Forklaring af 'straf' i den reviderede 'Japanske Lov om Beskyttelse af Personlige Oplysninger' i Reiwa 4 år (2022)

Den reviderede lov om beskyttelse af personlige oplysninger trådte i kraft i april 2022 (Gregoriansk kalenderår). Efter vores forklaring på de vigtige punkter i forbindelse med “virksomheders ansvar” i den reviderede lov om beskyttelse af personlige oplysninger fra 2022, vil vi i denne omgang forklare om anvendelsen af data og sanktioner.

Oversigt over ændringerne i den japanske lov om beskyttelse af personlige oplysninger (Reiwa 4 (2022))

Ændringerne i den japanske lov om beskyttelse af personlige oplysninger i 2022 omhandler følgende seks punkter:

1. Individets rettigheder
2. Virksomheders ansvar
3. Incitamenter for virksomheder til at tage initiativ
4. Dataudnyttelse
5. Straffe
6. Udenlandske anvendelser og grænseoverskridende overførsler

I “Forklaring af vigtige punkter i den japanske lov om beskyttelse af personlige oplysninger i 2022 – ‘Virksomheders ansvar’ [ja]“, har vi forklaret punkterne (1) og (2). Her vil vi forklare punkterne (3), (4), (5) og (6).

Relaterede artikler: Hvad er den japanske lov om beskyttelse af personlige oplysninger og personlige oplysninger? En advokat forklarer [ja]

Om mekanismer der fremmer selvinitierede tiltag fra virksomheder

Med hensyn til mekanismer, der fremmer selvinitierede tiltag fra virksomheder, er det blevet stadig vigtigere, at private organisationer udarbejder selvstændige regler for håndtering af persondata i specifikke områder og aktivt giver vejledning til de relevante virksomheder, i takt med diversificeringen af forretningspraksis og fremskridt inden for IT-teknologi.

I den japanske lov om beskyttelse af personlige oplysninger (Japanese Personal Information Protection Law), ud over Personlige Oplysningsbeskyttelseskommissionen (Japanese Personal Information Protection Commission), er der også gjort brug af private organisationer for at sikre beskyttelse af information, og der er etableret et system for certificerede organisationer. Organisationer, der håndterer klager over håndtering af personlige oplysninger og leverer information om korrekt håndtering af personlige oplysninger til virksomheder, kan modtage godkendelse fra Personlige Oplysningsbeskyttelseskommissionen og blive en “Certificeret Personlig Informationsbeskyttelsesorganisation”. I den reviderede lov er det nu muligt at godkende organisationer, der fokuserer på specifikke områder (afdelinger) af virksomheder, som certificerede organisationer (Artikel 47, afsnit 2). Dette er et tiltag for at fremme brugen af certificerede organisationer på virksomhedsniveau og fremme beskyttelsen af personlige oplysninger ved hjælp af specialiserede organisationer, der fokuserer på specifikke forretningsområder.

Brugen af data

Der er blevet foretaget ændringer i forhold til brugen af data på følgende to punkter.

Oprettelse af ‘pseudonymiserede oplysninger’ og lempelse af forpligtelser (Artikel 2, afsnit 9)

I den nuværende lov er information, der simpelthen er pseudonymiseret, stadig betragtet som ‘personlige oplysninger’, og virksomheder er forpligtet til at håndtere forskellige forpligtelser i forbindelse med håndtering af personlige oplysninger. Imidlertid er der en stigende efterspørgsel på at udnytte disse ‘pseudonymiserede personlige oplysninger’ ved at sikre en vis grad af sikkerhed, samtidig med at dataenes anvendelighed opretholdes på samme niveau som før pseudonymiseringen, hvilket gør det muligt at udføre mere detaljerede analyser med relativt enkle metoder sammenlignet med anonymiserede oplysninger.

I lyset af dette har den reviderede lov oprettet ‘pseudonymiserede oplysninger’, hvor navne og lignende er fjernet, og forpligtelserne til at reagere på anmodninger om offentliggørelse og ophør af brug er blevet lempet under betingelser som begrænsning til intern analyse.

