英國(guó)自脫歐之后，一直在尋求對(duì)數(shù)據(jù)保護(hù)進(jìn)行變革。2023年11月，英國(guó)政府公布了《數(shù)據(jù)保護(hù)和數(shù)字信息法》的第二次修訂案，反映了數(shù)據(jù)保護(hù)方面最新立法動(dòng)向。這是英國(guó)試圖對(duì)英國(guó)版《通用數(shù)據(jù)保護(hù)條例》（GDPR）進(jìn)行改革的第二次提案，相比于2022年7月的第一次法案，此次修訂更加反應(yīng)產(chǎn)業(yè)訴求，明確了更多便利措施。

1. 修訂的特征

第一，修訂案的內(nèi)容更加具有針對(duì)性，主要涵蓋了進(jìn)一步明確相關(guān)內(nèi)容、擴(kuò)大了豁免范圍、為企業(yè)提供更多靈活性、授權(quán)未來(lái)發(fā)布指南或制定規(guī)則等方面。

第二，此次修訂參考和體現(xiàn)了GDPR在實(shí)踐中進(jìn)行應(yīng)用的相關(guān)經(jīng)驗(yàn)、英國(guó)和國(guó)際利益相關(guān)者的觀點(diǎn)建議、政府的政策目標(biāo)等各個(gè)方面的內(nèi)容，最終目的是要降低業(yè)務(wù)合規(guī)成本。

第三，當(dāng)前英國(guó)GDPR中的基本原則、數(shù)據(jù)主體權(quán)利范圍、控制者和處理者的核心義務(wù)及更廣泛的監(jiān)管換勁將不會(huì)受到影響。

第四，已經(jīng)符合當(dāng)前英國(guó)GDPR的組織無(wú)需進(jìn)行更改，目前的修訂不會(huì)可能帶來(lái)雙重合規(guī)困境的沖突。

2. 具體修訂內(nèi)容

主要包括十個(gè)方面：

第一，完善定義。對(duì)個(gè)人身份識(shí)別和匿名化的定義進(jìn)行完善，明確只有當(dāng)控制者和處理者以外的組織能夠或者可能通過(guò)其數(shù)據(jù)處理獲得身份信息時(shí)，才可被視為個(gè)人身份識(shí)別。如果其他組織不能或者不可能獲得此類信息，則該數(shù)據(jù)將被視為匿名，且不受法案監(jiān)管。

第二，擴(kuò)展合法性依據(jù)。當(dāng)處理數(shù)據(jù)主體數(shù)據(jù)的目的在公認(rèn)的合法利益清單上時(shí)，法案免除了企業(yè)平衡其合法利益與數(shù)據(jù)主體權(quán)利和利益的必要性。新法案新增了一份被視為符合數(shù)據(jù)控制者處理數(shù)據(jù)的合法利益的活動(dòng)列表，這些活動(dòng)時(shí)說(shuō)明性的，從立法的前言轉(zhuǎn)移到了可執(zhí)行的部分，包括了直接銷售、組織內(nèi)數(shù)據(jù)傳輸、網(wǎng)絡(luò)和信息系統(tǒng)的安全等內(nèi)容。另外，新法案的注釋說(shuō)明任何合法的商業(yè)活動(dòng)都可以是合法利益，只要處理是必要的，且進(jìn)行了必要性測(cè)試。

第三，確定科學(xué)研究范圍。明確了一份科學(xué)研究清單，包括了應(yīng)用、基礎(chǔ)研究、技術(shù)發(fā)展的創(chuàng)新性探索。

第四，擴(kuò)展跨境方式。除數(shù)據(jù)橋（充分性認(rèn)定）外，法案規(guī)定企業(yè)可以采取合理和相稱的行動(dòng)，但必須根據(jù)充分性認(rèn)定的標(biāo)準(zhǔn)評(píng)估使用其他替代方式的可行性，避免保護(hù)標(biāo)準(zhǔn)低于GDPR的標(biāo)準(zhǔn)。法案建議國(guó)務(wù)卿未來(lái)發(fā)布法規(guī)，承認(rèn)在現(xiàn)有機(jī)制之外的其他機(jī)制的合法性，且認(rèn)為在改革生效之前，合法建立的其他替代機(jī)制是有效的。

第五，更新處理記錄要求。法案免除了雇用少于250人且沒(méi)有高風(fēng)險(xiǎn)處理的組織的記錄保存要求。此外，還提出了澄清數(shù)據(jù)保護(hù)影響評(píng)估的高風(fēng)險(xiǎn)閾值的要求。

第六，取消任命代表要求。法案取消了非在英國(guó)設(shè)立的控制者和處理者任命英國(guó)代表的要求。

第七，更改對(duì)主體權(quán)利進(jìn)行限制的規(guī)定。以無(wú)理取鬧、過(guò)度索取等標(biāo)準(zhǔn)取代“明顯沒(méi)有根據(jù)或過(guò)分”的門檻，以限制數(shù)據(jù)主體權(quán)利。

第八，擴(kuò)大豁免范圍。法案規(guī)定在用戶的終端設(shè)備上放置Cookie或類似跟蹤技術(shù)需要同意的情況應(yīng)當(dāng)納入豁免范圍，涉及外觀或功能的改進(jìn)、必要更新等方面。

第九，更新電子營(yíng)銷要求。法案擴(kuò)大了非商業(yè)組織選擇退出同意的能力。非商業(yè)組織可以發(fā)送電子營(yíng)銷通信，而無(wú)需事先同意，以促進(jìn)慈善事業(yè)、政治或其他非商業(yè)目的。同時(shí)規(guī)定，公共電子通信服務(wù)和網(wǎng)絡(luò)提供商有責(zé)任向ICO報(bào)告與非法直接營(yíng)銷有關(guān)的可疑活動(dòng)，以對(duì)違規(guī)行為進(jìn)行處罰。

第十，明確自動(dòng)化決策要求。法案規(guī)定做出此類決策的組織應(yīng)當(dāng)向個(gè)人進(jìn)行披露，此外還強(qiáng)化了個(gè)人挑戰(zhàn)自動(dòng)化決策的能力。

關(guān)注“廣東技術(shù)性貿(mào)易措施”，獲取更多服務(wù)。