Amendement n° 13 à la loi sur la protection de la vie privée : ce que doit faire une entreprise

Ce qui a changé le 14 août 2025

Page du service : Commerce numérique et IA : un avocat pour les conditions générales, la vie privée et la prospection directe.

L’amendement n° 13 à la loi sur la protection de la vie privée, 5741-1981, a été publié le 14 août 2024 et prévoit son entrée en vigueur un an après sa publication — soit le 14 août 2025. C’est le changement le plus important du droit israélien de la protection des données depuis des décennies, et il concerne toute entreprise qui gère une liste de clients.

Trois changements principaux : les définitions de la loi ont été mises à jour (« informations personnelles », « informations particulièrement sensibles », « responsable de la base de données », « détenteur ») ; l’obligation d’enregistrement a été fortement réduite et remplacée par une obligation de notification ; et le dispositif de contrôle et de sanction de l’Autorité de protection de la vie privée a été étendu à des sanctions pécuniaires d’un montant important, à côté de nouvelles infractions pénales et d’une extension de l’indemnisation sans preuve du préjudice.

Les obligations vérifiées par le questionnaire, dans un seul tableau :

Une collection qui contient uniquement des noms, des adresses et des coordonnées, portant sur 100 000 personnes au plus, qui ne révèle pas en elle-même d’informations supplémentaires et sans autre collection sur les mêmes personnes à côté, n’est pas une « base de données » au sens de la loi. Ce que signifie l’« échelle importante » pour le délégué à la protection de la vie privée, et pourquoi elle n’a pas de chiffre, est expliqué dans le guide Délégué à la protection de la vie privée : qui doit en nommer un.

Enregistrement d’une base de données : qui y est encore tenu, et combien cela coûte

Avant l’amendement, l’obligation d’enregistrement s’appliquait à presque toutes les bases de données de l’économie. Aujourd’hui, selon l’article 8A(a), une base de données n’est soumise à enregistrement que dans l’un des deux cas suivants :

• son objectif principal est la collecte d’informations personnelles en vue de leur transmission à autrui à titre professionnel ou contre rémunération — y compris des services de prospection directe — et elle contient des informations personnelles sur plus de 10 000 personnes ;
• le responsable de la base de données est un organisme public au sens de l’alinéa (1) de la définition de l’article 23 de la loi, sauf si la base contient uniquement des informations sur les salariés de cet organisme.

En pratique : une boutique en ligne, un cabinet, une clinique ou une société de services qui gère une base de clients pour les besoins de son activité n’est plus tenu de l’enregistrer. Le chef de l’Autorité (ראש הרשות) a même le pouvoir de dispenser d’enregistrement une base qui y est soumise, s’il est convaincu que l’enregistrement n’est pas nécessaire pour garantir le respect de la loi.

Il n’y a pas de taxe d’enregistrement : l’article 36A de la loi habilite le ministre de la Justice à fixer des taxes uniquement pour la consultation des bases de données, et ses deux autres paragraphes ont été abrogés. Ce qui est exigé d’une entreprise, c’est de respecter les obligations elles-mêmes : un document de définition de la base de données, une procédure de sécurité et un contrat avec les prestataires qui traitent les données. Dans une entreprise en ligne, tout cela se traduit finalement par deux documents que l’utilisateur voit — les conditions d’utilisation et la politique de confidentialité — et ils sont donc rédigés après la cartographie, et non avant.

Une base de données enregistrée par le passé qui n’est plus soumise à enregistrement : le chef de l’Autorité la radie du registre si le responsable de la base l’a informé qu’elle n’est plus soumise à enregistrement et a confirmé cet avis par une déclaration sous serment. La radiation du registre ne dispense pas des autres obligations, dont la notification à l’Autorité lorsque la base contient des informations particulièrement sensibles sur plus de 100 000 personnes.

La nouvelle obligation de notification : les grandes bases contenant des informations sensibles

À la place de l’enregistrement général, l’article 8A(b) a fixé une obligation ciblée : si le nombre de personnes sur lesquelles une base non soumise à enregistrement contient des informations particulièrement sensibles dépasse 100 000, le responsable de la base doit le notifier à l’Autorité dans les 30 jours. La notification comprend l’identité du responsable de la base, son adresse et ses coordonnées ; l’identité du délégué à la protection de la vie privée et ses coordonnées, si sa nomination est exigée ; et une copie du document de définition de la base de données exigé par le règlement sur la sécurité des données. Toute modification de ces informations, ainsi que la cessation de l’activité de la base, est aussi déclarée dans les 30 jours.

