UK GDPRとEU GDPRは規制上の起源を同じくしていますが、英国のEU離脱を受けて、現在は別個の法的枠組みとなっています。 UK GDPRは、Data Protection Act 2018（DPA 2018）その他の英国のプライバシー法令と併せて運用されています。さらに、Data (Use and Access) Act 2025（DUAA）により英国のデータ保護の枠組みに追加の改正が加えられ、データ保護に関する関連規定は現在すべて施行されています。 英国とEUの双方で事業を行う組織にとって、2つの枠組みがどこで引き続き整合し、どこで乖離しているのかを理解することは、実効的なプライバシーコンプライアンスを維持するうえで不可欠です。 本ガイドでは、地理的適用範囲、代理人、データ保護責任者、国際移転、子どものデータ、自動化された意思決定、執行および個人の権利について、UK GDPRとEU GDPRの要件を比較します。
並列比較：UK GDPR 対 EU GDPR
| 項目 | 🇬🇧 UK GDPR | 🇪🇺 EU GDPR |
|---|---|---|
| 主たる枠組み | UK GDPR＋DPA 2018＋適用される改正 | Regulation (EU) 2016/679 |
| 現行の英国の枠組み | DUAA 2025による変更を含む、改正後のUK GDPR | EU GDPR |
| 主な規制当局 | Information Commissioner's Office（ICO） | EDPBが調整する各国の監督機関 |
| 適用開始日 | UK GDPRは2021年1月1日から適用 | 2018年5月25日 |
| 制裁金の上限 | 最大1,750万ポンドまたは全世界年間売上高の4%のいずれか高い方 | 最大2,000万ユーロまたは全世界年間売上高の4%のいずれか高い方 |
| データ保護責任者 | UK GDPR／DPAの枠組みで定める状況において選任が必要 | 第37条で定める状況において選任が必要 |
| 英国代理人 | 英国域外の一定の組織に選任が求められる場合がある | EU GDPRでは該当なし |
| EU代理人 | EU域外の一定の組織に選任が求められる場合がある | 第27条に基づき選任が求められる場合がある |
| 国際移転 | 英国の十分性規則、UK IDTA、UK Addendum、BCRsその他の仕組み | EUの十分性認定、EU SCCs、BCRsその他の第5章に基づく仕組み |
| 侵害通知 | ICOへの通知が必要な場合、原則として72時間以内 | 監督機関への通知が必要な場合、原則として72時間以内 |
| データポータビリティ | あり | あり |
| 子どものオンライン保護 | DUAAによる子どもに対するより高い保護に関する規定を含む、英国固有の要件 | GDPRの保護措置に加え、各国およびEUの要件 |
| Cookie／電子マーケティング | PECR | 各国で国内法化されたeプライバシー指令 |
| 自動化された意思決定 | DUAAにより改正された英国固有の枠組み | GDPR第22条 |
| 規制体制 | 単一の英国の監督機関 | 複数の各国監督機関＋EDPB |
| ブレグジット後の関係 | 独立した英国の法制度 | 独立したEUの法制度 |
UK GDPRとは
UK GDPRは、ブレグジット後の英国におけるデータ保護の枠組みです。
EU GDPRをほぼそのまま基礎としていますが、英国の国内法の一部として運用されており、Data Protection Act 2018、Privacy and Electronic Communications Regulations（PECR）、Data (Use and Access) Act 2025、その他適用される英国の法令および分野別の要件と併せて解釈されます。
DUAA 2025は、UK GDPRおよびDPA 2018に代わるものではなく、これらを改正するものです。ICOは、DUAAにより導入されたデータ保護に関する規定が現在施行されていることを確認しています。
UK GDPRは、引き続き次のような分野を規律しています。
- 個人データの処理
- プライバシー通知
- 適法根拠
- 個人の権利
- データセキュリティ
- データ保護バイデザイン
- 国際移転
- アカウンタビリティ
- 管理者と処理者の関係
EU GDPRとは
一般データ保護規則（GDPR）は、EUの包括的なデータ保護の枠組みです。
EU加盟国全体に適用されるほか、第3条の地理的要件を満たす場合にはEU域外の組織にも適用されることがあります。
EU GDPRは、次の事項に関する要件を定めています。
- 適法性、公正性および透明性
- 目的の限定
- データの最小化
- 正確性
- 保存期間の制限
- 完全性および機密性
- アカウンタビリティ
- 個人の権利
