Le 28 janvier est la Journée mondiale de la protection des données – l’occasion de célébrer le droit à la confidentialité et à la protection des données que beaucoup d’entre nous tiennent aujourd’hui pour acquis. Il n’en a pas toujours été ainsi, bien sûr. Ce n’est qu’à cette date, en 1981, que le Conseil de l’Europe a finalement signé la Convention européenne des droits de l’homme. Convention 108« pour la protection des personnes physiques à l’égard du traitement automatisé des données à caractère personnel ».

Bien que son évolution puisse parfois être lente, le droit de la protection des données est rarement statique. Cette année, les responsables de la conformité auront fort à faire avec l'entrée en vigueur de diverses dispositions de la loi britannique sur les données (utilisation et accès) (DUAA). Ils pourraient envisager de se référer à la norme ISO 27701 pour optimiser leurs démarches.

Pourquoi la confidentialité est importante

Sécurité et confidentialité sont indissociables. Sans les protections offertes par les personnes, les processus et les technologies, aucune organisation ne pourrait respecter ses obligations en matière de protection de la vie privée de ses clients et de ses employés. Ceci est particulièrement important pour les entreprises britanniques dans le contexte du RGPD, qui autorise les autorités de régulation à infliger des amendes potentiellement très élevées (jusqu'à 17 millions de livres sterling ou 4 % du chiffre d'affaires mondial) en cas de non-conformité grave. Mais il existe d'autres raisons commerciales impérieuses pour lesquelles la protection de la vie privée devrait être une priorité stratégique :

  • Éviter les coûts opérationnels liés aux violations graves. Ceux-ci peuvent inclure les dépenses supplémentaires nécessaires pour payer les heures supplémentaires du service informatique, les experts en criminalistique numérique externes, les équipes juridiques, et pour informer les clients et les organismes de réglementation.
  • Éviter les recours collectifs potentiellement coûteux à la suite d'une importante violation de données
  • Renforcer la confiance et la fidélité des clients. Une violation majeure de données peut gravement nuire à la réputation à long terme. À l'inverse, les organisations qui privilégient la confidentialité et la transparence des données de leurs clients ont une excellente opportunité de nouer des relations plus étroites avec eux.
  • Développer un avantage concurrentiel et favoriser l'expansion grâce à l'adoption de normes de confidentialité optimales telles que la norme ISO 27701, ce qui peut contribuer à rassurer les organismes de réglementation, les partenaires et les clients sur les nouveaux marchés, et à simplifier la conformité réglementaire.

Quelles sont les nouveautés concernant la DUAA en 2026 ?

Selon l'étude de l'IO (anciennement ISMS.online), Le rapport sur l’état de la sécurité de l’information 2025Entre 2024 et 2025, la part des entreprises américaines et britanniques exigeant de leurs fournisseurs qu'ils soient conformes au RGPD a bondi de 9 % à 34 %. Cela illustre à la fois les motivations commerciales qui sous-tendent cette conformité et le fait qu'il reste encore beaucoup à faire avant que la réglementation ne soit pleinement adoptée par le monde des affaires.

La nouvelle DUAA a été en partie conçue en réponse aux inquiétudes selon lesquelles la conformité au RGPD impliquait trop de bureaucratie pour les entreprises. une étude affirme Moins de 2 % des organisations sont prêtes pour la nouvelle loi. Nombre d'entre elles (47 %) citent la mise à jour de la gouvernance, de la formation et de la gestion des fournisseurs comme leurs principaux défis. Cela devra changer. Parmi les modifications attendues de la loi sur la protection de la vie privée cette année, on peut citer :

  • Des règles plus permissives en matière de prise de décision automatisée (PDA). Celles-ci permettront aux organisations de s'appuyer sur un plus large éventail de fondements juridiques pour prendre des décisions concernant des personnes, à condition que des garanties soient mises en place.
  • Des lois assouplies qui élargiront les circonstances dans lesquelles les cookies à faible risque pourront être utilisés sans consentement explicite.
  • Introduction de la notion d’« intérêts légitimes reconnus » – une nouvelle base juridique pour le traitement des données à des fins d’intérêt public (par exemple, la prévention de la criminalité).
  • Nouvelles exigences en matière de traitement des plaintes des personnes concernées, notamment le recours à des formulaires de plainte électroniques et à un accusé de réception des plaintes dans un délai de 30 jours.
  • Augmentation des amendes potentielles en vertu du Règlement sur la protection de la vie privée et les communications électroniques (régissant les cookies) afin de s'aligner sur le RGPD (17.5 millions de livres sterling ou 4 % du chiffre d'affaires).
  • Une nouvelle obligation de respecter le code de conduite relatif aux enfants de l'ICO si les services en ligne sont susceptibles d'être utilisés par des enfants

Tout cela nécessitera une mise à jour des procédures de traitement des réclamations et une évaluation des obligations en matière de protection de la vie privée des enfants. Compte tenu des amendes potentiellement élevées, les organisations dont les pratiques en matière de cookies et de marketing électronique ne sont pas conformes devraient également accorder la priorité à la mise en conformité avec la directive ePrivacy.

