Der Data (Use and Access) Act 2025 ("DUAA", "the Act") wird in Etappen in Kraft treten. Folgende wichtige Änderungen finden sich im DUAA, Part 5 („Data protection and privacy“):
1. Neue Rechtsgrundlage und Zweckbindung („Data protection principles“)
- Neue Rechtsgrundlage für die Verarbeitung personenbezogener Daten gemäß Art. 6 UK GDPR für „recognised legitimate interests“, z.B.: Verbrechensbekämpfung, Gefahrenabwehr -> keine detaillierte Abwägungspflicht (Section 70)
- Präzisierung der Zweckbindung in Art. 5 & 6 UK GDPR und Ergänzung von Art. 8A UK GDPR: Weiterverarbeitungen sind erlaubt, sofern sie mit den ursprünglichen Zwecken vereinbar sind (Section 71)
- Erweiterung von Art. 6 (1) (e) und Art. 9 (2) (g) UK GDPR um die Grundlage "relevant international law" - also völkerrechtlich geregelte Pflichten (Section 72)
2. Betroffenenrechte („Data subjects rights“)
- Erneuerung des Auskunftsrechts: festgelegte Fristen für Reaktionszeiten auf Auskunftsersuche mit "Stop the Clock"-Regel: Aussetzung der Frist, wenn von Antragsteller weitere Informationen benötigt werden. Die Frist läuft weiter, sobald die Informationen eingegangen sind. (Section 75-78 und 104)
- Unternehmen müssen bei Beantwortung der Auskunft angemessene und verhältnismäßige Suchvorgänge ("reasonable and proportionate search") durchführen.
- "Legal professional privilege"-Ausnahme für die Strafverfolgung: Keine Offenlegungspflicht in der Anwaltskommunikation (Section 79)
3. Automatisierte Entscheidungsfindung („Automated decision-making (ADM)“)
- Neuer Art. 22 A-D ersetzt Art. 22 UK GDPR und DPA 2018-Regeln. Organisationen dürfen automatisierte Entscheidungen mit rechtlicher oder ähnlich signifikanter Auswirkung auf Betroffene treffen (Section 80)
- Es sind jedoch spezifische Schutzmaßnahmen einzuhalten, darunter: Bereitstellung von Entscheidungsinformationen für Betroffene, Möglichkeit der Stellungnahme der Betroffenen zu diesen Entscheidungen, Möglichkeit des Widerspruchs und menschlichen Überprüfung (Section 80)
- Ergänzend in der Strafverfolgung eine "Active Human Review"-Ausnahme, um die nationale Sicherheit zu gewährleisten und laufende Ermittlungen nicht zu gefährden. Diese Ausnahme gilt nur solange die Gefährdungssituation besteht.
4. Datenschutz durch „Data protection by design“ (v.a. für Kinder) und Protokollierung
- Erweiterung des Art. 25 UK GDPR: Für Kinder zugängliche Onlinedienste sollen in ihrer Gestaltung Schutz und Unterstützung für die Kinder vorsehen (v.a. hinsichtlich Alter, Entwicklungsstand, Risikobewusstsein (Section 81)
- Lockerung der Protokollierungspflichten in der Strafverfolgung: Entfall der Dokumentationspflichten hinsichtlich der Rechtfertigung für jeglichen Datenzugriff (Section 82)
5. Internationale Datenübermittlung („International transfers of personal data“)
- Einführung eines "not materially lower"-Schutzniveau-Tests für Drittstaaten und alternative Mechanismen (Section 85 - Schedules 7-9)
- Entfall der vierjährigen Überprüfung "adequacy-Regelung" - stattdessen kontinuierliches Monitoring
- Notfalls-Ausnahmen für die Strafverfolgung sowie klare Basis für Weitergaben an ausländische Dienstleister
6. Forschung und Statistik (processing for research etc.purposes”)
- Änderungen der Begriffsbestimmungen in UK GDPR und des DPA 2018 von:
- „research and statistical purposes“ umfasst auch kommerzielle wissenschaftliche Forschung (Section 67)
- Einwilligung umfasst auch „Broad Consent“ bei nicht vollständiger Bestimmbarkeit des wissenschaftlichen Forschungszwecks (Section 68)
- Klare Sicherheitsstandards
- Alle speziefischen Maßnahmen für Verarbeitungen durch wissenschaftliche Forschung gebündelt in neuen Art. 84A-D UK GDPR (Section 86-87)
7. Nationale Sicherheit und gemeinsame Verarbeitung („National security“)
- Vereinheitlichung der Sicherheitsstandards für die Strafverfolgung mit UK GDPR und Geheimdienstgesetz (Section 88)
- Effektive Zusammenarbeit zwischen Strafverfolgung und Geheimdiensten bei der Nationalsecurity durch ein "desigbation notices" Joint Controllership (Section 89-90)