RGPD vs. RGPD do Reino Unido: Como a Data (Use and Access) Act 2025 Está Criando uma Divergência Real

O RGPD da UE e o RGPD do Reino Unido começaram como textos idênticos após o Brexit. A Data (Use and Access) Act 2025, em vigor desde fevereiro de 2026, criou a primeira divergência material: os interesses legítimos reconhecidos, as regras reformuladas de tomada de decisão automatizada, um mecanismo de pausa do prazo (stop-the-clock) para solicitações de acesso e as isenções de cookies de análise agora se aplicam apenas ao abrigo do regime do Reino Unido.

Quando o Reino Unido deixou a União Europeia em 31 de janeiro de 2020, o RGPD da UE não simplesmente deixou de se aplicar. A European Union (Withdrawal) Act 2018 o manteve no direito interno do Reino Unido, criando o RGPD do Reino Unido. Complementado pela Data Protection Act 2018, o RGPD do Reino Unido inicialmente espelhava o RGPD da UE quase palavra por palavra.

Durante quatro anos, a comparação foi, em grande parte, acadêmica. Então veio a Data (Use and Access) Act 2025 (DUAA). Tendo recebido sanção real em 19 de junho de 2025 e entrado em vigor em fases até o início de 2026, a DUAA introduziu mudanças estruturais no tratamento baseado em interesse legítimo, na tomada de decisão automatizada, nos direitos de acesso do titular, no consentimento de cookies e na própria governança do ICO. Os dois regimes já não são iguais.

Este guia explica como o RGPD do Reino Unido surgiu, o que a DUAA mudou, o estado atual da decisão de adequação da UE e como se configura a conformidade dupla em 2026.

Como Surgiu o RGPD do Reino Unido

O RGPD da UE se aplicou diretamente no Reino Unido de 25 de maio de 2018 a 31 de dezembro de 2020, período em que o Reino Unido era um Estado-membro e, depois, esteve no período de transição pós-saída. Em 1º de janeiro de 2021, o RGPD mantido tornou-se o RGPD do Reino Unido.

O mecanismo técnico foi direto. A Withdrawal Act incorporou o RGPD ao direito interno do Reino Unido e autorizou instrumentos regulamentares para corrigir referências que deixaram de fazer sentido: "a União" passou a ser "o Reino Unido", as instituições da UE passaram a ter equivalentes britânicos, e o Information Commissioner's Office (ICO) tornou-se a única autoridade de supervisão de todo o país, em vez de ser a autoridade nacional de proteção de dados do Reino Unido dentro de uma rede de mais de 30 autoridades europeias.

A Data Protection Act 2018 coexiste com o RGPD do Reino Unido em uma relação que espelha a estrutura da UE: a DPA 2018 estabelece disposições e derrogações específicas do Reino Unido, da mesma forma que os Estados-membros da UE aprovaram legislação nacional de implementação. O regime combinado do RGPD do Reino Unido e da DPA 2018, em 1º de janeiro de 2021, era substancialmente idêntico ao RGPD da UE.

O governo do Reino Unido anunciou, desde cedo, sua intenção de reformar esse regime. Seu primeiro projeto de reforma, o Data Protection and Digital Information Bill, nunca se tornou lei: ainda estava em fase de comissão na Câmara dos Lordes quando o Parlamento foi dissolvido para as eleições gerais de julho de 2024. Muitas de suas ideias retornaram na DUAA 2025.

A Quase Identidade Histórica

De 2021 até a maior parte de 2025, o RGPD do Reino Unido e o RGPD da UE eram funcionalmente equivalentes para quase todos os efeitos práticos. As seis bases legais para o tratamento eram idênticas. Os direitos dos titulares de dados (acesso, retificação, eliminação, portabilidade, limitação, oposição) eram os mesmos. A obrigação de notificação de incidente em 72 horas era a mesma. A proteção de dados desde a concepção, as avaliações de impacto, as exigências relativas ao encarregado, os contratos com operadores e as regras sobre categorias especiais de dados seguiam de perto o texto da UE.

