UK GDPR μετά το Brexit: τι άλλαξε
Ο Data Protection Act 2018 ενσωμάτωσε το UK GDPR στο βρετανικό δίκαιο. Είναι πολύ παρόμοιο με το GDPR της ΕΕ, αλλά όχι σε κάθε πτυχή. Όσοι δραστηριοποιούνται τόσο στο Ηνωμένο Βασίλειο όσο και στην ΕΕ πρέπει να διενεργούν δύο ξεχωριστούς ελέγχους συμμόρφωσης.
Τι παρέμεινε αμετάβλητο:
- Οι έξι νομικές βάσεις για την επεξεργασία
- Τα δικαιώματα υποκειμένων δεδομένων: πρόσβαση, διαγραφή, διόρθωση, φορητότητα
- Υποχρεωτική γνοστοποίηση παραβίασης εντός 72 ωρών
- Privacy by design και by default
Τι άλλαξε:
- Το Ηνωμένο Βασίλειο εκδίδει τις δικές του αποφάσεις επάρκειας για διεθνείς μεταφορές
- Οι κατευθυντήριες γραμμές του UK για την ΤΝ 2023–2024 υπερβαίνουν αυτές του EDPB
- Οι βρετανικές εξαιρέσεις για έρευνα είναι ελαφρώς ευρύτερες από τις ευρωπαϊκές
- Η εποπτική αρχή στρέφεται από συμβουλευτικό ρόλο σε κυρώσεις, με ταχύτερη ανταπόκριση
Η διαφορά μεταξύ βρετανικών και ευρωπαϊκών κανόνων είναι πραγματική. Αντιμετωπίστε τους ως δύο ξεχωριστά checklist.
Το πρόστιμο στη LastPass: η κρυπτογράφηση γίνεται νομικό κριτήριο
Τον Δεκέμβριο 2025, το ICO επέβαλε πρόστιμο £1,2 εκατομμυρίου στη LastPass UK για ελαττωματικό σύστημα κρυπτογράφησης. Πρόκειται για την πιο σημαντική απόφαση UK GDPR σε θέματα τεχνικής ασφάλειας μέχρι σήμερα.
Τι διαπίστωσε η αρχή: Η LastPass αποθήκευε δεδομένα θησαυροφυλακίων με κλειδιά διαχειριζόμενα από τον διακομιστή. Οποιοσδήποτε είχε πρόσβαση στον διακομιστή μπορούσε να διαβάσει το θησαυροφυλάκιο. Η απόφαση έκρινε ότι αυτό παραβίαζε τον έλεγχο «κατάλληλων τεχνικών μέτρων» του Άρθρου 32 του UK GDPR.
Η βασική φράση της ανακοίνωσης: «Ο υπεύθυνος επεξεργασίας θα έπρεπε να χρησιμοποιήσει κρυπτογράφηση πλευράς πελάτη. Αυτό θα προστάτευε τα δεδομένα του θησαυροφυλακίου των χρηστών ακόμα και σε περίπτωση παραβίασης του διακομιστή.»
Το προηγούμενο που θεσπίστηκε: Αν υπάρχει ασφαλέστερη προσέγγιση και είναι εφαρμόσιμη, η επιλογή της πιο αδύναμης μπορεί πλέον να συνιστά παραβίαση του Άρθρου 32. Η διαχείριση κλειδιών από τον διακομιστή δεν αποτελεί πλέον ασφαλή προεπιλογή για ευαίσθητα δεδομένα.
Ποιοι κινδυνεύουν: Κάθε υπηρεσία που αποθηκεύει ευαίσθητα δεδομένα και διατηρεί τα κλειδιά κρυπτογράφησης στους δικούς της διακομιστές. Αυτό περιλαμβάνει εργαλεία που καταγράφουν κείμενο για αρχεία ελέγχου, στατιστικά χρήσης ή ιστορικό εγγράφων. Αν ο διακομιστής μπορεί να διαβάσει το κείμενο, οι ρυθμιστικές αρχές μπορεί να αναρωτηθούν γιατί δεν υιοθετήθηκε σχεδιασμός πλευράς πελάτη. Μάθετε πώς το anonym.legal χειρίζεται αυτό με αρχιτεκτονική zero-knowledge.
Κατευθυντήριες γραμμές UK για ΤΝ: οκτώ τεχνικές απαιτήσεις
Το ICO δημοσίευσε λεπτομερείς κατευθυντήριες γραμμές για ΤΝ το 2023–2024, που καλύπτουν οκτώ συγκεκριμένες απαιτήσεις για συστήματα γενετικής ΤΝ. Οι αντίστοιχες ευρωπαϊκές κατευθυντήριες γραμμές είναι λιγότερο αναλυτικές.
1. Προέλευση δεδομένων εκπαίδευσης — Τα συστήματα ΤΝ που εκπαιδεύονται σε προσωπικά δεδομένα πρέπει να καταγράφουν την προέλευση αυτών των δεδομένων και τις πράξεις καθαρισμού που πραγματοποιήθηκαν.
2. Παρακολούθηση αποτελεσμάτων — Τα συστήματα που παράγουν προσωπικά αποτελέσματα πρέπει να διαθέτουν ελέγχους για τον εντοπισμό και την αποτροπή μη εξουσιοδοτημένων αποκαλύψεων.
