UE y Corea del Sur: el EDPB valida la adecuación de datos y la IA
- El EDPB avala la revisión de la decisión de adecuación de Corea del Sur tras mejoras en su ley PIPA.
- Se introducen derechos clave contra decisiones automatizadas por IA y la posibilidad de retirar el consentimiento.
- Se finalizan las recomendaciones sobre las Normas Corporativas Vinculantes para Encargados (BCR-P).
- El Comité selecciona las herramientas de IA en el reclutamiento de personal como foco de supervisión para 2027.
El flujo de datos personales entre la Unión Europea y Asia ha alcanzado un nuevo punto de estabilidad regulatoria. En su sesión plenaria más reciente, el Comité Europeo de Protección de Datos (EDPB) ha adoptado una declaración fundamental sobre la primera revisión del funcionamiento de la decisión de adecuación de la República de Corea. Este movimiento no es un simple trámite administrativo, sino una validación de que el marco legal surcoreano ha evolucionado para alinearse con las exigencias del Reglamento General de Protección de Datos (RGPD) europeo.
La decisión de adecuación permite que los datos personales fluyan desde el Espacio Económico Europeo hacia Corea del Sur sin necesidad de autorizaciones adicionales, basándose en que el país receptor ofrece un nivel de protección esencialmente equivalente al de la UE. El EDPB ha analizado minuciosamente las enmiendas a la ley de protección de datos coreana, evaluando tanto los aspectos comerciales como el acceso a la información por parte de las autoridades públicas de dicho país.
Ajustes en la ley PIPA y el control sobre la inteligencia artificial
El núcleo de esta validación reside en las modificaciones introducidas en la Personal Information Protection Act (PIPA). El organismo regulador europeo ha destacado la implementación de derechos que otorgan un control real al ciudadano sobre su información. Entre las novedades más relevantes se encuentra la instauración de un derecho general a retirar el consentimiento previamente otorgado y la facultad de solicitar la suspensión del tratamiento de los datos personales.
Un punto crítico para las empresas tecnológicas y los emprendedores es la regulación de los procesos automatizados. La PIPA ahora incluye el derecho a rechazar una decisión automatizada, especialmente aquellas impulsadas por sistemas de inteligencia artificial, o a solicitar una explicación detallada si dicha decisión impacta significativamente en los derechos u obligaciones del interesado. Esta convergencia regulatoria reduce la fricción jurídica para las compañías que operan en ambos mercados.
Nuevas alternativas para las transferencias internacionales
Hasta hace poco, el consentimiento del usuario era la herramienta predominante para justificar el movimiento de datos fuera de las fronteras coreanas. Sin embargo, el EDPB ha acogido con satisfacción los cambios en el Artículo 28-8 de la PIPA, que clarifica el régimen legal aplicable a las transferencias internacionales. Ahora, existen herramientas de transferencia específicas que sirven como alternativas al consentimiento, proporcionando una base jurídica más robusta y predecible para las operaciones corporativas a gran escala.
Acompañando estas reformas legislativas, se ha producido un fortalecimiento de las capacidades de ejecución y sanción de la Personal Information Protection Commission (PIPC), la autoridad de protección de datos de Corea del Sur. Esta capacidad de sancionar el incumplimiento es un requisito indispensable para que la UE considere que la protección de los datos no es solo teórica, sino efectiva en la práctica.
El marco final de las Normas Corporativas Vinculantes para Encargados
Más allá de la relación con Corea del Sur, el EDPB ha cerrado un ciclo normativo importante con la adopción de la versión final de las recomendaciones sobre las Normas Corporativas Vinculantes para Encargados (BCR-P). Estas normas son instrumentos jurídicos diseñados para grupos de empresas que necesitan transferir datos personales fuera de Europa a encargados del tratamiento que pertenezcan al mismo grupo corporativo.
