¿Qué es el nuevo sistema de autorización de seguridad en la Ley de Utilización de la Protección de Información de Seguridad Económica Importante?

En el año Reiwa 6 (2024), se promulgó la “Ley de Protección y Utilización de Información Importante para la Seguridad Económica” en Japón, y con ella se estableció un nuevo sistema de autorización de seguridad (entrando en vigor en mayo de 2025). Esto responde a la creciente necesidad de un sistema de preservación de la información en el ámbito de la seguridad económica internacional y a las demandas de las empresas.

En este artículo, explicaremos detalladamente el sistema de autorización de seguridad establecido por la recién creada “Ley de Protección y Utilización de Información Importante para la Seguridad Económica” de Japón. Abordaremos las diferencias con el sistema de autorización de seguridad de la “Ley de Protección de Secretos Específicos”, las empresas objetivo, los beneficios e inconvenientes, y las medidas que las empresas deben adoptar.

¿Qué es el sistema de autorización de seguridad en Japón?

El sistema de autorización de seguridad (SC) en Japón es un sistema de certificación que otorga autorización, tras una evaluación adecuada, a aquellos que necesitan acceder a información clasificada (CI) designada como importante para la seguridad nacional por el gobierno.

Para obtener una autorización de seguridad, los objetivos designados de CI (información clasificada) y los criterios de evaluación varían según el país, pero normalmente se realizan autorizaciones de instalaciones (FCL) y autorizaciones personales (PCL), y solo se concede permiso si se determina que no hay riesgo de fuga de información.

En Japón, el sistema de autorización de seguridad está establecido por la “Ley de Protección de Información Específicamente Secreta”, que se aplica a las agencias gubernamentales y empresas privadas que manejan “información específicamente secreta”.

En el año Reiwa 6 (2024), se promulgó la “Ley de Protección y Utilización de Información de Seguridad Económica Importante (Ley sobre la Protección y Utilización de Información de Seguridad Económica Importante)”, y se creó un nuevo sistema de autorización de seguridad dirigido principalmente a empresas privadas que manejan “información de seguridad económica importante” que no se clasifica como “secreto específico” ni “secreto de defensa especial” (entró en vigor el 17 de mayo de Reiwa 7 (2025)).

El alcance designado por el gobierno, según la sensibilidad de la CI (información clasificada), se compara internacionalmente y se representa en el siguiente gráfico.

El nivel “Top Secret” corresponde a información cuya fuga podría causar “daños extremadamente graves”, el nivel “Secret” a “daños significativos”, y el nivel “Confidential” a información que “razonablemente se puede esperar que cause daños”. La información que se clasifica como “información de seguridad económica importante” corresponde al nivel “Confidential” de “obstáculos”.

Referencia: Oficina del Gabinete de Japón, ‘Ley sobre la Protección y Utilización de Información de Seguridad Económica Importante[ja]‘

Referencia: Oficina del Gabinete de Japón, ‘Comparación de los sistemas de seguridad de la información en varios países (Clasificación de la información objetivo de la autorización de seguridad)[ja]‘

Objetivos de la Ley de Protección y Utilización de Información de Seguridad Económica Importante bajo la Legislación Japonesa

La Ley de Protección y Utilización de Información de Seguridad Económica Importante se estableció en respuesta al creciente reconocimiento internacional de la necesidad de un sistema de preservación de información en el ámbito de la seguridad económica y a las demandas de las empresas.

Esta ley, como parte del marco legal de seguridad económica, sigue los objetivos de la “Ley de Promoción de la Seguridad Económica” implementada en el año Reiwa 4 (2022) y expande la información sujeta al sistema de autorización de seguridad introducido por la “Ley de Protección de Secretos Específicos” promulgada en el año Heisei 26 (2014), complementándola (Artículo 1).

El sistema de autorización de seguridad recién establecido por la “Ley de Protección y Utilización de Información de Seguridad Económica Importante” se compone de los siguientes tres pilares:

1. Reglas para la designación y desclasificación de la información de seguridad económica importante (Artículos 3 a 5).
2. Reglas estrictas para la gestión y provisión de información de seguridad económica importante (Artículos 6 a 17).
3. Sanciones (Artículos 22 a 27).

