(1)

Nařízení (EU) 2016/679 stanoví pravidla pro předávání osobních údajů správci nebo zpracovateli v Unii do třetích zemí a mezinárodním organizacím, pokud toto předávání spadá do oblasti působnosti uvedeného nařízení. Pravidla pro mezinárodní předávání údajů stanoví kapitola V (články 44 až 50) uvedeného nařízení. Jakkoli je tok osobních údajů do zemí a ze zemí mimo Evropskou unii nezbytný pro rozvoj přeshraničního obchodu a mezinárodní spolupráce, úroveň ochrany osobních údajů v Unii nesmí být předáváním těchto údajů do třetích zemí oslabena (2).

(2)

Podle čl. 45 odst. 3 nařízení (EU) 2016/679 může Komise prostřednictvím prováděcího aktu rozhodnout, že určitá třetí země, určité území či jedno nebo více konkrétních odvětví v určité třetí zemi nebo určitá mezinárodní organizace zajišťuje odpovídající úroveň ochrany. Za této podmínky se může předávání osobních údajů do třetí země bez nutnosti získat další povolení uskutečnit, jak stanoví čl. 45 odst. 1 a 103. bod odůvodnění nařízení (EU) 2016/679.

(3)

Podle čl. 45 odst. 2 nařízení (EU) 2016/679 musí přijetí rozhodnutí o odpovídající ochraně vycházet z komplexní analýzy právního řádu dané třetí země, a to jak z hlediska pravidel použitelných pro dovozce údajů, tak z hlediska omezení a záruk vztahujících se k přístupu orgánů veřejné správy osobním údajům. V tomto posouzení musí Komise určit, zda daná třetí země zaručuje úroveň ochrany „v zásadě rovnocennou“ úrovni ochrany zajištěné v Evropské unii (104. bod odůvodnění nařízení (EU) 2016/679). To, zda tomu tak je, musí být posouzeno podle právních předpisů Unie, a to zejména nařízení (EU) 2016/679, jakož i judikatury Soudního dvora Evropské unie (3).

(4)

Jak objasnil Soudní dvůr Evropské unie, nevyžaduje to zjištění stejné úrovně ochrany (4). Zejména prostředky, které dotyčná třetí země k ochraně osobních údajů využívá, se mohou lišit od prostředků zavedených v Unii, pokud se v praxi ukážou jako účinné k zajištění odpovídající úrovně ochrany (5). Standard odpovídající ochrany tedy nevyžaduje opakování pravidel Unie slovo od slova. Kritériem je spíše to, zda zahraniční systém jako celek zajišťuje prostřednictvím podstaty práva na soukromí a jeho účinného uplatňování, dozoru a vymáhání požadovanou úroveň ochrany (6). Vodítko v tomto ohledu nabízí i referenční rámec pro odpovídající ochranu stanovený Evropským sborem pro ochranu osobních údajů, který má tento standard dále vyjasnit (7).

(5)

Komise pečlivě analyzovala korejské právní předpisy a praxi. Na základě zjištění uvedených v 8. až 208. bodě odůvodnění dospěla Komise k závěru, že Korejská republika zajišťuje odpovídající úroveň ochrany osobních údajů předávaných správcem nebo zpracovatelem v Unii (8) subjektům v Koreji (např. fyzickým nebo právnickým osobám, organizacím, veřejným institucím), které spadají do oblasti působnosti zákona o ochraně osobních údajů (zákon č. 10465 ze dne 29. března 2011 naposledy pozměněný zákonem č. 16930 ze dne 4. února 2020). To zahrnuje správce i zpracovatele údajů (nazývané „externí subjekty zajišťující zpracování“ (9)) ve smyslu nařízení (EU) 2016/679. Toto zjištění o odpovídající úrovni ochrany nezahrnuje zpracování osobních údajů náboženskými organizacemi pro misijní činnost a zpracování osobních údajů politickými stranami pro nominaci kandidátů ani zpracování osobních úvěrových informací podle zákona o úvěrových informacích správci údajů, kteří podléhají dozoru ze strany Komise pro finanční služby.

(6)

Tento závěr zohledňuje další záruky stanovené v oznámení č. 2021-5 (příloha I) a oficiální prohlášení, ujištění a závazky korejské vlády vůči Komisi (příloha II).

(7)

Toto rozhodnutí má účinek v tom smyslu, že předávání údajů správcům a zpracovatelům osobních údajů v Korejské republice může probíhat, aniž by bylo nutné získat další povolení. Tímto rozhodnutím není dotčeno přímé uplatňování nařízení (EU) 2016/679 na takové subjekty, pokud jsou splněny podmínky týkající se místní působnosti uvedeného nařízení, stanovené v jeho článku 3.

(8)

Právní systém upravující ochranu soukromí a údajů v Koreji se opírá o korejskou ústavu vyhlášenou dne 17. července 1948. Ačkoli právo na ochranu osobních údajů není v ústavě výslovně stanoveno, je nicméně uznáváno jako základní právo odvozené z ústavních práv na lidskou důstojnost a usilování o štěstí (článek 10), soukromý život (článek 17) a důvěrnost komunikací (článek 18). To potvrzuje Nejvyšší soud (10) i Ústavní soud (11). Základní práva a svobody (včetně práva na soukromí) mohou být omezeny pouze zákonem, je-li to nezbytné pro národní bezpečnost nebo pro zachování práva a pořádku v zájmu veřejného blaha, a toto omezení se nesmí dotýkat podstaty dotčené svobody nebo práva (čl. 37 odst. 2).

(9)

Přestože ústava na různých místech odkazuje na práva korejských občanů, Ústavní soud rozhodl, že i cizí státní příslušníci mají základní práva (12). Konkrétně tento soud konstatoval, že ochrana důstojnosti a hodnoty člověka jako lidské bytosti, jakož i právo usilovat o štěstí jsou právy každé lidské bytosti, nejen občanů (13). Podle oficiálních prohlášení korejské vlády (14) se navíc obecně uznává, že články 12 až 22 ústavy (které zahrnují práva na soukromí) stanoví základní lidská práva (15). Ačkoli dosud neexistuje judikatura, která by se konkrétně týkala práva cizích státních příslušníků na soukromí, základ tohoto práva spočívající v ochraně lidské důstojnosti a usilování o štěstí tento závěr podporuje (16).

(10)

Kromě toho Korea přijala řadu právních předpisů v oblasti ochrany údajů, které poskytují záruky pro všechny jednotlivce bez ohledu na jejich státní příslušnost (17). Pro účely tohoto rozhodnutí jsou relevantními zákony:

(11)

Zákon o ochraně osobních údajů poskytuje obecný právní rámec ochrany údajů v Korejské republice. Je doplněn prováděcí vyhláškou (prezidentská vyhláška č. 23169 ze dne 29. září 2011, ve znění prezidentské vyhlášky č. 30892 ze dne 4. srpna 2020) (dále jen „prováděcí vyhláška k zákonu o ochraně osobních údajů“), která je stejně jako zákon o ochraně osobních údajů právně závazná a vymahatelná.

(12)

Další pravidla pro výklad a použití zákona o ochraně osobních údajů obsahují i regulační „oznámení“ přijatá Komisí pro ochranu osobních údajů. Na základě článku 5 (Povinnosti státu) a článku 14 zákona o ochraně osobních údajů (Mezinárodní spolupráce) přijala Komise pro ochranu osobních údajů oznámení č. 2021-5 ze dne 1. září 2020 (ve znění oznámení č. 2021-1 ze dne 21. ledna 2021 a oznámení č. 2021-5 ze dne 16. listopadu 2021, dále jen „oznámení č. 2021-5“) o výkladu, uplatňování a prosazování některých ustanovení zákona o ochraně osobních údajů. Toto oznámení uvádí vysvětlení, která se vztahují na jakékoli zpracování osobních údajů podle zákona o ochraně osobních údajů, jakož i další záruky pro osobní údaje předávané do Koreje na základě tohoto rozhodnutí. Oznámení je právně závazné pro správce osobních údajů a vymahatelné ze strany Komise pro ochranu osobních údajů i soudů (19). Porušení pravidel uvedených v oznámení znamená porušení příslušných ustanovení zákona o ochraně osobních údajů, která pravidla doplňují. Obsah dalších záruk je proto analyzován jako součást posouzení příslušných článků zákona o ochraně osobních údajů. A konečně další pokyny k zákonu o ochraně osobních údajů a jeho prováděcí vyhlášce, které upřesňují uplatňování a prosazování pravidel ochrany údajů Komisí pro ochranu osobních údajů, jsou uvedeny v příručce a pokynech k zákonu o ochraně osobních údajů, které přijala Komise pro ochranu osobních údajů (20).

(13)

Zákon o používání a ochraně úvěrových informací dále stanoví specifická pravidla, která se vztahují na „běžné“ komerční subjekty i na specializované subjekty ve finančním sektoru, pokud zpracovávají osobní úvěrové informace, tj. informace, které jsou nezbytné pro zjištění úvěruschopnosti účastníků finančních nebo obchodních transakcí. To zahrnuje zejména jméno, kontaktní údaje, finanční transakce, úvěrový rating, stav pojištění nebo zůstatek úvěru, jsou-li tyto informace použity k určení úvěruschopnosti jednotlivce (21). Naopak tam, kde jsou takové údaje použity pro jiné účely (např. lidské zdroje), se v plném rozsahu použije zákon o ochraně osobních údajů. Pokud jde o zvláštní ustanovení zákona o používání a ochraně úvěrových informací týkajících se ochrany údajů, zajišťuje dozor zčásti Komise pro ochranu osobních údajů (pro komerční organizace viz článek 45-3 zákona o používání a ochraně úvěrových informací) a zčásti Komise pro finanční služby (22) (pro finanční sektor včetně ratingových agentur, bank, pojišťoven, vzájemných spořitelen, specializovaných finančních úvěrových společností, společností poskytujících finanční investiční služby, společností zajišťujících financování cenných papírů, úvěrových družstev atd., viz čl. 45 odst. 1 zákona o používání a ochraně úvěrových informací ve spojení s článkem 36-2 prováděcí vyhlášky k uvedenému zákonu a s článkem 38 zákona o Komisi pro finanční služby). V tomto ohledu je oblast působnosti tohoto rozhodnutí omezena na komerční subjekty, které podléhají dozoru Komise pro ochranu osobních údajů (23). Zvláštní pravidla zákona o používání a ochraně úvěrových informací, která platí v této souvislosti (obecná pravidla zákona o ochraně osobních údajů platí tam, kde neexistují žádná zvláštní pravidla), jsou popsána v oddíle 2.3.11.

(14)

Není-li v jiných zákonech výslovně stanoveno jinak, řídí se ochrana osobních údajů zákonem o ochraně osobních údajů (článek 6). Věcná a osobní působnost jeho použití je dána definovanými pojmy „osobní údaje“, „zpracování“ a „správce osobních údajů“.

(15)

Ustanovení čl. 2 odst. 1 zákona o ochraně osobních údajů definuje osobní údaje jako údaje týkající se žijící fyzické osoby, které tuto fyzickou osobu identifikují buď přímo, například její jméno, registrační číslo rezidenta nebo fotografie, nebo nepřímo, jmenovitě pokud lze údaje, které samy o sobě nemohou určitou osobu identifikovat, snadno zkombinovat s dalšími údaji. Skutečnost, zda lze údaje „snadno“ zkombinovat, závisí na tom, zda je taková kombinace přiměřeně pravděpodobná s přihlédnutím k možnosti získat další údaje, jakož i k času, nákladům a technologii potřebným k identifikaci fyzické osoby.

(16)

Kromě toho se pseudonymizované údaje (tedy údaje, které nemohou identifikovat konkrétní fyzickou osobu, aniž by byly použity nebo zkombinovány s dalšími údaji za účelem uvedení do původního stavu) podle zákona o ochraně osobních údajů považují za osobní údaje (čl. 2 odst. 1 písm. c) zákona o ochraně osobních údajů). Naopak údaje, které jsou plně „anonymizovány“, jsou z oblasti působnosti zákona o ochraně osobních údajů vyňaty (článek 58-2 zákona o ochraně osobních údajů). Jedná se o údaje, které nemohou identifikovat konkrétní fyzickou osobu, i pokud jsou zkombinovány s jinými údaji, a to s přihlédnutím k možnosti získat další údaje, jakož i k času, nákladům a technologii potřebným k identifikaci.

(17)

To odpovídá věcné oblasti působnosti nařízení (EU) 2016/679 a jeho pojmům „osobní údaje“, „pseudonymizace“ (24) a „anonymizované údaje“ (25).

(18)

Pojem „zpracování“ je v zákoně o ochraně osobních údajů definován široce jako „shromažďování, generování, spojování, propojování, zaznamenávání, ukládání, uchovávání, zpracování s přidanou hodnotou, editace, vyhledávání, výstup, oprava, obnova, použití, poskytování, zveřejňování a ničení osobních údajů a jiné podobné činnosti“ (26). Ačkoli některá ustanovení zákona o ochraně osobních údajů odkazují pouze na konkrétní druhy zpracování, jako je „používání“, „poskytnutí“ nebo „shromažďování“ (27), pojem „použití“ je vykládán tak, že zahrnuje jakýkoli druh zpracování jiný než „shromažďování“ nebo „poskytování“ (třetí straně). Tento široký výklad pojmu „používání“ tak zajišťuje, že v ochraně neexistují žádné mezery, pokud jde o konkrétní činnosti zpracování. Pojem zpracování tedy odpovídá stejnému pojmu podle nařízení (EU) 2016/679.

(19)

Zákon o ochraně osobních údajů se vztahuje na „správce osobních údajů“ (dále jen „správce“). Obdobně jako v nařízení (EU) 2016/679 tento pojen zahrnuje jakoukoli veřejnou instituci, právnickou osobu, organizaci nebo fyzickou osobu, která v rámci své činnosti přímo či nepřímo zpracovává osobní údaje za účelem používání souborů osobních údajů (28). V této souvislosti se „souborem osobních údajů“ rozumí jakýkoli „soubor nebo soubory osobních údajů systematicky uspořádané nebo organizované na základě určitého pravidla pro snadný přístup k osobním údajům“ (čl. 2 odst. 4 zákona o ochraně osobních údajů) (29). Interně je správce povinen vyškolit osoby zapojené do zpracování pod jeho vedením, jako jsou vedoucí pracovníci nebo zaměstnanci společnosti, a provádět náležitou kontrolu a dohled (čl. 28 odst. 1 zákona o ochraně osobních údajů).

(20)

Specifické povinnosti se vztahují na případy, kdy správce („zadavatel zpracování“) zadá zpracování osobních údajů třetí straně („externí subjekt zajišťující zpracování“). Zajišťování externího zpracování se musí zejména řídit právně závazným ujednáním (obvykle smlouvou) (30), jež stanoví rozsah externě zajišťovaných prací, účel zpracování, technické a řídicí záruky, které mají být použity, dohled ze strany správce, odpovědnost (např. náhradu škody způsobené porušením smluvních povinností), jakož i omezení jakéhokoli dílčího zpracování (31) (čl. 26 odst. 1 a 2 zákona o ochraně osobních údajů ve spojení s čl. 28 odst. 1 prováděcí vyhlášky) (32).

(21)

Kromě toho musí správce zveřejňovat a průběžně aktualizovat podrobnosti o činnosti zadané externímu subjektu zajišťujícímu zpracování a jeho totožnosti, nebo přímo oznamovat příslušné údaje v rozsahu, v jakém se externí zpracování týká činností přímého marketingu, fyzickým osobám (čl. 26 odst. 2 a 3 zákona o ochraně osobních údajů ve spojení s čl. 28 odst. 2 až 5 prováděcí vyhlášky) (33).

(22)

Dále je správce podle čl. 26 odst. 4 zákona o ochraně osobních údajů ve spojení s čl. 28 odst. 6 prováděcí vyhlášky povinen „poučit“ externí subjekt zajišťující zpracování o nezbytných bezpečnostních opatřeních a dohlížet, a to i prostřednictvím inspekcí, zda subjekt plní všechny povinnosti správce podle zákona o ochraně osobních údajů (34) i podle smlouvy o zajištění externího zpracování. Pokud externí subjekt zajišťující zpracování způsobí škodu v důsledku porušení zákona o ochraně osobních údajů, budou jeho jednání nebo nečinnost pro účely odpovědnosti přičteny správci stejně jako v případě zaměstnance (čl. 26 odst. 6 zákona o ochraně osobních údajů).

(23)

Ačkoli tedy zákon o ochraně osobních údajů nepoužívá různé pojmy pro „správce“ a „zpracovatele“, pravidla pro zajišťování externího zpracování poskytují v zásadě rovnocenné povinnosti a záruky jako pravidla, které upravují vztah mezi správci a zpracovateli podle nařízení (EU) 2016/679.

(24)

Zákon o ochraně osobních údajů se použije na zpracování osobních údajů kterýmkoli správcem, některá ustanovení však obsahují zvláštní pravidla (jakožto lex specialis) pro zpracování osobních údajů „uživatelů“„poskytovateli informačních a komunikačních služeb“ (35). Pojem „uživatelé“ zahrnuje fyzické osoby, které využívají informační a komunikační služby (čl. 2 odst. 1 bod 4 zákona o podpoře využívání informačních a komunikačních sítí a ochraně údajů, dále jen „zákon o sítích“). To vyžaduje, aby fyzická osoba buď přímo využívala telekomunikační služby poskytované korejským poskytovatelem telekomunikačních služeb, nebo využívala informační služby (36) poskytované komerčně (tj. za účelem zisku) subjektem, který naopak využívá služby poskytovatele telekomunikačních služeb s licencí/registrací v Koreji (37). V obou případech je subjektem vázaným konkrétními ustanoveními zákona o ochraně osobních údajů subjekt, který nabízí on-line službu přímo fyzické osobě (tj. uživateli).

(25)

Naopak zjištění o odpovídající úrovni ochrany se týká výhradně úrovně ochrany poskytované osobním údajům předávaným správcem/zpracovatelem v Unii subjektu v třetí zemi (zde: v Korejské republice). V posledně uvedeném scénáři budou mít jednotlivci v Unii obvykle přímý vztah pouze s „vývozcem údajů“ v Unii, nikoli s korejským poskytovatelem informačních a komunikačních služeb (38). Zvláštní ustanovení zákona o ochraně osobních údajů týkající se osobních údajů uživatelů informačních a komunikačních služeb se proto budou na osobní údaje předávané podle tohoto rozhodnutí vztahovat nanejvýš v omezených situacích.

(26)

Ustanovení čl. 58 odst. 1 zákona o ochraně osobních údajů vylučuje použití části zákona o ochraně osobních údajů (tj. článků 15 až 57), pokud jde o čtyři kategorie zpracování údajů (39). Nepoužijí se zejména části zákona o ochraně osobních údajů týkající se zvláštních důvodů zpracování, některých povinností v oblasti ochrany údajů, podrobných pravidel pro výkon individuálních práv a také pravidel pro řešení sporů mediačním výborem pro spory týkající se osobních údajů. Ostatní základní ustanovení zákona o ochraně osobních údajů zůstávají použitelná, zejména obecná ustanovení o zásadách ochrany údajů (článek 3 zákona o ochraně osobních údajů), včetně například zásad zákonnosti, specifikace účelu a účelového omezení, minimalizace údajů, přesnosti a zabezpečení údajů, a o individuálních právech (např. na přístup, opravu, výmaz a pozastavení zpracování, viz článek 4 zákona o ochraně osobních údajů). Kromě toho čl. 58 odst. 4 zákona o ochraně osobních údajů ukládá pro tyto činnosti zpracování specifické povinnosti, zejména pokud jde o minimalizaci údajů, omezené uchovávání údajů, bezpečnostní opatření a vyřizování stížností (40). V důsledku toho by jednotlivci mohli podat stížnost Komisi pro ochranu osobních údajů, pokud by tyto zásady a povinnosti nebyly dodržovány, a Komise pro ochranu osobních údajů je v případě nedodržení uvedených zásad a povinností oprávněna přijmout donucovací opatření.

(27)

Zaprvé se dílčí výjimka vztahuje na osobní údaje shromážděné podle zákona o statistice pro účely zpracování veřejnými institucemi. Podle objasnění obdržených od korejské vlády se osobní údaje zpracovávané v této souvislosti obvykle týkají korejských státních příslušníků a pouze výjimečně mohou zahrnovat údaje o cizích státních příslušnících, a to v případě statistických údajů o vstupu na území a opuštění území nebo o zahraničních investicích. I v těchto situacích však tyto údaje obvykle nejsou předávány správcem/zpracovatelem v Unii, ale spíše je přímo shromažďují orgány veřejné správy v Koreji (41). Kromě toho zákon o statistice – podobně jako stanoví 162. bod odůvodnění nařízení (EU) 2016/679 – také ukládá pro zpracování údajů několik podmínek a záruk. Zejména ukládá specifické povinnosti, jako je zajistit přesnost, konzistentnost a nestrannost, zaručit utajení fyzických osob, chránit údaje respondentů v souvislosti se statistickými dotazy, a to mimo jiné s cílem zabránit tomu, aby byly tyto údaje použity k jakémukoli jinému účelu než pro sestavování statistik, a uložit zaměstnancům povinnost dodržet požadavky v oblasti důvěrnosti (42). Orgány veřejné správy, které zpracovávají statistiky, musí rovněž dodržovat mimo jiné zásady minimalizace údajů, účelového omezení a zabezpečení údajů (článek 3 a čl. 58 odst. 4 zákona o ochraně osobních údajů) a umožnit jednotlivcům výkon jejich práv (na přístup, opravu, výmaz a pozastavení zpracování, viz článek 4 zákona o ochraně osobních údajů). A konečně, osobní údaje musí být zpracovávány v anonymizované nebo pseudonymizované podobě, pokud to umožňuje naplnit účel zpracování (čl. 3 odst. 7 zákona o ochraně osobních údajů).

(28)

Zadruhé čl. 58 odst. 1 zákona o ochraně osobních údajů zmiňuje osobní údaje shromážděné nebo požadované pro analýzu informací souvisejících s národní bezpečností. Oblast působnosti a důsledky této dílčí výjimky jsou podrobněji popsány ve 149. bodě odůvodnění.

(29)

Zatřetí se dílčí výjimka vztahuje na dočasné zpracování osobních údajů, pokud je toto zpracování naléhavě nutné z důvodů veřejné bezpečnosti či ochrany, včetně veřejného zdraví. Komise pro ochranu osobních údajů vykládá tuto kategorii striktně a podle informací obdržených od korejské vlády ji nikdy nepoužila. Tato kategorie se vztahuje pouze na mimořádné události vyžadující naléhavá opatření, například sledování infekčních činitelů nebo záchranu obětí přírodních katastrof a pomoc těmto obětem (43). Dokonce i v těchto situacích se dílčí výjimka vztahuje pouze na zpracování osobních údajů po omezenou dobu za účelem provedení takového opatření. Situace, kdy by se tato výjimka mohla týkat předávání údajů, na něž se vztahuje toto rozhodnutí, jsou ještě omezenější, vzhledem k nízké pravděpodobnosti toho, že by osobní údaje předávané z Unie korejským hospodářským subjektům byly takového druhu, že by jejich následné zpracování bylo pro takové mimořádné situace „naléhavě nezbytné“.

(30)

A konečně se dílčí výjimka použije na osobní údaje shromážděné nebo použité tiskem, pro misijní činnosti náboženských organizací nebo nominace kandidátů politickými stranami. Výjimka se použije pouze v případech, kdy jsou osobní údaje zpracovávány tiskem, náboženskými organizacemi nebo politickými stranami pro tyto konkrétní účely (tj. novinářská činnost, misijní práce a nominace politických kandidátů). Pokud tyto subjekty zpracovávají osobní údaje pro jiné účely, například pro řízení lidských zdrojů nebo vnitřní administrativu, použije se zákon o ochraně osobních údajů v plném rozsahu.

(31)

Pokud jde o zpracování osobních údajů tiskem pro novinářskou činnost, je vyvážení svobody projevu a dalších práv (včetně práva na soukromí) stanoveno zákonem o rozhodčím řízení a opravných prostředcích apod. ve věci škody způsobené tiskovými zprávami (dále jen „tiskový zákon“) (44). Konkrétně článek 5 tiskového zákona stanoví, že tisk (tj. jakákoli vysílací organizace, denní tisk, periodikum nebo on-line noviny) ani jakákoli internetová zpravodajská služba nebo internetová multimediální vysílací organizace nesmí narušovat soukromí jednotlivců. Pokud přesto dojde k narušení soukromí, musí být neprodleně napraveno v souladu s konkrétními postupy stanovenými v zákoně. V tomto ohledu zákon přiznává jednotlivcům, kteří utrpí újmu v důsledku tiskové zprávy, řadu práv, například právo dosáhnout zveřejnění opravy nepravdivého prohlášení, opravy prostřednictvím protichůdného prohlášení nebo další zprávy (pokud se tisková zpráva týká obvinění z trestných činů, kterých je jednotlivec později zproštěn) (45). Nároky jednotlivců mohou být řešeny přímo tiskovými subjekty (prostřednictvím veřejného ochránce práv) (46), prostřednictvím smírčího nebo rozhodčího řízení (před specializovanou rozhodčí komisí pro tisk) (47) nebo u soudu. Jednotlivci mohou také získat odškodnění, pokud utrpí peněžní újmu, narušení osobnostního práva nebo jakoukoli jinou emocionální újmu v důsledku nezákonného jednání tisku (úmyslného nebo nedbalostního) (48). Tisk je zproštěn odpovědnosti podle zákona v rozsahu, v jakém tisková zpráva, která zasahuje do práv jednotlivce, není v rozporu se společenskými hodnotami a je zveřejněna buď se souhlasem dotčené osoby, nebo ve veřejném zájmu (a existují dostatečné důvody k domněnce, že zpráva odpovídá pravdě) (49).

