Τι είναι το GDPR; Σύγκριση με τον Ιαπωνικό Νόμο Προστασίας Προσωπικών Δεδομένων και Σημεία που πρέπει να Λάβουν υπόψη οι Ιαπωνικές Επιχειρήσεις

Κατά την ανάπτυξη επιχειρήσεων στην επικράτεια της ΕΕ, είναι απαραίτητο να έχετε εκτενείς γνώσεις σχετικά με τον Γενικό Κανονισμό Προστασίας Δεδομένων (GDPR). Ο GDPR μπορεί να εφαρμοστεί και σε Ιαπωνικές εταιρείες που δεν διαθέτουν φυσική παρουσία εντός της ΕΕ. Αποκτήστε βασικές γνώσεις για τον GDPR και τον Ιαπωνικό Νόμο Προστασίας Προσωπικών Δεδομένων και διασφαλίστε την κατάλληλη διαχείριση δεδομένων.

Σε αυτό το άρθρο, θα εξηγήσουμε τον GDPR σε σύγκριση με τον Ιαπωνικό Νόμο Προστασίας Προσωπικών Δεδομένων και θα αναφέρουμε τα σημεία που πρέπει να λάβουν υπόψη τους οι Ιαπωνικές επιχειρήσεις. Εάν είστε υπεύθυνος νομικών θεμάτων και σκέφτεστε να αναθεωρήσετε τους κανονισμούς προστασίας δεδομένων ή να μάθετε ποιες νομικές διατάξεις πρέπει να λάβετε υπόψη για την επέκταση της επιχείρησής σας στην ΕΕ, αυτό το άρθρο είναι ιδανικό για εσάς.

Τι είναι το GDPR (Γενικός Κανονισμός Προστασίας Δεδομένων της ΕΕ)

Το “GDPR (General Data Protection Regulation)” ή στα Ελληνικά “Γενικός Κανονισμός Προστασίας Δεδομένων”, είναι ένας κανονισμός που έχει θεσπίσει η Ευρωπαϊκή Ένωση (EU) και αφορά τη διαχείριση προσωπικών δεδομένων (προστασία προσωπικών πληροφοριών).

Θέτει αυστηρά πρότυπα για την επεξεργασία προσωπικών δεδομένων εντός της EU και στοχεύει στην ενίσχυση της προστασίας της ιδιωτικότητας των ατόμων.

Παρέχει κατευθυντήριες γραμμές σχετικά με το πώς οι επιχειρήσεις και οι οργανισμοί πρέπει να διαχειρίζονται τα δεδομένα και πώς τα άτομα μπορούν να προστατεύουν τις πληροφορίες τους από την άποψη της προστασίας των προσωπικών δεδομένων.

Αναφορά: Επιτροπή Προστασίας Προσωπικών Δεδομένων | “Προσωρινή Μετάφραση στα Ιαπωνικά του Γενικού Κανονισμού Προστασίας Δεδομένων (GDPR)“

Οι βασικές αρχές του GDPR είναι οι εξής:

• Νομιμότητα, δικαιοσύνη και διαφάνεια
• Περιορισμός σκοπού
• Ελαχιστοποίηση δεδομένων
• Ακρίβεια
• Περιορισμός αποθήκευσης
• Ολοκληρότητα και εμπιστευτικότητα

Για κάθε μία από τις βασικές αρχές, θα παρέχουμε εξηγήσεις παρακάτω.

Νομιμότητα, Δικαιοσύνη & Διαφάνεια

Στις βασικές αρχές του GDPR, η νομιμότητα, η δικαιοσύνη και η διαφάνεια κατέχουν πρωτεύοντα ρόλο.

Όταν οι επιχειρήσεις συλλέγουν και επεξεργάζονται προσωπικά δεδομένα, πρέπει να βασίζονται σε νομικά έγκυρες βάσεις και να ενημερώνουν τους ενδιαφερόμενους με σαφήνεια για το πώς γίνεται αυτή η επεξεργασία.

