Le Royaume-Uni a réécrit certaines parties de sa loi sur la protection des données en 2025, et la plupart des changements s’appliquent désormais. Le Data (Use and Access) Act n’est pas un nouveau RGPD. Il modifie le UK GDPR, le Data Protection Act 2018 et les règles sur les cookies dans la PECR. Pour les équipes qui collectent des données publiques du web, certains de ces amendements comptent beaucoup, et certaines lectures populaires qui en sont faites vont trop loin.
Ce guide couvre ce qui est en vigueur, ce qui a changé pour la base légale, la recherche, les notices, les cookies, les décisions automatisées et les transferts, et ce que la loi n’a pas changé. Il s’agit d’informations générales, pas d’un avis juridique.
Ce qui est en vigueur, et quand
La loi a reçu la sanction royale le 19 juin 2025 et a été mise en vigueur par étapes via des règlements de mise en application.
| Date | Ce qui est entré en vigueur |
|---|---|
| 19 juin 2025 | Recherches « raisonnables et proportionnées » pour les demandes d’accès |
| 20 août 2025 | Pouvoirs relatifs aux smart data, et obligation de rapport sur le droit d’auteur et l’IA |
| 1 décembre 2025 | Cadre des services de vérification numérique |
| 5 février 2026 | Les principaux changements du UK GDPR et de la PECR : base légale, recherche, notices, décisions automatisées, transferts, cookies, amendes |
| 19 juin 2026 | Les responsables du traitement doivent mettre en place un processus de réclamation |
| 30 septembre 2026 | L’Information Commissioner’s Office devient l’Information Commission |
Ainsi, lorsque les gens parlent des « nouvelles règles britanniques », ils font surtout référence à l’ensemble entré en vigueur le 5 février 2026.
Base légale : moins de changements qu’on pourrait le croire
La loi ajoute une nouvelle base légale, les intérêts légitimes reconnus. Le traitement est licite s’il est nécessaire à l’une des finalités d’une liste fixe, sans test de mise en balance. La liste couvre des finalités d’intérêt public : divulgations à des organismes publics, sécurité nationale et défense, urgences, criminalité et protection des personnes vulnérables. La collecte commerciale ordinaire de données n’y figure pas.
Pour le travail commercial, la base familière des intérêts légitimes est inchangée. Elle ne s’applique toujours que lorsque vos intérêts ne sont pas « prévalus par les intérêts ou les droits et libertés fondamentaux de la personne concernée ». La loi ajoute bien des exemples de traitements pouvant constituer un intérêt légitime, notamment le marketing direct, le partage au sein d’un groupe pour l’administration interne et la sécurité des réseaux. Ce sont des exemples, pas des laissez-passer : le test de mise en balance s’applique toujours.
Pour le scraping en particulier, la position du régulateur n’a pas bougé. Dans sa réponse de décembre 2024 à sa consultation sur l’IA générative, il a déclaré que les intérêts légitimes constituent la seule base légale susceptible d’être disponible pour entraîner une IA générative sur des données personnelles collectées par scraping, et seulement lorsque le développeur réussit le test en trois parties de finalité, nécessité et mise en balance. Il considère aussi le scraping comme un traitement à haut risque, largement invisible. Notre guide sur ce que le service juridique demandera avant un projet de scraping détaille comment préparer ce dossier.
La recherche est définie plus largement
La loi inscrit une définition de la recherche scientifique dans le UK GDPR. Elle désigne « toute recherche pouvant raisonnablement être qualifiée de scientifique, qu’elle soit financée publiquement ou en privé et qu’elle soit menée comme une activité commerciale ou non commerciale », et elle inclut le développement technologique et la recherche appliquée.
Cela compte car les finalités de recherche bénéficient d’exemptions utiles, notamment l’exemption de notice ci-dessous. Mais le critère reste « pouvant raisonnablement être qualifiée de scientifique », donc tout projet d’analyse ne qualifie pas. Les finalités statistiques ont aussi une définition plus stricte : les résultats doivent être des données agrégées qui ne sont pas des données personnelles, et ne doivent pas être utilisés pour prendre des décisions concernant une personne en particulier.
