Brzi odgovor: UK GDPR je domaća verzija EU GDPR-a koja je stupila na snagu kada je UK napustila pravni okvir EU 1. januara 2021. Zadržava iste temeljne principe, ali se od tada razlikuje kroz Zakon o zaštiti podataka i digitalnim informacijama iz 2024. (Data Protection and Digital Information Act 2024). Britanske kompanije moraju se pridržavati UK GDPR-a, a one koje također obrađuju podatke stanovnika EU moraju se zasebno pridržavati EU GDPR-a; to su sada dvije različite pravne obaveze koje provode različita tijela.
Ključne spoznaje
- UK GDPR i EU GDPR dijele istu strukturu i temeljne principe, ali zakonodavne reforme od Brexita stvorile su značajne razlike u područjima kao što su kolačići, legitimni interesi i automatizirano donošenje odluka.
- Ured povjerenika za informacije (Information Commissioner's Office - ICO) je jedino tijelo za provedbu UK GDPR-a; ne postoji mehanizam "sve na jednom mjestu" dostupan za organizacije sa sjedištem u UK.
- Maksimalne kazne prema UK GDPR-u dosežu 17,5 miliona funti ili 4% globalnog godišnjeg prometa, ovisno o tome što je veće, odražavajući strukturu EU od 20 miliona eura / 4%.
- Evropska komisija produžila je odluku o adekvatnosti UK-a u decembru 2025. do decembra 2031., ali kontinuirana zakonodavna reforma UK-a mogla bi ugroziti taj status.
- Britanske kompanije koje obrađuju podatke stanovnika EU moraju se pridržavati EU GDPR-a i imenovati predstavnika u EU; obrnuto vrijedi za kompanije iz EU koje ciljaju stanovnike UK.
- ICO obično izdaje manje, ali veće kazne u poređenju s ukupnim brojem kazni koje izdaju tijela za zaštitu podataka (DPA) u EU.
- Organizacije koje djeluju u obje jurisdikcije moraju se zasebno angažirati s ICO-om i relevantnim DPA-ima EU; ne postoji zajednički nadzorni kanal.
- Upravljanje pristankom i usklađenost s kolačićima razlikuju se između dva režima nakon izmjena Zakona o zaštiti podataka i digitalnim informacijama iz 2024. (DPDI Act 2024).
Šta je UK GDPR i kako se razlikuje od EU GDPR-a nakon Brexita?
UK GDPR je verzija Opće uredbe o zaštiti podataka koja je ugrađena u domaće pravo UK putem Zakona o povlačenju iz Evropske unije iz 2018. (European Union (Withdrawal) Act 2018), a stupila je na snagu 1. januara 2021. Djeluje zajedno sa Zakonom o zaštiti podataka iz 2018. (Data Protection Act 2018) i u početku je gotovo doslovno odražavala EU GDPR.
Međutim, od Brexita, dva okvira su se razdvojila. Zakon o zaštiti podataka i digitalnim informacijama iz 2024. (DPDI Act) uveo je suštinske promjene u UK GDPR u nekoliko područja [1]:
- Legitimni interesi: UK je proširila popis priznatih legitimnih interesa, smanjujući teret testova ravnoteže za određene aktivnosti obrade.
- Kolačići: DPDI Act je ublažio zahtjeve za pristanak za analitičke i slične kolačiće niskog rizika, krećući se prema modelu isključivanja (opt-out) za specifične kategorije.
- Automatizirano donošenje odluka: Pravila UK-a o isključivo automatiziranim odlukama sada su permisivnija od člana 22. EU GDPR-a.
- Međunarodni prijenosi podataka: UK je razvila vlastite mehanizme prijenosa, Međunarodni sporazum o prijenosu podataka (International Data Transfer Agreement - IDTA) i Dodatak UK-a standardnim ugovornim klauzulama EU (UK Addendum to EU Standard Contractual Clauses), koji se razlikuju od SCC-ova EU [1].
EU GDPR se i dalje tumači i provodi putem Evropskog odbora za zaštitu podataka (EDPB), čije smjernice ne obavezuju ICO. To znači da se ista aktivnost može različito procijeniti ovisno o tome koji se režim primjenjuje [2].
