UK GDPR et PECR : les règles du consentement aux cookies au Royaume-Uni

Que sont le UK GDPR et le PECR ?

Trois textes régissent les cookies au Royaume-Uni. Le UK GDPR est le règlement européen tel que conservé dans le droit britannique après le Brexit, applicable depuis le 1er janvier 2021 et complété par le Data Protection Act 2018 ; il fixe la définition du consentement, les principes et les amendes. Les Privacy and Electronic Communications (EC Directive) Regulations 2003, ou PECR, transposent la directive ePrivacy, et leur article 6 (regulation 6) est la règle britannique sur les cookies. Le Data (Use and Access) Act 2025 (DUAA), qui a reçu la sanction royale le 19 juin 2025, modifie les deux, et ses dispositions sur les cookies et les sanctions sont entrées en vigueur le 5 février 2026.

À qui s’appliquent-ils ?

L’article 6 du PECR s’applique à quiconque stocke des informations dans l’équipement terminal d’un abonné ou d’un utilisateur au Royaume-Uni, ou accède à des informations qui y sont stockées, quel que soit le lieu d’établissement de l’exploitant du site. Le UK GDPR s’applique aux organismes établis au Royaume-Uni et aux organismes établis ailleurs qui proposent des biens ou des services à des personnes au Royaume-Uni ou suivent leur comportement, ce qui couvre la mesure d’audience et le suivi publicitaire des visiteurs britanniques. Aucun des deux ne prévoit d’exemption pour les petites entreprises.

Qu’exigent-ils pour les cookies, les traceurs et le consentement ?

L’article 6 pose deux conditions : l’utilisateur doit recevoir une information claire et complète sur les finalités du stockage ou de l’accès, et il doit avoir donné son consentement. L’ICO lit ce consentement comme celui du UK GDPR : libre, spécifique, éclairé, univoque, par un acte positif clair. Les réglages du navigateur ne suffisent pas à eux seuls, et l’ICO précise que vous ne pouvez pas vous y fier exclusivement pour décider si un utilisateur s’est opposé.

La règle couvre bien plus que les cookies. Les recommandations de l’ICO sur l’utilisation des technologies de stockage et d’accès, finalisées en avril 2026, l’appliquent aux pixels de suivi, au local storage, aux scripts, au fingerprinting et aux techniques similaires.

Il existe désormais cinq exceptions :

1. Communication : stockage ou accès dont la seule finalité est la transmission d’une communication, comme les cookies de session servant à la répartition de charge.
2. Strictement nécessaire : indispensable à un service demandé par l’utilisateur, apprécié du point de vue de l’utilisateur. La publicité ne remplit jamais cette condition.
3. Finalités statistiques (nouveau, depuis le 5 février 2026) : collecter des statistiques agrégées sur l’utilisation du service, pour l’améliorer, à condition de donner une information claire, d’offrir un moyen simple et gratuit de s’opposer, d’agréger les données, de ne les partager qu’avec un sous-traitant agissant pour vous, et de ne jamais les utiliser pour la publicité, le profilage ou le suivi des personnes.
4. Apparence et fonctionnalités (nouveau) : adapter le service aux préférences de l’utilisateur, avec les mêmes conditions d’information et d’opposition, et sans contenu fondé sur des centres d’intérêt déduits.
5. Assistance d’urgence (nouveau) : localiser un appareil pour aider une personne qui a demandé de l’aide.

Si un utilisateur s’oppose au titre des exceptions statistiques ou d’apparence, vous devez arrêter, et si vous utilisez la technologie pour une finalité au-delà de l’exception, il vous faut un consentement. Les cookies publicitaires, le suivi entre sites, les pixels des réseaux sociaux et le profilage exigent toujours un consentement préalable. L’ICO attend aussi un choix loyal : à ses yeux, un bandeau avec un grand bouton Accepter et un lien Refuser enfoui n’offre pas de vrai choix.

Que doit faire un bandeau conforme ?

• Afficher le bandeau avant qu’une technologie non essentielle ne s’exécute, et retenir les balises jusqu’au choix du visiteur.
• Proposer Accepter et Refuser avec la même visibilité dès le premier écran, le standard que l’ICO a appliqué en testant les 1 000 premiers sites britanniques.
• Expliquer les finalités en termes simples et nommer les tiers.
• Offrir un choix par finalité sans rien de précoché, et garder un moyen visible de changer de choix plus tard.
• Pour les cookies statistiques ou d’apparence utilisés sans consentement, le dire et fournir le moyen simple et gratuit de s’opposer qu’exige la loi.
• Conserver une trace du consentement pour satisfaire à l’obligation de responsabilité (accountability) du UK GDPR.

Contrôles et sanctions

L’ICO a mené un programme visible contre les bandeaux non conformes plutôt qu’une série de grosses amendes. En novembre 2023, il a écrit aux sites les plus visités du Royaume-Uni pour les avertir que des cookies publicitaires déposés avant tout choix, ou une option Refuser plus difficile à trouver qu’Accepter, entraîneraient des mesures. En décembre 2025, il a publié les résultats pour les 1 000 premiers sites : 979 ont passé ses contrôles, 415 sans intervention et 564 après un échange avec l’ICO, 17 avis préliminaires de mise en conformité ont été émis, et l’action se poursuit contre les 21 sites encore en infraction. L’ICO annonce qu’il continuera de tester périodiquement les 1 000 premiers sites.

C’est sur les amendes que la réforme de 2026 mord. Avant le 5 février 2026, l’amende maximale au titre du PECR était de 500 000 livres. L’annexe 13 du DUAA applique au PECR le régime de sanctions du Data Protection Act 2018 : les manquements à l’article 6 peuvent désormais être sanctionnés sur l’échelle du UK GDPR, jusqu’à 17,5 millions de livres ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Les injonctions (enforcement notices) et les pouvoirs d’audit et d’information de l’ICO s’appliquent aussi.

Comment Cookiequiet gère le droit britannique

Cookiequiet traite le Royaume-Uni comme un pays à consentement : le bandeau s’affiche pour les visiteurs britanniques quand le ciblage géographique est activé, rien de non essentiel ne s’exécute avant leur choix, et « Tout accepter » et « Tout refuser » ont le même poids. Les catégories correspondent aux finalités de l’ICO, le centre de préférences reste accessible depuis chaque page, et le registre des consentements enregistre chaque choix avec la version du bandeau, c’est-à-dire la preuve que l’ICO demande lors d’un audit. Google Consent Mode v2 est réglé sur refusé par défaut pour les visiteurs britanniques, afin que les balises Google Ads et Analytics respectent le choix. Si vous vous appuyez sur la nouvelle exception statistique pour un outil de mesure d’audience interne, gardez le moyen simple de s’opposer dans le centre de préférences ; la checklist d’audit des cookies détaille ce qu’il faut documenter. Les politiques générées par Cookiequiet sont des modèles rédigés pour le UK GDPR et le PECR, pas des conseils juridiques.