Requisitos legales para sitios web y aplicaciones: Reino Unido

El Reino Unido se parece a la UE, pero se está alejando silenciosamente de ella. El RGPD del Reino Unido sigue rigiendo los datos personales sin umbral de tamaño, PECR sigue rigiendo las cookies y el marketing; pero desde que la Ley de Datos (Uso y Acceso) de 2025 entró en vigor el 5 de febrero de 2026, algunas analíticas estadísticas califican para una excepción de consentimiento condicional en el Reino Unido, las multas de PECR aumentaron a los niveles del RGPD del Reino Unido (17,5 millones de libras o el 4% de la facturación global), y desde el 19 de junio de 2026, las personas pueden presentar quejas directamente ante usted y debe responder. Junto a esto, hay tres cosas que toman desprevenidos a los pequeños desarrolladores: la Ley de Seguridad en Línea, cuyo alcance depende de las funciones del servicio, los vínculos con el Reino Unido y las exenciones legales; la tarifa de protección de datos de la ICO, que es un registro legal que probablemente deba pagar; y la Ley de Igualdad, que convierte a un sitio inaccesible en un riesgo de discriminación. El hecho más útil específico del Reino Unido: algunas analíticas estadísticas agregadas pueden calificar para una excepción, con un aviso claro, un mecanismo de objeción gratuito y simple, y propósitos restringidos. El aviso más una exclusión voluntaria (opt-out) no exime a todos los productos de análisis. Esa es una divergencia real de la UE, y cambia la forma en que desarrolla. Este es el capítulo del Reino Unido de nuestra lista de verificación legal previa al lanzamiento. Ejecute esa secuencia de prompts primero y luego aplique esta.

Puntos clave

• El RGPD del Reino Unido no tiene exención general por ingresos o número de empleados; el establecimiento, la oferta y el seguimiento determinan el alcance territorial.
• Desde el 5 de febrero de 2026, las cookies estadísticas/analíticas y de apariencia/preferencia están exentas de consentimiento, pero solo con información clara y una exclusión voluntaria genuina.
• Las multas de PECR aumentaron de 500.000 libras a 17,5 millones de libras o el 4% de la facturación global.
• Desde el 19 de junio de 2026, las personas pueden presentar quejas directamente ante usted; debe reconocerlas en un plazo de 30 días y resolverlas sin demora indebida.
• Casi todas las empresas que procesan datos personales deben pagar la tarifa de protección de datos anual de la ICO: un registro simple que la gente olvida.
• La Ley de Seguridad en Línea puede cubrir pequeños servicios de usuario a usuario o de búsqueda con vínculos en el Reino Unido, pero se deben verificar las exenciones de funcionalidad limitada y otras. Las multas de Ofcom alcanzan los 18 millones de libras o el 10% de la facturación global.
• Marketing por correo electrónico: se requiere consentimiento, con una "exclusión voluntaria suave" limitada para sus propios clientes existentes de productos similares.

RGPD del Reino Unido: qué cambió y qué no

No cambió: los fundamentos. Una base legal para cada propósito, transparencia sobre lo que recopila y por qué, minimización de datos, derechos individuales (acceso, rectificación, supresión, portabilidad, objeción) respondidos en un mes, contratos escritos con cada procesador, una notificación de brecha de 72 horas a la ICO cuando existe un riesgo para las personas, y responsabilidad: ser capaz de demostrar cómo trabaja.

Sí cambió, a través de la Ley de Datos (Uso y Acceso) de 2025, con disposiciones clave vigentes desde el 5 de febrero de 2026:

• Intereses legítimos reconocidos. Una nueva base legal que cubre aspectos como la prevención del delito, la salvaguardia y la seguridad nacional, sin una prueba de equilibrio. Estrecha, pero útil.
• Toma de decisiones automatizada más flexible. La prohibición de decisiones importantes únicamente automatizadas ahora se aplica principalmente cuando están involucrados datos de categorías especiales; otras decisiones automatizadas pueden basarse en un conjunto más amplio de bases, con salvaguardas.
• Quejas directas, desde el 19 de junio de 2026. Las personas pueden presentar quejas ante usted primero. Debe reconocerlas en 30 días y tratarlas sin demora indebida. Cree una vía para esto: una dirección de correo electrónico en su aviso de privacidad y un lugar para registrarlo.
• Sanciones de PECR alineadas con el RGPD del Reino Unido. El marketing molesto y las violaciones de cookies ahora tienen el mismo límite que las brechas de datos.

