Israël : les règles cookies et consentement de la Privacy Protection Law

Qu’est-ce que la loi israélienne sur la protection de la vie privée ?

La Privacy Protection Law, 5741-1981 (loi sur la protection de la vie privée), est la loi générale d’Israël en la matière. Son premier chapitre fait de l’atteinte à la vie privée d’une personne sans son consentement un délit civil et, dans certains cas, une infraction pénale. Son deuxième chapitre encadre les bases de données personnelles : enregistrement, obligation d’informer les personnes lorsque leurs données sont demandées, droits d’accès et de rectification, sécurité des données et publipostage direct. La Privacy Protection Authority (autorité de protection de la vie privée), rattachée au ministère de la Justice, en assure le contrôle.

L’amendement 13, adopté par la Knesset le 5 août 2024, est entré en vigueur le 14 août 2025 ; c’est la plus importante révision de la loi depuis son adoption. Il a remplacé l’ancien vocabulaire par des termes proches de ceux du RGPD (données personnelles, responsable de base de données, sous-traitant, données d’une sensibilité particulière), restreint l’obligation d’enregistrement, imposé à certains organismes la désignation d’un délégué à la protection des données, et donné à l’Autorité un barème de sanctions pécuniaires, des pouvoirs d’inspection et le pouvoir d’ordonner la cessation d’un manquement.

À qui s’applique la loi ?

Le chapitre sur les bases de données s’applique à tout responsable ou sous-traitant de base de données, sans seuil de taille. Un site qui collecte des noms, des adresses e-mail ou des identifiants dans une base de clients, d’abonnés à une newsletter ou de mesure d’audience est un responsable de base de données au sens de la loi. L’enregistrement est désormais limité aux organismes publics et aux bases dont l’objet principal est de fournir des données personnelles à des tiers à titre commercial, comme les services de publipostage direct, contenant des données sur plus de 10 000 personnes (article 8A). L’obligation de désigner un délégué à la protection des données vise les organismes publics, les courtiers en données au-delà de 10 000 personnes, et les organismes dont les activités principales impliquent un suivi régulier et systématique des personnes à grande échelle, y compris le suivi de leur comportement ou de leur localisation (article 17B1).

La loi ne contient pas de clause territoriale comparable à l’article 3 du RGPD. Elle vise clairement les responsables et les bases de données situés en Israël ; jusqu’où elle atteint un site étranger qui suit des visiteurs en Israël n’a été précisé ni par la loi ni par une décision publiée de l’Autorité.

Les cookies exigent-ils un consentement en Israël ?

Il n’existe pas en Israël de règle équivalente à la directive ePrivacy de l’UE qui exige un consentement avant le dépôt d’un cookie. La question se règle par la loi générale. Depuis l’amendement 13, une donnée personnelle est une donnée relative à une personne identifiée ou identifiable, et une personne identifiable est une personne qui peut être identifiée par un effort raisonnable, directement ou indirectement, notamment au moyen d’un identifiant comme un nom, un numéro d’identité, des données de localisation ou un identifiant en ligne. Un identifiant de cookie ou un identifiant publicitaire rattaché à un visiteur est donc une donnée personnelle, et le conserver dans une base de données fait jouer le chapitre sur les bases de données.

Deux règles en découlent. D’abord, l’article 11 impose que toute demande de données personnelles destinées à une base de données soit accompagnée d’une notice indiquant : si la fourniture des données est une obligation légale ou volontaire et ce qui se passe en cas de refus, la finalité, le nom et les coordonnées du responsable, qui recevra les données et pourquoi, et les droits d’accès et de rectification. Ensuite, utiliser des informations sur la vie privée d’une personne à une autre fin que celle pour laquelle elles ont été données est une atteinte à la vie privée (article 2(9)), et traiter une base de données à une fin illicite est un manquement (article 8(b)). C’est sur l’utilisation des données de navigation pour des profils publicitaires sans fondement dans le consentement que ces règles mordent.

