Decizia de punere în aplicare (UE) 2022/254 a Comisiei din 17 decembrie 2021 de constatare, în temeiul Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului, a nivelului adecvat de protecție a datelor cu caracter personal asigurat de Republica Coreea în baza Legii privind protecția informațiilor cu caracter personal [notificată cu numărul C(2021) 9316] (Text cu relevanță pentru SEE)

având în vedere Tratatul privind funcționarea Uniunii Europene,

având în vedere Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor), în special articolul 45 alineatul (3),

În sensul articolului 45 din Regulamentul (UE) 2016/679, Republica Coreea asigură un nivel adecvat de protecție a datelor cu caracter personal transferate din Uniunea Europeană către entități din Republica Coreea care fac obiectul Legii privind protecția informațiilor cu caracter personal, astfel cum a fost completată prin garanțiile suplimentare din anexa I, precum și prin expunerile, asigurările și angajamentele oficiale cuprinse în anexa II.

Prezenta decizie nu se referă la datele cu caracter personal transferate unor destinatari care se încadrează într-una dintre următoarele categorii, în măsura în care scopurile prelucrării datelor cu caracter personal corespund, în întregime sau în parte, unuia dintre scopurile enumerate, respectiv:

organizații religioase, în măsura în care prelucrează date cu caracter personal pentru activitățile lor misionare;

partide politice, în măsura în care prelucrează date cu caracter personal în contextul numirii candidaților;

entități care fac obiectul supravegherii de către Comisia pentru servicii financiare în ceea ce privește prelucrarea informațiilor cu caracter personal privind creditele în temeiul Legii privind informațiile referitoare la credite, în măsura în care prelucrează astfel de informații.

Ori de câte ori autoritățile competente din statele membre, pentru a proteja persoanele fizice în ceea ce privește prelucrarea datelor cu caracter personal, își exercită competențele în temeiul articolului 58 din Regulamentul (UE) 2016/679 în ceea ce privește transferurile de date care intră în domeniul de aplicare prevăzut la articolul 1 din prezenta decizie, statul membru în cauză informează fără întârziere Comisia.

Comisia monitorizează în permanență aplicarea cadrului juridic pe care se bazează prezenta decizie, inclusiv condițiile în care se efectuează transferurile ulterioare, în care se exercită drepturile individuale și în care autoritățile publice coreene au acces la datele transferate în temeiul prezentei decizii, pentru a evalua dacă Republica Coreea continuă să asigure un nivel adecvat de protecție în sensul articolului 1.

Statele membre și Comisia se informează reciproc cu privire la cazurile în care Comisia pentru protecția informațiilor cu caracter personal sau orice altă autoritate coreeană competentă nu asigură respectarea cadrului juridic pe care se bazează prezenta decizie.

Statele membre și Comisia se informează reciproc atât cu privire la orice indiciu potrivit căruia atingerile aduse de autoritățile publice coreene dreptului persoanelor fizice la protecția datelor cu caracter personal depășesc ceea ce este strict necesar, cât și cu privire la faptul că nu există o protecție juridică eficace împotriva unor astfel de atingeri.

În termen de trei ani de la data notificării prezentei decizii către statele membre și ulterior cel puțin o dată la patru ani, Comisia evaluează constatarea menționată la articolul 1 alineatul (1) pe baza tuturor informațiilor disponibile, inclusiv a informațiilor primite în cadrul revizuirii realizate împreună cu autoritățile coreene relevante.

În cazul în care Comisia dispune de indicii potrivit cărora nu mai este asigurat un nivel adecvat de protecție, aceasta informează autoritățile competente din Coreea. Dacă este necesar, Comisia poate decide să suspende, să modifice sau să abroge prezenta decizie ori poate limita domeniul de aplicare al acesteia, în conformitate cu articolul 45 alineatul (5) din Regulamentul (UE) 2016/679, în special în cazul în care există indicii potrivit cărora:

operatorii din Coreea care au primit date cu caracter personal din Uniunea Europeană în temeiul prezentei decizii nu respectă garanțiile suplimentare prevăzute în anexa I sau supravegherea și asigurarea respectării legislației în această privință sunt insuficiente;

autoritățile publice coreene nu respectă expunerile, asigurările și angajamentele cuprinse în anexa II, inclusiv în ceea ce privește condițiile și limitările privind colectarea datelor cu caracter personal transferate în temeiul prezentei decizii și accesul autorităților publice coreene la aceste date în scopuri de asigurare a respectării dreptului penal sau de securitate națională.

Prezenta decizie se adresează statelor membre.

Adoptată la Bruxelles, 17 decembrie 2021.Pentru ComisieDidier REYNDERSMembru al Comisiei

ANEXA I

NORME SUPLIMENTARE PENTRU INTERPRETAREA ȘI APLICAREA LEGII PRIVIND PROTECȚIA INFORMAȚIILOR CU CARACTER PERSONAL REFERITOARE LA PRELUCRAREA DATELOR CU CARACTER PERSONAL TRANSFERATE CĂTRE COREEA

Cuprins

Prezentare generală

Coreea și Uniunea Europeană (denumită în continuare UE) s-au angajat în discuții privind caracterul adecvat al nivelului de protecție, în urma cărora Comisia Europeană a stabilit că Coreea garantează un nivel adecvat de protecție a datelor cu caracter personal în conformitate cu articolul 45 din RGPD.

Articolul 14 din Legea privind protecția informațiilor cu caracter personal prevede autoritatea guvernului coreean de a institui politici de îmbunătățire a nivelului de protecție a informațiilor cu caracter personal în mediul internațional și de prevenire a încălcării drepturilor persoanelor vizate ca urmare a transferului transfrontalier de informații cu caracter personal.

Întrucât această notificare are statutul de normă administrativă pe care agenția administrativă competentă o stabilește și o anunță pentru a clarifica standardele de interpretare, aplicare și executare a Legii privind protecția informațiilor cu caracter personal în sistemul juridic din Coreea, ea are forță juridică obligatorie pentru operatorul de informații cu caracter personal, în sensul că orice încălcare a notificării poate fi considerată o încălcare a dispozițiilor relevante ale PIPA. În plus, în cazul în care drepturile și interesele personale sunt încălcate ca urmare a nerespectării notificării, persoanele relevante au dreptul de a obține reparații de la Comisia pentru protecția informațiilor cu caracter personal sau în instanță.

În consecință, în cazul în care operatorul de informații cu caracter personal, care prelucrează informațiile cu caracter personal transferate către Coreea în conformitate cu decizia UE privind caracterul adecvat al nivelului de protecție, nu ia măsuri conforme cu această notificare, se va aprecia că există motive temeinice pentru a considera că a avut loc o încălcare în ceea ce privește informațiile cu caracter personal, iar neluarea de măsuri poate cauza prejudicii dificil de remediat, în temeiul articolului 64 alineatele (1) și (2) din lege. În astfel de cazuri, Comisia pentru protecția informațiilor cu caracter personal sau agențiile administrative centrale asociate pot dispune ca operatorul relevant de informații cu caracter personal să ia măsuri de remediere etc. în conformitate cu autoritatea conferită de această dispoziție și, în funcție de anumite încălcări ale legii, pot fi impuse, de asemenea, sancțiuni corespunzătoare (sancțiuni, amenzi administrative etc.).

Definițiile termenilor

Definițiile termenilor utilizați în documentul de față sunt următoarele:

Lege: Legea privind protecția informațiilor cu caracter personal (Legea nr. 16930, modificată la 4 februarie 2020 și pusă în aplicare la 5 august 2020).

Decret prezidențial: Decretul de punere în aplicare a Legii privind protecția informațiilor cu caracter personal (Decretul prezidențial nr. 30509, 3 martie 2020, de modificare a altor legi).

Persoană vizată: o persoană care poate fi identificată din informațiile prelucrate astfel încât să devină obiectul informațiilor respective.

Operator de informații cu caracter personal: o instituție publică, persoană juridică, organizație, persoană fizică etc. care prelucrează informații cu caracter personal în mod direct sau indirect, ca parte a activităților sale;

Până la încheierea perioadei de tranziție, aceasta include și Regatul Unit, astfel cum se prevede la articolele 126, 127 și 132 din Acordul privind retragerea Regatului Unit al Marii Britanii și Irlandei de Nord din Uniunea Europeană și din Comunitatea Europeană a Energiei Atomice (2019/C 384 I/01).

RGPD: legislația generală a UE privind protecția informațiilor cu caracter personal, Regulamentul general privind protecția datelor [Regulamentul (UE) 2016/679].

Decizie privind caracterul adecvat al nivelului de protecție: în conformitate cu articolul 45 alineatul (3) din RGPD, Comisia Europeană a decis că o țară terță, un teritoriu al unei țări terțe, unul sau mai multe sectoare sau o organizație internațională asigură un nivel adecvat de protecție a informațiilor cu caracter personal.

Norme suplimentare

Limitarea utilizării în afara scopului și furnizarea de informații cu caracter personal (articolele 3, 15 și 18 din lege)

<Legea privind protecția informațiilor cu caracter personal

(Legea nr. 16930, modificată parțial la 4 februarie 2020)>

Articolul 3 (Principii privind protecția informațiilor cu caracter personal) (1) Operatorul de informații cu caracter personal specifică în mod explicit scopurile în care sunt prelucrate informațiile cu caracter personal și colectează informații cu caracter personal în mod legal și echitabil, în măsura minimă necesară în acest scop.

(2) Operatorul de informații cu caracter personal prelucrează informațiile cu caracter personal într-un mod adecvat, necesar scopurilor în care sunt prelucrate informațiile cu caracter personal și nu le utilizează în afara acestor scopuri.

Articolul 15 (Colectarea și utilizarea informațiilor cu caracter personal) (1) Un operator de informații cu caracter personal poate colecta informații cu caracter personal în oricare dintre următoarele situații și le poate utiliza în scopul colectării:

în cazul în care se obține consimțământul persoanei vizate;

în cazul în care există dispoziții speciale în legislație sau este inevitabil pentru respectarea obligațiilor legale;

în cazul în care este inevitabil pentru îndeplinirea de către o instituție publică a atribuțiilor care intră în domeniul său de competență, astfel cum prevede legea etc.;

în cazul în care este inevitabil necesar pentru executarea și îndeplinirea unui contract cu o persoană vizată;

în cazul în care se consideră că este în mod evident necesar pentru protejarea vieții, a integrității fizice sau a intereselor patrimoniale ale persoanei vizate sau ale unui terț împotriva unui pericol iminent, atunci când persoana vizată sau reprezentantul său legal nu este în măsură să își exprime intenția sau nu se poate obține consimțământul prealabil din cauza unor adrese necunoscute etc.;

în cazul în care este necesar în interesul justificabil al unui operator de informații cu caracter personal, care este în mod evident superior drepturilor persoanei vizate. În astfel de cazuri, prelucrarea este permisă numai în măsura în care este legată în mod substanțial de interesul justificabil al operatorului de informații cu caracter personal și nu depășește un domeniu de aplicare rezonabil.

Articolul 18 (Limitarea utilizării în afara scopului și furnizarea informațiilor cu caracter personal) (1) Un operator de informații cu caracter personal nu va utiliza informațiile cu caracter personal în afara domeniului de aplicare prevăzut la articolul 15 alineatul (1) și la articolul 39-3 alineatele (1) și (2) și nu le va furniza niciunui terț în afara domeniului de aplicare prevăzut la articolul 17 alineatele (1) și (3).

