UK GDPR и GDPR ЕС имеют общие регуляторные корни, но после выхода Великобритании из Европейского союза это отдельные правовые режимы. UK GDPR действует наряду с законом Data Protection Act 2018 (DPA 2018) и другим британским законодательством о конфиденциальности. Закон Data (Use and Access) Act 2025 (DUAA) также внёс дополнительные поправки в британский режим защиты данных, и все соответствующие положения о защите данных уже вступили в силу. Организациям, работающим в Великобритании и ЕС, важно понимать, где два режима по-прежнему согласованы, а где разошлись, - без этого невозможно поддерживать эффективное соответствие в области конфиденциальности. В этом руководстве требования UK GDPR и GDPR ЕС сравниваются по следующим темам: территориальная сфера действия, представители, инспекторы по защите данных, международная передача данных, данные детей, автоматизированное принятие решений, правоприменение и права физических лиц.
Сравнение: UK GDPR против GDPR ЕС
| Параметр | 🇬🇧 UK GDPR | 🇪🇺 GDPR ЕС |
|---|---|---|
| Основной нормативный режим | UK GDPR + DPA 2018 + применимые поправки | Регламент (ЕС) 2016/679 |
| Действующий режим Великобритании | UK GDPR с поправками, включая изменения, внесённые DUAA 2025 | GDPR ЕС |
| Основной регулятор | Information Commissioner's Office (ICO) | Национальные надзорные органы, координируемые EDPB |
| Дата начала применения | UK GDPR применяется с 1 января 2021 года | 25 мая 2018 года |
| Максимальный штраф | До 17,5 млн фунтов стерлингов или 4% мирового годового оборота - в зависимости от того, какая сумма больше | До 20 млн евро или 4% мирового годового оборота - в зависимости от того, какая сумма больше |
| Инспектор по защите данных | Обязателен в случаях, установленных UK GDPR и DPA | Обязателен в случаях, установленных статьёй 37 |
| Представитель в Великобритании | Может требоваться от некоторых организаций за пределами Великобритании | Не применяется в рамках GDPR ЕС |
| Представитель в ЕС | Может требоваться от некоторых организаций за пределами ЕС | Может требоваться по статье 27 |
| Международная передача данных | Британские положения об адекватности, UK IDTA, UK Addendum, BCRs и другие механизмы | Решения ЕС об адекватности, SCCs ЕС, BCRs и другие механизмы главы V |
| Уведомление об утечке данных | Как правило, 72 часа, если требуется уведомление ICO | Как правило, 72 часа, если требуется уведомление надзорного органа |
| Переносимость данных | Да | Да |
| Защита детей в интернете | Особые требования Великобритании, включая положения DUAA о повышенной защите детей | Гарантии GDPR, а также национальные требования и требования ЕС |
| Файлы cookie / электронный маркетинг | PECR | Директива ePrivacy в том виде, в каком она имплементирована на национальном уровне |
| Автоматизированное принятие решений | Особый режим Великобритании с поправками DUAA | Статья 22 GDPR |
| Структура регулирования | Единый надзорный орган Великобритании | Несколько национальных надзорных органов + EDPB |
| Отношения после Брексита | Отдельный правовой режим Великобритании | Отдельный правовой режим ЕС |
Что такое UK GDPR?
UK GDPR - это режим защиты данных, действующий в Великобритании после Брексита.
Он во многом основан на GDPR ЕС, но действует как часть внутреннего права Великобритании и применяется вместе с законом Data Protection Act 2018, правилами Privacy and Electronic Communications Regulations (PECR), законом Data (Use and Access) Act 2025, а также другим применимым британским законодательством и отраслевыми требованиями.
DUAA 2025 не заменяет UK GDPR и DPA 2018, а вносит в них поправки. ICO подтверждает, что положения о защите данных, введённые DUAA, уже вступили в силу.
UK GDPR по-прежнему регулирует, в частности, следующие области:
- Обработка персональных данных
- Уведомления о конфиденциальности
- Правовые основания
- Права физических лиц
- Безопасность данных
- Защита данных на этапе проектирования
- Международная передача данных
- Подотчётность
- Отношения между контролёром и обработчиком
Что такое GDPR ЕС?
