Bruselas, 11 de noviembre – Durante su último pleno, el CEPD ha adoptado una declaración sobre la primera revisión del funcionamiento de la decisión de adecuación de la República de Corea y la versión final de las recomendaciones sobre la solicitud de aprobación y sobre los elementos y principios que figuran en las normas corporativas vinculantes para el encargado del tratamiento (BCR-P). Además, la Junta seleccionó el tema para su sexta acción coordinada de aplicación (MCE).

La declaración del CEPD sobre la primera revisión de la decisión de adecuación de la República de Corea se centra principalmente en la evaluación de las modificaciones del marco jurídico coreano de protección de datos, tanto en los aspectos comerciales como en relación con el acceso y el uso de datos personales por parte de las autoridades públicas coreanas*.

«El reconocimiento mutuo de normas equivalentes de protección de datos entre la UE y la República de Corea en 2025 representó un paso importante que confirmó la creciente armonización entre ambos marcos reglamentarios.

Acogemos con satisfacción las modificaciones de la legislación coreana en materia de protección de datos que han aumentado el nivel de protección de las personas y facilitado el tratamiento de datos por parte de los responsables del tratamiento, manteniendo al mismo tiempo un nivel de protección esencialmente equivalente al del RGPD».

Presidente del CEPD, Anu Talus

Por ejemplo, la Ley de Protección de la Información Personal (PIPA) se modificó para introducir un nuevo derecho general a retirar el consentimiento, un derecho a solicitar la suspensión del tratamiento de datos personales, así como el derecho a rechazar una decisión automatizada (incluidos los sistemas de IA) o solicitar una explicación si la decisión afecta significativamente a los derechos u obligaciones de los interesados.

Además, en lo que respecta a las transferencias ulteriores, el CEPD acoge con satisfacción los cambios en la LPIP sobre el régimen jurídico aplicable a las transferencias internacionales de datos personales. Los cambios aclaran la necesidad de que las transferencias transfronterizas de información personal se basen en herramientas de transferencia específicas (artículos 28 a 8 de la LPIP), por lo que ofrecen soluciones alternativas al consentimiento.

El CEPD también acoge con satisfacción el refuerzo de las competencias de ejecución y sanciones de la APD coreana.

El CEPD está de acuerdo con la propuesta de la Comisión de consultar al Comité establecido en virtud del artículo 93, apartado 1, del RGPD para llevar a cabo una revisión de la decisión de adecuación cada cuatro años.

Versión final de las recomendaciones adoptadas sobre las NCV del encargado del tratamiento

Tras la consulta pública, el CEPD ha adoptado la versión final de las recomendaciones sobre la solicitud de aprobación y sobre los elementos y principios que figuran en las NCV-P. Las NCV-P son una herramienta de transferencia que puede ser utilizada por un grupo de empresas o empresas para transferir datos personales fuera de Europa a encargados del tratamiento dentro del mismo grupo. Las NCV crean derechos exigibles y establecen compromisos para establecer un nivel de protección de datos esencialmente equivalente al proporcionado por el RGPD.

Las recomendaciones son ahora aplicables a todos los titulares de BCR-P. Todos los titulares de BCR-P, así como todos los solicitantes de BCR-P nuevos y en curso, deben adaptar sus BCR-P a las recomendaciones, ya sea durante el proceso de solicitud o como parte de su actualización anual de 2028, dependiendo de su situación específica.

En consonancia con el objetivo de la Declaración de Helsinki de reforzar el diálogo con las partes interesadas, el Comité también ha publicado un informe sobre el resultado de la consulta pública específica, así como una versión de seguimiento de los cambios de las recomendaciones.

Marco coordinado de aplicación: tema seleccionado para 2027

El CEPD eligió el tema para su sexta acción coordinada de ejecución, que se referirá a la toma de decisiones automatizada (ADM), incluida la ADM impulsada por la IA, en la contratación. Más concretamente, la acción coordinada se centrará en la aplicación del derecho a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado y el derecho de acceso correspondiente, en el contexto del uso de herramientas automatizadas de selección de candidatos, incluidas las basadas en la IA. Las autoridades de protección de datos se sumarán a esta acción de forma voluntaria en las próximas semanas, y la propia acción se pondrá en marcha en el transcurso de 2027.

Puede encontrar más información sobre el MCE, así como los informes sobre las acciones anteriores del MCE, aquí.

Nota a los editores:

* El 17 de diciembre de 2021, la Comisión Europea adoptó una decisión de adecuación en la que reconocía que el marco de protección de datos de la República de Corea ofrece un nivel adecuado de protección de datos. La adopción de una decisión de adecuación implica:

• una propuesta de la Comisión Europea;
• un dictamen del Comité Europeo de Protección de Datos;
• la aprobación de los representantes de los países de la UE;
• la adopción de la decisión por la Comisión Europea.

La Comisión debe revisar periódicamente las decisiones de adecuación e informar de sus conclusiones al Parlamento Europeo y al Consejo. Las revisiones periódicas garantizan el mantenimiento de la norma de equivalencia esencial.

El proceso para la primera revisión del funcionamiento de la decisión de adecuación tuvo lugar en 2025 y, en particular, consistió en una reunión de revisión en línea el 17 de octubre de 2025. La Comisión invitó al CEPD a participar en la reunión de revisión de conformidad con el considerando 221 de la Decisión de adecuación coreana.

El 23 de julio de 2026, la Comisión Europea publicó el Informe al Parlamento Europeo y al Consejo sobre la primera revisión del funcionamiento de la decisión de adecuación para la República de Corea, junto con un documento de trabajo de los servicios de la Comisión [SWD(2026) 231 final]. La Comisión concluyó que la República de Corea sigue garantizando un nivel adecuado de protección de los datos personales de la Unión Europea a las entidades de la República de Corea sujetas a su marco de protección de datos modificado.

A la luz del resultado de la revisión, el CEPD está de acuerdo con la propuesta de la Comisión Europea de pasar a un ciclo de revisión cuatrienal de esta decisión de adecuación.

Se trata de una traducción automática de una consulta pública y puede contener errores. No sustituye a la versión oficial en inglés.