ICO (Information Commissioner's Office, Royaume-Uni)
Autorité britannique de protection des données, qui reçoit les notifications de violation sous 72 heures au titre de l'UK GDPR (UK General Data Protection Regulation) et inflige les amendes, devenue le 30 septembre 2026 une Information Commission dirigée par un conseil.
L'ICO (Information Commissioner's Office) est l'autorité britannique de protection des données : elle reçoit les notifications de violation, inflige les amendes, et a pris le 30 septembre 2026 la forme d'une Information Commission dirigée par un conseil. Le 16 octobre 2020, l'ICO inflige 20 millions de livres à British Airways ; le 30 octobre, 18,4 millions à Marriott, comme autorité chef de file, après approbation du projet par les autres autorités européennes concernées, dont la CNIL (Commission nationale de l'informatique et des libertés). Les avis d'intention de juillet 2019 visaient 183,39 et 99,2 millions : la coopération des sociétés et l'effet de la pandémie expliquent l'essentiel de la baisse. Les deux dossiers venaient de violations de 2018, environ 400 000 clients et salariés chez British Airways, 339 millions de fiches de clients chez Marriott. Depuis la sortie de l'Union, l'ICO applique l'UK GDPR (UK General Data Protection Regulation) et le Data Protection Act 2018. Ce cadre impose la notification de la violation sous 72 heures après en avoir pris connaissance, et la communication aux personnes en cas de risque élevé, sur le modèle des articles 33 et 34 du RGPD (règlement général sur la protection des données). Une société qui sert à la fois des clients européens et britanniques notifie donc deux fois, sur deux textes jumeaux qui divergent lentement. Le Data (Use and Access) Act 2025, qui a reçu la sanction royale le 19 juin 2025, réforme l'autorité. Ses articles 118 et 119 sont entrés en vigueur le 30 septembre 2026 par un règlement d'application du 10 septembre : le poste d'Information Commissioner est supprimé, ses fonctions passent au nouveau collège. Les enquêtes en cours et les procédures continuent sans rupture, et le sigle ICO reste en usage. Pour le souscripteur, deux points. La garantie des enquêtes réglementaires d'une police britannique doit viser l'autorité par sa fonction ; un libellé qui nomme l'« Information Commissioner » tient grâce aux dispositions transitoires, mais mieux vaut le relire au renouvellement. Et les montants de 2020, ramenés à une fraction des intentions, donnent la mesure du risque d'amende au Royaume-Uni mieux que les plafonds légaux, qui ne disent rien de la pratique.
Cas d'école : un voyagiste fictif, filiale française d'un groupe londonien, perd 300 000 dossiers clients, dont 120 000 au Royaume-Uni et 180 000 dans l'Union. Deux notifications sous 72 heures, à l'ICO (Information Commissioner's Office) et à la CNIL (Commission nationale de l'informatique et des libertés), deux conseils, deux calendriers d'enquête. Défense devant chaque autorité estimée à 150 000 euros : 300 000 euros à la charge de la garantie des enquêtes réglementaires, avant toute amende, que la police ne prendra qu'à la mesure de ce que chaque droit admet.
ICO, Information Commissioner's Office, Information Commission, Autorité britannique de protection des données, Régulateur britannique des données, UK GDPR
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.