Общий регламент по защите данных (GDPR) - это комплексный нормативный режим Европейского союза в области защиты данных.
Он действует во всех государствах - членах ЕС и может также применяться к организациям за пределами ЕС, если выполнены территориальные условия статьи 3.
GDPR ЕС устанавливает требования в следующих областях:
- Законность, справедливость и прозрачность
- Ограничение целей
- Минимизация данных
- Точность
- Ограничение хранения
- Целостность и конфиденциальность
- Подотчётность
- Права физических лиц
- Международная передача данных
Соблюдение GDPR обеспечивают национальные надзорные органы, а Европейский совет по защите данных (EDPB) отвечает за единообразие и координацию в масштабе ЕС.
UK GDPR vs GDPR ЕС: ключевые различия
1. Отдельные правовые режимы
До Брексита на Великобританию как на государство - член ЕС распространялся GDPR ЕС.
UK GDPR
С 1 января 2021 года в Великобритании действует собственная версия GDPR - UK GDPR.
Парламент Великобритании может самостоятельно вносить поправки в UK GDPR.
EU GDPR
Хотя два режима по-прежнему во многом согласованы, теперь они могут развиваться независимо друг от друга.
Институты ЕС могут изменять или дополнять GDPR ЕС посредством законодательства и судебной практики ЕС.
Главный вывод: Организациям не следует полагать, что соответствие одному режиму автоматически гарантирует соответствие другому.
2. Органы по защите данных
UK GDPR
Information Commissioner's Office (ICO) - основной регулятор Великобритании в области защиты данных.
ICO расследует жалобы, издаёт регуляторные разъяснения и может применять меры принуждения к организациям, на которые распространяется британское законодательство о защите данных.
EU GDPR
GDPR ЕС применяется через национальные надзорные органы в каждом государстве - члене ЕС.
EDPB содействует сотрудничеству, единообразию и разрешению споров между надзорными органами.
Практическое различие: международная организация может иметь дело с ICO в Великобритании и с одним или несколькими надзорными органами ЕС - в зависимости от места учреждения, операций по обработке и предусмотренного GDPR механизма «единого окна».
3. Максимальные административные штрафы
UK GDPR
За серьёзные нарушения штрафы по UK GDPR могут достигать 17,5 млн фунтов стерлингов или 4% мирового годового оборота - в зависимости от того, какая сумма больше.
EU GDPR
За отдельные серьёзные нарушения штрафы по GDPR ЕС могут достигать 20 млн евро или 4% мирового годового оборота - в зависимости от того, какая сумма больше.
Таким образом, максимум в процентах в целом совпадает, а фиксированные денежные суммы различаются.
4. Представители по статье 27
Брексит создал важное различие для международных организаций.
Представитель в Великобритании
Организации за пределами Великобритании может потребоваться назначить представителя в Великобритании, если выполнены условия положений UK GDPR о представителях.
Представитель в ЕС
Организации за пределами ЕС аналогичным образом может потребоваться назначить представителя в ЕС по статье 27 GDPR, если применяются соответствующие условия.
Нужны ли организациям оба представителя? Возможно, да. Компании, которая учреждена за пределами и Великобритании, и ЕС и самостоятельно отвечает условиям территориальной сферы действия обоих режимов, могут потребоваться и представитель в ЕС, и представитель в Великобритании. Обязанности, связанные с представителем, следует оценивать отдельно по праву каждой юрисдикции.
5. Международная передача данных
Международная передача данных - одна из областей, где требования Великобритании и ЕС разошлись.
UK GDPR
Британские организации могут использовать, в частности, следующие механизмы:
- Британские положения об адекватности
- Британское соглашение о международной передаче данных (IDTA)
- Британское дополнение (UK Addendum) к стандартным договорным условиям ЕС
- Обязательные корпоративные правила
- Другие разрешённые механизмы передачи
В Великобритании действуют собственный режим адекватности и собственные оценки передачи. Действующие разъяснения ICO подтверждают, что британские правила международной передачи данных применяются независимо от режима передачи ЕС.