De oprettede pseudonymiserede oplysninger refererer til ‘oplysninger om enkeltpersoner, der er opnået ved at behandle personlige oplysninger, således at en bestemt person ikke kan identificeres, medmindre de sammenlignes med andre oplysninger’. For eksempel er det at ændre ‘navn, alder, dato, tid, beløb, butik’ til ‘pseudo-ID, alder, dato, tid, beløb, butik’. Forventede anvendelseseksempler inkluderer ‘intern analyse for nye formål, der er svære at afgøre, om de falder ind under det oprindelige formål’ (såsom forskning i medicinsk og farmaceutisk sektor, detektering af svig, salgsprognoser, osv., ved hjælp af maskinlæringsmodeller), og ‘opbevaring af personlige oplysninger, der har opfyldt deres formål, som pseudonymiserede oplysninger, da der er en mulighed for at de kan blive brugt til statistisk analyse i fremtiden’.

Med hensyn til metoden til at oprette pseudonymiserede oplysninger, er det minimumskrav, der kræves, at:

• Alle eller dele af beskrivelser, der kan identificere en bestemt person (f.eks. navne), fjernes (inklusive erstatning).
• Alle personidentifikationskoder fjernes.
• Beskrivelser, der kan forårsage økonomisk skade, hvis de misbruges (f.eks. kreditkortnumre), fjernes.

Disse foranstaltninger er nødvendige.

Forpligtelse til at bekræfte information, der forventes at blive personlige data hos modtageren (Artikel 26, afsnit to)

I den nuværende lov er information, der ikke er personlige data hos udbyderen, ikke underlagt regulering, selvom det forventes at blive personlige data hos modtageren. I den reviderede lov er det imidlertid blevet obligatorisk at bekræfte, at samtykke er opnået fra den pågældende person, osv., når der leveres information til tredjeparter, der ikke er personlige data hos udbyderen, men forventes at blive personlige data hos modtageren.

Teknologien til at samle store mængder brugerdata og øjeblikkeligt kombinere dem til personlige data er blevet udviklet og udbredt. Dette har ført til en stigning i ordninger, der omgår formålet med loven om beskyttelse af personlige oplysninger ved at levere ikke-personlige oplysninger til tredjeparter, selvom det er kendt på forhånd, at de vil blive personlige data hos modtageren. Dette skyldes bekymringen for, at metoder til indsamling af personlige oplysninger uden involvering af den pågældende person vil blive mere udbredte.

Om straf

Der er blevet foretaget to ændringer i forhold til straf.

Forhøjelse af strafferammen for overtrædelse af ordrer fra kommissionen og falske rapporter til kommissionen (Artikel 83, Artikel 87, osv.)

Med en stigning i antallet af sager, der overtræder loven, er der også en stigning i antallet af sager, hvor rapporter indsamles og inspektioner foretages. For at forbedre effektiviteten af disse rapportindsamlinger og inspektioner, som er begyndelsen til at forstå virksomhedernes faktiske situation, er strafferammen blevet forhøjet i den reviderede lov.

Overtrædelse af ordrer fra den ‘Japanske Persondata Beskyttelses Kommission’ af gerningsmanden var under den nuværende lov strafbar med fængsel i op til 6 måneder eller en bøde på op til 300.000 yen, men under den reviderede lov er det strafbar med fængsel i op til 1 år eller en bøde på op til 1 million yen. ‘Ulovlig levering af persondata databaser, osv.’ forbliver strafbar med fængsel i op til 1 år eller en bøde på op til 500.000 yen, men ‘falske rapporter til den Japanske Persondata Beskyttelses Kommission’ er steget fra en bøde på op til 300.000 yen under den nuværende lov til en bøde på op til 500.000 yen under den reviderede lov.

Forhøjelse af bødestraffen for juridiske personer (Artikel 84, Artikel 85, osv.)

Under den nuværende lov var bøden for juridiske personer den samme som for gerningsmanden, men under den reviderede lov er bøden for overtrædelse af ordrer, osv. forhøjet for juridiske personer (højere straf for juridiske personer), idet man tager højde for forskellen i økonomisk kapacitet mellem juridiske personer og enkeltpersoner. Selv hvis en juridisk person blev pålagt en bøde på samme beløb som gerningsmanden, ville det ikke være tilstrækkeligt afskrækkende som en straf.

