La loi israélienne sur la protection de la vie privée · 5741-1981 · avec l'amendement 13, en vigueur le 14 août 2025
Ce que la Loi protège, ce qui constitue une base de données, qui doit nommer un délégué à la protection des données (DPO), et ce qu'une société détenant des données personnelles de salariés israéliens doit réellement faire. Pour chaque sujet : d'abord la traduction de l'article de loi, puis une explication en langage clair. La traduction n'est pas officielle · l'original hébreu fait seul foi.
Résumé IA Loi sur la protection de la vie privée · cliquez iciCliquez pour lire le résumé de la page
La loi sur la protection de la vie privée, 5741-1981, dispose que nul ne peut porter atteinte à la vie privée d'autrui sans son consentement (article 1) et énumère onze formes d'atteinte (article 2) · un délit civil selon l'article 4 et, pour la plupart d'entre elles, une infraction pénale passible de 5 ans d'emprisonnement selon l'article 5. Le chapitre sur les bases de données régit le traitement licite (article 8), l'obligation d'enregistrement ou de notification (article 8A), les droits d'accès et de rectification (articles 13 à 14), la sécurité des données (article 17) et le devoir de nommer un délégué à la protection des données (article 17B1). L'amendement 13, dont les principales dispositions sont entrées en vigueur le 14 août 2025, a élargi les pouvoirs d'application et les sanctions financières de l'Autorité, introduit le devoir de DPO, réduit l'enregistrement des bases, créé de nouvelles infractions et aligné les définitions sur le RGPD. Ci-dessous : le texte de loi accompagné d'une explication claire, ce qu'un employeur étranger doit concrètement faire, un petit test de connaissances et une FAQ. La traduction n'est pas officielle ; le texte hébreu fait seul foi.
Ce résumé est généré à partir du contenu de la page · il ne constitue pas un conseil juridique.
L'essentiel
- Article 1 · aucune atteinte à la vie privée d'autrui sans son consentement.
- Article 2 · onze formes d'atteinte à la vie privée énumérées.
- Base de données · un ensemble de données personnelles traitées par des moyens numériques (article 3).
- DPO · nomination obligatoire pour les organismes énumérés à l'article 17B1.
- Jusqu'à 50 000 shekels d'indemnisation sans preuve de dommage (article 29A).
- Cette page est informative uniquement · le texte faisant foi est l'hébreu publié au Reshumot.
Sur cette page
- La loi en chiffres
- À propos de la loi
- Atteinte à la vie privée · articles 1 à 5
- Bases de données et traitement · articles 3 à 14
- Sécurité des données et DPO · articles 17 à 17B2
- Application et indemnisation
- Amendement 13 · ce qui a changé
- Ce qu'un employeur étranger doit faire
- Testez vos connaissances
- Questions fréquentes
- En résumé
La loi sur la protection de la vie privée en chiffres
À propos de la loi sur la protection de la vie privée
La loi sur la protection de la vie privée, 5741-1981 (en hébreu : "חוק הגנת הפרטיות"), est la principale loi israélienne en matière de vie privée et de protection des données. Elle fait deux choses distinctes. Premièrement, elle rend illicite l'atteinte à la vie privée d'une personne : l'article 1 l'interdit sans consentement, l'article 2 énumère onze formes précises, l'article 4 en fait un délit civil auquel s'applique l'ordonnance sur la responsabilité civile, et l'article 5 fait d'une atteinte délibérée, par la plupart de ces formes, une infraction pénale.
Deuxièmement, elle réglemente les bases de données et le traitement des données personnelles : un traitement lié à la finalité légalement fixée pour la base (article 8), l'obligation d'enregistrement ou de notification (article 8A), un devoir d'information lorsqu'on demande des données à une personne (article 11), les droits d'accès et de rectification (articles 13 à 14), la sécurité des données (article 17) et le devoir de nommer un responsable de la sécurité de l'information (article 17B) et un délégué à la protection des données (articles 17B1 à 17B2). L'amendement 13 a profondément remanié cette seconde partie et est entré en vigueur, pour l'essentiel, le 14 août 2025.
Si vous employez des personnes en Israël, cette Loi s'inscrit dans le reste du cadre du droit du travail israélien.
- Pour chaque sujet · d'abord la traduction de l'article, puis une explication en langage clair.
- Atteinte à la vie privée, bases de données, accès et rectification, sécurité des données.
- Amendement 13 · le devoir de DPO, les pouvoirs d'application et les sanctions.
Le texte légal a été traduit à partir de la version hébraïque officielle sur Nevo, telle qu'en vigueur après l'amendement 13, et vérifié par rapport à celle-ci. L'original hébreu est le seul texte juridiquement contraignant. La loi de 1981 est la principale loi israélienne sur la vie privée.
La loi sur la protection de la vie privée · article par article
Pour chaque sujet, la traduction française de l'article de loi apparaît d'abord (dans les encadrés dépliables, marqués comme texte de loi) · et en dessous, une explication en langage clair dans un encadré turquoise portant la mention « Explication · ne fait pas partie de la loi ». La traduction n'est pas officielle ; seul le texte hébreu sur Nevo fait foi.
Chapitre A · L'atteinte à la vie privée · articles 1 à 5
Article 1 · Interdiction de l'atteinte à la vie privée
Nul ne portera atteinte à la vie privée d'autrui sans son consentement.
