O UK GDPR e o EU GDPR têm as mesmas raízes regulatórias, mas hoje são marcos jurídicos distintos, após a saída do Reino Unido da União Europeia. O UK GDPR opera em conjunto com o Data Protection Act 2018 (DPA 2018) e outras leis de privacidade do Reino Unido. O Data (Use and Access) Act 2025 (DUAA) também introduziu novas alterações no marco de proteção de dados do Reino Unido, e todas as disposições pertinentes de proteção de dados já estão em vigor. Para organizações que operam no Reino Unido e na UE, entender onde os dois marcos regulatórios permanecem alinhados — e onde divergiram — é essencial para manter uma conformidade em privacidade eficaz. Este guia compara os requisitos do UK GDPR e do EU GDPR em âmbito territorial, representantes, encarregados de proteção de dados (DPOs), transferências internacionais, dados de crianças, decisões automatizadas, fiscalização e direitos dos indivíduos.
Lado a lado: UK GDPR vs. EU GDPR
| Dimensão | 🇬🇧 UK GDPR | 🇪🇺 EU GDPR |
|---|---|---|
| Marco principal | UK GDPR + DPA 2018 + alterações aplicáveis | Regulamento (UE) 2016/679 |
| Marco atual do Reino Unido | UK GDPR com suas alterações, incluindo as mudanças do DUAA 2025 | EU GDPR |
| Principal autoridade reguladora | Information Commissioner's Office (ICO) | Autoridades supervisoras nacionais coordenadas pelo EDPB |
| Data de início de vigência | O UK GDPR é aplicável desde 1º de janeiro de 2021 | 25 de maio de 2018 |
| Multa máxima | Até 17,5 milhões de libras ou 4% do faturamento anual mundial, o que for maior | Até 20 milhões de euros ou 4% do faturamento anual mundial, o que for maior |
| Encarregado de proteção de dados (DPO) | Exigido nas circunstâncias especificadas pelo regime do UK GDPR/DPA | Exigido nas circunstâncias especificadas no artigo 37 |
| Representante no Reino Unido | Pode ser exigido de determinadas organizações de fora do Reino Unido | Não aplicável no âmbito do EU GDPR |
| Representante na UE | Pode ser exigido de determinadas organizações de fora da UE | Pode ser exigido nos termos do artigo 27 |
| Transferências internacionais | Regulamentos de adequação do Reino Unido, UK IDTA, UK Addendum, BCRs e outros mecanismos | Decisões de adequação da UE, SCCs da UE, BCRs e outros mecanismos do Capítulo V |
| Notificação de violação de dados | Em geral, 72 horas, quando a notificação ao ICO é exigida | Em geral, 72 horas, quando a notificação à autoridade supervisora é exigida |
| Portabilidade dos dados | Sim | Sim |
| Proteção de crianças on-line | Requisitos específicos do Reino Unido, incluindo as disposições do DUAA sobre proteção reforçada de crianças | Salvaguardas do GDPR, além de requisitos nacionais e da UE |
| Cookies / marketing eletrônico | PECR | Diretiva ePrivacy, conforme transposta em cada país |
| Decisões automatizadas | Regime específico do Reino Unido, alterado pelo DUAA | Artigo 22 do GDPR |
| Estrutura regulatória | Uma única autoridade supervisora no Reino Unido | Várias autoridades supervisoras nacionais + EDPB |
| Relação pós-Brexit | Regime jurídico próprio do Reino Unido | Regime jurídico próprio da UE |
O que é o UK GDPR?
O UK GDPR é o marco de proteção de dados do Reino Unido após o Brexit.
Ele se baseia de perto no EU GDPR, mas opera como parte do direito interno do Reino Unido e é lido em conjunto com o Data Protection Act 2018, as Privacy and Electronic Communications Regulations (PECR), o Data (Use and Access) Act 2025 e outras leis aplicáveis do Reino Unido e requisitos setoriais específicos.
O DUAA 2025 altera, em vez de substituir, o UK GDPR e o DPA 2018. O ICO confirma que as disposições de proteção de dados introduzidas pelo DUAA já estão em vigor.
