(1)

Ir-Regolament (UE) 2016/679 jistabbilixxi r-regoli għat-trasferiment tad-data personali minn kontrolluri jew minn proċessuri fl-Unjoni lejn pajjiżi terzi u lejn organizzazzjonijiet internazzjonali sa fejn tali trasferimenti jaqgħu fil-kamp ta’ applikazzjoni tiegħu. Ir-regoli dwar it-trasferimenti internazzjonali tad-data huma stabbiliti fil-Kapitolu V (l-Artikoli 44 sa 50) ta’ dak ir-Regolament. Filwaqt li l-fluss tad-data personali lejn u minn pajjiżi barra l-Unjoni Ewropea huwa essenzjali għall-espansjoni tal-kooperazzjoni internazzjonali u tal-kummerċ transfruntieri, il-livell ta’ protezzjoni mogħti lid-data personali fl-Unjoni ma jistax jiġi mminat mit-trasferimenti lejn pajjiżi terzi (2).

(2)

Skont l-Artikolu 45(3) tar-Regolament (UE) 2016/679, il-Kummissjoni tista’ tiddeċiedi, permezz ta’ att ta’ implimentazzjoni, li pajjiż terz, territorju jew settur speċifikat wieħed jew aktar f’pajjiż terz jew organizzazzjoni internazzjonali jiżgura(w) livell adegwat ta’ protezzjoni. Skont din il-kundizzjoni, it-trasferimenti tad-data personali lejn pajjiż terz jistgħu jsiru mingħajr il-ħtieġa li tinkiseb xi awtorizzazzjoni ulterjuri, kif previst fl-Artikolu 45(1) u fil-premessa 103 tar-Regolament (UE) 2016/679.

(3)

Kif speċifikat fl-Artikolu 45(2) tar-Regolament (UE) 2016/679, l-adozzjoni ta’ deċiżjoni ta’ adegwatezza trid tkun ibbażata fuq analiżi komprensiva tal-ordinament ġuridiku tal-pajjiż terz, li tkopri kemm ir-regoli applikabbli għall-importaturi tad-data kif ukoll il-limitazzjonijiet u s-salvagwardji fir-rigward tal-aċċess għal data personali mill-awtoritajiet pubbliċi. Fil-valutazzjoni tagħha, il-Kummissjoni trid tiddetermina jekk il-pajjiż terz inkwistjoni jiggarantix livell ta’ protezzjoni “essenzjalment ekwivalenti” għal dak żgurat fl-Unjoni Ewropea (il-premessa 104 tar-Regolament (UE) 2016/679). Jekk dan ikunx il-każ irid jiġi evalwat fid-dawl tal-leġiżlazzjoni tal-Unjoni, b’mod partikolari r-Regolament (UE) 2016/679, kif ukoll fid-dawl tal-ġurisprudenza tal-Qorti tal-Ġustizzja tal-Unjoni Ewropea (3).

(4)

Kif iċċarat il-Qorti tal-Ġustizzja tal-Unjoni Ewropea, dan ma jeħtieġx li jinstab livell identiku ta’ protezzjoni (4). B’mod partikolari, il-mezzi li l-pajjiż terz inkwistjoni juża għall-protezzjoni tad-data personali jistgħu jkunu differenti minn dawk użati fl-Unjoni, dment li juru bil-provi, fil-prattika, li jkunu effettivi fl-iżgurar ta’ livell adegwat ta’ protezzjoni (5). Għalhekk, l-istandard tal-adegwatezza ma jeħtieġx replikazzjoni minn punt sa punt tar-regoli tal-Unjoni. Minflok, it-test huwa dwar jekk, permezz tas-sustanza tad-drittijiet dwar il-privatezza u l-implimentazzjoni, is-superviżjoni u l-infurzar effettivi tagħhom, is-sistema barranija meqjusa b’mod sħiħ tilħaqx il-livell meħtieġ ta’ protezzjoni (6). L-adegwatezza referenzjali tal-Bord Ewropew għall-protezzjoni tad-data, li tfittex li tiċċara aktar dan l-istandard, tipprovdi wkoll gwida f’dan ir-rigward (7).

(5)

Il-Kummissjoni analizzat bir-reqqa l-liġi u l-prattika tal-Korea. Abbażi tas-sejbiet stabbiliti fil-premessi (8)- (208), il-Kummissjoni tikkonkludi li r-Repubblika tal-Korea tiżgura livell adegwat ta’ protezzjoni għad-data personali trasferita minn kontrollur jew proċessur fl-Unjoni (8) lil kontrolluri tal-informazzjoni personali (eż. persuni fiżiċi jew ġuridiċi, organizzazzjonijiet, istituzzjonijiet pubbliċi) li jaqgħu fil-kamp ta’ applikazzjoni tal-Att dwar il-Protezzjoni tal-Informazzjoni personali (l-Att Nru 10465 tad-29 ta' Marzu 2011, kif emendat l-aħħar mill-Att Nru 16930 tal-4 ta' Frar 2020). Dan jinkludi kemm kontrolluri u wkoll proċessuri (msejħa "appaltaturi" (9)) fit-tifsira tar-Regolament (UE) 2016/679. Is-sejba ta' adegwatezza ma tkoprix l-ipproċessar ta’ data personali għall-attivitajiet missjunarji minn organizzazzjonijiet reliġjużi u għan-nomina ta' kandidati minn partijiet politiċi, jew l-ipproċessar ta' informazzjoni dwar il-kreditu personali skont l-Att dwar l-Informazzjoni dwar il-Kreditu minn kontrolluri li huma suġġetti għas-sorveljanza mill-Kummissjoni għas-Servizzi Finanzjarji.

(6)

Din il-konklużjoni tikkunsidra s-salvagwardji addizzjonali stabbiliti fin-Notifika Nru 2021-5 (l-Anness I) u r-rappreżentazzjonijiet, l-assigurazzjonijiet u l-impenji uffiċjali mill-Gvern tal-Korea lill-Kummissjoni (l-Anness II).

(7)

Din id-Deċiżjoni għandha l-effett li t-trasferimenti lill-kontrolluri tal-informazzjoni personali fir-Repubblika tal-Korea jistgħu jsiru mingħajr il-ħtieġa li tinkiseb xi awtorizzazzjoni ulterjuri. Ma taffettwax l-applikazzjoni diretta tar-Regolament (UE) 2016/679 għal tali entitajiet meta jkunu sodisfatti l-kundizzjonijiet marbuta mal-kamp ta’ applikazzjoni territorjali ta’ dak ir-Regolament, stabbiliti fl-Artikolu 3 tiegħu.

(8)

Is-sistema legali li tirregola l-privatezza u l-protezzjoni tad-data fil-Korea hi stabbilita fil-Kostituzzjoni Koreana promulgata fis-17 ta’ Lulju 1948. Filwaqt li d-dritt għall-protezzjoni tad-data personali ma huwiex stabbilit b’mod espliċitu fil-Kostituzzjoni, huwa madankollu rikonoxxut bħala dritt bażiku, derivat mid-drittijiet kostituzzjonali għad-dinjità tal-bniedem u t-tfittxija tal-kuntentizza (l-Artikolu 10), il-ħajja privata (l-Artikolu 17) u l-privatezza tal-komunikazzjoni (l-Artikolu 18). Dan ġie kkonfermat kemm mill-Qorti Suprema kif ukoll (10) mill-Qorti Kostituzzjonali (11). Restrizzjonijiet fuq id-drittijiet u l-libertajiet fundamentali (inkluż id-dritt għall-privatezza) jistgħu jkunu imposti biss b'liġi, meta meħtieġ għas-sigurtà nazzjonali jew għaż-żamma tal-ordni pubbliku għall-benesseri pubbliku, u ma jistgħux jaffetwaw l-essena tad-dritt jew libertà inkwistjoni (l-Artikolu 37(2)).

(9)

Minkejja li l-Kostituzzjoni f’diversi postijiet tirreferi għad-drittijiet taċ-ċittadini Koreani, il-Qorti Kostituzzjonali ddeċidiet li anke ċ-ċittadini barranin huma s-suġġett ta’ drittijiet bażiċi (12). B’mod partikolari, il-Qorti ddeċidiet li l-protezzjoni tad-dinjità u tal-valur ta’ persuna bħala bniedem, kif ukoll id-dritt li tfittex il-kuntentizza, huma drittijiet ta’ kwalunkwe bniedem, mhux biss taċ-ċittadini (13). Barra minn hekk, skont ir-rappreżentazzjonijiet uffiċjali mill-Gvern tal-Korea (14), huwa ġeneralment rikonoxxut li l-Artikoli 12 sa 22 tal-Kostituzzjoni (li jinkludu d-drittijiet tal-privatezza) jipprevedu drittijiet bażiċi tal-bniedem (15). Għalkemm sa issa ma teżisti l-ebda ġurisprudenza speċifikament dwar id-dritt għall-privatezza ta’ ċittadini barranin, il-fatt li huwa msejjes fuq il-protezzjoni tad-dinjità tal-bniedem u t-tfittxija tal-kuntentizza jimmilita favur din il-konklużjoni (16).

(10)

Barra minn hekk, il-Korea adottat serje ta’ liġijiet fil-qasam tal-protezzjoni tad-data li jipprovdu salvagwardji għall-individwi kollha, irrispettivament min-nazzjonalità tagħhom (17). Għall-għanijiet ta’ din id-Deċiżjoni, il-liġijiet rilevanti huma:

(11)

Il-PIPA jipprovdi l-qafas legali ġenerali għall-protezzjoni tad-data fir-Repubblika tal-Korea. Dan huwa ssupplimentat b’Digriet ta’ Infurzar (id-Digriet tal-President Nru 23169 tad-29 ta’ Settembru 2011, emendat l-aħħar bid-Digriet tal-President Nru 30892 tal-4 ta’ Awwissu 2020) (id-Digriet tal-Infurzar tal-PIPA), li bħall-PIPA huwa legalment vinkolanti u infurzabbli.

(12)

Barra minn hekk, in-“Notifiki” regolatorji adottati mill-Kummissjoni għall-Protezzjoni tal-Informazzjoni Personali (PIPC) jipprovdu aktar regoli dwar l-interpretazzjoni u l-applikazzjoni tal-PIPA. Abbażi tal-Artikolu 5 (Obbligi tal-Istat) u l-Artikolu 14 tal-PIPA (Kooperazzjoni Internazzjonali), il-PIPC adottat in-notifika Nru 2021-5 tal-1 ta’ Settembru 2020 (kif emendata bin-Nru 2021-1 tal-21 ta’ Jannar 2021, u n-Notifika Nru 2021-5 tas-16 ta’ Novembru 2021, in-Notifika Nru 2021-5) dwar l-interpretazzjoni, l-applikazzjoni u l-infurzar ta’ ċerti dispożizzjonijiet tal-PIPA. Din in-Notifika tipprovdi kjarifiki li japplikaw għal kwalunkwe proċessar tad-data personali skont il-PIPA kif ukoll salvagwardji addizzjonali għad-data personali ttrasferita lill-Korea abbażi ta’ din id-Deċiżjoni. In-Notifika hija legalment vinkolanti fuq il-kontrolluri tal-informazzjoni personali u infurzabbli kemm mill-PIPC kif ukoll mill-qrati (19). Ksur tar-regoli stabbiliti fin-Notifika jinvolvi ksur tad-dispożizzjonijiet rilevanti tal-PIPA li jikkomplementaw. Għalhekk, il-kontenut tas-salvagwardji addizzjonali huwa analizzat bħala parti mill-valutazzjoni tal-Artikoli rilevanti tal-PIPA. Fl-aħħar nett, gwida ulterjuri dwar il-PIPA u d-Digriet tal-Infurzar tiegħu, li jinforma l-applikazzjoni u l-infurzar tar-regoli dwar il-protezzjoni tad-data mill-PIPC, hija pprovduta fil-Manwal u l-Linji Gwida tal-PIPA adottati mill-PIPC (20).

(13)

Barra minn hekk, l-Att dwar l-Użu u l-Protezzjoni tal-Informazzjoni dwar il-Kreditu (CIA) jistabbilixxi regoli speċifiċi li japplikaw kemm għall-operaturi kummerċjali “ordinarji” kif ukoll għal entitajiet speċjalizzati (bħal aġenziji tal-klassifikazzjoni tal-kreditu, istituzzjonijiet finanzjarji) meta jipproċessaw informazzjoni personali dwar il-kreditu, li hija informazzjoni meħtieġa biex tiġi ddeterminata l-affidabbiltà kreditizja tal-partijiet għal tranżazzjonijiet finanzjarji jew kummerċjali. Dan jinkludi, b’mod partikolari, l-isem, id-dettalji tal-kuntatt, it-tranżazzjonijiet finanzjarji, il-klassifikazzjoni tal-kreditu, l-istatus tal-assigurazzjoni, jew il-bilanċ tas-self meta tali informazzjoni tintuża biex tiġi ddeterminata l-affidabbiltà kreditizja ta’ individwu (21). Min-naħa l-oħra, fejn tali informazzjoni tintuża għal skopijiet oħra (bħar-riżorsi umani), il-PIPA japplika fl-intier tiegħu. Dwar id-dispożizzjonijiet speċifiċi għall-protezzjoni tad-data tas-CIA, is-superviżjoni tal-konformità issir parzjalment mill-PIPC (għall-organizzazzjonijiet kummerċjali, ara l-Artikolu 45-3 tas-CIA. u parzjalment mill-Kummissjoni għas-Servizzi Finanzjarji (22) (għas-settur finanzjarju, inkluż l-aġenziji tal-gradazzjoni tal-kreditu, banek, kumpaniji tal-assigurazzjoni, banek mutwi, kumpaniji finanzjarji speċjalizzati fil-kreditu, kumpaniji tal-finanzjament tat-titoli, unjonijiet ta' kreditu, eċċ, ara l-Artikolu 45(1) tas-CIA flimkien mal-Artikolu 36-2 tad-Digriet tal-Infurzar tas-CIA u l-Artikolu 38 tal-Att dwar il-Kummissjoni għas-Servizzi Finanzjarji). F’dan ir-rigward, il-kamp ta’ applikazzjoni ta’ din id-Deċiżjoni huwa limitat għall-operaturi kummerċjali li huma soġġetti għas-sorveljanza tal-PIPC (23). Ir-regoli speċifiċi tas-CIA li japplikaw f’dan il-kuntest (ir-regoli ġenerali tal-PIPA japplikaw fejn ma teżisti l-ebda regola speċifika) huma deskritti fit-Taqsima 2.3.11.

(14)

Ħlief kif previst speċifikament mod ieħor f’atti oħra, il-protezzjoni tad-data personali hija rregolata mill-PIPA (l-Artikolu 6). Il-kamp ta’ applikazzjoni ratione materiae u ratione personae tiegħu huwa ddeterminat mill-kunċetti definiti ta’ “informazzjoni personali”, “ipproċessar” u “kontrollur tal-informazzjoni personali”.

(15)

L-Artikolu 2(1) tal-PIPA jiddefinixxi l-informazzjoni personali bħala informazzjoni relatata ma’ individwu ħaj li tidentifika l-individwu direttament, pereżempju permezz ta’ ismu, in-numru tar-reġistrazzjoni tiegħu bħala resident jew l-immaġni tiegħu, jew indirettament, jiġifieri fejn l-informazzjoni li minnha nnifisha ma tistax tidentifika individwu partikolari tista’ faċilment tiġi kkombinata ma’ informazzjoni oħra. Jekk l-informazzjoni tistax tiġi kkombinata “faċilment” jiddependi fuq jekk tali kombinament huwiex raġonevolment probabbli, filwaqt li titqies il-possibbiltà li tinkiseb informazzjoni oħra kif ukoll il-ħin, il-kost u t-teknoloġija meħtieġa biex jiġi identifikat individwu.

(16)

Barra minn hekk, informazzjoni psewdonima – jiġifieri informazzjoni li ma tistax tidentifika individwu speċifiku mingħajr l-użu jew il-kombinament tagħha ma’ informazzjoni addizzjonali biex tiġi rrestawrata fl-istat oriġinali tagħha – titqies bħala data personali skont il-PIPA (l-Artikolu 2(1) lit. c) tal-PIPA). Min-naħa l-oħra, l-informazzjoni li hija kompletament “anonimizzata” hija eskluża mill-kamp ta’ applikazzjoni tal-PIPA (l-Artikolu 58-2 tal-PIPA). Dan huwa l-każ għal informazzjoni li ma tistax tidentifika individwu speċifiku, anke jekk tkun ikkombinata ma’ informazzjoni oħra, filwaqt li jitqiesu l-ħin, il-kost u t-teknoloġija raġonevolment meħtieġa għall-identifikazzjoni.

(17)

Dan jikkorrispondi għall-kamp ta’ applikazzjoni ratione materiae tar-Regolament (UE) 2016/679 u l-kunċetti tiegħu ta’ “data personali”, “psewdonimizzazzjoni” (24) u “informazzjoni anonimizzata” (25).

(18)

Il-kunċett ta’ “proċessar” huwa definit b’mod wiesa’ fil-PIPA li jkopri l-“ġbir, il-ġenerazzjoni, il-konnessjoni, l-interlokkjar, ir-reġistrazzjoni, il-ħżin, iż-żamma, l-ipproċessar tal-valur miżjud, l-editjar, it-treġġigħ lura, l-output, il-korrezzjoni, l-irkupru, l-użu, il-provvediment, u d-divulgazzjoni, il-qerda tal-informazzjoni personali u attivitajiet simili oħra” (26). Għalkemm ċerti dispożizzjonijiet fil-PIPA jirreferu biss għal tipi speċifiċi ta’ proċessar, bħal “użu”, “provvediment” jew “ġbir” (27), il-kunċett ta’ “użu” huwa interpretat bħala li jinkludi kwalunkwe tip ta’ proċessar għajr “ġbir” jew “provvediment” (lil terzi). Din l-interpretazzjoni wiesgħa tal-“użu” b’hekk tiżgura li ma jkun hemm l-ebda lakuna fil-protezzjoni fir-rigward ta’ attivitajiet speċifiċi ta’ proċessar. Għalhekk, il-kunċett tal-ipproċessar jikkorrispondi għall-istess kunċett skont ir-Regolament (UE) 2016/679.

(19)

Il-PIPA japplika għal “kontrolluri ta’ informazzjoni personali” (kontrollur). Simili għar-Regolament (UE) 2016/679, dan jinkludi kwalunkwe istituzzjoni pubblika, persuna ġuridika, organizzazzjoni jew individwu li jipproċessa data personali direttament jew indirettament biex joperaw fajls tad-data personali (28). F’dan il-kuntest, “fajl ta’ informazzjoni personali” tfisser kwalunkwe “sett jew settijiet ta’ informazzjoni personali rranġati jew organizzati b’mod sistematiku bbażat fuq ċerta regola għal aċċess faċli għall-informazzjoni personali” (l-Artikolu 2(4) tal-PIPA) (29). Internament, il-kontrollur huwa obbligat li jħarreġ lill-persuni involuti fl-ipproċessar taħt id-direzzjoni tiegħu, bħall-uffiċjali tal-kumpanija jew l-impjegati, u li jeżerċita kontroll u superviżjoni xierqa (l-Artikolu 28(1) tal-PIPA).

(20)

L-obbligi speċifiċi japplikaw meta kontrollur (l-“esternalizzatur”) jesternalizza l-ipproċessar tad-data personali lil terzi (l-“appaltatur”). B’mod partikolari, l-esternalizzazzjoni trid tkun irregolata minn arranġament legalment vinkolanti (tipikament kuntratt) (30) li jistabbilixxi l-ambitu tax-xogħol esternalizzat, l-iskop tal-ipproċessar, is-salvagwardji tekniċi u maniġerjali li jridu jiġu applikati, is-superviżjoni mill-kontrollur, ir-responsabbiltà (bħall-kumpens għad-danni kkawżati minn ksur tal-obbligi kuntrattwali) kif ukoll il-limitazzjonijiet għal kwalunkwe sottoproċessar (31) (l-Artikolu 26(1), (2) tal-PIPA flimkien mal-Artikolu 28(1) tad-Digriet tal-Infurzar) (32).

(21)

Barra minn hekk, il-kontrollur għandu jippubblika, u jaġġorna kontinwament, id-dettalji dwar ix-xogħol esternalizzat u l-identità tal-appaltatur, jew, sa fejn l-ipproċessar esternalizzat jikkonċerna attivitajiet ta’ kummerċjalizzazzjoni diretta, jinnotifika direttament lill-individwi bl-informazzjoni rilevanti (l-Artikolu 26(2), (3) tal-PIPA flimkien mal-Artikolu 28(2)-(5) tad-Digriet tal-Infurzar) (33).

(22)

Barra minn hekk, skont l-Artikolu 26(4) tal-PIPA flimkien mal-Artikolu 28(6) tad-Digriet tal-Infurzar, il-kontrollur huwa obbligat li “jeduka” lill-appaltatur dwar il-miżuri ta’ sigurtà meħtieġa u jissupervizza, inkluż permezz ta’ spezzjonijiet, jekk jikkonformax mal-obbligi kollha tal-kontrollur skont il-PIPA (34) kif ukoll skont il-kuntratt ta’ esternalizzazzjoni. Meta l-appaltatur jikkawża dannu minħabba ksur tal-PIPA, l-azzjonijiet jew in-nuqqas ta’ azzjonijiet tiegħu jiġu attribwiti lill-kontrollur għall-finijiet tar-responsabbiltà bħal fil-każ ta’ impjegat (l-Artikolu 26(6) tal-PIPA).

(23)

Għalkemm il-PIPA għalhekk ma jużax kunċetti differenti għal “kontrolluri” u “proċessuri”, ir-regoli dwar l-esternalizzazzjoni jipprovdu obbligi u salvagwardji essenzjalment ekwivalenti bħal dawk li jirregolaw ir-relazzjoni bejn il-kontrolluri u l-proċessuri skont ir-Regolament (UE) 2016/679.

(24)

Filwaqt li l-PIPA japplika għall-ipproċessar tad-data personali minn kwalunkwe kontrollur, ċerti dispożizzjonijiet fihom regoli speċifiċi (bħala lex specialis) għall-ipproċessar tad-data personali ta’ “utenti” minn “fornituri ta’ servizzi ta’ informazzjoni u komunikazzjoni” (35). Il-kunċett ta’ “utenti” jkopri individwi li jużaw servizzi ta’ informazzjoni u komunikazzjoni (l-Artikolu 2(1) lit. 4 tal-Att dwar il-Promozzjoni tal-Utilizzazzjoni tan-Network tal-Informazzjoni u l-Komunikazzjoni u l-Protezzjoni tad-Data, l-Att dwar in-Network). Dan jeħtieġ li l-individwu jew juża direttament servizzi tat-telekomunikazzjoni pprovduti minn operatur tat-telekomunikazzjoni tal-Korea jew juża servizzi ta’ informazzjoni (36) pprovduti kummerċjalment (jiġifieri għal profitt) minn entità li min-naħa tagħha tiddependi fuq is-servizzi ta’ operatur tat-telekomunikazzjoni liċenzjat/irreġistrat fil-Korea (37). Fiż-żewġ każijiet, l-entità marbuta bid-dispożizzjonijiet speċifiċi tal-PIPA hija waħda li toffri servizz online direttament lil individwu (jiġifieri utent).

(25)

Min-naħa l-oħra, sejba ta’ adegwatezza tikkonċerna esklużivament il-livell ta’ protezzjoni mogħti lid-data personali ttrasferita minn kontrollur/proċessur fl-Unjoni lil entità f’pajjiż terz (hawnhekk: ir-Repubblika tal-Korea). F’dan l-aħħar xenarju, l-individwi fl-Unjoni normalment ikollhom relazzjoni diretta biss mal-“esportatur tad-data” fl-Unjoni u mhux ma’ kwalunkwe fornitur ta’ servizzi ta’ informazzjoni u komunikazzjoni tal-Korea (38). Għalhekk, id-dispożizzjonijiet speċifiċi tal-PIPA fir-rigward tad-data personali tal-utenti tas-servizzi tal-informazzjoni u l-komunikazzjoni, l-aktar, se japplikaw biss f’sitwazzjonijiet limitati għal data personali ttrasferita skont din id-Deċiżjoni.

(26)

L-Artikolu 58(1) tal-PIPA jeskludi l-applikazzjoni ta’ parti mill-PIPA (jiġifieri l-Artikoli 15 sa 57) fir-rigward ta’ erba’ kategoriji tal-ipproċessar tad-data (39). B’mod partikolari, il-partijiet tal-PIPA li jittrattaw ir-raġunijiet speċifiċi għall-ipproċessar, ċerti obbligi tal-protezzjoni tad-data, ir-regoli dettaljati għall-eżerċizzju tad-drittijiet individwali kif ukoll ir-regoli li jirregolaw is-soluzzjoni tat-tilwim mill-Kumitat tal-Medjazzjoni tat-Tilwim dwar l-Informazzjoni Personali ma japplikawx. Dispożizzjonijiet bażiċi oħra tal-PIPA jibqgħu applikabbli, b’mod partikolari d-dispożizzjonijiet ġenerali dwar il-prinċipji tal-protezzjoni tad-data (l-Artikolu 3 tal-PIPA) – inklużi pereżempju l-prinċipji tal-legalità, l-ispeċifikazzjoni tal-iskop u l-limitazzjoni tal-iskop, il-minimizzazzjoni tad-data, il-preċiżjoni u s-sigurtà tad-data – u d-drittijiet individwali (tal-aċċess, ir-rettifika, it-tħassir u s-sospensjoni, ara l-Artikolu 4 tal-PIPA). Barra minn hekk, l-Artikolu 58(4) tal-PIPA jimponi obbligi speċifiċi fuq dawk l-attivitajiet ta’ proċessar, jiġifieri fir-rigward tal-minimizzazzjoni tad-data, iż-żamma limitata tad-data, il-miżuri ta’ sigurtà u t-trattament tal-ilmenti (40). B’konsegwenza ta’ dan, l-individwi xorta jistgħu jippreżentaw ilment lill-PIPC jekk dawn il-prinċipji u l-obbligi ma jiġux irrispettati u l-PIPC għandha s-setgħa li tieħu azzjoni ta’ infurzar f’każ ta’ nuqqas ta’ konformità.

(27)

L-ewwel nett, l-eżenzjoni parzjali tkopri d-data personali miġbura skont l-Att dwar l-Istatistika għall-ipproċessar mill-istituzzjonijiet pubbliċi. Skont il-kjarifiki li waslu mill-Gvern tal-Korea, id-data personali pproċessata f’dan il-kuntest normalment tikkonċerna liċ-ċittadini Koreani u tista’ tinkludi biss b’mod eċċezzjonali informazzjoni dwar il-barranin, prinċipalment fil-każ ta’ statistika dwar id-dħul u t-tluq mit-territorju, jew dwar investimenti barranin. Madankollu, anke f’dawn is-sitwazzjonijiet, tali data normalment ma tiġix ittrasferita minn kontrolluri/proċessuri fl-Unjoni, iżda minflok tinġabar direttament mill-awtoritajiet pubbliċi fil-Korea (41). Barra minn hekk, simili għal dak li huwa previst fil-premessa 162 tar-Regolament (UE) 2016/679, l-ipproċessar ta' data skont l-Att dwar l-Istatistika huwa suġġett għal bosta kundizzjonijiet u salvalgwardji. B'mod partikolari, l-Att dwar l-Istatistika jimponi obbligi speċifiċi, bħal biex ikunu żgurata l-akkuratezza, il-konsistenza u l-imparzjalità; tiġi ggarantita l-kunfidenzjalità tal-individwi; tiġi protetta l-informazzjoni ta’ dawk li wieġbu għal mistoqsijiet statistiċi anki bil-għan ta’ prevenzjoni li tali informazzjoni tintuża għal kwalunkwe għan ieħor għajr dak tal-ġbir tal-istatistika u biex il-membri tal-persunal jiġu soġġetti għar-rekwiżiti ta’ kunfidenzjalità. (42) Awtoritajiet pubbliċi li jipproċessaw l-istatistika jridu jikkonformaw ukoll, fost l-oħrajn, mal-prinċipji tal-minimizzazzjoni tad-data, il-limitazzjoni tal-iskop u s-sigurtà (l-Artikoli 3 u 58 (4) tal-PIPA) u jippermettu lill-individwi jeżerċitaw id-drittijiet tagħhom (ta' aċċess, korrezzjoni, tħassir u sospensjoni. ara l-Artikolu 4 tal-PIPA). Finalment, id-data trid tkun proċessata f'forma anonimizzata u psewdonimizzata jekk dan jippermetti li jkun sodisfatt l-iskop tal-ipproċessar (l-Artikolu 3(7) tal-PIPA).

(28)

It-tieni, l-Artikolu 58(1) tal-PIPA jirreferi għal data personali miġbura jew mitluba għall-analiżi ta’ informazzjoni relatata mas-sigurtà nazzjonali. Il-kamp ta’ applikazzjoni u l-konsegwenzi ta’ din l-eżenzjoni parzjali huma deskritti f’aktar dettall fil-premessa (149).

(29)

It-tielet, l-eżenzjoni parzjali tapplika għad-data personali pproċessata temporanjament fejn dan ikun meħtieġ b’mod urġenti għas-sikurezza u s-sigurtà pubblika, inkluża s-saħħa pubblika. Din il-kategorija hija interpretata strettament mill-PIPC u, skont l-informazzjoni riċevuta, qatt ma ntużat. Tapplika biss f'emerġenzi li jeħtieġu azzjoni urġenti, pereżempju biex jiġu traċċati aġent infettiv, jew biex ikunu salvati jew mgħejuna vittmi ta' diżastri naturali (43). Anki f'dawk is-sitwazzjonijiet, l-eżenzjoni parzjali tkopri biss l-ipproċessar ta' data personali għal perjodu limitat biex titwettaq tali azzjoni. Sitwazzjonijiet fejn dan jista’ japplika għat-trasferimenti tad-data koperti minn din id-Deċiżjoni huma saħansitra aktar limitati, minħabba l-probabbiltà baxxa li d-data personali ttrasferita mill-Unjoni lill-operaturi Koreani tkun tat-tip li jista’ jagħmel l-ipproċessar sussegwenti tagħha “meħtieġ b’mod urġenti” għal emerġenzi bħal dawn.

(30)

Fl-aħħar nett, l-eżenzjoni parzjali tapplika għad-data personali miġbura jew użata mill-istampa, għal attivitajiet ta’ missjonijiet minn organizzazzjonijiet reliġjużi, jew għan-nomina ta’ kandidati minn partiti politiċi. L-eżenzjoni tapplika biss meta d-data personali tiġi pproċessata mill-istampa, mill-organizzazzjonijiet reliġjużi jew mill-partiti politiċi għal dawk l-għanijiet speċifiċi (jiġifieri l-attivitajiet tal-ġurnalisti, ix-xogħol tal-missjonijiet u n-nomina ta’ kandidati politiċi). Fejn dawk l-entitajiet jipproċessaw data personali għal skopijiet oħra, bħall-ġestjoni tar-riżorsi umani jew l-amministrazzjoni interna, il-PIPA japplika b’mod sħiħ.

