Lühike vastus: Ühendkuningriigi GDPR on EL-i GDPR-i kodustatud versioon, mis jõustus, kui Ühendkuningriik lahkus EL-i õigusraamistikust 1. jaanuaril 2021. See säilitab samad aluspõhimõtted, kuid on sellest ajast alates erinenud andmekaitse ja digitaalse teabe seaduse 2024 kaudu. Ühendkuningriigi ettevõtted peavad järgima Ühendkuningriigi GDPR-i ja need, kes töötlevad ka EL-i elanike andmeid, peavad eraldi järgima EL-i GDPR-i. Need on nüüd kaks erinevat õiguslikku kohustust, mida jõustavad erinevad ametiasutused.
Peamised järeldused
- Ühendkuningriigi GDPR ja EL-i GDPR jagavad sama struktuuri ja põhiprintsiipe, kuid Brexiti järgsed õigusreformid on loonud olulisi erinevusi sellistes valdkondades nagu küpsised, õigustatud huvid ja automatiseeritud otsuste tegemine.
- Information Commissioner's Office (ICO) on Ühendkuningriigi GDPR-i ainus jõustamisasutus; Ühendkuningriigis asuvatele organisatsioonidele ei ole saadaval ühtse kontaktpunkti mehhanismi.
- Maksimaalsed Ühendkuningriigi GDPR-i trahvid ulatuvad 17,5 miljoni naelani või 4%-ni ülemaailmsest aastakäibest, olenevalt sellest, kumb on kõrgem, peegeldades EL-i 20 miljoni euro / 4% struktuuri.
- Euroopa Komisjon pikendas Ühendkuningriigi piisavuse otsust 2025. aasta detsembris kuni 2031. aasta detsembrini, kuid Ühendkuningriigi jätkuv õigusreform võib selle staatuse ohtu seada.
- EL-i elanike andmeid töötlevad Ühendkuningriigi ettevõtted peavad järgima EL-i GDPR-i ja määrama EL-i esindaja; vastupidine kehtib EL-i ettevõtetele, kes sihivad Ühendkuningriigi elanikke.
- ICO kipub määrama vähem, kuid suuremaid trahve võrreldes EL-i andmekaitseasutuste (DPA) kollektiivse väljundiga.
- Mõlemas jurisdiktsioonis tegutsevad organisatsioonid peavad eraldi suhtlema ICO ja asjakohaste EL-i DPA-dega, ühist järelevalvekanalit ei ole.
- Nõusoleku haldamine ja küpsiste vastavus erinevad kahe režiimi vahel pärast DPDI seaduse 2024 muudatusi.
Mis on Ühendkuningriigi GDPR ja kuidas see erineb EL-i GDPR-ist pärast Brexitit?
Ühendkuningriigi GDPR on isikuandmete kaitse üldmääruse versioon, mis inkorporeeriti Ühendkuningriigi siseriiklikku õigusesse Euroopa Liidu (väljaastumise) seaduse 2018 kaudu, jõustudes 1. jaanuaril 2021. See toimib koos andmekaitse seadusega 2018 ja peegeldas algselt EL-i GDPR-i peaaegu sõna-sõnalt.
Pärast Brexitit on aga need kaks raamistikku erinenud. Andmekaitse ja digitaalse teabe seadus 2024 (DPDI seadus) tõi Ühendkuningriigi GDPR-i mitmes valdkonnas sisse sisulisi muudatusi [1]:
- Õigustatud huvid: Ühendkuningriik laiendas tunnustatud õigustatud huvide loetelu, vähendades tasakaalustamise testide koormust teatud töötlemistegevuste puhul.
- Küpsised: DPDI seadus leevendas nõusoleku nõudeid analüütika ja sarnaste madala riskiga küpsiste puhul, liikudes teatud kategooriate puhul loobumismudeli poole.
- Automatiseeritud otsuste tegemine: Ühendkuningriigi reeglid ainult automatiseeritud otsuste kohta on nüüd lubavamad kui EL-i GDPR-i artikkel 22.
