Resposta Rápida: O UK GDPR é uma versão domesticada do GDPR da UE que entrou em vigor quando o Reino Unido deixou o quadro jurídico da UE em 1 de janeiro de 2021. Retém os mesmos princípios fundamentais, mas desde então divergiu através da Lei de Proteção de Dados e Informação Digital de 2024. As empresas do Reino Unido devem cumprir o UK GDPR, e aquelas que também processam dados de residentes da UE devem cumprir separadamente o GDPR da UE; estas são agora duas obrigações legais distintas aplicadas por diferentes autoridades.
Principais Conclusões
- O UK GDPR e o GDPR da UE partilham a mesma estrutura e princípios centrais, mas as reformas legislativas desde o Brexit criaram diferenças significativas em áreas como cookies, interesses legítimos e tomada de decisões automatizadas.
- O Escritório do Comissário de Informação (ICO) é a única autoridade de execução para o UK GDPR; não existe um mecanismo de balcão único disponível para organizações com sede no Reino Unido.
- As multas máximas do UK GDPR chegam a £17,5 milhões ou 4% do volume de negócios global anual, o que for maior, espelhando a estrutura de €20 milhões / 4% da UE.
- A Comissão Europeia estendeu a decisão de adequação do Reino Unido em dezembro de 2025 até dezembro de 2031, mas a reforma legislativa contínua do Reino Unido pode comprometer esse status.
- As empresas do Reino Unido que processam dados de residentes da UE devem cumprir o GDPR da UE e nomear um representante na UE; o inverso se aplica para empresas da UE que visam residentes do Reino Unido.
- O ICO tende a emitir menos multas, mas de maior valor, em comparação com a produção coletiva das Autoridades de Proteção de Dados (DPAs) da UE.
- Organizações que operam em ambas as jurisdições devem interagir separadamente com o ICO e as DPAs relevantes da UE, não há um canal de supervisão compartilhado.
- A gestão de consentimento e a conformidade com cookies diferem entre os dois regimes após as alterações da Lei DPDI de 2024.
O Que É o UK GDPR e Como Difere do GDPR da UE Após o Brexit?
O UK GDPR é a versão do Regulamento Geral sobre a Proteção de Dados que foi incorporada à legislação doméstica do Reino Unido através da Lei de Retirada da União Europeia de 2018, em vigor desde 1 de janeiro de 2021. Funciona em conjunto com a Lei de Proteção de Dados de 2018 e inicialmente espelhava o GDPR da UE quase palavra por palavra.
Desde o Brexit, no entanto, os dois quadros divergem. A Lei de Proteção de Dados e Informação Digital de 2024 (Lei DPDI) introduziu mudanças substanciais no UK GDPR em várias áreas [1]:
- Interesses legítimos: O Reino Unido expandiu a lista de interesses legítimos reconhecidos, reduzindo o ônus dos testes de equilíbrio para certas atividades de processamento.
- Cookies: A Lei DPDI relaxou os requisitos de consentimento para cookies de análise e similares de baixo risco, movendo-se em direção a um modelo de opt-out para categorias específicas.
- Tomada de decisões automatizadas: As regras do Reino Unido sobre decisões exclusivamente automatizadas são agora mais permissivas do que o Artigo 22 do GDPR da UE.
- Transferências internacionais de dados: O Reino Unido desenvolveu seus próprios mecanismos de transferência, o Acordo Internacional de Transferência de Dados (IDTA) e um Adendo do Reino Unido às Cláusulas Contratuais Padrão da UE, que diferem das SCCs da UE [1].
O GDPR da UE continua a ser interpretado e aplicado através do Comitê Europeu de Proteção de Dados (EDPB), cuja orientação não vincula o ICO. Isso significa que a mesma atividade pode ser avaliada de forma diferente dependendo de qual regime se aplica [2].
Erro comum: Assumir que uma única política de privacidade cobrindo "GDPR" é suficiente para ambas as jurisdições. As organizações devem abordar explicitamente ambos os quadros, particularmente em relação aos mecanismos de transferência e nomeações de representantes.
Quais São as Multas Máximas Sob o UK GDPR?
As multas do UK GDPR seguem uma estrutura de dois níveis que se assemelha ao modelo da UE, mas utiliza valores em libras esterlinas [4]:
| Nível | Multa do UK GDPR | Multa do GDPR da UE |
|---|---|---|
| Inferior (violações menos graves) | Até £8,7 milhões ou 2% do volume de negócios global anual | Até €10 milhões ou 2% do volume de negócios global anual |
| Superior (violações mais graves) | Até £17,5 milhões ou 4% do volume de negócios global anual | Até €20 milhões ou 4% do volume de negócios global anual |
Em ambos os níveis, o ICO aplica o valor mais alto. Violações de nível superior normalmente envolvem quebras de princípios centrais de proteção de dados, processamento ilegal ou violações dos direitos dos titulares de dados.
