RAPPORT DE LA COMMISSION AU PARLEMENT EUROPÉEN ET AU CONSEIL sur le premier examen du fonctionnement de la décision d’adéquation pour la République de Corée

COMMISSION EUROPÉENNE

Bruxelles, le 23.7.2026

COM(2026) 384 final

RAPPORT DE LA COMMISSION AU PARLEMENT EUROPÉEN ET AU CONSEIL

sur le premier examen du fonctionnement de la décision d’adéquation pour la République de Corée

{SWD(2026) 231 final}

RAPPORT DE LA COMMISSION AU PARLEMENT EUROPÉEN ET AU CONSEIL

sur le premier examen du fonctionnement de la décision d’adéquation pour la République de Corée

1.LE PREMIER EXAMEN — CONTEXTE, PRÉPARATION ET PROCESSUS

Le 17 décembre 2021, la Commission européenne a adopté une décision en vertu de l’article 45 du règlement (UE) 2016/679 (RGPD) 1 dans laquelle elle a constaté que la République de Corée assurait un niveau de protection adéquat des données à caractère personnel transférées depuis l’Union européenne 2 (la «décision d’adéquation»). En conséquence, les transferts de données de l’UE vers la République de Corée peuvent avoir lieu sans exigences supplémentaires.

La décision d’adéquation de la Commission couvre la loi sur la protection des informations à caractère personnel («PIPA» 3 ), telle que complétée par les garanties supplémentaires figurant à l’annexe I de la décision d’adéquation (les «règles supplémentaires» 4 ). Ces garanties clarifient l’application du principe de limitation de la finalité dans le contexte de données transférées depuis l’Union vers un responsable du traitement des données coréen, introduisent des obligations de notification lorsque les données à caractère personnel ne sont pas directement obtenues de la personne concernée, et précisent les conditions dans lesquelles la commission de protection des informations à caractère personnel («PIPC») peut imposer des mesures correctives, et en quoi la PIPA s’applique au traitement des données à caractère personnel à des fins de sécurité nationale. Les règles supplémentaires sont juridiquement contraignantes pour les responsables du traitement des informations à caractère personnel en République de Corée et sont applicables tant par la PIPC que par les juridictions 5 .

En outre, le gouvernement coréen a fourni des déclarations officielles, des assurances et des engagements à la Commission en ce qui concerne les limitations et les garanties relatives à l’accès aux données à caractère personnel et leur utilisation par les autorités publiques coréennes à des fins répressives et à des fins de sécurité nationale, en précisant que tout traitement de ce type serait limité à ce qui est strictement nécessaire pour atteindre l’objectif légitime visé et qu’il existe une protection juridique effective contre toute atteinte 6 .

Depuis l’adoption de la décision d’adéquation, la République de Corée et l’UE, en tant que partenaires partageant la même optique, ont encore intensifié leur coopération sur les questions numériques en général, et plus particulièrement sur les flux de données.

Au niveau bilatéral, cela se traduit notamment par l’adoption d’une reconnaissance de l’équivalence pour l’Union européenne par la République de Corée, qui reconnaît, dans le cadre juridique coréen, que l’UE assure un niveau de protection des données à caractère personnel équivalent à celui garanti par la République de Corée, et qui autorise de ce fait la libre circulation des données à caractère personnel à partir de la République de Corée vers l’UE. Il s’agit là de la première reconnaissance de l’équivalence adoptée par la République de Corée. Elle est entrée en vigueur le 16 septembre 2025 et a été annoncée à Séoul conjointement par le commissaire européen McGrath et l’ancien président de la PIPC, M. Haksoo Ko. La reconnaissance de l’équivalence couvre les secteurs public et privé et s’étend à l’ensemble de l’EEE 7 .

L’accord d’adéquation mutuelle entre l’UE et la Corée vient compléter et amplifier les bénéfices procurés par l’accord de libre-échange entre l’UE et la République de Corée de 2011 et l’accord sur le commerce numérique du 10 mars 2025 8 pour les entreprises situées dans l’UE et en République de Corée. La libre circulation des données à caractère personnel entre les deux territoires a pour effet de faciliter plus encore les échanges commerciaux et de créer des débouchés commerciaux au moyen d’un accès privilégié au marché. Il s’agit, en outre, d’un important précédent qui démontre que des normes solides en matière de protection des données et la facilitation des échanges internationaux sont non seulement compatibles, mais également essentielles dans l’économie numérique d’aujourd’hui.