O UK GDPR continua regulando áreas que incluem:
- Tratamento de dados pessoais
- Avisos de privacidade
- Bases legais
- Direitos dos indivíduos
- Segurança dos dados
- Proteção de dados desde a concepção
- Transferências internacionais
- Responsabilização
- Relações entre controladores e operadores
O que é o EU GDPR?
O General Data Protection Regulation (GDPR) é o marco regulatório abrangente de proteção de dados da União Europeia.
Ele se aplica em todos os Estados-Membros da UE e também pode se aplicar a organizações de fora da UE quando os requisitos territoriais do artigo 3 são atendidos.
O EU GDPR estabelece requisitos que abrangem:
- Licitude, lealdade e transparência
- Limitação da finalidade
- Minimização de dados
- Exatidão
- Limitação da conservação
- Integridade e confidencialidade
- Responsabilização
- Direitos dos indivíduos
- Transferências internacionais
O GDPR é fiscalizado pelas autoridades supervisoras nacionais, e o European Data Protection Board (EDPB) assegura a consistência e a coordenação em toda a UE.
UK GDPR vs EU GDPR: principais diferenças
1. Marcos jurídicos distintos
Antes do Brexit, o Reino Unido estava sujeito ao EU GDPR como Estado-Membro da UE.
UK GDPR
Desde 1º de janeiro de 2021, o Reino Unido tem sua própria versão do GDPR — o UK GDPR.
O Parlamento do Reino Unido pode alterar o UK GDPR de forma independente.
EU GDPR
Embora os dois marcos regulatórios permaneçam altamente alinhados, agora eles podem evoluir de forma independente.
As instituições da UE podem alterar ou complementar o EU GDPR por meio da legislação e da jurisprudência da UE.
Ponto principal: As organizações não devem presumir que a conformidade com um dos marcos regulatórios garante automaticamente a conformidade com o outro.
2. Autoridades de proteção de dados
UK GDPR
O Information Commissioner's Office (ICO) é a principal autoridade de proteção de dados do Reino Unido.
Ele investiga reclamações, publica orientações regulatórias e pode adotar medidas de fiscalização contra organizações sujeitas à legislação de proteção de dados do Reino Unido.
EU GDPR
O EU GDPR opera por meio de autoridades supervisoras nacionais em cada Estado-Membro da UE.
O EDPB apoia a cooperação, a consistência e a resolução de divergências entre as autoridades supervisoras.
Diferença prática: uma organização multinacional pode, portanto, lidar com o ICO no Reino Unido e com uma ou mais autoridades supervisoras da UE, dependendo de seu estabelecimento, de suas atividades de tratamento e do mecanismo de balcão único (one-stop-shop) do GDPR.
3. Multas administrativas máximas
UK GDPR
Para infrações graves, as multas do UK GDPR podem chegar a 17,5 milhões de libras ou 4% do faturamento anual mundial, o que for maior.
EU GDPR
Para infrações graves específicas, as multas do EU GDPR podem chegar a 20 milhões de euros ou 4% do faturamento anual mundial, o que for maior.
O limite máximo percentual está, portanto, amplamente alinhado, enquanto os valores monetários fixos são diferentes.
4. Representantes do artigo 27
O Brexit criou uma distinção importante para organizações internacionais.
Representante no Reino Unido
Uma organização de fora do Reino Unido pode precisar designar um representante no Reino Unido quando os requisitos das disposições do UK GDPR sobre representantes são atendidos.
Representante na UE
Da mesma forma, uma organização de fora da UE pode precisar designar um representante na UE nos termos do artigo 27 do GDPR, quando as condições pertinentes se aplicam.
As organizações precisam dos dois? Possivelmente, sim. Uma empresa estabelecida fora do Reino Unido e da UE que atenda, de forma independente, às condições de âmbito territorial pertinentes dos dois marcos regulatórios pode precisar de um representante na UE e de um representante no Reino Unido. As obrigações de representação devem ser avaliadas separadamente, de acordo com a lei de cada jurisdição.
5. Transferências internacionais de dados
As transferências internacionais são uma das áreas em que os requisitos de conformidade do Reino Unido e da UE divergiram.
