siège le président du tribunal de première instance, dans les 45 jours suivant l’avis. L’appel ne suspend pas le paiement, sauf si le chef de l’Autorité y a consenti ou si le tribunal l’a ordonné.
Quand faut-il s’adresser à un avocat ?
- Vous avez reçu un avis d’intention d’imposer une sanction : les 45 jours pour présenter vos arguments sont aussi le moment de vérifier le calcul et les réductions.
- Votre entreprise est peut-être une micro-entreprise ou une petite entreprise : la demande de plafond doit être déposée à temps, et l’attestation du chiffre d’affaires est délivrée par le commissaire aux comptes de l’entreprise ou, s’il n’y a pas d’obligation d’en nommer un, par son comptable agréé ou son conseiller fiscal mandataire, dans les 30 jours suivant la remise de l’avis.
- Une sanction a été imposée et vous envisagez un appel : 45 jours, devant le tribunal de première instance.
S’il n’y a pas encore d’avis, vous pouvez vérifier avec le questionnaire du guide de l’amendement n° 13 quelles obligations s’appliquent à vous, et vous mettre en conformité à l’avance.
Questions fréquentes
Quelle est l’amende pour le non-enregistrement d’une base de données ?
En 2026, 153 540 ₪ pour le traitement de données dans une base soumise à enregistrement qui n’a pas été enregistrée, et le double si la base contient des informations sur un million de personnes ou plus (article 23Z(a) ; avis du 7 octobre 2026). Depuis l’amendement n° 13, l’obligation d’enregistrement elle-même ne s’applique qu’aux courtiers en données dont la base porte sur plus de 10 000 personnes et aux bases de données des ministères, des autorités locales et d’autres organismes qui exercent des fonctions publiques en vertu de la loi.
Pourquoi le montant de 150 000 ₪ est-il écrit à de nombreux endroits ?
C’est le montant de base prévu par la loi. Les montants sont actualisés le 1er janvier selon l’indice, et l’avis sur les montants 2026 n’a été publié que le 7 octobre 2026, avec effet à partir du 1er janvier 2026.
La sanction peut-elle être réduite ?
Oui, mais uniquement selon la cinquième annexe : 20 % ou 10 % en l’absence de violations antérieures, 30 % pour avoir mis fin à la violation et l’avoir signalée de votre propre initiative, 20 % pour des mesures de prévention, etc. ; et de manière cumulative jusqu’à 70 %, selon le pouvoir d’appréciation du chef de l’Autorité. En outre, il existe des plafonds pour la micro-entreprise et la petite entreprise, et une réduction à 5 % du chiffre d’affaires.
Il vous est arrivé quelque chose de semblable ?Vous pouvez m’écrire ce qui s’est passé et avec qui, sans documents.
Appels et réponses en hébreu ou en anglais
Dans quel délai faut-il répondre à un avis d’intention d’imposer une sanction ?
45 jours, et le chef de l’Autorité a le pouvoir de prolonger ce délai pour des raisons particulières. L’attestation du chiffre d’affaires, pour demander un plafond ou une réduction à 5 %, est déposée dans les 30 jours suivant la date de remise de l’avis.
Comment faire appel d’une sanction pécuniaire de l’Autorité de protection de la vie privée ?
Par un appel devant le tribunal de première instance où siège le président du tribunal de première instance, dans les 45 jours suivant l’avis de la décision. L’appel ne suspend pas le paiement, sauf avec le consentement du chef de l’Autorité ou sur ordre du tribunal.
La sanction sera-t-elle publiée ?
Oui. L’Autorité publie sur son site la violation, le montant, les réductions et le nom de la société, pendant quatre ans (deux ans pour un particulier). Pour une violation mineure, le nom de la société n’est pas publié, sauf si la publication est nécessaire pour avertir les personnes figurant dans la base.
Les montants changeront-ils en 2027 ?
Ils sont actualisés le 1er janvier de chaque année selon le taux de variation de l’indice, et l’Autorité publie un avis aux Reshoumot et sur son site. Les montants de cette page sont ceux de 2026.
Sources
- Loi sur la protection de la vie privée, 5741-1981 — articles 23Z, 23AA–23CC, 23EE et la cinquième annexe, 23FF, 23Z(h) et la troisième annexe, 11, 17B1, 8A, 23DD, 23TT, 23GG, 23HH et 23SS (Wikisource)
- Avis de mise à jour des montants des sanctions pécuniaires selon la loi sur la protection de la vie privée, Yalkout HaPirsoumim 15000, 7 octobre 2026, p. 654 (en hébreu)
- Autorité de protection de la vie privée : guide de l’amendement n° 13 de la loi sur la protection de la vie privée (août 2025) (en hébreu)
- Règlement sur la protection de la vie privée (avertissement administratif), 5786-2026 (Kovetz HaTakanot (le Journal officiel des règlements) 12361, 16 avril 2026) (en hébreu)
- Loi sur la protection de la vie privée : les articles examinés sur ce site
Vérifié par rapport au texte de la législation en vigueur en octobre 2026. Les informations sont générales et ne constituent pas un conseil juridique.