Article 2 · Ce qui constitue une atteinte à la vie privée
Constitue une atteinte à la vie privée l'un des actes suivants :
(1) espionner ou suivre une personne d'une manière susceptible de la harceler, ou tout autre harcèlement ;
(2) une écoute interdite par la loi ;
(3) photographier une personne lorsqu'elle se trouve dans le domaine privé ;
(4) publier la photographie d'une personne en public, dans des circonstances où la publication est susceptible de l'humilier ou de la rabaisser ;
(4a) publier en public la photographie d'un blessé, prise au moment de l'atteinte ou peu après, d'une manière permettant de l'identifier et dans des circonstances où la publication est susceptible de le mettre dans l'embarras · à l'exception de la publication d'une photographie sans délai entre le moment de la prise de vue et le moment de la diffusion effective, qui n'excède pas ce qui est raisonnable dans ces circonstances ; à cette fin, « blessé » désigne une personne ayant subi une atteinte physique ou mentale à la suite d'un événement soudain et dont l'atteinte est visible ;
(5) copier le contenu d'une lettre ou d'un autre écrit non destiné à la publication, ou utiliser son contenu, sans l'autorisation du destinataire ou de l'auteur, à condition que l'écrit n'ait pas de valeur historique et que quinze ans ne se soient pas écoulés depuis sa rédaction ; à cette fin, « écrit » inclut un message électronique au sens de la loi sur la signature électronique, 5761-2001 ;
(6) utiliser le nom d'une personne, son surnom, son image ou sa voix à des fins lucratives ;
(7) la violation d'une obligation de confidentialité fixée par la loi concernant les affaires privées d'une personne ;
(8) la violation d'une obligation de confidentialité concernant les affaires privées d'une personne, fixée par un accord exprès ou implicite ;
(9) utiliser des informations sur les affaires privées d'une personne, ou les remettre à autrui, à une fin autre que celle pour laquelle elles ont été données ;
(10) publier ou remettre une chose obtenue par voie d'atteinte à la vie privée au sens des paragraphes (1) à (7) ou (9) ;
(11) publier une chose relative à la vie personnelle intime d'une personne, y compris son passé sexuel, ou à son état de santé, ou à son comportement dans le domaine privé.
Article 3 · Définitions (définitions clés)
Aux fins de la présente Loi (les définitions clés sont reproduites ici ; la liste complète figure dans le texte hébreu officiel) ·
« sécurité de l'information » · la protection de l'intégrité des données personnelles, ou la protection des données personnelles contre un traitement sans autorisation légale ;
« responsable » d'une base de données · une personne qui détermine, seule ou avec une autre, les finalités du traitement des informations de la base, ou un organisme qui, ou un titulaire de fonction en son sein qui, est habilité par un texte à traiter des informations dans une base de données ;
« démarchage direct » · une approche personnelle d'une personne, fondée sur son appartenance à un groupe de population déterminé par une ou plusieurs caractéristiques des personnes dont les noms figurent dans une base de données ;
« consentement » · un consentement éclairé, exprès ou implicite ;
« base de données » · un ensemble de données personnelles traitées par des moyens numériques, à l'exception de l'un des suivants :
(1) un ensemble à usage personnel qui n'est pas à des fins commerciales ;
(2) un ensemble qui ne comprend que le nom, l'adresse et les coordonnées de contact, concernant 100 000 personnes ou moins, qui n'indique par lui-même aucune autre information personnelle sur les personnes dont les noms y figurent, à condition que le propriétaire de l'ensemble, ou une société sous son contrôle, ne détienne aucun autre ensemble comprenant d'autres informations sur ces mêmes personnes ;
« détenteur », à l'égard d'une base de données · une partie extérieure au responsable de la base, qui traite des informations pour son compte ;
« donnée personnelle » · une donnée se rapportant à une personne identifiée ou identifiable ; aux fins de cette définition, « personne identifiable » désigne une personne pouvant être identifiée par un effort raisonnable, directement ou indirectement, y compris au moyen d'un élément d'identification tel qu'un nom, un numéro d'identité, un identifiant biométrique, des données de localisation, un identifiant en ligne, ou une ou plusieurs données relatives à son état physique, de santé, économique, social ou culturel ;
« information particulièrement sensible » · chacune des suivantes :
(1) une donnée personnelle sur l'intimité de la vie familiale d'une personne, ses relations intimes et son orientation sexuelle ;
(2) une donnée personnelle relative à l'état de santé d'une personne, y compris une information médicale au sens de la loi sur les droits du patient, 5756-1996 ;
(3) une donnée personnelle constituant une information génétique au sens de la loi sur l'information génétique, 5761-2000 ;
(4) une donnée personnelle constituant un identifiant biométrique utilisé, ou destiné à être utilisé, pour identifier une personne ou vérifier son identité par des moyens informatisés ;
(5) une donnée personnelle sur l'origine d'une personne ;
(6) une donnée personnelle sur le passé pénal d'une personne ;
(7) une donnée personnelle sur les opinions politiques ou les croyances religieuses ou la vision du monde d'une personne ;
(10) une donnée personnelle sur les données salariales d'une personne et son activité financière ;
(11) une donnée personnelle à laquelle s'applique une obligation de confidentialité fixée par la loi ;
« traitement », « utilisation » · toute opération effectuée sur des données personnelles, y compris leur réception, collecte, conservation, copie, consultation, divulgation, exposition, transfert, remise ou l'octroi d'un accès à celles-ci ;
« intégrité de l'information » · l'identité des données d'une base de données avec la source dont elles ont été tirées, sans qu'elles aient été modifiées, remises ou détruites sans autorisation légale.
