Răspuns rapid: UK GDPR este o versiune adaptată a UE GDPR care a intrat în vigoare când Regatul Unit a părăsit cadrul legal al UE pe 1 ianuarie 2021. Păstrează aceleași principii fundamentale, dar a divergențiat de atunci prin Legea privind Protecția Datelor și Informațiile Digitale 2024. Afacerile din Regatul Unit trebuie să respecte UK GDPR, iar cele care procesează datele rezidenților din UE trebuie să respecte separat UE GDPR; acestea sunt acum două obligații legale distincte aplicate de autorități diferite.
Puncte cheie
- UK GDPR și UE GDPR împărtășesc aceeași structură și principii de bază, dar reformele legislative de după Brexit au creat diferențe semnificative în domenii precum cookie-urile, interesele legitime și luarea deciziilor automatizate.
- Biroul Comisarului pentru Informații (ICO) este singura autoritate de aplicare pentru UK GDPR; nu există un mecanism de tip "one-stop-shop" disponibil pentru organizațiile din Regatul Unit.
- Amenzile maxime sub UK GDPR ajung la 17,5 milioane de lire sau 4% din cifra de afaceri anuală globală, oricare dintre acestea este mai mare, reflectând structura de 20 de milioane de euro / 4% a UE.
- Comisia Europeană a extins decizia de adecvare a Regatului Unit în decembrie 2025 până în decembrie 2031, dar continuarea reformelor legislative din Regatul Unit ar putea pune în pericol acest statut.
- Companiile din Regatul Unit care procesează datele rezidenților din UE trebuie să respecte UE GDPR și să numească un reprezentant în UE; inversul se aplică companiilor din UE care vizează rezidenții din Regatul Unit.
- ICO tinde să emită mai puține amenzi, dar mai mari, comparativ cu producția colectivă a Autorităților de Protecție a Datelor din UE (DPA).
- Organizațiile care operează în ambele jurisdicții trebuie să interacționeze separat cu ICO și cu DPA-urile relevante din UE; nu există un canal de supraveghere comun.
- Managementul consimțământului și conformitatea cu cookie-urile diferă între cele două regimuri în urma modificărilor aduse de Legea DPDI 2024.
Ce este UK GDPR și cum se deosebește de UE GDPR după Brexit?
UK GDPR este versiunea Regulamentului General privind Protecția Datelor care a fost încorporată în legislația națională a Regatului Unit prin Legea privind Retragerea din Uniunea Europeană 2018, în vigoare din 1 ianuarie 2021. Funcționează alături de Legea privind Protecția Datelor 2018 și inițial a reflectat UE GDPR aproape cuvânt cu cuvânt.
Cu toate acestea, de la Brexit, cele două cadre au divergențiat. Legea privind Protecția Datelor și Informațiile Digitale 2024 (Legea DPDI) a introdus modificări substanțiale în UK GDPR în mai multe domenii [1]:
- Interese legitime: Regatul Unit a extins lista intereselor legitime recunoscute, reducând povara testelor de echilibrare pentru anumite activități de procesare.
- Cookie-uri: Legea DPDI a relaxat cerințele de consimțământ pentru cookie-urile de analiză și alte cookie-uri de risc scăzut, trecând la un model de opt-out pentru anumite categorii.
- Luarea deciziilor automatizate: Regulile Regatului Unit privind deciziile complet automatizate sunt acum mai permisive decât articolul 22 din UE GDPR.
- Transferuri internaționale de date: Regatul Unit a dezvoltat propriile mecanisme de transfer, Acordul Internațional de Transfer de Date (IDTA) și un Addendum UK la Clauzele Contractuale Standard ale UE, care diferă de SCC-urile UE [1].
UE GDPR continuă să fie interpretat și aplicat prin intermediul Comitetului European pentru Protecția Datelor (EDPB), a cărui orientare nu obligă ICO. Aceasta înseamnă că aceeași activitate poate fi evaluată diferit în funcție de regimul care se aplică [2].
Greșeală comună: Presupunerea că o singură politică de confidențialitate care acoperă "GDPR" este suficientă pentru ambele jurisdicții. Organizațiile trebuie să abordeze explicit ambele cadre, în special în jurul mecanismelor de transfer și numirilor de reprezentanți.
