Соответствие израильскому PPL с ConsentX

Что такое израильский Закон о защите неприкосновенности частной жизни

Закон о защите неприкосновенности частной жизни, 5741-1981, является базовым израильским законом о приватности.

Он регулирует деятельность, связанную с персональной информацией и базами данных, и защищает людей от незаконного или ненадлежащего использования их сведений.

Исторически израильская система во многом строилась вокруг понятия «баз данных» и обязанностей их владельцев, держателей и управляющих.

Поправка 13 обновила терминологию и структуру закона, приблизив его к современным концепциям защиты данных, и расширила понятие персональной информации.

В измененной системе персональная информация в широком смысле означает сведения, относящиеся к идентифицированному лицу или лицу, которое может быть идентифицировано.

Поправка 13 к израильскому закону о приватности

Поправка № 13 представляет собой наиболее значимую модернизацию израильской системы приватности за десятилетия.

Она вступила в силу 14 августа 2025 года, через год после публикации и принятия.

Ключевые изменения охватывают:

• Расширенное определение персональной информации
• Суженные обязанности по регистрации баз данных
• Новые обязанности по назначению DPO
• Усиленный надзор регулятора

Поправка 13 также закрепила законодательную независимость PPA и расширила его полномочия. Каждое из изменений раскрыто в разделах ниже.

Поправка 13: расширенное определение персональной информации

Измененный закон использует более широкое понятие персональной информации, охватывающее сведения об идентифицированном или идентифицируемом лице.

Это особенно важно для цифрового бизнеса, который обрабатывает:

• Имена
• Адреса электронной почты
• Номера телефонов
• Идентификационные номера
• Онлайн-идентификаторы
• Данные о местоположении
• Финансовую информацию
• Медицинскую информацию
• Биометрические данные
• Поведенческие данные
• Иные сведения, позволяющие идентифицировать человека

Поправка 13: суженные обязанности по регистрации баз данных

Поправка 13 существенно сократила категории баз данных, подлежащих регистрации.

Регистрация в целом продолжает применяться к:

• Базам данных государственных органов, с установленными законом исключениями
• Отдельным базам с информацией не менее чем о 10 000 человек, если основная цель состоит в сборе персональной информации для передачи другим лицам как вид деятельности или за вознаграждение, включая прямую рассылку

Однако отмена обязанности регистрации не означает, что организация освобождена от материальных обязанностей закона в сфере приватности и безопасности.

Поправка 13: новые обязанности по назначению DPO

Отдельные организации обязаны назначить ответственного за защиту данных.

К ним относятся, в частности:

• Государственные органы
• Брокеры данных и организации прямого маркетинга, достигающие установленных законом порогов
• Организации, ведущие систематический и постоянный мониторинг в значительном масштабе
• Организации, основная деятельность которых связана с обработкой особо чувствительной персональной информации в значительном масштабе

Банки, страховые компании, больницы и больничные кассы прямо названы среди типов организаций, указанных в законе.

Поправка 13: усиленный надзор регулятора

PPA теперь обладает существенно более широкими полномочиями по надзору и наложению денежных санкций.

Поправка 13 позволяет регулятору применять меры без прохождения каждой санкции через обычную судебную процедуру.

Какая персональная информация охватывается

Измененный PPL определяет персональную информацию широко.

В зависимости от обстоятельств она может включать:

• Полное имя
• Идентификационный номер
• Контактные данные
• Адрес
• Адрес электронной почты
• Номер телефона
• Сведения о трудовой деятельности
• Финансовую информацию
• Медицинскую информацию
• Биометрические данные
• Данные о местоположении
• Онлайн-идентификаторы
• Поведенческие данные
• Сведения о семейной или личной жизни человека

Ключевой вопрос в том, относится ли информация к идентифицированному или идентифицируемому лицу.

Особо чувствительная персональная информация

Поправка 13 ввела и расширила понятие информации особой чувствительности.

В эту категорию входят сведения по таким вопросам, как:

• Семейная жизнь
• Сексуальная ориентация
• Здоровье
• Генетические данные
• Происхождение
• Судимость
• Политические взгляды
• Отдельные биометрические идентификаторы
• Иная информация, отнесенная законом к особо чувствительной

Работа с особо чувствительной информацией особенно важна при оценке:

• Требований к безопасности
• Прозрачности
• Управления данными
• Обязанностей по DPO
• Обработки в крупном масштабе
• Регуляторного риска

Для организаций, обрабатывающих особо чувствительную информацию в значительном масштабе, такая обработка может повлечь установленную законом обязанность назначить DPO.