UK GDPR
As organizações do Reino Unido podem usar mecanismos que incluem:
- Regulamentos de adequação do Reino Unido
- UK International Data Transfer Agreement (IDTA)
- UK Addendum às cláusulas contratuais padrão da UE
- Regras corporativas vinculantes
- Outros mecanismos de transferência permitidos
O Reino Unido tem seu próprio regime de adequação e suas próprias avaliações de transferência. As orientações atuais do ICO confirmam que as regras de transferência internacional do Reino Unido operam de forma independente do regime de transferências da UE.
EU GDPR
As organizações da UE podem recorrer a mecanismos que incluem:
- Decisões de adequação da UE
- Cláusulas contratuais padrão da UE
- Regras corporativas vinculantes
- Derrogações aplicáveis
Transferências entre o Reino Unido e a UE: o Reino Unido e a UE têm arranjos que viabilizam os fluxos de dados pessoais entre as duas jurisdições. No entanto, as organizações devem acompanhar a situação desses arranjos e manter a documentação das transferências, em vez de presumir que os fluxos de dados entre o Reino Unido e a UE estão permanentemente livres de restrições.
6. Encarregados de proteção de dados (DPOs)
UK GDPR
O UK GDPR mantém o regime do DPO derivado do artigo 37 do GDPR, além de requisitos legislativos específicos do Reino Unido. O DPO é exigido em circunstâncias específicas, incluindo determinados casos de:
- Tratamento por autoridade pública
- Monitoramento regular e sistemático em larga escala
- Tratamento em larga escala de categorias especiais de dados pessoais
EU GDPR
O EU GDPR contém requisitos substancialmente semelhantes no artigo 37.
Ponto principal: Os requisitos de DPO do Reino Unido e da UE permanecem amplamente alinhados, mas as organizações devem avaliar cada jurisdição de forma independente.
7. Decisões automatizadas
As decisões automatizadas são uma área em que o direito do Reino Unido e o da UE estão evoluindo de forma diferente.
UK GDPR
O Data (Use and Access) Act 2025 introduziu mudanças no regime do Reino Unido para decisões exclusivamente automatizadas.
O novo regime permite determinadas decisões significativas tomadas unicamente com base em tratamento automatizado, desde que as salvaguardas e condições especificadas sejam atendidas.
O ICO observa que o DUAA introduziu mudanças relativas às decisões automatizadas e às salvaguardas correlatas.
EU GDPR
O artigo 22 do EU GDPR prevê proteções específicas quanto a decisões tomadas unicamente com base em tratamento automatizado que produzam efeitos jurídicos ou efeitos igualmente significativos.
As organizações também devem considerar outras legislações aplicáveis da UE, incluindo o EU AI Act, quando houver sistemas de IA envolvidos.
Ponto principal: Os dois regimes não devem mais ser tratados como se tivessem regras idênticas sobre decisões automatizadas.
8. Dados de crianças
UK GDPR
O Reino Unido tem requisitos específicos relativos a crianças e serviços on-line.
O DUAA introduziu um dever relativo às questões de proteção reforçada de crianças (children's higher-protection matters), que exige que as organizações considerem as necessidades das crianças ao implementar medidas de proteção de dados em serviços on-line pertinentes.
O Age Appropriate Design Code do ICO também continua sendo uma referência importante de conformidade no Reino Unido para serviços on-line que provavelmente serão acessados por crianças.
EU GDPR
O EU GDPR contém proteções específicas para crianças.
Para determinados serviços da sociedade da informação oferecidos diretamente a crianças, o artigo 8 estabelece a idade padrão de 16 anos para o tratamento baseado em consentimento, embora os Estados-Membros da UE possam reduzir essa idade para até 13 anos.
Os Estados-Membros e os desenvolvimentos regulatórios no nível da UE podem criar requisitos adicionais.
Ponto principal: A conformidade em privacidade de crianças exige avaliações separadas para o Reino Unido e para a UE.
9. Cookies e marketing eletrônico
UK GDPR
As Privacy and Electronic Communications Regulations (PECR) do Reino Unido regem áreas que incluem:
- Cookies e tecnologias semelhantes
- Marketing eletrônico
- Comunicações de marketing direto
- Dados de tráfego e de localização
O DUAA introduziu mudanças que permitem o uso de determinados cookies de baixa intrusividade sem consentimento, quando as condições legais são atendidas.
