Desentrañando la Política de "Revisión Cada Tres Años" de la Ley de Protección de Datos Personales: Impacto en la Práctica Empresarial y Puntos Clave para la Adaptación"

El 9 de enero del año Reiwa 8 (2026), la Comisión de Protección de Información Personal de Japón publicó la “Política de Revisión del Sistema de la Ley de Protección de Información Personal, revisada cada tres años“. Esta reforma busca promover el uso de datos en la era de la inteligencia artificial, mientras que también reorganiza las reglas y regulaciones sobre el uso inapropiado, introduciendo sanciones como “multas administrativas”. Además, incluye aspectos que impactarán en el manejo de datos por parte de las empresas en Japón.

En este artículo, explicaremos los puntos clave de la reforma que las empresas deben tener en cuenta desde una perspectiva práctica bajo el sistema legal japonés.

Antecedentes y Requisitos Institucionales de la Política de Revisión de la Ley de Protección de Información Personal en Japón

Existen tres factores principales que explican el trasfondo de la formulación de la actual política de revisión.

“Revisión cada 3 años” como Obligación Legal

En primer lugar, se trata de un requisito institucional. En las disposiciones complementarias de la ley revisada del año Reiwa 2 (2020), se estableció la obligación de revisar la situación de la implementación de la ley cada tres años, teniendo en cuenta las tendencias internacionales, los avances en la tecnología de la información y comunicación, y la creación de nuevas industrias, para tomar las medidas necesarias.

La actual política de revisión se presentó como conclusión del proceso de evaluación iniciado en noviembre del año Reiwa 5 (2023) basado en esta disposición.

Referencia: Comisión de Protección de Información Personal｜Revisión Trienal de la Ley de Protección de Información Personal

Coordinación con la Reforma Digital del Gobierno en Japón

En segundo lugar, está la coherencia con la estrategia gubernamental de utilización de datos. En junio del año Reiwa 7 (2025), el gobierno aprobó en el gabinete la “Política Básica sobre el Sistema de Utilización de Datos”, avanzando en la legislación transversal para establecer un ciclo virtuoso de datos e inteligencia artificial (IA). En particular, la rápida difusión de la IA y la sofisticación y complejidad del procesamiento de datos han hecho evidente el desafío de que las personas no puedan comprender fácilmente cómo se manejan sus datos.

Para abordar esto, se ha vuelto esencial fomentar la confianza que permita a las personas proporcionar sus datos con tranquilidad, y se requiere una estructura integrada que promueva el uso y garantice la efectividad de las regulaciones posteriores.

Adaptación a los Cambios en el Entorno Social y Tecnológico en Japón

En tercer lugar, está el cambio en los riesgos que rodean los derechos e intereses individuales.

En los últimos años, se ha expandido el uso de información biométrica, como los datos de características faciales (información que cuantifica la forma y disposición de las partes del rostro para permitir la identificación personal), y han surgido desafíos relacionados con el manejo de la información personal de niños menores de 16 años.

Además, no cesan los casos en que la información personal se utiliza para delitos, como fraudes especiales o phishing, originados en “listas negras”. Asimismo, con el aumento de casos en que se externaliza el manejo de datos, se han señalado riesgos derivados de la gestión inadecuada, como el uso de datos por parte de terceros más allá del alcance de sus funciones.

Estos nuevos riesgos han revelado situaciones en las que el marco legal actual no es suficiente para abordarlos, lo que ha motivado la revisión.

Los Cuatro Pilares de la Política de Reforma de la Ley de Protección de Información Personal en Japón

La política de reforma actual se compone de cuatro pilares principales. A continuación, se explican los detalles de cada uno.

Promoción del Uso Apropiado de Datos en Japón

En esta reforma, se revisará la forma de involucrar a la persona en el uso de datos que tiene un impacto relativamente pequeño en los derechos e intereses del individuo, con el objetivo de facilitar su utilización.