As principais diferenças práticas nesse período eram estruturais: o ICO como única autoridade de supervisão (contra mais de 30 autoridades de proteção de dados da UE), as próprias decisões de adequação do Reino Unido para transferências internacionais, o International Data Transfer Agreement (IDTA) do Reino Unido como equivalente doméstico das Cláusulas Contratuais-Tipo da UE, e o uso da libra esterlina em vez do euro para as multas.

Essa quase identidade foi a base sobre a qual a Comissão Europeia concedeu ao Reino Unido uma decisão de adequação em junho de 2021.

A Data (Use and Access) Act 2025: Onde Começa a Divergência

A DUAA foi promulgada em 19 de junho de 2025. O governo do Reino Unido a apresentou como uma reforma pró-inovação que mantém padrões elevados de proteção de dados e, ao mesmo tempo, reduz encargos de conformidade desnecessários. Críticos, incluindo o CEPD, observaram que algumas mudanças se afastam de forma significativa dos princípios do RGPD da UE.

A maior parte das disposições de proteção de dados da Lei entrou em vigor em 5 de fevereiro de 2026. O dever dos controladores de tratar reclamações de proteção de dados (DPA 2018, artigo 164A) está em vigor desde 19 de junho de 2026. A partir de 30 de setembro de 2026, o cargo de Information Commissioner é extinto e suas funções são transferidas para a Information Commission (SI 2026/1015).

Interesses Legítimos Reconhecidos

A mudança estruturalmente mais significativa é a criação de uma nova base legal: os "interesses legítimos reconhecidos", nos termos do Artigo 6 do RGPD do Reino Unido (inserida pelo artigo 70 e pelo Anexo 4 da DUAA).

Sob o RGPD da UE, toda invocação do interesse legítimo como base legal exige uma Avaliação de Interesse Legítimo (Legitimate Interests Assessment, LIA) que pondera o interesse do controlador em face dos direitos e liberdades do titular dos dados. Não há atalhos. O RGPD do Reino Unido mantém essa exigência de ponderação integral para invocações gerais de interesse legítimo.

No entanto, o Anexo 4 da DUAA insere uma lista de "interesses legítimos reconhecidos" específicos, para os quais não é exigido nenhum teste de ponderação. As categorias listadas são:

• Prevenção e detecção de crimes, incluindo a prevenção de fraudes
• Salvaguarda de pessoas vulneráveis (proteção de uma pessoa contra negligência ou dano físico, mental ou emocional)
• Resposta a emergências, conforme definidas na Civil Contingencies Act 2004
• Segurança nacional, segurança pública e defesa
• Assistência a órgãos públicos no cumprimento de tarefas de interesse público sancionadas por lei

Para essas categorias específicas, um controlador pode se apoiar no fundamento do interesse legítimo reconhecido sem realizar ou documentar um teste de ponderação. O titular dos dados ainda mantém o direito de oposição nos termos do Artigo 21, mas o tratamento é presumidamente lícito.

A transmissão intragrupo de dados pessoais para fins administrativos internos não está nessa lista. O Artigo 6(11) do RGPD do Reino Unido, inserido pela DUAA, cita esse caso ao lado do marketing direto e da segurança de redes e sistemas de informação como exemplos de tratamento que pode ser necessário para um interesse legítimo. Esses exemplos continuam sujeitos ao interesse legítimo comum do Artigo 6(1)(f), portanto o teste de ponderação continua a se aplicar.

O RGPD da UE não tem disposição equivalente. O tratamento baseado em interesse legítimo na UE sempre exige um teste de ponderação, independentemente da finalidade. Esta é uma área de divergência substantiva real.

Tomada de Decisão Automatizada

O Artigo 22 do RGPD confere aos titulares de dados da UE o direito de não ficarem sujeitos a decisões baseadas exclusivamente em tratamento automatizado que produzam efeitos jurídicos ou similarmente significativos, com exceções limitadas. Historicamente, isso tem sido uma restrição relevante para a definição de perfis totalmente automatizada, a pontuação de crédito e sistemas semelhantes.