(32)

Zatímco zpracování osobních údajů tiskem pro účely novinářské činnosti podléhá zvláštním zárukám, které vyplývají z tiskového zákona, neexistují žádná taková další opatření, která by vymezovala použití výjimek pro činnosti zpracování náboženskými organizacemi a politickými stranami způsobem srovnatelným s články 85, 89 a 91 nařízení (EU) 2016/679. Komise proto považuje za vhodné vyloučit z oblasti působnosti tohoto rozhodnutí náboženské organizace, pokud zpracovávají osobní údaje pro svou misijní činnost, a politické strany, pokud zpracovávají osobní údaje v souvislosti s nominací kandidátů.

(33)

Osobní údaje by měly být zpracovávány zákonným a korektním způsobem.

(34)

Tato zásada je stanovena v čl. 3 odst. 1 a 2 zákona o ochraně osobních údajů a posílena článkem 59 zákona o ochraně osobních údajů, který zakazuje zpracování osobních údajů „podvodem, nevhodnými nebo nekalými prostředky“, „bez zákonného oprávnění“ nebo „nad rámec řádného oprávnění“ (50). Tyto obecné zásady zákonného zpracování jsou rozpracovány v článcích 15 až 19 zákona o ochraně osobních údajů, které stanoví různé právní základy pro zpracování (shromažďování, používání a poskytování třetím stranám), včetně okolností, za kterých tato činnost může zahrnovat změnu účelu (článek 18 zákona o ochraně osobních údajů).

(35)

Podle čl. 15 odst. 1 zákona o ochraně osobních údajů může správce shromažďovat osobní údaje (v rozsahu účelu shromažďování) pouze z omezeného počtu právních důvodů. Těmito důvody jsou 1) souhlas subjektu údajů (51) (bod 1); 2) nezbytnost uzavřít a plnit smlouvu se subjektem údajů (bod 4); 3) zvláštní oprávnění na základě zákona nebo nezbytnost pro splnění zákonné povinnosti (bod 2); případ, kdy je nezbytné (52), aby veřejná instituce v rámci své jurisdikce vykonávala úkoly předepsané zákonem; 4) zjevná nezbytnost ochrany života, zdraví nebo majetkových zájmů subjektu údajů nebo třetí strany před bezprostředním nebezpečím (pouze pokud subjekt údajů není schopen vyjádřit svůj úmysl nebo nelze získat souhlas předem) (bod 5); 5) nezbytnost dosáhnout „oprávněného zájmu“ správce, pokud je „zjevně nadřazen“ zájmům subjektu údajů (a pouze v případě, že zpracování má „podstatný vztah“ k oprávněnému zájmu a nepřekračuje rámec přiměřenosti) (bod 6) (53). Tyto důvody pro zpracování jsou v zásadě rovnocenné důvodům stanoveným v článku 6 nařízení (EU) 2016/679, včetně důvodu „oprávněného zájmu“, který je rovnocenný důvodu „oprávněného zájmu“ podle čl. 6 odst. 1 písm. f) nařízení (EU) 2016/679.

(36)

Jakmile jsou osobní údaje shromážděny, mohou být použity v rámci účelu shromažďování (čl. 15 odst. 1 zákona o ochraně osobních údajů) nebo „v rozsahu přiměřeně souvisejícím“ s účelem shromažďování, s přihlédnutím k možným znevýhodněním způsobeným subjektu údajů a za předpokladu, že jsou přijata nezbytná bezpečnostní opatření (např. šifrování) (čl. 15 odst. 3 zákona o ochraně osobních údajů). Pro určení toho, zda účel použití „přiměřeně souvisí“ s původním účelem shromažďování, stanoví prováděcí vyhláška zvláštní kritéria, která jsou obdobná těm, jež jsou uvedena v čl. 6 odst. 4 nařízení (EU) 2016/679. Zejména musí existovat značná relevance ve vztahu k původnímu účelu; dodatečné použití musí být předvídatelné (například s ohledem na okolnosti, za nichž byly údaje shromážděny); a pokud je to možné, údaje musí být pseudonymizovány (54). Zvláštní kritéria použitá správcem při tomto posouzení musí být předem zveřejněna v zásadách ochrany soukromí (55). Kromě toho je pověřenec pro ochranu soukromí údajů (viz 94. bod odůvodnění) výslovně povinen přezkoumat, zda v rámci těchto parametrů dochází k dalšímu použití.

(37)

Podobná (avšak poněkud přísnější) pravidla platí pro poskytování údajů třetí straně. Podle čl. 17 odst. 1 zákona o ochraně osobních údajů je poskytnutí osobních údajů třetí straně povoleno na základě souhlasu (56) nebo v rámci účelu shromažďování, pokud byly údaje shromážděny z jednoho z právních důvodů podle čl. 15 odst. 1 bodů 2, 3 a 5 zákona o ochraně osobních údajů. To vylučuje zejména jakékoli zpřístupnění založené na „oprávněném zájmu“ správce. Kromě toho čl. 17 odst. 4 zákona o ochraně osobních údajů umožňuje poskytnutí třetí straně „v rozsahu přiměřeně souvisejícím“ s účelem shromažďování, opět s přihlédnutím k možným znevýhodněním způsobeným subjektu údajů a za předpokladu, že jsou přijata nezbytná bezpečnostní opatření (např. šifrování). Stejné faktory, jaké jsou popsány v 36. bodě odůvodnění, je třeba vzít v úvahu při posouzení toho, zda poskytnutí spadá do oblasti přiměřeně související s účelem shromažďování a zda se použijí stejné záruky (tj. s ohledem na transparentnost prostřednictvím zásad ochrany soukromí a zapojení pověřence pro ochranu soukromí).

(38)

Přijetí osobních údajů z Unie korejským správcem údajů se považuje za „shromažďování“ ve smyslu článku 15 zákona o ochraně osobních údajů. Oznámení č. 2021-5 (oddíl I přílohy I tohoto rozhodnutí) objasňuje, že účel, pro který byly údaje předány dotčeným subjektem v EU, představuje účel shromažďování údajů pro korejského správce údajů. V důsledku toho jsou korejští správci údajů, kteří přijímají osobní údaje z Unie, v zásadě povinni zpracovávat tyto údaje v rámci účelu předání v souladu s článkem 17 zákona o ochraně osobních údajů.

(39)

Zvláštní omezení platí v případě, že správce hodlá použít osobní údaje nebo je poskytnout třetí straně k účelu jinému, než je účel shromažďování (57). Podle čl. 18 odst. 2 zákona o ochraně osobních údajů může soukromý správce výjimečně (58) použít osobní údaje nebo je poskytnout třetí straně k jinému účelu: 1) na základě dodatečného (tedy samostatného) souhlasu subjektu údajů; 2) stanoví-li to zvláštní zákonná ustanovení, nebo 3) je-li to zjevně nezbytné k ochraně života, zdraví nebo majetkových zájmů subjektu údajů nebo třetí strany před bezprostředním nebezpečím (pouze pokud subjekt údajů není schopen vyjádřit svůj úmysl nebo nelze získat souhlas předem) (59).

(40)

Veřejné instituce mohou v určitých situacích používat osobní údaje nebo je poskytovat třetí straně také k jinému účelu. To zahrnuje případy, kdy by jinak nebylo možné, aby veřejné instituce vykonávaly své zákonné povinnosti předepsané právními předpisy, s výhradou povolení Komise pro ochranu osobních údajů. Kromě toho mohou veřejné instituce poskytnout osobní údaje jinému orgánu nebo soudu, je-li to nezbytné pro vyšetřování a trestní stíhání trestných činů nebo pro podání obžaloby, k tomu, aby soud vykonával své funkce související s probíhajícím soudním řízením, nebo k výkonu trestu nebo soudního příkazu k zajištění péče nebo vazby (60). Mohou také poskytnout osobní údaje zahraniční vládě nebo mezinárodní organizaci, aby splnily zákonnou povinnost vyplývající ze smlouvy nebo mezinárodní úmluvy, přičemž v takovém případě musí rovněž splnit požadavky na přeshraniční předávání údajů (viz 90. bod odůvodnění).

(41)

Zásady zákonnosti a korektnosti zpracování jsou proto v korejském právním rámci provedeny v zásadě rovnocenným způsobem jako v nařízení (EU) 2016/679, neboť zpracování je povoleno pouze na základě legitimních a jasně definovaných důvodů. Kromě toho je ve všech uvedených případech zpracování povoleno pouze tehdy, pokud není pravděpodobné, že by „nekorektním způsobem narušilo“ zájmy subjektu údajů nebo třetí strany, což vyžaduje vyvážení zájmů. Kromě toho čl. 18 odst. 5 zákona o ochraně osobních údajů předepisuje další záruky, pokud správce poskytne osobní údaje třetí straně, a ty mohou zahrnovat požadavek na omezení účelu a způsobu použití nebo na zavedení zvláštních bezpečnostních opatření. Třetí strana je pak povinna požadovaná opatření provést.

(42)

A konečně článek 28-2 zákona o ochraně osobních údajů umožňuje (další) zpracování pseudonymizovaných údajů bez souhlasu dotčené osoby pro účely statistiky, vědeckého výzkumu (61) a archivace ve veřejném zájmu, s výhradou zvláštních záruk. Obdobně jako nařízení (EU) 2016/679 (62) proto zákon o ochraně osobních údajů usnadňuje (další) zpracování osobních údajů pro takové účely v rámci, který stanoví vhodné záruky na ochranu práv jednotlivců. Namísto toho, aby zákon o ochraně osobních údajů uplatňoval pseudonymizaci jako možnou záruku, ukládá ji jako podmínku pro provádění určitých činností zpracování pro účely statistiky, vědeckého výzkumu a archivace ve veřejném zájmu (například aby bylo možné zpracovávat údaje bez souhlasu nebo kombinovat různé datové soubory).

(43)

Zákon o ochraně osobních údajů navíc ukládá řadu zvláštních záruk, zejména pokud jde o požadovaná technická a organizační opatření, vedení záznamů, omezení sdílení údajů a řešení možných rizik opětovné identifikace. Kombinace jednotlivých záruk popsaných ve 44. až 48. bodě odůvodnění zajišťuje, že zpracování osobních údajů v této souvislosti podléhá v zásadě rovnocenné ochraně ve srovnání s ochranou, která by byla vyžadována podle nařízení (EU) 2016/679.

(44)

Zaprvé a především čl. 28-5 odst. 1 zákona o ochraně osobních údajů zakazuje zpracování pseudonymizovaných údajů za účelem identifikace určité osoby. Pokud by přesto při zpracování pseudonymizovaných údajů vznikly údaje, které by mohly určitou fyzickou osobu identifikovat, musí správce okamžitě pozastavit zpracování a tyto údaje zničit (čl. 28-5 odst. 2 zákona o ochraně osobních údajů). Nedodržení těchto ustanovení podléhá správním pokutám a představuje trestný čin (63). To znamená, že i v situacích, kdy by bylo prakticky možné danou osobu opětovně identifikovat, je takováto opětovná identifikace ze zákona zakázána.

(45)

Zadruhé musí správce při (dalším) zpracování pseudonymizovaných údajů pro tyto účely zavést zvláštní technická, řídicí a fyzická opatření k zajištění bezpečnosti údajů (včetně samostatného ukládání a správy údajů nezbytných k uvedení pseudonymizovaných údajů do původního stavu) (64). Kromě toho musí vedeny záznamy o zpracovávaných pseudonymizovaných údajích, účelu zpracování, historii použití a případných přijímajících třetích stranách (článek 29-5 odst. 2 prováděcí vyhlášky k zákonu o ochraně osobních údajů).

(46)

A konečně zatřetí zákon o ochraně osobních údajů stanoví zvláštní záruky, které mají zabránit identifikaci fyzických osob třetími stranami v případě sdílení údajů. Konkrétně při poskytování pseudonymizovaných údajů třetí straně za účelem statistiky, vědeckého výzkumu nebo archivace ve veřejném zájmu nesmí správci zahrnout údaje, které by mohly být použity k identifikaci konkrétní fyzické osoby (čl. 28-2 odst. 2 zákona o ochraně osobních údajů) (65).

(47)

Přesněji řečeno, ačkoli zákon o ochraně osobních údajů umožňuje kombinaci pseudonymizovaných údajů (zpracovávaných různými správci) pro účely statistiky, vědeckého výzkumu nebo archivace ve veřejném zájmu, vyhrazuje tuto pravomoc specializovaným institucím vybaveným konkrétními bezpečnostními zařízeními (článek 28-3 odst. 1) zákona o ochraně osobních údajů) (66). Při žádosti o kombinaci pseudonymizovaných údajů musí správce předložit dokumenty, které mimo jiné uvádí údaje, jež mají být zkombinovány, účel kombinace, jakož i navrhovaná bezpečnostní opatření pro zpracování kombinovaných údajů (67). Aby bylo možné kombinování provést, musí správce odeslat údaje, které mají být zkombinovány, specializované instituci a poskytnout „kombinační klíč“ (tj. údaje, které byly použity pro pseudonymizaci) Korejské agentuře pro internet a zabezpečení (68). Ta vygeneruje „propojovací údaje kombinačního klíče“ (které umožní propojit kombinační klíče různých žadatelů za účelem dosažení kombinace datových souborů) a poskytne je specializované instituci (69).

(48)

Správce, který žádá o kombinaci, může zkombinované údaje analyzovat v budově specializované instituce, v prostoru, kde jsou zavedena zvláštní technická, fyzická a administrativní bezpečnostní opatření (článek 29-3 prováděcí vyhlášky k zákonu o ochraně osobních údajů). Správci, kteří k takové kombinaci přispějí datovým souborem, mohou zkombinované údaje přenést mimo specializovanou instituci až po další pseudonymizaci nebo anonymizaci zkombinovaných údajů a se souhlasem této instituce (čl. 28-3 odst. 2 zákona o ochraně osobních údajů) (70). Při posuzování toho, zda takový souhlas udělit či nikoli, posoudí instituce souvislost mezi zkombinovanými údaji a účelem zpracování a to, zda byl pro použití těchto údajů vypracován zvláštní bezpečnostní plán (71). Export zkombinovaných údajů mimo instituci nebude povolen, pokud údaje obsahují informace, které by umožnily identifikaci určité fyzické osoby (72). A konečně také na kombinování a uvolňování pseudonymizovaných údajů specializovanou institucí dohlíží Komise pro ochranu osobních údajů (čl. 29-4 odst. 3 prováděcí vyhlášky k zákonu o ochraně osobních údajů).

(49)

Pokud se zpracovávají „zvláštní kategorie“ údajů, měly by existovat zvláštní záruky.

(50)

Zákon o ochraně osobních údajů obsahuje zvláštní pravidla pro zpracování citlivých údajů (73), které jsou definovány jako osobní údaje odhalující údaje o ideologii, přesvědčení, přijetí do odborové organizace nebo politické strany nebo vystoupení z ní, o politických názorech, zdraví a sexuálním životě jednotlivce, jakož i další osobní údaje, které by mohly „zjevně“ ohrozit soukromí subjektu údajů a v prezidentské vyhlášce jsou označeny jako citlivé údaje (74). Podle vysvětlení získaných od Komise pro ochranu osobních údajů je sexuální život vykládán tak, že zahrnuje i sexuální orientaci nebo preference jednotlivce (75). Kromě toho článek 18 prováděcí vyhlášky doplňuje rozsah citlivých údajů o další kategorie, zejména údaje o DNA získané genetickým testováním a údaje, které představují záznam v trestním rejstříku. Nedávná novela prováděcí vyhlášky k zákonu o ochraně osobních údajů dále rozšířila pojem citlivých údajů tím, že zahrnula také osobní údaje odhalující rasový nebo etnický původ a biometrické údaje (76). Po této novele je pojem citlivých údajů podle zákona o ochraně osobních údajů v zásadě rovnocenný pojmu uvedenému v článku 9 nařízení (EU) 2016/679.

(51)

Podle čl. 23 odst. 1 zákona o ochraně osobních údajů a obdobně jako podle čl. 9 odst. 1 nařízení (EU) 2016/679 je zpracování citlivých údajů obecně zakázáno, pokud se nepoužije některá z vyjmenovaných výjimek (77). Tyto výjimky omezují zpracování na případy, kdy správce informuje subjekt údajů v souladu s články 15 a 17 zákona o ochraně osobních údajů a získá samostatný souhlas (tj. oddělený od souhlasu se zpracováním jiných osobních údajů), nebo kdy zpracování vyžaduje nebo povoluje zákon. Orgány veřejné správy mohou rovněž zpracovávat biometrické údaje, údaje o DNA získané genetickým testováním, osobní údaje odhalující rasový nebo etnický původ a údaje, které představují záznam v trestním rejstříku, z důvodů, které jsou k dispozici výlučně těmto orgánům (například je-li to nezbytné pro vyšetřování trestné činnosti nebo k tomu, aby soud projednal určitou věc) (78). Jako takové jsou právní základy pro zpracování citlivých údajů omezenější než u jiných druhů osobních údajů a jsou v korejském právu ještě přísnější než ty, které uvádí čl. 9 odst. 2 nařízení (EU) 2016/679.

(52)

Kromě toho čl. 23 odst. 2 zákona o ochraně osobních údajů (jehož nedodržení může vést k sankcím (79)) zdůrazňuje zvláštní význam zajištění náležitého zabezpečení při nakládání s citlivými údaji, aby u nich „nemohlo dojít ke ztrátě, odcizení, vyzrazení, padělání, pozměnění nebo poškození“. Jakkoli se jedná o obecný požadavek podle článku 29 zákona o ochraně osobních údajů, čl. 3 odst. 4 objasňuje, že úroveň zabezpečení musí být přizpůsobena druhu zpracovávaných osobních údajů, což znamená, že musí být vzata v úvahu konkrétní rizika spojená se zpracováním citlivých údajů. Zpracování údajů se navíc vždy provádí „způsobem, který minimalizuje možnost narušení“ soukromí subjektu údajů, a pokud možno „v anonymitě“ (čl. 3 odst. 6 a 7 zákona o ochraně osobních údajů). Tyto požadavky jsou zvláště důležité, pokud se zpracování týká citlivých údajů.

(53)

Osobní údaje by měly být shromažďovány za konkrétním účelem, a to způsobem, který není neslučitelný s účelem zpracování.

(54)

Tuto zásadu zajišťují ustanovení čl. 3 odst. 1 a 2 zákona o ochraně osobních údajů, podle nichž správce „upřesní a výslovně specifikuje“ účel zpracování, osobní údaje zpracovává vhodným způsobem nezbytným pro tento účel a nepoužije je nad rámec tohoto účelu. Obecná zásada účelového omezení je rovněž potvrzena v čl. 15 odst. 1, čl. 18 odst. 1, v článku 19 a v případě zpracovatelů (tzv. „externích subjektů zajišťujících zpracování“) v čl. 26 odst. 1 bodě 1 a odst. 5 a 7 zákona o ochraně osobních údajů. Zejména lze osobní údaje zpravidla používat a poskytovat třetím stranám pouze v rámci účelu, pro který byly shromážděny (čl. 15 odst. 1 a čl. 17 odst. 1 bod 2). Zpracování za slučitelným účelem, tj. „v rozsahu přiměřeně souvisejícím s původním účelem shromažďování“, může probíhat pouze tehdy, pokud negativně neovlivní dotčené subjekty údajů a pokud jsou přijata nezbytná bezpečnostní opatření (např. šifrování) (čl. 15 odst. 3 a čl. 17 odst. 4 zákona o ochraně osobních údajů). Aby bylo možné určit, zda je další zpracování prováděno za slučitelným účelem, uvádí prováděcí vyhláška k zákonu o ochraně osobních údajů konkrétní kritéria, která jsou obdobná těm, jež jsou uvedena v čl. 6 odst. 4 nařízení (EU) 2016/679, viz 36. bod odůvodnění.

(55)

Jak je vysvětleno v 38. bodě odůvodnění, účelem shromažďování v případě korejských správců, kteří přijímají osobní údaje z Unie, je účel, za nímž jsou údaje předávány. Změna účelu správcem je povolena pouze výjimečně, ve zvláštních (vyjmenovaných) případech (čl. 18 odst. 2 body 1 až 3 zákona o ochraně osobních údajů, viz také 39. bod odůvodnění). Je-li změna účelu povolena zákonem, musí takové právní předpisy naopak respektovat základní právo na soukromí a ochranu údajů, jakož i zásady nezbytnosti a proporcionality stanovené v korejské ústavě. Kromě toho čl. 18 odst. 2 a 5 zákona o ochraně osobních údajů stanoví další záruky, zejména požadavek, podle něhož nesmí být takovou změnou účelu „nekorektním způsobem narušen zájem subjektu“, a je tudíž vždy zapotřebí vyvážení zájmů. To zajišťuje úroveň ochrany v zásadě rovnocennou úrovni ochrany podle čl. 5 odst. 1 písm. b) a článku 6 ve spojení s 50. bodem odůvodnění nařízení (EU) 2016/679.

(56)

Osobní údaje by měly být přesné a v případě potřeby aktualizované. Měly by rovněž být přiměřené, relevantní a omezené na to, co je nezbytné ve vztahu k účelům, pro které jsou zpracovávány.

(57)

Zásada přesnosti je obdobně uznána v čl. 3 odst. 3 zákona o ochraně osobních údajů, který vyžaduje, aby osobní údaje byly „přesné, úplné a aktuální v míře nezbytné ve vztahu k účelům“, pro které jsou zpracovávány. Minimalizace údajů je vyžadována podle čl. 3 odst. 1 a 6 a čl. 16 odst. 1 zákona o ochraně osobních údajů, které stanoví, že správce shromažďuje osobní údaje (pouze) „v minimálním rozsahu nezbytném“ pro dosažení zamýšleného účelu a v tomto ohledu nese důkazní břemeno. Je-li možné naplnit účel shromažďování zpracováním údajů v anonymizované podobě, měli by o ně správci usilovat (čl. 3 odst. 7 zákona o ochraně osobních údajů).

(58)

Osobní údaje by měly být zpravidla uchovávány po dobu ne delší, než je nezbytné pro účely, pro které jsou osobní údaje zpracovávány.

(59)

Zásada omezení uložení je obdobně stanovena v čl. 21 odst. 1 zákona o ochraně osobních údajů (80), který požaduje, aby správce neprodleně „zničil“ (81) osobní údaje po dosažení účelu zpracování, nebo po uplynutí doby uchovávání (podle toho, co nastane dříve), není-li další uchovávání vyžadováno zákonem (82). V takovém případě se příslušné osobní údaje „uchovávají a spravují odděleně od ostatních osobních údajů“ (čl. 21 odst. 3 zákona o ochraně osobních údajů).

(60)

Ustanovení čl. 21 odst. 1 zákona o ochraně osobních údajů se nepoužije, pokud jsou pseudonymizované údaje zpracovávány pro účely statistiky, vědeckého výzkumu a archivace ve veřejném zájmu (83). Aby byla zajištěna zásada omezeného uchovávání údajů i v tomto případě, oznámení č. 2021-5 vyžaduje, aby správci anonymizovali údaje v souladu s článkem 58-2 zákona o ochraně osobních údajů, pokud tyto údaje nebyly po naplnění konkrétního účelu zpracování zničeny (84).

(61)

Osobní údaje by měly být zpracovávány způsobem, který zajišťuje jejich zabezpečení, včetně ochrany před neoprávněným nebo protiprávním zpracováním a před náhodnou ztrátou, zničením nebo poškozením. Za tímto účelem by podnikatelské subjekty měly přijmout vhodná technická nebo organizační opatření na ochranu osobních údajů před možnými hrozbami. Tato opatření by měla být posuzována s přihlédnutím ke stavu techniky, souvisejícím nákladům a k povaze, rozsahu, kontextu a účelům zpracování i k rizikům pro práva fyzických osob.

