L'amendement n° 13 à la loi israélienne sur la vie privée — ce que doit faire une petite entreprise

Qu'est-ce que l'amendement n° 13, et quand est-il entré en vigueur ?

La loi israélienne sur la protection de la vie privée, 5741-1981, est le texte qui encadre ce qu'on a le droit de faire des informations personnelles concernant des personnes. L'amendement n° 13 a été adopté en séance plénière de la Knesset le 5 août 2024 et est entré en vigueur le 14 août 2025 — la réforme la plus importante du droit de la vie privée en Israël depuis l'adoption de la loi.

L'amendement a fait deux choses à la fois, et c'est pour cela qu'il prête à confusion. D'un côté, il a supprimé des exigences de paperasse dépassées qui pesaient sur les entreprises sans produire de protection réelle. De l'autre, il a donné des dents à l'Autorité israélienne de protection de la vie privée — pouvoirs de contrôle, d'enquête administrative et de sanction, à commencer par les sanctions pécuniaires.

La conclusion pratique : moins de formulaires, plus de responsabilité. L'Autorité n'a plus besoin de passer par un tribunal pénal pour qu'un manquement vous coûte de l'argent.

Concrètement, l'Autorité peut ouvrir une enquête administrative, exiger des documents, ordonner l'arrêt d'un traitement illicite et infliger une sanction pécuniaire. Le montant dépend notamment du type de manquement, du nombre de personnes dont la base contient des informations, de la sensibilité de ces informations et de la taille de la base. Plus la base est grande et sensible, plus l'exposition augmente. La loi prévoit aussi des montants réduits pour la « micro-entreprise » et la « petite entreprise », de sorte que le barème n'est pas conçu pour faire tomber une petite entreprise sur un manquement technique.

Votre liste de clients est-elle seulement une base de données ?

C'est la première question, et beaucoup la sautent pour aller droit aux obligations. La loi définit la « base de données » comme un recueil d'informations personnelles traité par un moyen numérique — et exclut expressément deux cas : le recueil à usage personnel qui n'a pas de finalité professionnelle, et le recueil qui comporte uniquement le nom, l'adresse et les coordonnées de 100 000 personnes ou moins, et qui ne révèle pas par lui-même d'autres informations personnelles.

Autrement dit, une liste de contacts contenant un nom, un téléphone et un e-mail — et rien d'autre — peut ne pas être une base de données du tout, et alors toute la discussion sur l'enregistrement et la sécurité ne s'ouvre même pas.

Mais attention à la condition qui referme la brèche : l'exception ne joue que si le titulaire du recueil, ou une société qu'il contrôle, ne détient aucun autre recueil comportant d'autres informations sur les mêmes personnes. Et c'est là que la plupart des entreprises tombent. Si, à côté de la liste de contacts, vous avez aussi un historique de commandes, des factures, des dossiers de suivi ou des notes sur ces mêmes clients — la liste ne tient plus toute seule, et l'exception ne s'applique pas. Très peu d'entreprises réelles détiennent un nom et un téléphone et rien d'autre.

Une petite entreprise doit-elle enregistrer sa base de données après l'amendement n° 13 ?

Dans la plupart des cas — non. Avant l'amendement, l'obligation d'enregistrement était large et visait de nombreuses bases du secteur privé. L'article 8A, dans sa rédaction issue de l'amendement, la réduit à deux cas : la base dont la finalité principale est la collecte d'informations personnelles en vue de leur transmission à un tiers à titre professionnel ou onéreux (y compris les services de publipostage), et qui contient des informations sur plus de 10 000 personnes ; ou la base dont le responsable est un organisme public — sauf si elle ne contient que des informations sur les employés de cet organisme.

Une menuiserie qui tient une liste de clients, une clinique qui tient un agenda, une entreprise qui gère des dossiers de travail — ce ne sont pas des courtiers en données. Elles collectent des informations pour leurs propres besoins, pas pour les revendre.

Il existe une autre obligation qu'il faut connaître, à l'article 8A(b) : celui qui n'est pas tenu de s'enregistrer, mais dont la base contient des informations d'une sensibilité particulière sur plus de 100 000 personnes, doit informer l'Autorité dans les 30 jours de l'identité du responsable, de son adresse et de ses coordonnées, de l'identité du délégué à la protection de la vie privée et de ses coordonnées (si sa nomination est requise par l'article 17B1), et lui transmettre une copie du document de définition de la base. La plupart des petites entreprises sont à plusieurs ordres de grandeur de ce seuil.