Fuente: Cámara de Representantes de Japón, “Proyecto de Ley sobre la Protección y Utilización de Información de Seguridad Económica Importante[ja]“.

Designación y Desclasificación de Información Importante para la Seguridad Económica bajo la Ley Japonesa

Cada agencia administrativa en Japón tiene la autoridad para designar CI (información confidencial) como “Información Importante para la Seguridad Económica”, establecer su período de validez y desclasificarla (cuando ya no cumple con los requisitos).

Al igual que la “Información Específicamente Secreta”, la “Información Importante para la Seguridad Económica” también es designada por agencias administrativas específicas, por lo que otras agencias que necesiten esa información deben obtener su consentimiento.

La “Información Importante para la Seguridad Económica” designada por las agencias administrativas debe cumplir con los siguientes tres requisitos (Artículo 3, Párrafo 1):

• Ser “Información de Protección de Infraestructura Económica Importante” (aplicabilidad | explicada más adelante)
• No ser de conocimiento público (no divulgación)
• Que su divulgación pueda causar problemas a la seguridad nacional de Japón, por lo que es especialmente necesario mantenerla en secreto (necesidad de confidencialidad especial)

La “Información de Protección de Infraestructura Económica Importante” se refiere a los siguientes cuatro tipos de información relacionada con la protección de “Infraestructura Económica Importante (infraestructura crítica y cadena de suministro de materiales importantes)” (Artículo 2, Párrafos 3 y 4, Orden de Implementación de la Ley de Promoción de la Seguridad Económica, Artículos 1 y 9):

1. Medidas, planes y estudios para proteger la infraestructura económica importante de actos externos
2. Información importante relacionada con la infraestructura económica importante (vulnerabilidades de la infraestructura económica importante, tecnologías innovadoras relacionadas, etc.) que conciernen a la seguridad nacional
3. Información de gobiernos extranjeros y organizaciones internacionales recopilada en relación con las medidas mencionadas en el punto 1
4. Capacidad de recopilación y organización de la información mencionada en los puntos 2 y 3

Como candidatos específicos, se han mencionado los siguientes:

• Información relacionada con ciberseguridad (información sobre amenazas y medidas cibernéticas, etc.)
• Información relacionada con sistemas regulatorios (información de revisión, análisis, etc.)
• Información relacionada con investigación, análisis y desarrollo (estrategias industriales y tecnológicas, vulnerabilidades en la cadena de suministro, etc.)
• Información relacionada con la cooperación internacional (información sobre investigación y desarrollo conjunto internacional)

Además, hay casos en los que la información confidencial de una empresa, que ha sido contratada y poseída a petición de una agencia administrativa, se designa como “Información Importante para la Seguridad Económica”.

En ese caso, la empresa puede poseerla como su “Información Importante para la Seguridad Económica”, pero no puede proporcionarla a terceros a menos que sea necesario por el bien público (Artículo 10, Párrafos 2, 5 al 7).

Sin embargo, existe el riesgo de que se divulgue a otros operadores comerciales compatibles contratados por el gobierno.

Gestión y Provisión Estricta de “Información Importante de Seguridad Económica” bajo la Ley Japonesa

En esta sección, explicaremos los requisitos y reglas para los “Operadores Adecuados” que el gobierno de Japón puede proveer con “Información Importante de Protección de Infraestructura Económica”.

Requisitos para ser un “Operador Adecuado” bajo la Ley Japonesa

Se considera “Operador Adecuado” a aquellos negocios que, además de implementar las medidas de seguridad necesarias en sus instalaciones para preservar la “Información Importante de Seguridad Económica”, cumplen con los estándares establecidos por decreto gubernamental (Artículo 10, Párrafo 1).

