Conformité à la PPL israélienne avec ConsentX

Qu'est-ce que la loi israélienne sur la protection de la vie privée ?

La loi sur la protection de la vie privée, 5741-1981, est le texte fondateur d'Israël en matière de vie privée.

Elle encadre les activités portant sur les informations personnelles et les bases de données et protège les personnes contre les usages illicites ou inappropriés de leurs informations.

Historiquement, le cadre israélien reposait largement sur la notion de « bases de données » et sur les responsabilités de leurs propriétaires, détenteurs et gestionnaires.

L'amendement 13 a actualisé la terminologie et la structure du texte pour le rapprocher des concepts modernes de protection des données et a élargi la notion d'informations personnelles.

Dans le cadre amendé, les informations personnelles désignent largement les informations concernant une personne identifiée ou pouvant être identifiée.

L'amendement 13 à la loi israélienne sur la protection de la vie privée

L'amendement n° 13 constitue la modernisation la plus importante du cadre israélien de la vie privée depuis des décennies.

Il est entré en vigueur le 14 août 2025, un an après sa publication et son adoption.

Les principaux changements portent sur :

• Une définition élargie des informations personnelles
• Des obligations d'enregistrement des bases de données restreintes
• De nouvelles obligations de désignation d'un DPO
• Un contrôle réglementaire renforcé

L'amendement 13 a également consacré l'indépendance statutaire de la PPA et élargi ses pouvoirs de contrôle. Chacun de ces changements est détaillé dans les sections qui suivent.

Amendement 13 : définition élargie des informations personnelles

La loi amendée retient la notion plus large d'informations personnelles, couvrant les informations relatives à une personne identifiée ou identifiable.

Cela concerne particulièrement les entreprises numériques traitant :

• Des noms
• Des adresses e-mail
• Des numéros de téléphone
• Des numéros d'identification
• Des identifiants en ligne
• Des données de localisation
• Des informations financières
• Des informations de santé
• Des données biométriques
• Des informations comportementales
• D'autres informations susceptibles d'identifier une personne

Amendement 13 : obligations d'enregistrement restreintes

L'amendement 13 a nettement réduit les catégories de bases de données devant être enregistrées.

L'enregistrement continue généralement de s'appliquer :

• Aux bases de données tenues par des organismes publics, sous réserve des exceptions légales
• À certaines bases contenant des informations sur au moins 10 000 personnes lorsque la finalité principale est de collecter des informations personnelles en vue de leur transfert à des tiers à titre d'activité commerciale ou contre rémunération, y compris le publipostage

Toutefois, la suppression d'une obligation d'enregistrement ne dispense pas une organisation des obligations de fond en matière de vie privée et de sécurité prévues par la loi.

Amendement 13 : nouvelles obligations de DPO

Certaines organisations doivent désigner un délégué à la protection des données.

Il s'agit notamment :

• Des organismes publics
• Des courtiers en données et organisations de marketing direct atteignant les seuils légaux
• Des organisations pratiquant une surveillance systématique et continue à grande échelle
• Des organisations dont l'activité principale implique le traitement à grande échelle d'informations personnelles particulièrement sensibles

Les banques, les compagnies d'assurance, les hôpitaux et les caisses de santé figurent expressément parmi les types d'organisations visés par le cadre légal.

Amendement 13 : contrôle réglementaire renforcé

La PPA dispose désormais de pouvoirs de contrôle et de sanction pécuniaire nettement renforcés.

L'amendement 13 permet une action réglementaire sans que chaque sanction doive passer par la procédure judiciaire ordinaire.

Quelles informations personnelles sont couvertes ?

La PPL amendée définit largement les informations personnelles.

Selon les circonstances, elles peuvent inclure :

• Le nom complet
• Le numéro d'identification
• Les coordonnées
• L'adresse
• L'adresse e-mail
• Le numéro de téléphone
• Les informations professionnelles
• Les informations financières
• Les informations de santé
• Les données biométriques
• Les données de localisation
• Les identifiants en ligne
• Les informations comportementales
• Les informations relatives à la vie familiale ou personnelle

La question clé est de savoir si l'information se rapporte à une personne identifiée ou identifiable.

Informations personnelles particulièrement sensibles

L'amendement 13 a introduit et élargi la notion d'informations d'une sensibilité particulière.

