El Reino Unido reescribió partes de su ley de protección de datos en 2025, y la mayoría de los cambios ya se aplican. La Data (Use and Access) Act no es un nuevo GDPR. Modifica el UK GDPR, la Data Protection Act 2018 y las normas sobre cookies de la PECR. Para los equipos que recopilan datos web públicos, algunas de esas modificaciones importan mucho, y algunas lecturas populares de ellas van demasiado lejos.
Esta guía cubre qué está en vigor, qué cambió respecto a la base legítima, la investigación, los avisos, las cookies, las decisiones automatizadas y las transferencias, y qué no cambió la Ley. Es información general, no asesoramiento legal.
Qué está en vigor, y cuándo
La Ley recibió la sanción real (Royal Assent) el 19 de junio de 2025 y se fue aplicando por etapas mediante reglamentos de entrada en vigor.
| Fecha | Qué entró en vigor |
|---|---|
| 19 de junio de 2025 | Búsquedas “razonables y proporcionadas” para las solicitudes de acceso |
| 20 de agosto de 2025 | Las competencias sobre smart data, y el deber de informar sobre copyright e IA |
| 1 de diciembre de 2025 | Marco de servicios de verificación digital |
| 5 de febrero de 2026 | Los principales cambios del UK GDPR y la PECR: base legítima, investigación, avisos, decisiones automatizadas, transferencias, cookies, multas |
| 19 de junio de 2026 | Los responsables del tratamiento deben contar con un proceso de reclamaciones |
| 30 de septiembre de 2026 | La Information Commissioner’s Office pasa a ser la Information Commission |
Así que, cuando la gente habla de “las nuevas normas del Reino Unido”, suele referirse al paquete que comenzó el 5 de febrero de 2026.
Base legítima: cambió menos de lo que quizá haya oído
La Ley añade una nueva base legítima, los intereses legítimos reconocidos. El tratamiento es lícito si es necesario para uno de los fines de una lista fija, sin prueba de ponderación. La lista cubre fines de interés público: comunicaciones a organismos públicos, seguridad nacional y defensa, emergencias, delitos y protección de personas vulnerables. La recopilación comercial ordinaria de datos no figura en ella.
Para el trabajo comercial, la conocida base de interés legítimo no ha cambiado. Sigue aplicándose solo cuando sus intereses no están “prevalecidos por los intereses o los derechos y libertades fundamentales del interesado”. La Ley sí añade ejemplos de tratamientos que pueden constituir un interés legítimo, incluyendo el marketing directo, compartir datos dentro de un grupo para la administración interna y la seguridad de redes. Son ejemplos, no un salvoconducto: la prueba de ponderación sigue aplicándose.
En cuanto al scraping específicamente, la postura del regulador no ha cambiado. En su respuesta de diciembre de 2024 a su consulta sobre IA generativa, declaró que el interés legítimo es la única base legítima que probablemente esté disponible para entrenar modelos de IA generativa con datos personales obtenidos mediante scraping, y solo cuando el desarrollador supera la prueba de tres partes de finalidad, necesidad y ponderación. También considera el scraping como un tratamiento de alto riesgo y en gran medida invisible. Nuestra guía sobre qué preguntará el departamento legal antes de un proyecto de scraping explica cómo preparar ese argumento.
La investigación se define de forma más amplia
La Ley incorpora al UK GDPR una definición de investigación científica. Significa “cualquier investigación que pueda describirse razonablemente como científica, esté financiada pública o privadamente y se lleve a cabo como actividad comercial o no comercial”, e incluye el desarrollo tecnológico y la investigación aplicada.
Esto importa porque los fines de investigación conllevan exenciones útiles, incluida la exención de aviso que se trata más abajo. Pero la prueba sigue siendo que pueda “describirse razonablemente como científica”, así que no todo proyecto de analítica cualifica. Los fines estadísticos también tienen una definición más estricta: los resultados deben ser datos agregados que no sean datos personales, y no deben usarse para tomar decisiones sobre una persona concreta.
