Hvad er GDPR? En sammenligning med den japanske 'Personoplysningsbeskyttelseslov' og vigtige punkter, som japanske virksomheder bør være opmærksomme på

Når man udvider sin forretning til EU-området, er det nødvendigt at have en omfattende forståelse af GDPR (General Data Protection Regulation). GDPR kan også finde anvendelse på japanske virksomheder, der ikke har etableret sig i EU. Opnå grundlæggende viden om GDPR og den japanske lov om beskyttelse af personoplysninger, og sørg for at håndtere data korrekt.

I denne artikel vil vi forklare GDPR i forhold til den japanske lov om beskyttelse af personoplysninger og de punkter, som japanske virksomheder bør være opmærksomme på. Hvis du er en juridisk medarbejder, der overvejer, om det er nødvendigt at ændre reglerne om databeskyttelse, eller hvis du ønsker at kende de love, der skal overholdes for at udvide din forretning til EU, bør du bestemt tage denne artikel i betragtning.

Hvad er GDPR (EU’s generelle databeskyttelsesforordning)?

“GDPR (General Data Protection Regulation)” er en regel fastsat af Den Europæiske Union (EU), som også er kendt som “Den Generelle Databeskyttelsesforordning” i Japan, og den omhandler håndtering af persondata (beskyttelse af personlige oplysninger).

Den har til formål at styrke beskyttelsen af personlige oplysninger ved at fastsætte strenge standarder for håndtering af persondata inden for EU’s territorium.

Ud fra et perspektiv om beskyttelse af personlige oplysninger, giver den retningslinjer for, hvordan virksomheder og organisationer bør håndtere data, og hvordan enkeltpersoner kan beskytte deres egne oplysninger.

Reference: Den Japanske Kommission for Beskyttelse af Personlige Oplysninger | “Den Generelle Databeskyttelsesforordning (GDPR) foreløbige japanske oversættelse[ja]“

GDPR’s grundlæggende principper er som følger:

• Legalitet, rimelighed og gennemsigtighed
• Begrænsning af formål
• Data-minimering
• Nøjagtighed
• Begrænsning af opbevaring
• Integritet og fortrolighed

I det følgende vil vi forklare hvert af de grundlæggende principper.

Lovlighed, retfærdighed og gennemsigtighed

De grundlæggende principper for GDPR, som ofte nævnes først, er lovlighed, retfærdighed og gennemsigtighed.

Når virksomheder indsamler og behandler persondata, skal de sikre, at der er et lovligt grundlag for det, og de skal klart kommunikere til de berørte parter, hvordan denne behandling foregår.

Desuden skal virksomhederne udtrykkeligt levere information om privatlivets fred og sikre gennemsigtighed, så de berørte parter forstår og kan kontrollere, hvordan deres data håndteres.

Begrænsning af anvendelsesformål

Begrænsning af anvendelsesformål betyder, at indsamling og behandling af data skal ske med henblik på et specifikt og klart defineret formål.

Virksomheder, der indsamler persondata, skal præcist og konkret angive formålet over for den berørte part og opnå et klart samtykke. Desuden er det virksomhedens ansvar at begrænse brugen af de indsamlede data til kun de formål, som der er opnået samtykke til fra data subjektet, og at håndtere disse data med streng kontrol.

Minimering af persondata

Indsamling af persondata bør begrænses til det nødvendige omfang for at opnå det ønskede formål (minimering). Indsaml kun persondata, der er passende for det anmodede formål, og undgå at indsamle unødvendige personlige oplysninger.

Dette sikrer, at mængden af persondata, der opbevares, holdes på et minimum, og at individets privatliv beskyttes.

Nøjagtighed

I henhold til GDPR’s grundlæggende principper skal persondata være nøjagtige. Upræcise persondata skal korrigeres, og der skal træffes foranstaltninger for at opretholde opdaterede og korrekte oplysninger.

Dette sikrer beskyttelsen af individets rettigheder og interesser og sikrer, at behandlingen af persondata foregår på grundlag af nøjagtige oplysninger.

Begrænsninger i opbevaring af optegnelser

Et af de grundlæggende principper i GDPR er begrebet om begrænsninger i opbevaring af optegnelser. Persondata, der ikke længere er nødvendige efter at have opfyldt deres formål, bør hurtigt slettes.

Ved ikke at opbevare unødvendige persondata sikrer vi korrekt håndtering af persondata og beskyttelse af privatlivets fred.

Integritet og fortrolighed

Persondata skal være komplette og fortroligheden skal beskyttes. Persondata skal beskyttes mod manipulation og tab, og der skal træffes passende foranstaltninger for at forhindre uautoriseret adgang.

