Краткий ответ: UK GDPR — это адаптированная версия ЕС GDPR, которая вступила в силу, когда Великобритания покинула правовую систему ЕС 1 января 2021 года. Она сохраняет те же основные принципы, но с тех пор отклонилась через Закон о защите данных и цифровой информации 2024 года. Британские компании обязаны соблюдать UK GDPR, а те, кто также обрабатывает данные резидентов ЕС, должны отдельно соблюдать ЕС GDPR; это теперь две отдельные юридические обязанности, которые контролируются разными органами.
Основные выводы
- UK GDPR и ЕС GDPR имеют одинаковую структуру и основные принципы, но законодательные реформы после Брекзита создали значительные различия в таких областях, как куки, законные интересы и автоматизированное принятие решений.
- Офис комиссара по информации (ICO) является единственным органом, осуществляющим контроль за соблюдением UK GDPR; механизма "одного окна" для организаций, базирующихся в Великобритании, не существует.
- Максимальные штрафы по UK GDPR достигают £17.5 миллионов или 4% от глобального годового оборота, в зависимости от того, что больше, что соответствует структуре ЕС в €20 миллионов / 4%.
- Европейская комиссия продлила решение о адекватности Великобритании в декабре 2025 года до декабря 2031 года, но продолжающаяся законодательная реформа в Великобритании может поставить под угрозу этот статус.
- Британские компании, обрабатывающие данные резидентов ЕС, должны соблюдать ЕС GDPR и назначить представителя в ЕС; обратное также верно для компаний ЕС, нацеленных на резидентов Великобритании.
- ICO, как правило, накладывает меньше, но более крупные штрафы по сравнению с коллективным результатом органов защиты данных ЕС (DPA).
- Организации, работающие в обеих юрисдикциях, должны отдельно взаимодействовать с ICO и соответствующими DPA ЕС, общего канала надзора нет.
- Управление согласием и соблюдение куки различаются между двумя режимами после поправок Закона о защите данных и цифровой информации 2024 года.
Что такое UK GDPR и как он отличается от ЕС GDPR после Брекзита?
UK GDPR — это версия Общего регламента по защите данных, которая была включена в британское законодательство через Закон о выходе из Европейского Союза 2018 года, вступивший в силу 1 января 2021 года. Он действует наряду с Законом о защите данных 2018 года и изначально почти дословно соответствовал ЕС GDPR.
Однако с момента Брекзита две системы отклонились. Закон о защите данных и цифровой информации 2024 года (DPDI Act) внес значительные изменения в UK GDPR в нескольких областях [1]:
- Законные интересы: Великобритания расширила список признанных законных интересов, снизив бремя тестов на балансировку для определенных видов обработки.
- Куки: DPDI Act ослабил требования к согласию для аналитических и аналогичных низкорисковых куки, переходя к модели отказа для определенных категорий.
- Автоматизированное принятие решений: Правила Великобритании по исключительно автоматизированным решениям теперь более разрешительные, чем статья 22 ЕС GDPR.
- Международные передачи данных: Великобритания разработала свои собственные механизмы передачи, такие как Соглашение о международной передаче данных (IDTA) и Дополнение Великобритании к стандартным договорным условиям ЕС, которые отличаются от SCC ЕС [1].
ЕС GDPR продолжает интерпретироваться и применяться через Европейский комитет по защите данных (EDPB), чьи рекомендации не обязательны для ICO. Это означает, что одно и то же действие может оцениваться по-разному в зависимости от применимого режима [2].
Распространенная ошибка: Предположение, что единой политики конфиденциальности, охватывающей "GDPR", достаточно для обеих юрисдикций. Организации должны явно учитывать оба режима, особенно в отношении механизмов передачи и назначения представителей.
Каковы максимальные штрафы по UK GDPR?
Штрафы по UK GDPR следуют двухуровневой структуре, которая близка к модели ЕС, но использует суммы в фунтах стерлингов [4]:
| Уровень | Штраф по UK GDPR | Штраф по ЕС GDPR |
|---|---|---|
| Нижний (менее серьезные нарушения) | До £8.7 миллионов или 2% от глобального годового оборота | До €10 миллионов или 2% от глобального годового оборота |
| Верхний (наиболее серьезные нарушения) | До £17.5 миллионов или 4% от глобального годового оборота | До €20 миллионов или 4% от глобального годового оборота |
В обоих уровнях ICO применяет ту сумму, которая больше. Нарушения верхнего уровня обычно связаны с нарушениями основных принципов защиты данных, незаконной обработкой или нарушениями прав субъектов данных.