Les « informations particulièrement sensibles » sont définies par la loi dans une liste fermée et large : l’intimité de la vie familiale, conjugale et l’orientation sexuelle ; l’état de santé ; les informations génétiques ; un identifiant biométrique utilisé pour l’identification ; l’origine ; le passé pénal ; les opinions politiques, les croyances religieuses et les convictions ; l’évaluation de la personnalité professionnelle ; les données de localisation et de trafic ; les données de salaire et d’activité financière ; et les informations soumises à une obligation de confidentialité en vertu de la loi.

Avez-vous seulement une « base de données » ?

La définition elle-même a changé. Une « base de données » est une collection d’informations personnelles traitées par un moyen numérique, à deux exceptions près : une collection à usage personnel qui n’est pas à des fins professionnelles ; et une collection qui comprend uniquement des noms, des adresses et des coordonnées, portant sur 100 000 personnes ou moins, qui ne révèle pas en elle-même d’informations supplémentaires — à condition que le détenteur de la collection ou une société qu’il contrôle n’ait pas d’autre collection contenant d’autres informations sur les mêmes personnes.

C’est pourquoi une simple liste de diffusion de mille destinataires peut ne pas être considérée comme une base de données ; mais dès qu’y sont ajoutés un historique d’achats, des données de navigation ou une segmentation des clients, c’est une base de données à part entière. Sur un site marchand, c’est presque toujours le cas.

Politique de confidentialité : ce qu’elle doit contenir

Le noyau dur de la politique de confidentialité se trouve à l’article 11 de la loi. Toute sollicitation d’une personne pour obtenir des informations personnelles en vue de leur traitement dans une base de données doit être accompagnée d’un avis indiquant : s’il existe une obligation légale de communiquer les informations, ou si la communication dépend de la volonté et du consentement — et quelle est la conséquence d’un refus ; l’objectif pour lequel les informations sont demandées ; le nom du responsable de la base de données et ses coordonnées ; à qui les informations seront transmises et les objectifs de cette transmission ; et l’existence du droit d’accès selon l’article 13 et du droit de demander une rectification selon l’article 14.

Autour de ce noyau se construit une politique utile : quels types d’informations sont réellement collectés (y compris les données de navigation et les identifiants en ligne), la base du traitement, les prestataires et les sous-traitants, le transfert hors d’Israël, les durées de conservation et les mesures de sécurité. Deux mises en garde pratiques : une politique qui contredit la pratique est pire que l’absence de politique — c’est une preuve écrite contre le responsable de la base de données ; et un modèle copié qui promet des choses que vous ne faites pas est précisément cette contradiction.

Qu’est-ce qu’un consentement ? La position de l’Autorité de février 2026

Le 25 février 2026, l’Autorité de protection de la vie privée a publié un avis (guilouy daat) sur le consentement, qu’elle utilisera aussi pour imposer des sanctions. Selon la position de l’Autorité, en règle générale, le silence ou l’absence de protestation ne constituent pas, en eux-mêmes, un consentement valable. Une modification substantielle des conditions d’utilisation des informations sans nouveau consentement est considérée comme une utilisation sans consentement, et un consentement donné pour un objectif ne permet pas une utilisation pour un autre objectif. Lorsqu’un contrat demande un consentement à la collecte d’informations qui ne sont pas nécessaires au service, ou à une utilisation pour un objectif substantiellement différent, l’Autorité recommande un consentement actif distinct, et non une case précochée. Pour la création d’un profil qui n’est pas nécessaire au service, entre des parties présentant un déséquilibre de pouvoir, et pour les services de prospection directe, il ne suffit pas, selon elle, d’un consentement passif. Dans un formulaire, la méthode que l’Autorité recommande est une case distincte, non cochée à l’avance, pour chaque utilisation qui n’est pas nécessaire au service lui-même ; pour la création d’un tel profil et pour les services de prospection directe, c’est selon elle une exigence et non une recommandation. Voir aussi le consentement aux cookies sur un site.

