(1)

Uredbom (EU) 2016/679 utvrđuju se pravila za prijenos osobnih podataka od voditelja obrade ili izvršitelja obrade u Uniji trećim zemljama i međunarodnim organizacijama, u mjeri u kojoj je takav prijenos obuhvaćen njezinim područjem primjene. Pravila o međunarodnim prijenosima podataka utvrđena su u poglavlju V. (članci od 44. do 50.) te uredbe. Iako je protok osobnih podataka u zemlje izvan Europske unije i iz njih bitan za proširenje prekogranične trgovine i međunarodne suradnje, razina zaštite osobnih podataka u Uniji ne smije se ugroziti prijenosima trećim zemljama (2).

(2)

U skladu s člankom 45. stavkom 3. Uredbe (EU) 2016/679 Komisija može provedbenim aktom odlučiti da treća zemlja, područje, ili jedan ili više određenih sektora unutar treće zemlje, ili međunarodna organizacija osigurava primjerenu razinu zaštite. Pod tim uvjetom prijenosi osobnih podataka trećoj zemlji mogu se obavljati bez potrebe za bilo kakvim dodatnim odobrenjem, kako je predviđeno u članku 45. stavku 1. i uvodnoj izjavi 103. Uredbe (EU) 2016/679.

(3)

Kako je navedeno u članku 45. stavku 2. Uredbe (EU) 2016/679, donošenje odluke o primjerenosti mora se temeljiti na sveobuhvatnoj analizi pravnog poretka treće zemlje, koja obuhvaća i pravila koja se primjenjuju na uvoznike podataka i ograničenja i zaštitne mjere u pogledu pristupa tijela javne vlasti osobnim podacima. Komisija u procjeni mora utvrditi jamči li predmetna treća zemlja razinu zaštite koja je „u načelu istovjetna” onoj koja je osigurana u Europskoj uniji (uvodna izjava 104. Uredbe (EU) 2016/679). Je li to tako ocjenjuje se s obzirom na zakonodavstvo Unije, ponajprije Uredbu (EU) 2016/679, te sudsku praksu Suda Europske unije (3).

(4)

Kako je pojasnio Sud Europske unije, to ne zahtijeva utvrđivanje potpuno istovjetne razine zaštite (4). Naime, pravna sredstva kojima se predmetna treća zemlja koristi za zaštitu osobnih podataka mogu se razlikovati od onih koja se primjenjuju u Uniji, pod uvjetom da se u praksi pokažu djelotvornima za osiguravanje primjerene razine zaštite (5). Prema tome, standard primjerenosti ne podrazumijeva doslovno ponavljanje pravila Unije. Umjesto toga ispituje se pruža li predmetni strani sustav kao cjelina potrebnu razinu zaštite podataka sadržajem prava na privatnost i njihovom djelotvornom provedbom, nadzorom i ostvarivanjem (6). Smjernice o tome daju se i u referentnom dokumentu o primjerenosti Europskog odbora za zaštitu podataka, u kojem se nastoji dodatno pojasniti taj standard (7).

(5)

Komisija je pomno proučila korejsko pravo i praksu. Na temelju nalaza iznesenih u uvodnim izjavama od 8. do 208. Komisija zaključuje da Koreja osigurava primjerenu razinu zaštite osobnih podataka koji se prenose od voditelja obrade ili izvršitelja obrade u Uniji (8) subjektima (npr. fizičke ili pravne osobe, organizacije, javne institucije) u Koreji obuhvaćenima područjem primjene Zakona o zaštiti osobnih informacija (Zakon br. 10465 od 29. ožujka 2011., kako je zadnje izmijenjen Zakonom br. 16930 od 4. veljače 2020.). To uključuje voditelje obrade i izvršitelje obrade (takozvane „vanjske izvršitelje” (9)) u smislu Uredbe (EU) 2016/679. Zaključak o primjerenosti ne obuhvaća obradu osobnih podataka koju provode vjerske organizacije za misionarske aktivnosti i političke stranke za imenovanje kandidata ili obrade osobnih kreditnih informacija u skladu sa Zakonom o kreditnim informacijama koju provode voditelji obrade koji podliježu nadzoru Povjerenstva za financijske usluge.

(6)

U tom se zaključku u obzir uzimaju i dodatne zaštitne mjere utvrđene u Obavijesti br. 2021-5 (Prilog I.) i službenim izjavama, jamstvima i obvezama koje je korejska vlada uputila Komisiji (Prilog II.).

(7)

Ova Odluka znači da za prijenose osobnih informacija voditeljima obrade i izvršiteljima obrade u Republici Koreji nisu potrebna daljnja odobrenja. Ona ne utječe na izravnu primjenu Uredbe (EU) 2016/679 na takve subjekte ako su ispunjeni uvjeti utvrđeni u njezinu članku 3., koji se odnose na teritorijalno područje primjene te uredbe.

(8)

Pravni sustav kojim se uređuje privatnost i zaštita podataka u Koreji počiva na korejskom Ustavu proglašenom 17. srpnja 1948. Iako pravo na zaštitu osobnih podataka nije izričito navedeno u Ustavu, ono je ipak priznato kao osnovno pravo, koje proizlazi iz ustavnih prava na ljudsko dostojanstvo i težnju sreći (članak 10.), privatni život (članak 17.) i privatnost komunikacija (članak 18.). To su potvrdili i Vrhovni sud (10) i Ustavni sud (11). Temeljna prava i slobode (uključujući pravo na privatnost) smiju se ograničiti samo zakonom, ako je to potrebno radi nacionalne sigurnosti ili održavanja javnog reda za dobrobit građana te to ne smije utjecati na bit predmetnog prava ili predmetne slobode (članak 37. stavak 2.).

(9)

Iako se u Ustavu na raznim mjestima upućuje na prava korejskih građana, Ustavni sud presudio je da i strani državljani imaju osnovna prava (12). Sud je konkretno utvrdio da su zaštita dostojanstva i vrijednosti osobe kao ljudskog bića te pravo na težnju sreći prava svakog ljudskog bića, a ne samo građana (13). Nadalje, prema službenim izjavama korejske vlade (14), općenito se priznaje da su u člancima od 12. do 22. Ustava (koji uključuju prava na privatnost) propisana osnovna ljudska prava (15). Iako zasad ne postoji nikakva sudska praksa koja se posebno odnosi na pravo na privatnost stranih državljana, taj se zaključak potkrepljuje činjenicom da se to pravo temelji na zaštiti ljudskog dostojanstva i težnji sreći (16).

(10)

Nadalje, Koreja je donijela niz zakona u području zaštite podataka u kojima se predviđaju zaštitne mjere za sve pojedince, bez obzira na njihovo državljanstvo (17). Za potrebe ove Odluke mjerodavni su sljedeći zakoni:

(11)

U PIPA-i propisuje se opći pravni okvir za zaštitu podataka u Republici Koreji. Dopunjen je dekretom o izvršavanju (Predsjednički dekret br. 23169 od 29. rujna 2011., koji je zadnji put izmijenjen Predsjedničkim dekretom br. 30892 od 4. kolovoza 2020.) (Dekret o izvršavanju PIPA-e), koji je, kao i PIPA, pravno obvezujući i izvršiv.

(12)

Nadalje, regulatornim „obavijestima” koje donosi Povjerenstvo za zaštitu osobnih informacija (PIPC) propisuju se dodatna pravila o tumačenju i primjeni PIPA-e. Na temelju članka 5. (Obveze države) i članka 14. (Međunarodna suradnja) PIPA-e, PIPC je donio Obavijest br. 2021-5 od 1. rujna 2020. (kako je izmijenjena Obaviješću br. 2021-1 od 21. siječnja 2021. i Obaviješću br. 2021-5 od 16. studenoga 2021., Obavijest br. 2021-5) o tumačenju, primjeni i izvršavanju određenih odredaba PIPA-e. U toj se obavijesti daju pojašnjenja koja se primjenjuju na svaku obradu osobnih podataka na temelju PIPA-e te se propisuju dodatne zaštitne mjere za osobne podatke koji se prenose u Koreju na temelju ove Odluke. Obavijest je pravno obvezujuća za voditelje obrade osobnih informacija te je mogu izvršavati i PIPC i sudovi (19). Kršenje pravila utvrđenih u Obavijesti podrazumijeva kršenje odgovarajućih odredaba PIPA-e koje se tim pravilima dopunjuju. Stoga se sadržaj tih dodatnih zaštitnih mjera analizira u okviru ocjene odgovarajućih članaka PIPA-e. Naposljetku, dodatne smjernice o PIPA-i i njezinu dekretu o izvršavanju, na kojima se temelji način na koji PIPC primjenjuje i izvršava pravila o zaštiti podataka, navedene su u Priručniku o PIPA-i i smjernicama o PIPA-i koje je donio PIPC (20).

(13)

Osim toga, u Zakonu o upotrebi i zaštiti kreditnih informacija („CIA”) utvrđuju se posebna pravila koja se primjenjuju i na „obične” komercijalne subjekte i na specijalizirane subjekte u financijskom sektoru ako obrađuju osobne kreditne informacije, to jest informacije koje su potrebne da bi se utvrdila kreditna sposobnost stranaka u financijskim ili komercijalnim transakcijama. To ponajprije uključuje ime, podatke za kontakt, financijske transakcije, kreditni rejting, status osiguranja ili saldo zajma ako se te informacije upotrebljavaju za utvrđivanje kreditne sposobnosti pojedinca (21). Međutim, ako se te informacije upotrebljavaju u druge svrhe (kao što su ljudski resursi), PIPA se primjenjuje u cijelosti. Kad je riječ o posebnim odredbama o zaštiti podataka iz CIA-e, usklađenost s njima djelomično nadzire PIPC (za komercijalne organizacije vidjeti članak 45-3. CIA-e), a djelomično Povjerenstvo za financijske usluge (22) (za financijski sektor, uključujući agencije za kreditni rejting, banke, osiguravajuća društva, uzajamne štedionice, specijalizirana kreditna društva, društva za usluge financijskog ulaganja, društva za financiranje vrijednosnih papira, kreditne unije itd. vidjeti članak 45. stavak 1. CIA-e u vezi s člankom 36-2. Dekreta o izvršavanju CIA-e i člankom 38. Zakona o Povjerenstvu za financijske usluge). S obzirom na to, područje primjene ove Odluke ograničeno je na komercijalne subjekte koji podliježu nadzoru PIPC-a (23). Posebna pravila iz CIA-e koja se primjenjuju u tom kontekstu (opća pravila iz PIPA-e primjenjuju se ako ne postoje posebna pravila) opisana su u odjeljku 2.3.11.

(14)

Osim ako nije drukčije predviđeno drugim zakonima, zaštita osobnih podataka uređena je PIPA-om (članak 6.). Materijalno i osobno područje njezine primjene određuje se prema utvrđenim pojmovima „osobne informacije”, „obrada” i „voditelj obrade osobnih informacija”.

(15)

U članku 2. stavku 1. PIPA-e osobne informacije definiraju se kao informacije koje se odnose na žive pojedince i kojima se identitet pojedinca utvrđuje izravno, na primjer po njegovu imenu, registracijskom broju rezidenta ili slici, ili neizravno, to jest ako se samim informacijama ne može utvrditi identitet pojedinca, ali se one mogu lako kombinirati s drugim informacijama. Pitanje mogu li se informacije „lako” kombinirati ovisi o tome je li takvo kombiniranje u razumnoj mjeri vjerojatno, uzimajući u obzir mogućnost dobivanja drugih informacija te vrijeme, trošak i tehnologiju koji su potrebni da bi se utvrdio identitet pojedinca.

(16)

Osim toga, pseudonimizirane informacije – tj. informacije kojima se identitet određenog pojedinca ne može utvrditi, a da se one pritom ne koriste ili kombiniraju s dodatnim informacijama kako bi se vratile u svoje izvorno stanje – smatraju se osobnim podacima na temelju PIPA-e (članak 2. stavak 1. točka (c) PIPA-e). Međutim, informacije koje su potpuno „anonimizirane” isključene su iz područja primjene PIPA-e (članak 58-2. PIPA-e). To je slučaj s informacijama kojima se ne može utvrditi identitet određenog pojedinca, čak i ako se kombiniraju s drugim informacijama, uzimajući u obzir vrijeme, trošak i tehnologiju koji su u razumnoj mjeri potrebni za utvrđivanje identiteta.

(17)

To odgovara materijalnom području primjene Uredbe (EU) 2016/679 i pojmovima „osobni podaci”, „pseudonimizacija” (24) i „anonimizirane informacije” (25).

(18)

Pojam „obrada” široko je definiran u PIPA-i tako da obuhvaća „prikupljanje, generiranje, povezivanje, kombiniranje, snimanje, pohranjivanje, zadržavanje, obradu s dodanom vrijednošću, uređivanje, pronalaženje, izdavanje, ispravljanje, oporavak, upotrebu, prosljeđivanje i otkrivanje, uništavanje osobnih informacija i druge slične aktivnosti” (26). Iako se u određenim odredbama PIPE-e navode samo posebne vrste obrade, kao što su „upotreba”, „prosljeđivanje” ili „prikupljanje” (27), pojam „upotreba” tumači se tako da uključuje svaku vrstu obrade koja nije „prikupljanje” ni „prosljeđivanje” (trećim stranama). Stoga se tim širokim tumačenjem pojma „upotreba” osigurava da ne postoje nikakvi nedostaci u zaštiti s obzirom na posebne aktivnosti obrade. Pojam obrade stoga odgovara istom pojmu iz Uredbe (EU) 2016/679.

(19)

PIPA se primjenjuje na „voditelje obrade osobnih informacija” (voditelj obrade). Slično kao i u Uredbi (EU) 2016/679, to uključuje sve javne institucije, pravne osobe, organizacije ili pojedince koji izravno ili neizravno obrađuju osobne podatke radi upravljanja datotekama s osobnim podacima u okviru svojih aktivnosti (28). U tom kontekstu pojam „datoteka s osobnim informacijama” znači svaki „skup ili skupovi osobnih informacija koji su sustavno složeni ili organizirani na temelju određenog pravila radi lakog pristupa osobnim informacijama” (članak 2. stavak 4. PIPA-e) (29). Voditelj obrade interno je obvezan osposobiti osobe koje su uključene u obradu pod njegovim vodstvom, kao što su službenici trgovačkog društva ili zaposlenici, te izvršavati odgovarajuću kontrolu i nadzor (članak 28. stavak 1. PIPA-e).

(20)

Posebne se obveze primjenjuju kad voditelj obrade („naručitelj”) eksternalizira obradu osobnih podataka trećoj strani („vanjski izvršitelj”). U prvom redu, eksternalizacija mora biti uređena pravno obvezujućim dogovorom (što je obično ugovor) (30) u kojem se utvrđuju opseg eksternaliziranog posla, svrha obrade, tehničke i upravljačke zaštitne mjere koje se trebaju primjenjivati, nadzor koji vrši voditelj obrade, odgovornost (kao što je naknada za štete prouzročene kršenjem ugovornih obveza) te ograničenja povezana s bilo kakvom podobradom (31) (članak 26. stavci 1. i 2. PIPA-e u vezi s člankom 28. stavkom 1. Dekreta o izvršavanju) (32).

(21)

Osim toga, voditelj obrade mora objavljivati, i stalno ažurirati, pojedinosti o eksternaliziranom poslu i identitetu vanjskog izvršitelja ili, ako se eksternalizirana obrada odnosi na aktivnosti izravne prodaje, izravno obavijestiti pojedince o relevantnim informacijama (članak 26. stavci 2. i 3. PIPA-e u vezi s člankom 28. stavcima od 2. do 5. Dekreta o izvršavanju) (33).

(22)

Nadalje, u skladu s člankom 26. stavkom 4. PIPA-e u vezi s člankom 28. stavkom 6. Dekreta o izvršavanju, voditelj obrade obvezan je „educirati” vanjskog izvršitelja o potrebnim sigurnosnim mjerama i nadzirati (među ostalim, provođenjem inspekcijskih pregleda) poštuje li vanjski izvršitelj sve obveze voditelja obrade na temelju PIPA-e (34) te na temelju ugovora o eksternalizaciji. Ako vanjski izvršitelj prouzroči štetu zbog kršenja PIPA-e, njegove radnje ili nedjelovanje pripisat će se voditelju obrade za potrebe utvrđivanja odgovornosti kao kad je riječ o zaposleniku (članak 26. stavak 6. PIPA-e).

(23)

Stoga, iako se u PIPA-i ne koriste različiti pojmovi za „voditelje obrade” i „izvršitelje obrade”, pravilima o eksternalizaciji propisuju se u načelu istovjetne obveze i zaštitne mjere kao i one kojima se uređuje odnos između voditelja obrade i izvršitelja obrade na temelju Uredbe (EU) 2016/679.

(24)

Iako se PIPA primjenjuje na obradu osobnih podataka koju obavljaju svi voditelji obrade, određene odredbe sadržavaju posebna pravila (kao lex specialis) za obradu osobnih podataka „korisnika” koju obavljaju „pružatelji informacijskih i komunikacijskih usluga” (35). Pojam „korisnici” obuhvaća pojedince koji koriste informacijske i komunikacijske usluge (članak 2. stavak 1. točka 4. Zakona o promicanju upotrebe informacijskih i komunikacijskih mreža i zaštiti podataka – Zakon o mrežama). To zahtijeva da pojedinac ili izravno koristi telekomunikacijske usluge koje pruža korejski telekomunikacijski operater ili da koristi informacijske usluge (36) koje komercijalno (tj. u svrhu ostvarivanja dobiti) pruža subjekt koji se pak oslanja na usluge telekomunikacijskog operatera licenciranog/registriranog u Koreji (37). U oba slučaja posebne odredbe PIPA-e obvezuju onog subjekta koji izravno pruža internetsku uslugu pojedincu (tj. korisniku).

(25)

Međutim, zaključak o primjerenosti odnosi se isključivo na razinu zaštite osobnih podataka koji se prenose od voditelja obrade/izvršitelja obrade iz Unije subjektu u trećoj zemlji (u ovom slučaju: u Republici Koreji). U potonjem će scenariju pojedinci u Uniji obično imati izravan odnos samo s „izvoznikom podataka” u Uniji, a ne s korejskim pružateljem informacijskih i komunikacijskih usluga (38). Stoga će se posebne odredbe PIPA-e koje se odnose na osobne podatke korisnika informacijskih i komunikacijskih usluga eventualno primjenjivati samo u ograničenim situacijama na osobne podatke koji se prenose na temelju ove Odluke.

(26)

Člankom 58. stavkom 1. PIPA-e isključuje se primjena dijela PIPA-e (tj. članaka od 15. do 57.) u pogledu četiri kategorije obrade podataka (39). Točnije, ne primjenjuju se dijelovi PIPA-e koji se odnose na posebne osnove za obradu, određene obveze u pogledu zaštite podataka, detaljna pravila za ostvarivanje prava pojedinaca te pravila kojima se uređuje rješavanje sporova koje provodi Odbor za posredovanje u sporovima o osobnim informacijama. Ostale osnovne odredbe PIPA-e i dalje se primjenjuju, naročito opće odredbe o načelima zaštite podataka (članak 3. PIPA-e) – uključujući, primjerice, načela zakonitosti, navođenja svrhe i ograničavanja svrhe, smanjenja količine podataka, točnosti i sigurnosti podataka – i prava pojedinaca (na pristup, ispravak, brisanje i suspenziju – vidjeti članak 4. PIPA-e). Osim toga, člankom 58. stavkom 4. PIPA-e uvode se posebne obveze u vezi s tim aktivnostima obrade, to jest u pogledu smanjenja količine podataka, ograničene pohrane podataka, sigurnosnih mjera i rješavanja pritužbi (40). Stoga pojedinci i dalje mogu podnijeti pritužbu PIPC-u ako se ta načela i obveze ne bi poštovali, a on je u tom slučaju ovlašten poduzimati mjere izvršenja.

(27)

Prvo, djelomično izuzeće obuhvaća osobne podatke prikupljene u skladu sa Zakonom o statističkim podacima radi obrade koju vrše javne institucije. Prema pojašnjenjima dobivenima od korejske vlade, osobni podaci obrađeni u tom kontekstu obično se odnose na korejske državljane i mogu samo iznimno uključivati informacije o strancima, ponajprije u pogledu statističkih podataka o ulasku na državni teritorij i odlasku iz njega ili o stranim ulaganjima. Međutim, čak i u tim situacijama takve podatke obično ne prenose voditelji obrade/izvršitelji obrade iz Unije, već ih radije izravno prikupljaju tijela javne vlasti u Koreji (41). Nadalje, slično onomu što je predviđeno u uvodnoj izjavi 162. Uredbe (EU) 2016/679, na obradu podataka u skladu sa Zakonom o statističkim podacima primjenjuje se nekoliko uvjeta i zaštitnih mjera. Konkretno, Zakonom o statističkim podacima uvode se posebne obveze, kao što je osiguravanje točnosti, dosljednosti i nepristranosti; jamčenje povjerljivosti podataka o pojedincima; zaštita informacija o sudionicima statističkih istraživanja, među ostalim i kako bi se spriječilo da se takve informacije upotrebljavaju u bilo koje druge svrhe osim prikupljanja statističkih podataka i kako bi se članovi osoblja podvrgnuli zahtjevima čuvanja povjerljivosti (42). Tijela javne vlasti koja obrađuju statističke podatke također moraju poštovati, među ostalim, načela smanjenja količine podataka, ograničavanja svrhe i sigurnosti (članak 3. i članak 58. stavak 4. PIPA-e) te pojedincima omogućiti ostvarivanje njihovih prava (pristupa, ispravka, brisanja i suspenzije, vidjeti članak 4. PIPA-e). Naposljetku, podaci se moraju obrađivati u anonimiziranom ili pseudonimiziranom obliku ako je na taj način moguće ispuniti svrhu obrade (članak 3. stavak 7. PIPA-e).

(28)

Drugo, članak 58. stavak 1. PIPA-e odnosi se na osobne podatke prikupljene ili zatražene radi analize informacija povezanih s nacionalnom sigurnošću. Područje primjene i posljedice tog djelomičnog izuzeća podrobnije su opisani u uvodnoj izjavi 149.

(29)

Treće, djelomično izuzeće primjenjuje se na privremenu obradu osobnih podataka ako je to hitno potrebno radi javne zaštite i sigurnosti, uključujući javno zdravlje. PIPC tu kategoriju tumači strogo i, prema primljenim informacijama, nikad nije upotrijebljena. Ona se primjenjuje samo u izvanrednim situacijama u kojima je potrebno hitno djelovanje, primjerice, radi praćenja uzročnika zaraze ili spašavanja i pomaganja žrtvama prirodnih katastrofa (43). Čak i u tim situacijama djelomično izuzeće obuhvaća samo obradu osobnih podataka u ograničenom razdoblju provedbe takvih radnji. Situacije u kojima bi se to moglo primjenjivati na prijenose podataka obuhvaćene ovom Odlukom još su više ograničene, uzimajući u obzir malu vjerojatnost da bi osobni podaci koji se prenose iz Unije korejskim subjektima bili takve vrste da bi njihova naknadna obrada mogla postati „hitno potrebna” za takve izvanredne situacije.

(30)

Naposljetku, djelomično izuzeće primjenjuje se na osobne podatke koje prikupljaju ili upotrebljavaju mediji, vjerske organizacije u svrhu misionarskih aktivnosti i političke stranke u svrhu imenovanja kandidata. Izuzeće se primjenjuje samo ako osobne podatke obrađuju mediji, vjerske organizacije ili političke stranke u te posebne svrhe (tj. novinarske aktivnosti, misionarski rad i imenovanje političkih kandidata). Ako ti subjekti osobne podatke obrađuju u druge svrhe, kao što su upravljanje ljudskim resursima ili unutarnji administrativni poslovi, PIPA se primjenjuje u cijelosti.

(31)

Kad je riječ o obradi osobnih podataka koju vrše mediji u svrhu novinarskih aktivnosti, postizanje ravnoteže između slobode izražavanja i drugih prava (uključujući pravo na privatnost) propisano je Zakonom o arbitraži i korektivnim mjerama itd. za štetu prouzročenu medijskim izvješćivanjem (Zakon o medijima) (44). Konkretno, člankom 5. Zakona o medijima predviđa se da mediji (tj. bilo koja radiodifuzijska organizacija, novine, časopis ili internetske novine), bilo koji internetski servis za vijesti ili internetska multimedijska radiodifuzijska organizacija ne smiju povrijediti privatnost pojedinaca. Ako se povreda privatnosti ipak dogodi, mora se u najkraćem ispraviti u skladu s posebnim postupcima utvrđenima u tom zakonu. S obzirom na to, Zakonom o medijima daju se brojna prava pojedincima koji su pretrpjeli štetu zbog medijskih izvješća, kao što su pravo na objavu ispravka netočne izjave, pravo na ispravak objavom izjave kojom se proturječi medijskom izvješću ili objavom dodatnog izvješća (ako se medijsko izvješće odnosi na tvrdnje o počinjenju kaznenog djela za koje je pojedinac poslije oslobođen optužbi) (45). Zahtjeve pojedinaca mogu riješiti same medijske kuće (preko službenika za pritužbe) (46) ili se one mogu riješiti mirenjem ili arbitražom (pred specijaliziranim Povjerenstvom za medijsku arbitražu) (47) ili pred sudovima. Pojedinci mogu dobiti i naknadu štete ako pretrpe novčanu štetu, povredu osobnog prava ili bilo kakvu drugu duševnu bol zbog nezakonitog postupka medija (koji se može počiniti s namjerom ili iz nehaja) (48). Mediji su na temelju tog zakona oslobođeni od odgovornosti u mjeri u kojoj medijsko izvješće kojim se narušavaju prava pojedinca nije u suprotnosti s društvenim vrijednostima te je objavljeno uz suglasnost predmetnog pojedinca ili u javnom interesu (i postoje dostatne osnove da bi se smatralo da to izvješće odgovara istini) (49).

(32)

Dok obrada osobnih podataka koju vrše mediji u svrhu novinarskih aktivnosti podliježe posebnim zaštitnim mjerama koje proizlaze iz Zakona o medijima, nema takvih dodatnih zaštitnih mjera kojima bi se utvrdila primjena izuzeća za aktivnosti obrade koje vrše vjerske organizacije i političke stranke na način koji bi bio usporediv s člancima 85., 89. i 91. Uredbe (EU) 2016/679. Komisija stoga smatra da je iz područja primjene ove Odluke primjereno isključiti vjerske organizacije, u mjeri u kojoj obrađuju osobne podatke u svrhe svojih misionarskih aktivnosti, i političke stranke, u mjeri u kojoj obrađuju osobne podatke u kontekstu imenovanja kandidata.

(33)

Osobni podaci trebali bi se obrađivati zakonito i pošteno.

(34)

To je načelo utvrđeno člankom 3. stavcima 1. i 2. PIPA-e i potvrđeno člankom 59. PIPA-e, kojim se zabranjuje obrada osobnih podataka „prijevarom, neprikladnim ili nepravednim sredstvima”, „bez pravnog ovlaštenja” ili „izvan okvira propisnog ovlaštenja” (50). Ta opća načela zakonite obrade razrađuju se u člancima od 15. do 19. PIPA-e, u kojima se utvrđuju različite pravne osnove za obradu (prikupljanje, upotrebu i prosljeđivanje trećim stranama), uključujući okolnosti u kojima to može dovesti do promjene svrhe (članak 18. PIPA-e).

(35)

U skladu s člankom 15. stavkom 1. PIPA-e voditelj obrade smije samo prikupljati osobne podatke (u okviru svrhe prikupljanja) na temelju ograničenog broja pravnih osnova. Te su osnove: 1. privola ispitanika (51) (točka 1.); 2. ako je to nužno radi izvršenja i provedbe ugovora s ispitanikom (točka 4.); 3. posebno ovlaštenje koje proizlazi iz zakona ili ako je to nužno radi poštovanja pravnih obveza (točka 2.); ako je to nužno (52) da bi javna institucija mogla izvršavati zadaće iz svoje nadležnosti kako je propisano zakonom; 4. ako se to smatra očito nužnim za zaštitu života te zdravstvenih ili imovinskih interesa ispitanika ili treće strane od neposredne opasnosti (samo ako ispitanik nije u mogućnosti izraziti svoju namjeru ili se prethodna privola ne može pribaviti) (točka 5.); 5. ako je to nužno za ostvarenje „opravdanog interesa” voditelja obrade, pod uvjetom da takav interes „nedvojbeno ima prednost” pred interesima ispitanika (i to samo ako postoji „znatna povezanost” obrade s tim legitimnim interesom i ako ona ne prelazi ono što je razumno) (točka 6.) (53). Te osnove za obradu u načelu su istovjetne osnovama utvrđenima u članku 6. Uredbe (EU) 2016/679, uključujući osnovu „opravdanog interesa” koja je istovjetna osnovi „legitimnog interesa” iz članka 6. stavka 1. točke (f) Uredbe (EU) 2016/679.

(36)

Nakon što su prikupljeni, osobni podaci smiju se koristiti u okviru svrhe prikupljanja (članak 15. stavak 1. PIPA-e) ili „u okviru koji je razumno povezan” sa svrhom prikupljanja, uzimajući u obzir moguće negativne posljedice prouzročene ispitaniku i pod uvjetom da su donesene potrebne sigurnosne mjere (npr. enkripcija) (članak 15. stavak 3. PIPA-e). Kako bi se utvrdilo je li svrha upotrebe „razumno povezana” s prvotnom svrhom prikupljanja, u Dekretu o izvršavanju propisuju se posebni kriteriji koji su slični onima iz članka 6. stavka 4. Uredbe (EU) 2016/679. Konkretno, mora postojati znatna relevantnost u odnosu na prvotnu svrhu; dodatna upotreba mora biti predvidljiva (primjerice, s obzirom na okolnosti u kojima su informacije prikupljene); i, ako je moguće, podaci moraju biti pseudonimizirani (54). Posebni kriteriji koje voditelj obrade primjenjuje u toj ocjeni moraju se unaprijed iznijeti u politici zaštite privatnosti (55). Nadalje, od službenika za zaštitu privatnosti (vidjeti uvodnu izjavu 94.) posebno se zahtijeva da preispita odvija li se daljnja upotreba unutar tih parametara.

(37)

Slična (ali nešto stroža) pravila primjenjuju se na prosljeđivanje podataka trećoj strani. U skladu s člankom 17. stavkom 1. PIPA-e prosljeđivanje osobnih podataka trećoj strani dopušteno je na temelju privole (56) ili, u okviru svrhe prikupljanja, ako su te informacije prikupljene na temelju jedne od pravnih osnova iz članka 15. stavka 1. točaka 2., 3. i 5. PIPA-e. Time se ponajprije isključuje bilo kakvo otkrivanje na temelju „opravdanog interesa” voditelja obrade. Osim toga, člankom 17. stavkom 4. PIPA-e prosljeđivanje trećim stranama dopušta se „u okviru koji je razumno povezan” sa svrhom prikupljanja, uzimajući ponovno u obzir moguće negativne posljedice prouzročene ispitaniku i pod uvjetom da su donesene potrebne sigurnosne mjere (kao što je enkripcija). Kako bi se ocijenilo je li prosljeđivanje u okviru koji je razumno povezan sa svrhom prikupljanja, u obzir se moraju uzeti isti čimbenici kao i oni opisani u uvodnoj izjavi 36. te se primjenjuju iste zaštitne mjere (tj. s obzirom na transparentnost u okviru politike zaštite privatnosti i sudjelovanje službenika za zaštitu privatnosti).

(38)

Ako korejski voditelj obrade podataka primi osobne podatke iz Unije, to se smatra „prikupljanjem” u smislu članka 15. PIPA-e. U Obavijesti br. 2021-5 (odjeljak I. Priloga I. ovoj Odluci) pojašnjava se da svrha u koju je predmetni subjekt iz EU-a prenio podatke čini svrhu prikupljanja za korejskog voditelja obrade podataka. Stoga se od korejskih voditelja obrade podataka koji su primili osobne podatke iz Unije u načelu zahtijeva da te informacije obrađuju u okviru svrhe prijenosa, u skladu s člankom 17. PIPA-e.

(39)

Posebna ograničenja primjenjuju se ako voditelj obrade želi te osobne podatke upotrebljavati ili ih proslijediti trećoj strani u svrhu koja se razlikuje od svrhe prikupljanja (57). U skladu s člankom 18. stavkom 2. PIPA-e privatni voditelj obrade iznimno (58) smije osobne podatke upotrebljavati ili ih prosljeđivati trećoj strani u drugu svrhu: 1. na temelju dodatne (to jest zasebne) privole ispitanika; 2. ako je to predviđeno posebnim zakonskim odredbama; ili 3. ako je to očito nužno za zaštitu života te zdravstvenih ili imovinskih interesa ispitanika ili treće strane od neposredne opasnosti (samo ako ispitanik nije u mogućnosti izraziti svoju namjeru, a prethodna privola ne može se pribaviti) (59).

(40)

U određenim situacijama i javne institucije smiju osobne podatke upotrebljavati ili ih prosljeđivati trećoj strani u drugu svrhu. To uključuje slučajeve u kojima bi inače javnim institucijama bilo nemoguće izvršavati svoje zakonske dužnosti kako su propisane zakonodavstvom, pri čemu takvi slučajevi podliježu odobrenju PIPC-a. Osim toga, javne institucije smiju osobne podatke prosljeđivati drugom tijelu ili sudu ako je to potrebno za istragu i kazneni progon kaznenih djela ili za podizanje optužnice; ako je to potrebno sudu radi izvršavanja njegovih funkcija povezanih sa sudskim postupcima koji su u tijeku; ili ako je to potrebno za izvršenje kaznene sankcije, rješenja o probaciji ili naloga o pritvoru (60). Javne institucije smiju osobne podatke proslijediti i stranoj vladi ili međunarodnoj organizaciji kako bi ispunile pravnu obvezu koja proizlazi iz ugovora ili međunarodne konvencije, a u tom slučaju moraju poštovati i zahtjeve za prekogranične prijenose podataka (vidjeti uvodnu izjavu 90.).

(41)

Stoga su načela zakonitosti i poštenosti obrade provedena u korejskom pravnom okviru na načelno istovjetan način kao i u Uredbi (EU) 2016/679, dopuštanjem obrade samo na temelju legitimnih i jasno utvrđenih osnova. Nadalje, u svim navedenim slučajevima obrada je dopuštena samo ako se njome vjerojatno neće „nepravedno povrijediti” interesi ispitanika ili treće strane, što zahtijeva uravnoteženje interesa. Osim toga, u članku 18. stavku 5. PIPA-e propisuju se dodatne zaštitne mjere kad voditelj obrade prosljeđuje osobne podatke trećoj strani, što može uključivati zahtjev da se ograniči svrha i metoda upotrebe ili da se uvedu posebne sigurnosne mjere. Od treće se strane pak traži da provede zatražene mjere.

(42)

Naposljetku, člankom 28-2. PIPA-e dopušta se (daljnja) obrada pseudonimiziranih informacija bez privole predmetnog pojedinca u svrhu prikupljanja statističkih podataka, provođenja znanstvenih istraživanja (61) i arhiviranja u javnom interesu, što podliježe posebnim zaštitnim mjerama. Stoga se u PIPA-a, slično kao i u Uredbi (EU) 2016/679 (62), olakšava (daljnja) obrada osobnih podataka u takve svrhe unutar okvira u kojem su predviđene odgovarajuće zaštitne mjere za zaštitu prava pojedinaca. Umjesto oslanjanja na pseudonimizaciju kao moguću zaštitnu mjeru, u PIPA-i se ona uvodi kao preduvjet za provođenje određenih aktivnosti obrade u svrhe prikupljanja statističkih podataka, provođenja znanstvenih istraživanja i arhiviranja u javnom interesu (kako bi ti podaci mogli obrađivati bez privole ili kako bi se mogli kombinirati različiti skupovi podataka).

(43)

Nadalje, PIPA-om se uvodi niz posebnih zaštitnih mjera, ponajprije u obliku potrebnih tehničkih i organizacijskih mjera, vođenja evidencije, ograničenja razmjene podataka i otklanjanja mogućih rizika povezanih s ponovnom identifikacijom. Kombiniranjem raznih zaštitnih mjera opisanih u uvodnim izjavama od 44. do 48. osigurava se da obrada osobnih podataka u tom kontekstu podliježe u načelu istovjetnim zaštitama u usporedbi s onima koje bi se zahtijevale u skladu s Uredbom (EU) 2016/679.

(44)

Prvo i najvažnije, člankom 28-5. stavkom 1. PIPA-e zabranjuje se obrada pseudonimiziranih informacija u svrhu utvrđivanja identiteta određenog pojedinca. Ako bi pri obradi pseudonimiziranih informacija ipak došlo do generiranja informacija kojima bi se mogao utvrditi identitet određenog pojedinca, voditelj obrade mora odmah suspendirati obradu i uništiti takve informacije (članak 28-5. stavak 2. PIPA-e). Nepoštovanje tih odredaba podliježe upravnim novčanim kaznama i čini kazneno djelo (63). To znači da je, čak i u onim situacijama u kojima bi bilo praktički moguće ponovno identificirati pojedinca, takva ponovna identifikacija zakonski zabranjena.

(45)

Drugo, pri (daljnjoj) obradi pseudonimiziranih informacija u takve svrhe od voditelja obrade zahtijeva se da uvede posebne tehnološke, upravljačke i fizičke mjere kako bi se osigurala sigurnost informacija (uključujući zasebno pohranjivanje informacija koje su potrebne za vraćanje pseudonimiziranih informacija u njihovo izvorno stanje i zasebno upravljanje tim informacijama) (64). Osim toga, mora se voditi evidencija o pseudonimiziranim informacijama koje se obrađuju, svrsi obrade, povijesti upotrebe i svakom primatelju koji je treća strana (članak 29-5. stavak 2. Dekreta o izvršavanju PIPA-e).

(46)

Treće i konačno, u PIPA-i se predviđaju posebne zaštitne mjere za sprečavanje utvrđivanja identiteta pojedinaca od strane trećih strana u slučaju razmjene informacija. Konkretno, kad prosljeđuju pseudonimizirane informacije trećoj strani u svrhu prikupljanja statističkih podataka, provođenja znanstvenih istraživanja ili arhiviranja u javnom interesu, voditelji obrade ne smiju uključiti informacije koje bi se mogle upotrijebiti za utvrđivanje identiteta određenog pojedinca (članak 28-2. stavak 2. PIPA-e) (65).

(47)

Konkretnije, iako se PIPA-om dopušta kombiniranje pseudonimiziranih informacija (koje obrađuju različiti voditelji obrade) u svrhu prikupljanja statističkih podataka, provođenja znanstvenih istraživanja ili arhiviranja u javnom interesu, ta je ovlast pridržana specijaliziranim institucijama koje imaju posebne sigurnosne kapacitete (članak 28-3. stavak 1. PIPA-e) (66). Pri podnošenju zahtjeva za kombiniranje pseudonimiziranih podataka voditelj obrade mora dostaviti dokumentaciju o, među ostalim, podacima koje treba kombinirati, svrsi kombiniranja te predloženim sigurnosnim mjerama za obradu kombiniranih podataka (67). Kako bi se omogućilo kombiniranje, voditelj obrade mora poslati podatke koje treba kombinirati specijaliziranoj instituciji i dostaviti „ključ za kombiniranje” (tj. informacije koje su upotrjebljene za pseudonimizaciju) Korejskoj agenciji za internet i sigurnost (68). Ta agencija generira „podatke za povezivanje ključeva za kombiniranje” (koji omogućuju povezivanje ključeva za kombiniranje različitih podnositelja zahtjeva radi provođenja kombiniranja tih skupova podataka) i dostavlja ih specijaliziranoj instituciji (69).

(48)

Voditelj obrade koji traži kombiniranje informacija smije analizirati te kombinirane informacije u prostorima specijalizirane institucije u kojima se primjenjuju posebne tehničke, fizičke i administrativne sigurnosne mjere (članak 29-3. Dekreta o izvršavanju PIPA-e). Voditelji obrade koji su dali skup podataka za to kombiniranje smiju kombinirane podatke izvesti iz specijalizirane institucije tek nakon njihove daljnje pseudonimizacije ili anonimizacije i uz odobrenje te institucije (članak 28-3. stavak 2. PIPA-e) (70). Pri razmatranju toga da da odobrenje institucija će ocijeniti povezanost kombiniranih podataka i svrhe obrade te je li za upotrebu tih podataka izrađen poseban sigurnosni plan (71). Izvoz kombiniranih informacija izvan institucije neće se dopustiti ako te informacije sadržavaju podatke koji bi omogućili utvrđivanje identiteta pojedinca (72). Naposljetku, kombiniranje i prijenos pseudonimiziranih podataka koje obavlja specijalizirana institucija nadzire PIPC (članak 29-4. stavak 3. Dekreta o izvršavanju PIPA-e).

(49)

Trebale bi postojati posebne zaštitne mjere ako se obrađuju „posebne kategorije” podataka.

(50)

PIPA sadržava posebna pravila o obradi osjetljivih podataka (73), koji se definiraju kao osobni podaci kojima se otkrivaju informacije o ideologiji, uvjerenjima, primanju u članstvo sindikata ili političke stranke ili prestanku tog članstva, političkim stajalištima, zdravstvenom stanju i spolnom životu pojedinca te druge osobne informacije za koje je vjerojatno da bi „znatno” ugrozile privatnost ispitanika i koje su predsjedničkim dekretom propisane kao osjetljive (74). Prema pojašnjenjima dobivenima od PIPC-a, pojam spolni život tumači se tako da obuhvaća i spolnu orijentaciju ili sklonosti (75). Nadalje, člankom 18. Dekreta o izvršavanju u opseg pojma osjetljivih podataka dodaju se dodatne kategorije, ponajprije informacije o DNK-u pribavljene genetskim testiranjem i podaci koji čine kaznenu evidenciju. Nedavnom izmjenom Dekreta o izvršavanju PIPA-e dodatno je proširen pojam osjetljivih podataka uključivanjem i osobnih podataka koji otkrivaju rasno ili etničko podrijetlo i biometrijske informacije (76). Nakon te izmjene pojam osjetljivih podataka na temelju PIPA-e u načelu je istovjetan pojmu osjetljivih podataka iz članka 9. Uredbe (EU) 2016/679.

(51)

U skladu s člankom 23. stavkom 1. PIPA-e i slično onomu što je predviđeno člankom 9. stavkom 1. Uredbe (EU) 2016/679, obrada osjetljivih podataka općenito je zabranjena, osim ako se primjenjuje jedna od navedenih iznimaka (77). Tim iznimkama obrada se ograničava na slučajeve u kojima voditelj obrade obavijesti ispitanika u skladu s člancima 15. i 17. PIPA-e i pribavi zasebnu privolu (tj. privolu zasebnu od privole za obradu ostalih osobnih podataka) ili ako se obrada zahtijeva ili je dopuštena zakonom. Osim toga, tijela javne vlasti mogu biometrijske informacije, informacije o DNK-u dobivene genetskim testiranjem, osobne informacije koje otkrivaju rasno ili etničko podrijetlo i podatke koji čine kaznenu evidenciju obrađivati na temelju onih osnova koje su dostupne isključivo njima (primjerice, ako je to potrebno za istrage kaznenih djela ili sudu za vođenje predmeta) (78). Stoga su pravne osnove koje su dostupne za obradu osjetljivih podataka ograničenije nego osnove za druge vrste osobnih podataka te su u korejskom pravu čak i restriktivnije od osnova na temelju članka 9. stavka 2. Uredbe (EU) 2016/679.

(52)

Nadalje, u članku 23. stavku 2. PIPA-e – nepoštovanje te odredbe može dovesti do sankcija (79) – naglašava se naročita važnost osiguravanja prikladne sigurnosti pri postupanju s osjetljivim podacima kako „ne bi došlo do gubitka, krađe, otkrivanja, krivotvorenja, izmjene ili oštećenja” tih podataka. Iako je to opći zahtjev na temelju članka 29. PIPA-e, u članku 3. stavku 4. pojašnjava se da se razina sigurnosti mora prilagoditi vrsti osobnih podataka koji se obrađuju, što znači da se u obzir moraju uzeti posebni rizici povezani s obradom osjetljivih podataka. Nadalje, obrada podataka mora se uvijek provoditi „tako da se mogućnost povrede privatnosti ispitanika svede na najmanju mjeru” i po mogućnosti „anonimizacijom” (članak 3. stavci 6. i 7. PIPA-e). Ti zahtjevi naročito su relevantni ako se obrada odnosi na osjetljive podatke.

(53)

Osobni podaci trebali bi se prikupljati u određenu svrhu i na način koji nije nesukladan svrsi obrade.

(54)

To načelo osigurava se člankom 3. stavcima 1. i 2. PIPA-e, prema kojima voditelj obrade mora „izričito navesti” svrhu obrade, osobne podatke obrađivati na prikladan način potreban za tu svrhu i ne smije ih upotrebljavati izvan te svrhe. Opće načelo ograničavanja svrhe potvrđuje se i u članku 15. stavku 1., članku 18. stavku 1., članku 19. i – za izvršitelje obrade (takozvane „vanjske izvršitelje”) – u članku 26. stavku 1. točki 1. i članku 26. stavcima 5. i 7. PIPA-e. Konkretno, osobni podaci smiju se u načelu upotrebljavati i prosljeđivati trećim stranama samo u okviru svrhe u koju su prikupljeni (članak 15. stavak 1. i članak 17. stavak 1. točka 2.). Obrada u sukladnu svrhu, tj. „u okviru koji je razumno povezan s prvotnom svrhom prikupljanja” može se provoditi samo ako ne utječe negativno na predmetne ispitanike i ako su donesene potrebne sigurnosne mjere (kao što je enkripcija) (članak 15. stavak 3. i članak 17. stavak 4. PIPA-e). Kako bi se utvrdilo provodi li se daljnja obrada u sukladnu svrhu, u Dekretu o izvršavanju PIPA-e navode se posebni kriteriji koji su slični onima predviđenima člankom 6. stavkom 4. Uredbe (EU) 2016/679, vidjeti uvodnu izjavu 36.

(55)

Kako je objašnjeno u uvodnoj izjavi 38., svrha prikupljanja u slučaju korejskih voditelja obrade koji primaju osobne podatke iz Unije svrha je u koju su ti podaci preneseni. Mogućnost da voditelj obrade promijeni svrhu dopuštena je samo iznimno, u određenim (navedenim) slučajevima (članak 18. stavak 2. točke od 1. do 3. PIPA-e, vidjeti i uvodnu izjavu 39.). U mjeri u kojoj je promjena svrhe dopuštena zakonom, u tim se zakonima mora poštovati temeljno pravo na privatnost i zaštitu podataka, kao i načela nužnosti i proporcionalnosti iz korejskog Ustava. Nadalje, člankom 18. stavcima 2. i 5. PIPA-e predviđaju se dodatne zaštitne mjere, ponajprije zahtjev da se takvom promjenom svrhe ne smiju „nepravedno povrijediti interesi ispitanika” pa je stoga uvijek nužno uravnoteženje interesa. Time se osigurava razina zaštite koja je u načelu istovjetna onoj na temelju članka 5. stavka 1. točke (b) i članka 6. u vezi s uvodnom izjavom 50. Uredbe (EU) 2016/679.

(56)

Osobni podaci trebali bi biti točni i, prema potrebi, ažurirani. Trebali bi biti i primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obrađuju.

(57)

Načelo točnosti na sličan je način potvrđeno u članku 3. stavku 3. PIPA-e, u kojem se zahtijeva da osobni podaci budu „točni, potpuni i ažurirani u mjeri u kojoj je to nužno u odnosu na svrhe” u koje se ti podaci obrađuju. Smanjenje količine podataka zahtijeva se na temelju članka 3. stavaka 1. i 6. i članka 16. stavka 1. PIPA-e, u kojima se propisuje da voditelj obrade (samo) prikuplja osobne podatke „u najmanjoj mjeri koja je potrebna ” za predviđenu svrhu te je na njemu teret dokazivanja u tom pogledu. Ako je svrhu prikupljanja moguće ostvariti obradom informacija u anonimiziranom obliku, voditelji obrade trebali bi to nastojati učiniti (članak 3. stavak 7. PIPA-e).

(58)

Osobni podaci u načelu se ne bi trebali čuvati duže nego što je nužno za svrhe u koje se obrađuju.

(59)

Načelo ograničenja pohrane na sličan je način propisano člankom 21. stavkom 1. PIPA-e (80), u kojem se od voditelja obrade zahtijeva da bez odgode „uništi” (81) osobne podatke nakon ostvarenja svrhe obrade ili nakon isteka razdoblja pohrane (ovisno o tome što nastupi ranije), osim ako se daljnja pohrana zahtijeva zakonom (82). U potonjem se slučaju relevantni osobni podaci „pohranjuju i njima se upravlja zasebno od drugih osobnih informacija” (članak 21. stavak 3. PIPA-e).

(60)

Članak 21. stavak 1. PIPA-e ne primjenjuje se kad se pseudonimizirani podaci obrađuju u statističke svrhe, svrhe znanstvenog istraživanja ili svrhe arhiviranja u javnom interesu (83). Kako bi se i u tom slučaju osiguralo poštovanje načela ograničene pohrane podataka, u Obavijesti 2021-5 od voditelja obrade zahtijeva se da te informacije anonimiziraju u skladu s člankom 58-2. PIPA-e ako ti podaci nisu uništeni nakon ostvarenja određene svrhe obrade (84).

(61)

Osobni podaci trebali bi se obrađivati tako da se jamči njihova sigurnost, uključujući zaštitu od neovlaštene ili nezakonite obrade te od slučajnog gubitka, uništenja ili oštećenja. U tu bi svrhu poslovni subjekti trebali poduzeti odgovarajuće tehničke ili organizacijske mjere za zaštitu osobnih podataka od mogućih prijetnji. Te bi mjere trebalo procijeniti uzimajući u obzir najsuvremeniju tehnologiju, povezane troškove i prirodu, opseg, kontekst i svrhe obrade te rizike za prava pojedinaca.

(62)

Slično načelo sigurnosti utvrđeno je u članku 3. stavku 4. PIPA-e, u kojem se od voditelja obrade zahtijeva da „upravljaju osobnim informacijama na siguran način u skladu s metodama obrade, vrstom i drugim obilježjima osobnih informacija, uzimajući u obzir mogućnost povrede prava ispitanika i ozbiljnost relevantnih rizika”. Nadalje, voditelj obrade „obrađuje osobne informacije tako da se mogućnost povrede privatnosti ispitanika svede na najmanju mjeru” i u tom kontekstu nastoji, po mogućnosti, obrađivati osobne podatke u anonimiziranom ili pseudonimiziranom obliku (članak 3. stavci 6. i 7. PIPA-e).

(63)

Ti opći zahtjevi dodatno se razrađuju u članku 29. PIPA-e, prema kojem svaki voditelj obrade „poduzima tehničke, upravljačke i fizičke mjere, kao što su izrada plana unutarnjeg upravljanja i čuvanje evidencije prijava itd., koje su potrebne za jamčenje sigurnosti kako je propisano Predsjedničkim dekretom da ne bi došlo do gubitka, krađe, otkrivanja, krivotvorenja, izmjene ili oštećenja osobnih informacija”. U članku 30. stavku 1. Dekreta o izvršavanju PIPA-e te se mjere pobliže određuju tako što se navodi sljedeće: 1. izrada i provedba plana unutarnjeg upravljanja za sigurnu obradu osobnih podataka, 2. kontrole i ograničenja pristupa, 3. uvođenje tehnologije za enkripciju radi sigurne pohrane i prijenosa osobnih podataka, 4. evidencija prijava, 5. sigurnosni programi i 6. fizičke mjere kao što su sustav za sigurnu pohranu i zaključavanje (85).

(64)

Osim toga, u slučaju povrede podataka primjenjuju se posebne obveze (članak 34. PIPA-e u vezi s člancima 39. i 40. Dekreta o izvršavanju PIPA-e) (86). Konkretno, od voditelja obrade zahtijeva se da bez odgode obavijesti ispitanike čiji su podaci povrijeđeni o pojedinostima povrede (87), što uključuje informacije o (obveznim) protumjerama koje je voditelj obrade poduzeo i o tome što ispitanici mogu poduzeti kako bi se rizik od štete sveo na najmanju mjeru (članak 34. stavci 1. i 2. PIPA-e) (88). Ako se povreda podataka odnosi na najmanje 1 000 ispitanika, voditelj obrade dužan je, bez odgode, o povredi podataka i protumjerama izvijestiti i PIPC i Korejsku agenciju za internet i sigurnost, koji mogu pružiti tehničku pomoć (članak 34. stavak 3. PIPA-e u vezi s člankom 39. Dekreta o izvršavanju PIPA-e). Voditelji obrade odgovaraju za štetu nastalu zbog povreda podataka, u skladu s odredbama Građanskog zakona o deliktnoj odgovornosti za štetu (vidjeti i odjeljak 2.5. o pravnoj zaštiti) (89).

(65)

Voditelju obrade pri ispunjavanju njegovih obveza u pogledu sigurnosti mora pomagati službenik za zaštitu privatnosti, čije zadaće uključuju, među ostalim, osmišljavanje sustava unutarnje kontrole „radi sprečavanja otkrivanja, zloupotrebe i pogrešne upotrebe osobnih informacija” (članak 31. stavak 2. točka 4. PIPA-e). Nadalje, voditelj obrade dužan je provoditi „primjerenu kontrolu i nadzor” nad članovima svojeg osoblja koji obrađuju osobne podatke, među ostalim i s obzirom na sigurno upravljanje tim podacima; to uključuje potrebno osposobljavanje („edukaciju”) zaposlenika (članak 28. stavci 1. i 2. PIPA-e). Naposljetku, u slučaju podobrade, voditelj obrade mora uvesti zahtjeve „vanjskom izvršitelju”, među ostalim u pogledu sigurnog upravljanja osobnim podacima („tehničke i upravljačke zaštitne mjere”), i mora nadzirati način provedbe tih mjera inspekcijskim pregledima (članak 26. stavci 1. i 4. PIPA-e u vezi s člankom 28. stavkom 1. točkama 3. i 4. i člankom 28. stavkom 6. Dekreta o izvršavanju PIPA-e).

(66)

Ispitanike bi trebalo obavijestiti o glavnim obilježjima obrade njihovih osobnih podataka.

(67)

To se u korejskom sustavu osigurava na različite načine. Osim prava na obavješćivanje u skladu s člankom 4. točkom 1. PIPA-e (opće obavješćivanje) i člankom 20. stavkom 1. PIPA-e (za osobne podatke prikupljene od trećih strana) te prava na pristup u skladu s člankom 35. PIPA-e, PIPA uključuje i opći zahtjev transparentnosti u pogledu svrhe obrade (članak 3. stavak 1. PIPA-e) te posebne zahtjeve transparentnosti ako se obrada temelji na privoli (članak 15. stavak 2., članak 17. stavak 2. i članak 18. stavak 3. PIPA-e) (90). Nadalje, člankom 20. stavkom 2. PIPA-e od određenih se voditelja obrade – onih kod kojih obrada premašuje određene pragove (91) – zahtijeva da ispitanika čije su osobne podatke primili od treće strane obavijeste o izvoru informacija, svrsi obrade i njegovu pravu da zatraži suspenziju obrade, osim ako se takvo obavješćivanje pokaže nemogućim zbog nepostojanja bilo kakvih kontaktnih informacija. Iznimke se primjenjuju na određene datoteke s osobnim podacima koje drže tijela javne vlasti, ponajprije datoteke koje sadržavaju podatke koji se obrađuju u svrhe nacionalne sigurnosti, drugih naročito važnih („ozbiljnih”) nacionalnih interesa ili kaznenog progona, ili ako bi se obavješćivanjem vjerojatno ugrozio život ili zdravlje druge osobe ili nepravedno nanijela šteta imovini i drugim interesima druge osobe, ali samo ako predmetni javni ili privatni interesi „nedvojbeno imaju prednost” pred pravima predmetnih ispitanika (članak 20. stavak 4. PIPA-e). To zahtijeva uravnoteženje interesa.

(68)

Osim toga, u članku 3. stavku 5. PIPA-e propisuje se da voditelji obrade moraju javno objaviti svoju politiku zaštite privatnosti (i druga pitanja povezana s obradom osobnih podataka). Taj se zahtjev dodatno razrađuje u članku 30. PIPA-e u vezi s člankom 31. Dekreta o izvršavanju PIPA-e. U skladu s tim odredbama politika zaštite privatnosti mora, među ostalim, uključivati sljedeća pitanja: 1. vrste osobnih podataka koji se obrađuju, 2. svrhu obrade, 3 razdoblje pohrane, 4. prosljeđuju li se osobni podaci trećoj strani (92), 5. provodi li se ikakva podobrada, 6. informacije o pravima ispitanika i kako se mogu ostvariti te 7. kontaktne informacije (uključujući ime službenika za zaštitu privatnosti ili podatke o unutarnjem odjelu odgovornom za osiguravanje poštovanja pravila o zaštiti podataka i rješavanje pritužbi). Politika zaštite privatnosti mora se objaviti tako da je ispitanici „mogu lako uočiti” (članak 30. stavak 2. PIPA-e) (93) i mora se stalno ažurirati (članak 31. stavak 2. Dekreta o izvršavanju PIPA-e).

(69)

Javne institucije podliježu dodatnoj obvezi da pri PIPC-u registriraju ponajprije sljedeće informacije: 1. ime javne institucije. 2. osnove za obradu datoteka s osobnim podacima i svrhe te obrade, 3. pojedinosti o osobnim podacima koji se bilježe, 4. metodu obrade, 5. razdoblje pohrane, 6. broj ispitanika čiji se osobni podaci pohranjuju, 7. odjel zadužen za rješavanje zahtjeva ispitanika i 8. primatelje osobnih podataka ako se podaci rutinski ili učestalo prosljeđuju (članak 32. stavak 1. PIPA-e) (94). PIPC objavljuje registrirane datoteke s osobnim podacima, a javne institucije moraju u svojoj politici zaštite privatnosti navesti i upućivanja na njih (članak 30. stavak 1. i članak 32. stavak 4. PIPA-e).

(70)

Kako bi se povećala transparentnost za ispitanike iz Unije čiji se osobni podaci prenose u Koreju na temelju ove Odluke, u odjeljku 3. točkama i. i ii. Obavijesti 2021-5 (Prilog I.) uvode se dodatni zahtjevi transparentnosti. Prvo, kad primaju osobne podatke iz Unije na temelju ove Odluke, korejski voditelji obrade moraju obavijestiti predmetne ispitanike bez neopravdane odgode (a u svakom slučaju najkasnije mjesec dana od prijenosa) o imenima i kontaktnim podacima subjekata koji prenose i primaju te informacije, prenesenim osobnim podacima (ili kategorijama osobnih podataka), svrsi u koju ih korejski voditelj obrade prikuplja, razdoblju pohrane i pravima koja imaju na temelju PIPA-e. Drugo, kad se osobni podaci primljeni iz Unije na temelju ove Odluke prosljeđuju trećim stranama, ispitanici se moraju obavijestiti, među ostalim, o primatelju, osobnim podacima ili kategorijama osobnih podataka koji će se proslijediti, zemlji u koju se ti podaci prosljeđuju (prema potrebi) te pravima koja imaju na temelju PIPA-e (95). Tako se Obaviješću osigurava da pojedinci iz EU-a i dalje budu obaviješteni o konkretnim voditeljima obrade koji obrađuju njihove informacije te da mogu ostvariti svoja prava u odnosu na relevantne subjekte.

(71)

U odjeljku 3. točki iii. Obavijesti (Prilog I.) dopuštaju se određena ograničena i uvjetovana izuzeća od tih dodatnih obveza u pogledu transparentnosti koja su u načelu istovjetna izuzećima predviđenima Uredbom (EU) 2016/679. Konkretno, obavješćivanje ispitanika iz Unije ne zahtijeva se: 1. ako i onoliko dugo koliko je potrebno ograničiti obavješćivanje zbog određenih razloga od javnog interesa (primjerice, ako se informacije obrađuju u svrhe nacionalne sigurnosti ili kaznenih istraga koje su u tijeku), pod uvjetom da taj javni interes nedvojbeno ima prednost pred pravima ispitanika; 2. ako ispitanik već ima te informacije; 3. ako i dokle god bi se obavješćivanjem vjerojatno ugrozio život ili zdravlje tog pojedinca ili druge osobe ili nepravedno povrijedili imovinski interesi druge osobe ako ta prava ili interesi nedvojbeno imaju prednost pred pravima ispitanika; ili 4. ako ne postoje kontaktne informacije za predmetne pojedince ili bi bilo potrebno uložiti nerazmjeran napor da bi se oni obavijestili. Pri određivanju toga je li moguće stupiti u kontakt s ispitanikom ili uključuje li to prekomjeran napor uzet će se u obzir mogućnost suradnje s izvoznikom podataka u Uniju.

(72)

Stoga se pravilima iz uvodnih izjava od 67. do 71. osigurava u načelu istovjetna razina zaštite s obzirom na transparentnost kao i ona koja se predviđa na temelju Uredbe (EU) 2016/679.

(73)

Ispitanici bi trebali imati određena prava koja se mogu ostvariti u odnosu na voditelja obrade ili izvršitelja obrade, osobito pravo na pristup podacima, pravo na ispravak, pravo na prigovor na obradu i pravo na brisanje podataka. Istodobno, ta prava mogu podlijegati ograničenjima u mjeri u kojoj su ona nužna i proporcionalna kako bi se zaštitili važni ciljevi od općeg javnog interesa.

(74)

U skladu s člankom 3. stavkom 5. PIPA-e voditelj obrade dužan je jamčiti ispitaniku prava navedena u članku 4. PIPA-e i dodatno razrađena u člancima od 35. do 37., članku 39. i članku 39-2. PIPA-e.

(75)

Prvo, pojedinci imaju prava na informacije i pristup. Ako je voditelj obrade osobne podatke prikupio od treće strane – što će uvijek biti slučaj kad se podaci prenose iz Unije – ispitanici općenito imaju pravo na dobivanje informacija o 1. „izvoru” prikupljenih osobnih podataka (tj. o prenositelju), 2. svrsi obrade i 3. činjenici da ispitanik ima pravo zatražiti suspenziju obrade (članak 20. stavak 1. PIPA-e). Pritom se primjenjuju ograničena izuzeća, to jest ako bi se takvim obavješćivanjem vjerojatno ugrozio život ili zdravlje druge osobe ili „nepravedno nanijela šteta imovini i drugim interesima” druge osobe, ali samo ako ti interesi trećih strana „nedvojbeno imaju prednost” pred pravima ispitanika (članak 20. stavak 4. točka 2. PIPA-e).

(76)

Osim toga, člankom 35. stavcima 1. i 3. PIPA-e u vezi s člankom 41. stavkom 4. Dekreta o izvršavanju PIPA-e ispitanicima se daje pravo na pristup vlastitim osobnim informacijama (96). Pravo na pristup obuhvaća potvrdu obrade, informacije o vrsti podataka koji se obrađuju, svrsi obrade, razdoblju pohrane, kao i svakom otkrivanju podataka trećoj strani te davanje preslike osobnih informacija koje se obrađuju (članak 4. točka 3. PIPA-e u vezi s člankom 41. stavkom 1. Dekreta o izvršavanju PIPA-e) (97). Pristup se može ograničiti (djelomičan pristup) (98) ili uskratiti samo ako je to predviđeno zakonom (99), ako bi se time vjerojatno ugrozio život ili zdravlje treće strane ili neopravdano povrijedila imovina i ostali interesi druge osobe (članak 35. stavak 4. PIPA-e) (100). Potonje podrazumijeva da bi trebalo postići ravnotežu između, s jedne strane, ustavom zaštićenih prava i sloboda pojedinca i, s druge strane, ustavom zaštićenih prava i sloboda drugih osoba. Ako se pristup ograniči ili uskrati, voditelj obrade mora obavijestiti ispitanika o razlozima za to i o načinu podnošenja žalbe na tu odluku (članak 41. stavak 5. i članak 42. stavak 2. Dekreta o izvršavanju PIPA-e).

(77)

Drugo, ispitanici imaju pravo na ispravak ili brisanje (101) svojih osobnih podataka, „osim ako je drugim zakonima posebno predviđeno drukčije” (članak 36. stavci 1. i 2. PIPA-e) (102). Po zaprimanju zahtjeva voditelj obrade mora istražiti to pitanje bez odgode, poduzeti potrebne mjere (103) i obavijestiti ispitanika o tome u roku od 10 dana; ako se zahtjev ne može odobriti, taj zahtjev za obavješćivanje odnosi se na razloge za uskraćivanje pristupa i način podnošenja žalbe (vidjeti članak 36. stavak 4. PIPA-e u vezi s člankom 43. stavkom 3. Dekreta o izvršavanju PIPA-e) (104).

(78)

Naposljetku, ispitanici imaju pravo na suspenziju obrade njihovih osobnih podataka, bez odgode (105), osim ako se primjenjuje jedna od navedenih iznimaka (članak 37. stavci 1. i 2. PIPA-e) (106). Voditelj obrade smije odbiti taj zahtjev 1. ako je to posebno dopušteno zakonom ili nužno („neizbježno”) radi ispunjenja pravnih obveza, 2. ako bi se suspenzijom vjerojatno ugrozio život ili tijelo treće strane ili neopravdano povrijedila imovina i ostali interesi druge osobe, 3. ako bi javnoj instituciji bez obrade tih informacija bilo nemoguće obavljati svoju funkciju kako je propisano zakonom, ili 4. ako ispitanik izričito ne raskine temeljni ugovor s voditeljem obrade iako bi bilo neizvedivo izvršiti taj ugovor bez takve obrade podataka. U tom slučaju voditelj obrade mora, bez odgode, obavijestiti ispitanika o razlozima za odbijanje zahtjeva i načinu podnošenja žalbe (članak 37. stavak 2. PIPA-e u vezi s člankom 44. stavkom 2. Dekreta o izvršavanju PIPA-e). U skladu s člankom 37. stavkom 4. PIPA-e voditelj obrade pri ispunjavanju zahtjeva za suspenziju mora, bez odgode, „poduzeti potrebne mjere, uključujući uništenje relevantnih osobnih informacija” (107).

(79)

Pravo na suspenziju primjenjuje se i ako se osobni podaci upotrebljavaju u svrhe izravne prodaje, tj. radi promicanja robe ili usluga ili nagovaranja na njihovu kupnju. Nadalje, za takvu daljnju obradu općenito je potrebna posebna (dodatna) privola ispitanika (vidjeti članak 15. stavak 1. točku 1. i članak 17. stavak 2. točku 1. PIPA-e) (108). Voditelj obrade pri traženju te privole mora ispitanika naročito obavijestiti, na „izričito uočljiv način”, o namjeri upotrebe tih podataka u svrhe izravne prodaje – tj. tome da bi ga se moglo kontaktirati radi promicanja robe ili usluga ili nagovaranja na njihovu kupnju (članak 22. stavci 2. i 4. PIPA-e u vezi s člankom 17. stavkom 2. točkom 1. Dekreta o izvršavanju PIPA-e).

(80)

Kako bi se olakšalo ostvarivanje prava pojedinaca, voditelj obrade mora uspostaviti posebne postupke za to i objaviti ih (članak 38. stavak 4. PIPA-e) (109). To uključuje postupke za ulaganje prigovora na odbijanje zahtjeva (članak 38. stavak 5. PIPA-e). Voditelj obrade mora osigurati da je postupak za ostvarivanje prava „lako razumljiv ispitanicima” i da nije zahtjevniji od postupka za prikupljanje osobnih podataka; to uključuje i obvezu navođenja informacija o tom postupku na internetskim stranicama voditelja obrade (članak 41. stavak 2., članak 43. stavak 1. i članak 44. stavak 1. Dekreta o izvršavanju PIPA-e) (110). Pojedinci mogu ovlastiti zastupnika na podnošenje tog zahtjeva (članak 38. stavak 1. PIPA-e u vezi s člankom 45. Dekreta o izvršavanju PIPA-e). Iako voditelj obrade ima pravo naplatiti naknadu (i poštarinu, u slučaju zahtjeva da se kopije osobnih podataka dostave poštom), taj se iznos mora odrediti „u okviru stvarnih troškova potrebnih za obradu [zahtjeva]”; nikakva naknada (ni poštarina) ne smije se naplatiti ako je voditelj obrade prouzročio zahtjev (članak 38. stavak 3. PIPA-e u vezi s člankom 47. Dekreta o izvršavanju PIPA-e).

(81)

PIPA i Dekret o izvršavanju PIPA-e ne sadržavaju opće odredbe koje bi se odnosile na pitanje odluka koje utječu na ispitanika i koje se isključivo temelje na automatiziranoj obradi osobnih podataka. Međutim, kad je riječ o osobnim podacima koji su prikupljeni u Uniji, svaku odluku koja se temelji na automatiziranoj obradi obično donosi voditelj obrade u Uniji (koji ima izravan odnos s predmetnim ispitanikom) te ona stoga podliježe Uredbi (EU) 2016/679 (111). To uključuje scenarije prijenosa u kojima obradu vrši strani (na primjer, korejski) poslovni subjekt koji djeluje kao posrednik (izvršitelj obrade) u ime voditelja obrade u Uniji (ili kao podizvršitelj obrade koji djeluje u ime izvršitelja obrade iz Unije nakon što je podatke dobio od voditelja obrade u Uniji koji ih je prikupio) koji onda na temelju toga donosi odluku. Stoga nije vjerojatno da će nepostojanje posebnih pravila za automatizirano donošenje odluka u PIPA-i utjecati na razinu zaštite osobnih podataka koji se prenose na temelju ove Odluke.

(82)

Iznimno, odredbe o transparentnosti na zahtjev (članak 20.) i pravima pojedinaca (članci od 35. do 37.), kao i zahtjev za obavješćivanje pojedinaca koji se odnosi na pružatelje informacijskih i komunikacijskih usluga (članak 39-8. PIPA-e), ne primjenjuju se u odnosu na pseudonimizirane informacije ako se one obrađuju u svrhu prikupljanja statističkih podataka, provođenja znanstvenih istraživanja ili arhiviranja u javnom interesu (članak 28-7. PIPA-e) (112). U skladu s pristupom iz članka 11. stavka 2. (u vezi s uvodnom izjavom 57.) Uredbe (EU) 2016/679, to se opravdava činjenicom da bi voditelj obrade, kako bi osigurao transparentnost ili dodijelio pojedinačna prava, morao utvrditi jesu li (i, ako jesu, koji su) podaci povezani s pojedincem koji podnosi zahtjev, što je izričito zabranjeno PIPA-om (članak 28-5. stavak 1. PIPA-e). Osim toga, ako takva ponovna identifikacija podrazumijeva poništavanje pseudonimizacije cijelog (pseudonimiziranog) skupa podataka, osobne informacije svih drugih predmetnih pojedinaca bile bi izložene povećanim rizicima. Dok se u Uredbi (EU) 2016/679 upućuje na situacije u kojima je ponovna identifikacija praktički nemoguća, u PIPA-i se primjenjuje stroži pristup tako što se izričito zabranjuje ponovna identifikacija u svim situacijama u kojima se obrađuju pseudonimizirane informacije.

(83)

Korejski sustav, kako je opisano u uvodnim izjavama od 74. do 82., stoga sadržava pravila o pravima ispitanika kojima se osigurava razina zaštite koja je u načelu istovjetna onoj na temelju Uredbe (EU) 2016/679.

(84)

Razina zaštite osobnih podataka koji se prenose iz Unije voditeljima obrade u Republici Koreji ne smije se ugroziti daljnjim prijenosom tih podataka primateljima u trećim zemljama.

(85)

Sa stajališta korejskog voditelja obrade takvi „daljnji prijenosi” čine međunarodne prijenose iz Republike Koreje. S obzirom na to, u PIPA-i se razlikuju eksternalizacija obrade vanjskom izvršitelju (tj. izvršitelju obrade) i prosljeđivanje osobnih podataka trećim stranama (113).

(86)

Prvo, kad se obrada osobnih podataka eksternalizira subjektu koji se nalazi u trećoj zemlji, korejski voditelj obrade mora osigurati poštovanje odredaba PIPA-e o eksternalizaciji (članak 26. PIPA-e). To uključuje uvođenje pravno obvezujućeg instrumenta kojim se, među ostalim, obrada koju provodi vanjski izvršitelj ograničava na svrhu eksternaliziranog posla, uvode tehničke i upravljačke zaštitne mjere i ograničava podobrada (vidjeti članak 26. stavak 1. PIPA-e) te objavljivanje informacija o eksternaliziranom poslu. Osim toga, voditelj obrade obvezan je „educirati” vanjskog izvršitelja o potrebnim sigurnosnim mjerama i nadzirati (među ostalim, provođenjem inspekcijskih pregleda) poštovanje svih obveza voditelja obrade na temelju PIPA-e (114) te ugovora o eksternalizaciji.

(87)

Ako vanjski izvršitelj prouzroči štetu obradom osobnih podataka suprotno odredbama PIPA-e, to će se pripisati voditelju obrade za potrebe utvrđivanja odgovornosti, kao što bi to bilo i da su štetu prouzročili zaposlenici voditelja obrade (članak 26. stavak 6. PIPA-e). Korejski voditelj obrade stoga je i dalje odgovoran za osobne podatke koji su eksternalizirani i mora osigurati da inozemni izvršitelj obrade obrađuje te informacije u skladu s PIPA-om. Ako vanjski izvršitelj obrađuje informacije suprotno odredbama PIPA-e, korejski voditelj obrade može se smatrati odgovornim za nepoštovanje svoje obveze da osigura poštovanje PIPA-e, primjerice, svojim nadzorom rada vanjskog izvršitelja. Zaštitnim mjerama uključenima u ugovor o eksternalizaciji i odgovornošću korejskog voditelja obrade za postupke vanjskog izvršitelja osigurava se kontinuitet zaštite kad se obrada osobnih podataka eksternalizira subjektu izvan Koreje.

(88)

Drugo, korejski voditelji obrade smiju osobne podatke prosljeđivati trećim stranama koje se nalaze izvan Koreje. Iako PIPA sadržava niz zakonskih osnova na temelju kojih se općenito dopušta prosljeđivanje trećim stranama, ako se treća strana nalazi izvan Koreje, voditelj obrade u načelu (115) mora pribaviti privolu ispitanika (116) nakon što ga obavijesti o 1. vrsti osobnih podataka, 2. primatelju osobnih podataka, 3. svrsi prijenosa u smislu svrhe obrade koju će obavljati primatelj, 4. razdoblju pohrane za obradu koju će obavljati primatelj te o 5. činjenici da ispitanik može uskratiti privolu (članak 17. stavci 2. i 3. PIPA-e). U Obavijesti 2021-5, u njezinu odjeljku o transparentnosti (vidjeti uvodnu izjavu 70.), zahtijeva se da se pojedinci obavijeste o trećoj zemlji u koju će se njihovi podaci prosljeđivati. Time se osigurava da ispitanici iz Unije mogu donijeti potpuno utemeljenu odluku o davanju privole na prosljeđivanje u inozemstvo. Nadalje, voditelj obrade ne smije sklopiti ugovor s primateljem koji je treća strana suprotno odredbama PIPA-e, što znači da taj ugovor ne smije sadržavati obveze koje bi bile u suprotnosti sa zahtjevima koji su PIPA-om uvedeni voditelju obrade (117).

(89)

Osobni podaci smiju se prosljeđivati trećim stranama (u inozemstvu) bez privole pojedinca ako je svrha otkrivanja „u okviru koji je razumno povezan” s prvotnom svrhom prikupljanja (članak 17. stavak 4. PIPA-e, vidjeti uvodnu izjavu 36.). Međutim, pri odlučivanju o tome hoće li otkriti osobne podatke u „povezanu” svrhu voditelj obrade mora voditi računa o tome uzrokuju li se otkrivanjem negativne posljedice za ispitanika i jesu li poduzete potrebne sigurnosne mjere (kao što je enkripcija). Budući da treća zemlja u koju se osobni podaci prenose možda ne pruža zaštite slične onima predviđenima na temelju PIPA-e, u odjeljku 2. Obavijesti 2021-5 potvrđuje se da se takve negativne posljedice mogu pojaviti i da se mogu izbjeći jedino ako korejski voditelj obrade i inozemni primatelj, pravno obvezujućim instrumentom (kao što je ugovor), osiguraju razinu zaštite koja je istovjetna onoj iz PIPA-e, među ostalim i u pogledu prava ispitanika.

(90)

Posebna se pravila primjenjuju na „nenamjensko” otkrivanje, tj. prosljeđivanje podataka trećoj strani u novu (nepovezanu) svrhu, koje se može provesti samo na temelju jedne od osnova iz članka 18. stavka 2. PIPA-e, kako je opisano u uvodnoj izjavi 39. Međutim, čak i pod tim uvjetima prosljeđivanje trećim stranama isključeno je ako će se njime vjerojatno „nepravedno povrijediti” interesi ispitanika ili treće strane, što zahtijeva uravnoteženje interesa. Osim toga, u skladu s člankom 18. stavkom 5. PIPA-e voditelj obrade mora primjenjivati dodatne zaštite mjere, što može uključivati zahtjev prema trećoj strani da ograniči svrhu i metodu obrade ili da uvede posebne sigurnosne mjere. Ponovno, s obzirom na to da treća zemlja u koju se osobni podaci prenose možda ne pruža zaštite slične onima predviđenima na temelju PIPA-e, u odjeljku 2. Obavijesti 2021-5 potvrđuje se da se takva „nepravedna povreda” interesa pojedinca ili treće strane može pojaviti i izbjeći jedino ako korejski voditelj obrade i inozemni primatelj, pravno obvezujućim instrumentom (kao što je ugovor), osiguraju razinu zaštite koja je istovjetna onoj iz PIPA-e, među ostalim i u pogledu prava ispitanika.

(91)

Stoga se pravilima iz uvodnih izjava od 86. do 90. osigurava kontinuitet zaštite u slučaju daljnjeg prijenosa osobnih podataka („vanjskom izvršitelju” ili trećoj strani) iz Republike Koreje na način koji je u načelu istovjetan onomu što se predviđa Uredbom (EU) 2016/679.

(92)

Na temelju načela odgovornosti subjekti koji obrađuju podatke moraju uvesti odgovarajuće tehničke i organizacijske mjere kako bi djelotvorno ispunili svoje obveze u pogledu zaštite podataka te mogli dokazati da su ispunjene, prije svega nadležnom nadzornom tijelu.

(93)

U skladu s člankom 3. stavcima 6. i 8. PIPA-e voditelj obrade mora osobne podatke obrađivati „tako da se mogućnost povrede privatnosti ispitanika svede na najmanju mjeru” te mora nastojati zadobiti povjerenje ispitanika tako da poštuje i izvršava zadaće i odgovornosti predviđene PIPA-om i drugim povezanim zakonima. To uključuje izradu plana unutarnjeg upravljanja (članak 29. PIPA-e) te uspostavljanje prikladnog osposobljavanja i nadzora osoblja (članak 28. PIPA-e).

(94)

Kao sredstvo za osiguranje odgovornosti, člankom 31. PIPA-e u vezi s člankom 32. Dekreta o izvršavanju PIPA-e uvodi se obveza za voditelje obrade da imenuju službenika za zaštitu privatnosti koji „sveobuhvatno preuzima odgovornost za obradu osobnih informacija”. Konkretno, taj službenik za zaštitu privatnosti zadužen je za obavljanje sljedećih funkcija: 1. izrada i provedba plana zaštite osobnih podataka i izrada politike zaštite privatnosti, 2. provođenje redovitih anketa o stanju i praksama obrade osobnih podataka radi otklanjanja bilo kakvih nedostataka, 3. rješavanje pritužbi i pitanja povezanih s naknadom radi ispravljanja štete, 4. uspostavljanje sustava unutarnje kontrole radi sprečavanja otkrivanja, zloupotrebe ili pogrešne upotrebe osobnih podataka, 5. pripremanje i provedba programa edukacije, 6. zaštita i kontroliranje datoteka s osobnim podacima te upravljanje njima i 7. uništavanje osobnih podataka nakon što se ostvari svrha obrade ili istekne razdoblje pohrane. U obavljanju tih dužnosti službenik za zaštitu privatnosti može provjeravati stanje obrade osobnih podataka i povezanih sustava te zatražiti informacije o njima (članak 31. stavak 3. PIPA-e). Ako službenik za zaštitu privatnosti sazna za bilo koju povredu PIPA-e ili drugih relevantnih zakona o zaštiti podataka, dužan je odmah poduzeti korektivne mjere i, prema potrebi, prijaviti te mjere upravi („čelniku”) voditelja obrade (članak 31. stavak 4. PIPA-e). U skladu s člankom 31. stavkom 5. PIPA-e, službenik za zaštitu privatnosti ne smije snositi nikakve neopravdane negativne posljedice zbog obavljanja svojih funkcija.

(95)

Osim toga, voditelji obrade moraju proaktivno nastojati provesti procjenu učinka na privatnost ako postupanje s datotekama s osobnim podacima uključuje rizik za privatnost (članak 33. stavak 8. PIPA-e). Na temelju članka 33. stavaka 1. i 2. PIPA-e u vezi s člancima 35., 36. i 38. Dekreta o izvršavanju PIPA-e relevantni čimbenici u procjeni rizika za prava ispitanika bit će, primjerice, vrsta i priroda podataka koji se obrađuju (a naročito to je li riječ o osjetljivim informacijama), količina podataka, razdoblje pohrane i vjerojatnost da će doći do povreda podataka. Svrha je procjene učinka na privatnost osigurati da se analiziraju čimbenici rizika za privatnost te sve sigurnosne ili druge protumjere te utvrditi elemente koje treba poboljšati (vidjeti članak 33. stavak 1. PIPA-e u vezi s člankom 38. Dekreta o izvršavanju PIPA-e).

(96)

Javne institucije imaju obvezu provođenja procjene učinka kad obrađuju određene datoteke s osobnim podacima za koje postoji veći rizik od mogućih povreda privatnosti (članak 33. stavak 1. PIPA-e). U skladu s člankom 35. Dekreta o izvršavanju PIPA-e, takve su datoteke, među ostalim, datoteke koje sadržavaju osjetljive informacije o najmanje 50 000 ispitanika, datoteke koje se mogu povezati s drugim datotekama, pa će, zahvaljujući tom povezivanju, sadržavati informacije o najmanje 500 000 ispitanika, ili datoteke koje sadržavaju informacije o najmanje milijun ispitanika. Rezultat procjene učinka koju je provela javna institucija mora se priopćiti PIPC-u (članak 33. stavak 1. PIPA-e), koji može dati svoje mišljenje (članak 33. stavak 3. PIPA-e).

(97)

Naposljetku, u članku 13. PIPA-e predviđa se da PIPC utvrđuje politike potrebne za promicanje i podupiranje „samoregulirajućih aktivnosti zaštite podataka” koje provode voditelji obrade, među ostalim, edukacijom o zaštiti podataka, promicanjem i podupiranjem organizacija koje se bave zaštitom podataka i pomaganjem voditeljima obrade pri utvrđivanju i provođenju samoregulirajućih pravila. Nadalje, PIPC uvodi i olakšava primjenu sustava oznaka za privatnost na internetu. U vezi s time, u članku 32-2. PIPA-e u vezi s člancima od 34-2. do 34-8. Dekreta o izvršavanju PIPA-e predviđa se mogućnost izdavanja certifikata kojim se potvrđuje da su sustavi voditelja obrade za obradu i zaštitu osobnih podataka usklađeni sa zahtjevima iz PIPA-e. U skladu s tim pravilima certifikat (118) se može izdati (na razdoblje od tri godine) ako voditelj obrade ispunjava kriterije za certificiranje koje je utvrdio PIPC, uključujući uvođenje upravljačkih, tehničkih i fizičkih zaštitnih mjera za zaštitu osobnih podataka (119). Kako bi se očuvala djelotvornost certifikata, PIPC mora barem jednom godišnje ispitati sustave voditelja obrade relevantne za taj certifikat, a to može dovesti do oduzimanja certifikata (članak 32. stavak 4. PIPA-e u vezi s člankom 34-5. Dekreta o izvršavanju PIPA-e; takozvano „daljnje praćenje”).

(98)

Stoga se načelo odgovornosti u korejskom okviru provodi tako da se osigurava razina zaštite koja je u načelu istovjetna onoj na temelju Uredbe (EU) 2016/679, među ostalim i predviđanjem različitih mehanizama za osiguravanje i dokazivanje usklađenosti s PIPA-om.

(99)

Kako je opisano u uvodnoj izjavi 13., u CIA-i se utvrđuju posebna pravila za obradu osobnih kreditnih informacija koju provode komercijalni subjekti. Stoga komercijalni subjekti pri obradi osobnih kreditnih informacija moraju poštovati opće zahtjeve iz PIPA-e, osim ako CIA sadržava konkretnija pravila. To će primjerice biti slučaj kad ti subjekti obrađuju informacije povezane s kreditnom karticom ili bankovnim računom u kontekstu komercijalne transakcije s pojedincem. Budući da je CIA sektorsko zakonodavstvo za obradu kreditnih informacija (i osobnih i neosobnih), njome se uvode ne samo posebne zaštitne mjere za zaštitu podataka (primjerice, u pogledu transparentnosti i sigurnosti) već se i općenitije uređuju posebne okolnosti u kojima se osobne kreditne informacije mogu obrađivati. To se ponajprije odražava u detaljnim zahtjevima za upotrebu podataka, prosljeđivanje podataka trećoj strani i pohranjivanje tih podataka.

(100)

Kao i PIPA-a, CIA-a sadržava načelo zakonitosti i proporcionalnosti. Prvo, kao opći zahtjev, člankom 15.stavkom 1. CIA-e dopušta se samo prikupljanje osobnih kreditnih informacija razumnim i poštenim sredstvima, i to u najmanjoj mjeri koja je nužna za ostvarenje određene svrhe, u skladu s člankom 3. stavcima 1. i 2. PIPA-e. Drugo, CIA-om se posebno uređuje zakonitost obrade osobnih kreditnih informacija, ograničavanjem njihova prikupljanja, upotrebe i prosljeđivanja trećoj strani te općenitim vezivanjem tih aktivnosti obrade za zahtjev za dobivanje privole predmetne osobe.

(101)

Osobne kreditne informacije smiju se prikupljati na temelju jedne od osnova predviđenih PIPA-om ili na temelju posebnih osnova utvrđenih u CIA-i. Budući da se člankom 45. Uredbe (EU) 2016/679 pretpostavlja da prijenos osobnih podataka provodi voditelj obrade ili izvršitelj obrade u Uniji, ali njime nije obuhvaćeno izravno prikupljanje podataka (primjerice, od pojedinca ili s internetskih stranica) koje provodi voditelj obrade u Koreji, za ovu su Odluku relevantne jedino privola i osnove dostupne na temelju PIPA-e. Te osnove uključuju ponajprije scenarije u kojima je prijenos nužan radi izvršenja ugovora s pojedincem ili za legitimne interese korejskog voditelja obrade (članak 15. stavak 1. točke 4. i 6. PIPA-e) (120).

(102)

Nakon što su prikupljene, osobne kreditne informacije smiju se upotrebljavati 1. u prvotnu svrhu u koju ih je pojedinac (izravno) dao (121); 2. u svrhu koja je u skladu s prvotnom svrhom prikupljanja (122); 3. radi utvrđivanja treba li uspostaviti ili nastaviti komercijalni odnos koji je zatražio pojedinac (123); 4. u svrhu prikupljanja statističkih podataka, provođenja istraživanja ili arhiviranja u javnom interesu (124) ako su informacije pseudonimizirane (125); 5. ako se pribavi dodatna privola ili 6. u skladu sa zakonom.

(103)

Ako komercijalni subjekt namjerava otkriti osobne kreditne informacije trećoj strani, mora pribaviti privolu pojedinca (126) nakon što ga obavijesti o primatelju tih podataka, svrsi u koju će primatelj obrađivati podatke, pojedinostima o podacima koji će se proslijediti, razdoblju tijekom kojeg će primatelj pohranjivati podatke i pravu na odbijanje davanja privole (članak 32. stavak 1. CIA-e i članak 28. stavak 2. Dekreta o izvršavanju CIA-e) (127). Taj zahtjev dobivanja privole ne primjenjuje se u određenim situacijama, to jest ako osobne kreditne informacije otkrivaju (128): 1. vanjskom izvršitelju u svrhe eksternalizacije (129); 2. trećoj strani u slučaju poslovnog prijenosa, podjele ili spajanja; 3. u svrhu prikupljanja statističkih podataka, provođenja istraživanja ili arhiviranja u javnom interesu ako su informacije pseudonimizirane; 4. u svrhu koja je u skladu s prvotnom svrhom prikupljanja; 5. trećoj strani koja te informacije upotrebljava radi naplate duga pojedinca (130); 6. radi ispunjavanja sudskog naloga; 7. tužitelju/službeniku pravosudne policije u izvanrednoj situaciji kad je život pojedinca u opasnosti ili se očekuje da će pojedinac pretrpjeti tjelesnu ozljedu, a nema vremena za izdavanje sudskog naloga (131); 8. nadležnim poreznim tijelima radi poštovanja poreznih propisa; ili 9. u skladu s drugim zakonima. U slučaju otkrivanja na temelju jedne od tih osnova, ispitanik se o tome mora unaprijed obavijestiti (članak 32. stavak 7. CIA-e).

(104)

CIA-om se posebno uređuje i trajanje obrade osobnih kreditnih informacija na temelju jedne od tih osnova za upotrebu ili prosljeđivanje trećoj strani nakon prestanka komercijalnog odnosa s pojedincem (132). Smiju se zadržati jedino informacije koje su bile potrebne za uspostavljanje ili održavanje tog odnosa, što podliježe dodatnim zaštitnim mjerama (informacije se moraju čuvati zasebno od kreditnih informacija koje se odnose na pojedince s kojima je komercijalni odnos još traje, moraju biti zaštićene posebnim sigurnosnim mjerama i dostupne jedino ovlaštenim osobama) (133). Svi ostali podaci moraju se izbrisati (članak 17-2. stavak 1. točka 2. Dekreta o izvršavanju CIA-e). Za utvrđivanje toga koji su podaci bili potrebni za komercijalni odnos u obzir se moraju uzeti različiti čimbenici, među ostalim pitanje bi li bilo moguće uspostaviti taj odnos bez tih podataka i odnose li se ti podaci izravno na robu koja se isporučuje ili usluge koje se pružaju pojedincu (članak 17-2. stavak 2. Dekreta o izvršavanju CIA-e).

(105)

Čak i ako se osobne kreditne informacije smiju u načelu zadržati i nakon prestanka komercijalnog odnosa, moraju se izbrisati u roku od tri mjeseca nakon ostvarenja daljnje svrhe obrade (134) ili, u svakom slučaju, nakon pet godina (članak 20-2. CIA-e). U ograničenom broju okolnosti osobne kreditne informacije smiju se čuvati dulje od pet godina, ponajprije ako je to nužno radi poštovanja pravne obveze; ako je to nužno radi ključnih interesa povezanih sa životom, zdravljem ili imovinom pojedinca; radi arhiviranja pseudonimiziranih informacija (koje su se upotrebljavale u svrhe provođenja znanstvenih istraživanja, prikupljanja statističkih podataka ili arhiviranja u javnom interesu); ili za potrebe osiguranja (osobito za potrebe plaćanja povezanih s osiguranjem ili radi sprečavanja prijevara povezanih s osiguranjem) (135). U tim iznimnim slučajevima primjenjuju se posebne zaštitne mjere (kao što su obavješćivanje pojedinca o daljnjoj upotrebi, odvajanje zadržanih informacija od informacija koje se odnose na pojedince s kojima komercijalni odnos još traje i ograničavanje prava na pristup, vidjeti članak 17-2. stavke 1. i 2. Dekreta o izvršavanju CIA-e).

(106)

U CIA-i se dodatno utvrđuju načela točnosti i kvalitete podataka tako što se zahtijeva da se osobne kreditne informacije moraju „registrirati i mijenjati” te se njima mora „upravljati” tako da se osigura njihova točnost i ažuriranost (članak 18. stavak 1. CIA-e i članak 15. stavak 3. Dekreta o izvršavanju CIA-e) (136). Kad se kreditne informacije prosljeđuju određenim drugim subjektima (kao što su agencije za kreditni rejting), od komercijalnih subjekata posebno se zahtijeva i da provjere njihovu točnost kako bi primatelj registrirao i upravljao samo točnim informacijama (članak 15. stavak 1. Dekreta o izvršavanju CIA-e u vezi s člankom 18. stavkom 1. CIA-e). Općenitije, CIA-om se zahtijeva da se za osobne kreditne informacije vode evidencije o njihovu prikupljanju, upotrebi, prosljeđivanju trećim stranama i uništavanju (članak 20. stavak 2. CIA-e) (137).

(107)

Nadalje, obrada osobnih kreditnih informacija podliježe posebnim zahtjevima u pogledu sigurnosti podataka. CIA-om se ponajprije zahtijeva uvođenje tehnoloških, fizičkih i organizacijskih mjera radi sprečavanja nezakonitog pristupa računalnim sustavima, izmjene ili uništavanja podataka koji se obrađuju ili bilo kojeg drugog rizika za te podatke (što se ostvaruje, primjerice, kontrolama pristupa, vidjeti članak 19. CIA-e i članak 16. Dekreta o izvršavanju CIA-e). Osim toga, kad se osobne kreditne informacije razmjenjuju s trećom stranom, potrebno je sklopiti sporazum u kojem se utvrđuju posebne sigurnosne mjere (članak 19. stavak 2. CIA-e). Ako dođe do povrede osobnih kreditnih informacija, mjere za svođenje štete na minimum moraju se provesti bez odgode te se moraju obavijestiti predmetni pojedinci (članak 39-4. stavci 1. i 2. CIA-e). Osim toga, o obavijesti poslanoj pojedincima i provedenim mjerama mora se obavijestiti PIPC (članak 39-4. stavak 4. CIA-e).

(108)

CIA-om se uvode i posebne obveze u pogledu transparentnosti pri pribavljanju privole za upotrebu ili prosljeđivanje osobnih kreditnih informacija (članak 32. stavak 4. i članak 34-2. CIA-e te članak 30-3. Dekreta o izvršavanju CIA-e) te, općenitije, prije prosljeđivanja informacija trećoj strani (članak 32. stavak 7. CIA-e) (138). Osim toga, pojedinci imaju pravo na zahtjev dobiti informacije o upotrebi i prosljeđivanju njihovih kreditnih informacija trećim stranama za razdoblje od tri godine koje prethodi zahtjevu (uključujući svrhu i datume te upotrebe/tog prosljeđivanja) (139).

(109)

Na temelju CIA-e pojedinci imaju i pravo na pristup svojim osobnim kreditnim informacijama (članak 38. stavak 1. CIA-e) i na ispravak netočnih podataka (članak 38. stavci 2. i 3. CIA-e) (140). Nadalje, osim općeg prava na brisanje na temelju PIPA-e (vidjeti uvodnu izjavu 77.), CIA-om se predviđa posebno pravo na brisanje osobnih kreditnih informacija koje su zadržane nakon isteka razdoblja pohrane navedenog u uvodnoj izjavi 104., tj. pet godina (za osobne kreditne informacije koje su bile potrebne za uspostavljanje ili održavanje komercijalnog odnosa) ili tri mjeseca (za ostale vrste osobnih kreditnih informacija) (141). Zahtjev za brisanje može se iznimno odbiti ako je daljnja pohrana potrebna u okolnostima opisanima u uvodnoj izjavi 105. Ako pojedinac zatraži brisanje, ali se primjenjuje jedna od iznimaka, na predmetne kreditne informacije moraju se primijeniti posebne zaštitne mjere (članak 38-3. stavak 3. CIA-e i članak 33-3. Dekreta o izvršavanju CIA-e). Primjerice, informacije se moraju čuvati zasebno od ostalih informacija, smije im pristupati jedino ovlaštena osoba i na njih se moraju primijeniti posebne sigurnosne mjere.

(110)

Osim prava navedenih u uvodnoj izjavi 109., CIA-om se pojedincima jamči pravo da od voditelja obrade zatraže da ih prestane kontaktirati u svrhe izravne prodaje (članak 37. stavak 2. CIA-e) i pravo na prenosivost podataka. Kad je riječ o potonjem, CIA-om se pojedincima omogućuje da zatraže prijenos njihovih osobnih kreditnih informacija njima samima ili određenim trećim stranama (kao što su financijske institucije i agencije za kreditni rejting). Osobne kreditne informacije moraju se obrađivati i prosljeđivati trećim stranama u obliku koji omogućuje obradu tih informacija uređajem za obradu informacija (kao što je računalo).

(111)

Stoga, u mjeri u kojoj CIA sadržava posebna pravila u odnosu na PIPA-u, Komisija smatra da se i tim pravilima osigurava razina zaštite koja je u načelu istovjetna onoj na temelju Uredbe (EU) 2016/679.

(112)

Kako bi se u praksi osigurala primjerena razina zaštite podataka, trebalo bi uspostaviti neovisno nadzorno tijelo s ovlastima za praćenje i provedbu usklađenosti s pravilima o zaštiti podataka. To bi tijelo pri obavljanju svojih dužnosti i izvršavanju svojih ovlasti trebalo djelovati potpuno neovisno i nepristrano.

(113)

U Republici Koreji neovisno tijelo nadležno za praćenje i izvršavanje PIPA-e je PIPC. PIPC se sastoji od predsjednika, potpredsjednika i sedam povjerenika. Predsjednika i potpredsjednika imenuje predsjednik države na preporuku premijera. Dva povjerenika imenuje predsjednik države na preporuku predsjednika PIPC-a, a pet na preporuku Nacionalne skupštine (dva na preporuku političke stranke kojoj pripada predsjednik države, a tri na preporuku ostalih političkih stranaka (članak 7-2. stavak 2. PIPA-e), što pomaže u suzbijanju pristranosti u postupku imenovanja) (142). Taj je postupak u skladu sa zahtjevima koji se primjenjuju na imenovanje članova tijela za zaštitu podataka u Uniji (članak 53. stavak 1. Uredbe (EU) 2016/679). Nadalje, svi povjerenici moraju se suzdržavati od svih poslovnih djelatnosti koje donose zaradu, političkih aktivnosti i od obnašanja dužnosti u javnoj upravi ili Nacionalnoj skupštini (članak 7-6. i članak 7-7. stavak 1. točka 3. PIPA-e) (143). Na sve povjerenike primjenjuju se posebna pravila prema kojima ne smiju sudjelovati u raspravama u slučaju mogućeg sukoba interesa (članak 7-11. PIPA-e). PIPC-u u radu pomaže tajništvo (članak 7-13.) i on može osnivati potpovjerenstva (koja se sastoje od triju povjerenika) za rješavanje manjih povreda i učestalih pitanja (članak 7-12. PIPA-e).

(114)

Svaki član PIPC-a imenuje se na mandat od tri godine i može se još jednom ponovno imenovati (članak 7-4. stavak 1. PIPA-e). Povjerenici se mogu razriješiti dužnosti samo u određenim okolnostima, to jest ako više ne mogu obavljati svoje dužnosti zbog dugotrajnog mentalnog ili tjelesnog invaliditeta, ako su prekršili zakon ili ako je ispunjena jedna od osnova za zabranu obavljanja dužnosti (144) (članak 7-5. PIPA-e). Time im se daje institucionalna zaštita pri izvršavanju njihovih funkcija.

(115)

Općenitije, člankom 7. stavkom 1. PIPA-e izričito se jamči neovisnost PIPC-a, a člankom 7-5. stavkom 2. PIPA-e od povjerenika se zahtijeva da svoje dužnosti obavljaju neovisno, u skladu sa zakonom i svojom savješću (145). Opisanim institucionalnim i postupovnim zaštitnim mjerama, među ostalim i s obzirom na imenovanje i razrješenje članova PIPC-a, osigurava se da PIPC djeluje potpuno neovisno i bez vanjskog utjecaja ili uputa. Nadalje, PIPC kao središnja upravna agencija svake godine predlaže vlastiti proračun (koji preispituje Ministarstvo financija kao dio ukupnog nacionalnog proračuna prije nego što ga prihvati Nacionalna skupština) te je zadužen za upravljanje vlastitim osobljem. PIPC trenutačno ima proračun od oko 35 milijuna EUR i zapošljava 154 člana osoblja (uključujući 40 zaposlenika specijaliziranih za informacijsku i komunikacijsku tehnologiju, 32 zaposlenika zadužena za istrage i 40 pravnih stručnjaka).

(116)

Zadaće i ovlasti PIPC-a uglavnom su predviđene u člancima 7-8. i 7-9. te u člancima od 61. do 66. PIPA-e (146). Zadaće PIPC-a u prvom redu uključuju davanje savjeta o zakonima i drugim propisima koji se odnose na zaštitu podataka, izradu politika i smjernica o zaštiti podataka, provođenje istraga o povredama prava pojedinaca, rješavanje pritužbi i posredovanje u sporovima, provedbu usklađenosti s PIPA-om, osiguravanje edukacije i promicanja u području zaštite podataka te razmjenu i suradnju s tijelima za zaštitu podataka iz trećih zemalja (147).

(117)

Na temelju članka 68. PIPA-e u vezi s člankom 62. Dekreta o izvršavanju PIPA-e određene zadaće PIPC-a delegirane su Korejskoj agenciji za internet i sigurnost, a to su: 1. edukacija i odnosi s javnošću, 2. osposobljavanje specijalista i izrada kriterija za procjene učinka na privatnost, 3. rješavanje zahtjeva za imenovanje takozvane institucije za procjenu učinka na privatnost, 4. rješavanje zahtjeva za neizravan pristup osobnim podacima koje drže tijela javne vlasti (članak 35. stavak 2. PIPA-e) i 5. zadaća traženja materijala i provođenja inspekcijskih pregleda u pogledu pritužbi primljenih preko takozvanog Pozivnog centra za zaštitu privatnosti. U kontekstu rješavanja pritužbi primljenih preko Pozivnog centra za zaštitu privatnosti Korejska agencija za internet i sigurnost, ako utvrdi da je došlo do kršenja zakona, prosljeđuje taj predmet PIPC-u ili tužiteljstvu. Mogućnost podnošenja pritužbe Pozivnom centru za zaštitu privatnosti ne sprečava pojedince da izravno podnesu pritužbu PIPC-u ili da mu se obrate ako smatraju da Korejska agencija za internet i sigurnost nije na zadovoljavajući način riješila njihovu pritužbu.

(118)

Kako bi se osigurala usklađenost s PIPA-om, zakonodavac je PIPC-u dodijelio i istražne i provedbene ovlasti, u rasponu od izdavanja preporuka do izricanja upravnih novčanih kazni. Te su ovlasti dodatno dopunjene režimom kaznenih sankcija.

(119)

Kad je riječ o istražnim ovlastima, ako se sumnja na kršenje PIPA-e ili je to kršenje prijavljeno, ili ako je to potrebno radi zaštite prava ispitanika od kršenja tih prava, PIPC može provoditi inspekcijske preglede na licu mjesta i zatražiti sve relevantne materijale (kao što su predmeti i dokumenti) od voditelja obrade osobnih podataka (članak 63. PIPA-e u vezi s člankom 60. Dekreta o izvršavanju PIPA-e) (148).

(120)

Kad je riječ o izvršavanju, PIPC na temelju članka 61. stavka 2. PIPA-e može davati savjete voditeljima obrade podataka o tome kako poboljšati razinu zaštite osobnih podataka za određene aktivnosti obrade. Voditelji obrade podataka moraju u dobroj vjeri nastojati provesti te savjete i od njih se traži da o ishodu obavijeste PIPC. Nadalje, ako postoje opravdani razlozi za vjerovati da je došlo do kršenja PIPA-e i da bi, ako se ne poduzmu mjere, vjerojatno nastala šteta koju je teško popraviti, PIPC može uvesti korektivne mjere (članak 64. stavak 1. PIPA-e) (149). U odjeljku 5. Obavijesti 2021-5 (Prilog I.) pojašnjava se, s obvezujućim učinkom, da su ti uvjeti ispunjeni u pogledu kršenja bilo koje odredbe iz PIPA-e kojom se štite prava na privatnost pojedinaca u odnosu na osobne informacije (150). Mjere koje je PIPC ovlašten poduzimati uključuju naređivanje prestanka ponašanja koje uzrokuje kršenje, privremenu suspenziju obrade podataka ili bilo koje druge potrebne mjere. Nepoštovanje korektivne mjere može dovesti do sankcije u obliku novčane kazne u najvišem iznosu od 50 milijuna vona (članak 75. stavak 2. točka 13. PIPA-e).

(121)

Kad je riječ o određenim tijelima javne vlasti (kao što su Nacionalna skupština, središnje upravne agencije, tijela lokalne vlasti i sudovi), u članku 64. stavku 4. PIPA-e predviđa se da PIPC može „preporučiti” bilo koju od korektivnih mjera navedenih u uvodnoj izjavi 120. i da ta tijela moraju postupiti u skladu s tom preporukom, osim u izvanrednim okolnostima. Prema odjeljku 5. Obavijesti 2021-5 to se odnosi na izvanredne činjenične ili pravne okolnosti za koje PIPC nije znao kad je dao svoju preporuku. Predmetno javno tijelo može se pozvati na takve izvanredne okolnosti samo ako jasno pokaže da nije došlo ni do kakve povrede, a PIPC utvrdi da zaista nije došlo do povrede. U suprotnome, javno tijelo mora poštovati preporuku PIPC-a i „poduzeti korektivnu mjeru, među ostalim odmah prestati s određenom radnjom, i nadoknaditi štetu u iznimnom slučaju u kojem je ipak počinjena nezakonita radnja”.

(122)

PIPC može i od drugih upravnih agencija s posebnom nadležnošću u skladu sa sektorskim zakonodavstvom (npr. zdravstvo, obrazovanje) zatražiti da same ili zajedno s PIPC-om provedu istragu o povredama privatnosti (na koje se sumnja), koje su počinili voditelji obrade koji djeluju u tim sektorima u njihovoj nadležnosti te da uvedu korektivne mjere (članak 63. stavci od 4. do 5. PIPA-a). U tom slučaju PIPC utvrđuje osnove, predmet i opseg istrage (151). Relevantna upravna agencija mora PIPC-u dostaviti plan inspekcijskog pregleda i obavijestiti ga o rezultatima inspekcijskog pregleda. PIPC može preporučiti poduzimanje konkretne korektivne mjere koju relevantna agencija mora nastojati provesti. U svakom slučaju, tim se zahtjevom ne ograničava nadležnost PIPC-a za provođenje vlastite istrage ili izricanje sankcija.

(123)

Osim svojih korektivnih ovlasti, PIPC može izricati upravne novčane kazne u iznosu od 10 do 50 milijuna vona za povrede raznih zahtjeva iz PIPA-e (članak 75. PIPA-e) (152). Među ostalim, to uključuje nepoštovanje zahtjeva o zakonitosti obrade, nepoduzimanje potrebnih sigurnosnih mjera, neobavješćivanje ispitanika u slučaju povrede podataka, nepoštovanje zahtjeva o podobradi, neutvrđivanje i neobjavljivanje politike zaštite privatnosti, neimenovanje službenika za zaštitu privatnosti ili nepostupanje na temelju zahtjeva ispitanika koji ostvaruje svoja prava pojedinca te određene postupovne povrede (nesuradnja tijekom istrage). U slučaju da isti voditelj obrade prekrši više odredaba PIPA-e, za svako se kršenje može izreći novčana kazna, a pri određivanju visine novčane kazne uzet će se u obzir broj pogođenih pojedinaca.

(124)

Nadalje, ako postoje opravdani razlozi za sumnju na povredu PIPA-e ili bilo kojih drugih „zakona koji se odnose na zaštitu podataka”, PIPC može podnijeti kaznenu prijavu nadležnoj istražnoj agenciji (kao što je javno tužiteljstvo, vidjeti članak 65. stavak 1. PIPA-e). Osim toga, PIPC može savjetovati voditelju obrade da poduzme stegovne mjere protiv odgovorne osobe (uključujući odgovornog rukovoditelja, vidjeti članak 65. stavak 2. PIPA-e). Nakon primanja tog savjeta voditelj obrade mora postupiti u skladu s njim (153) i u pisanom obliku obavijestiti PIPC o rezultatima (članak 65. PIPA-e u vezi s člankom 58. Dekreta o izvršavanju PIPA-e).

(125)

Kad je riječ o savjetu u skladu s člankom 61., korektivnim mjerama u skladu s člankom 64., optužnom prijedlogu ili savjetu o stegovnim mjerama u skladu s člankom 65. i izricanju upravnih novčanih kazni u skladu s člankom 75. PIPA-e, PIPC može objaviti činjenice – tj. povredu, subjekta koji je prekršio zakon i uvedene mjere – tako da ih objavi na svojim internetskim stranicama ili u glavnim nacionalnim dnevnim novinama (članak 66. PIPA-e u vezi s člankom 61. stavkom 1. Dekreta o izvršavanju PIPA-e) (154).

(126)

Na kraju, ispunjavanje zahtjeva o zaštiti podataka iz PIPA-e (te drugih „zakona koji se odnose na zaštitu podataka”) podupire se režimom kaznenih sankcija. S obzirom na to, članci od 70. do 73. PIPA-e sadržavaju odredbe o sankcijama koje mogu dovesti do izricanja novčane kazne (u iznosu od 20 do 100 milijuna vona) ili kazne zatvora (s najvišom kaznom koja se kreće u rasponu od dvije do deset godina). Relevantne povrede uključuju, među ostalima, upotrebu osobnih podataka ili prosljeđivanje tih podataka trećoj strani bez potrebne privole, obradu osjetljivih informacija suprotno zabrani iz članka 23. stavka 1. PIPA-e, nepoštovanje primjenjivih zahtjeva o sigurnosti s posljedicom gubitka, krađe, otkrivanja, krivotvorenja, izmjene ili oštećivanja osobnih podataka, nepoduzimanje potrebnih mjera za ispravak ili brisanje osobnih podataka ili suspendiranje obrade tih podataka ili nezakonit prijenos osobnih podataka u treću zemlju (155). U skladu s člankom 74. PIPA-e, u svakom od tih slučajeva odgovoran je zaposlenik, agent ili predstavnik voditelja obrade te sam voditelj obrade (156).

(127)

Osim kaznenih sankcija propisanih PIPA-om, pogrešna upotreba osobnih podataka može činiti i kazneno djelo na temelju Kaznenog zakona. To se osobito odnosi na povredu tajnosti pisama, dokumenata ili elektroničkih evidencija (članak 316.), otkrivanje informacija koje podliježu obvezi čuvanja profesionalne tajne (članak 317.), prijevaru upotrebom računala (članak 347-2.) te pronevjeru i zloupotrebu povjerenja (članak 355.).

(128)

Stoga se u korejskom sustavu kombiniraju različite vrste sankcija, od korektivnih mjera i upravnih novčanih kazni do kaznenih sankcija, koje vjerojatno imaju naročito velik učinak odvraćanja na voditelje obrade i osobe koje postupaju s podacima. PIPC je počeo koristiti svoje ovlasti odmah nakon što je osnovan 2020. Iz godišnjeg izvješća PIPC-a za 2021. proizlazi da je PIPC već izdao niz preporuka, upravnih novčanih kazni i korektivnih naloga javnom sektoru (oko 34 javna tijela) i privatnim subjektima (oko 140 poduzeća) (157). Među najvažnijim slučajevima, u prosincu 2020. jednom poduzeću je izrečena novčana kazna od 6,7 milijardi vona zbog povrede različitih odredaba PIPA-e (uključujući zahtjeve o sigurnosti, zahtjeve o privoli za prosljeđivanje trećim stranama i zahtjeve transparentnosti) (158), a u travnju 2021. izrečena je novčana kazna od 103,3 milijuna vona jednom poduzeću koje se bavi tehnologijom umjetne inteligencije (zbog povrede, među ostalim odredbama, pravila o zakonitosti obrade, posebice u vezi s privolom, i pravila o obradi pseudonimiziranih informacija) (159). U kolovozu 2021. PIPC je dovršio još jednu istragu povezanu s djelatnostima triju poduzeća, čiji je rezultat bio uvođenje korektivnih mjera i izricanje novčanih kazni u iznosu do 6,47 milijardi vona (među ostalim zbog neobavješćivanja pojedinaca o otkrivanju osobnih podataka trećim stranama, uključujući prijenose trećim zemljama) (160). Osim toga, već i prije nedavne reforme Južna Koreja imala je dobre rezultate u izvršavanju, pri čemu su nadležna tijela koristila sve raspoložive mjere izvršenja, uključujući upravne novčane kazne, korektivne mjere te „objavljivanje imena i javno sramoćenje”, koje su primijenjene na mnoge voditelje obrade, uključujući pružatelje komunikacijskih usluga (Korejsko povjerenstvo za komunikacije) te komercijalne subjekte, financijske institucije, tijela javne vlasti, sveučilišta i bolnice (Ministarstvo unutarnjih poslova i sigurnosti) (161). Komisija na temelju toga zaključuje da korejski sustav u praksi osigurava djelotvorno provođenje pravila o zaštiti podataka, čime se jamči razina zaštite koja je u načelu istovjetna onoj na temelju Uredbe (EU) 2016/679.

(129)

Kako bi se osigurala primjerena zaštita, a naročito ostvarivanje prava pojedinca, ispitaniku bi trebalo pružiti djelotvornu upravnu i sudsku zaštitu, uključujući naknadu štete.

(130)

Korejski sustav pruža pojedincima razne mehanizme za djelotvorno ostvarivanje njihovih prava i dobivanje (sudske) pravne zaštite.

(131)

Kao prvi korak, pojedinci koji smatraju da su njihova prava na zaštitu podataka ili interesi povezani sa zaštitom podataka prekršeni mogu se obratiti odgovarajućem voditelju obrade. U skladu s člankom 30. stavkom 1. točkom 5. PIPA-e politika voditelja obrade o zaštiti privatnosti mora, među ostalim, sadržavati informacije o pravima ispitanika i načinu njihova ostvarivanja. Nadalje, u njoj se moraju navesti kontaktne informacije – kao što su ime i telefonski broj službenika za zaštitu privatnosti ili odjela odgovornog za zaštitu podataka – kako bi se omogućilo podnošenje pritužbi. Unutar organizacije voditelja obrade službenik za zaštitu privatnosti zadužen je za rješavanje pritužbi, donošenje korektivnih mjera u slučaju povrede privatnosti i naknadu radi ispravljanja štete (članak 31. stavak 2. točka 3. i članak 31. stavak 4. PIPA-e). Potonje je relevantno, primjerice, u slučaju povrede podataka jer voditelj obrade mora obavijestiti ispitanika o kontaktnim točkama za prijavljivanje, među ostalim, bilo kakve štete (članak 34. stavak 1. točka 5. PIPA-e).

(132)

Osim toga, u PIPA-i se pojedincima nudi nekoliko mogućnosti za pravnu zaštitu protiv voditelja obrade. Prvo, svaki pojedinac koji smatra da mu je voditelj obrade povrijedio prava na zaštitu podataka ili interese povezane sa zaštitom podataka može prijaviti takvu povredu izravno PIPC-u i/ili jednoj od specijaliziranih institucija koje je PIPC imenovao za primanje i rješavanje pritužbi; to uključuje Korejsku agenciju za internet i sigurnost, koja u tu svrhu vodi pozivni centar za osobne informacije (takozvani „Pozivni centar za zaštitu privatnosti”) (članak 62. stavci 1. i 2. PIPA-e u vezi s člankom 59. Dekreta o izvršavanju PIPA-e). Pozivni centar za zaštitu privatnosti istražuje i utvrđuje povrede, pruža savjetovanje u vezi s obradom osobnih podataka (članak 62. stavak 3. PIPA-e) i može prijaviti povrede PIPC-u (ali ne može sam poduzeti mjere izvršenja). Pozivni centar za zaštitu privatnosti prima brojne pritužbe/zahtjeve (npr. 177 457 u 2020., 159 255 u 2019. i 164 497 u 2018.) (162). Prema informacijama dobivenima od PIPC-a, sam je PIPC od kolovoza 2020. do kolovoza 2021. primio oko 1 000 pritužbi. PIPC može u odgovoru na pritužbu dati savjet za poboljšanja, izricanje korektivnih mjera, podnošenje „optužnog prijedloga” nadležnoj istražnoj agenciji (uključujući javno tužiteljstvo) ili izdavanje prijedloga o stegovnim mjerama (vidjeti članke 61., 64. i 65. PIPA-e). Odluke PIPC-a (kao što su odbijanje rješavanja pritužbe ili odbijanje zbog neosnovanosti pritužbe) mogu se osporavati na temelju Zakona o upravnim sporovima (163).

(133)

Drugo, u skladu s člancima od 40. do 50. PIPA-e u vezi s člancima od 48-14. do 57. Dekreta o izvršavanju PIPA-e, ispitanici mogu podnijeti zahtjeve takozvanom „Odboru za posredovanje u sporovima”, koji se sastoji od predstavnika koje je imenovao predsjednik PIPC-a iz redova članova Službe viših rukovoditelja PIPC-a i pojedinaca imenovanih na temelju njihova iskustva u području zaštite podataka koji pripadaju određenim prihvatljivim skupinama (vidjeti članak 40. stavke 2., 3. i 7. PIPA-e i članak 48-14. Dekreta o izvršavanju PIPA-e) (164). Mogućnost posredovanja pred Odborom za posredovanje u sporovima pruža alternativni način za dobivanje pravne zaštite, ali ne ograničava pravo pojedinca da se umjesto toga obrati PIPC-u ili sudovima. Kako bi ispitao predmet, Odbor može zatražiti od stranaka u sporu da dostave potrebne materijale i/ili pozovu relevantne svjedoke da dođu svjedočiti pred Odborom (članak 45. PIPA-e). Nakon što se pitanje razjasni, Odbor sastavlja nacrt pravorijeka o posredovanju (165), s kojim se mora složiti većina članova Odbora. Nacrt pravorijeka o posredovanju može uključivati suspendiranje povrede, potrebne pravne lijekove (uključujući povrat u prijašnje stanje ili naknadu štete) te sve mjere koje su potrebne za sprečavanje ponavljanja istih ili sličnih povreda (članak 47. stavak 1. PIPA-e). Ako se obje stranke slože s pravorijekom o posredovanju, on će imati isti učinak kao i sudska nagodba (članak 47. stavak 5. PIPA-e). Nijedna od stranaka ne sprečava se u pokretanju sudske tužbe dok je posredovanje u tijeku, a u tom će se slučaju posredovanje obustaviti (vidjeti članak 48. stavak 2. PIPA-e) (166). Godišnji brojčani podaci koje izdaje PIPC pokazuju da pojedinci redovito koriste postupak pred Odborom za posredovanje u sporovima, što često ima uspješan ishod. Na primjer, Odbor je 2020. obradio 126 predmeta, od kojih je 89 riješeno pred Odborom (u 77 predmeta stranke su postigle dogovor prije završetka posredovanja, a u 12 predmeta stranke su prihvatile prijedlog za posredovanje), te je stopa posredovanja bila 70,6 % (167). Nadalje, Odbor je 2019. obradio 139 predmeta, od kojih su 92 riješena, te je stopa mirenja bila 62,2 %.

(134)

Nadalje, ako štetu pretrpi najmanje 50 pojedinaca ili ako su njihova prava na zaštitu podataka povrijeđena na isti ili sličan način kao posljedica istog incidenta/iste vrste incidenta (168), ispitanik ili organizacija za zaštitu podataka mogu u ime takve skupine pojedinaca podnijeti zahtjev za posredovanje u kolektivnom sporu; drugi ispitanici mogu podnijeti zahtjev da se priključe tom posredovanju, koje će Odbor za posredovanje u sporovima javno najaviti (članak 49. stavci od 1. do 3. PIPA-e u vezi s člancima od 52. do 54. Dekreta o izvršavanju PIPA-e) (169). Odbor za posredovanje u sporovima može kao reprezentativnu stranku odabrati najmanje jednu osobu koja najprikladnije predstavlja zajednički interes (članak 49. stavak 4. PIPA-e). Ako voditelj obrade odbije posredovanje u kolektivnom sporu ili ne prihvati pravorijek o posredovanju, određene organizacije (170) mogu podnijeti zajedničku tužbu radi rješavanja problema povrede (članci od 51. do 57. PIPA-e).

(135)

Treće, u slučaju povrede privatnosti kojom je prouzročena „šteta” pojedincu, ispitanik ima pravo na prikladnu pravnu zaštitu u okviru „brzog i poštenog postupka” (članak 4. točka 5. u vezi s člankom 39. PIPA-e) (171). Voditelj obrade može se osloboditi optužbi tako da dokaže da ne postoji krivnja („protupravna namjera” ili nehaj). Ako ispitanik pretrpi štetu kao posljedicu gubitka, krađe, otkrivanja, krivotvorenja, izmjene ili oštećenja njegovih osobnih podataka, sud može dodijeliti iznos naknade koji je do tri puta veći od stvarne štete, uzimajući u obzir brojne čimbenike (članak 39. stavci 3. i 4. PIPA-e). Alternativno, ispitanik može tražiti „razuman iznos” naknade koji ne premašuje iznos od 3 milijuna vona (članak 39-2. stavci 1. i 2. PIPA-e). Nadalje, u skladu s Građanskim zakonom, naknada štete može se tražiti od svake osobe „koja prouzroči gubitke ili nanese štetu drugoj osobi nezakonitom radnjom, iz namjere ili nehaja” (172) ili od osobe „koja je nanijela štetu osobi, povrijedila slobodu ili ugled druge osobe ili uzrokovala bilo kakvu duševnu patnju drugoj osobi” (173). Takvu deliktnu odgovornost za štetu koja proizlazi iz povrede pravila o zaštiti podataka potvrdio je Vrhovni sud (174). Ako je šteta prouzročena nezakonitim postupanjem javnih tijela, zahtjev za naknadu štete može se usto podnijeti na temelju Zakona o naknadi štete od države (175). Zahtjev na temelju Zakona o naknadi štete od države može se podnijeti specijaliziranom „Vijeću za naknadu” ili izravno korejskim sudovima (176). Odgovornost države za štetu obuhvaća i nematerijalnu štetu (kao što je duševna patnja) (177). Ako je žrtva strani državljanin, Zakon o naknadi štete od države primjenjuje se pod uvjetom da zemlja podrijetla tog državljanina jednako tako osigurava naknadu štete od države za korejske državljane (178).

(136)

Četvrto, Vrhovni sud potvrdio je da pojedinci imaju pravo tražiti izdavanje naloga o privremenom prekidu povreda njihovih prava koja imaju na temelju Ustava, uključujući pravo na zaštitu osobnih podataka (179). Sudovi u tom kontekstu mogu, primjerice, narediti voditeljima obrade da suspendiraju ili prestanu provoditi bilo koju nezakonitu aktivnost. Osim toga, prava na zaštitu podataka, uključujući prava zaštićena PIPA-om, mogu se prisilno izvršavati građanskopravnim tužbama. Tu horizontalnu primjenu ustavnopravne zaštite privatnosti na odnose između privatnih stranaka potvrdio je Vrhovni sud (180).

(137)

Na kraju, pojedinci mogu podnijeti kaznenu prijavu u skladu sa Zakonom o kaznenom postupku (članak 223.) javnom tužitelju ili službeniku pravosudne policije (181).

(138)

Stoga korejski sustav pruža razne mogućnosti za dobivanje pravne zaštite, od lako dostupnih i jeftinih mogućnosti (primjerice, stupanjem u kontakt s Pozivnim centrom za zaštitu privatnosti ili (kolektivnim) posredovanjem), preko upravnih mogućnosti za pravnu zaštitu (pred PIPC-om) do sudskih mogućnosti za pravnu zaštitu, među ostalim i s mogućnošću dobivanja naknade štete.

(139)

Komisija je ocijenila i ograničenja i zaštitne mjere, uključujući mehanizme za nadzor i pravnu zaštitu pojedinaca dostupne u korejskom pravu kad je riječ o prikupljanju i naknadnoj upotrebi osobnih podataka koje korejska tijela javne vlasti prenose voditeljima obrade u Koreji u javnom interesu, osobito za potrebe kaznenog progona i nacionalne sigurnosti (pristup vlade). U tom je pogledu korejska vlada Komisiji dostavila službene izjave, jamstva i obveze potpisane na najvišoj ministarskoj razini i razini agencija, koje se nalaze u Prilogu II. ovoj Odluci.

(140)

Pri ocjenjivanju toga ispunjavaju li uvjeti pod kojima je omogućen pristup vlade podacima prenesenima u Koreju na temelju ove Odluke test „načelne istovjetnosti” u skladu s člankom 45. stavkom 1. Uredbe (EU) 2016/679, kako je tumači Sud Europske unije s obzirom na Povelju o temeljnim pravima, Komisija je posebno uzela u obzir kriterije u nastavku.

(141)

Prvo, svako ograničenje prava na zaštitu osobnih podataka mora biti predviđeno zakonom, a u samoj se pravnoj osnovi kojom se dopušta zadiranje u takvo pravo mora definirati doseg ograničenja ostvarivanja predmetnog prava (182).

(142)

Drugo, da bi se ispunio zahtjev proporcionalnosti, prema kojem se odstupanja od zaštite osobnih podataka i ograničenja te zaštite u demokratskom društvu moraju primjenjivati samo ako je to nužno za ostvarenje specifičnih ciljeva od općeg interesa koji su jednakovrijedni onima koje priznaje Unija, u predmetnom propisu treće zemlje kojim se dopušta zadiranje u to pravo moraju biti utvrđena jasna i precizna pravila o dosegu i primjeni predmetnih mjera i moraju se uvesti minimalne zaštitne mjere tako da osobe čiji su podaci preneseni raspolažu dostatnim jamstvima koja omogućuju djelotvornu zaštitu njihovih osobnih podataka od rizika zloupotrebe (183). U propisu se osobito mora navesti u kojim se okolnostima i pod kojim uvjetima može donijeti mjera koja omogućuje obradu tih podataka (184), a ispunjenje takvih zahtjeva mora se podvrgnuti neovisnom nadzoru (185).

(143)

Treće, taj propis i zahtjevi iz njega moraju biti pravno obvezujući na temelju domaćeg prava. To se prije svega odnosi na tijela predmetne treće zemlje, ali ti pravni zahtjevi moraju biti izvršivi pred sudovima i protiv tih tijela (186). Točnije, ispitanici moraju imati mogućnost pokretanja tužbe pred neovisnim i nepristranim sudom radi pristupa svojim osobnim podacima ili ispravka ili brisanja tih podataka (187).

(144)

Ograničenja i zaštitne mjere koji se primjenjuju na prikupljanje i naknadnu upotrebu osobnih podataka od strane korejskih tijela javne vlasti proizlaze iz sveobuhvatnog ustavnog okvira, posebnih zakona kojima se uređuju aktivnosti tih tijela u područjima kaznenog progona i nacionalne sigurnosti te pravila koja se posebno primjenjuju na obradu osobnih podataka.

(145)

Prvo, pristup korejskih tijela javne vlasti osobnim podacima uređuje se općim načelima zakonitosti, nužnosti i proporcionalnosti koja proizlaze iz korejskog Ustava (188). Konkretnije, temeljna prava i slobode (uključujući pravo na privatnost i pravo na privatnost korespondencije) (189) smiju se ograničiti samo zakonom i ako je to potrebno radi nacionalne sigurnosti ili održavanja javnog reda za dobrobit građana. Ta ograničenja ne smiju utjecati na bit predmetnog prava ili predmetne slobode. Kad je posebno riječ o pretragama i zapljenama, Ustavom se propisuje da se one mogu provoditi jedino u skladu sa zakonom, na temelju naloga koji izdaje sudac i u skladu s odgovarajućim postupkom (190). Na kraju, pojedinci se mogu pozivati na svoja prava i slobode pred Ustavnim sudom ako smatraju da su im tijela javne vlasti u izvršavanju svojih ovlasti povrijedila ta prava i slobode (191). Slično tomu, pojedinci koji su pretrpjeli štetu zbog nezakonitog postupanja javnog službenika tijekom obavljanja njegovih službenih dužnosti imaju pravo tražiti pravednu naknadu štete (192).

(146)

Drugo, kako je detaljnije opisano u odjeljcima 3.2.1. i 3.3.1., opća načela navedena u uvodnoj izjavi 145. odražavaju se i u posebnim zakonima kojima se uređuju ovlasti tijela kaznenog progona i tijela za nacionalnu sigurnost. Na primjer, kad je riječ o kaznenim istragama, u Zakonu o kaznenom postupku (CPA) propisuje se da se prisilne mjere smiju poduzimati samo ako je to izričito predviđeno CPA-om i u najmanjoj mjeri potrebnoj za ostvarenje svrhe istrage (193). Slično tomu, u članku 3. Zakona o zaštiti privatnosti komunikacija (CPPA) zabranjuje se pristup privatnim komunikacijama osim na temelju zakona i podložno ograničenjima i zaštitnim mjerama utvrđenima u zakonu. U području nacionalne sigurnosti Zakonom o Nacionalnoj obavještajnoj službi (Zakon o NIS-u) propisuje se da svaki pristup komunikacijama ili informacijama o lokaciji mora biti u skladu sa zakonom te da zloupotreba ovlasti i kršenja zakona podliježu kaznenim sankcijama (194).

(147)

Treće, obrada osobnih podataka koju provode tijela javne vlasti, među ostalim i za potrebe kaznenog progona i nacionalne sigurnosti, podliježe pravilima o zaštiti podataka u skladu s PIPA-om (195). Kao opće načelo, člankom 5. stavkom 1. PIPA-e od tijela javne vlasti zahtijeva se da izrade politike za sprečavanje „zloupotrebe i pogrešne upotrebe osobnih informacija, neselektivnog nadzora i praćenja itd. te za unapređenje dostojanstva ljudskih bića i privatnosti pojedinaca”. Osim toga, svaki voditelj obrade mora osobne podatke obrađivati tako da se mogućnost povrede privatnosti ispitanika svede na najmanju mjeru (članak 3. stavak 6. PIPA-e).

(148)

Svi zahtjevi iz PIPA-e, kako su detaljno opisano u odjeljku 2., primjenjuju se na obradu osobnih podataka za potrebe kaznenog progona. To uključuje temeljna načela (kao što su zakonitost i poštenost, ograničavanje svrhe, točnost, smanjenje količine podataka, ograničenje pohrane, sigurnost i transparentnost), obveze (primjerice, u vezi s obavješćivanjem o povredi podataka i osjetljivim podacima) i prava (na dobivanje pristupa, ispravak, brisanje i suspenziju).

(149)

Iako obrada osobnih podataka za potrebe nacionalne sigurnosti podliježe ograničenijem skupu odredaba iz PIPA-e, na nju se primjenjuju temeljna načela te pravila o nadzoru, izvršavanju i pravnoj zaštiti (196). Konkretnije, u člancima 3. i 4. PIPA-e utvrđuju se opća načela zaštite podataka (zakonitost i poštenost, ograničavanje svrhe, točnost, smanjenje količine podataka, sigurnost i transparentnost) i prava pojedinaca (pravo pojedinca da bude obaviješten, pravo na pristup te prava na ispravak, brisanje i suspenziju) (197). U članku 4. stavku 5. PIPA-e pojedincima se usto daje i pravo na prikladnu pravnu zaštitu za svaku štetu koja proizlazi iz obrade njihovih osobnih podataka u okviru brzog i poštenog postupka. To je dopunjeno konkretnijim obvezama prema kojima se osobni podaci moraju obrađivati samo u najmanjoj mjeri koja je potrebna za ostvarenje predviđene svrhe i tijekom minimalnog razdoblja, moraju se uvesti potrebne mjere za osiguranje sigurnog upravljanja podacima i prikladne obrade (kao što su tehničke, upravljačke i fizičke zaštitne mjere) te se moraju uvesti mjere za prikladno rješavanje pojedinačnih pritužbi (198). Na kraju, opća načela zakonitosti, nužnosti i proporcionalnosti iz korejskog Ustava (vidjeti uvodnu izjavu 145.) primjenjuju se i na obradu osobnih podataka za potrebe nacionalne sigurnosti.

(150)

Na ta opća ograničenja i zaštitne mjere pojedinci se mogu pozivati pred neovisnim nadzornim tijelima (npr. PIPC i/ili Nacionalno povjerenstvo za ljudska prava, vidjeti uvodne izjave 177. i 178.) i sudovima (vidjeti uvodne izjave od 179. do 183.) kako bi dobili pravnu zaštitu.

(151)

Pravom Republike Koreje uvode se brojna ograničenja pristupa osobnim podacima i njihove upotrebe za potrebe kaznenog progona te se predviđaju mehanizmi nadzora i pravne zaštite koji su u skladu sa zahtjevima iz uvodnih izjava od 141. do 143. ove Odluke. Uvjeti pod kojima je takav pristup moguć i zaštitne mjere koje se primjenjuju na upotrebu tih ovlasti detaljno se ocjenjuju u odjeljcima u nastavku.

(152)

Osobne podatke koje obrađuju korejski voditelji obrade, a koji bi se prenosili iz Unije na temelju ove Odluke (199) mogla bi prikupljati korejska tijela za potrebe kaznenog progona u kontekstu pretrage ili zapljene (na temelju CPA-a), pristupanjem informacijama o komunikaciji (na temelju CPPA-a) ili pribavljanjem podataka o pretplatnicima putem zahtjevâ za dobrovoljno otkrivanje (na temelju Zakona o telekomunikacijama, TBA) (200).

(153)

CPA-om se predviđa da se pretraga ili zapljena smije provoditi samo ako se osoba sumnjiči za kazneno djela, ako je to potrebno za istragu i ako se utvrdi povezanost između istrage i osobe koju treba pretražiti ili predmeta koji treba pregledati ili zaplijeniti (201). Nadalje, pretraga ili zapljena (kao i bilo koja prisilna mjera) smiju se dopustiti/provoditi samo u najmanjoj potrebnoj mjeri (202). Ako se pretraga odnosi na računalni disk ili drugi medij za pohranu podataka, u načelu se zapljenjuju samo potrebni podaci (kopirani ili ispisani), a ne cijeli medij (203). Potonji se smije zaplijeniti samo ako se smatra gotovo nemogućim zasebno ispisati ili kopirati potrebne podatke ili ako se smatra da je gotovo neizvedivo na drugi način ostvariti svrhu pretrage (204). Stoga se CPA-om propisuju jasna i precizna pravila o opsegu i primjeni tih mjera, čime se osigurava da će zadiranje u prava pojedinaca u slučaju pretrage ili zapljene biti ograničeno na ono što je nužno za određenu kaznenu istragu i proporcionalno predviđenoj svrsi.

(154)

Kad je riječ o postupovnim zaštitnim mjerama, CPA-om se zahtijeva da se za provođenje pretrage ili zapljene mora dobiti nalog suda (205). Pretraga ili zapljena bez naloga samo je iznimno dopuštena, to jest u hitnim okolnostima (206), na licu mjesta u trenutku uhićenja ili zadržavanja osumnjičenika za kazneno djelo (207) ili ako su osumnjičenik za kazneno djelo ili treća osoba (odnosno, kad je riječ o osobnim podacima, sam predmetni pojedinac) odbacili ili dobrovoljno predali predmet (208). Nezakonite pretrage i zapljene podliježu kaznenim sankcijama (209) te se svi dokazi prikupljeni suprotno odredbama CPA-a smatraju nedopuštenima (210). Naposljetku, predmetni pojedinci moraju se uvijek bez odgode obavijestiti o pretrazi ili zapljeni (uključujući zapljenu njihovih podataka) (211), čime će se pak olakšati ostvarivanje njihovih materijalnih prava i prava na pravnu zaštitu (vidjeti naročito mogućnost osporavanja izvršenja naloga za zapljenu, vidjeti uvodnu izjavu 180.).

(155)

Na temelju CPPA-a korejska tijela kaznenog progona mogu poduzimati dvije vrste mjera (212): s jedne strane, prikupljanje „podataka o potvrdi komunikacije” (213), što uključuje datum telekomunikacija, njihovo vrijeme početka i završetka, broj odlaznih i dolaznih poziva te pretplatnički broj druge strane, učestalost upotrebe, zapisnike o upotrebi telekomunikacijskih usluga i informacije o lokaciji (na primjer s odašiljača na kojima su signali primljeni); i, s druge strane, „mjere ograničavanja komunikacije”, koje obuhvaćaju i prikupljanje sadržaja tradicionalne pošte i izravno presretanje sadržaja telekomunikacija (214).

(156)

Podacima o potvrdi komunikacije smije se pristupiti samo kad je to potrebno radi vođenja kaznene istrage ili izvršenja kazne (215), na temelju naloga koji je izdao sud (216). S obzirom na to, u CPPA-u se zahtijeva da se detaljne informacije navedu i u zahtjevu za nalog (npr. o razlozima za zahtjev, odnos s ciljem/pretplatnikom i potrebnim podacima) i u samom nalogu (npr. o svrsi, cilju i opsegu mjere) (217). Prikupljanje bez naloga smije se provoditi samo ako zbog hitnosti nije moguće dobiti dopuštenje suda, a u tom se slučaju nalog mora ishoditi i o njemu se mora obavijestiti pružatelj telekomunikacijskih usluga odmah nakon što se zatraže podaci (218). Ako sud odbija dati naknadno dopuštenje, prikupljene informacije moraju se uništiti (219).

(157)

Kad je riječ o dodatnim zaštitnim mjerama s obzirom na prikupljanje podataka o potvrdi komunikacije, CPPA-om se uvode posebni zahtjevi o vođenju evidencije i transparentnosti (220). Konkretno, i tijela kaznenog progona (221) i pružatelji telekomunikacijskih usluga (222) moraju voditi evidencije o podnesenim zahtjevima i izvršenim otkrivanjima. Osim toga, tijela kaznenog progona moraju u načelu obavijestiti pojedince o tome da su prikupljeni njihovi podaci o potvrdi komunikacije (223). To obavješćivanje smije se odgoditi samo u iznimnim okolnostima, na temelju odobrenja direktora nadležnog ureda okružnog javnog tužitelja (224). To odobrenje može se dati samo ako je vjerojatno da će se obavješćivanjem 1. ugroziti nacionalna sigurnost, javna sigurnost i javni red, 2. prouzročiti smrt ili tjelesne ozljede, 3. onemogućiti pravedan sudski postupak (na primjer, dovesti do uništenja dokaza ili prijetnje svjedocima) ili 4. dovesti do klevete osumnjičenika, žrtava ili drugih osoba povezanih s predmetom ili zadiranja u njihovu privatnost. U tim se slučajevima obavijest mora dati u roku od 30 dana nakon što osnove za odgodu prestanu postojati (225). Nakon obavješćivanja pojedinci imaju pravo dobiti informacije o razlozima za prikupljanje njihovih podataka (226).

(158)

Stroža pravila primjenjuju se na mjere ograničavanja komunikacije, koje se smiju primjenjivati samo ako postoji opravdan razlog za sumnju da se određena teška kaznena djela navedena u CPPA-u planiraju, čine ili da su počinjena (227). Nadalje, mjere ograničavanja komunikacije smiju se poduzimati samo kao krajnja mjera i ako je teško na drugi način spriječiti počinjenje kaznenog djela, uhititi počinitelja ili prikupiti dokaze (228). Moraju se obustaviti čim prestanu biti potrebne kako bi se osiguralo da povreda privatnosti komunikacija bude što ograničenija (229). Informacije koje su nezakonito pribavljene primjenom mjera ograničavanja komunikacije ne priznaju se kao dokaz u sudskom ili stegovnom postupku (230).

(159)

Kad je riječ o postupovnim zaštitnim mjerama, CPPA-om se zahtijeva da se za provođenje mjera ograničavanja komunikacije mora ishoditi sudski nalog (231). Osim toga, CPPA-om se zahtijeva da zahtjev za nalog i sam nalog sadržavaju detaljne informacije (232), među ostalim o obrazloženju zahtjeva te komunikacijama koje treba prikupiti (koje moraju biti komunikacije osumnjičenika pod istragom) (233). Takve se mjere smiju poduzimati bez naloga jedino u slučaju neminovne prijetnje organiziranog kriminala ili ako je neminovno drugo teško kazneno djelo koje može izravno dovesti do smrti ili teških ozljeda, a riječ je o izvanrednoj situaciji u kojoj nije moguće provesti redovni postupak (234). Međutim, u tom se slučaju zahtjev za nalog mora podnijeti odmah nakon poduzimanja mjere (235). Mjere ograničavanja komunikacije smiju se provoditi u razdoblju od najviše dva mjeseca (236) i mogu se produljiti samo odobrenjem suda ako su uvjeti za njihovo provođenje i dalje ispunjeni (237). To produljeno razdoblje ne smije ukupno trajati više od godine dana ili tri godine za određena naročito teška kaznena djela (kao što su kaznena djela povezana s pobunom, stranom agresijom i nacionalnom sigurnošću) (238).

(160)

Kao i za prikupljanje podataka o potvrdi komunikacije, CPPA-om se od pružatelja telekomunikacijskih usluga (239) i tijela kaznenog progona (240) zahtijeva da vode evidencije izvršavanja mjera ograničavanja komunikacije i predviđa obveza obavješćivanja predmetnog pojedinca, što se prema potrebi iznimno može odgoditi na temelju važnog javnog interesa (241).

(161)

Naposljetku, nepoštovanje pojedinih ograničenja i zaštitnih mjera iz CPPA-a (uključujući, primjerice, obveze ishođenja naloga, vođenja evidencije i obavješćivanja pojedinca), i u vezi s prikupljanjem podataka o potvrdi komunikacije i u vezi s primjenom mjera ograničavanja komunikacije, podliježe kaznenim sankcijama (242).

(162)

Stoga su ovlasti tijela kaznenog progona za prikupljanje podataka o komunikacijama na temelju CPPA-a (i sadržaja komunikacija i podataka o potvrdi komunikacije) ograničene jasnim i preciznim pravilima te podliježu brojnim zaštitnim mjerama. Tim zaštitnim mjerama ponajprije se jamči nadzor nad izvršavanjem tih mjera, i ex ante (prethodnim sudskim odobrenjem) i ex post (zahtjevima o vođenju evidencije i obavješćivanju), te se olakšava pristup pojedinaca djelotvornim pravnim lijekovima (time što se osigurava da su obaviješteni o prikupljanju njihovih podataka).

(163)

Osim oslanjanja na prisilne mjere opisane u uvodnim izjavama od 153. do 162., korejska tijela kaznenog progona mogu od pružatelja telekomunikacijskih usluga zatražiti da na dobrovoljnoj osnovi otkriju „podatke o komunikacijama” radi potpore u kaznenom postupku, istrazi ili izvršenju kazne (članak 83. stavak 3. TBA-a). Ta mogućnost postoji samo za ograničene skupove podataka, tj. ime, registracijski broj rezidenta, adresu i telefonski broj korisnika, datume kad su se korisnici pretplatili ili okončali pretplatu te korisničke identifikacijske kodove (tj. kodove koji služe za identifikaciju stvarnog korisnika računalnih sustava ili komunikacijskih mreža) (243). Budući da se „korisnicima” smatraju samo pojedinci koji izravno ugovaraju usluge kod korejskog pružatelja telekomunikacijskih usluga (244), pojedinci iz EU-a čiji su podaci preneseni u Republiku Koreju neće obično biti obuhvaćeni tom kategorijom (245).

(164)

Na takva dobrovoljna otkrivanja primjenjuju se različita ograničenja, i s obzirom na izvršavanje ovlasti od strane tijela kaznenog progona i s obzirom na odgovor telekomunikacijskog operatera. Kao opći zahtjev, tijela kaznenog progona moraju postupati u skladu s ustavnim načelima nužnosti i proporcionalnosti (članak 12. stavak 1. i članak 37. stavak 2. Ustava), među ostalim i kad traže otkrivanje informacija na dobrovoljnoj osnovi. Osim toga, moraju poštovati PIPA-u, prije svega prikupljanjem samo minimalnih osobnih podataka, u mjeri potrebnoj za ostvarenje legitimne svrhe i tako da se učinak na privatnost pojedinaca svede na najmanju mjeru (članak 3. stavci 1. i 6. PIPA-e). Konkretnije, zahtjevi za pribavljanje podataka o komunikacijama na temelju TBA-a moraju se podnijeti u pisanom obliku i u njima se moraju navesti razlozi za zahtjev, poveznica na relevantnog korisnika i opseg traženih podataka (246).

(165)

Pružatelji telekomunikacijskih usluga nisu obvezni postupiti po takvim zahtjevima i smiju to činiti samo u skladu s PIPA-om. To konkretno znači da moraju uzeti u obzir različite predmetne interese i da ne smiju otkrivati podatke ako bi se time vjerojatno nepošteno povrijedili interesi pojedinca ili treće strane (247). To bi na primjer bio slučaj ako je očito da je tijelo koje je uputilo zahtjev zloupotrijebilo svoje ovlasti (248). Telekomunikacijski operateri moraju čuvati evidencije o otkrivanjima na temelju TBA-a i dvaput godišnje izvješćivati ministra znanosti i IKT-a (249).

(166)

Osim toga, u skladu s odjeljkom 3. Obavijesti br. 2021-5 (Prilog I.), pružatelji telekomunikacijskih usluga u načelu moraju obavijestiti predmetnog pojedinca kad dobrovoljno postupe po zahtjevu (250). Time će se pak pojedincu omogućiti da ostvari svoja prava i, ako da su njegovi podaci otkriveni nezakonito, dobije pravnu zaštitu, ili protiv voditelja obrade (primjerice, zbog otkrivanja podataka suprotno odredbama PIPA-e ili zbog postupanja po zahtjevu koji je očito bio neproporcionalan) ili protiv tijela kaznenog progona (primjerice, zbog postupanja izvan okvira onoga što je nužno i proporcionalno ili zbog nepoštovanja postupovnih zahtjeva iz TBA-a).

(167)

Obrada osobnih podataka koje prikupljaju korejska tijela kaznenog progona podliježe svim zahtjevima iz PIPA-e, među ostalim u pogledu ograničavanja svrhe (članak 3. stavci 1. i 2. PIPA-e), zakonitosti upotrebe i prosljeđivanja trećim stranama (članci 15., 17. i 18. PIPA-e), međunarodnih prijenosa (članci 17. i 18. PIPA-e u vezi s odjeljkom 2. Obavijesti 2021-5) (251), proporcionalnosti/smanjenja količine podataka (članak 3. stavci 1. i 6. PIPA-e) i ograničenja pohrane (članak 21. PIPA-e) (252).

(168)

Kad je riječ o sadržaju komunikacija koji je pribavljen izvršenjem mjera ograničavanja komunikacije, njegova se moguća upotreba CPPA-om izričito ograničava na istragu, kazneni progon ili sprečavanje teških kaznenih djela (253), stegovne postupke za ista kaznena djela, postupke o zahtjevima za naknadu štete koje je podnijela stranka uključena u komunikaciju ili ako je to izričito dopušteno drugim zakonima (254). Nadalje, prikupljeni sadržaj telekomunikacija prenesenih internetom smije se zadržati samo uz odobrenje suda koji je dopustio mjere ograničavanja komunikacije (255), kako bi se upotrijebio za potrebe istrage, kaznenog progona ili sprečavanja teških kaznenih djela (256). Općenitije, CPPA-om se zabranjuje otkrivanje povjerljivih informacija pribavljenih primjenom mjera ograničavanja komunikacije i upotreba tih informacija u svrhu narušavanja ugleda osoba koje su bile cilj tih mjera (257).

(169)

U Koreji aktivnosti tijela kaznenog progona nadziru različita tijela (258).

(170)

Prvo, policija podliježe unutarnjem nadzoru glavnog inspektora (259), koji provodi provjeru zakonitosti, među ostalim u vezi s mogućim povredama ljudskih prava. Uloga glavnog inspektora uvedena je radi provedbe Zakona o revizijama u javnom sektoru, kojim se potiče osnivanje tijela za samoreviziju i utvrđuju posebni zahtjevi o njihovu sastavu i zadaćama. Točnije, tim se zakonom zahtijeva da se voditelj tijela za samoreviziju imenuje iz redova osoba izvan relevantnog tijela (kao što su bivši suci i profesori) na razdoblje od dvije do pet godina (260), da se on može razriješiti dužnosti samo zbog opravdanih razloga (na primjer ako ne može izvršavati svoje dužnosti zbog zdravstvenih razloga ili ako su na njega primijenjene stegovne mjere) (261) te mu se jamči neovisnost u najvećoj mogućoj mjeri (262). Ometanje samorevizije podliježe upravnim novčanim kaznama (263). Izvješća o reviziji (koja mogu uključivati preporuke, zahtjeve za stegovni postupak, naknadu štete ili ispravak) priopćuju se čelniku relevantnog javnog tijela, Revizijskom i inspekcijskom odboru (BAI) (264) i općenito se javno objavljuju (265). O rezultatima provedbe izvješća mora se obavijestiti i BAI (266) (vidjeti uvodnu izjavu 173. o nadzornoj ulozi i ovlastima BAI-ja).

(171)

Drugo, PIPC nadzire usklađenost obrade podataka koju provode tijela kaznenog progona s PIPA-om i drugim zakonima kojima se štiti privatnost pojedinaca, uključujući zakone kojima se uređuje prikupljanje (elektroničkih) dokaza za potrebe kaznenog progona, kako je opisano u odjeljku 3.2.1. (267) Konkretno, s obzirom na to da nadzor PIPC-a obuhvaća i zakonitost i poštenost prikupljanja i obrade podataka (članak 3. stavak 1. PIPA-e), koje će biti povrijeđene ako se osobnim podacima pristupa i ako ih se upotrebljava suprotno tim zakonima (268), PIPC ujedno može i istraživati i provoditi usklađenost s ograničenjima i zaštitnim mjerama opisanima u odjeljku 3.2.1. (269) Pri izvršavanju nadzorne uloge PIPC može koristiti sve svoje istražne i korektivne ovlast, kako je detaljno opisano u odjeljku 2.4.2. Već i prije nedavne reforme PIPA-e (tj. u svojoj prethodnoj nadzornoj ulozi za javni sektor) PIPC je proveo nekoliko aktivnosti nadzora obrade osobnih podataka koju su provodila tijela kaznenog progona, npr. u kontekstu ispitivanja osumnjičenika (predmet br. 2013-16 od 26. kolovoza 2013.), u vezi s obavješćivanjem pojedinaca o izricanju upravnih novčanih kazni (predmet br. 2015-02-04 od 26. siječnja 2015.), o razmjeni podataka s drugim tijelima (predmet br. 2018-15-146 od 9. srpnja 2018., predmet br. 2018-25-308 od 10. prosinca 2018. i predmet br. 2019-02-015 od 29. siječnja 2019.), o prikupljanju otisaka prstiju ili fotografija (predmet br. 2019-17-273 od 9. rujna 2019.), o korištenju bespilotnih letjelica (predmet br. 2020-01-004 od 13. siječnja 2020.). PIPC je u tim predmetima istraživao poštovanje pojedinih odredaba PIPA-e (npr. zakonitost obrade, načela ograničavanja svrhe i smanjenja količine podataka), ali i relevantnih odredaba iz drugih zakon kao što je Zakon o kaznenom postupku, te je, prema potrebi, izdao preporuke kako bi se obrada uskladila sa zahtjevima o zaštiti podataka.

(172)

Treće, neovisni nadzor osigurava Nacionalno povjerenstvo za ljudska prava (NHRC) (270), koje može istraživati povrede prava na privatnost i prava na privatnost korespondencije u okviru svojeg općeg mandata zaštite temeljnih prava iz članaka od 10. do 22. Ustava. NHRC se sastoji od 11 povjerenika koji moraju ispunjavati posebne uvjete (271), a imenuje ih predsjednik države u skladu s postupcima utvrđenima zakonom. Točnije, četiri povjerenika imenuju se na prijedlog Nacionalne skupštine, četiri na prijedlog predsjednika države i tri na prijedlog predsjednika Vrhovnog suda (272). Predsjednika NHRC-a imenuje predsjednik države među povjerenicima i mora ga potvrditi Nacionalna skupština (273). Povjerenici (uključujući predsjednika) imenuju se na mandat od tri godine s mogućnošću produljenja i mogu se razriješiti dužnosti samo ako su osuđeni na kaznu zatvora ili ako više nisu u stanju izvršavati svoje dužnosti zbog dugotrajnih fizičkih ili mentalnih poteškoća (a u tom se slučaju dvije trećine povjerenika moraju složiti s razrješenjem) (274). U okviru svoje istrage NHRC može zatražiti dostavljanje relevantnih materijala, provoditi inspekcijske preglede i pozivati pojedince da svjedoče (275). Kad je riječ o njegovim korektivnim ovlastima, NHRC može izdavati (javne) preporuke za poboljšanje ili ispravljanje određenih politika i praksi, na koje tijela javne vlasti moraju odgovoriti prijedlogom plana za provedbu preporuka (276). Ako predmetno tijelo ne provede preporuke, mora o tome obavijestiti NHRC (277), koji o tome može izvijestiti Nacionalnu skupštinu i/ili to javno objaviti. Prema službenoj izjavi korejske vlade (odjeljak 2.3.5. Priloga II.) korejska tijela općenito poštuju preporuke NHRC-a i imaju velik poticaj za to s obzirom na to da se provedba tih preporuka ocjenjivala u okviru opće, stalne evaluacije koja se provodi pod nadležnošću ureda premijera. Godišnji brojčani podaci o aktivnostima NHRC-a pokazuju da on aktivno nadzire aktivnosti tijela kaznenog progona, na temelju zahtjeva pojedinaca ili istragama koje pokreće po službenoj dužnosti (278).

(173)

Četvrto, opći nadzor zakonitosti aktivnosti tijela javne vlasti provodi BAI, koji pregledava prihode i rashode države, ali, općenitije, nadzire i ispunjavanje dužnosti tijela javne vlasti kako bi se poboljšalo funkcioniranje javne uprave (279). BAI službeno djeluje pod nadležnošću predsjednika Republike Koreje, ali zadržava neovisan status u odnosu na svoje dužnosti (280). Usto, potpuno je neovisan u pogledu imenovanja, razrješenja i organiziranja svojeg osoblja i sastavljanja svojeg proračuna (281). BAI se sastoji od predsjednika (kojeg imenuje predsjednik države uz suglasnost Nacionalne skupštine) (282) i šest povjerenika (koje imenuje predsjednik države na preporuku predsjednika BAI-ja) (283), koji moraju ispunjavati određene uvjete propisane zakonom (284) i mogu se razriješiti dužnosti samo u slučaju opoziva, osude na kaznu zatvora ili nemogućnosti izvršavanja svojih dužnosti zbog dugotrajnih mentalnih ili fizičkih poteškoća (285). BAI svake godine provodi opću reviziju, ali može provoditi i posebne revizije o pitanjima od posebnog interesa. Pri obavljanju revizije ili inspekcijskog pregleda BAI može zatražiti dostavljanje dokumenata i pojavljivanje pojedinaca pred njim (286). BAI može izdavati preporuke, zatražiti pokretanje stegovnih mjera ili podnositi kaznene prijave (287).

(174)

Naposljetku, Nacionalna skupština provodi parlamentarni nadzor nad tijelima javne vlasti istragama i inspekcijskim pregledima (288) njihovih aktivnosti (289). Može zatražiti otkrivanje dokumenata, prisiliti svjedoke na svjedočenje (290), preporučiti poduzimanje korektivnih mjera (ako zaključi da je bilo nezakonitih ili neprikladnih aktivnosti) (291) i javno objavljivati rezultate svojih nalaza (292). Ako Nacionalna skupština zatraži poduzimanje korektivnih mjera – koje mogu, primjerice, uključivati isplatu naknade štete, poduzimanje stegovnih mjera ili poboljšanje internih postupaka – predmetno javno tijelo mora djelovati bez odgode i izvijestiti Nacionalnu skupštinu o ishodu (293).

(175)

Korejski sustav pruža razne mogućnosti za dobivanje (sudske) pravne zaštite, uključujući naknadu za štetu.

(176)

Prvo, pojedinci na temelju PIPA-e imaju pravo na pristup, ispravak, brisanje i suspenziju u odnosu na osobne podatke koje obrađuju tijela kaznenog progona (294).

(177)

Drugo, pojedinci mogu koristiti razne mehanizme pravne zaštite koji se pružaju na temelju PIPA-e ako je tijelo kaznenog progona obrađivalo njihove podatke suprotno odredbama PIPA-e ili kršeći ograničenja i zaštitne mjere iz drugih zakona kojima se uređuje prikupljanje osobnih podataka (tj. iz CPA-a ili CPPA-a, vidjeti uvodnu izjavu 171.). Pojedinci u prvom redu mogu podnijeti pritužbu PIPC-u (među ostalim preko Pozivnog centra za zaštitu privatnosti, kojim upravlja Korejska agencija za internet i sigurnost (295)) ili Odboru za posredovanje u sporovima o osobnim informacijama (296). Na te mogućnosti pravne zaštite ne primjenjuju se daljnji zahtjevi o dopuštenosti. Nadalje, na temelju Zakona o upravnim sporovima pojedinci se mogu žaliti na odluke ili nepostupanje PIPC-a ili ih osporavati (vidjeti uvodnu izjavu 132.).

(178)

Treće, svaki pojedinac (297) može podnijeti pritužbu NHRC-u o povredi prava na privatnost i zaštitu podataka koju je počinilo korejsko tijelo kaznenog progona. NHRC može preporučiti ispravak ili poboljšanje bilo kojeg relevantnog propisa, institucije, politike ili prakse (298) ili provedbu pravnih lijekova kao što su posredovanje (299), prestanak povrede ljudskih prava, nadoknada štete i mjere za sprečavanje ponavljanja istih ili sličnih povreda (300). Prema službenoj izjavi korejske vlade (odjeljak 2.4.2. Priloga II.), to može uključivati i brisanje nezakonito prikupljenih osobnih podataka. Iako nema ovlast izdavanja obvezujućih odluka, NHRC pruža neformalniju, jeftinu i lako dostupnu mogućnost pravne zaštite, ponajprije zbog toga što se, kako je objašnjeno u odjeljku 2.4.2. Priloga II., pred NHRC-om ne zahtijeva činjenično dokazivanje štete da bi se pritužba istražila (301). Time se osigurava da se pritužbe pojedinaca u vezi s prikupljanjem njihovih podataka mogu istražiti čak i ako pojedinac nije u mogućnosti dokazati da su njegovi podaci stvarno prikupljeni (npr. zato što još nije obaviješten). Godišnje izvješće o aktivnostima NHRC-a pokazuje da pojedinci u praksi koriste i tu mogućnost kako bi osporili aktivnosti tijela kaznenog progona, među ostalim i u pogledu postupanja s osobnim podacima (302). Ako pojedinac nije zadovoljan ishodom postupka pred NHRC-om, može osporavati odluke (kao što je odluka da se istraga pritužbe ne nastavi (303)) i preporuke NHRC-a pred korejskim sudovima na temelju Zakona o upravnim sporovima (vidjeti uvodnu izjavu 181.) (304). Nadalje, postupak pred NHRC-om može dodatno olakšati pristup sudovima, s obzirom na to da bi pojedinac mogao tražiti daljnju pravnu zaštitu protiv javnog tijela koje je nezakonito obrađivalo njegove podatke na temelju nalaza NHRC-a, u skladu s postupcima opisanima u uvodnim izjavama od 181. do 183.

(179)

Konačno, dostupni su razni sudski pravni lijekovi, kojima se pojedincima omogućuje da se pozivaju na ograničenja i zaštitne mjere opisane u odjeljku 3.2.1. radi dobivanja pravne zaštite (305).

(180)

Kad je riječ o zapljenama (uključujući zapljene podataka), CPA-om se predviđa mogućnost ulaganja prigovora na izvršenje naloga ili osporavanja izvršenja naloga „kvazi-pritužbom”, to jest upućivanjem nadležnom sudu zahtjeva za poništenje ili izmjenu odluke koju je donio tužitelj ili policijski službenik (306).

(181)

Općenitije govoreći, pojedinci mogu osporavati djelovanja (307) ili propuste (308) tijela javne vlasti (uključujući tijela kaznenog progona) na temelju Zakona o upravnim sporovima (309). Upravno djelovanje smatra se „osporivom odlukom” ako izravno utječe na građanska prava i dužnosti (310), što je, kako je potvrdila korejska vlada (odjeljak 2.4.3. Priloga II.), slučaj s mjerama za prikupljanje osobnih podataka, bez obzira na to provode li se one izravno (primjerice, presretanjem komunikacija), obvezujućim zahtjevima za otkrivanje (primjerice, zahtjevima upućenima pružatelju usluge) ili zahtjevima za dobrovoljnu suradnju. Da bi pritužba na temelju Zakona o upravnim sporovima bila dopuštena, pojedinac mora imati pravni interes za podnošenje zahtjeva (311). Prema sudskoj praksi Vrhovnog suda „pravni interes” tumači se kao „pravno zaštićeni interes”, tj. izravan i konkretan interes zaštićen zakonima i propisima na kojima se temelje upravne odluke (to znači da taj interes ne može biti opći, neizravan i apstraktan interes javnosti) (312). Pojedinci imaju takav pravni interes u slučaju svakog kršenja ograničenja i zaštitnih mjera koji se primjenjuju na prikupljanje njihovih osobnih podataka za potrebe kaznenog progona (na temelju posebnih zakona ili PIPA-e). Na temelju Zakona o upravnim sporovima sud može odlučiti poništiti ili izmijeniti nezakonitu odluku, izdati proglašenje ništavosti (tj. proglašenje da odluka nema pravni učinak ili da je pravno nepostojeća) ili izdati proglašenje propusta nezakonitim (313). Pravomoćna presuda na temelju Zakona o upravnim sporovima obvezujuća je za stranke (314).

(182)

Osim osporavanja postupaka vlade upravnim sporom pojedinci mogu podnijeti i ustavnu tužbu Ustavnom sudu o bilo kojoj povredi njihovih temeljnih prava zbog izvršavanja ili neizvršavanja državnih ovlasti (ne uključujući sudske presude) (315). Najprije treba iskoristiti druge pravne lijekove ako su dostupni. Prema sudskoj praksi Ustavnog suda strani državljani mogu podnijeti ustavnu tužbu ako su njihova osnovna prava priznata korejskim Ustavom (vidjeti objašnjenja u odjeljku 1.1.) (316). Ustavni sud može proglasiti nevažećim izvršavanje državnih ovlasti koje je prouzročilo povredu ili potvrditi da je određeno nečinjenje protuustavno (317). U tom se slučaju od relevantnog tijela zahtijeva da poduzme mjere radi usklađivanja s odlukom Suda.

(183)

Nadalje, pojedinci mogu pred korejskim sudovima ishoditi naknadu za štetu. To prije svega uključuje mogućnost traženja naknade štete za povrede PIPA-e koje su počinila tijela kaznenog progona, u skladu s člankom 39. (vidjeti i uvodnu izjavu 135.). Općenitije govoreći, na temelju Zakona o naknadi štete od države pojedinci mogu podnijeti zahtjev za naknadu štete koju su nanijeli javni službenici pri izvršenju svojih službenih dužnosti u suprotnosti sa zakonom (vidjeti i uvodnu izjavu 135.) (318).

(184)

Mehanizmima opisanima u uvodnim izjavama od 176. do 183. ispitanicima se osiguravaju djelotvorni upravni i sudski pravni lijekovi, što im prije svega omogućuje da ostvaruju svoja prava, uključujući pravo na pristup svojim osobnim podacima te ispravak ili brisanje tih podataka.

(185)

Pravo Republike Koreje sadržava brojna ograničenja i zaštitne mjere u pogledu pristupa osobnim podacima i njihove upotrebe za potrebe nacionalne sigurnosti te se njime predviđaju mehanizmi nadzora i pravne zaštite koji su u skladu sa zahtjevima iz uvodnih izjava od 141. do 143. ove Odluke. Uvjeti pod kojima je takav pristup moguć i zaštitne mjere koje se primjenjuju na upotrebu tih ovlasti detaljno se ocjenjuju u odjeljcima u nastavku.

(186)

U Republici Koreji osobnim podacima smije se pristupati za potrebe nacionalne sigurnosti na temelju CPPA-a, TBA-a i Zakona o borbi protiv terorizma radi zaštite građana i javne sigurnosti (Zakon o borbi protiv terorizma) (319). Glavno tijelo (320) s nadležnostima u području nacionalne sigurnosti je Nacionalna obavještajna služba (NIS) (321). Prikupljanje i upotreba osobnih podataka koje provodi NIS moraju biti u skladu s relevantnim pravnim zahtjevima (uključujući PIPA-u i CPPA) (322) te općim smjernicama koje izrađuje predsjednik države i preispituje Nacionalna skupština (323). NIS u pravilu mora ostati politički neutralan te štititi slobodu i prava pojedinaca (324). Osim toga, osoblje NIS-a ne smije zloupotrebljavati svoje službene ovlasti kako bi prisililo bilo koju instituciju, organizaciju ili pojedinca da učine nešto što nisu obvezni činiti (na temelju zakona) niti smije sprečavati bilo koju osobu u ostvarivanju svojih prava (325).

(187)

Na temelju CPPA-a korejska tijela javne vlasti (326) smiju prikupljati podatke o potvrdi komunikacije (tj. datum telekomunikacija, njihovo vrijeme početka i završetka, broj odlaznih i dolaznih poziva te pretplatnički broj druge strane, učestalost upotrebe, zapisnike o upotrebi telekomunikacijskih usluga i informacije o lokaciji; vidjeti uvodnu izjavu 155.) i sadržaj komunikacija (primjenom mjera ograničavanja komunikacije; vidjeti uvodnu izjavu 155.) za potrebe nacionalne sigurnosti (kako je utvrđeno zadaćama NIS-a, vidjeti bilješku 322.). Te ovlasti obuhvaćaju dvije vrste informacija: 1. komunikacije u kojima su jedan ili oba sudionika korejski državljani (327); i 2. komunikacije (a) država koje su neprijatelji Republike Koreje, (b) stranih agencija, skupina ili državljana koje se sumnjiči za sudjelovanje u aktivnostima protiv Koreje (328) ili (c) članova skupina koje djeluju na Korejskom poluotoku, ali u stvarnosti nisu pod suverenom vlašću Republike Koreje i njihovih krovnih skupina koje se nalaze u stranim državama (329). Stoga se komunikacije pojedinaca iz EU-a koje su prenesene iz Unije u Republiku Koreju na temelju ove Odluke smiju za potrebe nacionalne sigurnosti prikupljati samo na temelju CPPA-a (pod uvjetima navedenima u uvodnim izjavama od 188. do 192.) ako je riječ o komunikacijama između pojedinca iz EU-a i korejskog državljanina ili ako se odnose na komunikacije isključivo između osoba koje nemaju korejsko državljanstvo te ako su obuhvaćene nekom od triju prethodno navedenih kategorija 2.a, 2.b i 2.c.

(188)

U oba scenarija prikupljanje podataka o potvrdi komunikacije smije se provoditi samo u svrhu sprečavanja prijetnji nacionalnoj sigurnosti (330), a mjere ograničavanja komunikacije smiju se poduzimati samo ako postoji ozbiljan rizik za nacionalnu sigurnost te je prikupljanje podataka neophodno za njegovo sprečavanje (331). Osim toga, pristupanje sadržaju komunikacija dopušteno je samo kao krajnja mjera te se povreda privatnosti komunikacija mora nastojati svesti na najmanju mjeru (332), čime se osigurava da ta mjera ostane proporcionalna cilju nacionalne sigurnosti koji se nastoji ostvariti. Prikupljanje sadržaja komunikacija i podataka o potvrdi komunikacije smije trajati najviše četiri mjeseca i mora se odmah prekinuti ako se predviđeni cilj ostvari ranije (333). Ako relevantni uvjeti i dalje budu ispunjeni, to se razdoblje može produljiti za najviše četiri mjeseca, uz prethodno dopuštenje suda (za mjere opisane u uvodnoj izjavi 189.) ili predsjednika države (za mjere opisane u uvodnoj izjavi 190.) (334).

(189)

Iste postupovne zaštitne mjere primjenjuju se na prikupljanje podataka o potvrdi komunikacije i sadržaja komunikacija (335). Konkretno, ako je barem jedan od pojedinaca uključenih u komunikaciju korejski državljanin, obavještajna agencija mora podnijeti pisani zahtjev uredu višeg javnog tužitelja, koji pak mora podnijeti zahtjev za nalog višem predsjedniku Visokog suda (336). U CPPA-u se navode informacije koje se moraju navesti u zahtjevu tužitelju, zahtjevu za nalog i samom nalogu, a one konkretno uključuju obrazloženje zahtjeva i glavne osnove za sumnju, popratne materijale te informacije o svrsi, cilju (tj. ciljanim pojedincima), opsegu i trajanju predložene mjere (337). Prikupljanje bez naloga smije se provoditi samo ako postoji zavjera koja čini prijetnju nacionalnoj sigurnosti i izvanredna situacija zbog koje nije moguće provesti navedene postupke (338). Međutim, i u tom se slučaju zahtjev za nalog mora podnijeti odmah nakon poduzimanja mjere (339). Stoga se CPPA-om jasno utvrđuju opseg i uvjeti tih vrsta prikupljanja te se oni uvjetuju primjenom određenih (postupovnih) zaštitnih mjera (uključujući prethodno sudsko odobrenje), čime se osigurava da primjena tih mjera prikupljanja bude ograničena na ono što je nužno i proporcionalno. Nadalje, zahtjevom o navođenju detaljnih informacija i u zahtjevu za nalog i u samom nalogu isključuje se mogućnost neselektivnog pristupa.

(190)

Za komunikacije između osoba koje nisu korejski državljani, a koje su obuhvaćene nekom od triju posebnih kategorija navedenih u uvodnoj izjavi 187., mora se podnijeti zahtjev direktoru NIS-a, koji, nakon što provjeri prikladnost predloženih mjera, mora zatražiti prethodno pisano odobrenje Predsjednika Republike Koreje (340). Zahtjev koji sastavlja obavještajna agencija mora uključivati iste detaljne informacije kao i zahtjev za sudski nalog (vidjeti uvodnu izjavu 189.), a ponajprije obrazloženje zahtjeva i glavne osnove za sumnju, popratne materijale te informacije o svrhama, ciljanim pojedincima, opsegu i trajanju predloženih mjera (341). U izvanrednim situacijama (342) mora se ishoditi prethodno odobrenje ministra u čijoj je nadležnosti relevantna obavještajna agencija, iako ta obavještajna agencija mora zatražiti odobrenje predsjednika odmah nakon poduzimanja hitnih mjera (343). Stoga se, isto u pogledu prikupljanja komunikacija između isključivo osoba koje nisu korejski državljani, CPPA-om ograničava primjena tih mjera na ono što je nužno i proporcionalno, jasnim sužavanjem ograničenih kategorija pojedinaca na koje se takve mjere smiju primjenjivati i utvrđivanjem detaljnih kriterija za koje obavještajne agencije moraju dokazati da su ispunjeni kako bi opravdale zahtjev za prikupljanje informacija. Nadalje, time se još jednom isključuje mogućnost neselektivnog pristupa. Iako se za takve mjere ne traži prethodno neovisno odobrenje, osigurava se naknadni neovisni nadzor, koji ponajprije provode PIPC i NHRC (vidjeti na primjer uvodne izjave 199. i 200.).

(191)

CPPA-om se nadalje uvodi nekoliko dodatnih zaštitnih mjera kojima se pridonosi naknadnom nadzoru i olakšava pojedincima pristup djelotvornim pravnim lijekovima. Prvo, u pogledu bilo koje vrste prikupljanja za potrebe nacionalne sigurnosti, CPPA-om se predviđaju razni zahtjevi o vođenju evidencije i izvješćivanju. Konkretno, kad se zahtijeva suradnja privatnih subjekata, obavještajne agencije moraju predočiti sudski nalog/dopuštenje predsjednika ili presliku naslovnice izjave o hitnoj cenzuri, što subjekt koji se prisiljava na suradnju mora čuvati u svojim evidencijama (344). Kad su privatni subjekti prisiljeni na suradnju, i javno tijelo koje zahtijeva suradnju i relevantni subjekt moraju čuvati evidencije o svrsi i predmetu mjera te o datumu izvršenja (345). Osim toga, obavještajne agencije moraju izvješćivati direktora NIS-a o informacijama koje su prikupile i ishodu aktivnosti nadzora (346).

(192)

Drugo, pojedinci se moraju obavijestiti o prikupljanju njihovih podataka (podataka o potvrdi komunikacije ili sadržaja komunikacija) za potrebe nacionalne sigurnosti ako se to odnosi na komunikacije u kojima je barem jedan od sudionika korejski državljanin (347). Ta se obavijest mora dostaviti u pisanom obliku u roku od 30 dana od datuma na koji je prikupljanje završilo (među ostalim i ako su podaci pribavljeni u skladu s izvanrednim postupkom) te se može odgoditi ako i onoliko dugo koliko bi se njome dovela u pitanje nacionalna sigurnost ili ugrozio život i fizička sigurnost građana (348). Bez obzira na tu obavijest, pojedinci mogu dobiti pravnu zaštitu na više načina, kako je detaljnije objašnjeno u odjeljku 3.3.4.

(193)

U Zakonu o borbi protiv terorizma predviđa se da NIS smije prikupljati podatke o osumnjičenicima za terorizam (349) u skladu s ograničenjima i zaštitnim mjerama utvrđenima u drugim zakonima (350). Konkretno, NIS smije pribavljati podatke o komunikacijama (na temelju CPPA-a) i druge osobne informacije (zahtjevom za dobrovoljno otkrivanje) (351). Kad je riječ o prikupljanju informacija o komunikacijama (tj. sadržaja komunikacija ili podataka o potvrdi komunikacije), primjenjuju se ograničenja i zaštitne mjere opisane u odjeljku 3.3.1.1., uključujući zahtjev za ishođenje naloga koji je odobrio sud. Kad je riječ o zahtjevima za dobrovoljno otkrivanju drugih vrsta osobnih podataka o osumnjičenicima za terorizam, NIS mora poštovati zahtjeve na temelju Ustava i PIPA-e o nužnosti i proporcionalnosti (vidjeti uvodnu izjavu 164.) (352). Voditelji obrade koji prime takve zahtjeve mogu postupiti sukladno njima na dobrovoljnoj osnovi pod uvjetima utvrđenima u PIPA-i (na primjer, u skladu s načelom smanjenja količine podataka i ograničavanjem učinka na privatnost pojedinca) (353). U tom slučaju moraju ispuniti i zahtjev za obavješćivanje predmetnog pojedinca koji proizlazi iz Obavijesti br. 2021-5 (vidjeti uvodnu izjavu 166.).

(194)

Na temelju TBA-a pružatelji telekomunikacijskih usluga mogu dobrovoljno otkriti podatke o pretplatnicima (vidjeti uvodnu izjavu 163.) na zahtjev obavještajne agencije koja namjerava prikupljati takve informacije kako bi se spriječila prijetnja nacionalnoj sigurnosti (354). Kad je riječ o takvim zahtjevima koje upućuje NIS, primjenjuju se ista ograničenja (koja proizlaze iz Ustava, PIPA-e i TBA-a) kao i u području kaznenog progona, kako je navedeno u uvodnoj izjavi 164. (355). Pružatelji telekomunikacijskih usluga nisu dužni postupiti sukladno tim zahtjevima, a mogu to učiniti samo pod uvjetima utvrđenima u PIPA-i (prije svega u skladu s načelom smanjenja količine podataka i ograničavanjem učinka na privatnost pojedinca, vidjeti i uvodnu izjavu 193.). Primjenjuju se isti zahtjevi u vezi s vođenjem evidencija i obavješćivanjem predmetnog pojedinca kao i u području kaznenog progona (vidjeti uvodne izjave 165. i 166.).

(195)

Obrada osobnih podataka koje prikupljaju korejska tijela za potrebe nacionalne sigurnosti podliježe načelima ograničavanja svrhe (članak 3. stavci 1. i 2. PIPA-e), zakonitosti i poštenosti obrade (članak 3. stavak 1. PIPA-e), proporcionalnosti/smanjenja količine podataka (članak 3. stavci 1. i 6. i članak 58. PIPA-e), točnosti (članak 3. stavak 3. PIPA-e), transparentnosti (članak 3. stavak 5. PIPA-e), sigurnosti (članak 58. stavak 4. PIPA-e) i ograničenja pohrane (članak 58. stavak 4. PIPA-e) (356). Moguće otkrivanje osobnih podataka trećim stranama (uključujući treće zemlje) moguće je samo u skladu s tim načelima (posebice načelima ograničavanja svrhe i smanjenja količine podataka), nakon što se ocijeni usklađenost s načelima nužnosti i proporcionalnosti (članak 37. stavak 2. Ustava) i uzimajući u obzir učinak na prava dotičnih pojedinaca (članak 3. stavak 6. PIPA-e).

(196)

Kad je riječ o sadržaju komunikacija i podacima o potvrdi komunikacije, upotreba tih podataka CPPA-om se dodatno ograničava na sudske postupke u kojima se stranka koja je povezana s komunikacijom oslanja na njih pri traženju naknade štete ili na upotrebe koje su dopuštene na temelju drugih zakona (357).

(197)

Aktivnosti korejskih tijela za nacionalnu sigurnost nadziru različita tijela (358).

(198)

Prvo, u Zakonu o borbi protiv terorizma predviđaju se posebni mehanizmi nadzora za aktivnosti suzbijanja terorizma, uključujući prikupljanje podataka o osumnjičenicima za terorizam. Konkretno, na razini rukovodstva, aktivnosti suzbijanja terorizma nadzire Povjerenstvo za borbu protiv terorizma (359), koje je direktor NIS-a dužan izvješćivati o istragama i praćenju osumnjičenika za terorizam radi prikupljanja informacija ili materijala potrebnih za aktivnosti suzbijanja terorizma (360). Osim toga, službenik za zaštitu ljudskih prava („HRPO”) posebno nadzire usklađenost aktivnosti suzbijanja terorizma s temeljnim pravima (361). HRPO-a imenuje predsjednik Povjerenstva za borbu protiv terorizma iz redova osoba koje ispunjavaju posebne uvjete navedene u Dekretu o izvršavanju Zakona o borbi protiv terorizma (362) na mandat od dvije godine (koji se može obnoviti) te se on može razriješiti dužnosti samo na temelju određene, ograničene osnove i zbog valjanih razloga (363). U okviru izvršavanja svoje nadzorne funkcije HRPO može izdavati opće preporuke za poboljšanje zaštite ljudskih prava (364) i posebne preporuke za korektivne mjere ako se utvrdi povreda ljudskih prava (365). Tijela javne vlasti dužna su obavješćivati HRPO-a o daljnjim mjerama poduzetima na temelju njegovih preporuka (366).

(199)

Drugo, PIPC nadzire usklađenost tijela za nacionalnu sigurnost s pravilima o zaštiti podataka, što uključuje i primjenjive odredbe PIPA-e (vidjeti uvodnu izjavu 149.) i ograničenja i zaštitne mjere koje se primjenjuju na prikupljanje osobnih podataka na temelju drugih zakona (CPPA, Zakon o borbi protiv terorizma i TBA; vidjeti i uvodnu izjavu 171.) (367). Pri izvršavanju svoje nadzorne uloge PIPC može koristiti sve svoje istražne i korektivne ovlast, kako je detaljno opisano u odjeljku 2.4.2.

(200)

Treće, aktivnosti tijela za nacionalnu sigurnost podliježu neovisnom nadzoru NHRC-a, u skladu s postupcima opisanima u uvodnoj izjavi 172. (368).

(201)

Četvrto, nadzornom funkcijom BAI-ja obuhvaćena su i tijela za nacionalnu sigurnost, iako NIS može, u iznimnim okolnostima, odbiti dostaviti određene informacije ili materijale, tj. ako su oni državne tajne te bi upoznatost javnosti s njima mogla imati ozbiljne posljedice na nacionalnu sigurnost (369).

(202)

Naposljetku, parlamentarni nadzor nad aktivnostima NIS-a provodi Nacionalna skupština (preko specijaliziranog Obavještajnog odbora) (370). CPPA-om se utvrđuje posebna nadzorna uloga Nacionalne skupštine u vezi s primjenom mjera ograničavanja komunikacije za potrebe nacionalne sigurnosti (371). Konkretno, Nacionalna skupština može provoditi inspekcijske preglede opreme za prisluškivanje na licu mjesta te zahtijevati i od NIS-a i od telekomunikacijskih operatera koji su otkrili sadržaj komunikacija da podnesu izvješće o tome. Nacionalna skupština može obavljati i svoje opće nadzorne funkcije (u skladu s postupcima opisanima u uvodnoj izjavi 174.). U Zakonu o NIS-u od direktora NIS-a zahtijeva se da bez odgode odgovori Obavještajnom odboru kad on zatraži izvješće o nekom određenom pitanju (372), pri čemu postoje posebna pravila za određene naročito osjetljive informacije. Konkretno, direktor NIS-a može odbiti odgovoriti Obavještajnom odboru ili odbiti svjedočiti pred njime samo u iznimnim okolnostima, tj. ako se zahtjev odnosi na državne tajne u pogledu vojske, diplomatskih pitanja ili pitanja povezanih sa Sjevernom Korejom te bi upoznatost javnosti s njima mogla imati ozbiljne posljedice na sudbinu države (373). U tom slučaju Obavještajni odbor može zatražiti objašnjenje od premijera, a ako se nikakvo objašnjenje ne dostavi u roku od sedam dana, odgovor ili svjedočenje ne može se odbiti.

(203)

Korejski sustav i u području nacionalne sigurnosti pruža razne mogućnosti za dobivanje (sudske) pravne zaštite, uključujući naknadu za štetu. Tim mehanizmima ispitanicima se osiguravaju djelotvorni upravni i sudski pravni lijekovi, što im prije svega omogućuje da ostvaruju svoja prava, uključujući pravo na pristup svojim osobnim podacima te ispravak ili brisanje tih podataka.

(204)

Prvo, u skladu s člankom 3. stavkom 5. i člankom 4. stavcima 1., 3. i 4. PIPA-e, pojedinci mogu ostvariti svoja prava na pristup, ispravak, brisanje i suspenziju u pogledu tijela za nacionalnu sigurnost. U odjeljku 6. Obavijesti br. 2021-5 (Prilog I. ovoj Odluci) dodatno se pojašnjava kako se ta prava primjenjuju u kontekstu obrade podataka za potrebe nacionalne sigurnosti. Prije svega, tijelo za nacionalnu sigurnost smije ograničiti ili odbiti ostvarivanje prava samo u mjeri i onoliko dugo koliko je to nužno i proporcionalno za zaštitu važnog cilja od javnog interesa (na primjer u mjeri i onoliko dugo koliko bi se izvršavanjem prava ugrozila istraga u tijeku ili nacionalna sigurnost) ili ako bi se izvršavanjem prava mogao ugroziti život ili zdravlje treće strane. Da bi se primijenilo takvo ograničenje potrebno je stoga uravnotežiti prava i interese pojedinca s relevantnim javnim interesom te ono ni u kojem slučaju ne smije utjecati na bit tog prava (članak 37. stavak 2. Ustava). Ako se zahtjev odbije ili ograniči, pojedinac se mora bez odgode obavijestiti o razlozima za to.

(205)

Drugo, pojedinci imaju pravo na dobivanje pravne zaštite na temelju PIPA-e ako je tijelo za nacionalnu sigurnost obrađivalo njihove podatke suprotno odredbama PIPA-e ili kršeći ograničenja i zaštitne mjere iz drugih zakona kojima se uređuje prikupljanje osobnih podataka (naročito iz CPPA-a, vidjeti uvodnu izjavu 171.) (374). To se pravo može ostvariti pritužbom PIPC-u (među ostalim preko Pozivnog centra za zaštitu privatnosti, kojim upravlja Korejska agencija za internet i sigurnost) (375). Nadalje, kako bi se olakšao jednostavniji pristup pravnoj zaštiti protiv korejskih tijela za nacionalnu sigurnost, pojedinci iz EU-a mogu podnijeti pritužbu PIPC-u preko svojeg nacionalnog tijela za zaštitu podataka (376). U tom će slučaju PIPC obavijestiti pojedinca preko nacionalnog tijela za zaštitu podataka nakon zaključenja istrage (prema potrebi uključujući informacije o izrečenim korektivnim mjerama). Nadalje, na temelju Zakona o upravnim sporovima pojedinci se mogu žaliti na odluke ili nepostupanje PIPC-a ili ih osporavati (vidjeti uvodnu izjavu 132.).

(206)

Treće, pojedinci mogu podnijeti pritužbu HRPO-u o povredi njihova prava na privatnost/zaštitu podataka u kontekstu aktivnosti suzbijanja terorizma (tj. u skladu sa Zakonom o borbi protiv terorizma) (377), koji može predložiti korektivne mjere. Budući da za postupak pred HRPO-om nema zahtjeva o dopuštenosti, pritužba će se obraditi čak i ako predmetni pojedinac ne može dokazati da su mu zapravo povrijeđena prava (na primjer zbog toga što je tijelo za nacionalnu sigurnost navodno nezakonito prikupljalo njegove podatke) (378). Relevantno tijelo mora obavijestiti HRPO-a o svim mjerama koje su poduzete kako bi se provele njegove preporuke.

(207)

Četvrto, pojedinci mogu podnijeti pritužbu NHRC-u o prikupljanju njihovih podataka koje su provodila tijela za nacionalnu sigurnost i dobiti pravnu zaštitu u skladu s postupkom opisanim u uvodnoj izjavi 178. (379).

(208)

Konačno, dostupni su razni sudski pravni lijekovi (380) kojima se pojedincima omogućuje da se pozivaju na ograničenja i zaštitne mjere opisane u odjeljku 3.3.1. radi dobivanja pravne zaštite. U prvom redu, pojedinci mogu zakonitost postupaka tijela za nacionalnu sigurnost osporavati na temelju Zakona o upravnim sporovima (u skladu s postupkom opisanim u uvodnoj izjavi 181.) ili Zakona o Ustavnom sudu (vidjeti uvodnu izjavu 182.). Osim toga, mogu dobiti naknadu štete na temelju Zakona o naknadi štete od države (kako je detaljnije opisano u uvodnoj izjavi 183.).

(209)

Komisija smatra da Republika Koreja – PIPA-om, posebnim pravilima koja se primjenjuju na određene sektore (kako su analizirana u odjeljku 2.) i dodatnim zaštitnim mjerama predviđenima u Obavijesti br. 2021-5 (Prilog I.) – za osobne podatke koji se prenose iz Europske unije osigurava razinu zaštite koja je u načelu istovjetna onoj koja se jamči Uredbom (EU) 2016/679.

(210)

Nadalje, Komisija smatra da, u cjelini, nadzorni mehanizmi i mogućnosti za pravnu zaštitu u korejskom pravu omogućuju da se u praksi utvrde i otklone povrede pravila o zaštiti podataka koje su počinili voditelji obrade u Koreji te ispitaniku pružaju pravne lijekove za dobivanje pristupa njegovim osobnim podacima i, konačno, za ispravak ili brisanje takvih podataka.

(211)

Naposljetku, na temelju dostupnih informacija o korejskom pravnom poretku, uključujući izjave, jamstva i obveze korejske vlade iz Priloga II., Komisija smatra da će se svako zadiranje u temeljna prava pojedinaca čiji se osobni podaci prenose iz Europske unije u Republiku Koreju, a koje vrše korejska tijela javne vlasti u javnom interesu, posebno za potrebe kaznenog progona i nacionalne sigurnosti, ograničiti na ono što je strogo nužno za ostvarivanje predmetnog legitimnog cilja te da postoji djelotvorna pravna zaštita od takvog zadiranja.

(212)

Stoga bi s obzirom na nalaze iz ove Odluke trebalo odlučiti da Republika Koreja osigurava primjerenu razinu zaštite u smislu članka 45. Uredbe (EU) 2016/679, kako je protumačen s obzirom na Povelju Europske unije o temeljnim pravima, za osobne podatke koji se prenose iz Europske unije u Republiku Koreju voditeljima obrade osobnih podataka u Republici Koreji koji podliježu PIPA-i, uz iznimku vjerskih organizacija, u mjeri u kojoj obrađuju osobne podatke u svrhe svojih misionarskih aktivnosti, političkih stranaka, u mjeri u kojoj obrađuju osobne podatke u kontekstu imenovanja kandidata, i voditelja obrade koji podliježu nadzoru Povjerenstva za financijske usluge za obradu osobnih kreditnih informacija u skladu sa Zakonom o kreditnim informacijama, u mjeri u kojoj obrađuju takve informacije.

(213)

Države članice i njihova tijela dužni su poduzeti mjere potrebne za usklađivanje s aktima institucija Unije jer se potonji smatraju zakonitima i proizvode pravne učinke do njihova povlačenja, poništenja u postupku za poništenje ili proglašavanja nevažećima nakon zahtjeva za prethodnu odluku ili tužbenog zahtjeva za proglašenje nezakonitosti.

(214)

Stoga je odluka Komisije o primjerenosti donesena u skladu s člankom 45. stavkom 3. Uredbe (EU) 2016/679 obvezujuća za sva tijela država članica kojima je upućena, uključujući njihova neovisna nadzorna tijela. Konkretno, za prijenos od voditelja obrade ili izvršitelja obrade u Europskoj uniji voditeljima obrade u Republici Koreji nisu potrebna daljnja odobrenja.

(215)

Trebalo bi podsjetiti da, u skladu s člankom 58. stavkom 5. Uredbe (EU) 2016/679 i kako je objašnjeno u presudi Suda Europske unije u predmetu Schrems (381), ako nacionalno tijelo za zaštitu podataka, među ostalim nakon što je zaprimilo pritužbu, ima sumnje u pogledu spojivosti odluke Komisije o primjerenosti s temeljnim pravima pojedinca na privatnost i zaštitu podataka, nacionalnim pravom mora biti predviđen pravni lijek za iznošenje tih prigovora pred nacionalnim sudom od kojeg se može tražiti da Sudu Europske unije uputi zahtjev za prethodnu odluku (382).

(216)

U skladu sa sudskom praksom Suda Europske unije (383), a kako je potvrđeno u članku 45. stavku 4. Uredbe (EU) 2016/679, Komisija bi nakon donošenja odluke o primjerenosti trebala kontinuirano pratiti relevantne događaje u trećoj zemlji kako bi ocijenila osigurava li ta treća zemlja i dalje u načelu istovjetnu razinu zaštite. Takva provjera potrebna je, u svakom slučaju, kad Komisija dobije informacije na temelju kojih može opravdano posumnjati u to.

(217)

Stoga bi Komisija trebala kontinuirano pratiti situaciju u Republici Koreji u pravnom okviru i stvarnoj praksi za obradu osobnih podataka kako je ocijenjeno u ovoj Odluci, među ostalim poštuju li korejska tijela izjave, jamstva i obveze iz Priloga II. Kako bi se taj proces olakšao, korejska se tijela pozivaju da bez odgode obavijeste Komisiju o svim znatnim promjenama koje su relevantne za ovu Odluku kad je riječ o obradi osobnih podataka koju vrše poslovni subjekti i tijela javne vlasti te o ograničenjima i zaštitnim mjerama primjenjivima na pristup tijela javne vlasti osobnim podacima.

(218)

Nadalje, kako bi Komisija mogla djelotvorno obavljati svoju funkciju praćenja, države članice trebale bi je obavješćivati o svim relevantnim mjerama koje poduzimaju nacionalna tijela za zaštitu podataka, naročito u pogledu upita ili pritužbi ispitanika iz EU-a o prijenosu osobnih podataka iz Europske unije voditeljima obrade podataka u Republici Koreji. Komisiju bi trebalo obavijestiti i o svakoj naznaci da mjere korejskih tijela javne vlasti odgovornih za sprečavanje, istragu, otkrivanje ili progon kaznenih djela ili za nacionalnu sigurnost, uključujući nadzorna tijela, ne osiguravaju potrebnu razinu zaštite.

(219)

U skladu s člankom 45. stavkom 3. Uredbe (EU) 2016/679 (384) i s obzirom na činjenicu da se razina zaštite koju pruža korejski pravni poredak može promijeniti, Komisija bi nakon donošenja ove Odluke trebala periodično preispitivati jesu li nalazi koji se odnose na primjerenost razine zaštite koju je osigurala Republika Koreja još uvijek činjenično i pravno opravdani.

(220)

U tu bi svrhu ovu Odluku trebalo prvi put preispitati u roku od tri godine od njezina stupanja na snagu. Nakon prvog preispitivanja i ovisno o njegovu ishodu Komisija će u bliskoj suradnji s Odborom osnovanim na temelju članka 93. stavka 1. Uredbe (EU) 2016/679 odlučiti je li potrebno zadržati trogodišnji ciklus. U svakom slučaju, sljedeća preispitivanja trebala bi se provesti najmanje svake četiri godine (385). To bi preispitivanje trebalo obuhvatiti sve aspekte funkcioniranja ove Odluke, a posebno primjenu dodatnih zaštitnih mjera iz Priloga I. ovoj Odluci, pri čemu bi posebnu pozornost trebalo posvetiti zaštiti koja se pruža u slučaju daljnjeg prijenosa; razvoj relevantne sudske prakse; pravila o obradi pseudonimiziranih informacija u svrhe prikupljanja statističkih podataka, provođenja znanstvenih istraživanja i arhiviranja u javnom interesu, kao i primjene iznimki iz članka 28. stavka 7. PIPA-e; djelotvornost ostvarivanja prava pojedinaca, među ostalim i pred nedavno reformiranim PIPC-om, i primjenu iznimaka od tih prava; primjenu djelomičnih izuzeća iz PIPA-e; te ograničenja i zaštitne mjere u vezi s pristupom vlade (kako je navedeno u Prilogu II. ovoj Odluci), uključujući suradnju PIPC-a s tijelima za zaštitu podataka iz EU-a u području pritužbi pojedinaca. Trebalo bi obuhvatiti i djelotvornost nadzora i izvršavanja u pogledu PIPA-e i u području kaznenog progona i nacionalne sigurnosti (ponajprije nadzora i izvršavanja koje obavljaju PIPC i NHRC).

(221)

Za provedbu preispitivanja Komisija bi se trebala sastati s PIPC-om, prema potrebi zajedno s drugim korejskim tijelima odgovornima za pristup vlade, uključujući relevantna nadzorna tijela. Sudjelovanje na tom sastanku trebalo bi biti otvoreno za predstavnike članova Europskog odbora za zaštitu podataka. U okviru preispitivanja Komisija bi trebala zatražiti od PIPC-a da dostavi sveobuhvatne informacije o svim aspektima relevantnima za zaključak o primjerenosti, među ostalim o ograničenjima i zaštitnim mjerama u pogledu pristupa vlade (386). Komisija bi trebala i zatražiti objašnjenja svih informacija relevantnih za ovu Odluku koje je zaprimila, uključujući javna izvješća korejskih tijela ili drugih dionika u Koreji, Europskog odbora za zaštitu podataka, pojedinačnih tijela za zaštitu podataka, skupina civilnog društva te medijska izvješća ili informacije iz bilo kojih drugih dostupnih izvora.

(222)

Na temelju preispitivanja Komisija bi trebala sastaviti javno izvješće koje podnosi Europskom parlamentu i Vijeću.

(223)

Ako dostupne informacije, naročito one dobivene praćenjem primjene ove Odluke ili one koje dostavljaju korejska tijela ili tijela država članica, pokažu da razina zaštite koju pruža Republika Koreja možda više nije primjerena, Komisija bi o tome trebala bez odgode obavijestiti nadležna korejska tijela i zatražiti poduzimanje odgovarajućih mjera u određenom, razumnom roku.

(224)

Ako nakon isteka navedenog roka nadležna korejska tijela ne poduzmu te mjere ili na drugi zadovoljavajući način ne dokažu da se ova Odluka i dalje temelji na primjerenoj razini zaštite, Komisija će pokrenuti postupak iz članka 93. stavka 2. Uredbe (EU) 2016/679 radi djelomične ili potpune suspenzije ili stavljanja izvan snage ove Odluke.

(225)

Alternativno, Komisija će pokrenuti taj postupak radi izmjene Odluke, ponajprije utvrđivanjem dodatnih uvjeta za prijenose podataka ili ograničavanjem područja primjene zaključka o primjerenosti samo na prijenose podataka za koje se i dalje osigurava primjerena razina zaštite.

(226)

Konkretno, Komisija bi trebala pokrenuti postupak suspenzije ili stavljanja izvan snage u slučaju naznaka da poslovni subjekti koji primaju osobne podatke na temelju ove Odluke ne poštuju dodatne zaštitne mjere iz Priloga I. i/ili da njihovo izvršavanje provedba nije djelotvorno osigurano, ili ako korejska tijela ne postupaju u skladu s izjavama, jamstvima i obvezama iz Priloga II. ovoj Odluci.

(227)

Komisija bi trebala razmotriti i pokretanje postupka koji vodi do izmjene, suspenzije ili stavljanja izvan snage ove Odluke ako, u kontekstu preispitivanja ili na drugi način, nadležna korejska tijela ne dostave informacije ili pojašnjenja koja su potrebna za ocjenu razine zaštite osobnih podataka koji se prenose iz Europske unije u Republiku Koreju ili usklađenosti s ovom Odlukom. S obzirom na to Komisija bi trebala uzeti u obzir opseg u kojem se relevantne informacije mogu dobiti iz drugih izvora.

(228)

Zbog valjano utemeljenih krajnje hitnih razloga Komisija će iskoristiti mogućnost donošenja, u skladu s postupkom iz članka 93. stavka 3. Uredbe (EU) 2016/679, odmah primjenjivih provedbenih akata o suspenziji, stavljanju izvan snage ili izmjeni Odluke.

(229)

Europski odbor za zaštitu podataka objavio je svoje mišljenje (387), koje je uzeto u obzir pri izradi ove Odluke.

(230)

Mjere predviđene ovom Odlukom u skladu su s mišljenjem Odbora osnovanog na temelju članka 93. stavka 1. Uredbe (EU) 2016/679,