UK GDPR Brexit Ostean: Zer Aldatu Den
UK Data Protection Act 2018ak UK GDPR legean ezarri zuen. EU GDPRra hurbiltzen da, baina ez eremu guztietan. UK eta EUn aldi berean lan egiten baduzu, bi betetze-azterketa bereiziri aurre egin behar diezu.
Berdina geratu dena:
- Prozesatzeko sei oinarri legitimoak
- Subjektuen eskubideak: sarbidea, ezabatzea, zuzenketa, eramangarritasuna
- 72 orduko hauste-jakinarazpena erregulatzaileari
- Diseinuz eta lehenespenez pribatutasuna
Aldatu dena:
- UKk bere egokitasun-erabakiak kudeatzen ditu mugaz gaindiko transferentzietarako
- UKko AI gidalerroak 2023-2024 artean EDPBrenak baino urrunago joan dira
- UKko ikerketa-salbuespenak EUkoak baino zertxobait zabalagoak dira
- Erregulatzaileak aholkuetan oinarritzetik isunak jartzerantz mugitzen ari da — aurretik baino azkarrago
UK eta EU arauak arteko aldea erreala da. Bi zerrenda bereizi gisa hartu itzazu.
LastPass Isuna: Enkriptatzea Orain Legezko Proba Bat Da
2025eko abenduan, ICOk LastPass UKri £1,2 milioi isun jarri zion enkriptatze-konfigurazio akastunagatik. Hau da orain arte UKko GDPR araudiaren segurtasun teknikoko ebazpenik garrantzitsuena.
Erregulatzaileak aurkitutakoa: LastPassek biltegiratzeko erregistroak zerbitzariko gakoekin gordetzen zituen. Zerbitzarira iristen zen edonork baotea irakur zezakeen. Ebazpenak aurkitu zuen honek UK GDPR 32. artikuluko "neurri tekniko egokiak" proba hausten zuela.
Jakinarazpenaren gako-esaldia: "Kontrolatzaileak bezero-aldeko enkriptatzea erabili beharko zukeen. Horrek erabiltzailearen biltegiratzeko erregistroak zerbitzaria hausten bazen ere babestuko zituen."
Ezartzen duena: Diseinu seguruago bat existitzen bada eta eraiki badaiteke, ahulena erabiltzeak orain 32. artikulua hauts dezake. Zerbitzari-aldeko gako-kudeaketa ez da dagoeneko erregistro sentikorretarako aukera segurua.
Arriskuan daudena: Erregistro sentikorrak gordetzen dituzten eta enkriptatze-gakoak beren zerbitzarietan mantentzen dituzten zerbitzuak. Honek auditoretzarako, erabilera-estatistikei edo dokumentu-historiarako testua erregistratzen duten tresnak ere barnebiltzen ditu. Zerbitzariak testua irakur badezake, erregulatzaileek gal daiteke bezero-aldeko diseinua erabili behar zenuten. Ikusi anonym.legalek ezagutza-zero arkitekturarekin nola kudeatzen duen hau.
UKko AI Gidalerroa: Zortzi Arau Tekniko
UKko erregulatzaileak AI gidalerroa argitaratu zuen 2023-2024 artean. Zortzi baldintza tekniko espezifiko ditu sorkuntzazko AI sistemetarako. EUren alderagarria gidalerroa gutxiago zehatza da.
1. Prestakuntza-datuen jatorria — Erregistro pertsonaletan prestatutako AIak datu horiek nondik etorri ziren eta garbitzeko zer urrats erabili ziren erregistratu behar ditu.
2. Irteeraren jarraipena — Irteera pertsonala ekoizten duten sistemek adierazpen txarrak harrapatu eta geldiarazteko kontrolak eduki behar dituzte.
3. Helburu-mugaketa — AI prestakuntzarako erabiltzen diren erregistroek adierazitako helburuarekin bat etorri behar dute. Bezeroen erregistroetan prestakuntza orokorra oinarri juridiko argia behar du.
4. Erabaki automatizatuen eskubideak — Zure AIak pertsona baten inguruko gako-aukerak hartzen baditu, sarbidea, azalpena eta apelatzeko aukera lagundu behar ditu.
5. Alborapenaren jarraipena — Ezaugarri babestuen sistemen alborapenaren egiaztapenak eduki behar dituzte — zuzenean edo inferentziaz.
6. Findu aurretiko minimizazioa — Erregistro pertsonalak murriztu behar dituzu findu aurretik. Politika bakarrik ez da nahikoa.
7. Modelo-pisuetatik ezabatzea — Erregistroak modelo-pisuetan sartzen badira, ezabatze-eskaerak zuzentzeko plana behar duzu. Neurri tekniko edo baliokideak behar dira.
8. Hirugarren alderdiko AI berrikuspena — Beste konpainia baten AI erabiltzen baduzu, zortzi puntu guztiekiko betetzearen gaineko betetze-erregistroa egiaztatu eta erregistratu behar duzu.
Zortzi arau hauek UKko edozein AI zabalpenetan praktikako zerrenda bat osatzen dute.
UKko Betearazpena: Isunetarako Aldaketa
Erregulatzaileak lehenago zuzentze-gutunak lehenetsi ohi zituen zigorrei gainetik. Hori aldatzen ari da. Azken ekintzek eredu argia erakusten dute:
| Ekintza | Zenbatekoa | Urtea | Arrazoia |
|---|---|---|---|
| British Airways | £20M | 2020 | Haustea — segurtasun ahula |
| Marriott International | £18,4M | 2020 | Haustea — ardura txikia |
| LastPass UK | £1,2M | 2025 | Enkriptatze-diseinu hutsa |
| Electoral Commission | £4,4M oharpenak | 2023 | Adabakirik gabeko zerbitzaria |
67 betearazpen-ohartarazpen eman ziren 2024an — errekord bat. LastPass kasua nabarmena da isuna diseinu-aukeragatik egon zelako, ez haustearen emaitzagatik soilik. Erregulatzaileek LastPassek nola eraiki zuen bere sistema aztertu zuten. Hori berria da.
UK-EU Transferentziak: Bi Norabideko Arriskua
EUko erregistro pertsonalak kudeatzen dituzten UK erakundeek bi aldeetako betebeharrak dituzte.
EUtik UKra: EUk UKri egokitasun-erabakia eman zion 2021ean. Oraindik indarrean dago. Baina erronka juridikoa dago. Ez fidatu horretaz bakarrik — kontratu klausula estandarrak (SCCak) atzerapenezko aukera zentzuzkoa dira.
UKtik EUra: Ez dago oraingo araurik UKko erregistroak EUko prozesatzaileengana mugitzea blokeatzen duenik. Baina UKko erregistroak kudeatzen dituen EUko prozesatzaileak oraindik ere bere aldetik EUko GDPR arauak aktiba ditzake.
Urrats praktikoa: Idatzi zure UK GDPRko posizioa eta EUko GDPRkoa bi dokumentu bereizietan. Oharra zer bat etortzen diren eta zer ez. Hori da erregulatzaile bat galdetzen badu behar duzun erregistroa. Gure betetze-ikuspegiak bi aldeak mapeatzen ditu.
Zero-ezagutza diseinuaren eta LastPassek identifikatutako zerbitzari-hauste arriskua nola jorratzen duen ikusteko, irakurri gure segurtasun eta pribatutasun arkitektura orria.