Resposta ràpida: El GDPR del Regne Unit és una versió nacionalitzada del GDPR de la UE que va entrar en vigor quan el Regne Unit va abandonar el marc legal de la UE l'1 de gener de 2021. Manté els mateixos principis fonamentals, però des de llavors ha divergit a través de la Llei de Protecció de Dades i Informació Digital de 2024. Les empreses del Regne Unit han de complir amb el GDPR del Regne Unit, i aquelles que també processen dades de residents de la UE han de complir per separat amb el GDPR de la UE; ara són dues obligacions legals diferents aplicades per autoritats diferents.
Punts Clau
- El GDPR del Regne Unit i el GDPR de la UE comparteixen la mateixa estructura i principis bàsics, però les reformes legislatives des del Brexit han creat diferències significatives en àrees com les cookies, els interessos legítims i la presa de decisions automatitzada.
- L'Oficina del Comissionat d'Informació (ICO) és l'única autoritat d'aplicació del GDPR del Regne Unit; no hi ha un mecanisme de finestreta única disponible per a les organitzacions amb seu al Regne Unit.
- Les multes màximes del GDPR del Regne Unit arriben a 17,5 milions de lliures esterlines o el 4% de la facturació anual global, el que sigui més alt, reflectint l'estructura de 20 milions d'euros / 4% de la UE.
- La Comissió Europea va estendre la decisió d'adequació del Regne Unit el desembre de 225 fins al desembre de 2031, però la contínua reforma legislativa del Regne Unit podria posar en perill aquest estatus.
- Les empreses del Regne Unit que processen dades de residents de la UE han de complir amb el GDPR de la UE i nomenar un representant de la UE; el contrari s'aplica a les empreses de la UE que s'adrecen a residents del Regne Unit.
- L'ICO tendeix a emetre menys multes, però de major quantia, en comparació amb el total de les autoritats de protecció de dades (APD) de la UE.
- Les organitzacions que operen en ambdues jurisdiccions han de relacionar-se per separat amb l'ICO i les APD de la UE pertinents; no hi ha un canal de supervisió compartit.
- La gestió del consentiment i el compliment de les cookies difereixen entre els dos règims després de les esmenes de la Llei DPDI de 2024.
Què és el GDPR del Regne Unit i com difereix del GDPR de la UE després del Brexit?
El GDPR del Regne Unit és la versió del Reglament General de Protecció de Dades que es va incorporar a la legislació nacional del Regne Unit mitjançant la Llei de la Unió Europea (Retirada) de 2018, amb efecte a partir de l'1 de gener de 2021. Funciona juntament amb la Llei de Protecció de Dades de 2018 i inicialment reflectia el GDPR de la UE gairebé paraula per paraula.
Des del Brexit, però, els dos marcs han divergit. La Llei de Protecció de Dades i Informació Digital de 2024 (Llei DPDI) va introduir canvis substantius al GDPR del Regne Unit en diverses àrees [1]:
- Interessos legítims: El Regne Unit va ampliar la llista d'interessos legítims reconeguts, reduint la càrrega de les proves de ponderació per a certes activitats de processament.
- Cookies: La Llei DPDI va relaxar els requisits de consentiment per a les cookies d'anàlisi i altres cookies de baix risc similars, avançant cap a un model d'exclusió voluntària per a categories específiques.
- Presa de decisions automatitzada: Les normes del Regne Unit sobre decisions exclusivament automatitzades són ara més permissives que l'article 22 del GDPR de la UE.
- Transferències internacionals de dades: El Regne Unit va desenvolupar els seus propis mecanismes de transferència, l'Acord Internacional de Transferència de Dades (IDTA) i un Addendum del Regne Unit a les Clàusules Contractuals Estàndard de la UE, que difereixen de les SCC de la UE [1].
El GDPR de la UE continua sent interpretat i aplicat a través del Comitè Europeu de Protecció de Dades (EDPB), la guia del qual no vincula l'ICO. Això significa que la mateixa activitat es pot avaluar de manera diferent segons el règim que s'apliqui [2].