Česta greška: Pretpostavka da je jedna politika privatnosti koja pokriva "GDPR" dovoljna za obje jurisdikcije. Organizacije moraju eksplicitno adresirati oba okvira, posebno u vezi s mehanizmima prijenosa i imenovanjem predstavnika.
Koje su maksimalne kazne prema UK GDPR-u?
Kazne prema UK GDPR-u slijede dvostepenu strukturu koja usko paralelira model EU, ali koristi iznose u funtama sterlinga [4]:
| Nivo | Kazna prema UK GDPR-u | Kazna prema EU GDPR-u |
|---|---|---|
| Niži (manje ozbiljna kršenja) | Do 8,7 miliona funti ili 2% globalnog godišnjeg prometa | Do 10 miliona eura ili 2% globalnog godišnjeg prometa |
| Viši (najozbiljnija kršenja) | Do 17,5 miliona funti ili 4% globalnog godišnjeg prometa | Do 20 miliona eura ili 4% globalnog godišnjeg prometa |
U oba nivoa, ICO primjenjuje veći iznos. Kršenja višeg nivoa obično uključuju kršenja temeljnih principa zaštite podataka, nezakonitu obradu ili kršenja prava ispitanika.
Najveća kazna koju je ICO izdao do danas iznosila je 20 miliona funti protiv British Airwaysa, izrečena prije nego što su trenutne gornje granice kazni rekalibrirane, što je brojka koja ilustruje spremnost ICO-a da provodi značajne kazne protiv velikih organizacija [4].
Granični slučaj: Kazne nisu automatske. ICO uzima u obzir faktore uključujući prirodu i trajanje kršenja, broj pogođenih pojedinaca, da li je organizacija sarađivala i sve poduzete korektivne mjere. Dobro dokumentiran program usklađenosti može značajno utjecati na ishod.
Ko sada provodi GDPR u UK?
Ured povjerenika za informacije (ICO) je jedino nadzorno tijelo odgovorno za provedbu UK GDPR-a. Za razliku od EU, koja upravlja mrežom nacionalnih DPA-a koordiniranih od strane EDPB-a, UK ima jednog centraliziranog regulatora [3].
To ima praktičnu posljedicu: mehanizam "sve na jednom mjestu" EU, koji omogućava multinacionalnim organizacijama da se bave jednim vodećim DPA-om za prekograničnu obradu, ne primjenjuje se prema UK GDPR-u. Svaka organizacija koja djeluje i u UK i u EU mora se angažirati s ICO-om za pitanja vezana za UK i zasebno s relevantnim DPA-om (ili DPA-ima) EU za pitanja vezana za EU [3].
ICO također ima ovlasti izvan finansijskih kazni, uključujući izdavanje naloga za provedbu, naloga za procjenu i informativnih naloga. U ozbiljnim slučajevima, može uputiti predmete na krivično gonjenje prema Zakonu o zaštiti podataka iz 2018.
Da li britanske kompanije i dalje moraju biti usklađene s EU GDPR-om?
Da, u mnogim slučajevima. Britanske kompanije koje nude robu ili usluge stanovnicima EU, ili koje prate ponašanje stanovnika EU, spadaju u teritorijalni opseg EU GDPR-a prema članu 3(2), bez obzira na to gdje je kompanija osnovana [5].
Takve organizacije moraju:
- Imenovati predstavnika u EU (pojedinca ili organizaciju sa sjedištem u državi članici EU) [5].
- Pridržavati se specifičnih zahtjeva EU GDPR-a, uključujući njegove SCC-ove za prijenos podataka natrag u UK.
- Angažirati se s relevantnim DPA-om EU za sve pritužbe ili istrage koje uključuju ispitanike iz EU.
Obrnuto također vrijedi: organizacije sa sjedištem u EU koje obrađuju podatke stanovnika UK moraju se pridržavati UK GDPR-a i imenovati predstavnika u UK [5].
Pravilo odluke: Ako vaša web stranica cilja korisnike i u UK i u EU (na primjer, putem sadržaja na jeziku EU, cijena u valuti EU ili marketinga specifičnog za EU), pretpostavite da se primjenjuju dvostruke obaveze usklađenosti dok ne dobijete specifičan pravni savjet koji govori suprotno.
