UK GDPR etter Brexit: Hva som endret seg
Storebritannias Data Protection and Digital Information (DPDI) Act 2025 innforer 14 endringer i EU GDPR-reglene. Dette skaper den forste reelle splittelsen mellom EUs og Storbritannias personvernlovgivning siden Brexit. EU-UK-tilstrekkelighetsavtalen er under gjennomgang. Utfallet er avgjorende for enhver virksomhet som flytter personopplysninger mellom de to regionene.
LastPass-boten: En ny teknisk terskel
ICO ilagde LastPass UK en bot pa £1,2 millioner i desember 2025. Dette er Storbritannias storste tekniske sikkerhetsrettssak til dags dato.
ICO avdekket to grunnleggende svakheter.
Svak kryptering: LastPass lagret kunders passordhvelv med utdatert kryptering. ICO kalte det "utilstrekkelig" under UK GDPR artikkel 32. Noen hvelv brukte PBKDF2-SHA256 med bare ett iterasjonstrinn. UK NCSC anbefaler minst 600 000 iterasjoner for passordnokkler.
Hva loven na krever: UK GDPR artikkel 32 krever "passende tekniske tiltak" som matcher "teknologiens navaerende stand." ICO fant at nokkelutledning i 2022 krevde langt mer enn det LastPass leverte. Det som var akseptabelt i 2015, holdt ikke malt i 2022.
Resultatet: leverandorkryptering er na et punkt som kan revideres. Du ma kontrollere at verktoyene dine bruker aktuelle parametere — ikke gamle grunnlinjer. Se vart sikkerhets- og samsvarssammendrag for hvordan vi handterer dette.
DPDI Act 2025: Seks viktige endringer
Loven gjor 14 identifiserte endringer i britisk personvernlov. Seks har direkte innvirkning pa daglig drift.
1. Berettiget interesse. Loven lister opp "anerkjente berettigede interesser." Disse slipper avveiingstesten som EU-retten fortsatt krever. Dette gjor grunnlaget enklere a bruke for britiske virksomheter.
2. Forskning og statistikk. Loven utvider forskningsunntaket. Sekundaer bruk av personopplysninger til forskning krever farre samtykker enn EU-retten krever.
3. Automatiserte beslutninger. Loven erstatter EU artikkel 22. Den nye regelen er mer fleksibel. Noen automatiserte beslutninger trenger ikke lenger meningsfull menneskelig gjennomgang.
4. Journalforing. Loven fjerner plikten til behandlingsregistre (ROPA) for virksomheter under 250 ansatte uten "systematisk" behandling. EU-reglene krever ROPA for alle virksomheter der behandlingen ikke er sporadisk.
5. Informasjonskapsler. Loven reduserer samtykkekravene for analyseinformasjonskapsler. Den stotter "sporingsfrie" losninger. EUs ePrivacy-regler krever fortsatt samtykke for sporingsinforkapsler.
6. Internasjonale overforinger. Den britiske statssekretaeren far utvidet myndighet til a gi tilstrekkelighetsavgjoringer. Storbritannia kan godkjenne land som EU ikke har godkjent. Dette splitter overforingsrammeverket pa begge sider.
Tilstrekkelighetsrisikoen
Europakommisjonen vil vurdere om britisk lov gir "i det vesentlige tilsvarende" beskyttelse som EU-reglene.
Tre omrader bekymrer EU-overvakerne.
DPDI Acts bredere berettigede interesser kan skape hull som Kommisjonen anser som utilstrekkelige. Investigatory Powers Act 2016 reiser fortsatt bekymringer knyttet til CJEU-rettspraksis. Britisk-amerikanske avtaler under CLOUD Act kan eksponere EU-data for amerikansk rettshjandhevelse.
Dersom tilstrekkeligheten oppheves, ville over 10 000 britisk-europeiske standardkontraktsklausuler trenge rask aktivering. Virksomheter som bare stoler pa tilstrekkelighet for UK-EU-overforinger, ville sta overfor hull over natten. Sjekk var samsvarsguide for a vurdere din eksponering.
A drive begge regelverk samtidig
For virksomheter underlagt bade EU- og UK-lov er veien klar.
Bruk det strengeste utgangspunktet. EU artikkel 32, EUs avveiingstest for berettiget interesse og EUs regler for automatiserte beslutninger er alle strengere enn sine britiske ekvivalenter. A oppfylle EU-reglene innebarer a oppfylle UK-reglene, pluss noen fa britiske tillegg.
Dokumenter begge rettsgrunnlag. For berettiget interesse: skriv ned bade resultatet av EUs avveiingstest og bevis pa at behandlingen passer inn i en britisk anerkjent kategori. Dobbel dokumentasjon beskytter deg dersom reglene avviker ytterligere.
Hold SCCer klare. Tilstrekkelighetsgjennomgangen i 2026 vil avgjore om du trenger separate overforingsinstrumenter. Hold standardkontraktsklausuler aktive som sikkerhetsnett selv mens du bruker tilstrekkelighet.
Kontroller leverandorkryptering. LastPass-saken gjor leverandorkryptering til et aktivt samsvarspoeng. Bekreft at verktoy som handterer personopplysninger, bruker aktuelle innstillinger: AES-256-GCM i hvile, argon2id eller PBKDF2 med aktuelle iterasjonstall for nokkelutledning. Se var FAQ for vanlige revisjonssporsmal.
Den britiske splittelsen er det forste reelle bruddet i EUs personvernmodell. For virksomheter i begge regioner er den tryggeste losningen a designe for den strengeste standarden — som fortsatt er EU-rammeverket.
anonym.legal behandler dokumenter i EU-baserte Hetzner-datasentre med nullkunnskapsdesign. Serveren ser aldri klarteksten din. Et fullstendig serverinnbrudd gir bare AES-256-GCM-krypteringstekst. Trenger du lokal behandling? Skrivebordsappen kjoer pa enheten din uten eksterne tilkoblinger.
Kilder
- ICO: Information Commissioner's Office — VERIFIED-EXTERNAL
- ICO: Enforcement Actions — VERIFIED-EXTERNAL
- UK Government: DPDI Act 2025 Analysis — VERIFIED-EXTERNAL