Resposta Rápida: O UK GDPR é uma versão domesticada do GDPR da UE que entrou em vigor quando o Reino Unido deixou o quadro jurídico da UE em 1º de janeiro de 2021. Ele mantém os mesmos princípios fundamentais, mas desde então se desviou através da Lei de Proteção de Dados e Informação Digital de 2024. As empresas do Reino Unido devem cumprir o UK GDPR, e aquelas que também processam dados de residentes da UE devem cumprir separadamente o GDPR da UE; agora são duas obrigações legais distintas aplicadas por diferentes autoridades.
Principais Conclusões
- O UK GDPR e o GDPR da UE compartilham a mesma estrutura e princípios centrais, mas reformas legislativas desde o Brexit criaram diferenças significativas em áreas como cookies, interesses legítimos e tomada de decisões automatizadas.
- O Escritório do Comissário de Informação (ICO) é a única autoridade de aplicação do UK GDPR; não há um mecanismo de uma única parada disponível para organizações baseadas no Reino Unido.
- As multas máximas do UK GDPR chegam a £17,5 milhões ou 4% do faturamento global anual, o que for maior, espelhando a estrutura de €20 milhões / 4% da UE.
- A Comissão Europeia estendeu a decisão de adequação do Reino Unido em dezembro de 2025 até dezembro de 2031, mas a reforma legislativa contínua do Reino Unido pode colocar esse status em risco.
- As empresas do Reino Unido que processam dados de residentes da UE devem cumprir o GDPR da UE e nomear um representante na UE; o inverso se aplica para empresas da UE que visam residentes do Reino Unido.
- O ICO tende a emitir menos multas, mas de maior valor, em comparação com a produção coletiva das Autoridades de Proteção de Dados (DPAs) da UE.
- Organizações que operam em ambas as jurisdições devem interagir separadamente com o ICO e as DPAs relevantes da UE; não há um canal de supervisão compartilhado.
- A gestão de consentimento e a conformidade com cookies diferem entre os dois regimes após as alterações da Lei DPDI de 2024.
O Que É o UK GDPR e Como Ele Difere do GDPR da UE Após o Brexit?
O UK GDPR é a versão do Regulamento Geral de Proteção de Dados que foi incorporada à legislação doméstica do Reino Unido por meio da Lei de Retirada da União Europeia de 2018, em vigor desde 1º de janeiro de 2021. Ele opera ao lado da Lei de Proteção de Dados de 2018 e inicialmente espelhava o GDPR da UE quase palavra por palavra.
Desde o Brexit, no entanto, as duas estruturas se desviaram. A Lei de Proteção de Dados e Informação Digital de 2024 (Lei DPDI) introduziu mudanças substanciais no UK GDPR em várias áreas [1]:
- Interesses legítimos: O Reino Unido expandiu a lista de interesses legítimos reconhecidos, reduzindo o ônus dos testes de equilíbrio para certas atividades de processamento.
- Cookies: A Lei DPDI relaxou os requisitos de consentimento para cookies de análise e similares de baixo risco, movendo-se em direção a um modelo de opt-out para categorias específicas.
- Tomada de decisões automatizadas: As regras do Reino Unido sobre decisões totalmente automatizadas agora são mais permissivas do que o Artigo 22 do GDPR da UE.
- Transferências internacionais de dados: O Reino Unido desenvolveu seus próprios mecanismos de transferência, o Acordo de Transferência Internacional de Dados (IDTA) e um Adendo do Reino Unido às Cláusulas Contratuais Padrão da UE, que diferem das SCCs da UE [1].
O GDPR da UE continua a ser interpretado e aplicado através do Comitê Europeu de Proteção de Dados (EDPB), cuja orientação não vincula o ICO. Isso significa que a mesma atividade pode ser avaliada de maneira diferente dependendo de qual regime se aplica [2].
Erro comum: Assumir que uma única política de privacidade cobrindo "GDPR" é suficiente para ambas as jurisdições. As organizações devem abordar explicitamente ambos os regimes, particularmente em relação aos mecanismos de transferência e nomeações de representantes.
Quais São as Multas Máximas Sob o UK GDPR?
As multas do UK GDPR seguem uma estrutura de dois níveis que se assemelha ao modelo da UE, mas utiliza valores em libras esterlinas [4]:
| Nível | Multa do UK GDPR | Multa do GDPR da UE |
|---|---|---|
| Inferior (violações menos graves) | Até £8,7 milhões ou 2% do faturamento global anual | Até €10 milhões ou 2% do faturamento global anual |
| Superior (violações mais graves) | Até £17,5 milhões ou 4% do faturamento global anual | Até €20 milhões ou 4% do faturamento global anual |
Em ambos os níveis, o ICO aplica o valor que for maior. Violações de nível superior normalmente envolvem quebras de princípios centrais de proteção de dados, processamento ilegal ou violações dos direitos dos titulares de dados.
