El RGPD del Reino Unido tras el Brexit: qué cambió
La Ley de Protección de Datos de 2018 del Reino Unido incorporó el UK GDPR al ordenamiento jurídico británico. Se asemeja al RGPD de la UE, pero no en todos los aspectos. Si opera en el Reino Unido y en la UE, debe cumplir dos listas de verificación distintas.
Lo que se mantuvo igual:
- Seis bases jurídicas para el tratamiento
- Derechos de los interesados: acceso, supresión, rectificación, portabilidad
- Notificación de brechas al regulador en 72 horas
- Privacidad desde el diseño y por defecto
Lo que cambió:
- El Reino Unido gestiona sus propias decisiones de adecuación para transferencias internacionales
- Las directrices británicas sobre IA de 2023–2024 van más lejos que las del EDPB
- Las excepciones de investigación del Reino Unido son ligeramente más amplias que las europeas
- El regulador está pasando del asesoramiento a las multas, más rápido que antes
La brecha entre las normas del Reino Unido y las de la UE es real. Trátelas como dos listas independientes.
La multa a LastPass: el cifrado es ahora un requisito legal
En diciembre de 2025, el ICO impuso una multa de 1,2 millones de libras esterlinas a LastPass UK por una arquitectura de cifrado deficiente. Esta es la resolución UK GDPR más importante en materia de seguridad técnica hasta la fecha.
Lo que encontró el regulador: LastPass almacenaba los datos de los cofres con claves gestionadas en el servidor. Cualquier persona con acceso al servidor podía leer el cofre. La resolución determinó que esto incumplía el criterio de las "medidas técnicas adecuadas" del artículo 32 del UK GDPR.
La frase clave del aviso: "El responsable del tratamiento debería haber utilizado cifrado del lado del cliente. Esto habría protegido los datos de los cofres incluso en caso de una brecha en el servidor."
Lo que establece: Si existe un diseño más seguro y es implementable, usar el más débil puede ahora vulnerar el artículo 32. La gestión de claves en el servidor ya no es un estándar seguro para datos sensibles.
Quién está en riesgo: Cualquier servicio que almacene datos personales sensibles y conserve las claves de cifrado en sus propios servidores. Esto incluye herramientas que registran texto procesado para registros de auditoría, estadísticas de uso o historial de documentos. Si el servidor puede leer el texto, los reguladores pueden preguntar por qué no eligió el cifrado del lado del cliente. Vea cómo anonym.legal gestiona esto con arquitectura de cero conocimiento.
Directrices británicas sobre IA: ocho reglas técnicas
El regulador británico publicó directrices detalladas sobre IA en 2023–2024. Cubren ocho requisitos específicos para sistemas de IA generativa. Las directrices comparables de la UE son menos detalladas.
1. Procedencia de los datos de entrenamiento — La IA entrenada con datos personales debe documentar su origen y los pasos de anonimización aplicados.
2. Supervisión de salidas — Los sistemas que producen salidas personales deben tener controles para detectar y prevenir divulgaciones inapropiadas.
3. Limitación de finalidad — Los datos usados para el entrenamiento de IA deben corresponder a la finalidad declarada. El entrenamiento general con datos de clientes requiere una base jurídica clara.
4. Derechos en decisiones automatizadas — Si su IA toma decisiones importantes sobre una persona, debe permitir el acceso, la explicación y la impugnación.
5. Supervisión de sesgos — Los sistemas que usan características protegidas —directamente o por inferencia— deben tener controles técnicos de sesgo.
6. Minimización antes del ajuste fino — Los datos personales deben reducirse antes del fine-tuning. Una política sola no es suficiente.
7. Supresión de pesos del modelo — Si los datos entran en los pesos del modelo, necesita un plan para atender solicitudes de supresión.
8. Revisión de IA de terceros — Si usa la IA de otra empresa, debe verificar y documentar su cumplimiento con los ocho puntos.
Estas ocho reglas forman una lista de verificación práctica para cualquier despliegue de IA en el Reino Unido.
Aplicación en el Reino Unido: el giro hacia las multas
El regulador solía preferir cartas de orientación sobre sanciones. Eso está cambiando. Las acciones recientes muestran un patrón claro:
| Acción | Importe | Año | Motivo |
|---|---|---|---|
| British Airways | 20 M £ | 2020 | Brecha — seguridad débil |
| Marriott International | 18,4 M £ | 2020 | Brecha — diligencia insuficiente |
| LastPass UK | 1,2 M £ | 2025 | Fallo en el diseño de cifrado |
| Electoral Commission | Reprimenda 4,4 M £ | 2023 | Servidor sin parches |
En 2024 se emitieron 67 avisos de aplicación — un récord. El caso LastPass es notable porque la multa fue por una decisión de diseño, no solo por el resultado de una brecha. Los reguladores examinaron cómo LastPass construyó su sistema. Eso es nuevo.
Transferencias UK–UE: riesgo en ambas direcciones
Las organizaciones del Reino Unido que manejan datos personales europeos tienen obligaciones por ambos lados.
De la UE al Reino Unido: La UE concedió al Reino Unido una decisión de adecuación en 2021. Sigue vigente. Pero está siendo impugnada jurídicamente. No dependa solo de ella — las cláusulas contractuales tipo (CCT) son un respaldo prudente.
Del Reino Unido a la UE: No existe restricción actual para transferir datos británicos a procesadores de la UE. Pero un procesador europeo que trate datos del Reino Unido puede igualmente generar obligaciones bajo el RGPD de la UE.
Paso práctico: Redacte su posición UK GDPR y su posición RGPD UE como dos documentos separados. Anote dónde coinciden y dónde difieren. Ese es el registro que necesitará si un regulador lo solicita. Nuestra guía de cumplimiento mapea ambas partes.
Para un análisis más profundo del diseño de cero conocimiento y cómo aborda el riesgo de brecha de servidor identificado en LastPass, consulte nuestra página de arquitectura de seguridad.
Fuentes
- ICO: Recursos sobre UK GDPR — VERIFIED-EXTERNAL
- ICO: Aviso de aplicación LastPass, diciembre 2025 — VERIFIED-EXTERNAL
- ICO: Directrices sobre IA y protección de datos — VERIFIED-EXTERNAL
- ICO: Informe anual de aplicación 2024 — VERIFIED-EXTERNAL