Brzi odgovor: UK GDPR je domaća verzija EU GDPR koja je stupila na snagu kada je UK napustila pravni okvir EU 1. januara 2021. godine. Zadržava iste osnovne principe, ali se od tada razlikuje kroz Zakon o zaštiti podataka i digitalnim informacijama iz 2024. godine. Britanske firme moraju da se pridržavaju UK GDPR, a one koje takođe obrađuju podatke građana EU moraju posebno da se pridržavaju EU GDPR, što su sada dve različite pravne obaveze koje sprovode različite vlasti.
Ključne tačke
- UK GDPR i EU GDPR dele istu strukturu i osnovne principe, ali su zakonodavne reforme od Brexita stvorile značajne razlike u oblastima kao što su kolačići, legitimni interesi i automatizovano donošenje odluka.
- Kancelarija komesara za informacije (ICO) je jedina vlast koja sprovodi UK GDPR; ne postoji mehanizam jedinstvene tačke za organizacije sa sedištem u UK.
- Maksimalne kazne pod UK GDPR dostižu £17.5 miliona ili 4% globalnog godišnjeg prometa, što god je veće, što odražava strukturu EU od €20 miliona / 4%.
- Evropska komisija je produžila odluku o adekvatnosti UK u decembru 2025. do decembra 2031. godine, ali bi nastavak zakonodavnih reformi u UK mogao ugroziti taj status.
- Britanske kompanije koje obrađuju podatke građana EU moraju se pridržavati EU GDPR i imenovati predstavnika u EU; obrnuto važi za kompanije iz EU koje ciljaju građane UK.
- ICO obično izriče manje, ali veće kazne u poređenju sa kolektivnim ishodom EU vlasti za zaštitu podataka (DPA).
- Organizacije koje deluju u obe jurisdikcije moraju se posebno angažovati sa ICO i relevantnim EU DPA, ne postoji zajednički nadzorni kanal.
- Upravljanje pristankom i usklađenost sa kolačićima se razlikuju između dva režima nakon izmena Zakona o zaštiti podataka i digitalnim informacijama iz 2024. godine.
Šta je UK GDPR i kako se razlikuje od EU GDPR nakon Brexita?
UK GDPR je verzija Opšte uredbe o zaštiti podataka koja je uključena u domaće pravo UK putem Zakona o povlačenju iz Evropske unije iz 2018. godine, koji je stupio na snagu 1. januara 2021. godine. Deluje zajedno sa Zakonom o zaštiti podataka iz 2018. godine i prvobitno je gotovo reč po reč odražavao EU GDPR.
Međutim, od Brexita, dva okvira su se razlikovala. Zakon o zaštiti podataka i digitalnim informacijama iz 2024. godine (DPDI Act) uveo je suštinske promene u UK GDPR u nekoliko oblasti [1]:
- Legitimni interesi: UK je proširio listu priznatih legitimnih interesa, smanjujući teret testova ravnoteže za određene aktivnosti obrade.
- Kolačići: DPDI Act je olakšao zahteve za pristanak za analitičke i slične kolačiće niskog rizika, prelazeći na model isključenja za određene kategorije.
- Automatizovano donošenje odluka: Pravila UK o isključivo automatizovanim odlukama su sada permisivnija od člana 22. EU GDPR.
- Međunarodni transfer podataka: UK je razvila svoje mehanizme prenosa, Međunarodni sporazum o prenosu podataka (IDTA) i UK dodatak na EU standardne ugovorne klauzule, koji se razlikuju od EU SCC [1].
EU GDPR se i dalje tumači i sprovodi kroz Evropski odbor za zaštitu podataka (EDPB), čije smernice ne obavezuju ICO. To znači da se ista aktivnost može procenjivati različito u zavisnosti od toga koji režim se primenjuje [2].
Uobičajena greška: Pretpostaviti da je jedna politika privatnosti koja pokriva "GDPR" dovoljna za obe jurisdikcije. Organizacije moraju izričito obraditi oba okvira, posebno u vezi sa mehanizmima prenosa i imenovanjima predstavnika.
