Le Comité européen de la protection des données (CEPD) a adopté une déclaration sur l'examen de la décision d'adéquation de la République de Corée, des recommandations sur les règles d'entreprise contraignantes pour les sous-traitants et a choisi le thème de sa future action répressive coordonnée.

Dans sa déclaration sur le premier examen de la décision d'adéquation de la République de Corée, le CEPD évalue positivement les amendements apportés au cadre juridique coréen, notamment la Loi sur la protection des informations personnelles (PIPA). Ces modifications introduisent un droit au retrait du consentement, un droit à la suspension du traitement et un droit de refuser une décision automatisée, y compris par des systèmes d'intelligence artificielle. Le CEPD salue également la clarification des outils de transfert pour les transferts internationaux de données et le renforcement des pouvoirs de sanction de l'autorité de protection des données coréenne (PIPC). En conséquence, le Comité approuve la proposition de la Commission européenne de réexaminer cette décision d'adéquation tous les quatre ans.

Le CEPD a adopté la version finale de ses recommandations sur les règles d'entreprise contraignantes pour les sous-traitants (BCR-P), un outil de transfert de données hors d'Europe au sein d'un même groupe d'entreprises. Ces recommandations sont désormais applicables à tous les détenteurs de BCR-P, ainsi qu'aux nouvelles demandes et à celles en cours. Les entités concernées devront mettre leurs BCR-P en conformité avec ces nouvelles exigences soit au cours de leur processus de demande, soit au plus tard lors de leur mise à jour annuelle de 2028.

Enfin, le Comité a sélectionné le thème de sa sixième action répressive coordonnée pour 2027, qui portera sur la prise de décision automatisée, y compris celle utilisant l'intelligence artificielle, dans le domaine du recrutement. L'action se concentrera sur l'application du droit de ne pas faire l'objet de décisions fondées exclusivement sur un traitement automatisé et du droit d'accès associé, dans le contexte des outils de sélection automatisée des candidats. Le lancement de cette action, à laquelle les autorités de protection des données participeront sur une base volontaire, est prévu courant 2027.