اللائحة البريطانية للبيانات بعد Brexit: ما الذي تغيّر؟
أرسى قانون حماية البيانات البريطاني لعام 2018 اللائحةَ البريطانية للبيانات UK GDPR. وهي تسير بخطى متقاربة مع اللائحة الأوروبية GDPR — غير أنها لا تطابقها في كل جانب. إن كنت تعمل في السوقين البريطانية والأوروبية معًا، فأنت أمام إطارَين امتثالٍ مستقلَّين.
ما بقي كما هو:
- ستة أسس قانونية للمعالجة
- حقوق الأشخاص المعنيين: الوصول، والمحو، والتصحيح، وقابلية النقل
- إخطار الجهة التنظيمية بالاختراق خلال 72 ساعة
- الخصوصية في التصميم وبحكم الافتراض
ما تغيّر:
- تُصدر المملكة المتحدة قراراتها الخاصة بشأن كفاية الحماية للتحويلات العابرة للحدود
- إرشادات الذكاء الاصطناعي الصادرة بين عامَي 2023 و2024 تتجاوز ما أصدره المجلس الأوروبي لحماية البيانات EDPB
- استثناءات البحث العلمي أوسع قليلًا مما هو معمول به في الاتحاد الأوروبي
- تتجه الجهة التنظيمية من نهج الإرشاد أولًا نحو فرض الغرامات — بوتيرة أسرع من ذي قبل
الفجوة بين القانونَين البريطاني والأوروبي حقيقية. تعاملَ معهما بوصفهما قائمتَي تحقق مستقلتَين.
غرامة LastPass: التشفير اختبارٌ قانوني
في ديسمبر 2025، غرّمت هيئة ICO شركة LastPass البريطانية مليونًا ومئتَي ألف جنيه إسترليني (1.2 مليون £) بسبب إعداد تشفير معيب. يُعدّ هذا أهم قرار تنظيمي يصدر حتى الآن بشأن الأمن التقني في إطار اللائحة البريطانية UK GDPR.
ما رصدته الجهة التنظيمية: خزّنت LastPass سجلات الخزائن باستخدام مفاتيح محفوظة على الخادم. كل من وصل إلى الخادم كان قادرًا على قراءة الخزينة. خلص القرار إلى أن ذلك يخالف اختبار "التدابير التقنية الملائمة" المنصوص عليه في المادة 32 من اللائحة البريطانية UK GDPR.
العبارة المفتاحية من الإشعار: "كان ينبغي للمتحكم استخدام تشفير من جانب العميل. كان ذلك سيحمي سجلات خزينة المستخدمين حتى في حالة اختراق الخادم."
ما يُرسّخه هذا القرار: إذا كان تصميم أكثر أمانًا ممكنًا وقابلًا للتطبيق، فقد يُعدّ اختيار البديل الأضعف انتهاكًا للمادة 32. لم تعد إدارة المفاتيح من جانب الخادم خيارًا آمنًا بحكم الافتراض للسجلات الحساسة.
من هم المعرّضون للخطر: أي خدمة تحتفظ بسجلات حساسة وتُبقي مفاتيح التشفير على خوادمها. ويشمل ذلك الأدوات التي تُسجّل النصوص لأغراض التدقيق أو إحصاءات الاستخدام أو سجل الوثائق. إن كان الخادم قادرًا على قراءة النص، فقد يتساءل المنظّمون لماذا لم تُعتمَد بنية التشفير من جانب العميل. تعرّف على كيفية تعامل anonym.legal مع ذلك عبر بنية انعدام المعرفة.
إرشادات الذكاء الاصطناعي البريطانية: ثمانية اشتراطات تقنية
نشرت الجهة التنظيمية البريطانية إرشادات تفصيلية بشأن الذكاء الاصطناعي بين عامَي 2023 و2024، تشمل ثمانية اشتراطات محددة لأنظمة الذكاء الاصطناعي التوليدي. الإرشادات الأوروبية المقابلة أقل تفصيلًا.
1. مصدر بيانات التدريب — يجب على أنظمة الذكاء الاصطناعي المدرَّبة على سجلات شخصية تسجيل مصدر هذه البيانات وخطوات تنظيفها.