Específicamente, cuando se garantiza que los datos se utilizarán de manera que no se pueda identificar a personas específicas, como en la creación de información estadística o el desarrollo de IA, se ha indicado la dirección de no requerir el consentimiento de la persona para la provisión de datos personales a terceros, bajo ciertos requisitos.

Además, en situaciones donde es evidente que no contraviene la voluntad de la persona, como la provisión de información de reservas de hotel al lugar de alojamiento o el intercambio de información durante transferencias internacionales, también se está considerando no requerir consentimiento.

Asimismo, en cuanto a las excepciones relacionadas con la protección de la vida, el cuerpo, la propiedad y la mejora de la salud pública, se está reorganizando en la dirección de relajar el requisito actual de “dificultad para obtener el consentimiento”, y se está considerando una revisión para facilitar la investigación clínica por parte de instituciones médicas en las excepciones relacionadas con la investigación académica.

Disciplina Adecuada para Abordar Riesgos en Japón

La adecuación de la disciplina en respuesta a los cambios en la forma de manejo es también un punto importante de discusión bajo el sistema legal japonés.

Primero, en cuanto a la disciplina relacionada con menores de edad, se está considerando la implementación de un sistema que requiera la participación de un representante legal al obtener información personal de menores de 16 años. Además, se ha propuesto la creación de una normativa que establezca la responsabilidad de considerar “el mejor interés del menor” al manejar su información personal.

En segundo lugar, respecto a la disciplina sobre información biométrica, se están evaluando medidas como el fortalecimiento de la divulgación del propósito de uso y la ampliación del alcance de las solicitudes de cese de uso para datos que puedan identificar continuamente a una persona, como los datos de características faciales. Asimismo, se está discutiendo la revisión de la provisión a terceros mediante el sistema de exclusión voluntaria.

Además, en cuanto a la disciplina sobre la subcontratación, se está considerando la clarificación de normas para prevenir el uso fuera del ámbito de trabajo por parte del subcontratista. Por otro lado, cuando el subcontratista realiza únicamente un procesamiento mecánico basado en las instrucciones del contratante, se está sugiriendo racionalizar las obligaciones.

Por último, también se está evaluando el diseño de un sistema que revise la forma de notificación y reporte al individuo afectado en casos de filtraciones, de acuerdo con el grado de riesgo.

Prevención del Uso Inapropiado y Otros

En cuanto a la prevención del uso inapropiado y otros, se fortalecerán las regulaciones para impedir el uso indebido en actividades delictivas bajo el sistema legal japonés.

Se prohíbe el uso o la obtención de información que permita contactar a individuos específicos, como números de teléfono o ID de cookies, incluso si no se considera información personal, para fines inapropiados como el phishing. Además, al proporcionar información bajo el sistema de exclusión voluntaria, se obliga a verificar la identidad del destinatario y el propósito de uso, con el fin de suprimir la distribución ilegal de listas de contactos.

Aseguramiento de la Eficacia en el Cumplimiento Normativo en Japón

El aseguramiento de la eficacia en el cumplimiento normativo es la mayor preocupación en la reciente reforma bajo el sistema legal japonés. Se revisarán los requisitos para permitir órdenes correctivas rápidas, y se establecerán disposiciones para solicitar medidas a terceros que asistan en actos de violación, como los proveedores de servicios de alojamiento.

Además, se implementará un sistema que ordena el pago de multas equivalentes a los beneficios económicos obtenidos por empresas que recolectan grandes cantidades de información personal y obtienen ganancias a través de su uso o provisión malintencionada. Este sistema se aplicará principalmente a casos de gran escala en los que el número de personas afectadas supere las 1,000, lo que incrementará significativamente el riesgo de cumplimiento para las empresas en Japón.

Medidas Requeridas para las Empresas ante la Reforma de la Ley de Protección de Datos Personales en Japón

El contenido de la reforma es extenso, y las empresas en Japón deberán realizar una revisión fundamental de sus sistemas legales y de cumplimiento. A continuación, se organizan las medidas específicas requeridas.

