Commerce électronique et IA : un avocat pour les conditions générales, la vie privée et la prospection directe

Conditions d’utilisation et politique de confidentialité : c’est la manière habituelle de remplir les obligations d’information. Avant l’achat, il faut indiquer qui exploite le site, quel est le prix, quand et comment la livraison se fait, quelle est la garantie et comment annuler (article 14C(a)). Au plus tard à la livraison, il faut remettre un document d’information écrit (article 14C(b)). Et pour toute collecte de données personnelles, il faut indiquer la finalité de la collecte et à qui les données seront transmises (article 11 de la loi sur la protection de la vie privée). Il est utile que ces informations soient accessibles avant l’achat, et non au bout d’une longue navigation. La liste complète, avec l’article dont découle chaque exigence : ce que doivent contenir les conditions générales d’une boutique en ligne.

Prix TVA comprise : dans la vente à distance, il faut indiquer à l’avance le prix total, y compris les frais de transport et tout autre supplément à la charge du consommateur (articles 14C(a)(3) et 14C(f)).

Droit d’annulation de 14 jours : dans une vente à distance (internet, téléphone), le consommateur peut annuler dans les 14 jours sans motif. Le délai court à compter de la réception du produit ou du document récapitulant la transaction, la date la plus tardive étant retenue. Pour une personne âgée, une personne handicapée ou un nouvel immigrant, le délai est de 4 mois lorsque la transaction a comporté une conversation (article 14C1).

Garantie du produit : un produit acheté en ligne est soumis aux mêmes obligations qu’un produit acheté en magasin : les obligations de conformité selon la loi sur la vente, 5728-1968 (חוק המכר, התשכ״ח-1968), et l’obligation de garantie selon le règlement sur la protection du consommateur (garantie et service après-vente), 5766-2006 (תקנות הגנת הצרכן (אחריות ושירות לאחר מכירה), התשס״ו-2006). En cas de défaut, le consommateur peut annuler la vente à distance sans que des frais d’annulation lui soient facturés (article 14E(a)).

Sécurité des paiements : si vous recevez directement les données de cartes de crédit, les sociétés de cartes exigent le respect de la norme PCI DSS (une exigence contractuelle, pas législative). S’y ajoute le règlement sur la protection de la vie privée (sécurité des données). Une alternative : travailler avec un prestataire de paiement agréé (PayPal, Stripe, Tranzila) qui s’en charge pour vous.

Le professionnel rembourse l’argent dans les 14 jours suivant la réception de l’avis d’annulation. Il peut déduire des frais d’annulation de 5 % au plus ou de 100 ₪, le montant le plus bas étant retenu, sauf si l’annulation résulte d’un défaut ou d’un manquement (article 14E).

Le droit d’annuler, les délais et ce qu’il est permis de facturer : dans le guide Annulation d’une transaction : 14 jours, et ce qu’il est permis de facturer.

Israël n’a pas encore adopté de loi spécifique sur l’IA, comme l’a fait l’Union européenne. Mais « pas de loi sur l’IA » ne veut pas dire « pas de responsabilité ». Le tribunal appliquera le droit de la responsabilité civile, le droit des contrats et la loi sur la protection de la vie privée — à l’IA comme à toute autre chose.

IA et responsabilité pour un dommage : si votre système d’IA a pris une décision qui a causé un dommage à une personne, vous, en tant qu’exploitant, risquez d’en être responsable selon le droit de la responsabilité civile et des contrats — et pas seulement le développeur qui vous a vendu le système. Protection : documenter les décisions, faire des contrôles réguliers et prévoir un mécanisme d’appel examiné par un humain.

IA et entraînement sur les données d’autrui : utiliser des images, des textes ou de la musique pour entraîner une IA risque de constituer une atteinte au droit d’auteur. La voie sûre : des données avec une licence expresse d’usage commercial, ou des données que vous avez produites vous-même.

IA et discrimination : un système qui décide de prêts, d’assurances ou d’embauches ne doit pas être biaisé sur la base de la race, de la religion, du sexe ou de l’origine. Même si le « biais » vient d’un modèle et non d’une intention explicite, la responsabilité est la vôtre.

Contrat avec un fournisseur d’IA : il n’existe pas en Israël de loi propre aux contrats d’intelligence artificielle : c’est donc le contrat lui-même qui détermine qui supporte le risque. Six clauses en sont le cœur : la définition du système, la propriété des données et du modèle, la limitation de responsabilité, les garanties de performance, la confidentialité et la vie privée, et la suppression des données à la fin. Le détail : contrat avec un fournisseur d’IA : les 6 clauses à ne pas oublier.

La propriété des résultats de l’IA : la loi sur le droit d’auteur, 5768-2007 (חוק זכות יוצרים, התשס״ח-2007), ne définit pas l’« auteur », et la question de savoir si un résultat produit sans contribution créative humaine est protégé n’est pas encore tranchée. Pour en savoir plus sur la propriété, l’entraînement sur des contenus protégés et la vie privée : IA générative : propriété, responsabilité et vie privée dans l’entreprise.