- 国際移転
GDPRは各国の監督機関によって執行され、欧州データ保護会議（EDPB）がEU全体での一貫性の確保と調整を担っています。
UK GDPRとEU GDPRの主な違い
1. 別個の法的枠組み
ブレグジット以前、英国はEU加盟国としてEU GDPRの適用を受けていました。
UK GDPR
2021年1月1日以降、英国は独自のGDPRであるUK GDPRを運用しています。
英国議会は、UK GDPRを独自に改正することができます。
EU GDPR
2つの枠組みは現在も高度に整合していますが、今後はそれぞれ独自に発展する可能性があります。
EUの機関は、EUの立法および判例を通じてEU GDPRを改正または補完することができます。
重要なポイント： 一方の枠組みに対応していれば他方にも自動的に対応していることになる、と考えるべきではありません。
2. データ保護機関
UK GDPR
Information Commissioner's Office（ICO）は、英国の主たるデータ保護規制当局です。
ICOは、苦情を調査し、規制上のガイダンスを提供するほか、英国のデータ保護法の適用を受ける組織に対して執行措置をとることができます。
EU GDPR
EU GDPRは、各EU加盟国の監督機関を通じて運用されています。
EDPBは、監督機関間の協力、一貫性の確保および紛争解決を支援しています。
実務上の違い：多国籍組織は、英国ではICOに対応し、EUでは拠点、処理活動およびGDPRのワンストップショップの仕組みに応じて、1つまたは複数の監督機関に対応することになる場合があります。
3. 行政上の制裁金の上限
UK GDPR
重大な違反について、UK GDPRの制裁金は、1,750万ポンドまたは全世界年間売上高の4%のいずれか高い方に達することがあります。
EU GDPR
特定の重大な違反について、EU GDPRの制裁金は、2,000万ユーロまたは全世界年間売上高の4%のいずれか高い方に達することがあります。
したがって、売上高に対する割合で定められた上限はおおむね一致していますが、固定金額は異なります。
4. 第27条の代理人
ブレグジットにより、国際的に事業を行う組織にとって重要な違いが生じました。
英国代理人
英国域外の組織は、UK GDPRの代理人に関する規定の要件を満たす場合、英国代理人の選任が必要となることがあります。
EU代理人
同様に、EU域外の組織は、所定の条件に該当する場合、GDPR第27条に基づきEU代理人の選任が必要となることがあります。
両方が必要になるのでしょうか。その可能性はあります。英国とEUのいずれにも拠点を持たない企業が、双方の枠組みの地理的適用範囲に関する条件をそれぞれ満たす場合、EU代理人と英国代理人の両方が必要となることがあります。代理人に関する義務は、各法域の法律に基づいて個別に評価する必要があります。
5. 国際データ移転
国際移転は、英国とEUのコンプライアンス要件に乖離が生じている分野の一つです。
UK GDPR
英国の組織は、次のものを含む仕組みを利用できます。
- 英国の十分性規則
- 英国の国際データ移転契約（IDTA）
- EU標準契約条項に対するUK Addendum
- 拘束的企業準則（BCRs）
- その他の認められた移転の仕組み
英国には、独自の十分性の枠組みと移転評価があります。ICOの現行のガイダンスは、英国の国際移転に関する規則がEUの移転制度から独立して運用されていることを確認しています。
EU GDPR
EUの組織は、次のものを含む仕組みに依拠できます。
- EUの十分性認定
- EU標準契約条項
- 拘束的企業準則（BCRs）
- 適用される例外
英国・EU間の移転：英国とEUの間には、両法域間の個人データの流通を支える取決めがあります。ただし、英国・EU間のデータ流通が恒久的に制限されないと考えるのではなく、これらの取決めの状況を注視し、移転に関する文書を整備しておく必要があります。
6. データ保護責任者
UK GDPR
UK GDPRは、GDPR第37条に由来するDPOの枠組みを、英国固有の法令上の要件とともに維持しています。DPOは、次のような一定の場合を含む所定の状況において必要となります。
- 公的機関による処理
- 大規模かつ定期的で体系的なモニタリング
- 特別な種類の個人データの大規模な処理
EU GDPR
EU GDPRも、第37条に実質的に同様の要件を定めています。
重要なポイント： 英国とEUのDPO要件は現在もおおむね整合していますが、組織は各法域について個別に評価する必要があります。
7. 自動化された意思決定
自動化された意思決定は、英国法とEU法が異なる方向に発展しつつある分野です。
UK GDPR
Data (Use and Access) Act 2025により、完全に自動化された意思決定に関する英国の枠組みが変更されました。