Error comú: Assumir que una única política de privadesa que cobreixi el "GDPR" és suficient per a ambdues jurisdiccions. Les organitzacions han d'abordar ambdós marcs explícitament, especialment pel que fa als mecanismes de transferència i el nomenament de representants.
Quines són les multes màximes segons el GDPR del Regne Unit?
Les multes del GDPR del Regne Unit segueixen una estructura de dos nivells que s'assembla molt al model de la UE, però utilitza xifres en lliures esterlines [4]:
| Nivell | Multa del GDPR del Regne Unit | Multa del GDPR de la UE |
|---|---|---|
| Inferior (violacions menys greus) | Fins a 8,7 milions de lliures esterlines o el 2% de la facturació anual global | Fins a 10 milions d'euros o el 2% de la facturació anual global |
| Superior (violacions més greus) | Fins a 17,5 milions de lliures esterlines o el 4% de la facturació anual global | Fins a 20 milions d'euros o el 4% de la facturació anual global |
En ambdós nivells, l'ICO aplica la xifra que sigui més alta. Les violacions de nivell superior solen implicar incompliments dels principis bàsics de protecció de dades, processament il·lícit o violacions dels drets dels interessats.
La multa més gran de l'ICO emesa fins ara va ser de 20 milions de lliures esterlines contra British Airways, imposada abans que es recalibressin els límits de multa actuals, una xifra que il·lustra la voluntat de l'ICO de perseguir sancions significatives contra grans organitzacions [4].
Cas particular: Les multes no són automàtiques. L'ICO considera factors com la naturalesa i la durada de la infracció, el nombre d'individus afectats, si l'organització va cooperar i qualsevol mesura correctiva presa. Un programa de compliment ben documentat pot influir significativament en el resultat.
Qui aplica el GDPR al Regne Unit ara?
L'Oficina del Comissionat d'Informació (ICO) és l'única autoritat de supervisió responsable d'aplicar el GDPR del Regne Unit. A diferència de la UE, que opera una xarxa d'APD nacionals coordinades per l'EDPB, el Regne Unit té un únic regulador centralitzat [3].
Això té una conseqüència pràctica: el mecanisme de finestreta única de la UE, que permet a les organitzacions multinacionals tractar amb una APD principal per al processament transfronterer, no s'aplica segons el GDPR del Regne Unit. Qualsevol organització que operi tant al Regne Unit com a la UE ha de relacionar-se amb l'ICO per a qüestions relacionades amb el Regne Unit i per separat amb l'APD de la UE (o APD) pertinent per a qüestions relacionades amb la UE [3].
L'ICO també té poders més enllà de les sancions econòmiques, inclosa l'emissió d'avisos d'aplicació, avisos d'avaluació i avisos d'informació. En casos greus, pot remetre assumptes per a un enjudiciament penal segons la Llei de Protecció de Dades de 2018.
Les empreses del Regne Unit encara han de complir amb el GDPR de la UE?
Sí, en molts casos. Les empreses del Regne Unit que ofereixen béns o serveis a residents de la UE, o que monitoren el comportament de residents de la UE, entren dins l'àmbit territorial del GDPR de la UE segons l'article 3(2), independentment d'on estigui establerta l'empresa [5].
Aquestes organitzacions han de:
- Nomenar un representant de la UE (una persona o organització amb seu en un estat membre de la UE) [5].
- Complir amb els requisits específics del GDPR de la UE, incloses les seves SCC per a transferències de dades de tornada al Regne Unit.
- Relacionar-se amb l'APD de la UE pertinent per a qualsevol queixa o investigació que impliqui interessats de la UE.
El contrari també s'aplica: les organitzacions amb seu a la UE que processen dades de residents del Regne Unit han de complir amb el GDPR del Regne Unit i nomenar un representant del Regne Unit [5].
Regla de decisió: Si el vostre lloc web s'adreça a usuaris tant del Regne Unit com de la UE (per exemple, mitjançant contingut en idiomes de la UE, preus en moneda de la UE o màrqueting específic de la UE), assumiu que s'apliquen obligacions de doble compliment fins que hàgiu obtingut assessorament legal específic en contra.
