Kort svar: UK GDPR er en nationaliseret version af EU GDPR, der trådte i kraft, da Storbritannien forlod EU's retlige rammer den 1. januar 2021. Den bevarer de samme grundlæggende principper, men har siden divergeret gennem Data Protection and Digital Information Act 2024. Britiske virksomheder skal overholde UK GDPR, og de, der også behandler EU-borgeres data, skal separat overholde EU GDPR; dette er nu to forskellige juridiske forpligtelser, der håndhæves af forskellige myndigheder.
Vigtigste pointer
- UK GDPR og EU GDPR deler samme struktur og kerneprincipper, men lovgivningsreformer siden Brexit har skabt betydelige forskelle inden for områder som cookies, legitime interesser og automatiseret beslutningstagning.
- Information Commissioner's Office (ICO) er den eneste håndhævelsesmyndighed for UK GDPR; der er ingen one-stop-shop-mekanisme tilgængelig for britiske organisationer.
- Maksimale UK GDPR-bøder når £17,5 millioner eller 4 % af den globale årlige omsætning, alt efter hvad der er højest, hvilket afspejler EU's €20 millioner / 4 % struktur.
- Europa-Kommissionen forlængede Storbritanniens tilstrækkelighedsbeslutning i december 2025 indtil december 2031, men fortsat britisk lovgivningsreform kan bringe denne status i fare.
- Britiske virksomheder, der behandler EU-borgeres data, skal overholde EU GDPR og udpege en EU-repræsentant; det modsatte gælder for EU-virksomheder, der retter sig mod britiske borgere.
- ICO har tendens til at udstede færre, men større bøder sammenlignet med den samlede produktion fra EU's databeskyttelsesmyndigheder (DPA'er).
- Organisationer, der opererer på tværs af begge jurisdiktioner, skal engagere sig separat med ICO og relevante EU DPA'er; der er ingen fælles tilsynskanal.
- Samtykkestyring og cookie-overholdelse adskiller sig mellem de to regimer efter ændringerne i DPDI Act 2024.
Hvad er UK GDPR, og hvordan adskiller den sig fra EU GDPR efter Brexit?
UK GDPR er den version af General Data Protection Regulation, der blev indarbejdet i britisk national lovgivning via European Union (Withdrawal) Act 2018, gældende fra 1. januar 2021. Den fungerer sideløbende med Data Protection Act 2018 og afspejlede oprindeligt EU GDPR næsten ord for ord.
Siden Brexit er de to rammer dog divergeret. Data Protection and Digital Information Act 2024 (DPDI Act) introducerede væsentlige ændringer i UK GDPR på flere områder [1]:
- Legitime interesser: Storbritannien udvidede listen over anerkendte legitime interesser, hvilket reducerede byrden ved afvejningstests for visse behandlingsaktiviteter.
- Cookies: DPDI Act lempede samtykkekravene for analyse og lignende lavrisikocookies og bevægede sig mod en opt-out-model for specifikke kategorier.
- Automatiseret beslutningstagning: Storbritanniens regler for udelukkende automatiserede beslutninger er nu mere lempelige end artikel 22 i EU GDPR.
- Internationale dataoverførsler: Storbritannien udviklede sine egne overførselsmekanismer, International Data Transfer Agreement (IDTA) og et UK Addendum til EU Standard Contractual Clauses, som adskiller sig fra EU's SCC'er [1].
EU GDPR fortsætter med at blive fortolket og håndhævet gennem European Data Protection Board (EDPB), hvis vejledning ikke binder ICO. Dette betyder, at den samme aktivitet kan vurderes forskelligt afhængigt af hvilket regime der gælder [2].
Almindelig fejl: At antage, at en enkelt privatlivspolitik, der dækker "GDPR", er tilstrækkelig for begge jurisdiktioner. Organisationer skal eksplicit adressere begge rammer, især omkring overførselsmekanismer og udpegning af repræsentanter.
Hvad er de maksimale bøder under UK GDPR?