Au niveau multilatéral, la République de Corée et l’UE ont coopéré avec succès dans des enceintes internationales, par exemple au sein de l’Organisation de coopération et de développement économiques (OCDE), où leur étroite coopération s’est avérée essentielle à l’adoption, pour la toute première fois à l’échelon international, de principes communs concernant l’accès des pouvoirs publics aux données à caractère personnel détenues par le secteur privé 9 . Ces travaux se sont appuyés sur les valeurs et exigences communes qui sous-tendent l’accord d’adéquation mutuelle UE-Corée. De plus, cette forte collaboration se retrouve aussi dans la participation active de la PIPC au réseau d’adéquation de la Commission européenne, dont elle fait partie depuis la création de ce réseau, le 4 mars 2024 10 .

Afin de vérifier régulièrement que les conclusions formulées dans la décision d’adéquation sont toujours justifiées en fait et en droit, la Commission est tenue de procéder à un examen périodique et de rendre compte de ses résultats au Parlement européen et au Conseil. Le présent rapport, qui couvre tous les aspects du fonctionnement de la décision d’adéquation, conclut le premier examen périodique. Du côté coréen, des représentants de l’autorité coréenne de protection des données, la PIPC, et de l’agence coréenne de l’internet et de la sécurité («KISA») ont participé à cet examen. La PIPC a également été régulièrement en contact avec d’autres institutions coréennes compétentes afin de préparer l’examen et de rassembler leurs contributions. La délégation de l’UE comprenait quatre représentants du comité européen de la protection des données, ainsi que des représentants de la Commission européenne.

Une réunion d’examen entre les deux délégations a eu lieu le 17 octobre 2025, réunion qui a été précédée et suivie de nombreux échanges. Pour préparer l’examen, la Commission a recueilli des informations auprès des autorités coréennes sur le fonctionnement de la décision, notamment sur la mise en œuvre des règles supplémentaires. La Commission a également recherché des informations auprès de parties prenantes et de sources publiques compétentes. À la suite de la réunion d’examen, la Commission et la PIPC ont eu plusieurs échanges pour assurer le suivi détaillé des sujets examinés lors de la réunion d’examen, et notamment des questions liées aux récentes modifications apportées à la PIPA et à l’interaction avec les règles supplémentaires.

2.PRINCIPALES CONCLUSIONS

Les conclusions détaillées concernant le fonctionnement de tous les aspects de la décision d’adéquation sont présentées dans le document de travail des services de la Commission [SWD(2026) 231] qui accompagne le présent rapport.

En particulier, le premier examen a mis en évidence le fait que les cadres de protection des données de l’UE et de la Corée continuent à converger depuis l’adoption de la décision d’adéquation. Depuis lors, la République de Corée a modifié la PIPA à deux reprises: en mars 2023 et en avril 2025 11 . La PIPC, en concertation étroite avec la Commission, a adapté les règles supplémentaires pour tenir compte de ces modifications.

Les modifications apportées en 2023 à la PIPA coréenne ont permis de renforcer davantage le cadre national de protection des données, en étendant sa portée, en clarifiant les grands principes et en introduisant de nouvelles garanties. Parmi les grands domaines d’amélioration, on citera le principe de licéité, qui prévoit des bases juridiques révisées pour le traitement des données et des dispositions plus claires concernant les situations nécessitant un consentement distinct. La transparence a été améliorée de deux manières essentielles: d’abord en introduisant de nouvelles exigences visant à ce que les responsables du traitement avertissent les personnes concernées des risques éventuels pesant sur la protection des données; ensuite, en imposant des obligations renforcées à l’État et aux administrations locales en vue de prendre des mesures pour protéger les données à caractère personnel des enfants de moins de 14 ans et veiller à ce qu’ils comprennent bien les conséquences du traitement des données à caractère personnel et leurs droits en tant que personnes concernées. Le respect de l’obligation de rendre compte de ses actes a également été renforcé en exigeant des responsables du traitement étrangers qu’ils nomment un agent national en Corée. De plus, les modifications ont durci les restrictions en matière de traitement des données pseudonymisées, introduit de nouvelles obligations visant à détruire ce genre de données dès lors qu’elles ne sont plus nécessaires, et renforcé la transparence du traitement des données pseudonymisées.

Depuis l’adoption de la décision d’adéquation, les droits des personnes concernées ont aussi été renforcés. La réforme de la PIPA de 2023 a introduit de nouvelles protections et renforcé les protections existantes, dont le droit de retirer son consentement, les garanties contre la prise de décision automatisée, et le droit à la portabilité des données, en donnant en définitive aux individus les moyens d’exercer un contrôle accru sur leurs données à caractère personnel.

