Réponse rapide : Le RGPD britannique est une version nationalisée du RGPD de l'UE qui est entrée en vigueur lorsque le Royaume-Uni a quitté le cadre juridique de l'UE le 1er janvier 2021. Il conserve les mêmes principes fondamentaux mais a depuis divergé par le biais de la loi de 2024 sur la protection des données et l'information numérique. Les entreprises britanniques doivent se conformer au RGPD britannique, et celles qui traitent également les données des résidents de l'UE doivent se conformer séparément au RGPD de l'UE ; ce sont désormais deux obligations légales distinctes appliquées par des autorités différentes.
Points clés à retenir
- Le RGPD britannique et le RGPD de l'UE partagent la même structure et les mêmes principes fondamentaux, mais les réformes législatives depuis le Brexit ont créé des différences significatives dans des domaines tels que les cookies, les intérêts légitimes et la prise de décision automatisée.
- L'Information Commissioner's Office (ICO) est la seule autorité d'application du RGPD britannique ; il n'existe pas de mécanisme de guichet unique pour les organisations basées au Royaume-Uni.
- Les amendes maximales du RGPD britannique atteignent 17,5 millions de livres sterling ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu, reflétant la structure de 20 millions d'euros / 4 % de l'UE.
- La Commission européenne a prolongé la décision d'adéquation du Royaume-Uni en décembre 2025 jusqu'en décembre 2031, mais la poursuite de la réforme législative britannique pourrait compromettre ce statut.
- Les entreprises britanniques traitant les données des résidents de l'UE doivent se conformer au RGPD de l'UE et nommer un représentant de l'UE ; l'inverse s'applique aux entreprises de l'UE ciblant les résidents du Royaume-Uni.
- L'ICO a tendance à infliger moins d'amendes, mais de montants plus élevés, par rapport à l'ensemble des autorités de protection des données (APD) de l'UE.
- Les organisations opérant dans les deux juridictions doivent s'engager séparément avec l'ICO et les APD de l'UE pertinentes ; il n'y a pas de canal de supervision partagé.
- La gestion du consentement et la conformité aux cookies diffèrent entre les deux régimes suite aux amendements de la loi DPDI de 2024.
Qu'est-ce que le RGPD britannique et en quoi diffère-t-il du RGPD de l'UE après le Brexit ?
Le RGPD britannique est la version du Règlement général sur la protection des données qui a été incorporée dans le droit interne britannique via la loi de 2018 sur l'Union européenne (Retrait), en vigueur depuis le 1er janvier 2021. Il fonctionne parallèlement à la loi de 2018 sur la protection des données et, initialement, il reflétait le RGPD de l'UE presque mot pour mot.
Depuis le Brexit, cependant, les deux cadres ont divergé. La loi de 2024 sur la protection des données et l'information numérique (loi DPDI) a introduit des changements substantiels au RGPD britannique dans plusieurs domaines [1] :
- Intérêts légitimes : Le Royaume-Uni a élargi la liste des intérêts légitimes reconnus, réduisant la charge des tests d'équilibre pour certaines activités de traitement.
- Cookies : La loi DPDI a assoupli les exigences de consentement pour les cookies d'analyse et autres cookies à faible risque, s'orientant vers un modèle d'opt-out pour des catégories spécifiques.
- Prise de décision automatisée : Les règles du Royaume-Uni concernant les décisions uniquement automatisées sont désormais plus permissives que l'article 22 du RGPD de l'UE.
- Transferts internationaux de données : Le Royaume-Uni a développé ses propres mécanismes de transfert, l'International Data Transfer Agreement (IDTA) et un Addendum britannique aux clauses contractuelles types de l'UE, qui diffèrent des clauses contractuelles types de l'UE [1].
Le RGPD de l'UE continue d'être interprété et appliqué par le Comité européen de la protection des données (CEPD), dont les orientations ne lient pas l'ICO. Cela signifie que la même activité peut être évaluée différemment selon le régime applicable [2].
Erreur courante : Supposer qu'une seule politique de confidentialité couvrant le "RGPD" est suffisante pour les deux juridictions. Les organisations doivent aborder explicitement les deux cadres, en particulier en ce qui concerne les mécanismes de transfert et les nominations de représentants.
