Stručná odpověď: UK GDPR je domestikovaná verze EU GDPR, která vstoupila v platnost, když Spojené království opustilo právní rámec EU 1. ledna 2021. Zachovává stejné základní principy, ale od té doby se odchýlila prostřednictvím zákona o ochraně údajů a digitálních informacích z roku 2024. Britské podniky musí dodržovat UK GDPR a ty, které zpracovávají údaje obyvatel EU, musí samostatně dodržovat EU GDPR; jedná se nyní o dvě odlišné právní povinnosti vymáhané různými úřady.
Klíčové poznatky
- UK GDPR a EU GDPR sdílejí stejnou strukturu a základní principy, ale legislativní reformy od Brexitu vytvořily významné rozdíly v oblastech, jako jsou soubory cookie, oprávněné zájmy a automatizované rozhodování.
- Úřad komisaře pro informace (ICO) je jediným orgánem pro vymáhání UK GDPR; pro organizace se sídlem ve Spojeném království není k dispozici mechanismus jednotného kontaktního místa.
- Maximální pokuty podle UK GDPR dosahují 17,5 milionu liber nebo 4 % celkového ročního obratu, podle toho, co je vyšší, což odráží strukturu EU 20 milionů eur / 4 %.
- Evropská komise prodloužila rozhodnutí o přiměřenosti pro Spojené království v prosinci 2025 do prosince 2031, ale pokračující legislativní reforma ve Spojeném království by mohla tento status ohrozit.
- Britské společnosti zpracovávající údaje obyvatel EU musí dodržovat EU GDPR a jmenovat zástupce v EU; opak platí pro společnosti z EU, které se zaměřují na obyvatele Spojeného království.
- ICO má tendenci ukládat méně, ale vyšších pokut ve srovnání s celkovým počtem pokut ukládaných úřady pro ochranu osobních údajů (DPA) v EU.
- Organizace působící v obou jurisdikcích musí samostatně komunikovat s ICO a příslušnými DPA v EU, neexistuje žádný sdílený dohledový kanál.
- Správa souhlasu a dodržování pravidel pro soubory cookie se po změnách zákona DPDI z roku 2024 mezi oběma režimy liší.
Co je UK GDPR a jak se liší od EU GDPR po Brexitu?
UK GDPR je verze obecného nařízení o ochraně osobních údajů, která byla začleněna do vnitrostátního práva Spojeného království prostřednictvím zákona o vystoupení z Evropské unie (Withdrawal) z roku 2018, s účinností od 1. ledna 2021. Funguje souběžně se zákonem o ochraně osobních údajů z roku 2018 a zpočátku téměř doslovně kopírovala EU GDPR.
Od Brexitu se však oba rámce rozcházejí. Zákon o ochraně osobních údajů a digitálních informacích z roku 2024 (DPDI Act) zavedl podstatné změny do UK GDPR v několika oblastech [1]:
- Oprávněné zájmy: Spojené království rozšířilo seznam uznávaných oprávněných zájmů, čímž snížilo zátěž testů vyváženosti pro určité činnosti zpracování.
- Soubory cookie: Zákon DPDI uvolnil požadavky na souhlas pro analytické a podobné nízkorizikové soubory cookie, směřující k modelu opt-out pro specifické kategorie.
- Automatizované rozhodování: Pravidla Spojeného království pro výhradně automatizovaná rozhodnutí jsou nyní shovívavější než článek 22 EU GDPR.
- Mezinárodní předávání údajů: Spojené království vyvinulo vlastní mechanismy předávání, Mezinárodní dohodu o předávání údajů (IDTA) a dodatek Spojeného království k standardním smluvním doložkám EU, které se liší od SCC EU [1].
EU GDPR je nadále interpretováno a vymáháno prostřednictvím Evropského sboru pro ochranu osobních údajů (EDPB), jehož pokyny nejsou pro ICO závazné. To znamená, že stejná činnost může být posuzována odlišně v závislosti na tom, který režim se použije [2].
