Er det lovligt at købe kundeinformation? En forklaring på den japanske 'Personlige Informationsbeskyttelseslov'

Den 30. maj 2017 (Heisei 29) blev “Den reviderede lov om beskyttelse af personlige oplysninger” (Den japanske lov om beskyttelse af personlige oplysninger) fuldt implementeret, og alle virksomheder, der håndterer personlige oplysninger, er nu underlagt denne lov som “operatører, der håndterer personlige oplysninger”.

Dette gælder også for virksomheder, der har erhvervet personlige oplysninger gennem køb af lister, så enhver, der overvejer at købe kundeoplysninger, skal være bekendt med procedurer, forpligtelser og forbud i forbindelse med køb og brug af personlige oplysninger.

I denne artikel vil vi derfor give en detaljeret forklaring på bestemmelserne og forholdsreglerne i loven om beskyttelse af personlige oplysninger, fra køb til brug af kundeoplysninger.

Hvad er loven om beskyttelse af personlige oplysninger?

Den officielle titel på loven om beskyttelse af personlige oplysninger er “Loven om beskyttelse af personlige oplysninger” (Japansk: 個人情報の保護に関する法律). Den blev vedtaget i 2003 (Heisei 15) og er siden blevet revideret flere gange for at tilpasse sig ændringer i tiden, såsom digitaliseringen af information.

Denne lov har ikke til formål at begrænse brugen af personlige oplysninger, men snarere at “beskytte” og “korrekt udnytte” dem, som det fremgår nedenfor.

Formålet med loven om beskyttelse af personlige oplysninger

• At beskytte individets rettigheder og interesser, samt at fastlægge regler for korrekt brug af personlige oplysninger
• At fastlægge forpligtelser og straffe for virksomheder, der håndterer personlige oplysninger

Definitionen af personlige oplysninger

Personlige oplysninger, som defineret i loven om beskyttelse af personlige oplysninger, er oplysninger om en levende person, der falder ind under en af følgende kategorier:

1. Oplysninger, der kan identificere en bestemt person, såsom navn, fødselsdato og andre beskrivelser, der er indeholdt i oplysningerne
2. Oplysninger, der indeholder en personlig identifikationskode

Hvad er en personlig identifikationskode?

En personlig identifikationskode er en karakter, et nummer, et symbol eller en anden kode, der kan identificere en bestemt person, og som falder ind under en af følgende kategorier, og som er specifikt angivet i en forordning eller regel:

• Koder, der er konverteret til computerbrug baseret på kendetegn ved en del af kroppen (DNA, ansigt, iris, stemmeaftryk, gangart, fingerårer, fingeraftryk, håndfladeaftryk osv.)
• Koder, der er tildelt til hver enkelt person i forbindelse med brug af tjenester eller dokumenter (pasnummer, grundpensionsnummer, kørekortnummer, beboerregistreringskode, mit nummer, forskellige forsikringskort osv.)

Hvis du ønsker at vide mere om loven om beskyttelse af personlige oplysninger, kan du læse mere i detaljer nedenfor sammen med denne artikel.

Relateret artikel: Hvad er loven om beskyttelse af personlige oplysninger og personlige oplysninger? En advokat forklarer [ja]

Er køb og salg af kundeinformationer lovligt?

Generelle virksomheder, undtagen statslige institutioner og offentlige organisationer, er det ikke ulovligt at købe og sælge kundeinformationer, så længe de overholder den japanske lov om beskyttelse af personlige oplysninger (Personoplysningsloven).

Procedure ved levering af personlige oplysninger til tredjepart

Når en virksomhed leverer en database med personlige oplysninger til en tredjepart, er følgende procedurer påkrævet.

Princippet om at opnå samtykke på forhånd

Der er dog undtagelser i følgende tilfælde:

① Hvis det er baseret på lovgivning
② Hvis det er svært at få samtykke, og det er nødvendigt for at beskytte en persons liv, krop, ejendom, eller for at fremme offentlig sundhed og sund opvækst af børn
③ Hvis det er for at samarbejde med staten eller lokale offentlige organer

Levering til tredjepart gennem opt-out-procedure

Hvis en virksomhed har en politik om at stoppe levering af personlige oplysninger til en tredjepart (opt-out) på anmodning af den pågældende person, kan oplysningerne leveres til en tredjepart uden samtykke gennem følgende procedure.

De følgende punkter ① til ⑤ skal meddeles til den pågældende person på forhånd, eller de skal være let tilgængelige på en webside, og de skal indberettes til den japanske Kommission for Beskyttelse af Personlige Oplysninger.

① At levering til en tredjepart er formålet med brugen.
② De personlige dataelementer, der leveres til en tredjepart
③ Metoden til levering til en tredjepart
④ At stoppe levering af personlige data til en tredjepart på anmodning af den pågældende person.
⑤ Metoden til at modtage anmodninger fra den pågældende person

Det skal bemærkes, at for “sensitive personlige oplysninger”, som kan føre til urimelig diskrimination eller fordomme, hvis de bliver kendt af andre, såsom race, tro, social status, medicinsk historie, og kriminel historie, er princippet om levering til en tredjepart kun med forudgående samtykke fra den pågældende person.

Det du skal overholde, når du køber kundeinformation

Forpligtelser fastsat ved lov

Når du køber kundeinformation, bliver du også en “personoplysningshåndteringsvirksomhed”, og der er derfor pålagt følgende forpligtelser ved lov, når du modtager personoplysninger fra tredjeparter som listebureauer.

