Большая часть положений о защите данных Закона о данных (Data (Use and Access) Act 2025 (Commencement No. 6 and Transitional and Saving Provisions) Regulations 2026) вступила в силу с 5 февраля. Закон включает новые полномочия по наложению штрафов в размере до 17,5 млн GBP или 4% от мирового оборота.
Закон также вводит новую концепцию «признанных законных интересов», которая не требует обычных критериев баланса интересов для обоснования использования существующего законного основания «законных интересов». Судебная практика установила, что существующий критерий включает как минимум 3 этапа принятия решений, а именно:
- преследуются ли законные интересы;
- обработка «необходима» для этих интересов; и
- собственные интересы, права или свободы субъекта данных перевешивают эти интересы.
В соответствии с новым законом этот последний критерий отменяется: определенные виды обработки данных осуществляются в законных интересах, и эти интересы никогда не перевешиваются правами субъекта данных. К ним относятся прямой маркетинг, внутригрупповая передача данных в административных целях и обеспечение безопасности сетевых и информационных систем.
Новый закон также ограничивает предыдущий общий запрет на автоматизированную обработку персональных данных (ADM). Запрет теперь распространяется только на «данные особой категории». «Обычные» персональные данные теперь могут обрабатываться автоматически при условии соблюдения определенных гарантий. В них указано, что субъекту данных должна быть предоставлена информация о процессе принятия решений, и он должен иметь возможность заявлять о своих претензиях, получать вмешательство человека и оспаривать принятое решение. Как правило, предприятия могут ссылаться на свои законные интересы в качестве правового основания для автоматизированного принятия решений.
Управление комиссара по информации (ICO) указало, что может предпринять принудительные меры в случаях, когда системы автоматизированного принятия решений не обладают прозрачностью или не обеспечивают значимого вмешательства человека. Оно также объявило о планах провести консультации по значительному обновлению своих рекомендаций по автоматизированному принятию решений и профилированию, а принятие законодательного кодекса практики ожидается позднее в 2026 году.
Закон также уточняет правила обработки запросов на доступ к данным субъектов, которые иногда являются источником споров между доверительными управляющими и бенефициарами, или между налогоплательщиками и HMRC. В настоящее время закон гласит, что поиск в ответ на запросы на доступ к данным субъектов ограничивается «разумным и соразмерным» поиском. Контролеры данных, заявляющие, что они не могут ответить на запрос о доступе к данным до тех пор, пока субъект данных не уточнит его, должны быть в состоянии доказать, что уточнение обоснованно необходимо. Они не могут запрашивать уточнение в целом. Закон прямо разрешает контролеру «приостановить отсчет времени» в случае запроса уточнения, так что месячный срок ответа приостанавливается до получения информации.
Другие поправки, внесенные Законом, призваны уточнить подход Великобритании к международной передаче персональных данных, а также ее подход к оценке адекватности. Он кодифицирует основанный на рисках и ориентированный на результаты подход Великобритании к адекватности и международной передаче данных, позволяя властям принимать решения о «переходе данных» более автономно. Он также заменяет тест «существенной эквивалентности», используемый в рамках режима ЕС, новым порогом, согласно которому третья страна предлагает гарантии, которые «не существенно ниже», чем в Великобритании.
По материалам STEP