Address https://gelex.eu/eli/EU/act/2022/254@2021-12-17/lt

Contents

1. Preamble
2. 1 straipsnis
3. 2.
4. 3 straipsnis
5. 5.
6. ANNEX
7. PAPILDOMOS TAISYKLĖS DĖL ASMENINĖS INFORMACIJOS APSAUGOS ĮSTATYMO AIŠKINIMO IR TAIKYMO, SUSIJUSIOS SU Į KORĖJĄ PERDUOTŲ ASMENS DUOMENŲ TVARKYMU I.
8. 1.
9. grp_1
10. 2.
11. grp_1
12. 3.
13. grp_1
14. 4. i)
15. 5.
16. grp_1
17. 6.
18. 3.4.5.
19. Korėjos valdžios institucijų atliekamo asmens duomenų rinkimo ir naudojimo teisėsaugos ir nacionalinio saugumo tikslais teisinė sistema

EUROPOS KOMISIJA,

atsižvelgdama į Sutartį dėl Europos Sąjungos veikimo,

atsižvelgdama į 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentą (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas), ypač į jo 45 straipsnio 3 dalį,

kadangi: ĮVADAS

(1) Reglamente (ES) 2016/679 nustatytos asmens duomenų perdavimo iš Sąjungoje įsikūrusių duomenų valdytojų arba duomenų tvarkytojų į trečiąsias valstybes ir tarptautinėms organizacijoms taisyklės, susijusios su tomis duomenų perdavimo operacijomis, kurioms taikomas minėtas reglamentas. Tarptautinio duomenų perdavimo taisyklės yra nustatytos to reglamento V skyriuje (44–50 straipsniuose). Nors asmens duomenų srautas į Europos Sąjungai nepriklausančias valstybes ir iš jų yra labai svarbus siekiant plėsti tarpvalstybinę prekybą ir tarptautinį bendradarbiavimą, Sąjungoje užtikrinamas asmens duomenų apsaugos lygis negali sumažėti perduodant duomenis į trečiąsias valstybes.

(2) Pagal Reglamento (ES) 2016/679 45 straipsnio 3 dalį Komisija, priimdama įgyvendinimo aktą, gali nuspręsti, kad trečioji valstybė, teritorija arba vienas ar daugiau nurodytų sektorių toje trečiojoje valstybėje, arba tarptautinė organizacija užtikrina tinkamo lygio apsaugą. Tokiu atveju asmens duomenys į trečiąją valstybę gali būti perduodami nereikalaujant jokio papildomo leidimo, kaip nustatyta Reglamento (ES) 2016/679 45 straipsnio 1 dalyje ir 103 konstatuojamojoje dalyje.

(3) Kaip nurodyta Reglamento (ES) 2016/679 45 straipsnio 2 dalyje, priimant sprendimą dėl tinkamumo, turi būti remiamasi išsamia trečiosios valstybės teisinės sistemos analize, susijusia ir su duomenų importuotojams taikomomis taisyklėmis, ir su apribojimais bei apsaugos priemonėmis, taikomomis valdžios institucijoms gaunant prieigą prie asmens duomenų. Savo vertinime Komisija privalo nustatyti, ar atitinkama trečioji valstybė garantuoja tokio lygio apsaugą, kuri yra iš esmės lygiavertė Europos Sąjungoje užtikrinamai apsaugai (Reglamento (ES) 2016/679 104 konstatuojamoji dalis). Ar tai toks atvejis, turi būti vertinama pagal Sąjungos teisės aktus, visų pirma Reglamentą (ES) 2016/679, taip pat Europos Sąjungos Teisingumo Teismo praktiką.

(4) Kaip išaiškino Europos Sąjungos Teisingumo Teismas, pagal šią nuostatą nereikalaujama, kad apsauga būtų tokio paties lygio. Visų pirma, priemonės, kurių gali imtis atitinkama trečioji valstybė, siekdama apsaugoti asmens duomenis, gali skirtis nuo Sąjungoje taikomų priemonių, jeigu šios priemonės padeda veiksmingai užtikrinti praktinę tinkamo lygio apsaugą. Todėl pagal tinkamumo kriterijų nėra reikalaujama Sąjungos taisykles atkartoti papunkčiui. Veikiau pagal šį kriterijų turi būti patikrinta, ar visoje užsienio valstybės sistemoje užtikrinamas reikiamas apsaugos lygis – teisių į privatumą esmė, veiksmingas jų įgyvendinimas, priežiūra ir vykdymo užtikrinimas. Europos duomenų apsaugos valdybos Orientaciniuose tinkamumo kriterijuose, kuriais siekiama išsamiau paaiškinti šį kriterijų, taip pat pateikiamos gairės šiuo klausimu.

(5) Komisija atidžiai išanalizavo Korėjos teisės aktus ir praktiką. Remdamasi (8)–(208) konstatuojamosiose dalyse išdėstytomis išvadomis, Komisija daro išvadą, kad Korėjos Respublika užtikrina tinkamo lygio asmens duomenų, kuriuos Sąjungoje veikiantis duomenų valdytojas arba tvarkytojas perduoda subjektams (pvz., fiziniams arba juridiniams asmenims, organizacijoms, viešosioms institucijoms) Korėjoje, kuriems taikomas Asmeninės informacijos apsaugos įstatymas (2011 m. kovo 29 d. Įstatymas Nr. 10465 su paskutiniais pakeitimais, padarytais 2020 m. vasario 4 d. Įstatymu Nr. 16930), apsaugą. Tai apima tiek duomenų valdytojus, tiek tvarkytojus (vadinamuosius užsakomųjų paslaugų teikėjus), kaip apibrėžta Reglamente (ES) 2016/679. Išvada dėl tinkamumo netaikoma asmens duomenų tvarkymui, kai juos tvarko religinės organizacijos misionierių veiklos tikslais ir politinės partijos keldamos kandidatus, arba kai asmens kredito informaciją pagal Kredito informacijos įstatymą tvarko duomenų valdytojai, kuriuos prižiūri Finansinių paslaugų komisija.

(6) Šioje išvadoje atsižvelgiama į papildomas apsaugos priemones, nustatytas pranešime Nr. 2021-5 (I priedas) ir Korėjos vyriausybės Komisijai pateiktus oficialius pareiškimus, garantijas ir įsipareigojimus (II priedas).

(7) Pagal šį sprendimą duomenys duomenų valdytojams ir tvarkytojams Korėjos Respublikoje gali būti perduoti be papildomo leidimo. Sprendimas neturi įtakos Reglamento (ES) 2016/679 tiesioginiam taikymui tokiems subjektams, kai tenkinamos teritorinės taikymo srities sąlygos, nustatytos to reglamento 3 straipsnyje.

ASMENS DUOMENŲ TVARKYMUI TAIKOMOS TAISYKLĖS Korėjos Respublikos duomenų apsaugos sistema

(8) Teisinė sistema, kuria Korėjoje reglamentuojama privatumo ir duomenų apsauga, siejama su 1948 m. liepos 17 d. paskelbta Korėjos Konstitucija. Nepaisant to, kad teisė į asmens duomenų apsaugą Konstitucijoje nėra aiškiai nustatyta, ji pripažįstama pagrindine teise, kylančia iš konstitucinių teisių, kaip antai teisės į žmogaus orumą ir teisės siekti laimės (10 straipsnis), teisės į privatų gyvenimą (17 straipsnis) ir ryšių privatumą (18 straipsnis). Tai patvirtino ir Aukščiausiasis Teismas, ir Konstitucinis Teismas. Pagrindinių teisių ir laisvių (įskaitant teisę į privatumą) apribojimai gali būti taikomi tik įstatymu, kai tai būtina nacionaliniam saugumui užtikrinti arba viešajai tvarkai palaikyti siekiant užtikrinti visuomenės gerovę, ir jie negali daryti poveikio atitinkamos teisės ar laisvės esmei (37 straipsnio 2 dalis).

(9) Nepaisant to, kad skirtingose Konstitucijos vietose minimos Korėjos piliečių teisės, Konstitucinis Teismas nusprendė, kad pagrindinės teisės taikomos ir užsienio valstybių piliečiams. Visų pirma Teismas pareiškė, kad teisė į žmogaus orumo ir vertės apsaugą, taip pat teisė siekti laimės yra ne tik piliečių, bet visų žmonių teisės. Be to, remiantis Korėjos vyriausybės oficialiais pareiškimais, visuotinai pripažįstama, kad Konstitucijos 12–22 straipsniuose nustatytos pagrindinės žmogaus teisės, įskaitant teisę į privatumą. Nors kol kas nėra jokios teismų praktikos, susijusios konkrečiai su užsienio valstybių piliečių teise į privatumą, ši išvada grindžiama teise į žmogaus orumo apsaugą ir teise siekti laimės.

(10) Be to, Korėja priėmė keletą duomenų apsaugos srities įstatymų, kuriuose numatytos apsaugos priemonės visiems asmenims, neatsižvelgiant į jų pilietybę. Šio sprendimo tikslais svarbūs šie įstatymai:

Asmeninės informacijos apsaugos įstatymas (AIAĮ);

Kredito informacijos naudojimo ir apsaugos įstatymas;

Ryšių privatumo apsaugos įstatymas.

(11) AIAĮ nustatomas bendras duomenų apsaugos Korėjos Respublikoje teisinis pagrindas. Jis papildytas Vykdymo užtikrinimo dekretu (2011 m. rugsėjo 29 d. Prezidento dekretas Nr. 23169 su naujausiais pakeitimais, padarytais 2020 m. rugpjūčio 4 d. Prezidento dekretu Nr. 30892) (AIAĮ vykdymo užtikrinimo dekretas), kuris, kaip ir AIAĮ, yra teisiškai privalomas ir vykdytinas.

(12) Be to, Asmeninės informacijos apsaugos komisijos (AIAK) priimtuose norminiuose pranešimuose pateikiamos papildomos AIAĮ aiškinimo ir taikymo taisyklės. Remdamasi AIAĮ 5 straipsniu (Valstybės pareigos) ir 14 straipsniu (Tarptautinis bendradarbiavimas), 2020 m. rugsėjo 1 d. AIAK priėmė pranešimą Nr. 2021-1 (su pakeitimais, padarytais 2021 m. sausio 21 d. pranešimu Nr. 2021-1 ir 2021 m. lapkričio 16 d. pranešimu Nr. 2021-5 (pranešimas Nr. 2021-5)) dėl tam tikrų AIAĮ nuostatų aiškinimo, taikymo ir vykdymo užtikrinimo. Šiame pranešime pateikiami paaiškinimai, taikomi bet kokiam asmens duomenų tvarkymui pagal AIAĮ, taip pat papildomos apsaugos priemonės, taikomos pagal šį sprendimą Korėjai perduodamiems asmens duomenims. Pranešimas asmeninės informacijos valdytojams yra teisiškai privalomas, o jo vykdymą užtikrina ir AIAK, ir teismai. Pažeidus pranešime nustatytas taisykles pažeidžiamos atitinkamos AIAĮ nuostatos, kurias jos papildo. Todėl papildomų apsaugos priemonių turinys analizuojamas vertinant atitinkamus AIAĮ straipsnius. Galiausiai papildomos gairės dėl AIAĮ ir jo Vykdymo užtikrinimo dekreto, kuriomis remdamasi AIAK taiko duomenų apsaugos taisykles ir užtikrina jų laikymąsi, pateikiamos AIAK priimtame AIAĮ vadove ir gairėse.

(13) Be to, Kredito informacijos naudojimo ir apsaugos įstatyme (KIĮ) nustatytos specialios taisyklės, taikomos ir įprastiems komercinės veiklos vykdytojams, ir specializuotiems finansų sektoriaus subjektams, jiems tvarkant asmeninę kredito informaciją, t. y. informaciją, būtiną finansinių ar komercinių sandorių šalių kreditingumui nustatyti. Tokia informacija visų pirma apima vardą ir pavardę, kontaktinius duomenis, finansinius sandorius, kredito reitingą, draustumą arba paskolų balansą, kai tokia informacija naudojama asmens kreditingumui nustatyti. Priešingai, kai tokia informacija naudojama kitais tikslais (pvz., žmogiškųjų išteklių tikslais), taikomas visas AIAĮ. Konkrečių KIĮ duomenų apsaugos nuostatų laikymąsi iš dalies prižiūri AIAK (komercinių organizacijų atveju žr. KIĮ 45-3 straipsnį) ir iš dalies Finansinių paslaugų komisija (finansų sektoriaus, įskaitant kredito reitingų agentūras, bankus, draudimo bendroves, savitarpio taupomuosius bankus, specializuotas kredito finansų bendroves, finansinių investicijų paslaugų bendroves, vertybinių popierių finansų bendroves, kredito unijas ir t. t., atveju žr. KIĮ 45 straipsnio 1 dalį kartu su KIĮ vykdymo užtikrinimo dekreto 36-2 straipsniu ir Finansinių paslaugų komisijos įstatymo 38 straipsniu). Šiuo atžvilgiu šis sprendimas taikomas tik komercinės veiklos vykdytojams, kuriuos prižiūri AIAK. Šiomis aplinkybėmis taikomos konkrečios KIĮ taisyklės (bendrosios AIAĮ taisyklės taikomos tada, kai nėra taikytinų konkrečių taisyklių), aprašytos 2.3.11 skirsnyje.

AIAĮ materialinė taikymo sritis ir taikymo sritis asmenų atžvilgiu

(14) Išskyrus atvejus, kai kituose įstatymuose konkrečiai numatyta kitaip, asmens duomenų apsauga reglamentuojama AIAĮ (6 straipsnyje). Materialinė taikymo sritis ir taikymo sritis asmenų atžvilgiu nustatomos pagal sąvokų asmeninė informacija, duomenų tvarkymas ir asmeninės informacijos valdytojas apibrėžtis.

Asmens duomenų apibrėžtis

(15) AIAĮ 2 straipsnio 1 dalyje asmeninė informacija apibrėžiama kaip su gyvu asmeniu susijusi informacija, kuria remiantis galima nustatyti asmens tapatybę tiesiogiai, pavyzdžiui, jo vardas, pavardė, gyventojo registracijos numeris arba atvaizdas, arba netiesiogiai, t. y. kai informacija, kuria remiantis savaime negalima nustatyti tam tikro asmens tapatybės, šiuo tikslu gali būti derinama su kita informacija. Tai, ar informacija gali būti lengvai derinama su kita informacija, priklauso nuo to, ar toks derinys yra pagrįstai tikėtinas, atsižvelgiant į galimybę gauti kitą informaciją, taip pat į laiką, sąnaudas ir technologijas, kurių reikia asmens tapatybei nustatyti.

(16) Be to, informacija, kuriai suteikti pseudonimai, t. y. informacija, kuria remiantis negalima nustatyti konkretaus asmens tapatybės, jei ji nenaudojama arba nederinama su papildoma informacija, kad būtų atkurta pradinė jos būklė, pagal AIAĮ laikoma asmens duomenimis (AIAĮ 2 straipsnio 1 dalies c punktas). Tačiau visiškai nuasmeninta informacija nepatenka į AIAĮ taikymo sritį (AIAĮ 58-2 straipsnis). Tai informacija, kuria remiantis konkretaus asmens tapatybė negali būti nustatyta, net jei ji derinama su kita informacija, atsižvelgiant į laiką, sąnaudas ir technologijas, kurių pagrįstai reikia tapatybei nustatyti.

(17) Tai atitinka Reglamento (ES) 2016/679 materialinę taikymo sritį ir jo sąvokas asmens duomenys, pseudonimų suteikimas ir nuasmeninta informacija.

Sąvokos duomenų tvarkymas apibrėžtis

(18) Sąvoka duomenų tvarkymas AIAĮ plačiai apibrėžiama kaip apimanti duomenų rinkimą, generavimą, jungimą, susiejimą, įrašymą, saugojimą, laikymą, apdorojimą kuriant pridėtinę vertę, redagavimą, paiešką, išvedimą, taisymą, atkūrimą, naudojimą, teikimą ir atskleidimą, asmeninės informacijos sunaikinimą ir kitą panašią veiklą. Nors tam tikros AIAĮ nuostatos susijusios tik su konkrečiomis duomenų tvarkymo rūšimis, pavyzdžiui, naudojimu, teikimu arba rinkimu, sąvoka naudojimas suprantama kaip apimanti bet kokį duomenų tvarkymą, išskyrus rinkimą arba teikimą (trečiajai šaliai). Taip plačiai aiškinant sąvoką naudojimas užtikrinama, kad nebūtų apsaugos spragų, susijusių su konkrečia duomenų tvarkymo veikla. Todėl duomenų tvarkymo sąvoka atitinka duomenų tvarkymo sąvoką pagal Reglamentą (ES) 2016/679.

Asmeninės informacijos valdytojas ir užsakomųjų paslaugų teikėjas

(19) AIAĮ taikomas asmeninės informacijos valdytojams (duomenų valdytojas). Panašiai kaip ir Reglamente (ES) 2016/679, jais gali būti laikomos bet kokios viešosios institucijos, juridiniai asmenys, organizacijos ar fiziniai asmenys, kurie tiesiogiai arba netiesiogiai tvarko asmens duomenis, kad galėtų naudotis asmens duomenų rinkmenomis vykdydami savo veiklą. Šiomis aplinkybėmis asmeninės informacijos rinkmena – tai bet koks asmeninės informacijos rinkinys ar rinkiniai, tam tikrų taisyklių pagrindu sistemingai sutvarkyti arba surūšiuoti, kad asmeninė informacija būtų lengvai pasiekiama (AIAĮ 2 straipsnio 4 dalis). Duomenų valdytojas privalo užtikrinti vidinius mokymus su duomenų tvarkymu susijusiems, jam pavaldiems asmenims, pvz., bendrovės pareigūnams arba darbuotojams, ir vykdyti tinkamą kontrolę ir priežiūrą (AIAĮ 28 straipsnio 1 dalis).

(20) Kai duomenų valdytojas (užsakomųjų paslaugų gavėjas) perduoda asmens duomenų tvarkymą trečiajai šaliai (užsakomųjų paslaugų teikėjui), taikomos specialios prievolės. Visų pirma užsakomosios paslaugos turi būti reglamentuojamos teisiškai privalomu susitarimu (paprastai sutartimi), kuriame būtų nustatyta užsakomųjų darbų apimtis, duomenų tvarkymo tikslas, taikytinos techninės ir valdymo apsaugos priemonės, duomenų valdytojo vykdoma priežiūra, atsakomybė (pavyzdžiui, žalos, patirtos pažeidus sutartinius įsipareigojimus, atlyginimas), taip pat bet kokios duomenų tvarkymo subrangos apribojimai (AIAĮ 26 straipsnio 1 ir 2 dalys kartu su Vykdymo užtikrinimo dekreto 28 straipsnio 1 dalimi).

(21) Be to, duomenų valdytojas turi skelbti ir nuolat atnaujinti informaciją apie užsakomąjį darbą ir užsakomųjų paslaugų teikėjo tapatybę arba, jei užsakomasis duomenų tvarkymas yra susijęs su tiesioginės rinkodaros veikla, tiesiogiai informuoti asmenis jiems pateikdamas atitinkamą informaciją (AIAĮ 26 straipsnio 2 ir 3 dalys kartu su Vykdymo užtikrinimo dekreto 28 straipsnio 2–5 dalimis).

(22) Pagal AIAĮ 26 straipsnio 4 dalį kartu su Vykdymo užtikrinimo dekreto 28 straipsnio 6 dalimi duomenų valdytojas taip pat privalo mokyti užsakomųjų paslaugų teikėją, kaip imtis būtinų saugumo priemonių, ir jį prižiūrėti, be kita ko, tikrindamas, ar jis laikosi visų duomenų valdytojo įsipareigojimų pagal AIAĮ ir įsipareigojimų pagal užsakomųjų paslaugų sutartį. Kai užsakomųjų paslaugų teikėjas pažeidęs AIAĮ padaro žalą, atsakomybė dėl jo veiksmų ar veiksmų nesiėmimo priskiriama duomenų valdytojui, taip pat kaip ir darbuotojo padarytos žalos atveju (AIAĮ 26 straipsnio 6 dalis).

(23) Nors dėl to duomenų valdytojų ir duomenų tvarkytojų sąvokos AIAĮ neatskiriamos, užsakomųjų paslaugų taisyklėse numatytos prievolės ir apsaugos priemonės iš esmės yra lygiavertės toms, kuriomis reglamentuojami duomenų valdytojų ir duomenų tvarkytojų santykiai pagal Reglamentą (ES) 2016/679.

Specialios nuostatos dėl informacijos ir ryšių paslaugų teikėjų

(24) Nors AIAĮ taikomas bet kurio duomenų valdytojo atliekamam asmens duomenų tvarkymui, tam tikrose nuostatose yra konkrečių taisyklių (lex specialis) dėl informacijos ir ryšių paslaugų teikėjų tvarkomų naudotojų asmens duomenų. Naudotojų sąvoka apima asmenis, kurie naudojasi informacijos ir ryšių paslaugomis (Informacijos ir ryšių tinklų naudojimo ir duomenų apsaugos skatinimo įstatymo (Tinklų įstatymas) 2 straipsnio 1 dalies 4 punktas). Kad asmuo būtų naudotojas, jis turi naudotis tiesiogiai Korėjos telekomunikacijų operatoriaus teikiamomis telekomunikacijų paslaugomis arba informacijos paslaugomis, kurias komerciniais tikslais (t. y. siekdamas pelno) teikia subjektas, kuris teikdamas paslaugas savo ruožtu naudojasi telekomunikacijų operatoriaus, turinčio licenciją arba įregistruoto Korėjoje, paslaugomis. Abiem atvejais konkrečios AIAĮ nuostatos taikomos tam subjektui, kuris internetinę paslaugą asmeniui (t. y. naudotojui) siūlo tiesiogiai.

(25) Tačiau tinkamumo išvada susijusi tik su asmens duomenų, kuriuos duomenų valdytojas ir (arba) duomenų tvarkytojas Sąjungoje perduoda subjektui trečiojoje valstybėje (šiuo atveju Korėjos Respublikoje) apsaugos lygiu. Tokiu atveju fiziniai asmenys Sąjungoje paprastai yra tiesiogiai susiję tik su duomenų eksportuotoju Sąjungoje, bet ne su Korėjos informacijos ir ryšių paslaugų teikėju. Todėl jei konkrečios AIAĮ nuostatos dėl informacijos ir ryšių paslaugų naudotojų asmens duomenų bus taikomos, tai tik tam tikrais atvejais pagal šį sprendimą perduodamiems asmens duomenims.

Tam tikrų AIAĮ nuostatų netaikymas

(26) Pagal AIAĮ 58 straipsnio 1 dalį, dalis AIAĮ (t. y. 15–57 straipsniai) netaikoma keturių duomenų tvarkymo kategorijų atveju. Visų pirma netaikomos AIAĮ dalys, kuriose nagrinėjami konkretūs duomenų tvarkymo pagrindai, tam tikros duomenų apsaugos prievolės, išsamios naudojimosi individualiomis teisėmis taisyklės, taip pat taisyklės, kuriomis reglamentuojami Tarpininkavimo ginčuose dėl asmeninės informacijos komiteto sprendžiami ginčai. Kitos pagrindinės AIAĮ nuostatos yra taikomos, visų pirma bendrosios nuostatos dėl duomenų apsaugos principų (AIAĮ 3 straipsnis), įskaitant, pavyzdžiui, teisėtumo, tikslo nustatymo ir tikslo apribojimo, duomenų kiekio mažinimo, duomenų tikslumo ir saugumo principus, ir individualių teisių (prieigos, ištaisymo, ištrynimo ir sustabdymo, žr. AIAĮ 4 straipsnį). Be to, AIAĮ 58 straipsnio 4 dalyje nustatytos konkrečios prievolės, susijusios su tokia duomenų tvarkymo veikla, t. y. duomenų kiekio mažinimo, riboto duomenų saugojimo, saugumo priemonių užtikrinimo ir skundų nagrinėjimo prievolės. Todėl asmenys vis tiek galėtų pateikti skundą AIAK, jei šių principų ir prievolių būtų nesilaikoma, o reikalavimų nesilaikymo atveju AIAK būtų įgaliotas imtis vykdymo užtikrinimo veiksmų.

(27) Pirma, dalinė išimtis taikoma asmens duomenims, surinktiems pagal Statistikos įstatymą, kad juos tvarkytų viešosios institucijos. Remiantis iš Korėjos vyriausybės gautais paaiškinimais, šiomis aplinkybėmis tvarkomi asmens duomenys paprastai yra susiję su Korėjos piliečiais, o duomenys apie užsienio valstybių piliečius gali būti įtraukti tik išskirtiniais atvejais, t. y. kai tie duomenys susiję su atvykimu į šalies teritoriją ir išvykimu iš jos arba užsienio investicijomis. Tačiau net ir tokiais atvejais tokie duomenys paprastai nėra perduodami Sąjungos duomenų valdytojų ir (arba) duomenų tvarkytojų, bet būtų tiesiogiai renkami Korėjos valdžios institucijų. Be to, panašiai, kaip numatyta Reglamento (ES) 2016/679 162 konstatuojamojoje dalyje, duomenų tvarkymui pagal Statistikos įstatymą taikomos kelios sąlygos ir apsaugos priemonės. Visų pirma Statistikos įstatyme nustatyti konkretūs įpareigojimai, kaip antai užtikrinti tikslumą, nuoseklumą ir nešališkumą; garantuoti asmenų konfidencialumą; apsaugoti statistinių užklausų respondentų pateiktą informaciją, be kita ko, siekiant užkirsti kelią tokios informacijos naudojimui kitais nei statistikos rengimo tikslais, ir taikant konfidencialumo reikalavimus darbuotojams. Statistinius duomenis tvarkančios valdžios institucijos taip pat turi laikytis, inter alia, duomenų kiekio mažinimo, tikslo apribojimo ir saugumo principų (AIAĮ 3 straipsnis ir 58 straipsnio 4 dalis) ir leisti asmenims naudotis savo (susipažinimo su informacija, jos ištaisymo, ištrynimo ir rinkimo sustabdymo žr. AIAĮ 4 straipsnį) teisėmis. Galiausiai duomenys turi būti tvarkomi nuasmeninta forma arba suteikus pseudonimus, jei tai leidžia pasiekti duomenų tvarkymo tikslą (AIAĮ 3 straipsnio 7 dalis).

(28) Antra, AIAĮ 58 straipsnio 1 dalyje nurodomi asmens duomenys, surinkti arba prašomi surinkti, kad būtų galima analizuoti su nacionaliniu saugumu susijusią informaciją. Šios dalinės išimties taikymo sritis ir pasekmės išsamiau aprašytos (149) konstatuojamojoje dalyje.

(29) Trečia, dalinė išimtis taikoma laikinam asmens duomenų tvarkymui, kai tai skubiai būtina dėl viešojo saugumo, įskaitant visuomenės sveikatą, priežasčių. Šią kategoriją AIAK aiškina griežtai ir, remiantis gauta informacija, ji niekada nebuvo naudojama. Ji taikoma tik tais atvejais, kai reikia imtis skubių veiksmų, pavyzdžiui, siekiant nustatyti infekcijų sukėlėjus arba gelbėti stichinių nelaimių aukas ir joms padėti. Net ir tokiais atvejais dalinė išimtis taikoma tik asmens duomenų tvarkymui ribotą laikotarpį, kurio reikia tokiam veiksmui atlikti. Galimybės susidaryti situacijai, kurioje ši išimtis galėtų būti taikoma duomenų perdavimui, kuriam taikomas šis sprendimas, yra dar labiau ribotos, nes mažai tikėtina, kad asmens duomenys, iš Sąjungos perduodami Korėjos ekonominės veiklos vykdytojams, būtų tokio pobūdžio, kad dėl tokių ekstremaliųjų situacijų jų tolesnis tvarkymas galėtų būti skubiai būtinas.

(30) Galiausiai dalinė išimtis taikoma duomenims, kuriuos surenka ir naudoja spaudos subjektai, religinės organizacijos misionierių veiklos tikslu arba politinės partijos kandidatų kėlimo tikslu. Išimtis taikoma tik tada, kai spaudos subjektai, religinės organizacijos arba politinės partijos asmens duomenis tvarko tais konkrečiais tikslais (t. y. žurnalistinei, misionierių veiklai vykdyti ir politinei kandidatūrai kelti). Kai tie subjektai asmens duomenis tvarko kitais tikslais, pavyzdžiui, žmogiškųjų išteklių valdymo ar vidaus administravimo tikslais, AIAĮ taikomas visas.

(31) Kai spaudos subjektai asmens duomenis tvarko vykdydami žurnalistinę veiklą, pusiausvyra tarp saviraiškos laisvės ir kitų teisių (įskaitant teisę į privatumą) nustatyta Įstatymu dėl arbitražo, teisių gynimo ir kitų priemonių, kai žala padaroma spaudos pranešimais (Spaudos įstatymas). Visų pirma Spaudos įstatymo 5 straipsnyje nustatyta, kad spaudos subjektas (t. y. bet kuri transliuojančioji organizacija, laikraštis, periodinis leidinys ar internetinis laikraštis), interneto naujienų tarnyba ar transliuojančioji interneto multimedijos organizacija negali pažeisti asmenų teisės į privatumą. Jei teisė į privatumą vis dėlto pažeidžiama, žala turi būti nedelsiant ištaisyta taikant konkrečias įstatyme nustatytas procedūras. Tokiais atvejais asmenims, patyrusiems žalą dėl spaudos pranešimo, įstatymu suteikiamos tam tikros teisės, pavyzdžiui, teisė reikalauti ištaisyti klaidingą pareiškimą ir jį paskelbti, jį ištaisyti paskelbiant paneigiantį pareiškimą arba naują pareiškimą (kai spaudos pranešimas susijęs su įtarimais dėl nusikaltimų, dėl kurių asmuo vėliau išteisinamas). Asmenų pretenzijos gali būti sprendžiamos pačių spaudos subjektų (jiems pasitelkiant ombudsmeną), taikinimo arba arbitražo būdu (vykdo specializuota spaudos arbitražo komisija) arba teismuose. Asmenys taip pat gali gauti kompensaciją, kai dėl neteisėto spaudos subjekto veiksmo (atlikto tyčia arba dėl aplaidumo) jie patiria piniginę žalą, pažeidžiamos jų asmeninės teisės arba sukeliama bet kokia kita emocinė kančia. Spaudos subjektai atleidžiami nuo įstatymu nustatytos atsakomybės, jei pranešimu spaudai, kuriuo pažeidžiamos asmens teisės, neprieštaraujama socialinėms vertybėms ir jis skelbiamas gavus suinteresuoto asmens sutikimą arba viešojo intereso tikslu (o pagrindas manyti, kad pranešimas atitinka tiesą, yra pakankamas).

(32) Nors spaudos subjektų vykdomam asmens duomenų tvarkymui vykdant žurnalistinę veiklą taikomos specialios apsaugos priemonės, numatytos Spaudos įstatyme, tokių papildomų apsaugos priemonių, ribojančių išimties taikymą duomenis tvarkant religinėms organizacijoms ir politinėms partijoms ir iš dalies panašių į nustatytas Reglamento (ES) 2016/679 85, 89 ir 91 straipsniais, nustatyta nėra. Todėl Komisija mano, kad šio sprendimo tikslinga netaikyti religinėms organizacijoms, jei asmens duomenis jos tvarko savo misionierių veiklos tikslais, ir politinėms partijoms, jei asmens duomenis jos tvarko keldamos kandidatus.

Apsaugos priemonės, teisės ir prievolės Duomenų tvarkymo teisėtumas ir sąžiningumas

(33) Asmens duomenys turėtų būti tvarkomi teisėtai ir sąžiningai.

(34) Šis principas nustatytas AIAĮ 3 straipsnio 1 ir 2 dalyse ir sustiprintas AIAĮ 59 straipsniu, kuriuo draudžiama tvarkyti asmens duomenis naudojant sukčiavimą, netinkamas arba neteisėtas priemones, neturint teisinių įgaliojimų arba peržengiant atitinkamų įgaliojimų ribas. Šie bendrieji teisėto duomenų tvarkymo principai išdėstyti AIAĮ 15–19 straipsniuose, kuriuose nustatyti skirtingi duomenų tvarkymo (rinkimo, naudojimo ir teikimo trečiosioms šalims) teisiniai pagrindai, įskaitant aplinkybes, kurioms esant tikslas gali būti pakeistas (AIAĮ 18 straipsnis).

(35) Pagal AIAĮ 15 straipsnio 1 dalį yra tik ribotas skaičius teisinių pagrindų, kuriais remdamasis duomenų valdytojas gali rinkti asmens duomenis (tiek, kiek reikalinga jų rinkimo tikslu). Šie pagrindai yra: 1) duomenų subjekto sutikimas (1 punktas); 2) būtinybė, siekiant taikyti ir vykdyti su duomenų subjektu pasirašytą sutartį (4 punktas); 3) konkretus leidimas, nustatytas įstatymu, arba būtinybė, siekiant laikytis teisinės prievolės (2 punktas); būtinybė, viešajai institucijai siekiant vykdyti įstatymu nustatytas užduotis savo jurisdikcijoje; 4) akivaizdi būtinybė, siekiant apsaugoti duomenų subjekto arba trečiosios šalies gyvybę, fizinius ar turtinius interesus nuo gresiančio pavojaus (tik tuo atveju, jei duomenų subjektas negali išreikšti savo ketinimų arba negalima gauti išankstinio sutikimo) (5 punktas); 5) būtinybė, siekiant duomenų valdytojo pagrįsto intereso, jei jis yra akivaizdžiai viršesnis už duomenų subjekto interesus (ir tik tada, kai duomenų tvarkymas yra pagrįstai susijęs su teisėtu interesu, ir tvarkomas pagrįstai reikalingas duomenų kiekis) (6 punktas). Šie duomenų tvarkymo pagrindai iš esmės atitinka nustatytuosius Reglamento (ES) 2016/679 6 straipsnyje, įskaitant pagrįsto intereso pagrindą, kuris atitinka Reglamento (ES) 2016/679 6 straipsnio 1 dalies f punkte nurodytą teisėto intereso pagrindą.

(36) Surinktus asmens duomenis galima naudoti tikslu, kuriam jie buvo renkami (AIAĮ 15 straipsnio 1 dalis), arba tiek, kiek jų naudojimas pagrįstai susijęs su tikslu, kuriam duomenys buvo renkami, atsižvelgiant į galimus duomenų subjektui keliamus nepatogumus ir su sąlyga, kad taikomos būtinos saugumo priemonės (pvz., šifravimas) (AIAĮ 15 straipsnio 3 dalis). Kad būtų galima nustatyti, ar naudojimo tikslas yra pagrįstai susijęs su pradiniu rinkimo tikslu, Vykdymo užtikrinimo dekrete nustatyti konkretūs kriterijai, panašūs į pateiktus Reglamento (ES) 2016/679 6 straipsnio 4 dalyje. Visų pirma papildomas naudojimas turi būti labai svarbus įgyvendinant pradinį tikslą, jis turi būti nuspėjamas (pavyzdžiui, atsižvelgiant į aplinkybes, kuriomis informacija buvo surinkta) ir, jei įmanoma, duomenims turi būti suteikti pseudonimai. Konkretūs kriterijai, kuriuos duomenų valdytojas naudoja atlikdamas šį vertinimą, turi būti iš anksto atskleisti privatumo politikoje. Be to, privatumo apsaugos pareigūnas (žr. (94) konstatuojamąją dalį) turi konkrečią prievolę patikrinti, ar duomenys toliau naudojami taikant tuos kriterijus.

(37) Panašios (tik šiek tiek griežtesnės) taisyklės taikomos duomenų teikimui trečiajai šaliai. Pagal AIAĮ 17 straipsnio 1 dalį asmens duomenys trečiajai šaliai gali būti teikiami gavus sutikimą arba, jei tai reikalinga siekiant tikslo, kuriam jie buvo renkami, o informacija buvo renkama remiantis vienu iš 15 straipsnio 1 dalies 2, 3 ir 5 punktuose nurodytų teisinių pagrindų. Tai visų pirma netaikoma informacijos atskleidimui, grindžiamam duomenų valdytojo pagrįstu interesu. Be to, AIAĮ 17 straipsnio 4 dalyje nustatytas leidimas teikti informaciją trečiajai šaliai, kiek tai pagrįstai susiję su tikslu, kuriuo duomenys buvo renkami, taip pat atsižvelgiant į galimus duomenų subjektui keliamus nepatogumus ir su sąlyga, kad taikomos būtinos saugumo priemonės (pvz., šifravimas). Vertinant, ar informacijos teikimas yra pagrįstai susijęs su tikslu, kuriuo duomenys buvo renkami, reikia atsižvelgti į tuos pačius veiksnius, kurie aprašyti (36) konstatuojamojoje dalyje, ir yra taikomos tos pačios apsaugos priemonės (t. y. dėl skaidrumo, įgyvendinamo privatumo politikoje, ir privatumo apsaugos pareigūno dalyvavimo).

(38) Kai Korėjos duomenų valdytojas gauna asmens duomenis iš Sąjungos, tai laikoma duomenų rinkimu, kaip jis apibrėžtas AIAĮ 15 straipsnyje. Pranešime Nr. 2021-5 (šio sprendimo I priedo I skirsnis) paaiškinama, kad tikslas, kuriuo atitinkamas ES subjektas perdavė duomenis, yra tikslas, kuriuo Korėjos duomenų valdytojas renka duomenis. Todėl pagal AIAĮ 17 straipsnį iš Sąjungos asmens duomenis gaunantys Korėjos duomenų valdytojai iš esmės turi tvarkyti tokią informaciją tuo tikslu, kuriuo jie perduodami.

(39) Konkretūs apribojimai taikomi tuo atveju, kai duomenų valdytojas siekia naudoti asmens duomenis arba pateikti juos trečiajai šaliai kitu tikslu nei tikslas, kuriuo jie buvo renkami. Pagal AIAĮ 18 straipsnio 2 dalį privatus duomenų valdytojas išimtiniais atvejais gali naudoti asmens duomenis arba pateikti juos trečiajai šaliai kitu tikslu: 1) remdamasis duomenų subjekto papildomu (t. y. atskiru) sutikimu, 2) kai tai numatyta konkrečiose įstatymų nuostatose arba 3) kai tai akivaizdžiai būtina, siekiant apsaugoti duomenų subjekto arba trečiosios šalies gyvybę, fizinius ar turtinius interesus nuo gresiančio pavojaus (tik tuo atveju, jei duomenų subjektas negali išreikšti savo ketinimų arba negalima gauti išankstinio sutikimo).

(40) Viešosios institucijos tam tikrais atvejais taip pat gali naudoti asmens duomenis arba teikti juos trečiajai šaliai kitu tikslu. Tai apima ir tas aplinkybes, kai kitu atveju viešosios institucijos negalėtų vykdyti įstatymuose nustatytų pareigų (turi gauti AIAK leidimą). Be to, viešosios institucijos gali teikti asmens duomenis kitai institucijai ar teismui, jei tai būtina siekiant atlikti nusikalstamų veikų tyrimus ir už jas patraukti baudžiamojon atsakomybėn arba pareikšti kaltinimus, siekiant, kad būtų vykdomos teismo funkcijos, susijusios su vykstančiais teismo procesais arba siekiant užtikrinti baudžiamųjų sankcijų ar globos orderių vykdymą. Jos taip pat gali teikti asmens duomenis užsienio vyriausybei arba tarptautinei organizacijai, kad įvykdytų teisinį įsipareigojimą pagal sutartį arba tarptautinę konvenciją (tokiu atveju jos taip pat turi laikytis tarpvalstybinio duomenų perdavimo reikalavimų (žr. (90) konstatuojamąją dalį).

(41) Todėl duomenų tvarkymo teisėtumo ir sąžiningumo principai Korėjos teisinėje sistemoje įgyvendinami tokiu būdu, kuris iš esmės yra lygiavertis numatytam Reglamente (ES) 2016/679, leidžiant tvarkyti duomenis tik remiantis teisėtais ir aiškiai apibrėžtais pagrindais. Be to, visais minėtais atvejais tvarkyti duomenis leidžiama tik tuo atveju, jei nėra tikėtina, kad duomenų subjekto arba trečiosios šalies interesai bus nepagrįstai pažeisti, o tam reikalinga suderinti interesus. Be to, AIAĮ 18 straipsnio 5 dalyje nustatytos papildomos apsaugos priemonės, kai duomenų valdytojas pateikia asmens duomenis trečiajai šaliai, įskaitant prašymą apriboti naudojimo tikslą ir būdą arba nustatyti konkrečias saugumo priemones. Trečioji šalis savo ruožtu privalo įgyvendinti prašomas priemones.

(42) Galiausiai pagal AIAĮ 28-2 straipsnį informaciją, kuriai suteikti pseudonimai, be atitinkamo asmens sutikimo viešojo intereso pagrindu leidžiama (toliau) tvarkyti statistikos, mokslinių tyrimų ir archyvavimo tikslais, taikant specialias apsaugos priemones. Todėl AIAĮ, panašiai kaip ir Reglamente (ES) 2016/679, numatytas (tolesnis) asmens duomenų tvarkymas tokiais tikslais taikant sistemą, kurioje numatytos tinkamos asmenų teisių apsaugos priemonės. Užuot pseudonimų suteikimą numačius kaip galimą apsaugos priemonę, jis AIAĮ nustatytas kaip būtina sąlyga siekiant viešojo intereso pagrindu vykdyti tam tikrą duomenų tvarkymo veiklą statistikos, mokslinių tyrimų ir archyvavimo tikslais (pavyzdžiui, siekiant tvarkyti duomenis be sutikimo arba sujungti skirtingus duomenų rinkinius).

(43) Be to, AIAĮ nustatyta keletas konkrečių apsaugos priemonių, visų pirma susijusių su reikalingomis techninėmis ir organizacinėmis priemonėmis, įrašų saugojimu, dalijimosi duomenimis apribojimais ir galimos duomenų reidentifikavimo rizikos šalinimu. Derinant įvairias apsaugos priemones, aprašytas (44)–(48) konstatuojamosiose dalyse, užtikrinama, kad asmens duomenų tvarkymui šiomis aplinkybėmis būtų taikoma iš esmės lygiavertė apsauga, palyginti su apsauga, kurios būtų reikalaujama pagal Reglamentą (ES) 2016/679.

(44) Pirma ir svarbiausia, pagal AIAĮ 28-5 straipsnio 1 dalį draudžiama tvarkyti informaciją, kuriai suteikti pseudonimai, siekiant nustatyti tam tikro asmens tapatybę. Jei informacija, kurią naudojant būtų galima nustatyti asmens tapatybę, vis dėlto būtų gauta tvarkant informaciją, kuriai suteikti pseudonimai, duomenų valdytojas privalo nedelsdamas sustabdyti tokios informacijos tvarkymą ir ją sunaikinti (AIAĮ 28–5 straipsnio 2 dalis). Šių nuostatų nesilaikymas yra nusikalstama veika ir už ją skiriamos administracinės baudos. Tai reiškia, kad net ir tais atvejais, kai praktiškai būtų įmanoma reidentifikuoti asmenį, toks reidentifikavimas yra teisiškai draudžiamas.

(45) Antra, kai tokiais tikslais informacija, kuriai suteikti pseudonimai, (toliau) tvarkoma, duomenų valdytojas turi taikyti konkrečias technologines, valdymo ir fizines priemones, skirtas informacijos saugumui užtikrinti (įskaitant atskirą informacijos, būtinos atkurti informacijos, kuriai suteikti pseudonimai, pradinę būseną, saugojimą ir tvarkymą). Be to, turi būti saugomi įrašai apie tvarkomą informaciją, kuriai suteikti pseudonimai, tvarkymo tikslą, naudojimo istoriją ir bet kokias ją gavusias trečiąsias šalis (AIAĮ vykdymo užtikrinimo dekreto 29-5 straipsnio 2 dalis).

(46) Galiausiai trečia, AIAĮ numatytos specialios apsaugos priemonės, kurias taikant trečiosioms šalims užkertamas kelias nustatyti asmenų tapatybę tuo atveju, kai informacija dalijamasi. Visų pirma teikdami informaciją, kuriai suteikti pseudonimai, trečiajai šaliai viešojo intereso pagrindu tvarkyti statistikos, mokslinių tyrimų arba archyvavimo tikslais, duomenų valdytojai negali į ją įtraukti informacijos, kuri galėtų būti naudojama konkrečiam asmeniui identifikuoti (AIAĮ 28-2 straipsnio 2 dalis).

(47) Konkrečiai, nors pagal AIAĮ sujungti informaciją, kuriai suteikti pseudonimai, su kita informacija (tvarkoma kitų duomenų valdytojų), siekiant viešojo intereso pagrindu ją tvarkyti statistikos, mokslinių tyrimų arba archyvavimo tikslais, leidžiama, toks įgaliojimas suteikiamas tik specializuotoms institucijoms, galinčioms taikyti specialias saugumo priemones (AIAĮ 28-3 straipsnio 1 dalis). Prašydamas leidimo sujungti duomenis, kuriems suteikti pseudonimai, su kitais duomenimis, duomenų valdytojas turi pateikti dokumentus, susijusius, be kita ko, su duomenimis, kurie turi būti sujungti su kitais duomenimis, jų sujungimo tikslu, taip pat su siūlomomis saugumo priemonėmis, taikomomis tvarkant sujungtus duomenis. Kad duomenis būtų galima sujungti su kitais duomenimis, duomenis, kuriuos reikia sujungti, duomenų valdytojas turi siųsti specializuotai institucijai ir pateikti duomenų sujungimo raktą (t. y. informaciją, kuri buvo naudojama pseudonimų suteikimui) Korėjos interneto ir saugumo agentūrai. Pastaroji sukuria duomenų sujungimo rakto susiejimo duomenis (kuriuos naudojant galima susieti skirtingų prašymus sujungti duomenis pateikusių asmenų duomenų sujungimo raktus, kad būtų galima sujungti duomenų rinkinius) ir teikia juos specializuotai institucijai.

(48) Informaciją sujungti prašantis duomenų valdytojas gali analizuoti sujungtą informaciją specializuotos institucijos patalpose, erdvėje, kurioje taikomos specialios techninės, fizinės ir administracinės saugumo priemonės (AIAĮ vykdymo užtikrinimo dekreto 29-3 straipsnis). Duomenų valdytojai, kurie pateikia duomenų rinkinį tokiam sujungimui atlikti, sujungtus duomenis iš specializuotos institucijos patalpų išsinešti gali tik po to, kai sujungtiems duomenims yra suteikti pseudonimai arba jie yra nuasmeninti, ir gavę tos institucijos sutikimą (AIAĮ 28-3 straipsnio 2 dalis). Svarstydama, ar suteikti tokį sutikimą, institucija įvertins ryšį tarp sujungtų duomenų ir tvarkymo tikslo ir ar tokiems duomenims naudoti buvo parengtas specialus saugumo planas. Teikti sujungtą informaciją už institucijos ribų draudžiama, jei joje yra duomenų, kuriuos naudojant būtų galima nustatyti asmens tapatybę. Galiausiai specializuotos institucijos atliekamą duomenų, kuriems suteikti pseudonimai, sujungimą ir pateikimą prižiūri AIAK (AIAĮ vykdymo užtikrinimo dekreto 29-4 straipsnio 3 dalis).

Specialių kategorijų asmens duomenų tvarkymas

(49) Kai tvarkomi specialių kategorijų duomenys, turėtų būti taikomos specialios apsaugos priemonės.

(50) AIAĮ nustatytos konkrečios taisyklės dėl neskelbtinų duomenų, kurie apibrėžiami kaip asmens duomenys, atskleidžiantys informaciją apie ideologiją, įsitikinimus, priėmimą į profesinę sąjungą ar politinę partiją ar pasitraukimą iš jos, politines pažiūras, asmens sveikatą ir seksualinį gyvenimą, taip pat kitą asmeninę informaciją, kuri akivaizdžiai gali kelti grėsmę duomenų subjekto privatumui ir kuri Prezidento dekretu nurodyta kaip neskelbtina informacija, tvarkymo. Remiantis AIAK pateiktais paaiškinimais, seksualinis gyvenimas taip pat suprantamas kaip apimantis asmens seksualinę orientaciją. Be to, Vykdymo užtikrinimo dekreto 18 straipsnyje neskelbtinų duomenų apimtis išplečiama pridedant papildomų neskelbtinų duomenų kategorijų, visų pirma DNR informaciją, gautą atlikus genetinius tyrimus, ir duomenis apie teistumą. Neseniai iš dalies pakeitus AIAĮ vykdymo užtikrinimo dekretą dar labiau išplėsta neskelbtinų duomenų sąvoka, įtraukiant asmens duomenis, atskleidžiančius rasę ar etninę kilmę ir biometrinę informaciją. Priėmus šį pakeitimą neskelbtinų duomenų sąvoka pagal AIAĮ iš esmės atitinka Reglamento (ES) 2016/679 9 straipsnyje vartojamą neskelbtinų duomenų sąvoką.

