Ouvrir l'espace

Guide · Réglementation britannique

UK GDPR et cookies au Royaume-Uni, sans jargon juridique

Après le Brexit, le Royaume-Uni a gardé ses propres règles de confidentialité et de cookies. En 2026, elles ont encore changé : des exceptions au consentement sont apparues, les amendes pour les cookies ont augmenté et le régulateur a changé de nom. Ce guide explique ce qui s'applique aujourd'hui à un site avec AdSense ou Ad Manager qui reçoit des visiteurs britanniques.

Auditer mon trafic du Royaume-UniLire le guide
  • ✓Basé sur la législation britannique et sur les orientations officielles du régulateur
  • ✓Exemples de sites avec publicités, y compris brésiliens
  • ✓Lecture sans modifier le site
17,5 M£plafond des amendes les plus graves du UK GDPR
4%du chiffre d'affaires mondial annuel, lorsque ce montant est supérieur au plafond fixe
5exceptions au consentement pour les cookies prévues dans les orientations officielles de 2026
72 hdélai pour prévenir le régulateur d'une fuite de données créant un risque pour les personnes

Définition

Trois règles qui fonctionnent ensemble

Quand le Royaume-Uni a quitté l'Union européenne, il a copié le GDPR européen dans sa propre législation. Cette copie, en vigueur depuis le 1er janvier 2021, s'appelle UK GDPR. Elle fonctionne avec la Data Protection Act 2018, la loi britannique qui complète et adapte le texte, et avec le PECR, le règlement de 2003 qui traite des cookies, du marketing par e-mail et des communications électroniques.

En pratique, le UK GDPR définit ce qu'est une donnée personnelle, quand elle peut être utilisée et quels droits les personnes ont. Le PECR répond à une question plus précise : quand un site peut-il enregistrer ou lire des informations sur l'appareil du visiteur. Les cookies, pixels, stockage local du navigateur, empreinte numérique de l'appareil et scripts de suivi entrent tous dans cette règle.

La loi s'applique aux entreprises établies au Royaume-Uni et aussi aux entreprises de l'extérieur qui proposent des produits ou services à des personnes dans le pays ou qui surveillent leur comportement. Un site brésilien qui utilise des cookies publicitaires pour créer des profils de visiteurs britanniques surveille un comportement, même sans bureau à Londres.

En 2025, la Data (Use and Access) Act 2025 a modifié les trois textes. La plupart des changements sont entrés en vigueur le 5 février 2026. Et, le 30 septembre 2026, le régulateur ICO a cédé la place à l'Information Commission, qui a repris les mêmes fonctions et pouvoirs.

Checklist

Ce que vous devez respecter

Voici les points que l'autorité britannique et Google exigent d'un site avec publicités qui reçoit des visiteurs du Royaume-Uni.

  1. Utilisez une CMP certifiée par Google

    Depuis le 16 janvier 2024, Google exige une CMP certifiée et intégrée à l'IAB TCF pour afficher des annonces personnalisées au Royaume-Uni. Sans elle, ce trafic ne peut recevoir que des annonces non personnalisées ou limitées.

    Exemple

    Dans Confidentialité et messages, créez le message sur les réglementations européennes, qui s'applique à l'EEE, au Royaume-Uni et à la Suisse.

  2. Demandez le consentement pour tous les cookies publicitaires

    Les orientations officielles indiquent que la publicité en ligne n'a jamais été exemptée de l'exigence de consentement. Les cookies et pixels publicitaires ne peuvent être enregistrés qu'après un consentement valide.

    Exemple

    Le pixel de remarketing ne se charge qu'après le clic sur Consentir.

  3. Rendez le refus aussi facile que l'acceptation

    L'autorité attend que refuser demande le même effort qu'accepter. Le silence ou l'absence de réponse ne valent pas consentement.

    Exemple

    Consentir et Ne pas consentir apparaissent ensemble sur le premier écran, avec la même taille.

  4. Commencez avec tout désactivé

    Les options pour les technologies qui dépendent du consentement doivent être désactivées par défaut. Seul le choix actif du visiteur peut les activer.

