Bryssel, 11. marraskuuta – Euroopan tietosuojaneuvosto (EDPB) antoi viimeisimmässä täysistunnossaan lausuman Korean tasavallan tietosuojan riittävyyttä koskevan päätöksen toiminnan ensimmäisestä uudelleentarkastelusta sekä hyväksyi suositusten lopullisen version, joka koskee hyväksymishakemusta sekä henkilötietojen käsittelijöitä koskeviin sitoviin yrityssääntöihin (BCR-P) sisältyviä seikkoja ja periaatteita. Lisäksi lautakunta valitsi aiheen kuudetta koordinoitua täytäntöönpanotoimeaan varten.

Tietosuojaneuvoston lausumassa Korean tasavallan tietosuojan riittävyyttä koskevan päätöksen ensimmäisestä uudelleentarkastelusta keskitytään pääasiassa Korean tietosuojaa koskevaan oikeudelliseen kehykseen tehtyjen muutosten arviointiin sekä kaupallisten näkökohtien että Korean viranomaisten henkilötietoihin pääsyn ja niiden käytön osalta*.

”Vastaavien tietosuojanormien vastavuoroinen tunnustaminen EU:n ja Korean tasavallan välillä vuonna 2025 oli merkittävä askel, joka vahvisti molempien sääntelykehysten lisääntyvän yhdenmukaisuuden.

Suhtaudumme myönteisesti Korean tietosuojalainsäädäntöön tehtyihin muutoksiin, joilla on parannettu yksilöiden suojelun tasoa ja helpotettu rekisterinpitäjien suorittamaa tietojen käsittelyä säilyttäen samalla tietosuojan taso, joka vastaa olennaisilta osin yleisen tietosuoja-asetuksen tasoa.”

Euroopan tietosuojaneuvoston puheenjohtaja Anu Talus

Esimerkiksi henkilötietojen suojaa koskevaa lakia (PIPA) muutettiin ottamalla käyttöön uudet yleiset oikeudet peruuttaa suostumus ja pyytää henkilötietojen käsittelyn keskeyttämistä sekä oikeus kieltäytyä automatisoidusta päätöksestä (myös tekoälyjärjestelmien tekemästä päätöksestä) tai pyytää selitystä, jos päätös vaikuttaa merkittävästi rekisteröityjen oikeuksiin tai velvollisuuksiin.

Edelleen siirtämisen osalta tietosuojaneuvosto suhtautuu myönteisesti PIPA-lakiin tehtyihin muutoksiin, jotka koskevat henkilötietojen kansainvälisiin siirtoihin sovellettavaa oikeudellista kehystä. Muutoksilla selvennetään, että henkilötietojen rajatylittävissä siirroissa on käytettävä erityisiä siirtovälineitä (PIPA-lain 28-8 §), mikä tarjoaa vaihtoehtoisia ratkaisuja suostumukseen perustuvalle siirrolle.

Tietosuojaneuvosto suhtautuu myönteisesti myös Korean tietosuojaviranomaisen (PIPC) täytäntöönpano- ja seuraamusvaltuuksien vahvistamiseen.

Tietosuojaneuvosto hyväksyy komission ehdotuksen kuulla yleisen tietosuoja-asetuksen 93 artiklan 1 kohdan nojalla perustettua komiteaa, jotta tietosuojan riittävyyttä koskeva päätös tarkastellaan uudelleen neljän vuoden välein.

Käsittelijöitä koskevien sitovien yrityssääntöjen suositusten lopullinen versio hyväksytty

Julkisen kuulemisen jälkeen tietosuojaneuvosto on hyväksynyt suositusten lopullisen version, joka koskee hyväksymishakemusta sekä BCR-P-säännöissä olevia seikkoja ja periaatteita. BCR-P-säännöt ovat siirtoväline, jota yritysryhmä tai yritysryhmä voi käyttää henkilötietojen siirtämiseen Euroopan ulkopuolelle saman ryhmän sisällä toimiville henkilötietojen käsittelijöille. Sitovilla yrityssäännöillä luodaan täytäntöönpanokelpoisia oikeuksia ja vahvistetaan sitoumuksia, joiden avulla varmistetaan tietosuojan taso, joka vastaa olennaisilta osin yleisessä tietosuoja-asetuksessa säädettyä tasoa.