Šta se promijenilo u UK GDPR-u nakon Brexita?
Osim već spomenute strukturne divergencije, nekoliko praktičnih promjena stupilo je na snagu kada je EU GDPR zamijenjen UK GDPR-om za domaće svrhe [1][2]:
- Nadzorno tijelo: ICO je zamijenio EDPB kao primarno tijelo za tumačenje i provedbu.
- Odluke o adekvatnosti: UK sada mora izdati vlastite odluke o adekvatnosti za treće zemlje; ne može se oslanjati na odluke o adekvatnosti EU.
- Mehanizmi prijenosa: IDTA je zamijenila SCC-ove EU za prijenose iz UK u treće zemlje.
- Pragovi za SAR: DPDI Act je pojednostavio prag za odbijanje ili naplatu zahtjeva za pristup podacima (Subject Access Requests - SAR), omogućavajući organizacijama da odbiju zahtjeve koji su "uznemirujući ili pretjerani" (nešto drugačiji standard od EU "očigledno neosnovanih ili pretjeranih") [6].
- Regulatorne smjernice: Smjernice ICO-a sada regulišu usklađenost u UK; mišljenja i smjernice EDPB-a su uvjerljive, ali nisu obavezujuće u UK.
Odluka o adekvatnosti koju je Evropska komisija produžila u decembru 2025. znači da protok podataka između EU i UK ostaje zakonit bez dodatnih zaštitnih mjera do decembra 2031., ali analitičari primjećuju da bi kontinuirana zakonodavna reforma UK-a mogla potaknuti ponovnu procjenu [2].
Je li UK GDPR strožiji ili manje strog od EU GDPR-a?
Nijedan okvir nije kategorički strožiji u cjelini. Dva režima se razlikuju u specifičnim područjima, a ne u ukupnoj strogosti.
Područja u kojima je UK GDPR permisivniji:
- Širi priznati legitimni interesi prema DPDI Act-u.
- Ublažen pristanak za kolačiće za analitiku niskog rizika.
- Fleksibilnija pravila za automatizirano donošenje odluka.
- Pojednostavljeni pragovi za odbijanje SAR-a [1][6].
Područja u kojima su uglavnom ekvivalentni:
- Temeljni principi (zakonitost, poštenje, transparentnost, ograničenje svrhe, minimizacija podataka, tačnost, ograničenje pohrane, integritet).
- Prava ispitanika (pristup, ispravak, brisanje, prenosivost, prigovor).
- Strukture kazni (proporcionalno slične, s brojkama u UK u funtama sterlinga).
- Vremenski okviri za obavještavanje o kršenju (72 sata nadzornom tijelu).
Područja u kojima EU GDPR može biti permisivniji u praksi:
- Mehanizam "sve na jednom mjestu" može smanjiti trenje u usklađenosti za multinacionalne kompanije koje posluju u državama članicama EU, što je prednost nedostupna prema UK GDPR-u.
ICO je historijski izdao manje kazni od ukupnog broja kazni DPA-a EU, iako su pojedinačne kazne u UK bile značajne [4].
Koja su uobičajena kršenja GDPR-a koja dovode do kazni?
ICO i DPA-i EU dosljedno su kažnjavali sljedeće kategorije kršenja:
- Nedovoljna pravna osnova za obradu: Obrada ličnih podataka bez valjane pravne osnove ili oslanjanje na pristanak koji ne ispunjava traženi standard.
- Neadekvatne sigurnosne mjere: Neuspjeh u primjeni odgovarajućih tehničkih i organizacijskih mjera, što rezultira kršenjem podataka.
- Nepoštivanje prava ispitanika: Ignoriranje ili neadekvatno odgovaranje na zahtjeve za pristup podacima, zahtjeve za brisanje ili prigovore.
- Nezakoniti prijenosi podataka: Slanje ličnih podataka u treće zemlje bez odgovarajućih zaštitnih mjera (na primjer, bez IDTA ili SCC-ova).
- Nedostatak transparentnosti: Obavijesti o privatnosti koje su nepotpune, obmanjujuće ili nedostupne.