A DUAA substitui o Artigo 22 do RGPD do Reino Unido pelos novos Artigos 22A a 22D (artigo 80 e Anexo 6). O regime reformado do Reino Unido é descrito pelo governo como "mais permissivo". As principais mudanças são:

• As decisões totalmente automatizadas significativas (aquelas com efeitos jurídicos ou similarmente significativos) agora são restringidas em dois casos. Quando a decisão se baseia total ou parcialmente em dados de categoria especial, ela só é permitida com o consentimento explícito do titular dos dados, ou quando for necessária para um contrato, ou exigida ou autorizada por lei, e a condição de interesse público substancial do Artigo 9(2)(g) se aplicar. Quando o tratamento se apoia em interesses legítimos reconhecidos (Artigo 6(1)(ea)), uma decisão totalmente automatizada significativa não pode ser tomada de forma alguma (Artigo 22B).
• Para as demais decisões de ADM, as organizações devem oferecer transparência, permitir que o titular apresente suas alegações e oferecer, mediante solicitação, uma via de intervenção humana.
• Em contextos de aplicação da lei, uma nova "isenção de revisão humana ativa" permite decisões automatizadas desfavoráveis sem revisão humana imediata, caso essa revisão possa obstruir uma investigação ou comprometer a segurança nacional, desde que a reconsideração humana ocorra assim que razoavelmente possível.

O efeito prático é que uma gama mais ampla de decisões automatizadas passa a ser lícita no Reino Unido, sem acionar as proteções integrais do Artigo 22. Um sistema construído sob o regime mais permissivo do Reino Unido pode não estar em conformidade com o RGPD da UE em relação aos titulares de dados da UE. O ICO consultou sobre uma minuta de orientação de ADM atualizada para a DUAA (minuta atualizada por último em 31 de março de 2026).

Pausa do Prazo (Stop-the-Clock) das Solicitações de Acesso

O artigo 76 da DUAA introduz um mecanismo de "pausa do prazo" (stop-the-clock) para as solicitações de acesso do titular (subject access requests, SARs), sem equivalente no RGPD da UE.

Sob ambos os regimes, os controladores devem responder às solicitações de acesso em até um mês corrido (prorrogável por mais dois meses em caso de solicitações complexas ou numerosas). Sob o RGPD da UE, esse prazo corre de forma contínua a partir do recebimento da solicitação.

Sob o RGPD do Reino Unido, na sua versão alterada, o prazo de resposta é pausado quando o controlador precisa que o titular esclareça ou refine sua solicitação, ou forneça informações adicionais para localizar os dados relevantes. O prazo para de correr quando o esclarecimento é solicitado e volta a correr quando o esclarecimento é recebido.

O artigo 78 também codifica que as buscas para atender a uma solicitação de acesso precisam apenas ser "razoáveis e proporcionais", princípio anteriormente estabelecido somente pela jurisprudência britânica.

O mecanismo de pausa do prazo dá aos controladores do Reino Unido mais flexibilidade para lidar com solicitações de acesso complexas. Os controladores da UE não dispõem de ferramenta equivalente: qualquer pedido de esclarecimento precisa ser administrado dentro do prazo de um mês, que continua correndo.

Reformas de Cookies e da PECR

As Privacy and Electronic Communications Regulations 2003 (PECR) implementam a Diretiva ePrivacy da UE no direito do Reino Unido e regulam cookies e tecnologias de rastreamento semelhantes. Historicamente, a PECR exigia consentimento prévio para todos os cookies não essenciais, gerando os já conhecidos banners de consentimento de cookies em sites de todo o Reino Unido e da UE.

A DUAA altera a PECR para criar três novas categorias de tecnologias de armazenamento e acesso isentas de consentimento (em vigor desde 5 de fevereiro de 2026):

1. Cookies estatísticos: cookies de análise usados para medir e melhorar o desempenho do site, desde que os dados não sejam usados para outras finalidades e seja oferecida aos usuários uma opção gratuita de exclusão (opt-out).
2. Cookies de aparência: cookies que memorizam preferências do usuário, como idioma ou configurações de exibição, quando é oferecida uma opção gratuita de exclusão.
3. Cookies de assistência emergencial: armazenamento ou acesso cujo único propósito é localizar um usuário que solicitou assistência emergencial ou cuja comunicação demonstre que ele precisa dela.

