Feu vert pour les transferts de données vers la Corée du Sud

Le 17 décembre 2021, la Commission européenne a adopté une décision d’adéquation permettant de transférer librement les données personnelles depuis l’Union Européenne vers la Corée du Sud.

Cette décision s’insère dans un climat politique de fluidification des échanges. Elle fait suite à un accord de libre-échange conclu entre l’UE et la Corée du Sud entré en vigueur en juillet 2021.

Transférer des données, possible juridiquement ?

Au sein de l’espace économique européen (EEE), les données à caractère personnel peuvent circuler librement.

Pour un transfert de l’UE vers un pays tiers à l’EEE ou à destination d’une organisation internationale, le transfert est par principe interdit.
Cette interdiction est néanmoins écartée lorsque :

La destination offre une protection adéquate.
La destination offre des garanties appropriées si elle dispose de : clauses contractuelles types (CCT), binding corporate rules (BCR) ou code de conduites.
La destination fait l’objet d’une exception comme la préservation des droits fondamentaux, l’intérêt public et la constatation exercice ou défense des droits en justice.

Quel est le processus d’adoption d’une décision d’adéquation ?

Lorsque la destination offre une protection adéquate, une décision d’adéquation est adoptée en suivant les 3 étapes clés suivantes :

1. Évaluation du caractère adéquat

La Commission constate que le pays tiers ou l’organisation internationale présente un niveau de protection adéquat. Elle se base sur :

Le respect de l’état de droit (libertés fondamentales, droits de l’homme, etc)
L’existence d’autorités de contrôle indépendantes
Les engagements internationaux ou conventions passés avec le pays tiers

2. Décision d’adéquation

Après avoir évalué le caractère adéquat du niveau de protection, la Commission peut décider, par voie d’exécution, que le pays tiers ou l’organisation internationale assure un niveau de protection adéquat. L’acte sera alors réexaminé tous les 4 ans.

3. Réexamen

Si la Commission constate que le niveau de protection n’est plus suffisant, elle abroge, modifie ou suspend la décision.

Dans son arrêt Schrems du 16 juillet 2020, la CJUE a invalidé le Privacy Shield (décision d’adéquation qui régissait le transfert de données personnelles entre l’UE et les USA). Son invalidation repose sur le faible niveau de protection dont disposaient les données personnelles puisque les autorités américaines y avaient un accès privilégié.

Le Comité européen de la protection des données (EDPB) dans son avis du 27 septembre 2021, a émis des réserves sur le projet de décision d’adéquation de la République de Corée. Selon le Comité, l’accès des autorités coréennes aux données personnelles ressemblait fortement à ce qui a causé l’invalidation du Privacy Shield.

En réponse aux inquiétudes formulées par l’EDPB, la Commission européenne, lors de son examen, a notamment relevé que :

Les pouvoirs d’enquête et de sanction de l’Autorité sud-coréenne de protection des données (PIPC) ont été suffisamment renforcés par la révision de la loi Personal Information Protection Act (PIPA).
La PIPC a un rôle suffisamment central et dispose de voies de recours de diverses natures (médiation, administratives, judiciaires) garantissant la réparation des préjudices subis.