Le 16 octobre 2025, le Comité européen de la protection des données (CEPD) a adopté deux avis concernant l’adéquation des transferts de données entre le Royaume-Uni et l’Union européenne. Ces avis soulignent la nécessité d’une vigilance accrue face aux réformes législatives britanniques qui pourraient affecter la protection des données.

Contexte des avis du CEPD

Dans le cadre du renouvellement des décisions d’adéquation, le CEPD a examiné la situation du Royaume-Uni, dont le statut d’adéquation, initialement accordé en juin 2021, a été prolongé jusqu’au 27 décembre 2025. Ce prolongement vise à permettre au législateur britannique de finaliser des réformes majeures, notamment le Retained EU Law (Revocation and Reform) Act 2023 et le Data (Use and Access) Act 2025.

Évaluation de l’adéquation

Les deux avis adoptés confirment que le Royaume-Uni maintient un niveau de protection des données globalement équivalent à celui de l’Union européenne. Cependant, le CEPD met en garde contre plusieurs évolutions législatives qui pourraient fragiliser cette adéquation :

• Modification du test d’adéquation pour les transferts internationaux.
• Renforcement des pouvoirs de surveillance étatique.
• Assouplissement des règles concernant la décision automatisée.

Principales préoccupations soulevées

1. Disparition de la primauté du droit de l’Union

Le Retained EU Law Act 2023 a supprimé la primauté du droit de l’Union et les principes généraux du droit de l’UE. Le CEPD appelle à une analyse approfondie des conséquences de cette transformation sur l’ordre juridique britannique, qui pourrait affecter l’équivalence des protections.

2. Nouvelles prérogatives du Secretary of State

Le Data (Use and Access) Act 2025 confère au Secretary of State des pouvoirs étendus pour modifier des éléments clés du régime de protection des données. Le CEPD recommande une surveillance accrue de ces changements.

3. Évolution des tests d’adéquation

Le nouveau test britannique pour les transferts internationaux exige un niveau de protection « non substantiellement inférieur », mais plusieurs critères essentiels ont été supprimés, ce qui pourrait compromettre la sécurité des données transférées.

Conclusion

Les avis du CEPD indiquent que le Royaume-Uni peut encore être considéré comme offrant un niveau adéquat de protection des données. Toutefois, cette situation repose sur un équilibre fragile, en raison des réformes législatives en cours. Les organisations européennes doivent continuer à surveiller l’évolution des réglementations britanniques afin d’anticiper d’éventuelles modifications de leur statut d’adéquation.