O Reino Unido reescreveu partes de sua lei de proteção de dados em 2025, e a maioria das mudanças já está em vigor. O Data (Use and Access) Act não é um novo GDPR. Ele altera o UK GDPR, o Data Protection Act 2018 e as regras de cookies do PECR. Para equipes que coletam dados públicos da web, algumas dessas alterações importam muito, e algumas leituras populares delas vão longe demais.
Este guia cobre o que está em vigor, o que mudou em relação à base legal, pesquisa, avisos, cookies, decisões automatizadas e transferências, e o que a lei não mudou. É informação geral, não aconselhamento jurídico.
O que está em vigor, e quando
A lei recebeu o Royal Assent em 19 de junho de 2025 e entrou em vigor em etapas por meio de regulamentos de entrada em vigor.
| Data | O que entrou em vigor |
|---|---|
| 19 de junho de 2025 | Buscas “razoáveis e proporcionais” para solicitações de acesso |
| 20 de agosto de 2025 | Poderes de smart data, e o dever de reportar sobre direitos autorais e IA |
| 1 de dezembro de 2025 | Framework de serviços de verificação digital |
| 5 de fevereiro de 2026 | As principais mudanças do UK GDPR e do PECR: base legal, pesquisa, avisos, decisões automatizadas, transferências, cookies, multas |
| 19 de junho de 2026 | Os controladores devem manter um processo de reclamações |
| 30 de setembro de 2026 | O Information Commissioner’s Office se torna a Information Commission |
Então, quando as pessoas falam das “novas regras do Reino Unido”, elas geralmente se referem ao pacote que entrou em vigor em 5 de fevereiro de 2026.
Base legal: menos mudanças do que você talvez tenha ouvido
A lei adiciona uma nova base legal, os interesses legítimos reconhecidos. O processamento é lícito se for necessário para um dos propósitos de uma lista fixa, sem teste de ponderação. A lista cobre propósitos de interesse público: divulgações a órgãos públicos, segurança nacional e defesa, emergências, crime e proteção de pessoas vulneráveis. A coleta comercial comum de dados não está nela.
Para trabalho comercial, a conhecida base de interesses legítimos permanece inalterada. Ela ainda se aplica apenas quando seus interesses não são “sobrepostos pelos interesses ou direitos e liberdades fundamentais do titular dos dados”. A lei adiciona sim exemplos de processamento que podem ser um interesse legítimo, incluindo marketing direto, compartilhamento dentro de um grupo para administração interna e segurança de rede. Esses são exemplos, não aprovações automáticas: o teste de ponderação ainda se aplica.
Para scraping especificamente, a visão do regulador não mudou. Em sua resposta de dezembro de 2024 à consulta sobre IA generativa, ele disse que os interesses legítimos são a única base legal provavelmente disponível para treinar IA generativa com dados pessoais obtidos por scraping da web, e apenas quando o desenvolvedor passa no teste de três partes: propósito, necessidade e ponderação. Ele também trata o scraping como processamento de alto risco, em grande parte invisível. Nosso guia sobre o que o jurídico vai perguntar antes de um projeto de scraping cobre como preparar esse caso.
A pesquisa é definida de forma mais ampla
A lei inscreve uma definição de pesquisa científica no UK GDPR. Significa “qualquer pesquisa que possa ser razoavelmente descrita como científica, seja financiada pública ou privadamente e seja realizada como atividade comercial ou não comercial”, e inclui desenvolvimento tecnológico e pesquisa aplicada.
Isso importa porque propósitos de pesquisa carregam isenções úteis, incluindo a isenção de aviso abaixo. Mas o teste ainda é “razoavelmente descrito como científico”, então nem todo projeto de análise se qualifica. Propósitos estatísticos também têm uma definição mais restrita: os resultados devem ser dados agregados que não são dados pessoais, e não podem ser usados para tomar decisões sobre uma pessoa específica.
