Le RGPD britannique après le Brexit : ce qui a changé
Le Data Protection Act 2018 a inscrit le UK GDPR dans le droit britannique. Il ressemble étroitement au RGPD européen — mais pas dans tous les domaines. Si vous opérez au Royaume-Uni et dans l'UE, vous devez respecter deux listes de conformité distinctes.
Ce qui est resté identique :
- Six bases légales pour le traitement
- Droits des personnes : accès, effacement, rectification, portabilité
- Notification d'une violation au régulateur sous 72 heures
- Protection des données dès la conception et par défaut
Ce qui a changé :
- Le Royaume-Uni gère ses propres décisions d'adéquation pour les transferts internationaux
- Les lignes directrices britanniques sur l'IA de 2023–2024 vont plus loin que celles de l'EDPB
- Les exceptions britanniques pour la recherche sont légèrement plus larges qu'en UE
- Le régulateur passe de la sensibilisation aux amendes, plus vite qu'avant
L'écart entre les règles britanniques et européennes est réel. Traitez-les comme deux listes distinctes.
L'amende LastPass : le chiffrement devient une exigence légale
En décembre 2025, l'ICO a infligé une amende de 1,2 million de livres sterling à LastPass UK pour une architecture de chiffrement défaillante. Il s'agit de la décision UK GDPR la plus importante en matière de sécurité technique à ce jour.
Ce que le régulateur a constaté : LastPass stockait les données des coffres avec des clés gérées côté serveur. Toute personne ayant accès au serveur pouvait lire le coffre. La décision a conclu que cela ne satisfaisait pas le critère des « mesures techniques appropriées » prévu à l'article 32 du UK GDPR.
La phrase clé de l'avis : « Le responsable du traitement aurait dû utiliser un chiffrement côté client. Cela aurait protégé les données des coffres même en cas de violation du serveur. »
Ce que cela établit : Si une architecture plus sûre existe et est réalisable, utiliser la version moins sécurisée peut désormais violer l'article 32. La gestion des clés côté serveur n'est plus une valeur sûre pour les données sensibles.
Qui est concerné : Tout service qui stocke des données personnelles sensibles et conserve les clés de chiffrement sur ses propres serveurs. Cela inclut les outils qui journalisent du texte pour des pistes d'audit, des statistiques d'utilisation ou l'historique des documents. Si le serveur peut lire le texte, les régulateurs peuvent demander pourquoi vous n'avez pas choisi un chiffrement côté client. Découvrez comment anonym.legal gère cela avec une architecture zéro connaissance.
Lignes directrices britanniques sur l'IA : huit règles techniques
Le régulateur britannique a publié des lignes directrices détaillées sur l'IA en 2023–2024. Elles couvrent huit exigences spécifiques pour les systèmes d'IA générative. Les lignes directrices européennes comparables sont moins détaillées.
1. Provenance des données d'entraînement — L'IA entraînée sur des données personnelles doit documenter leur origine et les étapes d'anonymisation appliquées.
2. Surveillance des sorties — Les systèmes produisant des sorties personnelles doivent avoir des contrôles pour détecter et prévenir les divulgations inappropriées.
3. Limitation de la finalité — Les données utilisées pour l'entraînement de l'IA doivent correspondre à la finalité déclarée. L'entraînement général sur les données clients nécessite une base légale claire.
4. Droits lors des décisions automatisées — Si votre IA prend des décisions importantes sur une personne, elle doit permettre l'accès, l'explication et la contestation.
5. Surveillance des biais — Les systèmes utilisant des caractéristiques protégées — directement ou par inférence — doivent comporter des contrôles de biais.
6. Minimisation avant le réglage fin — Les données personnelles doivent être réduites avant le fine-tuning. Une politique seule ne suffit pas.
7. Effacement des poids du modèle — Si des données entrent dans les poids du modèle, vous avez besoin d'un plan pour traiter les demandes d'effacement.
8. Révision des IA tierces — Si vous utilisez l'IA d'une autre entreprise, vous devez vérifier et documenter sa conformité avec les huit points.
Ces huit règles forment une liste de contrôle pratique pour tout déploiement d'IA au Royaume-Uni.
Application britannique : le virage vers les amendes
Le régulateur préférait autrefois les lettres de conseil aux sanctions. Cela change. Les actions récentes montrent un schéma clair :
| Action | Montant | Année | Raison |
|---|---|---|---|
| British Airways | 20 M £ | 2020 | Violation — sécurité insuffisante |
| Marriott International | 18,4 M £ | 2020 | Violation — diligence insuffisante |
| LastPass UK | 1,2 M £ | 2025 | Défaut de conception du chiffrement |
| Electoral Commission | Réprimande 4,4 M £ | 2023 | Serveur non mis à jour |
67 avis d'application ont été émis en 2024 — un record. L'affaire LastPass est notable car l'amende portait sur un choix de conception, pas seulement sur le résultat d'une violation. Les régulateurs ont examiné comment LastPass avait conçu son système. C'est nouveau.
Transferts UK–UE : un risque dans les deux sens
Les organisations britanniques qui traitent des données personnelles européennes ont des obligations des deux côtés.
De l'UE vers le Royaume-Uni : L'UE a accordé au Royaume-Uni une décision d'adéquation en 2021. Elle reste valide. Mais elle est contestée juridiquement. Ne comptez pas uniquement sur elle — les clauses contractuelles types (CCT) restent un complément judicieux.
Du Royaume-Uni vers l'UE : Aucune restriction actuelle n'empêche le transfert de données britanniques vers des processeurs de l'UE. Mais un processeur de l'UE traitant des données britanniques peut tout de même déclencher des obligations au titre du RGPD européen.
Mesure pratique : Rédigez votre posture UK GDPR et votre posture RGPD UE comme deux documents séparés. Notez où ils concordent et où ils diffèrent. C'est le dossier dont vous avez besoin si un régulateur vous interroge. Notre aperçu de la conformité couvre les deux aspects.
Pour une analyse approfondie de la conception zéro connaissance et de la façon dont elle répond au risque de violation serveur identifié dans l'affaire LastPass, consultez notre page d'architecture sécurité.
Sources
- ICO : Ressources UK GDPR — VERIFIED-EXTERNAL
- ICO : Avis d'application LastPass, décembre 2025 — VERIFIED-EXTERNAL
- ICO : Lignes directrices sur l'IA et la protection des données — VERIFIED-EXTERNAL
- ICO : Rapport annuel 2024 — VERIFIED-EXTERNAL