Cette catégorie inclut les informations relatives à des domaines tels que :

• La vie familiale
• L'orientation sexuelle
• La santé
• Les données génétiques
• L'origine
• Les antécédents judiciaires
• Les opinions politiques
• Certains identifiants biométriques
• D'autres informations classées comme particulièrement sensibles par la loi

Le traitement des informations particulièrement sensibles est surtout déterminant pour apprécier :

• Les exigences de sécurité
• La transparence
• La gouvernance des données
• Les obligations de DPO
• Le traitement à grande échelle
• Le risque réglementaire

Pour les organisations traitant des informations particulièrement sensibles à grande échelle, le traitement peut déclencher l'obligation légale de désigner un DPO.

Israël exige-t-il un consentement pour traiter des données personnelles ?

Le consentement est un mécanisme juridique important, mais il serait inexact de présenter le droit israélien comme exigeant un consentement pour chaque traitement de données personnelles.

La PPL pose des exigences relatives au consentement éclairé, mais un traitement peut également être permis en vertu d'autres dispositions de la loi ou d'un autre fondement juridique applicable.

Les organisations devraient donc déterminer :

• Quelles informations personnelles sont collectées
• Pourquoi elles sont collectées
• Quelle disposition légale permet le traitement
• Si le consentement est requis
• Quelles informations doivent être fournies à la personne
• Si une autre exigence légale s'applique

La PPA a publié des orientations relatives au consentement éclairé à la suite de l'amendement 13.

Consentement éclairé dans la PPL israélienne

Lorsque le consentement est requis, il doit être éclairé.

Les personnes doivent recevoir des informations utiles sur le traitement avant de donner leur consentement.

Un mécanisme de consentement doit donc communiquer clairement :

• Quelles informations sont collectées
• Pourquoi elles sont collectées
• Comment elles seront utilisées
• Les destinataires ou tiers concernés
• Les conséquences d'un consentement donné ou refusé le cas échéant
• Comment la personne peut exercer ses droits

Les organisations doivent éviter :

• Les choix facultatifs présélectionnés
• Les formulations de consentement ambiguës
• Les finalités de traitement dissimulées
• Les finalités regroupées ne pouvant raisonnablement être séparées
• Un consentement obtenu sans information suffisante

La PPA a publié des documents actualisés sur l'amendement 13 et le consentement, dont des orientations destinées à aider les organisations à mettre en œuvre les exigences modifiées.

Retrait du consentement

Lorsque le traitement repose sur le consentement, les organisations devraient prévoir un mécanisme approprié pour le retirer.

Un mécanisme de retrait devrait être :

• Facile à trouver
• Compréhensible
• Accessible
• Cohérent avec le mécanisme de consentement initial
• Réalisable sur le plan opérationnel

Les organisations devraient également conserver des enregistrements de l'état du consentement et de ses évolutions.

Pour les sites web et applications, les choix de confidentialité ne doivent donc pas être traités comme un événement ponctuel.

Mentions d'information et transparence

Le cadre israélien accorde une grande importance à la transparence.

Lors de la collecte d'informations personnelles, les organisations devraient fournir aux personnes des informations appropriées sur cette collecte et l'usage prévu.

Une mention d'information devrait généralement expliquer :

• L'identité de l'organisation concernée
• La finalité de la collecte
• La nature des informations collectées
• L'usage qui en sera fait
• Les destinataires concernés
• Les droits applicables
• Comment contacter l'organisation
• Les autres informations exigées par la loi

Ce point est devenu particulièrement important depuis l'amendement 13, qui renforce les attentes en matière de transparence et de responsabilité.

Limitation des finalités

Les informations personnelles devraient être traitées conformément aux finalités pour lesquelles elles ont été licitement collectées.

Les organisations devraient éviter de collecter des informations selon une logique de « collecter d'abord, décider ensuite ».

Avant de lancer une nouvelle activité de traitement, les entreprises devraient se demander :

• Les informations ont-elles été collectées pour cette finalité ?
• Le nouvel usage est-il compatible avec la finalité initiale ?
• La personne a-t-elle été correctement informée ?
• Un consentement supplémentaire est-il requis ?
• Existe-t-il une autre base légale ?
• Le nouvel usage crée-t-il des risques supplémentaires pour la vie privée ?

