Le Royaume-Uni est protégé par le UK Data Protection Act 2018 (DPA 2018), une loi qui fonctionne parallèlement au règlement général sur la protection des données du Royaume-Uni ( RGPD), qui est comme le RGPD l'UE mais tient compte du retrait du Royaume-Uni de l'Union européenne en 2020.
Ci-dessous, je résume la loi britannique sur la protection des données 2018, y compris à qui elle s'applique, comment elle a un impact sur les entreprises et les consommateurs, ses différentes exigences, les sanctions en cas de violation de la loi, et comment elle fonctionne avec le RGPD britannique.
- Qu'est-ce que la loi britannique de 2018 sur la protection des données ?
- Loi britannique sur la protection des données 2018 Termes clés et définitions
- Que couvre la loi britannique sur la protection des données ?
- Exigences de la loi britannique sur la protection des données
- Comment la loi britannique sur la protection des données affecte les consommateurs
- Comment la loi britannique sur la protection des données affecte les entreprises
- Qui doit se conformer au DPA 2018
- Comment les entreprises peuvent-elles se conformer au RGPD 2018 ?
- Comment la loi britannique sur la protection des données est-elle appliquée ?
- Amendes et pénalités en vertu de la loi britannique sur la protection des données
- Comment Termly aide à la mise en conformité avec la loi britannique sur la protection des données
- Résumé
Qu'est-ce que la loi britannique de 2018 sur la protection des données ?
La loi britannique sur la protection des données 2018, ou DPA 2018, est une loi nationale établie au Royaume-Uni qui fait partie du cadre juridique de la protection de la vie privée dans la région, au même titre que le RGPD britannique.
Il régit la manière dont les informations personnelles sont collectées, stockées et utilisées, et complète et étend certaines des normes établies par le RGPD britannique.
Loi sur la protection des données Date d'entrée en vigueur
Le DPA 2018 est entré en vigueur le 25 mai 2018.
Bref historique de la loi sur la protection des données, du RGPD britannique et du RGPD européen
Pour comprendre comment le DPA 2018 et le RGPD britannique fonctionnent ensemble, je dois expliquer ce qui est arrivé au cadre de protection de la vie privée du Royaume-Uni après que le pays s'est retiré de l'UE.
Techniquement, la loi sur la protection des données et le RGPD ont été introduits et sont entrés en vigueur avant que le Royaume-Uni ne se retire de l'Union européenne le 31 janvier 2020.
Le Royaume-Uni a adopté le DPA 2018 parce que le RGPD l'UE contient plus de 30 domaines de dispositions flexibles ou de règles supplémentaires qui permettent des variations nationales dans la façon dont les États membres interprètent le règlement. La promulgation de la loi sur la protection des données de 2018 a permis au Royaume-Uni de donner plus d'effet au RGPD dans les domaines flexibles existants.
Cependant, une fois que le Royaume-Uni s'est retiré de l'UE, le RGPD a cessé d'être efficace dans la région. Pour éviter un vide juridique, le gouvernement britannique a utilisé la loi de retrait de l'Union européenne de 2018 pour incorporer le texte du RGPD l'UE dans le droit interne britannique.
Le Royaume-Uni a également obtenu une décision d'adéquation confirmant que les régimes de protection des données du pays étaient équivalents à ceux de l'UE, ce qui permet de continuer à recevoir des données en provenance de l'UE.
Enfin, le DPA 2018 a été modifié pour s'aligner sur le nouveau RGPD britannique, qui reste en vigueur.
Aujourd'hui, le RGPD britannique est presque identique à celui de l'UE, et les deux décrivent les mêmes droits des personnes concernées, les mêmes bases juridiques et les mêmes obligations et exigences pour les entreprises.
Loi britannique sur la protection des données 2018 Termes clés et définitions
Selon la section 3 du RGPD 2018, les termes utilisés dans la loi ont la même signification que celle qu'ils ont dans l' article 4 du RGPD britannique, que vous pouvez consulter ci-dessous :
Lorsque ces expressions sont utilisées dans ce guide, c'est en tenant compte de ces définitions spécifiques.
Que couvre la loi britannique sur la protection des données ?
Le DPA 2018 couvre les informations personnelles des personnes au Royaume-Uni.
Elle s'applique à toutes les entreprises et organisations basées au Royaume-Uni et à tous les responsables du traitement des données ou sous-traitants qui.. :
- offre des biens ou des services à des personnes au Royaume-Uni, et
- se trouvent en dehors du Royaume-Uni, mais suivent des personnes au Royaume-Uni.
Exigences de la loi britannique sur la protection des données
J'ai résumé ci-dessous les principales exigences du RGPD 2018 et leur impact sur les entreprises.
Principes du traitement des données
En vertu de la loi britannique de 2018 sur la protection des données, les données personnelles doivent être traitées de manière équitable, transparente et légale.
