Exigences légales pour les sites web et les applications : Israël

Israël a modifié son régime de protection de la vie privée le 14 août 2025, date à laquelle l'amendement 13 à la loi sur la protection de la vie privée est entré en vigueur, introduisant des définitions de style RGPD, des responsables de la protection de la vie privée et de la sécurité obligatoires pour certaines catégories d'organisations, une obligation d'enregistrement des bases de données plus restreinte et, pour la première fois, une autorité de contrôle capable d'infliger des amendes administratives réelles se chiffrant en millions de shekels. Autour de cela, trois règles font l'objet de poursuites contre des sites web israéliens depuis des années : la loi sur le spam, avec des dommages-intérêts légaux pouvant atteindre 1 000 ₪ par message sans preuve de préjudice ; les règles de divulgation et d'annulation de 14 jours pour la vente à distance ; et l'accessibilité du web, où les services concernés doivent évaluer la norme israélienne 5568, les déclarations applicables et les exemptions.

Évaluez conjointement les obligations en matière de vie privée, de marketing, de consommation et d'accessibilité. Ce qui importe le plus dépend du produit, des données et des clients ; ce guide ne classe pas la probabilité des réclamations.

Un avantage à connaître : Israël bénéficie d'une décision d'adéquation de l'UE, les données des clients européens peuvent donc circuler vers des serveurs israéliens sans mécanismes de transfert supplémentaires — un véritable atout commercial pour le SaaS israélien.

Ceci est le chapitre sur Israël de notre liste de contrôle juridique avant le lancement. Exécutez cette séquence d'invites d'abord, puis ajoutez celle-ci.

Points clés à retenir

• L'amendement 13 est en vigueur depuis le 14 août 2025 : nouvelles définitions, obligations de nomination de responsables, enregistrement restreint et amendes administratives.
• Un responsable de la protection de la vie privée est requis pour les organismes publics, les courtiers en données qualifiés traitant des informations sur plus de 10 000 personnes, les organisations effectuant une surveillance régulière et systématique importante en tant qu'activité principale, les organisations dont l'activité principale implique des données sensibles à grande échelle, ainsi que les banques, assureurs, hôpitaux et caisses de santé.
• L'enregistrement des bases de données ne s'applique désormais principalement qu'aux organismes publics et aux courtiers en données de plus de 10 000 personnes ; une obligation de notification distincte s'applique aux bases de données contenant des informations sensibles sur plus de 100 000 personnes.
• Le règlement sur la sécurité de l'information (2017) exige un document de définition de base de données, un contrôle d'accès, la gestion des incidents et des audits périodiques, adaptés à un niveau de sécurité.
• Loi sur le spam : consentement écrit préalable pour les messages publicitaires, le mot « publicité » dans le message et une option de désinscription via le même canal. Dommages-intérêts légaux jusqu'à 1 000 ₪ par message sans preuve de préjudice.
• Vente à distance : divulgation complète précontractuelle, confirmation écrite et droit d'annulation de 14 jours — étendu à quatre mois pour les seniors, les nouveaux immigrants et les personnes handicapées dans le cadre de transactions éligibles.
• Accessibilité : la norme israélienne 5568 au niveau AA est obligatoire en vertu du règlement 35, et une déclaration d'accessibilité est requise.

La vie privée après l'amendement 13

Ce que l'amendement a fait. Il a modernisé les définitions de la loi de 1981 en les alignant sur les normes internationales, a restructuré le régime d'enregistrement, a créé des obligations de nomination de responsables et — surtout — a doté l'Autorité de protection de la vie privée de pouvoirs d'application administrative et de sanctions monétaires pouvant atteindre des millions de shekels, parfois sans opportunité de mise en conformité préalable.

Responsable de la vie privée (ממונה על הגנת הפרטיות). Requis pour les organismes publics ; les courtiers en données qualifiés traitant des informations sur plus de 10 000 personnes ; les organisations dont les activités principales impliquent une surveillance régulière et systématique à grande échelle ; les organisations dont l'activité principale implique le traitement d'informations sensibles à grande échelle ; et les institutions financières, assureurs, hôpitaux et caisses de santé. Le responsable doit être indépendant, rendre compte à la direction et disposer de ressources adéquates. La plupart des petits produits n'entrent pas dans ce cadre — évaluez chaque catégorie légale plutôt que de supposer que toute entreprise basée sur des données doit en nommer un.

