En bref : au Royaume-Uni, les PECR interdisent de stocker ou de lire une information sur le terminal d'un utilisateur sans son consentement, sauf exceptions élargies en 2026 par le Data (Use and Access) Act. Toute organisation dont le site vise des utilisateurs britanniques est concernée, y compris depuis la France. Depuis la réforme, un manquement à la règle cookies peut être sanctionné jusqu'à 17,5 millions de livres ou 4 % du chiffre d'affaires mondial.
UK GDPR et PECR : de quoi parle-t-on ?
Le Royaume-Uni a gardé après le Brexit un cadre très proche du droit européen, mais il le fait désormais évoluer seul. Deux textes encadrent les cookies :
- les Privacy and Electronic Communications Regulations 2003 (PECR), qui transposaient à l'origine la directive ePrivacy. Leur regulation 6 contient la règle cookies ;
- le UK GDPR, version britannique du RGPD, qui définit ce qu'est un consentement valable et encadre le traitement des données personnelles collectées via les cookies, aux côtés du Data Protection Act 2018.
Le Data (Use and Access) Act 2025 (DUAA) modifie ces trois textes sans les remplacer. Pour les cookies, son effet principal date du 5 février 2026 : la regulation 6 a été réécrite et complétée par une nouvelle Schedule A1 qui liste les exceptions. Selon l'ICO, le DUAA permet de déposer certains types de cookies sans consentement, comme ceux qui servent à collecter des informations à des fins statistiques ou à améliorer les fonctionnalités du site.
La règle de base reste inchangée : une personne ne doit pas stocker d'information, ni accéder à une information stockée, dans le terminal d'un abonné ou d'un utilisateur, sauf exception. La nouvelle rédaction précise qu'elle couvre aussi le fait de provoquer ce stockage ou cet accès, ainsi que la collecte d'informations émises automatiquement par le terminal.
L'ICO a publié la version finale de son guide sur les technologies de stockage et d'accès le 29 avril 2026, après deux consultations. Il couvre les cookies, mais aussi les pixels de suivi, la décoration de liens, le fingerprinting, le stockage web et les scripts ou tags.
Qui est concerné ?
- Tout site ou application accessible au Royaume-Uni qui dépose ou lit des informations sur l'appareil de l'utilisateur, y compris via des services tiers ;
- les entreprises établies hors du Royaume-Uni dont les services visent des utilisateurs britanniques : le guide de l'ICO consacre une section à cette question ;
- les autorités publiques, également traitées par le guide ;
- les services susceptibles d'être utilisés par des enfants, pour lesquels l'ICO attend une vigilance particulière.
Pour une entreprise française qui vend au Royaume-Uni, la conséquence est simple : votre bandeau RGPD est une bonne base, mais il doit tenir compte de règles britanniques qui divergent désormais sur les exemptions et sur les sanctions.
Ce que le UK GDPR et les PECR imposent pour les cookies et le consentement
Le consentement par défaut
Hors exceptions, le stockage ou l'accès exige le consentement de l'utilisateur, au sens du UK GDPR : une manifestation de volonté libre, spécifique, éclairée et univoque, donnée par un acte positif clair. Les cookies publicitaires, les pixels de réseaux sociaux et le suivi entre sites relèvent de ce régime.
Les cinq exceptions
Le guide de l'ICO présente cinq exceptions à l'interdiction :
- la communication : stockage ou accès dont la seule finalité est la transmission d'une communication ;
- le strictement nécessaire : ce qui est indispensable pour fournir le service demandé ;
- les finalités statistiques ;
- l'apparence : adapter l'apparence ou le fonctionnement du site aux préférences de l'utilisateur, ou l'améliorer, avec là aussi une information claire et un moyen simple de s'opposer ;
- l'assistance d'urgence.
L'exemption statistique, en détail
C'est la nouveauté la plus utile pour les éditeurs. Selon le paragraphe 5 de la Schedule A1, elle s'applique si toutes les conditions suivantes sont réunies :
- la personne fournit un service de la société de l'information ;
- la seule finalité est de collecter des informations statistiques sur l'utilisation du service ou du site, en vue de l'améliorer ;
- les informations ne sont partagées avec personne, sauf pour permettre à un tiers d'aider à cette amélioration ;
- l'utilisateur reçoit une information claire et complète sur cette finalité ;
- il dispose d'un moyen simple et gratuit de s'opposer, et ne s'y oppose pas.
Il s'agit donc d'un opt-out pour la mesure d'audience, d'où notre classement « mixte ». Attention à une limite précise du texte : pour cette exemption, l'accès aux informations stockées n'inclut pas la collecte ou la surveillance d'informations émises automatiquement par le terminal. Les techniques qui reposent sur ces signaux ne peuvent donc pas s'abriter derrière l'exemption statistique.