Dette vil forbedre pålideligheden af persondata.

Gælder GDPR kun for virksomheder inden for EU?

GDPR gælder ikke kun for virksomheder inden for EU. Japanske virksomheder kan også være underlagt GDPR. Vi vil forklare de fire hovedtyper af virksomheder, som GDPR gælder for.

Virksomheder, som er underlagt GDPR, skal sikre lovlig og gennemsigtig databehandling, datasikkerhed og overholdelse af GDPR-standarderne.

Relateret artikel: Hvad sker der, når GDPR finder anvendelse uden for EU? En forklaring på, hvordan man håndterer det[ja]

Håndtering af persondata i henhold til GDPR

GDPR tilbyder en ramme for beskyttelse af privatlivets fred og for regulering af datastrømme, når det kommer til håndtering af persondata.

GDPR beskytter kontrol og respekt for persondata, samtidig med at den fremmer datastrømme og sikrer pålidelighed gennem passende forvaltning.

For at opnå dette er transparens i databehandlingen og virksomhedernes ansvarlighed afgørende, og virksomhederne skal håndtere data korrekt i overensstemmelse med reglerne.

GDPR indeholder desuden følgende bestemmelser:

Der er dog tilfælde, hvor håndtering af persondata kan tillades uden den registreredes samtykke. Konkrete eksempler er som følger:

• Når det er nødvendigt for opfyldelsen af en kontrakt, som den registrerede er part i
• Når det er nødvendigt for at træffe foranstaltninger på den registreredes anmodning før indgåelse af en kontrakt
• Når det er nødvendigt for at overholde en juridisk forpligtelse, som den dataansvarlige er underlagt
• Når det er nødvendigt for at beskytte den registreredes eller en anden persons vitale interesser
• Når det er nødvendigt af hensyn til offentlige interesser eller udøvelse af officiel myndighed
• Når det er nødvendigt for formål, der vedrører den dataansvarliges eller en tredjeparts legitime interesser (dette kræver en afvejning af den registreredes rettigheder, interesser og friheder)

De primære rettigheder vedrørende persondata i GDPR

I henhold til GDPR har den registrerede følgende primære rettigheder i forhold til deres persondata:

• Retten til at få adgang til persondata
• Retten til at anmode om rettelse eller sletning af persondata
• Retten til at anmode om begrænsning af brugen af persondata
• Retten til at gøre indsigelse mod behandlingen af persondata

Den registrerede har ret til at forstå, hvordan deres informationer anvendes af dataansvarlige. Hvis man føler, at informationerne er unøjagtige eller bliver brugt på en upassende måde, kan man anmode om rettelse eller sletning, samt midlertidig stop for brugen af dataene eller indgive en indsigelse.

Hovedansvar for persondata under GDPR

Mens persondata subjekter er tildelt de ovennævnte rettigheder, påtager virksomheder, der indsamler og behandler persondata, sig primært følgende ansvar:

• At etablere et system og personalestruktur for håndtering af persondata i overensstemmelse med GDPR
• At føre optegnelser over behandlingen af persondata
• At håndtere persondataovertrædelser

For at sikre, at persondata er korrekt beskyttet, er disse ansvar, som virksomhederne bærer, af stor betydning.

Desuden er det afgørende, at alle dataforarbejdningsaktiviteter er korrekt dokumenteret, så de kan gennemgås, når det er nødvendigt.

I tilfælde af brud på persondatasikkerheden har virksomheden ansvar for at træffe passende foranstaltninger og informere de berørte parter.

Hvis du overtræder GDPR

Hvis en dataansvarlig eller databehandler overtræder GDPR og derved forårsager skade på en datasubjekt, kan de blive pålagt at betale erstatning (GDPR artikel 82, stk. 1).

Desuden kan overtrædelser af GDPR medføre strenge konsekvenser. For eksempel kan der, som en foranstaltning i henhold til GDPR artikel 83, pålægges bøder fra EU for overtrædelseshandlinger (GDPR artikel 83).

Forskellen mellem GDPR og den japanske lov om beskyttelse af personoplysninger

Forskellene mellem GDPR og den japanske lov om beskyttelse af personoplysninger er hovedsageligt som følger:

• Beskyttelsesobjekter
• Reaktion på krænkelser af persondata
• Indstilling af repræsentanter
• Straffe ved overtrædelse

Nedenfor vil vi forklare dette mere detaljeret.

