英国脱欧后的数据保护：2018 年英国数据保护法案

2016 年，英国（UK）投票决定脱离欧盟（EU），通常称为“英国脱欧”。“ 考虑到英国脱欧后现有的欧盟法律将不再适用于英国，这一决定对网络安全法产生了一些影响。

实施 2018 年英国数据保护法（DPA 2018），为新独立的国家制定网络安全法规。它包括有关数据使用、负责任地处理数据以及保护个人对其数据的权利的规则。

了解 UpGuard 如何帮助您的组织保护数据并监控您的网络安全态势>

什么是 2018 年英国数据保护法？

DPA 2018 是英国的一项法律，用于规范在英国收集、处理和存储个人数据的方式。英国政府通过了该法案，在英国脱欧后为英国提供网络安全法规。它包含欧盟通用数据保护条例（GDPR）的大部分内容，这是英国在加入欧盟时遵循的欧盟网络安全法。欧盟 GDPR 提供了英国根据其特定需求进行调整的一般大纲。

DPA 2018 重视个人及其个人数据的权利，同时为组织制定处理和保护数据的指导方针。此外，它还包含明确针对 UK 的条款，例如与执法和国家安全相关的数据处理法规。

总之，DPA 2018 为英国实现了三个主要目的：

允许 UK 正式将欧盟 GDPR 纳入其国家立法流程
它授权英国修改和豁免欧盟 GDPR 中可能适用于也可能不适用于英国的部分
将英国数据保护法规扩展到欧盟 GDPR 最初未包含的新领域

数据保护原则

DPA 2018 的一个重要部分是贯穿整个立法的数据保护原则。每个部分都包括这些数据保护原则及其对特定实体的适用性。

合法性、公平性和透明度：个人数据的处理必须以数据主体的最佳利益合法且合法的方式获得，并且各方必须向数据主体传达您处理数据的内容、方式和原因。
目的限制：个人数据的处理只能用于最初预期的目的，不得重复用于其他目的。
数据最小化：个人或组织不会收集超出其服务所需的个人数据。
准确性： 正在处理的个人数据必须正确且最新，并且必须采取合理措施来确保这一点。
存储限制：当个人数据不再用于原始目的时，不应存储个人数据，并且必须实施安全销毁数据的流程。
完整性和机密性：个人数据必须正确且不可纵，并且只能由有权访问数据的人员进行处理。
问责制：数据控制者和处理者必须对其数据处理负责，优先考虑遵守 DPA 2018。

关键组件

DPA 2018 有七个主要部分。并非所有组织都适用，但企业应审查和理解每个部分以保持合规性。

第 1 部分：DPA 概述：介绍部分概述了 DPA 2018 的目的和主要主题，即保护个人数据。它包括该法案中使用的术语定义，包括定义“个人数据”、“处理”、“数据主体”以及整个立法中概述的各种其他实体。
第 2 部分：一般处理：本节包括两个主要目的。首先，它通过添加最初留给欧盟成员国解释和实施的部分来补充欧盟 GDPR。其次，它将欧盟 GDPR 要求应用于特定的一般处理情况。本节包含有关欧盟 GDPR 规定的数据处理数据保护的更多定义和法规，以及欧盟 GDPR 未涵盖的数据处理。
第 3 部分：执法处理：DPA 2018 的这一部分适用于执法环境中的任何数据处理，利用上述六项数据保护原则。它还包括数据主体的权利以及执法数据控制者和处理者的角色和义务。
第 4 部分：情报服务处理：第 4 节专门适用于情报服务，包括安全局、秘密情报局和政府通信总部。同样，在情报服务设置中明确概述了数据保护的六项原则，以及数据主体的权利。本节的独特之处在于数据保护原则的豁免，主要适用于维护国家安全的情况。
第 5 部分：信息专员：DPA 2018 的这一部分概述了信息专员的角色，信息专员是英国的国家监管机构，负责监管和监督数据保护法，并处理违规行为的执行和调查。
第 6 部分：执行： 本节通过信息、评估和执行通知介绍执行 DPA 2018 的流程。它还提供了处罚、上诉、投诉和法院补救措施指南。
第 7 部分：补充和最终条款：最后一部分概述了该法案下的法规、数据保护公约的变更以及处理个人数据处理的其他特定情况。它以该法案生效的日期和该法案的范围结束。

英国脱欧对网络安全的影响

英国脱欧对整个欧盟的网络安全产生了重大影响。当英国退出欧盟时，它成为“第三国”，这是对欧洲经济区（EEA）以外所有国家的名称。由于此次退出，他们不再需要遵守欧盟现有的网络安全法。

欧盟《通用数据保护条例》（GDPR）

在英国脱欧之前，英国根据《通用数据保护条例》（GDPR）运作。GDPR 于 2016 年通过，侧重于数据隐私、网络安全和违规管理。所有欧盟成员国都必须遵守 GDPR。该法规旨在标准化数据保护、保护个人数据和隐私，并简化国际组织的监管流程。

当英国还是欧盟成员国时，GDPR 直接适用，无需制定特定的英国网络安全立法。然而，在投票脱离欧盟后和英国脱欧过渡期内，英国与欧盟签署了各种脱欧协议，包括网络安全要求。《脱欧协议》规定，英国确保的数据保护水平基本相当于欧盟法律规定的水平。