Què va canviar al GDPR del Regne Unit després del Brexit?
Més enllà de la divergència estructural ja assenyalada, diversos canvis pràctics van entrar en vigor quan el GDPR de la UE va ser substituït pel GDPR del Regne Unit per a fins domèstics [1][2]:
- Autoritat de supervisió: L'ICO va substituir l'EDPB com a principal organisme d'interpretació i aplicació.
- Decisions d'adequació: El Regne Unit ara ha d'emetre les seves pròpies decisions d'adequació per a tercers països; no pot basar-se en les decisions d'adequació de la UE.
- Mecanismes de transferència: L'IDTA va substituir les SCC de la UE per a transferències del Regne Unit a tercers països.
- Llindars de SAR: La Llei DPDI va simplificar el llindar per rebutjar o cobrar per les Sol·licituds d'Accés de l'Interessat (SAR), permetent a les organitzacions rebutjar sol·licituds que siguin "vexatòries o excessives" (un estàndard lleugerament diferent del "manifestament infundades o excessives" de la UE) [6].
- Orientació reguladora: L'orientació de l'ICO ara regeix el compliment del Regne Unit; les opinions i directrius de l'EDPB són persuasives però no vinculants al Regne Unit.
La decisió d'adequació ampliada per la Comissió Europea el desembre de 2025 significa que els fluxos de dades de la UE al Regne Unit continuen sent legals sense salvaguardes addicionals fins al desembre de 2031, però els analistes assenyalen que la contínua reforma legislativa del Regne Unit podria provocar una reavaluació [2].
El GDPR del Regne Unit és més estricte o menys estricte que el GDPR de la UE?
Cap dels dos marcs és categòricament més estricte en general. Els dos règims difereixen en àrees específiques en lloc de la severitat general.
Àrees on el GDPR del Regne Unit és més permissiu:
- Interessos legítims reconeguts més amplis segons la Llei DPDI.
- Consentiment de cookies relaxat per a analítiques de baix risc.
- Normes de presa de decisions automatitzades més flexibles.
- Llindars de rebuig de SAR simplificats [1][6].
Àrees on són àmpliament equivalents:
- Principis bàsics (licitud, equitat, transparència, limitació de la finalitat, minimització de dades, exactitud, limitació de l'emmagatzematge, integritat).
- Drets dels interessats (accés, rectificació, supressió, portabilitat, oposició).
- Estructures de multes (proporcionalment similars, amb xifres del Regne Unit en lliures esterlines).
- Terminis de notificació d'infraccions (72 hores a l'autoritat de supervisió).
Àrees on el GDPR de la UE pot ser més permissiu a la pràctica:
- El mecanisme de finestreta única pot reduir la fricció de compliment per a les multinacionals que operen en diversos estats membres de la UE, un benefici no disponible segons el GDPR del Regne Unit.
L'ICO ha emès històricament menys multes que el total de les APD de la UE, tot i que les multes individuals del Regne Unit han estat substancials [4].
Quines són les violacions comunes del GDPR que condueixen a multes?
L'ICO i les APD de la UE han sancionat constantment les següents categories de violacions:
- Base legal insuficient per al processament: Processar dades personals sense una base legal vàlida, o basar-se en un consentiment que no compleix l'estàndard requerit.
- Mesures de seguretat inadequades: No implementar mesures tècniques i organitzatives adequades, resultant en violacions de dades.
- Incompliment dels drets dels interessats: Ignorar o respondre de manera inadequada a les Sol·licituds d'Accés de l'Interessat, sol·licituds de supressió o objeccions.
- Transferències de dades il·lícites: Enviar dades personals a tercers països sense salvaguardes adequades (per exemple, sense IDTA o SCC).
- Manca de transparència: Avisos de privadesa incomplets, enganyosos o inaccessibles.
- Errors en el consentiment de cookies: Desplegar cookies no essencials sense un consentiment vàlid, o utilitzar patrons foscos per obtenir el consentiment.