Care sunt amenzile maxime sub UK GDPR?
Amenzile sub UK GDPR urmează o structură în două niveluri care se aliniază strâns modelului UE, dar utilizează cifre în lire sterline [4]:
| Nivel | Amenzi UK GDPR | Amenzi UE GDPR |
|---|---|---|
| Inferior (infracțiuni mai puțin grave) | Până la 8,7 milioane de lire sau 2% din cifra de afaceri anuală globală | Până la 10 milioane de euro sau 2% din cifra de afaceri anuală globală |
| Superior (infracțiuni cele mai grave) | Până la 17,5 milioane de lire sau 4% din cifra de afaceri anuală globală | Până la 20 de milioane de euro sau 4% din cifra de afaceri anuală globală |
În ambele niveluri, ICO aplică cifra care este mai mare. Infracțiunile de nivel superior implică de obicei încălcări ale principiilor fundamentale de protecție a datelor, procesare ilegală sau încălcări ale drepturilor subiecților de date.
Cea mai mare amendă emisă de ICO până în prezent a fost de 20 de milioane de lire împotriva British Airways, impusă înainte ca actualele limite de amenzi să fie recalibrate, o cifră care ilustrează dorința ICO de a urmări penalități semnificative împotriva organizațiilor mari [4].
Caz de excepție: Amenzile nu sunt automate. ICO ia în considerare factori precum natura și durata încălcării, numărul de persoane afectate, dacă organizația a cooperat și orice măsuri remediale luate. Un program de conformitate bine documentat poate influența semnificativ rezultatul.
Cine aplică GDPR în Regatul Unit acum?
Biroul Comisarului pentru Informații (ICO) este singura autoritate de supraveghere responsabilă pentru aplicarea UK GDPR. Spre deosebire de UE, care operează o rețea de DPA-uri naționale coordonate de EDPB, Regatul Unit are un singur regulator centralizat [3].
Acest lucru are o consecință practică: mecanismul de tip "one-stop-shop" al UE, care permite organizațiilor multinaționale să colaboreze cu un DPA principal pentru procesarea transfrontalieră, nu se aplică sub UK GDPR. Orice organizație care operează atât în Regatul Unit, cât și în UE trebuie să interacționeze cu ICO pentru problemele legate de Regatul Unit și separat cu DPA-ul relevant din UE (sau DPA-urile) pentru problemele legate de UE [3].
ICO are, de asemenea, puteri dincolo de penalitățile financiare, inclusiv emiterea de notificări de aplicare, notificări de evaluare și notificări de informații. În cazuri grave, poate trimite chestiuni pentru urmărire penală în temeiul Legii privind Protecția Datelor 2018.
Companiile din Regatul Unit trebuie să respecte în continuare UE GDPR?
Da, în multe cazuri. Companiile din Regatul Unit care oferă bunuri sau servicii rezidenților din UE sau care monitorizează comportamentul rezidenților din UE se încadrează în domeniul de aplicare teritorial al UE GDPR conform articolului 3(2), indiferent de locul în care este înființată compania [5].
Astfel de organizații trebuie să:
- Numească un reprezentant în UE (o persoană sau o organizație cu sediul într-un stat membru UE) [5].
- Respecte cerințele specifice ale UE GDPR, inclusiv SCC-urile sale pentru transferurile de date înapoi în Regatul Unit.
- Colaboreze cu DPA-ul relevant din UE pentru orice plângeri sau investigații implicând subiecți de date din UE.
Inversul se aplică, de asemenea: organizațiile cu sediul în UE care procesează datele rezidenților din Regatul Unit trebuie să respecte UK GDPR și să numească un reprezentant în Regatul Unit [5].
Regula decizională: Dacă site-ul dvs. vizează utilizatori atât în Regatul Unit, cât și în UE (de exemplu, prin conținut în limba UE, prețuri în moneda UE sau marketing specific pentru UE), presupuneți că se aplică obligații de conformitate duală până când ați obținut un sfat juridic specific în sens contrar.