- Rahvusvahelised andmeedastused: Ühendkuningriik töötas välja oma edastusmehhanismid, rahvusvahelise andmeedastuslepingu (IDTA) ja Ühendkuningriigi lisandi EL-i standardsetele lepingutingimustele, mis erinevad EL-i SCC-dest [1].
EL-i GDPR-i tõlgendatakse ja jõustatakse jätkuvalt Euroopa Andmekaitsenõukogu (EDPB) kaudu, kelle juhised ei ole ICO-le siduvad. See tähendab, et sama tegevust saab hinnata erinevalt, sõltuvalt sellest, milline režiim kehtib [2].
Levinud viga: Eeldamine, et üks privaatsuspoliitika, mis hõlmab "GDPR-i", on piisav mõlema jurisdiktsiooni jaoks. Organisatsioonid peavad mõlemat raamistikku selgesõnaliselt käsitlema, eriti edastusmehhanismide ja esindajate määramise osas.
Millised on maksimaalsed trahvid Ühendkuningriigi GDPR-i alusel?
Ühendkuningriigi GDPR-i trahvid järgivad kahetasandilist struktuuri, mis on tihedalt paralleelne EL-i mudeliga, kuid kasutab naelsterlingi summasid [4]:
| Tase | Ühendkuningriigi GDPR-i trahv | EL-i GDPR-i trahv |
|---|---|---|
| Madalam (vähem tõsised rikkumised) | Kuni 8,7 miljonit naela või 2% ülemaailmsest aastakäibest | Kuni 10 miljonit eurot või 2% ülemaailmsest aastakäibest |
| Ülemine (kõige tõsisemad rikkumised) | Kuni 17,5 miljonit naela või 4% ülemaailmsest aastakäibest | Kuni 20 miljonit eurot või 4% ülemaailmsest aastakäibest |
Mõlemal tasandil kohaldab ICO kõrgemat summat. Ülemise taseme rikkumised hõlmavad tavaliselt andmekaitse põhiprintsiipide rikkumisi, ebaseaduslikku töötlemist või andmesubjektide õiguste rikkumisi.
Suurim ICO poolt määratud trahv oli 20 miljonit naela British Airwaysile, mis määrati enne praeguste trahvimäärade ümberkalibreerimist, summa, mis illustreerib ICO valmisolekut nõuda suurtelt organisatsioonidelt märkimisväärseid karistusi [4].
Erijuhus: Trahvid ei ole automaatsed. ICO arvestab tegureid, sealhulgas rikkumise olemust ja kestust, mõjutatud isikute arvu, seda, kas organisatsioon tegi koostööd, ja võetud parandusmeetmeid. Hästi dokumenteeritud vastavusprogramm võib tulemust oluliselt mõjutada.
Kes jõustab GDPR-i Ühendkuningriigis praegu?
Information Commissioner's Office (ICO) on ainus järelevalveasutus, mis vastutab Ühendkuningriigi GDPR-i jõustamise eest. Erinevalt EL-ist, mis opereerib EDPB koordineeritud riiklike DPA-de võrgustikku, on Ühendkuningriigil üks tsentraliseeritud reguleerija [3].
Sellel on praktiline tagajärg: EL-i ühtse kontaktpunkti mehhanism, mis võimaldab rahvusvahelistel organisatsioonidel tegeleda ühe juhtiva DPA-ga piiriülese töötlemise puhul, ei kehti Ühendkuningriigi GDPR-i alusel. Iga organisatsioon, mis tegutseb nii Ühendkuningriigis kui ka EL-is, peab Ühendkuningriigiga seotud küsimustes suhtlema ICO-ga ja eraldi asjakohase EL-i DPA-ga (või DPA-dega) EL-iga seotud küsimustes [3].
ICO-l on ka volitused, mis ületavad rahalisi karistusi, sealhulgas jõustamisteatiste, hindamisteatiste ja teabeteatiste väljastamine. Tõsistel juhtudel võib see anda asja kriminaalmenetlusse andmekaitse seaduse 2018 alusel.
Kas Ühendkuningriigi ettevõtted peavad ikka veel järgima EL-i GDPR-i?