Responsable de la sécurité de l'information (ממונה אבטחת מידע). Évaluez l'obligation de nomination statutaire distincte. Ce rôle n'est pas interchangeable avec celui de responsable de la protection de la vie privée.

Enregistrement et notification. L'enregistrement est désormais plus restreint : organismes publics et courtiers en données avec des bases de données de plus de 10 000 personnes. Une obligation distincte de notifier l'Autorité s'applique aux bases de données contenant des informations sensibles sur plus de 100 000 personnes. De nombreuses petites entreprises qui s'étaient enregistrées auparavant n'ont plus besoin de le faire — mais vérifiez votre situation plutôt que de faire des suppositions.

Avis lors de la collecte. Lorsque vous demandez des informations à quelqu'un, vous devez lui dire si la fourniture est obligatoire ou volontaire, les conséquences d'un refus, la finalité, l'identité et les coordonnées du responsable du traitement, les destinataires et finalités prévus, ainsi que les droits d'accès et de correction. Il s'agit d'une obligation légale au moment de la collecte, et non quelque chose qu'une page de politique de confidentialité remplit seule.

Consentement. Les directives de l'Autorité considèrent que le consentement nécessite une compréhension réelle et un choix réel : spécifique, éclairé et non regroupé dans des conditions sans rapport. Les cases à cocher groupées « J'accepte les conditions, la politique de confidentialité et de recevoir des offres marketing » sont l'échec classique.

Règlement sur la sécurité de l'information 2017. Toujours le manuel de sécurité opérationnel. Classez la base de données et le niveau de sécurité applicable, puis déterminez ses obligations en matière de document de définition, de contrôle d'accès, de journalisation, d'incidents, d'externalisation et d'audit. Toutes les bases de données de niveau de base n'ont pas toutes les exigences d'audit de niveau supérieur.

Droits. Les individus peuvent consulter les informations détenues à leur sujet et exiger la correction des informations incorrectes, incomplètes, peu claires ou obsolètes.

Adéquation avec l'UE. Israël est reconnu comme offrant une protection adéquate, de sorte que les données personnelles peuvent passer de l'EEE à Israël sans garanties supplémentaires. Il vaut la peine de l'indiquer explicitement dans vos supports de vente si vous vendez à des clients européens.

La loi sur le spam — celle qui génère des poursuites

L'amendement 40 à la loi sur les communications régit les « messages publicitaires » envoyés par e-mail, SMS, fax ou numérotation automatisée.

• Le consentement préalable, par écrit (y compris électronique), est la règle. Le consentement doit être spécifique et éclairé.
• Exception étroite pour les clients existants : si vous avez obtenu les coordonnées lors d'une vente ou d'une négociation, que vous avez informé le client que les coordonnées seraient utilisées à des fins publicitaires et que vous avez offert une possibilité simple de refuser — vous pouvez envoyer des messages sur des biens ou services similaires.
• Chaque message doit être marqué comme une publicité, identifier l'expéditeur par son nom et son adresse, et expliquer comment se désinscrire.
• La désinscription doit être disponible par le même canal que celui par lequel le message est arrivé — une réponse, un lien ou un SMS — et doit être simple et gratuite.
• Dommages-intérêts légaux jusqu'à 1 000 ₪ par message sans preuve de préjudice, et les recours collectifs sont courants. C'est la règle numérique la plus contestée en Israël.

Implication pratique pour le développement : une case à cocher marketing distincte et non cochée par défaut, avec le libellé exact stocké avec l'horodatage, et un désabonnement qui fonctionne sans se connecter.