A maior multa do ICO emitida até hoje foi de £20 milhões contra a British Airways, imposta antes que os limites atuais de multas fossem recalibrados, um valor que ilustra a disposição do ICO em buscar penalidades significativas contra grandes organizações [4].
Caso limite: As multas não são automáticas. O ICO considera fatores como a natureza e a duração da violação, o número de indivíduos afetados, se a organização cooperou e quaisquer medidas corretivas tomadas. Um programa de conformidade bem documentado pode influenciar significativamente o resultado.
Quem Aplica o GDPR no Reino Unido Agora?
O Escritório do Comissário de Informação (ICO) é a única autoridade supervisora responsável pela aplicação do UK GDPR. Ao contrário da UE, que opera uma rede de DPAs nacionais coordenadas pelo EDPB, o Reino Unido tem um único regulador centralizado [3].
Isso tem uma consequência prática: o mecanismo de balcão único da UE, que permite que organizações multinacionais lidem com uma DPA líder para processamento transfronteiriço, não se aplica sob o UK GDPR. Qualquer organização que opere tanto no Reino Unido quanto na UE deve interagir com o ICO para questões relacionadas ao Reino Unido e separadamente com a DPA relevante da UE (ou DPAs) para questões relacionadas à UE [3].
O ICO também possui poderes além de penalidades financeiras, incluindo a emissão de notificações de execução, notificações de avaliação e notificações de informação. Em casos graves, pode encaminhar questões para acusação criminal sob a Lei de Proteção de Dados de 2018.
As Empresas do Reino Unido Ainda Precisam Cumprir o GDPR da UE?
Sim, em muitos casos. As empresas do Reino Unido que oferecem bens ou serviços a residentes da UE, ou que monitoram o comportamento de residentes da UE, estão dentro do âmbito territorial do GDPR da UE sob o Artigo 3(2), independentemente de onde a empresa esteja estabelecida [5].
Essas organizações devem:
- Nomear um representante na UE (uma pessoa ou organização com sede em um estado membro da UE) [5].
- Cumprir os requisitos específicos do GDPR da UE, incluindo suas SCCs para transferências de dados de volta para o Reino Unido.
- Interagir com a DPA relevante da UE para quaisquer reclamações ou investigações envolvendo titulares de dados da UE.
O inverso também se aplica: organizações com sede na UE que processam dados de residentes do Reino Unido devem cumprir o UK GDPR e nomear um representante no Reino Unido [5].
Regra de decisão: Se o seu site visa usuários no Reino Unido e na UE (por exemplo, através de conteúdo em língua da UE, preços em moeda da UE ou marketing específico da UE), assuma que as obrigações de conformidade dupla se aplicam até que você tenha obtido aconselhamento jurídico específico em contrário.
O Que Mudou no UK GDPR Após o Brexit?
Além da divergência estrutural já mencionada, várias mudanças práticas entraram em vigor quando o GDPR da UE foi substituído pelo UK GDPR para fins domésticos [1][2]:
- Autoridade supervisora: O ICO substituiu o EDPB como o principal órgão interpretativo e de aplicação.
- Decisões de adequação: O Reino Unido deve agora emitir suas próprias decisões de adequação para países terceiros; não pode depender das decisões de adequação da UE.
- Mecanismos de transferência: O IDTA substituiu as SCCs da UE para transferências do Reino Unido para países terceiros.
- Limiares de SAR: A Lei DPDI simplificou o limiar para recusar ou cobrar por Solicitações de Acesso do Titular, permitindo que as organizações recusem solicitações que sejam "vexatórias ou excessivas" (um padrão ligeiramente diferente do "manifesta e infundada ou excessiva" da UE) [6].
- Orientação regulatória: A orientação do ICO agora governa a conformidade no Reino Unido; as opiniões e diretrizes do EDPB são persuasivas, mas não vinculativas no Reino Unido.
A decisão de adequação estendida pela Comissão Europeia em dezembro de 2025 significa que os fluxos de dados da UE para o Reino Unido permanecem legais sem salvaguardas adicionais até dezembro de 2031, mas analistas observam que a reforma legislativa contínua do Reino Unido pode levar a uma reavaliação [2].
O UK GDPR É Mais Estrito ou Menos Estrito Que o GDPR da UE?
Nenhum dos quadros é categoricamente mais estrito em todos os aspectos. Os dois regimes diferem em áreas específicas, em vez de em severidade geral.
