Brusel 11. listopadu – Evropský sbor pro ochranu osobních údajů přijal na svém posledním plenárním zasedání prohlášení o prvním přezkumu fungování rozhodnutí Korejské republiky o odpovídající ochraně a konečnou verzi doporučení k žádosti o schválení a k prvkům a zásadám závazných podnikových pravidel pro zpracovatele. Kromě toho výbor vybral téma pro své šesté koordinované donucovací opatření (CEF).

Prohlášení EDPB o prvním přezkumu rozhodnutí Korejské republiky o odpovídající ochraně se zaměřuje především na posouzení změn korejského právního rámce pro ochranu údajů, a to jak z hlediska obchodních aspektů, tak z hlediska přístupu korejských orgánů veřejné moci k osobním údajům a jejich používání*.

„Vzájemné uznávání rovnocenných norem ochrany údajů mezi EU a Korejskou republikou v roce 2025 představovalo významný krok potvrzující rostoucí soulad mezi oběma regulačními rámci.

Vítáme změny korejských právních předpisů o ochraně údajů, které zvýšily úroveň ochrany fyzických osob a usnadnily zpracování údajů správci při zachování úrovně ochrany, která je v zásadě rovnocenná úrovni ochrany podle nařízení GDPR."

předsedkyně EDPB Anu Talus

Například zákon o ochraně osobních údajů (PIPA) byl změněn tak, aby zavedl nové obecné právo odvolat souhlas, právo požádat o pozastavení zpracování osobních údajů, jakož i právo odmítnout automatizované rozhodnutí (včetně systémů AI) nebo požádat o vysvětlení, pokud má rozhodnutí významný dopad na práva nebo povinnosti subjektů údajů.

Pokud jde o další předávání, EDPB dále vítá změny zákona o ochraně osobních údajů týkající se právního režimu platného pro mezinárodní předávání osobních údajů. Změny objasňují, že je třeba, aby se přeshraniční předávání osobních údajů opíralo o konkrétní nástroje pro předávání (články 28–8 zákona o ochraně osobních údajů), a nabízejí proto alternativní řešení souhlasu.

EDPB rovněž vítá posílení donucovacích a sankčních pravomocí korejského orgánu pro ochranu údajů (PIPC).

EDPB souhlasí s návrhem Komise konzultovat výbor zřízený podle čl. 93 odst. 1 obecného nařízení o ochraně osobních údajů, aby každé čtyři roky provedl přezkum rozhodnutí o odpovídající ochraně.

Doporučení ke konečné verzi závazných podnikových pravidel pro zpracovatele přijata

Po veřejné konzultaci přijal EDPB konečné znění doporučení k žádosti o schválení a k prvkům a zásadám, které jsou obsaženy v závazných podnikových pravidlech pro zpracovatele. Závazná podniková pravidla pro zpracovatele jsou nástrojem pro předávání, který může skupina podniků nebo podniků použít k předávání osobních údajů mimo Evropu zpracovatelům v rámci téže skupiny. Závazná podniková pravidla vytvářejí vymahatelná práva a stanoví závazky k zavedení úrovně ochrany údajů, která je v zásadě rovnocenná úrovni poskytované nařízením GDPR.

Doporučení se nyní vztahují na všechny držitele závazných podnikových pravidel pro zpracovatele. Všichni držitelé závazných podnikových pravidel pro zpracovatele, jakož i všichni noví a stávající žadatelé o závazná podniková pravidla pro zpracovatele by měli uvést svá závazná podniková pravidla pro zpracovatele v soulad s doporučeními, a to buď během procesu podávání žádostí, nebo v rámci každoroční aktualizace do roku 2028, v závislosti na jejich konkrétní situaci.

V souladu s cílem helsinského prohlášení posílit dialog se zúčastněnými stranami vydal sbor rovněž zprávu o výsledku specializované veřejné konzultace, jakož i verzi doporučení, která sleduje změny.

Koordinovaný rámec prosazování: téma vybrané pro rok 2027

EDPB si vybral toto téma pro své šesté koordinované donucovací opatření, které se bude týkat automatizovaného rozhodování (ADM), včetně ADM řízeného umělou inteligencí, při náboru zaměstnanců. Koordinovaný postup se konkrétně zaměří na prosazování práva nebýt předmětem rozhodnutí založených výhradně na automatizovaném zpracování a souvisejícího práva na přístup v souvislosti s používáním automatizovaných nástrojů pro prověřování kandidátů, včetně nástrojů založených na umělé inteligenci. Orgány pro ochranu údajů se k této akci dobrovolně připojí v nadcházejících týdnech a samotná akce bude zahájena v průběhu roku 2027.

Více informací o CEF, jakož i zprávy o předchozích akcích CEF naleznete zde.

Poznámka pro redaktory:

* Dne 17. prosince 2021 přijala Evropská komise rozhodnutí o odpovídající ochraně, v němž uznala, že rámec ochrany údajů Korejské republiky nabízí odpovídající úroveň ochrany údajů. Přijetí rozhodnutí o odpovídající ochraně zahrnuje:

• návrh Evropské komise;
• stanovisko Evropského sboru pro ochranu osobních údajů;
• souhlas zástupců zemí EU;
• přijetí rozhodnutí Evropskou komisí.

Komise je povinna pravidelně přezkoumávat rozhodnutí o odpovídající ochraně a podávat zprávy o svých zjištěních Evropskému parlamentu a Radě. Pravidelné přezkumy zajišťují zachování základní normy rovnocennosti.

Proces prvního přezkumu fungování rozhodnutí o odpovídající ochraně se uskutečnil v roce 2025 a sestával zejména z on-line přezkumného jednání dne 17. října 2025. Komise vyzvala EDPB, aby se zúčastnil přezkumného jednání v souladu s 211. bodem odůvodnění korejského rozhodnutí o odpovídající ochraně.

Dne 23. července 2026 vydala Evropská komise zprávu Evropskému parlamentu a Radě o prvním přezkumu fungování rozhodnutí o odpovídající ochraně pro Korejskou republiku spolu s pracovním dokumentem útvarů Komise (SWD(2026) 231 final). Komise dospěla k závěru, že Korejská republika nadále zajišťuje odpovídající úroveň ochrany osobních údajů z Evropské unie subjektům v Korejské republice, na něž se vztahuje její pozměněný rámec pro ochranu údajů.

S ohledem na výsledek přezkumu EDPB souhlasí s návrhem Evropské komise přejít na čtyřletý cyklus přezkumu tohoto rozhodnutí o odpovídající ochraně.

Jedná se o automatický překlad veřejné konzultace, který může obsahovat chyby. Nenahrazuje oficiální anglickou verzi.