Article 4 · L'atteinte à la vie privée comme délit civil
Une atteinte à la vie privée est un délit civil, et les dispositions de l'ordonnance sur la responsabilité civile [nouvelle version] s'y appliquent, sous réserve des dispositions de la présente Loi.
Article 5 · L'atteinte à la vie privée comme infraction
Quiconque porte délibérément atteinte à la vie privée d'autrui, de l'une des manières énoncées à l'article 2(1), (3) à (7) et (9) à (11), est passible de 5 ans d'emprisonnement.
C'est la colonne vertébrale de la Loi. L'article 1 pose le principe : la vie privée est protégée et il ne peut y être porté atteinte qu'avec consentement · que l'article 3 définit comme un consentement éclairé, exprès ou implicite. L'article 2 convertit ensuite ce principe en une liste fermée de onze formes. Notez que la liste ne se limite pas à la surveillance : les paragraphes (7) à (9) couvrent les violations de confidentialité et l'utilisation d'informations à une fin autre que celle pour laquelle elles ont été données · exactement là où atterrit d'ordinaire un employeur qui gère mal les données de son personnel.
Les conséquences suivent deux voies. L'article 4 fait de l'atteinte un délit civil, la personne lésée peut donc agir en responsabilité. L'article 5 fait d'une atteinte délibérée, par la plupart des formes énumérées, une infraction pénale passible de 5 ans d'emprisonnement au maximum. Les paragraphes (2) et (8) sont exclus de la voie pénale.
Chapitre B · Bases de données et traitement des données personnelles
Article 8 · Gestion d'une base de données et traitement licite
(a) Dans le présent article, « traitement » · à l'exclusion d'une conservation incidente de bonne foi.
(b) Nul ne traitera de données personnelles dans une base de données autrement que pour la finalité de la base qui a été légalement fixée pour elle.
(c) Nul ne traitera de données personnelles provenant d'une base de données sans autorisation du responsable de la base, ou en s'écartant d'une telle autorisation.
(d) (1) Le responsable d'une base de données ne traitera pas de données personnelles dans la base, et ne permettra pas à autrui de traiter de telles données pour son compte, si les données personnelles incluses dans la base ont été créées, reçues, accumulées ou collectées en violation des dispositions de la présente Loi ou des dispositions de toute autre loi réglementant le traitement d'informations ;
(2) lorsque des données personnelles ont été remises au responsable d'une base par une autre partie, et que le responsable ne savait pas et n'aurait pas dû savoir que cette partie avait agi illégalement, le responsable ne portera pas la responsabilité au titre du présent alinéa pour le traitement de données personnelles effectué avant qu'il ait su ou aurait dû savoir comme indiqué ;
(3) les dispositions du paragraphe (1) ne s'appliqueront pas à une violation de la loi d'importance mineure dans les circonstances de l'espèce, ni aux données personnelles remises comme indiqué au paragraphe (2), même si le responsable savait ou aurait dû savoir.
Article 8A · Obligation d'enregistrement ou de notification
(a) (1) Une base de données est soumise à enregistrement lorsque l'une des conditions suivantes est remplie :
(a) sa finalité principale est la collecte de données personnelles en vue de les remettre à autrui à titre d'activité commerciale ou contre rémunération, y compris des services de démarchage direct, et la base contient des données personnelles sur plus de 10 000 personnes ;
(b) le responsable de la base est un organisme public au sens du paragraphe (1) de la définition d'« organisme public » à l'article 23, sauf si la base ne comprend des données personnelles que sur les employés de l'organisme public ;
(2) le responsable d'une base ne traitera pas de données personnelles dans une base soumise à enregistrement, et ne permettra pas à autrui de traiter de telles données pour son compte, tant que la base n'a pas été inscrite au registre ;
(b) (1) lorsque le nombre de personnes sur lesquelles des informations particulièrement sensibles sont détenues dans une base non soumise à enregistrement au titre du sous-alinéa (a)(1) dépasse 100 000, le responsable de la base notifiera à l'Autorité, dans les 30 jours de la survenance de ce fait, l'identité du responsable, son adresse et ses coordonnées, l'identité du délégué à la protection des données · si sa nomination est requise en vertu de l'article 17B1 · et ses coordonnées, et remettra à l'Autorité une copie du document de définition de la base dont l'établissement est requis par les règlements pris en vertu des articles 17(b) et 36 ;
(c) Les dispositions du présent article ne s'appliqueront pas à une base de données ne contenant rien d'autre que des informations publiées au public en vertu d'une autorité légale, ou mises à la disposition du public pour consultation en vertu d'une autorité légale.
Article 11 · Devoir de celui qui demande des informations · avis et consentement
Une demande adressée à une personne en vue d'obtenir des données personnelles pour les traiter dans une base de données sera accompagnée d'un avis indiquant ·
(1) si cette personne est soumise à une obligation légale de fournir les informations, ou si leur fourniture dépend de sa volonté et de son consentement, et quelle est la conséquence d'un refus ;
(2) la finalité pour laquelle les informations sont demandées ;
(2a) le nom du responsable de la base de données et ses coordonnées ;
(3) à qui les informations seront remises et les finalités de la remise ;
(4) l'existence d'un droit d'accès aux données personnelles en vertu de l'article 13 et d'un droit de demander la rectification des données personnelles en vertu de l'article 14.
Article 13 · Droit d'accès aux données personnelles
(a) Toute personne a le droit de consulter, en personne, ou par l'intermédiaire d'un représentant autorisé par écrit, ou par son tuteur, les données personnelles la concernant détenues dans une base de données.
