Enregistrement d'une base de données en Israël — quand est-ce obligatoire, et que se passe-t-il sinon ?

Qu'est-ce que le registre israélien des bases de données, et qui le tient ?

La loi israélienne sur la protection de la vie privée, 5741-1981 institue un registre des bases de données, tenu par le directeur de l'Autorité de protection de la vie privée (article 12 de la loi). Pendant des décennies, l'enregistrement a été la porte d'entrée de presque toute base commerciale : une obligation large, connue de tous et souvent ignorée. L'amendement n° 13, en vigueur depuis le 14 août 2025, en a fait une obligation ciblée qui ne concerne que peu d'acteurs.

Avant de demander si vous devez enregistrer, il vaut la peine de demander si vous avez une « base de données » tout court. L'article 3 de la loi définit la base de données comme un ensemble de données personnelles traité par des moyens numériques, et en exclut deux cas : un ensemble à usage personnel, sans finalité commerciale ; et un ensemble ne contenant que noms, adresses et coordonnées de 100 000 personnes ou moins — à condition que son propriétaire, ou une société sous son contrôle, ne détienne aucun autre ensemble avec des détails supplémentaires sur les mêmes personnes.

La plupart des entreprises franchissent ce seuil sans s'en apercevoir : dès que l'historique des commandes, les factures ou des notes sur les clients côtoient la liste de contacts, l'exclusion ne s'applique plus, et il y a une base de données. Nous avons détaillé la définition dans notre article sur l'amendement n° 13 à la loi israélienne sur la vie privée.

Qui doit enregistrer une base de données après l'amendement n° 13 ?

L'article 8A(a) de la loi, tel qu'amendé, ne prévoit que deux cas d'enregistrement obligatoire. Le premier : une base dont l'objectif principal est de collecter des données personnelles pour les transmettre à autrui à titre professionnel ou contre rémunération, y compris les services de démarchage direct, et qui contient des données personnelles sur plus de 10 000 personnes — autrement dit, les courtiers en données. Le second : une base dont le responsable est un organisme public — ministères et institutions de l'État, collectivités locales et organismes exerçant des fonctions publiques en vertu de la loi — sauf si la base ne contient que des données sur les employés de l'organisme.

Le critère est ce que la base est censée faire, pas sa taille. Un commerce qui gère un club de clients, une clinique qui gère des dossiers de patients ou un cabinet qui gère des dossiers clients collectent des données pour leurs propres besoins, pas pour les revendre. Ce ne sont pas des courtiers en données, et ils n'ont donc pas à s'enregistrer — quelle que soit la taille de la base.

Deux précisions complètent le tableau. Le directeur de l'Autorité peut exempter d'enregistrement même une base qui y est soumise, s'il est convaincu que l'enregistrement n'est pas nécessaire (article 8A(a)(3)) ; et l'obligation ne s'applique pas du tout à une base ne contenant que des données légalement publiées au public (article 8A(c)).

Écrire à vos clients impose-t-il d'enregistrer une base de données ?

Ici se loge une confusion fréquente qui mérite d'être démêlée. La loi distingue le démarchage direct — s'adresser à une personne sur la base de données figurant dans une base, ce que toute entreprise fait avec ses propres clients — des services de démarchage direct : la transmission de listes et de données à autrui, en tant que service. Écrire à vos propres clients ne déclenche pas en soi d'obligation d'enregistrement.

En revanche, celui qui fournit des services de démarchage direct à autrui ne peut traiter des données dans une telle base que si elle est enregistrée, avec les services de démarchage parmi ses finalités enregistrées (article 17D). Et quiconque fait commerce de listes contenant des données sur plus de 10 000 personnes relève de toute façon de l'obligation générale de l'article 8A. Même les exemptés d'enregistrement restent tenus par les règles du démarchage direct elles-mêmes — au premier chef, le droit de chacun d'exiger que ses données soient effacées d'une base servant au démarchage direct (article 17F).

Comment enregistre-t-on une base de données, et que se passe-t-il après le dépôt ?

Celui qui doit bel et bien s'enregistrer dépose une demande auprès du directeur de l'Autorité de protection de la vie privée (article 9 de la loi). La demande précise :

• l'identité du responsable de la base, son adresse en Israël et ses coordonnées, ainsi que l'identité du délégué à la protection de la vie privée ;
• le type de service qu'un détenteur fournit au responsable, lorsque la base est hébergée chez un tiers ;
• les finalités de la création de la base et celles auxquelles les données sont destinées ;
• les types de données que la base contiendra ;
• des précisions sur les transferts de données hors du pays et sur la réception régulière de données d'un organisme public.