- Neuspjesi u pristanku za kolačiće: Postavljanje nebitnih kolačića bez valjanog pristanka ili korištenje "tamnih uzoraka" za dobivanje pristanka.
Za vlasnike web stranica i agencije za online marketing, posebno, neuspjesi u pristanku za kolačiće i neadekvatne obavijesti o privatnosti su među najčešćim okidačima provedbe. Pravilno konfigurirana platforma za upravljanje pristankom, kao što je Biscotti CMP, može pomoći organizacijama da dokumentuju i upravljaju pristankom na način koji je u skladu s UK GDPR-om i EU GDPR-om.
Kako da znam da li moje poslovanje treba biti usklađeno s UK GDPR-om?
UK GDPR se primjenjuje na svaku organizaciju koja [5]:
- Je osnovana u UK i obrađuje lične podatke u kontekstu tog osnivanja (bez obzira gdje se obrada odvija), ili
- Nije osnovana u UK, ali obrađuje lične podatke stanovnika UK u vezi s ponudom robe ili usluga ili praćenjem njihovog ponašanja unutar UK.
Praktična kontrolna lista:
- Prikuplja li vaša web stranica imena, adrese e-pošte, IP adrese ili kolačiće od posjetitelja iz UK? Ako da, primjenjuje se UK GDPR.
- Koristite li analitičke alate, piksele za oglašavanje ili oznake za remarketing koje obrađuju podatke korisnika iz UK? Ako da, primjenjuje se UK GDPR.
- Šaljete li marketinške e-poruke kontaktima iz UK? Ako da, primjenjuju se UK GDPR (i Propisi o privatnosti i elektronskim komunikacijama).
- Jeste li kompanija izvan UK bez ureda u UK, ali s web stranicom okrenutom prema UK? UK GDPR se i dalje primjenjuje, a možda će vam trebati predstavnik u UK.
Koja je razlika između kazni ICO-a i sudskih kazni?
Kazne ICO-a su administrativne kazne koje izravno izriče regulator bez sudskog uplitanja. Sudske kazne, nasuprot tome, proizlaze iz građanskih parnica koje pokreću ispitanici ili krivičnih gonjenja prema Zakonu o zaštiti podataka iz 2018.
Ključne razlike:
- Kazne ICO-a: Izdaju se nakon istrage; mogu se žaliti Prvostepenom sudu. Maksimalni iznosi su opisani u gornjoj strukturi kazni.
- Sudski dosuđene odštete: Ispitanici mogu podnijeti tužbe građanskim sudovima za materijalnu ili nematerijalnu štetu uzrokovanu kršenjem GDPR-a. Ne postoji zakonska gornja granica za odštete u građanskim tužbama.
- Krivična djela: Određeni postupci, kao što su nezakonito pribavljanje ličnih podataka ili ponovna identifikacija anonimiziranih podataka, su krivična djela prema Zakonu o zaštiti podataka iz 2018., noseći neograničene kazne ili zatvor.
Organizacije bi trebale biti svjesne da jedno kršenje podataka može istovremeno pokrenuti sva tri: istragu ICO-a, građanske tužbe pogođenih pojedinaca i (u drastičnim slučajevima) krivične prijave.
Možete li biti kažnjeni za kršenja GDPR-a koja su se dogodila prije Brexita?
Za kršenja koja su se dogodila prije 1. januara 2021., EU GDPR se primjenjivao u UK. ICO je zadržao nadležnost nad kršenjima prije Brexita koja uključuju organizacije osnovane u UK, a radnje provedbe pokrenute prema pravilima EU GDPR-a mogle su se nastaviti prema prijelaznim odredbama Zakona o povlačenju iz EU.
Kršenja nakon Brexita u potpunosti su regulisana UK GDPR-om. Ne postoji mehanizam za DPA-e EU da izriču kazne organizacijama osnovanim u UK za obradu podataka stanovnika UK nakon Brexita; ta ovlast pripada isključivo ICO-u.
Granični slučaj: Ako je organizacija iz UK obrađivala podatke stanovnika EU prije i poslije Brexita, period prije Brexita mogao je uključivati obaveze EU GDPR-a koje je provodio DPA EU, dok period nakon Brexita istovremeno spada pod UK GDPR (za stanovnike UK) i EU GDPR (za stanovnike EU).