En Israël, la loi sur la protection de la vie privée (5741-1981) et les règlements pris en application s’appliquent à toute entreprise qui collecte des données de clients israéliens — même si l’entreprise est immatriculée à l’étranger.

Ce que la loi exige des entreprises :

Enregistrement d’une base de données : seulement dans des cas limités. L’amendement n° 13 à la loi sur la protection de la vie privée est entré en vigueur le 14 août 2025 et a considérablement réduit l’obligation d’enregistrement. Selon l’article 8A(a)(1) de la loi, seules deux bases de données doivent être enregistrées. La première est une base dont le but principal est de collecter des données personnelles pour les transmettre à autrui à titre professionnel ou contre rémunération (y compris les services de prospection directe), et qui contient des informations sur plus de 10 000 personnes. La seconde est une base dont le responsable est un organisme public. La plupart des bases de données du secteur privé ne sont plus soumises à l’enregistrement — mais cela ne veut pas dire qu’il n’y a pas d’obligations.

Ce qui s’applique bien à vous aujourd’hui : l’obligation de notifier l’Autorité de protection de la vie privée selon l’article 8A(b), pour une base de données qui contient des informations particulièrement sensibles sur plus de 100 000 personnes (dans les 30 jours). L’obligation de nommer un délégué à la protection de la vie privée selon l’article 17B1, qui s’applique notamment à celui dont l’activité principale exige une surveillance régulière et systématique de personnes à grande échelle, ou le traitement de données sensibles à grande échelle. L’obligation d’information élargie selon l’article 11 : à chaque demande de données, il faut indiquer le nom du responsable de la base de données et ses coordonnées, la finalité de la collecte, les destinataires des transferts, et l’existence du droit d’accès (article 13) et du droit de rectification (article 14). Enfin, le règlement sur la protection de la vie privée (sécurité des données), 5777-2017, qui reste pleinement en vigueur.

Ce que coûte un manquement : le chapitre D3 de la loi permet à l’Autorité de protection de la vie privée d’imposer des sanctions pécuniaires selon l’article 23Z. Pour un manquement à l’obligation d’enregistrement ou de notification, c’est 150 000 ₪, et le double de ce montant lorsque la base de données contient des informations sur un million de personnes ou plus. C’est un montant de base : selon l’article 23FF(b), il est mis à jour le 1er janvier de chaque année, et en 2026 il est de 153 540 ₪ (avis de mise à jour des montants des sanctions pécuniaires, Yalkout HaPirsoumim (le Journal des avis officiels) 15000, 7 octobre 2026 (en hébreu)). Pour un traitement illicite de données, c’est un montant par personne figurant dans la base (en 2026 : 4,09 ₪, et 8,19 ₪ pour des informations particulièrement sensibles), qui peut atteindre des millions de shekels. Pour un manquement au règlement sur la sécurité des données, c’est un montant qui dépend du niveau de sécurité de la base de données (troisième annexe de la loi).

Un consentement clair à la prospection : il est interdit d’envoyer une newsletter à une personne qui n’a pas expressément donné son accord. La loi anti-spam (la loi sur les communications (télécommunications et radiodiffusion), 5742-1982 (חוק התקשורת (בזק ושידורים), התשמ״ב-1982)) exige une « possibilité de désinscription » dans chaque message publicitaire.

Droit d’accès et de rectification : toute personne peut consulter les données personnelles qui la concernent dans la base de données (article 13), et demander de rectifier ou de supprimer une donnée qui n’est pas exacte, complète, claire ou à jour (article 14). La loi ne prévoit pas de droit général à l’effacement comme le RGPD, mais une personne peut exiger d’être retirée d’une liste de prospection directe (article 17F).

L’activité en ligne touche aussi des domaines voisins. Une publication blessante sur un site, sur les réseaux sociaux ou dans des commentaires relève du droit de la diffamation et de la réputation. Une défaillance dans le processus de vente ou dans les conditions générales peut donner lieu à une action de consommateur ou à une action collective. Et les contrats avec les fournisseurs, de SaaS et de licence sont examinés comme des contrats commerciaux.

1. Conditions générales et document d’information (article 14C de la loi sur la protection du consommateur)
2. Politique de confidentialité et bases de données (loi sur la protection de la vie privée, après l’amendement n° 13)
3. Prospection directe (article 30A de la loi sur les communications (télécommunications et radiodiffusion))
4. Accessibilité du site (règlement sur l’égalité des droits des personnes handicapées (aménagements d’accessibilité aux services), 5773-2013 (תקנות שוויון זכויות לאנשים עם מוגבלות (התאמות נגישות לשירות), התשע״ג-2013))