Yhdistyneen Kuningaskunnan GDPR Brexitin Jälkeen: Mitä Muuttui
Yhdistyneen kuningaskunnan tietosuoja- ja digitaaliset tietolaki (DPDI) 2025 tekee 14 muutosta EU:n GDPR-sääntöihin. Ne luovat ensimmäisen todellisen eron EU:n ja Yhdistyneen kuningaskunnan tietosuojalakien välille Brexitin jälkeen. EU:n ja Yhdistyneen kuningaskunnan riittävyyssopimus on tarkistettavana. Sen tulos on merkittävä jokaiselle yritykselle, joka siirtää henkilötietoja alueiden välillä.
LastPass-Sakko: Uusi Tekninen Vaatimustaso
ICO sakotti LastPass UK:ta 1,2 miljoonalla punnalla joulukuussa 2025. Tämä on Yhdistyneen kuningaskunnan suurin tekninen tietoturvatapaus tähän mennessä.
ICO tunnisti kaksi keskeistä puutetta.
Heikko salaus: LastPass tallensi asiakkaiden salasanaholvit vanhentuneella salauksella. ICO kutsui sitä "riittämättömäksi" Yhdistyneen kuningaskunnan GDPR:n 32 artiklan nojalla. Jotkin holvit käyttivät PBKDF2-SHA256-algoritmia vain yhdellä iteraatiolla. Yhdistyneen kuningaskunnan NCSC edellyttää salasana-avaimille vähintään 600 000 iteraatiota.
Mitä laki nyt vaatii: Yhdistyneen kuningaskunnan GDPR:n 32 artikla edellyttää "asianmukaisia teknisiä toimenpiteitä", jotka vastaavat "taitotasoa". ICO totesi, että avainjohdannainen vuonna 2022 edellytti huomattavasti enemmän kuin LastPass tarjosi. Se, mikä oli hyväksyttävää vuonna 2015, ei ollut hyväksyttävää vuonna 2022.
Tulos: toimittajien salaus on nyt auditoitava kohde. Sinun on varmistettava, että henkilötietoja käsittelevät työkalusi käyttävät ajantasaisia parametreja — eivät vanhoja lähtötasoja. Katso, miten me käsittelemme tämän tietoturva- ja vaatimustenmukaisuuskatsauksestamme.
DPDI-Laki 2025: Kuusi Keskeistä Muutosta
Laki tekee 14 tunnistettua muutosta Yhdistyneen kuningaskunnan tietosuojalakiin. Kuudella on suora päivittäinen vaikutus.
1. Oikeutetut edut. Laki luettelee "tunnustetut oikeutetut edut." Nämä ohittavat tasapainotustestin, jonka EU:n laki yhä vaatii. Tämä helpottaa perusteen käyttöä brittiyrityksille.
2. Tutkimus ja tilastot. Laki laajentaa tutkimuspoikkeusta. Henkilötietojen toissijainen käyttö tutkimuksessa vaatii vähemmän suostumuksia kuin EU:n laki edellyttää.
3. Automatisoidut päätökset. Laki korvaa EU:n 22 artiklan. Uusi sääntö on joustavampi. Jotkin automatisoidut päätökset eivät enää vaadi merkityksellistä ihmisten suorittamaa tarkastelua.
4. Kirjanpito. Laki poistaa pakollisen käsittelytoimien kirjanpidon (ROPA) alle 250 henkilöä työllistäviltä yrityksiltä, joilla ei ole "järjestelmällistä" käsittelyä. EU:n säännöt edellyttävät ROPAa kaikilta yrityksiltä, joiden käsittely ei ole satunnaista.
5. Evästeiden suostumus. Laki keventää analytiikkaevästeiden suostumussääntöjä. Se tukee "evästeettömiä" vaihtoehtoja. EU:n eSähköisyyssäännöt edellyttävät yhä suostumusta seurantaevästeisiin.
6. Kansainväliset siirrot. Yhdistyneen kuningaskunnan sisäasiainministeri saa laajemman toimivallan myöntää riittävyyspäätöksiä. Yhdistynyt kuningaskunta voi hyväksyä maat, joita EU ei ole hyväksynyt. Tämä jakaa siirtoviitekehyksen molemmilla puolilla.
