Bruxelles, 11. studenoga – Europski odbor za zaštitu podataka na svojoj je posljednjoj plenarnoj sjednici donio izjavu o prvom preispitivanju funkcioniranja odluke o primjerenosti Republike Koreje i konačnu verziju preporuka o zahtjevu za odobrenje te o elementima i načelima koji se nalaze u obvezujućim korporativnim pravilima za izvršitelje obrade (BCR-P). Osim toga, Odbor je odabrao temu za svoje šesto koordinirano provedbeno djelovanje (CEF).

Izjava Europskog odbora za zaštitu podataka o prvom preispitivanju odluke o primjerenosti Republike Koreje uglavnom je usmjerena na procjenu izmjena korejskog pravnog okvira za zaštitu podataka, kako u pogledu komercijalnih aspekata tako i u pogledu pristupa korejskih javnih tijela osobnim podacima i njihove uporabe*.

„Uzajamno priznavanje jednakovrijednih standarda zaštite podataka između EU-a i Republike Koreje 2025. bio je važan korak kojim se potvrđuje sve veća usklađenost obaju regulatornih okvira.

Pozdravljamo izmjene u korejskom zakonodavstvu o zaštiti podataka kojima je povećana razina zaštite pojedinaca i olakšana obrada podataka od strane voditelja obrade, uz zadržavanje razine zaštite koja je u osnovi istovjetna onoj iz Opće uredbe o zaštiti podataka.”

Anu Talus, predsjednica Europskog odbora za zaštitu podataka

Na primjer, Zakon o zaštiti osobnih informacija (PIPA) izmijenjen je kako bi se uvelo novo opće pravo na povlačenje privole, pravo na traženje suspenzije obrade osobnih podataka i pravo na odbijanje automatizirane odluke (uključujući odluke donesene sustavima umjetne inteligencije) ili traženje objašnjenja ako odluka znatno utječe na prava ili obveze ispitanika.

Nadalje, kad je riječ o daljnjim prijenosima, EDPB pozdravlja izmjene PIPA-e u pogledu pravnog režima koji se primjenjuje na međunarodne prijenose osobnih podataka. Izmjenama se pojašnjava potreba da se prekogranični prijenosi osobnih informacija oslanjaju na posebne alate za prijenos (članak 28. stavak 8. PIPA-e), čime se nude alternativna rješenja za privolu.

Europski odbor za zaštitu podataka pozdravlja i jačanje provedbenih ovlasti i ovlasti za izricanje sankcija korejskog tijela za zaštitu podataka (PIPC).

Europski odbor za zaštitu podataka slaže se s prijedlogom Komisije da se svake četiri godine savjetuje s Odborom osnovanim na temelju članka 93. stavka 1. Opće uredbe o zaštiti podataka kako bi se preispitala odluka o primjerenosti.

Donesene preporuke za konačnu verziju BCR-P-a za izvršitelje obrade

Nakon javnog savjetovanja EDPB je donio konačnu verziju preporuka o zahtjevu za odobrenje te o elementima i načelima koji se nalaze u BCR-P-u. BCR-P je alat za prijenos kojim se grupa poduzeća može koristiti za prijenos osobnih podataka izvan Europe izvršiteljima obrade unutar iste grupe. Obvezujućim korporativnim pravilima stvaraju se ostvariva prava i utvrđuju obveze za uspostavu razine zaštite podataka koja je u osnovi istovjetna onoj iz Opće uredbe o zaštiti podataka.

Preporuke se sada primjenjuju na sve nositelje BCR-P-a. Svi nositelji BCR-P-a, kao i svi novi podnositelji zahtjeva za BCR-P te oni čiji su zahtjevi u tijeku, trebali bi uskladiti svoje BCR-P-ove s preporukama tijekom postupka podnošenja zahtjeva ili u okviru godišnjeg ažuriranja za 2028., ovisno o svojoj specifičnoj situaciji.

U skladu s ciljem iz Helsinške izjave da se ojača dijalog s dionicima, Odbor je objavio i izvješće o ishodu posebnog javnog savjetovanja, kao i verziju preporuka s evidentiranim izmjenama.

Koordinirani provedbeni okvir: tema odabrana za 2027.

Europski odbor za zaštitu podataka odabrao je temu za šestu koordiniranu provedbenu mjeru, koja će se odnositi na automatizirano donošenje odluka pri zapošljavanju, uključujući automatizirano donošenje odluka koje se temelji na umjetnoj inteligenciji. Konkretnije, koordinirano djelovanje bit će usmjereno na provedbu prava da se na pojedinca ne primjenjuju odluke koje se temelje isključivo na automatiziranoj obradi te s time povezanog prava na pristup, u kontekstu upotrebe automatiziranih alata za provjeru kandidata, uključujući one koji se temelje na umjetnoj inteligenciji. Tijela za zaštitu podataka pridružit će se toj aktivnosti na dobrovoljnoj osnovi u nadolazećim tjednima, a sama će se aktivnost pokrenuti tijekom 2027.

Više informacija o CEF-u, kao i izvješća o prethodnim mjerama CEF-a, možete pronaći ovdje.

Napomena urednicima:

* Europska komisija donijela je 17. prosinca 2021. odluku o primjerenosti kojom se priznaje da okvir za zaštitu podataka Republike Koreje nudi odgovarajuću razinu zaštite podataka. Donošenje odluke o primjerenosti uključuje:

• prijedlog Europske komisije;
• mišljenje Europskog odbora za zaštitu podataka;
• odobrenje predstavnika država članica EU-a;
• donošenje odluke Europske komisije.

Komisija je dužna periodično preispitivati odluke o primjerenosti i o svojim nalazima izvješćivati Europski parlament i Vijeće. Redovitim preispitivanjima osigurava se očuvanje osnovnog standarda jednakovrijednosti.

Postupak prvog preispitivanja funkcioniranja odluke o primjerenosti proveden je 2025., a posebno se sastojao od sastanka za preispitivanje na internetu 17. listopada 2025. Komisija je pozvala Europski odbor za zaštitu podataka da sudjeluje na sastanku za preispitivanje u skladu s uvodnom izjavom 221. korejske odluke o primjerenosti.

Europska komisija objavila je 23. srpnja 2026. Izvješće Europskom parlamentu i Vijeću o prvom preispitivanju funkcioniranja odluke o primjerenosti za Republiku Koreju, zajedno s radnim dokumentom službi Komisije (SWD(2026) 231 final). Komisija je zaključila da Republika Koreja i dalje osigurava odgovarajuću razinu zaštite osobnih podataka iz Europske unije subjektima u Republici Koreji koji podliježu njezinu izmijenjenom okviru za zaštitu podataka.

S obzirom na ishod preispitivanja, Europski odbor za zaštitu podataka slaže se s prijedlogom Europske komisije da se prijeđe na četverogodišnji ciklus preispitivanja te odluke o primjerenosti.

Riječ je o automatskom prijevodu javnog savjetovanja koji može sadržavati pogreške. Ne zamjenjuje službenu verziju na engleskom jeziku.