(51) Pagal AIAĮ 23 straipsnio 1 dalį, panašiai kaip numatyta Reglamento (ES) 2016/679 9 straipsnio 1 dalyje, neskelbtinų duomenų tvarkymas paprastai draudžiamas, išskyrus atvejus, kai taikoma viena iš išvardytų išimčių. Jas taikant duomenų tvarkymas apribojamas juos tvarkant tik tais atvejais, kai duomenų valdytojas informuoja duomenų subjektą pagal AIAĮ 15 ir 17 straipsnius ir gauna atskirą sutikimą (t. y. atskirą nuo sutikimo tvarkyti kitus asmens duomenis) arba kai duomenų tvarkymas yra privalomas arba leidžiamas pagal įstatymus. Viešosios institucijos taip pat gali tvarkyti biometrinę informaciją, DNR informaciją, gautą atlikus genetinius tyrimus, asmeninę informaciją, atskleidžiančią rasę ar etninę kilmę, ir duomenis apie teistumą, remdamosi tik tais pagrindais, kuriuos jos gali taikyti (pavyzdžiui, kai tai būtina nusikalstamai veikai tirti arba kai tai būtina, kad teismas galėtų nagrinėti bylą). Taigi neskelbtinų duomenų tvarkymo teisiniai pagrindai yra labiau riboti nei tie, kurie taikomi kitų rūšių asmens duomenų tvarkymui, ir Korėjos teisėje jie dar griežtesni nei teisiniai pagrindai, nustatyti Reglamento (ES) 2016/679 9 straipsnio 2 dalyje.

(52) Be to, AIAĮ 23 straipsnio 2 dalyje, už kurios nesilaikymą gali būti taikomos sankcijos, pabrėžiama, kad ypač svarbu užtikrinti tinkamą saugumą tvarkant neskelbtinus duomenis, kad jie nebūtų prarasti, pavogti, atskleisti, suklastoti, pakeisti ar sugadinti. Nors tai bendrasis reikalavimas pagal AIAĮ 29 straipsnį, 3 straipsnio 4 dalyje aiškiai nurodyta, kad saugumo lygis turi būti pritaikytas prie tvarkomų asmens duomenų rūšies, o tai reiškia, kad reikia atsižvelgti į ypatingą riziką, susijusią su neskelbtinų duomenų tvarkymu. Be to, duomenys visada tvarkomi taip, kad būtų kuo labiau sumažinta galimybė pažeisti duomenų subjekto privatumą, ir, jei įmanoma, anonimiškai (AIAĮ 3 straipsnio 6 ir 7 dalys). Šie reikalavimai ypač svarbūs tais atvejais, kai tvarkomi neskelbtini duomenys.

Tikslo apribojimas

(53) Asmens duomenys turėtų būti renkami konkrečiu tikslu ir tokiu būdu, kuris nebūtų nesuderinamas su jų tvarkymo tikslu.

(54) Šis principas užtikrinamas AIAĮ 3 straipsnio 1 ir 2 dalimis, pagal kurias duomenų valdytojas tiksliai ir aiškiai nurodo duomenų tvarkymo tikslą, asmens duomenis tvarko tinkamai, kaip būtina šiam tikslui pasiekti, ir nenaudoja jų kitu tikslu. Bendrasis tikslo apribojimo principas taip pat patvirtintas 15 straipsnio 1 dalyje, 18 straipsnio 1 dalyje, 19 straipsnyje, o duomenų tvarkytojų (vadinamųjų užsakomųjų paslaugų teikėjų) atžvilgiu – AIAĮ 26 straipsnio 1 dalies 1 punkte ir 5 ir 7 dalyse. Visų pirma asmens duomenys iš esmės gali būti naudojami ir teikiami trečiosioms šalims tik tuo tikslu, kuriuo jie buvo renkami (15 straipsnio 1 dalis ir 17 straipsnio 1 dalies 2 punktas). Duomenų tvarkymas suderinamu tikslu, t. y. tokiu, kuris pagrįstai susijęs su pradiniu rinkimo tikslu, gali būti atliekamas tik tuo atveju, jei tai nedaro neigiamo poveikio atitinkamiems duomenų subjektams ir jei taikomos būtinos saugumo priemonės (pavyzdžiui, šifravimas) (AIAĮ 15 straipsnio 3 dalis ir 17 straipsnio 4 dalis). Siekiant nustatyti, ar tolesnio duomenų tvarkymo tikslas yra suderinamas, naudojami AIAĮ vykdymo užtikrinimo dekrete nurodyti konkretūs kriterijai, kurie yra panašūs į tuos, kurie nustatyti Reglamento (ES) 2016/679 6 straipsnio 4 dalyje (žr. (36) konstatuojamąją dalį).

(55) Kaip paaiškinta (38) konstatuojamojoje dalyje, Korėjos duomenų valdytojams asmens duomenis gaunant iš Sąjungos jų rinkimo tikslas yra tikslas, kuriuo duomenys perduodami. Duomenų valdytojas gali keisti tikslą tik konkrečiais išimtiniais (išvardytais) atvejais (AIAĮ 18 straipsnio 2 dalies 1–3 punktai, taip pat žr. (39) konstatuojamąją dalį). Atsižvelgiant į aplinkybes, kurioms esant pagal įstatymą leidžiama keisti tikslą, tokiais įstatymais savo ruožtu turi būti gerbiama pagrindinė teisė į privatumą ir duomenų apsaugą, taip pat laikomasi Korėjos Konstitucijoje nustatytų būtinumo ir proporcingumo principų. Be to, AIAĮ 18 straipsnio 2 ir 5 dalyse numatytos papildomos apsaugos priemonės, visų pirma reikalavimas, kad atliekant tokį tikslo pakeitimą negalima nepagrįstai pažeisti duomenų subjekto interesų, todėl visada būtina suderinti interesus. Taip nustatomas apsaugos lygis, kuris yra iš esmės lygiavertis apsaugos lygiui, numatytam pagal Reglamento (ES) 2016/679 5 straipsnio 1 dalies b punktą ir 6 straipsnį kartu su 50 konstatuojamąja dalimi.

Duomenų tikslumas ir kiekio mažinimas

(56) Asmens duomenys turėtų būti tikslūs ir prireikus atnaujinami. Duomenys taip pat privalo būti tinkami, susiję ir nepertekliniai atsižvelgiant į tikslus, kuriais jie tvarkomi.

(57) Tikslumo principas panašiai pateikiamas AIAĮ 3 straipsnio 3 dalyje, kurioje reikalaujama, kad asmens duomenys būtų tikslūs, išsamūs ir atnaujinti tiek, kiek tai būtina tikslams, kuriais duomenys tvarkomi, pasiekti. Duomenų kiekio mažinimo reikalavimas nustatytas AIAĮ 3 straipsnio 1 ir 6 dalyse ir 16 straipsnio 1 dalyje, kuriose nurodyta, kad duomenų valdytojas renka asmens duomenis (tik) tiek, kiek tai būtina numatytam tikslui pasiekti, ir kad šiuo atžvilgiu jam tenka prievolė įrodyti. Jei tikslą, kuriuo duomenys renkami, įmanoma pasiekti tvarkant nuasmenintą informaciją, duomenų valdytojai turėtų stengtis taip daryti (AIAĮ 3 straipsnio 7 dalis).

Saugojimo ribojimas

(58) Iš esmės asmens duomenys turėtų būti saugomi ne ilgiau, nei reikia tikslams, kuriais asmens duomenys tvarkomi, pasiekti.

(59) Saugojimo ribojimo principas taip pat numatytas AIAĮ 21 straipsnio 1 dalyje, kurioje reikalaujama, kad duomenų valdytojas, pasiekęs duomenų tvarkymo tikslą arba pasibaigus saugojimo laikotarpiui (priklausomai nuo to, kuri data ankstesnė), nedelsdamas sunaikintų asmens duomenis, išskyrus atvejus, kai pagal įstatymą asmens duomenis reikalaujama toliau saugoti. Pastaruoju atveju atitinkami asmens duomenys saugomi ir administruojami atskirai nuo kitos asmeninės informacijos (AIAĮ 21 straipsnio 3 dalis).

(60) AIAĮ 21 straipsnio 1 dalis netaikoma, kai duomenys, kuriems suteikti pseudonimai, viešojo intereso pagrindu tvarkomi statistikos, mokslinių tyrimų ar archyvavimo tikslais. Siekiant užtikrinti duomenų saugojimo ribojimo principo taikymą ir šiuo atveju, pranešime 2021-5 reikalaujama, kad duomenų valdytojai nuasmenintų informaciją pagal AIAĮ 58-2 straipsnį, jei duomenys nebuvo sunaikinti pasiekus konkretų tvarkymo tikslą.

Duomenų saugumas

(61) Asmens duomenys turėtų būti tvarkomi taip, kad būtų užtikrintas jų saugumas, įskaitant apsaugą nuo neleistino ar neteisėto tvarkymo ir netyčinio praradimo, sunaikinimo ar sugadinimo. Todėl verslo subjektai turėtų imtis tinkamų techninių ir organizacinių priemonių, kad asmens duomenis apsaugotų nuo galimų grėsmių. Šios priemonės turėtų būti vertinamos atsižvelgiant į techninių galimybių išsivystymo lygį, susijusias sąnaudas ir duomenų tvarkymo pobūdį, aprėptį, aplinkybes ir tikslus, taip pat į asmenų teisėms kylančius pavojus.

(62) Panašus saugumo principas nustatytas AIAĮ 3 straipsnio 4 dalyje, pagal kurią reikalaujama, kad duomenų valdytojai saugiai tvarkytų asmeninę informaciją taikydami asmeninės informacijos tvarkymo metodus, rūšis ir t. t., atsižvelgdami į duomenų subjektų teisių pažeidimo galimybę ir susijusių pavojų mastą. Be to, duomenų valdytojas asmeninę informaciją tvarko taip, kad būtų kuo labiau sumažinta galimybė pažeisti duomenų subjekto privatumą, ir šiomis aplinkybėmis stengiasi asmens duomenis tvarkyti anonimiškai arba, jei įmanoma, jiems suteikdamas pseudonimus (AIAĮ 3 straipsnio 6 ir 7 dalys).

(63) Šie bendrieji reikalavimai išsamiau išdėstyti AIAĮ 29 straipsnyje, pagal kurį kiekvienas duomenų valdytojas taiko technines, valdymo ir fizines priemones, kaip antai vidaus valdymo plano parengimas, registracijos įrašų saugojimas ir kt., kurios yra būtinos siekiant užtikrinti saugumą, kaip nustatyta Prezidento dekrete, kad asmeninė informacija nebūtų prarasta, pavogta, atskleista, suklastota, pakeista ar sugadinta. AIAĮ vykdymo užtikrinimo dekreto 30 straipsnio 1 dalyje šios priemonės patikslinamos nurodant, kad turi būti: 1) parengtas ir įgyvendinamas vidaus valdymo planas saugiam asmens duomenų tvarkymui, 2) kontroliuojama ir ribojama prieiga, 3) įdiegtos šifravimo technologijos, skirtos saugiai saugoti ir perduoti asmens duomenis, 4) saugomi prisijungimo įrašai, 5) taikomos saugumo programos ir 6) fizinės priemonės, kaip antai saugaus saugojimo arba užrakinimo sistema.

(64) Be to, duomenų saugumo pažeidimo atveju taikomos specialios prievolės (AIAĮ 34 straipsnis kartu su AIAĮ vykdymo užtikrinimo dekreto 39 ir 40 straipsniais). Visų pirma duomenų valdytojas turi nedelsdamas pateikti nukentėjusiems duomenų subjektams išsamią informaciją apie pažeidimą, įskaitant informaciją apie (privalomas) atsakomąsias priemones, kurių duomenų valdytojas ėmėsi, ir apie tai, kaip duomenų subjektai galėtų kuo labiau sumažinti žalos riziką (AIAĮ 34 straipsnio 1 ir 2 dalys). Kai duomenų saugumo pažeidimas susijęs su ne mažiau kaip 1000 duomenų subjektų, duomenų valdytojas apie duomenų saugumo pažeidimą ir atsakomąsias priemones taip pat nedelsdamas praneša AIAK ir Korėjos interneto ir saugumo agentūrai, kurios gali suteikti techninę pagalbą (AIAĮ 34 straipsnio 3 dalis kartu su AIAĮ vykdymo užtikrinimo dekreto 39 straipsniu). Duomenų valdytojai atsako už žalą, padarytą dėl duomenų saugumo pažeidimų, pagal Civilinio įstatymo dėl deliktinės atsakomybės nuostatas (taip pat žr. 2.5 skirsnį dėl teisių gynimo).

(65) Vykdyti saugumo įsipareigojimus duomenų valdytojui turi padėti privatumo apsaugos pareigūnas, kurio užduotys, be kita ko, apima vidaus kontrolės sistemos sukūrimą, siekiant užkirsti kelią asmens duomenų atskleidimui, piktnaudžiavimui jais ir netinkamam jų naudojimui (AIAĮ 31 straipsnio 2 dalies 4 punktas). Be to, duomenų valdytojas privalo taikyti tinkamą kontrolę ir priežiūrą asmens duomenis tvarkantiems darbuotojams, be kita ko, siekiant užtikrinti saugų asmens duomenų valdymą, įskaitant būtiną darbuotojų mokymą (švietimą) (AIAĮ 28 straipsnio 1 ir 2 dalys). Galiausiai duomenų tvarkymo subrangos atveju duomenų valdytojas užsakomųjų paslaugų teikėjui turi taikyti reikalavimus, be kita ko, susijusius su saugiu asmens duomenų tvarkymu (techninės ir valdymo apsaugos priemonės), ir prižiūrėti, kaip jie įgyvendinami atlikdamas patikrinimus (AIAĮ 26 straipsnio 1 ir 4 dalys kartu su AIAĮ vykdymo užtikrinimo dekreto 28 straipsnio 1 dalies 3 ir 4 punktais ir 6 dalimi).

Skaidrumas

(66) Duomenų subjektai turėtų būti informuoti apie pagrindinius jų asmens duomenų tvarkymo aspektus.

(67) Korėjos sistemoje tai užtikrinama įvairiais būdais. Be teisės į informaciją pagal AIAĮ 4 straipsnio 1 dalį (apskritai) ir 20 straipsnio 1 dalį (susijusios su asmens duomenimis, surinktais iš trečiųjų šalių), taip pat teisės susipažinti su duomenimis pagal AIAĮ 35 straipsnį, AIAĮ numatytas bendras skaidrumo reikalavimas, susijęs su duomenų tvarkymo tikslu (AIAĮ 3 straipsnio 1 dalis), ir konkretūs skaidrumo reikalavimai tuo atveju, kai duomenų tvarkymas grindžiamas sutikimu (AIAĮ 15 straipsnio 2 dalis, 17 straipsnio 2 dalis ir 18 straipsnio 3 dalis). Be to, AIAĮ 20 straipsnio 2 dalyje nustatytas reikalavimas tam tikriems duomenų valdytojams (pasiekusiems atitinkamas duomenų tvarkymo ribas) pranešti duomenų subjektui, kurio asmens duomenis jie gavo iš trečiosios šalies, apie informacijos šaltinį, tvarkymo tikslą ir duomenų subjekto teisę reikalauti sustabdyti duomenų tvarkymą, nebent toks pranešimas būtų neįmanomas dėl to, kad nėra jokios kontaktinės informacijos. Išimtys taikomos tam tikroms valdžios institucijų turimoms asmens duomenų byloms, visų pirma byloms, kuriose yra duomenų, tvarkomų siekiant užtikrinti nacionalinį saugumą, apsaugoti kitus ypač svarbius nacionalinius interesus arba baudžiamosios teisėsaugos tikslais, arba kai pranešus gali kilti grėsmė kito asmens gyvybei ar fizinei sveikatai arba gali būti nepagrįstai pakenkta kito asmens turtui ir kitiems interesams, tačiau tik tais atvejais, kai atitinkami viešieji ar privatieji interesai yra akivaizdžiai viršesni už atitinkamų duomenų subjektų teises (AIAĮ 20 straipsnio 4 dalis). Todėl reikia suderinti interesus.

(68) Be to, AIAĮ 3 straipsnio 5 dalyje nustatyta, kad duomenų valdytojai viešai skelbia savo privatumo politiką (ir kitą su asmens duomenų tvarkymu susijusią informaciją). Šis reikalavimas išsamiau apibrėžtas AIAĮ 30 straipsnyje kartu su AIAĮ vykdymo užtikrinimo dekreto 31 straipsniu. Pagal šias nuostatas viešai skelbiama privatumo politika, be kita ko, turi apimti: 1) tvarkomų asmens duomenų rūšis, 2) duomenų tvarkymo tikslą, 3) saugojimo laikotarpį, 4) informaciją apie tai, ar asmens duomenys teikiami trečiajai šaliai, 5) informaciją apie bet kokią duomenų tvarkymo subrangą, 6) informaciją apie duomenų subjekto teises ir tai, kaip jomis naudotis, ir 7) kontaktinę informaciją (įskaitant privatumo apsaugos pareigūno vardą ir pavardę arba už duomenų apsaugos taisyklių laikymosi užtikrinimą ir skundų nagrinėjimą atsakingo vidaus departamento pavadinimą). Privatumo politika turi būti viešai skelbiama taip, kad duomenų subjektai ją galėtų lengvai atpažinti (AIAĮ 30 straipsnio 2 dalis), ir ji turi būti nuolat atnaujinama (AIAĮ vykdymo užtikrinimo dekreto 31 straipsnio 2 dalis).

(69) Viešosioms institucijoms taikoma papildoma pareiga AIAK pateikti visų pirma šią informaciją, kad ji ją galėtų užregistruoti: 1) viešosios institucijos pavadinimą, 2) asmens duomenų bylų tvarkymo pagrindus ir tikslus, 3) išsamią informaciją apie užregistruotus asmens duomenis, 4) informaciją apie duomenų tvarkymo būdą, 5) saugojimo laikotarpį, 6) duomenų subjektų, kurių asmens duomenys saugomi, skaičių, 7) duomenų subjekto prašymus tvarkantį departamentą ir 8) asmens duomenų gavėjus, kai duomenys teikiami reguliariai arba pakartotinai (AIAĮ 32 straipsnio 1 dalis). Užregistruotas asmens duomenų bylas AIAK skelbia viešai, o viešosios institucijos taip pat turi jas nurodyti savo privatumo politikoje (AIAĮ 30 straipsnio 1 dalis ir 32 straipsnio 4 dalis).

(70) Siekiant padidinti skaidrumą Sąjungos duomenų subjektų, kurių asmens duomenys perduodami Korėjai remiantis šiuo sprendimu, atžvilgiu, pranešimo 2021-5 (I priedas) 3 skirsnio i ir ii punktuose nustatyti papildomi skaidrumo reikalavimai. Pirma, šio sprendimo pagrindu asmens duomenis iš Sąjungos gavę Korėjos duomenų valdytojai nepagrįstai nedelsdami (ir bet kuriuo atveju ne vėliau kaip per vieną mėnesį nuo duomenų gavimo) turi pateikti atitinkamiems duomenų subjektams perduodančių ir gaunančių subjektų pavadinimus ir kontaktinius duomenis, informaciją apie perduotus asmens duomenis (arba asmens duomenų kategorijas), Korėjos duomenų valdytojo atliekamo duomenų rinkimo tikslą, saugojimo laikotarpį ir pagal AIAĮ suteikiamas teises. Antra, šio sprendimo pagrindu iš Sąjungos gautus asmens duomenis teikiant trečiosioms šalims duomenų subjektams turi būti pateikta informacija, inter alia, apie duomenų gavėją, asmens duomenis arba teiktinų asmens duomenų kategorijas, valstybę, kuriai duomenys teikiami (atitinkamais atvejais), taip pat apie pagal AIAĮ suteikiamas teises. Taip pranešimu užtikrinama, kad asmenys ES ir toliau būtų informuojami apie konkrečius jų informaciją tvarkančius duomenų valdytojus ir galėtų naudotis savo teisėmis atitinkamų subjektų atžvilgiu.

(71) Pagal pranešimo 3 skirsnio iii punktą (I priedas) leidžiama taikyti tam tikras ribotas ir sąlygines šių papildomų skaidrumo prievolių išimtis, kurios iš esmės atitinka Reglamente (ES) 2016/679 nustatytas išimtis. Visų pirma, pranešti duomenų subjektams Sąjungoje nereikalaujama: 1) tais atvejais ir tol, kol dėl tam tikrų su viešuoju interesu susijusių priežasčių (pavyzdžiui, kai informacija tvarkoma nacionalinio saugumo arba vykdomų nusikalstamų veikų tyrimų tikslais) būtina apriboti pranešimą tiek, kiek šie viešojo intereso tikslai yra akivaizdžiai viršesni už duomenų subjekto teises, 2) kai duomenų subjektas jau turi informacijos, 3) kai ir tol, kol pranešus gali kilti grėsmė asmens ar kito žmogaus gyvybei ar fizinei sveikatai arba gali būti nepagrįstai pažeisti kito žmogaus turtiniai interesai, kai tos teisės ar interesai yra akivaizdžiai viršesni už duomenų subjekto teises, arba 4) kai neturimi atitinkamų asmenų kontaktiniai duomenys arba siekiant jiems pranešti turėtų būti dedamos neproporcingai didelės pastangos. Nustatant, ar įmanoma susisiekti su duomenų subjektu ir ar dėl to reikia dėti pernelyg daug pastangų, atsižvelgiama į galimybę bendradarbiauti su duomenų eksportuotoju Sąjungoje.

(72) Todėl, kiek tai susiję su skaidrumu, (67)–(71) konstatuojamosiose dalyse išdėstytomis taisyklėmis užtikrinamas iš esmės lygiavertis apsaugos lygis numatytam Reglamente (ES) 2016/679.

Asmens teisės

(73) Duomenų subjektai turėtų turėti tam tikras teises, kurias būtų galima įgyvendinti duomenų valdytojo arba duomenų tvarkytojo atžvilgiu, visų pirma teisę susipažinti su duomenimis, teisę reikalauti ištaisyti duomenis, teisę nesutikti su duomenų tvarkymu ir teisę reikalauti ištrinti duomenis. Tokios teisės taip pat gali būti ribojamos, jei šie apribojimai yra būtini ir proporcingi siekiant apsaugoti svarbius bendro viešojo intereso tikslus.

(74) Pagal AIAĮ 3 straipsnio 5 dalį duomenų valdytojas užtikrina AIAĮ 4 straipsnyje išvardytas ir AIAĮ 35–37, 39 ir 39-2 straipsniuose išsamiau išdėstytas duomenų subjekto teises.

(75) Pirma, asmenys turi teisę į informaciją ir teisę susipažinti su ja. Kai duomenų valdytojas surenka asmens duomenis iš trečiosios šalies (o taip bus visada tuo atveju, kai duomenys perduodami iš Sąjungos), duomenų subjektai paprastai turi teisę gauti informaciją apie 1) surinktų asmens duomenų šaltinį (t. y. duomenų perdavėją), 2) duomenų tvarkymo tikslą ir 3) tai, kad duomenų subjektas turi teisę reikalauti sustabdyti duomenų tvarkymą (AIAĮ 20 straipsnio 1 dalis). Taikomos ribotos išimtys, t. y. kai pranešus gali kilti grėsmė kito asmens gyvybei ar fizinei sveikatai arba gali būti nepagrįstai pakenkta kito asmens turtui ir kitiems interesams, tačiau tik tais atvejais, kai šie trečiųjų šalių interesai yra aiškiai viršesni už duomenų subjekto teises (AIAĮ 20 straipsnio 4 dalies 2 punktas).

(76) Be to, AIAĮ 35 straipsnio 1 ir 3 dalyse kartu su AIAĮ vykdymo užtikrinimo dekreto 41 straipsnio 4 dalimi duomenų subjektams suteikiama teisė susipažinti su savo asmenine informacija. Teisė susipažinti su duomenimis taikoma duomenų tvarkymo patvirtinimui, informacijai apie tvarkomų duomenų rūšį, tvarkymo tikslą, saugojimo laikotarpį, taip pat informacijai apie bet kokį informacijos atskleidimą trečiajai šaliai ir tvarkomos asmeninės informacijos kopijos pateikimą (AIAĮ 4 straipsnio 3 dalis kartu su AIAĮ vykdymo užtikrinimo dekreto 41 straipsnio 1 dalimi). Galimybė susipažinti su duomenimis gali būti ribojama (dalinis susipažinimas su duomenimis) arba nesuteikiama tik tada, kai tai numatyta įstatyme, kai tai gali kelti grėsmę trečiosios šalies gyvybei ar fizinei sveikatai arba nepagrįstai pažeisti kito asmens turtinius ir kitus interesus (AIAĮ 35 straipsnio 4 dalis). Tai reiškia, kad turėtų būti derinamos asmens ir kitų asmenų Konstitucijoje nustatytos teisės ir laisvės. Kai galimybė susipažinti su duomenimis ribojama arba nesuteikiama, duomenų valdytojas privalo informuoti duomenų subjektą apie tokio sprendimo pagrindus ir pateikti informaciją apie tai, kaip tokį sprendimą galima apskųsti (AIAĮ vykdymo užtikrinimo dekreto 41 straipsnio 5 dalis ir 42 straipsnio 2 dalis).

(77) Antra, duomenų subjektai turi teisę reikalauti, kad jų asmens duomenys būtų ištaisyti arba ištrinti, išskyrus atvejus, kai kituose įstatymuose konkrečiai numatyta kitaip (AIAĮ 36 straipsnio 1 ir 2 dalys). Gavęs prašymą, duomenų valdytojas turi nedelsdamas ištirti atvejį, imtis būtinų priemonių ir apie tai pranešti duomenų subjektui per 10 dienų. Kai prašymas negali būti patenkintas, į reikalavimą pranešti įtraukiama atsisakymo priežastis ir informacija apie tai, kaip pateikti skundą (žr. AIAĮ 36 straipsnio 4 dalį kartu su AIAĮ vykdymo užtikrinimo dekreto 43 straipsnio 3 dalimi).

(78) Galiausiai duomenų subjektai turi teisę į tai, kad būtų nedelsiant sustabdytas jų asmens duomenų tvarkymas, išskyrus atvejus, kai taikoma viena iš išvardytų išimčių (AIAĮ 37 straipsnio 1 ir 2 dalys). Duomenų valdytojas gali atmesti prašymą sustabdyti duomenų tvarkymą: 1) kai tai konkrečiai leidžiama pagal įstatymą arba būtina (neišvengiama) siekiant vykdyti teisines prievoles, 2) kai dėl sustabdymo gali kilti grėsmė trečiosios šalies gyvybei ar fizinei sveikatai arba gali būti nepagrįstai pažeidžiami kito asmens turtiniai ir kiti interesai, 3) kai netvarkydama informacijos viešoji institucija negalėtų vykdyti savo funkcijos, kaip nustatyta teisės aktuose, arba 4) kai duomenų subjektas aiškiai nenutraukia pagrindinės sutarties su duomenų valdytoju, net jei vykdyti sutartį be tokio duomenų tvarkymo būtų neįmanoma. Šiuo atveju duomenų valdytojas turi nedelsdamas informuoti duomenų subjektą apie prašymo atmetimo priežastis ir pateikti informaciją apie tai, kaip sprendimą galima apskųsti (AIAĮ 37 straipsnio 2 dalis kartu su AIAĮ vykdymo užtikrinimo dekreto 44 straipsnio 2 dalimi). Pagal AIAĮ 37 straipsnio 4 dalį duomenų valdytojas, vykdydamas prašymą sustabdyti duomenų tvarkymą, turi nedelsdamas imtis būtinų priemonių, įskaitant atitinkamos asmeninės informacijos sunaikinimą.

(79) Teisė sustabdyti duomenų tvarkymą taip pat taikoma tais atvejais, kai asmens duomenys naudojami tiesioginės rinkodaros tikslais, t. y. siekiant reklamuoti prekes ar paslaugas arba siūlyti jas pirkti. Be to, tokiam tolesniam duomenų tvarkymui paprastai reikalingas konkretus (papildomas) duomenų subjekto sutikimas (žr. AIAĮ 15 straipsnio 1 dalies 1 punktą ir 17 straipsnio 2 dalies 1 punktą). Prašydamas šio sutikimo, duomenų valdytojas visų pirma privalo informuoti duomenų subjektą apie numatomą duomenų naudojimą tiesioginės rinkodaros tikslais (t. y. apie tai, kad su juo gali būti susisiekta siekiant reklamuoti prekes ar paslaugas arba siūlyti jas pirkti), tokiu būdu, kad informavimas būtų aiškiai atpažįstamas (AIAĮ 22 straipsnio 2 ir 4 dalys kartu su AIAĮ vykdymo užtikrinimo dekreto 17 straipsnio 2 dalies 1 punktu).

(80) Kad asmenims būtų sudarytos palankesnės sąlygos naudotis savo teisėmis, duomenų valdytojas turi nustatyti specialias procedūras ir jas viešai paskelbti (AIAĮ 38 straipsnio 4 dalis). Tai apima procedūras, skirtas prieštaravimams dėl prašymo atmetimo pareikšti (AIAĮ 38 straipsnio 5 dalis). Duomenų valdytojas turi užtikrinti, kad procedūra, kuria sudaromos sąlygos naudotis teisėmis, būtų patogi duomenų subjektams ir nebūtų sudėtingesnė nei renkant asmens duomenis taikoma procedūra, taip pat vykdyti pareigą pateikti informaciją apie procedūrą savo interneto svetainėje (AIAĮ vykdymo užtikrinimo dekreto 41 straipsnio 2 dalis, 43 straipsnio 1 dalis ir 44 straipsnio 1 dalis). Asmenys gali įgalioti atstovą pateikti tokį prašymą (AIAĮ 38 straipsnio 1 dalis kartu su AIAĮ vykdymo užtikrinimo dekreto 45 straipsniu). Duomenų valdytojas turi teisę reikalauti padengti mokestį (ir, jei asmens duomenų kopijas prašoma atsiųsti, pašto išlaidas), bet jo suma turi būti nustatyta atsižvelgiant į faktines [prašymo] tvarkymo išlaidas. Reikalauti padengti mokestį (arba pašto išlaidas) negalima, jei prašymas teikiamas dėl duomenų valdytojo kaltės (AIAĮ 38 straipsnio 3 dalis kartu su AIAĮ vykdymo užtikrinimo dekreto 47 straipsniu).

(81) AIAĮ ir jo Vykdymo užtikrinimo dekrete nėra bendrųjų nuostatų, susijusių su sprendimais, turinčiais pasekmių duomenų subjektui ir grindžiamais tik automatizuotu asmens duomenų tvarkymu. Tačiau asmens duomenų, surinktų Sąjungoje, atveju bet kokį automatizuotu duomenų tvarkymu grindžiamą sprendimą paprastai priims duomenų valdytojas Sąjungoje (kuris turi tiesioginį ryšį su atitinkamu duomenų subjektu), todėl jų tvarkymui taikomas Reglamentas (ES) 2016/679. Tai apima perdavimo atvejus, kai duomenis tvarko užsienio valstybės (pavyzdžiui, Korėjos) verslo subjektas, veikiantis kaip ES duomenų valdytojo atstovas (duomenų tvarkytojas) (arba kaip pagalbinis duomenų tvarkytojas, veikiantis ES duomenų tvarkytojo, gavusio duomenis iš ES duomenų valdytojo, kuris juos surinko, vardu), todėl šiuo pagrindu sprendimą priima ES duomenų valdytojas. Todėl mažai tikėtina, kad tai, jog AIAĮ nėra konkrečių automatizuoto sprendimų priėmimo taisyklių, turės įtakos pagal sprendimą perduotų asmens duomenų apsaugos lygiui.

(82) Išimties tvarka nuostatos dėl skaidrumo įgyvendinant prašymų teikimo (20 straipsnis) ir asmens teises (35–37 straipsniai), taip pat informacijos ir ryšių paslaugų teikėjams taikomas individualaus pranešimo reikalavimas (AIAĮ 39-8 straipsnis) netaikomi, jei tai susiję su informacija, kuriai suteikti pseudonimai, ir ji viešojo intereso pagrindu tvarkoma statistikos, mokslinių tyrimų ar archyvavimo tikslu (AIAĮ 28-7 straipsnis). Laikantis Reglamento (ES) 2016/679 11 straipsnio 2 dalies (kartu su 57 konstatuojamąja dalimi) požiūrio, tai pateisinama tuo, kad, siekdamas užtikrinti skaidrumą arba suteikti individualias teises, duomenų valdytojas turėtų nustatyti, ar (o jei taip, kurie) duomenys yra susiję su prašymą teikiančiu asmeniu, o tai aiškiai draudžiama pagal AIAĮ (AIAĮ 28-5 straipsnio 1 dalis). Be to, kai toks reidentifikavimas apima viso duomenų rinkinio (kuriam suteikti pseudonimai) pseudonimų panaikinimą, visų kitų susijusių asmenų asmeninei informacijai kiltų didesnė rizika. Reglamente (ES) 2016/679 nurodomi atvejai, kai duomenų reidentifikavimas praktiškai neįmanomas, tačiau AIAĮ laikomasi griežtesnio požiūrio aiškiai uždraudžiant reidentifikuoti duomenis visais atvejais, kai tvarkoma informacija, kuriai suteikti pseudonimai.

(83) Todėl, kaip aprašyta (74)–(82) konstatuojamosiose dalyse, Korėjos sistemoje nustatytos su duomenų subjektų teisėmis susijusios taisyklės, kuriomis užtikrinamas iš esmės toks pat apsaugos lygis, koks nustatytas pagal Reglamentą (ES) 2016/679.

Tolesnis perdavimas

(84) Asmens duomenims, perduodamiems iš Sąjungos duomenų valdytojams Korėjoje, užtikrinamas apsaugos lygis neturėtų sumažėti tokius duomenis toliau perduodant gavėjams trečiojoje valstybėje.

(85) Korėjos duomenų valdytojo atžvilgiu tokie tolesni pervedimai yra tarptautiniai pervedimai iš Korėjos Respublikos. Šiuo atžvilgiu AIAĮ atskiria duomenų tvarkymo perdavimą užsakomųjų paslaugų teikėjui (t. y. duomenų tvarkytojui) ir asmens duomenų teikimą trečiosioms šalims.

(86) Pirma, kai asmens duomenų tvarkymas perduodamas trečiojoje valstybėje esančiam subjektui, Korėjos duomenų valdytojas turi užtikrinti, kad būtų laikomasi AIAĮ nuostatų dėl užsakomųjų paslaugų (AIAĮ 26 straipsnis). Tai apima teisiškai privalomos priemonės (kuria, be kita ko, užsakomųjų paslaugų teikėjo atliekamas duomenų tvarkymas apribojamas tik duomenų tvarkymu užsakomojo darbo tikslu, nustatomos techninės ir valdymo apsaugos priemonės ir apribojimai, susiję su duomenų tvarkymo subranga (žr. AIAĮ 26 straipsnio 1 dalį)) taikymą ir informacijos apie užsakomąjį darbą skelbimą. Duomenų valdytojas taip pat privalo mokyti užsakomųjų paslaugų teikėją, kaip imtis būtinų saugumo priemonių, ir jį prižiūrėti, be kita ko, tikrinant, ar užsakomųjų paslaugų teikėjas laikosi visų duomenų valdytojo įsipareigojimų pagal AIAĮ ir įsipareigojimų pagal užsakomųjų paslaugų sutartį.

(87) Jeigu asmens duomenis tvarkantis užsakomųjų paslaugų teikėjas pažeidęs AIAĮ padaro žalą, atsakomybė už ją priskiriama duomenų valdytojui, taip pat kaip ir duomenų valdytojo darbuotojo padarytos žalos atveju (AIAĮ 26 straipsnio 6 dalis). Todėl Korėjos duomenų valdytojas lieka atsakingas už asmens duomenis, kurie buvo perduoti su tikslu gauti užsakomąsias paslaugas, ir privalo užtikrinti, kad užsienio valstybės duomenų tvarkytojas informaciją tvarkytų vadovaudamasis AIAĮ. Jeigu užsakomųjų paslaugų teikėjas tvarko informaciją pažeisdamas AIAĮ, Korėjos duomenų valdytojas gali būti laikomas atsakingu už savo prievolės užtikrinti, kad būtų laikomasi AIAĮ, pavyzdžiui, vykdant užsakomųjų paslaugų teikėjo priežiūrą, nevykdymą. Užsakomųjų paslaugų sutartyje numatytomis apsaugos priemonėmis ir Korėjos duomenų valdytojo atsakomybe už užsakomųjų paslaugų teikėjo veiksmus užtikrinamas apsaugos tęstinumas, kai asmens duomenys tvarkomi ne Korėjoje esančio užsakomųjų paslaugų teikėjo.

(88) Antra, Korėjos duomenų valdytojai gali teikti asmens duomenis ne Korėjoje esančiai trečiajai šaliai. Nors AIAĮ yra numatyta keletas teisinių pagrindų, kuriais remiantis apskritai leidžiama pateikti duomenis trečiosioms šalims, jei trečioji šalis yra ne Korėjoje, iš esmės duomenų valdytojas turi gauti duomenų subjekto sutikimą jam pateikęs informaciją apie: 1) asmens duomenų rūšį, 2) asmens duomenų gavėją, 3) duomenų perdavimo tikslą, t. y. gavėjo siekiamą duomenų tvarkymo tikslą, 4) laikotarpį, kurį duomenų gavėjas duomenis saugo duomenų tvarkymo tikslu, ir 5) tai, kad duomenų subjektas gali atsisakyti duoti sutikimą (AIAĮ 17 straipsnio 2 ir 3 dalys). Pranešimo 2021-5 skirsnyje dėl skaidrumo (žr. (70) konstatuojamąją dalį) reikalaujama, kad asmenys būtų informuojami apie trečiąją valstybę, į kurią bus teikiami jų duomenys. Taip užtikrinama, kad duomenų subjektai Sąjungoje galėtų priimti visapusiškai informacija pagrįstą sprendimą dėl to, ar sutikti su nuostata dėl informacijos teikimo užsienio valstybių trečiosioms šalims. Be to, duomenų valdytojas negali sudaryti sutarties su trečiąja šalimi (gavėju), jei taip pažeidžiamas AIAĮ, o tai reiškia, kad sutartyje negali būti numatyta prievolių, kuriomis prieštaraujama duomenų valdytojui AIAĮ nustatytiems reikalavimams.

(89) Be asmens sutikimo asmens duomenys trečiajai šaliai (užsienio valstybėje) gali būti teikiami, kai atskleidimo tikslas yra pakankamai susijęs su pradiniu rinkimo tikslu (AIAĮ 17 straipsnio 4 dalis, žr. (36) konstatuojamąją dalį). Tačiau spręsdamas, ar atskleisti asmens duomenis susijusiu tikslu, duomenų valdytojas turi atsižvelgti į tai, ar dėl atskleidimo asmuo patiria nepatogumų ir ar imtasi būtinų saugumo priemonių (pavyzdžiui, šifravimo). Atsižvelgiant į tai, kad trečioji valstybė, į kurią perduodami asmens duomenys, negali suteikti apsaugos, panašios į apsaugą, numatytą pagal AIAĮ, pranešimo 2021-5 2 skirsnyje pripažįstama, kad tokių nepatogumų gali kilti ir jų galima išvengti tik tuo atveju, jei Korėjos duomenų valdytojas ir užsienio valstybės duomenų gavėjas teisiškai įpareigojančia priemone (pavyzdžiui, sutartimi) užtikrina tokį apsaugos lygį, kuris būtų lygiavertis nustatytam AIAĮ, be kita ko, duomenų subjektų teisių atžvilgiu.

(90) Specialios taisyklės taikomos atskleidimui kitu tikslu, t. y. duomenų teikimui trečiajai šaliai nauju (nesusijusiu) tikslu, ir toks atskleidimas gali būti atliekamas tik remiantis vienu iš AIAĮ 18 straipsnio 2 dalyje nurodytų pagrindų, kaip aprašyta (39) konstatuojamojoje dalyje. Tačiau net taikant tokias sąlygas duomenų teikimas trečiajai šaliai neleidžiamas, jei yra tikėtina, kad bus nepagrįstai pažeisti duomenų subjekto arba trečiosios šalies interesai, o tam reikalinga suderinti interesus. Be to, pagal AIAĮ 18 straipsnio 5 dalį duomenų valdytojas turi taikyti papildomas apsaugos priemones, įskaitant galimybę reikalauti, kad trečioji šalis apribotų duomenų tvarkymo tikslą ir būdą, arba nustatyti specialias saugumo priemones. Vėlgi atsižvelgiant į tai, kad trečioji valstybė, į kurią perduodami asmens duomenys, negali suteikti apsaugos, panašios į apsaugą, numatytą pagal AIAĮ, pranešimo 2021-5 2 skirsnyje pripažįstama, kad toks asmens arba trečiosios šalies interesų nepagrįstas pažeidimas gali įvykti ir jo galima išvengti tik tuo atveju, jei Korėjos duomenų valdytojas ir užsienio valstybės duomenų gavėjas teisiškai įpareigojančia priemone (pavyzdžiui, sutartimi) užtikrina tokį apsaugos lygį, kuris būtų lygiavertis nustatytam AIAĮ, be kita ko, duomenų subjektų teisių atžvilgiu.

(91) Todėl kai asmens duomenys iš Korėjos Respublikos perduodami toliau (užsakomųjų paslaugų teikėjui arba trečiajai šaliai), (86)–(90) konstatuojamosiose dalyse išdėstytomis taisyklėmis užtikrinamas apsaugos tęstinumas, kuris iš esmės atitinka apsaugą, numatytą pagal Reglamentą (ES) 2016/679.

Atskaitomybė

(92) Pagal atskaitomybės principą duomenis tvarkantys subjektai privalo nustatyti tinkamas technines ir organizacines priemones, kad veiksmingai laikytųsi savo duomenų apsaugos prievolių ir galėtų įrodyti (visų pirma kompetentingai priežiūros institucijai), kad jų laikosi.

(93) Pagal AIAĮ 3 straipsnio 6 ir 8 dalis duomenų valdytojas turi tvarkyti asmens duomenis taip, kad būtų sumažinta galimybė pažeisti duomenų subjekto privatumą, ir stengiasi pelnyti duomenų subjekto pasitikėjimą atsižvelgdamas į tokias pareigas ir užduotis ir jas vykdydamas, kaip numatyta AIAĮ ir kituose įstatymuose. Tai apima vidaus valdymo plano parengimą (AIAĮ 29 straipsnis), taip pat tinkamą darbuotojų mokymą ir priežiūrą (AIAĮ 28 straipsnis).

(94) Siekiant užtikrinti atskaitomybę, AIAĮ 31 straipsniu kartu su AIAĮ vykdymo užtikrinimo dekreto 32 straipsniu duomenų valdytojai įpareigojami paskirti privatumo apsaugos pareigūną, kuris visapusiškai prisiima atsakomybę už asmeninės informacijos tvarkymą. Visų pirma tokiam privatumo apsaugos pareigūnui pavedama atlikti šias funkcijas: 1) parengti ir įgyvendinti asmens duomenų apsaugos planą ir parengti privatumo politiką, 2) reguliariai atlikti asmens duomenų tvarkymo būklės ir praktikos tyrimus, siekiant pašalinti trūkumus, 3) nagrinėti skundus ir skirti žalos atlyginimo kompensacijas, 4) sukurti vidaus kontrolės sistemą, skirtą užkirsti kelią asmens duomenų atskleidimui, piktnaudžiavimui jais ar netinkamam jų naudojimui, 5) parengti ir įgyvendinti mokymo programą, 6) įgyvendinti asmens duomenų bylų apsaugą, kontrolę ir valdymą ir 7) sunaikinti asmens duomenis pasiekus tvarkymo tikslą arba pasibaigus saugojimo laikotarpiui. Vykdydamas šias pareigas privatumo apsaugos pareigūnas gali tikrinti asmens duomenų tvarkymo ir susijusių sistemų būklę ir prašyti apie juos informacijos (AIAĮ 31 straipsnio 3 dalis). Jei privatumo apsaugos pareigūnas sužino apie bet kokį AIAĮ ar kitų atitinkamų duomenų apsaugos įstatymų pažeidimą, jis nedelsdamas imasi taisomųjų veiksmų ir prireikus apie tokius veiksmus praneša duomenų valdytojo vadovybei (vadovui) (AIAĮ 31 straipsnio 4 dalis). Pagal AIAĮ 31 straipsnio 5 dalį privatumo apsaugos pareigūnas dėl šių funkcijų vykdymo neturi patirti nepagrįstų nepatogumų.

(95) Be to, duomenų valdytojai turi aktyviai stengtis atlikti poveikio privatumui vertinimą tuo atveju, kai naudojant asmens duomenų bylas kyla pavojus privatumui (AIAĮ 33 straipsnio 8 dalis). Remiantis AIAĮ 33 straipsnio 1 ir 2 dalimis kartu su AIAĮ vykdymo užtikrinimo dekreto 35, 36 ir 38 straipsniais, vertinant duomenų subjektų teisėms kylančios rizikos laipsnį bus svarbūs tokie veiksniai kaip tvarkomų duomenų rūšis ir pobūdis (visų pirma, ar tai neskelbtina informacija), jų apimtis, saugojimo laikotarpis ir duomenų saugumo pažeidimų tikimybė. Poveikio privatumui vertinimo tikslas – užtikrinti, kad būtų analizuojami su privatumu susiję rizikos veiksniai, taip pat saugumo ar kitos atsakomosios priemonės, ir nurodytos tobulintinos sritys (žr. AIAĮ 33 straipsnio 1 dalį kartu su AIAĮ vykdymo užtikrinimo dekreto 38 straipsniu).

(96) Tvarkydamos tam tikras asmens duomenų bylas, kurių atžvilgiu kyla didesnė galimų privatumo pažeidimų rizika, viešosios institucijos privalo atlikti poveikio vertinimą (AIAĮ 33 straipsnio 1 dalis). Pagal AIAĮ vykdymo užtikrinimo dekreto 35 straipsnį tai taikoma, be kita ko, byloms, kuriose yra neskelbtinos informacijos apie ne mažiau kaip 50000 duomenų subjektų, byloms, kurios bus sujungtos su kitomis bylomis ir dėl to jose bus informacijos apie ne mažiau kaip 500000 duomenų subjektų, arba byloms, kuriose yra informacijos apie ne mažiau kaip vieną milijoną duomenų subjektų. Apie viešosios institucijos atlikto poveikio vertinimo rezultatus turi būti pranešta AIAK (AIAĮ 33 straipsnio 1 dalis), kuri gali pateikti savo nuomonę (AIAĮ 33 straipsnio 3 dalis).

(97) Galiausiai AIAĮ 13 straipsnyje nustatyta, kad AIAK nustato politiką, būtiną duomenų valdytojų savarankiškai reguliuojamai duomenų apsaugos veiklai skatinti ir remti, be kita ko, šviečiant duomenų apsaugos klausimais, skatinant ir remiant duomenų apsaugą vykdančias organizacijas ir padedant duomenų valdytojams nustatyti ir įgyvendinti savarankiško reguliavimo taisykles. Be to, ji įdiegia ePRIVACY vertinimo sistemą ir palengvina jos taikymą. Šiuo atžvilgiu AIAĮ 32-2 straipsnyje kartu su AIAĮ vykdymo užtikrinimo dekreto 34-2–34-8 straipsniais numatyta galimybė suteikti sertifikatą, kuriuo patvirtinama, kad duomenų valdytojo asmens duomenų tvarkymo ir apsaugos sistema (-os) atitinka AIAĮ reikalavimus. Remiantis šiomis taisyklėmis, sertifikatas gali būti suteiktas (3 metų laikotarpiui), jei duomenų valdytojas atitinka AIAK nustatytus sertifikavimo kriterijus, įskaitant valdymo, techninių ir fizinių apsaugos priemonių taikymo asmens duomenims apsaugoti kriterijų. Kad būtų išlaikytas sertifikato patikimumas, AIAK bent kartą per metus turi patikrinti su sertifikatu susijusias duomenų valdytojo sistemas, todėl sertifikatas gali būti atšauktas (AIAĮ 32 straipsnio 4 dalis kartu su AIAĮ vykdymo užtikrinimo dekreto 34-5 straipsniu; vadinamasis tęstinis valdymas).

(98) Todėl Korėjos sistemoje atskaitomybės principas įgyvendinamas taip, kad būtų užtikrintas iš esmės toks pat apsaugos lygis, koks užtikrinamas pagal Reglamentą (ES) 2016/679, be kita ko, numatant įvairius mechanizmus, kuriais užtikrinama ir įrodoma, kad laikomasi AIAĮ.

Specialios taisyklės dėl asmeninės kredito informacijos tvarkymo

(99) Kaip aprašyta (13) konstatuojamojoje dalyje, KIĮ nustatytos specialios taisyklės, kuriomis vadovaudamiesi komercinės veiklos vykdytojai tvarko asmeninę kredito informaciją. Todėl tvarkydami asmeninę kredito informaciją komercinės veiklos vykdytojai turi laikytis AIAĮ bendrųjų reikalavimų, išskyrus atvejus, kai KIĮ nustatytos konkretesnės taisyklės. Taip bus, pavyzdžiui, komercinio sandorio su asmeniu metu jiems tvarkant informaciją, susijusią su kredito kortele arba banko sąskaita. KIĮ, kaip sektorių teisės aktu dėl kredito informacijos (tiek asmeninės, tiek neasmeninės) tvarkymo, nustatomos ne tik konkrečios duomenų apsaugos priemonės (pavyzdžiui, dėl skaidrumo ir saugumo), bet ir apskritai reglamentuojamos konkrečios aplinkybės, kurioms esant gali būti tvarkoma asmeninė kredito informacija. Tai visų pirma atspindėta išsamiuose tokių duomenų naudojimo, teikimo trečiajai šaliai ir saugojimo reikalavimuose.

