Abrir workspace

Guia · Regulamento britânico

UK GDPR e cookies no Reino Unido, sem juridiquês

Depois do Brexit, o Reino Unido ficou com regras próprias de privacidade e de cookies. Em 2026 elas mudaram de novo: surgiram exceções ao consentimento, as multas de cookies subiram e o regulador ganhou outro nome. Este guia explica o que vale hoje para um site com AdSense ou Ad Manager que recebe visitantes britânicos.

Auditar meu tráfego do Reino UnidoLer o guia
  • ✓Baseado na legislação britânica e na orientação oficial do regulador
  • ✓Exemplos de sites com anúncios, inclusive brasileiros
  • ✓Leitura sem alterar o site
£17,5 miteto das multas mais graves do UK GDPR
4%do faturamento mundial anual, quando esse valor for maior que o teto fixo
5exceções ao consentimento para cookies previstas na orientação oficial de 2026
72 hprazo para avisar o regulador sobre um vazamento de dados que gere risco às pessoas

O que é

Três regras que funcionam juntas

Quando o Reino Unido saiu da União Europeia, copiou o GDPR europeu para a própria legislação. Essa cópia, em vigor desde 1º de janeiro de 2021, se chama UK GDPR. Ela trabalha junto com a Data Protection Act 2018, a lei britânica que completa e adapta o texto, e com o PECR, o regulamento de 2003 que trata de cookies, marketing por e-mail e comunicações eletrônicas.

Na prática, o UK GDPR define o que é dado pessoal, quando ele pode ser usado e quais direitos as pessoas têm. O PECR responde a uma pergunta mais específica: quando um site pode gravar ou ler informações no aparelho do visitante. Cookies, pixels, armazenamento local do navegador, impressão digital do aparelho e scripts de rastreamento entram todos nessa regra.

A lei vale para empresas estabelecidas no Reino Unido e também para empresas de fora que oferecem produtos ou serviços a pessoas no país ou que monitoram o comportamento delas. Um site brasileiro que usa cookies de anúncios para criar perfis de visitantes britânicos está monitorando comportamento, mesmo sem escritório em Londres.

Em 2025, a Data (Use and Access) Act 2025 alterou as três normas. A maior parte das mudanças passou a valer em 5 de fevereiro de 2026. E, em 30 de setembro de 2026, o regulador ICO deu lugar à Information Commission, que assumiu as mesmas funções e poderes.

Checklist

O que você precisa cumprir

Estes são os pontos que o regulador britânico e o Google cobram de um site com anúncios que recebe visitantes do Reino Unido.

  1. Use uma CMP certificada pelo Google

    Desde 16 de janeiro de 2024, o Google exige uma CMP certificada e integrada ao IAB TCF para mostrar anúncios personalizados no Reino Unido. Sem ela, esse tráfego só pode receber anúncios não personalizados ou limitados.

    Exemplo

    Em Privacidade e mensagens, crie a mensagem de regulamentações europeias, que vale para o EEE, o Reino Unido e a Suíça.

  2. Peça consentimento para todo cookie de anúncio

    A orientação oficial diz que a publicidade online nunca ficou fora da exigência de consentimento. Cookies e pixels de anúncio só podem ser gravados depois de um consentimento válido.

    Exemplo

    O pixel de remarketing só carrega depois do clique em Consentimento.

  3. Torne a recusa tão fácil quanto o aceite

    O regulador espera que recusar dê o mesmo trabalho que aceitar. Silêncio ou falta de resposta não contam como consentimento.

    Exemplo

    Consentimento e Não consentir aparecem juntos na primeira tela, com o mesmo tamanho.

  4. Comece com tudo desligado

    As opções para tecnologias que dependem de consentimento devem vir desligadas por padrão. Só a escolha ativa do visitante pode ligá-las.

    Exemplo

    Na tela de preferências, os botões de publicidade e de medição de anúncios começam na posição desligado.

  5. Diga quem são os terceiros

    Para o consentimento valer, o site precisa informar a identidade dos terceiros que recebem os dados.

    Exemplo

    O banner tem um link para a lista de parceiros, com o Google e cada rede de anúncios do site.

  6. Permita retirar o consentimento a qualquer momento

    A lei exige que o visitante possa retirar o consentimento quando quiser. A política do Google também pede instruções claras para isso.

    Exemplo

    Um link fixo no rodapé, Preferências de privacidade, abre o banner de novo.

  7. Use as exceções só com aviso e recusa simples

    Cookies de estatística e de aparência podem dispensar consentimento, mas o site precisa explicar a finalidade e oferecer um jeito simples e gratuito de recusar. Essas exceções não cobrem publicidade.

