Hiter odgovor: UK GDPR je domača različica EU GDPR, ki je začela veljati, ko je Združeno kraljestvo zapustilo pravni okvir EU 1. januarja 2021. Ohranila je enake temeljne principe, vendar se je od takrat odmaknila z Zakonom o varstvu podatkov in digitalnih informacijah 2024. Podjetja v Združenem kraljestvu morajo upoštevati UK GDPR, tisti, ki obdelujejo podatke prebivalcev EU, pa morajo posebej upoštevati EU GDPR; to sta zdaj dve ločeni pravni obveznosti, ki ju izvršujejo različni organi.
Ključne točke
- UK GDPR in EU GDPR imata enako strukturo in temeljne principe, vendar so zakonodajne reforme po Brexitu ustvarile pomembne razlike na področjih, kot so piškotki, legitimni interesi in avtomatizirano odločanje.
- Urad informacijskega komisarja (ICO) je edini izvršilni organ za UK GDPR; mehanizem enotne točke ni na voljo za organizacije s sedežem v Združenem kraljestvu.
- Najvišje kazni po UK GDPR dosežejo 17,5 milijona funtov ali 4 % svetovnega letnega prometa, kar je višje, in odraža strukturo EU v višini 20 milijonov evrov / 4 %.
- Evropska komisija je decembra 2025 podaljšala odločitev o ustreznosti Združenega kraljestva do decembra 2031, vendar bi lahko nadaljnje zakonodajne reforme v Združenem kraljestvu ogrozile ta status.
- Podjetja v Združenem kraljestvu, ki obdelujejo podatke prebivalcev EU, morajo upoštevati EU GDPR in imenovati predstavnika EU; obratno velja za podjetja EU, ki ciljajo na prebivalce Združenega kraljestva.
- ICO običajno izreka manjše, a višje kazni v primerjavi s skupnim izidom organov za varstvo podatkov EU (DPA).
- Organizacije, ki delujejo v obeh jurisdikcijah, se morajo ločeno ukvarjati z ICO in ustreznimi DPA EU, ni skupnega nadzornega kanala.
- Upravljanje s soglasjem in skladnost s piškotki se med obema režimoma razlikujeta po spremembah Zakona o varstvu podatkov in digitalnih informacijah 2024.
Kaj je UK GDPR in kako se razlikuje od EU GDPR po Brexitu?
UK GDPR je različica Splošne uredbe o varstvu podatkov, ki je bila vključena v domačo zakonodajo Združenega kraljestva preko Zakona o umiku iz Evropske unije 2018, ki je začel veljati 1. januarja 2021. Deluje skupaj z Zakonom o varstvu podatkov 2018 in sprva je skoraj dobesedno odražala EU GDPR.
Po Brexitu pa sta se obe strukturi odmaknili. Zakon o varstvu podatkov in digitalnih informacijah 2024 (DPDI Act) je uvedel pomembne spremembe v UK GDPR na več področjih [1]:
- Legitimni interesi: Združeno kraljestvo je razširilo seznam priznanih legitimnih interesov, kar je zmanjšalo breme testov ravnotežja za nekatere obdelovalne dejavnosti.
- Piškotki: DPDI Act je sprostil zahteve za soglasje za analitične in podobne nizko-rizik piškotke, kar se premika proti modelu opt-out za določene kategorije.
- Avtomatizirano odločanje: Pravila Združenega kraljestva o izključno avtomatiziranih odločitvah so zdaj bolj dovoljena kot člen 22 EU GDPR.
- Mednarodni prenosi podatkov: Združeno kraljestvo je razvilo svoje mehanizme prenosa, Mednarodni sporazum o prenosu podatkov (IDTA) in britanski dodatek k standardnim pogodbenim klavzulam EU, ki se razlikujejo od EU SCC [1].
EU GDPR se še naprej razlaga in izvršuje preko Evropskega odbora za varstvo podatkov (EDPB), katerega smernice ne zavezujejo ICO. To pomeni, da se lahko ista dejavnost oceni različno, odvisno od tega, kateri režim se uporablja [2].
Pogosta napaka: Predpostavka, da je enotna politika zasebnosti, ki pokriva "GDPR", zadostna za obe jurisdikciji. Organizacije morajo izrecno obravnavati oba okvira, zlasti glede mehanizmov prenosa in imenovanj predstavnikov.