新たな枠組みでは、所定の保護措置および条件を満たす場合、自動化された処理のみに基づく一定の重要な決定が認められます。
ICOは、DUAAにより自動化された意思決定および関連する保護措置について変更が導入されたと説明しています。
EU GDPR
EU GDPR第22条は、法的効果またはこれと同様の重大な影響を生じさせる、自動化された処理のみに基づく決定について、特別な保護を定めています。
AIシステムが関わる場合には、EU AI Actをはじめとする、適用されるその他のEU法令も考慮しなければなりません。
重要なポイント： 自動化された意思決定に関する規定は、もはや2つの制度で同一であるとは扱えません。
8. 子どものデータ
UK GDPR
英国には、子どもとオンラインサービスに関する特別な要件があります。
DUAAは、子どもに対するより高い保護に関する義務を導入し、対象となるオンラインサービスについてデータ保護措置を実施する際、子どものニーズを考慮することを組織に求めています。
ICOのAge Appropriate Design Codeも、子どもがアクセスする可能性の高いオンラインサービスについて、引き続き英国における重要なコンプライアンス上の指針となっています。
EU GDPR
EU GDPRには、子どもに関する特別な保護が定められています。
子どもに直接提供される一定の情報社会サービスについて、第8条は、同意に基づく処理の基準年齢を原則16歳と定めていますが、EU加盟国はこれを13歳を下回らない範囲で引き下げることができます。
加盟国およびEUレベルでの規制動向により、追加の要件が生じることがあります。
重要なポイント： 子どものプライバシーへの対応には、英国とEUそれぞれについて個別の評価が必要です。
9. Cookieと電子マーケティング
UK GDPR
英国のPrivacy and Electronic Communications Regulations（PECR）は、次のような分野を規律しています。
- Cookieおよび類似の技術
- 電子マーケティング
- ダイレクトマーケティング通信
- トラフィックデータおよび位置データ
DUAAによる変更で、法定の条件を満たす場合、プライバシーへの影響が小さい一定のCookieを同意なしに利用できるようになりました。
EU GDPR
EUでは、加盟国法を通じて国内法化されたeプライバシー指令が、GDPRとともに、Cookieおよび電子通信を規律する主要な枠組みであり続けています。
そのため、規制環境はEU加盟国ごとに異なる場合があります。
重要なポイント： 英国向けに設計したCookie同意の実装を、法域ごとの確認なしにEUのすべての市場へそのまま展開すべきではありません。
10. プライバシー通知と透明性
透明性に関する基本原則は、現在も高度に類似しています。いずれの枠組みも、一般に次の事項を説明することを組織に求めています。
UK GDPR
- データを処理する主体
- データを処理する理由
- 個人データの種類
- 法的根拠
- 受領者
EU GDPR
- 保存期間
- 国際移転
- 個人の権利
- 苦情申立ての仕組み
- 自動化された意思決定（該当する場合）
英国とEUの双方で事業を行う組織は、英国法とEU法に乖離が生じた際に通知を更新できる体制を維持する必要があります。DUAAは、一定の研究、アーカイブおよび統計目的の処理に関する透明性要件についても、対象を絞った変更を導入しています。
11. 個人の権利
UK GDPRとEU GDPRは、引き続き、次のものを含むおおむね同様の個人の権利を定めています。
UK GDPR
- アクセス権
- 訂正権
- 消去権
- 処理の制限を求める権利
EU GDPR
- データポータビリティの権利
- 異議を述べる権利
- 同意を撤回する権利
- 一定の自動化された意思決定に関する権利
ただし、英国の立法による改正によって、時間の経過とともに違いが生じる可能性があります。したがって、双方のプログラムを運用する組織は、法域ごとの権利対応ワークフローを維持する必要があります。
12. データ保護バイデザイン
UK GDPR
UK GDPRとEU GDPRのいずれの枠組みも、データ保護バイデザインおよびバイデフォルトの実施を組織に求めています。
英国の枠組みでは、DUAAにより、子どもの保護に関する考慮事項が新たに追加されています。
EU GDPR
これは、プライバシーとセキュリティを導入後に付け加えるのではなく、処理活動のライフサイクル全体を通じて考慮すべきであることを意味します。
13. 侵害通知
UK GDPR
管理者は原則として、該当する個人データ侵害を認識した後、不当な遅滞なく、可能な場合には72時間以内に、ICOに通知しなければなりません。
侵害が個人に高いリスクをもたらすおそれがある場合には、影響を受ける個人への通知も必要となることがあります。
