Le Royaume-Uni s'engage à maintenir des normes élevées en matière de protection des données des particuliers, et les entreprises s'exposent à de graves conséquences en cas de non-respect de la législation applicable. Toutefois, cet engagement s'accompagne d'un objectif visant à encourager l'innovation, comme en témoigne notamment la mise en place de la nouvelle Loi de 2025 sur les données (utilisation et accès). Dans cette mise à jour, nous aborderons les changements majeurs apportés par cette législation ainsi que d'autres évolutions importantes en matière de protection des données dont vous devez tenir compte pour garantir la conformité de votre entreprise.
Le RGPD britannique et la loi de 2018 sur la protection des données
Lorsqu'on examine la réglementation britannique en matière de protection des données, il est essentiel de prendre en compte à la fois le RGPD britannique et la loi de 2018 sur la protection des données, qui constituent les pierres angulaires du régime britannique de protection des données. Ces textes législatifs définissent les modalités de stockage, de traitement et de collecte des données à caractère personnel.
Le RGPD britannique a été mis en place à la suite du Brexit et énonce plusieurs principes relatifs au traitement des données, notamment la licéité, l'équité et la transparence. Il définit les droits des personnes physiques (notamment les droits d'accès et d'effacement) ainsi que les règles applicables aux transferts internationaux de données. Il s'applique à toutes les organisations situées au Royaume-Uni ainsi qu'aux entités étrangères qui traitent les données à caractère personnel de personnes physiques britanniques.
La loi de 2018 sur la protection des données complète le RGPD britannique et comprend des dispositions telles que des dérogations aux obligations prévues par ce dernier dans certains cas.
Loi de 2025 sur les données (utilisation et accès) (DUAA)
La loi DUAA a reçu la sanction royale le 19 juin 2025 et est mise en œuvre par étapes : certaines dispositions sont déjà en vigueur, tandis que d’autres devraient entrer en vigueur au cours de l’année à venir. La loi DUAA apporte des changements importants au régime actuel.
La DUAA a pour objectifs d'encourager l'innovation, de renforcer le cadre actuel de protection des données au Royaume-Uni et de permettre aux entreprises d'améliorer leurs services tout en garantissant la protection des droits individuels.
Outre le respect de la conformité, évoqué ci-dessous, les organisations devraient réfléchir à la manière dont elles peuvent tirer parti des changements qui assistance innovation.
Innovation
L'ICO se félicite des modifications apportées par la DUAA et souligne que celle-ci pourrait aider les entreprises à innover de la manière suivante :
1. Recherche : préciser qu'un ‘ consentement général ’ peut être donné pour un domaine de recherche scientifique lorsque des organismes utilisent des données à caractère personnel à des fins de recherche.
2. Mentions relatives à la protection de la vie privée : Si la mise en place d'une déclaration de confidentialité relative à la réutilisation de données à caractère personnel à des fins de recherche scientifique devait représenter un effort disproportionné, les organismes ne seraient pas tenus de publier une nouvelle déclaration. Celle-ci devra toutefois rester accessible sur le site Internet de l'organisme et les droits des personnes concernées continueront d'être protégés comme d'habitude.
3. Prise de décision automatisée (ADM) : les entreprises puissent s'appuyer sur l'ensemble des bases légales lorsqu'elles utilisent les données à caractère personnel des personnes pour prendre des décisions automatisées les concernant, à condition de mettre en œuvre les garanties appropriées.
4. Cookies : Certains types de cookies peuvent être installés sans nécessiter de consentement, par exemple ceux utilisés pour collecter des informations visant à améliorer le fonctionnement du site web.
Principales modifications
Parmi les principales modifications apportées par la DUAA, on peut citer :
- Prise de décision automatisée (ADM) : permet aux organisations de prendre des décisions fondées exclusivement sur un traitement automatisé dans un cadre plus large, à condition que certaines garanties soient mises en place. Ces garanties consistent notamment à informer la personne concernée et à lui offrir le droit à une intervention humaine dans le processus décisionnel. Toutefois, des restrictions s'appliquent à la prise de décision automatisée (ADM) pour certaines catégories particulières de données.