Ce s-a schimbat în UK GDPR după Brexit?
Dincolo de divergența structurală deja menționată, mai multe schimbări practice au intrat în vigoare când UE GDPR a fost înlocuit de UK GDPR în scopuri interne [1][2]:
- Autoritate de supraveghere: ICO a înlocuit EDPB ca principal organism de interpretare și aplicare.
- Decizii de adecvare: Regatul Unit trebuie acum să emită propriile decizii de adecvare pentru țările terțe; nu poate conta pe deciziile de adecvare ale UE.
- Mecanisme de transfer: IDTA a înlocuit SCC-urile UE pentru transferurile din Regatul Unit către țări terțe.
- Praguri SAR: Legea DPDI a simplificat pragul pentru refuzarea sau perceperea de taxe pentru Cererile de Acces la Subiecți, permițând organizațiilor să refuze cererile care sunt "vexatious sau excesive" (un standard ușor diferit de "manifeste neîntemeiate sau excesive" al UE) [6].
- Orientări de reglementare: Orientările ICO guvernează acum conformitatea în Regatul Unit; opiniile și liniile directoare EDPB sunt convingătoare, dar nu obligatorii în Regatul Unit.
Decizia de adecvare extinsă de către Comisia Europeană în decembrie 2025 înseamnă că fluxurile de date din UE către Regatul Unit rămân legale fără măsuri suplimentare de protecție până în decembrie 2031, dar analiștii notează că continuarea reformelor legislative din Regatul Unit ar putea determina o reevaluare [2].
Este UK GDPR mai strict sau mai puțin strict decât UE GDPR?
Niciunul dintre cadre nu este categoric mai strict în ansamblu. Cele două regimuri diferă în domenii specifice, mai degrabă decât în severitatea generală.
Domenii în care UK GDPR este mai permisiv:
- Interese legitime recunoscute mai larg sub Legea DPDI.
- Consimțământ relaxat pentru cookie-uri de analiză de risc scăzut.
- Reguli mai flexibile pentru luarea deciziilor automatizate.
- Praguri simplificate pentru refuzul SAR [1][6].
Domenii în care sunt în general echivalente:
- Principiile fundamentale (legalitate, corectitudine, transparență, limitarea scopului, minimizarea datelor, acuratețe, limitarea stocării, integritate).
- Drepturile subiecților de date (acces, rectificare, ștergere, portabilitate, obiecție).
- Structurile amenzilor (proporțional similare, cu cifrele din Regatul Unit în lire sterline).
- Termenele de notificare a încălcărilor (72 de ore către autoritatea de supraveghere).
Domenii în care UE GDPR poate fi mai permisiv în practică:
- Mecanismul de tip "one-stop-shop" poate reduce fricțiunile de conformitate pentru multinaționalele care operează în state membre UE, un beneficiu indisponibil sub UK GDPR.
ICO a emis istoric mai puține amenzi decât producția combinată a DPA-urilor din UE, deși amenzile individuale din Regatul Unit au fost substanțiale [4].
Care sunt încălcările comune ale GDPR care duc la amenzi?
ICO și DPA-urile din UE au penalizat constant următoarele categorii de încălcări:
- Bază legală insuficientă pentru procesare: Procesarea datelor personale fără o bază legală validă sau bazându-se pe consimțământ care nu îndeplinește standardul necesar.
- Măsuri de securitate inadecvate: Nerespectarea implementării măsurilor tehnice și organizatorice adecvate, ducând la încălcări de date.
- Nerespectarea drepturilor subiecților de date: Ignorarea sau răspunsuri inadecvate la Cererile de Acces la Subiecți, cererile de ștergere sau obiecțiile.
- Transferuri ilegale de date: Trimiterea datelor personale către țări terțe fără măsuri adecvate de protecție (de exemplu, fără IDTA sau SCC-uri în vigoare).
- Lipsa de transparență: Notificările de confidențialitate care sunt incomplete, înșelătoare sau inaccesibile.
- Eșecuri în consimțământul cookie-urilor: Implementarea cookie-urilor non-esențiale fără consimțământ valid sau utilizarea de modele întunecate pentru a obține consimțământul.
