Hvad er den informationsoffentliggørelse, som virksomheder bør foretage ved forekomst af informationslækage?

Hvis der opstår en informationslækage, kan der i nogle tilfælde være behov for administrative handlinger som rapportering. Ud over at håndtere administrationen, er det også nødvendigt at offentliggøre information på en passende måde om ‘hvilken type information’, ‘hvornår’ og ‘under hvilke omstændigheder det lækede’.

I denne artikel vil vi forklare, til virksomhedens juridiske afdelinger, om offentliggørelse af information, som virksomheder skal foretage, når der opstår en informationslækage.

Forskellen mellem administrativ håndtering og informationsafsløring

Hvis der opstår en lækage af personlige oplysninger, vil det være nødvendigt at håndtere de administrative regler, såsom den japanske lov om beskyttelse af personlige oplysninger. Det kan dog siges, at det er utilstrækkeligt for en virksomhed kun at håndtere det administrative aspekt.

For eksempel, hvis en virksomhed forårsager en informationslækage, kan det potentielt have en social indvirkning.

Desuden, hvis det er en børsnoteret virksomhed, er der et behov for hurtigt at afsløre information til interessenter som aktionærer, forretningspartnere og kunder.

Administrativ håndtering har aspekter af at overholde loven, mens informationsafsløring udført af virksomheden har en stærk aspekt af at opfylde deres sociale ansvar som en virksomhed, der håndterer information.

Relaterede artikler: Hvad skal man gøre, hvis der opstår en lækage af personlige oplysninger? En forklaring på den administrative håndtering, som virksomheder bør tage[ja]

Relaterede artikler: Lær om krisehåndtering og advokaters rolle fra eksemplet med informationslækagen på 650.000 sager hos Tokken Corporation[ja]

Om rettidig offentliggørelse for børsnoterede virksomheder

For børsnoterede virksomheder er det påkrævet at offentliggøre information, da lækage af information kan have en bred indvirkning.

For eksempel, i de regler for notering af værdipapirer, som Tokyo Stock Exchange offentliggør, er der fastsat bestemmelser om rettidig offentliggørelse som følger:

(Offentliggørelse af virksomhedsinformation)
Artikel 402
Børsnoterede virksomheder skal straks offentliggøre indholdet i overensstemmelse med de regler, der er fastsat i gennemførelsesbestemmelserne, i tilfælde, der falder ind under nogen af følgende punkter (undtagen dem, der opfylder kriterierne fastsat i gennemførelsesbestemmelserne og andre ting, der har en ubetydelig indvirkning på investorernes investeringsbeslutninger, som denne børs anerkender.)
(Udeladt)
x Ud over de fakta, der er angivet fra a til w, vigtige fakta vedrørende driften, forretningen eller ejendommen af den pågældende børsnoterede virksomhed eller de pågældende børsnoterede aktier osv., der har en betydelig indvirkning på investorernes investeringsbeslutninger

Tokyo Stock Exchange | Regler for notering af værdipapirer[ja]

Det antages, at tilfælde af informationslækage falder ind under “vigtige fakta vedrørende driften, forretningen eller ejendommen af den pågældende børsnoterede virksomhed eller de pågældende børsnoterede aktier osv., der har en betydelig indvirkning på investorernes investeringsbeslutninger”, og derfor er det nødvendigt at foretage rettidig offentliggørelse.

Specifikt kan det overvejes at offentliggøre en oversigt over den opståede informationslækage, omstændighederne omkring lækagen, og fremtidsudsigterne for håndteringen af den opståede informationslækage.

Frivillig informationsdeling, som virksomheder bør udføre

Som nævnt ovenfor, er der tilfælde, hvor virksomheder deler information i overensstemmelse med reglerne for noterede værdipapirer osv., men virksomheder kan også overveje at dele information frivilligt som en form for risikostyring.

Relateret artikel: Risikoen ved lækage af personlige oplysninger og erstatning for skader i virksomheder[ja]

I hvilke tilfælde bør information deles?

Når det kommer til frivillig informationsdeling, kan virksomheder teoretisk set vælge mellem at dele information eller ikke at dele information.

Derfor er det vigtigt for virksomheder at have klare kriterier for, om de skal dele information eller ej.

Det første kriterium kan være, om der er en reel risiko for, at skaderne fra informationslækagen vil eskalere.

Hvis en informationslækage faktisk har fundet sted, men der ikke forventes nogen reel indvirkning, kan behovet for frivillig informationsdeling være lavt.

Hvis der ikke er nogen reel risiko for, at skaderne fra informationslækagen vil eskalere, kan frivillig informationsdeling faktisk skabe forvirring og potentielt forværre situationen.

Det andet kriterium kan være, om offentliggørelse af information faktisk kan øge risikoen for, at skaderne fra informationslækagen vil eskalere.

Hvis der ikke er taget tilstrækkelige forholdsregler mod informationslækagen, og det bliver offentliggjort, at en lækage har fundet sted, kan det tiltrække opmærksomhed fra dem, der ønsker at erhverve information ulovligt, hvilket kan føre til yderligere lækager.

Derfor kan frivillig offentliggørelse af information faktisk øge skaderne fra informationslækagen og i sidste ende føre til yderligere krænkelser af rettigheder.

Imidlertid er ovenstående kriterier ikke nødvendigvis universelle, og det er nødvendigt at undersøge kriterierne for, om information skal offentliggøres på en sag-til-sag basis, og træffe en beslutning om, hvorvidt information skal offentliggøres.

Emner, der bør deles

Når du deler information, er det nødvendigt at overveje omhyggeligt, hvilke emner der skal deles.