(b) Le responsable d'une base de données permettra la consultation des données personnelles, à la demande d'une personne visée au sous-alinéa (a) (dans le présent article · le demandeur), en langue hébraïque, arabe ou anglaise.
(c) Le responsable de la base peut s'abstenir de remettre au demandeur des données personnelles relatives à son état médical ou mental si, à son avis, les informations sont susceptibles de causer un préjudice grave à la santé physique ou mentale du demandeur ou de mettre sa vie en danger ; dans ce cas, le responsable de la base remettra les informations à un médecin ou à un psychologue agissant pour le compte du demandeur.
Article 14 · Rectification des données personnelles
(a) Une personne qui a consulté les données personnelles la concernant et constaté qu'elles ne sont pas exactes, complètes, claires ou à jour peut s'adresser au responsable de la base de données, et si elle est résidente étrangère · au détenteur de la base, avec une demande de rectification ou de suppression des données personnelles.
(b) Lorsque le responsable de la base a accepté une demande visée au sous-alinéa (a), il apportera les modifications requises aux données personnelles en sa possession et les notifiera à toute personne ayant reçu de lui les données personnelles dans le délai prescrit par les règlements.
(c) Lorsque le responsable de la base a refusé de donner suite à une demande visée au sous-alinéa (a), il en informera le demandeur, de la manière et par les moyens prescrits par les règlements.
C'est la partie que la plupart des sociétés comprennent mal. Une base de données est plus large qu'on ne le pense : selon l'article 3, c'est simplement un ensemble de données personnelles traitées par des moyens numériques. Un tableur de salariés israéliens avec des données salariales est une base de données. Les deux exceptions sont étroites · un ensemble purement personnel non commercial, et une simple liste de contacts (nom, adresse, coordonnées uniquement) de 100 000 personnes au plus qui ne révèle rien de plus.
L'article 8 fixe la règle centrale : le traitement doit servir la finalité légalement fixée pour la base, et rien d'autre. L'article 8(d) ajoute l'interdiction, issue de l'amendement 13, de traiter des informations collectées ou créées illégalement · avec une exception de bonne foi lorsque le responsable ne savait pas et n'aurait pas dû savoir.
L'article 8A cible désormais l'enregistrement sur les bases à plus haut risque : il est requis principalement lorsque la finalité principale de la base est de fournir des données personnelles à autrui à titre commercial, sur plus de 10 000 personnes, ou lorsque le responsable est un organisme public (avec une exception pour la base des propres employés d'un organisme). Une obligation de notification distincte s'applique lorsqu'une base non soumise à enregistrement détient des informations particulièrement sensibles sur plus de 100 000 personnes.
Les articles 11, 13 et 14 sont les droits de l'individu : vous devez dire aux personnes ce que vous collectez, pourquoi, qui le reçoit, qui est le responsable et qu'elles ont des droits d'accès et de rectification ; vous devez les laisser consulter leurs informations, en hébreu, en arabe ou en anglais ; et vous devez rectifier ou supprimer lorsque c'est erroné, et en informer les destinataires en aval.
La sécurité des données et le délégué à la protection des données · articles 17 à 17B2
Article 17 · Responsabilité de la sécurité de l'information
(a) Le responsable d'une base de données et le détenteur d'une base de données sont chacun responsables de la sécurité des informations de la base.
(b) (1) Le ministre de la Justice, avec l'accord du Premier ministre et l'approbation de la commission de la Constitution, peut prendre des règlements concernant la responsabilité de la sécurité de l'information prévue au sous-alinéa (a) et à l'article 17B(b), y compris son étendue et les devoirs qu'elle comprend, et concernant les moyens de sécurité de l'information, entre autres dans les matières suivantes :
(a) la protection physique et logique de la base de données ;
(b) les modalités de gestion et les règles de travail dans la base de données et en lien avec elle, y compris la fixation de restrictions d'accès des employés aux informations.
Article 17B · Responsable de la sécurité de l'information
(a) Les organismes énumérés ci-dessous sont tenus de nommer une personne dûment qualifiée comme responsable de la sécurité de l'information :
(1) le responsable de cinq bases de données soumises à enregistrement ou à notification en vertu de l'article 8A, ou le détenteur de cinq telles bases ;
(2) un organisme public au sens de l'article 23 ;
(3) une banque, une compagnie d'assurance, une société exerçant dans la notation ou l'évaluation de crédit.
(c) Une personne condamnée pour une infraction impliquant la turpitude morale, ou pour une infraction aux dispositions de la présente Loi, ne sera pas nommée responsable de la sécurité de l'information.
Article 17B1 · Devoir de nommer un délégué à la protection des données
(a) Les organismes énumérés ci-dessous sont tenus de nommer un délégué à la protection des données :
(1) le responsable d'une base de données qui est un organisme public au sens de l'article 23, ou le détenteur d'une telle base, à l'exception d'un organisme de sécurité au sens de l'article 23T ;
(2) le responsable d'une base de données dont la finalité principale est la collecte de données personnelles en vue de les remettre à autrui à titre d'activité commerciale ou contre rémunération, y compris des services de démarchage direct, et la base contient des données personnelles sur plus de 10 000 personnes ;
(3) le responsable ou le détenteur d'une base de données dont les activités principales comprennent, ou impliquent, des opérations de traitement qui, en raison de leur nature, de leur portée ou de leur finalité, exigent un suivi régulier et systématique de personnes, y compris une surveillance ou un traçage systématique du comportement, de la localisation ou des actes d'une personne, à une échelle significative ;
(4) le responsable ou le détenteur d'une base de données dont l'activité principale comprend le traitement d'informations particulièrement sensibles à une échelle significative, entre autres un établissement bancaire, un assureur, un hôpital général et une caisse de santé.