Para os cookies estatísticos e de aparência, a isenção se aplica apenas se os usuários receberem informações claras e completas e um meio simples e gratuito de se opor. O ICO finalizou sua orientação sobre tecnologias de armazenamento e acesso em 29 de abril de 2026.

Na UE, a Diretiva ePrivacy não foi alterada. Todos os cookies não essenciais ainda exigem consentimento prévio (opt-in). O já longamente debatido Regulamento ePrivacy continua sem ser promulgado. Sites do Reino Unido agora podem usar cookies de análise sem banner de consentimento (desde que ofereçam a opção de exclusão), enquanto os mesmos cookies em uma página voltada para a UE ainda exigem consentimento prévio.

Separadamente, a DUAA eleva a multa máxima da PECR de £500.000 para £17,5 milhões ou 4% do faturamento anual global (o que for maior), equiparando-a aos níveis de penalidade do RGPD do Reino Unido. Isso alinha a fiscalização das comunicações eletrônicas à fiscalização da proteção de dados.

Disposições sobre Pesquisa Científica

Os artigos 67 e 68 da DUAA esclarecem e ampliam as disposições do Reino Unido sobre pesquisa. Duas mudanças são relevantes.

Primeiro, a definição de "pesquisa científica" passa a constar da legislação primária (antes, estava apenas nos considerandos) e inclui expressamente a pesquisa científica comercial, por exemplo, uma empresa farmacêutica que realiza ensaios clínicos. Isso elimina a ambiguidade sobre se entidades de pesquisa comercial se beneficiam das flexibilidades de tratamento para fins de pesquisa.

Segundo, a DUAA viabiliza o "consentimento amplo" para a pesquisa científica: quando não for razoavelmente possível definir finalidades de pesquisa específicas no início, um consentimento mais amplo, que abranja áreas de pesquisa relacionadas, é válido. Isso reflete a prática comum em estudos longitudinais e biobancos.

Sob o RGPD da UE, esses princípios existem nos considerandos e no Artigo 89, mas têm sido interpretados de forma mais restritiva em alguns Estados-membros. A codificação do Reino Unido oferece maior segurança jurídica.

Esquemas de Dados Inteligentes (Smart Data)

A Parte 1 da DUAA estabelece um regime legal para os "esquemas de dados inteligentes" (smart data schemes). Trata-se de algo separado das mudanças centrais do RGPD do Reino Unido, mas relevante para profissionais da área de dados.

Os esquemas de dados inteligentes ampliam o modelo de Open Banking do Reino Unido (que permite que clientes compartilhem dados financeiros com terceiros autorizados por meio de APIs) para outros setores. O Secretário de Estado e o HM Treasury podem designar "detentores de dados" em qualquer setor (energia, hipotecas, seguros, previdência, entre outros) para disponibilizar dados de clientes, mediante solicitação, a terceiros autorizados.

Em 2025, aproximadamente um em cada cinco consumidores e empresas do Reino Unido usava serviços de Open Banking. A DUAA confere ao Open Banking uma base legal formal e cria a infraestrutura jurídica para estender o modelo a toda a economia. A meta do governo é ter mais de 20 novos esquemas de dados inteligentes até 2035.

Os esquemas de dados inteligentes não alteram diretamente o RGPD do Reino Unido, mas os dados compartilhados por meio de um esquema de dados inteligentes devem cumprir as exigências do RGPD do Reino Unido aplicáveis a cada controlador envolvido.

O ICO Se Torna a Information Commission

A Parte 6 da DUAA substitui o Information Commissioner pela Information Commission (IC), um órgão liderado por um conselho, com presidente e diretor executivo, em vez de um único Information Commissioner. A partir de 30 de setembro de 2026, o cargo de Information Commissioner é extinto e suas funções são transferidas para a Information Commission (DUAA, artigos 118 e 119; SI 2026/1015). O regulador continua a ser conhecido como ICO.