La documentation des finalités devrait faire partie du programme de gouvernance de la vie privée de l'organisation.

Minimisation des données

Les organisations devraient limiter la collecte d'informations personnelles à ce qui est pertinent au regard de la finalité poursuivie.

Par exemple, une organisation devrait éviter de collecter :

• Des informations d'identification excessives
• Des informations démographiques inutiles
• Des informations sensibles sans besoin défini
• Des informations marketing supplémentaires sans finalité claire

La minimisation des données réduit également les risques de sécurité et de conformité.

Droits des personnes dans la PPL israélienne

Le cadre israélien confère aux personnes des droits importants concernant les informations personnelles.

Droit d'accès. Les personnes disposent de droits d'accès aux informations détenues à leur sujet, sous réserve des conditions et exceptions légales. Les organisations devraient disposer de processus permettant de localiser les informations pertinentes et de répondre aux demandes recevables.

Droit de rectification. Les personnes peuvent demander la correction d'informations inexactes ou incomplètes.

Les organisations devraient donc prévoir des mécanismes pour :

• Recevoir les demandes de rectification
• Vérifier la demande
• Mettre à jour les enregistrements concernés
• Informer les destinataires concernés lorsque cela est requis

Oppositions et réclamations. Les personnes peuvent signaler des traitements illicites ou inappropriés et recourir aux mécanismes réglementaires et judiciaires applicables.

L'organisation devrait maintenir un processus documenté de traitement des réclamations et des demandes d'exercice de droits.

Exigences de sécurité des données

Israël dispose d'un cadre de sécurité détaillé avec le règlement sur la protection de la vie privée (sécurité des données), 5777-2017.

Ce règlement fixe des exigences techniques et organisationnelles relatives à la sécurité des bases de données.

Les orientations de mise en œuvre de la PPA traitent d'exigences telles que :

• La gestion des accès
• Les contrôles d'autorisation
• La sécurité du personnel
• L'identification et l'authentification
• La sécurité réseau
• La sécurité des transferts de données
• La sauvegarde et la restauration
• La sécurité physique
• La documentation
• Les revues périodiques
• La gestion des incidents de sécurité

Par exemple, les orientations de la PPA indiquent que les autorisations d'accès devraient être limitées selon le rôle du salarié et qu'une liste à jour des autorisations devrait être tenue.

Pour les bases connectées à internet ou à des réseaux publics, le règlement fixe également des exigences de protection contre les accès non autorisés et les logiciels malveillants et impose un chiffrement approprié pour certaines transmissions.

Violations de données et incidents de sécurité

Le règlement israélien de sécurité des données fixe des exigences spécifiques concernant les incidents de sécurité graves.

Les organisations devraient disposer de procédures documentées pour :

• Détecter les incidents de sécurité
• Évaluer leur gravité
• Contenir l'incident
• Enquêter sur la cause
• Préserver les preuves
• Déterminer les obligations de notification réglementaire
• Communiquer avec les parties concernées lorsque cela est requis
• Corriger la vulnérabilité sous-jacente

La PPA fournit des orientations détaillées sur les obligations de sécurité de l'information et les incidents de sécurité graves.

Les organisations ne doivent pas supposer qu'une règle générale internationale de notification en 72 heures s'applique automatiquement à tout incident en Israël.

Délégué à la protection des données (DPO)

L'une des évolutions les plus importantes de l'amendement 13 est le régime légal du DPO.

Un DPO est requis pour certaines catégories d'organisations, notamment celles qui :

• Sont des organismes publics
• Traitent des données pour le compte d'organismes publics
• Exercent une activité de courtage de données ou de publipostage atteignant le seuil légal
• Pratiquent une surveillance systématique et continue des personnes à grande échelle
• Traitent des informations personnelles particulièrement sensibles à grande échelle

Le DPO doit disposer des connaissances et compétences professionnelles appropriées et exercer les fonctions légales de gouvernance de la vie privée.

La PPA a ensuite publié des orientations finales sur l'obligation de désignation d'un DPO, y compris son interprétation des exigences légales.

Un DPO n'est pas requis pour toutes les entreprises israéliennes. Les organisations devraient vérifier si elles relèvent de l'une des catégories légales.