Наибольший штраф ICO на сегодняшний день составил £20 миллионов против British Airways, наложенный до того, как текущие пределы штрафов были пересмотрены, что иллюстрирует готовность ICO добиваться значительных штрафов против крупных организаций [4].
Крайний случай: Штрафы не являются автоматическими. ICO учитывает такие факторы, как характер и продолжительность нарушения, количество затронутых лиц, сотрудничество организации и любые принятые меры по устранению. Хорошо документированная программа соблюдения может существенно повлиять на результат.
Кто сейчас осуществляет контроль за соблюдением GDPR в Великобритании?
Офис комиссара по информации (ICO) является единственным надзорным органом, ответственным за соблюдение UK GDPR. В отличие от ЕС, где действует сеть национальных DPA, координируемая EDPB, в Великобритании есть единственный централизованный регулятор [3].
Это имеет практическое значение: механизм "одного окна" ЕС, который позволяет многонациональным организациям взаимодействовать с одним ведущим DPA для трансграничной обработки, не применяется в рамках UK GDPR. Любая организация, работающая как в Великобритании, так и в ЕС, должна взаимодействовать с ICO по вопросам, связанным с Великобританией, и отдельно с соответствующим DPA ЕС (или DPA) по вопросам, связанным с ЕС [3].
ICO также имеет полномочия, выходящие за рамки финансовых штрафов, включая выдачу предписаний о соблюдении, уведомлений об оценке и уведомлений о предоставлении информации. В серьезных случаях он может передавать дела для уголовного преследования в соответствии с Законом о защите данных 2018 года.
Должны ли британские компании по-прежнему соблюдать ЕС GDPR?
Да, во многих случаях. Британские компании, предлагающие товары или услуги резидентам ЕС или отслеживающие поведение резидентов ЕС, подпадают под территориальную сферу действия ЕС GDPR в соответствии со статьей 3(2), независимо от того, где зарегистрирована компания [5].
Таким организациям необходимо:
- Назначить представителя в ЕС (физическое или юридическое лицо, зарегистрированное в государстве-члене ЕС) [5].
- Соблюдать конкретные требования ЕС GDPR, включая его SCC для передачи данных обратно в Великобританию.
- Взаимодействовать с соответствующим DPA ЕС по любым жалобам или расследованиям, касающимся субъектов данных из ЕС.
Обратное также верно: организации, зарегистрированные в ЕС и обрабатывающие данные резидентов Великобритании, должны соблюдать UK GDPR и назначить представителя в Великобритании [5].
Правило принятия решений: Если ваш веб-сайт нацелен на пользователей как в Великобритании, так и в ЕС (например, через контент на языках ЕС, ценообразование в валюте ЕС или маркетинг, специфичный для ЕС), предполагайте, что применяются обязательства по соблюдению обоих режимов, пока вы не получите конкретную юридическую консультацию об обратном.
Что изменилось в UK GDPR после Брекзита?
Помимо уже отмеченного структурного отклонения, несколько практических изменений вступили в силу, когда ЕС GDPR был заменен на UK GDPR для внутренних целей [1][2]:
- Надзорный орган: ICO заменил EDPB в качестве основного интерпретационного и контрольного органа.
- Решения о адекватности: Великобритания теперь должна выдавать свои собственные решения о адекватности для третьих стран; она не может полагаться на решения о адекватности ЕС.
- Механизмы передачи: IDTA заменил SCC ЕС для передач из Великобритании в третьи страны.
- Пороги SAR: DPDI Act упростил порог для отказа или взимания платы за Запросы на доступ к данным, позволяя организациям отклонять запросы, которые являются "досадными или чрезмерными" (немного другой стандарт, чем "явно необоснованные или чрезмерные" в ЕС) [6].
- Регуляторные рекомендации: Рекомендации ICO теперь регулируют соблюдение UK; мнения и руководства EDPB являются убедительными, но не обязательными в Великобритании.
Решение о адекватности, продленное Европейской комиссией в декабре 2025 года, означает, что потоки данных из ЕС в Великобританию остаются законными без дополнительных мер защиты до декабря 2031 года, но аналитики отмечают, что продолжающаяся законодательная реформа в Великобритании может вызвать пересмотр [2].
Является ли UK GDPR более строгим или менее строгим, чем ЕС GDPR?
Ни один из режимов не является категорически более строгим в целом. Эти две системы различаются в конкретных областях, а не по общей строгости.
