Hvad er nøglepunkterne ved oprettelse af privatlivspolitik baseret på den japanske 'Personlige Informationsbeskyttelseslov'?

I nyere tid er samfundets interesse for beskyttelse af personlige oplysninger steget. Det er fair at sige, at der næsten ikke findes nogen virksomheder, der ikke håndterer personlige oplysninger, og for mange virksomheder og selvstændige erhvervsdrivende er håndtering af personlige oplysninger et meget nærtstående problem. Det er almindeligt for virksomheder, der har en hjemmeside, at have en privatlivspolitik på deres side. En privatlivspolitik er en offentliggørelse af retningslinjer for håndtering af personlige oplysninger i overensstemmelse med den japanske lov om beskyttelse af personlige oplysninger. For at formulere en passende privatlivspolitik er det afgørende at forstå den japanske lov om beskyttelse af personlige oplysninger. Derfor vil jeg forklare nogle kontrolpunkter, når du opretter en privatlivspolitik. Bemærk, at der var en ændring i den japanske lov om beskyttelse af personlige oplysninger i 2015 (2015 i den gregorianske kalender), og den reviderede lov trådte i kraft den 30. maj 2017 (2017 i den gregorianske kalender). Der var især en vigtig ændring vedrørende levering af personlige oplysninger til tredjeparter, så jeg vil også forklare det punkt. For detaljer om ændringerne i den japanske lov om beskyttelse af personlige oplysninger, se artiklen nedenfor.

Hvad er en privatlivspolitik?

De fleste virksomheders websteder har en privatlivspolitik. Det kan også være kendt som en “persondatapolitik”, men det er i det væsentlige det samme. En privatlivspolitik viser virksomhedens grundlæggende holdning til håndtering af personlige oplysninger, og det er også et middel til at vise de oplysninger, der kræves offentliggjort i henhold til den japanske lov om beskyttelse af personlige oplysninger. Derfor er det som minimum nødvendigt at dække følgende punkter, som kræves offentliggjort i henhold til den japanske lov om beskyttelse af personlige oplysninger:

• Formålet med brugen af personlige oplysninger
• Navnet eller betegnelsen på den person, der håndterer personlige oplysninger
• Proceduren for at imødekomme anmodninger om meddelelse, offentliggørelse, korrektion, ophør af brug osv. fra den pågældende person
• Stedet for indgivelse af klager

Derudover er der i tilfælde af specifik drift, der er fastlagt ved lov, såsom fælles brug af personlige oplysninger inden for gruppevirksomheder og håndtering af det, der kaldes anonymiserede oplysninger, som vil blive forklaret senere, fastlagt punkter, der kræver offentliggørelse for hver af dem.

Relateret artikel: Hvad er den japanske lov om beskyttelse af personlige oplysninger og personlige oplysninger? En advokat forklarer [ja]

Virksomheder, der bør oprette en privatlivspolitik

Før ændringsloven trådte i kraft i 2017 (Gregoriansk kalenderår), var det kun virksomheder, der besad mere end 5000 personlige oplysninger, der var underlagt den japanske lov om beskyttelse af personlige oplysninger. Derfor var der en rimelig mængde små virksomheder og virksomheder, der primært driver B2B-forretning, der ikke behøvede at oprette en privatlivspolitik. Men med ændringsloven, der trådte i kraft i 2017, blev den japanske lov om beskyttelse af personlige oplysninger nu anvendt på alle virksomheder, uanset antallet af personlige oplysninger, de besidder. Som et resultat, forventes det, at alle virksomheder grundlæggende vil oprette en privatlivspolitik. Det skal bemærkes, at selv hvis en privatlivspolitik ikke er oprettet, kan det erstattes ved hver gang at underrette den pågældende person om formålet med brugen af personlige oplysninger og andre emner, der kræves offentliggjort i henhold til den japanske lov om beskyttelse af personlige oplysninger. Men dette er besværligt, så normalt vil en privatlivspolitik blive oprettet.