(100) Kaip ir AIAĮ, KIĮ nustatyti teisėtumo ir proporcingumo principai. Pirma, KIĮ 15 straipsnio 1 dalyje numatytas bendras reikalavimas, kad asmeninę kredito informaciją galima rinkti tik pagrįstomis ir sąžiningomis priemonėmis ir tik tokį jos kiekį, koks yra būtinas konkrečiam tikslui pasiekti pagal AIAĮ 3 straipsnio 1 ir 2 dalis. Antra, KIĮ konkrečiai reglamentuojamas asmeninės kredito informacijos tvarkymo teisėtumas apribojant jos rinkimą, naudojimą bei teikimą trečiajai šaliai ir paprastai susiejant šią duomenų tvarkymo veiklą su atitinkamo asmens sutikimo reikalavimu.

(101) Asmeninė kredito informacija gali būti renkama remiantis vienu iš AIAĮ nurodytų pagrindų arba KIĮ nurodytais specialiais pagrindais. Atsižvelgiant į tai, kad Reglamento (ES) 2016/679 45 straipsnyje suponuojama, kad asmens duomenis perduoda duomenų valdytojas arba duomenų tvarkytojas Sąjungoje, tačiau jis neapima duomenų valdytojo Korėjoje vykdomo tiesioginio duomenų rinkimo (pvz., iš asmens arba interneto svetainės), šio sprendimo atžvilgiu svarbus tik sutikimas ir AIAĮ nustatyti duomenų rinkimo pagrindai. Šie pagrindai visų pirma apima atvejus, kai perdavimas yra būtinas sutarčiai su asmeniu įvykdyti arba dėl Korėjos duomenų valdytojo teisėtų interesų (AIAĮ 15 straipsnio 1 dalies 4 ir 6 punktai).

(102) Surinkta asmeninė kredito informacija gali būti naudojama 1) siekiant pradinio tikslo, kuriuo asmuo ją (tiesiogiai) pateikė, 2) siekiant tikslo, suderinamo su pradiniu duomenų rinkimo tikslu, 3) siekiant nustatyti, ar užmegzti arba palaikyti komercinius santykius, dėl kurių asmuo kreipėsi, 4) viešojo intereso pagrindu statistikos, mokslinių tyrimų ir archyvavimo tikslais, jei informacijai yra suteikti pseudonimai, 5) jei gautas papildomas sutikimas arba 6) pagal įstatymą.

(103) Jeigu komercinės veiklos vykdytojas ketina atskleisti asmeninę kredito informaciją trečiajai šaliai, jis turi gauti asmens sutikimą prieš tai suteikęs asmeniui informaciją apie duomenų gavėją, duomenų gavėjo tvarkymo tikslą, teiktinų duomenų ypatybes, duomenų gavėjo duomenų saugojimo laikotarpį ir teisę atsisakyti duoti sutikimą (KIĮ 32 straipsnio 1 dalis ir KIĮ vykdymo užtikrinimo dekreto 28 straipsnio 2 dalis). Šis sutikimo reikalavimas netaikomas konkrečiais atvejais, t. y. kai asmeninė kredito informacija atskleidžiama: 1) užsakomųjų paslaugų teikėjui užsakomųjų paslaugų teikimo tikslu, 2) trečiajai šaliai verslo perdavimo, skaidymo arba jungimo atveju, 3) viešojo intereso pagrindu statistikos, mokslinių tyrimų ir archyvavimo tikslais, kai informacijai yra suteikti pseudonimai, 4) siekiant tikslo, suderinamo su pradiniu duomenų rinkimo tikslu, 5) trečiajai šaliai, kuri naudoja informaciją asmens skolai susigrąžinti, 6) siekiant vykdyti teismo nutartį, 7) prokurorui ir (arba) teismo policijos pareigūnui ekstremaliosios situacijos atveju, kai gresia pavojus asmens gyvybei arba tikėtina, kad jis patirs kūno sužalojimą, ir nėra laiko išduoti teismo orderį, 8) kompetentingoms mokesčių institucijoms siekiant laikytis mokesčių įstatymų arba 9) vadovaujantis kitais įstatymais. Jeigu informacija atskleidžiama remiantis vienu iš šių pagrindų, duomenų subjektui apie tai turi būti pranešta iš anksto (KIĮ 32 straipsnio 7 dalis).

(104) KIĮ taip pat konkrečiai reglamentuojama asmeninės kredito informacijos tvarkymo, remiantis vienu iš tų naudojimo ar pateikimo trečiajai šaliai pagrindų, trukmė pasibaigus komerciniams santykiams su asmeniu. Gali būti saugoma tik ta informacija, kuri buvo būtina šiems santykiams užmegzti arba išlaikyti, taikant papildomas apsaugos priemones (ji turi būti saugoma atskirai nuo kredito informacijos, susijusios su asmenimis, su kuriais palaikomi komerciniai santykiai, apsaugota taikant specialias saugumo priemones ir prieinama tik įgaliotiems asmenims). Visi kiti duomenys turi būti ištrinti (KIĮ vykdymo užtikrinimo dekreto 17-2 straipsnio 1 dalies 2 punktas). Siekiant nustatyti, kurie duomenys buvo reikalingi komerciniams santykiams įgyvendinti, reikia atsižvelgti į įvairius veiksnius, įskaitant tai, ar būtų buvę įmanoma užmegzti santykius neturint šių duomenų ir ar jie tiesiogiai susiję su asmeniui teiktomis prekėmis ar paslaugomis (KIĮ vykdymo užtikrinimo dekreto 17-2 straipsnio 2 dalis).

(105) Tais atvejais, kai asmeninė kredito informacija iš esmės galėtų būti saugoma pasibaigus komerciniams santykiams, ji vis tiek turėtų būti ištrinta per tris mėnesius nuo tada, kai buvo pasiektas tolesnis duomenų tvarkymo tikslas, arba bet kuriuo atveju po penkerių metų (KIĮ 20-2 straipsnis). Tam tikromis aplinkybėmis asmeninė kredito informacija gali būti saugoma ilgiau nei penkerius metus, visų pirma tais atvejais, kai tai būtina siekiant įvykdyti teisinę prievolę, kai tai būtina siekiant patenkinti gyvybiškai svarbius asmens gyvybės išsaugojimo, fizinius ar turtinius interesus, kai reikia archyvuoti informaciją, kuriai suteikti pseudonimai (kuri viešojo intereso pagrindu buvo naudojama mokslinių tyrimų, statistikos ar archyvavimo tikslais), arba kai informacija saugoma draudimo tikslais (visų pirma draudimo mokėjimų atveju arba siekiant užkirsti kelią sukčiavimui draudimo srityje). Šiais išimtiniais atvejais taikomos specialios apsaugos priemonės (kaip antai pranešimas asmeniui apie tolesnį naudojimą, saugomos informacijos atskyrimas nuo informacijos, susijusios su asmenimis, su kuriais vis dar palaikomi komerciniai santykiai, prieigos teisių apribojimas, žr. KIĮ vykdymo užtikrinimo dekreto 17-2 straipsnio 1–2 dalis).

(106) KIĮ taip pat patikslinami tikslumo ir duomenų kokybės principai, reikalaujant, kad asmeninė kredito informacija būtų registruojama, keičiama ir tvarkoma taip, kad ji išliktų tiksli ir aktuali (KIĮ 18 straipsnio 1 dalis ir KIĮ vykdymo užtikrinimo dekreto 15 straipsnio 3 dalis). Komercinės veiklos vykdytojams kredito informaciją teikiant tam tikriems kitiems subjektams (kaip antai kredito reitingų agentūroms) jiems taikoma konkreti prievolė patikrinti informacijos tikslumą, siekiant užtikrinti, kad gavėjas užregistruotų ir tvarkytų tik tikslią informaciją (KIĮ vykdymo užtikrinimo dekreto 15 straipsnio 1 dalis kartu su KIĮ 18 straipsnio 1 dalimi). Apskritai KIĮ reikalaujama saugoti įrašus apie asmeninės kredito informacijos rinkimą, naudojimą, atskleidimą trečiosioms šalims ir sunaikinimą (KIĮ 20 straipsnio 2 dalis).

(107) Be to, asmeninės kredito informacijos tvarkymui taikomi specialūs duomenų saugumo reikalavimai. Visų pirma KIĮ reikalaujama įgyvendinti technologines, fizines ir organizacines priemones, kuriomis būtų užkirstas kelias neteisėtai prieigai prie kompiuterinių sistemų, taip pat tvarkomų duomenų keitimui, sunaikinimui ar kitokiam duomenims kylančiam pavojui (pavyzdžiui, taikant prieigos kontrolę, žr. KIĮ 19 straipsnį ir KIĮ vykdymo užtikrinimo dekreto 16 straipsnį). Be to, asmenine kredito informacija keičiantis su trečiąja šalimi turi būti sudarytas susitarimas, kuriame būtų nustatytos specialios saugumo priemonės (KIĮ 19 straipsnio 2 dalis). Įvykus asmeninės kredito informacijos saugumo pažeidimui turi būti imtasi priemonių bet kokiai žalai sumažinti ir apie tai turi būti nedelsiant pranešta atitinkamiems asmenims (KIĮ 39-4 straipsnio 1 ir 2 dalys). Be to, AIAK turi būti informuojama apie fiziniams asmenims pateiktą pranešimą ir įgyvendintas priemones (KIĮ 39-4 straipsnio 4 dalis).

(108) KIĮ taip pat nustatytos specialios skaidrumo prievolės, kai siekiama gauti sutikimą naudoti arba teikti asmeninę kredito informaciją (KIĮ 32 straipsnio 4 dalis, 34-2 straipsnis ir KIĮ vykdymo užtikrinimo dekreto 30-3 straipsnis) ir apskritai prieš pateikiant informaciją trečiajai šaliai (KIĮ 32 straipsnio 7 dalis). Be to, asmenys turi teisę paprašę gauti informaciją apie jų kredito informacijos naudojimą ir teikimą trečiosioms šalims trejus metus iki prašymo pateikimo (įskaitant tokio naudojimo ir (arba) teikimo tikslą ir datą).

(109) Pagal KIĮ asmenys taip pat turi teisę susipažinti su savo asmenine kredito informacija (KIĮ 38 straipsnio 1 dalis) ir reikalauti ištaisyti netikslius duomenis (KIĮ 38 straipsnio 2 ir 3 dalys). Be to, be AIAĮ nustatytos bendros teisės prašyti ištrinti duomenis (žr. (77) konstatuojamąją dalį), KIĮ numatyta konkreti teisė prašyti ištrinti asmeninę kredito informaciją, kuri buvo saugoma pasibaigus saugojimo laikotarpiams, nurodytiems (104) konstatuojamojoje dalyje, t. y. penkeriems metams (asmeninės kredito informacijos, kuri buvo būtina komerciniams santykiams užmegzti ar išlaikyti, atveju) arba trims mėnesiams (kitų rūšių asmeninės kredito informacijos atveju). Išimtiniais atvejais, kai duomenis būtina toliau saugoti esant (105) konstatuojamojoje dalyje aprašytoms aplinkybėms, prašymas ištrinti duomenis gali būti atmestas. Jei asmuo prašo ištrinti duomenis, tačiau jiems taikoma viena iš išimčių, kredito informacijai turi būti taikomos specialios apsaugos priemonės (KIĮ 38-3 straipsnio 3 dalis ir KIĮ vykdymo užtikrinimo dekreto 33-3 straipsnis). Pavyzdžiui, informacija turi būti saugoma atskirai nuo kitos informacijos, su ja gali susipažinti tik įgaliotas asmuo ir jai turi būti taikomos specialios saugumo priemonės.

(110) Be (109) konstatuojamojoje dalyje minėtų teisių, KIĮ asmenims garantuojama teisė reikalauti, kad duomenų valdytojas nebebandytų su jais susisiekti tiesioginės rinkodaros tikslais (įstatymo 37 straipsnio 2 dalis), ir teisė į duomenų perkeliamumą. Pastarosios teisės atveju KIĮ nustatytas leidimas asmenims prašyti jų asmeninę kredito informaciją perduoti jiems patiems arba tam tikroms trečiosioms šalims (kaip antai finansų įstaigoms ir kredito reitingų bendrovėms). Asmeninė kredito informacija turi būti tvarkoma ir perduodama trečiajai šaliai tokiu formatu, kuriame pateikta informacija gali būti tvarkoma naudojant informacijos apdorojimo priemonę (kaip antai kompiuterį).

(111) Palyginti su AIAĮ, KIĮ nustatytos taisyklės yra konkretesnės, todėl Komisija mano, kad šiomis taisyklėmis taip pat užtikrinamas toks apsaugos lygis, kuris yra iš esmės lygiavertis pagal Reglamentą (ES) 2016/679 užtikrinamam apsaugos lygiui.

Priežiūra ir vykdymo užtikrinimas

(112) Siekiant užtikrinti, kad tinkamas duomenų apsaugos lygis būtų užtikrinamas praktiškai, reikalinga nepriklausoma priežiūros institucija, kuriai suteikti įgaliojimai stebėti, kaip laikomasi duomenų apsaugos taisyklių, ir užtikrinti, kad jų būtų laikomasi. Atlikdama savo pareigas ir naudodamasi savo įgaliojimais ši institucija turėtų veikti visiškai nepriklausomai ir nešališkai.

Nepriklausoma priežiūra

(113) Korėjos Respublikoje už AIAĮ laikymosi stebėseną ir jo vykdymo užtikrinimą atsakinga nepriklausoma institucija yra AIAK. AIAK sudaro pirmininkas, pirmininko pavaduotojas ir septyni komisijos nariai. Pirmininką ir pirmininko pavaduotoją skiria Prezidentas, remdamasis Ministro Pirmininko rekomendacija. Du iš Komisijos narių Prezidentas skiria remdamasis pirmininko rekomendacija, o penkis – remdamasis Nacionalinės Asamblėjos rekomendacija (iš jų du skiriami vadovaujantis politinės partijos, kuriai priklauso Prezidentas, rekomendacija ir trys rekomendavus kitoms politinėms partijoms (AIAĮ 7-2 straipsnio 2 dalis), o tai padeda kovoti su šališkumu skyrimo procese). Ši procedūra atitinka duomenų apsaugos institucijų narių skyrimo Sąjungoje reikalavimus (Reglamento (ES) 2016/679 53 straipsnio 1 dalis). Be to, nė vienas komisijos narys negali vykdyti jokios su pelnu susijusios veiklos, politinės veiklos ir užimti pareigų viešojo administravimo srityje arba Nacionalinėje Asamblėjoje (AIAĮ 7-6 straipsnis ir 7-7 straipsnio 1 dalies 3 punktas). Komisijos nariams taikomos specialios taisyklės, draudžiančios dalyvauti svarstymuose, jei galimas interesų konfliktas (AIAĮ 7-11 straipsnis). AIAK padeda sekretoriatas (7-13 straipsnis), o jos nariai gali sudaryti mažesnes komisijas (sudarytas iš trijų komisijos narių) smulkiems pažeidimams ir pasikartojantiems klausimams spręsti (AIAĮ 7-12 straipsnis).

(114) Visi AIAK nariai skiriami trejiems metams ir gali būti paskirti dar vienai kadencijai (AIAĮ 7-4 straipsnio 1 dalis). Komisijos nariai gali būti atleisti tik ypatingomis aplinkybėmis, t. y. jei jie nebegali vykdyti savo pareigų dėl ilgalaikio psichikos sutrikimo ar fizinės negalios, veikia pažeisdami įstatymą arba atitinka vieną iš pagrindų, dėl kurių jie negali eiti pareigų (AIAĮ 7-5 straipsnis). Tai suteikia jiems institucinę apsaugą vykdant savo funkcijas.

(115) Apskritai AIAĮ 7 straipsnio 1 dalimi aiškiai garantuojamas AIAK nepriklausomumas, o AIAĮ 7-5 straipsnio 2 dalyje reikalaujama, kad komisijos nariai savo pareigas vykdytų nepriklausomai, pagal įstatymą ir remdamiesi savo sąžine. Aprašytomis institucinėmis ir procedūrinėmis apsaugos priemonėmis, įskaitant susijusias su AIAK narių skyrimu ir atleidimu, užtikrinama, kad AIAK veiktų visiškai nepriklausomai, neveikiama išorės įtakos ar nurodymų. Be to, AIAK, kaip centrinė administracinė agentūra, kasmet siūlo savo biudžetą (jį Finansų ministerija peržiūri kaip bendro nacionalinio biudžeto dalį prieš jį patvirtinant Nacionalinėje Asamblėjoje) ir yra atsakinga už savo personalo valdymą. AIAK biudžetas šiuo metu sudaro apie 35 milijonus eurų, o joje dirba 154 darbuotojai (40 darbuotojų, besispecializuojančių informacinių ir ryšių technologijų srityje, 32 darbuotojai, daugiausia dėmesio skiriantys tyrimams, ir 40 teisės ekspertų).

(116) AIAK užduotys ir įgaliojimai daugiausia numatyti AIAĮ 7-8 ir 7-9 straipsniuose, taip pat AIAĮ 61–66 straipsniuose. Visų pirma AIAK užduotys apima konsultavimą dėl įstatymų ir kitų teisės aktų, susijusių su duomenų apsauga, duomenų apsaugos politikos ir gairių rengimą, asmens teisių pažeidimų tyrimą, skundų nagrinėjimą ir tarpininkavimą sprendžiant ginčus, AIAĮ laikymosi užtikrinimą, švietimo duomenų apsaugos srities klausimais ir jos propagavimo užtikrinimą, keitimąsi informacija ir bendradarbiavimą su trečiųjų valstybių duomenų apsaugos institucijomis.

(117) Remiantis AIAĮ 68 straipsniu kartu su AIAĮ vykdymo užtikrinimo dekreto 62 straipsniu, tam tikros AIAK užduotys buvo pavestos Korėjos interneto ir saugumo agentūrai, kaip antai: 1) švietimas ir viešieji ryšiai, 2) specialistų mokymas ir poveikio privatumui vertinimo kriterijų rengimas, 3) prašymų paskirti vadinamąja poveikio privatumui vertinimo institucija tvarkymas, 4) prašymų suteikti netiesioginę prieigą prie valdžios institucijų turimų asmens duomenų tvarkymas (AIAĮ 35 straipsnio 2 dalis) ir 5) prašyti medžiagos ir atlikti patikrinimus, susijusius su skundais, gautais per vadinamąjį privatumo apsaugos skambučių centrą. Jei nagrinėdama skundus, gautus per privatumo apsaugos skambučių centrą, Korėjos interneto ir saugumo agentūra nustato, kad buvo pažeistas įstatymas, ji perduoda bylą AIAK arba prokuratūrai. Galimybė pateikti skundą per privatumo apsaugos skambučių centrą neužkerta kelio asmenims pateikti skundą tiesiogiai AIAK arba kreiptis į AIAK, jei jie mano, kad Korėjos interneto ir saugumo agentūra jų skundo tinkamai neišnagrinėjo.

Vykdymo užtikrinimas, įskaitant sankcijas

(118) Siekdamas užtikrinti, kad būtų laikomasi AIAĮ, teisės aktų leidėjas suteikė AIAK tyrimo ir vykdymo užtikrinimo įgaliojimus, pradedant rekomendacijų teikimu ir baigiant administracinių baudų skyrimu. Šie įgaliojimai dar papildyti baudžiamųjų sankcijų tvarka.

(119) Dėl turimų tyrimo įgaliojimų, tais atvejais, kai įtariamas AIAĮ pažeidimas arba apie jį buvo pranešta, arba kai tai būtina siekiant apsaugoti duomenų subjekto teises nuo pažeidimų, AIAK gali atlikti patikrinimus vietoje ir prašyti asmens duomenų valdytojų pateikti visą susijusią medžiagą (pvz., straipsnius ir dokumentus) (AIAĮ 63 straipsnis kartu su AIAĮ vykdymo užtikrinimo dekreto 60 straipsniu).

(120) Turėdama vykdymo užtikrinimo įgaliojimus, pagal AIAĮ 61 straipsnio 2 dalį AIAK gali patarti duomenų valdytojams, kaip pagerinti konkrečios duomenų tvarkymo veiklos asmens duomenų apsaugos lygį. Duomenų valdytojai turi sąžiningai stengtis įgyvendinti tokius patarimus ir privalo informuoti AIAK apie rezultatus. Be to, kai yra pagrįsto pagrindo manyti, kad buvo padarytas AIAĮ pažeidimas, o nesiėmus veiksmų gali būti padaryta sunkiai atitaisoma žala, AIAK gali taikyti taisomuosius veiksmus (AIAĮ 64 straipsnio 1 dalis). Pranešimo 2021-5 5 skirsnyje (I priedas) paaiškinama, kad šios sąlygos privalomai taikomos dėl bet kurios AIAĮ nuostatos, kuria apsaugomos asmenų privatumo teisės, susijusios su asmenine informacija, pažeidimo. Priemonės, kurių AIAK turi teisę imtis, apima nurodymą sustabdyti elgesį, dėl kurio buvo padarytas pažeidimas, laikinai sustabdyti duomenų tvarkymą ar kitas būtinas priemones. Jei taisomieji veiksmai nevykdomi, gali būti skirta sankcija, skiriant ne didesnę kaip 50 mln. vonų baudą (AIAĮ 75 straipsnio 2 dalies 13 punktas).

(121) Tam tikrų valdžios institucijų (pvz., Nacionalinės Asamblėjos, centrinių administracinių agentūrų, vietos valdžios institucijų ir teismų) atžvilgiu AIAĮ 64 straipsnio 4 dalyje nustatyta, kad AIAK gali rekomenduoti bet kurį iš (120) konstatuojamojoje dalyje nurodytų taisomųjų veiksmų ir kad šios institucijos privalo laikytis tokios rekomendacijos, išskyrus atvejus, kai egzistuoja ypatingos aplinkybės. Pagal pranešimo 2021-5 5 skirsnį tai susiję su ypatingomis faktinėmis ar teisinėmis aplinkybėmis, apie kurias AIAK teikdama savo rekomendaciją nežinojo. Suinteresuotoji valdžios institucija gali remtis tokiomis ypatingomis aplinkybėmis tik tuo atveju, jei ji aiškiai įrodo, kad nebuvo padarytas joks pažeidimas, o AIAK nustato, kad iš tikrųjų taip yra. Priešingu atveju valdžios institucija turi laikytis AIAK rekomendacijos ir imtis taisomųjų veiksmų, įskaitant nedelsiant sustabdyti veiką ir atlyginti žalą tokiu išskirtiniu atveju, kai vis dėlto buvo vykdoma neteisėta veika.

(122) AIAK taip pat gali prašyti kitų administracinių agentūrų, turinčių konkrečią kompetenciją pagal sektorių teisės aktus (pvz., sveikatos, švietimo), atskirai arba kartu su AIAK atlikti tyrimą dėl (įtariamų) duomenų valdytojų, veikiančių šiuose jų jurisdikcijai priklausančiuose sektoriuose, privatumo pažeidimų ir nustatyti taisomuosius veiksmus (AIAĮ 63 straipsnio 4–5 dalys). Tokiu atveju AIAK nustato tyrimo pagrindus, objektą ir apimtį. Savo ruožtu atitinkama administracinė agentūra turi pateikti AIAK patikrinimo planą ir pranešti AIAK apie patikrinimo rezultatus. AIAK gali rekomenduoti konkretų taisomąjį veiksmą, kurį turi įgyvendinti atitinkama agentūra. Bet kuriuo atveju, toks prašymas neapriboja AIAK kompetencijos atlikti savo tyrimą ar taikyti sankcijas.

(123) AIAK gali skirti ne tik taisomuosius veiksmus, bet ir 10–50 mln. vonų administracines baudas už įvairių AIAĮ reikalavimų pažeidimus (AIAĮ 75 straipsnis). Tai, be kita ko, yra duomenų tvarkymo teisėtumo reikalavimų nesilaikymas, būtinų saugumo priemonių nesiėmimas, duomenų subjektų neinformavimas duomenų saugumo pažeidimo atveju, duomenų tvarkymo subrangos reikalavimų nesilaikymas, privatumo politikos nenustatymas ir neatskleidimas, privatumo apsaugos pareigūno nepaskyrimas arba duomenų subjekto prašymo, pateikto asmens teisių pagrindu, nepatenkinimas, taip pat tam tikri procedūriniai pažeidimai (nebendradarbiavimas tyrimo metu). Jei tas pats duomenų valdytojas pažeidžia kelias AIAĮ nuostatas, už kiekvieną pažeidimą gali būti skiriama bauda, o nustatant baudos dydį atsižvelgiama į nukentėjusių asmenų skaičių.

(124) Be to, jei yra pagrįsto pagrindo įtarti AIAĮ ar bet kokių kitų su duomenų apsauga susijusių įstatymų pažeidimą, AIAK gali pateikti skundą dėl nusikalstamos veikos kompetentingai tyrimo agentūrai (pvz., prokurorui, žr. AIAĮ 65 straipsnio 1 dalį). Be to, AIAK gali patarti duomenų valdytojui taikyti drausmines priemones atsakingam asmeniui (įskaitant atsakingą vadovą, žr. AIAĮ 65 straipsnio 2 dalį). Duomenų valdytojas, gavęs tokį patarimą, privalo jo laikytis ir apie rezultatą raštu pranešti AIAK (AIAĮ 65 straipsnis kartu su AIAĮ vykdymo užtikrinimo dekreto 58 straipsniu).

(125) Kai teikiami patarimai pagal AIAĮ 61 straipsnį, taikomi taisomieji veiksmai pagal 64 straipsnį, teikiami kaltinimai arba patarimai dėl drausminių priemonių taikymo pagal 65 straipsnį ir skiriamos administracinės baudos pagal 75 straipsnį, AIAK gali viešai nurodyti faktus, t. y. pažeidimą, įstatymą pažeidusį subjektą ir taikytiną (-us) veiksmą (-us), skelbdama juos savo interneto svetainėje arba bendro pobūdžio nacionaliniame dienraštyje (AIAĮ 66 straipsnis kartu su AIAĮ vykdymo užtikrinimo dekreto 61 straipsnio 1 dalimi).

(126) Galiausiai AIAĮ (taip pat kitų su duomenų apsauga susijusių įstatymų) duomenų apsaugos reikalavimų laikymasis sustiprinamas baudžiamųjų sankcijų tvarkos taikymu. Šiuo atžvilgiu į AIAĮ 70–73 straipsnius įtrauktos nuostatos dėl sankcijų, kuriose numatyta galimybė skirti baudą (nuo 20 iki 100 mln. vonų) arba laisvės atėmimą (didžiausia bausmė – nuo 2 iki 10 metų). Susiję pažeidimai, be kita ko, apima asmens duomenų naudojimą arba tokių duomenų teikimą trečiajai šaliai neturint būtino sutikimo, neskelbtinos informacijos tvarkymą pažeidžiant AIAĮ 23 straipsnio 1 dalyje nustatytą draudimą, taikomų saugos reikalavimų nesilaikymą, dėl kurio asmens duomenys prarandami, pavagiami, atskleidžiami, suklastojami, pakeičiami arba sugadinami, būtinų priemonių asmens duomenims ištaisyti, ištrinti arba sustabdyti jų tvarkymą ar neteisėtą asmens duomenų perdavimą į trečiąją valstybę nesiėmimą. Pagal AIAĮ 74 straipsnį kiekvienu iš šių atvejų atsako duomenų valdytojo darbuotojas, įgaliotas asmuo arba atstovas, taip pat pats duomenų valdytojas.

(127) Be AIAĮ numatytų baudžiamųjų sankcijų, piktnaudžiavimas asmens duomenimis taip pat gali būti laikomas nusikalstama veika pagal Baudžiamąjį įstatymą. Tai atvejai, kai pažeidžiamas laiškų, dokumentų ar elektroninių įrašų slaptumas (316 straipsnis), atskleidžiama informacija, kuriai taikomas profesinės paslapties principas (317 straipsnis), sukčiaujama naudojant kompiuterius (347-2 straipsnis), taip pat kai pasisavinamas turtas ir pažeidžiamas pasitikėjimas (355 straipsnis).

(128) Todėl Korėjos sistemoje derinamos įvairių rūšių sankcijos – nuo taisomųjų veiksmų ir administracinių baudų skyrimo iki baudžiamųjų sankcijų taikymo, – kurių atgrasomasis poveikis duomenų valdytojams ir duomenis tvarkantiems asmenims gali būti ypač didelis. AIAK pradėjo naudotis savo įgaliojimais iš karto po jos įsteigimo 2020 m. Iš 2021 m. AIAK metinės ataskaitos matyti, kad AIAK jau paskelbė daug rekomendacijų, administracinių baudų ir taisomųjų įsakymų tiek viešajam sektoriui (apie 34 valdžios institucijoms), tiek privatiems veiklos vykdytojams (apie 140 bendrovių). Pavyzdžiui, pažymėtina, kad 2020 m. gruodžio mėn. AIAK vienai bendrovei skyrė 6,7 mlrd. vonų baudą už įvairių AIAĮ nuostatų (be kita ko, susijusių su saugumo reikalavimais, reikalavimais dėl sutikimo teikiant informaciją trečiajai šaliai ir skaidrumo) pažeidimą, o 2021 m. balandžio mėn. vienai dirbtinio intelekto technologijų bendrovei skyrė 103,3 mln. vonų baudą (be kita ko, už duomenų tvarkymo teisėtumo, visų pirma susijusio su sutikimo gavimu, ir informacijos, kuriai suteikti pseudonimai, tvarkymo taisyklių pažeidimą). 2021 m. rugpjūčio mėn. AIAK užbaigė dar vieną trijų bendrovių veiklos tyrimą, po kurio buvo nustatyti taisomieji veiksmai ir skirta iki 6,47 mlrd. EUR bauda (be kita ko, dėl asmenų neinformavimo apie asmens duomenų atskleidimą trečiosioms šalims, įskaitant perdavimą trečiosioms šalims). Be to, dar prieš įgyvendinant naują reformą Pietų Korėjoje pasiekta gerų rezultatų vykdymo užtikrinimo srityje: atsakingos institucijos taikė visus vykdymo užtikrinimo veiksmus, įskaitant administracines baudas, taisomuosius veiksmus ir įvardijimą ir dalijimąsi įvairių duomenų valdytojų atžvilgiu, įskaitant ryšių paslaugų teikėjus (Korėjos ryšių komisija), taip pat komercinės veiklos vykdytojus, finansų įstaigas, valdžios institucijas, universitetus ir ligonines (Vidaus reikalų ir saugumo ministerija). Tuo remdamasi Komisija daro išvadą, kad Korėjos sistema užtikrinamas veiksmingas duomenų apsaugos taisyklių praktinis vykdymas, todėl užtikrinamas toks apsaugos lygis, kuris iš esmės yra lygiavertis nustatytam Reglamente (ES) 2016/679.

Teisių gynimas

(129) Siekiant užtikrinti tinkamą apsaugą ir, visų pirma, asmens teisių įgyvendinimą, duomenų subjektui turėtų būti suteikta veiksmingų administracinių ir teisminių teisių gynimo priemonių, įskaitant kompensaciją už patirtą žalą.

(130) Pagal Korėjos sistemą asmenys gali naudotis įvairiais mechanizmais, siekdami veiksmingai įgyvendinti savo teises ir naudotis (teisminėmis) teisių gynimo priemonėmis.

(131) Pirmiausia asmenys, manantys, kad jų duomenų apsaugos teisės ar interesai buvo pažeisti, gali kreiptis į atitinkamą duomenų valdytoją. Pagal AIAĮ 30 straipsnio 1 dalies 5 punktą duomenų valdytojo privatumo politika apima, be kita ko, informaciją apie duomenų subjektų teises ir apie tai, kaip jomis naudotis. Be to, joje pateikiama kontaktinė informacija, pavyzdžiui, privatumo apsaugos pareigūno vardas ir pavardė arba už duomenų apsaugą atsakingo departamento pavadinimas ir jų telefono numeriai, kad būtų galima pateikti skundus. Duomenų valdytojo organizacijoje privatumo apsaugos pareigūnas atsako už skundų nagrinėjimą, taisomųjų veiksmų nustatymą privatumo pažeidimo atveju ir taisomųjų kompensacijų taikymą (AIAĮ 31 straipsnio 2 dalies 3 punktas ir 4 dalis). Pastaroji funkcija svarbi, pavyzdžiui, duomenų saugumo pažeidimo atveju, nes duomenų valdytojas turi informuoti duomenų subjektą apie kontaktinį (-ius) punktą (-us), į kuriuos jis gali kreiptis, be kita ko, norėdamas pranešti apie bet kokią patirtą žalą (AIAĮ 34 straipsnio 1 dalies 5 punktas).

(132) Be to, AIAĮ asmenims siūloma keletas teisių gynimo būdų jiems nukentėjus dėl duomenų valdytojų veiklos. Pirma, bet kuris asmuo, manantis, kad duomenų valdytojas pažeidė jo duomenų apsaugos teises ar interesus, apie tokį pažeidimą gali tiesiogiai pranešti AIAK ir (arba) vienai iš specializuotų institucijų, AIAK paskirtų priimti ir nagrinėti skundus, įskaitant Korėjos interneto ir saugumo agentūrai, kuri tuo tikslu yra įsteigusi asmeninės informacijos apsaugai skirtą skambučių centrą (vadinamąjį privatumo apsaugos skambučių centrą) (AIAĮ 62 straipsnio 1 ir 2 dalys kartu su AIAĮ vykdymo užtikrinimo dekreto 59 straipsniu). Privatumo apsaugos skambučių centras tiria ir nustato pažeidimus, teikia konsultacijas asmens duomenų tvarkymo klausimais (AIAĮ 62 straipsnio 3 dalis) ir gali pranešti apie pažeidimus AIAK (tačiau pats negali imtis vykdymo užtikrinimo priemonių). Privatumo apsaugos skambučių centras gauna labai daug skundų ir prašymų (pvz., 2020 m. –177457, 2019 m. –159255, o 2018 m. –164497). Remiantis iš AIAK gauta informacija, nuo 2020 m. rugpjūčio mėn. iki 2021 m. rugpjūčio mėn. pati AIAK gavo apie 1000 skundų. Atsakydama į skundą, AIAK gali kompetentingai tyrimo agentūrai (įskaitant prokurorą) pateikti tobulinimo patarimą, nustatyti taisomuosius veiksmus, pateikti kaltinimą arba patarimą dėl drausminių priemonių (žr. AIAĮ 61, 64 ir 65 straipsnius). AIAK sprendimai (kaip antai atsisakymas nagrinėti skundą arba apskritai skundo atmetimas) gali būti ginčijami pagal Administracinių ginčų įstatymą.

(133) Antra, pagal AIAĮ 40–50 straipsnius kartu su AIAĮ vykdymo užtikrinimo dekreto 48-14–57 straipsniais duomenų subjektai gali kreiptis į vadinamąjį tarpininkavimo ginčuose komitetą, kurį sudaro AIAK pirmininko iš AIAK vyresniosios vykdomosios tarnybos narių paskirti atstovai ir asmenys, paskirti iš tam tikrų reikalavimus atitinkančių grupių remiantis jų patirtimi duomenų apsaugos srityje (žr. AIAĮ 40 straipsnio 2, 3 ir 7 dalis, AIAĮ vykdymo užtikrinimo dekreto 48-14 straipsnį). Galimybė pasinaudoti tarpininkavimu Tarpininkavimo ginčuose komitete suteikia alternatyvų teisių gynimo būdą, tačiau neriboja asmens teisės vietoje to kreiptis į AIAK arba teismus. Siekdamas išnagrinėti atvejį, komitetas gali prašyti ginčo šalių pateikti reikiamą medžiagą ir (arba) pakviesti atitinkamus liudytojus liudyti komitete (AIAĮ 45 straipsnis). Išsprendęs klausimą komitetas parengia tarpininkavimo sprendimo projektą, kuriam turi pritarti jo narių dauguma. Tarpininkavimo sprendimo projekte gali būti numatyta sustabdyti veiklą, dėl kurios buvo atliktas pažeidimas, taikyti būtinas teisių gynimo priemones (įskaitant restituciją ar kompensaciją) ir bet kokias priemones, būtinas siekiant užkirsti kelią to paties ar panašaus pažeidimo ar pažeidimų pasikartojimui (AIAĮ 47 straipsnio 1 dalis). Jei abi šalys pritaria tarpininkavimo sprendimui, jo poveikis toks pats kaip ir susitarimo teisme (AIAĮ 47 straipsnio 5 dalis). Vykstant tarpininkavimui nė vienai iš šalių neužkertamas kelias kreiptis į teismą. Tokiu atveju tarpininkavimas sustabdomas (žr. AIAĮ 48 straipsnio 2 dalį). AIAK paskelbti metiniai duomenys rodo, kad asmenys reguliariai naudojasi procedūra Tarpininkavimo ginčuose komitete, o tai dažnai lemia sėkmingą rezultatą. Pavyzdžiui, 2020 m. komitetas išnagrinėjo 126 bylas, iš kurių 89 buvo išspręstos komitete (77 atvejai, kai šalys jau pasiekė susitarimą iki tarpininkavimo proceso pabaigos, ir 12 atvejų, kai šalys pritarė tarpininkavimo pasiūlymui), taigi tarpininkavimo rodiklis siekė 70,6 proc.. 2019 m. Komitetas nagrinėjo 139 bylas, iš kurių 92 buvo išspręstos, taigi tarpininkavimo rodiklis siekė 62,2 proc.

(134) Be to, tais atvejais, kai dėl to paties įvykio (įvykio tipo) žalą patiria ne mažiau kaip 50 asmenų arba jų duomenų apsaugos teisės pažeidžiamos tokiu pačiu ar panašiu būdu, duomenų subjektas arba duomenų apsaugos organizacija tokios nukentėjusiųjų grupės vardu gali kreiptis dėl tarpininkavimo kolektyvinio ginčo sprendime. Kiti duomenų subjektai gali kreiptis dėl prisijungimo prie tokio tarpininkavimo, apie kurį viešai skelbs tarpininkavimo ginčuose komitetas (AIAĮ 49 straipsnio 1–3 dalys kartu su AIAĮ vykdymo užtikrinimo dekreto 52–54 straipsniais). Tarpininkavimo ginčuose komitetas kaip atstovaujančią šalį gali pasirinkti mažiausiai vieną asmenį, kuris tinkamiausiai atstovauja bendram interesui (AIAĮ 49 straipsnio 4 dalis). Jeigu duomenų valdytojas nesutinka, kad kolektyviniuose ginčuose būtų tarpininkaujama, arba nesutinka su tarpininkavimo sprendimu, tam tikros organizacijos gali pateikti kolektyvinį ieškinį dėl pažeidimo (AIAĮ 51–57 straipsniai).

(135) Trečia, privatumo pažeidimo, dėl kurio asmeniui padaroma žala, atveju duomenų subjektas turi teisę į tinkamą teisių gynimą taikant savalaikę ir sąžiningą procedūrą (AIAĮ 4 straipsnio 5 dalis kartu su 39 straipsniu). Duomenų valdytojas gali būti išteisintas, jei įrodo, kad jo kaltės (blogų ketinimų arba nerūpestingumo) nėra. Tais atvejais, kai duomenų subjektas patiria žalą dėl jo asmens duomenų praradimo, vagystės, atskleidimo, klastojimo, pakeitimo ar sugadinimo, teismas, atsižvelgdamas į atitinkamus veiksnius, gali nustatyti kompensaciją, kuri būtų iki trijų kartų didesnė už faktinę žalą (AIAĮ 39 straipsnio 3 ir 4 dalys). Kitu atveju duomenų subjektas gali reikalauti pagrįstos kompensacijos sumos, neviršijančios 3 mln. vonų (AIAĮ 39-2 straipsnio 1 ir 2 dalys). Be to, pagal Civilinį įstatymą kompensacijos gali būti reikalaujama iš bet kurio asmens, dėl kurio neteisėtų veiksmų, tyčinių arba atliktų dėl neatsargumo, kitas asmuo patiria žalą arba fizinį sužalojimą, arba iš asmens, sužeidusio kitą asmenį, padariusio žalą jo laisvei ar reputacijai arba sukėlusio kito asmens psichinę kančią. Tokią deliktinę atsakomybę dėl duomenų apsaugos taisyklių pažeidimo patvirtino Aukščiausiasis Teismas. Jeigu žala padaryta dėl neteisėtų valdžios institucijos veiksmų, reikalavimas atlyginti žalą taip pat gali būti pateiktas pagal Valstybės kompensacijų įstatymą. Reikalavimas atlyginti žalą pagal Valstybės kompensacijų įstatymą gali būti pateiktas specializuotai kompensacijos tarybai arba tiesiogiai Korėjos teismams. Valstybės atsakomybė taip pat apima neturtinę žalą (pvz., psichinę kančią). Jei nukentėjusysis yra užsienio valstybės pilietis, Valstybės kompensacijų įstatymas jam taikomas tada, kai jo kilmės šalis taip pat užtikrina valstybės kompensaciją Korėjos piliečiams.

(136) Ketvirta, Aukščiausiasis Teismas pripažino, kad asmenys turi teisę reikalauti uždrausti vykdyti veiklą, dėl kurios pažeidžiamos jų teisės pagal Konstituciją, įskaitant teisę į asmens duomenų apsaugą. Tokiomis aplinkybėmis teismas gali, pavyzdžiui, nurodyti duomenų valdytojams sustabdyti bet kokią neteisėtą veiklą arba jos nebevykdyti. Be to, duomenų apsaugos teisių, įskaitant AIAĮ saugomas teises, įgyvendinimas gali būti užtikrinamas civiliniais ieškiniais. Aukščiausiasis Teismas pripažino šį horizontalų konstitucinės privatumo apsaugos taikymą privačių asmenų santykiams.

(137) Galiausiai asmenys pagal Baudžiamojo proceso įstatymą (223 straipsnis) skundą dėl nusikalstamos veiklos gali pateikti prokurorui arba teismo policijos pareigūnui.

(138) Todėl Korėjos sistemoje siūlomi įvairūs teisių gynimo būdai, nuo lengvai prieinamų ir nebrangių galimybių (pvz., kreiptis į privatumo apsaugos skambučių centrą arba naudoti (kolektyvinį) tarpininkavimą) iki administracinių (AIAK) ir teisminių priemonių, įskaitant galimybę gauti kompensaciją už žalą.

KORĖJOS RESPUBLIKOS VALDŽIOS INSTITUCIJŲ SUSIPAŽINIMAS SU ASMENS DUOMENIMIS, PERDUOTAIS IŠ EUROPOS SĄJUNGOS, IR JŲ NAUDOJIMAS

(139) Komisija taip pat įvertino apribojimus ir apsaugos priemones, įskaitant pagal Korėjos teisės aktus galimus priežiūros ir asmens teisių gynimo priemonių mechanizmus Korėjos valdžios institucijoms renkant ir vėliau naudojant asmens duomenis, perduotus duomenų valdytojams Korėjoje viešojo intereso pagrindu, visų pirma, baudžiamosios teisėsaugos ir nacionalinio saugumo tikslais (vyriausybės susipažinimas su informacija). Atsižvelgiant į tai, Korėjos vyriausybė Komisijai pateikė aukščiausiu ministerijų ir įstaigų lygmeniu pasirašytus oficialius pareiškimus, garantijas ir įsipareigojimus, kurie pateikiami šio sprendimo II priede.

(140) Vertindama, ar sąlygos, kuriomis vyriausybė gauna prieigą prie duomenų, perduotų Korėjai pagal šį sprendimą, atitinka esminio lygiavertiškumo kriterijų pagal Reglamento (ES) 2016/679 45 straipsnio 1 dalį, kaip jį išaiškino Europos Sąjungos Teisingumo Teismas, atsižvelgdamas į Pagrindinių teisių chartiją, Komisija visų pirma atsižvelgė į toliau išvardytus kriterijus.

(141) Pirma, bet koks teisės į asmens duomenų apsaugą apribojimas turi būti numatytas įstatyme, o pačiame teisiniame pagrinde, kuriuo remiantis leidžiama apriboti tokią teisę, turi būti apibrėžta apribojimo taikymo atitinkamos teisės įgyvendinimui sritis.

(142) Antra, siekiant įvykdyti proporcingumo reikalavimą, pagal kurį nuo asmens duomenų apsaugos nukrypti leidžiančios nuostatos ir asmens duomenų apsaugos apribojimai turi būti taikomi tik tiek, kiek tai griežtai būtina demokratinėje visuomenėje siekiant konkrečių viešojo intereso tikslų, kurie yra lygiaverčiai Sąjungos pripažįstamiems tikslams, atitinkamos trečiosios valstybės, kurioje leidžiami apribojimai, teisės aktuose turi būti nustatytos aiškios ir tikslios taisyklės, kuriomis reglamentuojamas atitinkamų priemonių mastas ir taikymas, ir nustatomos būtinosios apsaugos priemonės, kad asmenys, kurių duomenys buvo perduoti, turėtų pakankamai garantijų ir galėtų veiksmingai apsaugoti savo asmens duomenis nuo piktnaudžiavimo rizikos. Teisės akte visų pirma turi būti nurodyta, kokiomis aplinkybėmis ir sąlygomis galima priimti priemonę, kurią įgyvendinant numatyta tvarkyti tokius duomenis, taip pat tokiai priemonei taikomi nepriklausomos priežiūros reikalavimai.

(143) Trečia, tas teisės aktas ir jame nustatyti reikalavimai turi būti teisiškai privalomi pagal nacionalinę teisę. Tai visų pirma susiję su atitinkamos trečiosios valstybės valdžios institucijomis, tačiau šie teisiniai reikalavimai šių institucijų atžvilgiu taip pat turi būti įgyvendinami teisme. Duomenų subjektai visų pirma privalo turėti galimybę imtis teisinių veiksmų nepriklausomame ir nešališkame teisme, kad galėtų susipažinti su savo asmens duomenimis arba reikalauti ištaisyti arba ištrinti tokius duomenis.

Bendroji teisinė sistema

(144) Apribojimai ir apsaugos priemonės, taikomi Korėjos valdžios institucijoms renkant asmens duomenis ir vėliau juos naudojant, kyla iš visa apimančios konstitucinės sistemos, konkrečių įstatymų, kuriais reglamentuojama jų veikla baudžiamosios teisėsaugos ir nacionalinio saugumo srityse, taip pat taisyklių, kurios taikomos konkrečiai asmens duomenų tvarkymui.

(145) Pirma, Korėjos valdžios institucijų prieiga prie asmens duomenų reglamentuojama bendraisiais teisėtumo, būtinumo ir proporcingumo principais, nustatytais Korėjos Konstitucijoje. Visų pirma pagrindinės teisės ir laisvės (įskaitant teisę į privatumą ir teisę į susirašinėjimo privatumą) gali būti ribojamos tik įstatymais ir tik tada, kai tai būtina nacionaliniam saugumui užtikrinti arba viešajai tvarkai palaikyti siekiant užtikrinti visuomenės gerovę. Tokie apribojimai negali turėti įtakos esminių atitinkamos teisės ar laisvės aspektų įgyvendinimui. Kalbant konkrečiai apie kratą ir poėmį, Konstitucijoje numatyta, kad jie gali būti atliekami tik įstatymų nustatyta tvarka, remiantis teisėjo išduotu orderiu ir užtikrinant tinkamą teisinį procesą. Galiausiai asmenys savo teisėmis ir laisvėmis gali pasinaudoti Konstituciniame Teisme, jei mano, kad valdžios institucijos, vykdydamos savo įgaliojimus, juos pažeidė. Be to, asmenys, patyrę žalą dėl valstybės pareigūno neteisėtų veiksmų jam vykdant tarnybines pareigas, turi teisę reikalauti teisingo žalos atlyginimo.

(146) Antra, kaip išsamiau aprašyta 3.2.1 ir 3.3.1 skirsniuose, (145) konstatuojamojoje dalyje nurodyti bendrieji principai taip pat atspindimi specialiuose įstatymuose, kuriais reglamentuojami teisėsaugos ir nacionalinio saugumo institucijų įgaliojimai. Pavyzdžiui, baudžiamųjų bylų tyrimo atveju Baudžiamojo proceso įstatyme (BPĮ) numatyta, kad priverstinių priemonių galima imtis tik tuo atveju, jei tai aiškiai numatyta BPĮ, ir tik tiek, kiek tai būtina tyrimo tikslui pasiekti. Be to, Ryšių privatumo apsaugos įstatymo (RPAĮ) 3 straipsniu draudžiama susipažinti su privačiai perduodama informacija, išskyrus atvejus, kai tai daroma remiantis įstatymu ir taikant jame nustatytus apribojimus ir apsaugos priemones. Nacionalinio saugumo srityje Nacionalinės žvalgybos tarnybos įstatymu (NŽT įstatymas) nustatyta, kad bet kokia galimybė susipažinti su ryšių ar buvimo vietos informacija turi būti suteikta pagal įstatymus, o už piktnaudžiavimą įgaliojimais ir įstatymų pažeidimą taikomos baudžiamosios sankcijos.

