คำตอบสั้น: UK GDPR เป็นเวอร์ชันที่ปรับให้เข้ากับประเทศของ EU GDPR ซึ่งมีผลบังคับใช้เมื่อสหราชอาณาจักรออกจากกรอบกฎหมายของ EU ในวันที่ 1 มกราคม 2021 โดยยังคงหลักการพื้นฐานเดียวกัน แต่ได้แยกออกไปตั้งแต่ผ่านพระราชบัญญัติการคุ้มครองข้อมูลและข้อมูลดิจิทัลปี 2024 ธุรกิจในสหราชอาณาจักรต้องปฏิบัติตาม UK GDPR และผู้ที่ประมวลผลข้อมูลของผู้อยู่อาศัยใน EU ต้องปฏิบัติตาม EU GDPR แยกต่างหาก ซึ่งตอนนี้เป็นภาระทางกฎหมายที่แตกต่างกันซึ่งบังคับใช้โดยหน่วยงานที่แตกต่างกัน
ข้อสรุปสำคัญ
- UK GDPR และ EU GDPR มีโครงสร้างและหลักการพื้นฐานเดียวกัน แต่การปฏิรูปกฎหมายตั้งแต่ Brexit ได้สร้างความแตกต่างที่มีความหมายในด้านต่างๆ เช่น คุกกี้ ผลประโยชน์ที่ชอบธรรม และการตัดสินใจอัตโนมัติ
- สำนักงานกรรมการข้อมูล (ICO) เป็นหน่วยงานบังคับใช้เพียงแห่งเดียวสำหรับ UK GDPR; ไม่มีกลไกการให้บริการแบบครบวงจรสำหรับองค์กรที่ตั้งอยู่ในสหราชอาณาจักร
- ค่าปรับสูงสุดของ UK GDPR สูงถึง £17.5 ล้านหรือ 4% ของยอดขายประจำปีทั่วโลก ขึ้นอยู่กับจำนวนใดจำนวนหนึ่งที่สูงกว่า ซึ่งสะท้อนโครงสร้างของ EU ที่ €20 ล้าน / 4%
- คณะกรรมาธิการยุโรปได้ขยายการตัดสินใจด้านความเหมาะสมของสหราชอาณาจักรในเดือนธันวาคม 2025 จนถึงเดือนธันวาคม 2031 แต่การปฏิรูปกฎหมายของสหราชอาณาจักรที่ดำเนินต่อไปอาจทำให้สถานะนั้นตกอยู่ในความเสี่ยง
- บริษัทในสหราชอาณาจักรที่ประมวลผลข้อมูลของผู้อยู่อาศัยใน EU ต้องปฏิบัติตาม EU GDPR และแต่งตั้งตัวแทนใน EU; ในทางกลับกัน บริษัทใน EU ที่มุ่งเป้าไปที่ผู้อยู่อาศัยในสหราชอาณาจักรต้องทำเช่นเดียวกัน
- ICO มักจะออกค่าปรับที่น้อยกว่าแต่มีจำนวนมากกว่าการดำเนินการรวมของหน่วยงานคุ้มครองข้อมูล (DPA) ของ EU
- องค์กรที่ดำเนินการในทั้งสองเขตอำนาจต้องมีการติดต่อกับ ICO และ DPA ของ EU ที่เกี่ยวข้องแยกกัน ไม่มีช่องทางการกำกับดูแลร่วม
- การจัดการความยินยอมและการปฏิบัติตามคุกกี้แตกต่างกันระหว่างสองระบอบหลังจากการแก้ไขพระราชบัญญัติ DPDI ปี 2024
UK GDPR คืออะไรและแตกต่างจาก EU GDPR อย่างไรหลัง Brexit?
