Requisitos legales para sitios web y aplicaciones: Israel

Israel cambió su régimen de privacidad el 14 de agosto de 2025, cuando entró en vigor la Enmienda 13 a la Ley de Protección de la Privacidad, introduciendo definiciones al estilo del RGPD, oficiales de privacidad y seguridad obligatorios para categorías definidas de organizaciones, una obligación de registro de bases de datos más restringida y, por primera vez, una autoridad de control con multas administrativas reales que ascienden a millones de séqueles. En torno a esto existen tres normas que han generado demandas contra sitios web israelíes durante años: la ley contra el spam, con daños legales de hasta 1000 ₪ por mensaje sin necesidad de probar perjuicio alguno; las reglas de divulgación y cancelación en 14 días para ventas a distancia; y la accesibilidad web, donde los servicios cubiertos deben evaluar la Norma Israelí 5568, las declaraciones aplicables y las exenciones. Evalúe conjuntamente las obligaciones de privacidad, marketing, consumo y accesibilidad. Lo más importante depende del producto, los datos y los clientes; esta guía no clasifica la probabilidad de reclamaciones. Una ventaja que vale la pena conocer: Israel cuenta con una decisión de adecuación de la UE, por lo que los datos de los clientes de la UE pueden fluir a servidores israelíes sin mecanismos de transferencia adicionales, un activo comercial real para el SaaS israelí. Este es el capítulo de Israel de nuestra lista de verificación legal antes del lanzamiento. Ejecute primero esa secuencia de comandos y luego añada esta.

Puntos clave

• La Enmienda 13 ha estado en vigor desde el 14 de agosto de 2025: nuevas definiciones, deberes de nombramiento de oficiales, registro restringido y multas administrativas.
• Se requiere un oficial de privacidad para organismos públicos, intermediarios de datos calificados que procesen información de más de 10 000 personas, organizaciones que realicen un seguimiento significativo, regular y sistemático como actividad principal, organizaciones cuya actividad principal involucre datos sensibles a gran escala, y bancos, aseguradoras, hospitales y fondos de salud.
• El registro de bases de datos ahora se aplica principalmente a organismos públicos e intermediarios de datos con más de 10 000 personas; se aplica un deber de notificación separado para bases de datos con información sensible sobre más de 100 000 personas.
• El Reglamento de Seguridad de la Información (2017) requiere un documento de definición de base de datos, control de acceso, manejo de incidentes y auditorías periódicas, escalado a un nivel de seguridad.
• Ley contra el spam: consentimiento previo por escrito para mensajes publicitarios, la palabra "publicidad" en el mensaje y una exclusión voluntaria (opt-out) en el mismo canal. Daños legales de hasta 1000 ₪ por mensaje sin prueba de perjuicio.
• Ventas a distancia: divulgación completa previa al contrato, confirmación por escrito y un derecho de cancelación de 14 días, ampliado a cuatro meses para personas mayores, nuevos inmigrantes y personas con discapacidad en transacciones calificadas.
• Accesibilidad: La Norma Israelí 5568 de nivel AA es obligatoria según el Reglamento 35, y se requiere una declaración de accesibilidad.

Privacidad después de la Enmienda 13

Qué hizo la enmienda. Modernizó las definiciones de la ley de 1981 hacia las normas internacionales, reestructuró el régimen de registro, creó deberes de nombramiento de oficiales y, lo más importante, armó a la Autoridad de Protección de la Privacidad con poderes de ejecución administrativa y sanciones monetarias que pueden alcanzar millones de séqueles, algunas sin oportunidad de subsanación previa.

Oficial de privacidad (ממונה על הגנת הפרטיות). Obligatorio para organismos públicos; intermediarios de datos calificados que procesen información de más de 10 000 personas; organizaciones cuyas actividades principales involucren seguimiento regular y sistemático a escala significativa; organizaciones cuya actividad principal involucre el procesamiento de información sensible a gran escala; e instituciones financieras, aseguradoras, hospitales y fondos de salud. El oficial debe ser independiente, reportar a la dirección y tener recursos adecuados. La mayoría de los productos pequeños quedan fuera de esto; evalúe cada categoría legal en lugar de asumir que cualquier negocio basado en datos debe nombrar uno.

Oficial de seguridad de la información (ממונה אבטחת מידע). Evalúe el deber legal de nombramiento por separado. No es intercambiable con el rol de oficial de privacidad.

Registro y notificación. El registro ahora es más estrecho: organismos públicos e intermediarios de datos con bases de datos de más de 10 000 personas. Un deber separado de notificar a la Autoridad se aplica a bases de datos que contienen información sensible sobre más de 100 000 personas. Muchas pequeñas empresas que se registraban anteriormente ya no necesitan hacerlo, pero verifique su situación en lugar de asumir.

Aviso en la recopilación. Cuando pida información a alguien, debe decirles si el suministro es obligatorio o voluntario y la consecuencia de la negativa, el propósito, la identidad y los datos de contacto del controlador, los destinatarios y propósitos previstos, y los derechos de inspección y solicitud de corrección. Este es un deber legal en el punto de recopilación, no algo que una página de política resuelva por sí sola.

