GDPR المملكة المتحدة بعد البريكست: ما الذي تغيّر؟
أفرز قانون حماية البيانات والمعلومات الرقمية (DPDI) لعام 2025 في المملكة المتحدة أربعة عشر تغييراً على أحكام GDPR الأوروبي، لتتشكّل بذلك أول هوّة حقيقية بين قانون الخصوصية في الاتحاد الأوروبي والمملكة المتحدة منذ خروج الأخيرة. واتفاقية الملاءمة بين الطرفين قيد المراجعة، وسيكون لنتيجتها أثر بالغ على كل مؤسسة تنقل بيانات شخصية بين المنطقتين.
غرامة LastPass: معيار تقني جديد
فرضت هيئة مكتب مفوض المعلومات (ICO) غرامة على LastPass UK بلغت 1.2 مليون جنيه إسترليني في ديسمبر 2025، لتكون القضية التقنية الأمنية الكبرى في المملكة المتحدة حتى الآن.
رصدت الهيئة ثغرتين محوريتين:
ضعف التشفير: خزّن LastPass قبو كلمات مرور العملاء بتشفير قديم. وصفته ICO بـ"غير الملائم" وفق المادة 32 من GDPR المملكة المتحدة. كان بعض الأقبية يستخدم PBKDF2-SHA256 بتكرار واحد فحسب، في حين يشترط المركز الوطني للأمن السيبراني (NCSC) في المملكة المتحدة ما لا يقل عن 600,000 تكرار لمفاتيح كلمات المرور.
ما يستلزمه القانون الآن: تُوجب المادة 32 من GDPR المملكة المتحدة اتخاذ "تدابير تقنية ملائمة" تواكب "حالة الفن التقني". وخلصت ICO إلى أن اشتقاق المفاتيح عام 2022 كان يستدعي قدرات أعلى بكثير مما وفّره LastPass؛ فما كان مقبولاً عام 2015 لم يعد كذلك في 2022.
النتيجة: باتت معايير تشفير الموردين بنداً قابلاً للتدقيق والمراجعة. يتعين عليك التحقق من أن أدواتك تستخدم المعايير الحالية لا الأساسية المتقادمة. راجع نظرة عامة على الأمان والامتثال للاطلاع على آليات تعاملنا مع هذا الموضوع.
قانون DPDI 2025: ستة تغييرات جوهرية
أحدث القانون أربعة عشر تغييراً موثّقاً على قانون البيانات البريطاني، يبرز منها ستة تغييرات ذات أثر يومي مباشر.
1. المصالح المشروعة: يُدرج القانون قائمة بـ"المصالح المشروعة المعترف بها" التي تتجاوز اختبار الموازنة الذي يظل متطلباً في القانون الأوروبي، مما يُيسّر الاستناد إلى هذا الأساس القانوني للشركات البريطانية.
2. البحث العلمي والإحصاء: يوسّع القانون استثناء البحث العلمي، مما يُقلّل من متطلبات الموافقة عند الاستخدام الثانوي للبيانات الشخصية لأغراض بحثية مقارنةً بالقانون الأوروبي.
3. القرارات الآلية: يُحلّ محل المادة 22 الأوروبية بنظام أكثر مرونة؛ إذ لا تستوجب بعض القرارات الآلية بعد الآن مراجعة بشرية مجدية.
4. ضبط السجلات: يُسقط القانون إلزامية سجلات أنشطة المعالجة (ROPA) للشركات التي يقل موظفوها عن 250 شخصاً ولا تمارس معالجة "منهجية"، في حين تُلزم قواعد الاتحاد الأوروبي بالـROPA لجميع الشركات التي لا تكون معالجتها عرضية.
5. موافقة ملفات تعريف الارتباط: يُخفف القانون اشتراطات الموافقة على ملفات تعريف ارتباط التحليل، ويدعم خيارات "بدون ملفات تعريف الارتباط". في حين تظل قواعد الخصوصية الإلكترونية الأوروبية تشترط الموافقة على ملفات التتبع.