Les modifications apportées à la PIPA depuis la décision d’adéquation ont également eu pour effet de renforcer encore ses règles applicables aux transferts internationaux de données, grâce à l’introduction d’un cadre plus solide apportant des garanties plus fortes pour la protection des données à caractère personnel transférées hors de la République de Corée.

En ce qui concerne la supervision et le contrôle de l’application des règles, la Commission note que la PIPC a mis en application de manière active la PIPA depuis l’adoption de la décision d’adéquation, au moyen de mesures d’exécution, notamment en infligeant des amendes à Google et à Meta pour collecte illégale de données, en enquêtant sur des transferts transfrontières de données par des entreprises telles que DeepSeek et AliExpress, et en faisant appliquer les règles en matière de cybersécurité et de violations de données. La PIPC a aussi fourni des orientations en matière de réglementation, en effectuant des contrôles sectoriels et en participant à des activités de sensibilisation et à la coopération internationale avec les autorités européennes de protection des données, notamment la Commission nationale de l’informatique et des libertés (CNIL) française et le comité européen de la protection des données, afin de renforcer encore la protection des données dans la République de Corée.

Il est particulièrement intéressant de noter que certaines des règles supplémentaires existantes figurant à l’annexe I de la décision d’adéquation se retrouvent désormais dans la PIPA, ce qui les rend généralement applicables à toutes les données à caractère personnel, indépendamment de leur origine ou de leur lieu de collecte. En conséquence, certaines règles supplémentaires seront révoquées. Ce sera notamment le cas de la deuxième règle supplémentaire, qui avait fixé une limite pour les transferts ultérieurs de données à caractère personnel, de la quatrième règle supplémentaire, qui avait trait au champ d’application de la dérogation spéciale concernant le traitement d’informations pseudonymisées, et de la première partie de la cinquième règle supplémentaire, qui portait sur la possibilité offerte à la PIPC d’adopter des mesures correctives. Les autres règles supplémentaires resteront en vigueur.

La révocation de ces règles supplémentaires spécifiques constitue une importante évolution positive, car elle traduit la convergence accrue qui existe entre les cadres de protection des données de l’UE et de la Corée. Les nouvelles dispositions figurant dans la PIPA, qui établissent des exigences plus strictes pour les transferts transfrontières et apportent des éclaircissements sur les exceptions en matière de transparence et de droits individuels pour les données pseudonymisées, sont la preuve de la détermination de la Corée à continuer de renforcer son cadre de protection des données. La Commission salue le fait que la PIPC ait également contribué activement au renforcement des nouvelles dispositions, en adoptant des décisions et des sanctions qui garantissent le respect des règles applicables aux transferts internationaux de données et à la pseudonymisation.

En ce qui concerne l’accès aux données à caractère personnel et leur utilisation par les autorités de la République de Corée, depuis l’adoption de la décision d’adéquation, la Corée a modifié certaines lois essentielles en vue de renforcer la protection des données à caractère personnel, dont la loi sur les entreprises de télécommunications et la loi sur la protection de la confidentialité des communications. Elle a notamment introduit de nouvelles exigences en matière de notification, de mesures de contrôle et de garanties procédurales. En outre, la PIPC a renforcé son contrôle et a défendu les principes relatifs à la protection des données au moyen de lignes directrices destinées aux pouvoirs publics. Ces évolutions témoignent des efforts consentis actuellement par la Corée pour renforcer les garanties concernant la protection des données à caractère personnel, notamment lors de leur traitement à des fins répressives et de sécurité nationale.

3.CONCLUSION

Sur la base des conclusions générales formulées dans le cadre de ce premier examen, la Commission conclut que la République de Corée continue d’assurer un niveau de protection adéquat des données à caractère personnel transférées de l’Union européenne à des entités situées en République de Corée qui sont soumises à la PIPA, à quoi viennent s’ajouter les garanties supplémentaires figurant dans les règles supplémentaires, ainsi que les déclarations, les assurances et les engagements officiels figurant à l’annexe II de la décision d’adéquation. Dans ce contexte, la Commission reconnaît et apprécie grandement l’excellente coopération avec les autorités coréennes, et en particulier la PIPC, dans la conduite de l’examen.