Le consentement lui-même est défini à l’article 3 comme un consentement éclairé, exprès ou implicite. L’avis de l’Autorité sur le consentement, publié le 25 février 2026, explique comment elle appliquera cette définition dans ses contrôles et ses sanctions :

• éclairé signifie que la personne a compris la demande, ses finalités et les conséquences de son acceptation ou de son refus, et la présentation compte autant que le contenu ;
• le silence ou l’absence d’objection ne constitue pas, à lui seul, un consentement valable ;
• les dark patterns (interfaces trompeuses) et les choix de conception qui rendent le sens du consentement plus difficile à comprendre pèsent contre un consentement libre ;
• le consentement peut être actif (opt-in) ou passif (opt-out) selon les circonstances, mais le consentement à un profilage non nécessaire au service, entre parties de pouvoir inégal, doit être un opt-in actif et distinct ;
• les demandes de retrait du consentement doivent être examinées favorablement.

Pour un site, la lecture pratique est la suivante : les cookies strictement nécessaires n’exigent que la notice de l’article 11 dans la politique de confidentialité, tandis que les cookies publicitaires et de profilage entre sites sont plus sûrs derrière un bandeau de consentement préalable avec une option Refuser, comme dans le guide du bouton Tout refuser.

Les données peuvent-elles quitter Israël ?

Les Privacy Protection (Transfer of Data to Databases Abroad) Regulations, 5761-2001 (règlement sur le transfert de données vers des bases de données à l’étranger), autorisent un transfert lorsque le droit du pays de destination assure une protection au moins égale à celle d’Israël, ou sous des conditions énumérées, dont le consentement de la personne concernée, le transfert au sein d’un groupe sous le contrôle du responsable, un contrat qui oblige le destinataire à respecter les normes israéliennes, et le transfert vers un pays partie à la convention du Conseil de l’Europe sur la protection des données. Le destinataire doit aussi s’engager par écrit à protéger les données et à ne pas les transmettre. Un règlement distinct de 2023 fixe des obligations supplémentaires pour les données personnelles reçues de l’Espace économique européen. La plupart des prestataires de mesure d’audience et de publicité traitent les données à l’étranger : une politique de confidentialité doit donc les nommer.

Quelles sont les sanctions ?

L’article 23KF fixe les sanctions pécuniaires, soit forfaitaires, soit multipliées par le nombre de personnes concernées :

L’annexe 5 réduit les sanctions en cas d’antécédents vierges, d’autodéclaration et de mesures correctrices (jusqu’à 70 % au total), les plafonne entre 20 000 et 140 000 NIS pour les micro et petites entreprises (chiffre d’affaires jusqu’à 4 millions de NIS et 10 millions de NIS) et, à la demande de l’auteur du manquement, les ramène à 5 % du chiffre d’affaires. Les tribunaux peuvent aussi accorder des dommages-intérêts exemplaires (exemplary damages) jusqu’à 10 000 NIS sans preuve d’un préjudice pour des manquements énumérés, dont, dans certains cas, l’absence de la notice de l’article 11.

Le 21 juillet 2026, l’Autorité a infligé à la caisse d’assurance maladie Meuhedet une sanction de 256 000 NIS, après réductions, pour ne pas avoir signalé immédiatement un incident de sécurité grave : sa première sanction de ce type depuis l’entrée en vigueur de l’amendement 13.

Comment Cookiequiet s’y adapte

Israël ne figure pas dans la liste par défaut des pays réglementés de Cookiequiet : ajoutez-le à une liste de pays personnalisée ou affichez le bandeau partout ; le ciblage géographique est inclus dans chaque offre, y compris Free. Le bandeau retient les scripts de mesure d’audience et de marketing jusqu’au choix du visiteur, affiche « Tout refuser » à côté de « Tout accepter », et le registre des consentements conserve chaque choix comme preuve. L’hébreu ne fait pas partie des 24 langues intégrées : les visiteurs dont le navigateur le demande voient la langue par défaut du site, dont vous pouvez modifier les textes. Lancez le scanner de cookies pour lister ce que votre site dépose, et consultez les tarifs pour les offres. Les modèles de politiques ne sont pas rédigés pour la loi israélienne et ne sont pas des conseils juridiques.