Jah, paljudel juhtudel. Ühendkuningriigi ettevõtted, kes pakuvad kaupu või teenuseid EL-i elanikele või kes jälgivad EL-i elanike käitumist, kuuluvad EL-i GDPR-i territoriaalsesse kohaldamisalasse artikli 3 lõike 2 alusel, olenemata sellest, kus ettevõte on asutatud [5].
Sellised organisatsioonid peavad:
- Määrama EL-i esindaja (üksikisiku või organisatsiooni, mis asub EL-i liikmesriigis) [5].
- Järgima EL-i GDPR-i spetsiifilisi nõudeid, sealhulgas selle SCC-sid andmeedastuseks tagasi Ühendkuningriiki.
- Suhtlema asjakohase EL-i DPA-ga mis tahes kaebuste või uurimiste puhul, mis hõlmavad EL-i andmesubjekte.
Vastupidine kehtib ka: EL-is asuvad organisatsioonid, kes töötlevad Ühendkuningriigi elanike andmeid, peavad järgima Ühendkuningriigi GDPR-i ja määrama Ühendkuningriigi esindaja [5].
Otsustusreegel: Kui teie veebisait sihib kasutajaid nii Ühendkuningriigis kui ka EL-is (näiteks EL-i keelesisu, EL-i valuutas hinnakujunduse või EL-i spetsiifilise turunduse kaudu), eeldage, et kehtivad kahekordsed vastavuskohustused, kuni olete saanud vastupidise spetsiifilise õigusnõu.
Mis muutus Ühendkuningriigi GDPR-is pärast Brexitit?
Lisaks juba märgitud struktuurilisele lahknevusele jõustusid mitmed praktilised muudatused, kui EL-i GDPR asendati Ühendkuningriigi GDPR-iga siseriiklikel eesmärkidel [1][2]:
- Järelevalveasutus: ICO asendas EDPB peamise tõlgendava ja jõustava organina.
- Piisavuse otsused: Ühendkuningriik peab nüüd väljastama oma piisavuse otsused kolmandate riikide kohta; see ei saa tugineda EL-i piisavuse otsustele.
- Edastusmehhanismid: IDTA asendas EL-i SCC-d Ühendkuningriigist kolmandatesse riikidesse edastamisel.
- SAR-i läved: DPDI seadus lihtsustas subjekti juurdepääsutaotluste tagasilükkamise või tasu võtmise läve, võimaldades organisatsioonidel keelduda taotlustest, mis on "tüütud või ülemäärased" (veidi erinev standard kui EL-i "ilmselgelt põhjendamatud või ülemäärased") [6].
- Regulatiivsed juhised: ICO juhised reguleerivad nüüd Ühendkuningriigi vastavust; EDPB arvamused ja juhised on Ühendkuningriigis veenvad, kuid mitte siduvad.
Euroopa Komisjoni poolt 2025. aasta detsembris pikendatud piisavuse otsus tähendab, et EL-ist Ühendkuningriiki suunatud andmevood jäävad seaduslikuks ilma täiendavate kaitsemeetmeteta kuni 2031. aasta detsembrini, kuid analüütikud märgivad, et Ühendkuningriigi jätkuv õigusreform võib ajendada ümberhindamist [2].
Kas Ühendkuningriigi GDPR on rangem või leebem kui EL-i GDPR?
Ükski raamistik ei ole üldiselt kategooriliselt rangem. Kaks režiimi erinevad pigem spetsiifilistes valdkondades kui üldises ranguses.
Valdkonnad, kus Ühendkuningriigi GDPR on lubavam:
- Laiemalt tunnustatud õigustatud huvid DPDI seaduse alusel.
- Leevendatud küpsiste nõusolek madala riskiga analüütika puhul.
- Paindlikumad automatiseeritud otsuste tegemise reeglid.
- Lihtsustatud SAR-i keeldumise läved [1][6].
Valdkonnad, kus need on laias laastus samaväärsed:
- Põhiprintsiibid (seaduslikkus, õiglus, läbipaistvus, eesmärgi piiramine, andmete minimeerimine, täpsus, säilitamise piiramine, terviklikkus).
- Andmesubjekti õigused (juurdepääs, parandamine, kustutamine, teisaldatavus, vastuväide).
