Ce qui a changé
- Le CEPD a approuvé un cycle de révision de 4 ans pour la décision d'adéquation de la Corée du Sud suite aux mises à jour légales de la PIPA concernant le consentement, la suspension du traitement et les droits relatifs aux décisions automatisées.
- Les recommandations finales pour les règles d'entreprise contraignantes pour les sous-traitants (BCR-P) ont été adoptées, exigeant une mise en conformité au cours du processus de demande ou d'ici la mise à jour annuelle de 2028.
- L'action du Cadre coordonné d'application (CEF) de 2027 ciblera les outils de recrutement assistés par l'IA et les droits des candidats en matière de prise de décision automatisée.
Le 10 novembre 2026, le Comité européen de la protection des données (CEPD) a adopté une déclaration sur le premier réexamen de la décision d'adéquation de la République de Corée, a publié ses recommandations finales sur les règles d'entreprise contraignantes pour les sous-traitants (BCR-P) et a annoncé que le recrutement assisté par l'IA constituerait le thème de son action 2027 au titre du Cadre coordonné d'application (CEF). Ces évolutions touchent les groupes d'entreprises multinationaux, les sous-traitants qui effectuent des transferts transfrontaliers de données hors d'Europe, ainsi que les employeurs qui utilisent des outils RH automatisés.
Concernant la République de Corée, le CEPD a évalué les récentes mises à jour de la loi sur la protection des informations personnelles (PIPA). Les principales modifications légales comprennent un droit général de retirer son consentement, un droit de demander la suspension du traitement, ainsi qu'un droit de s'opposer à des décisions automatisées ou d'obtenir des explications sur celles-ci — y compris lorsqu'elles sont prises via des systèmes d'intelligence artificielle (IA) — dès lors qu'elles affectent de manière significative les droits ou obligations des personnes concernées. L'article 28-8 de la PIPA a également clarifié les mécanismes de transfert international de données en établissant des alternatives spécifiques au consentement. Suite au rapport de la Commission européenne du 23 juillet 2026 [SWD(2026) 231 final] évaluant la décision d'adéquation de 2021 (adoptée à l'origine le 17 décembre 2021), le CEPD a approuvé le passage du cycle de révision de l'adéquation de la Corée du Sud à une fréquence quadriennale.
S'agissant des transferts de données transfrontaliers, le CEPD a adopté des recommandations finales relatives aux BCR-P à la suite d'une consultation publique. Les BCR-P permettent aux groupes d'entreprises de transférer des données à caractère personnel hors d'Europe vers des sous-traitants intragroupe tout en garantissant des droits opposables équivalents à ceux du Règlement général sur la protection des données (RGPD). Les recommandations mises à jour s'appliquent immédiatement à l'ensemble des titulaires de BCR-P, des candidats en cours d'instruction et des nouveaux demandeurs. Les entités doivent mettre en conformité leurs cadres BCR-P soit au cours de la procédure de demande en cours, soit lors de leur mise à jour annuelle de 2028.
Enfin, le CEPD a désigné la prise de décision automatisée dans le recrutement assisté par IA comme thème du CEF pour 2027. Cette initiative se concentre sur les outils de sélection des candidats, en veillant à l'application du droit consacré par le RGPD de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, ainsi que du droit d'accès correspondant. Les autorités de protection des données (APD) y participeront sur une base volontaire, les actions de contrôle officielles débutant en 2027.
Qui peut être concerné
Les groupes d'entreprises multinationaux transférant des données à caractère personnel hors d'Europe, les sous-traitants de données s'appuyant sur des BCR-P, les employeurs utilisant des outils de sélection automatisée des candidats basés sur l'IA, ainsi que les personnes concernées au sein de l'UE et en Corée du Sud.
Contexte transfrontalier
S'applique aux flux de données transfrontaliers entre l'UE et la Corée du Sud dans le cadre du régime d'adéquation, ainsi qu'aux transferts intragroupe hors d'Europe via les mécanismes BCR-P.
Points à vérifier ensuite
- Consulter le document officiel des recommandations finales du CEPD relatives aux BCR-P ainsi que la version faisant apparaître les modifications.
- Évaluer les cadres BCR-P de l'entreprise afin de planifier leur mise en conformité lors de la mise à jour annuelle de 2028 ou au cours du processus de demande en cours.
- Suivre les annonces des APD nationales concernant leur participation volontaire à l'action du CEF 2027 sur les outils de recrutement par IA.
Cet article fournit des informations générales et ne constitue pas un conseil juridique. Consultez le texte officiel et obtenez des conseils adaptés à votre situation si nécessaire.