IoT-tjenesters dataindsamling og juridiske problemstillinger

I de senere år er der sket en stigende integration af IoT-enheder, såsom smarte husholdningsapparater, i hjemmene. Selvom de er yderst praktiske, er de på grund af deres internetforbindelse også udsatte for risikoen for datalækager. Når man starter en IoT-forretning, er det ikke kun vigtigt at sikre apparaternes sikkerhed som husholdningsapparater, men også at håndtere netværkssikkerheden for at kunne modstå cyberangreb.

Hvis vi ser på situationen i Japan, er problemet med lækage af personlige oplysninger allerede alvorligt. Tokyo Shoko Research har rapporteret, at der i 2021 var det højeste antal hændelser med lækage eller tab af personlige oplysninger blandt børsnoterede selskaber, med 137 tilfælde, der påvirkede omkring 5,74 millioner mennesker.

I denne artikel vil vi forklare de juridiske regler, du bør kende for at kunne anvende data indsamlet gennem IoT-tjenester på en sikker måde.

Lovregulering i IoT-forretninger

IoT står for “Internet of Things”, som direkte oversat betyder “Internettet af ting”. Det refererer til systemer og tjenester, der gør vores liv mere bekvemt ved at forbinde hverdagsobjekter til internettet, hvilket muliggør fjernstyring, automatisk genkendelse og kontrolfunktioner.

På hardware-siden, som vedrører husholdningsapparater, er der strenge reguleringer på grund af den potentielle direkte påvirkning på brugernes fysiske helbred.

På software-siden kræver lovgivning som den japanske Radio Law og Telecommunications Business Law registrering og anmeldelse for at drive forretning.

For en dybdegående forklaring af lovgivningen omkring IoT’s hardware og software, se venligst denne artikel.

Relateret artikel: Forklaring af lovgivningen omkring hardware og software, der skal overvejes i IoT-forretninger[ja]

I IoT-forretninger, hvor traditionelle enheder forbindes til internettet og indsamler information, er det ikke kun hardware og software reguleringer, der er vigtige. Hvordan man behandler den akkumulerede information bliver også et væsentligt spørgsmål.

Juridiske problemstillinger ved udnyttelse af data indsamlet via IoT

IoT-enheder rummer en risiko for at akkumulere og anvende brugernes livsdata på utilsigtede måder.

Selv hvis brugerne har givet deres samtykke til udnyttelsen af personlige oplysninger ved registrering, kan IoT’s natur medføre, at adfærdsinformation indsamles hver gang enheden anvendes, hvilket giver anledning til følgende problemer:

• Beskyttelse af personlige oplysninger
• Bevarelse af privatlivets fred
• Håndtering af cyberangreb

Her vil vi forklare de juridiske problemstillinger, der er forbundet med brugen af IoT-enheder.

IoT og personlige oplysninger

Ikke alle data indsamlet af IoT-enheder er beskyttet som personlige oplysninger i sig selv. Når brugerregistrering og data om dagligdagen bliver koblet sammen, således at en person kan identificeres, bliver det omfattet af den japanske lov om beskyttelse af personoplysninger (Personal Information Protection Law).

Derfor har virksomheder, der tilbyder smart home-tjenester og kobler livsstilsdata med brugerinformation, pligter som operatører under den japanske lov om beskyttelse af personoplysninger, artikel 2, afsnit 5, som omfatter følgende forpligtelser:

<Obligationer i henhold til den japanske lov om beskyttelse af personoplysninger, artikler 19 til 26

• At sikre dataenes nøjagtighed og slettepligt
• Forpligtelse til at træffe sikkerhedsforanstaltninger
• Forpligtelse til at overvåge medarbejdere
• Forpligtelse til at overvåge underleverandører
• Begrænsninger i tredjepartsdeling og forpligtelse til at opbevare optegnelser

Når man håndterer personlige oplysninger, skal man så vidt muligt specificere formålet med brugen og meddele eller offentliggøre dette formål til den registrerede. Når der ikke længere er behov for at bruge de personlige oplysninger, skal de hurtigt behandles. Desuden skal man tage omhyggelige forholdsregler mod datalækager og sikre, at medarbejdere og underleverandører også gør dette grundigt.

Generelt er videregivelse af indsamlede personlige oplysninger til tredjeparter begrænset. Dog kan det undertiden være nødvendigt at dele oplysninger med tredjeparter for at forbedre tjenester. I sådanne tilfælde skal man anonymisere de oprindelige personlige oplysninger til et niveau, hvor de ikke kan genoprettes.

Desuden blev den reviderede japanske lov om beskyttelse af personoplysninger, som trådte i kraft i april 2022 (Reiwa 4), indført med nye bestemmelser om tredjepartsdeling af data fra udenlandske virksomheder, forstærkning af den registreredes rettigheder og øget ansvar for virksomhederne.

Denne revision lagde vægt på følgende fem perspektiver fra den japanske Personal Information Protection Commission:

1. Beskyttelse af individets rettigheder og interesser
2. Balance mellem beskyttelse og brug
3. Harmonisering med internationale tendenser
4. Reaktion på risikoændringer fra udenlandske virksomheder
5. Tilpasning til AI- og big data-æraen

Reference: Checkpoints for overholdelse af den reviderede japanske lov om beskyttelse af personoplysninger[ja]

IoT og retten til privatliv

Selv når de indsamlede data om dagligdagen ikke betragtes som personoplysninger, skal sådanne oplysninger håndteres med forsigtighed, da de kan give indsigt i en persons adfærd. For eksempel kan oplysninger om tidspunkter for brug af elektricitet og gas, hvis de lækkes, misbruges til kriminalitet såsom indbrud.