(147) Trečia, valdžios institucijų vykdomam asmens duomenų tvarkymui, be kita ko, teisėsaugos ir nacionalinio saugumo tikslais, taikomos AIAĮ nustatytos duomenų apsaugos taisyklės. AIAĮ 5 straipsnio 1 dalyje nustatytas bendras reikalavimas valdžios institucijoms parengti politiką, kuria būtų užkertamas kelias piktnaudžiavimui asmenine informacija ir neteisėtam jos naudojimui, neteisėtam sekimui ir persekiojimui ir t. t., ir didinti žmonių orumą bei asmens privatumo apsaugą. Be to, bet kuris duomenų valdytojas turi tvarkyti asmens duomenis taip, kad būtų kuo labiau sumažinta galimybė pažeisti duomenų subjekto privatumą (AIAĮ 3 straipsnio 6 dalis).

(148) Visi 2 skirsnyje išsamiai aprašyti AIAĮ reikalavimai taikomi asmens duomenų tvarkymui teisėsaugos tikslais. Tai apima pagrindinius principus (pavyzdžiui, teisėtumo ir sąžiningumo, tikslo apribojimo, tikslumo, duomenų kiekio mažinimo, saugojimo apribojimo, saugumo ir skaidrumo), prievoles (pavyzdžiui, susijusias su pranešimu apie duomenų saugumo pažeidimą ir neskelbtinais duomenimis) ir teises (gauti prieigą, reikalauti duomenis ištaisyti, ištrinti ir sustabdyti jų tvarkymą).

(149) Nors asmens duomenų tvarkymui nacionalinio saugumo tikslais pagal AIAĮ taikoma mažiau nuostatų, pagrindiniai principai, taip pat priežiūros, vykdymo užtikrinimo ir teisių gynimo taisyklės, yra taikomi. Konkrečiau, AIAĮ 3 ir 4 straipsniuose nustatyti bendrieji duomenų apsaugos principai (teisėtumas ir sąžiningumas, tikslo apribojimas, tikslumas, duomenų kiekio mažinimas, saugumas ir skaidrumas) ir asmens teisės (teisė būti informuotam, teisė susipažinti su duomenimis ir teisė į duomenų ištaisymą, ištrynimą ir jų tvarkymo sustabdymą). Be to, AIAĮ 4 straipsnio 5 dalyje asmenims suteikiama teisė į tinkamą žalos, sukeltos tvarkant jų asmens duomenis, atlyginimą taikant savalaikę ir sąžiningą procedūrą. Tai papildyta konkretesnėmis prievolėmis tvarkyti asmens duomenis tik tiek, kiek tai būtina numatytam tikslui pasiekti, ir minimalų laikotarpį, nustatyti būtinas priemones, kuriomis būtų užtikrinama, kad duomenys būtų saugiai valdomi ir tinkamai tvarkomi (pvz., technines, valdymo ir fizines apsaugos priemones), taip pat nustatyti priemones, kad būtų tinkamai nagrinėjami individualūs skundai. Galiausiai Korėjos Konstitucijoje nustatyti bendrieji teisėtumo, būtinumo ir proporcingumo principai (žr. (145) konstatuojamąją dalį) taip pat taikomi asmens duomenų tvarkymui nacionalinio saugumo tikslais.

(150) Šiais bendraisiais apribojimais ir apsaugos priemonėmis asmenys gali remtis nepriklausomose priežiūros institucijose (pvz., AIAK ir (arba) Nacionalinėje žmogaus teisių komisijoje, žr. (177)–(178) konstatuojamąsias dalis) ir teismuose (žr. (179)–(183) konstatuojamąsias dalis), kad apgintų savo teises.

Korėjos valdžios institucijų galimybė susipažinti su duomenimis ir jų naudojimas baudžiamosios teisėsaugos tikslais

(151) Korėjos Respublikos teisėje nustatyti įvairūs galimybės susipažinti su asmens duomenimis ir juos naudoti baudžiamosios teisėsaugos tikslais apribojimai, ir numatyti priežiūros ir teisių gynimo mechanizmai, kurie atitinka šio sprendimo (141)–(143) konstatuojamosiose dalyse nurodytus reikalavimus. Sąlygos, kuriomis tokia prieiga gali būti suteikta, ir tų įgaliojimų naudojimui taikomos apsaugos priemonės išsamiai įvertinamos kituose skirsniuose.

Teisiniai pagrindai, apribojimai ir apsaugos priemonės

(152) Korėjos duomenų valdytojų tvarkomi asmens duomenys, kurie būtų perduodami iš Sąjungos pagal šį sprendimą, Korėjos valdžios institucijų baudžiamosios teisėsaugos tikslais gali būti renkami atliekant kratą arba poėmį (pagal BPĮ), gaunant prieigą prie ryšių informacijos (pagal RPAĮ) arba gaunant abonento duomenis teikiant prašymus savanoriškai atskleisti informaciją (remiantis Telekomunikacijų įmonių įstatymu, TĮĮ).

Krata ir poėmis

(153) BPĮ nustatyta, kad krata ar poėmis gali būti atliekami tik tuo atveju, jei asmuo įtariamas nusikaltimu, tai būtina tyrimui ir nustatomas ryšys tarp tyrimo ir asmens, kuris turi būti apieškotas, arba daiktų, kuriuos reikia patikrinti ar paimti. Be to, krata ar poėmis (kaip bet kuri priverstinė priemonė) gali būti leidžiami ir (arba) atliekami tik tiek, kiek tai būtina. Jei krata susijusi su kompiuterio disku ar kita duomenų laikmena, iš esmės bus paimti tik būtini duomenys (nukopijavus arba atspausdinus), o ne visa laikmena. Pastarosios gali būti paimtos tik tada, kai manoma, kad iš esmės neįmanoma atspausdinti ar nukopijuoti tik reikalingų duomenų arba kad kitaip kratos tikslo pasiekti iš esmės neįmanoma. Todėl BPĮ nustatomos aiškios ir tikslios šių priemonių taikymo masto ir taikymo taisyklės, taip užtikrinant, kad asmenų teisių apribojimas kratos ar poėmio atveju neviršytų to, kas būtina konkrečiam baudžiamajam tyrimui, ir būtų proporcingas siekiamam tikslui.

(154) Procedūrinių apsaugos priemonių atžvilgiu BPĮ reikalaujama, kad teismas išduotų orderį atlikti kratą ar poėmį. Kratos ar poėmio atlikimas neturint orderio leidžiami tik išimtiniais atvejais, t. y. kai aplinkybės reikalauja skubiai veikti: nusikalstama veika įtariamo asmens suėmimo ar sulaikymo metu (in loco) arba kai daiktas buvo išmestas ar savanoriškai pateiktas nusikalstama veika įtariamo asmens arba trečiojo asmens (asmens duomenų atveju, pačio su duomenimis susijusio asmens). Už neteisėtai atliktą kratą ir poėmį taikomos baudžiamosios sankcijos, o bet kokie įrodymai, surinkti pažeidžiant BPĮ, laikomi netinkamais. Galiausiai atitinkamiems asmenims visada turi būti nedelsiant pranešama apie kratą ar poėmį (įskaitant jų duomenų poėmį), o taip atitinkamai bus palengvinamas naudojimasis asmens materialinėmis teisėmis ir teisių gynimo teise (žr. visų pirma galimybę užginčyti poėmio orderio vykdymą, žr. (180) konstatuojamąją dalį).

Galimybė susipažinti su ryšių informacija

(155) Remdamosi RPAĮ, Korėjos baudžiamosios teisėsaugos institucijos gali imtis dviejų rūšių priemonių: viena vertus, rinkti ryšių patvirtinimo duomenis, apimančius telekomunikacinių ryšių datą, jų pradžios ir pabaigos laiką, atliktų ir gautų skambučių skaičių, taip pat kitos šalies abonento numerį, naudojimo dažnumą, telekomunikacijų paslaugų naudojimo žurnalo failus ir vietos nustatymo informaciją (pavyzdžiui, atsižvelgiant į perdavimo bokštus, į kuriuos gaunami signalai), ir, kita vertus, taikyti ryšius ribojančias priemones, kurios apima tiek tradicinio pašto korespondencijos turinio rinkimą, tiek tiesioginį telekomunikacinių ryšių turinio perėmimą.

(156) Su ryšių patvirtinimo duomenimis galima susipažinti tik tada, kai tai būtina baudžiamajam tyrimui atlikti arba nuosprendžiui priimti, remiantis teismo išduotu orderiu. Šiuo atžvilgiu RPAĮ reikalaujama, kad išsami informacija būtų pateikta ir prašyme išduoti orderį (pvz., apie prašymo priežastis, ryšį su taikymo sritimi ir (arba) abonentu ir reikalingais duomenimis) ir pačiame orderyje (pvz., apie priemonės tikslą, taikymo sritį ir mastą). Rinkti duomenis neturint orderio galima tik tada, kai dėl aplinkybių, kurios reikalauja skubos, neįmanoma gauti teismo leidimo ir tokiu atveju orderis turi būti gautas ir apie jį turi būti pranešta telekomunikacijų paslaugų teikėjui iš karto po to, kai paprašoma pateikti duomenis. Jeigu paskui teismas atsisako išduoti leidimą, surinkta informacija turi būti sunaikinta.

(157) Papildomų apsaugos priemonių, susijusių su ryšių patvirtinimo duomenų rinkimu, atžvilgiu RPAĮ nustatyti konkretūs įrašų saugojimo ir skaidrumo reikalavimai. Visų pirma ir baudžiamosios teisėsaugos institucijos, ir telekomunikacijų paslaugų teikėjai privalo registruoti pateiktus prašymus ir informacijos atskleidimo faktus. Be to, iš esmės baudžiamosios teisėsaugos institucijos privalo informuoti asmenis apie tai, kad buvo surinkti jų ryšių patvirtinimo duomenys. Toks pranešimas gali būti atidėtas tik išimtinėmis aplinkybėmis, gavus kompetentingos apygardos prokuratūros direktoriaus leidimą. Toks leidimas gali būti suteiktas tik tada, kai pranešus gali 1) kilti pavojus nacionaliniam saugumui, visuomenės saugumui ir tvarkai joje, 2) gali būti sukelta mirtis ar kūno sužalojimas, 3) gali būti trukdoma teisingam teismo procesui (pavyzdžiui, jei pranešus būtų sunaikinti įrodymai arba grasinama liudytojams) arba 4) gali būti apšmeižtas įtariamas asmuo, aukos ar kiti su byla susiję asmenys arba gali būti pažeistas jų privatumas. Tokiais atvejais pranešimas turi būti pateiktas per 30 dienų nuo tos dienos, kai išnyksta atidėjimo pagrindas (-ai). Gavę pranešimą, asmenys turi teisę gauti informaciją apie jų duomenų rinkimo priežastis.

(158) Griežtesnės taisyklės taikomos ryšius ribojančioms priemonėms, kurios gali būti taikomos tik tada, kai yra svarių priežasčių įtarti, kad planuojami, vykdomi arba buvo įvykdyti tam tikri konkrečiai RPAĮ išvardyti sunkūs nusikaltimai. Be to, ryšius ribojančių priemonių galima imtis tik kraštutiniu atveju ir kai kitaip sunku užkirsti kelią nusikaltimui, suimti nusikaltėlį arba surinkti įrodymus. Jos turi būti nedelsiant nutrauktos, kai jos nebereikalingos, siekiant užtikrinti, kad ryšių privatumo pažeidimas būtų kuo labiau ribotas. Informacija, kuri buvo neteisėtai gauta taikant ryšius ribojančias priemones, nėra pripažįstama kaip įrodymas teismo ar drausminėse procedūrose.

(159) Procedūrinių apsaugos priemonių atžvilgiu RPAĮ reikalaujama, kad ryšius ribojančių priemonių taikymui teismas išduotų orderį. Be to, RPAĮ reikalaujama, kad prašyme išduoti orderį ir pačiame orderyje būtų pateikta išsami informacija, įskaitant informaciją apie prašymo pagrindimą, taip pat perduodamą ir gaunamą informaciją, kurią reikia surinkti (tai turi būti įtariamojo, dėl kurio atliekamas tyrimas, perduodama arba gaunama informacija). Tokių priemonių imtis neturint orderio galima tik gresiant neišvengiamam organizuoto nusikalstamumo pavojui arba kitam sunkiam nusikaltimui, kuris gali tiesiogiai sukelti mirtį ar sunkų sužalojimą, ir egzistuoja ekstremalioji situacija, dėl kurios neįmanoma taikyti įprastos procedūros. Tačiau tokiu atveju prašymas išduoti orderį turi būti pateiktas iš karto po to, kai buvo imtasi priemonės. Ryšius ribojančios priemonės gali būti taikomos ne ilgesnį kaip dviejų mėnesių laikotarpį ir teismui pritarus gali būti pratęsiamos tik tuo atveju, jei tebesilaikoma priemonių įgyvendinimo sąlygų. Pratęstas laikotarpis negali būti ilgesnis kaip vieni metai, o tam tikrų ypač sunkių nusikaltimų atveju – treji metai (kaip antai nusikaltimų, susijusių su maištu, užsienio valstybės agresija, nacionaliniu saugumu).

(160) Kaip ir ryšių patvirtinimo duomenų rinkimo atveju, RPAĮ reikalaujama, kad telekomunikacijų paslaugų teikėjai ir teisėsaugos institucijos saugotų įrašus apie ryšius ribojančių priemonių taikymą, ir numatoma, kad atitinkamam asmeniui turi būti pranešama apie priemonių taikymą, su galimybe šį pranešimą išimties tvarka atidėti dėl svarbių viešojo intereso priežasčių.

(161) Galiausiai už kelių RPAĮ apribojimų ir apsaugos priemonių nesilaikymą (įskaitant, pavyzdžiui, prievoles gauti orderį, saugoti įrašus ir pranešti asmeniui apie duomenų rinkimą) ir ryšių patvirtinimo duomenų rinkimo atveju, ir ryšius ribojančių priemonių taikymo atveju taikomos baudžiamosios sankcijos.

(162) Todėl baudžiamosios teisėsaugos institucijų įgaliojimai rinkti ryšių duomenis pagal RPAĮ (ir duomenis apie ryšių turinį, ir ryšių patvirtinimo duomenis) yra apriboti aiškiomis ir tiksliomis taisyklėmis ir jiems taikomos tam tikros apsaugos priemonės. Šiomis apsaugos priemonėmis visų pirma užtikrinama tokių priemonių vykdymo priežiūra tiek ex ante (gaunant išankstinį teismo leidimą), tiek ex post (taikant įrašų saugojimo ir informacijos teikimo reikalavimus) ir sudaromos palankesnės sąlygos asmenims naudotis veiksmingomis teisių gynimo priemonėmis (užtikrinant, kad jie būtų informuoti apie jų duomenų rinkimą).

Prašymai savanoriškai atskleisti abonentų duomenis

(163) Korėjos teisėsaugos institucijos gali ne tik taikyti (153)–(162) konstatuojamosiose dalyse aprašytas priverstines priemones, bet ir prašyti telekomunikacijų paslaugų teikėjus savanoriškai pateikti ryšių duomenis, kuriais būtų remiamasi nagrinėjant baudžiamąją bylą, atliekant tyrimą arba skiriant bausmę (TĮĮ 83 straipsnio 3 dalis). Ši galimybė taikoma tik ribotiems duomenų rinkiniams, t. y. naudotojų vardui ir pavardei, gyventojo registracijos numeriui, adresui ir telefono numeriui, abonemento užsisakymo arba atsisakymo datoms, taip pat naudotojo identifikavimo kodams (t. y. kodams, naudojamiems teisėtam kompiuterinių sistemų ar ryšių tinklų naudotojui identifikuoti). Kadangi naudotojais laikomi tik tie asmenys, kurie paslaugų sutartį sudaro tiesiogiai su Korėjos telekomunikacijų paslaugų teikėju, šiai kategorijai paprastai nepriskiriami ES asmenys, kurių duomenys buvo perduoti į Korėjos Respubliką.

(164) Tokiam savanoriškam informacijos atskleidimui taikomi skirtingi apribojimai teisėsaugos institucijos naudojimosi įgaliojimais atžvilgiu ir telekomunikacijų operatoriaus bendradarbiavimo atžvilgiu. Paprastai teisėsaugos institucijos turi veikti laikydamosi konstitucinių būtinumo ir proporcingumo principų (Konstitucijos 12 straipsnio 1 dalis ir 37 straipsnio 2 dalis), įskaitant atvejus, kai jos prašo savanoriškai pateikti informaciją. Be to, jos turi laikytis AIAĮ, visų pirma rinkdamos asmens duomenis tik tiek, kiek tai būtina teisėtam tikslui pasiekti, kad būtų kuo labiau sumažintas poveikis asmenų privatumui (kaip antai laikantis AIAĮ 3 straipsnio 1 ir 6 dalių). Konkrečiau, prašymai gauti ryšių duomenis remiantis TĮĮ turi būti pateikiami raštu ir juose turi būti nurodytos prašymo priežastys, ryšys su atitinkamu naudotoju ir prašomų duomenų apimtis.

(165) Telekomunikacijų paslaugų teikėjai neprivalo patenkinti tokių prašymų, o juos patenkinti gali tik laikydamiesi AIAĮ. Tai visų pirma reiškia, kad jie turi suderinti skirtingus susijusius interesus ir negali pateikti duomenų, jei tai galėtų nepagrįstai pažeisti asmens ar trečiosios šalies interesus. Taip būtų tokiu atveju, kai, pavyzdžiui, būtų aišku, kad prašančioji institucija piktnaudžiavo savo įgaliojimais. Telekomunikacijų paslaugų teikėjai privalo saugoti atskleidimo įrašus pagal TĮĮ ir du kartus per metus teikti ataskaitas Mokslo ir IRT ministrui.

(166) Be to, pagal pranešimo Nr. 2021-5 3 skirsnį (I priedas) telekomunikacijų paslaugų teikėjai iš esmės turi pranešti atitinkamam asmeniui, kai jie patenkina prašymą savanoriškai teikti duomenis. Taip asmeniui atitinkamai suteikiama galimybė pasinaudoti savo teisėmis, o jei jo duomenys atskleidžiami neteisėtai, ginti savo teises nukentėjus dėl duomenų valdytojo veiksmų (pavyzdžiui, jam dėl duomenų atskleidimo pažeidus AIAĮ arba patenkinus akivaizdžiai neproporcingą prašymą) arba teisėsaugos institucijos veiksmų (pavyzdžiui, dėl to, kad ji ėmėsi veiksmų, viršijančių tai, kas būtina ir proporcinga, arba nesilaikė TĮĮ procedūrinių reikalavimų).

Tolesnis surinktos informacijos naudojimas

(167) Korėjos baudžiamosios teisėsaugos institucijų surinktų asmens duomenų tvarkymui taikomi visi AIAĮ reikalavimai, be kita ko, susiję su tikslo apribojimu (AIAĮ 3 straipsnio 1 ir 2 dalys), naudojimo ir duomenų teikimo trečiosioms šalims teisėtumu (AIAĮ 15, 17 ir 18 straipsniai), tarptautiniu perdavimu (AIAĮ 17 ir 18 straipsniai kartu su pranešimo 2021-5 2 skirsniu), proporcingumu ir (arba) duomenų kiekio mažinimu (AIAĮ 3 straipsnio 1 ir 6 dalys) ir saugojimo apribojimais (AIAĮ 21 straipsnis).

(168) Ryšių turinio, gauto taikant ryšius ribojančias priemones, atžvilgiu RPAĮ nustatyti konkretūs apribojimai dėl galimo jų naudojimo vykdant sunkių nusikaltimų tyrimus, baudžiamąjį persekiojimą už juos ar jų prevenciją, taikant drausmines procedūras dėl tų pačių nusikaltimų, nagrinėjant ieškinius dėl žalos atlyginimo, kuriuos iškėlė ryšių šalis, arba kai tai konkrečiai leidžiama pagal kitus įstatymus. Be to, surinktas internetu perduodamų telekomunikacinių ryšių turinys gali būti saugomas tik gavus teismo, kuris išdavė leidimą taikyti ryšius ribojančias priemones, sutikimą, siekiant jį naudoti sunkių nusikaltimų tyrimui, baudžiamajam persekiojimui ar prevencijai. Apskritai RPAĮ draudžiama atskleisti konfidencialią informaciją, gautą taikant ryšius ribojančias priemones, ir naudoti tokią informaciją siekiant pakenkti asmenų, kuriems taikomos priemonės, reputacijai.

Priežiūra

(169) Korėjoje baudžiamosios teisėsaugos institucijų veiklą prižiūri įvairios įstaigos.

(170) Pirma, policijai taikoma vidaus priežiūra, kurią įgyvendina generalinis inspektorius vykdydamas teisėtumo kontrolę, be kita ko, galimų žmogaus teisių pažeidimų atžvilgiu. Generalinio inspektoriaus pareigybė įsteigta siekiant įgyvendinti Viešojo sektoriaus audito įstatymą, kuriuo skatinama steigti savikontrolės įstaigas ir nustatomi konkretūs jų sudėties ir užduočių reikalavimai. Visų pirma įstatyme reikalaujama, kad savikontrolės įstaigos vadovas nebūtų skiriamas iš susijusios institucijos (būtų, pvz., buvęs teisėjas, profesorius) ir būtų skiriamas laikotarpiui nuo dvejų iki penkerių metų, nustatyta, kad jis gali būti atleistas iš pareigų tik dėl pagrįstų priežasčių (pavyzdžiui, kai negali eiti pareigų dėl su sveikata susijusių priežasčių arba kai jam taikomos drausminės priemonės) ir kad turi būti užtikrinamas kuo didesnis jo nepriklausomumas. Už trukdymą įgyvendinti savikontrolę skiriamos administracinės baudos. Audito ataskaitos (kurios gali apimti rekomendacijas, prašymus taikyti drausmines priemones ir prašymus skirti kompensacijas ar ištaisyti) perduodamos atitinkamos valdžios institucijos vadovui, Audito ir inspektavimo valdybai (AIV) ir paprastai viešai skelbiamos. Apie ataskaitos įgyvendinimo rezultatus taip pat turi būti pranešta AIV (žr. (173) konstatuojamąją dalį dėl AIV priežiūros vaidmens ir įgaliojimų).

(171) Antra, AIAK prižiūri, kad baudžiamosios teisėsaugos institucijos tvarkytų duomenis pagal AIAĮ ir kitus teisės aktus, kuriais saugomas asmenų privatumas, įskaitant įstatymus, kuriais reglamentuojamas (elektroninių) įrodymų rinkimas baudžiamosios teisėsaugos tikslais, kaip aprašyta 3.2.1 skirsnyje. Visų pirma AIAK vykdoma priežiūra apima duomenų rinkimo ir tvarkymo teisėtumo ir sąžiningumo (AIAĮ 3 straipsnio 1 dalis), kurie bus pažeisti, jei asmens duomenys bus gauti ir naudojami pažeidžiant tuos teisės aktus, užtikrinimą, todėl AIAK taip pat gali atlikti tyrimus ir užtikrinti 3.2.1 skirsnyje aprašytų apribojimų ir apsaugos priemonių laikymąsi. Vykdydama šį priežiūros vaidmenį AIAK gali naudotis visais savo tyrimų atlikimo ir taisomųjų veiksmų taikymo įgaliojimais, kaip išsamiai aprašyta 2.4.2 skirsnyje. Dar prieš įgyvendinant naują AIAĮ reformą (t. y. vykdydama savo ankstesnę viešojo sektoriaus priežiūros funkciją) AIAK vykdė keletą priežiūros veiksmų, susijusių su baudžiamosios teisėsaugos institucijų vykdomu asmens duomenų tvarkymu, pvz., susijusių su įtariamųjų apklausa (2013 m. rugpjūčio 26 d. byla Nr. 2013-16), su pranešimu asmenims apie administracinių baudų skyrimą (2015 m. sausio 26 d. byla Nr. 2015-02-04), su dalijimusi duomenimis su kitomis institucijomis (2018 m. liepos 9 d. byla Nr. 2018-15-146, 2018 m. gruodžio 10 d. byla Nr. 2018-25-308, 2019 m. sausio 29 d. byla Nr. 2019-02-015), su pirštų atspaudų ar nuotraukų rinkimu (2019 m. rugsėjo 9 d. byla Nr. 2019-17-273), su bepiločių orlaivių naudojimu (2020 m. sausio 13 d. byla Nr. 2020-01-004). Tokiais atvejais AIAK atliko tyrimus siekdama nustatyti, ar laikomasi kelių AIAĮ nuostatų (pvz., duomenų tvarkymo teisėtumo, tikslo apribojimo ir duomenų kiekio mažinimo principų), taip pat atitinkamų kitų įstatymų, pavyzdžiui, Baudžiamojo proceso įstatymo, nuostatų, ir prireikus teikė rekomendacijas, kaip tvarkyti duomenis laikantis duomenų apsaugos reikalavimų.

(172) Trečia, nepriklausomą priežiūrą vykdo Nacionalinė žmogaus teisių komisija (NŽTK), kuri, vykdydama savo bendruosius įgaliojimus apsaugoti Konstitucijos 10–22 straipsniuose nustatytas pagrindines teises, gali tirti teisės į privatumą ir ryšių privatumą pažeidimus. NŽTK sudaro 11 komisijos narių, kurie turi turėti specialią kvalifikaciją ir kuriuos įstatymų nustatyta tvarka skiria Prezidentas. Visų pirma keturis komisijos narius siūlo Nacionalinė Asamblėja, keturis narius – Prezidentas ir tris – Aukščiausiojo Teismo vyriausiasis teisėjas. Pirmininką iš komisijos narių skiria Prezidentas, o šį paskyrimą patvirtinti turi Nacionalinė Asamblėja. Komisijos nariai (įskaitant pirmininką) skiriami trejų metų kadencijai, kuri gali būti pratęsta, o atleisti jie gali būti tik tada, kai jiems skiriama laisvės atėmimo bausmė arba jie nebegali vykdyti savo pareigų dėl užsitęsusios fizinės ar psichinės negalios (tokiu atveju du trečdaliai komisijos narių turi sutikti su atleidimu iš pareigų). Atlikdama tyrimą, NŽTK gali prašyti pateikti atitinkamą medžiagą, atlikti patikrinimus ir kviesti asmenis liudyti. Vykdydama taisomųjų veiksmų taikymo įgaliojimus NŽTK gali teikti (viešas) rekomendacijas dėl konkrečios politikos ir praktikos tobulinimo arba taisymo, į kurias atsižvelgusios valdžios institucijos turi siūlyti įgyvendinimo planą. Jei atitinkama institucija rekomendacijų neįgyvendina, ji apie tai turi pranešti komisijai, kuri savo ruožtu gali apie tai pranešti Nacionalinei Asamblėjai ir (arba) viešai apie tai paskelbti. Remiantis Korėjos vyriausybės oficialiu pareiškimu (II priedo 2.3.5 skirsnis), Korėjos valdžios institucijos iš esmės laikosi NŽTK rekomendacijų ir turi rimtų paskatų tai daryti, nes jų įgyvendinimas buvo vertinamas atliekant bendrą nuolatinį vertinimą, kuriam vadovavo Ministro Pirmininko kanceliarija. Iš metinių duomenų apie NŽTK veiklą matyti, kad ji aktyviai prižiūri baudžiamosios teisėsaugos institucijų veiklą atskirų peticijų arba ex officio tyrimų pagrindu.

(173) Ketvirta, bendrą viešosios valdžios institucijų veiklos teisėtumo kontrolę vykdo AIV, kuri nagrinėja valstybės pajamas ir išlaidas, tačiau apskritai prižiūri, kaip valdžios institucijos vykdo savo pareigas, siekdama gerinti viešojo administravimo veiklą. AIV yra oficialiai įsteigta Korėjos Respublikos Prezidento, tačiau vykdydama savo pareigas yra nepriklausoma. Be to, ji visiškai nepriklausomai samdo, atleidžia ir organizuoja savo žmogiškuosius išteklius ir sudaro savo biudžetą. AIV sudaro pirmininkas (skiria Prezidentas, pritarus Nacionalinei Asamblėjai) ir šeši komisijos nariai (skiria Prezidentas pirmininko siūlymu), kurie turi turėti konkrečią įstatymų nustatytą kvalifikaciją ir gali būti atleisti tik apkaltos, nuteisimo laisvės atėmimo bausme ar negalėjimo atlikti savo pareigų dėl ilgalaikės psichinės ar fizinės negalios atveju. AIV kasmet atlieka bendrą auditą, tačiau taip pat gali atlikti specialų auditą, susijusį su ypatingos svarbos klausimais. Atlikdama auditą ar inspektuodama, AIV gali prašyti pateikti dokumentus ir dalyvauti konkrečius asmenis. AIV gali teikti rekomendacijas, prašyti taikyti drausmines priemones arba pateikti baudžiamąjį skundą.

(174) Galiausiai Nacionalinė Asamblėja vykdo parlamentinę valdžios institucijų priežiūrą atlikdama jų veiklos tyrimus ir patikrinimus. Ji gali prašyti atskleisti dokumentus, įpareigoti liudytojus liudyti, rekomenduoti taisomuosius veiksmus (jei padaro išvadą, kad buvo vykdoma neteisėta ar netinkama veikla) ir viešai paskelbti savo išvadų rezultatus. Kai Nacionalinė Asamblėja nurodo imtis taisomųjų veiksmų, kuriuos, pavyzdžiui, galėtų sudaryti kompensacijos skyrimas, drausminių priemonių taikymas arba vidaus procedūrų tobulinimas, atitinkama valdžios institucija privalo nedelsdama imtis veiksmų ir apie rezultatus pranešti Nacionalinei Asamblėjai.

Teisių gynimas

(175) Korėjos sistemoje siūlomi skirtingi (teisminiai) teisių gynimo būdai, įskaitant žalos atlyginimą.

(176) Pirma, AIAĮ asmenims suteikiama teisė susipažinti su asmens duomenimis, tvarkomais baudžiamosios teisėsaugos tikslais, juos taisyti, ištrinti ir sustabdyti jų tvarkymą.

(177) Antra, asmenys gali pasinaudoti įvairiais AIAĮ siūlomais teisių gynimo mechanizmais, jei tvarkydama jų duomenis baudžiamosios teisėsaugos institucija pažeidė AIAĮ arba kituose teisės aktuose (t. y. BPĮ arba RPAĮ, žr. (171) konstatuojamąją dalį) nustatytus asmens duomenų rinkimo apribojimus ir apsaugos priemones. Visų pirma asmenys gali pateikti skundą AIAK (be kita ko, per Korėjos interneto ir saugumo agentūros administruojamą privatumo apsaugos skambučių centrą) arba Tarpininkavimo ginčuose dėl asmeninės informacijos komitetui. Šioms teisių gynimo galimybėms tolesni priimtinumo reikalavimai netaikomi. Be to, remdamiesi Administracinių ginčų įstatymu, asmenys gali apskųsti AIAK sprendimus arba neveikimą (žr. (132) konstatuojamąją dalį).

(178) Trečia, bet kuris asmuo gali pateikti skundą NŽTK dėl Korėjos baudžiamosios teisėsaugos institucijos padaryto teisės į privatumą ir duomenų apsaugą pažeidimo. NŽTK gali rekomenduoti taisyti ar tobulinti atitinkamą įstatymą, instituciją, politiką ar praktiką arba įgyvendinti teisių gynimo priemones, kaip antai tarpininkavimą, žmogaus teisių pažeidimo nutraukimą, žalos atlyginimą ir priemones, kuriomis siekiama užkirsti kelią tokių pačių ar panašių pažeidimų pasikartojimui. Remiantis oficialiu Korėjos vyriausybės pareiškimu (II priedo 2.4.2 skirsnis), tai taip pat gali būti neteisėtai surinktų asmens duomenų ištrynimas. Nors NŽTK neturi įgaliojimų priimti privalomai taikomų sprendimų, ji siūlo neoficialesnę, pigesnę ir lengvai prieinamą teisių gynimo priemonę, visų pirma dėl to, kad, kaip paaiškinta II priedo 2.4.2 skirsnyje, tam, kad skundas būtų tiriamas, nereikalaujama faktiškai įrodyti žalą. Taip užtikrinama, kad asmenų skundai dėl jų duomenų rinkimo galėtų būti tiriami, net jei asmuo negali įrodyti, kad jo duomenys iš tikrųjų buvo surinkti (pvz., dėl to, kad asmeniui dar nepranešta). Iš NŽTK metinių veiklos ataskaitų matyti, kad asmenys taip pat naudojasi šia galimybe praktikoje siekdami užginčyti baudžiamosios teisėsaugos institucijų veiksmus, be kita ko, susijusius su asmens duomenų tvarkymu. Jei asmuo nepatenkintas NŽTK vykdomos procedūros rezultatais, jis gali apskųsti NŽTK sprendimus (kaip antai sprendimą nebetęsti skundo nagrinėjimo) ir rekomendacijas Korėjos teismuose pagal Administracinių ginčų įstatymą (žr. (181) konstatuojamąją dalį). Be to, taikant NŽTK procedūrą gali būti palengvintas kreipimasis į teismus, nes asmuo galėtų siekti tolesnių teisių gynimo veiksmų valdžios institucijos, kuri neteisėtai tvarkė jo duomenis, atžvilgiu remdamasis NŽTK išvadomis pagal (181)–(183) konstatuojamosiose dalyse aprašytas procedūras.

(179) Galiausiai asmenys gali naudotis įvairiomis teisminėmis teisių gynimo priemonėmis, kad galėtų apginti savo teises pasinaudodami 3.2.1 skirsnyje aprašytais apribojimais ir apsaugos priemonėmis.

(180) Poėmio (įskaitant duomenų) atžvilgiu BPĮ numatyta galimybė nesutikti su orderio vykdymu arba užginčyti jo vykdymą pateikiant kvaziskundą, t. y. kreipiantis į kompetentingą teismą su prašymu panaikinti arba pakeisti prokuroro ar policijos pareigūno sprendimą.

(181) Apskritai asmenys gali užginčyti valdžios institucijų (įskaitant baudžiamosios teisėsaugos institucijas) veiksmus ar neveikimą pagal Administracinių ginčų įstatymą. Administracinis veiksmas laikomas užginčijamu sprendimu, jei juo daromas tiesioginis poveikis pilietinėms teisėms ir pareigoms, o taip yra, kaip patvirtino Korėjos vyriausybė (II priedo 2.4.3 skirsnis), taikant asmens duomenų rinkimo priemones nepaisant to, ar duomenys būtų renkami tiesiogiai (pvz., perimant ryšius), pateikus privalomo atskleidimo prašymus (pavyzdžiui, paslaugų teikėjui) ar prašymus savanoriškai atskleisti informaciją. Kad skundas pagal Administracinių ginčų įstatymą būtų priimtinas, asmuo turi turėti teisinį interesą pareikšti reikalavimą. Pagal Aukščiausiojo Teismo praktiką teisinis interesas suprantamas kaip teisiškai saugomas interesas, t. y. tiesioginis ir konkretus interesas, saugomas įstatymais ir kitais teisės aktais, kuriais grindžiami administraciniai sprendimai (t. y. jais negali būti bendri, netiesioginiai ir abstraktūs visuomenės interesai). Asmenys turi tokį teisinį interesą tuo atveju, kai pažeidžiami apribojimai ir apsaugos priemonės, taikomos jų asmens duomenų rinkimui baudžiamosios teisėsaugos tikslais (pagal specialius įstatymus arba AIAĮ). Teismas, remdamasis Administracinių ginčų įstatymu, gali nuspręsti panaikinti arba pakeisti neteisėtą sprendimą, paskelbti jį negaliojančiu (t. y. pateikti išvadą, kad sprendimas neturi teisinės galios arba kad jis neegzistuoja teisinėje sistemoje) arba paskelbti, kad neveikimas yra neteisėtas. Pagal Administracinių ginčų įstatymą šalys privalo įgyvendinti galutinį teismo sprendimą.

(182) Asmenys gali ne tik užginčyti vyriausybės veiksmus iškeldami administracinę bylą, bet ir pateikti konstitucinį skundą Konstituciniam Teismui dėl bet kokio jų pagrindinių teisių pažeidimo, susijusio su naudojimusi vyriausybiniais įgaliojimais arba jų nevykdymu (išskyrus teismų sprendimus). Jei yra kitų teisių gynimo priemonių, pirmiausia turi būti pasinaudota jomis. Pagal Konstitucinio Teismo praktiką užsienio valstybių piliečiai gali pateikti konstitucinį skundą tais atvejais, kai jų pagrindinės teisės pripažįstamos pagal Korėjos Konstituciją (žr. 1.1 skirsnyje pateiktus paaiškinimus). Konstitucinis Teismas gali panaikinti vyriausybės įgaliojimų vykdymą, dėl kurio buvo padarytas pažeidimas, arba patvirtinti, kad tam tikras neveikimas prieštarauja Konstitucijai. Tokiu atveju atitinkama institucija privalo imtis priemonių, kad būtų įvykdytas Teismo sprendimas.

(183) Be to, asmenys gali reikalauti žalos atlyginimo Korėjos teismuose. Visų pirma tai apima galimybę reikalauti kompensacijos už AIAĮ pažeidimus, kuriuos padarė baudžiamosios teisėsaugos institucijos, pagal 39 straipsnį (taip pat žr. (135) konstatuojamąją dalį). Apskritai asmenys, remdamiesi Valstybės kompensacijų įstatymu, gali prašyti kompensacijos už žalą, kurią patyrė dėl to, kad valstybės pareigūnai vykdydami savo oficialias pareigas pažeidė įstatymą (taip pat žr. (135) konstatuojamąją dalį).

(184) (176)–(183) konstatuojamosiose dalyse aprašytais mechanizmais duomenų subjektams suteikiamos veiksmingos administracinės ir teisminės teisių gynimo priemonės, kuriomis jiems sudaromos sąlygos visų pirma užtikrinti savo teises, įskaitant teisę susipažinti su savo asmens duomenimis arba ištaisyti ar ištrinti tokius duomenis.

Korėjos valdžios institucijų galimybė susipažinti su duomenimis ir jų naudojimas nacionalinio saugumo tikslais

(185) Korėjos Respublikos teisėje nustatyti įvairūs galimybės susipažinti su asmens duomenimis ir juos naudoti nacionalinio saugumo tikslais apribojimai ir apsaugos priemonės, ir numatyti priežiūros ir teisių gynimo mechanizmai, kurie atitinka šio sprendimo (141)–(143) konstatuojamosiose dalyse nurodytus reikalavimus. Sąlygos, kuriomis tokia prieiga gali būti suteikta, ir tų įgaliojimų naudojimui taikomos apsaugos priemonės išsamiai įvertinamos kituose skirsniuose.

Teisiniai pagrindai, apribojimai ir apsaugos priemonės

(186) Korėjos Respublikoje galimybė susipažinti su asmens duomenimis nacionalinio saugumo tikslais gali būti suteikiama RPAĮ, TĮĮ ir Įstatymu dėl kovos su terorizmu siekiant apsaugoti piliečius ir užtikrinti viešąjį saugumą pagrindu (Kovos su terorizmu įstatymas). Pagrindinė institucija, turinti kompetencijos nacionalinio saugumo srityje, yra Nacionalinė žvalgybos tarnyba (NŽT). Rinkdama ir naudodama asmens duomenis NŽT turi laikytis atitinkamų teisinių reikalavimų (įskaitant AIAĮ ir RPAĮ) ir bendrųjų gairių, parengtų Prezidento ir peržiūrėtų Nacionalinės Asamblėjos. Apskritai NŽT turi išlaikyti politinį neutralumą ir apsaugoti asmenų laisvę ir teises. Be to, NŽT darbuotojai negali piktnaudžiauti savo oficialiais įgaliojimais siekdami priversti bet kurią instituciją, organizaciją ar asmenį daryti tai, ko jie neprivalo daryti (pagal įstatymą), ir negali trukdyti jokiam asmeniui naudotis savo teisėmis.

Galimybė susipažinti su ryšių informacija

(187) Remdamosi RPAĮ, Korėjos valdžios institucijos gali rinkti ryšių patvirtinimo duomenis (t. y. telekomunikacinių ryšių datą, jų pradžios ir pabaigos laiką, atliktų ir gautų skambučių skaičių, taip pat kitos šalies abonento numerį, naudojimo dažnumą, telekomunikacijų paslaugų naudojimo žurnalo failus ir vietos nustatymo informaciją (žr. (155) konstatuojamąją dalį)) ir ryšių turinį (taikydamos ryšius ribojančias priemones (žr. (155) konstatuojamąją dalį)) nacionalinio saugumo tikslais (kaip nustatyta NŽT įgaliojimuose (žr. 322 išnašą)). Šie įgaliojimai taikytini dviejų rūšių informacijai: 1) ryšiams, kurių viena arba abi šalys yra Korėjos piliečiai, ir 2) ryšiams a) valstybių, kurios yra priešiškai nusiteikusios Korėjos Respublikos atžvilgiu, b) užsienio šalių agentūrų, grupių ar piliečių, įtariamų vykdant prieš Korėją nukreiptą veiklą arba c) grupių, veikiančių Korėjos pusiasalyje, tačiau faktiškai esančių už Korėjos Respublikos suvereniteto ribų, ir joms priklausančių grupių, įsikūrusių užsienio šalyse, narių. Todėl pagal šį sprendimą iš Sąjungos į Korėjos Respubliką perduota ES asmenų ryšių informacija gali būti renkama nacionalinio saugumo tikslais tik pagal RPAĮ (laikantis (188)–(192) konstatuojamosiose dalyse nustatytų sąlygų), jei tai ES asmens ir Korėjos piliečio ryšių informacija arba, tuo atveju, kai ji susijusi tik su ne Korėjos piliečiais, ji priskiriama vienai iš trijų ryšių informacijos kategorijų, nurodytų 2 punkto a, b ir c papunkčiuose.

(188) Abiem atvejais ryšių patvirtinimo duomenys gali būti renkami tik siekiant užkirsti kelią nacionaliniam saugumui kylančioms grėsmėms, o ryšius ribojančios priemonės gali būti taikomos tik tada, kai kyla didelis pavojus nacionaliniam saugumui ir duomenų rinkimas yra būtinas jam išvengti. Be to, prieiga prie ryšių turinio gali būti suteikiama tik kraštutiniu atveju ir turi būti dedamos pastangos kuo labiau vengti ryšių privatumo pažeidimo, taip užtikrinant, kad jis išliktų proporcingas siekiamam nacionalinio saugumo tikslui. Ryšių turinio ir ryšių patvirtinimo duomenų rinkimas gali trukti ne ilgiau kaip keturis mėnesius ir turi būti nedelsiant nutrauktas, jei siekiamas tikslas pasiekiamas anksčiau. Jei atitinkamos sąlygos ir toliau tenkinamos, laikotarpis gali būti pratęstas iki keturių mėnesių gavus išankstinį teismo (dėl (189) konstatuojamojoje dalyje aprašytų priemonių) arba Prezidento (dėl (190) konstatuojamojoje dalyje aprašytų priemonių) leidimą.

(189) Tos pačios procedūrinės apsaugos priemonės taikomos ryšių patvirtinimo duomenų ir ryšių turinio rinkimui. Visų pirma, kai bent viena iš ryšių šalių yra Korėjos pilietis, žvalgybos agentūra turi pateikti rašytinį prašymą Vyriausiajai prokuratūrai, o pastaroji atitinkamai turi prašyti Aukštojo Teismo vyriausiąjį teisėją išduoti orderį. RPAĮ išvardijama informacija, kuri turi būti pateikta prašyme prokurorui, prašyme išduoti orderį ir pačiame orderyje, kuriame visų pirma pateikiamas prašymo pagrindimas ir pagrindinės įtarimo priežastys, patvirtinanti medžiaga, taip pat informacija apie tikslą, taikymo sritį (t. y. asmenį arba asmenis, kuriems jis bus taikomas), siūlomos priemonės taikymo mastą ir trukmę. Rinkti duomenis neturint orderio galima tik tuo atveju, jei vykdomas sąmokslas, kuriuo keliama grėsmė nacionaliniam saugumui, ir dėl ekstremaliosios situacijos neįmanoma atlikti minėtų procedūrų. Tačiau ir tokiu atveju prašymas išduoti orderį turi būti pateiktas iš karto po to, kai buvo imtasi priemonės. Todėl RPAĮ aiškiai apibrėžtas tokio duomenų rinkimo mastas ir sąlygos ir jo vykdymo atžvilgiu nustatytos konkrečios (procedūrinės) apsaugos priemonės (įskaitant išankstinį teismo leidimą), kuriomis užtikrinama, kad tokios priemonės būtų naudojamos tik tiek, kiek būtina ir kol laikomasi proporcingumo principo. Be to, reikalaujant pateikti išsamią informaciją ir prašyme išduoti orderį, ir pačiame orderyje pašalinama galimybė beatodairiškai susipažinti su duomenimis.

(190) Ryšių tarp ne Korėjos piliečių, patenkančių į vieną iš trijų konkrečių kategorijų, išvardytų (187) konstatuojamojoje dalyje, atveju prašymas turi būti pateiktas NŽT direktoriui, o pastarasis, peržiūrėjęs siūlomų priemonių tinkamumą, turi prašyti Korėjos Respublikos Prezidento išankstinio raštiško patvirtinimo. Žvalgybos agentūros parengtame prašyme turi būti pateikta tokia pati išsami informacija kaip ir prašyme išduoti teismo orderį (žr. (189) konstatuojamąją dalį), visų pirma informacija apie prašymo pagrindimą ir pagrindines įtarimo priežastis, patvirtinanti medžiaga ir informacija apie tikslus, asmenį arba asmenis, kuriems bus taikomos priemonės, siūlomų priemonių taikymo mastą ir trukmę. Ekstremaliųjų situacijų atveju turi būti gautas išankstinis ministro, kurio įgaliojimų sričiai priklauso atitinkama žvalgybos agentūra, patvirtinimas, bet iš karto po to, kai buvo imtasi neatidėliotinų priemonių, žvalgybos agentūra turi kreiptis dėl Prezidento patvirtinimo. Be to, ryšių tik tarp ne Korėjos piliečių informacijos rinkimo atžvilgiu RPAĮ nustatytas apribojimas taikyti tokias priemones tik tiek, kiek būtina, ir tol, kol jos atitinka proporcingumo principą, aiškiai apibrėžiant ribotas asmenų, kuriems gali būti taikomos tokios priemonės, kategorijas ir nustatant išsamius kriterijus, kurie turi būti įvykdyti, kad žvalgybos tarnybos galėtų pateisinti prašymą rinkti informaciją. Be to, taip vėlgi atmetama galimybė beatodairiškai susipažinti su duomenimis. Nors išankstinis nepriklausomas tokių priemonių patvirtinimas netaikomas, nepriklausomą ex post priežiūrą užtikrina visų pirma AIAK ir NŽTK (žr., pavyzdžiui, (199)–(200) konstatuojamąsias dalis).

(191) Be to, RPAĮ nustatomos kelios papildomos apsaugos priemonės, kuriomis prisidedama prie ex post priežiūros ir sudaromos palankesnės sąlygos asmenims pasinaudoti veiksmingomis teisių gynimo priemonėmis. Pirma, visų rūšių duomenų rinkimo nacionalinio saugumo tikslais atžvilgiu RPAĮ numatyti skirtingi duomenų saugojimo ir ataskaitų teikimo reikalavimai. Visų pirma prašydamos privačių paslaugų teikėjų bendradarbiauti žvalgybos tarnybos turi pateikti teismo orderį, Prezidento leidimą arba neišvengiamos cenzūros pareiškimo titulinio puslapio kopiją, kurią prašomas subjektas turi saugoti. Kai privačių veiklos vykdytojų bendradarbiavimas yra būtinas, prašančioji valdžios institucija ir atitinkamas veiklos vykdytojas turi saugoti įrašus apie priemonių tikslą ir objektą, taip pat jų įgyvendinimo datą. Be to, žvalgybos agentūros turi pranešti NŽT direktoriui apie surinktą informaciją ir stebėjimo veiklos rezultatus.

(192) Antra, asmenims turi būti pranešta apie jų duomenų (ryšių patvirtinimo duomenų arba ryšių turinio) rinkimą nacionalinio saugumo tikslais, jei jie susiję su ryšiais, kuriuose bent viena iš šalių yra Korėjos pilietis. Apie tai turi būti pranešta raštu per 30 dienų nuo duomenų rinkimo pabaigos (įskaitant atvejus, kai duomenys buvo gauti taikant ekstremaliosios situacijos tvarką), o pranešimas gali būti atidėtas tik tuo atveju, jei pranešus kiltų pavojus nacionaliniam saugumui arba žmonių gyvybėms ir fiziniam saugumui, ir tik tol, kol toks pavojus kiltų. Nepriklausomai nuo to, ar buvo pranešta, asmenys gali naudotis skirtingais teisių gynimo būdais, kaip išsamiau paaiškinta 3.3.4 skirsnyje.