Требует ли Израиль согласия на обработку персональных данных

Согласие является важным правовым механизмом, однако было бы неточно описывать израильское право как требующее согласия на каждый случай обработки персональных данных.

PPL устанавливает требования к информированному согласию, но обработка может быть допустима и на основании других положений закона либо иного применимого правового основания.

Поэтому организациям следует определить:

• Какая персональная информация собирается
• Зачем она собирается
• Какое положение закона допускает такую обработку
• Требуется ли согласие
• Какую информацию необходимо предоставить человеку
• Применяется ли иное правовое требование

После Поправки 13 PPA выпустило разъяснения по вопросам информированного согласия.

Информированное согласие по израильскому PPL

Если согласие требуется, оно должно быть информированным.

До предоставления согласия человек должен получить содержательную информацию об обработке.

Поэтому механизм согласия должен четко сообщать:

• Какая информация собирается
• Зачем она собирается
• Как она будет использоваться
• Соответствующих получателей или третьих лиц
• Последствия предоставления или отказа в согласии, где это уместно
• Как человек может реализовать применимые права

Организациям следует избегать:

• Предварительно отмеченных необязательных опций
• Двусмысленных формулировок согласия
• Скрытых целей обработки
• Объединенных целей, которые нельзя разумно разделить
• Согласия, полученного без достаточной информации

PPA опубликовало обновленные материалы о Поправке 13 и согласии, включая разъяснения, призванные помочь организациям выполнить измененные требования.

Отзыв согласия

Если обработка основана на согласии, организациям следует предусмотреть надлежащий механизм его отзыва.

Механизм отзыва должен быть:

• Легко находимым
• Понятным
• Доступным
• Согласованным с первоначальным механизмом получения согласия
• Реализуемым на практике

Организациям также следует вести записи, отражающие статус согласия и последующие изменения.

Для сайтов и приложений это означает, что выбор в отношении приватности не должен рассматриваться как разовое действие.

Уведомления о конфиденциальности и прозрачность

Израильская система приватности придает прозрачности большое значение.

При сборе персональной информации организациям следует предоставлять людям надлежащие сведения о сборе и предполагаемом использовании их информации.

Уведомление о конфиденциальности, как правило, должно объяснять:

• Кто именно является организацией
• Цель сбора
• Характер собираемой информации
• Как информация будет использоваться
• Соответствующих получателей
• Применимые права
• Как связаться с организацией
• Иные сведения, требуемые законом

Это стало особенно важно после Поправки 13, поскольку измененный закон усиливает ожидания в части прозрачности и подотчетности.

Ограничение цели

Персональная информация должна обрабатываться в соответствии с целями, для которых она была законно собрана.

Организациям следует избегать сбора информации по принципу «сначала соберем, потом решим».

Прежде чем вводить новую операцию обработки, компаниям стоит задать вопросы:

• Была ли информация собрана для этой цели?
• Совместимо ли новое использование с первоначальной целью?
• Был ли человек надлежащим образом проинформирован?
• Требуется ли дополнительное согласие?
• Есть ли иное правовое основание?
• Создает ли новое использование дополнительные риски для приватности?

Документация по целям должна вестись как часть программы управления приватностью в организации.

Минимизация данных

Организациям следует ограничивать сбор персональной информации тем, что относится к предполагаемой цели.

Например, организации следует избегать сбора:

• Избыточных идентификационных сведений
• Ненужных демографических сведений
• Чувствительной информации без определенной потребности
• Дополнительной маркетинговой информации без ясной цели

Минимизация данных также снижает риски в сфере безопасности и соответствия требованиям.

Права субъектов данных по израильскому PPL

Израильская система приватности предоставляет людям важные права в отношении персональной информации.

Право на доступ. Люди имеют права на доступ к сведениям о себе с учетом установленных законом условий и исключений. Организациям следует поддерживать процессы, позволяющие найти нужную информацию и ответить на соответствующие запросы.

Право на исправление. Люди могут потребовать исправления сведений, если они неточны или неполны.

Поэтому организациям следует поддерживать механизмы для:

• Приема запросов на исправление
• Проверки запроса
• Обновления соответствующих записей
• Уведомления соответствующих получателей, когда это требуется

Возражения и жалобы. Люди могут заявлять о незаконной или ненадлежащей обработке и использовать применимые административные и судебные механизмы.

Организации следует поддерживать документированный процесс рассмотрения жалоб и запросов о реализации прав.

Требования к безопасности данных

В Израиле действует детальная система безопасности в рамках Положения о защите приватности (безопасность данных), 5777-2017.

Положение устанавливает технические и организационные требования к безопасности баз данных.

