(1)

С Регламент (ЕС) 2016/679 се определят правилата за предаването на лични данни от администратори или обработващи лични данни в Съюза на трети държави и международни организации, доколкото това предаване попада в неговото приложно поле. Правилата относно международното предаване на данни са установени в глава V (членове 44—50) от този регламент. Въпреки че движението на лични данни към и от държави извън Европейския съюз е от съществено значение за разширяването на трансграничната търговия и международното сътрудничество, нивото на защита, което се предоставя на личните данни в Съюза, не трябва да се излага на риск при предаване на трети държави (2).

(2)

Съгласно член 45, параграф 3 от Регламент (ЕС) 2016/679 Комисията може да реши посредством акт за изпълнение, че дадена трета държава, територия или един или повече конкретни сектори в дадена трета държава, или дадена международна организация осигуряват адекватно ниво на защита. При това условие предаването на лични данни на трета държава може да се извършва, без да е необходимо допълнително разрешение, както е предвидено в член 45, параграф 1 и в съображение 103 от Регламент (ЕС) 2016/679.

(3)

Както е посочено в член 45, параграф 2 от Регламент (ЕС) 2016/679, приемането на решение относно адекватността на защита трябва да се основава на цялостен анализ на правния ред на третата държава, който обхваща както правилата, приложими към вносителите на данни, така и ограниченията и гаранциите по отношение на достъпа до лични данни от страна на публичните органи. В своята оценка Комисията трябва да определи дали въпросната трета държава гарантира ниво на защита, равностойно „по същество“ на осигуреното в рамките на Европейския съюз (съображение 104 от Регламент (ЕС) 2016/679). Стандартът, спрямо който се оценява равностойността по същество, е определеният от законодателството на ЕС, по-специално от Регламент (ЕС) 2016/679, както и от съдебната практика на Съда на Европейския съюз (3).

(4)

Както бе пояснено от Съда на Европейския съюз, това не изисква установяване на идентично ниво на защита (4). По-специално средствата, до които въпросната трета държава прибягва за защита на личните данни, може да са различни от прилаганите в Съюза, стига те на практика да се окажат ефективни за осигуряването на адекватно ниво на защита (5). Поради това стандартът за адекватно ниво на защита не включва изискване за буквално възпроизвеждане на правилата на Съюза. Критерият се състои по-скоро в това дали чрез същността на правата на неприкосновеност на личния живот и тяхното ефективно прилагане, надзор и изпълнение чуждестранната система като цяло осигурява необходимото ниво на защита (6). В референтния документ за адекватното ниво на защита на Европейския комитет по защита на данните, който се стреми да изясни допълнително този стандарт, също са предоставени насоки в това отношение (7).

(5)

Комисията анализира внимателно корейското право и практиката по него. Въз основа на констатациите, установени в съображения 8—208, Комисията заключава, че Република Корея осигурява адекватно ниво на защита на личните данни, предавани от администраторите или обработващите лични данни в Съюза (8) на образувания (например физически или юридически лица, организации, публични институции) в Корея, които попадат в приложното поле на Закона за защита на личните данни (Закон № 10465 от 29 март 2011 г., последно изменен със Закон № 16930 от 4 февруари 2020 г.). Това включва както администратори, така и обработващи лични данни (наречени „външни изпълнители“ (9)) по смисъла на Регламент (ЕС) 2016/679. Констатацията за адекватно ниво на защита не обхваща обработването на лични данни за мисионерски дейности от религиозни организации или определянето на кандидати от политически партии, или обработването на лична кредитна информация съгласно Закона за кредитната информация от администратори на лични данни, които подлежат на надзор от Комисията по финансов надзор.

(6)

В това заключение са взети предвид допълнителните гаранции, посочени в Уведомление № 2021-5 (приложение I), и официалните изявления, уверения и ангажименти от корейското правителство пред Комисията (приложение II).

(7)

Действието на настоящото решение се изразява в това, че предаването на лични данни на администратори и обработващи лични данни в Република Корея може да се извършва, без да е необходимо получаването на допълнително разрешение. То не засяга прякото приложение на Регламент (ЕС) 2016/679 спрямо такива образувания, когато условията относно териториалното приложение на посочения регламент, изложени в член 3 от него, са изпълнени.

(8)

Нормативната уредба на правото на неприкосновеност на личния живот и защита на личните данните в Корея се основава на Конституцията на Корея, обнародвана на 17 юли 1948 г. Макар че правото на защита на личните данни не е изрично уредено в Конституцията, все пак то е признато като основно право, произтичащо от конституционните права за човешко достойнство и стремеж към щастие (член 10), личен живот (член 17) и поверителност на комуникациите (член 18). Това е потвърдено както от Върховния съд (10), така и от Конституционния съд (11). Ограниченията на човешките права и свободи (включително правото на неприкосновеност на личния живот) могат да бъдат налагани само със закон и когато това е необходимо за националната сигурност или за поддържането на законността и реда за благото на обществото, и не могат да засягат същността на разглежданото право или свобода (член 37, параграф 2).

(9)

Макар че на различни места в Конституцията се разглеждат правата на корейските граждани, Конституционният съд се е произнесъл, че чужденците също са обект на основни права (12). По-специално Съдът е постановил, че защитата на човешкото достойнство и стойност, както и правото на стремеж към щастие, са права на всяко човешко същество, а не само на гражданите на страната (13). Освен това съгласно официалните изявления на корейското правителство (14) по принцип се приема, че в членове 12—22 от Конституцията (които включват правата на неприкосновеност на личния живот) са залегнали основните човешки права (15). Макар че до момента не съществува съдебна практика, касаеща специално правото на неприкосновеност на личния живот на чужденците, обосноваването му със зачитането на човешкото достойнство и стремежа към щастие е в подкрепа на този извод (16).

(10)

Освен това Корея е приела поредица от закони в областта на защитата на данните, които предоставят гаранции на всички физически лица, независимо от тяхната националност (17). За целите на настоящото решение са приложими следните закони:

(11)

Със ЗЗЛД се урежда общата правна уредба за защита на данните в Република Корея. Той е допълнен от Указ за прилагане (Президентски указ № 23169 от 29 септември 2011 г., последно изменен с Президентски указ № 30892 от 4 август 2020 г.) (Указ за прилагане на ЗЗЛД), който подобно на ЗЗЛД е правно обвързващ и приложим.

(12)

Освен това в регулаторните „Уведомления“, приети от Комисията за защита на личните данни (КЗЛД), са предвидени допълнителни правила относно тълкуването и прилагането на ЗЗЛД. Въз основа на член 5 (Задължения на държавата) и член 14 (Международно сътрудничество) от ЗЗЛД КЗЛД прие Уведомление № 2021-5 от 1 септември 2020 г. (изменено с № 2021-1 от 21 януари 2021 г. и Уведомление № 2021-5 от 16 ноември 2021 г., по-долу „Уведомление №2021-5“) относно тълкуването, прилагането и изпълнението на определени разпоредби на ЗЗЛД. В това уведомление се дават пояснения относно обработването на лични данни съгласно ЗЗЛД, както и допълнителни гаранции за предаваните на Корея лични данни въз основа на настоящото решение. Уведомлението е правно обвързващо за администраторите на лични данни и спазването му може да бъде осигурено както от КЗЛД, така и от съдилищата (19). Нарушението на посочените в Уведомлението правила означава нарушение на съответните разпоредби на ЗЗЛД, които те допълват. Поради това съдържанието на допълнителните гаранции се анализира като част от оценката на съответните членове на ЗЗЛД. Накрая, допълнителни насоки относно ЗЗЛД и Указа за прилагането му, в които се предоставя информация за прилагането и изпълнението на правилата за защита на данните от КЗЛД, са предоставени в Наръчника относно ЗЗЛД и приетите от КЗЛД насоки (20).

(13)

Въз основа на член 5 (Задължения на държавата) и член 14 (Международно сътрудничество) от ЗЗЛД КЗЛД прие Уведомление № 2021-1 от 1 септември 2020 г. (изменено с № 2021-1 от 21 януари 2021 г., по-долу „Уведомление №2021-1“) относно тълкуването, прилагането и изпълнението на определени разпоредби на ЗЗЛД. По-конкретно това включва името, данните за контакт, финансовите сделки, кредитния рейтинг, застрахователния статут или салдото по заем, когато тази информация се използва за определяне на кредитоспособността на лицето (21). От друга страна когато тази информация се използва за други цели (като например във връзка с човешки ресурси), ЗЗЛД се прилага в своята цялост. Що се отнася до специалните разпоредби на ЗКИ за защита на данните, спазването им се контролира частично от КЗЛД (за търговски организации вж. член 45-3 от ЗКИ) и частично от Комисията по финансовите услуги (22) (относно финансовия сектор, включително агенции за кредитен рейтинг, банки, застрахователни дружества, взаимоспомагателни банки, специализирани кредитни финансови дружества, дружества за финансови инвестиционни услуги, финансови дружества за ценни книжа, кредитни съюзи и т.н., вж. член 45, параграф 1 от ЗКИ във връзка с член 36-2 от Указа за прилагане на ЗКИ и член 38 от Закона за Комисията по финансовите услуги). Във връзка с това обхватът на настоящото решение е ограничен до търговски оператори, които подлежат на надзор от страна на КЗЛД (23). Специалните правила на ЗКИ, които са приложими в този контекст (когато няма специални правила, се прилагат общите правила на ЗЗЛД), са описани в раздел 2.3.11.

(14)

Защитата на личните данни се урежда от ЗЗЛД (член 6), освен ако в други законови актове е предвидено друго. Неговото материално и персонално приложно поле се определя от установените понятия за „лични данни“, „обработване“ и „администратор на лични данни“.

(15)

В член 2, параграф 1 от ЗЗЛД личните данни се определят като информация, свързана с живо физическо лице, която го идентифицира пряко, например чрез неговото име, регистрационен номер или изображение, или непряко, а именно когато информация, която сама по себе си не може да послужи за идентифициране на определено лице, лесно може да се комбинира с друга информация. Дали информацията може да се комбинира „лесно“, зависи от това дали има достатъчна вероятност за такава комбинация, като се отчита възможността за получаване на друга информация, както и времето, разходите и технологиите, необходими за идентифицирането на дадено лице.

(16)

Освен това псевдонимизирана информация, т.е. информация, чрез която не може да се идентифицира конкретно лице, без да се използва допълнителна информация или без тя да се комбинира с допълнителна информация, за да бъде възстановена в предишния си вид, се смята за лични данни съгласно ЗЗЛД (член 2, параграф 1, буква в) от ЗЗЛД). За разлика от това информацията, която е напълно „анонимизирана“, е изключена от приложното поле на ЗЗЛД (член 58-2 от ЗЗЛД). Такъв е случаят с информация, чрез която не може да бъде идентифицирано конкретно физическо лице, дори ако се комбинира с друга информация, като се отчитат в разумна степен необходимите за идентифицирането време, разходи и технологии.

(17)

Това съответства на материалното приложно поле на Регламент (ЕС) 2016/679 и неговите понятия за „лични данни“, „псевдонимизация“ (24) и „анонимна информация“ (25).

(18)

Понятието „обработване“ се определя в широк смисъл в ЗЗЛД като „събирането, създаването, свързването, блокирането, записването, съхраняването, запазването, обработването с добавена стойност, редактирането, извличането, произвеждането, коригирането, възстановяването, използването, предоставянето и разкриването на лични данни и други сходни дейности“ (26). Макар че някои разпоредби на ЗЗЛД се отнасят само до конкретни видове обработване, като „използване“, „предоставяне“ или „събиране“ (27), понятието за „използване“ се тълкува като включващо всеки вид обработване, различно от „събиране“ или „предоставяне“ (на трета страна). Това широко тълкуване на „използване“ гарантира липсата на пропуски в защитата по отношение на конкретни дейности по обработване. Следователно понятието за обработване съответства на същото понятие съгласно Регламент (ЕС) 2016/679.

(19)

ЗЗЛД се прилага за администраторите на лични данни („администратор“). Подобно на Регламент (ЕС) 2016/679 това включва всяка публична институция, юридическо лице, организация или физическо лице, които обработват лични данни пряко или непряко с цел управление на досиета с лични данни като част от своите дейности (28). В този контекст „досие с лични данни“ означава „набор или набори лични данни, подредени или организирани по систематичен начин въз основа на определено правило за лесен достъп до личните данни“ (член 2, параграф 4 от ЗЗЛД) (29). Във вътрешен план администраторът е длъжен да обучава лицата, които участват в обработването под негово ръководство, като например фирмени длъжностни лица или служители, и да упражнява подходящ контрол и надзор върху тях (член 28, параграф 1 от ЗЗЛД).

(20)

Предвиждат се специални задължения, когато администратор („възложителят“) възлага обработването на лични данни на трето лице („външния изпълнител“). По-специално възлагането на дейности на външни изпълнители трябва да се урежда от правно обвързваща договореност (обикновено договор) (30), в която се определят обхватът на работата, възложена на външен изпълнител, целта на обработването, надзорът от администратора, отговорността (обезщетение за щети, причинени от нарушаването на договорни задължения), както и ограниченията при възложеното на подизпълнител обработване (31) (член 26, параграфи 1 и 2 от ЗЗЛД във връзка с член 28, параграф 1 от Указа за прилагане на ЗЗЛД) (32).

(21)

Освен това администраторът трябва да публикува и постоянно да актуализира подробности за възложената на външен изпълнител работа и за идентичността на външния изпълнител или, доколкото възложеното на външен изпълнител обработване се отнася за дейности по директен маркетинг, да уведомява пряко лицата за съответната информация (член 26, параграфи 2 и 3 от ЗЗЛД във връзка с член 28, параграфи 2—5 от Указа за прилагане на ЗЗЛД) (33).

(22)

Освен това съгласно член 26, параграф 4 от ЗЗЛД във връзка с член 28, параграф 6 от Указа за прилагане на ЗЗЛД администраторът е длъжен да „обучи“ външния изпълнител относно необходимите мерки за сигурност и да упражнява надзор, включително чрез инспекции, над спазването на всички задължения на администратора съгласно ЗЗЛД (34), както и съгласно договора с външния изпълнител. Когато външният изпълнител причини вреда поради нарушение на ЗЗЛД, неговите действия или бездействия ще бъдат приписани на администратора за целите на отговорността, както когато вредата е причинена от служител на администратора (член 26, параграф 6 от ЗЗЛД).

(23)

Макар че в ЗЗЛД не се използват различни понятия за „администратори“ и „обработващи лични данни“, правилата за възлагане на дейности на външни изпълнители предвиждат по същество равностойни задължения и гаранции, като тези, с които се урежда взаимоотношението между администратори и обработващи лични данни съгласно Регламент (ЕС) 2016/679.

(24)

Макар че ЗЗЛД се отнася за обработването на лични данни от администратор, определени разпоредби съдържат специални правила (като lex specialis) за обработването на лични данни на „ползватели“ от „доставчици на информационни и комуникационни услуги“ (35). Понятието „ползватели“ обхваща лица, които използват информационни и комуникационни услуги (член 2, параграф 1, точка 4 от Закона за насърчаване на използването на информационната и комуникационната мрежа и за защита на данните, „Закон за мрежата“). Това изисква от лицето да използва пряко телекомуникационните услуги, които се предоставят от корейски телекомуникационен оператор, или да използва информационни услуги (36), които се предоставят за търговски цели (т.е. за печалба) от образувание, което на свой ред разчита на услугите на телекомуникационен оператор, лизцензиран/регистриран в Корея (37). И в двата случая образуванието, което е обвързано от специалните разпоредби на ЗЗЛД, е това, което предлага онлайн услуга пряко на дадено лице (т.е. ползвател).

(25)

За разлика от това констатацията за адекватно ниво на защита засяга единствено нивото на защита, което се осигурява за личните данни, предавани от администратор/обработващ лични данни в Съюза на образувание в трета държава (в случая: Република Корея). В този сценарий лицата в Съюза обикновено ще имат пряко взаимоотношение само с „износителя на данни“ в Съюза, а не с корейския доставчик на информационни и комуникационни услуги (38). Следователно специалните разпоредби на ЗЗЛД по отношение на личните данни на ползвателите на информационни и комуникационни услуги ще се прилагат най-много само в ограничени ситуации за лични данни, предавани съгласно настоящото решение.

(26)

Съгласно член 58, параграф 1 от ЗЗЛД част от ЗЗЛД (т.е. членове 15—57) не се прилага по отношение на четири категории обработване на данни (39). По-конкретно не се прилагат частите от ЗЗЛД, в които се разглеждат конкретните основания за обработването, определени задължения за защита на данните, подробните правила за упражняването на индивидуални права, както и правилата, уреждащи разрешаването на спорове от Комитета за уреждане на спорове, свързани с лични данни. Други основни разпоредби от ЗЗЛД остават приложими, по-конкретно общите разпоредби относно принципите за защита на данните (член 3 от ЗЗЛД) — включително например принципите за законосъобразност, за определяне на целта и за ограничаване на целта, за свеждане на данните до минимум, за точност и сигурност на данните — и индивидуалните права (на достъп, коригиране, заличаване и преустановяване, вж. член 4 от ЗЗЛД). В допълнение към това в член 58, параграф 4 от ЗЗЛД се налагат конкретни задължения по отношение на такива дейности по обработване, а именно по отношение на свеждането на данните до минимум, ограниченото съхраняване на данни, мерките за сигурност и разглеждането на жалби (40). В резултат на това физическите лица все пак могат да подават жалба до КЗЛД, ако тези принципи и задължения не се спазват, и КЗЛД е оправомощена да предприеме мерки по прилагане на законодателството в случай на неспазване.

(27)

Първо, частичното освобождаване обхваща лични данни, събрани съгласно Закона за статистиката, с оглед на обработването им от публични институции. Съгласно поясненията, получени от корейското правителство, обработваните в този контекст лични данни обикновено засягат корейски граждани и само по изключение биха включвали информация за чужденци, а именно във връзка с данни за влизане в държавата и за напускането ѝ или относно чуждестранни инвестиции. В такива ситуации обаче тези данни обикновено не се предават от администратори/обработващи лични данни в Съюза, а по-скоро се събират пряко от публичните органи в Корея (41). Освен това подобно на предвиденото в съображение 162 от Регламент (ЕС) 2016/679 обработването на данни по Закона за статистиката подлежи на няколко изисквания и гаранции. По-конкретно със Закона за статистиката се налагат специални задължения, за да се гарантират точност, съгласуваност и безпристрастност; за да се гарантира поверителността на физическите лица; за да се защити информацията на респондентите в статистически изследвания, включително да се предотврати използването на тази информация за друга цел, различна от целта за събиране на статистически данни, и да се подложат членовете на персонала на изисквания за спазване на поверителност (42). Освен това публичните органи, които обработват статистически данни, трябва също така да спазват, наред с другото, принципите за свеждане на данните до минимум, за ограничаване на целта и за сигурност на данните (член 3 и член 58, параграф 4 от ЗЗЛД) и да позволяват на физическите лица да упражняват правата си (на достъп, коригиране, заличаване и преустановяване на използването, вж. член 4 от ЗЗЛД). Накрая, данните трябва да бъдат обработвани в анонимизирана или псевдонимизирана форма, ако това позволява да се изпълни целта на обработването (член 3, параграф 7 от ЗЗЛД).

(28)

Второ, в член 58, параграф 1 от ЗЗЛД се разглеждат лични данни, които се събират или изискват за анализ на информация, свързана с националната сигурност. Обхватът и последиците от това частично освобождаване са описани по-подробно в съображение 149.

(29)

Трето, частичното освобождаване се прилага за временното обработване на лични данни, когато това е спешно необходимо за обществената безопасност или сигурност, включително за общественото здраве. Тази категория се тълкува стриктно от КЗЛД и съгласно получената информация не е била използвана никога. Тя се прилага само в спешни случаи, изискващи спешни действия, например за проследяване на инфекциозни агенти или за спасяване и подпомагане на жертви на природни бедствия (43). Дори в тези ситуации частичното освобождаване обхваща само временното обработване на лични данни за ограничен период от време, който е необходим за извършването на такова действие. Ситуациите, в които това може да се прилага за видовете предаване на данни, обхванати от настоящото решение, са дори още по-ограничени с оглед на малката вероятност за това лични данни, предавани от Съюза към корейските оператори, да са от типа, който може да направи тяхното последващо обработване „спешно необходимо“ за такива спешни ситуации.

(30)

Накрая, частичното освобождаване се прилага по отношение на лични данни, събирани или използвани от пресата, за мисионерски дейности на религиозни организации или за номинирането на кандидати от политически партии. Освобождаването се прилага само когато лични данни се обработват от пресата, от религиозни организации или от политически партии за тези конкретни цели (т.е. журналистически дейности, мисионерска работа и номинирането на политически кандидати). Когато тези образувания обработват лични данни за други цели, като управление на човешки ресурси или вътрешно администриране, ЗЗЛД се прилага изцяло.

(31)

Що се отнася до обработването на лични данни от пресата за журналистически дейности, балансът между свободата на изразяване на мнение и други права (включително правото на неприкосновеност на личния живот) се осигурява чрез Закона за арбитража и средствата за правна защита и др. за вреди, причинени от публикации в пресата („Закон за пресата“) (44). По-специално в член 5 от Закона за пресата се предвижда, че пресата (т.е. който и да е радио- и телевизионен оператор, вестник, периодично или онлайн издание), интернет новинарските агенции или мултимедийните радио- и телевизионни оператори в интернет не може да нарушават неприкосновеността на личния живот на гражданите. Ако все пак е налице нарушение на неприкосновеността на личния живот, то трябва да бъде своевременно отстранено в съответствие с конкретните процедури, предвидени в закона. В това отношение законът предоставя на лицата, които понасят вреди от репортаж в пресата, редица права, например да получат корекция на публикация с невярно твърдение, възможност за опровержение или допълнителен репортаж (когато репортажът в пресата се отнася за твърдения относно престъпления, за които лицето по-късно бива оправдано) (45). Претенциите на гражданите могат да бъдат удовлетворени директно от печатните издания (чрез омбудсман) (46), чрез помирение или арбитраж (пред специализирана Комисия за пресарбитраж) (47) или от съдилищата. Гражданите могат да получат също така обезщетение, когато претърпят парични щети, нарушение на права, свързани с личността, или друг емоционален стрес поради незаконно действие на пресата (умишлено или поради небрежност) (48). Съгласно закона пресата е освободена от отговорност, доколкото репортаж в нея, който засяга правата на гражданин, не противоречи на социалните ценности и е публикуван със съгласието на въпросния гражданин или в интерес на обществото (и има достатъчно основания да се смята, че този репортаж съответства на истината) (49).

