UE i Corea del Sud: l'EDPB valida la protecció de dades i l'IA
- L'EDPB avala la revisió de l'adequació de Corea del Sud gràcies a les millores de la llei PIPA.
- S'aproven les recomanacions finals sobre les Normes Corporatives Vinculants per a processadors (BCR-P).
- El Comitè selecciona les eines d'IA per al reclutament de personal com a focus de control per al 2027.
- Corea del Sud implementa drets contra decisions automatitzades per IA, alineant-se amb el GDPR.
El Comitè Europeu de Protecció de Dades (EDPB) ha consolidat un nou marc de cooperació digital i normativa amb l'Àsia Oriental. En la seva última sessió plenària, l'organisme ha adoptat una declaració clau sobre el funcionament de la decisió d'adequació de la República de Corea, un pas que simplifica el flux de dades entre la Unió Europea i un dels ecosistemes tecnològics més avançats del món. Aquesta validació no és un tràmit administratiu, sinó el reconeixement d'una convergència real en els estàndards de privacitat.
L'alineament normatiu entre el GDPR i la llei PIPA
El centre de denne revisió recau en les esmenes realitzades a la Personal Information Protection Act (PIPA) de Corea del Sud. L'EDPB ha valorat positivament que Seul hagi ajustat el seu marc legal per oferir un nivell de protecció essencialment equivalent al Reglament General de Protecció de Dades (GDPR) de la UE. Aquest alineament és vital per a les empreses que operen en ambdós mercats, ja que redueix la fricció legal en el trasllad de dades transfronterisses.
Entre els canvis més significatius de la PIPA destaca la introducció d'un dret general a retirar el consentiment i la possibilitat de sol·licitar la suspensió del tractament de dades personals. Aquests mecanismes doten els ciutadans d'un control més gran sobre la seva informació, aproximant la cultura jurídica coreana a la filosofia europea de la privacitat per disseny.
Drets dels ciutadans davant la intel·ligència artificial
Un dels punts més rellevants per a l'actualitat tecnològica és la resposta de Corea del Sud davant l'expansió de la IA. La nova normativa coreana reconeix ara el dret a rebutjar decisions automatitzades, incloses aquelles preses per sistemes d'intel·ligència artificial, o a sol·licitar una explicació detallada si aquestes decisions impacten significativament en els drets o obligacions de l'interessat.
Aquesta mesura és un reflex de la preocupació global per la transparència dels algoritmes. L'EDPB ha destacat que aquests avanços no només augmenten la protecció dels individus, sinó que també faciliten el tractament de dades per part dels responsables del tractament, sempre que es mantingui la seguretat jurídica. Per aquest motiu, l'organisme ha acceptat la proposta de la Comissió Europea de passar a un cicle de revisió d'adequació de quatre anys, confirmant la confiança en el sistema corean.
Noves regles per al trasllad de dades corporatives
Més allá de la relació amb Corea, l'EDPB ha finalitzat les recomanacions sobre les Normes Corporatives Vinculants per a processadors (BCR-P). Aquestes regles són eines legals essencials per a grups d'empreses o conglomerats que necessiten transferir dades personals fora d'Europa a processadors que formen part del mateix grup corporatiu.
L'objectiu de les BCR-P és garantir que, independentment de la ubicació geogràfica del processador, els estàndards de protecció de dades siguin uniformes i equivalents al GDPR. L'EDPB ha establert que el compliment d'aquestes noves recomanacions ha de ser efectiu, com a molt tard, per a l'actualització anual del 2028. Aquesta mesura proporciona un camí clar per a les multinacionals que busquen evitar la fragmentació de la seva governança de dades.
El focus del 2027: control sobre el reclutament automatitzat
L'EDPB no s'ha limitat a la normativa de trasllat de dades, sinó que ha definit la seva sisena acció coordinada d'execució (CEF) per al 2027. El tema seleccionat és l'ús d'eines de presa de decisions automatitzades basades en IA per al reclutament de candidats. Aquesta decisió indica que el regulador europeu posarà la lupa sobre com les empreses filtren i seleccionen talent mitjançant algoritmes.
