Requisitos Legais para Websites e Aplicativos: Reino Unido

O Reino Unido parece-se com a UE, mas está a afastar-se discretamente dela. O RGPD do Reino Unido (UK GDPR) ainda rege os dados pessoais sem limite de dimensão, o PECR ainda rege os cookies e o marketing — mas desde que a Lei de Dados (Uso e Acesso) de 2025 entrou em vigor em 5 de fevereiro de 2026, algumas análises estatísticas qualificam-se para uma exceção de consentimento condicional no Reino Unido, as multas do PECR saltaram para níveis do UK GDPR (£17,5 milhões ou 4% do volume de negócios global) e, a partir de 19 de junho de 2026, as pessoas podem reclamar diretamente consigo e você deve responder. A par disso, existem três coisas que apanham os pequenos construtores de surpresa: a Lei de Segurança Online (Online Safety Act), cujo âmbito depende das funções de serviço, ligações com o Reino Unido e isenções estatutárias; a taxa de proteção de dados do ICO, que é um registo legal que provavelmente deve; e a Lei da Igualdade, que torna um site inacessível um risco de discriminação. O facto mais útil especificamente para o Reino Unido: algumas análises estatísticas agregadas podem qualificar-se para uma exceção, com aviso claro, um mecanismo de objeção simples e gratuito e fins restritos. Aviso mais uma opção de exclusão (opt-out) não isenta todos os produtos de análise. Essa é uma divergência real da UE e altera a forma como se constrói. Este é o capítulo do Reino Unido da nossa lista de verificação jurídica antes do lançamento. Execute primeiro essa sequência de prompts e, depois, aplique isto.

Principais conclusões

• O UK GDPR não tem isenção geral de receitas ou número de funcionários; o estabelecimento, a oferta e a monitorização determinam o âmbito territorial.
• Desde 5 de fevereiro de 2026, os cookies estatísticos/de análise e de aparência/preferência estão isentos de consentimento — mas apenas com informações claras e uma opção de exclusão genuína.
• As multas do PECR subiram de £500.000 para £17,5 milhões ou 4% do volume de negócios global.
• A partir de 19 de junho de 2026, os indivíduos podem reclamar diretamente consigo; você deve confirmar a receção no prazo de 30 dias e resolver sem atrasos indevidos.
• Quase todas as empresas que processam dados pessoais devem pagar a taxa de proteção de dados anual do ICO — um registo simples que as pessoas esquecem.
• A Lei de Segurança Online pode abranger pequenos serviços de utilizador para utilizador ou de pesquisa com ligações ao Reino Unido, mas as isenções de funcionalidade limitada e outras devem ser verificadas. As multas da Ofcom atingem £18 milhões ou 10% do volume de negócios global.
• E-mail de marketing: consentimento necessário, com uma "opt-in suave" limitada para os seus próprios clientes existentes de produtos semelhantes.

UK GDPR: o que mudou e o que não mudou

Não mudou: os fundamentos. Uma base legal para cada finalidade, transparência sobre o que recolhe e porquê, minimização de dados, direitos individuais (acesso, retificação, apagamento, portabilidade, objeção) respondidos no prazo de um mês, contratos escritos com cada processador, notificação de violação de 72 horas ao ICO onde existe risco para os indivíduos e responsabilidade — ser capaz de mostrar o seu trabalho.

Mudou, através da Lei de Dados (Uso e Acesso) de 2025, com disposições-chave em vigor a partir de 5 de fevereiro de 2026:

• Interesses legítimos reconhecidos. Uma nova base legal que abrange áreas como a prevenção do crime, proteção e segurança nacional, sem um teste de equilíbrio. Restrita, mas útil.
• Tomada de decisão automatizada facilitada. A proibição de decisões significativas exclusivamente automatizadas aplica-se agora principalmente quando estão envolvidos dados de categorias especiais; outras decisões automatizadas podem basear-se num conjunto mais amplo de bases, com salvaguardas.
• Reclamações diretas, a partir de 19 de junho de 2026. Os indivíduos podem reclamar primeiro consigo. Deve confirmar a receção no prazo de 30 dias e tratar disso sem atrasos indevidos. Crie uma via para isto — um endereço de e-mail no seu aviso de privacidade e um local para registar a reclamação.
• Penalizações do PECR alinhadas com o UK GDPR. O marketing incômodo e as violações de cookies têm agora o mesmo teto que as violações de dados.