UK GDPR-bøder følger en to-trins struktur, der tæt parallellerer EU-modellen, men bruger britiske pund-tal [4]:
| Niveau | UK GDPR-bøde | EU GDPR-bøde |
|---|---|---|
| Lavere (mindre alvorlige overtrædelser) | Op til £8,7 millioner eller 2 % af global årlig omsætning | Op til €10 millioner eller 2 % af global årlig omsætning |
| Øvre (mest alvorlige overtrædelser) | Op til £17,5 millioner eller 4 % af global årlig omsætning | Op til €20 millioner eller 4 % af global årlig omsætning |
På begge niveauer anvender ICO det tal, der er højest. Overtrædelser på øvre niveau involverer typisk brud på kernebeskyttelsesprincipper, ulovlig behandling eller overtrædelser af registreredes rettigheder.
Den største ICO-bøde, der hidtil er udstedt, var £20 millioner mod British Airways, pålagt før de nuværende bødeloft blev rekalibreret, et tal der illustrerer ICO's vilje til at forfølge betydelige sanktioner mod store organisationer [4].
Særligt tilfælde: Bøder er ikke automatiske. ICO tager hensyn til faktorer, herunder overtrædelsens art og varighed, antallet af berørte personer, om organisationen samarbejdede, og eventuelle afhjælpende foranstaltninger. Et veldokumenteret overholdelsesprogram kan have en betydelig indflydelse på resultatet.
Hvem håndhæver GDPR i Storbritannien nu?
Information Commissioner's Office (ICO) er den eneste tilsynsmyndighed, der er ansvarlig for håndhævelsen af UK GDPR. I modsætning til EU, som driver et netværk af nationale DPA'er koordineret af EDPB, har Storbritannien en enkelt centraliseret regulator [3].
Dette har en praktisk konsekvens: EU's one-stop-shop-mekanisme, som giver multinationale organisationer mulighed for at håndtere én ledende DPA for grænseoverskridende behandling, gælder ikke under UK GDPR. Enhver organisation, der opererer i både Storbritannien og EU, skal engagere sig med ICO for UK-relaterede spørgsmål og separat med den relevante EU DPA (eller DPA'er) for EU-relaterede spørgsmål [3].
ICO har også beføjelser ud over økonomiske sanktioner, herunder udstedelse af håndhævelsespåbud, vurderingspåbud og informationspåbud. I alvorlige tilfælde kan den henvise sager til strafferetlig forfølgelse i henhold til Data Protection Act 2018.
Skal britiske virksomheder stadig overholde EU GDPR?
Ja, i mange tilfælde. Britiske virksomheder, der tilbyder varer eller tjenester til EU-borgere, eller som overvåger EU-borgeres adfærd, falder inden for EU GDPR's territoriale anvendelsesområde i henhold til artikel 3, stk. 2, uanset hvor virksomheden er etableret [5].
Sådanne organisationer skal:
- Udpege en EU-repræsentant (en person eller organisation baseret i en EU-medlemsstat) [5].
- Overholde EU GDPR's specifikke krav, herunder dens SCC'er for dataoverførsler tilbage til Storbritannien.
- Engagere sig med den relevante EU DPA for eventuelle klager eller undersøgelser, der involverer EU-registrerede.
Det modsatte gælder også: EU-baserede organisationer, der behandler britiske borgeres data, skal overholde UK GDPR og udpege en britisk repræsentant [5].
Beslutningsregel: Hvis din hjemmeside retter sig mod brugere i både Storbritannien og EU (f.eks. gennem EU-sprogindhold, EU-valutapriser eller EU-specifik markedsføring), skal du antage, at der gælder dobbelte overholdelsesforpligtelser, indtil du har indhentet specifik juridisk rådgivning om det modsatte.
Hvad ændrede sig i UK GDPR efter Brexit?
Ud over den allerede nævnte strukturelle divergens trådte flere praktiske ændringer i kraft, da EU GDPR blev erstattet af UK GDPR til nationale formål [1][2]:
- Tilsynsmyndighed: ICO erstattede EDPB som det primære fortolknings- og håndhævelsesorgan.