UK GDPR คือเวอร์ชันของพระราชบัญญัติการคุ้มครองข้อมูลทั่วไปที่ถูกรวมเข้ากับกฎหมายภายในประเทศของสหราชอาณาจักรผ่านพระราชบัญญัติการถอนตัวจากสหภาพยุโรปปี 2018 ซึ่งมีผลบังคับใช้ตั้งแต่วันที่ 1 มกราคม 2021 มันทำงานควบคู่ไปกับพระราชบัญญัติการคุ้มครองข้อมูลปี 2018 และในตอนแรกสะท้อน EU GDPR เกือบจะเป็นคำต่อคำ
อย่างไรก็ตาม ตั้งแต่ Brexit กรอบทั้งสองได้แยกออกจากกัน พระราชบัญญัติการคุ้มครองข้อมูลและข้อมูลดิจิทัลปี 2024 (DPDI Act) ได้แนะนำการเปลี่ยนแปลงที่สำคัญต่อ UK GDPR ในหลายด้าน [1]:
- ผลประโยชน์ที่ชอบธรรม: สหราชอาณาจักรได้ขยายรายการผลประโยชน์ที่ชอบธรรมที่ได้รับการยอมรับ ลดภาระในการทดสอบความสมดุลสำหรับกิจกรรมการประมวลผลบางอย่าง
- คุกกี้: พระราชบัญญัติ DPDI ได้ผ่อนคลายข้อกำหนดในการขอความยินยอมสำหรับการวิเคราะห์และคุกกี้ที่มีความเสี่ยงต่ำที่คล้ายกัน โดยเปลี่ยนไปสู่โมเดลการเลือกไม่เข้าร่วมสำหรับหมวดหมู่เฉพาะ
- การตัดสินใจอัตโนมัติ: กฎของสหราชอาณาจักรเกี่ยวกับการตัดสินใจที่อัตโนมัติแต่เพียงผู้เดียวในขณะนี้มีความยืดหยุ่นมากกว่าบทความ 22 ของ EU GDPR
- การถ่ายโอนข้อมูลระหว่างประเทศ: สหราชอาณาจักรได้พัฒนากลไกการถ่ายโอนข้อมูลของตนเอง ได้แก่ ข้อตกลงการถ่ายโอนข้อมูลระหว่างประเทศ (IDTA) และภาคผนวกของสหราชอาณาจักรต่อข้อกำหนดสัญญามาตรฐานของ EU ซึ่งแตกต่างจาก SCC ของ EU [1]
EU GDPR ยังคงถูกตีความและบังคับใช้ผ่านคณะกรรมการคุ้มครองข้อมูลยุโรป (EDPB) ซึ่งคำแนะนำของพวกเขาไม่ผูกพันกับ ICO นี่หมายความว่ากิจกรรมเดียวกันสามารถถูกประเมินแตกต่างกันไปขึ้นอยู่กับว่ากรอบใดที่ใช้ [2]
ข้อผิดพลาดทั่วไป: สมมติว่ามีนโยบายความเป็นส่วนตัวเดียวที่ครอบคลุม "GDPR" เพียงพอสำหรับทั้งสองเขตอำนาจ องค์กรต้องจัดการกับกรอบทั้งสองอย่างชัดเจน โดยเฉพาะอย่างยิ่งในเรื่องกลไกการถ่ายโอนและการแต่งตั้งตัวแทน
ค่าปรับสูงสุดภายใต้ UK GDPR คืออะไร?
ค่าปรับของ UK GDPR ตามโครงสร้างสองระดับที่ใกล้เคียงกับโมเดลของ EU แต่ใช้ตัวเลขเป็นปอนด์สเตอร์ลิง [4]:
| ระดับ | ค่าปรับ UK GDPR | ค่าปรับ EU GDPR |
|---|---|---|
| ต่ำกว่า (การละเมิดที่น้อยกว่า) | สูงสุด £8.7 ล้านหรือ 2% ของยอดขายประจำปีทั่วโลก | สูงสุด €10 ล้านหรือ 2% ของยอดขายประจำปีทั่วโลก |
| สูงกว่า (การละเมิดที่ร้ายแรงที่สุด) | สูงสุด £17.5 ล้านหรือ 4% ของยอดขายประจำปีทั่วโลก | สูงสุด €20 ล้านหรือ 4% ของยอดขายประจำปีทั่วโลก |
ในทั้งสองระดับ ICO จะใช้ตัวเลขที่สูงกว่า ระดับการละเมิดสูงมักเกี่ยวข้องกับการละเมิดหลักการคุ้มครองข้อมูล การประมวลผลที่ผิดกฎหมาย หรือการละเมิดสิทธิของบุคคลที่เกี่ยวข้อง
ค่าปรับที่ใหญ่ที่สุดที่ ICO ออกจนถึงปัจจุบันคือ £20 ล้านต่อ British Airways ซึ่งถูกกำหนดก่อนที่ขีดจำกัดค่าปรับในปัจจุบันจะถูกปรับใหม่ ซึ่งเป็นตัวเลขที่แสดงถึงความมุ่งมั่นของ ICO ในการติดตามบทลงโทษที่สำคัญต่อองค์กรขนาดใหญ่ [4]
กรณีขอบเขต: ค่าปรับไม่ใช่เรื่องอัตโนมัติ ICO จะพิจารณาปัจจัยต่างๆ รวมถึงลักษณะและระยะเวลาของการละเมิด จำนวนบุคคลที่ได้รับผลกระทบ ว่าองค์กรได้ให้ความร่วมมือหรือไม่ และขั้นตอนการแก้ไขที่ดำเนินการไปแล้ว โปรแกรมการปฏิบัติตามที่มีเอกสารดีสามารถมีอิทธิพลอย่างมีนัยสำคัญต่อผลลัพธ์
ใครบังคับใช้ GDPR ในสหราชอาณาจักรในขณะนี้?
