Page traduite et vérifiée automatiquement. La version anglaise fait foi. Certaines parties restent en anglais le temps que leur traduction soit vérifiée. Voir en anglais · Signaler une erreur de traduction
Réglementations › Royaume-Uni
UK GDPR
GDPR du Royaume-Uni et Data Protection Act 2018
QuandEn vigueur depuis le 1er janvier 2021
Qui en assure l’applicationBureau du commissaire à l’information
À qui elle s’appliqueOrganisations établies au Royaume-Uni, et celles situées hors du Royaume-Uni qui proposent des biens ou des services à des personnes se trouvant au Royaume-Uni ou suivent leur comportement.
Informer le régulateurNotifier l’ICO dans les meilleurs délais et, si possible, dans un délai de 72 heures à compter de la prise de connaissance, sau…
DPO requisDPO requise pour les autorités publiques, le suivi systématique à grande échelle ou le traitement à grande échelle de catégories partic…
EnregistrementLa plupart des responsables du traitement doivent payer une redevance annuelle de protection des données à l’ICO, sauf exemption
Transferts à l’étrangerLes transferts nécessitent un règlement d’adéquation du Royaume-Uni fondé sur un critère de protection des données « non sensiblement inférieure », ou…
Délai de réponse aux demandesRépondre dans un délai d’un mois, prolongeable de deux mois
Amende maximaleJusqu’à GBP 17.5 millions ou 4% du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu
Every requirement we score, with the rule in plain words and the section it comes from. Darker means more demanding. See every law side by side →
Portée et base légale
Portée extraterritoriale
2
Applies to non-UK controllers offering goods or services to, or monitoring behavior of, people in the UK.UK GDPR Art. 3(2) · source ↗
Not re-verified against the source this session.
Base légale
1
Six GDPR bases plus a new 'recognised legitimate interests' basis (Annex 1) needing no balancing test, in force 5 Feb 2026.UK GDPR Art. 6(1)(ea), Annex 1 · source ↗
Annex 1 confirmed on legislation.gov.uk; commencement date from RPC (SI 2026/82). Art. 6(1)(ea) numbering not separately verified.
Consentement
2
Consent must be freely given, specific, informed and unambiguous; DUAA permits consent to broad areas of scientific research.UK GDPR Art. 4(11), Art. 7 · source ↗
Not re-verified against the source this session.
Données sensibles
2
Special categories prohibited unless explicit consent or listed condition applies; many conditions need an appropriate policy document.UK GDPR Art. 9; DPA 2018 s.10, Sch. 1 · source ↗
Not re-verified against the source this session.
Enfants
1
Age of consent for information society services is 13; online services likely accessed by children must consider children's higher protection in design.DPA 2018 s.9; UK GDPR Art. 8; Art. 25 as amended by DUAA · source ↗
ICO Age Appropriate Design Code applies to under-18s. DUAA children's design duty in force 5 Feb 2026 per RPC.
Droits des personnes
Droits
3
Access, rectification, erasure, restriction, portability, objection, and safeguards on significant automated decisions, plus a right to complain to the controller.UK GDPR Arts. 15-21, 22A-22D · source ↗
Arts. 22A-22D confirmed on legislation.gov.uk. Controller complaint procedures (DUAA s.103) commenced 19 June 2026 per RPC.
Délai de réponse aux demandes
2
Respond within one month, extendable by two months; clock can pause while awaiting clarification; reasonable and proportionate searches suffice.UK GDPR Art. 12(3), Art. 12A · source ↗
Art. 12A text not displayed on the page read; stop-the-clock detail from GOV.UK and RPC summaries.
Marketing
2
Prior consent needed for electronic marketing, with soft opt-in for existing customers (extended to charities by DUAA); absolute right to object.PECR 2003 reg. 22; UK GDPR Art. 21(2)-(3) · source ↗
PECR and DUAA charity soft opt-in section not fetched; commencement of the charity extension not confirmed.
Gouvernance
DPO requis
1
DPO required for public authorities, large-scale systematic monitoring, or large-scale special-category or criminal data processing.UK GDPR Art. 37(1) · source ↗
Not re-verified against the source this session.
Qualifications du DPO
1
DPO designated on professional qualities and expert knowledge of data protection law and practice.UK GDPR Art. 37(5) · source ↗
Not re-verified against the source this session.
Enregistrement
2
Most controllers must pay an annual data protection fee to the ICO unless exempt.Data Protection (Charges and Information) Regulations 2018 (SI 2018/480) reg. 2 · source ↗
Regulation not fetched this session; tiered fee, not licensing.
DPIA
2
DPIA required before processing likely to result in high risk; consult the ICO if high risk remains.UK GDPR Art. 35, Art. 36 · source ↗
Not re-verified against the source this session.
Registres
2
Records of processing required; limited exemption for organizations under 250 employees doing occasional, low-risk processing.UK GDPR Art. 30 · source ↗
Not re-verified against the source this session.
Conservation
1
Storage limitation: keep identifiable data no longer than necessary.UK GDPR Art. 5(1)(e) · source ↗
Not re-verified against the source this session.
Violations
Informer le régulateur
2
Notify the ICO without undue delay and, where feasible, within 72 hours of becoming aware, unless risk is unlikely.UK GDPR Art. 33(1) · source ↗
Not re-verified against the source this session.
Information des personnes
2
Notify affected individuals without undue delay when the breach is likely to result in high risk.UK GDPR Art. 34(1) · source ↗
Not re-verified against the source this session.
Transferts
Transferts à l’étranger
2
Transfers need UK adequacy regulations under a 'not materially lower' data protection test, or appropriate safeguards such as the IDTA or Addendum.UK GDPR Arts. 45A-45C, 46 · source ↗
Arts. 45A-45C confirmed on legislation.gov.uk; in force 5 Feb 2026 per RPC.
Application
Amende maximale
3
Up to GBP 17.5 million or 4% of worldwide annual turnover, whichever is higher; PECR fines now aligned to the same level.DPA 2018 s.157; DUAA Sch. 13 (PECR) · source ↗
s.157 not fetched; PECR alignment from RPC commencement summary.
Responsabilité pénale
1
Listed offenses (unlawful obtaining, re-identification, altering records to prevent disclosure) punishable by fines; directors can be liable.DPA 2018 ss.170, 171, 173, 198 · source ↗
Not re-verified against the source this session. Fines only; no imprisonment.
Action privée
2
Individuals can claim compensation for material or non-material damage; representative actions are limited in practice.UK GDPR Art. 82; DPA 2018 s.168 · source ↗
Not re-verified against the source this session.
Scores are our reading on the published rubric, checked 18 October 2026. Not legal advice.
Bibliothèque des réglementations
Toutes les lois des États américains sur la vie privée, sur une seule carte
24 États disposent d’une loi générale sur la vie privée dans la bibliothèque, aux côtés des lois de l’UE, du Royaume-Uni, des lois fédérales américaines et des lois du reste du monde : 102 au total, chacune expliquée en termes simples avec ses sources. Sélectionnez un État pour voir ce qui s’y applique.
- En vigueur
- Entrée en vigueur prochaine
- Lois sectorielles