Transfert de données au Royaume-Uni : les règles 2026

Le 19 décembre 2025, la Commission européenne a renouvelé les deux décisions d’adéquation du Royaume-Uni. Les flux de données entre l’EEE et Londres continuent donc sans clauses contractuelles et sans analyse d’impact du transfert — jusqu’au 27 décembre 2031 au plus tard. Cette bonne nouvelle en cache une moins confortable : le droit britannique a divergé du RGPD entre-temps, et cette divergence, désormais actée, crée pour vos contrats des angles morts qu’aucune décision d’adéquation ne couvre.

Voici l’état exact du droit, ce que l’adéquation vous dispense de faire, ce qu’elle ne vous dispense pas de faire, et comment préparer l’hypothèse — non négligeable — d’une rupture.

Où en est exactement l’adéquation du Royaume-Uni

La chronologie mérite d’être posée, parce qu’elle explique la fragilité du dispositif.

28 juin 2021. La Commission adopte deux décisions d’adéquation : la décision 2021/1772 au titre de l’Art. 45 du RGPD, et la décision 2021/1773 au titre de l’Art. 36 de la directive « police-justice » (2016/680). Innovation notable à l’époque : une clause de caducité automatique à quatre ans. Aucune autre décision d’adéquation n’en comportait.

19 juin 2025. Le Data (Use and Access) Act 2025 — le DUAA — reçoit la sanction royale. Il ne remplace pas l’UK GDPR ni le Data Protection Act 2018 : il les amende, ainsi que le règlement PECR sur la prospection et les cookies.

Juin 2025. Les décisions de 2021 devaient expirer le 27 juin. La Commission, qui n’a pas eu le temps d’évaluer le DUAA, les prolonge de six mois, jusqu’au 27 décembre 2025.

16 octobre 2025. Le Comité européen de la protection des données rend ses avis sur les projets de décisions renouvelées : l’Opinion 26/2025 pour le volet RGPD, l’Opinion 27/2025 pour le volet directive police-justice. Deux avis favorables, mais assortis de réserves explicites sur lesquelles je reviens plus bas.

19 décembre 2025. Après feu vert des États membres en comitologie, la Commission adopte les deux décisions renouvelées. Elles expireront le 27 décembre 2031, sauf prorogation, avec une révision périodique au plus tard quatre ans après leur adoption — soit fin 2029.

Une modification de périmètre est passée relativement inaperçue : la nouvelle décision RGPD couvre désormais aussi les transferts effectués à des fins de contrôle de l’immigration britannique, que la décision de 2021 avait explicitement laissés hors champ en raison de l’exemption « immigration » du droit britannique. Le point n’est anecdotique que pour les organisations qui n’ont ni salariés détachés, ni candidats, ni étudiants concernés par ces traitements.

À noter enfin que l’adéquation s’impose aussi à l’Irlande et au Danemark malgré leurs régimes d’opt-out en matière de justice et d’affaires intérieures, ainsi qu’aux États associés à Schengen — Islande, Norvège, Liechtenstein, Suisse. Dans l’autre sens, le Royaume-Uni reconnaît de son côté l’adéquation de l’EEE : les flux sont libres dans les deux directions.

Ce que l’adéquation vous dispense de faire

L’effet juridique est simple et large. Un transfert vers un pays adéquat est autorisé « sans autorisation spécifique » (Art. 45(1)). Concrètement, vous n’avez pas à :

• signer des clauses contractuelles types au titre de l’Art. 46(2)© ;
• réaliser une analyse d’impact du transfert, cette TIA que la jurisprudence Schrems II impose pour les garanties appropriées ;
• documenter des mesures supplémentaires (chiffrement à clé conservée dans l’UE, pseudonymisation avant transfert, etc.) ;
• solliciter la moindre autorisation de la CNIL.

Le Royaume-Uni est, de ce point de vue, dans la même situation que la Suisse, le Japon ou la Corée du Sud, et dans une situation plus confortable que les États-Unis, où l’adéquation ne joue que si l’organisation destinataire est certifiée au titre du Data Privacy Framework. Il n’existe pas d’équivalent britannique du DPF : l’adéquation couvre le territoire, pas une liste d’entreprises.

Ce que l’adéquation ne vous dispense pas de faire

C’est ici que je vois le plus d’erreurs en audit. L’adéquation ne règle que le chapitre V du RGPD. Tout le reste continue de s’appliquer, exactement comme pour un transfert vers l’Allemagne.

Une base légale au titre de l’Art. 6. L’adéquation n’en crée aucune. Envoyer un fichier clients à une filiale britannique suppose toujours un intérêt légitime documenté au sens de l’Art. 6(1)(f), une exécution contractuelle au sens de l’Art. 6(1)(b), ou un consentement.

Un contrat de sous-traitance conforme à l’Art. 28(3) si l’entité britannique traite pour votre compte. L’adéquation ne remplace ni le DPA, ni les instructions documentées, ni la clause d’audit. C’est un point que le passage du Royaume-Uni au statut de pays tiers a fait oublier à beaucoup d’organisations : le contrat de 2019, rédigé quand Londres était dans l’Union, n’a pas été revu depuis.