    Exemplo

    Na página de cookies: usamos cookies de estatística para melhorar o site, e você pode desligá-los neste botão.

  8. Veja se precisa pagar a taxa ao regulador

    Organizações que usam dados pessoais precisam pagar a taxa de proteção de dados, a menos que estejam isentas. Confira no site do regulador se é o seu caso.

Na prática

Certo e errado

Ferramentas oficiais

CMPs certificadas e links oficiais

Para anúncios personalizados no Reino Unido, o Google exige uma CMP certificada, e estas são as páginas oficiais para escolher e configurar.

Definições

As palavras que aparecem em todo lugar

São os mesmos conceitos do GDPR europeu, com alguns nomes novos trazidos pela reforma de 2025.

Dado pessoal

Qualquer informação ligada a uma pessoa identificada ou identificável. Identificadores online, como cookies, IDs de publicidade e endereço IP, normalmente contam como dado pessoal.

Controlador e operador

O controlador decide por que e como os dados são usados, como o dono do site. O operador trata os dados em nome dele, como uma empresa de hospedagem ou de e-mail.

Tecnologias de armazenamento e acesso

É o nome que o regulador passou a usar para cookies e tudo o que faz o mesmo papel: pixels, web storage, fingerprinting e scripts que leem dados do aparelho.

Consentimento

Uma escolha livre, específica, informada e feita com uma ação clara, como clicar em aceitar. Silêncio, caixas pré-marcadas ou continuar navegando não valem como consentimento.

Bases legais e consentimento

Quando é preciso pedir permissão

O UK GDPR exige uma base legal para cada uso de dado pessoal. As mais comuns são consentimento, execução de contrato, obrigação legal e interesse legítimo. A reforma de 2025 criou uma lista de interesses legítimos reconhecidos, como prevenção de crimes e situações de emergência, que dispensam o teste de equilíbrio. Publicidade não está nessa lista.

Para cookies, quem manda é o PECR. A regra geral continua a mesma: gravar ou ler algo no aparelho do visitante exige consentimento, a não ser que o uso caiba numa exceção. O padrão de consentimento é o do UK GDPR, e o regulador espera que recusar seja tão fácil quanto aceitar.

Desde 5 de fevereiro de 2026 existem cinco exceções: transmissão da comunicação, serviço estritamente necessário, estatística para melhorar o próprio serviço, aparência ou funcionalidade escolhida pelo usuário e assistência de emergência. Nas exceções de estatística e de aparência, o site precisa avisar com clareza e oferecer um jeito simples e gratuito de recusar.

A orientação oficial é direta: nenhuma das exceções cobre publicidade online. Cookies e pixels de anúncios personalizados, medição de anúncios e remarketing continuam dependendo de consentimento. Em maio de 2026 o regulador sugeriu ao governo estudar uma exceção para publicidade de baixo risco, mas nada mudou na lei até agora.

Direitos das pessoas

O que o visitante pode pedir ao seu site

Qualquer pessoa no Reino Unido pode exercer estes direitos. O site precisa ter um canal para receber os pedidos e responder no prazo.

Saber e acessar

Receber informação clara sobre o uso dos dados e uma cópia do que o site guarda sobre ela, em regra em até um mês.

Corrigir e apagar

Pedir correção de dados errados e exclusão quando não houver mais motivo para guardá-los, por exemplo depois de retirar o consentimento.

Se opor ao marketing

Recusar o uso dos dados para marketing direto a qualquer momento. Nesse caso a oposição é absoluta e o site precisa parar.

Retirar o consentimento

Mudar de ideia sobre cookies com a mesma facilidade com que aceitou. Um link fixo para reabrir as preferências resolve.

Decisões automatizadas

Ser informado, contestar e pedir revisão humana quando uma decisão importante for tomada só por sistema.

Reclamar ao controlador

Desde 19 de junho de 2026, quem trata dados precisa ter um processo de reclamação e confirmar o recebimento em até 30 dias.