Častá chyba: Předpoklad, že jedna zásada ochrany osobních údajů pokrývající „GDPR“ je dostatečná pro obě jurisdikce. Organizace musí explicitně řešit oba rámce, zejména pokud jde o mechanismy předávání a jmenování zástupců.
Jaké jsou maximální pokuty podle UK GDPR?
Pokuty podle UK GDPR se řídí dvoustupňovou strukturou, která se úzce podobá modelu EU, ale používá částky v librách šterlinků [4]:
| Úroveň | Pokuta UK GDPR | Pokuta EU GDPR |
|---|---|---|
| Nižší (méně závažná porušení) | Až 8,7 milionu liber nebo 2 % celkového ročního obratu | Až 10 milionů eur nebo 2 % celkového ročního obratu |
| Vyšší (nejzávažnější porušení) | Až 17,5 milionu liber nebo 4 % celkového ročního obratu | Až 20 milionů eur nebo 4 % celkového ročního obratu |
V obou úrovních ICO uplatňuje vyšší z těchto částek. Porušení vyšší úrovně obvykle zahrnují porušení základních principů ochrany osobních údajů, nezákonné zpracování nebo porušení práv subjektů údajů.
Největší pokuta uložená ICO k dnešnímu dni činila 20 milionů liber proti British Airways, uložená před rekalibrací současných limitů pokut, což je částka, která ilustruje ochotu ICO uplatňovat značné sankce proti velkým organizacím [4].
Okrajový případ: Pokuty nejsou automatické. ICO zohledňuje faktory, jako je povaha a trvání porušení, počet dotčených osob, zda organizace spolupracovala, a veškerá nápravná opatření. Dobře zdokumentovaný program dodržování předpisů může významně ovlivnit výsledek.
Kdo nyní vymáhá GDPR ve Spojeném království?
Úřad komisaře pro informace (ICO) je jediným dozorovým úřadem odpovědným za vymáhání UK GDPR. Na rozdíl od EU, která provozuje síť národních DPA koordinovaných EDPB, má Spojené království jediný centralizovaný regulátor [3].
To má praktický důsledek: mechanismus jednotného kontaktního místa EU, který umožňuje nadnárodním organizacím jednat s jedním vedoucím DPA pro přeshraniční zpracování, se nevztahuje na UK GDPR. Jakákoli organizace působící ve Spojeném království i v EU musí pro záležitosti související se Spojeným královstvím jednat s ICO a samostatně s příslušným DPA (nebo DPA) v EU pro záležitosti související s EU [3].
ICO má také pravomoci nad rámec finančních sankcí, včetně vydávání donucovacích příkazů, posudkových příkazů a informačních příkazů. V závažných případech může věci postoupit k trestnímu stíhání podle zákona o ochraně osobních údajů z roku 2018.
Musí britské společnosti stále dodržovat EU GDPR?
Ano, v mnoha případech. Britské společnosti, které nabízejí zboží nebo služby obyvatelům EU, nebo které monitorují chování obyvatel EU, spadají do územní působnosti EU GDPR podle článku 3(2), bez ohledu na to, kde je společnost usazena [5].
Takové organizace musí:
- Jmenovat zástupce v EU (jednotlivce nebo organizaci se sídlem v členském státě EU) [5].
- Dodržovat specifické požadavky EU GDPR, včetně jeho SCC pro předávání údajů zpět do Spojeného království.
- Komunikovat s příslušným DPA v EU ohledně jakýchkoli stížností nebo vyšetřování týkajících se subjektů údajů z EU.
Opak platí také: organizace se sídlem v EU zpracovávající údaje obyvatel Spojeného království musí dodržovat UK GDPR a jmenovat zástupce ve Spojeném království [5].
Pravidlo rozhodování: Pokud se vaše webová stránka zaměřuje na uživatele ve Spojeném království i v EU (například prostřednictvím obsahu v jazyce EU, cen v měně EU nebo marketingu specifického pro EU), předpokládejte, že platí dvojí povinnosti dodržování, dokud nezískáte konkrétní právní radu, která by tvrdila opak.
Co se změnilo v UK GDPR po Brexitu?