A Information Commission também terá o dever legal de considerar a conveniência de promover a inovação no exercício de suas funções. Críticos observam que isso cria uma tensão com a exigência do RGPD da UE de que as autoridades de supervisão atuem com "total independência" (Artigo 52) e sem objetivos comerciais concorrentes.

Os sete membros não executivos nomeados para o novo Information Commission Board em julho de 2026 assumem seus cargos em 30 de setembro de 2026.

A DUAA também conferiu ao ICO ferramentas de fiscalização reforçadas: o poder de exigir que os controladores contratem auditorias independentes às suas próprias custas, e um novo poder de exigir que indivíduos compareçam a entrevistas e respondam a perguntas (notificações de entrevista).

A Decisão de Adequação da UE: Renovada até 2031

Quando o Reino Unido deixou o mercado único da UE em 1º de janeiro de 2021, o Capítulo V do RGPD (Artigos 44 a 49) passou a exigir que as organizações contassem com uma decisão de adequação, Cláusulas Contratuais-Tipo, Normas Corporativas Vinculativas ou outro mecanismo aprovado antes de transferir dados pessoais da UE para o Reino Unido.

A Comissão Europeia adotou uma decisão de adequação para o Reino Unido em junho de 2021, determinando que o regime do Reino Unido oferecia proteção essencialmente equivalente. As decisões originais continham uma cláusula de caducidade de quatro anos e estavam previstas para expirar em junho de 2025. Em junho de 2025, a Comissão adotou uma prorrogação técnica de seis meses, até 27 de dezembro de 2025, enquanto avaliava a DUAA.

A Renovação de Dezembro de 2025

A Comissão renovou as duas decisões de adequação do Reino Unido (uma nos termos do RGPD da UE, outra nos termos da Diretiva de Aplicação da Lei) em 19 de dezembro de 2025. As decisões renovadas se estendem até 27 de dezembro de 2031, uma prorrogação de seis anos.

Ao renovar, a Comissão avaliou o regime de proteção de dados do Reino Unido, incluindo a recém-promulgada DUAA 2025, e concluiu que a proteção permanece "essencialmente equivalente" aos padrões da UE, não obstante as reformas da DUAA.

O CEPD havia adotado seus pareceres sobre as minutas das decisões de adequação em 20 de outubro de 2025, apoiando a prorrogação, mas levantando preocupações específicas:

• Poderes do Secretário de Estado: a autoridade para alterar as regras de tomada de decisão automatizada, os mecanismos de transferência internacional e a governança do ICO por meio de legislação secundária, com escrutínio parlamentar limitado, deve ser monitorada.
• Teste de adequação posterior do Reino Unido: o novo padrão do Reino Unido para avaliações de adequação de terceiros países (proteção "não substancialmente inferior") omite elementos que constavam do teste anterior do Reino Unido, o que pode viabilizar transferências posteriores a países que não atenderiam aos padrões de adequação da UE.
• Estrutura e independência do ICO: as mudanças na governança do ICO e seu novo dever de considerar a inovação exigem avaliação contínua.
• Isenções de segurança nacional: as Technical Capability Notices, que permitem contornar a criptografia, e as isenções de segurança nacional aos princípios de proteção de dados, merecem monitoramento atento.

A presidente do CEPD, Anu Talus, declarou que o Comitê "recebe com satisfação o alinhamento contínuo entre o regime de proteção de dados do Reino Unido e da Europa", ao mesmo tempo em que pediu um monitoramento eficaz ao longo do período de seis anos.

O Que a Adequação Significa na Prática

A decisão de adequação abrange as transferências de dados pessoais dos Estados-membros da UE e do EEE para o Reino Unido. Na prática:

• As organizações do Reino Unido que recebem dados pessoais de controladores da UE/EEE não precisam de Cláusulas Contratuais-Tipo, Normas Corporativas Vinculativas ou outras salvaguardas de transferência.
• Os controladores da UE que enviam dados a operadores ou controladores conjuntos do Reino Unido podem fazê-lo livremente.
• Caso a decisão seja revogada ou suspensa, toda transferência desse tipo passaria a exigir imediatamente um mecanismo alternativo.

