Bruxelles, le 11 novembre – Lors de sa dernière session plénière, le Comité européen de la protection des données a adopté une déclaration sur le premier examen du fonctionnement de la décision d’adéquation de la République de Corée et la version finale des recommandations relatives à la demande d’approbation et aux éléments et principes figurant dans les règles d’entreprise contraignantes pour les sous-traitants (BCR-P). En outre, le Comité a choisi le thème de sa sixième action coordonnée en matière d’application de la législation (CEF).

La déclaration de l’EDPB sur le premier réexamen de la décision d’adéquation de la République de Corée porte principalement sur l’évaluation des modifications apportées au cadre juridique coréen en matière de protection des données, tant en ce qui concerne les aspects commerciaux que l’accès des autorités publiques coréennes aux données à caractère personnel et leur utilisation par celles-ci*.

«La reconnaissance mutuelle de normes équivalentes en matière de protection des données entre l’UE et la République de Corée en 2025 a constitué une étape majeure, confirmant le rapprochement croissant des deux cadres réglementaires.

Nous saluons les modifications apportées à la législation coréenne sur la protection des données, qui ont renforcé le niveau de protection des personnes et facilité le traitement des données par les responsables du traitement, tout en maintenant un niveau de protection essentiellement équivalent à celui garanti par le RGPD.»

Anu Talus, présidente du Comité européen de la protection des données

Par exemple, la loi sur la protection des informations à caractère personnel (PIPA) a été modifiée afin d’introduire un droit général de retirer son consentement, un droit de demander la suspension du traitement des données à caractère personnel, ainsi qu’un droit de s’opposer à une décision automatisée (y compris lorsqu’elle est prise au moyen de systèmes d’IA) ou de demander une explication lorsque la décision a une incidence significative sur les droits ou les obligations des personnes concernées.

En outre, en ce qui concerne les transferts ultérieurs, l’EDPB se félicite des modifications apportées à la PIPA concernant le régime juridique applicable aux transferts internationaux de données à caractère personnel. Ces modifications précisent que les transferts transfrontières d’informations à caractère personnel doivent s’appuyer sur des mécanismes de transfert spécifiques (articles 28-8 de la PIPA), offrant ainsi des solutions autres que le consentement.

Le Comité européen de la protection des données se félicite également du renforcement des pouvoirs d’enquête, d’exécution et de sanction de l’autorité coréenne de protection des données.

L’EDPB approuve la proposition de la Commission de consulter le Comité institué en vertu de l’article 93, paragraphe 1, du RGPD afin de procéder à un réexamen de la décision d’adéquation tous les quatre ans.

Version finale des recommandations relatives à l’adoption de règles d’entreprise contraignantes pour les sous-traitants

À la suite d’une consultation publique, le Comité européen de la protection des données a adopté la version finale des recommandations relatives à la demande d’approbation et aux éléments et principes figurant dans les règles d’entreprise contraignantes pour les sous-traitants. Les règles d’entreprise contraignantes pour les sous-traitants sont un mécanisme de transfert qui peut être utilisé par un groupe d’entreprises ou d’entreprises pour transférer des données à caractère personnel en dehors de l’Europe à des sous-traitants appartenant au même groupe. Les règles d’entreprise contraignantes créent des droits opposables et énoncent des engagements visant à garantir un niveau de protection des données essentiellement équivalent à celui prévu par le RGPD.

Les recommandations s’appliquent désormais à tous les titulaires de BCR-P. Tous les titulaires de BCR-P, ainsi que les nouveaux demandeurs et ceux dont la demande est en cours, devraient aligner leurs BCR-P sur les recommandations, soit au cours de la procédure de demande, soit dans le cadre de leur mise à jour annuelle de 2028, en fonction de leur situation particulière.

Conformément à l’objectif de la déclaration d’Helsinki visant à renforcer le dialogue avec les parties prenantes, le Comité a également publié un rapport présentant les résultats de la consultation publique ciblée, ainsi qu’une version des recommandations faisant apparaître les modifications.

Cadre d’application coordonnée: thème retenu pour 2027

Le Comité européen de la protection des données a choisi le thème de sa sixième action coordonnée en matière d’application de la législation, qui portera sur la prise de décision automatisée, notamment les systèmes de recrutement assistés par l’IA. Plus précisément, cette action coordonnée se concentrera sur l’application du droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, ainsi que du droit d’accès correspondant, dans le contexte de l’utilisation d’outils automatisés de sélection des candidats, y compris ceux reposant sur l’IA. Les autorités de protection des données participeront à cette action sur une base volontaire dans les semaines à venir, et l’action elle-même sera lancée au cours de l’année 2027.

Vous trouverez de plus amples informations sur le CEF, ainsi que les rapports relatifs aux actions précédentes du CEF, ici.

Note aux rédacteurs:

* Le 17 décembre 2021, la Commission européenne a adopté une décision d’adéquation reconnaissant que le cadre de protection des données de la République de Corée assure un niveau adéquat de protection des données. L’adoption d’une décision d’adéquation implique:

• une proposition de la Commission européenne;
• un avis du Comité européen de la protection des données;
• une approbation des représentants des pays de l’UE;
• l’adoption de la décision par la Commission européenne.

La Commission est tenue de réexaminer périodiquement les décisions d’adéquation et de communiquer ses conclusions au Parlement européen et au Conseil. Des examens réguliers garantissent le maintien du niveau essentiel d’équivalence.

Le premier réexamen du fonctionnement de la décision d’adéquation a eu lieu en 2025 et a notamment comporté une réunion de réexamen en ligne le 17 octobre 2025. La Commission a invité le Comité européen de la protection des données à participer à cette réunion, conformément au considérant 221 de la décision d’adéquation concernant la Corée.

Le 23 juillet 2026, la Commission européenne a publié le rapport au Parlement européen et au Conseil sur le premier réexamen du fonctionnement de la décision d’adéquation concernant la République de Corée, ainsi qu’un document de travail des services de la Commission [SWD(2026) 231 final]. La Commission a conclu que la République de Corée continuait d’assurer un niveau adéquat de protection des données à caractère personnel de l’Union européenne transférées à des entités situées en République de Corée et soumises à son cadre de protection des données modifié.

À la lumière des résultats de cet examen, l’EDPB approuve la proposition de la Commission européenne de passer à un cycle de réexamen de quatre ans pour cette décision d’adéquation.

Il s’agit d’une traduction automatique d’une consultation publique et elle peut contenir des erreurs. Elle ne remplace pas la version anglaise officielle.