英国数据保护制度（UK GDPR / DPA 2018，经 2025 年《数据（使用与访问）法》修订）

盘点产品中所有会对英国个人产生法律效果或类似重大影响的决策点（风控拒绝、简历筛选、账号封禁、定价与授信、保险核保、内容处置等），逐一判断是否存在"有意义的人为参与"。对判定为纯自动化的重大决策，必须建立四项保障措施并能举证其真实运行：向个人提供关于该决策的信息、允许其提出意见、可获得控制者一方的人工介入、可对决策提出异议。判断人为参与是否"有意义"时必须考虑该决策在多大程度上依赖画像。

触发条件

对英国境内个人作出纯自动化重大决策的控制者；以模型或评分服务支撑该决策的供应商通常为处理者，但若自行决定评分口径则可能被认定为控制者。

时限：自 2026-02-05 起适用；新上线决策功能应在上线前完成。

开始适用：2026-02-05

做完之后应留存的证据

• · 自动化决策清单（决策点、输入特征、输出、影响等级、是否纯自动化的判定理由）
• · 人为介入设计说明与介入记录样本（含复核人权限、可推翻决策的证据）
• · 面向个人的决策告知文案与异议／申诉入口截图
• · 数据保护影响评估（DPIA）及其复核记录

首次达标投入估算：10–25 人日（估算，非承诺）

若重大决策全部或部分基于 UK GDPR 第 9(1) 条特殊类别数据（健康、生物识别用于唯一识别、种族、宗教、性取向、工会等），原则上不得以纯自动化方式作出，除非满足明示同意，或"为订立／履行数据主体与控制者之间的合同所必需或法律要求／授权"且同时满足第 9(2)(g) 条（重大公共利益）。此外，若该决策的处理全部或部分依赖第 6(1)(ea) 条（认可正当利益），则不得以纯自动化方式作出。工程上需要能证明模型输入中不含、或已剥离特殊类别数据与其代理变量。

触发条件

医疗 AI、可穿戴／健康数据分析、人脸或声纹识别、招聘与员工评估、保险与信贷等会触及特殊类别数据的自动化决策场景。

开始适用：2026-02-05

做完之后应留存的证据

• · 特征清单与特殊类别数据（含代理变量）筛查结论
• · 所依赖的第 9(2) 条例外条件与法律依据备忘
• · 明示同意的取得与撤回记录（若依赖同意）
• · 模型输入过滤／脱敏的技术实现说明与测试报告

首次达标投入估算：8–20 人日（估算，非承诺）

梳理从英国流向中国母公司、境外云、模型训练环境与第三方标注商的每一条数据链路，为每条链路选定并落地一种第 46 条保障措施：ICO 的《国际数据传输协议》（IDTA）、附加于欧盟标准合同条款之上的英国《附录》（Addendum），或经批准的约束性公司规则。签署后需将条款中的技术与组织措施落到实处（访问控制、加密、转委托审批、政府调取请求应对流程），并在供应商变更、子处理者新增时更新。

触发条件

任何把英国个人数据传出英国的控制者或处理者，包括作为英国客户处理者、把数据回传中国训练或推理的中国 AI 公司。

做完之后应留存的证据

• · 数据流图与受限传输清单（出口方、进口方、数据类别、目的、机制）
• · 已签署的 IDTA 或欧盟 SCC + 英国附录（含附表与技术措施附件）
• · 子处理者名单与转委托审批记录
• · 政府调取请求处理与通知流程文件

首次达标投入估算：8–20 人日（估算，非承诺）

依修订后的第 46(1A) 条，仅签署 IDTA／附录并不足够：出口方还必须"以合理且相称的方式"判断该项（或该类）传输满足数据保护测试——即进口国对数据主体的保护水平不得"实质低于"英国法。评估要覆盖进口国的法治与人权状况、是否存在有实权的数据保护监管机构、政府调取与监控法制、以及数据再转移的可能性；对中国大陆作为进口地的传输，尤其需要就《网络安全法》《数据安全法》《个人信息保护法》项下的政府调取与配合义务，说明所采取的补充措施（加密、密钥境外保管、最小化、拒绝无法律依据的调取等）。评估结论须留档并定期复核。

触发条件

依赖第 46 条保障措施的每一类受限传输；使用充分性认定（第 45A 条）的传输无需自行评估，但需确认该认定在传输当时仍然有效。

开始适用：2026-02-05

做完之后应留存的证据

• · 数据保护测试／TRA 报告（按传输类型分档）
• · 进口国法律环境分析与外部法律意见（如有）
• · 补充技术与组织措施清单及其有效性验证记录
• · 复核计划与上一轮复核结论