På den anden side er det nødvendigt at forstå og anvende en persons adfærdsinformation for at forbedre kvaliteten af smart home-tjenester. For at kunne udnytte persondata til at forbedre tjenester, samtidig med at man beskytter privatlivet, er det nødvendigt at udvise hensyn til privatlivets fred og følge lovgivningen om beskyttelse af personoplysninger, selv når informationen ikke falder ind under personoplysninger.

IoT og Cybersikkerhed

IoT-forretning er baseret på indsamling, håndtering og anvendelse af information, der kan berøre personlige oplysninger og retten til privatliv. Dette er essentielt for dens etablering og fremgang. Da informationen akkumuleres og forvaltes via internettet, er cybersikkerhedsforanstaltninger for enheder, der er forbundet til netværket, uundværlige.

I det følgende vil vi forklare de cybersikkerhedsforanstaltninger, der bør træffes på forhånd, samt det ansvar, der skal påtages i tilfælde af, at man faktisk bliver udsat for et cyberangreb.

Ansvaret for enhedsproducenter: Den japanske lov om produktansvar (製造物責任法)

Hvis et IoT-enheden er mål for et cyberangreb, kan enhedsproducenten stå over for krav om erstatningsansvar under den japanske lov om produktansvar (製造物責任法).

Kriterierne for ansvar under den japanske lov om produktansvar (製造物責任法) er som følger:

1. At der var en defekt i produktet
2. At det forårsagede skade på andres liv, krop eller ejendom
3. At der opstod skade

Med ‘defekt’ i punkt 1 menes en tilstand, hvor produktet mangler den ‘sikkerhed, som man normalt kan forvente’, og dette kan opdeles i produktionsfejl, designfejl samt fejl i instruktioner eller advarsler.

Om en producent faktisk bærer ansvaret for et cyberangreb afhænger af følgende omstændigheder:

• Om produktet opfyldte det tekniske niveau, der var forventet på tidspunktet for overdragelsen
• Om det var i overensstemmelse med de senest offentliggjorte retningslinjer eller frivillige standarder

En enhedsproducent kan undgå ansvar, hvis det kan bevises, at defekten ikke kunne have været opdaget med de faktiske omstændigheder. Dog skal det bevises, at defekten ikke kunne have været anerkendt selv med den højeste tekniske standard på tidspunktet for overdragelsen, hvilket gør det usandsynligt, at ansvarsfrihed faktisk vil blive anerkendt.

Netværksadministratorers ansvar: Civilret

Hvis et netværk udsættes for et cyberangreb, og der sker en lækage af informationer, kan der, i stedet for under loven om produktansvar, opstå et krav om erstatning baseret på civilretten af følgende årsager:

1. Kontraktbrud mellem netværksadministratoren og brugeren
2. Netværksadministratorens manglende overholdelse af sikkerhedsforanstaltninger, hvilket fører til misligholdelse af forpligtelser
3. Netværksadministratorens uagtsomhed, som fører til ansvar for ulovlige handlinger (Civil Code Article 709)

Uanset årsagen vil det centrale spørgsmål være, om netværksadministratoren har udvist forsømmelse ved ikke at implementere de nødvendige sikkerhedsforanstaltninger.

Desuden har der været retspraksis, der viser, at de “nødvendige sikkerhedsforanstaltninger” ikke kun omfatter foranstaltninger i overensstemmelse med standarderne på tidspunktet for kontrakten, men også foranstaltninger i overensstemmelse med retningslinjer offentliggjort på tidspunktet for cyberangrebet (Tokyo District Court, Heisei 26 (2014).1.23).

Derfor skal netværksadministratorer konstant være opmærksomme på opdateringer af vigtige retningslinjer efter levering og opdatere softwaren efter behov.

Aktuelle retningslinjer for informationssikkerhed:

• IoT Security Guidelines ver1.0[ja] | Ministry of Economy, Trade and Industry
• Generel ramme for sikkerhed i sikre IoT-systemer[ja] | NISC
• Vejledning til sikkerhedsdesign i IoT-udvikling[ja] | IPA

Relateret artikel: Skader fra cyberangreb. Hvad er systemleverandørens erstatningsansvar? Forklaring af kontraktseksempler[ja]

Konklusion: IoT-forretning kræver specialiseret juridisk forståelse

IoT-forretning bygger på indsamling og anvendelse af brugernes personlige oplysninger og privatlivsrelaterede data via internettet, hvilket er essentielt for dens fremskridt.

Derfor skal virksomheder ikke kun være opmærksomme på deres ansvar i forhold til produktansvar som producenter af husholdningsapparater, men også som håndterere af personlige oplysninger, være opmærksomme på at følge opdateringerne af den japanske personoplysningsbeskyttelseslov og informationssikkerhedsguidelines.

Hvis der opstår en produktfejl, kan det ikke kun have konsekvenser for brugernes fysiske velbefindende, men også risikoen for at skade et ubestemt antal personer gennem datalækager.

Når man starter en IoT-forretning, er det vigtigt at konsultere en advokat med en bred vifte af specialiseret viden, fra produktansvarslovgivning til personoplysningsbeskyttelseslov og de nyeste informationssikkerhedsguidelines.

Vejledning i foranstaltninger fra vores kontor

Monolith Advokatfirma er et advokatfirma med omfattende erfaring inden for IT, især internet og jura. I de senere år har IoT-forretninger tiltrukket sig stor opmærksomhed, og behovet for juridisk gennemgang er stigende. Vores kontor tilbyder løsninger relateret til IoT-forretninger.

Monolith Advokatfirmas ekspertiseområder: Juridisk rådgivning for IT- og startup-virksomheder[ja]