- Tilstrækkelighedsbeslutninger: Storbritannien skal nu udstede sine egne tilstrækkelighedsbeslutninger for tredjelande; det kan ikke længere basere sig på EU's tilstrækkelighedsbeslutninger.
- Overførselsmekanismer: IDTA erstattede EU SCC'er for overførsler fra Storbritannien til tredjelande.
- SAR-tærskler: DPDI Act forenklede tærsklen for at afvise eller opkræve gebyr for anmodninger om indsigt (Subject Access Requests), hvilket giver organisationer mulighed for at afvise anmodninger, der er "chikanerende eller overdrevne" (en lidt anden standard end EU's "åbenbart grundløse eller overdrevne") [6].
- Regulatorisk vejledning: ICO's vejledning styrer nu britisk overholdelse; EDPB's udtalelser og retningslinjer er overbevisende, men ikke bindende i Storbritannien.
Tilstrækkelighedsbeslutningen, der blev forlænget af Europa-Kommissionen i december 2025, betyder, at dataflows fra EU til Storbritannien forbliver lovlige uden yderligere sikkerhedsforanstaltninger indtil december 2031, men analytikere bemærker, at fortsat britisk lovgivningsreform kan føre til en genvurdering [2].
Er UK GDPR strengere eller mindre streng end EU GDPR?
Ingen af rammerne er kategorisk strengere over hele linjen. De to regimer adskiller sig på specifikke områder snarere end i den samlede alvorlighed.
Områder hvor UK GDPR er mere lempelig:
- Bredere anerkendte legitime interesser under DPDI Act.
- Lempede cookie-samtykke for lavrisikoanalyse.
- Mere fleksible regler for automatiseret beslutningstagning.
- Forenklede SAR-afvisningstærskler [1][6].
Områder hvor de er stort set ækvivalente:
- Kerneprincipper (lovlighed, rimelighed, gennemsigtighed, formålsbegrænsning, dataminimering, nøjagtighed, opbevaringsbegrænsning, integritet).
- Registreredes rettigheder (indsigt, berigtigelse, sletning, portabilitet, indsigelse).
- Bødestrukturer (proportionalt ens, med britiske tal i pund).
- Tidsfrister for brudmeddelelse (72 timer til tilsynsmyndigheden).
Områder hvor EU GDPR i praksis kan være mere lempelig:
- One-stop-shop-mekanismen kan reducere overholdelsesfriktionen for multinationale virksomheder, der opererer på tværs af EU-medlemsstater, en fordel der ikke er tilgængelig under UK GDPR.
ICO har historisk set udstedt færre bøder end den samlede produktion fra EU DPA'er, selvom individuelle britiske bøder har været betydelige [4].
Hvad er almindelige GDPR-overtrædelser, der fører til bøder?
ICO og EU DPA'er har konsekvent straffet følgende kategorier af overtrædelser:
- Utilstrækkeligt retsgrundlag for behandling: Behandling af personoplysninger uden et gyldigt retsgrundlag eller baseret på samtykke, der ikke opfylder de krævede standarder.
- Utilstrækkelige sikkerhedsforanstaltninger: Manglende implementering af passende tekniske og organisatoriske foranstaltninger, hvilket resulterer i databrud.
- Manglende overholdelse af registreredes rettigheder: Ignorering eller utilstrækkelig besvarelse af anmodninger om indsigt, sletning eller indsigelser.
- Ulovlige dataoverførsler: Afsendelse af personoplysninger til tredjelande uden tilstrækkelige sikkerhedsforanstaltninger (f.eks. ingen IDTA eller SCC'er på plads).
- Manglende gennemsigtighed: Fortrolighedserklæringer, der er ufuldstændige, vildledende eller utilgængelige.
- Manglende cookie-samtykke: Implementering af ikke-essentielle cookies uden gyldigt samtykke eller brug af mørke mønstre for at opnå samtykke.
