UK GDPR Brexit jälkeen: eroavaisuudet ja jatkuvuus
Yhdistyneen kuningaskunnan tietosuojalaki 2018 sisältää UK GDPR:n, joka vastaa pitkälti EU:n GDPR:ää — mutta sisältää merkittäviä poikkeuksia, jotka luovat erilliset vaatimustenmukaisuusvelvoitteet Yhdistyneessä kuningaskunnassa toimiville organisaatioille.
Jatkuvuus:
- Samat kuusi lainmukaista käsittelyperustetta
- Samat rekisteröidyn oikeudet (pääsy, poistaminen, oikaisu, siirrettävyys)
- Sama vastuullisuusperiaate ja dokumentointivaatimukset
- Sama tietoturvaloukkausilmoitusvelvollisuus (72 tuntia ICO:lle)
- Sama sisäänrakennettu ja oletusarvoinen tietosuoja
Eroavaisuudet:
- Riittävyysohjelma: Yhdistyneellä kuningaskunnalla on omat riittävyyspäätöksensä kansainvälisille tiedonsiirroille; EU:n riittävyyspäätös UK-siirroille on voimassa mutta kiistelty
- Tekoälyohjeet: ICO julkaisi vuosina 2023–2024 yksityiskohtaisemmat tekoälyohjeet kuin EDPB:n vastaava ohjeistus
- Biometriset tiedot: UK:n biometristen tietojen käsittelyssä on pieniä määritelmäeroja
- Tutkimuspoikkeukset: UK:n tutkimus- ja tilastopoikkeukset ovat jonkin verran laajempia kuin EU:n vastaavat
- Täytäntöönpanokulttuuri: ICO on historiallisesti painottanut neuvontaa ja ohjausta ennen sakkoja; tämä on muuttumassa viimeaikaisten suurten täytäntöönpanotoimien myötä
Organisaatioille, jotka toimivat sekä EU:ssa että Yhdistyneessä kuningaskunnassa, UK GDPR luo rinnakkaisen vaatimustenmukaisuusvelvoitteen, joka edellyttää sekä EU GDPR:n että UK GDPR:n vaatimusten arviointia — ne eivät ole identtiset.
LastPass-sakko: salaus lakisääteisenä vaatimuksena
ICO:n joulukuun 2025 sakko LastPass UK:ta vastaan (£1,2 miljoonaa) on UK GDPR:n merkkipaaluscase salausstandardeille. Täytäntöönpanopäätös vahvisti useita periaatteita, joilla on laajoja seurauksia:
Keskeinen havainto: LastPassin salausarkkitehtuuri — jossa käyttäjien holvitiedot tallennettiin palvelimen hallussa olevilla salausavaimilla — todettiin riittämättömäksi UK GDPR:n 32 artiklan nojalla. ICO totesi, että "rekisterinpitäjän olisi pitänyt toteuttaa asiakaspuolen salaus, joka olisi varmistanut, ettei käyttäjien holvitietoihin pääse käsiksi luvattomasti edes palvelimen murtumisen yhteydessä."
Mitä tämä tarkoittaa: ICO on vahvistanut, että jos tietosuojaa paremmin turvaava arkkitehtuuri (asiakaspuolen salaus) on olemassa ja teknisesti toteutettavissa, vähemmän suojaavan arkkitehtuurin (palvelinpuolen salauksen) käyttäminen ei välttämättä täytä 32 artiklan "asianmukaisten teknisten toimenpiteiden" standardia.
Laajemmat seuraukset: Organisaatiot, jotka tallentavat arkaluonteisia tietoja palvelinpuolen salauksella — jossa toimittajan palvelimet pitävät salausavaimia — saattavat joutua ICO:n tutkimuksen kohteeksi tietomurron sattuessa. Täytäntöönpanopäätöksessä todetaan nimenomaisesti, että "teknisten toimenpiteiden on oltava oikeassa suhteessa riskiin, ja jos riski luvattomasta pääsystä arkaluonteisiin henkilötietoihin on suuri, asianmukainen toimenpide voi edellyttää asiakaspuolen avainten hallintaa."
Henkilötietojen anonymisointityökalujen kannalta: jos toimittajan anonymisointipalvelu tallentaa käsiteltyjen asiakirjojen selkokielen palvelinpuolelle (tarkistuslokeja, käyttöanalytiikkaa tai asiakirjahistoriaa varten), tämä luo palvelimelle pääsyttävän tietosäilön, joka ei välttämättä täytä ICO:n LastPass-jälkeistä standardia arkaluonteisille tiedoille.
ICO:n tekoälyohjeet: tekniset vaatimukset generatiiviselle tekoälylle
ICO julkaisi vuosina 2023–2024 kattavat tekoälyohjeet, jotka sisältävät kahdeksan erityistä teknistä vaatimusta generatiivisille tekoälyjärjestelmille — yksityiskohtaisemmat kuin EU:n vastaavat ohjeet:
1. Koulutusaineiston jäljitettävyys: Henkilötiedoilla koulutettujen tekoälyjärjestelmien koulutusaineiston alkuperä on dokumentoitava, mukaan lukien sovelletut anonymisointimenettelyt.