2. مراقبة المخرجات — يجب أن تشتمل الأنظمة التي تُنتج مخرجات شخصية على ضوابط لرصد الإفصاح غير المناسب ووقفه.
3. تحديد الغرض — يجب أن تتطابق السجلات المستخدمة لتدريب الذكاء الاصطناعي مع الغرض المُعلَن. يستلزم التدريب العام على سجلات العملاء أساسًا قانونيًا واضحًا.
4. حقوق القرارات الآلية — إذا اتخذ نظام الذكاء الاصطناعي قرارات جوهرية تمس أشخاصًا، وجب أن يدعم حق الوصول والتفسير والطعن.
5. رصد التحيّز — يجب أن تشتمل الأنظمة التي تستخدم السمات المحمية — مباشرةً أو باستنتاج — على فحوصات للتحيز.
6. التخفيض قبل الضبط الدقيق — يجب تقليص السجلات الشخصية قبل الضبط الدقيق؛ لا تكفي السياسة وحدها.
7. المحو من أوزان النموذج — إذا دخلت السجلات في أوزان النموذج، يجب توفير خطة لمعالجة طلبات المحو بضمانات تقنية مكافئة.
8. مراجعة الذكاء الاصطناعي الخارجي — عند استخدام ذكاء اصطناعي تابع لجهة أخرى، يجب التحقق من امتثاله للنقاط الثماني وتوثيق ذلك.
تشكّل هذه النقاط الثماني قائمة مرجعية عملية لأي نشر ذكاء اصطناعي في المملكة المتحدة.
التنفيذ البريطاني: التحوّل نحو الغرامات
اعتاد المنظّم تفضيل خطابات الإرشاد على العقوبات. هذا يتغير. تكشف الإجراءات الأخيرة عن نمط واضح:
| الإجراء | المبلغ | العام | السبب |
|---|---|---|---|
| British Airways | 20 مليون £ | 2020 | اختراق — أمن ضعيف |
| Marriott International | 18.4 مليون £ | 2020 | اختراق — إهمال العناية الواجبة |
| LastPass البريطانية | 1.2 مليون £ | 2025 | إخفاق في تصميم التشفير |
| لجنة الانتخابات | توبيخ بقيمة 4.4 مليون £ | 2023 | خادم غير مُرقَّع |
صدرت 67 إشعارًا تنفيذيًا في 2024 — رقم قياسي. وقضية LastPass لافتة لأن الغرامة صدرت على قرار تصميمي، لا مجرد نتيجة اختراق. فحص المنظّمون طريقة بناء النظام. هذا جديد.
التحويلات بين المملكة المتحدة والاتحاد الأوروبي: مخاطر في الاتجاهين
تواجه المنظمات البريطانية التي تتعامل مع سجلات شخصية أوروبية التزامات من الجانبين.
من الاتحاد الأوروبي إلى المملكة المتحدة: منح الاتحاد المملكةَ المتحدة قرار كفاية في 2021. لا يزال ساريًا، لكنه مطعون فيه قانونيًا. لا تعتمد عليه وحده — فبنود العقود النموذجية (SCCs) بديل منطقي.
من المملكة المتحدة إلى الاتحاد الأوروبي: لا قاعدة راهنة تحظر نقل السجلات البريطانية إلى معالجين في الاتحاد. لكن المعالج الأوروبي الذي يتناول سجلات بريطانية قد يستدعي تطبيق اللائحة الأوروبية GDPR من جانبه.
خطوة عملية: أعدّ موقفك البريطاني وموقفك الأوروبي في وثيقتين منفصلتين. وضّح أوجه التوافق والاختلاف. هذه هي الوثيقة التي تحتاجها إن سألك المنظّم. نظرة عامة على الامتثال لدينا تُوضّح الجانبين معًا.
للاطلاع على تصميم انعدام المعرفة وكيف يعالج مخاطر اختراق الخادم المُحدّدة في قضية LastPass، اقرأ صفحة بنية الأمان والخصوصية لدينا.