Riittävyysriski
Euroopan komissio tarkistaa, tarjoaako Yhdistyneen kuningaskunnan laki "olennaisesti vastaavan" suojan kuin EU:n säännöt.
Kolme aluetta huolestuttaa EU:n valvojia.
DPDI-lain laajemmat oikeutetut edut saattavat jättää aukkoja, joita komissio pitää riittämättöminä. Yhdistyneen kuningaskunnan tutkintavaltuuksia koskeva laki vuodelta 2016 herättää yhä CJEU:n oikeuskäytäntöön liittyviä huolia. Yhdistyneen kuningaskunnan ja Yhdysvaltojen CLOUD Act -sopimukset saattavat altistaa EU:n tiedot Yhdysvaltojen lainvalvontaviranomaisille.
Jos riittävyys peruutetaan, yli 10 000 Yhdistyneen kuningaskunnan ja EU:n välisen vakiosopimuslausekkeen joukko tarvitsisi pikakäyttöönoton. Yritykset, jotka luottavat pelkästään riittävyyteen Yhdistyneen kuningaskunnan ja EU:n siirroissa, kohtaisivat aukkoja yön yli. Tarkista altistumisesi vaatimustenmukaisuusoppaastamme.
Molempien Järjestelmien Samanaikainen Hallinta
Yrityksille, joita koskevat sekä EU:n että Yhdistyneen kuningaskunnan lait, polku on selvä.
Käytä tiukempaa lähtötasoa. EU:n 32 artikla, EU:n oikeutettujen etujen testi ja EU:n automatisoitujen päätösten säännöt ovat kaikki tiukempia kuin niiden vastaavat Yhdistyneen kuningaskunnan lain mukaan. EU:n sääntöjen noudattaminen tarkoittaa Yhdistyneen kuningaskunnan sääntöjen noudattamista sekä muutamia Yhdistyneen kuningaskunnan erityisvaatimuksia.
Dokumentoi molemmat oikeudelliset perusteet. Oikeutetuille eduille: kirjaa sekä EU:n tasapainotustestauksen tulos että todisteet siitä, että käsittely sopii Yhdistyneen kuningaskunnan tunnustettuun kategoriaan. Kaksinkertainen kirjanpito suojaa sinua, jos säännöt eriytyvät edelleen.
Pidä SCCt valmiina. Vuoden 2026 riittävyysarviointi ratkaisee, tarvitsetko erillisiä siirtotyökaluja. Pidä vakiosopimuslausekkeet aktiivisina varmuuskopiona myös riittävyyttä käyttäessäsi.
Tarkista toimittajien salaus. LastPass-tapaus tekee toimittajien salauksesta aktiivisen vaatimustenmukaisuuskohteen. Vahvista, että henkilötietoja käsittelevät työkalut käyttävät ajantasaisia asetuksia: AES-256-GCM lepotilassa, argon2id tai PBKDF2 nykyisillä iteraatiomäärillä avainjohdannaiseen. Katso UKK yleisiä auditointikysymyksiä varten.
Yhdistyneen kuningaskunnan jakautuminen on EU:n tietosuojamallin ensimmäinen todellinen murtuma. Molemmilla alueilla toimiville yrityksille turvallisin ratkaisu on suunnitella tiukemman standardin mukaan — joka on yhä EU:n viitekehys.
anonym.legal käsittelee asiakirjoja EU-pohjaisissa Hetzner-datakeskuksissa nollatieto-suunnittelulla. Palvelin ei koskaan näe selkokielistä tekstiäsi. Täydellinen palvelinmurto tuottaa vain AES-256-GCM-salatekstiä. Tarvitsetko paikallista käsittelyä? Työpöytäsovellus toimii laitteellasi ilman ulkoisia yhteyksiä.
Lähteet
- ICO: Information Commissioner's Office — VERIFIED-EXTERNAL
- ICO: Täytäntöönpanotoimet — VERIFIED-EXTERNAL
- Yhdistyneen kuningaskunnan hallitus: DPDI-laki 2025 analyysi — VERIFIED-EXTERNAL