Šta kompanije trebaju učiniti kako bi se pripremile za provedbu UK GDPR-a?
Usklađenost s UK GDPR-om nakon Brexita: Snalaženje s kaznama, provedbom i razlikama u odnosu na EU zahtijeva strukturiran, kontinuiran program, a ne jednokratnu reviziju. Prioritetne radnje uključuju:
- Mapirajte svoje tokove podataka: Identificirajte sve prikupljene lične podatke, njihovu pravnu osnovu, gdje su pohranjeni i da li se prenose međunarodno.
- Ažurirajte mehanizme prijenosa: Zamijenite sve SCC-ove EU koji se koriste za prijenose iz UK u treće zemlje s IDTA-om ili Dodatkom UK [1].
- Pregledajte svoju obavijest o privatnosti: Osigurajte da odražava zahtjeve UK GDPR-a i smjernice ICO-a, a ne samo standarde EU GDPR-a.
- Revizija pristanka za kolačiće: Ako vaša web stranica služi posjetiteljima iz UK, provjerite da li vaša postavka za upravljanje pristankom ispunjava revidirane standarde DPDI Act-a. Alati poput Biscotti CMP dizajnirani su za podršku usklađenom prikupljanju i dokumentovanju pristanka.
- Imenujte predstavnike: Ako obrađujete podatke stanovnika EU, imenujte predstavnika u EU; ako ste kompanija izvan UK koja obrađuje podatke stanovnika UK, imenujte predstavnika u UK [5].
- Obučite osoblje: Obuka o zaštiti podataka trebala bi odražavati specifičnosti UK GDPR-a, a ne generički "GDPR" sadržaj koji može miješati dva režima.
- Pratite smjernice ICO-a: ICO redovno objavljuje ažurirane smjernice; pretplatite se na ažuriranja ICO-a kako biste bili u toku s prioritetima provedbe.
Alat za odluke o usklađenosti s UK GDPR-om
Često postavljana pitanja
Koja je razlika između UK GDPR-a i EU GDPR-a u jednostavnim terminima? UK GDPR je domaća verzija EU GDPR-a koja se primjenjuje unutar Ujedinjenog Kraljevstva. Dijele iste temeljne principe, ali su se razdvojili od Brexita, posebno nakon DPDI Act-a 2024., koji je ublažio pravila o kolačićima, legitimnim interesima i automatiziranim odlukama.
Da li odluka o adekvatnosti EU znači da se kompanije iz UK ne moraju brinuti o EU GDPR-u? Ne. Odluka o adekvatnosti reguliše tokove podataka iz EU u UK, ali ne izuzima kompanije iz UK od EU GDPR-a kada obrađuju podatke stanovnika EU. Ako kompanija iz UK cilja korisnike iz EU, EU GDPR se primjenjuje nezavisno.
Koliko dugo traje odluka o adekvatnosti UK-a za EU? Evropska komisija produžila je odluku o adekvatnosti UK-a u decembru 2025., čime je ostala važeća do decembra 2031. Kontinuirano zakonodavno odstupanje UK-a od EU GDPR-a moglo bi potaknuti reviziju prije tog datuma [2].
Može li ICO kazniti kompaniju sa sjedištem izvan UK? Da. Ako organizacija izvan UK obrađuje podatke stanovnika UK u vezi s ponudom robe ili usluga ili praćenjem njihovog ponašanja, UK GDPR se primjenjuje i ICO ima nadležnost [5].
Šta je IDTA i kada mi je potrebna? Međunarodni sporazum o prijenosu podataka (IDTA) je mehanizam UK-a za zakonit prijenos ličnih podataka iz UK u treće zemlje koje nemaju odluku o adekvatnosti. Zamjenjuje standardne ugovorne klauzule EU za prijenose iz UK u treće zemlje [1].
Da li je službenik za zaštitu podataka (DPO) obavezan prema UK GDPR-u? Da, u određenim okolnostima, posebno za javne vlasti, organizacije koje provode opsežno sistematsko praćenje pojedinaca ili one koje obrađuju podatke posebne kategorije u velikom obimu. Zahtjevi odražavaju one prema EU GDPR-u.
