英國自脫歐之后，一直在尋求對數(shù)據(jù)保護(hù)進(jìn)行變革。2023年11月，英國政府公布了《數(shù)據(jù)保護(hù)和數(shù)字信息法》的第二次修訂案，反映了數(shù)據(jù)保護(hù)方面最新立法動向。這是英國試圖對英國版《通用數(shù)據(jù)保護(hù)條例》（GDPR）進(jìn)行改革的第二次提案，相比于2022年7月的第一次法案，此次修訂更加反應(yīng)產(chǎn)業(yè)訴求，明確了更多便利措施。

1. 修訂的特征

第一，修訂案的內(nèi)容更加具有針對性，主要涵蓋了進(jìn)一步明確相關(guān)內(nèi)容、擴(kuò)大了豁免范圍、為企業(yè)提供更多靈活性、授權(quán)未來發(fā)布指南或制定規(guī)則等方面。

第二，此次修訂參考和體現(xiàn)了GDPR在實踐中進(jìn)行應(yīng)用的相關(guān)經(jīng)驗、英國和國際利益相關(guān)者的觀點建議、政府的政策目標(biāo)等各個方面的內(nèi)容，最終目的是要降低業(yè)務(wù)合規(guī)成本。

第三，當(dāng)前英國GDPR中的基本原則、數(shù)據(jù)主體權(quán)利范圍、控制者和處理者的核心義務(wù)及更廣泛的監(jiān)管換勁將不會受到影響。

第四，已經(jīng)符合當(dāng)前英國GDPR的組織無需進(jìn)行更改，目前的修訂不會可能帶來雙重合規(guī)困境的沖突。

2. 具體修訂內(nèi)容

主要包括十個方面：

第一，完善定義。對個人身份識別和匿名化的定義進(jìn)行完善，明確只有當(dāng)控制者和處理者以外的組織能夠或者可能通過其數(shù)據(jù)處理獲得身份信息時，才可被視為個人身份識別。如果其他組織不能或者不可能獲得此類信息，則該數(shù)據(jù)將被視為匿名，且不受法案監(jiān)管。

第二，擴(kuò)展合法性依據(jù)。當(dāng)處理數(shù)據(jù)主體數(shù)據(jù)的目的在公認(rèn)的合法利益清單上時，法案免除了企業(yè)平衡其合法利益與數(shù)據(jù)主體權(quán)利和利益的必要性。新法案新增了一份被視為符合數(shù)據(jù)控制者處理數(shù)據(jù)的合法利益的活動列表，這些活動時說明性的，從立法的前言轉(zhuǎn)移到了可執(zhí)行的部分，包括了直接銷售、組織內(nèi)數(shù)據(jù)傳輸、網(wǎng)絡(luò)和信息系統(tǒng)的安全等內(nèi)容。另外，新法案的注釋說明任何合法的商業(yè)活動都可以是合法利益，只要處理是必要的，且進(jìn)行了必要性測試。

第三，確定科學(xué)研究范圍。明確了一份科學(xué)研究清單，包括了應(yīng)用、基礎(chǔ)研究、技術(shù)發(fā)展的創(chuàng)新性探索。

第四，擴(kuò)展跨境方式。除數(shù)據(jù)橋（充分性認(rèn)定）外，法案規(guī)定企業(yè)可以采取合理和相稱的行動，但必須根據(jù)充分性認(rèn)定的標(biāo)準(zhǔn)評估使用其他替代方式的可行性，避免保護(hù)標(biāo)準(zhǔn)低于GDPR的標(biāo)準(zhǔn)。法案建議國務(wù)卿未來發(fā)布法規(guī)，承認(rèn)在現(xiàn)有機(jī)制之外的其他機(jī)制的合法性，且認(rèn)為在改革生效之前，合法建立的其他替代機(jī)制是有效的。

第五，更新處理記錄要求。法案免除了雇用少于250人且沒有高風(fēng)險處理的組織的記錄保存要求。此外，還提出了澄清數(shù)據(jù)保護(hù)影響評估的高風(fēng)險閾值的要求。

第六，取消任命代表要求。法案取消了非在英國設(shè)立的控制者和處理者任命英國代表的要求。

第七，更改對主體權(quán)利進(jìn)行限制的規(guī)定。以無理取鬧、過度索取等標(biāo)準(zhǔn)取代“明顯沒有根據(jù)或過分”的門檻，以限制數(shù)據(jù)主體權(quán)利。

第八，擴(kuò)大豁免范圍。法案規(guī)定在用戶的終端設(shè)備上放置Cookie或類似跟蹤技術(shù)需要同意的情況應(yīng)當(dāng)納入豁免范圍，涉及外觀或功能的改進(jìn)、必要更新等方面。

第九，更新電子營銷要求。法案擴(kuò)大了非商業(yè)組織選擇退出同意的能力。非商業(yè)組織可以發(fā)送電子營銷通信，而無需事先同意，以促進(jìn)慈善事業(yè)、政治或其他非商業(yè)目的。同時規(guī)定，公共電子通信服務(wù)和網(wǎng)絡(luò)提供商有責(zé)任向ICO報告與非法直接營銷有關(guān)的可疑活動，以對違規(guī)行為進(jìn)行處罰。

第十，明確自動化決策要求。法案規(guī)定做出此類決策的組織應(yīng)當(dāng)向個人進(jìn)行披露，此外還強(qiáng)化了個人挑戰(zhàn)自動化決策的能力。

關(guān)注“廣東技術(shù)性貿(mào)易措施”，獲取更多服務(wù)。