Forklaring af vigtige punkter vedrørende 'Forretningsdrivendes pligter' i den reviderede 'Japanske Lov om Beskyttelse af Personlige Oplysninger' i Reiwa 4 år (2022)

Den reviderede japanske lov om beskyttelse af personlige oplysninger trådte i kraft i april 2022. Denne lov har til formål at sikre korrekt håndtering af personlige oplysninger, samtidig med at den tager hensyn til nytten af personlige oplysninger og beskytter individets rettigheder og interesser. Men hvad ændrer sig konkret med implementeringen af den reviderede japanske lov om beskyttelse af personlige oplysninger? I denne artikel vil vi forklare om individets rettigheder og virksomhedernes forpligtelser.

Ændringer og baggrund for den japanske lov om beskyttelse af personlige oplysninger

Den japanske lov om beskyttelse af personlige oplysninger, der blev vedtaget i 2003 og fuldt implementeret i 2005, blev revideret i 2015, ti år efter dens implementering, med begrundelsen “På grund af udviklingen inden for informationsteknologi er det blevet muligt at udnytte personlige data på en måde, der ikke var forudset på tidspunktet for lovens vedtagelse”. Denne revision blev fuldt implementeret i 2017.

I denne revision fra 2017 blev der indført en “3-års revisionsbestemmelse”, der siger, “Under hensyntagen til internationale tendenser, fremskridt inden for informationsteknologi og situationen for skabelse og udvikling af nye industrier, skal indholdet revideres hvert tredje år efter implementeringen for at afspejle den faktiske situation”.

Relevante bestemmelser i tillægget til den reviderede japanske lov om beskyttelse af personlige oplysninger fra 2017 (uddrag)

(Overvejelse) Artikel 12

(Udeladt)

2 Regeringen skal, med henblik på at effektivt gennemføre denne lov efter tre år, tage højde for situationen med hensyn til etablering af det nødvendige personale, sikring af finansiering og andre foranstaltninger for at fremme og udvikle grundlæggende politikker for beskyttelse af personlige oplysninger og andre opgaver under jurisdiktionen af Kommissionen for Beskyttelse af Personlige Oplysninger, og når det anses for nødvendigt, skal den træffe de nødvendige foranstaltninger baseret på resultaterne af disse overvejelser.

3 Ud over de forhold, der er fastsat i den foregående paragraf, skal regeringen, med henblik på at gennemføre denne lov efter tre år, tage højde for internationale tendenser inden for beskyttelse af personlige oplysninger, fremskridt inden for informationsteknologi, situationen for skabelse og udvikling af nye industrier, der udnytter personlige oplysninger, og andre forhold, og når det anses for nødvendigt, skal den træffe de nødvendige foranstaltninger baseret på resultaterne af disse overvejelser.

4, 5 (Udeladt)

6 Regeringen skal, under hensyntagen til situationen for implementeringen af den nye japanske lov om beskyttelse af personlige oplysninger, situationen for gennemførelsen af de foranstaltninger, der er fastsat i første afsnit, og andre forhold, overveje hvordan lovgivningen om beskyttelse af personlige oplysninger skal være, herunder at konsolidere bestemmelserne om beskyttelse af personlige oplysninger og personlige oplysninger, der er i besiddelse af offentlige organer, som fastsat i artikel 2, afsnit 1, i den nye japanske lov om beskyttelse af personlige oplysninger, og regulere dem på en integreret måde.

Den reviderede japanske lov om beskyttelse af personlige oplysninger fra Reiwa 4 (2022) er den første lovrevision baseret på denne “3-års revisionsbestemmelse”.

Relateret artikel: Hvad er den japanske lov om beskyttelse af personlige oplysninger og personlige oplysninger? En advokat forklarer[ja]

Oversigt over ændringerne i den japanske lov om beskyttelse af personlige oplysninger i 2022 (Reiwa 4 år)

Ændringerne i den japanske lov om beskyttelse af personlige oplysninger i 2022 omhandler følgende seks punkter:

1. Individets rettigheder
2. Virksomheders ansvar
3. Incitamenter for virksomheder til at tage initiativ
4. Udnyttelse af data
5. Straffesanktioner
6. Udenlandske anvendelser og grænseoverskridende overførsler

I denne artikel vil vi forklare punkt 1 og 2.

