Le 28 juin 2021, la Commission européenne adopte deux décisions d'adéquation pour le Royaume-Uni : l'une au titre du RGPD (décision d'exécution (UE) 2021/1772), l'autre au titre de la directive « police-justice » (directive (UE) 2016/680). Elles prennent le relais du régime provisoire prévu par l'article 782 de l'accord de commerce et de coopération entre l'Union européenne et le Royaume-Uni.
Particularité de la décision RGPD : elle était limitée à quatre ans et devait expirer le 27 juin 2025. Elle n'a pas expiré. Prolongée de six mois le 24 juin 2025, elle a été renouvelée le 19 décembre 2025 jusqu'au 27 décembre 2031, après examen de la réforme britannique adoptée entre-temps, le Data (Use and Access) Act 2025. (Source : Commission européenne, page des décisions d'adéquation.)
Pour un DPO, la conséquence immédiate est simple : les flux de données personnelles de l'UE vers le Royaume-Uni restent libres, sans clauses contractuelles ni autorisation, sur le fondement de l'article 45 du RGPD. Mais la décision a une date de fin, le droit britannique a bougé, et le plan B doit être documenté avant d'en avoir besoin.
Ce guide fait le point : ce que le Brexit a changé, ce que dit la décision renouvelée, ce que contient la réforme britannique, et quels outils mobiliser si l'adéquation tombait. Pour la liste complète des pays reconnus adéquats, voir notre guide des pays compatibles au RGPD pour les transferts de données.
Brexit et RGPD : les conséquences au Royaume-Uni
Jusqu'à la fin de la période de transition, le RGPD s'appliquait directement au Royaume-Uni. Il y a été repris en droit interne sous le nom de « UK GDPR », par l'European Union (Withdrawal) Act 2018, et complété par le Data Protection Act 2018. C'est ce cadre, issu du droit de l'Union, que la Commission a évalué en 2021.
Les flux de données vers l'UE : la législation britannique s'applique
Dans le sens Royaume-Uni vers Union européenne, c'est le droit britannique qui décide. Il traite les transferts vers un État de l'Espace économique européen comme approuvés (Data Protection Act 2018, annexe 21, paragraphes 4 et 5) : les données circulent librement du Royaume-Uni vers l'UE, sans garanties supplémentaires.
La fin du guichet unique
Sans aucun doute, une disposition du RGPD qui simplifie considérablement la gestion administrative des entreprises à propos des données personnelles.
Qu'est-ce que le guichet unique ?
Le guichet unique est une mesure phare du RGPD. Toutes les entreprises qui réalisent des traitements de données « transfrontaliers » dans l'Union en bénéficient.
Un interlocuteur unique, l'autorité « chef de file » (article 56 du RGPD) : c'est l'autorité de contrôle du pays où est installé l'établissement principal de l'entreprise, par exemple la CNIL en France. Elle est compétente pour les traitements transfrontaliers de cette entreprise sur l'ensemble de l'Union (contrôles, obligations, démarches administratives).
Inutile de s'adresser à chaque autorité nationale : moins de lourdeurs administratives, plus de réactivité.
Prenons un exemple : pour une entreprise dont l'établissement principal est en France, la CNIL coopère avec ses homologues des pays concernés par un traitement transfrontalier. Ensemble, elles arrêtent une décision commune, et seule la CNIL en informe l'entreprise.
Situées hors de l'Union, les entreprises britanniques ne profitent plus de ce dispositif, sauf si leur établissement principal est situé dans l'Espace économique européen. Le guichet unique ne concerne que les traitements transfrontaliers tels que définis au point 23 de l'article 4 du RGPD : les traitements mis en œuvre par une entreprise établie dans plusieurs États membres, ou, depuis un établissement unique dans l'Union, qui affectent sensiblement des personnes dans plusieurs États membres.
Ainsi, le mécanisme du guichet unique n'est pas ouvert aux entreprises établies en dehors de l'Union européenne, même si leurs traitements de données concernent des personnes résidant dans plusieurs États membres.
Comment les entreprises britanniques doivent-elles s'adapter ?