Qui doit nommer un délégué à la protection de la vie privée ?

L'obligation de nommer un délégué à la protection de la vie privée est une nouveauté de l'amendement, et elle ne s'applique pas à tout le monde. L'article 17B1(a) énumère quatre catégories : les organismes publics (hors organisme de sécurité) ; les courtiers en données détenant des informations sur plus de 10 000 personnes ; les organismes dont les activités principales imposent, par leur nature, leur ampleur ou leur finalité, un suivi régulier et systématique de personnes à grande échelle — par exemple les opérateurs de téléphonie mobile et les moteurs de recherche ; et les organismes dont l'activité principale est le traitement à grande échelle d'informations d'une sensibilité particulière, dont les établissements bancaires, les assureurs, les hôpitaux généraux et les caisses d'assurance maladie.

L'article 17B1(b) précise aussi comment se mesure la « grande échelle » : le nombre de personnes dont les informations sont traitées, leur part dans la population, le volume et les types d'informations, la durée et la fréquence du traitement, et d'autres critères.

Une petite entreprise ordinaire ne relève d'aucune de ces quatre catégories. Cela ne veut pas dire que personne ne doit s'occuper du sujet chez vous — cela veut dire que la loi ne vous impose pas une fonction officielle.

Qu'est-ce qu'une information d'une sensibilité particulière ?

L'amendement a remplacé l'ancienne notion et l'a élargie. La catégorie comprend notamment les informations médicales, génétiques et biométriques, les données de localisation, les opinions politiques et les croyances religieuses, le passé pénal, l'orientation sexuelle, le salaire et l'activité financière, ainsi que les évaluations personnelles.

Cette liste est plus large qu'il n'y paraît. Une clinique détient des informations médicales. Un employeur détient des données de salaire. Un système avec pointage géolocalisé détient des données de localisation. Dès lors que vous détenez de telles informations, le niveau de sécurité exigé de vous augmente, même si vous n'êtes pas tenu de vous enregistrer.

Que peuvent exiger de vous les personnes concernées ?

C'est la partie la plus facile à manquer, parce qu'elle ne ressemble pas à une obligation — elle arrive sous la forme d'une demande d'un client. La loi donne à toute personne un droit d'accès aux informations personnelles la concernant détenues dans votre base (article 13), et un droit d'exiger la rectification ou l'effacement d'informations inexactes, incomplètes, peu claires ou non à jour (article 14). Celui qui refuse doit répondre par écrit et motiver son refus.

L'amendement n° 13 a aussi élargi l'obligation d'information au moment de la collecte (article 11). Au-delà de la question de savoir si la communication des informations est une obligation légale ou volontaire, il faut aujourd'hui indiquer aussi quelle est la conséquence d'un refus, qui est le responsable de la base et comment le joindre, et quels sont les droits d'accès et de rectification.

Et ces droits ont maintenant des dents civiles. L'article 15A, ajouté par l'amendement, permet au tribunal d'allouer des dommages-intérêts sans preuve de préjudice, jusqu'à 10 000 ₪, pour une liste fermée de manquements — dont le refus de permettre l'accès, le fait d'accepter de rectifier ou d'effacer des informations sans le faire réellement, et l'absence de notification de refus. Certains de ces fondements supposent une démarche préalable : en cas de défaut d'enregistrement, il faut une mise en demeure d'enregistrer la base et 90 jours écoulés ; en cas d'absence d'information au titre de l'article 11 — une mise en demeure et 30 jours.

Pour fixer le montant, le tribunal tient compte notamment de l'encouragement du demandeur à faire valoir ses droits, ainsi que de l'ampleur et de la gravité du manquement — et expressément pas de l'étendue du préjudice subi.

Maintenant une question opérationnelle : si un client vous appelle demain et demande à voir tout ce que vous avez sur lui, combien de temps cela prendra-t-il ? Si la réponse est « il faut chercher à plusieurs endroits », ce n'est pas un problème juridique. C'est un problème de système.

Alors que reste-t-il vraiment à faire pour la petite entreprise ?

Ce qui reste, et qui est aujourd'hui la partie sanctionnée, c'est le règlement israélien sur la protection de la vie privée (sécurité des données), 5777-2017. Un point critique que beaucoup manquent : l'application du règlement ne dépend pas de l'enregistrement. Il s'applique à une base de données même lorsqu'il n'y a aucune obligation de l'enregistrer.