EU GDPR
Организации ЕС могут опираться, в частности, на следующие механизмы:
- Решения ЕС об адекватности
- Стандартные договорные условия ЕС
- Обязательные корпоративные правила
- Применимые исключения
Передача данных между Великобританией и ЕС: между Великобританией и ЕС действуют договорённости, обеспечивающие потоки персональных данных между двумя юрисдикциями. Однако организациям следует следить за статусом этих договорённостей и вести документацию по передаче, а не считать, что потоки данных между Великобританией и ЕС навсегда свободны от ограничений.
6. Инспекторы по защите данных
UK GDPR
UK GDPR сохраняет режим DPO, основанный на статье 37 GDPR, наряду с особыми законодательными требованиями Великобритании. DPO обязателен в установленных случаях, включая отдельные виды:
- Обработки, осуществляемой органами публичной власти
- Масштабного регулярного и систематического мониторинга
- Масштабной обработки особых категорий персональных данных
EU GDPR
GDPR ЕС содержит по существу аналогичные требования в статье 37.
Главный вывод: Требования Великобритании и ЕС к DPO в целом остаются согласованными, но организациям следует оценивать каждую юрисдикцию отдельно.
7. Автоматизированное принятие решений
Автоматизированное принятие решений - область, где право Великобритании и право ЕС развиваются по-разному.
UK GDPR
Закон Data (Use and Access) Act 2025 изменил британский режим принятия решений исключительно на основе автоматизированной обработки.
Новый режим допускает отдельные значимые решения, основанные исключительно на автоматизированной обработке, если соблюдены установленные гарантии и условия.
ICO отмечает, что DUAA внёс изменения, касающиеся автоматизированного принятия решений и связанных с ним гарантий.
EU GDPR
Статья 22 GDPR ЕС предусматривает особые меры защиты в отношении решений, которые основаны исключительно на автоматизированной обработке и влекут юридические или аналогичные по значимости последствия.
Если задействованы системы ИИ, организации должны учитывать и другое применимое законодательство ЕС, включая EU AI Act.
Главный вывод: Больше нельзя считать, что в двух режимах действуют одинаковые правила автоматизированного принятия решений.
8. Данные детей
UK GDPR
В Великобритании действуют особые требования в отношении детей и онлайн-сервисов.
DUAA ввёл обязанность учитывать вопросы повышенной защиты детей: при внедрении мер защиты данных для соответствующих онлайн-сервисов организации должны принимать во внимание потребности детей.
Кодекс ICO Age Appropriate Design Code также остаётся важным ориентиром для соответствия в Великобритании применительно к онлайн-сервисам, которыми с высокой вероятностью пользуются дети.
EU GDPR
GDPR ЕС содержит особые меры защиты детей.
Для отдельных услуг информационного общества, предлагаемых непосредственно детям, статья 8 устанавливает по умолчанию возраст 16 лет для обработки на основании согласия, хотя государства - члены ЕС могут снизить его, но не ниже 13 лет.
Государства-члены и изменения в регулировании на уровне ЕС могут создавать дополнительные требования.
Главный вывод: Соответствие в области конфиденциальности детей требует отдельных оценок для Великобритании и ЕС.
9. Файлы cookie и электронный маркетинг
UK GDPR
Британские правила Privacy and Electronic Communications Regulations (PECR) регулируют, в частности, следующие области:
- Файлы cookie и аналогичные технологии
- Электронный маркетинг
- Сообщения прямого маркетинга
- Данные о трафике и местоположении
DUAA внёс изменения, которые позволяют использовать отдельные файлы cookie с низкой степенью вмешательства без согласия, если выполнены установленные законом условия.
EU GDPR
Директива ЕС ePrivacy, имплементированная в законах государств-членов, остаётся основным актом, который наряду с GDPR регулирует файлы cookie и электронные коммуникации.
