UK GDPR след Brexit: Какво се промени
Британският закон за защита на данните и цифровата информация (DPDI) от 2025 г. въвежда 14 промени спрямо правилата на EU GDPR. Това е първото реално разминаване между европейското и британското законодателство за поверителност след Brexit. Решението за адекватност ЕС–Великобритания е под преглед. Неговият изход е от значение за всеки бизнес, прехвърлящ лични данни между двата региона.
Глобата срещу LastPass: Нова техническа летва
ICO глоби LastPass UK с 1,2 млн. лири през декември 2025 г. Това е най-голямото дело за техническа сигурност в историята на Великобритания.
ICO установи две основни нарушения.
Слабо криптиране: LastPass съхраняваше хранилищата с пароли на клиентите с остаряло криптиране. ICO го определи като "неадекватно" съгласно член 32 от UK GDPR. Някои хранилища използваха PBKDF2-SHA256 с само една итерация. UK NCSC изисква поне 600 000 итерации за ключовете на паролите.
Какво изисква законът сега: Член 32 от UK GDPR изисква "подходящи технически мерки", съответстващи на "съвременното ниво на технологиите". ICO установи, че деривацията на ключове към 2022 г. е изисквала значително повече от предложеното от LastPass. Това, което е било приемливо през 2015 г., не е приемливо през 2022 г.
Резултатът: криптирането на доставчика вече е одитируем елемент. Трябва да проверявате дали инструментите, обработващи лични данни, използват актуални параметри, а не остарели базови настройки. Вижте нашия преглед на сигурността и съответствието за начина, по който ние се справяме с това.
Закон DPDI 2025: Шест ключови промени
Законът въвежда 14 установени промени в британското законодателство за данни. Шест от тях имат пряко ежедневно въздействие.
1. Законни интереси. Законът изброява "признати законни интереси". Те заобикалят теста за баланс, все още изискван от европейското право. Това улеснява използването на основанието за британски компании.
2. Изследвания и статистика. Законът разширява изключението за изследвания. Вторичното използване на лични данни за изследователски цели изисква по-малко съгласия, отколкото изисква европейското право.
3. Автоматизирани решения. Законът заменя европейски член 22. Новото правило е по-либерално. Някои автоматизирани решения вече не изискват реален човешки преглед.
4. Водене на документация. Законът отменя задължителните регистри на дейностите по обработване (ROPA) за компании с под 250 служители без "систематична" обработка. Европейските правила изискват ROPA от всички компании, чиято обработка не е епизодична.
5. Съгласие за бисквитки. Законът намалява изискванията за съгласие при аналитичните бисквитки. Подкрепя опции "без бисквитки". Европейските правила по ePrivacy все още изискват съгласие за проследяващите бисквитки.
6. Международни трансфери. Британският държавен секретар получава по-широки правомощия да издава решения за адекватност. Великобритания може да одобри държави, които ЕС не е одобрил. Това разделя рамката за трансфери и от двете страни.
Рискът от загуба на адекватност
Европейската комисия ще провери дали британското право осигурява "по същество еквивалентна" защита спрямо европейските правила.
Три области притесняват европейските надзорници.
По-широките законни интереси по DPDI може да оставят пропуски, които Комисията ще определи като неадекватни. Британският Закон за разследващите правомощия от 2016 г. продължава да повдига опасения, свързани с практиката на Съда на ЕС. Британско-американски споразумения по Закона CLOUD може да изложат европейски данни на американски правоприлагащи органи.
Ако решението за адекватност бъде спряно, над 10 000 набора от стандартни договорни клаузи ЕС–Великобритания ще трябва да бъдат бързо активирани. Компаниите, разчитащи единствено на адекватността за трансфери ЕС–Великобритания, ще се изправят пред пропуски за една нощ. Прегледайте нашето ръководство за съответствие, за да оцените своята изложеност.
Работа в двата режима едновременно
За компании, работещи под европейски и британски режим, пътят е ясен.
Използвайте по-строгата базова линия. Европейски член 32, европейският тест за законни интереси и европейските правила за автоматизирани решения са по-строги от британските им еквиваленти. Спазването на европейските правила означава спазване на британските, плюс няколко британски специфики.
Документирайте и двете правни основания. При законните интереси запишете резултата от европейския тест за баланс и доказателствата, че обработването попада в призната от Великобритания категория. Двойната документация ви защитава при по-нататъшно разминаване на правилата.
Поддържайте СДК готови. Прегледът за адекватност от 2026 г. ще реши дали са ви нужни отделни инструменти за трансфер. Поддържайте стандартни договорни клаузи като резерв дори докато използвате адекватността.
Проверявайте криптирането на доставчиците. Делото с LastPass прави криптирането на доставчиците активен елемент на съответствие. Уверете се, че инструментите, обработващи лични данни, използват актуални настройки: AES-256-GCM за данни в покой; argon2id или PBKDF2 с актуален брой итерации за деривация на ключове. Разгледайте нашия ЧЗВ за общи въпроси при одит.
Британското разминаване е първото реално разцепление в европейския модел за поверителност. За компании, работещи в двата региона, най-сигурният подход е да проектират за по-строгия стандарт — а той все още е европейската рамка.
anonym.legal обработва документи в центрове за данни на Hetzner в ЕС с дизайн от тип "нулеви знания". Сървърът никога не вижда вашия открит текст. При пълен пробив на сървъра се разкрива само шифротекст AES-256-GCM. Нужна ли ви е локална обработка? Настолното приложение работи на вашето устройство без външни връзки.
Източници
- ICO: Комисар за информацията — VERIFIED-EXTERNAL
- ICO: Предприети мерки по прилагането — VERIFIED-EXTERNAL
- Правителство на Великобритания: Анализ на DPDI Act 2025 — VERIFIED-EXTERNAL