Nigel Farage et Reform UK ont annoncé cette semaine qu’ils aboliraient complètement le RGPD et le remplaceraient par une loi de protection des données à la néo-zélandaise. Pour les PME européennes opérant across borders, le vrai danger n’est pas politique—c’est l’effondrement de la décision d’adéquation de l’UE si le Royaume-Uni s’écarte trop.
Nigel Farage et Reform UK ont annoncé cette semaine qu’ils aboliraient complètement le RGPD britannique et le remplaceraient par une loi allégée modelée sur le cadre de la Nouvelle-Zélande. Le discours est populiste et rassurant : les petites entreprises ont été « étouffées » par la bureaucratie de l’UE, et un régime plus souple débloquera la croissance. Sur le plan politique, le message est net. Pour les PME européennes opérant transfrontalièrement—et c’est la majorité—c’est un champ de mines stratégique.
La Décision d’Adéquation Est Tout
Voici le mécanisme qui compte vraiment. Les données circulant de l’UE au Royaume-Uni aujourd’hui se déplacent librement grâce à une seule chose : la décision d’adéquation de l’UE. En décembre 2025, la Commission européenne a renouvelé cette décision pour six ans, jusqu’en 2031. L’adéquation signifie que les entreprises de l’UE peuvent transférer les données clients, dossiers RH et bases de données opérationnelles aux partenaires britanniques sans surcharge juridique supplémentaire—pas de clauses contractuelles type, pas d’évaluations d’impact de transfert, pas de friction.
Cette décision repose sur un constat : le cadre britannique de protection des données reste « essentiellement équivalent » au RGPD. Le Conseil européen de la protection des données (EDPB) le surveille en continu. Et voici la contrainte : si le Royaume-Uni s’écarte « matériellement », la décision d’adéquation peut être retirée.
Ce que propose Reform UK mettrait cette contrainte à l’épreuve. Un régime de style néo-zélandais n’est pas un ajustement subtil du RGPD britannique. La loi sur la vie privée de la Nouvelle-Zélande privilégie la flexibilité commerciale et ne comporte pas les mêmes exigences granulaires de consentement, protections contre la prise de décision automatisée et garanties de transfert transfrontalier que le RGPD exige. Si le Royaume-Uni se dirigeait dans cette direction, l’EDPB le signalerait probablement comme une divergence matérielle. La Commission pourrait alors lancer un examen—et potentiellement révoquer l’adéquation dans les 12 à 18 mois.
Ce Que Cela Signifie pour Votre Stack de Conformité
Le retrait de l’adéquation n’est pas un risque théorique ; c’est un multiplicateur de coûts. Imaginez une PME SaaS de 30 personnes à Berlin qui vend à des clients dans toute l’Europe et au Royaume-Uni. Aujourd’hui, ils maintiennent une seule politique de confidentialité, un seul cycle d’audit RGPD et un seul cadre de transfert de données. Si l’adéquation s’effondre, ils opèrent soudainement sous deux régimes séparés.
Pour toute donnée client résidant au Royaume-Uni, ils auraient maintenant besoin de clauses contractuelles type (CCT) plus une évaluation d’impact de transfert (EIT) pour chaque transfert. C’est un examen juridique supplémentaire, de la documentation et des mesures d’atténuation potentielles selon ce que le droit britannique fait de vos données en transit. Pour une entreprise de taille moyenne avec des centaines de relations clients, ce n’est pas cosmétique—c’est 15 000 à 40 000 € de travail juridique supplémentaire la première année.
Pire encore, vous ne savez toujours pas ce que la nouvelle loi britannique dit réellement. Reform UK n’a pas publié de législation détaillée ; ils ont annoncé une intention. Vous maintiendriez votre posture de conformité en suspens pendant 18 mois, attendant que Westminster adopte quelque chose, que l’EDPB l’évalue et que la Commission décide. Pendant cette période, vous n’êtes pas autorisé à supposer que l’adéquation est sûre. Votre équipe juridique, vos processeurs de données (votre fournisseur cloud, votre plateforme RH, votre fournisseur CRM) et votre calendrier de conformité se figent tous dans l’incertitude.
La complication s’approfondit pour les fournisseurs. Si vous vendez des logiciels aux PME européennes et traitez leurs données au Royaume-Uni, le retrait de l’adéquation affecte toute votre base clients. Vous devriez renégocier les accords de traitement des données, migrer l’infrastructure ou mettre en place des CCT dans des centaines de contrats. Un fournisseur avec lequel je travaille, soutenant plus de 200 clients de l’UE, a estimé que ce scénario coûterait plus de 80 000 € de rework, plus des mois d’examen juridique et de coordination client. Pour une startup autofinancée, c’est existentiel.
Le Politique vs. le Pratique
C’est ici que la thèse devient tranchante : Reform UK dit qu’il veut préserver l’adéquation UK-UE. C’est la tension centrale de leur proposition. Ils prétendent que vous pouvez avoir une régulation allégée ET rester équivalent au RGPD. Ce n’est vrai que si « allégé » signifie « simplifié et plus proportionné » et non « fondamentalement différent ». Le modèle néo-zélandais suggère ce dernier. Si l’EDPB le voit ainsi, la main du Royaume-Uni est forcée—vous ne pouvez pas rester dans le club si vous cessez de suivre les règles.
Même si l’adéquation survivait d’une manière ou d’une autre, il y a un risque secondaire : l’EDPB a déjà signalé des préoccupations concernant les règles d’accès du gouvernement britannique (Technical Capability Notices) et la restructuration de l’ICO. Ces points de scrutin sont actifs. Ajoutez une loi radicale sur la vie privée par-dessus, et le suivi de la Commission devient intensif. Vous opérez dans un cadre sous suspicion active.
Ce Qu’il Faut Faire Maintenant
Ce n’est pas un moment « attendez et voyez ». Les PME qui comptent sur les transferts de données britanniques devraient agir en parallèle :
- Auditez votre résidence de données britanniques : Cartographiez où les données clients et opérationnelles résident. Quel traitement se fait au Royaume-Uni par rapport à l’UE ? Pouviez-vous migrer vers une infrastructure de l’UE si forcé ?
- Examinez vos fournisseurs : Si votre fournisseur cloud, votre plateforme RH ou votre CRM traite les données au Royaume-Uni, demandez-leur maintenant leurs plans de continuité. Ont-ils des data centers de l’UE ? Peuvent-ils réacheminer les données si l’adéquation change ?
- Documentez votre logique de transfert : Si l’adéquation disparaît, vous aurez besoin de CCT. Préparez le travail juridique maintenant—évaluations d’impact de transfert, cartographie des risques et garanties appropriées. C’est moins cher de le faire progressivement qu’en mode crise.
- Suivez le cycle de monitoring de l’EDPB : La Commission est obligée de signaler les développements en matière de protection des données au Royaume-Uni. Le prochain examen formel est en 2029. Avant cela, surveillez les opinions de l’EDPB et les communiqués de presse de la Commission. Le langage de « divergence » ou « changement matériel » est votre indicateur avancé.
Pour les PME européennes naviguant déjà dans la conformité à la loi sur l’IA de l’UE, c’est un autre axe de fragmentation. Vous naviguez maintenant dans le RGPD + divergence britannique + règles de la loi sur l’IA. Les fournisseurs tirent dans trois directions. La lecture honnête : préparez votre infrastructure de conformité à fonctionner sous des cadres doubles, car même si la proposition de Farage meurt à Westminster, le fait qu’elle soit sur la table signale que l’adéquation britannique est maintenant un risque politique actif, pas une certitude.
0 Comments