Koje su maksimalne kazne prema UK GDPR?
Kazne pod UK GDPR prate dvostepenu strukturu koja blisko paralele EU modelu, ali koristi iznose u funtama [4]:
| Stepen | Kazna pod UK GDPR | Kazna pod EU GDPR |
|---|---|---|
| Donji (manje ozbiljna kršenja) | Do £8.7 miliona ili 2% globalnog godišnjeg prometa | Do €10 miliona ili 2% globalnog godišnjeg prometa |
| Gornji (najozbiljnija kršenja) | Do £17.5 miliona ili 4% globalnog godišnjeg prometa | Do €20 miliona ili 4% globalnog godišnjeg prometa |
U oba stepena, ICO primenjuje koji god iznos je veći. Kršenja gornjeg stepena obično uključuju povrede osnovnih principa zaštite podataka, nezakonitu obradu ili kršenja prava subjekata podataka.
Najveća kazna koju je ICO izrekao do sada iznosila je £20 miliona protiv British Airways-a, izrečena pre nego što su trenutni plafoni kazni recalibrirani, iznos koji ilustruje spremnost ICO da potraži značajne kazne protiv velikih organizacija [4].
Iznimni slučaj: Kazne nisu automatske. ICO uzima u obzir faktore uključujući prirodu i trajanje kršenja, broj pogođenih pojedinaca, da li je organizacija sarađivala i sve remedijalne korake preduzete. Dobro dokumentovan program usklađenosti može značajno uticati na ishod.
Ko sprovodi GDPR u UK sada?
Kancelarija komesara za informacije (ICO) je jedina nadležna vlast odgovorna za sprovođenje UK GDPR. Za razliku od EU, koja upravlja mrežom nacionalnih DPA koordiniranih od strane EDPB, UK ima jednog centralizovanog regulatora [3].
To ima praktičnu posledicu: mehanizam jedinstvene tačke EU, koji omogućava multinacionalnim organizacijama da se bave jednim vodećim DPA za prekograničnu obradu, ne primenjuje se pod UK GDPR. Svaka organizacija koja deluje u UK i EU mora se angažovati sa ICO za pitanja vezana za UK i posebno sa relevantnim EU DPA (ili DPA) za pitanja vezana za EU [3].
ICO takođe ima ovlašćenja koja prevazilaze finansijske kazne, uključujući izdavanje obaveštenja o sprovođenju, obaveštenja o proceni i obaveštenja o informacijama. U ozbiljnim slučajevima, može uputiti pitanja na krivično gonjenje prema Zakonu o zaštiti podataka iz 2018. godine.
Da li britanske kompanije još uvek moraju da se pridržavaju EU GDPR?
Da, u mnogim slučajevima. Britanske kompanije koje nude robu ili usluge građanima EU, ili koje prate ponašanje građana EU, spadaju u teritorijalni opseg EU GDPR prema članu 3(2), bez obzira na to gde je kompanija osnovana [5].
Takve organizacije moraju:
- Imenovati predstavnika u EU (pojedinca ili organizaciju sa sedištem u državi članici EU) [5].
- Pridržavati se specifičnih zahteva EU GDPR-a, uključujući njegove SCC za transfere podataka nazad u UK.
- Angažovati se sa relevantnim EU DPA za sve pritužbe ili istrage koje uključuju subjekte podataka iz EU.
Obrnuto takođe važi: Organizacije sa sedištem u EU koje obrađuju podatke građana UK moraju se pridržavati UK GDPR i imenovati predstavnika u UK [5].
Pravilo odluke: Ako vaša veb stranica cilja korisnike u UK i EU (na primer, putem sadržaja na jeziku EU, cenama u valuti EU ili specifičnim marketingom za EU), pretpostavite da se primenjuju obaveze dvostruke usklađenosti dok ne dobijete specifične pravne savete u suprotnom.
Šta se promenilo u UK GDPR nakon Brexita?
