Conformidade com a PPL de Israel com a ConsentX

O que é a Lei de Proteção da Privacidade de Israel?

A Lei de Proteção da Privacidade, 5741-1981, é a norma fundacional de Israel em matéria de privacidade.

Ela regula atividades envolvendo informações pessoais e bancos de dados e protege as pessoas contra usos ilícitos ou inadequados de suas informações.

Historicamente, o marco israelense concentrou-se fortemente no conceito de “bancos de dados” e nas responsabilidades de seus proprietários, detentores e gestores.

A Emenda 13 atualizou a terminologia e a estrutura para aproximar a lei dos conceitos modernos de proteção de dados e ampliou o conceito de informação pessoal.

No marco reformado, informação pessoal significa, em termos amplos, informação relativa a uma pessoa identificada ou que possa ser identificada.

A Emenda 13 à Lei de Proteção da Privacidade de Israel

A Emenda n.º 13 representa a modernização mais significativa do marco israelense de privacidade em décadas.

Ela entrou em vigor em 14 de agosto de 2025, um ano após sua publicação e promulgação.

As principais mudanças abrangem:

• Uma definição ampliada de informação pessoal
• Obrigações de registro de bancos de dados mais restritas
• Novas obrigações de nomeação de DPO
• Fiscalização regulatória reforçada

A Emenda 13 também consagrou a independência estatutária da PPA e ampliou seus poderes de fiscalização. Cada uma dessas mudanças é detalhada nas seções seguintes.

Emenda 13: definição ampliada de informação pessoal

A lei reformada adota o conceito mais amplo de informação pessoal, abrangendo informações relativas a uma pessoa identificada ou identificável.

Isso é particularmente relevante para negócios digitais que tratam:

• Nomes
• Endereços de e-mail
• Números de telefone
• Números de identificação
• Identificadores on-line
• Informações de localização
• Informações financeiras
• Informações de saúde
• Informações biométricas
• Informações comportamentais
• Outras informações capazes de identificar uma pessoa

Emenda 13: obrigações de registro mais restritas

A Emenda 13 reduziu substancialmente as categorias de bancos de dados que devem ser registrados.

O registro em geral continua a se aplicar a:

• Bancos de dados mantidos por órgãos públicos, ressalvadas as exceções legais
• Determinados bancos com informações sobre pelo menos 10.000 pessoas quando a finalidade principal for coletar informações pessoais para transferi-las a terceiros como atividade empresarial ou mediante remuneração, inclusive mala direta

Contudo, a supressão do requisito de registro não significa que a organização esteja dispensada das obrigações materiais de privacidade e segurança previstas na lei.

Emenda 13: novas obrigações de DPO

Determinadas organizações devem nomear um Encarregado de Proteção de Dados.

Entre elas estão, nos termos previstos:

• Órgãos públicos
• Corretores de dados e organizações de marketing direto que atinjam os limiares legais
• Organizações que realizam monitoramento sistemático e contínuo em larga escala
• Organizações cuja atividade principal envolve o tratamento em larga escala de informações pessoais especialmente sensíveis

Bancos, seguradoras, hospitais e fundos de saúde estão expressamente entre os tipos de organizações identificados no marco legal.

Emenda 13: fiscalização regulatória reforçada

A PPA passou a contar com poderes de fiscalização e sanção pecuniária substancialmente mais fortes.

A Emenda 13 permite a atuação regulatória sem que cada sanção precise tramitar pela via judicial ordinária.

Quais informações pessoais estão cobertas?

A PPL reformada define informação pessoal de forma ampla.

Dependendo das circunstâncias, pode incluir:

• Nome completo
• Número de identificação
• Dados de contato
• Endereço
• Endereço de e-mail
• Número de telefone
• Informações de emprego
• Informações financeiras
• Informações de saúde
• Informações biométricas
• Informações de localização
• Identificadores on-line
• Informações comportamentais
• Informações relativas à vida familiar ou pessoal

A questão central é saber se a informação se refere a uma pessoa identificada ou identificável.