Obrigações

O que um site com visitantes britânicos precisa fazer

  1. Publicar um aviso de privacidade completoDiga quem é o responsável pelo site, quais dados coleta, para quê, com que base legal, com quem compartilha, por quanto tempo guarda e como a pessoa exerce os direitos. Cite os parceiros de anúncios e a transferência de dados para fora do país.
  2. Mostrar um banner com escolha realAntes de qualquer cookie de anúncio ou de medição de anúncio, peça consentimento. Aceitar e recusar precisam ter o mesmo peso visual e ficar na mesma tela.
  3. Bloquear o que depende de consentimentoPixels, remarketing e anúncios personalizados só podem disparar depois do aceite. Sem resposta, o site trata como recusa.
  4. Usar as exceções com transparênciaSe você usa cookies de estatística ou de preferências sem consentimento, explique isso na página de cookies e dê um jeito simples de desligar.
  5. Cuidar de segurança e vazamentosProteja os dados e avise o regulador em até 72 horas quando um vazamento puder trazer risco às pessoas. Se o risco for alto, avise também os afetados.
  6. Manter a casa em ordemTenha contratos com os fornecedores que tratam dados, faça avaliação de impacto para usos de alto risco e verifique se a empresa precisa pagar a taxa anual ao regulador.

Fiscalização e multas

Quanto custa errar

O regulador costuma começar com advertências e ordens de correção, mas as multas máximas são altas, e a reforma de 2025 reforçou também os poderes sobre cookies.

Teto mais alto do UK GDPR

Até 17,5 milhões de libras ou 4% do faturamento mundial anual, o que for maior, para as infrações mais graves, como tratar dados sem base legal.

Teto padrão

Até 8,7 milhões de libras ou 2% do faturamento mundial anual para falhas como registros incompletos ou segurança inadequada.

Poderes maiores sobre cookies

A reforma de 2025 ampliou os poderes de fiscalização e de multa do regulador sobre o PECR. As regras novas valem para condutas a partir de 5 de fevereiro de 2026.

Fiscalização ativa

Em janeiro de 2025 o regulador anunciou a revisão dos banners dos mil sites mais visitados do país. Em abril de 2026, informou que 99% deles já cumpriam os padrões.

Linha do tempo

Como as regras chegaram até aqui

As datas que mais pesam para quem tem visitantes do Reino Unido.

  1. 2003

    Nasce o PECR

    O regulamento britânico de comunicações eletrônicas passa a tratar de cookies e marketing eletrônico.

  2. 25 de maio de 2018

    GDPR e Data Protection Act 2018

    O GDPR europeu passa a valer no Reino Unido, junto com a nova lei britânica de proteção de dados.

  3. 1º de janeiro de 2021

    Começa o UK GDPR

    Com o fim da transição do Brexit, o país passa a ter a sua própria versão do GDPR.

  4. 16 de janeiro de 2024

    CMP certificada para anúncios do Google

    Para anúncios personalizados no Reino Unido, AdSense e Ad Manager passam a exigir uma CMP certificada e integrada ao IAB TCF.

  5. 19 de junho de 2025

    Data (Use and Access) Act 2025

    A lei que reforma o UK GDPR, a Data Protection Act e o PECR recebe a sanção real.

  6. 5 de fevereiro de 2026

    Novas exceções e mais poderes

    Entram em vigor as novas exceções para cookies, os interesses legítimos reconhecidos e os novos poderes de fiscalização do regulador sobre o PECR.

  7. 29 de abril de 2026

    Orientação final sobre cookies

    O regulador publica a versão final da orientação sobre tecnologias de armazenamento e acesso.

  8. 30 de setembro de 2026

    Information Commission

    O ICO é substituído pela Information Commission, um órgão colegiado com as mesmas funções e poderes.

Para quem tem AdSense ou Ad Manager

O que muda na prática para a receita

O Google trata o Reino Unido do mesmo jeito que o Espaço Econômico Europeu. Para mostrar anúncios personalizados a visitantes britânicos, o site precisa de uma CMP certificada pelo Google e integrada ao IAB TCF. Sem ela, esse tráfego só recebe anúncios não personalizados ou limitados, que costumam render bem menos.

A CMP grava a escolha do visitante numa TC string e repassa os sinais do Consent Mode para as tags do Google. Se o site também usa Google Analytics ou Google Ads, os quatro sinais do Consent Mode precisam refletir o que a pessoa escolheu no banner.

Pense num portal brasileiro de receitas que recebe uma fatia pequena de visitantes do Reino Unido, muitos deles brasileiros que moram lá. Para o público do Brasil vale a LGPD; para o britânico, vale o UK GDPR com o PECR. A configuração certa mostra a mensagem do TCF só para quem está no Reino Unido, no EEE e na Suíça, sem atrapalhar o público brasileiro.

A Mensagem de privacidade do próprio AdSense e do Ad Manager é certificada e já cobre o Reino Unido. Quem usa outra CMP precisa confirmar que ela está na lista do Google e que o Reino Unido está entre as regiões configuradas.

Na prática

O que pode e o que não pode no Reino Unido

Exemplos comuns em sites de notícias, receitas, finanças e vagas que recebem visitantes britânicos.

