Швидка відповідь: UK GDPR — це адаптована версія EU GDPR, яка набула чинності, коли Великобританія вийшла з правової системи ЄС 1 січня 2021 року. Вона зберігає ті ж основні принципи, але з тих пір відхилилася через Закон про захист даних та цифрову інформацію 2024 року. Бізнеси у Великобританії повинні дотримуватися UK GDPR, а ті, хто також обробляє дані резидентів ЄС, повинні окремо дотримуватися EU GDPR, оскільки це тепер два різні юридичні зобов'язання, що контролюються різними органами.
Основні висновки
- UK GDPR та EU GDPR мають однакову структуру та основні принципи, але законодавчі реформи після Brexit створили суттєві відмінності в таких сферах, як файли cookie, законні інтереси та автоматизоване прийняття рішень.
- Офіс інформаційного комісара (ICO) є єдиним органом, що контролює виконання UK GDPR; механізм "одного вікна" недоступний для організацій, що базуються у Великобританії.
- Максимальні штрафи за UK GDPR досягають £17,5 мільйона або 4% від глобального річного обороту, залежно від того, що більше, що відображає структуру ЄС у €20 мільйонів / 4%.
- Європейська комісія продовжила рішення про адекватність Великобританії у грудні 2025 року до грудня 2031 року, але подальші законодавчі реформи у Великобританії можуть поставити під загрозу цей статус.
- Компанії Великобританії, які обробляють дані резидентів ЄС, повинні дотримуватися EU GDPR та призначити представника в ЄС; навпаки, для компаній ЄС, що націлені на резидентів Великобританії.
- ICO, як правило, накладає менше, але більші штрафи в порівнянні з колективними результатами органів захисту даних ЄС (DPA).
- Організації, що працюють в обох юрисдикціях, повинні окремо взаємодіяти з ICO та відповідними DPA ЄС, немає спільного наглядового каналу.
- Управління згодою та дотримання вимог щодо файлів cookie відрізняються між двома режимами після поправок до Закону про захист даних та цифрову інформацію 2024 року.
Що таке UK GDPR і як він відрізняється від EU GDPR після Brexit?
UK GDPR — це версія Загального регламенту захисту даних, яка була інтегрована в національне законодавство Великобританії через Закон про вихід з Європейського Союзу 2018 року, що набрав чинності 1 січня 2021 року. Він діє поряд із Законом про захист даних 2018 року і спочатку майже дослівно відображав EU GDPR.
Однак з моменту Brexit два правові режими відхилилися. Закон про захист даних та цифрову інформацію 2024 року (DPDI Act) запровадив суттєві зміни до UK GDPR у кількох сферах [1]:
- Законні інтереси: Великобританія розширила список визнаних законних інтересів, зменшивши навантаження тестів на балансування для певних видів обробки.
- Файли cookie: DPDI Act послабив вимоги щодо згоди для аналітики та подібних низькоризикових файлів cookie, переходячи до моделі "опт-аут" для певних категорій.
- Автоматизоване прийняття рішень: Правила Великобританії щодо виключно автоматизованих рішень тепер більш ліберальні, ніж стаття 22 EU GDPR.
- Міжнародні передачі даних: Великобританія розробила власні механізми передачі, такі як Угода про міжнародну передачу даних (IDTA) та британське доповнення до стандартних контрактних положень ЄС, які відрізняються від SCC ЄС [1].
EU GDPR продовжує тлумачитися та виконуватися через Європейську раду захисту даних (EDPB), чия рекомендація не є обов'язковою для ICO. Це означає, що одна й та ж діяльність може оцінюватися по-різному в залежності від того, який режим застосовується [2].
Поширена помилка: Припущення, що єдина політика конфіденційності, що охоплює "GDPR", є достатньою для обох юрисдикцій. Організації повинні чітко враховувати обидва режими, особливо щодо механізмів передачі та призначення представників.
Які максимальні штрафи за UK GDPR?
Штрафи за UK GDPR слідують двохрівневій структурі, яка близько відповідає моделі ЄС, але використовує цифри в фунтах стерлінгів [4]:
| Рівень | Штраф за UK GDPR | Штраф за EU GDPR |
|---|---|---|
| Нижчий (менш серйозні порушення) | До £8,7 мільйона або 2% від глобального річного обороту | До €10 мільйонів або 2% від глобального річного обороту |
| Вищий (найсерйозніші порушення) | До £17,5 мільйона або 4% від глобального річного обороту | До €20 мільйонів або 4% від глобального річного обороту |
В обох рівнях ICO застосовує ту цифру, яка є більшою. Порушення вищого рівня, як правило, пов'язані з порушеннями основних принципів захисту даних, незаконною обробкою або порушеннями прав суб'єктів даних.