6. النقل الدولي: يمنح القانون وزير الدولة البريطاني صلاحيات أوسع لمنح قرارات الملاءمة، مما قد يجعله يُجيز دولاً لم يُجزها الاتحاد الأوروبي، مُفضياً بذلك إلى تباين في إطار النقل بين الطرفين.
مخاطر قرار الملاءمة
ستفحص المفوضية الأوروبية ما إذا كان القانون البريطاني يوفر حماية "مكافئة في جوهرها" للقواعد الأوروبية.
ثمة ثلاثة محاور تثير قلق المراقبين الأوروبيين:
قد تُخلّف المصالح المشروعة الموسّعة في قانون DPDI ثغرات تعدّها المفوضية غير ملائمة. لا يزال قانون صلاحيات التحقيق البريطاني لعام 2016 يُثير مخاوف مرتبطة بالسوابق القضائية للمحكمة الأوروبية. وقد تُعرّض الاتفاقيات البريطانية-الأمريكية بموجب قانون CLOUD Act البيانات الأوروبية لسلطة إنفاذ القانون الأمريكي.
في حال تعليق قرار الملاءمة، ستحتاج أكثر من 10,000 مجموعة من البنود التعاقدية القياسية بين الاتحاد الأوروبي والمملكة المتحدة إلى تفعيل سريع. وستواجه الشركات التي تستند حصرياً إلى الملاءمة في عمليات النقل ثغرات فورية. راجع دليل الامتثال لمراجعة مدى تعرّضك لهذا الخطر.
العمل في ظل نظامين في آنٍ واحد
بالنسبة للشركات الخاضعة لكلا النظامَين الأوروبي والبريطاني، الطريق واضح:
اعتمد المعيار الأصرم. إن المادة 32 الأوروبية واختبار المصالح المشروعة الأوروبي وقواعد القرارات الآلية الأوروبية كلها أصرم من نظيراتها في قانون DPDI. الامتثال للمعايير الأوروبية يعني تلقائياً الامتثال للمعايير البريطانية مع بعض المتطلبات البريطانية الإضافية.
وثّق كلا الأساسَين القانونيَّين. في ما يخص المصالح المشروعة، دوّن نتيجة اختبار الموازنة الأوروبي وإثبات توافق المعالجة مع الفئة البريطانية المعترف بها. توفر السجلات المزدوجة حمايةً إضافية في حال اتسعت الهوّة التنظيمية.
أبقِ البنود التعاقدية القياسية جاهزة. ستحدد مراجعة الملاءمة لعام 2026 ما إذا كنت ستحتاج إلى أدوات نقل منفصلة. احتفظ بالبنود التعاقدية القياسية (SCCs) نشطة كخطة احتياطية حتى في ظل الاستناد إلى قرار الملاءمة الراهن.
تحقق من تشفير الموردين. جعل مسار قضية LastPass تشفير الموردين بنداً امتثالياً حيّاً. تأكد من أن الأدوات التي تتعامل مع البيانات الشخصية تستخدم المعايير الراهنة: AES-256-GCM للبيانات الساكنة، وargon2id أو PBKDF2 مع أعداد تكرار حديثة لاشتقاق المفاتيح. اطلع على الأسئلة الشائعة للاستفسارات الشائعة عن التدقيق.
يُمثّل الانفصال البريطاني أول شرخ حقيقي في النموذج الأوروبي للخصوصية. بالنسبة للشركات العاملة في كلا المنطقتين، الخيار الأسلم هو التصميم وفق المعيار الأصعب — الذي يظل حتى الآن الإطار الأوروبي.
تعالج anonym.legal المستندات في مراكز بيانات Hetzner الأوروبية بتصميم لا يمكّننا من الاطلاع على محتواك. لا يرى الخادم نصاً صريحاً قط. اختراق كامل للخادم لن يُفضي إلا إلى نص مشفر بـAES-256-GCM. هل تحتاج إلى معالجة محلية؟ يعمل تطبيق سطح المكتب على جهازك دون أي اتصال خارجي.
المصادر
- ICO: مكتب مفوض المعلومات — VERIFIED-EXTERNAL
- ICO: إجراءات التطبيق — VERIFIED-EXTERNAL
- حكومة المملكة المتحدة: تحليل قانون DPDI 2025 — VERIFIED-EXTERNAL