Vente : transactions à distance

En vertu de la loi sur la protection du consommateur, une transaction à distance (מכר מרחוק) nécessite une divulgation avant la transaction : le nom de l'entreprise, le numéro d'entreprise ou d'identification et l'adresse, les principales caractéristiques du produit ou service, le prix et les conditions de paiement, le délai et le mode de livraison, la période de validité de l'offre, les détails de la garantie, ainsi que les droits d'annulation et la manière de les exercer.

Après la transaction, vous devez fournir un document écrit — en hébreu, ou dans la langue utilisée pour la commercialisation — reprenant ces informations ainsi que le nom du fabricant, le pays d'origine et toute condition supplémentaire.

Annulation : généralement dans les 14 jours suivant la réception du produit ou du document de divulgation, la date la plus tardive étant retenue ; pour les services, vérifiez la date la plus tardive entre la transaction, le document de divulgation et les règles de délai spécifiques au service. Pour les transactions éligibles impliquant des personnes handicapées, des seniors et de nouveaux immigrants, le délai s'étend à quatre mois. Pour les annulations pour changement d'avis éligibles, les frais sont généralement plafonnés au plus bas de 5 % ou 100 ₪ ; les défauts, la non-conformité ou la non-livraison peuvent nécessiter une annulation sans ces frais. Certaines catégories — denrées périssables, produits sur mesure, certains contenus numériques — sont exclues.

Les prix doivent être affichés en shekels, TVA comprise, et les informations destinées au consommateur doivent être en hébreu.

Accessibilité — obligatoire et litigieuse

Évaluez si le service est couvert par le règlement 35 et quelle version de la norme israélienne 5568 s'applique. Les exemptions dépendent de faits, notamment le statut de l'entreprise, le chiffre d'affaires et l'ancienneté du site ; un seuil forfaitaire de 100 000 ₪ n'est pas fiable.

Les conseils actuels de la Commission énumèrent une exemption technique complète pour un commerçant exonéré ou un chiffre d'affaires inférieur à 120 000 ₪, et d'autres arrangements conditionnels pour d'autres tranches de chiffre d'affaires. Confirmez votre position spécifique par rapport aux conseils officiels sur l'accessibilité ; une déclaration générale selon laquelle toute personne réalisant moins d'un million de shekels est exonérée serait également fausse.

Fournissez un canal de contact accessible et décrivez précisément le service réel ainsi que toute exemption. N'inventez pas de coordinateur d'accessibilité et ne prétendez pas qu'un widget ou un audit automatisé prouve la conformité.

Ce qui n'est pas encore réglementé

Israël n'a pas de loi contraignante sur l'IA. Des travaux politiques existent — une politique nationale sur l'IA et des conseils sectoriels — et l'Autorité de protection de la vie privée a publié des positions sur l'IA et les données personnelles, mais il n'existe pas d'équivalent à la loi européenne sur l'IA (AI Act). Si vos activités d'IA entrent dans le champ d'application de l'AI Act européen, ses obligations pertinentes peuvent s'appliquer ; si vous vendez uniquement en Israël, la divulgation de l'utilisation de l'IA est une bonne pratique et, là où une réponse IA pourrait induire un consommateur en erreur, est probablement requise par le droit de la consommation plutôt que par la loi sur l'IA.

Il n'existe pas non plus de loi spécifique sur les cookies. La position de l'Autorité est que les cookies collectant des informations personnelles nécessitent un consentement, et la pratique israélienne a convergé vers des bannières de style européen — évaluez le ciblage européen et le suivi réel plutôt que de vous fier uniquement à l'emplacement du visiteur.

L'invite spécifique à Israël

Exécutez ceci après les dix invites de la liste de contrôle principale :

Add Israeli compliance mechanics to this app. All user-facing text must be in Hebrew, with correct right-to-left layout. Implement each item and report exactly what changed:

1. A notice at every point of collection stating: whether provision is required or voluntary and the consequence of refusal, the purpose, the controller identity and contact details, recipients and purposes, and inspection/correction rights. Not a link to the policy — a visible line on the form. List every form and confirm each has one.
2. Separate contract acceptance, privacy information and optional marketing permission. Do not require a blanket privacy-consent checkbox simply to acknowledge the notice. Where a specific processing purpose requires consent, provide a separate informed choice. Keep marketing optional and unticked, and record wording, time and version.
3. Marketing messages: mark every advertising email or SMS as an advertisement, include the sender name and address, and provide an opt-out in the same channel that works without logging in and takes effect immediately. Log every opt-out with its timestamp.
4. A privacy policy in Hebrew stating what is collected, the purpose of each collection, who receives it, retention periods, security measures in general terms, the right to review and correct information, and a contact channel. Use placeholders [[LEGAL ENTITY]], [[COMPANY NUMBER]], [[ADDRESS]], [[CONTACT EMAIL]] where you cannot know the fact.
5. A database inventory: list every store of personal information in this app, what it contains, who can access it, and whether any of it is sensitive information — health, financial, biometric, political or religious views, sexual orientation, or data about minors. I need this for the database definition document.
6. Access control review: confirm each user account can only reach its own records, that admin actions are enforced server-side, that access is logged, and that no shared credentials exist.
7. If we sell: pre-contract disclosure showing business name, company number, address, main characteristics, total price in shekels including VAT, delivery time and method, warranty and cancellation rights; an automatic Hebrew confirmation document sent after purchase containing the same details; and a cancellation flow in the account area that works in at most two clicks.
8. An accessibility pass against WCAG 2.1 Level AA, plus a Hebrew accessibility statement page linked from the footer of every page with placeholders for the accessibility coordinator's name and contact.

For each item report PASS or explain what blocked it. Do not invent legal citations in user-facing text.
Copier le prompt

Liste de contrôle avant le lancement — Israël

• Avis de collecte sur chaque formulaire : obligatoire ou volontaire, finalité, destinataires
• Acceptation du contrat, avis de confidentialité et marketing facultatif distingués ; consentements requis documentés par finalité
• Politique de confidentialité en hébreu avec finalités, destinataires, conservation et procédure de correction
• Messages marketing marqués comme publicités avec désinscription via le même canal
• Inventaire de base de données compilé ; document de définition de base de données préparé conformément au Règlement sur la sécurité
• Obligations de nomination des responsables vérifiées (responsable de la vie privée / responsable de la sécurité de l'information)
• Obligation d'enregistrement ou de notification vérifiée par rapport aux seuils de l'amendement 13
• Contrôle d'accès vérifié : pas de lectures croisées entre utilisateurs, application de l'administration côté serveur, journalisation
• Vente : divulgation précontractuelle complète, document de confirmation en hébreu, annulation de 14 jours, respect du plafonnement des frais
• Accessibilité selon la norme 5568 AA (ou exemption documentée) plus une déclaration d'accessibilité publiée

Ce que les contrôles de construction établissent

Les invites sont des demandes de mise en œuvre, pas une certification juridique. Les contrôles en deux clics et les paramètres par défaut basés sur le consentement sont des choix de conception pratiques, pas des exigences légales universelles. Confirmez la juridiction, les exceptions, la conservation et les contrats des fournisseurs séparément. Vérifiez les contrôles avec des comptes de test et le comportement réel du navigateur/réseau ; un SUCCÈS du développeur basé uniquement sur l'inspection du code est une preuve incomplète.

Sources officielles et portée de l'examen

Mise à jour le 14 septembre 2026. Les sources liées soutiennent la portée et les corrections discutées ici ; il s'agit d'une revue éditoriale, pas d'un avis juridique exhaustif ou d'une certification de votre produit. Vérifiez la règle opérationnelle lors de l'action.

• Questions et réponses sur l'amendement 13 de la PPA
• Guide professionnel de l'amendement 13 de la PPA
• Exemptions d'accessibilité de la Commission

En Israël, la vie privée, le marketing et l'accessibilité nécessitent des contrôles de portée distincts. Exécutez la liste de contrôle avant le lancement, puis l'invite Israël ci-dessus. Vous vendez également à l'étranger ? Consultez les États-Unis, l'Union européenne, le Royaume-Uni, le Canada, l'Australie et le Brésil. Vous pouvez construire cela.