(31)

Fir-rigward tal-ipproċessar tad-data personali mill-istampa għal attivitajiet tal-ġurnalisti, l-ibbilanċjar bejn il-libertà tal-espressjoni u drittijiet oħra (inkluż id-dritt għall-privatezza) huwa pprovdut mill-Att dwar l-Arbitraġġ u r-Rimedji, eċċ. għal Dannu Kkawżat minn Rapporti tal-Istampa (l-Att dwar l-Istampa) (44). B’mod partikolari, l-Artikolu 5 tal-Att dwar l-Istampa jipprevedi li l-istampa (jiġifieri kwalunkwe organizzazzjoni tax-xandir, gazzetta, gazzetta perjodika jew online), kwalunkwe servizz tal-aħbarijiet fuq l-internet, jew organizzazzjoni tax-xandir multimedia fuq l-internet ma jistgħux jiksru l-privatezza tal-individwi. Madankollu, jekk iseħħ ksur tal-privatezza, dan irid jiġi rrimedjat minnufih f’konformità mal-proċeduri speċifiċi stabbiliti fl-Att. F’dan ir-rigward, l-Att jagħti lill-individwi li jġarrbu dannu minħabba rapport tal-istampa għadd ta’ drittijiet, bħal li jiksbu l-pubblikazzjoni ta’ korrezzjoni ta’ dikjarazzjoni falza, rettifika permezz ta’ dikjarazzjoni kontradittorja jew rapport ieħor (fejn rapport tal-istampa jikkonċerna allegazzjonijiet ta’ reati li l-individwu aktar tard jiġi illiberat minnhom) (45). It-talbiet minn individwi jistgħu jiġu solvuti minn strumenti tal-istampa direttament (permezz ta’ ombudsman) (46), permezz ta’ konċiljazzjoni jew arbitraġġ (quddiem Kummissjoni speċjalizzata ta’ Arbitraġġ għall-Istampa) (47) jew quddiem il-qrati. L-individwi jistgħu jiksbu wkoll kumpens meta jġarrbu dannu monetarju, ksur ta’ dritt ta’ personalità, jew kwalunkwe diffikultà emozzjonali oħra minħabba att illegali tal-istampa (bl-intenzjoni jew b’negliġenza) (48). L-istampa hija eżentata mir-responsabbiltà skont l-Att sal-punt li rapport tal-istampa li jinterferixxi mad-drittijiet ta’ individwu ma jmurx kontra l-valuri soċjali u jiġi ppubblikat jew bil-kunsens tal-individwu kkonċernat, jew fl-interess pubbliku (u hemm biżżejjed raġunijiet biex jitqies li r-rapport jikkorrispondi għall-verità) (49).

(32)

Billi l-ipproċessar tad-data personali mill-istampa għall-attivitajiet tal-ġurnalisti huwa għalhekk suġġett għal salvagwardji speċifiċi li jirriżultaw mill-Att dwar l-Istampa, ma hemm l-ebda salvagwardja addizzjonali bħal din li tinkwadra l-użu tal-eċċezzjonijiet għall-attivitajiet ta’ proċessar minn organizzazzjonijiet reliġjużi u partiti politiċi b’mod komparabbli mal-Artikoli 85, 89 u 91 tar-Regolament (UE) 2016/679. Għalhekk, il-Kummissjoni tqis li huwa xieraq li jiġu esklużi kemm l-organizzazzjonijiet reliġjużi sa fejn jipproċessaw data personali għall-attivitajiet tal-missjonijiet kif ukoll il-partiti politiċi sa fejn jipproċessaw data personali fil-kuntest tan-nomina ta’ kandidati mill-kamp ta’ applikazzjoni ta’ din id-Deċiżjoni.

(33)

Jenħtieġ li d-data personali tiġi pproċessata b’mod legali u ġust.

(34)

Dan il-prinċipju huwa stabbilit mill-Artikolu 3(1), (2) tal-PIPA u huwa msaħħaħ mill-Artikolu 59 tal-PIPA, li jipprojbixxi l-ipproċessar tad-data personali “bi frodi, b’mezzi mhux xierqa jew inġusti”, “mingħajr awtorità legali” jew “lil hinn mill-awtorità xierqa (50)”. Dawn il-prinċipji ġenerali ta’ proċessar legali huma elaborati fl-Artikoli 15 sa 19 tal-PIPA li jistabbilixxu l-bażijiet legali differenti għall-ipproċessar (il-ġbir, l-użu u l-provvediment lil terzi), inklużi ċ-ċirkostanzi li taħthom dan jista’ jinvolvi bidla fl-għan (l-Artikolu 18 tal-PIPA).

(35)

Skont l-Artikolu 15(1) tal-PIPA, kontrollur jista’ jiġbor biss data personali (fil-ambitu tal-għan tal-ġbir) għal għadd limitat ta’ raġunijiet legali. Dawn huma (1) il-kunsens tas-suġġett tad-data (51) (lit. 1); (2) il-ħtieġa li jiġi eżegwit u mwettaq kuntratt mas-suġġett tad-data (lit. 4); (3) awtorizzazzjoni speċjali fil-liġi jew ħtieġa għall-konformità ma’ obbligu legali (lit. 2); il-ħtieġa (52) li istituzzjoni pubblika twettaq il-kompiti fil-ġuriżdizzjoni tagħha kif stabbilit mil-liġi; (4) il-ħtieġa ċara għall-protezzjoni tal-ħajja, tal-persuna jew tal-interessi tal-proprjetà tas-suġġett tad-data jew ta’ terzi minn periklu imminenti (biss jekk is-suġġett tad-data ma jkunx f’pożizzjoni li jesprimi l-intenzjoni tiegħu jew tagħha, jew ma jkunx jista’ jinkiseb kunsens minn qabel) (lit. 5); (5) il-ħtieġa li jinkiseb l-“interess ġustifikabbli” tal-kontrollur jekk ikun “manifestament superjuri” għall-interessi tas-suġġett tad-data (u biss meta l-ipproċessar ikollu “relazzjoni sostanzjali” mal-interess leġittimu u ma jmurx lil hinn minn dak li huwa raġonevoli) (lit. 6) (53). Dawn ir-raġunijiet għall-ipproċessar huma essenzjalment ekwivalenti għal dawk stabbiliti fl-Artikolu 6 tar-Regolament (UE) 2016/679, inkluża r-raġuni ta’ “interess ġustifikabbli” li hija ugwali għar-raġuni ta’ “interess leġittimu” fl-Artikolu 6(1)(f) tar-Regolament (UE) 2016/679.

(36)

Ladarba tinġabar, id-data personali tista’ tintuża fl-ambitu tal-iskop tal-ġbir (l-Artikolu 15(1) tal-PIPA), jew “fl-ambitu raġonevolment relatat” mal-fini tal-ġbir, filwaqt li jitqiesu l-iżvantaġġi possibbli kkawżati lis-suġġett tad-data u sakemm ikunu ġew adottati l-miżuri ta’ sigurtà meħtieġa (eż. kriptaġġ) (l-Artikoli 15(3) tal-PIPA). Sabiex jiġi ddeterminat jekk l-iskop tal-użu huwiex “raġonevolment relatat” mal-iskop tal-ġbir oriġinali, id-Digriet tal-Infurzar jistabbilixxi kriterji speċifiċi, li huma simili għal dawk tal-Artikolu 6(4) tar-Regolament (UE) 2016/679. B’mod partikolari, irid ikun hemm rilevanza konsiderevoli għall-iskop oriġinali; l-użu addizzjonali jrid ikun prevedibbli (pereżempju fid-dawl taċ-ċirkostanzi li fihom tkun inġabret l-informazzjoni); u, fejn ikun possibbli, id-data trid tiġi psewdonimizzata (54). Il-kriterji speċifiċi użati minn kontrollur f’din il-valutazzjoni jridu jiġu divulgati minn qabel fil-politika dwar il-privatezza (55). Barra minn hekk, l-uffiċjal tal-privatezza (ara l-Premessa (94)) huwa speċifikament meħtieġ li jirrevedi jekk ikunx hemm użu ulterjuri f’dawk il-parametri.

(37)

Regoli simili (iżda pjuttost aktar stretti) japplikaw għall-provvediment tad-data lil terzi. Skont l-Artikolu 17(1) tal-PIPA, il-provvediment tad-data personali lil terzi huwa permess abbażi ta’ kunsens (56) jew, fi ħdan l-iskop tal-ġbir, fejn l-informazzjoni tkun inġabret fuq waħda mir-raġunijiet legali fl-Artikolu 15(1) lit. 2, 3, u 5 tal-PIPA. Dan jeskludi b’mod partikolari kwalunkwe divulgar ibbażat fuq l-“interess ġustifikabbli” tal-kontrollur. Lil hinn minn dan, l-Artikolu 17(4) tal-PIPA jippermetti l-provvediment lil terzi “fl-ambitu raġonevolment relatat” għall-fini tal-ġbir, filwaqt li jitqiesu mill-ġdid l-iżvantaġġi possibbli kkawżati lis-suġġett tad-data u sakemm ikunu ġew adottati l-miżuri ta’ sigurtà meħtieġa (bħall-kriptaġġ). L-istess fatturi bħal dawk deskritti fil-premessa (36) jridu jitqiesu biex jiġi vvalutat jekk il-provvediment ikunx fl-ambitu relatat b’mod raġonevoli mal-iskop tal-ġbir u l-istess salvagwardji (jiġifieri fir-rigward tat-trasparenza permezz tal-politika dwar il-privatezza u l-involviment tal-uffiċjal tal-privatezza) japplikaw.

(38)

Ir-riċeviment ta’ data personali minn kontrollur tad-data tal-Korea mill-Unjoni titqies bħala “ġbir” skont it-tifsira tal-Artikolu 15 tal-PIPA. In-Notifika Nru 2021-5 (it-Taqsima I tal-Anness I ta’ din id-Deċiżjoni) tiċċara li l-għan li għalih ġiet ittrasferita d-data mill-entità kkonċernata tal-UE jikkostitwixxi l-għan tal-ġbir għall-kontrollur tad-data tal-Korea. B’konsegwenza ta’ dan, il-kontrolluri tad-data Koreani li jirċievu data personali mill-Unjoni huma fil-prinċipju meħtieġa jipproċessaw tali informazzjoni fl-ambitu tal-iskop tat-trasferiment, f’konformità mal-Artikolu 17 tal-PIPA.

(39)

Japplikaw limitazzjonijiet speċjali fil-każ li l-kontrollur ifittex li juża d-data personali jew jipprovdiha lil terzi għal skop differenti mill-iskop tal-ġbir (57). Skont l-Artikolu 18(2) tal-PIPA, kontrollur privat jista’ (58) eċċezzjonalment juża data personali jew jipprovdiha lil terzi għal skop differenti: (1) abbażi tal-kunsens addizzjonali (jiġifieri separat) tas-suġġett tad-data; (2) meta dan ikun ipprovdut minn dispożizzjonijiet statutorji speċjali; jew (3) meta dan ikun manifestament meħtieġ għall-protezzjoni tal-ħajja, tal-persuna jew tal-interessi tal-proprjetà tas-suġġett tad-data jew ta’ terzi minn periklu imminenti (biss jekk is-suġġett tad-data ma jkunx f’pożizzjoni li jesprimi l-intenzjoni tiegħu jew tagħha, u ma jkunx jista’ jinkiseb kunsens minn qabel) (59).

(40)

L-istituzzjonijiet pubbliċi jistgħu jużaw ukoll data personali jew jipprovduha lil terzi għal għan differenti f’ċerti sitwazzjonijiet. Dan jinkludi każijiet fejn inkella jkun impossibbli għall-istituzzjonijiet pubbliċi li jwettqu d-dmirijiet statutorji tagħhom kif stabbiliti mil-liġi, suġġett għall-awtorizzazzjoni tal-PIPC. Barra minn hekk, l-istituzzjonijiet pubbliċi jistgħu jipprovdu data personali lil awtorità jew qorti oħra, fejn dan ikun meħtieġ għall-investigazzjoni u l-prosekuzzjoni ta’ reati jew att ta’ akkuża; sabiex qorti twettaq il-funzjonijiet tagħha relatati ma’ proċedimenti ġudizzjarji pendenti; jew għall-eżekuzzjoni ta’ piena kriminali, jew ordni ta’ kura jew kustodja (60). Huma jistgħu jipprovdu wkoll data personali lil gvern barrani jew lil organizzazzjoni internazzjonali biex jikkonformaw ma’ obbligu legali li jirriżulta minn trattat jew minn konvenzjoni internazzjonali, f’liema każ ikollhom jikkonformaw ukoll mar-rekwiżiti għat-trasferimenti tad-data transfruntiera (ara l-premessa (90)).

(41)

Għalhekk, il-prinċipji tal-legalità u tal-ġustizzja tal-ipproċessar huma implimentati fil-qafas legali tal-Korea b’mod essenzjalment ekwivalenti għar-Regolament (UE) 2016/679, billi jippermettu l-ipproċessar biss abbażi ta’ raġunijiet leġittimi u definiti b’mod ċar. Barra minn hekk, fil-każijiet kollha msemmija, l-ipproċessar huwa permess biss jekk ma jkunx probabbli li “jikser b’mod inġust” l-interessi tas-suġġett tad-data jew ta’ terzi, li teħtieġ bilanċ tal-interessi. Barra minn hekk, l-Artikolu 18(5) tal-PIPA jippreskrivi salvagwardji addizzjonali meta l-kontrollur jipprovdi d-data personali lil terzi, li tista’ tinkludi talba biex jiġu ristretti l-għan u l-metodu tal-użu, jew biex jiġu stabbiliti miżuri speċifiċi ta’ sigurtà. Min-naħa tagħhom, it-terzi huma meħtieġa jimplimentaw il-miżuri mitluba.

(42)

Fl-aħħar nett, l-Artikolu 28-2 tal-PIPA jippermetti l-ipproċessar (ulterjuri) ta’ informazzjoni psewdonimizzata mingħajr il-kunsens tal-individwu kkonċernat għall-għanijiet tal-istatistika, tar-riċerka xjentifika (61) u tal-arkivjar fl-interess pubbliku, suġġett għal salvagwardji speċifiċi. B’mod simili għar-Regolament (UE) 2016/679 (62), il-PIPA għalhekk jiffaċilita (aktar) l-ipproċessar tad-data personali għal tali għanijiet fil-qafas li jipprevedi salvagwardji xierqa biex jiġu protetti d-drittijiet tal-individwi. Minflok ma wieħed jibbaża fuq psewdonimizzazzjoni bħala salvagwardja possibbli l-PIPA jimponiha bħala prekundizzjoni sabiex jitwettqu ċerti attivitajiet ta’ proċessar għall-għanijiet tal-istatistika, ir-riċerka xjentifika u l-arkivjar fl-interess pubbliku (bħal li tkun tista’ tiġi pproċessata d-data mingħajr kunsens jew li jiġu kkombinati settijiet tad-data differenti).

(43)

Barra minn hekk, il-PIPA jimponi għadd ta’ salvagwardji speċifiċi, b’mod partikolari f’termini ta’ miżuri tekniċi u organizzattivi meħtieġa, iż-żamma tar-rekords, il-limitazzjonijiet fuq il-kondiviżjoni tad-data u l-indirizzar tar-riskji possibbli ta’ identifikazzjoni mill-ġdid. Il-kombinament tad-diversi salvagwardji deskritti fil-premessi (44) - (48) tiżgura li l-ipproċessar tad-data personali f’dan il-kuntest ikun suġġett għal protezzjonijiet essenzjalment ekwivalenti meta mqabbla ma’ dawk li jkunu meħtieġa skont ir-Regolament (UE) 2016/679.

(44)

L-ewwel nett, u l-aktar importanti, l-Artikolu 28-5(1) tal-PIPA jipprojbixxi l-ipproċessar ta’ informazzjoni psewdonimizzata bl-għan li jiġi identifikat individwu partikolari. Jekk madankollu tiġi ġġenerata informazzjoni li tista’ tidentifika lil individwu waqt l-ipproċessar ta’ informazzjoni psewdonimizzata, il-kontrollur irid jissospendi minnufih l-ipproċessar u jeqred tali informazzjoni (l-Artikolu 28-5(2) tal-PIPA). In-nuqqas ta’ konformità ma’ dawn id-dispożizzjonijiet huwa suġġett għal multi amministrattivi u jikkostitwixxi reat kriminali (63). Dan ifisser li, anke f’dawk is-sitwazzjonijiet fejn ikun prattikament possibbli li jiġi identifikat mill-ġdid l-individwu, tali identifikazzjoni mill-ġdid hija legalment ipprojbita.

(45)

It-tieni, meta tiġi pproċessata (aktar) informazzjoni psewdonimizzata għal tali għanijiet, il-kontrollur huwa meħtieġ jistabbilixxi miżuri teknoloġiċi, maniġerjali u fiżiċi speċifiċi biex tiġi żgurata s-sigurtà tal-informazzjoni (inkluż il-ħżin u l-ġestjoni b’mod separat tal-informazzjoni li hija meħtieġa biex tiġi restawrata l-informazzjoni psewdonimizzata għall-istat oriġinali tagħha) (64). Barra minn hekk, iridu jinżammu rekords tal-informazzjoni psewdonimizzata pproċessata, l-iskop tal-ipproċessar, l-istorja tal-użu u kwalunkwe riċevitur terz (l-Artikolu 29-5(2) tad-Digriet tal-Infurzar tal-PIPA).

(46)

It-tielet u l-aħħar nett, il-PIPA jipprevedi salvagwardji speċifiċi biex tiġi evitata l-identifikazzjoni ta’ individwi minn terzi fil-każ fejn l-informazzjoni tiġi kondiviża. B’mod partikolari, meta jipprovdu informazzjoni psewdonimizzata lil terzi għall-iskopijiet tal-istatistika, tar-riċerka xjentifika jew tal-arkivjar fl-interess pubbliku, il-kontrolluri jistgħu ma jinkludux informazzjoni li tista’ tintuża biex jiġi identifikat individwu speċifiku (l-Artikolu 28-2(2) tal-PIPA) (65).

(47)

B’mod aktar speċifiku, filwaqt li l-PIPA jippermetti l-kombinament ta’ informazzjoni psewdonimizzata (ipproċessata minn kontrolluri differenti) għall-iskopijiet tal-istatistika, tar-riċerka xjentifika jew tal-arkivjar fl-interess pubbliku, huwa jirriżerva dik is-setgħa lil istituzzjonijiet speċjalizzati mgħammra b’faċilitajiet speċifiċi ta’ sigurtà (l-Artikolu 28-3(1) tal-PIPA) (66). Meta japplika għal kombinament ta’ data psewdonimizzata, kontrollur irid jissottometti dokumentazzjoni dwar, fost l-oħrajn, id-data li għandha tiġi kkombinata, l-iskop tal-kombinament, kif ukoll il-miżuri ta’ sigurtà proposti għall-ipproċessar tad-data kkombinata (67). Sabiex jippermetti l-kombinament, il-kontrollur għandu jibgħat id-data li għandha tiġi kkombinata lill-istituzzjoni speċjalizzata u jipprovdi “ċavetta tal-kombinament” (jiġifieri l-informazzjoni li ntużat għall-psewdonimizzazzjoni) lill-Aġenzija tal-Internet u s-Sigurtà tal-Korea (68). Din tal-aħħar tiġġenera “data tal-link għaċ-ċavetta tal-kombinament” (li tippermetti r-rabta taċ-ċwievet tal-kombinament ta’ applikanti differenti sabiex jinkiseb kombinament tas-settijiet tad-data) u tipprovdihom lill-istituzzjoni speċjalizzata (69).

(48)

Il-kontrollur li jitlob kombinament jista’ janalizza l-informazzjoni kkombinata fil-bini tal-istituzzjoni speċjalizzata, fi spazju fejn jiġu applikati miżuri ta’ sigurtà tekniċi, fiżiċi u amministrattivi speċifiċi (l-Artikolu 29-3 tad-Digriet tal-Infurzar tal-PIPA). Il-kontrolluri li jikkontribwixxu sett tad-data għal tali kombinament jistgħu jieħdu biss id-data kkombinata barra mill-istituzzjoni speċjalizzata wara psewdonimizzazzjoni jew anonimizzazzjoni ulterjuri tad-data kkombinata, u bl-approvazzjoni ta’ dik l-istituzzjoni (l-Artikolu 28-3(2) tal-PIPA) (70). Meta tikkunsidra jekk tagħtix tali approvazzjoni jew le, l-istituzzjoni tivvaluta r-rabta bejn id-data kkombinata u l-iskop tal-ipproċessar u jekk ikunx tfassal pjan ta’ sigurtà speċifiku għall-użu ta’ tali data (71). L-esportazzjoni tal-informazzjoni kkombinata barra l-istituzzjoni ma tkunx permessa jekk l-informazzjoni jkun fiha data li tippermetti l-identifikazzjoni ta’ individwu (72). Fl-aħħar nett, il-kombinament u r-rilaxx tad-data psewdonimizzata mill-istituzzjoni speċjalizzata huma ssorveljati mill-PIPC (l-Artikolu 29-4(3) tad-Digriet tal-Infurzar tal-PIPA).

(49)

Jenħtieġ li jkunu jeżistu salvagwardji speċifiċi fejn ikunu qed jiġu pproċessati “kategoriji speċjali” tad-data.

(50)

Il-PIPA fih regoli speċifiċi fir-rigward tal-ipproċessar tad-data sensittiva (73), li hija ddefinita bħala data personali li tiżvela informazzjoni dwar l-ideoloġija, it-twemmin, l-ammissjoni għal trade union jew minn partit politiku jew l-irtirar minnhom, opinjonijiet politiċi, saħħa, u l-ħajja sesswali ta’ individwu, kif ukoll informazzjoni personali oħra li x’aktarx thedded il-privatezza tas-suġġett tad-data“notevolment” u li ġiet preskritta bħala informazzjoni sensittiva mid-Digriet tal-President. (74) Skont il-kjarifiki riċevuti mill-PIPC, il-ħajja sesswali hija interpretata li tkopri wkoll l-orjentazzjoni jew il-preferenzi sesswali tal-individwu (75). Barra minn hekk, l-Artikolu 18 tad-Digriet tal-Infurzar iżid kategoriji oħra mal-ambitu tad-data sensittiva, b’mod partikolari informazzjoni dwar id-DNA miksuba mill-ittestjar ġenetiku u data li tikkostitwixxi fedina kriminali. L-emenda riċenti tad-Digriet tal-Infurzar tal-PIPA kompliet twessa’ l-kunċett tad-data sensittiva, billi tinkludi wkoll data personali li tiżvela l-oriġini razzjali jew etnika u informazzjoni bijometrika (76). Wara dik l-emenda, il-kunċett ta’ data sensittiva skont il-PIPA huwa essenzjalment ekwivalenti għal dak fl-Artikolu 9 tar-Regolament (UE) 2016/679.

(51)

Skont l-Artikolu 23(1) tal-PIPA u b’mod simili għal dak li huwa pprovdut skont l-Artikolu 9(1) tar-Regolament (UE) 2016/679, l-ipproċessar tad-data sensittiva huwa ġeneralment ipprojbit, sakemm ma tkunx tapplika waħda mill-eċċezzjonijiet enumerati (77). Dawn jillimitaw l-ipproċessar għal każijiet fejn il-kontrollur jinforma lis-suġġett tad-data f’konformità mal-Artikoli 15 u 17 tal-PIPA u jikseb kunsens separat (jiġifieri separat mill-kunsens għall-ipproċessar ta’ data personali oħra), jew fejn l-ipproċessar ikun meħtieġ jew permess mill-istatut. L-awtoritajiet pubbliċi jistgħu jipproċessaw ukoll informazzjoni bijometrika, informazzjoni dwar id-DNA miksuba mill-ittestjar ġenetiku, informazzjoni personali li tiżvela l-oriġini razzjali jew etnika u data li tikkostitwixxi rekord tal-fedina penali għal dawk ir-raġunijiet li huma esklużivament disponibbli għalihom (pereżempju, fejn ikun meħtieġ għall-investigazzjoni ta’ reati jew fejn ikun meħtieġ għal qorti biex tipproċedi b’każ) (78). Bħala tali, il-bażijiet legali disponibbli għall-ipproċessar tad-data sensittiva huma aktar limitati minn tipi oħra tad-data personali, u saħansitra aktar restrittivi fid-dritt tal-Korea milli huma skont l-Artikolu 9(2) tar-Regolament (UE) 2016/679.

(52)

Barra minn hekk, l-Artikolu 23(2) tal-PIPA – li n-nuqqas ta’ konformità miegħu jista’ jwassal għal sanzjonijiet (79) – jenfasizza l-importanza partikolari li tiġi żgurata sigurtà xierqa meta tiġi ttrattata data sensittiva sabiex “ma tkunx tista’ tintilef, tinsteraq, tiġi divulgata, iffalsifikata, alterata jew danneġġata.” Filwaqt li dan huwa rekwiżit ġenerali skont l-Artikolu 29 tal-PIPA, l-Artikolu 3(4) jagħmilha ċara li l-livell ta’ sigurtà jrid jiġi adattat għat-tip ta’ data personali li tiġi pproċessata, li jfisser li jridu jittieħdu inkunsiderazzjoni r-riskji partikolari involuti fl-ipproċessar tad-data sensittiva. Barra minn hekk, l-ipproċessar tad-data għandu dejjem jitwettaq “b’mod li jimminimizza l-possibbiltà ta’ ksur” tal-privatezza tas-suġġett tad-data, u jekk ikun possibbli “fl-anonimità” (l-Artikolu 3(6) u (7) tal-PIPA). Dawn ir-rekwiżiti huma partikolarment rilevanti fejn l-ipproċessar jikkonċerna data sensittiva.

(53)

Jenħtieġ li d-data personali tiġi pproċessata għal skop speċifiku u sussegwentement tintuża biss dment li l-użu ma jkunx inkompatibbli mal-iskop tal-ipproċessar.

(54)

Dan il-prinċipju huwa żgurat mill-Artikolu 3(1) u (2) tal-PIPA, li jistipulaw li l-kontrollur għandu “jispeċifika u jespliċita” l-iskop tal-ipproċessar, għandu jipproċessa d-data personali b’mod xieraq meħtieġ għal dan il-għan u ma għandux jużah lil hinn minn dan l-iskop. Il-prinċipju ġenerali tal-limitazzjoni tal-iskop huwa kkonfermat ukoll fl-Artikoli 15(1), 18(1), 19 u – għall-proċessuri (l-hekk imsejħa “appaltaturi”) – fl-Artikolu 26(1) lit. 1, (5) u (7) tal-PIPA. B’mod partikolari, id-data personali tista’ fil-prinċipju tintuża u tiġi pprovduta biss lil terzi fil-kamp ta’ applikazzjoni tal-għan li għalih tkun inġabret (l-Artikolu 15(1) u 17(1) lit. 2). L-ipproċessar għal skop kompatibbli, jiġifieri “fl-ambitu raġonevolment relatat mal-iskop inizjali tal-ġbir”, jista’ jsir biss jekk ma jaffettwax b’mod negattiv is-suġġetti tad-data kkonċernati u jekk jiġu adottati miżuri ta’ sigurtà meħtieġa (bħall-kriptaġġ) (l-Artikoli 15(3) u 17(4) tal-PIPA). Sabiex jiġi ddeterminat jekk l-ipproċessar ulterjuri huwiex għal skop kompatibbli, id-Digriet tal-Infurzar tal-PIPA jelenka kriterji speċifiċi li huma simili għal dawk ipprovduti mill-Artikolu 6(4) tar-Regolament (UE) 2016/679, ara l-premessa (36).

(55)

Kif spjegat fil-premessa (38), l-għan tal-ġbir fil-każ ta’ kontrolluri Koreani li jirċievu data personali mill-Unjoni huwa l-għan li għalih tiġi ttrasferita d-data. Bidla fl-iskop mill-kontrollur hija permessa biss b’mod eċċezzjonali, f’każijiet speċifiċi (enumerati) (l-Artikolu 18(2) lit. 1-3 tal-PIPA, ara wkoll il-premessa (39)). Sakemm bidla ta' skop tkun awtorizzata mil-liġi, tali liġijiet, min-naħa tagħhom, iridu jirrispettaw id-dritt fundamentali tal-privatezza u l-protezzjoni tad-data, kif ukoll il-prinċipji ta' neċessità u proporzjonalità stipulati fil-Kostituzzjoni Koreana. Barra minn hekk, l-Artikolu 18(2) u (5) tal-PIPA jipprevedi salvagwardji addizzjonali, b’mod partikolari r-rekwiżit li tali bidla fl-iskop ma tridx “tikser b’mod inġust fuq l-interess ta’ suġġett tad-data”, u b’hekk dejjem teħtieġ bilanċ tal-interessi. Dan jipprevedi livell ta’ protezzjoni essenzjalment ekwivalenti għal dak skont l-Artikolu 5(1) lit. B) u l-Artikolu 6, flimkien mal-premessa 50 tar-Regolament (UE) 2016/679.

(56)

Jenħtieġ li d-data tkun akkurata u, fejn meħtieġ, tinżamm aġġornata. Din jenħtieġ li tkun ukoll adegwata, relevanti u limitata għal dak li huwa neċessarju b’rabta mal-iskopijiet li għaliha tiġi proċessata.

(57)

Il-prinċipju tal-preċiżjoni huwa rikonoxxut b’mod simili fl-Artikolu 3(3) tal-PIPA, li jirrikjedi li d-data personali tkun “preċiża, kompluta u aġġornata sal-punt meħtieġ fir-rigward tal-għanijiet” li għalihom tiġi pproċessata d-data. Il-minimizzazzjoni tad-data hija meħtieġa skont l-Artikoli 3(1), (6) u 16(1) tal-PIPA, li jistipulaw li l-kontrollur għandu (biss) jiġbor data personali “sal-minimu meħtieġ” għall-iskop maħsub, u li jkollu l-oneru tal-prova f’dan ir-rigward. Jekk ikun possibbli li jiġi ssodisfat l-għan tal-ġbir billi tiġi pproċessata l-informazzjoni f’forma anonimizzata, il-kontrolluri jenħtieġ li jagħmlu ħilithom biex jagħmlu dan (l-Artikolu 3(7) tal-PIPA).

(58)

Fil-prinċipju d-data jenħtieġ li tinżamm għal mhux aktar minn kemm ikun meħtieġ għall-għanijiet li għalihom tiġi proċessata d-data personali.

(59)

Il-prinċipju tal-limitazzjoni tal-ħżin huwa pprovdut bl-istess mod mill-Artikolu 21(1) tal-PIPA (80), li jirrikjedi li l-kontrollur “jeqred” (81) id-data personali mingħajr dewmien mal-kisba tal-iskop tal-ipproċessar jew mal-iskadenza tal-perjodu taż-żamma (skont liema jiġi l-ewwel), sakemm ma tkunx meħtieġa żamma ulterjuri mill-istatut (82). Fil-każ tal-aħħar, id-data personali rilevanti “għandha tinħażen u tiġi ġestita separatament minn informazzjoni personali oħra” (l-Artikolu 21(3) tal-PIPA).

(60)

L-Artikolu 21(1) tal-PIPA ma japplikax meta data psewdonimizzata tkun ipproċessata għal għanijiet statistiċi, riċerka xjentifika jew arkivjar fl-interess pubbliku (83). Sabiex jiġi żgurat il-prinċipju taż-żamma limitata tad-data anke f’dan il-każ, in-Notifika 2021-5 tirrikjedi li l-kontrolluri jirrendu anonima l-informazzjoni f’konformità mal-Artikolu 58-2 tal-PIPA jekk id-data ma tkunx inqerdet malli jiġi ssodisfat l-iskop speċifiku tal-ipproċessar (84).

(61)

Id-data personali jenħtieġ li tiġi proċessata b’mod li jiżgura s-sigurtà tagħha, inkluża protezzjoni kontra l-ipproċessar mhux awtorizzat jew illegali u kontra telf, qerda jew ħsara aċċidentali. Għal dak l-għan, jenħtieġ li l-operaturi tan-negozji jieħdu miżuri tekniċi jew organizzazzjonali xierqa sabiex jipproteġu d-data personali minn theddidiet possibbli. Dawn il-miżuri jenħtieġ li jiġu vvalutati filwaqt li jitqiesu l-ogħla livell ta’ żvilupp tekniku, il-kostijiet relatati u n-natura, l-ambitu, il-kuntest u l-għanijiet tal-ipproċessar, kif ukoll ir-riskji għad-drittijiet tal-individwi.

(62)

Prinċipju simili ta’ sigurtà huwa stabbilit fl-Artikolu 3(4) tal-PIPA, li jirrikjedi li l-kontrolluri “jimmaniġġjaw l-informazzjoni personali b’mod sikur skont il-metodi ta’ proċessar, it-tipi, eċċ. ta’ informazzjoni personali, filwaqt li titqies il-possibbiltà ta’ ksur dwar id-drittijiet tas-suġġett tad-data u s-severità tar-riskji rilevanti”. Barra minn hekk, il-kontrollur “għandu jipproċessa l-informazzjoni personali b’mod li jimminimizza l-possibbiltà ta’ ksur tal-privatezza ta’ suġġett tad-data”, u f’dan il-kuntest għandu jagħmel ħiltu biex jipproċessa d-data personali fl-anonimità jew f’forma psewdonimizzata, jekk possibbli (l-Artikolu 3(6) u (7) tal-PIPA).