- Trahvide struktuurid (proportsionaalselt sarnased, Ühendkuningriigi arvud naelsterlingites).
- Rikkumiste teatiste ajakavad (72 tundi järelevalveasutusele).
Valdkonnad, kus EL-i GDPR võib praktikas olla lubavam:
- Ühtse kontaktpunkti mehhanism võib vähendada vastavuse hõõrdumist rahvusvahelistele ettevõtetele, kes tegutsevad EL-i liikmesriikides, mis on Ühendkuningriigi GDPR-i alusel kättesaamatu eelis.
ICO on ajalooliselt määranud vähem trahve kui EL-i DPA-de kombineeritud väljund, kuigi üksikud Ühendkuningriigi trahvid on olnud märkimisväärsed [4].
Millised on levinud GDPR-i rikkumised, mis toovad kaasa trahve?
ICO ja EL-i DPA-d on järjepidevalt karistanud järgmisi rikkumiskategooriaid:
- Ebapiisav õiguslik alus töötlemiseks: Isikuandmete töötlemine ilma kehtiva õigusliku aluseta või nõusolekule tuginemine, mis ei vasta nõutavale standardile.
- Ebapiisavad turvameetmed: Sobivate tehniliste ja organisatsiooniliste meetmete rakendamata jätmine, mille tulemuseks on andmerikkumised.
- Andmesubjekti õiguste mittejärgimine: Subjekti juurdepääsutaotluste, kustutamistaotluste või vastuväidete ignoreerimine või ebapiisav reageerimine neile.
- Ebaseaduslikud andmeedastused: Isikuandmete saatmine kolmandatesse riikidesse ilma piisavate kaitsemeetmeteta (näiteks IDTA või SCC-de puudumine).
- Läbipaistvuse puudumine: Privaatsusteatised, mis on mittetäielikud, eksitavad või kättesaamatud.
- Küpsiste nõusoleku rikked: Mitteoluliste küpsiste paigaldamine ilma kehtiva nõusolekuta või tumedate mustrite kasutamine nõusoleku saamiseks.
Eelkõige veebisaitide omanike ja veebiturundusagentuuride puhul on küpsiste nõusoleku rikked ja ebapiisavad privaatsusteatised kõige levinumad jõustamise käivitajad. Korralikult konfigureeritud nõusoleku haldamise platvorm, nagu Biscotti CMP, aitab organisatsioonidel dokumenteerida ja hallata nõusolekut viisil, mis on kooskõlas nii Ühendkuningriigi GDPR-i kui ka EL-i GDPR-i nõuetega.
Kuidas ma tean, kas minu ettevõte peab järgima Ühendkuningriigi GDPR-i?
Ühendkuningriigi GDPR kehtib igale organisatsioonile, mis [5]:
- On asutatud Ühendkuningriigis ja töötleb isikuandmeid selle asutamise kontekstis (olenemata sellest, kus töötlemine toimub), või
- Ei ole asutatud Ühendkuningriigis, kuid töötleb Ühendkuningriigi elanike isikuandmeid seoses neile kaupade või teenuste pakkumisega või nende käitumise jälgimisega Ühendkuningriigis.
Praktiline kontrollnimekiri:
- Kas teie veebisait kogub Ühendkuningriigi külastajatelt nimesid, e-posti aadresse, IP-aadresse või küpsiseid? Kui jah, kehtib Ühendkuningriigi GDPR.
- Kas kasutate analüütikatööriistu, reklaamipiksleid või remarketingi silte, mis töötlevad Ühendkuningriigi kasutajaandmeid? Kui jah, kehtib Ühendkuningriigi GDPR.
- Kas saadate Ühendkuningriigi kontaktidele turundusmeile? Kui jah, kehtivad Ühendkuningriigi GDPR (ja privaatsuse ja elektroonilise side eeskirjad).
- Kas olete mitte-Ühendkuningriigi ettevõte, millel puudub Ühendkuningriigi kontor, kuid millel on Ühendkuningriigile suunatud veebisait? Ühendkuningriigi GDPR kehtib ikka ja teil võib vaja minna Ühendkuningriigi esindajat.
