Requisitos Legais para Websites e Aplicativos: Israel

Israel alterou seu regime de privacidade em 14 de agosto de 2025, quando a Emenda 13 à Lei de Proteção de Privacidade entrou em vigor — trazendo definições ao estilo do GDPR, responsáveis obrigatórios por privacidade e segurança para categorias definidas de organização, um dever de registro de banco de dados mais restrito e, pela primeira vez, uma autoridade de fiscalização com multas administrativas reais que chegam à casa dos milhões de shekels. Em torno disso, existem três regras que vêm gerando processos contra sites israelenses há anos: a lei de spam, com danos estatutários de até ₪1.000 por mensagem sem a necessidade de comprovar qualquer dano; as regras de divulgação e cancelamento em 14 dias para vendas à distância; e a acessibilidade web, onde os serviços abrangidos precisam avaliar o Padrão Israelense 5568, declarações aplicáveis e isenções. Avalie as obrigações de privacidade, marketing, consumidor e acessibilidade em conjunto. O que mais importa depende do produto, dos dados e dos clientes; este guia não classifica a probabilidade de reivindicações. Uma vantagem que vale a pena conhecer: Israel detém uma decisão de adequação da UE, portanto, os dados dos clientes da UE podem fluir para servidores israelenses sem mecanismos de transferência adicionais — um ativo comercial real para SaaS israelenses. Este é o capítulo sobre Israel da nossa lista de verificação jurídica antes do lançamento. Execute essa sequência de prompts primeiro e, em seguida, aplique isto.

Principais pontos

• A Emenda 13 está em vigor desde 14 de agosto de 2025: novas definições, deveres de nomeação de responsáveis, registro restrito e multas administrativas.
• Um responsável pela privacidade é exigido para órgãos públicos, corretores de dados qualificados que processam informações de mais de 10.000 pessoas, organizações que realizam monitoramento regular e sistemático significativo como atividade principal, organizações cuja atividade principal envolve dados sensíveis em larga escala, e bancos, seguradoras, hospitais e fundos de saúde.
• O registro de banco de dados agora se aplica principalmente a órgãos públicos e corretores de dados acima de 10.000 pessoas; um dever de notificação separado se aplica a bancos de dados com informações sensíveis de mais de 100.000 pessoas.
• Os Regulamentos de Segurança da Informação (2017) exigem um documento de definição de banco de dados, controle de acesso, tratamento de incidentes e auditorias periódicas, dimensionados de acordo com um nível de segurança.
• Lei de spam: consentimento prévio por escrito para mensagens publicitárias, a palavra "anúncio" na mensagem e uma opção de opt-out no mesmo canal. Danos estatutários de até ₪1.000 por mensagem sem prova de dano.
• Vendas à distância: divulgação pré-contratual completa, confirmação por escrito e um direito de cancelamento de 14 dias — estendido para quatro meses para idosos, novos imigrantes e pessoas com deficiência em transações qualificadas.
• Acessibilidade: O Padrão Israelense 5568 no nível AA é obrigatório sob o Regulamento 35, e uma declaração de acessibilidade é necessária.

Privacidade após a Emenda 13

O que a emenda fez. Modernizou as definições da lei de 1981 em direção às normas internacionais, reestruturou o regime de registro, criou deveres de nomeação de responsáveis e — o mais importante — armou a Autoridade de Proteção de Privacidade com poderes de aplicação administrativa e sanções monetárias que podem chegar a milhões de shekels, algumas sem oportunidade de correção prévia.

Responsável pela privacidade (ממונה על הגנת הפרטיות). Exigido para órgãos públicos; corretores de dados qualificados que processam informações de mais de 10.000 pessoas; organizações cujas atividades principais envolvem monitoramento regular e sistemático em escala significativa; organizações cuja atividade principal envolve o processamento de informações sensíveis em larga escala; e instituições financeiras, seguradoras, hospitais e fundos de saúde. O responsável deve ser independente, reportar-se à gerência e ter recursos adequados. A maioria dos pequenos produtos fica fora disso — avalie cada categoria estatutária em vez de assumir que qualquer negócio baseado em dados deve nomear um.

Responsável pela segurança da informação (ממונה אבטחת מידע). Avalie o dever de nomeação estatutária separado. Não é intercambiável com a função de responsável pela privacidade.

Registro e notificação. O registro agora é mais restrito: órgãos públicos e corretores de dados com bancos de dados de mais de 10.000 pessoas. Um dever separado de notificar a Autoridade se aplica a bancos de dados contendo informações sensíveis de mais de 100.000 pessoas. Muitas pequenas empresas que se registraram anteriormente não precisam mais — mas verifique onde você se enquadra em vez de assumir.

Notificação na coleta. Ao solicitar informações a alguém, você deve informar se o fornecimento é obrigatório ou voluntário e a consequência da recusa, o propósito, a identidade e os dados de contato do controlador, os destinatários e propósitos pretendidos e os direitos de inspecionar e solicitar correção. Este é um dever estatutário no momento da coleta, não algo que uma página de política cumpre por si só.