Áreas onde o UK GDPR é mais permissivo:
- Interesses legítimos reconhecidos mais amplos sob a Lei DPDI.
- Consentimento de cookies relaxado para análises de baixo risco.
- Regras de tomada de decisões automatizadas mais flexíveis.
- Limiares de recusa de SAR simplificados [1][6].
Áreas onde são amplamente equivalentes:
- Princípios centrais (legalidade, justiça, transparência, limitação de propósito, minimização de dados, precisão, limitação de armazenamento, integridade).
- Direitos dos titulares de dados (acesso, retificação, eliminação, portabilidade, objeção).
- Estruturas de multas (proporcionalmente semelhantes, com valores do Reino Unido em libras).
- Prazos de notificação de violação (72 horas para a autoridade supervisora).
Áreas onde o GDPR da UE pode ser mais permissivo na prática:
- O mecanismo de balcão único pode reduzir a fricção de conformidade para multinacionais que operam em estados membros da UE, um benefício indisponível sob o UK GDPR.
O ICO historicamente emitiu menos multas do que a produção combinada das DPAs da UE, embora as multas individuais do Reino Unido tenham sido substanciais [4].
Quais São as Violações Comuns do GDPR Que Levam a Multas?
O ICO e as DPAs da UE têm consistentemente penalizado as seguintes categorias de violações:
- Base legal insuficiente para processamento: Processamento de dados pessoais sem uma base legal válida ou dependendo de consentimento que não atende ao padrão exigido.
- Medidas de segurança inadequadas: Falha em implementar medidas técnicas e organizacionais apropriadas, resultando em violações de dados.
- Não conformidade com os direitos dos titulares de dados: Ignorar ou responder inadequadamente a Solicitações de Acesso do Titular, solicitações de eliminação ou objeções.
- Transferências de dados ilegais: Envio de dados pessoais para países terceiros sem salvaguardas adequadas (por exemplo, sem IDTA ou SCCs em vigor).
- Falta de transparência: Avisos de privacidade que são incompletos, enganosos ou inacessíveis.
- Falhas no consentimento de cookies: Implantação de cookies não essenciais sem consentimento válido ou uso de padrões obscuros para obter consentimento.
Para proprietários de sites e agências de marketing online especificamente, falhas no consentimento de cookies e avisos de privacidade inadequados estão entre os gatilhos de execução mais comuns. Uma plataforma de gestão de consentimento devidamente configurada, como Biscotti CMP, pode ajudar as organizações a documentar e gerenciar o consentimento de maneira consistente com os requisitos do UK GDPR e do GDPR da UE.
Como Sei Se Minha Empresa Precisa Cumprir o UK GDPR?
O UK GDPR se aplica a qualquer organização que [5]:
- Esteja estabelecida no Reino Unido e processe dados pessoais no contexto dessa estabelecimento (independentemente de onde o processamento ocorra), ou
- Não esteja estabelecida no Reino Unido, mas processe dados pessoais de residentes do Reino Unido em conexão com a oferta de bens ou serviços, ou monitorando seu comportamento dentro do Reino Unido.
Lista de verificação prática:
- Seu site coleta nomes, endereços de e-mail, endereços IP ou cookies de visitantes do Reino Unido? Se sim, o UK GDPR se aplica.
- Você usa ferramentas de análise, pixels de publicidade ou tags de remarketing que processam dados de usuários do Reino Unido? Se sim, o UK GDPR se aplica.
- Você envia e-mails de marketing para contatos do Reino Unido? Se sim, o UK GDPR (e as Regulamentações de Privacidade e Comunicações Eletrônicas) se aplicam.
- Você é uma empresa não britânica sem escritório no Reino Unido, mas com um site voltado para o Reino Unido? O UK GDPR ainda se aplica, e você pode precisar de um representante no Reino Unido.
Qual é a Diferença Entre Multas do ICO e Penalidades Judiciais?
As multas do ICO são penalidades administrativas impostas diretamente pelo regulador sem envolvimento do tribunal. As penalidades judiciais, por outro lado, surgem de litígios civis movidos por titulares de dados ou acusações criminais sob a Lei de Proteção de Dados de 2018.
Principais distinções:
- Multas do ICO: Emitidas após uma investigação; podem ser apeladas ao Tribunal de Primeira Instância. Os valores máximos são conforme descrito na estrutura de multas acima.
- Danos atribuídos pelo tribunal: Os titulares de dados podem apresentar reclamações em tribunais civis por danos materiais ou não materiais causados por uma violação do GDPR. Não há um limite estatutário sobre danos em reclamações civis.