Une entreprise britannique sans établissement dans l'Union, qui offre des biens ou des services à des personnes situées dans l'UE ou qui suit leur comportement (article 3, paragraphe 2), doit désigner par écrit un représentant dans l'Union (article 27 du RGPD). Cela vaut pour les responsables de traitement comme pour les sous-traitants.
L'obligation ne s'applique pas à un traitement occasionnel, sans traitement à grande échelle de données sensibles ou pénales et peu susceptible d'engendrer un risque, ni à une autorité ou un organisme public. Le représentant est établi dans un des États membres où se trouvent les personnes concernées : c'est à lui que s'adressent les autorités de contrôle et les personnes concernées.
La décision d'adéquation britannique : prolongée, puis renouvelée jusqu'en 2031
La décision de 2021 reposait sur un constat logique : le droit britannique était encore, à cette date, le RGPD transposé. Mais la Commission a tenu compte du fait que le Royaume-Uni adopterait et appliquerait son propre régime. D'où une clause particulière : une validité limitée à quatre ans, avec une expiration fixée au 27 juin 2025.
Juin 2025 : une prolongation technique de six mois
Le 23 octobre 2024, le gouvernement britannique dépose au Parlement le Data (Use and Access) Bill, qui modifie le UK GDPR et le Data Protection Act 2018. La Commission estime ne pas pouvoir évaluer un cadre encore en cours d'adoption. Par une décision d'exécution du 24 juin 2025 (décision (UE) 2025/1226), elle prolonge la décision de 2021 de six mois, jusqu'au 27 décembre 2025, le temps que le processus législatif britannique aboutisse. (Source : décision de prolongation, C(2025) 3928.)
Décembre 2025 : le renouvellement
Le 19 décembre 2025, la Commission adopte la décision de renouvellement au titre du RGPD, C(2025) 8771, après avoir pris en compte l'avis 26/2025 du Comité européen de la protection des données (CEPD). Elle conclut que le Royaume-Uni continue d'assurer un niveau de protection adéquat, réforme comprise. Ce qu'il faut en retenir :
- Nouvelle échéance : la décision expire le 27 décembre 2031, sauf prolongation.
- Revue périodique : au moins tous les quatre ans, sur tous les aspects du fonctionnement de la décision.
- Prolongation possible : si l'adéquation reste justifiée, la Commission engage, au plus tard six mois avant l'échéance, une prolongation, en principe de quatre ans.
- Exclusion « immigration » levée : la décision de 2021 excluait les données transférées à des fins de contrôle de l'immigration. Après modification du droit britannique, la Commission ne juge plus cette exclusion justifiée et la supprime.
- Surveillance continue : la Commission peut suspendre, abroger ou modifier la décision si le niveau de protection n'est plus assuré.
(Source : décision de renouvellement du 19 décembre 2025.)
La réforme britannique : du rapport de 2021 au Data (Use and Access) Act 2025
La méfiance européenne de 2021 avait un motif. Le 16 juin 2021, le rapport « Taskforce on Innovation, Growth and Regulatory Reform », remis à Boris Johnson, alors Premier ministre britannique, consacrait une section entière à une proposition explicite : « Replace GDPR with a new UK framework for data protection ».
La réforme finalement adoptée est plus ciblée. Le Data (Use and Access) Act 2025 reçoit la sanction royale le 19 juin 2025. Ses parties 5 et 6 modifient le UK GDPR et le Data Protection Act 2018 sur des points précis, que la Commission a examinés un par un :
- Bases légales : création d'une base « intérêt légitime reconnu » (recognised legitimate interests, annexe 4 de la loi), limitée à des situations listées.
- Limitation des finalités : clarification des cas où un traitement ultérieur est réputé compatible avec la finalité initiale (annexe 5).
- Recherche scientifique : règles modifiées pour les traitements à des fins de recherche scientifique.
- Décisions automatisées : nouvelles conditions encadrant la prise de décision automatisée (section 80).
