El RGPD británico tras el Brexit: qué cambió
La Ley de Protección de Datos e Información Digital (DPDI Act 2025) del Reino Unido introduce 14 cambios en las reglas del RGPD de la UE. Estos crean la primera división real entre la legislación de protección de datos de la UE y la del Reino Unido desde el Brexit. El acuerdo de adecuación UE-Reino Unido está bajo revisión. Su resultado importa a toda empresa que mueva datos personales entre ambas regiones.
La multa de LastPass: un nuevo estándar técnico
El ICO multó a LastPass UK con 1,2 millones de libras en diciembre de 2025. Este es el caso de seguridad técnica más importante del ICO hasta la fecha.
El ICO encontró dos fallos fundamentales.
Cifrado débil: LastPass almacenaba los cofres de contraseñas de los clientes con cifrado obsoleto. El ICO lo calificó de "inadecuado" bajo el artículo 32 del RGPD británico. Algunos cofres usaban PBKDF2-SHA256 con solo una iteración. El NCSC del Reino Unido recomienda al menos 600.000 iteraciones para claves derivadas de contraseñas.
Lo que la ley exige ahora: El artículo 32 del RGPD británico exige "medidas técnicas apropiadas" que reflejen el "estado del arte". El ICO determinó que la derivación de claves en 2022 requería mucho más de lo que LastPass proporcionó. Lo que era válido en 2015 no lo era en 2022.
El resultado: la calidad del cifrado del proveedor es ahora un elemento de cumplimiento auditable. Las organizaciones deben verificar que sus herramientas usen los parámetros recomendados actuales, no líneas base antiguas. Consulte nuestra descripción general de seguridad y cumplimiento para ver nuestro enfoque.
DPDI Act 2025: seis cambios clave
La ley introduce 14 cambios identificados en la legislación de datos del Reino Unido. Seis tienen impacto operativo directo.
1. Intereses legítimos. La ley crea una lista de "intereses legítimos reconocidos". Estos no requieren la prueba de equilibrio que el derecho de la UE sigue exigiendo. Esto facilita el uso de esta base legal para las empresas británicas.
2. Investigación y estadísticas. La ley amplía la exención de investigación. El uso secundario de datos personales para investigación necesita menos consentimientos que en el derecho de la UE.
3. Decisiones automatizadas. La ley reemplaza el artículo 22 del derecho de la UE. La nueva norma es más permisiva. Algunas decisiones automatizadas ya no necesitan una revisión humana significativa.
4. Mantenimiento de registros. La ley elimina la obligación de registros de actividades de tratamiento (ROPA) para organizaciones de menos de 250 empleados sin tratamiento "sistemático". Las reglas de la UE exigen ROPA para todas las organizaciones cuyo tratamiento no sea ocasional.
5. Consentimiento de cookies. La ley reduce los requisitos de consentimiento para las cookies analíticas. Promueve "alternativas sin cookies". Las reglas de ePrivacy de la UE siguen requiriendo consentimiento para las cookies de seguimiento.
6. Transferencias internacionales. El Secretario de Estado del Reino Unido obtiene mayor poder para conceder decisiones de adecuación. El Reino Unido puede aprobar países que la UE no ha aprobado. Esto divide el marco de transferencias en ambos lados.
El riesgo de adecuación
La Comisión Europea evaluará si la legislación británica, modificada por el DPDI Act, ofrece protección "esencialmente equivalente" a las normas de la UE.
Tres áreas preocupan a los observadores de la UE.
Los intereses legítimos ampliados del DPDI Act pueden crear lagunas que la Comisión considere inadecuadas. El Investigatory Powers Act 2016 del Reino Unido sigue generando preguntas relacionadas con la jurisprudencia del TJUE. Los acuerdos Reino Unido-Estados Unidos bajo la CLOUD Act pueden exponer datos de la UE a las fuerzas del orden estadounidenses.
Si se suspende la adecuación, más de 10.000 conjuntos de cláusulas contractuales tipo UE-Reino Unido deberían activarse de inmediato. Las empresas que dependen únicamente de la adecuación para las transferencias Reino Unido-UE tendrían brechas de cumplimiento de la noche a la mañana. Consulte nuestra guía de cumplimiento para evaluar su exposición actual.
Gestionar ambos regímenes a la vez
Para las empresas sujetas al derecho de la UE y del Reino Unido, el camino es claro.
Use la base más estricta. El artículo 32 de la UE, la prueba de intereses legítimos de la UE y las reglas de la UE sobre decisiones automatizadas son más estrictos que sus equivalentes británicos. Cumplir con las normas de la UE significa cumplir con las normas del Reino Unido, más algunos requisitos adicionales.
Documente ambas bases legales. Para el tratamiento basado en intereses legítimos, registre tanto el resultado de la prueba de equilibrio de la UE como la prueba de que el tratamiento encaja en una categoría reconocida en el Reino Unido. La documentación doble protege ante futuras divergencias.
Mantenga las CCT listas. La revisión de adecuación de 2026 determinará si se necesitan herramientas de transferencia separadas. Mantenga las cláusulas contractuales tipo como respaldo incluso mientras use la adecuación.
Verifique el cifrado del proveedor. El caso LastPass convierte el cifrado del proveedor en un elemento activo de cumplimiento. Confirme que las herramientas que tratan datos personales usen los ajustes actuales: AES-256-GCM en reposo, argon2id o PBKDF2 con recuentos de iteración actuales para la derivación de claves. Consulte nuestra FAQ para preguntas frecuentes de auditoría.
La ruptura británica post-Brexit es la primera fractura real en el modelo de protección de datos de la UE. Para las empresas presentes en ambas regiones, la posición más segura es diseñar para el estándar más exigente, que sigue siendo el marco de la UE.
anonym.legal procesa todos los documentos en centros de datos Hetzner ubicados en la UE con diseño de conocimiento cero. El servidor nunca ve su contenido en texto plano. Una vulneración completa del servidor produce solo texto cifrado AES-256-GCM. ¿Necesita procesamiento local? La aplicación de escritorio funciona íntegramente en su dispositivo sin conexiones externas.
Fuentes
- ICO: Information Commissioner's Office — VERIFIED-EXTERNAL
- ICO: Acciones de cumplimiento — VERIFIED-EXTERNAL
- Gobierno del Reino Unido: Análisis del DPDI Act 2025 — VERIFIED-EXTERNAL