Pentru proprietarii de site-uri web și agențiile de marketing online în special, eșecurile în consimțământul cookie-urilor și notificările de confidențialitate inadecvate sunt printre cele mai frecvente declanșatoare de aplicare. O platformă de management al consimțământului configurată corect, cum ar fi Biscotti CMP, poate ajuta organizațiile să documenteze și să gestioneze consimțământul într-o manieră consistentă cu cerințele atât ale UK GDPR, cât și ale UE GDPR.
Cum pot ști dacă afacerea mea trebuie să respecte UK GDPR?
UK GDPR se aplică oricărei organizații care [5]:
- Este înființată în Regatul Unit și procesează date personale în contextul acelei înființări (indiferent de locul în care are loc procesarea), sau
- Nu este înființată în Regatul Unit, dar procesează date personale ale rezidenților din Regatul Unit în legătură cu oferirea de bunuri sau servicii, sau monitorizarea comportamentului lor în Regatul Unit.
Listă de verificare practică:
- Colectează site-ul dvs. nume, adrese de email, adrese IP sau cookie-uri de la vizitatorii din Regatul Unit? Dacă da, UK GDPR se aplică.
- Utilizați instrumente de analiză, pixeli publicitari sau etichete de remarketing care procesează datele utilizatorilor din Regatul Unit? Dacă da, UK GDPR se aplică.
- Trimiteți emailuri de marketing către contacte din Regatul Unit? Dacă da, UK GDPR (și Regulamentele privind Confidențialitatea și Comunicațiile Electronice) se aplică.
- Sunteți o afacere non-UK fără birou în Regatul Unit, dar cu un site web orientat către Regatul Unit? UK GDPR se aplică în continuare, iar dvs. poate fi necesar să aveți un reprezentant în Regatul Unit.
Care este diferența dintre amenzile ICO și penalitățile judiciare?
Amenzile ICO sunt penalități administrative impuse direct de regulator fără implicarea instanțelor. Penalitățile judiciare, pe de altă parte, rezultă din litigii civile intentate de subiecții de date sau din urmăriri penale în temeiul Legii privind Protecția Datelor 2018.
Distincții cheie:
- Amenzi ICO: Emiterea acestora are loc după o investigație; pot fi contestate la Tribunalul de Primă Instanță. Sumele maxime sunt cele descrise în structura amenzilor de mai sus.
- Despăgubiri acordate de instanță: Subiecții de date pot formula cereri în instanțele civile pentru daune materiale sau nemateriale cauzate de o încălcare a GDPR. Nu există un plafon legal pentru daunele în cererile civile.
- Infracțiuni penale: Anumite acte, cum ar fi obținerea ilegală a datelor personale sau re-identificarea datelor anonimizate, sunt infracțiuni penale în temeiul Legii privind Protecția Datelor 2018, purtând amenzi nelimitate sau închisoare.
Organizațiile ar trebui să fie conștiente că o singură încălcare a datelor poate declanșa simultan toate cele trei: o investigație ICO, cereri civile din partea persoanelor afectate și (în cazuri grave) trimiteri penale.
Puteți fi amendat pentru încălcările GDPR care s-au întâmplat înainte de Brexit?
Pentru încălcările care au avut loc înainte de 1 ianuarie 2021, UE GDPR s-a aplicat în Regatul Unit. ICO a păstrat jurisdicția asupra încălcărilor pre-Brexit implicând organizații stabilite în Regatul Unit, iar acțiunile de aplicare inițiate sub regulile UE GDPR ar putea continua sub prevederile tranzitorii ale Legii privind Retragerea din Uniunea Europeană.
Încălcările post-Brexit sunt guvernate în întregime de UK GDPR. Nu există un mecanism prin care DPA-urile din UE să impună amenzi organizațiilor stabilite în Regatul Unit pentru procesarea post-Brexit a datelor rezidenților din Regatul Unit; această autoritate aparține exclusiv ICO.