Επιπλέον, οι επιχειρήσεις πρέπει να παρέχουν σαφείς πληροφορίες σχετικά με την ιδιωτικότητα και να διασφαλίζουν τη διαφάνεια, ώστε οι ενδιαφερόμενοι να κατανοούν και να ελέγχουν πώς χειρίζονται τα δεδομένα τους.

Περιορισμός Σκοπού Χρήσης

Ο περιορισμός σκοπού χρήσης σημαίνει ότι η συλλογή και επεξεργασία δεδομένων πρέπει να γίνεται για έναν συγκεκριμένο και σαφή σκοπό.

Οι επιχειρήσεις που αποκτούν προσωπικά δεδομένα πρέπει να παρουσιάζουν τον σκοπό αυτόν με ακρίβεια και συγκεκριμένα στα μέρη που αφορούν, και να λαμβάνουν σαφή συγκατάθεση. Επιπλέον, απαιτείται από τις επιχειρήσεις να περιορίζουν τη χρήση των συλλεγμένων δεδομένων μόνο για τους σκοπούς για τους οποίους έχουν λάβει τη συγκατάθεση του υποκειμένου των δεδομένων και να τα διαχειρίζονται με αυστηρότητα.

Ελαχιστοποίηση Προσωπικών Δεδομένων

Η συλλογή προσωπικών δεδομένων πρέπει να περιορίζεται (να ελαχιστοποιείται) στο εύρος που είναι απαραίτητο για την επίτευξη του σκοπού. Συλλέγουμε προσωπικά δεδομένα μόνο στο βαθμό που είναι κατάλληλα για τον ζητούμενο σκοπό και αποφεύγουμε τη συλλογή περιττών προσωπικών πληροφοριών.

Με αυτόν τον τρόπο, το ποσό των προσωπικών δεδομένων που διατηρούνται παραμένει στο ελάχιστο δυνατό και προστατεύεται η ιδιωτικότητα του ατόμου.

Ακρίβεια

Ως βασική αρχή του Γενικού Κανονισμού για την Προστασία Δεδομένων (Japanese GDPR), τα προσωπικά δεδομένα πρέπει να είναι ακριβή. Τα ανακριβή προσωπικά δεδομένα πρέπει να διορθώνονται και πρέπει να λαμβάνονται μέτρα για τη διατήρηση των πληροφοριών ενημερωμένες και ακριβείς.

Μέσω αυτής της διαδικασίας, προστατεύονται τα δικαιώματα και τα συμφέροντα των ατόμων, και η επεξεργασία των προσωπικών δεδομένων βασίζεται σε ακριβείς πληροφορίες.

Περιορισμοί Αποθήκευσης Εγγραφών

Στις βασικές αρχές του Γενικού Κανονισμού για την Προστασία Δεδομένων (GDPR) περιλαμβάνεται η έννοια του περιορισμού αποθήκευσης εγγραφών. Τα προσωπικά δεδομένα που έχουν γίνει πλέον άχρηστα μετά την επίτευξη του σκοπού τους, θα πρέπει να διαγράφονται άμεσα.

Με την μη αποθήκευση περιττών προσωπικών δεδομένων, επιτυγχάνεται η κατάλληλη διαχείριση των προσωπικών δεδομένων και η προστασία της ιδιωτικότητας.

Ακεραιότητα & Εμπιστευτικότητα

Τα προσωπικά δεδομένα πρέπει να είναι πλήρη και να διατηρούνται εμπιστευτικά. Πρέπει να προστατεύονται από παραποίηση και απώλεια και να λαμβάνονται κατάλληλα μέτρα για την αποφυγή παράνομης πρόσβασης.

Αυτό θα βελτιώσει την αξιοπιστία των προσωπικών δεδομένων.