(2) Fără a aduce atingere alineatului (1), în cazul în care se aplică oricare dintre următoarele paragrafe, un operator de informații cu caracter personal poate utiliza informațiile cu caracter personal sau le poate furniza unui terț în alte scopuri, cu excepția cazului în care acest lucru este de natură să încalce în mod abuziv interesele unei persoane vizate sau ale unui terț: furnizorii respectivi de servicii de informații și comunicații [astfel cum se prevede la articolul 2 alineatul (1) punctul 3 din Legea privind promovarea utilizării rețelelor de informații și comunicații și protecția informațiilor etc.; în continuare se aplică aceleași dispoziții] care prelucrează informații cu caracter personal ale utilizatorilor [astfel cum se prevede la articolul 2 alineatul (1) punctul 4 din Legea privind promovarea utilizării rețelelor de informații și comunicații și protecția informațiilor etc.; în continuare se aplică aceleași dispoziții] fac doar obiectul dispozițiilor de la paragrafele 1 și 2, iar paragrafele 5-9 se aplică numai instituțiilor publice:

în cazul în care se obține un consimțământ suplimentar din partea persoanei vizate;

în cazul în care există alte dispoziții speciale în legislație;

în cazul în care se consideră că este în mod evident necesar pentru protecția vieții, a integrității fizice sau a intereselor patrimoniale ale persoanei vizate sau ale unui terț împotriva unui pericol iminent, în cazul în care persoana vizată sau reprezentantul său legal nu este în măsură să își exprime intenția sau nu se poate obține consimțământul prealabil din cauza unor adrese necunoscute;

șters;<prin Legea nr. 16930, 4 februarie 2020>

în cazul în care este imposibil să îndeplinească atribuțiile care intră în domeniul său de competență, astfel cum prevede orice lege, cu excepția cazului în care operatorul de informații cu caracter personal utilizează informațiile cu caracter personal în alt scop decât cel preconizat sau le furnizează unui terț și face obiectul deliberării și rezoluției Comisiei;

în cazul în care este necesar să se furnizeze informații cu caracter personal unui guvern sau unei organizații internaționale străine în vederea executării unui tratat sau a unei alte convenții internaționale;

în cazul în care este necesar pentru investigarea unei infracțiuni, punerea sub acuzare și urmărirea penală;

în cazul în care este necesar pentru ca o instanță să își exercite atribuțiile în materie de proceduri judiciare;

în cazul în care este necesar pentru executarea pedepsei, eliberarea condiționată și reținere.

[alineatele (3)-(4) au fost omise]

(5) În cazul în care un operator de informații cu caracter personal furnizează informații cu caracter personal unui terț în alt scop decât cel prevăzut la alineatul (2), operatorul de informații cu caracter personal solicită destinatarului informațiilor cu caracter personal să limiteze scopul și metoda de utilizare și alte aspecte necesare sau să pregătească garanțiile necesare pentru a asigura siguranța informațiilor cu caracter personal. În astfel de cazuri, persoana care primește o astfel de solicitare ia măsurile necesare pentru a asigura siguranța informațiilor cu caracter personal.

Întrucât aceste dispoziții stabilesc principii generale care se aplică oricărei prelucrări de informații cu caracter personal, inclusiv în cazul în care o astfel de prelucrare este reglementată în mod specific de alte legi, clarificările din această secțiune se aplică și în cazul în care datele cu caracter personal sunt prelucrate în temeiul altor legi [a se vedea, de exemplu, articolul 15 alineatul (1) din Legea privind informațiile referitoare la credite, care se referă în mod specific la aceste dispoziții].

În conformitate cu acest principiu, articolul 15 alineatul (1) din lege prevede că, atunci când un operator de informații cu caracter personal colectează informații cu caracter personal, acestea pot fi utilizate în scopul colectării, iar articolul 18 alineatul (1) prevede că informațiile cu caracter personal nu ar trebui utilizate în afara scopului colectării sau furnizate unui terț.

Furnizorii de servicii din domeniul informațiilor și comunicațiilor fac doar obiectul articolului 18 alineatul (2) paragrafele 1 și 2. Paragrafele 5-9 se aplică numai instituțiilor publice.

Dispozițiile de mai sus se aplică în mod egal prelucrării tuturor informațiilor cu caracter personal primite de la o țară terță în zona jurisdicției legale a Coreei, indiferent de cetățenia persoanei vizate.

De exemplu, în cazul în care un operator de informații cu caracter personal din UE transferă informații cu caracter personal unui operator coreean de informații cu caracter personal în conformitate cu decizia Comisiei Europene privind caracterul adecvat al nivelului de protecție, scopul operatorului de informații cu caracter personal din UE de a transfera informațiile cu caracter personal este considerat a fi scopul operatorului coreean de informații cu caracter personal de a colecta informațiile cu caracter personal și, în astfel de cazuri, operatorul coreean de informații cu caracter personal poate utiliza aceste informații sau le poate furniza unui terț numai în scopul colectării, cu excepția cazurilor excepționale descrise la articolul 18 alineatul (2) din lege.

Limitarea transferului ulterior de date cu caracter personal [articolul 17 alineatele (3) și (4), articolul 18 din lege]

<Legea privind protecția informațiilor cu caracter personal

(Legea nr. 16930, modificată parțial la 4 februarie 2020)>

Articolul 17 (Furnizarea de informații cu caracter personal) (1) Text omis

(2) Un operator de informații cu caracter personal informează o persoană vizată cu privire la următoarele aspecte atunci când obține consimțământul prevăzut la alineatul (1) punctul 1. Aceleași dispoziții se aplică și în cazul în care se modifică oricare dintre următoarele:

destinatarul informațiilor cu caracter personal;

scopul în care destinatarul informațiilor cu caracter personal utilizează aceste informații;

detalii privind informațiile cu caracter personal care trebuie furnizate;

perioada în care destinatarul păstrează și utilizează informațiile cu caracter personal;

faptul că persoana vizată are dreptul de a refuza consimțământul și dezavantajele, dacă este cazul, care rezultă din refuzul consimțământului.

(3) Un operator de informații cu caracter personal informează o persoană vizată cu privire la aspectele prevăzute la alineatul (2) și obține consimțământul persoanei vizate pentru a furniza informațiile cu caracter personal unui terț în străinătate; și nu încheie un contract pentru transferul transfrontalier de informații cu caracter personal prin încălcarea legii.

(4) Un operator de informații cu caracter personal poate furniza informații cu caracter personal fără consimțământul unei persoane vizate în limitele domeniului de aplicare legate în mod rezonabil de scopurile în care au fost colectate inițial informațiile cu caracter personal, în conformitate cu aspectele prevăzute în decretul prezidențial, luând în considerare dacă se creează dezavantaje pentru persoana vizată, dacă au fost luate măsurile necesare pentru a asigura siguranța, cum ar fi criptarea etc.

※ Consultați paginile 3, 4 și 5 pentru articolul 18.

<Decretul de punere în aplicare a Legii privind protecția informațiilor cu caracter personal

([Data punerii în aplicare: 5 februarie 2021] [Decretul prezidențial nr. 30892, 4 august 2020, de modificare a altor legi])>

Articolul 14-2 (Standarde privind utilizarea/furnizarea suplimentară de informații cu caracter personal etc.)

(1) În cazul în care un operator de informații cu caracter personal utilizează sau furnizează informații cu caracter personal (acțiune denumită în continuare utilizare sau furnizare suplimentară de informații cu caracter personal) fără consimțământul persoanei vizate în conformitate cu articolul 15 alineatul (3) din lege sau cu articolul 17 alineatul (4) din lege, operatorul de informații cu caracter personal ia în considerare următoarele aspecte:

dacă are legătură în mod rezonabil cu scopul inițial pentru care au fost colectate informațiile cu caracter personal;

dacă utilizarea sau furnizarea suplimentară de informații cu caracter personal este previzibilă având în vedere circumstanțele în care au fost colectate informațiile cu caracter personal și practicile de prelucrare;

dacă utilizarea sau furnizarea suplimentară de informații cu caracter personal nu aduce atingere în mod abuziv intereselor persoanei vizate; precum și

dacă au fost luate măsurile necesare pentru asigurarea securității, cum ar fi pseudonimizarea sau criptarea.

(2) Operatorul de informații cu caracter personal divulgă în prealabil criteriile de evaluare a aspectelor menționate la paragrafele de la alineatul (1) din politica de confidențialitate conform articolului 30 alineatul (1) din lege, iar responsabilul cu protecția vieții private, astfel cum se prevede la articolul 31 alineatul (1) din lege, verifică dacă operatorul de informații cu caracter personal utilizează sau furnizează informații cu caracter personal suplimentare în conformitate cu standardele relevante.

În cazul în care operatorul de informații cu caracter personal furnizează informații cu caracter personal unui terț din străinătate, acesta trebuie să informeze în prealabil persoanele vizate cu privire la toate aspectele descrise la articolul 17 alineatul (2) din lege și să obțină consimțământul acestora, cu excepția cazurilor care intră sub incidența alineatului (1) sau (2). Nu ar trebui încheiat niciun contract cu privire la furnizarea transfrontalieră de date cu caracter personal cu încălcarea acestei legi.

În cazul în care informațiile cu caracter personal sunt furnizate în limitele domeniului de aplicare legat în mod rezonabil de scopul inițial al colectării, în conformitate cu articolul 17 alineatul (4) din lege. Cu toate acestea, cazurile în care se poate aplica această dispoziție se limitează la situațiile în care sunt îndeplinite standardele privind utilizarea și furnizarea suplimentară de informații cu caracter personal, prevăzute la articolul 14-2 din decretul de punere în aplicare. În plus, operatorul de informații cu caracter personal trebuie să analizeze dacă furnizarea de informații cu caracter personal poate crea dezavantaje persoanelor vizate și dacă a luat măsurile necesare pentru asigurarea siguranței, cum ar fi criptarea.

Dacă informațiile cu caracter personal pot fi furnizate unui terț în cazurile excepționale menționate la articolul 18 alineatul (2) din lege (a se vedea paginile 3~5). Cu toate acestea, chiar și în astfel de cazuri, dacă furnizarea unor astfel de informații cu caracter personal este de natură să încalce în mod abuziv interesele persoanei vizate sau ale unui terț, informațiile cu caracter personal nu pot fi furnizate unui terț. În plus, furnizorul de informații cu caracter personal trebuie să solicite destinatarului informațiilor cu caracter personal să limiteze scopul sau metoda de utilizare a informațiilor cu caracter personal sau să ia măsurile necesare pentru a asigura siguranța acestora, astfel încât informațiile cu caracter personal să poată fi prelucrate în condiții de siguranță.

În temeiul articolului 18 alineatul (2) punctul 2 din PIPA, acest lucru este valabil și atunci când informațiile cu caracter personal sunt divulgate unor terți din străinătate pe baza dispozițiilor din alte legi (cum ar fi, de exemplu, Legea privind informațiile referitoare la credite).

Notificare privind datele în cazul în care datele cu caracter personal nu au fost obținute de la persoana vizată (articolul 20 din lege)

<Legea privind protecția informațiilor cu caracter personal

(Legea nr. 16930, modificată parțial la 4 februarie 2020)>

Articolul 20 (Notificarea privind sursele etc. informațiilor cu caracter personal colectate de la terți) (1) Atunci când un operator de informații cu caracter personal prelucrează informații cu caracter personal colectate de la terți, operatorul de informații cu caracter personal notifică imediat persoanei vizate următoarele aspecte, la cererea persoanei vizate:

sursa informațiilor cu caracter personal colectate;

scopul prelucrării informațiilor cu caracter personal;

faptul că persoana vizată are dreptul să solicite suspendarea prelucrării informațiilor cu caracter personal, astfel cum se prevede la articolul 37.

