Décision d’exécution (UE) 2022/254 de la Commission du 17 décembre 2021 constatant, conformément au règlement (UE) 2016/679 du Parlement européen et du Conseil, le niveau de protection adéquat des données à caractère personnel assuré par la République de Corée en vertu de la loi sur la protection des informations à caractère personnel (notified under document C(2021) 9316) (Texte présentant de l'intérêt pour l'EEE)

1 Aux fins de l’article 45 du règlement (UE) 2016/679, la République de Corée assure un niveau de protection adéquat des données à caractère personnel transférées de l’Union européenne à des entités situées en République de Corée et soumises à la loi sur la protection des informations à caractère personnel, telle que complétée par les garanties supplémentaires figurant à l’annexe I, ainsi que par les déclarations, les assurances et les engagements officiels contenus dans l’annexe II.

2 La présente décision ne concerne pas les données à caractère personnel transférées à des destinataires relevant de l’une des catégories suivantes, dans la mesure où la finalité du traitement des données à caractère personnel correspond en tout ou en partie à l’une des finalités énumérées, à savoir: a) les organisations religieuses dans la mesure où elles traitent des données à caractère personnel aux fins de leurs activités missionnaires; b) les partis politiques dans la mesure où ils traitent des données à caractère personnel dans le cadre de la nomination de candidats; c) les entités qui sont soumises à la surveillance de la Commission des services financiers en ce qui concerne le traitement des informations à caractère personnel en matière de crédit conformément à la loi sur les informations en matière de crédit, dans la mesure où elles traitent de telles informations.

Lorsque, afin de protéger les personnes à l’égard du traitement de leurs données à caractère personnel, les autorités compétentes des États membres exercent les pouvoirs que leur confère l’article 58 du règlement (UE) 2016/679 concernant les transferts de données relevant du champ d’application défini à l’article 1er de la présente décision, l’État membre concerné en informe la Commission sans délai.

1 La Commission suit de manière permanente l’application du cadre juridique sur lequel se fonde la présente décision, notamment les conditions dans lesquelles les transferts ultérieurs sont effectués, les droits individuels sont exercés et les autorités publiques coréennes ont accès aux données transférées sur la base de la présente décision, dans le but de déterminer si la République de Corée continue d’assurer un niveau de protection adéquat au sens de l’article 1er.

2 Les États membres et la Commission s’informent mutuellement des cas dans lesquels la Commission de protection des informations à caractère personnel, ou toute autre autorité coréenne compétente, échoue à faire respecter le cadre juridique sur lequel se fonde la présente décision.

3 Les États membres et la Commission s’informent mutuellement de tout élément indiquant que les atteintes au droit des personnes à la protection de leurs données à caractère personnel commises par des autorités publiques coréennes vont au-delà de ce qui est strictement nécessaire ou qu’il n’existe pas de protection juridique effective contre les atteintes de cette nature.

4 Dans un délai de trois ans à compter de la date de notification de la présente décision aux États membres, et ensuite au moins une fois tous les quatre ans, la Commission évalue le constat établi à l’article 1er, paragraphe 1, sur la base de toutes les informations disponibles, notamment les informations reçues dans le cadre de l’examen conjoint réalisé avec les autorités coréennes concernées.

5 Lorsqu’elle est en possession d’éléments indiquant qu’un niveau de protection adéquat n’est plus assuré, la Commission en informe les autorités coréennes compétentes. Si nécessaire, elle peut décider de suspendre, de modifier ou d’abroger la présente décision, ou d’en restreindre le champ d’application, conformément à l’article 45, paragraphe 5, du règlement (UE) 2016/679, notamment en présence d’éléments indiquant: a) que les responsables du traitement en Corée ayant reçu des données à caractère personnel en provenance de l’Union européenne sur la base de la présente décision ne respectent pas les garanties supplémentaires figurant à l’annexe I, ou que la surveillance et le contrôle du respect des règles sont insuffisants à cet égard; b) que les autorités publiques coréennes ne respectent pas les déclarations, les assurances et les engagements contenus dans l’annexe II, notamment en ce qui concerne les conditions et les limitations relatives à la collecte de données à caractère personnel transférées sur la base de la présente décision par les autorités publiques coréennes et l’accès de celles-ci à ces données, à des fins répressives ou à des fins de sécurité nationale. La Commission peut également adopter de telles mesures si le défaut de coopération de la part des autorités coréennes l’empêche de déterminer si la République de Corée continue d’assurer un niveau de protection adéquat.

Les États membres sont destinataires de la présente décision.