Page du service : Commerce numérique et IA : un avocat pour les conditions générales, la vie privée et la prospection directe.
Qui doit nommer un délégué à la protection de la vie privée ?
Depuis le 14 août 2025, l’article 17B1 de la loi sur la protection de la vie privée oblige quatre catégories à nommer un délégué à la protection de la vie privée. Les deux premières sont clairement définies : un organisme public, et le responsable d’une base de données dont l’objet principal est de transmettre des informations à des tiers, comptant plus de 10 000 personnes. Les deux dernières dépendent de l’« activité principale » et de l’« échelle significative ». C’est donc là que se posent la plupart des questions douteuses.
| La catégorie | Ce que dit la loi | Exemples tirés de la loi et de la position de l’Autorité |
|---|---|---|
| 1. Organisme public | Le responsable d’une base de données qui est un organisme public, ainsi que le détenteur d’une telle base de données, à l’exception d’un organisme de sécurité (article 17B1(a)(1)) | Les ministères, les autorités locales et les organismes désignés par arrêté, comme les caisses maladie (koupat holim) et les établissements d’enseignement supérieur ; également un prestataire externe qui traite des informations pour un organisme public |
| 2. Courtier en données | Le responsable d’une base de données dont l’objet principal est de collecter des informations pour les transmettre à des tiers à titre professionnel ou contre rémunération, y compris les services de prospection directe, comptant plus de 10 000 personnes (article 17B1(a)(2)) | Selon l’Autorité, l’obligation s’applique ici au responsable de la base de données et non au détenteur d’une telle base de données, sauf s’il relève d’une autre catégorie |
| 3. Surveillance systématique | Le responsable ou le détenteur dont les activités principales comprennent un traitement qui exige une surveillance régulière et systématique de personnes, comme le suivi du comportement, de la localisation ou des actions, à une échelle significative (article 17B1(a)(3)) | La loi cite les opérateurs de téléphonie mobile et les moteurs de recherche en ligne. L’Autorité ajoute le suivi des utilisateurs d’applications et de sites, le profilage, les applications de localisation, les objets connectés portables, les appareils connectés à Internet, les bases d’images de caméras de surveillance et les fournisseurs d’accès à Internet |
| 4. Informations sensibles | Le responsable ou le détenteur dont l’activité principale comprend le traitement d’informations particulièrement sensibles à une échelle significative (article 17B1(a)(4)) | La loi cite une société bancaire, un assureur, un hôpital général et une caisse maladie |
Les « informations particulièrement sensibles » sont définies dans la loi par une liste fermée. On y trouve les informations de santé, les informations génétiques, un identifiant biométrique, le passé pénal, l’orientation sexuelle, les opinions et croyances, les données de localisation et de trafic (aux conditions prévues par la loi), et les données de salaire et d’activité financière. Selon la position de l’Autorité, l’« activité principale » désigne un traitement qui est un élément central des objectifs principaux de l’organisation. Le traitement d’informations sensibles uniquement pour employer des salariés n’oblige donc pas à nommer un délégué selon l’alinéa (4). Même dans ce cas, les autres dispositions de la loi s’appliquent à ces informations, par exemple la notification à l’Autorité d’une base de données importante contenant des informations sensibles.
« Échelle significative » : pourquoi il n’y a pas de chiffre, et comment l’évaluer
La loi ne fixe pas de chiffre. Elle énumère des critères : le nombre de personnes dont les informations sont traitées, leur proportion dans une population donnée, l’étendue des informations, leur quantité et la variété de leurs types, la durée et la fréquence du traitement, la durée de conservation et la zone géographique (article 17B1(b)). Dans son avis (guilouy daat) du 14 juillet 2026, l’Autorité a précisé qu’il n’existe pas de seuil quantitatif unique, que les critères ne sont pas cumulatifs et que d’autres critères sont possibles. Selon l’Autorité, un grand nombre de personnes suffit à lui seul. Et même lorsque le nombre n’est pas élevé, un autre critère peut faire pencher la balance.