Compte tenu du résultat de cet examen et conformément aux considérants 219 et 220 de la décision d’adéquation, la Commission estime qu’il n’est pas nécessaire de maintenir le cycle de trois ans pour les examens futurs et considère par conséquent qu’il convient de passer à un cycle de quatre ans conformément à l’article 45, paragraphe 3, du RGPD. Elle consultera sur ce point le comité institué par l’article 93, paragraphe 1, du RGPD 12 .

Dans le même temps, le renforcement de certains aspects du cadre coréen de protection des données pourrait contribuer à consolider encore les garanties énoncées dans la PIPA et les règles supplémentaires. À cet effet, la Commission formule les recommandations suivantes.

1.La Commission encourage le recours de la PIPC à des contrôles aléatoires afin de garantir le respect des règles supplémentaires. Elle estime que des contrôles aléatoires de cette nature seraient importants pour détecter et combattre les violations (potentielles) des règles supplémentaires, et garantir ainsi le respect effectif de ces règles.

2.La Commission salue le fait que la PIPC prévoie de publier des lignes directrices actualisées sur les transferts internationaux, car celles-ci permettront d’améliorer l’accessibilité des règles de la PIPA en la matière et de rendre ces règles plus conviviales. Elle invite la PIPC à préciser que les systèmes de règles transfrontalières de protection de la vie privée de l’APEC ne sont pas reconnus comme des mécanismes de transfert de données à caractère personnel en vertu des règles de la PIPA.

3.Ainsi qu’il a été mentionné dans le document de travail des services accompagnant le présent rapport, il convient aussi que le site internet de la PIPC indique clairement les outils pouvant être utilisés pour les transferts internationaux de données, en anglais et en coréen, afin de garantir la clarté des règles applicables.

L’examen a également permis de recenser les domaines dans lesquels une coopération future pourrait être mise en place. Ainsi, compte tenu de l’importance croissante des clauses types et de leur potentiel en tant qu’outil mondial pour les transferts de données, comme l’ont reconnu, par exemple, le G7 et l’OCDE, la Commission a manifesté son intérêt pour une coopération future avec la PIPC sur l’élaboration de clauses de cette nature.

La Commission continuera de suivre de près le cadre coréen de protection des données ainsi que la pratique proprement dite. À cet égard, elle attend avec intérêt les échanges futurs avec les autorités coréennes sur les évolutions pertinentes concernant la décision, ainsi que le renforcement de la coopération au niveau international à un moment où la demande de normes mondiales en matière de protection de la vie privée et de flux de données ne cesse de croître.

(1)

JO L 119 du 4.5.2016, p. 1 (RGPD).

(2)

JO L 44 du 24.2.2022, p. 1.

(3)

La PIPA définit le cadre juridique général de la protection des données en République de Corée.

(4)

Règles spécifiques mises en place par la Corée pour combler certaines différences pertinentes entre la PIPA et le RGPD, précisées à l’annexe I de la décision d’adéquation (notification 2021-5).

(5)

Voir le considérant 12 de la décision d’adéquation.

(6)

Considérants 144 à 208 et annexe II de la décision.

(7)

Voir le communiqué de presse conjoint du 16 septembre 2025 par le commissaire Michael McGrath et le président Haksoo Ko relatif à l’entrée en vigueur de la décision d’adéquation concernant l’UE – disponible sous: https://commission.europa.eu/news-and-media/news/joint-press-statement-commissioner-michael-mcgrath-and-chairperson-haksoo-ko-entry-force-korean-2025-09-16_en?prefLang=fr

(8)

https://ec.europa.eu/commission/presscorner/detail/fr/ip_25_732

(9)

Déclaration de l’OCDE du 14 décembre 2022 relative à l’accès des pouvoirs publics aux données à caractère personnel détenues par les entités du secteur privé: https://legalinstruments.oecd.org/fr/instruments/OECD-LEGAL-0487

(10)

Le 4 mars 2024, la Commission a accueilli la toute première réunion à haut niveau sur la sécurité des flux de données, qui a réuni les ministres compétents et les responsables des autorités chargées de la protection des données des 15 pays et territoires de l’UE alors concernés, ainsi que la présidente du comité européen de la protection des données. afin de renforcer la coopération en matière d’application de la protection des données et d’optimiser les flux transfrontières de données afin qu’ils soient à la fois sûrs et libres. Depuis lors, d’autres réunions se sont déroulées sur le plan technique.

(11)

Modifications entrées respectivement en vigueur en septembre 2023 et en octobre 2025.

(12)

Voir le considérant 220 de la décision.