UK GDPR หลัง Brexit: สิ่งที่เปลี่ยนแปลง
พระราชบัญญัติ Data Protection and Digital Information (DPDI) ปี 2025 ของสหราชอาณาจักรสร้างความเปลี่ยนแปลง 14 ประการต่อกฎ EU GDPR สิ่งเหล่านี้สร้างการแยกที่แท้จริงครั้งแรกระหว่างกฎหมายความเป็นส่วนตัวของ EU และ UK นับตั้งแต่ Brexit ข้อตกลงความเพียงพอ EU-UK อยู่ระหว่างการทบทวน ผลลัพธ์ของมันมีความสำคัญต่อทุกธุรกิจที่โอนข้อมูลส่วนบุคคลระหว่างสองภูมิภาค
ค่าปรับ LastPass: มาตรฐานทางเทคนิคใหม่
ICO ปรับ LastPass UK £1.2 ล้านในเดือนธันวาคม 2025 นี่คือคดีความปลอดภัยทางเทคนิคที่ใหญ่ที่สุดของสหราชอาณาจักรจนถึงปัจจุบัน
ICO พบความล้มเหลวหลักสองประการ
การเข้ารหัสที่อ่อนแอ: LastPass เก็บ password vault ของลูกค้าด้วยการเข้ารหัสเก่า ICO เรียกว่า "ไม่เพียงพอ" ภายใต้ UK GDPR Article 32 vault บางส่วนใช้ PBKDF2-SHA256 เพียงหนึ่ง iteration เท่านั้น UK NCSC ระบุว่า password key ต้องมีอย่างน้อย 600,000 iterations
สิ่งที่กฎหมายกำหนดในปัจจุบัน: UK GDPR Article 32 ต้องการ "มาตรการทางเทคนิคที่เหมาะสม" ซึ่งตรงตาม "ระดับเทคโนโลยีปัจจุบัน" ICO พบว่า key derivation ในปี 2022 ต้องการมากกว่าที่ LastPass ให้ไว้มาก สิ่งที่ยอมรับได้ในปี 2015 ไม่เพียงพออีกต่อไปในปี 2022
ผลลัพธ์คือ: การเข้ารหัสของผู้จำหน่ายกลายเป็นรายการที่ต้องตรวจสอบในเชิงปฏิบัติตามกฎหมาย คุณต้องยืนยันว่าเครื่องมือของคุณใช้พารามิเตอร์ปัจจุบัน ไม่ใช่มาตรฐานเก่า ดูวิธีที่เราจัดการเรื่องนี้ได้ที่ security and compliance overview ของเรา
พระราชบัญญัติ DPDI ปี 2025: การเปลี่ยนแปลงสำคัญ 6 ประการ
พระราชบัญญัติสร้างการเปลี่ยนแปลง 14 ประการที่ระบุต่อกฎหมายข้อมูล UK หกประการมีผลโดยตรงในทุกวัน
1. ผลประโยชน์ที่ชอบด้วยกฎหมาย พระราชบัญญัติระบุ "ผลประโยชน์ที่ชอบด้วยกฎหมายที่ได้รับการยอมรับ" ซึ่งข้ามการทดสอบความสมดุลที่กฎหมาย EU ยังต้องการ ทำให้ฐานนี้ใช้งานง่ายขึ้นสำหรับธุรกิจในสหราชอาณาจักร
2. การวิจัยและสถิติ พระราชบัญญัติขยายข้อยกเว้นการวิจัย การใช้ข้อมูลส่วนบุคคลรองเพื่อการวิจัยต้องการความยินยอมน้อยกว่าที่กฎหมาย EU กำหนด
3. การตัดสินใจอัตโนมัติ พระราชบัญญัติแทนที่ EU Article 22 กฎใหม่ผ่อนปรนมากขึ้น การตัดสินใจอัตโนมัติบางอย่างไม่จำเป็นต้องมีการทบทวนของมนุษย์ที่มีความหมายอีกต่อไป
4. การเก็บบันทึก พระราชบัญญัติยกเว้นการบันทึกกิจกรรมการประมวลผล (ROPA) ภาคบังคับสำหรับบริษัทที่มีพนักงานน้อยกว่า 250 คนที่ไม่มีการประมวลผล "เป็นระบบ" กฎ EU กำหนด ROPA สำหรับบริษัททั้งหมดที่มีการประมวลผลไม่ใช่แบบเป็นครั้งคราว
5. ความยินยอม cookie พระราชบัญญัติลดกฎความยินยอมสำหรับ analytics cookie และสนับสนุนตัวเลือก "ไม่มี cookie" กฎ ePrivacy ของ EU ยังต้องการความยินยอมสำหรับ tracking cookie