(32)

Докато обработването на лични данни в пресата във връзка с журналистически дейности е предмет на специални гаранции, които са следствие от Закона за пресата, няма такива допълнителни гаранции относно използването на изключенията за дейностите по обработване на лични данни от религиозни организации и политически партии по начин, който е сравним с членове 85, 89 и 91 от Регламент (ЕС) 2016/679. Поради това Комисията смята, че е подходящо да изключи от приложното поле на настоящото решение религиозните организации, доколкото те обработват лични данни за своите мисионерски дейности, и политическите партии, доколкото те обработват лични данни в контекста на номинирането на кандидати.

(33)

Личните данни следва да се обработват законосъобразно и добросъвестно.

(34)

Този принцип е залегнал в член 3, параграфи 1 и 2 от ЗЗЛД и е подсилен в член 59 от ЗЗЛД, в който се забранява обработването на лични данни „чрез измама, с неправомерни или несправедливи средства“, „без юридически правомощия“ или „без надлежно правомощие“ (50). Тези общи принципи на законосъобразно обработване са доразвити в членове 15—19 от ЗЗЛД, в които се определят различните правни основания за обработването (събиране, използване и предоставяне на трети страни), включително обстоятелствата, при които това може да включва промяна на целта (член 18 от ЗЗЛД).

(35)

Съгласно член 15, параграф 1 от ЗЗЛД администратор може да събира лични данни само въз основа на ограничен брой правни основания (в рамките на обхвата на целта за събиране). Тези основания са: 1) съгласието на субекта на данните (51) (точка 1); 2) необходимостта от сключване и изпълнение на договор със субекта на данните (точка 4); 3) специално разрешение по закон или необходимост от спазване на правно задължение (точка 2); необходимостта (52) дадена публична институция да изпълни задачите в рамките на своята юрисдикция съгласно предписанията на закона; 4) явната необходимост за защита на живота, телесните или имуществените интереси на субекта на данните или на трето лице от непосредствена опасност (само когато субектът на данните не е в състояние да изрази своето намерение или не може да бъде получено предварително съгласие) (точка 5); 5) необходимостта да се удовлетвори „оправданият интерес“ на администратора на лични данни, който има „явно предимство“ пред интересите на субекта на данните (и само когато обработването има „съществена връзка“ със законния интерес и не излиза извън рамките на разумното) (точка 6) (53). Тези основания за обработване по същество са равностойни на изложените в член 6 от Регламент (ЕС) 2016/679, включително основанието за „оправдан интерес“, което съответства на основанието за „законен интерес“ в член 6, параграф 1 от Регламент (ЕС) 2016/679.

(36)

След като бъдат събрани, личните данни може да се използват в рамките на обхвата на целта на събирането (член 15, параграф 1 от ЗЗЛД) или „в рамките на обхвата, разумно свързан“ с целта на събирането, отчитайки вероятните неблагоприятни последствия, причинени на субекта на данните, и при условие че са приложени съответните мерки за сигурност (например криптиране) (член 15, параграф 3 от ЗЗЛД). За да се определи дали целта на използването е „разумно свързана“ с първоначалната цел на събирането, в Указа за прилагане на ЗЗЛД са предвидени конкретни критерии, подобни на тези в член 6, параграф 4 от Регламент (ЕС) 2016/679. По-конкретно трябва да има съществено отношение към първоначалната цел; допълнителното използване трябва да е предвидимо (например в контекста на обстоятелствата, при които са събрани данните); и ако е възможно, данните трябва да бъдат псевдонимизирани (54). Конкретните критерии, използвани от администратор при тази оценка, трябва да бъдат оповестени предварително в политиката за поверителност (55). Освен това от служителя по въпросите на поверителността (вж. съображение 94) се изисква да провери изрично дали в рамките на тези параметри се извършва допълнително използване.

(37)

Подобни (но в известна степен по-строги) правила се прилагат по отношение на предоставянето на данни на трета страна. Съгласно член 17, параграф 1 от ЗЗЛД предоставянето на лични данни на трета страна е разрешено въз основа на съгласие (56) или, в рамките на целта на събирането, когато данните са събрани на едно от правните основания в член 15, параграф 1, точки 2, 3 и 5 от ЗЗЛД. Това изключва по-конкретно разкриване въз основа на „оправдан интерес“ от страна на администратора. Освен това в член 17, параграф 4 от ЗЗЛД се разрешава предоставянето им на трета страна „в рамките на обхвата, разумно свързан“ с целта на събирането, отново при отчитане на вероятните неблагоприятни последствия за субекта на данните и при условие че са приложени съответните мерки за сигурност (например криптиране) (член 15, параграф 3 от ЗЗЛД). Същите фактори като описаните в съображение 36 трябва да бъдат взети предвид, за да се оцени дали предоставянето е в рамките на обхвата, разумно свързан с целта на събирането, и дали се прилагат същите гаранции (т.е. по отношение на прозрачността чрез политиката за поверителност и участието на служителя по въпросите на поверителността).

(38)

Получаването от страна на корейски администратор на лични данни от Съюза се смята за „събиране“ по смисъла на член 15 от ЗЗЛД. В Уведомление № 2021-5 (раздел I от приложение I към настоящото решение) се пояснява, че целта, поради която са прехвърлени данните от съответното образувание от ЕС, представлява целта на събирането от страна на корейския администратор на лични данни. Вследствие на това корейските администратори на лични данни, които получават лични данни от Съюза, по принцип трябва да обработват тези данни в рамките на обхвата на целта на предаването, в съответствие с член 17 от ЗЗЛД.

(39)

Специални ограничения се прилагат, в случай че администраторът желае да използва личните данни или да ги предостави на трета страна за цел, различна от целта на събирането (57). Съгласно член 18, параграф 2 от ЗЗЛД частен администратор може по изключение (58) да използва лични данни или да ги предостави на трета страна за различна цел: 1) въз основа на допълнително (в смисъл на отделно) съгласие от субекта на данните; 2) когато това е предвидено в специални законови разпоредби; или 3) при явна необходимост за защита на живота, телесните или имуществените интереси на субекта на данните или на трета страна от непосредствена опасност (само когато субектът на данните не е в състояние да изрази своето намерение или не може да бъде получено предварително съгласие) (59).

(40)

Публичните институции също могат да използват лични данни или да ги предоставят на трета страна за различна цел в определени ситуации. Това включва случаи, при които за публичните институции иначе би било невъзможно да изпълняват своите задължения, както е предписано по закон, след разрешение от КЗЛД. Освен това публичните институции може да предоставят лични данни на друг орган или съд, когато това е необходимо за разследването и наказателното преследване на престъпления или за повдигане на обвинение; за да може даден съд да изпълнява функциите си, свързани с текущи съдебни производства; или за изпълнение на наказателна санкция или разпореждане за полагане на грижи или за настойничество/попечителство (60). Те могат също така да предоставят лични данни на чуждестранно правителство или на международна организация за изпълнение на договор или международна конвенция, и в този случай трябва да спазят също така изискванията за трансгранично предаване на данни (вж. съображение 90).

(41)

Следователно принципите на законосъобразност и добросъвестност на обработването са залегнали в корейската правна уредба по начин, който по същество е равностоен на Регламент (ЕС) 2016/679, тъй като позволява обработването да се извършва само въз основа на легитимни и ясно определени основания. Освен това във всички посочени случаи обработването е разрешено само ако няма вероятност то да „накърни несправедливо“ интересите на субекта на данните или на трета страна, което изисква балансиране на интересите. В допълнение към това в член 18, параграф 5 от ЗЗЛД се предвиждат допълнителни гаранции, когато администраторът предоставя личните данни на трета страна, което може да включва искане за ограничаване на целта и начина на използване или за прилагане на конкретни мерки за сигурност. Третата страна на свой ред е длъжна да изпълни поисканите мерки.

(42)

Накрая, в член 28-2 от ЗЗЛД се разрешава (допълнително) обработване на псевдонимизирани данни без съгласието на съответното физическо лице за статистически цели, за научноизследователски цели (61) и за целите на архивирането в обществен интерес при наличие на конкретни гаранции. Следователно подобно на Регламент (ЕС) 2016/679 (62) ЗЗЛД улеснява (допълнително) обработването на лични данни за такива цели в рамка, в която са предвидени подходящи гаранции за защита на правата на физическите лица. Вместо да се разчита на псевдонимизацията като възможна гаранция, в ЗЗЛД тя е наложена като предварително условие за извършване на дейности по обработване за статистически цели, за научноизследователски цели и за целите на архивирането в обществен интерес (така че данните да могат да бъдат обработвани без съгласие или да се комбинират различни набори от данни).

(43)

Освен това в ЗЗЛД са въведени редица конкретни гаранции, по-специално по отношение на задължителните технически и организационни мерки, воденето на регистри, ограниченията за споделянето на данни и справянето с евентуални рискове за повторна идентификация. Със съчетаването на различните гаранции, описани в съображения 44—48, се гарантира, че обработването на лични данни в този контекст е предмет на по същество равностойни защити в сравнение с тези, които биха се изисквали в съответствие с Регламент (ЕС) 2016/679.

(44)

Първо и най-важно, в член 28-5, параграф 1 от ЗЗЛД се забранява обработването на псевдонимизирани данни с цел идентифициране на определено физическо лице. Ако по време на обработването на псевдонимизираните данни все пак се генерират данни, идентифициращи определено физическо лице, администраторът прекратява незабавно обработването на данните и ги унищожава (член 28-5, параграф 2 от ЗЗЛД). Неспазването на тези разпоредби подлежи на административни глоби и представлява престъпление (63). Това означава, че дори в тези ситуации, в които на практика е възможна повторна идентификация на физическото лице, има законова забрана за такава повторна идентификация.

(45)

Второ, при (допълнително) обработване на псевдонимизирани данни за такива цели от администратора се изисква да въведе конкретни технологични, управленски и физически мерки, за да гарантира сигурността на данните (включително отделно съхранение и управление на данните, необходими за възстановяване на първоначалното състояние на псевдонимизираните данни) (64). Освен това трябва да се води документация за обработените псевдонимизирани данни, за целта на обработването, за историята на използването и за всички получатели трети страни (член 29-5, параграф 2 от Указа за прилагане на ЗЗЛД).

(46)

Трето и последно, в ЗЗЛД са предвидени конкретни гаранции за предотвратяване на идентификацията на физически лица от трети страни в случай на споделяне на данните. По-конкретно, когато администраторите предоставят на трета страна псевдонимизирани данни за статистически цели, за научноизследователски цели или за целите на архивирането в обществен интерес, те не могат да включват данни, които биха могли да бъдат използвани за идентифициране на конкретно физическо лице (член 28-2, параграф 2 от ЗЗЛД) (65).

(47)

По-специално, макар че в ЗЗЛД се разрешава комбинирането на псевдонимизирани данни (обработени от различни администратори) за статистически цели, за научноизследователски цели или за целите на архивирането в обществен интерес, това правомощие е запазено за специализирани институции, които разполагат със специални съоръжения в сферата на сигурността (член 28-3, параграф 1 от ЗЗЛД) (66). Когато кандидатства за комбиниране на псевдонимизирани данни, администраторът трябва да предостави, наред с другото, документация за данните, които ще бъдат комбинирани, за целта на комбинирането, както и за предложените мерки за сигурност при обработването на комбинираните данни (67). За да направи възможно комбинирането, администраторът трябва да изпрати на специализираната институция данните, които ще бъдат комбинирани, и да предостави „алгоритъм за комбиниране“ (т.е данните, които са били използвани за псевдонимизацията) на Корейската агенция за интернет и сигурност (68). Последната генерира „данни за връзка към алгоритъма за комбиниране“ (което позволява свързване на алгоритмите за комбиниране на различни кандидати, за да се постигне комбиниране на наборите от данни) и ги предоставя на специализираната институция (69).

(48)

Администраторът, който иска комбиниране, може да анализира комбинираните данни в помещения на специализираната институция, в които се прилагат конкретни технически, физически и административни мерки (член 29-3 от Указа за прилагане на ЗЗЛД). Администраторите, които внасят набор от данни за такова комбиниране, могат да изнесат комбинираните данни извън специализираната институция само след допълнителна псевдонимизация или анонимизация на комбинираните данни и с одобрението на тази институция (член 28-3, параграф 2 от ЗЗЛД) (70). При разглеждане на искането за предоставяне на такова одобрение институцията ще оцени връзката между комбинираните данни и целта на обработването, както и дали е разработен конкретен план за сигурност за използването на тези данни (71). Изнасянето на комбинираните данни извън институцията не е разрешено, ако информацията съдържа данни, които ще позволят идентификацията на дадено физическо лице (72). Накрая, комбинирането и разкриването на псевдонимизирани данни от специализираната институция се извършва под надзора на КЗЛД (член 29-4, параграф 3 от Указа за прилагане на ЗЗЛД).

(49)

Когато се обработват „специални категории данни“, следва да има специфични гаранции.

(50)

В ЗЗЛД се съдържат специални правила за обработването на чувствителни данни (73), които са определени като лични данни, разкриващи информация относно идеологията, убежденията, присъединяването към или оттеглянето от синдикат или политическа партия, политическите мнения, здравето и сексуалния живот на дадено физическо лице, както и други лични данни, за които има вероятност да застрашат неприкосновеността на личния живот на субекта на данните „забележимо“ и които са определени като чувствителна информация с Президентски указ (74). Съгласно получените разяснения от КЗЛД тълкуването на сексуалния живот включва сексуалната ориентация или предпочитания на физическото лице (75). Освен това съгласно член 18 от Указа за прилагане в обхвата на чувствителните данни са добавени допълнителни категории, по-конкретно данни за ДНК, придобити от генетични изследвания, и данни, които представляват криминално досие. С последното изменение на Указа за прилагане на ЗЗЛД допълнително е разширено понятието за чувствителни лични данни с включването също така на лични данни, разкриващи расов или етнически произход и биометрични данни (76). След тази поправка понятието за чувствителни данни съгласно ЗЗЛД е равностойно по същество на това в член 9 от Регламент (ЕС) 2016/679.

(51)

В съответствие с член 23, параграф 1 от ЗЗЛД и подобно на предвиденото в член 9, параграф 1 от Регламент (ЕС) 2016/679 обработването на чувствителни лични данни по принцип е забранено, освен ако се прилага едно от изброените изключения (77). В тези изключения обработването е сведено до случаи, в които администраторът информира субекта на данните в съответствие с членове 15 и 17 от ЗЗЛД и получава отделно съгласие (т.е. отделно от съгласието за обработването на други лични данни), или до такива, в които обработването се изисква или е разрешено по закон. Публичните органи могат също така да обработват биометрични данни, данни за ДНК, придобити от генетично изследване, лични данни, разкриващи расов или етнически произход, и данни, които представляват досие за съдимост, на основания, за които те имат изключителни правомощия (например, когато са необходими за разследването на престъпления или когато са необходими на съд за произнасяне по дело) (78). В този смисъл правните основания, свързани с обработването на чувствителни лични данни, са по-ограничени в сравнение с други видове лични данни и дори са по-ограничителни в корейското право, отколкото съгласно член 9, параграф 2 от Регламент (ЕС) 2016/679.

(52)

Освен това в член 23, параграф 2 от ЗЗЛД — неспазване, което може да доведе до санкции (79) — се подчертава особената важност да се гарантира подходяща сигурност при боравенето с чувствителни лични данни, така че те „да не могат да бъдат загубени, откраднати, разкрити, подправени, изменени или повредени“. Макар че това е общо изискване съгласно член 29 от ЗЗЛД, в член 3, параграф 4 се пояснява, че нивото на сигурност трябва да бъде съобразено с вида на личните данни, които се обработват, което означава, че трябва да бъдат взети предвид конкретните рискове, свързани с обработването на чувствителни лични данни. Освен това обработването на данните винаги се извършва „по начин, който свежда до минимум възможността за нарушаване“ на неприкосновеността на личния живот на субекта на данните, и ако е възможно, „в режим на анонимност“ (член 3, параграфи 6 и 7 от ЗЗЛД). Тези изисквания са особено значими, когато обработването засяга чувствителни лични данни.

(53)

Личните данни следва да се обработват с конкретна цел и по начин, който не е несъвместим с целта на обработването.

(54)

Този принцип е залегнал в член 3, параграфи 1 и 2 от ЗЗЛД, според който администраторът „уточнява и посочва изрично“ целта на обработването, обработва личните данни по подходящ начин, необходим за целите, за които се обработват личните данни, и не ги използва извън тези цели. Общият принцип на ограничаване в рамките на целта се потвърждава също така в член 15, параграф 1, член 18, параграф 1, член 19 и — за обработващите лични данни (т.нар. „външни изпълнители“) — член 26, параграф 1, точки 1, 5 и 7 от ЗЗЛД. По-специално лични данни по принцип може да се използват и предоставят на трети страни само в рамките на обхвата на целта, за която се събират (член 15, параграф 1 и член 17, параграф 1, точка 2). Обработването за съпоставима цел, т.е. „в рамките на обхвата, свързан в разумна степен с целта на събирането“, може да се извършва само ако не засяга отрицателно съответните субекти на данни и при условие че са приложени съответните мерки за сигурност (например криптиране) (член 15, параграф 3 и член 17, параграф 4 от ЗЗЛД). За да се определи дали целта на обработването е съвместима цел, в Указа за прилагане на ЗЗЛД се посочват конкретни критерии, които са подобни на тези в член 6, параграф 4 от Регламент (ЕС) 2016/679, вж. съображение 36.

(55)

Както е пояснено в съображение 38, целта на събирането на лични данни от корейските администратори, които ги получават от Съюза, е целта, за която са били предадени. Промяна на целта от администратора е разрешена само по изключение, в конкретни (изброени) случаи (член 18, параграф 2, точки 1—3 от ЗЗЛД, вж. също така съображение 39). Доколкото промяна на целта е разрешена по закон, тези закони на свой ред трябва да зачитат основното право на неприкосновеност на личния живот и на защита на личните данни, както и принципите на необходимост и пропорционалност, залегнали в корейската Конституция. Освен това в член 18, параграфи 2 и 5 от ЗЗЛД се предвиждат допълнителни гаранции, по-конкретно изискването промяната на целта да не „накърни несправедливо интереса на субекта на данните“, което винаги изисква балансиране на интересите. Това гарантира ниво на защита, което по същество е равностойно на нивото съгласно член 5, параграф 1, буква б) и член 6, във връзка със съображение 50 от Регламент (ЕС) 2016/679.

(56)

Личните данни следва да бъдат точни и при необходимост да се актуализират. Те следва също така да са целесъобразни, от значение за и ограничени до степента, необходима за целите, за които се обработват.

(57)

Принципът на точността е отразен по подобен начин в член 3, параграф 3 от ЗЗЛД, в който се предвижда личните данни да са „точни, пълни и актуални до степента, необходима за целите“, за които се обработват данните. Свеждането на данните до минимум се изисква съгласно член 3, параграфи 1 и 6 и член 16, параграф 1 от ЗЗЛД, в които се предвижда администраторът да събира лични данни (само) „в минимално необходимата степен“ за предвидената цел, като той носи тежестта на доказване в това отношение. Ако е възможно целта на събирането да се изпълни чрез обработване на лични данни в анонимизирана форма, администраторите следва да се стремят да го извършват по този начин (член 3, параграф 7 от ЗЗЛД).

(58)

По принцип личните данни следва да се съхраняват не по-дълго от необходимото за целите, за които личните данни се обработват.

(59)

По подобен начин принципът на ограничение на съхранението е предвиден в член 21, параграф 1 от ЗЗЛД (80), който изисква от администратора да „унищожи“ (81) личните данни незабавно след постигане на целта на обработването или след изтичане на срока на съхранение (в зависимост кое от тях настъпи по-рано), освен ако се изисква допълнително съхранение по закон (82). В последния случай съответните лични данни „се съхраняват и управляват отделно от другите лични данни“ (член 21, параграф 3 от ЗЗЛД).

(60)

Член 21, параграф 1 от ЗЗЛД не се прилага, когато псевдонимизирани данни се обработват за статистически цели, за научноизследователски цели или за целите на архивирането в обществен интерес (83). За да се гарантира принципът на ограничено съхранение на данните и в този случай, в Уведомление 2021-5 се изисква администраторите да анонимизират данните в съответствие с член 58-2 от ЗЗЛД, ако те не са били унищожени след изпълнението на конкретната цел на обработването (84).

(61)

Личните данни следва да се обработват по начин, който гарантира тяхната сигурност, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане. За тази цел стопанските субекти трябва да предприемат подходящи технически или организационни мерки за защита на личните данни от възможни заплахи. Тези мерки следва да се оценяват, като се вземат предвид достиженията на техническия прогрес, съответните разходи и естеството, обхватът, контекстът и целите на обработването, както и рисковете за правата на физическите лица.