(63)

Dawn ir-rekwiżiti ġenerali huma elaborati aktar fl-Artikolu 29 tal-PIPA, li jistabbilixxi li kull kontrollur “għandu jieħu tali miżuri tekniċi, maniġerjali u fiżiċi bħal li jistabbilixxi pjan ta’ ġestjoni intern u jippreserva r-rekords tar-reġistru, eċċ. li huma meħtieġa biex tiġi żgurata s-sikurezza kif preskritt mid-Digriet tal-President sabiex l-informazzjoni personali ma tkunx tista’ tintilef, tinsteraq, tiġi divulgata, falsifikata, alterata jew danneġġata.” L-Artikolu 30(1) tad-Digriet tal-Infurzar tal-PIPA jispeċifika dawk il-miżuri billi jirreferi għal (1) il-formulazzjoni u l-implimentazzjoni ta’ pjan ta’ ġestjoni intern għall-ipproċessar sikur tad-data personali, (2) il-kontrolli u r-restrizzjonijiet tal-aċċess, (3) l-adozzjoni ta’ teknoloġija tal-kriptaġġ biex id-data personali tinħażen u tiġi trażmessa b’mod sikur (4) programmi ta’ sigurtà tar-rekords tal-login (5), u (6) miżuri fiżiċi bħal sistema ta’ ħżin jew ta’ għeluq sikuri (85).

(64)

Barra minn hekk, japplikaw obbligi speċifiċi jekk iseħħ ksur tad-data (l-Artikolu 34 tal-PIPA flimkien mal-Artikoli 39 u 40 tad-Digriet tal-Infurzar tal-PIPA) (86). B’mod partikolari, il-kontrollur huwa meħtieġ jinnotifika lis-suġġetti tad-data li jkunu ntlaqtu ħażin bid-dettalji tal-ksur mingħajr dewmien, inkluża informazzjoni dwar il-kontromiżuri (obbligatorji) meħuda mill (87)-kontrollur u x’jistgħu jagħmlu s-suġġetti tad-data biex jiġi mminimizzat ir-riskju ta’ ħsara (l-Artikolu 34(1), (2) tal-PIPA) (88). Meta l-ksur tad-data jikkonċerna mill-inqas 1 000 suġġett tad-data, il-kontrollur għandu, mingħajr dewmien, jirrapporta wkoll il-ksur tad-data u l-kontromiżuri meħuda lill-PIPC u lill-Aġenzija tal-Internet u s-Sigurtà tal-Korea, li jistgħu jipprovdu assistenza teknika (l-Artikolu 34(3) tal-PIPA flimkien mal-Artikolu 39 tad-Digriet tal-Infurzar tal-PIPA). Il-kontrolluri huma responsabbli għad-danni li jirriżultaw minn ksur tad-data, f’konformità mad-dispożizzjonijiet tal-Att Ċivili dwar ir-responsabbiltà għad-danni (ara wkoll it-Taqsima 2.5 dwar ir-rimedju) (89).

(65)

Fil-konformità mal-obbligi tas-sigurtà tiegħu, il-kontrollur irid ikun assistit minn uffiċjal tal-privatezza, li l-kompiti tiegħu jinkludu, fost l-oħrajn, il-bini ta’ sistema ta’ kontroll intern “għall-prevenzjoni tad-divulgazzjoni, l-abbuż u l-użu ħażin tal-informazzjoni personali” (l-Artikolu 31(2) lit. 4 tal-PIPA). Barra minn hekk, il-kontrollur għandu d-dmir li jwettaq “kontroll u superviżjoni xierqa” ta’ dawk mill-persunal tiegħu li jipproċessaw data personali, inkluż fir-rigward tal-ġestjoni sikura tiegħu; dan jinkludi t-taħriġ meħtieġ (“edukazzjoni”) tal-impjegati (l-Artikolu 28(1), (2) tal-PIPA). Fl-aħħar nett, fil-każ ta’ sottoproċessar, il-kontrollur irid jimponi rekwiżiti fuq “appaltatur” fost l-oħrajn fir-rigward tal-ġestjoni sikura tad-data personali (“salvagwardji tekniċi u maniġerjali”), u jrid jissupervizza kif dawn jiġu implimentati permezz ta’ spezzjonijiet (l-Artikolu 26(1) u (4) tal-PIPA flimkien mal-Artikolu 28(1) lit. 3, 4 u (6) tad-Digriet tal-Infurzar tal-PIPA).

(66)

Jenħtieġ li s-suġġetti tad-data jiġu informati dwar il-karatteristiċi ewlenin tal-ipproċessar tad-data personali tagħhom.

(67)

Dan huwa żgurat b’modi differenti fis-sistema Koreana. Minbarra d-dritt għall-informazzjoni skont l-Artikolu 4 lit. 1 (b’mod ġenerali) u l-Artikolu 20(1) tal-PIPA (għad-data personali miġbura minn terzi), kif ukoll id-dritt ta’ aċċess skont l-Artikolu 35 tal-PIPA, il-PIPA jinkludi rekwiżit ta’ trasparenza ġenerali fir-rigward tal-iskop tal-ipproċessar (l-Artikolu 3(1) tal-PIPA) u rekwiżiti speċifiċi ta’ trasparenza fil-każ fejn l-ipproċessar ikun ibbażat fuq il-kunsens (l-Artikoli 15(2), 17(2) u 18(3) tal-PIPA) (90). Barra minn hekk, l-Artikolu 20(2) tal-PIPA jirrikjedi li ċerti kontrolluri – dawk li l-ipproċessar tagħhom jaqbeż ċerti limiti (91) – jinnotifikaw lis-suġġett tad-data li d-data personali tiegħu jkunu rċevewha minn terzi dwar is-sors tal-informazzjoni, l-iskop tal-ipproċessar u d-dritt tas-suġġett tad-data li jitlob sospensjoni tal-ipproċessar, sakemm tali notifika ma tkunx impossibbli minħabba n-nuqqas ta’ kwalunkwe informazzjoni ta’ kuntatt. L-eċċezzjonijiet japplikaw għal ċerti fajls tad-data personali miżmuma mill-awtoritajiet pubbliċi, b’mod partikolari fajls li fihom data pproċessata għas-sigurtà nazzjonali, interessi nazzjonali oħra partikolarment importanti (“gravi”), jew għanijiet ta’ infurzar tal-liġi kriminali, jew fejn in-notifika x’aktarx tikkawża ħsara lill-ħajja jew lill-persuna ta’ persuna oħra, jew tagħmel ħsara inġustament lill-proprjetà u lil interessi oħra ta’ persuna oħra, madankollu biss meta l-interessi pubbliċi jew privati involuti jkunu “manifestament superjuri” għad-drittijiet tas-suġġetti tad-data kkonċernati (l-Artikolu 20(4) tal-PIPA). Dan jeħtieġ bilanċ tal-interessi.

(68)

Barra minn hekk, l-Artikolu 3(5) tal-PIPA jippreskrivi li l-kontrolluri għandhom jagħmlu l-politika ta’ privatezza tagħhom (u kwistjonijiet oħra relatati mal-ipproċessar tad-data personali) pubblika. Dan ir-rekwiżit huwa speċifikat aktar fl-Artikolu 30 tal-PIPA flimkien mal-Artikolu 31 tad-Digriet tal-Infurzar tal-PIPA. Skont dawk id-dispożizzjonijiet, il-politika dwar il-privatezza pubblika trid tinkludi fost l-oħrajn (1) it-tipi tad-data personali pproċessata, (2) l-iskop tal-ipproċessar, (3) il-perjodu taż-żamma, (4) jekk id-data personali tiġix ipprovduta lil terzi (92), (5) kwalunkwe sottoproċessar, (6) informazzjoni dwar id-drittijiet tas-suġġett tad-data u kif għandu jiġi eżerċitat u (7) informazzjoni ta’ kuntatt (inkluż l-isem tal-uffiċjal tal-privatezza jew tad-dipartiment intern responsabbli biex jiżgura l-konformità mar-regoli dwar il-protezzjoni tad-data u t-trattament tal-ilmenti). Il-politika dwar il-privatezza trid issir disponibbli għall-pubbliku b’tali mod li s-suġġetti tad-data“jistgħu jirrikonoxxuha b’faċilità” (l-Artikolu 30(2) tal-PIPA) (93) u trid tiġi aġġornata kontinwament (l-Artikolu 31(2) tad-Digriet tal-Infurzar tal-PIPA).

(69)

L-istituzzjonijiet pubbliċi huma soġġetti għal obbligu addizzjonali li jirreġistraw, b’mod partikolari, l-informazzjoni li ġejja mal-PIPC: (1) l-isem tal-istituzzjoni pubblika, (2) ir-raġunijiet u l-għanijiet għall-ipproċessar tal-fajls tad-data personali, (3) id-dettalji tad-data personali li tiġi rreġistrata, (4) il-metodu tal-ipproċessar, (5) il-perjodu taż-żamma, (6) l-għadd ta’ suġġetti tad-data li d-data personali tagħhom tinżamm, (7) id-dipartiment li jittratta t-talbiet għas-suġġetti tad-data u (8) ir-riċevituri tad-data personali meta d-data tiġi pprovduta b’mod regolari jew b’mod ripetut (l-Artikolu 32(1) tal-PIPA) (94). Il-fajls tad-data personali rreġistrati jiġu ppubblikati mill-PIPC u jridu jiġu referenzjati wkoll mill-istituzzjonijiet pubbliċi fil-politika tagħhom dwar il-privatezza (l-Artikoli 30(1) u 32(4) tal-PIPA).

(70)

Biex tissaħħaħ it-trasparenza għas-suġġetti tad-data fl-Unjoni li d-data personali tagħhom tiġi ttrasferita lill-Korea abbażi ta’ din id-Deċiżjoni, it-Taqsima 3(i) u (ii) tan-Notifika 2021-5 (l-Anness I) timponi rekwiżiti ta’ trasparenza addizzjonali. L-ewwel nett, meta jirċievu data personali mill-Unjoni abbażi ta’ din id-Deċiżjoni, il-kontrolluri Koreani jridu jinnotifikaw lis-suġġetti tad-data kkonċernati mingħajr dewmien żejjed (u fi kwalunkwe każ mhux aktar tard minn xahar mit-trasferiment) bl-isem u d-dettalji ta’ kuntatt tal-entitajiet li jittrasferixxu u jirċievu l-informazzjoni, id-data personali (jew il-kategoriji tad-data personali) ittrasferita, l-iskop tal-ġbir mill-kontrollur tal-Korea, il-perjodu ta’ żamma u d-drittijiet disponibbli taħt il-PIPA. It-tieni, meta tiġi pprovduta data personali riċevuta mill-Unjoni abbażi ta’ din id-Deċiżjoni lil terzi, is-suġġetti tad-data jridu jiġu informati inter alia dwar ir-riċevitur, id-data personali jew il-kategoriji tad-data personali li għandhom jiġu pprovduti, il-pajjiż li għalih tiġi pprovduta d-data (fejn applikabbli), kif ukoll id-drittijiet disponibbli taħt il-PIPA (95). B’dan il-mod, in-Notifika tiżgura li l-individwi tal-UE jkomplu jiġu informati dwar il-kontrolluri speċifiċi li jipproċessaw l-informazzjoni tagħhom u jkunu jistgħu jeżerċitaw id-drittijiet tagħhom fil-konfront tal-entitajiet rilevanti.

(71)

It-Taqsima 3(iii) tan-Notifika (l-Anness I) tippermetti ċerti eċċezzjonijiet limitati u kwalifikati għal dawn l-obbligi ta’ trasparenza addizzjonali li huma essenzjalment ekwivalenti għal dawk ipprovduti skont ir-Regolament (UE) 2016/679. B’mod partikolari, in-Notifika tas-suġġetti tad-data fl-Unjoni ma hijiex meħtieġa (1) fejn u sakemm ikun meħtieġ li tiġi ristretta n-notifika għal ċerti raġunijiet ta’ interess pubbliku (pereżempju fejn l-informazzjoni tiġi pproċessata għall-għanijiet tas-sigurtà nazzjonali jew tal-investigazzjonijiet kriminali pendenti), sa fejn dawn l-objettivi ta’ interess pubbliku jkunu manifestament superjuri għad-drittijiet tas-suġġett tad-data; (2) is-suġġett tad-data diġà għandu l-informazzjoni; (3) fejn u sakemm in-notifika x’aktarx tikkawża ħsara lill-ħajja jew lill-persuna tal-individwu jew ta’ persuna oħra, jew tikser b’mod inġust l-interessi ta’ proprjetà ta’ persuna oħra, fejn dawk id-drittijiet jew l-interessi jkunu manifestament superjuri għad-drittijiet tas-suġġett tad-data; jew (4) fejn ma jkun hemm l-ebda dettalji ta’ kuntatt għall-individwi kkonċernati, jew ikun meħtieġ sforz sproporzjonat biex dawn jiġu nnotifikati. Fid-determinazzjoni dwar jekk huwiex possibbli jew le li s-suġġett tad-data jiġi kkuntattjat, jew jekk dan jinvolvix sforzi eċċessivi, għandha tittieħed inkunsiderazzjoni l-possibbiltà ta’ kooperazzjoni mal-esportatur tad-data fl-Unjoni.

(72)

Ir-regoli fil-premessi (67) - (71) għalhekk jiżguraw livell ta’ protezzjoni essenzjalment ekwivalenti fir-rigward tat-trasparenza fir-rigward ta’ dak li huwa previst skont ir-Regolament (UE) 2016/679.

(73)

Jenħtieġ li s-suġġetti tad-data jkollhom ċerti drittijiet li jistgħu jiġu infurzati kontra l-kontrollur jew il-proċessur, b’mod partikolari d-dritt ta’ aċċess għad-data, id-dritt ta’ oġġezzjoni għall-ipproċessar u d-dritt li d-data tiġi rrettifikata u titħassar. Fl-istess ħin, tali drittijiet jistgħu jkunu soġġetti għal restrizzjonijiet, sa fejn dawn ir-restrizzjonijiet ikunu meħtieġa u proporzjonati sabiex jissalvagwardjaw objettivi importanti ta’ interess pubbliku ġenerali.

(74)

Skont l-Artikolu 3(5) tal-PIPA, il-kontrollur għandu jiggarantixxi d-drittijiet tas-suġġett tad-data elenkati fl-Artikolu 4 tal-PIPA u speċifikati aktar fl-Artikoli 35 sa 37, 39 u 39-2 tal-PIPA.

(75)

L-ewwel nett, l-individwi għandhom drittijiet għall-informazzjoni u għall-aċċess. Meta l-kontrollur ikun ġabar data personali minn terzi – kif dejjem ikun il-każ fejn id-data tiġi ttrasferita mill-Unjoni – is-suġġetti tad-data ġeneralment ikollhom id-dritt li jirċievu informazzjoni dwar (1) is-“sors” tad-data personali miġbura (jiġifieri t-trasferent), (2) l-għan tal-ipproċessar u (3) il-fatt li s-suġġett tad-data huwa intitolat li jitlob sospensjoni tal-ipproċessar (l-Artikolu 20(1) tal-PIPA). Japplikaw eċċezzjonijiet limitati, jiġifieri fejn tali notifika x’aktarx tikkawża ħsara lill-ħajja jew lill-persuna ta’ individwu ieħor, jew “tagħmel ħsara inġustament lill-proprjetà u lil interessi oħra” ta’ persuna oħra, iżda biss meta dawn l-interessi ta’ terzi jkunu “espliċitament superjuri” għad-drittijiet tas-suġġett tad-data (l-Artikolu 20(4) lit. 2 tal-PIPA).

(76)

Barra minn hekk, l-Artikolu 35(1) u (3) tal-PIPA flimkien mal-Artikolu 41(4) tad-Digriet tal-Infurzar tal-PIPA jipprovdi lis-suġġetti tad-data bid-dritt ta’ aċċess għall-informazzjoni personali tagħhom (96). Id-dritt ta’ aċċess ikopri l-konferma dwar l-ipproċessar, l-informazzjoni dwar it-tip tad-data pproċessata, l-iskop tal-ipproċessar, il-perjodu taż-żamma, kif ukoll kwalunkwe divulgazzjoni lil terzi, u l-għoti ta’ kopja tal-informazzjoni personali pproċessata (l-Artikolu 4 lit. 3 tal-PIPA flimkien mal-Artikolu 41(1) tad-Digriet tal-Infurzar tal-PIPA) (97). L-aċċess jista’ jkun limitat (aċċess parzjali) (98) jew miċħud biss meta dan ikun previst mil-liġi (99), fejn x’aktarx jikkawża ħsara lill-ħajja jew lill-persuna ta’ terzi, jew ksur mhux iġġustifikat ta’ proprjetà u interessi oħra ta’ persuna oħra (l-Artikolu 35(4) tal-PIPA) (100). Dan tal-aħħar jimplika li jenħtieġ li jsir ibbilanċjar bejn id-drittijiet u l-libertajiet protetti b’mod kostituzzjonali tal-individwu, minn naħa waħda, u ta’ persuni oħra, min-naħa l-oħra. Meta l-aċċess ikun limitat jew miċħud, il-kontrollur jeħtieġlu jinnotifika lis-suġġett tad-data bir-raġunijiet għal dan u kif jappella d-deċiżjoni (l-Artikoli 41(5), 42(2) tad-Digriet tal-Infurzar tal-PIPA).

(77)

It-tieni, is-suġġetti tad-data għandhom id-dritt għall-korrezzjoni jew għat-tħassir (101) tad-data personali tagħhom, “sakemm ma jkunx previst mod ieħor minn statuti oħra” (l-Artikolu 36(1) u (2) tal-PIPA) (102). Malli jirċievi talba, il-kontrollur irid jinvestiga l-kwistjoni mingħajr dewmien, jieħu l-miżuri meħtieġa (103) u jinnotifika lis-suġġett tad-data b’dan fi żmien 10 ijiem; meta t-talba ma tkunx tista’ tintlaqa’, dan ir-rekwiżit ta’ notifika jkopri r-raġunijiet għaċ-ċaħda u kif wieħed għandu jappella (ara l-Artikolu 36(4) tal-PIPA flimkien mal-Artikolu 43(3) tad-Digriet tal-Infurzar tal-PIPA) (104).

(78)

Fl-aħħar nett, is-suġġetti tad-data għandhom id-dritt għas-sospensjoni tal-ipproċessar tad-data personali tagħhom, mingħajr dewmien (105), sakemm ma tapplikax waħda mill-eċċezzjonijiet enumerati (l-Artikolu 37(1), (2) tal-PIPA) (106). Il-kontrollur jista’ jiċħad it-talba (1) meta din tkun awtorizzata speċifikament bil-liġi jew meħtieġa (“inevitabbli”) biex tikkonforma mal-obbligi legali, (2) fejn is-sospensjoni x’aktarx tikkawża dannu lill-ħajja jew lill-persuna ta’ terzi, jew ksur mhux ġustifikat ta’ proprjetà u interessi oħra ta’ persuna oħra, (3) fejn ikun impossibbli għal istituzzjoni pubblika li twettaq il-funzjoni tagħha kif preskritta mil-liġi mingħajr ma tipproċessa l-informazzjoni, jew (4) meta s-suġġett tad-data jonqos milli jittermina b’mod espliċitu l-kuntratt sottostanti mal-kontrollur minkejja li ma jkunx prattikabbli li jitwettaq il-kuntratt mingħajr tali proċessar tad-data. F’dan il-każ, il-kontrollur irid, mingħajr dewmien, jinnotifika lis-suġġett tad-data bir-raġunijiet għaċ-ċaħda u kif għandu jappella (l-Artikolu 37(2) tal-PIPA flimkien mal-Artikolu 44(2) tad-Digriet tal-Infurzar tal-PIPA). Skont l-Artikolu 37(4) tal-PIPA, il-kontrollur għandu, mingħajr dewmien, “jieħu l-miżuri meħtieġa inkluża l-qerda tal-informazzjoni personali rilevanti” meta jikkonforma mat-talba għal sospensjoni (107).

(79)

Id-dritt għas-sospensjoni japplika wkoll fejn id-data personali tintuża għal skopijiet ta’ kummerċjalizzazzjoni diretta, jiġifieri sabiex jiġu promossi l-oġġetti jew is-servizzi, jew jiġi mitlub ix-xiri tagħhom. Barra minn hekk, tali proċessar ulterjuri ġeneralment jeħtieġ il-kunsens (addizzjonali) speċifiku tas-suġġett tad-data (ara l-Artikolu 15(1) lit. 1, l-Artikolu 17(2) lit. 1 tal-PIPA) (108). Meta jitlob dan il-kunsens, il-kontrollur irid jinforma lis-suġġett tad-data b’mod partikolari dwar l-użu maħsub tad-data għal skopijiet ta’ kummerċjalizzazzjoni diretta – jiġifieri l-fatt li jista’ jiġi kkuntattjat biex jippromwovi oġġetti jew servizzi jew jitlob ix-xiri tagħha – b’“mod espliċitu rikonoxxibbli” (l-Artikolu 22(2), (4) tal-PIPA flimkien mal-Artikolu 17(2) lit. 1 tad-Digriet tal-Infurzar tal-PIPA).

(80)

Sabiex jiġi ffaċilitat l-eżerċitar tad-drittijiet individwali, il-kontrollur irid jistabbilixxi proċeduri ddedikati u jħabbarhom pubblikament (l-Artikolu 38(4) tal-PIPA). (109) Dan jinkludi proċeduri biex jitqajmu oġġezzjonijiet kontra ċ-ċaħda ta’ talba (l-Artikolu 38(5) tal-PIPA). Il-kontrollur irid jiżgura li l-proċedura għall-eżerċitar tad-drittijiet tkun “favorevoli għas-suġġett tad-data” u mhux aktar diffiċli minn dik għall-ġbir tad-data personali; dan jinkludi wkoll l-obbligu li tiġi pprovduta informazzjoni dwar il-proċedura fuq is-sit web tagħha (l-Artikoli 41(2), 43(1) u 44(1) tad-Digriet tal-Infurzar tal-PIPA). (110) L-individwi jistgħu jawtorizzaw rappreżentant biex jippreżenta talba bħal din (l-Artikolu 38(1) tal-PIPA flimkien mal-Artikolu 45 tad-Digriet tal-Infurzar tal-PIPA). Filwaqt li l-kontrollur huwa intitolat li jimponi tariffa (u, fil-każ ta’ talba għall-kopji bil-posta tad-data personali, posta), l-ammont għandu jiġi ddeterminat “fl-ispejjeż reali meħtieġa għall-ipproċessar ta’ [it-talba]”; ma tista’ tiġi imposta l-ebda tariffa (jew posta) meta l-kontrollur ikun ikkawża t-talba (l-Artikolu 38(3) tal-PIPA flimkien mal-Artikolu 47 tad-Digriet tal-Infurzar tal-PIPA).

(81)

Il-PIPA u d-Digriet tal-Infurzar tiegħu ma fihomx dispożizzjonijiet legali li jindirizzaw il-kwistjoni ta’ deċiżjonijiet li jaffettwaw lis-suġġett tad-data u bbażati biss fuq il-proċessar awtomatizzat tad-data personali. Madankollu, rigward data personali li nġabret fl-Unjoni, kwalunkwe deċiżjoni bbażata fuq proċessar awtomatizzat tipikament tittieħed mill-kontrollur tad-data fl-Unjoni (li għandu relazzjoni diretta mas-suġġett tad-data kkonċernat) u, b’hekk, hu suġġett għar-Regolament (UE) 2016/679 (111). Dan jinkludi xenarji ta’ trasferiment li fihom l-ipproċessar jitwettaq minn operatur ta’ negozju barrani (eż. Korean) li jaġixxi bħala aġent (proċessur) f’isem il-kontrollur fl-Unjoni (jew sottoproċessur li jaġixxi f’isem il-proċessur tal-Unjoni, li jkun irċieva d-data mingħand kontrollur tal-Unjoni li jkun ġabarha) li abbażi ta’ dan imbagħad jieħu d-deċiżjoni. Għaldaqstant, hu improbabbli li n-nuqqas ta’ regoli speċifiċi dwar it-teħid ta’ deċiżjonijiet awtomatizzati fil-PIPA jaffettwa l-livell ta’ protezzjoni tad-data personali ttrasferita skont din id-Deċiżjoni.

(82)

Bħala eċċezzjoni, id-dispożizzjonijiet dwar it-trasparenza fuq talba (l-Artikolu 20) u d-drittijiet individwali (l-Artikoli 35 sa 37), kif ukoll ir-rekwiżit ta’ notifika individwali għall-fornituri ta’ servizzi ta’ informazzjoni u komunikazzjoni (l-Artikolu 39-8 tal-PIPA), ma japplikawx fir-rigward ta’ informazzjoni psewdonimizzata, meta din tiġi pproċessata għall-finijiet tal-istatistika, ir-riċerka xjentifika jew l-arkivjar fl-interess pubbliku (l-Artikolu 28-7 tal-PIPA). (112) F'konformità mal-approċċ tal-Artikolu 11(2) (flimkien mal-premessa 57) tar-Regolament (UE) 2016/679, dan huwa ġustifikat mill-fatt li, biex tkun żgurata t-trasparenza jew jingħataw drittijiet individwali, il-kontrollur ikollu jidentifika jekk xi data tkunx relatata mal-individwu li jagħmel it-talba, li huwa espressament projbit mill-PIPA (l-Artikolu 28-5(1) PIPA). Barra minn hekk, meta tali ridentifikazzjoni tinvolvi t-tħassir tal-psewdonimizzazzjoni għas-sett tad-data(psewdonimizzata) kollha kemm hi, u b'hekk tesponi l-informazzjoni personali tal-individwi kkonċernati l-oħra kollha għal riskji akbar. Filwaqt li r-Regolament (UE) 2016/679 jirreferi għal sitwazzjonijiet fejn l-identifikazzjoni mill-ġdid hija prattikament impossibbli l-PIPA jadotta approċċ aktar strett billi jipprojbixxi b’mod espliċitu l-identifikazzjoni mill-ġdid fis-sitwazzjonijiet kollha fejn tiġi pproċessata informazzjoni psewdonimizzata.

(83)

Is-sistema Koreana, kif deskritta fil-premessi (74) sa (82), għalhekk fiha regoli dwar id-drittijiet tas-suġġett tad-data li jipprovdu livell ta’ protezzjoni essenzjalment ekwivalenti għal dak skont ir-Regolament (UE) 2016/679.

(84)

Il-livell ta’ protezzjoni mogħti lil data personali ttrasferita mill-Unjoni Ewropea lil kontrolluri fir-Repubblika tal-Korea ma jistax jiġi mfixkel mit-trasferiment ulterjuri ta’ tali data lil riċevituri f’pajjiż terz.

(85)

Tali “trasferimenti ulterjuri”, jikkostitwixxu trasferimenti internazzjonali mir-Repubblika tal-Korea mill-perspettiva tal-kontrollur Korean. F’dan ir-rigward, il-PIPA jiddistingwi bejn l-esternalizzazzjoni tal-ipproċessar lil appaltatur (jiġifieri proċessur) u l-forniment tad-data personali lil terzi (113).

(86)

L-ewwel nett, meta l-ipproċessar tad-data personali jiġi esternalizzat lil entità li tinsab f’pajjiż terz, il-kontrollur tal-Korea jrid jiżgura l-konformità mad-dispożizzjonijiet tal-PIPA dwar l-esternalizzazzjoni (l-Artikolu 26 tal-PIPA). Dan jinkludi l-istabbiliment ta’ strument legalment vinkolanti li, fost l-oħrajn, jillimita l-ipproċessar mill-appaltatur għall-għanijiet tax-xogħol esternalizzat, jimponi salvagwardji u jillimita s-sottoproċessar (ara l-Artikolu 26(1) tal-PIPA); u l-pubblikazzjoni ta’ informazzjoni dwar ix-xogħol esternalizzat. Barra minn hekk, il-kontrollur huwa obbligat li “jeduka” lill-appaltatur dwar miżuri ta’ sigurtà meħtieġa u li jissupervizza, inkluż permezz ta’ spezzjonijiet, il-konformità mal-obbligi kollha tal-kontrollur skont il-PIPA (114) kif ukoll il-kuntratt ta’ esternalizzazzjoni.

(87)

Jekk l-appaltatur jikkawża dannu billi jipproċessa d-data personali bi ksur tal-PIPA, dan jiġi attribwit lill-kontrollur għal għanijiet ta’ responsabbiltà, kif ikun il-każ tal-impjegati tal-kontrollur (l-Artikolu 26(6) tal-PIPA). Għalhekk, il-kontrollur tal-Korea jibqa’ responsabbli għad-data personali li tkun ġiet esternalizzata u jrid jiżgura li l-proċessur barrani jipproċessa l-informazzjoni f’konformità mal-PIPA. Jekk l-appaltatur jipproċessa l-informazzjoni bi ksur tal-PIPA, il-kontrollur tal-Korea jista’ jinżamm responsabbli għan-nuqqas ta’ konformità mal-obbligu tiegħu li jiżgura l-konformità mal-PIPA, bħal permezz tas-superviżjoni tiegħu tal-appaltatur. Is-salvagwardji inklużi fil-kuntratt ta’ esternalizzazzjoni u r-responsabbiltà tal-kontrollur tal-Korea għall-azzjonijiet tal-appaltatur jiżguraw il-kontinwità tal-protezzjoni meta l-ipproċessar tad-data personali jiġi esternalizzat lil entità barra mill-Korea.

(88)

It-tieni, il-kontrolluri Koreani jistgħu jipprovdu data personali lil parti terza li tinsab barra mill-Korea. Filwaqt li l-PIPA jinkludi għadd ta’ raġunijiet legali li jippermettu l-provvediment lil terzi b’mod ġenerali, jekk it-terzi jkunu jinsabu barra mill-Korea, il-kontrollur fil-prinċipju (115) jrid jikseb il-kunsens tas-suġġett tad-data (116) wara li jkun ipprovda lis-suġġett tad-data b’informazzjoni dwar (1) it-tip tad-data personali, (2) ir-riċevitur tad-data personali, (3) l-iskop tat-trasferiment fis-sens tal-iskop tal-ipproċessar segwit mir-riċevitur, (4) il-perjodu ta’ żamma għall-ipproċessar mir-riċevitur kif ukoll (5) il-fatt li s-suġġett tad-data jista’ jiċħad il-kunsens (l-Artikolu 17(2), (3) tal-PIPA). In-Notifika 2021-5, fit-taqsima tagħha dwar it-trasparenza (ara l-premessa (70)), tirrikjedi li l-individwi jiġu infurmati dwar il-pajjiż terz li lilu se tiġi pprovduta d-data tagħhom. Dan jiżgura li s-suġġetti tad-data fl-Unjoni jkunu jistgħu jieħdu deċiżjoni infurmata b’mod sħiħ dwar jekk jagħtux il-kunsens tagħhom jew le għall-provvediment lil terzi barra mill-pajjiż. Barra minn hekk, jenħtieġ li l-kontrollur ma jidħolx f’kuntratt mat-terzi riċeventi bi ksur tal-PIPA, li jfisser li jenħtieġ li l-kuntratt ma jkunx fih obbligi li jikkontradixxu r-rekwiżiti imposti mill-PIPA fuq il-kontrollur (117).