Pode

  • Usar cookies de estatística para melhorar o próprio site sem consentimento, desde que avise e ofereça um jeito simples de recusar
  • Guardar a preferência de idioma ou de tema escuro do visitante com base na exceção de aparência
  • Mostrar a mensagem do TCF só para visitantes do Reino Unido, do EEE e da Suíça
  • Exibir anúncios não personalizados para quem recusou
  • Usar a Mensagem de privacidade do AdSense ou do Ad Manager, que já é certificada

Não pode

  • Carregar pixels de remarketing ou cookies de anúncios antes do clique em aceitar
  • Enquadrar a medição de anúncios na exceção de estatística
  • Colocar só o botão aceitar na primeira tela e esconder a recusa num menu
  • Usar um plugin de cookies comum, fora da lista do Google, para o tráfego britânico
  • Tratar continuar navegando como se fosse consentimento

Erros comuns

Onde os sites mais escorregam

São falhas que aparecem com frequência em auditorias de sites com tráfego do Reino Unido.

Achar que o Brexit tirou o Reino Unido da regra

Muitos configuram a CMP só para a União Europeia. O visitante britânico fica sem mensagem e o Google passa a entregar anúncios limitados.

Ler a reforma de 2025 como liberação geral

As novas exceções servem para estatística, preferências e emergência. Anúncios continuam precisando de consentimento.

Banner que só enfeita

O banner aparece, mas os cookies de anúncios já foram gravados antes da resposta. Para o regulador, isso equivale a não pedir consentimento.

Recusa mais difícil que o aceite

Aceitar com um clique e recusar com cinco é o tipo de desenho que o regulador vem cobrando dos grandes sites.

Política de privacidade genérica

Texto copiado de outro site, sem citar o Google, os parceiros de anúncios, as transferências internacionais nem o canal para pedidos.

Exceção sem opção de recusar

Usar cookies de estatística ou de aparência sem consentimento e não oferecer um jeito simples de desligar quebra a condição da própria exceção.

No ConsentMode

O que a auditoria confere para o Reino Unido

  • Abre o site como visitante do Reino Unido e de fora dele e registra onde o banner aparece e quais botões ele oferece.
  • Identifica a CMP pelo código da página e diz se ela consta na lista de CMPs certificadas do Google.
  • Lê a TC string e os sinais do Consent Mode e compara com o que o visitante escolheu.
  • Lista os cookies e pedidos de rede antes e depois do aceite e aponta o que dispara antes da hora.
  • Confere se a página de privacidade cita os parceiros de anúncios, as bases legais, os direitos e um canal de contato.
Fazer uma auditoriaVer tudo o que é conferido

Perguntas frequentes

Meu site é brasileiro e não tem empresa no Reino Unido. A lei vale para mim?

Vale para os visitantes que estão no Reino Unido quando o site monitora o comportamento deles, como acontece com cookies de anúncios personalizados. E, mesmo sem olhar para a lei, o Google exige CMP certificada para mostrar anúncios personalizados a esse público.

Cookies do Google Analytics ainda precisam de consentimento?

Depende do uso. A exceção de estatística vale quando os dados servem só para medir e melhorar o próprio site, com aviso claro e opção simples de recusar. Se a ferramenta usa os dados para anúncios ou para fins do próprio fornecedor, a exceção não se aplica.

O ICO acabou? Quem fiscaliza agora?

Desde 30 de setembro de 2026, as funções do ICO passaram para a Information Commission. O papel e os poderes do regulador não mudaram e o trabalho do dia a dia continua; muda o modelo de comando, que agora é colegiado.

A reforma de 2025 deixou o Reino Unido mais flexível que a União Europeia?

Em alguns pontos, sim, como as novas exceções para estatística e preferências. Para anúncios personalizados, o resultado prático é igual: consentimento antes de gravar ou ler qualquer coisa no aparelho.

Posso usar uma CMP só para o Reino Unido e outra para a Europa?

Pode, mas é raro valer a pena. A maioria das CMPs certificadas cobre EEE, Reino Unido e Suíça com a mesma configuração, por região.

O que acontece com a receita se o visitante recusar?

O Google ainda pode exibir anúncios não personalizados ou limitados para essa pessoa. A receita por visita costuma ser menor, mas o site continua monetizando sem violar a regra.

Biblioteca

Fontes oficiais

Este guia foi escrito a partir destas páginas oficiais. Leia direto na fonte:

Veja como o seu site aparece para um visitante britânico

A auditoria abre o site a partir do Reino Unido, registra o banner e os cookies e mostra o que corrigir, sem alterar nada.

Começar a auditoria