La Ley también permite el “consentimiento amplio” para un área de investigación cuando los fines no puedan identificarse plenamente al inicio. Esto ayuda a estudios con participantes, pero resulta de poca utilidad para datos obtenidos mediante scraping, donde no se ha preguntado a nadie.
Informar a las personas: la cuestión del aviso
Los datos personales obtenidos mediante scraping son datos no obtenidos de la propia persona, por lo que se aplica el artículo 14 del UK GDPR: en principio, hay que proporcionar a las personas un aviso de privacidad. Contactar a todos los integrantes de un conjunto de datos grande rara vez es posible, y la Ley ahora detalla cuándo se puede recurrir a una exención.
| Exención | Qué establece |
|---|---|
| Artículo 14(5)(e) | Proporcionar la información “es imposible o exigiría un esfuerzo desproporcionado” |
| Artículo 14(5)(f) | El aviso “haría imposible o perjudicaría gravemente” la finalidad del tratamiento |
| Artículo 14(6) | El esfuerzo desproporcionado depende de “el número de interesados, la antigüedad de los datos personales y las salvaguardas adecuadas” |
| Artículo 14(7) | Se deben seguir tomando medidas apropiadas, “incluido hacer la información accesible al público” |
El resultado práctico: si se recurre al esfuerzo desproporcionado, hay que publicar un aviso claro sobre qué se recopila, de dónde y por qué, y cómo pueden oponerse las personas. Conserve un registro de cómo se ponderaron los factores. Un cambio aparte en el artículo 13 permite a los responsables del tratamiento omitir un nuevo aviso cuando reutilizan datos solo para investigación, archivo o estadística, bajo la misma prueba de imposibilidad o esfuerzo desproporcionado.
Cookies y muros de consentimiento
La PECR ahora permite que los sitios instalen algunas cookies sin consentimiento: para estadísticas sobre el uso de un servicio, para recordar las preferencias de un visitante o mejorar el aspecto del sitio, y para fines estrictamente necesarios como la seguridad y la prevención del fraude. Para los dos primeros casos, los usuarios deben recibir información clara y disponer de una forma sencilla y gratuita de oponerse. Las multas por infracciones relativas a cookies y marketing alcanzan ahora los 17,5 millones de libras o el 4% de la facturación mundial, lo que sea mayor.
Esto afecta en primer lugar a sus propios sitios. También puede cambiar lo que ven los rastreadores en páginas del Reino Unido a medida que los sitios ajustan sus banners, así que conviene revisar cualquier parser que dependa del diseño de un muro de consentimiento. Nuestro estudio sobre muros de consentimiento por país muestra cuánto varían ya esas páginas.
Decisiones automatizadas y transferencias
Si los datos obtenidos mediante scraping alimentan decisiones sobre personas, como la puntuación de leads o la selección de candidatos, las normas sobre decisiones automatizadas ahora se aplican de forma distinta. Una decisión totalmente automatizada con efectos significativos ya no está prohibida con carácter general, pero debe informar a las personas de dichas decisiones, permitirles presentar alegaciones, ofrecer intervención humana y permitirles impugnar el resultado. Las decisiones que utilizan categorías especiales de datos siguen muy restringidas.
Para las transferencias al extranjero, la nueva prueba consiste en si la protección en el destino es “no significativamente inferior” a la del Reino Unido, y los exportadores pueden llegar a esa conclusión “actuando de forma razonable y proporcionada”. La UE renovó sus decisiones de adecuación para el Reino Unido el 19 de diciembre de 2025, hasta el 27 de diciembre de 2031, de modo que los datos personales pueden seguir fluyendo de la UE al Reino Unido.
Lo que la Ley no cambió: IA y copyright
La parte más disputada de la Ley es lo que se dejó fuera. La House of Lords añadió en repetidas ocasiones enmiendas que exigían a los desarrolladores de IA revelar las obras protegidas por copyright con las que entrenaban, y la Commons las eliminó cada vez. A cambio, la Ley exigió al gobierno que publicara un informe sobre copyright e IA y una evaluación de impacto económico.