(89)

Mingħajr il-kunsens tal-individwu, id-data personali tista’ tiġi pprovduta lil terzi (barra mill-pajjiż) fejn l-iskop tad-divulgazzjoni jibqa’ “fil-kamp ta’ applikazzjoni relatat b’mod raġonevoli” mal-iskop inizjali tal-ġbir (l-Artikolu 17(4) tal-PIPA, ara l-premessa (36)). Madankollu, fid-deċiżjoni dwar jekk (jew le) id-divulgazzjoni tad-data personali għal skop “relatat”, il-kontrollur jenħtieġ li jqis jekk id-divulgazzjoni tikkawżax żvantaġġi għall-individwu u jekk ikunux ittieħdu l-miżuri ta’ sigurtà meħtieġa (bħall-kriptaġġ). Minħabba li l-pajjiż terz li lilu tiġi ttrasferita d-data personali ma jistax joffri protezzjonijiet simili għal dawk ipprovduti taħt il-PIPA, it-Taqsima 2 tan-Notifika 2021-5 tirrikonoxxi li tali żvantaġġi jistgħu jirriżultaw u jistgħu jiġu evitati biss jekk il-kontrollur tal-Korea u r-riċevitur barrani, permezz ta’ strument legalment vinkolanti (bħal kuntratt), jiżguraw livell ta’ protezzjoni ekwivalenti għall-PIPA, inkluż fir-rigward tad-drittijiet tas-suġġett tad-data.

(90)

Ir-regoli speċjali japplikaw għal divulgazzjoni “barra mill-iskop”, jiġifieri l-provvediment tad-data lil terzi għal għan ġdid (mhux relatat), li jista’ jsir biss għal waħda mir-raġunijiet tal-Artikolu 18(2) tal-PIPA, kif deskritt fil-premessa (39). Madankollu, anke taħt dawk il-kundizzjonijiet, il-provvediment lil terzi huwa eskluż jekk x’aktarx li “jikser b’mod inġust” l-interessi tas-suġġett tad-data jew ta’ terzi, li teħtieġ bilanċ tal-interessi. Barra minn hekk, skont l-Artikolu 18(5) tal-PIPA, il-kontrollur jeħtieġlu japplika salvagwardji addizzjonali, li jistgħu jinkludu t-talba lit-terzi biex jirrestrinġu l-iskop u l-metodu tal-ipproċessar, jew biex jistabbilixxu miżuri speċifiċi ta’ sigurtà. Għal darb’oħra, minħabba li l-pajjiż terz li lilu tiġi ttrasferita d-data personali ma jistax joffri protezzjonijiet simili għal dawk ipprovduti taħt il-PIPA, it-Taqsima 2 tan-Notifika 2021-5 tirrikonoxxi li tali “ksur inġust” tal-interessi tal-individwu jew ta’ terzi jista’ jinħoloq u jista’ jiġi evitat biss jekk il-kontrollur tal-Korea u r-riċevitur barrani, permezz ta’ strument legalment vinkolanti (bħal kuntratt), jiżguraw livell ta’ protezzjoni ekwivalenti għall-PIPA, inkluż fir-rigward tad-drittijiet tas-suġġett tad-data.

(91)

Ir-regoli fil-premessi (86) - (90) għalhekk jiżguraw il-kontinwità tal-protezzjoni meta d-data personali tiġi ttrasferita ’il quddiem (lil “appaltatur” jew terzi) mir-Repubblika tal-Korea b’mod li huwa essenzjalment ekwivalenti għal dak previst taħt ir-Regolament (UE) 2016/679.

(92)

Skont il-prinċipju tar-responsabbiltà, l-entitajiet li jipproċessaw id-data huma meħtieġa jistabbilixxu miżuri tekniċi u organizzazzjonali xierqa sabiex jikkonformaw b’mod effettiv mal-obbligi tagħhom dwar il-protezzjoni tad-data u jkunu jistgħu juru tali konformità, b’mod partikolari lill-awtorità superviżorja kompetenti.

(93)

Skont l-Artikolu 3(6), (8) tal-PIPA, il-kontrollur jeħtieġlu jipproċessa d-data personali “b’mod li tiġi mminimizzata l-possibbiltà ta’ ksur” tal-privatezza tas-suġġett tad-data, u għandu jagħmel ħiltu biex jikseb il-fiduċja tas-suġġett tad-data billi josserva u jeżegwixxi tali dmirijiet u responsabbiltajiet kif previsti fil-PIPA u statuti oħra. Dan jinkludi l-istabbiliment ta’ pjan ta’ ġestjoni interna (l-Artikolu 29 tal-PIPA) kif ukoll taħriġ u superviżjoni xierqa tal-persunal (l-Artikolu 28 tal-PIPA).

(94)

Bħala mezz biex tiġi żgurata r-responsabbiltà, l-Artikolu 31 tal-PIPA flimkien mal-Artikolu 32 tad-Digriet tal-Infurzar tal-PIPA joħloq obbligu għall-kontrolluri biex jaħtru uffiċjal tal-privatezza li “jieħu r-responsabbiltà komprensiva għall-ipproċessar tal-informazzjoni personali”. B’mod partikolari, tali uffiċjal tal-privatezza għandu l-kompitu li jwettaq il-funzjonijiet li ġejjin: (1) l-istabbiliment u l-implimentazzjoni ta’ pjan għall-protezzjoni tad-data personali u t-tfassil tal-politika dwar il-privatezza, (2) it-twettiq ta’ stħarriġ regolari dwar l-istatus u l-prattiki tal-ipproċessar tad-data personali, bil-għan li jittejbu kwalunkwe nuqqasijiet, (3) l-immaniġġjar tal-ilmenti u l-kumpens ta’ rimedju, (4) l-istabbiliment ta’ sistema ta’ kontroll intern biex jiġu evitati id-divulgar, l-abbuż jew l-użu ħażin tad-data personali, (5) it-tħejjija u l-implimentazzjoni ta’ programm edukattiv, (6) il-protezzjoni, il-kontroll u l-ġestjoni ta’ fajls tad-data personali, u (7) il-qerda tad-data personali ladarba l-iskop tal-ipproċessar ikun inkiseb jew il-perjodu taż-żamma jkun skada. Fit-twettiq ta’ dawn id-dmirijiet, l-uffiċjal tal-privatezza jista’ jispezzjona l-istatus tal-ipproċessar tad-data personali u s-sistemi relatati u jista’ jitlob informazzjoni dwarhom (l-Artikolu 31(3) tal-PIPA). Jekk l-uffiċjal tal-privatezza jsir konxju minn kwalunkwe ksur tal-PIPA jew ta’ statuti rilevanti oħra tal-protezzjoni tad-data, huwa għandu minnufih jadotta miżuri korrettivi u jirrapporta tali miżuri lill-maniġment (“kap”) tal-kontrollur, jekk ikun meħtieġ (l-Artikolu 31(4) tal-PIPA). Skont l-Artikolu 31(5) tal-PIPA, l-uffiċjal tal-privatezza ma jridx ibati minn żvantaġġi mhux ġustifikati bħala konsegwenza tat-twettiq ta’ dawn il-funzjonijiet.

(95)

Barra minn hekk, il-kontrolluri jeħtiġilhom jagħmlu ħilithom b’mod proattiv biex iwettqu valutazzjoni tal-impatt fuq il-privatezza fil-każ fejn l-operat ta’ fajls tad-data personali jinvolvi riskju għall-privatezza (l-Artikolu 33(8) tal-PIPA). Abbażi tal-Artikolu 33(1), (2) tal-PIPA flimkien mal-Artikoli 35, 36 u 38 tad-Digriet tal-Infurzar tal-PIPA, fatturi bħat-tip u n-natura tad-data pproċessata (b’mod partikolari jekk tikkostitwixxix informazzjoni sensittiva), il-volum tagħha, il-perjodu ta’ żamma, u l-probabbiltà ta’ ksur tad-data se tkun rilevanti fil-valutazzjoni tal-grad ta’ riskju għad-drittijiet tas-suġġetti tad-data. L-għan tal-valutazzjoni tal-impatt fuq il-privatezza huwa li jiġi żgurat li jiġu analizzati l-fatturi ta’ riskju għall-privatezza kif ukoll kwalunkwe kontromiżuri ta’ sikurezza jew oħrajn, u li jiġu indikati kwistjonijiet li jeħtieġu titjib (ara l-Artikolu 33(1) tal-PIPA flimkien mal-Artikolu 38 tad-Digriet tal-Infurzar tal-PIPA).

(96)

L-istituzzjonijiet pubbliċi huma obbligati jwettqu valutazzjoni tal-impatt meta jipproċessaw ċerti fajls tad-data personali li jippreżentaw riskju ogħla għal ksur possibbli tal-privatezza (l-Artikolu 33(1) tal-PIPA). F’konformità mal-Artikolu 35 tad-Digriet tal-Infurzar tal-PIPA, dan huwa l-każ, fost l-oħrajn, għal fajls li jkun fihom informazzjoni sensittiva dwar mill-inqas 50 000 suġġett tad-data, fajls li se jitqabblu ma’ fajls oħra u b’riżultat ta’ dan se jkun fihom informazzjoni dwar mill-inqas 500 000 suġġett tad-data, jew fajls li jkun fihom informazzjoni dwar mill-inqas miljun suġġett tad-data. Ir-riżultat ta’ valutazzjoni tal-impatt imwettqa minn istituzzjoni pubblika jrid jiġi kkomunikat lill-PIPC (l-Artikolu 33(1) tal-PIPA), li tista’ tipprovdi l-opinjoni tagħha (l-Artikolu 33(3) tal-PIPA).

(97)

Fl-aħħar nett, l-Artikolu 13 tal-PIPA jistipula li l-PIPC għandha tistabbilixxi l-politiki meħtieġa għall-promozzjoni u l-appoġġ ta’ “attivitajiet ta’ protezzjoni tad-data awtoregolatorji” mill-kontrolluri, fost l-oħrajn permezz tal-edukazzjoni dwar il-protezzjoni tad-data, il-promozzjoni tal-organizzazzjonijiet involuti fil-protezzjoni tad-data u l-appoġġ għalihom, u billi tassisti lill-kontrolluri fl-istabbiliment u fl-implimentazzjoni tar-regoli awtoregolatorji. Barra minn hekk, għandha tintroduċi u tiffaċilita s-sistema tal-Marka tal-Privatezza Elettronika (ePRIVACY Mark system). F’dan ir-rigward, l-Artikolu 32-2 tal-PIPA flimkien mal-Artikoli 34-2 sa 34-8 tad-Digriet tal-Infurzar tal-PIPA jipprevedi l-possibbiltà li jiġi ċċertifikat li s-sistema(i) ta’ proċessar tad-data personali u ta’ protezzjoni ta’ kontrollur jikkonformaw mar-rekwiżiti tal-PIPA. Skont dawn ir-regoli, tista’ tingħata ċertifikazzjoni (118) (għal perjodu ta’ tliet snin) jekk il-kontrollur jissodisfa l-kriterji ta’ ċertifikazzjoni ddeterminati mill-PIPC, inkluż l-istabbiliment ta’ salvagwardji maniġerjali, tekniċi u fiżiċi għall-protezzjoni tad-data personali (119). Il-PIPC jenħtieġ li teżamina s-sistemi tal-kontrollur rilevanti għaċ-ċertifikazzjoni mill-inqas darba fis-sena biex iżomm l-effettività tiegħu, li tista’ twassal għar-revoka taċ-ċertifikazzjoni (l-Artikolu 32(4) tal-PIPA flimkien mal-Artikolu 34-5 tad-Digriet tal-Infurzar tal-PIPA; l-hekk imsejħa “ġestjoni ta’ segwitu”).

(98)

Għalhekk, il-qafas tal-Korea jimplimenta l-prinċipju tar-responsabbiltà b’mod li jiżgura livell ta’ protezzjoni essenzjalment ekwivalenti għal dak skont ir-Regolament (UE) 2016/679, inkluż billi jipprovdi għal mekkaniżmi differenti biex jiżgura u juri l-konformità mal-PIPA.

(99)

Kif deskritt fil-premessa (13), is-CIA jistabbilixxi regoli speċifiċi għall-ipproċessar ta’ informazzjoni dwar il-kreditu personali mill-operaturi kummerċjali. Meta jipproċessaw informazzjoni dwar il-kreditu personali, l-operaturi kummerċjali għalhekk għandhom jikkonformaw mar-rekwiżiti ġenerali tal-PIPA, sakemm is-CIA ma jkunx fih regoli aktar speċifiċi. Dan ikun pereżempju l-każ meta jipproċessaw informazzjoni relatata ma’ karta ta’ kreditu jew kont bankarju fil-kuntest ta’ tranżazzjoni kummerċjali ma’ individwu. Bħala leġiżlazzjoni settorjali għall-ipproċessar ta’ informazzjoni dwar il-kreditu (kemm personali kif ukoll mhux personali), is-CIA mhux biss jimponi salvagwardji speċifiċi għall-protezzjoni tad-data (pereżempju f’termini ta’ trasparenza u sigurtà), iżda wkoll b’mod aktar ġenerali jirregola ċ-ċirkostanzi speċifiċi li fihom tista’ tiġi pproċessata informazzjoni dwar il-kreditu personali. Dan huwa, b’mod partikolari, rifless fir-rekwiżiti dettaljati għall-użu, il-provvediment lil terzi tad-data lil terzi u ż-żamma ta’ tali data.

(100)

Bħall-PIPA, is-CIA jirrifletti l-prinċipju tal-legalità u tal-proporzjonalità. L-ewwel nett, bħala rekwiżit ġenerali, l-Artikolu 15(1) tas-CIA jippermetti biss il-ġbir ta’ informazzjoni ta’ kreditu personali b’mezzi raġonevoli u ġusti u sal-inqas punt meħtieġ biex iservi skop speċifikat, f’konformità mal-Artikolu 3(1)-(2) tal-PIPA. It-tieni, is-CIA jirregola speċifikament il-legalità tal-ipproċessar tal-informazzjoni dwar il-kreditu personali, billi jillimita l-ġbir, l-użu u l-provvediment tagħha lil terzi u b’mod ġenerali jorbot dawk l-attivitajiet ta’ proċessar mar-rekwiżit ta’ kunsens tal-persuna kkonċernata.

(101)

L-informazzjoni dwar il-kreditu personali tista’ tinġabar abbażi ta’ waħda mir-raġunijiet ipprovduti mill-PIPA jew abbażi ta’ raġunijiet speċifiċi stabbiliti fis-CIA. Minħabba li l-Artikolu 45 tar-Regolament (UE) 2016/679 jippresupponi trasferiment tad-data personali minn kontrollur jew proċessur fl-Unjoni, iżda ma jkoprix il-ġbir dirett (bħal mill-individwu jew minn sit web) minn kontrollur fil-Korea, il-kunsens biss u r-raġunijiet disponibbli skont il-PIPA huma rilevanti għal din id-Deċiżjoni. Dawk ir-raġunijiet jinkludu, b’mod partikolari, xenarji fejn it-trasferiment ikun meħtieġ biex jitwettaq kuntratt mal-individwu jew għall-interessi leġittimi tal-kontrollur tal-Korea (l-Artikolu 15(1) lit. 4, 6 tal-PIPA) (120).

(102)

Ladarba tinġabar, tista’ tintuża informazzjoni ta’ kreditu personali (1) għall-iskop oriġinali li għalih kienet (direttament) ipprovduta mill-individwu (121); (2) għal skop li jkun kompatibbli mal-iskop oriġinali tal-ġbir (122); (3) biex jiġi ddeterminat jekk għandhiex tiġi stabbilita jew miżmuma relazzjoni kummerċjali mitluba mill-individwu (123); (4) għall-għanijiet tal-istatistika, ir-riċerka u l-arkivjar fl-interess pubbliku (124) jekk l-informazzjoni tkun psewdonimizzata (125); (5) jekk jinkiseb kunsens ulterjuri jew (6) skont il-liġi.

(103)

Jekk operatur kummerċjali jkollu l-ħsieb li jiddivulga informazzjoni ta’ kreditu personali lil terzi, irid jikseb il-kunsens tal-individwu (126) wara li jinforma lill-individwu dwar ir-riċevitur tad-data, l-iskop tal-ipproċessar mir-riċevitur, id-dettalji tad-data li għandha tiġi pprovduta, il-perjodu ta’ ħżin mir-riċevitur u d-dritt li jiġi rrifjutat il-kunsens (l-Artikolu 32(1) tas-CIA u l-Artikolu 28(2) tad-Digriet tal-Infurzar tas-CIA) (127). Dan ir-rekwiżit ta’ kunsens ma japplikax f’sitwazzjonijiet speċifiċi, jiġifieri fejn tiġi divulgata informazzjoni dwar il-kreditu personali (128): (1) lil appaltatur għal finijiet ta’ esternalizzazzjoni (129); (2) lil terzi f’każ ta’ trasferiment ta’ negozju, diviżjoni jew fużjoni; (3) għall-għanijiet tal-istatistika, ir-riċerka u l-arkivjar fl-interess pubbliku, fejn l-informazzjoni tkun psewdonimizzata; (4) għal skop li jkun kompatibbli mal-iskop oriġinali tal-ġbir; (5) lil terzi li jużaw l-informazzjoni biex jiġbru dejn dovut mill-individwu (130); (6) sabiex tinkiseb konformità ma’ ordni tal-qorti; (7) lil prosekutur/uffiċjal ġudizzjarju tal-pulizija f’emerġenza fejn il-ħajja tal-individwu tkun f’periklu jew tkun jew ikun mistenni li jsofri ħsara fil-persuna u ma jkun hemm l-ebda ħin disponibbli biex jinħareġ mandat ġudizzjarju (131); (8) lill-awtoritajiet tat-taxxa kompetenti biex jikkonformaw mal-liġijiet tat-tassazzjoni; jew (9) f’konformità ma’ liġijiet oħra. F’każ ta’ divulgazzjoni fuq waħda minn dawn ir-raġunijiet, is-suġġett tad-data jenħtieġ li jiġi nnotifikat minn qabel (l-Artikolu 32(7) tas-CIA).

(104)

Is-CIA jirregola wkoll b’mod speċifiku d-durata tal-ipproċessar ta’ informazzjoni dwar il-kreditu personali abbażi ta’ waħda minn dawk ir-raġunijiet għall-użu jew għall-provvediment lil terzi wara t-tmiem tar-relazzjoni kummerċjali mal-individwu (132). Tista’ tinżamm biss l-informazzjoni li kienet meħtieġa biex tiġi stabbilita jew tinżamm dik ir-relazzjoni, soġġetta għal salvagwardji addizzjonali (din trid tinżamm separatament mill-informazzjoni dwar il-kreditu li tirrigwarda individwi li magħhom tkun għadha għaddejja relazzjoni kummerċjali, protetta minn miżuri speċifiċi ta’ sigurtà u aċċessibbli biss minn individwi awtorizzati) (133). Id-data l-oħra kollha trid titħassar (l-Artikolu 17-2(1) lit. 2 tad-Digriet tal-Infurzar tas-CIA). Sabiex jiġi ddeterminat liema data kienet meħtieġa għar-relazzjoni kummerċjali, iridu jitqiesu fatturi differenti, inkluż jekk kienx ikun possibbli li tiġi stabbilita r-relazzjoni mingħajr id-data u jekk hijiex relatata direttament mal-prodotti jew mas-servizzi pprovduti lill-individwu (l-Artikolu 17-2(2) tad-Digriet tal-Infurzar tas-CIA).

(105)

Anke f’każijiet fejn l-informazzjoni dwar il-kreditu personali tista’ fil-prinċipju tinżamm lil hinn mit-tmiem tar-relazzjoni kummerċjali, din trid titħassar fi żmien tliet xhur wara li jintlaħaq l-iskop ulterjuri tal-ipproċessar (134) jew, fi kwalunkwe każ, wara ħames snin (l-Artikolu 20-2 tas-CIA). F’għadd limitat ta’ ċirkostanzi, l-informazzjoni dwar il-kreditu personali tista’ tinżamm għal aktar minn ħames snin, b’mod partikolari fejn ikun meħtieġ biex ikun hemm konformità ma’ obbligu legali; fejn meħtieġ għall-interessi vitali tal-ħajja, tal-persuna jew tal-proprjetà ta’ individwu; għall-arkivjar ta’ informazzjoni psewdonimizzata (li ntużat għall-għanijiet ta’ riċerka xjentifika, statistika jew arkivjar fl-interess pubbliku); jew għal skopijiet ta’ assigurazzjoni (b’mod partikolari għal pagamenti tal-assigurazzjoni jew għall-prevenzjoni ta’ frodi tal-assigurazzjoni) (135). F’dawn il-każijiet eċċezzjonali, japplikaw salvagwardji speċifiċi (bħan-notifika tal-individwu dwar l-użu ulterjuri, is-separazzjoni tal-informazzjoni miżmuma mill-informazzjoni relatata ma’ individwi li magħhom għad hemm relazzjoni kummerċjali, il-limitazzjoni tad-drittijiet ta’ aċċess, ara l-Artikolu 17-2(1)-(2) tad-Digriet tal-Infurzar tas-CIA).

(106)

Is-CIA jispeċifika wkoll il-prinċipji tal-akkuratezza u tal-kwalità tad-data, billi jirrikjedi li l-informazzjoni dwar il-kreditu personali tkun “irreġistrata, modifikata u ġestita” biex tinżamm akkurata u aġġornata (l-Artikolu 18(1) tas-CIA u l-Artikolu 15(3) tad-Digriet tal-Infurzar tas-CIA) (136). Meta jipprovdu informazzjoni dwar il-kreditu lil ċerti entitajiet oħra (bħall-aġenziji tal-klassifikazzjoni tal-kreditu), l-operaturi kummerċjali huma wkoll speċifikament meħtieġa jivverifikaw l-akkuratezza tal-informazzjoni biex jiżguraw li tiġi rreġistrata u ġestita biss informazzjoni akkurata mir-riċevitur (l-Artikolu 15(1) tad-Digriet tal-Infurzar tas-CIA, flimkien mal-Artikolu 18(1) tas-CIA). B’mod aktar ġenerali, is-CIA jirrikjedi li jinżammu rekords dwar il-ġbir, l-użu, id-divulgazzjoni lil terzi u l-qerda ta’ informazzjoni dwar il-kreditu personali (l-Artikolu 20(2) tas-CIA) (137).

(107)

Barra minn hekk, l-ipproċessar ta’ informazzjoni dwar kreditu personali huwa suġġett għal rekwiżiti speċifiċi fir-rigward tas-sigurtà tad-data. B’mod partikolari, is-CIA jeħtieġ l-implimentazzjoni ta’ miżuri teknoloġiċi, fiżiċi u organizzazzjonali biex jiġi prevenut l-aċċess illegali għas-sistemi tal-kompjuter kif ukoll l-alterazzjoni, il-qerda jew kwalunkwe riskju ieħor għad-data pproċessata (pereżempju permezz ta’ kontrolli tal-aċċess, ara l-Artikolu 19 tas-CIA u l-Artikolu 16 tad-Digriet tal-Infurzar tas-CIA). Barra minn hekk, meta tiġi skambjata informazzjoni dwar kreditu personali ma’ terzi, irid jiġi konkluż ftehim li jistabbilixxi miżuri speċifiċi ta’ sigurtà (l-Artikolu 19(2) tas-CIA). Jekk iseħħ ksur ta’ informazzjoni dwar il-kreditu personali, iridu jittieħdu miżuri biex tiġi mminimizzata kwalunkwe ħsara u l-individwi kkonċernati jenħtieġ li jiġu nnotifikati mingħajr dewmien (l-Artikolu 39-4(1)-(2) tas-CIA). Barra minn hekk, il-PIPC trid tiġi infurmata bin-notifika pprovduta lill-individwi u bil-miżuri li ġew implimentati (l-Artikolu 39-4(4) tas-CIA).

(108)

Is-CIA jimponi wkoll obbligi speċifiċi ta’ trasparenza meta jinkiseb il-kunsens għall-użu jew għall-provvediment lil terzi ta’ informazzjoni ta’ kreditu personali (l-Artikolu 32(4) u l-Artikolu 34-2 tas-CIA u l-Artikolu 30-3 tad-Digriet tal-Infurzar tas-CIA) u, b’mod aktar ġenerali, qabel ma tiġi pprovduta informazzjoni lil terzi (l-Artikolu 32(7) tas-CIA) (138). Barra minn hekk, l-individwi għandhom id-dritt li jiksbu informazzjoni fuq talba dwar l-użu u l-provvediment lil terzi tal-informazzjoni ta’ kreditu tagħhom lil terzi fit-tliet snin ta’ qabel it-talba (inklużi l-iskop u d-dati ta’ tali użu/provvediment lil terzi) (139).

(109)

Skont is-CIA, l-individwi għandhom ukoll id-dritt li jaċċessaw l-informazzjoni ta’ kreditu personali tagħhom (l-Artikolu 38(1) tas-CIA) u li jiksbu korrezzjoni tad-data mhux akkurata (l-Artikolu 38(2)-(3) tas-CIA) (140). Barra minn hekk, minbarra d-dritt ġenerali għat-tħassir taħt il-PIPA (ara l-premessa (77)), is-CIA jipprevedi dritt speċifiku għat-tħassir ta’ informazzjoni dwar il-kreditu personali li jkun inżamm lil hinn mill-perjodi ta’ żamma msemmija fil-premessa (104), jiġifieri ħames snin (għal informazzjoni dwar kreditu personali li kienet meħtieġa biex tiġi stabbilita jew miżmuma relazzjoni kummerċjali) jew tliet xhur (għal tipi oħra ta’ informazzjoni dwar kreditu personali) (141). Talba għal tħassir tista’ tiġi miċħuda b’mod eċċezzjonali meta tkun meħtieġa żamma ulterjuri fiċ-ċirkostanzi deskritti fil-premessa (105). Jekk individwu jitlob it-tħassir, iżda tkun tapplika waħda mill-eċċezzjonijiet, iridu jiġu applikati salvagwardji speċifiċi għall-informazzjoni dwar il-kreditu kkonċernata (l-Artikolu 38-3(3) tas-CIA u l-Artikolu 33-3 tad-Digriet tal-Infurzar tas-CIA). Pereżempju, l-informazzjoni trid tinżamm separatament minn informazzjoni oħra, tista’ tiġi aċċessata biss minn persuna awtorizzata u trid tkun soġġetta għal miżuri speċifiċi ta’ sigurtà.

(110)

Minbarra d-drittijiet imsemmija fil-premessa (109), is-CIA jiggarantixxi lill-individwi d-dritt li jitolbu lil kontrollur biex ma jibqax jikkuntattjahom għal skopijiet ta’ kummerċjalizzazzjoni diretta (l-Artikolu 37(2) tal-Att) u d-dritt għall-portabbiltà tad-data. Fir-rigward ta’ dan tal-aħħar, is-CIA jippermetti lill-individwi jitolbu t-trażmissjoni tal-informazzjoni ta’ kreditu personali tagħhom lilhom infushom jew lil ċerti terzi (bħal istituzzjonijiet finanzjarji u kumpaniji ta’ klassifikazzjoni tal-kreditu). L-informazzjoni dwar il-kreditu personali trid tiġi pproċessata u trażmessa lit-terzi f’format li jista’ jiġi pproċessat minn apparat għall-ipproċessar tal-informazzjoni (bħal kompjuter).

(111)

Għalhekk, inkwantu s-CIA fih regoli speċifiċi meta mqabbla mal-PIPA, il-Kummissjoni tqis li dawn ir-regoli jiżguraw ukoll livell ta’ protezzjoni essenzjalment ekwivalenti għal dak mogħti skont ir-Regolament (UE) 2016/679.

(112)

Sabiex jiġi żgurat li livell adegwat ta’ protezzjoni tad-data jkun iggarantit fil-prattika, jenħtieġ li tkun fis-seħħ awtorità superviżorja indipendenti inkarigata bis-setgħat li timmonitorja u tinforza l-konformità mar-regoli dwar il-protezzjoni tad-data. Jenħtieġ li din l-awtorità taġixxi b’indipendenza u b’imparzjalità sħiħa fit-twettiq tad-dmirijiet tagħha u fl-eżerċizzju tas-setgħat tagħha.

(113)

Fir-Repubblika tal-Korea, l-awtorità indipendenti inkarigata mill-monitoraġġ u l-infurzar tal-PIPA hija l-PIPC. Il-PIPC hija magħmula minn Chairperson, Viċi Chairperson u seba’ Kummissarji. Iċ-Chairperson u l-Viċi Chairperson jinħatru mill-President fuq rakkomandazzjoni tal-Prim Ministru. Mill-Kummissarju, tnejn jinħatru mill-President fuq rakkomandazzjoni taċ-Chairperson u ħamsa fuq rakkomandazzjoni tal-Assemblea Nazzjonali (li minnhom tnejn fuq rakkomandazzjoni mill-partit politiku tal-President u tlieta fuq rakkomandazzjoni mill-partiti politiċi l-oħra (l-Artikolu 7-2(2) tal-PIPA), li jgħin biex jibbilanċja l-partiġġaniżmu fil-proċess tal-ħatra) (142). Din il-proċedura hija konformi mar-rekwiżit applikabbli għall-ħatra tal-membri tal-awtoritajiet tal-protezzjoni tad-data fl-Unjoni (l-Artikolu 53(1) tar-Regolament (UE) 2016/679). Barra minn hekk, il-Kummissarji kollha jridu jastjenu minn kwalunkwe negozju relatat mal-profitt, attivitajiet politiċi u milli jżommu pożizzjonijiet fl-amministrazzjoni pubblika jew fl-Assemblea Nazzjonali (l-Artikoli 7-6 u 7-7(1) lit. 3 tal-PIPA) (143). Il-Kummissarji kollha huma wkoll suġġetti għal regoli speċifiċi li ma jħalluhomx jipparteċipaw f’deliberazzjonijiet fil-każ ta’ xi kunflitt ta’ interess li jista’ jinqala’ (l-Artikoli 7-11 PIPA). Il-PIPC hija assistita minn Segretarjat (l-Artikolu 7-13) u tista’ tistabbilixxi sottokummissjonijiet (li jikkonsistu minn tliet Kummissarji) biex jittrattaw ksur minuri u kwistjonijiet rikorrenti (l-Artikolu 7-12 tal-PIPA).

(114)

Kull membru tal-PIPC jinħatar għal tliet snin u jista’ jerġa’ jinħatar darba (l-Artikolu 7-4(1) tal-PIPA). Il-Kummissarji jistgħu jitneħħew biss f’ċirkostanzi speċifiċi, jiġifieri jekk ma jkunux għadhom jistgħu jwettqu dmirijiethom minħabba diżabbiltà mentali jew fiżika fit-tul, jaġixxu bi ksur tal-liġi, jew jissodisfaw waħda mir-raġunijiet għall-iskwalifika mill-kariga (144) (l-Artikolu 7-5 tal-PIPA). Dan jipprovdihom bi protezzjoni istituzzjonali fl-eżerċitar tal-funzjonijiet tagħhom.

(115)

B’mod aktar ġenerali, l-Artikolu 7(1) tal-PIPA jiggarantixxi b’mod espliċitu l-indipendenza tal-PIPC, u l-Artikolu 7-5(2) tal-PIPA jirrikjedi li l-Kummissarji jwettqu dmirijiethom b’mod indipendenti, skont il-liġi u l-kuxjenza tagħhom (145). Is-salvagwardji istituzzjonali u proċedurali deskritti, inkluż fir-rigward tal-ħatra u t-tkeċċija tal-membri tiegħu, jiżguraw li l-PIPC taġixxi b’indipendenza sħiħa, mingħajr influwenza jew struzzjonijiet esterni. Barra minn hekk, bħala aġenzija amministrattiva ċentrali, il-PIPC annwalment tipproċessa l-baġit proprju tagħha ( li jkun rieżaminat mill-Ministeru għall-Finanzi bħala parti mill-baġit nazzjonali kumplessiv qabel l-adozzjoni mill-Assemblea Nazzjonali) u hija responsabbli għal-ġestjoni tal-persunal tagħha stess. Il-PIPC għandha baġit kurrenti ta' madwar EUR 35 miljun u għandha 154 membru tal-persunal (inkluż 40 impjegat speċjalizzat fit-teknoloġiji tal-informazzjoni u l-komunikazzjoni, 32 impjegat li jiffukaw fuq l-investigazzjonijiet u 40 espert legali)

(116)

Il-kompiti u s-setgħat tal-PIPC huma prinċipalment previsti fl-Artikoli 7-8 u 7-9, kif ukoll fl-Artikoli 61-66 tal-PIPA (146). B’mod partikolari, il-kompiti tal-PIPC jinkludu konsulenza dwar il-liġijiet u r-regolamenti relatati mal-protezzjoni tad-data, l-iżvilupp ta’ politiki u linji gwida dwar il-protezzjoni tad-data, l-investigazzjoni ta’ ksur tad-drittijiet individwali, it-trattament tal-ilmenti u l-medjazzjoni tat-tilwim, l-infurzar tal-konformità mal-PIPA, l-iżgurar tal-edukazzjoni u l-promozzjoni fil-qasam tal-protezzjoni tad-data, u l-iskambju u l-kooperazzjoni mal-awtoritajiet tal-protezzjoni tad-data ta’ pajjiżi terzi (147).