Caz de excepție: Dacă o organizație din Regatul Unit a procesat datele rezidenților din UE înainte și după Brexit, perioada pre-Brexit ar fi putut implica obligații UE GDPR aplicate de un DPA din UE, în timp ce perioada post-Brexit se încadrează sub ambele UK GDPR (pentru rezidenții din Regatul Unit) și UE GDPR (pentru rezidenții din UE) simultan.
Ce ar trebui să facă companiile pentru a se pregăti pentru aplicarea UK GDPR?
Conformitatea cu UK GDPR post-Brexit: Navigarea amenzilor, aplicării și diferențelor față de UE necesită un program structurat și continuu, nu un audit unic. Acțiunile prioritare includ:
- Cartografiați fluxurile de date: Identificați toate datele personale colectate, baza sa legală, unde este stocată și dacă este transferată internațional.
- Actualizați mecanismele de transfer: Înlocuiți orice SCC-uri UE utilizate pentru transferurile din Regatul Unit către țări terțe cu IDTA sau Addendum UK [1].
- Revizuiți notificarea de confidențialitate: Asigurați-vă că reflectă cerințele UK GDPR și orientările ICO, nu doar standardele UE GDPR.
- Auditați consimțământul cookie-urilor: Dacă site-ul dvs. servește vizitatori din Regatul Unit, verificați că setările dvs. de management al consimțământului respectă standardele revizuite ale Legii DPDI. Instrumente precum Biscotti CMP sunt concepute pentru a sprijini colectarea și documentarea consimțământului conform.
- Numiți reprezentanți: Dacă procesați datele rezidenților din UE, numiți un reprezentant în UE; dacă sunteți o afacere non-UK care procesează datele rezidenților din Regatul Unit, numiți un reprezentant în Regatul Unit [5].
- Instruirea personalului: Formarea în domeniul protecției datelor ar trebui să reflecte specificitățile UK GDPR, nu conținut generic "GDPR" care ar putea confunda cele două regimuri.
- Monitorizați orientările ICO: ICO publică regulat orientări actualizate; abonați-vă la actualizările ICO pentru a rămâne la curent cu prioritățile de aplicare.
Instrument de decizie pentru conformitatea cu UK GDPR
Întrebări frecvente
Care este diferența dintre UK GDPR și UE GDPR în termeni simpli?
UK GDPR este o versiune adaptată a UE GDPR care se aplică în Regatul Unit. Ele împărtășesc aceleași principii fundamentale, dar au divergențiat de la Brexit, în special după Legea DPDI 2024, care a relaxat regulile privind cookie-urile, interesele legitime și deciziile automatizate.
Decizia de adecvare a UE înseamnă că companiile din Regatul Unit nu trebuie să se îngrijoreze de UE GDPR?
Nu. Decizia de adecvare guvernează fluxurile de date din UE către Regatul Unit, nu exonerează companiile din Regatul Unit de la respectarea UE GDPR atunci când procesează datele rezidenților din UE. Dacă o companie din Regatul Unit vizează utilizatorii din UE, UE GDPR se aplică independent.
Cât durează decizia de adecvare a Regatului Unit?
Comisia Europeană a extins decizia de adecvare a Regatului Unit în decembrie 2025, menținând-o valabilă până în decembrie 2031. Divergența legislativă continuă a Regatului Unit față de UE GDPR ar putea determina o revizuire înainte de acea dată [2].
Poate ICO să amendeze o companie cu sediul în afara Regatului Unit?
Da. Dacă o organizație non-UK procesează datele rezidenților din Regatul Unit în legătură cu oferirea de bunuri sau servicii sau monitorizarea comportamentului lor, UK GDPR se aplică și ICO are jurisdicție [5].
Ce este IDTA și când am nevoie de el?
Acordul Internațional de Transfer de Date (IDTA) este mecanismul Regatului Unit pentru transferul legal al datelor personale din Regatul Unit către țări terțe care nu au o decizie de adecvare. Acesta înlocuiește Clauzele Contractuale Standard ale UE pentru transferurile din Regatul Unit către țări terțe [1].
Este necesar un Ofițer de Protecție a Datelor (DPO) sub UK GDPR?