Quelles sont les amendes maximales en vertu du RGPD britannique ?
Les amendes du RGPD britannique suivent une structure à deux niveaux qui est étroitement parallèle au modèle de l'UE mais utilise des chiffres en livres sterling [4] :
| Niveau | Amende RGPD britannique | Amende RGPD de l'UE |
|---|---|---|
| Inférieur (violations moins graves) | Jusqu'à 8,7 millions de livres sterling ou 2 % du chiffre d'affaires annuel mondial | Jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial |
| Supérieur (violations les plus graves) | Jusqu'à 17,5 millions de livres sterling ou 4 % du chiffre d'affaires annuel mondial | Jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial |
Dans les deux niveaux, l'ICO applique le chiffre le plus élevé. Les violations de niveau supérieur impliquent généralement des atteintes aux principes fondamentaux de protection des données, un traitement illégal ou des violations des droits des personnes concernées.
La plus grande amende de l'ICO infligée à ce jour était de 20 millions de livres sterling contre British Airways, imposée avant le réajustement des plafonds d'amende actuels, un chiffre qui illustre la volonté de l'ICO de poursuivre des sanctions importantes contre les grandes organisations [4].
Cas limite : Les amendes ne sont pas automatiques. L'ICO prend en compte des facteurs tels que la nature et la durée de la violation, le nombre de personnes concernées, la coopération de l'organisation et les mesures correctives prises. Un programme de conformité bien documenté peut influencer de manière significative le résultat.
Qui applique le RGPD au Royaume-Uni maintenant ?
L'Information Commissioner's Office (ICO) est la seule autorité de contrôle responsable de l'application du RGPD britannique. Contrairement à l'UE, qui exploite un réseau d'APD nationales coordonnées par le CEPD, le Royaume-Uni dispose d'un régulateur centralisé unique [3].
Cela a une conséquence pratique : le mécanisme de guichet unique de l'UE, qui permet aux organisations multinationales de traiter avec une APD principale pour le traitement transfrontalier, ne s'applique pas en vertu du RGPD britannique. Toute organisation opérant à la fois au Royaume-Uni et dans l'UE doit s'engager avec l'ICO pour les questions liées au Royaume-Uni et séparément avec l'APD (ou les APD) de l'UE pertinente(s) pour les questions liées à l'UE [3].
L'ICO dispose également de pouvoirs au-delà des sanctions financières, notamment l'émission d'avis d'exécution, d'avis d'évaluation et d'avis d'information. Dans les cas graves, elle peut renvoyer des affaires pour poursuites pénales en vertu de la loi de 2018 sur la protection des données.
Les entreprises britanniques doivent-elles toujours se conformer au RGPD de l'UE ?
Oui, dans de nombreux cas. Les entreprises britanniques qui proposent des biens ou des services à des résidents de l'UE, ou qui surveillent le comportement de résidents de l'UE, relèvent du champ d'application territorial du RGPD de l'UE en vertu de l'article 3, paragraphe 2, quel que soit le lieu d'établissement de l'entreprise [5].
Ces organisations doivent :
- Nommer un représentant de l'UE (une personne physique ou morale basée dans un État membre de l'UE) [5].
- Se conformer aux exigences spécifiques du RGPD de l'UE, y compris ses clauses contractuelles types pour les transferts de données vers le Royaume-Uni.
- S'engager avec l'APD de l'UE pertinente pour toute plainte ou enquête impliquant des personnes concernées de l'UE.
L'inverse s'applique également : les organisations basées dans l'UE qui traitent les données des résidents du Royaume-Uni doivent se conformer au RGPD britannique et nommer un représentant britannique [5].
Règle de décision : Si votre site web cible des utilisateurs au Royaume-Uni et dans l'UE (par exemple, via du contenu en langue de l'UE, des prix en devise de l'UE ou du marketing spécifique à l'UE), supposez que des obligations de double conformité s'appliquent jusqu'à ce que vous ayez obtenu un avis juridique spécifique contraire.
Qu'est-ce qui a changé dans le RGPD britannique après le Brexit ?