El objetivo de las BCR-P es garantizar que, independientemente de dónde se encuentre la filial o el proveedor interno del grupo, los estándares de protección sigan siendo equivalentes al RGPD. El Comité ha establecido que el cumplimiento de estas nuevas recomendaciones deberá estar implementado, como máximo, para la actualización anual de 2028. Este plazo otorga a las multinacionales un margen para reestructurar sus contratos internos y sus flujos de gobernanza de datos.
'El reconocimiento mutuo de estándares de protección de datos equivalentes entre la UE y la República de Corea en 2025 representó un paso importante que confirma la creciente alineación entre ambos marcos regulatorios', ha señalado Anu Talus, presidenta del EDPB.
La hoja de ruta de supervisión para 2027
El Comité no solo se ha centrado en la normativa, sino también en la fiscalización. Se ha seleccionado el tema para la sexta Acción Coordinada de Ejecución (CEF), programada para 2027. El foco estará puesto en el uso de herramientas de toma de decisiones automatizadas basadas en IA aplicadas al reclutamiento de candidatos.
Esta decisión indica que el regulador europeo está vigilando estrechamente cómo las empresas utilizan la IA para filtrar currículums y seleccionar personal. La preocupación radica en la transparencia de los algoritmos y la posibilidad de sesgos automatizados que vulneren los derechos fundamentales de los trabajadores. Las empresas que ya utilicen estos sistemas deberán auditar sus procesos antes de que llegue la ola de inspecciones coordinadas en 2027.
Impacto estratégico para el tejido empresarial español
Para las empresas en España, estas novedades tienen implicaciones directas en tres ejes principales. Primero, la validación de la adecuación de Corea del Sur facilita la expansión de startups y pymes españolas hacia el mercado asiático, eliminando la carga burocrática de implementar cláusulas contractuales estándar complejas para cada transferencia de datos.
Segundo, en el contexto de la Agenda Digital Española y la implementación del AI Act, la noticia sobre la fiscalización del reclutamiento automatizado en 2027 es una señal de alerta. Las empresas españolas, que están integrando la IA en sus departamentos de Recursos Humanos, deben asegurarse de que sus sistemas permitan la intervención humana y la explicación de las decisiones, evitando así sanciones futuras bajo el marco del supervisión europea.
Finalmente, el tejido empresarial español, compuesto mayoritariamente por pymes que a menudo actúan como proveedores de servicios para grandes grupos internacionales, se verá afectado por las BCR-P. Aquellas empresas que formen parte de grupos corporativos con presencia global deberán revisar sus acuerdos de tratamiento de datos para alinearse con las directrices del EDPB antes de 2028, asegurando que la transferencia de información entre sedes sea legal y transparente.
Preguntas frecuentes
¿Qué significa que Corea del Sur tenga una decisión de adecuación?
Significa que la Unión Europea reconoce que Corea del Sur ofrece un nivel de protección de datos personales equivalente al del RGPD, permitiendo que los datos viajen entre ambas regiones sin trámites adicionales.
¿Cómo afecta la ley PIPA a las decisiones tomadas por IA?
La ley PIPA ahora permite a los ciudadanos rechazar decisiones automatizadas tomadas por sistemas de IA o solicitar una explicación si estas afectan significativamente sus derechos.
¿Qué son las BCR-P y cuál es su fecha límite?
Son Normas Corporativas Vinculantes para Encargados que permiten transferir datos dentro de un mismo grupo empresarial fuera de la UE. El cumplimiento de las nuevas recomendaciones es obligatorio para la actualización de 2028.
¿En qué se centrará la acción de ejecución del EDPB en 2027?
Se centrará específicamente en la supervisión de las herramientas de IA utilizadas para la toma de decisiones automatizadas en los procesos de reclutamiento de personal.
glacom · IA para despachos de abogados: los expedientes no salen del despacho →
Scrivila qui: Susanna, l assistente AI di glacom, ti risponde via email con un approfondimento gratuito.
Nessuna consulenza personalizzata (finanziaria, legale o medica): solo informazione e fonti. Email usata solo per rispondere.
oppure scrivile su: WhatsApp · Telegram · SimpleX · Delta Chat · Email