Checkpunkter for privatlivspolitik

Definition af personlige oplysninger

Paragraf 0
Personlige oplysninger er oplysninger om en levende person, der kan identificere en bestemt person ved hjælp af navn, fødselsdato og andre beskrivelser indeholdt i disse oplysninger (dette inkluderer også oplysninger, der let kan sammenlignes med andre oplysninger, hvilket gør det muligt at identificere en bestemt person).

Definitionen af personlige oplysninger kan tilstrækkeligt beskrives som fastlagt i den japanske “Personlige Oplysningsbeskyttelseslov”. Typisk er det oplysninger som navn og fødselsdato, som i eksemplet ovenfor, men det kan også omfatte alder, køn, adresse, telefonnummer, familiestruktur, hobbyer, præferencer, e-mail-adresse, ID, IP-adresse og tidsstempel, arbejdsplads, tilhørsforhold, arbejdspladsadresse, arbejdspladstelefonnummer, kreditkortnummer, bankkontonummer, oplysninger om besøgte hjemmesider, klager, henvendelser eller forespørgsler. Derfor kan det være en god idé at inkludere i din privatlivspolitik de oplysninger, som du sandsynligvis vil indsamle fra dine kunder og andre, som en del af definitionen af personlige oplysninger.

Formål med brug af personlige oplysninger

Artikel 0
1. Vores firma bruger de indsamlede personlige oplysninger til følgende formål. Bemærk, at hvis vi har fastlagt et separat formål for brugen af personlige oplysninger på vores hjemmeside, vil denne beskrivelse af formålet have forrang.
(1) For at vores firma kan svare på henvendelser fra kontaktformularen
(2) For at levere vores webtjenester eller applikationer og andre tjenester (herefter kaldet “denne service”) og for at informere om denne service eller nye tjenester, vi tilbyder
(3) For at forbedre denne service og udvikle nye tjenester
(4) For andre formål relateret til ovenstående punkter
2. Ud over de formål, der er fastlagt i det foregående afsnit, kan vores firma bruge de personlige oplysninger, vi har indsamlet fra kunder, som statistiske oplysninger i en form og omfang, der ikke kan identificere eller specificere enkeltpersoner.

Formål med brug

Under den japanske lov om beskyttelse af personlige oplysninger er det nødvendigt at offentliggøre formålet med brugen af de indsamlede personlige oplysninger. Afsnit 1 i ovenstående eksempel svarer til dette. Det er vigtigt at bemærke, at det i fastlæggelsen af formålet ikke er tilstrækkeligt med en abstrakt eller generel beskrivelse, men at det skal beskrives konkret nok til, at personen kan forstå, hvordan hans eller hendes personlige oplysninger vil blive brugt. Derfor kan indholdet af formålet variere afhængigt af virksomheden, der opretter privatlivspolitikken. Desuden, hvis der er udeladelser i beskrivelsen, vil det ikke være muligt at bruge de personlige oplysninger til det pågældende formål, så sørg for at overveje omhyggeligt, om der er nogen udeladelser.

Anonymiserede oplysninger

Afsnit 2 i eksemplet er en bestemmelse om anonymiserede oplysninger. Anonymiserede oplysninger er oplysninger, der er blevet behandlet, så de ikke kan identificere enkeltpersoner, og som ikke kan gendannes. Det er beregnet til brug af såkaldte big data.
Når du håndterer anonymiserede oplysninger, er det nødvendigt at offentliggøre oplysninger som elementerne i de personlige oplysninger, der er inkluderet i de anonymiserede oplysninger, i privatlivspolitikken og lignende. Afsnit 2 i eksemplet fastlægger, at de personlige oplysninger, der er beskrevet i “Definitionen af personlige oplysninger”, vil blive brugt som anonymiserede oplysninger. Bemærk, at hvis du leverer anonymiserede oplysninger til tredjeparter, skal du også offentliggøre metoden til levering.

