Données personnelles au Royaume-Uni : traiter les réclamations devient obligatoire le 19 juin 2026

Ce 19 juin 2026, l'article 103 du Data (Use and Access) Act 2025 (DUAA, la loi britannique de 2025 sur l'usage et l'accès aux données) entre en vigueur. Il crée une obligation nouvelle pour toute organisation qui traite des données personnelles dans le cadre du UK GDPR (la version britannique du RGPD) : offrir un moyen de réclamation, accuser réception de chaque réclamation sous 30 jours et y répondre sans retard injustifié. La date a été fixée par un règlement d'application signé le 29 janvier 2026 (SI 2026/82). Le même jour, l'Information Commissioner's Office (ICO, l'autorité britannique de protection des données) confirme que toutes les dispositions du DUAA relatives à la protection des données sont désormais en vigueur. Si votre Ltd traite des données de clients, de prospects, de salariés ou de visiteurs de son site, elle est concernée.

Ce qui change

Le DUAA insère dans le Data Protection Act 2018 une nouvelle section 164A. Toute personne qui estime que le traitement de ses données enfreint le UK GDPR peut adresser une réclamation directement au responsable du traitement (controller, l'organisation qui décide pourquoi et comment les données sont utilisées). Celui-ci doit désormais :

• faciliter les réclamations, par exemple en proposant un formulaire pouvant être rempli par voie électronique et par d'autres moyens ;
• accuser réception de la réclamation dans un délai de 30 jours à compter de sa réception ;
• prendre, sans retard injustifié (without undue delay), les mesures appropriées pour y répondre, ce qui comprend les vérifications utiles et l'information du plaignant sur l'avancement ;
• informer le plaignant de l'issue de sa réclamation, également sans retard injustifié.

Les mentions d'information évoluent aussi. L'annexe 10 de la loi modifie les articles 13, 14 et 15 du UK GDPR : les personnes doivent être informées de leur droit de se plaindre auprès du responsable du traitement, en plus de leur droit de saisir l'ICO. Selon l'ICO, cette information doit être donnée au moment de la collecte des données, par exemple dans votre politique de confidentialité (privacy notice), ainsi que dans vos réponses aux demandes d'accès (subject access requests).

L'ICO précise enfin que, dans la plupart des cas, lorsqu'une personne la saisit au sujet de vos pratiques, elle lui demandera d'abord de vous adresser sa réclamation.

Qui est concerné

L'ICO est explicite : toute organisation doit disposer d'un processus de traitement des réclamations relatives à la protection des données, et il n'existe aucune exemption. La taille de l'entreprise n'entre pas en ligne de compte : une micro-entité de conseil qui tient un fichier clients, une boutique en ligne qui traite des commandes ou une holding qui emploie du personnel sont concernées.

L'obligation pèse sur le responsable du traitement, c'est-à-dire le plus souvent la société elle-même. Si vous faites appel à des sous-traitants (processors) tels qu'un hébergeur, un logiciel de gestion ou un prestataire de paie, l'ICO recommande de convenir avec eux qu'ils vous transmettent les réclamations reçues et vous aident à les instruire ; la responsabilité reste la vôtre.

Selon l'ICO, une réclamation peut porter par exemple sur la manière dont vous avez répondu à une demande d'accès, sur la sécurité des données (y compris après une violation de données) ou sur la façon dont vous les collectez, les conservez ou les utilisez. Le plaignant n'a pas à employer de termes juridiques ni à citer la loi.

Calendrier

• 29 janvier 2026 : signature du règlement SI 2026/82, qui fixe les dates d'entrée en vigueur ;
• 5 février 2026 : entrée en vigueur d'autres dispositions du DUAA (délais de réponse aux demandes des personnes, décisions automatisées, transferts internationaux, cookies) ;
• 12 février 2026 : publication par l'ICO de son guide How to deal with data protection complaints, mis à jour le 8 mai 2026 ;
• 19 mai 2026 : l'ICO rappelle aux entreprises, en particulier aux PME, qu'il leur reste un mois pour se préparer ;
• 19 juin 2026 : entrée en vigueur de l'article 103 et de l'annexe 10 du DUAA.

Les obligations d'accusé de réception et de réponse ne s'appliquent qu'aux réclamations reçues à compter du 19 juin 2026. Celles reçues avant cette date restent traitées selon les règles antérieures.

Ce que vous devez faire

Le guide de l'ICO, conçu notamment pour les petites structures, détaille la marche à suivre. Les points essentiels :

1. Prévoir un canal de réclamation. Formulaire en ligne ou papier, adresse email, téléphone, portail : le choix vous appartient, et vous pouvez adapter un dispositif existant plutôt que d'en créer un nouveau. Les personnes restent libres de se plaindre par d'autres voies (auprès d'un salarié, sur un réseau social) : toute réclamation reçue doit être acceptée.
2. Mettre à jour votre politique de confidentialité pour indiquer le droit de vous adresser une réclamation, la manière de le faire et le droit de saisir l'ICO. L'ICO suggère aussi de publier une procédure de réclamation écrite, en langage simple.
3. Organiser l'accusé de réception. Le délai de 30 jours court à partir du lendemain de la réception, week-ends et jours fériés compris ; si le dernier jour tombe un week-end ou un jour férié, vous avez jusqu'au jour ouvré suivant. Un accusé de réception automatique par email est possible pour les réclamations électroniques. Prévoyez les périodes d'absence.
4. Instruire sans attendre. L'obligation d'enquêter commence dès la réception, et non à l'issue des 30 jours. Il n'existe pas de délai fixe : ce qui est raisonnable dépend notamment de la complexité et de l'ampleur du sujet. Tenez le plaignant informé de l'avancement.
5. Répondre clairement et garder une trace. Expliquez ce que vous avez vérifié et décidé. Conservez la date de réception, l'accusé de réception, les échanges et l'issue, sans garder les données plus longtemps que nécessaire. L'ICO considère comme une bonne pratique de rappeler au plaignant qu'il peut la saisir.
6. Former et informer. Vos collaborateurs doivent savoir reconnaître une réclamation et à qui la transmettre ; vos sous-traitants doivent vous faire suivre celles qu'ils reçoivent.

La loi permet à l'ICO de prononcer un avis d'exécution (enforcement notice) ou une sanction financière en cas de manquement à ces obligations. L'autorité affirme toutefois vouloir accompagner les entreprises plutôt que les prendre en défaut. Pour aller plus loin, voyez nos pages sur le RGPD britannique et ses différences avec le RGPD européen et sur les obligations des entreprises vis-à-vis de l'ICO.

St Matthew & Co à vos côtés

St Matthew & Co accompagne les dirigeants de Ltd dans le suivi de leurs obligations au Royaume-Uni et peut vous aider à intégrer cette nouvelle exigence dans l'organisation de votre société.

Sources

• The Data (Use and Access) Act 2025 (Commencement No. 6 and Transitional and Saving Provisions) Regulations 2026 (SI 2026/82)
• Data (Use and Access) Act 2025, section 103
• Data (Use and Access) Act 2025, Schedule 10
• ICO, How to deal with data protection complaints
• ICO, The Data Use and Access Act 2025 (DUAA) - what does it mean for organisations?
• ICO, One month to go: what businesses need to know to meet new data law (19 mai 2026)