(117)

Abbażi tal-Artikolu 68 tal-PIPA flimkien mal-Artikolu 62 tad-Digriet tal-Infurzar tal-PIPA, ċerti kompiti tal-PIPC ġew delegati lill-Aġenzija tal-Korea dwar l-Internet u s-Sigurtà, jiġifieri: (1) l-edukazzjoni u r-relazzjonijiet pubbliċi, (2) it-taħriġ ta’ speċjalisti u l-iżvilupp ta’ kriterji għall-valutazzjonijiet tal-impatt fuq il-privatezza, (3) it-trattament ta’ talbiet għall-ħatra tal-hekk imsejħa istituzzjoni għall-valutazzjoni tal-impatt fuq il-privatezza, (4) it-trattament ta’ talbiet għal aċċess indirett għad-data personali miżmuma mill-awtoritajiet pubbliċi (l-Artikolu 35(2) tal-PIPA) u (5) il-kompitu li jintalbu materjali u li jitwettqu spezzjonijiet fir-rigward tal-ilmenti riċevuti permezz tal-hekk imsejjaħ Ċentru tas-Sejħiet għall-Privatezza. Fil-kuntest tat-trattament tal-ilmenti permezz taċ-Ċentru tas-Sejħiet għall-Privatezza, l-Aġenzija tal-Internet u s-Sigurtà tal-Korea tittrażmetti l-każ lill-PIPC jew lill-prosekuzzjoni jekk issib li seħħ ksur tal-liġi. Il-possibbiltà li jiġi ppreżentat ilment liċ-Ċentru tas-Sejħiet għall-Privatezza ma tipprevjenix lill-individwi milli jippreżentaw ilment direttament mal-PIPC jew milli jirrikorru għall-PIPC jekk iqisu li l-ilment tagħhom ma kienx ittrattat b’mod sodisfaċenti mill-Aġenzija tal-Internet u s-Sigurtà tal-Korea.

(118)

Bil-għan li tiġi żgurata l-konformità mal-PIPA, il-leġiżlatur ta lill-PIPC kemm setgħat investigattivi kif ukoll ta’ infurzar, li jvarjaw minn rakkomandazzjonijiet sa multi amministrattivi. Dawn is-setgħat huma kkumplimentati aktar minn reġim ta’ sanzjonijiet kriminali.

(119)

Fir-rigward tas-setgħat investigattivi, jekk ikun hemm suspett jew ikun ġie rrapportat ksur tal-PIPA, jew fejn ikun meħtieġ għall-protezzjoni tad-drittijiet tas-suġġett tad-data kontra l-ksur, il-PIPC tista’ twettaq spezzjonijiet fuq il-post u titlob il-materjali rilevanti kollha (bħal artikoli u dokumenti) mill-kontrolluri tad-data personali (l-Artikolu 63 tal-PIPA flimkien mal-Artikolu 60 tad-Digriet tal-Infurzar tal-PIPA) (148).

(120)

F’termini ta’ infurzar, skont l-Artikolu 61(2) tal-PIPA, il-PIPC tista’ tipprovdi parir lill-kontrolluri tad-data dwar kif itejbu l-livell ta’ protezzjoni tad-data personali ta’ attivitajiet speċifiċi ta’ proċessar. Il-kontrolluri tad-data jridu jagħmlu sforzi bona fide biex jimplimentaw tali parir u huma meħtieġa jinfurmaw lill-PIPC bl-eżitu. Barra minn hekk, meta jkun hemm raġunijiet raġonevoli biex wieħed jemmen li jkun seħħ ksur tal-PIPA u n-nuqqas ta’ azzjoni x’aktarx jikkawża dannu li jkun diffiċli li jiġi rrimedjat, il-PIPC tista’ timponi miżuri korrettivi (l-Artikolu 64(1) tal-PIPA) (149). It-Taqsima 5 tan-Notifika 2021-5 (l-Anness I) tiċċara, b’effett vinkolanti, li dawn il-kundizzjonijiet huma ssodisfati fir-rigward tal-ksur ta’ kwalunkwe dispożizzjoni tal-PIPA li tipproteġi d-drittijiet ta’ privatezza tal-individwi fir-rigward tal-informazzjoni personali (150). Il-miżuri li l-PIPC għandha s-setgħa li tieħu jinkludu l-ordni tal-waqfien tal-imġiba li tikkawża l-ksur, is-sospensjoni temporanja tal-ipproċessar tad-data jew kwalunkwe miżura oħra meħtieġa. In-nuqqas ta’ konformità ma’ miżura korrettiva jista’ jwassal għal sanzjoni permezz ta’ multa ta’ ammont massimu ta’ WON 50 miljun (l-Artikolu 75(2) lit. 13 tal-PIPA).

(121)

Fir-rigward ta’ ċerti awtoritajiet pubbliċi (bħall-Assemblea Nazzjonali, l-aġenziji amministrattivi ċentrali, il-korpi tal-gvern lokali u l-qrati), l-Artikolu 64(4) tal-PIPA jistipula li l-PIPC tista’ “tirrakkomanda” kwalunkwe waħda mill-miżuri korrettivi msemmija fil-premessa (120) u li dawn l-awtoritajiet huma meħtieġa jikkonformaw ma’ tali rakkomandazzjoni sakemm ma jkunx hemm ċirkostanzi straordinarji. Skont it-Taqsima 5 tan-Notifika 2021-5, dan jirreferi għal ċirkostanzi fattwali jew legali straordinarji li l-PIPC ma kinitx konxja minnhom meta għamlet ir-rakkomandazzjoni tagħha. L-awtorità pubblika kkonċernata tista’ tinvoka dawn iċ-ċirkostanzi straordinarji biss jekk turi b’mod ċar li ma seħħ l-ebda ksur u l-PIPC tiddetermina li dan tabilħaqq ma huwiex il-każ. Apparti dan, l-awtorità pubblika trid issegwi r-rakkomandazzjoni tal-PIPC u “tieħu miżura korrettiva, inkluż li twaqqaf minnufih l-azzjoni, u tikkumpensa għad-danni fil-każ eċċezzjonali fejn ikun sar att illegali.”

(122)

Il-PIPC tista' wkoll titlob lil aġenziji amministrattivi oħrajn li jkollhom kompetenza speċifika skont il-leġiżlazzjoni settorjali (pereżempju saħħa, edukazzjoni) biex iwettqu investigazzjoni - weħedhom jew flimkien mal-PIPC- ta' ksur (suspettat) tal-privatezza minn kontrolluri li joperaw f'dawn is-setturi fil-ġuriżdizzjoni tagħhom, u li jimponu miżuri korrettivi (l-Artikolu 63(4)-(5) tal-PIPA). F'dan il-każ, il-PIPC tiddetermina r-raġunijiet, l-oġġett u l-ambitu tal-investigazzjoni (151). L-aġenzija amministrattiva rilevanti jenħtieġ li tippreżenta pjan ta’ spezzjoni lill-PIPC u tinnotifika lill-PIPC bir-riżultat tal-ispezzjoni. Il-PIPC tista' tirrakkomanda li tittieħed miżura korrettiva speċifika, li l-aġenzija trid tara li timplimenta. Talba bħal din ma tillimitax il-kompetenza tal-PIPC biex twettaq l-investigazzjoni tagħha stess jew timponi sanzjonijiet.

(123)

Minbarra s-setgħat korrettivi tagħha, il-PIPC tista’ timponi multi amministrattivi bejn WON 10 u 50 miljun għal ksur ta’ diversi rekwiżiti tal-PIPA (l-Artikolu 75 tal-PIPA) (152). Fost l-oħrajn, dan jinkludi n-nuqqas ta’ konformità mar-rekwiżiti għal-legalità tal-ipproċessar, in-nuqqas ta’ teħid tal-miżuri ta’ sigurtà meħtieġa, in-nuqqas ta’ notifika tas-suġġetti tad-data f’każ ta’ ksur tad-data, in-nuqqas ta’ konformità mar-rekwiżiti għas-sottoproċessar, in-nuqqas ta’ stabbiliment u divulgar ta’ politika dwar il-privatezza, in-nuqqas ta’ ħatra ta’ uffiċjal tal-privatezza, jew in-nuqqas li tittieħed azzjoni fuq talba mis-suġġett tad-data fl-eżerċizzju tad-drittijiet individwali tiegħu, kif ukoll ta’ ċerti ksur proċedurali (nuqqas ta’ kooperazzjoni matul investigazzjoni). F'każ ta’ ksur ta’ diversi dispożizzjonijiet tal-PIPA mill-istess kontrollur, tista' tkun imposta multa għal-kull ksur, u l-għadd ta' individwi affettwati ikun ikkunsidrat biex ikun stabbilit il-livell tal-multa.

(124)

Barra minn hekk, fejn jeżistu raġunijiet raġonevoli biex jiġi suspettat ksur tal-PIPA jew kwalunkwe “statuti oħrajn relatati mal-protezzjoni tad-data”, il-PIPC tista’ tissottometti kwerela lill-aġenzija investigattiva kompetenti (bħal prosekutur, ara l-Artikolu 65(1) tal-PIPA). Barra minn hekk, il-PIPC tista’ jagħti parir lill-kontrollur biex jieħu azzjoni dixxiplinari kontra l-persuna responsabbli (inkluż il-maniġer responsabbli, ara l-Artikolu 65(2) tal-PIPA). Malli jirċievi tali parir, il-kontrollur irid jikkonforma (153) miegħu u jrid jinnotifika lill-PIPC bil-miktub bir-riżultat (l-Artikolu 65 tal-PIPA flimkien mal-Artikolu 58 tad-Digriet tal-Infurzar tal-PIPA).

(125)

Fir-rigward tal-parir skont l-Artikolu 61, il-miżuri korrettivi skont l-Artikolu 64, l-akkuża jew il-parir għal azzjoni dixxiplinari skont l-Artikolu 65 u l-impożizzjoni ta’ multi amministrattivi skont l-Artikolu 75 tal-PIPA, il-PIPC tista’ tippubblika l-fatti – jiġifieri l-ksur, l-entità li tkun kisret il-liġi u l-miżura/i imposta/i – billi tpoġġihom fuq is-sit web tagħha jew f’gazzetta ta’ kuljum ġenerali mal-pajjiż kollu (l-Artikolu 66 tal-PIPA flimkien mal-Artikolu 61(1) tad-Digriet tal-Infurzar tal-PIPA) (154).

(126)

Fl-aħħar nett, il-konformità mar-rekwiżiti tal-protezzjoni tad-data fil-PIPA (kif ukoll “statuti oħrajn relatati mal-protezzjoni tad-data”) hija appoġġata minn reġim ta’ sanzjonijiet kriminali. F’dan ir-rigward, l-Artikoli 70-73 tal-PIPA fihom dispożizzjonijiet kriminali li jistgħu jwasslu għall-impożizzjoni ta’ multa (bejn WON 20 u 100 miljun) jew ta’ priġunerija (bis-sentenza massima tvarja bejn 2 u 10 snin). Il-ksur rilevanti jinkludi, fost l-oħrajn, l-użu tad-data personali jew il-provvediment lil terzi ta’ tali data lil terzi mingħajr il-kunsens meħtieġ, l-ipproċessar ta’ informazzjoni sensittiva kontra l-projbizzjoni fl-Artikolu 23(1) tal-PIPA, in-nuqqas ta’ konformità mar-rekwiżiti ta’ sikurezza applikabbli li jirriżulta fit-telf, fis-serq, fid-divulgazzjoni, fil-falsifikazzjoni, fit-tibdil jew fil-ħsara, fin-nuqqas li jittieħdu l-miżuri meħtieġa biex tiġi kkoreġuta, imħassra jew sospiża d-data personali, jew it-trasferiment illegali tad-data personali lil pajjiż terz (155). Skont l-Artikolu 74 tal-PIPA, f’kull wieħed minn dawn il-każijiet l-impjegat, l-aġent jew ir-rappreżentant tal-kontrollur kif ukoll il-kontrollur innifsu għandhom ikunu responsabbli (156).

(127)

Minbarra s-sanzjonijiet kriminali previsti fil-PIPA, l-użu ħażin tad-data personali jista’ jikkostitwixxi wkoll reat skont l-Att Kriminali. Dan huwa l-każ b’mod partikolari fir-rigward tal-ksur tas-segretezza tal-ittri, tad-dokumenti jew tar-rekords elettroniċi (l-Artikolu 316), id-divulgazzjoni ta’ informazzjoni soġġetta għas-segretezza professjonali (l-Artikolu 317), il-frodi bl-użu tal-kompjuters (l-Artikolu 347-2) kif ukoll l-miżapproprjazzjoni u l-ksur tal-fiduċja (l-Artikolu 355).

(128)

Għalhekk, is-sistema Koreana tikkombina tipi differenti ta’ sanzjonijiet, minn miżuri korrettivi u multi amministrattivi għal sanzjonijiet kriminali, li x’aktarx ikollhom effett ta’ deterrent partikolarment qawwi fuq il-kontrolluri u l-individwi li jittrattaw id-data. Immedjatament wara l-istabbiliment tagħha fl-2020, il-PIPC bdiet tagħmel użu mis-setgħat tagħha. Ir-rapport annwali tal-PIPC tal-2021 juri li l-PIPC diġà ħarġet għadd ta' rakkomandazzjonijiet, multi amministrattivi u ordnijiet korrettivi, kemm kontra s-settur pubbliku (madwar 34 awtorità pubblika) u wkoll kontra operaturi privati (madwar 140 kumpanija) (157). Pereżempju, f’Diċembru 2020, il-PIPC imponiet multa ta’ WON 6,7 biljun fuq kumpanija għall-ksur ta’ dispożizzjonijiet differenti tal-PIPA (inklużi rekwiżiti ta’ sigurtà, rekwiżiti għall-kunsens għall-forniment u t-trasparenza ta’ terzi) (158) u multa ta’ WON 103,3 miljun f’April 2021 dwar kumpanija tat-teknoloġija tal-AI għall-ksur, fost dispożizzjonijiet oħra, tar-regoli dwar il-legalità tal-ipproċessar, b’mod partikolari l-kunsens, u l-ipproċessar ta’ informazzjoni psewdonimizzata (159). F'Awwissu tal-2021, il-PIPC iffinalizzat investigazzjoni oħra tal-attivitajiet ta’ tliet kumpaniji, li waslet għal miżuri korrettivi u l-impożizzjoni ta' multi sa 6,47 biljun won (fost l-oħrajn, għax naqsu milli jinfurmaw lill-individwi dwar id-divulgazzjoni tad-data personali lill-partijiet terzi, inkluż it-trasferimenti għal pajjiżi terzi) (160). Barra minn hekk, diġà qabel ir-riforma reċenti, il-Korea t’Isfel kellha rekord b’saħħtu ta’ infurzar, bl-awtoritajiet responsabbli jagħmlu użu mill-firxa sħiħa ta’ azzjonijiet ta’ infurzar, inklużi multi amministrattivi, miżuri korrettivi, u “ismijiet u kondiviżjoni” fir-rigward ta’ varjetà ta’ kontrolluri, inklużi fornituri ta’ servizzi ta’ komunikazzjoni (il-Kummissjoni tal-Komunikazzjonijiet tal-Korea), kif ukoll operaturi kummerċjali, istituzzjonijiet finanzjarji, awtoritajiet pubbliċi, universitajiet u sptarijiet (il-Ministeru tal-Intern u s-Sikurezza) (161). Abbażi ta’ dan, il-Kummissjoni tikkonkludi li s-sistema Koreana tiżgura l-infurzar effettiv tar-regoli dwar il-protezzjoni tad-data fil-prattika, u b’hekk tiggarantixxi livell ta’ protezzjoni essenzjalment ekwivalenti għal dak skont ir-Regolament (UE) 2016/679.

(129)

Sabiex jiġu żgurati l-protezzjoni adegwata u b’mod partikolari l-infurzar tad-drittijiet individwali, is-suġġett tad-data jenħtieġ li jingħata rimedju amministrattiv u ġudizzjarju effettiv, inkluż kumpens għad-danni.

(130)

Is-sistema Koreana tipprovdi lill-individwi b’diversi mekkaniżmi biex jinfurzaw b’mod effettiv id-drittijiet tagħhom u jiksbu rimedju (ġudizzjarju).

(131)

Bħala l-ewwel pass, l-individwi li jqisu li d-drittijiet jew l-interessi tal-protezzjoni tad-data tagħhom ġew miksura jistgħu jirrikorru għand il-kontrollur rilevanti. Skont l-Artikolu 30(1) lit. 5 PIPA, il-politika dwar il-privatezza tal-kontrollur għandha fost l-oħrajn tinkludi informazzjoni dwar id-drittijiet tas-suġġetti tad-data u kif għandhom jiġu eżerċitati. Barra minn hekk, huwa għandu jipprovdi informazzjoni ta’ kuntatt – bħall-isem u n-numru tat-telefon tal-uffiċjal tal-privatezza jew tad-dipartiment responsabbli għall-protezzjoni tad-data – biex jippermetti l-preżentazzjoni tal-ilmenti (“ilmenti”). Fi ħdan l-organizzazzjoni tal-kontrollur, l-uffiċjal tal-privatezza huwa responsabbli għall-ġestjoni tal-ilmenti, għall-adozzjoni ta’ miżuri korrettivi f’każ ta’ ksur tal-privatezza u għall-għoti ta’ kumpens bħala rimedju (l-Artikolu 31(2) lit. 3, (4) tal-PIPA). Dan tal-aħħar huwa rilevanti, pereżempju, f’każ ta’ ksur tad-data peress li l-kontrollur irid jinforma lis-suġġett tad-data bil-punt(i) ta’ kuntatt għar-rapportar ta’ kwalunkwe dannu, fost l-oħrajn (l-Artikolu 34(1) lit. 5 tal-PIPA).

(132)

Barra minn hekk, il-PIPA joffri diversi mezzi ta’ rimedji lil individwi kontra l-kontrolluri. L-ewwel nett, kwalunkwe individwu li jqis li d-drittijiet jew l-interessi tal-protezzjoni tad-data tiegħu jew tagħha jkunu nkisru mill-kontrollur jista’ jirrapporta tali ksur lill-PIPC u/jew lil waħda mill-istituzzjonijiet speċjalizzati maħtura mill-PIPC biex jirċievu u jittrattaw l-ilmenti; dan jinkludi l-Aġenzija tal-Korea għall-Internet u s-Sigurtà, li għal dak il-għan topera ċentru ta’ informazzjoni personali (l-hekk imsejjaħ “Ċentru tas-Sejħiet għall-Privatezza”) (l-Artikolu 62(1), (2) tal-PIPA flimkien mal-Artikolu 59 tad-Digriet tal-Infurzar tal-PIPA). Iċ-Ċentru Telefoniku dwar il-Privatezza jinvestiga u jistabbilixxi ksur, jipprovdi konsulenza dwar l-ipproċessar tad-data personali (l-Artikolu 62(3) tal-PIPA) u jista' jirraporta ksur lill-PIPC (iżda ma jistax jieħu miżuri ta' infurzar hu stess). Iċ-Ċentru Telefoniku dwar il-Privatezza jirċievi għadd kbir ta' lmenti/ talbiet (pereżempju 177 457 fl-2020, 159 255 fl-2019 u 164 497 fl-2018) (162). Skont l-informazzjoni riċevuta mill-PIPC, il-PIPC stess rċeviet madwar 1 000 ilment bejn Awwissu tal-2020 u Awwissu tal-2021. B'rispons għal ilment, il-PIPC tista' toħroġ parir għal titjib, miżuri korrettivi, "akkuża" lill-aġenzija investigattiva kompetenti (inkluż prosekutur) jew parir għal-azzjoni dixxiplinarja (ara l-Artikoli 61, 64 u 65 tal-PIPA). Id-deċiżjonijiet tal-PIPC (bħal rifjut li jiġi ttrattat ilment jew rifjut fuq il-mertu ta’ lment) jistgħu jiġu kkontestati skont l-Att dwar il-Tilwim Amministrattiv (163).

(133)

It-tieni, skont l-Artikoli 40 sa 50 tal-PIPA flimkien mal-Artikoli 48-14 sa 57 tad-Digriet tal-Infurzar tal-PIPA, is-suġġetti tad-data jistgħu jressqu talbiet lill-hekk imsejjaħ “Kumitat għall-Medjazzjoni tat-Tilwim”, li jikkonsistu minn rappreżentanti maħtura miċ-Chairperson tal-PIPC minn membri tas-Servizz Eżekuttiv Superjuri tal-PIPC u individwi maħtura abbażi tal-esperjenza tagħhom fil-qasam tal-protezzjoni tad-data minn fost ċerti gruppi eliġibbli (ara l-Artikolu 40(2), (3) u (7) tal-PIPA, l-Artikolu 48-14 tad-Digriet tal-Infurzar tal-PIPA) (164). Il-possibbiltà li jagħmlu użu mill-medjazzjoni quddiem il-Kumitat għall-Medjazzjoni tat-Tilwim jipprovdi mezz alternattiv biex jinkiseb rimedju, iżda ma jillimitax id-dritt tal-individwu li minflok idur fuq il-PIPC jew il-qrati. Sabiex jeżamina l-każ, il-Kumitat jista’ jitlob lill-partijiet f’tilwima biex jipprovdu l-materjali meħtieġa u/jew jitlob li x-xhieda rilevanti jidhru quddiemu (l-Artikolu 45 tal-PIPA). Ladarba l-kwistjoni tiġi ċċarata, il-Kumitat iħejji abbozz ta’ deċiżjoni ta’ medjazzjoni (165) li dwarha trid taqbel il-maġġoranza tal-membri tiegħu. L-abbozz ta’ medjazzjoni jista’ jinkludi s-sospensjoni tal-ksur, ir-rimedji meħtieġa (inkluż ir-restituzzjoni jew il-kumpens) kif ukoll kwalunkwe miżura meħtieġa biex tiġi evitata r-rikorrenza tal-istess ksur jew ksur simili (l-Artikolu 47(1) tal-PIPA). Fejn iż-żewġ partijiet jaqblu mal-għoti ta’ medjazzjoni, dan ikollu l-istess effett bħal soluzzjoni fil-qorti (l-Artikolu 47(5) tal-PIPA). L-ebda waħda mill-partijiet ma hija prekluża milli tiftaħ kawża l-qorti waqt li l-medjazzjoni tkun għadha pendenti, f’liema każ din tal-aħħar tiġi sospiża (ara l-Artikolu 48(2) tal-PIPA) (166). Ċifri annwali maħruġa mill-PIPC juru li l-individwi regolarment jużaw il-proċedura quddiem il-Kumitat għall-Medjazzjoni tat-Tilwim, li spiss twassal għal eżitu b'suċċess. Pereżempju, fl-2020, il-Kumitat tratta 126 każ, li minnhom 89 kien riżolti quddiem il-Kumitat (b'77 każ fejn il-partijiet laħqu qbil qabel ma ntemm il-proċess ta' medjazzjoni u 12-il każ fejn il-partijiet aċċettaw il-proposta ta' medjazzjoni), biex wasslu għal rata ta' medjazzjoni ta' 70,6 % (167). B'mod simili, fl-2019, il-Kumitat tratta 139 każ, li minnhom 92 kienu riżolti, biex wasslu għal rata ta' medjazzjoni ta' 62,2 %.

(134)

Barra minn hekk, fejn mill-inqas 50 individwu jġarrbu dannu, jew id-drittijiet tagħhom għall-protezzjoni tad-data jkunu nkisru bl-istess mod jew b’mod simili wara l-istess inċident (tip ta’) (168), suġġett tad-data jew organizzazzjoni tal-protezzjoni tad-data jistgħu japplikaw għal medjazzjoni kollettiva tat-tilwim f’isem tali kollettività; suġġetti oħra tad-data jistgħu japplikaw biex jingħaqdu ma’ tali medjazzjoni, li titħabbar pubblikament mill-Kumitat għall-Medjazzjoni tat-Tilwim (l-Artikolu 49(1) sa (3) tal-PIPA flimkien mal-Artikoli 52 sa 54 tad-Digriet tal-Infurzar tal-PIPA) (169). Il-Kumitat tal-Medjazzjoni għat-Tilwim jista’ jagħżel mill-inqas persuna waħda li tirrappreżenta bl-aktar mod xieraq l-interess komuni bħala parti rappreżentattiva (l-Artikolu 49(4) tal-PIPA). Meta l-kontrollur jirrifjuta l-medjazzjoni kollettiva tat-tilwim jew ma jaċċettax deċiżjoni ta’ medjazzjoni, ċerti organizzazzjonijiet (170) jistgħu jippreżentaw kawża fil-forma ta’ azzjoni kollettiva biex jindirizzaw il-ksur (l-Artikoli 51 sa 57 tal-PIPA).

(135)

It-tielet, f’każ ta’ ksur tal-privatezza li jikkawża “dannu” lill-individwu, is-suġġett tad-data għandu d-dritt għal rimedju xieraq fi “proċedura fil-pront u ġusta” (l-Artikolu 4 lit. 5 bl-Artikolu 39 tal-PIPA) (171). Il-kontrollur jista’ jiskolpa lilu nnifsu billi jipprova n-nuqqas ta’ ħtija (“intenzjoni inġusta” jew negliġenza). Meta s-suġġett tad-data jġarrab dannu bħala riżultat ta’ telf, serq, divulgazzjoni, falsifikazzjoni, tibdil jew ħsara fil-/tad-data personali tiegħu jew tagħha, il-Qorti tista’ tiddetermina kumpens sa tliet darbiet tad-dannu attwali, filwaqt li tqis għadd ta’ fatturi (l-Artikolu 39(3), (4) tal-PIPA). Alternattivament, is-suġġett tad-data jista’ jitlob “ammont raġonevoli” ta’ kumpens li ma jaqbiżx WON 3 miljun (l-Artikolu 39-2(1), (2) tal-PIPA). Barra minn hekk, f’konformità mal-Att Ċivili, jista’ jintalab kumpens minn kwalunkwe persuna “li tikkawża telf jew tikkawża dannu lil persuna oħra permezz ta’ att illegali, intenzjonalment jew b’negliġenza” (172) jew minn persuna “li tkun ikkawżat il-ħsara lill-persuna, lil-libertà jew lill-fama ta’ persuna oħra jew tkun ikkawżat xi tbatija mentali lil persuna oħra” (173). Tali responsabbiltà għad-delitt li tirriżulta mill-ksur tar-regoli dwar il-protezzjoni tad-data ġiet ikkonfermata mill-Qorti Suprema (174). Jekk id-dannu jkun ġie kkawżat minn azzjoni illegali ta’ awtorità pubblika, talba għal kumpens tista’ tiġi ppreżentata wkoll skont l-Att dwar il-Kumpens mill-Istat (175). Talba skont l-Att dwar il-Kumpens mill-Istat tista’ tiġi ppreżentata ma’ “Kunsill ta’ Kumpens” speċjalizzat, jew direttament mal-qrati Koreani (176). Ir-responsabbiltà tal-Istat tkopri wkoll danni mhux materjali (bħal tbatija mentali) (177). Jekk il-vittma tkun ċittadin barrani, l-Att dwar il-Kumpens mill-Istat japplika sakemm il-pajjiż ta’ oriġini tagħha jiżgura bl-istess mod kumpens mill-Istat għaċ-ċittadini Koreani (178).

(136)

Ir-raba’, il-Qorti Suprema rrikonoxxiet li l-individwi għandhom dritt li jitolbu rimedju b’mandat ta’ inibizzjoni għal ksur tad-drittijiet tagħhom skont il-Kostituzzjoni, inkluż id-dritt għall-protezzjoni tad-data personali (179). F’dan il-kuntest, qorti tista’ pereżempju tordna lill-kontrolluri jissospendu jew iwaqqfu kwalunkwe attività illegali. Barra minn hekk, id-drittijiet tal-protezzjoni tad-data, inklużi d-drittijiet protetti mill-PIPA, jistgħu jiġu eżegwiti permezz ta’ azzjonijiet ċivili. Din l-applikazzjoni orizzontali tal-protezzjoni kostituzzjonali tal-privatezza għar-relazzjonijiet bejn il-partijiet privati ġiet rikonoxxuta mill-Qorti Suprema (180).

(137)

Fl-aħħar nett, l-individwi jistgħu jippreżentaw kwerela skont l-Att dwar il-Proċedura Kriminali (l-Artikolu 223) ma’ prosekutur pubbliku jew uffiċjal tal-pulizija ġudizzjarja (181).

(138)

Għalhekk, is-sistema Koreana toffri diversi mezzi biex jinkiseb rimedju, minn għażliet faċilment aċċessibbli u bi prezz baxx (pereżempju billi tikkuntattja liċ-Ċentru tas-Sejħiet għall-Privatezza jew permezz ta’ medjazzjoni (kollettiva) sa modi amministrattivi (quddiem il-PIPC) u mezzi ġudizzjarji, anki bil-possibbiltà li jinkiseb kumpens għad-danni.

(139)

Il-Kummissjoni vvalutat ukoll il-limitazzjonijiet u s-salvagwardji, inklużi s-sorveljanza u l-mekkaniżmi ta’ rimedju individwali disponibbli fid-dritt Korean rigward il-ġbir u l-użu sussegwenti minn awtoritajiet pubbliċi Koreani tad-data personali trasferita lil kontrolluri fil-Korea fl-interess pubbliku, b’mod partikolari għall-għanijiet ta’ infurzar tal-liġi kriminali u tas-sigurtà nazzjonali (aċċess mill-Gvern). F’dan ir-rigward, il-Gvern Korean ipprovda lill-Kummissjoni b’rappreżentazzjonijiet, b’aċċertamenti u b’impenji uffiċjali ffirmati fl-ogħla livell ministerjali u tal-aġenziji li jinsabu fl-Anness II ta' din id-Deċiżjoni.

(140)

Fil-valutazzjoni dwar jekk il-kundizzjonijiet li fihom l-aċċess tal-Gvern għad-data trasferita lill-Korea skont din id-Deċiżjoni jissodisfawx it-test ta’ “ekwivalenza essenzjali” skont l-Artikolu 45(1) tar-Regolament (UE) 2016/679, kif interpretat mill-Qorti tal-Ġustizzja tal-Unjoni Ewropea fid-dawl tal-Karta tad-Drittijiet Fundamentali, il-Kummissjoni qieset b’mod partikolari l-kriterji li ġejjin.

(141)

L-ewwel nett, kwalunkwe limitazzjoni għad-dritt għall-protezzjoni tad-data personali trid tkun prevista fil-liġi u l-bażi ġuridika li tippermetti l-interferenza ma’ tali dritt trid tiddefinixxi hija stess il-kamp ta’ applikazzjoni tal-limitazzjoni fuq l-eżerċizzju tad-dritt ikkonċernat (182).

(142)

It-tieni, sabiex jiġi ssodisfat ir-rekwiżit tal-proporzjonalità, li skontu d-derogi mill-protezzjoni tad-data personali u l-limitazzjonijiet għaliha jridu japplikaw biss sa fejn ikunu strettament meħtieġa f’soċjetà demokratika sabiex jintlaħqu objettivi speċifiċi ta’ interess ġenerali ekwivalenti għal dawk rikonoxxuti mill-Unjoni, il-leġiżlazzjoni tal-pajjiż terz inkwistjoni li tippermetti l-interferenza trid tistabbilixxi regoli ċari u preċiżi li jirregolaw l-ambitu u l-applikazzjoni tal-miżuri inkwistjoni u timponi salvagwardji minimi sabiex il-persuni li d-data tagħhom tkun ġiet ittrasferita jkollhom biżżejjed garanziji sabiex jipproteġu b’mod effettiv id-data personali tagħhom kontra r-riskju ta’ abbuż (183). B’mod partikolari, il-leġiżlazzjoni trid tindika f’liema ċirkustanzi u f’liema kundizzjonijiet tista’ tiġi adottata miżura li tipprovdi għall-ipproċessar ta’ tali data (184) kif ukoll tissuġġetta l-issodisfar ta’ tali rekwiżiti għal sorveljanza indipendenti (185).