A maior multa do ICO emitida até hoje foi de £20 milhões contra a British Airways, imposta antes que os limites de multas atuais fossem recalibrados, um valor que ilustra a disposição do ICO em buscar penalidades significativas contra grandes organizações [4].
Caso limite: As multas não são automáticas. O ICO considera fatores como a natureza e a duração da violação, o número de indivíduos afetados, se a organização cooperou e quaisquer medidas corretivas tomadas. Um programa de conformidade bem documentado pode influenciar significativamente o resultado.
Quem Aplica o GDPR no Reino Unido Agora?
O Escritório do Comissário de Informação (ICO) é a única autoridade supervisora responsável pela aplicação do UK GDPR. Ao contrário da UE, que opera uma rede de DPAs nacionais coordenadas pelo EDPB, o Reino Unido tem um único regulador centralizado [3].
Isso tem uma consequência prática: o mecanismo de uma única parada da UE, que permite que organizações multinacionais lidem com uma DPA líder para processamento transfronteiriço, não se aplica sob o UK GDPR. Qualquer organização que opere tanto no Reino Unido quanto na UE deve interagir com o ICO para questões relacionadas ao Reino Unido e separadamente com a DPA relevante da UE (ou DPAs) para questões relacionadas à UE [3].
O ICO também possui poderes além de penalidades financeiras, incluindo a emissão de notificações de aplicação, notificações de avaliação e notificações de informação. Em casos graves, pode encaminhar questões para acusação criminal sob a Lei de Proteção de Dados de 2018.
As Empresas do Reino Unido Ainda Precisam Cumprir o GDPR da UE?
Sim, em muitos casos. As empresas do Reino Unido que oferecem bens ou serviços a residentes da UE, ou que monitoram o comportamento de residentes da UE, estão dentro do escopo territorial do GDPR da UE sob o Artigo 3(2), independentemente de onde a empresa esteja estabelecida [5].
Essas organizações devem:
- Nomear um representante na UE (uma pessoa ou organização com sede em um estado membro da UE) [5].
- Cumprir os requisitos específicos do GDPR da UE, incluindo suas SCCs para transferências de dados de volta para o Reino Unido.
- Interagir com a DPA relevante da UE para quaisquer reclamações ou investigações envolvendo titulares de dados da UE.
O inverso também se aplica: organizações com sede na UE que processam dados de residentes do Reino Unido devem cumprir o UK GDPR e nomear um representante no Reino Unido [5].
Regra de decisão: Se seu site visa usuários no Reino Unido e na UE (por exemplo, através de conteúdo em língua da UE, preços em moeda da UE ou marketing específico da UE), assuma que as obrigações de conformidade dupla se aplicam até que você tenha obtido aconselhamento jurídico específico em contrário.
O Que Mudou no UK GDPR Após o Brexit?
Além do desvio estrutural já notado, várias mudanças práticas entraram em vigor quando o GDPR da UE foi substituído pelo UK GDPR para fins domésticos [1][2]:
- Autoridade supervisora: O ICO substituiu o EDPB como o principal órgão interpretativo e de aplicação.
- Decisões de adequação: O Reino Unido agora deve emitir suas próprias decisões de adequação para países terceiros; não pode depender das decisões de adequação da UE.
- Mecanismos de transferência: O IDTA substituiu as SCCs da UE para transferências do Reino Unido para países terceiros.
- Limiares de SAR: A Lei DPDI simplificou o limiar para recusar ou cobrar por Solicitações de Acesso do Titular, permitindo que as organizações recusem solicitações que sejam "vexatórias ou excessivas" (um padrão ligeiramente diferente do "manifesta e infundada ou excessiva" da UE) [6].
- Orientação regulatória: A orientação do ICO agora governa a conformidade no Reino Unido; opiniões e diretrizes do EDPB são persuasivas, mas não vinculativas no Reino Unido.
A decisão de adequação estendida pela Comissão Europeia em dezembro de 2025 significa que os fluxos de dados da UE para o Reino Unido permanecem legais sem salvaguardas adicionais até dezembro de 2031, mas analistas observam que a reforma legislativa contínua do Reino Unido pode levar a uma reavaliação [2].
O UK GDPR É Mais Estrito ou Menos Estrito Que o GDPR da UE?
Nenhuma das estruturas é categoricamente mais estrita em todos os aspectos. Os dois regimes diferem em áreas específicas, em vez de em severidade geral.