สำนักงานกรรมการข้อมูล (ICO) เป็นหน่วยงานกำกับดูแลเพียงแห่งเดียวที่รับผิดชอบในการบังคับใช้ UK GDPR แตกต่างจาก EU ซึ่งดำเนินการเครือข่ายของ DPA ระดับชาติที่ประสานงานโดย EDPB สหราชอาณาจักรมีผู้ควบคุมที่รวมศูนย์เพียงคนเดียว [3]
นี่มีผลทางปฏิบัติ: กลไกการให้บริการแบบครบวงจรของ EU ซึ่งอนุญาตให้องค์กรข้ามชาติสามารถติดต่อกับ DPA หลักเพียงแห่งเดียวสำหรับการประมวลผลข้ามพรมแดน ไม่สามารถใช้ได้ภายใต้ UK GDPR องค์กรใดๆ ที่ดำเนินการในทั้งสหราชอาณาจักรและ EU ต้องมีการติดต่อกับ ICO สำหรับเรื่องที่เกี่ยวข้องกับสหราชอาณาจักรและแยกต่างหากกับ DPA ของ EU ที่เกี่ยวข้อง (หรือ DPA) สำหรับเรื่องที่เกี่ยวข้องกับ EU [3]
ICO ยังมีอำนาจนอกเหนือจากการลงโทษทางการเงิน รวมถึงการออกประกาศการบังคับใช้ ประกาศการประเมิน และประกาศข้อมูล ในกรณีที่ร้ายแรง สามารถส่งเรื่องไปยังการดำเนินคดีอาญาภายใต้พระราชบัญญัติการคุ้มครองข้อมูลปี 2018
บริษัทในสหราชอาณาจักรยังต้องปฏิบัติตาม EU GDPR หรือไม่?
ใช่ ในหลายกรณี บริษัทในสหราชอาณาจักรที่เสนอสินค้าหรือบริการให้กับผู้อยู่อาศัยใน EU หรือที่ติดตามพฤติกรรมของผู้อยู่อาศัยใน EU จะอยู่ภายใต้ขอบเขตของ EU GDPR ตามบทความ 3(2) โดยไม่คำนึงถึงที่ตั้งของบริษัท [5]
องค์กรดังกล่าวต้อง:
- แต่งตั้งตัวแทนใน EU (บุคคลหรือองค์กรที่ตั้งอยู่ในรัฐสมาชิกของ EU) [5]
- ปฏิบัติตามข้อกำหนดเฉพาะของ EU GDPR รวมถึง SCC สำหรับการถ่ายโอนข้อมูลกลับไปยังสหราชอาณาจักร
- ติดต่อกับ DPA ของ EU ที่เกี่ยวข้องสำหรับข้อร้องเรียนหรือการสอบสวนที่เกี่ยวข้องกับบุคคลที่เกี่ยวข้องใน EU
ในทางกลับกัน: องค์กรที่ตั้งอยู่ใน EU ที่ประมวลผลข้อมูลของผู้อยู่อาศัยในสหราชอาณาจักรต้องปฏิบัติตาม UK GDPR และแต่งตั้งตัวแทนในสหราชอาณาจักร [5]
กฎการตัดสินใจ: หากเว็บไซต์ของคุณมุ่งเป้าไปที่ผู้ใช้ในทั้งสหราชอาณาจักรและ EU (เช่น ผ่านเนื้อหาภาษา EU ราคาสกุลเงิน EU หรือการตลาดเฉพาะ EU) ให้ถือว่ามีภาระการปฏิบัติตามสองเท่าจนกว่าคุณจะได้รับคำแนะนำทางกฎหมายเฉพาะในทางตรงกันข้าม
มีการเปลี่ยนแปลงอะไรใน UK GDPR หลัง Brexit?
นอกเหนือจากการแยกโครงสร้างที่กล่าวถึงแล้ว ยังมีการเปลี่ยนแปลงทางปฏิบัติหลายประการที่มีผลเมื่อ EU GDPR ถูกแทนที่ด้วย UK GDPR สำหรับวัตถุประสงค์ในประเทศ [1][2]:
- หน่วยงานกำกับดูแล: ICO แทนที่ EDPB เป็นหน่วยงานหลักในการตีความและบังคับใช้
- การตัดสินใจด้านความเหมาะสม: สหราชอาณาจักรต้องออกการตัดสินใจด้านความเหมาะสมของตนเองสำหรับประเทศที่สาม; ไม่สามารถพึ่งพาการตัดสินใจด้านความเหมาะสมของ EU ได้
- กลไกการถ่ายโอน: IDTA แทนที่ SCC ของ EU สำหรับการถ่ายโอนจากสหราชอาณาจักรไปยังประเทศที่สาม
- เกณฑ์ SAR: พระราชบัญญัติ DPDI ได้ทำให้เกณฑ์ในการปฏิเสธหรือเรียกเก็บค่าธรรมเนียมสำหรับคำขอการเข้าถึงข้อมูลของบุคคล (SAR) ง่ายขึ้น โดยอนุญาตให้องค์กรปฏิเสธคำขอที่ "สร้างความรำคาญหรือมากเกินไป" (มาตรฐานที่แตกต่างเล็กน้อยจาก "ไม่มีมูลหรือมากเกินไป" ของ EU) [6]
- แนวทางการกำกับดูแล: คำแนะนำของ ICO จะกำหนดการปฏิบัติตาม UK; ความเห็นและแนวทางของ EDPB มีความน่าเชื่อถือแต่ไม่ผูกพันในสหราชอาณาจักร
การตัดสินใจด้านความเหมาะสมที่ขยายโดยคณะกรรมาธิการยุโรปในเดือนธันวาคม 2025 หมายความว่าการไหลของข้อมูลจาก EU ไปยังสหราชอาณาจักรยังคงถูกกฎหมายโดยไม่มีการป้องกันเพิ่มเติมจนถึงเดือนธันวาคม 2031 แต่ผู้วิเคราะห์ชี้ให้เห็นว่าการปฏิรูปกฎหมายของสหราชอาณาจักรที่ดำเนินต่อไปอาจกระตุ้นให้มีการประเมินใหม่ [2]
UK GDPR เข้มงวดกว่าหรือผ่อนปรนกว่าของ EU GDPR?
