Protecția datelor pentru o societate israeliană care vinde în Europa: când se aplică GDPR, reprezentantul în UE, decizia privind caracterul adecvat și Amendamentul 13

O societate de software din Tel Aviv care vinde abonamente în Germania, un magazin online din Israel ale cărui livrări ajung în România sau o societate de marketing care derulează campanii direcționate în Franța - toate pot fi supuse Regulamentului general privind protecția datelor al Uniunii Europene (GDPR), chiar și fără birou, angajat sau cont bancar în Europa. Ghidul explică când se întâmplă acest lucru, care sunt obligațiile principale, ce semnificație au decizia privind caracterul adecvat pentru Israel și Amendamentul 13 la Legea privind protecția vieții private și ce trebuie verificat. Este valabil la noiembrie 2026.

1Când se aplică GDPR unei societăți israeliene fără prezență în Europa?

Potrivit articolului 3 alineatul (2) din GDPR, regulamentul se aplică unei entități care nu este stabilită în Uniune atunci când prelucrarea este legată de una dintre două activități: oferirea de bunuri sau servicii persoanelor vizate care se află în Uniune, contra cost sau gratuit, ori monitorizarea comportamentului acestora, în măsura în care comportamentul are loc în Uniune.

2Care sunt obligațiile principale atunci când se aplică GDPR?

Obligațiile sunt similare celor ale unei societăți europene: un temei legal pentru fiecare prelucrare, transparență față de utilizatori, respectarea drepturilor acestora, securitatea datelor și notificarea incidentelor de securitate. Diferența principală pentru o societate din afara Uniunii este obligația de a desemna un reprezentant.

• Temeiul legal: pentru fiecare scop al prelucrării este necesar un temei de la articolul 6 - consimțământ, necesitate pentru executarea unui contract, obligație legală, interes legitim și altele.
• Politica de confidențialitate: informații clare despre ce se colectează, de ce, cât timp se păstrează, cui se transmite și ce drepturi are utilizatorul.
• Drepturile persoanelor vizate: acces, rectificare, ștergere, restricționare, portabilitate și opoziție, cu un proces intern de răspuns la termen.
• Evidența activităților de prelucrare conform articolului 30, sub rezerva excepțiilor pentru entitățile mici.
• Securitatea și notificarea incidentelor: măsuri de securitate adecvate, iar în cazul unui incident de securitate care prezintă un risc - notificarea autorității de supraveghere în termen de 72 de ore, ca regulă.
• Transferurile de date: transferul din Uniune către o țară terță necesită un temei - o decizie privind caracterul adecvat, clauze contractuale standard sau un alt mecanism.

3Are nevoie o societate israeliană de un reprezentant în UE conform articolului 27?

De regulă, da. Articolul 27 prevede că, atunci când se aplică articolul 3 alineatul (2), operatorul sau persoana împuternicită desemnează în scris un reprezentant în Uniune. Reprezentantul trebuie să fie stabilit într-unul dintre statele în care se află persoanele vizate cărora societatea le oferă servicii sau al căror comportament îl monitorizează.

• Excepția: obligația nu se aplică prelucrării ocazionale, care nu include prelucrarea pe scară largă a unor categorii speciale de date (precum sănătatea) sau a datelor privind condamnările și care nu este susceptibilă să genereze un risc pentru drepturile persoanelor. O societate care vinde în mod curent în Europa va intra cu greu, de regulă, sub incidența excepției.
• Rolul reprezentantului: punct de contact pentru solicitările autorităților de supraveghere și ale persoanelor vizate și ținerea evidenței prelucrărilor la cererea autorității. Nu înlocuiește responsabilul cu protecția datelor (DPO), a cărui obligație de desemnare se analizează separat.
• Cum se desemnează: printr-un contract scris cu reprezentantul, iar datele acestuia se publică în politica de confidențialitate.
• Răspunderea: desemnarea unui reprezentant nu îi transferă acestuia răspunderea societății; societatea rămâne responsabilă pentru respectarea regulamentului.

4Ce oferă decizia Uniunii privind caracterul adecvat al protecției în Israel?

Decizia Comisiei 2011/61/UE din ianuarie 2011 a stabilit că Israelul asigură un nivel adecvat de protecție pentru datele cu caracter personal transferate către acesta din Uniune. La 15 ianuarie 2024, Comisia a publicat raportul privind prima revizuire a unsprezece decizii mai vechi privind caracterul adecvat, inclusiv cea pentru Israel, și a stabilit că acestea continuă să se aplice.

• Ce facilitează: un client sau un partener european poate transfera date cu caracter personal unei societăți din Israel fără clauze contractuale standard și fără o evaluare separată a riscului transferului, în cadrul deciziei.
• Ce nu face: nu scutește societatea israeliană de GDPR atunci când se aplică articolul 3 alineatul (2) și nu anulează obligația reprezentantului, acordul de prelucrare sau drepturile utilizatorilor.
• Transferul ulterior: când societatea israeliană transferă datele unui furnizor dintr-o altă țară terță, precum un serviciu de cloud din SUA, este necesar un temei separat pentru acest transfer.
• Monitorizarea: Comisia a anunțat că va continua să urmărească evoluțiile din statele revizuite, iar organizații ale societății civile au cerut reexaminarea deciziei privind Israelul. Merită urmărite actualizările.