(62)

Obdobnou zásadu zabezpečení stanoví čl. 3 odst. 4 zákona o ochraně osobních údajů, který uvádí, že správce osobních údajů „zajišťuje bezpečnou správu osobních údajů podle metod zpracování, druhů osobních údajů atd. s přihlédnutím k možnosti porušení práv subjektu údajů a k závažnosti příslušných rizik“. Kromě toho správce „zpracovává osobní údaje způsobem, který minimalizuje možnost narušení soukromí subjektu údajů“, a v této souvislosti se snaží zpracovávat osobní údaje pokud možno anonymně nebo v pseudonymizované podobě (čl. 3 odst. 6 a 7 zákona o ochraně osobních údajů).

(63)

Tyto obecné požadavky jsou dále rozvedeny v článku 29 zákona o ochraně osobních údajů, podle kterého každý správce „přijme taková technická, řídicí a fyzická opatření, například vytvoření vnitřního plánu řízení a uchovávání záznamů o přihlášení atd., která jsou nezbytná k zajištění bezpečnosti a jsou předepsána prezidentskou vyhláškou, aby nemohlo dojít ke ztrátě, odcizení, vyzrazení, padělání, pozměnění nebo poškození osobních údajů“. Ustanovení čl. 30 odst. 1 prováděcí vyhlášky k zákonu o ochraně osobních údajů specifikuje tato opatření odkazem na 1) vypracování a provedení vnitřního plánu řízení pro bezpečné zpracování osobních údajů; 2) kontroly a omezení přístupu; 3) přijetí šifrovací technologie pro bezpečné ukládání a předávání osobních údajů; 4) záznamy o přihlášení; 5) bezpečnostní programy a 6) fyzická opatření, jako je bezpečné úložiště nebo systém zámku (85).

(64)

Kromě toho platí zvláštní povinnosti v případě, že dojde k porušení zabezpečení údajů (článek 34 zákona o ochraně osobních údajů ve spojení s články 39 a 40 prováděcí vyhlášky k zákonu o ochraně osobních údajů) (86). Správce je zejména povinen neprodleně oznámit dotčeným subjektům údajů podrobnosti o porušení zabezpečení (87), včetně informací o (povinných) protiopatřeních přijatých správcem a o tom, co mohou subjekty údajů učinit, aby minimalizovaly riziko škody (čl. 34 odst. 1 a 2 zákona o ochraně osobních údajů) (88). Pokud se porušení zabezpečení údajů týká alespoň 1 000 subjektů údajů, správce neprodleně oznámí porušení zabezpečení údajů a přijatá protiopatření rovněž Komisi pro ochranu osobních údajů a Korejské agentuře pro internet a zabezpečení, která může poskytnout technickou pomoc (čl. 34 odst. 3 zákona o ochraně osobních údajů ve spojení s článkem 39 prováděcí vyhlášky k zákonu o ochraně osobních údajů). Správci odpovídají za škodu způsobenou porušením zabezpečení údajů v souladu s ustanoveními občanského zákoníku o odpovědnosti za delikty (viz také oddíl 2.5, opravné prostředky) (89).

(65)

Při plnění jeho povinností v oblasti zabezpečení musí být správci nápomocen pověřenec pro ochranu soukromí, mezi jehož úkoly patří mimo jiné budování vnitřního kontrolního systému, „který má zabránit vyzrazení, zneužití a neoprávněnému použití osobních údajů“ (čl. 31 odst. 2 bod 4 zákona o ochraně osobních údajů). Správce má navíc povinnost provádět „náležitou kontrolu a dohled“ nad svými zaměstnanci, kteří zpracovávají osobní údaje, a to i pokud jde o bezpečné nakládání s těmito údaji; to zahrnuje nezbytnou odbornou přípravu („vzdělávání“) zaměstnanců (článek 28 odst. 1 a 2 zákona o ochraně osobních údajů). A konečně v případě dílčího zpracování musí správce stanovit vůči „externímu subjektu zajišťujícímu zpracování“ požadavky týkající se mimo jiné bezpečného nakládání s osobními údaji („technické a řídicí záruky“) a prostřednictvím inspekcí musí dohlížet na to, jak jsou tyto záruky prováděny (čl. 26 odst. 1 a 4 zákona o ochraně osobních údajů ve spojení s čl. 28 odst. 1 body 3, 4 a 6 prováděcí vyhlášky k zákonu o ochraně osobních údajů).

(66)

Subjekty údajů by měly být informovány o hlavních znacích zpracování jejich osobních údajů.

(67)

To je v korejském systému zajištěno různými způsoby. Vedle práva na informace podle čl. 4 bodu 1 (obecně) a čl. 20 odst. 1 zákona o ochraně osobních údajů (pokud jde o osobní údaje shromážděné od třetích stran), jakož i práva na přístup podle článku 35 zákona o ochraně osobních údajů zahrnuje zákon o ochraně osobních údajů i obecný požadavek na transparentnost, pokud jde o účel zpracování (čl. 3 odst. 1 zákona o ochraně osobních údajů) a specifické požadavky na transparentnost v případě, kdy je zpracování založeno na souhlasu (čl. 15 odst. 2, čl. 17 odst. 2 a čl. 18 odst. 3 zákona o ochraně osobních údajů) (90). Kromě toho čl. 20 odst. 2 zákona o ochraně osobních údajů vyžaduje, aby někteří správci (ti, u nichž zpracování překračuje určité prahové hodnoty (91)) oznámili subjektu údajů, jehož osobní údaje obdrželi od třetí strany, zdroj informací, účel zpracování a právo subjektu údajů požadovat pozastavení zpracování, ledaže se takové oznámení ukáže jako nemožné z důvodu nedostatku jakýchkoli kontaktních údajů. Výjimky se vztahují na určité soubory osobních údajů uchovávané orgány veřejné správy, zejména na soubory, které obsahují údaje zpracovávané pro účely národní bezpečnosti, pro účely jiných zvláště důležitých („závažných“) národních zájmů nebo pro účely vymáhání trestního práva, nebo pokud by oznámení mohlo způsobit újmu na životě či zdraví jiné osoby nebo nekorektním způsobem působilo škodu na majetku a jiných zájmech jiné osoby, pouze však v případě, kdy jsou dotčené veřejné nebo soukromé zájmy „zjevně nadřazeny“ právům dotčených subjektů údajů (čl. 20 odst. 4 zákona o ochraně osobních údajů). Tento postup vyžaduje vyvažování zájmů.

(68)

Kromě toho čl. 3 odst. 5 zákona o ochraně osobních údajů předepisuje, že správci zveřejní své zásady ochrany soukromí (a další záležitosti související se zpracováním osobních údajů). Tento požadavek je dále upřesněn v článku 30 zákona o ochraně osobních údajů ve spojení s článkem 31 prováděcí vyhlášky k zákonu o ochraně osobních údajů. Podle těchto ustanovení musí zásady ochrany soukromí mimo jiné zahrnovat 1) druhy zpracovávaných osobních údajů; 2) účel zpracování; 3) dobu uchovávání; 4) zda jsou osobní údaje poskytovány třetí straně (92); 5) případné dílčí zpracování; 6) informace o právech subjektu údajů a způsobu jejich uplatnění a 7) kontaktní údaje (včetně jména pověřence pro ochranu soukromí nebo interního oddělení odpovědného za zajištění souladu s údaji pravidla ochrany údajů a vyřizování stížností). Zásady ochrany osobních údajů musí být veřejně dostupné takovým způsobem, aby je subjekty údajů „mohly snadno rozpoznat“ (čl. 30 odst. 2 zákona o ochraně osobních údajů) (93), a musí být průběžně aktualizovány (čl. 31 odst. 2 prováděcí vyhlášky k zákonu o ochraně osobních údajů).

(69)

Veřejné instituce podléhají další povinnosti registrovat u Komise pro ochranu osobních údajů zejména následující informace: 1) název veřejné instituce; 2) důvody a účely zpracování souborů osobních údajů; 3) podrobnosti o osobních údajích, které jsou zaznamenány; 4) způsob zpracování; 5) dobu uchovávání; 6) počet subjektů údajů, jejichž osobní údaje jsou uchovávány; 7) oddělení, které vyřizuje žádosti subjektů údajů, a 8) příjemce osobních údajů, pokud jsou údaje poskytovány běžně nebo opakovaně (čl. 32 odst. 1 zákona o ochraně osobních údajů) (94). Registrované soubory osobních údajů zveřejňuje Komise pro ochranu osobních údajů a musí na ně odkazovat i veřejné instituce ve svých zásadách ochrany soukromí (čl. 30 odst. 1 a čl. 32 odst. 4 zákona o ochraně osobních údajů).

(70)

V zájmu zvýšení transparentnosti pro subjekty údajů v Unii, jejichž osobní údaje jsou předávány do Koreje na základě tohoto rozhodnutí, ukládají body i) a ii) oddílu 3 oznámení č. 2021-5 (příloha I) další požadavky na transparentnost. Zaprvé musí při přijímání osobních údajů z Unie na základě tohoto rozhodnutí korejští správci bez zbytečného odkladu (a v každém případě nejpozději do jednoho měsíce od předání) oznámit dotčeným subjektům údajů jména a kontaktní údaje subjektů, které údaje předávají a přijímají, předávané osobní údaje (nebo kategorie osobních údajů), účel shromažďování korejským správcem, dobu uchovávání a práva, která jsou dostupná podle zákona o ochraně osobních údajů. Zadruhé, při poskytování osobních údajů přijatých z Unie na základě tohoto rozhodnutí třetím stranám musí být subjekty údajů informovány mimo jiné o příjemci, osobních údajích nebo kategoriích osobních údajů, které mají být poskytnuty, o zemi, do které jsou údaje poskytovány (je-li to relevantní), stejně jako o právech, která jsou dostupná podle zákona o ochraně osobních údajů (95). Oznámení tak zajišťuje, že fyzické osoby z EU budou i nadále informovány o konkrétních správcích zpracovávajících jejich údaje a budou moci uplatňovat svá práva vůči příslušným subjektům.

(71)

Oddíl 3 bod iii) oznámení (příloha I) umožňuje určité omezené a kvalifikované výjimky z těchto dodatečných povinností týkajících se transparentnosti, které jsou v zásadě rovnocenné těm, které stanoví nařízení (EU) 2016/679. Informování subjektů údajů v Unii není vyžadováno, 1) pokud a dokud je nezbytné omezit oznamování z určitých důvodů veřejného zájmu (například pokud jsou informace zpracovávány pro účely národní bezpečnosti nebo probíhajícího vyšetřování trestné činnosti), jsou-li tyto cíle veřejného zájmu zjevně nadřazeny právům subjektu údajů; 2) subjekt údajů již uvedené informace má; 3) pokud a dokud je pravděpodobné, že oznámení způsobí újmu na životě nebo zdraví daného jednotlivce nebo jakékoli jiné osoby nebo nekorektním způsobem poškodí majetkové zájmy jiné osoby, pokud jsou tato práva nebo zájmy zjevně nadřazeny právům subjektu údajů; nebo 4) pokud nejsou k dispozici kontaktní údaje dotčených fyzických osob nebo by informování těchto osob vyžadovalo nepřiměřené úsilí. Při určování toho, zda je možné kontaktovat subjekt údajů nebo zda to vyžaduje nadměrné úsilí, by měla být vzata v úvahu možnost spolupracovat s vývozcem údajů v Unii.

(72)

Pravidla v 67. až 71. bodě odůvodnění tudíž zajišťují v zásadě rovnocennou úroveň ochrany s ohledem na transparentnost, jakou stanoví nařízení (EU) 2016/679.

(73)

Subjekty údajů by měly mít určitá práva, která lze vůči správci nebo zpracovateli vymáhat, zejména právo na přístup k údajům, právo na opravu, právo podat námitku proti zpracování a právo na výmaz údajů. Tato práva mohou zároveň podléhat omezením, pokud jsou tato omezení nezbytná a přiměřená k zajištění důležitých cílů obecného veřejného zájmu.

(74)

Podle čl. 3 odst. 5 zákona o ochraně osobních údajů správce zaručí práva subjektu údajů vyjmenovaná v článku 4 zákona o ochraně osobních údajů a dále upřesněná v článcích 35 až 37, 39 a 39-2 zákona o ochraně osobních údajů.

(75)

Zaprvé mají fyzické osoby právo na informace a přístup. Pokud správce shromáždil osobní údaje od třetí strany (jak tomu bude vždy v případě předání údajů z Unie), mají subjekty údajů obecně právo získat informace o 1) „zdroji“ shromážděných osobních údajů (tj. převodci); 2) účelu zpracování a 3) právu subjektu údajů požadovat pozastavení zpracování (čl. 20 odst. 1 zákona o ochraně osobních údajů). Platí omezené výjimky, a to v případech, kdy by oznámení mohlo způsobit újmu na životě či zdraví jiné osoby nebo „nekorektním způsobem poškodit majetek a jiné zájmy“ jiné osoby, pouze však v případě, kdy tyto zájmy třetí strany „výslovně nadřazeny“ právům dotčeného subjektu údajů (čl. 20 odst. 4 bod 2 zákona o ochraně osobních údajů).

(76)

Kromě toho čl. 35 odst. 1 a 3 zákona o ochraně osobních údajů ve spojení s čl. 41 odst. 4 prováděcí vyhlášky k zákonu o ochraně osobních údajů poskytuje subjektům údajů právo na přístup k jejich osobním údajům (96). Právo na přístup zahrnuje potvrzení o zpracování, informace o druhu zpracovávaných údajů, účelu zpracování, době uchovávání, jakož i případném zpřístupnění třetí straně a poskytnutí kopie zpracovávaných osobních údajů (čl. 4 bod 3 zákona o ochraně osobních údajů ve spojení s čl. 41 odst. 1 prováděcí vyhlášky k zákonu o ochraně osobních údajů) (97). Přístup může být omezen (částečný přístup) (98) nebo odepřen pouze tehdy, je-li to stanoveno zákonem (99), pokud by to pravděpodobně způsobilo újmu na životě nebo zdraví třetí strany nebo by to pravděpodobně vedlo k neoprávněnému narušení majetkových a jiných zájmů jiné osoby (čl. 35 odst. 4 zákona o ochraně osobních údajů) (100). Z posledně uvedeného vyplývá, že je třeba provádět vyvažování mezi ústavně chráněnými právy a svobodami jednotlivce na jedné straně a jiných osob na straně druhé. Je-li přístup omezen nebo odepřen, musí správce informovat subjekt údajů o příslušných důvodech a o způsobu podání opravného prostředku proti rozhodnutí (čl. 41 odst. 5 a čl. 42 odst. 2 prováděcí vyhlášky k zákonu o ochraně osobních údajů).

(77)

Zadruhé mají subjekty údajů právo na opravu nebo výmaz (101) svých osobních údajů, „pokud jiné právní předpisy výslovně nestanoví jinak“ (čl. 36 odst. 1 a 2 zákona o ochraně osobních údajů) (102). Po obdržení žádosti musí správce věc neprodleně prošetřit, přijmout nezbytná opatření (103) a do deseti dnů o nich vyrozumět subjekt údajů; nelze-li žádosti vyhovět, zahrnuje tato oznamovací povinnost důvody zamítnutí a způsob podání opravného prostředku (viz čl. 36 odst. 4 zákona o ochraně osobních údajů ve spojení s čl. 43 odst. 3 prováděcí vyhlášky k zákonu o ochraně osobních údajů) (104).

(78)

A konečně mají také subjekty údajů právo na okamžité pozastavení zpracování jejich osobních údajů (105), pokud se nepoužije jedna z vyjmenovaných výjimek (čl. 37 odst. 1 a 2 zákona o ochraně osobních údajů) (106). Správce může žádost zamítnout, 1) pokud je to výslovně povoleno zákonem nebo je to nezbytné („nevyhnutelné“) ke splnění zákonných povinností; 2) pokud by pozastavení zpracování pravděpodobně způsobilo újmu na životě nebo zdraví třetí strany nebo neoprávněné narušení majetkových a jiných zájmů jiné osoby; 3) pokud by veřejná instituce bez zpracování údajů nemohla plnit svou zákonem stanovenou funkci nebo 4) pokud subjekt údajů výslovně neukončí příslušnou základní smlouvu se správcem, přestože by bez takového zpracování údajů nebylo možné smlouvu plnit. V takovém případě musí správce neprodleně oznámit subjektu údajů důvody zamítnutí a způsob podání opravného prostředku (čl. 37 odst. 2 zákona o ochraně osobních údajů ve spojení s čl. 44 odst. 2 prováděcí vyhlášky k zákonu o ochraně osobních údajů). Podle čl. 37 odst. 4 zákona o ochraně osobních údajů musí správce při vyhovění žádosti o pozastavení zpracování neprodleně „přijmout nezbytná opatření včetně zničení příslušných osobních údajů“ (107).

(79)

Právo na pozastavení zpracování existuje i v případech, kdy jsou osobní údaje používány pro účely přímého marketingu, tedy za účelem propagace zboží nebo služeb nebo žádostí o jejich koupi. Navíc takové další zpracování obecně vyžaduje zvláštní (dodatečný) souhlas subjektu údajů (viz čl. 15 odst. 1 bod 1, čl. 17 odst. 2 bod 1 zákona o ochraně osobních údajů) (108). Při žádosti o tento souhlas musí správce informovat subjekt údajů zejména o zamýšleném použití údajů pro účely přímého marketingu (tj. o tom, že jej lze kontaktovat za účelem propagace zboží nebo služeb nebo žádosti o jejich koupi) „výslovně rozpoznatelným způsobem“ (čl. 22 odst. 2 a 4 zákona o ochraně osobních údajů ve spojení s čl. 17 odst. 2 bodem 1 prováděcí vyhlášky k zákonu o ochraně osobních údajů).

(80)

Aby usnadnil výkon individuálních práv, musí správce zavést vyhrazené postupy a veřejně je oznámit (čl. 38 odst. 4 zákona o ochraně osobních údajů) (109). To zahrnuje postupy pro vznesení námitek proti zamítnutí žádosti (čl. 38 odst. 5 zákona o ochraně osobních údajů). Správce musí zajistit, aby postup pro výkon práv byl „k subjektu údajů vstřícný“ a nebyl obtížnější než postup při shromažďování osobních údajů; to zahrnuje i povinnost poskytovat informace o tomto postupu na internetových stránkách správce (čl. 41 odst. 2, čl. 43 odst. 1 a čl. 44 odst. 1 prováděcí vyhlášky k zákonu o ochraně osobních údajů) (110). Fyzické osoby mohou k podání takové žádosti zmocnit zástupce (čl. 38 odst. 1 zákona o ochraně osobních údajů ve spojení s článkem 45 prováděcí vyhlášky k zákonu o ochraně osobních údajů). Ačkoli je správce oprávněn účtovat poplatek (a v případě žádosti o zaslání kopií osobních údajů poštou i poštovné), částka musí být stanovena „v mezích skutečných nákladů nezbytných pro zpracování [žádosti]“; nelze účtovat žádný poplatek (ani poštovné), pokud podnět k žádosti dal správce (článek 38 odst. 3 zákona o ochraně osobních údajů ve spojení s článkem 47 prováděcí vyhlášky k zákonu o ochraně osobních údajů).

(81)

Zákon o ochraně osobních informací a příslušná prováděcí vyhláška neobsahují obecná ustanovení řešící vydávání rozhodnutí, která se dotýkají subjektu údajů a jsou založena výhradně na automatizovaném zpracování osobních údajů. Pokud však jde o osobní údaje, které byly shromážděny v Unii, jakékoli rozhodnutí založené na automatizovaném zpracování bude obvykle činit správce v Unii (který má přímý vztah s dotyčným subjektem údajů), a vztahuje se tedy na něj nařízení (EU) 2016/679 (111). To zahrnuje situace předávání, kdy zpracování provádí zahraniční (např. korejský) podnikatelský subjekt jednající jako zprostředkovatel (zpracovatel) jménem správce v Unii (nebo jako externí zpracovatel jednající jménem zpracovatele z Unie, jenž získal údaje od správce v Unii, který je shromáždil), který na tomto základě činí rozhodnutí. Neexistence zvláštních pravidel pro automatizované rozhodování v zákoně o ochraně osobních údajů tedy pravděpodobně neovlivní úroveň ochrany osobních údajů předávaných podle tohoto rozhodnutí.

(82)

Ustanovení týkající se transparentnosti v případě žádosti (článek 20) a individuálních práv (články 35 až 37), jakož i individuální oznamovací povinnost u poskytovatelů informačních a komunikačních služeb (článek 39-8 zákona o ochraně osobních údajů) se výjimečně nepoužijí u pseudonymizovaných údajů, pokud jsou zpracovávány pro účely statistiky, vědeckého výzkumu nebo archivace ve veřejném zájmu (článek 28-7 zákona o ochraně osobních údajů) (112). V souladu s přístupem podle čl. 11 odst. 2 (ve spojení s 57. bodem odůvodnění) nařízení (EU) 2016/679 je to odůvodněno tím, že v zájmu zajištění transparentnosti nebo udělení individuálních práv by správce musel zjistit, zda některé údaje (a pokud ano, které) souvisí s fyzickou osobou, která žádost podává, což je podle zákona o ochraně osobních údajů (čl. 28-5 odst. 1) výslovně zakázáno. Pokud navíc tato opětovná identifikace zahrnuje zrušení pseudonymizace celého (pseudonymizovaného) datového souboru, vystavila by osobní informace všech ostatních dotčených osob zvýšeným rizikům. Zatímco nařízení (EU) 2016/679 odkazuje na situace, kdy je opětovná identifikace prakticky nemožná, zákon o ochraně osobních údajů zaujímá přísnější přístup a výslovně zakazuje opětovnou identifikaci ve všech situacích, kdy jsou zpracovávány pseudonymizované údaje.

(83)

Korejský systém popsaný v 74. až 82. bodě odůvodnění tudíž obsahuje pravidla o právech subjektů údajů, která poskytují úroveň ochrany v zásadě rovnocennou ochraně podle nařízení (EU) 2016/679.

(84)

Úroveň ochrany osobních údajů předávaných z Unie správcům v Korejské republice nesmí být oslabena dalším předáváním těchto údajů příjemcům v třetí zemi.

(85)

Taková „další předání“ z pohledu korejského správce představují mezinárodní předání z Korejské republiky. V tomto ohledu zákon o ochraně osobních údajů rozlišuje mezi zadáním zpracování externímu subjektu zajišťujícímu zpracování (tj. zpracovateli) a poskytnutím osobních údajů třetím stranám (113).

(86)

Zaprvé, pokud je zpracování osobních údajů zadáno externímu subjektu se sídlem v třetí zemi, musí korejský správce zajistit soulad s ustanoveními zákona o ochraně osobních údajů týkajícími se zadání činnosti externímu subjektu (článek 26 zákona o ochraně osobních údajů). To zahrnuje zavedení právně závazného nástroje, který mimo jiné omezuje zpracování zadané externímu subjektu na účel externě zajišťované činnosti, ukládá technické a řídicí záruky a omezuje dílčí zpracování (viz čl. 26 odst. 1 zákona o ochraně osobních údajů); a zveřejňování informací o práci zadané externímu subjektu. Dále je správce povinen „poučit“ externí subjekt zajišťující zpracování o nezbytných bezpečnostních opatřeních a dohlížet, a to i prostřednictvím inspekcí, zda subjekt plní všechny povinnosti správce podle zákona o ochraně osobních údajů (114) i podle smlouvy o zajištění externího zpracování.

(87)

Pokud externí subjekt zajišťující zpracování způsobí škodu zpracováním osobních údajů v rozporu se zákonem o ochraně osobních údajů, ponese odpovědnost správce, stejně jako by tomu bylo v případě zaměstnanců správce (čl. 26 odst. 6 zákona o ochraně osobních údajů). Korejský správce proto nadále nese odpovědnost za osobní údaje, jejichž zpracování je zadáno externímu subjektu, a musí zajistit, aby zahraniční zpracovatel zpracovával údaje v souladu se zákonem o ochraně osobních údajů. Pokud externí subjekt zajišťující zpracování zpracovává informace v rozporu se zákonem o ochraně osobních údajů, může korejský správce nést odpovědnost za nesplnění své povinnosti zajistit soulad se zákonem o ochraně osobních údajů, například prostřednictvím svého dohledu nad externím subjektem zajišťujícím zpracování. Záruky obsažené ve smlouvě o zajištění externího zpracování a odpovědnost korejského správce za kroky externího subjektu zajišťujícího zpracování zajišťují kontinuitu ochrany, pokud je zpracování osobních údajů zadáno externímu subjektu mimo Koreu.