Δεν αφορά μόνο εταιρείες εντός της ΕΕ; Το πεδίο εφαρμογής του GDPR

Το GDPR δεν εφαρμόζεται μόνο σε εταιρείες εντός της ΕΕ. Μπορεί επίσης να εφαρμοστεί σε Ιαπωνικές εταιρείες. Παρακάτω περιγράφουμε τέσσερις κατηγορίες εταιρειών στις οποίες εφαρμόζεται το GDPR.

Οι εταιρείες στις οποίες εφαρμόζεται το GDPR πρέπει να διασφαλίζουν τη νόμιμη και διαφανή επεξεργασία των δεδομένων, την ασφάλεια των δεδομένων, καθώς και τη συμμόρφωση με τα πρότυπα του GDPR.

Σχετικά άρθρα: Πότε εφαρμόζεται το GDPR εκτός των συνόρων της ΕΕ; Εξηγούμε τις μεθόδους αντιμετώπισης[ja]

Η Διαχείριση Προσωπικών Δεδομένων στον GDPR

Ο GDPR παρέχει ένα πλαίσιο για την προστασία της ιδιωτικότητας και τη ρύθμιση της διακίνησης δεδομένων σε σχέση με τη διαχείριση προσωπικών δεδομένων.

Ο GDPR προστατεύει τον έλεγχο και τον σεβασμό των προσωπικών δεδομένων, ενώ ταυτόχρονα προωθεί τη διακίνησή τους και εξασφαλίζει την αξιοπιστία μέσω της κατάλληλης διαχείρισης.

Για αυτόν τον σκοπό, η διαφάνεια στην επεξεργασία δεδομένων και η ευθύνη των επιχειρήσεων είναι κρίσιμη, και απαιτείται από τις επιχειρήσεις να διαχειρίζονται τα δεδομένα με κατάλληλο τρόπο βάσει των κανονισμών.

Επιπλέον, ο GDPR περιλαμβάνει τις ακόλουθες διατάξεις.

Ωστόσο, υπάρχουν περιπτώσεις όπου η διαχείριση προσωπικών δεδομένων επιτρέπεται ακόμη και χωρίς τη συγκατάθεση του υποκειμένου. Συγκεκριμένα, αυτές περιλαμβάνουν:

• Όταν είναι απαραίτητο για την εκπλήρωση ενός συμβολαίου στο οποίο το υποκείμενο είναι μέρος.
• Όταν είναι απαραίτητο πριν από τη σύναψη ενός συμβολαίου, κατόπιν αιτήματος του υποκειμένου.
• Όταν είναι απαραίτητο για την τήρηση νομικής υποχρέωσης του διαχειριστή.
• Όταν είναι απαραίτητο για την προστασία των ζωτικών συμφερόντων του υποκειμένου ή άλλου ατόμου.
• Όταν είναι απαραίτητο για το δημόσιο συμφέρον ή για την άσκηση επίσημης εξουσίας.
• Όταν είναι απαραίτητο για τους νόμιμους σκοπούς του διαχειριστή ή τρίτου, εφόσον τα δικαιώματα, τα συμφέροντα και οι ελευθερίες του υποκειμένου δεν υπερισχύουν.

Τα κύρια δικαιώματα σχετικά με τα προσωπικά δεδομένα στον GDPR

Στον GDPR, τα άτομα των οποίων τα προσωπικά δεδομένα επεξεργάζονται έχουν κυρίως τα ακόλουθα δικαιώματα:

• Το δικαίωμα πρόσβασης στα προσωπικά τους δεδομένα
• Το δικαίωμα να ζητήσουν τη διόρθωση ή τη διαγραφή των προσωπικών τους δεδομένων
• Το δικαίωμα να ζητήσουν τον περιορισμό της χρήσης των προσωπικών τους δεδομένων
• Το δικαίωμα να εκφράσουν αντιρρήσεις σχετικά με την επεξεργασία των προσωπικών τους δεδομένων

Τα άτομα έχουν το δικαίωμα να κατανοούν πώς ο πάροχος χρησιμοποιεί τις πληροφορίες τους. Εάν αισθάνονται ότι οι πληροφορίες είναι ανακριβείς ή χρησιμοποιούνται ακατάλληλα, μπορούν να ζητήσουν τη διόρθωση ή τη διαγραφή τους, καθώς και την προσωρινή διακοπή της χρήσης τους ή να υποβάλουν αντιρρήσεις.