Per als propietaris de llocs web i les agències de màrqueting en línia específicament, els errors en el consentiment de cookies i els avisos de privadesa inadequats es troben entre els desencadenants d'aplicació més comuns. Una plataforma de gestió del consentiment correctament configurada, com Biscotti CMP, pot ajudar les organitzacions a documentar i gestionar el consentiment d'una manera coherent amb els requisits del GDPR del Regne Unit i del GDPR de la UE.
Com sé si la meva empresa ha de complir amb el GDPR del Regne Unit?
El GDPR del Regne Unit s'aplica a qualsevol organització que [5]:
- Estigui establerta al Regne Unit i processi dades personals en el context d'aquest establiment (independentment d'on es realitzi el processament), o
- No estigui establerta al Regne Unit però processi dades personals de residents del Regne Unit en relació amb l'oferta de béns o serveis, o el seguiment del seu comportament dins del Regne Unit.
Llista de verificació pràctica:
- El vostre lloc web recull noms, adreces de correu electrònic, adreces IP o cookies de visitants del Regne Unit? Si és així, s'aplica el GDPR del Regne Unit.
- Utilitzeu eines d'anàlisi, píxels publicitaris o etiquetes de remarketing que processen dades d'usuaris del Regne Unit? Si és així, s'aplica el GDPR del Regne Unit.
- Envieu correus electrònics de màrqueting a contactes del Regne Unit? Si és així, s'aplica el GDPR del Regne Unit (i les Regulacions de Privadesa i Comunicacions Electròniques).
- Sou una empresa no britànica sense oficina al Regne Unit però amb un lloc web dirigit al Regne Unit? El GDPR del Regne Unit encara s'aplica, i és possible que necessiteu un representant del Regne Unit.
Quina diferència hi ha entre les multes de l'ICO i les sancions judicials?
Les multes de l'ICO són sancions administratives imposades directament pel regulador sense intervenció judicial. Les sancions judicials, en canvi, sorgeixen de litigis civils iniciats pels interessats o de processaments penals segons la Llei de Protecció de Dades de 2018.
Distincions clau:
- Multes de l'ICO: Emeses després d'una investigació; es poden recórrer al Tribunal de Primera Instància. Els imports màxims són els descrits a l'estructura de multes anterior.
- Indemnitzacions concedides pels tribunals: Els interessats poden presentar reclamacions als tribunals civils per danys materials o no materials causats per una infracció del GDPR. No hi ha un límit legal per a les indemnitzacions en reclamacions civils.
- Delictes penals: Certs actes, com l'obtenció il·lícita de dades personals o la reidentificació de dades anonimitzades, són delictes penals segons la Llei de Protecció de Dades de 2018, amb multes il·limitades o pena de presó.
Les organitzacions han de ser conscients que una única violació de dades pot desencadenar les tres simultàniament: una investigació de l'ICO, reclamacions civils d'individus afectats i (en casos flagrants) remissions penals.
Es pot multar per violacions del GDPR que van ocórrer abans del Brexit?
Per a les violacions que van ocórrer abans de l'1 de gener de 2021, el GDPR de la UE s'aplicava al Regne Unit. L'ICO va mantenir la jurisdicció sobre les violacions anteriors al Brexit que implicaven organitzacions establertes al Regne Unit, i les accions d'aplicació iniciades sota les normes del GDPR de la UE podien continuar sota les disposicions transitòries de la Llei de Retirada de la UE.
Les violacions posteriors al Brexit es regeixen íntegrament pel GDPR del Regne Unit. No hi ha cap mecanisme perquè les APD de la UE imposin multes a organitzacions establertes al Regne Unit per al processament de dades de residents del Regne Unit posterior al Brexit; aquesta autoritat pertany exclusivament a l'ICO.
Cas particular: Si una organització del Regne Unit estava processant dades de residents de la UE abans i després del Brexit, el període anterior al Brexit pot haver implicat obligacions del GDPR de la UE aplicades per una APD de la UE, mentre que el període posterior al Brexit cau sota el GDPR del Regne Unit (per a residents del Regne Unit) i el GDPR de la UE (per a residents de la UE) simultàniament.