(143)

It-tielet, dik il-leġiżlazzjoni u r-rekwiżiti tagħha jridu jkunu legalment vinkolanti skont il-liġi domestika. Dan jikkonċerna l-ewwel nett l-awtoritajiet kollha tal-pajjiż terz inkwistjoni, iżda dawn ir-rekwiżiti legali jridu jkunu infurzabbli wkoll quddiem il-qrati kontra dawk l-awtoritajiet (186). B’mod partikolari, is-suġġetti tad-data jrid ikollhom il-possibbiltà li jieħdu azzjoni legali quddiem qorti indipendenti u imparzjali sabiex ikollhom aċċess għad-data personali tagħhom, jew sabiex jiksbu r-rettifika jew it-tħassir tat-tali data (187).

(144)

Il-limitazzjonijiet u s-salvagwardji li japplikaw għall-ġbir u l-użu sussegwenti tad-data personali mill-awtoritajiet pubbliċi Koreani jsegwu mill-qafas kostituzzjonali ġenerali, liġijiet speċifiċi li jirregolaw l-attivitajiet tagħhom fl-oqsma tal-infurzar tal-liġi kriminali u s-sigurtà nazzjonali, kif ukoll ir-regoli li japplikaw speċifikament għall-ipproċessar tad-data personali.

(145)

L-ewwel nett, l-aċċess għad-data personali mill-awtoritajiet pubbliċi Koreani huwa rregolat minn prinċipji ġenerali ta’ legalità, ħtieġa u proporzjonalità li jirriżultaw mill-Kostituzzjoni Koreana (188). B’mod partikolari, id-drittijiet u l-libertajiet fundamentali (inkluż id-dritt għall-privatezza u d-dritt għall-privatezza tal-korrispondenza) (189) jistgħu jiġu ristretti biss bil-liġi u meta jkun meħtieġ għas-sigurtà nazzjonali, jew iż-żamma tal-liġi u tal-ordni għall-benesseri pubbliku. Tali restrizzjonijiet ma jistgħux jaffettwaw l-essenza tad-dritt jew tal-libertà inkwistjoni. Fir-rigward ta’ tfittxijiet u sekwestri speċifikament, il-Kostituzzjoni tipprevedi li dawn jistgħu jsiru biss kif previst mil-liġi, abbażi ta’ mandat maħruġ minn imħallef u fir-rigward ta’ proċess ġust (190). Fl-aħħar nett, l-individwi jistgħu jinvokaw id-drittijiet u l-libertajiet tagħhom quddiem il-Qorti Kostituzzjonali jekk jemmnu li dawn inkisru mill-awtoritajiet pubbliċi fl-eżerċizzju tas-setgħat tagħhom (191). Bl-istess mod, individwi li ġarrbu danni minħabba att illegali mwettaq minn uffiċjal pubbliku fil-qadi tad-dmirijiet uffiċjali għandhom id-dritt li jitolbu kumpens ġust (192).

(146)

It-tieni, kif deskritt f’aktar dettall fit-Taqsimiet 3.2.1 u 3.3.1, il-prinċipji ġenerali msemmija fil-premessa (145) huma riflessi wkoll fil-liġijiet speċifiċi li jirregolaw is-setgħat tal-awtoritajiet tal-infurzar tal-liġi u tas-sigurtà nazzjonali. Pereżempju, fir-rigward tal-investigazzjonijiet kriminali, l-Att dwar il-Proċedura Kriminali (CPA) jipprevedi li jistgħu jittieħdu miżuri obbligatorji biss fejn ikun previst espliċitament fis-CPA u sal-inqas punt meħtieġ biex jintlaħaq l-għan tal-investigazzjoni (193). B'mod simili, l-Artikolu 3 tal-Att dwar il-Protezzjoni tal-Privatezza fil-qasam tal-Komunikazzjonijiet (CPPA) jipprojbixxi l-aċċess għall-komunikazzjonijiet privati ħlief abbażi tal-liġi u suġġett għal-limitazzjonijiet u s-salvagwardji stabbiliti fih. Fil-qasam tas-sigurtà nazzjonali, l-Att dwar id-Dipartiment tal-Intelligence Nazzjonali (l-Att dwar l-NIS) jipprevedi li kwalunkwe aċċess għal informazzjoni dwar il-komunikazzjonijiet jew dwar il-pożizzjoni irid jikkonforma mal-liġi u jissuġġetta l-abbuż mis-setgħa u l-ksur tal-liġi għal sanzjonijiet kriminali (194).

(147)

It-tielet, l-ipproċessar tad-data personali mill-awtoritajiet pubbliċi, inkluż għal għanijiet ta’ infurzar tal-liġi u ta’ sigurtà nazzjonali, huwa suġġett għal regoli dwar il-protezzjoni tad-data skont il-PIPA (195). Bħala prinċipju ġenerali, l-Artikolu 5(1) tal-PIPA jirrikjedi li l-awtoritajiet pubbliċi jiżviluppaw politiki biex jipprevjenu “l-abbuż u l-użu ħażin tal-informazzjoni personali, is-sorveljanza u t-trekkjar indiskreti, eċċ. u biex itejbu d-dinjità tal-bnedmin u l-privatezza individwali.” Barra minn hekk, kwalunkwe kontrollur irid jipproċessa data personali b’mod li jimminimizza l-possibbiltà ta’ ksur fuq il-privatezza tas-suġġett tad-data (l-Artikolu 3(6) tal-PIPA).

(148)

Ir-rekwiżiti kollha tal-PIPA, kif deskritti fid-dettall fit-Taqsima 2, japplikaw għall-ipproċessar tad-data personali għal għanijiet ta’ infurzar tal-liġi. Dan jinkludi l-prinċipji ewlenin (bħal-legalità u l-ġustizzja, il-limitazzjoni tal-iskop, il-preċiżjoni, il-minimizzazzjoni tad-data, il-limitazzjoni tal-ħżin, is-sigurtà u t-trasparenza), l-obbligi (pereżempju fir-rigward tan-notifika ta’ ksur tad-data u data sensittiva) u d-drittijiet (biex jinkisbu aċċess, korrezzjoni, tħassir u sospensjoni).

(149)

Filwaqt li l-ipproċessar tad-data personali għal għanijiet ta’ sigurtà nazzjonali huwa suġġett għal sett aktar limitat ta’ dispożizzjonijiet skont il-PIPA, japplikaw il-prinċipji ewlenin, kif ukoll ir-regoli dwar is-sorveljanza, l-infurzar u r-rimedju (196). B’mod aktar speċifiku, l-Artikoli 3 u 4 tal-PIPA jistabbilixxu l-prinċipji ġenerali tal-protezzjoni tad-data (il-legalità u l-ġustizzja, il-limitazzjoni tal-iskop, il-preċiżjoni, il-minimizzazzjoni tad-data, is-sigurtà u t-trasparenza) u d-drittijiet individwali (id-dritt li tiġi infurmata, id-dritt ta’ aċċess, u d-drittijiet għall-korrezzjoni, għat-tħassir u għas-sospensjoni) (197). Barra minn hekk, l-Artikolu 4(5) tal-PIPA jipprovdi lill-individwi bid-dritt għal rimedju xieraq għal kwalunkwe dannu li jirriżulta mill-ipproċessar tad-data personali tagħhom fi proċedura fil-pront u ġusta. Dan huwa kkomplementat minn obbligi aktar speċifiċi biex id-data personali tiġi pproċessata biss sal-limitu minimu meħtieġ biex jintlaħaq l-iskop maħsub u għall-perjodu minimu, biex jiġu stabbiliti l-miżuri meħtieġa biex tiġi żgurata ġestjoni sikura tad-data u proċessar xieraq (bħas-salvagwardji tekniċi, maniġerjali u fiżiċi), kif ukoll biex jiġu stabbiliti miżuri għat-trattament xieraq ta’ lmenti individwali (ilmenti) (198). Fl-aħħar nett, il-prinċipji ġenerali tal-legalità, tan-neċessità u tal-proporzjonalità mill-Kostituzzjoni Koreana (ara l-premessa (145)) japplikaw ukoll għall-ipproċessar tad-data personali għal għanijiet ta’ sigurtà nazzjonali.

(150)

Dawn il-limitazzjonijiet u s-salvagwardji ġenerali jistgħu jiġu invokati minn individwi quddiem korpi ta’ sorveljanza indipendenti (eż. il-PIPC u/jew il-Kummissjoni Nazzjonali tad-Drittijiet tal-Bniedem, ara l-premessi (177) - (178)) u l-qrati (ara l-premessi (179) - (183)) biex jinkiseb rimedju.

(151)

Id-dritt tar-Repubblika tal-Korea jimponi numru ta’ limitazzjonijiet fuq l-aċċess u fuq l-użu tad-data personali għall-għanijiet ta’ infurzar tal-liġi kriminali, u jipprovdi mekkaniżmi ta’ sorveljanza u ta’ rimedju f’dan il-qasam li huma konformi mar-rekwiżiti msemmija fil-premessi (141) sa (143) ta’ din id-deċiżjoni. Il-kundizzjonijiet li fihom jista’ jseħħ dan l-aċċess u s-salvagwardji applikabbli għall-użu ta’ dawn is-setgħat huma vvalutati fid-dettall fit-taqsimiet li ġejjin.

(152)

Id-data personali pproċessata mill-kontrolluri Koreani li tiġi ttrasferita mill-Unjoni skont din id-Deċiżjoni (199) tista’ tinġabar mill-awtoritajiet Koreani għal għanijiet ta’ infurzar tal-liġi kriminali fil-kuntest ta’ tfittxija jew sekwestru (abbażi tas-CPA), billi tiġi aċċessata informazzjoni ta’ komunikazzjoni (fuq il-bażi tas-CPPA), jew billi tinkiseb data dwar l-abbonati permezz ta’ talbiet għal divulgazzjoni volontarja (fuq il-bażi tal-Att dwar in-Negozju tat-Telekomunikazzjoni, TBA) (200).

(153)

Is-CPA jipprevedi li tfittxija jew sekwestru jistgħu jsiru biss jekk persuna tkun suspettata b’reat, ikun meħtieġ għall-investigazzjoni u tiġi stabbilita konnessjoni bejn l-investigazzjoni u l-persuna li għandha tiġi mfittxija jew l-oġġett li għandu jiġi spezzjonat jew issekwestrat (201). Barra minn hekk, tfittxija jew sekwestru (bħala kwalunkwe miżura obbligatorja) tista’ tiġi awtorizzata/imwettqa biss sa fejn ikun meħtieġ (202). Jekk tfittxija tikkonċerna diska tal-kompjuter jew mezz ieħor għall-ħżin tad-data, fil-prinċipju d-data meħtieġa nnifisha biss (kopja jew stampata) tiġi sekwestrata aktar milli l-mezz kollu (203). Dan tal-aħħar jista’ jkun issekwestrat biss meta jitqies sostanzjalment impossibbli li tiġi stampata jew ikkupjata d-data meħtieġa separatament, jew meta jitqies, li inkella, sostanzjalment mhux prattikabbli li jitwettaq l-iskop tat-tfittxija (204). Is-CPA għalhekk jistabbilixxi regoli ċari u preċiżi dwar l-ambitu u l-applikazzjoni ta’ dawn il-miżuri, u b’hekk jiżgura li l-interferenza mad-drittijiet tal-individwi f’każ ta’ tfittxija jew sekwestru tkun limitata għal dak li huwa meħtieġ għal investigazzjoni kriminali speċifika u proporzjonata għall-iskop mixtieq.

(154)

F’termini ta’ salvagwardji proċedurali, is-CPA jirrikjedi li jinkiseb mandat minn qorti biex titwettaq tfittxija jew sekwestru (205). Tfittxija jew sekwestru mingħajr mandat huwa permess biss b’mod eċċezzjonali, jiġifieri f’ċirkostanzi urġenti (206), in loco fil-mument tal-arrest jew tad-detenzjoni ta’ persuna suspettata b’reat kriminali (207), jew meta oġġett jiġi skartat jew prodott b’mod volontarju minn persuna suspettata jew minn persuna terza (fir-rigward tad-data personali, mill-individwu kkonċernat stess) (208). Tfittxijiet u sekwestri illegali huma soġġetti għal sanzjonijiet kriminali (209) u kwalunkwe evidenza li tinkiseb bi ksur tas-CPA titqies inammissibbli (210). Fl-aħħar nett, l-individwi kkonċernati jenħtieġ li dejjem jiġu nnotifikati dwar tfittxija jew sekwestru (inkluż sekwestru tad-data tagħhom) mingħajr dewmien (211), li min-naħa tiegħu se jiffaċilita l-eżerċizzju tad-drittijiet sostantivi tal-individwu u d-dritt għal rimedju (ara b’mod partikolari l-possibbiltà li tiġi kkontestata l-eżekuzzjoni ta’ mandat ta’ sekwestru, ara l-premessa (180)).

(155)

Fuq il-bażi tas-CPPA, l-awtoritajiet tal-infurzar tal-liġi kriminali Koreani jistgħu jieħdu żewġ tipi ta’ miżuri (212): minn naħa waħda, il-ġbir ta’ “data ta’ konferma tal-komunikazzjoni” (213), li tinkludi d-data tat-telekomunikazzjoni, il-bidu u t-tmiem tal-ħin tagħhom, in-numru ta’ telefonati ħerġin u deħlin kif ukoll in-numru tal-abbonat tal-parti l-oħra, il-frekwenza tal-użu, il-fajls tar-reġistru dwar l-użu tas-servizzi tat-telekomunikazzjoni u l-informazzjoni dwar il-pożizzjoni (pereżempju mit-torrijiet tat-trażmissjoni fejn jiġu riċevuti s-sinjali); u, min-naħa l-oħra, “miżuri li jirrestrinġu l-komunikazzjoni”, li jkopru kemm il-ġbir tal-kontenut tal-posta tradizzjonali kif ukoll l-interċettazzjoni diretta tal-kontenut tat-telekomunikazzjonijiet (214).

(156)

Id-data tal-konferma tal-komunikazzjoni tista’ tiġi aċċessata biss meta jkun meħtieġ biex titwettaq investigazzjoni kriminali jew tiġi eżegwita sentenza (215), abbażi ta’ mandat maħruġ minn qorti (216). F’dan ir-rigward, is-CPPA jeħtieġ li tiġi pprovduta informazzjoni dettaljata kemm fir-rikors għall-mandat (eż. dwar ir-raġunijiet għat-talba, ir-relazzjoni mal-mira/mal-abbonat u d-data meħtieġa) kif ukoll fil-mandat innifsu (eż. dwar l-objettiv, il-mira u l-ambitu tal-miżura) (217). Il-ġbir mingħajr mandat jista’ jsir biss meta raġunijiet ta’ urġenza jagħmluha impossibbli li jinkiseb permess mill-qorti, f’liema każ il-mandat irid jinkiseb u jiġi kkomunikat lill-fornitur tat-telekomunikazzjoni immedjatament wara li tintalab id-data (218). Jekk il-qorti tirrifjuta li tagħti permess sussegwenti, l-informazzjoni miġbura trid tinqered (219).

(157)

F’termini ta’ salvagwardji addizzjonali fir-rigward tal-ġbir tad-data ta’ konferma tal-komunikazzjoni, is-CPPA jimponi rekwiżiti speċifiċi għaż-żamma tar-rekords u t-trasparenza (220). B’mod partikolari, kemm l-awtoritajiet tal-infurzar tal-liġi kriminali kif ukoll (221) il-fornituri tat-telekomunikazzjoni (222) jridu jżommu rekords tat-talbiet u tad-divulgazzjonijiet magħmula. Barra minn hekk, fil-prinċipju, l-awtoritajiet tal-infurzar tal-liġi kriminali jridu fil-prinċipju jinnotifikaw lill-individwi bil-fatt li d-data ta’ konferma tal-komunikazzjoni tagħhom tkun inġabret (223). Tali notifika tista’ tiġi differita biss f’ċirkostanzi eċċezzjonali, abbażi ta’ awtorizzazzjoni mid-direttur ta’ uffiċċju kompetenti tal-prosekuturi pubbliċi distrettwali (224). Awtorizzazzjoni bħal din tista’ tiġi pprovduta biss meta n-notifika x’aktarx li (1) tipperikola s-sigurtà nazzjonali, is-sigurtà pubblika u l-ordni pubbliku, (2) tikkawża l-mewt jew il-ħsara fil-persuna, (3) timpedixxi proċedimenti ġudizzjarji ġusti (pereżempju li jwasslu għall-qerda ta’ evidenza jew għat-theddid ta’ xhieda), jew (4) timmalafama lill-persuna suspettata, lill-vittmi jew lil persuni oħrajn relatati mal-każ, jew tinvadi l-privatezza tagħhom. F’dawk il-każijiet, in-notifika trid tiġi pprovduta fi żmien 30 jum ladarba r-raġuni(jiet) għad-differiment ma jibqgħux jeżistu (225). Man-notifika, l-individwi għandhom id-dritt li jiksbu informazzjoni dwar ir-raġunijiet għall-ġbir tad-data tagħhom (226).

(158)

Japplikaw regoli aktar stretti fir-rigward ta’ miżuri li jirrestrinġu l-komunikazzjoni, li jistgħu jintużaw biss meta jkun hemm raġuni sostanzjali biex wieħed jissuspetta li qed ikunu ppjanati, qed jitwettqu jew twettqu ċerti reati serji elenkati speċifikament fis-CPPA (227). Barra minn hekk, il-miżuri ta’ restrizzjoni tal-komunikazzjoni jistgħu jittieħdu biss bħala miżura tal-aħħar istanza u fejn ikun diffiċli li b’xi mod ieħor jiġi evitat t-twettiq ta’ reat, jiġi arrestat kriminal, jew jinġabru l-provi (228). Dawn iridu jitwaqqfu immedjatament ladarba ma jibqgħux meħtieġa, biex jiġi żgurat li l-ksur tal-privatezza tal-komunikazzjoni jkun limitat kemm jista’ jkun (229). Informazzjoni li tkun inkisbet illegalment permezz ta’ miżuri ta’ restrizzjoni tal-komunikazzjoni ma tiġix aċċettata bħala evidenza fi proċedimenti ġudizzjarji jew dixxiplinari (230).

(159)

F’termini ta’ salvagwardji proċedurali, is-CPPA jirrikjedi li jinkiseb mandat tal-qorti sabiex jitwettqu miżuri ta’ restrizzjoni tal-komunikazzjoni (231). Għal darb’oħra, is-CPPA jeħtieġ li r-rikors għal mandat u l-mandat innifsu jkun fihom informazzjoni dettaljata (232), inkluż dwar il-ġustifikazzjoni għat-talba, kif ukoll il-komunikazzjonijiet li għandhom jinġabru (li jridu jkunu dawk tas-suspettat li qed jiġi investigat) (233). Tali miżuri jistgħu jittieħdu biss mingħajr mandat f’każ ta’ theddida imminenti ta’ kriminalità organizzata jew meta reat serju ieħor li jista’ jikkawża l-mewt jew il-ħsara serja jkun imminenti, u tkun teżisti emerġenza li tagħmilha impossibbli li tiġi segwita l-proċedura regolari (234). Madankollu, f’dak il-każ, talba għal mandat trid tiġi ppreżentata immedjatament wara li tittieħed il-miżura (235). Il-miżuri ta’ restrizzjoni tal-komunikazzjoni jistgħu jitwettqu biss għal perjodu massimu ta’ xahrejn (236) u jistgħu jiġu estiżi biss bl-approvazzjoni tal-qorti jekk il-kundizzjonijiet għat-twettiq tal-miżuri jkomplu jiġu ssodisfati (237). Il-perjodu estiż ma jistax jaqbeż total ta’ sena, jew tliet snin għal ċerti reati partikolarment serji (bħal reati relatati mal-insurrezzjoni, l-aggressjoni barranija, is-sigurtà nazzjonali) (238).

(160)

Kif inhu l-każ għall-ġbir tad-data ta’ konferma tal-komunikazzjoni, is-CPPA jirrikjedi li l-fornituri tat-telekomunikazzjoni (239) u l-awtoritajiet tal-infurzar tal-liġi (240) jżommu rekords tal-eżekuzzjoni tal-miżuri ta’ restrizzjoni tal-komunikazzjoni, u jipprevedi n-notifika tal-individwu kkonċernat, li tista’ tiġi differita b’mod eċċezzjonali fejn meħtieġ għal raġunijiet importanti ta’ interess pubbliku (241).

(161)

Fl-aħħar nett, in-nuqqas ta’ konformità ma’ bosta mil-limitazzjonijiet u s-salvagwardji tas-CPPA (inkluż pereżempju l-obbligi għall-kisba ta’ mandat, iż-żamma tar-rekords u n-notifika tal-individwu), kemm fir-rigward tal-ġbir tad-data ta’ konferma tal-komunikazzjoni kif ukoll l-użu ta’ miżuri li jillimitaw il-komunikazzjoni, huma soġġetti għal sanzjonijiet kriminali (242).

(162)

Is-setgħat tal-awtoritajiet tal-infurzar tal-liġi kriminali biex jiġbru data ta’ komunikazzjoni abbażi tas-CPPA (kemm il-kontenut tal-komunikazzjonijiet u d-data ta’ konferma tal-komunikazzjoni) huma għalhekk ċirkoskritti minn regoli ċari u preċiżi, u huma soġġetti għal għadd ta’ salvagwardji. Dawn is-salvagwardji b’mod partikolari jiggarantixxu s-sorveljanza tal-eżekuzzjoni ta’ tali miżuri, kemm ex ante (permezz ta’ approvazzjoni ġudizzjarja minn qabel) kif ukoll ex post (permezz ta’ rekwiżiti ta’ żamma tar-rekords u ta’ rapportar), u jiffaċilitaw l-aċċess tal-individwi għal rimedji effettivi (billi jiżguraw li jkunu infurmati dwar il-ġbir tad-data tagħhom).

(163)

Minbarra li jiddependu fuq il-miżuri obbligatorji deskritti fil-premessi (153) - (162), l-awtoritajiet Koreani tal-infurzar tal-liġi jistgħu jitolbu lill-fornituri tat-telekomunikazzjoni għal “data dwar il-komunikazzjonijiet” fuq bażi volontarja, b’appoġġ għall-proċess kriminali, l-investigazzjoni jew l-eżekuzzjoni ta’ sentenza (l-Artikolu 83(3) tat-TBA). Din il-possibbiltà teżisti biss fir-rigward ta’ settijiet limitati tad-data, jiġifieri l-isem, in-numru tar-reġistrazzjoni tar-residenti, l-indirizz u n-numru tat-telefon tal-utenti, id-dati li fihom l-utenti jissottoskrivu jew jitterminaw l-abbonament tagħhom kif ukoll il-kodiċijiet ta’ identifikazzjoni tal-utenti (jiġifieri kodiċijiet użati biex jiġi identifikat l-utent leġittimu tas-sistemi tal-kompjuter jew tan-networks ta’ komunikazzjoni) (243). Peress li l-individwi li jikkuntrattaw direttament servizzi minn fornitur tat-telekomunikazzjoni tal-Korea biss jitqiesu bħala “utenti” (244), l-individwi tal-UE li d-data tagħhom ġiet ittrasferita lir-Repubblika tal-Korea normalment ma jaqgħux taħt din il-kategorija (245).

(164)

Limitazzjonijiet differenti japplikaw għal tali divulgazzjonijiet volontarji, kemm għall-eżerċizzju tas-setgħat mill-awtorità tal-infurzar tal-liġi kif ukoll għar-rispons tal-operatur tat-telekomunikazzjoni. Bħala rekwiżit ġenerali, l-awtoritajiet tal-infurzar tal-liġi jridu jaġixxu skont il-prinċipji kostituzzjonali tan-neċessità u tal-proporzjonalità (l-Artikoli 12(1) u 37(2) tal-Kostituzzjoni), anki meta jitolbu informazzjoni fuq bażi volontarja. Barra minn hekk, iridu jikkonformaw mal-PIPA, b’mod partikolari billi jiġbru biss data personali minima, sa fejn ikun meħtieġ biex jinkiseb għan leġittimu, b’mod li jiġi minimizzat l-impatt fuq il-privatezza tal-individwi (bħall-Artikolu 3(1), (6) tal-PIPA). B’mod aktar speċifiku, it-talbiet biex tinkiseb data dwar il-komunikazzjonijiet abbażi tat-TBA jridu jsiru bil-miktub u għandhom jiddikjaraw ir-raġunijiet għat-talba, ir-rabta mal-utent rilevanti u l-iskop tad-data mitluba (246).

(165)

Il-fornituri tat-telekomunikazzjoni ma humiex meħtieġa jikkonformaw ma’ dawn it-talbiet u jistgħu jagħmlu dan biss skont il-PIPA. Dan ifisser, b’mod partikolari, li jridu jibbilanċjaw l-interessi differenti involuti u ma jistgħux jipprovdu d-data jekk dan x’aktarx jikser b’mod inġust l-interessi tal-individwu jew ta’ terzi (247). Dan ikun pereżempju l-każ jekk ikun ċar li l-awtorità rikjedenti abbużat mill-awtorità tagħha (248). L-operaturi tat-telekomunikazzjoni jridu jżommu rekords tad-divulgazzjonijiet skont it-TBA u jirrapportaw darbtejn fis-sena lill-Ministru tax-Xjenza u l-ICT (249).

(166)

Barra minn hekk, f’konformità mat-Taqsima 3 tan-Notifika Nru 2021-5 (l-Anness I), il-fornituri tat-telekomunikazzjoni fil-prinċipju jridu jinnotifikaw lill-individwu kkonċernat meta jikkonformaw volontarjament ma’ talba (250). Min-naħa l-oħra, dan se jippermetti lill-individwu jeżerċita d-drittijiet tiegħu/tagħha u, f’każ li d-data tiegħu/tagħha tiġi żvelata b’mod illegali, jikseb rimedju, jew kontra l-kontrollur (pereżempju għall-iżvelar tad-data bi ksur tal-PIPA jew għar-rispons għal talba li kienet manifestament sproporzjonata) jew kontra l-awtorità tal-infurzar tal-liġi (pereżempju billi aġixxiet lil hinn mil-limiti ta’ dak li huwa meħtieġ u proporzjonat jew għan-nuqqas ta’ rispett tar-rekwiżiti proċedurali tat-TBA).

(167)

L-ipproċessar tad-data personali miġbura mill-awtoritajiet tal-infurzar tal-liġi kriminali Koreani huwa suġġett għar-rekwiżiti kollha tal-PIPA, inkluż fir-rigward tal-limitazzjoni tal-iskop (l-Artikolu 3(1)-(2) tal-PIPA), il-legalità tal-użu u l-provvediment lil partijiet terzi (l-Artikoli 15, 17 u 18 tal-PIPA), it-trasferimenti internazzjonali (l-Artikoli 17 u 18 tal-PIPA, flimkien mat-Taqsima 2 tan-Notifika 2021-5) (251), il-proporzjonalità/il-minimizzazzjoni tad-data (l-Artikolu 3(1),(6) tal-PIPA) u l-limitazzjoni tal-ħżin (l-Artikolu 21 tal-PIPA) (252).

(168)

Fir-rigward tal-kontenut tal-komunikazzjonijiet miksuba permezz tal-eżekuzzjoni ta’ miżuri li jirrestrinġu l-komunikazzjoni, is-CPPA jillimita speċifikament l-użu possibbli tagħhom għall-investigazzjoni, il-prosekuzzjoni jew il-prevenzjoni ta’ reati serji (253); proċedimenti dixxiplinari għall-istess reati; talbiet għad-danni mressqa minn parti fil-komunikazzjonijiet jew fejn dan huwa speċifikament permess minn liġijiet oħra (254). Barra minn hekk, il-kontenut miġbur tat-telekomunikazzjoni trażmess fuq l-internet jista’ jinżamm biss bl-approvazzjoni mill-qorti li awtorizzat il-miżuri ta’ restrizzjoni tal-komunikazzjoni (255), bil-għan li jintuża għall-investigazzjoni, il-prosekuzzjoni jew il-prevenzjoni ta’ reati serji (256). B’mod aktar ġenerali, is-CPPA jipprojbixxi d-divulgazzjoni ta’ informazzjoni kunfidenzjali miksuba minn miżuri ta’ restrizzjoni tal-komunikazzjoni, u l-użu ta’ tali informazzjoni biex tagħmel ħsara lir-reputazzjoni ta’ dawk li kienu soġġetti għall-miżuri (257).

(169)

Fil-Korea, l-attivitajiet tal-awtoritajiet tal-infurzar tal-liġi kriminali huma supervizzati minn korpi differenti (258).

(170)

L-ewwel nett, il-pulizija hija soġġetta għal sorveljanza interna minn Spettur Ġenerali (259), li jwettaq stħarriġ tal-legalità, inkluż fir-rigward ta’ ksur possibbli tad-drittijiet tal-bniedem. L-Ispettur Ġenerali ġie stabbilit biex jimplimenta l-Att dwar l-Awditi tas-Settur Pubbliku, li jħeġġeġ il-ħolqien ta’ korpi li jwettqu awtoawditjar u jistabbilixxi rekwiżiti speċifiċi għall-kompożizzjoni u l-kompiti tagħhom. B’mod partikolari, l-Att jirrikjedi li l-kap ta’ korp li jwettaq awtoawditjar jinħatar minn barra l-awtorità rilevanti (bħal eks imħallfin, professuri) għal perjodu ta’ sentejn sa ħames snin (260), jista’ jiġi mneħħi biss għal raġunijiet ġustifikati (pereżempju meta ma jkunx jista’ jwettaq dmirijietu minħabba raġunijiet ta’ saħħa, jew meta jkun soġġetti għal azzjoni dixxiplinari) (261) u jiġi ggarantit l-indipendenza sa fejn ikun l-aktar possibbli (262). L-ostakolar tal-awtoawditjar huwa suġġett għal multi amministrattivi (263). Ir-rapporti tal-awditjar (li jistgħu jinkludu rakkomandazzjonijiet, talbiet għal azzjoni dixxiplinari, u talbiet għal kumpens jew korrezzjoni) jiġu kkomunikati lill-kap tal-awtorità pubblika rilevanti, lill-Bord tal-Awditjar u l-Ispezzjoni (BAI) (264) u, b’mod ġenerali, isiru pubbliċi (265). Ir-riżultati tal-implimentazzjoni tar-rapport iridu jiġu nnotifikati wkoll lill-BAI (266) (ara l-premessa (173) dwar ir-rwol ta’ sorveljanza u s-setgħat tal-BAI).