Au-delà de la divergence structurelle déjà notée, plusieurs changements pratiques sont entrés en vigueur lorsque le RGPD de l'UE a été remplacé par le RGPD britannique à des fins domestiques [1][2] :
- Autorité de contrôle : L'ICO a remplacé le CEPD en tant qu'organisme principal d'interprétation et d'application.
- Décisions d'adéquation : Le Royaume-Uni doit désormais émettre ses propres décisions d'adéquation pour les pays tiers ; il ne peut pas se fier aux décisions d'adéquation de l'UE.
- Mécanismes de transfert : L'IDTA a remplacé les clauses contractuelles types de l'UE pour les transferts du Royaume-Uni vers des pays tiers.
- Seuils des demandes d'accès des personnes concernées (SAR) : La loi DPDI a simplifié le seuil de refus ou de facturation des demandes d'accès des personnes concernées, permettant aux organisations de refuser les demandes "vexatoires ou excessives" (une norme légèrement différente de la norme de l'UE "manifestement infondées ou excessives") [6].
- Orientations réglementaires : Les orientations de l'ICO régissent désormais la conformité au Royaume-Uni ; les avis et lignes directrices du CEPD sont persuasifs mais non contraignants au Royaume-Uni.
La décision d'adéquation prolongée par la Commission européenne en décembre 2025 signifie que les flux de données de l'UE vers le Royaume-Uni restent légaux sans garanties supplémentaires jusqu'en décembre 2031, mais les analystes notent que la poursuite de la réforme législative britannique pourrait entraîner une réévaluation [2].
Le RGPD britannique est-il plus strict ou moins strict que le RGPD de l'UE ?
Aucun des deux cadres n'est catégoriquement plus strict dans l'ensemble. Les deux régimes diffèrent dans des domaines spécifiques plutôt que dans leur sévérité globale.
Domaines où le RGPD britannique est plus permissif :
- Intérêts légitimes reconnus plus larges en vertu de la loi DPDI.
- Consentement aux cookies assoupli pour les analyses à faible risque.
- Règles de prise de décision automatisée plus flexibles.
- Seuils de refus des SAR simplifiés [1][6].
Domaines où ils sont globalement équivalents :
- Principes fondamentaux (licéité, loyauté, transparence, limitation des finalités, minimisation des données, exactitude, limitation de la conservation, intégrité).
- Droits des personnes concernées (accès, rectification, effacement, portabilité, opposition).
- Structures d'amendes (proportionnellement similaires, avec des chiffres britanniques en livres sterling).
- Délais de notification des violations (72 heures à l'autorité de contrôle).
Domaines où le RGPD de l'UE peut être plus permissif en pratique :
- Le mécanisme de guichet unique peut réduire les frictions de conformité pour les multinationales opérant dans les États membres de l'UE, un avantage non disponible en vertu du RGPD britannique.
L'ICO a historiquement infligé moins d'amendes que la production combinée des APD de l'UE, bien que les amendes individuelles au Royaume-Uni aient été substantielles [4].
Quelles sont les violations courantes du RGPD qui entraînent des amendes ?
L'ICO et les APD de l'UE ont constamment sanctionné les catégories de violations suivantes :
- Base juridique insuffisante pour le traitement : Traitement de données personnelles sans base juridique valide, ou en se basant sur un consentement qui ne répond pas aux normes requises.
- Mesures de sécurité inadéquates : Non-mise en œuvre de mesures techniques et organisationnelles appropriées, entraînant des violations de données.
- Non-conformité aux droits des personnes concernées : Ignorer ou répondre de manière inadéquate aux demandes d'accès des personnes concernées, aux demandes d'effacement ou aux oppositions.
- Transferts de données illégaux : Envoi de données personnelles vers des pays tiers sans garanties adéquates (par exemple, absence d'IDTA ou de clauses contractuelles types).
- Manque de transparence : Avis de confidentialité incomplets, trompeurs ou inaccessibles.
- Défaillances du consentement aux cookies : Déploiement de cookies non essentiels sans consentement valide, ou utilisation de "dark patterns" pour obtenir le consentement.