Consentimiento. La guía de la Autoridad trata el consentimiento como algo que requiere una comprensión genuina y una elección real: específica, informada y no vinculada a términos no relacionados. Las casillas de verificación agrupadas de "Acepto los términos y la política de privacidad y recibir marketing" son el fallo clásico.

Reglamento de Seguridad de la Información 2017. Sigue siendo el reglamento de seguridad operativo. Clasifique la base de datos y el nivel de seguridad aplicable, luego determine sus deberes de documento de definición, control de acceso, registro, incidentes, subcontratación y auditoría. No todas las bases de datos de nivel básico tienen todos los requisitos de auditoría de nivel superior.

Derechos. Las personas pueden revisar la información que se tiene sobre ellas y exigir la corrección de información que sea incorrecta, incompleta, poco clara o desactualizada.

Adecuación de la UE. Se reconoce que Israel proporciona una protección adecuada, por lo que los datos personales pueden moverse del EEE a Israel sin salvaguardias adicionales. Vale la pena indicarlo explícitamente en sus materiales de venta si vende a clientes europeos.

La ley contra el spam: la que produce demandas

La Enmienda 40 a la Ley de Comunicaciones regula los "mensajes publicitarios" enviados por correo electrónico, SMS, fax o marcación automática.

• Consentimiento previo, por escrito (incluido el electrónico), es la regla. El consentimiento debe ser específico e informado.
• Excepción limitada para clientes existentes: si obtuvo los detalles en el curso de una venta o negociación, le informó al cliente que los detalles se usarían para publicidad y le dio una oportunidad simple para negarse, puede enviar información sobre bienes o servicios similares.
• Cada mensaje debe estar marcado como publicidad, identificar al remitente por nombre y dirección, y explicar cómo excluirse.
• La exclusión debe estar disponible en el mismo canal por el que llegó el mensaje (una respuesta, un enlace o un mensaje de texto) y debe ser simple y gratuita.
• Daños legales de hasta 1000 ₪ por mensaje sin prueba de perjuicio, y las demandas colectivas son comunes. Esta es la norma digital más litigada en Israel.

La implicación práctica en el desarrollo: una casilla de verificación de marketing separada y desmarcada, con la redacción exacta almacenada junto con la marca de tiempo, y una cancelación de suscripción que funcione sin iniciar sesión.

Ventas: transacciones a distancia

Según la Ley de Protección al Consumidor, una transacción a distancia (מכר מרחוק) requiere divulgación antes del acuerdo: el nombre comercial, número de empresa o identificación y dirección, las características principales del producto o servicio, el precio y las condiciones de pago, el tiempo y método de entrega, el período de validez de la oferta, los detalles de la garantía y los derechos de cancelación y cómo ejercerlos.

Después de la transacción, debe proporcionar un documento escrito (en hebreo o en el idioma utilizado para comercializar) repitiendo esa información junto con el nombre del fabricante, país de origen y cualquier término adicional.

Cancelación: generalmente dentro de los 14 días posteriores a la recepción del producto o al documento de divulgación, lo que ocurra más tarde; para servicios, verifique el más tardío entre la transacción, el documento de divulgación y las reglas de aviso y tiempo específicas del servicio. Para transacciones calificadas que involucren a personas con discapacidad, personas mayores y nuevos inmigrantes, el plazo se extiende a cuatro meses. Para cancelaciones elegibles por cambio de opinión, las tarifas generalmente tienen un tope del 5% o 100 ₪, lo que sea menor; los defectos, la falta de conformidad o la falta de entrega pueden requerir la cancelación sin esa tarifa. Ciertas categorías (perecederos, bienes hechos a medida, algunos contenidos digitales) están excluidas.

Los precios deben mostrarse en séqueles con IVA incluido, y la información dirigida al consumidor debe estar en hebreo.

Accesibilidad: obligatoria y litigada

Evalúe si el servicio está cubierto por el Reglamento 35 y qué versión de la Norma Israelí 5568 se aplica. Las exenciones dependen de hechos como el estado comercial, la facturación y la antigüedad del sitio; un umbral general de 100 000 ₪ no es fiable.

La guía actual de la Comisión enumera una exención técnica completa para un distribuidor exento o una facturación inferior a 120 000 ₪, y otros acuerdos condicionales para otras bandas de facturación. Confirme su posición específica frente a la guía de accesibilidad oficial; una declaración general de que todos los menores de 1 millón de ₪ están exentos también sería incorrecta.

Proporcione una ruta de contacto accesible y describa con precisión el servicio real y cualquier exención. No invente un coordinador de accesibilidad ni afirme que un widget o una auditoría automatizada demuestran el cumplimiento.

Lo que aún no está regulado

Israel no tiene un estatuto de IA vinculante. Existe trabajo de políticas (una política nacional de IA y guía sectorial), y la Autoridad de Protección de la Privacidad ha publicado posiciones sobre la IA y los datos personales, pero no hay equivalente a la Ley de IA de la UE. Si sus actividades de IA caen dentro del alcance de la Ley de IA de la UE, sus deberes relevantes pueden aplicarse; si solo vende en Israel, la divulgación de la IA es una buena práctica y, cuando una respuesta de IA podría engañar a un consumidor, es discutiblemente requerida por la ley del consumidor en lugar de por la ley de IA.