L'enregistrement des bases de données après l'amendement 13

Avant l'amendement 13, les entreprises israéliennes se concentraient souvent sur la question de savoir si leurs bases de données devaient être enregistrées.

La loi amendée réduit nettement le régime d'enregistrement.

L'enregistrement concerne désormais principalement :

• Certaines bases de données d'organismes publics
• Certaines bases de courtage de données ou de marketing direct à grande échelle remplissant les conditions légales

Pour les autres organisations, l'absence d'obligation d'enregistrement ne supprime pas les obligations de fond prévues par la loi ou par le règlement de sécurité des données.

Cette distinction est importante : absence d'obligation d'enregistrement ≠ absence d'obligations de conformité.

Notification des grandes bases contenant des informations particulièrement sensibles

L'amendement 13 a également introduit des obligations de notification pour certaines grandes bases contenant des informations particulièrement sensibles.

Lorsqu'une base contient des informations particulièrement sensibles concernant plus de 100 000 personnes et ne relève pas par ailleurs de l'obligation d'enregistrement, le responsable peut être tenu de notifier la PPA et de lui fournir des informations déterminées sur la base et sur les dispositions relatives au DPO.

Les organisations exploitant de grands ensembles de données devraient donc évaluer à la fois :

• Les obligations d'enregistrement
• Les obligations de notification

Sous-traitants et prestataires tiers

Les entreprises recourent fréquemment à des prestataires tiers pour traiter des informations personnelles.

Par exemple :

• Fournisseurs cloud
• Plateformes CRM
• Prestataires d'analyse
• Plateformes publicitaires
• Prestataires de paiement
• Outils d'automatisation marketing
• Systèmes de support client
• Hébergeurs
• Applications SaaS

Les organisations devraient mettre en place des contrôles appropriés sur ces relations, notamment :

• Des finalités de traitement définies
• Des exigences contractuelles
• Des exigences de sécurité
• Des restrictions d'accès
• Des obligations de confidentialité
• Des procédures de gestion des incidents
• Des exigences de suppression des données
• Des contrôles des transferts internationaux

Transferts internationaux de données

Israël permet les transferts internationaux d'informations personnelles sous réserve du cadre légal et réglementaire applicable.

Les organisations transférant des informations hors d'Israël devraient évaluer :

• Le pays de destination
• L'organisation destinataire
• La finalité du transfert
• Les catégories d'informations
• Les exigences israéliennes applicables au transfert
• Les garanties de sécurité
• Les dispositions contractuelles
• Les restrictions supplémentaires propres au transfert concerné

Israël maintient également des règles spécifiques pour les informations transférées vers Israël depuis l'Espace économique européen, notamment le règlement sur la protection de la vie privée relatif aux données originaires de l'EEE. Le portail officiel d'information juridique de la PPA présente ces règlements comme faisant partie du cadre israélien.

Cookies et suivi en ligne dans la PPL israélienne

Les sites web et applications devraient évaluer les cookies, pixels, SDK, technologies publicitaires et outils d'analyse au regard du cadre israélien lorsque ces technologies traitent des informations personnelles.

Il serait toutefois excessif d'affirmer que tout cookie en Israël exige automatiquement un consentement préalable.

L'analyse appropriée dépend :

• De la question de savoir si la technologie traite des informations personnelles
• De la question de savoir si la personne est identifiable
• De la finalité du traitement
• De l'exigence légale applicable
• De la nécessité ou non d'un consentement
• De la question de savoir si le traitement est couvert par une autre disposition licite

Pour les sites web, les organisations devraient tenir un inventaire complet des traceurs et associer chaque technologie à sa finalité et à sa base légale.

Consentement aux cookies pour les sites israéliens

Lorsque le consentement est requis, l'interface de consentement devrait fournir aux utilisateurs des informations utiles et un choix approprié.