Kakšne so najvišje kazni po UK GDPR?
Kazni po UK GDPR sledijo dvotierni strukturi, ki tesno odraža model EU, vendar uporablja številke v britanskih funtih [4]:
| Tier | Kazen po UK GDPR | Kazen po EU GDPR |
|---|---|---|
| Nižja (manj resne kršitve) | Do 8,7 milijona funtov ali 2 % svetovnega letnega prometa | Do 10 milijonov evrov ali 2 % svetovnega letnega prometa |
| Višja (najbolj resne kršitve) | Do 17,5 milijona funtov ali 4 % svetovnega letnega prometa | Do 20 milijonov evrov ali 4 % svetovnega letnega prometa |
V obeh tierih ICO uporabi višjo številko. Kršitve višjega tierja običajno vključujejo kršitve temeljnih načel varstva podatkov, nezakonito obdelavo ali kršitve pravic posameznikov.
Največja kazen ICO doslej je bila 20 milijonov funtov proti British Airways, izrečena pred ponovnim prilagajanjem trenutnih zgornjih meja kazni, kar ponazarja pripravljenost ICO, da sledi pomembnim kaznim proti velikim organizacijam [4].
Mejni primer: Kazni niso samodejne. ICO upošteva dejavnike, vključno z naravo in trajanjem kršitve, številom prizadetih posameznikov, ali je organizacija sodelovala in kakšne ukrepe je sprejela. Dobro dokumentiran program skladnosti lahko pomembno vpliva na izid.
Kdo zdaj izvršuje GDPR v Združenem kraljestvu?
Urad informacijskega komisarja (ICO) je edini nadzorni organ, odgovoren za izvrševanje UK GDPR. V nasprotju z EU, ki deluje v omrežju nacionalnih DPA, usklajenih z EDPB, ima Združeno kraljestvo enega centraliziranega regulatorja [3].
To ima praktične posledice: mehanizem enotne točke EU, ki omogoča multinacionalnim organizacijam, da se ukvarjajo z enim vodilnim DPA za čezmejno obdelavo, ne velja pod UK GDPR. Vsaka organizacija, ki deluje tako v Združenem kraljestvu kot v EU, se mora ločeno ukvarjati z ICO za zadeve, povezane z Združenim kraljestvom, in z ustreznim DPA EU (ali DPA) za zadeve, povezane z EU [3].
ICO ima tudi pooblastila, ki presegajo finančne kazni, vključno z izdajanjem obvestil o izvrševanju, obvestil o oceni in obvestil o informacijah. V resnih primerih lahko zadeve napoti v kazenski pregon po Zakonu o varstvu podatkov 2018.
Ali morajo podjetja v Združenem kraljestvu še vedno upoštevati EU GDPR?
Da, v mnogih primerih. Podjetja v Združenem kraljestvu, ki ponujajo blago ali storitve prebivalcem EU ali spremljajo njihovo vedenje, spadajo v teritorialno področje uporabe EU GDPR po členu 3(2), ne glede na to, kje je podjetje ustanovljeno [5].
Takšne organizacije morajo:
- Imenovati predstavnika EU (osebo ali organizacijo s sedežem v državi članici EU) [5].
- Upoštevati posebne zahteve EU GDPR, vključno s standardnimi pogodbenimi klavzulami za prenose podatkov nazaj v Združeno kraljestvo.
- Sodelovati z ustreznim DPA EU za morebitne pritožbe ali preiskave, ki vključujejo posameznike iz EU.
Obratno velja tudi: organizacije s sedežem v EU, ki obdelujejo podatke prebivalcev Združenega kraljestva, morajo upoštevati UK GDPR in imenovati predstavnika v Združenem kraljestvu [5].
Pravilnik odločanja: Če vaša spletna stran cilja na uporabnike v Združenem kraljestvu in EU (na primer, preko vsebine v jeziku EU, cen v evrih ali specifičnega trženja za EU), predpostavite, da veljajo obveznosti dvojne skladnosti, dokler ne pridobite posebnega pravnega nasveta, ki bi to ovrgel.
Kaj se je spremenilo v UK GDPR po Brexitu?