Le règlement gradue les exigences selon le niveau de sécurité — de base, intermédiaire et élevé — en fonction du type d'informations et de leur volume. Même au niveau de base, sont exigés le document de définition de la base (art. 2 du règlement) et la gestion des droits d'accès selon des définitions de rôle (art. 8 du règlement). À mesure que l'on monte en niveau s'ajoutent des exigences de journalisation automatique des accès, de sauvegarde et de restauration, et des contrôles supplémentaires. Selon la deuxième annexe, le niveau de sécurité élevé s'applique lorsqu'une base relevant des types sensibles contient des informations sur 100 000 personnes ou plus, ou lorsque le nombre de titulaires d'un droit d'accès y est supérieur à 100.

Le règlement prévoit aussi un régime allégé — la « base gérée par une personne seule », dans laquelle seule cette personne et au plus deux autres titulaires d'un droit d'accès utilisent la base. Mais l'article 1 du règlement en exclut expressément trois catégories, dont une est critique : la base comportant des informations pour lesquelles le titulaire de la base est soumis à une obligation de secret professionnel en vertu de la loi ou de principes de déontologie (ainsi que la base contenant des informations sur 10 000 personnes ou plus, et la base d'un courtier en données).

La conséquence est nette : un avocat, un médecin, un psychologue ou un praticien ne peuvent jamais bénéficier du régime allégé. Même un avocat qui travaille seul, avec une base de vingt clients, est exclu de la définition en raison de l'obligation de secret professionnel qui pèse sur lui. C'est exactement pour cela qu'un logiciel de gestion de cabinet et un système pour un cabinet d'avocats ne peuvent pas se construire comme une liste dans un tableur.

En clair, les questions qu'on vous posera lors d'un contrôle sont : qui peut voir quoi, les informations sont-elles chiffrées, existe-t-il une journalisation des accès, pouvez-vous effacer les informations d'une personne qui le demande, et où les informations sont-elles conservées.

Et il y a encore une question qui revient presque toujours : qui d'autre touche aux informations. Lorsque vous faites appel à un prestataire externe — hébergement, sauvegarde, outil de publipostage — les informations passent par lui, et le règlement encadre cela aussi : l'article 15 du règlement impose d'examiner les risques de sécurité avant de contracter, de fixer expressément dans le contrat quels types d'informations sont transmis, quels usages sont autorisés, ce qu'il advient des informations à la fin de la relation, et d'exercer un contrôle sur le prestataire. Il vaut la peine de savoir d'avance ce qui sort exactement, et vers où.

Pourquoi est-ce une question de logiciel et non de paperasse ?

Reprenez la liste de questions du paragraphe précédent. Aucune n'a de réponse dans une procédure écrite. Toutes trouvent leur réponse — ou ne la trouvent pas — dans le système que vous utilisez réellement.

On peut rédiger une procédure disant que seul le comptable voit les données de salaire. Si le logiciel ne sait pas distinguer les utilisateurs, la procédure n'est que du papier. On peut s'engager à effacer des informations sur demande — mais si les données sont éparpillées entre un fichier Excel, un fil WhatsApp et un dossier dans le cloud, personne ne peut vraiment les effacer. C'est exactement l'écart entre un système construit autour de votre travail et un empilement d'outils accumulés au hasard.

Chez appotto, la sécurité est la règle par défaut, pas une option payante : chiffrement, droits d'accès par rôle et sauvegardes entrent dans le projet dès le premier jour. Toute question de vie privée et de sécurité des données passe par un examen juridique en bonne et due forme auprès du conseil juridique de l'atelier, pour que le client soit couvert.

L'exemple le plus net est le système CRM pour avocats. Un associé d'un grand cabinet d'avocats de Ra'anana, qui compte des dizaines d'avocats, en a défini les spécifications et tracé la politique de sécurité des données — cloisonnement complet entre les dossiers, droits d'accès par avocat et par dossier, et chiffrement. Quand le secret professionnel entre l'avocat et son client est la barre, le reste des exigences se situe déjà en dessous.

Et si vous en êtes seulement au stade où vous envisagez un système et cherchez à comprendre ce que cela veut dire côté budget, ce qui compose le coût du développement est expliqué à part. Et si vous n'êtes pas encore sûr d'avoir besoin d'un système — mieux vaut commencer ici.