Informações pessoais especialmente sensíveis

A Emenda 13 introduziu e ampliou o conceito de informações de sensibilidade especial.

Essa categoria inclui informações relativas a temas como:

• Vida familiar
• Orientação sexual
• Saúde
• Informações genéticas
• Origem
• Antecedentes criminais
• Opiniões políticas
• Determinados identificadores biométricos
• Outras informações classificadas como especialmente sensíveis pela lei

O tratamento de informações especialmente sensíveis é particularmente relevante ao avaliar:

• Requisitos de segurança
• Transparência
• Governança de dados
• Obrigações de DPO
• Tratamento em larga escala
• Risco regulatório

Para organizações que tratam informações especialmente sensíveis em larga escala, o tratamento pode acionar a obrigação legal de nomear um DPO.

Israel exige consentimento para o tratamento de dados pessoais?

O consentimento é um mecanismo jurídico importante, mas não seria correto descrever o direito israelense como exigindo consentimento para todo e qualquer tratamento de dados pessoais.

A PPL estabelece requisitos sobre consentimento informado, mas o tratamento também pode ser permitido por outras disposições da lei ou por outra autorização legal aplicável.

As organizações devem, portanto, determinar:

• Quais informações pessoais estão sendo coletadas
• Por que estão sendo coletadas
• Qual dispositivo legal permite o tratamento
• Se o consentimento é necessário
• Quais informações devem ser fornecidas ao titular
• Se outra exigência legal se aplica

A PPA emitiu orientações sobre consentimento informado após a Emenda 13.

Consentimento informado na PPL de Israel

Quando o consentimento é exigido, ele deve ser informado.

Os titulares devem receber informações significativas sobre o tratamento antes de fornecer o consentimento.

Um mecanismo de consentimento deve, portanto, comunicar com clareza:

• Quais informações são coletadas
• Por que são coletadas
• Como serão usadas
• Destinatários ou terceiros relevantes
• As consequências de fornecer ou recusar o consentimento quando pertinente
• Como o titular pode exercer seus direitos

As organizações devem evitar:

• Opções facultativas pré-selecionadas
• Redação de consentimento ambígua
• Finalidades de tratamento ocultas
• Finalidades agrupadas que não podem ser razoavelmente separadas
• Consentimento obtido sem informação suficiente

A PPA publicou material atualizado sobre a Emenda 13 e o consentimento, incluindo orientações destinadas a ajudar as organizações a implementar os requisitos reformados.

Retirada do consentimento

Quando o tratamento se baseia no consentimento, as organizações devem oferecer um mecanismo adequado para retirá-lo.

Um mecanismo de retirada deve ser:

• Fácil de localizar
• Compreensível
• Acessível
• Coerente com o mecanismo de consentimento original
• Operacionalmente exequível

As organizações também devem manter registros do estado do consentimento e de suas alterações posteriores.

Para sites e aplicativos, isso significa que as escolhas de privacidade não devem ser tratadas como um evento único.

Avisos de privacidade e transparência

O marco israelense atribui grande importância à transparência.

Ao coletar informações pessoais, as organizações devem fornecer aos titulares informações adequadas sobre a coleta e o uso pretendido.

Um aviso de privacidade deve, em geral, explicar:

• A identidade da organização
• A finalidade da coleta
• A natureza das informações coletadas
• Como as informações serão usadas
• Os destinatários relevantes
• Os direitos aplicáveis
• Como os titulares podem contatar a organização
• Outras informações exigidas pela lei

Isso se tornou especialmente importante após a Emenda 13, pois a lei reformada reforça as expectativas de transparência e responsabilização.

Limitação de finalidade

As informações pessoais devem ser tratadas de forma compatível com as finalidades para as quais foram licitamente coletadas.

As organizações devem evitar coletar informações com a lógica de “coletar agora e decidir depois”.

Antes de introduzir uma nova atividade de tratamento, as empresas devem perguntar:

• As informações foram coletadas para esta finalidade?
• O novo uso é compatível com a finalidade original?
• O titular foi devidamente informado?
• É necessário consentimento adicional?
• Existe outra base legal?
• O novo uso cria riscos adicionais à privacidade?