Informacijos apie asmenis, įtariamus teroristine veikla, rinkimas

(193) Kovos su terorizmu įstatyme nustatyta, kad NŽT gali rinkti duomenis apie teroristine veikla įtariamus asmenis, laikydamasi kituose įstatymuose nustatytų apribojimų ir apsaugos priemonių. Visų pirma NŽT gali gauti ryšių duomenis (RPAĮ pagrindu) ir kitą asmeninę informaciją (pateikdama prašymą savanoriškai atskleisti informaciją). Ryšių informacijos rinkimui (t. y. ryšių turinio arba ryšių patvirtinimo duomenų rinkimui) taikomi 3.3.1.1 skirsnyje aprašyti apribojimai ir apsaugos priemonės, įskaitant reikalavimą gauti teismo patvirtintą orderį. NŽT teikiamais prašymais savanoriškai atskleisti kitų rūšių asmens duomenis apie teroristine veikla įtariamus asmenis turi būti laikomasi Konstitucijoje ir AIAĮ nustatytų būtinumo ir proporcingumo reikalavimų (žr. (164) konstatuojamąją dalį). Tokius prašymus gaunantys duomenų valdytojai gali savanoriškai juos vykdyti AIAĮ nustatytomis sąlygomis (pvz., laikydamiesi duomenų kiekio mažinimo principo ir ribodami poveikį asmens privatumui). Šiuo atveju jos taip pat turi laikytis reikalavimo pranešti atitinkamam asmeniui pagal pranešimą Nr. 2021-5 (žr. (166) konstatuojamąją dalį).

Prašymai savanoriškai atskleisti abonentų duomenis

(194) Remdamiesi TĮĮ, telekomunikacijų paslaugų teikėjai gali savanoriškai atskleisti abonento duomenis (žr. (163) konstatuojamąją dalį) žvalgybos agentūros, kuri ketina rinkti tokią informaciją, prašymu, kad užkirstų kelią nacionaliniam saugumui kylančiam pavojui. Tokiems NŽT prašymams taikomi tie patys apribojimai (pagal Konstituciją, AIAĮ ir TĮĮ) kaip ir baudžiamosios teisėsaugos atveju, kaip nurodyta (164) konstatuojamojoje dalyje. Telekomunikacijų paslaugų teikėjai prašymų vykdyti neprivalo, o juos vykdyti gali tik AIAĮ nustatytomis sąlygomis (visų pirma laikydamiesi duomenų kiekio mažinimo principo ir ribodami poveikį asmens privatumui (taip pat žr. (193) konstatuojamąją dalį)). Taikomi tie patys įrašų saugojimo ir pranešimo atitinkamam asmeniui reikalavimai, kaip ir baudžiamosios teisėsaugos atveju (žr. (165) ir (166) konstatuojamąsias dalis).

Tolesnis surinktos informacijos naudojimas

(195) Asmens duomenų, kuriuos Korėjos valdžios institucijos renka nacionalinio saugumo tikslais, tvarkymui taikomi tikslo apribojimo (AIAĮ 3 straipsnio 1 ir 2 dalys), duomenų tvarkymo teisėtumo ir sąžiningumo (AIAĮ 3 straipsnio 1 dalis), proporcingumo ir duomenų kiekio mažinimo (AIAĮ 3 straipsnio 1 ir 6 dalys ir 58 straipsnis), tikslumo (AIAĮ 3 straipsnio 3 dalis), skaidrumo (AIAĮ 3 straipsnio 5 dalis), saugumo (AIAĮ 58 straipsnio 4 dalis) ir saugojimo apribojimo (AIAĮ 58 straipsnio 4 dalis) principai. Asmens duomenys trečiosioms šalims (įskaitant trečiąsias valstybes) gali būti atskleidžiami tik laikantis šių principų (visų pirma tikslo apribojimo ir duomenų kiekio mažinimo), įvertinus, ar laikomasi būtinumo ir proporcingumo principų (Konstitucijos 37 straipsnio 2 dalis) ir atsižvelgiant į poveikį atitinkamų asmenų teisėms (AIAĮ 3 straipsnio 6 dalis).

(196) Ryšių turinio ir ryšių patvirtinimo duomenų atžvilgiu RPAĮ taip pat nustatyti apribojimai, tokius duomenis leidžiant naudoti teismo procesuose, kai su ryšiais susijusi šalis jais remiasi teikdama reikalavimą dėl žalos atlyginimo, arba pagal kitus įstatymus numatytoms paskirtims.

Priežiūra

(197) Korėjos nacionalinio saugumo institucijų veiklą prižiūri įvairios įstaigos.

(198) Pirma, Kovos su terorizmu įstatyme numatyti specialūs kovos su terorizmu veiklos priežiūros mechanizmai, įskaitant duomenų apie teroristine veikla įtariamus asmenis rinkimą. Visų pirma vykdomosios valdžios lygmeniu kovos su terorizmu veiklą prižiūri Kovos su terorizmu komisija, kuriai NŽT direktorius turi pranešti apie tyrimus ir teroristine veikla įtariamų asmenų sekimą siekiant surinkti kovos su terorizmu veiklai reikalingą informaciją ar medžiagą. Be to, žmogaus teisių apsaugos pareigūnas (ŽTAP) konkrečiai prižiūri, kad vykdant kovos su terorizmu veiklą nebūtų pažeistos pagrindinės teisės. Kovos su terorizmu komisijos pirmininkas ŽTAP skiria iš asmenų, kurie turi konkrečias kvalifikacijas, išvardytas Kovos su terorizmu įstatymo vykdymo užtikrinimo dekrete, dvejų metų kadencijai (kurią galima pratęsti), o atleistas iš pareigų jis gali būti tik dėl konkrečių, ribotų priežasčių ir rimtu pagrindu. Vykdydamas priežiūros funkciją ŽTAP gali teikti bendras rekomendacijas dėl žmogaus teisių apsaugos gerinimo ir konkrečias rekomendacijas dėl taisomųjų veiksmų taikymo, jei nustatomas žmogaus teisių pažeidimas. Valdžios institucijos privalo informuoti ŽTAP apie veiksmus, kurių imtasi atsižvelgiant į jo rekomendacijas.

(199) Antra, AIAK prižiūri, kaip nacionalinės saugumo institucijos laikosi duomenų apsaugos taisyklių, kurias sudaro ir taikomos AIAĮ nuostatos (žr. (149) konstatuojamąją dalį), ir apribojimai ir apsaugos priemonės, taikomi asmens duomenų rinkimui pagal kitus teisės aktus (RPAĮ, Kovos su terorizmu įstatymą ir TĮĮ, taip pat žr. (171) konstatuojamąją dalį). Vykdydama šį priežiūros vaidmenį AIAK gali naudotis visais savo tyrimų atlikimo ir taisomųjų veiksmų taikymo įgaliojimais, kaip išsamiai aprašyta 2.4.2 skirsnyje.

(200) Trečia, nacionalinių saugumo institucijų veiklai taikoma nepriklausoma NŽTK priežiūra remiantis (172) konstatuojamojoje dalyje aprašytomis procedūromis.

(201) Ketvirta, AIV priežiūros funkcija taip pat apima nacionalines saugumo institucijas, nors išimtinėmis aplinkybėmis NŽT gali atsisakyti suteikti tam tikrą informaciją ar medžiagą, t. y. kai ji susijusi su valstybės paslaptimis ir jų atskleidimas turėtų didelį poveikį nacionaliniam saugumui.

(202) Galiausiai parlamentinę NŽT veiklos priežiūrą vykdo Nacionalinė Asamblėja (per specializuotą žvalgybos komitetą). RPAĮ nustatomas specialus Nacionalinės Asamblėjos priežiūros vaidmuo, susijęs su ryšius ribojančių priemonių taikymu nacionalinio saugumo tikslais. Visų pirma Nacionalinė Asamblėja gali atlikti slapto pokalbių klausymosi įrangos patikrinimus vietoje ir reikalauti, kad ir NŽT, ir telekomunikacijų paslaugų teikėjai, kurie atskleidė ryšių turinį, apie tai praneštų. Nacionalinė Asamblėja taip pat gali vykdyti savo bendrąsias priežiūros funkcijas (remdamasi (174) konstatuojamojoje dalyje aprašytomis procedūromis). NŽT įstatyme reikalaujama, kad Žvalgybos komitetui paprašius pateikti ataskaitą konkrečiu klausimu NŽT direktorius nedelsdamas vykdytų prašymą, taikydamas konkrečias taisykles dėl tam tikros neskelbtinos informacijos. Atsisakyti vykdyti prašymą arba duoti parodymus komitete NŽT direktorius gali tik išskirtinėmis aplinkybėmis, t. y. jei prašymas susijęs su valstybės paslaptimis, susijusiomis su kariniais, diplomatiniais ar Šiaurės Korėjos klausimais, kai jų atskleidimas gali turėti didelį poveikį šalies nacionaliniam likimui. Tokiu atveju Žvalgybos komitetas gali prašyti Ministro Pirmininko pateikti paaiškinimą ir, jei paaiškinimas nepateikiamas per septynias dienas, atsisakyti vykdyti prašymą arba duoti parodymus negalima.

Teisių gynimas

(203) Nacionalinio saugumo atžvilgiu Korėjos sistemoje taip pat siūlomi skirtingi (teisminiai) teisių gynimo būdai, įskaitant žalos atlyginimą. Šiais mechanizmais duomenų subjektams suteikiamos veiksmingos administracinės ir teisminės teisių gynimo priemonės, kuriomis jiems sudaromos sąlygos visų pirma užtikrinti savo teises, įskaitant teisę susipažinti su savo asmens duomenimis arba ištaisyti ar ištrinti tokius duomenis.

(204) Pirma, pagal AIAĮ 3 straipsnio 5 dalį ir 4 straipsnio 1, 3 ir 4 dalis asmenys gali naudotis savo susipažinimo su informacija, jos ištaisymo, ištrynimo ir rinkimo sustabdymo teisėmis nacionalinių saugumo institucijų atžvilgiu. Pranešimo Nr. 2021-5 6 skirsnyje (šio sprendimo I priedas) išsamiau paaiškinama, kaip šios teisės taikomos, kai duomenys tvarkomi nacionalinio saugumo tikslais. Visų pirma nacionalinė saugumo institucija gali apriboti šią teisę arba neleisti ja naudotis tik tiek ir tol, kol tai būtina siekiant apsaugoti svarbų viešojo intereso tikslą ir kai šie veiksmai yra jam proporcingi (pavyzdžiui, tiek ir tol, kol teisės suteikimu būtų trukdoma vykstančiam tyrimui arba dėl jo kiltų grėsmė nacionaliniam saugumui), arba kai teisės suteikimas galėtų kelti pavojų trečiojo asmens gyvybei ar fizinei sveikatai. Taigi norint taikyti tokį apribojimą reikia suderinti asmens teises ir interesus su atitinkamu viešuoju interesu ir toks apribojimas jokiu atveju negali turėti įtakos esminių šios teisės aspektų įgyvendinimui (Konstitucijos 37 straipsnio 2 dalis). Jei prašymas atmetamas arba apribojamas, asmeniui turi būti nedelsiant pranešta apie priežastis.

(205) Antra, asmenys turi teisę ginti savo teises pagal AIAĮ, jei tvarkydama jų duomenis nacionalinė saugumo institucija pažeidė AIAĮ arba kituose asmens duomenų rinkimą reglamentuojančiuose įstatymuose (visų pirma RPAĮ (žr. (171) konstatuojamąją dalį) nustatytus apribojimus ir apsaugos priemones. Šia teise galima pasinaudoti pateikus skundą AIAK (be kita ko, per Korėjos interneto ir saugumo agentūros administruojamą privatumo apsaugos skambučių centrą). Be to, siekiant sudaryti palankesnes sąlygas ginti savo teises nukentėjus dėl Korėjos nacionalinių saugumo institucijų veiksmų, ES esantiems asmenims suteikiamos galimybės skundą AIAK pateikti per savo nacionalinę duomenų apsaugos instituciją. Tokiu atveju, kai tyrimas baigiamas, AIAK informuoja asmenį (įskaitant, kai taikoma, pateikdama informaciją apie taikomus taisomuosius veiksmus) per nacionalinę duomenų apsaugos instituciją. Be to, remdamiesi Administracinių ginčų įstatymu, asmenys gali apskųsti AIAK sprendimus arba neveikimą (žr. (132) konstatuojamąją dalį).

(206) Trečia, asmenys gali pateikti skundą ŽTAP dėl jų teisės į privatumą ir (arba) duomenų apsaugą pažeidimo vykdant kovos su terorizmu veiklą (t. y. remdamiesi Kovos su terorizmu įstatymu), o pastarasis gali rekomenduoti taisomuosius veiksmus. Teikiant skundą ŽTAP nėra taikomi priimtinumo reikalavimai, todėl skundas bus nagrinėjamas net jei atitinkamas asmuo negali įrodyti, kad jis iš tikrųjų patyrė žalą (pavyzdžiui, dėl to, kad nacionalinė saugumo institucija tariamai neteisėtai rinko jo duomenis). Atitinkama institucija turi informuoti ŽTAP apie visas priemones, kurių ėmėsi jo rekomendacijoms įgyvendinti.

(207) Ketvirta, asmenys gali pateikti skundą NŽTK dėl to, kad nacionalinės saugumo institucijos renka jų duomenis, ir ginti savo teises pagal (178) konstatuojamojoje dalyje aprašytą procedūrą.

(208) Galiausiai asmenys gali naudotis įvairiomis teisminėmis teisių gynimo priemonėmis, kad galėtų apginti savo teises pasinaudodami 3.3.1 skirsnyje aprašytais apribojimais ir apsaugos priemonėmis. Visų pirma asmenys gali užginčyti nacionalinių saugumo institucijų veiksmų teisėtumą pagal Administracinių ginčų įstatymą ((181) konstatuojamojoje dalyje nustatyta tvarka) arba Konstitucinio Teismo įstatymą (žr. (182) konstatuojamąją dalį). Be to, jiems gali būti atlyginama žala pagal Valstybės kompensacijų įstatymą (kaip išsamiau aprašyta (183) konstatuojamojoje dalyje).

IŠVADA

(209) Komisija mano, kad taikant AIAĮ, specialias taisykles, taikomas tam tikriems sektoriams (kaip analizuojama 2 skirsnyje), ir papildomas apsaugos priemones, numatytas pranešime Nr. 2021-5 (I priedas), Korėjos Respublikoje užtikrinama tokio lygio iš Europos Sąjungos perduotų asmens duomenų apsauga, kuri yra iš esmės lygiavertė Reglamentu (ES) 2016/679 garantuojamai apsaugai.

(210) Be to, Komisija mano, kad pagal Korėjos teisę numatytais priežiūros mechanizmais ir teisių gynimo galimybėmis, vertinant juos kaip visumą, sudaromos galimybės praktiškai nustatyti Korėjos duomenų valdytojų padarytus duomenų apsaugos taisyklių pažeidimus ir jų atžvilgiu imtis veiksmų, o duomenų subjektui suteikiama teisių gynimo priemonių, kad jis galėtų susipažinti su savo asmens duomenimis ir vėliau pasiekti, kad šie duomenys būtų ištaisyti arba ištrinti.

(211) Galiausiai Komisija, remdamasi turima informacija apie Korėjos teisinę tvarką, įskaitant Korėjos vyriausybės pareiškimus, garantijas ir įsipareigojimus, pateiktus II priede, mano, kad bet koks Korėjos valdžios institucijų vykdomas asmenų, kurių asmens duomenys iš Europos Sąjungos perduodami į Korėjos Respubliką, pagrindinių teisių ribojimas viešojo intereso tikslais, visų pirma baudžiamosios teisėsaugos ir nacionalinio saugumo tikslais, bus griežtai apribojamas jį taikant tik tada, kai būtina atitinkamam teisėtam tikslui pasiekti, ir kad egzistuoja veiksminga teisinė apsauga tokio ribojimo atžvilgiu.

(212) Todėl atsižvelgiant į šio sprendimo išvadas turėtų būti nuspręsta, kad Korėjos Respublika užtikrina tinkamą apsaugos lygį, kaip jis apibrėžtas Reglamento (ES) 2016/679 45 straipsnyje, kuris aiškinamas atsižvelgiant į Europos Sąjungos pagrindinių teisių chartiją asmens duomenų, perduodamų iš Europos Sąjungos į Korėjos Respubliką Korėjos Respublikos asmens duomenų valdytojams, kuriems taikoma AIAĮ, tvarkymo atžvilgiu, išskyrus asmens duomenis, kuriuos religinės organizacijos tvarko misionierių veiklos tikslais, politinės partijos tvarko keldamos kandidatus, ir asmens kredito informaciją, kurią duomenų valdytojai, kuriuos prižiūri Finansinių paslaugų komisija, tvarko pagal Kredito informacijos įstatymą, jei jie tokią informaciją tvarko.

ŠIO SPRENDIMO PADARINIAI IR DUOMENŲ APSAUGOS INSTITUCIJŲ VEIKSMAI

(213) Valstybės narės ir jų institucijos privalo imtis priemonių, kurios yra būtinos siekiant užtikrinti atitiktį Sąjungos institucijų aktams, nes preziumuojama, kad Sąjungos institucijų teisės aktai yra teisėti, todėl sukelia teisinių pasekmių, kol nėra pripažinti netekusiais galios, panaikinti patenkinus ieškinį dėl panaikinimo, paskelbti negaliojančiais išnagrinėjus prašymą priimti prejudicinį sprendimą arba neteisėtumu grindžiamą prieštaravimą.

(214) Todėl Komisijos sprendimas dėl tinkamumo, kurį ji priėmė pagal Reglamento (ES) 2016/679 45 straipsnio 3 dalį, yra privalomas visoms valstybių narių, kurioms jis skirtas, institucijoms, įskaitant šių valstybių narių nepriklausomas priežiūros institucijas. Visų pirma Europos Sąjungoje esantys duomenų valdytojai arba duomenų tvarkytojai duomenis duomenų valdytojams Korėjos Respublikoje gali perduoti be papildomo leidimo.

(215) Reikėtų priminti, kad pagal Reglamento (ES) 2016/679 58 straipsnio 5 dalį ir kaip išaiškinta Teisingumo Teismo sprendime Schrems, jeigu nacionalinė duomenų apsaugos institucija abejoja, įskaitant tuos atvejus, kai pateikiamas skundas, dėl Komisijos sprendimo dėl tinkamumo derėjimo su asmens pagrindinėmis teisėmis į privatumą ir duomenų apsaugą, nacionalinėje teisėje jai turi būti numatyta teisinė teisių gynimo priemonė, kad ji šiuos prieštaravimus galėtų pareikšti nacionaliniame teisme, kuriam gali prireikti pateikti Teisingumo Teismui prašymą priimti prejudicinį sprendimą.

ŠIO SPRENDIMO STEBĖSENA IR PERŽIŪRA

(216) Remiantis Teisingumo Teismo praktika, ir, kaip pripažįstama Reglamento (ES) 2016/679 45 straipsnio 4 dalyje, Komisija turėtų nuolat stebėti atitinkamus pokyčius trečiojoje valstybėje po sprendimo dėl tinkamumo priėmimo, kad įvertintų, ar trečioji valstybė vis dar užtikrina iš esmės lygiavertį apsaugos lygį. Toks patikrinimas turi būti atliekamas visais atvejais, kai Komisija gauna informacijos, dėl kurios jai šiuo atžvilgiu kyla pagrįstų abejonių.

(217) Todėl Komisija turėtų nuolat stebėti teisinės sistemos ir esamos asmens duomenų tvarkymo praktikos, kaip įvertinta šiame sprendime, situaciją Korėjos Respublikoje, įskaitant tai, kaip Korėjos institucijos laikosi II priede pateiktų pareiškimų, garantijų ir įsipareigojimų. Kad šis procesas vyktų sklandžiau, Korėjos institucijos turėtų nedelsdama informuoti Komisiją apie esminius su šiuo sprendimu susijusius pokyčius dėl verslo subjektų ir valdžios institucijų atliekamo asmens duomenų tvarkymo, taip pat dėl apribojimų bei apsaugos priemonių, taikomų valdžios institucijų prieigai prie asmens duomenų.

(218) Taip pat pažymėtina, jog tam, kad Komisija galėtų veiksmingai vykdyti stebėsenos funkciją, valstybės narės turėtų Komisijai pranešti apie visus atitinkamus veiksmus, kurių ėmėsi nacionalinės duomenų apsaugos institucijos, visų pirma dėl ES duomenų subjektų užklausų ar skundų, susijusių su asmens duomenų perdavimu iš Europos Sąjungos duomenų valdytojams Korėjos Respublikoje. Komisijai taip pat reikėtų pranešti apie bet kokius požymius, kad Korėjos valdžios institucijų, atsakingų už nusikalstamų veikų prevenciją, tyrimą, atskleidimą ar baudžiamąjį persekiojimą už jas, arba atsakingų už nacionalinį saugumą, įskaitant bet kokias priežiūros įstaigas, veiksmais nėra užtikrinama reikiamo lygio apsauga.

(219) Komisija, taikydama Reglamento (ES) 2016/679 45 straipsnio 3 dalį ir atsižvelgdama į tai, kad pagal Korėjos teisinę tvarką suteikiamas apsaugos lygis gali pasikeisti, po šio sprendimo priėmimo turėtų periodiškai tikrinti, ar išvados dėl Korėjos Respublikos užtikrinamos apsaugos lygio tinkamumo vis dar yra faktiškai ir teisiškai pagrįstos.

(220) Todėl šis sprendimas pirmą kartą turėtų būti peržiūrimas per trejus metus po jo įsigaliojimo. Po šios pirmosios peržiūros ir atsižvelgdama į jos rezultatus, Komisija, glaudžiai konsultuodamasi su komitetu, įsteigtu pagal Reglamento (ES) 2016/679 93 straipsnio 1 dalį, nuspręs, ar reikėtų išlaikyti trejų metų ciklą. Bet kuriuo atveju vėlesnės peržiūros turėtų būti atliekamos ne rečiau kaip kas ketverius metus. Peržiūra turėtų apimti visus šio sprendimo veikimo aspektus, visų pirma šio sprendimo I priede nustatytų papildomų apsaugos priemonių taikymą, ypatingą dėmesį skiriant apsaugai, užtikrinamai tolesnio perdavimo atveju; atitinkamiems teismų praktikos pokyčiams; informacijos, kuriai suteikti pseudonimai, tvarkymo viešojo intereso pagrindu statistikos, mokslinių tyrimų ir archyvavimo tikslais, taip pat AIAĮ 28 straipsnio 7 dalyje nustatytų išimčių taikymo taisyklėms; naudojimosi asmens teisėmis veiksmingumui, be kita ko, jas įgyvendinant neseniai pertvarkytoje AIAK, ir šių teisių išimčių taikymui; dalinių išimčių pagal AIAĮ taikymui; taip pat apribojimams ir apsaugos priemonėms, susijusiems su vyriausybės prieiga prie informacijos (kaip nustatyta šio sprendimo II priede), įskaitant AIAK bendradarbiavimą su ES duomenų apsaugos institucijomis dėl asmenų skundų. Ji taip pat turėtų apimti priežiūros ir vykdymo užtikrinimo (visų pirma vykdomų AIAK ir NŽTK) veiksmingumą taikant AIAĮ ir baudžiamosios teisėsaugos bei nacionalinio saugumo srityje.

(221) Komisija, atlikdama šią peržiūrą, turėtų susitikti su AIAK, kurią lydėtų (jei reikia) kitos už vyriausybės galimybę susipažinti su informacija atsakingos Korėjos institucijos, įskaitant atitinkamas priežiūros institucijas. Turėtų būti suteiktos galimybės šiame susitikime dalyvauti Europos duomenų apsaugos valdybos atstovams. Atlikdama peržiūrą Komisija turėtų AIAK prašyti pateikti išsamią informaciją apie visus su sprendimu dėl tinkamumo susijusius aspektus, įskaitant apribojimus ir apsaugos priemones, susijusias su vyriausybės galimybe susipažinti su duomenimis. Komisija taip pat turėtų prašyti pateikti paaiškinimus dėl bet kokios gautos informacijos, susijusios su šiuo sprendimu, įskaitant viešas Korėjos institucijų ar kitų suinteresuotųjų subjektų Korėjoje, Europos duomenų apsaugos valdybos, atskirų duomenų apsaugos institucijų, pilietinės visuomenės grupių, žiniasklaidos ataskaitas ar bet kokius kitus informacijos šaltinius.

(222) Remdamasi peržiūra, Komisija turėtų parengti viešą ataskaitą, kuri bus teikiama Europos Parlamentui ir Tarybai.

SPRENDIMO GALIOJIMO SUSTABDYMAS, PANAIKINIMAS ARBA KEITIMAS

(223) Jeigu iš turimos informacijos, ypač iš informacijos, surinktos vykdant stebėseną pagal šį sprendimą, arba iš informacijos, kurią pateikia Korėjos arba valstybių narių institucijos, paaiškėja, kad Korėjos Respublikoje užtikrinamas duomenų apsaugos lygis nebėra pakankamas, Komisija turėtų apie tai nedelsdama informuoti kompetentingas Korėjos institucijas ir paprašyti per nustatytą protingą terminą imtis tinkamų priemonių.

(224) Jeigu, pasibaigus tam konkrečiam terminui, Korėjos kompetentingos institucijos nesiima tų priemonių arba kitaip įtikinamai neįrodo, kad šis sprendimas toliau grindžiamas tinkamu apsaugos lygiu, Komisija inicijuos Reglamento (ES) 2016/679 93 straipsnio 2 dalyje nurodytą procedūrą, siekdama iš dalies arba visiškai sustabdyti šio sprendimo galiojimą arba jį panaikinti.

(225) Kitu atveju Komisija pradeda procedūrą, siekdama iš dalies pakeisti sprendimą, visų pirma nustatydama, kad duomenų perdavimui turi būti taikomos papildomos sąlygos, arba apribodama išvadą dėl duomenų apsaugos tinkamumo taip, kad ji būtų taikoma tik tam duomenų perdavimui, kurį vykdant užtikrinamas tinkamo lygio duomenų apsaugos tęstinumas.

(226) Komisija galiojimo sustabdymo arba panaikinimo procedūrą visų pirma turėtų inicijuoti tuo atveju, kai yra požymių, kad verslo subjektai, gaunantys asmens duomenis pagal šį sprendimą, netaiko I priede pateiktų papildomų apsaugos priemonių ir (arba) ne iki galo užtikrinamas jų taikymas, arba kad Korėjos institucijos nesilaiko pareiškimų, garantijų ir įsipareigojimų, pateiktų šio sprendimo II priede.

(227) Komisija taip pat turėtų apsvarstyti galimybę pradėti procedūrą dėl šio sprendimo pakeitimo, jo galiojimo sustabdymo arba panaikinimo, jeigu atliekant peržiūrą arba kitu metu kompetentingos Korėjos institucijos nepateikia informacijos arba paaiškinimų, kurie yra būtini norint įvertinti iš Europos Sąjungos į Korėjos Respubliką perduodamiems asmens duomenims užtikrinamą apsaugos lygį arba tai, kaip laikomasi šio sprendimo. Šiuo atžvilgiu Komisija turėtų atsižvelgti į tai, kiek atitinkamos informacijos ji gali gauti iš kitų šaltinių.

(228) Remdamasi tinkamai pagrįsta privalomos skubos priežastimi, Komisija pasinaudos galimybe pagal Reglamento (ES) 2016/679 93 straipsnio 3 dalyje nustatytą procedūrą priimti nedelsiant taikytinus įgyvendinimo aktus, kuriais sprendimo galiojimas sustabdomas, sprendimas panaikinamas arba iš dalies pakeičiamas.

BAIGIAMOSIOS PASTABOS

(229) Europos duomenų apsaugos valdyba paskelbė savo nuomonę, į kurią buvo atsižvelgta rengiant šį sprendimą.

(230) Šiame sprendime numatytos priemonės atitinka pagal Reglamento (ES) 2016/679 93 straipsnio 1 dalį įsteigto komiteto nuomonę,

PRIĖMĖ ŠĮ SPRENDIMĄ:

1 straipsnis

1. Atsižvelgdama į Reglamento (ES) 2016/679 45 straipsnį Korėjos Respublika užtikrina tinkamą asmens duomenų, iš Europos Sąjungos perduodamų subjektams Korėjos Respublikoje, apsaugos lygį pagal Asmeninės informacijos apsaugos įstatymą, kurį papildo I priede išdėstytos papildomos apsaugos priemonės kartu su II priede pateiktais oficialiais pareiškimais, garantijomis ir įsipareigojimais.

2. Šis sprendimas netaikomas asmens duomenims, perduodamiems vienai iš toliau nurodytų kategorijų priklausantiems gavėjams, kai visi arba dalis asmens duomenų tvarkymo tikslų atitinka vieną iš nurodytų tikslų, atitinkamai:

2.

(a) religinėms organizacijoms, kai jos tvarko asmens duomenis misionierių veiklos tikslais;

(b) politinėms partijoms, kai jos tvarko asmens duomenis iškeldamos kandidatus;

(c) subjektams, kuriuos prižiūri Finansinių paslaugų komisija, kai jie tvarko asmeninę kredito informaciją pagal Kredito informacijos įstatymą, jei jie tvarko tokią informaciją.

2 straipsnis Jei valstybių narių kompetentingos institucijos, siekdamos apsaugoti asmenis tvarkant jų asmens duomenis, įgyvendina savo įgaliojimus pagal Reglamento (ES) 2016/679 58 straipsnį dėl duomenų perdavimo, kuris patenka į šio sprendimo 1 straipsnyje nustatytą taikymo sritį, atitinkama valstybė narė turi nedelsdama apie tai informuoti Komisiją.

3 straipsnis

1. Komisija nuolat stebi teisinės sistemos, kuria grindžiamas šis sprendimas, taikymą, įskaitant sąlygas, kuriomis vykdomas tolesnis duomenų perdavimas, įgyvendinamos asmens teisės ir Korėjos valdžios institucijoms suteikiama prieiga prie duomenų, kurie buvo perduoti pagal šį sprendimą, siekdama įvertinti, ar Korėjos Respublika ir toliau užtikrina tinkamą 1 straipsnyje nurodytą apsaugos lygį.

2. Valstybės narės ir Komisija viena kitą turi informuoti apie atvejus, kai Asmeninės informacijos apsaugos komisija arba bet kokia kita kompetentinga Korėjos institucija neužtikrina, kad būtų laikomasi teisinės sistemos, kuria grindžiamas šis sprendimas.

3. Valstybės narės ir Komisija viena kitą turi informuoti apie bet kokius požymius, kad Korėjos valdžios institucijos riboja asmenų teisę į jų asmens duomenų apsaugą viršydamos tai, kas yra būtina, arba apie tai, kad tokio ribojimo atžvilgiu nėra suteikiama jokios veiksmingos teisinės apsaugos.

4. Po trejų metų nuo pranešimo apie šį sprendimą valstybėms narėms, o paskui – ne rečiau kaip kas ketverius metus, Komisija turi įvertinti 1 straipsnio 1 dalyje pateiktą išvadą remdamasi visa turima informacija, įskaitant informaciją, gautą peržiūros, kuri atliekama kartu su atitinkamomis Korėjos institucijomis, metu.

5. Jei Komisija nustato, kad yra požymių, kad tinkamas apsaugos lygis daugiau nebeužtikrinamas, Komisija turi apie tai informuoti kompetentingas Korėjos institucijas. Prireikus, Komisija gali nuspręsti laikinai sustabdyti šio sprendimo taikymą, jį iš dalies pakeisti ar panaikinti, arba apriboti jo taikymo sritį pagal Reglamento (ES) 2016/679 45 straipsnio 5 dalį, visų pirma, jei yra požymių, kad: Komisija taip pat gali taikyti tokias priemones, jei dėl nepakankamo Korėjos vyriausybės bendradarbiavimo Komisija negali nustatyti, ar Korėjos Respublikoje ir toliau užtikrinamas tinkamas apsaugos lygis.

5.

(a) duomenų valdytojai Korėjoje, kurie gavo asmens duomenis iš Europos Sąjungos pagal šį sprendimą, netaiko šio sprendimo I priede pateiktų papildomų apsaugos priemonių, arba jų taikymo priežiūra ir užtikrinimas yra nepakankami;

(b) Korėjos valdžios institucijos nesilaiko II priede pateiktų pareiškimų, garantijų ir įsipareigojimų, įskaitant dėl sąlygų ir ribojimų, taikomų Korėjos valdžios institucijoms renkant pagal šį sprendimą perduotus asmens duomenis ir su jais susipažįstant baudžiamosios teisėsaugos arba nacionalinio saugumo tikslais.

4 straipsnis Šis sprendimas skirtas valstybėms narėms.

Priimta Briuselyje 2021 m. gruodžio 17 d. Komisijos vardu Didier REYNDERS Komisijos narys

ANNEX

I PRIEDAS

PAPILDOMOS TAISYKLĖS DĖL ASMENINĖS INFORMACIJOS APSAUGOS ĮSTATYMO AIŠKINIMO IR TAIKYMO, SUSIJUSIOS SU Į KORĖJĄ PERDUOTŲ ASMENS DUOMENŲ TVARKYMU I.

Apžvalga Po Korėjos ir Europos Sąjungos (toliau – ES) diskusijų dėl tinkamumo Europos Komisija nustatė, kad Korėja užtikrina tinkamą asmens duomenų apsaugos lygį, kaip numatyta BDAR 45 straipsnyje. Atsižvelgdama į šias aplinkybes, Asmeninės informacijos apsaugos komisija priėmė šį pranešimą remdamasi Asmeninės informacijos apsaugos įstatymo 5 straipsniu (Valstybės pareigos ir kt.) ir 14 straipsniu (Tarptautinis bendradarbiavimas), siekdama paaiškinti tam tikrų įstatymo nuostatų aiškinimą, taikymą ir vykdymo užtikrinimą, be kita ko, asmens duomenų, perduotų į Korėją remiantis ES sprendimu dėl tinkamumo, tvarkymo atžvilgiu. Kadangi šis pranešimas turi administracinės taisyklės, kurią kompetentinga administracinė agentūra nustato ir paskelbia, siekdama paaiškinti Asmeninės informacijos apsaugos įstatymo aiškinimo, taikymo ir vykdymo užtikrinimo Korėjos teisinėje sistemoje standartus, statusą, asmeninės informacijos valdytojui jis turi privalomą teisinę galią, o tai reiškia, kad bet koks šio pranešimo pažeidimas gali būti laikomas atitinkamų AIAĮ nuostatų pažeidimu. Be to, jei pažeidus šį pranešimą pažeidžiamos asmeninės teisės ir interesai, atitinkami asmenys gali ginti savo teises kreipdamiesi į Asmeninės informacijos apsaugos komisiją arba teismą. Taigi asmeninės informacijos valdytojui, kuris tvarko į Korėją pagal ES sprendimą dėl tinkamumo perduotą asmeninę informaciją, nesiimant šiame pranešime nustatytų priemonių bus laikoma, kad yra svarių priežasčių manyti, kad buvo padarytas pažeidimas, susijęs su asmenine informacija, o nesiėmus veiksmų gali būti padaryta sunkiai atitaisoma žala, kaip nustatyta įstatymo 64 straipsnio 1 ir 2 dalyse. Tokiais atvejais Asmeninės informacijos apsaugos komisija arba susijusios centrinės administracinės agentūros remdamosi šioje nuostatoje nustatytais įgaliojimais gali nurodyti atitinkamam asmeninės informacijos valdytojui imtis taisomųjų ir kt. veiksmų, o atsižvelgiant į konkrečius įstatymo pažeidimus taip pat gali būti skiriamos atitinkamos bausmės (sankcijos, administracinės baudos ir t. t.).

II.

Sąvokų apibrėžtys Šioje nuostatoje vartojamų sąvokų apibrėžtys:

(i) įstatymas – Asmeninės informacijos apsaugos įstatymas (įstatymas Nr. 16930, iš dalies pakeistas 2020 m. vasario 4 d. ir įsigaliojęs 2020 m. rugpjūčio 5 d.);

(ii) Prezidento dekretas – Asmeninės informacijos apsaugos įstatymo vykdymo užtikrinimo dekretas (2020 m. kovo 3 d. Prezidento dekretas Nr. 30509, kuriuo iš dalies keičiami kiti įstatymai);

(iii) duomenų subjektas – asmuo, kurio tapatybę galima nustatyti tvarkant informaciją ir kuris tampa tos informacijos objektu;

(iv) asmeninės informacijos valdytojas – viešoji įstaiga, juridinis asmuo, organizacija, fizinis asmuo ir t. t., kuris vykdydamas veiklą tiesiogiai ar netiesiogiai tvarko asmeninę informaciją;

(v) ES – ES (2020 m. vasario mėn. pabaigoje – 27 valstybės narės, įskaitant Belgiją, Vokietiją, Prancūziją, Italiją, Liuksemburgą, Nyderlandus, Daniją, Airiją, Graikiją, Portugaliją, Ispaniją, Austriją, Suomiją, Švediją, Kiprą, Čekijos Respubliką, Estiją, Vengriją, Latviją, Lietuvą, Maltą, Lenkiją, Slovakiją, Slovėniją, Rumuniją, Bulgariją ir Kroatiją) ir su ES pagal EEE susitarimą susijusios šalys (Islandija, Lichtenšteinas ir Norvegija);

(vi) BDAR – ES bendrasis asmeninės informacijos apsaugos teisės aktas, Bendrasis duomenų apsaugos reglamentas (Reglamentas (ES) 2016/679);

(vii) Sprendimas dėl tinkamumo – remiantis BDAR 45 straipsnio 3 dalimi, Europos Komisijos sprendimas, kad trečioji valstybė, trečiosios valstybės teritorija arba vienas ar daugiau sektorių joje, arba tarptautinė organizacija užtikrina asmeninės informacijos apsaugą, kuri yra tinkamo lygio.

III.

Papildomos taisyklės

1. Asmeninės informacijos naudojimo ir teikimo ne pagal tikslą apribojimas (įstatymo 3, 15 ir 18 straipsniai)

<Asmeninės informacijos apsaugos įstatymas (įstatymas Nr. 16930, iš dalies pakeistas 2020 m. vasario 4 d.)> 3 straipsnis (Asmeninės informacijos apsaugos principai). 1) Asmeninės informacijos valdytojas aiškiai nurodo, kokiais tikslais tvarkoma asmeninė informacija, ir teisėtai bei sąžiningai renka tokį asmeninės informacijos kiekį, kuris yra būtinas tokiems tikslams pasiekti. 2) Asmeninės informacijos valdytojas asmeninę informaciją tvarko tinkamai, kaip būtina tikslams, kurių pagrindu ji tvarkoma, pasiekti, ir nenaudoja jos jokiais kitais tikslais. 15 straipsnis (Asmeninės informacijos rinkimas ir naudojimas). 1) Asmeninės informacijos valdytojas asmeninę informaciją gali rinkti bet kuriomis iš šių aplinkybių ir gali ją naudoti rinkimo tikslu: 18 straipsnis (Asmeninės informacijos naudojimo ir teikimo ne pagal tikslą apribojimas). 1) Asmeninės informacijos valdytojas nenaudoja asmeninės informacijos kitais tikslais nei nurodyti 15 straipsnio 1 dalyje ir 39-3 straipsnio 1 ir 2 dalyse arba neteikia jos jokiai trečiajai šaliai kitais tikslais nei nurodyti 17 straipsnio 1 ir 3 dalyse. 2) Nepaisant 1 dalies, tais atvejais, kai taikomas kuris nors iš toliau nurodytų punktų, asmeninės informacijos valdytojas gali naudoti asmeninę informaciją arba ją teikti trečiajai šaliai kitais tikslais, išskyrus atvejus, kai taip galėtų būti nepagrįstai pažeisti duomenų subjekto ar trečiosios šalies interesai (atsižvelgiant į tai, kad informacijos ir ryšių paslaugų teikėjams [kaip nustatyta Informacijos ir ryšių tinklų naudojimo ir duomenų apsaugos skatinimo įstatymo 2 straipsnio 1 dalies 3 punkte ir kt.; toliau taikoma ta pati nuostata], tvarkantiems naudotojų asmeninę informaciją [kaip nustatyta Informacijos ir ryšių tinklų naudojimo ir duomenų apsaugos skatinimo įstatymo 2 straipsnio 1 dalies 4 punkte ir kt.; toliau taikoma ta pati nuostata], taikomi tik 1 ir 2 punktai, o 5–9 punktai taikomi tik viešosioms institucijoms): 3–4 punktai praleisti 5) Kai asmeninės informacijos valdytojas asmeninę informaciją trečiajai šaliai teikia kitais tikslais nei numatyti ir bet kuriuo iš 2 dalyje nurodytu atveju, asmeninės informacijos valdytojas nurodo asmeninės informacijos gavėjui apriboti naudojimo tikslą ir būdą bei kitus būtinus aspektus arba parengti būtinas apsaugos priemones, kad būtų užtikrintas asmeninės informacijos saugumas. Tokiais atvejais tokį nurodymą gavęs asmuo imasi būtinų priemonių, kad užtikrintų asmeninės informacijos saugumą.

1.

grp_1

1. gavęs duomenų subjekto sutikimą;

2. kai tai numatyta specialiomis teisės aktų nuostatomis arba neišvengiama siekiant įvykdyti teisinius įsipareigojimus;

3. kai tai neišvengiama viešajai institucijai siekiant vykdyti savo pareigas, priskirtas jos jurisdikcijai, kaip nustatyta įstatymuose ir pan.;

4. kai tai neišvengiamai būtina siekiant taikyti ir vykdyti su duomenų subjektu pasirašytą sutartį;

5. kai tai akivaizdžiai būtina siekiant apsaugoti duomenų subjekto arba trečiosios šalies gyvybę, fizinius ar turtinius interesus nuo gresiančio pavojaus, jei duomenų subjektas ar jo teisėtas atstovas negali išreikšti savo ketinimų arba neįmanoma gauti jo išankstinio sutikimo, nes nežinomi jo adresai ir kt.;

6. kai tai būtina siekiant asmeninės informacijos valdytojo pagrįsto intereso, jei toks interesas yra akivaizdžiai viršesnis už duomenų subjekto teises. Tokiais atvejais duomenis leidžiama tvarkyti tik tiek, kiek tvarkymas yra pagrįstai susijęs su asmeninės informacijos valdytojo pagrįstu interesu, ir tvarkomas toks duomenų kiekis, koks yra pagrįstai reikalingas.

1. kai gaunamas papildomas duomenų subjekto sutikimas;

2. kai tai numatyta kitose konkrečiose teisės aktų nuostatose;

3. kai tai akivaizdžiai būtina siekiant apsaugoti duomenų subjekto arba trečiosios šalies gyvybę, fizinius ar turtinius interesus nuo gresiančio pavojaus, jei duomenų subjektas ar jo teisėtas atstovas negali išreikšti savo ketinimų arba neįmanoma gauti jo išankstinio sutikimo, nes nežinomi jo adresai;

4. ištrinta <2020 m. vasario 4 d. įstatymu Nr. 16930>;

5. kai neįmanoma vykdyti jo jurisdikcijai priskirtų pareigų, kaip numatyta bet kuriame teisės akte, išskyrus atvejus, kai asmeninės informacijos valdytojas asmeninę informaciją naudoja kitais tikslais nei numatytasis, arba teikia ją trečiajai šaliai, ir tai apsvarstyti ir dėl to sprendimą priimti turi Komisija;

6. kai asmeninę informaciją būtina teikti užsienio valstybės vyriausybei arba tarptautinei organizacijai, kad ji galėtų vykdyti sutartį ar kitą tarptautinę konvenciją;

7. kai tai būtina nusikaltimo tyrimui, kaltinimų pateikimui ir baudžiamajam persekiojimui;

8. kai tai būtina, kad teismas galėtų vykdyti su teismo procesu susijusias pareigas;

9. kai tai būtina bausmės, probacijos skyrimui ir sulaikymui.

i)

Įstatymo 3 straipsnio 1 ir 2 dalyse nustatytas principas, pagal kurį asmeninės informacijos valdytojas privalo rinkti tik teisėto tvarkymo tikslu būtiną asmeninę informaciją ir neturėtų jos naudoti kitais tikslais, nei numatyta.

ii)

Vadovaujantis šiuo principu įstatymo 15 straipsnio 1 dalyje nustatyta, kad asmeninės informacijos valdytojo renkama asmeninė informacija gali būti naudojama rinkimo tikslu, o 18 straipsnio 1 dalyje nustatyta, kad asmeninė informacija neturėtų būti naudojama kitu tikslu nei jos rinkimo tikslas arba teikiama trečiajai šaliai.

iii)

Be to, net jei išimtiniais atvejais, nurodytais įstatymo 18 straipsnio 2 dalyje, asmeninė informacija gali būti naudojama kitais tikslais nei numatytasis arba teikiama trečiajai šaliai, turi būti reikalaujama apriboti naudojimo tikslą ar būdą, kad asmeninė informacija galėtų būti saugiai tvarkoma pagal 5 dalį, arba imtis priemonių, būtinų asmeninės informacijos saugumui užtikrinti.

iv)

Anksčiau nurodytos nuostatos vienodai taikomos tvarkant visą asmeninę informaciją, į Korėjos teisinės jurisdikcijos teritoriją gautą iš trečiosios valstybės, neatsižvelgiant į duomenų subjekto pilietybę.

v)

Pavyzdžiui, jei asmeninės informacijos valdytojas ES perduoda asmeninę informaciją asmeninės informacijos valdytojui Korėjoje pagal Europos Komisijos sprendimą dėl tinkamumo, asmeninės informacijos valdytojo ES asmeninės informacijos perdavimo tikslas laikomas asmeninės informacijos valdytojo Korėjoje asmeninės informacijos rinkimo tikslu ir tokiais atvejais asmeninės informacijos valdytojas Korėjoje gali naudoti asmeninę informaciją arba teikti ją trečiajai šaliai tik rinkimo tikslu, išskyrus įstatymo 18 straipsnio 2 dalyje nurodytus išimtinius atvejus.

2. Asmens duomenų tolesnio perdavimo apribojimas (įstatymo 17 straipsnio 3 ir 4 dalys, 18 straipsnis)

<Asmeninės informacijos apsaugos įstatymas (įstatymas Nr. 16930, iš dalies pakeistas 2020 m. vasario 4 d.)> 17 straipsnis (Asmeninės informacijos teikimas). 1) praleistas 2) Gavęs sutikimą pagal 1 dalies 1 punktą, asmeninės informacijos valdytojas informuoja duomenų subjektą apie toliau nurodytus aspektus. Tas pats taikoma, kai bet kuris iš šių aspektų pasikeičia: 3) Asmeninės informacijos valdytojas informuoja duomenų subjektą apie 2 dalyje numatytus aspektus ir gauna duomenų subjekto sutikimą, kad galėtų teikti asmeninę informaciją užsienio valstybėje esančiai trečiajai šaliai; ir nesudaro sutarties dėl tarpvalstybinio asmeninės informacijos perdavimo, jei taip pažeidžiamas šis įstatymas. 4) Asmeninės informacijos valdytojas gali teikti asmeninę informaciją be duomenų subjekto sutikimo tada, kai tai pagrįstai susiję su pradiniais asmeninės informacijos rinkimo tikslais, atsižvelgiant į aspektus, nustatytus Prezidento dekretu, ir į tai, ar duomenų subjektui kyla nepatogumų, ar imtasi būtinų saugumo užtikrinimo priemonių, pvz., šifravimo, ir t. t. ※ Dėl su 18 straipsniu susijusios informacijos žr. 3, 4 ir 5 puslapius. <Asmeninės informacijos apsaugos įstatymo vykdymo užtikrinimo dekretas ([Įsigaliojimo data: 2021 m. vasario 5 d.] [2020 m. rugpjūčio 4 d. Prezidento dekretas Nr. 30892, kuriuo iš dalies keičiami kiti įstatymai])> 14-2 straipsnis (Standartai dėl asmeninės informacijos papildomo naudojimo ir (arba) teikimo, ir kt.). 1) Jei asmeninės informacijos valdytojas naudoja arba teikia asmeninę informaciją (toliau – asmeninės informacijos papildomas naudojimas arba teikimas) be duomenų subjekto sutikimo vadovaudamasis įstatymo 15 straipsnio 3 dalimi arba 17 straipsnio 4 dalimi, asmeninės informacijos valdytojas atsižvelgia į šiuos aspektus: 2) Asmeninės informacijos valdytojas iš anksto atskleidžia 1 dalies punktuose nurodytų aspektų vertinimo kriterijus Privatumo politikoje pagal įstatymo 30 straipsnio 1 dalį, o privatumo pareigūnas pagal įstatymo 31 straipsnio 1 dalį tikrina, ar asmeninės informacijos valdytojas asmeninę informaciją papildomai naudoja arba teikia laikydamasis atitinkamų standartų.

2.

grp_1

1. asmeninės informacijos gavėjas;

2. tikslas, kurio pagrindu asmeninės informacijos gavėjas tokią informaciją naudoja;

3. teiktinos asmeninės informacijos ypatybės;

4. laikotarpis, kurio metu gavėjas saugo ir naudoja asmeninę informaciją;

5. duomenų subjekto teisė atsisakyti duoti sutikimą ir dėl šio atsisakymo jam kilsiantys nepatogumai, jei jų kiltų.

