GDPR – mis see on? Võrdlus Jaapani isikuandmete kaitse seadusega ja punktid, millele Jaapani ettevõtted peaksid tähelepanu pöörama

Ettevõtte laiendamisel ELi piirkonda on hädavajalik omada põhjalikke teadmisi GDPR-ist (Üldine Andmekaitse Määrus). GDPR võib kehtida ka Jaapani ettevõtetele, mis ei oma ELi piirkonnas tugipunkti. Omandage GDPR-i ja Jaapani isikuandmete kaitse seaduse alusteadmised ning rakendage asjakohast andmehaldust.

Käesolevas artiklis selgitame GDPR-i, võrreldes seda Jaapani isikuandmete kaitse seadusega, ja toome välja punktid, millele Jaapani ettevõtted peaksid tähelepanu pöörama. Kui olete õigusnõustaja, kes kaalub andmekaitse eeskirjade muutmise vajadust või soovib teada, milliseid seadusi tuleks ELi laienemiseks ette valmistada, siis kasutage seda artiklit kindlasti juhendina.

Mis on GDPR (EL-i üldine andmekaitse määrus)?

“GDPR (General Data Protection Regulation)” ehk Euroopa Liidu (EL) poolt kehtestatud isikuandmete käsitlemise (isikuandmete kaitse) eeskirjad on tuntud ka kui “üldine andmekaitse määrus” Jaapanis.

See kehtestab ranged standardid isikuandmete käsitlemiseks EL-i piires ja selle eesmärk on tugevdada isikute privaatsuse kaitset.

Isikuandmete kaitse seisukohast pakub see ettevõtetele ja organisatsioonidele juhiseid, kuidas andmeid käsitleda, ning isikutele, kuidas oma teavet kaitsta.

Viide: Jaapani Isikuandmete Kaitse Komisjon | “Üldine andmekaitse määrus (GDPR) ajutine jaapanikeelne tõlge[ja]“

GDPR-i põhiprintsiibid on järgmised:

• Seaduslikkus, õiglus ja läbipaistvus
• Eesmärgi piirang
• Andmete minimeerimine
• Täpsus
• Säilitamise piirang
• Terviklikkus ja konfidentsiaalsus

Allpool selgitame iga põhiprintsiipi lähemalt.

Seaduslikkus, õiglus ja läbipaistvus

GDPR-i põhiprintsiipide hulgas on esikohal seaduslikkus, õiglus ja läbipaistvus.

Kui ettevõtjad koguvad ja töötlevad isikuandmeid, peavad nad lähtuma seaduslikust alusest ning selgitama osapooltele arusaadavalt, kuidas nende andmete töötlemine toimub.

Lisaks peavad ettevõtjad tagama privaatsusinfo selge esitamise, et osapooled mõistaksid, kuidas nende andmeid käsitletakse, ning et neil oleks võimalik oma andmete üle kontrolli omada, rõhutades sellega läbipaistvust.

Andmete kasutamise eesmärgi piirang

Andmete kasutamise eesmärgi piirang tähendab, et andmete kogumine ja töötlemine peaks toimuma ainult kindla ja selge eesmärgi nimel.

Isikuandmeid koguv ettevõtja peab oma eesmärki täpselt ja konkreetsemalt osapooltele esitama ning saama nende selge nõusoleku. Lisaks on ettevõtjal kohustus kogutud andmeid kasutada ainult nende eesmärkide jaoks, milleks ta on andmesubjektilt nõusoleku saanud, ning neid andmeid rangelt hallata.

Isikuandmete minimeerimine

Isikuandmete kogumine peaks olema piiratud ainult sellega, mis on vajalik eesmärgi saavutamiseks (minimeerimine). Kogume isikuandmeid ainult ulatuses, mis on nõutud eesmärgi täitmiseks, ja väldime üleliigse isikliku teabe kogumist.