Poleg strukturne razlike, ki je bila že omenjena, so se ob začetku veljavnosti UK GDPR za domače namene zgodile številne praktične spremembe [1][2]:
- Nadzorni organ: ICO je nadomestil EDPB kot glavno interpretativno in izvršilno telo.
- Odločitve o ustreznosti: Združeno kraljestvo mora zdaj izdati svoje odločitve o ustreznosti za tretje države; ne more se zanašati na odločitve o ustreznosti EU.
- Mehanizmi prenosa: IDTA je nadomestil EU SCC za prenose iz Združenega kraljestva v tretje države.
- Pragovi SAR: DPDI Act je poenostavil prag za zavrnitev ali zaračunavanje zahtevkov za dostop do podatkov, kar organizacijam omogoča, da zavrnejo zahtevke, ki so "nadležni ali pretirani" (rahlo drugačen standard kot "manifestno neutemeljeni ali pretirani" v EU) [6].
- Regulativne smernice: Smernice ICO zdaj urejajo skladnost v Združenem kraljestvu; mnenja in smernice EDPB so prepričljive, vendar niso zavezujoče v Združenem kraljestvu.
Odločitev o ustreznosti, ki jo je podaljšala Evropska komisija decembra 2025, pomeni, da ostajajo prenosi podatkov iz EU v Združeno kraljestvo zakoniti brez dodatnih zaščitnih ukrepov do decembra 2031, vendar analitiki opozarjajo, da bi lahko nadaljnje zakonodajne reforme v Združenem kraljestvu povzročile ponovno oceno [2].
Je UK GDPR strožji ali manj strog kot EU GDPR?
Nobena od struktur ni kategorično strožja na splošno. Oba režima se razlikujeta na specifičnih področjih, ne pa v splošni strožosti.
Področja, kjer je UK GDPR bolj dovoljen:
- Širši priznani legitimni interesi po DPDI Act.
- Sproščeno soglasje za piškotke za nizko-rizik analitiko.
- Fleksibilnejša pravila za avtomatizirano odločanje.
- Poenostavljeni pragovi za zavrnitev SAR [1][6].
Področja, kjer sta si na splošno enaka:
- Temeljna načela (zakonitost, poštenost, preglednost, omejitev namena, minimizacija podatkov, natančnost, omejitev shranjevanja, celovitost).
- Pravice posameznikov (dostop, popravek, izbris, prenosljivost, omejitev, ugovor).
- Strukture kazni (proporcionalno podobne, z britanskimi številkami v funtih).
- Časovni okviri za obvestila o kršitvah (72 ur do nadzornega organa).
Področja, kjer je EU GDPR lahko bolj dovoljen v praksi:
- Mehanizem enotne točke lahko zmanjša trenja pri skladnosti za multinacionalke, ki delujejo v državah članicah EU, kar ni na voljo pod UK GDPR.
ICO je zgodovinsko izrekel manj kazni kot skupni izid DPA EU, čeprav so bile posamezne kazni v Združenem kraljestvu znatne [4].
Katere so pogoste kršitve GDPR, ki vodijo do kazni?
ICO in DPA EU so dosledno kaznovali naslednje kategorije kršitev:
- Nezadosten pravni temelj za obdelavo: Obdelava osebnih podatkov brez veljavne zakonite podlage ali zanašanje na soglasje, ki ne izpolnjuje zahtevanega standarda.
- Nezadostni varnostni ukrepi: Neuspeh pri izvajanju ustreznih tehničnih in organizacijskih ukrepov, kar vodi do kršitev podatkov.
- Neupoštevanje pravic posameznikov: Ignoriranje ali nezadostno odgovarjanje na zahtevke za dostop do podatkov, zahtevke za izbris ali ugovore.
- Nezakoniti prenosi podatkov: Pošiljanje osebnih podatkov v tretje države brez ustreznih zaščitnih ukrepov (na primer, brez IDTA ali SCC).
- Pomanjkanje preglednosti: Obvestila o zasebnosti, ki so nepopolna, zavajajoča ali nedostopna.
- Napake pri soglasju za piškotke: Uporaba nepomembnih piškotkov brez veljavnega soglasja ali uporaba temnih vzorcev za pridobitev soglasja.