For hjemmesideejere og online marketingbureauer er manglende cookie-samtykke og utilstrækkelige fortrolighedserklæringer blandt de mest almindelige udløsere for håndhævelse. En korrekt konfigureret samtykkestyringsplatform, såsom Biscotti CMP, kan hjælpe organisationer med at dokumentere og administrere samtykke på en måde, der er i overensstemmelse med både UK GDPR- og EU GDPR-kravene.
Hvordan ved jeg, om min virksomhed skal overholde UK GDPR?
UK GDPR gælder for enhver organisation, der [5]:
- Er etableret i Storbritannien og behandler personoplysninger i forbindelse med denne etablering (uanset hvor behandlingen finder sted), eller
- Ikke er etableret i Storbritannien, men behandler personoplysninger om britiske borgere i forbindelse med at tilbyde dem varer eller tjenester eller overvåge deres adfærd i Storbritannien.
Praktisk tjekliste:
- Indsamler din hjemmeside navne, e-mailadresser, IP-adresser eller cookies fra britiske besøgende? Hvis ja, gælder UK GDPR.
- Bruger du analyseværktøjer, annonceringspixels eller remarketing-tags, der behandler britiske brugerdata? Hvis ja, gælder UK GDPR.
- Sender du marketing-e-mails til britiske kontakter? Hvis ja, gælder UK GDPR (og Privacy and Electronic Communications Regulations).
- Er du en ikke-britisk virksomhed uden et britisk kontor, men med en britisk-rettet hjemmeside? UK GDPR gælder stadig, og du skal muligvis have en britisk repræsentant.
Hvad er forskellen mellem ICO-bøder og retslige sanktioner?
ICO-bøder er administrative sanktioner, der pålægges direkte af regulatoren uden retslig indblanding. Retslige sanktioner opstår derimod fra civilretlige søgsmål anlagt af registrerede eller strafferetlig forfølgelse i henhold til Data Protection Act 2018.
Vigtige forskelle:
- ICO-bøder: Udstedes efter en undersøgelse; kan appelleres til First-tier Tribunal. Maksimale beløb er som beskrevet i bødestrukturen ovenfor.
- Retligt tilkendte erstatninger: Registrerede kan anlægge sag ved civile domstole for materiel eller ikke-materiel skade forårsaget af et GDPR-brud. Der er ingen lovbestemt loft over erstatninger i civile sager.
- Strafferetlige overtrædelser: Visse handlinger, såsom ulovlig erhvervelse af personoplysninger eller re-identificering af anonymiserede data, er strafferetlige overtrædelser i henhold til Data Protection Act 2018, der medfører ubegrænsede bøder eller fængsel.
Organisationer bør være opmærksomme på, at et enkelt databrud kan udløse alle tre samtidigt: en ICO-undersøgelse, civile krav fra berørte personer og (i grove tilfælde) strafferetlige henvisninger.
Kan man blive idømt bøder for GDPR-overtrædelser, der skete før Brexit?
For overtrædelser, der fandt sted før den 1. januar 2021, gjaldt EU GDPR i Storbritannien. ICO bevarede jurisdiktion over overtrædelser før Brexit, der involverede britiske organisationer, og håndhævelsesforanstaltninger, der blev indledt under EU GDPR-regler, kunne fortsætte under overgangsbestemmelserne i EU Withdrawal Act.
Overtrædelser efter Brexit er udelukkende underlagt UK GDPR. Der er ingen mekanisme, der giver EU DPA'er mulighed for at pålægge bøder til britiske organisationer for behandling af britiske borgeres data efter Brexit; denne myndighed tilhører udelukkende ICO.
Særligt tilfælde: Hvis en britisk organisation behandlede EU-borgeres data før og efter Brexit, kan perioden før Brexit have involveret EU GDPR-forpligtelser håndhævet af en EU DPA, mens perioden efter Brexit falder under både UK GDPR (for britiske borgere) og EU GDPR (for EU-borgere) samtidigt.