    Exemple

    Sur l'écran des préférences, les boutons de publicité et de mesure des annonces démarrent en position désactivée.

  5. Dites qui sont les tiers

    Pour que le consentement soit valable, le site doit indiquer l'identité des tiers qui reçoivent les données.

    Exemple

    Le bandeau a un lien vers la liste des partenaires, avec Google et chaque régie publicitaire du site.

  6. Permettez de retirer le consentement à tout moment

    La loi exige que le visiteur puisse retirer son consentement quand il le souhaite. La politique de Google demande aussi des instructions claires pour cela.

    Exemple

    Un lien fixe dans le pied de page, Préférences de confidentialité, rouvre le bandeau.

  7. Utilisez les exceptions seulement avec information et refus simple

    Les cookies de statistiques et d'apparence peuvent se passer de consentement, mais le site doit expliquer leur finalité et offrir un moyen simple et gratuit de les refuser. Ces exceptions ne couvrent pas la publicité.

    Exemple

    Sur la page des cookies : nous utilisons des cookies de statistiques pour améliorer le site, et vous pouvez les désactiver avec ce bouton.

  8. Vérifiez si vous devez payer la redevance à l'autorité

    Les organisations qui utilisent des données personnelles doivent payer la redevance de protection des données, sauf si elles en sont exemptées. Vérifiez sur le site de l'autorité si c'est votre cas.

En pratique

Ce qui est correct et ce qui ne l'est pas

Outils officiels

CMP certifiées et liens officiels

Pour des annonces personnalisées au Royaume-Uni, Google exige une CMP certifiée, et voici les pages officielles pour choisir et configurer.

Définitions

Les mots que l'on voit partout

Ce sont les mêmes concepts que dans le GDPR européen, avec quelques nouveaux noms apportés par la réforme de 2025.

Donnée personnelle

Toute information liée à une personne identifiée ou identifiable. Les identifiants en ligne, comme les cookies, les ID publicitaires et l'adresse IP, comptent normalement comme des données personnelles.

Responsable du traitement et sous-traitant

Le responsable du traitement décide pourquoi et comment les données sont utilisées, comme le propriétaire du site. Le sous-traitant traite les données en son nom, comme une société d'hébergement ou d'e-mail.

Technologies de stockage et d'accès

C'est le nom que le régulateur utilise désormais pour les cookies et tout ce qui joue le même rôle : pixels, web storage, fingerprinting et scripts qui lisent des données de l'appareil.

Consentement

Un choix libre, spécifique, éclairé et exprimé par une action claire, comme cliquer sur accepter. Le silence, les cases précochées ou le fait de continuer à naviguer ne valent pas consentement.

Bases légales et consentement

Quand il faut demander la permission

Le UK GDPR exige une base légale pour chaque utilisation de données personnelles. Les plus courantes sont le consentement, l'exécution d'un contrat, l'obligation légale et l'intérêt légitime. La réforme de 2025 a créé une liste d'intérêts légitimes reconnus, comme la prévention des délits et les situations d'urgence, qui dispensent du test de mise en balance. La publicité ne figure pas dans cette liste.

Pour les cookies, c'est le PECR qui commande. La règle générale reste la même : enregistrer ou lire quelque chose sur l'appareil du visiteur exige un consentement, sauf si l'usage entre dans une exception. Le standard de consentement est celui du UK GDPR, et le régulateur attend que refuser soit aussi facile qu'accepter.

Depuis le 5 février 2026, il existe cinq exceptions : transmission de la communication, service strictement nécessaire, statistiques pour améliorer le service lui-même, apparence ou fonctionnalité choisie par l'utilisateur et assistance d'urgence. Pour les exceptions statistiques et d'apparence, le site doit informer clairement et offrir un moyen simple et gratuit de refuser.

L'orientation officielle est directe : aucune des exceptions ne couvre la publicité en ligne. Les cookies et pixels d'annonces personnalisées, la mesure des annonces et le remarketing continuent de dépendre du consentement. En mai 2026, le régulateur a suggéré au gouvernement d'étudier une exception pour la publicité à faible risque, mais rien n'a changé dans la loi jusqu'à présent.