Kromě již zmíněné strukturální divergence vstoupilo v platnost několik praktických změn, když bylo EU GDPR nahrazeno UK GDPR pro domácí účely [1][2]:
- Dozorový úřad: ICO nahradilo EDPB jako primární interpretační a donucovací orgán.
- Rozhodnutí o přiměřenosti: Spojené království musí nyní vydávat vlastní rozhodnutí o přiměřenosti pro třetí země; nemůže se spoléhat na rozhodnutí o přiměřenosti EU.
- Mechanismy předávání: IDTA nahradila SCC EU pro předávání ze Spojeného království do třetích zemí.
- Prahové hodnoty SAR: Zákon DPDI zjednodušil prahovou hodnotu pro odmítnutí nebo zpoplatnění žádostí subjektů o přístup, což organizacím umožňuje odmítnout žádosti, které jsou „obtěžující nebo nadměrné“ (mírně odlišný standard než „zjevně neopodstatněné nebo nadměrné“ v EU) [6].
- Regulační pokyny: Pokyny ICO nyní řídí dodržování předpisů ve Spojeném království; stanoviska a pokyny EDPB jsou přesvědčivé, ale ve Spojeném království nejsou závazné.
Rozhodnutí o přiměřenosti prodloužené Evropskou komisí v prosinci 2025 znamená, že toky dat z EU do Spojeného království zůstávají zákonné bez dodatečných záruk do prosince 2031, ale analytici poznamenávají, že pokračující legislativní reforma ve Spojeném království by mohla vyvolat přehodnocení [2].
Je UK GDPR přísnější nebo méně přísné než EU GDPR?
Žádný z rámců není plošně kategoricky přísnější. Oba režimy se liší v konkrétních oblastech spíše než v celkové závažnosti.
Oblasti, kde je UK GDPR shovívavější:
- Širší uznávané oprávněné zájmy podle zákona DPDI.
- Uvolněný souhlas s cookies pro nízkorizikovou analýzu.
- Flexibilnější pravidla pro automatizované rozhodování.
- Zjednodušené prahové hodnoty pro odmítnutí SAR [1][6].
Oblasti, kde jsou obecně rovnocenné:
- Základní principy (zákonnost, spravedlnost, transparentnost, omezení účelu, minimalizace dat, přesnost, omezení uchovávání, integrita).
- Práva subjektů údajů (přístup, oprava, výmaz, přenositelnost, námitka).
- Struktury pokut (proporcionálně podobné, s britskými čísly v librách šterlinků).
- Lhůty pro oznámení porušení (72 hodin dozorovému úřadu).
Oblasti, kde může být EU GDPR v praxi shovívavější:
- Mechanismus jednotného kontaktního místa může snížit tření při dodržování předpisů pro nadnárodní společnosti působící v členských státech EU, což je výhoda, která není k dispozici podle UK GDPR.
ICO historicky uložilo méně pokut než souhrnný výstup DPA v EU, ačkoli jednotlivé britské pokuty byly značné [4].
Jaká jsou běžná porušení GDPR, která vedou k pokutám?
ICO a DPA v EU důsledně pokutovaly následující kategorie porušení:
- Nedostatečný právní základ pro zpracování: Zpracování osobních údajů bez platného právního základu nebo spoléhání se na souhlas, který nesplňuje požadovaný standard.
- Nedostatečná bezpečnostní opatření: Neimplementace vhodných technických a organizačních opatření, což vede k narušení bezpečnosti dat.
- Nedodržování práv subjektů údajů: Ignorování nebo nedostatečné reagování na žádosti subjektů o přístup, žádosti o výmaz nebo námitky.
- Nezákonné předávání údajů: Odesílání osobních údajů do třetích zemí bez odpovídajících záruk (například bez IDTA nebo SCC).
- Nedostatek transparentnosti: Oznámení o ochraně osobních údajů, která jsou neúplná, zavádějící nebo nepřístupná.
- Selhání souhlasu s cookies: Nasazení nepodstatných cookies bez platného souhlasu nebo použití temných vzorů k získání souhlasu.