Hvad skal virksomheder gøre for at forberede sig på håndhævelse af UK GDPR?
Overholdelse af UK GDPR efter Brexit: Navigering i bøder, håndhævelse og forskelle fra EU kræver et struktureret, løbende program snarere end en engangsaudit. Prioriterede handlinger omfatter:
- Kortlæg dine dataflows: Identificer alle indsamlede personoplysninger, deres lovlige grundlag, hvor de opbevares, og om de overføres internationalt.
- Opdater overførselsmekanismer: Erstat eventuelle EU SCC'er, der bruges til overførsler fra Storbritannien til tredjelande, med IDTA eller UK Addendum [1].
- Gennemgå din fortrolighedserklæring: Sørg for, at den afspejler UK GDPR-krav og ICO-vejledning, ikke kun EU GDPR-standarder.
- Audit cookie-samtykke: Hvis din hjemmeside betjener britiske besøgende, skal du kontrollere, at din samtykkestyringsopsætning opfylder DPDI Act's reviderede standarder. Værktøjer som Biscotti CMP er designet til at understøtte lovlig indsamling og dokumentation af samtykke.
- Udpeg repræsentanter: Hvis du behandler EU-borgeres data, skal du udpege en EU-repræsentant; hvis du er en ikke-britisk virksomhed, der behandler britiske borgeres data, skal du udpege en britisk repræsentant [5].
- Uddan personale: Databeskyttelsesuddannelse skal afspejle UK GDPR-specifikke forhold, ikke generisk "GDPR"-indhold, der kan forveksle de to regimer.
- Overvåg ICO-vejledning: ICO offentliggør regelmæssigt opdateret vejledning; abonner på ICO-opdateringer for at holde dig ajour med håndhævelsesprioriteter.
UK GDPR Overholdelsesbeslutningsværktøj
Ofte stillede spørgsmål
Hvad er forskellen mellem UK GDPR og EU GDPR i simple vendinger? UK GDPR er en nationaliseret version af EU GDPR, der gælder inden for Storbritannien. De deler de samme grundlæggende principper, men er divergeret siden Brexit, især efter DPDI Act 2024, som lempede reglerne omkring cookies, legitime interesser og automatiserede beslutninger.
Betyder EU's tilstrækkelighedsbeslutning, at britiske virksomheder ikke behøver at bekymre sig om EU GDPR? Nej. Tilstrækkelighedsbeslutningen regulerer dataflows fra EU til Storbritannien, den fritager ikke britiske virksomheder fra EU GDPR, når de behandler EU-borgeres data. Hvis en britisk virksomhed retter sig mod EU-brugere, gælder EU GDPR uafhængigt.
Hvor længe varer Storbritanniens EU-tilstrækkelighedsbeslutning? Europa-Kommissionen forlængede Storbritanniens tilstrækkelighedsbeslutning i december 2025, hvilket holder den gyldig indtil december 2031. Fortsat britisk lovgivningsmæssig afvigelse fra EU GDPR kan føre til en revision før denne dato [2].
Kan ICO idømme en virksomhed uden for Storbritannien en bøde? Ja. Hvis en ikke-britisk organisation behandler britiske borgeres data i forbindelse med at tilbyde dem varer eller tjenester eller overvåge deres adfærd, gælder UK GDPR, og ICO har jurisdiktion [5].
Hvad er IDTA, og hvornår har jeg brug for det? International Data Transfer Agreement (IDTA) er Storbritanniens mekanisme til lovlig overførsel af personoplysninger fra Storbritannien til tredjelande, der mangler en tilstrækkelighedsbeslutning. Den erstatter EU Standard Contractual Clauses for overførsler fra Storbritannien til tredjelande [1].
Er en databeskyttelsesrådgiver (DPO) påkrævet under UK GDPR? Ja, under visse omstændigheder, specifikt for offentlige myndigheder, organisationer, der udfører systematisk overvågning af enkeltpersoner i stor skala, eller dem, der behandler særlige kategorier af data i stor skala. Kravene afspejler dem under EU GDPR.