La loi autorise aussi un « consentement large » pour un domaine de recherche lorsque les finalités ne peuvent pas être entièrement identifiées au départ. Cela aide les études avec des participants, mais est de peu d’utilité pour les données scrapées, où personne n’a été consulté.
Informer les personnes : la question de la notice
Les données personnelles scrapées sont des données qui ne sont pas obtenues auprès de la personne, donc l’Article 14 du UK GDPR s’applique : en principe, vous devez fournir aux personnes une notice de confidentialité. Contacter chaque personne d’un vaste jeu de données est rarement possible, et la loi précise désormais quand vous pouvez invoquer une exemption.
| Exemption | Ce qu’elle énonce |
|---|---|
| Article 14(5)(e) | Fournir l’information « est impossible ou impliquerait un effort disproportionné » |
| Article 14(5)(f) | La notice « rendrait impossible ou compromettrait gravement » la finalité du traitement |
| Article 14(6) | L’effort disproportionné dépend « du nombre de personnes concernées, de l’ancienneté des données personnelles et de toute garantie appropriée » |
| Article 14(7) | Vous devez tout de même prendre des mesures appropriées, « y compris en rendant l’information disponible publiquement » |
Le résultat pratique : si vous invoquez l’effort disproportionné, publiez une notice claire sur ce que vous collectez, d’où et pourquoi, et comment les personnes peuvent s’y opposer. Conservez une trace de la façon dont vous avez pesé les facteurs. Un changement distinct de l’Article 13 permet aux responsables du traitement d’omettre une nouvelle notice lorsqu’ils réutilisent des données uniquement pour la recherche, l’archivage ou les statistiques, selon le même test d’impossibilité ou d’effort disproportionné.
Cookies et murs de consentement
La PECR permet désormais aux sites de déposer certains cookies sans consentement : pour des statistiques sur l’usage d’un service, pour se souvenir des préférences d’un visiteur ou améliorer l’apparence du site, et pour des finalités strictement nécessaires telles que la sécurité et la prévention de la fraude. Pour les deux premiers cas, les utilisateurs doivent recevoir une information claire et disposer d’un moyen simple et gratuit de s’y opposer. Les amendes pour les manquements liés aux cookies et au marketing atteignent désormais 17,5 millions de livres sterling ou 4 % du chiffre d’affaires mondial, le montant le plus élevé étant retenu.
Cela affecte d’abord vos propres sites. Cela peut aussi changer ce que voient les crawlers sur les pages britanniques à mesure que les sites ajustent leurs bannières, donc vérifiez tout analyseur qui dépend de la mise en page d’un mur de consentement. Notre étude des murs de consentement par pays montre à quel point ces pages varient déjà.
Décisions automatisées et transferts
Si des données scrapées alimentent des décisions concernant des personnes, telles que le scoring de prospects ou la présélection de candidats, les règles sur les décisions automatisées s’appliquent désormais différemment. Une décision entièrement automatisée ayant des effets significatifs n’est plus interdite de manière générale, mais vous devez informer les personnes de telles décisions, leur permettre de présenter des observations, offrir une intervention humaine et leur permettre de contester le résultat. Les décisions utilisant des données de catégorie spéciale restent strictement restreintes.
Pour les transferts à l’étranger, le nouveau critère est de savoir si la protection dans la destination est « pas matériellement inférieure » à celle du Royaume-Uni, et les exportateurs peuvent parvenir à cette conclusion « en agissant de manière raisonnable et proportionnée ». L’UE a renouvelé ses décisions d’adéquation pour le Royaume-Uni le 19 décembre 2025, jusqu’au 27 décembre 2031, de sorte que les données personnelles peuvent continuer à circuler de l’UE vers le Royaume-Uni.
Ce que la loi n’a pas changé : l’IA et le droit d’auteur
La partie la plus contestée de la loi est ce qui en a été exclu. La Chambre des Lords a répété ajouter des amendements exigeant que les développeurs d’IA divulguent les œuvres protégées par le droit d’auteur sur lesquelles ils ont entraîné leurs modèles, et les Communes les ont supprimés à chaque fois. En échange, la loi a exigé du gouvernement qu’il publie un rapport sur le droit d’auteur et l’IA ainsi qu’une évaluation de l’impact économique.