Ambos documentos aparecieron el 18 de marzo de 2026. El informe señaló que una excepción amplia de copyright con posibilidad de exclusión (opt-out) para los titulares de derechos “ya no es la vía preferida del gobierno”, y no planteó ninguna alternativa, optando por reunir más evidencia primero. Así que la ley de copyright del Reino Unido no se ha movido. La excepción de minería de textos y datos de la sección 29A de la Copyright, Designs and Patents Act sigue cubriendo únicamente la investigación no comercial. Las exclusiones legibles por máquina (machine-readable opt-outs) aún no tienen peso legal especial en el Reino Unido, aunque siguen señalando la intención: nuestra guía sobre robots.txt y señales de reserva para IA explica cómo interpretarlas.
Qué deberían hacer los equipos de datos
- Revise su base legítima. Si se basa en el interés legítimo, mantenga una evaluación actualizada. No dé por hecho que la lista de intereses legítimos reconocidos lo cubre.
- Ponga a prueba cualquier afirmación de investigación. Use las exenciones de investigación solo para trabajos que puedan describirse razonablemente como científicos, y documente por qué.
- Publique su aviso. Si se basa en el esfuerzo desproporcionado, elabore un aviso público que explique la recopilación y la posibilidad de oponerse, y conserve su razonamiento por escrito.
- Mapee las decisiones sobre personas. Enumere cualquier decisión automatizada que se alimente de sus datos y añada las salvaguardas.
- Registre de dónde proceden los datos. Conserve las URL de origen, las fechas y el aviso vigente en ese momento. Nuestra guía sobre procedencia en el pipeline de entrenamiento de IA muestra un formato viable.
- Vigile el frente del copyright. El Reino Unido no tiene hoy una excepción comercial de minería de datos, y el gobierno ha dicho que quiere más evidencia antes de legislar.
Dónde encajan los proxies
Un proxy cambia de dónde procede una solicitud, no lo que permite la ley. Recopilar datos personales del Reino Unido desde una IP del Reino Unido, o desde cualquier otro lugar, está sujeto a los mismos deberes del UK GDPR. Los proxies residenciales son útiles para ver páginas públicas del Reino Unido tal como las ven los visitantes locales, para trabajos como el seguimiento de precios, la verificación de anuncios y la comprobación de cómo aparecen los banners de consentimiento. No cambian su base legítima, sus deberes de aviso ni el copyright de nadie.
En resumen
La Data (Use and Access) Act flexibilizó algunas normas del Reino Unido, pero no las que esperaba la mayoría de los equipos de datos web. La recopilación comercial sigue necesitando un argumento de interés legítimo con prueba de ponderación. Los deberes de aviso son más claros, y publicar un aviso ahora forma parte del trato. La investigación es más amplia, pero debe ser genuinamente científica. En cuanto al entrenamiento de IA, la cuestión del copyright sigue abierta. Documente ahora sus decisiones, mientras el regulador todavía se está asentando en su nuevo nombre.
Fuentes y referencias
- Data (Use and Access) Act 2025, tal como fue promulgada: legislation.gov.uk
- Sección 67, significado de investigación y fines estadísticos: legislation.gov.uk
- Sección 77, información que debe proporcionarse a los interesados: legislation.gov.uk
- Anexo 4, intereses legítimos reconocidos: legislation.gov.uk
- Anexo 12, almacenamiento de información en equipos terminales: legislation.gov.uk
- Artículo 6 del UK GDPR, en su versión modificada: legislation.gov.uk
- Commencement No. 1 Regulations 2025 (SI 2025/904): legislation.gov.uk
- Commencement No. 4 Regulations 2025 (SI 2025/1213): legislation.gov.uk
- Commencement No. 6 Regulations 2026 (SI 2026/82): legislation.gov.uk
- Commencement No. 9 Regulations 2026 (SI 2026/1015): legislation.gov.uk
- DSIT, Data (Use and Access) Act 2025: plans for commencement: gov.uk
- ICO, The lawful basis for web scraping to train generative AI models: ico.org.uk
- DSIT, DCMS e IPO, Report and impact assessment on copyright and artificial intelligence (18 de marzo de 2026): gov.uk
- Comisión Europea, renovación de las decisiones de adecuación del Reino Unido (19 de diciembre de 2025): ec.europa.eu