Depuis le Brexit, le Royaume-Uni a conservé une législation inspirée du RGPD. Cette continuité a permis à la Commission européenne de rendre, en 2021, une décision d’adéquation (article 45), autorisant les flux de données entre l’UE et le Royaume-Uni sans garanties supplémentaires. Cette décision, révisée tous les quatre ans, arrive à échéance fin 2025.
Le Data Use and Access Act 2025 (DUA), qui ajuste la loi britannique sur la protection des données, a été adopté par le Parlement le 11 juin 2025 et a reçu l’assentiment royal le 19 juin 2025. Parmi ses principales nouveautés : une « liste blanche » d’activités dispensées d’analyse d’impact (marketing direct, transferts intragroupe administratifs, sécurité des réseaux…) ; un assouplissement de l’interdiction des décisions automatisées (article 22 UK-RGPD), désormais limitée aux décisions reposant sur des données sensibles ; des demandes d’accès devant rester « raisonnables et proportionnées » ; une définition très large de la recherche scientifique (publique ou privée, commerciale ou non), le consentement suffisant pour y traiter des données sensibles ; le remplacement de l’ICO par une « Information Commission » dirigée par un conseil, avec obligation de réclamation préalable auprès du responsable de traitement ; et une approche fondée sur les risques pour les transferts (un « data protection test » exigeant que la protection du pays tiers ne soit pas « sensiblement inférieure » à celle du Royaume-Uni).
Le DUA cherche à stimuler l’innovation tout en conservant des garde-fous, mais il met sous pression le statut d’adéquation accordé par l’UE. Le critère « sensiblement inférieur » représente une régression par rapport au standard d’équivalence actuel, et des ONG (EDRi, Open Rights Group) dénoncent un affaiblissement des garanties et demandent son retrait. Si la Commission ne renouvelait pas l’adéquation, les transferts UE–Royaume-Uni deviendraient bien plus complexes : recours aux clauses contractuelles types, aux règles d’entreprise contraignantes (BCR) et aux analyses d’impact des transferts, avec des coûts accrus, une insécurité juridique et un traitement du Royaume-Uni comme pays tiers — y compris pour la coopération judiciaire et policière.
Sources : National Law Review ; Lexology.