Kratak odgovor: UK GDPR je domaća verzija EU GDPR-a koja je stupila na snagu kada je UK napustila pravni okvir EU-a 1. siječnja 2021. Zadržava ista temeljna načela, ali se od tada razlikuje kroz Zakon o zaštiti podataka i digitalnim informacijama iz 2024. (Data Protection and Digital Information Act 2024). Britanske tvrtke moraju se pridržavati UK GDPR-a, a one koje također obrađuju podatke stanovnika EU-a moraju se zasebno pridržavati EU GDPR-a; to su sada dvije različite pravne obveze koje provode različita tijela.
Ključne spoznaje
- UK GDPR i EU GDPR dijele istu strukturu i temeljna načela, ali zakonodavne reforme od Brexita stvorile su značajne razlike u područjima kao što su kolačići, legitimni interesi i automatizirano donošenje odluka.
- Ured povjerenika za informacije (Information Commissioner's Office - ICO) jedino je tijelo za provedbu UK GDPR-a; ne postoji mehanizam "sve na jednom mjestu" dostupan za organizacije sa sjedištem u UK-u.
- Maksimalne kazne prema UK GDPR-u dosežu 17,5 milijuna funti ili 4% globalnog godišnjeg prometa, ovisno o tome što je više, odražavajući strukturu EU-a od 20 milijuna eura / 4%.
- Europska komisija produljila je odluku o primjerenosti UK-a u prosincu 2025. do prosinca 2031., ali kontinuirana zakonodavna reforma UK-a mogla bi ugroziti taj status.
- Britanske tvrtke koje obrađuju podatke stanovnika EU-a moraju se pridržavati EU GDPR-a i imenovati predstavnika u EU-u; obrnuto vrijedi za tvrtke iz EU-a koje ciljaju stanovnike UK-a.
- ICO obično izdaje manje, ali veće kazne u usporedbi s ukupnim brojem kazni tijela za zaštitu podataka (DPA) u EU-u.
- Organizacije koje djeluju u obje jurisdikcije moraju se zasebno angažirati s ICO-om i relevantnim DPA-ima EU-a; ne postoji zajednički nadzorni kanal.
- Upravljanje privolom i usklađenost s kolačićima razlikuju se između dva režima nakon izmjena Zakona o zaštiti podataka i digitalnim informacijama iz 2024. (DPDI Act 2024).
Što je UK GDPR i kako se razlikuje od EU GDPR-a nakon Brexita?
UK GDPR je verzija Opće uredbe o zaštiti podataka koja je ugrađena u domaće pravo UK-a putem Zakona o Europskoj uniji (povlačenje) iz 2018. (European Union (Withdrawal) Act 2018), s učinkom od 1. siječnja 2021. Djeluje zajedno sa Zakonom o zaštiti podataka iz 2018. (Data Protection Act 2018) i u početku je gotovo doslovno odražavao EU GDPR.
Međutim, od Brexita, dva su se okvira razdvojila. Zakon o zaštiti podataka i digitalnim informacijama iz 2024. (DPDI Act) uveo je značajne promjene u UK GDPR u nekoliko područja [1]:
- Legitimni interesi: UK je proširio popis priznatih legitimnih interesa, smanjujući teret testova ravnoteže za određene aktivnosti obrade.
- Kolačići: DPDI Act je ublažio zahtjeve za privolu za analitičke i slične kolačiće niskog rizika, krećući se prema modelu isključivanja za određene kategorije.
- Automatizirano donošenje odluka: Pravila UK-a o isključivo automatiziranim odlukama sada su permisivnija od članka 22. EU GDPR-a.
- Međunarodni prijenosi podataka: UK je razvio vlastite mehanizme prijenosa, Međunarodni sporazum o prijenosu podataka (International Data Transfer Agreement - IDTA) i UK dodatak standardnim ugovornim klauzulama EU-a (UK Addendum to EU Standard Contractual Clauses), koji se razlikuju od SCC-ova EU-a [1].
EU GDPR se i dalje tumači i provodi putem Europskog odbora za zaštitu podataka (EDPB), čije smjernice ne obvezuju ICO. To znači da se ista aktivnost može različito ocjenjivati ovisno o tome koji se režim primjenjuje [2].