กรอบทั้งสองไม่ได้เข้มงวดกว่ากันในทุกด้าน โดยเฉพาะในบางพื้นที่ที่แตกต่างกันมากกว่าความรุนแรงโดยรวม
พื้นที่ที่ UK GDPR มีความยืดหยุ่นมากกว่า:
- ผลประโยชน์ที่ชอบธรรมที่ได้รับการยอมรับที่กว้างขึ้นภายใต้พระราชบัญญัติ DPDI
- การขอความยินยอมสำหรับคุกกี้ที่มีความเสี่ยงต่ำที่ผ่อนคลาย
- กฎการตัดสินใจอัตโนมัติที่ยืดหยุ่นมากขึ้น
- เกณฑ์การปฏิเสธ SAR ที่ง่ายขึ้น [1][6]
พื้นที่ที่มีความเท่าเทียมกันโดยทั่วไป:
- หลักการพื้นฐาน (ความถูกต้องตามกฎหมาย ความเป็นธรรม ความโปร่งใส การจำกัดวัตถุประสงค์ การลดข้อมูล ความถูกต้อง การจำกัดการเก็บรักษา ความสมบูรณ์)
- สิทธิของบุคคลที่เกี่ยวข้อง (การเข้าถึง การแก้ไข การลบ การพกพา การคัดค้าน)
- โครงสร้างค่าปรับ (มีสัดส่วนที่คล้ายกัน โดยมีตัวเลขในสกุลเงินสเตอร์ลิงของสหราชอาณาจักร)
- กำหนดเวลาการแจ้งเตือนการละเมิด (72 ชั่วโมงต่อหน่วยงานกำกับดูแล)
พื้นที่ที่ EU GDPR อาจมีความยืดหยุ่นมากกว่าในทางปฏิบัติ:
- กลไกการให้บริการแบบครบวงจรสามารถลดความยุ่งยากในการปฏิบัติตามสำหรับบริษัทข้ามชาติที่ดำเนินการในรัฐสมาชิกของ EU ซึ่งเป็นประโยชน์ที่ไม่มีให้ภายใต้ UK GDPR
ICO มีประวัติการออกค่าปรับที่น้อยกว่าผลผลิตรวมของ DPA ของ EU แม้ว่าค่าปรับในสหราชอาณาจักรจะมีจำนวนมาก [4]
การละเมิด GDPR ที่พบบ่อยซึ่งนำไปสู่ค่าปรับคืออะไร?
ICO และ DPA ของ EU ได้ลงโทษหมวดหมู่การละเมิดต่อไปนี้อย่างต่อเนื่อง:
- ฐานทางกฎหมายไม่เพียงพอสำหรับการประมวลผล: การประมวลผลข้อมูลส่วนบุคคลโดยไม่มีฐานทางกฎหมายที่ถูกต้อง หรือพึ่งพาความยินยอมที่ไม่เป็นไปตามมาตรฐานที่กำหนด
- มาตรการรักษาความปลอดภัยไม่เพียงพอ: การไม่ดำเนินการตามมาตรการทางเทคนิคและการจัดการที่เหมาะสม ส่งผลให้เกิดการละเมิดข้อมูล
- ไม่ปฏิบัติตามสิทธิของบุคคลที่เกี่ยวข้อง: การเพิกเฉยหรือไม่ตอบสนองอย่างเพียงพอต่อคำขอการเข้าถึงข้อมูล การขอลบ หรือการคัดค้าน
- การถ่ายโอนข้อมูลที่ผิดกฎหมาย: การส่งข้อมูลส่วนบุคคลไปยังประเทศที่สามโดยไม่มีการป้องกันที่เพียงพอ (เช่น ไม่มี IDTA หรือ SCCs)
- ขาดความโปร่งใส: ข้อความความเป็นส่วนตัวที่ไม่สมบูรณ์ ทำให้เข้าใจผิด หรือไม่สามารถเข้าถึงได้
- ความล้มเหลวในการขอความยินยอมจากคุกกี้: การใช้คุกกี้ที่ไม่จำเป็นโดยไม่มีความยินยอมที่ถูกต้อง หรือการใช้รูปแบบที่มืดเพื่อขอความยินยอม
สำหรับเจ้าของเว็บไซต์และหน่วยงานการตลาดออนไลน์โดยเฉพาะ ความล้มเหลวในการขอความยินยอมจากคุกกี้และข้อความความเป็นส่วนตัวที่ไม่เพียงพอเป็นหนึ่งในตัวกระตุ้นการบังคับใช้ที่พบบ่อยที่สุด แพลตฟอร์มการจัดการความยินยอมที่กำหนดค่าอย่างถูกต้อง เช่น Biscotti CMP สามารถช่วยองค์กรในการบันทึกและจัดการความยินยอมในลักษณะที่สอดคล้องกับข้อกำหนดของ UK GDPR และ EU GDPR
ฉันจะรู้ได้อย่างไรว่าธุรกิจของฉันต้องปฏิบัติตาม UK GDPR หรือไม่?