(88)

Zadruhé mohou korejští správci poskytnout osobní údaje třetí straně se sídlem mimo Koreu. Zákon o ochraně osobních údajů obsahuje řadu právních důvodů, které obecně umožňují poskytování údajů třetím stranám, pokud má třetí strana sídlo mimo Koreu, správce však v zásadě (115) musí získat souhlas subjektu údajů (116) poté, co subjektu údajů sdělí 1) druh osobních údajů; 2) příjemce osobních údajů; 3) účel předání ve smyslu účelu zpracování sledovaného příjemcem; 4) dobu uchovávání příjemcem pro účely zpracování a rovněž 5) skutečnost, že subjekt údajů může souhlas odepřít (čl. 17 odst. 2 a 3 zákona o ochraně osobních údajů). Oznámení č. 2021-5 ve svém oddílu věnovaném transparentnosti (viz 70. bod odůvodnění) vyžaduje, aby byly fyzické osoby informovány o třetí zemi, do níž budou jejich údaje poskytnuty. Tím je zajištěno, že subjekty údajů v Unii mohou učinit plně informované rozhodnutí, zda udělí nebo neudělí souhlas s poskytnutím do zahraničí. Správce navíc nesmí uzavřít smlouvu s příjemcem, který je třetí stranou, v rozporu se zákonem o ochraně osobních údajů, což znamená, že smlouva nesmí obsahovat povinnosti, které by byly v rozporu s povinnostmi, jež zákon o ochraně osobních údajů ukládá správci (117).

(89)

Bez souhlasu fyzické osoby mohou být osobní údaje poskytnuty třetí straně (v zahraničí), pokud účel zpřístupnění zůstává „v rozsahu přiměřeně souvisejícím“ s původním účelem shromažďování (čl. 17 odst. 4 zákona o ochraně osobních údajů, viz 36. bod odůvodnění). Při rozhodování o tom, zda zpřístupnit (či nezpřístupnit) osobní údaje pro „související“ účel, však musí správce vzít v úvahu, zda zpřístupnění nevede ke znevýhodnění fyzické osoby a zda jsou přijata nezbytná bezpečnostní opatření (např. šifrování). Vzhledem k tomu, že třetí země, do které jsou osobní údaje předávány, nemusí nabízet ochranu obdobnou té, kterou poskytuje zákon o ochraně osobních údajů, oddíl 2 oznámení č. 2021-5 uznává, že k takovým znevýhodněním může dojít a že jim lze předejít pouze tehdy, pokud korejský správce a zahraniční příjemce prostřednictvím právně závazného nástroje (např. smlouvy) zajistí úroveň ochrany srovnatelnou se zákonem o ochraně osobních údajů, a to i s ohledem na práva subjektu údajů.

(90)

Zvláštní pravidla platí pro zpřístupnění „za jiným než určeným účelem“, tj. poskytnutí údajů třetí straně za novým (nesouvisejícím) účelem, které se může uskutečnit pouze na základě jednoho z důvodů podle čl. 18 odst. 2 zákona o ochraně osobních údajů, jak je popsáno v 39. bodě odůvodnění. I za těchto podmínek je však poskytnutí údajů třetí straně vyloučeno, pokud je pravděpodobné, že „nekorektním způsobem naruší“ zájmy subjektu údajů nebo třetí strany, což vyžaduje vyvážení zájmů. Kromě toho musí správce podle čl. 18 odst. 5 zákona o ochraně osobních údajů uplatnit další záruky, které mohou zahrnovat požadavek, aby třetí strana omezila účel a způsob zpracování nebo aby zavedla zvláštní bezpečnostní opatření. A opět, vzhledem k tomu, že třetí země, do které jsou osobní údaje předávány, nemusí nabízet ochranu obdobnou té, kterou poskytuje zákon o ochraně osobních údajů, oddíl 2 oznámení č. 2021-5 uznává, že k takovému „nekorektnímu narušení“ zájmů fyzické osoby nebo třetí strany může dojít a lze mu předejít pouze tehdy, pokud korejský správce a zahraniční příjemce prostřednictvím právně závazného nástroje (např. smlouvy) zajistí úroveň ochrany rovnocennou zákonu o ochraně osobních údajů, a to i s ohledem na práva subjektu údajů.

(91)

Pravidla v 86. až 90. bodě odůvodnění proto zajišťují kontinuitu ochrany při předání osobních údajů („externímu subjektu zajišťujícímu zpracování“ nebo třetí straně) z Korejské republiky, a to způsobem, který je v zásadě rovnocenný tomu, co stanoví nařízení (EU) 2016/679.

(92)

Podle zásady odpovědnosti se od subjektů zpracovávajících údaje vyžaduje zavedení vhodných technických a organizačních opatření, aby mohly účinně plnit své povinnosti v oblasti ochrany údajů a jejich plnění byly schopny prokázat, zejména příslušnému dozorovému úřadu.

(93)

Podle čl. 3 odst. 6 a 8 zákona o ochraně osobních údajů musí správce zpracovávat osobní údaje „způsobem, který minimalizuje možnost narušení“ soukromí subjektu údajů a musí se snažit získat důvěru subjektu údajů dodržováním a plněním úkolů a povinností, jak je stanoví zákon o ochraně osobních údajů a ostatní související právní předpisy. To zahrnuje vytvoření vnitřního plánu řízení (článek 29 zákona o ochraně osobních údajů) a rovněž vhodnou odbornou přípravu zaměstnanců a dohled nad nimi (článek 28 zákona o ochraně osobních údajů).

(94)

Jako prostředek zajištění odpovědnosti stanoví článek 31 zákona o ochraně osobních údajů ve spojení s článkem 32 prováděcí vyhlášky k zákonu o ochraně osobních údajů povinnost správců jmenovat pověřence pro ochranu soukromí, který se „komplexně věnuje oblasti zpracování osobních údajů“. Úkolem pověřence pro ochranu soukromí je zejména vykonávat tyto funkce: 1) sestavení a provádění plánu ochrany osobních údajů a vypracování zásad ochrany osobních údajů; 2) provádění pravidelných průzkumů stavu a postupů zpracování osobních údajů s cílem odstranit případné nedostatky; 3) vyřizování stížností a poskytování odškodnění; 4) zřízení vnitřního kontrolního systému, který má zabránit vyzrazení, zneužití a neoprávněnému použití osobních údajů; 5) příprava a realizace vzdělávacího programu; 6) ochrana, kontrola a správa souborů osobních údajů a 7) zničení osobních údajů ihned po dosažení účelu zpracování nebo uplynutí doby uchovávání. Při plnění těchto povinností může pověřenec pro ochranu soukromí kontrolovat stav zpracování osobních údajů a souvisejících systémů a může o tomto zpracování požadovat informace (čl. 31 odst. 3 zákona o ochraně osobních údajů). Pokud pověřenec pro ochranu soukromí zjistí jakékoli porušení zákona o ochraně osobních údajů nebo jiných příslušných právních předpisů v oblasti ochrany údajů, neprodleně přijme nápravná opatření a v případě potřeby tato opatření oznámí vedení („vedoucímu“) správce (čl. 31 odst. 4 zákona o ochraně osobních údajů). Podle čl. 31 odst. 5 zákona o ochraně osobních údajů nesmí být pověřenec pro ochranu soukromí v důsledku výkonu uvedených funkcí bezdůvodně znevýhodňován.

(95)

Správci se navíc musí proaktivně snažit provádět posouzení dopadu na soukromí v případě, kdy nakládání se souborem osobních údajů představuje riziko pro soukromí (čl. 33 odst. 8 zákona o ochraně osobních údajů). Na základě čl. 33 odst. 1 a 2 zákona o ochraně osobních údajů ve spojení s články 35, 36 a 38 prováděcí vyhlášky k zákonu o ochraně osobních údajů budou při posuzování míry rizika pro práva subjektů údajů relevantní faktory, jako je druh a povaha zpracovávaných údajů (zejména zda se jedná o citlivé údaje), jejich objem, doba uchovávání a pravděpodobnost porušení zabezpečení údajů. Účelem posouzení dopadu na soukromí je zajistit, aby byly analyzovány rizikové faktory pro soukromí i veškerá bezpečnostní nebo jiná protiopatření, a uvést záležitosti, které vyžadují zlepšení (viz čl. 33 odst. 1 zákona o ochraně osobních údajů ve spojení s článkem 38 prováděcí vyhlášky k zákonu o ochraně osobních údajů).

(96)

Veřejné instituce mají povinnost provést posouzení dopadů při zpracování určitých souborů osobních údajů, které představují vyšší riziko možného narušení soukromí (čl. 33 odst. 1 zákona o ochraně osobních údajů). V souladu s článkem 35 prováděcí vyhlášky k zákonu o ochraně osobních údajů se jedná mimo jiné o soubory, které obsahují citlivé údaje týkající se nejméně 50 000 subjektů údajů, soubory, které budou spárovány s jinými soubory, a v důsledku toho budou obsahovat údaje týkající se nejméně alespoň 500 000 subjektů údajů, nebo soubory, které obsahují údaje o alespoň jednom milionu subjektů údajů. Výsledek posouzení dopadů provedeného veřejnou institucí musí být sdělen Komisi pro ochranu osobních údajů (čl. 33 odst. 1 zákona o ochraně osobních údajů), která může vydat stanovisko (čl. 33 odst. 3 zákona o ochraně osobních údajů).

(97)

A konečně článek 13 zákona o ochraně osobních údajů uvádí, že Komise pro ochranu osobních údajů stanoví zásady nezbytné k prosazování a podpoře „samoregulačních činností v oblasti ochrany údajů“ ze strany správců, mimo jiné prostřednictvím vzdělávání v oblasti ochrany údajů, prosazování a podpory organizací činných v oblasti ochrany údajů a prostřednictvím pomoci poskytované správcům při zavádění a provádění samoregulačních pravidel. Kromě toho komise zavede a usnadní systém známky ochrany soukromí v oblasti elektronických komunikací, tzv. ePRIVACY. V tomto ohledu článek 32-2 zákona o ochraně osobních údajů ve spojení s články 34-2 až 34-8 prováděcí vyhlášky k zákonu o ochraně osobních údajů nabízí možnost certifikovat, že systémy zpracování a ochrany osobních údajů správce splňují požadavky zákona o ochraně osobních údajů. Podle těchto pravidel může být certifikace (118) udělena (na dobu tří let), pokud správce splní certifikační kritéria stanovená Komisí pro ochranu osobních údajů, včetně zavedení řídicích, technických a fyzických záruk ochrany osobních údajů (119). Aby byla zachována účinnost certifikace, musí Komise pro ochranu osobních údajů prověřit systémy správce relevantní pro certifikaci alespoň jednou ročně, což může vést ke zrušení certifikace (čl. 32 odst. 4 zákona o ochraně osobních údajů ve spojení s článkem 34-5 prováděcí vyhlášky k zákonu o ochraně osobních údajů; tzv. „následná správa“).

(98)

Korejský rámec proto zavádí zásadu odpovědnosti způsobem, který zajišťuje úroveň ochrany v zásadě rovnocennou ochraně podle nařízení (EU) 2016/679, a to i stanovením různých mechanismů k zajištění a prokázání souladu se zákonem o ochraně osobních údajů.

(99)

Jak je popsáno v 13. bodě odůvodnění, zákon o používání a ochraně úvěrových informací stanoví zvláštní pravidla pro zpracování osobních úvěrových informací komerčními hospodářskými subjekty. Při zpracování osobních úvěrových informací proto musí komerční hospodářské subjekty dodržovat obecné požadavky zákona o ochraně osobních údajů, pokud zákon o používání a ochraně úvěrových informací neobsahuje konkrétnější pravidla. Bude tomu tak například v případě, kdy komerční hospodářské subjekty zpracovávají informace týkající se kreditní karty nebo bankovního účtu v rámci obchodní transakce s fyzickou osobou. Jako odvětvový právní předpis pro zpracování úvěrových informací (osobních i neosobních) zákon o používání a ochraně úvěrových informací nejen ukládá zvláštní záruky ochrany údajů (například pokud jde o transparentnost a bezpečnost), ale také obecněji upravuje konkrétní okolnosti, za nichž lze osobní úvěrové informace zpracovávat. To se odráží zejména v podrobných požadavcích na používání údajů, poskytování údajů třetí straně a uchovávání těchto údajů.

(100)

Stejně jako zákon o ochraně osobních údajů i zákon o používání a ochraně úvěrových informací odráží zásadu zákonnosti a proporcionality. Zaprvé čl. 15 odst. 1 zákona o používání a ochraně úvěrových informací obecně povoluje shromažďování osobních úvěrových informací pouze přiměřenými a korektními prostředky a v minimálním rozsahu nezbytném k naplnění stanoveného účelu v souladu s čl. 3 odst. 1 a 2 zákona o ochraně osobních údajů. Zadruhé zákon o používání a ochraně úvěrových informací konkrétně upravuje zákonnost zpracování osobních úvěrových informací tím, že omezuje jejich shromažďování, používání a poskytování třetí straně a obecně váže tyto činnosti zpracování na povinnost získat souhlas dotčené osoby.

(101)

Osobní úvěrové informace mohou být shromažďovány na základě jednoho z důvodů stanovených v zákoně o ochraně osobních údajů nebo konkrétních důvodů stanovených v zákoně o používání a ochraně úvěrových informací. Vzhledem k tomu, že článek 45 nařízení (EU) 2016/679 předpokládá předání osobních údajů správcem nebo zpracovatelem v Unii, ale nezahrnuje přímé shromažďování (například od fyzické osoby nebo z internetových stránek) správcem v Koreji, jsou pro toto rozhodnutí relevantní pouze souhlas a důvody podle zákona o ochraně osobních údajů. K těmto důvodům patří zejména situace, kdy je předání nezbytné pro plnění smlouvy s fyzickou osobou nebo pro oprávněné zájmy korejského správce (čl. 15 odst. 1 body 4 a 6 zákona o ochraně osobních údajů) (120).

(102)

Po jejich shromáždění mohou být osobní úvěrové informace použity 1) pro původní účel, pro který byly (přímo) poskytnuty fyzickou osobou (121); 2) pro účel slučitelný s původním účelem shromažďování (122); 3) k určení toho, zda navázat nebo udržet obchodní vztah požadovaný fyzickou osobou (123); 4) pro účely statistiky, výzkumu a archivace ve veřejném zájmu (124), jsou-li informace pseudonymizované (125); 5) pokud je získán další souhlas, nebo 6) v souladu se zákonem.

(103)

Pokud komerční hospodářský subjekt hodlá sdělit osobní úvěrové informace třetí straně, musí získat souhlas dané fyzické osoby (126) poté, co jí sdělí příjemce údajů, účel zpracování příjemcem, podrobnosti údajů, které mají být poskytnuty, dobu uchovávání příjemcem a právo odmítnout souhlas (čl. 32 odst. 1 zákona o používání a ochraně úvěrových informací a čl. 28 odst. 2 prováděcí vyhlášky k zákonu o používání a ochraně úvěrových informací) (127). Tento požadavek souhlasu se nepoužije v konkrétních situacích, jmenovitě pokud jsou osobní úvěrové informace zpřístupněny (128): 1) externímu subjektu zajišťujícímu zpracování pro účely tohoto externího zpracování (129); 2) třetí straně v případě převodu, rozdělení nebo fúze podniku; 3) pro účely statistiky, výzkumu a archivace ve veřejném zájmu, jsou-li informace pseudonymizované; 4) pro účel slučitelný s původním účelem shromažďování; 5) třetí straně, která používá informace k vymáhání dluhu fyzické osoby (130); 6) pro splnění soudního příkazu; 7) státnímu zástupci / příslušníkovi soudní policie v případě nouze, kdy je fyzická osoba ohrožena na životě nebo se očekává, že utrpí újmu na zdraví a není čas na vydání soudního příkazu (131); 8) příslušným daňovým orgánům pro účely dodržování daňových zákonů, nebo 9) v souladu s jinými zákony. V případě zpřístupnění na základě jednoho z těchto důvodů o tom musí být subjekt údajů předem informován (čl. 32 odst. 7 zákona o používání a ochraně úvěrových informací).

(104)

Zákon o používání a ochraně úvěrových informací také konkrétně upravuje dobu zpracování osobních úvěrových informací na základě jednoho z uvedených důvodů pro účely použití nebo poskytnutí třetí straně po skončení obchodního vztahu s fyzickou osobou (132). Mohou být uchovány pouze informace, které byly nezbytné k navázání nebo udržení tohoto vztahu, s výhradou dalších záruk (musí být uchovávány odděleně od úvěrových informací, které se týkají fyzických osob, s nimiž existuje obchodní vztah, musí být chráněny zvláštními bezpečnostními opatřeními a musí být přístupné pouze oprávněným fyzickým osobám) (133). Všechny ostatní údaje musí být vymazány (čl. 17-2 odst. 1 bod 2 prováděcí vyhlášky k zákonu o používání a ochraně úvěrových informací). Při určení toho, které údaje byly nezbytné pro obchodní vztah, je třeba vzít v úvahu různé faktory, včetně toho, zda by bylo možné navázat vztah bez těchto údajů a zda se údaje přímo týkají zboží nebo služeb poskytovaných dané fyzické osobě (čl. 17-2 odst. 2 prováděcí vyhlášky k zákonu o používání a ochraně úvěrových informací).

(105)

I v případech, kdy mohou být osobní úvěrové informace v zásadě uchovávány i po skončení obchodního vztahu, musí být vymazány do tří měsíců po dosažení dalšího účelu zpracování (134) nebo v každém případě po pěti letech (článek 20-2 zákona o používání a ochraně úvěrových informací). V omezeném počtu situací lze osobní úvěrové informace uchovávat déle než pět let, zejména je-li to nezbytné pro splnění zákonné povinnosti; je-li to nezbytné pro životně důležité zájmy týkající se života, zdraví nebo majetku jednotlivce; pro archivaci pseudonymizovaných údajů (které byly použity pro účely vědeckého výzkumu, statistiky nebo archivace ve veřejném zájmu), nebo pro účely pojištění (zejména pro platby pojistného nebo pro předcházení pojistným podvodům) (135). V těchto výjimečných případech se použijí zvláštní záruky (jako je oznámení fyzické osobě o dalším použití, oddělení uchovávaných informací od informací, které se týkají fyzických osob, s nimiž stále existuje obchodní vztah, omezení přístupových práv, viz čl. 17-2 odst. 1 a 2 prováděcí vyhlášky k zákonu o používání a ochraně úvěrových informací).

(106)

Zákon o používání a ochraně úvěrových informací rovněž dále specifikuje zásady přesnosti a kvality údajů, neboť požaduje, aby osobní úvěrové informace byly „registrovány, upravovány a spravovány“ s cílem udržovat jejich přesnost a aktuálnost (čl. 18 odst. 1 zákona o používání a ochraně úvěrových informací a čl. 15 odst. 3 prováděcí vyhlášky k zákonu o používání a ochraně úvěrových informací) (136). Při poskytování úvěrových informací určitým dalším subjektům (například ratingovým agenturám) se od komerčních hospodářských subjektů také výslovně požaduje, aby ověřily přesnost informací a zajistily tak, že příjemce zaregistruje a bude spravovat pouze přesné informace (čl. 15 odst. 1 prováděcí vyhlášky k zákonu o používání a ochraně úvěrových informací ve spojení s čl. 18 odst. 1 zákona o používání a ochraně úvěrových informací). Obecněji řečeno, zákon o používání a ochraně úvěrových informací vyžaduje, aby byly vedeny záznamy o shromažďování, používání, zpřístupňování třetím stranám a ničení osobních úvěrových informací (čl. 20 odst. 2 zákona o používání a ochraně úvěrových informací) (137).

(107)

Kromě toho zpracování osobních úvěrových informací podléhá zvláštním požadavkům v oblasti zabezpečení údajů. Zákon o používání a ochraně úvěrových informací zejména vyžaduje provedení technických, fyzických a organizačních opatření, která mají zabránit nezákonnému přístupu k počítačovým systémům, jakož i změně, zničení nebo jinému riziku pro zpracovávané údaje (například prostřednictvím kontroly přístupu, viz článek 19 zákona o používání a ochraně úvěrových informací a článek 16 prováděcí vyhlášky k zákonu o používání a ochraně úvěrových informací o prosazování). Kromě toho musí být při výměně osobních úvěrových informací s třetí stranou uzavřena dohoda, která stanoví konkrétní bezpečnostní opatření (čl. 19 odst. 2 zákona o používání a ochraně úvěrových informací). Pokud dojde k porušení zabezpečení osobních úvěrových informací, musí být přijata opatření k minimalizaci jakýchkoli škod a musí být neprodleně vyrozuměny dotčené fyzické osoby (čl. 39-4 odst. 1 a 2 zákona o používání a ochraně úvěrových informací). Kromě toho musí být Komise pro ochranu osobních údajů informována o oznámení poskytnutém fyzickým osobám a o opatřeních, která byla provedena (čl. 39-4 odst. 4 zákona o používání a ochraně úvěrových informací).

(108)

Zákon o používání a ochraně úvěrových informací rovněž ukládá specifické povinnosti týkající se transparentnosti při získávání souhlasu s používáním nebo poskytováním osobních úvěrových informací (čl. 32 odst. 4 a čl. 34-2 zákona o používání a ochraně úvěrových informací a článek 30-3 prováděcí vyhlášky k zákonu o používání a ochraně úvěrových informací) a obecněji před poskytnutím informací třetí straně (čl. 32 odst. 7 zákona o používání a ochraně úvěrových informací) (138). Kromě toho mají fyzické osoby právo na vyžádání obdržet informace o použití a poskytnutí jejich úvěrových informací třetím stranám během tří let předcházejících žádosti (včetně účelu a dat takového použití/poskytnutí) (139).

(109)

Podle zákona o používání a ochraně úvěrových informací mají fyzické osoby také právo na přístup ke svým osobním úvěrovým informacím (čl. 38 odst. 1 zákona o používání a ochraně úvěrových informací) a právo na opravu nepřesných údajů (čl. 38 odst. 2 a 3 zákona o používání a ochraně úvěrových informací) (140). Navíc kromě obecného práva na výmaz podle zákona o ochraně osobních údajů (viz 77. bod odůvodnění) zákon o používání a ochraně úvěrových informací stanoví zvláštní právo na výmaz osobních úvěrových informací, které jsou uchovávány po dobu uchovávání uvedenou ve 104. bodě odůvodnění, tj. po dobu pěti let (u osobních úvěrových informací, které byly nezbytné k navázání nebo udržení obchodního vztahu) nebo tří měsíců (u jiných druhů osobních úvěrových informací) (141). Žádost o výmaz může být výjimečně zamítnuta, pokud je další uchovávání nezbytné v situaci popsané ve 105. bodě odůvodnění. Pokud fyzická osoba požaduje výmaz, ale použije se jedna z výjimek, musí být u dotčených úvěrových informací uplatněny zvláštní záruky (článek 38-3 odst. 3 zákona o používání a ochraně úvěrových informací a článek 33-3 prováděcí vyhlášky k zákonu o používání a ochraně úvěrových informací). Informace musí být například uchovávány odděleně od ostatních informací, může k nim mít přístup pouze oprávněná osoba a musí podléhat zvláštním bezpečnostním opatřením.

(110)

Vedle práv uvedených ve 109. bodě odůvodnění zaručuje zákon o používání a ochraně úvěrových informací fyzickým osobám právo požádat správce, aby je přestal kontaktovat pro účely přímého marketingu (čl. 37 odst. 2 zákona) a právo na přenositelnost údajů. Pokud jde o posledně uvedené právo, zákon o používání a ochraně úvěrových informací umožňuje fyzickým osobám požádat, aby byly jejich osobní úvěrové informace předány jim samotným, nebo určitým třetím stranám (například finančním institucím a ratingovým společnostem). Osobní úvěrové informace musí být zpracovány a předány třetí straně ve formátu, který lze zpracovat zařízením pro zpracování informací (například počítačem).

(111)

Pokud jde o to, že zákon o používání a ochraně úvěrových informací obsahuje oproti zákonu o ochraně osobních údajů specifická pravidla, komise má za to, že i tato pravidla zajišťují úroveň ochrany v zásadě rovnocennou úrovni ochrany, kterou poskytuje nařízení (EU) 2016/679.

(112)

Aby se zajistilo, že odpovídající úroveň ochrany údajů je zaručena v praxi, měl by být zřízen nezávislý dozorový úřad oprávněný monitorovat a vymáhat dodržování pravidel v oblasti ochrany údajů. Při plnění svých povinností a výkonu své pravomoci by tento úřad měl jednat zcela nezávisle a nestranně.

(113)

V Korejské republice je orgánem pověřeným monitorovat a prosazovat zákon o ochraně osobních údajů Komise pro ochranu osobních údajů. Komise pro ochranu osobních údajů se skládá z předsedy, místopředsedy a sedmi komisařů. Předsedu a místopředsedu jmenuje prezident na návrh předsedy vlády. Dva komisaře jmenuje prezident na návrh předsedy a pět na návrh Národního shromáždění (z nich dva na návrh politické strany, k níž náleží prezident, a tři na návrh jiných politických stran (čl. 7-2 odst. 2 zákona o ochraně osobních údajů), což pomáhá odstranit stranickost v procesu jmenování) (142). Tento postup je v souladu s podmínkami jmenování členů úřadů pro ochranu údajů v Unii (čl. 53 odst. 1 nařízení (EU) 2016/679). Kromě toho se všichni komisaři musí zdržet jakýchkoli obchodních činností za účelem zisku a politických aktivit a nesmí zastávat funkce ve veřejné správě nebo v Národním shromáždění (článek 7-6 a čl. 7-7 odst. 1 bod 3 zákona o ochraně osobních údajů) (143). Na všechny komisaře se vztahují také zvláštní pravidla, která jim brání v účasti na rozhodování v případě možného střetu zájmů (článek 7-11 zákona o ochraně osobních údajů). Komisi pro ochranu osobních údajů je nápomocen sekretariát (články 7-13) a Komise může zřizovat podkomise (složené ze tří komisařů) pro řešení menších porušení a častých záležitostí (článek 7-12 zákona o ochraně osobních údajů).