Česta pogreška: Pretpostavka da je jedna politika privatnosti koja pokriva "GDPR" dovoljna za obje jurisdikcije. Organizacije moraju eksplicitno obuhvatiti oba okvira, posebno u vezi s mehanizmima prijenosa i imenovanjem predstavnika.
Koje su maksimalne kazne prema UK GDPR-u?
Kazne prema UK GDPR-u slijede dvostupanjsku strukturu koja blisko paralelira model EU-a, ali koristi iznose u funtama sterlinga [4]:
| Razina | Kazna prema UK GDPR-u | Kazna prema EU GDPR-u |
|---|---|---|
| Niža (manje ozbiljna kršenja) | Do 8,7 milijuna funti ili 2% globalnog godišnjeg prometa | Do 10 milijuna eura ili 2% globalnog godišnjeg prometa |
| Viša (najozbiljnija kršenja) | Do 17,5 milijuna funti ili 4% globalnog godišnjeg prometa | Do 20 milijuna eura ili 4% globalnog godišnjeg prometa |
U oba slučaja, ICO primjenjuje viši iznos. Kršenja više razine obično uključuju kršenja temeljnih načela zaštite podataka, nezakonitu obradu ili kršenja prava ispitanika.
Najveća kazna koju je ICO izrekao do danas iznosila je 20 milijuna funti protiv British Airwaysa, izrečena prije nego što su trenutne gornje granice kazni rekalibrirane, što je brojka koja ilustrira spremnost ICO-a da provodi značajne kazne protiv velikih organizacija [4].
Rubni slučaj: Kazne nisu automatske. ICO uzima u obzir čimbenike uključujući prirodu i trajanje kršenja, broj pogođenih pojedinaca, je li organizacija surađivala i sve poduzete korektivne mjere. Dobro dokumentiran program usklađenosti može značajno utjecati na ishod.
Tko sada provodi GDPR u UK-u?
Ured povjerenika za informacije (ICO) jedino je nadzorno tijelo odgovorno za provedbu UK GDPR-a. Za razliku od EU-a, koja upravlja mrežom nacionalnih DPA-a koordiniranih od strane EDPB-a, UK ima jedno centralizirano regulatorno tijelo [3].
To ima praktičnu posljedicu: mehanizam "sve na jednom mjestu" EU-a, koji omogućuje multinacionalnim organizacijama da se bave jednim vodećim DPA-om za prekograničnu obradu, ne primjenjuje se prema UK GDPR-u. Svaka organizacija koja djeluje i u UK-u i u EU-u mora se angažirati s ICO-om za pitanja vezana uz UK i zasebno s relevantnim DPA-om (ili DPA-ima) EU-a za pitanja vezana uz EU [3].
ICO također ima ovlasti izvan financijskih kazni, uključujući izdavanje obavijesti o provedbi, obavijesti o procjeni i informativnih obavijesti. U ozbiljnim slučajevima, može uputiti predmete na kazneni progon prema Zakonu o zaštiti podataka iz 2018.
Moraju li se britanske tvrtke i dalje pridržavati EU GDPR-a?
Da, u mnogim slučajevima. Britanske tvrtke koje nude robu ili usluge stanovnicima EU-a, ili koje prate ponašanje stanovnika EU-a, spadaju u teritorijalni opseg EU GDPR-a prema članku 3. stavku 2., bez obzira na to gdje je tvrtka osnovana [5].
Takve organizacije moraju:
- Imenovati predstavnika u EU-u (pojedinca ili organizaciju sa sjedištem u državi članici EU-a) [5].
- Pridržavati se specifičnih zahtjeva EU GDPR-a, uključujući njegove SCC-ove za prijenos podataka natrag u UK.
- Angažirati se s relevantnim DPA-om EU-a za sve pritužbe ili istrage koje uključuju ispitanike iz EU-a.
Obrnuto također vrijedi: organizacije sa sjedištem u EU-u koje obrađuju podatke stanovnika UK-a moraju se pridržavati UK GDPR-a i imenovati predstavnika u UK-u [5].
Pravilo odluke: Ako vaša web stranica cilja korisnike i u UK-u i u EU-u (na primjer, putem sadržaja na jeziku EU-a, cijena u valuti EU-a ili marketinga specifičnog za EU), pretpostavite da se primjenjuju dvostruke obveze usklađenosti dok ne dobijete specifičan pravni savjet koji govori suprotno.