Relateret artikel: Forklaring af ‘straffesanktioner’ i ændringerne til den japanske lov om beskyttelse af personlige oplysninger i 2022 (Reiwa 4 år)[ja]

Om individuelle rettigheder

Der er blevet foretaget fem ændringer i forhold til individuelle rettigheder.

Udvidelse af individets ret til at anmode om ophør af brug og sletning (Artikel 30 i den japanske persondatalov)

I den nuværende lov er individets ret til at anmode om ophør af brug og sletning begrænset til tilfælde, hvor der er sket en overtrædelse af loven, såsom “når personoplysninger er blevet brugt til andre formål” eller “når de er erhvervet ved ulovlige midler”. Men med den reviderede lov kan man nu også anmode om ophør af brug, sletning og ophør af tredjepartslevering i tilfælde, hvor “der ikke længere er behov for at bruge de personoplysninger, der er i virksomhedens besiddelse”, “hvis der er sket en lækage” eller “hvis der er risiko for, at individets rettigheder eller legitime interesser bliver skadet”.

Metode til offentliggørelse af personoplysninger i virksomhedens besiddelse (Artikel 28 i den japanske persondatalov)

En person kan anmode en virksomhed, der håndterer personoplysninger, om at offentliggøre de personoplysninger, de har i deres besiddelse. Når en sådan anmodning er modtaget, skal virksomheden i princippet offentliggøre de personoplysninger, de har i deres besiddelse. I den nuværende lov blev personoplysninger i virksomhedens besiddelse hovedsageligt offentliggjort i skriftlig form. Men der kan være situationer, hvor det ikke er passende at levere oplysningerne i skriftlig form, især når mængden af information er enorm, og desuden kan der være data, såsom video- og lyddata, der simpelthen ikke er egnet til levering i skriftlig form. Derfor tillader den reviderede lov nu, at en person kan anmode om “offentliggørelse i den form, personen angiver”, såsom levering af elektroniske optegnelser. Virksomheden har pligt til at offentliggøre oplysningerne på den måde, som personen har anmodet om.

Virksomheder, der håndterer personoplysninger, opfordres til hurtigt at etablere systemer, der kan håndtere anmodninger om offentliggørelse af digitale data.

Anmodning om offentliggørelse af tredjepartsleveringsregistre af den pågældende person (Artikel 28, stk. 5 i den japanske persondatalov)

En virksomhed, der håndterer personoplysninger, skal oprette registre, der er fastsat ved lov, når de leverer personoplysninger til en tredjepart, og den person, der modtager tredjepartsleveringen, skal også oprette registre, der er fastsat ved lov. Disse registre over levering af personoplysninger til tredjeparter og registre over bekræftelse af modtagelse af levering af personoplysninger til tredjeparter kaldes samlet “tredjepartsleveringsregistre”.

I den nuværende lov kunne den pågældende person ikke anmode om offentliggørelse af tredjepartsleveringsregistre, der var oprettet af virksomheden, men med den reviderede lov kan den pågældende person nu anmode om offentliggørelse af tredjepartsleveringsregistre, hvilket tager højde for muligheden for sporbarhed af den pågældende person.

Inklusion af korttidsopbevarede data i personoplysninger i virksomhedens besiddelse (Artikel 2, stk. 7 i den japanske persondatalov)

I den nuværende lov er personoplysninger i virksomhedens besiddelse defineret som “personoplysninger, som virksomheden har beføjelse til at offentliggøre, rette indholdet af, tilføje eller slette, stoppe brugen af, slette og stoppe levering til tredjeparter”, “hvor offentliggørelse af eksistensen heraf ville skade offentlig interesse eller andre interesser, som er fastsat ved forordning” eller “som skal slettes inden for en periode fastsat ved forordning inden for et år”, med undtagelse af “en periode fastsat ved forordning inden for et år”, som var fastsat til seks måneder.