Области, в которых UK GDPR более разрешительный:
- Более широкий список признанных законных интересов в соответствии с DPDI Act.
- Ослабленные требования к согласию на куки для низкорисковой аналитики.
- Более гибкие правила автоматизированного принятия решений.
- Упрощенные пороги отказа по SAR [1][6].
Области, в которых они в целом эквивалентны:
- Основные принципы (законность, справедливость, прозрачность, ограничение цели, минимизация данных, точность, ограничение хранения, целостность).
- Права субъектов данных (доступ, исправление, удаление, переносимость, возражение).
- Структуры штрафов (пропорционально схожи, с суммами в фунтах стерлингов для Великобритании).
- Сроки уведомления о нарушениях (72 часа для надзорного органа).
Области, в которых ЕС GDPR может быть более разрешительным на практике:
- Механизм "одного окна" может снизить трение соблюдения для многонациональных компаний, работающих в государствах-членах ЕС, что является преимуществом, недоступным в рамках UK GDPR.
ICO исторически накладывал меньше штрафов, чем совокупный результат DPA ЕС, хотя отдельные штрафы в Великобритании были значительными [4].
Какие распространенные нарушения GDPR приводят к штрафам?
ICO и DPA ЕС последовательно наказывают следующие категории нарушений:
- Недостаточная правовая основа для обработки: Обработка персональных данных без действительной законной основы или полагание на согласие, которое не соответствует необходимым стандартам.
- Недостаточные меры безопасности: Невыполнение соответствующих технических и организационных мер, что приводит к утечкам данных.
- Несоблюдение прав субъектов данных: Игнорирование или недостаточный ответ на Запросы на доступ к данным, запросы на удаление или возражения.
- Незаконные передачи данных: Передача персональных данных в третьи страны без достаточных мер защиты (например, отсутствие IDTA или SCC).
- Отсутствие прозрачности: Уведомления о конфиденциальности, которые являются неполными, вводящими в заблуждение или недоступными.
- Нарушения согласия на куки: Размещение несущественных куки без действительного согласия или использование темных паттернов для получения согласия.
Для владельцев веб-сайтов и онлайн-маркетинговых агентств в частности, нарушения согласия на куки и недостаточные уведомления о конфиденциальности являются одними из самых распространенных триггеров для принудительных мер. Правильно настроенная платформа управления согласием, такая как Biscotti CMP, может помочь организациям документировать и управлять согласием в соответствии с требованиями как UK GDPR, так и ЕС GDPR.
Как узнать, нужно ли моему бизнесу соблюдать UK GDPR?
UK GDPR применяется к любой организации, которая [5]:
- Зарегистрирована в Великобритании и обрабатывает персональные данные в контексте этой регистрации (независимо от того, где происходит обработка), или
- Не зарегистрирована в Великобритании, но обрабатывает персональные данные резидентов Великобритании в связи с предложением им товаров или услуг или мониторингом их поведения в Великобритании.
Практический контрольный список:
- Собирает ли ваш веб-сайт имена, адреса электронной почты, IP-адреса или куки от посетителей из Великобритании? Если да, то UK GDPR применяется.
- Используете ли вы аналитические инструменты, рекламные пиксели или теги ремаркетинга, которые обрабатывают данные пользователей из Великобритании? Если да, то UK GDPR применяется.
- Отправляете ли вы маркетинговые электронные письма контактам из Великобритании? Если да, то UK GDPR (и Правила о конфиденциальности и электронных коммуникациях) применяются.
- Являетесь ли вы небританским бизнесом без офиса в Великобритании, но с веб-сайтом, ориентированным на Великобританию? UK GDPR все еще применяется, и вам может понадобиться представитель в Великобритании.
В чем разница между штрафами ICO и судебными санкциями?
Штрафы ICO — это административные санкции, налагаемые непосредственно регулятором без участия суда. Судебные санкции, напротив, возникают из гражданского судебного разбирательства, инициированного субъектами данных, или уголовного преследования в соответствии с Законом о защите данных 2018 года.
Ключевые отличия:
- Штрафы ICO: Выдаются после расследования; могут быть обжалованы в Первом трибунале. Максимальные суммы определяются в соответствии с вышеописанной структурой штрафов.
- Судебные компенсации: Субъекты данных могут подавать иски в гражданские суды за материальный или нематериальный ущерб, причиненный нарушением GDPR. В гражданских исках нет установленного предела на компенсации.