Da, în anumite circumstanțe, în special pentru autoritățile publice, organizațiile care efectuează monitorizări sistematice pe scară largă ale indivizilor sau cele care procesează date de categorie specială pe o scară largă. Cerințele reflectă cele sub UE GDPR.
Care este regula de notificare a încălcărilor de 72 de ore?
Atât UK GDPR, cât și UE GDPR cer organizațiilor să notifice autoritatea lor de supraveghere (ICO în Regatul Unit) în termen de 72 de ore de la luarea la cunoștință a unei încălcări a datelor personale care prezintă un risc pentru drepturile și libertățile indivizilor.
Se aplică drepturile subiecților de date din UE sub UK GDPR?
Drepturile fundamentale, accesul, rectificarea, ștergerea, portabilitatea, restricția și obiecția, sunt păstrate sub UK GDPR. Legea DPDI a adus ajustări procedurale minore, cum ar fi modificarea pragului pentru refuzarea Cererilor de Acces la Subiecți vexatious [6].
Pot folosi o singură politică de confidențialitate pentru conformitatea cu UK și UE?
Un singur document poate aborda ambele regimuri, dar trebuie să acopere explicit cerințele fiecăruia, inclusiv referințe separate la ICO și DPA-ul relevant din UE, mecanisme de transfer diferite și orice domenii în care cele două cadre diverge.
Ce rol joacă Biscotti CMP în conformitatea cu UK GDPR?
Biscotti CMP este o platformă de management al consimțământului care ajută proprietarii de site-uri web și afacerile să colecteze, să înregistreze și să gestioneze consimțământul utilizatorilor pentru cookie-uri și tehnologii de urmărire într-o manieră consistentă cu cerințele UK GDPR și UE GDPR.
Concluzie
Înțelegerea UK GDPR post-Brexit: Navigarea amenzilor, aplicării și diferențelor față de UE nu mai este opțională pentru nicio organizație care procesează date personale în sau din Regatul Unit. Cele două cadre au divergențiat semnificativ din ianuarie 2021, iar Legea DPDI 2024 a accelerat această divergență în domenii practice care afectează operațiunile zilnice, de la consimțământul cookie-urilor la transferurile internaționale de date.
Pași acționabili pentru 2026:
- Efectuați o analiză a lacunelor comparând postura dvs. actuală de conformitate cu cerințele atât ale UK GDPR, cât și ale UE GDPR.
- Înlocuiți orice SCC-uri UE utilizate pentru transferurile din Regatul Unit către țări terțe cu IDTA.
- Verificați că setările dvs. de management al consimțământului reflectă standardele revizuite ale Legii DPDI privind cookie-urile; luați în considerare o soluție dedicată, cum ar fi Biscotti CMP.
- Numiți reprezentanții corecți dacă operați în ambele jurisdicții.
- Monitorizați prioritățile de aplicare ale ICO și orientările EDPB separat; acestea nu mai sunt interschimbabile.
- Reevaluează periodic poziția dvs. de adecvare, în special pe măsură ce reforma legislativă din Regatul Unit continuă înainte de revizuirea deciziei de adecvare din 2031.
Costul neconformității, de până la 17,5 milioane de lire sau 4% din cifra de afaceri globală sub UK GDPR, depășește cu mult investiția necesară pentru a menține un program de conformitate solid.
Referințe
[1] Gdpr Vs Uk Gdpr Guide - https://visioncompliance.eu/en/blog/gdpr-vs-uk-gdpr-guide?utm_source=openai
[2] Uk Gdpr Vs Eu Gdpr - https://www.gdprledger.com/uk/research/uk-gdpr-vs-eu-gdpr?utm_source=openai
[3] Gdpr Vs Uk Gdpr Differences 2026 - https://www.compliquest.com/en/blog/gdpr-vs-uk-gdpr-differences-2026?utm_source=openai
[4] Maximum Fine Gdpr Non Compliance - https://datadoc.uk/blog/maximum-fine-gdpr-non-compliance?utm_source=openai
[5] Does Gdpr Still Apply To The Uk - https://legalclarity.org/does-gdpr-still-apply-to-the-uk/?utm_source=openai
[6] Gdpr Compliance - https://datadoc.uk/gdpr-compliance?utm_source=openai