Emner, der bør deles, kan for eksempel omfatte følgende:

• Type af informationslækage, der er opstået
• Datoen, hvor virksomheden blev opmærksom på informationslækagen
• Datoen for informationslækagen
• Omstændighederne omkring opdagelsen af informationslækagen
• Årsagen til informationslækagen
• Indholdet af den potentielle skade forårsaget af informationslækagen
• Om der er risiko for yderligere skade eller sekundær skade i fremtiden
• Foranstaltninger, som virksomheden har truffet mod informationslækagen
• Indholdet af undersøgelsen om årsagen til informationslækagen
• Om der er blevet rapporteret til politiet osv.

Imidlertid kan de emner, der bør deles, variere afhængigt af sagen, så det er nødvendigt at træffe en individuel beslutning baseret på sagen.

Metoder til at dele information

Metoder til at dele information kan for eksempel omfatte følgende:

• Offentliggørelse på virksomhedens hjemmeside
• Offentliggørelse gennem en pressekonference til medierne
• Kontakt til enkeltpersoner, hvis rettigheder og interesser kan blive krænket som følge af informationslækagen

De ovenstående metoder til informationsdeling er kun eksempler, og det er nødvendigt at vælge den passende metode på en sag-til-sag basis.

Punkter at bemærke, når du holder en pressekonference til medierne

Når du holder en pressekonference, vil indholdet af informationsdelingen blive kendt af mange mennesker. Derfor er det nødvendigt at overveje omhyggeligt, om det er passende at dele information gennem en pressekonference i første omgang.

For eksempel, hvis der ikke er nogen information ud over det, som virksomheden allerede har offentliggjort på sin hjemmeside, vil en pressekonference ikke være i stand til at offentliggøre ny information. Hvis du holder en pressekonference uden ny information, kan det give folk, der ser pressekonferencen, indtrykket af, at du er en uærlig virksomhed, der ikke opfylder din forpligtelse til at forklare. Derfor er det nødvendigt at være forsigtig.

Desuden kan det i nogle tilfælde være praktisk talt umuligt at trække tilbage eller rette det, der blev sagt på pressekonferencen.

Derfor er det nødvendigt at forberede sig grundigt på indholdet af det, der skal siges på pressekonferencen, herunder at inddrage eksperter som advokater og beslutte på forhånd, hvad der skal siges.

Punkter at bemærke, når du kontakter enkeltpersoner, hvis rettigheder og interesser kan blive krænket som følge af informationslækagen

Hvis det er klart, hvem der potentielt kan få deres rettigheder og interesser krænket som følge af informationslækagen, kan det være bedst at kontakte disse ofre individuelt, før du offentliggør fakta om informationslækagen.

Hvis du går videre med offentliggørelsen, før du kontakter ofrene individuelt, kan ofrene begynde at mistro virksomheden og blive mere fjendtlige.

Desuden, hvis det var muligt at kontakte ofrene individuelt, men du valgte at offentliggøre først, kan det skade virksomhedens sociale tillid.

Hvordan kan virksomheder forhindre lækage af information?

Indtil videre har vi forklaret, hvad virksomheder skal gøre i tilfælde af informationslækage, men det er selvfølgelig vigtigt at forhindre lækage af information i første omgang.

I den japanske ‘Persondata Beskyttelseslov’ (個人情報保護法) artikel 23, er det angivet om sikkerhedsforanstaltninger som følger:

(Sikkerhedsforanstaltninger)
Artikel 23: Enhver virksomhed, der håndterer persondata, skal træffe nødvendige og passende foranstaltninger for at forhindre lækage, tab eller ødelæggelse af persondata og for at sikre sikkerheden af persondata.

e-Gov｜Persondata Beskyttelseslov[ja]

Eksempler på sikkerhedsforanstaltninger kan være:

• Udarbejdelse af grundlæggende politikker for håndtering af persondata
• Udvikling af regler for håndtering af persondata
• Organisering af virksomhedsstruktur
• Implementering af regler for håndtering af persondata
• Udvikling af metoder til at kontrollere håndteringen af persondata
• Udvikling af systemer til at håndtere informationslækage
• Overvågning af håndteringen af persondata og revision af sikkerhedsforanstaltninger
• Uddannelse af medarbejdere, der håndterer persondata
• Gennemførelse af fysiske sikkerhedsforanstaltninger for at forhindre lækage af persondata
• Gennemførelse af tekniske sikkerhedsforanstaltninger for at forhindre lækage af persondata

Det er vores opfattelse, at ved at implementere sådanne sikkerhedsforanstaltninger, der passer til virksomhedens situation, kan risikoen for informationslækage reduceres.

Opsummering: Konsulter en advokat om offentliggørelse af information vedrørende datalæk

I denne artikel har vi forklaret, hvad virksomheder bør gøre i forhold til offentliggørelse af information, hvis der opstår en datalæk, med henblik på personer i virksomhedens juridiske afdeling.

Det er selvfølgelig bedst, hvis en datalæk ikke finder sted, men det er realistisk set svært at forhindre en datalæk 100%.

Derfor er det vigtigt for virksomheder at reagere passende, hvis en datalæk opstår.

Med hensyn til håndtering af datalæk, kræves der en omhyggelig overvejelse, der passer til sagen, så vi anbefaler at konsultere en advokat med specialviden.

Introduktion til vores firmas tiltag

Monolis Advokatfirma er et advokatfirma med høj ekspertise inden for IT, især internettet og lovgivning. Professionel viden er afgørende, når man udarbejder interne regler. Vores firma håndterer en bred vifte af sager, fra Tokyo Stock Exchange-noterede virksomheder til opstartsvirksomheder. Hvis du har problemer med interne regler, kan du henvise til artiklen nedenfor.

https://monolith.law/contractcreation[ja]