Pro majitele webových stránek a online marketingové agentury jsou konkrétně selhání souhlasu s cookies a nedostatečná oznámení o ochraně osobních údajů mezi nejčastějšími spouštěči vymáhání. Správně nakonfigurovaná platforma pro správu souhlasu, jako je Biscotti CMP, může organizacím pomoci dokumentovat a spravovat souhlas způsobem, který je v souladu s požadavky UK GDPR i EU GDPR.
Jak poznám, zda moje firma musí dodržovat UK GDPR?
UK GDPR se vztahuje na každou organizaci, která [5]:
- Je usazena ve Spojeném království a zpracovává osobní údaje v souvislosti s tímto usazením (bez ohledu na to, kde se zpracování provádí), nebo
- Není usazena ve Spojeném království, ale zpracovává osobní údaje obyvatel Spojeného království v souvislosti s nabídkou zboží nebo služeb nebo monitorováním jejich chování ve Spojeném království.
Praktický kontrolní seznam:
- Shromažďuje vaše webová stránka jména, e-mailové adresy, IP adresy nebo soubory cookie od návštěvníků ze Spojeného království? Pokud ano, platí UK GDPR.
- Používáte analytické nástroje, reklamní pixely nebo remarketingové značky, které zpracovávají data uživatelů ze Spojeného království? Pokud ano, platí UK GDPR.
- Posíláte marketingové e-maily kontaktům ve Spojeném království? Pokud ano, platí UK GDPR (a nařízení o soukromí a elektronických komunikacích).
- Jste nebritská firma bez kanceláře ve Spojeném království, ale s webovou stránkou zaměřenou na Spojené království? UK GDPR stále platí a možná budete potřebovat zástupce ve Spojeném království.
Jaký je rozdíl mezi pokutami ICO a soudními sankcemi?
Pokuty ICO jsou správní sankce ukládané přímo regulátorem bez účasti soudu. Soudní sankce naopak vyplývají z občanskoprávních sporů podaných subjekty údajů nebo trestních stíhání podle zákona o ochraně osobních údajů z roku 2018.
Klíčové rozdíly:
- Pokuty ICO: Vydané po vyšetřování; lze se proti nim odvolat k First-tier Tribunal. Maximální částky jsou popsány ve výše uvedené struktuře pokut.
- Soudem přiznané náhrady škody: Subjekty údajů mohou podávat žaloby u občanskoprávních soudů na materiální nebo nemateriální škodu způsobenou porušením GDPR. Neexistuje žádný zákonný limit pro náhradu škody v občanskoprávních žalobách.
- Trestné činy: Určité činy, jako je nezákonné získání osobních údajů nebo opětovná identifikace anonymizovaných údajů, jsou trestnými činy podle zákona o ochraně osobních údajů z roku 2018, s neomezenými pokutami nebo trestem odnětí svobody.
Organizace by si měly být vědomy, že jedno narušení dat může spustit všechny tři současně: vyšetřování ICO, občanskoprávní žaloby od dotčených osob a (v závažných případech) trestní oznámení.
Můžete být pokutováni za porušení GDPR, ke kterým došlo před Brexitem?
Za porušení, ke kterým došlo před 1. lednem 2021, platilo v Spojeném království EU GDPR. ICO si ponechalo jurisdikci nad porušeními před Brexitem týkajícími se organizací usazených ve Spojeném království a donucovací opatření zahájená podle pravidel EU GDPR mohla pokračovat podle přechodných ustanovení zákona o vystoupení z EU.
Porušení po Brexitu se řídí výhradně UK GDPR. Neexistuje žádný mechanismus, aby DPA v EU ukládaly pokuty organizacím usazeným ve Spojeném království za zpracování údajů obyvatel Spojeného království po Brexitu, tato pravomoc náleží výhradně ICO.
Okrajový případ: Pokud britská organizace zpracovávala údaje obyvatel EU před a po Brexitu, období před Brexitem mohlo zahrnovat povinnosti EU GDPR vymáhané DPA v EU, zatímco období po Brexitu spadá pod UK GDPR (pro obyvatele Spojeného království) a EU GDPR (pro obyvatele EU) současně.