Найбільший штраф, накладений ICO на сьогодні, становив £20 мільйонів проти British Airways, накладений до того, як поточні межі штрафів були перераховані, що ілюструє готовність ICO переслідувати значні штрафи проти великих організацій [4].
Крайній випадок: Штрафи не є автоматичними. ICO враховує фактори, включаючи характер і тривалість порушення, кількість постраждалих осіб, чи співпрацювала організація та будь-які вжиті заходи. Добре задокументована програма дотримання може суттєво вплинути на результат.
Хто зараз контролює виконання GDPR у Великобританії?
Офіс інформаційного комісара (ICO) є єдиним наглядовим органом, відповідальним за виконання UK GDPR. На відміну від ЄС, де працює мережа національних DPA, координованих EDPB, у Великобританії є єдиний централізований регулятор [3].
Це має практичні наслідки: механізм "одного вікна" ЄС, який дозволяє багатонаціональним організаціям взаємодіяти з одним провідним DPA для трансграничної обробки, не застосовується в рамках UK GDPR. Будь-яка організація, що працює як у Великобританії, так і в ЄС, повинна взаємодіяти з ICO з питань, пов'язаних з Великобританією, та окремо з відповідним DPA ЄС (або DPA) з питань, пов'язаних з ЄС [3].
ICO також має повноваження, що виходять за межі фінансових штрафів, включаючи видачу приписів про виконання, повідомлень про оцінку та інформаційних повідомлень. У серйозних випадках він може передати справи для кримінального переслідування відповідно до Закону про захист даних 2018 року.
Чи повинні компанії Великобританії все ще дотримуватися EU GDPR?
Так, у багатьох випадках. Компанії Великобританії, які пропонують товари або послуги резидентам ЄС або які моніторять поведінку резидентів ЄС, підпадають під територіальний обсяг EU GDPR відповідно до статті 3(2), незалежно від того, де зареєстрована компанія [5].
Такі організації повинні:
- Призначити представника в ЄС (особу або організацію, що базується в державі-члені ЄС) [5].
- Дотримуватися специфічних вимог EU GDPR, включаючи його SCC для передачі даних назад до Великобританії.
- Взаємодіяти з відповідним DPA ЄС щодо будь-яких скарг або розслідувань, що стосуються суб'єктів даних ЄС.
Навпаки, для організацій, що базуються в ЄС і обробляють дані резидентів Великобританії, також потрібно дотримуватися UK GDPR та призначити представника у Великобританії [5].
Правило прийняття рішення: Якщо ваш веб-сайт націлений на користувачів як у Великобританії, так і в ЄС (наприклад, через контент на мовах ЄС, ціни в євро або специфічний маркетинг для ЄС), вважайте, що застосовуються обов'язки щодо дотримання обох режимів, поки ви не отримаєте конкретну юридичну консультацію про протилежне.
Що змінилося в UK GDPR після Brexit?
Окрім структурного відхилення, яке вже було зазначено, кілька практичних змін набули чинності, коли EU GDPR був замінений на UK GDPR для внутрішніх цілей [1][2]:
- Наглядовий орган: ICO замінив EDPB як основний орган для тлумачення та виконання.
- Рішення про адекватність: Великобританія тепер повинна видавати власні рішення про адекватність для третіх країн; вона не може покладатися на рішення про адекватність ЄС.
- Механізми передачі: IDTA замінив EU SCC для передачі з Великобританії до третіх країн.
- Пороги SAR: DPDI Act спростив поріг для відмови або стягнення плати за запити на доступ до суб'єктів, дозволяючи організаціям відмовлятися від запитів, які є "досадливими або надмірними" (трохи інший стандарт, ніж "очевидно безпідставні або надмірні" в ЄС) [6].
- Регуляторні рекомендації: Рекомендації ICO тепер регулюють дотримання UK; думки та рекомендації EDPB є переконливими, але не є обов'язковими у Великобританії.
Рішення про адекватність, продовжене Європейською комісією у грудні 2025 року, означає, що потоки даних з ЄС до Великобританії залишаються законними без додаткових запобіжників до грудня 2031 року, але аналітики зазначають, що подальші законодавчі реформи у Великобританії можуть спонукати до повторної оцінки [2].
Чи є UK GDPR суворішим чи менш суворим, ніж EU GDPR?
Жоден з режимів не є категорично суворішим у всіх аспектах. Обидва режими відрізняються в конкретних сферах, а не в загальній суворості.