UK GDPR ใช้กับองค์กรใดๆ ที่ [5]:
- ตั้งอยู่ในสหราชอาณาจักรและประมวลผลข้อมูลส่วนบุคคลในบริบทของการจัดตั้งนั้น (ไม่ว่าจะเกิดขึ้นที่ไหน) หรือ
- ไม่ได้ตั้งอยู่ในสหราชอาณาจักร แต่ประมวลผลข้อมูลของผู้อยู่อาศัยในสหราชอาณาจักรในความสัมพันธ์กับการเสนอสินค้าหรือบริการให้กับพวกเขา หรือการติดตามพฤติกรรมของพวกเขาในสหราชอาณาจักร
รายการตรวจสอบทางปฏิบัติ:
- เว็บไซต์ของคุณเก็บรวบรวมชื่อ ที่อยู่อีเมล ที่อยู่ IP หรือคุกกี้จากผู้เข้าชมในสหราชอาณาจักรหรือไม่? ถ้าใช่ UK GDPR ใช้
- คุณใช้เครื่องมือวิเคราะห์ พิกเซลโฆษณา หรือแท็กการตลาดใหม่ที่ประมวลผลข้อมูลผู้ใช้ในสหราชอาณาจักรหรือไม่? ถ้าใช่ UK GDPR ใช้
- คุณส่งอีเมลการตลาดไปยังผู้ติดต่อในสหราชอาณาจักรหรือไม่? ถ้าใช่ UK GDPR (และกฎระเบียบด้านความเป็นส่วนตัวและการสื่อสารทางอิเล็กทรอนิกส์) ใช้
- คุณเป็นธุรกิจที่ไม่อยู่ในสหราชอาณาจักรที่ไม่มีสำนักงานในสหราชอาณาจักร แต่มีเว็บไซต์ที่มุ่งเป้าไปที่สหราชอาณาจักรหรือไม่? UK GDPR ยังใช้ และคุณอาจต้องการตัวแทนในสหราชอาณาจักร
ความแตกต่างระหว่างค่าปรับของ ICO และค่าปรับของศาลคืออะไร?
ค่าปรับของ ICO เป็นบทลงโทษทางการบริหารที่กำหนดโดยตรงโดยหน่วยงานกำกับดูแลโดยไม่ต้องมีการพิจารณาคดีในศาล ในทางกลับกัน ค่าปรับของศาลเกิดจากการฟ้องร้องทางแพ่งที่นำโดยบุคคลที่เกี่ยวข้องหรือการดำเนินคดีอาญาภายใต้พระราชบัญญัติการคุ้มครองข้อมูลปี 2018
ความแตกต่างที่สำคัญ:
- ค่าปรับของ ICO: ออกหลังจากการสอบสวน; สามารถอุทธรณ์ไปยังศาลชั้นต้นได้ จำนวนสูงสุดเป็นไปตามที่อธิบายไว้ในโครงสร้างค่าปรับข้างต้น
- ความเสียหายที่ศาลกำหนด: บุคคลที่เกี่ยวข้องสามารถยื่นฟ้องในศาลแพ่งเพื่อเรียกร้องความเสียหายทางวัตถุหรือไม่เป็นวัตถุที่เกิดจากการละเมิด GDPR ไม่มีขีดจำกัดตามกฎหมายสำหรับความเสียหายในกรณีแพ่ง
- ความผิดทางอาญา: การกระทำบางอย่าง เช่น การได้รับข้อมูลส่วนบุคคลโดยมิชอบหรือการระบุข้อมูลที่ไม่ระบุชื่อ เป็นความผิดทางอาญาภายใต้พระราชบัญญัติการคุ้มครองข้อมูลปี 2018 ซึ่งมีโทษปรับไม่จำกัดหรือจำคุก
องค์กรควรตระหนักว่าการละเมิดข้อมูลเพียงครั้งเดียวสามารถกระตุ้นทั้งสามอย่างพร้อมกัน: การสอบสวนของ ICO การเรียกร้องทางแพ่งจากบุคคลที่ได้รับผลกระทบ และ (ในกรณีที่ร้ายแรง) การส่งเรื่องไปยังอาญา
คุณจะถูกปรับสำหรับการละเมิด GDPR ที่เกิดขึ้นก่อน Brexit ได้หรือไม่?