(171)

It-tieni, il-PIPC tissorvelja l-konformità tal-ipproċessar tad-data mill-awtoritajiet tal-infurzar tal-liġi kriminali mal-PIPA u liġijiet oħra li jipproteġu l-privatezza tal-individwi, inklużi l-liġijiet li jirregolaw il-ġbir ta’ evidenza (elettronika) għal għanijiet ta’ infurzar tal-liġi kriminali, kif deskritt fit-Taqsima 3.2.1 (267). B’mod partikolari, peress li s-sorveljanza tal-PIPC testendi għal-legalità u l-ġustizzja tal-ġbir u l-ipproċessar tad-data (l-Artikolu 3(1) tal-PIPA), li jinkiser jekk id-data personali tiġi aċċessata u użata bi ksur ta’ dawk il-liġijiet (268), il-PIPC tista’ tinvestiga u teżegwixxi wkoll il-konformità mal-limitazzjonijiet u s-salvagwardji deskritti fit-Taqsima 3.2.1 (269). Fl-eżerċitar ta’ dan ir-rwol ta’ sorveljanza, il-PIPC tista’ tagħmel użu mis-setgħat investigattivi u ta’ rimedju kollha tagħha, kif deskritt fid-dettall fit-Taqsima 2.4.2. Diġà qabel ir-riforma reċenti tal-PIPA (jiġifieri fir-rwol superviżorju preċedenti tiegħu għas-settur pubbliku), il-PIPC wettqet diversi attivitajiet ta’ sorveljanza fl-ipproċessar tad-data personali mill-awtoritajiet tal-infurzar tal-liġi kriminali, eż. fil-kuntest tal-interrogazzjoni ta’ persuni suspettati (il-Kawża Nru 2013-16, tas-26 ta’ Awwissu 2013), fir-rigward tal-provvediment lil terzi ta’ avviżi lil individwi dwar l-impożizzjoni ta’ multi amministrattivi (il-Kawża Nru 2015-02-04, tas-26 ta’ Jannar 2015), il-kondiviżjoni tad-data ma’ awtoritajiet oħra (il-Kawża Nru 2018-15-146, tad-9 ta’ Lulju 2018, il-Kawża Nru 2018-25-308, tal-10 ta’ Diċembru 2018; il-Kawża Nru 2019-02-015, tad-29 ta’ Jannar 2019), il-ġbir ta’ marki tas-swaba’ jew ritratti (il-Kawża Nru 2019-17-273, tad-9 ta’ Settembru 2019), l-użu ta’ droni (il-Kawża Nru 2020-01-004, tat-13 ta’ Jannar 2020). F’dawk il-każijiet, il-PIPC investigat il-konformità ma’ diversi dispożizzjonijiet tal-PIPA (eż. il-legalità tal-ipproċessar, il-prinċipji tal-limitazzjoni tal-iskop u l-minimizzazzjoni tad-data) iżda wkoll dispożizzjonijiet rilevanti ta’ liġijiet oħra bħall-Att dwar il-Proċedura Kriminali, u, fejn meħtieġ, rakkomandazzjonijiet maħruġa biex l-ipproċessar isir konformi mar-rekwiżiti tal-protezzjoni tad-data.

(172)

It-tielet, hija pprovduta sorveljanza indipendenti mill-Kummissjoni Nazzjonali tad-Drittijiet tal-Bniedem (NHRC) (270), li tista’ tinvestiga l-ksur tad-drittijiet għall-privatezza u l-privatezza tal-korrispondenza bħala parti mill-mandat ġenerali tagħha li tipproteġi d-drittijiet fundamentali tal-Artikoli 10-22 tal-Kostituzzjoni. L-NHRC hija magħmula minn 11-il Kummissarju li jridu jissodisfaw kwalifiki speċifiċi (271) u jinħatru mill-President skont il-proċeduri stabbiliti mil-liġi. B’mod partikolari, erba’ kummissarji jinħatru fuq nomina mill-Assemblea Nazzjonali, erbgħa fuq nomina mill-President u tlieta fuq nomina mill-Prim Imħallef tal-Qorti Suprema (272). Iċ-Chairperson jinħatar mill-President minn fost il-Kummissarji u jrid jiġi kkonfermat mill-Assemblea Nazzjonali (273). Il-Kummissarji (inkluż iċ-Chairperson) jinħatru għal terminu rinnovabbli ta’ tliet snin u jistgħu jitneħħew biss meta jiġu kkundannati għal priġunerija jew ma jkunux għadhom kapaċi jwettqu dmirijiethom minħabba dgħufija fiżika jew mentali fit-tul (f’liema każ żewġ terzi tal-Kummissarji jridu jaqblu dwar it-tneħħija) (274). Bħala parti minn investigazzjoni, l-NHRC tista’ titlob is-sottomissjoni ta’ materjali rilevanti, twettaq spezzjonijiet u ssejjaħ lill-individwi biex jixhdu (275). F’termini ta’ setgħat ta’ rimedju, l-NHRC tista’ toħroġ rakkomandazzjonijiet (pubbliċi) biex jittejbu jew jiġu kkoreġuti politiki u prattiki speċifiċi, li għalihom l-awtoritajiet pubbliċi jenħtieġ li jirrispondu bi pjan ta’ implimentazzjoni propost (276). Jekk l-awtorità kkonċernata tonqos milli timplimenta rakkomandazzjonijiet, jenħtieġ li tinforma lill-Kummissjoni b’dan (277), li min-naħa tagħha tista’ tiddivulga dan in-nuqqas lill-Assemblea Nazzjonali, u/jew tagħmlu pubbliku. Skont ir-rappreżentanza uffiċjali mill-Gvern tal-Korea (it-Taqsima 2.3.5 tal-Anness II), l-awtoritajiet Koreani ġeneralment jikkonformaw mar-rakkomandazzjonijiet tal-NHRC u għandhom inċentiv qawwi biex jagħmlu dan peress li l-implimentazzjoni tagħhom ġiet ivvalutata bħala parti minn evalwazzjoni ġenerali u kontinwa taħt l-awtorità tal-Uffiċċju tal-Prim Ministru. Iċ-ċifri annwali dwar l-attivitajiet tagħha juru li l-NHRC qiegħda tissorvelja b’mod attiv l-attivitajiet tal-awtoritajiet tal-infurzar tal-liġi kriminali, jew abbażi ta’ petizzjonijiet individwali jew permezz ta’ investigazzjonijiet ex officio (278).

(173)

Ir-raba’, is-sorveljanza ġenerali tal-legalità tal-attivitajiet tal-awtoritajiet pubbliċi titwettaq mill-BAI, li teżamina d-dħul u n-nefqa tal-Istat, iżda wkoll, b’mod aktar ġenerali, tissorvelja l-konformità mad-dmirijiet tal-awtoritajiet pubbliċi bil-għan li ttejjeb l-operat tal-amministrazzjoni pubblika (279). Il-BAI huwa stabbilit formalment taħt il-President tar-Repubblika tal-Korea, iżda jżomm status indipendenti fir-rigward tad-dmirijiet tiegħu (280). Barra minn hekk, jingħata indipendenza sħiħa fir-rigward tal-ħatra, tat-tneħħija u tal-organizzazzjoni tal-persunal tiegħu, u tal-kompilazzjoni tal-baġit tiegħu (281). Il-BAI jikkonsisti f’Chairperson (maħtur mill-President, bil-kunsens tal-Assemblea Nazzjonali) (282) u sitt kummissarji (maħtura mill-President fuq rakkomandazzjoni taċ-Chairperson) (283), li jridu jissodisfaw kwalifiki speċifiċi stabbiliti bil-liġi (284) u jistgħu jiġu mneħħija biss f’każ ta’ proċedimenti ta’ tneħħija, għoti ta’ sentenza ta’ priġunerija jew inabbiltà li jwettqu dmirijiethom minħabba dgħufija mentali jew fiżika fit-tul (285). Il-BAI iwettaq awditu ġenerali fuq bażi annwali, iżda jista’ jwettaq ukoll awditi speċifiċi dwar kwistjonijiet ta’ interess speċjali. Fit-twettiq ta’ awditu jew spezzjoni, il-BAI jista’ jitlob is-sottomissjoni ta’ dokumenti u jitlob l-attendenza ta’ individwi (286). Il-BAI jista’ joħroġ rakkomandazzjonijiet, jitlob azzjonijiet dixxiplinari, jew jippreżenta kwerela (287).

(174)

Fl-aħħar nett, l-Assemblea Nazzjonali twettaq sorveljanza parlamentari tal-awtoritajiet pubbliċi permezz ta’ investigazzjonijiet u spezzjonijiet (288) tal-attivitajiet tagħhom (289). Tista’ titlob id-divulgazzjoni ta’ dokumenti, tħarrek ix-xhieda (290), tirrakkomanda miżuri korrettivi (jekk tikkonkludi li jkunu seħħew attivitajiet illegali jew mhux xierqa) (291) u tagħmel ir-riżultati tas-sejbiet tagħha pubbliċi (292). Meta l-Assemblea Nazzjonali titlob li jittieħdu miżuri korrettivi – li jistgħu, pereżempju, jinkludu l-għoti ta’ kumpens, it-teħid ta’ azzjoni dixxiplinari jew it-titjib tal-proċeduri interni – l-awtorità pubblika kkonċernata hija meħtieġa taġixxi mingħajr dewmien u tirrapporta dwar l-eżitu lill-Assemblea Nazzjonali (293).

(175)

Is-sistema Koreana toffri modi (ġudizzjarji) differenti biex jinkiseb rimedju, inkluż kumpens għad-danni.

(176)

L-ewwel nett, il-PIPA jipprovdi lill-individwi bi dritt ta’ aċċess, korrezzjoni, tħassir u sospensjoni fir-rigward tad-data personali pproċessata għal għanijiet tal-infurzar tal-liġi kriminali (294).

(177)

It-tieni, l-individwi jistgħu jagħmlu użu mill-mekkaniżmi differenti ta’ rimedju offruti mill-PIPA jekk id-data tagħhom tkun ġiet ipproċessata minn awtorità tal-infurzar tal-liġi kriminali bi ksur tal-PIPA jew bi ksur tal-limitazzjonijiet u s-salvagwardji li jirregolaw il-ġbir tad-data personali f’liġijiet oħra (jiġifieri s-CPA jew is-CPPA, ara l-premessa (171)). B’mod partikolari, l-individwi jistgħu jippreżentaw ilment mal-PIPC (anki permezz taċ-Ċentru tas-Sejħiet għall-Privatezza operat mill-Aġenzija tal-Internet u s-Sigurtà tal-Korea (295)) jew mill-Kumitat tal-Medjazzjoni tat-Tilwim dwar l-Informazzjoni Personali (296). Dawn il-possibilitajiet ta' rimedju mhumiex suġġetti għal rekwiżiti ulterjuri ta' ammissibilità. Fuq il-bażi tal-Att dwar il-Tilwim Amministrattiv, l-individwi jistgħu wkoll jappellaw/jikkontestaw id-deċiżjonijiet jew in-nuqqas ta’ azzjoni tal-PIPC (ara l-premessa (132)).

(178)

It-tielet, kwalunkwe individwu (297) jista’ jippreżenta lment quddiem l-NHRC dwar ksur tad-dritt għall-privatezza u l-protezzjoni tad-data minn awtorità Koreana għall-infurzar tal-liġi kriminali. L-NHRC tista’ tirrakkomanda r-rettifika jew it-titjib ta’ kwalunkwe statut, istituzzjoni, politika jew prattika rilevanti (298), jew l-implimentazzjoni ta’ rimedji bħall-medjazzjoni (299), il-waqfien tal-ksur tad-drittijiet tal-bniedem, il-kumpens għad-danni u miżuri biex tiġi prevenuta r-rikorrenza tal-istess ksur jew ksur simili (300). Skont ir-rappreżentanza uffiċjali mill-gvern tal-Korea (it-Taqsima 2.4.2 tal-Anness II), dan jista’ jinkludi wkoll it-tħassir tad-data personali miġbura illegalment. Filwaqt li l-NHRC ma għandhiex is-setgħa li toħroġ deċiżjonijiet vinkolanti, hija toffri rimedju aktar informali, bi prezz baxx u faċilment aċċessibbli, b’mod partikolari minħabba li, kif spjegat fit-Taqsima 2.4.2 tal-Anness II, ma teħtieġx li jintwera dannu fattwali biex ilment jiġi investigat (301). Dan jiżgura li l-ilment ta' individwi dwar il-ġbir tad-data tagħhom jistgħu jkunu investigati, anki jekk individwu ma jkunx f'pożizzjoni li juri li d-data tiegħu kienet realment miġbura (pereżempju minħabba li n-notifiki tal-individwu jkunu għadhom ma seħħux). Ir-rapporti ta’ attività annwali tal-NHRC juru li l-individwi qegħdin jagħmlu użu wkoll minn dan iil-mezz fil-prattika biex jikkontestaw l-attivitajiet tal-awtoritajiet tal-infurzar tal-liġi kriminali, inkluż fir-rigward tat-trattament tad-data personali (302). Jekk individwu ma jkunx sodisfatt bl-eżitu ta’ proċedura quddiem l-NHRC, jista’ jikkontesta d-deċiżjonijiet tal-NHRC (bħal deċiżjoni li ma tkomplix l-investigazzjoni ta’ lment (303)) u r-rakkomandazzjonijiet quddiem il-qrati Koreani skont l-Att dwar il-Tilwim Amministrattiv (ara l-premessa (181)) (304). Barra minn hekk, proċedura quddiem l-NHRC tista’ tiffaċilita aktar l-aċċess għall-qrati, peress li individwu jista’ jfittex rimedju ulterjuri kontra l-awtorità pubblika li pproċessat b’mod illegali d-data tiegħu abbażi tas-sejbiet tal-NHRC, f’konformità mal-proċeduri deskritti fil-premessi (181)-(183).

(179)

Fl-aħħar nett, hemm disponibbli rimedji ġudizzjarji differenti, li jippermettu lill-individwi jinvokaw il-limitazzjonijiet u s-salvagwardji deskritti fit-Taqsima 3.2.1 biex jiksbu rimedju (305).

(180)

Fir-rigward tas-sekwestri (inkluż tad-data), is-CPA jipprevedi l-possibbiltà li ssir oġġezzjoni jew tiġi kkontestata l-eżekuzzjoni ta’ mandat permezz ta’ “kważi lment”, billi l-qorti kompetenti tiġi adita b’talba biex jiġi tikkanċella jew tibdel disponiment li jkun sar minn prosekutur jew uffiċjal tal-pulizija (306).

(181)

B’mod aktar ġenerali, l-individwi jistgħu jikkontestaw l-azzjonijiet (307) jew l-ommissjonijiet (308) tal-awtoritajiet pubbliċi (inklużi l-awtoritajiet tal-infurzar tal-liġi kriminali) skont l-Att dwar il-Tilwim Amministrattiv (309). L-azzjoni amministrattiva titqies bħala “disponiment kontestabbli” jekk ikollha impatt dirett fuq id-drittijiet u d-dmirijiet ċivili (310), li, kif ikkonfermat mill-gvern tal-Korea (it-Taqsima 2.4.3 tal-Anness II), huwa l-każ għal miżuri biex tinġabar data personali, kemm direttament (pereżempju billi jiġu interċettati komunikazzjonijiet), permezz ta’ talbiet ta’ divulgazzjoni vinkolanti (pereżempju lil fornitur ta’ servizzi) jew talbiet ta' koperazzjoni volontarja. Sabiex ilment skont l-Att tat-Tilwim Amministrattiv jkun ammissibbli, individwu jrid ikollu interess legali fit-twettiq tat-talba (311). Skont il-ġurisprudenza tal-Qorti Suprema, “interess legali” huwa interpretat bħala “interess legalment protett”, jiġifieri interess dirett u speċifiku protett minn liġijiet u regolamenti li fuqhom huma bbażati d-dispożizzjonijiet amministrattivi (jiġifieri mhux interessi ġenerali, indiretti u astratti tal-pubbliku) (312). L-individwi għandhom tali interess legali f’każ ta’ kwalunkwe ksur tal-limitazzjonijiet u s-salvagwardji li japplikaw għall-ġbir tad-data personali tagħhom għal għanijiet ta’ infurzar tal-liġi kriminali (skont liġijiet speċifiċi jew, il-PIPA). Fuq il-bażi tal-Att tat-Tilwim Amministrattiv, qorti tista’ tiddeċiedi li tirrevoka jew tbiddel disponiment illegali, toħroġ sejba ta’ nullità (jiġifieri sejba li d-disponiment ma għandux effett legali jew in-nuqqas ta’ eżistenza tagħha fl-ordinament ġuridiku) jew toħroġ kostatazzjoni li ommissjoni hija illegali (313). Sentenza finali skont l-Att tat-Tilwim Amministrattiv hija vinkolanti fuq il-partijiet (314).

(182)

Minbarra li jikkontestaw l-azzjoni tal-gvern permezz ta’ tilwim amministrattiv, l-individwi jistgħu wkoll jippreżentaw ilment kostituzzjonali quddiem il-Qorti Kostituzzjonali rigward kwalunkwe ksur tad-drittijiet fundamentali tagħhom minħabba l-eżerċitar jew in-nuqqas ta’ eżerċitar tas-setgħa governattiva (esklużi s-sentenzi tal-qrati) (315). Jekk ikunu disponibbli rimedji oħra, dawn iridu jiġu eżawriti l-ewwel. Skont il-ġurisprudenza tal-Qorti Kostituzzjonali, iċ-ċittadini barranin jistgħu jippreżentaw ilment kostituzzjonali sal-punt li d-drittijiet bażiċi tagħhom jiġu rikonoxxuti skont il-Kostituzzjoni Koreana (ara l-ispjegazzjonijiet fit-Taqsima 1.1) (316). Il-Qorti Kostituzzjonali tista’ tinvalida l-eżerċizzju ta’ setgħa governattiva li kkawżat il-ksur jew tikkonferma li ċertu nuqqas ta’ azzjoni ma jmurx kontra l-kostituzzjoni (317). F’dak il-każ, l-awtorità rilevanti hija meħtieġa tieħu miżuri biex tikkonforma mad-deċiżjoni tal-Qorti.

(183)

Barra minn hekk, l-individwi jistgħu jiksbu kumpens għad-danni quddiem il-qrati Koreani. Dan l-ewwel nett jinkludi l-possibbiltà li jintalab kumpens għal ksur tal-PIPA mwettaq minn awtoritajiet tal-infurzar tal-liġi kriminali, f’konformità mal-Artikolu 39 (ara wkoll il-premessa (135)). B’mod aktar ġenerali, l-individwi jistgħu japplikaw għal kumpens għad-danni kkawżati minn uffiċjali pubbliċi fit-twettiq tad-dmirijiet uffiċjali tagħhom bi ksur tal-liġi, abbażi tal-Att dwar il-Kumpens mill-Istat (ara wkoll il-premessa (135)) (318).

(184)

Il-mekkaniżmi deskritti fil-premessi (176) - (183) jipprovdu lis-suġġetti tad-data b’rimedji amministrattivi u ġudizzjarji effettivi, li jippermettulhom b’mod partikolari jiżguraw id-drittijiet tagħhom, inkluż id-dritt li jkollhom aċċess għad-data personali tagħhom, jew li jiksbu r-rettifika jew it-tħassir ta’ tali data.

(185)

Il-liġi tar-Repubblika tal-Korea fiha għadd ta’ limitazzjonijiet u salvagwardji fir-rigward tal-aċċess u l-użu tad-data personali għal għanijiet ta’ sigurtà nazzjonali, u tipprovdi mekkaniżmi ta’ sorveljanza u ta’ rimedju li huma konformi mar-rekwiżiti msemmija fil-premessi (141) sa (143) “din id-Deċiżjoni. Il-kundizzjonijiet li fihom jista” jseħħ dan l-aċċess u s-salvagwardji applikabbli għall-użu ta’ dawn is-setgħat huma vvalutati fid-dettall fit-taqsimiet li ġejjin.

(186)

Fir-Repubblika tal-Korea, id-data personali tista’ tiġi aċċessata għal għanijiet ta’ sigurtà nazzjonali abbażi tas-CPPA, tat-TBA u tal-Att dwar il-Ġlieda kontra t-Terroriżmu għall-Protezzjoni taċ-Ċittadini u s-Sigurtà Pubblika (l-Att dwar il-Ġlieda kontra t-Terroriżmu) (319). L-awtorità ewlenija (320) b’kompetenzi fil-qasam tas-sigurtà nazzjonali hija d-Dipartiment tal-Intelligence Nazzjonali (NIS) (321). Il-ġbir u l-użu tad-data personali mill-NIS iridu jikkonformaw mar-rekwiżiti legali rilevanti (inklużi, il-PIPA u s-CPPA) (322) u mal-linji gwida ġenerali mħejjija mill-President u rieżaminati mill-Assemblea Nazzjonali (323). Bħala prinċipju ġenerali, l-NIS irid iżomm in-newtralità politika u jipproteġi l-libertà u d-drittijiet tal-individwi (324). Barra minn hekk, il-persunal tal-NIS ma għandux jabbuża mill-awtorità uffiċjali tiegħu biex iġiegħel lil kwalunkwe istituzzjoni, organizzazzjoni jew individwu jagħmel xi ħaġa li ma jkunx obbligat jagħmel (skont il-liġi), u lanqas ma għandu jfixkel lil kwalunkwe persuna fl-eżerċizzju tad-drittijiet tiegħu jew tagħha (325).

(187)

Fuq il-bażi tas-CPPA, l-awtoritajiet pubbliċi Koreani (326) jistgħu jiġbru data ta’ konferma tal-komunikazzjoni (jiġifieri d-data tat-telekomunikazzjoni, il-bidu u t-tmiem tal-ħin tagħhom, in-numru ta’ telefonati li ħerġin u li deħlin kif ukoll in-numru tal-abbonat tal-parti l-oħra, il-frekwenza tal-użu, il-fajls ta’ reġistrazzjoni dwar l-użu tas-servizzi tat-telekomunikazzjoni u l-informazzjoni dwar il-pożizzjoni, ara l-premessa (155)) u l-kontenut tal-komunikazzjonijiet (permezz ta’ miżuri li jirrestrinġu l-komunikazzjoni, ara l-premessa(155)) għal għanijiet ta’ sigurtà nazzjonali (kif determinat mill-mandat tal-NIS, ara n-nota 322 f'qiegħ il-paġna aktar qabel). Dawn is-setgħat jestendu għal żewġ tipi ta’ informazzjoni: (1) komunikazzjonijiet li għalihom parti waħda jew iż-żewġ partijiet huma ċittadini Koreani (327); u (2) il-komunikazzjonijiet ta’ a) pajjiżi ostili għar-Repubblika tal-Korea, b) aġenziji barranin, gruppi jew ċittadini barranin issuspettati li jinvolvu ruħhom f’attivitajiet anti-Koreani (328), jew c) membri ta’ gruppi li joperaw fil-Peniżola Koreana iżda li effettivament imorru lil hinn mis-sovranità tar-Repubblika tal-Korea u l-gruppi ġenerali tagħhom ibbażati f’pajjiżi barranin (329). Il-komunikazzjonijiet tal-individwi tal-UE trasferiti mill-Unjoni lir-Repubblika tal-Korea abbażi ta’ din id-Deċiżjoni jistgħu għalhekk jinġabru biss taħt is-CPPA għal għanijiet ta’ sigurtà nazzjonali (suġġett għall-kundizzjonijiet stabbiliti fil-premessi (188) - (192)) jekk, jew, dawn huma bejn individwu tal-UE u ċittadin tal-Korea, jew, jekk jikkonċernaw komunikazzjonijiet esklużivament bejn ċittadini mhux Koreani, jaqgħu taħt waħda mit-tliet kategoriji msemmija 2a), b) u c).

(188)

Fiż-żewġ xenarji, il-ġbir tad-data ta’ konferma tal-komunikazzjoni jista’ jsir biss għall-fini tal-prevenzjoni tat-theddid għas-sigurtà nazzjonali (330) filwaqt li l-miżuri ta’ restrizzjoni tal-komunikazzjoni jistgħu jittieħdu biss meta jkun hemm riskju gravi għas-sigurtà nazzjonali u l-ġbir ikun meħtieġ biex dan jiġi prevenut (331). Barra minn hekk, il-kontenut tal-komunikazzjonijiet jista’ jiġi aċċessat biss bħala l-aħħar għażla u jridu jsiru sforzi biex jiġi minimizzat il-ksur tal-privatezza tal-komunikazzjonijiet (332), u b’hekk jiġi żgurat li jibqa’ proporzjonat mal-objettiv mfittex ta’ sigurtà nazzjonali. Il-ġbir kemm tal-kontenut tal-komunikazzjonijiet u tad-data ta’ konferma tal-komunikazzjoni jista’ jdum biss għal perjodu massimu ta’ erba’ xhur, u jrid jitwaqqaf immedjatament jekk l-objettiv mixtieq jintlaħaq aktar kmieni (333). Jekk il-kundizzjonijiet rilevanti jkomplu jiġu ssodisfati, il-perjodu jista’ jiġi estiż, bil-permess minn qabel ta’ qorti (għall-miżuri deskritti fil-premessa (189)) jew tal-President (għall-miżuri deskritti fil-premessa (190)) (334), sa erba’ xhur.

(189)

L-istess salvagwardji proċedurali japplikaw għall-ġbir tad-data tal-konferma tal-komunikazzjoni u l-kontenut tal-komunikazzjonijiet (335). B’mod partikolari, fejn mill-inqas wieħed mill-individwi involuti fil-komunikazzjoni jkun ċittadin tal-Korea, l-aġenzija tal-intelligence trid tippreżenta talba bil-miktub lill-Uffiċċju tal-Prosekutur Għoli, li min-naħa tiegħu irid japplika għal mandat minn Prim Imħallef anzjan tal-Qorti Għolja (336). Is-CPPA jelenka l-informazzjoni li trid tiġi pprovduta fit-talba lill-Prosekutur, ir-rikors għall-mandat u l-mandat innifsu, li jinkludi, b’mod partikolari, il-ġustifikazzjoni għat-talba u r-raġunijiet ewlenin għal suspett, materjali ta’ appoġġ, kif ukoll informazzjoni dwar l-objettiv, il-mira (jiġifieri l-individwu/i mmirat(i)), l-ambitu u d-durata tal-miżura proposta (337). Il-ġbir mingħajr mandat jista’ jsir biss jekk ikun hemm att ta’ konfoffa li jhedded is-sigurtà nazzjonali u tkun teżisti emerġenza li tagħmilha impossibbli li jiġu segwiti l-proċeduri msemmija hawn fuq (338). Madankollu, f’dak il-każ ukoll, talba għal mandat trid tiġi ppreżentata immedjatament wara li tittieħed il-miżura (339). Għalhekk, is-CPPA jiddefinixxi b’mod ċar l-ambitu u l-kundizzjonijiet ta’ dawn it-tipi ta’ ġbir, u jissuġġettahom għal salvagwardji (proċedurali) speċifiċi (inkluża l-approvazzjoni ġudizzjarja minn qabel), li jiżguraw li l-użu ta’ tali miżuri jkun limitat għal dak li huwa meħtieġ u proporzjonat. Barra minn hekk, ir-rekwiżit li tiġi pprovduta informazzjoni dettaljata kemm fir-rikors għal mandat kif ukoll fil-mandat innifsu jeskludi l-possibbiltà ta’ aċċess mingħajr distinzjoni.

(190)

Għall-komunikazzjonijiet bejn ċittadini mhux Koreani li jaqgħu f’waħda mit-tliet kategoriji speċifiċi elenkati fil-premessa (187), trid tiġi ppreżentata applikazzjoni lid-Direttur tal-NIS, li, wara rieżami tal-adegwatezza tal-miżuri proposti, jeħtieġ li jitlob approvazzjoni bil-miktub minn qabel mill-President tar-Repubblika tal-Korea (340). L-applikazzjoni mħejjija mill-aġenzija tal-intelligence trid tinkludi l-istess informazzjoni dettaljata bħal rikors għal mandat tal-qorti (ara l-premessa (189)), b’mod partikolari dwar il-ġustifikazzjoni għat-talba u r-raġunijiet ewlenin għal suspett, materjali ta’ appoġġ u informazzjoni dwar l-objettivi, individwu/i mmirat(i), l-ambitu u d-durata tal-miżuri proposti (341). F’sitwazzjonijiet ta’ emerġenza (342), trid tinkiseb approvazzjoni minn qabel mill-Ministru li għalih tappartjeni l-aġenzija tal-intelligence rilevanti, għalkemm l-aġenzija tal-intelligence jenħtieġ li tapplika għall-approvazzjoni tal-President immedjatament wara li jkunu ttieħdu l-miżuri ta’ emerġenza (343). Barra minn hekk, fir-rigward tal-ġbir ta’ komunikazzjonijiet bejn ċittadini esklużivament mhux Koreani, is-CPPA għalhekk jillimita l-użu ta’ tali miżuri għal dak li huwa meħtieġ u proporzjonat, billi jiddefinixxi b’mod ċar il-kategoriji limitati ta’ individwi li jistgħu jkunu soġġetti għal tali miżuri u billi jistabbilixxi kriterji dettaljati li l-aġenziji tal-intelligence jridu juru li jiġġustifikaw applikazzjoni għall-ġbir tal-informazzjoni. Barra minn hekk, dan għal darb’oħra jeskludi l-possibbiltà ta’ aċċess mingħajr distinzjoni. Filwaqt li ma hemm l-ebda approvazzjoni indipendenti minn qabel ta’ miżuri bħal dawn, is-sorveljanza indipendenti hija żgurata ex post minn, b’mod partikolari, il-PIPC u l-NHRC (ara pereżempju l-premessi (199) - (200)).

(191)

Barra minn hekk, is-CPPA timponi diversi salvagwardji addizzjonali li jikkontribwixxu għas-sorveljanza ex post u jiffaċilitaw l-aċċess tal-individwi għal rimedji effettivi. L-ewwel nett, fir-rigward ta’ kwalunkwe tip ta’ ġbir għal għanijiet ta’ sigurtà nazzjonali, is-CPPA jipprevedi rekwiżiti differenti ta’ żamma tar-rekords u ta’ rappurtar. B’mod partikolari, meta jitolbu l-kooperazzjoni tal-operaturi privati, l-aġenziji tal-intelligence għandhom jipprovdu l-mandat tal-qorti/il-permess presidenzjali jew kopja tal-kopertura ta’ dikjarazzjoni ta’ ċensura ta’ emerġenza, li l-entità mġiegħla jenħtieġ li żżomm fil-fajls tagħha (344). Meta l-operaturi privati jkunu mġiegħla jikkooperaw, ir-rekords iridu jinżammu kemm mill-awtorità pubblika li tagħmel it-talba kif ukoll mill-operatur rilevanti dwar l-għan u l-objettiv tal-miżuri, kif ukoll id-data tal-eżekuzzjoni (345). Barra minn hekk, l-aġenziji tal-intelliġence jridu jirrapportaw dwar l-informazzjoni li jkunu ġabru u l-eżitu tal-attività ta’ sorveljanza lid-Direttur tal-NIS (346).

(192)

It-tieni, l-individwi għandhom jiġu nnotifikati dwar il-ġbir tad-data tagħhom (data ta’ konferma tal-komunikazzjoni jew il-kontenut tal-komunikazzjonijiet) għal għanijiet ta’ sigurtà nazzjonali jekk tikkonċerna komunikazzjonijiet fejn mill-inqas waħda mill-partijiet tkun ċittadin Korean (347). Din in-notifika trid tiġi pprovduta bil-miktub fi żmien 30 jum mid-data li fiha jkun intemm il-ġbir (inkluż fejn id-data tkun inkisbet skont il-proċedura ta’ emerġenza) u tista’ tiġi differita biss jekk u sakemm tpoġġi s-sigurtà nazzjonali f’riskju jew tagħmel ħsara lill-ħajja u lis-sikurezza fiżika tan-nies (348). Irrispettivament minn tali notifika, l-individwi jistgħu jiksbu rimedju permezz ta’ toroq differenti, kif spjegat f’aktar dettall fit-Taqsima 3.3.4.

(193)

L-Att dwar il-Ġlieda kontra t-Terroriżmu jipprovdi li l-NIS jista’ jiġbor data dwar persuni suspettati b’terroriżmu (349) skont il-limitazzjonijiet u s-salvagwardji stabbiliti f’liġijiet oħra (350). B’mod partikolari, l-NIS jista’ jikseb data dwar il-komunikazzjonijiet (abbażi tas-CPPA) u informazzjoni personali oħra (permezz ta’ talba għal divulgazzjoni volontarja) (351). Fir-rigward tal-ġbir ta’ informazzjoni dwar il-komunikazzjonijiet (jiġifieri l-kontenut tal-komunikazzjonijiet jew id-data ta’ konferma tal-komunikazzjoni), japplikaw il-limitazzjonijiet u s-salvagwardji deskritti fit-Taqsima 3.3.1.1, inkluż ir-rekwiżit li jinkiseb mandat approvat mill-qorti. Fir-rigward tat-talbiet għad-divulgazzjoni volontarja ta’ tipi oħra tad-data personali ta’ persuni suspettati b’terroriżmu, l-NIS jenħtieġ li jikkonforma mar-rekwiżiti skont il-Kostituzzjoni u l-PIPA dwar in-neċessità u l-proporzjonalità (ara l-premessa (164)) (352). Il-kontrolluri li jirċievu tali talbiet jistgħu jikkonformaw fuq bażi volontarja skont il-kundizzjonijiet stabbiliti fil-PIPA (pereżempju f’konformità mal-prinċipju tal-minimizzazzjoni tad-data u billi jillimitaw l-impatt fuq il-privatezza tal-individwu) (353). F’dan il-każ, huma jridu jikkonformaw ukoll mar-rekwiżit li jinnotifikaw lill-individwu kkonċernat wara n-notifika Nru 2021-5 (ara l-premessa (166)).