(2) Fără a aduce atingere alineatului (1), atunci când un operator de informații cu caracter personal care îndeplinește criteriile stabilite prin decretul prezidențial, ținând seama de tipul și cantitatea de informații cu caracter personal prelucrate, de numărul de angajați, de volumul vânzărilor etc., colectează informații cu caracter personal de la terți și le prelucrează în temeiul articolului 17 alineatul (1) punctul 1, operatorul de informații cu caracter personal notifică persoanei vizate aspectele menționate la alineatul (1): acest lucru nu se aplică în cazul în care informațiile colectate de operatorul de informații cu caracter personal nu conțin nicio informație cu caracter personal, cum ar fi datele de contact, prin care persoana vizată poate fi informată.

(3) Aspectele necesare în ceea ce privește timpul, metoda și procedura de notificare a persoanei vizate în temeiul alineatului (2) teza principală sunt stabilite în decretul prezidențial.

(4) Alineatul (1) și teza principală de la alineatul (2) nu se aplică în niciuna dintre următoarele situații: acest lucru este valabil numai în cazul în care este vădit superior drepturilor persoanelor vizate în temeiul legii:

în cazul în care informațiile cu caracter personal care fac obiectul unei cereri de notificare sunt incluse în dosarele cu informații cu caracter personal menționate la oricare dintre paragrafele de la articolul 32 alineatul (2);

în cazul în care o astfel de notificare este de natură să afecteze viața sau integritatea fizică a oricărei alte persoane sau să prejudicieze în mod abuziv bunurile și alte interese ale oricărei alte persoane.

Obligațiile prevăzute la punctele (i), (ii) și (iii) se aplică, de asemenea, atunci când operatorul care primește informații cu caracter personal din UE în baza deciziei privind caracterul adecvat al nivelului de protecție prelucrează astfel de informații în temeiul altor legi, cum ar fi, de exemplu, Legea privind informațiile referitoare la credite.

Numele și datele de contact ale persoanelor care transferă și primesc informațiile cu caracter personal.

Elementele sau categoriile de informații cu caracter personal transferate.

Scopul colectării și utilizării informațiilor cu caracter personal (astfel cum au fost stabilite de exportatorul de date în conformitate cu punctul 1 din această notificare).

Perioada de păstrare a informațiilor cu caracter personal.

Informațiile privind drepturile persoanei vizate în ceea ce privește prelucrarea informațiilor cu caracter personal, metoda și procedura de exercitare a drepturilor și eventualele dezavantaje în cazul în care exercitarea acestora creează dezavantaje.

De asemenea, în cazul în care operatorul de informații cu caracter personal furnizează informațiile cu caracter personal de la punctul (i) unui terț din Republica Coreea sau din străinătate, acesta trebuie să notifice persoanei vizate informațiile de la (1) la (5) înainte ca acestea să fie furnizate.

Numele și datele de contact ale persoanelor care furnizează și primesc informațiile cu caracter personal.

Elementele sau categoriile de informații cu caracter personal furnizate.

Țara în care sunt furnizate informațiile cu caracter personal, data preconizată și metoda de furnizare a acestora (limitate la cazurile în care informațiile cu caracter personal sunt furnizate unui terț în străinătate).

Scopul și temeiul juridic al furnizorului de informații cu caracter personal pentru furnizarea informațiilor cu caracter personal.

Informațiile privind drepturile persoanei vizate în ceea ce privește prelucrarea informațiilor cu caracter personal, metoda și procedura de exercitare a drepturilor și eventualele dezavantaje, dacă exercitarea acestora creează dezavantaje.

Operatorul de informații cu caracter personal nu poate aplica punctul (i) sau (ii) în niciunul dintre următoarele cazuri de la (1) la (4).

Dacă informațiile cu caracter personal care trebuie notificate sunt incluse în oricare dintre următoarele dosare cu informații cu caracter personal menționate la articolul 32 alineatul (2) din lege, în măsura în care interesele protejate de această dispoziție sunt în mod evident superioare drepturilor persoanei vizate și numai atât timp cât notificarea ar amenința urmărirea intereselor în cauză, de exemplu periclitând anchetele penale în curs sau amenințând securitatea națională.

Dacă și atât timp cât notificarea este de natură să dăuneze vieții sau integrității fizice a unei alte persoane sau să încalce în mod abuziv interesele patrimoniale ale unei alte persoane, în cazul în care aceste drepturi sau interese sunt în mod evident superioare drepturilor persoanei vizate.

Dacă persoana vizată deține deja informațiile pe care operatorul de informații cu caracter personal trebuie să le comunice în conformitate cu (i) sau (ii).

Dacă operatorul de informații cu caracter personal nu deține date de contact ale persoanei vizate sau dacă aceasta implică eforturi excesive pentru a contacta persoana vizată, inclusiv în contextul prelucrării, în condițiile prevăzute în secțiunea 3 din PIPA. Pentru a stabili dacă este sau nu este posibil să se contacteze persoana vizată sau dacă acest lucru implică eforturi excesive, ar trebui să se ia în considerare posibilitatea de a coopera cu exportatorul de date din UE.

Domeniul de aplicare al exceptării speciale pentru prelucrarea informațiilor pseudonimizate (articolele 28-2, 28-3, 28-4, 28-5, 28-6 și 28-7, articolul 3 și articolul 58-2 din lege)

<Legea privind protecția informațiilor cu caracter personal

(Legea nr. 16930, modificată parțial la 4 februarie 2020)>

Capitolul III Prelucrarea informațiilor cu caracter personal

SECȚIUNEA 3 Cazuri speciale privind datele pseudonimizate

Articolul 28-2 (Prelucrarea datelor pseudonimizate) (1) Un operator de informații cu caracter personal poate prelucra informații pseudonimizate fără consimțământul persoanelor vizate în scopuri statistice, de cercetare științifică și de arhivare în interes public etc.

(2) Un operator de informații cu caracter personal nu include informații care pot fi utilizate pentru a identifica o anumită persoană atunci când furnizează informații pseudonimizate unui terț în conformitate cu alineatul (1).

Articolul 28-3 (Restricția privind combinarea datelor pseudonimizate) (1) Fără a aduce atingere articolului 28-2, combinarea informațiilor pseudonimizate prelucrate de diferiți operatori de informații cu caracter personal în scopuri statistice, de cercetare științifică și de păstrare a evidențelor în interes public etc. se efectuează de către o instituție specializată desemnată de Comisia pentru protecție sau de directorul agenției administrative centrale corespunzătoare.

(2) Un operator de informații cu caracter personal care intenționează să difuzeze informații combinate în afara organizației care a combinat informațiile trebuie să obțină aprobarea directorului instituției specializate după prelucrarea informațiilor în informații pseudonimizate sau în forma menționată la articolul 58-2.

(3) Aspectele necesare, inclusiv procedurile și metodele de combinare prevăzute la alineatul (1), standardele și procedurile de desemnare sau de anulare a desemnării unei instituții specializate de administrare și supraveghere, precum și standardele și procedurile de export și de aprobare în temeiul alineatului (2) sunt stabilite în decretul prezidențial.

Articolul 28-4 (Obligația de a lua măsuri de siguranță pentru datele pseudonimizate) (1) La prelucrarea informațiilor pseudonimizate, un operator de informații cu caracter personal ia măsurile tehnice, organizatorice și fizice necesare pentru stocarea și gestionarea separată a informațiilor suplimentare necesare pentru revenirea la starea inițială, după cum ar putea fi necesar pentru a asigura siguranța prevăzută în decretul prezidențial, astfel încât informațiile cu caracter personal să nu poată fi pierdute, furate, divulgate, falsificate, modificate sau deteriorate.

(2) Un operator de informații cu caracter personal care intenționează să prelucreze informațiile pseudonimizate întocmește și păstrează evidențe referitoare la aspectele prevăzute în decretul prezidențial, inclusiv la scopul prelucrării informațiilor pseudonimizate, precum și un destinatar terț atunci când sunt furnizate informații pseudonimizate, pentru a gestiona prelucrarea informațiilor pseudonimizate.

Articolul 28-5 (Interdicții privind prelucrarea informațiilor pseudonimizate) (1) Nimeni nu trebuie să prelucreze informațiile pseudonimizate în scopul identificării unei anumite persoane.

(2) Atunci când, în timpul prelucrării informațiilor pseudonimizate, sunt generate informații de identificare a unei anumite persoane, operatorul de informații cu caracter personal trebuie să înceteze prelucrarea informațiilor și să recupereze și să distrugă imediat informațiile.

Articolul 28-6 (Impunerea de suprataxe administrative pentru prelucrarea informațiilor pseudonimizate) (1) Comisia poate impune o amendă echivalentă cu mai puțin de trei sutimi din totalul vânzărilor operatorului de date care a prelucrat datele în scopul identificării unei anumite persoane cu încălcarea articolului 28-5 alineatul (1): cu condiția ca, în cazul în care nu există vânzări sau apar dificultăți în calcularea veniturilor din vânzări, operatorul de date să poată fi sancționat cu o amendă de maximum 400 de milioane de woni sau trei sutimi din valoarea capitalului, luându-se în considerare valoarea cea mai mare.

(2) Articolul 34-2 alineatele (3)-(5) se aplică mutatis mutandis aspectelor necesare pentru impunerea și colectarea suprataxelor administrative.

Articolul 28-7 (Domeniul de aplicare) Articolele 20, 21, 27, 34 alineatul (1), 35 - 37, 39-3, 39-4, 39-6 - 39-8 nu se aplică informațiilor pseudonimizate.

Capitolul I Dispoziții generale

Articolul 3 (Principii privind protecția informațiilor cu caracter personal) (1) Operatorul de informații cu caracter personal specifică în mod explicit scopurile în care sunt prelucrate informațiile cu caracter personal și colectează informații cu caracter personal în mod legal și echitabil, în măsura minimă necesară în acest scop.

(2) Operatorul de informații cu caracter personal prelucrează informațiile cu caracter personal într-un mod adecvat, necesar scopurilor în care sunt prelucrate informațiile cu caracter personal și nu le utilizează în afara acestor scopuri.

(3) Operatorul de informații cu caracter personal se asigură că informațiile cu caracter personal sunt exacte, complete și actualizate în măsura în care este necesar în legătură cu scopurile în care sunt prelucrate informațiile cu caracter personal.

(4) Operatorul de informații cu caracter personal gestionează informațiile cu caracter personal în condiții de siguranță, în conformitate cu metodele, tipurile etc. de prelucrare a informațiilor cu caracter personal, ținând seama de posibilitatea încălcării drepturilor persoanei vizate și de gravitatea riscurilor relevante.

(5) Operatorul de informații cu caracter personal face publică politica sa de confidențialitate și alte aspecte legate de prelucrarea informațiilor cu caracter personal; și garantează drepturile persoanei vizate, cum ar fi dreptul de acces la informațiile sale cu caracter personal.

(6) Operatorul de informații cu caracter personal prelucrează informațiile cu caracter personal astfel încât să reducă la minimum posibilitatea de a aduce atingere vieții private a unei persoane vizate.