สำหรับการละเมิดที่เกิดขึ้นก่อนวันที่ 1 มกราคม 2021 EU GDPR ใช้ในสหราชอาณาจักร ICO ยังคงมีอำนาจในการดำเนินการเกี่ยวกับการละเมิดก่อน Brexit ที่เกี่ยวข้องกับองค์กรที่ตั้งอยู่ในสหราชอาณาจักร และการดำเนินการบังคับใช้ที่เริ่มต้นภายใต้กฎของ EU GDPR สามารถดำเนินการต่อไปภายใต้ข้อกำหนดการเปลี่ยนผ่านของพระราชบัญญัติการถอนตัวจากสหภาพยุโรป
การละเมิดหลัง Brexit จะอยู่ภายใต้ UK GDPR โดยสมบูรณ์ ไม่มีกลไกสำหรับ DPA ของ EU ในการกำหนดค่าปรับต่อองค์กรที่ตั้งอยู่ในสหราชอาณาจักรสำหรับการประมวลผลข้อมูลของผู้อยู่อาศัยในสหราชอาณาจักรหลัง Brexit อำนาจนั้นเป็นของ ICO โดยเฉพาะ
กรณีขอบเขต: หากองค์กรในสหราชอาณาจักรประมวลผลข้อมูลของผู้อยู่อาศัยใน EU ก่อนและหลัง Brexit ช่วงเวลาก่อน Brexit อาจเกี่ยวข้องกับภาระผูกพันของ EU GDPR ที่บังคับใช้โดย DPA ของ EU ในขณะที่ช่วงหลัง Brexit จะอยู่ภายใต้ UK GDPR (สำหรับผู้อยู่อาศัยในสหราชอาณาจักร) และ EU GDPR (สำหรับผู้อยู่อาศัยใน EU) พร้อมกัน
บริษัทควรทำอย่างไรเพื่อเตรียมความพร้อมสำหรับการบังคับใช้ UK GDPR?
การปฏิบัติตาม UK GDPR หลัง Brexit: การนำทางเกี่ยวกับค่าปรับ การบังคับใช้ และความแตกต่างจาก EU ต้องการโปรแกรมที่มีโครงสร้างและต่อเนื่องมากกว่าการตรวจสอบครั้งเดียว การดำเนินการที่สำคัญ ได้แก่:
- ทำแผนที่การไหลของข้อมูลของคุณ: ระบุข้อมูลส่วนบุคคลทั้งหมดที่เก็บรวบรวม ฐานทางกฎหมายที่ใช้ ที่จัดเก็บ และว่ามีการถ่ายโอนข้อมูลระหว่างประเทศหรือไม่
- อัปเดตกลไกการถ่ายโอน: แทนที่ SCC ของ EU ที่ใช้สำหรับการถ่ายโอนจาก UK ไปยังประเทศที่สามด้วย IDTA หรือภาคผนวกของสหราชอาณาจักร [1]
- ตรวจสอบข้อความความเป็นส่วนตัวของคุณ: ให้แน่ใจว่ามันสะท้อนถึงข้อกำหนดของ UK GDPR และคำแนะนำของ ICO ไม่ใช่แค่มาตรฐานของ EU GDPR
- ตรวจสอบความยินยอมจากคุกกี้: หากเว็บไซต์ของคุณให้บริการผู้เข้าชมในสหราชอาณาจักร ให้ตรวจสอบว่าการตั้งค่าการจัดการความยินยอมของคุณตรงตามมาตรฐานที่แก้ไขของพระราชบัญญัติ DPDI เครื่องมือเช่น Biscotti CMP ถูกออกแบบมาเพื่อสนับสนุนการเก็บรวบรวมและเอกสารความยินยอมที่สอดคล้องกับข้อกำหนดของ UK GDPR และ EU GDPR
- แต่งตั้งตัวแทน: หากคุณประมวลผลข้อมูลของผู้อยู่อาศัยใน EU ให้แต่งตั้งตัวแทนใน EU; หากคุณเป็นธุรกิจที่ไม่อยู่ในสหราชอาณาจักรที่ประมวลผลข้อมูลของผู้อยู่อาศัยในสหราชอาณาจักร ให้แต่งตั้งตัวแทนในสหราชอาณาจักร [5]
- ฝึกอบรมพนักงาน: การฝึกอบรมด้านการคุ้มครองข้อมูลควรสะท้อนถึงรายละเอียดของ UK GDPR ไม่ใช่เนื้อหา "GDPR" ทั่วไปที่อาจทำให้ทั้งสองกรอบสับสน
- ติดตามคำแนะนำของ ICO: ICO จะเผยแพร่คำแนะนำที่อัปเดตเป็นประจำ; สมัครรับข้อมูลอัปเดตจาก ICO เพื่อให้ทันกับลำดับความสำคัญในการบังคับใช้
เครื่องมือการตัดสินใจด้านการปฏิบัติตาม UK GDPR
คำถามที่พบบ่อย
