RGPD britannique : ce qui change avec le Data (Use and Access) Act 2025

Depuis le Brexit, le RGPD au Royaume-Uni porte un autre nom : le UK GDPR, ou RGPD britannique. Le Data (Use and Access) Act 2025 en est la plus grande réforme. Promulgué le 19 juin 2025 (sanction royale), il ne remplace pas le UK GDPR : il le modifie, ainsi que le Data Protection Act 2018 et le PECR, la réglementation britannique sur les cookies et la prospection électronique. Ses mesures sont entrées en vigueur par étapes ; au 19 octobre 2026, toutes celles présentées ici s’appliquent.

Pour une entreprise française, le sujet se pose dès que vous avez des clients, des prospects ou des visiteurs au Royaume-Uni, ou un prestataire britannique. Voici ce qui a changé, avec les dates, puis les points à vérifier. Si vous débutez, commencez par mon guide du RGPD pour les petites équipes.

Cet article présente les textes et les recommandations officielles ; ce n’est pas un conseil juridique.

RGPD Royaume-Uni : le calendrier de la réforme

La plupart des mesures de février viennent d’un même texte d’application, les Commencement No. 6 Regulations (SI 2026/82), qui fixent aussi au 19 juin 2026 l’entrée en vigueur des règles sur les réclamations. La page du gouvernement britannique sur l’entrée en vigueur détaille chaque étape, et le texte de la loi est sur legislation.gov.uk (en anglais).

Cookies : de nouvelles exceptions au Royaume-Uni, mais pas pour un site français

Au Royaume-Uni, la regulation 6 du PECR impose toujours un consentement pour stocker ou lire une information sur l’appareil d’un visiteur, sauf exception. Depuis le 5 février 2026, trois exceptions s’ajoutent à la liste :

• les statistiques : une mesure d’audience qui sert uniquement à produire des statistiques sur l’utilisation du site, en vue de l’améliorer ;
• l’apparence : mémoriser la façon dont le visiteur veut afficher ou utiliser le site, comme sa langue ou la taille du texte ;
• l’assistance d’urgence : localiser un appareil pour envoyer des secours.

Les deux premières exigent une information claire et complète et un moyen simple de s’opposer. Si les données de mesure servent aussi à la publicité ou à suivre chaque visiteur individuellement, l’exception tombe, et les cookies publicitaires exigent toujours un consentement.

Ces exceptions ne valent pas pour un site édité en France, qui reste soumis à la CNIL : celle-ci ne dispense de consentement que les outils de mesure d’audience respectant des conditions strictes. Mon article sur le bandeau cookies compare les règles de la CNIL, de l’UE et du Royaume-Uni.

Demandes d’accès : des recherches proportionnées et un délai qui peut être suspendu

Si un client britannique vous demande une copie de ses données, deux changements vous facilitent la tâche, sans affaiblir son droit.

• Des recherches raisonnables et proportionnées (depuis le 19 juin 2025). Inutile de fouiller chaque sauvegarde et chaque boîte mail archivée, mais il faut chercher là où les données ont des chances de se trouver et pouvoir justifier les limites de votre recherche.
• La suspension du délai (depuis le 5 février 2026). Un nouvel article 12A du UK GDPR fixe le délai de réponse et permet de le suspendre le temps d’obtenir une précision dont vous avez réellement besoin, par exemple la période ou le projet concernés.

Ce qui ne change pas : le délai d’un mois, prolongeable de deux mois pour les demandes complexes ou nombreuses, et les motifs de refus ou de facturation, réservés aux demandes « manifestement infondées ou excessives ». Mon guide pour répondre à une demande de droit d’accès dans le délai d’un mois détaille la marche à suivre.

Réclamations : une nouvelle obligation depuis le 19 juin 2026

C’est la mesure qui demande un effort à tout le monde. L’article 103 de la loi a ajouté un article 164A au Data Protection Act 2018 : une personne peut désormais se plaindre directement auprès de vous de l’usage de ses données, et vous devez :

1. lui faciliter la démarche, par exemple avec un formulaire en ligne ;
2. accuser réception dans les 30 jours, à compter du lendemain de la réception ;
3. examiner la réclamation sans retard injustifié, tenir la personne informée et lui communiquer le résultat.

Le guide de l’ICO « How to deal with data protection complaints » (12 février 2026) vous laisse choisir vos canaux, mais vous devez accepter une réclamation par quelque voie qu’elle arrive, y compris auprès de n’importe quel membre de l’équipe. Pour vos clients britanniques, indiquez aussi comment vous adresser une réclamation dans votre politique de confidentialité.

Intérêt légitime, prospection et amendes PECR

La loi ajoute une septième base légale à l’article 6 du UK GDPR : les intérêts légitimes reconnus (article 6(1)(ea)). Pour les finalités de sa nouvelle annexe 1, comme la prévention de la criminalité, la protection des personnes vulnérables, les urgences ou la réponse aux demandes d’organismes publics, plus besoin de mettre en balance vos intérêts et ceux de la personne. Le traitement doit rester nécessaire, et votre information doit préciser la condition invoquée. Pour une petite équipe, ces cas restent rares.

