UK GDPR Pagkatapos ng Brexit: Ano ang Nagbago
Ang Data Protection and Digital Information (DPDI) Act 2025 ng UK ay gumagawa ng 14 na pagbabago sa mga panuntunan ng EU GDPR. Lumilikha ito ng unang tunay na pagbabagay sa pagitan ng EU at UK privacy law mula nang mag-Brexit. Nasa ilalim ng pagsusuri ang kasunduan ng EU-UK adequacy. Mahalaga ang resulta nito para sa bawat negosyo na naglilipat ng personal na data sa pagitan ng dalawang rehiyon.
Ang Multa sa LastPass: Isang Bagong Teknikal na Pamantayan
Pinagsipagan ng ICO ang LastPass UK ng £1.2 milyon noong Disyembre 2025. Ito ang pinakamalaking teknikal na kaso ng seguridad sa UK hanggang ngayon.
Natuklasan ng ICO ang dalawang pangunahing kabiguan.
Mahinang encryption: Nag-imbak ang LastPass ng mga customer password vault na may lumang encryption. Tinawag ito ng ICO na "hindi sapat" sa ilalim ng UK GDPR Article 32. Ang ilang vault ay gumamit ng PBKDF2-SHA256 na may isang iteration lang. Sinasabi ng UK NCSC na ang mga susi ng password ay nangangailangan ng hindi bababa sa 600,000 na iteration.
Ano na ang hinihingi ng batas: Hinihingi ng UK GDPR Article 32 ang "angkop na teknikal na mga hakbang" na naaayon sa "state of the art." Natuklasan ng ICO na ang key derivation noong 2022 ay nangangailangan ng higit pa sa ibinigay ng LastPass. Ang dating katanggap-tanggap noong 2015 ay hindi na katanggap-tanggap noong 2022.
Ang resulta: ang encryption ng vendor ay isang bagay na maaaring ma-audit. Kailangan mong suriin na gumagamit ang iyong mga tool ng kasalukuyang mga parameter — hindi lumang baseline. Tingnan ang aming pangkalahatang-ideya ng seguridad at pagsunod para sa paraan ng aming paghawak nito.
DPDI Act 2025: Anim na Pangunahing Pagbabago
Gumagawa ang Batas ng 14 na natuklasang pagbabago sa UK data law. Anim ang may direktang pang-araw-araw na epekto.
1. Mga lehitimong interes. Naglilista ang Batas ng "mga kinikilalang lehitimong interes." Nilalaktawan nito ang balancing test na kinakailangan pa rin ng batas ng EU. Nagpapahintulot ito ng mas madaling paggamit ng batayan para sa mga negosyong UK.
2. Pananaliksik at istatistika. Pinapalawig ng Batas ang exemption sa pananaliksik. Ang pangalawang paggamit ng personal na data para sa pananaliksik ay nangangailangan ng mas kaunting pahintulot kaysa sa hinihingi ng batas ng EU.
3. Mga automated na desisyon. Pinapalitan ng Batas ang EU Article 22. Mas maluwag ang bagong panuntunan. Ang ilang automated na desisyon ay hindi na nangangailangan ng makabuluhang pagsusuri ng tao.
4. Pagtatago ng rekord. Inaalis ng Batas ang mandatory na records of processing (ROPA) para sa mga kumpanyang may wala pang 250 kawani na walang "sistematikong" pagpoproseso. Hinihingi ng mga patakaran ng EU ang ROPA para sa lahat ng kumpanyang ang pagpoproseso ay hindi paminsan-minsan.
5. Pahintulot sa cookie. Binabawasan ng Batas ang mga panuntunan sa pahintulot para sa analytics cookies. Sinusuportahan nito ang mga opsyong "walang cookie." Kinakailangan pa rin ng mga patakaran ng EU ePrivacy ang pahintulot para sa mga tracking cookie.