Mis vahe on ICO trahvidel ja kohtu karistustel?
ICO trahvid on halduskaristused, mille määrab otse reguleerija ilma kohtu sekkumiseta. Kohtu karistused seevastu tulenevad andmesubjektide algatatud tsiviilvaidlustest või andmekaitse seaduse 2018 alusel algatatud kriminaalmenetlustest.
Peamised erinevused:
- ICO trahvid: Väljastatakse pärast uurimist; neid saab edasi kaevata esimese astme tribunalile. Maksimaalsed summad on kirjeldatud ülaltoodud trahvide struktuuris.
- Kohtu määratud kahjuhüvitised: Andmesubjektid saavad esitada tsiviilkohtutes nõudeid GDPR-i rikkumisest põhjustatud materiaalse või mittemateriaalse kahju eest. Tsiviilnõuetes ei ole kahjuhüvitiste ülempiiri.
- Kriminaalkuriteod: Teatud teod, nagu isikuandmete ebaseaduslik hankimine või anonüümseks muudetud andmete uuesti tuvastamine, on andmekaitse seaduse 2018 alusel kriminaalkuriteod, mille eest on ette nähtud piiramatud trahvid või vangistus.
Organisatsioonid peaksid olema teadlikud, et üks andmerikkumine võib käivitada kõik kolm samaaegselt: ICO uurimise, kahjustatud isikute tsiviilnõuded ja (raskematel juhtudel) kriminaalmenetluse.
Kas teid saab trahvida GDPR-i rikkumiste eest, mis toimusid enne Brexitit?
Enne 1. jaanuari 2021 toimunud rikkumiste puhul kehtis Ühendkuningriigis EL-i GDPR. ICO säilitas jurisdiktsiooni Brexiti-eelsete rikkumiste üle, mis hõlmasid Ühendkuningriigis asutatud organisatsioone, ja EL-i GDPR-i reeglite alusel algatatud jõustamismeetmed võisid jätkuda EL-i väljaastumise seaduse üleminekusätete alusel.
Brexiti-järgseid rikkumisi reguleerib täielikult Ühendkuningriigi GDPR. EL-i DPA-del puudub mehhanism Ühendkuningriigis asutatud organisatsioonidele trahvide määramiseks Ühendkuningriigi elanike andmete Brexiti-järgse töötlemise eest, see volitus kuulub eranditult ICO-le.
Erijuhus: Kui Ühendkuningriigi organisatsioon töötles EL-i elanike andmeid enne ja pärast Brexitit, võis Brexiti-eelne periood hõlmata EL-i DPA poolt jõustatud EL-i GDPR-i kohustusi, samas kui Brexiti-järgne periood kuulub samaaegselt nii Ühendkuningriigi GDPR-i (Ühendkuningriigi elanike puhul) kui ka EL-i GDPR-i (EL-i elanike puhul) alla.
Mida peaksid ettevõtted tegema, et valmistuda Ühendkuningriigi GDPR-i jõustamiseks?
Ühendkuningriigi GDPR-i järgimine pärast Brexitit: trahvide, jõustamise ja erinevuste navigeerimine EL-ist nõuab struktureeritud ja pidevat programmi, mitte ühekordset auditit. Prioriteetsed tegevused hõlmavad:
- Kaardistage oma andmevood: Tuvastage kõik kogutud isikuandmed, nende õiguslik alus, kus neid säilitatakse ja kas neid edastatakse rahvusvaheliselt.
- Uuendage edastusmehhanisme: Asendage kõik Ühendkuningriigist kolmandatesse riikidesse edastamiseks kasutatud EL-i SCC-d IDTA või Ühendkuningriigi lisandiga [1].
- Vaadake üle oma privaatsusteatis: Veenduge, et see kajastab Ühendkuningriigi GDPR-i nõudeid ja ICO juhiseid, mitte ainult EL-i GDPR-i standardeid.
- Auditeerige küpsiste nõusolekut: Kui teie veebisait teenindab Ühendkuningriigi külastajaid, kontrollige, kas teie nõusoleku haldamise seadistus vastab DPDI seaduse muudetud standarditele. Tööriistad nagu Biscotti CMP on loodud toetama nõuetele vastavat nõusoleku kogumist ja dokumenteerimist.