Consentimento. A orientação da Autoridade trata o consentimento como exigindo compreensão genuína e uma escolha real: específica, informada e não vinculada a termos não relacionados. Caixas de seleção agrupadas "concordo com os termos e política de privacidade e em receber marketing" são a falha clássica.

Regulamentos de Segurança da Informação 2017. Ainda o manual de regras de segurança operacional. Classifique o banco de dados e o nível de segurança aplicável, então determine seu documento de definição, controle de acesso, registro, incidente, terceirização e deveres de auditoria. Nem todo banco de dados de nível básico possui todos os requisitos de auditoria de nível superior.

Direitos. Os indivíduos podem revisar as informações mantidas sobre eles e exigir a correção de informações incorretas, incompletas, pouco claras ou desatualizadas.

Adequação da UE. Israel é reconhecido como provedor de proteção adequada, portanto, dados pessoais podem se mover do EEE para Israel sem salvaguardas adicionais. Vale a pena declarar explicitamente em seus materiais de vendas se você vende para clientes europeus.

A lei de spam — aquela que gera processos

A Emenda 40 à Lei de Comunicações rege "mensagens publicitárias" enviadas por e-mail, SMS, fax ou discagem automatizada.

• Consentimento prévio, por escrito (incluindo eletrônico), é a regra. O consentimento deve ser específico e informado.
• Exceção restrita para clientes existentes: se você obteve os detalhes no decorrer de uma venda ou negociação, informou ao cliente que os detalhes seriam usados para publicidade e deu uma chance simples de recusar — você pode enviar sobre bens ou serviços semelhantes.
• Toda mensagem deve ser marcada como um anúncio, identificar o remetente por nome e endereço e explicar como optar por sair (opt-out).
• O opt-out deve estar disponível no mesmo canal em que a mensagem chegou — uma resposta, um link ou uma mensagem de texto — e deve ser simples e gratuito.
• Danos estatutários de até ₪1.000 por mensagem sem prova de dano, e ações coletivas são comuns. Esta é a regra digital mais litigada em Israel.

A implicação prática na construção: uma caixa de seleção de marketing separada, não marcada, com o texto exato armazenado junto com o registro de data/hora, e um cancelamento de inscrição que funcione sem fazer login.

Vendas: transações à distância

Sob a Lei de Defesa do Consumidor, uma transação à distância (מכר מרחוק) exige divulgação antes do negócio: o nome da empresa, número da empresa ou identidade e endereço, as principais características do produto ou serviço, o preço e as condições de pagamento, prazo e método de entrega, o período em que a oferta é válida, detalhes da garantia e os direitos de cancelamento e como exercê-los.

Após a transação, você deve fornecer um documento por escrito — em hebraico ou no idioma usado para o marketing — repetindo essas informações juntamente com o nome do fabricante, país de origem e quaisquer termos adicionais.

Cancelamento: geralmente dentro de 14 dias após o recebimento do produto ou do documento de divulgação, o que ocorrer por último; para serviços, verifique o que ocorrer por último entre a transação e o documento de divulgação e as regras de aviso e prazos específicas do serviço. Para transações qualificadas envolvendo pessoas com deficiência, idosos e novos imigrantes, a janela se estende para quatro meses. Para cancelamentos elegíveis por mudança de ideia, as taxas geralmente são limitadas ao menor valor entre 5% ou ₪100; defeitos, não conformidade ou não entrega podem exigir cancelamento sem essa taxa. Certas categorias — perecíveis, bens feitos sob medida, alguns conteúdos digitais — são excluídas.

Os preços devem ser exibidos em shekels, incluindo IVA, e as informações voltadas ao consumidor devem estar em hebraico.

Acessibilidade — obrigatória e litigada

Avalie se o serviço é coberto pelo Regulamento 35 e qual versão do Padrão Israelense 5568 se aplica. As isenções dependem de fatos, incluindo status da empresa, faturamento e idade do site; um limite geral de ₪100.000 não é confiável.

A orientação atual da Comissão lista uma isenção técnica total para um comerciante isento ou faturamento abaixo de ₪120.000, e outros arranjos condicionais para outras faixas de faturamento. Confirme sua posição específica em relação à orientação oficial de acessibilidade; uma declaração geral de que todos abaixo de ₪1 milhão estão isentos também estaria incorreta.

Forneça um canal de contato acessível e descreva com precisão o serviço real e qualquer isenção. Não invente um coordenador de acessibilidade nem afirme que um widget ou auditoria automatizada prova a conformidade.

O que ainda não está regulamentado

Israel não tem estatuto vinculante sobre IA. Existe trabalho de política — uma política nacional de IA e orientação setorial — e a Autoridade de Proteção de Privacidade publicou posições sobre IA e dados pessoais, mas não há equivalente à Lei de IA da UE. Se suas atividades de IA estiverem dentro do escopo da Lei de IA da UE, seus deveres relevantes podem se aplicar; se você vende apenas em Israel, a divulgação de IA é uma boa prática e, onde uma resposta de IA possa enganar um consumidor, possivelmente exigida pela lei do consumidor em vez da lei de IA.