- Ofensas criminais: Certos atos, como obter ilegalmente dados pessoais ou reidentificar dados anonimizados, são ofensas criminais sob a Lei de Proteção de Dados de 2018, sujeitas a multas ilimitadas ou prisão.
As organizações devem estar cientes de que uma única violação de dados pode acionar todos os três simultaneamente: uma investigação do ICO, reclamações civis de indivíduos afetados e (em casos graves) encaminhamentos criminais.
Você Pode Ser Multado por Violações do GDPR Que Aconteceram Antes do Brexit?
Para violações que ocorreram antes de 1 de janeiro de 2021, o GDPR da UE se aplicou no Reino Unido. O ICO manteve jurisdição sobre violações anteriores ao Brexit envolvendo organizações estabelecidas no Reino Unido, e ações de execução iniciadas sob as regras do GDPR da UE poderiam continuar sob as disposições transitórias da Lei de Retirada da UE.
As violações pós-Brexit são governadas inteiramente pelo UK GDPR. Não há mecanismo para que as DPAs da UE imponham multas a organizações estabelecidas no Reino Unido por processamento pós-Brexit de dados de residentes do Reino Unido; essa autoridade pertence exclusivamente ao ICO.
Caso limite: Se uma organização do Reino Unido estava processando dados de residentes da UE antes e depois do Brexit, o período anterior ao Brexit pode ter envolvido obrigações do GDPR da UE aplicadas por uma DPA da UE, enquanto o período pós-Brexit se enquadra tanto no UK GDPR (para residentes do Reino Unido) quanto no GDPR da UE (para residentes da UE) simultaneamente.
O Que as Empresas Devem Fazer Para Se Preparar Para a Execução do UK GDPR?
A conformidade com o UK GDPR Pós-Brexit: Navegando Multas, Execução e Diferenças em Relação à UE requer um programa estruturado e contínuo, em vez de uma auditoria única. As ações prioritárias incluem:
- Mapear seus fluxos de dados: Identificar todos os dados pessoais coletados, sua base legal, onde estão armazenados e se são transferidos internacionalmente.
- Atualizar mecanismos de transferência: Substituir quaisquer SCCs da UE usadas para transferências do Reino Unido para países terceiros pelo IDTA ou Adendo do Reino Unido [1].
- Revisar seu aviso de privacidade: Garantir que reflita os requisitos do UK GDPR e a orientação do ICO, não apenas os padrões do GDPR da UE.
- Auditar o consentimento de cookies: Se seu site atende visitantes do Reino Unido, verifique se sua configuração de gestão de consentimento atende aos padrões revisados da Lei DPDI. Ferramentas como Biscotti CMP são projetadas para apoiar a coleta e documentação de consentimento em conformidade.
- Nomear representantes: Se você processa dados de residentes da UE, nomeie um representante na UE; se você é uma empresa não britânica processando dados de residentes do Reino Unido, nomeie um representante no Reino Unido [5].
- Treinar funcionários: O treinamento em proteção de dados deve refletir as especificidades do UK GDPR, não conteúdo genérico de "GDPR" que pode confundir os dois regimes.
- Monitorar a orientação do ICO: O ICO publica regularmente orientações atualizadas; inscreva-se para receber atualizações do ICO para se manter atualizado sobre as prioridades de execução.
Ferramenta de Decisão de Conformidade com o UK GDPR
FAQ
Qual é a diferença entre o UK GDPR e o GDPR da UE em termos simples?
O UK GDPR é uma versão domesticada do GDPR da UE que se aplica dentro do Reino Unido. Eles compartilham os mesmos princípios fundamentais, mas divergem desde o Brexit, particularmente após a Lei DPDI de 2024, que relaxou regras sobre cookies, interesses legítimos e decisões automatizadas.
A decisão de adequação da UE significa que as empresas do Reino Unido não precisam se preocupar com o GDPR da UE?
Não. A decisão de adequação governa os fluxos de dados da UE para o Reino Unido, não isenta as empresas do Reino Unido do GDPR da UE quando processam dados de residentes da UE. Se uma empresa do Reino Unido visa usuários da UE, o GDPR da UE se aplica independentemente.
Quanto tempo dura a decisão de adequação da UE para o Reino Unido?
A Comissão Europeia estendeu a decisão de adequação do Reino Unido em dezembro de 2025, mantendo-a válida até dezembro de 2031. A divergência legislativa contínua do Reino Unido em relação ao GDPR da UE pode levar a uma revisão antes dessa data [2].
O ICO pode multar uma empresa com sede fora do Reino Unido?
