Droit de réclamation au titre du RGPD britannique : changements au 19 juin 2026 et ce que les organisations doivent faire

À compter du 19 juin 2026, la section 103 du Data (Use and Access) Act 2025 accorde aux individus un nouveau droit statutaire de soulever des réclamations en matière de protection des données directement auprès des organisations qui traitent leurs données personnelles. Ce droit est introduit par l'insertion de la section 164A dans le Data Protection Act 2018. Auparavant, la voie de réclamation statutaire établie était celle de l'Information Commissioner's Office (ICO) en vertu de l'article 77 du RGPD britannique, et les organisations n'avaient aucune obligation statutaire de mettre en place une procédure formelle de traitement des réclamations. Le DUAA 2025 supprime l'article 77 en tant que droit individuel direct ; les individus doivent désormais adresser leurs réclamations à l'organisation en premier lieu. L'ICO conserve un pouvoir discrétionnaire d'intervenir directement dans des circonstances exceptionnelles, mais la garantie antérieure d'un examen par l'ICO sans démarche préalable auprès de l'organisation ne s'applique plus. Les organisations ne disposant pas de procédures définies de traitement des réclamations d'ici le 19 juin seront en infraction dès l'arrivée de la première réclamation.

Ce qu'exige le droit de réclamation

Les individus peuvent soumettre une réclamation en matière de protection des données directement à toute organisation agissant en tant que responsable du traitement de leurs données personnelles. Les organisations doivent fournir au moins un moyen accessible permettant aux individus de le faire, accuser réception dans un délai de 30 jours, enquêter sans délai excessif, tenir le plaignant informé de l'avancement et l'informer du résultat. Si la réponse de l'organisation ne satisfait pas l'individu, celui-ci peut contacter l'ICO britannique, qui conserve un pouvoir discrétionnaire d'enquêter. Il n'existe aucun délai statutaire pour que l'individu le fasse. Le droit de réclamation direct ne remplace pas le rôle de supervision de l'ICO britannique ; il fait de l'organisation le premier point de contact obligatoire.

Une organisation qui accuse réception d'une réclamation puis reste silencieuse n'a pas rempli son obligation, même si elle finit par résoudre le problème.

Ce qui change à compter du 19 juin 2026

Avant le 19 juin 2026, les individus avaient le droit de se plaindre auprès de l'ICO en vertu de l'article 77 du RGPD britannique, mais aucun droit statutaire d'exiger que les organisations traitent les réclamations directement. Le DUAA 2025 supprime l'article 77 en tant que droit individuel direct et le remplace par le nouveau cadre de la s.164A. De nombreuses organisations traitaient les demandes liées aux données de manière informelle, sans obligation légale d'accuser réception, d'enquêter ou de rendre compte du résultat. À compter du 19 juin, cette obligation devient statutaire et l'organisation devient le premier point de contact obligatoire.

Le volume de réclamations traitées en interne devrait augmenter. Les individus qui déposaient auparavant leur réclamation auprès de l'ICO, ou qui ne se plaignaient pas du tout parce que la voie de l'ICO semblait contraignante, disposent désormais d'un chemin à moindre friction. L'ICO s'attendra également à voir des preuves du traitement des réclamations par l'organisation lors de l'examen de toute escalade. Une organisation incapable de démontrer qu'elle a reçu la réclamation, enquêté dessus et communiqué tout au long du processus fera face à une conversation plus difficile avec le régulateur.

Ce que les organisations doivent faire avant le 19 juin

La loi exige au moins un moyen accessible permettant aux individus de soumettre des réclamations. Une adresse e-mail dédiée ou un formulaire sur la page d'avis de confidentialité répond à cette norme ; un lien de contact générique enfoui dans le pied de page ne le fait pas. Les lignes directrices de l'ICO précisent également que les réclamations soumises via tout canal, y compris un contact informel ou les réseaux sociaux, doivent être acceptées et traitées, pas seulement celles arrivant via le formulaire désigné. Avant qu'une réclamation n'arrive, désignez un responsable nommé pour ce canal. Sans cela, les réclamations arrivant par e-mail, formulaire web ou boîte de réception des droits des personnes concernées risquent de ne parvenir à personne ayant l'autorité d'enquêter. Pour les organisations disposant d'un DPO, celui-ci est le responsable naturel. Les organisations plus petites doivent identifier qui traite les demandes de protection des données et confirmer que cette personne a accès aux systèmes nécessaires pour enquêter.