Поэтому регуляторная среда может различаться в разных государствах - членах ЕС.
Главный вывод: Решение для получения согласия на файлы cookie, разработанное для Великобритании, не следует автоматически разворачивать на всех рынках ЕС без проверки по каждой юрисдикции.
10. Уведомления о конфиденциальности и прозрачность
Основополагающие принципы прозрачности остаются очень схожими. Оба режима, как правило, требуют, чтобы организации разъясняли:
UK GDPR
- Кто обрабатывает данные
- Зачем обрабатываются данные
- Категории персональных данных
- Правовое основание
- Получателей
EU GDPR
- Сроки хранения
- Международную передачу данных
- Права физических лиц
- Механизмы подачи жалоб
- Автоматизированное принятие решений, где применимо
Организациям, работающим в Великобритании и ЕС, следует сохранять возможность обновлять уведомления, когда право Великобритании или ЕС расходится. DUAA также внёс точечные изменения в требования к прозрачности для отдельных видов обработки в целях исследований, архивирования и статистики.
11. Права физических лиц
UK GDPR и GDPR ЕС по-прежнему предусматривают в целом схожие права физических лиц, в том числе:
UK GDPR
- Право на доступ
- Право на исправление
- Право на удаление
- Право на ограничение обработки
EU GDPR
- Право на переносимость данных
- Право на возражение
- Право на отзыв согласия
- Права в отношении отдельных видов автоматизированного принятия решений
Однако поправки, вносимые британским законодательством, со временем могут создавать различия. Поэтому организациям, которые ведут обе программы, следует поддерживать рабочие процессы по правам отдельно для каждой юрисдикции.
12. Защита данных на этапе проектирования
UK GDPR
И UK GDPR, и GDPR ЕС требуют, чтобы организации внедряли защиту данных на этапе проектирования и по умолчанию.
Британский режим теперь дополнен через DUAA соображениями защиты детей.
EU GDPR
Это означает, что конфиденциальность и безопасность следует учитывать на протяжении всего жизненного цикла операции по обработке, а не добавлять их после запуска.
13. Уведомление об утечке данных
UK GDPR
Контролёр, как правило, обязан уведомить ICO об утечке персональных данных, подпадающей под требования, без неоправданной задержки и, если это возможно, в течение 72 часов после того, как ему стало известно об утечке.
Если утечка может повлечь высокий риск для физических лиц, может потребоваться уведомить и затронутых лиц.
EU GDPR
GDPR ЕС использует тот же базовый порядок статьи 33: без неоправданной задержки и, если это возможно, в течение 72 часов после того, как стало известно об утечке, подпадающей под требования.
Главный вывод: Базовый порядок уведомления об утечках остаётся в высокой степени согласованным, но организации должны определить, какой регулятор и какие требования конкретной юрисдикции применимы.
14. Оценка воздействия на защиту данных
Оба режима сохраняют понятие оценки воздействия на защиту данных (DPIA). DPIA, как правило, требуется, когда обработка может повлечь высокий риск для прав и свобод физических лиц.
UK GDPR
Примеры могут включать:
- Масштабный мониторинг
- Масштабную обработку чувствительных данных
- Профилирование
- Отдельные системы ИИ
- Инновационные технологии, сопряжённые со значительными рисками для конфиденциальности
EU GDPR
Оценка должна определять:
- Операции по обработке
- Необходимость и соразмерность
- Риски
- Меры по снижению рисков
- Остаточные риски
- Обязанности в области управления
15. Данные особых категорий
Оба режима сохраняют усиленную защиту данных особых категорий.
UK GDPR
Примеры:
- Сведения о здоровье
- Генетические данные
- Биометрические данные, используемые для идентификации
- Расовое или этническое происхождение
- Политические взгляды
- Религиозные или философские убеждения
- Членство в профсоюзах
- Половая жизнь или сексуальная ориентация
EU GDPR
Право Великобритании содержит дополнительные, специфичные для неё законодательные условия и исключения, предусмотренные DPA 2018.