Co by měly společnosti udělat, aby se připravily na vymáhání UK GDPR?
Dodržování UK GDPR po Brexitu: Orientace v pokutách, vymáhání a rozdílech oproti EU vyžaduje strukturovaný, průběžný program spíše než jednorázový audit. Prioritní akce zahrnují:
- Zmapujte své toky dat: Identifikujte všechna shromážděná osobní data, jejich právní základ, kde jsou uložena a zda jsou předávána mezinárodně.
- Aktualizujte mechanismy předávání: Nahraďte veškeré SCC EU používané pro předávání ze Spojeného království do třetích zemí IDTA nebo dodatkem Spojeného království [1].
- Zkontrolujte své oznámení o ochraně osobních údajů: Zajistěte, aby odráželo požadavky UK GDPR a pokyny ICO, nikoli pouze standardy EU GDPR.
- Auditujte souhlas s cookies: Pokud vaše webová stránka slouží návštěvníkům ze Spojeného království, ověřte, zda vaše nastavení správy souhlasu splňuje revidované standardy zákona DPDI. Nástroje jako Biscotti CMP jsou navrženy tak, aby podporovaly sběr a dokumentaci souhlasu v souladu s předpisy.
- Jmenujte zástupce: Pokud zpracováváte údaje obyvatel EU, jmenujte zástupce v EU; pokud jste nebritská firma zpracovávající údaje obyvatel Spojeného království, jmenujte zástupce ve Spojeném království [5].
- Školte zaměstnance: Školení o ochraně osobních údajů by mělo odrážet specifika UK GDPR, nikoli obecný obsah „GDPR“, který může oba režimy zaměňovat.
- Sledujte pokyny ICO: ICO pravidelně zveřejňuje aktualizované pokyny; přihlaste se k odběru aktualizací ICO, abyste byli v obraze s prioritami vymáhání.
Nástroj pro rozhodování o dodržování UK GDPR
Často kladené otázky
Jaký je rozdíl mezi UK GDPR a EU GDPR v jednoduchých pojmech? UK GDPR je domestikovaná verze EU GDPR, která platí ve Spojeném království. Sdílejí stejné základní principy, ale od Brexitu se rozcházejí, zejména po zákoně DPDI z roku 2024, který uvolnil pravidla týkající se cookies, oprávněných zájmů a automatizovaných rozhodnutí.
Znamená rozhodnutí EU o přiměřenosti, že se britské společnosti nemusí starat o EU GDPR? Ne. Rozhodnutí o přiměřenosti upravuje toky dat z EU do Spojeného království, ale nezbavuje britské společnosti povinnosti dodržovat EU GDPR, pokud zpracovávají údaje obyvatel EU. Pokud se britská společnost zaměřuje na uživatele z EU, platí EU GDPR nezávisle.
Jak dlouho platí rozhodnutí EU o přiměřenosti pro Spojené království? Evropská komise prodloužila rozhodnutí o přiměřenosti pro Spojené království v prosinci 2025, čímž zůstává platné do prosince 2031. Pokračující legislativní divergence Spojeného království od EU GDPR by mohla vyvolat přezkum před tímto datem [2].
Může ICO pokutovat společnost se sídlem mimo Spojené království? Ano. Pokud nebritská organizace zpracovává údaje obyvatel Spojeného království v souvislosti s nabídkou zboží nebo služeb nebo monitorováním jejich chování, platí UK GDPR a ICO má jurisdikci [5].
Co je IDTA a kdy ji potřebuji? Mezinárodní dohoda o předávání údajů (IDTA) je mechanismus Spojeného království pro zákonné předávání osobních údajů ze Spojeného království do třetích zemí, které nemají rozhodnutí o přiměřenosti. Nahrazuje standardní smluvní doložky EU pro předávání ze Spojeného království do třetích zemí [1].