Droits des personnes

Ce que le visiteur peut demander à votre site

Toute personne au Royaume-Uni peut exercer ces droits. Le site doit avoir un canal pour recevoir les demandes et répondre dans le délai.

Savoir et accéder

Recevoir une information claire sur l'utilisation des données et une copie de ce que le site conserve à son sujet, en règle générale sous un mois.

Corriger et supprimer

Demander la correction de données erronées et leur suppression lorsqu'il n'y a plus de raison de les conserver, par exemple après le retrait du consentement.

S'opposer au marketing

Refuser l'utilisation des données pour le marketing direct à tout moment. Dans ce cas, l'opposition est absolue et le site doit s'arrêter.

Retirer son consentement

Changer d'avis sur les cookies aussi facilement qu'on a accepté. Un lien fixe pour rouvrir les préférences règle la question.

Décisions automatisées

Être informé, contester et demander un examen humain lorsqu'une décision importante est prise uniquement par un système.

Se plaindre auprès du responsable du traitement

Depuis le 19 juin 2026, celui qui traite des données doit avoir une procédure de réclamation et en accuser réception sous 30 jours.

Obligations

Ce que doit faire un site ayant des visiteurs britanniques

  1. Publier un avis de confidentialité completDites qui est responsable du site, quelles données il collecte, pourquoi, sur quelle base légale, avec qui il les partage, combien de temps il les conserve et comment la personne exerce ses droits. Citez les partenaires publicitaires et le transfert de données hors du pays.
  2. Afficher une bannière avec un vrai choixAvant tout cookie publicitaire ou de mesure des annonces, demandez le consentement. Accepter et refuser doivent avoir le même poids visuel et figurer sur le même écran.
  3. Bloquer ce qui dépend du consentementLes pixels, le remarketing et les annonces personnalisées ne peuvent se déclencher qu'après l'acceptation. Sans réponse, le site traite cela comme un refus.
  4. Utiliser les exceptions en toute transparenceSi vous utilisez des cookies de statistiques ou de préférences sans consentement, expliquez-le sur la page des cookies et donnez un moyen simple de les désactiver.
  5. Soigner la sécurité et les fuitesProtégez les données et prévenez le régulateur sous 72 heures lorsqu'une fuite peut présenter un risque pour les personnes. Si le risque est élevé, prévenez aussi les personnes concernées.
  6. Garder la maison en ordreAyez des contrats avec les fournisseurs qui traitent des données, réalisez une analyse d'impact pour les usages à haut risque et vérifiez si l'entreprise doit payer la redevance annuelle au régulateur.

Contrôle et amendes

Combien coûte une erreur

Le régulateur commence généralement par des avertissements et des ordres de correction, mais les amendes maximales sont élevées, et la réforme de 2025 a aussi renforcé les pouvoirs sur les cookies.

Plafond le plus élevé du UK GDPR

Jusqu'à 17,5 millions de livres ou 4 % du chiffre d'affaires mondial annuel, le montant le plus élevé étant retenu, pour les infractions les plus graves, comme le traitement de données sans base légale.

Plafond standard

Jusqu'à 8,7 millions de livres ou 2 % du chiffre d'affaires mondial annuel pour des manquements comme des registres incomplets ou une sécurité inadéquate.

Pouvoirs accrus sur les cookies

La réforme de 2025 a étendu les pouvoirs de contrôle et d'amende du régulateur sur le PECR. Les nouvelles règles s'appliquent aux comportements à partir du 5 février 2026.

Contrôle actif

En janvier 2025, le régulateur a annoncé la revue des bannières des mille sites les plus visités du pays. En avril 2026, il a indiqué que 99 % d'entre eux respectaient déjà les normes.

Chronologie

Comment les règles en sont arrivées là

Les dates qui comptent le plus pour ceux qui ont des visiteurs du Royaume-Uni.

  1. 2003

    Naissance du PECR

    Le règlement britannique sur les communications électroniques se met à traiter des cookies et du marketing électronique.

  2. 25 mai 2018

    GDPR et Data Protection Act 2018

    Le GDPR européen s'applique au Royaume-Uni, avec la nouvelle loi britannique de protection des données.

