Decisión de Ejecución (UE) 2022/254 de la Comisión, de 17 de diciembre de 2021, con arreglo al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, relativa a la adecuación de la protección de los datos personales por parte de la República de Corea en virtud de la Ley sobre la protección de la información personal [notificada con el número C(2021) 9316] (Texto pertinente a efectos del EEE)

1 A efectos de la aplicación del artículo 45 del Reglamento (UE) 2016/679, la República de Corea garantiza un nivel adecuado de protección de los datos personales transferidos desde la Unión Europea a entidades en la República de Corea con sujeción a la Ley sobre la protección de la información personal, complementada por las salvaguardias adicionales que figuran en el anexo I, junto con las declaraciones, garantías y compromisos oficiales recogidos en el anexo II.

2 La presente Decisión no concierne a los datos personales transferidos a los destinatarios que entren dentro de una de las categorías siguientes, en la medida en que la finalidad del tratamiento de los datos personales corresponda, en todo o en parte, a una de las finalidades enumeradas, a saber: a) las organizaciones religiosas en la medida en que traten datos personales para sus actividades misioneras; b) los partidos políticos en la medida en que traten datos personales en el contexto del nombramiento de candidatos; c) las entidades que estén sujetas a la supervisión de la Comisión de Servicios Financieros para el tratamiento de información crediticia personal de conformidad con la Ley de información crediticia, en la medida en que traten dicha información.

Cuando las autoridades competentes de los Estados miembros, a fin de proteger a los particulares en lo que respecta al tratamiento de sus datos personales, ejerzan sus poderes en virtud del artículo 58 del Reglamento (UE) 2016/679 en relación con las transferencias de datos que pertenecen al ámbito de aplicación establecido en el artículo 1 de la presente Decisión, el Estado miembro en cuestión informará sin demora a la Comisión.

1 La Comisión realizará un seguimiento continuo de la aplicación del marco jurídico en el que se basa la presente Decisión, incluidas las condiciones en que se realizan las transferencias ulteriores, se ejercen los derechos individuales y las autoridades públicas coreanas tienen acceso a los datos transferidos sobre la base de la presente Decisión, a fin de evaluar si la República de Corea sigue garantizando un nivel adecuado de protección a tenor del artículo 1.

2 Los Estados miembros y la Comisión se informarán recíprocamente de los casos en que la Comisión de Protección de la Información Personal, o cualquier otra autoridad coreana competente, no garantice el cumplimiento del marco jurídico en el que se sustenta la presente Decisión.

3 Los Estados miembros y la Comisión se informarán recíprocamente de cualquier indicio de que las injerencias de las autoridades públicas coreanas en el derecho de las personas a la protección de sus datos personales van más allá de lo estrictamente necesario, o de que no existe una tutela judicial efectiva frente a tales injerencias.

4 Tres años después de la fecha de notificación de la presente Decisión a los Estados miembros y posteriormente al menos cada cuatro años, la Comisión evaluará la constatación mencionada en el artículo 1, apartado 1, sobre la base de toda la información disponible, incluida la información recibida como parte de la revisión realizada junto con las autoridades coreanas pertinentes.

5 En caso de que la Comisión tenga indicios de que ya no está garantizado un nivel adecuado de protección, la Comisión informará de ello a las autoridades coreanas competentes. Si es necesario, podrá decidir suspender, modificar o derogar la presente Decisión, o limitar su ámbito de aplicación, de conformidad con el artículo 45, apartado 5, del Reglamento (UE) 2016/679, en particular si existen indicios de que: a) los responsables del tratamiento en Corea que hayan recibido datos personales de la Unión Europea en virtud de la presente Decisión no cumplen las salvaguardias adicionales que figuran en el anexo I, o de que son insuficientes la supervisión y el control de la aplicación de la legislación en este sentido; b) las autoridades públicas coreanas no cumplen las declaraciones, garantías y compromisos recogidos en el anexo II, en particular en lo que respecta a las condiciones y limitaciones para la recogida y el acceso a los datos personales transferidos en virtud de la presente Decisión por las autoridades públicas coreanas a efectos de control de la aplicación del Derecho penal o de seguridad nacional. La Comisión podrá asimismo adoptar tales medidas cuando la falta de cooperación del Gobierno coreano le impida determinar si la República de Corea sigue garantizando un nivel adecuado de protección.

Los destinatarios de la presente Decisión son los Estados miembros.