Plus utile au quotidien : le UK GDPR cite désormais la prospection commerciale, le partage de données au sein d’un groupe pour sa gestion interne et la sécurité des réseaux comme exemples d’intérêts légitimes. C’est un signal, pas un blanc-seing : l’analyse d’intérêt légitime reste nécessaire, et une personne peut s’opposer à tout moment à la prospection, ce qui y met fin.

Le PECR, qui décide si vous pouvez envoyer un email de prospection, garde ses règles : vous pouvez écrire sans consentement aux sociétés (limited companies), mais pour les entrepreneurs individuels, certaines sociétés de personnes et les particuliers, il faut un consentement ou le soft opt-in, expliqué dans mon guide sur la newsletter et le consentement. Ce qui change, c’est le prix d’une erreur : depuis février 2026, l’amende PECR peut atteindre 17,5 millions de livres sterling (environ 20 millions d’euros) ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu, contre 500 000 livres auparavant. Si vous prospectez des entreprises britanniques, mon article sur le cold emailing et le RGPD détaille les deux régimes.

Décisions automatisées et transferts de données

Si un logiciel prend seul des décisions sur des personnes, par exemple écarter des candidatures, les règles britanniques sont désormais plus souples. L’article 80 de la loi a remplacé l’article 22 du UK GDPR par les articles 22A à 22D, en vigueur depuis le 5 février 2026. Les décisions importantes entièrement automatisées sont permises, avec des garanties : informer les personnes, leur permettre de présenter leurs observations, d’obtenir une intervention humaine et de contester la décision. Celles qui reposent sur des données sensibles, comme la santé ou l’origine ethnique, restent très encadrées. Pour vos clients de l’UE, l’article 22 du RGPD, plus strict, continue de s’appliquer.

Pour les transferts au départ du Royaume-Uni, un nouveau « data protection test » vérifie que la protection après le transfert n’est pas « sensiblement inférieure » (not materially lower) à celle du droit britannique ; les contrats de transfert déjà signés restent valables.

Dans l’autre sens, la Commission européenne a renouvelé ses décisions d’adéquation pour le Royaume-Uni en décembre 2025, après avoir examiné la réforme : vous pouvez confier des données à un prestataire britannique sans clauses contractuelles types. Et pour vos clients britanniques, la France fait partie de l’EEE, que le droit britannique reconnaît comme adéquat.

Clients britanniques : quand le RGPD britannique s’applique à vous

Votre entreprise étant établie en France, le RGPD européen s’applique à tous ses traitements. Le UK GDPR s’y ajoute pour une partie d’entre eux : selon son article 3(2), il vise aussi les organismes situés hors du Royaume-Uni qui proposent des biens ou des services à des personnes au Royaume-Uni ou suivent leur comportement. Selon l’ICO, un site simplement accessible depuis le Royaume-Uni ne suffit pas ; une offre qui vise clairement ce public, si. Une boutique en ligne lyonnaise qui livre à Manchester applique ainsi le RGPD européen à tous ses clients, et le UK GDPR en plus pour ses clients britanniques. À l’inverse, une entreprise londonienne qui vend en France relève du RGPD européen pour ces clients.

Sans établissement britannique, vous devez en général désigner par écrit un représentant au Royaume-Uni (article 27 du UK GDPR, toujours en vigueur au 19 octobre 2026), sauf traitement occasionnel et à faible risque. L’ICO l’explique dans sa page sur le champ d’application du UK GDPR, et mon guide sur le RGPD hors de l’UE détaille les deux critères, côté européen comme côté britannique.

Ce qu’il faut mettre à jour : la liste pour les petites équipes

1. Champ d’application. Vérifiez si vous visez des personnes au Royaume-Uni ; si oui, désignez un représentant britannique et mentionnez-le dans votre politique de confidentialité.
2. Cookies. Gardez les règles de la CNIL sur votre site : le consentement que vous recueillez vaut aussi pour vos visiteurs britanniques.
3. Réclamations. Choisissez un canal (formulaire ou adresse dédiée), nommez la personne qui les traite et notez les dates de réception, d’accusé de réception et de réponse.
4. Demandes d’accès. Listez où chercher (messagerie, CRM, outil de facturation, drive partagé) pour pouvoir montrer une recherche raisonnable et proportionnée.
5. Prospection. Pour vos cibles britanniques, distinguez les sociétés des entrepreneurs individuels, et tenez une liste d’opposition.
6. Décisions automatisées. Repérez les outils, IA comprise, qui décident seuls à propos de personnes, et ajoutez une vérification humaine : c’est la garantie de base, au Royaume-Uni comme dans l’UE.

La plupart de ces points sont rapides. Quand je réalise un site, la gestion des cookies et les pages de confidentialité font partie du projet de site web. Pour des décisions automatisées sur des personnes, des données de santé ou d’autres données sensibles, ou des traitements à grande échelle, l’avis d’un avocat spécialisé ou d’un délégué à la protection des données (DPO) vaut son prix.