Relationen mellem den japanske ‘Personlige Informationsbeskyttelseslov’ og krænkelse af privatlivet

Information, der er beskyttet som privatlivets fred, omfatter typiske personoplysninger såsom navn og adresse. For eksempel, i en domstolsafgørelse blev det fastslået, at en universitets handling, hvor de uden studentens samtykke afslørede oplysninger som studienummer, adresse, navn og telefonnummer til politiet efter en studerende deltog i et foredrag arrangeret af universitetet, udgjorde en ulovlig handling, da disse oplysninger er beskyttet under privatlivets fred (Den Japanske Højesterets afgørelse den 12. september 2003).

Med hensyn til retten til privatlivets fred, selvom den ikke er eksplicit defineret i den Japanske Lov om Beskyttelse af Personoplysninger, rejser det spørgsmålet om, hvordan man skal forstå forholdet mellem ulovlige handlinger som krænkelse af privatlivets fred og den Japanske Lov om Beskyttelse af Personoplysninger, når personoplysninger er beskyttet som en del af privatlivets fred.

https://monolith.law/reputation/privacy-invasion[ja]

Forholdet mellem overtrædelser af persondataforordningen og ulovlige handlinger

I forholdet mellem overtrædelser af den japanske persondataforordning og ulovlige handlinger, er den generelle opfattelse kendt som “strenge adskillelse”. Selvom en virksomheds håndtering af personoplysninger formelt kan overtræde persondataforordningen, betyder det ikke nødvendigvis, at der kan gøres et krav om erstatning baseret på ulovlige handlinger, selvom den japanske kommission for beskyttelse af personoplysninger måtte træffe administrative foranstaltninger. Omvendt kan handlinger, som ikke formelt overtræder persondataforordningen, såsom videregivelse af personoplysninger til tredjeparter, i visse tilfælde blive betragtet som en ulovlig handling, der krænker privatlivets fred.

Ved anerkendelse af ulovlig handling som følge af overtrædelse af den japanske lov om beskyttelse af personoplysninger

Efter at have været involveret i en bilulykke modtog en person behandling på et hospital og købte medicin på et apotek drevet af sagsøgte baseret på en recept. Uden sagsøgers samtykke udleverede sagsøgte en detaljeret faktura for behandlingen, som indeholdt oplysninger som sagsøgers fødselsdato, navnet på det medicinske center, hvor behandlingen fandt sted, og navnene på de ordinerede lægemidler, til forsikringsselskabet for bilskadeerstatningsansvar. Sagsøger anlagde sag og krævede erstatning for skader baseret på ulovlig handling.

Domstolen fastslog først, at sagsøgte var et selskab, hvis formål var at drive et apotek og dermed var en personoplysninghåndterende virksomhed ifølge den japanske lov om beskyttelse af personoplysninger. Sagsøgte hævdede, at “det er en almindelig administrativ opgave for et apotek at svare på forespørgsler fra forsikringsselskaber og at levere medicinsk information for at lette betalinger fra forsikringsselskaber til ofre. Derfor skulle sagsøger have givet sit stiltiende samtykke til offentliggørelsen af oplysningerne i den pågældende faktura for behandlingen til forsikringsselskabet.” Domstolen henviste til artikel 23, stk. 1 i den japanske lov om beskyttelse af personoplysninger, som siger, “En personoplysninghåndterende virksomhed må ikke, medmindre det er tilladt ved lov eller andre undtagelser, udlevere persondata til tredjeparter uden forudgående samtykke fra den pågældende person.”

En personoplysninghåndterende virksomhed må ifølge den japanske lov om beskyttelse af personoplysninger, medmindre det er tilladt ved lov eller andre undtagelser, ikke udlevere persondata til tredjeparter uden forudgående samtykke fra den pågældende person (samme lov, artikel 23, stk. 1). Der er ikke tilstrækkeligt bevis for, at sagsøger havde givet sit samtykke til, at sagsøgte udleverede den pågældende faktura for behandlingen, som indeholdt oplysninger om de ordinerede lægemidler, til forsikringsselskabet.
Derfor skal sagsøgtes handlinger anses for at være ulovlige i strid med den japanske lov om beskyttelse af personoplysninger, og det anerkendes, at sagsøgte har en forpligtelse til at betale erstatning for skader baseret på ulovlig handling over for sagsøger.

Tokyo Distriktsdomstol, dom afsagt den 24. januar 2013 (2013)

Det er ikke udtrykkeligt angivet som en “krænkelse af privatlivets fred”, men det kan betragtes som en retspraksis, der anerkender overtrædelse af personoplysninger som en ulovlig handling.

https://monolith.law/corporate/act-on-the-protection-of-personal-information-privacy-issues[ja]

Når overtrædelse af personoplysningsloven ikke udgør en krænkelse af privatlivets fred

I et tilfælde brugte en sagsøger, der lejede en kopimaskine og faxenhed gennem en leasingaftale i sit kontor, retten til at kræve erstatning for fælles ulovlige handlinger fra sagsøgte Credit Saison og Ricoh. Sagsøgeren hævdede, at Credit Saison uden tilladelse havde videregivet sagsøgerens personlige oplysninger om leasingafgifter for kopimaskinen og telefonen til sagsøgte Ricoh, som derefter brugte disse oplysninger til deres fordel.

En Ricoh-sælger ved navn A besøgte kontoret og foreslog deres kopimaskine, da der var utilfredshed med den nuværende maskine. Da A spurgte om leasingafgiften, svarede sagsøgeren, at det var 12.000 yen om måneden. A noterede kontraktnummeret fra en etiket på kopimaskinen for at bekræfte dette og ringede til Credit Saison. Det viste sig, at de 12.000 yen var leasingafgiften for en telefon, som sagsøgeren også lejede fra Credit Saison, og at den månedlige leasingafgift for kopimaskinen faktisk var 14.000 yen.

A brugte denne information til at tilbyde en kopimaskine til en leasingafgift på 12.800 yen om måneden. Da sagsøgeren påpegede, at dette var dyrere end den nuværende aftale, forklarede A, at han havde ringet til Credit Saison og bekræftet, at den månedlige leasingafgift for kopimaskinen var 14.000 yen.
Sagsøgeren blev rasende over, at Credit Saison havde lækket oplysninger om kontrakten til Ricoh, krævede en undskyldning fra begge selskaber og sagsøgte dem for manglende oprigtighed og for at kræve erstatning.

Personoplysningsloven og privatlivets fred

Retten citerede artikel 16, stk. 1 i personoplysningsloven, som siger: “En personoplysningsbehandler må ikke, uden forudgående samtykke fra den registrerede, behandle personoplysninger ud over det nødvendige for at opfylde de formål, der er angivet i den foregående artikel,” og udtalte:

Handlingen, hvorved sagsøgte Credit Saison videregav oplysninger om kopimaskinens leasingaftale i sagsøgerens kontor til sagsøgte Ricoh, er en handling, hvor en personoplysningsbehandler behandler personoplysninger ud over det nødvendige for at opfylde de angivne formål, hvilket er en overtrædelse af personoplysningsloven artikel 16, stk. 1. Ricoh kan anses for at være medskyldig i Credit Saisons ulovlige handling.

Tokyo Distriktsret, 28. oktober 2015 (2015)

Men retten fandt, at sagsøgeren havde givet sit samtykke til offentliggørelsen af oplysningerne om kopimaskinens leasingaftale i forbindelse med en fornyelse af kontrakten, og at dette var nødvendigt for formålet. Med hensyn til oplysningerne om telefonleasen, som også blev videregivet, fandt retten ikke, at der var givet samtykke, men udtalte:

Selvom videregivelsen af oplysninger om den månedlige leasingafgift for telefonen formelt set kan være i strid med personoplysningsloven artikel 16, stk. 1, kan det ikke siges, at dette i sig selv udgør en ulovlig handling.

Samme kilde

Derfor blev sagsøgerens krav afvist. Dette er en retsafgørelse, der viser, at selvom der er tale om en overtrædelse af personoplysningsloven, betyder det ikke nødvendigvis, at det udgør en ulovlig handling som en krænkelse af privatlivets fred.

Når overtrædelse af personoplysninger ikke finder sted, men privatlivets fred krænkes

Der har været en sag, hvor en sagsøger bad en internetudbyder om at afsløre oplysninger om en person, der havde skrevet sagsøgerens mobiltelefonnummer på et anonymt internetforum, hvilket krænkede sagsøgerens ret til privatliv.

På Bakusai.com’s “Kanto-udgave” i kategorien “〇〇 By Small Talk” blev sagsøgerens mobiltelefonnummer gentaget seks gange, og sagsøgeren anmodede om afsløring af oplysningerne med henblik på at indlede en erstatningssag for krænkelse af privatlivets fred. Internetudbyderen afviste at afsløre oplysningerne med begrundelsen, at “det pågældende indlæg ikke klart angiver, at tallene er sagsøgerens mobiltelefonnummer, og en almindelig læser ville ikke let kunne genkende det som sådan,” og “et mobiltelefonnummer falder ikke ind under definitionen af personoplysninger i henhold til artikel 2, afsnit 1 i den Japanske Lov om Beskyttelse af Personoplysninger, så det kan ikke klart siges, at der er tale om en krænkelse af privatlivets fred.”

Mobiltelefonnumre og personoplysninger

Retten bemærkede, at der var foretaget en betydelig mængde indlæg, der bagtalte og fornærmede sagsøgeren med udsagn som “Alle hader åbenbart Kouyama”, “Kouyama er det værste nogensinde, jeg hader ham”, “Fræk Kouyama DQN”, “Et firma hvor alt er tilladt… magtmisbrug, seksuel chikane, det er hverdagskost, og Kouyama er hund for Bulldog-chan”, “På trods af at være dum, prøver at virke klog… dum kvinde”, hvor sagsøgerens fulde navn delvist blev afsløret sammen med arbejdspladsen,

og det pågældende indlæg begyndte med tallene “090”, adskilt af et langt bindestregslignende tegn efter det fjerde ciffer, og der var kommentarer, der antydede, at tallene tilhørte en kvinde. Efterfølgende indlæg viste, at læserne forstod, at tallene var et mobiltelefonnummer. Derfor kunne det antages, at en almindelig læser ville opfatte det pågældende indlæg som indeholdende en kvindes mobiltelefonnummer.

Tokyo Distriktsret, 6. november 2015 (2015)

Retten konkluderede, at “på grund af det pågældende indlæg kunne sagsøgerens mobiltelefon modtage bagvaskende og chikanerende opkald eller blive misbrugt på anden vis, hvilket uundgåeligt kunne forstyrre sagsøgerens sociale liv” og beordrede derfor afsløring af afsenderens oplysninger.

Med hensyn til loven om beskyttelse af personoplysninger,

loven benægter ikke, at interesser, der ikke er defineret som personoplysninger i henhold til artikel 2, afsnit 1, men som vedrører privatlivet, er juridisk beskyttede interesser, og derfor kan sagsøgtes argument ikke accepteres.

Samme kilde

Retten anerkendte sagsøgerens påstand om, at det pågældende indlæg krænkede sagsøgerens ret til privatliv. Selvom et mobiltelefonnummer i sig selv ikke betragtes som personoplysninger, er der retspraksis, der beskytter det som en del af privatlivet.

https://monolith.law/reputation/provider-liability-limitation-law[ja]

Hvis overtrædelse af personoplysningsloven og krænkelse af privatlivet anerkendes

I en anden artikel fra vores kontor introducerede vi et tilfælde, hvor en sygeplejerske ansat på et hospital blev diagnosticeret HIV-positiv efter en blodprøve på et universitetshospital. En deltidsansat læge på universitetshospitalet informerede uden sygeplejerskens samtykke læger og personale på sygeplejerskens arbejdsplads, som derefter delte informationen med andre ansatte. Dette blev betragtet som en ulovlig handling og en krænkelse af privatlivet, og sygeplejersken søgte erstatning.

https://monolith.law/reputation/disease-information-and-privacy-infringement[ja]

Retten fastslog, at ifølge artikel 23, afsnit 1 i personoplysningsloven “må en personoplysningshåndterende virksomhed ikke uden forudgående samtykke fra den pågældende person videregive persondata til tredjepart”, undtagen i visse tilfælde. I dette tilfælde blev informationen delt inden for hospitalet fra den deltidsansatte læge til andre læger, sygeplejersker og en administrativ leder, hvilket skulle betragtes som intern informationsdeling inden for samme virksomhed og derfor ikke som videregivelse til tredjepart.

