UK GDPR efter Brexit: Vad som förändrats
Storbritanniens Data Protection and Digital Information (DPDI) Act 2025 gör 14 ändringar i EU:s GDPR-regler. Dessa skapar den första verkliga klyftan mellan EU:s och Storbritanniens integritetslagar sedan Brexit. EU–UK-adekvansdelen är under granskning, och utfallet spelar roll för alla företag som överför personuppgifter mellan de två regionerna.
LastPass-böterna: En ny teknisk ribba
ICO bötfällde LastPass £1,2 miljoner i december 2025 — det hittills största tekniska säkerhetsärendet i Storbritannien.
ICO fann två centrala brister.
Svag kryptering: LastPass lagrade kundernas lösenordsvalv med föråldrad kryptering. ICO kallade den "otillräcklig" enligt UK GDPR artikel 32. Vissa valv använde PBKDF2-SHA256 med bara en iteration. Det brittiska NCSC kräver minst 600 000 iterationer för lösenordsnycklar.
Vad lagen nu kräver: UK GDPR artikel 32 kräver "lämpliga tekniska åtgärder" som speglar "aktuell tekniknivå." ICO konstaterade att nyckelderivation 2022 krävde långt mer än vad LastPass tillhandahöll. Vad som var acceptabelt 2015 var inte acceptabelt 2022.
Resultatet: leverantörskryptering är nu ett reviderbart complianceområde. Du måste kontrollera att dina verktyg använder aktuella parametrar — inte gamla baslinjer. Se vår säkerhets- och complianceöversikt för hur vi hanterar detta.
DPDI Act 2025: Sex viktiga förändringar
Akten gör 14 identifierade ändringar i brittisk dataskyddslag. Sex har direkt daglig påverkan.
1. Berättigat intresse. Akten listar "erkända berättigade intressen" som slipper den balansbedömning som EU-rätten fortfarande kräver. Det gör grunden lättare att tillämpa för brittiska företag.
2. Forskning och statistik. Akten breddar undantaget för forskning. Sekundär användning av personuppgifter för forskning kräver färre samtycken än EU-rätten.
3. Automatiserade beslut. Akten ersätter EU:s artikel 22. Den nya regeln är mer tillåtande — vissa automatiserade beslut kräver inte längre meningsfull mänsklig granskning.
4. Journalföring. Akten avskaffar kravet på obligatoriska register över behandlingsaktiviteter (ROPA) för företag under 250 anställda utan "systematisk" behandling. EU-reglerna kräver ROPA för alla företag vars behandling inte är tillfällig.
5. Cookiesamtycke. Akten minskar samtyckeskraven för analyskakor och stöder "cookiefria" alternativ. EU:s ePrivacy-regler kräver fortfarande samtycke för spårningskakor.
6. Internationella överföringar. Den brittiske statssekreteraren får vidare befogenhet att utfärda adekvansbeslut. Storbritannien kan godkänna länder som EU inte har godkänt — vilket delar upp överföringsramverket på båda sidor.
Adekvanssrisken
Europeiska kommissionen kommer att bedöma om brittisk lag ger ett "i allt väsentligt likvärdigt" skydd jämfört med EU:s regler.
Tre områden oroar EU-övervakarna.
DPDI-aktens vidare berättigade intressen kan lämna luckor som kommissionen bedömer som otillräckliga. Storbritanniens Investigatory Powers Act 2016 väcker fortfarande frågor kopplade till EU-domstolens praxis. Brittisk-amerikanska avtal under CLOUD Act kan exponera EU-data för amerikanskt rättsväsende.
Om adekvansbedömningen upphävs skulle fler än 10 000 brittisk-europeiska SCK-set behöva aktiveras snabbt. Företag som enbart förlitar sig på adekvans för UK–EU-överföringar skulle stå inför luckor omedelbart. Granska din exponering i vår complianceguide.
Att driva båda regelverken parallellt
För företag som lyder under både EU- och brittisk lag är vägen tydlig.
Använd den strängaste baslinjen. EU:s artikel 32, EU:s test för berättigat intresse och EU:s regler om automatiserade beslut är alla strängare än sina brittiska motsvarigheter. Att uppfylla EU:s regler innebär att du uppfyller de brittiska — plus några brittiska tillägg.
Dokumentera båda rättsliga grunderna. Vid berättigat intresse: dokumentera både resultatet av EU:s balansbedömning och bevis på att behandlingen faller under en brittisk erkänd kategori. Dubbla register skyddar dig om reglerna divergerar ytterligare.
Ha SCK:er redo. Adekvansgranskningen 2026 avgör om du behöver separata överföringsverktyg. Ha standardklausuler (SCC) aktiverade som backup även medan du använder adekvans.
Kontrollera leverantörskryptering. LastPass-fallet gör leverantörskryptering till ett aktivt complianceärende. Bekräfta att verktyg som hanterar personuppgifter använder aktuella inställningar: AES-256-GCM i vila, argon2id eller PBKDF2 med aktuella iterationsantal för nyckelderivation. Bläddra i vår FAQ för vanliga revisionsfrågor.
Den brittiska klyftan är det första verkliga brottet i EU:s integritetsmodell. För företag i båda regionerna är den säkraste strategin att designa för den hårdare standarden — vilket fortfarande är EU:s ramverk.
anonym.legal bearbetar dokument i EU-baserade Hetzner-datacenter med zero-knowledge-design. Servern ser aldrig din klartext. Ett fullständigt serverintrång ger bara AES-256-GCM-kryptotext. Behöver du lokal bearbetning? Skrivbordsappen körs på din enhet utan externa anslutningar.
Källor
- ICO: Information Commissioner's Office — VERIFIED-EXTERNAL
- ICO: Tillsynsåtgärder — VERIFIED-EXTERNAL
- UK Government: DPDI Act 2025 Analysis — VERIFIED-EXTERNAL