Pour les propriétaires de sites web et les agences de marketing en ligne spécifiquement, les défaillances du consentement aux cookies et les avis de confidentialité inadéquats sont parmi les déclencheurs d'application les plus courants. Une plateforme de gestion du consentement correctement configurée, telle que Biscotti CMP, peut aider les organisations à documenter et à gérer le consentement d'une manière conforme aux exigences du RGPD britannique et du RGPD de l'UE.
Comment savoir si mon entreprise doit se conformer au RGPD britannique ?
Le RGPD britannique s'applique à toute organisation qui [5] :
- Est établie au Royaume-Uni et traite des données personnelles dans le cadre de cet établissement (quel que soit le lieu de traitement), ou
- N'est pas établie au Royaume-Uni mais traite des données personnelles de résidents du Royaume-Uni en relation avec l'offre de biens ou de services, ou la surveillance de leur comportement au Royaume-Uni.
Liste de contrôle pratique :
- Votre site web collecte-t-il des noms, des adresses e-mail, des adresses IP ou des cookies auprès de visiteurs britanniques ? Si oui, le RGPD britannique s'applique.
- Utilisez-vous des outils d'analyse, des pixels publicitaires ou des balises de remarketing qui traitent les données des utilisateurs britanniques ? Si oui, le RGPD britannique s'applique.
- Envoyez-vous des e-mails marketing à des contacts britanniques ? Si oui, le RGPD britannique (et les Privacy and Electronic Communications Regulations) s'applique.
- Êtes-vous une entreprise non britannique sans bureau au Royaume-Uni mais avec un site web ciblant le Royaume-Uni ? Le RGPD britannique s'applique toujours, et vous pourriez avoir besoin d'un représentant britannique.
Quelle est la différence entre les amendes de l'ICO et les sanctions judiciaires ?
Les amendes de l'ICO sont des sanctions administratives imposées directement par le régulateur sans intervention judiciaire. Les sanctions judiciaires, en revanche, découlent de litiges civils intentés par des personnes concernées ou de poursuites pénales en vertu de la loi de 2018 sur la protection des données.
Distinctions clés :
- Amendes de l'ICO : Émises après une enquête ; peuvent faire l'objet d'un appel devant le First-tier Tribunal. Les montants maximums sont ceux décrits dans la structure d'amendes ci-dessus.
- Dommages et intérêts accordés par les tribunaux : Les personnes concernées peuvent intenter des actions devant les tribunaux civils pour les dommages matériels ou non matériels causés par une violation du RGPD. Il n'y a pas de plafond légal pour les dommages et intérêts dans les actions civiles.
- Infractions pénales : Certains actes, tels que l'obtention illégale de données personnelles ou la réidentification de données anonymisées, sont des infractions pénales en vertu de la loi de 2018 sur la protection des données, entraînant des amendes illimitées ou des peines d'emprisonnement.
Les organisations doivent être conscientes qu'une seule violation de données peut déclencher les trois simultanément : une enquête de l'ICO, des actions civiles de la part des personnes concernées et (dans les cas flagrants) des renvois pénaux.
Peut-on être condamné à une amende pour des violations du RGPD survenues avant le Brexit ?
Pour les violations survenues avant le 1er janvier 2021, le RGPD de l'UE s'appliquait au Royaume-Uni. L'ICO a conservé sa compétence sur les violations antérieures au Brexit impliquant des organisations établies au Royaume-Uni, et les actions d'exécution initiées en vertu des règles du RGPD de l'UE pouvaient se poursuivre en vertu des dispositions transitoires de la loi sur le retrait de l'UE.
Les violations post-Brexit sont entièrement régies par le RGPD britannique. Il n'existe aucun mécanisme permettant aux APD de l'UE d'imposer des amendes aux organisations établies au Royaume-Uni pour le traitement post-Brexit des données des résidents du Royaume-Uni ; cette autorité appartient exclusivement à l'ICO.
Cas limite : Si une organisation britannique traitait les données des résidents de l'UE avant et après le Brexit, la période pré-Brexit peut avoir impliqué des obligations du RGPD de l'UE appliquées par une APD de l'UE, tandis que la période post-Brexit relève simultanément du RGPD britannique (pour les résidents du Royaume-Uni) et du RGPD de l'UE (pour les résidents de l'UE).
