GDPR בריטניה לאחר הברקזיט: מה השתנה
חוק הגנת המידע והמידע הדיגיטלי הבריטי (DPDI) לשנת 2025 מבצע 14 שינויים בכללי GDPR של האיחוד האירופי. שינויים אלו יוצרים את הפירוד הראשון של ממש בין דיני הפרטיות של האיחוד האירופי ובריטניה מאז הברקזיט. הסכם הנאותות בין האיחוד לבריטניה נמצא בבדיקה. תוצאתו חשובה לכל עסק שמעביר נתונים אישיים בין שתי הגדות.
קנס LastPass: רף טכני חדש
ה-ICO קנס את LastPass UK £1.2 מיליון בדצמבר 2025. זהו המקרה הטכני-ביטחוני הגדול ביותר של בריטניה עד כה.
ה-ICO מצא שני כשלים מרכזיים.
הצפנה חלשה: LastPass אחסנה כספות סיסמאות של לקוחות עם הצפנה ישנה. ה-ICO כינה אותה "בלתי הולמת" לפי סעיף 32 של GDPR בריטני. חלק מהכספות השתמשו ב-PBKDF2-SHA256 עם איטרציה אחת בלבד. ה-NCSC הבריטי קובע שמפתחות סיסמה דורשים לפחות 600,000 איטרציות.
מה החוק דורש עכשיו: סעיף 32 של GDPR הבריטי מחייב "אמצעים טכניים מתאימים" שמשקפים את "מצב האמנות". ה-ICO קבע שגזירת מפתחות ב-2022 דרשה הרבה יותר ממה שסיפקה LastPass. מה שהיה קביל ב-2015 לא היה קביל ב-2022.
תוצאה: הצפנת ספקים הפכה לפריט שניתן לבדיקה. עליכם לוודא שהכלים שלכם משתמשים בפרמטרים עדכניים — לא בבסיסים ישנים. ראו סקירת האבטחה והעמידה שלנו לאופן הטיפול בנושא זה.
חוק DPDI 2025: שישה שינויים מרכזיים
החוק מבצע 14 שינויים מזוהים בחוק הנתונים הבריטי. לשישה מהם יש השפעה ישירה על העבודה היומיומית.
1. אינטרסים לגיטימיים. החוק מפרט "אינטרסים לגיטימיים מוכרים" שמחמיצים את מבחן האיזון שעדיין נדרש בחוק האיחוד האירופי. זה מקל על השימוש בבסיס זה לעסקים בריטיים.
2. מחקר וסטטיסטיקה. החוק מרחיב את פטור המחקר. שימוש משני בנתונים אישיים למחקר דורש פחות הסכמות מאשר בחוק האיחוד האירופי.
3. החלטות אוטומטיות. החוק מחליף את סעיף 22 של האיחוד האירופי. הכלל החדש מקל יותר. חלק מההחלטות האוטומטיות אינן דורשות עוד ביקורת אנושית משמעותית.
4. ניהול רשומות. החוק מבטל את הרישומי עיבוד חובתיים (ROPA) לחברות עם פחות מ-250 עובדים ללא עיבוד "שיטתי". כללי האיחוד האירופי מחייבים ROPA לכל החברות שעיבודן אינו מזדמן.
5. הסכמת עוגיות. החוק מצמצם כללי הסכמה לעוגיות אנליטיקה ותומך באפשרויות "ללא עוגיות". כללי ePrivacy של האיחוד האירופי עדיין מחייבים הסכמה לעוגיות מעקב.
6. העברות בינלאומיות. מזכיר המדינה הבריטי מקבל סמכות רחבה יותר להעניק החלטות נאותות. הממלכה המאוחדת עשויה לאשר מדינות שהאיחוד האירופי לא אישר. זה פוצל את מסגרת ההעברות בשני הצדדים.
סיכון הנאותות
הנציבות האירופית תבדוק האם החוק הבריטי מעניק הגנה "שווה ערך ביסודה" לכללי האיחוד האירופי.
שלושה תחומים מדאיגים את המפקחים האירופיים.
האינטרסים הלגיטימיים הרחבים של חוק DPDI עלולים להשאיר פערים שהנציבות תכנה כבלתי הולמים. חוק הסמכויות החוקיות של 2016 ממשיך לעורר חששות הקשורים לפסיקת CJEU. הסכמי בריטניה-ארה"ב במסגרת CLOUD Act עלולים לחשוף נתונים אירופיים לאכיפת חוק אמריקאית.
אם תוקפת הנאותות תושעה, יותר מ-10,000 מערכות חוזי תקן (SCC) בריטניה-האיחוד האירופי יצטרכו הפעלה מהירה. חברות המסתמכות רק על הנאותות להעברות בריטניה-האיחוד האירופי עלולות להתמודד עם פערים בן לילה. בדקו את מדריך העמידה שלנו לסקירת החשיפה שלכם.
הפעלת שני המשטרים במקביל
לחברות הכפופות גם לחוק האיחוד האירופי וגם לחוק הבריטי, הדרך ברורה.
השתמשו ברף המחמיר יותר. סעיף 32 האירופי, מבחן האינטרסים הלגיטימיים האירופי וכללי ההחלטות האוטומטיות האירופיים — כולם מחמירים יותר מהמקבילות בחוק הבריטי. עמידה בכללי האיחוד האירופי פירושה עמידה בכללי הבריטניה, בתוספת כמה דרישות בריטיות נוספות.
תעדו את שתי הבסיסות המשפטיות. לאינטרסים לגיטימיים, כתבו הן את תוצאת מבחן האיזון האירופי והן הוכחה שהעיבוד נכנס לקטגוריה מוכרת בריטית. רשומות כפולות מגנות עליכם אם הכללים יתפצלו עוד יותר.
שמרו SCC מוכנים. בדיקת הנאותות של 2026 תקבע אם תזדקקו לכלי העברה נפרדים. שמרו חוזי תקן פעילים כגיבוי גם בזמן שימוש בנאותות.
בדקו הצפנת ספקים. מקרה LastPass הופך הצפנת ספקים לפריט עמידה פעיל. וודאו שהכלים המטפלים בנתונים אישיים משתמשים בהגדרות עדכניות: AES-256-GCM בזמן מנוחה, argon2id או PBKDF2 עם ספירות איטרציות עדכניות לגזירת מפתחות. עיינו בשאלות נפוצות לשאלות ביקורת נפוצות.
הפיצול הבריטי הוא הפירוד הראשון של ממש במודל הפרטיות של האיחוד האירופי. לחברות בשתי האזורים, הצעד הבטוח ביותר הוא לתכנן לפי הסטנדרט המחמיר יותר — שעדיין מסגרת האיחוד האירופי.
anonym.legal מעבד מסמכים במרכזי נתונים של Hetzner בגרמניה בעיצוב ידע-אפס. השרת לעולם אינו רואה את הטקסט הגולמי שלכם. פריצה מלאה לשרת מניבה רק טקסט מוצפן AES-256-GCM. זקוקים לעיבוד מקומי? אפליקציית Desktop פועלת על המכשיר שלכם ללא חיבורים חיצוניים.