As transferências do Reino Unido para a UE são tratadas separadamente: o Reino Unido reconheceu a UE/EEE como adequada nos termos de seus próprios regulamentos de adequação, de modo que essas transferências também fluem sem salvaguardas adicionais.

Fiscalização: ICO vs. Autoridades de Proteção de Dados da UE

Os patamares de penalidade são, em termos monetários, amplamente equivalentes. Para organizações sujeitas aos dois reguladores, um incidente que afete titulares de dados tanto do Reino Unido quanto da UE exige notificação separada ao ICO e à autoridade líder da UE competente, em até 72 horas após a tomada de conhecimento.

A Divergência Ameaça a Adequação?

A renovação de dezembro de 2025 confirma que os níveis atuais de divergência estão dentro da tolerância de "equivalência essencial" da Comissão. As quatro áreas com maior probabilidade de atrair escrutínio no período de 2025 a 2031 são:

Transferências posteriores: o novo padrão do Reino Unido de proteção "não substancialmente inferior" para a adequação de terceiros países pode permitir transferências posteriores, pelo lado do Reino Unido, a países não reconhecidos pela UE. Dados da UE que fluem para o Reino Unido e, em seguida, são transferidos a um país com proteção inferior podem comprometer a lógica da adequação.

Poderes de legislação secundária: o Secretário de Estado pode alterar ainda mais o regime do RGPD do Reino Unido (incluindo as regras de ADM e os mecanismos de transferência internacional) sem necessidade de legislação primária. Qualquer exercício desses poderes que reduza as proteções aos titulares de dados pode desencadear uma revisão pela Comissão.

Independência do ICO: se os padrões de fiscalização da Information Commission parecerem moldados por considerações comerciais ou de inovação, em vez de pelo direito de proteção de dados, isso pode atrair comentários do CEPD.

Práticas de ADM: se organizações do Reino Unido passarem a operar sistemas de tomada de decisão automatizada que seriam ilícitos sob o Artigo 22 do RGPD da UE, mas são permitidos pelos Artigos 22A a 22D do Reino Unido, e essas decisões afetarem residentes da UE, pode surgir atrito quanto à adequação.

A decisão de adequação pode ser suspensa ou revogada a qualquer momento antes de 2031. As organizações com fluxos significativos de dados da UE para o Reino Unido devem manter, como precaução, Cláusulas Contratuais-Tipo ou IDTAs de contingência.

Comparação Lado a Lado

Conformidade Dupla: Operando os Dois Regimes em 2026

As organizações que coletam dados pessoais de residentes tanto do Reino Unido quanto da UE devem atender aos dois regimes simultaneamente. Os principais passos práticos após a entrada em vigor da DUAA são:

Avisos de privacidade: atualize-os para refletir as bases legais do RGPD do Reino Unido e do RGPD da UE, sempre que forem diferentes. O tratamento apoiado em interesses legítimos reconhecidos sob o direito do Reino Unido ainda exige uma LIA integral para o tratamento voltado à UE. Os avisos devem deixar claro qual autoridade de supervisão (ICO ou a autoridade da UE competente) se aplica a cada tratamento.

Avaliações de interesse legítimo: mantenha LIAs separadas para o tratamento voltado à UE, mesmo quando o tratamento equivalente no Reino Unido se apoie em interesse legítimo reconhecido. A ausência de exigência de LIA no Reino Unido não elimina a obrigação da UE.

Tomada de decisão automatizada: revise toda tomada de decisão totalmente automatizada em face tanto do Artigo 22 (UE) quanto dos novos Artigos 22A a 22D do Reino Unido. Sistemas lícitos sob o regime mais permissivo do Reino Unido ainda devem cumprir as regras mais rígidas da UE em relação aos titulares de dados da UE.