La mention du transfert dans votre registre des activités de traitement. L’Art. 30(1)(e) exige d’identifier les pays tiers destinataires et, le cas échéant, les garanties. La bonne pratique consiste à inscrire « Royaume-Uni — décision d’adéquation du 19 décembre 2025 », avec la date d’expiration. Un registre qui mentionne encore la décision 2021/1772 est simplement obsolète.

L’information des personnes au titre des Art. 13(1)(f) et 14(1)(f) : l’existence du transfert et le fondement — ici, la décision d’adéquation — doivent figurer dans la politique de confidentialité.

Le contrôle des transferts ultérieurs. C’est le point le plus sensible. Si votre prestataire britannique sous-traite lui-même à un acteur américain ou indien, ce transfert-là relève du régime britannique, pas du RGPD. Le DUAA a d’ailleurs assoupli ce régime en substituant un « data protection test » à l’exigence d’équivalence stricte. Traduction pratique : verrouillez contractuellement la liste des sous-traitants ultérieurs et leurs localisations, plutôt que de vous en remettre au droit applicable au destinataire. Sur la logique d’ensemble de ces chaînes, voir notre guide des mécanismes de transfert hors UE.

La désignation d’un représentant. Le Royaume-Uni reste un pays tiers. Une société britannique qui cible des résidents de l’Union doit désigner un représentant dans l’Union au titre de l’Art. 27 — et, symétriquement, une entreprise française qui offre des biens ou services à des résidents britanniques doit désigner un représentant au Royaume-Uni au titre de l’article 27 de l’UK GDPR. Dans mon expérience, cette obligation symétrique est ignorée dans la grande majorité des PME exportatrices.

Ce que le DUAA a changé côté britannique

Le DUAA est entré en vigueur par vagues : l’essentiel des dispositions le 5 février 2026, une seconde série le 19 juin 2026. Vous n’êtes pas soumis à ce texte, mais vos partenaires britanniques le sont, et leurs pratiques vont s’en ressentir. Quatre changements méritent votre attention.

Les « recognised legitimate interests »

Le DUAA ajoute à l’UK GDPR une liste d’intérêts légitimes « reconnus » — sécurité nationale, sécurité publique et défense, situations d’urgence, détection et prévention des infractions, protection des personnes vulnérables — pour lesquels le responsable de traitement britannique est dispensé de la mise en balance classique. Là où l’Art. 6(1)(f) du RGPD impose de peser les intérêts en présence contre les droits et libertés des personnes, le droit britannique présume désormais l’équilibre acquis pour ces finalités.

La décision automatisée

Le Royaume-Uni a nettement assoupli l’équivalent de l’Art. 22. Le régime restrictif — interdiction de principe assortie d’exceptions — ne subsiste en pratique que pour les données sensibles. Pour les autres, la décision entièrement automatisée redevient possible sous réserve de garanties : information de la personne, possibilité d’obtenir une intervention humaine, droit de contester. Un partenaire britannique qui vous propose un outil de scoring automatisé raisonne donc dans un cadre plus permissif que le vôtre. Si le traitement relève de votre responsabilité, c’est l’Art. 22 du RGPD qui s’applique, pas la version britannique.

Droits des personnes et procédure de réclamation

Deux évolutions. D’une part, la recherche déclenchée par une demande d’accès est désormais limitée à ce qui est « raisonnable et proportionné », et le délai peut être suspendu le temps de clarifier la demande ou de vérifier l’identité du demandeur. D’autre part, depuis le 19 juin 2026, tout organisme britannique doit disposer d’une procédure formelle de réclamation en matière de protection des données, avec accusé de réception sous trente jours. Sur le plan institutionnel, l’ICO est appelé à céder la place à une Information Commission dotée d’un conseil d’administration.

PECR : les amendes alignées

Le plafond des sanctions en matière de prospection électronique et de cookies passe de 500 000 £ à 17,5 millions de livres ou 4 % du chiffre d’affaires mondial, le montant le plus élevé étant retenu. Si vous opérez des campagnes vers le Royaume-Uni, le risque financier a été multiplié par trente-cinq. Les règles de fond, elles, restent proches de la directive ePrivacy — mais l’écart entre les deux régimes va probablement se creuser sur les cookies analytiques.

Les réserves de l’EDPB, et pourquoi elles comptent

Les avis 26/2025 et 27/2025 ne sont pas des blancs-seings. Le Comité y demande à la Commission de clarifier et de surveiller plusieurs points : l’usage réel des intérêts légitimes reconnus, en particulier pour les finalités de sécurité nationale et de défense, dont la portée reste indéterminée ; les effets pratiques de l’assouplissement de la décision automatisée ; et, plus largement, la capacité du gouvernement britannique à modifier son cadre par voie réglementaire secondaire, sans nouveau vote du Parlement.