Un point qui surprend les prestataires de services : chez un détenteur, l’échelle s’apprécie de façon cumulée, sur l’ensemble des bases de données de tous ses clients. L’exemple de l’Autorité : un détenteur qui traite des informations sensibles pour 1 000 bases de données, chacune ne contenant des informations que sur 100 personnes, traite des informations sensibles à une échelle significative. Ainsi, un éditeur de logiciel de gestion de cabinets médicaux, par exemple, doit vérifier le total, même si chacun de ses clients est petit.
Exemple hypothétique : une société exploite une application de fitness qui collecte la localisation et la fréquence cardiaque de 40 000 utilisateurs, et c’est l’essentiel de son service. L’Autorité cite les applications de localisation et les objets connectés portables qui suivent des données de santé comme exemples de surveillance régulière et systématique. La fréquence cardiaque est une information sur l’état de santé d’une personne, donc une information particulièrement sensible. Les données de localisation n’entrent dans la définition qu’aux conditions de son alinéa (9), par exemple lorsqu’elles révèlent un état de santé ou des croyances. La question de savoir si l’échelle est « significative » s’apprécie selon l’ensemble des critères, et pas seulement selon le nombre. En cas de doute, l’Autorité indique qu’il est possible de lui adresser une question précise.
Une question sur un site internet, la vie privée, les conditions d’utilisation ou l’IA dans votre entreprise ?Je vous réponds dans un délai d’un jour ouvré.
Appels et réponses en hébreu ou en anglais
Ce qui se passe après votre message
- Vous écrivez ce qui s’est passé et avec qui. Sans documents.
- Je vous recontacte dans un délai d’un jour ouvré pour un court appel de quelques minutes, en hébreu ou en anglais.
- S’il s’agit d’une affaire que je traite : après l’appel, vous recevrez par écrit ce qui sera fait et quelle est la prochaine étape. Le travail ne commence qu’après votre accord.
À la fin de l’appel, vous saurez l’une de ces trois choses : c’est une affaire que je traite, et quelle est la prochaine étape ; vous pouvez vous passer d’avocat, et quel guide vous convient ; ou ce n’est pas mon domaine, et vers qui vous tourner.
Ce que fait le délégué, et à qui il rend compte
Le délégué agit pour que l’organisation respecte la loi, et ses missions sont fixées par l’article 17B2. Il sert d’autorité professionnelle et conseille la direction et les salariés. Il prépare un programme de formation et en contrôle l’exécution. Il prépare un programme de contrôle et signale les défaillances à la direction. Il s’assure qu’il existe une procédure de sécurité des données et un document de définition de la base de données. Il s’assure du traitement des demandes des personnes dont les informations figurent dans la base de données, y compris les demandes d’accès et de rectification. Il est l’interlocuteur de l’Autorité. Les moyens de contacter le délégué sont publiés de manière accessible et simple. L’organisation doit donner au délégué les conditions et les ressources nécessaires et l’associer à toute question relevant du droit de la protection de la vie privée. Le délégué rend compte directement au directeur général, ou à un salarié qui relève directement du directeur général.
Délégué externe, conflit d’intérêts et responsable de la sécurité des données
Le délégué peut être une personne qui n’est pas salariée de l’organisation (article 17B3(b)). Selon l’Autorité, seule une personne physique peut être nommée, même lorsque le contrat passe par une société qui l’emploie. Il n’est pas expressément exigé qu’elle soit citoyenne ou résidente d’Israël, mais elle doit aussi être physiquement disponible dans l’organisation autant que nécessaire.
Le délégué n’exerce pas d’autre fonction et ne relève pas d’un dirigeant, si cela risque de le placer en situation de conflit d’intérêts (article 17B3(c)). Selon l’Autorité, le délégué ne peut pas occuper une fonction qui fixe les finalités du traitement ou décide de ses moyens. Le conflit d’intérêts existe souvent chez le directeur marketing, le responsable de la clientèle, le directeur financier et le directeur technique, et en général chez le directeur des systèmes d’information. Cumuler la fonction de délégué avec celle de responsable de la sécurité des données ou de directeur de la sécurité des systèmes d’information n’est pas interdit par la loi. Mais selon l’Autorité, ce cumul exige un examen individuel, motivé et documenté.