Selle tulemusena hoitakse säilitatavate isikuandmete hulk minimaalsena, tagades isikute privaatsuse kaitse.

Täpsus

Isikuandmete kaitse üldmääruse (GDPR) ühe põhiprintsiibina peavad isikuandmed olema täpsed. Ebatäpsed isikuandmed tuleb parandada ning rakendada tuleb meetmeid, et säilitada andmete ajakohasus ja täpsus.

Selle tulemusena kaitstakse isikute õigusi ja huve ning isikuandmete töötlemine toimub täpse teabe alusel.

Andmete säilitamise piirangud

Üldise andmekaitsemääruse (GDPR) põhiprintsiipide hulka kuulub andmete säilitamise piirangute kontseptsioon. Eesmärgi saavutamisel ja andmete muutumisel mittevajalikuks tuleb isikuandmed viivitamatult kustutada.

Isikuandmete mittevajaliku säilitamise vältimisega tagame isikuandmete nõuetekohase haldamise ja privaatsuse kaitse.

Täielikkus ja konfidentsiaalsus

Isikuandmed peavad olema täielikud ja nende konfidentsiaalsus peab olema tagatud. Isikuandmeid tuleb kaitsta võltsimise ja kaotsimineku eest ning rakendada tuleb asjakohaseid meetmeid nende kaitsmiseks volitamata juurdepääsu eest.

Selle tulemusena paraneb isikuandmete usaldusväärsus.

Kas ainult ELi ettevõtted? GDPRi kohaldamisala

GDPR ei kohaldu ainult Euroopa Liidu (EL) ettevõtetele. See võib kehtida ka Jaapani ettevõtetele. Selgitame nelja tüüpi ettevõtteid, millele GDPR kohaldub.

GDPRi kohaldamisalasse kuuluvad ettevõtted peavad tagama andmete seadusliku ja läbipaistva töötlemise, turvalisuse ning vastavuse GDPRi standarditele.

Seotud artikkel: Mis juhtub, kui GDPRi kohaldatakse väljaspool oma territooriumi? Selgitame, kuidas reageerida[ja]

Isikuandmete käsitlemine GDPR-i alusel

GDPR pakub raamistikku isikuandmete käsitlemiseks, austades privaatsust ja soodustades andmete liikumist.

GDPR kaitseb isikuandmete kontrolli ja austust, samal ajal soodustades andmete liikumist ja tagades usaldusväärse halduse.

Selleks on oluline andmetöötluse läbipaistvus ja ettevõtete vastutustunne, ning ettevõtetelt nõutakse andmete käsitlemist vastavalt määrusele.

GDPR sisaldab ka järgmisi sätteid.

Siiski on juhtumeid, kus isikuandmete “käsitlemine” on lubatud ka ilma isiku nõusolekuta. Konkreetsed näited on järgmised:

• Kui see on vajalik lepingu täitmiseks, milles isik on lepinguosaline
• Kui see on vajalik isiku taotlusel enne lepingu sõlmimist vajalike toimingute tegemiseks
• Kui see on vajalik halduri õiguslike kohustuste täitmiseks
• Kui see on vajalik isiku või teise isiku elu kaitseks
• Kui see on vajalik avaliku huvi või avaliku võimu teostamiseks
• Kui see on vajalik halduri või kolmanda isiku õigustatud huvide eesmärgil (vajalik on isiku õiguste, huvide ja vabaduste kaalumine)

GDPR-i raames isikuandmetega seotud peamised õigused

GDPR-i kohaselt on isikuandmete subjektidel peamiselt järgmised õigused:

• Õigus pääseda juurde oma isikuandmetele
• Õigus nõuda oma isikuandmete parandamist või kustutamist
• Õigus taotleda oma isikuandmete kasutamise piiramist
• Õigus esitada vastuväiteid oma isikuandmete töötlemisele

Isikuandmete subjektidel on õigus mõista, kuidas nende teavet kasutatakse. Kui nad tunnevad, et teavet kasutatakse ebatäpselt või sobimatult, võivad nad nõuda selle parandamist või kustutamist, samuti on neil võimalik taotleda kasutamise ajutist peatamist või esitada vastuväiteid.