Áreas onde o UK GDPR é mais permissivo:
- Interesses legítimos reconhecidos mais amplos sob a Lei DPDI.
- Consentimento de cookies relaxado para análises de baixo risco.
- Regras de tomada de decisões automatizadas mais flexíveis.
- Limiares de recusa de SAR simplificados [1][6].
Áreas onde são amplamente equivalentes:
- Princípios centrais (legalidade, justiça, transparência, limitação de finalidade, minimização de dados, precisão, limitação de armazenamento, integridade).
- Direitos dos titulares de dados (acesso, retificação, exclusão, portabilidade, objeção).
- Estruturas de multas (proporcionalmente semelhantes, com valores do Reino Unido em libras).
- Prazos de notificação de violação (72 horas para a autoridade supervisora).
Áreas onde o GDPR da UE pode ser mais permissivo na prática:
- O mecanismo de uma única parada pode reduzir a fricção de conformidade para multinacionais que operam em estados membros da UE, um benefício indisponível sob o UK GDPR.
O ICO historicamente emitiu menos multas do que a produção combinada das DPAs da UE, embora as multas individuais do Reino Unido tenham sido substanciais [4].
Quais São as Violações Comuns do GDPR Que Levam a Multas?
O ICO e as DPAs da UE têm consistentemente penalizado as seguintes categorias de violações:
- Base legal insuficiente para processamento: Processamento de dados pessoais sem uma base legal válida ou dependendo de consentimento que não atende ao padrão exigido.
- Medidas de segurança inadequadas: Falha em implementar medidas técnicas e organizacionais apropriadas, resultando em violações de dados.
- Não conformidade com os direitos dos titulares de dados: Ignorar ou responder inadequadamente a Solicitações de Acesso do Titular, pedidos de exclusão ou objeções.
- Transferências de dados ilegais: Envio de dados pessoais para países terceiros sem salvaguardas adequadas (por exemplo, sem IDTA ou SCCs em vigor).
- Falta de transparência: Avisos de privacidade que são incompletos, enganosos ou inacessíveis.
- Falhas no consentimento de cookies: Implantação de cookies não essenciais sem consentimento válido ou uso de padrões obscuros para obter consentimento.
Para proprietários de sites e agências de marketing online especificamente, falhas no consentimento de cookies e avisos de privacidade inadequados estão entre os gatilhos de aplicação mais comuns. Uma plataforma de gestão de consentimento configurada corretamente, como Biscotti CMP, pode ajudar as organizações a documentar e gerenciar o consentimento de maneira consistente com os requisitos do UK GDPR e do GDPR da UE.
Como Saber Se Minha Empresa Precisa Cumprir o UK GDPR?
O UK GDPR se aplica a qualquer organização que [5]:
- Esteja estabelecida no Reino Unido e processe dados pessoais no contexto dessa entidade (independentemente de onde o processamento ocorra), ou
- Não esteja estabelecida no Reino Unido, mas processe dados pessoais de residentes do Reino Unido em conexão com a oferta de bens ou serviços, ou monitorando seu comportamento dentro do Reino Unido.
Lista de verificação prática:
- Seu site coleta nomes, endereços de e-mail, endereços IP ou cookies de visitantes do Reino Unido? Se sim, o UK GDPR se aplica.
- Você usa ferramentas de análise, pixels de publicidade ou tags de remarketing que processam dados de usuários do Reino Unido? Se sim, o UK GDPR se aplica.
- Você envia e-mails de marketing para contatos no Reino Unido? Se sim, o UK GDPR (e as Regulamentações de Privacidade e Comunicações Eletrônicas) se aplicam.
- Você é uma empresa não britânica sem escritório no Reino Unido, mas com um site voltado para o Reino Unido? O UK GDPR ainda se aplica, e você pode precisar de um representante no Reino Unido.
Qual é a Diferença Entre Multas do ICO e Penalidades Judiciais?
As multas do ICO são penalidades administrativas impostas diretamente pelo regulador sem envolvimento do tribunal. As penalidades judiciais, por outro lado, surgem de litígios civis movidos por titulares de dados ou processos criminais sob a Lei de Proteção de Dados de 2018.
Principais distinções:
- Multas do ICO: Emitidas após uma investigação; podem ser apeladas ao Tribunal de Primeira Instância. Os valores máximos são conforme descrito na estrutura de multas acima.
- Danos concedidos pelo tribunal: Titulares de dados podem apresentar reivindicações em tribunais civis por danos materiais ou não materiais causados por uma violação do GDPR. Não há um limite estatutário para danos em reivindicações civis.