Za lastnike spletnih strani in agencije za spletno trženje so napake pri soglasju za piškotke in nezadostna obvestila o zasebnosti med najpogostejšimi sprožilci izvrševanja. Pravilno konfigurirana platforma za upravljanje soglasja, kot je Biscotti CMP, lahko organizacijam pomaga dokumentirati in upravljati soglasje na način, ki je skladen z zahtevami UK GDPR in EU GDPR.
Kako naj vem, ali mora moje podjetje upoštevati UK GDPR?
UK GDPR se uporablja za vsako organizacijo, ki [5]:
- Ima sedež v Združenem kraljestvu in obdeluje osebne podatke v okviru te ustanove (ne glede na to, kje se obdelava izvaja), ali
- Ni ustanovljena v Združenem kraljestvu, vendar obdeluje osebne podatke prebivalcev Združenega kraljestva v povezavi s ponudbo blaga ali storitev ali spremljanjem njihovega vedenja v Združenem kraljestvu.
Praktični kontrolni seznam:
- Ali vaša spletna stran zbira imena, e-poštne naslove, IP naslove ali piškotke od obiskovalcev iz Združenega kraljestva? Če je odgovor da, se uporablja UK GDPR.
- Ali uporabljate analitična orodja, oglaševalske piksle ali oznake za ponovno trženje, ki obdelujejo podatke uporabnikov iz Združenega kraljestva? Če je odgovor da, se uporablja UK GDPR.
- Ali pošiljate tržne e-pošte kontaktom iz Združenega kraljestva? Če je odgovor da, se uporabljata UK GDPR (in Uredba o zasebnosti in elektronskih komunikacijah).
- Ste podjetje, ki ni iz Združenega kraljestva, brez pisarne v Združenem kraljestvu, vendar imate spletno stran, usmerjeno na Združeno kraljestvo? UK GDPR se še vedno uporablja in morda potrebujete predstavnika v Združenem kraljestvu.
Kakšna je razlika med kaznimi ICO in kaznimi sodišča?
Kazni ICO so administrativne kazni, ki jih neposredno izreče regulator brez vključitve sodišča. Kazni sodišča pa izhajajo iz civilnih tožb, ki jih vložijo posamezniki ali kazenskih pregonov po Zakonu o varstvu podatkov 2018.
Ključne razlike:
- Kazni ICO: Izdani po preiskavi; lahko se pritožite na Prvi tribunal. Najvišji zneski so opisani v zgoraj navedeni strukturi kazni.
- Odškodnine, dodeljene sodišču: Posamezniki lahko vložijo tožbe na civilnih sodiščih za materialno ali nematerialno škodo, povzročeno s kršitvijo GDPR. Ni zakonskega zgornjega limita za odškodnine v civilnih tožbah.
- Kazenske kršitve: Nekateri dejanja, kot so nezakonito pridobivanje osebnih podatkov ali ponovno prepoznavanje anonimiziranih podatkov, so kazniva dejanja po Zakonu o varstvu podatkov 2018, ki prinašajo neomejene kazni ali zapor.
Organizacije bi se morale zavedati, da lahko ena sama kršitev podatkov sproži vse tri hkrati: preiskavo ICO, civilne tožbe prizadetih posameznikov in (v skrajnih primerih) kazenske napotitve.
Ali vas lahko kaznujejo za kršitve GDPR, ki so se zgodile pred Brexitom?
Za kršitve, ki so se zgodile pred 1. januarjem 2021, je veljal EU GDPR v Združenem kraljestvu. ICO je ohranil pristojnost nad kršitvami pred Brexitom, ki vključujejo organizacije s sedežem v Združenem kraljestvu, in izvršilni ukrepi, sproženi po pravilih EU GDPR, bi se lahko nadaljevali pod prehodnimi določbami Zakona o umiku iz EU.
Kršitve po Brexitu so v celoti urejene z UK GDPR. Ni mehanizma, da bi DPA EU lahko izrekale kazni organizacijam s sedežem v Združenem kraljestvu za obdelavo podatkov prebivalcev Združenega kraljestva po Brexitu; ta pristojnost pripada izključno ICO.
Mejni primer: Če je organizacija iz Združenega kraljestva obdelovala podatke prebivalcev EU pred in po Brexitu, je lahko obdobje pred Brexitom vključevalo obveznosti EU GDPR, ki jih je izvrševal DPA EU, medtem ko obdobje po Brexitu spada pod UK GDPR (za prebivalce Združenega kraljestva) in EU GDPR (za prebivalce EU) hkrati.