Šta je pravilo o obavještavanju o kršenju u roku od 72 sata? I UK GDPR i EU GDPR zahtijevaju od organizacija da obavijeste svoje nadzorno tijelo (ICO u UK) u roku od 72 sata od saznanja o kršenju ličnih podataka koje predstavlja rizik za prava i slobode pojedinaca.
Da li se prava ispitanika iz EU primjenjuju prema UK GDPR-u? Osnovna prava, pristup, ispravak, brisanje, prenosivost podataka, ograničenje i prigovor, sačuvana su prema UK GDPR-u. DPDI Act je unio manje proceduralne prilagodbe, kao što je izmjena praga za odbijanje uznemirujućih zahtjeva za pristup podacima [6].
Mogu li koristiti jednu politiku privatnosti za usklađenost i s UK i s EU? Jedan dokument može adresirati oba režima, ali mora eksplicitno pokrivati zahtjeve svakog, uključujući zasebne reference na ICO i relevantni DPA EU, različite mehanizme prijenosa i sva područja gdje se dva okvira razlikuju.
Koju ulogu Biscotti CMP igra u usklađenosti s UK GDPR-om? Biscotti CMP je platforma za upravljanje pristankom koja pomaže vlasnicima web stranica i preduzećima da prikupljaju, bilježe i upravljaju pristankom korisnika za kolačiće i tehnologije praćenja na način koji je u skladu sa zahtjevima UK GDPR-a i EU GDPR-a.
Zaključak
Razumijevanje UK GDPR-a nakon Brexita: Snalaženje s kaznama, provedbom i razlikama u odnosu na EU više nije opcionalno za bilo koju organizaciju koja obrađuje lične podatke u ili iz Ujedinjenog Kraljevstva. Dva okvira su se značajno razdvojila od januara 2021., a DPDI Act 2024. je ubrzao to razdvajanje u praktičnim područjima koja utječu na svakodnevne operacije, od pristanka za kolačiće do međunarodnih prijenosa podataka.
Akcioni koraci za 2026. godinu:
- Provedite analizu praznina upoređujući vaše trenutno stanje usklađenosti s zahtjevima UK GDPR-a i EU GDPR-a.
- Zamijenite sve SCC-ove EU koji se koriste za prijenose iz UK u treće zemlje s IDTA-om.
- Provjerite da li vaša postavka za upravljanje pristankom odražava revidirane standarde kolačića DPDI Act-a; razmislite o namjenskom rješenju poput Biscotti CMP.
- Imenujte ispravne predstavnike ako poslujete u obje jurisdikcije.
- Pratite prioritete provedbe ICO-a i smjernice EDPB-a zasebno; oni više nisu zamjenjivi.
- Periodično ponovno procjenjujte svoju poziciju adekvatnosti, posebno kako se zakonodavna reforma UK nastavlja prije pregleda odluke o adekvatnosti 2031. godine.
Trošak neusklađenosti, do 17,5 miliona funti ili 4% globalnog prometa samo prema UK GDPR-u, daleko premašuje ulaganje potrebno za održavanje zdravog programa usklađenosti.
Reference
[1] Gdpr Vs Uk Gdpr Guide - https://visioncompliance.eu/en/blog/gdpr-vs-uk-gdpr-guide?utm_source=openai [2] Uk Gdpr Vs Eu Gdpr - https://www.gdprledger.com/uk/research/uk-gdpr-vs-eu-gdpr?utm_source=openai [3] Gdpr Vs Uk Gdpr Differences 2026 - https://www.compliquest.com/en/blog/gdpr-vs-uk-gdpr-differences-2026?utm_source=openai [4] Maximum Fine Gdpr Non Compliance - https://datadoc.uk/blog/maximum-fine-gdpr-non-compliance?utm_source=openai [5] Does Gdpr Still Apply To The Uk - https://legalclarity.org/does-gdpr-still-apply-to-the-uk/?utm_source=openai [6] Gdpr Compliance - https://datadoc.uk/gdpr-compliance?utm_source=openai