主要变化
- 基于 PIPA（《个人信息保护法》）立法更新，认可针对大韩民国充分性决定的四年审查周期。
- 通过处理者约束性企业规则（BCR-P）最终建议，要求最晚在 2028 年年度更新前实现合规。
- 选定求职者招聘中由 AI 驱动的自动化决策作为 2027 年协调执法框架的主题。
欧洲数据保护委员会（EDPB）在其最近的全体会议上通过了三项重大监管更新，直接影响国际数据传输工具、集团内部数据处理规则以及整个欧盟范围内的监督执法。
首先，EDPB 就大韩民国充分性决定的首次审查发表了声明。继 2025 年 10 月 17 日的在线审查会议以及欧洲委员会随后于 2026 年 7 月 23 日发布的报告（SWD(2026) 231 final）之后，EDPB 对韩国《个人信息保护法》（PIPA）的关键修正案表示欢迎。法定变更引入了撤回同意的一般权利、请求暂停处理的权利，以及拒绝或要求对自动化决策（包括由 AI 系统驱动的决策）作出解释的权利。此外，PIPA 第 28 条之 8 明确了国际传输的法律框架，提供了特定传输工具作为同意的替代方案，同时加强了韩国个人信息保护委员会（PIPC）的执法权力。因此，EDPB 赞同委员会关于转向四年充分性审查周期的建议。
其次，EDPB 最终定稿并提出了关于处理者约束性企业规则（BCR-P）的建议。BCR-P 是企业集团在将个人数据传输至欧洲境外同集团内部处理者时所使用的法律工具，同时保持与 GDPR 本质相当的数据保护标准。这些建议现适用于所有现有的 BCR-P 持有者以及新的和正在申请的机构。实体必须在申请过程中或作为其 2028 年年度更新的一部分，使其 BCR-P 框架符合要求。
第三，委员会选择自动化决策（ADM），包括求职者招聘中的 AI 驱动工具，作为其第六次协调执法框架（CEF）行动的主题。该行动计划于 2027 年启动，旨在评估数据保护机构如何落实个人不受制于仅基于自动化决策的权利，以及与其相关的对自动化求职者筛选的查阅权。
在欧盟与韩国之间传输数据的组织、利用 BCR-P 传输机制的跨国集团以及应用自动化招聘软件的雇主，均应根据这些最新的监管标准评估其业务运营。
受影响对象
在欧盟与韩国之间开展数据传输的实体、依赖处理者 BCR 进行集团内部国际数据传输的企业集团，以及使用自动化或 AI 求职者筛选工具的雇主。
跨境背景
影响 GDPR 充分性框架下从欧盟至大韩民国的数据传输，并依据处理者约束性企业规则规范向欧洲境外集团处理者的传输。
后续关注事项
- 审阅已定稿的 EDPB 处理者约束性企业规则建议及修订留痕文档。
- 关注各国数据保护机构自愿报名参与 2027 年 CEF 招聘执法行动的情况。
本文仅提供一般性信息，不构成法律意见。必要时请查阅官方文本并根据您的具体情况寻求专业建议。