Le parti Reform UK de Nigel Farage a dévoilé des projets visant à supprimer le régime de protection des données du Royaume-Uni, arguant que le Règlement général sur la protection des données a « étouffé les petites entreprises et les entreprises technologiques. » La proposition, dévoilée mardi soir dans le cadre d'un ensemble de politiques plus large, remplacerait la version britannique du GDPR par ce que le parti décrit comme une loi sur la vie privée « à fiscalité légère » inspirée de l'approche néo-zélandaise en matière de protection des données.

Cet engagement s'ajoute à d'autres mesures du programme de Reform UK, notamment un dispositif élargi de capital-risque offrant des allègements fiscaux aux investisseurs. Ensemble, ces propositions présentent la réforme de la protection des données comme faisant partie d'un effort plus vaste visant à réduire les charges réglementaires pesant sur les entreprises britanniques, en particulier les petites entreprises et les start-ups technologiques que Reform UK affirme avoir été pénalisées par les règles actuelles.

Pourquoi le GDPR est devenu une cible

Le GDPR, introduit pour la première fois dans l'UE en 2018 et transposé dans le droit britannique après le Brexit, impose des règles strictes sur la manière dont les organisations collectent, stockent et traitent les données personnelles. Il exige des entreprises qu'elles justifient pourquoi elles collectent des informations, donne aux individus le droit d'accéder à leurs données ou de les supprimer, et impose des amendes importantes en cas de violation. Ses partisans lui attribuent le mérite d'avoir donné aux citoyens ordinaires un contrôle significatif sur leur empreinte numérique pour la première fois.

Les critiques, y compris Reform UK, soutiennent que ces règles imposent des coûts de conformité disproportionnés aux petites organisations qui ne disposent pas des ressources juridiques et techniques des grandes entreprises technologiques. Cette tension entre protection des consommateurs et flexibilité des entreprises n'est pas nouvelle, mais la proposition de Farage constitue l'un des défis politiques les plus directs jamais lancés au cadre de protection des données post-Brexit du Royaume-Uni.

La loi sur la protection de la vie privée de la Nouvelle-Zélande, le modèle auquel Reform UK fait référence, adopte une approche davantage fondée sur des principes que le GDPR. Elle repose moins sur des règles prescriptives et davantage sur des obligations générales pour les organisations de traiter les informations de manière responsable, avec une application confiée à un Commissaire à la protection de la vie privée plutôt qu'aux amendes à grande échelle associées à l'application du GDPR en Europe.

Ce que la suppression du GDPR pourrait signifier pour la vie privée

Toute démarche visant à démanteler le GDPR britannique soulèverait immédiatement des questions sur les protections qui le remplaceraient. Le GDPR sous-tend actuellement des droits auxquels de nombreux résidents britanniques ne pensent peut-être pas jusqu'à ce qu'ils en aient besoin : le droit de savoir quelles données une entreprise détient sur vous, le droit de demander leur suppression, et le droit d'être informé lorsque vos données sont impliquées dans une violation de données. Un modèle réglementaire plus léger pourrait réduire les frictions de conformité pour les entreprises, mais il pourrait aussi restreindre les outils juridiques sur lesquels les individus comptent pour contester l'utilisation abusive de leurs informations personnelles.

Il y a aussi une dimension pratique pour les entreprises britanniques qui opèrent à l'international. Le GDPR de l'UE s'applique toujours à toute entreprise britannique traitant les données personnelles de résidents de l'UE, indépendamment du droit national britannique. Une divergence significative entre les normes de confidentialité britanniques et européennes pourrait compliquer les transferts de données et obliger les entreprises à maintenir deux systèmes de conformité séparés, l'un pour les clients britanniques et l'autre pour les clients de l'UE.

Ce débat se déroule alors que les décideurs politiques européens continuent de se débattre avec leurs propres propositions controversées en matière de vie privée. La discussion en cours autour de la législation Chat Control dans l'UE illustre combien il est difficile d'équilibrer les objectifs répressifs et les droits individuels à la vie privée, une tension que tout cadre de remplacement britannique devrait également naviguer.

Ce que cela signifie pour vous

La proposition de Reform UK est actuellement un engagement politique, pas une loi promulguée, et toute modification du cadre de protection des données du Royaume-Uni nécessiterait une législation et un débat parlementaire. Néanmoins, cette annonce est un signal que les règles de protection des données sont de retour à l'ordre du jour politique en Grande-Bretagne, et il vaut la peine de surveiller comment la conversation évolue.

Pour l'instant, les droits des résidents britanniques au titre du GDPR restent inchangés. Les organisations doivent toujours justifier leurs pratiques de collecte de données, répondre aux demandes d'accès et signaler les violations importantes. Si une loi de remplacement comme celle que décrit Reform UK était finalement adoptée, elle pourrait modifier le degré de contrôle que les individus ont sur leurs informations personnelles et la rigueur avec laquelle les entreprises sont tenues de rendre compte en cas de mauvaise gestion.

Quelle que soit l'issue du débat politique, les personnes préoccupées par l'exposition de leurs données personnelles n'ont pas besoin d'attendre une législation pour prendre des mesures de protection de base. Être sélectif quant aux applications et services auxquels on confie des informations personnelles, examiner régulièrement les paramètres de confidentialité et comprendre ce que la politique de confidentialité d'une entreprise promet réellement sont des habitudes qui restent utiles sous n'importe quel cadre réglementaire.

Points clés à retenir

  • Reform UK s'est engagé à supprimer le GDPR britannique au profit d'une loi « à fiscalité légère » inspirée de la loi néo-zélandaise sur la protection de la vie privée, dans le cadre d'un ensemble de politiques plus large axé sur les entreprises.
  • La proposition n'est pas encore une loi et nécessiterait une action parlementaire pour prendre effet.
  • Toute dérogation du Royaume-Uni aux normes du GDPR ne supprimerait pas les obligations des entreprises britanniques traitant les données des résidents de l'UE, car le GDPR européen s'appliquerait toujours séparément.
  • Les lecteurs devraient continuer à surveiller l'évolution de cette politique, car elle pourrait éventuellement affecter les droits d'accès aux données, les règles de notification des violations et les recours des consommateurs au Royaume-Uni.
  • En attendant, pratiquer une bonne hygiène des données personnelles, limiter le partage inutile de données et examiner les autorisations des applications reste une stratégie judicieuse, quel que soit le cadre réglementaire en place.