6. การโอนระหว่างประเทศ รัฐมนตรี UK ได้รับอำนาจกว้างขึ้นในการให้การตัดสินใจความเพียงพอ UK อาจอนุมัติประเทศที่ EU ไม่ได้อนุมัติ ซึ่งแยกกรอบการโอนทั้งสองฝั่ง
ความเสี่ยงของความเพียงพอ
คณะกรรมาธิการยุโรปจะตรวจสอบว่ากฎหมาย UK ให้การคุ้มครองที่ "เทียบเท่ากันโดยหลักการ" กับกฎ EU หรือไม่
สามพื้นที่ที่ทำให้ EU กังวล
ผลประโยชน์ที่ชอบด้วยกฎหมายที่กว้างขึ้นของพระราชบัญญัติ DPDI อาจเปิดช่องว่างที่คณะกรรมาธิการเรียกว่าไม่เพียงพอ พระราชบัญญัติ Investigatory Powers ปี 2016 ของสหราชอาณาจักรยังคงก่อให้เกิดความกังวลที่เกี่ยวข้องกับกฎหมายคดีของ CJEU ข้อตกลง UK-US ภายใต้ CLOUD Act อาจเปิดเผยข้อมูล EU ต่อการบังคับใช้กฎหมายของสหรัฐฯ
หากความเพียงพอถูกระงับ ชุด Standard Contractual Clause ของ UK-EU กว่า 10,000 ชุดจะต้องเปิดใช้งานอย่างเร่งด่วน บริษัทที่พึ่งพาความเพียงพอเพียงอย่างเดียวสำหรับการโอน UK-EU จะเผชิญกับช่องว่างในชั่วข้ามคืน ตรวจสอบ compliance guide ของเราเพื่อทบทวนความเสี่ยงของคุณ
การดำเนินการทั้งสองระบบพร้อมกัน
สำหรับบริษัทที่อยู่ภายใต้ทั้งกฎหมาย EU และ UK เส้นทางนั้นชัดเจน
ใช้มาตรฐานที่เข้มงวดกว่า EU Article 32, การทดสอบผลประโยชน์ที่ชอบด้วยกฎหมายของ EU และกฎการตัดสินใจอัตโนมัติของ EU ล้วนเข้มงวดกว่าเทียบเท่าในพระราชบัญญัติ UK การปฏิบัติตามกฎ EU หมายความว่าปฏิบัติตามกฎ UK บวกกับส่วนเพิ่มเติมบางอย่างของ UK
บันทึกฐานทางกฎหมายทั้งสอง สำหรับผลประโยชน์ที่ชอบด้วยกฎหมาย ให้บันทึกผลการทดสอบความสมดุล EU และหลักฐานว่าการประมวลผลเหมาะสมกับหมวดหมู่ที่ UK ยอมรับ บันทึกคู่ปกป้องคุณหากกฎแยกออกไปมากขึ้น
เตรียม SCC ให้พร้อม การทบทวนความเพียงพอปี 2026 จะตัดสินว่าคุณต้องใช้เครื่องมือการโอนแยกต่างหากหรือไม่ เก็บ Standard Contractual Clause ไว้เป็น backup แม้ขณะใช้ความเพียงพอ
ตรวจสอบการเข้ารหัสของผู้จำหน่าย คดี LastPass ทำให้การเข้ารหัสของผู้จำหน่ายกลายเป็นรายการปฏิบัติตามกฎหมายที่ใช้งานอยู่ ยืนยันว่าเครื่องมือที่จัดการข้อมูลส่วนบุคคลใช้การตั้งค่าปัจจุบัน: AES-256-GCM ที่พักข้อมูล, argon2id หรือ PBKDF2 พร้อมจำนวน iteration ปัจจุบันสำหรับ key derivation ดูที่ FAQ ของเราสำหรับคำถามการตรวจสอบทั่วไป
การแยก UK เป็นการแตกหักครั้งแรกที่แท้จริงในโมเดลความเป็นส่วนตัวของ EU สำหรับบริษัทในทั้งสองภูมิภาค การเคลื่อนไหวที่ปลอดภัยที่สุดคือการออกแบบสำหรับมาตรฐานที่ยากกว่า ซึ่งยังคงเป็นกรอบ EU
anonym.legal ประมวลผลเอกสารในศูนย์ข้อมูล Hetzner ของ EU (Falkenstein) โดย zero-knowledge ใช้กับการเข้าสู่ระบบ ดังนั้นรหัสผ่านของคุณจะไม่ออกจากอุปกรณ์ของคุณเลย ต้องการการประมวลผลแบบท้องถิ่น? anonym.plus ผลิตภัณฑ์พี่น้องของเราทำงานบนอุปกรณ์ของคุณทั้งหมด และ Desktop App ของ anonym.legal อ่านไฟล์บนอุปกรณ์ของคุณ ส่วนการตรวจจับทำงานบน API ที่โฮสต์ใน EU