Edward Machin, avocat au sein du groupe données, confidentialité et cybersécurité du cabinet Ropes & Gray, partage les deux dates suivantes à retenir pour 2026 :

Janvier 2026 (environ six mois après la sanction royale)Les principales modifications apportées à la législation sur la protection des données, énoncées dans la partie 5 de la DUAA, entrent en vigueur, à l'exception des modifications apportées à la procédure de réclamation des personnes concernées.

À confirmer pour 2026Les dispositions qui dépendent d'une infrastructure technique ou qui nécessitent un délai de préparation plus long entreront en vigueur, y compris les mesures qui reposent sur de nouvelles technologies (par exemple, certains registres ou services) et la procédure de réclamation des personnes concernées.

« Les organisations devraient répartir leurs préparatifs en matière de DUAA entre les dispositions qui les obligent à prendre des mesures spécifiques, comme la mise en œuvre d'une procédure de traitement des plaintes des personnes concernées, et celles qui permettent une plus grande flexibilité par rapport aux pratiques actuelles, comme les règles relatives aux demandes d'accès aux données, à la prise de décision automatisée et aux cookies », explique-t-il à IO.

« Quoi qu’il en soit, la DUAA exigera dans la plupart des cas une évolution des programmes de conformité des organisations plutôt que des changements radicaux. Mais les organisations devraient notamment prévoir un plan pour répondre aux exigences de la partie 5 afin d’éviter qu’elles ne soient négligées lors des changements de dernière minute. »

La norme ISO 27701 atteint sa pleine maturité

Pour les équipes de conformité qui se demandent déjà comment elles vont faire face à un nouveau déluge réglementaire cette année, il y a de bonnes nouvelles. La norme ISO 27701 est désormais une norme distincte.Il ne s'agit pas d'une extension de la norme ISO 27001. Cela signifie que les organisations disposent d'un moyen moins coûteux, plus rapide et plus flexible d'atteindre les meilleures pratiques en matière de gestion et de traitement des données.

La norme ISO 27701 offre un cadre structuré pour établir, mettre en œuvre, maintenir et améliorer en continu un système de gestion des informations relatives à la protection de la vie privée (SGIP). Elle comprend des mesures de contrôle concrètes pour :

  • Protection des informations personnelles identifiables (IPI) du type réglementé par le RGPD (et la DUAA)
  • Conformité légale, transparence et droits des personnes concernées (pour les responsables du traitement des données personnelles)
  • Conformité contractuelle et traitement (pour les responsables du traitement des données personnelles)

Rob Rachwald, vice-président du marketing de marque et de produit chez Zero Networks, décrit la norme ISO 27701 comme « le guide ultime » pour répondre aux exigences de la DUAA.

« Si la DUAA rend le RGPD britannique plus pragmatique, elle exige une responsabilisation et une preuve de gouvernance plus fortes, notamment en ce qui concerne la gestion des demandes d'accès aux données et la mise en œuvre de garanties pour l'ADM », explique-t-il à IO.

« La norme ISO 27701 fournit un modèle PIMS reconnu mondialement qui détaille déjà les processus requis en matière de droits des personnes concernées, de cartographie des données et de protection de la vie privée dès la conception, permettant aux organisations de démontrer immédiatement une conformité « raisonnable et proportionnée », transformant ainsi une contrainte réglementaire en un élément vérifiable. »

Cette norme constitue donc un pilier de plus en plus important de toute approche efficace de gestion des risques, au même titre que les normes ISO 27001 et 42001. Les efforts en matière de protection de la vie privée sont de plus en plus liés à ceux déployés dans le domaine de la sécurité de l'information et de la gestion de l'IA. Les organisations qui adoptent une vision globale de ces trois aspects seront les mieux placées pour faire de la conformité un tremplin vers la réussite commerciale en 2026.