EU GDPR
A Diretiva ePrivacy da UE, conforme transposta pelas leis dos Estados-Membros, continua sendo o principal marco que rege cookies e comunicações eletrônicas, ao lado do GDPR.
O ambiente regulatório pode, portanto, variar entre os Estados-Membros da UE.
Ponto principal: Uma implementação de consentimento de cookies projetada para o Reino Unido não deve ser automaticamente replicada em todos os mercados da UE sem uma revisão por jurisdição.
10. Avisos de privacidade e transparência
Os princípios fundamentais de transparência permanecem muito semelhantes. Em geral, os dois marcos regulatórios exigem que as organizações expliquem:
UK GDPR
- Quem está tratando os dados
- Por que os dados são tratados
- Categorias de dados pessoais
- Base legal
- Destinatários
EU GDPR
- Retenção
- Transferências internacionais
- Direitos dos indivíduos
- Mecanismos de reclamação
- Decisões automatizadas, quando aplicável
As organizações que operam no Reino Unido e na UE devem manter a capacidade de atualizar seus avisos quando as leis do Reino Unido e da UE divergirem. O DUAA também introduziu mudanças pontuais nos requisitos de transparência para determinados tratamentos para fins de pesquisa, arquivo e estatística.
11. Direitos dos indivíduos
O UK GDPR e o EU GDPR continuam prevendo direitos dos indivíduos amplamente semelhantes, incluindo:
UK GDPR
- Direito de acesso
- Direito de retificação
- Direito ao apagamento
- Direito à limitação do tratamento
EU GDPR
- Direito à portabilidade dos dados
- Direito de oposição
- Direito de retirar o consentimento
- Direitos relativos a determinadas decisões automatizadas
No entanto, as alterações feitas pela legislação do Reino Unido podem criar diferenças ao longo do tempo. Por isso, as organizações que operam os dois programas devem manter fluxos de trabalho de direitos específicos para cada jurisdição.
12. Proteção de dados desde a concepção
UK GDPR
Tanto o UK GDPR quanto o EU GDPR exigem que as organizações implementem a proteção de dados desde a concepção e por padrão.
O regime do Reino Unido passou a incluir considerações adicionais de proteção de crianças por meio do DUAA.
EU GDPR
Isso significa que a privacidade e a segurança devem ser consideradas ao longo de todo o ciclo de vida de uma atividade de tratamento, em vez de serem acrescentadas após a implantação.
13. Notificação de violação de dados
UK GDPR
O controlador deve, em geral, notificar o ICO sobre uma violação de dados pessoais qualificada sem demora injustificada e, sempre que possível, em até 72 horas após tomar conhecimento da violação.
Quando a violação for suscetível de resultar em alto risco para os indivíduos, os indivíduos afetados também podem precisar ser notificados.
EU GDPR
O EU GDPR adota o mesmo regime básico do artigo 33: sem demora injustificada e, sempre que possível, em até 72 horas após tomar conhecimento de uma violação qualificada.
Ponto principal: O regime básico de notificação de violações permanece altamente alinhado, mas as organizações devem determinar qual autoridade reguladora e quais requisitos específicos de cada jurisdição se aplicam.
14. Avaliações de impacto sobre a proteção de dados
Os dois marcos regulatórios mantêm o conceito de Data Protection Impact Assessment (DPIA). Em geral, a DPIA é exigida quando o tratamento é suscetível de resultar em alto risco para os direitos e liberdades dos indivíduos.
UK GDPR
Os exemplos podem incluir:
- Monitoramento em larga escala
- Tratamento em larga escala de dados sensíveis
- Definição de perfis
- Determinados sistemas de IA
- Tecnologias inovadoras que envolvam riscos significativos à privacidade
EU GDPR
A avaliação deve identificar:
- Atividades de tratamento
- Necessidade e proporcionalidade
- Riscos
- Medidas de mitigação
- Riscos residuais
- Responsabilidades de governança
15. Dados de categorias especiais
Os dois marcos regulatórios mantêm a proteção reforçada para dados de categorias especiais.
UK GDPR
Os exemplos incluem:
- Informações de saúde
- Dados genéticos
- Dados biométricos usados para identificação
- Origem racial ou étnica
- Opiniões políticas
- Convicções religiosas ou filosóficas
- Filiação sindical
- Vida sexual ou orientação sexual
EU GDPR
A legislação do Reino Unido inclui condições e isenções legais adicionais, específicas do país, no DPA 2018.