Reestructuración de la Gestión de Subcontratistas y Revisión de Contratos

Con esta reforma, se impondrán obligaciones legales directas a los subcontratistas. Las empresas deben, en primer lugar, revisar si los subcontratistas están utilizando datos más allá del alcance de sus tareas cuando actúan como contratantes. Especialmente en casos de desarrollo de IA o análisis de datos subcontratados, existe el riesgo de que el uso de datos para aprendizaje propio por parte del subcontratista esté explícitamente prohibido bajo la nueva ley.

Por otro lado, en casos donde solo se subcontratan tareas de “procesamiento mecánico” como la entrada de datos, es necesario preparar revisiones contractuales para adaptarse al nuevo sistema, acordando completamente los métodos de manejo y especificando medidas de monitoreo para poder beneficiarse de excepciones a las obligaciones.

Establecimiento de Reglas Especiales para Menores y Datos Biométricos

Las empresas que ofrecen servicios a menores de 16 años deben implementar urgentemente un flujo para la verificación de edad y un proceso para obtener el consentimiento de los representantes legales. Además, se les impondrá la responsabilidad de considerar “el mejor interés del menor”, por lo que se requerirá añadir explicaciones claras para menores en las políticas de privacidad.

Asimismo, las empresas que han implementado sistemas de reconocimiento facial deben prepararse para la legalización de la obligación de informar sobre ciertos aspectos (nombre del adquirente, propósito específico de uso, características físicas, etc.), revisando el contenido de sus tableros de anuncios y sitios web.

Uso de Estadísticas como “Gobernanza Proactiva”

Por otro lado, esta reforma también busca promover el uso de datos. Se está considerando una excepción que no requiere el consentimiento del titular para la creación de estadísticas, lo que podría ampliar el uso de análisis de datos avanzados y desarrollo de IA bajo ciertos requisitos.

Para las empresas, es crucial establecer reglas internas (prohibición de uso fuera del propósito, restricciones en la provisión a terceros, procedimientos de divulgación adecuados, etc.) para utilizar adecuadamente esta excepción y establecer una base legal para la creación de innovación.

Gestión de Riesgos ante Sanciones y Multas

Un tema importante en esta revisión es el fortalecimiento del sistema de multas y sanciones. En caso de filtraciones masivas o uso inapropiado, además de órdenes administrativas, se podría exigir el pago de multas equivalentes a los beneficios obtenidos de manera indebida.

Además, se está discutiendo el fortalecimiento de las sanciones contra corporaciones, por lo que es crucial construir un sistema de cumplimiento para eliminar la adquisición de datos de proveedores de listas inapropiados y el uso de datos que pueda llevar a usos fraudulentos.

Resumen: Consulte a un experto sobre la política de enmienda de la Ley de Protección de Información Personal en Japón

La política de enmienda de la Ley de Protección de Información Personal en Japón no es simplemente un cambio menor, sino una medida altamente efectiva para responder a la llegada de la era de la inteligencia artificial y al agravamiento de los delitos de datos.

Se espera que el proyecto de ley enmendado se presente en la Dieta ordinaria de Japón en el año 8 de la era Reiwa (2026), y si se aprueba, se prevé que entre en vigor alrededor de los años 9 a 10 de la era Reiwa (2027-2028). Ahora que se ha hecho pública la política de enmienda, es importante reconsiderar la gobernanza de datos de su empresa desde este momento, sin esperar a la legislación. En particular, la introducción del sistema de multas y la estricta regulación sobre datos de menores y datos biométricos son cuestiones que afectan directamente a la gestión empresarial. Se recomienda observar de cerca las tendencias de la legislación futura y avanzar en una preparación sólida en colaboración con los departamentos relevantes dentro de la empresa.

Guía de Soluciones de Nuestra Firma

El despacho de abogados Monolith es una firma legal que posee una alta especialización tanto en IT como en el ámbito legal, especialmente en Internet. En los últimos años, la gobernanza relacionada con la Ley de Protección de Información Personal de Japón ha captado mucha atención. En nuestra firma, ofrecemos soluciones para problemas laborales bajo el marco legal japonés. Se detallan más aspectos en el artículo a continuación.