Οι Κύριες Ευθύνες Σχετικά με τα Προσωπικά Δεδομένα στον GDPR

Ενώ τα δικαιώματα των υποκειμένων των προσωπικών δεδομένων αναγνωρίζονται, οι επιχειρήσεις που συλλέγουν και επεξεργάζονται προσωπικά δεδομένα φέρουν κυρίως τις ακόλουθες ευθύνες.

• Ευθύνη για τη δημιουργία συστημάτων και ανθρώπινων δομών για τη διαχείριση προσωπικών δεδομένων σύμφωνα με τον GDPR
• Ευθύνη για την καταγραφή των δραστηριοτήτων επεξεργασίας προσωπικών δεδομένων
• Ευθύνη για την ανταπόκριση σε περιπτώσεις παραβίασης προσωπικών δεδομένων

Για να διασφαλιστεί η κατάλληλη προστασία των προσωπικών δεδομένων, οι ευθύνες αυτές που φέρουν οι επιχειρήσεις είναι σημαντικές.

Επιπλέον, είναι ουσιώδες ότι όλες οι δραστηριότητες επεξεργασίας δεδομένων καταγράφονται σωστά, ώστε να μπορούν να αναθεωρηθούν όταν αυτό είναι απαραίτητο.

Σε περίπτωση παραβίασης προσωπικών δεδομένων, οι επιχειρήσεις έχουν την ευθύνη να λάβουν τα κατάλληλα μέτρα και να ενημερώσουν τους εμπλεκόμενους.

Σε περίπτωση παράβασης του GDPR

Εάν ο διαχειριστής ή ο επεξεργαστής παραβιάσει τον Κανονισμό GDPR και προκαλέσει ζημία στον υποκείμενο δεδομένων, μπορεί να αντιμετωπίσει αξίωση για αποζημίωση (άρθρο 82 παράγραφος 1 του GDPR).

Επιπλέον, η παράβαση του GDPR μπορεί να οδηγήσει σε αυστηρές συνέπειες. Για παράδειγμα, για παραβάσεις μπορεί να επιβληθούν κυρώσεις από την ΕΕ βάσει του άρθρου 83 του GDPR (άρθρο 83 του GDPR).

Οι διαφορές μεταξύ του GDPR και του Νόμου για την Προστασία Προσωπικών Δεδομένων

Οι κύριες διαφορές μεταξύ του GDPR και του Νόμου για την Προστασία Προσωπικών Δεδομένων είναι οι εξής:

• Το αντικείμενο προστασίας
• Η αντίδραση σε περίπτωση παραβίασης προσωπικών δεδομένων
• Η ρύθμιση σχετικά με τον διαπραγματευτή
• Οι κυρώσεις σε περίπτωση παράβασης

Ακολουθεί μια πιο λεπτομερής ανάλυση.

Το αντικείμενο προστασίας

Το GDPR και ο Νόμος για την Προστασία Προσωπικών Δεδομένων διαφέρουν ως προς τα δεδομένα που προστατεύουν. Το GDPR προστατεύει ευρέως τα προσωπικά δεδομένα που επεξεργάζονται εντός της ΕΕ. Αφορά όχι μόνο τις εταιρείες που έχουν έδρα στην ΕΕ, αλλά και εκείνες που προσφέρουν αγαθά ή υπηρεσίες σε άτομα εντός της ΕΕ.