(7) Dacă este încă posibil să se îndeplinească scopurile colectării informațiilor cu caracter personal prin prelucrarea informațiilor cu caracter personal anonimizate sau pseudonimizate, operatorul de informații cu caracter personal depune eforturi pentru a prelucra informațiile cu caracter personal prin anonimizare, în cazul în care anonimizarea este posibilă, sau prin pseudonimizare, în cazul în care scopul colectării informațiilor cu caracter personal este imposibil de îndeplinit prin anonimizare.

(8) Operatorul de informații cu caracter personal depune eforturi pentru a obține încrederea persoanelor vizate prin respectarea și îndeplinirea sarcinilor și a responsabilităților prevăzute în prezenta lege și în alte legi conexe.

Capitolul IX Dispoziții suplimentare

Articolul 58-2 (Exceptare de la aplicare) Prezenta lege nu se aplică informațiilor care nu mai identifică o anumită persoană atunci când sunt combinate cu alte informații, luând în considerare în mod rezonabil timpul, costul, tehnologia etc. <Articol nou introdus de Legea nr. 16930, 4 februarie 2020>

Capitolul III secțiunea 3 Cazuri speciale privind datele pseudonimizate (articolele 28-2 – 28-7), permite prelucrarea informațiilor pseudonimizate fără consimțământul persoanei vizate în scopul elaborării de statistici, al cercetării științifice, al păstrării evidențelor publice etc. (articolul 28-2), dar, în astfel de cazuri, garanțiile și interdicțiile adecvate necesare pentru protejarea drepturilor persoanelor vizate sunt obligatorii (articolele 28-4 și 28-5), pot fi impuse suprataxe de penalizare pentru contravenienți (articolul 28-6), iar anumite garanții disponibile sub altă formă în temeiul PIPA nu se aplică (articolul 28-7).

În mod similar, excepția de la articolul 40-3 din Legea privind informațiile referitoare la credite se aplică numai prelucrării informațiilor pseudonimizate privind creditele în scopul elaborării de statistici, al cercetării științifice și al păstrării evidențelor publice.

În cazul în care un operator de informații cu caracter personal prelucrează informații pseudonimizate în scopul elaborării de statistici, al cercetării științifice, al păstrării registrelor publice etc. și în cazul în care informațiile pseudonimizate nu au fost distruse odată ce scopul specific al prelucrării a fost îndeplinit în concordanță cu articolul 37 din Constituție și cu articolul 3 (Principii privind protecția informațiilor cu caracter personal) din lege, acesta anonimizează informațiile pentru a se asigura că nu mai este posibilă identificarea unei anumite persoane, pe cont propriu sau în combinație cu alte informații, luând în considerare în mod rezonabil timpul, costul, tehnologia etc. în conformitate cu articolul 58-2 din PIPA.

Măsuri de remediere etc. [articolul 64 alineatele (1), (2) și (4) din lege]

<Legea privind protecția informațiilor cu caracter personal

(Legea nr. 16930, modificată parțial la 4 februarie 2020)>

Articolul 64 (Măsuri de remediere) (1) În cazul în care Comisia pentru protecție consideră că există motive temeinice pentru a considera că a avut loc o încălcare în ceea ce privește informațiile cu caracter personal, iar neluarea de măsuri poate cauza prejudicii dificil de remediat, aceasta poate dispune ca persoana care a încălcat prezenta lege (cu excepția agențiilor administrative centrale, a administrațiilor locale, a Adunării Naționale, a Curții, a Curții Constituționale și a Comisiei Electorale Naționale) să ia oricare dintre următoarele măsuri:

să suspende încălcarea în ceea ce privește informațiile cu caracter personal;

să suspende temporar prelucrarea informațiilor cu caracter personal;

alte măsuri necesare pentru protecția informațiilor cu caracter personal și prevenirea încălcării securității informațiilor cu caracter personal.

(2) În cazul în care directorul unei agenții administrative centrale asociate consideră că există motive temeinice pentru a considera că a avut loc o încălcare a informațiilor cu caracter personal și că neluarea de măsuri este de natură să cauzeze prejudicii dificil de remediat, acesta poate dispune ca un operator de informații cu caracter personal să ia oricare dintre măsurile prevăzute la alineatul (1) în temeiul legilor asociate sferei de competență a agenției administrative centrale respective.

(4) În cazul în care o agenție administrativă centrală, o administrație locală, Adunarea Națională, Curtea, Curtea Constituțională sau Comisia Electorală Națională încalcă prezenta lege, Comisia pentru protecție poate recomanda directorului agenției relevante să ia oricare dintre măsurile prevăzute la alineatul (1). În astfel de cazuri, la primirea recomandării, agenția se va conforma, cu excepția cazului în care există circumstanțe extraordinare.

(Hotărârea Curții Supreme 97Da10215,10222 din 26 ianuarie 1999) Dacă faptele penale ale acuzatului sunt dezvăluite prin intermediul presei, este probabil ca acest lucru să cauzeze prejudicii psihice și fizice ireparabile nu numai victimei, și anume reclamantului, ci și persoanelor din jurul acesteia, inclusiv familiilor.

(Hotărârea Înaltei Curți din Seul 2006Na92006 din 16 ianuarie 2008) Dacă se publică un articol defăimător, acesta ar putea aduce prejudicii grave ireparabile persoanei în cauză.

Aceleași principii precum cele prevăzute la punctul (ii) se aplică articolului 45-4 din Legea privind informațiile referitoare la credite.

În conformitate cu articolul 64 alineatul (4) din Legea privind protecția informațiilor cu caracter personal este o măsură referitoare la o încălcare a prezentei legi, și anume o acțiune împotriva unei încălcări a PIPA.

O agenție administrativă centrală etc., în calitate de autoritate publică supusă statului de drept, nu poate încălca nicio lege și este obligată să ia o măsură de remediere, inclusiv să oprească imediat acțiunea, și să compenseze daunele în cazul excepțional în care a fost totuși săvârșită o faptă ilegală.

În consecință, chiar și fără nicio intervenție din partea Comisiei pentru protecție în conformitate cu articolul 64 alineatul (4) din PIPA, o agenție administrativă centrală etc. trebuie să ia o măsură de remediere împotriva încălcărilor în cazul în care ia cunoștință de o încălcare a legii.

În special, în cazul în care Comisia pentru protecție a recomandat o măsură de remediere, în mod normal va fi clar în mod obiectiv pentru agenția administrativă centrală etc. că a încălcat legea. Astfel, pentru a justifica motivele pentru care consideră că nu ar trebui urmată o recomandare a Comisiei pentru protecție, o agenție administrativă centrală etc. trebuie să prezinte dovezi clare care să arate că nu a încălcat legea. Recomandarea trebuie urmată, cu excepția cazului în care Comisia pentru protecție stabilește că, într-adevăr, nu este cazul.

Având în vedere acest lucru, circumstanțele extraordinare de la articolul 64 alineatul (4) din Legea privind protecția informațiilor cu caracter personal trebuie să se limiteze strict la circumstanțele extraordinare în care există motive clare pentru ca agențiile administrative centrale etc. să demonstreze că această lege nu a fost, de fapt, încălcată, cum ar fi cazurile în care există circumstanțe extraordinare (de fapt sau de drept) pe care Comisia pentru protecție nu le-a cunoscut atunci când a formulat inițial recomandarea, iar Comisia pentru protecție stabilește că, într-adevăr, nu a avut loc nicio încălcare.

Aplicarea PIPA pentru prelucrarea datelor cu caracter personal în scopuri legate de securitatea națională, inclusiv investigarea încălcărilor și punerea în aplicare în conformitate cu PIPA (articolul 7-8, articolul 7-9, articolul 58, articolul 3, articolul 4 și articolul 62 din PIPA)

<Legea privind protecția informațiilor cu caracter personal

(Legea nr. 16930, modificată parțial la 4 februarie 2020)>

Articolul 7-8 (Activitatea Comisiei pentru protecție) (1) Comisia pentru protecție desfășoară următoarele activități: […]

aspecte privind investigarea încălcării dreptului persoanelor vizate și dispozițiile care decurg din acestea;

tratarea plângerilor sau proceduri de remediere legate de prelucrarea informațiilor cu caracter personal și medierea litigiilor privind informațiile cu caracter personal;

[…]

Articolul 7-9 (Aspecte care fac obiectul unei decizii și al unei rezoluții a Comisiei pentru protecție) (1) Comisia pentru protecție deliberează și soluționează următoarele aspecte: […]

aspecte privind interpretarea și funcționarea legii referitoare la protecția informațiilor cu caracter personal;

[…]

Articolul 58 (Excluderea parțială a aplicării) (1) Capitolele III-VII nu se aplică următoarelor informații cu caracter personal:

informații cu caracter personal colectate în conformitate cu Legea privind statisticile pentru prelucrarea de către instituțiile publice;

informații cu caracter personal colectate sau a căror furnizare este solicitată pentru analiza informațiilor legate de securitatea națională;

informații cu caracter personal prelucrate temporar, atunci când sunt necesare urgent pentru siguranța și securitatea publică, sănătatea publică etc.;

informații cu caracter personal colectate sau utilizate în scopuri proprii de raportare de către presă, activitățile misionare ale organizațiilor religioase și, respectiv, nominalizarea candidaților de către partidele politice.

[alineatele (2) și (3) au fost omise]

(4) În cazul prelucrării informațiilor cu caracter personal în temeiul alineatului (1), operatorul de informații cu caracter personal prelucrează informațiile cu caracter personal în măsura minimă necesară pentru a atinge scopul preconizat în perioada minimă; de asemenea, ia măsurile necesare, cum ar fi garanții tehnice, de gestionare și fizice, gestionarea plângerilor individuale și alte măsuri necesare pentru gestionarea în siguranță și prelucrarea adecvată a acestor informații cu caracter personal.

Articolul 3 (Principii privind protecția informațiilor cu caracter personal) (1) Operatorul de informații cu caracter personal specifică în mod explicit scopurile în care sunt prelucrate informațiile cu caracter personal și colectează informații cu caracter personal în mod legal și echitabil, în măsura minimă necesară în acest scop.

(2) Operatorul de informații cu caracter personal prelucrează informațiile cu caracter personal într-un mod adecvat, necesar scopurilor în care sunt prelucrate informațiile cu caracter personal și nu le utilizează în afara acestor scopuri.

(3) Operatorul de informații cu caracter personal se asigură că informațiile cu caracter personal sunt exacte, complete și actualizate în măsura în care este necesar în legătură cu scopurile în care sunt prelucrate informațiile cu caracter personal.

(4) Operatorul de informații cu caracter personal gestionează informațiile cu caracter personal în condiții de siguranță, în conformitate cu metodele, tipurile etc. de prelucrare a informațiilor cu caracter personal, ținând seama de posibilitatea încălcării drepturilor persoanei vizate și de gravitatea riscurilor relevante.

(5) Operatorul de informații cu caracter personal face publică politica sa de confidențialitate și alte aspecte legate de prelucrarea informațiilor cu caracter personal; și garantează drepturile persoanei vizate, cum ar fi dreptul de acces la informațiile sale cu caracter personal.

(6) Operatorul de informații cu caracter personal prelucrează informațiile cu caracter personal astfel încât să reducă la minimum posibilitatea de a aduce atingere vieții private a unei persoane vizate.

(7) Dacă este încă posibil să se îndeplinească scopurile colectării de informații cu caracter personal prin prelucrarea informațiilor cu caracter personal anonimizate sau pseudonimizate, operatorul de informații cu caracter personal depune eforturi pentru a prelucra informațiile cu caracter personal prin anonimizare, în cazul în care anonimizarea este posibilă, sau prin pseudonimizare, în cazul în care scopul colectării informațiilor cu caracter personal este imposibil de îndeplinit prin anonimizare.