(62)

Сходен принцип на сигурността е заложен в член 3, параграф 4 от ЗЗЛД, в който администраторите се задължават да „управляват личните данни по безопасен начин в зависимост от методите на обработване, вида и др. на личните данни, като се вземат предвид възможността за нарушаване на правата на субекта на данните и сериозността на съответните рискове“. Освен това администраторът „обработва личните данни по начин, който свежда до минимум възможността за нарушаване на неприкосновеността на личния живот на субекта на данните“, и в този контекст се стреми да обработва личните данни в режим на анонимност или в псевдонимизирана форма, ако е възможно (член 3, параграфи 6 и 7 от ЗЗЛД).

(63)

Тези общи изисквания са разгледани по-подробно в член 29 от ЗЗЛД, съгласно който всеки администратор „предприема технически, организационни и физически мерки, например разработване на вътрешен план за управление и запазване на записи в регистрационни файлове и др., които са необходими, за да се гарантира безопасността, предвидена в Президентския указ, така че личните данни да не могат да бъдат изгубени, откраднати, разкрити, подправени, променени или повредени.“ В член 30, параграф 1 от Указа за прилагане на ЗЗЛД се уточняват тези мерки, които включват (1) формулиране и прилагане на вътрешен план за управление с цел безопасно обработване на лични данни, (2) контрол и ограничения на достъпа, (3) прилагане на криптираща технология за безопасно съхранение и предаване на лични данни, (4) записи в регистрационни файлове, (5) програми за сигурност и (6) физически мерки, например система за безопасно съхранение или заключване (85).

(64)

В допълнение се налагат специфични задължения, ако има нарушение на сигурността на данните (член 34 от ЗЗЛД във връзка с членове 39 и 40 от Указа за прилагане на ЗЗЛД) (86). По-специално администраторът трябва да уведоми незабавно засегнатите субекти на данните за подробностите относно нарушението (87), включително да им предостави информация за (задължителни) ответни мерки, предприети от администратора, както и какво може да бъде направено от субектите на данни за свеждане до минимум на риска от вреди (член 34, параграфи 1 и 2 от ЗЗЛД) (88). Когато нарушението на сигурността на данните засяга най-малко 1 000 субекта на данни, администраторът незабавно докладва за нарушението на сигурността на данните и за предприетите ответни мерки на КЗЛД и на Корейската агенция за интернет и сигурност, които могат да окажат техническа помощ (член 34, параграф 3 от ЗЗЛД във връзка с член 39 от Указа за прилагане на ЗЗЛД). Администраторите носят отговорност за вреда, настъпила вследствие на нарушения на сигурността на личните данни, в съответствие с разпоредбите на Гражданския закон за деликтната отговорност (вж. също така раздел 2.5 за средствата за правна защита) (89).

(65)

При изпълнение на своите задължения за сигурност администраторът трябва да бъде подпомаган от служител по въпросите на поверителността, чиито задачи включват, наред с другото, изграждане на система за вътрешен контрол, „за да се предотвратят разкриването, злоупотребата и неправилното използване на лични данни“ (член 31, параграф 2, точка 4 от ЗЗЛД). Освен това администраторът има задължение да осъществява „подходящ контрол и надзор“ върху своите служители, които обработват лични данни, включително по отношение на тяхното безопасно управление; това включва необходимото обучение („образование“) на служители (член 28, параграфи 1 и 2 от ЗЗЛД). Накрая, в случай че администраторът възложи обработването на подизпълнител, той трябва да наложи изисквания на „външния изпълнител“, наред с другото, относно безопасното управление на личните данни („технически и управленски гаранции“) и да упражнява надзор върху изпълнението им чрез проверки (член 26, параграфи 1 и 4 от ЗЗЛД, във връзка с член 28, параграф 1, точки 3 и 4, и параграф 6 от Указа за прилагане на ЗЗЛД).

(66)

Субектите на данни следва да бъдат информирани за основните характеристики на обработването на техните лични данни.

(67)

Това се гарантира по различни начини в корейската система. Освен правото на информация съгласно член 4, точка 1 (по принцип) и член 20, параграф 1 от ЗЗЛД (за лични данни, събирани от трети страни), както и правото на достъп съгласно член 35 от ЗЗЛД, ЗЗЛД предвижда общо изискване за прозрачност относно целта на обработването (член 3, параграф 1 от ЗЗЛД) и специфични изисквания за прозрачност в случаите, когато обработването се основава на съгласие (член 15, параграф 2, член 17, параграф 2 и член 18, параграф 3 от ЗЗЛД) (90). Освен това в член 20, параграф 2 от ЗЗЛД се изисква определени администратори — тези, при които обработването надвишава определени прагове (91) — да уведомят субекта на данните, чиито лични данни са получили от трети страни, относно източника на информация, целта на обработването и правото на субекта на данните да иска преустановяване на обработването, освен ако уведомяването се окаже невъзможно поради липсата на данни за контакт. Изключения се прилагат за определени досиета с лични данни, поддържани от публични органи, по-конкретно досиета, които съдържат данни, обработени за целите на националната сигурност, поради други особено важни („сериозни“) национални интереси или за целите на прилагането на наказателното право, или когато има вероятност уведомлението да доведе до увреждане на живота или до телесна повреда на друго лице, или несправедливо да нанесе вреда върху имуществото и да накърни други интереси на друго лице, но само когато разглежданите публични или частни интереси са „явно по-висши“ пред правата на засегнатите субекти на данните (член 20, параграф 4 от ЗЗЛД). Това изисква балансиране на интересите.

(68)

Освен това в член 3, параграф 5 от ЗЗЛД се предвижда администраторите да разкриват публично своята политика за поверителност (и други въпроси, свързани с обработването на лични данни). Това изискване е уточнено допълнително в член 30 от ЗЗЛД във връзка с член 31 от Указа за прилагане на ЗЗЛД. В съответствие с тези разпоредби публично оповестената политика за поверителност, наред с другото, трябва да включва информация за (1) видовете обработвани лични данни, (2) целта на обработването, (3) срока на съхранение, (4) дали личните данни са предоставени на трета страна (92), (5) дали обработването е възложено на подизпълнител, (6) информация за правата на субекта на данните и как да ги упражнява, и (7) данни за контакт (включително името на служителя по въпросите на поверителността или наименованието на вътрешния отдел, който отговаря за осигуряване на спазването на правилата за защита на личните данни и разглеждането на жалби). Политиката за поверителността трябва да бъде оповестена публично по такъв начин, че субектите на данните „да могат да я разпознаят лесно“ (член 30, параграф 2 от ЗЗЛД) (93), и трябва да се актуализира постоянно (член 31, параграф 2 от Указа за прилагане на ЗЗЛД).

(69)

Публичните институции имат допълнително задължение да регистрират по-конкретно следната информация в КЗЛД: (1) наименованието на публичната институция, (2) основанията и целите за обработването на личните данни, (3) особеностите на регистрираните лични данни, (4) метода на обработването, (5) срока на съхранение, (6) броя на субектите на данни, чиито лични данни се съхраняват, (7) отдела, който разглежда исканията на субектите на данни, и (8) получателите на личните данни, когато данните се предоставят рутинно или повторно (член 32, параграф 1 от ЗЗЛД) (94). Регистрираните досиета с лични данни се разкриват публично от КЗЛД и трябва също така да бъдат посочени в политиката за поверителност на публичните институции (член 30, параграф 1 и член 32, параграф 4 от ЗЗЛД).

(70)

За да се увеличи прозрачността за субектите на данни в Съюза, чиито лични данни се предават на Корея въз основа на настоящото решение, в раздел 3, подточки i) и ii) от Уведомление 2021-5 (приложение I) са предвидени допълнителни изисквания за прозрачност. Първо, при получаването на лични данни от Съюза въз основа на настоящото решение корейските администратори трябва да уведомят съответните субекти на данни без ненужно забавяне (и във всеки случай не по-късно от един месец след предаването) за името и данните за контакт на образуванията, които предават и получават информацията, за прехвърляните лични данни (или категории лични данни), за целта на събирането от корейския администратор, за срока на съхранение и за правата им съгласно ЗЗЛД. Второ, при предоставянето на трети страни на лични данни, получени от Съюза въз основа на настоящото решение, субектите на данни трябва да бъдат информирани, наред с другото, за получателя, за личните данни или за категориите лични данни, които ще се предоставят, за държавата, на която ще се предоставят данните (когато е приложимо), както и за правата им съгласно ЗЗЛД (95). По този начин с Уведомлението се гарантира, че физическите лица от ЕС ще продължат да бъдат информирани за конкретното обработване на техните данни от администраторите и ще са в състояние да упражняват правата си спрямо съответните образувания.

(71)

В раздел 3, подточка iii) от уведомлението (приложение I) са предвидени определени ограничени и квалифицирани изключения от тези допълнителни задължения за прозрачност, които по същество са равностойни на изключенията, предвидени съгласно Регламент (ЕС) 2016/679. По-специално уведомяването на субектите на данни в Съюза не е задължително, (1) когато и доколкото е необходимо да се ограничи уведомяването по определени причини, свързани с обществения интерес (например когато информацията се обработва за целите на националната сигурност или за неприключили криминални разследвания), доколкото тези цели, свързани с обществения интерес, са с явно предимство пред правата на субекта на данните; (2) когато субектът на данните вече разполага с информацията; (3) когато и доколкото има вероятност уведомлението да доведе до увреждане на живота или до нанасяне на телесна повреда на това или друго лице или несправедливо да накърни имуществените интереси на друго лице, когато тези права или интереси имат явно предимство пред правата на субекта на данните; или (4) когато няма координати за връзка със засегнатите физически лица или са необходими непропорционални усилия за тяхното уведомяване. При определянето на това дали е възможно да се осъществи контакт със субекта на данните, или дали това е свързано с прекомерни усилия, се взема предвид възможността за сътрудничество с износителя на данни в Съюза.

(72)

Следователно правилата в съображения 67—71 гарантират ниво на защита, което по същество е равностойно на нивото по отношение на прозрачността, предвидено в Регламент (ЕС) 2016/679.

(73)

Субектите на данни следва да имат конкретни права, които могат да бъдат противопоставени на администратора или на обработващия лични данни, по-специално правото на достъп до данните, правото на коригиране, правото на възражение срещу тяхното обработване и правото данните да бъдат заличени. В същото време тези права може да бъдат обект на ограничения, доколкото ограниченията са необходими и пропорционални с цел да се гарантират важни цели от широк обществен интерес.

(74)

Съгласно член 3, параграф 5 от ЗЗЛД администраторът гарантира правата на субекта на данните, изброени в член 4 от ЗЗЛД и уточнени допълнително в членове 35—37, 39 и 39-2 от ЗЗЛД.

(75)

Първо, физическите лица имат права на информация и достъп. Когато администраторът е събрал лични данни от трета страна — какъвто винаги ще бъде случаят при предаването на данни от Съюза — субектите на данните имат по принцип правото да получат информация относно 1) „източника“ на събраните лични данни (т.е. относно предаващия ги), 2) целта на обработването и 3) факта, че субектът на данните има право да поиска преустановяване на обработването (член 20, параграф 1 от ЗЗЛД). Прилагат се ограничени изключения, а именно когато има вероятност уведомлението да доведе до увреждане на живота или до телесна повреда на друго лице или несправедливо да нанесе вреда върху имуществото и да накърни други интереси на друго лице, но само когато тези права или интереси имат „явно предимство“ пред правата на субекта на данните (член 20, параграф 4, точка 2 от ЗЗЛД).

(76)

В допълнение към това в член 35, параграфи 1 и 3 от ЗЗЛД, във връзка с член 41, параграф 4 от Указа за прилагане на ЗЗЛД, се дава право на достъп на субектите на данни до техните лични данни (96). Правото на достъп включва потвърждение за обработването, информация за вида на обработените данни, целта на обработването, срока на съхранение, всяко разкриване на трета страна, както и предоставянето на копие от обработените лични данни (член 4, точка 3 от ЗЗЛД във връзка с член 41, параграф 1 от Указа за прилагане на ЗЗЛД) (97). Достъпът може да бъде ограничен (частичен достъп) (98) или отказан само когато това се предвижда от закона (99), когато е вероятно да доведе до увреждане на живота или до телесна повреда на трета страна, или до необосновано увреждане на имуществото и на други интереси на друго лице (член 35, параграф 4 от ЗЗЛД) (100). Последното означава, че следва да има баланс между конституционно защитените права и свободи на физическото лице, от една страна, и на тези на други лица, от друга страна. Когато достъпът е ограничен или отказан, администраторът трябва да уведоми субекта на данните за основанията за това и за начините за обжалване на решението (член 41, параграф 5, член 42, параграф 2 от Указа за прилагане на ЗЗЛД).

(77)

Второ, субектите на данни имат право на коригиране или изтриване (101) на техните лични данни, „освен ако специално е предвидено друго в други закони“ (член 36, параграфи 1 и 2 от ЗЗЛД) (102). При получаване на искане администраторът трябва да проучи въпроса незабавно, да предприеме необходимите мерки (103) и да уведоми субекта на данните за това в срок до 10 дни; когато искането не може да бъде удовлетворено, в изискването за уведомяване се посочват причините за отказа и как може да бъде обжалван (вж. член 36, параграф 4 от ЗЗЛД, във връзка с член 43, параграф 3 от Указа за прилагане на ЗЗЛД) (104).

(78)

Накрая, субектите на данни имат правото обработването на личните им данни да бъде незабавно преустановено (105), освен ако се прилага едно от изброените изключения (член 37, параграфи 1 и 2 от ЗЗЛД) (106). Администраторът може да отхвърли искането за преустановяване, (1) когато това е специално предвидено в закон или е необходимо („неизбежно“) за спазването на законови задължения, (2) когато има вероятност преустановяването да доведе до увреждане на живота или до телесна повреда на трета страна, или до необосновано увреждане на имуществото и други интереси на друго лице, (3) когато би било невъзможно за публична институция да изпълни своя функция съгласно законовите предписания без обработването на лични данни, или (4) когато субектът на данните не прекрати изрично основния договор с администратора, макар че изпълнението на договора би било невъзможно без това обработване на лични данни. В този случай администраторът трябва незабавно да уведоми субекта на данните за причините за отказа и как може да го обжалва (член 37, параграф 2 от ЗЗЛД, във връзка с член 44, параграф 2 от Указа за прилагане на ЗЗЛД). Съгласно член 37, параграф 4 от ЗЗЛД администраторът трябва незабавно „да предприеме необходимите мерки, включително и за унищожаване на съответните лични данни“, в изпълнение на искането за преустановяване (107).

(79)

Правото на преустановяване се прилага също така, когато лични данни се използват за целите на директния маркетинг, т.е. за да се рекламират стоки или услуги или за да се направи предложение за закупуването им. Освен това при допълнителното обработване обикновено се изисква специалното (допълнително) съгласие на субекта на данните (вж. член 15, параграф 1, точка 1, член 17, параграф 2, точка 1 от ЗЗЛД) (108). Когато иска такова съгласие, администраторът трябва да информира по-конкретно субекта на данните за предвидената употреба на данните за целите на директния маркетинг — т.е. за факта, че с него може да бъде осъществена връзка за рекламиране на стоки или услуги или за отправяне на предложение за закупуването им — по „изрично разпознаваем начин“ (член 22, параграфи 2 и 4 от ЗЗЛД, във връзка с член 17, параграф 2, точка 1 от Указа за прилагане на ЗЗЛД).

(80)

За да улесни упражняването на индивидуалните права, администраторът трябва да установи специални процедури и да ги обяви публично (член 38, параграф 4 от ЗЗЛД) (109). Това включва процедури за подаване на възражения срещу отказа на искане (член 38, параграф 5 от ЗЗЛД). Администраторът трябва да гарантира, че процедурата за упражняване на права е „лесна за използване от субекта на данните“ и не е по-затрудняваща от процедурата за събирането на личните данни; това включва също така задължението да предостави информация за процедурата на своя уебсайт (член 41, параграф 2, член 43, параграф 1 и член 44, параграф 1 от Указа за прилагане на ЗЗЛД) (110). Физическите лица могат да упълномощят представител да подаде такова искане (член 38, параграф 1 от ЗЗЛД във връзка с член 45 от Указа за прилагането на ЗЗЛД). Доколкото администраторът има право да изиска заплащането на такса (и в случай на искане да изпрати копия на личните данни по пощата — пощенска такса), сумата трябва да бъде определена „в рамките на действителните разходи, необходими за обработването на [искането]“; не може да се изисква заплащането на такса (нито на пощенска такса), когато администраторът е отправил искането (член 38, параграф 3 от ЗЗЛД, във връзка с член 47 от Указа за прилагане на ЗЗЛД).

(81)

ЗЗЛД и Указът за неговото прилагане не съдържат общи разпоредби, уреждащи въпроса за решенията, засягащи субекта на данни и основаващи се единствено на автоматизираното обработване на лични данни. Във всеки случай, що се отнася до лични данни, събрани в Съюза, всяко решение, което се основава на автоматизирано обработване, обикновено се взема от администратора на данни в Съюза (който е в пряка връзка със засегнатия субект на данни) и по този начин се подчинява на разпоредбите на Регламент (ЕС) 2016/679 (111). Това включва сценарии за предаване, в които обработката се извършва от чужд (например корейски) стопански субект, действащ като представител (обработващ лични данни) на администратора на данни в Съюза (или като подизпълнител, действащ от името на обработващ лични данни от Съюза, който е получил данните от администратора на данни от Съюза, който ги е събрал), който на това основание впоследствие взема решението. Следователно липсата на конкретни правила относно автоматизираното вземане на решения в ЗЗЛД е малко вероятно да се отрази върху равнището на защита на личните данни, предавани съгласно настоящото решение.

(82)

По изключение разпоредбите за спазване на прозрачността при отправено искане (член 20) и индивидуалните права (членове 35—37), както и изискването за индивидуално уведомяване по отношение на доставчиците на информационни и комуникационни услуги (член 39-8 от ЗЗЛД) не се прилагат по отношение на псевдонимизирани данни, обработени за статистически цели, за научноизследователски цели или за целите на архивирането в обществен интерес (член 28-7 от ЗЗЛД) (112). В съответствие с подхода, посочен в член 11, параграф 2 (във връзка със съображение 57) от Регламент (ЕС) 2016/679, това е обосновано от факта, че за да гарантира прозрачност или да предостави индивидуални права, администраторът ще трябва да установи дали (и ако да, кои) данни са свързани с физическото лице, отправило искането, което е изрично забранено съгласно ЗЗЛД (член 28-5, параграф 1 от ЗЗЛД). Освен това, когато тази повторна идентификация включва премахване на псевдонимизацията за целия набор от (псевдонимизирани) данни, това би изложило на повишени рискове личните данни на всички останали засегнати физически лица. Докато Регламент (ЕС) 2016/679 се отнася до ситуации, при които повторната идентификация е практически невъзможна, в ЗЗЛД е възприет по-строг подход чрез строга забрана на повторната идентификация във всички ситуации, в които се обработват псевдонимизирани данни.

(83)

Корейската система, описана в съображения 74—82 следователно съдържа правила за правата на субектите на данни, които осигуряват ниво на защита, равностойно по същество на нивото съгласно Регламент (ЕС) 2016/679.

(84)

Нивото на защита на личните данни, което се осигурява за личните данни, предавани от Съюза към администратори в Република Корея, не трябва да бъде подкопавано от по-нататъшното предаване на тези данни към получатели в трета държава.

(85)

Това „последващо предаване“ представлява международно предаване от Република Корея от гледна точка на корейския администратор на лични данни. В това отношение в ЗЗЛД се прави разграничение между възлагането на обработването на външен изпълнител (т.е. обработващ лични данни) и предоставянето на лични данни на трети страни (113).

(86)

Първо, когато обработването на лични данни е възложено на външен изпълнител, който е образувание, намиращо се в трета държава, корейският администратор трябва да осигури спазването на разпоредбите на ЗЗЛД за възлагане на обработването на външен изпълнител (член 26 от ЗЗЛД). Това включва въвеждането на правно обвързващ инструмент, с който наред с другото обработването от външния изпълнител се ограничава до рамките на целта на възложената му работа, налагат се технически и управленски гаранции и се ограничава възлагането на подизпълнител (вж. член 26, параграф 1 от ЗЗЛД); както и публикуването на информация за възложената на външен изпълнител работа. Освен това администраторът има задължение да „образова“ външния изпълнител относно необходимите мерки за сигурност и да упражнява надзор, включително чрез проверки на място, относно спазването на всички задължения на администратора съгласно ЗЗЛД (114), както и съгласно договора за възлагане на дейност на външен изпълнител.

(87)

Ако външният изпълнител причини вреда, свързана с обработването на лични данни в нарушение на ЗЗЛД, тя се приписва на администратора за целите на отговорността, както когато вредата е причинена от служителите на администратора (член 26, параграф 6 от ЗЗЛД). Корейският администратор продължава да носи отговорност за личните данни, които са били предоставени за обработване на външен изпълнител, и трябва да гарантира, че задграничният обработващ ги обработва в съответствие със ЗЗЛД. Ако външният изпълнител обработва личните данни в нарушение на ЗЗЛД, корейският администратор носи отговорност за неспазването на своето задължение да гарантира съответствие със ЗЗЛД, например чрез надзор върху външния изпълнител. Гаранциите, включени в договора за възлагане на обработването на лични данни на външен изпълнител, и отговорността на корейския администратор за действията на външния изпълнител гарантират непрекъснатост на защитата при възлагане на обработването на лични данни на външен изпълнител, който е образувание извън Корея.