1. ar papildomas asmeninės informacijos naudojimas arba teikimas pagrįstai susijęs su pradiniu asmeninės informacijos rinkimo tikslu,

2. ar papildomą asmeninės informacijos naudojimą arba teikimą galima numatyti atsižvelgiant į aplinkybes, kuriomis asmeninė informacija buvo renkama, ir tvarkymo praktiką,

3. ar papildomas asmeninės informacijos naudojimas arba teikimas nepagrįstai nepažeidžia duomenų subjekto interesų ir

4. ar imtasi priemonių, reikalingų saugumui užtikrinti, kaip antai pseudonimų suteikimo arba šifravimo.

i)

Jei asmeninės informacijos valdytojas teikia asmeninę informaciją trečiajai šaliai užsienio valstybėje, jis turi iš anksto informuoti duomenų subjektus apie visus įstatymo 17 straipsnio 2 dalyje nurodytus aspektus ir gauti jų sutikimą, išskyrus atvejus, numatytus 1 arba 2 punktuose. Neturėtų būti sudaroma jokia sutartis dėl tarpvalstybinio asmens duomenų teikimo, jei taip pažeidžiamas šis įstatymas.

(1) Jei asmeninė informacija teikiama tokiu tikslu, kuris pagrįstai susijęs su pradiniu rinkimo tikslu pagal Įstatymo 17 straipsnio 4 dalį. Tačiau ši nuostata gali būti taikoma tik tais atvejais, kai laikomasi vykdymo užtikrinimo dekreto 14-2 straipsnyje nustatytų asmeninės informacijos papildomo naudojimo ir teikimo standartų. Be to, asmeninės informacijos valdytojas turi atsižvelgti į tai, ar asmeninės informacijos teikimas gali sukelti nepatogumų duomenų subjektams ir ar imtasi būtinų priemonių saugumui užtikrinti, kaip antai šifravimo.

(2) Jei asmeninė informacija gali būti teikiama trečiajai šaliai išimtiniais atvejais, nurodytais įstatymo 18 straipsnio 2 dalyje (žr. 3–5 p.). Tačiau net ir tokiais atvejais, jei tokios asmeninės informacijos teikimas gali nepagrįstai pažeisti duomenų subjekto ar trečiosios šalies interesus, asmeninė informacija negali būti teikiama trečiajai šaliai. Be to, asmeninės informacijos teikėjas privalo reikalauti, kad asmeninės informacijos gavėjas apribotų asmeninės informacijos naudojimo tikslą ar būdą arba imtųsi priemonių, būtinų jos saugumui užtikrinti, kad asmeninė informacija būtų tvarkoma saugiai.

ii)

Jei asmeninė informacija teikiama trečiajai šaliai užsienio valstybėje, dėl skirtumų tarp skirtingose valstybėse taikomų asmeninės informacijos apsaugos sistemų šiai asmeninei informacijai taikomos apsaugos lygis gali neatitikti apsaugos lygio, kuris Korėjoje garantuojamas Asmeninės informacijos apsaugos įstatymu. Atitinkamai, tokie atvejai bus laikomi įstatymo 17 straipsnio 4 dalyje nurodytais atvejais, kai duomenų subjektui gali būti sukelta nepatogumų, arba įstatymo 18 straipsnio 2 dalyje arba to paties įstatymo vykdymo užtikrinimo dekreto 14-2 straipsnyje nurodytais atvejais, kai nepagrįstai pažeidžiami duomenų subjekto ar trečiosios šalies interesai. Kad įvykdytų šių nuostatų reikalavimus, asmeninės informacijos valdytojas ir trečioji šalis turi aiškiai užtikrinti įstatymui lygiavertį apsaugos lygį, įskaitant garantiją, kad duomenų subjektas galės naudotis savo teisėmis, numatytomis teisiškai įpareigojančiuose dokumentuose, kaip antai sutartyse, netgi tada, kai asmeninė informacija perduodama į užsienio valstybę.

3. Pranešimas apie duomenų naudojimą, kai asmens duomenys nebuvo gauti iš duomenų subjekto (įstatymo 20 straipsnis)

<Asmeninės informacijos apsaugos įstatymas (įstatymas Nr. 16930, iš dalies pakeistas 2020 m. vasario 4 d.)> 20 straipsnis (Pranešimas apie iš trečiųjų šalių surinktos asmeninės informacijos šaltinius ir kt.). 1) Kai asmeninės informacijos valdytojas tvarko iš trečiųjų šalių surinktą asmeninę informaciją, duomenų subjekto prašymu asmeninės informacijos valdytojas nedelsdamas praneša tokiam duomenų subjektui apie šiuos aspektus: 2) Nepaisant 1 dalies, kai asmeninės informacijos valdytojas, atitinkantis Prezidento dekrete nustatytus kriterijus, kuriais atsižvelgiama į tvarkomos asmeninės informacijos rūšis ir kiekį, darbuotojų skaičių, pardavimų apimtis ir kt., renka asmeninę informaciją iš trečiųjų šalių ir ją tvarko pagal 17 straipsnio 1 dalies 1 punktą, asmeninės informacijos valdytojas praneša duomenų subjektui apie 1 punkte nurodytus aspektus; su sąlyga, kad tai netaikoma, kai asmeninės informacijos valdytojo surinktoje informacijoje nėra jokios asmeninės informacijos, pavyzdžiui, kontaktinės informacijos, kurią naudojant būtų galima informuoti duomenų subjektą. 3) Būtini aspektai, susiję su pranešimo duomenų subjektui pagal 2 punkto pagrindinį sakinį laiku, būdu ir tvarka, nustatomi Prezidento dekretu. 4) 1 punktas ir pagrindinė 2 punkto sąlyga netaikomi šiomis aplinkybėmis (su sąlyga, kad taip yra tik tuo atveju, kai tai akivaizdžiai viršija duomenų subjektų teises pagal šį įstatymą):

3.

grp_1

1. surinktos asmeninės informacijos šaltinį;

2. asmeninės informacijos tvarkymo tikslą;

3. duomenų subjekto teisę reikalauti sustabdyti asmeninės informacijos tvarkymą, kaip numatyta 37 straipsnyje.

1. kai asmeninė informacija, apie kurią reikia pranešti, įtraukta į asmeninės informacijos bylas, nurodytas bet kuriame 32 straipsnio 2 dalies punkte;

2. kai dėl tokio pranešimo gali kilti grėsmė bet kurio kito asmens gyvybei ar fizinei sveikatai arba gali būti nepagrįstai pakenkta bet kurio kito asmens turtiniams ir kitiems interesams.

(i) Jei asmeninės informacijos valdytojas gauna asmeninę informaciją, perduotą iš ES remiantis joje priimtu sprendimu dėl tinkamumo, jis privalo nedelsdamas ir bet kuriuo atveju ne vėliau kaip per vieną mėnesį nuo informacijos perdavimo duomenų subjektui pateikti informaciją, nurodytą 1–5 punktuose:

(i)

(1) vardą, pavardę arba pavadinimą, taip pat kontaktinę informaciją asmenų, kurie perduoda ir gauna asmeninę informaciją;

(2) perduotos asmeninės informacijos vienetus ar kategorijas;

(3) asmeninės informacijos rinkimo ir naudojimo tikslą (duomenų eksportuotojo nustatytą pagal šio pranešimo 1 punktą);

(4) asmeninės informacijos saugojimo laikotarpį;

(5) informaciją apie duomenų subjekto teises, susijusias su asmeninės informacijos tvarkymu, naudojimosi teisėmis būdą ir tvarką bei bet kokius nepatogumus, jei naudojimasis jomis jų sukelia.

(ii) Be to, jei asmeninės informacijos valdytojas teikia i punkte nurodytą asmeninę informaciją trečiajai šaliai Korėjos Respublikoje arba užsienio valstybėje, prieš teikdamas asmeninę informaciją jis turi pateikti duomenų subjektui 1–5 punktuose nurodytą informaciją:

(ii)

(1) vardą, pavardę arba pavadinimą, taip pat kontaktinę informaciją asmenų, kurie teikia ir gauna asmeninę informaciją;

(2) teikiamos asmeninės informacijos vienetus ar kategorijas;

(3) šalį, į kurią asmeninė informacija bus teikiama, numatomą jos teikimo laikotarpį ir būdą (tik tais atvejais, kai asmeninė informacija teikiama trečiajai šaliai užsienio valstybėje);

(4) asmeninės informacijos teikėjo tikslą ir teisinį pagrindą, kurį taikant asmeninė informacija teikiama;

(5) informaciją apie duomenų subjekto teises, susijusias su asmeninės informacijos tvarkymu, naudojimosi teisėmis būdą ir tvarką bei bet kokius nepatogumus, jei naudojimasis jomis jų sukelia.

(iii) Asmeninės informacijos valdytojas negali taikyti i arba ii punktų bet kuriuo iš 1–4 punktuose nurodytų atvejų:

(iii)

(1) jei asmeninė informacija, kurią tvarkant reikia informuoti duomenų subjektą, yra įtraukta į bet kurią iš įstatymo 32 straipsnio 2 dalyje nurodytų asmeninės informacijos bylų, jei šios nuostatos saugomi interesai yra akivaizdžiai viršesni už duomenų subjekto teises ir tik tol, kol informavimas keltų grėsmę tų interesų įgyvendinimui, pavyzdžiui, būtų kliudoma vykstantiems kriminaliniams tyrimams arba keliama grėsmė nacionaliniam saugumui;

(2) jei ir tol, kol pranešus gali kilti grėsmė asmens ar kito subjekto gyvybei ar fizinei sveikatai arba gali būti nepagrįstai pažeisti kito subjekto turtiniai interesai, kai tos teisės ar interesai yra akivaizdžiai viršesni už duomenų subjekto teises;

(3) jei duomenų subjektas jau turi informaciją, kurią asmeninės informacijos valdytojas privalo jam pateikti pagal i arba ii punktus;

(4) jei asmeninės informacijos valdytojas neturi jokios duomenų subjekto kontaktinės informacijos arba jam reikėtų dėti nepagrįstai dideles pastangas, kad susisiektų su duomenų subjektu, įskaitant atvejus, kai duomenys tvarkomi AIAĮ 3 skirsnyje nustatytomis sąlygomis. Nustatant, ar įmanoma susisiekti su duomenų subjektu ir ar dėl to reikia dėti nepagrįstai dideles pastangas, atsižvelgiama į galimybę bendradarbiauti su duomenų eksportuotoju ES.

4. Informacijai, kuriai suteikti pseudonimai, taikomos specialios išimties taikymo sritis (įstatymo 28-2, 28-3, 28-4, 28-5, 28-6 ir 28-7 straipsniai, 3 ir 58-2 straipsniai)

<Asmeninės informacijos apsaugos įstatymas (įstatymas Nr. 16930, iš dalies pakeistas 2020 m. vasario 4 d.)> III skyrius. Asmeninės informacijos tvarkymas 3 SKIRSNIS. Ypatingi atvejai, susiję su duomenimis, kuriems suteikti pseudonimai 28-2 straipsnis (Duomenų, kuriems suteikti pseudonimai, tvarkymas). 1) Asmeninės informacijos valdytojas gali tvarkyti informaciją, kuriai suteikti pseudonimai, be duomenų subjektų sutikimo, kai ji tvarkoma viešojo intereso pagrindu statistikos, mokslinių tyrimų ir archyvavimo tikslais, ir kt. 2) Asmeninės informacijos valdytojas, trečiajai šaliai teikdamas informaciją, kuriai suteikti pseudonimai, pagal 1 dalį, į ją neįtraukia informacijos, kuri gali būti naudojama tam tikro asmens tapatybei nustatyti. 28-3 straipsnis (Duomenų, kuriems suteikti pseudonimai, sujungimo apribojimas). 1) Nepaisant 28-2 straipsnio, skirtingų asmeninės informacijos valdytojų tvarkomos informacijos, kuriai suteikti pseudonimai, sujungimą siekiant ją viešojo intereso pagrindu tvarkyti statistikos, mokslinių tyrimų, įrašų saugojimo tikslais ir kt. atlieka Apsaugos komisijos arba susijusios centrinės administracinės įstaigos vadovo paskirta specializuota institucija. 2) Asmeninės informacijos valdytojas, ketinantis sujungtą informaciją paskelbti už informaciją sujungusios organizacijos ribų, sutvarkęs informaciją suteikdamas jai pseudonimus arba 58-2 straipsnyje nurodytą formą, turi gauti specializuotos institucijos vadovo sutikimą. 3) Būtini aspektai, įskaitant sujungimo procedūras ir metodus pagal 1 dalį, standartus ir procedūras, kurias taikant valdymo ir priežiūros tikslais paskiriama arba atšaukiama specializuota institucija, ir eksportavimo bei patvirtinimo standartus ir procedūras pagal 2 dalį, nustatomi Prezidento dekretu. 28-4 straipsnis (Pareiga imtis saugumo priemonių dėl duomenų, kuriems suteikti pseudonimai). 1) Tvarkydamas informaciją, kuriai suteikti pseudonimai, asmeninės informacijos valdytojas imasi tokių techninių, organizacinių ir fizinių priemonių, kaip antai atskiras papildomos informacijos, reikalingos siekiant atkurti pradinę jos būklę, saugojimas ir tvarkymas, kurių gali prireikti siekiant užtikrinti jos saugumą, kaip nurodyta Prezidento dekrete, užkertant kelią asmeninės informacijos praradimui, pavogimui, atskleidimui, suklastojimui, pakeitimui ar sugadinimui. 2) Asmeninės informacijos valdytojas, ketinantis tvarkyti informaciją, kuriai suteikti pseudonimai, rengia ir saugo įrašus, susijusius su Prezidento dekrete nustatytais aspektais, įskaitant apie informacijos, kuriai suteikti pseudonimai, tvarkymo tikslą, ir trečiąja šalimi, kai informacija, kuriai suteikti pseudonimai, jai teikiama, kad galėtų valdyti informacijos, kuriai suteikti pseudonimai, tvarkymą. 28-5 straipsnis (Draudžiami veiksmai tvarkant informaciją, kuriai suteikti pseudonimai). 1) Niekas negali tvarkyti informacijos, kuriai suteikti pseudonimai, su tikslu nustatyti tam tikro asmens tapatybę. 2) Kai apdorojant informaciją, kuriai suteikti pseudonimai, sukuriama informacija, kurią naudojant galima nustatyti tam tikro asmens tapatybę, asmeninės informacijos valdytojas turi nutraukti informacijos tvarkymą, informaciją nedelsiant atgauti ir sunaikinti. 28-6 straipsnis (Papildomų administracinių mokesčių taikymas už informacijos, kuriai suteikti pseudonimai, tvarkymą). 1) Duomenų valdytojui, kuris tvarkė duomenis siekdamas nustatyti konkretaus asmens tapatybę pažeisdamas 28-5 straipsnio 1 dalį, Komisija gali skirti baudą, kurios suma mažesnė nei trys šimtosios visų jo pardavimų sumos; su sąlyga, kad tuo atveju, kai pardavimų nėra arba sunku apskaičiuoti pardavimų pajamas, duomenų valdytojui gali būti skirta bauda, lygi didesniajai iš dviejų sumų: 400 milijonų vonų arba trys šimtosios kapitalo sumos. 2) 34-2 straipsnio 3–5 dalys mutatis mutandis taikomos aspektams, būtiniems siekiant taikyti ir surinkti papildomus administracinius mokesčius. 28-7 straipsnis (Taikymo sritis). 20, 21 ir 27 straipsniai, 34 straipsnio 1 dalis, 35–37 straipsniai, 39-3 ir 39-4 straipsniai, 39-6–39-8 straipsniai netaikomi informacijai, kuriai suteikti pseudonimai. I skyrius. Bendrosios nuostatos 3 straipsnis (Asmeninės informacijos apsaugos principai). 1) Asmeninės informacijos valdytojas aiškiai nurodo, kokiais tikslais tvarkoma asmeninė informacija; ir teisėtai bei sąžiningai renka tokį asmeninės informacijos kiekį, kuris yra būtinas tokiems tikslams pasiekti. 2) Asmeninės informacijos valdytojas asmeninę informaciją tvarko tinkamai, kaip būtina tikslams, kurių pagrindu ji tvarkoma, pasiekti, ir nenaudoja jos jokiais kitais tikslais. 3) Asmeninės informacijos valdytojas užtikrina, kad asmeninė informacija būtų tiksli, išsami ir atnaujinta tiek, kiek tai būtina, atsižvelgiant į asmeninės informacijos tvarkymo tikslus. 4) Asmeninės informacijos valdytojas asmeninę informaciją tvarko saugiai, taikydamas asmeninės informacijos tvarkymo metodus, rūšis ir t. t. bei atsižvelgdamas į duomenų subjektų teisių pažeidimo galimybę ir susijusių pavojų mastą. 5) Asmeninės informacijos valdytojas viešai skelbia savo privatumo politiką ir kitą su asmeninės informacijos tvarkymu susijusią informaciją; ir užtikrina duomenų subjekto teisių, kaip antai teisės susipažinti su savo asmenine informacija, įgyvendinimą. 6) Asmeninės informacijos valdytojas asmeninę informaciją tvarko taip, kad galimybė pažeisti duomenų subjekto privatumą būtų kuo mažesnė. 7) Jei tvarkant nuasmenintą informaciją arba informaciją, kuriai suteikti pseudonimai, vis tiek įmanoma pasiekti asmeninės informacijos rinkimo tikslus, asmeninės informacijos valdytojas turi stengtis asmeninę informaciją tvarkyti ją nuasmeninęs, jei ją įmanoma nuasmeninti, arba jai suteikęs pseudonimus, jei asmeninės informacijos rinkimo tikslų neįmanoma pasiekti tvarkant nuasmenintą informaciją. 8) Asmeninės informacijos valdytojas turi stengtis įgyti duomenų subjektų pasitikėjimą atsižvelgdamas į tokias pareigas ir užduotis ir jas vykdydamas, kaip numatyta šiame įstatyme ir kituose susijusiuose įstatymuose. IX skyrius. Papildomos nuostatos 58-2 straipsnis (Atleidimas nuo taikymo). Šis įstatymas netaikomas informacijai, kurią sujungus su kita informacija nebeįmanoma nustatyti tam tikro asmens tapatybės, pagrįstai atsižvelgiant į laiką, sąnaudas, technologijas ir kt. <Šis straipsnis naujai įtrauktas 2020 m. vasario 4 d. įstatymu Nr. 16930>

4. i)

Pagal III skyriaus 3 skirsnį (Ypatingi atvejai, susiję su duomenimis, kuriems suteikti pseudonimai) (28-2–28-7 straipsniai) leidžiama be duomenų subjekto sutikimo tvarkyti informaciją, kuriai suteikti pseudonimai, statistikos rengimo, mokslinių tyrimų vykdymo, viešųjų įrašų saugojimo tikslais ir kt. (28-2 straipsnis), tačiau tokiais atvejais privaloma užtikrinti atitinkamas apsaugos priemones ir taikyti draudimus, būtinus duomenų subjektų teisėms apsaugoti (28-4 ir 28-5 straipsniai), pažeidėjams gali būti taikomos baudos (28-6 straipsnis), o tam tikros apsaugos priemonės, kitais atvejais taikomos pagal AIAĮ, nėra taikomos (28-7 straipsnis).

ii)

Šios nuostatos netaikomos tais atvejais, kai informacija, kuriai suteikti pseudonimai, tvarkoma kitais tikslais nei statistikos rengimo, mokslinių tyrimų vykdymo, viešųjų įrašų saugojimo ir kt. Pavyzdžiui, jei ES esančio asmens asmeninei informacijai, kuri buvo perduota į Korėją pagal Europos Komisijos sprendimą dėl tinkamumo, yra suteikti pseudonimai kitais nei statistikos rengimo, mokslinių tyrimų vykdymo, viešųjų įrašų saugojimo ir kt. tikslais, specialiosios III skyriaus 3 skirsnio nuostatos netaikomos.

iii)

Kai asmeninės informacijos valdytojas tvarko informaciją, kuriai suteikti pseudonimai, statistikos rengimo, mokslinių tyrimų vykdymo, viešųjų įrašų saugojimo ir kt. tikslais ir jei informacija, kuriai suteikti pseudonimai, nebuvo sunaikinta pasiekus konkretų tvarkymo tikslą pagal Konstitucijos 37 straipsnį ir įstatymo 3 straipsnį (Asmeninės informacijos apsaugos principai), jis nuasmenina informaciją siekdamas užtikrinti, kad ją naudojant, vieną ar sujungtą su kita informacija, nebebūtų įmanoma nustatyti konkretaus asmens tapatybės, pagrįstai atsižvelgiant į tam reikalingą laiką, išlaidas, technologijas ir kt. pagal AIAĮ 58-2 straipsnį.

5. Taisomieji veiksmai ir kt. (įstatymo 64 straipsnio 1, 2 ir 4 dalys) Centrinė administracinė agentūra ir kt., būdamos valdžios institucijomis, kurios privalo laikytis teisinės valstybės principo, negali pažeisti jokio įstatymo ir privalo imtis taisomųjų veiksmų, įskaitant nedelsiant nutraukti veiksmus ir atlyginti žalą, jei išimtiniu atveju neteisėtos veiklos vis dėlto buvo imtasi. Atitinkamai, net ir nesikišant Apsaugos komisijai, pagal AIAĮ 64 straipsnio 4 dalį centrinė administracinė agentūra ir kt., sužinojusios apie įstatymo pažeidimą, privalo imtis su pažeidimu susijusių taisomųjų veiksmų. Visų pirma tais atvejais, kai Apsaugos komisija rekomendavo taisomąją priemonę, centrinei administracinei agentūrai ir kt. paprastai bus objektyviai aišku, kad jos pažeidė įstatymą. Taigi centrinė administracinė agentūra ir kt., siekdamos pagrįsti, kodėl jų manymu neturėtų būti vykdoma Apsaugos komisijos rekomendacija, turi pateikti aiškų pagrindą, kuriuo remiantis įrodoma, kad jos nepažeidė įstatymo. Rekomendacija turi būti vykdoma, išskyrus atvejus, kai Apsaugos komisija nusprendžia, kad įstatymas iš tiesų nepažeistas. Atsižvelgiant į tai, Asmeninės informacijos apsaugos įstatymo 64 straipsnio 4 dalyje nurodytos ypatingos aplinkybės turi būti griežtai taikomos tik ypatingomis aplinkybėmis, kurioms esant centrinės administracinės agentūros ir kt. turi aiškų pagrindą, kuriuo remiantis galima įrodyti, kad šis įstatymas iš tiesų nebuvo pažeistas, pavyzdžiui, atvejai, kai yra ypatingų (faktinių ar teisinių) aplinkybių, kurių Apsaugos komisija, pateikdama savo rekomendaciją, nežinojo, o Apsaugos komisija nustato, kad pažeidimas iš tikrųjų nebuvo padarytas.

<Asmeninės informacijos apsaugos įstatymas (įstatymas Nr. 16930, iš dalies pakeistas 2020 m. vasario 4 d.)> 64 straipsnis (Taisomieji veiksmai). 1) Jei Apsaugos komisija turi rimtą pagrindą manyti, kad buvo padarytas su asmenine informacija susijęs pažeidimas, o nesiėmus veiksmų gali būti padaryta žala, kurią sunku ištaisyti, ji gali įpareigoti šio įstatymo pažeidėją (išskyrus centrines administracines agentūras, vietos valdžios institucijas, Nacionalinę Asamblėją, teismą, Konstitucinį Teismą ir Nacionalinę rinkimų komisiją) imtis šių veiksmų: 2) Jei susijusios centrinės administracinės agentūros vadovas turi rimtą pagrindą manyti, kad buvo pažeistas asmeninės informacijos saugumas, o nesiėmus veiksmų gali būti padaryta žala, kurią sunku ištaisyti, jis gali įpareigoti asmeninės informacijos valdytoją imtis bet kurių 1 dalyje numatytų veiksmų pagal įstatymus, priklausančius tokios susijusios centrinės administracinės agentūros jurisdikcijai. 4) Jei centrinė administracinė agentūra, vietos valdžios institucija, Nacionalinė Asamblėja, teismas, Konstitucinis Teismas ar Nacionalinė rinkimų komisija pažeidžia šį įstatymą, Apsaugos komisija gali rekomenduoti atitinkamos įstaigos vadovui imtis bet kurių iš 1 dalyje numatytų veiksmų. Tokiais atvejais agentūra gavusi rekomendaciją ją vykdo, išskyrus atvejus, kai tai neįmanoma dėl ypatingų aplinkybių.

5.

grp_1

1. nebevykdyti su asmenine informacija susijusio pažeidimo;

2. laikinai sustabdyti asmeninės informacijos tvarkymą;

3. kitų veiksmų, būtinų asmeninei informacijai apsaugoti ir užkirsti kelią asmeninės informacijos pažeidimui.

i)

Visų pirma teismų praktikoje žala, kurią sunku ištaisyti aiškinama kaip atvejis, kai galima pakenkti asmens asmeninėms teisėms arba privatumui.

ii)

Todėl 64 straipsnio 1 ir 2 dalyse nustatyta, kad turi rimtą pagrindą manyti, kad buvo pažeistas asmeninės informacijos saugumas, o nesiėmus veiksmų gali būti padaryta žala, kurią sunku ištaisyti reiškia atvejus, kai pažeidus įstatymą gali būti pažeistos asmenų teisės ir laisvė, susiję su asmenine informacija. Tai bus taikoma visais atvejais, kai bus pažeisti bet kokie įstatyme nustatyti principai, teisės ir pareigos, kuriais siekiama apsaugoti asmeninę informaciją.

iii)

Pagal Asmeninės informacijos apsaugos įstatymo 64 straipsnio 4 dalį tai veiksmas, skirtas taikyti šio įstatymo pažeidimo atveju, t. y. veiksmas, taikytinas AIAĮ pažeidimo atveju.

6. AIAĮ taikymas tvarkant asmens duomenis nacionalinio saugumo tikslais, įskaitant pažeidimų tyrimą ir vykdymo užtikrinimą pagal AIAĮ (AIAĮ 7-8, 7-9, 58, 3, 4 ir 62 straipsniai)

6.

3.4.5. <Asmeninės informacijos apsaugos įstatymas (įstatymas Nr. 16930, iš dalies pakeistas 2020 m. vasario 4 d.)> 7-8 straipsnis (Apsaugos komisijos funkcijos). 1) Apsaugos komisija atlieka šias funkcijas: […] vykdo su duomenų subjektų teisių pažeidimu susijusius tyrimus ir priima su jais susijusius sprendimus; nagrinėja su asmeninės informacijos tvarkymu susijusius skundus arba taiko taisomąsias procedūras ir tarpininkauja ginčuose dėl asmeninės informacijos; […] 7-9 straipsnis (Apsaugos komisijos sprendimai ir nutarimai). 1) Apsaugos komisija sprendžia ir priima nutarimus dėl šių klausimų: […] teisės aktų, susijusių su asmeninės informacijos apsauga, aiškinimo ir įgyvendinimo; […] 58 straipsnis (Dalinis netaikymas). 1) III–VII skyriai netaikomi šiems asmens duomenims: [2 ir 3 punktai praleisti] 4) Asmeninės informacijos valdytojas, tvarkydamas asmeninę informaciją pagal 1 punktą, ją tvarko tiek, kiek tai būtina numatytam tikslui pasiekti per trumpiausią laikotarpį; taip pat imasi būtinų priemonių, pavyzdžiui, techninių, valdymo ir fizinių apsaugos priemonių, individualių skundų nagrinėjimo ir kitų būtinų priemonių, kad tokia asmeninė informacija būtų saugiai valdoma ir tinkamai tvarkoma. 3 straipsnis (Asmeninės informacijos apsaugos principai). 1) Asmeninės informacijos valdytojas aiškiai nurodo, kokiais tikslais tvarkoma asmeninė informacija; ir teisėtai bei sąžiningai renka tokį asmeninės informacijos kiekį, kuris yra būtinas tokiems tikslams pasiekti. 2) Asmeninės informacijos valdytojas asmeninę informaciją tvarko tinkamai, kaip būtina tikslams, kurių pagrindu ji tvarkoma, pasiekti, ir nenaudoja jos jokiais kitais tikslais. 3) Asmeninės informacijos valdytojas užtikrina, kad asmeninė informacija būtų tiksli, išsami ir atnaujinta tiek, kiek tai būtina, atsižvelgiant į asmeninės informacijos tvarkymo tikslus. 4) Asmeninės informacijos valdytojas asmeninę informaciją tvarko saugiai, taikydamas asmeninės informacijos tvarkymo metodus, rūšis ir t. t. bei atsižvelgdamas į duomenų subjektų teisių pažeidimo galimybę ir susijusių pavojų mastą. 5) Asmeninės informacijos valdytojas viešai skelbia savo privatumo politiką ir kitą su asmeninės informacijos tvarkymu susijusią informaciją; ir užtikrina duomenų subjekto teisių, kaip antai teisės susipažinti su savo asmenine informacija, įgyvendinimą. 6) Asmeninės informacijos valdytojas asmeninę informaciją tvarko taip, kad galimybė pažeisti duomenų subjekto privatumą būtų kuo mažesnė. 7) Jei tvarkant nuasmenintą informaciją arba informaciją, kuriai suteikti pseudonimai, vis tiek įmanoma pasiekti asmeninės informacijos rinkimo tikslus, asmeninės informacijos valdytojas turi stengtis asmeninę informaciją tvarkyti ją nuasmeninęs, jei ją įmanoma nuasmeninti, arba jai suteikęs pseudonimus, jei asmeninės informacijos rinkimo tikslų neįmanoma pasiekti tvarkant nuasmenintą informaciją. 8) Asmeninės informacijos valdytojas turi stengtis įgyti duomenų subjektų pasitikėjimą atsižvelgdamas į tokias pareigas ir užduotis ir jas vykdydamas, kaip numatyta šiame įstatyme ir kituose susijusiuose įstatymuose. 4 straipsnis (Duomenų subjektų teisės). Duomenų subjektas turi šias su jo asmens informacijos tvarkymu susijusias teises: 62 straipsnis (Pranešimas apie pažeidimus). 1) Bet koks asmuo, kurio teisės ar interesai, susiję su jo asmenine informacija, buvo pažeisti asmens duomenų valdytojui tvarkant asmeninę informaciją, gali pranešti apie tokį pažeidimą Apsaugos komisijai. 2) Siekdama, kad skundų, pateiktų pagal 1 dalį, gavimas ir tvarkymas būtų veiksmingas, Apsaugos komisija gali paskirti specializuotą instituciją, kaip nustatyta Prezidento dekrete. Tokiais atvejais tokia specializuota institucija įsteigia ir valdo asmeninės informacijos pažeidimams skirtą skambučių centrą (toliau – privatumo apsaugos skambučių centras). 3) Privatumo apsaugos skambučių centras atlieka šias pareigas: 4) Prireikus pagal Valstybės pareigūnų įstatymo 32-4 straipsnį Apsaugos komisija gali skirti valstybės pareigūną, kad specializuotoje institucijoje, paskirtoje vadovaujantis 2 punktu, pagal 3 straipsnio 2 dalį būtų veiksmingai ištirti ir patvirtinti atvejai.

3.4.5.

1. asmeninei informacijai, kuri renkama pagal Statistikos įstatymą, kad ją galėtų tvarkyti viešosios institucijos;

2. asmeninei informacijai, kuri renkama arba kurią prašoma pateikti siekiant analizuoti su nacionaliniu saugumu susijusią informaciją;

3. asmeninei informacijai, kuri laikinai tvarkoma, kai tai neišvengiamai būtina, siekiant užtikrinti visuomenės saugumą, sveikatą ir pan.;

4. asmeninei informacijai, kuri surinkta arba naudojama atitinkamai spaudos atstovų vykdant žurnalistinę veiklą, religinių organizacijų vykdant misionierių veiklą ir politinių partijų keliant kandidatus.

1. teisę būti informuotam apie tokios asmeninės informacijos tvarkymą;

2. teisę duoti arba neduoti sutikimą ir nustatyti sutikimo dėl tokios asmens informacijos tvarkymo taikymo sritį;

3. teisę gauti patvirtinimą, ar asmeninė informacija yra tvarkoma, ir prašyti susipažinti su tokia asmenine informacija (įskaitant pateikti kopijas; toliau taikoma tas pats);

4. teisę sustabdyti tokios asmeninės informacijos tvarkymą ir reikalauti ištaisyti, ištrinti ir sunaikinti tokią asmeninę informaciją;

5. teisę į tinkamą žalos, sukeltos tvarkant tokią asmeninę informaciją, atlyginimą taikant savalaikę ir sąžiningą procedūrą.

1. priima skundus ir teikia konsultacijas asmeninės informacijos tvarkymo klausimais;

2. tiria ir patvirtina atvejus bei išklauso susijusių šalių nuomones;

3. atlieka pareigas, susijusias su pareigomis, nurodytomis 1 ir 2 punktuose.

i)

Asmeninės informacijos rinkimas nacionalinio saugumo tikslais reglamentuojamas specialiais įstatymais, kuriais kompetentingoms institucijoms (pvz., Nacionalinei žvalgybos tarnybai) suteikiami įgaliojimai perimti ryšių informaciją arba prašyti atskleisti informaciją taikant tam tikras sąlygas ir apsaugos priemones (toliau – nacionalinio saugumo įstatymai). Šie nacionalinio saugumo įstatymai yra, pavyzdžiui, Ryšių privatumo apsaugos įstatymas, Įstatymas dėl kovos su terorizmu siekiant apsaugoti piliečius ir užtikrinti viešąjį saugumą arba Telekomunikacijų įmonių įstatymas. Be to, asmeninės informacijos rinkimas ir tolesnis tvarkymas turi atitikti AIAĮ reikalavimus. Šiuo atžvilgiu AIAĮ 58 straipsnio 1 dalies 2 punkte numatoma, kad III–VII skyriai netaikomi asmeninei informacijai, kuri renkama arba kurią prašoma pateikti siekiant analizuoti su nacionaliniu saugumu susijusią informaciją. Todėl ši dalinė išimtis taikoma asmeninę informaciją tvarkant nacionalinio saugumo tikslais. Tuo pat metu tvarkant tokią asmeninę informaciją taikomi AIAĮ I skyrius (Bendrosios nuostatos), II skyrius (Asmeninės informacijos apsaugos politikos nustatymas ir kt.), VIII skyrius (Kolektyvinis ieškinys dėl duomenų saugumo pažeidimo), IX skyrius (Papildomos nuostatos) ir X skyrius (Nuostatos dėl sankcijų). Tai apima bendruosius duomenų apsaugos principus, nustatytus AIAĮ 3 straipsnyje (Asmeninės informacijos apsaugos principai), ir asmens teises, užtikrinamas 4 straipsniu (Duomenų subjektų teisės). Be to, AIAĮ 58 straipsnio 4 dalyje nustatyta, kad tokia informacija turi būti tvarkoma tiek, kiek būtina numatytam tikslui pasiekti per trumpiausią laikotarpį; joje taip pat nustatytas reikalavimas asmeninės informacijos valdytojui taikyti reikiamas priemones, kad būtų užtikrinamas saugus duomenų valdymas ir tinkamas jų tvarkymas, pavyzdžiui, technines, valdymo ir fizines apsaugos priemones, taip pat priemones, kuriomis būtų užtikrinamas tinkamas individualių skundų nagrinėjimas. Galiausiai taikomos nuostatos, kuriomis reglamentuojamos AIAK užduotys ir įgaliojimai (įskaitant AIAĮ 60-65 straipsnį dėl skundų nagrinėjimo ir rekomendacijų bei taisomųjų veiksmų priėmimo), taip pat nuostatos dėl administracinių ir baudžiamųjų sankcijų (AIAĮ 70 ir tolesni straipsniai). Pagal AIAĮ 7-8 straipsnio 1 dalies 3 ir 4 punktus ir 7-9 straipsnio 1 dalies 5 punktą šie tiriamojo ir taisomojo pobūdžio įgaliojimai, įskaitant atvejus, kai jie naudojami nagrinėjant skundus, taip pat taikomi galimų konkrečiuose įstatymuose, kaip antai nacionalinio saugumo įstatymuose, pateiktų taisyklių, kuriomis nustatomi apribojimai ir apsaugos priemonės, susijusios su asmeninės informacijos rinkimu, pažeidimų atveju. Atsižvelgiant į AIAĮ 3 straipsnio 1 dalyje nustatytus reikalavimus dėl teisėto ir sąžiningo asmeninės informacijos rinkimo, toks pažeidimas taip pat yra šio įstatymo pažeidimas, kaip tai apibrėžta 63 ir 64 straipsniuose, todėl AIAK leidžiama atlikti tyrimą ir taikyti taisomuosius veiksmus. Šiais AIAK įgaliojimais papildomi, bet ne pakeičiami Nacionalinės žmogaus teisių komisijos įgaliojimai pagal Žmogaus teisių komisijos įstatymą. Pagrindiniais AIAĮ principais, teisėmis ir pareigomis, taikomais tvarkant asmeninę informaciją nacionalinio saugumo tikslais, atspindimos Konstitucijoje įtvirtintos garantijos dėl asmens teisės valdyti savo asmeninę informaciją apsaugos. Kaip pripažįsta Konstitucinis Teismas, tai, be kita ko, yra asmens teisė asmeniškai nuspręsti, kada ir kam jo asmeninė informacija gali būti atskleista arba ja leidžiama naudotis arba kas ir kokiu mastu ją gali atskleisti arba naudoti. Tai yra pagrindinė teisė, […], kuria siekiama apsaugoti asmens apsisprendimo laisvę nuo grėsmės, kylančios dėl valstybės funkcijų išplėtimo ir informacinių ryšių technologijų. Norint taikyti bet kokį tos teisės apribojimą, pavyzdžiui, kai tai būtina nacionaliniam saugumui užtikrinti, reikia suderinti asmens teises ir interesus su atitinkamu viešuoju interesu ir toks apribojimas negali turėti įtakos esminių šios teisės aspektų įgyvendinimui (Konstitucijos 37 straipsnio 2 dalis). Todėl tvarkydamas asmeninę informaciją nacionalinio saugumo tikslais duomenų valdytojas (pvz., NŽT) privalo, inter alia:

1) aiškiai nurodyti tikslus, kurių pagrindu asmeninė informacija tvarkoma, ir teisėtai bei sąžiningai rinkti tokį asmeninės informacijos kiekį, kokio reikia tokiems tikslams pasiekti (AIAĮ 3 straipsnio 1 dalis); konkrečiai, jis renka ir toliau tvarko asmeninę informaciją tik tam, kad atliktų pareigas pagal atitinkamus įstatymus, kaip antai Nacionalinės žvalgybos tarnybos įstatymą;

2) tvarkyti tik tokį asmeninės informacijos kiekį ir tik tol, kol tai būtina numatytam tikslui pasiekti (AIAĮ 58 straipsnio 4 dalis); pasiekęs tvarkymo tikslą duomenų valdytojas negrįžtamai sunaikina asmeninę informaciją, išskyrus atvejį, kai jis įstatymu konkrečiai įpareigojamas ją toliau saugoti; tokiu atveju atitinkama asmeninė informacija saugoma ir tvarkoma atskirai nuo kitos asmeninės informacijos, nenaudojama kitais nei įstatyme nurodytais tikslais ir sunaikinama pasibaigus saugojimo laikotarpiui;

3) tinkamai tvarkyti asmeninę informaciją, kaip būtina tikslams, kurių pagrindu ji tvarkoma, pasiekti, ir nenaudoja jos jokiais kitais tikslais (AIAĮ 3 straipsnio 2 dalis);

4) užtikrinti, kad asmeninė informacija būtų tiksli, išsami ir atnaujinta tiek, kiek tai būtina, atsižvelgiant į asmeninės informacijos tvarkymo tikslus (AIAĮ 3 straipsnio 3 dalis);

5) saugiai tvarkyti asmeninę informaciją, taikant asmeninės informacijos tvarkymo metodus, rūšis ir t. t. bei atsižvelgiant į duomenų subjektų teisių pažeidimo galimybę ir susijusių pavojų mastą (AIAĮ 3 straipsnio 4 dalis);

6) paskelbti savo privatumo politiką ir kitą su asmeninės informacijos tvarkymu susijusią informaciją (AIAĮ 3 straipsnio 5 dalis);

7) tvarkyti asmeninę informaciją tokiu būdu, kad būtų kuo labiau sumažinta galimybė pažeisti duomenų subjekto privatumą (AIAĮ 3 straipsnio 6 dalis).

ii)

Pagal AIAĮ 58 straipsnio 4 dalį duomenų valdytojas (pvz., už nacionalinį saugumą atsakingos institucijos, kaip antai NŽT) imasi reikiamų priemonių, pavyzdžiui, taiko technines, valdymo ir fizines apsaugos priemones, kad užtikrintų šių principų laikymąsi ir tinkamą asmeninės informacijos tvarkymą. Tai, pavyzdžiui, gali apimti specialias priemones, kuriomis užtikrinamas asmeninės informacijos saugumas, kaip antai prieigos prie asmeninės informacijos apribojimą, prieigos kontrolę ir žurnalus, tikslinį darbuotojų mokymą asmeninės informacijos tvarkymo tema ir kt. Be to, pagal AIAĮ 3 straipsnio 5 dalį ir 4 straipsnį duomenų subjektai, inter alia, turi šias teises, susijusias su nacionalinio saugumo tikslais tvarkoma asmenine informacija:

1) teisę gauti patvirtinimą, ar jo asmeninė informacija yra tvarkoma, taip pat informaciją apie tvarkymą, ir susipažinti su ta informacija, įskaitant gauti jos kopijas (AIAĮ 4 straipsnio 1 ir 3 dalys);

2) teisę sustabdyti asmeninės informacijos tvarkymą ir reikalauti ją ištaisyti, ištrinti bei sunaikinti (AIAĮ 4 straipsnio 4 dalis).

iii)

Duomenų subjektas, naudodamasis šiomis teisėmis, gali pateikti prašymą tiesiogiai duomenų valdytojui arba netiesiogiai per Apsaugos komisiją ir tai padaryti gali įgalioti savo atstovą. Duomenų subjektui pateikus prašymą, duomenų valdytojas nedelsdamas suteikia teisę; su sąlyga, kad jis gali laikinai neleisti, apriboti arba neleisti naudotis teise, jei tai numatyta kituose įstatymuose arba būtina siekiant jų laikytis, tiek ir tol, kol tai būtina siekiant apsaugoti svarbų viešojo intereso tikslą ir kai šie veiksmai yra jam proporcingi (pavyzdžiui, tiek ir tol, kol teisės suteikimu būtų trukdoma vykstančiam tyrimui arba dėl jo kiltų grėsmė nacionaliniam saugumui), arba kai teisės suteikimas galėtų kelti pavojų trečiosios šalies gyvybei ar fizinei sveikatai arba ją suteikus būtų nepagrįstai pažeidžiami trečiosios šalies turtiniai ir kiti interesai. Jei prašymas atmetamas arba apribojamas, duomenų subjektui turi būti nedelsiant pranešama apie to priežastis. Duomenų valdytojas nustato duomenų subjektams skirtą prašymų teikimo būdą ir parengia jų teikimo tvarką ir juos viešai paskelbia, kad apie juos sužinotų duomenų subjektai. Be to, pagal AIAĮ 58 straipsnio 4 dalį (reikalavimas užtikrinti tinkamą individualių skundų nagrinėjimą) ir AIAĮ 4 straipsnio 5 dalį (teisė į tinkamą teisių gynimą patyrus žalą dėl asmeninės informacijos tvarkymo, taikant savalaikę ir sąžiningą procedūrą) duomenų subjektai turi teisę į teisių gynimą. Tai, be kita ko, yra teisė apie tariamą pažeidimą pranešti Pranešimų apie asmeninės informacijos saugumo pažeidimą centrui (pagal AIAĮ 62 straipsnio 3 dalį), pateikti skundą AIAK pagal AIAĮ 62 straipsnį dėl bet kokio teisių ar interesų, susijusių su asmens asmenine informacija, pažeidimo ir ginti savo teises teisme, apskundžiant AIAK sprendimą ar neveikimą pagal Administracinių ginčų įstatymą. Be to, duomenų subjektai gali ginti savo teises teisme pagal Administracinių ginčų įstatymą, jei dėl duomenų valdytojo sprendimo ar neveikimo buvo pažeistos jų teisės ar interesai (pvz., neteisėtai renkant asmens duomenis), arba gauti žalos atlyginimą pagal Valstybės kompensacijų įstatymą. Šiomis teisių gynimo priemonėmis galima pasinaudoti ir tuo atveju, jei pažeidžiamos taisyklės, nustatytos konkrečiuose įstatymuose, kuriais nustatomi apribojimai ir apsaugos priemonės, susijusios su asmeninės informacijos rinkimu, kaip antai nacionalinio saugumo įstatymuose, ir AIAĮ. Asmuo iš ES gali pateikti skundą AIAK per savo nacionalinę duomenų apsaugos instituciją, o kai tyrimas baigiamas ir pritaikomi taisomieji veiksmai (jei taikomi), AIAK informuos asmenį per nacionalinę duomenų apsaugos instituciją.