Les qualifications : une connaissance approfondie du droit de la protection de la vie privée, une compréhension adéquate de la technologie et de la sécurité des données, et une bonne connaissance des domaines d’activité de l’organisation (article 17B3(a)). Selon l’Autorité, une connaissance approfondie du droit israélien s’acquiert en général par une expérience pratique importante. Une formation d’au moins 40 heures organisée par l’Autorité ou sous son égide est souhaitable, mais elle n’est pas obligatoire et ne suffit pas à elle seule. La connaissance du RGPD ne remplace pas la connaissance du droit israélien.
Responsable de la sécurité des données : une obligation distincte
À côté du délégué à la protection de la vie privée existe une obligation plus ancienne : nommer un responsable de la sécurité des données (article 17B). Elle s’applique au responsable ou au détenteur de cinq bases de données soumises à enregistrement ou à notification à l’Autorité, à un organisme public, ainsi qu’à une banque, une compagnie d’assurance et une société de notation ou d’évaluation de crédit. Les deux fonctions sont différentes : l’une est chargée de la sécurité, l’autre du respect de la loi dans son ensemble.
Il vous est arrivé quelque chose de semblable ?Vous pouvez m’écrire ce qui s’est passé et avec qui, sans documents.
Appels et réponses en hébreu ou en anglais
Que se passe-t-il si l’on ne nomme pas de délégué
La loi a prévu une sanction pécuniaire pour défaut de nomination d’un délégué uniquement pour un organisme public et pour un courtier en données, c’est-à-dire pour les catégories 1 et 2 (article 23Z(d)(1)(c)). En 2026, la sanction est de 2,05 ₪ par personne dont les informations figurent dans la base de données, et de 4,09 ₪ lorsque les informations sont particulièrement sensibles. Si le montant est inférieur à 20 470 ₪ (ou 40 940 ₪ pour des informations sensibles), le directeur de l’Autorité peut imposer ce dernier montant. Par exemple, un organisme public dont la base de données contient des informations sensibles sur 100 000 personnes et qui n’a pas nommé de délégué : 100 000 × 4,09 ₪ = 409 000 ₪ selon les montants de 2026 (selon les montants de base de la loi, 400 000 ₪, comme dans l’exemple de l’Autorité).
Pour les catégories 3 et 4, la loi n’a pas prévu de sanction directe pour défaut de nomination. En revanche, un organisme tenu de nommer un délégué uniquement en raison des alinéas (3) ou (4), et qui a nommé un délégué avant de recevoir un avis d’intention d’imposer une sanction, a droit à une réduction de 10 % de la sanction pour une autre infraction. L’Autorité a annoncé son intention d’utiliser ses pouvoirs pour vérifier que la nomination remplit toutes les exigences de la loi, y compris la connaissance approfondie requise. Tous les montants et réductions : sanction pécuniaire selon l’amendement n° 13 : les montants pour 2026.
Quand faut-il s’adresser à un avocat ?
- Vous ne savez pas si votre activité principale comprend une surveillance systématique ou le traitement d’informations sensibles, ni si l’échelle est « significative » ; la loi ne donne pas de chiffre.
- Vous êtes un prestataire qui traite des informations pour de nombreux clients, et l’échelle se cumule sur l’ensemble d’entre eux.
- Vous envisagez de cumuler la fonction avec une fonction existante dans l’organisation, et il faut examiner et documenter le conflit d’intérêts.
- Vous avez reçu de l’Autorité un avis d’intention d’imposer une sanction ; vous avez 45 jours pour y répondre. Voir le guide des sanctions.
Ce que vous pouvez faire vous-même : passer en revue les quatre catégories du tableau, et vérifier avec le questionnaire du guide de l’amendement n° 13 quelles autres obligations s’appliquent à vous.
Questions fréquentes
Une petite entreprise doit-elle nommer un délégué à la protection de la vie privée ?
