UK GDPR despres del Brexit: que ha canviat
La Llei de proteccio de dades del Regne Unit de 2018 va incorporar el UK GDPR a la legislacio. S'assembla molt al GDPR de la UE, pero no en tots els aspectes. Si treballeu tant al Regne Unit com a la UE, heu de superar dues verificacions de compliment separades.
Que s'ha mantingut igual:
- Sis bases juridiques per al tractament
- Drets dels interessats: acces, suprimir, rectificacio, portabilitat
- Notificacio de violacio al regulador en 72 hores
- Privacitat des del disseny i per defecte
Que ha canviat:
- El Regne Unit gestiona les seves propies decisions d'adequaciotransfrontereres
- La guia d'Intel.ligencia Artificial del Regne Unit publicada el 2023-2024 va mes lluny que l'EDPB
- Les excepcions de recerca del Regne Unit son lleugerament mes amplies que les de la UE
- El regulador esta passant de l'assessorament previ a les multes, i ho fa mes rapid que abans
La diferencia entre les normes del Regne Unit i de la UE es real. Tracteu-les com dues llistes de verificacio independents.
La multa a LastPass: el xifratge ara es una prova juridica
El desembre del 2025, l'ICO va multar LastPass UK amb 1,2 milions de lliures per un sistema de xifratge defectuos. Es la resolucio de UK GDPR mes important sobre seguretat tecnica fins avui.
El que va trobar el regulador: LastPass emmagatzemava els registres de la cartera amb claus al servidor. Qualsevol persona que acces al servidor podia llegir la cartera. La resolucio va concloure que aixo infringia la prova de "mesures tecniques adequades" de l'article 32 del UK GDPR.
La frase clau de l'aviso: "El responsable hauria d'haver utilitzat xifratge del costat del client. Aixo hauria mantingut els registres de la cartera dels usuaris protegits fins i tot si el servidor hagues estat compromet."
El que s'estableix: Si existeix un disseny mes segur i es pot implementar, utilitzar el mes feble pot ara incomplir l'article 32. La gestio de claus al costat del servidor ja no es un valor per defecte segur per als registres sensibles.
Qui esta en risc: Qualsevol servei que emmagatzemi registres sensibles i mantingui les claus de xifratge als seus propis servidors. Aixo inclou les eines que registren text per a rastres d'auditoria, estadistiques d'us o historial de documents. Si el servidor pot llegir el text, els reguladors podrien preguntar per que no s'ha utilitzat un disseny del costat del client. Vegeu com anonym.legal gestiona les claus i el processament del text.
Guia d'IA del Regne Unit: vuit normes tecniques
El regulador del Regne Unit va publicar una guia d'IA detallada el 2023-2024. Cobreix vuit requisits especifics per als sistemes d'IA generativa. La guia comparable de la UE es menys detallada.
1. Procedencia de les dades d'entrenament - L'IA entrenada amb registres personals ha de registrar d'on procedien aquestes dades i quins passos es van seguir per netejar-les.
2. Supervisio de sortides - Els sistemes que produeixen sortides personals han de tenir controls per detectar i aturar les revelacions inadequades.
3. Limitacio de finalitat - Els registres utilitzats per a l'entrenament d'IA han de correspondre a la finalitat declarada. L'entrenament general amb registres de clients necessita una base juridica clara.
4. Drets sobre decisions automatitzades - Si la vostra IA pren decisions importants sobre una persona, ha de permetre l'acces, l'explicacio i la impugnacio.
5. Supervisio de biaix - Els sistemes que utilitzen caracteristiques protegides, directament o per inferencia, han de tenir verificacions de biaix.
6. Minimitzacio abans del fine-tuning - Cal reduir els registres personals abans del fine-tuning. Una politica sola no es suficient.
7. Suprimir de pes del model - Si els registres entren als pesos del model, necessiteu un pla per atendre les sol.licituds de suprimir. Calen salvaguardes tecniques o equivalents.
8. Revisio d'IA de tercers - Si feu servir la IA d'una altra empresa, heu de verificar i registrar el seu compliment dels vuit punts.
Aquestes vuit normes constitueixen una llista de verificacio practica per a qualsevol desplegament d'IA al Regne Unit.
Aplicacio al Regne Unit: el canvi cap a les multes
El regulador solia preferir les cartes d'orientacio a les sancions. Aixo esta canviant. Les accions recents mostren un patro clar:
| Accio | Import | Any | Motiu |
|---|---|---|---|
| British Airways | 20M GBP | 2020 | Violacio - seguretat feble |
| Marriott International | 18,4M GBP | 2020 | Violacio - diligencia inadequada |
| LastPass UK | 1,2M GBP | 2025 | Falla de disseny de xifratge |
| Comissio Electoral | Amonestacio de 4,4M GBP | 2023 | Servidor sense pedacos |
El 2024 es van emetre 67 notificacions d'aplicacio, un record. El cas LastPass es notable perque la multa va ser per una decisio de disseny, no nomes per un resultat de violacio. Els reguladors van escrutinar com LastPass va construir el seu sistema. Aixo es nou.
Transferencies Regne Unit-UE: risc bidireccional
Les organitzacions del Regne Unit que gestionen registres personals de la UE estan subjectes a obligacions d'ambdos costats.
De la UE al Regne Unit: La UE va concedir al Regne Unit una decisio d'adequacio el 2021. Segueix vigent, pero esta sota impugnacio juridica. No hi confieu sola: les clauses contractuals estandard (CCE) son una salvaguarda raonable.
Del Regne Unit a la UE: Cap norma actual impedeix el moviment de registres del Regne Unit a processadors de la UE. Pero un processador de la UE que gestioni registres del Regne Unit pot seguir activant les normes de la UE en el seu extrem.
Pas practic: Redacteu la vostra posicio sobre el UK GDPR i la vostra posicio sobre el GDPR de la UE com a dos documents separats. Anoteu on coincideixen i on difereixen. Aquest es el registre que necessiteu si un regulador us ho pregunta. El nostre resum de compliment mapeja ambdos costats.
Per saber què xifra anonym.legal, on es processa el text i on s'aplica el zero coneixement (inici de sessió), llegiu la nostra pàgina d'arquitectura de seguretat i privacitat.
Fonts
- ICO: Guia i recursos del UK GDPR - VERIFICAT-EXTERN
- ICO: Aviso d'aplicacio de LastPass, desembre del 2025 - VERIFICAT-EXTERN
- ICO: Guia d'IA i proteccio de dades - VERIFICAT-EXTERN
- ICO: Informe anual d'aplicacio del 2024 - VERIFICAT-EXTERN