Sim. Se uma organização não britânica processa dados de residentes do Reino Unido em conexão com a oferta de bens ou serviços ou monitorando seu comportamento, o UK GDPR se aplica e o ICO tem jurisdição [5].
O que é o IDTA e quando eu preciso dele?
O Acordo Internacional de Transferência de Dados (IDTA) é o mecanismo do Reino Unido para transferir legalmente dados pessoais do Reino Unido para países terceiros que não possuem uma decisão de adequação. Ele substitui as Cláusulas Contratuais Padrão da UE para transferências do Reino Unido para países terceiros [1].
Um Encarregado de Proteção de Dados (DPO) é exigido sob o UK GDPR?
Sim, em certas circunstâncias, especificamente para autoridades públicas, organizações que realizam monitoramento sistemático em larga escala de indivíduos ou aquelas que processam dados de categoria especial em larga escala. Os requisitos espelham aqueles sob o GDPR da UE.
Qual é a regra de notificação de violação de 72 horas?
Tanto o UK GDPR quanto o GDPR da UE exigem que as organizações notifiquem sua autoridade supervisora (o ICO no Reino Unido) dentro de 72 horas após tomarem conhecimento de uma violação de dados pessoais que represente um risco para os direitos e liberdades dos indivíduos.
Os direitos dos titulares de dados da UE se aplicam sob o UK GDPR?
Os direitos centrais, acesso, retificação, eliminação, portabilidade, restrição e objeção, são preservados sob o UK GDPR. A Lei DPDI fez ajustes processuais menores, como a modificação do limiar para recusar Solicitações de Acesso do Titular vexatórias [6].
Posso usar uma única política de privacidade para conformidade tanto no Reino Unido quanto na UE?
Um único documento pode abordar ambos os regimes, mas deve cobrir explicitamente os requisitos de cada um, incluindo referências separadas ao ICO e à DPA relevante da UE, diferentes mecanismos de transferência e quaisquer áreas onde os dois quadros divergem.
Qual é o papel do Biscotti CMP na conformidade com o UK GDPR?
Biscotti CMP é uma plataforma de gestão de consentimento que ajuda proprietários de sites e empresas a coletar, registrar e gerenciar o consentimento do usuário para cookies e tecnologias de rastreamento de maneira consistente com os requisitos do UK GDPR e do GDPR da UE.
Conclusão
Compreender o UK GDPR Pós-Brexit: Navegando Multas, Execução e Diferenças em Relação à UE não é mais opcional para qualquer organização que processe dados pessoais no ou a partir do Reino Unido. Os dois quadros divergiram significativamente desde janeiro de 2021, e a Lei DPDI de 2024 acelerou essa divergência em áreas práticas que afetam as operações do dia a dia, desde o consentimento de cookies até transferências internacionais de dados.
Próximos passos acionáveis para 2026:
- Realizar uma análise de lacunas comparando sua postura atual de conformidade com os requisitos do UK GDPR e do GDPR da UE.
- Substituir quaisquer SCCs da UE usadas para transferências do Reino Unido para países terceiros pelo IDTA.
- Verificar se sua configuração de gestão de consentimento reflete os padrões revisados de cookies da Lei DPDI; considere uma solução dedicada como Biscotti CMP.
- Nomear os representantes corretos se você operar em ambas as jurisdições.
- Monitorar as prioridades de execução do ICO e a orientação do EDPB separadamente, pois não são mais intercambiáveis.
- Reavaliar sua posição de adequação periodicamente, particularmente à medida que a reforma legislativa do Reino Unido continua antes da revisão da decisão de adequação em 2031.
O custo da não conformidade, até £17,5 milhões ou 4% do volume de negócios global sob o UK GDPR sozinho, supera em muito o investimento necessário para manter um programa de conformidade sólido.
Referências
[1] Gdpr Vs Uk Gdpr Guide - https://visioncompliance.eu/en/blog/gdpr-vs-uk-gdpr-guide?utm_source=openai
[2] Uk Gdpr Vs Eu Gdpr - https://www.gdprledger.com/uk/research/uk-gdpr-vs-eu-gdpr?utm_source=openai
[3] Gdpr Vs Uk Gdpr Differences 2026 - https://www.compliquest.com/en/blog/gdpr-vs-uk-gdpr-differences-2026?utm_source=openai
[4] Maximum Fine Gdpr Non Compliance - https://datadoc.uk/blog/maximum-fine-gdpr-non-compliance?utm_source=openai
[5] Does Gdpr Still Apply To The Uk - https://legalclarity.org/does-gdpr-still-apply-to-the-uk/?utm_source=openai
[6] Gdpr Compliance - https://datadoc.uk/gdpr-compliance?utm_source=openai