• Negocios que necesitan eliminar la vulnerabilidad de la “Infraestructura Económica Importante”.
• Negocios que contribuyen a la eliminación de la vulnerabilidad de la “Infraestructura Económica Importante”.
• Negocios dedicados a la investigación y estudio de la “Infraestructura Económica Importante”.
• Negocios que apoyan la investigación y estudio de la “Infraestructura Económica Importante”.
• Negocios que poseen “Información de Protección de la Infraestructura Económica Importante”.
• Negocios que realizan actividades para proteger la “Información de Protección de la Infraestructura Económica Importante”.

Para obtener la autorización de seguridad de la “Información de Protección de la Infraestructura Económica Importante”, primero es necesario:

1. Que los negocios privados demuestren ante la autoridad administrativa que posee la “Información Importante de Seguridad Económica” necesaria, que cumplen con los requisitos de gestión física de las instalaciones (estructura de implementación de la preservación de la información) y los requisitos organizativos (considerando el impacto de la proporción de propiedad extranjera), y que han pasado la evaluación adecuada para la autorización de las instalaciones (FCL),
2. Que el Operador Adecuado firme un contrato de confidencialidad (NDA) con dicha autoridad administrativa, y
3. Que se obtenga la autorización personal (PCL) para sus empleados.

La evaluación adecuada para la autorización de las instalaciones (FCL) y la autorización personal (PCL) son asuntos de revisión por parte de la autoridad administrativa, pero se puede inferir ciertos estándares a partir del ejemplo de solicitud de certificación[ja] publicado.

Referencia: Oficina del Gabinete de Japón “Criterios para la designación y revocación de la Información Importante de Seguridad Económica, la realización de evaluaciones de idoneidad y la certificación de Operadores Adecuados para la operación unificada (borrador)”[ja]

Reglas tras la obtención de la autorización de seguridad en Japón

Incluso si la información pertenece a la agencia gubernamental con la que se ha contratado, si se trata de “Información de Protección de Infraestructura Económica Crítica” designada por otra agencia gubernamental, el acceso es posible con el consentimiento de la agencia designada.

Por lo tanto, para acceder a la “Información de Protección de Infraestructura Económica Crítica” que no posee la agencia gubernamental con la que se ha contratado, es necesario establecer un contrato con la agencia que sí la posee.

Este proceso de certificación se ha establecido para minimizar el riesgo de fuga de información y sigue la “Ley de Protección de Secretos Específicos” de Japón.

Los operadores que cumplan con los requisitos no pueden proporcionar la “Información de Seguridad Económica Crítica” a terceros, a menos que sea necesario por razones de interés público (Artículo 10, Párrafo 6).

Por otro lado, cuando se necesita acceder a la información confidencial (CI) de un gobierno extranjero o proporcionar “Información de Seguridad Económica Crítica” a gobiernos, instituciones o empresas privadas extranjeras, es necesario hacerlo a través del gobierno de su propio país.

El período de validez de la autorización personal de seguridad (PCL) para la “Información de Seguridad Económica Crítica” es de 10 años, por lo que aquellos que se espera que manejen esta información por más de 10 años deben someterse a una nueva evaluación de idoneidad.

Sin embargo, incluso dentro del período de validez, si existe el riesgo de fuga de la “Información de Seguridad Económica Crítica”, es necesario realizar nuevamente una evaluación de idoneidad (Artículo 11, Párrafo 1).

Por otro lado, aunque el período de validez de la autorización de seguridad bajo la “Ley de Protección de Secretos Específicos” de Japón es de 5 años, aquellos que han obtenido la autorización (evaluadores de idoneidad de “Secretos Específicos” recientes) y no han pasado 5 años desde entonces, pueden manejar la “Información de Seguridad Económica Crítica” sin necesidad de una nueva evaluación de idoneidad bajo la “Ley de Utilización y Protección de la Información de Seguridad Económica Crítica”, siempre que sea dentro de la misma agencia gubernamental (Artículo 11, Párrafo 2).

Sanciones bajo la Ley de Protección de Secretos Específicos en Japón

Aquellos que filtren “información importante de seguridad económica” (incluyendo después de dejar de estar involucrados), o la obtengan de manera indebida, serán sujetos a una pena de prisión de hasta cinco años o una multa de hasta 5 millones de yenes, o ambas (Artículos 22 y 23).

