Brüssel, 11. november – EDPB võttis oma viimasel täiskogu istungil vastu avalduse Korea Vabariigi kaitse piisavuse otsuse toimimise esimese läbivaatamise kohta ning soovituste lõpliku versiooni, mis käsitleb heakskiidutaotlust ning volitatud töötlejate siduvates kontsernisisestes eeskirjades (BCR-P) sisalduvaid elemente ja põhimõtteid. Lisaks valis juhatus välja teema oma kuuendaks koordineeritud jõustamismeetmeks (CEF).

EDPB avaldus Korea Vabariigi kaitse piisavuse otsuse esimese läbivaatamise kohta keskendub peamiselt Korea andmekaitse õigusraamistikus tehtud muudatuste hindamisele nii äritegevusega seotud aspektide kui ka Korea ametiasutuste juurdepääsu ja isikuandmete kasutamise seisukohast*.

„ELi ja Korea Vabariigi vastastikune tunnustus samaväärsetele andmekaitsestandarditele 2025. aastal oli oluline samm, mis kinnitas mõlema õigusraamistiku üha suuremat lähenemist.

Me tervitame Korea andmekaitsenormide muudatusi, mis on suurendanud üksikisikute kaitsetaset ja hõlbustanud vastutavate töötlejate andmetöötlust, säilitades samal ajal kaitsetaseme, mis on sisuliselt samaväärne isikuandmete kaitse üldmäärusega.”

EDPB esimees Anu Talus

Näiteks muudeti isikuandmete kaitse seadust (PIPA), et kehtestada uus üldine õigus nõusolek tagasi võtta, õigus nõuda isikuandmete töötlemise peatamist ning õigus keelduda automatiseeritud otsusest (sealhulgas tehisintellektisüsteemide tehtud otsusest) või õigus saada otsuse kohta selgitus, kui otsus mõjutab oluliselt andmesubjektide õigusi või kohustusi.

Andmete edasisaatmisega seoses tervitab EDPB samuti PIPA muudatusi, mis puudutavad isikuandmete rahvusvahelise edastamise õiguslikku raamistikku. Muudatustega selgitatakse, et isikuandmete piiriülesel edastamisel tuleb kasutada konkreetseid edastamisvahendeid (PIPA artikkel 28-8), pakkudes seega nõusolekule alternatiivseid lahendusi.

EDPB tervitab ka Korea isikuandmete kaitse komisjoni (PIPC) jõustamis- ja sanktsioonide määramise volituste tugevdamist.

EDPB nõustub komisjoni ettepanekuga konsulteerida isikuandmete kaitse üldmääruse artikli 93 lõike 1 alusel loodud komiteega, et vaadata kaitse piisavuse otsus läbi iga nelja aasta järel.

Volitatud töötlejate siduvate kontsernisiseste eeskirjade soovituste lõplik versioon vastu võetud

Pärast avalikku konsultatsiooni võttis EDPB vastu soovituste lõpliku versiooni, mis käsitleb heakskiidutaotlust ning BCR-P elemente ja põhimõtteid. BCR-P on edastamisvahend, mida ettevõtjate kontsern või ettevõtjate rühm võib kasutada isikuandmete edastamiseks väljapoole Euroopat sama kontserni kuuluvatele volitatud töötlejatele. BCR-idega kehtestatakse jõustatavad õigused ja kohustused, et tagada kaitsetase, mis on sisuliselt samaväärne isikuandmete kaitse üldmäärusega.

Soovitusi kohaldatakse nüüd kõigi BCR-P omanike suhtes. Kõik BCR-P omanikud ning kõik uued ja menetluses olevad BCR-P taotlejad peaksid viima oma BCR-P-d soovitustega kooskõlla, lähtudes oma konkreetsest olukorrast, kas taotlusmenetluse käigus või 2028. aasta iga-aastase ajakohastamise raames.

Kooskõlas Helsingi avalduse eesmärgiga tugevdada dialoogi sidusrühmadega avaldas juhatus ka aruande sihtotstarbelise avaliku konsultatsiooni tulemuste kohta ning soovituste muudatustega versiooni.

Koordineeritud jõustamisraamistik: 2027. aasta teema valitud

EDPB valis välja oma kuuenda koordineeritud jõustamismeetme teema. Meede käsitleb automatiseeritud otsuste tegemist (ADM), sealhulgas tehisintellektil põhinevat automatiseeritud otsuste tegemist värbamisel. Täpsemalt keskendub koordineeritud meede õiguse jõustamisele mitte olla üksnes automatiseeritud töötlemisel põhineva otsuse subjekt ning sellega seotud teabe saamise õigusele seoses automatiseeritud vahendite kasutamisega tööle kandideerijate sõelumisel, sealhulgas tehisintellektil põhinevate vahendite kasutamisega. Andmekaitseasutused saavad meetmega vabatahtlikult liituda lähinädalatel ning meede ise käivitatakse 2027. aasta jooksul.

Lisateavet koordineeritud jõustamisraamistiku (CEF) ja varasemate CEF-meetmete aruannete kohta leiate siit.

Toimetajatele:

* 17. detsembril 2021 võttis Euroopa Komisjon vastu kaitse piisavuse otsuse, milles tunnistati, et Korea Vabariigi andmekaitseraamistik tagab piisava andmekaitse taseme. Kaitse piisavuse otsuse vastuvõtmine hõlmab järgmist:

• Euroopa Komisjoni ettepanek;
• Euroopa Andmekaitsenõukogu arvamus;
• ELi liikmesriikide esindajate heakskiit;
• otsuse vastuvõtmine Euroopa Komisjoni poolt.

Komisjon peab kaitse piisavuse otsuseid korrapäraselt läbi vaatama ning esitama Euroopa Parlamendile ja nõukogule aruande läbivaatamiste tulemuste kohta. Korrapäraste läbivaatamistega tagatakse, et sisuliselt samaväärne kaitsetase säilib.

Kaitse piisavuse otsuse toimimise esimene läbivaatamine toimus 2025. aastal ning hõlmas eelkõige 17. oktoobril 2025 toimunud veebipõhist läbivaatamiskoosolekut. Komisjon palus EDPB-l osaleda läbivaatamiskoosolekul kooskõlas Korea kaitse piisavuse otsuse põhjendusega 221.

23. juulil 2026 avaldas Euroopa Komisjon Euroopa Parlamendile ja nõukogule esitatud aruande Korea Vabariigi kaitse piisavuse otsuse toimimise esimese läbivaatamise kohta koos komisjoni talituste töödokumendiga (SWD(2026) 231 final). Komisjon jõudis järeldusele, et Korea Vabariik tagab ka pärast oma andmekaitseraamistiku muutmist jätkuvalt Euroopa Liidust pärit isikuandmete piisava kaitse taseme Korea Vabariigis asuvatele üksustele.

Läbivaatamise tulemusi arvestades nõustub EDPB Euroopa Komisjoni ettepanekuga minna selle kaitse piisavuse otsuse puhul üle nelja-aastasele läbivaatamistsüklile.

Tegemist on avaliku konsultatsiooni automaattõlkega ja see võib sisaldada vigu. See ei asenda ametlikku ingliskeelset versiooni.