VK-AVG na Brexit: wat er veranderde
De Britse Data Protection and Digital Information (DPDI) Act 2025 maakt 14 wijzigingen aan EU-AVG-regels. Dit creëert de eerste echte kloof tussen EU- en VK-privacyrecht sinds Brexit. Het EU-VK-adequaatheidsakkoord staat ter herziening. De uitkomst telt voor elk bedrijf dat persoonsgegevens tussen de twee regio's overdraagt.
De LastPass-boete: een nieuwe technische lat
De ICO boette LastPass VK £1,2 miljoen in december 2025 — de grootste Britse technische beveiligingszaak tot nu toe.
De ICO vond twee kernfouten.
Zwakke versleuteling: LastPass bewaarde klantenwachtwoordkluizen met oude versleuteling. De ICO noemde dit "ontoereikend" onder VK-AVG Artikel 32. Sommige kluizen gebruikten PBKDF2-SHA256 met slechts één iteratie. Het Britse NCSC zegt dat wachtwoordsleutels minimaal 600.000 iteraties vereisen.
Wat de wet nu vereist: VK-AVG Artikel 32 eist "passende technische maatregelen" die overeenkomen met de "stand van de techniek". De ICO vond dat sleutelafleiding in 2022 aanzienlijk meer vereiste dan LastPass bood. Wat in 2015 acceptabel was, was in 2022 niet meer acceptabel.
Resultaat: leveranciersversleuteling is nu een controleerbaar nalevingsitem. U moet verifiëren dat tools die persoonsgegevens verwerken huidige parameters gebruiken. Zie ons beveiligings- en nalevingsoverzicht voor hoe wij dit aanpakken.
DPDI Act 2025: zes kernwijzigingen
De wet maakt 14 geïdentificeerde wijzigingen aan het Britse gegevensrecht. Zes hebben directe dagelijkse impact.
1. Gerechtvaardigde belangen. De wet somt "erkende gerechtvaardigde belangen" op die de balanceringstoets die EU-recht nog vereist, overslaan.
2. Onderzoek en statistieken. De wet verruimt de onderzoeksuitzondering. Secundair gebruik van persoonsgegevens voor onderzoek vereist minder toestemmingen dan EU-recht.
3. Geautomatiseerde beslissingen. De wet vervangt EU Artikel 22 door een meer ontspannen regel. Sommige geautomatiseerde beslissingen vereisen geen zinvolle menselijke beoordeling meer.
4. Registerplicht. De wet schrapt het verplichte verwerkingsactiviteitenregister voor bedrijven onder 250 medewerkers zonder "systematische" verwerking.
5. Cookietoestemming. De wet versoepelt toestemmingsregels voor analytische cookies. EU-ePrivacy-regels vereisen nog steeds toestemming voor tracking-cookies.
6. Internationale overdrachten. De Britse Minister van Staat krijgt bredere bevoegdheid om adequaatheidsbeslissingen te verlenen. Het VK kan landen goedkeuren die de EU niet heeft goedgekeurd.
Het adequaatheidsrisico
Drie gebieden baren EU-monitors zorgen.
De ruimere gerechtvaardigde belangen van de DPDI Act kunnen lacunes laten die de Commissie als ontoereikend bestempelt. De Britse Investigatory Powers Act 2016 roept nog steeds zorgen op. VK-VS-akkoorden onder de CLOUD Act kunnen EU-gegevens blootstellen aan VS-rechtshandhaving.
Als adequaatheid wordt geschorst, moeten meer dan 10.000 VK-EU SCB-sets snel worden geactiveerd. Bekijk onze nalevingsgids om uw blootstelling te beoordelen.
Beide regelingen tegelijk uitvoeren
Voor bedrijven onder zowel EU- als VK-recht is de weg duidelijk.
Gebruik de strengste basislijn. EU Artikel 32, de EU-balanceringstoets voor gerechtvaardigde belangen en EU-regels voor geautomatiseerde beslissingen zijn allemaal strenger dan hun VK-equivalenten. Voldoen aan EU-regels betekent voldoen aan VK-regels, plus een paar VK-extras.
Documenteer beide rechtsgrondslagen. Schrijf zowel de EU-balanceringstoetsresultaat als bewijs dat de verwerking in een VK-erkende categorie past.
Houd SCB's klaar. De 2026-adequaatheidsherziening bepaalt of u afzonderlijke overdrachtstools nodig heeft. Houd Standaardcontractbepalingen actief als back-up.
Controleer leveranciersversleuteling. De LastPass-zaak maakt leveranciersversleuteling een levend nalevingsitem. Bevestig dat tools die persoonsgegevens verwerken actuele instellingen gebruiken: AES-256-GCM in rust, argon2id of PBKDF2 met actuele iteratietelling voor sleutelafleiding.
De VK-splitsing is de eerste echte breuk in het EU-privacymodel. Voor bedrijven in beide regio's is de veiligste stap ontwerpen voor de strengere norm — nog steeds het EU-kader.
anonym.legal verwerkt documenten in EU-gebaseerde Hetzner-datacenters met zero-knowledge-ontwerp. De server ziet uw leesbare tekst nooit. Een volledige serverinbreuk levert alleen AES-256-GCM-versleutelde tekst op. Lokale verwerking nodig? De Desktop App draait op uw apparaat zonder externe verbindingen.