A documentação das finalidades deve integrar o programa de governança de privacidade da organização.

Minimização de dados

As organizações devem limitar a coleta de informações pessoais ao que for pertinente à finalidade pretendida.

Por exemplo, uma organização deve evitar coletar:

• Informações de identificação excessivas
• Informações demográficas desnecessárias
• Informações sensíveis sem necessidade definida
• Informações de marketing adicionais sem finalidade clara

A minimização de dados também reduz riscos de segurança e de conformidade.

Direitos dos titulares na PPL de Israel

O marco israelense assegura às pessoas direitos importantes sobre informações pessoais.

Direito de acesso. As pessoas têm direitos de acesso às informações mantidas a seu respeito, observadas as condições e exceções legais. As organizações devem manter processos capazes de localizar as informações pertinentes e responder às solicitações admissíveis.

Direito de correção. As pessoas podem solicitar a correção de informações inexatas ou incompletas.

As organizações devem, portanto, manter mecanismos para:

• Receber pedidos de correção
• Verificar o pedido
• Atualizar os registros pertinentes
• Notificar os destinatários aplicáveis quando exigido

Objeções e reclamações de privacidade. As pessoas podem apontar tratamentos ilícitos ou inadequados e recorrer aos mecanismos regulatórios e judiciais aplicáveis.

A organização deve manter um processo documentado para lidar com reclamações de privacidade e pedidos de exercício de direitos.

Requisitos de segurança de dados

Israel dispõe de um marco de segurança detalhado no Regulamento de Proteção da Privacidade (Segurança de Dados), 5777-2017.

O regulamento estabelece requisitos técnicos e organizacionais relativos à segurança de bancos de dados.

As orientações de implementação da PPA tratam de requisitos como:

• Gestão de acessos
• Controles de autorização
• Segurança de pessoal
• Identificação e autenticação
• Segurança de rede
• Segurança na transferência de dados
• Backup e recuperação
• Segurança física
• Documentação
• Revisões periódicas
• Tratamento de incidentes de segurança

Por exemplo, as orientações da PPA indicam que as permissões de acesso devem ser limitadas conforme a função do colaborador e que uma lista atualizada de permissões deve ser mantida.

Para bancos conectados à internet ou a redes públicas, o regulamento também estabelece requisitos de proteção contra acesso não autorizado e software malicioso e exige criptografia adequada para determinadas transmissões.

Incidentes de dados e de segurança

O regulamento israelense de segurança de dados estabelece requisitos específicos sobre incidentes de segurança graves.

As organizações devem ter procedimentos documentados para:

• Detectar incidentes de segurança
• Avaliar sua gravidade
• Conter o incidente
• Investigar a causa
• Preservar evidências
• Determinar as obrigações de notificação regulatória
• Comunicar-se com as partes afetadas quando exigido
• Corrigir a vulnerabilidade subjacente

A PPA fornece orientações detalhadas sobre obrigações de segurança da informação e incidentes de segurança graves.

As organizações não devem presumir que uma regra global genérica de notificação em 72 horas se aplica automaticamente a todo incidente em Israel.

Encarregado de Proteção de Dados (DPO)

Uma das mudanças mais importantes trazidas pela Emenda 13 é o regime legal do DPO.

O DPO é exigido para determinadas categorias de organizações, incluindo aquelas que:

• São órgãos públicos
• Tratam dados em nome de órgãos públicos
• Operam negócios de corretagem de dados ou mala direta que atingem o limiar legal
• Realizam monitoramento sistemático e contínuo de pessoas em larga escala
• Tratam informações pessoais especialmente sensíveis em larga escala

O DPO deve ter conhecimento e capacidades profissionais adequados e desempenhar as funções legais de governança de privacidade.

A PPA publicou posteriormente orientações finais sobre a obrigação de nomeação do DPO, incluindo sua interpretação dos requisitos legais.

O DPO não é exigido de toda empresa israelense. As organizações devem avaliar se se enquadram em alguma das categorias legais.