- Accès aux données personnelles: une règle dite de ‘ suspension du délai ’, qui permet de suspendre les délais de réponse si des informations complémentaires sont nécessaires de la part du demandeur. De plus, lorsqu'une personne demande l'accès à ses données, les organisations ne sont tenues d'effectuer que des recherches raisonnables et proportionnées.
- Intérêts légitimes reconnus : un nouveau fondement juridique pour le traitement des données à caractère personnel. Si ce fondement juridique s'applique, il n'est pas nécessaire de mettre en balance l'impact sur les personnes dont les données à caractère personnel sont utilisées et les avantages qui en découlent. En règle générale, cela se ferait par le biais d'une évaluation des intérêts légitimes (LIA). La DUAA établit une liste de bases préapprouvées, qui comprend la sécurité nationale, la réponse aux situations d’urgence et la protection des enfants ou des personnes en situation de risque.
- Protection des données des enfants: lorsqu'elles proposent un service en ligne susceptible d'être utilisé par des enfants, les organisations doivent réfléchir à la manière de soutenir et de protéger ces derniers lorsqu'elles examinent les modalités d'utilisation de leurs données à caractère personnel.
- Réclamations : l'obligation d'aider les personnes souhaitant déposer une réclamation concernant le traitement de leurs données à caractère personnel, ainsi qu'un délai pour l'accusé de réception (dans les 30 jours) et pour la réponse (‘ sans retard injustifié ’).
Nouveaux pouvoirs de l'ICO
Les entreprises doivent savoir qu’en vertu de la DUAA, l’ICO sera restructurée à l’image d’autres autorités de régulation britanniques, avec un directeur général et un conseil d’administration. Paul Arnold a été désigné comme premier directeur général. Les pouvoirs de l’ICO sont également étendus : elle dispose désormais de nouveaux pouvoirs d’enquête et de contrôle, ainsi que de la possibilité d’infliger des amendes pouvant atteindre 17,5 millions de livres sterling ou 4% du chiffre d’affaires mondial. L’un des nouveaux pouvoirs de l’ICO est la possibilité d’émettre des ‘ avis d’audition ’ et des ‘ avis de renseignement ’, grâce auxquels l’ICO évaluera si les dispositions en matière de protection des données ont été enfreintes. L’ICO devra trouver un équilibre entre ces pouvoirs élargis et ses nouvelles obligations ainsi que ses exigences en matière de rapports.
Il est donc plus important que jamais de veiller à ce que les organisations respectent la réglementation, soient en mesure de fournir les documents appropriés et de justifier leurs processus. En ce qui concerne l'utilisation des systèmes d'IA, les entreprises doivent comprendre les risques associés, savoir comment les atténuer et prendre en compte les problèmes de protection de la vie privée qui pourraient en découler.
L'ICO confirme dans ses lignes directrices qu'elle continuera à agir en tant qu‘’ autorité de régulation fiable, équitable et indépendante ‘ et qu'elle s'attachera à continuer d'offrir des conseils et des services tout en ’ allégeant les contraintes réglementaires ‘ et en encourageant ’ l'innovation et la croissance ».
Garantir la conformité
Comprendre les exigences
Les entreprises devraient passer en revue toutes les dispositions clés et se tenir informées des changements actuels et à venir afin de s'assurer que les politiques et pratiques concernées soient mises à jour si nécessaire. Nous recommandons également aux entreprises de consulter les recommandations pertinentes dont les liens figurent ci-dessous et de rester attentives aux commentaires et conseils supplémentaires (à noter que de nouvelles recommandations de l'ICO seront publiées en temps voulu).
Il sera essentiel de déterminer quels changements s’appliquent à votre modèle économique spécifique et quelles parties de votre activité seront concernées pour pouvoir répondre aux exigences.
La DUAA est très complète et il peut être judicieux de solliciter un avis juridique afin de vous assurer que votre entreprise respecte globalement la réglementation en vigueur en matière de protection des données et qu'elle soit parée pour les changements à venir.
Mise à jour des politiques, des contrats, des supports de formation et des systèmes
Il est également important de se demander s'il est nécessaire de mettre à jour les supports de formation des collaborateurs et les contrats clients. La mise à jour des politiques et des contrats permettra non seulement de garantir la conformité, mais aussi de renforcer la confiance des clients et de minimiser les risques.