GDPR-i raames isikuandmetega seotud peamised kohustused

Kuigi isikuandmete subjektidel on tunnustatud eespool nimetatud õigused, on ettevõtetel, kes koguvad ja töötlevad isikuandmeid, peamiselt järgmised kohustused:

• GDPR-ile vastava isikuandmete käsitlussüsteemi ja personali struktuuri loomise kohustus
• Isikuandmete käsitlusega seotud dokumentatsiooni pidamise kohustus
• Vastutus reageerida isikuandmete rikkumise korral

Et isikuandmed oleksid korralikult kaitstud, on ettevõtete poolt kantavad need kohustused olulised.

Lisaks on isikuandmetega seoses oluline, et kõik andmetöötlustegevused oleksid korrektselt dokumenteeritud, mis on vajalik läbivaatuste tegemiseks, kui see peaks vajalikuks osutuma.

Kui toimub isikuandmete rikkumine, on ettevõttel kohustus võtta asjakohaseid meetmeid ja teavitada asjaomaseid osapooli.

GDPR-i rikkumise korral

Kui andmetöötleja või -volinik rikub GDPR-i ja põhjustab andmesubjektile kahju, võib andmesubjekt nõuda kahjutasu (GDPR-i artikkel 82 lõige 1).

Lisaks võivad GDPR-i rikkumised kaasa tuua rasked tagajärjed. Näiteks võib rikkumise eest määrata Euroopa Liidu poolt sanktsioonid GDPR-i artikli 83 alusel (GDPR-i artikkel 83).

GDPR ja isikuandmete kaitse seaduse erinevused

GDPR ja isikuandmete kaitse seaduse peamised erinevused on järgmised:

• Kaitse all olevad andmed
• Isikuandmete rikkumise korral võetavad meetmed
• Esindaja määramine
• Rikkumise korral kohaldatavad sanktsioonid

Allpool selgitame neid erinevusi üksikasjalikumalt.

Kaitse all olevad andmed

GDPR ja isikuandmete kaitse seadus erinevad kaitstavate andmete osas. GDPR kaitseb laialdaselt isikuandmeid, mida töödeldakse ELi territooriumil. See hõlmab mitte ainult ELis asuvaid ettevõtteid, vaid ka neid, kes pakuvad kaupu või teenuseid ELi territooriumil asuvatele isikutele.

Seevastu isikuandmete kaitse seaduse kaitse all olevad andmed varieeruvad riigiti ja piirkonniti.

Näiteks Jaapani isikuandmete kaitse seadus (Japanese Personal Information Protection Law) käsitleb riigisiseselt töödeldavaid isikuandmeid ja kaitse on põhimõtteliselt piiratud riigisiseselt.

Isikuandmete rikkumise korral võetavad meetmed

GDPR ja isikuandmete kaitse seadus erinevad ka isikuandmete rikkumise korral võetavate meetmete osas.

GDPRi kohaselt peavad ettevõtted andmeleket avastades teavitama järelevalveasutust 72 tunni jooksul. Samuti on neil kohustus teavitada viivitamatult ja selgelt andmete subjekti.

Isikuandmete kaitse seaduse kohaselt tuleb andmeleket samuti kiiresti teavitada, kuid teavitamise tähtaeg ja sisu varieeruvad riigiti ja piirkonniti.

Esindaja määramine

GDPR ja isikuandmete kaitse seadus erinevad ka esindaja määramise reeglites.

GDPR nõuab, et lapse isikuandmete töötlemisel oleks vajalik vanema või seadusliku esindaja nõusolek. Lisaks peavad veebiteenuseid pakkuvad ettevõtted saama vanema nõusoleku, kui nad käsitlevad alla 16-aastaste laste isikuandmeid.