Transferencias internacionales. El Reino Unido reconoce al EEE como adecuado y utiliza el IDTA o la Adenda del Reino Unido a las cláusulas contractuales tipo de la UE para otros destinos, además de la Extensión del Reino Unido al Marco de Privacidad de Datos UE-EE. UU. para destinatarios certificados en EE. UU.

La tarifa de protección de datos de la ICO. Si procesa datos personales como empresa, casi con certeza debe registrarse en la ICO y pagar una tarifa anual escalonada. Es pequeña para una microempresa y es un requisito legal, no una suscripción; no pagar es en sí mismo una violación ejecutable. Verifique su nivel en el sitio de la ICO y configure un recordatorio en el calendario.

Cookies: la verdadera divergencia del Reino Unido

La excepción de propósito estadístico se limita a información agregada utilizada para mejorar el servicio o el sitio web. Por lo general, no permite identificar, perfilar o rastrear a los visitantes entre sitios. Un tercero no puede reutilizar los datos para su propia publicidad. Se requiere información clara y un mecanismo de objeción gratuito y simple.

El almacenamiento necesario y otras excepciones tienen sus propias condiciones; no aplique la regla estadística a todas las categorías. Verifique la configuración real con la guía de excepciones de la ICO. La publicidad opcional sigue sujeta a consentimiento.

La Ley de Seguridad en Línea: sí, probablemente se aplique a usted

Un servicio de usuario a usuario o de búsqueda dentro del alcance con vínculos en el Reino Unido puede tener obligaciones incluso cuando es pequeño. Sin embargo, existen exenciones legales. Un servicio limitado a comentarios o reseñas sobre contenido publicado por el proveedor puede calificar para la exención de funcionalidad limitada; las publicaciones de usuarios, la mensajería y otras características pueden cambiar esa evaluación.

Utilice el verificador de alcance de Ofcom y las explicaciones de exención de la Ley. Si está dentro del alcance, documente las evaluaciones de contenido ilegal y acceso de niños, implemente informes y controles de seguridad proporcionados, y manténgalos actualizados. La garantía de edad sigue los deberes y riesgos aplicables, no simplemente la existencia de un formulario.

Reglas del consumidor si vende

Reglamentos de Contratos con Consumidores 2013: información precontractual, un derecho de cancelación de 14 días para contratos a distancia y un formulario modelo de cancelación. El contenido digital entregado inmediatamente puede excluirse solo con el consentimiento expreso del consumidor y el reconocimiento de que se pierde el derecho; capture ambos al finalizar la compra.

Ley de Derechos del Consumidor 2015: los bienes, servicios y contenido digital deben ser como se describen, adecuados para su propósito y de calidad satisfactoria. No puede contratar fuera de ella.

Ley DMCC 2024: desde abril de 2025, la CMA aplica las reglas de prácticas comerciales desleales directamente, con multas de hasta el 10% de la facturación global. Las disposiciones con fuerza para productos pequeños: precios por goteo (el precio total, incluidas las tarifas inevitables, debe mostrarse por adelantado) y reseñas falsas y reseñas incentivadas ocultas, que están prohibidas. Se ha legislado un nuevo régimen legal para contratos de suscripción (recordatorios antes de la renovación, salida fácil, período de reflexión), pero está a la espera de su inicio, previsto por el gobierno para la primavera de 2027, sujeto a legislación. Prepárese para ello ahora; es la dirección que sigue cada mercado en este sitio.

La identidad y los datos de contacto deben proporcionarse antes del contrato: nombre comercial, dirección geográfica y una forma de comunicarse con usted rápidamente.

Accesibilidad

No existe una regulación específica para la web para empresas privadas. Lo que existe es la Ley de Igualdad de 2010, que requiere ajustes razonables para que las personas con discapacidad no se vean en una desventaja sustancial, y un sitio web que no se pueda usar con un teclado o un lector de pantalla es exactamente eso. Las reclamaciones son presentadas por particulares, y el punto de referencia práctico que utilizan los tribunales y los auditores es WCAG 2.2 Nivel AA. Los organismos del sector público están sujetos por separado a las regulaciones de accesibilidad en ese estándar.

El Código de Diseño Apropiado para la Edad ("Código Infantil") de la ICO se aplica a cualquier servicio de la sociedad de la información al que probablemente accedan niños en el Reino Unido: valores predeterminados de alta privacidad, datos mínimos, sin técnicas de empuje hacia una privacidad más débil, geolocalización desactivada por defecto y sin perfilado para publicidad.