Сфери, в яких UK GDPR є більш ліберальним:
- Ширший список визнаних законних інтересів відповідно до DPDI Act.
- Послаблена згода на файли cookie для низькоризикової аналітики.
- Гнучкіші правила автоматизованого прийняття рішень.
- Спрощені пороги відмови на SAR [1][6].
Сфери, в яких вони в цілому еквівалентні:
- Основні принципи (законність, справедливість, прозорість, обмеження цілей, мінімізація даних, точність, обмеження зберігання, цілісність).
- Права суб'єктів даних (доступ, виправлення, видалення, портативність, заперечення).
- Структури штрафів (пропорційно подібні, з цифрами UK у стерлінгах).
- Термін повідомлення про порушення (72 години до наглядового органу).
Сфери, в яких EU GDPR може бути більш ліберальним на практиці:
- Механізм "одного вікна" може зменшити тертя дотримання для багатонаціональних компаній, що працюють у країнах-членах ЄС, перевага, недоступна в рамках UK GDPR.
ICO історично накладав менше штрафів, ніж комбінований результат DPA ЄС, хоча окремі штрафи в UK були суттєвими [4].
Які поширені порушення GDPR, що призводять до штрафів?
ICO та DPA ЄС постійно накладали штрафи за такі категорії порушень:
- Недостатня правова основа для обробки: Обробка особистих даних без дійсної законної основи або покладання на згоду, яка не відповідає вимогам.
- Недостатні заходи безпеки: Невиконання відповідних технічних та організаційних заходів, що призводить до витоків даних.
- Недотримання прав суб'єктів даних: Ігнорування або недостатня реакція на запити на доступ до суб'єктів, запити на видалення або заперечення.
- Незаконні передачі даних: Надсилання особистих даних до третіх країн без адекватних запобіжників (наприклад, без IDTA або SCC).
- Відсутність прозорості: Політики конфіденційності, які є неповними, оманливими або недоступними.
- Порушення згоди на файли cookie: Використання неістотних файлів cookie без дійсної згоди або використання темних схем для отримання згоди.
Для власників веб-сайтів та онлайн-маркетингових агентств зокрема, порушення згоди на файли cookie та недостатні політики конфіденційності є одними з найпоширеніших тригерів виконання. Правильно налаштована платформа управління згодою, така як Biscotti CMP, може допомогти організаціям документувати та управляти згодою у спосіб, що відповідає вимогам як UK GDPR, так і EU GDPR.
Як дізнатися, чи потрібно моєму бізнесу дотримуватися UK GDPR?
UK GDPR застосовується до будь-якої організації, яка [5]:
- Зареєстрована у Великобританії та обробляє особисті дані в контексті цього закладу (незалежно від того, де відбувається обробка), або
- Не зареєстрована у Великобританії, але обробляє особисті дані резидентів Великобританії у зв'язку з пропозицією їм товарів або послуг або моніторингом їхньої поведінки у Великобританії.
Практичний контрольний список:
- Чи збирає ваш веб-сайт імена, адреси електронної пошти, IP-адреси або файли cookie від відвідувачів з Великобританії? Якщо так, то UK GDPR застосовується.
- Чи використовуєте ви аналітичні інструменти, рекламні пікселі або теги ремаркетингу, які обробляють дані користувачів з Великобританії? Якщо так, то UK GDPR застосовується.
- Чи надсилаєте ви маркетингові електронні листи контактам з Великобританії? Якщо так, то UK GDPR (та Регламент про конфіденційність та електронні комунікації) застосовуються.
- Чи є ви бізнесом, що не зареєстрований у Великобританії, але маєте веб-сайт, націлений на Великобританію? UK GDPR все ще застосовується, і вам може знадобитися представник у Великобританії.
У чому різниця між штрафами ICO та судовими санкціями?
Штрафи ICO є адміністративними санкціями, накладеними безпосередньо регулятором без участі суду. Судові санкції, навпаки, виникають внаслідок цивільного судочинства, ініційованого суб'єктами даних, або кримінальних переслідувань відповідно до Закону про захист даних 2018 року.
Ключові відмінності:
- Штрафи ICO: Видаються після розслідування; можуть бути оскаржені до Першого трибуналу. Максимальні суми описані в структурі штрафів вище.
- Судові відшкодування: Суб'єкти даних можуть подавати позови в цивільних судах за матеріальну або нематеріальну шкоду, завдану порушенням GDPR. У цивільних позовах немає законодавчого обмеження на відшкодування.