Por isso, as organizações devem analisar as condições do Schedule 1, específicas do Reino Unido, quando pertinente, em vez de tratar a conformidade com o artigo 9 como automaticamente suficiente.
16. Pesquisa, arquivo e estatística
UK GDPR
O Reino Unido introduziu, por meio do DUAA, alterações específicas que afetam o tratamento para fins de pesquisa, arquivo e estatística.
A lei esclarece determinados conceitos relacionados à pesquisa e cria flexibilidade adicional, mantendo as salvaguardas.
O ICO confirma que o DUAA inclui mudanças relativas à pesquisa científica, inclusive a pesquisa científica comercial, e esclarece determinadas disposições sobre pesquisa.
EU GDPR
O EU GDPR também contém disposições de apoio à pesquisa científica ou histórica e a fins estatísticos, mas os marcos legislativos não são idênticos.
UK GDPR vs EU GDPR: um é mais rigoroso que o outro?
Não é correto descrever um dos marcos regulatórios como universalmente mais rigoroso.
Os dois marcos regulatórios permanecem altamente alinhados em áreas centrais como:
- Princípios de proteção de dados
- Bases legais
- Direitos dos indivíduos
- Responsabilização
- Segurança
- DPIAs
- Requisitos de DPO
- Notificação de violação de dados
No entanto, as diferenças estão se tornando mais relevantes em áreas que incluem:
- Decisões automatizadas
- Proteção de crianças
- Transferências internacionais
- Cookies e comunicações eletrônicas
- Pesquisa
- Fiscalização regulatória
- Alterações específicas do Reino Unido decorrentes do DUAA
Para organizações internacionais, a melhor abordagem é manter uma estrutura comum de controles de GDPR, com camadas específicas para o Reino Unido e para a UE.
Um único programa pode abranger o UK GDPR e o EU GDPR?
Sim. Uma estrutura comum de gestão de privacidade pode reduzir significativamente o trabalho de conformidade duplicado. No entanto, as organizações devem manter controles específicos por jurisdição nas áreas em que as leis do Reino Unido e da UE diferem.
1. Inventário central de dados
Mantenha um único inventário global que abranja:
- Dados pessoais
- Finalidades do tratamento
- Titulares dos dados
- Controladores
- Operadores
- Destinatários
- Locais de armazenamento
- Retenção
- Transferências internacionais
2. Gestão unificada de direitos
O fluxo de trabalho deve identificar se a solicitação se enquadra no UK GDPR, no EU GDPR ou em ambos.
Um fluxo de trabalho central de DSAR pode gerenciar:
- Solicitações de acesso
- Retificação
- Apagamento
- Limitação do tratamento
- Portabilidade
- Oposições
- Direitos relativos a decisões automatizadas
3. Gestão de transferências
Use o mecanismo de transferência adequado para cada jurisdição.
Mantenha registros de transferência separados para:
- Transferências internacionais do Reino Unido
- Transferências internacionais da UE
- Transferências entre o Reino Unido e a UE
- Transferências para países terceiros
4. Gestão de avisos de privacidade
Muitas vezes é possível usar um aviso de privacidade com um núcleo comum, mas as organizações devem manter seções específicas para o Reino Unido e para a UE nos pontos em que os requisitos diferem.
5. Conformidade de cookies e marketing
Mantenha uma lógica de conformidade separada para:
- PECR do Reino Unido
- Requisitos de ePrivacy da UE
- GDPR / UK GDPR
- Preferências de consentimento
- Permissões de marketing
6. Resposta a violações de dados
Um processo unificado de resposta a incidentes deve incluir fluxos de escalonamento específicos para cada jurisdição. A organização deve determinar:
- Qual autoridade reguladora deve ser notificada
- O prazo aplicável
- Se os indivíduos afetados devem ser notificados
- Quais notificações contratuais se aplicam
- Quais evidências devem ser retidas
7. Monitoramento regulatório
Os requisitos de privacidade do Reino Unido e da UE devem ser monitorados de forma independente.
Isso é cada vez mais importante porque o Reino Unido pode alterar seu marco regulatório independentemente dos desenvolvimentos legislativos da UE.