- Уголовные правонарушения: Некоторые действия, такие как незаконное получение персональных данных или повторная идентификация анонимизированных данных, являются уголовными правонарушениями в соответствии с Законом о защите данных 2018 года и могут повлечь за собой неограниченные штрафы или тюремное заключение.
Организации должны быть осведомлены о том, что одно нарушение данных может вызвать все три одновременно: расследование ICO, гражданские иски от затронутых лиц и (в крайних случаях) уголовные дела.
Могут ли вас оштрафовать за нарушения GDPR, произошедшие до Брекзита?
За нарушения, произошедшие до 1 января 2021 года, в Великобритании применялся ЕС GDPR. ICO сохранил юрисдикцию над нарушениями, произошедшими до Брекзита, касающимися организаций, зарегистрированных в Великобритании, и действия по принуждению, инициированные в соответствии с правилами ЕС GDPR, могут продолжаться в рамках переходных положений Закона о выходе из ЕС.
Нарушения после Брекзита полностью регулируются UK GDPR. Нет механизма для DPA ЕС, чтобы накладывать штрафы на организации, зарегистрированные в Великобритании, за обработку данных резидентов Великобритании после Брекзита; эта полномочия принадлежит исключительно ICO.
Крайний случай: Если организация из Великобритании обрабатывала данные резидентов ЕС до и после Брекзита, период до Брекзита мог включать обязательства по ЕС GDPR, которые контролировались DPA ЕС, в то время как период после Брекзита подпадает под действие как UK GDPR (для резидентов Великобритании), так и ЕС GDPR (для резидентов ЕС) одновременно.
Что должны сделать компании, чтобы подготовиться к принуждению по UK GDPR?
Соблюдение UK GDPR после Брекзита: Навигация по штрафам, принудительным мерам и отличиям от ЕС требует структурированной, постоянной программы, а не одноразового аудита. Приоритетные действия включают:
- Картируйте ваши потоки данных: Определите все персональные данные, которые собираются, их законную основу, где они хранятся и передаются ли они за границу.
- Обновите механизмы передачи: Замените любые SCC ЕС, используемые для передач из Великобритании в третьи страны, на IDTA или Дополнение Великобритании [1].
- Пересмотрите ваше уведомление о конфиденциальности: Убедитесь, что оно соответствует требованиям UK GDPR и рекомендациям ICO, а не только стандартам ЕС GDPR.
- Аудит согласия на куки: Если ваш веб-сайт обслуживает посетителей из Великобритании, убедитесь, что ваша система управления согласием соответствует пересмотренным стандартам DPDI Act. Инструменты, такие как Biscotti CMP, разработаны для поддержки сбора и документирования согласия в соответствии с требованиями как UK GDPR, так и ЕС GDPR.
- Назначьте представителей: Если вы обрабатываете данные резидентов ЕС, назначьте представителя в ЕС; если вы небританский бизнес, обрабатывающий данные резидентов Великобритании, назначьте представителя в Великобритании [5].
- Обучите персонал: Обучение по защите данных должно отражать специфику UK GDPR, а не общее содержание "GDPR", которое может смешивать два режима.
- Следите за рекомендациями ICO: ICO регулярно публикует обновленные рекомендации; подписывайтесь на обновления ICO, чтобы быть в курсе приоритетов принуждения.
Инструмент принятия решений по соблюдению UK GDPR
Часто задаваемые вопросы
В чем разница между UK GDPR и ЕС GDPR простыми словами?
UK GDPR — это адаптированная версия ЕС GDPR, которая применяется на территории Великобритании. Они имеют одинаковые основные принципы, но отклонились с тех пор, как Великобритания вышла из ЕС, особенно после DPDI Act 2024, который ослабил правила в отношении куки, законных интересов и автоматизированных решений.
Означает ли решение о адекватности ЕС, что британским компаниям не нужно беспокоиться о ЕС GDPR?
Нет. Решение о адекватности регулирует потоки данных из ЕС в Великобританию, оно не освобождает британские компании от соблюдения ЕС GDPR, когда они обрабатывают данные резидентов ЕС. Если британская компания нацелена на пользователей из ЕС, то ЕС GDPR применяется независимо.
Как долго будет действовать решение о адекватности Великобритании?
Европейская комиссия продлила решение о адекватности Великобритании в декабре 2025 года, сохранив его в силе до декабря 2031 года. Продолжающееся законодательное отклонение Великобритании от ЕС GDPR может вызвать пересмотр до этой даты [2].
Может ли ICO оштрафовать компанию, зарегистрированную за пределами Великобритании?