(88)

Второ, корейските администратори може да предоставят лични данни на трета страна, намираща се извън Корея. Макар че в ЗЗЛД са включени редица правни основания, предвиждащи по принцип предоставянето на лични данни на трети страни, ако третата страна се намира извън Корея, администраторът по принцип (115) трябва да получи съгласието на субекта на данните (116), след като му е предоставил информация (1) за вида на личните данни, (2) за получателя на личните данни, (3) за целта на предаването във връзка със смисъла на целта на обработването, преследвана от получателя, (4) за периода на обработване от получателя, както и (5) за факта, че субектът на данните може да откаже да даде съгласието си (член 17, параграфи 2 и 3 от ЗЗЛД). В Уведомление 2021-5 в раздела за прозрачността (вж. съображение 70) се предвижда физическите лица да бъдат информирани коя е третата държава, на която ще бъдат предоставени техните данни. Това гарантира, че субектите на данни в Съюза могат да вземат напълно информирано решение дали да се съгласят с предоставянето на данните им в трета държава. Освен това администраторът не може да сключва договор с третата страна получател в нарушение на ЗЗЛД, което означава, че договорът не трябва да съдържа определени задължения, които биха били в противоречие с наложените на администратора изисквания съгласно ЗЗЛД (117).

(89)

Без съгласието на физическото лице лични данни могат да бъдат предоставяни на трета страна (в трета държава), когато целта на разкриването продължава да бъде „разумно свързана в рамките на обхвата“ с първоначалната цел на събирането (член 17, параграф 4 от ЗЗЛД, вж. съображение 36). При вземане на решение за разкриване (или неразкриване) на лични данни за „свързана“ цел обаче администраторът трябва да прецени дали разкриването ще доведе до неблагоприятни последствия за физическото лице и дали са взети необходимите мерки за сигурност (например криптиране). Като се има предвид, че третата държава, на която ще бъдат предадени личните данни, може да не предлага защити, подобни на предоставените съгласно ЗЗЛД, в раздел 2 от Уведомление 2021-5 се посочва, че е възможно да възникнат такива последствия и те могат да бъдат избегнати само ако корейският администратор и задграничният получател гарантират, чрез правно обвързващ инструмент (например договор), ниво на защита, което е равностойно на ЗЗЛД, включително по отношение на правата на субектите на данните.

(90)

Специални правила се прилагат по отношение на „несвързано с целта“ разкриване, т.е. предоставяне на данни на трета страна за нова (несвързана) цел, което може да се извърши на едно от основанията в член 18, параграф 2 от ЗЗЛД, описани в съображение 39. Дори и при тези условия обаче предоставянето на лични данни на трета страна е изключено, ако има вероятност това „да накърни несправедливо“ интересите на субекта на данните или на трета страна, което налага балансиране на интересите. В допълнение към това в член 18, параграф 5 от ЗЗЛД от администратора се изисква да приложи допълнителни гаранции, които може да включват искане до третата страна да ограничи целта и начина на обработването или да приложи специални мерки за сигурност. Отново, като се има предвид, че третата държава, на която ще се предават личните данни, може да не предлага защити, подобни на предоставените съгласно ЗЗЛД, в раздел 2 от Уведомление 2021-5 се посочва, че може да възникне такова „несправедливо нарушение“ на интересите на физическото лице или на трета страна, и това може да бъде избегнато само ако корейският администратор и задграничният получател гарантират, чрез правно обвързващ инструмент (например договор), ниво на защита, което е равностойно на ЗЗЛД, включително по отношение на правата на субектите на данните.

(91)

Следователно правилата в съображения 86—90 гарантират непрекъснатост на защитата при последващо предаване на лични данни (на „външен изпълнител“ или на трета страна) от Република Корея по начин, който по същество е равностоен на предвидения в Регламент (ЕС) 2016/679.

(92)

Съгласно принципа на отчетност образуванията, които обработват данни, са длъжни да въведат подходящи технически и организационни мерки за ефективно спазване на своите задължения за защита на данните, както и да могат да докажат това спазване, по-специално пред компетентния надзорен орган.

(93)

Съгласно член 3, параграфи 6 и 8 от ЗЗЛД администраторът трябва да обработва личните данни „така че да сведе до минимум възможността за нарушение“ на неприкосновеността на личния живот на субекта на данните и да се опита да получи доверието му чрез съблюдаване и изпълнение на задълженията и отговорностите си, предвидени в ЗЗЛД и в други свързани закони. Това включва създаването на вътрешен план за управление (член 29 от ЗЗЛД), както и подходящо обучение и надзор на персонала (член 28 от ЗЗЛД).

(94)

Като начин за гарантиране на отчетността в член 31 от ЗЗЛД, във връзка с член 32 от Указа за прилагане на ЗЗЛД, на администраторите се вменява задължение да определят служител по въпросите на поверителността, който „поема всеобхватна отговорност за обработването на личните данни“. По-специално той е натоварен да изпълнява следните функции: (1) създаване и прилагане на план за защита на личните данни и съставяне на политика за поверителност, (2) извършване на редовни проучвания за състоянието и практиките за обработване на лични данни с цел отстраняване на недостатъците, (3) разглеждане на жалби и обезщетения за вреди, (4) създаване на система за вътрешен контрол с цел предотвратяване на разкриването, злоупотребата или неправилната употреба на лични данни, (5) изготвяне и прилагане на образователна програма, (6) защита, контрол и управление на досиетата с лични данни и (7) унищожаване на личните данни след постигане на целта на обработването им или след изтичане на срока на тяхното съхранение. При изпълнението на тези задължения служителят по въпросите на поверителността може да проверява състоянието на обработването на лични данни и свързаните системи и да иска съответна информация за тях (член 31, параграф 3 от ЗЗЛД). Ако служителят по въпросите на поверителността установи нарушение на ЗЗЛД или на други свързани закони за защита на данните, той незабавно предприема корективни мерки и докладва за тях на ръководството („ръководителя“) на администратора, ако е необходимо (член 31, параграф 4 от ЗЗЛД). Съгласно член 31, параграф 5 от ЗЗЛД за служителя по въпросите на поверителността не трябва да има неоснователни последствия като резултат от изпълнението на тези функции.

(95)

В допълнение администраторите трябва активно да се опитват да направят оценка на въздействието върху неприкосновеността на личния живот, когато работата с досиетата с лични данни носи риск за неприкосновеността на личния живот (член 33, параграф 8 от ЗЗЛД). Въз основа на член 33, параграфи 1 и 2 от ЗЗЛД, във връзка с членове 35, 36 и 38 от Указа за прилагане на ЗЗЛД, фактори, като вида и естеството на обработените данни (по-конкретно дали представляват чувствителни лични данни), техния обем, срока на съхранение и вероятността от нарушаване на защитата на данните, ще бъдат от значение за оценката на степента на риска за правата на субектите на данни. Целта на оценката на въздействието върху неприкосновеността на личния живот е да се гарантира, че са анализирани рисковите фактори за неприкосновеността на личния живот, както и мерките за безопасност или противодействие, и да се посочат въпросите, които се нуждаят от подобрение (вж. член 33, параграф 1 от ЗЗЛД, във връзка с член 38 от Указа за прилагане на ЗЗЛД).

(96)

Публичните институции имат задължение да извършват оценка на въздействието върху неприкосновеността на личния живот, когато обработват определени досиета с лични данни, свързани с по-висок риск от нарушения на неприкосновеността на личния живот (член 33, параграф 1 от ЗЗЛД). В съответствие с член 35 от Указа за прилагане на ЗЗЛД, наред с другото, такъв е случаят на досиета, които съдържат чувствителни лични данни на поне 50 000 субекта на данни, досиета, които при съпоставяне с други досиета и в резултат от това ще съдържат данни на поне 500 000 субекта на данни, или досиета, които съдържат данни на поне един милион субекта на данни. Резултатът от оценката на въздействието върху неприкосновеността на личния живот трябва да бъде съобщен на КЗЛД (член 33, параграф 1 от ЗЗЛД), която може да изрази становище (член 33, параграф 3 от ЗЗЛД).

(97)

Накрая, в член 13 от ЗЗЛД се предвижда КЗЛД да разработи необходимите политики за насърчаване и подкрепа на „саморегулиращи се дейности за защита на данните“ от страна на администраторите, наред с другото, чрез обучение за защита на данните, чрез насърчаване и подкрепа на организации, занимаващи се със защита на данните, и чрез подпомагане на администраторите в създаването и внедряването на правила за саморегулация. Освен това тя трябва да въведе и посредничи при използването на системата ePRIVACY Mark. В това отношение в член 32-2 от ЗЗЛД във връзка с членове 34-2—34-8 от Указа за прилагане на ЗЗЛД се предвижда възможност за сертифициране, че обработването на лични данни от даден администратор и защитната(ите) му система(и) съответстват на изискванията на ЗЗЛД. Съгласно тези правила може да бъде предоставено сертифициране (118) (за период от 3 години), ако администраторът отговаря на критериите за сертифициране, определени в ЗЗЛД, включително по отношение на наличието на управленски, технически и физически гаранции за защита на личните данни (119). Комисията за защита на личните данни трябва да проверява системите на администратора във връзка със сертифицирането поне веднъж годишно с цел поддържане на неговата ефективност, което може да доведе до отнемане на сертифицирането (член 32, параграф 4 от ЗЗЛД във връзка с член 34-5 от Указа за прилагане на ЗЗЛД; т.нар. „проследяващо управление“).

(98)

Следователно в корейската уредба принципът на отчетност се прилага по начин, който гарантира ниво на защита, равностойно по същество на нивото в Регламент (ЕС) 2016/679, включително чрез осигуряване на различни механизми за гарантиране и доказване на съответствие със ЗЗЛД.

(99)

Както е описано в съображение 13, в ЗКИ се предвиждат специфични правила за обработването на кредитна информация от търговски оператори. Следователно при обработването на лична кредитна информация търговските оператори трябва да спазват общите изисквания на ЗЗЛД, освен ако ЗКИ съдържа по-специфични правила. Такъв е случаят например, когато те обработват информация, свързана с кредитна карта или банкова сметка в контекста на търговска операция с физическо лице. Като секторно законодателство за обработването на кредитна информация (както лична, така и нелична) в ЗКИ не само са предвидени специфични гаранции за защита на данните (например по отношение на прозрачността и сигурността), но като цяло са регламентирани конкретните обстоятелства, при които може да се обработва лична кредитна информация. По-специално това е отразено в подробните изисквания за използването, предоставянето на данни на трета страна и за запазването на такива данни.

(100)

Подобно на ЗЗЛД в ЗКИ е отразен принципът на законосъобразността и пропорционалността. Първо, като общо изискване в член 15, параграф 1 от ЗКИ се разрешава събирането на лична кредитна информация само с разумни и добросъвестни средства и в най-малката степен, необходима за постигането на определена цел, в съответствие с член 3, параграфи 1—2 от ЗЗЛД. Второ, в ЗКИ по-конкретно се урежда законосъобразността на обработването на лична кредитна информация чрез ограничаване на нейното събиране, употреба и предоставяне на трета страна и като цяло обвързването на дейностите по обработването ѝ с изискването за съгласие от засегнатото лице.

(101)

Личната кредитна информация може да бъде събирана на някое от основанията, предвидени в ЗЗЛД, или на специфични основания, определени в ЗКИ. С оглед на това, че член 45 от Регламент (ЕС) 2016/679 предполага предаване на лични данни от администратор или обработващ лични данни в Съюза, но не обхваща пряко събиране (например от физическото лице или от уебсайт) от администратор на лични данни в Корея, от значение за настоящото решение са само съгласието и основанията, предвидени в ЗЗЛД. Тези основания включват по-конкретно сценарии, при които предаването е необходимо за изпълнението на договор с физическото лице или във връзка с легитимните интереси на корейския администратор на лични данни (член 15, параграф 1, точки 4 и 6 от ЗЗЛД) (120).

(102)

След като бъде събрана, личната кредитна информация може да се използва (1) за първоначалната цел, за която е била (пряко) предоставена от физическото лице (121); (2) за цел, която е съвместима с първоначалната цел на събирането (122); (3) за да се определи дали да се създаде или поддържа търговско взаимоотношение, поискано от физическото лице (123); (4) за статистически цели, за научноизследователски цели или за целите на архивирането в обществен интерес (124), ако информацията е псевдонимизирана (125); (5) ако бъде получено допълнително съгласие или (6) в съответствие със закона.

(103)

Ако търговски оператор възнамерява да разкрие лична кредитна информация на трета страна, той трябва да получи съгласието на физическото лице (126), след като го информира за получателя на данните, за целта на обработването им от получателя, за елементите на данните, които ще бъдат предоставени, за срока на съхранение от получателя и за правото на отказ за даване на съгласие (член 32, параграф 1 от ЗКИ и член 28, параграф 2 от Указа за прилагане на ЗКИ) (127). Изискването за съгласие не се прилага в някои специфични ситуации, а именно когато личната кредитна информация се разкрива (128): (1) на външен изпълнител за целите на възлагането на дейности на външен изпълнител (129); (2) на трета страна в случай на прехвърляне, разделяне или сливане на предприятия; (3) за статистически цели, за научноизследователски цели или за целите на архивирането в обществен интерес, когато информацията е псевдонимизирана; (4) за цел, която е съвместима с първоначалната цел на събирането; (5) на трета страна, която използва информацията за събирането на дълг, дължим от физическото лице (130); (6) в изпълнение на съдебно разпореждане; (7) на прокурор/съдебен полицейски служител в спешна ситуация, когато животът на физическото лице е в опасност или се очаква то да получи телесна повреда и няма време за издаване на съдебна заповед (131); (8) на компетентните данъчни органи за спазване на данъчните закони; или (9) в съответствие с други закони. В случай на разкриване на едно от тези основания субектът на данните трябва да бъде уведомен за това предварително (член 32, параграф 7 от ЗКИ).

(104)

В ЗКИ по-конкретно се урежда също така продължителността на обработването на личната кредитна информация на едно от основанията за използването или предоставянето ѝ на трета страна след края на търговското взаимоотношение с физическото лице (132). Само информация, която е била необходима за създаването или поддържането на взаимоотношението, може да бъде съхранявана, при спазване на допълнителни гаранции (да бъде отделена от кредитната информация, свързана с физически лица, с които търговското взаимоотношение продължава, да бъде защитена със специални мерки за сигурност и да бъде достъпна само за упълномощени физически лица) (133). Всички други данни трябва да бъдат заличени (член 17-2, параграф 1, точка 2 от Указа за прилагане на ЗКИ). За да се определи кои данни са били необходими за търговското взаимоотношение, трябва да се вземат предвид различни фактори, включително дали е било възможно взаимоотношението да бъде създадено без данните и дали е пряко свързано със стоките или услугите, предоставяни на физическото лице (член 17-2, параграф 2 от Указа за прилагане на ЗКИ).

(105)

Дори в случаите, когато лична кредитна информация по принцип може да се съхранява след края на търговското взаимоотношение, тя трябва да бъде заличена в срок от три месеца след постигането на допълнителната цел на обработването (134) или във всеки случай след пет години (член 20-2 от ЗКИ). В ограничен брой обстоятелства личната кредитна информация по принцип може да се съхранява повече от пет години, по-конкретно когато това е необходимо да се спази правно задължение; когато това е необходимо за жизненоважните интереси на живота, телесните или имуществените интереси на физическото лице; за архивирането на псевдонимизирана информация (която е била използвана за научноизследователски цели, за статистически цели или за целите на архивирането в обществен интерес); или за застрахователни цели (по-конкретно за застрахователни плащания или за предотвратяване на застрахователна измама) (135). В тези изключителни случаи се прилагат специални гаранции (като уведомяване на физическото лице за допълнителната употреба, разделяне на съхранената информация от информацията за физически лица, с които търговското взаимоотношение все още продължава, вж. член 17-2, параграфи 1—2 от Указа за прилагане на ЗКИ).

(106)

В ЗКИ се уреждат също така принципите за точност и качество на данните, като се изисква „регистриране, изменение и управление“ на личната кредитна информация, за да остане тя точна и актуална (член 18, параграф 1 от ЗКИ и член 15, параграф 3 от Указа за прилагане на ЗКИ) (136). Във връзка с предоставянето на кредитна информация на определени други образувания (например агенции за кредитен рейтинг) към търговските оператори има специални изисквания да проверяват също така точността на информацията, за да се гарантира, че получателят регистрира и управлява само точна информация (член 15, параграф 1 от Указа за прилагане на ЗКИ, във връзка с член 18, параграф 1 от ЗКИ). В по-общ смисъл ЗКИ съдържа изисквания за съхранение на документи за събирането, използването, разкриването на трети страни и унищожаването на лична кредитна информация (член 20, параграф 2 от ЗКИ) (137).

(107)

Освен това обработването на лична кредитна информация подлежи на специални изисквания по отношение на сигурността на данните. По-специално ЗКИ изисква въвеждането на технически, физически и организационни мерки за предотвратяване на незаконния достъп до компютърни системи, както и на изменението, унищожаването или всеки друг риск за обработваните данни (например чрез контрол на достъпа, вж. член 19 от ЗКИ и член 16 от Указа за прилагане на ЗКИ). В допълнение при обмена на лична кредитна информация с трета страна трябва да бъде сключено споразумение, в което да се определят специални мерки за сигурността (член 19, параграф 2 от ЗКИ). Ако има нарушение на сигурността на лична кредитна информация, трябва да се приложат мерки за свеждане до минимум на вредата и засегнатите физически лица трябва да бъдат уведомени незабавно (член 39-4, параграфи 1—2 от ЗКИ). В допълнение КЗЛД трябва да бъде информирана за извършеното уведомление на физическите лица и за приложените мерки (член 39-4, параграф 4 от ЗКИ).

(108)

В ЗКИ се налагат също така задължения за прозрачност при получаването на съгласие за използването или предоставянето на лична кредитна информация (член 32, параграф 4 и член 34-2 от ЗКИ и член 30-3 от Указа за прилагането на ЗКИ) и най-общо преди предоставянето на информация на трета страна (член 32, параграф 7 от ЗКИ) (138). В допълнение към това физическите лица имат право да получат информация при поискване относно използването или предоставянето на тяхната лична кредитна информация на трети страни за последните три години, предхождащи искането (включително за целта и датите на това използване/предоставяне) (139).

(109)

Съгласно ЗКИ физическите лица имат също така право на достъп до личната си кредитна информация (член 38, параграф 1 от ЗКИ), както и на корекция на неточни данни (член 38, параграфи 2—3 от ЗКИ) (140). Освен това в допълнение към общото право на изтриване на данните съгласно ЗЗЛД (вж. съображение 77) в ЗКИ се предвижда специално право на изтриване на лична кредитна информация, запазена след изтичането на сроковете, посочени в съображение 104, т.е. пет години (за лична кредитна информация, която е била необходима за създаването или поддържането на дадено търговско взаимоотношение) или три месеца (за други видове лична кредитна информация) (141). Искане за изтриване може да бъде отказано по изключение, когато е необходимо допълнително съхранение поради обстоятелствата, описани в съображение 105. Ако дадено физическо лице поиска изтриване, но е приложимо едно от изключенията, по отношение на съответната кредитна информация трябва да бъдат приложени специални гаранции (член 38-3, параграф 3 от ЗКИ и член 33-3 от Указа за прилагане на ЗКИ). Например информацията трябва да бъде съхранявана отделно от друга информация, само упълномощено лице може да има достъп до нея и спрямо нея трябва да се прилагат специални мерки за сигурност.

(110)

Освен правата, посочени в съображение 109, разпоредбите на ЗКИ гарантират на физическите лица правото да искат от даден администратор да спре да осъществява контакт с тях за целите на директния маркетинг (член 37, параграф 2 от закона) и правото на преносимост на данните. По отношение на последното в ЗКИ се разрешава на физическите лица да искат тяхната лична кредитна информация да им бъде предадена или да бъде предадена на определени трети страни (например финансови институции и дружества за кредитен рейтинг). Личната кредитна информация трябва да бъде обработвана и предавана на трета страна във формат, който може да бъде обработен от устройство за обработване на информация (например компютър).

(111)

Поради това, доколкото ЗКИ съдържа специфични правила в сравнение със ЗЗЛД, Комисията смята, че всички тези правила гарантират ниво на защита, което по същество е равностойно на гарантираното от Регламент (ЕС) 2016/679.

(112)

С цел да се гарантира, че адекватното ниво на защита на данните се осигурява и на практика, следва да има независим надзорен орган с правомощия за наблюдение и осигуряване на спазването на правилата за защита на данните. Този орган следва да действа с пълна независимост и безпристрастност при изпълнението на своите задължения и при упражняването на правомощията си.

(113)

В Република Корея независимият орган, който отговаря за наблюдението и привеждането в изпълнение на ЗЗЛД, е КЗЛД. КЗЛД се състои от председател, заместник-председател и седем членове. Председателят и заместник-председателят се назначават от президента по препоръка на министър-председателя. Двама от определените членове на КЗЛД се назначават от президента по препоръка на председателя, а петима се назначават по препоръка на Националното събрание (от които двама по препоръка на политическата партия, към която принадлежи президента, и трима по препоръка на три други партии (член 7 и член 2, параграф 2 от ЗЗЛД), което спомага за неутрализиране на партийните пристрастия в процеса на назначаването им) (142). Тази процедура е в съответствие с изискванията, приложими за назначаването на членове на органите за защита на личните данни в Съюза (член 53, параграф 1 от Регламент (ЕС) № 2016/679). Освен това всички членове на КЗЛД трябва да се въздържат от извършване на дейност, свързана с печалба, от политически дейности и от заемане на позиции в публичната администрация или в Националното събрание (член 7-6 и член 7-7, параграф 1, точка 3 от ЗЗЛД) (143). Всички членове на КЗЛД също така се подчиняват на специални правила, които възпрепятстват тяхното участие в обсъжданията в случай на възможен конфликт на интереси (член 7-11 от ЗЗЛД). Комисията за защита на личните данни се подпомага от секретариат (член 7-13) и може да създава подкомисии (в които влизат по трима членове на Комисията) за разглеждане на малки нарушения и повтарящи се въпроси (член 7-12 от ЗЗЛД).