Le directeur de l'Autorité enregistre la base dans les 60 jours du dépôt, sauf motif raisonnable de penser que la base sert une activité illégale ou que ses données ont été collectées illégalement (article 10(a)(1)). Si le délai passe sans notification de refus ni de suspension, la base est réputée enregistrée, et le travail peut commencer (article 8A(a)(2)). Si le directeur notifie un refus ou une suspension, tout traitement de données dans la base est interdit, sauf décision contraire d'un tribunal (article 10(b2)).

Que se passe-t-il si une base soumise à enregistrement n'est pas enregistrée ?

L'interdiction elle-même est nette : le responsable d'une base soumise à enregistrement ne peut y traiter des données personnelles, ni permettre à autrui de les traiter pour lui, tant que la base n'est pas enregistrée (article 8A(a)(2)). « Traiter », dans cette loi, c'est presque tout — recevoir, collecter, stocker, consulter, communiquer. Une entreprise qui doit s'enregistrer et ne l'a pas fait est en infraction continue, pas dans un écart technique ponctuel.

À l'interdiction s'ajoute la machinerie d'exécution que l'amendement n° 13 a confiée à l'Autorité : son directeur peut infliger une sanction financière pour le traitement de données dans une base soumise à enregistrement mais non enregistrée, pour des informations inexactes dans la demande d'enregistrement et pour l'absence de déclaration des changements. Le défaut de notification qu'une grande base sensible doit à l'Autorité y figure aussi. Les montants sont fixés par la loi, et ils doublent pour les très grandes bases.

Il existe aussi une exposition civile directe : une personne dont les données figurent dans une base soumise à enregistrement mais non enregistrée, qui a exigé du responsable qu'il l'enregistre sans être entendue dans les 90 jours, peut réclamer des dommages-intérêts exemplaires sans preuve de préjudice (article 15A(a)(1)). Et pour ceux qui se sont enregistrés, la rigueur continue : tout changement des informations enregistrées doit être déclaré (article 9(d)), et le directeur de l'Autorité peut suspendre ou annuler l'enregistrement d'une base qui viole la loi (article 10(f)).

Pourquoi l'exemption d'enregistrement n'est-elle pas une exemption de la loi ?

Et voici le piège pour lequel cet article a été écrit. Beaucoup d'entreprises ont entendu que « l'obligation d'enregistrement a été supprimée » et en ont conclu que le droit de la vie privée ne les concernait plus. Mais l'enregistrement n'a jamais été qu'une procédure — les obligations de fond n'en ont jamais dépendu. L'amendement n° 13 a précisément aiguisé cela : moins de paperasse, plus de contrôle sur ce qui arrive réellement aux données.

L'obligation centrale est la sécurité des données : le responsable de la base et son détenteur répondent chacun de la sécurité des données qu'elle contient (article 17(a)), et le règlement israélien sur la sécurité des données, 5777-2017 précise ce que cela signifie en pratique — document de définition de la base, gestion des autorisations d'accès, et niveaux de sécurité fixés selon le type et le volume des données. Rien de tout cela ne dépend de l'enregistrement. À ses côtés : l'obligation de notifier l'Autorité dès qu'une base contient des données particulièrement sensibles sur plus de 100 000 personnes (article 8A(b)), et l'obligation de nommer un délégué à la protection de la vie privée pour quiconque relève des catégories de l'article 17B1.

Face à toutes ces obligations se dressent les droits des personnes : savoir, au moment de la collecte, qui collecte, dans quel but et quels sont leurs droits (article 11) ; consulter les données détenues sur elles (article 13) ; en exiger la rectification ou l'effacement (article 14). Un refus d'accès illégal, ou une rectification acceptée mais jamais exécutée, expose l'entreprise à des dommages-intérêts exemplaires selon l'article 15A — indépendamment de la question de l'enregistrement.

Remarquez ce que toute cette liste a en commun : aucune de ces obligations ne se remplit avec un formulaire. Qui voit quelles données, peut-on localiser puis effacer tout ce qui est conservé sur une personne, les accès sont-ils journalisés — tout cela se décide dans la façon dont le système est construit. Un système qui gère des données sensibles — le dossier client d'un cabinet d'avocats en est l'exemple le plus net — exige autorisations, chiffrement et journalisation par défaut, et un système bâti autour de votre façon de travailler répond à une demande d'effacement en un clic, au lieu d'une chasse manuelle dans des fichiers éparpillés.

Si vous ne savez pas où en est votre entreprise — avez-vous une base de données tout court, êtes-vous proche de l'un des seuils, et votre système actuel est-il à la hauteur — écrivez-nous un court message sur ce que vous gérez et où.