3. Περιορισμός σκοπού — Τα δεδομένα που χρησιμοποιούνται για εκπαίδευση ΤΝ πρέπει να αντιστοιχούν στον δηλωμένο σκοπό. Η γενική εκπαίδευση σε δεδομένα πελατών απαιτεί ρητή νομική βάση.
4. Δικαιώματα επί αυτοματοποιημένων αποφάσεων — Αν το σύστημα ΤΝ λαμβάνει σημαντικές αποφάσεις για ένα άτομο, πρέπει να υποστηρίζει πρόσβαση, εξήγηση και προσφυγή.
5. Παρακολούθηση προκαταλήψεων — Τα συστήματα που χρησιμοποιούν προστατευόμενα χαρακτηριστικά, άμεσα ή κατά συμπέρασμα, πρέπει να προβλέπουν ελέγχους προκαταλήψεων.
6. Ελαχιστοποίηση πριν το fine-tuning — Τα προσωπικά δεδομένα πρέπει να μειώνονται πριν το fine-tuning. Μια απλή πολιτική δεν αρκεί.
7. Διαγραφή από βάρη μοντέλου — Αν τα δεδομένα εισέλθουν στα βάρη του μοντέλου, απαιτείται σχέδιο για τη διαχείριση αιτημάτων διαγραφής. Χρειάζονται τεχνικά μέτρα ή ισοδύναμα.
8. Επαλήθευση ΤΝ τρίτων — Αν χρησιμοποιείται σύστημα ΤΝ άλλης εταιρείας, πρέπει να επαληθευτεί και να τεκμηριωθεί η συμμόρφωσή του με όλα τα οκτώ σημεία.
Αυτές οι οκτώ απαιτήσεις αποτελούν πρακτικό checklist για κάθε ανάπτυξη ΤΝ στο Ηνωμένο Βασίλειο.
Επιβολή UK: η στροφή προς τις κυρώσεις
Προηγουμένως, η αρχή προτιμούσε επιστολές καθοδήγησης από κυρώσεις. Αυτό αλλάζει. Οι πρόσφατες ενέργειες δείχνουν ένα σαφές μοτίβο:
| Ενέργεια | Ποσό | Έτος | Αιτία |
|---|---|---|---|
| British Airways | £20 εκ. | 2020 | Παραβίαση — ανεπαρκής ασφάλεια |
| Marriott International | £18,4 εκ. | 2020 | Παραβίαση — ελλιπής δέουσα επιμέλεια |
| LastPass UK | £1,2 εκ. | 2025 | Ελάττωμα σχεδιασμού κρυπτογράφησης |
| Εκλογική Επιτροπή | Εύρεση £4,4 εκ. | 2023 | Διακομιστές χωρίς patches |
Το 2024 εκδόθηκαν 67 αποφάσεις επιβολής — ρεκόρ. Η υπόθεση LastPass είναι αξιοσημείωτη επειδή η κύρωση αφορούσε αρχιτεκτονική επιλογή, όχι μόνο τις συνέπειες μιας παραβίασης. Οι ρυθμιστικές αρχές εξέτασαν πώς η LastPass είχε κατασκευάσει το σύστημά της. Αυτό είναι κάτι νέο.
Μεταφορές UK–ΕΕ: κίνδυνος και από τις δύο κατευθύνσεις
Οι οργανισμοί του UK που επεξεργάζονται προσωπικά δεδομένα κατοίκων ΕΕ έχουν υποχρεώσεις και από τις δύο πλευρές.
Από ΕΕ σε UK: Η ΕΕ χορήγησε στο Ηνωμένο Βασίλειο απόφαση επάρκειας το 2021, η οποία εξακολουθεί να ισχύει. Αλλά αποτελεί αντικείμενο νομικής αμφισβήτησης. Μην βασίζεστε αποκλειστικά σε αυτήν — οι Τυπικές Συμβατικές Ρήτρες (SCC) αποτελούν εύλογη εγγύηση.
Από UK σε ΕΕ: Καμία τρέχουσα νόμιμη ρύθμιση δεν εμποδίζει τη μεταφορά δεδομένων UK σε υπευθύνους επεξεργασίας εντός ΕΕ. Αλλά ένας ευρωπαίος εκτελών επεξεργασία που διαχειρίζεται δεδομένα UK μπορεί να παραμένει εντός πεδίου εφαρμογής του ευρωπαϊκού GDPR.
Πρακτικό βήμα: Συντάξτε τη θέση UK GDPR και ΕΕ GDPR ως δύο ξεχωριστά έγγραφα. Σημειώστε πού συμπίπτουν και πού αποκλίνουν. Αυτό είναι το μητρώο που θα χρειαστείτε αν το ζητήσει μια ρυθμιστική αρχή. Η επισκόπηση συμμόρφωσής μας χαρτογραφεί και τις δύο πλευρές.
Για εις βάθος ανάλυση της αρχιτεκτονικής zero-knowledge και του πώς αντιμετωπίζει τον κίνδυνο παραβίασης διακομιστή που εντοπίστηκε στην υπόθεση LastPass, διαβάστε τη σελίδα μας για ασφάλεια και αρχιτεκτονική ιδιωτικότητας.