La protection de la vie privée sur les sites marchands : les points spécifiques

Un site marchand collecte des informations par trois canaux en parallèle : ce que le client communique dans un formulaire, ce qui est collecté automatiquement lors de la navigation, et ce qui provient d’outils tiers. Chacun a ses propres règles :

• L’avis lors de la collecte — le formulaire d’inscription et la page de paiement sont la « sollicitation » dont parle l’article 11. Un lien vers la politique de confidentialité à proximité des champs, et pas seulement dans le pied de page.
• Suivi et cookies — la collecte de données de navigation et d’identifiants en ligne est une collecte d’informations personnelles lorsqu’elle peut être rattachée à une personne identifiable. Ce qu’exige réellement le consentement aux cookies.
• Prospection directe — une sollicitation personnelle fondée sur l’appartenance à un groupe de population défini selon une caractérisation. La loi donne à toute personne le droit d’exiger que les informations la concernant soient supprimées d’une base utilisée pour la prospection directe, et qu’elles ne soient pas transmises à des tiers ; ne pas donner suite à une telle demande est une violation passible d’une sanction pécuniaire. Le détail des règles de la prospection directe.
• Prestataires — tout prestataire qui traite des informations pour vous est un « détenteur », et la relation avec lui exige un contrat détaillé selon l’article 15 du règlement sur la sécurité des données. Ce que doit contenir un tel contrat.
• Conservation et suppression — des durées de conservation définies à l’avance sont à la fois une protection juridique et une réduction du préjudice en cas d’incident de sécurité.

Délégué à la protection de la vie privée : qui doit en nommer un

L’article 17B1 oblige à nommer un délégué à la protection de la vie privée dans quatre groupes : un organisme public (et aussi celui qui traite des informations pour lui) ; le responsable d’une base dont l’objectif principal est la transmission d’informations à des tiers, avec plus de 10 000 personnes ; celui dont les activités principales impliquent une surveillance continue et systématique de personnes à une échelle importante ; et celui dont l’activité principale comprend le traitement d’informations particulièrement sensibles à une échelle importante, comme une banque, un assureur, un hôpital ou une caisse maladie. Selon l’avis de l’Autorité du 14 juillet 2026, l’« échelle importante » n’a pas de seuil chiffré : elle s’apprécie selon le nombre de personnes, le volume des informations, leurs types, la durée du traitement et d’autres considérations. Le délégué rend compte directement au directeur général ou à une personne qui lui est directement subordonnée, et il peut aussi être une personne qui n’est pas salariée de l’organisme. La nomination d’un responsable de la sécurité des données selon l’article 17B est une obligation distincte. Le détail, y compris le délégué externe et le conflit d’intérêts : Délégué à la protection de la vie privée : qui doit en nommer un.

Obligations et délais après l’amendement n° 13 : tableau récapitulatif

Exemple hypothétique : au 1er octobre 2026, une boutique en ligne détient une base de 12 000 clients : nom, adresse de livraison, téléphone, courriel et centres d’intérêt cochés par les clients, sans informations particulièrement sensibles. Elle l’utilise uniquement pour gérer les commandes et pour s’adresser à ses clients. La base de données n’est pas soumise à enregistrement, car son objectif principal n’est pas la transmission d’informations à autrui (article 8A(a)), et il n’y a pas d’obligation de notification à l’Autorité (article 8A(b)). Restent applicables l’avis dans chaque formulaire (article 11), les obligations du règlement sur la sécurité des données, et un contrat avec la société de livraison qui obtient l’accès aux adresses (article 15 du règlement). Si la vente de la liste de clients à des tiers devenait l’objectif principal de la base de données, celle-ci serait soumise à enregistrement, et il serait obligatoire de nommer un délégué à la protection de la vie privée (articles 8A(a)(1)(a) et 17B1(a)(2)).

Ce qu’il faut conserver

• Le texte de l’avis selon l’article 11 affiché dans chaque formulaire, et depuis quelle date il est utilisé.
• Le document de définition de la base de données et la documentation de son examen annuel (article 2 du règlement).
• La procédure de sécurité (article 4 du règlement).
• La documentation de chaque incident de sécurité (article 11(a) du règlement).
• Les contrats avec les prestataires qui obtiennent un accès à la base (article 15 du règlement).
• Les demandes d’accès et de rectification, et quand et comment il y a été répondu (articles 13–14).

Sécurité des données : ce que la loi exige en pratique

Le règlement sur la protection de la vie privée (sécurité des données), 5777-2017, classe les bases de données par niveaux de sécurité — de base, moyen et élevé, avec à côté une voie allégée pour une base gérée par un particulier — et fixe des obligations pour chaque niveau. Le socle commun : le document de définition de la base de données (article 2), la procédure de sécurité (article 4), la cartographie des systèmes et l’analyse des risques (article 5), la gestion des autorisations, l’identification et l’authentification, le contrôle et la journalisation des accès, la gestion sécurisée des systèmes, la sécurité des communications, les audits périodiques et la sauvegarde.