Les entités ne peuvent collecter légalement que les données nécessaires qui sont pertinentes et proportionnées aux finalités telles qu'elles ont été communiquées au consommateur dans un avis de confidentialité conforme.
Toute information qui n'est pas considérée comme "nécessaire" ou "raisonnable" ne peut être collectée qu'après obtention d'un consentement explicite, volontaire et éclairé.
Droits de la personne concernée
Le UK DPA 2018 renforce les droits des personnes concernées au Royaume-Uni, tels qu'ils sont énoncés dans le UK RGPD, qui comprennent le droit de.. :
- Accéder à leurs données
- Corriger leurs données
- Effacer leurs données
- Restreindre le traitement de leurs données
- Objection au traitement des données
Catégories spéciales de données
Le RGPD 2018 prévoit que les responsables du traitement des données doivent disposer d'une base juridique claire pour traiter des "catégories spéciales" de données, telles que les informations personnelles sensibles suivantes :
- Origine raciale ou ethnique
- Opinions politiques
- Croyances religieuses ou philosophiques
- Adhésion à un syndicat
- Données génétiques
- Données biométriques
- Données sur la santé
- Vie sexuelle ou orientation sexuelle
Cependant, elle a également introduit la catégorie des "données relatives aux infractions pénales", qui rend le traitement des données personnelles relatives aux condamnations et aux procédures pénales légal pour les entités autorisées.
Sécurité des données :
En vertu du RGPD 2018, les entités doivent s'assurer qu'elles traitent les données à caractère personnel de manière sécurisée.
Le traitement doit comprendre les mesures organisationnelles et techniques appropriées pour protéger la quantité et le type de données contre un accès non autorisé ou d'autres préjudices.
Ces exigences en matière de sécurité figurent également dans le RGPD britannique.
Application de la loi
Le UK DPA 2018 prévoit qu'une autorité compétente peut légalement traiter des données à caractère personnel à des fins d'application de la loi dans la partie 3 de la loi.
Plus précisément, il énonce les exigences suivantes :
- Les données traitées à des fins d'application de la loi doivent l'être de manière légale et équitable, en adhérant aux principes fondamentaux de protection des données énoncés par le DPA 2018 et le RGPD britannique,
- Les données doivent être collectées à des fins répressives légitimes et clairement définies,
- Seules les données nécessaires, adéquates et pertinentes peuvent être traitées à des fins répressives,
- Toutes les données à caractère personnel traitées à des fins répressives ne peuvent être conservées que pendant la durée nécessaire à la réalisation des objectifs visés, et pas plus longtemps,
- Seules les autorités compétentes peuvent traiter les données de cette manière, c'est-à-dire les forces de police et les autres agences britanniques autorisées.
Comment la loi britannique sur la protection des données affecte les consommateurs
La loi britannique sur la protection des données a un impact sur les consommateurs en renforçant leurs droits en matière de protection de la vie privée, comme le souligne le RGPD britannique.
Les utilisateurs britanniques peuvent à tout moment soumettre des demandes vérifiables de respect de ces droits, et les entités doivent y répondre dans un délai raisonnable sous peine de se voir infliger des amendes pour non-conformité.
Les demandes des personnes concernées de donner suite à leurs droits en matière de protection de la vie privée doivent être honorées chaque fois que cela est techniquement possible, et la charge de la preuve incombe à l'entreprise.
Comment la loi britannique sur la protection des données affecte les entreprises
Au-delà des exigences légales déjà mentionnées dans ce guide, la loi britannique sur la protection des données affecte également les politiques des entreprises en matière de confidentialité et de cookies.
La loi sur la protection des données intègre le RGPD britannique dans la partie 2 de la loi, ce qui oblige les entreprises à présenter aux utilisateurs un avis de confidentialité conforme expliquant :
- Quelles sont les données personnelles que vous souhaitez collecter ?
- Votre base juridique pour la collecte des données,
- Les droits des personnes concernées sur leurs informations et la manière d'agir sur ces droits,
- Si vous partagez des données avec des tiers,
- Votre politique de conservation des données,
- Les coordonnées de votre entreprise.
De même, les entreprises doivent mettre à jour leur politique en matière de cookies afin d'identifier et d'expliquer tous les cookies utilisés par le site web.
Elle doit être présentée aux utilisateurs dès qu'ils arrivent sur la page afin qu'ils soient correctement informés conformément aux deux législations.
Qui doit se conformer au DPA 2018
Toutes les entreprises, entités et organisations britanniques sont tenues de se conformer à la loi britannique sur la protection des données.
Elle s'applique également aux entités situées en dehors du Royaume-Uni qui répondent aux critères suivants :
- Offrir des biens ou des services à des personnes au Royaume-Uni,
- Suivre les comportements en ligne des citoyens du Royaume-Uni.
Comment les entreprises peuvent-elles se conformer au RGPD 2018 ?