EU GDPR
EU GDPRも、第33条に基づく同じ基本的な枠組みを採用しています。すなわち、該当する侵害を認識した後、不当な遅滞なく、可能な場合には72時間以内に通知するというものです。
重要なポイント： 侵害通知の基本的な枠組みは現在も高度に整合していますが、組織は、どの規制当局および法域固有の要件が適用されるかを判断しなければなりません。
14. データ保護影響評価
いずれの枠組みも、データ保護影響評価（DPIA）の概念を維持しています。DPIAは、一般に、処理が個人の権利および自由に高いリスクをもたらすおそれがある場合に必要となります。
UK GDPR
例として、次のものが挙げられます。
- 大規模なモニタリング
- センシティブデータの大規模な処理
- プロファイリング
- 一定のAIシステム
- 重大なプライバシーリスクを伴う革新的な技術
EU GDPR
評価では、次の事項を特定する必要があります。
- 処理活動
- 必要性および比例性
- リスク
- リスク低減措置
- 残存リスク
- ガバナンス上の責任
15. 特別な種類のデータ
いずれの枠組みも、特別な種類のデータに対するより厳格な保護を維持しています。
UK GDPR
例として、次のものが挙げられます。
- 健康に関する情報
- 遺伝データ
- 本人識別に用いられる生体データ
- 人種的または民族的出自
- 政治的意見
- 宗教上または思想上の信条
- 労働組合への加入
- 性生活または性的指向
EU GDPR
英国法には、DPA 2018に基づく英国固有の追加的な法定の条件および適用除外があります。
したがって、第9条への対応で自動的に十分であると考えるのではなく、該当する場合には英国固有のSchedule 1の条件を確認する必要があります。
16. 研究、アーカイブおよび統計
UK GDPR
英国は、DUAAを通じて、研究、アーカイブおよび統計目的の処理に影響する個別の改正を導入しました。
同法は、研究に関する一定の概念を明確化し、保護措置を維持しつつ、さらなる柔軟性をもたらしています。
ICOは、DUAAに、商業目的の科学研究を含む科学研究に関する変更が含まれ、研究に関する一定の規定が明確化されたことを確認しています。
EU GDPR
EU GDPRにも、科学的もしくは歴史的研究または統計目的を支える規定がありますが、立法上の枠組みは同一ではありません。
UK GDPRとEU GDPR：どちらがより厳格か
一方の枠組みがあらゆる面でより厳格であると評価するのは正確ではありません。
2つの枠組みは、次のような中核的な分野で現在も高度に整合しています。
- データ保護の原則
- 適法根拠
- 個人の権利
- アカウンタビリティ
- セキュリティ
- DPIA
- DPOに関する要件
- 侵害通知
ただし、次のような分野では違いの重要性が高まっています。
- 自動化された意思決定
- 子どもの保護
- 国際移転
- Cookieおよび電子通信
- 研究
- 規制当局による執行
- DUAAによる英国固有の改正
国際的に事業を行う組織にとって最善のアプローチは、共通のGDPR管理フレームワークを維持しつつ、英国固有およびEU固有の追加対応を重ねることです。
1つのプログラムでUK GDPRとEU GDPRの双方に対応できるか
はい。共通のプライバシー管理フレームワークにより、コンプライアンス業務の重複を大幅に減らすことができます。ただし、英国法とEU法が異なる分野については、法域ごとの管理策を維持する必要があります。
1. 一元的なデータインベントリ
次の事項を網羅した1つのグローバルなインベントリを維持します。
- 個人データ
- 処理の目的
- データ主体
- 管理者
- 処理者
- 受領者
- 保存場所
- 保存期間
- 国際移転
2. 統一された権利管理
ワークフローでは、請求がUK GDPR、EU GDPRまたはその双方のいずれに該当するかを特定する必要があります。
一元的なDSARワークフローで、次の事項を管理できます。
- アクセス請求
- 訂正
- 消去
- 処理の制限
- ポータビリティ
- 異議
- 自動化された決定に関する権利
3. 移転の管理
法域ごとに適切な移転の仕組みを利用します。
次の移転について、それぞれ個別の移転記録を維持します。
- 英国からの国際移転
- EUからの国際移転
- 英国・EU間の移転
- 第三国への移転
4. プライバシー通知の管理
中核部分については共通のプライバシー通知を利用できることが多いものの、要件が異なる箇所については英国固有およびEU固有のセクションを設ける必要があります。
5. Cookie・マーケティングのコンプライアンス
次の事項について、それぞれ個別のコンプライアンスロジックを維持します。
- 英国のPECR
- EUのeプライバシー要件
- GDPR／UK GDPR