Isikuandmete kaitse seadus nõuab samuti lapse isikuandmete käsitlemisel seadusliku esindaja nõusolekut, kuid vanusepiirang ja nõusoleku saamise viis võivad erineda sõltuvalt seadusest.

Rikkumise korral kohaldatavad sanktsioonid

GDPR ja isikuandmete kaitse seaduse erinevused hõlmavad ka rikkumise korral kohaldatavaid sanktsioone.

GDPRi kohaselt võib rikkumise eest määrata trahvi, mis on kuni 4% ettevõtte kogu aastasest käibest või 20 miljonit eurot, olenevalt kumb summa on suurem.

Isikuandmete kaitse seaduse sanktsioonid varieeruvad riigiti ja piirkonniti, kuid üldiselt hõlmavad need trahve ja õiguslikku vastutust. Trahvisummad sõltuvad rikkumise olemusest ja tõsidusest.

GDPRi nõuetele vastavuse olulised punktid Jaapani ettevõtetele

Järgnevatele ettevõtetele on GDPRi nõuetele vastavus hädavajalik:

• Ettevõtted, millel on ELi piirkonnas tütarettevõtted, filiaalid või müügikontorid
• Ettevõtted, mis pakuvad kaupu või teenuseid Jaapanist ELi piirkonda
• Ettevõtted, kes on saanud ELi piirkonna ettevõtetelt isikuandmete töötlemise ülesandeid

Ettevõtete konkreetsete meetmete näitena soovitab GDPRi artikkel 32 ja preambuli punkt (83) andmekaitsetehnoloogiana kasutada krüpteerimist.

Seetõttu on vajalik krüpteerida isikuandmeid sisaldavad andmekandjad, nagu kliendi arvutid, kõvakettad, USB-mälupulgad ja ühiskasutatavad kaustad.

Lisaks on vaja muuta privaatsuspoliitikat, et see vastaks GDPRi nõuetele. GDPRi nõuetele vastava privaatsuspoliitika kohta leiate rohkem teavet järgnevast artiklist.

Seotud artikkel: Selgitame, kuidas koostada GDPRi nõuetele vastavat privaatsuspoliitikat[ja]

Kokkuvõte: GDPR-i meetmete osas konsulteerige spetsialistiga

GDPR kaitseb laialdaselt isikuandmeid, mis töödeldakse EL-i piires, ning nõuab andmete seaduslikku ja läbipaistvat töötlemist ning turvalisuse tagamist. GDPR-i ja isikuandmete kaitse seaduse (Japanese Personal Information Protection Law) erinevused hõlmavad kaitse ulatust, isikuandmete rikkumise korral võetavaid meetmeid, esindaja määramist ja rikkumise korral kohaldatavaid sanktsioone.

GDPR-i kohaldatakse peamiselt ettevõtetele, mis asuvad EL-i territooriumil, pakuvad kaupu või teenuseid EL-i isikutele või kellele on EL-i ettevõtetelt usaldatud isikuandmete töötlemine. GDPR-i rikkumise korral võib ettevõttele määrata kahjutasu nõudeid või sanktsioone, seega tuleb olla väga ettevaatlik.

Soovitame konsulteerida spetsialistiga, et teha kindlaks, kas teie ettevõtte andmekaitse eeskirju on vaja GDPR-iga vastavusse viia.

Meie büroo poolt pakutavad meetmed

Monolith õigusbüroo on IT ja eriti interneti ning õiguse valdkonnas rikkaliku kogemusega õigusbüroo. Viimastel aastatel on globaalne äri jätkuvalt laienenud ja professionaalse õigusliku kontrolli vajadus on üha suurenenud. Meie büroo pakub rahvusvahelise õiguse valdkonnas lahendusi.

Monolith õigusbüroo tegevusvaldkonnad: Rahvusvaheline õigus ja välisäri[ja]