Поэтому организациям следует в соответствующих случаях проверять специфичные для Великобритании условия Приложения 1 (Schedule 1), а не считать соответствие статье 9 автоматически достаточным.
16. Исследования, архивирование и статистика
UK GDPR
Через DUAA Великобритания внесла особые поправки, затрагивающие обработку в целях исследований, архивирования и статистики.
Закон уточняет отдельные понятия, связанные с исследованиями, и создаёт дополнительную гибкость, сохраняя при этом гарантии.
ICO подтверждает, что DUAA содержит изменения, касающиеся научных исследований, включая коммерческие научные исследования, и уточняет отдельные положения об исследованиях.
EU GDPR
GDPR ЕС также содержит положения, поддерживающие обработку в целях научных или исторических исследований и в статистических целях, однако законодательные режимы не идентичны.
UK GDPR vs GDPR ЕС: что строже?
Было бы неточно называть один из режимов более строгим во всех отношениях.
Два режима остаются в высокой степени согласованными в таких основных областях, как:
- Принципы защиты данных
- Правовые основания
- Права физических лиц
- Подотчётность
- Безопасность
- DPIA
- Требования к DPO
- Уведомление об утечке данных
Однако различия приобретают всё большее значение в следующих областях:
- Автоматизированное принятие решений
- Защита детей
- Международная передача данных
- Файлы cookie и электронные коммуникации
- Исследования
- Регуляторное правоприменение
- Специфичные для Великобритании поправки, внесённые DUAA
Для международных организаций лучший подход - поддерживать общую систему мер контроля GDPR с дополнительными слоями для Великобритании и для ЕС.
Может ли одна программа охватить UK GDPR и GDPR ЕС?
Да. Общая система управления конфиденциальностью может значительно сократить дублирование работы по соответствию. Однако организациям следует поддерживать отдельные меры контроля по юрисдикциям там, где право Великобритании и ЕС различается.
1. Централизованный реестр данных
Ведите единый глобальный реестр, охватывающий:
- Персональные данные
- Цели обработки
- Субъектов данных
- Контролёров
- Обработчиков
- Получателей
- Места хранения
- Сроки хранения
- Международную передачу данных
2. Единое управление правами
Рабочий процесс должен определять, подпадает ли запрос под UK GDPR, GDPR ЕС или под оба режима.
Централизованный рабочий процесс DSAR может охватывать:
- Запросы на доступ
- Исправление
- Удаление
- Ограничение обработки
- Переносимость
- Возражения
- Права в отношении автоматизированных решений
3. Управление передачей данных
Используйте надлежащий механизм передачи для каждой юрисдикции.
Ведите отдельный учёт передач для следующих категорий:
- Международная передача данных из Великобритании
- Международная передача данных из ЕС
- Передача данных между Великобританией и ЕС
- Передача данных в третьи страны
4. Управление уведомлениями о конфиденциальности
Часто можно использовать общее базовое уведомление о конфиденциальности, но там, где требования различаются, организациям следует вести отдельные разделы для Великобритании и для ЕС.
5. Соответствие в области файлов cookie и маркетинга
Поддерживайте отдельную логику соответствия для следующего:
- PECR Великобритании
- Требования ePrivacy ЕС
- GDPR / UK GDPR
- Настройки согласия
- Разрешения на маркетинг
6. Реагирование на утечки
Единый процесс реагирования на инциденты должен включать порядок эскалации для каждой юрисдикции. Организации следует определить:
- Какого регулятора необходимо уведомить
- Применимый срок
- Нужно ли уведомлять затронутых физических лиц
- Какие договорные уведомления применимы
- Какие доказательства необходимо сохранить
7. Регуляторный мониторинг
За требованиями Великобритании и ЕС в области конфиденциальности следует следить по отдельности.
Это становится всё важнее, поскольку Великобритания может изменять свой режим независимо от развития законодательства ЕС.
Часто задаваемые вопросы
UK GDPR и GDPR ЕС - это одно и то же?
Нет. У них общая регуляторная основа, и они остаются очень схожими, но это отдельные правовые режимы, которые могут развиваться независимо.