O registro de bancos de dados após a Emenda 13

Antes da Emenda 13, as empresas israelenses frequentemente se concentravam em saber se seus bancos de dados precisavam ser registrados.

A lei reformada reduz significativamente o regime de registro.

O registro agora diz respeito principalmente a:

• Determinados bancos de dados de órgãos públicos
• Determinados bancos de corretagem de dados ou marketing direto em larga escala que atendam às condições legais

Para as demais organizações, a ausência de requisito de registro não afasta as obrigações materiais da Lei de Proteção da Privacidade ou do Regulamento de Segurança de Dados.

Essa distinção é importante: ausência de requisito de registro ≠ ausência de obrigações de conformidade.

Notificação de grandes bancos com informações especialmente sensíveis

A Emenda 13 também introduziu requisitos de notificação para determinados bancos de grande porte que contenham informações especialmente sensíveis.

Quando um banco contém informações especialmente sensíveis sobre mais de 100.000 pessoas e não está sujeito ao requisito de registro, o controlador pode ser obrigado a notificar a PPA e prestar informações determinadas sobre o banco e sobre os arranjos relativos ao DPO.

Organizações com grandes conjuntos de dados devem, portanto, avaliar ambos:

• Requisitos de registro
• Requisitos de notificação

Operadores e fornecedores terceirizados

As empresas recorrem com frequência a fornecedores terceirizados para tratar informações pessoais.

Por exemplo:

• Provedores de nuvem
• Plataformas de CRM
• Provedores de analytics
• Plataformas de publicidade
• Processadores de pagamento
• Ferramentas de automação de marketing
• Sistemas de suporte ao cliente
• Provedores de hospedagem
• Aplicações SaaS

As organizações devem estabelecer controles adequados sobre essas relações, incluindo:

• Finalidades de tratamento definidas
• Requisitos contratuais
• Requisitos de segurança
• Restrições de acesso
• Obrigações de confidencialidade
• Procedimentos de gestão de incidentes
• Requisitos de exclusão de dados
• Controles de transferência internacional

Transferências internacionais de dados

Israel permite transferências internacionais de informações pessoais, observado o marco legal e regulatório aplicável.

As organizações que transferem informações para fora de Israel devem avaliar:

• País de destino
• Organização destinatária
• Finalidade da transferência
• Categorias de informação
• Requisitos israelenses aplicáveis à transferência
• Salvaguardas de segurança
• Arranjos contratuais
• Restrições adicionais aplicáveis à transferência específica

Israel mantém ainda regras específicas sobre informações transferidas para Israel a partir do Espaço Econômico Europeu, incluindo o Regulamento de Proteção da Privacidade relativo a dados originários do EEE. O portal oficial de informação jurídica da PPA lista esses regulamentos como parte do marco israelense.

Cookies e rastreamento on-line na PPL de Israel

Sites e aplicativos devem avaliar cookies, pixels, SDKs, tecnologias de publicidade e ferramentas de analytics à luz do marco israelense quando essas tecnologias tratam informações pessoais.

No entanto, é excessivo afirmar que todo cookie em Israel exige automaticamente consentimento prévio.

A análise adequada depende:

• De a tecnologia tratar ou não informações pessoais
• De a pessoa ser identificável
• Da finalidade do tratamento
• Da exigência legal aplicável
• De o consentimento ser ou não necessário
• De o tratamento estar amparado por outro dispositivo lícito

Para sites, as organizações devem manter um inventário completo de rastreadores e associar cada tecnologia à sua finalidade e base legal.

Consentimento de cookies para sites israelenses

Quando o consentimento é exigido, a interface deve oferecer aos usuários informações significativas e uma escolha adequada.