(114)

Всеки член на КЗЛД се назначава за срок от три години и може да бъде преназначен веднъж (член 7-4, параграф 1 от ЗЗЛД). Членовете могат да бъдат освобождавани само при специални обстоятелства, а именно: ако вече не са в състояние да изпълняват задълженията си поради трайно психическо или физическо увреждане, ако действат в нарушение на закона или ако отговарят на едно от условията за отстраняване от длъжност (144) (член 7-5 от ЗЗЛД). Това им осигурява институционална закрила при упражняването на техните функции.

(115)

В по-общ план в член 7, параграф 1 от ЗЗЛД изрично се гарантира независимостта на КЗЛД, а в член 7-5, параграф 2 от ЗЗЛД от членовете на КЗЛД се изисква да изпълняват задълженията си независимо, в съответствие със закона и със своята съвест (145). Описаните институционални и процедурни гаранции, включително по отношение на назначаването и освобождаването на нейните членове, гарантират на КЗЛД свобода да действа в пълна независимост, без външна намеса или указания. Освен това като централна административна агенция КЗЛД предлага ежегодно свой собствен бюджет (който се разглежда от Министерството на финансите като част от общия национален бюджет преди приемането му от Националното събрание) и отговаря за управлението на собствения си персонал. Комисията за защита на личните данни има текущ бюджет от близо 35 милиона евро и персонал от 154 души (включително 40 специалисти в областта на информационните и комуникационните технологии, 32 служители, занимаващи се предимно с разследвания и 40 правни експерти).

(116)

Задачите и правомощията на КЗЛД са определени главно в членове 7-8 и 7-9, както и в членове 61—66 от ЗЗЛД (146). По-специално задачите на КЗЛД включват консултиране относно законите и подзаконовите актове, свързани със защитата на данните, разработване на политики и насоки за защита на данните, разследване на нарушения на конкретни права, разглеждане на жалби и медиация при спорове, гарантиране на спазването на ЗЗЛД, гарантиране на обучение и поощряване в областта на защитата на данните и обмен и сътрудничество с органи на трети страни за защита на данните (147).

(117)

Въз основа на член 68 от ЗЗЛД, във връзка с член 62 от Указа за прилагане на ЗЗЛД, определени задачи на КЗЛД са делегирани на Корейската агенция за интернет и сигурност, а именно: (1) образование и връзки с обществеността, (2) обучение на специалисти и разработване на критерии за оценки на въздействието върху неприкосновеността на личния живот, (3) разглеждане на искания за даване на статут на т.нар. институция за оценка на въздействието върху неприкосновеността на личния живот, (4) разглеждане на искания за непряк достъп до лични данни, съхранявани от публични органи (член 35, параграф 2 от ЗЗЛД) и (5) задачата за искане на материали и извършване на проверки на място във връзка с жалби, получени чрез т.нар. Информационен център по въпросите на поверителността. В контекста на разглеждането на жалби чрез Информационния център по въпросите на поверителността Корейската агенция за интернет и сигурност предава случая на КЗЛД или на прокуратурата, ако установи, че има нарушение на закона. Възможността за подаване на жалба до Информационния център по въпросите на поверителността не възпрепятства физическите лица да подават пряко жалба до КЗЛД или да се свързват с КЗЛД, ако смятат, че жалбата им не е разгледана по задоволителен начин от Корейската агенция за интернет и сигурност.

(118)

С цел да се гарантира спазването на ЗЗЛД законодателят е предоставил на КЗЛД правомощия както за разследване, така и за правоприлагане, вариращи от препоръки до административни глоби. Тези правомощия са допълнени от режим на наказателни санкции.

(119)

Що се отнася до разследващите правомощия, ако има съмнение за нарушение на ЗЗЛД или ако е докладвано за такова нарушение, или когато това е необходимо за защита на субекта на данните срещу нарушения, КЗЛД може да извършва проверки на място и да иска всички съответни материали (статии и документи) от администраторите на лични данни (член 63 от ЗЗЛД, във връзка с член 60 от Указа за прилагане на ЗЗЛД) (148).

(120)

По отношение на правоприлагането, съгласно член 61, параграф 2 от ЗЗЛД, КЗЛД може да дава съвети на администраторите на лични данни как да подобрят нивото на защита на личните данни при конкретни дейности за обработване на лични данни. Администраторите на лични данни трябва да полагат добросъвестни усилия да изпълняват подобни съвети и са задължени да информират КЗЛД за резултата. Освен това, когато има разумни основания да се смята, че е налице нарушение на ЗЗЛД и че непредприемането на действия може да причини трудно поправими вреди, КЗЛД може да наложи корективни мерки (член 64, параграф 1 от ЗЗЛД) (149). В раздел 5 от Уведомление 2021-5 (приложение I), което има обвързващо действие, се пояснява, че тези условия са изпълнени във връзка с нарушението на разпоредба на ЗЗЛД за защита на правата на неприкосновеност на личния живот на физическите лица по отношение на личните им данни (150). Мерките, които КЗЛД има правомощие да приложи, включват разпореждане за спиране на извършването на нарушението, преустановяване на обработването на личните данни или други необходими мерки. Неспазването на дадена корективна мярка може да доведе до санкция под формата на глоба в максимален размер от 50 милиона вона (член 75, параграф 2, точка 13 от ЗЗЛД).

(121)

Що се отнася до другите механизми за отчетност, ЗКИ съдържа изисквания към определени организации (например кооперации и публични дружества, вж. член 21, параграф 2 от Указа за прилагане на ЗКИ) да определят „администратор/пазител на кредитната информация“, който отговаря за наблюдаване на спазването на ЗКИ и за изпълнението на задачите на „служителя по въпросите на поверителността“ съгласно ЗЗЛД (член 20, параграфи 3 и 4 от ЗКИ). Съгласно раздел 5 от Уведомление 2021-5 това се отнася до извънредни фактически и правни обстоятелства, с които КЗЛД не е запозната, когато прави препоръката. Съответният публичен орган може да се позове на такива извънредни обстоятелства само ако докаже категорично, че има нарушение и КЗЛД реши, че няма такова нарушение. Иначе публичният орган трябва да следва препоръката на КЗЛД и „да предприеме корективна мярка, включително незабавно да спре действието, както и да предостави обезщетение за вредите в изключителния случай, когато все пак е било извършено незаконно действие.“

(122)

Комисията за защита на личните данни може да поиска също така от други административни агенции със специфична компетентност по силата на секторно законодателство (например в сферата на здравеопазването, образованието) да извършат разследване — самостоятелно или съвместно с КЗЛД — за (предполагаеми) нарушения на неприкосновеността на личния живот от страна на администратори под тяхната юрисдикция и да наложат корективни мерки (член 63, параграфи 4—5 от ЗЗЛД). В този случай КЗЛД определя основанията, предмета и обхвата на разследването (151). На свой ред съответната административна агенция трябва да предостави на КЗЛД план за проверка на място и да я уведоми за резултата от нея. Комисията за защита на личните данни може да препоръча да бъде предприета конкретна корективна мярка, а съответната агенция трябва да се опита да я изпълни. Във всеки случай това искане не ограничава правомощието на КЗЛД да извърши свое разследване или да наложи санкции.

(123)

Освен правомощията да изисква корекции КЗЛД може да налага административни глоби в размер от 10 до 50 милиона вона за нарушения на различни изисквания на ЗЗЛД (член 75 от ЗЗЛД) (152). Наред с другото, това включва неспазване на изискванията за законосъобразност на обработването, неприлагане на необходимите мерки за сигурност, неуведомяване на субектите на данни в случай на нарушение на сигурността на данните им, неспазване на изискванията за възлагане на обработването на външен изпълнител, несъздаване и неразкриване на политиката за поверителност, неопределяне на отговорник по въпросите на поверителността или бездействие в случай на искане от субекта на данните за упражняване на индивидуалните му права, както и определени процедурни нарушения (отказ от сътрудничество по време на разследване). В случай на нарушения на няколко разпоредби от ЗЗЛД от един и същ администратор на лични данни може да бъде наложена глоба за всяко нарушение и броят на засегнатите физически лица ще бъде взет предвид при определяне на размера на глобата.

(124)

Освен това, когато съществуват разумни основания да се предполага, че има нарушение на ЗЗЛД или на други „закони, свързани със защитата на данните“, КЗЛД може да подаде наказателна жалба до компетентната разследваща агенция (например прокурор, вж. член 65, параграф 1 от ЗЗЛД). Освен това КЗЛД може да посъветва администратора да открие дисциплинарно производство срещу отговорното лице (включително срещу отговорния ръководител, вж. член 65, параграф 2 от ЗЗЛД). След като получи такъв съвет, администраторът трябва да го изпълни (153) и да уведоми КЗЛД писмено за резултата (член 65 от ЗЗЛД във връзка с член 58 от Указа за прилагане на ЗЗЛД).

(125)

По отношение на съвет съгласно член 61, корективни мерки съгласно член 64, обвинение или съвет за дисциплинарно производство съгласно член 65 и налагането на административни глоби съгласно член 75 от ЗЗЛД КЗЛД може да оповести публично фактите — т.е. нарушението, образуванието, което е нарушило закона, и наложените) мерки — чрез публикуването им на своя уебсайт или в национален всекидневник (член 66 от ЗЗЛД, във връзка с член 61, параграф 1 от Указа за прилагане на ЗЗЛД) (154).

(126)

Накрая, спазването на изискванията за защита на личните данни, изложени в ЗЗЛД (както и в „други закони, свързани със защитата на личните данни“), е подкрепено с режим на наказателни санкции. В това отношение членове 70—73 от ЗЗЛД съдържат наказателни разпоредби, които могат да доведат до налагането на глоба (в размер от 20 до 100 милиона вона) или до лишаване от свобода (максималната присъда варира от 2 до 10 години). Съответните нарушения включват, наред с другото, използването на лични данни или предоставянето на такива данни на трета страна без необходимото съгласие, обработването на чувствителни данни въпреки забраната в член 23, параграф 1 от ЗЗЛД, неспазване на приложимите изисквания за безопасност, в резултат на което лични данни са изгубени, откраднати, разгласени, подправени, изменени или повредени, неприлагане на необходимите мерки за коригиране, изтриване или преустановяване на лични данни или незаконно предаване на лични данни на трета страна (155). Съгласно член 74 от ЗЗЛД във всички тези случаи отговорност носят служителят, агентът или представителят на администратора, както и самият администратор (156).

(127)

Освен наказателните санкции, предвидени в ЗЗЛД, неправилното използване на личните данни може също така да представлява престъпление по Наказателния закон. По-специално такъв е случаят с нарушаването на тайната на кореспонденцията, на документи или на електронни регистри (член 316), разкриването на информация, която е предмет на професионална тайна (член 317), измамата чрез използването на компютри (член 347-2), както и присвояването и нарушаването на доверието (член 355).

(128)

Следователно корейската система съчетава различни видове санкции — от корективни мерки и административни глоби до наказателни санкции, за които има вероятност да окажат особено силен възпиращ ефект върху администраторите и физическите лица, обработващи данните. Комисията за защита на личните данни започна да упражнява правомощията си веднага след като бе създадена през 2020 г. Годишният доклад на КЗЛД за 2021 г. показва, че КЗЛД вече е издала редица препоръки, административни глоби и заповеди за корекция както срещу публичния сектор (близо 34 публични органа), така и срещу частни оператори (близо 140 дружества) (157). Например през декември 2020 г. КЗЛД наложи глоба от 6,7 милиарда вона на дружество за нарушаване на различни разпоредби на ЗЗЛД (включително на изискванията за сигурност, на изискванията за съгласие за предоставяне на данни на трета страна и за прозрачност) (158) и глоба от 103,3 милиона вона през април 2021 г. на дружеството AI technology (за нарушаване, наред с други разпоредби, на правилата за законосъобразност на обработването, по-конкретно във връзка със съгласието, и на обработването на псевдонимизирана информация) (159). През август 2021 г. КЗЛД приключи друго разследване на дейността на три дружества, което доведе до корективни мерки и налагането на глоби в размер на до 6,47 милиарда вона (наред с другото, за неинформиране на физически лица за разкриването на лични данни на трети лица, включително предаване на трети държави) (160). Също така Южна Корея имаше доказани резултати в правоприлагането още преди извършването на неотдавнашната реформа, като отговорните органи използваха пълния набор от действия по правоприлагане, включително административни глоби, корективни мерки и „посочване и споделяне“ по отношение на различни администратори, включително доставчиците на комуникационни услуги (Корейска комисия по комуникациите), както и търговски оператори, финансови институции, публични органи, университети и болници (Министерство на вътрешните работи и безопасността) (161). Въз основа на това Комисията стига до заключението, че корейската система осигурява ефективно спазване на правилата за защита на личните данни на практика, като по този начин гарантира ниво на защита, което по същество е равностойно на нивото съгласно Регламент (ЕС) 2016/679.

(129)

С цел да се осигури адекватна защита, и по-специално упражняване на индивидуалните права, на субекта на данни следва да се предоставят ефективни административни и съдебни средства за правна защита, включително обезщетение за вреди.

(130)

Корейската система предоставя на физическите лица различни механизми за ефективно упражняване на техните права и за получаване на (съдебни) средства за правна защита.

(131)

Като първа стъпка физическите лица, които смятат, че правата им на защита на личните им данни и на интересите им са били нарушени, могат да се обърнат към съответния администратор. Съгласно член 30, параграф 1, точка 5 от ЗЗЛД политиката за поверителност на администратора трябва включва, наред с останалото, информация за правата на субектите на данни и за начина на упражняването им. Освен това тя трябва да съдържа информация за контакт — име и телефонен номер на служителя по въпросите на поверителността или отдела, който отговаря за защитата на данните — което дава възможност за подаване на жалби („оплаквания“). В рамките на организацията на администратора служителят по въпросите на поверителността е натоварен с разглеждането на жалби, прилагането на корективни мерки в случай на нарушение на неприкосновеността на личния живот и обезщетение за вреди (член 31, параграф 2, точка 3, параграф 4 от ЗЗЛД). Последното има значение например в случай на нарушение на сигурността на личните данни, тъй като администраторът трябва да информира субекта на данните за звеното(звената) за контакт, до които може да се докладва за вреди, наред с другото (член 34, параграф 1, точка 5 от ЗЗЛД).

(132)

Освен това в ЗЗЛД се осигуряват средства за правна защита на физическите лица спрямо администраторите. Първо, всяко физическо лице, което смята, че правата или интересите му по отношение на защитата на личните данни са били нарушени от администратора, може да докладва за това на КЗЛД и/или на една от специализираните институции, определени от КЗЛД да получават и разглеждат жалби; това включва Корейската агенция за интернет и сигурност, която за целта разполага с информационен център по въпросите на личните данни (т.нар. „Информационен център по въпросите на поверителността“) (член 62, параграфи 1—2 от ЗЗЛД във връзка с член 59 от Указа за прилагане на ЗЗЛД). Информационният център по въпросите на поверителността разследва и установява нарушения, предоставя консултации във връзка с обработването на лични данни (член 62, параграф 3 от ЗЗЛД) и може да докладва за нарушения на КЗЛД (но самият той не може да предприема принудителни мерки). Информационният център по въпросите на поверителността получава голям брой жалби/искания (например 177 457 през 2020 г., 159 255 през 2019 г. и 164 497 през 2018 г.) (162). Съгласно информация, получена от КЗЛД, самата КЗЛД е получила близо 1 000 жалби в периода август 2020—август 2021 г. В отговор на жалба КЗЛД може да предоставя съвети за подобрения, корективни мерки, „обвинение“ към компетентната разследваща агенция (включително прокурор) или съвет за дисциплинарно производство (вж. членове 61, 64 и 65 от ЗЗЛД). Решенията на КЗЛД (например отказ за разглеждане на жалба или отхвърляне на жалба по същество) могат да бъдат оспорени съгласно Закона за административното съдопроизводство (163).

(133)

Второ, съгласно членове 40—50 от ЗЗЛД, във връзка с членове 48-14—57 от Указа за прилагане на ЗЗЛД, субектите на данни могат да завеждат искове пред т.нар. „Комитет за медиация при спорове“, който се състои от представители, назначени от председателя на ЗЗЛД измежду членовете на Висшата изпълнителна служба на КЗЛД, и физически лица, назначени въз основа на опита им в областта на защитата на личните данни измежду определени допустими групи (вж. член 40, параграфи 2, 3 и 7 от ЗЗЛД, член 48-14 от Указа за прилагане на ЗЗЛД) (164). Възможността да се използва медиация пред Комитета за медиация при спорове осигурява алтернативна възможност за получаване на средства за правна защита, но не ограничава правото на физическото лице вместо това да се обърне към КЗЛД или към съдилищата. За да разгледа случаят, Комитетът може да поиска от спорещите страни да предоставят необходимите материали и/или да призове свидетели, които да се явят пред него (член 45 от ЗЗЛД). След изясняването на въпроса Комитетът изготвя проект на медиационно решение (165), по което мнозинството от членовете му трябва да са съгласни. Проектът на медиационното решение може да включва преустановяване на нарушението, необходими средства за правна защита (включително възстановяване или обезщетение за вреди), както и мерки, които са необходими за недопускане на повторение на същото или на подобно нарушение (нарушения) (член 47, параграф 1 от ЗЗЛД). Когато двете страни са съгласни с медиационното решение, то ще има същото действие като съдебно споразумение (член 47, параграф 5 от ЗЗЛД). Всяка от страните може да заведе съдебен иск, докато продължава медиацията, като в този случай тя ще бъде преустановена (вж. член 48, параграф 2 от ЗЗЛД) (166). Годишният брой издадени решения от КЗЛД показва, че физическите лица редовно прибягват до процедурата пред Комитета за медиация при спорове, което често води до успешен резултат. Например през 2020 г. Комитетът е разгледал 126 случая, от които 89 са били разрешени от Комитета (77 случая, в които страните са постигнали споразумение преди приключването на процеса на медиация и 12 случая, в които страните са приели предложението за медиация), което представлява дял на медиация от 70,6 % (167). По подобен начин през 2019 г. Комитетът е разгледал 139 случая, от които 92 са били разрешени, което представлява дял на медиация от 62,2 %.

(134)

Освен това, когато поне 50 физически лица са понесли вреда или правата им на защита на личните им данни са били нарушени по същия или по подобен начин вследствие на същия (вид) инцидент (168), даден субект на данни или дадена организация за защита на личните данни могат да кандидатстват за колективна медиация на спора от името на такъв колектив; други субекти на данни могат да кандидатстват да се присъединят към медиацията, която ще бъде обявена публично от Комитета за медиация при спорове (член 49, параграфи 1—3 от ЗЗЛД, във връзка с членове 52—54 от Указа за прилагане на ЗЗЛД) (169). Комитетът за медиация при спорове може да избере за представляваща страна поне едно лице, което представлява най-добре общия интерес (член 49, параграф 4 от ЗЗЛД). Когато администраторът отхвърли колективна медиация във връзка със спор или не желае да приеме медиационното решение, определени организации (170) могат да заведат колективен иск във връзка с нарушението (членове 51—57 от ЗЗЛД).

(135)

Трето, в случай на нарушение на неприкосновеността на личния живот, причинило „вреда“ на физическото лице, субектът на данните има право на подходящо средство за правна защита в „надлежна и добросъвестна процедура“ (член 4, точка 5, с член 39 от ЗЗЛД) (171). Администраторът може да се оневини, като докаже липсата на вина („умисъл“ или груба небрежност). Когато субектът на данни претърпи вреда в резултат на загуба, кражба, разкриване, фалшифициране, промяна или повреда на личните му/ѝ данни, съдът може да определи обезщетение в размер до три пъти по-голям от действителната вреда, вземайки предвид редица фактори (член 39, параграфи 3—4 от ЗЗЛД). Като алтернативна възможност субектът на данни може да поиска „разумна сума“ на обезщетение за вреди, чийто размер не надхвърля 3 милиона вона (член 39-2, параграфи 1—2 от ЗЗЛД). Освен това в съответствие с Гражданския закон обезщетение за вреди може да се предяви срещу всяко лице, „което причинява загуби или увреждане на друго лице чрез незаконно действие, умишлено или поради небрежност“ (172), или от лице, „което е причинило увреждане на лицето, на свободата или на славата на друго лице или е причинило душевни страдания на друго лице“ (173). Тази деликтна отговорност, породена от нарушението на правилата за защита на личните данни, е потвърдена от Върховния съд (174). Ако вредата е причинена от незаконосъобразно действие на публичен орган, иск за обезщетение за вреда може да се подаде също така в съответствие със Закона за държавните обезщетения (175). Иск в съответствие със Закона за държавните обезщетения може да се подаде до специализиран „Съвет за обезщетение за вреди“ или пряко до корейските съдилища (176). Държавната отговорност обхваща също така нематериални вреди (например душевно страдание) (177). Ако жертвата е чужденец, Законът за държавните обезщетения се прилага, доколкото неговата/нейната държава по произход гарантира равностойно обезщетение за корейските граждани (178).

(136)

Четвърто, Върховният съд е признал, че физическите лица имат право да подават искове за преустановяване на нарушения при нарушения на техните права съгласно Конституцията, включително правото на защита на личните данни (179). В този контекст даден съд може да разпореди на администраторите да преустановят или да спрат всяко незаконно действие. В допълнение към това правата за защита на личните данни, включително правата, които са защитени съгласно ЗЗЛД, могат да бъдат приведени в изпълнение чрез граждански искове. Това хоризонтално прилагане на конституционната защита на неприкосновеността на личния живот спрямо взаимоотношения между частни страни е признато от Върховния съд (180).

(137)

Накрая, физическите лица могат да подадат наказателна жалба съгласно Наказателнопроцесуалния закон (член 223) до прокурор или до съдебен полицейски служител (181).