- Määrake esindajad: Kui töötlete EL-i elanike andmeid, määrake EL-i esindaja; kui olete mitte-Ühendkuningriigi ettevõte, mis töötleb Ühendkuningriigi elanike andmeid, määrake Ühendkuningriigi esindaja [5].
- Koolitage töötajaid: Andmekaitsekoolitus peaks kajastama Ühendkuningriigi GDPR-i spetsiifikat, mitte üldist "GDPR-i" sisu, mis võib kahte režiimi segamini ajada.
- Jälgige ICO juhiseid: ICO avaldab regulaarselt uuendatud juhiseid; tellige ICO uuendused, et olla kursis jõustamise prioriteetidega.
Ühendkuningriigi GDPR-i vastavuse otsustustööriist
KKK
Mis vahe on Ühendkuningriigi GDPR-il ja EL-i GDPR-il lihtsate sõnadega? Ühendkuningriigi GDPR on EL-i GDPR-i kodustatud versioon, mis kehtib Ühendkuningriigis. Neil on samad aluspõhimõtted, kuid nad on pärast Brexitit erinenud, eriti pärast DPDI seadust 2024, mis leevendas reegleid küpsiste, õigustatud huvide ja automatiseeritud otsuste osas.
Kas EL-i piisavuse otsus tähendab, et Ühendkuningriigi ettevõtted ei pea EL-i GDPR-i pärast muretsema? Ei. Piisavuse otsus reguleerib andmevooge EL-ist Ühendkuningriiki, see ei vabasta Ühendkuningriigi ettevõtteid EL-i GDPR-ist, kui nad töötlevad EL-i elanike andmeid. Kui Ühendkuningriigi ettevõte sihib EL-i kasutajaid, kehtib EL-i GDPR iseseisvalt.
Kui kaua kehtib Ühendkuningriigi EL-i piisavuse otsus? Euroopa Komisjon pikendas Ühendkuningriigi piisavuse otsust 2025. aasta detsembris, hoides seda kehtivana kuni 2031. aasta detsembrini. Ühendkuningriigi jätkuv õiguslik lahknevus EL-i GDPR-ist võib ajendada läbivaatamist enne seda kuupäeva [2].
Kas ICO saab trahvida ettevõtet, mis asub väljaspool Ühendkuningriiki? Jah. Kui mitte-Ühendkuningriigi organisatsioon töötleb Ühendkuningriigi elanike andmeid seoses neile kaupade või teenuste pakkumisega või nende käitumise jälgimisega, kehtib Ühendkuningriigi GDPR ja ICO-l on jurisdiktsioon [5].
Mis on IDTA ja millal ma seda vajan? Rahvusvaheline andmeedastusleping (IDTA) on Ühendkuningriigi mehhanism isikuandmete seaduslikuks edastamiseks Ühendkuningriigist kolmandatesse riikidesse, millel puudub piisavuse otsus. See asendab EL-i standardseid lepingutingimusi Ühendkuningriigist kolmandatesse riikidesse edastamisel [1].
Kas andmekaitseametnik (DPO) on Ühendkuningriigi GDPR-i alusel kohustuslik? Jah, teatud asjaoludel, eelkõige avaliku sektori asutuste, organisatsioonide puhul, mis teostavad ulatuslikku süstemaatilist isikute jälgimist, või nende puhul, kes töötlevad erikategooria andmeid suures ulatuses. Nõuded peegeldavad EL-i GDPR-i nõudeid.
Mis on 72-tunnine rikkumise teavitamise reegel? Nii Ühendkuningriigi GDPR kui ka EL-i GDPR nõuavad organisatsioonidelt oma järelevalveasutuse (Ühendkuningriigis ICO) teavitamist 72 tunni jooksul pärast isikuandmete rikkumisest teadasaamist, mis kujutab endast ohtu isikute õigustele ja vabadustele.