Brug af personlige oplysninger uden for det tilsigtede formål

Paragraf 〇
Vi vil håndtere de indsamlede personlige oplysninger inden for det omfang, der er nødvendigt for at opnå det formål, der er angivet i den foregående artikel. Hvis vi håndterer personlige oplysninger uden for det tilsigtede formål, vil vi gøre det med forudgående samtykke fra kunden. Dog gælder dette ikke i følgende tilfælde:
(1) Når det er baseret på lovgivning
(2) Når det er nødvendigt for at beskytte en persons liv, krop eller ejendom, og det er svært at opnå kundens samtykke
(3) Når det er særligt nødvendigt for at forbedre folkesundheden eller fremme sund opvækst af børn, og det er svært at opnå kundens samtykke
(4) Når det er nødvendigt at samarbejde med en national institution eller en lokal offentlig organisation eller en person, der har modtaget en sådan delegation, i udførelsen af de opgaver, der er fastsat ved lov, og der er risiko for at hindre udførelsen af de pågældende opgaver ved at opnå kundens samtykke

Personlige oplysninger kan som udgangspunkt ikke bruges uden for det tilsigtede formål. Dog tillader den japanske lov om beskyttelse af personlige oplysninger brug uden for det tilsigtede formål i de tilfælde, der er nævnt i punkterne (1) til (4) ovenfor.
Punkterne (2) og (3) gælder, når der er en stærk anmodning om at bruge personlige oplysninger, men det er svært at opnå hurtig godkendelse fra personen. Punkterne (1) og (4) gælder for brug af personlige oplysninger baseret på intentionerne fra den nationale eller lokale offentlige organisation. For eksempel vil kriminalundersøgelser falde ind under dette. Bestemmelserne om brug uden for det tilsigtede formål er stort set standard for alle virksomheder, og det er sjældent, at de ændres afhængigt af virksomhedens aktiviteter.

Overdragelse af personlige oplysninger til tredjepart

Paragraf 〇
Vores firma overdrager ikke kundernes personlige oplysninger til tredjepart uden først at have opnået samtykke fra kunden selv. Som en undtagelse kan vi overdrage oplysningerne til en tredjepart, hvis vi har specificeret modtageren og indholdet af overdragelsen og har opnået kundens samtykke. Dog gælder dette ikke i følgende tilfælde:
(1) Hvis det er baseret på lovgivning
(2) Hvis det er nødvendigt for at beskytte en persons liv, krop eller ejendom, og det er svært at opnå kundens samtykke
(3) Hvis det er særligt nødvendigt for at forbedre folkesundheden eller fremme sund opvækst af børn, og det er svært at opnå kundens samtykke
(4) Hvis det er nødvendigt at samarbejde med en statslig institution eller en lokal offentlig organisation eller en person, der har modtaget en sådan delegation, for at udføre de opgaver, der er fastsat i loven, og at opnå kundens samtykke kan hindre udførelsen af disse opgaver
(5) Hvis det er nødvendigt at overdrage personlige oplysninger til en virksomhed, der har indgået en fortrolighedsaftale med os, for at opfylde formålet med brugen

Undtagelser, hvor personlige oplysninger kan overdrages til tredjepart

Denne klausul handler om situationer, hvor en virksomhed overdrager personlige oplysninger, den har indsamlet, til en tredjepart. Ifølge den japanske lov om beskyttelse af personlige oplysninger er det nødvendigt at opnå samtykke fra den pågældende person, før personlige oplysninger kan overdrages til en tredjepart. Dog er det lovligt at overdrage personlige oplysninger til en tredjepart uden samtykke fra den pågældende person i de tilfælde, der er fastsat i klausul (1) til (5). Derfor bliver klausulerne om overdragelse til tredjepart stort set standardiserede i de fleste virksomheder, ligesom klausulerne om brug af personlige oplysninger til andre formål. I praksis er det mest almindelige tilfælde, hvor personlige oplysninger overdrages, når de overdrages til en virksomhed, der har fået tildelt en opgave (punkt 5). Dog skal virksomheden, der har indsamlet de personlige oplysninger, selv i tilfælde af outsourcing, påtage sig tilsynsansvaret over for den virksomhed, der har fået tildelt opgaven. Derfor er det vigtigt at være opmærksom på, at virksomheden, der har tildelt opgaven, også kan blive holdt ansvarlig, hvis personlige oplysninger lækker fra den virksomhed, der har fået tildelt opgaven. Derfor bør valget af virksomhed, der får tildelt opgaven, og tilsynet med den efter tildelingen udføres omhyggeligt. Vi har en detaljeret forklaring på Benesse-lækagen af personlige oplysninger i artiklen nedenfor.