  3. 1er janvier 2021

    Début du UK GDPR

    Avec la fin de la transition du Brexit, le pays dispose de sa propre version du GDPR.

  4. 16 janvier 2024

    CMP certifiée pour les annonces Google

    Pour les annonces personnalisées au Royaume-Uni, AdSense et Ad Manager se mettent à exiger une CMP certifiée et intégrée à l'IAB TCF.

  5. 19 juin 2025

    Data (Use and Access) Act 2025

    La loi qui réforme le UK GDPR, la Data Protection Act et le PECR reçoit la sanction royale.

  6. 5 février 2026

    Nouvelles exceptions et plus de pouvoirs

    Les nouvelles exceptions pour les cookies, les intérêts légitimes reconnus et les nouveaux pouvoirs de contrôle du régulateur sur le PECR entrent en vigueur.

  7. 29 avril 2026

    Orientations finales sur les cookies

    Le régulateur publie la version finale des orientations sur les technologies de stockage et d'accès.

  8. 30 septembre 2026

    Information Commission

    L'ICO est remplacé par l'Information Commission, un organe collégial aux mêmes fonctions et pouvoirs.

Pour ceux qui ont AdSense ou Ad Manager

Ce qui change concrètement pour les revenus

Google traite le Royaume-Uni comme l'Espace économique européen. Pour afficher des annonces personnalisées aux visiteurs britanniques, le site a besoin d'une CMP certifiée par Google et intégrée à l'IAB TCF. Sans elle, ce trafic ne reçoit que des annonces non personnalisées ou limitées, qui rapportent généralement beaucoup moins.

La CMP enregistre le choix du visiteur dans une TC string et transmet les signaux Consent Mode aux balises Google. Si le site utilise aussi Google Analytics ou Google Ads, les quatre signaux du Consent Mode doivent refléter ce que la personne a choisi dans la bannière.

Pensez à un portail brésilien de recettes qui reçoit une petite part de visiteurs du Royaume-Uni, dont beaucoup de Brésiliens qui y vivent. Pour le public du Brésil, c'est la LGPD qui s'applique ; pour le public britannique, c'est le UK GDPR avec le PECR. La bonne configuration affiche le message du TCF uniquement à ceux qui sont au Royaume-Uni, dans l'EEE et en Suisse, sans gêner le public brésilien.

Le message de confidentialité d'AdSense et d'Ad Manager est certifié et couvre déjà le Royaume-Uni. Ceux qui utilisent une autre CMP doivent confirmer qu'elle figure dans la liste de Google et que le Royaume-Uni fait partie des régions configurées.

En pratique

Ce qui est permis et ce qui ne l'est pas au Royaume-Uni

Exemples courants sur des sites d'actualité, de recettes, de finance et d'offres d'emploi qui reçoivent des visiteurs britanniques.

Autorisé

  • Utiliser des cookies de statistiques pour améliorer le site lui-même sans consentement, à condition d'informer et d'offrir un moyen simple de refuser
  • Conserver la préférence de langue ou de thème sombre du visiteur sur la base de l'exception d'apparence
  • Afficher le message du TCF uniquement aux visiteurs du Royaume-Uni, de l'EEE et de la Suisse
  • Afficher des publicités non personnalisées à ceux qui ont refusé
  • Utiliser le Message de confidentialité d'AdSense ou d'Ad Manager, qui est déjà certifié

Interdit

  • Charger des pixels de remarketing ou des cookies publicitaires avant le clic sur accepter
  • Faire entrer la mesure des annonces dans l'exception statistique
  • Mettre seulement le bouton accepter sur le premier écran et cacher le refus dans un menu
  • Utiliser un plugin de cookies ordinaire, hors de la liste de Google, pour le trafic britannique
  • Considérer que continuer à naviguer vaut consentement

Erreurs courantes

Où les sites trébuchent le plus

Ce sont des défaillances qui reviennent souvent dans les audits de sites avec du trafic du Royaume-Uni.