Pored strukturne razlike koja je već primećena, nekoliko praktičnih promena je stupilo na snagu kada je EU GDPR zamenjen UK GDPR za domaće svrhe [1][2]:
- Nadležna vlast: ICO je zamenio EDPB kao primarnu interpretativnu i izvršnu instituciju.
- Odluke o adekvatnosti: UK sada mora izdavati svoje odluke o adekvatnosti za treće zemlje; ne može se oslanjati na odluke o adekvatnosti EU.
- Mehanizmi prenosa: IDTA je zamenio EU SCC za transfere iz UK u treće zemlje.
- Pragovi SAR-a: DPDI Act je pojednostavio prag za odbijanje ili naplaćivanje za Zahteve za pristup subjektu, omogućavajući organizacijama da odbiju zahteve koji su "uznemirujući ili prekomerni" (malo drugačiji standard od EU "očigledno neosnovanih ili prekomernih") [6].
- Regulatorne smernice: Smernice ICO sada upravljaju usklađenošću u UK; mišljenja i smernice EDPB su uverljive, ali nisu obavezujuće u UK.
Odluka o adekvatnosti koju je produžila Evropska komisija u decembru 2025. znači da podaci koji se prenose iz EU u UK ostaju zakoniti bez dodatnih zaštita do decembra 2031. godine, ali analitičari napominju da bi nastavak zakonodavnih reformi u UK mogao izazvati ponovnu procenu [2].
Da li je UK GDPR stroži ili manje strog od EU GDPR?
Nijedan okvir nije kategorijski stroži u svim aspektima. Dva režima se razlikuju u specifičnim oblastima, a ne u ukupnoj strogoći.
Oblasti u kojima je UK GDPR permisivniji:
- Širi priznati legitimni interesi prema DPDI Act.
- Olakšan pristanak za kolačiće za niskorizične analize.
- Fleksibilnija pravila o automatizovanom donošenju odluka.
- Pojednostavljeni pragovi za odbijanje SAR-a [1][6].
Oblasti u kojima su u suštini ekvivalentni:
- Osnovni principi (zakonitost, pravednost, transparentnost, ograničenje svrhe, minimizacija podataka, tačnost, ograničenje skladištenja, integritet).
- Prava subjekata podataka (pristup, ispravka, brisanje, prenosivost, prigovor).
- Strukture kazni (proporcionalno slične, sa britanskim iznosima u funtama).
- Vremenski okviri za obaveštavanje o kršenju (72 sata do nadležne vlasti).
Oblasti u kojima EU GDPR može biti permisivniji u praksi:
- Mehanizam jedinstvene tačke može smanjiti trenje usklađenosti za multinacionalne kompanije koje deluju u državama članicama EU, što nije dostupno pod UK GDPR.
ICO je istorijski izrekao manje kazni nego kombinovani ishod EU DPA, iako su pojedinačne britanske kazne bile značajne [4].
Koje su uobičajene povrede GDPR-a koje dovode do kazni?
ICO i EU DPA su dosledno kažnjavali sledeće kategorije povreda:
- Nedovoljna pravna osnova za obradu: Obrada ličnih podataka bez važeće zakonite osnove, ili oslanjanje na pristanak koji ne ispunjava potrebne standarde.
- Neadekvatne mere bezbednosti: Neprovođenje odgovarajućih tehničkih i organizacionih mera, što dovodi do povreda podataka.
- Neusaglašenost sa pravima subjekata podataka: Ignorisanje ili nedovoljno odgovaranje na Zahteve za pristup subjektu, zahteve za brisanje ili prigovore.
- Nezakoniti transferi podataka: Slanje ličnih podataka u treće zemlje bez adekvatnih zaštita (na primer, bez IDTA ili SCC).
- Nedostatak transparentnosti: Obaveštenja o privatnosti koja su nepotpuna, obmanjujuća ili nedostupna.
- Neusaglašenost sa pristankom za kolačiće: Korišćenje neesencijalnih kolačića bez važećeg pristanka, ili korišćenje tamnih obrazaca za dobijanje pristanka.