(8) Operatorul de informații cu caracter personal depune eforturi pentru a obține încrederea persoanelor vizate prin respectarea și îndeplinirea sarcinilor și a responsabilităților prevăzute în prezenta lege și în alte legi conexe.

Articolul 4 (Drepturile persoanelor vizate) O persoană vizată are următoarele drepturi în ceea ce privește prelucrarea propriilor informații cu caracter personal:

dreptul de a fi informată cu privire la prelucrarea unor astfel de informații cu caracter personal;

dreptul de a stabili dacă dorește sau nu să își dea consimțământul și domeniul de aplicare al consimțământului în ceea ce privește prelucrarea unor astfel de informații cu caracter personal;

dreptul de a confirma dacă informațiile cu caracter personal sunt prelucrate sau nu și de a solicita accesul (inclusiv furnizarea de copii; în continuare, se aplică aceleași dispoziții) pentru astfel de informații cu caracter personal;

dreptul de a suspenda prelucrarea acestor informații cu caracter personal și de a solicita rectificarea, ștergerea și distrugerea acestora;

dreptul la despăgubiri adecvate pentru orice prejudiciu care rezultă din prelucrarea unor astfel de informații cu caracter personal printr-o procedură promptă și echitabilă.

Articolul 62 (Raportare cu privire la încălcări) (1) Orice persoană care suferă o încălcare a drepturilor sau a intereselor legate de informațiile sale cu caracter personal în cursul prelucrării informațiilor cu caracter personal de către un operator de informații cu caracter personal poate raporta această încălcare Comisiei pentru protecție.

(2) Comisia pentru protecție poate desemna o instituție specializată care să primească și să gestioneze în mod eficient rapoartele privind cererile de despăgubire în temeiul alineatului (1), astfel cum se prevede în decretul prezidențial. În astfel de cazuri, o astfel de instituție specializată înființează și gestionează un centru de intermediere telefonică privind încălcarea securității informațiilor cu caracter personal (denumit în continuare Centrul de intermediere telefonică privind protecția vieții private).

(3) Centrul de intermediere telefonică privind protecția vieții private are următoarele atribuții:

să primească rapoarte privind cererile de despăgubire și să organizeze consultări în legătură cu prelucrarea informațiilor cu caracter personal;

să investigheze și să confirme incidentele și să audieze opiniile părților afiliate;

atribuții conexe paragrafelor 1 și 2.

(4) Comisia pentru protecție poate, dacă este necesar, să detașeze un funcționar public din cadrul său la instituția specializată desemnată în temeiul articolului 32-4 alineatul (2) din Legea funcționarilor publici de stat, pentru a investiga și a confirma în mod eficient incidentele prevăzute la alineatul (3) punctul 2.

Colectarea de informații cu caracter personal în scopuri de securitate națională este reglementată de legi specifice care împuternicesc autoritățile competente (de exemplu, Serviciul Național de Informații) să intercepteze comunicațiile sau să solicite divulgarea în anumite condiții și garanții (denumite în continuare: legi privind securitatea națională). Aceste legi privind securitatea națională includ, de exemplu, Legea privind protecția confidențialității comunicațiilor, Legea privind combaterea terorismului pentru protecția cetățenilor și a securității publice sau Legea privind sectorul telecomunicațiilor. În plus, colectarea și prelucrarea ulterioară a informațiilor cu caracter personal trebuie să respecte cerințele PIPA. În această privință, potrivit articolului 58 alineatul (1) punctul 2 din PIPA, capitolele III-VII nu se aplică informațiilor cu caracter personal colectate sau a căror furnizare este solicitată pentru analiza informațiilor legate de securitatea națională. Prin urmare, această excepție parțială se aplică prelucrării informațiilor cu caracter personal în scopuri legate de securitatea națională.

În același timp, capitolul I (Dispoziții generale), capitolul II (Stabilirea politicilor de protecție a informațiilor cu caracter personal etc.), capitolul VIII (Acțiuni colective în justiție pentru încălcarea securității datelor), capitolul IX (Dispoziții suplimentare) și capitolul X (Dispoziții privind sancțiunile) din PIPA se aplică prelucrării unor astfel de informații cu caracter personal. Aceasta include principiile generale de protecție a datelor prevăzute la articolul 3 (Principii privind protecția informațiilor cu caracter personal) și drepturile individuale garantate de articolul 4 din PIPA (Drepturile persoanelor vizate).

În plus, articolul 58 alineatul (4) din PIPA prevede că aceste informații trebuie prelucrate în măsura minimă necesară pentru atingerea scopului preconizat și pentru perioada minimă; în plus, acesta prevede obligația operatorului de informații cu caracter personal să instituie măsurile necesare pentru a asigura gestionarea în condiții de siguranță a datelor și prelucrarea corespunzătoare, cum ar fi garanții tehnice, de gestionare și fizice, precum și măsuri pentru tratarea corespunzătoare a plângerilor individuale.

În ceea ce privește măsurile de remediere întreprinse în temeiul articolului 64, a se vedea, de asemenea, secțiunea 5 de mai sus.

Hotărârea Curții Constituționale, 99HunMa513, 2004HunMa190, 26 mai 2005.

Hotărârea Curții Constituționale, 2003HunMa282, 21 iulie 2005.

Prin urmare, atunci când prelucrează informații cu caracter personal în scopuri legate de securitatea națională, operatorul (de exemplu, NIS), printre altele:

specifică în mod explicit scopurile în care sunt prelucrate informațiile cu caracter personal și colectează informații cu caracter personal în mod legal și echitabil, în măsura minimă necesară în acest scop [articolul 3 alineatul (1) din PIPA]; mai precis, aceasta colectează și prelucrează suplimentar informațiile cu caracter personal numai în scopul îndeplinirii sarcinilor care îi revin în temeiul legilor relevante, cum ar fi Legea privind Serviciul Național de Informații;

prelucrează informațiile cu caracter personal în măsura minimă și pentru perioada minimă necesară pentru atingerea scopului preconizat [articolul 58 alineatul (4) din PIPA]; la atingerea scopului prelucrării, operatorul distruge în mod ireversibil informațiile cu caracter personal, cu excepția cazului în care păstrarea ulterioară este prevăzută în mod expres prin lege, caz în care informațiile cu caracter personal relevante sunt stocate și gestionate separat de alte informații cu caracter personal, nu sunt utilizate în alte scopuri decât cele specificate în lege și sunt distruse la sfârșitul perioadei de păstrare;

prelucrează informațiile cu caracter personal în modul adecvat, necesar scopurilor în care sunt prelucrate informațiile cu caracter personal și nu le utilizează în afara acestor scopuri [articolul 3 alineatul (2) din PIPA];

se asigură că informațiile cu caracter personal sunt exacte, complete și actualizate în măsura necesară în legătură cu scopurile în care sunt prelucrate informațiile cu caracter personal [articolul 3 alineatul (3) din PIPA];

gestionează informațiile cu caracter personal în condiții de siguranță, în conformitate cu metodele, tipurile etc. de prelucrare a informațiilor cu caracter personal, ținând seama de posibilitatea încălcării drepturilor persoanei vizate și de gravitatea riscurilor relevante [articolul 3 alineatul (4) din PIPA];

face publică politica sa de confidențialitate și alte aspecte legate de prelucrarea informațiilor cu caracter personal [articolul 3 alineatul (5) din PIPA];

prelucrează informațiile cu caracter personal într-un mod care să reducă la minimum posibilitatea de încălcare a vieții private a unei persoane vizate [articolul 3 alineatul (6) din PIPA].

În conformitate cu articolul 58 alineatul (4) din PIPA, operatorul (de exemplu, autoritățile competente pentru securitatea națională, cum ar fi NIS) ia măsurile necesare, precum instituirea unor garanții tehnice, de gestionare și fizice, pentru a asigura respectarea acestor principii și prelucrarea adecvată a informațiilor cu caracter personal. Aceasta poate include, de exemplu, măsuri specifice pentru a asigura siguranța informațiilor cu caracter personal, cum ar fi restricții privind accesul la informațiile cu caracter personal, controale ale accesului, jurnale, punerea la dispoziția angajaților a unor cursuri de formare specifice privind gestionarea informațiilor cu caracter personal etc.

În plus, în conformitate cu articolul 3 alineatul (5) și cu articolul 4 din PIPA, persoanele vizate au, printre altele, următoarele drepturi în ceea ce privește informațiile cu caracter personal prelucrate în scopuri legate de securitatea națională:

dreptul de a obține confirmarea faptului că datele sale cu caracter personal sunt sau nu sunt prelucrate, precum și informații cu privire la prelucrare, precum și de acces la informațiile respective, inclusiv furnizarea de copii [articolul 4 alineatele (1) și (3) din PIPA];

dreptul de a suspenda prelucrarea și rectificarea, ștergerea și distrugerea informațiilor cu caracter personal [articolul 4 alineatul (4) din PIPA].

O persoană vizată poate depune o cerere în exercitarea acestor drepturi direct la operator sau indirect prin intermediul Comisiei pentru protecție și își poate autoriza reprezentantul să facă acest lucru. În cazul în care persoana vizată depune o cerere, operatorul acordă dreptul fără întârziere; totuși, cu condiția să poată amâna, limita sau refuza dreptul dacă este prevăzut în mod expres sau inevitabil să respecte alte legi în măsura în care și atât timp cât este necesar și proporțional pentru a proteja un obiectiv important de interes public (de exemplu, în măsura în care și atât timp cât acordarea dreptului ar pune în pericol o anchetă în curs sau ar amenința securitatea națională) sau în cazul în care acordarea dreptului poate aduce atingere vieții sau integrității fizice a unui terț sau poate încălca în mod nejustificat dreptul de proprietate și alte interese ale unui terț. În cazul în care cererea este respinsă sau restricționată, acesta notifică fără întârziere persoanei vizate motivele. Operatorul pregătește metoda și procedura pentru a permite persoanelor vizate să depună cereri și le anunță public, astfel încât persoanele vizate să poată lua cunoștință de acestea.

În plus, în conformitate cu articolul 58 alineatul (4) din PIPA (cerința de a asigura tratarea adecvată a plângerilor individuale) și cu articolul 4 alineatul (5) din PIPA (dreptul la despăgubiri adecvate pentru orice prejudiciu care rezultă din prelucrarea informațiilor cu caracter personal, printr-o procedură promptă și echitabilă), persoanele vizate au dreptul de a obține reparații. Aceasta include dreptul de a raporta o presupusă încălcare Centrului de raportare privind încălcarea securității informațiilor cu caracter personal [în conformitate cu articolul 62 alineatul (3) din PIPA], de a depune o plângere la PIPC în temeiul articolului 62 din PIPA cu privire la orice încălcare a drepturilor sau intereselor legate de informațiile cu caracter personal ale unei persoane și de a obține reparații judiciare împotriva deciziilor sau a lipsei de acțiune a PIPC în temeiul Legii privind contenciosul administrativ. În plus, persoanele vizate pot obține reparații judiciare în temeiul Legii privind contenciosul administrativ în cazul în care a avut loc o încălcare a drepturilor sau a intereselor lor ca urmare a unei dispoziții sau omisiuni a operatorului (de exemplu, colectarea ilegală a datelor cu caracter personal) sau pot obține despăgubiri pentru daune în conformitate cu Legea privind despăgubirile acordate de stat. Aceste căi de atac sunt disponibile atât în cazul unor posibile încălcări ale normelor cuprinse în legi specifice care stabilesc limitările și garanțiile în ceea ce privește colectarea de informații cu caracter personal, cum ar fi legile în materie de securitate națională, cât și în PIPA.