Kaj morajo podjetja storiti, da se pripravijo na izvrševanje UK GDPR?
Skladnost z UK GDPR po Brexitu: Navigacija po kaznih, izvrševanju in razlikah od EU zahteva strukturiran, kontinuiran program, ne pa enkratnega pregleda. Prednostne naloge vključujejo:
- Zemljevid vaših podatkovnih tokov: Identificirajte vse osebne podatke, ki jih zbirate, njihovo zakonito podlago, kje so shranjeni in ali se prenašajo mednarodno.
- Posodobite mehanizme prenosa: Nadomestite vse EU SCC, ki se uporabljajo za prenose iz Združenega kraljestva v tretje države, z IDTA ali britanskim dodatkom [1].
- Preglejte svoje obvestilo o zasebnosti: Prepričajte se, da odraža zahteve UK GDPR in smernice ICO, ne le standarde EU GDPR.
- Revizija soglasja za piškotke: Če vaša spletna stran služi obiskovalcem iz Združenega kraljestva, preverite, ali vaša nastavitev za upravljanje soglasja izpolnjuje spremenjene standarde DPDI Act. Orodja, kot je Biscotti CMP, so zasnovana za podporo skladnemu zbiranju in dokumentiranju soglasja.
- Imenovanje predstavnikov: Če obdelujete podatke prebivalcev EU, imenovati predstavnika EU; če ste podjetje, ki ni iz Združenega kraljestva in obdeluje podatke prebivalcev Združenega kraljestva, imenovati predstavnika v Združenem kraljestvu [5].
- Usposabljanje osebja: Usposabljanje o varstvu podatkov naj odraža posebnosti UK GDPR, ne pa splošne vsebine "GDPR", ki lahko zamešata oba režima.
- Spremljanje smernic ICO: ICO redno objavlja posodobljene smernice; naročite se na posodobitve ICO, da ostanete na tekočem z prioritetami izvrševanja.
Orodje za odločanje o skladnosti z UK GDPR
Pogosta vprašanja
Kakšna je razlika med UK GDPR in EU GDPR v preprostem jeziku? UK GDPR je domača različica EU GDPR, ki se uporablja v Združenem kraljestvu. Delita enake temeljne principe, vendar sta se od Brexita odmaknila, zlasti po DPDI Act 2024, ki je sprostil pravila glede piškotkov, legitimnih interesov in avtomatiziranih odločitev.
Ali odločitev o ustreznosti EU pomeni, da podjetja v Združenem kraljestvu ne potrebujejo skrbeti za EU GDPR? Ne. Odločitev o ustreznosti ureja prenose podatkov iz EU v Združeno kraljestvo, ne oprošča pa podjetij v Združenem kraljestvu obveznosti EU GDPR, ko obdelujejo podatke prebivalcev EU. Če podjetje iz Združenega kraljestva cilja na uporabnike iz EU, se EU GDPR uporablja neodvisno.
Kako dolgo traja odločitev o ustreznosti Združenega kraljestva? Evropska komisija je decembra 2025 podaljšala odločitev o ustreznosti Združenega kraljestva, tako da ostane veljavna do decembra 2031. Nadaljnje zakonodajne razlike Združenega kraljestva od EU GDPR bi lahko povzročile pregled pred tem datumom [2].
Ali lahko ICO kaznuje podjetje, ki je zunaj Združenega kraljestva? Da. Če ne-združeno kraljestvo organizacija obdeluje podatke prebivalcev Združenega kraljestva v povezavi s ponudbo blaga ali storitev ali spremljanjem njihovega vedenja, se uporablja UK GDPR in ICO ima pristojnost [5].
Kaj je IDTA in kdaj ga potrebujem? Mednarodni sporazum o prenosu podatkov (IDTA) je mehanizem Združenega kraljestva za zakonit prenos osebnih podatkov iz Združenega kraljestva v tretje države, ki nimajo odločbe o ustreznosti. Nadomešča standardne pogodbene klavzule EU za prenose iz Združenega kraljestva v tretje države [1].
Ali je pooblastnik za varstvo podatkov (DPO) potreben po UK GDPR? Da, v določenih okoliščinah, zlasti za javne organe, organizacije, ki izvajajo obsežno sistematično spremljanje posameznikov, ali tiste, ki obdelujejo posebne kategorije podatkov v velikem obsegu. Zahteve so podobne tistim pod EU GDPR.