Procedimentos de solicitação de acesso: o mecanismo de pausa do prazo aplica-se apenas às solicitações de acesso sob o RGPD do Reino Unido. As solicitações de acesso sob o RGPD da UE seguem um prazo contínuo de um mês. Quando uma única solicitação abranger dados pessoais tanto do Reino Unido quanto da UE, trate o prazo do RGPD da UE como vinculante.

Consentimento de cookies: as páginas voltadas para a UE continuam a exigir consentimento prévio integral (opt-in) para cookies de análise e de aparência. As páginas voltadas para o Reino Unido podem migrar para um modelo de exclusão (opt-out) nessas categorias de cookies, conforme as isenções da PECR. Considere abordagens baseadas em geolocalização ou em preferências para públicos mistos.

Transferências internacionais: as transferências da UE para o Reino Unido são cobertas pela decisão de adequação. As transferências do Reino Unido para a UE são cobertas pelos regulamentos de adequação do Reino Unido. Mantenha Cláusulas Contratuais-Tipo de contingência para os fluxos da UE ao Reino Unido, como proteção contra uma eventual suspensão da adequação.

Representantes: organizações estabelecidas apenas no Reino Unido (não na UE) precisam de um representante na UE para o tratamento voltado à UE, nos termos do Artigo 27 do RGPD da UE. Organizações estabelecidas apenas na UE precisam de um representante no Reino Unido, nos termos do Artigo 27 do RGPD do Reino Unido. Essas entidades podem ser diferentes.

Notificação de incidentes: um único incidente que afete titulares de dados do Reino Unido e da UE exige notificação tanto ao ICO quanto à autoridade líder da UE competente, em até 72 horas após a tomada de conhecimento.

Para uma análise detalhada do regime do Reino Unido isoladamente, veja nosso guia sobre leis de privacidade de dados do Reino Unido. Para o lado da UE, veja nosso guia sobre as leis de privacidade de dados da UE.

Desenvolvimentos Recentes (2024-2026)

Abril de 2026: o ICO finaliza sua orientação sobre tecnologias de armazenamento e acesso (29 de abril de 2026). Março de 2026: o ICO atualiza sua minuta de orientação de ADM para a DUAA e realiza consulta sobre ela.

Fevereiro de 2026: as principais disposições de proteção de dados da DUAA entram em vigor. Os interesses legítimos reconhecidos, o novo regime de ADM, a pausa do prazo das solicitações de acesso e as isenções de cookies passam a ser operativos. As multas da PECR sobem para o patamar de £17,5 milhões.

Dezembro de 2025: a Comissão Europeia renova as decisões de adequação do Reino Unido para o RGPD e a Diretiva de Aplicação da Lei, válidas até 27 de dezembro de 2031.

Outubro de 2025: o CEPD adota pareceres favoráveis à renovação da adequação, ao mesmo tempo em que sinaliza preocupações a monitorar quanto aos poderes do Secretário de Estado, ao teste de transferência posterior do Reino Unido e à independência do ICO.

Junho de 2025: a DUAA recebe sanção real (19 de junho de 2025). O ICO anuncia uma abordagem proporcional e de apoio à medida que as novas disposições entram em vigor.

Junho de 2021: a Comissão Europeia adota as decisões de adequação originais do Reino Unido.

Janeiro de 2021: o RGPD do Reino Unido passa a existir como direito da UE retido.

Perguntas frequentes

O Reino Unido ainda está coberto pelo RGPD após o Brexit?

O RGPD da UE não se aplica mais diretamente no Reino Unido. Em vez disso, o Reino Unido tem seu próprio RGPD do Reino Unido, mantido no direito interno por meio da European Union (Withdrawal) Act 2018 e complementado pela Data Protection Act 2018. As duas leis começaram praticamente idênticas palavra por palavra, mas a Data (Use and Access) Act 2025, em vigor desde fevereiro de 2026, introduziu diferenças materiais em interesses legítimos, tomada de decisão automatizada, tratamento de solicitações de acesso e consentimento de cookies.

O que é a Data (Use and Access) Act 2025 e quando ela entrou em vigor?