L'estratègia busca evitar biaisons algorítmiques i garantir que el procés de selecció de personal no vulnere els drets fonamentals dels treballadors. Les empreses que utilitzen software de screening automatitzat hauran de ser capaces de demostrar la neutralitat i la transparència dels seus sistemes per evitar sancions severes en els propers anys.
Flexibilitat en les transferències internacionals
Un altre aspecte tècnic però crucial és la modificació de l'article 28-8 de la PIPA coreana. Aquest canvi clarifica el règim aplicable a les transferències internacionals de dades personals, oferint alternatives al consentiment explícit a través d'eines de transferència específiques. Aquesta flexibilitat és benvinguda per l'EDPB, ja que permet un flux de dades més dinàmic i menys dependent de la burocràcia del consentiment reiterat, sense sacrificar la seguretat.
El reconeixement mutu d'estàndards equivalents entre la UE i la República de Corea representa un pas major per confirmar l'alineament creixent entre ambis marcs regulatoris.
Aquest escenari es complementa amb el reforç dels poders de sanció i execució de la Personal Information Protection Commission (PIPC) de Corea, l'autoritat de control local, cosa que assegura que les normes no siguin només declaratives, sinó que tinguin una aplicació real i coercitiva.
Impacte per a l'ecosistema empresarial de Catalunya i Espanya
Per a les empreses espanyoles i, especialment, per a l'ecosistema tecnològic de Barcelona, aquestes notícies tenen implicacions directes. Catalunya s'ha consolidat com un hub d'IA i startups a Europa; moltes d'aquestes companyies busquen l'expansió cap als mercats asiàtics, on Corea del Sud és un referent en hardware i serveis digitals. La validació de l'adequació de Corea simplifica enormement l'operativa de les empreses catalanes que col·laboren amb socis coreans, eliminant la necessitat de contractes complexos de transferència de dades per a cada operació.
No obstant això, l'avís sobre el reclutament automatitzat per al 2027 és un senyal d'alerta per a els departaments de Recursos Humans i les HR-tech locals. Amb l'arribada de l'AI Act, el control sobre els sistemas d'IA considerats d'alt risc —com els utilitzats en la gestió de treballadors— serà extremadament rigorós. Les empreses a Espanya hauran de revisar els seus processos de selecció per assegurar-se que no depenen cegament d'algoritmes opacs.
En resum, el mercat espanyol es troba davant d'una oportunitat de creixement comercial amb Àsia, però també davant d'una exigència major de transparència algorítmica. La implementació de les BCR-P també serà clau per a les grans corporacions espanyoles amb filials internacionals, que hauran de adaptar els seus protocols interns abans del 2028 per mantenir la conformitat amb el GDPR i evitar riscos legals en la seva estructura global.
Preguntes freqüents
Què significa que Corea del Sud tingui una decisió d'adequació?
Significa que la UE reconeix que Corea del Sud ofereix un nivell de protecció de dades personals equivalent al del GDPR, permetent que les dades flueixin lliurement sense necessitat de permisos addicionals.
Què són les BCR-P i qui les ha de aplicar?
Són les Normes Corporatives Vinculants per a processadors. S'apliquen a grups d'empreses que transferixen dades a processadors dins del seu propi grup corporatiu fora de la UE.
Què passara amb les empreses que usen IA per contractar personal?
L'EDPB ha seleccionat el reclutament automatitzat com a focus d'inspecció coordinada per al 2027, per la qual cosa les empreses hauran de garantir la transparència i l'absència de biaisons en els seus algoritmes.
Quins nous drets tenen els ciutadans coreans segons la PIPA?
Tenen ara el dret a retirar el consentiment, sol·licitar la suspensió del tractament de dades i rebutjar decisions automatitzades preses per IA.
glacom · IA per a despatxos d’advocats: els expedients no surten del despatx →
Scrivila qui: Susanna, l assistente AI di glacom, ti risponde via email con un approfondimento gratuito.
Nessuna consulenza personalizzata (finanziaria, legale o medica): solo informazione e fonti. Email usata solo per rispondere.
oppure scrivile su: WhatsApp · Telegram · SimpleX · Delta Chat · Email