El prompt específico para el Reino Unido

Ejecute esto después de los diez prompts en la lista de verificación principal:

Add United Kingdom compliance mechanics to this app. Implement each item and report exactly what changed:

1. Inventory cookies and device access. Keep optional tracking blocked unless I have documented that its configuration meets a specific PECR exception. For qualifying statistical use, enforce its sole service-improvement purpose, clear notice and a simple free objection mechanism. Do not exempt a tool merely because it is labelled analytics. Advertising, marketing and cross-site tracking cookies must still be blocked until the user opts in. Show me the resulting list of scripts by category and which ones load before any user choice.
2. A privacy notice covering: lawful basis per purpose, retention, recipients, international transfers and the safeguard used, all UK GDPR rights, the right to complain to us directly and then to the ICO, and our ICO registration reference as [[ICO REGISTRATION NUMBER]].
3. A direct complaints route: a form or dedicated address for data protection complaints, an automatic acknowledgement to the complainant, and an internal log recording the date received, the acknowledgement date and the outcome.
4. Self-service rights: export my data, delete my account, correct my profile, and object to marketing — each in at most two clicks.
5. Marketing email consent: an unticked opt-in at signup, a record of when and how consent was given, sender identification and a working unsubscribe in every message. If we rely on the soft opt-in for existing customers, mark that in the code with a comment so I can check it with a lawyer.
6. If the app has any user-to-user feature — comments, messaging, profiles, uploads, reviews — list every one of them, and add: a way for any user to report content, a record of reports and what we did about them, terms stating what is not allowed, and a note in the admin area prompting an annual illegal-content risk assessment. Do not claim the app is Online Safety Act compliant; just build the mechanisms and list what is missing.
7. If we sell to consumers: total price including all unavoidable fees shown up front, a 14-day cancellation route in the account area, an explicit unticked acknowledgement for immediate delivery of digital content, and renewal date and amount shown before purchase and in account settings.
8. An accessibility pass against WCAG 2.2 Level AA — report findings by severity before fixing anything.

For each item report PASS or explain what blocked it.
Copiar prompt

Lista de verificación previa al lanzamiento: Reino Unido

• Tarifa de protección de datos de la ICO pagada y número de registro en el aviso de privacidad
• El aviso de privacidad establece la base legal, retención, transferencias, derechos y ambas vías de queja
• Categorías de cookies divididas correctamente: analíticas/preferencias con aviso + exclusión, publicidad detrás de consentimiento
• Vía de quejas directas en vivo, con reconocimiento en 30 días
• La exportación, eliminación y corrección de datos funcionan de extremo a extremo
• Consentimiento de marketing capturado y registrado; la cancelación de suscripción funciona
• Funciones de usuario a usuario inventariadas; mecanismo de denuncia, términos y evaluación de riesgos documentados
• Venta: precio total por adelantado, cancelación de 14 días, reconocimiento de contenido digital, transparencia de renovación
• Accesibilidad auditada según WCAG 2.2 AA
• Código Infantil considerado si menores de 18 años podrían usar el servicio de manera plausible

Lo que establecen las verificaciones de construcción

Los prompts son solicitudes de implementación, no una certificación legal. Los controles de dos clics y los valores predeterminados de consentimiento primero son opciones de diseño prácticas, no requisitos legales universales. Confirme la jurisdicción, las excepciones, la retención y los contratos de proveedores por separado. Verifique los controles con cuentas de prueba y el comportamiento real del navegador/red; el PASA de un desarrollador basado solo en la inspección de código es una evidencia incompleta.

Fuentes oficiales y alcance de revisión

Actualizado el 14 de septiembre de 2026. Las fuentes vinculadas respaldan el alcance y las correcciones discutidas aquí; esta es una revisión editorial, no una opinión legal exhaustiva o una certificación de su producto. Verifique la regla operativa al actuar.

• Excepciones de cookies de la ICO
• Verificador de alcance de Ofcom
• Respuesta del gobierno al régimen de suscripción

• Inicio de las quejas ante la ICO

El Reino Unido tiene forma de UE con su propio dialecto, y las diferencias valen dinero. Ejecute la lista de verificación previa al lanzamiento, luego el prompt del Reino Unido anterior. ¿Vende en otro lugar? Consulte la Unión Europea, Estados Unidos, Canadá, Australia, Brasil e Israel. Puedes construir esto.