英国《通用数据保护条例》（UK GDPR）

与 DPA 2018 一起，英国通用数据保护条例（UK GDPR）也签署成为法律。英国 GDPR 和 DPA 2018 包括过渡期结束时英国的网络安全形势。

将英国 GDPR 视为整个英国数据保护的广泛框架。它以欧盟 GDPR 为蓝本，为英国脱欧后的网络安全法规提供了国内法律。DPA 2018 对该框架进行了扩展，增加了英国特定的细节和例外情况。两者共同构成了整个英国全面数据保护不可或缺的一部分。

谁必须遵守 2018 年英国数据保护法？

DPA 2018 广泛适用于英国的各个行业领域。基本规定是您的组织是否处理个人数据，包括获取、处理、存储或删除数据。

这包括数据控制者和数据处理者，但也包括使用个人数据的任何英国企业或公司（公共和私人）。处理个人数据的个人，无论是独立处理还是在公司内部担任特定角色，也必须遵守 DPA 2018。

违规处罚

不遵守 DPA 2018 的处罚有多种，从罚款到刑事犯罪。这包括个人因不合规而遭受损害，从而导致合规令和赔偿的情况。

罚款包括最高 1000 万英镑的较低级别罚款或最高 1750 万英镑的高级罚款。信息专员办公室（ICO）是英国领先的数据保护机构，也有权通过各种通知确保合规性并解决不合规问题，这些通知允许他们进行检查、审计或索取信息。

DPA 2018 中概述的刑事犯罪包括

非法获取个人数据
重新识别匿名数据
更改记录以防止泄露
销毁或伪造数据
回应信息通知的虚假陈述
禁止出示相关记录的要求

这些高级别违法行为会导致法院判定的巨额罚款。

如何遵守 UK-GDPR & DPA 2018

英国 GDPR 要求组织遵循合法性、透明度、数据最小化、准确性和机密性等原则。必须告知数据主体其权利，包括访问、更正、删除和传输。安全措施必须保护个人数据，并针对高风险处理进行影响评估。必须在 72 小时内向 ICO 和受影响的个人报告数据泄露。

为了遵守 DPA 2018，组织需要有正当理由来处理个人数据 - 为了同意、合同、法律要求以及重要、公共或合法利益。该法案对执法、安全和情报数据有具体的指导方针，因此这些实体必须遵守其要求。此外，组织必须遵守数字同意年龄（英国为 13 岁），为公共实体任命 DPO，并制定审计、培训和政策以保持合规性。

2018 年英国数据保护法的影响

DPA 2018 重塑了英国的网络安全格局，尤其是在数据保护方面。其持久影响强调个人权利、组织问责制以及使立法与现有网络安全法律保持一致。

英国数据保护法的现代化

在 2018 年 DPA 之前，英国根据 1998 年数据保护法运作。从那时到现在，技术取得了重大进步，DPA 2018 修订并取代了之前的法案。DPA 2018 使立法与时俱进，尤其是关于个人数据的使用和处理方式。

欧盟委员会甚至在英国脱欧后通过了一项英国充分性决定，认为英国的数据保护法与欧盟的数据保护法相同，并允许数据在两者之间流动。这消除了对 SCC（标准合同条款）的需求。

增强的个人权限

根据 DPA 2018，个人被赋予了更强大的权利。这扩展了欧盟 GDPR 中概述的权利，其中包括访问、擦除和可移植性。DPA 2018 赋予数据主体更大的权力和对其数据的控制权。

对违规行为的更严厉处罚

DPA 2018 对违反数据保护法的行为提出了更严厉的处罚，要求公司不断遵守这些更新后的法规。不遵守会导致巨额罚款、诉讼和刑事犯罪，具体取决于违规的严重程度。

执法数据处理

执法部门受到 2018 年 DPA 的热情影响，该法案为他们如何处理个人数据提供了规定。包括与犯罪预防、调查和国家安全相关的任何数据处理的透明数据保护制度。

特殊类别数据的规定

除了与执法相关的数据外，DPA 2018 还对特殊类别的数据处理做出了更明确的规定。现在，组织需要在整个处理程序中对个人数据（包括健康、遗传和生物识别数据）和刑事定罪数据提供更高级别的保护。

问责制和治理

DPA 2018 明确强调问责制。组织必须遵守法规，但也要始终如一地证明其合规性。大多数企业实施了数据保护影响评估，聘请了数据保护官（DPO），并改进了其内部数据保护策略和有关数据处理活动的公司规则。

对公众认知的影响

关于英国脱欧及其对英国现有和新立法的影响，已经有了大量的公众讨论。DPA 2018 的通过有助于向公众提供有关其数据保护权利的信息，包括组织在获取和使用其数据时需要遵守哪些规定。

为英国脱欧做准备

尽管这不是 DPA 2018 的主要目的，但该立法的通过为英国脱欧做好了准备，确保英国顺利从欧盟立法过渡到自己的立法。它是英国脱欧过渡期间制定和签署的众多法律之一，为英国不再是欧盟的一部分时提供运营和法规框架。

DPA 2018 与各种其他欧洲网络安全法律并列，这些法律保护个人数据、遵守最佳实践并确保互联设备的安全。DPA 2018 的颁布时间是英国脱离欧盟的独特时期。但是，它仍然概述了有关个人数据使用的必要法规，这些法规强调个人权利。

如果您的组织处理个人数据，并且您希望遵守 DPA 2018，我们可以提供帮助。UpGuard BreachSight 可帮助您的组织了解影响外部安全态势的风险，并持续监控和保护您的资产（包括个人数据）。持续监控、数据泄漏保护、共享安全配置文件和洞察报告只是这个一体化平台的几个亮点。

查看下面的产品导览！