Que doivent faire les entreprises pour se préparer à l'application du RGPD britannique ?
La conformité au RGPD britannique post-Brexit : Naviguer entre les amendes, l'application et les différences avec l'UE nécessite un programme structuré et continu plutôt qu'un audit ponctuel. Les actions prioritaires comprennent :
- Cartographiez vos flux de données : Identifiez toutes les données personnelles collectées, leur base légale, leur lieu de stockage et si elles sont transférées à l'étranger.
- Mettez à jour les mécanismes de transfert : Remplacez toutes les clauses contractuelles types de l'UE utilisées pour les transferts du Royaume-Uni vers des pays tiers par l'IDTA ou l'Addendum britannique [1].
- Examinez votre avis de confidentialité : Assurez-vous qu'il reflète les exigences du RGPD britannique et les orientations de l'ICO, et pas seulement les normes du RGPD de l'UE.
- Auditez le consentement aux cookies : Si votre site web dessert des visiteurs britanniques, vérifiez que votre configuration de gestion du consentement répond aux normes révisées de la loi DPDI. Des outils comme Biscotti CMP sont conçus pour prendre en charge la collecte et la documentation du consentement conformes.
- Nommez des représentants : Si vous traitez les données de résidents de l'UE, nommez un représentant de l'UE ; si vous êtes une entreprise non britannique traitant les données de résidents du Royaume-Uni, nommez un représentant britannique [5].
- Formez le personnel : La formation sur la protection des données doit refléter les spécificités du RGPD britannique, et non un contenu "RGPD" générique qui pourrait confondre les deux régimes.
- Surveillez les orientations de l'ICO : L'ICO publie régulièrement des orientations mises à jour ; abonnez-vous aux mises à jour de l'ICO pour rester informé des priorités d'application.
Outil de décision de conformité au RGPD britannique
FAQ
Quelle est la différence entre le RGPD britannique et le RGPD de l'UE en termes simples ? Le RGPD britannique est une version nationalisée du RGPD de l'UE qui s'applique au Royaume-Uni. Ils partagent les mêmes principes fondamentaux mais ont divergé depuis le Brexit, notamment suite à la loi DPDI de 2024, qui a assoupli les règles concernant les cookies, les intérêts légitimes et les décisions automatisées.
La décision d'adéquation de l'UE signifie-t-elle que les entreprises britanniques n'ont pas à se soucier du RGPD de l'UE ? Non. La décision d'adéquation régit les flux de données de l'UE vers le Royaume-Uni, elle n'exonère pas les entreprises britanniques du RGPD de l'UE lorsqu'elles traitent les données des résidents de l'UE. Si une entreprise britannique cible des utilisateurs de l'UE, le RGPD de l'UE s'applique indépendamment.
Combien de temps dure la décision d'adéquation de l'UE pour le Royaume-Uni ? La Commission européenne a prolongé la décision d'adéquation du Royaume-Uni en décembre 2025, la maintenant valide jusqu'en décembre 2031. Une divergence législative continue du Royaume-Uni par rapport au RGPD de l'UE pourrait entraîner un réexamen avant cette date [2].
L'ICO peut-elle infliger une amende à une entreprise basée en dehors du Royaume-Uni ? Oui. Si une organisation non britannique traite les données de résidents du Royaume-Uni en relation avec l'offre de biens ou de services ou la surveillance de leur comportement, le RGPD britannique s'applique et l'ICO a compétence [5].
Qu'est-ce que l'IDTA et quand en ai-je besoin ? L'International Data Transfer Agreement (IDTA) est le mécanisme du Royaume-Uni pour transférer légalement des données personnelles du Royaume-Uni vers des pays tiers qui n'ont pas de décision d'adéquation. Il remplace les clauses contractuelles types de l'UE pour les transferts du Royaume-Uni vers des pays tiers [1].
Un délégué à la protection des données (DPO) est-il requis en vertu du RGPD britannique ? Oui, dans certaines circonstances, spécifiquement pour les autorités publiques, les organisations qui effectuent une surveillance systématique à grande échelle des individus, ou celles qui traitent des données de catégories spéciales à grande échelle. Les exigences reflètent celles du RGPD de l'UE.