A lei também permite o “consentimento amplo” para uma área de pesquisa quando os propósitos não podem ser totalmente identificados no início. Isso ajuda estudos com participantes, mas tem pouca utilidade para dados obtidos por scraping, onde ninguém foi perguntado.
Informar as pessoas: a questão do aviso
Dados pessoais obtidos por scraping são dados não obtidos diretamente da pessoa, então o Artigo 14 do UK GDPR se aplica: em princípio, você deve fornecer um aviso de privacidade às pessoas. Contatar todos em um grande conjunto de dados raramente é possível, e a lei agora detalha quando você pode recorrer a uma isenção.
| Isenção | O que diz |
|---|---|
| Artigo 14(5)(e) | Fornecer a informação “é impossível ou envolveria um esforço desproporcional” |
| Artigo 14(5)(f) | O aviso “tornaria impossível ou prejudicaria seriamente” o propósito do processamento |
| Artigo 14(6) | O esforço desproporcional depende de “o número de titulares de dados, a idade dos dados pessoais e quaisquer salvaguardas apropriadas” |
| Artigo 14(7) | Você ainda deve tomar medidas apropriadas, “incluindo disponibilizar a informação publicamente” |
O resultado prático: se você recorrer ao esforço desproporcional, publique um aviso claro sobre o que coleta, de onde e por quê, e como as pessoas podem se opor. Mantenha um registro de como você ponderou os fatores. Uma mudança separada no Artigo 13 permite que controladores dispensem um novo aviso quando reutilizam dados apenas para pesquisa, arquivamento ou estatísticas, sob o mesmo teste de impossibilidade ou esforço desproporcional.
Cookies e consent walls
O PECR agora permite que sites definam alguns cookies sem consentimento: para estatísticas sobre como um serviço é usado, para lembrar as preferências de um visitante ou melhorar a aparência do site, e para propósitos estritamente necessários, como segurança e prevenção de fraude. Para os dois primeiros, os usuários devem receber informações claras e uma forma simples e gratuita de se opor. As multas por violações de cookies e marketing agora chegam a £17.5 milhões ou 4% do faturamento mundial, o que for maior.
Isso afeta primeiro seus próprios sites. Também pode mudar o que os crawlers veem em páginas do Reino Unido à medida que os sites ajustam seus banners, então verifique quaisquer parsers que dependam do layout de uma consent wall. Nosso estudo sobre consent walls por país mostra o quanto essas páginas já variam.
Decisões automatizadas e transferências
Se dados obtidos por scraping alimentam decisões sobre pessoas, como pontuação de leads ou triagem de candidatos, as regras sobre decisões automatizadas agora se aplicam de forma diferente. Uma decisão totalmente automatizada com efeitos significativos não é mais geralmente proibida, mas você deve informar as pessoas sobre tais decisões, permitir que façam representações, oferecer intervenção humana e permitir que contestem o resultado. Decisões que usam categorias especiais de dados permanecem rigidamente restritas.
Para transferências ao exterior, o novo teste é se a proteção no destino é “não materialmente inferior” à do Reino Unido, e os exportadores podem chegar a essa conclusão “agindo de forma razoável e proporcional”. A UE renovou suas decisões de adequação para o Reino Unido em 19 de dezembro de 2025, até 27 de dezembro de 2031, de modo que dados pessoais podem continuar fluindo da UE para o Reino Unido.
O que a lei não mudou: IA e direitos autorais
A parte mais contestada da lei é o que ficou de fora. A House of Lords repetidamente adicionou emendas exigindo que desenvolvedores de IA divulgassem as obras protegidas por direitos autorais com as quais treinaram, e a Commons as removeu todas as vezes. Em troca, a lei exigiu que o governo publicasse um relatório sobre direitos autorais e IA e uma avaliação de impacto econômico.