Les deux sont parus le 18 mars 2026. Le rapport indique qu’une large exception de droit d’auteur avec option de retrait pour les titulaires de droits n’est « plus la voie privilégiée par le gouvernement », et n’a proposé aucun remplacement, choisissant de rassembler davantage de preuves d’abord. Ainsi, le droit d’auteur britannique n’a pas bougé. L’exception de fouille de textes et de données de la section 29A du Copyright, Designs and Patents Act ne couvre toujours que la recherche non commerciale. Les options de retrait lisibles par machine n’ont pour l’instant aucun poids juridique particulier au Royaume-Uni, bien qu’elles signalent toujours une intention : notre guide sur robots.txt et les signaux de réservation pour l’IA explique comment les interpréter.
Ce que les équipes de données devraient faire
- Vérifiez votre base légale. Si vous vous appuyez sur les intérêts légitimes, tenez à jour une évaluation. Ne présumez pas que la liste des intérêts légitimes reconnus vous couvre.
- Testez toute revendication de recherche. N’utilisez les exemptions de recherche que pour des travaux pouvant raisonnablement être qualifiés de scientifiques, et documentez pourquoi.
- Publiez votre notice. Si vous invoquez l’effort disproportionné, rédigez une notice publique qui explique la collecte et le droit d’opposition, et conservez votre raisonnement.
- Cartographiez les décisions concernant des personnes. Listez toute décision automatisée alimentée par vos données et ajoutez les garanties.
- Enregistrez la provenance des données. Conservez les URL sources, les dates et la notice en vigueur à l’époque. Notre guide sur la provenance dans le pipeline d’entraînement de l’IA propose un format applicable.
- Surveillez le dossier du droit d’auteur. Le Royaume-Uni n’a aujourd’hui aucune exception commerciale de fouille de données, et le gouvernement a indiqué vouloir davantage de preuves avant de légiférer.
Où se situent les proxies
Un proxy change d’où provient une requête, pas ce que la loi autorise. Collecter des données personnelles britanniques depuis une IP britannique, ou depuis n’importe où ailleurs, est soumis aux mêmes obligations du UK GDPR. Les proxies résidentiels sont utiles pour voir les pages publiques britanniques telles que les voient des visiteurs locaux, pour des travaux tels que la surveillance des prix, la vérification publicitaire et la vérification de l’apparence des bannières de consentement. Ils ne changent ni votre base légale, ni vos obligations de notice, ni le droit d’auteur de quiconque.
En résumé
Le Data (Use and Access) Act a assoupli certaines règles britanniques, mais pas celles que la plupart des équipes de données du web espéraient. La collecte commerciale a toujours besoin d’un dossier d’intérêts légitimes avec un test de mise en balance. Les obligations de notice sont plus claires, et publier une notice fait désormais partie du marché. La recherche est plus large mais doit être véritablement scientifique. Sur l’entraînement de l’IA, la question du droit d’auteur reste ouverte. Documentez vos choix dès maintenant, pendant que le régulateur s’installe encore dans son nouveau nom.
Sources et références
- Data (Use and Access) Act 2025, tel que promulgué : legislation.gov.uk
- Section 67, définition de la recherche et des finalités statistiques : legislation.gov.uk
- Section 77, informations à fournir aux personnes concernées : legislation.gov.uk
- Schedule 4, intérêts légitimes reconnus : legislation.gov.uk
- Schedule 12, stockage d’informations dans un équipement terminal : legislation.gov.uk
- UK GDPR Article 6, tel que modifié : legislation.gov.uk
- Commencement No. 1 Regulations 2025 (SI 2025/904) : legislation.gov.uk
- Commencement No. 4 Regulations 2025 (SI 2025/1213) : legislation.gov.uk
- Commencement No. 6 Regulations 2026 (SI 2026/82) : legislation.gov.uk
- Commencement No. 9 Regulations 2026 (SI 2026/1015) : legislation.gov.uk
- DSIT, Data (Use and Access) Act 2025 : plans pour la mise en vigueur : gov.uk
- ICO, The lawful basis for web scraping to train generative AI models : ico.org.uk
- DSIT, DCMS et IPO, Report and impact assessment on copyright and artificial intelligence (18 mars 2026) : gov.uk
- Commission européenne, renouvellement des décisions d’adéquation pour le Royaume-Uni (19 décembre 2025) : ec.europa.eu