Le RGPD britannique après le Brexit : ce qui a changé
Le Data Protection and Digital Information (DPDI) Act 2025 du Royaume-Uni apporte 14 modifications aux règles du RGPD de l'UE. Ces changements créent la première vraie divergence entre les lois sur la protection des données de l'UE et du Royaume-Uni depuis le Brexit. L'accord d'adéquation UE-Royaume-Uni est en cours d'examen. Son résultat concerne toute entreprise qui transfère des données personnelles entre les deux régions.
L'amende LastPass : un nouveau seuil technique
L'ICO a infligé une amende de 1,2 million de livres à LastPass UK en décembre 2025. Il s'agit du cas de sécurité technique le plus important traité par l'ICO à ce jour.
L'ICO a constaté deux défaillances fondamentales.
Chiffrement insuffisant : LastPass stockait les coffres-forts de mots de passe de ses clients avec un chiffrement obsolète. L'ICO l'a qualifié d'« inadéquat » au regard de l'article 32 du RGPD britannique. Certains coffres utilisaient PBKDF2-SHA256 avec une seule itération. Le NCSC britannique recommande au minimum 600 000 itérations pour les clés dérivées de mots de passe.
Ce que la loi exige désormais : L'article 32 du RGPD britannique impose des « mesures techniques appropriées » qui reflètent l'« état de l'art ». L'ICO a constaté que la dérivation de clés en 2022 exigeait bien plus que ce que LastPass avait fourni. Ce qui était acceptable en 2015 ne l'était plus en 2022.
Le résultat : la qualité du chiffrement des fournisseurs est désormais un élément de conformité auditable. Les organisations doivent vérifier que leurs outils utilisent les paramètres actuels recommandés — et non de vieilles lignes de base. Consultez notre aperçu sécurité et conformité pour notre approche.
DPDI Act 2025 : six changements clés
La loi apporte 14 modifications identifiées au droit britannique des données. Six ont un impact opérationnel direct.
1. Intérêts légitimes. La loi crée une liste d'« intérêts légitimes reconnus ». Ces derniers n'exigent pas le test d'équilibre que le droit de l'UE impose encore. Cela facilite l'utilisation de cette base légale pour les entreprises britanniques.
2. Recherche et statistiques. La loi élargit l'exemption de recherche. L'utilisation secondaire de données personnelles à des fins de recherche nécessite moins de consentements que le droit de l'UE.
3. Décisions automatisées. La loi remplace l'article 22 du droit de l'UE. La nouvelle règle est plus permissive. Certaines décisions automatisées ne nécessitent plus d'examen humain significatif.
4. Tenue de registres. La loi supprime l'obligation de registres des activités de traitement (ROPA) pour les organisations de moins de 250 salariés sans traitement « systématique ». Les règles de l'UE exigent un ROPA pour toutes les organisations dont le traitement n'est pas occasionnel.
5. Consentement aux cookies. La loi réduit les exigences de consentement pour les cookies analytiques. Elle encourage les « alternatives sans cookies ». Les règles ePrivacy de l'UE exigent toujours le consentement pour les cookies de suivi.
6. Transferts internationaux. Le Secrétaire d'État britannique obtient des pouvoirs élargis pour accorder des décisions d'adéquation. Le Royaume-Uni peut approuver des pays que l'UE n'a pas approuvés. Cela crée des cadres de transfert divergents des deux côtés.
Le risque d'adéquation
La Commission européenne évaluera si le droit britannique, tel que modifié par le DPDI Act, offre une protection « essentiellement équivalente » aux règles de l'UE.
Trois domaines préoccupent les observateurs de l'UE.
Les intérêts légitimes élargis du DPDI Act peuvent créer des lacunes que la Commission juge inadéquates. L'Investigatory Powers Act 2016 du Royaume-Uni soulève des préoccupations liées à la jurisprudence de la CJUE. Les arrangements Royaume-Uni–États-Unis sous le CLOUD Act peuvent exposer des données de l'UE aux forces de l'ordre américaines.
Si l'adéquation est suspendue, plus de 10 000 ensembles de clauses contractuelles types UE-Royaume-Uni devraient être activés rapidement. Les entreprises qui s'appuient uniquement sur l'adéquation pour les transferts Royaume-Uni–UE auraient des lacunes de conformité du jour au lendemain. Consultez notre guide de conformité pour évaluer votre exposition actuelle.
Gérer les deux régimes simultanément
Pour les entreprises soumises au droit de l'UE et du Royaume-Uni, la voie est claire.
Utilisez la base la plus stricte. L'article 32 de l'UE, le test des intérêts légitimes de l'UE et les règles de l'UE sur les décisions automatisées sont tous plus stricts que leurs équivalents britanniques. Respecter les normes de l'UE signifie respecter les normes britanniques, avec quelques ajouts propres au Royaume-Uni.
Documentez les deux bases légales. Pour le traitement fondé sur les intérêts légitimes, enregistrez à la fois le résultat du test d'équilibre de l'UE et la preuve que le traitement correspond à une catégorie reconnue au Royaume-Uni. Une double documentation protège en cas de divergence supplémentaire.
Gardez les CCT prêtes. L'examen d'adéquation 2026 déterminera si des outils de transfert distincts sont nécessaires. Maintenez les clauses contractuelles types comme solution de secours même en s'appuyant sur l'adéquation.
Vérifiez le chiffrement des fournisseurs. L'affaire LastPass fait du chiffrement des fournisseurs un élément actif de conformité. Confirmez que les outils traitant des données personnelles utilisent les paramètres actuels : AES-256-GCM pour les données au repos, argon2id ou PBKDF2 avec les comptes d'itération actuels pour la dérivation de clés. Parcourez notre FAQ pour les questions d'audit courantes.
La rupture britannique post-Brexit est la première vraie fracture dans le modèle de protection des données de l'UE. Pour les entreprises présentes dans les deux régions, la position la plus sûre est de concevoir pour la norme la plus exigeante — qui reste le cadre de l'UE.
anonym.legal traite tous les documents dans des centres de données Hetzner basés dans l'UE avec une conception zéro-connaissance. Le serveur ne voit jamais votre contenu en texte clair. Une compromission complète du serveur ne produit que du texte chiffré AES-256-GCM. Besoin d'un traitement local ? L'application de bureau fonctionne entièrement sur votre appareil sans connexions externes.
Sources
- ICO : Information Commissioner's Office — VERIFIED-EXTERNAL
- ICO : Actions coercitives — VERIFIED-EXTERNAL
- Gouvernement britannique : Analyse du DPDI Act 2025 — VERIFIED-EXTERNAL