2. Tulosten seuranta: Henkilötietoja tuottavien järjestelmien on sisällettävä valvontakontrollit sopimattoman tietojen paljastamisen havaitsemiseksi ja estämiseksi.
3. Käyttötarkoituksen rajoittaminen koulutuksessa: Koulutukseen käytettävät henkilötiedot on rajattava tiettyyn tarkoitukseen — yleiskäyttöinen tekoälykoulutus asiakastiedoilla edellyttää nimenomaista oikeusperustaa.
4. Yksilön oikeudet automaattisessa päätöksenteossa: Yksilöitä koskevissa merkittävissä päätöksissä tekoälyjärjestelmien on toteutettava tekniset kontrollit yksilön oikeuksien (pääsy, selitys, riitauttaminen) helpottamiseksi.
5. Puolueellisuuden auditointi: Järjestelmien, jotka käsittelevät suojattuja ominaisuuksia (suoraan tai päättelyn kautta), on sisällettävä tekninen puolueellisuuden seuranta.
6. Tiedon minimointi hienosäädössä: Henkilötiedoilla suoritettavan hienosäädön on sovellettava minimointia ennen koulutusta — pelkkien anonymisointikäytäntöjen sijaan on kyse teknisestä toteutuksesta.
7. Säilytys koulutuksessa: Mallin painoihin sisältyvät henkilötiedot on voitava käsitellä poistopyyntöjä varten (tekniset tai vastaavat suojatoimenpiteet vaaditaan).
8. Kolmannen osapuolen tekoälyjärjestelmien huolellisuus: Organisaatioiden, jotka käyttävät kolmannen osapuolen tekoälyjärjestelmiä, on arvioitava ja dokumentoitava näiden järjestelmien tekninen vaatimustenmukaisuus näiden vaatimusten suhteen.
Nämä kahdeksan vaatimusta muodostavat teknisen toteutuksen tarkistuslistan UK:n tekoälyasennuksille.
ICO:n täytäntöönpanotrendit: ohjauksesta sakkoihin
ICO on historiallisesti suosinut koulutusta ja täytäntöönpanomääräyksiä suurten sakkojen sijaan. Tämä on muuttumassa:
- LastPass (joulukuu 2025): £1,2 miljoonaa — tekninen tietoturvaepäonnistuminen (salausarkkitehtuuri)
- Vaalikomissio (2023): £4,4 miljoonan huomautus (ei sakkoa) — tietoturvaepäonnistuminen (palvelinta ei päivitetty)
- British Airways (2019, sovittu 2020): £20 miljoonaa — tietomurto kyberhyökkäyksessä puutteellisen tietoturvan vuoksi
- Marriott International (2019, sovittu 2020): £18,4 miljoonaa — tietomurto puutteellisen huolellisuuden vuoksi
ICO antoi 67 täytäntöönpanomääräystä vuonna 2024 — ennätysmäärä — mikä viittaa kasvavaan halukkuuteen käyttää virallisia täytäntöönpanotoimia.
LastPass-sakko on erityisen merkittävä, koska se kohdistui salausarkkitehtuuripäätökseen eikä pelkästään tietomurron seurauksiin. Tämä viittaa siihen, että ICO tutkii teknisiä suunnitteluratkaisuja eikä ainoastaan tietomurron jälkitoimia.
UK–EU-tiedonsiirron seuraukset
UK-organisaatiot, jotka palvelevat EU-asiakkaita tai vastaanottavat EU:n henkilötietoja, kohtaavat kaksoisvaatimustenmukaisuusvelvoitteen:
- UK GDPR koskee UK:ssa tapahtuvaa käsittelyä
- EU GDPR koskee EU:n henkilötietoja
EU:sta UK:hun tapahtuvien tiedonsiirtojen osalta: EU:n riittävyyspäätös UK:lle (myönnetty 2021) on voimassa, mutta se on tarkistuksen ja oikeudellisen haasteen kohteena. Organisaatioiden ei tule luottaa yksinomaan UK:n riittävyyteen — vakiosopimuslausekkeet ovat suositeltava lisäsuojakeino.
UK-organisaatioille, jotka käyttävät EU-pohjaisia pilvipalveluja: siirto UK:sta EU:hun ei ole tällä hetkellä rajoitettu (EU ei rajoita UK:sta tulevia tietovirtoja), mutta EU-palveluntarjoajan suorittama UK:n henkilötietojen käsittely saattaa laukaista EU GDPR:n vaatimukset käsittelijälle.
Käytännön ohje: organisaatioiden, joilla on EU–UK-tietovirtoja, tulee dokumentoida erikseen UK GDPR:n vaatimustenmukaisuusasemansa ja EU GDPR:n vaatimustenmukaisuusasemansa, merkiten kohdat, joissa ne ovat vastaavat, ja kohdat, joissa UK-kohtaiset vaatimukset poikkeavat.
Lähteet: