(1)

Ar Regulu (ES) 2016/679 ir paredzēti noteikumi, saskaņā ar kuriem Savienībā esoši pārziņi vai apstrādātāji var nosūtīt personas datus trešām valstīm un starptautiskām organizācijām, ciktāl šāda nosūtīšana ietilpst regulas piemērošanas jomā. Noteikumi par datu starptautisko nosūtīšanu ir izklāstīti minētās regulas V nodaļā (44.–50. pants). Lai gan personas datu plūsma uz valstīm ārpus Eiropas Savienības un no tām ir būtiska pārrobežu tirdzniecības un starptautiskās sadarbības paplašināšanas nodrošināšanai, datu nosūtīšana uz trešām valstīm nedrīkst samazināt Savienībā nodrošināto personas datu aizsardzības līmeni (2).

(2)

Atbilstīgi Regulas (ES) 2016/679 45. panta 3. punktam Komisija ar īstenošanas aktu var nolemt, ka trešā valsts, trešās valsts teritorija vai viens vai vairāki konkrēti sektori, vai starptautiska organizācija nodrošina pietiekamu aizsardzības līmeni. Saskaņā ar šo nosacījumu personas datus var nosūtīt uz trešo valsti bez nepieciešamības saņemt jebkādu turpmāku atļauju, kā paredzēts Regulas (ES) 2016/679 45. panta 1. punktā un 103. apsvērumā.

(3)

Kā norādīts Regulas (ES) 2016/679 45. panta 2. punktā, lēmums par aizsardzības līmeņa pietiekamību jāpieņem, pamatojoties uz visaptverošu trešās valsts tiesību sistēmas analīzi, gan attiecībā uz noteikumiem, kas piemērojami datu saņēmējiem, gan attiecībā uz ierobežojumiem un garantijām saistībā ar publisko iestāžu piekļuvi personas datiem. Komisijai novērtējumā jānosaka, vai attiecīgā trešā valsts garantē aizsardzības līmeni, kurš “pēc būtības ir līdzvērtīgs” Eiropas Savienībā nodrošinātajam (Regulas (ES) 2016/679 104. apsvērums). Vai tas tā ir, ir jāvērtē, ņemot vērā Savienības tiesību aktus, jo īpaši Regulu (ES) 2016/679, kā arī Eiropas Savienības Tiesas judikatūru (3).

(4)

Kā ir precizējusi Eiropas Savienības Tiesa, tas nenozīmē, ka ir jākonstatē identisks aizsardzības līmenis (4). Konkrēti, attiecīgās trešās valsts izmantotie līdzekļi personas datu aizsardzībai var atšķirties no Savienībā izmantotajiem, ja vien tie praksē efektīvi nodrošina pietiekamu aizsardzības līmeni (5). Tāpēc aizsardzības līmeņa pietiekamības standarts neparedz Savienības noteikumu precīzu replicēšanu. Drīzāk ir jāpārbauda, vai attiecīgās valsts tiesību sistēma spēj nodrošināt nepieciešamo aizsardzības līmeni, ņemot vērā tiesību uz privātumu būtību un to efektīvu īstenošanu, uzraudzību un izpildi (6). Šajā saistībā norādījumi sniegti arī Eiropas Datu aizsardzības kolēģijas Pietiekamības atsaucēs, kuru mērķis ir sīkāk precizēt šo standartu (7).

(5)

Komisija ir rūpīgi izanalizējusi Korejas tiesību aktus un praksi. Pamatojoties uz konstatējumiem, kas izklāstīti 8.–208. apsvērumā, Komisija secina, ka Korejas Republika nodrošina pietiekamu aizsardzības līmeni personas datiem, kurus pārzinis vai apstrādātājs Savienībā (8) nosūtījis vienībām (piemēram, fiziskām vai juridiskām personām, organizācijām, publiskām iestādēm) Korejā, uz kurām attiecas Likums par personas informācijas aizsardzību (2011. gada 29. marta Likums Nr. 10465, kurš pēdējo reizi grozīts ar 2020. gada 4. februāra Likumu Nr. 16930). Tas ietver gan pārziņus, gan apstrādātājus (dēvēti par “ārpakalpojumu sniedzējiem” (9)) Regulas (ES) 2016/679 nozīmē. Konstatējums par pietiekamību neattiecas uz personas datu apstrādi, kuru reliģiskas organizācijas veic misionāru darbību vajadzībām, politisko partiju veiktu personas datu apstrādi kandidātu nominēšanai vai personas kredītinformācijas apstrādi saskaņā ar Kredītinformācijas likumu, ko veic pārziņi, kuri pakļauti Finanšu pakalpojumu komisijas uzraudzībai.

(6)

Šajā secinājumā ir ņemtas vērā papildu garantijas, kas izklāstītas Paziņojumā Nr. 2021-5 (I pielikums), un Korejas valdības oficiālie apliecinājumi, garantijas un saistības pret Komisiju (II pielikums).

(7)

Saskaņā ar šo lēmumu nav nepieciešams saņemt jebkādu turpmāku atļauju datu nosūtīšanai pārziņiem un apstrādātājiem Korejas Republikā. Tas neietekmē Regulas (ES) 2016/679 tiešu piemērošanu šādām vienībām, ja ir izpildīti minētās regulas 3. pantā paredzētie nosacījumi attiecībā uz tās teritoriālo darbības jomu.

(8)

Tiesību sistēma, kas reglamentē privātumu un datu aizsardzību Korejā, balstās uz 1948. gada 17. jūlijā izsludināto Konstitūciju. Lai gan Konstitūcijā nav skaidri noteiktas tiesības uz personas datu aizsardzību, tomēr tās ir atzītas par pamattiesībām, kas izriet no konstitucionālajām tiesībām uz cilvēka cieņu un tiekšanos pēc laimes (10. pants), privāto dzīvi (17. pants) un saziņas privātumu (18. pants). To ir apstiprinājusi gan Augstākā tiesa (10), gan Konstitucionālā tiesa (11). Pamattiesību un brīvību (tostarp tiesību uz privātumu) ierobežojumus tiesību aktos var paredzēt tikai tad, ja tie nepieciešami valsts drošības vai sabiedriskās kārtības un drošības uzturēšanai un tie neietekmē attiecīgo tiesību vai brīvības būtību (37. panta 2. punkts).

(9)

Lai gan Konstitūcijā vairākās vietās ir minētas Korejas valstspiederīgo tiesības, Konstitucionālā tiesa ir nolēmusi, ka pamattiesības attiecas arī uz ārvalstniekiem (12). Tiesa jo īpaši norādīja, ka cilvēka cieņas un vērtības aizsardzība, kā arī tiesības meklēt laimi ir jebkura cilvēka, ne tikai valstspiederīgā, tiesības (13). Turklāt saskaņā ar Korejas valdības oficiālajiem apliecinājumiem (14) ir vispāratzīts, ka Konstitūcijas 12.–22. pants (kas ietver tiesības uz privātumu) nosaka cilvēka pamattiesības (15). Lai gan līdz šim nav iedibināta judikatūra, kas īpaši attiektos uz ārvalstnieku tiesībām uz privātumu, tās pamatojums cilvēka cieņas aizsardzībā un laimes meklējumos pamato šo secinājumu (16).

(10)

Turklāt Koreja ir pieņēmusi vairākus tiesību aktus datu aizsardzības jomā, kas paredz garantijas visām personām neatkarīgi no to valstspiederības (17). Šajā lēmumā minētie attiecīgie tiesību akti ir šādi:

(11)

PIPA nodrošina datu aizsardzības vispārējo tiesisko regulējumu Korejas Republikā. To papildina Izpildes dekrēts (Prezidenta 2011. gada 29. septembra dekrēts Nr. 23169, kurā jaunākie grozījumi izdarīti ar Prezidenta 2020. gada 4. augusta dekrētu Nr. 30892) (“PIPA Izpildes dekrēts”), kas tāpat kā PIPA ir juridiski saistošs un izpildāms.

(12)

Turklāt Personas informācijas aizsardzības komisijas (“PIPC”) pieņemtajos “Paziņojumos” ir sniegti papildu noteikumi par PIPA interpretāciju un piemērošanu. Pamatojoties uz PIPA 5. pantu (Valsts pienākumi) un 14. pantu (Starptautiskā sadarbība), PIPC pieņēma 2020. gada 1. septembra Paziņojumu Nr. 2021-5 (kurā grozījumi izdarīti ar 2021. gada 21. janvāra Paziņojumu Nr. 2021-1 un 2021. gada 16. novembra Paziņojumu Nr. 2021-5, “Paziņojums Nr. 2021-5”) par atsevišķu PIPA noteikumu interpretāciju, piemērošanu un izpildi. Šajā paziņojumā ir sniegti skaidrojumi, kas attiecas uz personas datu jebkādu apstrādi saskaņā ar PIPA, kā arī papildu garantijas personas datiem, kas nosūtīti uz Koreju, pamatojoties uz šo lēmumu. Paziņojums ir juridiski saistošs personas informācijas pārziņiem, un to var piemērot gan PIPC, gan tiesas (19). Paziņojumā izklāstīto noteikumu pārkāpums nozīmē PIPA attiecīgo noteikumu pārkāpumu, kurus tie papildina. Tāpēc papildu garantiju saturs tiek analizēts kā daļa no attiecīgo PIPA pantu novērtējuma. Visbeidzot, papildu norādījumi par PIPA un tā Izpildes dekrētu, kas sniedz informāciju par PIPC īstenojamo datu aizsardzības noteikumu piemērošanu un izpildi, ir sniegti PIPA rokasgrāmatā un pamatnostādnēs, ko pieņēmusi PIPC (20).

(13)

Turklāt Likumā par kredītinformācijas izmantošanu un aizsardzību (Act on the Use and Protection of Credit Information – “CIA”) ir paredzēti īpaši noteikumi, kas attiecas gan uz “parastiem” komerciālajiem operatoriem, gan specializētām finanšu sektora vienībām, kad tās apstrādā personas kredītinformāciju, proti, informāciju, kas nepieciešama, lai noteiktu finanšu darījumu vai komercdarījumu pušu kredītspēju. Tas jo īpaši attiecas uz vārdu un uzvārdu, kontaktinformāciju, finanšu darījumiem, kredītreitingu, apdrošināšanas statusu vai aizdevuma atlikumu, ja šāda informācija tiek izmantota, lai noteiktu personas kredītspēju (21). Savukārt, ja šāda informācija tiek izmantota citiem nolūkiem (piemēram, cilvēkresursu jomā), PIPA piemēro pilnībā. Atbilstību konkrētiem CIA noteikumiem par datu aizsardzību daļēji uzrauga PIPC (attiecībā uz komerciālām organizācijām, sk. CIA 45. panta 3. punktu) un daļēji – Finanšu pakalpojumu komisija (22) (attiecībā uz finanšu sektoru, ieskaitot kredītreitinga aģentūras, bankas, apdrošināšanas uzņēmumus, kopieguldījumu krājbankas, specializētas kredītiestādes, ieguldījumu pakalpojumu uzņēmumus, vērtspapīru uzņēmumus, krājaizdevu sabiedrības utt., sk. CIA 45. panta 1. punktu kopā ar CIA Izpildes dekrēta 36. panta 2. punktu un Likuma par Finanšu pakalpojumu komisiju 38. pantu). Šajā ziņā šā lēmuma darbības joma attiecas tikai uz komerciālajiem operatoriem, kuriem piemērojama PIPC īstenota pārraudzība (23). Šajā kontekstā piemērojamie īpašie CIA noteikumi (ja nav īpašu noteikumu, piemēro vispārīgos PIPA noteikumus) ir aprakstīti 2.3.11. iedaļā.

(14)

Personas datu aizsardzību reglamentē PIPA (6. pants), ja vien citos likumos nav īpaši noteikts citādi. Tā materiālo un personīgo piemērošanas jomu nosaka definētie jēdzieni “personas informācija”, “apstrāde” un “personas informācijas pārzinis”.

(15)

PIPA 2. panta 1. punktā personas informācija ir definēta kā informācija, kas attiecas uz dzīvu personu un kas identificē personu tieši, piemēram, pēc tās vārda, uzvārda, iedzīvotāju reģistrācijas numura vai attēla, vai netieši, proti, ja informāciju, pēc kuras nevar identificēt konkrētu personu, var viegli apvienot ar citu informāciju. Tas, vai informāciju var “viegli” apvienot, ir atkarīgs no tā, vai šāda kombinēšana jeb apvienošana ir saprātīgi iespējama, ņemot vērā iespēju iegūt citu informāciju, kā arī laiku, izmaksas un tehnoloģijas, kas nepieciešami personas identificēšanai.

(16)

Turklāt pseidonimizēta informācija – t. i., informācija, pēc kuras nevar identificēt konkrētu personu, neizmantojot vai neapvienojot to ar papildu informāciju, lai atjaunotu tās sākotnējo stāvokli, – saskaņā ar PIPA tiek uzskatīta par personas datiem (PIPA 2. panta 1. punkta c) apakšpunkts). Savukārt informācija, kas ir pilnībā “anonimizēta”, ir izslēgta no PIPA piemērošanas jomas (PIPA 58-2. pants). Tas attiecas uz informāciju, pēc kuras nevar identificēt konkrētu personu, pat ja to apvieno ar citu informāciju, ņemot vērā laiku, izmaksas un tehnoloģiju, kas pamatoti nepieciešami identificēšanai.

(17)

Tas atbilst Regulas (ES) 2016/679 materiālajai piemērošanas jomai un tās jēdzieniem “personas dati”, “pseidonimizācija” (24) un “anonimizēta informācija” (25).

(18)

“Apstrādes” jēdziens PIPA ir plaši definēts kā tāds, kas ietver “personas informācijas vākšanu, ģenerēšanu, savienošanu, sasaistīšanu, reģistrēšanu, glabāšanu, saglabāšanu, apstrādi ar pievienoto vērtību, rediģēšanu, izgūšanu, izvadi, labošanu, atgūšanu, izmantošanu, sniegšanu un atklāšanu, iznīcināšanu un citas līdzīgas darbības” (26). Lai gan daži PIPA noteikumi attiecas tikai uz konkrētiem apstrādes veidiem, piemēram, “izmantošana”, “sniegšana” vai “vākšana” (27), jēdziens “izmantošana” tiek interpretēts kā tāds, kas ietver jebkuru apstrādes veidu, izņemot “vākšanu” vai “sniegšanu” (trešai personai). Tādējādi šī plašā “izmantošanas” jēdziena interpretācija nodrošina, ka nav nepilnību aizsardzībā attiecībā uz konkrētām apstrādes darbībām. Tādējādi apstrādes jēdziens atbilst tam pašam jēdzienam kā Regulā (ES) 2016/679.

(19)

PIPA attiecas uz “personas informācijas pārziņiem” (“pārzinis”). Līdzīgi kā Regulā (ES) 2016/679 tas attiecas uz jebkuru publisko iestādi, juridisku personu, organizāciju vai fizisku personu, kas tieši vai netieši apstrādā personas datus, lai savas darbības ietvaros pārvaldītu personas datu datnes (28). Šajā saistībā “personas informācijas datne” ir jebkurš “sistemātiski sakārtots vai sistemātiski organizēts personas informācijas kopums vai kopumi, pamatojoties uz konkrētu noteikumu, lai personas informācijai būtu viegli piekļūt” (PIPA 2. panta 4. punkts) (29). Iekšēji pārzinim ir pienākums apmācīt personas, kas iesaistītas apstrādē tā vadībā, piemēram, uzņēmuma amatpersonas vai darbiniekus, un veikt pienācīgu kontroli un uzraudzību (PIPA 28. panta 1. punkts).

(20)

Konkrēti pienākumi attiecas uz gadījumiem, kad pārzinis (“ārpakalpojumu saņēmējs”) nodod personas datu apstrādi trešai personai (“ārpakalpojumu sniedzējs”). Konkrētāk, ārpakalpojumu izmantošana ir jāreglamentē ar juridiski saistošu vienošanos (parasti – līgumu) (30), kurā ir noteikts ārpakalpojumā nodotā darba apjoms, apstrādes nolūks, piemērojamie tehniskie un pārvaldības aizsardzības pasākumi, pārziņa īstenota uzraudzība, atbildība (piemēram, kompensācija par līgumsaistību neizpildes rezultātā nodarīto kaitējumu), kā arī ierobežojumi attiecībā uz jebkādu apakšapstrādi (31) (PIPA 26. panta 1. un 2. punkts kopā ar Izpildes dekrēta 28. panta 1. punktu) (32).

(21)

Turklāt pārzinim ir jāpublicē un pastāvīgi jāatjaunina informācija par ārpakalpojumā nodoto darbu un ārpakalpojumu sniedzēja identitāti vai, ciktāl ārpakalpojumā nodotā apstrāde attiecas uz tiešās tirgvedības darbībām, tieši jāpaziņo attiecīgā informācija fiziskām personām (PIPA 26. panta 2. un 3. punkts kopā ar Izpildes dekrēta 28. panta 2.–5. punktu) (33).

(22)

Turklāt saskaņā ar PIPA 26. panta 4. punktu un Izpildes dekrēta 28. panta 6. punktu pārzinim ir pienākums “izglītot” ārpakalpojumu sniedzēju par nepieciešamajiem drošības pasākumiem un uzraudzīt, cita starpā veicot pārbaudes, vai tas pilda visus pārziņa pienākumus saskaņā ar PIPA (34), kā arī saskaņā ar ārpakalpojuma līgumu. Ja ārpakalpojumu sniedzējs rada kaitējumu PIPA pārkāpuma dēļ, tā darbība vai bezdarbība atbildības nolūkos tiks attiecināta uz pārzini tāpat kā darbinieka gadījumā (PIPA 26. panta 6. punkts).

(23)

Lai gan PIPA tādēļ nav izmantoti dažādi jēdzieni attiecībā uz “pārziņiem” un “apstrādātājiem”, ārpakalpojumu noteikumos būtībā ir paredzēti pēc būtības līdzvērtīgi pienākumi un garantijas kā tie, kas regulē attiecības starp pārziņiem un apstrādātājiem saskaņā ar Regulu (ES) 2016/679.

(24)

Lai gan PIPA attiecas uz personas datu apstrādi, ko veic jebkurš pārzinis, daži nosacījumi ietver īpašus noteikumus (kā lex specialis) par “lietotāju” personas datu apstrādi, ko veic “informācijas un komunikācijas pakalpojumu sniedzēji” (35). Jēdziens “lietotāji” attiecas uz personām, kas izmanto informācijas un komunikācijas pakalpojumus (Likuma par informācijas un komunikācijas tīkla izmantošanas veicināšanu un datu aizsardzību (“Tīkla likums”) 2. panta 1. punkta 4. apakšpunkts). Tas nozīmē, ka persona vai nu tieši izmanto Korejas telesakaru operatora sniegtos telesakaru pakalpojumus, vai arī izmanto informācijas pakalpojumus (36), ko komerciālā nolūkā (t. i., peļņas gūšanas nolūkā) sniedz vienība, kas savukārt izmanto Korejā licencēta/reģistrēta telesakaru operatora pakalpojumus (37). Abos gadījumos īpašie PIPA noteikumi ir saistoši vienībai, kas piedāvā tiešsaistes pakalpojumu tieši personai (t. i., lietotājam).

(25)

Turpretim konstatējums par pietiekamību attiecas tikai uz aizsardzības līmeni, kas tiek nodrošināts personas datiem, kurus Savienībā esošs pārzinis/apstrādātājs pārsūta vienībai trešā valstī (šajā gadījumā – Korejas Republikā). Pēdējā scenārija gadījumā fiziskām personām Savienībā parasti būs tieša saistība tikai ar Savienībā esošu “datu nosūtītāju”, nevis ar Korejas informācijas un komunikācijas pakalpojumu sniedzēju (38). Tāpēc PIPA īpašie noteikumi attiecībā uz informācijas un komunikācijas pakalpojumu lietotāju personas datiem saskaņā ar šo lēmumu pārsūtītajiem personas datiem tiks piemēroti tikai ierobežotos gadījumos.

(26)

PIPA 58. panta 1. punkts izslēdz PIPA daļas (t. i., 15.–57. panta) piemērošanu attiecībā uz četrām datu apstrādes kategorijām (39). Konkrēti, nepiemēro PIPA daļas, kas attiecas uz īpašiem apstrādes pamatojumiem, konkrētiem datu aizsardzības pienākumiem, sīki izstrādātiem noteikumiem par individuālo tiesību īstenošanu, kā arī noteikumiem, kas reglamentē strīdu izšķiršanu, ko veic Personas informācijas strīdu starpniecības komiteja. Citi PIPA pamatnoteikumi joprojām ir piemērojami, konkrēti, vispārīgie noteikumi par datu aizsardzības principiem (PIPA 3. pants), tai skaitā, piemēram, likumīguma, nolūka precizēšanas un nolūka ierobežojuma, datu minimizēšanas, datu precizitātes un drošības principi, un individuālās tiesības (attiecībā uz piekļuvi, labošanu, dzēšanu un izmantošanas apturēšanu sk. PIPA 4. pantu). Turklāt PIPA 58. panta 4. punkts attiecībā uz šīm apstrādes darbībām uzliek konkrētus pienākumus, proti, attiecībā uz datu minimizēšanu, datu ierobežotu saglabāšanu, drošības pasākumiem un sūdzību izskatīšanu (40). Tādējādi fiziskas personas joprojām var iesniegt sūdzību PIPC, ja šie principi un pienākumi netiek ievēroti, un PIPC ir pilnvarota veikt izpildes pasākumus, ja tie netiek ievēroti.

(27)

Pirmkārt, daļējais atbrīvojums attiecas uz personas datiem, kas savākti saskaņā ar Statistikas likumu, lai tos apstrādātu publiskās iestādes. Saskaņā ar skaidrojumiem, kas saņemti no Korejas valdības, šajā saistībā apstrādātie personas dati parasti attiecas uz Korejas valstspiederīgajiem un tikai izņēmuma kārtā var ietvert informāciju par ārvalstniekiem, proti, statistiku par ieceļošanu un izceļošanu no valsts teritorijas vai par ārvalstu ieguldījumiem. Tomēr pat šādās situācijās šādi dati parasti netiek nosūtīti no Savienībā esošiem pārziņiem/apstrādātājiem, bet drīzāk tos vāc tieši Korejas publiskās iestādes (41). Turklāt līdzīgi tam, kas norādīts Regulas (ES) 2016/679 162. apsvērumā, uz datu apstrādi saskaņā ar Statistikas likumu attiecas vairāki nosacījumi un garantijas. Jo īpaši Statistikas likumā paredzēti konkrēti pienākumi, piemēram, nodrošināt precizitāti, konsekvenci un objektivitāti; garantēt personu konfidencialitāti; aizsargāt informāciju par respondentiem, kas atbild uz statistikas pieprasījumiem, tai skaitā, lai novērstu šādas informācijas izmantošanu citiem nolūkiem, kas nav statistikas apkopošana, un attiecināt uz darbiniekiem konfidencialitātes prasības (42). Publiskām iestādēm, kuras apstrādā datus, cita starpā ir jāievēro datu minimizēšanas, datu izmantošanas mērķa ierobežojuma un drošības principi (PIPA 3. pants un 58. panta 4. punkts) un jāļauj personām īstenot savas tiesības (tiesības uz piekļuvi datiem, to labošanu, dzēšanu un piekļuves apturēšanu, sk. PIPA 4. pantu). Visbeidzot, dati ir jāapstrādā anonimizētā vai pseidonimizētā formā, ja tas ļauj īstenot apstrādes nolūku (PIPA 3. panta 7. punkts).

(28)

Otrkārt, PIPA 58. panta 1. punkts attiecas uz personas datiem, kas savākti vai pieprasīti ar valsts drošību saistītas informācijas analīzei. Šā daļējā atbrīvojuma darbības joma un sekas ir sīkāk aprakstītas 149. apsvērumā.

(29)

Treškārt, daļējs atbrīvojums attiecas uz personas datiem, kas tiek apstrādāti uz laiku, ja tas ir steidzami nepieciešams sabiedrības drošumam un sabiedriskajai drošībai, tai skaitā sabiedrības veselībai. PIPC šo kategoriju interpretē stingri, un saskaņā ar saņemto informāciju tā nekad nav izmantota. To piemēro tikai ārkārtas situācijās, kad nepieciešama steidzama rīcība, piemēram, lai izsekotu infekcijas ierosinātājus vai lai glābtu un palīdzētu dabas katastrofu upuriem (43). Pat šajās situācijās daļējais atbrīvojums attiecas tikai uz personas datu apstrādi uz ierobežotu laiku ar nolūku veikt minētās darbības. Vēl retāki ir gadījumi, kad atbrīvojums varētu attiekties uz tādu datu nosūtīšanu, uz kuriem attiecas šis lēmums, ņemot vērā nelielo varbūtību, ka personas dati, kas no Savienības nosūtīti Korejas operatoriem, būtu tāda veida dati, kuru turpmāka apstrāde varētu būt “steidzami nepieciešama” šādu ārkārtas situāciju gadījumā.

(30)

Visbeidzot, daļējs atbrīvojums attiecas uz personas datiem, ko vāc vai izmanto prese, reliģiskās organizācijas (misionāru darbību nolūkā) vai politiskās partijas (kandidātu izvirzīšanai). Atbrīvojums attiecas tikai uz gadījumiem, kad personas datus apstrādā prese, reliģiskās organizācijas vai politiskās partijas šiem konkrētajiem nolūkiem (t. i., žurnālistikas darbībām, misionāru darbam un politisko kandidātu izvirzīšanai). Ja šīs vienības personas datus apstrādā citiem nolūkiem, piemēram, cilvēkresursu pārvaldībai vai iekšējai administrācijai, PIPA ir piemērojams pilnā apmērā.

(31)

Attiecībā uz preses veikto personas datu apstrādi žurnālistikas darbībām līdzsvaru starp vārda brīvību un citām tiesībām (tostarp tiesībām uz privātumu) nodrošina Likums par šķīrējtiesu un tiesiskās aizsardzības līdzekļiem u. c. saistībā ar preses reportāžu radīto kaitējumu (“Preses likums”) (44). Konkrēti, Preses likuma 5. pantā noteikts, ka prese (t. i., jebkura raidorganizācija, laikraksts, periodiskais izdevums vai tiešsaistes laikraksts), jebkurš interneta ziņu dienests vai jebkura interneta multimediju raidorganizācija nedrīkst aizskart personu privātumu. Ja privātuma pārkāpums tomēr ir noticis, tas nekavējoties jānovērš saskaņā ar likumā noteiktajām īpašajām procedūrām. Šajā ziņā likums personām, kurām ir nodarīts kaitējums preses ziņojuma dēļ, piešķir vairākas tiesības, piemēram, panākt nepatiesa paziņojuma labojuma publicēšanu, panākt labojumu ar pretēju apgalvojumu vai papildu ziņojumu (ja preses ziņojums attiecas uz apgalvojumiem par noziegumiem, par kuriem persona vēlāk tiek attaisnota) (45). Personu sūdzības preses izdevumi var risināt tieši (ar ombuda starpniecību) (46), samierināšanas tiesas vai šķīrējtiesas ceļā (specializētā Preses šķīrējtiesas komisijā) (47) vai tiesā. Personas var saņemt kompensāciju arī tad, ja preses nelikumīgas darbības (tīši vai aiz neuzmanības) dēļ tām nodarīts finansiāls kaitējums, aizskartas personības tiesības vai radītas citas emocionālas ciešanas (48). Prese saskaņā ar likumu ir atbrīvota no atbildības, ciktāl preses ziņojums, kas pārkāpj personas tiesības, nav pretrunā ar sociālajām vērtībām un tiek publicēts vai nu ar attiecīgās personas piekrišanu, vai sabiedrības interesēs (un ir pietiekams pamats uzskatīt, ka ziņojums atbilst patiesībai) (49).

(32)

Tādējādi uz preses veikto personas datu apstrādi žurnālistikas darbībām attiecas īpašas garantijas, kas izriet no Preses likuma, taču nav šādu papildu garantiju, kas regulētu izņēmumu piemērošanu attiecībā uz reliģisko organizāciju un politisko partiju veiktajām apstrādes darbībām tādā veidā, kas ir salīdzināms ar Regulas (ES) 2016/679 85., 89. un 91. pantu. Tāpēc Komisija uzskata, ka ir lietderīgi reliģiskās organizācijas, ciktāl tās apstrādā personas datus savām misionāru darbībām, un politiskās partijas, ciktāl tās apstrādā personas datus saistībā ar kandidātu izvirzīšanu, izslēgt no šā lēmuma piemērošanas jomas.

(33)

Personas dati ir jāapstrādā likumīgi un godprātīgi.

(34)

Šis princips ir noteikts PIPA 3. panta 1. un 2. punktā, un to pastiprina PIPA 59. pants, kas aizliedz personas datu apstrādi “ar krāpšanu, nepienācīgiem vai netaisnīgiem līdzekļiem”, “bez likumīgas pilnvaras” vai “pārsniedzot atbilstīgas pilnvaras” (50). Šie likumīgās apstrādes vispārējie principi ir izklāstīti PIPA 15.–19. pantā, kurā noteikti dažādi apstrādes juridiskie pamati (datu vākšana, izmantošana un sniegšana trešām personām), tostarp apstākļi, kādos tā var būt saistīta ar nolūka maiņu (PIPA 18. pants).

(35)

Saskaņā ar PIPA 15. panta 1. punktu pārzinis var vākt personas datus (saskaņā ar datu vākšanas nolūku), pamatojoties tikai uz ierobežotu skaitu juridisko pamatojumu. Tie ir šādi: 1) datu subjekta piekrišana (51) (1. punkts); 2) nepieciešamība noslēgt un izpildīt līgumu ar datu subjektu (4. punkts); 3) īpašs likumā noteikts pilnvarojums vai nepieciešamība izpildīt juridisku pienākumu (2. punkts); publiskās iestādes nepieciešamība (52) veikt tās jurisdikcijā esošos uzdevumus, kā noteikts tiesību aktos; 4) acīm redzama nepieciešamība datu subjekta vai trešās personas dzīvības, veselības vai īpašuma aizsardzībai pret nenovēršamu apdraudējumu (tikai tad, ja datu subjekts nespēj paust savu gribu vai nav iespējams saņemt iepriekšēju piekrišanu) (5. punkts); 5) nepieciešamība īstenot pārziņa “pamatotas intereses”, ja tās ir “acīm redzami svarīgākas” par datu subjekta interesēm (un tikai tad, ja apstrādei ir “būtiska saikne” ar leģitīmajām interesēm un tā nepārsniedz to, kas ir saprātīga) (6. punkts) (53). Šie apstrādes pamatojumi pēc būtības ir līdzvērtīgi Regulas (ES) 2016/679 6. pantā noteiktajiem pamatojumiem, tai skaitā pamatojums “pamatotas intereses”, kas ir līdzvērtīgs Regulas (ES) 2016/679 6. panta 1. punkta f) apakšpunktā noteiktajam pamatojumam “leģitīmas intereses”.

(36)

Kad personas dati ir savākti, tos var izmantot vākšanas nolūka ietvaros (PIPA 15. panta 1. punkts) vai ar vākšanas nolūku “pamatoti saistītā apjomā”, ņemot vērā iespējamo datu subjektam radīto nelabvēlīgo situāciju un ar nosacījumu, ka ir pieņemti nepieciešamie drošības pasākumi (piemēram, šifrēšana) (PIPA 15. panta 3. punkts). Lai noteiktu, vai izmantošanas nolūks ir “pamatoti saistīts” ar sākotnējo vākšanas nolūku, Izpildes dekrētā ir noteikti konkrēti kritēriji, kas ir līdzīgi Regulas (ES) 2016/679 6. panta 4. punktā noteiktajiem. Konkrēti, tam jābūt būtiski saistītam ar sākotnējo nolūku; papildu izmantošanai jābūt paredzamai (piemēram, ņemot vērā apstākļus, kādos informācija tika vākta); un, ja iespējams, datiem jābūt pseidonimizētiem (54). Konkrētie kritēriji, ko šajā novērtējumā izmanto pārzinis, iepriekš jāizklāsta privātuma politikā (55). Turklāt privātuma amatpersonai (sk. 94. apsvērumu) ir īpaši jāpārbauda, vai turpmākā izmantošana notiek saskaņā ar šiem parametriem.

(37)

Līdzīgi (bet nedaudz stingrāki) noteikumi attiecas uz datu sniegšanu trešām personām. Saskaņā ar PIPA 17. panta 1. punktu personas datu sniegšana trešai personai ir atļauta, pamatojoties uz piekrišanu (56), vai, ņemot vērā informācijas vākšanas nolūku, ja informācija ir vākta, pamatojoties uz kādu no PIPA 15. panta 1. punkta 2., 3. un 5. apakšpunktā minētajiem juridiskajiem pamatojumiem. Tas konkrēti izslēdz jebkādu informācijas izpaušanu, pamatojoties uz pārziņa “pamatotām interesēm”. Papildus tam saskaņā ar PIPA 17. panta 4. punktu ir atļauta informācijas sniegšana trešām personām ar vākšanas nolūku “pamatoti saistītā apjomā”, ņemot vērā arī iespējamo datu subjektam radīto nelabvēlīgo situāciju un ar nosacījumu, ka ir pieņemti nepieciešamie drošības pasākumi (piemēram, šifrēšana). Jāņem vērā tie paši faktori, kas aprakstīti 36. apsvērumā, lai novērtētu, vai noteikums ietilpst apjomā, kas ir pamatoti saistīts ar vākšanas nolūku, un jāpiemēro tās pašas garantijas (t. i., attiecībā uz pārredzamību, izmantojot privātuma politiku un privātuma amatpersonas iesaistīšanu).

(38)

Ja Korejas datu pārzinis saņem no Savienības personas datus, tas tiek uzskatīts par “vākšanu”PIPA 15. panta nozīmē. Paziņojumā Nr. 2021-5 (šā lēmuma I pielikuma I iedaļa) ir paskaidrots, ka nolūks, kādam attiecīgā ES vienība ir nosūtījusi datus, ir Korejas datu pārziņa datu vākšanas nolūks. Līdz ar to Korejas datu pārziņiem, kas saņem personas datus no Savienības, principā ir jāapstrādā šāda informācija saskaņā ar PIPA 17. pantu, ievērojot nosūtīšanas nolūku.

(39)

Īpaši ierobežojumi attiecas uz gadījumiem, kad pārzinis vēlas izmantot personas datus vai sniegt tos trešai personai citam nolūkam, kas atšķiras no datu vākšanas nolūka (57). Saskaņā ar PIPA 18. panta 2. punktu privāts pārzinis var izņēmuma kārtā (58) izmantot personas datus vai sniegt tos trešai personai citam nolūkam: 1) pamatojoties uz datu subjekta papildu (t. i., atsevišķu) piekrišanu; 2) ja to paredz īpaši tiesību akti; vai 3) ja tas ir acīm redzami nepieciešams datu subjekta vai trešās personas dzīvības, veselības vai īpašuma aizsardzībai pret nenovēršamu apdraudējumu (tikai tad, ja datu subjekts nespēj paust savu gribu un nav iespējams saņemt iepriekšēju piekrišanu) (59).

(40)

Publiskās iestādes noteiktās situācijās var arī izmantot personas datus vai sniegt tos trešai personai citam nolūkam. Tas attiecas arī uz gadījumiem, kad pretējā gadījumā publiskajām iestādēm būtu neiespējami pildīt savus likumā noteiktos pienākumus, kā to paredz tiesību akti, ja ir saņemta PIPC atļauja. Turklāt publiskās iestādes var sniegt personas datus citai iestādei vai tiesai, ja tas ir nepieciešams noziegumu izmeklēšanai un kriminālvajāšanai vai apsūdzības izvirzīšanai; lai tiesa varētu veikt savas funkcijas, kas saistītas ar notiekošo tiesvedību; vai kriminālsoda izpildei, vai rīkojuma par aprūpi vai aizgādības izpildei (60). Tās var arī sniegt personas datus ārvalstu valdībai vai starptautiskai organizācijai, lai izpildītu juridisku pienākumu, kas izriet no līguma vai starptautiskas konvencijas, un šādā gadījumā tām arī ir jāievēro pārrobežu datu nosūtīšanas prasības (sk. 90. apsvērumu).

(41)

Tādējādi Korejas tiesiskajā regulējumā apstrādes likumīguma un godprātības principi ir īstenoti pēc būtības līdzvērtīgi Regulai (ES) 2016/679, atļaujot veikt apstrādi tikai ar likumīgu un skaidri noteiktu pamatojumu. Turklāt visos minētajos gadījumos apstrāde ir atļauta tikai tad, ja nav iespējams “negodīgi aizskart” datu subjekta vai trešās personas intereses, kas prasa interešu līdzsvarošanu. Turklāt PIPA 18. panta 5. punktā ir paredzētas papildu garantijas, ja pārzinis sniedz personas datus trešai personai, un tie var ietvert prasību ierobežot izmantošanas nolūku un metodi vai ieviest īpašus drošības pasākumus. Savukārt trešai pusei ir jāīsteno pieprasītie pasākumi.

(42)

Visbeidzot, PIPA 28-2. pants atļauj (turpmāku) pseidonimizētas informācijas apstrādi bez attiecīgās personas piekrišanas statistikas, zinātniskās pētniecības (61) un arhivēšanas nolūkos sabiedrības interesēs, ievērojot īpašas garantijas. Līdzīgi kā Regulā (ES) 2016/679 (62) PIPA tādējādi atvieglo personas datu (turpmāku) apstrādi šādos nolūkos saskaņā ar regulējumu, kas paredz atbilstošas garantijas, lai aizsargātu personu tiesības. Tā vietā, lai paļautos uz pseidonimizāciju kā iespējamo aizsardzības līdzekli, PIPA to nosaka kā priekšnosacījumu, lai veiktu noteiktas apstrādes darbības statistikas, zinātniskās pētniecības un arhivēšanas nolūkos sabiedrības interesēs (piemēram, lai varētu apstrādāt datus bez piekrišanas vai apvienot dažādas datu kopas).

(43)

Turklāt PIPA noteiktas vairākas īpašas garantijas, konkrēti attiecībā uz nepieciešamajiem tehniskajiem un organizatoriskajiem pasākumiem, uzskaiti, datu kopīgas lietošanas ierobežojumiem un iespējamo atkārtotas identificēšanas risku novēršanu. 44.–48. apsvērumā aprakstīto dažādo garantiju apvienojums nodrošina, ka personas datu apstrādei šajā saistībā piemēro pēc būtības līdzvērtīgu aizsardzību salīdzinājumā ar aizsardzību, kas būtu nepieciešama saskaņā ar Regulu (ES) 2016/679.

(44)

Pirmkārt, un pats svarīgākais ir tas, ka PIPA 28-5. panta 1. punkts aizliedz apstrādāt pseidonimizētu informāciju konkrētas personas identificēšanas nolūkā. Ja, apstrādājot pseidonimizētu informāciju, tomēr tiktu iegūta informācija, ar ko varētu identificēt personu, pārzinim nekavējoties jāaptur apstrāde un šāda informācija jāiznīcina (PIPA 28-5. panta 2. punkts). Par šo noteikumu neievērošanu var tikt piemērots administratīvs naudas sods, un tas ir uzskatāms par noziedzīgu nodarījumu (63). Tas nozīmē, ka pat tajās situācijās, kad būtu praktiski iespējams atkārtoti identificēt personu, šāda atkārtota identificēšana ir juridiski aizliegta.

(45)

Otrkārt, veicot (turpmāku) pseidonimizētas informācijas apstrādi šādos nolūkos, pārzinim ir jāievieš īpaši tehniski, pārvaldības un fiziski pasākumi, lai nodrošinātu informācijas drošību (tostarp atsevišķi jāglabā un jāpārvalda informācija, kas nepieciešama, lai atjaunotu pseidonimizēto informāciju tās sākotnējā stāvoklī) (64). Turklāt ir jāreģistrē apstrādātā pseidonimizētā informācija, tās apstrādes nolūks, izmantošanas vēsture un visi trešās personas saņēmēji (PIPA Izpildes dekrēta 29-5. panta 2. punkts).

(46)

Treškārt un visbeidzot, PIPA paredz īpašas garantijas, lai novērstu trešo personu veiktu personu identificēšanu gadījumos, kad informācija tiek kopīgota. Konkrēti, sniedzot pseidonimizētu informāciju trešai personai statistikas, zinātniskās pētniecības vai arhivēšanas nolūkos sabiedrības interesēs, pārziņi nedrīkst iekļaut informāciju, ko varētu izmantot, lai identificētu konkrētu personu (PIPA 28-2. panta 2. punkts) (65).

(47)

Konkrētāk, lai gan PIPA ļauj apvienot pseidonimizētu informāciju (ko apstrādā dažādi pārziņi) statistikas, zinātniskās pētniecības vai arhivēšanas nolūkos sabiedrības interesēs, tas patur šīs pilnvaras specializētām iestādēm, kas aprīkotas ar īpašām drošības iekārtām (PIPA 28-3. panta 1. punkts) (66). Iesniedzot pieteikumu par pseidonimizētu datu apvienošanu, pārzinim cita starpā jāiesniedz dokumentācija par apvienojamiem datiem, apvienošanas nolūku, kā arī ierosinātajiem drošības pasākumiem apvienoto datu apstrādei (67). Lai varētu veikt apvienošanu, pārzinim ir jānosūta apvienojamie dati specializētajai iestādei un jāiesniedz “apvienošanas atslēga” (t. i., informācija, kas izmantota pseidonimizācijai) Korejas Interneta un drošības aģentūrai (68). Aģentūra ģenerē “apvienošanas atslēgas sasaistes datus” (kas ļauj sasaistīt dažādu pieteikuma iesniedzēju apvienošanas atslēgas, lai panāktu datu kopu apvienošanu) un sniedz tos specializētajai iestādei (69).

(48)

Pārzinis, kas pieprasa datu apvienošanu, var analizēt apvienoto informāciju specializētās iestādes telpās, vietā, kurā tiek piemēroti īpaši tehniski, fiziski un administratīvi drošības pasākumi (PIPA Izpildes dekrēta 29-3. pants). Pārziņi, kas sniedz datu kopu šādai apvienošanai, var nodot apvienotos datus ārpus specializētās iestādes tikai pēc apvienoto datu turpmākas pseidonimizācijas vai anonimizācijas un ar šīs iestādes apstiprinājumu (PIPA 28-3. panta 2. punkts) (70). Apsverot, vai piešķirt šādu apstiprinājumu, iestāde izvērtēs saikni starp apvienotajiem datiem un apstrādes nolūku un to, vai šādu datu izmantošanai ir izstrādāts īpašs drošības plāns (71). Apvienotās informācijas eksportēšana ārpus iestādes nebūs atļauta, ja informācija ietver datus, kas ļautu identificēt personu (72). Visbeidzot, specializētās iestādes veikto pseidonimizēto datu apvienošanu un publiskošanu uzrauga PIPC (PIPA Izpildes dekrēta 29-4. panta 3. punkts).

(49)

Būtu vajadzīgas īpašas garantijas gadījumos, kad tiek apstrādāti “īpašu kategoriju” dati.

(50)

PIPA ietver īpašus noteikumus attiecībā uz gadījumiem, kad tiek apstrādāti sensitīvi dati (73), kas ir definēti kā personas dati, kuri atklāj informāciju par personas ideoloģiju, pārliecību, iestāšanos vai izstāšanos no arodbiedrības vai politiskās partijas, politiskajiem uzskatiem, veselību un seksuālo dzīvi, kā arī cita personas informācija, kas var “ievērojami” apdraudēt datu subjekta privātumu un kas ar Prezidenta dekrētu (74) ir noteikta kā sensitīva informācija. Saskaņā ar PIPC sniegtajiem skaidrojumiem seksuālā dzīve tiek interpretēta arī kā personas seksuālā orientācija (75). Turklāt Izpildes dekrēta 18. pantā sensitīvo datu klāsts ir papildināts ar citām kategorijām, konkrēti, ar DNS informāciju, kas iegūta, veicot ģenētisko testēšanu, un sodāmības reģistrā iekļautajiem datiem. Ar nesenajiem grozījumiem PIPA Izpildes dekrētā ir vēl vairāk paplašināts sensitīvo datu jēdziens, iekļaujot tajā arī personas datus, kas atklāj rasi vai etnisko izcelsmi un biometrisko informāciju (76). Pēc minētā grozījuma sensitīvu datu jēdziens saskaņā ar PIPA pēc būtības ir līdzvērtīgs Regulas (ES) 2016/679 9. pantā minētajam.

(51)

Saskaņā ar PIPA 23. panta 1. punktu un līdzīgi, kā noteikts Regulas (ES) 2016/679 9. panta 1. punktā, sensitīvu datu apstrāde parasti ir aizliegta, ja vien nepiemēro kādu no uzskaitītajiem izņēmumiem (77). Šie ierobežojumi attiecas tikai uz gadījumiem, kad pārzinis informē datu subjektu saskaņā ar PIPA 15. un 17. pantu un saņem atsevišķu piekrišanu (t. i., atsevišķi no piekrišanas citu personas datu apstrādei) vai kad apstrādi prasa vai atļauj likums. Publiskās iestādes var apstrādāt arī biometrisko informāciju, DNS informāciju, kas iegūta, veicot ģenētisko testēšanu, personas informāciju, kas atklāj rasi vai etnisko izcelsmi, un sodāmības reģistrā iekļautos datus, pamatojoties uz vienīgi šīm iestādēm pieejamajiem apsvērumiem (piemēram, ja tas nepieciešams noziegumu izmeklēšanai vai ja tas nepieciešams tiesai, lai turpinātu lietas izskatīšanu) (78). Tādējādi sensitīvu datu apstrādei pieejamie juridiskie pamati ir ierobežotāki nekā cita veida personas datu apstrādei, un Korejas tiesību aktos tie ir vēl ierobežojošāki nekā Regulas (ES) 2016/679 9. panta 2. punktā noteiktie.

(52)

Turklāt PIPA 23. panta 2. punktā, par kura neievērošanu var tikt piemēroti sodi (79), ir uzsvērts, ka, apstrādājot sensitīvus datus, ir īpaši svarīgi nodrošināt pienācīgu drošību, lai tos “nevarētu pazaudēt, nozagt, izpaust, viltot, pārveidot vai bojāt”. Lai gan tā ir vispārīga prasība saskaņā ar PIPA 29. pantu, 3. panta 4. punktā ir skaidri noteikts, ka drošības līmenis ir jāpielāgo apstrādājamo personas datu veidam, kas nozīmē, ka ir jāņem vērā īpašie riski, kas saistīti ar sensitīvu datu apstrādi. Turklāt datu apstrāde vienmēr jāveic “tā, lai līdz minimumam samazinātu iespēju pārkāpt” datu subjekta privātumu, un, ja iespējams, “anonīmi” (PIPA 3. panta 6. un 7. punkts). Šīs prasības ir īpaši svarīgas, ja apstrāde attiecas uz sensitīviem datiem.

(53)

Personas dati būtu jāvāc konkrētam nolūkam un tādā veidā, kas nav pretrunā ar apstrādes nolūku.

(54)

Šo principu īsteno saskaņā ar PIPA 3. panta 1. un 2. punktu, kurā noteikts, ka pārzinis “precizē un skaidri norāda” apstrādes nolūku, apstrādā personas datus piemērotā veidā, kas vajadzīgs šim nolūkam, un neizmanto tos ārpus šā nolūka. Nolūka ierobežojuma vispārējais princips ir apstiprināts arī 15. panta 1. punktā, 18. panta 1. punktā, 19. pantā un – attiecībā uz apstrādātājiem (tā dēvētajiem “ārpakalpojumu sniedzējiem”) – PIPA 26. panta 1. punkta 1. apakšpunktā un 5. un 7. punktā. Konkrēti, personas datus principā drīkst izmantot un sniegt trešām personām tikai tā nolūka ietvaros, kādam tie tika vākti (15. panta 1. punkts un 17. panta 1. punkta 2. apakšpunkts). Apstrāde saderīgā nolūkā, t. i., “ar sākotnējo vākšanas nolūku pamatoti saistītā apjomā”, var notikt tikai tad, ja tā negatīvi neietekmē attiecīgos datu subjektus un ja ir pieņemti nepieciešamie drošības pasākumi (piemēram, šifrēšana) (PIPA 15. panta 3. punkts un 17. panta 4. punkts). Lai noteiktu, vai turpmāka apstrāde atbilst saderīgam nolūkam, PIPA Izpildes dekrētā ir uzskaitīti konkrēti kritēriji, kas ir līdzīgi Regulas (ES) 2016/679 6. panta 4. punktā noteiktajiem kritērijiem, sk. 36. apsvērumu.

(55)

Kā paskaidrots 38. apsvērumā, datu vākšanas nolūks gadījumā, kad Korejā esoši pārziņi saņem personas datus no Savienības, atbilst datu nosūtīšanas nolūkam. Pārzinim ir atļauts mainīt nolūku tikai izņēmuma kārtā, īpašos (uzskaitītos) gadījumos (PIPA 18. panta 2. punkta 1-3. apakšpunkts, sk. arī 39. apsvērumu). Ciktāl nolūka maiņa ir atļauta saskaņā ar tiesību aktiem, šādos tiesību aktos savukārt ir jāievēro pamattiesības uz privātumu un datu aizsardzību, kā arī Korejas Konstitūcijā noteiktie nepieciešamības un samērīguma principi. Turklāt PIPA 18. panta 2. un 5. punktā ir paredzētas papildu garantijas, jo īpaši prasība, ka šāda nolūka maiņa nedrīkst “negodīgi aizskart datu subjekta intereses”, tādējādi vienmēr ir nepieciešams līdzsvarot intereses. Tas nodrošina aizsardzības līmeni, kas pēc būtības ir līdzvērtīgs aizsardzības līmenim, kurš noteikts Regulas (ES) 2016/679 5. panta 1. punkta b) apakšpunktā un 6. pantā saistībā ar 50. apsvērumu.

(56)

Personas datiem vajadzētu būt precīziem un vajadzības gadījumā atjauninātiem. Tiem arī vajadzētu būt adekvātiem un atbilstīgiem, kā arī vajadzētu ietvert tikai to, kas nepieciešams tiem nolūkiem, kādiem tie tiek apstrādāti.

(57)

Precizitātes princips ir atzīts arī PIPA 3. panta 3. punktā, kurā noteikts, ka personas datiem jābūt “precīziem, pilnīgiem un atjauninātiem, ciktāl tas ir nepieciešams saistībā ar nolūkiem”, kādiem dati tiek apstrādāti. Datu minimizēšana ir obligāta saskaņā ar PIPA 3. panta 1. un 6. punktu un 16. panta 1. punktu, kur noteikts, ka pārzinis vāc personas datus (tikai) “minimāli nepieciešamajā apjomā” paredzētajam nolūkam un ka tam šajā saistībā ir jāuzņemas pierādīšanas pienākums. Ja vākšanas nolūku ir iespējams īstenot, apstrādājot informāciju anonimizētā veidā, pārziņiem būtu jācenšas to darīt (PIPA 3. panta 7. punkts).

(58)

Personas dati principā būtu jāglabā ne ilgāk, kā nepieciešams nolūkiem, kādos attiecīgos personas datus apstrādā.

(59)

Glabāšanas ierobežojuma princips ir līdzīgi noteikts arī PIPA 21. panta 1. punktā (80), saskaņā ar kuru pārzinim ir pienākums “iznīcināt” (81) personas datus nekavējoties pēc apstrādes nolūka īstenošanas vai pēc saglabāšanas laikposma beigām (atkarībā no tā, kas notiek agrāk), ja vien turpmāka saglabāšana nav paredzēta likumā (82). Pēdējā gadījumā attiecīgie personas dati “tiek glabāti un pārvaldīti atsevišķi no citas informācijas par personu” (PIPA 21. panta 3. punkts).

(60)

PIPA 21. panta 1. punktu nepiemēro, ja pseidonimizētus datus apstrādā statistikas, zinātniskās pētniecības vai arhivēšanas nolūkos sabiedrības interesēs (83). Lai arī šajā gadījumā nodrošinātu ierobežotas datu saglabāšanas principu, Paziņojumā Nr. 2021-5 noteikts, ka pārziņiem ir pienākums anonimizēt informāciju saskaņā ar PIPA 58-2. pantu, ja dati nav iznīcināti pēc tam, kad ir īstenots konkrētais apstrādes nolūks (84).

(61)

Personas dati būtu jāapstrādā tā, ka tiek nodrošināta to drošība, kas ietver aizsardzību pret neatļautu vai nelikumīgu apstrādi un pret nejaušu nozaudēšanu, iznīcināšanu vai sabojāšanu. Tālab uzņēmējiem būtu jāveic atbilstoši tehniskie vai organizatoriskie pasākumi, lai aizsargātu personas datus no iespējamiem apdraudējumiem. Šie pasākumi būtu jāizvērtē, ņemot vērā jaunākos sasniegumus, saistītās izmaksas un apstrādes raksturu, apjomu, kontekstu un nolūkus, kā arī riskus attiecībā uz fizisku personu tiesībām.

(62)

Līdzīgs drošības princips ir noteikts PIPA 3. panta 4. punktā, saskaņā ar kuru pārziņiem ir pienākums “droši pārvaldīt personas informāciju atbilstīgi personas informācijas apstrādes metodēm, veidiem utt., ņemot vērā datu subjektu tiesību pārkāpuma iespējamību un attiecīgo risku nopietnību”. Turklāt pārzinis “apstrādā personas informāciju tā, lai līdz minimumam samazinātu iespēju pārkāpt datu subjekta privātumu”, un šajā saistībā cenšas apstrādāt personas informāciju anonīmi vai, ja iespējams, pseidonimizētā veidā (PIPA 3. panta 6. un 7. punkts).

(63)

Šīs vispārīgās prasības ir sīkāk izstrādātas PIPA 29. pantā, saskaņā ar kuru katrs pārzinis “veic tādus tehniskus, pārvaldības un fiziskus pasākumus, piemēram, izstrādā iekšējo pārvaldības plānu, saglabā pieteikšanās datus u. c., kas nepieciešami to drošībai, kā noteikts Prezidenta dekrētā, lai personas informāciju nevarētu pazaudēt, nozagt, izpaust, viltot, pārveidot vai sabojāt.”PIPA Izpildes dekrēta 30. panta 1. punktā šie pasākumi ir precizēti, norādot uz 1) personas datu drošas apstrādes iekšējā pārvaldības plāna izstrādi un īstenošanu, 2) piekļuves kontroli un ierobežojumiem, 3) šifrēšanas tehnoloģiju ieviešanu, lai droši glabātu un nosūtītu personas datus, 4) pieteikšanās datiem, 5) drošības programmām un 6) fiziskiem pasākumiem, piemēram, drošu glabāšanas vai slēgšanas sistēmu (85).

(64)

Turklāt datu aizsardzības pārkāpuma gadījumā tiek piemēroti konkrēti pienākumi (PIPA 34. pants kopā ar PIPA Izpildes dekrēta 39. un 40. pantu) (86). Konkrēti, pārzinim ir pienākums nekavējoties paziņot cietušajiem datu subjektiem sīkāku informāciju par pārkāpumu (87), tai skaitā informāciju par pārziņa veiktajiem (obligātajiem) pretpasākumiem un to, ko datu subjekti var darīt, lai mazinātu kaitējuma risku (PIPA 34. panta 1. un 2. punkts) (88). Ja datu aizsardzības pārkāpums attiecas uz vismaz 1 000 datu subjektiem, pārzinis par datu aizsardzības pārkāpumu un veiktajiem pretpasākumiem nekavējoties ziņo arī PIPC un Korejas Interneta un drošības aģentūrai, kas var sniegt tehnisko palīdzību (PIPA 34. panta 3. punkts kopā ar PIPA Izpildes dekrēta 39. pantu). Pārziņi ir atbildīgi par kaitējumu, kas radies datu aizsardzības pārkāpumu rezultātā, saskaņā ar Civillikuma noteikumiem par civiltiesisko atbildību (sk. arī 2.5. iedaļu par tiesisko aizsardzību) (89).

(65)

Pildot savus drošības pienākumus, pārzinim ir jāsaņem palīdzība no privātuma amatpersonas, kuras uzdevumos cita starpā ietilpst iekšējās kontroles sistēmas izveide, lai “novērstu personas informācijas izpaušanu, ļaunprātīgu izmantošanu un nepareizu izmantošanu” (PIPA 31. panta 2. punkta 4. apakšpunkts). Turklāt pārzinim ir pienākums veikt “pienācīgu kontroli un uzraudzību” attiecībā uz tiem saviem darbiniekiem, kas apstrādā personas datus, tai skaitā attiecībā uz to drošu pārvaldību; tas ietver darbinieku nepieciešamo apmācību (“izglītību”) (PIPA 28. panta 1. un 2. punkts). Visbeidzot, apakšapstrādes gadījumā pārzinim ir jānosaka prasības “ārpakalpojumu sniedzējam”, cita starpā attiecībā uz personas datu drošu pārvaldību (“tehniskie un pārvaldības aizsardzības pasākumi”), un jāuzrauga, kā tās tiek īstenotas, veicot pārbaudes (PIPA 26. panta 1. un 4. punkts kopā ar PIPA Izpildes dekrēta 28. panta 1. punkta 3. un 4. apakšpunktu un 6. punktu).

(66)

Datu subjektiem vajadzētu būt informētiem par viņu personas datu apstrādes galvenajām iezīmēm.

(67)

Korejas sistēmā tas tiek nodrošināts dažādos veidos. Papildus tiesībām uz informāciju saskaņā ar PIPA 4. panta 1. punktu (vispārīgi) un 20. panta 1. punktu (attiecībā uz personas datiem, kas iegūti no trešām personām), kā arī tiesībām piekļūt datiem saskaņā ar PIPA 35. pantu PIPA ietver vispārēju pārredzamības prasību attiecībā uz apstrādes nolūku (PIPA 3. panta 1. punkts) un īpašas pārredzamības prasības gadījumos, kad apstrāde pamatojas uz piekrišanu (PIPA 15. panta 2. punkts, 17. panta 2. punkts un 18. panta 3. punkts) (90). Turklāt saskaņā ar PIPA 20. panta 2. punktu dažiem pārziņiem – tiem, kuru veiktā apstrāde pārsniedz noteiktas robežvērtības (91), – ir pienākums paziņot datu subjektam, kura personas datus tie ir saņēmuši no trešās personas, par informācijas avotu, apstrādes nolūku un datu subjekta tiesībām pieprasīt apstrādes apturēšanu, ja vien šāds paziņojums nav neiespējams kontaktinformācijas trūkuma dēļ. Izņēmumi attiecas uz noteiktām personas datu datnēm, kas ir publisko iestāžu rīcībā, jo īpaši datnēm ar datiem, kas tiek apstrādāti valsts drošības, citu īpaši svarīgu (“būtisku”) valsts interešu vai krimināltiesību aizsardzības nolūkos, vai ja paziņošana var kaitēt citas personas dzīvībai vai veselībai vai negodīgi kaitēt citas personas mantiskajām un citām interesēm, tomēr tikai tad, ja attiecīgās valsts vai privātās intereses ir “acīm redzami svarīgākas” nekā attiecīgo datu subjektu tiesības (PIPA 20. panta 4. punkts). Šim nolūkam ir nepieciešams līdzsvarot intereses.

(68)

Turklāt PIPA 3. panta 5. punktā noteikts, ka pārziņiem jāpublisko sava privātuma politika (un citi ar personas datu apstrādi saistīti jautājumi). Šī prasība ir sīkāk precizēta PIPA 30. pantā un PIPA Izpildes dekrēta 31. pantā. Saskaņā ar šiem noteikumiem publiskajā privātuma politikā cita starpā jāietver 1) apstrādāto personas datu veidi, 2) apstrādes nolūks, 3) saglabāšanas laikposms, 4) tas, vai personas dati tiek sniegti trešai personai (92), 5) jebkāda apakšapstrāde, 6) informācija par datu subjekta tiesībām un to, kā tās īstenot, un 7) kontaktinformācija (tostarp privātuma amatpersonas vai par datu aizsardzības noteikumu ievērošanu un sūdzību izskatīšanu atbildīgās iekšējās struktūrvienības nosaukums). Privātuma politikai jābūt publiski pieejamai tā, lai datu subjekti “varētu to viegli atpazīt” (PIPA 30. panta 2. punkts) (93), un tā ir pastāvīgi jāatjaunina (PIPA Izpildes dekrēta 31. panta 2. punkts).

(69)

Uz publiskajām iestādēm attiecas papildu pienākums reģistrēt PIPC konkrēti šādu informāciju: 1) publiskās iestādes nosaukums, 2) personas datu datņu apstrādes pamatojums un nolūki, 3) dati par reģistrētajiem personas datiem, 4) apstrādes metode, 5) saglabāšanas laikposms, 6) to datu subjektu skaits, kuru personas dati tiek glabāti, 7) struktūrvienība, kas apstrādā datu subjektu pieprasījumus, un 8) personas datu saņēmēji, ja dati tiek sniegti regulāri vai atkārtoti (PIPA 32. panta 1. punkts) (94). PIPC publisko reģistrētās personas datu datnes, un publiskajām iestādēm uz tām ir jāatsaucas arī savā privātuma politikā (PIPA 30. panta 1. punkts un 32. panta 4. punkts).

(70)

Lai uzlabotu pārredzamību tiem datu subjektiem Savienībā, kuru personas dati, pamatojoties uz šo lēmumu, tiek nosūtīti Korejai, Paziņojuma Nr. 2021-5 (I pielikums) 3. iedaļas i) un ii) punktā ir noteiktas papildu pārredzamības prasības. Pirmkārt, saņemot personas datus no Savienības, pamatojoties uz šo lēmumu, Korejā esošiem pārziņiem bez nepamatotas kavēšanās (un jebkurā gadījumā ne vēlāk kā vienu mēnesi pēc nosūtīšanas) jāpaziņo attiecīgajiem datu subjektiem to vienību nosaukums un kontaktinformācija, kuras nosūta un saņem informāciju, nosūtītie personas dati (vai personas datu kategorijas), Korejā esoša pārziņa veiktās vākšanas nolūks, saglabāšanas laikposms un saskaņā ar PIPA pieejamās tiesības. Otrkārt, sniedzot trešām personām personas datus, kas saņemti no Savienības, pamatojoties uz šo lēmumu, datu subjekti cita starpā ir jāinformē par saņēmēju, sniedzamajiem personas datiem vai personas datu kategorijām, valsti, kurai dati tiek sniegti (attiecīgā gadījumā), kā arī par tiesībām, kas pieejamas saskaņā ar PIPA (95). Tādējādi Paziņojums nodrošina, ka ES fiziskās personas joprojām ir informētas par konkrētiem pārziņiem, kas apstrādā viņu informāciju, un var izmantot savas tiesības attiecībā uz attiecīgajām vienībām.

(71)

Paziņojuma 3. iedaļas iii) punkts (I pielikums) pieļauj dažus ierobežotus un kvalificētus izņēmumus no šiem papildu pārredzamības pienākumiem, kas pēc būtības ir līdzvērtīgi Regulā (ES) 2016/679 paredzētajiem. Konkrēti, paziņošana datu subjektiem Savienībā nav nepieciešama 1) ja un tik ilgi, kamēr ir nepieciešams ierobežot paziņošanu noteiktu sabiedrības interešu apsvērumu dēļ (piemēram, ja informācija tiek apstrādāta valsts drošības vai notiekošas kriminālizmeklēšanas nolūkos), ciktāl šie sabiedrības interešu mērķi ir acīm redzami svarīgāki par datu subjekta tiesībām; 2) ja informācija jau ir datu subjekta rīcībā; 3) ja un tik ilgi, kamēr paziņošana var apdraudēt fiziskas personas vai citas personas dzīvību vai veselību vai negodīgi aizskart citas personas mantiskās intereses, ja šīs tiesības vai intereses ir acīm redzami svarīgākas par datu subjekta tiesībām; vai 4) trūkst kontaktinformācijas par attiecīgajām personām vai to informēšanai būtu jāpieliek nesamērīgas pūles. Nosakot, vai ir vai nav iespējams sazināties ar datu subjektu vai arī tas ir saistīts ar pārmērīgām pūlēm, ņem vērā iespēju sadarboties ar Savienībā esošu datu nosūtītāju.

(72)

Tādēļ 67.–71. apsvērumā ietvertie noteikumi nodrošina pēc būtības līdzvērtīgu aizsardzības līmeni attiecībā uz pārredzamību kā Regulā (ES) 2016/679 paredzētais.

(73)

Datu subjektiem vajadzētu būt noteiktām tiesībām, kas ir īstenojamas attiecībā uz pārzini vai apstrādātāju, jo īpaši tiesībām piekļūt datiem, tiesībām uz datu labošanu, tiesībām iebilst pret apstrādi un tiesībām uz datu dzēšanu. Tajā pašā laikā uz šādām tiesībām var attiecināt ierobežojumus, ciktāl šie ierobežojumi ir nepieciešami un samērīgi, lai aizsargātu svarīgus vispārējo sabiedrības interešu mērķus.

(74)

Saskaņā ar PIPA 3. panta 5. punktu pārzinis garantē datu subjekta tiesības, kas uzskaitītas PIPA 4. pantā un sīkāk noteiktas PIPA 35.–37., 39. un 39-2. pantā.

(75)

Pirmkārt, personām ir tiesības uz informāciju un piekļuvi tai. Ja pārzinis ir vācis personas datus no trešās personas – kā tas vienmēr būs gadījumos, kad dati tiek nosūtīti no Savienības –, datu subjektiem parasti ir tiesības saņemt informāciju par 1) savākto personas datu “avotu” (t. i., nosūtītāju), 2) apstrādes nolūku un 3) datu subjekta tiesībām pieprasīt apstrādes apturēšanu (PIPA 20. panta 1. punkts). Piemēro ierobežotus izņēmumus, proti, ja šāda paziņošana var kaitēt citas personas dzīvībai vai veselībai vai “negodīgi kaitē citas personas mantiskajām un citām interesēm”, bet tikai tad, ja šīs trešās personas intereses ir “nepārprotami svarīgākas” par datu subjekta tiesībām (PIPA 20. panta 4. punkta 2. apakšpunkts).

(76)

Turklāt PIPA 35. panta 1. un 3. punkts kopā ar PIPA Izpildes dekrēta 41. panta 4. punktu paredz datu subjektiem tiesības piekļūt savai personas informācijai (96). Piekļuves tiesības ietver apstiprinājumu par apstrādi, informāciju par apstrādāto datu veidu, apstrādes nolūku, saglabāšanas laikposmu, kā arī par jebkādu izpaušanu trešai personai un apstrādātās personas informācijas kopijas izsniegšanu (PIPA 4. panta 3. punkts kopā ar PIPA Izpildes dekrēta 41. panta 1. punktu) (97). Piekļuvi var ierobežot (daļēja piekļuve) (98) vai liegt tikai tad, ja to paredz tiesību akti (99), ja tas varētu radīt kaitējumu trešās personas dzīvībai vai veselībai vai nepamatoti aizskart citas personas mantiskās un citas intereses (PIPA 35. panta 4. punkts) (100). Tas nozīmē, ka ir jāpanāk līdzsvars starp konstitucionāli aizsargātajām personas tiesībām un brīvībām, no vienas puses, un citu personu tiesībām un brīvībām, no otras puses. Ja piekļuve ir ierobežota vai liegta, pārzinim ir jāinformē datu subjekts par tā iemesliem un par lēmuma pārsūdzēšanas iespējām (PIPA Izpildes dekrēta 41. panta 5. punkts, 42. panta 2. punkts).

(77)

Otrkārt, datu subjektiem ir tiesības uz savu personas datu labošanu vai dzēšanu (101), “ja vien citos likumos nav īpaši noteikts citādi” (PIPA 36. panta 1. un 2. punkts) (102). Saņemot pieprasījumu, pārzinim nekavējoties jāizmeklē jautājums, jāveic nepieciešamie pasākumi (103) un 10 dienu laikā par to jāinformē datu subjekts; ja pieprasījumu nevar apmierināt, šī paziņošanas prasība attiecas uz atteikuma iemesliem un pārsūdzēšanas iespējām (sk. PIPA 36. panta 4. punktu kopā ar PIPA Izpildes dekrēta 43. panta 3. punktu) (104).

(78)

Visbeidzot, datu subjektiem ir tiesības nekavējoties apturēt savu personas datu apstrādi (105), ja vien nav piemērojams kāds no uzskaitītajiem izņēmumiem (PIPA 37. panta 1. un 2. punkts) (106). Pārzinis var noraidīt pieprasījumu, 1) ja tas ir īpaši atļauts ar tiesību aktiem vai ir nepieciešams (“neizbēgams”) juridisko pienākumu izpildei, 2) ja apturēšana varētu radīt kaitējumu trešās personas dzīvībai vai veselībai vai nepamatoti aizskart citas personas mantiskās un citas intereses, 3) ja publiskajai iestādei nebūtu iespējams veikt tiesību aktos noteiktās funkcijas, neapstrādājot informāciju, vai 4) ja datu subjekts nepārprotami nepārtrauc pamatlīgumu ar pārzini, lai gan bez šādas datu apstrādes līgumu būtu neiespējami izpildīt. Šādā gadījumā pārzinim nekavējoties jāinformē datu subjekts par atteikuma iemesliem un par pārsūdzēšanas iespējām (PIPA 37. panta 2. punkts kopā ar PIPA Izpildes dekrēta 44. panta 2. punktu). Saskaņā ar PIPA 37. panta 4. punktu pārzinim, izpildot apturēšanas pieprasījumu, ir nekavējoties “jāveic nepieciešamie pasākumi, tostarp attiecīgās personas informācijas iznīcināšana” (107).

(79)

Tiesības apturēt datu sniegšanu attiecas arī uz gadījumiem, kad personas dati tiek izmantoti tiešās tirgvedības nolūkos, t. i., lai reklamētu preces vai pakalpojumus vai aicinātu tos iegādāties. Turklāt šādai turpmākai apstrādei parasti ir nepieciešama īpaša (papildu) datu subjekta piekrišana (sk. PIPA 15. panta 1. punkta 1. apakšpunktu, 17. panta 2. punkta 1. apakšpunktu) (108). Pieprasot šādu piekrišanu, pārzinim “skaidri atpazīstamā veidā” ir īpaši jāinformē datu subjekts par datu plānoto izmantošanu tiešās tirgvedības nolūkos, t. i., par to, ka ar viņu var sazināties, lai reklamētu preces vai pakalpojumus vai aicinātu tos iegādāties (PIPA 22. panta 2. un 4. punkts kopā ar PIPA Izpildes dekrēta 17. panta 2. punkta 1. apakšpunktu).

(80)

Lai atvieglotu individuālo tiesību īstenošanu, pārzinim ir jāizstrādā īpašas procedūras un publiski par tām jāpaziņo (PIPA 38. panta 4. punkts) (109). Tas ietver procedūras, kā celt iebildumus pret pieprasījuma noraidījumu (PIPA 38. panta 5. punkts). Pārzinim ir jānodrošina, lai tiesību īstenošanas procedūra būtu “datu subjektam labvēlīga” un nebūtu sarežģītāka par personas datu vākšanas procedūru; tas ietver arī pienākumu sniegt informāciju par procedūru savā tīmekļa vietnē (PIPA Izpildes dekrēta 41. panta 2. punkts, 43. panta 1. punkts un 44. panta 1. punkts) (110). Personas var pilnvarot pārstāvi iesniegt šādu pieprasījumu (PIPA 38. panta 1. punkts kopā ar PIPA Izpildes dekrēta 45. pantu). Lai gan pārzinim ir tiesības noteikt maksu (un, ja tiek pieprasīts nosūtīt personas datu kopijas pa pastu, arī pasta izdevumus), summa ir jānosaka to “faktisko izdevumu robežās, kas nepieciešami [pieprasījuma] apstrādei”; maksu (un pasta izdevumus) nedrīkst noteikt, ja pārzinis ir iesniedzis pieprasījumu (PIPA 38. panta 3. punkts kopā ar PIPA Izpildes dekrēta 47. pantu).

(81)

PIPA un tā Izpildes dekrētā nav ietverti vispārīgi noteikumi, kas konkrēti attiektos uz lēmumiem, kuri skar datu subjektu un ir balstīti vienīgi uz personas datu automatizētu apstrādi. Tomēr attiecībā uz personas datiem, kas vākti Savienībā, ikvienu lēmumu, pamatojoties uz automatizētu apstrādi, parasti pieņems Savienībā esošs pārzinis (kam ir tieša saistība ar attiecīgo datu subjektu), un tam attiecīgi piemēro Regulu (ES) 2016/679 (111). Tas ietver nosūtīšanas scenārijus, kuros apstrādi veic ārvalstu (piem., Korejas) uzņēmējs, kas rīkojas kā pārstāvis (apstrādātājs) Savienībā esoša pārziņa vārdā (vai kā apakšapstrādātājs, kas rīkojas Savienībā esoša apstrādātāja vārdā, kurš ir saņēmis datus no Savienībā esoša pārziņa, kas tos savācis), kurš uz šā pamata pieņem lēmumu. Tāpēc tas, ka PIPA nav īpašu noteikumu par automatizētu lēmumu pieņemšanu, visticamāk, neietekmēs saskaņā ar šo lēmumu nosūtīto personas datu aizsardzības līmeni.

(82)

Izņēmuma kārtā noteikumus par pārredzamību pēc pieprasījuma (20. pants) un individuālajām tiesībām (35.–37. pants), kā arī individuālo paziņošanas prasību informācijas un komunikācijas pakalpojumu sniedzējiem (PIPA 39-8. pants) nepiemēro attiecībā uz pseidonimizētu informāciju, ja to apstrādā statistikas, zinātniskās pētniecības vai arhivēšanas nolūkos sabiedrības interesēs (PIPA 28-7. pants) (112). Saskaņā ar Regulas (ES) 2016/679 11. panta 2. punktu (kopā ar 57. apsvērumu) to pamato fakts, ka, lai nodrošinātu pārredzamību vai piešķirtu individuālās tiesības, pārzinim būtu jākonstatē, vai jebkādi dati (un, ja jā, tad kādi) ir saistīti ar personu, kura iesniegusi pieprasījumu, un saskaņā ar PIPA tas ir aizliegts (PIPA 28-5. panta 1. punkts). Turklāt, ja šāda atkārtota datu identifikācija ietver visas (pseidonimizētās) datu kopas pseidonimizācijas pārtraukšanu, tā visu citu iesaistīto personu informāciju pakļautu paaugstinātam riskam. Regula (ES) 2016/679 attiecas uz situācijām, kad atkārtota identificēšana ir praktiski neiespējama, savukārt PIPA izmanto stingrāku pieeju, skaidri aizliedzot atkārtotu identificēšanu visās situācijās, kad tiek apstrādāta pseidonimizēta informācija.

(83)

Tādēļ Korejas sistēmā, kā aprakstīts 74.–82. apsvērumā, ir noteikumi par datu subjektu tiesībām, kas nodrošina aizsardzības līmeni, kurš pēc būtības ir līdzvērtīgs Regulā (ES) 2016/679 noteiktajam.

(84)

Aizsardzības līmeni, kāds piešķirts personas datiem, kurus no Savienības nosūta pārziņiem Korejas Republikā, nedrīkst samazināt šādu datu tālāka nosūtīšana saņēmējiem trešā valstī.

(85)

Šāda “tālāka nosūtīšana” no Korejā esoša pārziņa viedokļa ir starptautiska nosūtīšana no Korejas Republikas. Šajā ziņā PIPA nošķirta apstrādes nodošana ārpakalpojumu sniedzējam (t. i., apstrādātājam) un personas datu sniegšana trešām personām (113).

(86)

Pirmkārt, ja personas datu apstrāde tiek nodota ārpakalpojumu sniedzējam, kas atrodas trešā valstī, Korejā esošam pārzinim ir jānodrošina atbilstība PIPA noteikumiem par ārpakalpojumiem (PIPA 26. pants). Tas ietver juridiski saistoša instrumenta ieviešanu, kas cita starpā ierobežo ārpakalpojumu sniedzēja veikto apstrādi tikai ārpakalpojumā nodotā darba nolūkam, nosaka tehniskos un pārvaldības aizsardzības pasākumus un ierobežo apakšapstrādi (sk. PIPA 26. panta 1. punktu); un informācijas publicēšanu par ārpakalpojumā nodoto darbu. Turklāt pārzinim ir pienākums “izglītot” ārpakalpojumu sniedzēju par nepieciešamajiem drošības pasākumiem un uzraudzīt, cita starpā veicot pārbaudes, visu pārziņa pienākumu izpildi saskaņā ar PIPA (114), kā arī ārpakalpojuma līgumu.

(87)

Ja ārpakalpojumu sniedzējs rada kaitējumu, apstrādājot personas datus, pārkāpjot PIPA, atbildības nolūkos tas tiks attiecināts uz pārzini, kā tas būtu pārziņa darbinieku gadījumā (PIPA 26. panta 6. punkts). Tāpēc Korejā esošais pārzinis joprojām ir atbildīgs par personas datiem, kas ir nodoti ārpakalpojumu sniedzējam, un tam ir jānodrošina, lai ārvalstu apstrādātājs apstrādā informāciju saskaņā ar PIPA. Ja ārpakalpojumu sniedzējs apstrādā informāciju, pārkāpjot PIPA, Korejā esošo pārzini var saukt pie atbildības par to, ka tas nav izpildījis savu pienākumu nodrošināt PIPA ievērošanu, piemēram, uzraugot ārpakalpojumu sniedzēju. Ārpakalpojuma līgumā iekļautās garantijas un Korejā esoša pārziņa atbildība par ārpakalpojumu sniedzēja darbībām nodrošina aizsardzības nepārtrauktību, ja personas datu apstrāde tiek nodota ārpakalpojumu sniedzējam ārpus Korejas.

(88)

Otrkārt, Korejā esoši pārziņi var sniegt personas datus trešai personai, kas atrodas ārpus Korejas. Lai gan PIPA ir ietverti vairāki juridiskie pamatojumi, kas ļauj sniegt datus trešām personām kopumā, ja trešā persona atrodas ārpus Korejas, pārzinim principā (115) ir jāsaņem datu subjekta piekrišana (116) pēc tam, kad datu subjektam ir sniegta informācija par 1) personas datu veidu, 2) personas datu saņēmēju, 3) nosūtīšanas nolūku tādā nozīmē, kāds ir saņēmēja apstrādes nolūks, 4) saņēmēja veiktās apstrādes saglabāšanas laikposmu, kā arī 5) datu subjekta iespējām atteikt piekrišanu (PIPA 17. panta 2. un 3. punkts). Paziņojuma Nr. 2021-5 iedaļā par pārredzamību (sk. 70. apsvērumu) ir prasība informēt personas par trešo valsti, kurai tiks sniegti viņu dati. Tādējādi datu subjekti Savienībā var pieņemt pilnībā apzinātu lēmumu par to, vai piekrist vai nepiekrist datu sniegšanai ārvalstīs. Turklāt pārzinis nedrīkst noslēgt līgumu ar trešo personu, kas ir saņēmēja, pārkāpjot PIPA, kas nozīmē, ka līgumā nedrīkst būt ietvertas saistības, kuras būtu pretrunā ar PIPA noteiktajām prasībām pārzinim (117).

(89)

Bez personas piekrišanas personas datus var sniegt trešai personai (ārvalstīs), ja izpaušanas nolūks joprojām ir “pamatoti saistīts” ar sākotnējo vākšanas nolūku (PIPA 17. panta 4. punkts, sk. 36. apsvērumu). Tomēr, pieņemot lēmumu par to, vai izpaust (vai neizpaust) personas datus “saistītam” nolūkam, pārzinim ir jāņem vērā, vai izpaušana nerada personai nelabvēlīgu situāciju un vai ir veikti nepieciešamie drošības pasākumi (piemēram, šifrēšana). Ņemot vērā to, ka trešā valsts, uz kuru nosūta personas datus, var nepiedāvāt tādu aizsardzību, kas ir līdzīga PIPA paredzētajai, Paziņojuma Nr. 2021-5 2. iedaļā ir atzīts, ka šāda nelabvēlīga situācija var rasties un to var novērst tikai tad, ja Korejā esošs pārzinis un ārvalstu saņēmējs ar juridiski saistošu instrumentu (piemēram, līgumu) nodrošina PIPA līdzvērtīgu aizsardzības līmeni, tai skaitā attiecībā uz datu subjektu tiesībām.

(90)

Īpaši noteikumi attiecas uz datu izpaušanu “ārpus nolūka”, t. i., datu sniegšanu trešai personai jaunam (nesaistītam) nolūkam, kas var notikt tikai tad, ja ir kāds no PIPA 18. panta 2. punktā minētajiem pamatojumiem, kā aprakstīts 39. apsvērumā. Tomēr pat saskaņā ar šiem nosacījumiem datu sniegšana trešām personām ir izslēgta, ja tā varētu “negodīgi aizskart” datu subjekta vai trešās personas intereses, tāpēc ir nepieciešams līdzsvarot intereses. Turklāt saskaņā ar PIPA 18. panta 5. punktu pārzinim ir jāpiemēro papildu garantijas, kas var ietvert pieprasījumu trešai personai ierobežot apstrādes nolūku un metodi vai ieviest īpašus drošības pasākumus. Arī šajā gadījumā, ņemot vērā to, ka trešā valsts, uz kuru nosūta personas datus, var nepiedāvāt tādu aizsardzību, kas ir līdzīga PIPA paredzētajai, Paziņojuma Nr. 2021-5 2. iedaļā ir atzīts, ka var rasties personas vai trešās personas interešu “negodīgs aizskārums” un to var novērst tikai tad, ja Korejā esošs pārzinis un ārvalstu saņēmējs ar juridiski saistošu instrumentu (piemēram, līgumu) nodrošina PIPA līdzvērtīgu aizsardzības līmeni, tai skaitā attiecībā uz datu subjektu tiesībām.

(91)

Tādēļ 86.–90. apsvēruma noteikumi nodrošina aizsardzības nepārtrauktību, kad personas dati no Korejas Republikas tiek nosūtīti tālāk (ārpakalpojumu sniedzējam vai trešai personai) tādā veidā, kas pēc būtības ir līdzvērtīgs Regulā (ES) 2016/679 paredzētajai aizsardzībai.

(92)

Saskaņā ar pārskatatbildības principu vienībām, kas apstrādā datus, ir jāievieš atbilstoši tehniskie un organizatoriskie pasākumi, lai tās efektīvi izpildītu savus datu aizsardzības pienākumus, un jāspēj pierādīt šādu izpildi, konkrēti – kompetentajai uzraudzības iestādei.

(93)

Saskaņā ar PIPA 3. panta 6. un 8. punktu pārzinim ir jāapstrādā personas dati “tā, lai līdz minimumam samazinātu iespēju pārkāpt” datu subjekta privātumu, un jācenšas iegūt datu subjekta uzticību, ievērojot un pildot PIPA un citos saistītajos likumos noteiktos pienākumus un atbildību. Tas ietver iekšējā pārvaldības plāna izstrādi (PIPA 29. pants), kā arī atbilstošu personāla apmācību un uzraudzību (PIPA 28. pants).

(94)

Lai nodrošinātu pārskatatbildību, PIPA 31. pants kopā ar PIPA Izpildes dekrēta 32. pantu paredz pārziņiem pienākumu iecelt privātuma amatpersonu, kas “visaptveroši uzņemas atbildību par personas informācijas apstrādi”. Konkrēti, šādai privātuma amatpersonai ir uzdots veikt šādas funkcijas: 1) izveidot un īstenot personas datu aizsardzības plānu un izstrādāt privātuma politiku, 2) veikt regulārus apsekojumus par personas datu apstrādes stāvokli un praksi, lai novērstu trūkumus, 3) izskatīt sūdzības un atlīdzināt zaudējumus, 4) izveidot iekšējās kontroles sistēmu, lai novērstu personas datu izpaušanu, ļaunprātīgu vai nepareizu izmantošanu, 5) sagatavot un īstenot izglītības programmu, 6) aizsargāt, kontrolēt un pārvaldīt personas datu datnes un 7) iznīcināt personas datus pēc apstrādes nolūka īstenošanas vai saglabāšanas laikposma beigām. Veicot šos pienākumus, privātuma amatpersona var pārbaudīt personas datu apstrādes statusu un ar to saistītās sistēmas un pieprasīt informāciju par tām (PIPA 31. panta 3. punkts). Ja privātuma amatpersona uzzina par PIPA vai citu attiecīgo datu aizsardzības likumu pārkāpumiem, tā nekavējoties veic korektīvus pasākumus un vajadzības gadījumā ziņo par tiem pārziņa vadībai (“vadītājam”) (PIPA 31. panta 4. punkts). Saskaņā ar PIPA 31. panta 5. punktu privātuma amatpersona nedrīkst ciest no nepamatotas nelabvēlīgas situācijas šo funkciju veikšanas dēļ.

(95)

Turklāt pārziņiem proaktīvi jācenšas veikt ietekmes uz privātumu novērtējumu gadījumos, kad personas datu datņu darbība rada privātuma risku (PIPA 33. panta 8. punkts). Pamatojoties uz PIPA 33. panta 1. un 2. punktu un PIPA Izpildes dekrēta 35., 36. un 38. pantu, tādi faktori kā apstrādāto datu veids un raksturs (jo īpaši tas, vai tā ir sensitīva informācija), to apjoms, saglabāšanas laikposms un datu aizsardzības pārkāpumu iespējamība būs būtiski, lai novērtētu riska pakāpi datu subjektu tiesībām. Ietekmes uz privātumu novērtējuma mērķis ir nodrošināt, ka tiek analizēti privātuma riska faktori, kā arī jebkādi drošības vai citi pretpasākumi, un norādīt jautājumus, kas jāuzlabo (sk. PIPA 33. panta 1. punktu kopā ar PIPA Izpildes dekrēta 38. pantu).

(96)

Publiskajām iestādēm ir pienākums veikt ietekmes novērtējumu, apstrādājot noteiktas personas datu datnes, kas rada lielāku risku iespējamiem privātuma pārkāpumiem (PIPA 33. panta 1. punkts). Saskaņā ar PIPA Izpildes dekrēta 35. pantu tas cita starpā attiecas uz datnēm, kas ietver sensitīvu informāciju par vismaz 50 000 datu subjektu, datnēm, kas tiks saskaņotas ar citām datnēm un tā rezultātā ietver informāciju par vismaz 500 000 datu subjektu, vai datnēm, kas ietver informāciju par vismaz vienu miljonu datu subjektu. Publiskās iestādes veiktā ietekmes novērtējuma rezultāti ir jāpaziņo PIPC (PIPA 33. panta 1. punkts), kas var sniegt savu atzinumu (PIPA 33. panta 3. punkts).

(97)

Visbeidzot, PIPA 13. pantā noteikts, ka PIPC izstrādā politiku, kas vajadzīga, lai veicinātu un atbalstītu pārziņu “pašregulējošas datu aizsardzības darbības”, cita starpā izmantojot izglītību par datu aizsardzību, veicinot un atbalstot datu aizsardzībā iesaistītās organizācijas un palīdzot pārziņiem izstrādāt un īstenot pašregulācijas noteikumus. Turklāt tā ievieš un veicina ePRIVACY Mark sistēmu. Šajā ziņā PIPA 32-2. pants kopā ar PIPA Izpildes dekrēta 34-2.–34-8. pantu paredz iespēju apliecināt, ka pārziņa personas datu apstrādes un aizsardzības sistēma(-as) atbilst PIPA prasībām. Saskaņā ar šiem noteikumiem sertifikāciju (118) var piešķirt (uz 3 gadiem), ja pārzinis atbilst PIPC noteiktajiem sertifikācijas kritērijiem, tostarp ir izveidojis pārvaldības, tehniskos un fiziskos aizsardzības pasākumus personas datu aizsardzībai (119). PIPC vismaz reizi gadā ir jāpārbauda pārziņa sistēmas, kas attiecas uz sertifikāciju, lai uzturētu to efektivitāti, un tas var novest pie sertifikācijas atsaukšanas (PIPA 32. panta 4. punkts kopā ar PIPA Izpildes dekrēta 34-5. pantu; tā dēvētā “turpmākā pārvaldība”).

(98)

Tādējādi Korejas regulējums īsteno pārskatatbildības principu tādā veidā, kas nodrošina aizsardzības līmeni, kurš pēc būtības ir līdzvērtīgs Regulā (ES) 2016/679 noteiktajam aizsardzības līmenim, tai skaitā paredzot dažādus mehānismus, lai nodrošinātu un pierādītu atbilstību PIPA prasībām.

(99)

Kā aprakstīts 13. apsvērumā, CIA paredz īpašus noteikumus par personas kredītinformācijas apstrādi, ko veic komerciālie operatori. Tāpēc, apstrādājot personas kredītinformāciju, komerciālajiem operatoriem ir jāievēro PIPA vispārīgās prasības, ja vien CIA nav ietverti konkrētāki noteikumi. Tas, piemēram, attiecas uz gadījumiem, kad tie apstrādā ar kredītkarti vai bankas kontu saistītu informāciju saistībā ar komercdarījumu ar fizisku personu. Kā nozaru tiesību akts, kas attiecas uz kredītinformācijas (gan personas datu, gan citu datu) apstrādi, CIA ne tikai nosaka īpašas datu aizsardzības garantijas (piemēram, attiecībā uz pārredzamību un drošību), bet arī vispārīgāk reglamentē īpašus apstākļus, kādos var apstrādāt personas kredītinformāciju. Tas jo īpaši ir atspoguļots detalizētajās prasībās par datu izmantošanu, sniegšanu trešām personām un šādu datu saglabāšanu.

(100)

Tāpat kā PIPA, arī CIA atspoguļo likumīguma un samērīguma principu. Pirmkārt, kā vispārīga prasība CIA 15. panta 1. punktā ir noteikts, ka personas kredītinformāciju drīkst vākt tikai ar saprātīgiem un taisnīgiem līdzekļiem un vismazākajā apjomā, kas nepieciešams, lai kalpotu konkrētam nolūkam saskaņā ar PIPA 3. panta 1.–2. punktu. Otrkārt, CIA īpaši reglamentē personas kredītinformācijas apstrādes likumīgumu, ierobežojot tās vākšanu, izmantošanu un sniegšanu trešai personai un kopumā saistot šīs apstrādes darbības ar prasību par attiecīgās personas piekrišanu.

(101)

Personas kredītinformāciju var vākt, pamatojoties uz vienu no PIPA noteiktajiem pamatojumiem vai īpašiem CIA noteiktajiem pamatojumiem. Ņemot vērā to, ka Regulas (ES) 2016/679 45. pants paredz personas datu nosūtīšanu, ko veic pārzinis vai apstrādātājs Savienībā, bet neattiecas uz datu tiešu vākšanu (piemēram, no personas vai tīmekļa vietnes), ko veic pārzinis Korejā, attiecībā uz šo lēmumu ir būtiska tikai piekrišana un saskaņā ar PIPA pieejamie pamatojumi. Šie pamatojumi jo īpaši ietver scenārijus, kad nosūtīšana ir nepieciešama, lai izpildītu līgumu ar personu, vai Korejā esoša pārziņa leģitīmo interešu labad (PIPA 15. panta 1. punkta 4. un 6. apakšpunkts) (120).

(102)

Pēc tam, kad personas kredītinformācija ir apkopota, to var izmantot 1) sākotnējam nolūkam, kādam to (tieši) ir sniegusi persona (121); 2) nolūkam, kas ir saderīgs ar sākotnējo vākšanas nolūku (122); 3) lai noteiktu, vai nodibināt vai uzturēt personas pieprasītās komercattiecības (123); 4) statistikas, pētniecības un arhivēšanas nolūkos sabiedrības interesēs (124), ja informācija ir pseidonimizēta (125); 5) ja ir saņemta papildu piekrišana vai 6) saskaņā ar tiesību aktiem.

(103)

Ja komerciālais operators plāno izpaust personas kredītinformāciju trešai personai, tam ir jāsaņem personas piekrišana (126) pēc tam, kad viņš ir informējis personu par datu saņēmēju, saņēmēja nolūku attiecībā uz datu apstrādi, sniedzamo datu sīku informāciju, saņēmēja īstenotas datu glabāšanas laikposmu un tiesībām atteikt piekrišanu (CIA 32. panta 1. punkts un CIA Izpildes dekrēta 28. panta 2. punkts) (127). Šī piekrišanas prasība nav piemērojama īpašās situācijās, proti, ja tiek izpausta personas kredītinformācija (128): 1) ārpakalpojumu sniedzējam ārpakalpojuma nolūkos (129); 2) trešai personai uzņēmuma nodošanas, sadalīšanas vai apvienošanās gadījumā; 3) statistikas, pētniecības un arhivēšanas nolūkos sabiedrības interesēs, ja informācija ir pseidonimizēta; 4) nolūkam, kas ir saderīgs ar sākotnējo vākšanas nolūku; 5) trešai personai, kas izmanto informāciju, lai piedzītu fiziskas personas parādu (130); 6) lai izpildītu tiesas rīkojumu; 7) prokuroram / kriminālpolicijas ierēdnim ārkārtas situācijā, kad ir apdraudēta personas dzīvība vai ir paredzams, ka tai tiks nodarīti miesas bojājumi, un nav laika izdot tiesas orderi (131); 8) kompetentajām nodokļu iestādēm, lai ievērotu nodokļu jomas tiesību aktus; vai 9) saskaņā ar citiem tiesību aktiem. Ja datu izpaušana notiek, pamatojoties uz kādu no šiem iemesliem, par to iepriekš jāpaziņo datu subjektam (CIA 32. panta 7. punkts).

(104)

CIA arī īpaši reglamentē personas kredītinformācijas apstrādes ilgumu, pamatojoties uz vienu no šiem pamatojumiem, lai to izmantotu vai sniegtu trešai personai pēc tam, kad ir beigušās komercattiecības ar personu (132). Var saglabāt tikai to informāciju, kas bija nepieciešama šo attiecību nodibināšanai vai uzturēšanai, ievērojot papildu garantijas (tā jāglabā atsevišķi no kredītinformācijas, kas attiecas uz personām, ar kurām tiek uzturētas komercattiecības, jāaizsargā ar īpašiem drošības pasākumiem, un tai jābūt pieejamai tikai pilnvarotām personām) (133). Visi pārējie dati ir jādzēš (CIA Izpildes dekrēta 17-2. panta 1. punkta 2. apakšpunkts). Lai noteiktu, kuri dati bija nepieciešami komercattiecībām, jāņem vērā dažādi faktori, tostarp tas, vai attiecības būtu bijis iespējams nodibināt bez šiem datiem un vai tie ir tieši saistīti ar personai piegādātajām precēm vai sniegtajiem pakalpojumiem (CIA Izpildes dekrēta 17-2. panta 2. punkts).

(105)

Pat gadījumos, kad personas kredītinformāciju principā var glabāt arī pēc komercattiecību beigām, tā ir jādzēš trīs mēnešu laikā pēc turpmākā apstrādes nolūka īstenošanas (134) vai jebkurā gadījumā pēc pieciem gadiem (CIA 20-2. pants). Ierobežotā skaitā gadījumu personas kredītinformāciju var glabāt ilgāk nekā piecus gadus, jo īpaši, ja tas ir nepieciešams, lai izpildītu juridisko pienākumu; ja tas ir nepieciešams vitālo interešu nodrošināšanai attiecībā uz personas dzīvību, veselību un īpašumu; pseidonimizētas informācijas arhivēšanai (kas tika izmantota zinātniskās pētniecības, statistikas vai arhivēšanas nolūkos sabiedrības interesēs); vai apdrošināšanas nolūkos (jo īpaši apdrošināšanas maksājumiem vai apdrošināšanas krāpšanas novēršanai) (135). Šādos izņēmuma gadījumos piemēro īpašas garantijas (piemēram, personas informēšana par datu turpmāku izmantošanu, saglabātās informācijas nošķiršana no informācijas, kas attiecas uz personām, ar kurām joprojām pastāv komercattiecības, piekļuves tiesību ierobežošana, sk. CIA Izpildes dekrēta 17-2. panta 1.–2. punktu).

(106)

CIA arī sīkāk nosaka precizitātes un datu kvalitātes principus, pieprasot, lai personas kredītinformācija tiktu “reģistrēta, grozīta un pārvaldīta”, lai tā būtu precīza un atjaunināta (CIA 18. panta 1. punkts un CIA Izpildes dekrēta 15. panta 3. punkts) (136). Sniedzot kredītinformāciju noteiktām citām vienībām (piemēram, kredītreitingu aģentūrām), komerciālajiem operatoriem ir arī īpašs pienākums pārbaudīt informācijas precizitāti, lai nodrošinātu, ka saņēmējs reģistrē un pārvalda tikai precīzu informāciju (CIA Izpildes dekrēta 15. panta 1. punkts kopā ar CIA 18. panta 1. punktu). Vispārīgāk runājot, CIA nosaka, ka ir jāveic uzskaite par personas kredītinformācijas vākšanu, izmantošanu, izpaušanu trešām personām un iznīcināšanu (CIA 20. panta 2. punkts) (137).

(107)

Turklāt uz personas kredītinformācijas apstrādi attiecas īpašas prasības saistībā ar datu drošību. CIA jo īpaši paredzēta prasība īstenot tehnoloģiskus, fiziskus un organizatoriskus pasākumus, lai novērstu nelikumīgu piekļuvi datorsistēmām, kā arī apstrādāto datu pārveidošanu, iznīcināšanu vai jebkādu citu apdraudējumu (piemēram, izmantojot piekļuves kontroli, sk. CIA 19. pantu un CIA Izpildes dekrēta 16. pantu). Turklāt, apmainoties ar personas kredītinformāciju ar trešo personu, jānoslēdz līgums, kurā noteikti īpaši drošības pasākumi (CIA 19. panta 2. punkts). Ja notiek personas kredītinformācijas aizsardzības pārkāpums, jāveic pasākumi, lai mazinātu jebkādu kaitējumu, un nekavējoties jāinformē attiecīgās personas (CIA 39-4. panta 1.–2. punkts). Turklāt ir jāinformē PIPC par personām sniegto paziņojumu un īstenotajiem pasākumiem (CIA 39-4. panta 4. punkts).

(108)

CIA arī uzliek īpašus pārredzamības pienākumus, kas jāpilda, saņemot piekrišanu personas kredītinformācijas izmantošanai vai sniegšanai (CIA 32. panta 4. punkts, CIA 34-2. pants un CIA Izpildes dekrēta 30-3. pants) un, vispārīgāk, pirms informācijas sniegšanas trešai personai (CIA 32. panta 7. punkts) (138). Turklāt personām ir tiesības pēc pieprasījuma saņemt informāciju par savas kredītinformācijas izmantošanu un sniegšanu trešām personām trīs gadu laikā pirms pieprasījuma iesniegšanas (cita starpā par šādas izmantošanas/sniegšanas nolūku un datumu) (139).

(109)

Saskaņā ar CIA fiziskām personām ir arī tiesības piekļūt savai personas kredītinformācijai (CIA 38. panta 1. punkts) un saņemt neprecīzu datu labojumus (CIA 38. panta 2.–3. punkts) (140). Turklāt papildus vispārējām tiesībām uz dzēšanu saskaņā ar PIPA (sk. 77. apsvērumu) CIA paredz īpašas tiesības dzēst personas kredītinformāciju, kas ir saglabāta ilgāk par 104. apsvērumā minētajiem saglabāšanas laikposmiem, t. i., piecus gadus (attiecībā uz personas kredītinformāciju, kas bija nepieciešama komercattiecību nodibināšanai vai uzturēšanai) vai trīs mēnešus (attiecībā uz cita veida personas kredītinformāciju) (141). Dzēšanas pieprasījumu izņēmuma kārtā var noraidīt, ja turpmāka saglabāšana ir nepieciešama 105. apsvērumā aprakstītajos apstākļos. Ja persona pieprasa dzēšanu, bet ir piemērojams kāds no izņēmumiem, attiecīgajai kredītinformācijai jāpiemēro īpašas garantijas (CIA 38-3. panta 3. punkts un CIA Izpildes dekrēta 33-3. pants). Piemēram, informācija ir jāglabā atsevišķi no citas informācijas, tai drīkst piekļūt tikai pilnvarota persona, un uz to jāattiecina īpaši drošības pasākumi.

(110)

Papildus 109. apsvērumā minētajām tiesībām CIA garantē personām tiesības pieprasīt pārzinim pārtraukt sazināšanos ar tām tiešās tirgvedības nolūkos (Likuma 37. panta 2. punkts) un tiesības uz datu pārnesamību. Attiecībā uz pēdējo minēto CIA ļauj personām pieprasīt, lai viņu personas kredītinformācija tiktu nosūtīta viņām pašām vai noteiktām trešām personām (piemēram, finanšu iestādēm un kredītreitingu aģentūrām). Personas kredītinformācijai jābūt apstrādātai un nosūtītai trešai personai tādā formātā, ko var apstrādāt ar informācijas apstrādes ierīci (piemēram, datoru).

(111)

CIA ietver īpašus noteikumus salīdzinājumā ar PIPA, tāpēc Komisija uzskata, ka arī šie noteikumi nodrošina aizsardzības līmeni, kurš pēc būtības ir līdzvērtīgs Regulā (ES) 2016/679 noteiktajam.

(112)

Lai nodrošinātu, ka arī praksē tiek garantēts pietiekams datu aizsardzības līmenis, vajadzētu būt izveidotai neatkarīgai uzraudzības iestādei, kurai uzticētas pilnvaras uzraudzīt un nodrošināt datu aizsardzības noteikumu izpildi. Šai iestādei tās uzdevumi būtu jāveic un pilnvaras jāīsteno pilnīgi neatkarīgi un objektīvi.

(113)

Korejas Republikā par PIPA uzraudzību un izpildi atbildīgā neatkarīgā iestāde ir PIPC. PIPC sastāvā ir priekšsēdētājs, priekšsēdētāja vietnieks un septiņi komisāri. Priekšsēdētāju un priekšsēdētāja vietnieku pēc premjerministra ieteikuma ieceļ prezidents. Divus no komisāriem ieceļ prezidents, pamatojoties uz priekšsēdētāja ieteikumiem, un piecus – pamatojoties uz Nacionālās asamblejas ieteikumiem (divus no tiem pēc tās politiskās partijas ieteikuma, kurai pieder prezidents, un trīs pēc citu politisko partiju ieteikumiem (PIPA 7-2. panta 2. punkts), kas palīdz mazināt politisko partiju lobēšanas ietekmi uz iecelšanas procesu) (142). Šī procedūra atbilst prasībām, kādas Savienībā piemēro datu aizsardzības iestāžu locekļu iecelšanai (Regulas (ES) 2016/679 53. panta 1. pants). Turklāt visiem komisāriem ir jāatturas no jebkādas ar peļņas gūšanu saistītas darījumdarbības, politiskās darbības un amatu ieņemšanas valsts pārvaldē vai Nacionālajā asamblejā (PIPA 7-6. pants un 7-7. panta 1. punkta 3. apakšpunkts) (143). Uz visiem komisāriem attiecas īpaši noteikumi, kas liedz viņiem piedalīties apspriedēs iespējama interešu konflikta gadījumā (PIPA 7-11. pants). PIPC palīdz sekretariāts (7-13. pants), un tā var izveidot apakškomisijas (trīs komisāru sastāvā) nelielu pārkāpumu un atkārtotu lietu izskatīšanai (PIPA 7-12. pants).

(114)

Katru PIPC locekli ieceļ uz trim gadiem, un viņu var iecelt amatā atkārtoti vienu reizi (PIPA 7-4. panta 1. punkts). Komisārus var atbrīvot no amata tikai īpašos apstākļos, proti, ja viņi vairs nespēj pildīt savus pienākumus ilgstošas garīgas vai fiziskas invaliditātes dēļ, rīkojas, pārkāpjot tiesību aktus, vai pieļauj kādu no situācijām, kas uzskatāma par pamatu atstādināšanai no amata (144) (PIPA 7-5. pants). Tas viņiem nodrošina institucionālo aizsardzību funkciju pildīšanai.

(115)

Vispārīgāk runājot, PIPA 7. panta 1. punktā ir skaidri garantēta PIPC neatkarība, un PIPA 7-5. panta 2. punktā noteikts, ka komisāri savus pienākumus veic neatkarīgi, saskaņā ar tiesību aktiem un savu sirdsapziņu (145). Aprakstītās institucionālās un procesuālās garantijas, tostarp attiecībā uz tās locekļu iecelšanu un atbrīvošanu no amata, nodrošina, ka PIPC darbojas pilnīgi neatkarīgi, bez ārējas ietekmes vai norādījumiem. Turklāt PIPC kā centrāla administratīva aģentūra ik gadu pati sagatavo sava budžeta priekšlikumu (kuru finanšu ministrija pārskata kā daļu no kopējā valsts budžeta pirms apstiprināšanas Nacionālajā asamblejā) un ir atbildīga par sava personāla vadību. PIPC pašreizējais budžets ir aptuveni 35 miljoni EUR un tajā strādā 154 darbinieki (tostarp 40 darbinieki, kuri specializējušies informācijas un komunikācijas tehnoloģijās, 32 darbinieki, kuri koncentrējas uz izmeklēšanām, un 40 juridiskie eksperti).

(116)

PIPC uzdevumi un pilnvaras galvenokārt ir noteiktas PIPA 7-8. un 7-9. pantā, kā arī 61.–66. pantā (146). Jo īpaši PIPC uzdevumos ietilpst konsultāciju sniegšana par tiesību aktiem un noteikumiem, kas saistīti ar datu aizsardzību, datu aizsardzības politikas un pamatnostādņu izstrāde, individuālo tiesību pārkāpumu izmeklēšana, sūdzību izskatīšana un starpniecība strīdu izšķiršanā, PIPA ievērošanas nodrošināšana, izglītošana datu aizsardzības jomā un tās popularizēšana, kā arī apmaiņa un sadarbība ar trešo valstu datu aizsardzības iestādēm (147).

(117)

Pamatojoties uz PIPA 68. pantu un PIPA Izpildes dekrēta 62. pantu, daži PIPC uzdevumi ir deleģēti Korejas Interneta un drošības aģentūrai, proti: 1) izglītība un sabiedriskās attiecības, 2) speciālistu apmācība un kritēriju izstrāde ietekmes uz privātuma novērtējumiem, 3) pieprasījumu izskatīšana par tā dēvētās ietekmes uz privātumu novērtējuma iestādes iecelšanu, 4) pieprasījumu izskatīšana par netiešu piekļuvi publisko iestāžu rīcībā esošajiem personas datiem (PIPA 35. panta 2. punkts) un 5) materiālu pieprasīšana un pārbaužu veikšana saistībā ar sūdzībām, kas saņemtas, izmantojot tā dēvēto Privātuma jautājumu zvanu centru. Saistībā ar sūdzību izskatīšanu, izmantojot Privātuma jautājumu zvanu centru, Korejas Interneta un drošības aģentūra pārsūta lietu PIPC vai prokuratūrai, ja tā konstatē, ka ir noticis tiesību akta pārkāpums. Iespēja iesniegt sūdzību Privātuma jautājumu zvanu centram neliedz personām iesniegt sūdzību tieši PIPC vai vērsties PIPC, ja tās uzskata, ka Korejas Interneta un drošības aģentūra nav apmierinoši izskatījusi viņu sūdzību.

(118)

Lai nodrošinātu PIPA ievērošanu, likumdevējs ir piešķīris PIPC gan izmeklēšanas, gan izpildes pilnvaras, sākot no ieteikumiem līdz administratīviem naudas sodiem. Šīs pilnvaras tiek papildinātas ar kriminālsodu režīmu.

(119)

Attiecībā uz izmeklēšanas pilnvarām, ja ir aizdomas par PIPA pārkāpumu vai ir saņemts ziņojums par šādu pārkāpumu, vai ja tas ir nepieciešams, lai aizsargātu datu subjektu tiesības pārkāpumu gadījumā, PIPC var veikt pārbaudes uz vietas un pieprasīt no personas datu pārziņiem visus attiecīgos materiālus (piemēram, rakstus un dokumentus) (PIPA 63. pants kopā ar PIPA Izpildes dekrēta 60. pantu) (148).

(120)

Attiecībā uz izpildi saskaņā ar PIPA 61. panta 2. punktu PIPC var sniegt konsultācijas datu pārziņiem par to, kā uzlabot personas datu aizsardzības līmeni konkrētās apstrādes darbībās. Datu pārziņiem ir godprātīgi jācenšas īstenot šādus ieteikumus un jāinformē PIPC par rezultātiem. Turklāt, ja ir pamatots iemesls uzskatīt, ka ir noticis PIPA pārkāpums, un bezdarbība var radīt grūti novēršamu kaitējumu, PIPC var noteikt korektīvus pasākumus (PIPA 64. panta 1. punkts) (149). Paziņojuma Nr. 2021-5 (I pielikums) 5. iedaļā ir saistošā veidā paskaidrots, ka šie nosacījumi ir izpildīti attiecībā uz jebkura PIPA noteikuma pārkāpumu, kas aizsargā personu tiesības uz privātumu saistībā ar personas informāciju (150). Pasākumi, ko ir pilnvarota veikt PIPC, ietver rīkojumu pārtraukt pārkāpumu izraisījušo rīcību, uz laiku apturēt datu apstrādi vai veikt citus nepieciešamos pasākumus. Par korektīvo pasākumu neievērošanu var piemērot sankcijas, uzliekot naudas sodu, kura maksimālais apmērs ir 50 miljoni vonu (PIPA 75. panta 2. punkta 13. apakšpunkts).

(121)

Attiecībā uz noteiktām publiskajām iestādēm (piemēram, Nacionālo asambleju, centrālajām administratīvajām aģentūrām, pašvaldību iestādēm un tiesām) PIPA 64. panta 4. punktā noteikts, ka PIPC var “ieteikt” jebkuru no 120. apsvērumā minētajiem korektīvajiem pasākumiem un ka šīm iestādēm šāds ieteikums ir jāizpilda, ja vien nepastāv ārkārtas apstākļi. Saskaņā ar Paziņojuma Nr. 2021-5 5. iedaļu tas attiecas uz faktiskajiem vai juridiskajiem ārkārtas apstākļiem, par kuriem PIPC, sniedzot ieteikumu, nebija informēta. Attiecīgā publiskā iestāde var atsaukties uz šādiem ārkārtas apstākļiem tikai tad, ja tā skaidri pierāda, ka pārkāpums nav noticis, un PIPC konstatē, ka tā tas patiešām ir. Pretējā gadījumā publiskajai iestādei ir jāseko PIPC ieteikumam un “jāveic korektīvs pasākums, tostarp nekavējoties jāpārtrauc darbība, un jākompensē kaitējums izņēmuma gadījumā, ja nelikumīga darbība tomēr ir notikusi”.

(122)

PIPC var arī lūgt citām administratīvajām aģentūrām ar konkrētām pilnvarām saskaņā ar nozaru tiesību aktiem (piemēram, veselības, izglītības jomā) atsevišķi vai kopā ar PIPC veikt izmeklēšanu par (iespējamiem) privātuma pārkāpumiem, ko izdarījuši pārziņi, kuri darbojas attiecīgajā nozarē aģentūru jurisdikcijā, un noteikt korektīvos pasākumus (PIPA 63. panta 4.–5. punkts). Aprakstītajā gadījumā PIPC nosaka izmeklēšanas pamatojumu, mērķi un jomu (151). Savukārt attiecīgajai administratīvajai aģentūrai jāiesniedz PIPC pārbaudes plāns un jāinformē PIPC par pārbaudes rezultātiem. PIPC var ieteikt konkrētus korektīvos pasākumus, un attiecīgajai aģentūrai jācenšas tos īstenot. Šāds pieprasījums jebkurā gadījumā neierobežo PIPC kompetenci veikt savu izmeklēšanu vai piemērot sankcijas.

(123)

Papildus savām korektīvajām pilnvarām PIPC var uzlikt administratīvos naudas sodus no 10 līdz 50 miljoniem vonu apmērā par dažādu PIPA prasību pārkāpumiem (PIPA 75. pants) (152). Cita starpā tas ietver apstrādes likumīguma prasību neievērošanu, nepieciešamo drošības pasākumu neveikšanu, nepaziņošanu datu subjektiem datu aizsardzības pārkāpuma gadījumā, apakšapstrādes prasību neievērošanu, privātuma politikas neizstrādāšanu un nepubliskošanu, privātuma amatpersonas neiecelšanu vai bezdarbību, saņemot no datu subjekta pieprasījumu, ko tas iesniedzis, īstenojot savas individuālās tiesības, kā arī dažus procesuālus pārkāpumus (nesadarbošanos izmeklēšanas laikā). Ja viens pārzinis pārkāpis vairākus PIPA noteikumus, par katru pārkāpumu var uzlikt naudassodu, un naudassoda apmēra noteikšanā ņem vērā cietušo personu skaitu.

(124)

Turklāt, ja ir pamatotas aizdomas par PIPA vai citu “ar datu aizsardzību saistītu likumu” pārkāpumu, PIPC var iesniegt kriminālsūdzību kompetentajai izmeklēšanas iestādei (piemēram, prokuroram, sk. PIPA 65. panta 1. punktu). Turklāt PIPC var ieteikt pārzinim uzsākt disciplinārlietu pret atbildīgo personu (tostarp atbildīgo vadītāju, sk. PIPA 65. panta 2. punktu). Saņemot šādu ieteikumu, pārzinim tas ir jāpilda (153) un rakstiski jāpaziņo PIPC par rezultātu (PIPA 65. pants kopā ar PIPA Izpildes dekrēta 58. pantu).

(125)

Attiecībā uz ieteikumiem saskaņā ar 61. pantu, korektīvajiem pasākumiem saskaņā ar 64. pantu, apsūdzību vai ieteikumu par disciplinārlietu saskaņā ar 65. pantu un administratīvo naudas sodu uzlikšanu saskaņā ar PIPA 75. pantu PIPC var publiskot faktus, t. i., informāciju par pārkāpumu, tiesību aktu pārkāpēju vienību un paredzēto(-os) pasākumu(-us), publicējot to savā tīmekļa vietnē vai vispārējā valsts mēroga dienas laikrakstā (PIPA 66. pants kopā ar PIPA Izpildes dekrēta 61. panta 1. punktu) (154).

(126)

Visbeidzot, PIPA (kā arī citos “ar datu aizsardzību saistītos likumos”) noteikto datu aizsardzības prasību ievērošanu atbalsta kriminālsodu režīms. Šajā saistībā PIPA 70.–73. pantā ir ietverti noteikumi par sankcijām, kuru rezultātā var piemērot vai nu naudas sodu (no 20 līdz 100 miljoniem vonu apmērā), vai ieslodzījumu (maksimālais sods svārstās no 2 līdz 10 gadiem). Attiecīgie pārkāpumi cita starpā ietver personas datu izmantošanu vai šādu datu sniegšanu trešai personai bez nepieciešamās piekrišanas, sensitīvas informācijas apstrādi, kas ir pretrunā PIPA 23. panta 1. punktā noteiktajam aizliegumam, piemērojamo drošības prasību neievērošanu, kā rezultātā personas dati tiek pazaudēti, nozagti, izpausti, viltoti, pārveidoti vai bojāti, nepieciešamo pasākumu neveikšanu, lai labotu, dzēstu vai apturētu personas datu sniegšanu, vai personas datu nelikumīgu nosūtīšanu uz trešo valsti (155). Saskaņā ar PIPA 74. pantu katrā no šiem gadījumiem atbildīgs ir pārziņa darbinieks, aģents vai pārstāvis, kā arī pats pārzinis (156).

(127)

Papildus PIPA paredzētajiem kriminālsodiem personas datu nepareiza izmantošana arī var būt noziedzīgs nodarījums saskaņā ar Krimināllikumu. Tas konkrēti attiecas uz vēstuļu, dokumentu vai elektronisko ierakstu slepenības pārkāpšanu (316. pants), dienesta noslēpuma informācijas izpaušanu (317. pants), krāpšanu, izmantojot datorus (347-2. pants), kā arī piesavināšanos un uzticības ļaunprātīgu izmantošanu (355. pants).

(128)

Tāpēc Korejas sistēma apvieno dažādus sankciju veidus – no korektīviem pasākumiem un administratīviem naudas sodiem līdz kriminālsodiem, kam, visticamāk, būs īpaši spēcīga preventīva ietekme uz pārziņiem un personām, kas apstrādā datus. Uzreiz pēc izveides 2020. gadā PIPC sāka izmantot savas pilnvaras. PIPC 2021. gada ziņojums parāda, ka PIPC jau izdeva vairākus ieteikumus un korektīvus rīkojumus un uzlika administratīvos sodus gan publiskajam sektoram (aptuveni 34 publiskajām iestādēm), gan privātiem operatoriem (aptuveni 140 uzņēmumiem) (157). Daži pieminēšanas vērti gadījumi: piemēram, 2020. gada decembrī PIPC piemēroja naudas sodu 6,7 miljardu vonu apmērā kādam uzņēmumam par dažādu PIPA noteikumu pārkāpšanu (tai skaitā drošības prasību, prasību par piekrišanu informācijas sniegšanai trešām personām un pārredzamības prasību) (158) un 2021. gada aprīlī – naudas sodu 103,3 miljonu vonu apmērā kādam mākslīgā intelekta tehnoloģiju uzņēmumam (cita starpā par noteikumu pārkāpumiem saistībā ar apstrādes likumīgumu, jo īpaši piekrišanu, un pseidonimizētas informācijas apstrādi (159). 2021. gada augustā PIPC noslēdza vēl vienu izmeklēšanu par triju uzņēmumu darbībām, kuras rezultātā tika noteikti korektīvie pasākumi un uzlikti naudas sodi līdz pat 6,47 miljardu vonu apmērā (cita starpā par personu neinformēšanu par personas datu izpaušanu trešām personām, ieskaitot nodošanu trešām valstīm) (160). Turklāt jau pirms nesenās reformas Dienvidkoreja bija guvusi ievērojamus panākumus izpildes nodrošināšanā, atbildīgajām iestādēm izmantojot pilnu izpildes pasākumu klāstu, tostarp administratīvos naudas sodus, korektīvos pasākumus un “nosaukšanu un kopīgošanu” attiecībā uz dažādiem pārziņiem, tai skaitā sakaru pakalpojumu sniedzējiem (Korejas Komunikācijas komisija), kā arī komerciālajiem operatoriem, finanšu iestādēm, publiskajām iestādēm, universitātēm un slimnīcām (Iekšlietu un drošības ministrija) (161). Pamatojoties uz to, Komisija secina, ka Korejas sistēma nodrošina datu aizsardzības noteikumu efektīvu izpildi praksē, tādējādi garantējot aizsardzības līmeni, kurš pēc būtības ir līdzvērtīgs Regulā (ES) 2016/679 noteiktajam.

(129)

Lai nodrošinātu pietiekamu aizsardzību un jo īpaši individuālo tiesību īstenošanu, datu subjektam vajadzētu būt pieejamiem efektīviem administratīvajiem un tiesiskajiem aizsardzības līdzekļiem, tostarp kompensācijai par kaitējumu.

(130)

Korejas sistēma nodrošina personām dažādus mehānismus, lai efektīvi īstenotu savas tiesības un panāktu (tiesisko) aizsardzību.

(131)

Personas, kuras uzskata, ka ir pārkāptas viņu datu aizsardzības tiesības vai intereses, vispirms var vērsties pie attiecīgā pārziņa. Saskaņā ar PIPA 30. panta 1. punkta 5. apakšpunktu pārziņa privātuma politikā cita starpā iekļauj informāciju par datu subjektu tiesībām un to īstenošanas iespējām. Turklāt tā ietver kontaktinformāciju (piemēram, privātuma amatpersonas vārdu, uzvārdu vai par datu aizsardzību atbildīgās struktūrvienības nosaukumu un tālruņa numuru) sūdzību iesniegšanai. Pārziņa organizācijā privātuma amatpersona ir atbildīga par sūdzību izskatīšanu, korektīvo pasākumu pieņemšanu privātuma pārkāpuma gadījumā un zaudējumu atlīdzināšanu (PIPA 31. panta 2. punkta 3. apakšpunkts un 4. punkts). Tas ir svarīgi, piemēram, datu aizsardzības pārkāpuma gadījumā, jo pārzinim cita starpā ir jāinformē datu subjekts par kontaktpunktu(-iem), kur ziņot par jebkādu kaitējumu (PIPA 34. panta 1. punkta 5. apakšpunkts).

(132)

Turklāt PIPA piedāvā vairākus tiesiskās aizsardzības līdzekļus fiziskām personām pret pārziņiem. Pirmkārt, ikviena persona, kas uzskata, ka pārzinis ir pārkāpis tās datu aizsardzības tiesības vai intereses, var ziņot par šādu pārkāpumu PIPC un/vai vienai no specializētajām iestādēm, ko PIPC ir izraudzījusies sūdzību pieņemšanai un izskatīšanai; tas attiecas arī uz Korejas Interneta un drošības aģentūru, kas šim nolūkam pārvalda personas informācijas zvanu centru (tā dēvēto “Privātuma jautājumu zvanu centru”) (PIPA 62. panta 1. un 2. punkts kopā ar PIPA Izpildes dekrēta 59. pantu). Privātuma jautājumu zvanu centrs izmeklē un konstatē pārkāpumus, sniedz konsultācijas par personas datu apstrādi (PIPA 62. panta 3. punkts) un var ziņot par pārkāpumiem PIPC (bet pats nevar īstenot izpildes pasākumus). Privātuma jautājumu zvanu centrs saņem lielu skaitu sūdzību/pieprasījumu (piemēram, 177 457 2020. gadā, 159 255 2019. gadā un 164 497 2018. gadā) (162). Saskaņā ar PIPC sniegto informāciju pati PIPC saņēma aptuveni 1 000 sūdzību laikposmā no 2020. gada augusta līdz 2021. gada augustam. Reaģējot uz sūdzību, PIPC var sniegt padomu par uzlabojumiem, veikt korektīvus pasākumus, iesniegt “apsūdzību” kompetentajai izmeklēšanas iestādei (tai skaitā prokuroram) vai sniegt padomu par disciplinārlietu (sk. PIPA 61., 64. un 65. pantu). PIPC lēmumus (piemēram, atteikumu izskatīt sūdzību vai sūdzības noraidījumu pēc būtības) var apstrīdēt saskaņā ar Administratīvo lietu iztiesāšanas likumu (163).

(133)

Otrkārt, saskaņā ar PIPA 40.–50. pantu un PIPA Izpildes dekrēta 48-14.–57. pantu datu subjekti var iesniegt prasības tā dēvētajā “Strīdu starpniecības komitejā”, ko veido PIPC priekšsēdētāja iecelti pārstāvji no PIPC augstākā izpilddienesta locekļu vidus un personas, kas ieceltas, pamatojoties uz viņu pieredzi datu aizsardzības jomā, no noteiktām atbilstīgām grupām (sk. PIPA 40. panta 2., 3. un 7. punktu, PIPA Izpildes dekrēta 48-14. pantu) (164). Iespēja izmantot starpniecību Strīdu starpniecības komitejā piedāvā alternatīvu iespēju izmantot tiesiskās aizsardzības līdzekļus, bet neierobežo personas tiesības vērsties PIPC vai tiesā. Lai izskatītu lietu, Komiteja var pieprasīt strīdā iesaistītajām pusēm iesniegt nepieciešamos materiālus un/vai uzaicināt attiecīgos lieciniekus uz Komitejas sēdi (PIPA 45. pants). Kad jautājums ir noskaidrots, Komiteja sagatavo starpniecības lēmuma projektu (165), par kuru jāvienojas Komitejas locekļu vairākumam. Starpniecības lēmuma projekts var ietvert pārkāpuma pārtraukšanu, nepieciešamos tiesiskās aizsardzības līdzekļus (tostarp restitūciju vai kompensāciju), kā arī jebkādus pasākumus, kas nepieciešami, lai novērstu tāda paša vai līdzīga(-u) pārkāpuma(-u) atkārtošanos (PIPA 47. panta 1. punkts). Ja abas puses piekrīt starpniecības lēmumam, tam ir tāds pats spēks kā izlīgumam tiesā (PIPA 47. panta 5. punkts). Nevienai no pusēm nav liegts uzsākt tiesvedību tiesā, kamēr notiek starpniecība, un šādā gadījumā starpniecība tiek apturēta (sk. PIPA 48. panta 2. punktu) (166). PIPC publicētie ikgadējie skaitļi liecina, ka personas regulāri izmanto Strīdu starpniecības komitejas procedūru, kurai bieži ir veiksmīgs iznākums. Piemēram, 2020. gadā komiteja izskatīja 126 lietas, no kurām 89 tika atrisinātas komitejā (77 lietās puses jau bija vienojušās vēl pirms starpniecības procedūras beigām, un 12 lietās puses pieņēma starpniecības priekšlikumu), līdz ar to starpniecības koeficients bija 70,6 % (167). Līdzīgi 2019. gadā komiteja izskatīja 139 lietas, no kurām 92 tika atrisinātas, un starpniecības koeficients bija 62,2 %.

(134)

Turklāt, ja vismaz 50 personām ir nodarīts kaitējums vai to datu aizsardzības tiesības ir pārkāptas identiskā vai līdzīgā veidā pēc viena un tā paša (veida) incidenta (168), datu subjekts vai datu aizsardzības organizācija šāda kolektīva vārdā var pieteikties kolektīvai strīdu starpniecībai; citi datu subjekti var pieteikties, lai pievienotos šādai starpniecībai, par ko publiski paziņos Strīdu starpniecības komiteja (PIPA 49. panta 1.–3. punkts kopā ar PIPA Izpildes dekrēta 52.–54. pantu) (169). Strīdu starpniecības komiteja var izvēlēties vismaz vienu personu, kas vispiemērotāk pārstāv kopējās intereses kā pārstāvības puse (PIPA 49. panta 4. punkts). Ja pārzinis noraida kolektīvo strīda starpniecību vai nepieņem starpniecības lēmumu, noteiktas organizācijas (170) var iesniegt kolektīvo prasību tiesā, lai novērstu pārkāpumu (PIPA 51.–57. pants).

(135)

Treškārt, tāda privātuma pārkāpuma gadījumā, kas personai nodara “kaitējumu”, datu subjektam ir tiesības uz atbilstošu tiesisko aizsardzību “ātrā un taisnīgā procedūrā” (PIPA 4. panta 5. punkts kopā ar 39. pantu) (171). Pārzinis var sevi attaisnot, pierādot vainas (“ļauna nodoma” vai nolaidības) neesamību. Ja datu subjektam nodarīts kaitējums viņa personas datu nozaudēšanas, zādzības, izpaušanas, viltošanas, pārveidošanas vai bojāšanas rezultātā, tiesa, ņemot vērā vairākus faktorus, var noteikt kompensāciju līdz pat trīskāršam faktiskā kaitējuma apmēram (PIPA 39. panta 3. un 4. punkts). Alternatīvi datu subjekts var pieprasīt “saprātīgu kompensāciju”, kas nepārsniedz 3 miljonus vonu (PIPA 39-2. panta 1. un 2. punkts). Turklāt saskaņā ar Civillikumu kompensāciju var pieprasīt no jebkuras personas, “kas ar prettiesisku darbību, tīši vai neuzmanības dēļ radījusi zaudējumus vai nodarījusi miesas bojājumus citai personai” (172), vai no personas, “kas aizskārusi citu personu, tās brīvību vai reputāciju vai radījusi citai personai garīgas ciešanas” (173). Šādu civiltiesisko atbildību par kaitējumu, kas izriet no datu aizsardzības noteikumu pārkāpuma, ir apstiprinājusi Augstākā tiesa (174). Ja kaitējumu radījusi publiskās iestādes prettiesiska darbība, kompensācijas pieprasījumu var iesniegt arī saskaņā ar Valsts kompensāciju likumu (175). Prasību saskaņā ar Valsts kompensāciju likumu var iesniegt specializētajā “Kompensāciju padomē” vai tieši Korejas tiesās (176). Valsts atbildība sedz arī nemateriālo kaitējumu (piemēram, garīgās ciešanas) (177). Ja cietušais ir ārvalstnieks, Valsts kompensāciju likumu piemēro tik ilgi, kamēr viņa izcelsmes valsts vienlīdz nodrošina valsts kompensāciju Korejas valstspiederīgajiem (178).

(136)

Ceturtkārt, Augstākā tiesa ir atzinusi, ka personām ir tiesības pieprasīt tiesiskās aizsardzības līdzekļus, ja ir pārkāptas viņu konstitucionālās tiesības, tostarp tiesības uz personas datu aizsardzību (179). Šajā saistībā tiesa var, piemēram, likt pārziņiem apturēt vai pārtraukt jebkādu prettiesisku darbību. Turklāt datu aizsardzības tiesības, tostarp PIPA aizsargātās tiesības, var īstenot, iesniedzot civilprasību. Šo privātuma konstitucionālās aizsardzības horizontālo piemērošanu attiecībām starp fiziskām personām ir atzinusi Augstākā tiesa (180).

(137)

Visbeidzot, saskaņā ar Kriminālprocesa likumu (223. pants) personas var iesniegt kriminālsūdzību prokuroram vai kriminālpolicijas ierēdnim (181).

(138)

Tādējādi Korejas sistēma piedāvā dažādus veidus, kā saņemt tiesisko aizsardzību, sākot no viegli pieejamiem un lētiem risinājumiem (piemēram, sazinoties ar Privātuma jautājumu zvanu centru vai izmantojot (kolektīvo) starpniecību) līdz administratīviem (PIPC) un tiesu iestāžu līdzekļiem, tostarp ar iespēju saņemt kompensāciju par kaitējumu.

(139)

Komisija ir arī novērtējusi ierobežojumus un garantijas, tostarp pārraudzības un individuālās tiesiskās aizsardzības mehānismus, kas pieejami saistībā ar tādu personas datu vākšanu un vēlāku izmantošanu, kurus Korejas publiskās iestādes nosūta pārziņiem Korejā sabiedrības interesēs, jo īpaši krimināltiesību aizsardzības un valsts drošības nolūkos (“valdības piekļuve”). Šajā saistībā Korejas valdība ir iesniegusi Komisijai oficiālus apliecinājumus, garantijas un saistības, kas parakstītas augstākajā ministriju un aģentūru līmenī un ietvertas šā lēmuma II pielikumā.

(140)

Novērtējot, vai nosacījumi, ar kādiem valdības piekļuve datiem, kas saskaņā ar šo lēmumu nosūtīti uz Koreju, atbilst “līdzvērtības pēc būtības” pārbaudei saskaņā ar Regulas (ES) 2016/679 45. panta 1. punktu, kā to interpretējusi Eiropas Savienības Tiesa, ņemot vērā Pamattiesību hartu, Komisija jo īpaši ņēma vērā turpmāk minētos kritērijus.

(141)

Pirmkārt, jebkuriem ierobežojumiem, kas skar tiesības uz personas datu aizsardzību, ir jābūt paredzētiem tiesību aktos, un juridiskajam pamatam, kurš pieļauj šādu tiesību ierobežojumu, pašam jānosaka attiecīgo tiesību īstenošanas ierobežojuma darbības joma (182).

(142)

Otrkārt, lai nodrošinātu atbilstību samērīguma prasībai, saskaņā ar kuru atkāpes no personas datu aizsardzības un to ierobežojumi piemērojami tikai tiktāl, ciktāl tas ir absolūti nepieciešams (noteikti vajadzīgs) demokrātiskā sabiedrībā, lai sasniegtu konkrētus vispārējas nozīmes mērķus, kas ir līdzvērtīgi Savienībā atzītajiem, attiecīgās trešās valsts tiesību aktos, kas pieļauj ierobežojumu, jāparedz skaidri un precīzi noteikumi, kas reglamentē attiecīgo pasākumu darbības jomu un piemērošanu, un jānosaka minimāli aizsardzības pasākumi, lai personām, kuru dati ir nosūtīti, būtu pietiekamas garantijas efektīvai viņu personas datu aizsardzībai pret ļaunprātīgas izmantošanas risku (183). Tiesību aktos jo īpaši jānorāda, kādos apstākļos un ar kādiem nosacījumiem var īstenot pasākumu, kas nodrošina šādu datu apstrādi (184), kā arī piemērot šādu prasību izpildei neatkarīgu pārraudzību (185).

(143)

Treškārt, tiesību aktiem un to prasībām jābūt juridiski saistošiem saskaņā ar valsts tiesību aktiem. Tas vispirms attiecas uz attiecīgās trešās valsts iestādēm, bet šīm juridiskajām prasībām jābūt arī īstenojamām piespiedu kārtā tiesas ceļā pret šīm iestādēm (186). Datu subjektiem jo īpaši jābūt iespējai celt prasību neatkarīgā un objektīvā tiesā, lai gūtu piekļuvi saviem personas datiem vai panāktu šādu datu labošanu vai dzēšanu (187).

(144)

Ierobežojumi un garantijas, kas piemērojami personas datu vākšanai un vēlākai izmantošanai, ko veic Korejas publiskās iestādes, izriet no visaptveroša konstitucionālā regulējuma, īpašiem tiesību aktiem, kuri regulē to darbību krimināltiesību aizsardzības un valsts drošības jomā, kā arī noteikumiem, kas konkrēti attiecas uz personas datu apstrādi.

(145)

Pirmkārt, Korejas publisko iestāžu piekļuvi personas datiem reglamentē vispārējie likumības, nepieciešamības un samērīguma principi, kas izriet no Korejas Konstitūcijas (188). Jo īpaši pamattiesības un pamatbrīvības (tostarp tiesības uz privātumu un tiesības uz korespondences privātumu) (189) var ierobežot tikai ar tiesību aktiem un tikai tad, ja tas ir nepieciešams valsts drošībai vai likumības un kārtības uzturēšanai un sabiedrības labklājības labad. Šādi ierobežojumi nedrīkst ietekmēt attiecīgo tiesību vai brīvību būtību. Jo īpaši attiecībā uz kratīšanu un konfiskāciju Konstitūcijā ir paredzēts, ka tās var veikt tikai saskaņā ar tiesību aktiem, pamatojoties uz tiesneša izdotu orderi un ievērojot noteikto kārtību (190). Visbeidzot, personas var atsaukties uz savām tiesībām un brīvībām Konstitucionālajā tiesā, ja tās uzskata, ka publiskās iestādes tās ir pārkāpušas, kad tās īstenojušas savas pilnvaras (191). Līdzīgi arī personām, kurām nodarīts kaitējums valsts amatpersonas veiktas prettiesiskas darbības dēļ oficiālo pienākumu izpildes laikā, ir tiesības pieprasīt taisnīgu kompensāciju (192).

(146)

Otrkārt, kā sīkāk aprakstīts 3.2.1. un 3.3.1. iedaļā, 145. apsvērumā minētie vispārējie principi ir atspoguļoti arī īpašajos tiesību aktos, kas regulē tiesībaizsardzības un valsts drošības iestāžu pilnvaras. Piemēram, attiecībā uz kriminālizmeklēšanu Kriminālprocesa likums (Criminal Procedure Act – “CPA”) paredz, ka obligātos pasākumus var veikt tikai tad, ja tas ir skaidri noteikts CPA, un tikai tādā vismazākajā apmērā, kāds ir nepieciešams, lai sasniegtu izmeklēšanas mērķi (193). Līdzīgi arī Saziņas privātuma aizsardzības likuma (Communications Privacy Protection Act – “CPPA”) 3. pantā ir aizliegts piekļūt privātai saziņai, izņemot gadījumus, kad tas tiek darīts, pamatojoties uz tiesību aktiem un ievērojot tajos noteiktos ierobežojumus un garantijas. Valsts drošības jomā Likums par Valsts izlūkdienestu (National Intelligence Service – NIS, “NIS likums”) paredz, ka jebkurai piekļuvei saziņas vai atrašanās vietas informācijai jāatbilst tiesību aktiem un par ļaunprātīgu varas izmantošanu un likumpārkāpumiem piemēro kriminālsodus (194).

(147)

Treškārt, uz personas datu apstrādi, ko veic publiskās iestādes, tostarp tiesībaizsardzības un valsts drošības nolūkos, attiecas datu aizsardzības noteikumi saskaņā ar PIPA (195). PIPA 5. panta 1. punktā kā vispārējs princips ir noteikts, ka publiskajām iestādēm ir jāizstrādā politika, ko izmanto, lai nepieļautu “personas informācijas ļaunprātīgu un nepareizu izmantošanu, nediskrētu novērošanu un izsekošanu utt. un lai veicinātu cilvēka cieņas un personas privātuma respektēšanu”. Turklāt ikvienam pārzinim ir jāapstrādā personas dati tādā veidā, kas samazina iespēju pārkāpt datu subjekta privātumu (PIPA 3. panta 6. punkts).

(148)

Visas PIPA prasības, kas sīki aprakstītas 2. iedaļā, attiecas uz personas datu apstrādi tiesībaizsardzības nolūkos. Tās ietver pamatprincipus (piem., likumīgums un godprātība, nolūka ierobežojums, precizitāte, datu minimizēšana, glabāšanas ierobežojums, drošība un pārredzamība), pienākumus (piem., attiecībā uz datu aizsardzības pārkāpumu paziņošanu un sensitīviem datiem) un tiesības (iegūt piekļuvi, pieprasīt labošanu, dzēšanu un izmantošanas apturēšanu).

(149)

Lai gan uz personas datu apstrādi, ko veic valsts drošības nolūkos, saskaņā ar PIPA attiecas ierobežotāks noteikumu kopumus, piemēro arī pamatprincipus, kā arī noteikumus par pārraudzību, izpildi un tiesisko aizsardzību (196). Konkrētāk, PIPA 3. un 4. pantā ir noteikti vispārējie datu aizsardzības principi (likumīgums un godprātība, nolūka ierobežojums, precizitāte, datu minimizēšana, drošība un pārredzamība) un individuālās tiesības (tiesības saņemt informāciju, piekļuves tiesības un tiesības pieprasīt datu labošanu, dzēšanu un izmantošanas apturēšanu) (197). Turklāt PIPA 4. panta 5. punktā ir noteikts, ka personām ātrā un taisnīgā procedūrā ir tiesības saņemt atbilstošu tiesisko aizsardzību par jebkuru kaitējumu, kas radies no to personas datu apstrādes. Tas ir papildināts ar konkrētākiem pienākumiem, proti, apstrādāt personas datus tikai tādā apjomā, kāds nepieciešams, lai sasniegtu paredzēto nolūku, un minimālajā laikposmā, ieviest nepieciešamos pasākumus, lai nodrošinātu drošu datu pārvaldību un pienācīgu apstrādi (piem., tehniski, pārvaldības un fiziski aizsardzības pasākumi), kā arī ieviest pasākumus individuālu sūdzību atbilstīgai izskatīšanai (198). Visbeidzot, Korejas Konstitūcijā (sk. 145. apsvērumu) paredzētie vispārējie likumības, nepieciešamības un samērīguma principi attiecas arī uz personas datu apstrādi valsts drošības nolūkos.

(150)

Šos vispārējos ierobežojumus un garantijas personas var apstrīdēt neatkarīgās pārraudzības struktūrās (piem., PIPC un/vai Valsts cilvēktiesību komisijā, sk. 177.–178. apsvērumu) un tiesās (sk. 179.–183. apsvērumu), lai iegūtu tiesisko aizsardzību.

(151)

Korejas Republikas tiesību aktos ir noteikti vairāki ierobežojumi attiecībā uz piekļuvi personas datiem un to izmantošanu krimināltiesību aizsardzības nolūkos, kā arī ir paredzēti pārraudzības un tiesiskās aizsardzības mehānismi, kas atbilst šā lēmuma 141.–143. apsvērumā minētajām prasībām. Nosacījumi, saskaņā ar kuriem var notikt šāda piekļuve, un garantijas, kas piemērojamas šo pilnvaru izmantošanai, ir sīki novērtēti turpmākajās iedaļās.

(152)

Korejā esošu pārziņu apstrādātos personas datus, kas saskaņā ar šo lēmumu tiktu nosūtīti no Savienības (199), Korejas iestādes var vākt krimināltiesību aizsardzības nolūkā saistībā ar kratīšanu vai konfiskāciju (pamatojoties uz CPA), piekļūstot saziņas informācijai (pamatojoties uz CPPA) vai iegūstot abonenta datus pēc tam, kad iesniegts pieprasījums par brīvprātīgu informācijas izpaušanu (pamatojoties uz Telesakaru darījumdarbības likumu (Telecommunications Business Act – “TBA”)) (200).

(153)

CPA ir paredzēts, ka kratīšanu vai konfiskāciju var veikt tikai tad, ja persona tiek turēta aizdomās par noziegumu, tas ir nepieciešams izmeklēšanai un ir konstatēta saistība starp izmeklēšanu un personu, kurai veicama kratīšana, vai priekšmetu, kas pārbaudāms vai konfiscējams (201). Turklāt kratīšanu vai konfiskāciju (kā obligātu pasākumu) drīkst atļaut/veikt tikai vismazākajā nepieciešamajā apmērā (202). Ja kratīšana attiecas uz datora disku vai citu datu nesēju, tad būtībā tiks konfiscēti tikai nepieciešamie dati (kopēti vai izdrukāti), nevis viss datu nesējs (203). To var konfiscēt tikai tad, ja tiek uzskatīts, ka ir būtiski neiespējami atsevišķi izdrukāt vai kopēt nepieciešamos datus, vai ja tiek uzskatīts, ka ir būtiski nepraktiski citādi sasniegt kratīšanas mērķi (204). Tādēļ CPA ir paredzēti skaidri un precīzi noteikumi par šo pasākumu darbības jomu un piemērošanu, tādējādi nodrošinot, ka iejaukšanās personu tiesībās kratīšanas vai konfiskācijas gadījumā būs ierobežota līdz tādai, kas ir nepieciešama konkrētai kriminālizmeklēšanai un samērīga ar noteikto mērķi.

(154)

Procesuālo garantiju ziņā CPA ir noteikts, ka no tiesas ir jāsaņem orderis, lai varētu veikt kratīšanu vai konfiskāciju (205). Kratīšana vai konfiskācija bez ordera ir atļauta tikai izņēmuma gadījumos, proti, steidzamos apstākļos (206), uz vietas aizdomās turētā aizturēšanas vai apcietināšanas brīdī (207) vai arī gadījumos, kad aizdomās turētais vai trešā persona (attiecībā uz personas datiem – attiecīgā persona) izmet vai brīvprātīgi uzrāda priekšmetu (208). Par nelikumīgu kratīšanu un konfiskāciju piemēro kriminālsodus (209), un visus pierādījumus, kas iegūti, pārkāpjot CPA, uzskata par nepieņemamiem (210). Visbeidzot, attiecīgās personas vienmēr ir nekavējoties jāinformē par kratīšanu vai konfiskāciju (tostarp viņu datu konfiskāciju) (211), kas savukārt atvieglos personas materiālo tiesību īstenošanu un tiesības uz tiesisku aizsardzību (sk. jo īpaši iespēju apstrīdēt konfiskācijas ordera izpildi, sk. 180. apsvērumu).

(155)

Pamatojoties uz CPPA, Korejas krimināltiesību aizsardzības iestādes var veikt divu veidu pasākumus (212): no vienas puses, “saziņas apstiprinājuma datu” vākšanu (213), kas ietver telesakaru datumu, to sākuma un beigu laiku, veikto un saņemto zvanu skaitu, kā arī otras puses abonenta numuru, izmantošanas biežumu, žurnāldatnes par telesakaru pakalpojumu izmantošanu un atrašanās vietas informāciju (piem., no pārraides torņiem, kuros uztver signālus); un, no otras puses, “saziņu ierobežojošus pasākumus”, kas ietver gan tradicionālā pasta satura vākšanu, gan telesakaru satura tiešu pārtveršanu (214).

(156)

Saziņas apstiprinājuma datiem var piekļūt tikai tad, ja ir jāveic kriminālizmeklēšana vai jāizpilda sods (215), pamatojoties uz tiesas izdotu orderi (216). Šajā saistībā CPPA ir prasīts sniegt detalizētu informāciju gan ordera pieprasījuma pieteikumā (piem., par pieprasījuma iemesliem, saistību ar mērķobjektu/abonentu un nepieciešamajiem datiem), gan orderī (piem., par pasākuma mērķobjektu, uzdevumu un darbības jomu) (217). Datu vākšanu bez ordera var veikt tikai tad, ja steidzamības dēļ no tiesas nav iespējams saņemt atļauju, bet šādā gadījumā orderis ir jāsaņem un jānodod telesakaru pakalpojumu sniedzējam uzreiz pēc datu pieprasīšanas (218). Ja tiesa atsakās piešķirt šo atļauju, savāktā informācija ir jāiznīcina (219).

(157)

Saistībā ar papildu garantijām attiecībā uz saziņas apstiprinājuma datu vākšanu CPPA ir noteiktas īpašas uzskaites veikšanas un pārredzamības prasības (220). Konkrētāk, gan krimināltiesību aizsardzības iestādēm (221), gan telesakaru pakalpojumu sniedzējiem (222) ir jāveic pieprasījumu un izpaustās informācijas uzskaite. Turklāt krimināltiesību aizsardzības īstenošanas laikā būtībā ir jāpaziņo personām par to, ka tiek vākti to saziņas apstiprinājuma dati (223). Šo paziņošanu var atlikt tikai izņēmuma apstākļos, pamatojoties uz kompetentās apgabala prokuratūras direktora atļauju (224). Šādu atļauju var izsniegt tikai tad, ja paziņojums varētu: 1) apdraudēt valsts drošību, sabiedrisko drošību un kārtību, 2) izraisīt nāvi vai miesas bojājumus, 3) kavēt taisnīgu tiesvedību (piem., izraisīt pierādījumu iznīcināšanu vai apdraudējumu lieciniekiem) vai 4) apmelot aizdomās turētos, cietušos vai citas personas, kas saistītas ar lietu, vai aizskart to privātumu. Šajos gadījumos paziņojums jāsniedz 30 dienu laikā, tiklīdz atlikšanas pamatojums(-i) vairs nepastāv (225). Pēc paziņojuma saņemšanas personām ir tiesības saņemt informāciju par to datu vākšanas iemesliem (226).

(158)

Attiecībā uz saziņu ierobežojošiem pasākumiem piemēro stingrākus noteikumus, un pasākumus var izmantot tikai tad, ja ir pamatots iemesls aizdomām, ka tiek plānoti, tiek izdarīti vai ir izdarīti noteikti smagi noziegumi, kuri konkrēti uzskaitīti CPPA (227). Turklāt saziņu ierobežojošus pasākumus var veikt tikai kā galēju pasākumu un gadījumos, kad citādi ir grūti novērst nozieguma izdarīšanu, aizturēt noziedznieku vai vākt pierādījumus (228). Tie ir nekavējoties jāpārtrauc, tiklīdz tie vairs nav nepieciešami, lai nodrošinātu, ka saziņas privātuma pārkāpumi ir pēc iespējas mazāki (229). Informācija, kas ir nelikumīgi iegūta, izmantojot saziņu ierobežojošus pasākumus, netiek pieņemta kā pierādījums tiesā vai disciplinārlietās (230).

(159)

Procesuālo garantiju ziņā CPPA ir noteikts, ka ir jāsaņem tiesas orderis, lai varētu veikt saziņu ierobežojošus pasākumus (231). Turklāt CPPA ir prasīts, lai ordera pieprasījuma pieteikumā un pašā orderī būtu iekļauta detalizēta informācija (232), tostarp pieprasījuma pamatojums, kā arī vācamā saziņa (kam jābūt izmeklēšanā aizdomās turētās personas saziņai) (233). Šādus pasākumus bez ordera var veikt tikai nenovēršamu organizētās noziedzības draudu gadījumā vai tad, ja draud cits smags noziegums, kas var tieši izraisīt nāvi vai smagus miesas bojājumus, un pastāv ārkārtas situācija, kuras dēļ nav iespējams veikt parasto procedūru (234). Tomēr šādā gadījumā ordera pieprasījuma pieteikums ir jāiesniedz uzreiz pēc pasākuma veikšanas (235). Saziņu ierobežojošus pasākumus var veikt tikai ne ilgāk kā divus mēnešus (236), un to veikšanu var pagarināt tikai ar tiesas apstiprinājumu, ja joprojām pastāv atbilstība pasākumu veikšanas nosacījumiem (237). Pagarinātais laikposms kopumā nedrīkst pārsniegt vienu gadu vai trīs gadus noteiktiem sevišķi smagiem noziegumiem (piem., noziegumiem, kas saistīti ar nemieriem, ārvalstu agresiju, valsts drošību) (238).

(160)

Līdzīgi kā tas ir saziņas apstiprinājuma datu vākšanas gadījumā, CPPA ir pieprasīts telesakaru pakalpojumu sniedzējiem (239) un tiesībaizsardzības iestādēm (240) veikt saziņu ierobežojošo pasākumu izpildes uzskaiti un tajā ir paredzēta attiecīgās personas informēšana, ko izņēmuma kārtā var atlikt, ja tas ir nepieciešams svarīgu sabiedrības interešu dēļ (241).

(161)

Visbeidzot, par vairāku CPPA noteikto ierobežojumu un garantiju neievērošanu (tostarp, piem., par pienākumu saņemt orderi, veikt uzskaiti un paziņošanu personai neizpildi) gan attiecībā uz saziņas apstiprinājuma datu vākšanu, gan saziņu ierobežojošu pasākumu izmantošanu piemēro kriminālsodus (242).

(162)

Tādējādi krimināltiesību aizsardzības iestāžu pilnvaras vākt saziņas datus, pamatojoties uz CPPA (gan saziņas, gan saziņas apstiprinājuma datu saturu), ir paredzētas ar skaidriem un precīziem noteikumiem un uz tām attiecas vairākas garantijas. Šīs garantijas jo īpaši nodrošina minēto pasākumu izpildes pārraudzību gan ex ante (ar iepriekšēju tiesas apstiprinājumu), gan ex post (ar uzskaites un ziņošanas prasībām) un atvieglo personu piekļuvi efektīviem tiesiskās aizsardzības līdzekļiem (nodrošinot, ka personas ir informētas par to datu vākšanu).

(163)

Papildus 153.–162. apsvērumā aprakstītajiem obligātajiem pasākumiem Korejas tiesībaizsardzības iestādes var pieprasīt telesakaru pakalpojumu sniedzējiem brīvprātīgi vākt “saziņas datus”, lai atbalstītu krimināllietu iztiesāšanu tiesā, izmeklēšanu vai soda izpildi (TBA 83. panta 3. punkts). Šāda iespēja pastāv tikai attiecībā uz ierobežotām datu kopām, t. i., lietotāju vārdu, uzvārdu, iedzīvotāju reģistrācijas numuru, adresi un tālruņa numuru, datumiem, kuros lietotāji sāk vai beidz lietot abonementu, kā arī lietotāja identifikācijas kodiem (t. i., kodiem, ko izmanto, lai identificētu datorsistēmu vai sakaru tīklu likumīgo lietotāju) (243). Tā kā par “lietotājiem” uzskata tikai tās personas, kas tieši slēdz līgumus par pakalpojumiem ar Korejas telesakaru pakalpojumu sniedzēju (244), ES personas, kuru datus nosūta uz Korejas Republiku, parasti neietilpst šajā kategorijā (245).

(164)

Šādai brīvprātīgai izpaušanai piemēro dažādus ierobežojumus gan attiecībā uz tiesībaizsardzības iestādes pilnvaru īstenošanu, gan attiecībā uz telesakaru operatora atbildi. Ir noteikta vispārīga prasība, ka tiesībaizsardzības iestādēm jārīkojas saskaņā ar konstitucionālajiem nepieciešamības un samērīguma principiem (Konstitūcijas 12. panta 1. punkts un 37. panta 2. punkts), tostarp arī tad, kad tās pieprasa brīvprātīgi sniegt informāciju. Turklāt tām ir jāizpilda PIPA prasības, jo īpaši, ka personas dati jāvāc minimālā apmērā, proti, tikai tādā apmērā, kāds ir nepieciešamas, lai sasniegtu leģitīmo nolūku, un tādā veidā, lai pēc iespējas samazinātu ietekmi uz personu privātumu (kā noteikts PIPA 3. panta 1. un 6. punktā). Konkrētāk, saskaņā ar TBA sagatavotie saziņas datu iegūšanas pieprasījumi ir jāiesniedz rakstiski un tajos jānorāda pieprasījuma iemesli, saistība ar attiecīgo lietotāju un pieprasīto datu apjoms (246).

(165)

Telesakaru pakalpojumu sniedzējiem nav obligāti jāizpilda šādi pieprasījumi, un tie var tos izpildīt tikai saskaņā ar PIPA. Tas jo īpaši nozīmē, ka tiem ir jālīdzsvaro dažādās attiecīgās intereses un tie var nesniegt datus, ja, to darot, iespējams, negodīgi tiktu aizskartas personas vai trešās personas intereses (247). Tā tas būtu, piemēram, gadījumā, ja būtu skaidrs, ka pieprasījuma iesniedzēja iestāde ir ļaunprātīgi izmantojusi savas pilnvaras (248). Telesakaru operatoriem jāveic izpaustās informācijas uzskaite saskaņā ar TBA un divas reizes gadā jāziņo par to zinātnes un IKT ministram (249).

(166)

Turklāt saskaņā ar Paziņojuma Nr. 2021-5 (I pielikums) 3. iedaļu telesakaru pakalpojumu sniedzējiem būtībā ir jāinformē attiecīgā persona, kad tie brīvprātīgi izpilda pieprasījumu (250). Tas savukārt ļaus personai izmantot savas tiesības un, ja tās dati ir izpausti nelikumīgi, saņemt tiesisko aizsardzību vai nu pret pārzini (piem., par datu izpaušanu, kas veikta, pārkāpjot PIPA, vai par tāda pieprasījuma izpildi, kurš ir bijis acīm redzami nesamērīgs), vai pret tiesībaizsardzības iestādi (piem., par rīcību, ar ko pārkāpj nepieciešamības un samērīguma ierobežojumus, vai par TBA procedūras noteikumu neievērošanu).

(167)

Uz Korejas krimināltiesību aizsardzības iestāžu savākto personas datu apstrādi attiecas visas PIPA prasības, tostarp attiecībā uz nolūka ierobežojumu (PIPA 3. panta 1.–2. punkts), izmantošanas likumīgumu un sniegšanu trešām personām (PIPA 15., 17. un 18. pants), starptautisku nodošanu (PIPA 17. un 18. pants kopā ar Paziņojuma Nr. 2021-5 2. iedaļu) (251), samērīgumu / datu minimizēšanu (PIPA 3. panta 1. un 6. punkts) un glabāšanas ierobežojumu (PIPA 21. pants) (252).

(168)

Attiecībā uz saziņas saturu, kas iegūts, īstenojot saziņu ierobežojošus pasākumus, CPPA ir skaidri ierobežota tā iespējamā izmantošana, attiecinot to tikai uz smagu noziegumu izmeklēšanu, kriminālvajāšanu vai novēršanu (253), šādu noziegumu disciplinārlietām, prasībām par kaitējuma atlīdzināšanu, ko tiesā cēlusi saziņā iesaistītā persona, vai ja to īpaši atļauj citi tiesību akti (254). Turklāt saturu, kas savākts no internetā pārraidītajiem telesakariem, var saglabāt tikai ar tās tiesas apstiprinājumu, kura ir atļāvusi saziņu ierobežojošus pasākumus (255), lai to izmantotu smagu noziegumu izmeklēšanai, kriminālvajāšanai vai novēršanai (256). Vispārīgākā nozīmē CPPA ir aizliegts izpaust konfidenciālu informāciju, kas iegūta no saziņu ierobežojošiem pasākumiem, un izmantot šādu informāciju to personu reputācijas graušanai, uz kurām attiecas pasākumi (257).

(169)

Korejā krimināltiesību aizsardzības iestāžu darbību pārrauga dažādas struktūras (258).

(170)

Pirmkārt, policijas iekšējo pārraudzību veic ģenerālinspektors (259), kas veic likumības pārbaudi, cita starpā attiecībā uz iespējamiem cilvēktiesību pārkāpumiem. Ģenerālinspektora amats tika izveidots, lai īstenotu Likumu par publiskā sektora revīzijām, kurā izteikts aicinājums izveidot pašrevīzijas struktūras un noteiktas īpašas prasības attiecībā uz to sastāvu un uzdevumiem. Konkrētāk, likumā ir noteikts, ka uz diviem līdz pieciem gadiem ir jāieceļ tāds pašrevīzijas struktūras vadītājs, kas nav strādājis šajā iestādē (piem., bijušie tiesneši, profesori) (260), ka to var atlaist tikai pamatotu iemeslu dēļ (piem., ja viņš nevar pildīt pienākumus veselības stāvokļa dēļ vai ja attiecībā uz viņu ir ierosināta disciplinārlieta) (261) un ka pēc iespējas lielākā mērā jānodrošina viņa neatkarība (262). Par pašrevīzijas kavēšanu piemēro administratīvus naudas sodus (263). Revīzijas ziņojumi (kas var ietvert ieteikumus, pieprasījumus ierosināt disciplinārlietu un kompensācijas vai korekcijas pieprasījumus) tiek paziņoti attiecīgās publiskās iestādes vadītājam, Revīzijas un inspekcijas padomei (“BAI”) (264) un parasti tiek publiskoti (265). Ziņojuma izpildes rezultāti arī ir jāpaziņo BAI (266) (sk. 173. apsvērumu par BAI pārraudzības uzdevumu un pilnvarām).

(171)

Otrkārt, PIPC pārrauga, vai krimināltiesību aizsardzības iestāžu veiktā datu apstrāde atbilst PIPA un citiem tiesību aktiem, kas aizsargā personu privātumu, tostarp tiesību aktiem, kas reglamentē (elektronisko) pierādījumu vākšanu krimināltiesību aizsardzības nolūkos, kā aprakstīts 3.2.1. iedaļā (267). Jo īpaši, tā kā PIPC veiktā pārraudzība attiecas uz datu vākšanas un apstrādes likumīgumu un godprātību (PIPA 3. panta 1. punkts), kas netiktu ievērota, ja personas datiem piekļūst un tos izmanto, pārkāpjot minētos tiesību aktus (268), PIPC var arī izmeklēt un pieprasīt ievērot 3.2.1. iedaļā aprakstītos ierobežojumus un garantijas (269). Pildot šo pārraudzības uzdevumu, PIPC var izmantot visas savas izmeklēšanas un korektīvās pilnvaras, kas sīki aprakstītas 2.4.2. iedaļā. Jau pirms nesen īstenotās PIPA reformas (t. i., tās iepriekšējā publiskā sektora uzraudzības uzdevumā) PIPC veica vairākas pārraudzības darbības attiecībā uz personas datu apstrādi, ko veica krimināltiesību aizsardzības iestādes, piem., saistībā ar aizdomās turēto nopratināšanu (2013. gada 26. augusta spriedums lietā Nr. 2013-16), attiecībā uz paziņojumu sniegšanu personām par administratīvo naudas sodu uzlikšanu (2015. gada 26. janvāra spriedums lietā Nr. 2015-02-04), datu kopīgošanu ar citām iestādēm (2018. gada 9. jūlija spriedums lietā Nr. 2018-15-146, 2018. gada 10. decembra spriedums lietā Nr. 2018-25-308; 2019. gada 29. janvāra spriedums lietā Nr. 2019-02-015), pirkstu nospiedumu vai fotogrāfiju vākšanu (2019. gada 9. septembra spriedums lietā Nr. 2019-17-273), dronu izmantošanu (2020. gada 13. janvāra spriedums lietā Nr. 2020-01-004). Šajās lietās PIPC izmeklēja, vai tiek ievēroti vairāki PIPA noteikumi (piem., apstrādes likumīgums, nolūka ierobežojuma un datu minimizēšanas principi), kā arī citu tiesību aktu, piem., Kriminālprocesa likuma, attiecīgie noteikumi un vajadzības gadījumā sniedza ieteikumus, lai nodrošinātu, ka apstrāde atbilst datu aizsardzības prasībām.

(172)

Treškārt, neatkarīgu pārraudzību nodrošina Valsts cilvēktiesību komisija (“NHRC”) (270), kas var izmeklēt tiesību uz privātumu un tiesību uz korespondences privātumu pārkāpumus savu vispārējo pilnvaru ietvaros, lai aizsargātu Konstitūcijas 10.–22. pantā noteiktās pamattiesības. NHRC sastāvā ir 11 komisāri, kuriem ir jāatbilst īpašai kvalifikācijai (271) un kurus ieceļ prezidents saskaņā ar likumā noteikto kārtību. Konkrētāk, četrus komisārus ieceļ pēc tam, kad tos izvirzījusi Nacionālā asambleja, četrus – pēc tam, kad tos izvirzījis prezidents, un trīs – pēc tam, kad tos izvirzījis Augstākās tiesas priekšsēdētājs (272). Prezidents no komisāru vidus ieceļ priekšsēdētāju, kas jāapstiprina Nacionālajai asamblejai (273). Komisārus (tajā skaitā priekšsēdētāju) ieceļ uz atjaunojamu trīs gadu termiņu, un viņus var atlaist tikai tad, ja viņiem ir piespriests cietumsods vai viņi vairs nespēj pildīt savus pienākumus ilgstošas fiziskas vai garīgas nespējas dēļ (šajā gadījumā divām trešdaļām komisāru ir jāpiekrīt atlaišanai) (274). Izmeklēšanas ietvaros NHRC var pieprasīt attiecīgo materiālu iesniegšanu, veikt pārbaudes un uzaicināt personas sniegt liecības (275). Korektīvo pilnvaru ietvaros NHRC var izdot (publiski) ieteikumus konkrētas politikas un prakses uzlabošanai vai koriģēšanai, uz kuriem publiskām iestādēm ir jāatbild ar ierosinātu īstenošanas plānu (276). Ja attiecīgā iestāde neīsteno ieteikumus, tai par to jāinformē komisija (277), kura savukārt var informēt Nacionālo asambleju par šo neizpildi un/vai publiskot to. Saskaņā ar Korejas valdības oficiālo apliecinājumu (II pielikuma 2.3.5. iedaļa) Korejas iestādes parasti ievēro NHRC ieteikumus un tām ir spēcīgs stimuls to darīt, jo to veiktā īstenošana tiek novērtēta vispārējā, pastāvīgā novērtējumā, kas tiek veikts premjerministra biroja vadībā. Gada dati par NHRC darbību liecina, ka tā aktīvi pārrauga krimināltiesību aizsardzības iestāžu darbību, pamatojoties uz atsevišķiem lūgumrakstiem vai arī veicot ex officio izmeklēšanas (278).

(173)

Ceturtkārt, publisko iestāžu darbību likumības vispārēju pārraudzību veic BAI, kas pārbauda valsts ieņēmumus un izdevumus, kā arī vispārīgākā nozīmē pārrauga publisko iestāžu pienākumu izpildi ar mērķi uzlabot valsts pārvaldes darbību (279). BAI ir oficiāli izveidota Korejas Republikas prezidenta pakļautībā, bet tā saglabā neatkarīgu statusu attiecībā uz saviem pienākumiem (280). Turklāt tai ir piešķirta pilnīga neatkarība attiecībā uz tās darbinieku iecelšanu, atlaišanu un organizēšanu, kā arī sava budžeta veidošanu (281). BAI sastāvā ir priekšsēdētājs (kuru ieceļ prezidents ar Nacionālās asamblejas piekrišanu) (282) un seši komisāri (kurus ieceļ prezidents pēc priekšsēdētāja ieteikuma) (283), kuriem jāatbilst īpašām likumā noteiktām kvalifikācijām (284) un kurus var atlaist tikai tad, ja ir impīčmenta gadījums, viņiem ir piespriests cietumsods vai viņi vairs nespēj pildīt savus pienākumus ilgstošas fiziskas vai garīgas nespējas dēļ (285). BAI katru gadu veic vispārēju revīziju, bet tā var veikt arī īpašas revīzijas par īpašiem jautājumiem. Veicot revīziju vai pārbaudi, BAI var pieprasīt iesniegt dokumentus un pieprasīt personu piedalīšanos (286). BAI var sniegt ieteikumus, pieprasīt ierosināt disciplinārlietas vai iesniegt kriminālsūdzību (287).

(174)

Visbeidzot, Nacionālā asambleja veic publisko iestāžu parlamentāro pārraudzību, veicot izmeklēšanu un pārbaudes (288) attiecībā uz to darbībām (289). Tā var pieprasīt atklāt dokumentus, likt ierasties lieciniekiem (290), ieteikt korektīvus pasākumus (ja tā secina, ka ir veiktas nelikumīgas vai neatbilstošas darbības) (291) un publiskot savu konstatējumu rezultātus (292). Ja Nacionālā asambleja pieprasa veikt korektīvus pasākumus, kas var ietvert, piemēram, kompensācijas piešķiršanu, disciplinārlietas ierosināšanu vai iekšējo procedūru uzlabošanu, attiecīgajai publiskajai iestādei ir nekavējoties jārīkojas un jāziņo par rezultātiem Nacionālajai asamblejai (293).

(175)

Korejas sistēma piedāvā dažādus (juridiskus) tiesiskās aizsardzības līdzekļus, tostarp kompensāciju par kaitējumu.

(176)

Pirmkārt, PIPA nodrošina personām piekļuves tiesības, tiesības pieprasīt datu labošanu, dzēšanu un izmantošanas apturēšanu attiecībā uz personas datiem, kas apstrādāti krimināltiesību aizsardzības nolūkos (294).

(177)

Otrkārt, personas var izmantot dažādus tiesiskās aizsardzības mehānismus, kuri norādīti PIPA, ja krimināltiesību aizsardzības iestāde to datus apstrādājusi, pārkāpjot PIPA vai citos tiesību aktos (t. i., CPA vai CPPA, sk. 171. apsvērumu) noteiktos ierobežojumus un garantijas, kas attiecas uz personas datu vākšanu. Konkrētāk, personas var iesniegt sūdzību PIPC (tostarp izmantojot Privātuma jautājumu zvanu centru, ko pārvalda Korejas Interneta un drošības aģentūra (295)) vai Personas informācijas strīdu starpniecības komitejā (296). Uz šīm tiesību aizsardzības iespējām neattiecas turpmākas pieņemamības prasības. Pamatojoties uz Administratīvo lietu iztiesāšanas likumu, personas var tālāk pārsūdzēt/apstrīdēt PIPC lēmumus vai bezdarbību (sk. 132. apsvērumu).

(178)

Treškārt, jebkura persona (297) var iesniegt sūdzību NHRC par to, ka Korejas krimināltiesību aizsardzības iestāde ir pārkāpusi tiesības uz privātumu un datu aizsardzību. NHRC var ieteikt labot vai uzlabot visus attiecīgos statūtus, iestādes, politiku vai praksi (298), vai īstenot tiesisko aizsardzību, piemēram, starpniecību (299), cilvēktiesību pārkāpuma izbeigšanu, kaitējuma atlīdzināšanu un pasākumus, ar ko novērš to pašu vai līdzīgu pārkāpumu atkārtošanu (300). Saskaņā ar Korejas valdības oficiālo apliecinājumu (II pielikuma 2.4.2. iedaļa) tas var ietvert arī nelikumīgi savākto personas datu dzēšanu. Lai gan NHRC nav pilnvaru izdot saistošus lēmumus, tā piedāvā neoficiālāku, lētāku un viegli pieejamu tiesiskās aizsardzības līdzekli, jo īpaši tāpēc, ka atbilstoši II pielikuma 2.4.2. iedaļas skaidrojumam tā neprasa faktiski pierādīt kaitējumu kā priekšnosacījumu sūdzības izmeklēšanai (301). Tas nodrošina, ka personu sūdzības par to datu vākšanu var izmeklēt pat tad, ja persona nevar parādīt, ka tās dati faktiski tika vākti (piemēram, ja personai par to vēl nav paziņots). NHRC gada darbības ziņojumi liecina, ka personas praksē arī izmanto šo līdzekli, lai apstrīdētu krimināltiesību aizsardzības iestāžu darbības, tostarp attiecībā uz personas datu apstrādi (302). Ja kāda persona nav apmierināta ar NHRC īstenotās procedūras iznākumu, tā var apstrīdēt NHRC lēmumus (piem., lēmumu neturpināt sūdzības izmeklēšanu (303)) un ieteikumus Korejas tiesās saskaņā ar Administratīvo lietu iztiesāšanas likumu (sk. 181. apsvērumu) (304). Turklāt procedūras īstenošana NHRC var vēl vairāk atvieglot piekļuvi tiesām, jo persona, pamatojoties uz NHRC konstatējumiem, var saskaņā ar 181.–183. apsvērumā aprakstītajām procedūrām meklēt papildu tiesisko aizsardzību pret publisko iestādi, kas nelikumīgi apstrādājusi tās datus.

(179)

Visbeidzot, ir pieejami dažādi tiesiskās aizsardzības līdzekļi, kas sniedz personām iespēju izmantot 3.2.1. iedaļā aprakstītos ierobežojumus un garantijas, lai iegūtu tiesisko aizsardzību (305).

(180)

Attiecībā uz konfiskāciju (ieskaitot datu) CPA ir paredzēta iespēja iebilst pret ordera izpildi vai apstrīdēt to ar “kvazisūdzību”, iesniedzot lūgumrakstu kompetentajā tiesā ar prasību atcelt vai grozīt prokurora vai policijas ierēdņa rīkojumu (306).

(181)

Vispārīgākā nozīmē personas var apstrīdēt publisko iestāžu (tostarp krimināltiesību aizsardzības iestāžu) darbību (307) vai bezdarbību (308) saskaņā ar Administratīvo lietu iztiesāšanas likumu (309). Administratīva darbība tiek uzskatīta par “apstrīdamu rīcību”, ja tā tieši ietekmē civiltiesības un pienākumus (310), kā tas ir personas datu vākšanas pasākumu gadījumā (kā apstiprinājusi Korejas valdība (II pielikuma 2.4.3. iedaļa)), neskatoties uz to, vai tā ir tieša (piem., pārtverot paziņojumus) vai kā saistoši informācijas izpaušanas pieprasījumi (piem., pakalpojumu sniedzējam), vai lūgumi brīvprātīgi sadarboties. Lai sūdzība saskaņā ar Administratīvo lietu iztiesāšanas likumu būtu pieņemama, personai ir jābūt tiesiskai interesei celt prasību (311). Saskaņā ar Augstākās tiesas judikatūru jēdziens “tiesiska interese” tiek interpretēts kā “juridiski aizsargāta interese”, t. i., tieša un īpaša interese, kas aizsargāta ar likumiem un noteikumiem, uz kuriem tiek balstīti administratīvie rīkojumi (proti, tās nav vispārējas, netiešas un abstraktas sabiedrības intereses) (312). Personām šāda tiesiska interese ir gadījumos, kuros tiek pārkāpti ierobežojumi un garantijas, kas attiecas uz to personas datu vākšanu krimināltiesību aizsardzības nolūkos (saskaņā ar īpašiem tiesību aktiem vai PIPA). Pamatojoties uz Administratīvo lietu iztiesāšanas likumu, tiesa var nolemt atcelt vai grozīt nelikumīgu rīkojumu, izdot konstatējumu par spēkā neesamību (t. i., konstatējumu, ka rīkojumam nav juridiska spēka, vai par tā neesību tiesību sistēmā) vai izdot konstatējumu, ka bezdarbība ir nelikumīga (313). Galīgais spriedums saskaņā ar Administratīvo lietu iztiesāšanas likumu ir saistošs pusēm (314).

(182)

Papildus valsts darbību apstrīdēšanai administratīvajā tiesas procesā personas var iesniegt arī konstitucionālu sūdzību Konstitucionālajā tiesā par to pamattiesību pārkāpumu, kas radies valsts varas īstenošanas vai neīstenošanas dēļ (izņemot tiesu spriedumus) (315). Ja ir pieejami citi tiesiskās aizsardzības līdzekļi, tie ir jāizmanto vispirms. Saskaņā ar Konstitucionālās tiesas judikatūru ārvalstnieki var iesniegt konstitucionālu sūdzību tiktāl, ciktāl viņu pamattiesības tiek atzītas saskaņā ar Korejas Konstitūciju (sk. skaidrojumus 1.1. iedaļā) (316). Konstitucionālā tiesa var atzīt par spēkā neesošu tādas valsts varas īstenošanu, kas izraisījusi pārkāpumu, vai apstiprināt, ka noteikta bezdarbība ir pretrunā Konstitūcijai (317). Šajā gadījumā attiecīgajai iestādei ir jāveic pasākumi, lai izpildītu tiesas nolēmumu.

(183)

Turklāt Korejas tiesās personas var iegūt kompensāciju par kaitējumu. Pirmkārt, saskaņā ar 39. pantu (sk. arī 135. apsvērumu) tas ietver iespēju pieprasīt kompensāciju par PIPA pārkāpumiem, ko izdarījušas krimināltiesību aizsardzības iestādes. Vispārīgākā nozīmē personas, pamatojoties uz Valsts kompensāciju likumu, var pieprasīt kompensāciju par tādu kaitējumu, ko nodarījušas valsts amatpersonas, pārkāpjot likumu savu oficiālo pienākumu izpildē (sk. arī 135. apsvērumu) (318).

(184)

Mehānismi, kas aprakstīti 176.–183. apsvērumā sniedz datu subjektiem efektīvus administratīvos un tiesiskos aizsardzības līdzekļus, kas jo īpaši ļauj viņiem īstenot savas tiesības, tostarp tiesības piekļūt saviem personas datiem vai panākt šādu datu labošanu vai dzēšanu.

(185)

Korejas Republikas tiesību aktos ir noteikti vairāki ierobežojumi un garantijas attiecībā uz piekļuvi personas datiem un to izmantošanu valsts drošības nolūkos, kā arī ir paredzēti pārraudzības un tiesiskās aizsardzības mehānismi, kas atbilst šā lēmuma 141.–143. apsvērumā minētajām prasībām. Nosacījumi, saskaņā ar kuriem var notikt šāda piekļuve, un garantijas, kas piemērojamas šo pilnvaru izmantošanai, ir sīki novērtēti turpmākajās iedaļās.

(186)

Korejas Republikā personas datiem valsts drošības nolūkos var piekļūt, pamatojoties uz CPPA, TBA un Likumu par terorisma apkarošanu iedzīvotāju un sabiedriskās drošības aizsardzības nolūkā (“Terorisma apkarošanas likums”) (319). Galvenā iestāde (320), kura ir kompetenta valsts drošības jomā, ir Valsts izlūkdienests (“NIS”) (321). NIS veiktajai personas datu vākšanai un izmantošanai jāatbilst attiecīgajām juridiskajām prasībām (tostarp PIPA un CPPA) (322) un vispārīgajām pamatnostādnēm, ko sagatavojis prezidents un pārskatījusi Nacionālā asambleja (323). Vispārējs princips paredz, ka NIS ir jāsaglabā politiskā neitralitāte un jāaizsargā personu brīvība un tiesības (324). Turklāt NIS darbinieki nedrīkst ne ļaunprātīgi izmantot savas oficiālās pilnvaras, lai piespiestu kādu iestādi, organizāciju vai personu darīt to, ko viņiem nav pienākuma darīt (saskaņā ar likumu), ne arī traucēt kādai personai īstenot savas tiesības (325).

(187)

Pamatojoties uz CPPA, Korejas publiskās iestādes (326) var vākt saziņas apstiprinājuma datus (t. i., telesakaru datumu, to sākuma un beigu laiku, veikto un saņemto zvanu skaitu, kā arī otras puses abonenta numuru, izmantošanas biežumu, žurnāldatnes par telesakaru pakalpojumu izmantošanu un atrašanās vietas informāciju, sk. 155. apsvērumu) un saziņas saturu (izmantojot saziņu ierobežojošus pasākumus, sk. 155. apsvērumu) valsts drošības nolūkos (kā noteikts NIS pilnvarās, sk. iepriekš 322. zemsvītras piezīmi). Šīs pilnvaras attiecas uz šādu divu veidu informāciju: 1) saziņu, kurā viena vai abas puses ir Korejas valstspiederīgās (327), un 2) saziņu, ko veic a) valstis, kas ir naidīgi noskaņotas pret Korejas Republiku, b) ārvalstu aģentūras, grupas vai valstspiederīgie, par kuriem pastāv aizdomas, ka tie ir iesaistīti darbībās, kuras vērstas pret Koreju (328), vai c) tādu grupu dalībnieki, kas darbojas Korejas pussalā, bet faktiski ārpus Korejas Republikas suverenitātes, un to jumta grupas, kuras atrodas ārvalstīs (329). Tādējādi ES personu saziņa, kas nosūtīta no Savienības uz Korejas Republiku, pamatojoties uz šo lēmumu, var tikt vākta saskaņā ar CPPA valsts drošības nolūkos (ievērojot 188.–192. apsvērumā norādītos nosacījumus), ja tā ir starp ES personu un Korejas valstspiederīgo vai ja tā ir saistīta tikai ar saziņu starp personām, kuras nav Korejas valstspiederīgās un ietilpst vienā no trim minētajām kategorijām – 2. punkta a), b) un c) apakšpunktā minētajā kategorijā.

(188)

Abos scenārijos saziņas apstiprinājuma datu vākšana var tikt veikta tikai nolūkā novērst draudus valsts drošībai (330), bet saziņu ierobežojošus pasākumus var veikt tikai tad, ja pastāv nopietns risks valsts drošībai un vākšana ir nepieciešama, lai to novērstu (331). Turklāt piekļūšanu saziņas saturam var izmantot tikai kā galēju pasākumu un ir jācenšas līdz minimumam samazināt saziņas privātuma pārkāpumu (332), tādējādi nodrošinot, ka tas ir samērīgs ar noteikto valsts drošības mērķi. Gan saziņas satura, gan saziņas apstiprinājuma datu vākšana drīkst ilgt tikai četrus mēnešus, un tā nekavējoties jāpārtrauc, ja noteiktais mērķis ir sasniegts ātrāk (333). Ja joprojām pastāv atbilstība attiecīgajiem nosacījumiem, laikposmu var pagarināt ar iepriekšēju tiesas atļauju (attiecībā uz 189. apsvērumā minētajiem pasākumiem) vai priekšsēdētāja atļauju (attiecībā uz 190. apsvērumā minētajiem pasākumiem) (334) uz laiku līdz četriem mēnešiem.

(189)

Tādas pašas procesuālās garantijas attiecas uz saziņas apstiprinājuma datu vākšanu un saziņas saturu (335). Jo īpaši, ja vismaz viena no saziņā iesaistītajām personām ir Korejas valstspiederīgā, izlūkošanas aģentūrai ir jāiesniedz rakstisks pieprasījums Augstākajai prokuratūrai, kurai savukārt ir jāpieprasa Augstās tiesas vecākā priekšsēdētāja orderis (336). CPPA ir uzskaitīta informācija, kura jāiekļauj prokuroram iesniedzamajā pieprasījumā, ordera pieprasījuma pieteikumā un pašā orderī un kura jo īpaši ietver pieprasījuma pamatojumu un galvenos iemeslus aizdomām, apliecinošos materiālus, kā arī informāciju par ierosinātā pasākuma mērķi, mērķobjektu (t. i., mērķpersonu(-ām)), darbības jomu un ilgumu (337). Vākšanu bez ordera var veikt tikai tad, ja ir sazvērestības akts, kas apdraud valsts drošību, vai pastāv ārkārtas situācija, kuras dēļ nav iespējams veikt iepriekš minētās procedūras (338). Tomēr arī šādā gadījumā ordera pieprasījuma pieteikums ir jāiesniedz uzreiz pēc pasākuma veikšanas (339). Tādēļ CPPA ir skaidri noteikts apjoms un nosacījumi šādu veidu vākšanai un tai piemēro īpašas (procesuālās) garantijas (tostarp iepriekšēju tiesas apstiprinājumu), kuras nodrošina, ka šādu pasākumu izmantošana ir ierobežota līdz tam, kas ir nepieciešams un samērīgs. Turklāt prasība sniegt detalizētu informāciju gan ordera pieprasījuma pieteikumā, gan pašā orderī izslēdz neselektīvas piekļuves iespēju.

(190)

Attiecībā uz saziņu starp personām, kuras nav Korejas valstspiederīgās un kuras ietilpst kādā no trim īpašajām kategorijām, kas uzskaitītas 187. apsvērumā, pieteikums jāiesniedz NIS direktoram, kuram pēc ierosināto pasākumu atbilstības pārbaudes jāpieprasa iepriekšējs rakstisks apstiprinājums no Korejas Republikas prezidenta (340). Izlūkošanas aģentūras sagatavotajā pieteikumā jāiekļauj tā pati detalizētā informācija, kas tiesas ordera pieprasījuma pieteikumā (sk. 189. apsvērumu), jo īpaši pieprasījuma pamatojums un galvenie iemesli aizdomām, apliecinošie materiāli un informācija par ierosināto pasākumu mērķiem, mērķpersonu(-ām), darbības jomu un ilgumu (341). Lai gan ārkārtas situācijās (342) izlūkošanas aģentūrai ir jāiesniedz pieteikums prezidenta apstiprinājumam tūlīt pēc ārkārtas pasākumu veikšanas (343), tai vispirms ir jāsaņem iepriekšējs apstiprinājums no ministra, kura pārziņā ir attiecīgā izlūkošanas aģentūra. Arī attiecībā uz tādas saziņas vākšanu, kas notiek tikai starp personām, kuras nav Korejas valstspiederīgās, CPPA ir ierobežota šādu pasākumu izmantošana līdz tam, kas ir nepieciešams un samērīgs, skaidri nosakot ierobežotās personu kategorijas, uz kurām var attiecināt šādus pasākumus, un norādot sīki izstrādātus kritērijus, attiecībā uz kuriem izlūkošanas aģentūrām ir jāpierāda atbilstība, kad tās sagatavo pamatojumu informācijas vākšanas pieteikumam. Turklāt tas atkal izslēdz neselektīvas piekļuves iespēju. Kamēr nav iepriekšēja neatkarīga šādu pasākumu apstiprinājuma, neatkarīgu pārraudzību nodrošina ex post, jo īpaši PIPC un NHRC (sk., piem., 199.–200. apsvērumu).

(191)

Turklāt CPPA ir paredzētas vairākas papildu garantijas, kas veicina ex post pārraudzību un atvieglo personu piekļuvi efektīviem tiesiskās aizsardzības līdzekļiem. Pirmkārt, attiecībā uz jebkāda veida vākšanu valsts drošības nolūkos CPPA ir paredzētas atšķirīgas uzskaites un ziņošanas prasības. Jo īpaši, pieprasot privātiem operatoriem sadarbību, izlūkošanas aģentūrām ir jāsniedz tiesas orderis / prezidenta atļauja vai ārkārtas cenzūras paziņojuma vāka kopija, kas šai vienībai, kurai pieprasīta piespiedu sadarbība, ir jāglabā savos dokumentos (344). Ja privātie operatori tiek piespiesti sadarboties, gan publiskai iestādei, kas iesniedz pieprasījumu, gan attiecīgajam operatoram jāveic uzskaite, reģistrējot pasākumu mērķi un mērķobjektu, kā arī veikšanas datumu (345). Turklāt izlūkošanas aģentūrām ir jāziņo NIS direktoram par savākto informāciju un novērošanas darbības rezultātiem (346).

(192)

Otrkārt, personas ir jāinformē par to, ka to dati (saziņas apstiprinājuma dati vai saziņas saturs) tiek vākts valsts drošības nolūkos, ja tas attiecas uz saziņu, kurā vismaz viena no pusēm ir Korejas valstspiederīgā (347). Šis paziņojums jāiesniedz rakstiski 30 dienu laikā no datu vākšanas beigām (tostarp, ja dati tika iegūti saskaņā ar ārkārtas procedūru), un to var atlikt tikai tad, ja un tik ilgi, kamēr tas varētu apdraudēt valsts drošību vai nodarīt kaitējumu cilvēku dzīvībai un fiziskajai drošībai (348). Neatkarīgi no šāda paziņojuma personas var saņemt tiesisko aizsardzību, izmantojot dažādus līdzekļus, kā sīkāk izklāstīts 3.3.4. iedaļā.

(193)

Terorisma apkarošanas likumā ir paredzēts, ka NIS var vākt datus par personām, kas tiek turētas aizdomās par terorismu (349), saskaņā ar ierobežojumiem un garantijām, kuras noteiktas citos tiesību aktos (350). Konkrētāk, NIS var iegūt saziņas datus (pamatojoties uz CPPA) un citu personas informāciju (iesniedzot brīvprātīgas izpaušanas pieprasījumu) (351). Saziņas informācijas (t. i., saziņas satura vai saziņas apstiprinājuma datu) vākšanai piemēro 3.3.1.1. iedaļā aprakstītos ierobežojumus un garantijas, tostarp prasību par tiesas apstiprināta ordera saņemšanu. Attiecībā uz pieprasījumiem brīvprātīgi izpaust par terorismu aizdomās turamo citu veidu personas datus, NIS ir jāievēro Konstitūcijā un PIPA noteiktās prasības par nepieciešamību un samērīgumu (sk. 164. apsvērumu) (352). Pārziņi, kas saņem šādus pieprasījumus, var tos izpildīt brīvprātīgi saskaņā ar PIPA noteiktajiem nosacījumiem (piem., saskaņā ar datu minimizēšanas principu un ietekmes uz personas privātumu samazināšanu) (353). Šādā gadījumā tām ir arī jāievēro prasība informēt attiecīgo personu saskaņā ar Paziņojumu Nr. 2021-5 (sk. 166. apsvērumu).

(194)

Pamatojoties uz TBA, telesakaru pakalpojumu sniedzēji var brīvprātīgi izpaust abonenta datus (sk. 163. apsvērumu), ja to pieprasa izlūkošanas aģentūra, kas plāno vākt šādu informāciju nolūkā novērst draudus valsts drošībai (354). Attiecībā uz šādiem NIS pieprasījumiem piemēro tādus pašus ierobežojumus (saskaņā ar Konstitūciju, PIPA un TBA) kā krimināltiesību aizsardzības jomā, kā norādīts 164. apsvērumā (355). Telesakaru pakalpojumu sniedzējiem nav obligāti jāizpilda šie pieprasījumi, un tie var izpildīt tos tikai saskaņā ar PIPA norādītajiem nosacījumiem (piem., saskaņā ar datu minimizēšanas principu un ietekmes uz personas privātumu samazināšanu, sk. arī 193. apsvērumu). Attiecībā uz uzskaiti un attiecīgās personas informēšanu attiecas tādas pašas prasības kā krimināltiesību aizsardzības jomā (sk. 165. un 166. apsvērumu).

(195)

Tādu personas datu apstrādei, ko Korejas iestādes vāc valsts drošības nolūkos, piemēro nolūka ierobežojuma principu (PIPA 3. panta 1. un 2. punkts), apstrādes likumīguma un godprātības principu (PIPA 3. panta 1. punkts), samērīguma / datu minimizēšanas principu (PIPA 3. panta 1. un 6. punkts un 58. pants), precizitātes principu (PIPA 3. panta 3. punkts), pārredzamības principu (PIPA 3. panta 5. punkts), drošības principu (PIPA 58. panta 4. punkts) un glabāšanas ierobežojuma principu (PIPA 58. panta 4. punkts) (356). Iespējamā personas datu izpaušana trešajām personām (ieskaitot trešās valstis) var notikt tikai saskaņā ar šiem principiem (jo īpaši nolūka ierobežojuma un datu minimizēšanas principiem) pēc tam, kad ir novērtēta atbilstība nepieciešamības un samērīguma principiem (Konstitūcijas 37. panta 2. punkts), un ņemot vērā ietekmi uz attiecīgo personu tiesībām (PIPA 3. panta 6. punkts).

(196)

Attiecībā uz saziņas saturu un saziņas apstiprinājuma datiem CPPA ir vēl vairāk ierobežota šādu datu izmantošana līdz tiesvedībai tiesā, ja ar saziņu saistītā persona paļaujas uz tiem prasībā par kaitējuma atlīdzināšanu vai izmantošana ir atļauta saskaņā ar citiem tiesību aktiem (357).

(197)

Korejas valsts drošības iestāžu darbību uzrauga dažādas struktūras (358).

(198)

Pirmkārt, Terorisma apkarošanas likumā ir paredzēti īpaši pārraudzības mehānismi terorisma apkarošanas darbībām, tostarp tādu personas datu vākšanai, kas tiek turētas aizdomās par terorismu. Konkrētāk, izpildvaras līmenī terorisma apkarošanas darbības pārrauga Terorisma apkarošanas komisija (359), kurai NIS direktors ziņo par izmeklēšanu un terorismā aizdomās turamo personu izsekošanu, kas veikta, lai vāktu terorisma apkarošanas darbībām nepieciešamo informāciju vai materiālus (360). Turklāt cilvēktiesību aizsardzības uzraugs (“HRPO”) īpaši pārrauga terorisma apkarošanas darbību atbilstību pamattiesībām (361). Terorisma apkarošanas komisijas priekšsēdētājs ieceļ HRPO no personām, kas atbilst īpašām kvalifikācijām, kuras uzskaitītas Terorisma apkarošanas likuma Izpildes dekrētā (362), uz (atjaunojamu) divu gadu termiņu, un to var atbrīvot no amata tikai īpašu, ierobežotu un nopietnu iemeslu dēļ (363). Pildot savu pārraudzības uzdevumu, HRPO var sniegt vispārīgus ieteikumus cilvēktiesību aizsardzības uzlabošanai (364) un konkrētus ieteikumus korektīviem pasākumiem, ja ir konstatēts cilvēktiesību pārkāpums (365). Publiskajām iestādēm jāinformē HRPO par turpmākiem pasākumiem, kas veikti saskaņā ar tā ieteikumiem (366).

(199)

Otrkārt, PIPC pārrauga valsts drošības iestāžu atbilstību datu aizsardzības noteikumiem, kas ietver gan piemērojamos PIPA noteikumus (sk. 149. apsvērumu), gan ierobežojumus un garantijas, ko piemēro personas datu vākšanai saskaņā ar citiem tiesību aktiem (CPPA, Terorisma apkarošanas likumu un TBA, sk. arī 171. apsvērumu) (367). Pildot šo pārraudzības uzdevumu, PIPC var izmantot visas savas izmeklēšanas un korektīvās pilnvaras, kas sīki aprakstītas 2.4.2. iedaļā.

(200)

Treškārt, valsts drošības iestāžu darbība ir pakļauta NHRC neatkarīgai pārraudzībai saskaņā ar procedūrām, kas aprakstītas 172. apsvērumā (368).

(201)

Ceturtkārt, BAI pārraudzības uzdevums aptver arī valsts drošības iestādes, lai gan NIS izņēmuma gadījumos var atteikties sniegt noteiktu informāciju vai materiālus, t. i., ja tie ietver valsts noslēpumus un nodošana atklātībai nopietni ietekmētu valsts drošību (369).

(202)

Visbeidzot, NIS darbību parlamentāro pārraudzību veic Nacionālā asambleja (izmantojot specializētu Izlūkošanas komiteju) (370). CPPA nosaka īpašu pārraudzības uzdevumu Nacionālajai asamblejai attiecībā uz saziņu ierobežojošu pasākumu izmantošanu valsts drošības nolūkos (371). Konkrētāk, Nacionālā asambleja var veikt sarunu noklausīšanās iekārtu pārbaudes uz vietas un var pieprasīt gan NIS, gan telesakaru operatoriem, kas ir izpauduši saziņas saturu, ziņot par to. Nacionālā asambleja var veikt arī vispārējus pārraudzības uzdevumus (saskaņā ar 174. apsvērumā aprakstītajām procedūrām). NIS likumā ir noteikts, ka NIS direktoram nekavējoties jāsniedz atbilde, kad Izlūkošanas komiteja pieprasa ziņojumu par kādu konkrētu jautājumu (372), paredzot īpašus noteikumus attiecībā uz noteiktu īpaši sensitīvu informāciju. Konkrētāk, NIS direktors var atteikties sniegt atbildi vai sniegt liecību komitejai tikai ārkārtas apstākļos, t. i., ja pieprasījums ir saistīts ar valsts noslēpumiem militāro, diplomātisko vai Ziemeļkorejas jautājumu jomā un nodošana atklātībai varētu nopietni ietekmēt valsts “nacionālo likteni” (373). Šajā gadījumā Izlūkošanas komiteja var pieprasīt paskaidrojumu no premjerministra un, ja septiņu dienu laikā netiek sniegts paskaidrojums, atbildi vai liecību nedrīkst atteikt.

(203)

Arī valsts drošības jomā Korejas sistēma piedāvā dažādus (juridiskus) tiesiskās aizsardzības līdzekļus, tostarp kompensāciju par kaitējumu. Šie mehānismi sniedz datu subjektiem efektīvus administratīvos un tiesiskos aizsardzības līdzekļus, kas jo īpaši ļauj viņiem īstenot to tiesības, tostarp tiesības piekļūt saviem personas datiem vai panākt šādu datu labošanu vai dzēšanu.

(204)

Pirmkārt, saskaņā ar PIPA 3. panta 5. punktu un 4. panta 1., 3. un 4. punktu personas attiecībās ar valsts drošības iestādēm var izmantot savas piekļuves tiesības, tiesības pieprasīt datu labošanu, dzēšanu un izmantošanas apturēšanu. Paziņojuma Nr. 2021-5 (šā lēmuma I pielikums) 6. iedaļā ir sīkāk paskaidrots, kā šīs tiesības piemēro saistībā ar datu apstrādi valsts drošības nolūkos. Konkrētāk, valsts drošības iestāde var ierobežot vai liegt īstenot tiesības tikai tādā apmērā un tik ilgi, cik tas ir nepieciešams un samērīgi, lai aizsargātu svarīgu sabiedrības interešu mērķi (piem., tādā apmērā un tik ilgi, cik tiesību piešķiršana apdraudētu notiekošo izmeklēšanu vai valsts drošību), vai ja tiesību piešķiršana varētu radīt kaitējumu trešās personas dzīvībai vai veselībai. Tādējādi, izmantojot šādu ierobežojumu, personas tiesības un intereses jālīdzsvaro ar attiecīgajām sabiedrības interesēm, un šāds ierobežojums nekādā gadījumā nedrīkst ietekmēt tiesību būtību (Konstitūcijas 37. panta 2. punkts). Ja pieprasījums tiek noraidīts vai ierobežots, persona nekavējoties jāinformē par iemesliem.

(205)

Otrkārt, personām ir tiesības iegūt tiesisko aizsardzību saskaņā ar PIPA, ja valsts drošības iestāde viņu datus ir apstrādājusi, pārkāpjot PIPA vai ierobežojumus un garantijas, kas noteikti citos tiesību aktos, kuri reglamentē personas datu vākšanu (jo īpaši CPPA, sk. 171. apsvērumu) (374). Šīs tiesības var izmantot, iesniedzot sūdzību PIPC (tostarp izmantojot Privātuma jautājumu zvanu centru, ko pārvalda Korejas Interneta un drošības aģentūra) (375). Turklāt, lai atvieglotu piekļuvi tiesiskai aizsardzībai pret Korejas valsts drošības iestādēm, ES personas var iesniegt sūdzību PIPC caur savas valsts datu aizsardzības iestādi (376). Šajā gadījumā pēc izmeklēšanas pabeigšanas PIPC personu informēs caur valsts datu aizsardzības iestādi (attiecīgā gadījumā ietverot informāciju par noteiktajiem korektīvajiem pasākumiem). Pamatojoties uz Administratīvo lietu iztiesāšanas likumu, personas var tālāk pārsūdzēt/apstrīdēt PIPC lēmumus vai bezdarbību (sk. 132. apsvērumu).

(206)

Treškārt, personas var iesniegt sūdzību HRPO attiecībā uz viņu tiesību uz privātumu / datu aizsardzību pārkāpumu saistībā ar terorisma apkarošanas darbībām (t. i., saskaņā ar Terorisma apkarošanas likumu) (377), un tas var ieteikt korektīvus pasākumus. Tā kā HRPO nepiemēro pieņemamības prasības, sūdzība tiks izskatīta pat tad, ja attiecīgā persona nevar pierādīt, ka faktiski ir cietusi (piem., tāpēc, ka valsts drošības iestāde, iespējams, ir nelikumīgi vākusi tās datus) (378). Attiecīgajai iestādei jāinformē HRPO par visiem pasākumiem, ko tā veikusi, lai īstenotu tā ieteikumus.

(207)

Ceturtkārt, personas var iesniegt sūdzību NHRC attiecībā uz viņu datu vākšanu, ko veic valsts drošības iestādes, un saņemt tiesisko aizsardzību saskaņā ar 178. apsvērumā aprakstīto procedūru (379).

(208)

Visbeidzot, ir pieejami dažādi tiesiskās aizsardzības līdzekļi (380), kas sniedz personām iespēju izmantot 3.3.1. iedaļā aprakstītos ierobežojumus un garantijas, lai iegūtu tiesisko aizsardzību. Konkrētāk, pamatojoties uz Administratīvo lietu iztiesāšanas likumu, personas var apstrīdēt valsts drošības iestāžu veikto darbību likumību (saskaņā ar 181. apsvērumā aprakstīto procedūru vai Konstitucionālās tiesas likumu (sk. 182. apsvērumu)). Turklāt tās var saņemt kompensāciju par kaitējumu, pamatojoties uz Valsts kompensāciju likumu (kā sīkāk aprakstīts 183. apsvērumā).

(209)

Komisija uzskata, ka Korejas Republika, izmantojot PIPA, īpašos konkrētām nozarēm piemērojamos noteikumus (kā analizēts 2. iedaļā) un Paziņojumā Nr. 2021-5 (I pielikums) norādītās papildu garantijas, nodrošina no Eiropas Savienības nosūtīto personas datu aizsardzības līmeni, kurš pēc būtības ir līdzvērtīgs tam, kādu garantē Regula (ES) 2016/679.

(210)

Komisija arī uzskata, ka kopumā pārraudzības mehānismi un tiesiskās aizsardzības līdzekļi, kas paredzēti Korejas tiesību aktos, ļauj apzināt datu aizsardzības noteikumu pārkāpumus, kurus Korejā izdara pārziņi, un novērst tos praksē, kā arī sniedz datu subjektam tiesisko aizsardzību, kas nodrošina, ka viņš var piekļūt saviem personas datiem un, galu galā, labot vai dzēst šos datus.

(211)

Visbeidzot, pamatojoties uz pieejamo informāciju par Korejas tiesību sistēmu, tostarp II pielikumā ietvertajiem Korejas valdības apliecinājumiem, garantijām un saistībām, Komisija uzskata, ka jebkāda Korejas publisko iestāžu sabiedrisko interešu nolūkos un jo īpaši krimināltiesību aizsardzības un valsts drošības nolūkos veiktā iejaukšanās to personu pamattiesībās, kuru personas datus nosūta no Eiropas Savienības uz Korejas Republiku, būs ierobežota līdz tādam apmēram, kāds ir absolūti nepieciešams attiecīgā leģitīmā mērķa sasniegšanai, un ka pastāv efektīva tiesiskā aizsardzība pret šādu iejaukšanos.

(212)

Tāpēc, ņemot vērā šajā lēmumā norādītos konstatējumus, būtu jāuzskata, ka Korejas Republika nodrošina pietiekamu aizsardzības līmeni Regulas (ES) 2016/679 45. panta nozīmē, interpretējot to atbilstoši Eiropas Savienības Pamattiesību hartai, attiecībā uz personas datiem, kas tiek nosūtīti no Eiropas Savienības uz Korejas Republiku personas informācijas datu pārziņiem Korejas Republikā, uz kuriem attiecas PIPA, izņemot reliģiskas organizācijas tiktāl, ciktāl tās apstrādā personas datus savu misionāru darbību nolūkā, politiskās partijas tiktāl, ciktāl tās apstrādā personas datus saistībā ar kandidātu izvirzīšanu, un pārziņus, kurus pārrauga Finanšu pakalpojumu komisija attiecībā uz personas kredītinformācijas apstrādi saskaņā ar Kredītinformācijas likumu, ciktāl tie apstrādā šādu informāciju.

(213)

Dalībvalstīm un to struktūrām ir pienākums veikt nepieciešamos pasākumus, lai izpildītu Savienības iestāžu tiesību aktus, jo tie tiek uzskatīti par likumīgiem un attiecīgi paredz tiesiskās sekas līdz brīdim, kad tiek atcelti, anulēti saskaņā ar prasību atcelt tiesību aktu vai pasludināti par spēkā neesošiem pēc lūguma sniegt prejudiciālu nolēmumu vai iebildes par nelikumību.

(214)

Tādējādi lēmums par aizsardzības līmeņa pietiekamību, ko Komisija pieņēmusi saskaņā ar Regulas (ES) 2016/679 45. panta 3. punktu, ir saistošs visām dalībvalstu struktūrām, kurām tas adresēts, tostarp to neatkarīgajām uzraudzības iestādēm. Konkrētāk, pārzinis vai apstrādātājs Eiropas Savienībā var nosūtīt datus pārziņiem Korejas Republikā bez jebkādas turpmākas atļaujas saņemšanas.

(215)

Vienlaikus būtu jāatgādina, ka saskaņā ar Regulas (ES) 2016/679 58. panta 5. punktu un kā Tiesa paskaidrojusi spriedumā Schrems lietā (381), ja valsts datu aizsardzības iestāde, tostarp pēc sūdzības saņemšanas, apšauba Komisijas lēmuma par aizsardzības līmeņa pietiekamību atbilstību personas pamattiesībām uz privātumu un datu aizsardzību, tai valsts tiesību aktos ir jānodrošina tiesiskās aizsardzības līdzeklis, kas ļauj celt šādus iebildumus valsts tiesā, kurai var būt pienākums lūgt Tiesai sniegt prejudiciālu nolēmumu (382).

(216)

Saskaņā ar Eiropas Savienības Tiesas judikatūru (383) un kā atzīts Regulas (ES) 2016/679 45. panta 4. punktā, Komisijai pēc lēmuma par aizsardzības līmeņa pietiekamību pieņemšanas būtu pastāvīgi jāuzrauga norises attiecīgajā trešā valstī, lai novērtētu, vai trešā valsts joprojām nodrošina pēc būtības līdzvērtīgu aizsardzības līmeni. Vajadzība pēc šāda vērtējuma katrā ziņā rodas, ja Komisija saņem informāciju, kura rada šaubas par to.

(217)

Tāpēc Komisijai būtu pastāvīgi jāuzrauga situācija Korejas Republikā attiecībā uz personas datu apstrādes tiesisko regulējumu un faktisko praksi, kas novērtēta šajā lēmumā, tostarp tas, kā Korejas iestādes izpilda II pielikumā ietvertos apliecinājumus, garantijas un saistības. Lai atvieglotu šo procesu, Korejas iestādes tiek aicinātas ātri informēt Komisiju par būtiskām ar šo lēmumu saistītām norisēm – gan attiecībā uz personas datu apstrādi, ko veic uzņēmēji un publiskās iestādes, gan attiecībā uz ierobežojumiem un garantijām, kas piemērojami, kad publiskās iestādes piekļūst personas datiem.

(218)

Turklāt, lai Komisija varētu efektīvi pildīt savu uzraudzības funkciju, dalībvalstīm būtu jāinformē Komisija par visām būtiskajām darbībām, ko veikušas valstu datu aizsardzības iestādes, jo īpaši attiecībā uz ES datu subjektu vaicājumiem un sūdzībām par personas datu nosūtīšanu no Eiropas Savienības datu pārziņiem Korejas Republikā. Komisiju vajadzētu informēt arī par visām pazīmēm, kas liecina, ka darbības, kuras veic Korejas publiskās iestādes, kas atbild par noziedzīgu nodarījumu novēršanu, izmeklēšanu, atklāšanu vai kriminālvajāšanu vai par valsts drošību, tostarp jebkādas pārraudzības struktūras, nenodrošina nepieciešamo aizsardzības līmeni.

(219)

Piemērojot Regulas (ES) 2016/679 45. panta 3. punktu (384) un ņemot vērā faktu, ka ar Korejas tiesību sistēmu nodrošinātais aizsardzības līmenis var mainīties, Komisijai pēc šā lēmuma pieņemšanas būtu periodiski jāpārbauda, vai konstatējumi par Korejas Republikas nodrošinātā aizsardzības līmeņa pietiekamību joprojām ir faktiski un juridiski pamatoti.

(220)

Tālab šis lēmums būtu pirmo reizi jāpārskata pēc trim gadiem no dienas, kad tas stājies spēkā. Pēc pirmās pārskatīšanas un atkarībā no tās rezultātiem Komisija ciešā sadarbībā ar komiteju, kas izveidota saskaņā ar Regulas (ES) 2016/679 93. panta 1. punktu, pieņems lēmumu par to, vai būtu jāsaglabā triju gadu cikls. Jebkurā gadījumā turpmākās pārskatīšanas būtu jāveic vismaz reizi četros gados (385). Pārskatīšanā būtu jāiekļauj visi šā lēmuma darbības aspekti un jo īpaši šā lēmuma I pielikumā ietverto papildu garantiju piemērošana, īpašu uzmanību pievēršot pieejamiem aizsardzības pasākumiem datu tālākas nosūtīšanas gadījumā; būtiski jaunumi judikatūrā; noteikumi par pseidonimizētas informācijas apstrādi statistikas, zinātniskās pētniecības un arhivēšanas nolūkos sabiedrības interesēs; kā arī izņēmumu piemērošana saskaņā ar PIPA 28. panta 7. punktu. individuālo tiesību īstenošanas iedarbīgums, tostarp nesen reformētajā PIPC, un izņēmumu piemērošana šīm tiesībām; daļējo atbrīvojumu piemērošana saskaņā ar PIPA; kā arī ierobežojumi un garantijas attiecībā uz valdības piekļuvi (kā izklāstīts šā lēmuma II pielikumā), ietverot PIPC sadarbību ar ES datu aizsardzības iestādēm personu sūdzību jomā. Tajā būtu arī jāapskata, cik efektīvi tiek veikta pārraudzība un izpilde saistībā ar PIPA un krimināltiesību aizsardzības un valsts drošības jomā (jo īpaši tā, ko veic PIPC un NHRC).

(221)

Lai veiktu pārskatīšanu, Komisijai būtu jātiekas ar PIPC un vajadzības gadījumā arī ar citām Korejas iestādēm, kas atbild par valdības piekļuvi datiem, tostarp ar attiecīgām pārraudzības struktūrām. Būtu jānodrošina iespēja arī Eiropas Datu aizsardzības kolēģijas pārstāvjiem apmeklēt šādas sanāksmes. Pārskatīšanas ietvaros Komisijai būtu jāprasa, lai PIPC sniedz vispusīgu informāciju par visiem aspektiem, kas ir būtiski konstatējumam par aizsardzības līmeņa pietiekamību, tostarp par ierobežojumiem un garantijām attiecībā uz valdības piekļuvi datiem (386). Komisijai arī būtu jāprasa paskaidrojumi par jebkuru informāciju, kas ir būtiska šim lēmumam un ko tā saņēmusi no Korejas iestāžu vai citu Korejā esošu ieinteresēto personu publiskiem ziņojumiem, Eiropas Datu aizsardzības kolēģijas, individuālām datu aizsardzības iestādēm, pilsoniskās sabiedrības grupām, plašsaziņas līdzekļu ziņojumiem vai jebkuriem citiem pieejamiem informācijas avotiem.

(222)

Pamatojoties uz pārskatīšanu, Komisijai būtu jāsagatavo publisks ziņojums, kas jāiesniedz Eiropas Parlamentam un Padomei.

(223)

Ja pieejamā informācija, jo īpaši informācija, kas iegūta, uzraugot šo lēmumu, vai informācija, ko sniedz Koreja vai dalībvalstu iestādes, atklāj, ka Korejas Republikas nodrošinātais aizsardzības līmenis, iespējams, vairs nav pietiekams, Komisijai par to būtu ātri jāinformē Korejas kompetentās iestādes un jāpieprasa, lai noteiktā un saprātīgā termiņā tiktu veikti attiecīgi pasākumi.

(224)

Ja līdz noteiktā termiņa beigām Korejas kompetentās iestādes nav veikušas minētos pasākumus vai kā citādi apmierinoši neparāda, ka šā lēmuma pamatā joprojām ir pietiekams aizsardzības līmenis, Komisija uzsāks Regulas (ES) 2016/679 93. panta 2. punktā minēto procedūru, lai daļēji vai pilnībā apturētu vai atceltu šo lēmumu.

(225)

Alternatīvi Komisija uzsāks minēto procedūru, lai grozītu šo lēmumu, jo īpaši piemērojot papildu nosacījumus datu nosūtīšanai vai ierobežojot aizsardzības līmeņa pietiekamības konstatējuma darbības jomu tikai attiecībā uz tādu datu nosūtīšanu, kam joprojām tiek nodrošināts pietiekams aizsardzības līmenis.

(226)

Komisijai būtu jāsāk apturēšanas vai atcelšanas procedūra jo īpaši gadījumā, kad ir pazīmes, ka uzņēmēji, kas saņem personas datus atbilstoši šim lēmumam, neievēro I pielikumā ietvertās papildu garantijas un/vai ka netiek nenodrošināta to efektīva izpilde, vai ka Korejas iestādes neievēro šā lēmuma II pielikumā ietvertos apliecinājumus, garantijas un saistības.

(227)

Komisijai būtu jāapsver šā lēmuma grozīšanas, apturēšanas vai atcelšanas procedūras sākšana arī gadījumā, ja pārskatīšanas kontekstā vai citādi Korejas kompetentās iestādes nesniedz informāciju vai paskaidrojumus, kas nepieciešami, lai novērtētu no Eiropas Savienības uz Korejas Republiku nosūtīto personas datu aizsardzības līmeni vai atbilstību šim lēmumam. Šajā saistībā Komisijai būtu jāņem vērā tas, kādā apmērā attiecīgo informāciju var iegūt no citiem avotiem.

(228)

Pienācīgi pamatotu nenovēršamu steidzamu iemeslu dēļ Komisija izmantos iespēju saskaņā ar Regulas (ES) 2016/679 93. panta 3. punktā minēto procedūru pieņemt nekavējoties piemērojamus īstenošanas aktus, ar kuriem aptur, atceļ vai groza lēmumu.

(229)

Eiropas Datu aizsardzības kolēģija ir publiskojusi savu atzinumu (387), un tas tika ņemts vērā, sagatavojot šo lēmumu.

(230)

Šajā lēmumā paredzētie pasākumi ir saskaņā ar atzinumu, ko sniegusi komiteja, kura izveidota ar Regulas (ES) 2016/679 93. panta 1. punktu,