Dernier point pratique : lorsque le même acteur réutilise le même traceur pour la même finalité à plusieurs reprises, il suffit que l'information et le moyen d'opposition aient été fournis lors de la première utilisation. Un outil d'analyse qui réutilise les données pour de la publicité ou les croise avec d'autres services ne remplit pas ces conditions et reste soumis au consentement. Le guide final de l'ICO détaille ce qu'est un « moyen simple de s'opposer ».
Retrait et preuve
Le UK GDPR impose, comme le RGPD, que le consentement puisse être retiré aussi facilement qu'il a été donné, et que l'organisation puisse démontrer qu'il a été recueilli. Conservez un journal horodaté des choix, y compris des oppositions à la mesure statistique.
Le bandeau de cookies conforme au UK GDPR et aux PECR
La campagne de l'ICO sur les sites britanniques les plus visités a porté sur trois critères, qui résument les attentes de l'autorité :
- aucun cookie publicitaire non essentiel ne doit être déposé avant que l'utilisateur ait pu choisir ;
- refuser les cookies publicitaires non essentiels doit être aussi simple que les accepter ;
- aucun cookie publicitaire ne doit être déposé si l'utilisateur n'y a pas consenti.
Un bandeau conforme affiche donc Accepter et Refuser au même niveau, un paramétrage par finalité, et, si vous utilisez l'exemption statistique, une information claire sur la mesure d'audience avec un moyen simple de s'y opposer. Les techniques visant à pousser l'acceptation (bouton Refuser masqué, couleurs trompeuses, refus en plusieurs étapes) sont celles que l'ICO a fait corriger. Notre article sur les dark patterns les recense, et le guide du bandeau cookies conforme détaille la structure à adopter.
Sanctions et contrôles
L'autorité : l'Information Commissioner's Office (ICO) contrôle les PECR et le UK GDPR. Dans le texte consolidé des PECR, les références à l'Information Commissioner sont remplacées depuis le 30 septembre 2026 par l'Information Commission, en application du DUAA ; c'est elle qui exerce désormais ces pouvoirs.
Le plafond : depuis la réforme du 5 février 2026, les pouvoirs de sanction des PECR renvoient au Data Protection Act 2018. Les manquements à la regulation 6 relèvent du montant maximal le plus élevé : 17 500 000 £ ou 4 % du chiffre d'affaires annuel mondial de l'exercice précédent, le montant le plus élevé étant retenu.
Ce que montrent les contrôles récents :
- Campagne sur les 200 puis les 1 000 premiers sites : dans son bilan du 4 décembre 2025, l'ICO indique que 979 des 1 000 sites britanniques les plus visités respectaient ses critères lors du dernier test. 564 n'y sont parvenus qu'après son intervention, et seuls 415 étaient conformes sans action de sa part.
- 17 avis préliminaires d'exécution (preliminary enforcement notices) ont été émis contre les sites qui ne se mettaient pas en conformité après les courriers d'avertissement. L'action se poursuit contre les 21 sites encore non conformes.
- L'ICO annonce qu'elle continuera à tester périodiquement les 1 000 premiers sites pour éviter tout retour en arrière.
Checklist de conformité
- Inventoriez vos traceurs : cookies, pixels, stockage web, scripts, fingerprinting.
- Classez-les selon les cinq exceptions du guide de l'ICO.
- Vérifiez l'exemption statistique condition par condition avant de l'appliquer.
- Bloquez les cookies publicitaires jusqu'au consentement.
- Affichez Refuser au même niveau qu'Accepter.
- Offrez une opposition simple à la mesure statistique si vous utilisez l'exemption.
- Testez que le refus est respecté : aucun cookie publicitaire après un clic sur Refuser.
- Conservez la preuve des choix et des oppositions.
- Lisez le guide final de l'ICO du 29 avril 2026 et réauditez après chaque ajout de tag.
Comment FlowConsent vous aide à respecter le UK GDPR et les PECR
FlowConsent bloque les scripts publicitaires avant le consentement, affiche un bandeau avec Accepter et Refuser au même niveau et vous permet de classer chaque service par finalité, y compris la mesure d'audience (voir la doc sur les services et bases légales). Le scan automatique repère les traceurs de vos pages, la preuve de consentement est exportable, et Google Consent Mode v2 est intégré pour vos campagnes au Royaume-Uni comme en Europe.
Testez votre site avec notre scanner gratuit, puis créez votre compte : gratuit jusqu'à 25 000 sessions par mois, installation en une dizaine de minutes.
Pour aller plus loin
Les règles britanniques restent très proches des règles européennes sur l'essentiel : bandeau équilibré, refus respecté, preuve conservée. Les articles suivants vous aident à concevoir ce bandeau, à mesurer votre audience avec moins de cookies et à auditer les traceurs de votre site.