For juridiske personer, der overtræder ordrer fra den ‘Japanske Persondata Beskyttelses Kommission’, var bøden under den nuværende lov den samme som for gerningsmanden, op til 300.000 yen, men under den reviderede lov er det op til 100 millioner yen. ‘Ulovlig levering af persondata databaser, osv.’ var under den nuværende lov strafbar med en bøde på op til 500.000 yen, det samme som for gerningsmanden, men under den reviderede lov er det op til 100 millioner yen. Dog er ‘falske rapporter til den Japanske Persondata Beskyttelses Kommission’ stadig strafbar med en bøde på op til 500.000 yen, det samme som for gerningsmanden, under den reviderede lov.

Anvendelse af loven uden for landets grænser og grænseoverskridende overførsler

Der er blevet foretaget ændringer i forhold til anvendelse af loven uden for landets grænser og grænseoverskridende overførsler på følgende to punkter.

Styrkelse af anvendelse uden for landets grænser (Artikel 75 i den japanske lov)

I den nuværende lov er de beføjelser, der kan udøves over for udenlandske operatører, der er omfattet af anvendelsen uden for landets grænser, begrænset til beføjelser, der ikke indebærer tvang, såsom vejledning og rådgivning samt anbefalinger. Men der er en risiko for, at kommissionen ikke vil være i stand til at håndtere tilfælde af lækager osv. i udlandet på en passende måde. Derfor har den reviderede lov gjort udenlandske operatører, der håndterer personlige oplysninger osv. i forbindelse med levering af varer eller lægemidler i Japan, til mål for rapportinddragelse og ordrer sikret ved sanktioner, og styrket udøvelsen af Kommissionen for Beskyttelse af Personlige Oplysninger’s beføjelser.

Forbedring af information til den enkelte om håndtering af personlige oplysninger hos den virksomhed, hvor overførslen finder sted (Artikel 78 i den japanske lov)

I nogle lande er der begyndt at opstå statslig regulering, og som mulighederne for grænseoverskridende overførsel af personlige oplysninger øges, skaber forskelle i systemer i forskellige lande og regioner usikkerhed om forudsigelighed for individer og operatører, der håndterer data, og der opstår bekymringer fra et synspunkt om beskyttelse af individets rettigheder og interesser.

I forhold til dette er det blevet besluttet at kræve en forbedring af informationen til den enkelte om håndtering af personlige oplysninger hos den virksomhed, hvor overførslen finder sted, når personlige data leveres til en tredjepart i udlandet. Som en betingelse for at kunne levere personlige data til en tredjepart i udlandet, er det nu blevet pålagt at “informere den enkelte om navnet på det land, hvor overførslen finder sted, og om der er et system til beskyttelse af personlige oplysninger i det pågældende land osv. ved indhentning af samtykke” og “at sikre et system, der overholder standarderne” er blevet pålagt at “regelmæssigt kontrollere håndteringen hos den virksomhed, hvor overførslen finder sted, og levere relaterede oplysninger efter anmodning fra den enkelte”.

Opsummering

Ændringen af den japanske lov om beskyttelse af personlige oplysninger i 2022, som er den første lovgivningsændring baseret på “bestemmelsen om revision hvert tredje år”, omfattede udvidelse af ophør og sletning af brug, forbud mod upassende brug, forbedring af informationsforsyning relateret til grænseoverskridende overførsler, og oprettelse af “pseudonymiserede oplysninger”. Dette har ført til styrkelse af beskyttelsen og anvendelsen af individuelle rettigheder og interesser, håndtering af nye risici forbundet med stigningen i grænseoverskridende datastrømme, og tilpasning til AI- og big data-tidsalderen.

Introduktion til vores kontors tiltag

Monolis Advokatfirma er et advokatfirma med høj ekspertise inden for IT, især internettet og lovgivning. Den nyligt reviderede ‘Japanese Personal Information Law’ (Personoplysninglov) har tiltrukket stor opmærksomhed, og behovet for juridisk kontrol stiger stadig. Vores kontor tilbyder løsninger relateret til intellektuel ejendom. Detaljer er angivet i artiklen nedenfor.