Bruxelles, 11. studenoga – Europski odbor za zaštitu podataka (EDPB) na posljednjoj je plenarnoj sjednici donio izjavu o prvom preispitivanju funkcioniranja odluke o primjerenosti za Republiku Koreju te konačnu verziju preporuka o zahtjevu za odobrenje te elementima i načelima koje trebaju sadržavati obvezujuća korporativna pravila za izvršitelje obrade (BCR-P). Odbor je ujedno odabrao temu svojeg šestog koordiniranog provedbenog djelovanja u okviru Okvira za koordiniranu provedbu (CEF).
Izjava EDPB-a o prvom preispitivanju odluke o primjerenosti za Republiku Koreju ponajprije se odnosi na procjenu izmjena korejskog pravnog okvira za zaštitu podataka, kako u dijelu koji se odnosi na komercijalni sektor tako i u dijelu koji uređuje pristup osobnim podacima i njihovu uporabu od strane korejskih tijela javne vlasti.
Primjerice, izmjenama Zakona o zaštiti osobnih podataka (PIPA) uvedeno je novo opće pravo na povlačenje privole, pravo zahtijevati obustavu obrade osobnih podataka te pravo odbiti odluku donesenu automatiziranim putem, uključujući odluke koje donose sustavi umjetne inteligencije, ili zatražiti njezino obrazloženje ako takva odluka znatno utječe na prava ili obveze ispitanika.
Kad je riječ o daljnjim prijenosima podataka, EDPB pozdravlja i izmjene PIPA-e kojima se uređuje pravni okvir za međunarodne prijenose osobnih podataka. Tim se izmjenama pojašnjava da se prekogranični prijenosi osobnih podataka moraju temeljiti na određenim instrumentima za prijenos (članak 28-8 PIPA-e), čime se omogućuje oslanjanje i na druge instrumente osim privole.
EDPB također pozdravlja jačanje ovlasti korejskog nadzornog tijela za zaštitu podataka (PIPC) u području provedbe propisa i izricanja sankcija.
EDPB suglasan je s prijedlogom Komisije da se savjetuje s Odborom osnovanim na temelju članka 93. stavka 1. Opće uredbe o zaštiti podataka o preispitivanju odluke o primjerenosti svake četiri godine.
Donesena konačna verzija preporuka o obvezujućim korporativnim pravilima za izvršitelje obrade
Nakon javnog savjetovanja EDPB je donio konačnu verziju preporuka o zahtjevu za odobrenje te elementima i načelima koje trebaju sadržavati obvezujuća korporativna pravila za izvršitelje obrade (BCR-P). BCR-P je instrument kojim se grupa poduzetnika ili poduzeća može koristiti za prijenos osobnih podataka izvršiteljima obrade unutar iste grupe koji se nalaze izvan Europe. Obvezujućim korporativnim pravilima uspostavljaju se pravno provediva prava i utvrđuju obveze kojima se osigurava razina zaštite podataka u bitnome jednakovrijedna onoj koju pruža Opća uredba o zaštiti podataka.
Preporuke se od sada primjenjuju na sve subjekte s odobrenim BCR-P-om. Ti subjekti, kao i svi novi podnositelji zahtjeva te oni čiji su zahtjevi već u postupku odobravanja, trebaju uskladiti svoja obvezujuća korporativna pravila s preporukama, ovisno o svojoj situaciji, tijekom postupka odobravanja ili u okviru godišnjeg ažuriranja u 2028. godini.
U skladu s ciljem jačanja dijaloga s dionicima utvrđenim u Helsinškoj izjavi, Odbor je objavio i izvješće o rezultatima javnog savjetovanja te verziju preporuka s označenim izmjenama.
Okvir za koordiniranu provedbu: odabrana tema za 2027. godinu
EDPB je odabrao temu svojeg šestog koordiniranog provedbenog djelovanja, koje će biti posvećeno automatiziranom donošenju odluka u postupcima zapošljavanja, uključujući donošenje odluka primjenom umjetne inteligencije.
Djelovanje će se konkretno usmjeriti na provedbu prava ispitanika da se na njega ne odnosi odluka koja se temelji isključivo na automatiziranoj obradi te povezanog prava na pristup osobnim podacima, u kontekstu uporabe alata za automatizirani predodabir kandidata, uključujući alate koji se temelje na umjetnoj inteligenciji. Nadzorna tijela za zaštitu podataka u sljedećim će se tjednima moći dobrovoljno uključiti u ovu provedbenu akciju koja će započeti tijekom 2027. godine.
Više informacija o Okviru za koordiniranu provedbu te izvješća o prethodnim koordiniranim provedbenim djelovanjima dostupni su ovdje.