Article 17B2 · Fonctions du délégué à la protection des données
(a) Le délégué à la protection des données agira pour assurer le respect des dispositions de la présente Loi par le responsable de la base ou le détenteur de la base, et pour promouvoir la protection de la vie privée et la sécurité des informations dans les bases, y compris ·
(1) il servira d'autorité professionnelle et de centre de connaissances, conseillera la direction de l'organisme dans lequel il exerce ses fonctions et ses employés, préparera un programme de formation et en supervisera la mise en œuvre ;
(2) il préparera un programme de contrôle continu du respect des dispositions de la présente Loi concernant les bases de données, en vérifiera la mise en œuvre, rapportera ses constatations à la direction de l'organisme et proposera des mesures pour corriger les défaillances ;
(4) il veillera au traitement des demandes des personnes dont les données personnelles sont détenues dans la base, y compris les demandes d'accès ou de rectification ; les coordonnées du délégué seront publiées au public de manière accessible et simple ;
(5) il servira d'interlocuteur de l'organisme auprès de l'Autorité.
L'article 17 fait peser la responsabilité de la sécurité de l'information à la fois sur le responsable et sur le détenteur · chacun d'eux, séparément. Si vous utilisez un prestataire de paie externe, ce prestataire est un détenteur, et la responsabilité ne se transfère pas : elle s'attache à vous deux.
Le grand titre de l'amendement 13 est l'article 17B1 · le devoir de nommer un délégué à la protection des données. Notez bien ce qui le déclenche. Ce n'est pas un seuil d'effectif. C'est : être un organisme public ; être un courtier en données détenant des informations sur plus de 10 000 personnes ; effectuer un suivi régulier et systématique de personnes à une échelle significative ; ou traiter des informations particulièrement sensibles à une échelle significative. Un employeur ordinaire détenant les dossiers de son propre personnel n'entre habituellement dans aucune de ces catégories · mais une société dont le cœur d'activité implique le traçage d'utilisateurs, ou le traitement à grande échelle de données de santé, biométriques, financières ou salariales, peut très bien y entrer.
L'article 17B2 définit ensuite ce que fait réellement le délégué : autorité professionnelle et centre de connaissances, formation, programme de contrôle continu avec rapport à la direction, traitement des demandes d'accès et de rectification, et rôle d'interlocuteur auprès de l'Autorité. Les coordonnées du délégué doivent être publiées de manière accessible et simple. Notez que 17B (responsable de la sécurité de l'information) et 17B1 (délégué à la protection des données) sont deux nominations différentes avec des déclencheurs différents.
Confidentialité, organismes publics, application et indemnisation
Article 16 · Confidentialité
Nul ne divulguera des données personnelles qui lui sont parvenues en vertu de ses fonctions d'employé, de dirigeant ou de détenteur d'une base de données, si ce n'est aux fins de l'exécution de son travail, ou de la mise en œuvre de la présente Loi, ou en vertu d'une ordonnance judiciaire en lien avec une procédure ; si la demande a été présentée avant l'ouverture de la procédure, elle sera entendue par le tribunal de première instance. Quiconque enfreint les dispositions du présent article est passible de 5 ans d'emprisonnement.
Article 23B · Interdiction de remise d'informations par un organisme public
(a) La remise de données personnelles par un organisme public est interdite, à moins que les informations n'aient été publiées au public en vertu d'une autorité légale, ou mises à la disposition du public pour consultation en vertu d'une autorité légale, ou que la personne concernée par les données personnelles ait consenti à la remise.
(b) Rien dans les dispositions du présent article n'empêchera une autorité de sécurité, au sens de l'article 19, de recevoir ou de remettre des données personnelles aux fins de l'accomplissement de sa mission, à condition que la remise ou la réception n'ait pas été interdite par un texte.
Article 15A · Dommages-intérêts légaux
(a) Lorsque le responsable d'une base de données ou le détenteur d'une base de données a enfreint l'une des dispositions énoncées ci-dessous, le tribunal peut accorder, au titre de cette infraction, des dommages-intérêts non subordonnés à un dommage (dans le présent article · dommages-intérêts légaux), d'un montant n'excédant pas 10 000 nouveaux shekels :
(1) s'agissant du responsable d'une base · si la base est soumise à enregistrement en vertu des dispositions de l'article 8A · il a traité des données personnelles dans la base sans qu'elle ait été enregistrée, en violation des dispositions de cet article, à condition qu'une personne concernée par les données personnelles se soit adressée au responsable avec une demande d'enregistrement de la base et que 90 jours se soient écoulés depuis sa démarche ;
(3) s'agissant du responsable d'une base · il n'a pas permis à une personne ayant demandé à consulter les données personnelles la concernant détenues dans la base de consulter les informations, en violation des dispositions des articles 13 ou 13A, dans le délai et de la manière prescrits par les règlements pris en vertu de l'article 13 ;
Article 29A · Indemnisation sans preuve de dommage
(a) Lorsqu'une personne a été condamnée pour une infraction à l'article 5, le tribunal peut lui ordonner de verser à la personne lésée une indemnisation n'excédant pas 50 000 nouveaux shekels, sans preuve de dommage ; une ordonnance d'indemnisation au titre du présent sous-alinéa vaudra jugement de ce tribunal rendu dans une action civile de l'ayant droit contre le débiteur.