Kas EL-i andmesubjekti õigused kehtivad Ühendkuningriigi GDPR-i alusel? Põhiõigused, juurdepääs, parandamine, kustutamine, andmete teisaldatavus, piiramine ja vastuväide, on Ühendkuningriigi GDPR-i alusel säilitatud. DPDI seadus tegi väikseid menetluslikke kohandusi, näiteks muutis tüütute subjekti juurdepääsutaotluste tagasilükkamise läve [6].
Kas ma saan kasutada ühte privaatsuspoliitikat nii Ühendkuningriigi kui ka EL-i vastavuse jaoks? Üks dokument võib käsitleda mõlemat režiimi, kuid see peab selgesõnaliselt hõlmama igaühe nõudeid, sealhulgas eraldi viiteid ICO-le ja asjakohasele EL-i DPA-le, erinevaid edastusmehhanisme ja kõiki valdkondi, kus kaks raamistikku erinevad.
Millist rolli mängib Biscotti CMP Ühendkuningriigi GDPR-i vastavuses? Biscotti CMP on nõusoleku haldamise platvorm, mis aitab veebisaitide omanikel ja ettevõtetel koguda, salvestada ja hallata kasutajate nõusolekut küpsiste ja jälgimistehnoloogiate jaoks viisil, mis on kooskõlas Ühendkuningriigi GDPR-i ja EL-i GDPR-i nõuetega.
Kokkuvõte
Ühendkuningriigi GDPR-i mõistmine pärast Brexitit: trahvide, jõustamise ja erinevuste navigeerimine EL-ist ei ole enam valikuline ühegi organisatsiooni jaoks, mis töötleb isikuandmeid Ühendkuningriigis või Ühendkuningriigist. Kaks raamistikku on alates 2021. aasta jaanuarist oluliselt erinenud ja DPDI seadus 2024 on seda lahknevust kiirendanud praktilistes valdkondades, mis mõjutavad igapäevaseid toiminguid, alates küpsiste nõusolekust kuni rahvusvaheliste andmeedastusteni.
Teostatavad järgmised sammud 2026. aastaks:
- Viige läbi lünkade analüüs, võrreldes oma praegust vastavuse olukorda nii Ühendkuningriigi GDPR-i kui ka EL-i GDPR-i nõuetega.
- Asendage kõik Ühendkuningriigist kolmandatesse riikidesse edastamiseks kasutatud EL-i SCC-d IDTA-ga.
- Kontrollige, kas teie nõusoleku haldamise seadistus kajastab DPDI seaduse muudetud küpsiste standardeid; kaaluge spetsiaalset lahendust nagu Biscotti CMP.
- Määrake õiged esindajad, kui tegutsete mõlemas jurisdiktsioonis.
- Jälgige ICO jõustamise prioriteete ja EDPB juhiseid eraldi, need ei ole enam vahetatavad.
- Hinnake oma piisavuse olukorda perioodiliselt uuesti, eriti kuna Ühendkuningriigi õigusreform jätkub enne 2031. aasta piisavuse otsuse läbivaatamist.
Mittejärgimise kulud, kuni 17,5 miljonit naela või 4% ülemaailmsest käibest ainuüksi Ühendkuningriigi GDPR-i alusel, ületavad kaugelt usaldusväärse vastavusprogrammi säilitamiseks vajalikke investeeringuid.
Viited
[1] Gdpr Vs Uk Gdpr Guide - https://visioncompliance.eu/en/blog/gdpr-vs-uk-gdpr-guide?utm_source=openai [2] Uk Gdpr Vs Eu Gdpr - https://www.gdprledger.com/uk/research/uk-gdpr-vs-eu-gdpr?utm_source=openai [3] Gdpr Vs Uk Gdpr Differences 2026 - https://www.compliquest.com/en/blog/gdpr-vs-uk-gdpr-differences-2026?utm_source=openai [4] Maximum Fine Gdpr Non Compliance - https://datadoc.uk/blog/maximum-fine-gdpr-non-compliance?utm_source=openai [5] Does Gdpr Still Apply To The Uk - https://legalclarity.org/does-gdpr-still-apply-to-the-uk/?utm_source=openai [6] Gdpr Compliance - https://datadoc.uk/gdpr-compliance?utm_source=openai