(138)

Следователно корейската система предоставя различни механизми за получаване на правна защита — от леснодостъпни, евтини варианти (например чрез установяване на контакт с Информационния център по въпросите на поверителността или чрез (колективна) медиация) до административни (пред КЗЛД) и съдебни механизми, включително възможността да се получи обезщетение за вреди.

(139)

Комисията извърши също така оценка на ограниченията и гаранциите, включително на предвидените от корейското законодателство механизми за надзор и индивидуална правна защита във връзка със събирането и последващото използване от корейските публични органи на лични данни, предадени на администратори в Корея в обществен интерес, по-специално за целите на наказателното правоприлагане и националната сигурност („достъп на държавните органи“). В това отношение корейското правителство предостави на Комисията официални изявления, гаранции и ангажименти, подписани на равнище министри и ръководители на държавни ведомства, които се съдържат в приложение II към настоящото решение.

(140)

При оценката дали условията, при които достъпът на държавните органи до данни, предавани на Корея съгласно настоящото решение, отговарят на критерия за „равностойност по същество“ съгласно член 45, параграф 1 от Регламент (ЕС) 2016/679, както се тълкува от Съда на Европейския съюз в светлината на Хартата на основните права, Комисията взе предвид по-специално следните критерии.

(141)

Първо, всяко ограничаване на упражняването на правото на защита на личните данни трябва да бъде предвидено в закон, а самото правно основание, позволяващо намеса в това право, трябва да определя обхвата на ограничението при упражняване на съответното право (182).

(142)

Второ, за да удовлетвори изискването за пропорционалност, съгласно което дерогациите и ограниченията на защитата на личните данни трябва да се прилагат само доколкото са строго необходими в едно демократично общество, за да се постигнат конкретни цели от общ интерес, равностойни на тези, признати от Съюза, законодателството на въпросната трета държава, позволяващо намесата, трябва да предвижда ясни и точни правила, които да уреждат обхвата и прилагането на разглежданите мерки и да налагат минимални изисквания, така че лицата, чиито данни са били предадени, да разполагат с достатъчно гаранции, позволяващи ефективна защита на техните лични данни срещу рискове от злоупотреби (183). Законодателството трябва в частност да посочва обстоятелствата и условията, при които може да се приложи мярка за обработване на такива данни (184), както и да предвиди над изпълнението на такива изисквания да се упражнява независим надзор (185).

(143)

Трето, това законодателство и неговите изисквания трябва да бъдат правно обвързващи съгласно вътрешното законодателство. Това се отнася преди всичко до органите на въпросната трета държава, но тези правни изисквания трябва да бъдат също така подлежащи на изпълнение пред съдилищата спрямо тези органи (186). По-специално субектите на данни трябва да имат възможността да заведат дело пред независим и безпристрастен правораздавателен орган, за да получат достъп до отнасящи се до тях лични данни или да коригират или изтриват такива данни (187).

(144)

Ограниченията и гаранциите, които се прилагат по отношение на събирането и последващото използване на лични данни от корейските публични органи, произтичат от общата конституционна рамка, от специалните закони, с които се уреждат техните дейности в областите на наказателното правоприлагане и националната сигурност, както и от правилата, които се прилагат специално във връзка с обработването на личните данни.

(145)

Първо, достъпът до лични данни от корейските публични органи се урежда от общите принципи на законност, необходимост и пропорционалност, които произтичат от корейската Конституция (188). По-специално основните права и свободи (включително правото на неприкосновеност на личния живот и правото на поверителност на кореспонденцията) (189) могат да бъдат ограничени само със закон и когато това е необходимо за националната сигурност или за поддържането на законността и реда за благото на обществото. Тези ограничения не могат да засягат същността на разглежданото право или свобода. По-специално по отношение на претърсванията и изземванията Конституцията предвижда, че те могат да се извършват само в съответствие с разпоредбите на закона, въз основа на заповед, издадена от съдия, и в съответствие със законосъобразна процедура (190). Накрая, физическите лица могат да се позовават на правата и свободите си пред Конституционния съд, ако смятат, че те са били нарушени от публични органи при упражняване на техните правомощия (191). По подобен начин физическите лица, които са понесли вреди поради незаконосъобразен акт, извършен от държавен служител при изпълнение на официалните му задължения, имат право да предявят искане за справедливо обезщетение (192).

(146)

Второ, както е описано по-подробно в раздели 3.2.1 и 3.3.1, общите принципи, посочени в съображение 145, са отразени също така в специалните закони, с които се уреждат правомощията на органите за правоприлагане и национална сигурност. Например по отношение на наказателните разследвания в Наказателнопроцесуалния закон (НПЗ) се предвижда предприемането на принудителни мерки само ако това е изрично предвидено в НПЗ и в най-малката необходима степен за постигане на целта на разследването (193). По подобен начин в член 3 от Закона за защита на поверителността на комуникациите (ЗЗПК) се забранява достъпът до частни комуникации, освен въз основа на закона и при спазване на предвидените в него ограничения и гаранции. В областта на националната сигурност в Закона за националната разузнавателна служба (ЗНРС) се предвижда, че достъпът до информация за комуникации и местонахождения трябва да се извършва в съответствие със закона, и се предвижда налагане на наказателни санкции за злоупотреба с правомощия и нарушения на закона (194).

(147)

Трето, обработването на лични данни от публични органи, включително за целите на правоприлагането и националната сигурност, подлежи на правилата за защита на личните данни съгласно ЗЗЛД (195). Като общ принцип в член 5, параграф 1 от ЗЗЛД от публичните органи се изисква да разработят политики за предотвратяване на „злоупотреба с лични данни и тяхната неправилна употреба, недискретно наблюдение и проследяване и др., както и за укрепване на достойнството на човешките същества и неприкосновеността на личния живот на физическите лица.“ В допълнение към това администраторът трябва да обработва личните данни по начин, който свежда до минимум възможността за нарушаване на неприкосновеността на личния живот на субекта на данните (член 3, параграф 6 от ЗЗЛД).

(148)

Всички изисквания на ЗЗЛД, описани подробно в раздел 2, се отнасят до обработването на лични данни за целите на правоприлагането. Това включва основните принципи (като законосъобразност и добросъвестност, ограничаване на целта, точност, свеждане на данните до минимум, ограничаване на съхранението, сигурност и прозрачност), задълженията (например по отношение на уведомлението за нарушаване на сигурността на данните и чувствителни данни) и правата (за получаване на достъп, корекция, заличаване и спиране на използването).

(149)

Докато обработването на лични данни за целите на националната сигурност подлежи на по-ограничен набор от разпоредби съгласно ЗЗЛД, основните принципи, както и правилата за надзор, правоприлагането и средствата за правна защита са приложими (196). По-специално в членове 3 и 4 от ЗЗЛД се уреждат общите принципи на защита на личните данни (законосъобразност и добросъвестност, ограничаване на целта, точност, свеждане на данните до минимум, сигурност и прозрачност) и индивидуалните права (правото да бъдеш информиран, правото на достъп и правата на корекция, заличаване и спиране на използването) (197). В член 4, параграф 5 от ЗЗЛД се предвижда също така правото на физическите лица на подходящи средства за правна защита за вреда, произтичаща от обработването на личните им данни, в надлежна и добросъвестна процедура. Това се допълва от по-конкретни задължения за обработване на лични данни само в минималната степен, необходима за постигане на предвидената цел, и за минимален срок, за въвеждане на необходимите мерки за осигуряване на безопасно управление и подходящо обработване на данните (например технически, управленски и физически гаранции), както и въвеждането на мерки за надлежното разглеждане на индивидуални оплаквания (жалби) (198). Накрая, общите принципи на законност, необходимост и пропорционалност съгласно Конституцията (вж. съображение 145) се прилагат също така за обработването на лични данни за целите на националната сигурност.

(150)

Физическите лица могат да се позовават на тези общи ограничения и гаранции пред независими надзорни органи (например КЗЛД и/или Националната комисия за човешки права, вж. съображения 177—178), както и пред съдилищата (вж. съображения 179—183) за получаване на правна защита.

(151)

Законодателството на Република Корея налага редица ограничения на достъпа и използването на личните данни за целите на наказателното правоприлагане и осигурява механизми за надзор и правна защита в тази област, които са в съответствие с изискванията, посочени в съображения 141—143 от настоящото решение. Условията, при които може да се осъществи такъв достъп, и гаранциите, приложими за упражняването на тези правомощия, са разгледани подробно в следващите раздели.

(152)

Обработваните от корейски администратори лични данни, които ще бъдат предавани от Съюза в съответствие с настоящото решение (199), могат да бъдат събирани от корейските органи за целите на наказателното правоприлагане в контекста на претърсването и изземването (въз основа на НПЗ), чрез достъп до данни от комуникации (въз основа на ЗЗПК) или чрез получаване на данни на абонати чрез искания за доброволно разкриване (въз основа на Закона за телекомуникационните дейности, „ЗТД“) (200).

(153)

В НПЗ се предвижда, че претърсване или изземване може да се извърши само ако дадено лице е заподозряно в извършването на престъпление, ако това е необходимо за разследването и ако бъде установена връзка между разследването и лицето, което трябва да бъде претърсено или по отношение на което ще се извършва изземване (201). Освен това претърсване или изземване (като всяка принудителна мярка) може да се разреши/извърши само в най-малката необходима степен (202). Ако претърсването е свързано с компютърен диск или с друг носител за съхранение на данни, по принцип се изземват само самите данни (копирани или разпечатани), а не целият носител (203). Последният може да бъде иззет само когато се смята за съществено неизпълнимо съответните данни да бъдат разпечатани или копирани отделно или когато се смята за съществено неизпълнимо да бъде постигната по друг начин целта на претърсването (204). Следователно в НПЗ са предвидени ясни и точни правила за обхвата и прилагането на тези мерки, с което се гарантира, че намесата в правата на физическите лица в случай на претърсване или изземване ще бъде ограничена до необходимото за конкретното криминално разследване и пропорционално на преследваната цел.

(154)

По отношение на процедурните гаранции НПЗ съдържа изискване за получаване на заповед от съда за извършване на претърсване или изземване (205). Претърсване или изземване се разрешава само по изключение, а именно при спешни обстоятелства (206), in loco в момента на ареста или на задържането на заподозрян в извършване на престъпление (207), или когато предмет се изхвърля или се показва доброволно от заподозряно в извършване на престъпление лице или от трета страна (по отношение на лични данни — от самото физическо лице) (208). Незаконните претърсвания и изземвания подлежат на наказателни санкции (209) и всяко доказателство, получено в нарушение на НПЗ, се смята за недопустимо (210). Накрая, засегнатите физически лица винаги трябва да бъдат уведомявани за претърсването или изземването незабавно (включително за изземване на техни данни) (211), което на свой ред ще улесни упражняването на техните материални права и правото им на правна защита (вж. по-конкретно възможността за обжалване на изпълнението на заповед за изземване, вж. съображение 180).

(155)

Въз основа на ЗЗПК корейските органи за наказателно правоприлагане могат да прилагат два вида мерки (212): от една страна, събирането на „данни за потвърждаване на комуникации“ (213), което включва датата на електронните съобщения, началния и крайния им час, броя на изходящите и входящите повиквания, както и абонатния номер на другата страна, честотата на използване, регистрационни файлове за използването на телекомуникационни услуги и информация за местоположението (например от предавателните кули, където се приемат сигнали); и от друга страна, „мерки за ограничаване на комуникациите“, които обхващат както събирането на съдържанието на традиционните пощенски съобщения, така и прякото прихващане на съдържанието на електронни съобщения (214).

(156)

Достъп до данни за потвърждаване на комуникация може да бъде предоставен само когато това е необходимо за провеждане на наказателно разследване или изпълнение на присъда (215) въз основа на заповед, издадена от съд (216). В това отношение в ЗЗПК се изисква предоставянето на подробна информация както в искането за издаване на заповедта (например относно причините за искането, връзката с целта/абоната и необходимите данни), така и в самата заповед (например относно целта, абоната и обхвата на мярката) (217). Събирането без заповед може да се извърши само ако е невъзможно да се получи съдебно разрешение поради спешност, като в този случай разрешението трябва да бъде получено и да бъде предоставено на доставчика на телекомуникационни услуги незабавно след изискването на данните (218). Ако съдът откаже да предостави последващо разрешение, събраните данни трябва да бъдат унищожени (219).

(157)

По отношение на допълнителните гаранции във връзка със събирането на данни за потвърждаване на комуникации ЗЗПК съдържа специални изисквания за поддържане на архив и за прозрачност (220). По-специално органите за наказателно правоприлагане (221) и телекомуникационните доставчици (222) трябва да поддържат архив на направените искания и разкривания. В допълнение органите за наказателно правоприлагане трябва по принцип да уведомяват физическите лица за факта, че са събрани техни данни за потвърждаване на комуникации (223). Уведомяването може да бъде отложено само в извънредни обстоятелства въз основа на разрешение от директора на компетентната районна прокуратура (224). Това разрешение може да бъде предоставено само ако има вероятност уведомлението (1) да застраши националната сигурност, обществената сигурност и обществения ред, (2) да причини смърт или телесна повреда, (3) да попречи на справедливото съдебно производство (например да доведе до унищожаването на доказателства или до заплашването на свидетели) или (4) да оклевети заподозряното лице, жертвите или други лица, свързани със случая, или да накърни неприкосновеността на личния им живот. В тези случаи уведомлението трябва да бъде извършено в срок от 30 дни след като престане(ат) да съществува(т) основанието(основанията) за отлагането (225). След уведомяването физическите лица имат право да получат информация относно причините за събирането на техните данни (226).

(158)

Прилагат се по-строги правила по отношение на мерките за ограничаване на комуникациите, които могат да се използват само когато има сериозно основание да се подозира, че се планират, извършват или са извършени определени тежки престъпления, изрично изброени в ЗЗПК (227). Освен това мерките за ограничаване на комуникациите могат да се прилагат само като мярка от последна инстанция и когато е трудно по друг начин да се предотврати извършването на престъпление, да се арестува престъпникът или да се съберат доказателства (228). Те трябва незабавно да бъдат прекратени, след като вече не са необходими, за да се гарантира, че нарушаването на неприкосновеността на комуникациите е възможно най-ограничено (229). Информация, която е била незаконно получена чрез мерки за ограничаване на комуникациите, не се допуска като доказателство в съдебно или дисциплинарно производство (230).

(159)

По отношение на процедурните гаранции в ЗЗПК се съдържа изискване за получаване на заповед от съда за прилагане на мерки за ограничаване на комуникациите (231). Отново в ЗЗПК се изисква искането за издаване на заповед и самата заповед да съдържат подробна информация (232), включително относно обосновката на искането, както и относно комуникациите, които ще се събират (тези на заподозрения в разследването) (233). Тези мерки могат да бъдат приложени без заповед в случай на непосредствена заплаха от организирана престъпност или когато друго тежко престъпление, което може пряко да причини смърт или сериозна вреда, е неизбежно и е налице извънредна ситуация, която прави невъзможно преминаването през редовната процедура (234). В този случай обаче заявлението за заповедта трябва да бъде подадено веднага след прилагането на мярката (235). Мерките за ограничаване на комуникациите могат да бъдат прилагани само за максимален срок от два месеца (236), който може да бъде удължен само с одобрение на съд, ако условията за прилагането им продължават да се спазват (237). Удълженият срок не може да надвишава общо една година или три години за някои особено тежки престъпления (например престъпления, свързани с бунт, с външна агресия, с националната сигурност) (238).

(160)

Подобно на случая със събирането на данни за потвърждаване на комуникации ЗЗПК съдържа изисквания към доставчиците на телекомуникационни услуги (239) и към правоприлагащите органи (240) да поддържат архив на приложените мерки за ограничаване на комуникациите, както и изискване за уведомяване на засегнатото физическо лице, което може да бъде отложено по изключение, когато това е необходимо по съображения от важен обществен интерес (241).

(161)

Накрая, неспазването на няколко от ограниченията и гаранциите на ЗЗПК (включително например задълженията за получаване на заповед, за поддържане на архив и за уведомяване на физическото лице), както по отношение на събирането на данни за потвърждаване на комуникациите, така и по отношение на използването на мерките за ограничаване на комуникациите, подлежи на наказателни санкции (242).

(162)

Правомощията на органите за наказателно правоприлагане за събиране на данни от комуникации въз основа на ЗЗПК (както на съдържанието на комуникациите, така и на данни за потвърждаване на комуникациите) следователно са ограничени от ясни и точни правила и изискват прилагането на редица гаранции. По-специално с тези гаранции се гарантира надзорът върху изпълнението на мерките, както ex ante (чрез предварително съдебно одобрение), така и ex post (чрез изисквания за поддържане на архив и докладване), и се улеснява достъпът на физическите лица до ефективни средства за правна защита (като се осигурява те да са информирани за събирането на техните данни).

(163)

Освен че се позовават на задължителните мерки, описани в съображения 153—162, корейските правоприлагащи органи могат да поискат от доставчиците на телекомуникационни услуги доброволно да изпълнят искане за „данни от комуникации“ в подкрепа на наказателно производство, разследване или изпълнение на присъда (член 83, параграф 3 от ЗТД). Тази възможност съществува само по отношение на ограничени набори от данни, т.е. името, регистрационния номер на местно лице, адреса и телефонния номер на ползвателите, датите, на които ползвателите се абонират или прекратяват абонамента си, както и идентификационните кодове на ползвателите (т.е. кодове, използвани за идентифициране на законния ползвател на компютърни системи или комуникационни мрежи) (243). Тъй като само физически лица, които сключват преки договори с корейски доставчик на телекомуникационни услуги, се смятат за „ползватели“ (244), физическите лица от ЕС, чиито данни се предават на Република Корея, обикновено не биха попаднали в тази категория (245).

(164)

Различни ограничения се прилагат за такива доброволни разкривания както по отношение на упражняването на правомощията от правоприлагащия орган, така и по отношение на отговора на телекомуникационния оператор. В по-общ план правоприлагащите органи трябва да действат в съответствие с конституционните принципи за необходимост и пропорционалност (член 12, параграф 1 и член 37, параграф 2 от Конституцията), включително когато искат информация на доброволна основа. В допълнение те трябва да спазват ЗЗЛД, по-специално като събират само минимални лични данни до степента, необходима за постигане на предвидената цел, по такъв начин, че да сведат до минимум въздействието върху неприкосновеността на личния живот на физическите лица (член 3, параграфи 1 и 6 от ЗЗЛД). По-специално исканията за получаване на данни от комуникации въз основа на ЗТД трябва да бъдат направени в писмен вид и да съдържат причините за искането, връзката със съответния ползвател и обхвата на исканите данни (246).

(165)

Доставчиците на телекомуникационни услуги не са задължени да изпълняват тези искания и могат да сторят това само в съответствие със ЗЗЛД. По-специално това означава, че те трябва да балансират различните засегнати интереси и не могат да предоставят данните, ако има вероятност това да накърни недобросъвестно интересите на физическото лице или на трета страна. (247) Такъв би бил например случаят, в който е ясно, че отправящият искането орган е злоупотребил с правомощието си (248). Телекомуникационните оператори трябва да поддържат архив на разкриваните данни съгласно ЗТД и да докладват на министъра на науката и ИКТ два пъти годишно (249).

(166)

В допълнение към това, в съответствие с раздел 3 от Уведомление № 2021-5 (приложение I), доставчиците на телекомуникационни услуги по принцип трябва да уведомят съответното физическо лице, когато доброволно изпълнят искането (250). На свой ред това ще даде възможност на лицето да упражни правата си и, в случай че данните му бъдат разкрити неправомерно, да получи правна защита срещу администратора (например за разкриването на данните в нарушение на ЗЗЛД или в отговор на искане, за което е ясно, че е било непропорционално) или срещу правоприлагащия орган (например за извършване на действие извън границите на необходимото и пропорционалното или за неспазване на процедурните изисквания на ЗТД.)

(167)

Обработването на лични данни, събрани от корейските органи за наказателно правоприлагане, подлежи на спазване на всички изисквания на ЗЗЛД, включително по отношение на ограничаването на целите (член 3, параграфи 1—2 от ЗЗЛД), законосъобразността на използването и предоставянето им на трети страни (членове 15, 17 и 18 от ЗЗЛД), международното предаване (членове 17 и 18 от ЗЗЛД във връзка с раздел 2 от Уведомление 2021-5) (251), пропорционалността/свеждането на данните до минимум (член 3, параграфи 1 и 6 от ЗЗЛД) и ограничаване на съхранението (член 21 от ЗЗЛД) (252).

(168)

По отношение на съдържанието на комуникациите, придобити чрез прилагането на мерки за ограничаване на комуникациите, в ЗЗПК по-специално се предвижда ограничаването им до възможното им използване в разследването, наказателно преследване или предотвратяване на тежки престъпления (253); в дисциплинарни производства за същите престъпления; в искове за вреди, заведени от страна по комуникацията или когато това е изрично разрешено съгласно други закони (254). Освен това събраното съдържание на комуникации, предадени по интернет, може да бъде запазено с одобрението на съда, който е разрешил мерките за ограничаване на комуникациите (255), с оглед на тяхното използване в разследването, наказателно преследване или предотвратяване на тежки престъпления (256). В по-общ план в ЗЗПК се забранява разкриването на поверителна информация, получена от мерки за ограничаване на комуникациите, както и използването на такава информация за увреждане на репутацията на тези, спрямо които са били приложени мерките (257).

(169)

В Корея различни органи упражняват надзор върху дейностите на органите за наказателно правоприлагане (258).

