Bruxelles, den 11. november – Databeskyttelsesrådet har på sit seneste plenarmøde vedtaget en erklæring om den første gennemgang af, hvordan Republikken Koreas afgørelse om tilstrækkeligheden af beskyttelsesniveauet fungerer, og den endelige udgave af henstillingerne om ansøgningen om godkendelse og om de elementer og principper, der skal findes i de bindende virksomhedsregler for databehandlere (BCR-P). Desuden valgte rådet emnet til sin sjette koordinerede håndhævelsesindsats (CEF).

Databeskyttelsesrådets erklæring om den første revision af Republikken Koreas afgørelse om tilstrækkeligheden af beskyttelsesniveauet fokuserer hovedsagelig på vurderingen af ændringer af den koreanske retlige ramme for databeskyttelse, både på de kommercielle aspekter og vedrørende koreanske offentlige myndigheders adgang til og anvendelse af personoplysninger*.

"Den gensidige anerkendelse af ækvivalente databeskyttelsesstandarder mellem EU og Republikken Korea i 2025 udgjorde et vigtigt skridt, der bekræftede den voksende tilpasning mellem begge lovgivningsmæssige rammer.

Vi glæder os over ændringer i den koreanske databeskyttelseslovgivning, der har øget beskyttelsesniveauet for enkeltpersoner og lettet dataansvarliges behandling af oplysninger, samtidig med at der opretholdes et beskyttelsesniveau, der i det væsentlige svarer til databeskyttelsesforordningen."

Databeskyttelsesrådets formand, Anu Talus

Forordningen om beskyttelse af personoplysninger (PIPA) blev f.eks. ændret for at indføre en ny generel ret til at trække samtykke tilbage, en ret til at anmode om suspension af behandlingen af personoplysninger samt en ret til at afvise en automatiseret afgørelse (herunder ved hjælp af AI-systemer) eller anmode om en forklaring, hvis afgørelsen i væsentlig grad påvirker de registreredes rettigheder eller forpligtelser.

Med hensyn til videreoverførsler glæder Databeskyttelsesrådet sig desuden over ændringerne af PIPA om den retlige ordning, der finder anvendelse på internationale overførsler af personoplysninger. Ændringerne præciserer behovet for, at grænseoverskridende overførsler af personoplysninger er afhængige af specifikke overførselsværktøjer (artikel 28-8 i PIPA), og tilbyder derfor alternative løsninger til samtykke.

Databeskyttelsesrådet glæder sig også over styrkelsen af den koreanske databeskyttelsesmyndigheds håndhævelses- og sanktionsbeføjelser.

Databeskyttelsesrådet er enigt i Kommissionens forslag om at høre det udvalg, der er nedsat i henhold til artikel 93, stk. 1, i GDPR, med henblik på at foretage en revision af afgørelsen om tilstrækkeligheden af beskyttelsesniveauet hvert fjerde år.

Henstillinger om den endelige udgave af bindende virksomhedsregler for databehandlere vedtaget

Efter offentlig høring har Databeskyttelsesrådet vedtaget den endelige udgave af henstillingerne om ansøgningen om godkendelse og om de elementer og principper, der findes i BCR-P. BCR-P er et overførselsværktøj, der kan anvendes af en koncern eller virksomheder til at overføre personoplysninger uden for Europa til databehandlere inden for samme koncern. De bindende virksomhedsregler skaber rettigheder, der kan håndhæves, og fastsætter forpligtelser til at fastsætte et databeskyttelsesniveau, der i det væsentlige svarer til det, der er fastsat i GDPR.

Henstillingerne finder nu anvendelse på alle indehavere af bindende virksomhedsregler for databehandlere. Alle indehavere af bindende virksomhedsregler for databehandlere samt alle nye og igangværende ansøgere om bindende virksomhedsregler for databehandlere bør bringe deres bindende virksomhedsregler for databehandlere i overensstemmelse med henstillingerne, enten under ansøgningsprocessen eller som led i deres årlige ajourføring for 2028, afhængigt af deres specifikke situation.

I overensstemmelse med Helsinkierklæringens mål om at styrke dialogen med interessenter har Databeskyttelsesrådet også offentliggjort en rapport om resultatet af den særlige offentlige høring samt en version af henstillingerne, der viser ændringer.

Koordineret håndhævelsesramme: emne udvalgt for 2027

Databeskyttelsesrådet valgte emnet til sin sjette koordinerede håndhævelsesindsats, som vil vedrøre automatiseret beslutningstagning (ADM), herunder AI-drevet ADM, i forbindelse med rekruttering. Mere specifikt vil den koordinerede foranstaltning fokusere på håndhævelsen af retten til ikke at være genstand for afgørelser, der udelukkende er baseret på automatiseret behandling, og den tilhørende ret til adgang, i forbindelse med anvendelsen af automatiserede værktøjer til screening af kandidater, herunder AI-drevne værktøjer. Databeskyttelsesmyndighederne vil deltage i denne foranstaltning på frivillig basis i de kommende uger, og selve foranstaltningen vil blive iværksat i løbet af 2027.

Du kan finde flere oplysninger om CEF samt rapporterne om de tidligere CEF-aktioner her.

Bemærkning til redaktører:

* Den 17. december 2021 vedtog Europa-Kommissionen en afgørelse om tilstrækkeligheden af beskyttelsesniveauet, hvori det anerkendes, at Republikken Koreas databeskyttelsesramme tilbyder et tilstrækkeligt databeskyttelsesniveau. Vedtagelsen af en afgørelse om tilstrækkeligheden af beskyttelsesniveauet omfatter:

• et forslag fra Europa-Kommissionen
• en udtalelse fra Det Europæiske Databeskyttelsesråd
• en godkendelse fra repræsentanter for EU-landene
• Europa-Kommissionens vedtagelse af afgørelsen.

Kommissionen skal regelmæssigt gennemgå afgørelserne om tilstrækkeligheden af beskyttelsesniveauet og rapportere sine resultater til Europa-Parlamentet og Rådet. Regelmæssige revisioner sikrer, at den væsentlige ækvivalensstandard bevares.

Processen for den første gennemgang af, hvordan afgørelsen om tilstrækkeligheden af beskyttelsesniveauet fungerede, fandt sted i 2025 og bestod navnlig af et onlinegennemgangsmøde den 17. oktober 2025. Kommissionen opfordrede Databeskyttelsesrådet til at deltage i gennemgangsmødet i overensstemmelse med betragtning 221 i Koreas afgørelse om tilstrækkeligheden af beskyttelsesniveauet.

Den 23. juli 2026 offentliggjorde Europa-Kommissionen rapporten til Europa-Parlamentet og Rådet om den første gennemgang af, hvordan afgørelsen om tilstrækkeligheden af beskyttelsesniveauet for Republikken Korea fungerer, sammen med et arbejdsdokument fra Kommissionens tjenestegrene (SWD(2026) 231 final). Kommissionen konkluderede, at Republikken Korea fortsat sikrer et tilstrækkeligt beskyttelsesniveau for personoplysninger fra Den Europæiske Union til enheder i Republikken Korea, der er omfattet af dens ændrede databeskyttelsesramme.

I lyset af resultatet af gennemgangen tilslutter Databeskyttelsesrådet sig Europa-Kommissionens forslag om at gå over til en fireårig gennemgangscyklus for denne afgørelse om tilstrækkeligheden af beskyttelsesniveauet.

Dette er en automatisk oversættelse af en offentlig høring og kan indeholde fejl. Den erstatter ikke den officielle engelske udgave.