Meuhedet n'était qu'un début : des dizaines d'entreprises sous la menace de lourdes amendes

La caisse de santé Meuhedet a écopé cette semaine d'une amende sans précédent de 256 000 shekels de la part de l'Autorité de protection de la vie privée, marquant une nouvelle ère en matière d'application de la loi en Israël. La sanction fait suite à un retard de deux mois dans le signalement d'un incident de sécurité grave : une défaillance systémique ayant permis à des assurés de consulter les informations médicales sensibles de leurs proches. Selon l'Autorité, la caisse était informée de l'incident dès novembre 2025 mais ne l'a pas signalé immédiatement.

Cette amende constitue la première mise en œuvre des pouvoirs conférés par « l'amendement 13 à la loi sur la protection de la vie privée ». Entré en vigueur en août 2025, cet amendement représente le changement le plus significatif apporté aux lois sur la vie privée en Israël depuis des décennies. Il élargit considérablement les pouvoirs de surveillance et d'application de l'Autorité, lui accordant des outils pénaux et la capacité d'imposer de lourdes sanctions financières. De plus, l'amendement impose la nomination d'un délégué à la protection des données (DPO) dans les organisations traitant des informations sensibles à grande échelle.

L'Autorité passe désormais à une phase d'application agressive, gérant plus de 100 dossiers contre des entités majeures de l'économie.

Amendes et litiges sur les délais de signalement

Chaque dossier en cours d'examen présente un risque de sanction financière pouvant atteindre, selon les estimations, des millions de shekels. Le montant des pénalités dépend du type de violation, du volume des données et de leur sensibilité. Bien que certains dossiers soient encore en cours d'instruction, la ligne directrice de l'Autorité est claire.

Des sources indiquent que des décisions sont attendues prochainement dans d'autres dossiers ayant déjà fait l'objet d'auditions. De nombreuses entreprises n'ont pas encore finalisé les procédures nécessaires à leur mise en conformité. Le processus de collecte de preuves et de détermination de l'amende peut prendre des mois, comme ce fut le cas pour Meuhedet, où le rapport a été soumis en janvier pour une amende imposée en juillet.

La position de l'Autorité est que l'obligation de signaler survient dès la connaissance de la violation, sans attendre la fin des vérifications internes. En réponse, Meuhedet a déclaré : « L'exigence de signalement immédiat est souvent irréaliste et ne permet pas une clarification complète des détails. Il nous semble étrange que l'Autorité choisisse d'imposer une amende à une organisation publique, et nous envisageons la possibilité de faire appel ».

Les entreprises sous pression

L'avocat Guy Bakshi, responsable des services DPO chez Pearl Cohen, souligne : « Cette première sanction selon l'amendement 13 est un signal clair : l'Autorité attend des organisations qu'elles soient préparées à l'avance, et non qu'elles s'expliquent a posteriori. L'amendement a donné des dents à l'Autorité, et elle est prête à mordre ».

Le Dr Dan Hai, expert en protection de la vie privée et cybersécurité, ajoute que l'impact est bien réel sur le terrain. Il appelle toutefois à une approche plus nuancée : « Aujourd'hui, il n'y a pas de distinction entre une cyberattaque iranienne et une erreur humaine innocente, comme un employé envoyant un e-mail à la mauvaise adresse. Cette situation crée une charge de rapports massive pour l'Autorité, ce qui pourrait conduire à passer à côté d'incidents réellement graves ».