Kaj je pravilo o obvestilu o kršitvah v 72 urah? Tako UK GDPR kot EU GDPR zahtevata, da organizacije obvestijo svoj nadzorni organ (ICO v Združenem kraljestvu) v 72 urah po tem, ko postanejo seznanjene s kršitvijo osebnih podatkov, ki predstavlja tveganje za pravice in svoboščine posameznikov.
Ali pravice posameznikov iz EU veljajo pod UK GDPR? Temeljne pravice, dostop, popravek, izbris, prenosljivost, omejitev in ugovor, so ohranjene pod UK GDPR. DPDI Act je uvedel manjše proceduralne prilagoditve, kot je sprememba praga za zavrnitev nadležnih zahtevkov za dostop do podatkov [6].
Ali lahko uporabim enotno politiko zasebnosti za skladnost z UK in EU? En dokument lahko obravnava oba režima, vendar mora izrecno pokriti zahteve vsakega, vključno z ločenimi sklici na ICO in ustrezni DPA EU, različnimi mehanizmi prenosa in katerimi koli področji, kjer se ti dve strukturi razlikujeta.
Kakšno vlogo ima Biscotti CMP pri skladnosti z UK GDPR? Biscotti CMP je platforma za upravljanje soglasja, ki pomaga lastnikom spletnih strani in podjetjem zbirati, dokumentirati in upravljati soglasje uporabnikov za piškotke in tehnologije sledenja na način, ki je skladen z zahtevami UK GDPR in EU GDPR.
Zaključek
Razumevanje UK GDPR po Brexitu: Navigacija po kaznih, izvrševanju in razlikah od EU ni več opcijsko za nobeno organizacijo, ki obdeluje osebne podatke v ali iz Združenega kraljestva. Obe strukturi sta se od januarja 2021 pomembno odmaknili, DPDI Act 2024 pa je pospešil to odmaknjenost na praktičnih področjih, ki vplivajo na vsakodnevno poslovanje, od soglasja za piškotke do mednarodnih prenosov podatkov.
Izvedljivi naslednji koraki za leto 2026:
- Izvedite analizo vrzeli, ki primerja vašo trenutno skladnost z zahtevami tako UK GDPR kot EU GDPR.
- Nadomestite vse EU SCC, ki se uporabljajo za prenose iz Združenega kraljestva v tretje države, z IDTA.
- Preverite, ali vaša nastavitev za upravljanje soglasja odraža spremenjene standarde piškotkov DPDI Act; razmislite o namenski rešitvi, kot je Biscotti CMP.
- Imenovati pravilne predstavnike, če delujete v obeh jurisdikcijah.
- Ločeno spremljajte prednostne naloge izvrševanja ICO in smernice EDPB, saj niso več zamenljive.
- Periodično ponovno ocenite svoj položaj glede ustreznosti, zlasti ker se zakonodajne reforme v Združenem kraljestvu nadaljujejo pred pregledom odločbe o ustreznosti leta 2031.
Stroški neskladnosti, do 17,5 milijona funtov ali 4 % svetovnega prometa samo pod UK GDPR, daleč presegajo naložbo, potrebno za vzdrževanje ustreznega programa skladnosti.
Reference
[1] Gdpr Vs Uk Gdpr Guide - https://visioncompliance.eu/en/blog/gdpr-vs-uk-gdpr-guide?utm_source=openai
[2] Uk Gdpr Vs Eu Gdpr - https://www.gdprledger.com/uk/research/uk-gdpr-vs-eu-gdpr?utm_source=openai
[3] Gdpr Vs Uk Gdpr Differences 2026 - https://www.compliquest.com/en/blog/gdpr-vs-uk-gdpr-differences-2026?utm_source=openai
[4] Maximum Fine Gdpr Non Compliance - https://datadoc.uk/blog/maximum-fine-gdpr-non-compliance?utm_source=openai
[5] Does Gdpr Still Apply To The Uk - https://legalclarity.org/does-gdpr-still-apply-to-the-uk/?utm_source=openai
[6] Gdpr Compliance - https://datadoc.uk/gdpr-compliance?utm_source=openai