Što se promijenilo u UK GDPR-u nakon Brexita?
Osim već spomenute strukturne divergencije, nekoliko praktičnih promjena stupilo je na snagu kada je EU GDPR zamijenjen UK GDPR-om za domaće svrhe [1][2]:
- Nadzorno tijelo: ICO je zamijenio EDPB kao primarno tijelo za tumačenje i provedbu.
- Odluke o primjerenosti: UK sada mora izdavati vlastite odluke o primjerenosti za treće zemlje; ne može se oslanjati na odluke o primjerenosti EU-a.
- Mehanizmi prijenosa: IDTA je zamijenio SCC-ove EU-a za prijenose iz UK-a u treće zemlje.
- Pragovi za SAR: DPDI Act je pojednostavio prag za odbijanje ili naplatu zahtjeva za pristup podacima (Subject Access Requests - SAR), dopuštajući organizacijama da odbiju zahtjeve koji su "uznemirujući ili pretjerani" (nešto drugačiji standard od EU-ovog "očito neutemeljenog ili pretjeranog") [6].
- Regulatorne smjernice: Smjernice ICO-a sada reguliraju usklađenost u UK-u; mišljenja i smjernice EDPB-a su uvjerljive, ali nisu obvezujuće u UK-u.
Odluka o primjerenosti koju je Europska komisija produljila u prosincu 2025. znači da protok podataka iz EU-a u UK ostaje zakonit bez dodatnih zaštitnih mjera do prosinca 2031., ali analitičari primjećuju da bi kontinuirana zakonodavna reforma UK-a mogla potaknuti ponovnu procjenu [2].
Je li UK GDPR stroži ili manje strog od EU GDPR-a?
Nijedan okvir nije kategorički stroži u svim aspektima. Dva se režima razlikuju u specifičnim područjima, a ne u ukupnoj strogosti.
Područja u kojima je UK GDPR permisivniji:
- Širi priznati legitimni interesi prema DPDI Actu.
- Ublažena privola za kolačiće za analitiku niskog rizika.
- Fleksibilnija pravila za automatizirano donošenje odluka.
- Pojednostavljeni pragovi za odbijanje SAR-a [1][6].
Područja u kojima su općenito ekvivalentni:
- Temeljna načela (zakonitost, poštenost, transparentnost, ograničenje svrhe, minimizacija podataka, točnost, ograničenje pohrane, integritet).
- Prava ispitanika (pristup, ispravak, brisanje, prenosivost, prigovor).
- Strukture kazni (proporcionalno slične, s brojkama u UK-u u funtama).
- Vremenski okviri za obavijest o povredi (72 sata nadzornom tijelu).
Područja u kojima EU GDPR može biti permisivniji u praksi:
- Mehanizam "sve na jednom mjestu" može smanjiti trenje usklađenosti za multinacionalne tvrtke koje djeluju u državama članicama EU-a, što je prednost nedostupna prema UK GDPR-u.
ICO je povijesno izdao manje kazni od ukupnog broja kazni DPA-a EU-a, iako su pojedinačne kazne u UK-u bile značajne [4].
Koje su uobičajene povrede GDPR-a koje dovode do kazni?
ICO i DPA-i EU-a dosljedno su kažnjavali sljedeće kategorije povreda:
- Nedovoljna pravna osnova za obradu: Obrada osobnih podataka bez valjane pravne osnove ili oslanjanje na privolu koja ne ispunjava traženi standard.
- Neadekvatne sigurnosne mjere: Neuspjeh u provedbi odgovarajućih tehničkih i organizacijskih mjera, što rezultira povredama podataka.
- Neusklađenost s pravima ispitanika: Ignoriranje ili neadekvatno odgovaranje na zahtjeve za pristup podacima, zahtjeve za brisanje ili prigovore.
- Nezakoniti prijenosi podataka: Slanje osobnih podataka u treće zemlje bez odgovarajućih zaštitnih mjera (na primjer, bez IDTA-a ili SCC-ova).
- Nedostatak transparentnosti: Obavijesti o privatnosti koje su nepotpune, obmanjujuće ili nedostupne.
