UK GDPR vs EU GDPR: de verschillen die je website raken

De UK GDPR en de EU GDPR zijn nog bijna dezelfde wet, met vijf verschillen die een website raken sinds de Data (Use and Access) Act 2025 inging: cookies voor statistieken, erkende gerechtvaardigde belangen, geautomatiseerde beslissingen, zoekacties bij inzageverzoeken en een plicht om klachten zelf af te handelen. De kern, van wettelijke gronden tot datalekmeldingen, is aan beide kanten onveranderd.

De UK GDPR is de Europese verordening zoals ze op 31 december 2020 luidde, na de brexit in het Britse recht behouden en samen gelezen met de Data Protection Act 2018 en de Privacy and Electronic Communications Regulations (PECR). De Data (Use and Access) Act 2025 (DUAA) wijzigde alle drie. Ze kreeg de koninklijke goedkeuring op 19 juni 2025; de meeste wijzigingen in de gegevensbescherming gingen in op 5 februari 2026, en de laatste, waaronder de klachtenplicht, op 19 juni 2026.

De EU volgde niet. Haar GDPR is dezelfde tekst als in 2018, toegepast door 27 nationale autoriteiten, met cookies die nog altijd onder de ePrivacyrichtlijn vallen zoals elke lidstaat ze omzette. Een Vlaams bedrijf met klanten in Londen en in Gent beantwoordt nu aan twee versies van hetzelfde idee.

Geldt de GDPR nog in het VK na de brexit?

Ja, op twee manieren. De UK GDPR geldt voor organisaties in het VK en voor organisaties erbuiten die goederen of diensten aanbieden aan mensen in het VK of hun gedrag volgen. Een Vlaamse webshop die naar het VK levert of Britse bezoekers volgt, valt er dus voor dat deel onder. En de EU GDPR blijft gelden voor een Brits bedrijf dat goederen of diensten aanbiedt aan mensen in de EU of hen volgt, bijvoorbeeld met statistiek- of advertentietags op een site die naar België of Duitsland verkoopt. Artikel 3, lid 2 van de EU GDPR kijkt niet naar waar je gevestigd bent. Amerikaanse bedrijven krijgen dezelfde toets; zie GDPR voor een Amerikaans bedrijf.

Dat is het eerste praktische punt: wie aan beide kanten klanten heeft, valt onder beide regimes, en heeft misschien een vertegenwoordiger aan de andere kant nodig (meer daarover hieronder).

Vijf verschillen die een website raken

De DUAA veranderde ook regels die een commerciële website zelden raken: onderzoek en archivering, delen met de politie zonder hun taak te toetsen, de soft opt-in voor mail van liefdadigheidsinstellingen, en nieuwe bevoegdheden voor de toezichthouder, die van het Information Commissioner's Office een Information Commission wordt. De boetes veranderden niet in grootte: tot 17,5 miljoen pond of 4 procent van de wereldwijde omzet in het VK, tegenover 20 miljoen euro of 4 procent in de EU. Onder PECR steeg het plafond wel van 500.000 pond naar het niveau van de UK GDPR, wat telt voor cookies en marketingmails; zie de cookiewet in het VK.

Gegevens van de EU naar het VK: adequaat tot 2031

Op 19 december 2025 verlengde de Europese Commissie haar twee adequaatheidsbesluiten voor het VK, een onder de GDPR en een onder de richtlijn gegevensbescherming bij rechtshandhaving. Ze lopen nu tot 27 december 2031, met een evaluatie na vier jaar. Het Europees Comité voor gegevensbescherming gaf zijn advies op 16 oktober 2025, en de Commissie had de oude besluiten in juni 2025 eerst met zes maanden verlengd om de DUAA te beoordelen.

In de praktijk: een Belgisch bedrijf mag persoonsgegevens naar een Britse leverancier, hostingpartij of zustervennootschap sturen zonder standaardcontractbepalingen of doorgiftebeoordeling. De Commissie kan de adequaatheid opschorten of aanpassen als het Britse recht te ver afdrijft, dus volg het op voor 2031.

De andere richting is Brits recht. Het VK houdt een eigen lijst van adequate landen bij, met de EU en de EER erop, dus gegevens gaan ook vrij van het VK naar de EU. Voor doorgiftes naar andere landen herschreef de DUAA de toets: het VK vraagt nu of de bescherming niet wezenlijk lager is dan in het VK, in plaats van in wezen gelijkwaardig.

Waar de gegevens staan en wie erbij kan, is een andere vraag dan of ze er mogen staan; zie data residency in Europa.

Vertegenwoordigers aan beide kanten

Artikel 27 van de EU GDPR vraagt een bedrijf buiten de EU dat goederen of diensten aanbiedt aan mensen in de EU, of hen volgt, een vertegenwoordiger aan te stellen in een lidstaat waar die mensen zitten. Het VK heeft de spiegelregel: een Europees of Amerikaans bedrijf dat op mensen in het VK mikt, noemt een Britse vertegenwoordiger. Een Vlaamse webshop die geregeld aan Britse consumenten verkoopt, heeft er dus een in het VK nodig, tenzij de verwerking occasioneel is, geen bijzondere categorieën gegevens op grote schaal omvat en waarschijnlijk geen risico voor mensen inhoudt.

De vertegenwoordiger is een aanspreekpunt voor toezichthouders en personen, en staat in je privacyverklaring. Gespecialiseerde bedrijven bieden het als dienst aan; een jurist kan zeggen of je verwerking onder de uitzondering valt.

Een privacyverklaring of twee

Een site die beide markten bedient, heeft geen twee privacyverklaringen nodig, maar de ene die ze heeft, moet beide stelsels dragen:

• de wettelijke grond per doel, met de Europese afweging gedocumenteerd ook waar het VK ze niet meer vraagt;
• de Britse klachtenroute, nu een wettelijke plicht, naast het recht om te klagen bij de ICO en bij de Europese autoriteit waar de bezoeker woont;
• je Britse vertegenwoordiger, als je er een nodig hebt;
• de cookies en tags per land, als je banner zich anders gedraagt voor Britse en Europese bezoekers;
• de doorgiftes, met de grond voor elk, uit de tabel hierboven.

Wat een privacyverklaring is en wanneer je er een nodig hebt, beantwoorden we in is een privacyverklaring verplicht.

Volgens welke norm je bouwt

• Kies overal de Europese norm alseen wezenlijk deel van je bezoekers of klanten in de EU zit, wat voor een Vlaams bedrijf bijna altijd zo is. Een banner, een verklaring, een set formulieren: eenvoudiger om te bouwen en te testen, ten koste van wat Britse statistiekgegevens.
• Kies een splitsing per land alsje publiek grotendeels in het VK zit en de gegevens die je wint met de lichtere Britse cookieregels echt beslissingen veranderen. Voorzie budget om de landlogica te bouwen en te testen, en documenteer ze.
• Kies alleen de Britse norm alsje niets aan mensen in de EU aanbiedt en hen niet volgt. Een dienst alleen voor het VK met een publiek alleen in het VK kan de lichtere regels nemen zoals ze komen.

Voor de meeste bedrijven waarmee we werken, wint het eerste antwoord. De uitzondering is statistieken: een site met veel Britse bezoekers kan Britse bezoekers zonder banner meten en Europese erachter houden, wat de bouw waard is als marketing op de cijfers steunt.