Royaume-Uni : la loi sur les données s’écarte du RGPD sans rompre

Le 30 septembre 2026, le Royaume-Uni a supprimé la fonction d’Information Commissioner. Ses missions sont passées à une nouvelle autorité dotée d’un conseil, l’Information Commission, dont les services gardent le sigle ICO (Royaume-Uni · DCMS, règlement SI 2026/1015 du 10 septembre 2026). C’est la dernière étape en date du Data (Use and Access) Act 2025 (DUAA), promulgué le 19 juin 2025 et mis en vigueur par neuf règlements successifs en quatorze mois. Depuis le 19 juin 2026, toutes ses dispositions sur la protection des données s’appliquent, selon le régulateur.

Le Royaume-Uni n’a pas quitté le RGPD : il en a écrit une version britannique. L’Union européenne a jugé l’écart acceptable et a renouvelé son adéquation jusqu’en 2031. Mais les différences touchent des sujets très concrets : cookies, décisions automatisées, base légale. Ce qui est permis à Londres ne l’est pas forcément à Paris.

Ce qui est désormais en vigueur

• Le cœur de la réforme (Royaume-Uni · DSIT) : la plupart des modifications du RGPD britannique et de la loi de 2018 sur la protection des données s’appliquent depuis le 5 février 2026 (SI 2026/82).
• Les intérêts légitimes reconnus (Royaume-Uni · DUAA, annexe 4) : cinq finalités dispensées de mise en balance avec les droits des personnes : divulgation à un organisme public qui en a besoin pour sa mission, sécurité nationale et publique et défense, urgences, prévention et détection des infractions, protection des personnes vulnérables.
• Les décisions automatisées (Royaume-Uni · ICO) : une décision significative entièrement automatisée peut désormais reposer sur un éventail plus large de bases légales, à condition de prévoir des garanties appropriées. Les données sensibles restent exclues de cet assouplissement.
• Les cookies (Royaume-Uni · ICO) : certains traceurs, utilisés à des fins statistiques ou pour améliorer le fonctionnement d’un site, peuvent être déposés sans consentement, si l’utilisateur est informé et peut s’y opposer simplement.
• Les sanctions sur les cookies et la prospection (Royaume-Uni · DUAA, annexe 13) : le plafond rejoint celui du RGPD britannique, soit 17,5 millions de livres ou 4 % du chiffre d’affaires mondial.
• Les plaintes (Royaume-Uni · ICO) : chaque organisation doit faciliter les plaintes, par exemple avec un formulaire électronique, en accuser réception sous 30 jours et y répondre sans retard injustifié.
• Les demandes d’accès (Royaume-Uni · ICO) : seules des recherches « raisonnables et proportionnées » sont exigées.
• Les transferts (Royaume-Uni · DUAA, annexe 7) : le gouvernement approuve un pays tiers par règlement si la protection n’y est pas « sensiblement inférieure » à celle du Royaume-Uni.
• L’adéquation (UE · Commission européenne) : renouvelée le 19 décembre 2025, valable jusqu’au 27 décembre 2031, avec un réexamen au bout de quatre ans.

Ce qui reste en cours

• La nouvelle gouvernance (Royaume-Uni · Information Commission) : le conseil a pris ses fonctions le 30 septembre 2026, sans président permanent ; sa vice-présidente assure l’intérim. Le recrutement est mené par le ministère qui a repris la tutelle du régulateur après le démantèlement du DSIT, annoncé en juillet 2026 (Royaume-Uni · DCMS).
• Les guides du régulateur (Royaume-Uni · Information Commission) : la publication des lignes directrices nouvelles ou mises à jour se poursuit.
• Les « smart data » (Royaume-Uni · DUAA, partie 1) : les pouvoirs réglementaires pour organiser le partage de données par secteur sont en vigueur ; les dispositifs eux-mêmes restent à créer par règlement.
• Le réexamen européen (UE · Commission européenne) : un bilan du fonctionnement des décisions d’adéquation est prévu au bout de quatre ans, avec le Comité européen de la protection des données.

Le vrai enjeu : un groupe, deux régimes

Pour une entreprise présente des deux côtés de la Manche, l’adéquation règle la question des flux : les données circulent librement de l’UE vers le Royaume-Uni, au moins jusqu’au 27 décembre 2031. Elle ne règle pas celle des pratiques.

Une même application peut désormais mesurer son audience sans consentement à Londres et devoir le demander à Paris. En France, l’exemption reste étroite : mesure d’audience pour le compte exclusif de l’éditeur, données statistiques anonymes, aucun suivi d’un site à l’autre (France · CNIL). Un même outil de présélection automatisée de candidatures peut s’appuyer au Royaume-Uni sur une base légale assortie de garanties, quand l’article 22 du RGPD (UE) l’encadre plus strictement. L’adéquation protège les flux, pas les pratiques.

Trois points de vigilance

1. Les souplesses ne voyagent pas. Un traitement conçu au Royaume-Uni sur un intérêt légitime reconnu ou une exemption de cookie ne peut pas être répliqué tel quel dans l’UE. Les sites et applications communs doivent gérer des paramètres par pays.

2. Les garanties des décisions automatisées doivent exister vraiment. Information de la personne, possibilité de présenter ses observations, intervention humaine et contestation : l’assouplissement ne vaut que si ces garanties fonctionnent en pratique et sont documentées.

3. Une adéquation sous surveillance. Le renouvellement a tenu compte de la réforme, mais Londres peut désormais approuver ses propres pays tiers. Les données d’origine européenne transférées ensuite hors du Royaume-Uni méritent une traçabilité particulière, d’autant que le réexamen européen portera sur ces évolutions.

Ce qu’un groupe présent au Royaume-Uni et dans l’UE doit faire

1. Recenser les traitements britanniques qui s’appuient sur une souplesse nouvelle : intérêt légitime reconnu, décision automatisée, cookie exempté.
2. Séparer les paramètres de consentement par pays sur les sites et applications communs.
3. Documenter chaque décision automatisée significative : base légale, garanties, voie de contestation, contrôle humain.
4. Mettre en place le circuit de plaintes britannique : formulaire, accusé de réception sous 30 jours, suivi des réponses.
5. Mettre à jour les documents : notices, registres, contrats et procédures qui citent encore l’Information Commissioner.
6. Tracer l’origine des données avant tout transfert depuis le Royaume-Uni vers un pays approuvé par Londres mais pas par Bruxelles.
7. Réévaluer le risque de sanction sur la prospection et les cookies, dont le plafond atteint désormais 17,5 millions de livres.

Le Royaume-Uni n’a pas quitté le RGPD : il en a fait une version locale. Gérez-la comme telle.

La question à poser lundi matin

À votre délégué à la protection des données groupe : « Quels traitements britanniques reposent déjà sur une souplesse que le RGPD européen n’autorise pas, et sont-ils séparés de nos traitements dans l’UE ? »