Men selvom data skal slettes inden for en kort periode, er der en risiko for, at der kan opstå lækager i perioden indtil sletning. Derfor inkluderer den reviderede lov nu også korttidsopbevarede data, der skal slettes inden for seks måneder, i “personoplysninger i virksomhedens besiddelse”.

Begrænsning af anvendelsesområdet for opt-out-bestemmelser (Artikel 23, stk. 2 i den japanske persondatalov)

Opt-out-bestemmelser er et system, der “på forhånd tillader levering af personoplysninger til en tredjepart uden den pågældende persons samtykke, forudsat at leveringen kan stoppes, hvis den pågældende person anmoder om det, efter at virksomheden har offentliggjort oplysninger om de personoplysninger, der skal leveres”. I den nuværende lov var kun følsomme personoplysninger undtaget.

Med den reviderede lov er omfanget af personoplysninger, der kan leveres til en tredjepart, blevet begrænset, og “personoplysninger, der er erhvervet ulovligt” og “personoplysninger, der er leveret i henhold til opt-out-bestemmelserne” er nu også undtaget.

Forpligtelser, som virksomheder skal overholde

Der er blevet foretaget ændringer i forhold til, hvilke forpligtelser virksomheder skal overholde, som følger:

Pligt til at rapportere lækager mv. (Artikel 22, stk. 2 i den japanske persondatalov)

I den nuværende lov er der ingen juridisk forpligtelse til at rapportere lækager mv., hvilket har resulteret i, at nogle virksomheder ikke har taget proaktiv handling. Hvis en virksomhed ikke offentliggør en hændelse, kan det japanske persondataudvalg (Personal Information Protection Commission) være ude af stand til at blive opmærksom på sagen og reagere passende. Med den reviderede lov er det nu obligatorisk at rapportere og underrette den pågældende person, hvis der opstår en lækage mv., der kan skade personens rettigheder og interesser i høj grad.

De sager, der er omfattet af pligten til at rapportere lækager mv., omfatter “lækage af personlige oplysninger, der kræver særlig opmærksomhed”, “lækage forårsaget af uautoriseret adgang mv.”, “lækage, der kan medføre økonomisk skade”, uanset antallet af sager, og “storskala lækager” der overstiger 1.000 sager.

Forbud mod brug ved hjælp af upassende metoder (Artikel 16, stk. 2 i den japanske persondatalov)

Med den hurtige forbedring af dataanalyseteknologier er der begyndt at dukke former for brug af personlige oplysninger op, der potentielt kan krænke individets rettigheder og interesser, hvilket har øget forbrugernes bekymringer. Som reaktion på dette har den reviderede lov klargjort, at personlige oplysninger ikke må bruges ved hjælp af upassende metoder, der fremmer ulovlige eller uretfærdige handlinger.

“Upassende metoder, der fremmer ulovlige eller uretfærdige handlinger” inkluderer “at give personlige oplysninger til en tredjepart, der udfører ulovlige handlinger” og “at samle og databasere personlige oplysninger, der er offentliggjort spredt via retslige meddelelser mv., og offentliggøre dem på internettet, på trods af at det er fuldt forudsigeligt, at dette kan fremkalde diskrimination”. Det forventes, at ret alvorlige tilfælde vil blive omfattet.

Opsummering

I denne artikel har vi gennemgået ændringspunkterne 1 og 2. Ændringspunkterne 3, 4, 5 og 6 vil blive gennemgået i en separat artikel.

Relateret artikel: Forklaring af ‘straf’ i den reviderede japanske lov om beskyttelse af personlige oplysninger i 2022 (Reiwa 4 år)[ja]

Introduktion til vores tiltag

Monolis Advokatfirma er et advokatfirma med høj ekspertise inden for IT, især internettet og lovgivning. Den nyligt reviderede ‘Japanese Personal Information Law’ (Personoplysninger Lov) har tiltrukket stor opmærksomhed, og behovet for juridisk kontrol stiger mere og mere. Vores firma tilbyder løsninger relateret til intellektuel ejendom. Detaljer er angivet i artiklen nedenfor.

https://monolith.law/practices/corporate[ja]