(b) (1) Dans une action pour délit civil au titre de l'article 4, le tribunal peut ordonner au défendeur de verser à la personne lésée une indemnisation n'excédant pas 50 000 nouveaux shekels, sans preuve de dommage ;
(2) dans une action visée au paragraphe (1) dans laquelle il a été prouvé que l'atteinte à la vie privée a été commise avec l'intention de nuire, le tribunal peut ordonner au défendeur de verser à la personne lésée une indemnisation n'excédant pas le double du montant indiqué dans ce paragraphe, sans preuve de dommage.
(d) Les montants indiqués dans le présent article seront actualisés le 16 de chaque mois, selon le taux de variation du nouvel indice par rapport à l'indice de base.
L'article 16 est celui sur lequel trébuchent le plus souvent les employés et les prestataires : quiconque a obtenu des données personnelles dans le cadre de son travail ne peut les divulguer que pour les besoins de ce travail, au titre de la Loi, ou sur ordonnance judiciaire. La violation est une infraction pénale passible de 5 ans d'emprisonnement au maximum · le même maximum que l'article 5.
Côté argent : l'article 29A permet une indemnisation allant jusqu'à 50 000 shekels sans preuve de dommage · et jusqu'au double lorsque l'atteinte a été commise avec l'intention de nuire. Comme aucun dommage n'a besoin d'être prouvé, c'est une exposition réaliste même lorsque rien de mesurable n'a été perdu. Les montants sont indexés et actualisés mensuellement. L'article 15A ajoute des dommages-intérêts légaux plus étroits, jusqu'à 10 000 shekels, pour des manquements précis relatifs à l'enregistrement et au droit d'accès. Ils s'ajoutent aux sanctions financières que l'Autorité peut imposer, que l'amendement 13 a substantiellement augmentées.
Amendement 13 · ce qui a changé
L'amendement n° 13 à la loi sur la protection de la vie privée est la réforme la plus importante de la Loi depuis son adoption. Ses principales dispositions sont entrées en vigueur le 14 août 2025. Voici un résumé des principaux changements, dans les mots de NETO · un résumé explicatif uniquement ; le texte qui fait foi est la Loi elle-même, traduite dans les sections ci-dessus et faisant autorité uniquement dans l'original hébreu.
- Application. Des pouvoirs de supervision, d'enquête et d'application élargis pour l'Autorité de protection de la vie privée, et des sanctions financières accrues pour ceux qui enfreignent la Loi.
- Devoir de DPO. Un devoir de nommer un délégué à la protection des données dans les organismes publics et dans les organismes dont l'activité implique un traitement à une échelle significative ou le traitement d'informations sensibles (article 17B1).
- Organismes de sécurité. La réglementation de la supervision dans les organismes de sécurité et la nomination d'un superviseur interne de la vie privée, avec les adaptations nécessaires.
- Enregistrement réduit. L'obligation d'enregistrement des bases de données a été réduite et recentrée sur les bases à plus haut risque, avec une voie d'avis préalable de l'Autorité.
- Nouvelles infractions. De nouvelles infractions pénales, et une interdiction expresse de traiter des données personnelles collectées ou créées illégalement.
- Alignement RGPD. Les définitions ont été mises à jour pour s'aligner sur le RGPD · y compris donnée personnelle, traitement, responsable, détenteur et information particulièrement sensible.
- Application civile. L'indemnisation sans preuve de dommage a été élargie et les montants augmentés, renforçant l'application privée.
Ce qu'un employeur étranger de personnel israélien doit faire
Deux scénarios concrets qui relient les faits aux articles de loi. À titre d'illustration uniquement, sans valeur de conseil juridique · dans tout cas précis, les faits exacts doivent être examinés et un professionnel consulté.
Scénario 1 · Une société détenant une base de données du personnel
| Un fichier numérique de salariés israéliens, avec numéros d'identité et salaires | Une base de données (article 3) |
|---|---|
| Données salariales et activité financière | Sensibilité particulière (article 3) |
| Le traitement n'est permis que pour la finalité légalement fixée | Article 8(b) |
| Avis lors de la collecte : finalité, responsable, destinataires, droits | Article 11 |
| Le salarié demande à voir son dossier | Accès, article 13 |
| Responsabilité de la sécurisation des données | Article 17(a) |
| Enregistrement au titre de l'article 8A | Normalement non requis |
Scénario 2 · Un DPO est-il requis ? (article 17B1)
| Êtes-vous un organisme public au sens de l'article 23 ? | 17B1(a)(1) |
|---|---|
| Fournissez-vous des données personnelles à autrui à titre commercial, sur 10 000+ personnes ? | 17B1(a)(2) |
| Vos activités principales exigent-elles un suivi régulier et systématique de personnes à une échelle significative ? | 17B1(a)(3) |
| Votre activité principale est-elle le traitement d'informations particulièrement sensibles à une échelle significative ? | 17B1(a)(4) |
| Employer simplement du personnel et détenir ses dossiers | N'est pas un déclencheur énuméré |
| Une seule réponse est oui | Un DPO doit être nommé |
Le minimum pratique pour une société détenant des données de salariés israéliens. Fixez et documentez la finalité de la base et gardez le traitement à l'intérieur (article 8). Donnez un avis au titre de l'article 11 au moment de la collecte · ce que vous collectez, pourquoi, si c'est volontaire, qui est le responsable, qui reçoit les données, et que des droits d'accès et de rectification existent. Soyez en mesure de répondre à une demande d'accès en hébreu, en arabe ou en anglais (article 13) et de rectifier ou supprimer, puis d'en informer les destinataires en aval (article 14). Sécurisez les données, et souvenez-vous que le devoir pèse sur vous et sur tout sous-traitant externe qui les détient pour vous (article 17). Vérifiez honnêtement les déclencheurs de l'article 17B1 · et si l'un s'applique, nommez un délégué à la protection des données et publiez ses coordonnées (article 17B2). Imposez la confidentialité à toute personne qui touche aux données (article 16).