- Кримінальні правопорушення: Деякі дії, такі як незаконне отримання особистих даних або повторна ідентифікація анонімних даних, є кримінальними правопорушеннями відповідно до Закону про захист даних 2018 року, що передбачає необмежені штрафи або ув'язнення.
Організації повинні бути обізнані про те, що одне порушення даних може спровокувати одночасно всі три: розслідування ICO, цивільні позови від постраждалих осіб та (у крайніх випадках) кримінальні направлення.
Чи можна накласти штраф за порушення GDPR, які сталися до Brexit?
За порушення, що сталися до 1 січня 2021 року, застосовувався EU GDPR у Великобританії. ICO зберіг юрисдикцію над порушеннями до Brexit, що стосуються організацій, зареєстрованих у Великобританії, і дії, розпочаті відповідно до правил EU GDPR, можуть продовжуватися відповідно до перехідних положень Закону про вихід з ЄС.
Порушення після Brexit повністю регулюються UK GDPR. Немає механізму для DPA ЄС накладати штрафи на організації, зареєстровані у Великобританії, за обробку даних резидентів Великобританії після Brexit, ця влада належить виключно ICO.
Крайній випадок: Якщо організація з Великобританії обробляла дані резидентів ЄС до та після Brexit, період до Brexit міг включати зобов'язання EU GDPR, що контролювалися DPA ЄС, тоді як період після Brexit підпадає під дію як UK GDPR (для резидентів Великобританії), так і EU GDPR (для резидентів ЄС) одночасно.
Що повинні зробити компанії, щоб підготуватися до виконання UK GDPR?
Дотримання UK GDPR після Brexit: Навігація штрафами, виконанням та відмінностями від ЄС вимагає структурованої, постійної програми, а не одноразового аудиту. Пріоритетні дії включають:
- Картографуйте свої потоки даних: Визначте всі особисті дані, що збираються, їх законну основу, де вони зберігаються та чи передаються вони міжнародно.
- Оновіть механізми передачі: Замініть будь-які EU SCC, що використовуються для передачі з Великобританії до третіх країн, на IDTA або британське доповнення [1].
- Перегляньте свою політику конфіденційності: Переконайтеся, що вона відповідає вимогам UK GDPR та рекомендаціям ICO, а не лише стандартам EU GDPR.
- Аудит згоди на файли cookie: Якщо ваш веб-сайт обслуговує відвідувачів з Великобританії, перевірте, що ваша система управління згодою відповідає оновленим стандартам DPDI Act. Інструменти, такі як Biscotti CMP, призначені для підтримки відповідного збору та документування згоди.
- Призначте представників: Якщо ви обробляєте дані резидентів ЄС, призначте представника в ЄС; якщо ви є бізнесом, що не зареєстрований у Великобританії, але обробляєте дані резидентів Великобританії, призначте представника у Великобританії [5].
- Навчайте персонал: Навчання з питань захисту даних повинно відображати специфіку UK GDPR, а не загальний контент "GDPR", який може змішувати два режими.
- Слідкуйте за рекомендаціями ICO: ICO регулярно публікує оновлені рекомендації; підпишіться на оновлення ICO, щоб залишатися в курсі пріоритетів виконання.
Інструмент прийняття рішень щодо дотримання UK GDPR
Питання та відповіді
У чому різниця між UK GDPR та EU GDPR простими словами?
UK GDPR — це адаптована версія EU GDPR, яка застосовується у Великобританії. Вони мають однакові основні принципи, але відхилилися з моменту Brexit, особливо після DPDI Act 2024, який послабив правила щодо файлів cookie, законних інтересів та автоматизованих рішень.
Чи означає рішення про адекватність ЄС, що компаніям Великобританії не потрібно турбуватися про EU GDPR?
Ні. Рішення про адекватність регулює потоки даних з ЄС до Великобританії, воно не звільняє компанії Великобританії від EU GDPR, коли вони обробляють дані резидентів ЄС. Якщо компанія з Великобританії націлена на користувачів ЄС, то EU GDPR застосовується незалежно.
Як довго діє рішення про адекватність Великобританії?
Європейська комісія продовжила рішення про адекватність Великобританії у грудні 2025 року, зберігаючи його дійсним до грудня 2031 року. Подальше законодавче відхилення Великобританії від EU GDPR може спонукати до перегляду до цієї дати [2].
Чи може ICO накласти штраф на компанію, що базується за межами Великобританії?
Так. Якщо організація, що не базується у Великобританії, обробляє дані резидентів Великобританії у зв'язку з пропозицією їм товарів або послуг або моніторингом їхньої поведінки, то UK GDPR застосовується, і ICO має юрисдикцію [5].
