个人数据可以在没有额外保障的情况下从欧盟转移到韩国

公司、公共机构和其他组织可以继续将个人数据从欧盟转移到韩国，而无需为每个操作引入额外的法律机制，前提是欧盟委员会确认韩国系统提供的保护与欧盟标准相当。2021年通过的决定的首次评估还确定了首尔当局需要加强保障的领域，特别是在数据被进一步转移到其他国家时。

简而言之，委员会维持了韩国为从欧盟转移的个人数据提供适当保护水平的结论。该决定允许在没有个人授权、标准合同条款或其他额外工具的情况下继续转移。评估显示，欧洲和韩国的规则在首尔立法修改后趋于接近，包括加强对被收集和使用数据的个人的权利。委员会建议在韩国组织将从欧盟收到的数据转移到其他国家时改善保护，并要求继续努力有效实施规则。韩国也承认欧洲数据保护框架，这使得在这两个系统覆盖的组织之间个人信息的双向流动成为可能。互相转移在商业关系、数字服务、研究和行政合作中被使用，双边经济伙伴关系的估值超过每年1500亿欧元。

适当性决定允许将个人数据发送到欧洲经济区以外的国家，条件接近于适用于欧盟内部转移的条件。欧洲组织不必为每次转移获得授权，也不必自动使用标准合同条款、强制性公司规则或个别豁免。

评估并不意味着韩国法律必须完全复制通用数据保护条例。委员会检查个人权利、组织义务、独立监督、对上诉的访问以及对公共当局施加的限制是否提供了与欧盟保证的保护相当的保障。

首次定期评估分析了2021年决定通过后的变化。委员会发现，韩国个人信息保护法的修改增强了相关个人的权利，并使这两个法律框架更加接近。

相关个人是指与转移的信息相关的人，例如客户、用户、员工或研究项目的参与者。他们的权利可能包括关于数据使用的通知、访问持有的关于他们的信息、纠正不准确的数据和对某些处理形式的异议。

委员会还提出了加强系统的建议。其中之一涉及后续转移，即当韩国组织从欧盟接收数据并随后将其发送给其他国家的接收者时。通过适当性决定确认的保护不应在这一连续传输中丧失。

评估还要求有效实施规则。法律中权利的存在必须伴随监督、调查和纠正措施，以便在组织未遵守有关数据收集、使用、保存或披露的义务时采取行动。

委员会没有暂停或限制2021年的决定。转移可以在相同条件下继续进行，建议不构成每个欧洲公司在向韩国发送数据之前必须满足的额外要求。

欧洲制度适用于根据韩国个人信息保护法和与决定相关的额外保障的法律覆盖的转移。发送数据的组织仍需遵守其他欧洲义务，包括存在处理的法律依据、通知个人和将数据使用限制在特定目的上。

与此同时，韩国也引入了对欧洲系统的自我认可。这使得从韩国向欧盟公共和私营部门的组织转移数据无需因数据目的而施加额外工具。

欧盟委员会负责技术主权、安全和民主的执行副主席亨娜·维尔库宁表示：“韩国是欧盟的重要和可信的数字合作伙伴。今天的报告是众多证据之一。我很高兴看到我们的数据保护系统比以往任何时候都更接近。相互适当性的决定对企业和欧洲及韩国公民都有好处。”

负责民主、司法、法治和消费者保护的欧盟专员迈克尔·麦克格拉斯表示：“可信的数据流是数字经济的生命线。强有力的数据保护和开放的国际贸易不是相互竞争的目标，而是相辅相成。当人们和企业可以信任他们的数据受到保护时，经济可以连接、创新和发展。”

委员会估计，相互制度涉及的数据流可以惠及超过5亿人的总人口。这个数字指的是这两个司法管辖区覆盖的人口，而不是实际转移数据的人的数量。

该安排支持欧盟与韩国之间的贸易关系，估计每年超过1500亿欧元。该数值描述的是双边贸易，而不是因数据保护决定而单独产生的经济利益。

委员会于2021年12月根据通用数据保护条例通过了关于韩国的决定。该决定涵盖了根据韩国个人信息保护法受监管的实体的转移，并附带了决定中包含的保障和承诺。

适当性决定定期进行评估，以检查合作伙伴国的法律和实践的演变是否维持了最初认可所依据的保护水平。委员会可以监控系统，要求信息，并在保护不再足够时暂停、修改或撤回决定。

韩国在2025年9月承认欧洲框架作为其领土上转移的等效。两个认可形成了一个相互的系统，覆盖公共和私营部门，并补充了双方之间的贸易和数字协议。

维持欧洲决定允许以当前形式继续转移。欧洲和韩国当局必须跟踪后续转移的建议的实施和有效遵守权利，以便在下一次评估之前进行检查。