Exemples concrets, adaptés à chaque secteur d'activité, illustrant comment mettre à jour les systèmes et les politiques :
- Mettre en place un système adapté pour traiter les réclamations relatives à l'utilisation des données, si ce n'est pas déjà fait.
- Mettre en place un dispositif adapté pour assurer la protection des enfants utilisant les services en ligne.
- Enregistrer et répertorier l'ensemble des traitements fondés sur des intérêts légitimes reconnus, et mettre à jour les politiques de confidentialité en conséquence.
- Analyser et consigner l'utilisation de l'IA au sein de votre organisation dans le cadre de la prise de décision automatisée, le fonctionnement de ces systèmes, les types de données utilisées et les raisons justifiant le recours à la prise de décision automatisée.
- Si vous apportez des modifications à vos processus afin de favoriser l'innovation, veillez à mettre à jour en conséquence vos politiques de confidentialité et les contrats concernés.
- Veiller à ce que les politiques précisent clairement quelles mesures de protection sont en place en matière de prise de décision automatisée.
- Envisagez de nommer un délégué à la protection des données (DPD) chargé de superviser les mesures de mise en conformité et de servir de point de contact pour toute question relative aux données.
Recommandations relatives aux ICO: Les organisations britanniques devraient tirer profit des nouvelles lois sur la protection des données | ICO
Recommandations du gouvernement: Loi de 2025 sur les données (utilisation et accès) : modifications en matière de protection des données et de vie privée – GOV.UK
Autres actualités
23andMe
23andMe, une société spécialisée dans les tests génétiques, s'est vu infliger une amende de 2,31 millions de livres sterling par l'ICO pour avoir mis en place des mesures de sécurité insuffisantes afin de protéger les données à caractère personnel. Cette sanction fait suite à une cyberattaque survenue en 2023, qui a entraîné la divulgation des données personnelles (y compris des données génétiques) de plus de 150 000 utilisateurs au Royaume-Uni et de millions d’autres à travers le monde. Selon certaines informations, bien que des allégations de vol de données aient été formulées plus tôt en 2023 – et rejetées comme non fondées –, aucune enquête approfondie n’a été menée avant que les données volées ne soient mises en vente sur Reddit en octobre 2023. Cette affaire souligne l’importance de mettre en place des mesures de sécurité adéquates, telles que l’authentification multifactorielle, et de prendre des précautions supplémentaires lors du traitement de données relevant de catégories particulières.
L'UE prolonge de six mois les décisions d'adéquation concernant le Royaume-Uni
La Commission européenne a prolongé de six mois ses décisions d’adéquation concernant les transferts de données vers le Royaume-Uni ; celles-ci expireront désormais le 27 décembre 2025. Cela laissera le temps d’évaluer l’accord sur la protection des données (DUAA). Le terme ‘adéquation’ désigne, selon l’UE, la capacité des pays jugés aptes à offrir un niveau de protection des données ‘essentiellement équivalent’ à celui de l’UE.
Internet des objets – mise à jour des recommandations de l’ICO
L'ICO a publié des recommandations actualisées concernant le traitement des données à caractère personnel dans les produits grand public relevant de l'Internet des objets (IoT), ainsi que l'application de la législation britannique en matière de protection des données et du règlement de 2003 sur la vie privée et les communications électroniques. Parmi les types de produits IoT grand public, on peut citer les ampoules intelligentes et les montres connectées. Consultez l'intégralité des recommandations ici : À propos de ce guide | ICO.
Les nouvelles lois brésiliennes sur l'IA
Le Brésil propose un projet de loi visant à réglementer l’IA, qui met l’accent sur les risques et la protection des droits individuels. Ce projet considère que certains systèmes d’IA présentent un risque excessivement élevé, par exemple ceux mis en place à des fins de ‘ notation sociale ’ (utilisation de l’IA pour attribuer une valeur aux individus en fonction de leur comportement, en les surveillant et en déterminant leurs droits).
Comment nous pouvons vous aider
Nous pouvons vous aider à comprendre l'impact de la législation britannique en matière de protection des données sur votre activité et à déterminer la meilleure façon de protéger votre organisation. Si vous avez besoin d'un examen ou d'une mise à jour de vos politiques et contrats, n'hésitez pas à contacter notre équipe.
Olivia Crolla
Avocat associé