(114)

Každý člen Komise pro ochranu osobních údajů je jmenován na tři roky a může být jednou opětovně jmenován (čl. 7-4 odst. 1 zákona o ochraně osobních údajů). Komisaři mohou být odvoláni pouze za zvláštních okolností, zejména pokud již nemohou vykonávat svou funkci z důvodu dlouhodobého mentálního nebo tělesného postižení, jednají v rozporu se zákonem nebo naplňují některý z důvodů nezpůsobilosti pro výkon funkce (144) (článek 7-5 zákona o ochraně osobních údajů). To jim poskytuje institucionální ochranu při výkonu jejich funkcí.

(115)

V obecnějším smyslu čl. 7 odst. 1 zákona o ochraně osobních údajů výslovně zaručuje nezávislost Komise pro ochranu osobních údajů a čl. 7-5 odst. 2 zákona o ochraně osobních údajů vyžaduje, aby komisaři vykonávali své povinnosti nezávisle, v souladu se zákonem a svým svědomím (145). Popsané institucionální a procesní záruky včetně těch, které se týkají jmenování a odvolání jejích členů, zajišťují, že Komise pro ochranu osobních údajů jedná zcela nezávisle, bez vnějšího vlivu a nepodléhá žádným pokynům. Komise pro ochranu osobních údajů dále jakožto ústřední správní úřad každoročně navrhuje svůj rozpočet (který před schválením Národním shromážděním přezkoumává ministerstvo financí v rámci celkového státního rozpočtu) a odpovídá za své personální řízení. V současnosti disponuje Komise pro ochranu osobních údajů rozpočtem přibližně 35 milionů EUR a má 154 zaměstnanců (včetně 40 specialistů na informační a komunikační technologie, 32 zaměstnanců zaměřených na vyšetřování a 40 právních odborníků).

(116)

Úkoly a pravomoci Komise pro ochranu osobních údajů stanoví zejména články 7-8 a 7-9, jakož i články 61 až 66 zákona o ochraně osobních údajů (146). Úkoly a pravomoci Komise pro ochranu osobních údajů zahrnují zejména poradenství v oblasti právních a správních předpisů souvisejících s ochranou údajů, tvorbu zásad a pokynů v oblasti ochrany údajů, vyšetřování případů porušení individuálních práv, vyřizování stížností a mediaci ve sporech, vymáhání dodržování zákona o ochraně osobních údajů, zajišťování vzdělávání a propagace v oblasti ochrany údajů a výměny a spolupráce s úřady pro ochranu údajů v třetích zemích (147).

(117)

Na základě článku 68 zákona o ochraně osobních údajů ve spojení s článkem 62 prováděcí vyhlášky k zákonu o ochraně osobních údajů byly některé úkoly Komise pro ochranu osobních údajů delegovány na Korejskou agenturu pro internet a bezpečnost, a to konkrétně: 1) vzdělávání a styk s veřejností; 2) školení specialistů a vývoj kritérií pro posuzování dopadů na soukromí; 3) vyřizování žádostí o určení tzv. instituce pro posuzování vlivů na soukromí; 4) vyřizování žádostí o nepřímý přístup k osobním údajům drženým orgány veřejné správy (čl. 35 odst. 2 zákona o ochraně osobních údajů) a 5) vyžadování materiálů a provádění kontrol týkajících se stížností obdržených prostřednictvím tzv. kontaktního centra pro ochranu soukromí. V rámci vyřizování stížností prostřednictvím kontaktního centra pro ochranu soukromí Korejská agentura pro internet a bezpečnost postoupí věc Komisi pro ochranu osobních údajů nebo státnímu zastupitelství, pokud zjistí, že došlo k porušení zákona. Možnost podat stížnost kontaktnímu centru pro ochranu soukromí nebrání fyzickým osobám podat stížnost přímo Komisi pro ochranu osobních údajů nebo se na Komisi pro ochranu osobních údajů obrátit, pokud se domnívají, že jejich stížnost nebyla Korejskou agenturou pro internet a bezpečnost uspokojivě vyřízena.

(118)

S cílem zajistit soulad se zákonem o ochraně osobních údajů zákonodárce udělil Komisi pro ochranu osobních údajů vyšetřovací i donucovací pravomoci sahající od doporučení až po správní pokuty. Tyto pravomoci dále doplňuje režim trestních sankcí.

(119)

Pokud jde o vyšetřovací pravomoci, existuje-li podezření na porušení zákona o ochraně osobních údajů nebo bylo takové porušení oznámeno nebo je-li to nezbytné pro ochranu práv subjektu údajů před porušením, může Komise pro ochranu osobních údajů provádět kontroly na místě a vyžádat si všechny relevantní materiály (například věci a dokumenty) od správců osobních údajů (článek 63 zákona o ochraně osobních údajů ve spojení s článkem 60 prováděcí vyhlášky k zákonu o ochraně osobních údajů) (148).

(120)

Pokud jde o prosazování, podle čl. 61 odst. 2 zákona o ochraně osobních údajů může Komise pro ochranu osobních údajů poskytovat správcům údajů poradenství, jak zlepšit úroveň ochrany osobních údajů u konkrétních činností zpracování. Správci údajů musí v dobré víře vynaložit úsilí na provedení takového poradenství a jsou povinni o výsledku informovat Komisi pro ochranu osobních údajů. Pokud navíc existují rozumné důvody se domnívat, že došlo k porušení zákona o ochraně osobních údajů a nečinnost pravděpodobně způsobí těžko napravitelnou škodu, může Komise pro ochranu osobních údajů uložit nápravná opatření (čl. 64 odst. 1 zákona o ochraně osobních údajů) (149). Oddíl 5 oznámení č. 2021-5 (příloha I) vysvětluje, a to se závazným účinkem, že tyto podmínky jsou splněny ve vztahu k porušení kteréhokoli ustanovení zákona o ochraně osobních údajů, které chrání práva fyzických osob na soukromí, pokud jde o osobní údaje (150). Opatření, která je Komise pro ochranu osobních údajů oprávněna přijmout, zahrnují příkaz k zastavení jednání způsobujícího porušení, dočasné pozastavení zpracování údajů nebo jakákoli jiná nezbytná opatření. Nedodržení nápravného opatření může vést k sankci v podobě pokuty až do výše 50 milionů wonů (čl. 75 odst. 2 bod 13 zákona o ochraně osobních údajů).

(121)

Pokud jde o některé orgány veřejné správy (např. Národní shromáždění, ústřední správní agentury, orgány místní správy a soudy), čl. 64 odst. 4 zákona o ochraně osobních údajů stanoví, že Komise pro ochranu osobních údajů může „doporučit“ jakákoli nápravná opatření uvedená ve 120. bodě odůvodnění a že tyto orgány jsou povinny se takovým doporučením řídit, nenastanou-li mimořádné okolnosti. Podle oddílu 5 oznámení č. 2021-5 se to týká mimořádných skutkových nebo právních okolností, kterých si Komise pro ochranu osobních údajů při vydávání doporučení nebyla vědoma. Dotčený orgán veřejné správy se může na takové mimořádné okolnosti odvolat pouze tehdy, pokud jasně prokáže, že k žádnému porušení nedošlo, a Komise pro ochranu osobních údajů rozhodne, že tomu tak skutečně nebylo. V opačném případě se orgán veřejné správy musí řídit doporučením Komise pro ochranu osobních údajů a „přijmout nápravná opatření, včetně okamžitého zastavení jednání a náhrady škody ve výjimečném případě, kdy byl nezákonný čin přesto spáchán“.

(122)

Komise pro ochranu osobních údajů může rovněž požádat jiné správní úřady, jimž odvětvové právní předpisy svěřují specifické pravomoci (např. ve zdravotnictví, vzdělávání), aby samy nebo společně s ní provedly vyšetřování (podezření na) porušení soukromí ze strany správců údajů působících v těchto odvětvích spadajících do jejich jurisdikce a uložily nápravná opatření (čl. 63 odst. 4 a 5 zákona o ochraně osobních údajů). V takovém případě Komise pro ochranu osobních údajů určí důvody, předmět a rozsah vyšetřování (151). Příslušný správní úřad pak musí Komisi pro ochranu osobních údajů předložit plán inspekce a oznámit jí výsledek této inspekce. Komise pro ochranu osobních údajů může doporučit přijetí specifického nápravného opatření a příslušný úřad se musí snažit o jeho zavedení. V každém případě taková žádost neomezuje pravomoc Komise pro ochranu osobních údajů provádět vlastní vyšetřování nebo ukládat sankce.

(123)

Kromě svých nápravných pravomocí může Komise pro ochranu osobních údajů ukládat správní pokuty ve výši 10 až 50 milionů wonů za porušení různých požadavků zákona o ochraně osobních údajů (článek 75 zákona o ochraně osobních údajů) (152). To mimo jiné zahrnuje nedodržení požadavků na zákonnost zpracování, nepřijetí nezbytných bezpečnostních opatření, neinformování subjektů údajů v případě porušení zabezpečení údajů, nedodržení požadavků na dílčí zpracování, nestanovení a nezveřejnění zásad ochrany soukromí, nejmenování pověřence pro ochranu soukromí nebo nečinnost v případě žádosti subjektu údajů v rámci výkonu jeho individuálních práv a rovněž určitá procesní porušení (odepření spolupráce při vyšetřování). V případě porušení více ustanovení zákona o ochraně osobních údajů jedním správcem může být uložena pokuta za každé porušení, přičemž se při stanovení výše pokuty zohlední počet dotčených fyzických osob.

(124)

Navíc, pokud existují přiměřené důvody pro podezření z porušení zákona o ochraně osobních údajů nebo jiných „právních předpisů o ochraně osobních údajů“, Komise pro ochranu osobních údajů může podat trestní oznámení u příslušného vyšetřovacího orgánu (např. státního zástupce, viz čl. 65 odst. 1 zákona o ochraně osobních údajů). Kromě toho může Komise pro ochranu osobních údajů správci doporučit, aby přijal disciplinární opatření vůči odpovědné osobě (včetně odpovědného vedoucího pracovníka, viz čl. 65 odst. 2 zákona o ochraně osobních údajů). Po obdržení takového doporučení je správce povinen je dodržet (153) a Komisi pro ochranu osobních údajů písemně oznámit výsledek (článek 65 zákona o ochraně osobních údajů ve spojení s článkem 58 prováděcí vyhlášky k zákonu o ochraně osobních údajů).

(125)

Pokud jde o doporučení podle článku 61, nápravná opatření podle článku 64, obvinění nebo doporučení k disciplinárnímu řízení podle článku 65 a ukládání správních pokut podle článku 75 zákona o ochraně osobních údajů, Komise pro ochranu osobních údajů může zveřejnit skutkový stav (tj. dané porušení, subjekt, který porušil zákon, a uložená opatření), a to uvedením na svých internetových stránkách nebo v obecném celostátním deníku (článek 66 zákona o ochraně osobních údajů ve spojení s čl. 61 odst. 1 prováděcí vyhlášky k zákonu o ochraně osobních údajů) (154).

(126)

A konečně dodržení požadavků na ochranu údajů podle zákona o ochraně osobních údajů (stejně jako jiných „právních předpisů o ochraně údajů“) podporuje i režim trestních sankcí. V tomto ohledu články 70 až 73 zákona o ochraně osobních údajů obsahují ustanovení o sankcích, která mohou vést k uložení pokuty (ve výši 20 až 100 milionů wonů) nebo k trestu odnětí svobody (s maximální sazbou od dvou do deseti let). Závažná porušení zahrnují mimo jiné použití osobních údajů nebo poskytnutí těchto údajů třetí straně bez potřebného souhlasu, zpracování citlivých informací v rozporu se zákazem podle čl. 23 odst. 1 zákona o ochraně osobních údajů, nedodržení platných bezpečnostních požadavků, které vede ke ztrátě, odcizení, vyzrazení, padělání, pozměnění nebo poškození osobních údajů, nepřijetí nezbytných opatření k opravě, výmazu nebo pozastavení zpracování osobních údajů nebo nezákonné předání osobních údajů do třetí země (155). Podle článku 74 zákona o ochraně osobních údajů nese v každém z těchto případů odpovědnost zaměstnanec, zástupce nebo představitel správce a rovněž samotný správce (156).

(127)

Kromě trestních sankcí stanovených v zákoně o ochraně osobních údajů může zneužití osobních údajů představovat i trestný čin podle trestního zákona. Jedná se zejména o porušování listovního tajemství a narušení utajení dokumentů nebo elektronických záznamů (článek 316), vyzrazení informací podléhajících služebnímu tajemství (článek 317), podvody s využitím počítačů (článek 347-2) a také zpronevěru a porušení důvěry (článek 355).

(128)

Korejský systém proto kombinuje různé druhy sankcí od nápravných opatření a správních pokut až po trestní sankce, které budou mít pravděpodobně zvláště silný odrazující účinek vůči správcům a osobám nakládajícím s údaji. Komise pro ochranu osobních údajů začala využívat svých pravomocí ihned po svém vzniku v roce 2020. Výroční zpráva Komise pro ochranu osobních údajů za rok 2021 ukazuje, že Komise pro ochranu osobních údajů již vydala řadu doporučení, správních pokut a nápravných příkazů, které se týkaly jak veřejného sektoru (34 veřejných orgánů), tak soukromých subjektů (přibližně 140 společností) (157). Mezi významné případy patří například uložení pokuty jedné společnosti ve výši 6,7 miliardy wonů v prosinci 2020 za porušení různých ustanovení zákona o ochraně osobních údajů (včetně bezpečnostních požadavků, požadavků na souhlas s poskytováním třetí straně a transparentnost) (158) a uložení pokuty v dubnu 2021 ve výši 103,3 milionu wonů společnosti zabývající se technologií umělé inteligence, mimo jiné za porušení pravidel zákonnosti zpracování, zejména souhlasu, a zpracování pseudonymizovaných údajů (159). V srpnu 2021 dokončila Komise pro ochranu osobních údajů další vyšetřování činnosti tří společností, jež vyústila v nápravná opatření a uložení pokut ve výši až 6,47 miliardy wonů (mimo jiné za neinformování fyzických osob o zpřístupnění jejich osobních údajů třetím stranám, včetně předání údajů do třetích zemí) (160). Již před nedávnou reformou měla Jižní Korea dobré výsledky v oblasti vymáhání práva, přičemž odpovědné orgány využívaly celou škálu donucovacích opatření, včetně správních pokut, nápravných opatření a „uvedení jména a sdílení“, vůči různým správcům, včetně poskytovatelů komunikačních služeb (Korejská komise pro komunikace), a také komerčním hospodářským subjektům, finančním institucím, veřejným orgánům, univerzitám a nemocnicím (Ministerstvo vnitra a bezpečnosti) (161). Na tomto základě dospěla komise k závěru, že korejský systém zajišťuje účinné prosazování pravidel ochrany údajů v praxi, a tím zaručuje úroveň ochrany v zásadě rovnocennou úrovni podle nařízení (EU) 2016/679.

(129)

Aby se zajistila odpovídající ochrana a zejména vymáhání individuálních práv, měla by být subjektu údajů poskytnuta účinná správní a soudní ochrana, včetně náhrady škody.

(130)

Korejský systém poskytuje fyzickým osobám různé mechanismy k účinnému vymáhání jejich práv a získání (soudní) ochrany.

(131)

Jako první krok se mohou fyzické osoby, které mají za to, že jejich práva nebo zájmy na ochranu údajů byly porušeny, obrátit na příslušného správce. Podle čl. 30 odst. 1 bodu 5 zákona o ochraně osobních údajů musí zásady ochrany osobních údajů správce mimo jiné obsahovat informace o právech subjektů údajů a o způsobech jejich výkonu. Kromě toho musí uvádět kontaktní informace (např. jméno a telefonní číslo pověřence pro ochranu soukromí nebo oddělení odpovědného za ochranu údajů), aby bylo možné podávat stížnosti. V rámci organizace správce existuje pověřenec pro ochranu osobních údajů, který se zabývá vyřizováním stížností, přijímáním nápravných opatření v případě porušení soukromí a řešením odškodnění (čl. 31 odst. 2 bod 3 a odst. 4 zákona o ochraně osobních údajů). Posledně uvedené je důležité například v případě porušení zabezpečení údajů, neboť správce musí mimo jiné subjektu údajů sdělit kontaktní místo (místa) pro nahlášení jakékoli škody (čl. 34 odst. 1 bod 5 zákona o ochraně osobních údajů).

(132)

Zákon o ochraně osobních údajů navíc nabízí několik možností opravných prostředků fyzických osob vůči správcům. Zaprvé může každá fyzická osoba, jež má za to, že správce porušil její práva nebo zájmy v oblasti ochrany údajů, toto porušení nahlásit přímo Komisi pro ochranu osobních údajů a/nebo jedné ze specializovaných institucí jmenovaných Komisí pro ochranu osobních údajů k přijímání a vyřizování stížností; to zahrnuje Korejskou agenturu pro internet a bezpečnost, která za tímto účelem provozuje kontaktní centrum pro ochranu osobních údajů (tzv. „kontaktní centrum pro ochranu soukromí“) (čl. 62 odst. 1 a 2 zákona o ochraně osobních údajů ve spojení s článkem 59 prováděcí vyhlášky k zákonu o ochraně osobních údajů). Kontaktní centrum pro ochranu soukromí vyšetřuje a zjišťuje případy porušení předpisů, poskytuje poradenství v souvislosti se zpracováním osobních údajů (čl. 62 odst. 3 zákona o ochraně osobních údajů) a může porušení oznámit Komisi pro ochranu osobních údajů (ale samo nemůže přijmout donucovací opatření). Kontaktní centrum pro ochranu soukromí dostává velké množství stížností/žádostí (např. 177 457 v roce 2020, 159 255 v roce 2019 a 164 497 v roce 2018) (162). Podle informací získaných od Komise pro ochranu osobních údajů obdržela jen tato komise v období od srpna 2020 do srpna 2021 asi 1 000 stížností. V reakci na stížnost může Komise pro ochranu osobních údajů vydat doporučení ke zlepšení, podniknout nápravná opatření, vydat „obvinění“ u příslušného vyšetřovacího orgánu (včetně státního zástupce) nebo doporučit disciplinární opatření (viz články 61, 64 a 65 zákona o ochraně osobních údajů). Rozhodnutí Komise pro ochranu osobních údajů (např. odmítnutí zabývat se stížností nebo zamítnutí stížnosti z věcných důvodů) lze napadnout podle zákona o správním řízení (163).

(133)

Zadruhé podle článků 40 až 50 zákona o ochraně osobních údajů ve spojení s články 48-14 až 57 prováděcí vyhlášky k zákonu o ochraně osobních údajů mohou subjekty údajů vznášet nároky u tzv. „mediačního výboru“, který se skládá ze zástupců jmenovaných předsedou Komise pro ochranu osobních údajů z řad členů vyšších výkonných pracovníků komise a jednotlivců jmenovaných na základě jejich praxe v oblasti ochrany údajů z určitých způsobilých skupin (viz čl. 40 odst. 2, 3 a 7 zákona o ochraně osobních údajů, článek 48-14 prováděcí vyhlášky k zákonu o ochraně osobních údajů) (164). Možnost využít mediace u mediačního výboru poskytuje alternativní cestu, jak dosáhnout nápravy, ale neomezuje právo fyzické osoby obrátit se místo toho na Komisi pro ochranu osobních údajů nebo na soudy. Za účelem prošetření případu může výbor požádat strany sporu, aby poskytly potřebné materiály, a/nebo vyzvat příslušné svědky, aby se k výboru dostavili (článek 45 zákona o ochraně osobních údajů). Po vyjasnění věci výbor vypracuje návrh mediačního nálezu (165), na kterém se musí shodnout většina jeho členů. Návrh mediačního nálezu může zahrnovat zastavení porušení, nezbytná nápravná opatření (včetně navrácení do původního stavu nebo odškodnění) a rovněž jakákoli opatření nezbytná k zabránění opakování téhož nebo podobného porušení (čl. 47 odst. 1 zákona o ochraně osobních údajů). Pokud obě strany s mediačním nálezem souhlasí, bude mít stejný účinek jako soudní smír (čl. 47 odst. 5 zákona o ochraně osobních údajů). Žádné ze stran není během mediace bráněno v podání návrhu na zahájení soudního řízení a v takovém případě bude mediace pozastavena (viz čl. 48 odst. 2 zákona o ochraně osobních údajů) (166). Roční údaje Komise pro ochranu osobních údajů ukazují, že fyzické osoby pravidelně využívají řízení u mediačního výboru, jež často vede k úspěšnému výsledku. Například v roce 2020 se výbor zabýval 126 případy, z nichž 89 bylo vyřešeno před výborem (v 77 případech strany dosáhly dohody již před skončením mediačního řízení a ve 12 případech strany mediační návrh přijaly), takže míra mediace činila 70,6 % (167). Podobně se výbor v roce 2019 zabýval 139 případy, z nichž 92 bylo vyřešeno, takže míra mediace činila 62,2 %.

(134)

Pokud navíc újmu utrpí alespoň 50 fyzických osob nebo jsou porušena jejich práva na ochranu údajů stejným nebo podobným způsobem v důsledku stejného (druhu) incidentu (168), může subjekt údajů nebo organizace na ochranu údajů podat návrh na kolektivní mediaci sporu jménem takové skupiny; další subjekty údajů mohou požádat o připojení se k takové mediaci, kterou mediační výbor veřejně oznámí (čl. 49 odst. 1 až 3 zákona o ochraně osobních údajů ve spojení s články 52 až 54 prováděcí vyhlášky k zákonu o ochraně osobních údajů) (169). Mediační výbor může jako zastupující stranu vybrat alespoň jednu osobu, která nejlépe zastupuje společný zájem (čl. 49 odst. 4 zákona o ochraně osobních údajů). Pokud správce odmítne mediaci kolektivního sporu nebo neakceptuje mediační nález, mohou některé organizace (170) podat hromadnou žalobu ve věci porušení práv (články 51 až 57 zákona o ochraně osobních údajů).

(135)

Zatřetí, v případě porušení soukromí způsobujícího „škodu“ fyzické osobě má subjekt údajů právo na přiměřenou nápravu v „rychlém a spravedlivém řízení“ (čl. 4 bod 5 a článek 39 zákona o ochraně osobních údajů) (171). Správce se může vyvinit tím, že prokáže neexistenci zavinění („nezákonného úmyslu“ nebo nedbalosti). Utrpí-li subjekt údajů škodu v důsledku ztráty, odcizení, vyzrazení, padělání, pozměnění nebo poškození jeho osobních údajů, může soud stanovit odškodnění až do výše trojnásobku skutečné škody, přičemž zohlední řadu faktorů (čl. 39 odst. 3 a 4 zákona o ochraně osobních údajů). Alternativně může subjekt údajů požadovat „přiměřenou částku“ odškodnění nepřesahující 3 miliony wonů (článek 39-2 odst. 1 a 2 zákona o ochraně osobních údajů). Náhradu škody lze navíc v souladu s občanským zákoníkem požadovat od každé osoby, „která jiné osobě protiprávním jednáním úmyslně nebo z nedbalosti způsobí škodu nebo újmu na zdraví“ (172), nebo od osoby, „která způsobila osobní újmu, újmu na svobodě nebo pověsti jiné osoby nebo jiné osobě způsobila duševní útrapy“ (173). Takovou odpovědnost za delikt vyplývající z porušení pravidel ochrany údajů potvrdil Nejvyšší soud (174). Byla-li škoda způsobena nezákonným postupem orgánu veřejné správy, lze dále uplatnit nárok na odškodnění podle zákona o náhradě škody státem (175). Žalobu podle zákona o náhradě škody státem lze podat u specializované „rady pro náhradu škody“ nebo přímo u korejských soudů (176). Odpovědnost státu se vztahuje i na nemateriální újmu (např. duševní utrpení) (177). Je-li obětí cizí státní příslušník, použije se zákon o náhradě škody státem, pokud příslušná země původu zajišťuje rovnocenným způsobem náhradu škody státem pro korejské státní příslušníky (178).