Què han de fer les empreses per preparar-se per a l'aplicació del GDPR del Regne Unit?
El compliment del GDPR del Regne Unit Post-Brexit: Navegant Multes, Aplicació i Diferències amb la UE requereix un programa estructurat i continu en lloc d'una auditoria única. Les accions prioritàries inclouen:
- Mapejar els vostres fluxos de dades: Identifiqueu totes les dades personals recollides, la seva base legal, on s'emmagatzemen i si es transfereixen internacionalment.
- Actualitzar els mecanismes de transferència: Substituïu qualsevol SCC de la UE utilitzada per a transferències del Regne Unit a tercers països per l'IDTA o l'Addendum del Regne Unit [1].
- Revisar el vostre avís de privadesa: Assegureu-vos que reflecteix els requisits del GDPR del Regne Unit i l'orientació de l'ICO, no només els estàndards del GDPR de la UE.
- Auditar el consentiment de cookies: Si el vostre lloc web serveix visitants del Regne Unit, verifiqueu que la vostra configuració de gestió del consentiment compleix els estàndards revisats de la Llei DPDI. Eines com Biscotti CMP estan dissenyades per donar suport a la recollida i documentació de consentiment conforme.
- Nomenar representants: Si processeu dades de residents de la UE, nomenar un representant de la UE; si sou una empresa no britànica que processa dades de residents del Regne Unit, nomenar un representant del Regne Unit [5].
- Formar el personal: La formació en protecció de dades ha de reflectir les especificitats del GDPR del Regne Unit, no contingut genèric de "GDPR" que pugui confondre els dos règims.
- Monitoritzar l'orientació de l'ICO: L'ICO publica orientació actualitzada regularment; subscriviu-vos a les actualitzacions de l'ICO per mantenir-vos al dia amb les prioritats d'aplicació.
Eina de Decisió de Compliment del GDPR del Regne Unit
Preguntes Freqüents
Quina diferència hi ha entre el GDPR del Regne Unit i el GDPR de la UE en termes senzills? El GDPR del Regne Unit és una versió nacionalitzada del GDPR de la UE que s'aplica dins del Regne Unit. Comparteixen els mateixos principis fonamentals, però han divergit des del Brexit, particularment després de la Llei DPDI de 2024, que va relaxar les normes sobre cookies, interessos legítims i decisions automatitzades.
La decisió d'adequació de la UE significa que les empreses del Regne Unit no s'han de preocupar pel GDPR de la UE? No. La decisió d'adequació regeix els fluxos de dades de la UE al Regne Unit, no eximeix les empreses del Regne Unit del GDPR de la UE quan processen dades de residents de la UE. Si una empresa del Regne Unit s'adreça a usuaris de la UE, el GDPR de la UE s'aplica independentment.
Quant de temps dura la decisió d'adequació de la UE del Regne Unit? La Comissió Europea va estendre la decisió d'adequació del Regne Unit el desembre de 2025, mantenint-la vàlida fins al desembre de 2031. La contínua divergència legislativa del Regne Unit respecte al GDPR de la UE podria provocar una revisió abans d'aquesta data [2].
Pot l'ICO multar una empresa amb seu fora del Regne Unit? Sí. Si una organització no britànica processa dades de residents del Regne Unit en relació amb l'oferta de béns o serveis o el seguiment del seu comportament, el GDPR del Regne Unit s'aplica i l'ICO té jurisdicció [5].
Què és l'IDTA i quan el necessito? L'Acord Internacional de Transferència de Dades (IDTA) és el mecanisme del Regne Unit per transferir legalment dades personals del Regne Unit a tercers països que no tenen una decisió d'adequació. Substitueix les Clàusules Contractuals Estàndard de la UE per a transferències del Regne Unit a tercers països [1].
Es requereix un Delegat de Protecció de Dades (DPD) segons el GDPR del Regne Unit? Sí, en certes circumstàncies, específicament per a autoritats públiques, organitzacions que realitzen un seguiment sistemàtic a gran escala d'individus, o aquelles que processen dades de categories especials a gran escala. Els requisits reflecteixen els del GDPR de la UE.
