Conformité au RGPD britannique et au PECR
Le Royaume-Uni applique sa propre version du RGPD, proche de l’original européen. Pour un site web, le texte qui pèse le plus est le PECR (Privacy and Electronic Communications Regulations) : c’est lui qui exige réellement un consentement avant tout stockage ou toute lecture sur l’appareil d’un visiteur. Le RGPD britannique fixe ensuite les exigences auxquelles ce consentement doit répondre.
- Royaume-Uni, depuis janvier 2021
- Le PECR régit les cookies
- Sous le contrôle de l’ICO
À partir de 10 € par mois. Sans carte bancaire, sans facturation par visiteur.
Ce qu’exigent les deux textes
Le PECR détermine quand un consentement est nécessaire. Le RGPD britannique détermine ce qui vaut consentement.
- Un consentement avant toute écriture ou lecture sur un appareil
- Une exemption réservée au strict nécessaire
- Un consentement au sens du RGPD britannique, donc libre et spécifique
- Une information claire sur le rôle de chaque cookie
- Un retrait aussi simple que l’accord initial
Cette page explique ce qu’exige la loi et ce que fait notre logiciel pour y répondre. Elle ne constitue pas un conseil juridique et ne peut pas vous dire si votre organisation est en conformité, car cela dépend de tout ce que vous traitez par ailleurs.
Ce que fait Consent Studio
Demander d’abord, libérer ensuite
Le PECR porte sur le stockage et l’accès plutôt que sur les données personnelles, si bien qu’il couvre aussi les cookies qui n’identifient personne. Le consentement préalable est la seule configuration qui y satisfait : une balise que vous ajoutez dans le gestionnaire de balises attend la réponse par défaut, et un script tiers déjà présent dans votre code HTML est retenu dès que vous le marquez, puis libéré quand sa catégorie est accordée.
- Consentement préalable par défaut
- Stockage et accès
Répond par défaut aux exigences du consentement
Dans les réglages par défaut que nous livrons, refuser est aussi simple qu’accepter. L’ICO a publié des recommandations précisément sur cette asymétrie, et c’est le constat le plus souvent relevé à l’encontre des sites britanniques.
- Poids égal
- Un clic dans les deux cas
- Retrait possible
Tient un registre des consentements
Les choix sont conservés avec un horodatage, rattachés au texte affiché. Le RGPD britannique comporte le même principe de responsabilité que la version européenne : pouvoir démontrer le consentement fait donc partie de l’obligation, et non des bonnes pratiques.
- Horodaté
- Texte versionné
- Exportable
Là où les sites britanniques se trompent
L’intérêt légitime est invoqué pour les cookies
C’est une base légale valable au regard du RGPD britannique, mais elle ne permet pas de satisfaire à l’exigence de consentement du PECR. Stocker quelque chose sur un appareil exige un consentement, quelle que soit votre base légale pour le traitement qui suit, et c’est l’erreur que commettent les équipes qui ne lisent qu’un seul des deux textes.
La mesure d’audience passe pour strictement nécessaire
L’exemption couvre ce qui est indispensable pour fournir le service demandé par le visiteur, et mesurer la façon dont il l’utilise n’en fait pas partie. L’ICO a été explicite sur ce point, et la mesure d’audience est la catégorie le plus souvent rangée à tort dans l’exemption.
La bannière européenne est présumée suffisante
Elle n’en est généralement pas loin, car les exigences sont quasiment identiques. Ce qui change, c’est le texte auquel vous vous conformez, et cela compte dès qu’on vous demande de justifier un cookie précis et que la réponse doit citer le PECR plutôt qu’une base légale.
Essential
10 €/par mois
Pour un site unique qui doit être conforme, et le rester.
- Pages et affichages illimités
- 200 000 actions de consentement par mois
- La stack complète, pas une version allégée
Professional
36 €/par mois
Pour les équipes en croissance pilotées par la donnée, et les agences qui les accompagnent.
Essayer Professional gratuitementEnterprise
Dès 250 €/par mois
Pour un volume, ou une obligation, hors de portée d’un forfait standard.
Découvrir EnterpriseAgences et revendeurs
Achetez au tarif partenaire et refacturez chaque site client au prix que vous fixez.
Découvrir le programme partenairesSecteur public
Administrations, santé et éducation s’appuient sur Enterprise.
Voir Enterprise
Déployé là où s’appliquent des règles comme celles-ci, dans plus d’un pays
D’autres règles susceptibles de s’appliquer à vous
Questions fréquentes sur le Royaume-Uni
Le RGPD britannique diffère-t-il du RGPD de l’UE ?
Pas sur le fond, pour la plupart des usages d’un site web. C’est le règlement européen maintenu en droit britannique et modifié pour l’adapter au droit interne, dont l’application relève de l’ICO plutôt que d’une autorité de l’UE. La différence pratique, pour les cookies, c’est que le PECR s’y ajoute et que c’est lui qui exige le consentement.
Faut-il un consentement pour les cookies de mesure d’audience au Royaume-Uni ?
Oui. Le PECR exige un consentement pour tout ce qui n’est pas strictement nécessaire à la fourniture du service demandé, et l’ICO a clairement indiqué que la mesure d’audience ne relève pas de cette exemption. Qu’elle soit first-party ou agrégée n’y change rien.
Puis-je invoquer l’intérêt légitime plutôt que le consentement ?
Non, pas pour stocker des informations sur un appareil ou y accéder. L’intérêt légitime est une base légale du traitement au sens du RGPD britannique, et le PECR impose une exigence de consentement distincte, qu’aucune base légale ne suffit à remplir. C’est l’erreur d’interprétation la plus courante du régime britannique.
Faut-il une bannière distincte pour les visiteurs britanniques et européens ?
Non. Les exigences sont assez proches pour qu’une seule configuration réponde correctement aux deux, et nos valeurs par défaut suivent la région du visiteur là où les deux régimes divergent. Ce qu’il ne faut pas faire, c’est supposer qu’il en va de même pour les États-Unis, où le modèle est l’opt-out plutôt que l’opt-in.
Consent Studio nous rend-il conformes ?
Aucun outil ne le peut à lui seul, et tout fournisseur qui prétend le contraire cherche à vous vendre quelque chose. Consent Studio assure la part qui revient à une plateforme de consentement : demander comme il se doit, faire respecter la réponse par chaque balise, conserver la preuve et vous prévenir quand le site change. Ce que vous traitez ailleurs reste de votre ressort.
Où nos données de consentement sont-elles stockées ?
À Amsterdam, sur une infrastructure détenue et exploitée par Scaleway, une entreprise française. Ici, la propriété compte davantage que l’emplacement : Scaleway est une entreprise française indépendante, et non la filiale européenne d’un groupe américain, si bien que ni Scaleway ni nous ne relevons du CLOUD Act américain. Consent Studio est lui-même conçu aux Pays-Bas, à capitaux néerlandais.
Lancez-vous avec The Full Consent Stack
Tout ce dont vous avez besoin, en une seule offre. Consent Studio traite et stocke les données de consentement des visiteurs de l’UE sur l’infrastructure d’entreprises européennes, au sein de l’UE (Scaleway, France ; Bunny, Slovénie). C’est vous qui décidez, dans Launcher, quelles balises envoient ensuite des données, et vers où.
Lire la documentation
Notre centre d’aide détaille pas à pas chaque intégration, extension et modèle, captures d’écran à l’appui. Il est rédigé et tenu à jour par l’équipe qui développe Consent Studio.