L’article 11 du règlement exige de documenter tout incident qui fait craindre une atteinte à l’intégrité des données ou une utilisation non autorisée et, en cas d’incident de sécurité grave, une notification immédiate à l’Autorité et un compte rendu des mesures prises ; l’Autorité peut même ordonner d’informer les personnes concernées susceptibles d’être lésées. Il existe un lien direct entre les exigences du règlement et le document de politique de confidentialité : ce que vous avez déclaré à l’extérieur doit être appuyé par une procédure interne.

Contrôle et sanctions : les sanctions pécuniaires 2026, l’indemnisation et les actions en justice

Les montants inscrits dans la loi sont des montants de base, actualisés le 1er janvier de chaque année selon l’indice des prix à la consommation. L’avis sur les montants 2026 a été publié aux Reshoumot (le Journal officiel) le 7 octobre 2026, et ses montants s’appliquent à partir du 1er janvier 2026. Par exemple, la sanction pour le traitement d’informations dans une base soumise à enregistrement qui n’a pas été enregistrée, ou pour l’absence de notification selon l’article 8A(b), est de 153 540 ₪ en 2026 (dans la loi : 150 000 ₪), et le double si la base de données contient des informations sur un million de personnes ou plus. Une autre sanction est calculée selon le nombre de personnes figurant dans la base : pour un traitement d’informations dans un but illicite, 4,09 ₪ par personne (8,19 ₪ pour des informations particulièrement sensibles), et si le montant calculé est inférieur à 204 720 ₪, le chef de l’Autorité a le pouvoir d’imposer 204 720 ₪. Des plafonds existent pour la micro-entreprise (עסק זעיר) et la petite entreprise, et toute sanction commence par un avis d’intention d’imposer une sanction et 45 jours pour le contester. Le tableau complet et les réductions : Sanction pécuniaire selon l’amendement n° 13 : les montants 2026.

Sur le plan civil : l’article 15A permet au tribunal d’accorder des dommages-intérêts exemplaires jusqu’à 10 000 ₪ pour des violations déterminées — dont une sollicitation pour obtenir des informations personnelles sans l’avis exigé par l’article 11 (après que la personne a présenté une demande et que 30 jours se sont écoulés), le non-enregistrement d’une base soumise à enregistrement (après une demande et 90 jours), le refus du droit d’accès et l’absence de rectification des informations. En parallèle, l’article 29A permet une indemnisation sans preuve du préjudice pour le délit d’atteinte à la vie privée. Le montant inscrit dans la loi est de 50 000 ₪, et l’article 29A(d) l’indexe : le plafond en vigueur selon la mise à jour du 16 octobre 2026 est donc de 72 221,22 ₪, et le double, 144 442,44 ₪, lorsqu’il est prouvé que l’atteinte a été commise avec l’intention de nuire. La prescription abrégée de deux ans pour les actions fondées sur la loi a été abrogée, et la prescription générale s’applique à un fondement né après l’entrée en vigueur de l’amendement.

L’avertissement administratif : quand l’Autorité peut se contenter d’un avertissement

Au lieu d’une sanction, le chef de l’Autorité a le pouvoir de remettre un avertissement administratif dans les circonstances fixées par le ministre de la Justice. Ces circonstances ont été fixées par le règlement sur la protection de la vie privée (avertissement administratif), 5786-2026 (תקנות הגנת הפרטיות (התראה מינהלית), התשפ״ו-2026), publié le 16 avril 2026. Notamment : la violation d’une disposition entrée en vigueur le jour de l’entrée en vigueur du règlement ou après, pendant ses trois premiers mois, et une première violation de certaines obligations de sécurité des données, comme l’établissement et la mise à jour du document de définition de la base de données pour une base gérée par un particulier ou de niveau de sécurité de base, la sécurisation de la connexion à Internet et les obligations de documentation. Celui qui a reçu un avertissement peut en demander l’annulation dans les 45 jours, s’il n’a pas commis la violation ou si l’acte n’est pas une violation. L’avertissement n’efface pas la violation : sa poursuite après l’avertissement est considérée comme une violation continue.

Questions fréquentes

Faut-il encore enregistrer une base de données ?

Dans la plupart des cas, non. Après l’amendement n° 13, l’obligation d’enregistrement ne s’applique qu’à une base dont l’objectif principal est la collecte d’informations en vue de leur transmission à autrui à titre professionnel ou contre rémunération et qui contient des informations sur plus de 10 000 personnes, et à la base d’un organisme public — sauf une base qui contient uniquement des informations sur ses salariés.

Combien coûte l’enregistrement d’une base de données ?

Il n’y a pas de taxe d’enregistrement. L’article 36A de la loi permet aujourd’hui de fixer des taxes uniquement pour la consultation des bases de données. Le coût pertinent est celui du respect des obligations de fond — document de définition de la base de données, procédure de sécurité, analyse des risques et encadrement contractuel avec les prestataires.