(170)

Първо, полицията подлежи на вътрешен надзор от генерален инспектор (259), който контролира законосъобразността, включително по отношение на възможни нарушения на правата на човека. Функцията на генерален инспектор е създадена в изпълнение на Закона за одитите в публичния сектор, с който се насърчава създаването на самоодитиращи се органи, и съдържа специални изисквания към техния състав и задачи. По-конкретно законът изисква ръководителят на самоодитиращия се орган да се назначава измежду външни за съответния орган лица (например бивши съдии, професори) за период от две до пет години (260), да може да бъде освободен само по основателни причини (например когато не е в състояние да изпълнява задълженията си по здравословни причини, когато е обект на дисциплинарно производство) (261) и да се гарантира независимостта му във възможно най-голяма степен (262). Възпрепятстването на вътрешния одит подлежи на административни глоби (263). Одитните доклади (които могат да включват препоръки, искания за дисциплинарно производство и искания за обезщетение за вреди или корекции) са съобщават на ръководителя на съответния публичен орган, т.е. на Съвета за одит и инспекции (СОИ) (264) и по-принцип се оповестяват публично (265). Резултатите от изпълнението на доклада трябва да бъдат съобщени на СОИ (266) (вж. съображение 173 относно ролята и правомощията за надзор на СОИ).

(171)

Второ, КЗЛД упражнява надзор върху спазването от страна на органите за наказателно правоприлагане на обработването на данни съгласно ЗЗЛД и други закони за защита на неприкосновеността на личния живот на физическите лица, включително законите за уреждане на събирането на (електронни) доказателства за целите на наказателното правоприлагане, както е описано в раздел 3.2.1 (267). По-специално, тъй като надзорът на КЗЛД обхваща законосъобразността и добросъвестността на събирането и обработването на данни (член 3, параграф 1 от ЗЗЛД), които ще бъдат нарушени, ако достъпът до личните данни и използването им са в нарушение на тези закони (268), КЗЛД може да разследва и да осигури спазването също така на ограниченията и гаранциите, описани в раздел 3.2.1 (269). При упражняването на тази надзорна роля КЗЛД може да използва всички свои правомощия за разследване и коригиране, описани подробно в раздел 2.4.2. Още преди неотдавнашното изменение на ЗЗЛД (т.е. в предишната си надзорна роля по отношение на публичния сектор) КЗЛД осъществи няколко надзорни дейности, свързани с обработването на лични данни от органите за наказателно правоприлагане, например в контекста на разпита на заподозрени лица (дело № 2013-16, 26 август 2013 г.), по отношение на даването на известия на физически лица относно налагането на административни глоби (дело № 2015-02-04, 26 януари 2015 г.), споделянето на данни с други органи (дело № 2018-15-146, 9 юли 2018 г., дело № 2018-25-308, 10 декември 2018 г.; дело № 2019-02-015, 29 януари 2019 г.), събирането на пръстови отпечатъци или снимки (дело № 2019-17-273, 9 септември 2019 г.), използването на дронове (дело № 2020-01-004, 13 януари 2020 г.). В тези случаи КЗЛД разследва спазването на няколко разпоредби на ЗЗЛД (например законосъобразността на обработването, принципите за ограничаване на целта и за свеждане на данните до минимум), но така също и съответни разпоредби на други закони, като Наказателнопроцесуалния закон, и където е необходимо, е издала препоръки за привеждане на обработването в съответствие с изискванията за защита на данните.

(172)

Трето, независим надзор се осъществява от Националната комисия по правата на човека (НКПЧ) (270), която може да разследва нарушения на правата на неприкосновеност на личния живот и на поверителността на кореспонденцията като част от своя мандат за защита на основните права по членове 10—22 от Конституцията. Националната комисия по правата на човека се състои от 11 комисари, които трябва да притежават конкретни квалификации (271) и които се назначават по предложение на президента в съответствие с предвидените по закон процедури. По-специално четирима комисари се назначават по предложение на Националното събрание, четирима — по предложение на президента, и трима се назначават по предложение на главния съдия на Върховния съд (272). Председателят се назначава от президента измежду комисарите и трябва да бъде утвърден от Националното събрание (273). Комисарите (включително председателят) се назначават за срок от три години, който може да се подновява, и могат да бъдат освободени от длъжност само в случай че им е наложено наказание лишаване от свобода или вече не са в състояние да изпълняват задълженията си поради продължителна физическа или психическа слабост (в този случай две трети от комисарите трябва да се съгласят с освобождаването от длъжност) (274). Като част от разследването си НКПЧ може да поиска предоставяне на съответните материали, да извършва проверки и да призовава физически лица да дават показания (275). По отношение на правомощията за корекции НКПЧ може да издава (публични) препоръки за подобряване или коригиране на конкретни политики и практики, на които публичните органи трябва да отговорят с предложен план за изпълнение (276). Ако съответният орган не изпълни препоръките, той трябва да информира Комисията за това (277), като тя на свой ред може да оповести неизпълнението на Националното събрание и/или да го оповести публично. Съгласно официалното изявление на корейското правителство (раздел 2.3.5 от приложение II) корейските органи като цяло изпълняват препоръките на НКПЧ и имат силен стимул да го правят, тъй като тяхното изпълнение се преценява като част от общата, постоянна оценка, извършвана под ръководството на кабинета на министър-председателя. Годишните данни за дейността ѝ показват, че НКПЧ упражнява активен надзор върху дейностите на органите за наказателно правоприлагане въз основа на индивидуални петиции или посредством служебни разследвания (278).

(173)

Четвърто, общият надзор на законосъобразността на дейностите на публичните органи се извършва от СОИ, който проверява приходите и разходите на държавата, но като цяло упражнява също така надзор върху спазването на задълженията на публичните органи с оглед подобряване на функционирането на публичната администрация (279). Съветът за одит и инспекции е създаден официално под ръководството на президента на Република Корея, но запазва независим статут по отношение на задълженията си (280). Освен това той има пълна независимост по отношение на назначаването, освобождаването и организирането на служителите си, както и по отношение на съставянето на бюджета си (281). Съветът за одит и инспекции се състои от председател (назначен от президента, със съгласието на Националното събрание) (282) и шестима комисари (назначени от президента по препоръка на председателя) (283), които трябва да имат специфични квалификации, определени по закон (284), и могат да бъдат освобождавани от длъжност само в случай на импийчмънт, на осъждане на лишаване от свобода или на невъзможност да изпълняват задълженията си поради продължителна умствена или физическа слабост (285). Съветът за одит и инспекции извършва общ одит на годишна база, но може да извършва и конкретни одити по въпроси от особен интерес. При извършването на одит или инспекция Съветът за одит и инспекции може да поиска представянето на документи и да изиска присъствието на физически лица (286). Съветът за одит и инспекции може да издава препоръки, да изисква дисциплинарни производства или да подава наказателни жалби (287).

(174)

Накрая, Националното събрание може да разследва и проверява (288) дейностите (289) на публичните органи чрез парламентарен контрол. То може да изисква разкриването на документи, задължителното явяване на свидетели (290), да препоръчва корективни мерки (ако установи, че са извършени незаконосъобразни или неправомерни действия) (291) и да разкрива публично резултатите от своите констатации (292). Ако Националното събрание поиска прилагането на корективни мерки — които например може да включват присъждане на обезщетение, провеждане на дисциплинарно производство или подобряване на вътрешните процедури — съответният публичен орган трябва да действа незабавно и да докладва за резултата на Националното събрание (293).

(175)

Корейската система предоставя различни (съдебни) механизми за получаване на средства за правна защита, включително обезщетение за вреди.

(176)

Първо, в съответствие със ЗЗЛД физическите лица могат да упражняват правото си на достъп, коригиране, заличаване и спиране на използването на лични данни, обработени за целите на наказателното правоприлагане (294).

(177)

Второ, физическите лица могат да използват различни механизми за правна защита съгласно ЗЗЛД, ако техните данни са обработени от орган за наказателно правоприлагане в нарушение на ЗЗЛД или в нарушение на ограниченията и гаранциите, уреждащи събирането на лични данни в други закони (например ЗКИ или ЗЗПК, вж. съображение 171). По-специално физическите лица могат да подадат жалба до КЗЛД (включително чрез Информационния център по въпросите на поверителността, управляван от Корейската агенция за интернет и сигурност (295)) или до Комитета за медиация при спорове (296). Тези възможности за използване на средства за правна защита не подлежат на допълнителни изисквания за допустимост. Въз основа на Закона за административното съдопроизводство физическите лица могат допълнително да обжалват/оспорват решенията или бездействието на КЗЛД (вж. съображение 132).

(178)

Трето, всяко физическо лице (297) може да подаде жалба до НКПЧ относно нарушаване на правото на неприкосновеност на личния му живот и на защита на данните от корейски орган за наказателно правоприлагане. Националната комисия по правата на човека може да препоръча коригирането или подобряването на съответен закон, институция, политика или практика (298) или прилагането на средства за правна защита, като медиация (299), спиране на нарушаването на правата на човека, обезщетение за вреди и мерки за предотвратяване на повтарянето на същото или на подобно нарушение (300). В съответствие с официалното изявление на корейското правителство (раздел 2.4.2 от приложение II) това може да включва заличаването на незаконно събрани данни. Макар че НКПЧ няма правомощие да издава обвързващи решения, тя предлага по-неформален, по-евтин и леснодостъпен механизъм за защита, по-конкретно, както е пояснено в приложение II, раздел 2.4.2, поради това че не изисква доказване на действителна вреда, за да бъде разследвана дадена жалба (301). С това се гарантира, че жалбите на физически лица относно събирането на техни данни могат да бъдат разследвани, дори ако засегнатото физическо лице не може да докаже дали в действителност данните му/ѝ са били събрани (например поради това, че физическото лице все още не е било уведомено). Годишните доклади за дейността на НКПЧ показват, че физическите лица се възползват от този механизъм на практика, за да оспорят дейностите на органите за наказателно правоприлагане, включително по отношение на обработването на лични данни (302). Ако дадено физическо лице не е удовлетворено от резултата от процедурата пред НКПЧ, то може да оспори решенията на НКПЧ (например решение да не се продължава разследването на жалба (303)) и препоръките на НКПЧ пред корейските съдилища съгласно Закона за административното съдопроизводство (вж. съображение 181) (304). Освен това процедурата пред НКПЧ може да улесни допълнително достъпа до съдилищата, тъй като физическото лице може да потърси допълнителна правна защита срещу публичния орган, който неправомерно е обработил неговите лични данни, въз основа на констатациите на НКПЧ в съответствие с процедурите, описани в съображения 181—183.

(179)

Накрая, физическите лица разполагат с различни средства за съдебна защита, които им позволяват да се позовават на ограниченията и гаранциите, описани в раздел 3.2.1, за да получат защита (305).

(180)

По отношение на изземванията (включително на данни) в НПЗ се предвижда възможност за възразяване или оспорване на заповед чрез „квазижалба“, като се подаде петиция до компетентния съд с искане за отмяна или промяна на разпореждането на прокурор или на полицейски служител (306).

(181)

Най-общо физическите лица могат да оспорват действията (307) или бездействията (308) на публичните органи (включително на органите за наказателно правоприлагане) по реда на Закона за административното съдопроизводство (309). Дадено административно действие се смята за „подлежащо на оспорване разпореждане“, ако има пряко въздействие върху гражданските права и задължения (310), какъвто е случаят, както се потвърждава от корейското правителство (раздел 2.4.3 от приложение II), с мерките за събирането на лични данни, било то пряко (например с прихващане на комуникации) или чрез обвързващи искания за разкриване (например към доставчик на услуги), или чрез искания за доброволно сътрудничество. За да бъде допустима жалба по реда на Закона за административното съдопроизводство, физическото лице трябва да има правен интерес от завеждане на иска (311). Съгласно съдебната практика на Върховния съд „правен интерес“ се тълкува като „правно защитен интерес“, т.е. пряк и конкретен интерес, защитен от закони и подзаконови актове, на които се основават административните разпореждания (т.е. не общи, косвени и абстрактни интереси на обществото) (312). Физическите лица имат правен интерес в случай на нарушаване на ограничения и гаранции, приложими по отношение на събирането на техните лични данни за целите на наказателното правоприлагане (съгласно специални закони или ЗЗЛД). Въз основа на Закона за административното съдопроизводство даден съд може да реши да отмени или да измени незаконно разпореждане, да издаде констатация за нищожност (т.е. констатация, че разпореждането няма правно действие или че не съществува в правния ред) или да издаде констатация, че бездействието е незаконно (313). Окончателното съдебно решение по Закона за административните спорове е задължително за страните (314).

(182)

В допълнение към оспорването на действие на държавни органи чрез административно съдопроизводство физическите лица могат да подадат конституционна жалба до Конституционния съд относно нарушение на техните основни права поради упражняването или неупражняването на държавно правомощие (с изключение на решенията на съдилищата) (315). Ако са налични други средства за правна защита, първо те трябва да бъдат изчерпани. Съгласно съдебната практика на Конституционния съд чужденците могат да подадат конституционна жалба, доколкото техните основни права са признати от корейската Конституция (вж. обясненията в раздел 1.1) (316). Конституционният съд може да обяви за недействително упражняването на държавното правомощие, което е довело до нарушението, или да потвърди, че конкретно бездействие е противоконституционно (317). В този случай съответният орган е длъжен да предприеме мерки за изпълнение на решението на Съда.

(183)

Освен това физическите лица могат да получат обезщетение за вреди пред корейските съдилища. Преди всичко това включва възможността да се предяви обезщетение за нарушения на ЗЗЛД, извършени от органите за наказателно правоприлагане, в съответствие с член 39 (вж. също съображение 135). По-общо физическите лица могат да подадат искане за обезщетение за вреди, нанесени от държавни служители при изпълнението на задълженията им в нарушение на закона въз основа на Закона за държавните обезщетения (вж. също съображение 135) (318).

(184)

Механизмите, описани в съображения 176—183, осигуряват на субектите на данни ефективни административни и съдебни средства за правна защита, като им дават възможност по-специално да защитят правата си, включително правото на достъп до личните им данни или правото на коригиране или заличаване на такива данни.

(185)

Законодателството на Република Корея съдържа редица ограничения и гаранции по отношение на достъпа и използването на лични данни за целите на националната сигурност и осигурява механизми за надзор и правна защита в тази област, които са в съответствие с изискванията, посочени в съображения 141—143 от настоящото решение. Условията, при които може да се осъществи такъв достъп, и гаранциите, приложими за упражняването на тези правомощия, са подробно разгледани в следващите раздели.

(186)

В Република Корея достъп до лични данни може да бъде получен за целите на националната сигурност въз основа на ЗЗПК, ЗТД и Закона за борба с тероризма за защита на гражданите и обществената сигурност („Закона за борба с тероризма“) (319). Основният орган (320) с правомощия в областта на националната сигурност е Националната разузнавателна служба (НРС) (321). Събирането и използването на лични данни от НРС трябва да съответства на съответните правни изисквания (включително ЗЗЛД и ЗЗПК) (322) и на общите насоки, изготвени от президента и преразгледани от Националното събрание (323). Като общ принцип НРС трябва да поддържа политически неутралитет и да защитава свободата и правата на физическите лица (324). В допълнение към това служителите на НРС не трябва да злоупотребяват със служебното си положение, като принуждават институция, организация или физическо лице да направят нещо, което не са задължени да направят (по закон), нито да възпрепятстват упражняването на правата на което и да е лице (325).

(187)

Въз основа на ЗЗПК корейските публични органи (326) могат да събират данни за потвърждаване на комуникациите (т.е. за датата на електронните съобщения, началния и крайния им час, броя на изходящите и входящите повиквания, както и абонатния номер на другата страна, честотата на използване, регистрационни файлове за използването на телекомуникационни услуги и информация за местоположението, вж. съображение 155) и за съдържанието на комуникациите (чрез мерки за ограничаване на комуникациите, вж. съображение 155) за целите на националната сигурност (съгласно определения мандат на НРС, вж. бележка под линия 322 по-горе). Тези правомощия се отнасят до два вида информация: 1) комуникации, по които едната или двете страни са корейски граждани (327); и 2) комуникации на а) държави, враждебни на Република Корея, б) чуждестранни агенции, групи или граждани, заподозрени в участие в антикорейски дейности (328), или в) членове на групи в рамките на Корейския полуостров, които ефективно са извън суверенитета на Република Корея, и групи под тяхната „шапка“, базирани в чужди държави (329). Следователно комуникации на физически лица от ЕС, които се предават от Съюза на Република Корея въз основа на настоящото решение, могат да бъдат събирани съгласно ЗЗПК само за целите на националната сигурност (при спазване на условията, изложени в съображения 188—192), ако се извършват между физическо лице от ЕС и корейски гражданин или ако засягат комуникации само между некорейски граждани, които попадат в една от трите категории, посочени в 2а), б) и в).

(188)

И в двата сценария събирането на данни за потвърждаване на комуникациите може да се извършва само с цел предотвратяване на заплахи за националната сигурност (330), докато мерките за ограничаване на комуникациите може да се прилагат, когато съществува сериозен риск за националната сигурност и събирането на сведения е необходимо за предотвратяването му (331). В допълнение към това достъпът до съдържанието на комуникациите може да се осъществява само като крайна мярка и трябва да бъдат положени усилия за свеждане до минимум на нарушенията в областта на поверителността на комуникациите (332), за да се гарантира, че те остават пропорционални на преследваната цел за националната сигурност. Събирането на съдържанието на комуникациите и на данни за потвърждаване на комуникациите може да продължи за максимален период от четири месеца и трябва да бъде прекратено веднага, ако преследваната цел е постигната по-рано (333). Ако съответните условия продължават да се спазват, периодът може да бъде удължен с предварителното разрешение на съд (за мерките, описани в съображение 189) или на президента (за мерките, описани в съображение 190) (334) с до четири месеца.

(189)

Същите процедурни гаранции се прилагат за събирането на данни за потвърждаване на комуникациите и за съдържанието на комуникациите (335). По-специално, когато поне едно от физическите лица, участващи в комуникацията, е корейски гражданин, разузнавателната агенция трябва да представи писмено искане до Върховната прокуратура, която на свой ред трябва да подаде искане за заповед пред старши главен съдия от Върховния съд (336). В ЗЗПК е посочена информацията, която трябва да бъде представена в искането до прокурора, в искането за издаване на заповедта и в самата заповед, което включва по-конкретно обосновката за искането и основните основания за съмнението, подкрепящи материали, както и информация за целта, предмета (т.е. физическото(ите) лице(а), към което(които) е насочена), обхвата и продължителността на предложената мярка (337). Събиране без заповед може да се извърши само ако има конспиративен акт, който застрашава националната сигурност, и ако е налице извънредна ситуация, която прави невъзможно провеждането на гореспоменатите процедури (338). В този случай обаче искането за заповедта трябва да бъде подадено веднага след прилагането на мярката (339). Следователно в ЗЗПК ясно са определени обхватът и условията за тези видове събиране и са установени специални (процедурни) гаранции (включително предварително съдебно одобрение), с което се гарантира, че използването на тези мерки е ограничено до необходимото и пропорционалното. Освен това изискването за предоставяне на подробна информация както в искането, така и в самата заповед, изключва възможността за безразборен достъп.

(190)

За комуникациите между чужденци, които попадат в една от специфичните категории, посочени в съображение 187, трябва да се подаде искане до директора на НРС, който след преглед за целесъобразност на предложените мерки трябва да поиска предварително писмено одобрение от президента на Република Корея (340). Искането, изготвено от разузнавателната агенция, трябва да включва същата подробна информация като информацията в искането за съдебна заповед (вж. съображение 189), по-конкретно относно обосновката на искането и основните основания за съмнението, подкрепящи материали, както и информация за целта, физическото(ите) лице(а), към което(които) е насочена, обхвата и продължителността на предложените мерки (341). При извънредни ситуации (342) трябва да се получи предварително одобрение от министъра, в чийто ресор се намира съответната разузнавателна агенция, въпреки че разузнавателната агенция трябва да подаде искане за одобрение до президента незабавно след предприемането на спешните мерки (343). Следователно, що се отнася до събирането на комуникации само между чужденци, в ЗЗПК прилагането на тези мерки е ограничено до необходимото и пропорционалното, чрез ясно регламентиране на ограничените категории физически лица, които могат да бъдат обект на тези мерки, и чрез определяне на подробни критерии, които трябва да бъдат изпълнени от разузнавателните агенции, за да обосноват искането си за събирането на информация. Освен това отново се изключва възможността за безразборен достъп. Макар че не се изисква предварително независимо одобряване на тези мерки, независимият надзор е гарантиран ex-post, по-конкретно от КЗЛД и НКПЧ (вж. например съображения 199—200).

(191)

В ЗЗПК освен това се предвиждат няколко допълнителни гаранции, които дават възможност за последващ надзор и улесняват достъпа на физическите лица до ефективни средства за правна защита. Първо, по отношение на вида на събирането за целите на националната сигурност в ЗЗПК се предвиждат изисквания за поддържане на архив и за докладване. По-конкретно, когато искат съдействието на частни субекти, разузнавателните агенции трябва да им представят съдебната заповед/разрешението на президента или копие от заглавната страница на изявление за спешна цензура, което принуденият да съдейства субект трябва да съхранява в досието си (344). Когато частни субекти са задължени да оказват съдействие, трябва да се водят регистри, както от изискващия орган, така и от съответния частен субект, относно целта и предмета на мерките, както и за датата на изпълнението (345). В допълнение към това разузнавателните агенции трябва да докладват за събраната от тях информация и за резултатите от наблюдението на директора на НРС (346).

(192)

Второ, физическите лица трябва да бъдат уведомени за събирането на техните данни (данни за потвърждаване на комуникациите или за съдържанието на комуникациите) за целите на националната сигурност, ако това засяга комуникации, в които поне едната страна е корейски гражданин (347). Уведомлението трябва да бъде дадено в писмена форма в срок от 30 дни от датата, на която е приключило събирането (включително когато данните са получени в съответствие със спешната процедура), и може да бъде отложено само ако и доколкото би изложило на риск националната сигурност или би имало вредни последствия за живота и физическата безопасност на хората (348). Независимо от уведомлението физическите лица могат да получат защита чрез различни механизми, обяснени по-подробно в раздел 3.3.4.