På den anden side, med hensyn til artikel 16, afsnit 1:

En personoplysningshåndterende virksomhed skal, når den håndterer personoplysninger, så vidt muligt specificere formålet med brugen (artikel 15, afsnit 1) og må ikke uden forudgående samtykke fra den pågældende person håndtere personoplysninger ud over det omfang, der er nødvendigt for at opnå det specificerede formål (artikel 16, afsnit 1).
Desuden, ifølge sagsøgtes personoplysningsbeskyttelsesregler, skal brugen af personoplysninger som hovedregel ske inden for rammerne af indsamlingens formål og kun i det omfang, det er nødvendigt for at udføre arbejdet (artikel 9, afsnit 1). Personoplysninger må også bruges til formål, der normalt forventes i forbindelse med arbejdet (se bilag) og til formål, der er angivet som uden for det normale arbejde (artikel 10), og hvis personoplysninger bruges ud over indsamlingens formål, kræves der anmeldelse til personoplysningsansvarlig og samtykke fra patienten eller patientens repræsentant (artikel 11, afsnit 1). Yderligere, ifølge disse regler, er formålet med at indhente personoplysninger fra patienter, brugere og interessenter at bruge disse oplysninger til at levere medicinsk og plejebehandling, administrere medicinsk forsikring, håndtere ind- og udskrivninger og andre afdelingsadministrative opgaver, samt til nødvendige sager i forbindelse med uddannelse og forskning (artikel 7, punkt 1).

Fukuoka District Court Kurume Branch, dom afsagt den 8. august 2014 (Heisei 26)

Retten konkluderede, at sygeplejerskelederens videregivelse af informationen til afdelingssygeplejersken og den administrative leder var med det formål at diskutere politikker relateret til sagsøgerens arbejde for at forhindre hospitalsinfektioner.

Ulovlig brug af personlige oplysninger

På den ene side har retten udtalt,

“De pågældende oplysninger blev indhentet fra sagsøgeren, fordi vedkommende som patient besøgte det pågældende hospital, og ikke med henblik på ansættelsesstyring eller forretningsdrift. Derfor bør brugen af disse oplysninger begrænses til levering af medicinsk behandling og pleje til patienter mv., som nævnt i bestemmelsen. Forsvarets argument om, at personlige oplysninger kan bruges uanset hvordan de er indhentet, hvis de er offentliggjort til dette formål, kan føre til brug af personlige oplysninger til formål, som den registrerede ikke har forudset, og er derfor upassende.”

Ibid.

Domstolen fastslog, at dette udgør en ulovlig brug af oplysninger, som er forbudt under artikel 16, afsnit 1, og samtidig blev det anerkendt, at der på det tidspunkt, hvor oplysningerne blev delt, stadig eksisterede fordomme og diskrimination over for HIV-smittede. Oplysninger om at være smittet med HIV kan betragtes som personlige oplysninger, som man ikke ønsker skal være kendt af andre. Derfor blev det fastslået, at behandlingen af de pågældende oplysninger uden samtykke fra den registrerede og i strid med loven udgør en krænkelse af privatlivets fred og en ulovlig handling.

Desuden hævdede forsvaret, at “den pågældende manual kræver, at oplysninger deles med et strengt begrænset antal personer for at sikre streng informationskontrol, og i dette tilfælde blev oplysningerne kun delt med seks personer.” Men i dommen blev det fastslået, at “selvom antallet af personer, der deler oplysningerne, kan påvirke graden af ulovlighed, bør enhver brug af sådanne personlige oplysninger uden for det tilsigtede formål betragtes som en krænkelse af privatlivets fred og derfor ulovlig, selv hvis det kun er over for én person.” Dette kan betragtes som en korrekt forståelse af loven om beskyttelse af personlige oplysninger.

Opsummering

For virksomheder, der håndterer personoplysninger, omfatter begrebet “forretning” ikke kun virksomheder og butikker med et profitmål, men også ikke-profitvirksomheder som hospitaler, skoler, frivillige organisationer og miljøbeskyttelse. Den japanske lov om beskyttelse af personoplysninger (Personal Information Protection Law) gælder for enhver, der gentagne gange udfører en form for forretning og indsamler personoplysninger i den forbindelse. Det er vigtigt at forstå den japanske lov om beskyttelse af personoplysninger korrekt. Hvis du står over for et potentielt problem med krænkelse af personoplysninger eller privatlivets fred, kan det være en god idé at konsultere en erfaren advokat for at få rådgivning.