Tampoco existe un estatuto específico para las cookies. La posición de la Autoridad es que las cookies que recopilan información personal requieren consentimiento, y la práctica israelí ha convergido en banners al estilo de la UE: evalúe la orientación a la UE y el seguimiento real en lugar de confiar solo en la ubicación del visitante.

El comando específico para Israel

Ejecute esto después de los diez comandos en la lista de verificación principal:

Add Israeli compliance mechanics to this app. All user-facing text must be in Hebrew, with correct right-to-left layout. Implement each item and report exactly what changed:

1. A notice at every point of collection stating: whether provision is required or voluntary and the consequence of refusal, the purpose, the controller identity and contact details, recipients and purposes, and inspection/correction rights. Not a link to the policy — a visible line on the form. List every form and confirm each has one.
2. Separate contract acceptance, privacy information and optional marketing permission. Do not require a blanket privacy-consent checkbox simply to acknowledge the notice. Where a specific processing purpose requires consent, provide a separate informed choice. Keep marketing optional and unticked, and record wording, time and version.
3. Marketing messages: mark every advertising email or SMS as an advertisement, include the sender name and address, and provide an opt-out in the same channel that works without logging in and takes effect immediately. Log every opt-out with its timestamp.
4. A privacy policy in Hebrew stating what is collected, the purpose of each collection, who receives it, retention periods, security measures in general terms, the right to review and correct information, and a contact channel. Use placeholders [[LEGAL ENTITY]], [[COMPANY NUMBER]], [[ADDRESS]], [[CONTACT EMAIL]] where you cannot know the fact.
5. A database inventory: list every store of personal information in this app, what it contains, who can access it, and whether any of it is sensitive information — health, financial, biometric, political or religious views, sexual orientation, or data about minors. I need this for the database definition document.
6. Access control review: confirm each user account can only reach its own records, that admin actions are enforced server-side, that access is logged, and that no shared credentials exist.
7. If we sell: pre-contract disclosure showing business name, company number, address, main characteristics, total price in shekels including VAT, delivery time and method, warranty and cancellation rights; an automatic Hebrew confirmation document sent after purchase containing the same details; and a cancellation flow in the account area that works in at most two clicks.
8. An accessibility pass against WCAG 2.1 Level AA, plus a Hebrew accessibility statement page linked from the footer of every page with placeholders for the accessibility coordinator's name and contact.

For each item report PASS or explain what blocked it. Do not invent legal citations in user-facing text.
Copiar prompt

Lista de verificación antes del lanzamiento: Israel

• Aviso en la recopilación en cada formulario: obligatorio o voluntario, propósito, destinatarios
• Aceptación de contrato, aviso de privacidad y marketing opcional distinguidos; consentimientos requeridos documentados por propósito
• Política de privacidad en hebreo con propósitos, destinatarios, retención y una ruta de corrección
• Mensajes de marketing marcados como publicidad con exclusión voluntaria en el mismo canal
• Inventario de bases de datos compilado; documento de definición de base de datos preparado bajo los Reglamentos de Seguridad
• Deberes de nombramiento de oficiales verificados (oficial de privacidad / oficial de seguridad de la información)
• Deber de registro o notificación verificado frente a los umbrales de la Enmienda 13
• Control de acceso verificado: sin lecturas cruzadas entre usuarios, aplicación administrativa en el lado del servidor, registro
• Ventas: divulgación completa previa al contrato, documento de confirmación en hebreo, cancelación de 14 días, límite de tarifa respetado
• Accesibilidad según la Norma 5568 AA (o exención documentada) más una declaración de accesibilidad publicada

Qué establecen las verificaciones de compilación

Los comandos son solicitudes de implementación, no una certificación legal. Los controles de dos clics y los valores predeterminados de consentimiento primero son opciones de diseño prácticas, no requisitos legales universales. Confirme la jurisdicción, las excepciones, la retención y los contratos de proveedores por separado. Verifique los controles con cuentas de prueba y comportamiento real del navegador/red; un PASA del constructor basado solo en la inspección de código es una prueba incompleta.

Fuentes oficiales y alcance de la revisión

Actualizado el 14 de septiembre de 2026. Las fuentes vinculadas respaldan el alcance y las correcciones discutidas aquí; esta es una revisión editorial, no una opinión legal exhaustiva ni una certificación de su producto. Verifique la norma operativa al actuar.

• Preguntas y respuestas de la Enmienda 13 de la PPA
• Guía profesional de la Enmienda 13 de la PPA
• Exenciones de accesibilidad de la Comisión

En Israel, la privacidad, el marketing y la accesibilidad necesitan comprobaciones de alcance por separado. Ejecute la lista de verificación antes del lanzamiento, luego el comando de Israel anterior. ¿Vende también en el extranjero? Consulte los Estados Unidos, la Unión Europea, el Reino Unido, Canadá, Australia y Brasil. Puedes construir esto.