Разъяснения PPA по внедрению охватывают такие требования, как:

• Управление доступом
• Контроль полномочий
• Кадровая безопасность
• Идентификация и аутентификация
• Сетевая безопасность
• Безопасность передачи данных
• Резервное копирование и восстановление
• Физическая безопасность
• Документирование
• Периодические проверки
• Реагирование на инциденты безопасности

Например, в разъяснениях PPA указано, что права доступа следует ограничивать в соответствии с ролью сотрудника и вести актуальный перечень таких прав.

Для баз данных, подключенных к интернету или публичным сетям, Положение также устанавливает требования по защите от несанкционированного доступа и вредоносного ПО и предписывает надлежащее шифрование отдельных передач данных.

Требования при утечках данных и инцидентах безопасности

Израильское положение о безопасности данных устанавливает специальные требования в отношении серьезных инцидентов безопасности.

Организациям следует иметь документированные процедуры для:

• Обнаружения инцидентов безопасности
• Оценки их серьезности
• Локализации инцидента
• Расследования причины
• Сохранения доказательств
• Определения требований об уведомлении регулятора
• Информирования затронутых сторон, когда это требуется
• Устранения базовой уязвимости

PPA предоставляет подробные разъяснения по обязанностям в области информационной безопасности и по серьезным инцидентам.

Не следует исходить из того, что общее международное правило уведомления в течение 72 часов автоматически применяется к каждому инциденту в Израиле.

Ответственный за защиту данных (DPO)

Одно из важнейших изменений Поправки 13 - законодательный режим DPO.

DPO требуется для отдельных категорий организаций, включая те, которые:

• Являются государственными органами
• Обрабатывают данные по поручению государственных органов
• Ведут деятельность брокера данных или прямой рассылки с достижением установленного порога
• Осуществляют систематический и постоянный мониторинг людей в значительном масштабе
• Обрабатывают особо чувствительную персональную информацию в значительном масштабе

DPO должен обладать надлежащими знаниями и профессиональными навыками и выполнять предусмотренные законом функции управления приватностью.

Впоследствии PPA опубликовало окончательные разъяснения об обязанности назначать DPO, включая свое толкование законодательных требований.

DPO требуется не каждому израильскому бизнесу. Организациям следует оценить, подпадают ли они под одну из установленных законом категорий.

Регистрация баз данных после Поправки 13

До Поправки 13 израильские компании часто сосредотачивались на вопросе, нужно ли регистрировать их базы данных.

Измененный закон существенно сузил режим регистрации.

Сейчас регистрация касается главным образом:

• Отдельных баз данных государственных органов
• Отдельных крупных баз брокеров данных или прямого маркетинга, отвечающих установленным условиям

Для остальных организаций отсутствие обязанности регистрации не снимает материальные обязанности по Закону о защите неприкосновенности частной жизни или по Положению о безопасности данных.

Это различие важно: отсутствие обязанности регистрации ≠ отсутствие обязанностей по приватности.

Уведомление о крупных базах с особо чувствительной информацией

Поправка 13 также ввела требования об уведомлении для отдельных крупных баз, содержащих особо чувствительную информацию.

Если база содержит особо чувствительную информацию более чем о 100 000 человек и при этом не подпадает под требование о регистрации, контролер может быть обязан уведомить PPA и представить определенные сведения о базе и о соответствующих мерах, связанных с DPO.

Поэтому организациям с крупными массивами данных следует оценить и то, и другое:

• Требования о регистрации
• Требования об уведомлении

Обработчики данных и сторонние поставщики

Компании часто привлекают сторонних поставщиков для обработки персональной информации.

Примеры:

• Облачные провайдеры
• CRM-платформы
• Аналитические сервисы
• Рекламные платформы
• Платежные сервисы
• Инструменты автоматизации маркетинга
• Системы поддержки клиентов
• Хостинг-провайдеры
• SaaS-приложения

Организациям следует выстроить надлежащий контроль за такими отношениями, включая:

• Определенные цели обработки
• Договорные требования
• Требования к безопасности
• Ограничения доступа
• Обязательства о конфиденциальности
• Процедуры реагирования на инциденты
• Требования к удалению данных
• Контроль международных передач

Международные передачи данных

Израиль допускает международные передачи персональной информации при соблюдении применимой законодательной и нормативной базы.