Une implémentation robuste de gestion du consentement devrait comporter :

• Une mention d'information claire
• Des catégories par finalité
• Des contrôles du suivi facultatif
• Des choix de consentement distincts lorsque cela est pertinent
• Le blocage préalable des technologies soumises à consentement
• Des preuves de consentement
• Des mécanismes de retrait
• Un historique des politiques et versions
• Une configuration régionale

Cela est particulièrement important pour les sites utilisant :

• Des pixels publicitaires
• Des technologies de reciblage
• Des traceurs de réseaux sociaux
• De l'analyse comportementale
• Des technologies de personnalisation
• Du suivi inter-sites

Marketing direct et courtiers en données

L'amendement 13 accorde une attention particulière aux organisations dont l'activité consiste à collecter des informations personnelles et à les transférer à des tiers contre rémunération ou à titre d'activité commerciale.

Cela inclut certaines activités de courtage de données et de publipostage.

Lorsqu'une base contient plus de 10 000 personnes et que sa finalité principale répond aux critères légaux de transfert de données ou d'activité commerciale, des obligations réglementaires supplémentaires peuvent s'appliquer, dont l'enregistrement et la désignation d'un DPO.

Les organisations actives dans la publicité, la génération de leads ou le courtage de données devraient donc vérifier si leur modèle économique relève de ces dispositions.

Décisions automatisées, profilage et IA

Le cadre israélien amendé concerne de plus en plus les organisations utilisant :

• L'IA
• Le profilage
• L'analyse comportementale
• Des systèmes de décision automatisée
• La reconnaissance faciale
• L'identification biométrique
• Le suivi de localisation
• L'analyse prédictive

Les organisations devraient évaluer si le traitement automatisé crée des risques pour la vie privée ou implique des informations personnelles particulièrement sensibles.

Les traitements à haut risque devraient faire l'objet d'une analyse de risque documentée et d'une gouvernance appropriée.

La PPA a souligné les risques liés aux technologies modernes et la nécessité pour les organisations d'adapter leur gouvernance de la vie privée à un environnement technologique en évolution.

Analyses d'impact relatives à la protection des données

Le cadre israélien ne doit pas être présenté comme imposant une obligation universelle d'AIPD de type article 35 du RGPD pour toute activité de traitement à haut risque.

Les analyses de risque en matière de vie privée restent toutefois un outil de conformité important, notamment pour :

• Le traitement à grande échelle
• La surveillance systématique
• Le traitement de données sensibles
• Les systèmes d'IA
• Le traitement biométrique
• Le suivi de localisation
• Les grandes bases de données
• Les nouvelles technologies

Les organisations devraient documenter les risques identifiés et les mesures mises en place pour y répondre.

Protection de la vie privée dès la conception

La vie privée devrait être prise en compte lors du développement ou de la modification des systèmes plutôt qu'après leur déploiement.

Les organisations devraient intégrer ces considérations lorsqu'elles :

• Lancent des sites web
• Développent des applications mobiles
• Déploient des systèmes CRM
• Installent des outils d'analyse
• Introduisent l'IA
• Intègrent des technologies publicitaires
• Interconnectent des bases de données
• Mettent en place des systèmes de surveillance des salariés
• Introduisent des systèmes biométriques

Une approche de protection dès la conception aide à identifier les questions de consentement, de sécurité, de transparence, de conservation et de partage avant qu'elles ne deviennent des problèmes opérationnels.

Conservation et suppression des données

Les organisations devraient définir des durées de conservation en fonction :

• De la finalité pour laquelle les informations ont été collectées
• Des exigences légales applicables
• Des obligations contractuelles
• Des exigences réglementaires
• De la nécessité opérationnelle
• Des risques de sécurité et de vie privée

Les informations personnelles ne devraient pas être conservées indéfiniment simplement parce que le stockage est peu coûteux.

Un bon programme de conservation devrait identifier :

• La catégorie de données
• La finalité du traitement
• La durée de conservation
• Le lieu de stockage
• La méthode de suppression
• Le responsable métier concerné

Gouvernance et responsabilité en matière de vie privée

À la suite de l'amendement 13, les organisations devraient maintenir un programme structuré de gouvernance de la vie privée.

Il peut comprendre :

• Des inventaires de données
• Des registres de traitement
• Des mentions d'information
• Des preuves de consentement
• Des procédures de demandes d'exercice de droits
• Des évaluations de prestataires
• Des contrôles de sécurité
• Des politiques de conservation
• Des procédures de réponse aux incidents
• Des analyses de risque
• Une gouvernance du DPO le cas échéant
• Des revues de conformité régulières

La PPA a également créé des ressources et orientations de conformité actualisées à la suite de l'amendement 13.