- 同意に関する設定
- マーケティングに関する許諾
6. 侵害対応
統一されたインシデント対応プロセスには、法域ごとのエスカレーション経路を組み込む必要があります。組織は、次の事項を判断しなければなりません。
- 通知すべき規制当局
- 適用される期限
- 影響を受ける個人への通知の要否
- 適用される契約上の通知
- 保持すべき証拠
7. 規制モニタリング
英国とEUのプライバシー要件は、それぞれ個別にモニタリングする必要があります。
英国はEUの立法動向とは独立して自国の枠組みを改正できるため、その重要性はますます高まっています。
よくあるご質問
UK GDPRはEU GDPRと同じものですか？
いいえ。両者は同じ規制上の基盤を共有し、現在も非常に類似していますが、それぞれ独自に発展し得る別個の法的枠組みです。
UK GDPRとEU GDPRの両方に対応する必要がありますか？
その可能性があります。組織は、英国における処理活動についてはUK GDPRに、また自らの活動がEU GDPRの地理的適用範囲に含まれる場合にはEU GDPRに対応する必要が生じることがあります。
英国代理人とEU代理人の両方が必要ですか？
その可能性があります。いずれの法域にも拠点を持たない組織が、英国およびEUそれぞれの第27条の条件を満たす場合、法域ごとに別個の代理人が必要となることがあります。
UK GDPRはEU GDPRより厳格ですか？
あらゆる面でそうであるとはいえません。2つの枠組みは現在も密接に整合していますが、それぞれに法域固有の要件があり、時間の経過とともに乖離する可能性があります。
UK GDPRには現在も72時間以内の侵害通知要件がありますか？
はい。該当する個人データ侵害について、管理者は原則として、侵害を認識した後、不当な遅滞なく、可能な場合には72時間以内に、ICOに通知しなければなりません。
UK GDPRでは現在もDPOの選任が必要ですか？
はい、DPOに関する所定の法定の条件を満たす場合には必要です。英国の組織が第37条と同様のDPO要件から一般的に免除されているというのは正しくありません。
英国はEUから十分性認定を受けていますか？
EUは英国について十分性認定を採択しており、その枠組みの下で、要件を満たす個人データをEUから英国へ移転することが認められています。古い失効日の情報に依拠するのではなく、同認定の現在の有効性および条件を確認し続ける必要があります。
英国とEUの顧客に同じプライバシーポリシーを使用できますか？
多くの場合、可能です。共通のプライバシー通知で双方の顧客を対象とすることはできますが、規制当局、代理人、国際移転、Cookie、子どものプライバシーおよび英国固有の法的要件に関する違いを反映させる必要があります。
ブレグジットにより、GDPRコンプライアンスプログラムは2つ必要になりましたか？
必ずしもそうではありません。英国向けとEU向けのコンプライアンス層を分けたうえで、統一されたプライバシープログラムを運用することができます。
Data (Use and Access) Act 2025で何が変わりましたか？
DUAAは、自動化された意思決定、科学研究、子どもの保護、苦情処理手続、プライバシー通知、規制当局の権限、デジタルIDおよびスマートデータに関する取組みなど、複数の分野でUK GDPRおよびDPA 2018を改正しました。ICOは、データ保護に関する関連規定が現在すべて施行されていることを確認しています。
RegulatoryBridgeによるUK GDPR・EU GDPRへの対応
英国とEUのプライバシーコンプライアンスをまったく別々の仕組みで管理すると、不要な重複が生じるおそれがあります。
RegulatoryBridgeは、UK GDPR、EU GDPRその他の世界各地のプライバシーの枠組みを対象とする、連携のとれた1つのプライバシープログラムの構築を支援します。
当社の支援内容には、次のものが含まれます。
- UK GDPRコンプライアンス診断
- EU GDPRコンプライアンス診断
- 英国およびEUの第27条代理人に関する支援
- データマッピングおよびインベントリ
- プライバシー通知のレビュー
- DSAR管理
- DPOガバナンス
- DPIAに関する支援
- 国際移転の評価
- IDTA／SCCの評価
- Cookieおよび同意に関するコンプライアンス
- ベンダーおよび処理者の評価
- 侵害対応の計画策定
- 規制モニタリング
- 越境プライバシーガバナンス
- 継続的なコンプライアンス管理
UK GDPRとEU GDPRを1つのプログラムでカバーしましょう。
コントロールを一度マッピングすれば、2つの規制に準拠できます。RegulatoryBridgeは、単一のDSARパイプライン、単一のDPO、単一の侵害対応ランブックを提供し、両方のフレームワークをカバーします。