Transferências internacionais. O Reino Unido reconhece o EEE como adequado e utiliza o IDTA ou o Aditamento do Reino Unido às SCCs da UE para outros destinos, além da Extensão do Reino Unido ao Quadro de Privacidade de Dados UE-EUA para recetores certificados nos EUA.

Taxa de proteção de dados do ICO. Se processa dados pessoais como empresa, quase certamente precisa de se registar no ICO e pagar uma taxa anual escalonada. É um valor pequeno para uma microempresa e é um requisito legal, não uma subscrição — não pagar é, por si só, uma violação passível de sanção. Verifique o seu escalão no site do ICO e defina um lembrete no calendário.

Cookies: a verdadeira divergência do Reino Unido

A exceção para fins estatísticos limita-se a informações agregadas usadas para melhorar o serviço ou website. Geralmente não permite identificar, traçar perfis ou seguir visitantes entre sites. Um terceiro não pode reutilizar os dados para a sua própria publicidade. São necessárias informações claras e um mecanismo de objeção simples e gratuito.

O armazenamento necessário e outras exceções têm as suas próprias condições; não aplique a regra estatística a todas as categorias. Verifique a configuração real em relação à orientação sobre exceções do ICO. A publicidade opcional continua condicionada ao consentimento.

A Lei de Segurança Online — sim, provavelmente aplica-se a si

Um serviço de utilizador para utilizador ou de pesquisa dentro do âmbito e com ligações ao Reino Unido pode ter deveres mesmo sendo pequeno. No entanto, existem isenções estatutárias. Um serviço limitado a comentários ou críticas sobre conteúdo publicado pelo fornecedor pode qualificar-se para a isenção de funcionalidade limitada; publicações de utilizadores, mensagens e outras funcionalidades podem alterar essa avaliação.

Utilize o verificador de âmbito da Ofcom e as explicações das isenções da Lei. Se estiver no âmbito, documente as avaliações de conteúdo ilegal e de acesso de crianças, implemente relatórios e controlos de segurança proporcionais e mantenha-os atualizados. A verificação da idade segue os deveres e riscos aplicáveis, não apenas a existência de um formulário.

Regras de consumo se vender

Regulamentos de Contratos de Consumo de 2013: informações pré-contratuais, um direito de cancelamento de 14 dias para contratos à distância e um modelo de formulário de cancelamento. Conteúdo digital entregue imediatamente só pode ser excluído com o consentimento expresso do consumidor e o reconhecimento de que o direito é perdido — capture ambos no checkout.

Lei dos Direitos do Consumidor de 2015: bens, serviços e conteúdo digital devem estar conforme descrito, ser adequados ao fim a que se destinam e ter qualidade satisfatória. Não pode contratar fora disto.

Lei DMCC de 2024: desde abril de 2025, a CMA aplica as regras de práticas comerciais desleais diretamente, com multas de até 10% do volume de negócios global. As disposições com peso para pequenos produtos: preços gota a gota (drip pricing) — o preço total, incluindo taxas inevitáveis, deve ser mostrado antecipadamente — e avaliações falsas e avaliações incentivadas ocultas, que são proibidas. Um novo regime estatutário para contratos de subscrição (lembretes antes da renovação, saída fácil, período de reflexão) está legislado, mas aguarda início, previsto pelo governo para a primavera de 2027, sujeito a legislação. Construa para isso agora; é a direção do mercado em todos os sites.

Identidade e detalhes de contacto devem ser fornecidos antes do contrato: nome comercial, endereço geográfico e uma forma de o contactar rapidamente.

Acessibilidade

Não existe regulamentação específica para a web para empresas privadas. O que existe é a Lei da Igualdade de 2010, que exige ajustes razoáveis para que as pessoas com deficiência não sejam colocadas numa desvantagem substancial — e um website que não pode ser usado com teclado ou leitor de ecrã é exatamente isso. As reclamações são apresentadas por indivíduos, e o referencial prático que os tribunais e auditores usam é o WCAG 2.2 Nível AA. Os organismos do setor público estão vinculados separadamente pelos regulamentos de acessibilidade de acordo com esse padrão.

O Código de Design Apropriado à Idade ("Código das Crianças") do ICO aplica-se a qualquer serviço da sociedade da informação suscetível de ser acedido por crianças no Reino Unido: padrões de alta privacidade, dados mínimos, sem técnicas de incentivo (nudge) para uma privacidade mais fraca, geolocalização desativada por padrão e sem criação de perfis para publicidade.

