RGPD britannique et PECR : les règles sur les cookies au Royaume-Uni

Au Royaume-Uni, les cookies relèvent de deux textes qui fonctionnent ensemble. Les Privacy and Electronic Communications Regulations (PECR) imposent un consentement avant tout stockage d’informations sur un terminal ou tout accès à celles-ci, sauf exemption, et le RGPD britannique (UK GDPR) définit ce qu’est un consentement valable. L’Information Commissioner’s Office (ICO) veille au respect des deux, et des réformes récentes ajoutent de nouvelles exemptions à suivre de près.

Comment le RGPD britannique et PECR s’articulent-ils ?

PECR fixe la règle applicable aux cookies, le RGPD britannique fixe la norme du consentement. Lorsqu’un cookie ou une technologie similaire implique aussi des données personnelles, les principes plus généraux du RGPD britannique, comme la transparence et la minimisation des données, s’appliquent également.

PECR est la transposition britannique de la directive ePrivacy de l’UE. Sa règle sur les cookies, la regulation 6, impose de fournir une information claire et complète et d’obtenir le consentement avant de stocker des informations sur le terminal d’un utilisateur ou d’y accéder, sauf exemption. Comme l’article 5(3) dans l’UE, elle couvre les cookies et les technologies similaires telles que le stockage local, les pixels de suivi et le fingerprinting (empreinte de l’appareil).

Le RGPD britannique est la version du RGPD européen conservée dans le droit britannique après le Brexit, et il coexiste avec le Data Protection Act 2018. Il définit le consentement comme libre, spécifique, éclairé et univoque, exprimé par un acte positif clair. Pour la version européenne de cette articulation, voir directive ePrivacy et RGPD.

Quels cookies nécessitent un consentement au Royaume-Uni ?

Selon les règles établies de longue date, tout ce qui n’est pas strictement nécessaire requiert un consentement préalable (opt-in). Cela inclut les cookies de mesure d’audience, de publicité, de réseaux sociaux et la plupart des cookies de personnalisation.

Les exemptions traditionnelles sont étroites :

• Exemption de communication : stockage ou accès utilisé uniquement pour effectuer la transmission d’une communication sur un réseau.
• Exemption des cookies strictement nécessaires : stockage ou accès strictement nécessaire à la fourniture d’un service expressément demandé par l’utilisateur, comme un panier d’achat, une session de connexion ou un cookie de sécurité.

L’ICO considère depuis longtemps que la mesure d’audience n’est pas strictement nécessaire, quelle que soit sa valeur pour l’entreprise. Pour les cas limites, voir ce qui relève d’un cookie strictement nécessaire.

Qu’a changé la Data (Use and Access) Act 2025 ?

La Data (Use and Access) Act 2025 modifie à la fois PECR et le RGPD britannique, et ses changements concernant les cookies sont les plus importants depuis des années. Ses dispositions entrent toutefois en vigueur par étapes : vérifiez les recommandations actuelles de l’ICO avant de modifier votre bandeau.

Dans sa version adoptée, la loi crée de nouvelles exceptions à l’obligation de consentement pour certaines finalités à faible risque, comme certains outils de mesure d’audience servant à améliorer un site ou un service, et les fonctionnalités qui mémorisent la façon dont un utilisateur souhaite qu’un site s’affiche ou fonctionne. Lorsque ces exceptions s’appliquent, vous devez généralement toujours informer clairement les personnes de ce que vous faites et leur offrir un moyen simple et gratuit de s’y opposer. La loi vise également à aligner les sanctions prévues par PECR sur les niveaux du RGPD britannique.

Trois précautions pratiques s’imposent tant que les détails ne sont pas stabilisés :

1. La publicité exige toujours un consentement. Les nouvelles exceptions visent des finalités à faible risque, pas la publicité ciblée ni le suivi intersites.
2. Les outils tiers doivent être examinés de près. Une exception liée à l’amélioration de votre propre service peut ne pas couvrir un fournisseur qui utilise aussi les données pour ses propres finalités.
3. Les visiteurs de l’UE ne sont pas concernés. Si vous vous adressez aussi à des personnes dans l’UE, les règles européennes exigent toujours, en général, un consentement pour la mesure d’audience : vous aurez peut-être besoin d’un comportement différent selon la région.

Avant de vous appuyer sur une nouvelle exception, réalisez un audit des cookies pour savoir précisément quels cookies en relèveraient.

Qu’attend l’ICO des bandeaux cookies ?

L’ICO attend un véritable choix : refuser doit être aussi simple qu’accepter, les cookies non essentiels ne doivent pas se charger avant le consentement et l’information doit être claire. Elle a publiquement demandé à de grands sites de corriger des bandeaux qui ne respectaient pas cette exigence.

Un bandeau adapté au Royaume-Uni doit :

1. Proposer « Tout refuser » avec la même visibilité et le même nombre de clics que « Tout accepter ».
2. Éviter les cases précochées, les interrupteurs activés par défaut et le consentement intégré aux conditions d’utilisation.
3. Ne jamais considérer le défilement ou la poursuite de la navigation comme un consentement.
4. Bloquer les cookies non essentiels jusqu’à ce que l’utilisateur donne son accord.
5. Permettre de modifier ou de retirer facilement son consentement par la suite.
6. Expliquer les finalités et les tiers en langage clair, avec le détail dans une politique de cookies.

Les astuces de conception qui poussent les internautes à accepter font régulièrement l’objet de contrôles. Notre guide sur les dark patterns des bandeaux cookies recense les pratiques à éviter.

Comment les règles britanniques se comparent-elles aux règles européennes ?

Les règles britanniques et européennes sur les cookies restent étroitement alignées, mais commencent à diverger. Utilisez ce tableau comme un repère rapide, pas comme une cartographie juridique.

	UE	Royaume-Uni
Règle sur les cookies	Article 5(3) de la directive ePrivacy, via les lois nationales	PECR, regulation 6
Norme du consentement	RGPD	RGPD britannique
Autorité de contrôle	Autorités nationales de protection des données	ICO
Cookies de mesure d’audience	Consentement généralement requis, avec d’étroites exemptions nationales	Nouvelles exceptions pour certains outils de mesure d’audience, sous réserve de leur entrée en vigueur et des recommandations de l’ICO
Cookies publicitaires	Consentement requis	Consentement requis
Amende maximale au titre du RGPD	20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial	17,5 millions de livres sterling ou 4 % du chiffre d’affaires annuel mondial

En résumé

Pour les visiteurs britanniques, prévoyez un consentement préalable pour tout ce qui n’est pas essentiel, rendez le refus aussi simple que l’acceptation et suivez la Data (Use and Access) Act 2025 à mesure que ses changements sur les cookies prennent effet. Consultez les dernières recommandations de l’ICO avant d’assouplir toute exigence de consentement, et n’oubliez pas que les visiteurs de l’UE ont toujours besoin d’un consentement conforme aux exigences européennes. Des outils comme Cookiesh peuvent automatiser l’analyse des cookies et tenir des journaux de consentement dont toute altération est détectable, pour montrer à l’ICO ce que fait votre site et ce que les visiteurs ont choisi.

Cet article est fourni à titre d’information générale et ne constitue pas un avis juridique. Pour toute décision concernant votre situation, consultez un professionnel qualifié de la protection des données.