Suosituksia sovelletaan nyt kaikkiin BCR-P-sääntöjen haltijoihin. Kaikkien BCR-P-sääntöjen haltijoiden sekä kaikkien uusien ja käynnissä olevien BCR-P-hakemusten hakijoiden olisi saatettava BCR-P-sääntönsä suositusten mukaisiksi joko hakuprosessin aikana tai osana vuoden 2028 vuotuista päivitystään tilanteestaan riippuen.

Helsingin julkilausuman tavoitteena on vahvistaa sidosryhmien kanssa käytävää vuoropuhelua. Tämän tavoitteen mukaisesti lautakunta on myös julkaissut raportin erityisen julkisen kuulemisen tuloksista sekä version suosituksista, johon tehdyt muutokset on merkitty.

Koordinoitu täytäntöönpanokehys: aihe valittu vuodelle 2027

Tietosuojaneuvosto valitsi aiheen kuudennelle koordinoidulle täytäntöönpanotoimelleen, joka koskee automatisoitua päätöksentekoa (ADM), mukaan lukien tekoälyyn perustuva automatisoitu päätöksenteko rekrytoinnissa. Koordinoidussa toimessa keskitytään erityisesti valvomaan oikeutta olla joutumatta sellaisten päätösten kohteeksi, jotka perustuvat yksinomaan automaattiseen käsittelyyn, sekä tähän liittyvää tiedonsaantioikeutta silloin, kun käytetään automatisoituja ehdokkaiden seulontavälineitä, mukaan lukien tekoälyyn perustuvat välineet. Tietosuojaviranomaiset liittyvät tähän toimeen vapaaehtoisesti tulevina viikkoina, ja itse toimi käynnistetään vuoden 2027 aikana.

Lisätietoja koordinoidusta täytäntöönpanokehyksestä (CEF) ja aiempia CEF-toimia koskevista kertomuksista on saatavilla täällä.

Huomautus toimittajille:

* Euroopan komissio hyväksyi 17. joulukuuta 2021 tietosuojan riittävyyttä koskevan päätöksen, jossa todetaan, että Korean tasavallan tietosuojakehys tarjoaa riittävän tietosuojan tason. Tietosuojan riittävyyttä koskevan päätöksen tekeminen edellyttää seuraavaa:

• Euroopan komission ehdotus;
• Euroopan tietosuojaneuvoston lausunto;
• EU-maiden edustajien hyväksyntä;
• päätöksen hyväksyminen Euroopan komissiossa.

Komission on tarkasteltava tietosuojan riittävyyttä koskevia päätöksiä säännöllisesti uudelleen ja raportoitava havainnoistaan Euroopan parlamentille ja neuvostolle. Säännöllisillä tarkasteluilla varmistetaan, että olennaista vastaavuusvaatimusta noudatetaan edelleen.

Tietosuojan riittävyyttä koskevan päätöksen toiminnan ensimmäinen uudelleentarkastelu toteutettiin vuonna 2025, ja siihen sisältyi erityisesti 17. lokakuuta 2025 pidetty verkkokokous. Komissio pyysi tietosuojaneuvostoa osallistumaan tarkastelukokoukseen Korean tietosuojan riittävyyttä koskevan päätöksen johdanto-osan 221 kappaleen mukaisesti.

Euroopan komissio julkaisi 23. heinäkuuta 2026 Euroopan parlamentille ja neuvostolle osoitetun kertomuksen Korean tasavallan tietosuojan riittävyyttä koskevan päätöksen toiminnan ensimmäisestä uudelleentarkastelusta sekä komission yksiköiden valmisteluasiakirjan (SWD(2026) 231 final). Komissio totesi, että Korean tasavalta varmistaa edelleen Euroopan unionista Korean tasavallassa sijaitseville yhteisöille siirrettävien henkilötietojen riittävän suojan tason muutetun tietosuojakehyksensä mukaisesti.

Uudelleentarkastelun tulosten perusteella tietosuojaneuvosto hyväksyy Euroopan komission ehdotuksen siirtyä tämän tietosuojan riittävyyttä koskevan päätöksen nelivuotiseen uudelleentarkastelusykliin.

Kyseessä on julkisen kuulemisen automaattinen käännös, joka voi sisältää virheitä. Se ei korvaa virallista englanninkielistä versiota.