Croire que le Brexit a fait sortir le Royaume-Uni de la règle

Beaucoup configurent la CMP uniquement pour l'Union européenne. Le visiteur britannique se retrouve sans message et Google se met à diffuser des annonces limitées.

Lire la réforme de 2025 comme une libération générale

Les nouvelles exceptions concernent les statistiques, les préférences et l'urgence. Les annonces ont toujours besoin d'un consentement.

Bannière purement décorative

La bannière s'affiche, mais les cookies publicitaires ont déjà été enregistrés avant la réponse. Pour le régulateur, cela revient à ne pas demander de consentement.

Refus plus difficile que l'acceptation

Accepter en un clic et refuser en cinq est le type de conception que le régulateur reproche aux grands sites.

Politique de confidentialité générique

Texte copié d'un autre site, sans citer Google, les partenaires publicitaires, les transferts internationaux ni le canal pour les demandes.

Exception sans option de refus

Utiliser des cookies de statistiques ou d'apparence sans consentement et ne pas offrir de moyen simple de les désactiver rompt la condition de l'exception elle-même.

Dans ConsentMode

Ce que l'audit vérifie pour le Royaume-Uni

  • Ouvre le site comme un visiteur du Royaume-Uni et d'ailleurs et enregistre où la bannière apparaît et quels boutons elle propose.
  • Identifie la CMP grâce au code de la page et indique si elle figure dans la liste des CMP certifiées de Google.
  • Lit la TC string et les signaux Consent Mode et les compare avec ce que le visiteur a choisi.
  • Liste les cookies et les requêtes réseau avant et après l'acceptation et signale ce qui se déclenche trop tôt.
  • Vérifie si la page de confidentialité cite les partenaires publicitaires, les bases légales, les droits et un canal de contact.
Lancer un auditVoir tout ce qui est vérifié

Questions fréquentes

Mon site est brésilien et n'a pas d'entreprise au Royaume-Uni. La loi s'applique-t-elle à moi ?

Elle s'applique aux visiteurs qui se trouvent au Royaume-Uni lorsque le site surveille leur comportement, comme c'est le cas avec les cookies d'annonces personnalisées. Et, même sans regarder la loi, Google exige une CMP certifiée pour afficher des annonces personnalisées à ce public.

Les cookies de Google Analytics ont-ils encore besoin d'un consentement ?

Cela dépend de l'usage. L'exception statistique s'applique lorsque les données servent uniquement à mesurer et améliorer le site lui-même, avec un avis clair et une option simple de refus. Si l'outil utilise les données pour des annonces ou pour les besoins du fournisseur, l'exception ne s'applique pas.

L'ICO n'existe plus ? Qui contrôle maintenant ?

Depuis le 30 septembre 2026, les fonctions de l'ICO ont été transférées à l'Information Commission. Le rôle et les pouvoirs du régulateur n'ont pas changé et le travail quotidien continue ; ce qui change, c'est le modèle de direction, désormais collégial.

La réforme de 2025 a-t-elle rendu le Royaume-Uni plus souple que l'Union européenne ?

Sur certains points, oui, comme les nouvelles exceptions pour les statistiques et les préférences. Pour les annonces personnalisées, le résultat pratique est le même : consentement avant d'enregistrer ou de lire quoi que ce soit sur l'appareil.

Puis-je utiliser une CMP pour le Royaume-Uni et une autre pour l'Europe ?

Vous pouvez, mais cela vaut rarement la peine. La plupart des CMP certifiées couvrent l'EEE, le Royaume-Uni et la Suisse avec la même configuration, par région.

Que se passe-t-il pour les revenus si le visiteur refuse ?

Google peut toujours afficher des annonces non personnalisées ou limitées à cette personne. Le revenu par visite est généralement plus faible, mais le site continue de se monétiser sans enfreindre la règle.

Bibliothèque

Sources officielles

Ce guide a été rédigé à partir de ces pages officielles. Lisez directement à la source :

Voyez comment votre site apparaît à un visiteur britannique

L'audit ouvre le site depuis le Royaume-Uni, enregistre la bannière et les cookies et montre ce qu'il faut corriger, sans rien modifier.

Lancer l'audit