- Neuspjesi u privoli za kolačiće: Postavljanje nebitnih kolačića bez valjane privole ili korištenje tamnih uzoraka za dobivanje privole.
Za vlasnike web stranica i agencije za online marketing posebno, neuspjesi u privoli za kolačiće i neadekvatne obavijesti o privatnosti među su najčešćim okidačima provedbe. Pravilno konfigurirana platforma za upravljanje privolom, kao što je Biscotti CMP, može pomoći organizacijama da dokumentiraju i upravljaju privolom na način koji je u skladu sa zahtjevima UK GDPR-a i EU GDPR-a.
Kako znati treba li se moje poslovanje pridržavati UK GDPR-a?
UK GDPR se primjenjuje na svaku organizaciju koja [5]:
- Je osnovana u UK-u i obrađuje osobne podatke u kontekstu tog osnivanja (bez obzira na to gdje se obrada odvija), ili
- Nije osnovana u UK-u, ali obrađuje osobne podatke stanovnika UK-a u vezi s nuđenjem robe ili usluga, ili praćenjem njihovog ponašanja unutar UK-a.
Praktična kontrolna lista:
- Prikuplja li vaša web stranica imena, adrese e-pošte, IP adrese ili kolačiće od posjetitelja iz UK-a? Ako da, primjenjuje se UK GDPR.
- Koristite li alate za analitiku, reklamne piksele ili oznake za remarketing koje obrađuju podatke korisnika iz UK-a? Ako da, primjenjuje se UK GDPR.
- Šaljete li marketinške e-poruke kontaktima iz UK-a? Ako da, primjenjuju se UK GDPR (i Propisi o privatnosti i elektroničkim komunikacijama).
- Jeste li tvrtka izvan UK-a bez ureda u UK-u, ali s web stranicom usmjerenom na UK? UK GDPR se i dalje primjenjuje, a možda ćete trebati predstavnika u UK-u.
Koja je razlika između kazni ICO-a i sudskih kazni?
Kazne ICO-a su administrativne kazne koje izravno izriče regulator bez sudskog uplitanja. Sudske kazne, naprotiv, proizlaze iz građanskih parnica koje pokreću ispitanici ili kaznenih progona prema Zakonu o zaštiti podataka iz 2018.
Ključne razlike:
- Kazne ICO-a: Izdaju se nakon istrage; mogu se žaliti Prvostupanjskom sudu. Maksimalni iznosi su opisani u gornjoj strukturi kazni.
- Sudski dosuđene odštete: Ispitanici mogu podnijeti tužbe građanskim sudovima za materijalnu ili nematerijalnu štetu uzrokovanu povredom GDPR-a. Ne postoji zakonska gornja granica za odštete u građanskim tužbama.
- Kaznena djela: Određeni postupci, kao što su nezakonito pribavljanje osobnih podataka ili ponovna identifikacija anonimiziranih podataka, kaznena su djela prema Zakonu o zaštiti podataka iz 2018., noseći neograničene novčane kazne ili zatvor.
Organizacije bi trebale biti svjesne da jedna povreda podataka može istovremeno pokrenuti sva tri: istragu ICO-a, građanske tužbe pogođenih pojedinaca i (u drastičnim slučajevima) kaznene prijave.
Možete li biti kažnjeni za povrede GDPR-a koje su se dogodile prije Brexita?
Za povrede koje su se dogodile prije 1. siječnja 2021., EU GDPR se primjenjivao u UK-u. ICO je zadržao nadležnost nad povredama prije Brexita koje uključuju organizacije osnovane u UK-u, a provedbene radnje pokrenute prema pravilima EU GDPR-a mogle su se nastaviti prema prijelaznim odredbama Zakona o povlačenju iz EU-a.
Povrede nakon Brexita u potpunosti su regulirane UK GDPR-om. Ne postoji mehanizam za DPA-e EU-a da izriču kazne organizacijama osnovanim u UK-u za obradu podataka stanovnika UK-a nakon Brexita; ta ovlast pripada isključivo ICO-u.