La Ley de Protección y Utilización de Información Importante de Seguridad Económica establece disposiciones de sanción dual, que no estaban presentes en la “Ley de Protección de Secretos Específicos”, aplicables también a los operadores de negocios (Artículo 27).

Además, existen disposiciones de sanción para los delitos de tentativa y por negligencia.

Por otro lado, a los operadores de negocios que cumplan con los requisitos, se les prohíbe el uso indebido o el trato desfavorable de los empleados sujetos a evaluaciones de seguridad, como resultado de dichas evaluaciones o si no consienten en ellas (evaluaciones de personal, cambios de posición inapropiados, etc.). En caso de incumplimiento, el gobierno indica que terminará los contratos con dichos operadores de negocios.

Ventajas y desventajas de obtener una autorización de seguridad en Japón

Se espera que el nuevo sistema de autorización de seguridad en el campo de la seguridad económica en Japón ofrezca oportunidades de negocio ampliadas, permitiendo la participación en reuniones, transacciones y licitaciones que requieren dicha autorización. Esto representa una oportunidad especialmente para las empresas que buscan participar en la investigación y desarrollo cooperativos internacionales o en las adquisiciones gubernamentales extranjeras.

Por otro lado, existen riesgos asociados con la compartición de “información importante de seguridad económica” y los costos asociados con la obtención y mantenimiento de la autorización de seguridad, así como la posibilidad de perder contratos debido a retrasos en la respuesta.

Para evitar riesgos y aprovechar las ventajas, se requieren medidas anticipadas en vista del nuevo sistema de autorización de seguridad.

Respuestas requeridas de las empresas

Se requiere que las empresas evalúen los beneficios, desventajas e impactos del sistema de seguridad y autorización que se implementará en mayo de 2025 (Reiwa 7) con la nueva “Ley de Protección y Utilización de Información de Seguridad Económica Importante” en Japón, y que consideren sus respuestas en consecuencia.

Cuando los operadores privados respondan a las solicitudes de cooperación del gobierno y se involucren con la Información Crítica de Infraestructura (CI), se considera apropiado examinar, dentro de un rango razonable, cómo apoyar los esfuerzos de preservación en el sector privado, teniendo en cuenta la historia y la realidad de la situación.

Es necesario considerar respuestas adecuadas para los empleados que serán objeto de la seguridad y autorización, para asegurar que no se haga un uso indebido de la información ni se les trate de manera desventajosa.

Para las normas de operación, por favor consulte los “Criterios para la designación y revocación de Información de Seguridad Económica Importante, la realización de evaluaciones de idoneidad y la certificación de operadores compatibles” publicados por la Oficina del Gabinete, disponibles en el siguiente enlace: (Criterios propuestos)[ja].

Conclusión: Consulte con un abogado especializado para obtener la autorización de seguridad

Hemos explicado los puntos clave, las empresas objetivo, los beneficios y los inconvenientes del sistema de autorización de seguridad establecido en mayo de la era Reiwa 7 (2025) bajo la nueva “Ley de Protección y Utilización de Información de Seguridad Económica Importante” en Japón.

Mientras que obtener una autorización de seguridad puede expandir las posibilidades de negocio, también es importante prestar atención al costo de adquirir y mantener dicha autorización.

Si tiene dudas o necesita estrategias relacionadas con el sistema de autorización de seguridad bajo la “Ley de Protección y Utilización de Información de Seguridad Económica Importante” de Japón, se recomienda consultar con un abogado internacional con alta especialización.

Presentación de Estrategias por Monolith Law Office

Monolith Law Office es un despacho de abogados especializado en IT, con un enfoque particular en la intersección entre Internet y el derecho. Ofrecemos una amplia gama de apoyo legal y servicios de redacción y revisión de contratos para empresas que van desde aquellas listadas en la Bolsa de Tokio hasta startups emergentes. Para más detalles, por favor consulte el siguiente artículo.

Áreas de práctica de Monolith Law Office: Asuntos legales corporativos de IT y startups en Japón[ja]