Za vlasnike veb stranica i agencije za online marketing, neusaglašenost sa pristankom za kolačiće i neadekvatna obaveštenja o privatnosti su među najčešćim okidačima za sprovođenje. Pravilno konfigurisana platforma za upravljanje pristankom, kao što je Biscotti CMP, može pomoći organizacijama da dokumentuju i upravljaju pristankom na način koji je u skladu sa zahtevima UK GDPR i EU GDPR.
Kako da znam da li moja firma treba da se pridržava UK GDPR?
UK GDPR se primenjuje na svaku organizaciju koja [5]:
- Ima sedište u UK i obrađuje lične podatke u kontekstu tog osnivanja (bez obzira na to gde se obrada odvija), ili
- Nije osnovana u UK, ali obrađuje lične podatke građana UK u vezi sa ponudom dobara ili usluga, ili praćenjem njihovog ponašanja unutar UK.
Praktična lista provere:
- Da li vaša veb stranica prikuplja imena, email adrese, IP adrese ili kolačiće od posetilaca iz UK? Ako je odgovor da, UK GDPR se primenjuje.
- Da li koristite analitičke alate, reklamne piksele ili oznake za remarketing koje obrađuju podatke korisnika iz UK? Ako je odgovor da, UK GDPR se primenjuje.
- Da li šaljete marketinške emailove kontaktima iz UK? Ako je odgovor da, UK GDPR (i Pravilnik o privatnosti i elektronskim komunikacijama) se primenjuju.
- Da li ste firma koja nije iz UK, ali imate veb stranicu usmerenu na UK? UK GDPR se i dalje primenjuje, i možda će vam biti potreban predstavnik u UK.
Koja je razlika između kazni ICO i kazni suda?
Kazne ICO su administrativne kazne koje izriče regulator bez uključivanja suda. Kazne suda, s druge strane, proizlaze iz građanske tužbe koju podnose subjekti podataka ili krivičnog gonjenja prema Zakonu o zaštiti podataka iz 2018. godine.
Ključne razlike:
- Kazne ICO: Izdaju se nakon istrage; mogu se žaliti Prvom tribunalu. Maksimalni iznosi su opisani u strukturi kazni iznad.
- Naknade dodeljene od strane suda: Subjekti podataka mogu podnositi tužbe u građanskim sudovima za materijalnu ili nematerijalnu štetu uzrokovanu kršenjem GDPR-a. Ne postoji zakonski plafon za naknade u građanskim tužbama.
- Krivična dela: Određeni akti, kao što su nezakonito pribavljanje ličnih podataka ili ponovna identifikacija anonimnih podataka, predstavljaju krivična dela prema Zakonu o zaštiti podataka iz 2018. godine, koja nose neograničene kazne ili zatvorske kazne.
Organizacije treba da budu svesne da jedno kršenje podataka može pokrenuti sve tri istovremeno: istragu ICO, građanske tužbe pogođenih pojedinaca i (u teškim slučajevima) krivične prijave.
Da li možete biti kažnjeni za kršenja GDPR-a koja su se dogodila pre Brexita?
Za povrede koje su se dogodile pre 1. januara 2021. godine, EU GDPR se primenio u UK. ICO je zadržao nadležnost nad pre-Brexit povredama koje uključuju organizacije osnovane u UK, a postupci sprovedeni prema pravilima EU GDPR mogli su se nastaviti prema prelaznim odredbama Zakona o povlačenju iz EU.
Povrede nakon Brexita potpuno su regulisane UK GDPR. Ne postoji mehanizam za EU DPA da izriču kazne organizacijama osnovanim u UK za post-Brexit obradu podataka građana UK, ta ovlašćenja pripadaju isključivo ICO.
Iznimni slučaj: Ako je organizacija iz UK obrađivala podatke građana EU pre i nakon Brexita, period pre Brexita mogao je uključivati obaveze prema EU GDPR koje je sprovodio EU DPA, dok post-Brexit period spada pod oba okvira, UK GDPR (za građane UK) i EU GDPR (za građane EU) istovremeno.
