Aller au contenu principal

Règlement Général sur la Protection des Données du Royaume-Uni (UK GDPR)

Aller directement à la conformité Avatar concernant l'UK GDPR

Le Règlement Général sur la Protection des Données du Royaume-Uni (UK GDPR), adapté par le Data Protection Act 2018 (DPA 2018), est la loi globale sur la protection de la vie privée régissant le traitement des données personnelles au Royaume-Uni. Il s'applique à toutes les organisations qui traitent des données personnelles de résidents du Royaume-Uni, quel que soit l'endroit où l'organisation est basée.

L'UK GDPR a été substantiellement modifié par le Data (Use and Access) Act 2025 (DUAA), promulgué le 19 juin 2025. L'essentiel de ses modifications en matière de protection des données est entré en vigueur le 5 février 2026 (SI 2026/82). Cette page reflète le texte en vigueur.

Depuis le 30 septembre 2026, l'Information Commissioner's Office (ICO) est remplacé par l'Information Commission (SI 2026/1015). Les lignes directrices citées ci-dessous ont été publiées sous le nom ICO et restent hébergées sur ico.org.uk.

La Commission européenne a renouvelé sa décision d'adéquation pour le Royaume-Uni le 19 décembre 2025, jusqu'au 27 décembre 2031 (ICO). Les données personnelles peuvent donc toujours circuler de l'UE vers le Royaume-Uni sans outil de transfert supplémentaire.

Qu'est-ce qu'une Donnée Personnelle ?​

Selon l'Article 4(1) de l'UK GDPR, les données personnelles désignent :

toute information se rapportant à une personne physique identifiée ou identifiable (data subject) ; une personne physique identifiable est une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques à son identité physique, physiologique, génétique, mentale, économique, culturelle ou sociale.

Exemples : Nom, email, numéro de téléphone, adresse IP, informations financières, dossiers médicaux.

Base Juridique pour le Traitement des Données Personnelles​

En vertu de l'Article 6 de l'UK GDPR, le traitement des données personnelles n'est licite que s'il satisfait l'une des conditions suivantes :

  • Consentement : La personne concernée a donné son consentement explicite.
  • Nécessité contractuelle : Le traitement est nécessaire à l'exécution d'un contrat.
  • Obligation légale : Conformité aux exigences légales du Royaume-Uni.
  • Intérêts vitaux : Le traitement est requis pour protéger la vie ou la santé.
  • Intérêt public : Le traitement est nécessaire pour des tâches effectuées dans l'intérêt public ou dans l'exercice de l'autorité publique.
  • Intérêts légitimes reconnus : Le traitement est nécessaire à l'une des finalités listées à l'Annexe 1 (ex. prévention de la criminalité, protection des personnes vulnérables, urgences). Ajoutés par le DUAA ; non disponibles pour les autorités publiques dans l'exercice de leurs missions.
  • Intérêts légitimes : L'organisation a une raison légitime, à condition qu'elle ne prime pas sur les droits fondamentaux de la personne.

Pseudonymisation vs. Anonymisation​

  • Pseudonymisation : représente le traitement de données personnelles de manière à ce que les données ne puissent plus être attribuées à une personne spécifique sans l'utilisation d'informations supplémentaires, à condition que ces informations supplémentaires soient conservées séparément et soient soumises à des mesures techniques et organisationnelles pour garantir que les données personnelles ne sont pas attribuées à une personne identifiée ou identifiable.

    Les données pseudonymisées restent des données personnelles.

  • Anonymisation : Les données sont modifiées de manière à ce que les personnes ne soient pas, ou plus, identifiables. Les informations anonymes ne sont plus soumises à l'UK GDPR.

Traitement des Catégories Particulières de Données​

L'Article 9 de l'UK GDPR définit les catégories particulières de données comme des informations relatives à l'origine raciale ou ethnique, aux opinions politiques, aux convictions religieuses ou philosophiques, à l'appartenance syndicale, à la génétique, aux données biométriques, à la santé ou à l'orientation sexuelle. Le traitement de telles données est interdit, sauf dans des conditions spécifiques décrites dans l'UK GDPR et l'Annexe 1 du DPA 2018, telles que :

  • Consentement explicite
  • Recherche scientifique ou historique et statistiques, menées conformément à l'Article 84B
  • Raisons de santé publique
  • Réclamations légales

Statut du Processus d'Anonymisation​

L'ICO indique que l'anonymisation elle-même constitue un traitement de données personnelles (ICO, Introduction to anonymisation) :

« The end result (the anonymous information) is not subject to data protection law, but the procedure (anonymisation) is. […] This means that you must comply with data protection requirements for your anonymisation process. This includes ensuring you have a lawful basis for it and you clearly define your purpose(s) and provide people with information about it. In general it is likely that applying anonymisation techniques to the personal data you hold will be fair and lawful. »

Autrement dit : le résultat (l'information anonyme) échappe au droit de la protection des données, mais pas le procédé d'anonymisation. Celui-ci doit reposer sur une base légale, avoir une finalité définie et faire l'objet d'une information des personnes. L'ICO considère qu'il sera en général loyal et licite.

En vertu de l'Article 5(1)(b) de l'UK GDPR, les données personnelles ne peuvent pas faire l'objet d'un traitement ultérieur incompatible avec les finalités pour lesquelles elles ont été collectées. Depuis le DUAA, la compatibilité s'apprécie selon l'Article 8A, qui liste les facteurs à prendre en compte (lien entre les finalités, contexte, nature des données, conséquences, garanties telles que le chiffrement ou la pseudonymisation).