Организациям, передающим информацию за пределы Израиля, следует оценить:

• Страну назначения
• Организацию-получателя
• Цель передачи
• Категории информации
• Применимые израильские требования к передаче
• Меры безопасности
• Договорные механизмы
• Дополнительные ограничения для конкретной передачи

В Израиле также действуют специальные правила в отношении информации, переданной в страну из Европейской экономической зоны, включая Положение о защите приватности, касающееся данных из ЕЭЗ. Официальный правовой портал PPA относит эти акты к израильской системе приватности.

Файлы cookie и онлайн-отслеживание по израильскому PPL

Сайтам и приложениям следует оценивать файлы cookie, пиксели, SDK, рекламные технологии и аналитические инструменты в рамках израильской системы приватности, когда такие технологии обрабатывают персональную информацию.

При этом утверждение, что в Израиле каждый файл cookie автоматически требует согласия по модели opt-in, является слишком общим.

Правильный анализ зависит от того:

• Обрабатывает ли технология персональную информацию
• Является ли человек идентифицируемым
• Какова цель обработки
• Какое правовое требование применимо
• Требуется ли согласие
• Охватывается ли обработка иным законным положением

Для сайтов организациям следует вести полный перечень трекеров и сопоставлять каждую технологию с ее целью и правовым основанием.

Согласие на cookie для израильских сайтов

Если согласие требуется, интерфейс согласия должен давать пользователям содержательную информацию и надлежащий выбор.

Надежная реализация управления согласием должна включать:

• Понятное уведомление о конфиденциальности
• Категории по целям
• Управление необязательным отслеживанием
• Раздельные варианты согласия, где это уместно
• Предварительную блокировку технологий, зависящих от согласия
• Записи о согласии
• Механизмы отзыва
• Историю политики и версий
• Региональную настройку

Это особенно важно для сайтов, использующих:

• Рекламные пиксели
• Технологии ретаргетинга
• Трекеры социальных сетей
• Поведенческую аналитику
• Технологии персонализации
• Межсайтовое отслеживание

Прямой маркетинг и брокеры данных

Поправка 13 уделяет особое внимание организациям, чья деятельность состоит в сборе персональной информации и ее передаче другим лицам за вознаграждение или в качестве вида деятельности.

Сюда относятся отдельные виды брокерской деятельности с данными и прямой рассылки.

Если база содержит более 10 000 человек и ее основная цель отвечает установленным законом критериям передачи данных или коммерческой деятельности, могут применяться дополнительные регуляторные обязанности, включая требования о регистрации и DPO.

Поэтому организациям в сфере рекламы, лидогенерации или брокерской работы с данными следует оценить, подпадает ли их бизнес-модель под эти положения.

Автоматизированные решения, профилирование и ИИ

Измененная израильская система становится все более значимой для организаций, использующих:

• ИИ
• Профилирование
• Поведенческую аналитику
• Системы автоматизированных решений
• Распознавание лиц
• Биометрическую идентификацию
• Отслеживание местоположения
• Предиктивную аналитику

Организациям следует оценивать, создает ли автоматизированная обработка риски для приватности или затрагивает ли она особо чувствительную персональную информацию.

Обработка с высоким риском должна сопровождаться документированной оценкой рисков и надлежащим управлением.

PPA обращало внимание на риски современных технологий и на необходимость адаптировать управление приватностью к меняющейся технологической среде.

Оценка воздействия на защиту данных

Израильскую систему PPL не следует описывать как вводящую всеобщую обязанность проводить оценку воздействия по образцу статьи 35 GDPR для любой операции с высоким риском.

Тем не менее оценка рисков приватности остается важным инструментом соответствия, особенно для:

• Обработки в крупном масштабе
• Систематического мониторинга
• Обработки чувствительных данных
• Систем ИИ
• Обработки биометрии
• Отслеживания местоположения
• Крупных баз данных
• Новых технологий

Организациям следует документировать риски приватности и меры, принятые для их снижения.

Приватность на этапе проектирования

Приватность следует учитывать при разработке или изменении систем, а не после их внедрения.

Организациям следует учитывать эти аспекты при:

• Запуске сайтов
• Разработке мобильных приложений
• Внедрении CRM-систем
• Развертывании аналитических инструментов
• Внедрении ИИ
• Интеграции рекламных технологий
• Объединении баз данных
• Внедрении систем мониторинга сотрудников
• Внедрении биометрических систем

Подход приватности на этапе проектирования помогает выявить вопросы согласия, безопасности, прозрачности, хранения и передачи данных до того, как они станут операционными проблемами.

Хранение и удаление данных

Организациям следует определять сроки хранения исходя из:

• Цели, для которой информация собиралась
• Применимых правовых требований
• Договорных обязательств
• Регуляторных требований
• Деловой необходимости
• Рисков безопасности и приватности

Персональную информацию не следует хранить бессрочно лишь потому, что хранение обходится дешево.