Pour se conformer au RGPD 2018, les entreprises doivent également se conformer au RGPD britannique, ce qui signifie mettre en œuvre tous les éléments suivants sur votre site web ou votre application :
- Publier sur votre site un avis de confidentialité actualisé répondant à toutes les exigences de transparence,
- Publier une politique de cookies actualisée sur votre site en identifiant tous les cookies qu'il utilise et en expliquant leur finalité,
- Ajoutez une bannière de consentement aux cookies sur votre site avec un accès à un centre de préférences pour permettre aux utilisateurs britanniques d'exercer leurs droits de retrait prévus par les deux lois,
- Utiliser des contacts conformes entre les responsables du traitement des données et les contrôleurs de données tiers,
- Veiller à ce que les transferts de données soient conformes à la législation en vigueur,
- Disposer d'un moyen de recevoir les demandes vérifiées des personnes concernées et d'y répondre afin de donner suite à leurs droits en matière de protection de la vie privée,
- Mettre en œuvre des mesures de sécurité pour protéger toutes les données à caractère personnel contre tout accès non autorisé et tout autre préjudice.
Si votre traitement de catégories particulières de données est susceptible d'entraîner un risque élevé (par exemple, l'utilisation à grande échelle de données biométriques), vous devez réaliser une DPIA afin d'évaluer et d'atténuer les risques.
Comment la loi britannique sur la protection des données est-elle appliquée ?
Le DPA 2018 est appliqué par l'Information Commissioner's Office (ICO).
L'ICO est chargé de mener des enquêtes et de prendre des mesures à l'encontre d'une entité qui n'a pas respecté le DPA 2018 et le RGPD britannique.
Ils fournissent également des indications et des conseils pour l'interprétation de la loi, du règlement et du cadre général de la protection de la vie privée au Royaume-Uni.
Amendes et pénalités en vertu de la loi britannique sur la protection des données
Les violations du RGPD britannique peuvent entraîner des amendes allant jusqu'à 4 % du chiffre d'affaires annuel mondial ou 17,5 millions de livres sterling (le montant le plus élevé étant retenu). Toutefois, le DPA 2018 prévoit des sanctions distinctes pour des violations spécifiques, telles que le traitement illégal à des fins d'application de la loi
Comment Termly aide à la mise en conformité avec la loi britannique sur la protection des données
Termly aide les entreprises à se conformer facilement à des lois telles que le UK Data Protection Act (et le UK RGPD!) en offrant des solutions de politique de confidentialité soutenues par la loi, comme notre Générateur de politique de confidentialité et notre plateforme de gestion du consentement (CMP).
Notre Générateur de politique de confidentialité est mis à jour régulièrement et comprend les exigences de notification définies par plus de 25 lois sur la protection de la vie privée dans le monde entier.
La capture d'écran ci-dessous en donne un exemple.
Vous pouvez également utiliser le CMP de Termlypour mettre en place une bannière de consentement aux cookies conforme avec un accès à une politique de cookies précise et un centre de préférences afin que vos utilisateurs britanniques puissent facilement suivre leurs différents droits.
Il est accompagné d'un formulaire gratuit de demande d'accès aux données personnelles (DSAR), qui rend la réception et la réponse à ces demandes encore plus efficaces et transparentes pour votre entreprise.
Résumé
Le Royaume-Uni est protégé par la loi sur la protection des données de 2018 et le RGPD, deux cadres solides en matière de protection de la vie privée qui confèrent plusieurs droits aux consommateurs et définissent diverses obligations et lignes directrices strictes que les entreprises doivent respecter.
Pour vous conformer au RGPD 2018, prévoyez de mettre à jour vos politiques en matière de confidentialité et de cookies, d'ajouter un formulaire DSAR à votre site web et d'utiliser un CMP qui répond de manière adéquate à toutes les exigences en matière d'opt-in et d'opt-out décrites par cette loi et le RGPD britannique.
Pour simplifier la conformité, utilisez des solutions comme le Générateur de politique de confidentialité et le CMP de Termly, et restez du bon côté des lois britanniques sur la protection de la vie privée (et au-delà !).
En savoir plus sur l'auteur
Écrit par Masha Komnenic CIPP/E, CIPM, CIPT, FIP
Masha est spécialiste en sécurité de l'information et en protection des données, ainsi que déléguée à la protection des données certifiée. Depuis six ans, elle aide les petites et moyennes entreprises à se conformer aux réglementations et accompagne de nombreux accélérateurs internationaux en tant que mentor en conformité. Elle est spécialisée dans la mise en œuvre, le suivi et l’audit de la conformité des entreprises aux réglementations sur la protection des données (HIPAA, LPRDE, Directive ePrivacy, RGPD, CCPA, POPIA, LGPD). Masha a étudié le droit à l’Université de Belgrade et a obtenu son examen du barreau en 2016. En savoir plus sur l'auteur
