Datele personale pot continua să circule din UE către Coreea de Sud fără garanții suplimentare

Companiile, instituțiile publice și alte organizații pot continua să transfere date personale din Uniunea Europeană către Coreea de Sud fără să introducă mecanisme juridice suplimentare pentru fiecare operațiune, după ce Comisia Europeană a confirmat că protecția oferită de sistemul sud-coreean rămâne comparabilă cu standardele UE. Prima evaluare a deciziei adoptate în 2021 a identificat și domenii în care autoritățile de la Seul trebuie să consolideze garanțiile, în special atunci când datele sunt trimise mai departe către alte țări.

Pe scurt Comisia a menținut concluzia potrivit căreia Coreea de Sud oferă un nivel adecvat de protecție pentru datele personale transferate din UE. Decizia permite continuarea transferurilor fără autorizații individuale, clauze contractuale standard sau alte instrumente suplimentare. Evaluarea arată că regulile europene și sud-coreene s-au apropiat după modificarea legislației de la Seul, inclusiv prin consolidarea drepturilor persoanelor ale căror date sunt colectate și utilizate. Comisia recomandă îmbunătățirea protecției atunci când organizațiile din Coreea de Sud trimit datele primite din UE către o altă țară și cere continuarea eforturilor pentru aplicarea efectivă a regulilor. Coreea de Sud recunoaște la rândul său cadrul european de protecție a datelor, ceea ce permite circulația informațiilor personale în ambele direcții pentru organizațiile acoperite de cele două sisteme. Transferurile reciproce sunt folosite în relații comerciale, servicii digitale, cercetare și cooperare administrativă, într-un parteneriat economic bilateral evaluat la peste 150 de miliarde de euro pe an.

O decizie de adecvare permite trimiterea datelor personale către o țară din afara Spațiului Economic European în condiții apropiate de cele aplicabile transferurilor din interiorul Uniunii. Organizațiile europene nu trebuie să obțină o autorizație pentru fiecare transfer și nici să folosească automat clauze contractuale standard, reguli corporatiste obligatorii sau derogări individuale.

Evaluarea nu înseamnă că legislația sud-coreeană trebuie să reproducă identic Regulamentul general privind protecția datelor. Comisia verifică dacă drepturile persoanelor, obligațiile organizațiilor, supravegherea independentă, accesul la căi de atac și limitările impuse autorităților publice oferă împreună o protecție comparabilă cu cea garantată în UE.

Prima evaluare periodică a analizat schimbările produse după adoptarea deciziei din 2021. Comisia a constatat că modificările aduse legii sud-coreene privind protecția informațiilor personale au întărit drepturile persoanelor vizate și au apropiat cele două cadre juridice.

Persoanele vizate sunt cele la care se referă informațiile transferate, precum clienții, utilizatorii, angajații sau participanții la proiecte de cercetare. Drepturile lor pot include informarea privind folosirea datelor, accesul la informațiile deținute despre ele, corectarea datelor inexacte și contestarea unor forme de prelucrare.

Comisia a formulat și recomandări pentru consolidarea sistemului. Una dintre acestea privește transferurile ulterioare, care apar atunci când o organizație din Coreea de Sud primește date din UE și le trimite apoi unui destinatar dintr-o altă țară. Protecția recunoscută prin decizia de adecvare nu trebuie pierdută prin această transmitere succesivă.

Evaluarea solicită și menținerea unei aplicări eficace a regulilor. Existența drepturilor în legislație trebuie însoțită de supraveghere, investigații și măsuri corective atunci când organizațiile nu respectă obligațiile privind colectarea, utilizarea, păstrarea sau divulgarea datelor.

Comisia nu a suspendat și nu a restrâns decizia din 2021. Transferurile pot continua în aceleași condiții, iar recomandările nu reprezintă cerințe suplimentare pe care fiecare companie europeană trebuie să le îndeplinească înainte de a trimite date către Coreea de Sud.

Regimul european se aplică transferurilor către entitățile sud-coreene acoperite de legea națională privind protecția informațiilor personale și de garanțiile suplimentare asociate deciziei. Organizațiile care trimit date trebuie în continuare să respecte celelalte obligații europene, inclusiv existența unui temei pentru prelucrare, informarea persoanelor și limitarea utilizării datelor la scopuri determinate.

Coreea de Sud a introdus între timp propria recunoaștere a sistemului european. Aceasta permite transferurile din Coreea către organizații din sectoarele public și privat ale UE fără instrumente suplimentare impuse exclusiv din cauza destinației datelor.

Vicepreședinta executivă a Comisiei Europene pentru suveranitate tehnologică, securitate și democrație, Henna Virkkunen, a declarat: „Coreea este un partener digital important și de încredere pentru UE. Raportul de astăzi este una dintre numeroasele dovezi în acest sens. Mă bucur să constat că sistemele noastre de protecție a datelor sunt mai apropiate ca niciodată. Decizia reciprocă de adecvare aduce beneficii atât companiilor, cât și cetățenilor din Europa și Republica Coreea.”

Comisarul european pentru democrație, justiție, statul de drept și protecția consumatorilor, Michael McGrath, a declarat: „Fluxurile de date de încredere sunt elementul vital al economiei digitale. Protecția solidă a datelor și comerțul internațional deschis nu sunt obiective concurente, ci se consolidează reciproc. Atunci când oamenii și companiile pot avea încredere că datele lor sunt protejate, economiile se pot conecta, inova și dezvolta.”

Comisia estimează că regimul reciproc privește fluxuri de date care pot aduce beneficii unei populații cumulate de peste 500 de milioane de persoane. Cifra se referă la populația acoperită de cele două jurisdicții și nu la numărul persoanelor ale căror date sunt transferate efectiv.

Aranjamentul susține și relația comercială dintre UE și Coreea de Sud, evaluată la peste 150 de miliarde de euro pe an. Valoarea descrie schimburile comerciale bilaterale, nu beneficiul economic produs separat de decizia privind protecția datelor.

Comisia a adoptat decizia privind Coreea de Sud în decembrie 2021, în temeiul Regulamentului general privind protecția datelor. Aceasta acoperă transferurile către entitățile supuse legii sud-coreene privind protecția informațiilor personale, completată de garanțiile și angajamentele incluse în decizie.

Deciziile de adecvare sunt evaluate periodic pentru a verifica dacă evoluțiile juridice și practicile din țara parteneră mențin nivelul de protecție pe care s-a bazat recunoașterea inițială. Comisia poate monitoriza sistemul, solicita informații și, dacă protecția nu mai este suficientă, suspenda, modifica sau retrage decizia.

Coreea de Sud a recunoscut în septembrie 2025 cadrul european drept echivalent pentru transferurile provenite de pe teritoriul său. Cele două recunoașteri formează un sistem reciproc care acoperă sectoarele public și privat și completează acordurile comerciale și digitale dintre cele două părți.

Menținerea deciziei europene permite continuarea transferurilor în forma actuală. Autoritățile europene și sud-coreene trebuie să urmărească aplicarea recomandărilor privind transferurile ulterioare și respectarea efectivă a drepturilor înaintea următoarei evaluări.