A Data (Use and Access) Act 2025 (DUAA) recebeu sanção real em 19 de junho de 2025. Suas principais disposições de proteção de dados entraram em vigor em 5 de fevereiro de 2026. A Lei altera o RGPD do Reino Unido e a DPA 2018 para introduzir os interesses legítimos reconhecidos (sem necessidade de LIA para as categorias listadas), regras reformuladas de tomada de decisão automatizada, um mecanismo de pausa do prazo para solicitações de acesso, novas isenções de cookies nos termos da PECR, multas mais altas da PECR, disposições ampliadas sobre pesquisa científica e a transição do ICO para a Information Commission.

Os dados pessoais ainda podem fluir livremente entre a UE e o Reino Unido?

Sim. A Comissão Europeia renovou as duas decisões de adequação do Reino Unido em 19 de dezembro de 2025, cobrindo as transferências nos termos do RGPD da UE e da Diretiva de Aplicação da Lei. As decisões renovadas são válidas até 27 de dezembro de 2031. As transferências de dados pessoais da UE para o Reino Unido não exigem Cláusulas Contratuais-Tipo ou outros mecanismos de transferência durante esse período, desde que o tratamento subjacente cumpra, de resto, o RGPD da UE.

O que são os interesses legítimos reconhecidos sob o RGPD do Reino Unido?

Os interesses legítimos reconhecidos são uma nova categoria de base legal para o tratamento, inserida pelo Anexo 4 da DUAA no Artigo 6 do RGPD do Reino Unido. Abrangem a prevenção e detecção de crimes, a salvaguarda de pessoas vulneráveis, a resposta a emergências, a segurança nacional e pública, e a assistência a tarefas de interesse público sancionadas por lei. Ao contrário do tratamento comum baseado em interesse legítimo, essas categorias não exigem uma Avaliação de Interesse Legítimo. As transferências intragrupo para fins administrativos internos não estão nessa lista: a DUAA as cita apenas como exemplo de interesse legítimo comum, que ainda exige o teste de ponderação. O RGPD da UE não tem equivalente: toda invocação de interesse legítimo na UE exige um teste de ponderação integral.

O que mudou nas solicitações de acesso do titular sob a DUAA?

A DUAA introduziu um mecanismo de pausa do prazo: o prazo de resposta de um mês para as solicitações de acesso é pausado quando um controlador solicita esclarecimento ou informações adicionais ao titular, e volta a correr quando esse esclarecimento é recebido. A Lei também codifica que as buscas para atender a uma solicitação de acesso precisam apenas ser razoáveis e proporcionais. Essas mudanças aplicam-se somente às solicitações de acesso sob o RGPD do Reino Unido. As solicitações de acesso sob o RGPD da UE continuam seguindo um prazo contínuo de um mês, independentemente de trocas de esclarecimento.

As empresas precisam cumprir tanto o RGPD do Reino Unido quanto o RGPD da UE?

Sim, caso tratem dados pessoais de residentes tanto do Reino Unido quanto da UE. Uma empresa sediada no Reino Unido que venda para clientes da UE deve cumprir o RGPD da UE em relação a esses clientes e o RGPD do Reino Unido em relação aos residentes britânicos. Isso agora exige a gestão separada das avaliações de interesse legítimo reconhecido (LIA integral para a UE, possivelmente sem LIA para o Reino Unido), dos prazos de solicitação de acesso, da lógica de tomada de decisão automatizada e das abordagens de consentimento de cookies para públicos do Reino Unido e da UE.

A DUAA ameaça a decisão de adequação da UE?

Não de forma imediata. A Comissão renovou a adequação em dezembro de 2025 após avaliar a DUAA, e considerou aceitável o nível atual de divergência. No entanto, o CEPD sinalizou áreas para monitoramento contínuo: o novo teste de adequação posterior do Reino Unido, os poderes do Secretário de Estado para alterar ainda mais o regime por meio de legislação secundária, e o dever do ICO de considerar a inovação. Caso esses poderes sejam exercidos para enfraquecer as proteções aos titulares de dados, a adequação poderá ser reexaminada antes de seu vencimento em 2031.