Je podle UK GDPR vyžadován pověřenec pro ochranu osobních údajů (DPO)? Ano, za určitých okolností, konkrétně pro veřejné orgány, organizace, které provádějí rozsáhlé systematické monitorování jednotlivců, nebo ty, které zpracovávají zvláštní kategorie údajů ve velkém měřítku. Požadavky zrcadlí ty podle EU GDPR.
Co je pravidlo 72hodinového oznámení o porušení? Jak UK GDPR, tak EU GDPR vyžadují, aby organizace oznámily svému dozorovému úřadu (ICO ve Spojeném království) do 72 hodin od zjištění narušení osobních údajů, které představuje riziko pro práva a svobody jednotlivců.
Platí práva subjektů údajů z EU podle UK GDPR? Základní práva, přístup, oprava, výmaz, přenositelnost dat, omezení a námitka, jsou zachována podle UK GDPR. Zákon DPDI provedl drobné procedurální úpravy, jako je úprava prahové hodnoty pro odmítnutí obtěžujících žádostí subjektů o přístup [6].
Mohu použít jednu zásadu ochrany osobních údajů pro dodržování předpisů ve Spojeném království i v EU? Jeden dokument může řešit oba režimy, ale musí explicitně pokrývat požadavky každého z nich, včetně samostatných odkazů na ICO a příslušné DPA v EU, různých mechanismů předávání a jakýchkoli oblastí, kde se oba rámce rozcházejí.
Jakou roli hraje Biscotti CMP při dodržování UK GDPR? Biscotti CMP je platforma pro správu souhlasu, která pomáhá majitelům webových stránek a firmám shromažďovat, zaznamenávat a spravovat souhlas uživatelů s cookies a sledovacími technologiemi způsobem, který je v souladu s požadavky UK GDPR a EU GDPR.
Závěr
Pochopení UK GDPR po Brexitu: Orientace v pokutách, vymáhání a rozdílech oproti EU již není volitelná pro žádnou organizaci, která zpracovává osobní údaje ve Spojeném království nebo ze Spojeného království. Oba rámce se od ledna 2021 významně rozcházejí a zákon DPDI z roku 2024 tuto divergenci urychlil v praktických oblastech, které ovlivňují každodenní provoz, od souhlasu s cookies po mezinárodní předávání dat.
Akční kroky pro rok 2026:
- Proveďte analýzu mezer porovnávající váš současný stav dodržování předpisů s požadavky UK GDPR i EU GDPR.
- Nahraďte veškeré SCC EU používané pro předávání ze Spojeného království do třetích zemí IDTA.
- Ověřte, zda vaše nastavení správy souhlasu odráží revidované standardy zákona DPDI pro cookies; zvažte specializované řešení, jako je Biscotti CMP.
- Jmenujte správné zástupce, pokud působíte v obou jurisdikcích.
- Sledujte priority vymáhání ICO a pokyny EDPB samostatně, již nejsou zaměnitelné.
- Pravidelně přehodnocujte svou pozici přiměřenosti, zejména s pokračující legislativní reformou ve Spojeném království před přezkumem rozhodnutí o přiměřenosti v roce 2031.
Náklady na nedodržení předpisů, až 17,5 milionu liber nebo 4 % celkového obratu pouze podle UK GDPR, daleko převyšují investice potřebné k udržení řádného programu dodržování předpisů.
Reference
[1] Průvodce GDPR vs UK GDPR - https://visioncompliance.eu/en/blog/gdpr-vs-uk-gdpr-guide?utm_source=openai [2] UK GDPR vs EU GDPR - https://www.gdprledger.com/uk/research/uk-gdpr-vs-eu-gdpr?utm_source=openai [3] Rozdíly GDPR vs UK GDPR 2026 - https://www.compliquest.com/en/blog/gdpr-vs-uk-gdpr-differences-2026?utm_source=openai [4] Maximální pokuta za nedodržení GDPR - https://datadoc.uk/blog/maximum-fine-gdpr-non-compliance?utm_source=openai [5] Platí GDPR stále pro Spojené království - https://legalclarity.org/does-gdpr-still-apply-to-the-uk/?utm_source=openai [6] Dodržování GDPR - https://datadoc.uk/gdpr-compliance?utm_source=openai