Ce dernier point est le véritable enjeu. Le DUAA laisse au Secretary of State des pouvoirs réglementaires étendus, notamment pour allonger la liste des intérêts légitimes reconnus. Une adéquation peut être suspendue, modifiée ou abrogée à tout moment par la Commission sur le fondement de l’Art. 45(5) si le pays cesse d’assurer un niveau de protection adéquat. L’histoire récente — Safe Harbor invalidé en 2015, Privacy Shield en 2020 — montre qu’il ne s’agit pas d’une hypothèse d’école, et le contentieux peut aussi venir de la Cour de justice plutôt que de la Commission.

Le plan de repli, en pratique

Je recommande de traiter l’adéquation britannique comme une facilité révocable, pas comme un acquis. Trois mesures suffisent, et coûtent peu.

1. Une clause de bascule dans vos contrats. Insérez dans chaque contrat avec un partenaire britannique une stipulation prévoyant que, en cas de suspension, d’abrogation ou d’expiration non renouvelée de la décision d’adéquation, les clauses contractuelles types de la décision 2021/914 s’appliquent de plein droit, dans le module correspondant à la relation. Les annexes — description du traitement, mesures de sécurité — étant le vrai travail, préparez-les dès maintenant en annexe dormante. Le jour où l’adéquation tombe, vous n’aurez rien à négocier.

2. Une cartographie à jour. Vos traitements avec destination britannique doivent être identifiables en une requête dans le registre : prestataires, filiales, hébergeurs, outils SaaS dont l’infrastructure est à Londres ou à Slough. C’est ce type d’inventaire que Legiscope maintient automatiquement, mais un tableau tenu sérieusement fait l’affaire — à condition qu’il soit tenu.

3. Une échéance dans votre calendrier de conformité. Deux dates : la révision périodique attendue fin 2029, et l’expiration du 27 décembre 2031. Ajoutez une veille sur les décrets d’application britanniques, qui sont le canal le plus probable d’une divergence future.

Ce qu’il faut retenir

• L’adéquation du Royaume-Uni a été renouvelée le 19 décembre 2025 pour six ans, jusqu’au 27 décembre 2031, avec une révision périodique au plus tard quatre ans après l’adoption. Les transferts se poursuivent sans CCT et sans TIA.
• L’adéquation ne couvre que le chapitre V. Base légale Art. 6, contrat Art. 28, registre Art. 30, information Art. 13/14 et sécurité Art. 32 restent intégralement dus.
• Le Data (Use and Access) Act 2025 a fait diverger le droit britannique : intérêts légitimes reconnus sans mise en balance, décision automatisée assouplie, régime de transfert ultérieur plus souple, amendes PECR portées à 17,5 M£ ou 4 %.
• L’EDPB (avis 26/2025 et 27/2025) a validé sous réserve, en demandant une surveillance des pouvoirs réglementaires du gouvernement britannique.
• Le point de vigilance principal reste les transferts ultérieurs depuis le Royaume-Uni : verrouillez-les contractuellement, ils échappent au RGPD.
• Prévoyez une clause de bascule vers les CCT dans vos contrats britanniques : c’est une assurance à coût quasi nul.

Modèle de TIA à télécharger — Si l’adéquation tombe, ou si votre prestataire britannique ré-exporte hors zone adéquate, l’analyse d’impact du transfert redevient obligatoire. Téléchargez notre modèle de TIA, structuré selon la méthodologie Schrems II et les recommandations 01/2020 de l’EDPB.

FAQ

Faut-il encore des clauses contractuelles types pour transférer des données au Royaume-Uni ?

Non. Depuis le renouvellement du 19 décembre 2025, le Royaume-Uni bénéficie d’une décision d’adéquation au titre de l’Art. 45 du RGPD, valable jusqu’au 27 décembre 2031. Les CCT ne sont donc pas nécessaires, et l’analyse d’impact du transfert non plus. Il reste prudent d’insérer une clause prévoyant leur application automatique si l’adéquation venait à cesser.

Mon prestataire britannique héberge les données aux États-Unis : que faire ?

L’adéquation britannique ne couvre pas ce transfert ultérieur, qui relève du droit britannique et non du RGPD. Vous restez toutefois responsable de la chaîne au titre des Art. 28 et 44. Il est recommandé d’exiger contractuellement la localisation des données, la liste nominative des sous-traitants ultérieurs et un droit d’opposition à leur remplacement.

Le Data (Use and Access) Act s’applique-t-il à mon entreprise française ?

Pas directement. Le DUAA amende l’UK GDPR, le Data Protection Act 2018 et PECR : il s’impose aux organisations établies au Royaume-Uni ou qui y ciblent des personnes. Une entreprise française qui offre des biens ou services à des résidents britanniques y est en revanche soumise pour ces traitements, et doit désigner un représentant au Royaume-Uni.

Que se passerait-il si la décision d’adéquation était suspendue ?

La Commission peut suspendre, modifier ou abroger une adéquation sur le fondement de l’Art. 45(5), et la Cour de justice peut l’invalider. Les transferts devraient alors basculer sur les garanties appropriées de l’Art. 46 — en pratique les CCT de la décision 2021/914, accompagnées d’une TIA — ou, à défaut, sur les dérogations très restrictives de l’Art. 49.