Ce qui a changé
- Approbation d'un cycle d'examen de quatre ans pour la décision d'adéquation de la République de Corée sur la base des mises à jour législatives de la PIPA.
- Adoption des recommandations finales relatives aux règles d'entreprise contraignantes pour les sous-traitants (BCR-P), exigeant une mise en conformité au plus tard lors de la mise à jour annuelle de 2028.
- Sélection de la prise de décision automatisée basée sur l'IA dans le recrutement de candidats pour le cadre d'application coordonné de 2027.
Le Comité européen de la protection des données (CEPD) a adopté trois mises à jour réglementaires majeures lors de sa dernière session plénière, ayant un impact direct sur les instruments de transfert international de données, les règles de traitement des données intra-groupe et les actions d'application des autorités de contrôle au sein de l'Union européenne.
Premièrement, le CEPD a adopté une déclaration concernant le premier examen de la décision d'adéquation de la République de Corée. À la suite d'une réunion d'examen en ligne le 17 octobre 2025 et du rapport ultérieur de la Commission européenne le 23 juillet 2026 (SWD(2026) 231 final), le CEPD s'est félicité des amendements clés apportés à la loi sud-coréenne sur la protection des informations personnelles (PIPA). Les modifications légales ont introduit un droit général de retirer son consentement, des droits de demander la suspension du traitement, ainsi que des droits de refuser des décisions automatisées ou d'en demander des explications, y compris celles générées par des systèmes d'IA. De plus, l'article 28-8 de la PIPA a clarifié le cadre juridique des transferts internationaux en fournissant des instruments de transfert spécifiques comme alternatives au consentement, tandis que les pouvoirs de sanction de la Commission de protection des informations personnelles (PIPC) ont été renforcés. En conséquence, le CEPD a approuvé la proposition de la Commission de passer à un cycle d'examen d'adéquation de quatre ans.
Deuxièmement, le CEPD a finalisé et adopté des recommandations sur les règles d'entreprise contraignantes pour les sous-traitants (BCR-P). Les BCR-P servent d'outil juridique permettant à des groupes d'entreprises de transférer des données à caractère personnel hors d'Europe vers des sous-traitants situés au sein du même groupe, tout en maintenant des normes de protection des données essentiellement équivalentes au RGPD. Ces recommandations s'appliquent désormais à tous les détenteurs actuels de BCR-P ainsi qu'aux nouveaux demandeurs et à ceux dont la demande est en cours. Les entités doivent mettre leurs cadres de BCR-P en conformité au cours du processus de demande ou dans le cadre de leur mise à jour annuelle de 2028.
Troisièmement, le Comité a sélectionné la prise de décision automatisée (ADM), y compris les outils basés sur l'IA dans le recrutement de candidats, comme thème de sa sixième action du cadre d'application coordonné (CEF). Prévue pour être lancée en 2027, cette action évaluera la manière dont les autorités de protection des données font respecter le droit des personnes de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé ainsi que leur droit d'accès associé concernant la sélection automatisée des candidats.
Les organisations transférant des données entre l'UE et la Corée du Sud, les groupes multinationaux utilisant les mécanismes de transfert BCR-P et les employeurs déployant des logiciels de recrutement automatisés doivent évaluer leurs opérations au regard de ces normes réglementaires mises à jour.
Qui peut être concerné
Entités effectuant des transferts de données entre l'UE et la Corée du Sud, groupes d'entreprises s'appuyant sur des BCR sous-traitant pour les transferts internationaux de données intra-groupe et employeurs utilisant des outils de sélection de candidats automatisés ou basés sur l'IA.
Contexte transfrontalier
Concerne les transferts de données de l'UE vers la République de Corée dans le cadre d'adéquation du RGPD et régit les transferts hors d'Europe vers les sous-traitants du groupe en vertu des règles d'entreprise contraignantes pour les sous-traitants.
Points à vérifier ensuite
- Consulter les recommandations finalisées du CEPD et le document de suivi des modifications pour les règles d'entreprise contraignantes pour les sous-traitants.
- Suivre les inscriptions volontaires des autorités nationales de protection des données à l'action d'application du CEF 2027 sur le recrutement.
Cet article fournit des informations générales et ne constitue pas un conseil juridique. Consultez le texte officiel et obtenez des conseils adaptés à votre situation si nécessaire.