Qu'est-ce que la règle de notification de violation de 72 heures ? Le RGPD britannique et le RGPD de l'UE exigent que les organisations notifient leur autorité de contrôle (l'ICO au Royaume-Uni) dans les 72 heures suivant la prise de connaissance d'une violation de données personnelles qui présente un risque pour les droits et libertés des individus.
Les droits des personnes concernées de l'UE s'appliquent-ils en vertu du RGPD britannique ? Les droits fondamentaux, accès, rectification, effacement, portabilité des données, restriction et opposition, sont préservés en vertu du RGPD britannique. La loi DPDI a apporté des ajustements procéduraux mineurs, tels que la modification du seuil de refus des demandes d'accès des personnes concernées vexatoires [6].
Puis-je utiliser une seule politique de confidentialité pour la conformité au Royaume-Uni et dans l'UE ? Un seul document peut aborder les deux régimes, mais il doit couvrir explicitement les exigences de chacun, y compris des références distinctes à l'ICO et à l'APD de l'UE pertinente, des mécanismes de transfert différents et tout domaine où les deux cadres divergent.
Quel rôle joue Biscotti CMP dans la conformité au RGPD britannique ? Biscotti CMP est une plateforme de gestion du consentement qui aide les propriétaires de sites web et les entreprises à collecter, enregistrer et gérer le consentement des utilisateurs pour les cookies et les technologies de suivi d'une manière conforme aux exigences du RGPD britannique et du RGPD de l'UE.
Conclusion
Comprendre le RGPD britannique post-Brexit : Naviguer entre les amendes, l'application et les différences avec l'UE n'est plus facultatif pour toute organisation qui traite des données personnelles au Royaume-Uni ou depuis le Royaume-Uni. Les deux cadres ont divergé de manière significative depuis janvier 2021, et la loi DPDI de 2024 a accéléré cette divergence dans des domaines pratiques qui affectent les opérations quotidiennes, du consentement aux cookies aux transferts internationaux de données.
Prochaines étapes concrètes pour 2026 :
- Effectuez une analyse des écarts comparant votre position de conformité actuelle aux exigences du RGPD britannique et du RGPD de l'UE.
- Remplacez toutes les clauses contractuelles types de l'UE utilisées pour les transferts du Royaume-Uni vers des pays tiers par l'IDTA.
- Vérifiez que votre configuration de gestion du consentement reflète les normes révisées de la loi DPDI en matière de cookies ; envisagez une solution dédiée comme Biscotti CMP.
- Nommez les représentants appropriés si vous opérez dans les deux juridictions.
- Surveillez séparément les priorités d'application de l'ICO et les orientations du CEPD ; elles ne sont plus interchangeables.
- Réévaluez périodiquement votre position d'adéquation, en particulier à mesure que la réforme législative britannique se poursuit avant l'examen de la décision d'adéquation de 2031.
Le coût de la non-conformité, jusqu'à 17,5 millions de livres sterling ou 4 % du chiffre d'affaires mondial en vertu du seul RGPD britannique, dépasse de loin l'investissement requis pour maintenir un programme de conformité solide.
Références
[1] Gdpr Vs Uk Gdpr Guide - https://visioncompliance.eu/en/blog/gdpr-vs-uk-gdpr-guide?utm_source=openai [2] Uk Gdpr Vs Eu Gdpr - https://www.gdprledger.com/uk/research/uk-gdpr-vs-eu-gdpr?utm_source=openai [3] Gdpr Vs Uk Gdpr Differences 2026 - https://www.compliquest.com/en/blog/gdpr-vs-uk-gdpr-differences-2026?utm_source=openai [4] Maximum Fine Gdpr Non Compliance - https://datadoc.uk/blog/maximum-fine-gdpr-non-compliance?utm_source=openai [5] Does Gdpr Still Apply To The Uk - https://legalclarity.org/does-gdpr-still-apply-to-the-uk/?utm_source=openai [6] Gdpr Compliance - https://datadoc.uk/gdpr-compliance?utm_source=openai