(194)

Abbażi tat-TBA, il-fornituri tat-telekomunikazzjoni jistgħu jiddivulgaw b’mod volontarju d-data tal-abbonati (ara l-premessa (163)) fuq talba ta’ aġenzija tal-intelligence li jkollha l-ħsieb li tiġbor tali informazzjoni biex tipprevjeni theddida għas-sigurtà nazzjonali (354). Fir-rigward ta’ talbiet bħal dawn mill-NIS, l-istess limitazzjonijiet (li jirriżultaw mill-Kostituzzjoni, mill-PIPA u mit-TBA) japplikaw bħal fil-qasam tal-infurzar tal-liġi kriminali, kif stabbilit fil-premessa (164) (355). Il-fornituri tat-telekomunikazzjoni ma humiex meħtieġa jikkonformaw u jistgħu jagħmlu dan biss skont il-kundizzjonijiet stabbiliti fil-PIPA (b’mod partikolari f’konformità mal-prinċipju tal-minimizzazzjoni tad-data u billi jillimitaw l-impatt fuq il-privatezza tal-individwu, ara wkoll il-premessa (193)). L-istess rekwiżiti fir-rigward taż-żamma tar-rekords u n-notifika tal-individwu kkonċernat japplikaw bħal fil-qasam tal-infurzar tal-liġi kriminali (ara l-premessi (165) u (166)).

(195)

L-ipproċessar tad-data personali miġbura mill-awtoritajiet Koreani għal għanijiet ta’ sigurtà nazzjonali huwa suġġett għall-prinċipji tal-limitazzjoni tal-iskop (l-Artikolu 3(1)-(2) tal-PIPA), il-legalità u l-ġustizzja tal-ipproċessar (l-Artikolu 3(1) tal-PIPA), il-proporzjonalità/il-minimizzazzjoni tad-data (l-Artikoli 3(1), (6) u 58 tal-PIPA), l-akkuratezza (l-Artikolu 3(3) tal-PIPA), it-trasparenza (l-Artikolu 3(5) tal-PIPA), is-sigurtà (l-Artikolu 58(4) tal-PIPA) u l-limitazzjoni tal-ħżin (l-Artikolu 58(4) tal-PIPA) (356). Id-divulgazzjoni possibbli tad-data personali lill-partijiet terzi (inkluż pajjiżi terzi) tista' ssir biss skont dawn il-prinċipji (b'mod partikolari l-limitazzjoni tal-iskop u l-minimizzazzjoni tad-data), wara li tkun ivvalutata l-konformità mal-prinċipji tan-neċessità u l-proporzjonalità (l-Artikolu 37(2) tal-Kostituzzjoni) u waqt li jitqies l-impatt fuq id-drittijiet tal-individwu ikkonċernat (l-Artikolu 3(6) tal-PIPA).

(196)

Fir-rigward tal-kontenut tal-komunikazzjonijiet u tad-data ta’ konferma tal-komunikazzjoni, is-CPPA jkompli jillimita l-użu ta’ tali data għal proċedimenti ġudizzjarji, fejn parti relatata mal-komunikazzjoni tkun tiddependi fuqhom f’talba għad-danni; jew użi permessi skont liġijiet oħra (357).

(197)

L-attivitajiet tal-awtoritajiet tas-sigurtà nazzjonali Koreani huma supervizzati minn korpi differenti (358).

(198)

L-ewwel nett, l-Att dwar il-Ġlieda kontra t-Terroriżmu jipprevedi mekkaniżmi ta’ sorveljanza speċifiċi għall-attivitajiet ta’ kontra t-terroriżmu, inkluż il-ġbir tad-data dwar persuni suspettati b’terroriżmu. B’mod partikolari, fil-livell tal-eżekuttiv, l-attivitajiet ta’ kontra t-terroriżmu huma ssorveljati mill-Kummissjoni kontra t-terroriżmu (359), li għaliha d-Direttur tal-NIS huwa meħtieġ jirrapporta dwar l-investigazzjonijiet u t-trekkjar ta’ persuni suspettati li huma terroristi biex tinġabar informazzjoni jew materjali meħtieġa għall-attivitajiet ta’ kontra t-terroriżmu (360). Barra minn hekk, l-Uffiċjal għall-Protezzjoni tad-Drittijiet tal-Bniedem (HRPO) jissorvelja speċifikament il-konformità tal-attivitajiet ta’ kontra t-terroriżmu mad-drittijiet fundamentali (361). L-HRPO jinħatar miċ-Chairperson tal-Kummissjoni kontra t-Terroriżmu fost individwi li jissodisfaw il-kwalifiki speċifiċi elenkati fid-Digriet tal-Infurzar tal-Att kontra t-Terroriżmu (362) għal terminu (rinnovabbli) ta’ sentejn u jista’ jitneħħa biss mill-kariga għal raġunijiet speċifiċi, limitati u għal kawża tajba (363). Fl-eżerċizzju tal-funzjoni ta’ sorveljanza tiegħu, l-HRPO jista’ joħroġ rakkomandazzjonijiet ġenerali għat-titjib tal-protezzjoni tad-drittijiet tal-bniedem (364) u rakkomandazzjonijiet speċifiċi għal miżuri korrettivi jekk ikun ġie stabbilit ksur tad-drittijiet tal-bniedem (365). L-awtoritajiet pubbliċi huma meħtieġa jinfurmaw lill-HRPO dwar is-segwitu pprovdut għar-rakkomandazzjonijiet tiegħu (366).

(199)

It-tieni, il-PIPC tissorvelja l-konformità mill-awtoritajiet nazzjonali tas-sigurtà mar-regoli dwar il-protezzjoni tad-data, li tinkludi kemm id-dispożizzjonijiet applikabbli tal-PIPA (ara l-premessa) kif ukoll (149)il-limitazzjonijiet u s-salvagwardji li japplikaw għall-ġbir tad-data personali skont liġijiet oħra (is-CPPA, l-Att dwar il-Ġlieda kontra t-Terroriżmu u t-TBA, ara wkoll il-premessa (171)) (367). Fl-eżerċitar ta’ dan ir-rwol ta’ sorveljanza, il-PIPC tista’ tagħmel użu mis-setgħat investigattivi u ta’ rimedju kollha tagħha, kif deskritt fid-dettall fit-Taqsima 2.4.2.

(200)

It-tielet, l-attivitajiet tal-awtoritajiet nazzjonali tas-sigurtà huma soġġetti għas-sorveljanza indipendenti tal-NHRC, f’konformità mal-proċeduri deskritti fil-premessa (172) (368).

(201)

Ir-raba’, il-funzjoni ta’ sorveljanza tal-BAI tkopri wkoll l-awtoritajiet nazzjonali tas-sigurtà, għalkemm l-NIS jista’, f’ċirkostanzi eċċezzjonali, jirrifjuta li jipprovdi ċerta informazzjoni jew materjali, jiġifieri meta jikkostitwixxu sigrieti tal-Istat u l-għarfien pubbliku jkollu impatt serju fuq is-sigurtà nazzjonali (369).

(202)

Fl-aħħar nett, is-sorveljanza parlamentari tal-attivitajiet tal-NIS titwettaq mill-Assemblea Nazzjonali (permezz ta’ Kumitat Speċjalizzat tal-Intelligence) (370). Is-CPPA jistabbilixxi rwol ta’ sorveljanza speċifiku għall-Assemblea Nazzjonali fir-rigward tal-użu ta’ miżuri ta’ restrizzjoni tal-komunikazzjoni għal għanijiet ta’ sigurtà nazzjonali (371). B’mod partikolari, l-Assemblea nazzjonali tista’ twettaq spezzjonijiet fuq il-post ta’ tagħmir ta’ interċettazzjoni elettronika u tista’ tirrikjedi kemm lill-NIS kif ukoll lill-operaturi tat-telekomunikazzjoni li jkunu ddivulgaw il-kontenut ta’ komunikazzjonijiet biex jirrapportaw dwar dan. L-Assemblea Nazzjonali tista’ twettaq ukoll il-funzjonijiet ta’ sorveljanza ġenerali tagħha (f’konformità mal-proċeduri deskritti fil-premessa (174)). L-Att dwar l-NIS jirrikjedi li d-Direttur tal-NIS iwieġeb mingħajr dewmien meta l-Kumitat tal-Intelligence jitlob rapport dwar kwistjoni speċifika (372), b’regoli speċifiċi għal ċerta informazzjoni partikolarment sensittiva. B’mod konkret, id-Direttur tal-NIS jista’ jirrifjuta biss li jwieġeb jew jixhed quddiem il-Kumitat f’ċirkostanzi eċċezzjonali, jiġifieri jekk it-talba tkun relatata ma’ sigrieti tal-Istat dwar kwistjonijiet militari, diplomatiċi jew relatati mal-Korea ta’ Fuq fejn l-għarfien pubbliku jista’ jkollu impatt serju fuq id-“destin nazzjonali” tal-pajjiż (373). F’dan il-każ, il-Kumitat tal-Intelligence jista’ jitlob spjegazzjoni mill-Prim Ministru u, jekk ma tingħata l-ebda spjegazzjoni fi żmien sebat ijiem, it-tweġiba jew ix-xhieda ma jistgħux jiġu miċħuda.

(203)

Barra minn hekk fil-qasam tas-sigurtà nazzjonali, is-sistema Koreana toffri toroq (ġudizzjarji) differenti biex jinkiseb rimedju, inkluż kumpens għad-danni. Dawn il-mekkaniżmi tipprovdi lis-suġġetti tad-data b’mezzi amministrattivi u ġudizzjarji effettivi ta’ rimedju, li jippermettulhom b’mod partikolari jiżguraw id-drittijiet tagħhom, inkluż id-dritt li jkollhom aċċess għad-data personali tagħhom, jew li jiksbu r-rettifika jew it-tħassir ta’ tali data.

(204)

L-ewwel nett, skont l-Artikoli 3(5) u 4(1), (3) u (4) tal-PIPA, l-individwi jistgħu jeżerċitaw id-drittijiet tagħhom tal-aċċess, tal-korrezzjoni, tat-tħassir u tas-sospensjoni fil-konfront tal-awtoritajiet nazzjonali tas-sigurtà. It-Taqsima 6 tan-Notifika Nru 2021-5 (l-Anness I ta’ din id-Deċiżjoni) tiċċara aktar kif dawn id-drittijiet japplikaw fil-kuntest tal-ipproċessar tad-data għal għanijiet ta’ sigurtà nazzjonali. B’mod partikolari, awtorità nazzjonali tas-sigurtà tista’ tillimita jew tiċħad l-eżerċizzju tad-dritt biss sal-punt u sakemm ikun meħtieġ u proporzjonat biex tipproteġi objettiv importanti ta’ interess pubbliku (pereżempju sal-punt li, u sakemm, l-għoti tad-dritt jippreġudika investigazzjoni pendenti jew jhedded is-sigurtà nazzjonali), jew fejn l-għoti tad-dritt jista’ jikkawża dannu lill-ħajja jew lill-persuna ta’ terzi. Għaldaqstant, l-invokazzjoni ta’ tali restrizzjoni teħtieġ ibbilanċjar tad-drittijiet u tal-interessi tal-individwu mal-interess pubbliku rilevanti u ma tista’, fl-ebda każ, taffettwa l-essenza tad-dritt (l-Artikolu 37(2) tal-Kostituzzjoni). Meta t-talba tiġi miċħuda jew ristretta, l-individwu jrid jiġi nnotifikat bir-raġunijiet mingħajr dewmien.

(205)

It-tieni, l-individwi għandhom dritt li jiksbu rimedju skont il-PIPA jekk id-data tagħhom tkun ġiet ipproċessata minn awtorità nazzjonali tas-sigurtà bi ksur tal-PIPA jew tal-limitazzjonijiet u tas-salvagwardji f’liġijiet oħra li jirregolaw il-ġbir tad-data personali (b’mod partikolari s-CPPA, ara l-premessa (171)) (374). Dan id-dritt jista’ jiġi eżerċitat permezz ta’ lment lill-PIPC (anki permezz taċ-Ċentru tas-Sejħiet għall-Privatezza operat mill-Aġenzija tal-Korea dwar l-Internet u s-Sigurtà) (375). Barra minn hekk, biex jiġi ffaċilitat aċċess aktar faċli għal rimedju kontra l-awtoritajiet nazzjonali tas-sigurtà Koreani, l-individwi tal-UE jistgħu jippreżentaw ilment quddiem il-PIPC permezz tal-awtorità nazzjonali tagħhom għall-protezzjoni tad-data jew quddiem il-Bord Ewropew għall-Protezzjoni tad-Data (376). F’dan il-każ, il-PIPC tinnotifika lill-individwu permezz tal-awtorità nazzjonali għall-protezzjoni tad-data ladarba tiġi konkluża l-investigazzjoni (inkluż, fejn applikabbli, b’informazzjoni dwar il-miżuri korrettivi imposti). Fuq il-bażi tal-Att dwar il-Tilwim Amministrattiv, l-individwi jistgħu wkoll jappellaw/jikkontestaw id-deċiżjonijiet jew in-nuqqas ta’ azzjoni tal-PIPC (ara l-premessa (132)).

(206)

It-tielet, l-individwi jistgħu jippreżentaw ilment mal-HRPO dwar il-ksur tad-dritt tagħhom għall-privatezza/protezzjoni tad-data fil-kuntest ta’ attivitajiet ta’ kontra t-terroriżmu (jiġifieri skont l-Att dwar il-Ġlieda kontra t-Terroriżmu) (377), li jista’ jirrakkomanda azzjoni korrettiva. Peress li ma hemm l-ebda rekwiżit ta’ ammissibbiltà quddiem l-HRPO, ilment jiġi ttrattat anke jekk l-individwu kkonċernat ma jkunx jista’ juri li fil-fatt tkun saritlu ħsara (pereżempju minħabba l-allegat ġbir illegali tad-data tiegħu/tagħha minn awtorità nazzjonali tas-sigurtà) (378). L-awtorità rilevanti jeħtieġ li tinforma lill-HRPO bi kwalunkwe miżura meħuda biex timplimenta r-rakkomandazzjonijiet tiegħu.

(207)

Ir-raba’, l-individwi jistgħu jippreżentaw ilment mal-NHRC dwar il-ġbir tad-data tagħhom mill-awtoritajiet nazzjonali tas-sigurtà u jiksbu rimedju skont il-proċedura deskritta fil-premessa (178) (379).

(208)

Fl-aħħar nett, hemm disponibbli rimedji ġudizzjarji differenti (380), li jippermettu lill-individwi jinvokaw il-limitazzjonijiet u s-salvagwardji deskritti fit-Taqsima 3.3.1 biex jiksbu rimedju. B’mod partikolari, l-individwi jistgħu jikkontestaw il-legalità tal-azzjonijiet tal-awtoritajiet nazzjonali tas-sigurtà abbażi tal-Att dwar it-Tilwim Amministrattiv (skont il-proċedura deskritta fil-premessa (181) jew l-Att dwar il-Qorti Kostituzzjonali (ara l-premessa (182)). Barra minn hekk, huma jistgħu jiksbu kumpens għad-danni abbażi tal-Att dwar il-Kumpens mill-Istat (kif deskritt f’aktar dettall fil-premessa (183)).

(209)

Il-Kummissjoni tqis li r-Repubblika tal-Korea – permezz tal-PIPA, ir-regoli speċjali applikabbli għal ċerti setturi (kif analizzati fit-Taqsima 2) u s-salvagwardji addizzjonali previsti fin-Notifika Nru 2021-5 (l-Anness I) – tiżgura livell ta’ protezzjoni għad-data personali ttrasferita mill-Unjoni Ewropea li huwa essenzjalment ekwivalenti għal dak garantit mir-Regolament (UE) 2016/679.

(210)

Barra minn hekk, il-Kummissjoni tqis li, meqjusa flimkien, il-mekkaniżmi ta’ sorveljanza u l-mezzi ta’ rimedju fil-liġi Koreana jippermettu biex ksur tar-regoli dwar il-protezzjoni tad-data mill-kontrolluri fil-Korea jiġi identifikat u indirizzat fil-prattika u joffru rimedji legali biex is-suġġett tad-data jikseb aċċess għad-data personali tiegħu/tagħha u, possibbilment, jikseb ir-rettifika jew it-tħassir ta’ tali data.

(211)

Fl-aħħar nett, abbażi tal-informazzjoni disponibbli dwar l-ordinament ġuridiku Korean, inklużi r-rappreżentazzjonijiet, l-assigurazzjonijiet u l-impenji mill-Gvern Korean inklużi fl-Anness II, il-Kummissjoni tqis li kwalunkwe interferenza fl-interess pubbliku, b’mod partikolari l-infurzar tal-liġi kriminali u għanijiet ta' sigurtà nazzjonali, mill-awtoritajiet pubbliċi Koreani mad-drittijiet fundamentali ta’ individwi li d-data personali tagħhom tiġi ttrasferita mill-Unjoni Ewropea lir-Repubblika tal-Korea se tkun limitata għal dak li huwa strettament meħtieġ biex jintlaħaq l-objettiv leġittimu inkwistjoni, u li teżisti protezzjoni legali effettiva kontra tali interferenza.

(212)

Għalhekk, fid-dawl tas-sejbiet ta’ din id-Deċiżjoni, jenħtieġ li jiġi deċiż li r-Repubblika tal-Korea tiżgura livell adegwat ta’ protezzjoni skont it-tifsira tal-Artikolu 45 tar-Regolament (UE) 2016/679, interpretat fid-dawl tal-Karta tad-Drittijiet Fundamentali tal-Unjoni Ewropea, għad-data personali ttrasferita mill-Unjoni Ewropea lir-Repubblika tal-Korea lill-kontrolluri tad-data dwar l-informazzjoni personali fir-Repubblika tal-Korea soġġetti għall-PIPA, bl-eċċezzjoni ta’ organizzazzjonijiet reliġjużi sa fejn jipproċessaw data personali għall-attivitajiet ta’ missjunarji tagħhom; il-partiti politiċi sa fejn jipproċessaw data personali fil-kuntest tan-nomina ta’ kandidati u kontrolluri li huma soġġetti għal sorveljanza mill-Kummissjoni għas-Servizzi Finanzjarji għall-ipproċessar ta’ informazzjoni dwar il-kreditu personali skont l-Att dwar l-Informazzjoni dwar il-Kreditu, sa fejn jipproċessaw tali informazzjoni.

(213)

L-Istati Membri u l-organi tagħhom huma meħtieġa jieħdu l-miżuri meħtieġa sabiex jikkonformaw mal-atti tal-istituzzjonijiet tal-Unjoni, peress li dawn tal-aħħar huma preżunti li huma legali u, għalhekk, jipproduċu effetti legali sakemm jiġu rtirati, annullati f’rikors għal annullament jew iddikjarati invalidi wara rinviju għal deċiżjoni preliminari jew għal eċċezzjoni ta’ illeġittimità.

(214)

Konsegwentement, deċiżjoni ta’ adegwatezza tal-Kummissjoni adottata skont l-Artikolu 45(3) tar-Regolament (UE) 2016/679 hija vinkolanti fuq l-organi kollha tal-Istati Membri li lilhom hija indirizzata, inklużi l-awtoritajiet superviżorji indipendenti tagħhom. B’mod partikolari, it-trasferimenti minn kontrollur jew minn proċessur fl-Unjoni Ewropea lil kontrolluri fir-Repubblika tal-Korea jistgħu jsiru mingħajr il-ħtieġa li tinkiseb xi awtorizzazzjoni ulterjuri.

(215)

Jenħtieġ li jitfakkar li, skont l-Artikolu 58(5) tar-Regolament (UE) 2016/679, u kif spjegat mill-Qorti tal-Ġustizzja fis-sentenza Schrems (381), meta awtorità nazzjonali għall-protezzjoni tad-data tistħarreġ, inkluż wara lment, il-kompatibbiltà ta’ deċiżjoni ta’ adegwatezza tal-Kummissjoni mad-drittijiet fundamentali tal-individwu għall-privatezza u għall-protezzjoni tad-data, id-dritt nazzjonali jrid jipprovdiha b'rimedju legali sabiex tesponi dawk l-oġġezzjonijiet quddiem qorti nazzjonali, li tista’ tkun meħtieġa tagħmel rinviju għal deċiżjoni preliminari lill-Qorti tal-Ġustizzja (382).

(216)

Skont il-ġurisprudenza tal-Qorti tal-Ġustizzja (383), u kif rikonoxxuta fl-Artikolu 45(4) tar-Regolament (UE) 2016/679, il-Kummissjoni jenħtieġ li timmonitorja kontinwament l-iżviluppi rilevanti fil-pajjiż terz wara l-adozzjoni ta’ deċiżjoni ta’ adegwatezza, biex tivvaluta jekk il-pajjiż terz għadux jiżgura livell ta’ protezzjoni essenzjalment ekwivalenti. It-tali verifika hi meħtieġa, fi kwalunkwe każ, meta l-Kummissjoni tirċievi informazzjoni li twassal għal dubju ġustifikat f’dak ir-rigward.

(217)

Għaldaqstant, il-Kummissjoni jenħtieġ li timmonitorja fuq bażi kontinwa s-sitwazzjoni fir-Repubblika tal-Korea rigward il-qafas legali u l-prattika reali għall-proċessar tad-data personali kif ivvalutati f’din id-Deċiżjoni, inkluża l-konformità mill-awtoritajiet Koreani mar-rappreżentazzjonijiet, mal-aċċertamenti u mal-impenji li jinsabu fl-Anness II. Biex jiffaċilitaw dan il-proċess, l-awtoritajiet Koreani huma mistiedna jinformaw lill-Kummissjoni bl-iżviluppi materjali rilevanti għal din id-Deċiżjoni, kemm rigward l-ipproċessar tad-data personali mill-operaturi ta’ negozji u awtoritajiet pubbliċi, kif ukoll il-limitazzjonijiet u s-salvagwardji applikabbli għall-aċċess għal data personali mill-awtoritajiet pubbliċi.

(218)

Barra minn hekk, biex il-Kummissjoni tkun tista’ twettaq il-funzjoni ta’ monitoraġġ tagħha b’mod effettiv, l-Istati Membri jenħtieġ li jinformaw lill-Kummissjoni dwar kwalunkwe azzjoni rilevanti meħuda mill-awtoritajiet nazzjonali għall-protezzjoni tad-data, b’mod partikolari rigward domandi jew ilmenti minn suġġetti tad-data tal-UE rigward it-trasferiment tad-data personali mill-Unjoni Ewropea lil kontrolluri fir-Repubblika tal-Korea. Il-Kummissjoni jenħtieġ li tiġi informata wkoll dwar kwalunkwe indikazzjoni li l-azzjonijiet tal-awtoritajiet pubbliċi Koreani responsabbli għall-prevenzjoni, għall-investigazzjoni, għad-detezzjoni jew għall-prosekuzzjoni ta’ reati kriminali, jew għas-sigurtà nazzjonali, inkluż kwalunkwe korp ta’ sorveljanza, ma jiżgurawx il-livell ta’ protezzjoni meħtieġ.

(219)

Fl-applikazzjoni tal-Artikolu 45(3) tar-Regolament (UE) 2016/679 (384), u fid-dawl tal-fatt li l-livell ta’ protezzjoni mogħti mill-ordinament ġuridiku Korean jista’ jkun suġġett għal tibdil, il-Kummissjoni, wara l-adozzjoni ta’ din id-Deċiżjoni, jenħtieġ li tirrieżamina b’mod perjodiku jekk il-konstatazzjonijiet relatati mal-adegwatezza tal-livell ta’ protezzjoni żgurat mir-Repubblika tal-Korea jkunux għadhom fattwalment u legalment ġustifikati.

(220)

Għal dan l-għan, din id-Deċiżjoni jenħtieġ li tkun suġġetta għall-ewwel rieżami fi żmien sentejn wara li tidħol fis-seħħ. Wara dak l-ewwel rieżami, u skont l-eżitu tagħha, il-Kummissjoni se tiddeċiedi f’konsultazzjoni mill-qrib mal-Kumitat stabbilit skont l-Artikolu 93(1) tar-Regolament (UE) 2016/679 jekk jenħtieġx li jinżamm iċ-ċiklu ta’ tliet snin. Fi kwalunkwe każ, l-eżerċizzji ta’ rieżami sussegwenti jenħtieġ li jseħħu tal-anqas kull erba’ snin (385). Ir-rieżami jenħtieġ li jkopri l-aspetti kollha tal-funzjonament ta’ din id-Deċiżjoni, u b’mod partikolaril-applikazzjoni tas-salvagwardji addizzjonali li jinsabu fl-Anness I ta’ din id-Deċiżjoni (b’attenzjoni speċjali mogħtija lill-protezzjoni mogħtija f’każ ta’ trasferimenti ulterjuri); l-iżviluppi fil-każistika rilevanti; ir-regoli dwar l-ipproċessar ta’ informazzjoni psewdonimizzata għall-għanijiet tal-istatistika, tar-riċerka xjentifika u tal-arkivjar fl-interess pubbliku, kif ukoll l-applikazzjoni tal-eċċezzjonijiet fl-Artikolu 28(7) tal-PIPA; l-effettività tal-eżerċitar tad-drittijiet individwali, anki qabel il-PIPC riformata riċentament, u l-applikazzjoni ta' eċċezzjonijiet għal dawk id-drittijiet; l-applikazzjoni tal-eżenzjonijiet parzjali skont il-PIPA; kif ukoll il-limitazzjonijiet u salvagwardji fir-rigward tal-aċċess mill-gvern ( kif stipulat fl-Anness II ta' din id-Deċiżjoni), inkluż il-koperazzjoni tal-PIPC mal-awtoritajiet għall-protezzjoni tad-data tal-UE dwar ilment minn individwi. Jenħtieġ li jkopri wkoll l-effettività tas-sorveljanza u l-infurzar, fir-rigward tal-PIPA u fil-qasam tal-infurzar tal-liġi kriminali u s-sigurtà nazzjonali (b’mod partikolari mill-PIPC u l-NHRC).

(221)

Biex tagħmel ir-rieżami, il-Kummissjoni jenħtieġ li tiltaqa’ mal-PIPC, akkumpanjata, fejn xieraq, minn awtoritajiet Koreani oħra responsabbli għall-aċċess mill-gvern, inklużi l-korpi ta’ sorveljanza rilevanti. Il-parteċipazzjoni f’din il-laqgħa jenħtieġ li tkun miftuħa għar-rappreżentanti tal-membri tal-Bord Ewropew għall-Protezzjoni tad-Data (BEPD). Fil-qafas tar-rieżami, il-Kummissjoni jenħtieġ li titlob lill-PIPC tipprovdi informazzjoni komprensiva dwar l-aspetti kollha rilevanti għall-konstatazzjoni ta’ adegwatezza, inkluż dwar il-limitazzjonijiet u s-salvagwardji li jikkonċernaw l-aċċess mill-gvern (386). Il-Kummissjoni jenħtieġ li tfittex ukoll spjegazzjonijiet dwar kwalunkwe informazzjoni rilevanti għal din id-Deċiżjoni li tkun irċeviet, inklużi rapporti pubbliċi mill-awtoritajiet Koreani jew minn partijiet ikkonċernati oħra fil-Korea, mill-Bord Ewropew tal-Protezzjoni tad-Data, mill-awtoritajiet individwali tal-protezzjoni tad-data, mill-gruppi tas-soċjetà ċivili, mir-rapporti fl-istampa, jew minn kwalunkwe sors ieħor disponibbli ta’ informazzjoni.

(222)

Fuq il-bażi tar-rieżami, il-Kummissjoni jenħtieġ li tħejji rapport pubbliku li għandu jiġi sottomess lill-Parlament Ewropew u lill-Kunsill.

(223)

Meta l-informazzjoni disponibbli, b’mod partikolari l-informazzjoni li tirriżulta mill-monitoraġġ ta’ din id-Deċiżjoni jew li tkun ipprovduta mill-awtoritajiet tal-Korea jew tal-Istati Membri, tiżvela li l-livell ta’ protezzjoni mogħti mir-Repubblika tal-Korea jaf ma jibqax adegwat, jenħtieġ li l-Kummissjoni tinforma lill-awtoritajiet kompetenti Koreani b’dan u titlob li jittieħdu l-miżuri xierqa f'perjodu ta’ żmien speċifiku u raġonevoli.

(224)

Jekk, mal-iskadenza ta’ dak il-perjodu ta’ żmien speċifikat, l-awtoritajiet kompetenti Koreani jonqsu milli jieħdu dawk il-miżuri jew inkella juru b’mod sodisfaċenti li din id-Deċiżjoni tkun għadha bbażata fuq livell adegwat ta’ protezzjoni, il-Kummissjoni tibda l-proċedura msemmija fl-Artikolu 93(2) tar-Regolament (UE) 2016/679 bl-għan li tissospendi jew tħassar din id-Deċiżjoni parzjalment jew kompletament.

(225)

Alternattivament, il-Kummissjoni tibda din il-proċedura bil-għan li temenda d-Deċiżjoni, b’mod partikolari billi tissoġġetta t-trasferimenti tad-data għal kundizzjonijiet addizzjonali jew billi tillimita l-ambitu tal-konstatazzjoni tal-adegwatezza biss għat-trasferimenti tad-data li għalihom jibqa’ żgurat livell adegwat ta’ protezzjoni.

(226)

B’mod partikolari, il-Kummissjoni jenħtieġ li tibda l-proċedura għas-sospensjoni jew għat-tħassir fil-każ ta’ indikazzjonijiet li s-salvagwardji supplimentari inklużi fl-Anness I ma jiġux osservati mill-operaturi ta’ negozji li jirċievu data personali skont din id-Deċiżjoni u/jew ma humiex infurzati b’mod effettiv, jew li l-awtoritajiet Koreani jonqsu milli jikkonformaw mar-rappreżentazzjonijiet, mal-aċċertamenti u mal-impenji li jinsabu fl-Anness II ta’ din id-Deċiżjoni.

(227)

Il-Kummissjoni jenħtieġ li tikkunsidra wkoll li tibda l-proċedura li twassal għall-emenda, għas-sospensjoni jew għat-tħassir ta’ din id-Deċiżjoni jekk, fil-kuntest tar-rieżami jew b’xi mod ieħor, l-awtoritajiet kompetenti Koreani jonqsu milli jipprovdu l-informazzjoni jew il-kjarifiki neċessarji għall-valutazzjoni tal-livell ta’ protezzjoni mogħtija lil data personali trasferita mill-Unjoni Ewropea lir-Repubblika tal-Korea jew rigward il-konformità ma’ din id-Deċiżjoni. F’dan ir-rigward, il-Kummissjoni jenħtieġ li tikkunsidra kemm l-informazzjoni rilevanti tista’ tinkiseb minn sorsi oħra.

(228)

Għal raġunijiet imperattivi ta’ urġenza debitament iġġustifikati, il-Kummissjoni tuża l-possibbiltà li tadotta, f’konformità mal-proċedura msemmija fl-Artikolu 93(3) tar-Regolament (UE) 2016/679, atti ta’ implimentazzjoni applikabbli immedjatament li jissospendu, iħassru jew jemendaw id-Deċiżjoni.

(229)

Il-Bord Ewropew għall-Protezzjoni tad-Data ppubblika l-opinjoni tiegħu (387), li tqieset fit-tħejjija ta’ din id-Deċiżjoni.

(230)

Il-miżuri previsti f’din id-Deċiżjoni huma f’konformità mal-opinjoni tal-Kumitat stabbilit skont l-Artikolu 93(1) tar-Regolament (UE) 2016/679.