Pour les finalités de recherche, d'archivage et de statistiques (RAS), le texte est explicite :

  • L'Article 84B(1)(b) autorise le traitement à des fins RAS lorsqu'il est « carried out in order to convert the personal data into information which can be processed in a manner which does not permit the identification of a data subject », c'est-à-dire l'anonymisation.
  • L'Article 8A(3)(b) considère comme compatible avec la finalité initiale le traitement mené conformément à l'Article 84B à des fins RAS.
  • L'Article 84C exige des garanties appropriées, notamment des mesures techniques et organisationnelles respectant la minimisation des données, telles que la pseudonymisation.

Reconnaissance Juridique de l'Anonymisation​

Le concept de données personnelles exige que la personne concernée soit identifiée ou identifiable. Le Considérant 26 précise que les informations sont considérées comme anonymes lorsque la personne concernée n'est pas ou n'est plus identifiable, en tenant compte de tous les moyens susceptibles d'être raisonnablement utilisés, compte tenu du coût, du temps requis et de la technologie disponible.

L'ICO a publié ses lignes directrices définitives sur l'anonymisation et la pseudonymisation le 28 mars 2025. L'ICO précise qu'elles sont en cours de révision à la suite du DUAA. Elles appliquent une approche basée sur les risques, notamment le Motivated Intruder Test (How do we ensure anonymisation is effective?). Le statut de données anonymes dépend de la probabilité raisonnable qu'une personne compétente et motivée puisse réidentifier un individu, en tenant compte de :

  • la nature et la sensibilité des données,
  • le contexte d'utilisation et les personnes ayant accès aux données,
  • la disponibilité d'autres ensembles de données publiques ou externes.

Un processus d'anonymisation doit être évalué et documenté pour démontrer que le risque résiduel de réidentification est suffisamment faible. L'évaluation technique évalue les risques tels que :

  • Singling out : isoler un individu unique au sein d'un ensemble de données,
  • Linkability : relier deux ensembles de données concernant le même individu,
  • Inference : déduire de nouvelles informations sensibles sur un individu.

De plus, une analyse d'impact relative à la protection des données (DPIA) est requise lorsque le traitement est susceptible d'engendrer un risque élevé. Elle permet d'évaluer la probabilité d'attaques potentielles contre le processus d'anonymisation, ainsi que leur impact. Si le risque résiduel est trop élevé, des mesures techniques et organisationnelles supplémentaires doivent être mises en œuvre. Lorsque ces normes sont respectées, les données sortent du champ d'application de l'UK GDPR.

Projet de lignes directrices sur l'anonymisation, la pseudonymisation et la recherche​

Projet

Ce document est un projet soumis à consultation, et non une version définitive. La consultation est ouverte du 24 août au 19 octobre 2026.

Le projet de lignes directrices explique comment appliquer l'anonymisation et la pseudonymisation dans le cadre des dispositions RAS. Ses principaux points concernant les données synthétiques sont :

  • Avant de traiter des données personnelles pour la recherche, il faut examiner si des informations anonymes peuvent être utilisées à la place.
  • L'identifiabilité s'apprécie en contexte : les données, qui y a accès, quelles autres informations ces personnes détiennent, le modèle de diffusion (publication ouverte, groupes définis, usage interne) et les moyens raisonnablement susceptibles d'être utilisés.
  • Les données synthétiques « can reduce risks, but it is not automatically anonymous, especially if it is generated from personal data ». Pour des données synthétiques générées à partir de données personnelles, le motivated intruder test doit couvrir les attaques par membership inference et par attribute disclosure.
  • Il faut indiquer à quoi les données synthétiques sont adaptées, les étiqueter clairement, et documenter l'évaluation de l'identifiabilité ainsi que la révision des garanties.

Statut Juridique de la Méthode Avatar​

Les données synthétiques générées à l'aide de la méthode Avatar peuvent sortir du champ d'application de l'UK GDPR lorsque leur risque résiduel de réidentification est jugé suffisamment faible dans leur contexte d'utilisation. Voici pourquoi :

  • La conversion de données personnelles en informations anonymes est expressément reconnue pour les finalités RAS (Article 84B(1)(b)) et considérée comme un traitement ultérieur compatible (Article 8A(3)(b)). Pour les autres finalités, la compatibilité s'apprécie selon l'Article 8A, et l'ICO considère l'anonymisation comme généralement loyale et licite.
  • La méthode d'anonymisation développée par Octopize détient un certificat de conformité de la CNIL (UE). Il n'existe pas de certification équivalente au Royaume-Uni, mais sa méthodologie d'évaluation suit le cadre basé sur les risques décrit par l'ICO.
  • L'anonymisation peut réduire le risque d'identification et constituer une garantie technique, mais le caractère anonyme des données dépend du fait que le risque de réidentification soit suffisamment faible dans leur contexte d'utilisation.
  • Comme tout traitement, l'anonymisation requiert une base légale et doit être couverte par l'information donnée aux personnes concernées. Elle ne nécessite pas de consentement distinct.
  • Les données avatarisées qui satisfont cette évaluation ne sont pas classées comme données personnelles.

Les données générées à l'aide de la méthode Avatar ne sont pas considérées comme anonymes par défaut. Leur anonymat est systématiquement évalué et documenté à travers un processus rigoureux impliquant :

  • Un rapport technique mesurant le risque résiduel de réidentification (Singling out, Linkability et Inference) en utilisant des métriques qui simulent des scénarios d'attaque de pointe. Elles incluent les attaques Membership Inference et Attribute Inference citées dans le projet de lignes directrices de l'ICO sur la recherche. Ce rapport fournit les éléments techniques du Motivated Intruder Test.

  • Une analyse d'impact relative à la protection des données (DPIA) évaluant la probabilité et la gravité de ces attaques en fonction de la sensibilité des données, des destinataires (le modèle de diffusion) et du contexte d'utilisation.