(193)

В Закона за борба с тероризма се предвижда, че НРС може да събира данни за заподозрени в тероризъм лица (349) в съответствие с ограниченията и гаранциите, уредени в други закони (350). По-конкретно НРС може да получи данни от комуникации (въз основа на ЗЗПК) и други лични данни (чрез искане за доброволно разкриване) (351). Ограниченията и гаранциите, описани в раздел 3.3.1.1, се прилагат по отношение на събирането на информация за комуникациите (включително за съдържанието на комуникациите или за данните за потвърждаване на комуникациите), включително изискването за получаване на одобрена от съда заповед. Що се отнася до исканията за доброволно разкриване на други видове лични данни на заподозрени в тероризъм лица, НРС трябва да спази изискванията на Конституцията и ЗЗЛД относно необходимостта и пропорционалността (вж. съображение 164) (352). Администраторите, които получават такива искания, могат да ги изпълнят доброволно съгласно условията, предвидени в ЗЗЛД (например в съответствие с принципа за свеждане до минимум на данните и чрез ограничаване на въздействието върху неприкосновеността на личния живот на физическото лице) (353). В този случай те също трябва да спазят изискването за уведомяване на засегнатото физическо лице съгласно Уведомление № 2021-5 (вж. съображение 166).

(194)

На основание на ЗТД доставчиците на телекомуникационни услуги могат да разкриват доброволно данни за абонати (вж. съображение 163) по искане на разузнавателна агенция, която възнамерява да събира тези данни за предотвратяване на заплаха за националната сигурност (354). По отношение на такива искания от страна на НРС се прилагат същите ограничения (произтичащи от Конституцията, ЗЗЛД и ЗТД), каквито се прилагат в областта на наказателното правоприлагане, съгласно изложеното в съображение 164 (355). Доставчиците на телекомуникационни услуги не са задължени да ги изпълняват и могат да направят това само в съответствие с условията, посочени в ЗЗЛД (по-конкретно в съответствие с принципа за свеждане до минимум на данните и чрез ограничаване на въздействието върху неприкосновеността на личния живот на физическото лице, вж. съображение 193). Същите изисквания по отношение на поддържането на архив и уведомяването на засегнатото физическо лице се прилагат в областта на наказателното правоприлагане (вж. съображения 165 и 166).

(195)

При обработването на лични данни, събирани от корейските органи за целите на националната сигурност, трябва да се спазват принципите за ограничение на целите (член 3, параграфи 1—2 от ЗЗЛД), законосъобразност и добросъвестност на обработването (член 3, параграф 1 от ЗЗЛД), пропорционалност/свеждане на данните до минимум (член 3, параграфи 1 и 6, член 58 от ЗЗЛД), точност (член 3, параграф 3 от ЗЗЛД), прозрачност (член 3, параграф 5 от ЗЗЛД), сигурност (член 58, параграф 4 от ЗЗЛД) и ограничено съхраняване на данни (член 58, параграф 4 от ЗЗЛД) (356). Възможно разкриване на лични данни на трети страни (включително трети държави) може да се извърши само в съответствие с тези принципи (по-конкретно за ограничение на целите и за свеждане на данните до минимум) след оценка на спазването на принципите на необходимостта и пропорционалността (член 37, параграф 2 от Конституцията) и при отчитане на въздействието върху правата на засегнатите физически лица (член 3, параграф 6 от ЗЗЛД).

(196)

По отношение на съдържанието на комуникациите и на данните за потвърждаване на комуникациите в ЗЗПК се ограничава допълнително използването на такива данни в рамките на съдебни производства, когато дадена страна, свързана с комуникацията, се позовава на тях в иск за вреди; или разрешеното им използване в съответствие с други закони (357).

(197)

Надзорът върху дейностите на корейските национални органи по сигурността се упражнява от различни органи (358).

(198)

Първо, в Закона за борба с тероризма се предвиждат специални механизми за упражняване на надзор във връзка с антитерористични дейности, включително събирането на данни за заподозрени в тероризъм лица. По-специално на равнището на изпълнителната власт надзорът върху антитерористичните дейности се упражнява от Комисията за борба с тероризма (359), на която директорът на НРС трябва да докладва за разследвания и проследяване на заподозрени в тероризъм лица с цел събиране на информация или материали, необходими за антитерористичните дейности (360). В допълнение служителят по защита на правата на човека (СЗПЧ) упражнява специален надзор за съответствие на антитерористичните дейности с основните права (361). Служителят по защита на правата на човека се назначава от председателя на Комисията за борба с тероризма измежду физически лица, които притежават конкретни квалификации, посочени в Указа за прилагане на Закона за борба с тероризма (362), за (подновяем) срок от две години и може да бъде отстранен от длъжност само на конкретни, ограничени основания и по основателна причина (363). При упражняване на своята надзорна функция СЗПЧ може да издава общи препоръки за подобряване на защитата на правата на човека (364) и специални препоръки за корективни мерки, ако е установено нарушение на правата на човека (365). От публичните органи се изисква да информират СЗПЧ за предприетите действия в отговор на неговите препоръки (366).

(199)

Второ, КЗЛД упражнява надзор върху спазването от националните органи по сигурността на правилата за защита на данните, което включва както приложимите разпоредби на ЗЗЛД (вж. съображение 149), така и ограниченията и гаранциите, които се прилагат във връзка със събирането на лични данни в съответствие с други закони (ЗЗПК, Закона за борба с тероризма и ЗТД, вж. също съображение 171) (367). При упражняването на тази надзорна роля КЗЛД може да използва всички свои правомощия за разследване и коригиране, описани подробно в раздел 2.4.2.

(200)

Трето, дейностите на националните органи по сигурността са предмет на независим надзор от страна на НКПЧ в съответствие с процедурите, описани в съображение 172 (368).

(201)

Четвърто, надзорната функция на СОИ обхваща също така органите за национална сигурност, въпреки че НРС в извънредни обстоятелства може да откаже да предостави определена информация или материали, т.е. когато те представляват държавни тайни и узнаването им от обществеността би имало сериозни последици за националната сигурност (369).

(202)

Накрая, Националното събрание извършва парламентарен контрол върху дейностите на НРС (чрез специализиран Комитет по разузнаване) (370). В ЗЗПК се отрежда специална надзорна роля на Националното събрание по отношение на използването на мерките за ограничаване на комуникациите за целите на националната сигурност (371). По-специално Националното събрание може да извършва проверки на място на оборудване за подслушване и може да изисква от НРС и от телекомуникационните оператори, които са разкрили съдържанието на комуникациите, да докладват за това. Националното събрание може да извършва също така общи надзорни функции (в съответствие с процедурите, описани в съображение 174). Съгласно Закона за НРС от директора на НРС се изисква да отговори незабавно, когато Комитетът по разузнаването изиска доклад по определен въпрос (372), при спазване на специални правила по отношение на определена особено чувствителна информация. По-конкретно директорът на НРС може да откаже да отговоря или да свидетелства пред Комитета само в извънредни обстоятелства, т.е. ако искането е свързано с държавни тайни, касаещи военни и дипломатически въпроси или въпроси, свързани със Северна Корея, когато узнаването им от обществеността би имало сериозни последици за „националната съдба“ на държавата (373). В този случай Комитетът по разузнаването може да поиска обяснение от министър-председателя, и ако в срок от седем дни не бъде дадено обяснение, отговорът или свидетелстването не могат да бъдат отказани.

(203)

Също в областта на националната сигурност корейската система предоставя различни (съдебни) механизми за получаване на средства за правна защита, включително обезщетение за вреди. Тези механизми осигуряват на субектите на данни ефективни административни и съдебни средства за правна защита, като им дават възможност по-специално да защитят правата си, включително правото на достъп до личните им данни или правото на коригиране или заличаване на такива данни.

(204)

Първо, в съответствие с член 3, параграф 5 и член 4, параграфи 1, 3 и 4 от ЗЗЛД физическите лица могат да упражняват правата си на достъп, коригиране, заличаване и спиране на използването спрямо националните органи по сигурността. В раздел 6 от Уведомление № 2021-5 (приложение I към настоящото решение) се пояснява допълнително как се прилагат тези права в контекста на обработването на лични данни за целите на националната сигурност. По-специално даден национален орган по сигурността може да ограничи или да откаже упражняването на правото само до степента и доколкото е необходимо и пропорционално, за да се защити важна цел от обществен интерес (например до степента и доколкото предоставянето на правото би застрашило текущо разследване или би представлявало заплаха за националната сигурност), или когато предоставянето на правото може да доведе до вредни последствия за живота или до телесни увреждания на трета страна. Поради това позоваването на такова ограничение изисква балансиране на правата и интересите на физическото лице спрямо съответния обществен интерес и във всеки случай не може да засегне същността на това право (член 37, параграф 2 от Конституцията). Когато искането е отхвърлено или ограничено, физическото лице трябва да бъде уведомено незабавно за причините.

(205)

Второ, физическите лица имат право да получат правна защита съгласно ЗЗЛД, ако техните данни са обработени от национален орган по сигурността в нарушение на ЗЗЛД или в нарушение на ограниченията и гаранциите, уреждащи събирането на лични данни в други закони (например ЗЗПК, вж. съображение 171) (374). Това право може да бъде упражнено чрез жалба до КЗЛД (включително чрез Информационния център по въпросите на поверителността, управляван от Корейската агенция за интернет и сигурност) (375). Освен това, за да се улесни достъпът до средства за правна защита срещу корейските национални органи по сигурността, физическите лица от ЕС могат да подадат жалба до КЗЛД чрез своя национален орган по защита на данните (376). В този случай КЗЛД ще уведоми физическото лице чрез националния орган по защита на данните след приключването на разследването (включително, ако е приложимо, с информация за наложените корективни мерки). Въз основа на Закона за административното съдопроизводство физическите лица могат допълнително да обжалват/оспорват решенията или бездействието на КЗЛД (вж. съображение 132).

(206)

Трето, във връзка с нарушаване на тяхното право на неприкосновеност на личния живот/защита на личните им данни в контекста на антитерористични дейности (т.е. съгласно Закона за борба с тероризма) (377) физическите лица могат да подадат жалба до СЗПЧ, който може да препоръча корективно действие. Тъй като няма изисквания за допустимост на жалбите пред СЗПЧ, жалбата ще бъде разгледана, дори ако засегнатото физическо лице не може да докаже дали в действителност е понесло вреда (например поради предполагаемото незаконно събиране на личните му/ѝ данни от национален орган по сигурността) (378). Съответният орган трябва да информира СЗПЧ за предприетите мерки в изпълнение на неговите препоръки.

(207)

Четвърто, физическите лица могат да подадат жалба до НКПЧ относно събирането на техните данни от националните органи по сигурността и да получат правна защита в съответствие с процедурата, описана в съображение 178 (379).

(208)

Накрая, физическите лица разполагат с различни съдебни средства за правна защита (380), които им позволяват да се позовават на ограниченията и гаранциите, описани в раздел 3.3.1, за да получат защита. По-специално физическите лица могат да оспорят законосъобразността на действия на националните органи по сигурността въз основа на Закона за административното съдопроизводство (в съответствие с процедурата, описана в съображение 181 или със Закона за Конституционния съд (вж съображение 182). В допълнение те могат да получат обезщетение за вреди въз основа на Закона за държавните обезщетения (както е описано по-подробно в съображение 183).

(209)

Комисията смята, че Република Корея — чрез ЗЗЛД, специалните правила, приложими за определени сектори (както е анализирано в раздел 2), и допълнителните гаранции, предвидени в Уведомление № 2021-5 (приложение I) — осигурява за личните данни, предавани от Европейския съюз, ниво на защита, което по същество е равностойно на нивото, гарантирано от Регламент (ЕС) 2016/679.

(210)

Комисията смята освен това, че като цяло механизмите за упражняване на надзор и възможностите за правна защита, предвидени от корейското право, позволяват нарушенията на правилата за защита на личните данни, допуснати от администраторите в Корея, да бъдат установени и реално наказани и предоставят на субекта на данните средства за правна защита за получаване на достъп до отнасящите се за него лични данни и в крайна сметка за поправяне или заличаване на такива данни.

(211)

Накрая, въз основа на наличната информация за правния ред на Корея, в това число изявленията, гаранциите и ангажиментите, поети от корейското правителство и посочени в приложение II, Комисията смята, че всяко вмешателство във връзка с основните права на физическите лица, чиито лични данни са предадени от Европейския съюз към Република Корея, от страна на корейските публични органи поради цели от обществен интерес, и по-специално цели в областта на наказателното правоприлагане и националната сигурност, ще бъде ограничено до строго необходимото за постигане на въпросната законосъобразна цел, както и че съществува реална правна защита срещу такова вмешателство.

(212)

Поради това, предвид изложените в настоящото решение констатации, следва да се вземе решение, че Република Корея осигурява адекватно ниво на защита по смисъла на член 45 от Регламент (ЕС 2016/679, тълкуван в светлината на Хартата на основните права на Европейския съюз, по отношение на лични данни, предадени от Европейския съюз на Република Корея на администратори на лични данни в Република Корея съгласно ЗЗЛД, с изключение на религиозните организации, доколкото те обработват лични данни за своите мисионерски дейности; политическите партии, доколкото те обработват лични данни в контекста на определянето на кандидати, и на администратори, които подлежат на надзор от Комисията по финансов надзор, по отношение на обработването на лична кредитна информация съгласно Закона за кредитната информация, доколкото те обработват такава информация.

(213)

Държавите членки и техните органи са задължени да предприемат необходимите мерки за спазване на актовете на институциите на Съюза, тъй като тези актове по презумпция са законосъобразни и съответно произвеждат правно действие, докато не бъдат оттеглени, отменени вследствие на жалба за отмяна или обявени за невалидни вследствие на производство по постановяване на преюдициално запитване или възражение за незаконосъобразност.

(214)

Следователно решение на Комисията относно адекватното ниво на защита, прието съгласно член 45, параграф 3 от Регламент (ЕС) 2016/679, е обвързващо за всички органи на държавите членки, адресати на решението, включително за независимите им надзорни органи. По-специално предаването на данни от администратор или обработващ лични данни в Европейския съюз на администратори в Република Корея може да се извършва, без да е необходимо допълнително разрешение.

(215)

Следва да се припомни, че съгласно член 58, параграф 5 от Регламент (ЕС) 2016/679 и както е обяснено от Съда на ЕС в решението по делото Schrems (381), когато национален орган за защита на данните поставя под въпрос, включително въз основа на получена жалба, съгласуваността на дадено решение на Комисията относно адекватното ниво на защита с основните права на неприкосновеност на личния живот и на защита на данните на физическото лице, националното законодателство трябва да предвижда правни способи, позволяващи на съответния орган да представи възраженията си пред национална юрисдикция, която може да бъде длъжна да отправи преюдициално запитване до Съда на ЕС (382).

(216)

Според практиката на Съда на ЕС (383) и както е предвидено в член 45, параграф 4 от Регламент (ЕС) 2016/679, след като приеме решение относно адекватното ниво на защита, Комисията следва непрекъснато да наблюдава релевантните промени в третата държава, за да прецени дали третата държава продължава да гарантира ниво на защита, което по същество е равностойно на нивото в Европейския съюз. Такава проверка е наложителна във всички случаи, когато Комисията получи информация, която поражда основателни съмнения в това отношение.

(217)

Следователно Комисията следва да осъществява постоянно наблюдение на ситуацията, що се отнася до нормативната уредба и реалната практика при обработването на лични данни, както са оценени в настоящото Решение, включително спазването от корейските органи на изявленията, гаранциите и ангажиментите, посочени в приложение II. За да се улесни този процес, от корейските органи се очаква да информират Комисията своевременно за съществени промени, имащи отношение към настоящото решение и свързани с обработването на лични данни от стопанските субекти и публичните органи, както и за ограниченията и гаранциите, приложими към достъпа до лични данни от страна на публичните органи.

(218)

На следващо място, за да се даде възможност на Комисията да изпълнява ефективно функцията си по извършване на наблюдение, държавите членки следва да я информират за всички релевантни действия, предприети от националните органи по защита на данните, по-специално във връзка със запитвания или жалби на субекти на данни от ЕС във връзка с предаване на лични данни от Съюза към администратори на лични данни в Република Корея. Комисията следва да бъде информирана и за всякакви признаци, че действията на корейските публични органи, отговарящи за предотвратяването, разследването, разкриването или наказателното преследване на престъпления или за националната сигурност, включително надзорните органи, не гарантират изискваното ниво на защита.

(219)

В приложение на член 45, параграф 3 от Регламент (ЕС) 2016/679 (384) и с оглед на факта, че нивото на защита, осигурявано от корейския правен ред, може да се промени, след приемането на настоящото решение Комисията следва периодично да проверява дали констатациите във връзка с адекватното ниво на защита, гарантирано от Република Корея, са все още фактически и правно обосновани.

(220)

За тази цел първи преглед на настоящото решение следва да бъде извършен в срок от две години след влизането му в сила. След този първи преглед и в зависимост от резултата от него Комисията ще реши, в тесни консултации с комитета, създаден съгласно член 93, параграф 1 от Регламент (ЕС) 2016/679, дали следва да се запази същият тригодишен цикъл. При всички случаи последващите прегледи следва да се извършват най-малко веднъж на четири години (385). Прегледът следва да обхваща всички аспекти от функционирането на настоящото решение, и по-специално прилагането на допълнителните гаранции, съдържащи се в приложение I към настоящото решение, като се обръща специално внимание на защитата в случай на последващо предаване; развития в съответната съдебна практика; правилата за обработването на псевдонимизирана информация за статистически цели, за научноизследователски цели или за целите на архивирането в обществен интерес, както и прилагането на изключенията съгласно член 28, параграф 7 от ЗЗЛД; ефективността на упражняването на индивидуалните права, включително пред неотдавна реформираната КЗЛД, и прилагането на изключенията от тези права; прилагането на частичните освобождавания съгласно ЗЗЛД; както и ограниченията и гаранциите във връзка с достъпа на държавните органи (както е посочено в приложение II към настоящото решение), включително сътрудничеството на КЗЛД с органите за защита на личните данни от ЕС относно жалби от физически лица. Той следва да обхваща също ефективността на надзора и правоприлагането, що се отнася до ЗЗЛД и в областта на наказателното правоприлагане и националната сигурност (по-специално от КЗЛД и НКПЧ).

(221)

При извършването на прегледа Комисията следва да се срещне с КЗЛД, придружена, ако е целесъобразно, от други корейски органи, отговарящи за достъпа на държавните органи, включително съответните надзорни органи. В тази среща следва да могат да участват представители на членовете на Европейския комитет по защита на данните. В рамките на съвместния преглед Комисията следва да поиска от КЗЛД да предостави изчерпателна информация по всички аспекти, които са от значение за установяването на адекватно ниво на защита, включително относно ограниченията и гаранциите във връзка с достъпа на държавните органи (386). Комисията следва също така да потърси обяснения във връзка с всяка получена от нея информация, която е от значение за настоящото решение, включително публични доклади на корейските органи или на други заинтересовани страни в Корея, Европейския комитет по защита на данните, отделни органи за защита на данните, групи на гражданското общество, съобщения в медиите или всякакви други налични източници на информация.

(222)

Въз основа на съвместния преглед Комисията следва да изготви публичен доклад, който се представя на Европейския парламент и на Съвета.

(223)

Когато наличната информация, по-специално информацията, получена в резултат на наблюдението на настоящото решение или предоставена от корейските органи или от органите на държавите членки, показва, че нивото на защита, предлагано от Република Корея, може вече да не е адекватно, Комисията следва да информира своевременно компетентните корейски органи за това и да поиска предприемането на подходящи мерки в определен разумен срок.

(224)

Ако при изтичането на посочения срок компетентните корейски органи не предприемат тези мерки или не докажат по друг задоволителен начин, че настоящото решение продължава да се основава на адекватно ниво на защита, Комисията ще започне процедурата, посочена в член 93, параграф 2 от Регламент (ЕС) 2016/679, с оглед частично или пълно спиране или отмяна на настоящото решение.

(225)

Като алтернативна възможност Комисията ще започне тази процедура с оглед изменение на решението, по-специално като обвърже предаването на данни с допълнителни условия или като ограничи обхвата на констатацията за адекватност само до предаването на данни, за което продължава да се осигурява адекватно ниво на защита.

(226)

По-специално Комисията следва да започне процедурата за спиране на прилагането или за отмяна на решението, ако има индикации, че допълнителните гаранции, съдържащи се в приложение I, не се спазват от стопанските субекти, получаващи лични данни въз основа на настоящото решение, и/или не се прилагат ефективно, или че корейските органи не спазват изявленията, гаранциите и ангажиментите, посочени в приложение II към настоящото решение.

(227)

Комисията следва също така да разгледа необходимостта от започване на процедурата, водеща до изменение, спиране на прилагането или отмяна на настоящото решение, ако при съвместния преглед или по друг повод компетентните корейски органи не предоставят информацията или поясненията, необходими за оценката на нивото на защита на личните данни, предавани от Европейския съюз към Република Корея, или за спазването на настоящото решение. Във връзка с това Комисията следва да взема предвид степента, в която съответната информация може да бъде набавена от други източници.

(228)

При надлежно обосновани наложителни причини за спешност Комисията ще използва възможността да приеме, в съответствие с процедурата, посочена в член 93, параграф 3 от Регламент (ЕС) 2016/679, актове за изпълнение с незабавно приложение за спиране на прилагането, отмяна или изменение на решението.

(229)

Европейският комитет по защита на данните публикува становището си (387), като то бе взето предвид при изготвянето на настоящото решение.

(230)

Мерките, предвидени в настоящото решение, са в съответствие със становището на комитета, създаден по силата на член 93, параграф 1 от Регламент (ЕС) 2016/679,