Relateret artikel: Risikoen for lækage af personlige oplysninger i virksomheder og erstatningsansvar [ja]

Ændringer i loven gør det sværere at fravælge

Med hensyn til overdragelse af personlige oplysninger til tredjepart, var det før ændringen af loven i 2017 (Heisei 29) tilladt at overdrage personlige oplysninger til en tredjepart uden forudgående samtykke fra den pågældende person, forudsat at “overdragelsen af personlige oplysninger til en tredjepart stoppes på anmodning fra den pågældende person”. Dette kaldes at fravælge (opt-out). Men med ændringen af loven i 2017 blev reglerne strammet, så det nu kun er muligt at overdrage personlige oplysninger til en tredjepart ved at fravælge, hvis der er givet forudgående meddelelse til Kommissionen for Beskyttelse af Personlige Oplysninger. Man kunne måske tro, at det bare er et spørgsmål om at give meddelelse til Kommissionen for Beskyttelse af Personlige Oplysninger, men denne meddelelsesordning er hovedsageligt beregnet til virksomheder, der handler med personlige oplysninger som deres hovedprodukt, såsom listebrokers, og da de, der giver meddelelse, vil blive offentliggjort, er der stadig ikke mange virksomheder, der faktisk har givet meddelelse. Derfor er det i praksis blevet svært at overdrage personlige oplysninger til en tredjepart uden samtykke fra den pågældende person, medmindre det er tilladt som en undtagelse, såsom outsourcing.

Afsløring, rettelse osv. af personlige oplysninger

I henhold til den japanske lov om beskyttelse af personlige oplysninger (Personoplysningernes Beskyttelseslov), er det også nødvendigt at offentliggøre procedurer for at imødekomme anmodninger om meddelelse, afsløring, rettelse og ophør af brug fra den person, oplysningerne vedrører. Derfor, når du opretter en privatlivspolitik, skal du også fastsætte disse forhold. Dog er de klausuler, der fastsætter disse, ofte standardiserede blandt mange virksomheder. En ting, der bør overvejes, er, om der skal fastsættes et gebyr for at imødekomme anmodninger om afsløring osv. fra den person, oplysningerne vedrører. En måde at forhindre forsinkelser i arbejdet på grund af misbrug af anmodninger er at fastsætte et passende gebyr. Hvis der er behov for et gebyr, skal du være opmærksom på, at det er nødvendigt at fastsætte indholdet af dette i privatlivspolitikken.

Opsummering

Interessen for beskyttelse af personlige oplysninger stiger i samfundet, og lovgivningen bliver gradvist strengere. Det er selvfølgelig nødvendigt at sikre en sikker håndtering af informationer internt i virksomheden for at forhindre lækage af personlige oplysninger, men det er også vigtigt at udarbejde politikker for privatliv og interne regler i overensstemmelse med lovgivningen. Den japanske lov om beskyttelse af personlige oplysninger (“Japanese Personal Information Protection Law”) vil fortsat blive revideret regelmæssigt hvert tredje år. Hver gang reglerne for håndtering af personlige oplysninger ændres, kan det være nødvendigt ikke kun at ændre virksomhedens systemer, men også at revurdere virksomhedens metoder. I den forstand kan den japanske lov om beskyttelse af personlige oplysninger betragtes som en lov, der påvirker kernen i virksomheden, så det er især vigtigt for virksomheder, der håndterer mange personlige oplysninger, at holde sig opdateret om ændringer i loven.

Information om kontraktudarbejdelse og gennemgang m.m. af vores firma

Monolis Advokatfirma er et advokatfirma med styrker inden for IT, internet og forretning. Ud over privatlivspolitikker tilbyder vi en bred vifte af tjenester, herunder udarbejdelse og gennemgang af forskellige kontrakter til vores rådgivende virksomheder og klientvirksomheder.

Hvis du er interesseret, kan du se detaljerne nedenfor.