Hvad er 72-timers reglen for brudmeddelelse? Både UK GDPR og EU GDPR kræver, at organisationer underretter deres tilsynsmyndighed (ICO i Storbritannien) inden for 72 timer efter at være blevet opmærksomme på et brud på persondatasikkerheden, der udgør en risiko for enkeltpersoners rettigheder og friheder.
Gælder EU's registreredes rettigheder under UK GDPR? Kerne rettighederne, indsigt, berigtigelse, sletning, dataportabilitet, begrænsning og indsigelse, er bevaret under UK GDPR. DPDI Act foretog mindre proceduremæssige justeringer, såsom ændring af tærsklen for at afvise chikanerende anmodninger om indsigt [6].
Kan jeg bruge en enkelt fortrolighedserklæring til både britisk og EU-overholdelse? Et enkelt dokument kan adressere begge regimer, men det skal eksplicit dække kravene for hver, herunder separate henvisninger til ICO og den relevante EU DPA, forskellige overførselsmekanismer og eventuelle områder, hvor de to rammer divergerer.
Hvilken rolle spiller Biscotti CMP i UK GDPR-overholdelse? Biscotti CMP er en samtykkestyringsplatform, der hjælper hjemmesideejere og virksomheder med at indsamle, registrere og administrere brugersamtykke til cookies og sporingsteknologier på en måde, der er i overensstemmelse med UK GDPR- og EU GDPR-kravene.
Konklusion
At forstå UK GDPR efter Brexit: Navigering i bøder, håndhævelse og forskelle fra EU er ikke længere valgfrit for nogen organisation, der behandler personoplysninger i eller fra Storbritannien. De to rammer er divergeret betydeligt siden januar 2021, og DPDI Act 2024 har fremskyndet denne divergens på praktiske områder, der påvirker den daglige drift, fra cookie-samtykke til internationale dataoverførsler.
Handlingsorienterede næste skridt for 2026:
- Udfør en gapanalyse, der sammenligner din nuværende overholdelsesposition med både UK GDPR- og EU GDPR-krav.
- Erstat eventuelle EU SCC'er, der bruges til overførsler fra Storbritannien til tredjelande, med IDTA.
- Kontroller, at din samtykkestyringsopsætning afspejler DPDI Act's reviderede cookie-standarder; overvej en dedikeret løsning som Biscotti CMP.
- Udpeg de korrekte repræsentanter, hvis du opererer på tværs af begge jurisdiktioner.
- Overvåg ICO's håndhævelsesprioriteter og EDPB's vejledning separat; de er ikke længere udskiftelige.
- Genovervej din tilstrækkelighedsposition periodisk, især da britisk lovgivningsreform fortsætter forud for gennemgangen af tilstrækkelighedsbeslutningen i 2031.
Omkostningerne ved manglende overholdelse, op til £17,5 millioner eller 4 % af den globale omsætning under UK GDPR alene, overstiger langt den investering, der kræves for at opretholde et solidt overholdelsesprogram.
Referencer
[1] Gdpr Vs Uk Gdpr Guide - https://visioncompliance.eu/en/blog/gdpr-vs-uk-gdpr-guide?utm_source=openai [2] Uk Gdpr Vs Eu Gdpr - https://www.gdprledger.com/uk/research/uk-gdpr-vs-eu-gdpr?utm_source=openai [3] Gdpr Vs Uk Gdpr Differences 2026 - https://www.compliquest.com/en/blog/gdpr-vs-uk-gdpr-differences-2026?utm_source=openai [4] Maximum Fine Gdpr Non Compliance - https://datadoc.uk/blog/maximum-fine-gdpr-non-compliance?utm_source=openai [5] Does Gdpr Still Apply To The Uk - https://legalclarity.org/does-gdpr-still-apply-to-the-uk/?utm_source=openai [6] Gdpr Compliance - https://datadoc.uk/gdpr-compliance?utm_source=openai