Le nouveau cadre juridique de protection des données personnelles adopté par le parlement britannique

Article rédigé le 16 juillet 2025 par Me Raphaël Cavan

À la suite de sa sortie de l’Union européenne, le Royaume-Uni a dû instaurer son propre cadre législatif en matière de protection des données personnelles. C’est dans ce contexte qu’a été adoptée, en 2018, une loi sur la protection des données personnelles reprenant les principales dispositions du Règlement général sur la protection des données (RGPD) de l’Union européenne.

Le 19 juin 2025, le Data (Use and Access) Act, modifiant le cadre législatif actuel en matière de protection des données personnelles au Royaume-Uni a été adopté par le Parlement.

Le texte introduit notamment des dispositions relatives à la recherche scientifique. Il est ainsi précisé les cas dans lesquels pourront être utilisées des données à caractère personnel à des fins de recherche scientifique, y compris de recherche scientifique commerciale. Par ailleurs, le texte clarifie le fait que les personnes pourront donner un « large consentement » à un domaine de recherche scientifique.

En outre, le Data (Use and Access) Act détaille des dispositions concernant la notice d’information. La loi permet de réutiliser les données à caractère personnel à des fins de recherche scientifique sans avoir à adresser directement une notice d’information à la personne concernée lorsque cette démarche représenterait un effort disproportionné. Cependant, il est nécessaire de garantir la protection des droits des personnes par d’autres moyens, notamment en publiant une notice explicative claire sur le traitement des données sur votre site web.

En matière de prise de décision automatisée, la loi élargit les bases juridiques autorisant le recours à ces traitements, en particulier en autorisant, sous conditions, leur fondement sur l’intérêt légitime. Toutefois, cette ouverture ne s’applique pas aux données dites « de catégorie spéciale », soumises à une protection renforcée.

Quels impacts ?

Pour rappel, alors que la décision permettant de transférer librement des données personnelles vers le Royaume-Uni (Décision d’adéquation) arrivait à expiration en juin 2025, l’Union européenne avait décidé de prolonger temporairement cette autorisation de six mois, jusqu’en décembre 2025 en attendant d’analyser les conséquences des futures réformes britanniques en matière de protection des données.

Le texte ayant maintenant été adopté par le Parlement Britannique, nul doute que la Commission européenne va étudier la nouvelle réglementation britannique pour se prononcer sur le futur de la décision d’adéquation entre l’UE et le Royaume-Uni.

Si la décision d’adéquation, n’est pas renouvelée à l’aune de cette nouvelle loi britannique, il faudra alors d’ores et déjà envisager le recours aux clauses contractuelles types pour pouvoir continuer à transférer des données personnelles en conformité avec les exigences du RGPD vers le Royaume-Uni.