5Ce s-a schimbat în Israel odată cu Amendamentul 13 la Legea privind protecția vieții private?

Amendamentul 13 la Legea privind protecția vieții private, 5741-1981, a fost aprobat de Knesset în august 2024 și a intrat în vigoare la 14 august 2025. Acesta a extins competențele Autorității pentru protecția vieții private, inclusiv competența de a aplica sancțiuni pecuniare, și a instituit obligația de a desemna un responsabil cu protecția vieții private în anumite entități.

• Responsabilul cu protecția vieții private: Autoritatea a publicat orientări, iar perioada de grație pentru aplicarea obligației de desemnare s-a încheiat la 31 octombrie 2025. Dacă obligația se aplică unei anumite societăți depinde de tipul și amploarea activității.
• Aplicarea: Autoritatea a anunțat că unele sancțiuni pot fi aplicate și fără avertizare prealabilă.
• Două sisteme în paralel: o societate israeliană care vinde în Europa este supusă legislației israeliene pentru întreaga sa bază de date și GDPR pentru activitatea față de persoanele din UE. Conformarea cu GDPR facilitează de regulă și respectarea legislației israeliene, dar cerințele nu sunt identice și fiecare trebuie verificată separat.

6Ce trebuie să conțină un acord de prelucrare (DPA) cu furnizorii?

Fiecare furnizor care prelucrează date cu caracter personal în numele societății - serviciu de cloud, CRM, serviciu de e-mailing, centru de asistență - trebuie să semneze un acord de prelucrare conform articolului 28. Când societatea israeliană este ea însăși furnizorul unui client european, clientul îi va cere un astfel de acord.

• Prelucrarea doar conform instrucțiunilor documentate ale operatorului și în scopurile stabilite.
• Obligația de confidențialitate a angajaților expuși la date.
• Măsuri de securitate adecvate.
• Condiții pentru angajarea unei persoane împuternicite secundare, inclusiv aprobarea prealabilă sau notificarea și posibilitatea de a se opune.
• Asistarea operatorului la răspunsul la solicitările persoanelor vizate și la notificarea incidentelor de securitate.
• Ștergerea sau returnarea datelor la încetarea colaborării.
• Dreptul de audit și furnizarea informațiilor necesare pentru a demonstra respectarea obligațiilor.

7Care sunt regulile pentru cookie-uri și urmărirea pe site?

Pentru cookie-urile care nu sunt strict necesare funcționării site-ului - analiză, publicitate direcționată, pixeli ai rețelelor sociale - este necesar ca regulă consimțământul prealabil al utilizatorului din UE. Cerința decurge din articolul 5 alineatul (3) din Directiva ePrivacy, transpusă în legislațiile naționale ale fiecărui stat, de aceea există diferențe de detaliu între state.

• Un banner de consimțământ care permite refuzul la fel de ușor ca acceptarea, fără bife prestabilite.
• Nu se încarcă instrumente ale terților înainte de consimțământ.
• O politică privind cookie-urile cu lista instrumentelor, scopurile și perioadele de păstrare.
• Documentarea consimțământului și posibilitatea de a-l retrage.

8Listă de verificare pentru o societate israeliană care vinde în Europa

1. Inventariați: ce date cu caracter personal se colectează de la persoanele din UE, unde sunt stocate și către ce furnizori sunt transmise.
2. Stabiliți aplicabilitatea: dacă există o ofertă direcționată sau monitorizare, conform articolului 3 alineatul (2).
3. Desemnați un reprezentant în UE dacă excepția nu se aplică și publicați datele acestuia.
4. Verificați obligația DPO conform GDPR și conform Amendamentului 13 din Israel.
5. Actualizați politica de confidențialitate și politica privind cookie-urile și instalați un mecanism de consimțământ.
6. Încheiați acorduri de prelucrare cu toți furnizorii și verificați temeiul pentru transferurile ulterioare în afara Israelului și a UE.
7. Pregătiți o procedură pentru incidentele de securitate care să permită respectarea termenului de notificare.
8. Pregătiți un proces de răspuns la solicitările persoanelor vizate.
9. Documentați deciziile, inclusiv evidența prelucrărilor și evaluările de impact atunci când sunt necesare.

9Ce trebuie verificat înainte de a intra pe piața europeană și cum vă însoțim

Înainte de lansarea unui produs sau a unei campanii în Europa, merită verificat dacă activitatea atrage aplicarea GDPR, ce contracte lipsesc față de furnizori și clienți și cum se integrează conformarea cu GDPR cu cerințele israeliene de după Amendamentul 13. Vă sprijinim în analiza aplicabilității, în verificarea și redactarea acordurilor de prelucrare, a condițiilor de utilizare și a politicii de confidențialitate și în coordonarea cu un reprezentant în UE și cu consultanți tehnologici și locali, după caz.

Mai multe pe această temă: Societatea israeliană care activează în România · Societatea în străinătate: comparație între țări · Afaceri cu un partener israelian

Citiți în continuare · 10 min de lecturăSediul permanent și salariatul la distanță în străinătate: când datorează o societate israeliană impozit în statul salariatului și ce se întâmplă cu salariile și asigurările socialeSalariatul care lucrează de acasă în străinătate poate crea un sediu permanent pentru o firmă israeliană: actualizarea OCDE 2025, salarii și asigurări.Citiți ghidul