(136)

Začtvrté Nejvyšší soud uznal, že fyzické osoby mají právo domáhat se soudního zákazu při porušení jejich práv podle ústavy, včetně práva na ochranu osobních údajů (179). V této souvislosti může soud například nařídit správcům, aby pozastavili nebo ukončili jakoukoli nezákonnou činnost. Práva na ochranu údajů včetně práv chráněných zákona o ochraně osobních údajů lze navíc vymáhat občanskoprávními žalobami. Tuto horizontální aplikaci ústavní ochrany soukromí na vztahy mezi soukromými osobami uznal i Nejvyšší soud (180).

(137)

A konečně mohou fyzické osoby podat trestní oznámení podle zákona o trestním řízení (článku 223) státnímu zástupci nebo příslušníkovi soudní policie (181).

(138)

Korejský systém tedy nabízí různé druhy opravných prostředků od snadno dostupných nízkonákladových možností (například kontaktováním kontaktního centra pro ochranu soukromí nebo prostřednictvím (kolektivní) mediace) až po prostředky správní (u Komise pro ochranu osobních údajů) a soudní, včetně možnosti získat náhradu škody.

(139)

Komise také posuzovala omezení a záruky, včetně dozoru a jednotlivých ochranných mechanismů dostupných v korejském právu, pokud jde o shromažďování a následné používání osobních údajů předávaných správcům v Koreji ze strany korejských orgánů veřejné správy pro účely veřejného zájmu, zejména pro účely prosazování trestního práva a národní bezpečnosti (dále jen „přístup vlády“). V tomto ohledu korejská vláda předložila Komisi oficiální prohlášení, ujištění a závazky podepsané na nejvyšší úrovni ministerstev a orgánů, které jsou obsaženy v příloze II tohoto rozhodnutí.

(140)

Při posuzování toho, zda podmínky přístupu vlády k údajům předávaným do Koreje podle tohoto rozhodnutí splňují test „zásadní rovnocennosti“ podle čl. 45 odst. 1 nařízení (EU) 2016/679, jak je vykládán Soudním dvorem Evropské unie ve světle Listiny základních práv, Komise zohlednila zejména následující kritéria.

(141)

Zaprvé musí být jakékoli omezení práva na ochranu osobních údajů stanoveno zákonem a samotný právní základ, který umožňuje zásah do takového práva, musí vymezovat rozsah omezení výkonu dotčeného práva (182).

(142)

Zadruhé, za účelem splnění požadavku proporcionality, podle kterého musí být výjimky z ochrany osobních údajů a její omezení činěny v mezích toho, co je v demokratické společnosti nezbytně nutné pro splnění konkrétních cílů obecného zájmu rovnocenných cílům uznaným Unií, musí předmětná právní úprava třetí země, která daný zásah povoluje, stanovit jasná a přesná pravidla pro rozsah a použití předmětného opatření a stanovit minimální požadavky, tak aby osoby, jejichž údaje byly předány, měly dostatečné záruky umožňující účinně chránit své osobní údaje proti riziku zneužití (183). Právní úprava musí zejména vymezit okolnosti a podmínky, za nichž může být přijato opatření týkající se zpracování takových údajů (184), jakož i podřizovat plnění takových požadavků nezávislému dozoru (185).

(143)

Zatřetí musí být tato právní úprava podle vnitrostátního práva právně závazná. Týká se to především orgánů dotčené třetí země, tyto právní požadavky však musí být vůči těmto orgánům rovněž vymahatelné u soudu (186). Subjekty údajů musí mít zejména možnost podat žalobu k nezávislému a nestrannému soudu pro získání přístupu ke svým osobním údajům nebo pro dosažení opravy nebo výmazu takovýchto údajů (187).

(144)

Omezení a záruky týkající se shromažďování a následného používání osobních údajů korejskými orgány veřejné správy vyplývají ze zastřešujícího ústavního rámce, zvláštních právních předpisů, které upravují jejich činnost v oblasti vymáhání trestního práva a národní bezpečnosti, jakož i z pravidel, která se konkrétně vztahují na zpracování osobních údajů.

(145)

Zaprvé se přístup korejských orgánů veřejné správy k osobním údajům řídí obecnými zásadami zákonnosti, nezbytnosti a proporcionality, které vyplývají z korejské ústavy (188). Konkrétně základní práva a svobody (včetně práva na soukromí a práva na důvěrnost korespondence) (189) mohou být omezeny pouze zákonem, a pouze pokud je to nezbytné pro národní bezpečnost nebo pro zachování práva a pořádku v zájmu veřejného blaha. Taková omezení se nesmí dotknout podstaty dotčeného práva nebo svobody. Pokud jde konkrétně o prohlídky a zajištění věcí, ústava stanoví, že se mohou uskutečnit pouze tak, jak stanoví zákon, na základě příkazu vydaného soudcem a při dodržení řádného postupu (190). A konečně se fyzické osoby mohou dovolávat svých práv a svobod u Ústavního soudu, mají-li za to, že tato práva a svobody poškodily orgány veřejné správy při výkonu své pravomoci (191). Stejně tak fyzické osoby, které utrpěly škodu v důsledku protiprávního jednání státního úředníka při plnění jeho úředních povinností, mají právo požadovat spravedlivé odškodnění (192).

(146)

Zadruhé, jak je podrobněji popsáno v oddílech 3.2.1 a 3.3.1, obecné zásady uvedené ve 145. bodě odůvodnění se odrážejí také ve zvláštních právních předpisech, které upravují pravomoci donucovacích orgánů a vnitrostátních bezpečnostních orgánů. Například pokud jde o vyšetřování trestné činnosti, zákon o trestním řízení stanoví, že povinná opatření mohou být přijata pouze tehdy, je-li to výslovně stanoveno v zákoně o trestním řízení, a to v nejmenším rozsahu nezbytném k dosažení účelu vyšetřování (193). Podobně článek 3 zákona o ochraně soukromí v komunikacích zakazuje přístup k soukromé komunikaci s výjimkou přístupu na základě právních předpisů a s výhradou omezení a záruk v nich stanovených. V oblasti národní bezpečnosti zákon o Národní zpravodajské službě stanoví, že jakýkoli přístup ke komunikaci nebo informacím o poloze musí být v souladu se zákonem a na zneužití pravomoci a porušení zákona se vztahují trestní sankce (194).

(147)

Zatřetí zpracování osobních údajů orgány veřejné správy, a to i pro účely prosazování práva a národní bezpečnosti, podléhá pravidlům ochrany údajů podle zákona o ochraně osobních údajů (195). Obecně čl. 5 odst. 1 zákona o ochraně osobních údajů vyžaduje, aby orgány veřejné správy vypracovaly zásady, které mají zabránit „zneužívání a neoprávněnému užívání osobních údajů, indiskrétnímu dohledu a sledování atd. a posílit důstojnost lidských bytostí a soukromí jednotlivců“. Kromě toho musí každý správce zpracovávat osobní údaje způsobem, který minimalizuje možnost narušení soukromí subjektu údajů (čl. 3 odst. 6 zákona o ochraně osobních údajů).

(148)

Všechny požadavky zákona o ochraně osobních údajů, podrobně popsané v oddíle 2, se vztahují na zpracování osobních údajů pro účely prosazování práva. Zahrnuje to základní zásady (jako je zákonnost a korektnost, účelové omezení, přesnost, minimalizace údajů, omezení uložení, zabezpečení a transparentnost), povinnosti (například pokud jde o oznámení porušení zabezpečení údajů a citlivé údaje) a práva (na přístup, opravu, výmaz a pozastavení zpracování).

(149)

Zatímco zpracování osobních údajů pro účely národní bezpečnosti podléhá omezenějšímu souboru ustanovení podle zákona o ochraně osobních údajů, platí základní zásady, jakož i pravidla pro dozor, vymáhání a ochranu (196). Přesněji řečeno, články 3 a 4 zákona o ochraně osobních údajů stanoví obecné zásady ochrany údajů (zákonnost a korektnost, účelové omezení, přesnost, minimalizace údajů, zabezpečení a transparentnost) a individuální práva (právo být informován, právo na přístup a práva na opravu, výmaz a pozastavení zpracování) (197). Ustanovení čl. 4 odst. 5 zákona o ochraně osobních údajů dále dává fyzickým osobám právo na přiměřenou náhradu jakékoli škody vzniklé v důsledku zpracování takových osobních údajů, a to prostřednictvím rychlého a spravedlivého řízení. To doplňují specifičtější povinnosti zpracovávat osobní údaje pouze v minimálním rozsahu nezbytném k dosažení zamýšleného účelu a po minimální dobu, zavést nezbytná opatření k zajištění bezpečné správy údajů a vhodného zpracování (jako jsou technické, řídicí a fyzické záruky), jakož i zavést opatření pro vhodné vyřizování jednotlivých stížností (198). A konečně se na zpracování osobních údajů pro účely národní bezpečnosti vztahují i obecné zásady zákonnosti, nezbytnosti a proporcionality podle korejské ústavy (viz 145. bod odůvodnění).

(150)

Těchto obecných omezení a záruk se mohou fyzické osoby pro dosažení ochrany dovolávat u nezávislých dozorových subjektů (např. Komise pro ochranu osobních údajů a/nebo Národní komise pro lidská práva, viz 177. a 178. bod odůvodnění) a soudů (viz 179. až 183. bod odůvodnění).

(151)

Právo Korejské republiky ukládá řadu omezení přístupu k osobním údajům a použití těchto údajů pro účely prosazování trestního práva a stanoví dozorové a ochranné mechanismy, které jsou v souladu s požadavky uvedenými ve 141. až 143. bodě odůvodnění tohoto rozhodnutí. Podmínky, za kterých lze takový přístup uskutečnit, a záruky týkající se využívání těchto pravomocí jsou podrobně posouzeny v následujících oddílech.

(152)

Korejské orgány mohou shromažďovat osobní údaje zpracovávané korejskými správci, které byly předány z Unie podle tohoto rozhodnutí (199), pro účely vymáhání trestního práva v souvislosti s prohlídkou nebo zajištěním věci (na základě zákona o trestním řízení), prostřednictvím přístupu k informacím o komunikaci (na základě zákona o ochraně důvěrnosti komunikací) nebo získáváním údajů účastníků prostřednictvím žádostí o dobrovolné zpřístupnění (na základě zákona o telekomunikačních službách) (200).

(153)

Zákon o trestním řízení stanoví, že k prohlídce nebo zajištění věci může dojít pouze v případě, že je osoba podezřelá z trestného činu, je to nezbytné pro vyšetřování a je prokázáno spojení mezi vyšetřováním a osobou, která má být prohledána, nebo věcí, která má být zkontrolována nebo zajištěna (201). Kromě toho lze prohlídku nebo zajištění věci (jako každé povinné opatření) povolit pouze v nejmenším nezbytném rozsahu (202). Pokud je předmětem prohlídky počítačový disk nebo jiné médium pro ukládání dat, budou v zásadě zajištěna pouze nezbytná samotná data (zkopírovaná nebo vytištěná), nikoli celé médium (203). Médium lze zajistit pouze za předpokladu, že je považováno za v podstatě nemožné vytisknout nebo zkopírovat požadovaná data samostatně, nebo pokud je považováno za v podstatě neproveditelné naplnit účel prohlídky jinak (204). Zákon o trestním řízení proto stanoví jasná a přesná pravidla pro oblasti působnosti a použití těchto opatření, čímž zajišťuje, že zásah do práv jednotlivců v případě prohlídky nebo zajištění věci bude omezen na to, co je nezbytné pro konkrétní vyšetřování trestného činu a přiměřené sledovanému účelu.

(154)

Pokud jde o procesní záruky, zákon o trestním řízení vyžaduje, aby byl od soudu získán soudní příkaz k provedení prohlídky nebo zajištění věci (205). Prohlídka nebo zajištění věci bez soudního příkazu jsou přípustné jen výjimečně, a to v naléhavých případech (206), in loco v okamžiku zatčení nebo zadržení osoby podezřelé z trestného činu (207) nebo v případě, že osoba podezřelá z trestného činu nebo se třetí osoba věci zbavila, nebo byla věc vydána dobrovolně (pokud jde o osobní údaje, věci se zbavila nebo věc vydala samotná dotčená fyzická osoba) (208). Nezákonné prohlídky a zajištění věci podléhají trestním sankcím (209) a jakýkoli důkaz získaný v rozporu se zákonem o trestním řízení je považován za nepřípustný (210). A konečně musí být dotčené osoby o prohlídce nebo zajištění věci (včetně zajištění jejich údajů) vždy bezodkladně informovány (211), což následně usnadní výkon hmotných práv fyzické osoby a práva na nápravu (viz zejména možnost vznést námitku proti výkonu příkazu k zajištění věci, viz 180. bod odůvodnění).

(155)

Podle zákona o ochraně důvěrnosti komunikací mohou korejské orgány činné v trestním řízení přijmout dva druhy opatření (212): na jedné straně shromažďování „údajů potvrzujících komunikaci“ (213), které zahrnují datum telekomunikace, čas zahájení a ukončení, počet odchozích a příchozích hovorů, stejně jako číslo druhého účastníka, četnost použití, protokoly o používání telekomunikačních služeb a informace o poloze (např. z přenosových věží, které přijímají signály); a na druhé straně „opatření omezující komunikaci“, která zahrnují jak shromažďování obsahu klasické pošty, tak přímé odposlechy obsahu telekomunikace (214).

(156)

K údajům potvrzujícím komunikaci lze získat přístup pouze v případě, že je to nezbytné k provedení trestního vyšetřování nebo k výkonu trestu (215), a to na základě soudního příkazu (216). V tomto ohledu zákon o ochraně důvěrnosti komunikací vyžaduje, aby byly podrobné informace uvedeny jak v návrhu na vydání příkazu (např. o důvodech návrhu, vztahu k cíli/účastníkovi a nezbytných údajích), tak v soudním příkazu samotném (např. o účelu, cíli a rozsahu opatření) (217). Shromažďování údajů bez soudního příkazu se může uskutečnit pouze v případě, že naléhavé důvody znemožňují získat souhlas soudu, a v takovém případě musí být soudní příkaz získán a sdělen poskytovateli telekomunikačních služeb ihned po vyžádání údajů (218). Pokud soud odmítne udělit následné povolení, musí být shromážděné údaje zničeny (219).

(157)

Pokud jde o další záruky týkající se shromažďování údajů potvrzujících komunikaci, zákon o ochraně důvěrnosti komunikací ukládá zvláštní požadavky na vedení záznamů a transparentnost (220). Orgány činné v trestním řízení (221) a poskytovatelé telekomunikačních služeb (222) musí zejména vést záznamy o návrzích a zpřístupněních. Kromě toho musí orgány činné v trestním řízení zásadně informovat fyzické osoby o tom, že byly shromážděny jejich údaje potvrzující komunikaci (223). Toto oznámení lze odložit pouze ve výjimečných případech na základě souhlasu ředitele příslušného okresního úřadu státního zastupitelství (224). Tento souhlas lze vydat pouze v případě, že by oznámení mohlo 1) ohrozit národní bezpečnost, veřejnou bezpečnost a pořádek; 2) způsobit smrt nebo újmu na zdraví; 3) bránit spravedlivému soudnímu řízení (např. vést ke zničení důkazů nebo k vyhrožování svědkům) nebo 4) hanobit podezřelého, oběti nebo jiné osoby související s případem nebo narušit jejich soukromí. V těchto případech musí být oznámení podáno do 30 dnů, jakmile pominou důvody odkladu (225). Po oznámení mají fyzické osoby právo získat informace o důvodech shromažďování jejich údajů (226).

(158)

Přísnější pravidla se vztahují na opatření omezující komunikaci, která lze použít pouze za předpokladu, že existuje závažný důvod k podezření, že jsou plánovány, páchány nebo spáchány některé závažné trestné činy konkrétně vyjmenované v zákoně o ochraně důvěrnosti komunikací (227). Kromě toho lze opatření omezující komunikaci přijmout pouze jako poslední možnost a pouze v případě, že je obtížné jinak zabránit spáchání trestného činu, zatknout pachatele trestné činnosti nebo shromáždit důkazy (228). Jakmile již tato opatření nejsou nezbytná, musí být okamžitě ukončena, aby se zajistilo, že narušení důvěrnosti komunikací bude co nejmenší (229). Údaje, které byly získány nezákonně za pomoci opatření omezujících komunikaci, nebudou uznány jako důkaz v soudním nebo disciplinárním řízení (230).

(159)

Pokud jde o procesní záruky, zákon o ochraně důvěrnosti komunikací vyžaduje, aby byl získán soudní příkaz k provedení opatření omezujících komunikaci (231). Zákon o ochraně důvěrnosti komunikací opět vyžaduje, aby návrh na vydání soudního příkazu a samotný soudní příkaz obsahovaly podrobné údaje (232), včetně odůvodnění návrhu, a rovněž komunikaci, jež má být shromážděna (která musí být komunikací vyšetřované podezřelé osoby) (233). Tato opatření mohou být bez soudního příkazu přijata pouze v případě bezprostřední hrozby organizované trestné činnosti nebo jiného závažného trestného činu, který může přímo způsobit smrt nebo vážnou újmu na zdraví, pokud nastane mimořádná situace, která znemožní uplatnit celý řádný postup (234). V takovém případě však musí být návrh na vydání soudního příkazu podán ihned po přijetí opatření (235). Opatření omezující komunikaci lze provádět nejvýše po dobu dvou měsíců (236) a lze je prodloužit pouze se souhlasem soudu, pokud jsou nadále splněny podmínky pro provedení opatření (237). Prodloužená lhůta nesmí celkově překročit jeden rok nebo tři roky v případě některých zvláště závažných trestných činů (např. trestných činů souvisejících s povstáním, zahraniční agresí, národní bezpečností atd.) (238).

(160)

Stejně jako v případě shromažďování údajů potvrzujících komunikaci zákon o ochraně důvěrnosti komunikací vyžaduje, aby poskytovatelé telekomunikačních služeb (239) a donucovací orgány (240) vedli záznamy o provedení opatření omezujících komunikaci, a stanoví povinnost informování dotčené fyzické osoby, které lze výjimečně v případě potřeby odložit z důležitých důvodů veřejného zájmu (241).

(161)

A konečně nedodržení více omezení a záruk podle zákona o ochraně důvěrnosti komunikací (včetně například povinností získat soudní příkaz, vést záznamy a informovat fyzickou osobu), a to s ohledem na shromažďování údajů potvrzujících komunikaci i na použití opatření omezujících komunikaci, podléhá trestním sankcím (242).

(162)

Pravomoci orgánů činných v trestním řízení shromažďovat komunikační údaje na základě zákona o ochraně důvěrnosti komunikací (obsah komunikace i údaje potvrzující komunikaci) jsou proto vymezeny jasnými a přesnými pravidly a vztahuje se na ně řada záruk. Tyto záruky zejména zaručují dozor nad prováděním takových opatření, a to jak ex ante (prostřednictvím předchozího souhlasu soudu), tak ex post (prostřednictvím vedení záznamů a požadavků na podávání zpráv), a usnadňují fyzickým osobám přístup k účinným opravným prostředkům (neboť zajišťují, aby byly fyzické osoby informovány o shromažďování jejich údajů).

(163)

Kromě toho, že se korejské donucovací orgány opírají o povinná opatření popsaná ve 153. až 162. bodě odůvodnění, mohou požádat poskytovatele telekomunikačních služeb o dobrovolné zpřístupnění „komunikačních údajů“ na podporu trestního řízení, vyšetřování nebo výkonu trestu (čl. 83 odst. 3 zákona o telekomunikačních službách). Tato možnost se týká pouze omezených datových souborů, tzn. jméno, registrační číslo rezidenta, adresa a telefonní číslo uživatelů, data, kterými se uživatelé přihlásí k odběru služby nebo jej ukončí, a identifikační kódy uživatelů (tj. kódy používané k identifikaci oprávněného uživatele počítačových systémů nebo komunikačních sítí) (243). Vzhledem k tomu, že za „uživatele“ (244) jsou považovány pouze fyzické osoby, které přímo objednávají služby od korejského poskytovatele telekomunikačních služeb, fyzické osoby z EU, jejichž údaje byly předány Korejské republice, by obvykle do této kategorie nespadaly (245).

(164)

Pro taková dobrovolná zpřístupnění platí různá omezení, a to jak s ohledem na výkon pravomocí donucovacího orgánu, tak na reakci poskytovatele telekomunikačních služeb. Obecně musí donucovací orgány jednat v souladu s ústavními zásadami nezbytnosti a proporcionality (čl. 12 odst. 1 a čl. 37 odst. 2 ústavy), a to i tehdy, když žádají o dobrovolné zpřístupnění údajů. Kromě toho musí dodržovat zákon o ochraně osobních údajů, zejména tím, že shromažďují pouze minimální objem osobních údajů v rozsahu nezbytném k dosažení legitimního účelu, a to tak, aby minimalizovaly dopad na soukromí jednotlivců (např. čl. 3 odst. 1 a 6 zákona o ochraně osobních údajů). Konkrétně musí být žádosti o získání komunikačních údajů na základě zákona o telekomunikačních službách podány písemně a musí uvádět důvody žádosti, odkaz na příslušného uživatele a rozsah požadovaných údajů (246).

(165)

Poskytovatelé telekomunikačních služeb nejsou povinni těmto požadavkům vyhovět a mohou tak učinit pouze v souladu se zákonem o ochraně osobních údajů. To zejména znamená, že musí vyvážit různé dotčené zájmy a nesmí poskytovat údaje, pokud by to pravděpodobně nekorektním způsobem narušilo zájmy dané fyzické osoby nebo třetí strany (247). Tak by tomu bylo například v případě, kdy je zřejmé, že dožadující orgán zneužil své pravomoci (248). Poskytovatelé telekomunikačních služeb musí vést záznamy o zpřístupněních podle zákona o telekomunikačních službách a dvakrát ročně podávat zprávy ministrovi pro vědu a IKT (249).

(166)

Kromě toho v souladu s oddílem 3 oznámení č. 2021-5 (příloha I) musí poskytovatelé telekomunikačních služeb zpravidla vyrozumět dotčenou fyzickou osobu, pokud určité žádosti vyhoví dobrovolně (250). To pak fyzické osobě umožní uplatnit její práva a v případě, že jsou její údaje zpřístupněny nezákonně, získat ochranu, a to buď vůči správci (například za zpřístupnění údajů v rozporu se zákonem o ochraně osobních údajů nebo za odpověď na žádost, jež byla zjevně nepřiměřená), nebo vůči donucovacímu orgánu (například za jednání nad rámec toho, co je nezbytné a přiměřené, nebo za nedodržení procesních požadavků zákona o telekomunikačních službách).

(167)

Zpracování osobních údajů shromážděných korejskými orgány činnými v trestním řízení podléhá všem požadavkům zákona o ochraně osobních údajů, včetně požadavků týkajících se účelového omezení (čl. 3 odst. 1 až 2 zákona o ochraně osobních údajů), zákonnosti použití a poskytování třetím stranám (články 15, 17 a 18 zákona o ochraně osobních údajů), mezinárodních předání (články 17 a 18 zákona o ochraně osobních údajů ve spojení s oddílem 2 oznámení č. 2021-5) (251), proporcionality/minimalizace údajů (čl. 3 odst. 1 a 6 zákona o ochraně osobních údajů) a omezení uložení (článek 21 zákona o ochraně osobních údajů) (252).

(168)

Pokud jde o obsah komunikace získaný při provádění opatření omezujících komunikaci, zákon o ochraně důvěrnosti komunikací konkrétně omezuje jejich možné použití na vyšetřování, trestní stíhání nebo prevenci závažné trestné činnosti (253); disciplinární řízení pro tytéž trestné činy; nároky na náhradu škody podané jednou ze stran komunikace, nebo pokud to specificky umožňují jiné právní předpisy (254). Shromážděný obsah telekomunikace přenášený prostřednictvím internetu lze navíc uchovávat pouze se souhlasem soudu, který opatření omezující komunikaci povolil (255), a to za účelem jeho použití pro vyšetřování, trestní stíhání nebo prevenci závažné trestné činnosti (256). Obecněji zákon o ochraně důvěrnosti komunikací zakazuje zveřejňování důvěrných údajů získaných pomocí opatření omezujících komunikaci a používání takových údajů k poškození pověsti osob, na které se opatření vztahovala (257).

(169)

Dozor nad činností orgánů činných v trestním řízení v Koreji zajišťují různé subjekty (258).

(170)

Zaprvé policie podléhá vnitřnímu dozoru ze strany generálního inspektora (259), který provádí kontrolu zákonnosti, včetně možného porušování lidských práv. Funkce generálního inspektora byla zřízena k provedení zákona o auditu ve veřejném sektoru, který podporuje zřizování subjektů pro vlastní audit a stanoví konkrétní požadavky na jejich složení a úkoly. Zákon zejména vyžaduje, aby byl vedoucí orgánu vlastního auditu jmenován z řad osob mimo daný orgán (např. bývalí soudci, profesoři) na dobu dvou až pěti let (260), tohoto vedoucího pracovníka lze odvolat pouze z oprávněných důvodů (např. nemůže vykonávat své povinnosti ze zdravotních důvodů nebo mu je uloženo disciplinární opatření) (261) a je zaručena jeho maximální možná nezávislost (262). Maření vlastního auditu podléhá správním pokutám (263). Zprávy o auditu (které mohou zahrnovat doporučení, žádosti o disciplinární opatření a žádosti o odškodnění nebo opravu) jsou předávány vedoucímu pracovníkovi příslušného orgánu veřejné správy, Radě pro audit a inspekce (264) a jsou obvykle zveřejňovány (265). Výsledky provedení zprávy musí být rovněž oznámeny Radě pro audit a inspekce (266) (dozorová úloha a pravomoci Rady pro audit a inspekce viz 173. bod odůvodnění).