- Ofensas criminais: Certos atos, como obter dados pessoais ilegalmente ou reidentificar dados anonimizados, são ofensas criminais sob a Lei de Proteção de Dados de 2018, sujeitas a multas ilimitadas ou prisão.
As organizações devem estar cientes de que uma única violação de dados pode acionar todos os três simultaneamente: uma investigação do ICO, reivindicações civis de indivíduos afetados e (em casos graves) encaminhamentos criminais.
Você Pode Ser Multado por Violações do GDPR Que Aconteceram Antes do Brexit?
Para violações que ocorreram antes de 1º de janeiro de 2021, o GDPR da UE se aplicava no Reino Unido. O ICO manteve jurisdição sobre violações anteriores ao Brexit envolvendo organizações estabelecidas no Reino Unido, e ações de aplicação iniciadas sob as regras do GDPR da UE poderiam continuar sob as disposições transitórias da Lei de Retirada da UE.
As violações pós-Brexit são regidas inteiramente pelo UK GDPR. Não há um mecanismo para que as DPAs da UE imponham multas a organizações estabelecidas no Reino Unido por processamento pós-Brexit de dados de residentes do Reino Unido; essa autoridade pertence exclusivamente ao ICO.
Caso limite: Se uma organização do Reino Unido estava processando dados de residentes da UE antes e depois do Brexit, o período anterior ao Brexit pode ter envolvido obrigações do GDPR da UE aplicadas por uma DPA da UE, enquanto o período pós-Brexit se enquadra sob o UK GDPR (para residentes do Reino Unido) e o GDPR da UE (para residentes da UE) simultaneamente.
O Que as Empresas Devem Fazer Para Se Preparar Para a Aplicação do UK GDPR?
A conformidade com o UK GDPR Pós-Brexit: Navegando Multas, Aplicação e Diferenças em Relação à UE requer um programa estruturado e contínuo, em vez de uma auditoria única. As ações prioritárias incluem:
- Mapear seus fluxos de dados: Identifique todos os dados pessoais coletados, sua base legal, onde estão armazenados e se são transferidos internacionalmente.
- Atualizar mecanismos de transferência: Substitua quaisquer SCCs da UE usadas para transferências do Reino Unido para países terceiros pelo IDTA ou Adendo do Reino Unido [1].
- Revisar seu aviso de privacidade: Certifique-se de que ele reflita os requisitos do UK GDPR e a orientação do ICO, não apenas os padrões do GDPR da UE.
- Auditar consentimento de cookies: Se seu site atende visitantes do Reino Unido, verifique se sua configuração de gestão de consentimento atende aos padrões revisados da Lei DPDI. Ferramentas como Biscotti CMP são projetadas para apoiar a coleta e documentação de consentimento em conformidade.
- Nomear representantes: Se você processa dados de residentes da UE, nomeie um representante na UE; se você é uma empresa não britânica processando dados de residentes do Reino Unido, nomeie um representante no Reino Unido [5].
- Treinar funcionários: O treinamento em proteção de dados deve refletir as especificidades do UK GDPR, não conteúdo genérico de "GDPR" que pode confundir os dois regimes.
- Monitorar a orientação do ICO: O ICO publica orientações atualizadas regularmente; inscreva-se para receber atualizações do ICO para se manter atualizado com as prioridades de aplicação.
Ferramenta de Decisão de Conformidade com o UK GDPR
FAQ
Qual é a diferença entre o UK GDPR e o GDPR da UE em termos simples?
O UK GDPR é uma versão domesticada do GDPR da UE que se aplica dentro do Reino Unido. Eles compartilham os mesmos princípios fundamentais, mas se desviaram desde o Brexit, particularmente após a Lei DPDI de 2024, que relaxou as regras sobre cookies, interesses legítimos e decisões automatizadas.
A decisão de adequação da UE significa que as empresas do Reino Unido não precisam se preocupar com o GDPR da UE?
Não. A decisão de adequação rege os fluxos de dados da UE para o Reino Unido, não isenta as empresas do Reino Unido do GDPR da UE quando processam dados de residentes da UE. Se uma empresa do Reino Unido visa usuários da UE, o GDPR da UE se aplica independentemente.
Até quando a decisão de adequação do Reino Unido dura?
A Comissão Europeia estendeu a decisão de adequação do Reino Unido em dezembro de 2025, mantendo-a válida até dezembro de 2031. A contínua divergência legislativa do Reino Unido em relação ao GDPR da UE pode levar a uma revisão antes dessa data [2].
O ICO pode multar uma empresa com sede fora do Reino Unido?
