Brexit Sonrası İngiltere GDPR: Neler Değişti
İngiltere'nin Veri Koruma ve Dijital Bilgi (DPDI) Yasası 2025, AB GDPR kurallarında 14 değişiklik yapıyor. Bu değişiklikler, Brexit'ten bu yana AB ve İngiltere gizlilik hukuku arasındaki ilk gerçek ayrışmayı yaratıyor. AB-İngiltere yeterlilik anlaşması inceleme altında. Sonucu, iki bölge arasında kişisel veri aktaran her işletmeyi etkiliyor.
LastPass Cezası: Yeni Bir Teknik Eşik
ICO, Aralık 2025'te LastPass UK'e 1,2 milyon sterlin ceza kesti. Bu, İngiltere'nin bugüne kadarki en büyük teknik güvenlik davasıdır.
ICO iki temel başarısızlık tespit etti.
Zayıf şifreleme: LastPass, müşteri parola kasalarını eski şifrelemeyle depoladı. ICO bunu İngiltere GDPR Madde 32 kapsamında 'yetersiz' olarak nitelendirdi. Bazı kasalar yalnızca bir yinelemeyle PBKDF2-SHA256 kullandı. İngiltere NCSC, parola anahtarlarının en az 600.000 yineleme gerektirdiğini belirtiyor.
Yasanın artık gerektirdiği: İngiltere GDPR Madde 32, 'sanatın mevcut durumunu' yansıtan 'uygun teknik önlemler' talep ediyor. ICO, 2022'deki anahtar türetmenin LastPass'in sağladığından çok daha fazlasını gerektirdiğini tespit etti. 2015'te kabul edilebilir olan, 2022'de artık kabul edilebilir değildi.
Sonuç: Tedarikçi şifrelemesi artık denetlenebilir bir kalemdir. Araçlarınızın güncel parametreler kullandığını — eski referans değerleri değil — doğrulamalısınız. Bunu nasıl ele aldığımıza ilişkin bilgi için güvenlik ve uyumluluk genel bakışımıza bakın.
DPDI Yasası 2025: Altı Temel Değişiklik
Yasa, İngiltere veri hukukunda 14 belirlenmiş değişiklik yapıyor. Altısının günlük pratik etkisi doğrudandır.
1. Meşru menfaatler. Yasa, 'tanınan meşru menfaatleri' listeler. Bunlar, AB hukukunun hâlâ gerektirdiği dengeleme testini atlıyor. Bu durum, İngiltere'deki işletmeler için bu dayanağı kullanmayı kolaylaştırıyor.
2. Araştırma ve istatistik. Yasa araştırma muafiyetini genişletiyor. Araştırma amacıyla kişisel verinin ikincil kullanımı, AB hukukunun gerektirdiğinden daha az rıza gerektiriyor.
3. Otomatik kararlar. Yasa AB Madde 22'nin yerini alıyor. Yeni kural daha esnektir. Bazı otomatik kararlar artık anlamlı bir insan denetimi gerektirmiyor.
4. Kayıt tutma. Yasa, 250'den az personele sahip ve 'sistematik' işleme gerçekleştirmeyen şirketler için zorunlu işleme kayıtlarını (ROPA) kaldırıyor. AB kuralları, işlemenin yalnızca arızi olmadığı tüm şirketler için ROPA zorunluluğu öngörüyor.
5. Çerez onayı. Yasa, analitik çerezler için onay kurallarını azaltıyor. 'Çerezsiz' seçenekleri destekliyor. AB eGizlilik kuralları, takip çerezleri için rıza almayı hâlâ gerektiriyor.
6. Uluslararası transferler. İngiltere Dışişleri Bakanı, yeterlilik kararları vermek için daha geniş yetkiye sahip oluyor. İngiltere, AB'nin onaylamadığı ülkeleri onaylayabilir. Bu durum, transfer çerçevesini her iki taraf için de farklılaştırıyor.
Yeterlilik Riski
Avrupa Komisyonu, İngiltere hukukunun AB kurallarıyla 'özünde eşdeğer' koruma sağlayıp sağlamadığını inceleyecek.
AB monitörleri üç alanda endişe taşıyor.
DPDI Yasası'nın genişletilmiş meşru menfaatleri, Komisyon'un yetersiz bulduğu boşluklar bırakabilir. 2016 tarihli İngiltere Soruşturma Yetkileri Yasası, ABAD içtihatıyla bağlantılı endişeleri sürdürüyor. CLOUD Yasası kapsamındaki İngiltere-ABD anlaşmaları, AB verilerini ABD kolluk makamlarına açabilir.
Yeterlilik askıya alınırsa, 10.000'den fazla İngiltere-AB Standart Sözleşme Maddesi seti hızla devreye alınmak zorunda kalacak. Yalnızca yeterlilik kararına dayanan şirketler, İngiltere-AB transferlerinde bir gecede boşluklarla karşılaşabilir. Riskinizi değerlendirmek için uyumluluk kılavuzumuzu inceleyin.
Her İki Rejimi Aynı Anda Yönetmek
Hem AB hem de İngiltere hukukuna tabi şirketler için yol nettir.
Daha katı referans değerini kullanın. AB Madde 32, AB meşru menfaatler testi ve AB otomatik karar kuralları, İngiltere Yasası'ndaki karşılıklarından daha katıdır. AB kurallarını karşılamak, İngiltere kurallarını artı birkaç İngiltere ekstrası olmak üzere karşılamak anlamına gelir.
Her iki hukuki dayanağı da belgeleyin. Meşru menfaatler için hem AB dengeleme testi sonucunu hem de işlemin İngiltere'nin tanınan bir kategorisine uyduğunun kanıtını kayıt altına alın. Çift kayıtlar, kurallar daha da ayrışırsa sizi korur.
SCC'leri hazırda tutun. 2026 yeterlilik incelemesi, ayrı transfer araçlarına ihtiyaç duyup duymadığınızı belirleyecek. Yeterliliği kullanırken bile Standart Sözleşme Maddelerini yedek olarak canlı tutun.
Tedarikçi şifrelemesini kontrol edin. LastPass davası, tedarikçi şifrelemesini somut bir uyumluluk kalemi haline getirdi. Kişisel verileri işleyen araçların güncel ayarları kullandığını doğrulayın: bekleyen veriler için AES-256-GCM, anahtar türetme için argon2id ya da mevcut yineleme sayılarıyla PBKDF2. Sık sorulan denetim soruları için SSS sayfamıza bakın.
İngiltere ayrışması, AB gizlilik modelindeki ilk gerçek kırılmadır. Her iki bölgede faaliyet gösteren şirketler için en güvenli yaklaşım, daha sert standardı — ki bu hâlâ AB çerçevesidir — esas alarak tasarım yapmaktır.
anonym.legal, belgeleri sıfır bilgi tasarımıyla AB merkezli Hetzner veri merkezlerinde işler. Sunucu hiçbir zaman düz metnizi görmez. Sunucunun tamamen ele geçirilmesi durumunda yalnızca AES-256-GCM şifreli metin elde edilir. Yerel işleme mi gerekiyor? Masaüstü Uygulaması, harici bağlantı olmaksızın cihazınızda çalışır.
Kaynaklar
- ICO: Bilgi Komiserliği Ofisi — DOĞRULANDI-HARİCİ
- ICO: Aldığımız Yaptırım Eylemleri — DOĞRULANDI-HARİCİ
- İngiltere Hükümeti: DPDI Yasası 2025 Analizi — DOĞRULANDI-HARİCİ