Από την άλλη πλευρά, ο Νόμος για την Προστασία Προσωπικών Δεδομένων προστατεύει δεδομένα με βάση τη χώρα ή την περιοχή εφαρμογής του.

Για παράδειγμα, ο Ιαπωνικός Νόμος για την Προστασία Προσωπικών Δεδομένων αφορά προσωπικά δεδομένα που επεξεργάζονται εντός της χώρας και κατά κανόνα η προστασία περιορίζεται στο εθνικό επίπεδο.

Η αντίδραση σε περίπτωση παραβίασης προσωπικών δεδομένων

Το GDPR και ο Νόμος για την Προστασία Προσωπικών Δεδομένων διαφέρουν επίσης ως προς την αντίδραση σε περίπτωση παραβίασης προσωπικών δεδομένων.

Σύμφωνα με το GDPR, σε περίπτωση παραβίασης δεδομένων, οι εταιρείες έχουν υποχρέωση να ενημερώσουν την εποπτική αρχή εντός 72 ωρών. Επιπλέον, φέρουν την ευθύνη να ενημερώσουν γρήγορα και σαφώς τα υποκείμενα των δεδομένων.

Στο πλαίσιο του Νόμου για την Προστασία Προσωπικών Δεδομένων, απαιτείται επίσης άμεση ενημέρωση σε περίπτωση παραβίασης δεδομένων, αλλά οι προθεσμίες και το περιεχόμενο της ενημέρωσης διαφέρουν ανάλογα με τη χώρα ή την περιοχή.

Η ρύθμιση σχετικά με τον διαπραγματευτή

Το GDPR και ο Νόμος για την Προστασία Προσωπικών Δεδομένων έχουν διαφορετικούς κανόνες σχετικά με την ρύθμιση του διαπραγματευτή.

Στο GDPR, για την επεξεργασία προσωπικών δεδομένων παιδιών απαιτείται η συγκατάθεση των γονέων ή των νόμιμων εκπροσώπων. Επιπλέον, όταν μια εταιρεία παρέχει διαδικτυακές υπηρεσίες και διαχειρίζεται προσωπικά δεδομένα παιδιών κάτω των 16 ετών, απαιτείται η συγκατάθεση των γονέων.

Ο Νόμος για την Προστασία Προσωπικών Δεδομένων απαιτεί επίσης τη συγκατάθεση του νόμιμου εκπροσώπου για την επεξεργασία προσωπικών δεδομένων παιδιών, αλλά η ηλικία και ο τρόπος απόκτησης της συγκατάθεσης διαφέρουν ανάλογα με τη νομοθεσία.

Οι κυρώσεις σε περίπτωση παράβασης

Μια άλλη διαφορά μεταξύ του GDPR και του Νόμου για την Προστασία Προσωπικών Δεδομένων είναι οι κυρώσεις που επιβάλλονται σε περίπτωση παράβασης.

Σύμφωνα με το GDPR, οι παραβάσεις μπορεί να οδηγήσουν σε πρόστιμα έως και το 4% του ετήσιου τζίρου της εταιρείας ή 20 εκατομμύρια ευρώ.

Οι κυρώσεις του Νόμου για την Προστασία Προσωπικών Δεδομένων διαφέρουν ανάλογα με τη χώρα ή την περιοχή, αλλά συνήθως περιλαμβάνουν πρόστιμα ή νομικές ευθύνες. Το ύψος των προστίμων κυμαίνεται ανάλογα με τη φύση και τη σοβαρότητα της παράβασης.

Σημεία που πρέπει να λάβουν μέτρα οι Ιαπωνικές εταιρείες έναντι του GDPR

Οι εταιρείες που αντιστοιχούν στα παρακάτω κριτήρια χρειάζονται μέτρα για την συμμόρφωση με το GDPR.