O prompt específico para o Reino Unido

Execute isto após os dez prompts na lista de verificação principal:

Add United Kingdom compliance mechanics to this app. Implement each item and report exactly what changed:

1. Inventory cookies and device access. Keep optional tracking blocked unless I have documented that its configuration meets a specific PECR exception. For qualifying statistical use, enforce its sole service-improvement purpose, clear notice and a simple free objection mechanism. Do not exempt a tool merely because it is labelled analytics. Advertising, marketing and cross-site tracking cookies must still be blocked until the user opts in. Show me the resulting list of scripts by category and which ones load before any user choice.
2. A privacy notice covering: lawful basis per purpose, retention, recipients, international transfers and the safeguard used, all UK GDPR rights, the right to complain to us directly and then to the ICO, and our ICO registration reference as [[ICO REGISTRATION NUMBER]].
3. A direct complaints route: a form or dedicated address for data protection complaints, an automatic acknowledgement to the complainant, and an internal log recording the date received, the acknowledgement date and the outcome.
4. Self-service rights: export my data, delete my account, correct my profile, and object to marketing — each in at most two clicks.
5. Marketing email consent: an unticked opt-in at signup, a record of when and how consent was given, sender identification and a working unsubscribe in every message. If we rely on the soft opt-in for existing customers, mark that in the code with a comment so I can check it with a lawyer.
6. If the app has any user-to-user feature — comments, messaging, profiles, uploads, reviews — list every one of them, and add: a way for any user to report content, a record of reports and what we did about them, terms stating what is not allowed, and a note in the admin area prompting an annual illegal-content risk assessment. Do not claim the app is Online Safety Act compliant; just build the mechanisms and list what is missing.
7. If we sell to consumers: total price including all unavoidable fees shown up front, a 14-day cancellation route in the account area, an explicit unticked acknowledgement for immediate delivery of digital content, and renewal date and amount shown before purchase and in account settings.
8. An accessibility pass against WCAG 2.2 Level AA — report findings by severity before fixing anything.

For each item report PASS or explain what blocked it.
Copiar prompt

Lista de verificação pré-lançamento — Reino Unido

• Taxa de proteção de dados do ICO paga e número de registo no aviso de privacidade
• Aviso de privacidade declara base legal, retenção, transferências, direitos e ambas as vias de reclamação
• Categorias de cookies divididas corretamente: analíticos/preferências com aviso + opt-out, publicidade atrás de opt-in
• Via de reclamações diretas ativa, com confirmação em 30 dias
• Exportação, eliminação e correção de dados funcionam de ponta a ponta
• Consentimento de marketing capturado e registado; cancelamento de subscrição funciona
• Funcionalidades de utilizador para utilizador inventariadas; mecanismo de relatório, termos e avaliação de risco documentados
• Vendas: preço total antecipado, cancelamento de 14 dias, reconhecimento de conteúdo digital, transparência na renovação
• Acessibilidade auditada contra WCAG 2.2 AA
• Código das Crianças considerado se menores de 18 anos puderem plausivelmente usar o serviço

O que as verificações da construção estabelecem

Os prompts são pedidos de implementação, não uma certificação jurídica. Controlos de dois cliques e padrões de consentimento primeiro são escolhas práticas de design, não requisitos estatutários universais. Confirme a jurisdição, exceções, retenção e contratos de fornecedores separadamente. Verifique os controlos com contas de teste e comportamento real do navegador/rede; um PASS do construtor baseado apenas na inspeção de código é uma evidência incompleta.

Fontes oficiais e âmbito de revisão

Atualizado em 14 de setembro de 2026. As fontes vinculadas apoiam o âmbito e as correções aqui discutidas; esta é uma revisão editorial, não uma opinião jurídica exaustiva ou uma certificação do seu produto. Verifique a regra operativa ao agir.

• Exceções de cookies do ICO
• Verificador de âmbito da Ofcom
• Resposta do governo ao regime de subscrição

• Início das reclamações no ICO

O Reino Unido tem a forma da UE, mas com o seu próprio dialeto — e as diferenças valem dinheiro. Execute a lista de verificação pré-lançamento, depois o prompt do Reino Unido acima. Vende noutro lugar? Veja a União Europeia, os Estados Unidos, o Canadá, a Austrália, o Brasil e Israel. Você pode construir isto.