Да. Если небританская организация обрабатывает данные резидентов Великобритании в связи с предложением им товаров или услуг или мониторингом их поведения, то UK GDPR применяется, и ICO имеет юрисдикцию [5].
Что такое IDTA и когда он мне нужен?
Соглашение о международной передаче данных (IDTA) — это механизм Великобритании для законной передачи персональных данных из Великобритании в третьи страны, которые не имеют решения о адекватности. Он заменяет стандартные договорные условия ЕС для передач из Великобритании в третьи страны [1].
Требуется ли назначение должностного лица по защите данных (DPO) в соответствии с UK GDPR?
Да, в определенных обстоятельствах, в частности для государственных органов, организаций, которые осуществляют крупномасштабный систематический мониторинг лиц, или тех, кто обрабатывает специальные категории данных в крупном масштабе. Требования аналогичны тем, что предусмотрены в ЕС GDPR.
Что такое правило уведомления о нарушениях в 72 часа?
Как UK GDPR, так и ЕС GDPR требуют от организаций уведомлять свой надзорный орган (ICO в Великобритании) в течение 72 часов с момента, когда они узнали о нарушении персональных данных, которое представляет риск для прав и свобод лиц.
Применяются ли права субъектов данных ЕС в рамках UK GDPR?
Основные права, такие как доступ, исправление, удаление, переносимость, ограничение и возражение, сохраняются в рамках UK GDPR. DPDI Act внес небольшие процедурные изменения, такие как изменение порога для отказа в удовлетворении досадных Запросов на доступ к данным [6].
Могу ли я использовать единую политику конфиденциальности для соблюдения как UK, так и ЕС?
Единый документ может охватывать оба режима, но он должен явно учитывать требования каждого из них, включая отдельные ссылки на ICO и соответствующий DPA ЕС, различные механизмы передачи и любые области, в которых два режима различаются.
Какую роль играет Biscotti CMP в соблюдении UK GDPR?
Biscotti CMP — это платформа управления согласием, которая помогает владельцам веб-сайтов и бизнесам собирать, фиксировать и управлять согласием пользователей на куки и технологии отслеживания в соответствии с требованиями как UK GDPR, так и ЕС GDPR.
Заключение
Понимание UK GDPR после Брекзита: Навигация по штрафам, принудительным мерам и отличиям от ЕС больше не является опциональным для любой организации, которая обрабатывает персональные данные в или из Великобритании. Две системы значительно отклонились с января 2021 года, и DPDI Act 2024 ускорил это отклонение в практических областях, которые влияют на повседневную деятельность, от согласия на куки до международных передач данных.
Практические шаги на 2026 год:
- Проведите анализ разрывов, сравнивая вашу текущую позицию соблюдения с требованиями как UK GDPR, так и ЕС GDPR.
- Замените любые SCC ЕС, используемые для передач из Великобритании в третьи страны, на IDTA.
- Убедитесь, что ваша система управления согласием соответствует пересмотренным стандартам куки DPDI Act; рассмотрите возможность использования специализированного решения, такого как Biscotti CMP.
- Назначьте правильных представителей, если вы работаете в обеих юрисдикциях.
- Отслеживайте приоритеты принуждения ICO и рекомендации EDPB отдельно, они больше не являются взаимозаменяемыми.
- Периодически пересматривайте свою позицию по адекватности, особенно по мере продолжения законодательной реформы в Великобритании перед пересмотром решения о адекватности в 2031 году.
Стоимость несоблюдения, до £17.5 миллионов или 4% от глобального оборота только по UK GDPR, значительно превышает инвестиции, необходимые для поддержания надежной программы соблюдения.
Ссылки
[1] Gdpr Vs Uk Gdpr Guide - https://visioncompliance.eu/en/blog/gdpr-vs-uk-gdpr-guide?utm_source=openai
[2] Uk Gdpr Vs Eu Gdpr - https://www.gdprledger.com/uk/research/uk-gdpr-vs-eu-gdpr?utm_source=openai
[3] Gdpr Vs Uk Gdpr Differences 2026 - https://www.compliquest.com/en/blog/gdpr-vs-uk-gdpr-differences-2026?utm_source=openai
[4] Maximum Fine Gdpr Non Compliance - https://datadoc.uk/blog/maximum-fine-gdpr-non-compliance?utm_source=openai
[5] Does Gdpr Still Apply To The Uk - https://legalclarity.org/does-gdpr-still-apply-to-the-uk/?utm_source=openai
[6] Gdpr Compliance - https://datadoc.uk/gdpr-compliance?utm_source=openai