ความแตกต่างระหว่าง UK GDPR และ EU GDPR ในแง่ง่ายๆ คืออะไร? UK GDPR เป็นเวอร์ชันที่ปรับให้เข้ากับประเทศของ EU GDPR ที่ใช้ภายในสหราชอาณาจักร ทั้งสองมีหลักการพื้นฐานเดียวกัน แต่ได้แยกออกตั้งแต่ Brexit โดยเฉพาะหลังจากพระราชบัญญัติ DPDI ปี 2024 ซึ่งผ่อนคลายกฎเกี่ยวกับคุกกี้ ผลประโยชน์ที่ชอบธรรม และการตัดสินใจอัตโนมัติ
การตัดสินใจด้านความเหมาะสมของ EU หมายความว่าบริษัทในสหราชอาณาจักรไม่ต้องกังวลเกี่ยวกับ EU GDPR หรือไม่? ไม่ การตัดสินใจด้านความเหมาะสมควบคุมการไหลของข้อมูลจาก EU ไปยังสหราชอาณาจักร ไม่ได้ยกเว้นบริษัทในสหราชอาณาจักรจาก EU GDPR เมื่อพวกเขาประมวลผลข้อมูลของผู้อยู่อาศัยใน EU หากบริษัทในสหราชอาณาจักรมุ่งเป้าไปที่ผู้ใช้ใน EU EU GDPR จะใช้โดยอิสระ
การตัดสินใจด้านความเหมาะสมของสหราชอาณาจักรจะมีผลนานแค่ไหน? คณะกรรมาธิการยุโรปได้ขยายการตัดสินใจด้านความเหมาะสมของสหราชอาณาจักรในเดือนธันวาคม 2025 ทำให้มีผลจนถึงเดือนธันวาคม 2031 การปฏิรูปกฎหมายของสหราชอาณาจักรที่ดำเนินต่อไปอาจกระตุ้นให้มีการตรวจสอบก่อนถึงวันนั้น [2]
ICO สามารถปรับบริษัทที่ตั้งอยู่นอกสหราชอาณาจักรได้หรือไม่? ใช่ หากองค์กรที่ไม่อยู่ในสหราชอาณาจักรประมวลผลข้อมูลของผู้อยู่อาศัยในสหราชอาณาจักรในความสัมพันธ์กับการเสนอสินค้าหรือบริการให้กับพวกเขา หรือการติดตามพฤติกรรมของพวกเขา UK GDPR จะใช้และ ICO มีเขตอำนาจ [5]
IDTA คืออะไรและเมื่อไหร่ที่ฉันต้องการ? ข้อตกลงการถ่ายโอนข้อมูลระหว่างประเทศ (IDTA) เป็นกลไกของสหราชอาณาจักรสำหรับการถ่ายโอนข้อมูลส่วนบุคคลจากสหราชอาณาจักรไปยังประเทศที่สามที่ไม่มีการตัดสินใจด้านความเหมาะสม มันแทนที่ SCC ของ EU สำหรับการถ่ายโอนจาก UK ไปยังประเทศที่สาม [1]
ต้องมีเจ้าหน้าที่คุ้มครองข้อมูล (DPO) ภายใต้ UK GDPR หรือไม่? ใช่ ในบางกรณี โดยเฉพาะสำหรับหน่วยงานสาธารณะ องค์กรที่ดำเนินการติดตามระบบขนาดใหญ่ของบุคคล หรือผู้ที่ประมวลผลข้อมูลประเภทพิเศษในระดับใหญ่ ข้อกำหนดจะสะท้อนถึงข้อกำหนดภายใต้ EU GDPR
กฎการแจ้งเตือนการละเมิดภายใน 72 ชั่วโมงคืออะไร? ทั้ง UK GDPR และ EU GDPR กำหนดให้องค์กรต้องแจ้งหน่วยงานกำกับดูแลของตน (ICO ในสหราชอาณาจักร) ภายใน 72 ชั่วโมงหลังจากทราบถึงการละเมิดข้อมูลส่วนบุคคลที่ก่อให้เกิดความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล
สิทธิของบุคคลที่เกี่ยวข้องใน EU ใช้ภายใต้ UK GDPR หรือไม่? สิทธิพื้นฐาน เช่น การเข้าถึง การแก้ไข การลบ การพกพา การจำกัด และการคัดค้าน ยังคงได้รับการคุ้มครองภายใต้ UK GDPR พระราชบัญญัติ DPDI ได้ทำการปรับเปลี่ยนทางกระบวนการเล็กน้อย เช่น การปรับเปลี่ยนเกณฑ์ในการปฏิเสธคำขอการเข้าถึงข้อมูลที่สร้างความรำคาญ [6]