Sim. Se uma organização não britânica processa dados de residentes do Reino Unido em conexão com a oferta de bens ou serviços ou monitorando seu comportamento, o UK GDPR se aplica e o ICO tem jurisdição [5].
O que é o IDTA e quando eu preciso dele?
O Acordo de Transferência Internacional de Dados (IDTA) é o mecanismo do Reino Unido para transferir legalmente dados pessoais do Reino Unido para países terceiros que não possuem uma decisão de adequação. Ele substitui as Cláusulas Contratuais Padrão da UE para transferências do Reino Unido para países terceiros [1].
Um Encarregado de Proteção de Dados (DPO) é necessário sob o UK GDPR?
Sim, em certas circunstâncias, especificamente para autoridades públicas, organizações que realizam monitoramento sistemático em larga escala de indivíduos ou aquelas que processam dados de categorias especiais em larga escala. Os requisitos são semelhantes aos do GDPR da UE.
Qual é a regra de notificação de violação de 72 horas?
Tanto o UK GDPR quanto o GDPR da UE exigem que as organizações notifiquem sua autoridade supervisora (o ICO no Reino Unido) dentro de 72 horas após tomar conhecimento de uma violação de dados pessoais que represente um risco aos direitos e liberdades dos indivíduos.
Os direitos dos titulares de dados da UE se aplicam sob o UK GDPR?
Os direitos centrais, acesso, retificação, exclusão, portabilidade, restrição e objeção, são preservados sob o UK GDPR. A Lei DPDI fez pequenos ajustes processuais, como a modificação do limiar para recusar Solicitações de Acesso do Titular vexatórias [6].
Posso usar uma única política de privacidade para conformidade tanto no Reino Unido quanto na UE?
Um único documento pode abordar ambos os regimes, mas deve cobrir explicitamente os requisitos de cada um, incluindo referências separadas ao ICO e à DPA relevante da UE, diferentes mecanismos de transferência e quaisquer áreas onde os dois regimes divergem.
Qual é o papel do Biscotti CMP na conformidade com o UK GDPR?
Biscotti CMP é uma plataforma de gestão de consentimento que ajuda proprietários de sites e empresas a coletar, registrar e gerenciar o consentimento do usuário para cookies e tecnologias de rastreamento de maneira consistente com os requisitos do UK GDPR e do GDPR da UE.
Conclusão
Entender o UK GDPR Pós-Brexit: Navegando Multas, Aplicação e Diferenças em Relação à UE não é mais opcional para qualquer organização que processe dados pessoais no ou a partir do Reino Unido. As duas estruturas se desviaram significativamente desde janeiro de 2021, e a Lei DPDI de 2024 acelerou esse desvio em áreas práticas que afetam as operações do dia a dia, desde o consentimento de cookies até transferências internacionais de dados.
Próximos passos acionáveis para 2026:
- Realize uma análise de lacunas comparando sua postura atual de conformidade com os requisitos do UK GDPR e do GDPR da UE.
- Substitua quaisquer SCCs da UE usadas para transferências do Reino Unido para países terceiros pelo IDTA.
- Verifique se sua configuração de gestão de consentimento reflete os padrões revisados de cookies da Lei DPDI; considere uma solução dedicada como Biscotti CMP.
- Nomeie os representantes corretos se você operar em ambas as jurisdições.
- Monitore as prioridades de aplicação do ICO e a orientação do EDPB separadamente, pois não são mais intercambiáveis.
- Reavalie sua posição de adequação periodicamente, especialmente à medida que a reforma legislativa do Reino Unido continua antes da revisão da decisão de adequação de 2031.
O custo da não conformidade, de até £17,5 milhões ou 4% do faturamento global sob o UK GDPR sozinho, supera em muito o investimento necessário para manter um programa de conformidade sólido.
Referências
[1] Gdpr Vs Uk Gdpr Guide - https://visioncompliance.eu/en/blog/gdpr-vs-uk-gdpr-guide?utm_source=openai
[2] Uk Gdpr Vs Eu Gdpr - https://www.gdprledger.com/uk/research/uk-gdpr-vs-eu-gdpr?utm_source=openai
[3] Gdpr Vs Uk Gdpr Differences 2026 - https://www.compliquest.com/en/blog/gdpr-vs-uk-gdpr-differences-2026?utm_source=openai
[4] Maximum Fine Gdpr Non Compliance - https://datadoc.uk/blog/maximum-fine-gdpr-non-compliance?utm_source=openai
[5] Does Gdpr Still Apply To The Uk - https://legalclarity.org/does-gdpr-still-apply-to-the-uk/?utm_source=openai
[6] Gdpr Compliance - https://datadoc.uk/gdpr-compliance?utm_source=openai