Vie privée - Quand les lois sur la protection de la vie privée traversent la frontière / Gilad Bar-Ami, Avocat.*
Le propriétaire d'une base de données en Israël décide de profiter d'un cessez-le-feu entre Israël et l'Iran et de transférer des informations de la base de données en Israël vers des serveurs situés dans une zone (selon lui) un peu moins périlleuse. Peut-être chez les nouveaux amis à Beyrouth ou en Hongrie, ou peut-être pense-t-il hors des sentiers battus (et hors de portée des missiles) et compare-t-il des devis en Micronésie. Mais attendez ! Le transfert prévu est-il seulement légal !?
Le Règlement israélien sur la protection de la vie privée (Transfert de données vers des bases de données hors des frontières de l'État), 2001, établit une interdiction générale du transfert d'informations hors d'Israël. Sont exclus de cette règle les transferts vers des juridictions qui garantissent un niveau de protection non inférieur à celui d'Israël. Notez que cela s'applique aux informations provenant de bases de données enregistrées et non enregistrées. Par conséquent, les assouplissements concernant l'enregistrement des bases de données mis en œuvre dans l'amendement 13 de la loi israélienne sur la protection de la vie privée, 1981, ne diminuent pas cette interdiction. Semblable au RGPD européen, il s'agit là aussi d'une législation européenne absorbée par le droit israélien. Ainsi, l'option hongroise fonctionnera effectivement, mais est-ce une raison pour laisser passer les offres lucratives reçues de Micronésie ?
En un mot (ou peut-être une coque de noix de coco micronésienne), la réponse est – pas nécessairement. Le règlement énumère une série d'exceptions concernant le transfert de données vers des juridictions qui ne répondent pas aux exigences de l'exception susmentionnée. La seule exception qui ne dépend pas du type d'informations ou des personnes concernées est stipulée à l'article 2(4) et permet le transfert d'informations sous réserve de l'engagement contractuel du destinataire de respecter les conditions de détention et d'utilisation des informations qui s'appliquent à une base de données en Israël, mutatis mutandis (avec les changements nécessaires). Étant donné que des lois identiques ne constituent pas une exigence réaliste, et afin de maintenir la règle selon laquelle l'expression "mutatis mutandis" n'est pas une formule magique accordant un écart illimité par rapport au cadre original, l'Autorité israélienne de protection de la vie privée a cherché à clarifier les limites de ces changements, et l'a fait dans un avis publié en mars 2026. Ainsi, par exemple, le non-respect par le destinataire des obligations d'enregistrer une base de données ou de notifier à l'Autorité son existence sera considéré comme un "mutatis mutandis" s'il n'existe aucune obligation similaire dans le pays de destination.
L'Autorité précise que le "mutatis mutandis" autorisé se rapporte aux obligations du détenteur à l'étranger et n'exempte pas le propriétaire de la base de données en Israël de ses propres obligations en tant que tel. De plus, il ne s'agit pas de changements requis par les circonstances subjectives du destinataire, mais plutôt par les différences entre la loi israélienne et la loi locale. En outre, conformément au principe de non-déviation du cadre original, l'Autorité énumère les obligations qui doivent être incluses dans l'accord avec le destinataire, notamment : (a) l'interdiction d'utiliser les informations personnelles à d'autres fins que celles pour lesquelles elles ont été fournies au responsable de la base de données en Israël ; (b) l'engagement d'accorder le droit de consultation à la personne concernée ; (c) le droit de la personne concernée de demander la correction ou la suppression de ses informations personnelles ; (d) le maintien de la confidentialité des informations personnelles ; (e) la sécurisation des informations personnelles conformément au Règlement israélien sur la sécurité des informations ou conformément à la norme ISO/IEC 27001 et aux directives de l'Autorité, et à l'avenir conformément aux dispositions de la loi sur la cyberdéfense. Toutefois, il convient de noter que si le transfert d'informations de ce destinataire vers un destinataire supplémentaire à l'étranger est conditionné au consentement du propriétaire de la base de données en Israël, les obligations au titre de l'article 2(4) ne s'appliquent pas à ce consentement.
Que doit donc faire le propriétaire d'une base de données en Israël lorsqu'il cherche à transférer des informations à l'étranger ? Tout d'abord, il est recommandé de consulter au préalable un avocat spécialisé dans le domaine, et plus particulièrement un avocat membre d'un réseau international de cabinets d'avocats. Cela permet de bénéficier de la perspective et des connaissances complexes et complètes requises pour comprendre les exceptions applicables et les lois pertinentes dans la juridiction du destinataire, et de déterminer la nécessité d'un accord et le contenu exact de l'accord avec chaque destinataire, en tenant compte des dispositions de la loi israélienne sur la protection de la vie privée, du règlement et de leur interprétation mise à jour par l'Autorité d'une part, mais aussi du droit étranger pertinent d'autre part.