Application de la PPL israélienne

L'amendement 13 a considérablement élargi les pouvoirs de contrôle de l'Autorité de protection de la vie privée.

La PPA peut exercer des pouvoirs renforcés, y compris des sanctions pécuniaires pour certaines violations.

La réforme a également renforcé la supervision réglementaire portant sur :

• Les obligations de vie privée
• Les exigences relatives aux bases de données
• Les exigences de sécurité
• Les obligations de DPO
• Les activités de traitement
• Le respect de la loi et des règlements

Ce renforcement implique que les organisations traitent la conformité comme une obligation opérationnelle continue et non comme un exercice documentaire ponctuel.

Sanctions pécuniaires administratives

La loi amendée a introduit un nouveau régime de sanctions pécuniaires administratives.

Le montant potentiel dépend de facteurs tels que :

• La nature de la violation
• Le nombre de personnes concernées
• Le type de base de données
• La sensibilité des informations
• Les circonstances de la violation
• Le manquement de l'organisation à des obligations légales déterminées

Ce régime peut conduire à des sanctions substantielles atteignant plusieurs millions de shekels pour certaines violations, avec des règles légales spécifiques de calcul et de plafonnement.

Les sanctions ne devraient donc pas être présentées comme une amende forfaitaire unique applicable à toute violation.

Responsabilité civile et pénale

Le cadre amendé prévoit également des recours civils et renforce la responsabilité personnelle pour certaines violations.

L'amendement 13 a introduit des dispositions permettant aux tribunaux d'accorder des dommages-intérêts exemplaires pouvant atteindre 10 000 NIS dans des cas déterminés, sans preuve d'un préjudice réel.

La loi conserve par ailleurs des dispositions pénales pour certaines atteintes graves à la vie privée.

Les organisations devraient donc envisager la conformité sous deux angles :

• Le risque pour l'entreprise
• La situation des décideurs individuels

Liste de contrôle de conformité à la PPL israélienne

Utilisez cette liste pour évaluer le niveau de préparation de votre organisation.

• Déterminer si la loi sur la protection de la vie privée s'applique
• Identifier toutes les informations personnelles traitées
• Cartographier les bases de données et les activités de traitement
• Identifier les informations particulièrement sensibles
• Documenter les finalités de traitement
• Déterminer les exigences légales applicables
• Obtenir un consentement éclairé lorsqu'il est requis
• Tenir à jour des mentions d'information appropriées
• Mettre en place des contrôles de minimisation
• Établir des procédures de conservation et de suppression
• Mettre en œuvre des mesures de sécurité appropriées
• Revoir les exigences du règlement de sécurité des données
• Établir des procédures pour les incidents de sécurité
• Évaluer les obligations d'enregistrement des bases
• Évaluer les obligations de notification des grandes bases
• Déterminer si un DPO est obligatoire
• Désigner un DPO qualifié lorsque cela est requis
• Établir des procédures de demandes des personnes
• Mettre en place des flux d'accès et de rectification
• Revoir les contrats de sous-traitance et de prestation
• Évaluer les transferts internationaux
• Passer en revue les cookies et traceurs en ligne
• Configurer le consentement lorsqu'il est requis
• Conserver les preuves de consentement
• Prévoir des mécanismes de retrait du consentement
• Évaluer les risques liés à l'IA et au traitement automatisé
• Réaliser des analyses de risque lorsque cela est pertinent
• Revoir la conformité régulièrement

Pourquoi la gestion du consentement est importante sous la PPL israélienne

Pour les organisations exploitant des sites web en Israël, la conformité exige de plus en plus une visibilité sur la manière dont les informations personnelles sont collectées et traitées via les technologies numériques.

Un site web peut contenir des dizaines de :

• Scripts d'analyse
• Pixels publicitaires
• Traceurs de réseaux sociaux
• Outils marketing
• Technologies de personnalisation
• Intégrations tierces

Sans inventaire des traceurs ni processus de gestion du consentement, les organisations peuvent avoir du mal à démontrer quelles informations sont collectées et comment les choix des utilisateurs sont respectés.

ConsentX fournit une couche technique pour gérer ces flux de confidentialité sur les sites web.