Rubni slučaj: Ako je organizacija iz UK-a obrađivala podatke stanovnika EU-a prije i poslije Brexita, razdoblje prije Brexita moglo je uključivati obveze EU GDPR-a koje je provodio DPA EU-a, dok razdoblje nakon Brexita istovremeno spada pod UK GDPR (za stanovnike UK-a) i EU GDPR (za stanovnike EU-a).
Što bi tvrtke trebale učiniti kako bi se pripremile za provedbu UK GDPR-a?
Usklađenost s UK GDPR-om nakon Brexita: Snalaženje s kaznama, provedbom i razlikama u odnosu na EU zahtijeva strukturiran, kontinuiran program, a ne jednokratnu reviziju. Prioritetne radnje uključuju:
- Mapiranje vaših tokova podataka: Identificirajte sve prikupljene osobne podatke, njihovu pravnu osnovu, gdje se pohranjuju i prenose li se međunarodno.
- Ažuriranje mehanizama prijenosa: Zamijenite sve SCC-ove EU-a koji se koriste za prijenose iz UK-a u treće zemlje s IDTA-om ili UK dodatkom [1].
- Pregled vaše obavijesti o privatnosti: Osigurajte da odražava zahtjeve UK GDPR-a i smjernice ICO-a, a ne samo standarde EU GDPR-a.
- Revizija privole za kolačiće: Ako vaša web stranica služi posjetiteljima iz UK-a, provjerite je li vaša postavka za upravljanje privolom u skladu s revidiranim standardima DPDI Acta. Alati poput Biscotti CMP dizajnirani su za podršku usklađenom prikupljanju i dokumentiranju privole.
- Imenovanje predstavnika: Ako obrađujete podatke stanovnika EU-a, imenujte predstavnika u EU-u; ako ste tvrtka izvan UK-a koja obrađuje podatke stanovnika UK-a, imenujte predstavnika u UK-u [5].
- Obuka osoblja: Obuka o zaštiti podataka trebala bi odražavati specifičnosti UK GDPR-a, a ne generički "GDPR" sadržaj koji može miješati dva režima.
- Praćenje smjernica ICO-a: ICO redovito objavljuje ažurirane smjernice; pretplatite se na ažuriranja ICO-a kako biste bili u toku s prioritetima provedbe.
Alat za odluke o usklađenosti s UK GDPR-om
Često postavljana pitanja
Koja je razlika između UK GDPR-a i EU GDPR-a u jednostavnim terminima? UK GDPR je domaća verzija EU GDPR-a koja se primjenjuje unutar Ujedinjenog Kraljevstva. Dijele ista temeljna načela, ali su se razdvojili od Brexita, posebno nakon DPDI Acta 2024., koji je ublažio pravila o kolačićima, legitimnim interesima i automatiziranim odlukama.
Znači li odluka EU-a o primjerenosti da se britanske tvrtke ne moraju brinuti o EU GDPR-u? Ne. Odluka o primjerenosti regulira protok podataka iz EU-a u UK, ne izuzima britanske tvrtke od EU GDPR-a kada obrađuju podatke stanovnika EU-a. Ako britanska tvrtka cilja korisnike iz EU-a, EU GDPR se primjenjuje neovisno.
Koliko dugo traje odluka UK-a o primjerenosti EU-a? Europska komisija produljila je odluku UK-a o primjerenosti u prosincu 2025., čime je ostala valjana do prosinca 2031. Kontinuirano zakonodavno odstupanje UK-a od EU GDPR-a moglo bi potaknuti reviziju prije tog datuma [2].
Može li ICO kazniti tvrtku sa sjedištem izvan UK-a? Da. Ako organizacija izvan UK-a obrađuje podatke stanovnika UK-a u vezi s nuđenjem robe ili usluga ili praćenjem njihovog ponašanja, UK GDPR se primjenjuje i ICO ima nadležnost [5].
Što je IDTA i kada mi je potreban? Međunarodni sporazum o prijenosu podataka (IDTA) je mehanizam UK-a za zakonit prijenos osobnih podataka iz UK-a u treće zemlje koje nemaju odluku o primjerenosti. Zamjenjuje standardne ugovorne klauzule EU-a za prijenose iz UK-a u treće zemlje [1].