6. Mga internasyonal na paglilipat. Binibigyan ng mas malawak na kapangyarihan ang UK Secretary of State na mag-grant ng mga desisyon sa adequacy. Maaaring aprubahan ng UK ang mga bansang hindi pa inaprubahan ng EU. Pino-split nito ang framework ng paglilipat sa magkabilang panig.
Ang Panganib sa Adequacy
Susuriin ng European Commission kung nagbibigay ang batas ng UK ng proteksyong "essentially equivalent" sa mga patakaran ng EU.
Tatlong lugar ang nag-aalala sa mga monitor ng EU.
Ang mas malawak na mga lehitimong interes ng DPDI Act ay maaaring mag-iwan ng mga puwang na tinatawag ng Komisyon na hindi sapat. Ang UK Investigatory Powers Act 2016 ay nagdudulot pa rin ng mga alalahanin na nakatali sa case law ng CJEU. Ang mga kasunduan ng UK-US sa ilalim ng CLOUD Act ay maaaring mag-expose ng EU data sa US law enforcement.
Kung nasuspinde ang adequacy, mahigit sa 10,000 UK-EU Standard Contractual Clause set ay kailangang mabilis na i-activate. Ang mga kumpanyang umaasa lamang sa adequacy para sa mga UK-EU transfer ay mahaharap sa mga puwang sa magdamag. Suriin ang aming gabay sa pagsunod para suriin ang iyong exposure.
Pagpapatakbo ng Parehong Rehimen nang Sabay-sabay
Para sa mga kumpanyang nasa ilalim ng parehong batas ng EU at UK, malinaw ang landas.
Gamitin ang mas mahigpit na baseline. Ang EU Article 32, ang EU legitimate interests test, at ang mga patakaran ng EU para sa automated na desisyon ay lahat ay mas mahigpit kaysa sa kanilang mga katumbas sa UK Act. Ang pagtugon sa mga patakaran ng EU ay nangangahulugang pagtugon sa mga patakaran ng UK, kasama ang ilang karagdagang UK.
I-document ang parehong legal na batayan. Para sa mga lehitimong interes, isulat ang resulta ng EU balancing test at patunay na ang pagpoproseso ay akma sa isang UK recognized na kategorya. Pinoprotektahan ka ng dual records kung higit pang magkakaiba ang mga patakaran.
Panatilihing handa ang mga SCC. Magpapasiya ang pagsusuri ng adequacy noong 2026 kung kailangan mo ng hiwalay na mga tool sa paglilipat. Panatilihing buhay ang mga Standard Contractual Clause bilang backup kahit gumagamit ng adequacy.
Suriin ang encryption ng vendor. Ginagawa ng kaso ng LastPass na isang buhay na item ng pagsunod ang encryption ng vendor. Kumpirmahin na ang mga tool na humahawak ng personal na data ay gumagamit ng kasalukuyang mga setting: AES-256-GCM sa rest, argon2id o PBKDF2 na may kasalukuyang bilang ng iteration para sa key derivation. I-browse ang aming FAQ para sa mga karaniwang tanong sa pag-audit.
Ang UK split ang unang tunay na pagbabagay sa EU privacy model. Para sa mga kumpanya sa parehong rehiyon, ang pinakaligtas na hakbang ay ang mag-disenyo para sa mas mahirap na pamantayan — na ang EU framework pa rin.
Nagpoproseso ang anonym.legal ng mga dokumento sa EU-based na Hetzner data center na may zero-knowledge na disenyo. Hindi nakikita ng server ang iyong plain-text. Ang isang buong server breach ay nagbubunga lamang ng AES-256-GCM ciphertext. Kailangan ng lokal na pagpoproseso? Ang Desktop App ay tumatakbo sa iyong device nang walang panlabas na koneksyon.
Mga Pinagkukunan
- ICO: Information Commissioner's Office — VERIFIED-EXTERNAL
- ICO: Enforcement Actions — VERIFIED-EXTERNAL
- UK Government: DPDI Act 2025 Analysis — VERIFIED-EXTERNAL