Хорошая программа хранения должна определять:

• Категорию данных
• Цель обработки
• Срок хранения
• Место хранения
• Способ удаления
• Ответственное бизнес-подразделение

Управление приватностью и подотчетность

После Поправки 13 организациям следует поддерживать структурированную программу управления приватностью.

Она может включать:

• Реестры данных
• Записи об обработке
• Уведомления о конфиденциальности
• Записи о согласии
• Процедуры по запросам о реализации прав
• Оценку поставщиков
• Меры безопасности
• Политики хранения
• Процедуры реагирования на инциденты
• Оценку рисков приватности
• Управление функцией DPO, где применимо
• Регулярные проверки соответствия

После Поправки 13 PPA также подготовило обновленные материалы и разъяснения по соблюдению требований.

Правоприменение по израильскому PPL

Поправка 13 существенно расширила полномочия Управления по защите приватности.

PPA может использовать усиленные регуляторные полномочия, включая денежные санкции за отдельные нарушения.

Реформа также усилила надзор за:

• Обязанностями в сфере приватности
• Требованиями к базам данных
• Требованиями к безопасности
• Обязанностями по DPO
• Операциями обработки
• Соблюдением закона и подзаконных актов

Усиление правоприменения PPA означает, что организациям следует рассматривать соблюдение требований как постоянную операционную обязанность, а не как разовую подготовку документов.

Административные денежные санкции

Измененный закон ввел новый механизм административных денежных санкций.

Возможная сумма зависит от таких факторов, как:

• Характер нарушения
• Число затронутых лиц
• Тип базы данных
• Чувствительность информации
• Обстоятельства нарушения
• Нарушила ли организация конкретные установленные законом обязанности

По отдельным нарушениям санкции могут достигать миллионов израильских шекелей, при этом действуют специальные законодательные правила расчета и ограничения.

Поэтому их не следует представлять как единый фиксированный штраф для любого нарушения.

Гражданская и уголовная ответственность

Измененная система также предусматривает гражданско-правовые средства защиты и усиливает персональную ответственность за отдельные нарушения.

Поправка 13 ввела положения, позволяющие судам в установленных случаях присуждать штрафную компенсацию до 10 000 шекелей без доказывания реального ущерба.

Закон также сохраняет уголовные положения за отдельные серьезные нарушения приватности.

Поэтому организациям следует рассматривать соблюдение требований с двух точек зрения:

• Корпоративного риска
• Положения конкретных лиц, принимающих решения

Чек-лист соответствия израильскому PPL

Используйте этот чек-лист для оценки готовности вашей организации.

• Определить, применяется ли Закон о защите неприкосновенности частной жизни
• Выявить всю обрабатываемую персональную информацию
• Составить карту баз данных и операций обработки
• Выявить особо чувствительную информацию
• Задокументировать цели обработки
• Определить применимые правовые требования
• Получать информированное согласие, где это требуется
• Поддерживать надлежащие уведомления о конфиденциальности
• Внедрить меры минимизации данных
• Установить процедуры хранения и удаления
• Внедрить надлежащие меры безопасности
• Проверить требования Положения о безопасности данных
• Установить процедуры на случай инцидентов безопасности
• Оценить обязанности по регистрации баз данных
• Оценить требования об уведомлении о крупных базах
• Определить, обязателен ли DPO
• Назначить квалифицированного DPO, где это требуется
• Установить процедуры по запросам субъектов данных
• Внедрить процессы доступа и исправления
• Проверить договоры с обработчиками и поставщиками
• Оценить международные передачи данных
• Проверить файлы cookie и онлайн-трекеры
• Настроить согласие, где это требуется
• Хранить подтверждения согласия
• Предусмотреть механизмы отзыва согласия
• Оценить риски ИИ и автоматизированной обработки
• Проводить оценку рисков приватности, где это уместно
• Регулярно пересматривать соответствие требованиям

Почему управление согласием важно при израильском PPL

Для организаций, управляющих сайтами в Израиле, соблюдение требований все больше требует понимания того, как персональная информация собирается и обрабатывается с помощью цифровых технологий.

На сайте могут быть десятки:

• Аналитических скриптов
• Рекламных пикселей
• Трекеров социальных сетей
• Маркетинговых инструментов
• Технологий персонализации
• Интеграций с третьими лицами

Без перечня трекеров и процесса управления согласием организациям может быть трудно показать, какая информация собирается и как соблюдается выбор пользователей.

ConsentX обеспечивает технический уровень для управления этими процессами приватности на сайте.