- Régulateur : l'Information Commissioner's Office (ICO) est remplacé par une nouvelle entité, l'Information Commission (partie 6), dotée de nouveaux pouvoirs de sanction. Son rôle d'autorité de contrôle indépendante reste inchangé.
- Transferts au départ du Royaume-Uni : nouveau régime fondé sur un « data protection test » (annexe 7). La Commission y prête une attention particulière depuis 2021, car il conditionne les transferts ultérieurs des données venues de l'UE.
Conclusion de la Commission dans la décision de renouvellement : ces modifications ne remettent pas en cause le niveau de protection adéquat. Elle prévient toutefois qu'elle continuera à suivre de près les évolutions à venir.
Si l'adéquation tombait : les outils des articles 46 et 49
Juridiquement, le Royaume-Uni est un pays tiers depuis le Brexit. C'est la décision d'adéquation qui dispense de tout encadrement supplémentaire. Si elle était suspendue, abrogée ou non prolongée, chaque transfert vers le Royaume-Uni devrait reposer sur l'un des outils ci-dessous, exactement comme pour un pays non adéquat.
Premier outil : des garanties appropriées
En cas d'absence de décision d'adéquation, l'article 46 du RGPD dispose : « En l'absence de décision en vertu de l'article 45, paragraphe 3, le responsable du traitement ou le sous-traitant ne peut transférer des données à caractère personnel vers un pays tiers ou à une organisation internationale que s'il a prévu des garanties appropriées et à la condition que les personnes concernées disposent de droits opposables et de voies de droit effectives. »
L'article 46 distingue les garanties qui ne nécessitent aucune autorisation particulière d'une autorité de contrôle (paragraphe 2) de celles qui y sont soumises (paragraphe 3). Pour une entreprise, quatre options sont pertinentes.
Les clauses contractuelles types
Des clauses types de protection des données adoptées par la Commission européenne, ou adoptées par une autorité de contrôle puis approuvées par la Commission (article 46, paragraphe 2, points c et d). Aucune autorisation n'est requise. La version en vigueur a été publiée par la Commission le 4 juin 2021. Détails dans notre guide sur les clauses contractuelles types, et pour évaluer le pays de destination, notre guide sur l'analyse d'impact des transferts de données.
Les clauses contractuelles ad hoc
Des clauses négociées entre l'exportateur et l'importateur des données, hors modèle de la Commission (article 46, paragraphe 3, point a). Contrairement aux clauses types, elles exigent l'autorisation de l'autorité de contrôle compétente, qui applique le mécanisme de contrôle de la cohérence (article 63). Le RGPD ne leur fixe pas de durée de validité de trois ans : une telle limite n'apparaît pas dans l'article 46.
Les règles d'entreprise contraignantes (BCR)
On parle des « Binding Corporate Rules » (BCR) : des règles internes à un groupe, juridiquement contraignantes pour toutes ses entités, qui encadrent les transferts au sein du groupe. Elles sont approuvées par l'autorité de contrôle compétente, selon le mécanisme de contrôle de la cohérence (article 47 du RGPD), et non par la Commission européenne.
Les codes de conduite et la certification
Un code de conduite approuvé (article 40) ou un mécanisme de certification approuvé (article 42), assorti de l'engagement contraignant et exécutoire de l'importateur d'appliquer les garanties appropriées (article 46, paragraphe 2, points e et f).
Deuxième outil : des dérogations
En l'absence de décision d'adéquation et de garanties appropriées, un transfert ne peut avoir lieu qu'à l'une des conditions de l'article 49 du RGPD :
- la personne concernée a donné son consentement explicite, après avoir été informée des risques du transfert ;
- le transfert est nécessaire à l'exécution d'un contrat avec la personne concernée, ou à des mesures précontractuelles prises à sa demande ;
- le transfert est nécessaire à la conclusion ou à l'exécution d'un contrat conclu dans l'intérêt de la personne concernée ;
- le transfert est nécessaire pour des motifs importants d'intérêt public ;
- le transfert est nécessaire à la constatation, à l'exercice ou à la défense de droits en justice ;
- le transfert est nécessaire à la sauvegarde des intérêts vitaux de la personne, lorsqu'elle ne peut pas donner son consentement ;
- le transfert a lieu au départ d'un registre public.