Šta bi kompanije trebale učiniti da se pripreme za sprovođenje UK GDPR?
Usklađenost sa UK GDPR nakon Brexita: Navigacija kaznama, sprovođenjem i razlikama od EU zahteva strukturiran, kontinuiran program, a ne jednokratnu reviziju. Prioritetne akcije uključuju:
- Mapirajte svoje tokove podataka: Identifikujte sve lične podatke koji se prikupljaju, njihovu zakonitu osnovu, gde se čuvaju i da li se prenose međunarodno.
- Ažurirajte mehanizme prenosa: Zamenite sve EU SCC koje se koriste za transfere iz UK u treće zemlje sa IDTA ili UK dodatkom [1].
- Pregledajte svoje obaveštenje o privatnosti: Osigurajte da odražava zahteve UK GDPR i smernice ICO, a ne samo standarde EU GDPR.
- Revizija pristanka za kolačiće: Ako vaša veb stranica služi posetiteljima iz UK, proverite da li vaša postavka za upravljanje pristankom ispunjava revidirane standarde DPDI Act. Alati poput Biscotti CMP su dizajnirani da podrže prikupljanje i dokumentovanje usklađenog pristanka.
- Imenujte predstavnike: Ako obrađujete podatke građana EU, imenujte predstavnika u EU; ako ste firma koja nije iz UK koja obrađuje podatke građana UK, imenujte predstavnika u UK [5].
- Obučite osoblje: Obuka o zaštiti podataka treba da odražava specifičnosti UK GDPR, a ne generički sadržaj "GDPR" koji može pomešati dva režima.
- Pratite smernice ICO: ICO redovno objavljuje ažurirane smernice; pretplatite se na ICO ažuriranja kako biste ostali u toku sa prioritetima sprovođenja.
Alat za odluku o usklađenosti sa UK GDPR
Česta pitanja
Koja je razlika između UK GDPR i EU GDPR u jednostavnim terminima? UK GDPR je domaća verzija EU GDPR koja se primenjuje unutar Ujedinjenog Kraljevstva. Deli iste osnovne principe, ali se od Brexita razlikuje, posebno nakon DPDI Act 2024, koji je olakšao pravila oko kolačića, legitimnih interesa i automatizovanih odluka.
Da li odluka o adekvatnosti EU znači da britanske kompanije ne moraju brinuti o EU GDPR? Ne. Odluka o adekvatnosti reguliše tokove podataka iz EU u UK, ne oslobađa britanske kompanije od EU GDPR kada obrađuju podatke građana EU. Ako britanska kompanija cilja korisnike iz EU, EU GDPR se primenjuje nezavisno.
Koliko traje odluka o adekvatnosti UK? Evropska komisija je produžila odluku o adekvatnosti UK u decembru 2025. godine, čineći je važećom do decembra 2031. godine. Nastavak zakonodavne razlike UK od EU GDPR mogao bi izazvati reviziju pre tog datuma [2].
Može li ICO kazniti kompaniju koja je van UK? Da. Ako ne-britanska organizacija obrađuje podatke građana UK u vezi sa ponudom dobara ili usluga ili praćenjem njihovog ponašanja, UK GDPR se primenjuje i ICO ima jurisdikciju [5].
Šta je IDTA i kada mi je potreban? Međunarodni sporazum o prenosu podataka (IDTA) je mehanizam UK za zakonito prenos ličnih podataka iz UK u treće zemlje koje nemaju odluku o adekvatnosti. Zamenjuje EU standardne ugovorne klauzule za transfere iz UK u treće zemlje [1].
Da li je službenik za zaštitu podataka (DPO) obavezan prema UK GDPR? Da, u određenim okolnostima, posebno za javne vlasti, organizacije koje sprovode sistematsko praćenje pojedinaca u velikom obimu, ili one koje obrađuju posebne kategorije podataka u velikom obimu. Zahtevi se podudaraju sa onima pod EU GDPR.