首次达标投入估算：6–15 人日（估算，非承诺）

第 78 条已把访问权的边界明确为"控制者基于合理且相称的检索所能提供的范围"，因此需要事先定义并写入制度：检索的系统范围、关键词与时间窗、为何排除某些备份或日志。第 76 条同时引入 UK GDPR 第 12A 条"适用期间"，在身份未核实或需要澄清请求范围时可暂停计时。AI 企业的特别难点是训练集、向量库、提示日志与模型输出中的个人数据——需事先给出可解释、可复现的检索口径。

触发条件

处理英国个人数据的所有控制者，包括仅在线上向英国用户提供服务的中国主体。

时限：第 78 条自 2025-06-19 起适用（并视为自 2024-01-01 生效）；第 76 条新答复期限规则自 2026-02-05 起适用。

做完之后应留存的证据

• · DSAR 处理制度（含检索范围界定方法与相称性论证模板）
• · DSAR 台账（受理日、暂停计时的理由与起止、答复日、提供／拒绝范围）
• · 系统与数据源清单（含训练集、向量库、提示日志是否纳入检索及理由）
• · 答复函模板与豁免适用说明

首次达标投入估算：5–12 人日（估算，非承诺）

自 2026-06-19 起，控制者必须便利数据主体就 UK GDPR 或 DPA 2018 第 3 编的违法处理提出投诉，采取的措施包括提供可电子填写的投诉表；收到投诉后 30 日内确认收悉，并无不当迟延地采取适当处理步骤（必要时开展调查、向投诉人通报进展）并告知处理结果。国务大臣有权另行立法要求控制者向专员报送投诉数量，应预留统计口径。

触发条件

所有以控制者身份处理英国个人数据的企业。

时限：收到投诉起 30 日内确认收悉；自 2026-06-19 起适用。

开始适用：2026-06-19

做完之后应留存的证据

• · 线上投诉表单与提交回执样例
• · 投诉台账（收悉确认日期、调查记录、结果告知日期）
• · 投诉处理内部流程与升级规则
• · 投诉数量月度／季度统计报表

首次达标投入估算：3–8 人日（估算，非承诺）

在训练、微调或部署涉及英国个人数据的 AI 系统前完成 DPIA，并按 ICO《人工智能与数据保护》指引覆盖：训练与推理阶段分别的合法性基础、统计准确性与公平性（含偏差测试）、数据最小化与隐私增强技术、模型与训练数据的安全（含模型反演与成员推断风险）、以及个人如何行使权利。新增的附表 4"认可正当利益"不适用于据以作出纯自动化重大决策的处理，选择合法性基础时须一并核对第 22B(4) 条的限制。透明度上需说明模型用途、数据来源类别与决策逻辑要点。

触发条件

以英国个人数据训练或微调模型、或在英国部署会对个人产生影响的 AI 系统的提供者与部署者。

做完之后应留存的证据

• · AI 系统 DPIA（含训练与推理分别的合法性基础分析）
• · 数据来源与授权链证明（采购合同、爬取策略、公开数据来源说明）
• · 统计准确性与偏差测试报告
• · 模型卡／系统说明与面向用户的透明度告知

首次达标投入估算：12–30 人日（估算，非承诺）

第 70 条新增 UK GDPR 第 6(1)(ea) 条与附表 4 的"认可正当利益"，在该清单范围内可免做正当利益平衡测试；第 71 条与附表 5 则列出被视为与原始目的兼容的后续处理情形。企业应重新核对现有处理活动记录中的合法性基础，识别哪些可迁移至新基础、哪些仍须保留传统正当利益评估（LIA），并同步更新隐私政策与 ROPA。注意：依赖第 6(1)(ea) 条的处理不得用于作出纯自动化重大决策。

触发条件

所有处理英国个人数据的控制者，尤其是依赖正当利益做产品分析、反欺诈或安全监测的 AI 产品。

开始适用：2026-02-05

做完之后应留存的证据

• · 更新后的处理活动记录（ROPA）与合法性基础映射表
• · 正当利益评估（LIA）文档及其复核结论
• · 隐私政策改版留痕与生效日期
• · 与第 22B(4) 条限制的交叉核对记录

首次达标投入估算：4–10 人日（估算，非承诺）