Em 19 de junho de 2026 o Information Commissioner’s Office do Reino Unido celebrou o primeiro aniversário do início pleno da Data Use and Access Act 2025, publicando orientações atualizadas sobre como lidar com reclamações de privacidade e decisões automatizadas. A lei recebeu assentimento real em 19 de junho de 2025 e, após um cronograma escalonado de implementações, todas as suas disposições de proteção de dados entraram em vigor exatamente um ano depois.

A trajetória da lei desde o assentimento real

A Data Use and Access Act percorreu um caminho de doze meses marcado por etapas sucessivas de entrada em vigor, iniciando com regulamentos em agosto e setembro de 2025 e culminando com as mudanças mais substanciais em fevereiro de 2026. Durante todo esse período o ICO manteve um ritmo intenso de trabalho, realizando onze consultas públicas sobre temas como marketing direto, interesse legítimo reconhecido, reclamações, pesquisa e tomada de decisões automatizada, coletando mais de trezentas respostas que ajudaram a moldar as orientações finais.

Essas consultas não foram apenas burocracia; elas traduziram em prática as intenções do legislador ao permitir que empresas e especialistas comentassem como as novas regras afetariam operações cotidianas, desde o tratamento de dados de clientes até o uso de sistemas automatizados para aprovar ou recusar serviços. O resultado é um conjunto de orientações que buscam equilibrar a proteção dos direitos individuais com a necessidade de as organizações continuarem inovando sem medo de interpretações ambíguas.

Novos poderes e responsabilidades para o ICO

Com a lei agora plenamente vigente, o Information Commissioner’s Office ganhou ferramentas adicionais de enforcement que incluem a capacidade de compelir testemunhas a comparecer em entrevistas e solicitar relatórios de pessoas aprovadas. Além disso, o órgão já publicou rascunho de orientações procedimentais de enforcement e iniciou os trabalhos para elaborar um novo código estatutário de prática sobre inteligência artificial e tomada de decisões automatizada, tema que ganhou destaque nas consultas recentes.

O poder de aplicar multas de até 17,5 milhões de libras ou 4 % do faturamento global anual sob o PECR reforça a seriedade com que o Reino Unido passa a tratar violações relacionadas a comunicações eletrônicas e marketing. Organizações que antes viam a regulação de dados como um exercício teórico agora precisam revisar processos concretos, desde a forma como obtêm consentimento até os mecanismos de contestação de decisões automatizadas que afetam significativamente os indivíduos.

O que muda na prática para organizações

As orientações publicadas em 23 de junho de 2026 trazem clareza sobre como registrar e responder a reclamações de privacidade, um ponto que muitas empresas indicaram como fonte de incerteza durante as consultas. Ao mesmo tempo, o estreitamento da proibição geral de decisões automatizadas significativas, já em vigor desde fevereiro, exige que sistemas de automated decision-making passem por avaliações de impacto mais rigorosas quando envolvem efeitos legais ou substanciais sobre as pessoas.

Para quem lida diariamente com dados de clientes, a mensagem é direta: o período de adaptação terminou e o foco agora está na aplicação consistente das regras. O ICO disponibilizou material atualizado em treze áreas prioritárias, incluindo proteções específicas para crianças, que entraram em cena com as reformas de fevereiro de 2026. Revisar esses documentos e ajustar políticas internas tornou-se o próximo passo lógico para qualquer organização que processe dados no Reino Unido.