Je li službenik za zaštitu podataka (DPO) obvezan prema UK GDPR-u? Da, u određenim okolnostima, posebno za javna tijela, organizacije koje provode opsežno sustavno praćenje pojedinaca ili one koje obrađuju posebne kategorije podataka u velikom opsegu. Zahtjevi odražavaju one prema EU GDPR-u.
Što je pravilo o obavijesti o povredi u roku od 72 sata? I UK GDPR i EU GDPR zahtijevaju od organizacija da obavijeste svoje nadzorno tijelo (ICO u UK-u) u roku od 72 sata od saznanja o povredi osobnih podataka koja predstavlja rizik za prava i slobode pojedinaca.
Primjenjuju li se prava ispitanika iz EU-a prema UK GDPR-u? Temeljna prava, pristup, ispravak, brisanje, prenosivost podataka, ograničenje i prigovor, sačuvana su prema UK GDPR-u. DPDI Act je unio manje proceduralne prilagodbe, kao što je izmjena praga za odbijanje uznemirujućih zahtjeva za pristup podacima [6].
Mogu li koristiti jednu politiku privatnosti za usklađenost s UK-om i EU-om? Jedan dokument može obuhvatiti oba režima, ali mora eksplicitno pokrivati zahtjeve svakog, uključujući zasebne reference na ICO i relevantni DPA EU-a, različite mehanizme prijenosa i sva područja gdje se dva okvira razlikuju.
Koju ulogu Biscotti CMP igra u usklađenosti s UK GDPR-om? Biscotti CMP je platforma za upravljanje privolom koja pomaže vlasnicima web stranica i tvrtkama prikupljati, bilježiti i upravljati privolom korisnika za kolačiće i tehnologije praćenja na način koji je u skladu sa zahtjevima UK GDPR-a i EU GDPR-a.
Zaključak
Razumijevanje UK GDPR-a nakon Brexita: Snalaženje s kaznama, provedbom i razlikama u odnosu na EU više nije opcija za bilo koju organizaciju koja obrađuje osobne podatke u Ujedinjenom Kraljevstvu ili iz njega. Dva su se okvira značajno razdvojila od siječnja 2021., a DPDI Act 2024. ubrzao je to razdvajanje u praktičnim područjima koja utječu na svakodnevne operacije, od privole za kolačiće do međunarodnih prijenosa podataka.
Akcijski koraci za 2026. godinu:
- Provedite analizu praznina uspoređujući vaše trenutno stanje usklađenosti sa zahtjevima UK GDPR-a i EU GDPR-a.
- Zamijenite sve SCC-ove EU-a koji se koriste za prijenose iz UK-a u treće zemlje s IDTA-om.
- Provjerite je li vaša postavka za upravljanje privolom u skladu s revidiranim standardima DPDI Acta za kolačiće; razmislite o namjenskom rješenju poput Biscotti CMP.
- Imenujte ispravne predstavnike ako djelujete u obje jurisdikcije.
- Pratite prioritete provedbe ICO-a i smjernice EDPB-a zasebno; oni više nisu zamjenjivi.
- Periodično ponovno procjenjujte svoj položaj primjerenosti, posebno kako se zakonodavna reforma UK-a nastavlja prije revizije odluke o primjerenosti 2031. godine.
Trošak neusklađenosti, do 17,5 milijuna funti ili 4% globalnog prometa samo prema UK GDPR-u, daleko premašuje ulaganje potrebno za održavanje zdravog programa usklađenosti.
Reference
[1] Gdpr Vs Uk Gdpr Guide - https://visioncompliance.eu/en/blog/gdpr-vs-uk-gdpr-guide?utm_source=openai [2] Uk Gdpr Vs Eu Gdpr - https://www.gdprledger.com/uk/research/uk-gdpr-vs-eu-gdpr?utm_source=openai [3] Gdpr Vs Uk Gdpr Differences 2026 - https://www.compliquest.com/en/blog/gdpr-vs-uk-gdpr-differences-2026?utm_source=openai [4] Maximum Fine Gdpr Non Compliance - https://datadoc.uk/blog/maximum-fine-gdpr-non-compliance?utm_source=openai [5] Does Gdpr Still Apply To The Uk - https://legalclarity.org/does-gdpr-still-apply-to-the-uk/?utm_source=openai [6] Gdpr Compliance - https://datadoc.uk/gdpr-compliance?utm_source=openai