Нужно ли соблюдать и UK GDPR, и GDPR ЕС?
Возможно. Организации может потребоваться соблюдать UK GDPR в отношении операций по обработке в Великобритании и GDPR ЕС, если её деятельность подпадает под территориальную сферу действия GDPR ЕС.
Нужны ли мне и представитель в Великобритании, и представитель в ЕС?
Возможно. Если организация, учреждённая за пределами обеих юрисдикций, отвечает соответствующим условиям статьи 27 для Великобритании и для ЕС, ей могут потребоваться отдельные представители в каждой юрисдикции.
Строже ли UK GDPR, чем GDPR ЕС?
Не во всём. Режимы остаются тесно согласованными, но у каждого есть требования, специфичные для своей юрисдикции, и со временем они могут расходиться.
Сохраняется ли в UK GDPR требование уведомлять об утечке в течение 72 часов?
Да. При утечках персональных данных, подпадающих под требования, контролёр, как правило, обязан уведомить ICO без неоправданной задержки и, если это возможно, в течение 72 часов после того, как ему стало известно об утечке.
Требует ли UK GDPR по-прежнему назначения DPO?
Да, если выполнены применимые законодательные условия назначения DPO. Неверно утверждать, что британские организации в целом освобождены от требований к DPO, аналогичных статье 37.
Есть ли у Великобритании решение об адекватности по образцу ЕС?
ЕС принял решение об адекватности в отношении Великобритании, которое позволяет передавать подпадающие под него персональные данные из ЕС в Великобританию. Организациям следует отслеживать текущую действительность и условия этого решения, а не полагаться на устаревшие даты истечения срока.
Можно ли использовать одну политику конфиденциальности для клиентов из Великобритании и ЕС?
Часто - да. Общее уведомление о конфиденциальности может охватывать обе группы, но в нём следует учесть различия в регуляторах, представителях, международной передаче данных, файлах cookie, конфиденциальности детей и специфичных для Великобритании правовых требованиях.
Привёл ли Брексит к появлению двух программ соответствия GDPR?
Не обязательно. Организации могут вести единую программу конфиденциальности с отдельными слоями соответствия для Великобритании и для ЕС.
Что изменил закон Data (Use and Access) Act 2025?
DUAA внёс поправки в UK GDPR и DPA 2018 в нескольких областях, включая автоматизированное принятие решений, научные исследования, защиту детей, процедуры рассмотрения жалоб, уведомления о конфиденциальности, полномочия регулятора, а также инициативы в области цифровой идентификации и «умных данных». ICO подтверждает, что все соответствующие положения о защите данных уже вступили в силу.
Соответствие UK GDPR и GDPR ЕС с RegulatoryBridge
Если управлять соответствием в области конфиденциальности в Великобритании и ЕС через полностью раздельные системы, возникает ненужное дублирование.
RegulatoryBridge помогает организациям выстроить одну согласованную программу конфиденциальности, охватывающую UK GDPR, GDPR ЕС и другие мировые нормативные режимы в области конфиденциальности.
Наша поддержка может включать:
- Оценку соответствия UK GDPR
- Оценку соответствия GDPR ЕС
- Поддержку представителя по статье 27 в Великобритании и ЕС
- Картирование и инвентаризацию данных
- Проверку уведомлений о конфиденциальности
- Управление DSAR
- Организацию работы DPO
- Поддержку при подготовке DPIA
- Оценку международной передачи данных
- Оценку IDTA / SCC
- Соответствие в области файлов cookie и согласий
- Оценку поставщиков и обработчиков
- Планирование реагирования на утечки
- Регуляторный мониторинг
- Трансграничное управление конфиденциальностью
- Постоянное управление соответствием
Охватите UK GDPR и GDPR ЕС в рамках одной программы.
Сопоставьте средства контроля один раз, соответствуйте дважды. RegulatoryBridge предоставляет вам единый конвейер DSAR, единого DPO, единый план реагирования на нарушения - охватывающий обе системы.