O persoană din UE poate depune o plângere la PIPC prin intermediul autorității sale naționale pentru protecția datelor, iar PIPC va înștiința persoana respectivă prin intermediul autorității naționale pentru protecția datelor, după încheierea investigației și încetarea măsurii de remediere (dacă este cazul).

Lege: Legea privind protecția informațiilor cu caracter personal (Legea nr. 16930, modificată la 4 februarie 2020 și pusă în aplicare la 5 august 2020).

Decret prezidențial: Decretul de punere în aplicare a Legii privind protecția informațiilor cu caracter personal (Decretul prezidențial nr. 30509, 3 martie 2020, de modificare a altor legi).

Persoană vizată: o persoană care poate fi identificată din informațiile prelucrate astfel încât să devină obiectul informațiilor respective.

Operator de informații cu caracter personal: o instituție publică, persoană juridică, organizație, persoană fizică etc. care prelucrează informații cu caracter personal în mod direct sau indirect, ca parte a activităților sale;

UE: UE (la sfârșitul lunii februarie 2020, 27 de țări membre, inclusiv Belgia, Germania, Franța, Italia, Luxemburg, Țările de Jos, Danemarca, Irlanda, Grecia, Portugalia, Spania, Austria, Finlanda, Suedia, Cipru, Republica Cehă, Estonia, Ungaria, Letonia, Lituania, Malta, Polonia, Slovacia, Slovenia, România, Bulgaria și Croația), precum și țările asociate la UE prin Acordul privind SEE (Islanda, Liechtenstein, Norvegia).

RGPD: legislația generală a UE privind protecția informațiilor cu caracter personal, Regulamentul general privind protecția datelor [Regulamentul (UE) 2016/679].

Decizie privind caracterul adecvat al nivelului de protecție: în conformitate cu articolul 45 alineatul (3) din RGPD, Comisia Europeană a decis că o țară terță, un teritoriu al unei țări terțe, unul sau mai multe sectoare sau o organizație internațională asigură un nivel adecvat de protecție a informațiilor cu caracter personal.

în cazul în care se obține consimțământul persoanei vizate;

în cazul în care există dispoziții speciale în legislație sau este inevitabil pentru respectarea obligațiilor legale;

în cazul în care este inevitabil pentru îndeplinirea de către o instituție publică a atribuțiilor care intră în domeniul său de competență, astfel cum prevede legea etc.;

în cazul în care este inevitabil necesar pentru executarea și îndeplinirea unui contract cu o persoană vizată;

în cazul în care se consideră că este în mod evident necesar pentru protejarea vieții, a integrității fizice sau a intereselor patrimoniale ale persoanei vizate sau ale unui terț împotriva unui pericol iminent, atunci când persoana vizată sau reprezentantul său legal nu este în măsură să își exprime intenția sau nu se poate obține consimțământul prealabil din cauza unor adrese necunoscute etc.;

în cazul în care este necesar în interesul justificabil al unui operator de informații cu caracter personal, care este în mod evident superior drepturilor persoanei vizate. În astfel de cazuri, prelucrarea este permisă numai în măsura în care este legată în mod substanțial de interesul justificabil al operatorului de informații cu caracter personal și nu depășește un domeniu de aplicare rezonabil.

în cazul în care se obține un consimțământ suplimentar din partea persoanei vizate;

în cazul în care există alte dispoziții speciale în legislație;

în cazul în care se consideră că este în mod evident necesar pentru protecția vieții, a integrității fizice sau a intereselor patrimoniale ale persoanei vizate sau ale unui terț împotriva unui pericol iminent, în cazul în care persoana vizată sau reprezentantul său legal nu este în măsură să își exprime intenția sau nu se poate obține consimțământul prealabil din cauza unor adrese necunoscute;

șters;<prin Legea nr. 16930, 4 februarie 2020>

în cazul în care este imposibil să îndeplinească atribuțiile care intră în domeniul său de competență, astfel cum prevede orice lege, cu excepția cazului în care operatorul de informații cu caracter personal utilizează informațiile cu caracter personal în alt scop decât cel preconizat sau le furnizează unui terț și face obiectul deliberării și rezoluției Comisiei;

în cazul în care este necesar să se furnizeze informații cu caracter personal unui guvern sau unei organizații internaționale străine în vederea executării unui tratat sau a unei alte convenții internaționale;

în cazul în care este necesar pentru investigarea unei infracțiuni, punerea sub acuzare și urmărirea penală;

în cazul în care este necesar pentru ca o instanță să își exercite atribuțiile în materie de proceduri judiciare;

în cazul în care este necesar pentru executarea pedepsei, eliberarea condiționată și reținere.

Alineatele (1) și (2) ale articolului 3 din lege prevăd principiul conform căruia un operator de informații cu caracter personal trebuie să colecteze numai informațiile cu caracter personal minime necesare în scopul prelucrării legale și legitime a informațiilor cu caracter personal și nu ar trebui să le utilizeze în alte scopuri decât cele preconizate.

În conformitate cu acest principiu, articolul 15 alineatul (1) din lege prevede că, atunci când un operator de informații cu caracter personal colectează informații cu caracter personal, acestea pot fi utilizate în scopul colectării, iar articolul 18 alineatul (1) prevede că informațiile cu caracter personal nu ar trebui utilizate în afara scopului colectării sau furnizate unui terț.

De asemenea, chiar dacă informațiile cu caracter personal pot fi utilizate în alte scopuri decât cel preconizat sau pot fi furnizate unui terț în cazurile excepționale descrise în paragrafele articolului 18 alineatul (2) din lege, trebuie să se solicite restricționarea scopului sau a metodei de utilizare, astfel încât informațiile cu caracter personal să poată fi prelucrate în condiții de siguranță, în conformitate cu alineatul (5), sau trebuie să se ia măsurile necesare pentru a asigura siguranța informațiilor cu caracter personal.

Dispozițiile de mai sus se aplică în mod egal prelucrării tuturor informațiilor cu caracter personal primite de la o țară terță în zona jurisdicției legale a Coreei, indiferent de cetățenia persoanei vizate.

De exemplu, în cazul în care un operator de informații cu caracter personal din UE transferă informații cu caracter personal unui operator coreean de informații cu caracter personal în conformitate cu decizia Comisiei Europene privind caracterul adecvat al nivelului de protecție, scopul operatorului de informații cu caracter personal din UE de a transfera informațiile cu caracter personal este considerat a fi scopul operatorului coreean de informații cu caracter personal de a colecta informațiile cu caracter personal și, în astfel de cazuri, operatorul coreean de informații cu caracter personal poate utiliza aceste informații sau le poate furniza unui terț numai în scopul colectării, cu excepția cazurilor excepționale descrise la articolul 18 alineatul (2) din lege.

destinatarul informațiilor cu caracter personal;

scopul în care destinatarul informațiilor cu caracter personal utilizează aceste informații;

detalii privind informațiile cu caracter personal care trebuie furnizate;

perioada în care destinatarul păstrează și utilizează informațiile cu caracter personal;

faptul că persoana vizată are dreptul de a refuza consimțământul și dezavantajele, dacă este cazul, care rezultă din refuzul consimțământului.

dacă are legătură în mod rezonabil cu scopul inițial pentru care au fost colectate informațiile cu caracter personal;

dacă utilizarea sau furnizarea suplimentară de informații cu caracter personal este previzibilă având în vedere circumstanțele în care au fost colectate informațiile cu caracter personal și practicile de prelucrare;

dacă utilizarea sau furnizarea suplimentară de informații cu caracter personal nu aduce atingere în mod abuziv intereselor persoanei vizate; precum și

dacă au fost luate măsurile necesare pentru asigurarea securității, cum ar fi pseudonimizarea sau criptarea.

În cazul în care operatorul de informații cu caracter personal furnizează informații cu caracter personal unui terț din străinătate, acesta trebuie să informeze în prealabil persoanele vizate cu privire la toate aspectele descrise la articolul 17 alineatul (2) din lege și să obțină consimțământul acestora, cu excepția cazurilor care intră sub incidența alineatului (1) sau (2). Nu ar trebui încheiat niciun contract cu privire la furnizarea transfrontalieră de date cu caracter personal cu încălcarea acestei legi.

În cazul în care informațiile cu caracter personal sunt furnizate în limitele domeniului de aplicare legat în mod rezonabil de scopul inițial al colectării, în conformitate cu articolul 17 alineatul (4) din lege. Cu toate acestea, cazurile în care se poate aplica această dispoziție se limitează la situațiile în care sunt îndeplinite standardele privind utilizarea și furnizarea suplimentară de informații cu caracter personal, prevăzute la articolul 14-2 din decretul de punere în aplicare. În plus, operatorul de informații cu caracter personal trebuie să analizeze dacă furnizarea de informații cu caracter personal poate crea dezavantaje persoanelor vizate și dacă a luat măsurile necesare pentru asigurarea siguranței, cum ar fi criptarea.

Dacă informațiile cu caracter personal pot fi furnizate unui terț în cazurile excepționale menționate la articolul 18 alineatul (2) din lege (a se vedea paginile 3~5). Cu toate acestea, chiar și în astfel de cazuri, dacă furnizarea unor astfel de informații cu caracter personal este de natură să încalce în mod abuziv interesele persoanei vizate sau ale unui terț, informațiile cu caracter personal nu pot fi furnizate unui terț. În plus, furnizorul de informații cu caracter personal trebuie să solicite destinatarului informațiilor cu caracter personal să limiteze scopul sau metoda de utilizare a informațiilor cu caracter personal sau să ia măsurile necesare pentru a asigura siguranța acestora, astfel încât informațiile cu caracter personal să poată fi prelucrate în condiții de siguranță.

În cazul în care informațiile cu caracter personal sunt furnizate unui terț din străinătate, este posibil ca acestea să nu beneficieze de nivelul de protecție garantat de Legea coreeană privind protecția informațiilor cu caracter personal din cauza diferențelor dintre sistemele de protecție a informațiilor cu caracter personal din diferite țări. În consecință, astfel de cazuri vor fi considerate cazuri în care pot fi create dezavantaje pentru persoana vizată menționate la articolul 17 alineatul (4) din lege sau cazuri în care interesul unei persoane vizate sau al unui terț este încălcat în mod abuziv menționate la articolul 18 alineatul (2) din lege și la articolul 14-2 din Decretul de punere în aplicare a aceleiași legi. Pentru a îndeplini cerințele acestor dispoziții, operatorul de informații cu caracter personal și terțul trebuie, prin urmare, să asigure în mod explicit un nivel de protecție echivalent cu cel oferit de lege, inclusiv să garanteze exercitarea de către persoana vizată a drepturilor sale în documente obligatorii din punct de vedere juridic, cum ar fi contracte, chiar și după ce informațiile cu caracter personal sunt transferate în străinătate.

În cazul în care informațiile cu caracter personal sunt furnizate în limitele domeniului de aplicare legat în mod rezonabil de scopul inițial al colectării, în conformitate cu articolul 17 alineatul (4) din lege. Cu toate acestea, cazurile în care se poate aplica această dispoziție se limitează la situațiile în care sunt îndeplinite standardele privind utilizarea și furnizarea suplimentară de informații cu caracter personal, prevăzute la articolul 14-2 din decretul de punere în aplicare. În plus, operatorul de informații cu caracter personal trebuie să analizeze dacă furnizarea de informații cu caracter personal poate crea dezavantaje persoanelor vizate și dacă a luat măsurile necesare pentru asigurarea siguranței, cum ar fi criptarea.