Quina és la regla de notificació d'infraccions de 72 hores? Tant el GDPR del Regne Unit com el GDPR de la UE exigeixen que les organitzacions notifiquin la seva autoritat de supervisió (l'ICO al Regne Unit) en un termini de 72 hores des que tinguin coneixement d'una violació de dades personals que suposi un risc per als drets i llibertats dels individus.
S'apliquen els drets dels interessats de la UE segons el GDPR del Regne Unit? Els drets fonamentals, accés, rectificació, supressió, portabilitat de dades, restricció i oposició, es conserven segons el GDPR del Regne Unit. La Llei DPDI va fer ajustos processals menors, com la modificació del llindar per rebutjar sol·licituds d'accés de l'interessat vexatòries [6].
Puc utilitzar una única política de privadesa per al compliment tant del Regne Unit com de la UE? Un únic document pot abordar ambdós règims, però ha de cobrir explícitament els requisits de cadascun, incloses referències separades a l'ICO i a l'APD de la UE pertinent, diferents mecanismes de transferència i qualsevol àrea on els dos marcs divergeixin.
Quin paper juga Biscotti CMP en el compliment del GDPR del Regne Unit? Biscotti CMP és una plataforma de gestió del consentiment que ajuda els propietaris de llocs web i les empreses a recollir, registrar i gestionar el consentiment dels usuaris per a cookies i tecnologies de seguiment d'una manera coherent amb els requisits del GDPR del Regne Unit i del GDPR de la UE.
Conclusió
Entendre el GDPR del Regne Unit Post-Brexit: Navegant Multes, Aplicació i Diferències amb la UE ja no és opcional per a cap organització que processi dades personals al Regne Unit o des d'aquest. Els dos marcs han divergit significativament des de gener de 2021, i la Llei DPDI de 2024 ha accelerat aquesta divergència en àrees pràctiques que afecten les operacions diàries, des del consentiment de cookies fins a les transferències internacionals de dades.
Pròxims passos accionables per al 2026:
- Realitzar una anàlisi de bretxes comparant la vostra postura de compliment actual amb els requisits del GDPR del Regne Unit i del GDPR de la UE.
- Substituir qualsevol SCC de la UE utilitzada per a transferències del Regne Unit a tercers països per l'IDTA.
- Verificar que la vostra configuració de gestió del consentiment reflecteix els estàndards de cookies revisats de la Llei DPDI; considereu una solució dedicada com Biscotti CMP.
- Nomenar els representants correctes si opereu en ambdues jurisdiccions.
- Monitoritzar les prioritats d'aplicació de l'ICO i l'orientació de l'EDPB per separat, ja no són intercanviables.
- Reavaluar la vostra posició d'adequació periòdicament, particularment a mesura que la reforma legislativa del Regne Unit continua abans de la revisió de la decisió d'adequació de 2031.
El cost de l'incompliment, fins a 17,5 milions de lliures esterlines o el 4% de la facturació global només segons el GDPR del Regne Unit, supera amb escreix la inversió necessària per mantenir un programa de compliment sòlid.
Referències
[1] Guia GDPR vs GDPR del Regne Unit - https://visioncompliance.eu/en/blog/gdpr-vs-uk-gdpr-guide?utm_source=openai [2] GDPR del Regne Unit vs GDPR de la UE - https://www.gdprledger.com/uk/research/uk-gdpr-vs-eu-gdpr?utm_source=openai [3] Diferències GDPR vs GDPR del Regne Unit 2026 - https://www.compliquest.com/en/blog/gdpr-vs-uk-gdpr-differences-2026?utm_source=openai [4] Multa màxima per incompliment del GDPR - https://datadoc.uk/blog/maximum-fine-gdpr-non-compliance?utm_source=openai [5] El GDPR encara s'aplica al Regne Unit - https://legalclarity.org/does-gdpr-still-apply-to-the-uk/?utm_source=openai [6] Compliment del GDPR - https://datadoc.uk/gdpr-compliance?utm_source=openai