导语 ·
数据是如今全球最重要的资源之一，是全球经济增长和创新发展引擎。
英国一直以来都非常重视数据安全保护，并在脱欧后出台了一系列政策及规定，意图建立起更加符合本国国情的数据保护制度。英国政府预期也将对英国有关法律进行改革，在加强数据安全保护的同时提高灵活性，增强企业创新和发展活力。
本文将对2022年英国国际数据转移新规及数据保护法律预期改革进行概述，帮助您更好地为数据安全合规做好准备。
法律在不断变化和更新中，具体问题需要具体分析。如果您有任何问题，请联系吕晓飞 (Peter Lu) 律师。
本文字数：1440 字
阅读时间：5 分钟
国际数据转移
英国信息专员办公室(ICO)于去年年底结束了对于英国通用数据保护条例(以下简称“英国GDPR”)中的数据转移的意见征询。
英国内政大臣于2022年1月28日向议会提交了国际数据转移协议(IDTA)和新的欧盟标准合同条款的英国增编(以下简称“英国增编”)，以及一份为英国GDPR和英国数据保护法制定过渡条款的文件——该文件涉及使用欧盟委员会根据数据保护指令(Data Protection Directive)批准的国际转移标准数据保护条款。
IDTA、英国增编和过渡条款将提交议会，2022年3月21日生效。依据英国GDPR，IDTA和英国增编将取代先前的(经欧盟委员会批准的)欧盟标准合同条款(以下简称“指令SCCs”)。
就时间而言，
2022年9月21日或之前签订的合同，只要处理操作及合约的标的保持不变，将依据指令SCCs继续得到适当保障至2024年3月21日，此后开始适用英国GDPR。
2022年9月21日之后签订的从英国传输数据的新合同，将需要使用新的欧盟SCCs英国增编或IDTA。2022年3月21日这两项规定生效后制定的新合同也可以适用这些规定。
英国增编是一个简短的模板文件，从英国的角度对新的欧盟标准合同条款进行修改或补充(例如，使用的表述是从欧盟变成英国，从欧盟GDPR变成英国GDPR, 从监管机构变成ICO等)。对于许多从欧盟和英国转移个人数据的组织来说，使用带有英国增编的欧盟标准合同条款可能是最实用的可以保持一致性的解决方案。
对英国数据保护法律改革的意见征询
英国数字、文化、媒体和体育部(Department for Digital, Culture, Media and Sport)此前对英国数据保护法拟议修正案进行了意见征询。尽管征询的结果尚未公布，现阶段也没有立法草案，但这表明当前英国政府正在考虑未来对英国数据保护法进行多项变更。
总结来说，一些关键的拟议变更包括：
★ 合法利益：提议创建一份有限的、详尽的合法利益清单，以便组织无需应用利益平衡测试便可使用个人数据。这项变更可以用于改善产品或服务的安全，方便使用个人数据进行内部研究和开发或进行业务创新以改善客户服务;
★ 灵活的基于风险的问责框架：提案包括要求根据组织的处理方式制定隐私管理方案;
★ 取消指定数据保护官(DPO)的要求：将任命DPO的要求替换为要求指定合适的人选负责隐私管理计划，并监督组织的数据保护合规情况;
★ 取消进行数据保护影响评估(DPIA)的要求：目的是允许组织采用不同的方法来识别和最小化数据保护风险，以更好地反映他们的具体情况;
★ 取消事先向ICO咨询的要求：即使根据DPIA结果数据处理有无法减轻的高风险，也不再强制要求组织在数据处理前向ICO进行咨询(ICO也将不会因未能进行咨询而面临罚款);
★ 取消第30条的记录保存规定：隐私管理方案的新规定将会要求保留某些记录(例如数据库存(data inventory))，但机构将会有更大的灵活性;
★ 更改违规报告门槛：提议应向ICO报告违规行为，除非该违规行为的影响对个人构成的风险不是“重大”风险；
★ 自愿承担过程：类似于新加坡的积极执行制度。例如，在发现侵权时向ICO提交补救行动计划，这一计划可以被认定为自愿承担过程的一部分；
★ 对象访问请求：建议对数据对象访问请求引入收费制度，例如通过设置成本上限限制成本，以防止组织因访问请求不堪重负；
★ Cookies：关于cookies同意要求的改革有各种各样的建议，其中包括将“分析cookie”归类为“严格必要的cookie”，针对某些特定目的可以在未经用户同意的情况下使用cookie(例如技术故障等)，或更彻底地取消对cookie的同意要求;
★ PECR下的罚款：该提案还包括增加违反《隐私和电子通信(EC指令)规定》(PECR)的罚款数额，与英国GDPR下的罚款水平一致。目前，PECR规定的最高罚款金额为50万英镑;
★ 充分性(adequacy)规定：本次咨询还指出英国政府意在为第三辖区或辖区集团在脱欧后从英国转移个人数据时，制定“雄心勃勃的充分性评估计划”。
*该文章只是信息提供，不是法律意见。
文章链接
英国及欧盟金融犯罪法规更新(5)：金融机构网络风险
金融机构：后疫情时期监管趋严 (2)
雇员调查：隐私和数据保护的考虑因素 (3)
雇员调查：隐私和数据保护的考虑因素 (2)
雇员调查：隐私和数据保护的考虑因素 (1)
吕晓飞律师多次代表世界500强企业成功进行跨境并购、上市、重组等业务。此外，吕律师还帮助多个行业的客户成功应对外国政府监管调查，并就公司治理和危机管理提供法律建议。
吕晓飞律师同时担任北京大学经济学院专业硕士校外导师，并在清华大学法学院开设国际并购学分课程。吕律师经常接受中西方主流媒体采访，多次被英国议会邀请就重要议题和法案进行专家作证。
“吕律师是一位极有天赋的并购律师和交易促成人。他真正做到了融汇东西方文化，并能够为众多不同背景的客户提供服务。他思维敏捷，非常务实，总是以解决问题为导向，在问题出现之前就能先发制人。他经手的案件都非常稳妥，值得信赖，也非常擅于和各方建立关系。”
—— 英国《法律500强》