Dacă informațiile cu caracter personal pot fi furnizate unui terț în cazurile excepționale menționate la articolul 18 alineatul (2) din lege (a se vedea paginile 3~5). Cu toate acestea, chiar și în astfel de cazuri, dacă furnizarea unor astfel de informații cu caracter personal este de natură să încalce în mod abuziv interesele persoanei vizate sau ale unui terț, informațiile cu caracter personal nu pot fi furnizate unui terț. În plus, furnizorul de informații cu caracter personal trebuie să solicite destinatarului informațiilor cu caracter personal să limiteze scopul sau metoda de utilizare a informațiilor cu caracter personal sau să ia măsurile necesare pentru a asigura siguranța acestora, astfel încât informațiile cu caracter personal să poată fi prelucrate în condiții de siguranță.

sursa informațiilor cu caracter personal colectate;

scopul prelucrării informațiilor cu caracter personal;

faptul că persoana vizată are dreptul să solicite suspendarea prelucrării informațiilor cu caracter personal, astfel cum se prevede la articolul 37.

în cazul în care informațiile cu caracter personal care fac obiectul unei cereri de notificare sunt incluse în dosarele cu informații cu caracter personal menționate la oricare dintre paragrafele de la articolul 32 alineatul (2);

în cazul în care o astfel de notificare este de natură să afecteze viața sau integritatea fizică a oricărei alte persoane sau să prejudicieze în mod abuziv bunurile și alte interese ale oricărei alte persoane.

Dacă operatorul de informații cu caracter personal primește informațiile cu caracter personal transferate din UE în baza deciziei sale privind caracterul adecvat al nivelului de protecție, acesta trebuie să notifice persoanei vizate următoarele informații, de la (1) la (5), fără întârzieri nejustificate și, în orice caz, în termen de cel mult o lună de la data transferului.

Numele și datele de contact ale persoanelor care transferă și primesc informațiile cu caracter personal.

Elementele sau categoriile de informații cu caracter personal transferate.

Scopul colectării și utilizării informațiilor cu caracter personal (astfel cum au fost stabilite de exportatorul de date în conformitate cu punctul 1 din această notificare).

Perioada de păstrare a informațiilor cu caracter personal.

Informațiile privind drepturile persoanei vizate în ceea ce privește prelucrarea informațiilor cu caracter personal, metoda și procedura de exercitare a drepturilor și eventualele dezavantaje în cazul în care exercitarea acestora creează dezavantaje.

De asemenea, în cazul în care operatorul de informații cu caracter personal furnizează informațiile cu caracter personal de la punctul (i) unui terț din Republica Coreea sau din străinătate, acesta trebuie să notifice persoanei vizate informațiile de la (1) la (5) înainte ca acestea să fie furnizate.

Numele și datele de contact ale persoanelor care furnizează și primesc informațiile cu caracter personal.

Elementele sau categoriile de informații cu caracter personal furnizate.

Țara în care sunt furnizate informațiile cu caracter personal, data preconizată și metoda de furnizare a acestora (limitate la cazurile în care informațiile cu caracter personal sunt furnizate unui terț în străinătate).

Scopul și temeiul juridic al furnizorului de informații cu caracter personal pentru furnizarea informațiilor cu caracter personal.

Informațiile privind drepturile persoanei vizate în ceea ce privește prelucrarea informațiilor cu caracter personal, metoda și procedura de exercitare a drepturilor și eventualele dezavantaje, dacă exercitarea acestora creează dezavantaje.

Operatorul de informații cu caracter personal nu poate aplica punctul (i) sau (ii) în niciunul dintre următoarele cazuri de la (1) la (4).

Dacă informațiile cu caracter personal care trebuie notificate sunt incluse în oricare dintre următoarele dosare cu informații cu caracter personal menționate la articolul 32 alineatul (2) din lege, în măsura în care interesele protejate de această dispoziție sunt în mod evident superioare drepturilor persoanei vizate și numai atât timp cât notificarea ar amenința urmărirea intereselor în cauză, de exemplu periclitând anchetele penale în curs sau amenințând securitatea națională.

Dacă și atât timp cât notificarea este de natură să dăuneze vieții sau integrității fizice a unei alte persoane sau să încalce în mod abuziv interesele patrimoniale ale unei alte persoane, în cazul în care aceste drepturi sau interese sunt în mod evident superioare drepturilor persoanei vizate.

Dacă persoana vizată deține deja informațiile pe care operatorul de informații cu caracter personal trebuie să le comunice în conformitate cu (i) sau (ii).

Dacă operatorul de informații cu caracter personal nu deține date de contact ale persoanei vizate sau dacă aceasta implică eforturi excesive pentru a contacta persoana vizată, inclusiv în contextul prelucrării, în condițiile prevăzute în secțiunea 3 din PIPA. Pentru a stabili dacă este sau nu este posibil să se contacteze persoana vizată sau dacă acest lucru implică eforturi excesive, ar trebui să se ia în considerare posibilitatea de a coopera cu exportatorul de date din UE.

Numele și datele de contact ale persoanelor care transferă și primesc informațiile cu caracter personal.

Elementele sau categoriile de informații cu caracter personal transferate.

Scopul colectării și utilizării informațiilor cu caracter personal (astfel cum au fost stabilite de exportatorul de date în conformitate cu punctul 1 din această notificare).

Perioada de păstrare a informațiilor cu caracter personal.

Informațiile privind drepturile persoanei vizate în ceea ce privește prelucrarea informațiilor cu caracter personal, metoda și procedura de exercitare a drepturilor și eventualele dezavantaje în cazul în care exercitarea acestora creează dezavantaje.

Numele și datele de contact ale persoanelor care furnizează și primesc informațiile cu caracter personal.

Elementele sau categoriile de informații cu caracter personal furnizate.

Țara în care sunt furnizate informațiile cu caracter personal, data preconizată și metoda de furnizare a acestora (limitate la cazurile în care informațiile cu caracter personal sunt furnizate unui terț în străinătate).

Scopul și temeiul juridic al furnizorului de informații cu caracter personal pentru furnizarea informațiilor cu caracter personal.

Informațiile privind drepturile persoanei vizate în ceea ce privește prelucrarea informațiilor cu caracter personal, metoda și procedura de exercitare a drepturilor și eventualele dezavantaje, dacă exercitarea acestora creează dezavantaje.

Dacă informațiile cu caracter personal care trebuie notificate sunt incluse în oricare dintre următoarele dosare cu informații cu caracter personal menționate la articolul 32 alineatul (2) din lege, în măsura în care interesele protejate de această dispoziție sunt în mod evident superioare drepturilor persoanei vizate și numai atât timp cât notificarea ar amenința urmărirea intereselor în cauză, de exemplu periclitând anchetele penale în curs sau amenințând securitatea națională.

Dacă și atât timp cât notificarea este de natură să dăuneze vieții sau integrității fizice a unei alte persoane sau să încalce în mod abuziv interesele patrimoniale ale unei alte persoane, în cazul în care aceste drepturi sau interese sunt în mod evident superioare drepturilor persoanei vizate.

Dacă persoana vizată deține deja informațiile pe care operatorul de informații cu caracter personal trebuie să le comunice în conformitate cu (i) sau (ii).

Dacă operatorul de informații cu caracter personal nu deține date de contact ale persoanei vizate sau dacă aceasta implică eforturi excesive pentru a contacta persoana vizată, inclusiv în contextul prelucrării, în condițiile prevăzute în secțiunea 3 din PIPA. Pentru a stabili dacă este sau nu este posibil să se contacteze persoana vizată sau dacă acest lucru implică eforturi excesive, ar trebui să se ia în considerare posibilitatea de a coopera cu exportatorul de date din UE.

Capitolul III secțiunea 3 Cazuri speciale privind datele pseudonimizate (articolele 28-2 – 28-7), permite prelucrarea informațiilor pseudonimizate fără consimțământul persoanei vizate în scopul elaborării de statistici, al cercetării științifice, al păstrării evidențelor publice etc. (articolul 28-2), dar, în astfel de cazuri, garanțiile și interdicțiile adecvate necesare pentru protejarea drepturilor persoanelor vizate sunt obligatorii (articolele 28-4 și 28-5), pot fi impuse suprataxe de penalizare pentru contravenienți (articolul 28-6), iar anumite garanții disponibile sub altă formă în temeiul PIPA nu se aplică (articolul 28-7).

Aceste dispoziții nu se aplică în cazurile în care informațiile pseudonimizate sunt prelucrate în alte scopuri decât elaborarea statisticilor, cercetarea științifică, păstrarea evidențelor publice etc. De exemplu, dacă informațiile cu caracter personal ale unei persoane din UE, care au fost transferate către Coreea în conformitate cu decizia Comisiei Europene privind caracterul adecvat al nivelului de protecție, sunt pseudonimizate în alte scopuri decât compilarea statisticilor, cercetarea științifică, păstrarea evidențelor publice etc., dispozițiile speciale din capitolul III secțiunea 3 nu se aplică.

În cazul în care un operator de informații cu caracter personal prelucrează informații pseudonimizate în scopul elaborării de statistici, al cercetării științifice, al păstrării registrelor publice etc. și în cazul în care informațiile pseudonimizate nu au fost distruse odată ce scopul specific al prelucrării a fost îndeplinit în concordanță cu articolul 37 din Constituție și cu articolul 3 (Principii privind protecția informațiilor cu caracter personal) din lege, acesta anonimizează informațiile pentru a se asigura că nu mai este posibilă identificarea unei anumite persoane, pe cont propriu sau în combinație cu alte informații, luând în considerare în mod rezonabil timpul, costul, tehnologia etc. în conformitate cu articolul 58-2 din PIPA.

să suspende încălcarea în ceea ce privește informațiile cu caracter personal;

să suspende temporar prelucrarea informațiilor cu caracter personal;

alte măsuri necesare pentru protecția informațiilor cu caracter personal și prevenirea încălcării securității informațiilor cu caracter personal.

În primul rând, precedentele jurisprudențiale interpretează noțiunea de prejudiciu dificil de remediat ca fiind un caz care ar putea aduce atingere drepturilor personale sau vieții private a unei persoane.

În consecință, un motiv întemeiat pentru a considera că a avut loc o încălcare în legătură cu informațiile cu caracter personal și că lipsa unei acțiuni este de natură să cauzeze un prejudiciu dificil de remediat, prevăzut la articolul 64 alineatele (1) și (2), se referă la cazurile în care se consideră că o încălcare a legii poate aduce atingere drepturilor și libertății persoanelor în ceea ce privește informațiile cu caracter personal. Acest lucru se va aplica ori de câte ori sunt încălcate oricare dintre principiile, drepturile și obligațiile prevăzute de legea privind protecția informațiilor cu caracter personal.