Що таке IDTA і коли мені його потрібно?
Угода про міжнародну передачу даних (IDTA) є механізмом Великобританії для законної передачі особистих даних з Великобританії до третіх країн, які не мають рішення про адекватність. Вона замінює стандартні контрактні положення ЄС для передач з Великобританії до третіх країн [1].
Чи потрібен Офіцер з захисту даних (DPO) відповідно до UK GDPR?
Так, у певних обставинах, зокрема для державних органів, організацій, які здійснюють масштабний систематичний моніторинг осіб, або тих, хто обробляє спеціальні категорії даних у великому обсязі. Вимоги аналогічні тим, що діють відповідно до EU GDPR.
Що таке правило про повідомлення про порушення протягом 72 годин?
Як UK GDPR, так і EU GDPR вимагають від організацій повідомляти свій наглядовий орган (ICO у Великобританії) протягом 72 годин після того, як вони дізналися про порушення особистих даних, яке становить ризик для прав і свобод осіб.
Чи застосовуються права суб'єктів даних ЄС відповідно до UK GDPR?
Основні права, такі як доступ, виправлення, видалення, портативність, обмеження та заперечення, зберігаються відповідно до UK GDPR. DPDI Act внесла незначні процедурні зміни, такі як зміна порогу для відмови у випадках "досадливих" запитів на доступ до суб'єктів [6].
Чи можу я використовувати єдину політику конфіденційності для дотримання вимог як UK, так і EU?
Єдиний документ може охоплювати обидва режими, але він повинен чітко враховувати вимоги кожного, включаючи окремі посилання на ICO та відповідний DPA ЄС, різні механізми передачі та будь-які сфери, в яких два режими відрізняються.
Яку роль відіграє Biscotti CMP у дотриманні UK GDPR?
Biscotti CMP — це платформа управління згодою, яка допомагає власникам веб-сайтів та бізнесам збирати, документувати та управляти згодою користувачів на файли cookie та технології відстеження у спосіб, що відповідає вимогам UK GDPR та EU GDPR.
Висновок
Розуміння UK GDPR після Brexit: Навігація штрафами, виконанням та відмінностями від ЄС більше не є опціональним для будь-якої організації, що обробляє особисті дані в або з Великобританії. Два режими суттєво відхилилися з січня 2021 року, а DPDI Act 2024 прискорив це відхилення в практичних сферах, які впливають на повсякденну діяльність, від згоди на файли cookie до міжнародних передач даних.
Дії, які потрібно виконати у 2026 році:
- Проведіть аналіз розривів, порівнюючи вашу поточну позицію дотримання з вимогами як UK GDPR, так і EU GDPR.
- Замініть будь-які EU SCC, що використовуються для передачі з Великобританії до третіх країн, на IDTA.
- Переконайтеся, що ваша система управління згодою відповідає оновленим стандартам файлів cookie DPDI Act; розгляньте можливість використання спеціалізованого рішення, такого як Biscotti CMP.
- Призначте правильних представників, якщо ви працюєте в обох юрисдикціях.
- Слідкуйте за пріоритетами виконання ICO та рекомендаціями EDPB окремо, вони більше не є взаємозамінними.
- Періодично переоцінюйте свою позицію щодо адекватності, особливо в умовах продовження законодавчих реформ у Великобританії перед переглядом рішення про адекватність у 2031 році.
Вартість недотримання, до £17,5 мільйона або 4% від глобального обороту відповідно до UK GDPR, значно перевищує інвестиції, необхідні для підтримки належної програми дотримання.
Посилання
[1] Gdpr Vs Uk Gdpr Guide - https://visioncompliance.eu/en/blog/gdpr-vs-uk-gdpr-guide?utm_source=openai
[2] Uk Gdpr Vs Eu Gdpr - https://www.gdprledger.com/uk/research/uk-gdpr-vs-eu-gdpr?utm_source=openai
[3] Gdpr Vs Uk Gdpr Differences 2026 - https://www.compliquest.com/en/blog/gdpr-vs-uk-gdpr-differences-2026?utm_source=openai
[4] Maximum Fine Gdpr Non Compliance - https://datadoc.uk/blog/maximum-fine-gdpr-non-compliance?utm_source=openai
[5] Does Gdpr Still Apply To The Uk - https://legalclarity.org/does-gdpr-still-apply-to-the-uk/?utm_source=openai
[6] Gdpr Compliance - https://datadoc.uk/gdpr-compliance?utm_source=openai