Når du køber kundeinformation, skal du bekræfte følgende to punkter:

• Listebureauets navn, adresse, repræsentant
• Historikken bag listebureauets indsamling af personoplysninger

Når du køber kundeinformation, skal du registrere følgende punkter og opbevare dem i 3 år:

• Datoen for modtagelse af personoplysningerne
• Listebureauets navn, adresse, repræsentant
• Historikken bag listebureauets indsamling af personoplysninger
• Navnet og andre oplysninger, der er tilstrækkelige til at identificere den person, der identificeres af de pågældende personoplysninger
• Elementerne i de pågældende personoplysninger
• Hvis der er tale om tredjepartsudlevering via opt-out-proceduren, er de nødvendige oplysninger offentliggjort af det japanske persondataudvalg (個人情報保護委員会).

※ Du kan tjekke opt-out-procedurens anmeldelse på det japanske persondataudvalgs hjemmeside [ja].

Bekræftelse vedrørende indsamling af kundeinformation

Når du køber kundeinformation, skal du også bekræfte listebureauets metoder til indsamling af information. Selv hvis du lovligt køber kundeinformation, hvis metoden til indsamling af kundeinformation er ulovlig, kan du blive udsat for erstatningskrav.

Det er selvfølgelig ulovligt for listebureauer og lignende at indsamle kundeinformation ved hjælp af falske eller uretmæssige metoder, men der er også følgende forpligtelser ved indsamling, så sørg for at bekræfte dem før køb:

• Er formålet med brugen specifikt identificeret?
• Er det specifikke formål med brugen offentliggjort eller meddelt til personen?
• Hvis de indsamlede personoplysninger bruges til et andet formål, er personens samtykke opnået?
• Når du modtager personoplysninger fra en tredjepart, har du ud over udbyderens navn og adresse bekræftet historikken bag indsamlingen af personoplysninger, registreret modtagelsesdatoen, bekræftelsespunkterne osv., og opbevaret dem i 3 år?
• Indeholder det “personoplysninger, der kræver særlig hensyntagen”, hvor personens samtykke er absolut nødvendigt?

Hvis du vil vide mere om lækage af personoplysninger og erstatning for skader, kan du læse mere i nedenstående artikel sammen med denne artikel.

Relateret artikel: Risikoen for lækage af personoplysninger i virksomheder og erstatning for skader [ja]

Regler for brug af kundeinformation

Undgå at overskride det aftalte formål

Det er forbudt ved lov for virksomheder som f.eks. listebrokers at bruge kundeinformation ud over det formål, som kunden har givet samtykke til. Hvis du ønsker at bruge informationen til et andet formål, skal du indhente kundens samtykke igen.

Når du bruger det til salgsopkald

Når du foretager “telefonsalg”, hvor du ringer op og forsøger at få kunden til at købe et produkt eller indgå en salgsaftale, er der visse regler fastsat i den japanske “Specifik Handelslov”.

Før du forsøger at sælge, skal du altid informere forbrugeren om følgende:

• Firmanavn
• Navnet på den person, der foretager salget
• Type af produkt (rettigheder, tjenester) du forsøger at sælge
• At formålet er at indgå en kontrakt

Forbudte handlinger

• At forsøge at sælge igen til en person, der allerede har afvist tilbuddet
• At give en forklaring, der er forskellig fra virkeligheden
• Bevidst at undlade at give korrekt information
• At intimidere eller forvirre modparten

Når du bruger det til e-mail distribution

Hvis du sender e-mails til reklame- eller markedsføringsformål, er det ifølge den japanske “Specifik Elektronisk Mail Lov” generelt forbudt at sende til nogen anden end dem, der ① har udtrykt et ønske om at modtage specifikke e-mails, eller ② har givet samtykke til at modtage dem.

Selvom en listebroker har opnået ovenstående ① og ② notifikationer, kan det være svært for køberen af listen at bruge e-mails, da de skal indhente ① og ② notifikationer igen.

Forpligtelse til sikkerhedsforanstaltninger

Når du indsamler kundeinformation, bliver du som en virksomhed, der håndterer personlige oplysninger, pålagt at træffe de nødvendige foranstaltninger for at forhindre lækage, tab eller beskadigelse af personlige oplysninger.

Desuden skal du udføre nødvendig og passende tilsyn med de medarbejdere, der faktisk håndterer personlige oplysninger, for at sikre sikker håndtering af disse oplysninger.

Opsummering

I denne omgang har vi forklaret forholdet mellem køb af kundeinformation og den japanske lov om beskyttelse af personlige oplysninger (‘Japansk Lov om Beskyttelse af Personlige Oplysninger’) i fire dele:

1. Hvad er den japanske lov om beskyttelse af personlige oplysninger?
2. Er det lovligt at købe og sælge kundeinformation?
3. Hvad man skal overholde, når man køber kundeinformation
4. Hvad man skal overholde, når man bruger kundeinformation

Men når man handler med forbrugere i udlandet via internettet, skal man ikke kun tjekke den indenlandske lovgivning, men også lovgivningen i de respektive lande.

Derfor, hvis du overvejer at købe eller bruge kundeinformation, anbefaler vi, at du ikke træffer beslutningen alene, men konsulterer en advokat med omfattende viden og erfaring på forhånd og får rådgivning.

Introduktion til vores tiltag

Monolis Advokatfirma er et advokatfirma med høj ekspertise inden for IT, især internettet og lovgivning. I de senere år har den japanske “Personlige Informationsbeskyttelseslov” fået øget opmærksomhed, og behovet for juridisk kontrol er stigende. Detaljer er beskrevet i artiklen nedenfor.