Si aucune de ces dérogations ne s'applique, un transfert reste possible à titre exceptionnel, à quatre conditions cumulatives :
- il ne revêt pas de caractère répétitif ;
- il ne touche qu'un nombre limité de personnes ;
- il est nécessaire aux intérêts légitimes impérieux du responsable du traitement, sur lesquels ne prévalent pas les droits et libertés de la personne ;
- le responsable du traitement a évalué toutes les circonstances du transfert et offert des garanties appropriées.
Le responsable du traitement en informe alors l'autorité de contrôle et la personne concernée, et documente l'évaluation et les garanties dans le registre des traitements (article 49, paragraphe 6, et article 30).
Troisième option : le rapatriement
Le Royaume-Uni héberge vos données personnelles ? Le rapatriement vers un hébergement dans l'UE supprime la question du transfert. C'est l'option la plus lourde à court terme, mais la seule qui ne dépende d'aucune échéance réglementaire.
Ce que le DPO doit faire maintenant
La décision de renouvellement donne de la visibilité jusqu'à fin 2031. Ce n'est pas une raison pour laisser les flux britanniques hors radar. Les gestes utiles, dès maintenant :
- Cartographier les flux vers le Royaume-Uni dans le registre (article 30), avec leur fondement : article 45 et décision 2021/1772 modifiée en 2025.
- Inscrire les échéances : revue de la Commission au moins tous les quatre ans, expiration au 27 décembre 2031.
- Identifier les sous-traitants britanniques, et les sous-traitants ultérieurs de vos sous-traitants qui hébergent ou consultent des données au Royaume-Uni.
- Préparer le plan B : savoir quels contrats basculeraient sous clauses contractuelles types si l'adéquation était suspendue.
- Suivre l'application du Data (Use and Access) Act et la mise en place de l'Information Commission.
Le point dur, en pratique, c'est la chaîne de sous-traitance : savoir qui, chez vos prestataires, traite des données au Royaume-Uni. C'est l'objet de l'audit IA des sous-traitants de Leto, avec Hari. Pour voir comment Leto tient le registre et suit vos transferts hors UE, vous pouvez réserver une démo du logiciel RGPD Leto.
Questions fréquemment posées
Peut-on encore transférer des données personnelles vers le Royaume-Uni sans clauses contractuelles types ?
Oui. La décision d'adéquation du 28 juin 2021, renouvelée par la Commission européenne le 19 décembre 2025, permet de transférer des données personnelles de l'UE vers le Royaume-Uni sans garanties supplémentaires, sur le fondement de l'article 45 du RGPD. Aucune autorisation spécifique n'est requise.
Jusqu'à quand la décision d'adéquation britannique est-elle valable ?
Jusqu'au 27 décembre 2031, sauf prolongation. Initialement prévue jusqu'au 27 juin 2025, elle a d'abord été prolongée de six mois le 24 juin 2025, puis renouvelée le 19 décembre 2025. La Commission doit la réexaminer au moins tous les quatre ans et peut la suspendre si le niveau de protection n'est plus assuré.
Qu'est-ce que le Data (Use and Access) Act 2025 change pour une entreprise européenne ?
Peu de choses à court terme pour les transferts depuis l'UE : la Commission a jugé que la réforme ne remet pas en cause l'adéquation. Elle modifie le UK GDPR sur des points ciblés (intérêt légitime reconnu, finalités compatibles, décisions automatisées, régime des transferts) et remplace l'ICO par l'Information Commission. Un sous-traitant britannique relève de ce cadre modifié.
Que faire si la décision d'adéquation est suspendue ?
Chaque transfert vers le Royaume-Uni devrait alors reposer sur une garantie appropriée de l'article 46 du RGPD, le plus souvent les clauses contractuelles types de la Commission, ou à défaut sur une dérogation de l'article 49. Préparer ces clauses à l'avance évite de bloquer les flux le jour où la décision tombe.
