ICO英国：脱欧后英国GDPR——您需要知道的技术要求

为什么英国GDPR与欧盟GDPR分歧

2021年脱欧后，英国维持其"等同性"评级（与GDPR相同标准），但逐渐偏离：

• 欧盟GDPR：由27个DPA执行
• 英国GDPR（UKGDPR）：由ICO（信息专员办公室）执行

关键区别：

ICO受英国法律和新的数据保护和数字信息法案（2024）的约束，该法案为某些处理类型提供了例外。

ICO与BfDI/CNIL的执行风格

BfDI（德国）： "显示您的技术控制。" CNIL（法国）： "证明您的法律依据。" ICO（英国）： "向我展示您考虑了风险。"

ICO的方法更风险导向。问题不是"您有这个工具吗？"或"您有这个法律依据吗？"而是"您如何评估并缓解与这个处理相关的风险？"

ICO焦点：DPIA（数据保护影响评估）

GDPR第35条要求对高风险处理进行DPIA。ICO执行这个严格。

根据ICO，以下活动需要DPIA：

1. 大规模处理特殊类别数据
2. 系统监控（CCTV、员工监控）
3. 自动决策或分析（包括AI）
4. 涉及脆弱人群的处理
5. 新技术的使用
6. PII与其他来源的数据合并

ICO会问："您是否为这个处理进行了DPIA？"如果答案是"没有，但我们认为它不需要"，ICO会反驳"让我看看您如何做出这个决定"。

ICO和AI：特殊关注

ICO最近关注将PII发送给AI工具（如ChatGPT）的组织。ICO的立场：

如果您发送PII给第三方AI，您需要：

1. 合法依据（通常是同意或合约）
2. DPIA解决AI培训、数据分离和跨国转移
3. 与AI供应商的合同条款，保证：
   • 数据不用于模型培训
   • 数据与其他用户分离
   • 数据不与其他应用混合
4. 数据保护影响评估的定期审查

ICO说：很多组织要么没有进行DPIA，要么进行了不充分的DPIA。

英国数据保护和数字信息法（2024）的新例外

UK GDPR最近通过了"数据保护和数字信息法"，为某些处理提供了例外：

例外1：研究和统计

在严格条件下，组织可以处理PII用于研究或统计目的，即使原始收集不是为了这个目的。

ICO要求：

• 匿名化或假名化数据（如果可能）
• 额外的技术和组织措施
• 清晰的政策说明使用
• 数据主体的意见权（能够反对）

例外2：代际传承

在某些情况下，组织可以处理死者的PII（通常需要清除）。

条件：

• 死者有已知的亲属要求保留数据
• 数据不被用于商业目的
• 已采取安全措施

ICO认可的数据转移机制

英国脱欧后，数据转移到欧盟和其他国家的规则改变了。

ICO认可的转移机制：

1. 欧盟和等效国： 无需额外保护
2. 不等效国（美国、其他）： 需要一种额外的机制
   • 标准合约条款（SCC）
   • 结合补充措施
   • 或绑定公司规则

特别注意： 跨大西洋数据转移现在需要ICO批准的转移机制。许多组织在2024年还没有更新（冒着罚款的风险）。

ICO对PII检测和匿名化的立场

ICO对匿名化的严格立场：

GDPR第4条定义匿名化为"以不可逆转的方式处理数据，使数据主体不可识别"。

ICO警告：许多组织说他们有"匿名化的"数据，实际上有"假名化的"（即，更改名称但仍然可识别）。

PII检测和移除不等于匿名化。

删除名称和电话号码后，剩余的数据（地址、签约日期、购买历史）仍然可以识别原始人。

ICO的立场："如果有任何合理的可能性通过组合其他来源的数据来识别，数据就不是匿名的。"

ICO审计的常见失败

失败1：没有DPIA或不充分的DPIA

ICO会要求："您为此处理进行了DPIA吗？"许多组织说"是的，我们有一个"，但DPIA很浅：

• 不讨论AI工具的具体风险
• 不解决跨国数据转移
• 不讨论监管变化
• 不包括缓解措施

ICO会说："这个DPIA不符合第35条的要求。"

失败2：声称匿名化，实际上是假名化

组织说："我们匿名化了我们的数据库，删除了名称。"ICO说："您的数据表是假名化的。仍然是PII。"

失败3：转移到美国或其他国家而无需适当的合同条款

许多组织继续使用符合欧盟标准条约条款（SCC）的相同合同，而不认识到英国有独立的SCC要求。

ICO现在要求英国特定的条款。

失败4：AI工具处理没有合同条款

"我们使用ChatGPT，但我们没有更新我们与OpenAI的数据处理协议。"——风险。

ICO希望看到明确的条款说PII不用于培训。

ICO审计准备

准备ICO审计：

1. DPIA清单和文件

   • 识别所有高风险处理
   • 为每一个进行DPIA
   • 文件化风险和缓解措施

2. 数据转移协议

   • 用标准合约条款审查所有国际转移
   • 更新到ICO认可的版本
   • 添加补充措施（如果转移到非等效国）

3. AI工具的合同

   • 获取数据处理协议（DPA）
   • 包括"不用于模型培训"条款
   • 包括"没有跨用户数据混合"条款

4. 匿名化评估

   • 如果您声称数据被匿名化，证明它
   • 如果只是假名化，说"假名化"
   • 认识到删除名称不等于匿名化

5. 员工培训

   • 关于DPIA需求
   • 关于数据转移
   • 关于AI工具的正确用途

ICO罚款和执行

ICO的罚款通常比欧盟DPA低（英国市场更小），但仍然很重：

典型罚款：

• DPIA不足：€50,000-500,000
• AI处理不当：€100,000-1,000,000
• 匿名化失败：€50,000-300,000
• 数据转移不当：€100,000-500,000

底线

ICO比BfDI或CNIL更灵活，但需要更强的风险管理和DPIA。

英国GDPR合规不仅仅是关于技术控制（BfDI）或法律依据（CNIL）。这是关于风险识别、评估和缓解。

如果您处理任何高风险数据（AI、跨国、特殊类别），ICO期望详细的DPIA。如果您没有，做。

来源：

• ICO（英国信息专员办公室）
• ICO关于DPIA的指导
• 英国数据保护和数字信息法（2024）