În conformitate cu articolul 64 alineatul (4) din Legea privind protecția informațiilor cu caracter personal este o măsură referitoare la o încălcare a prezentei legi, și anume o acțiune împotriva unei încălcări a PIPA.

informații cu caracter personal colectate în conformitate cu Legea privind statisticile pentru prelucrarea de către instituțiile publice;

informații cu caracter personal colectate sau a căror furnizare este solicitată pentru analiza informațiilor legate de securitatea națională;

informații cu caracter personal prelucrate temporar, atunci când sunt necesare urgent pentru siguranța și securitatea publică, sănătatea publică etc.;

informații cu caracter personal colectate sau utilizate în scopuri proprii de raportare de către presă, activitățile misionare ale organizațiilor religioase și, respectiv, nominalizarea candidaților de către partidele politice.

dreptul de a fi informată cu privire la prelucrarea unor astfel de informații cu caracter personal;

dreptul de a stabili dacă dorește sau nu să își dea consimțământul și domeniul de aplicare al consimțământului în ceea ce privește prelucrarea unor astfel de informații cu caracter personal;

dreptul de a confirma dacă informațiile cu caracter personal sunt prelucrate sau nu și de a solicita accesul (inclusiv furnizarea de copii; în continuare, se aplică aceleași dispoziții) pentru astfel de informații cu caracter personal;

dreptul de a suspenda prelucrarea acestor informații cu caracter personal și de a solicita rectificarea, ștergerea și distrugerea acestora;

dreptul la despăgubiri adecvate pentru orice prejudiciu care rezultă din prelucrarea unor astfel de informații cu caracter personal printr-o procedură promptă și echitabilă.

să primească rapoarte privind cererile de despăgubire și să organizeze consultări în legătură cu prelucrarea informațiilor cu caracter personal;

să investigheze și să confirme incidentele și să audieze opiniile părților afiliate;

atribuții conexe paragrafelor 1 și 2.

Colectarea de informații cu caracter personal în scopuri de securitate națională este reglementată de legi specifice care împuternicesc autoritățile competente (de exemplu, Serviciul Național de Informații) să intercepteze comunicațiile sau să solicite divulgarea în anumite condiții și garanții (denumite în continuare: legi privind securitatea națională). Aceste legi privind securitatea națională includ, de exemplu, Legea privind protecția confidențialității comunicațiilor, Legea privind combaterea terorismului pentru protecția cetățenilor și a securității publice sau Legea privind sectorul telecomunicațiilor. În plus, colectarea și prelucrarea ulterioară a informațiilor cu caracter personal trebuie să respecte cerințele PIPA. În această privință, potrivit articolului 58 alineatul (1) punctul 2 din PIPA, capitolele III-VII nu se aplică informațiilor cu caracter personal colectate sau a căror furnizare este solicitată pentru analiza informațiilor legate de securitatea națională. Prin urmare, această excepție parțială se aplică prelucrării informațiilor cu caracter personal în scopuri legate de securitatea națională.

specifică în mod explicit scopurile în care sunt prelucrate informațiile cu caracter personal și colectează informații cu caracter personal în mod legal și echitabil, în măsura minimă necesară în acest scop [articolul 3 alineatul (1) din PIPA]; mai precis, aceasta colectează și prelucrează suplimentar informațiile cu caracter personal numai în scopul îndeplinirii sarcinilor care îi revin în temeiul legilor relevante, cum ar fi Legea privind Serviciul Național de Informații;

prelucrează informațiile cu caracter personal în măsura minimă și pentru perioada minimă necesară pentru atingerea scopului preconizat [articolul 58 alineatul (4) din PIPA]; la atingerea scopului prelucrării, operatorul distruge în mod ireversibil informațiile cu caracter personal, cu excepția cazului în care păstrarea ulterioară este prevăzută în mod expres prin lege, caz în care informațiile cu caracter personal relevante sunt stocate și gestionate separat de alte informații cu caracter personal, nu sunt utilizate în alte scopuri decât cele specificate în lege și sunt distruse la sfârșitul perioadei de păstrare;

prelucrează informațiile cu caracter personal în modul adecvat, necesar scopurilor în care sunt prelucrate informațiile cu caracter personal și nu le utilizează în afara acestor scopuri [articolul 3 alineatul (2) din PIPA];

se asigură că informațiile cu caracter personal sunt exacte, complete și actualizate în măsura necesară în legătură cu scopurile în care sunt prelucrate informațiile cu caracter personal [articolul 3 alineatul (3) din PIPA];

gestionează informațiile cu caracter personal în condiții de siguranță, în conformitate cu metodele, tipurile etc. de prelucrare a informațiilor cu caracter personal, ținând seama de posibilitatea încălcării drepturilor persoanei vizate și de gravitatea riscurilor relevante [articolul 3 alineatul (4) din PIPA];

face publică politica sa de confidențialitate și alte aspecte legate de prelucrarea informațiilor cu caracter personal [articolul 3 alineatul (5) din PIPA];

prelucrează informațiile cu caracter personal într-un mod care să reducă la minimum posibilitatea de încălcare a vieții private a unei persoane vizate [articolul 3 alineatul (6) din PIPA].

În conformitate cu articolul 58 alineatul (4) din PIPA, operatorul (de exemplu, autoritățile competente pentru securitatea națională, cum ar fi NIS) ia măsurile necesare, precum instituirea unor garanții tehnice, de gestionare și fizice, pentru a asigura respectarea acestor principii și prelucrarea adecvată a informațiilor cu caracter personal. Aceasta poate include, de exemplu, măsuri specifice pentru a asigura siguranța informațiilor cu caracter personal, cum ar fi restricții privind accesul la informațiile cu caracter personal, controale ale accesului, jurnale, punerea la dispoziția angajaților a unor cursuri de formare specifice privind gestionarea informațiilor cu caracter personal etc.

dreptul de a obține confirmarea faptului că datele sale cu caracter personal sunt sau nu sunt prelucrate, precum și informații cu privire la prelucrare, precum și de acces la informațiile respective, inclusiv furnizarea de copii [articolul 4 alineatele (1) și (3) din PIPA];

dreptul de a suspenda prelucrarea și rectificarea, ștergerea și distrugerea informațiilor cu caracter personal [articolul 4 alineatul (4) din PIPA].

O persoană vizată poate depune o cerere în exercitarea acestor drepturi direct la operator sau indirect prin intermediul Comisiei pentru protecție și își poate autoriza reprezentantul să facă acest lucru. În cazul în care persoana vizată depune o cerere, operatorul acordă dreptul fără întârziere; totuși, cu condiția să poată amâna, limita sau refuza dreptul dacă este prevăzut în mod expres sau inevitabil să respecte alte legi în măsura în care și atât timp cât este necesar și proporțional pentru a proteja un obiectiv important de interes public (de exemplu, în măsura în care și atât timp cât acordarea dreptului ar pune în pericol o anchetă în curs sau ar amenința securitatea națională) sau în cazul în care acordarea dreptului poate aduce atingere vieții sau integrității fizice a unui terț sau poate încălca în mod nejustificat dreptul de proprietate și alte interese ale unui terț. În cazul în care cererea este respinsă sau restricționată, acesta notifică fără întârziere persoanei vizate motivele. Operatorul pregătește metoda și procedura pentru a permite persoanelor vizate să depună cereri și le anunță public, astfel încât persoanele vizate să poată lua cunoștință de acestea.

specifică în mod explicit scopurile în care sunt prelucrate informațiile cu caracter personal și colectează informații cu caracter personal în mod legal și echitabil, în măsura minimă necesară în acest scop [articolul 3 alineatul (1) din PIPA]; mai precis, aceasta colectează și prelucrează suplimentar informațiile cu caracter personal numai în scopul îndeplinirii sarcinilor care îi revin în temeiul legilor relevante, cum ar fi Legea privind Serviciul Național de Informații;

prelucrează informațiile cu caracter personal în măsura minimă și pentru perioada minimă necesară pentru atingerea scopului preconizat [articolul 58 alineatul (4) din PIPA]; la atingerea scopului prelucrării, operatorul distruge în mod ireversibil informațiile cu caracter personal, cu excepția cazului în care păstrarea ulterioară este prevăzută în mod expres prin lege, caz în care informațiile cu caracter personal relevante sunt stocate și gestionate separat de alte informații cu caracter personal, nu sunt utilizate în alte scopuri decât cele specificate în lege și sunt distruse la sfârșitul perioadei de păstrare;

prelucrează informațiile cu caracter personal în modul adecvat, necesar scopurilor în care sunt prelucrate informațiile cu caracter personal și nu le utilizează în afara acestor scopuri [articolul 3 alineatul (2) din PIPA];

se asigură că informațiile cu caracter personal sunt exacte, complete și actualizate în măsura necesară în legătură cu scopurile în care sunt prelucrate informațiile cu caracter personal [articolul 3 alineatul (3) din PIPA];

gestionează informațiile cu caracter personal în condiții de siguranță, în conformitate cu metodele, tipurile etc. de prelucrare a informațiilor cu caracter personal, ținând seama de posibilitatea încălcării drepturilor persoanei vizate și de gravitatea riscurilor relevante [articolul 3 alineatul (4) din PIPA];

face publică politica sa de confidențialitate și alte aspecte legate de prelucrarea informațiilor cu caracter personal [articolul 3 alineatul (5) din PIPA];

prelucrează informațiile cu caracter personal într-un mod care să reducă la minimum posibilitatea de încălcare a vieții private a unei persoane vizate [articolul 3 alineatul (6) din PIPA].

dreptul de a obține confirmarea faptului că datele sale cu caracter personal sunt sau nu sunt prelucrate, precum și informații cu privire la prelucrare, precum și de acces la informațiile respective, inclusiv furnizarea de copii [articolul 4 alineatele (1) și (3) din PIPA];

dreptul de a suspenda prelucrarea și rectificarea, ștergerea și distrugerea informațiilor cu caracter personal [articolul 4 alineatul (4) din PIPA].

ANEXA II

18 mai 2021

Excelenței Sale dl Didier Reynders, comisar pentru justiție al Comisiei Europene

Excelență,

Salut discuțiile constructive dintre Coreea și Comisia Europeană care vizează crearea cadrului pentru transferul de date cu caracter personal între UE și Coreea.

La cererea Comisiei Europene adresată guvernului Coreei, trimit un document anexat, care oferă o imagine de ansamblu a cadrului juridic privind accesul la informații al guvernului Coreei.

Acest document se referă la numeroase ministere și agenții ale Guvernului Coreei, iar în ceea ce privește conținutul documentului, ministerele și agențiile relevante (Comisia pentru protecția informațiilor cu caracter personal, Ministerul Justiției, Serviciul Național de Informații, Comisia națională pentru drepturile omului din Coreea, Centrul național de combatere a terorismului, Unitatea de informații financiare din Coreea) sunt responsabile de pasajele care intră în sfera lor de competență. Mai jos găsiți ministerele și agențiile relevante, precum și semnăturile aferente.

Comisia pentru protecția informațiilor cu caracter personal acceptă toate întrebările privind acest document și va coordona răspunsurile necesare în rândul ministerelor și al agențiilor relevante.

Sper ca acest document să fie util pentru luarea deciziilor la nivelul Comisiei Europene.

Apreciez contribuția importantă pe care ați adus-o până în prezent în acest domeniu.

Cu stimă,

Yoon Jong In

Președintele Comisiei pentru protecția informațiilor cu caracter personal

Acest document a fost elaborat de Comisia pentru protecția informațiilor cu caracter personal și de următoarele ministere și agenții:

Park Jie Won

Președinte (Director), Serviciul Național de Informații

Lee Jung Soo

Director general, Ministerul Justiției

Choi Young Ae

Președinte, Comisia națională pentru drepturile omului din Coreea

Kim Hyuck Soo

Director, Centrul național de combatere a terorismului

Kim, Jeong Kag

Comisar, Unitatea de informații financiare din Coreea