La taille de l’entreprise n’est pas le critère. Une entreprise y est tenue si elle est un organisme public, un courtier en données comptant plus de 10 000 personnes, ou si son activité principale implique la surveillance systématique de personnes ou le traitement d’informations sensibles à une échelle significative (article 17B1). Un magasin ou un bureau qui tient une liste de clients pour son travail, sans surveillance systématique et sans traitement d’informations sensibles comme activité principale, n’entre pas dans ces catégories du seul fait de cette liste.
Peut-on nommer un délégué externe ?
Oui. Le délégué peut être une personne qui n’est pas salariée de l’organisation (article 17B3(b)). Selon l’Autorité, il doit s’agir d’une personne déterminée, même si le contrat passe par une société, et elle doit aussi être physiquement disponible autant que nécessaire.
Le responsable de la sécurité des données peut-il être aussi le délégué à la protection de la vie privée ?
La loi ne l’interdit pas expressément. Selon l’Autorité, ce cumul exige un examen individuel et documenté. L’une des raisons : un responsable de la sécurité n’a pas nécessairement une connaissance approfondie du droit de la vie privée, et le délégué doit rendre compte directement au directeur général.
Quelle est la sanction pour défaut de nomination d’un délégué ?
Une sanction pécuniaire n’est prévue que pour un organisme public et un courtier en données : en 2026, 2,05 ₪ par personne figurant dans la base de données (4,09 ₪ pour des informations sensibles). Si le montant est inférieur à 20 470 ₪ (40 940 ₪ pour des informations sensibles), le directeur de l’Autorité peut imposer ce dernier montant. Pour les organismes tenus de nommer un délégué en raison de la surveillance ou des informations sensibles, aucune sanction directe pour défaut de nomination n’est prévue ; la nomination leur donne droit à une réduction de 10 % des autres sanctions.
Le délégué doit-il suivre une formation ?
La loi exige une connaissance approfondie du droit de la protection de la vie privée, une compréhension de la technologie et de la sécurité des données, et une bonne connaissance de l’organisation. Selon l’Autorité, une formation d’au moins 40 heures organisée par elle ou sous son égide est souhaitable, mais elle n’est pas obligatoire et ne suffit pas sans expérience ou formation complémentaire.
Nous sommes un prestataire de logiciel en nuage qui traite des informations pour des clients. Sommes-nous aussi concernés ?
C’est possible. Un prestataire qui traite des informations pour d’autres est un « détenteur », et l’obligation selon les alinéas (3) et (4) s’applique aussi au détenteur. Selon l’Autorité, l’échelle chez un détenteur s’apprécie de façon cumulée sur toutes les bases de données de tous ses clients. Un prestataire qui traite des informations pour un organisme public est tenu de nommer un délégué selon l’alinéa (1).
Il vous est arrivé quelque chose de semblable ?Vous pouvez m’écrire ce qui s’est passé et avec qui, sans documents.
Appels et réponses en hébreu ou en anglais
Depuis quand l’obligation est-elle en vigueur ?
Depuis le 14 août 2025, avec toutes les dispositions de l’amendement n° 13. L’avis définitif de l’Autorité sur la nomination a été publié le 14 juillet 2026.
Sources
- loi sur la protection de la vie privée (amendement n° 13), 5784-2024 (Sefer HaHoukim (le Journal officiel des lois) 3287, p. 1430) (en hébreu)
- loi sur la protection de la vie privée, 5741-1981 : articles 17B1, 3, 17B2, 17B3, 17B, 23Z, 23EE et cinquième annexe, 23AA–23CC (Wikisource)
- Autorité de protection de la vie privée : avis, nomination d’un délégué à la protection de la vie privée dans l’organisation selon les exigences de l’amendement n° 13 (14 juillet 2026) (en hébreu)
- Autorité de protection de la vie privée : guide de l’amendement n° 13 de la loi sur la protection de la vie privée (août 2025) (en hébreu)
- Avis de mise à jour des montants des sanctions pécuniaires selon la loi sur la protection de la vie privée, Yalkout HaPirsoumim (le Journal des avis officiels) 15000, 7 octobre 2026, p. 654 (en hébreu)
- Loi sur la protection de la vie privée : les articles examinés sur ce site
Vérifié par rapport au texte de la législation en vigueur en octobre 2026. Les informations sont générales et ne constituent pas un conseil juridique.