(171)

Zadruhé Komise pro ochranu osobních údajů dohlíží na soulad zpracování údajů, které provádějí orgány činné v trestním řízení, se zákonem o ochraně osobních údajů a dalšími právními předpisy, které chrání soukromí jednotlivců, včetně právních předpisů upravujících shromažďování (elektronických) důkazů pro účely prosazování trestního práva, jak je popsáno v oddíle 3.2.1 (267). Zejména vzhledem k tomu, že se dozor Komise pro ochranu osobních údajů vztahuje na zákonnost a spravedlnost shromažďování a zpracování údajů (čl. 3 odst. 1 zákona o ochraně osobních údajů), k jejichž porušení dojde v případě přístupu k osobním údajům a jejich použití v rozporu s těmito právními předpisy (268), Komise pro ochranu osobních údajů může rovněž vyšetřovat a vynucovat dodržování omezení a záruk popsaných v oddíle 3.2.1 (269). Při výkonu této dozorové úlohy může Komise pro ochranu osobních údajů využít všech svých vyšetřovacích a nápravných pravomocí, podrobně popsaných v oddíle 2.4.2. Již před nedávnou reformou zákona o ochraně osobních údajů (tzn. v rámci své předchozí dozorové úlohy ve veřejném sektoru) vykonávala Komise pro ochranu osobních údajů několik dozorových činností týkajících se zpracování osobních údajů orgány činnými v trestním řízení, např. v souvislosti s výslechy podezřelých osob (věc č. 2013-16, 26. srpna 2013), s poskytováním oznámení fyzickým osobám o uložení správních pokut (věc č. 2015-02-04, 26. ledna 2015), se sdílením údajů s ostatními orgány (věc č. 2018-15-146, 9. července 2018, věc č. 2018-25-308, 10. prosince 2018; věc č. 2019-02-015, 29. ledna 2019), se shromažďováním otisků prstů nebo fotografií (věc č. 2019-17-273, 9. září 2019) a s používáním dronů (věc č. 2020-01-004, 13. ledna 2020). V těchto případech Komise pro ochranu osobních údajů šetřila soulad s několika ustanoveními zákona o ochraně osobních údajů (např. zákonnost zpracování, zásady účelového omezení a minimalizace údajů), ale také s relevantními ustanoveními jiných právních předpisů, například zákona o trestním řízení, a v případě potřeby vydávala doporučení, aby zajistila soulad zpracování s požadavky na ochranu údajů.

(172)

Zatřetí zajišťuje nezávislý dozor Národní komise pro lidská práva (270), která může vyšetřovat porušování práv na soukromí a důvěrnost korespondence v rámci svého obecného mandátu chránit základní práva podle článků 10 až 22 ústavy. Národní komise pro lidská práva se skládá z jedenácti komisařů, kteří musí splňovat specifické kvalifikační požadavky (271) a jsou jmenováni prezidentem v souladu se zákonem stanovenými postupy. Konkrétně jsou čtyři komisaři jmenováni na návrh Národního shromáždění, čtyři na návrh prezidenta a tři na návrh předsedy Nejvyššího soudu (272). Předsedu jmenuje prezident z řad komisařů a musí jej potvrdit Národní shromáždění (273). Komisaři (včetně předsedy) jsou jmenováni na tříleté funkční období, které lze prodloužit, a mohou být odvoláni pouze v případě, že jsou odsouzeni k trestu odnětí svobody nebo již nejsou schopni plnit své úkoly z důvodu dlouhodobé fyzické nebo duševní nezpůsobilosti (v takovém případě musí s odvoláním souhlasit dvě třetiny komisařů) (274). V rámci vyšetřování může Národní komise pro lidská práva požádat o předložení příslušných materiálů, provádět inspekce a předvolávat fyzické osoby k podání výpovědi (275). Pokud jde o nápravné pravomoci, může Národní komise pro lidská práva vydávat (veřejná) doporučení ke zlepšení nebo nápravě konkrétních politik a postupů, na která musí orgány veřejné správy odpovědět navrženým plánem provádění (276). Pokud dotčený orgán doporučení neprovede, musí o tom komisi vyrozumět (277) a ta může o neprovedení informovat Národní shromáždění a/nebo je zveřejnit. Podle oficiálního prohlášení korejské vlády (oddíl 2.3.5 přílohy II) korejské orgány doporučení Národní komise pro lidská práva obecně dodržují a mají k tomu silnou motivaci, protože provádění doporučení je posuzováno jako součást obecného, průběžného hodnocení v rámci pravomoci úřadu předsedy vlády. Roční údaje o její činnosti ukazují, že Národní komise pro lidská práva aktivně dozoruje činnost orgánů činných v trestním řízení, a to na základě individuálních podnětů nebo v rámci vyšetřování z moci úřední (278).

(173)

Za čtvrté obecný dozor nad zákonností činnosti orgánů veřejné správy zajišťuje Rada pro audit a inspekce, která zkoumá příjmy a výdaje státu, ale také obecněji dohlíží na dodržování povinností orgánů veřejné správy s cílem zlepšit fungování veřejné správy (279). Rada pro audit a inspekce je formálně podřízena prezidentovi Korejské republiky, zachovává si však nezávislé postavení, pokud jde o její povinnosti (280). Kromě toho je plně nezávislá, pokud jde o jmenování, propouštění a organizaci jejích zaměstnanců a sestavování rozpočtu (281). Rada pro audit a inspekce se skládá z předsedy (jmenovaného prezidentem se souhlasem Národního shromáždění) (282) a šesti komisařů (jmenovaných prezidentem na doporučení předsedy) (283), kteří musí splňovat specifické požadavky na způsobilost stanovené zákonem (284) a mohou být odvoláni pouze v případě obžaloby, odsouzení k trestu odnětí svobody nebo neschopnosti plnit své povinnosti z důvodu dlouhodobé duševní nebo fyzické nezpůsobilosti (285). Rada pro audit a inspekce provádí roční obecný audit, může však také provádět konkrétní audity v záležitostech zvláštního zájmu. Při provádění auditu nebo inspekce může Rada pro audit a inspekce požadovat předložení dokumentů a vyžádat si účast fyzických osob (286). Rada pro audit a inspekce může vydávat doporučení, požadovat disciplinární opatření nebo podávat trestní oznámení (287).

(174)

A konečně Národní shromáždění vykonává parlamentní dozor nad orgány veřejné správy prostřednictvím vyšetřování a kontrol (288) jejich činnosti (289). Může požadovat zpřístupnění dokumentů, předvolávat svědky (290), doporučovat nápravná opatření (pokud dojde k závěru, že došlo k nezákonné nebo nekalé činnosti) (291) a výsledky svých zjištění může zveřejnit (292). Pokud Národní shromáždění požádá, aby byla přijata nápravná opatření (která mohou například zahrnovat přiznání odškodnění, přijetí disciplinárního opatření nebo zlepšení vnitřních postupů), je dotčený orgán veřejné správy povinen neprodleně jednat a o výsledku informovat Národní shromáždění (293).

(175)

Korejský systém nabízí různé (soudní) cesty k dosažení nápravy, včetně náhrady škody.

(176)

Zaprvé zákon o ochraně osobních údajů poskytuje fyzickým osobám právo na přístup, opravu, výmaz a pozastavení zpracování, pokud jde o osobní údaje zpracovávané pro účely prosazování trestního práva (294).

(177)

Zadruhé mohou fyzické osoby využít různé nápravné mechanismy, které nabízí zákon o ochraně osobních údajů, pokud jejich údaje zpracoval orgán činný v trestním řízení v rozporu se zákonem o ochraně osobních údajů nebo v rozporu s omezeními a zárukami upravujícími shromažďování osobních údajů podle jiných právních předpisů (tj. zákona o trestním řízení nebo zákona o ochraně důvěrnosti komunikací, viz 171. bod odůvodnění). Fyzické osoby mohou zejména podat stížnost Komisi pro ochranu osobních údajů (a to i prostřednictvím kontaktního centra pro ochranu soukromí, které provozuje Korejská agentura pro internet a bezpečnost (295)) nebo u mediačního výboru pro spory týkající se osobních údajů (296). Na tyto možnosti dosažení nápravy se nevztahují další požadavky na přípustnost. Podle zákona o správním soudním řízení mohou také fyzické osoby podat opravný prostředek proti rozhodnutím nebo nečinnosti / napadnout rozhodnutí nebo nečinnost Komise pro ochranu osobních údajů (viz 132. bod odůvodnění).

(178)

Zatřetí může kterákoli fyzická osoba (297) podat stížnost k Národní komisi pro lidská práva, pokud jde o porušení práva na soukromí a ochranu údajů ze strany korejského orgánu činného v trestním řízení. Národní komise pro lidská práva může doporučit nápravu nebo zlepšení jakéhokoli příslušného právního předpisu, instituce, postupu nebo praxe (298) nebo provedení nápravných opatření, například mediace (299), ukončení porušování lidských práv, náhradu škody a opatření zamezující opakování stejného nebo podobného porušování práv (300). Podle oficiálního prohlášení korejské vlády (oddíl 2.4.2 přílohy II) to může zahrnovat také výmaz nezákonně shromážděných osobních údajů. Ačkoli Národní komise pro lidská práva nemá pravomoc vydávat závazná rozhodnutí, nabízí neformálnější, méně nákladný a snadno dostupný způsob nápravy, zejména z toho důvodu, že (jak je vysvětleno v příloze II oddílu 2.4.2) k prošetření stížnosti nevyžaduje prokázání skutečné újmy (301). Tím je zajištěno, že stížnosti fyzických osob týkající se shromažďování jejich údajů je možné prošetřit i v případě, že dotčená fyzická osoba nemůže prokázat, že její údaje byly skutečně shromážděny (například proto, že oznámení fyzické osobě dosud nebylo vydáno). Výroční zprávy o činnosti Národní komise pro lidská práva ukazují, že fyzické osoby také v praxi využívají tento způsob napadení činnosti orgánů činných v trestním řízení, a to včetně nakládání s osobními údaji (302). Pokud fyzická osoba není s výsledkem řízení u Národní komise pro lidská práva spokojena, může rozhodnutí (například rozhodnutí nepokračovat ve vyšetřování stížnosti (303)) a doporučení komise napadnout u korejských soudů podle zákona o správním soudním řízení (viz 181. bod odůvodnění) (304). Kromě toho může řízení před Národní komisí pro lidská práva dále usnadnit přístup k soudům, protože fyzická osoba by v souladu s postupy popsanými ve 181. až 183. bodě odůvodnění mohla podat další opravný prostředek vůči orgánu veřejné správy, který podle zjištění Národní komise pro lidská práva nezákonně zpracoval osobní údaje této osoby.

(179)

A konečně jsou k dispozici různé soudní opravné prostředky, které fyzickým osobám umožňují dovolávat se k dosažení nápravy omezení a záruk popsaných v oddíle 3.2.1 (305).

(180)

Pokud jde o zajištění věcí (včetně údajů), zákon o trestním řízení stanoví možnost vznést námitku proti výkonu příkazu nebo jej napadnout prostřednictvím „kvazistížnosti“, podáním návrhu u příslušného soudu s žádostí o zrušení nebo změnu opatření, které učinil státní zástupce nebo policista (306).

(181)

V obecnějším smyslu mohou fyzické osoby napadnout jednání (307) nebo opomenutí (308) orgánů veřejné správy (včetně orgánů činných v trestním řízení) podle zákona o správním soudním řízení (309). Správní opatření se považuje za „napadnutelné opatření“, má-li přímý dopad na občanská práva a povinnosti (310), což, jak potvrdila korejská vláda (oddíl 2.4.3 přílohy II), je i případ opatření za účelem shromažďování osobních údajů, ať už přímo (například odposlechem komunikace), prostřednictvím závazných žádostí o zpřístupnění (například poskytovateli služeb) nebo prostřednictvím žádostí o dobrovolnou spolupráci. Aby byla stížnost podle zákona o správním soudním řízení přípustná, musí mít fyzická osoba právní zájem na uplatnění nároku (311). Podle judikatury Nejvyššího soudu je „právní zájem“ vykládán jako „právem chráněný zájem“, tj. přímý a konkrétní zájem chráněný právními a správními předpisy, na nichž jsou založena správní opatření (tím se rozumí obecné, nepřímé a abstraktní veřejné zájmy) (312). Fyzické osoby mají právní zájem v případě jakéhokoli porušení omezení a záruk týkajících se shromažďování jejich osobních údajů pro účely vymáhání trestního práva (podle zvláštních zákonů nebo zákona o ochraně osobních údajů). Na základě zákona o správním soudním řízení může soud rozhodnout o zrušení nebo změně nezákonného opatření, konstatovat absolutní neplatnost (tj. zjištění, že opatření nemá právní účinky nebo neexistuje v právním řádu) nebo konstatovat, že opomenutí je nezákonné (313). Pravomocný rozsudek podle zákona o správním soudním řízení je pro účastníky řízení závazný (314).

(182)

Vedle napadení vládních opatření prostřednictvím správní žaloby sporů mohou fyzické osoby podat i ústavní stížnost Ústavnímu soudu, pokud jde o jakékoli porušení jejich základních práv v důsledku výkonu nebo nečinnosti vládní moci (s výjimkou rozsudků soudů) (315). Jsou-li k dispozici jiné opravné prostředky, musí být nejprve vyčerpány. Podle judikatury Ústavního soudu mohou cizí státní příslušníci podat ústavní stížnost v rozsahu, v jakém korejská ústava uznává jejich základní práva (viz vysvětlení v oddíle 1.1) (316). Ústavní soud může zneplatnit výkon vládní moci, který porušení práva způsobil, nebo potvrdit, že určitá nečinnost je protiústavní (317). V takovém případě je příslušný orgán povinen přijmout opatření, aby vyhověl rozhodnutí soudu.

(183)

Kromě toho mohou fyzické osoby získat náhradu škody u korejského soudu. To zahrnuje především možnost požadovat odškodnění za porušení zákona o ochraně osobních údajů, kterého se dopustily orgány činné v trestním řízení, a to podle článku 39 (viz také 135. bod odůvodnění). Obecněji řečeno, fyzické osoby mohou žádat o náhradu škody způsobené státními úředníky při výkonu služebních povinností v rozporu se zákonem, a to na základě zákona o náhradě škody státem (viz také 135. bod odůvodnění) (318).

(184)

Mechanismy popsané ve 176. až 183. bodě odůvodnění poskytují subjektům údajů účinné prostředky správní a soudní ochrany, které jim umožňují zejména výkon jejich práv včetně práva na přístup k jejich osobním údajům nebo na dosažení opravy či výmazu těchto údajů.

(185)

Právo Korejské republiky ukládá řadu omezení a záruk v oblasti přístupu k osobním údajům a použití těchto údajů pro účely národní bezpečnosti a stanoví dozorové a ochranné mechanismy, které jsou v souladu s požadavky uvedenými ve 141. až 143. bodě odůvodnění tohoto rozhodnutí. Podmínky, za kterých lze takový přístup uskutečnit, a záruky týkající se využívání těchto pravomocí jsou podrobně posouzeny v následujících oddílech.

(186)

V Korejské republice mohou být osobní údaje zpřístupněny pro účely národní bezpečnosti na základě zákona o ochraně důvěrnosti komunikací, zákona o telekomunikačních službách a zákona o boji proti terorismu na ochranu občanů a veřejné bezpečnosti (dále jen „zákon o boji proti terorismu“) (319). Hlavním orgánem (320) s pravomocemi v oblasti národní bezpečnosti je Národní zpravodajská služba (321). Shromažďování a používání osobních údajů Národní zpravodajskou službou musí být v souladu s příslušnými právními požadavky (včetně zákona o ochraně osobních údajů a zákona o ochraně důvěrnosti komunikací) (322) a obecnými pokyny, které vypracuje prezident a přezkoumá Národní shromáždění (323). Obecně platí, že Národní zpravodajská služba musí zachovávat politickou neutralitu a chránit svobodu a práva jednotlivců (324). Pracovníci Národní zpravodajské služby navíc nesmí zneužívat své úřední pravomoci k tomu, aby nutili jakoukoli instituci, organizaci nebo fyzickou osobu činit něco, k čemu nejsou (ze zákona) povinny, ani žádné osobě bránit ve výkonu jejích práv (325).

(187)

Na základě zákona o ochraně důvěrnosti komunikací mohou korejské orgány veřejné správy (326) shromažďovat údaje potvrzující komunikaci (tj. datum telekomunikace, čas jejího zahájení a ukončení, počet odchozích a příchozích hovorů a také účastnické číslo druhé strany, četnost použití, protokolové soubory o využití telekomunikačních služeb a údaje o poloze, viz 155. bod odůvodnění) a obsah komunikace (prostřednictvím opatření omezujících komunikaci, viz 155. bod odůvodnění) pro účely národní bezpečnosti (jak je určeno mandátem Národní zpravodajské služby, viz poznámka pod čarou č. 322). Tyto pravomoci se vztahují na dva druhy údajů: 1) komunikace, v nichž jsou jedna nebo obě strany korejskými státními příslušníky (327), a 2) komunikace a) zemí nepřátelských vůči Korejské republice; b) zahraničních agentur, skupin nebo státních příslušníků podezřelých z účasti na protikorejských činnostech (328) nebo c) členů skupin působících na Korejském poloostrově, ale fakticky mimo oblast svrchovanosti Korejské republiky a jejich zastřešujících skupin se sídlem v zahraničí (329). Údaje o komunikaci fyzických osob z EU předané z Unie do Korejské republiky na základě tohoto rozhodnutí lze proto podle zákona o ochraně důvěrnosti komunikací shromažďovat pouze pro účely národní bezpečnosti (s výhradou podmínek stanovených v 188. až 192. bodě odůvodnění), pokud se jedná o komunikaci mezi fyzickou osobou z EU a korejským státním příslušníkem nebo, pokud jde o komunikaci výhradně mezi jinými než korejskými státními příslušníky, jestliže komunikace spadá do jedné ze tří uvedených kategorií 2a), b) a c).

(188)

V obou situacích může shromažďování údajů potvrzujících komunikaci probíhat pouze za účelem předcházení hrozbám pro národní bezpečnost (330), zatímco opatření omezující komunikaci mohou být přijímána pouze tehdy, existuje-li závažné riziko pro národní bezpečnost a shromažďování údajů je nezbytné k tomu, aby se tomuto riziku předešlo (331). Kromě toho lze k obsahu komunikace přistupovat pouze jako k opatření poslední instance a je třeba vyvinout úsilí k minimalizaci narušení důvěrnosti komunikací (332) a zajistit tak, aby toto narušení zůstalo přiměřené sledovanému cíli národní bezpečnosti. Shromažďování obsahu komunikace i údajů potvrzujících komunikaci může být prováděno po dobu nejvýše čtyř měsíců, a je-li sledovaného cíle dosaženo dříve, musí být okamžitě ukončeno (333). Jsou-li nadále splněny příslušné podmínky, může být lhůta prodloužena s předchozím souhlasem soudu (u opatření popsaných ve 189. bodě odůvodnění) nebo prezidenta (u opatření popsaných ve 190. bodě odůvodnění) (334) až o čtyři měsíce.

(189)

Tytéž procesní záruky se použijí pro shromažďování údajů potvrzujících komunikaci a obsahu komunikace (335). Zejména pokud je alespoň jedna z fyzických osob zapojených do komunikace korejským státním příslušníkem, musí zpravodajská služba předložit písemnou žádost vrchnímu státnímu zastupitelství a v takovém případě pak musí podat návrh na vydání soudního příkazu předsedovi vrchního soudu (336). Zákon o ochraně důvěrnosti komunikací vyjmenovává údaje, které musí být uvedeny v žádosti státnímu zástupci, v návrhu na vydání soudního příkazu a v samotném soudním příkazu, k nimž patří zejména odůvodnění žádosti a hlavní důvody podezření, podpůrné materiály, jakož i údaje o účelu, cíli (tj. cílové osobě / cílových osobách), rozsahu a délce trvání navrhovaného opatření (337). Shromažďování údajů bez soudního příkazu může být provedeno pouze v případě, že dojde ke zločinnému spolčení, které ohrožuje národní bezpečnost, a nastane mimořádná událost, kvůli které nelze uskutečnit všechny výše uvedené postupy (338). I v takovém případě však musí být návrh na vydání soudního příkazu podán ihned po přijetí opatření (339). Zákon o ochraně důvěrnosti komunikací proto jasně vymezuje rozsah a podmínky těchto druhů shromažďování a stanoví pro ně zvláštní (procesní) záruky (včetně předchozího souhlasu soudu), což zajišťuje, že použití takových opatření je omezeno na to, co je nezbytné a přiměřené. Požadavek na poskytnutí podrobných údajů v návrhu na vydání soudního příkazu i v soudním příkazu samotném navíc vylučuje možnost neselektivního přístupu.

(190)

V případě komunikace mezi jinými než korejskými státními příslušníky, která spadá do jedné ze tří konkrétních kategorií uvedených ve 187. bodě odůvodnění, je třeba podat žádost řediteli Národní zpravodajské služby, který si po přezkoumání vhodnosti navrhovaných opatření musí vyžádat předchozí písemný souhlas prezidenta Korejské republiky (340). Žádost vypracovaná zpravodajskou službou musí obsahovat stejně podrobné údaje jako návrh na vydání soudního příkazu (viz 189. bod odůvodnění), zejména pokud jde o odůvodnění žádosti a hlavní důvody podezření, podpůrné materiály a údaje o účelech, cílové osobě / cílových osobách, rozsahu a době trvání navrhovaných opatření (341). V mimořádných situacích (342) je třeba získat předchozí souhlas ministra, do jehož gesce náleží příslušná zpravodajská služba, tato zpravodajská služba si však musí vyžádat souhlas prezidenta ihned po přijetí mimořádných opatření (343). I v případě shromažďování údajů o komunikaci mezi výhradně jinými než korejskými státními příslušníky tedy zákon o ochraně důvěrnosti komunikací omezuje použití takových opatření na to, co je nezbytné a přiměřené, neboť jasně vymezuje omezené kategorie fyzických osob, které mohou být předmětem takových opatření, a stanoví podrobná kritéria, která musí zpravodajské služby prokázat, aby odůvodnily žádost o shromažďování údajů. To opět vylučuje možnost neselektivního přístupu. Ačkoli neexistuje žádné předchozí nezávislé schválení takových opatření, je nezávislý dozor zajištěn ex post, a to ze strany Komise pro ochranu osobních údajů a Národní komise pro lidská práva (viz například 199. a 200. bod odůvodnění).

(191)

Zákon o ochraně důvěrnosti komunikací dále ukládá několik dalších záruk, které přispívají k následnému dozoru a usnadňují přístup fyzických osob k účinným opravným prostředkům. Zaprvé, pokud jde o jakýkoli druh shromažďování údajů pro účely národní bezpečnosti, zákon o ochraně důvěrnosti komunikací stanoví různé požadavky na vedení záznamů a podávání zpráv. Konkrétně při žádosti o součinnost soukromých subjektů musí zpravodajské služby předložit soudní příkaz / souhlas prezidenta nebo kopii průvodního dopisu prohlášení o mimořádné cenzuře, které musí dožádaný subjekt uchovat ve své evidenci (344). Pokud musí soukromé subjekty poskytnout součinnost, musí dožadující orgán veřejné správy i příslušný subjekt vést záznamy o účelu a předmětu opatření, jakož i o datu výkonu opatření (345). Zpravodajské agentury musí kromě toho řediteli Národní zpravodajské služby oznamovat, jaké údaje shromáždily a jaký je výstup sledování (346).

(192)

Zadruhé musí být fyzické osoby informovány o shromažďování jejich údajů (údajů potvrzujících komunikaci nebo obsahu komunikace) pro účely národní bezpečnosti, pokud se jedná o komunikaci, v níž je alespoň jedna ze stran korejským státním příslušníkem (347). Toto oznámení musí být poskytnuto písemně do 30 dnů ode dne, kdy bylo shromažďování ukončeno (včetně případů, kdy byly údaje získány mimořádným postupem), a lze jej odložit pouze tehdy a na tak dlouho, kdy by ohrozilo národní bezpečnost nebo by znamenalo újmu na životě a fyzické bezpečnosti osob (348). Bez ohledu na toto oznámení mohou fyzické osoby dosáhnout nápravy různými prostředky, jak je podrobněji vysvětleno v oddíle 3.3.4.