II PRIEDAS

2021 m. gegužės 18 d. Jo Ekscelencijai p. Didier Reynders, už teisingumą atsakingam Europos Komisijos nariui Jūsų Ekscelencija, Palankiai vertinu konstruktyvias Korėjos ir Europos Komisijos diskusijas, kuriomis siekiama sukurti asmens duomenų perdavimo iš ES į Korėją sistemą. Europos Komisijos Korėjos Vyriausybei nusiųstu prašymu pateikiu pridedamą dokumentą, kuriame apžvelgiama Korėjos Vyriausybės prieigos prie informacijos teisinė sistema. Šis dokumentas susijęs su ne viena Korėjos Vyriausybės ministerija ir agentūra, todėl už atskirų šio dokumento turinio dalių parengimą, atsižvelgiant į jų atitinkamas kompetencijos sritis, atsakingos atitinkamos ministerijos ir agentūros (Asmeninės informacijos apsaugos komisija, Teisingumo ministerija, Nacionalinė žvalgybos tarnyba, Korėjos nacionalinė žmogaus teisių komisija, Nacionalinis kovos su terorizmu centras, Korėjos finansinės žvalgybos padalinys). Toliau pateikiamas susijusių ministerijų bei agentūrų sąrašas ir atitinkami parašai. Asmeninės informacijos apsaugos komisija priima visus su šiuo dokumentu susijusius klausimus ir užtikrins, kad visos atitinkamos ministerijos ir agentūros pateiktų į juos atsakymus. Tikiuosi, kad šis dokumentas bus naudingas priimant sprendimus Europos Komisijoje. Labai vertinu Jūsų iki šiol įneštą didžiulį indėlį. Pagarbiai Yoon Jong In Asmeninės informacijos apsaugos komisijos pirmininkas Šį dokumentą parengė Asmeninės informacijos apsaugos komisija ir šios susijusios ministerijos ir agentūros. Park Jie Won Nacionalinės žvalgybos tarnybos pirmininkas (direktorius) Lee Jung Soo Teisingumo ministerijos generalinis direktorius Choi Young Ae Korėjos nacionalinės žmogaus teisių komisijos pirmininkas Kim Hyuck Soo Nacionalinio kovos su terorizmu centro direktorius Kim, Jeong Kag Korėjos finansinės žvalgybos padalinio komisaras

Korėjos valdžios institucijų atliekamo asmens duomenų rinkimo ir naudojimo teisėsaugos ir nacionalinio saugumo tikslais teisinė sistema

Šiame dokumente apžvelgiama Korėjos valdžios institucijų atliekamo asmens duomenų rinkimo ir naudojimo baudžiamosios teisėsaugos ir nacionalinio saugumo tikslais teisinė sistema (toliau – vyriausybės prieiga), visų pirma, kiek tai susiję su galiojančiu teisiniu pagrindu, taikomomis sąlygomis (apribojimais) ir apsaugos priemonėmis, įskaitant nepriklausomą priežiūrą ir individualių teisių gynimo galimybes. BENDRIEJI TEISĖS PRINCIPAI, SUSIJĘ SU VYRIAUSYBĖS PRIEIGA Konstitucinė sistema Korėjos Respublikos Konstitucijoje nustatyta bendra teisė į privatumą (17 straipsnis) ir konkreti teisė į ryšių privatumą (18 straipsnis). Valstybės pareiga – užtikrinti šias pagrindines teises. Konstitucijoje taip pat nustatyta, kad piliečių teisės ir laisvės gali būti ribojamos tik įstatymais ir tik tada, kai tai būtina nacionaliniam saugumui užtikrinti arba viešajai tvarkai palaikyti siekiant užtikrinti visuomenės gerovę. Net kai tokie apribojimai taikomi, jie negali turėti įtakos esminiams laisvės ar teisės aspektams. Korėjos teismai taikė šias nuostatas nagrinėjant bylas dėl vyriausybės atliekamo teisių į privatumą ribojimo. Pavyzdžiui, Aukščiausiasis Teismas konstatavo, kad stebint civilius gyventojus pažeidžiama pagrindinė teisė į privatumą, ir pabrėžė, kad piliečiai turi teisę patys nuspręsti, ar informacija yra asmeninė. Kitoje byloje Konstitucinis Teismas konstatavo, kad privatumas yra pagrindinė teisė, kuria suteikiama apsauga nuo valstybės kišimosi į privatų piliečių gyvenimą ir jo stebėjimą. Be to, Korėjos Konstitucija garantuoja, kad asmuo gali būti suimamas, sulaikomas, apieškomas, tardomas arba jo daiktai gali būti paimami tik tada, kai tai nustatyta įstatymu. Be to, kratos ir poėmiai gali būti atliekami tik remiantis prokuroro prašymu išduotu teisėjo orderiu ir užtikrinant tinkamą teisinį procesą. Išskirtinėmis aplinkybėmis, t. y., kai nusikaltimu įtariamas asmuo sulaikomas darant nusikaltimą (flagrante delicto) arba kai kyla pavojus, kad asmuo, įtariamas nusikaltimu, už kurį baudžiama trejų metų ir didesne laisvės atėmimo bausme, gali pasprukti ar sunaikinti įkalčius, tyrimą atliekančios institucijos gali atlikti kratą arba poėmį neturėdamos orderio ir tokiu atveju turi pateikti ex post prašymą dėl orderio. Šie bendrieji principai plačiau apibrėžti konkrečiuose įstatymuose, kuriais reglamentuojamas baudžiamasis procesas ir ryšių apsauga (išsamią apžvalgą žr. toliau). Užsienio valstybių piliečių atžvilgiu Konstitucijoje nustatyta, kad jų teisės užtikrinamos tarptautine teise ir sutartimis. Korėja yra kelių tarptautinių susitarimų, kuriais užtikrinama teisė į privatumą, kaip antai Tarptautinio pilietinių ir politinių teisių pakto (17 straipsnis), Neįgaliųjų teisių konvencijos (22 straipsnis) ir Vaiko teisių konvencijos (16 straipsnis), šalis. Be to, nors Konstitucijoje iš esmės minimos piliečių teisės, Konstitucinis Teismas nusprendė, kad pagrindinės teisės taikomos ir užsienio valstybių piliečiams. Visų pirma Teismas pareiškė, kad teisė į žmogaus orumo ir vertės apsaugą, taip pat teisė siekti laimės yra ne tik piliečių, bet visų žmonių teisės. Teismas taip pat išaiškino, kad teisė valdyti savo informaciją yra laikoma pagrindine teise, pagrįsta teise į orumą ir laimės siekį bei teise į privatų gyvenimą. Teismų praktikoje iki šiol nebuvo nagrinėjama konkrečiai ne Korėjos piliečių teisė į privatumą, bet mokslininkai plačiai pripažįsta, kad Konstitucijos 12–22 straipsniuose (kuriuose, be kita ko, numatyta teisė į privatumą ir asmens laisvę) nustatytos žmogaus teisės. Galiausiai Konstitucijoje taip pat numatoma teisė reikalauti teisingos kompensacijos iš valdžios institucijų. Be to, remiantis Konstitucinio Teismo įstatymu, bet kuris asmuo, kurio Konstitucija garantuojamos pagrindinės teisės yra pažeidžiamos valdžios institucijoms naudojantis savo įgaliojimais (išskyrus teismų sprendimus), gali Konstituciniam Teismui pateikti konstitucinį skundą. Bendrosios duomenų apsaugos taisyklės Korėjos Respublikos bendrasis duomenų apsaugos įstatymas – Asmeninės informacijos apsaugos įstatymas (toliau – AIAĮ) – taikomas ir privačiajam, ir viešajam sektoriui. Valdžios institucijų atžvilgiu AIAĮ konkrečiai nurodyta prievolė parengti politiką, kuria būtų užkertamas kelias piktnaudžiavimui asmenine informacija ir neteisėtam jos naudojimui, neteisėtam sekimui ir persekiojimui ir t. t., ir būtų didinamas žmonių orumas bei asmens privatumo apsauga. Asmens duomenis tvarkant teisėsaugos tikslais taikomi visi AIAĮ reikalavimai. Tai reiškia, kad, pavyzdžiui, baudžiamosios teisėsaugos institucijos privalo laikytis su teisėtu tvarkymu susijusių prievolių, t. y. remtis vienu iš AIAĮ išvardytų teisinių pagrindų rinkdamos, naudodamos ar teikdamos asmeninę informaciją (AIAĮ 15–18 straipsniai), taip pat tikslo apribojimo principu (AIAĮ 3 straipsnio 1 ir 2 dalys), proporcingumo ir (arba) duomenų kiekio mažinimo principais (AIAĮ 3 straipsnio 1 ir 6 dalys), riboto duomenų saugojimo principu (AIAĮ 21 straipsnis), duomenų saugumo principu, įskaitant pranešimą apie duomenų saugumo pažeidimus (AIAĮ 3 straipsnio 4 dalis, 29 ir 34 straipsniai), ir skaidrumo principu (AIAĮ 3 straipsnio 1 ir 5 dalys, 20, 30 ir 32 straipsniai). Neskelbtinai informacijai taikomos specialios apsaugos priemonės (AIAĮ 23 straipsnis). Be to, pagal AIAĮ 3 straipsnio 5 dalį ir 4 straipsnį, taip pat 35–39-2 straipsnius asmenys gali naudotis savo prieigos prie informacijos, jos ištaisymo, ištrynimo ir rinkimo sustabdymo teisėmis baudžiamosios teisėsaugos institucijų atžvilgiu. Taigi AIAĮ visapusiškai taikomas, kai asmens duomenys tvarkomi baudžiamosios teisėsaugos tikslais, tačiau jame numatyta išimtis, kai asmens duomenys tvarkomi nacionalinio saugumo tikslais. Pagal AIAĮ 58 straipsnio 1 dalies 2 punktą AIAĮ 15–50 straipsniai netaikomi asmeninei informacijai, kuri renkama arba kurią prašoma pateikti siekiant analizuoti su nacionaliniu saugumu susijusią informaciją. Tačiau taikomi AIAĮ I skyrius (Bendrosios nuostatos), II skyrius (Asmeninės informacijos apsaugos politikos nustatymas ir kt.), VIII skyrius (Kolektyvinis ieškinys dėl duomenų saugumo pažeidimo), IX skyrius (Papildomos nuostatos) ir X skyrius (Nuostatos dėl sankcijų). Tai apima bendruosius duomenų apsaugos principus, nustatytus 3 straipsnyje (Asmeninės informacijos apsaugos principai), ir asmens teises, užtikrinamas AIAĮ 4 straipsniu (Duomenų subjektų teisės). Tai reiškia, kad šioje srityje taip pat užtikrinamas pagrindinių principų ir teisių įgyvendinimas. Be to, AIAĮ 58 straipsnio 4 dalyje nustatyta, kad tokia informacija turi būti tvarkoma tiek, kiek būtina numatytam tikslui pasiekti per trumpiausią laikotarpį; joje taip pat nustatytas reikalavimas asmeninės informacijos valdytojui taikyti reikiamas priemones, kad būtų užtikrinamas saugus duomenų valdymas ir tinkamas jų tvarkymas, pavyzdžiui, technines, valdymo ir fizines apsaugos priemones, taip pat priemones, kuriomis būtų užtikrinamas tinkamas individualių skundų nagrinėjimas. Pranešime Nr. 2021-1 dėl papildomų taisyklių dėl Asmeninės informacijos apsaugos įstatymo aiškinimo ir taikymo Asmeninės informacijos apsaugos komisija (toliau – AIAK) išsamiau paaiškino, kaip AIAĮ taikomas, kai asmens duomenys tvarkomi nacionalinio saugumo tikslais, atsižvelgiant į šią dalinę išimtį. Tai visų pirma taikoma asmenų teisėms (prieigos, ištaisymo, sustabdymo ir ištrynimo) ir galimo jų suvaržymo pagrindams bei apribojimams. Remiantis pranešimu, pagrindiniais AIAĮ principais, teisėmis ir pareigomis, taikomais tvarkant asmeninę informaciją nacionalinio saugumo tikslais, atspindimos Konstitucijoje įtvirtintos garantijos dėl asmens teisės valdyti savo asmeninę informaciją apsaugos. Norint taikyti bet kokį tos teisės apribojimą, pavyzdžiui, kai tai būtina nacionaliniam saugumui užtikrinti, reikia suderinti asmens teises ir interesus su atitinkamu viešuoju interesu ir toks apribojimas negali turėti įtakos esminių šios teisės aspektų įgyvendinimui (Konstitucijos 37 straipsnio 2 dalis). VYRIAUSYBĖS GALIMYBĖ SUSIPAŽINTI SU INFORMACIJA TEISĖSAUGOS TIKSLAIS Teisėsaugos srityje kompetentingos valdžios institucijos Policija, prokurorai ir teismai gali rinkti asmens duomenis baudžiamosios teisėsaugos tikslais remdamiesi Baudžiamojo proceso įstatymu (toliau – BPĮ), Ryšių privatumo apsaugos įstatymu (toliau – RPAĮ) ir Telekomunikacijų įmonių įstatymu (toliau – TĮĮ). Tiek, kiek Nacionalinės žvalgybos tarnybos įstatymu šie įgaliojimai suteikiami ir Nacionalinei žvalgybos tarnybai (toliau – NŽT), ji turi laikytis pirmiau minėtų įstatymų. Galiausiai Įstatymu dėl konkrečios finansinių sandorių informacijos teikimo ir naudojimo (toliau – ĮKFSITN) nustatytas teisinis pagrindas finansų įstaigoms atskleisti informaciją Korėjos finansinės žvalgybos padaliniui (toliau – KFŽP) pinigų plovimo ir terorizmo finansavimo prevencijos tikslais. Ši specializuota agentūra savo ruožtu gali teikti tokią informaciją teisėsaugos institucijoms. Tačiau šie informacijos atskleidimo įpareigojimai taikomi tik tiems duomenų valdytojams, kurie tvarko asmens kredito informaciją pagal Kredito informacijos įstatymą ir kuriuos prižiūri Finansinių paslaugų komisija. Kadangi tokių duomenų valdytojų atliekamas asmens kredito informacijos tvarkymas nepatenka į sprendimo dėl tinkamumo taikymo sritį, pagal ĮKFSITN taikomi apribojimai ir apsaugos priemonės šiame dokumente išsamiau neapibūdinti. Teisiniai pagrindai ir apribojimai BPĮ (žr. 2.2.1 skirsnį), RPAĮ (žr. 2.2.2 skirsnį) ir Telekomunikacijų įmonių įstatymu (žr. 2.2.3 skirsnį) suteikiamas teisinis pagrindas rinkti asmeninę informaciją teisėsaugos tikslais ir nustatomi taikytini apribojimai ir apsaugos priemonės. Krata ir poėmis Teisinis pagrindas Prokurorai ir vyresnieji teismo policijos pareigūnai gali tikrinti daiktus, apieškoti asmenis arba paimti daiktus: 1) jei asmuo įtariamas padaręs nusikaltimą (yra įtariamasis tiriant nusikalstamą veiką), 2) jei tai būtina tyrimui atlikti ir 3) jei tikrintini daiktai, apieškotini asmenys ir bet kokie paimti daiktai laikomi susijusiais su byla. Teismai taip pat gali atlikti kratą ir paimti bet kokius daiktus, naudotinus kaip įrodymai arba konfiskuotinus, jeigu tokie daiktai ar asmenys laikomi susijusiais su konkrečia byla. Apribojimai ir apsaugos priemonės Prokurorams ir teismo policijos pareigūnams taikoma bendra prievolė gerbti įtariamojo, taip pat bet kurio kito susijusio asmens žmogaus teises. Be to, imtis priverstinių priemonių tyrimo tikslui pasiekti galima tik tuo atveju, jei tai aiškiai numatyta BPĮ ir tiek, kiek tai būtina. Vykdydami baudžiamąjį tyrimą policijos pareigūnai arba prokurorai gali atlikti kratą, patikrinimą ar poėmį tik remdamiesi teismo išduotu orderiu. Orderio prašanti institucija turi pateikti medžiagą, kurioje įrodomas nusikalstama veika įtariamo asmens įtarimo nusikaltimu pagrindas, įrodoma, kad atlikti kratą, patikrinimą ar poėmį yra būtina ir kad yra atitinkamų daiktų, kurie turi būti paimti. Pačiame orderyje, be kita ko, turi būti nurodyti nusikalstama veika įtariamo asmens vardas ir pavardė ir nusikalstama veika, vieta, asmuo ar daiktai, kurie yra kratos objektas, arba daiktai, kurie turi būti paimti, išdavimo data ir galiojimo laikotarpis. Jei teismo proceso metu krata ir poėmis atliekami ne viešame teismo posėdyje, teismo išduotas orderis taip pat turi būti gautas iš anksto. Atitinkamam asmeniui ir jo gynyba užsiimančiam asmeniui iš anksto pranešama apie kratą ar poėmį ir jie gali dalyvauti vykdant orderį. Kai atliekama krata arba poėmis ir kai apieškomas daiktas yra kompiuterio diskas arba kita duomenų laikmena, iš esmės bus paimti tik duomenys (juos nukopijavus arba atspausdinus), o ne visa laikmena. Pati duomenų laikmena gali būti paimta tik tada, kai manoma, kad iš esmės neįmanoma atspausdinti ar nukopijuoti tik reikalingų duomenų arba kad kitaip kratos tikslo pasiekti iš esmės neįmanoma. Atitinkamam asmeniui turi būti nedelsiant pranešama apie poėmį. Reikalavimo pranešti atžvilgiu BPĮ nenustatyta jokių išimčių. Neturint orderio kratos, patikrinimai ir poėmiai gali būti atliekami tik tam tikrais atvejais. Pirma, taip yra tuo atveju, kai orderio neįmanoma gauti, nes nusikaltimo vietos aplinkybės reikalauja skubiai veikti. Tačiau po to orderis turi būti nedelsiant gautas. Antra, neturint orderio kratos ir patikrinimai gali būti atliekami in loco suimant arba sulaikant įtariamąjį. Galiausiai prokuroras arba vyresnysis teismo policijos pareigūnas gali paimti daiktą neturėdamas orderio, kai nusikaltimu įtariamas asmuo arba trečiasis asmuo daiktą išmetė arba savanoriškai pateikė. Įrodymai, gauti pažeidžiant BPĮ, bus laikomi netinkamais. Be to, Baudžiamuoju įstatymu nustatyta, kad už neteisėtą asmenų apieškojimą arba asmens gyvenamosios vietos, saugomo pastato, statinio, automobilio, laivo, lėktuvo ar kambario, kuriame jis gyvena, kratą baudžiama laisvės atėmimu iki trejų metų. Todėl ši nuostata taip pat taikoma tais atvejais, kai vykdant neteisėtą kratą paimami tokie daiktai kaip duomenų saugojimo įrenginiai. Ryšių informacijos rinkimas Teisinis pagrindas Ryšių informacijos rinkimas reglamentuojamas specialiu įstatymu – RPAĮ. Visų pirma RPAĮ nustatomas draudimas bet kuriam asmeniui cenzūruoti bet kokį paštą, slapta stebėti ryšius bet kokioje telekomunikacijų terpėje, teikti ryšių patvirtinimo duomenis arba įrašyti ar klausytis kitų asmenų viešai neskelbiamų pokalbių, išskyrus atvejus, kai galima remtis BPĮ, RPAĮ ar Karinio teismo įstatymu. Pagal RPAĮ sąvoka ryšiai yra ir tradicinis paštas, ir telekomunikaciniai ryšiai. Šiuo atžvilgiu ryšius ribojančios priemonės ir ryšių patvirtinimo duomenų rinkimas RPAĮ atskiriami. Ryšius ribojančių priemonių sąvoka apima cenzūrą, t. y. tradicinio pašto turinio rinkimą, taip pat slaptą pokalbių klausymąsi, t. y. tiesioginį telekomunikacinių ryšių turinio perėmimą (gavimą ar įrašymą). Ryšių patvirtinimo duomenų sąvoka apima įrašų apie telekomunikacinius ryšius duomenis, kuriuos sudaro telekomunikacinių ryšių data, jų pradžios ir pabaigos laikas, atliktų ir gautų skambučių skaičius, taip pat kitos šalies abonento numeris, naudojimo dažnumas, telekomunikacijų paslaugų naudojimo žurnalo failai ir vietos nustatymo informacija (pvz., atsižvelgiant į perdavimo bokštus, į kuriuos gaunami signalai). RPAĮ nustatyti apribojimai ir apsaugos priemonės abiejų rūšių duomenų rinkimo atžvilgiu, o už kelių iš šių reikalavimų nesilaikymą taikomos baudžiamosios sankcijos. Apribojimai ir apsaugos priemonės, taikomi renkant ryšių turinį (taikant ryšius ribojančias priemones) Ryšių turinio rinkimas gali būti tik papildoma priemonė baudžiamajam tyrimui palengvinti (t. y. kraštutinė priemonė) ir turi būti dedamos pastangos kuo labiau sumažinti kišimąsi į privačius žmonių ryšius. Vadovaujantis šiuo bendruoju principu ryšius ribojančios priemonės gali būti taikomos tik tais atvejais, kai jų netaikant sunku užkirsti kelią nusikaltimo įvykdymui, suimti nusikaltėlį arba surinkti įrodymus. Ryšių turinį renkančios teisėsaugos institucijos turi nedelsdamos nustoti tai daryti, kai nuolatinės prieigos prie informacijos nebereikia, taip užtikrinant, kad ryšių privatumo pažeidimas būtų kuo mažesnis. Be to, ryšius ribojančios priemonės gali būti taikomos tik tada, kai yra svarių priežasčių įtarti, kad planuojami, vykdomi arba buvo įvykdyti tam tikri konkrečiai RPAĮ išvardyti sunkūs nusikaltimai. Šie nusikaltimai, be kita ko, yra, pavyzdžiui, maištas, su narkotikais susiję nusikaltimai, su sprogmenimis susiję nusikaltimai, taip pat nusikaltimai, susiję su nacionaliniu saugumu, diplomatiniais santykiais arba karinėmis bazėmis ir įrenginiais. Ryšius ribojančios priemonės taikymo sritis turi būti konkretūs pašto korespondencijos arba telekomunikacinių ryšių vienetai, kuriuos siunčia arba gauna įtariamasis, arba pašto korespondencijos arba telekomunikacinių ryšių vienetai, kuriuos per nustatytą laikotarpį siunčia arba gauna įtariamasis. Net jei šie reikalavimai įvykdomi, turinio duomenys gali būti renkami tik remiantis teismo išduotu orderiu. Visų pirma prokuroras gali prašyti teismo leisti rinkti turinio duomenis, susijusius su įtariamuoju arba tiriamu asmeniu. Be to, teismo policijos pareigūnas gali prašyti prokurorą išduoti leidimą, o šis savo ruožtu gali prašyti teismą išduoti orderį. Prašymas išduoti orderį turi būti pateiktas raštu ir jame turi būti nurodyta konkreti informacija. Visų pirma jame turi būti nurodytos 1) esminės priežastys, dėl kurių įtariama, kad vienas iš išvardytų nusikaltimų yra planuojamas, vykdomas ar įvykdytas, taip pat bet kokia medžiaga, kuria įrodomas prima facie pagrindas įtarimams, 2) ryšius ribojančios priemonės, taip pat jų taikymo sritis, mastas, tikslas ir galiojimo laikotarpis ir 3) vieta, kurioje priemonės bus įgyvendinamos, ir jų įgyvendinimo būdas. Jeigu laikomasi teisinių reikalavimų, teismas gali suteikti rašytinį leidimą taikyti ryšius ribojančias priemones įtariamajam arba tiriamam asmeniui. Šiame orderyje nurodomos taikytinų priemonių rūšys ir jų taikymo sritis, mastas, galiojimo laikotarpis, įgyvendinimo vieta ir būdas. Ryšius ribojančios priemonės gali būti taikomos tik dviejų mėnesių laikotarpį. Jei priemonių taikymo tikslas pasiekiamas anksčiau nei baigiasi tas laikotarpis, priemonių taikymas turi būti nedelsiant nutrauktas. Tais atvejais, kai reikiamos sąlygos vis dar tenkinamos, prašymas pratęsti ryšius ribojančių priemonių taikymo laikotarpį gali būti pateiktas per du mėnesius. Į tokį prašymą turi būti įtraukta medžiaga, kuria įrodomas prima facie pagrindas pratęsti priemonių taikymą. Pratęstas laikotarpis negali būti ilgesnis kaip vieni metai, o tam tikrų ypač sunkių nusikaltimų atveju – treji metai (pvz., nusikaltimų, susijusių su sukilimu, užsienio agresija, nacionaliniu saugumu ir t. t., atveju). Pateikusios rašytinį teismo leidimą teisėsaugos institucijos gali reikalauti ryšių paslaugų teikėjų pagalbos. Ryšių paslaugų teikėjai privalo bendradarbiauti ir saugoti pateiktą leidimą savo bylose. Jie gali atsisakyti bendradarbiauti, kai teismo rašytiniame leidime nurodyta informacija apie asmenį, kurio informaciją norima rinkti, yra neteisinga (pavyzdžiui, asmens telefono numeris). Be to, jiems draudžiama, nepaisant aplinkybių, atskleisti slaptažodžius, naudojamus naudojantis telekomunikacijų paslaugomis. Bet kuris ryšius ribojančias priemones taikantis arba bendradarbiauti prašantis asmuo turi saugoti įrašus, kuriuose turi būti nurodomi priemonių tikslai, jų taikymo laikotarpis, bendradarbiavimo data ir sritis. Ryšius ribojančias priemones taikančios teisėsaugos institucijos taip pat turi saugoti įrašus ir juose pateikti išsamią informaciją ir nurodyti pasiektus rezultatus. Baigę tyrimą teismo policijos pareigūnai privalo šią informaciją ataskaitos forma pateikti prokurorui. Kai prokuroras pateikia kaltinimus byloje, kurioje buvo taikytos ryšius ribojančios priemonės, arba paskelbia sprendimą atitinkamam asmeniui nepateikti kaltinimų arba jo nesuimti (t. y. ne tik sustabdyti baudžiamąjį persekiojimą), prokuroras privalo pranešti asmeniui, kuriam buvo taikytos ryšius ribojančios priemonės, apie tai, kad jam buvo taikytos ryšius ribojančios priemonės, nurodant jas taikiusią agentūrą ir taikymo laikotarpį. Toks pranešimas turi būti pateiktas raštu per 30 dienų nuo sprendimo priėmimo. Pranešimas gali būti atidėtas, jei pranešus galėtų kilti didelis pavojus nacionaliniam saugumui arba būtų sutrikdytas visuomenės saugumas ir viešoji tvarka, arba kai tikėtina, kad pranešus kiltų grėsmė kitų asmenų gyvybėms ir fizinei sveikatai. Pranešimą atidėti ketinantis prokuroras arba teismo policijos pareigūnas turi gauti apygardos prokuratūros vadovo sutikimą. Pranešimas turi būti pateiktas per 30 dienų nuo tada, kai išnyksta atidėjimo pagrindai. RPAĮ taip pat nustatoma speciali tvarka, kai ryšių turinys renkamas ekstremaliųjų situacijų atveju. Visų pirma teisėsaugos institucijos gali rinkti ryšių turinį tuo atveju, kai dėl planuojamo ar vykdomo organizuoto nusikalstamumo ar kito sunkaus nusikaltimo kyla neišvengiama tiesioginė mirties ar sunkaus sužalojimo grėsmė, ir susidaro ekstremalioji situacija, dėl kurios neįmanoma taikyti įprastos procedūros (kaip nurodyta pirmiau). Tokios ekstremaliosios situacijos atveju policijos pareigūnas arba prokuroras gali taikyti ryšius ribojančias priemones be išankstinio teismo leidimo, bet privalo pateikti teismui prašymą dėl leidimo iš karto pritaikęs priemones. Jei teisėsaugos institucija negauna teismo leidimo per 36 valandas nuo to momento, kai buvo imtasi neatidėliotinų priemonių, duomenų rinkimas turi būti nedelsiant nutrauktas, o surinkta informacija paprastai sunaikinama. Policijos pareigūnai sekimą ekstremaliųjų situacijų atveju atlieka prižiūrimi prokuroro, o jei prokuroro nurodymų iš anksto gauti neįmanoma dėl būtinybės imtis skubių veiksmų, policija turi gauti prokuroro sutikimą iš karto po to, kai pradedama vykdyti veiksmus. Kaip aprašyta pirmiau, taisyklės dėl asmens informavimo apie informacijos rinkimą taip pat taikomos, kai ryšių turinys renkamas ekstremaliųjų situacijų atveju. Ekstremaliųjų situacijų atvejais informacija visada turi būti renkama remiantis neišvengiamos cenzūros ir (arba) slapto pokalbių klausymosi pareiškimu, o rinkimą atliekanti institucija privalo registruoti visas neatidėliotinas priemones. Prie prašymo teismui suteikti leidimą taikyti neatidėliotinas priemones turi būti pridėtas rašytinis dokumentas, kuriame turi būti nurodytos būtinos ryšius ribojančios priemonės, jų taikymo sritis, objektas, taikymo mastas, vykdymo vieta, būdas ir paaiškinimas, kaip atitinkamos ryšius ribojančios priemonės atitinka RPAĮ 5 straipsnio 1 dalį, taip pat patvirtinamieji dokumentai. Tais atvejais, kai neatidėliotinos priemonės taikomos trumpai ir nespėjama gauti teismo leidimo (pvz., jei įtariamasis suimamas iš karto pradėjus informacijos perėmimą ir dėl to jis sustabdomas), kompetentingos prokuratūros vadovas kompetentingam teismui pateikia pranešimą apie taikytą neatidėliotiną priemonę. Pranešime turi būti pateikta informacija apie priemonės taikymo tikslą, sritį, mastą, laikotarpį, įgyvendinimo vietą ir rinkimo būdą, taip pat prašymo dėl teismo leidimo nepateikimo priežastis. Pateikus šį pranešimą jį gavęs teismas gali patikrinti rinkimo teisėtumą ir jis turi būti įtrauktas į pranešimų apie neatidėliotinas priemones registrą. Paprastai ryšių, RPAĮ pagrindu gautų taikant ryšius ribojančias priemones, turinys gali būti naudojamas tik konkrečių pirmiau išvardytų nusikaltimų tyrimui, juos atlikusių asmenų baudžiamajam persekiojimui ar jų prevencijai, kai taikomos drausminės procedūros dėl tų pačių nusikaltimų, kai ryšių šalis pateikia reikalavimą atlyginti žalą arba tais atvejais, kai tai leidžiama pagal kitus įstatymus. Renkant internetu perduodamus telekomunikacinius ryšius taikomos specialios apsaugos priemonės. Tokia informacija gali būti naudojama tik RPAĮ 5 straipsnio 1 dalyje išvardytiems sunkiems nusikaltimams tirti. Jei informaciją norima saugoti, reikia gauti teismo, leidusio taikyti ryšius ribojančias priemones, sutikimą. Prašyme leisti saugoti informaciją turi būti pateikta informacija apie ryšius ribojančias priemones, priemonių rezultatų santrauka, saugojimo priežastys (kartu su patvirtinančia medžiaga) ir nurodyti saugotini telekomunikaciniai ryšiai. Jei toks prašymas nepateikiamas, gauti telekomunikaciniai ryšiai turi būti ištrinami per 14 dienų nuo ryšius ribojančių priemonių taikymo pabaigos. Jei prašymas atmetamas, telekomunikaciniai ryšiai turi būti sunaikinami per septynias dienas. Kai telekomunikaciniai ryšiai ištrinami, apie tai turi būti per septynias dienas pranešta teismui, kuris davė leidimą taikyti ryšius ribojančias priemones, nurodant ištrynimo priežastis, taip pat pateikiant išsamią informaciją apie ištrynimą ir nurodant jo laiką. Apskritai, jei informacija buvo gauta neteisėtai taikant ryšius ribojančias priemones, ji nebus pripažįstama kaip įrodymai teismo ar drausminėse procedūrose. Be to, pagal RPAĮ bet kuriam asmeniui, kuris taiko ryšius ribojančias priemones, draudžiama atskleisti konfidencialią informaciją, gautą taikant tokias priemones, ir naudoti gautą informaciją siekiant pakenkti asmenų, kuriems taikomos priemonės, reputacijai. Apribojimai ir apsaugos priemonės, taikomi ryšius patvirtinančios informacijos rinkimui Remdamosi RPAĮ teisėsaugos institucijos gali prašyti, kad telekomunikacijų paslaugų teikėjai pateiktų ryšių patvirtinimo duomenis, kai tai būtina tyrimui atlikti arba nuosprendžiui priimti. Kitaip nei renkant turinio duomenis, galimybė rinkti ryšių patvirtinimo duomenis neapribojama ją suteikiant tik tam tikrų konkrečių nusikaltimų atveju. Tačiau, kaip ir turinio duomenų atveju, ryšių patvirtinimo duomenų rinkimui reikalingas išankstinis rašytinis teismo leidimas, taikant tas pačias, anksčiau aprašytas sąlygas. Kai teismo leidimo neįmanoma gauti, nes reikia skubiai imtis veiksmų, ryšių patvirtinimo duomenys gali būti renkami neturint orderio; tokiu atveju leidimas turi būti gautas iš karto po to, kai paprašoma duomenų, ir turi būti perduotas telekomunikacijų paslaugų teikėjui. Jei vėliau leidimas negaunamas, surinkta informacija turi būti sunaikinama. Prokurorai, teismo policijos pareigūnai ir teismai privalo registruoti prašymus rinkti ryšių patvirtinimo duomenis. Be to, telekomunikacijų paslaugų teikėjai apie ryšių patvirtinimo duomenų atskleidimą privalo du kartus per metus pranešti Mokslo ir IRT ministrui ir įrašus apie tai saugoti septynerius metus nuo duomenų atskleidimo dienos. Asmenims iš esmės pranešama apie tai, kad buvo surinkti ryšių patvirtinimo duomenys. Tokio pranešimo laikas priklauso nuo tyrimo aplinkybių. Priėmus sprendimą asmenį patraukti (nepatraukti) baudžiamojon atsakomybėn, pranešimas turi būti pateiktas per 30 dienų. Jei kaltinimų pateikimas sustabdomas, pranešimas turi būti pateiktas per 30 dienų praėjus metams nuo tokio sprendimo priėmimo. Bet kuriuo atveju pranešimas turi būti pateiktas per 30 dienų praėjus metams nuo informacijos rinkimo. Pranešimas gali būti atidėtas, jei pranešus 1) gali kilti pavojus nacionaliniam saugumui, visuomenės saugumui ir viešajai tvarkai, 2) gali būti sukelta mirtis ar kūno sužalojimas, 3) gali būti trukdoma teisingam teismo procesui (pvz., jei pranešus būtų sunaikinti įrodymai arba grasinama liudytojams) arba 4) gali būti apšmeižtas įtariamas asmuo, aukos ar kiti su byla susiję asmenys arba gali būti pažeistas jų privatumas. Norint atidėti pranešimą dėl vienos iš pirmiau nurodytų priežasčių, reikalingas kompetentingos apygardos prokuratūros vadovo leidimas. Pranešimas turi būti pateiktas per 30 dienų nuo tada, kai išnyksta atidėjimo pagrindai. Asmenys, kuriems pranešama, gali pateikti prokurorui arba teismo policijos pareigūnui rašytinį prašymą nurodyti ryšių patvirtinimo duomenų rinkimo priežastis. Tokiu atveju prokuroras arba teismo policijos pareigūnas per 30 dienų nuo prašymo gavimo turi raštu nurodyti priežastis, išskyrus atvejus, kai taikoma viena iš pirmiau nurodytų priežasčių (išimtys dėl pranešimo atidėjimo). Telekomunikacijų paslaugų teikėjų savanoriškas informacijos atskleidimas Pagal TĮĮ 83 straipsnio 3 dalį telekomunikacijų paslaugų teikėjams leidžiama savanoriškai vykdyti teismo, prokuroro arba tyrimų agentūros vadovo prašymą (pateiktą siekiant paremti baudžiamąjį procesą, tyrimą ar bausmės skyrimą) atskleisti ryšių duomenis. Pagal TĮĮ ryšių duomenis sudaro naudotojų vardas ir pavardė, gyventojo registracijos numeris, adresas ir telefono numeris, abonemento užsisakymo arba atsisakymo datos, taip pat naudotojo identifikavimo kodas (t. y. kodas, naudojamas teisėtam kompiuterinių sistemų ar ryšių tinklų naudotojui identifikuoti). TĮĮ tikslais vartotojais laikomi tik tie asmenys, kurie sudaro paslaugų sutartis tiesiogiai su Korėjos telekomunikacijų paslaugų teikėju. Todėl tikėtina, kad atvejai, kai asmenys ES, kurių duomenys buvo perduoti į Korėjos Respubliką, būtų laikomi naudotojais pagal TĮĮ, pasitaikys retai, nes tie asmenys paprastai nesudarys sutarties tiesiogiai su Korėjos telekomunikacijų operatoriumi. Prašymai gauti ryšių duomenis remiantis TĮĮ turi būti pateikiami raštu ir juose turi būti nurodytos prašymo priežastys, ryšys su atitinkamu naudotoju ir prašomų duomenų apimtis. Kai dėl aplinkybių, kurios reikalauja skubos, neįmanoma pateikti rašytinio prašymo, rašytinis prašymas turi būti pateiktas iš karto skubos priežasčiai išnykus. Prašymus atskleisti ryšių duomenis vykdantys telekomunikacijų paslaugų teikėjai privalo saugoti žurnalus su įrašais, kuriuose turi būti nurodyta, kad buvo pateikti ryšių duomenys, taip pat susijusią medžiagą, pavyzdžiui, rašytinį prašymą. Be to, telekomunikacijų paslaugų teikėjai apie ryšių duomenų teikimą turi du kartus per metus pranešti Mokslo ir IRT ministrui. Telekomunikacijų paslaugų teikėjai neprivalo vykdyti prašymų atskleisti ryšių duomenis remiantis TĮĮ. Todėl kiekvieną prašymą paslaugų teikėjas turi įvertinti atsižvelgdamas į pagal AIAĮ taikomus duomenų apsaugos reikalavimus. Visų pirma telekomunikacijų paslaugų teikėjas turi atsižvelgti į duomenų subjekto interesus ir negali atskleisti informacijos, jei tikėtina, kad dėl to galėtų būti nepagrįstai pažeisti asmens arba trečiosios šalies interesai. Be to, pagal pranešimą Nr. 2021-1 dėl papildomų taisyklių dėl Asmeninės informacijos apsaugos įstatymo aiškinimo ir taikymo atitinkamam asmeniui turi būti pranešama apie informacijos atskleidimą. Ypatingais atvejais pranešimas gali būti atidedamas, visų pirma, jei pranešus būtų kliudoma vykstančiam baudžiamajam tyrimui arba galėtų kilti pavojus kito asmens gyvybei ar fizinei sveikatai ir tol, kol tokie pavojai kiltų, kai tos teisės ar interesai yra akivaizdžiai viršesni už duomenų subjekto teises. 2016 m. Aukščiausiasis Teismas patvirtino, kad savanorišku telekomunikacijų paslaugų teikėjų ryšių duomenų teikimu pagal TĮĮ negavus orderio savaime nepažeidžiama telekomunikacijų paslaugos naudotojo teisė į informacija pagrįstą apsisprendimą. Tačiau Teismas paaiškino, kad toks pažeidimas būtų padarytas, jei būtų akivaizdu, kad prašančioji agentūra piktnaudžiavo savo įgaliojimais prašydama atskleisti ryšių duomenis, taip pažeisdama atitinkamo asmens ar trečiojo asmens interesus. Apskritai bet koks teisėsaugos institucijos prašymas savanoriškai atskleisti informaciją turi atitikti Korėjos Konstitucijoje nustatytus teisėtumo, būtinumo ir proporcingumo principus (12 straipsnio 1 dalis ir 37 straipsnio 2 dalis). Priežiūra Baudžiamosios teisėsaugos institucijų priežiūra vykdoma naudojantis skirtingais mechanizmais, tiek viduje, tiek išorės įstaigų. Savikontrolė Pagal Viešojo sektoriaus audito įstatymą valdžios institucijos raginamos steigti savikontrolės įstaigas, kurioms, be kita ko, būtų pavesta vykdyti teisėtumo tikrinimą. Turi būti užtikrinamas kuo didesnis tokių savikontrolės įstaigų vadovų nepriklausomumas. Konkrečiau, laikotarpiui nuo dvejų iki penkerių metų skiriami su atitinkama institucija nesusiję asmenys (pvz., buvę teisėjai, profesoriai) ir iš pareigų jie gali būti atleidžiami tik dėl pagrįstų priežasčių (pvz., kai jie negali atlikti pareigų dėl psichikos sutrikimo ar fizinės negalios, kai jiems taikomos drausminės priemonės). Auditoriai taip pat skiriami atsižvelgiant į specialius įstatyme nustatytus reikalavimus. Audito ataskaitose gali būti pateikiamos rekomendacijos ar prašymai dėl kompensacijų ar pataisų, taip pat papeikimai ir rekomendacijos arba prašymai taikyti drausmines priemones. Apie jas per 60 dienų nuo audito pabaigos pranešama valdžios institucijos, kurios auditas atliekamas, vadovui, taip pat Audito ir inspektavimo valdybai (žr. 2.3.2 skirsnį). Atitinkama institucija turi įgyvendinti reikiamas priemones ir rezultatus pateikti Audito ir inspektavimo valdybai. Be to, audito rezultatai paprastai skelbiami viešai. Už atsisakymą atlikti savikontrolę arba trukdymą ją atlikti skiriamos administracinės baudos. Baudžiamosios teisėsaugos srityje Nacionalinė policijos agentūra, siekdama laikytis pirmiau minėtų teisės aktų, įgyvendina generalinio inspektoriaus sistemą, skirtą vykdyti savikontrolę, įskaitant galimų žmogaus teisių pažeidimų atveju. Audito ir inspektavimo valdyba Audito ir inspektavimo valdyba (toliau – AIV) gali tikrinti valdžios institucijų veiklą ir, remdamasi tokiais patikrinimais, teikti rekomendacijas, prašyti taikyti drausmines priemones arba pateikti skundą dėl nusikalstamos veikos. AIV yra įsteigta Korėjos Respublikos Prezidento, tačiau vykdydama savo pareigas yra nepriklausoma. Be to, įstatyme, kuriuo įsteigta AIV, reikalaujama, kad AIV būtų kuo labiau nepriklausoma jai priimant, atleidžiant ir organizuojant savo žmogiškuosius išteklius, taip pat sudarant savo biudžetą. AIV pirmininką skiria Prezidentas, gavęs Nacionalinės Asamblėjos sutikimą. Likusius šešis komisijos narius ketverių metų kadencijai skiria pirmininkas, remdamasis Prezidento rekomendacija. Komisijos nariai (įskaitant pirmininką) turi turėti įstatymų nustatytą konkrečią kvalifikaciją ir atleisti jie gali būti tik tada, jei jiems vykdoma apkalta, skiriama laisvės atėmimo bausmė arba jie nebegali vykdyti savo pareigų dėl užsitęsusios fizinės ar psichinės negalios. Be to, komisijos nariams draudžiama dalyvauti politinėje veikloje ir tuo pačiu metu eiti pareigas Nacionalinėje Asamblėjoje, administracinėse agentūrose, organizacijose, kurių auditą ir inspektavimą atlieka AIV, arba bet kurioje kitoje įstaigoje ar pareigose už atlygį. AIV kasmet atlieka bendrą auditą, tačiau taip pat gali atlikti specialų auditą, susijusį su ypatingos svarbos klausimais. Inspektavimo metu AIV gali prašyti, kad būtų pateikti dokumentai ir kad dalyvautų konkretūs asmenys. Atlikdama auditą AIV tikrina valstybės pajamas ir išlaidas, taip pat prižiūri, kaip bendrai valdžios institucijos ir valstybės pareigūnai vykdo savo pareigas, siekdama pagerinti viešojo administravimo veikimą. Todėl jos atliekama priežiūra apima ne tik biudžeto aspektus, bet ir teisėtumo tikrinimą. Nacionalinė Asamblėja Nacionalinė Asamblėja gali tirti ir tikrinti valdžios institucijas. Tyrimo ar inspektavimo metu Nacionalinė Asamblėja gali prašyti atskleisti dokumentus ir įpareigoti liudytojus liudyti. Bet kuriam asmeniui Nacionalinės Asamblėjos tyrimo metu pateikusiam melagingus parodymus taikomos baudžiamosios sankcijos (iki dešimties metų laisvės atėmimo bausmė). Inspektavimo procesas ir rezultatai gali būti skelbiami viešai. Jei Nacionalinė Asamblėja nustato neteisėtą ar netinkamą veiklą, ji gali prašyti, kad atitinkama valdžios institucija imtųsi taisomųjų veiksmų, be kita ko, skirtų kompensacijas, taikytų drausmines priemones ir tobulintų savo vidaus procedūras. Gavusi tokį prašymą, institucija turi nedelsdama imtis veiksmų ir Nacionalinei Asamblėjai pranešti apie rezultatus. Asmeninės informacijos apsaugos komisija Asmeninės informacijos apsaugos komisija (toliau – AIAK) prižiūri, kad baudžiamosios teisėsaugos institucijos tvarkytų asmeninę informaciją pagal AIAĮ. Be to, pagal AIAĮ 7-8 straipsnio 3 ir 4 dalis ir 7-9 straipsnio 5 dalį AIAK priežiūra taip pat apima galimus taisyklių, kuriomis nustatomi asmeninės informacijos rinkimo apribojimai ir apsaugos priemonės, įskaitant nustatytus konkrečiuose įstatymuose, reglamentuojančiuose (elektroninių) įrodymų rinkimą baudžiamosios teisėsaugos tikslais, pažeidimus (žr. 2.2 skirsnį). Atsižvelgiant į AIAĮ 3 straipsnio 1 dalyje nustatytus reikalavimus dėl teisėto ir sąžiningo asmeninės informacijos rinkimo, toks pažeidimas taip pat yra AIAĮ pažeidimas, todėl AIAK leidžiama atlikti tyrimą ir taikyti taisomuosius veiksmus. Vykdydama priežiūros funkciją AIAK turi prieigą prie visos aktualios informacijos. AIAK gali teikti teisėsaugos institucijoms konsultacijas dėl jų taikomo asmeninės informacijos apsaugos lygio gerinimo joms vykdant duomenų tvarkymo veiklą, taisomųjų veiksmų taikymo (pvz., sustabdyti duomenų tvarkymą arba imtis būtinų priemonių asmens informacijai apsaugoti) arba patarti institucijai imtis drausminių priemonių. Galiausiai numatytos baudžiamosios sankcijos už tam tikrus AIAĮ pažeidimus, pavyzdžiui, už neteisėtą asmeninės informacijos naudojimą ar atskleidimą trečiosioms šalims arba neteisėtą neskelbtinos informacijos tvarkymą. Tokiu atveju AIAK gali perduoti klausimą nagrinėti kompetentingai tyrimo agentūrai (įskaitant prokurorą). Nacionalinė žmogaus teisių komisija Nacionalinė žmogaus teisių komisija (toliau – NŽTK) – nepriklausoma institucija, kuriai pavesta saugoti ir remti pagrindines teises – turi įgaliojimus tirti ir ištaisyti Konstitucijos 10–22 straipsnių, įskaitant teisės į privatumą ir susirašinėjimo privatumą, pažeidimus. NŽTK sudaro 11 komisijos narių, kuriuos siūlo Nacionalinė Asamblėja (keturis), Prezidentas (keturis) ir Aukščiausiojo Teismo vyriausiasis teisėjas (tris). Kad būtų paskirtas komisijos nariu asmuo turi būti 1) bent dešimt metų dirbęs universitete arba įgaliotame mokslinių tyrimų institute, ne žemesnėse kaip docento pareigose, 2) bent dešimt metų dirbęs teisėju, prokuroru ar advokatu, 3) bent dešimt metų dalyvavęs veikloje, susijusioje su žmogaus teisėmis (pvz., ne pelno siekiančioje, nevyriausybinėje organizacijoje arba tarptautinėje organizacijoje) arba 4) rekomenduotas pilietinės visuomenės grupės. Pirmininką iš komisijos narių skiria Prezidentas, o šį paskyrimą turi patvirtinti Nacionalinė Asamblėja. Komisijos nariai (įskaitant pirmininką) skiriami trejų metų kadencijai, kuri gali būti pratęsta, o atleisti jie gali būti tik tada, kai jiems skiriama laisvės atėmimo bausmė arba jie nebegali vykdyti savo pareigų dėl užsitęsusios fizinės ar psichinės negalios (tokiu atveju du trečdaliai komisijos narių turi pritarti atleidimui iš pareigų). NŽTK nariams draudžiama tuo pačiu metu eiti pareigas Nacionalinėje Asamblėjoje, vietos tarybose arba bet kurioje valstybės ar vietos valdžios institucijoje (valstybės pareigūno pareigas). NŽTK gali pradėti tyrimą savo iniciatyva arba remdamasi asmens peticija. Atlikdama tyrimą, NŽTK gali prašyti pateikti atitinkamą medžiagą, atlikti patikrinimus ir kviesti asmenis liudyti. Atlikusi tyrimą, NŽTK gali teikti rekomendacijas, kaip tobulinti arba taisyti konkrečią politiką ir praktiką, ir gali jas paskelbti viešai. Valdžios institucijos turi pateikti NŽTK tokių rekomendacijų įgyvendinimo planą per 90 dienų nuo jų gavimo. Be to, jei rekomendacijos neįgyvendinamos, atitinkama institucija apie tai turi pranešti komisijai. NŽTK savo ruožtu gali pranešti apie tokį nevykdymą Nacionalinei Asamblėjai ir (arba) apie jį paskelbti viešai. Valdžios institucijos iš esmės laikosi NŽTK rekomendacijų ir turi rimtų paskatų tai daryti, nes jų įgyvendinimas vertinamas Vyriausybės politikos koordinavimo biurui atliekant bendrą vertinimą, kuriam vadovauja Ministro Pirmininko kanceliarija. Individualios teisių gynimo priemonės AIAĮ nustatyti teisių gynimo mechanizmai Pagal AIAĮ asmenys turi teisę susipažinti su baudžiamosios teisėsaugos institucijų tvarkoma asmenine informacija, reikalauti ją ištaisyti, ištrinti ir sustabdyti jos tvarkymą. Prašyti susipažinti su informacija galima tiesiogiai atitinkamos institucijos arba netiesiogiai per AIAK. Kompetentinga institucija gali apriboti susipažinimą su informacija arba jį uždrausti tik tais atvejais, kai tai numatyta teisės aktuose, kai dėl to gali kilti grėsmė trečiosios šalies gyvybei ar fizinei sveikatai arba kai tikėtina, kad bus padarytas nepagrįstas kito asmens turtinių ir kitų interesų pažeidimas (t. y. kai kito asmens interesai būtų viršesni už prašymą pateikusio asmens interesus). Jei prašymas leisti susipažinti su informacija atmetamas, asmeniui turi būti nurodomos atmetimo priežastys ir pateikiama informacija apie tai, kaip tokį sprendimą galima apskųsti. Be to, prašymas ištaisyti ar ištrinti duomenis gali būti