Ambos foram publicados em 18 de março de 2026. O relatório disse que uma exceção ampla de direitos autorais com opção de exclusão para titulares de direitos “não é mais o caminho preferido do governo”, e não apresentou substituto, optando por reunir mais evidências primeiro. Assim, a lei de direitos autorais do Reino Unido não mudou. A exceção de mineração de texto e dados na seção 29A do Copyright, Designs and Patents Act ainda cobre apenas pesquisa não comercial. Opções de exclusão legíveis por máquina ainda não têm peso legal especial no Reino Unido, embora continuem sinalizando intenção: nosso guia sobre robots.txt e sinais de reserva para IA explica como interpretá-los.
O que as equipes de dados devem fazer
- Verifique sua base legal. Se você depende de interesses legítimos, mantenha uma avaliação atualizada. Não presuma que a lista de interesses legítimos reconhecidos o cobre.
- Teste qualquer alegação de pesquisa. Use as isenções de pesquisa apenas para trabalhos que possam ser razoavelmente chamados de científicos, e documente o porquê.
- Publique seu aviso. Se você depende de esforço desproporcional, crie um aviso público que explique a coleta e a oposição, e mantenha seu raciocínio registrado.
- Mapeie decisões sobre pessoas. Liste quaisquer decisões automatizadas que seus dados alimentam e adicione as salvaguardas.
- Registre de onde vieram os dados. Mantenha URLs de origem, datas e o aviso em vigor na época. Nosso guia sobre proveniência no pipeline de treinamento de IA mostra um formato funcional.
- Acompanhe a trilha dos direitos autorais. O Reino Unido não tem exceção comercial de mineração hoje, e o governo disse que quer mais evidências antes de legislar.
Onde os proxies se encaixam
Um proxy muda de onde vem a requisição, não o que a lei permite. Coletar dados pessoais do Reino Unido a partir de um IP do Reino Unido, ou de qualquer outro lugar, está sujeito aos mesmos deveres do UK GDPR. Proxies residenciais são úteis para ver páginas públicas do Reino Unido como visitantes locais as veem, para trabalhos como monitoramento de preços, verificação de anúncios e verificação de como os banners de consentimento aparecem. Eles não mudam sua base legal, seus deveres de aviso ou os direitos autorais de ninguém.
Conclusão
O Data (Use and Access) Act flexibilizou algumas regras do Reino Unido, mas não as que a maioria das equipes de dados da web esperava. A coleta comercial ainda precisa de um caso de interesses legítimos com teste de ponderação. Os deveres de aviso estão mais claros, e publicar um aviso agora faz parte do acordo. A pesquisa é mais ampla, mas deve ser genuinamente científica. Sobre o treinamento de IA, a questão de direitos autorais ainda está em aberto. Documente suas escolhas agora, enquanto o regulador ainda está se ajustando ao seu novo nome.
Fontes e referências
- Data (Use and Access) Act 2025, conforme promulgado: legislation.gov.uk
- Seção 67, significado de propósitos de pesquisa e estatísticos: legislation.gov.uk
- Seção 77, informações a serem fornecidas aos titulares de dados: legislation.gov.uk
- Anexo 4, interesses legítimos reconhecidos: legislation.gov.uk
- Anexo 12, armazenamento de informações em equipamento terminal: legislation.gov.uk
- UK GDPR Artigo 6, conforme alterado: legislation.gov.uk
- Commencement No. 1 Regulations 2025 (SI 2025/904): legislation.gov.uk
- Commencement No. 4 Regulations 2025 (SI 2025/1213): legislation.gov.uk
- Commencement No. 6 Regulations 2026 (SI 2026/82): legislation.gov.uk
- Commencement No. 9 Regulations 2026 (SI 2026/1015): legislation.gov.uk
- DSIT, Data (Use and Access) Act 2025: plans for commencement: gov.uk
- ICO, The lawful basis for web scraping to train generative AI models: ico.org.uk
- DSIT, DCMS and IPO, Report and impact assessment on copyright and artificial intelligence (18 March 2026): gov.uk
- European Commission, renewal of the UK adequacy decisions (19 December 2025): ec.europa.eu