脱欧后的英国 GDPR：发生了哪些变化
2018年《英国数据保护法》将UK GDPR纳入本国法律，其内容与欧盟GDPR高度接近，但并非完全一致。如果同时在英国和欧盟开展业务，则面临两套独立的合规要求。
保持不变的内容：
- 六种数据处理合法依据
- 数据主体权利：访问权、删除权、更正权、可携带权
- 数据泄露72小时通知义务
- 隐私设计与默认隐私保护原则
发生变化的内容：
- 英国自行作出跨境数据传输的充分性认定
- 英国2023—2024年发布的AI指导意见在深度上超过欧盟数据保护委员会
- 英国的研究豁免范围略宽于欧盟
- 监管机构正从「建议优先」转向更积极的罚款执法
英国法规与欧盟法规之间的差距是真实存在的，应将二者作为两份独立的合规清单分别对待。
LastPass罚款案：加密成为法律检验标准
2025年12月，ICO因LastPass英国公司的加密方案存在缺陷，对其处以120万英镑罚款。这是迄今英国GDPR在技术安全领域最重要的裁定。
监管机构发现的问题： LastPass使用服务器端密钥存储密保库数据，任何能够访问服务器的人均可读取密保库内容。裁定认定这违反了UK GDPR第32条规定的「适当技术措施」要求。
执法通知中的关键表述：「数据控制者应当采用客户端加密，即便服务器遭到攻击，用户密保库数据也可得到保护。」
此案确立的标准： 如果存在更安全的设计方案且技术上可行，而企业采用了更弱的方案，现在可能被认定违反第32条。服务器端密钥管理对于敏感数据的存储不再是安全的默认选项。
受影响的主体范围： 任何存储敏感数据且自行持有加密密钥的服务。这包括出于审计追踪、使用统计或文档历史目的记录文本的工具。如果服务器能够读取明文内容，监管机构可能会追问为何不采用客户端加密设计。详见anonym.legal如何管理密钥并处理文本。
英国AI指导意见：八项技术要求
英国监管机构于2023—2024年发布了详细的AI指导意见，为生成式AI系统提出了八项具体要求，细化程度超过欧盟同类指导意见。
1. 训练数据来源 — 基于个人数据训练的AI必须记录数据来源及数据清洗措施。
2. 输出监控 — 产生个人数据输出的系统须配备管控机制，以识别和防止不当披露。
3. 目的限制 — 用于AI训练的数据必须与声明目的相符，将客户数据用于通用训练须有明确的合法依据。
4. 自动决策权利 — 若AI系统对个人作出重大决策，须支持当事人行使访问权、要求说明和提出申诉。
5. 偏见监控 — 直接或间接使用受保护特征的系统须设置偏见检查机制。
6. 微调前数据最小化 — 微调模型前必须减少个人数据，单纯的书面政策不能满足要求。
7. 从模型权重中删除数据 — 若数据已进入模型权重，须制定应对删除请求的方案，需要技术性或等效保障措施。
8. 第三方AI审查 — 使用其他公司AI工具时，须检查并记录该工具对上述八项要求的合规情况。
这八项要求构成任何英国AI部署的实用合规检查清单。
英国执法：转向更积极的处罚
监管机构过去倾向于以指导建议代替处罚，这一趋势正在改变。近期执法行动呈现出清晰规律：
| 案件 | 金额 | 年份 | 原因 |
|---|---|---|---|
| 英国航空 | 2,000万英镑 | 2020 | 数据泄露——安全措施薄弱 |
| 万豪国际 | 1,840万英镑 | 2020 | 数据泄露——尽职调查不足 |
| LastPass英国 | 120万英镑 | 2025 | 加密设计缺陷 |
| 选举委员会 | 440万英镑训诫令 | 2023 | 服务器未及时打补丁 |
2024年共发出67项执法通知，创历史纪录。LastPass案的特殊之处在于，罚款针对的是一项设计决策，而非仅仅是数据泄露的结果。监管机构审查了LastPass的系统构建方式，这是一个新动向。
英欧数据传输：双向合规风险
处理欧盟个人数据的英国组织须同时应对两侧的合规义务。
从欧盟到英国： 欧盟于2021年向英国作出充分性认定，目前仍然有效，但正面临法律挑战。不宜单独依赖这一认定，将标准合同条款作为备选保障是明智之举。
从英国到欧盟： 目前没有限制将英国数据传输至欧盟处理方的规则。但处理英国数据的欧盟处理方在其端口仍可能触发EU GDPR的适用。
实践建议： 将您的UK GDPR合规立场和EU GDPR合规立场分别以独立文件呈现，注明两者的异同之处。这正是监管机构要求提供的记录。我们的合规概览对两者均作了对应梳理。
关于anonym.legal加密什么内容、文本在哪里处理，以及零知识适用于何处（登录），请阅读我们的安全与隐私架构页面。
参考资料
- ICO：UK GDPR指导意见与资源 — 经核实外部链接
- ICO：LastPass执法通知（2025年12月） — 经核实外部链接
- ICO：AI与数据保护指导意见 — 经核实外部链接
- ICO：2024年执法年度报告 — 经核实外部链接