L'enquête ne peut pas être menée de manière ad hoc. Les équipes doivent savoir quels registres consulter, qui a l'autorité de prendre des décisions, et quel est le calendrier attendu. Pour les réclamations liées au consentement, cela signifie être capable de récupérer l'enregistrement de consentement d'un utilisateur spécifique : ce qui lui a été montré, quand, quel choix il a fait, et si le traitement ultérieur correspondait à ce choix. Les utilisateurs d'UniConsent peuvent récupérer cela directement depuis le tableau de bord, filtré par plage de dates ou domaine, avec la version de la bannière, le choix explicite de l'utilisateur et le résultat de la suppression des balises, tous liés à un horodatage. Pour les réclamations liées au consentement, cela transforme ce qui serait autrement une enquête ouverte en une simple recherche directe. L'accusé de réception doit intervenir dans un délai de 30 jours suivant la réception ; l'enquête et la réponse sur le fond doivent suivre sans délai excessif. Fixer des objectifs internes maintenant l'ensemble du processus dans un délai d'un mois est cohérent avec les lignes directrices de l'ICO sur les délais relatifs aux droits des personnes concernées.

Si une enquête prend du temps, le plaignant a besoin d'une mise à jour de l'avancement avant la réponse finale. Un accusé de réception suivi de silence ne satisfait pas à l'obligation, même si le problème est finalement résolu. Une brève mise à jour vers deux semaines évite que la réclamation ne tombe dans le silence et réduit le risque d'une escalade prématurée vers l'ICO.

Documentez chaque étape : la réclamation initiale, l'accusé de réception, les actions d'enquête et la réponse. Ce registre constitue la preuve de l'organisation si l'ICO examine le traitement lors d'une escalade. Mettez également à jour votre avis de confidentialité. La plupart des avis ne décrivent que la voie de réclamation auprès de l'ICO ; à compter du 19 juin, l'avis doit également expliquer comment soumettre une réclamation directement à l'organisation, le délai de réponse attendu et le droit d'escalader vers l'ICO en cas d'insatisfaction.

Registres de consentement et enquête sur les réclamations

De nombreuses réclamations en matière de protection des données concernent le consentement : que l'organisation l'ait correctement recueilli, qu'elle ait respecté son retrait, ou qu'elle ait traité les données d'une manière que l'individu n'attendait pas. Pour ces réclamations, l'enquête dépend entièrement de la qualité des registres de consentement conservés.

Lorsqu'une réclamation arrive affirmant que le suivi s'est poursuivi après que l'individu a refusé les cookies, la question est factuelle : le journal de consentement montre-t-il un refus pour cet utilisateur, et l'enregistrement de suppression des balises confirme-t-il que le suivi s'est arrêté ? Sans registres détaillés, l'organisation ne peut pas répondre avec précision, et une réponse fondée sur des suppositions a peu de chances de clore la réclamation au niveau de l'organisation.

La piste d'audit de consentement du CMP UniConsent vous permet de relier les journaux de consentement à des identifiants utilisateurs authentifiés et stocke les registres de consentement au niveau de la session individuelle, y compris la version de la bannière affichée, le choix explicite de l'utilisateur, la présence et le respect éventuels d'un signal Global Privacy Control, et le comportement des balises qui a suivi. Si un utilisateur britannique soumet une réclamation affirmant que ses données ont été traitées sans consentement valide, le tableau de bord UniConsent fournit l'enregistrement précis nécessaire pour enquêter sur cette affirmation. Pour les organisations qui traitent également des données au titre du RGPD pour des utilisateurs de l'UE, les mêmes registres soutiennent les enquêtes sur les réclamations au titre des deux cadres.

À propos d'UniConsent

UniConsent est un partenaire certifié Google CMP niveau Gold, un CMP IAB TCF certifié pour l'UE et le Canada, et un CMP UET Microsoft certifié. Dans le cadre de la plateforme d'expérience utilisateur axée sur la confidentialité de Transfon, UniConsent sert des dizaines de millions d'utilisateurs par jour, offrant une expérience de confidentialité fluide tant pour les utilisateurs que pour les éditeurs. Contactez-nous pour en savoir plus : hello@uniconsent.com