• Εταιρείες με θυγατρικές, υποκαταστήματα ή γραφεία εντός της ΕΕ
• Εταιρείες που προσφέρουν αγαθά ή υπηρεσίες από την Ιαπωνία προς την ΕΕ
• Εταιρείες που έχουν αναλάβει εκτέλεση επεξεργασίας προσωπικών δεδομένων από εταιρείες εντός της ΕΕ

Ως συγκεκριμένο παράδειγμα μέτρων σε επίπεδο εταιρείας, το άρθρο 32 και η αιτιολογική σκέψη (83) του GDPR συνιστούν την κρυπτογράφηση ως μία από τις τεχνολογίες προστασίας δεδομένων.

Επομένως, απαιτείται η κρυπτογράφηση προσωπικών δεδομένων σε μέσα αποθήκευσης όπως οι προσωπικοί υπολογιστές των πελατών, σκληροί δίσκοι, USB μνήμες, κοινόχρηστοι φάκελοι κ.λπ.

Επιπλέον, υπάρχει ανάγκη αλλαγής της πολιτικής απορρήτου ώστε να συμμορφώνεται με το GDPR. Για την πολιτική απορρήτου που συμμορφώνεται με το GDPR, έχουμε αναλύσει λεπτομερώς στο παρακάτω άρθρο.

Σχετικό άρθρο: Ανάλυση των σημείων για τη δημιουργία μιας πολιτικής απορρήτου σύμφωνης με το GDPR[ja]

Συνοπτικά: Συμβουλευτείτε ειδικούς για τα μέτρα GDPR

Το GDPR προστατεύει ευρέως τα προσωπικά δεδομένα που επεξεργάζονται εντός της ΕΕ, απαιτώντας τη νόμιμη και διαφανή επεξεργασία των δεδομένων και την εξασφάλιση της ασφάλειάς τους. Οι διαφορές μεταξύ του GDPR και του Ιαπωνικού Νόμου για την Προστασία Προσωπικών Δεδομένων περιλαμβάνουν το πεδίο εφαρμογής της προστασίας, την αντίδραση σε παραβιάσεις προσωπικών δεδομένων, την οργάνωση αντιπροσώπων και τις ποινές για παραβάσεις.

Επιχειρήσεις με έδρα στην ΕΕ, επιχειρήσεις που προσφέρουν αγαθά ή υπηρεσίες σε άτομα εντός της ΕΕ, καθώς και επιχειρήσεις που έχουν αναλάβει την επεξεργασία προσωπικών δεδομένων από εταιρείες της ΕΕ, είναι υπόχρεες στην τήρηση του GDPR. Η παραβίαση του GDPR μπορεί να οδηγήσει σε αξιώσεις αποζημίωσης και σε επιβολή προστίμων, επομένως πρέπει να είστε ιδιαίτερα προσεκτικοί.

Συνιστούμε να συμβουλευτείτε ειδικούς για το αν χρειάζεται να τροποποιήσετε τους κανονισμούς προστασίας δεδομένων της εταιρείας σας ώστε να συμμορφωθούν με το GDPR.

Οδηγίες για τα Μέτρα από το Δικηγορικό μας Γραφείο

Το Δικηγορικό Γραφείο Monolith είναι ένα γραφείο με πλούσια εμπειρία στον τομέα της πληροφορικής, και ειδικότερα στο διαδίκτυο και το δίκαιο. Στον σύγχρονο κόσμο, όπου οι παγκόσμιες επιχειρήσεις αναπτύσσονται με αυξανόμενο ρυθμό, η ανάγκη για ειδικευμένο νομικό έλεγχο από επαγγελματίες γίνεται όλο και πιο επιτακτική. Το γραφείο μας προσφέρει λύσεις σχετικά με διεθνείς νομικές υποθέσεις.

Τομείς εξειδίκευσης του Δικηγορικού Γραφείου Monolith: Διεθνές Δίκαιο & Εξωτερικές Επιχειρήσεις[ja]