Employer via un Employer of Record ne fait pas disparaître ces devoirs, mais change qui détient quoi : l'EOR devient l'employeur officiel et le responsable de la base de paie, tandis que la détention de données personnelles par la société cliente se réduit.
Employez en Israël sans détenir les données vous-même
NETO emploie vos travailleurs israéliens en tant qu'employeur officiel, sous la licence d'entrepreneur de main-d'œuvre n° 1565 et sous la supervision du ministère du Travail · en gérant la paie, les bulletins et les données personnelles qui les accompagnent dans une base définie et sécurisée. Yizhar Cohen, délégué à la protection des données de NETO, dirige la conformité vie privée au titre de l'amendement 13.
Testez vos connaissances · loi sur la protection de la vie privée
Cinq questions courtes sur l'essentiel. Ouvrez chaque question pour voir la bonne réponse, avec l'article pertinent.
1 · Combien de formes d'atteinte à la vie privée l'article 2 énumère-t-il ?
Onze. L'article 2 énumère onze formes, de l'espionnage et de l'écoute illicite jusqu'à la publication d'une chose relative à la vie personnelle intime d'une personne. (Ni cinq, ni une liste ouverte.)
2 · Qu'est-ce qu'une base de données au sens de l'article 3 ?
Un ensemble de données personnelles traitées par des moyens numériques, sous réserve de deux exclusions étroites. Les exclusions sont un ensemble personnel non commercial, et une simple liste de contacts de 100 000 personnes au plus qui ne révèle rien de plus. Ce n'est pas seulement une base enregistrée auprès de l'Autorité, ni seulement un ensemble de plus de 10 000 personnes.
3 · Quand les principales dispositions de l'amendement 13 sont-elles entrées en vigueur ?
Le 14 août 2025.
4 · Le simple fait d'employer du personnel et de détenir ses dossiers déclenche-t-il le devoir de DPO ?
Non · l'article 17B1 énumère des déclencheurs précis, et employer du personnel n'en fait pas partie. L'article 17B1 s'applique si l'on est un organisme public, un courtier en données détenant des informations sur plus de 10 000 personnes, si l'on effectue un suivi régulier et systématique à une échelle significative, ou si l'on traite des informations particulièrement sensibles à une échelle significative. Ce n'est pas un test d'effectif.
5 · Quelle est l'indemnisation maximale sans preuve de dommage au titre de l'article 29A ?
50 000 shekels, et jusqu'au double lorsque l'intention de nuire est prouvée. Le montant de 10 000 shekels correspond aux dommages-intérêts légaux distincts de l'article 15A.
Le quiz est fourni à des fins d'illustration et d'apprentissage uniquement et ne constitue pas un conseil juridique. Dans tout cas précis, vérifiez le texte de loi et consultez un professionnel.
Loi sur la protection de la vie privée · questions fréquentes
Ce texte français est-il la version officielle de la loi ?
Non. Le texte de cette page est une traduction non officielle fournie uniquement pour la commodité du lecteur. La seule version juridiquement contraignante de la loi sur la protection de la vie privée, 5741-1981, est le texte hébreu original publié au Journal officiel (Reshumot). En cas de divergence entre cette traduction et l'hébreu, l'hébreu prévaut. Cette page est une information générale et non un conseil juridique.
Qu'est-ce qui constitue une atteinte à la vie privée selon la loi ?
L'article 1 dispose que nul ne portera atteinte à la vie privée d'autrui sans son consentement. L'article 2 énumère ensuite onze formes précises d'atteinte, parmi lesquelles : espionner ou suivre une personne d'une manière susceptible de la harceler, une écoute interdite par la loi, photographier une personne dans le domaine privé, publier une photographie dans des circonstances susceptibles de l'humilier ou de la rabaisser, utiliser le nom, le surnom, l'image ou la voix d'une personne à des fins lucratives, violer une obligation de confidentialité fixée par la loi ou par un accord exprès ou implicite, utiliser des informations sur les affaires privées d'une personne ou les remettre à autrui à une fin autre que celle pour laquelle elles ont été données, et publier une chose relative à la vie personnelle intime ou à l'état de santé d'une personne.
Qu'est-ce qu'une base de données au sens de la loi ?
Selon les définitions de l'article 3, une base de données est un ensemble de données personnelles traitées par des moyens numériques. Deux ensembles sont exclus : un ensemble à usage personnel qui n'est pas à des fins commerciales ; et un ensemble ne comprenant que le nom, l'adresse et les coordonnées, pour 100 000 personnes ou moins, qui n'indique par lui-même aucune autre information personnelle sur ces personnes, à condition que le propriétaire de l'ensemble, ou une société sous son contrôle, ne détienne aucun autre ensemble avec d'autres informations sur les mêmes personnes.
Qui doit nommer un délégué à la protection des données en Israël ?
