英國自脫歐之后，一直在尋求對數(shù)據保護進行變革。2023年11月，英國政府公布了《數(shù)據保護和數(shù)字信息法》的第二次修訂案，反映了數(shù)據保護方面最新立法動向。這是英國試圖對英國版《通用數(shù)據保護條例》（GDPR）進行改革的第二次提案，相比于2022年7月的第一次法案，此次修訂更加反應產業(yè)訴求，明確了更多便利措施。

1. 修訂的特征

第一，修訂案的內容更加具有針對性，主要涵蓋了進一步明確相關內容、擴大了豁免范圍、為企業(yè)提供更多靈活性、授權未來發(fā)布指南或制定規(guī)則等方面。

第二，此次修訂參考和體現(xiàn)了GDPR在實踐中進行應用的相關經驗、英國和國際利益相關者的觀點建議、政府的政策目標等各個方面的內容，最終目的是要降低業(yè)務合規(guī)成本。

第三，當前英國GDPR中的基本原則、數(shù)據主體權利范圍、控制者和處理者的核心義務及更廣泛的監(jiān)管換勁將不會受到影響。

第四，已經符合當前英國GDPR的組織無需進行更改，目前的修訂不會可能帶來雙重合規(guī)困境的沖突。

2. 具體修訂內容

主要包括十個方面：

第一，完善定義。對個人身份識別和匿名化的定義進行完善，明確只有當控制者和處理者以外的組織能夠或者可能通過其數(shù)據處理獲得身份信息時，才可被視為個人身份識別。如果其他組織不能或者不可能獲得此類信息，則該數(shù)據將被視為匿名，且不受法案監(jiān)管。

第二，擴展合法性依據。當處理數(shù)據主體數(shù)據的目的在公認的合法利益清單上時，法案免除了企業(yè)平衡其合法利益與數(shù)據主體權利和利益的必要性。新法案新增了一份被視為符合數(shù)據控制者處理數(shù)據的合法利益的活動列表，這些活動時說明性的，從立法的前言轉移到了可執(zhí)行的部分，包括了直接銷售、組織內數(shù)據傳輸、網絡和信息系統(tǒng)的安全等內容。另外，新法案的注釋說明任何合法的商業(yè)活動都可以是合法利益，只要處理是必要的，且進行了必要性測試。

第三，確定科學研究范圍。明確了一份科學研究清單，包括了應用、基礎研究、技術發(fā)展的創(chuàng)新性探索。

第四，擴展跨境方式。除數(shù)據橋（充分性認定）外，法案規(guī)定企業(yè)可以采取合理和相稱的行動，但必須根據充分性認定的標準評估使用其他替代方式的可行性，避免保護標準低于GDPR的標準。法案建議國務卿未來發(fā)布法規(guī)，承認在現(xiàn)有機制之外的其他機制的合法性，且認為在改革生效之前，合法建立的其他替代機制是有效的。

第五，更新處理記錄要求。法案免除了雇用少于250人且沒有高風險處理的組織的記錄保存要求。此外，還提出了澄清數(shù)據保護影響評估的高風險閾值的要求。

第六，取消任命代表要求。法案取消了非在英國設立的控制者和處理者任命英國代表的要求。

第七，更改對主體權利進行限制的規(guī)定。以無理取鬧、過度索取等標準取代“明顯沒有根據或過分”的門檻，以限制數(shù)據主體權利。

第八，擴大豁免范圍。法案規(guī)定在用戶的終端設備上放置Cookie或類似跟蹤技術需要同意的情況應當納入豁免范圍，涉及外觀或功能的改進、必要更新等方面。

第九，更新電子營銷要求。法案擴大了非商業(yè)組織選擇退出同意的能力。非商業(yè)組織可以發(fā)送電子營銷通信，而無需事先同意，以促進慈善事業(yè)、政治或其他非商業(yè)目的。同時規(guī)定，公共電子通信服務和網絡提供商有責任向ICO報告與非法直接營銷有關的可疑活動，以對違規(guī)行為進行處罰。

第十，明確自動化決策要求。法案規(guī)定做出此類決策的組織應當向個人進行披露，此外還強化了個人挑戰(zhàn)自動化決策的能力。

關注“廣東技術性貿易措施”，獲取更多服務。