Perguntas frequentes
O UK GDPR é igual ao EU GDPR?
Não. Eles têm a mesma base regulatória e permanecem muito semelhantes, mas são marcos jurídicos distintos que podem evoluir de forma independente.
Preciso cumprir tanto o UK GDPR quanto o EU GDPR?
Possivelmente. Uma organização pode precisar cumprir o UK GDPR em suas atividades de tratamento no Reino Unido e o EU GDPR quando suas atividades se enquadrarem no âmbito territorial do EU GDPR.
Preciso de um representante no Reino Unido e de um representante na UE?
Possivelmente. Se uma organização estabelecida fora das duas jurisdições atender às respectivas condições do artigo 27 para o Reino Unido e para a UE, ela pode precisar de representantes separados para cada jurisdição.
O UK GDPR é mais rigoroso que o EU GDPR?
Não de forma universal. Os marcos regulatórios permanecem estreitamente alinhados, mas cada um tem requisitos específicos de sua jurisdição e eles podem divergir ao longo do tempo.
O UK GDPR ainda exige a notificação de violações em até 72 horas?
Sim. Para violações de dados pessoais qualificadas, o controlador deve, em geral, notificar o ICO sem demora injustificada e, sempre que possível, em até 72 horas após tomar conhecimento da violação.
O UK GDPR ainda exige um DPO?
Sim, quando as condições legais aplicáveis ao DPO são atendidas. Não é correto afirmar que as organizações do Reino Unido têm uma isenção geral dos requisitos de DPO nos moldes do artigo 37.
O Reino Unido tem uma decisão de adequação nos moldes da UE?
A UE adotou uma decisão de adequação para o Reino Unido, que permite transferências qualificadas de dados pessoais da UE para o Reino Unido com base nesse regime. As organizações devem acompanhar a validade e as condições atuais da decisão, em vez de se basear em datas de expiração desatualizadas.
Podemos usar a mesma política de privacidade para clientes do Reino Unido e da UE?
Muitas vezes, sim. Um aviso de privacidade comum pode atender aos dois públicos, mas deve levar em conta as diferenças quanto a autoridades reguladoras, representantes, transferências internacionais, cookies, privacidade de crianças e requisitos legais específicos do Reino Unido.
O Brexit criou dois programas de conformidade com o GDPR?
Não necessariamente. As organizações podem operar um programa de privacidade unificado, com camadas de conformidade separadas para o Reino Unido e para a UE.
O que mudou com o Data (Use and Access) Act 2025?
O DUAA alterou o UK GDPR e o DPA 2018 em várias áreas, incluindo decisões automatizadas, pesquisa científica, proteção de crianças, procedimentos de reclamação, avisos de privacidade, poderes regulatórios e iniciativas de identidade digital e smart data. O ICO confirma que todas as disposições pertinentes de proteção de dados já estão em vigor.
Conformidade com o UK GDPR e o EU GDPR com a RegulatoryBridge
Gerenciar a conformidade em privacidade do Reino Unido e da UE por meio de sistemas totalmente separados pode gerar duplicação desnecessária.
A RegulatoryBridge ajuda organizações a criar um único programa de privacidade coordenado, que abrange o UK GDPR, o EU GDPR e outros marcos regulatórios globais de privacidade.
Nosso suporte pode incluir:
- Avaliações de conformidade com o UK GDPR
- Avaliações de conformidade com o EU GDPR
- Suporte de representante do artigo 27 no Reino Unido e na UE
- Mapeamento e inventário de dados
- Revisões de avisos de privacidade
- Gestão de DSARs
- Governança do DPO
- Suporte a DPIA
- Avaliações de transferências internacionais
- Avaliação de IDTA / SCC
- Conformidade de cookies e consentimento
- Avaliações de fornecedores e operadores
- Planejamento de resposta a violações de dados
- Monitoramento regulatório
- Governança de privacidade em várias jurisdições
- Gestão contínua da conformidade
Cubra UK GDPR e EU GDPR em um único programa.
Mapeie os controles uma vez e cumpra duas. A RegulatoryBridge oferece um único pipeline de DSAR, um único DPO, um único runbook de violações - cobrindo ambas as estruturas.