主要变化
- 在韩国《个人信息保护法》（PIPA）就同意、暂停处理以及自动化决策权利进行法定更新后，EDPB认可了对韩国充分性决定实行4年复审周期。
- 关于处理者约束性企业规则（BCR-P）的最终建议已获通过，要求在申请过程中或在2028年年度更新前完成合规调整。
- 2027年协调执法框架（CEF）行动将针对AI辅助招聘工具以及应聘者在自动化决策方面的权利。
2026年11月10日，欧洲数据保护委员会（EDPB）通过了关于大韩民国充分性决定首次复审的声明，发布了关于处理者约束性企业规则（BCR-P）的最终建议，并宣布将AI辅助招聘作为其2027年协调执法框架（CEF）行动的主题。这些最新进展影响到跨国企业集团、在欧洲以外开展跨境传输的数据处理者，以及使用自动化人力资源工具的雇主。
针对大韩民国，EDPB评估了其《个人信息保护法》（PIPA）的最新修改。关键法定修改包括：撤回同意的一般权利、请求暂停处理的权利，以及对显著影响数据主体权利或义务的自动化决策——包括通过人工智能（AI）系统做出的决策——提出异议或寻求解释的权利。PIPA第28-8条还明确了国际数据传输机制，确立了同意的具体替代方案。继欧盟委员会于2026年7月23日就评估2021年充分性决定（最初于2021年12月17日通过）发布报告 [SWD(2026) 231 final] 之后，EDPB认可将韩国的充分性复审周期调整为每四年一次。
关于跨境数据传输，EDPB在公众咨询后通过了关于BCR-P的最终建议。BCR-P使企业集团能够将个人数据传输至欧洲之外的集团内部处理者，同时确保与《通用数据保护条例》（GDPR）同等的可执行权利。更新后的建议立即适用于所有BCR-P持有人、审查中的申请人及新申请人。实体必须在正在进行的申请过程中或在2028年年度更新期间调整其BCR-P框架。
最后，EDPB将AI辅助招聘中的自动化决策指定为其2027年CEF主题。该倡议聚焦于应聘者筛选工具，执行GDPR项下不受制于仅基于自动化决策的权利以及相应的访问权。数据保护主管机关（DPA）将自愿参与，官方执法行动将于2027年启动。
受影响对象
在欧洲之外传输个人数据的跨国企业集团、依赖BCR-P的数据处理者、使用AI自动化应聘者筛选工具的雇主，以及欧盟和韩国的数据主体。
跨境背景
适用于充分性框架下欧盟与韩国之间的跨境数据流动，以及通过BCR-P机制在欧洲之外进行的集团内部传输。
后续关注事项
- 查阅关于BCR-P的EDPB官方最终建议文件及修订痕迹版本。
- 评估企业BCR-P框架，以安排在2028年年度更新或进行中的申请程序中完成调整。
- 关注各国DPA关于自愿参与2027年针对AI招聘工具的CEF行动的公告。
本文仅提供一般性信息，不构成法律意见。必要时请查阅官方文本并根据您的具体情况寻求专业建议。