Que doit contenir la politique de confidentialité d’un site marchand ?

Au minimum, les mentions de l’article 11 : si la communication est obligatoire ou volontaire et la conséquence d’un refus, l’objectif de la collecte, le nom du responsable de la base et ses coordonnées, à qui les informations seront transmises et dans quels buts, et les droits d’accès et de rectification. Au-delà : les types d’informations réellement collectés, les prestataires et les sous-traitants, le transfert à l’étranger, les durées de conservation et les mesures de sécurité.

Quand faut-il nommer un délégué à la protection de la vie privée ?

Selon l’article 17B1 : dans un organisme public ; chez le responsable d’une base dont l’objectif est la transmission d’informations à autrui à titre professionnel, contenant des informations sur plus de 10 000 personnes ; et chez le responsable ou le détenteur dont les activités principales impliquent une surveillance continue et systématique de personnes à une échelle importante ou le traitement d’informations particulièrement sensibles à une échelle importante.

Quelle est la sanction pour la collecte d’informations sans l’avis exigé par l’article 11 ?

En 2026 : 51,18 ₪ par personne sollicitée sans l’avis (102,36 ₪ pour des informations particulièrement sensibles), et si le montant est inférieur à 30 710 ₪, le chef de l’Autorité a le pouvoir d’imposer 30 710 ₪ (article 23Z(c) ; avis du 7 octobre 2026). Lorsque la sollicitation s’adressait à un groupe indéterminé, par exemple par un lien vers un formulaire sur un site, la sanction est de 2,05 ₪ par personne figurant dans la base (4,09 ₪ pour des informations sensibles) ; si le montant est inférieur à 20 470 ₪ (40 940 ₪ pour des informations sensibles), le chef de l’Autorité a le pouvoir d’imposer ce montant (article 23Z(d)). Ce sont les montants 2026 ; les montants de base prévus par la loi sont actualisés le 1er janvier de chaque année (article 23FF(b)). Sur le plan civil, si la personne a demandé à recevoir l’avis et que 30 jours se sont écoulés, le tribunal peut accorder des dommages-intérêts exemplaires jusqu’à 10 000 ₪ (article 15A(a)(2)).

Notre base de données a été enregistrée avant l’amendement n° 13 et n’est plus soumise à enregistrement. Comment la radier ?

Le responsable de la base informe le chef de l’Autorité que la base de données n’est plus soumise à enregistrement et confirme cet avis par une déclaration sous serment, et le chef de l’Autorité radie l’enregistrement (article 10(b3)). La radiation ne dispense pas de l’obligation de notification selon l’article 8A(b), si la base contient des informations particulièrement sensibles sur plus de 100 000 personnes.

Quelle est l’amende pour l’absence de nomination d’un délégué à la protection de la vie privée ?

La loi n’a prévu de sanction pour l’absence de nomination que pour un organisme public et un courtier en données (article 23Z(d)(1)(c)) : en 2026, 2,05 ₪ par personne figurant dans la base (4,09 ₪ pour des informations sensibles) ; si le montant est inférieur à 20 470 ₪ (40 940 ₪ pour des informations sensibles), le chef de l’Autorité a le pouvoir d’imposer ce montant. Un organisme tenu de nommer un délégué en raison d’une surveillance systématique ou d’informations sensibles à une échelle importante, et qui a nommé un délégué avant l’avis d’intention d’imposer une sanction, a droit à une réduction de 10 % sur une sanction pour d’autres violations.

Deux ans se sont écoulés depuis l’atteinte à la vie privée. Peut-on encore agir ?

Cela dépend de la date de l’atteinte. L’amendement n° 13 a abrogé la prescription abrégée de deux ans, et la prescription générale, de sept ans, s’applique à un fondement né à partir du 14 août 2025. Selon le guide de l’Autorité, l’abrogation ne s’applique pas à un fondement né auparavant. Pour une atteinte antérieure au 14 août 2025, le délai de deux ans peut donc encore s’appliquer ; il vaut mieux vérifier la date au plus tôt.

Nous avons reçu un avertissement administratif de l’Autorité de protection de la vie privée. Qu’est-ce que cela signifie ?

L’avertissement administratif est remis au lieu d’une sanction, dans les circonstances fixées par le règlement d’avril 2026. Vous pouvez demander au chef de l’Autorité de l’annuler dans les 45 jours, si la violation n’a pas été commise ou si l’acte n’est pas une violation ; la poursuite de la violation après l’avertissement est considérée comme une violation continue.