Šta je pravilo o obaveštavanju o kršenju u roku od 72 sata? I UK GDPR i EU GDPR zahtevaju od organizacija da obaveste svoju nadležnu vlast (ICO u UK) u roku od 72 sata od saznanja o povredi ličnih podataka koja predstavlja rizik za prava i slobode pojedinaca.
Da li prava subjekata podataka iz EU važe pod UK GDPR? Osnovna prava, pristup, ispravka, brisanje, prenosivost, ograničenje i prigovor, su sačuvana pod UK GDPR. DPDI Act je napravio manje proceduralne prilagodbe, kao što je modifikacija praga za odbijanje uznemirujućih Zahteva za pristup subjektu [6].
Mogu li koristiti jednu politiku privatnosti za usklađenost sa UK i EU? Jedan dokument može obuhvatiti oba režima, ali mora izričito pokriti zahteve svakog, uključujući odvojene reference na ICO i relevantni EU DPA, različite mehanizme prenosa i bilo koje oblasti u kojima se dva okvira razlikuju.
Koju ulogu igra Biscotti CMP u usklađenosti sa UK GDPR? Biscotti CMP je platforma za upravljanje pristankom koja pomaže vlasnicima veb stranica i preduzećima da prikupljaju, beleže i upravljaju pristankom korisnika za kolačiće i tehnologije praćenja na način koji je u skladu sa zahtevima UK GDPR i EU GDPR.
Zaključak
Razumevanje UK GDPR nakon Brexita: Navigacija kaznama, sprovođenjem i razlikama od EU više nije opcionalno za bilo koju organizaciju koja obrađuje lične podatke u ili iz Ujedinjenog Kraljevstva. Dva okvira su se značajno razlikovala od januara 2021. godine, a DPDI Act 2024 je ubrzao tu razliku u praktičnim oblastima koje utiču na svakodnevno poslovanje, od pristanka na kolačiće do međunarodnih transfera podataka.
Akcioni koraci za 2026:
- Sprovesti analizu razlika upoređujući vašu trenutnu poziciju usklađenosti sa zahtevima UK GDPR i EU GDPR.
- Zameniti sve EU SCC koje se koriste za transfere iz UK u treće zemlje sa IDTA.
- Proveriti da li vaša postavka za upravljanje pristankom odražava revidirane standarde kolačića DPDI Act; razmotriti posvećeno rešenje poput Biscotti CMP.
- Imenovati odgovarajuće predstavnike ako delujete u obe jurisdikcije.
- Pratiti prioritete sprovođenja ICO i smernice EDPB odvojeno, više nisu zamenjive.
- Periodično preispitivati svoju poziciju o adekvatnosti, posebno kako se zakonodavne reforme u UK nastavljaju uoči revizije odluke o adekvatnosti 2031. godine.
Trošak neusklađenosti, do £17.5 miliona ili 4% globalnog prometa samo pod UK GDPR, daleko prevazilazi investiciju potrebnu za održavanje dobrog programa usklađenosti.
Reference
[1] Gdpr Vs Uk Gdpr Guide - https://visioncompliance.eu/en/blog/gdpr-vs-uk-gdpr-guide?utm_source=openai
[2] Uk Gdpr Vs Eu Gdpr - https://www.gdprledger.com/uk/research/uk-gdpr-vs-eu-gdpr?utm_source=openai
[3] Gdpr Vs Uk Gdpr Differences 2026 - https://www.compliquest.com/en/blog/gdpr-vs-uk-gdpr-differences-2026?utm_source=openai
[4] Maximum Fine Gdpr Non Compliance - https://datadoc.uk/blog/maximum-fine-gdpr-non-compliance?utm_source=openai
[5] Does Gdpr Still Apply To The Uk - https://legalclarity.org/does-gdpr-still-apply-to-the-uk/?utm_source=openai
[6] Gdpr Compliance - https://datadoc.uk/gdpr-compliance?utm_source=openai