Selon l'article 17B1, un délégué à la protection des données doit être nommé par : le responsable d'une base de données qui est un organisme public au sens de l'article 23, ou le détenteur d'une telle base, hors organisme de sécurité ; le responsable d'une base dont la finalité principale est de collecter des données personnelles pour les remettre à autrui à titre commercial ou contre rémunération, y compris le démarchage direct, détenant des données sur plus de 10 000 personnes ; un responsable ou détenteur dont les activités principales comprennent, ou impliquent, des opérations de traitement qui, par leur nature, leur portée ou leur finalité, exigent un suivi régulier et systématique de personnes à une échelle significative ; et un responsable ou détenteur dont l'activité principale comprend le traitement d'informations particulièrement sensibles à une échelle significative, y compris un établissement bancaire, un assureur, un hôpital général et une caisse de santé.
Quand une base de données doit-elle être enregistrée en Israël ?
Selon l'article 8A, une base doit être enregistrée lorsque sa finalité principale est de collecter des données personnelles pour les remettre à autrui à titre commercial ou contre rémunération, y compris le démarchage direct, et qu'elle détient des données sur plus de 10 000 personnes ; ou lorsque le responsable est un organisme public au sens du paragraphe (1) de la définition à l'article 23, sauf si la base ne comprend que des données sur les employés de cet organisme. Un responsable ne peut traiter des données dans une base soumise à enregistrement, ni permettre à autrui de le faire pour son compte, tant que la base n'a pas été inscrite au registre. Séparément, lorsque le nombre de personnes dont des informations particulièrement sensibles sont détenues dans une base non soumise à enregistrement dépasse 100 000, le responsable doit le notifier à l'Autorité dans les 30 jours.
Qu'est-ce que le droit d'accès aux données personnelles ?
Selon l'article 13, toute personne a le droit de consulter, en personne, par un représentant autorisé par écrit ou par son tuteur, les données personnelles la concernant détenues dans une base. Le responsable doit permettre la consultation en hébreu, en arabe ou en anglais. Selon l'article 14, une personne qui a consulté ses données et les a trouvées inexactes, incomplètes, peu claires ou non à jour peut demander au responsable, et si elle est résidente étrangère au détenteur de la base, de les rectifier ou de les supprimer.
Quelle indemnisation est possible sans preuve de dommage ?
Selon l'article 29A, lorsqu'une personne est condamnée pour une infraction à l'article 5, ou dans une action pour le délit civil de l'article 4, le tribunal peut ordonner une indemnisation allant jusqu'à 50 000 nouveaux shekels sans preuve de dommage, et jusqu'au double lorsque l'atteinte a été commise avec l'intention de nuire. Selon l'article 15A, le tribunal peut accorder des dommages-intérêts légaux allant jusqu'à 10 000 nouveaux shekels pour des manquements précis relatifs à l'enregistrement et aux droits d'accès et de rectification. Les montants de l'article 29A sont actualisés le 16 de chaque mois selon le taux de variation de l'indice.
Qu'a changé l'amendement 13 et quand a-t-il pris effet ?
L'amendement 13 est la réforme la plus importante de la loi sur la protection de la vie privée depuis son adoption, et ses principales dispositions sont entrées en vigueur le 14 août 2025. En résumé : il a élargi les pouvoirs de supervision, d'enquête et d'application de l'Autorité de protection de la vie privée et augmenté les sanctions financières ; il a introduit le devoir de nommer un délégué à la protection des données dans les organismes publics et dans les organismes dont l'activité implique un traitement à une échelle significative ou le traitement d'informations sensibles ; il a réglementé la supervision dans les organismes de sécurité et la nomination d'un superviseur interne de la vie privée ; il a réduit l'obligation d'enregistrement des bases pour la recentrer sur les bases à plus haut risque, avec une voie d'avis préalable de l'Autorité ; il a créé de nouvelles infractions pénales et une interdiction expresse de traiter des données personnelles collectées ou créées illégalement ; il a aligné les définitions sur le RGPD, y compris donnée personnelle, traitement, responsable, détenteur et information particulièrement sensible ; et il a élargi l'indemnisation sans preuve de dommage. Ce résumé est l'explication de NETO et n'est pas le texte de la loi.
En résumé
La loi sur la protection de la vie privée, 5741-1981, en huit points · telle qu'en vigueur après l'amendement 13.
- Article 1 · nul ne portera atteinte à la vie privée d'autrui sans son consentement, c'est-à-dire un consentement éclairé, exprès ou implicite.
- Article 2 · onze formes d'atteinte énumérées, y compris l'utilisation d'informations à une fin autre que celle pour laquelle elles ont été données.
- Articles 4 et 5 · un délit civil et, pour la plupart des formes, une atteinte délibérée est une infraction passible de 5 ans d'emprisonnement au maximum.
- Article 3 · une base de données est tout ensemble de données personnelles traitées par des moyens numériques, avec deux exclusions étroites.
- Articles 8 et 8A · traiter uniquement pour la finalité légalement fixée ; enregistrer uniquement lorsque les seuils de l'article 8A sont atteints.
- Articles 11, 13 et 14 · avis lors de la collecte, accès en hébreu, arabe ou anglais, et rectification ou suppression.
- Articles 17 et 17B1 · des devoirs de sécurité pesant tant sur le responsable que sur le détenteur ; un délégué à la protection des données lorsqu'un déclencheur énuméré s'applique.
- Article 29A · jusqu'à 50 000 shekels d'indemnisation sans preuve de dommage, et jusqu'au double lorsque l'intention de nuire est prouvée.
Dernière mise à jour : 26/07/2026 · informations générales, ne constituant pas un conseil juridique.