Uma implementação robusta de gestão de consentimento deve incluir:

• Aviso de privacidade claro
• Categorias por finalidade
• Controles de rastreamento opcional
• Escolhas de consentimento separadas quando adequado
• Bloqueio prévio de tecnologias dependentes de consentimento
• Registros de consentimento
• Mecanismos de retirada
• Histórico de políticas e versões
• Configuração regional

Isso é especialmente importante para sites que utilizam:

• Pixels de publicidade
• Tecnologias de retargeting
• Rastreadores de redes sociais
• Analytics comportamental
• Tecnologias de personalização
• Rastreamento entre sites

Marketing direto e corretores de dados

A Emenda 13 dedica atenção especial a organizações cujo negócio envolve coletar informações pessoais e transferi-las a terceiros mediante remuneração ou como atividade empresarial.

Isso inclui determinadas atividades de corretagem de dados e mala direta.

Quando um banco contém mais de 10.000 pessoas e sua finalidade principal atende aos critérios legais de transferência de dados ou atividade empresarial, podem incidir obrigações regulatórias adicionais, incluindo registro e nomeação de DPO.

Organizações que atuam em publicidade, geração de leads ou corretagem de dados devem, portanto, avaliar se seu modelo de negócio se enquadra nessas disposições.

Decisões automatizadas, perfilamento e IA

O marco israelense reformado é cada vez mais relevante para organizações que utilizam:

• IA
• Perfilamento
• Analytics comportamental
• Sistemas de decisão automatizada
• Reconhecimento facial
• Identificação biométrica
• Rastreamento de localização
• Analytics preditivo

As organizações devem avaliar se o tratamento automatizado cria riscos à privacidade ou envolve informações pessoais especialmente sensíveis.

O tratamento de alto risco deve ser submetido a avaliação documentada de riscos e a governança adequada.

A PPA destacou os riscos associados às tecnologias modernas e a necessidade de as organizações adaptarem sua governança ao ambiente tecnológico em evolução.

Avaliações de impacto sobre a proteção de dados

O marco israelense não deve ser descrito como impondo uma obrigação universal de DPIA nos moldes do artigo 35 do GDPR para toda atividade de alto risco.

Ainda assim, as avaliações de risco de privacidade são uma ferramenta importante de conformidade, sobretudo para:

• Tratamento em larga escala
• Monitoramento sistemático
• Tratamento de dados sensíveis
• Sistemas de IA
• Tratamento biométrico
• Rastreamento de localização
• Grandes bancos de dados
• Novas tecnologias

As organizações devem documentar os riscos de privacidade e as medidas adotadas para enfrentá-los.

Privacidade desde a concepção

A privacidade deve ser considerada ao desenvolver ou modificar sistemas, e não após sua implantação.

As organizações devem incorporar essas considerações ao:

• Lançar sites
• Desenvolver aplicativos móveis
• Implantar sistemas de CRM
• Implantar ferramentas de analytics
• Introduzir IA
• Integrar tecnologias de publicidade
• Conectar bancos de dados
• Implantar sistemas de monitoramento de colaboradores
• Introduzir sistemas biométricos

Uma abordagem de privacidade desde a concepção ajuda a identificar questões de consentimento, segurança, transparência, retenção e compartilhamento antes que se tornem problemas operacionais.

Retenção e exclusão de dados

As organizações devem definir prazos de retenção conforme:

• A finalidade para a qual as informações foram coletadas
• Os requisitos legais aplicáveis
• As obrigações contratuais
• Os requisitos regulatórios
• A necessidade do negócio
• Os riscos de segurança e privacidade

As informações pessoais não devem ser retidas indefinidamente apenas porque o armazenamento é barato.

Um bom programa de retenção deve identificar:

• Categoria de dados
• Finalidade do tratamento
• Prazo de retenção
• Local de armazenamento
• Método de exclusão
• Responsável da área de negócio

Governança e responsabilização em privacidade

Após a Emenda 13, as organizações devem manter um programa estruturado de governança de privacidade.

Ele pode incluir:

• Inventários de dados
• Registros de tratamento
• Avisos de privacidade
• Registros de consentimento
• Procedimentos de pedidos de direitos
• Avaliações de fornecedores
• Controles de segurança
• Políticas de retenção
• Procedimentos de resposta a incidentes
• Avaliações de risco de privacidade
• Governança do DPO quando aplicável
• Revisões periódicas de conformidade

A PPA também criou recursos e orientações de conformidade atualizados após a Emenda 13.