(193)

Zákon o boji proti terorismu stanoví, že Národní zpravodajská služba může shromažďovat informace o osobách podezřelých z terorismu (349) v souladu s omezeními a zárukami stanovenými v jiných právních předpisech (350). Národní zpravodajská služba může zejména získávat komunikační údaje (na základě zákona o ochraně důvěrnosti komunikací) a další osobní údaje (prostřednictvím žádosti o dobrovolné zpřístupnění) (351). Pokud jde o shromažďování komunikačních údajů (tj. obsahu komunikace nebo údajů potvrzujících komunikaci), platí omezení a záruky popsané v oddíle 3.3.1.1 včetně povinnosti získat soudem schválený příkaz. Pokud jde o žádosti o dobrovolné zpřístupnění jiných druhů osobních údajů osob podezřelých z terorismu, musí Národní zpravodajská služba splnit požadavky ústavy a zákona o ochraně osobních údajů týkající se nezbytnosti a proporcionality (viz 164. bod odůvodnění) (352). Správci, kteří obdrží takové žádosti, mohou vyhovět dobrovolně za podmínek stanovených v zákoně o ochraně osobních údajů (například v souladu se zásadou minimalizace údajů a s omezením dopadu na soukromí dané fyzické osoby) (353). V tomto případě musí také splnit požadavek na vyrozumění dotčené osoby vyplývající z oznámení č. 2021-5 (viz 166. bod odůvodnění).

(194)

Na základě zákona o telekomunikačních službách mohou poskytovatelé telekomunikačních služeb dobrovolně zpřístupnit údaje účastníků (viz 163. bod odůvodnění) na žádost zpravodajské agentury, která hodlá tyto údaje shromáždit, aby zabránila ohrožení národní bezpečnosti (354). Pokud jde o takové žádosti ze strany Národní zpravodajské služby, platí stejná omezení (vyplývající z ústavy, zákona o ochraně osobních údajů a zákona o telekomunikačních službách) jako v oblasti prosazování trestního práva, jak je uvedeno ve 164. bodě odůvodnění (355). Poskytovatelé telekomunikačních služeb nejsou povinni vyhovět a mohou tak učinit pouze za podmínek stanovených v zákoně o ochraně osobních údajů (zejména v souladu se zásadou minimalizace údajů a omezením dopadu na soukromí fyzické osoby, viz také 193. bod odůvodnění). Použijí se tytéž požadavky na vedení záznamů a informování předmětné fyzické osoby jako v oblasti prosazování trestního práva (viz 165. a 166. bod odůvodnění).

(195)

Zpracování osobních údajů shromažďovaných korejskými orgány pro účely národní bezpečnosti podléhá zásadám účelového omezení (čl. 3 odst. 1 a 2 zákona o ochraně osobních údajů), zákonnosti a korektnosti zpracování (čl. 3 odst. 1 zákona o ochraně osobních údajů), proporcionality/minimalizace údajů (čl. 3 odst. 1 a 6 a článek 58 zákona o ochraně osobních údajů), přesnosti (čl. 3 odst. 3 zákona o ochraně osobních údajů, transparentnosti (čl. 3 odst. 5 zákona o ochraně osobních údajů), zabezpečení (čl. 58 odst. 4 zákona o ochraně osobních údajů) a omezení uložení (čl. 58 odst. 4 zákona o ochraně osobních údajů) (356). K případnému zpřístupnění osobních údajů třetím stranám (včetně třetích zemí) může dojít pouze v souladu s těmito zásadami (zejména zásadou účelového omezení a minimalizace údajů) a po posouzení souladu se zásadami nezbytnosti a proporcionality (čl. 37 odst. 2 ústavy) a s přihlédnutím k dopadu na práva dotčených osob (čl. 3 odst. 6 zákona o ochraně osobních údajů).

(196)

Pokud jde o obsah komunikace a údaje potvrzující komunikaci, zákon o ochraně důvěrnosti komunikací dále omezuje použití těchto údajů na soudní řízení, v němž se na tyto údaje strana, které se komunikace týká, odvolává v rámci nároku na náhradu škody, nebo povolená použití podle jiných právních předpisů (357).

(197)

Dozor nad činností korejských vnitrostátních bezpečnostních orgánů zajišťují různé subjekty (358).

(198)

Zaprvé zákon o boji proti terorismu stanoví zvláštní mechanismy dozoru nad protiteroristickými činnostmi včetně shromažďování údajů o osobách podezřelých z terorismu. Konkrétně na úrovni výkonné moci protiteroristické činnosti dozoruje Komise pro boj proti terorismu (359), které je ředitel Národní zpravodajské služby povinen podávat zprávy o vyšetřování a pátrání po osobách podezřelých z terorismu ve spojitosti se shromažďováním údajů nebo materiálů nezbytných pro protiteroristickou činnost (360). Vedle toho pověřenec pro ochranu lidských práv konkrétně dohlíží na soulad činností v oblasti boje proti terorismu se základními právy (361). Pověřence pro ochranu lidských práv jmenuje předseda Komise pro boj proti terorismu z řad osob, které splňují konkrétní požadavky uvedené v prováděcí vyhlášce k zákonu o boji proti terorismu (362), a to na dvouleté funkční období (s možností prodloužení), přičemž pověřenec může být z funkce odvolán pouze ze specifických, omezených a oprávněných důvodů (363). V rámci výkonu své dozorové funkce může pověřenec pro ochranu lidských práv vydávat obecná doporučení k zlepšení ochrany lidských práv (364) a konkrétní doporučení ohledně nápravných opatření v případě, že je zjištěno porušení lidských práv (365). Orgány veřejné správy jsou povinny pověřence pro ochranu lidských práv informovat o opatřeních přijatých v návaznosti na jeho doporučení (366).

(199)

Zadruhé Komise pro ochranu osobních údajů zajišťuje dozor nad tím, jak orgány v oblasti národní bezpečnosti dodržují pravidla ochrany osobních údajů, což zahrnuje použitelná ustanovení zákona o ochraně osobních údajů (viz 149. bod odůvodnění) i omezení a záruky týkající se shromažďování osobních údajů podle jiných právních předpisů (zákona o ochraně důvěrnosti sdělen, zákona o boji proti terorismu a zákona o telekomunikačních službách, viz také 171. bod odůvodnění) (367). Při výkonu této dozorové úlohy může Komise pro ochranu osobních údajů využít všech svých vyšetřovacích a nápravných pravomocí, podrobně popsaných v oddíle 2.4.2.

(200)

Zatřetí činnosti orgánů v oblasti národní bezpečnosti podléhají nezávislému dozoru ze strany Národní komise pro lidská práva v souladu s postupy popsanými ve 172. bodě odůvodnění (368).

(201)

Začtvrté se na vnitrostátní bezpečnostní orgány vztahuje dozorová funkce Rady pro audit a inspekce, přestože Národní zpravodajská služba může za výjimečných okolností odmítnout poskytnout určité údaje nebo materiály, pokud představují státní tajemství a pokud by zveřejnění mělo závažný dopad na národní bezpečnost (369).

(202)

A konečně parlamentní dozor nad činností Národní zpravodajské služby vykonává Národní shromáždění (prostřednictvím specializovaného zpravodajského výboru) (370). Zákon o ochraně důvěrnosti komunikací stanoví zvláštní dozorovou úlohu Národního shromáždění s ohledem na používání opatření omezujících komunikaci pro účely národní bezpečnosti (371). Národní shromáždění může zejména provádět kontroly odposlechového zařízení na místě a může vyžadovat, aby Národní zpravodajská služba i poskytovatelé telekomunikačních služeb, kteří zpřístupnili obsah komunikace, o tom předložili zprávu. Národní shromáždění může také vykonávat své obecné dozorové funkce (v souladu s postupy popsanými ve 174. bodě odůvodnění). Zákon o Národní zpravodajské službě vyžaduje, aby ředitel Národní zpravodajské služby bezodkladně odpověděl, pokud si zpravodajský výbor vyžádá zprávu o konkrétní záležitosti (372), přičemž pro určité zvláště citlivé údaje platí zvláštní pravidla. Konkrétně ředitel Národní zpravodajské služby může odmítnout odpovědět nebo vypovídat před zpravodajským výborem jen za výjimečných okolností, tj. pokud jsou předmětem žádosti státní tajemství týkající se vojenských a diplomatických záležitostí nebo záležitostí souvisejících se Severní Koreou, u nichž by zveřejnění mohlo mít vážný dopad na „národní osud“ země (373). V tomto případě může zpravodajský výbor požádat o vysvětlení předsedu vlády, a pokud toto vysvětlení není podáno do sedmi dnů, odpověď nebo výpověď již nelze odmítnout.

(203)

I v oblasti národní bezpečnosti nabízí korejský systém různé (soudní) cesty k dosažení nápravy, včetně náhrady škody. Tyto mechanismy poskytují subjektům údajů účinné prostředky správní a soudní ochrany, které jim umožňují zejména výkon jejich práv včetně práva na přístup k jejich osobním údajům nebo na dosažení opravy či výmazu těchto údajů.

(204)

Zaprvé mohou podle čl. 3 odst. 5 a čl. 4 odst. 1, 3 a 4 zákona o ochraně osobních údajů fyzické osoby uplatňovat vůči vnitrostátním bezpečnostním orgánům svá práva na přístup, opravu, výmaz a pozastavení zpracování. Oddíl 6 oznámení č. 2021-5 (příloha I tohoto rozhodnutí) dále objasňuje, jak se tato práva uplatňují v souvislosti se zpracováním údajů pro účely národní bezpečnosti. Orgán v oblasti národní bezpečnosti může zejména omezit nebo odepřít výkon práva, pokud a dokud je to nezbytné a přiměřené k ochraně důležitého cíle veřejného zájmu (například v takovém rozsahu a po takovou dobu, kdy by udělení práva ohrozilo probíhající vyšetřování nebo národní bezpečnost), nebo pokud udělení práva může způsobit újmu na životě nebo zdraví třetí strany. Uplatnění takovéhoto omezení proto vyžaduje vyvážení práv a zájmů jednotlivce vůči příslušnému veřejnému zájmu a nesmí se v žádném případě dotknout podstaty práva (čl. 37 odst. 2 ústavy). Pokud je žádost zamítnuta nebo omezena, musí být fyzické osobě neprodleně oznámeny příslušné důvody.

(205)

Zadruhé mají fyzické osoby právo využít různé nápravné mechanismy podle zákona o ochraně osobních údajů, pokud jejich údaje zpracoval orgán v oblasti národní bezpečnosti v rozporu se zákonem o ochraně osobních údajů nebo v rozporu s omezeními a zárukami podle jiných právních předpisů upravujících shromažďování osobních údajů (zejména zákona o ochraně důvěrnosti komunikací, viz 171. bod odůvodnění) (374). Toto právo lze uplatnit podáním stížností u Komise pro ochranu osobních údajů prostřednictvím kontaktního centra pro ochranu soukromí, které provozuje Korejská agentura pro internet a bezpečnost (375)). Aby se umožnil snadnější přístup k opravným prostředkům vůči korejským vnitrostátním bezpečnostním orgánům, fyzické osoby z EU mohou dále podat stížnost u Komise pro ochranu osobních údajů prostřednictvím svého vnitrostátního orgánu pro ochranu údajů (376). V takovém případě Komise pro ochranu osobních údajů prostřednictvím vnitrostátního úřadu pro ochranu osobních údajů fyzickou osobu informuje, jakmile je vyšetřování ukončeno (případně včetně informací o uložených nápravných opatřeních). Podle zákona o správním soudním řízení mohou také fyzické osoby podat opravný prostředek proti rozhodnutím nebo nečinnosti / napadnout rozhodnutí nebo nečinnost Komise pro ochranu osobních údajů (viz 132. bod odůvodnění).

(206)

Zatřetí mohou fyzické osoby podat pověřenci pro ochranu lidských práv stížnost na porušení jejich práva na soukromí / ochranu údajů v souvislosti s protiteroristickými činnostmi (tj. podle zákona o boji proti terorismu) (377) a pověřenec může doporučit nápravná opatření. Vzhledem k tomu, že u pověřence pro ochranu lidských práv neexistují žádné požadavky na přípustnost, bude stížnost vyřízena i v případě, že dotčená osoba nemůže prokázat, že skutečně utrpěla újmu (například kvůli údajně nezákonnému shromažďování jejích údajů orgánem v oblasti národní bezpečnosti) (378). Příslušný orgán musí pověřence pro ochranu lidských práv informovat o všech opatřeních přijatých k provedení jeho doporučení.

(207)

Začtvrté mohou fyzické osoby podat Národní komisi pro lidská práva stížnost týkající se shromažďování jejich údajů vnitrostátními bezpečnostními orgány a dosáhnout nápravy v souladu s postupem popsaným ve 178. bodě odůvodnění (379).

(208)

A konečně jsou k dispozici různé soudní opravné prostředky (380), které fyzickým osobám umožňují dovolávat se dosažení nápravy omezení a záruk popsaných v oddíle 3.3.1. Fyzické osoby mohou zejména napadnout zákonnost postupu vnitrostátních bezpečnostních orgánů na základě zákona o správním soudním řízení (postupem popsaným ve 181. bodě odůvodnění) nebo zákona o Ústavním soudu (viz 182. bod odůvodnění). Kromě toho mohou získat náhradu škody na základě zákona o náhradě škody státem (jak je podrobněji popsáno ve 183. bodě odůvodnění).

(209)

Komise má za to, že prostřednictvím zákona o ochraně osobních informací, zvláštních pravidel použitelných na určitá odvětví (analyzovaných v oddíle 2) a dalších záruk stanovených v oznámení č. 2021-5 (příloha I) Korejská republika zajišťuje úroveň ochrany osobních údajů předávaných z Evropské unie, která je v zásadě rovnocenná úrovni ochrany zaručené nařízením (EU) 2016/679.

(210)

Kromě toho má Komise za to, že jako celek dozorové mechanismy a způsoby ochrany v korejských právních předpisech umožňují, aby porušení zabezpečení osobních údajů ze strany správců v Koreji byla identifikována a v praxi řešena, a subjektu údajů nabízí právní prostředky pro získání přístupu k jeho osobním údajům a případně opravu nebo výmaz takovýchto údajů.

(211)

V neposlední řadě na základě dostupných informací o korejském právním řádu, včetně prohlášení, ujištění a závazků korejské vlády obsažených v příloze II, má Komise za to, že jakýkoli zásah do základních práv fyzických osob, jejichž osobní údaje se předávají z Evropské unie do Korejské republiky, ze strany korejských orgánů veřejné správy pro účely veřejného zájmu – zejména pro účely prosazování trestního práva a národní bezpečnosti – bude omezen na rozsah nezbytně nutný pro dosažení daného oprávněného cíle a že existuje účinná právní ochrana před takovým zásahem.

(212)

S ohledem na zjištění tohoto rozhodnutí by proto mělo být rozhodnuto, že Korejská republika zajišťuje odpovídající úroveň ochrany ve smyslu článku 45 nařízení (EU) 2016/679 vykládaného z hlediska Listiny základních práv Evropské unie, pokud jde o osobní údaje předávané z Evropské unie do Korejské republiky správcům osobních údajů v Korejské republice, na které se použije zákon o ochraně osobních údajů, s výjimkou náboženských organizací, pokud zpracovávají osobní údaje pro svou misijní činnost, politických stran, pokud zpracovávají osobní údaje v souvislosti s nominací kandidátů, a správců, kteří podléhají dozoru Komise pro finanční služby při zpracování osobních úvěrových informací podle zákona o úvěrových informacích, pokud zpracovávají takové informace.

(213)

Členské státy a jejich orgány musí přijmout opatření nezbytná k dosažení souladu s akty orgánů Unie, neboť jim v zásadě svědčí presumpce legality, a tudíž zakládají právní účinky tak dlouho, dokud nejsou vzaty zpět, zrušeny v rámci žaloby na neplatnost nebo prohlášeny za neplatné v návaznosti na žádost o rozhodnutí o předběžné otázce nebo na námitku protiprávnosti.

(214)

V důsledku toho je rozhodnutí Komise o odpovídající ochraně podle čl. 45 odst. 3 nařízení (EU) 2016/679 závazné pro všechny orgány členských států, kterým je určeno, a to i pro nezávislé dozorové úřady. Zejména může docházet k předáním od správce nebo zpracovatele v Evropské unii správcům v Korejské republice, aniž by bylo nutné získat další povolení.

(215)

Je třeba připomenout, že podle čl. 58 odst. 5 nařízení (EU) 2016/679 a podle vysvětlení Soudního dvora v rozsudku ve věci Schrems (381), jestliže vnitrostátní orgán pro ochranu údajů zpochybňuje, a to i na základě stížnosti, slučitelnost rozhodnutí Komise o odpovídající ochraně se základními právy fyzické osoby na soukromí a ochranu údajů, musí mu vnitrostátní právo poskytnout procesní prostředek, který mu umožní uplatnit tyto výtky před vnitrostátním soudem, který může být povinen předložit Soudnímu dvoru žádost o rozhodnutí o předběžné otázce (382).

(216)

Podle judikatury Soudního dvora (383), a jak je uznáno v článku čl. 45 odst. 4 nařízení (EU) 2016/679, by Komise po přijetí rozhodnutí o odpovídající ochraně měla neustále sledovat příslušný vývoj v dotyčné třetí zemi, aby mohla posoudit, zda tato třetí země stále zajišťuje v zásadě rovnocennou úroveň ochrany. Takové ověřování je každopádně závazné tehdy, když Komise obdrží informace vyvolávající v tomto ohledu určité odůvodněné pochybnosti.

(217)

Komise by tedy měla průběžně sledovat situaci v Korejské republice, pokud jde o právní rámec a skutečnou praxi zpracování osobních údajů, jak jsou posouzeny v tomto rozhodnutí, včetně toho, zda korejské orgány dodržují prohlášení, ujištění a závazky obsažené v příloze II. K usnadnění tohoto procesu se korejské orgány vyzývají, aby Komisi urychleně informovaly o podstatném vývoji relevantním pro toto rozhodnutí, pokud jde o zpracování osobních údajů podnikatelskými subjekty a orgány veřejné správy i o omezení a záruky použitelné pro přístup k osobním údajům ze strany orgánů veřejné správy.

(218)

Aby Komise navíc mohla účinně plnit svou kontrolní funkci, měly by ji členské státy informovat o veškerých relevantních krocích vnitrostátních úřadů pro ochranu údajů, zejména v souvislosti s dotazy nebo stížnostmi subjektů údajů z EU týkajícími se předávání osobních údajů z Evropské unie správcům údajů v Korejské republice. Komise by rovněž měla být informována o jakýchkoli známkách toho, že kroky korejských orgánů veřejné správy odpovědných za prevenci, vyšetřování, odhalování nebo stíhání trestných činů nebo za národní bezpečnost, včetně jakýchkoli dozorových subjektů, nezajišťují požadovanou úroveň ochrany.

(219)

Podle čl. 45 odst. 3 nařízení (EU) 2016/679 (384) a s ohledem na skutečnost, že úroveň ochrany poskytovaná korejským právním řádem se může změnit, měla by Komise po přijetí tohoto rozhodnutí pravidelně ověřovat, zda zjištění týkající se odpovídající úrovně ochrany zajištěné Korejskou republikou jsou nadále skutkově i právně podložená.

(220)

Za tímto účelem by toto rozhodnutí mělo být předmětem prvního přezkumu do tří let po jeho vstupu v platnost. Po tomto prvním přezkumu a v závislosti na jeho výsledku Komise v úzké konzultaci s výborem zřízeným podle čl. 93 odst. 1 nařízení (EU) 2016/679 rozhodne, zda by měl být tříletý cyklus zachován. V každém případě by se následné přezkumy měly provádět alespoň každé čtyři roky (385). Přezkum by měl zahrnovat všechny aspekty fungování tohoto rozhodnutí, a zejména použití dalších záruk obsažených v příloze I tohoto rozhodnutí, se zvláštní pozorností věnovanou ochraně poskytované v případě dalšího předávání; vývoj relevantní judikatury; pravidla týkající se zpracování pseudonymizovaných údajů pro účely statistiky, vědeckého výzkumu a archivace ve veřejném zájmu, jakož i použití výjimek podle čl. 28 odst. 7 zákona o ochraně osobních údajů; účinnost výkonu individuálních práv, včetně doby před nedávnou reformou zákona o ochraně osobních údajů, a použití výjimek z těchto práv; použití dílčích výjimek podle zákona o ochraně osobních údajů; jakož i omezení a záruky, pokud jde o přístup vlády (stanovené v příloze II tohoto rozhodnutí), včetně spolupráce Komise pro ochranu osobních údajů s úřady pro ochranu údajů v EU ve věci stížností fyzických osob. Měl by rovněž zahrnovat účinnost dozoru a prosazování práva, pokud jde o zákon o ochraně osobních údajů a oblast prosazování trestního práva a národní bezpečnosti (zejména ze strany Komise pro ochranu osobních údajů a Národní komise pro lidská práva).

(221)

K provedení přezkumu by se Komise měla setkat s Komisí pro ochranu osobních údajů, v příslušných případech doprovázenou dalšími korejskými orgány odpovědnými za přístup vlády, včetně příslušných dozorových subjektů. Účast na této schůzce by měla být otevřena zástupcům členů Evropského sboru pro ochranu osobních údajů. V rámci přezkumu by Komise měla požadovat, aby Komise pro ochranu osobních údajů poskytla souhrnné informace o všech aspektech relevantních pro zjištění o odpovídající úrovni ochrany, včetně omezení a záruk týkajících se přístupu ze strany vlády (386). Komise by měla rovněž požadovat vysvětlení jakýchkoli obdržených informací relevantních pro toto rozhodnutí, včetně veřejných zpráv korejských orgánů nebo jiných zúčastněných stran v Koreji, Evropského sboru pro ochranu osobních údajů, jednotlivých úřadů pro ochranu osobních údajů, skupin občanské společnosti, tiskových zpráv nebo jakéhokoli jiného dostupného zdroje informací.

(222)

Na základě přezkumu by Komise měla připravit veřejně přístupnou zprávu, kterou předloží Evropskému parlamentu a Radě.

(223)

Pokud z dostupných informací, zejména z informací vyplývajících ze sledování tohoto rozhodnutí nebo poskytnutých orgány Koreje nebo členských států, vyplyne, že úroveň ochrany poskytované Korejskou republikou již nemusí být odpovídající, měla by Komise urychleně informovat příslušné korejské orgány a požadovat, aby byla ve stanovené a přiměřené lhůtě přijata vhodná opatření.

(224)

Pokud po uplynutí stanovené lhůty příslušné korejské orgány tato opatření nepřijmou nebo jiným způsobem uspokojivě neprokážou, že toto rozhodnutí je nadále založeno na odpovídající úrovni ochrany, zahájí Komise postup podle čl. 93 odst. 2 nařízení (EU) 2016/679 s cílem částečně nebo úplně zrušit toho rozhodnutí nebo pozastavit jeho platnost.

(225)

Alternativně Komise tento postup zahájí s cílem změnit toto rozhodnutí, zejména tím, že se na předávání údajů budou vztahovat další podmínky nebo že se omezí oblasti působnosti zjištění o odpovídající úrovni ochrany jen na předávání údajů, u nichž je odpovídající úroveň ochrany nadále zaručena.

(226)

Zejména by Komise měla zahájit postup k pozastavení platnosti nebo zrušení tohoto rozhodnutí, pokud existují známky toho, že další záruky obsažené v příloze I nejsou podnikatelskými subjekty přijímajícími osobní údaje podle tohoto rozhodnutí dodržovány a/nebo účinně vymáhány nebo že korejské orgány nedodržují prohlášení, ujištění a závazky obsažené v příloze II tohoto rozhodnutí.

(227)

Komise by rovněž měla zvážit zahájení postupu vedoucího ke změně, pozastavení platnosti nebo zrušení tohoto rozhodnutí, pokud v souvislosti s přezkumem nebo jinak neposkytnou příslušné korejské orgány informace nebo objasnění nezbytná k posouzení úrovně ochrany poskytované osobním údajům předávaným z Evropské unie do Korejské republiky nebo dodržování tohoto rozhodnutí. V tomto směru by Komise měla vzít v potaz míru, do jaké lze relevantní informace získat z jiných zdrojů.

(228)

V závažných, naléhavých a řádně odůvodněných případech Komise využije možnost postupem podle čl. 93 odst. 3 nařízení (EU) 2016/679 přijmout okamžitě použitelné prováděcí akty, kterými se rozhodnutí zruší, změní nebo se dočasně pozastaví jeho platnost.

(229)

Evropský sbor pro ochranu osobních údajů zveřejnil své stanovisko (387), které bylo při přípravě tohoto rozhodnutí zohledněno.

(230)

Opatření stanovená tímto rozhodnutím jsou v souladu se stanoviskem výboru zřízeného podle čl. 93 odst. 1 nařízení (EU) 2016/679,