atmestas, jei tokia galimybė numatyta kituose teisės aktuose; tokiu atveju asmeniui turi būti nurodytos prašymo atmetimo priežastys ir pateikiama informacija apie galimybę tokį sprendimą apskųsti. Teisių gynimo atžvilgiu asmenys gali pateikti skundą AIAK, be kita ko, per Korėjos interneto ir saugumo agentūros administruojamą privatumo apsaugos skambučių centrą. Be to, asmuo gali kreiptis į Tarpininkavimo ginčuose dėl asmeninės informacijos komitetą. Šiomis teisių gynimo priemonėmis galima pasinaudoti, jei pažeidžiamos taisyklės, nustatytos konkrečiuose įstatymuose, kuriais nustatomi apribojimai ir apsaugos priemonės, susijusios su asmeninės informacijos rinkimu (2.2 skirsnis), ir jei pažeidžiamas AIAĮ. Be to, asmenys gali užginčyti AIAK sprendimus arba neveikimą pagal Administracinių ginčų įstatymą (žr. 2.4.3 skirsnį). Teisių gynimas Nacionalinėje žmogaus teisių komisijoje NŽTK nagrinėja asmenų (tiek Korėjos, tiek užsienio valstybių piliečių) skundus dėl valdžios institucijų padarytų žmogaus teisių pažeidimų. Asmenims nebūtina skundą pateikti NŽTK. Skundą NŽTK nagrinėja net jei nagrinėjant skundo priimtinumą atitinkamas asmuo negali įrodyti, kad buvo padaryta žala. Todėl kai asmens duomenys renkami baudžiamosios teisėsaugos tikslais, asmuo, siekdamas, kad jo skundą priimtų nagrinėti NŽTK, neprivalo įrodyti, kad Korėjos valdžios institucijos iš tikrųjų susipažino su jo asmenine informacija. Asmuo taip pat gali prašyti skundą išspręsti tarpininkaujant. Norėdama ištirti skundą NŽTK gali naudotis savo tyrimo įgaliojimais, be kita ko, prašyti pateikti atitinkamą medžiagą, atlikti patikrinimus ir kviesti asmenis liudyti. Jeigu atlikus tyrimą nustatoma, kad buvo pažeisti atitinkami teisės aktai, NŽTK gali rekomenduoti įgyvendinti teisių gynimo priemones arba taisyti ar tobulinti atitinkamą įstatymą, instituciją, politiką ar praktiką. Siūlomos teisių gynimo priemonės gali apimti tarpininkavimą, žmogaus teisių pažeidimo nutraukimą, žalos atlyginimą ir priemones, kuriomis siekiama užkirsti kelią tokių pačių ar panašių pažeidimų pasikartojimui. Neteisėto asmeninės informacijos rinkimo pagal taikomas taisykles atveju teisių gynimo priemonės gali apimti ir surinktos asmeninės informacijos ištrynimą. Jei manoma, kad labai tikėtina, jog pažeidimas yra tęstinio pobūdžio, ir kad tikėtina, jog nesiėmus veiksmų, būtų padaryta sunkiai atitaisoma žala, NŽTK gali taikyti skubias paramos priemones. Nors NŽTK neturi įgaliojimų įpareigoti, jos sprendimai (pvz., sprendimas netęsti skundo nagrinėjimo) ir rekomendacijos gali būti ginčijami Korėjos teismuose pagal Administracinių ginčų įstatymą (žr. 2.4.3 skirsnį). Be to, jei iš NŽTK išvadų matyti, kad valdžios institucija neteisėtai rinko asmens duomenis, asmuo gali siekti tolesnių teisių gynimo veiksmų tos valdžios institucijos atžvilgiu Korėjos teismuose, pvz., užginčyti duomenų rinkimą pagal Administracinių ginčų įstatymą, pateikti konstitucinį skundą pagal Konstitucinio Teismo įstatymą arba prašyti atlyginti žalą pagal Valstybės kompensacijų įstatymą (žr. 2.4.3 skirsnį). Teisminis teisių gynimas Asmenys gali remtis ankstesniuose skirsniuose aprašytais apribojimais ir apsaugos priemonėmis siekdami įvairiais būdais ginti savo teises Korėjos teismuose. Visų pirma pagal BPĮ atitinkamas asmuo ir jo advokatas gali dalyvauti, kai vykdomas kratos ar poėmio orderis, todėl jis gali pareikšti prieštaravimą orderio vykdymo metu. Be to, BPĮ numatytas vadinamojo kvaziskundo mechanizmas, kuriuo asmenims sudaromos sąlygos kreiptis į kompetentingą teismą su prašymu panaikinti arba pakeisti prokuroro ar policijos pareigūno priimtą sprendimą dėl poėmio. Taip asmenims sudaromos sąlygos užginčyti priemones, kurių buvo imtasi siekiant įvykdyti poėmio orderį. Be to, asmenys gali reikalauti žalos atlyginimo Korėjos teismuose. Remdamiesi Valstybės kompensacijų įstatymu, asmenys gali prašyti kompensacijos už žalą, kurią valstybės pareigūnai padarė pažeidę įstatymą, kai vykdė savo oficialias pareigas. Reikalavimas atlyginti žalą pagal Valstybės kompensacijų įstatymą gali būti pateiktas specializuotai kompensacijos tarybai arba tiesiogiai Korėjos teismuose. Jei nukentėjusysis yra užsienio valstybės pilietis, Valstybės kompensacijų įstatymas jam taikomas tada, kai to piliečio kilmės šalis taip pat užtikrina valstybės kompensaciją Korėjos piliečiams. Remiantis teismų praktika, ši sąlyga laikoma įvykdyta, jei reikalavimai prašant kompensacijos kitoje šalyje nėra labai skirtingi Korėjoje ir kitoje šalyje ir bendrai nėra griežtesni už reikalavimus, nustatytus Korėjoje, nėra reikšmingai ir iš esmės skirtingi. Civiliniu įstatymu reglamentuojama valstybės atsakomybė atlyginti žalą, todėl ji apima ir neturtinę žalą (pvz., psichinę kančią). Duomenų apsaugos taisyklių pažeidimo atveju AIAĮ numatyta papildoma teisinė teisių gynimo priemonė. Pagal AIAĮ 39 straipsnį kiekvienas asmuo, patyręs žalą dėl AIAĮ pažeidimo arba dėl jo asmeninės informacijos praradimo, vagystės, atskleidimo, suklastojimo, pakeitimo ar sugadinimo, gali reikalauti žalos atlyginimo teisme. Abipusiškumo reikalavimas, panašus į nustatytą Valstybės kompensacijų įstatymu, nėra taikomas. Be žalos atlyginimo, pagal Administracinių ginčų įstatymą numatytas administracinis teisių gynimas nukentėjus nuo administracinių įstaigų veiksmų ar neveikimo. Kiekvienas asmuo gali užginčyti sprendimą (t. y. viešųjų įgaliojimų naudojimą ar atsisakymą juos naudoti konkrečiu atveju) arba neveikimą (administracinei agentūrai ilgą laiką nepriimant tam tikro sprendimo, kai tai prieštarauja teisinei prievolei tai daryti), o tai gali lemti neteisėto sprendimo panaikinimą (pakeitimą), pripažinimą niekiniu (t. y. konstatavimą, kad sprendimas neturi teisinės galios arba kad ji neegzistuoja teisinėje sistemoje) arba neveikimo pripažinimą neteisėtu. Kad būtų galima užginčyti administracinį sprendimą, jis turi daryti tiesioginį poveikį civilinėms teisėms ir pareigoms. Tai, be kita ko, yra priemonės, skirtos asmens duomenims rinkti, kai jie renkami tiesiogiai (pvz., perimant ryšius) arba pateikiant atskleidimo prašymą (pvz., paslaugų teikėjui). Anksčiau nurodyti reikalavimai gali būti pirmiausia pateikti administracinėms apeliacinėms komisijoms, įsteigtoms tam tikrų valdžios institucijų (pvz., NŽT, NŽTK), arba Centrinei administracinei apeliacinei komisijai, įsteigtai Kovos su korupcija ir pilietinių teisių komisijos. Toks administracinis skundas yra alternatyvus, mažiau oficialus būdas užginčyti valdžios institucijos sprendimą arba neveikimą. Tačiau reikalavimas taip pat gali būti pateikiamas tiesiogiai Korėjos teismuose, remiantis Administracinių ginčų įstatymu. Prašymą panaikinti (pakeisti) sprendimą pagal Administracinių ginčų įstatymą gali pateikti bet kuris asmuo, turintis teisinį interesą siekti, kad jis būtų panaikintas (pakeistas) arba kad jo teisės būtų atkurtos panaikinant arba pakeičiant sprendimą, jei sprendimas nebeturi galios. Reikalavimą sprendimą pripažinti negaliojančiu taip pat gali pateikti asmuo, turintis teisinį interesą siekti tokio pripažinimo, o reikalavimą pripažinti neveikimą neteisėtu gali pateikti bet kuris asmuo, pateikęs prašymą priimti sprendimą ir turintis teisinį interesą siekti, kad neveikimas būtų pripažintas neteisėtu. Pagal Aukščiausiojo Teismo praktiką teisinis interesas suprantamas kaip teisiškai saugomas interesas, t. y. tiesioginis ir konkretus interesas, saugomas įstatymais ir kitais teisės aktais, kuriais grindžiami administraciniai sprendimai (t. y. jais negali būti bendri, netiesioginiai ir abstraktūs visuomenės interesai). Todėl asmenys tokį teisinį interesą turi tuo atveju, kai pažeidžiami apribojimai ir apsaugos priemonės, taikomos jų asmens duomenų rinkimui baudžiamosios teisėsaugos tikslais (pagal specialius įstatymus arba AIAĮ). Pagal Administracinių ginčų įstatymą šalys privalo įgyvendinti galutinį sprendimą. Prašymas panaikinti (pakeisti) sprendimą ir prašymas pripažinti neveikimą neteisėtu turi būti pateiktas per 90 dienų nuo tos dienos, kai asmuo sužinojo apie sprendimą arba neveikimą, ir iš esmės ne vėliau kaip per vienus metus nuo sprendimo paskelbimo arba neveikimo dienos, išskyrus atvejus, kai tam yra pagrįstų priežasčių. Pagal Aukščiausiojo Teismo praktiką pagrįstų priežasčių sąvoka turi būti aiškinama plačiai ir ją taikant reikalaujama įvertinti, ar socialiai priimtina leisti pateikti skundą pavėluotai, atsižvelgiant į visas bylos aplinkybes. Tai yra, pavyzdžiui, vėlavimo priežastys (jomis neapsiribojant), už kurias susijusi šalis negali būti laikoma atsakinga (t. y. situacijos, kurių skundo teikėjas negali kontroliuoti, pavyzdžiui, kai jam nebuvo pranešta apie jo asmeninės informacijos rinkimą), arba force majeure (pvz., stichinė nelaimė, karas). Galiausiai asmenys taip pat gali pateikti konstitucinį skundą Konstituciniam Teismui. Remiantis Konstitucinio Teismo įstatymu, bet kuris asmuo, kurio Konstitucija garantuojamos pagrindinės teisės yra pažeidžiamos valdžios institucijoms naudojantis savo įgaliojimais arba jų nevykdant (išskyrus teismų sprendimus), gali prašyti priimti sprendimą dėl konstitucinio skundo. Jei yra kitų teisių gynimo priemonių, pirmiausia turi būti naudojamasi jomis. Pagal Konstitucinio Teismo praktiką užsienio valstybių piliečiai gali pateikti konstitucinį skundą tais atvejais, kai jų pagrindinės teisės pripažįstamos pagal Korėjos Konstituciją (žr. 1.1 skirsnyje pateiktus paaiškinimus). Konstituciniai skundai turi būti pateikti per 90 dienų nuo tos dienos, kai asmuo sužinojo apie pažeidimą, ir per vienus metus nuo tada, kai buvo įvykdytas pažeidimas. Atsižvelgiant į tai, kad ginčų nagrinėjimui pagal Konstitucinio Teismo įstatymą taikoma Administracinių ginčų įstatyme nustatyta procedūra, skundas vis tiek bus priimtinas, jei yra pagrįstų priežasčių, kaip aiškinama remiantis anksčiau aprašyta Aukščiausiojo Teismo praktika. Jei pirmiausia reikia naudotis kitomis teisių gynimo priemonėmis, konstitucinis skundas turi būti pateiktas per 30 dienų nuo galutinio sprendimo dėl tokios teisių gynimo priemonės priėmimo. Konstitucinis Teismas gali panaikinti vyriausybės įgaliojimų vykdymą, dėl kurio buvo padarytas pažeidimas, arba patvirtinti, kad tam tikras neveikimas prieštarauja Konstitucijai. Tokiu atveju atitinkama institucija privalo imtis priemonių, kad būtų įvykdytas Teismo sprendimas. VYRIAUSYBĖS GALIMYBĖ SUSIPAŽINTI SU INFORMACIJA NACIONALINIO SAUGUMO TIKSLAIS Nacionalinio saugumo srityje kompetentingos valdžios institucijos Korėjos Respublikoje yra dvi specialios žvalgybos agentūros – NŽT ir Paramos saugumui gynybos vadavietė. Be to, policija ir prokuratūra taip pat gali rinkti asmeninę informaciją nacionalinio saugumo tikslais. NŽT įsteigta Nacionalinės žvalgybos tarnybos įstatymu (toliau – NŽT įstatymas) ir jos veikla priklauso tiesiogiai Prezidento jurisdikcijai bei jai taikoma jo priežiūra. Visų pirma NŽT renka, rengia ir teikia informaciją apie užsienio šalis (ir Šiaurės Korėją), žvalgybos informaciją, susijusią su užduotimis dėl kovos su šnipinėjimu (įskaitant karinį ir pramoninį šnipinėjimą), terorizmu ir tarptautinių nusikalstamų sindikatų veikla, žvalgybos informaciją apie tam tikrų rūšių nusikaltimus, nukreiptus prieš viešąjį ir nacionalinį saugumą (pvz., vidaus sukilimus, užsienio agresiją), ir žvalgybos informaciją, susijusią su kibernetinio saugumo užtikrinimo ir kibernetinių išpuolių ir grėsmių prevencijos arba kovos su jais užduotimis. NŽT įstatyme, kuriuo įsteigiama NŽT ir nustatomos jos užduotys, taip pat nustatyti bendrieji principai, kuriais grindžiama visa jos veikla. Apskritai NŽT turi išlaikyti politinį neutralumą ir apsaugoti asmenų laisvę ir teises. NŽT pirmininkui pavesta parengti bendrąsias gaires, kuriose būtų nustatyti NŽT pareigų, susijusių su informacijos rinkimu ir naudojimu, vykdymo principai, apimtis ir procedūros, ir apie jas jis turi informuoti Nacionalinę Asamblėją. Nacionalinė Asamblėja (per savo žvalgybos komitetą) gali reikalauti, kad gairės būtų pataisytos arba papildytos, jei mano, kad jos yra neteisėto arba neteisingo pobūdžio. Apskritai vykdydami savo pareigas NŽT direktorius ir darbuotojai negali versti jokios institucijos, organizacijos ar asmens daryti tai, ko jie neprivalo daryti, ir negali trukdyti jokiam asmeniui naudotis savo teisėmis piktnaudžiaudami savo oficialiais įgaliojimais. Be to, taikant pašto cenzūrą, perimant telekomunikacinius ryšius, renkant buvimo vietos nustatymo informaciją, ryšių patvirtinimo duomenis arba NŽT įrašant privačius ryšius arba jų klausantis būtina laikytis RPAĮ, Informacijos apie buvimo vietą įstatymo arba BPĮ reikalavimų. Už bet kokį piktnaudžiavimą įgaliojimais ar informacijos rinkimą pažeidžiant šiuos įstatymus taikomos baudžiamosios sankcijos. Paramos saugumui gynybos vadavietė yra Gynybos ministerijos įsteigta karinės žvalgybos agentūra. Ji atsakinga už saugumo klausimus vykdant karinę veiklą, karinių nusikalstamų veikų tyrimus (taikant Karinio teismo įstatymą) ir karinę žvalgybą. Apskritai Paramos saugumui gynybos vadavietė nevykdo civilių gyventojų sekimo, nebent tai būtina jos karinėms funkcijoms vykdyti. Gali būti vykdomi karinio personalo, civilių kariuomenės darbuotojų, karinius mokymus atliekančių asmenų, asmenų kariniame rezerve arba samdomųjų karių ir karo belaisvių tyrimai. Paramos saugumui gynybos vadavietei renkant ryšių informaciją nacionalinio saugumo tikslais jai taikomi RPAĮ ir jo vykdymo užtikrinimo dekrete nustatyti apribojimai ir apsaugos priemonės. Teisiniai pagrindai ir apribojimai RPAĮ, Įstatymu dėl kovos su terorizmu siekiant apsaugoti piliečius ir užtikrinti viešąjį saugumą (toliau – Kovos su terorizmu įstatymas) ir TĮĮ suteikiami teisiniai pagrindai asmeninės informacijos rinkimui nacionalinio saugumo tikslais ir nustatomi taikytini apribojimai ir apsaugos priemonės. Šiais apribojimais ir apsaugos priemonėmis užtikrinama, kaip aprašyta tolesniuose skirsniuose, kad informacija būtų renkama ir tvarkoma tik tiek, kiek būtina teisėtam tikslui pasiekti. Tai neapima masinio ir nesirinktinai atliekamo asmeninės informacijos rinkimo nacionalinio saugumo tikslais. Ryšių informacijos rinkimas Žvalgybos agentūrų atliekamas ryšių informacijos rinkimas Teisinis pagrindas RPAĮ žvalgybos agentūroms suteikiamas įgaliojimas rinkti ryšių duomenis, o ryšių paslaugų teikėjams nustatomas reikalavimas bendradarbiauti toms agentūroms paprašius. Kaip aprašyta 2.2.2.1 skirsnyje, RPAĮ ryšių turinio rinkimas (t. y. ryšius ribojančios priemonės, kaip antai slapto pokalbių klausymosi arba cenzūros priemonės) atskiriamas nuo ryšių patvirtinimo duomenų rinkimo. Šių dviejų rūšių informacijos rinkimo ribos skiriasi, tačiau taikomos procedūros ir apsaugos priemonės iš esmės yra vienodos. Ryšių patvirtinimo duomenys (arba metaduomenys) gali būti renkami siekiant užkirsti kelią nacionaliniam saugumui kylančioms grėsmėms. Siauresnės ribos taikomos, kai imamasi ryšius ribojančių priemonių (t. y. renkamas ryšių turinys), kurios gali būti taikomos tik tada, kai numatoma, kad nacionaliniam saugumui kils didelis pavojus, o žvalgybos duomenų rinkimas yra būtinas siekiant užkirsti kelią tokiam pavojui (t. y. jei nacionaliniam saugumui kyla didelis pavojus ir duomenų rinkimas yra būtinas siekiant užkirsti kelią tokiam pavojui). Be to, prieiga prie ryšių turinio gali būti suteikiama tik kraštutiniu atveju, kai siekiama užtikrinti nacionalinį saugumą, ir turi būti dedamos pastangos kuo mažiau pažeisti ryšių privatumą. Net gavus atitinkamą patvirtinimą ir (arba) leidimą, tokių priemonių taikymas turi būti nedelsiant sustabdomas, kai jos nebereikalingos, taip užtikrinant, kad bet koks privačių asmens ryšių pažeidimas būtų kuo mažesnis. Apribojimai ir apsaugos priemonės, taikomi renkant ryšių, kuriuose dalyvauja bent vienas Korėjos pilietis, informaciją Ryšių, kuriuose viena arba abi šalys yra Korėjos piliečiai, informacija (tiek turinys, tiek metaduomenys) gali būti renkama tik gavus Aukštojo Teismo vyriausiojo teisėjo leidimą. Žvalgybos agentūros prašymas turi būti pateiktas raštu prokurorui arba Vyriausiajai prokuratūrai. Jame turi būti nurodomos rinkimo priežastys (t. y. kad tikėtina, jog nacionaliniam saugumui kils didelis pavojus arba kad rinkimas yra būtinas siekiant užkirsti kelią nacionaliniam saugumui kylančioms grėsmėms), pateikiamos kartu su medžiaga, kuria tos priežastys pagrindžiamos ir įrodomas prima facie pagrindas, taip pat pateikiama išsami informacija apie prašymą (t. y. tikslai, asmuo (asmenys), kurio (-ių) duomenis siekiama rinkti, taikymo mastas, rinkimo laikotarpis, taip pat rinkimo vieta ir būdas). Savo ruožtu prokuroras arba Vyriausioji prokuratūra prašo Aukštojo teismo vyriausiojo teisėjo leidimo. Vyriausiasis teisėjas rašytinį leidimą gali suteikti tik tada, kai mano, kad prašymas yra pagrįstas, ir prašymą atmeta, kai mano, kad jis nepagrįstas. Orderyje nurodoma rinkimo rūšis, tikslas, taikymo sritis, mastas ir laikotarpis, taip pat vieta ir būdas. Specialios taisyklės taikomos tuomet, kai taikant priemonę siekiama tirti sąmokslą, kuriuo keliama grėsmė nacionaliniam saugumui, esant ekstremaliajai situacijai, dėl kurios neįmanoma atlikti minėtų procedūrų. Esant šioms sąlygoms žvalgybos tarnybos gali taikyti sekimo priemones be išankstinio teismo leidimo. Tačiau įvykdžiusi neatidėliotinas priemones žvalgybos agentūra turi nedelsiant prašyti teismo leidimo. Jei leidimas negaunamas per 36 valandas nuo priemonių taikymo pradžios, jų taikymas turi būti nedelsiant nutraukiamas. Ekstremaliųjų situacijų atvejais informacija visada turi būti renkama remiantis neišvengiamos cenzūros ir (arba) slapto pokalbių klausymosi pareiškimu, o rinkimą atliekanti žvalgybos agentūra privalo registruoti visas neatidėliotinas priemones. Tais atvejais, kai sekimas užbaigiamas per trumpą laiką nespėjus gauti teismo leidimo, kompetentingos Vyriausiosios prokuratūros vadovas turi nusiųsti žvalgybos agentūros parengtą pranešimą dėl neatidėliotinos priemonės kompetentingo teismo vadovui, kuris registruoja neatidėliotinas priemones. Taip teismui sudaromos sąlygos išnagrinėti duomenų rinkimo teisėtumą. Apribojimai ir apsaugos priemonės, taikomi renkant ryšių, kuriuose dalyvauja tik ne Korėjos piliečiai, informaciją Žvalgybos agentūros, siekdamos rinkti ryšių tik tarp ne Korėjos piliečių informaciją, turi gauti išankstinį raštišką Prezidento sutikimą. Tokie ryšiai nacionalinio saugumo tikslais bus renkami tik tuo atveju, jei jie priklauso vienai iš kelių išvardytų kategorijų, t. y. ryšiai tarp vyriausybės pareigūnų ar kitų asmenų šalyse, kurios yra priešiškai nusiteikusios Korėjos Respublikos atžvilgiu, užsienio šalių agentūrų, grupių ar piliečių, įtariamų vykdant prieš Korėją nukreiptą veiklą, arba grupių, veikiančių Korėjos pusiasalyje, tačiau faktiškai esančių už Korėjos Respublikos suvereniteto ribų, ir joms priklausančių grupių, įsikūrusių užsienio šalyse, narių. Tačiau jei viena ryšių šalis yra Korėjos pilietis, o kita – ne Korėjos pilietis, reikia gauti teismo sutikimą 3.2.1.1.2 skirsnyje aprašyta tvarka. Žvalgybos agentūros vadovas turi pateikti NŽT direktoriui priemonių, kurių ketinama imtis, planą. NŽT direktorius peržiūri planą ir, jei nustato, kad jis yra tinkamas, pateikia jį tvirtinti Prezidentui. Į planą turi būti įtraukta ta pati informacija, kurią reikalaujama pateikti prašant teismo leidimo rinkti informaciją apie Korėjos piliečius (aprašyta pirmiau). Visų pirma jame turi būti nurodomos rinkimo priežastys (t. y. kad tikėtina, jog nacionaliniam saugumui kils didelis pavojus arba kad rinkimas yra būtinas siekiant užkirsti kelią nacionaliniam saugumui kylančioms grėsmėms) ir pagrindinės įtarimo priežastys, pateikiamos kartu su medžiaga, kuria tos priežastys pagrindžiamos ir įrodomas prima facie pagrindas, taip pat pateikiama išsami informacija apie prašymą (t. y. tikslai, asmuo (asmenys), kurio (-ių) duomenis siekiama rinkti, taikymo mastas, rinkimo laikotarpis, taip pat rinkimo vieta ir būdas). Jei tuo pačiu metu prašoma išduoti kelis leidimus, nurodomas jų prašymo tikslas ir priežastys. Ekstremaliųjų situacijų atveju turi būti gautas išankstinis ministro, kurio jurisdikcijai priklauso atitinkama žvalgybos agentūra, sutikimas. Tačiau tokiu atveju po to, kai buvo imtasi neatidėliotinų priemonių, žvalgybos agentūra turi nedelsiant gauti Prezidento patvirtinimą. Jei žvalgybos agentūra negauna patvirtinimo per 36 valandas nuo prašymo pateikimo, duomenų rinkimas turi būti nedelsiant nutraukiamas. Tokiais atvejais surinkta informacija bus visada sunaikinama. Bendrieji apribojimai ir apsaugos priemonės Prašydamos privačių bendrovių bendradarbiauti žvalgybos tarnybos turi pateikti teismo orderį, Prezidento leidimą arba neišvengiamos cenzūros pareiškimo titulinio puslapio kopiją, kurią prašomas subjektas turi saugoti. Bendrovės, kurių žvalgybos agentūros RPAĮ pagrindu prašo atskleisti informaciją, gali atsisakyti tai padaryti, kai orderyje arba neišvengiamos cenzūros pareiškime nurodytas neteisingas identifikatorius (pvz., telefono numeris, priklausantis kitam asmeniui nei nurodytasis). Be to, nepaisant aplinkybių, negalima atskleisti slaptažodžių, naudojamų naudojantis ryšių paslaugomis. Žvalgybos agentūros gali patikėti ryšius ribojančių priemonių taikymą arba ryšių patvirtinimo informacijos rinkimą pašto tarnybai arba telekomunikacijų paslaugų teikėjui (kaip apibrėžta Telekomunikacijų įmonių įstatyme). Atitinkama žvalgybos agentūra ir prašymą bendradarbiauti gaunantis paslaugų teikėjas turi trejus metus saugoti įrašus, kuriuose nurodomas prašymo imtis priemonių tikslas, vykdymo ar bendradarbiavimo data ir priemonių objektas (pvz., paštas, telefonas, e. paštas). Ryšių patvirtinimo duomenis teikiantys telekomunikacijų paslaugų teikėjai turi septynerius metus savo bylose saugoti informaciją apie rinkimo dažnumą ir du kartus per metus teikti ataskaitas Mokslo ir IRT ministrui. Žvalgybos agentūros turi pranešti NŽT direktoriui apie surinktą informaciją ir stebėjimo veiklos rezultatus. Ryšių patvirtinimo duomenų rinkimo atveju turi būti saugomi įrašai apie tai, kad buvo pateiktas prašymas pateikti tokius duomenis, taip pat pats rašytinis prašymas ir įrašas apie instituciją, kuri juo rėmėsi. Ryšių turinio ir ryšių patvirtinimo duomenų rinkimas gali trukti ne ilgiau kaip keturis mėnesius, o kai siekiamas tikslas pasiekiamas anksčiau, rinkimas turi būti nutraukiamas nedelsiant. Jei leidimo išdavimo sąlygos toliau tenkinamos, teismui leidus arba Prezidentui pritarus terminas gali būti pratęsiamas iki keturių mėnesių. Prašymas leisti pratęsti stebėjimo priemonių taikymą turi būti pateikiamas raštu, nurodant pratęsimo prašymo priežastis ir pateikiant patvirtinančią medžiagą. Priklausomai nuo duomenų rinkimo teisinio pagrindo, asmenims paprastai pranešama, kai renkama jų ryšių informacija. Visų pirma, nepriklausomai nuo to, ar surinkta informacija yra susijusi su ryšių turiniu, ar su ryšių patvirtinimo duomenimis, ir neatsižvelgiant į tai, ar informacija buvo gauta taikant įprastą procedūrą, ar esant ekstremaliajai situacijai, žvalgybos agentūros vadovas turi raštu pranešti atitinkamam asmeniui apie stebėjimo priemonės taikymą per 30 dienų nuo stebėjimo priemonės taikymo pabaigos. Pranešime turi būti nurodyta: 1) tai, kad informacija buvo surinkta, 2) informaciją renkanti agentūra ir 3) rinkimo laikotarpis. Tačiau jei tikėtina, kad pranešus galėtų kilti pavojus nacionaliniam saugumui arba galėtų kilti grėsmė žmonių gyvybėms ir fiziniam saugumui, pranešimas gali būti atidedamas. Pranešimas turi būti pateikiamas per 30 dienų nuo tada, kai išnyksta atidėjimo pagrindai. Tačiau šis reikalavimas pranešti taikomas tik tada, kai bent viena iš renkamos informacijos šalių yra Korėjos pilietis. Todėl ne Korėjos piliečiams bus pranešama tik tada, kai bus renkami jų ryšių su Korėjos piliečiais informacija. Taigi reikalavimas pranešti netaikomas, kai renkama tik ne Korėjos piliečių ryšių informacija. Bet kokių ryšių turinys ir ryšių patvirtinimo duomenys, gauti vykdant stebėjimą pagal RPAĮ, gali būti naudojami tik 1) vykdant tam tikrų nusikaltimų tyrimą, baudžiamąjį persekiojimą už juos ar jų prevenciją, 2) taikant drausmines procedūras, 3) vykdant teismo procesą, kai su ryšiais susijusi šalis jais remiasi pateikdama ieškinį dėl žalos atlyginimo, arba 4) remiantis kitais įstatymais. Policijos ir (arba) prokurorų vykdomas ryšių informacijos rinkimas nacionalinio saugumo tikslais Policija ir (arba) prokuroras gali rinkti ryšių informaciją (tiek ryšių turinį, tiek ryšių patvirtinimo duomenis) nacionalinio saugumo tikslais tomis pačiomis sąlygomis, kurios aprašytos 3.2.1.1 skirsnyje. Ekstremaliosios situacijos atveju taikoma anksčiau aprašyta procedūra, taikoma, kai ryšių turinys renkamas teisėsaugos tikslais ekstremaliųjų situacijų atveju (t. y. RPAĮ 8 straipsnis). Informacijos apie asmenis, įtariamus teroristine veikla, rinkimas Teisinis pagrindas Kovos su terorizmu įstatymu NŽT direktoriui suteikiami įgaliojimai rinkti informaciją apie teroristine veikla įtariamus asmenis. Teroristine veikla įtariamas asmuo apibrėžiamas kaip teroristinės grupės narys, asmuo, kuris remia teroristinę grupę (propaguodamas ir platindamas teroristinės grupės idėjas ar taktiką), renka teroristinei veiklai skirtas lėšas arba jų skiria arba dalyvauja kitoje veikloje, susijusioje su teroristinės veiklos planavimu, sąmokslu ją vykdyti, jos propaganda ar kurstymu, arba asmuo, kurio atžvilgiu yra pagrįstų priežasčių įtarti, kad jis tokią veiklą vykdo. Paprastai bet kuris valstybės pareigūnas, užtikrinantis Kovos su terorizmu įstatymo įgyvendinimą, privalo gerbti pagrindines teises, įtvirtintas Korėjos Konstitucijoje. Pačiu Kovos su terorizmu įstatymu konkretūs įgaliojimai, apribojimai ir apsaugos priemonės, susijusios su informacijos apie teroristine veikla įtariamus asmenis rinkimu, nenustatomi, jame veikiau nurodomos kitais įstatymais nustatytos procedūros. Visų pirma remdamasis Kovos su terorizmu įstatymu NŽT direktorius gali rinkti 1) informaciją apie atvykimą į Korėjos Respubliką ir išvykimą iš jos, 2) informaciją apie finansinius sandorius ir 3) informaciją apie ryšius. Atsižvelgiant į informacijos, kurią siekiama gauti, rūšį, atitinkami procedūriniai reikalavimai nustatyti atitinkamai Imigracijos įstatymu ir Muitų įstatymu, ĮKFSITN arba RPAĮ. Dėl informacijos apie atvykimą į Korėją ir išvykimą iš jos rinkimo Kovos su terorizmu įstatyme daroma nuoroda į Imigracijos įstatymu ir Muitų įstatymu nustatytas procedūras. Tačiau šiuo metu šiais teisės aktais tokie įgaliojimai nenumatomi. Dėl ryšių informacijos ir finansinių sandorių informacijos rinkimo Kovos su terorizmu įstatyme nurodomi apribojimai ir apsaugos priemonės, nustatyti RPAĮ (išsamiau aprašyti toliau) ir ĮKFSITN (kuris, kaip paaiškinta 2.1 skirsnyje, nėra svarbus vertinant sprendimą dėl tinkamumo). Be to, Kovos su terorizmu įstatymo 9 straipsnio 3 dalyje nurodyta, kad NŽT direktorius gali prašyti, kad asmeninės informacijos valdytojas arba buvimo vietos nustatymo informacijos teikėjas pateiktų teroristine veikla įtariamo asmens asmeninę informaciją arba jo buvimo vietos nustatymo informaciją. Naudotis šia galimybe įmanoma tik teikiant prašymus savanoriškai atskleisti informaciją, kurių asmeninės informacijos valdytojai ir buvimo vietos nustatymo informacijos teikėjai neprivalo vykdyti, ir bet kuriuo atveju juos vykdyti gali tik remdamiesi AIAĮ ir Informacijos apie buvimo vietą įstatymu (žr. 3.2.2.2 skirsnį). Apribojimai ir apsaugos priemonės, taikomi savanoriškai atskleidžiant informaciją pagal AIAĮ ir Informacijos apie buvimo vietą įstatymą Savanoriško bendradarbiavimo atveju pagal Kovos su terorizmu įstatymą gali būti prašoma tik informacijos apie teroristine veikla įtariamus asmenis (žr. 3.2.2.1 skirsnį). NŽT teikiant tokius prašymus turi būti laikomasi teisėtumo, būtinumo ir proporcingumo principų, nustatytų Korėjos Konstitucijoje (12 straipsnio 1 dalis ir 37 straipsnio 2 dalis), taip pat AIAĮ reikalavimų dėl asmeninės informacijos rinkimo (AIAĮ 3 straipsnio 1 dalis, žr. 1.2 skirsnį). Be to, NŽT įstatyme nurodyta, kad piktnaudžiaudama savo oficialiais įgaliojimais NŽT negali priversti jokios institucijos, organizacijos ar asmens daryti nieko, ko jie neprivalo daryti, ir negali trukdyti jokiam asmeniui naudotis savo teisėmis. Dėl šio draudimo pažeidimo gali būti taikomos baudžiamosios sankcijos. Asmeninės informacijos valdytojai ir informacijos apie buvimo vietą teikėjai neprivalo vykdyti Kovos su terorizmu įstatymo pagrindu iš NŽT gautų prašymų. Juos vykdyti jie gali savanorišku pagrindu, tačiau tai daryti gali tik vadovaudamiesi AIAĮ ir Informacijos apie buvimo vietą įstatymu.. Dėl AIAĮ laikymosi, visų pirma duomenų valdytojas turi atsižvelgti į duomenų subjekto interesus ir negali atskleisti informacijos, jei tikėtina, kad dėl to galėtų būti nepagrįstai pažeisti asmens arba trečiosios šalies interesai. Be to, pagal pranešimą Nr. 2021-1 dėl papildomų taisyklių dėl Asmeninės informacijos apsaugos įstatymo aiškinimo ir taikymo atitinkamam asmeniui turi būti pranešama apie informacijos atskleidimą. Ypatingais atvejais pranešimas gali būti atidedamas, visų pirma, jei pranešus būtų kliudoma vykstančiam baudžiamajam tyrimui arba galėtų kilti pavojus kito asmens gyvybei ar fizinei sveikatai ir tol, kol tokie pavojai kiltų, kai tos teisės ar interesai yra akivaizdžiai viršesni už duomenų subjekto teises. RPAĮ nustatyti apribojimai ir apsaugos priemonės Remdamosi Kovos su terorizmu įstatymu, žvalgybos agentūros gali rinkti ryšių informaciją (tiek ryšių turinį, tiek ryšių patvirtinimo duomenis) tik tada, kai tai būtina vykdant kovos su terorizmu veiklą, t. y. veiklą, susijusią su teroristinės veiklos prevencija ir atsakomosiomis priemonėmis jos atžvilgiu. 3.2.1 skirsnyje aprašytos RPAĮ procedūros taikomos tada, kai ryšių informacija renkama kovos su teroristine veikla tikslais. Telekomunikacijų paslaugų teikėjų savanoriškas informacijos atskleidimas Remdamiesi TĮĮ, telekomunikacijų paslaugų teikėjai gali vykdyti žvalgybos agentūros prašymą atskleisti ryšių duomenis, kai ji siekia rinkti tokią informaciją ketindama užkirsti kelią nacionaliniam saugumui kylančiam pavojui. Teikiant tokius prašymus turi būti laikomasi teisėtumo, būtinumo ir proporcingumo principų, nustatytų Korėjos Konstitucijoje (12 straipsnio 1 dalis ir 37 straipsnio 2 dalis), taip pat AIAĮ reikalavimų dėl asmeninės informacijos rinkimo (AIAĮ 3 straipsnio 1 dalis (žr. 1.2 skirsnį)). Be to, taikomi tie patys apribojimai ir apsaugos priemonės, kurie taikomi savanoriškai atskleidžiant informaciją teisėsaugos tikslais (žr. 2.2.3 skirsnį). Telekomunikacijų paslaugų teikėjai neprivalo vykdyti prašymo, tačiau gali tai daryti savanoriškai ir būtinai laikydamiesi AIAĮ reikalavimų. Šiuo atžvilgiu telekomunikacijų verslo operatoriams taikomos tos pačios prievolės, be kita ko, susijusios su pranešimu asmeniui, kaip ir tuo atveju, kai jie gauna prašymus iš baudžiamosios teisėsaugos institucijų, kaip išsamiau paaiškinta 2.2.3 skirsnyje. Priežiūra Korėjos žvalgybos agentūrų veiklą prižiūri įvairios įstaigos. Paramos saugumui gynybos vadavietės priežiūrą vykdo Nacionalinės gynybos ministerija, vadovaudamasi ministerijos direktyva dėl vidaus audito įgyvendinimo. Kaip išsamiau paaiškinta toliau, NŽT veiklą prižiūri vadovas, Nacionalinė Asamblėja ir kitos nepriklausomos įstaigos. Žmogaus teisių apsaugos pareigūnas Kovos su terorizmu įstatyme numatyta, kad žvalgybos agentūroms renkant informaciją apie teroristine veikla įtariamus asmenis jų priežiūrą vykdo Kovos su terorizmu komisija ir žmogaus teisių apsaugos pareigūnas (toliau – ŽTAP). Kovos su terorizmu komisija, inter alia, rengia kovos su terorizmu veiklos politiką ir prižiūri kovos su terorizmu priemonių įgyvendinimą, taip pat įvairių kompetentingų institucijų veiklą kovos su terorizmu srityje. Komisijai pirmininkauja Ministras Pirmininkas, o ją sudaro keli ministrai ir vyriausybinių agentūrų vadovai, kaip antai Užsienio reikalų ministras, Teisingumo ministras, Nacionalinės gynybos ministras, Vidaus reikalų ir saugumo ministras, NŽT direktorius, Nacionalinės policijos agentūros generalinis komisaras ir Finansinių paslaugų komisijos pirmininkas. Atlikdamas tyrimus kovos su terorizmu srityje ir sekdamas teroristine veikla įtariamus asmenis, kad surinktų kovos su terorizmu veiklai reikalingą informaciją ar medžiagą, NŽT direktorius turi teikti ataskaitas Kovos su terorizmu komisijos pirmininkui (t. y. Ministrui Pirmininkui). Be to, Kovos su terorizmu įstatymu įsteigiama ŽTAP pareigybė, siekiant apsaugoti pagrindines asmenų teises nuo pažeidimų, daromų vykdant kovos su terorizmu veiklą. Kovos su terorizmu komisijos pirmininkas ŽTAP skiria iš asmenų, kurie turi konkrečias kvalifikacijas, išvardytas Kovos su terorizmu įstatymo vykdymo užtikrinimo dekrete (t. y. iš asmenų, turinčių bent dešimties metų advokato darbo patirtį arba turinčių profesinių žinių žmogaus teisių apsaugos srityje ir bent dešimt metų ėjusių (mažiausiai) docento pareigas, arba asmenų, ėjusių vyresniojo valstybės pareigūno pareigas valstybės institucijose ar vietos valdžios institucijose, arba asmenų, turinčių bent dešimties metų darbo patirtį žmogaus teisių apsaugos srityje, pvz., nevyriausybinėje organizacijoje. ŽTAP skiriamas dvejiems metams (su galimybe pratęsti kadenciją), o atleistas iš pareigų jis gali būti tik dėl konkrečių, ribotų priežasčių ir rimtu pagrindu, pvz., kai jam pareiškiami kaltinimai baudžiamojoje byloje, susijusioje su jo pareigomis, kai jis atskleidžia konfidencialią informaciją arba dėl ilgalaikės psichinės ar fizinės negalios. ŽTAP turi įgaliojimus teikti rekomendacijas kovos su terorizmu veiklą vykdančioms agentūroms dėl žmogaus teisių apsaugos gerinimo ir nagrinėti civilines peticijas (žr. 3.4.3 skirsnį). Jeigu pagrįstai nustatoma, kad vykdant oficialias pareigas pažeidžiamos žmogaus teisės, ŽTAP gali rekomenduoti atsakingos agentūros vadovui ištaisyti tokį pažeidimą. Savo ruožtu atsakinga agentūra turi pranešti ŽTAP apie veiksmus, kurių imtasi šiai rekomendacijai įgyvendinti. Agentūrai neįgyvendinus ŽTAP rekomendacijos, atvejis perduodamas komisijai, įskaitant jos pirmininką, kurio pareigas eina Ministras Pirmininkas. Atvejų, kai ŽTAP rekomendacijos nebuvo įgyvendintos, kol kas nebuvo. Nacionalinė Asamblėja Kaip aprašyta 2.3.2 skirsnyje, Nacionalinė Asamblėja gali tirti ir tikrinti valdžios institucijas ir šiuo tikslu gali prašyti atskleisti dokumentus ir įgalioti liudininkus liudyti. NŽT jurisdikcijai priklausančios veiklos parlamentinę priežiūrą vykdo Nacionalinės Asamblėjos žvalgybos komitetas. NŽT direktorius, kuris prižiūri, kaip agentūra vykdo savo pareigas, Žvalgybos komitetui (taip pat Prezidentui) teikia ataskaitas. Pateikti ataskaitą konkrečiu klausimu taip pat gali prašyti pats Žvalgybos komitetas, o NŽT direktorius turi nedelsdamas tokį prašymą vykdyti. Atsisakyti vykdyti prašymą arba duoti parodymus komitete jis gali tik tada, jei prašymas susijęs su valstybės paslaptimis, susijusiomis su kariniais, diplomatiniais ar Šiaurės Korėjos klausimais, kai jų atskleidimas gali turėti didelį poveikį šalies nacionaliniam likimui. Tokiu atveju Žvalgybos komitetas gali prašyti Ministro Pirmininko pateikti paaiškinimą. Jei toks paaiškinimas nepateikiamas per septynias dienas nuo prašymo pateikimo, galimybė atsisakyti vykdyti prašymą arba liudyti nebesuteikiama. Jei Nacionalinė Asamblėja nustato neteisėtą ar netinkamą veiklą, ji gali prašyti, kad atitinkama valdžios institucija imtųsi taisomųjų veiksmų, be kita ko, skirtų kompensacijas, taikytų drausmines priemones ir tobulintų savo vidaus procedūras. Gavusi tokį prašymą, institucija turi nedelsdama imtis veiksmų ir Nacionalinei Asamblėjai pranešti apie rezultatus. Specialios taisyklės nustatytos dėl ryšius ribojančių priemonių (t. y. ryšių turinio rinkimo) naudojimo pagal RPAĮ parlamentinės priežiūros. Ją vykdydama Nacionalinė Asamblėja gali prašyti žvalgybos agentūrų vadovų pateikti ataskaitą apie bet kokią konkrečią ryšius ribojančią priemonę. Be to, ji gali atlikti slapto pokalbių klausymosi įrangos patikrinimus vietoje. Galiausiai Nacionalinės Asamblėjos prašymu žvalgybos agentūros, kurios nacionalinio saugumo tikslais rinko turinio informaciją, ir paslaugų teikėjai, kurie nacionalinio saugumo tikslais atskleidė turinio informaciją, turi pateikti ataskaitą apie tokį atskleidimą. Audito ir inspektavimo valdyba AIV atlieka tas pačias žvalgybos agentūrų priežiūros funkcijas, kaip ir baudžiamosios teisėsaugos srityje (žr. 2.3.2 skirsnį). Asmeninės informacijos apsaugos komisija Papildomą priežiūrą atliekant duomenų tvarkymą nacionalinio saugumo tikslais, įskaitant duomenų rinkimą, vykdo AIAK. Kaip išsamiau paaiškinta 1.2 skirsnyje, ji prižiūri, kaip laikomasi bendrųjų principų ir pareigų, nustatytų AIAĮ 3 straipsnyje ir 58 straipsnio 4 dalyje, taip pat kaip užtikrinamos asmens teisės, garantuojamos pagal AIAĮ 4 straipsnį. Be to, pagal AIAĮ 7-8 straipsnio 3 ir 4 dalis ir 7-9 straipsnio 5 dalį AIAK priežiūra taip pat apima galimus taisyklių, nustatytų konkrečiais įstatymais, kuriais nustatomi asmeninės informacijos rinkimo apribojimai ir apsaugos priemonės, kaip antai RPAĮ, Kovos su terorizmu įstatymu ir TĮĮ, pažeidimus. Atsižvelgiant į AIAĮ 3 straipsnio 1 dalyje nustatytus reikalavimus dėl teisėto ir teisingo asmeninės informacijos rinkimo, bet koks šių įstatymų pažeidimas reiškia AIAĮ pažeidimą. Taigi AIAK turi įgaliojimus tirti teisės aktų, kuriais reglamentuojamas prieigos prie duomenų suteikimas nacionalinio saugumo tikslais, pažeidimus, taip pat AIAĮ duomenų tvarkymo taisyklių pažeidimus, teikti rekomendacijas dėl tobulinimo, taikyti taisomąsias priemones, rekomenduoti drausmines priemones, o nustačiusi galimus teisės pažeidimus gali perduoti atvejus atitinkamoms tyrimo institucijoms. Nacionalinė žmogaus teisių komisija NŽTK priežiūra žvalgybos agentūroms taikoma taip pat kaip ir kitoms valdžios institucijoms (žr. 2.3.2 skirsnį). Individualios teisių gynimo priemonės Teisių gynimas kreipiantis į žmogaus teisių apsaugos pareigūną Kai asmeninė informacija renkama vykdant kovos su terorizmu veiklą, suteikiama speciali teisių gynimo priemonė kreipiantis į ŽTAP, kurio pareigybę įsteigė Kovos su terorizmu komisija. ŽTAP nagrinėja civilines peticijas, susijusias su žmogaus teisių pažeidimu vykdant kovos su terorizmu veiksmus. Jis gali rekomenduoti imtis taisomųjų veiksmų, o atitinkama agentūra privalo pranešti pareigūnui apie visas priemones, kurių imtasi šiai rekomendacijai įgyvendinti. Asmenims nebūtina skundą pateikti ŽTAP. Skundą ŽTAP nagrinėja net jei nagrinėjant skundo priimtinumą atitinkamas asmuo negali įrodyti, kad buvo padaryta žala. AIAĮ nustatyti teisių gynimo mechanizmai Pagal AIAĮ asmenys turi teisę susipažinti su nacionalinio saugumo tikslais tvarkoma asmenine informacija, reikalauti ją ištaisyti, ištrinti ir sustabdyti jos tvarkymą. Prašymai pasinaudoti šiomis teisėmis gali būti teikiami tiesiogiai žvalgybos agentūrai arba netiesiogiai per AIAK. Žvalgybos agentūra gali laikinai neleisti, apriboti arba neleisti naudotis teise tiek ir tol, kol tai būtina siekiant apsaugoti svarbų viešojo intereso tikslą ir kai šie veiksmai yra jam proporcingi (pvz., tiek ir tol, kol teisės suteikimu būtų trukdoma vykstančiam tyrimui arba dėl jo kiltų grėsmė nacionaliniam saugumui), arba kai teisės suteikimas galėtų kelti pavojų trečiosios šalies gyvybei ar fizinei sveikatai. Jei prašymas atmetamas arba apribojamas, asmeniui turi būti nedelsiant pranešta apie priežastis. Be to, pagal AIAĮ 58 straipsnio 4 dalį (reikalavimas užtikrinti tinkamą individualių skundų nagrinėjimą) ir AIAĮ 4 straipsnio 5 dalį (teisė į tinkamą teisių gynimą patyrus žalą dėl asmeninės informacijos tvarkymo, taikant savalaikę ir sąžiningą procedūrą) asmenys turi teisę į teisių gynimą. Tai, be kita ko, taikoma teisei pranešti apie įtariamą pažeidimą per Korėjos interneto ir saugumo agentūros administruojamą privatumo apsaugos skambučių centrą ir pateikti skundą AIAK. Šiomis teisių gynimo priemonėmis galima pasinaudoti ir tuo atveju, jei pažeidžiamos taisyklės, nustatytos konkrečiuose įstatymuose, kuriais nustatomi apribojimai ir apsaugos priemonės, susijusios su asmeninės informacijos rinkimu nacionalinio saugumo tikslais, ir AIAĮ. Kaip paaiškinta pranešime Nr. 2021-1, ES asmuo skundą AIAK pateikti gali per savo nacionalinę duomenų apsaugos instituciją. Tokiu atveju, kai tyrimas baigiamas, AIAK informuoja asmenį (įskaitant, kai taikoma, pateikdama informaciją apie taikomus taisomuosius veiksmus) per nacionalinę duomenų apsaugos instituciją. AIAK sprendimai arba neveikimas gali būti apskundžiami Korėjos teismuose pagal Administracinių ginčų įstatymą. Teisių gynimas Nacionalinėje žmogaus teisių komisijoje Galimybė ginti asmens teises NŽTK nukentėjus dėl žvalgybos agentūrų veiksmų taikoma taip pat kaip ir nukentėjus dėl kitų valdžios institucijų veiksmų (žr. 2.4.2 skirsnį). Teisminis teisių gynimas Kaip ir baudžiamosios teisėsaugos institucijų veiklos atveju, asmenys, nukentėję dėl žvalgybos agentūrų įvykdytų pažeidimų, susijusių su pirmiau minėtais apribojimais ir apsaugos priemonėmis, gali pasinaudoti teisminėmis teisių gynimo priemonėmis. Pirma, asmenys gali reikalauti žalos atlyginimo pagal Valstybės kompensacijų įstatymą. Pavyzdžiui, vienu atveju kompensacija buvo suteikta už neteisėtą Gynybos paramos vadavietės (Paramos saugumui gynybos vadavietės pirmtakės) vykdomą sekimą. Antra, Administracinių ginčų įstatymu asmenims leidžiama užginčyti administracinių agentūrų, įskaitant žvalgybos agentūras, sprendimus ir neveikimą. Galiausiai pagal Konstitucinio Teismo įstatymą asmenys gali pateikti konstitucinį skundą Konstituciniam Teismui dėl priemonių, kurių ėmėsi žvalgybos agentūros.

Versions

1. 2021-12-17