Fiscalização da PPL de Israel

A Emenda 13 ampliou significativamente os poderes de fiscalização da Autoridade de Proteção da Privacidade.

A PPA pode exercer poderes reforçados, inclusive sanções pecuniárias por determinadas infrações.

A reforma também fortaleceu a supervisão regulatória sobre:

• Obrigações de privacidade
• Requisitos de bancos de dados
• Requisitos de segurança
• Obrigações de DPO
• Atividades de tratamento
• Cumprimento da lei e dos regulamentos

Esse fortalecimento significa que as organizações devem tratar a conformidade como obrigação operacional contínua, e não como exercício documental pontual.

Sanções pecuniárias administrativas

A lei reformada introduziu um novo regime de sanções pecuniárias administrativas.

O valor potencial depende de fatores como:

• Natureza da infração
• Número de pessoas afetadas
• Tipo de banco de dados
• Sensibilidade das informações
• Circunstâncias da infração
• Descumprimento de obrigações legais específicas pela organização

O regime pode resultar em sanções substanciais, alcançando milhões de shekels em determinadas infrações, com regras legais específicas de cálculo e limite.

Portanto, as sanções não devem ser apresentadas como uma multa fixa universal aplicável a qualquer infração.

Responsabilidade civil e criminal

O marco reformado prevê também remédios civis e reforça a responsabilização pessoal por determinadas infrações.

A Emenda 13 introduziu disposições que permitem aos tribunais conceder indenizações exemplares de até NIS 10.000 em situações específicas, sem prova de dano efetivo.

A lei mantém ainda disposições penais para certas violações graves de privacidade.

As organizações devem, portanto, considerar a conformidade sob duas perspectivas:

• Risco corporativo
• Situação dos tomadores de decisão individuais

Checklist de conformidade com a PPL de Israel

Use este checklist para avaliar o preparo da sua organização.

• Determinar se a Lei de Proteção da Privacidade se aplica
• Identificar todas as informações pessoais tratadas
• Mapear bancos de dados e atividades de tratamento
• Identificar informações especialmente sensíveis
• Documentar as finalidades de tratamento
• Determinar os requisitos legais aplicáveis
• Obter consentimento informado quando exigido
• Manter avisos de privacidade adequados
• Implementar controles de minimização
• Estabelecer procedimentos de retenção e exclusão
• Implementar medidas de segurança adequadas
• Revisar os requisitos do Regulamento de Segurança de Dados
• Estabelecer procedimentos para incidentes de segurança
• Avaliar as obrigações de registro de bancos de dados
• Avaliar os requisitos de notificação de grandes bancos
• Determinar se o DPO é obrigatório
• Nomear um DPO qualificado quando exigido
• Estabelecer procedimentos para pedidos dos titulares
• Implementar fluxos de acesso e correção
• Revisar contratos com operadores e fornecedores
• Avaliar transferências internacionais de dados
• Revisar cookies e rastreadores on-line
• Configurar o consentimento quando exigido
• Manter evidências de consentimento
• Oferecer mecanismos de retirada de consentimento
• Avaliar riscos de IA e tratamento automatizado
• Realizar avaliações de risco quando apropriado
• Revisar a conformidade regularmente

Por que a gestão de consentimento importa sob a PPL de Israel

Para organizações que operam sites em Israel, a conformidade exige cada vez mais visibilidade sobre como as informações pessoais são coletadas e tratadas por meio de tecnologias digitais.

Um site pode conter dezenas de:

• Scripts de analytics
• Pixels de publicidade
• Rastreadores de redes sociais
• Ferramentas de marketing
• Tecnologias de personalização
• Integrações de terceiros

Sem um inventário de rastreadores e um processo de gestão de consentimento, as organizações podem ter dificuldade em demonstrar quais informações são coletadas e como as escolhas dos usuários são respeitadas.

A ConsentX fornece uma camada técnica para gerenciar esses fluxos de privacidade nos sites.