Amendement 13 de la loi israélienne sur la vie privée : checklist pour votre site

Indicateurs, pas un avis juridique. Cette checklist résume les recommandations publiques de l’Autorité israélienne de protection de la vie privée à l’intention des propriétaires de sites. Elle ne remplace pas un conseil adapté à votre activité.

Ce qui a changé avec l’amendement 13

L’amendement 13 est la plus importante mise à jour de la loi sur la protection de la vie privée, 5741-1981, depuis son adoption. Entre autres, il rapproche les définitions des standards internationaux (les données personnelles incluent désormais expressément les identifiants en ligne et les données de localisation), restreint l’obligation d’enregistrer les bases de données, impose à certaines organisations de nommer un délégué à la protection de la vie privée (DPO) et donne à l’Autorité de protection de la vie privée le pouvoir d’infliger des amendes administratives. Pour la plupart des sites de petites entreprises, les changements au quotidien portent sur la transparence, le consentement et la sécurité.

1. Cartographiez ce que collecte votre site

Listez chaque endroit où le site demande ou enregistre des données personnelles : formulaires de contact et de devis, inscriptions à la newsletter, paiement, création de compte, widgets de chat, outils de réservation, et scripts tiers comme l’analytics, les pixels publicitaires, les cartes et les vidéos intégrées. Pour voir depuis quels services externes votre page d’accueil charge des scripts :

curl -s https://yourdomain.com | grep -oE '<script[^>]+src="https?://[^/"]+' \
  | sed -E 's#.*src="https?://##' | sort -u

Répétez l’opération pour les pages de paiement, de contact et d’inscription ; les gestionnaires de balises peuvent charger d’autres services après l’ouverture de la page, vérifiez donc aussi l’onglet Réseau du navigateur.

2. Placez une mention à côté de chaque formulaire (article 11)

Quand vous demandez des données personnelles pour les conserver et les utiliser, la demande doit être accompagnée d’une mention. Depuis l’amendement 13, elle doit indiquer :

• Si la personne est légalement tenue de fournir les données ou si c’est facultatif, et ce qui se passe si elle ne les fournit pas.
• La finalité pour laquelle les données sont demandées (toutes, pas « entre autres »).
• Qui recevra les données et dans quel but (le type de destinataire, par exemple une société de livraison).
• L’identité du responsable de la base de données (en général votre entreprise) et comment le contacter.
• Le droit d’accéder aux données et d’en demander la rectification.

Une courte mention près du bouton d’envoi, avec un lien vers la politique de confidentialité complète, garde le formulaire lisible. Rédigez-la dans la langue de votre site ; voici la structure :

<form action="/contact" method="post">
  <!-- name, email, phone fields -->
  <p class="form-notice">
    Providing these details is optional, but without them we can't reply to you.
    We use them only to answer your request. We share them with no one except our email provider.
    Controller: Example Ltd., privacy@yourdomain.com. You may ask to see or correct your data.
    <a href="/privacy">Privacy policy</a>
  </p>
  <button type="submit">Send</button>
</form>

3. Mettez à jour la politique de confidentialité

La politique de confidentialité contient la mention complète. Faites-y un lien depuis le pied de chaque page, rédigez-la en langage simple et vérifiez qu’elle correspond à ce que fait réellement le site : chaque finalité, les types de destinataires (y compris les services d’analytics et de publicité trouvés à l’étape 1), la durée de conservation, la façon d’exercer ses droits et une adresse de contact. Retirez les restes de modèle ; une politique contenant « [Nom de la société] » montre aux visiteurs que personne ne l’a relue.

4. Rendez le consentement réel

Quand vous vous fondez sur le consentement, il doit s’agir d’un choix actif et éclairé :

• Les cases sont décochées par défaut. Accepter les conditions et accepter le marketing sont deux cases distinctes.
• Les e-mails et SMS marketing nécessitent le consentement préalable de la personne selon les règles anti-spam israéliennes (article 30A de la loi sur les communications), et chaque message doit offrir un moyen simple de se désabonner.
• Conservez une trace de la date et de la manière dont chaque personne a accepté, et du texte qu’elle a vu.
• Évitez les interfaces qui poussent vers une réponse, comme une option « refuser » cachée.

<label><input type="checkbox" name="terms" required> I agree to the <a href="/terms">terms</a></label>
<label><input type="checkbox" name="marketing"> Send me news and offers by email (optional)</label>

Pour les traceurs d’analytics et de publicité, les recommandations de l’Autorité sur le consentement vont vers un consentement distinct et actif pour le profilage et la prospection directe. Si vous servez aussi des visiteurs dans l’UE, le RGPD et les règles ePrivacy imposent déjà un consentement avant les cookies non essentiels : un outil de consentement qui ne charge les traceurs qu’après « Accepter » couvre les deux cas.

5. Traitez les demandes d’accès et de rectification

Les personnes peuvent demander à voir les données personnelles que vous détenez sur elles, et faire rectifier ou supprimer les données inexactes, incomplètes ou obsolètes. Publiez un contact clair (par exemple une boîte privacy@), et décidez qui répond, comment vous vérifiez l’identité et où se trouvent les données. Selon le règlement sur les demandes d’accès, l’accès doit être accordé dans les 30 jours suivant la demande.

6. Sécurisez les données

Le règlement sur la protection de la vie privée (sécurité des données) de 2017 exige déjà des mesures adaptées à la sensibilité des données. Pour un site web, l’essentiel est :

• HTTPS partout, avec un certificat valide et HSTS. Voir comment supprimer l’alerte « Non sécurisé ».
• CMS, extensions et thèmes à jour ; supprimez ce que vous n’utilisez pas.
• Connexion en deux étapes pour chaque administrateur, et le rôle le plus bas qui convient pour tous les autres. Voir comment sécuriser la connexion WordPress.
• N’envoyez pas par e-mail des formulaires complets contenant des données sensibles en clair ; gardez-les dans l’espace d’administration protégé.
• Des sauvegardes, et un plan en cas de violation de données.

7. Vérifiez si vous avez besoin d’un DPO

L’obligation de nommer un délégué à la protection de la vie privée s’applique aux organismes publics, aux courtiers en données et aux services de prospection directe détenant des données sur au moins 10 000 personnes, aux organisations dont l’activité principale est la surveillance systématique de personnes à grande échelle, et aux organisations dont l’activité principale est le traitement de grands volumes de données très sensibles, comme les données de santé, biométriques ou financières. La plupart des sites de petites entreprises ne font pas partie de ces groupes, mais vérifiez si vous faites du profilage, du suivi de localisation ou proposez des services liés à la santé.

Pourquoi c’est important maintenant

Selon le guide de l’Autorité, ne pas fournir la mention de l’article 11 lors de la collecte de données auprès du public, par exemple via un lien sur un site, peut entraîner une amende de 2 NIS par personne figurant dans la base (4 NIS si elle contient des données particulièrement sensibles), avec un minimum de 20 000 NIS (40 000 NIS avec des données sensibles).

Ce que vérifie HackGrade

Les offres Pro, Business et Agency de HackGrade incluent des indicateurs de conformité tirés des pages que voit un visiteur : pages de confidentialité ou de conditions manquantes, traceurs chargés avant le consentement ou sans outil de consentement, cases de consentement précochées, politique de confidentialité sans section sur les droits, restes de texte de modèle, et absence de déclaration d’accessibilité sur les sites israéliens. Ce sont des indicateurs à examiner, pas un avis juridique, et ils ne modifient pas la note de sécurité. L’analyse gratuite couvre HTTPS, les certificats, les en-têtes de sécurité et les logiciels obsolètes.