英國自脫歐之后,，一直在尋求對數(shù)據(jù)保護進行變革,。2023年11月，英國政府公布了《數(shù)據(jù)保護和數(shù)字信息法》的第二次修訂案,，反映了數(shù)據(jù)保護方面最新立法動向,。這是英國試圖對英國版《通用數(shù)據(jù)保護條例》（GDPR）進行改革的第二次提案,，相比于2022年7月的第一次法案，此次修訂更加反應(yīng)產(chǎn)業(yè)訴求,，明確了更多便利措施,。

1. 修訂的特征

第一,，修訂案的內(nèi)容更加具有針對性，主要涵蓋了進一步明確相關(guān)內(nèi)容,、擴大了豁免范圍,、為企業(yè)提供更多靈活性、授權(quán)未來發(fā)布指南或制定規(guī)則等方面,。

第二,，此次修訂參考和體現(xiàn)了GDPR在實踐中進行應(yīng)用的相關(guān)經(jīng)驗、英國和國際利益相關(guān)者的觀點建議,、政府的政策目標等各個方面的內(nèi)容,，最終目的是要降低業(yè)務(wù)合規(guī)成本。

第三,，當前英國GDPR中的基本原則,、數(shù)據(jù)主體權(quán)利范圍、控制者和處理者的核心義務(wù)及更廣泛的監(jiān)管換勁將不會受到影響,。

第四,，已經(jīng)符合當前英國GDPR的組織無需進行更改，目前的修訂不會可能帶來雙重合規(guī)困境的沖突,。

2. 具體修訂內(nèi)容

主要包括十個方面：

第一,，完善定義。對個人身份識別和匿名化的定義進行完善,，明確只有當控制者和處理者以外的組織能夠或者可能通過其數(shù)據(jù)處理獲得身份信息時,，才可被視為個人身份識別。如果其他組織不能或者不可能獲得此類信息,，則該數(shù)據(jù)將被視為匿名,，且不受法案監(jiān)管。

第二,，擴展合法性依據(jù),。當處理數(shù)據(jù)主體數(shù)據(jù)的目的在公認的合法利益清單上時，法案免除了企業(yè)平衡其合法利益與數(shù)據(jù)主體權(quán)利和利益的必要性,。新法案新增了一份被視為符合數(shù)據(jù)控制者處理數(shù)據(jù)的合法利益的活動列表,，這些活動時說明性的，從立法的前言轉(zhuǎn)移到了可執(zhí)行的部分,，包括了直接銷售,、組織內(nèi)數(shù)據(jù)傳輸、網(wǎng)絡(luò)和信息系統(tǒng)的安全等內(nèi)容,。另外,，新法案的注釋說明任何合法的商業(yè)活動都可以是合法利益，只要處理是必要的,，且進行了必要性測試,。

第三,，確定科學研究范圍。明確了一份科學研究清單,，包括了應(yīng)用,、基礎(chǔ)研究、技術(shù)發(fā)展的創(chuàng)新性探索,。

第四,，擴展跨境方式。除數(shù)據(jù)橋（充分性認定）外,，法案規(guī)定企業(yè)可以采取合理和相稱的行動,，但必須根據(jù)充分性認定的標準評估使用其他替代方式的可行性，避免保護標準低于GDPR的標準,。法案建議國務(wù)卿未來發(fā)布法規(guī),，承認在現(xiàn)有機制之外的其他機制的合法性，且認為在改革生效之前,，合法建立的其他替代機制是有效的,。

第五，更新處理記錄要求,。法案免除了雇用少于250人且沒有高風險處理的組織的記錄保存要求,。此外，還提出了澄清數(shù)據(jù)保護影響評估的高風險閾值的要求,。

第六,，取消任命代表要求。法案取消了非在英國設(shè)立的控制者和處理者任命英國代表的要求,。

第七,，更改對主體權(quán)利進行限制的規(guī)定。以無理取鬧,、過度索取等標準取代“明顯沒有根據(jù)或過分”的門檻,，以限制數(shù)據(jù)主體權(quán)利,。

第八,，擴大豁免范圍。法案規(guī)定在用戶的終端設(shè)備上放置Cookie或類似跟蹤技術(shù)需要同意的情況應(yīng)當納入豁免范圍,，涉及外觀或功能的改進,、必要更新等方面。

第九,，更新電子營銷要求,。法案擴大了非商業(yè)組織選擇退出同意的能力。非商業(yè)組織可以發(fā)送電子營銷通信,，而無需事先同意,，以促進慈善事業(yè),、政治或其他非商業(yè)目的。同時規(guī)定,，公共電子通信服務(wù)和網(wǎng)絡(luò)提供商有責任向ICO報告與非法直接營銷有關(guān)的可疑活動,，以對違規(guī)行為進行處罰。

第十,，明確自動化決策要求,。法案規(guī)定做出此類決策的組織應(yīng)當向個人進行披露，此外還強化了個人挑戰(zhàn)自動化決策的能力,。

關(guān)注“廣東技術(shù)性貿(mào)易措施”,，獲取更多服務(wù)。