Também não há estatuto específico para cookies. A posição da Autoridade é que os cookies que coletam informações pessoais exigem consentimento, e a prática israelense convergiu para banners ao estilo da UE — avalie o direcionamento da UE e o rastreamento real, em vez de depender apenas da localização do visitante.

O prompt específico para Israel

Execute isso após os dez prompts na lista de verificação principal:

Add Israeli compliance mechanics to this app. All user-facing text must be in Hebrew, with correct right-to-left layout. Implement each item and report exactly what changed:

1. A notice at every point of collection stating: whether provision is required or voluntary and the consequence of refusal, the purpose, the controller identity and contact details, recipients and purposes, and inspection/correction rights. Not a link to the policy — a visible line on the form. List every form and confirm each has one.
2. Separate contract acceptance, privacy information and optional marketing permission. Do not require a blanket privacy-consent checkbox simply to acknowledge the notice. Where a specific processing purpose requires consent, provide a separate informed choice. Keep marketing optional and unticked, and record wording, time and version.
3. Marketing messages: mark every advertising email or SMS as an advertisement, include the sender name and address, and provide an opt-out in the same channel that works without logging in and takes effect immediately. Log every opt-out with its timestamp.
4. A privacy policy in Hebrew stating what is collected, the purpose of each collection, who receives it, retention periods, security measures in general terms, the right to review and correct information, and a contact channel. Use placeholders [[LEGAL ENTITY]], [[COMPANY NUMBER]], [[ADDRESS]], [[CONTACT EMAIL]] where you cannot know the fact.
5. A database inventory: list every store of personal information in this app, what it contains, who can access it, and whether any of it is sensitive information — health, financial, biometric, political or religious views, sexual orientation, or data about minors. I need this for the database definition document.
6. Access control review: confirm each user account can only reach its own records, that admin actions are enforced server-side, that access is logged, and that no shared credentials exist.
7. If we sell: pre-contract disclosure showing business name, company number, address, main characteristics, total price in shekels including VAT, delivery time and method, warranty and cancellation rights; an automatic Hebrew confirmation document sent after purchase containing the same details; and a cancellation flow in the account area that works in at most two clicks.
8. An accessibility pass against WCAG 2.1 Level AA, plus a Hebrew accessibility statement page linked from the footer of every page with placeholders for the accessibility coordinator's name and contact.

For each item report PASS or explain what blocked it. Do not invent legal citations in user-facing text.
Copiar prompt

Lista de verificação antes do lançamento — Israel

• Aviso na coleta em todos os formulários: obrigatório ou voluntário, propósito, destinatários
• Aceitação de contrato, aviso de privacidade e marketing opcional distinguidos; consentimentos necessários documentados por propósito
• Política de privacidade em hebraico com propósitos, destinatários, retenção e uma rota de correção
• Mensagens de marketing marcadas como anúncios com opt-out no mesmo canal
• Inventário de banco de dados compilado; documento de definição de banco de dados preparado sob os Regulamentos de Segurança
• Deveres de nomeação de responsáveis verificados (responsável pela privacidade / responsável pela segurança da informação)
• Dever de registro ou notificação verificado em relação aos limites da Emenda 13
• Controle de acesso verificado: sem leituras cruzadas de usuários, aplicação administrativa no lado do servidor, registro
• Vendas: divulgação pré-contratual completa, documento de confirmação em hebraico, cancelamento em 14 dias, teto de taxa respeitado
• Acessibilidade conforme o Padrão 5568 AA (ou isenção documentada) mais uma declaração de acessibilidade publicada

O que as verificações de construção estabelecem

Os prompts são solicitações de implementação, não uma certificação legal. Controles de dois cliques e padrões de preferência de consentimento são escolhas práticas de design, não requisitos estatutários universais. Confirme jurisdição, exceções, retenção e contratos de provedores separadamente. Verifique os controles com contas de teste e comportamento real de navegador/rede; um PASS do construtor baseado apenas na inspeção de código é uma evidência incompleta.

Fontes oficiais e escopo da revisão

Atualizado em 14 de setembro de 2026. As fontes vinculadas suportam o escopo e as correções discutidas aqui; esta é uma revisão editorial, não uma opinião jurídica exaustiva ou uma certificação do seu produto. Verifique a regra operacional ao agir.

• Perguntas e respostas da Emenda 13 da PPA
• Guia profissional da Emenda 13 da PPA
• Isenções de acessibilidade da Comissão

Em Israel, privacidade, marketing e acessibilidade precisam de verificações de escopo separadas. Execute a lista de verificação antes do lançamento, depois o prompt de Israel acima. Vendendo para o exterior também? Veja os Estados Unidos, a União Europeia, o Reino Unido, o Canadá, a Austrália e o Brasil. Você pode construir isso.