Beskyttelsesobjekter

GDPR og den japanske lov om beskyttelse af personoplysninger varierer med hensyn til de data, der er genstand for beskyttelse. GDPR beskytter persondata, der behandles inden for EU, i vid udstrækning. Det gælder ikke kun virksomheder med base i EU, men også virksomheder, der tilbyder varer eller tjenester til personer inden for EU.

Den japanske lov om beskyttelse af personoplysninger beskytter derimod personoplysninger, der behandles inden for landets grænser, og beskyttelsen er generelt begrænset til indenlandske forhold.

Reaktion på krænkelser af persondata

GDPR og den japanske lov om beskyttelse af personoplysninger har forskellige tilgange til håndtering af databrud.

Under GDPR har virksomheder pligt til at rapportere databrud til tilsynsmyndighederne inden for 72 timer efter opdagelsen. Derudover har de ansvar for at informere de berørte personer hurtigt og klart.

I henhold til den japanske lov om beskyttelse af personoplysninger kræves det også, at man hurtigt underretter om databrud, men tidsfrister og indhold af rapporteringspligten varierer fra land til land.

Indstilling af repræsentanter

Reglerne for indstilling af repræsentanter varierer mellem GDPR og den japanske lov om beskyttelse af personoplysninger.

Under GDPR er det nødvendigt med samtykke fra forældre eller værger, når det kommer til behandling af børns persondata. Virksomheder, der tilbyder online-tjenester, skal også have samtykke fra forældre, når de håndterer persondata for børn under 16 år.

Den japanske lov om beskyttelse af personoplysninger kræver ligeledes samtykke fra en værge ved håndtering af børns personoplysninger, men aldersgrænsen og metoderne til at indhente samtykke varierer efter lovgivningen.

Straffe ved overtrædelse

En anden forskel mellem GDPR og den japanske lov om beskyttelse af personoplysninger er straffene ved overtrædelse.

Under GDPR kan overtrædelser resultere i bøder på op til 4% af virksomhedens samlede årlige omsætning eller 20 millioner euro, afhængigt af hvad der er højest.

Straffene i henhold til den japanske lov om beskyttelse af personoplysninger varierer fra land til land, men omfatter typisk bøder og juridisk ansvar. Bødens størrelse afhænger af overtrædelsens art og alvorlighed.

Vigtige punkter for japanske virksomheder i forhold til GDPR

Følgende virksomheder skal træffe foranstaltninger i forhold til GDPR:

• Virksomheder med datterselskaber, filialer eller salgskontorer inden for EU
• Virksomheder, der leverer varer eller tjenester fra Japan til EU
• Virksomheder, der behandler persondata på vegne af virksomheder i EU

Som et eksempel på specifikke foranstaltninger i virksomheder, anbefales kryptering som en form for databeskyttelsesteknologi i henhold til GDPR’s artikel 32 og præambel (83).

Derfor er det nødvendigt at kryptere persondata på klient-pc’er, HDD’er, USB-drev og andre lagringsmedier samt i delte mapper.

Derudover er det nødvendigt at ændre privatlivspolitikken, så den overholder GDPR. For mere detaljeret information om GDPR-kompatible privatlivspolitikker, se den følgende artikel.

Relateret artikel: Forklaring af vigtige punkter ved oprettelse af en GDPR-kompatibel privatlivspolitik[ja]

Konklusion: Søg rådgivning fra eksperter om GDPR-foranstaltninger

GDPR beskytter persondata, der behandles inden for EU, i vid udstrækning og kræver lovlig og gennemsigtig behandling af data samt sikring af datasikkerhed. Forskellene mellem GDPR og den japanske lov om beskyttelse af personoplysninger omfatter beskyttelsesområder, håndtering af persondatakrænkelser, indstilling af repræsentanter og sanktioner ved overtrædelser.

Virksomheder, der primært har base i EU, tilbyder varer eller tjenester til personer i EU, eller som behandler persondata på vegne af virksomheder i EU, er blandt dem, der er underlagt GDPR. Overtrædelser af GDPR kan føre til krav om erstatning og bøder, så det er vigtigt at være opmærksom.

Det anbefales at konsultere en ekspert for at afgøre, om det er nødvendigt at ændre din virksomheds databeskyttelsesregler for at overholde GDPR.

Vejledning i foranstaltninger fra vores kontor

Monolith Advokatfirma er et advokatfirma med omfattende erfaring inden for IT, især internet og jura. I de senere år er global forretning blevet stadig mere udbredt, og behovet for juridisk kontrol af eksperter er vokset tilsvarende. Vores firma tilbyder løsninger inden for international juridisk service.

Monolith Advokatfirmas ekspertiseområder: International juridisk service og udenlandske forretninger[ja]