ฉันสามารถใช้เอกสารความเป็นส่วนตัวเดียวกันสำหรับการปฏิบัติตามทั้ง UK และ EU ได้หรือไม่? เอกสารเดียวสามารถครอบคลุมทั้งสองกรอบได้ แต่ต้องระบุข้อกำหนดของแต่ละกรอบอย่างชัดเจน รวมถึงการอ้างอิงแยกต่างหากถึง ICO และ DPA ของ EU ที่เกี่ยวข้อง กลไกการถ่ายโอนที่แตกต่างกัน และพื้นที่ใดๆ ที่กรอบทั้งสองแตกต่างกัน
Biscotti CMP มีบทบาทอย่างไรในการปฏิบัติตาม UK GDPR? Biscotti CMP เป็นแพลตฟอร์มการจัดการความยินยอมที่ช่วยเจ้าของเว็บไซต์และธุรกิจในการเก็บรวบรวม บันทึก และจัดการความยินยอมของผู้ใช้สำหรับคุกกี้และเทคโนโลยีการติดตามในลักษณะที่สอดคล้องกับข้อกำหนดของ UK GDPR และ EU GDPR
บทสรุป
การเข้าใจ UK GDPR หลัง Brexit: การนำทางเกี่ยวกับค่าปรับ การบังคับใช้ และความแตกต่างจาก EU ไม่ใช่เรื่องที่เลือกได้อีกต่อไปสำหรับองค์กรใดๆ ที่ประมวลผลข้อมูลส่วนบุคคลในหรือจากสหราชอาณาจักร กรอบทั้งสองได้แยกออกอย่างมีนัยสำคัญตั้งแต่เดือนมกราคม 2021 และพระราชบัญญัติ DPDI ปี 2024 ได้เร่งการแยกนี้ในด้านปฏิบัติที่ส่งผลกระทบต่อการดำเนินงานในชีวิตประจำวัน ตั้งแต่การขอความยินยอมจากคุกกี้ไปจนถึงการถ่ายโอนข้อมูลระหว่างประเทศ
ขั้นตอนที่สามารถดำเนินการได้สำหรับปี 2026:
- ดำเนินการวิเคราะห์ช่องว่างเปรียบเทียบสถานะการปฏิบัติตามปัจจุบันของคุณกับข้อกำหนดของทั้ง UK GDPR และ EU GDPR
- แทนที่ SCC ของ EU ที่ใช้สำหรับการถ่ายโอนจาก UK ไปยังประเทศที่สามด้วย IDTA
- ตรวจสอบให้แน่ใจว่าการตั้งค่าการจัดการความยินยอมของคุณสะท้อนถึงมาตรฐานคุกกี้ที่แก้ไขของพระราชบัญญัติ DPDI; พิจารณาใช้โซลูชันเฉพาะเช่น Biscotti CMP
- แต่งตั้งตัวแทนที่ถูกต้องหากคุณดำเนินการในทั้งสองเขตอำนาจ
- ติดตามลำดับความสำคัญในการบังคับใช้ของ ICO และคำแนะนำของ EDPB แยกกัน เพราะตอนนี้ไม่สามารถใช้แทนกันได้อีกต่อไป
- ประเมินสถานะความเหมาะสมของคุณเป็นระยะๆ โดยเฉพาะเมื่อการปฏิรูปกฎหมายของสหราชอาณาจักรยังคงดำเนินต่อไปก่อนการตรวจสอบการตัดสินใจด้านความเหมาะสมในปี 2031
ค่าใช้จ่ายจากการไม่ปฏิบัติตาม สูงถึง £17.5 ล้านหรือ 4% ของยอดขายทั่วโลกภายใต้ UK GDPR เพียงอย่างเดียว สูงกว่าการลงทุนที่จำเป็นในการรักษาโปรแกรมการปฏิบัติตามที่ดี
อ้างอิง
[1] Gdpr Vs Uk Gdpr Guide - https://visioncompliance.eu/en/blog/gdpr-vs-uk-gdpr-guide?utm_source=openai
[2] Uk Gdpr Vs Eu Gdpr - https://www.gdprledger.com/uk/research/uk-gdpr-vs-eu-gdpr?utm_source=openai
[3] Gdpr Vs Uk Gdpr Differences 2026 - https://www.compliquest.com/en/blog/gdpr-vs-uk-gdpr-differences-2026?utm_source=openai
[4] Maximum Fine Gdpr Non Compliance - https://datadoc.uk/blog/maximum-fine-gdpr-non-compliance?utm_source=openai
[5] Does Gdpr Still Apply To The Uk - https://legalclarity.org/does-gdpr-still-apply-to-the-uk/?utm_source=openai
[6] Gdpr Compliance - https://datadoc.uk/gdpr-compliance?utm_source=openai