Quels sont les points à considérer lors de la création d'une politique de confidentialité en tenant compte de la 'Loi japonaise sur la protection des informations personnelles'?

Récemment, l’intérêt sociétal pour la protection des informations personnelles a augmenté. Il est juste de dire qu’il existe peu d’entreprises qui ne traitent pas d’informations personnelles, et pour de nombreuses entreprises et entrepreneurs individuels, la gestion des informations personnelles est un problème très courant. Il est courant pour les entreprises qui possèdent un site Web d’afficher une politique de confidentialité sur leur site. Une politique de confidentialité est une déclaration des lignes directrices pour la gestion des informations personnelles par l’entreprise concernée, conformément à la loi japonaise sur la protection des informations personnelles. Pour élaborer correctement une politique de confidentialité, il est essentiel de comprendre la loi japonaise sur la protection des informations personnelles. Par conséquent, nous expliquerons les points à vérifier lors de la création d’une politique de confidentialité. Il convient de noter que la loi japonaise sur la protection des informations personnelles a été révisée en 2015 (2015 dans le calendrier grégorien) et que la loi révisée est entrée en vigueur le 30 mai 2017 (2017 dans le calendrier grégorien). En particulier, il y a eu une modification importante concernant la fourniture d’informations personnelles à des tiers, nous expliquerons donc également ce point. Pour plus de détails sur la révision de la loi japonaise sur la protection des informations personnelles, veuillez consulter l’article ci-dessous.

Qu’est-ce qu’une politique de confidentialité ?

La plupart des sites web d’entreprise affichent une politique de confidentialité. Elle peut également être appelée “Politique de protection des informations personnelles”, mais en général, il s’agit de la même chose. La politique de confidentialité indique l’attitude de base de l’entreprise en ce qui concerne le traitement des informations personnelles, et sert également à afficher les informations requises par la loi japonaise sur la protection des informations personnelles. Par conséquent, il est essentiel de couvrir au minimum les points suivants, qui sont requis pour être publiés par la loi japonaise sur la protection des informations personnelles :

• Objectif de l’utilisation des informations personnelles
• Nom ou dénomination de l’opérateur traitant les informations personnelles
• Procédures pour répondre aux demandes de notification, de divulgation, de correction, d’arrêt d’utilisation, etc., de la part de la personne concernée
• Point de contact pour les plaintes

En outre, dans les cas où les informations personnelles sont partagées au sein d’un groupe d’entreprises, ce que l’on appelle une utilisation conjointe, ou dans les cas où des informations traitées de manière anonyme sont traitées, comme nous l’expliquerons plus tard, des éléments spécifiques sont requis pour être publiés pour chaque type d’opération défini par la loi.

Les opérateurs qui devraient créer une politique de confidentialité

Avant la réforme de la loi en 2017 (Loi japonaise sur la protection des informations personnelles), seuls les opérateurs qui détenaient plus de 5000 informations personnelles étaient soumis à cette loi. Par conséquent, il y avait un certain nombre d’opérateurs, notamment les petites entreprises et ceux dont l’activité principale est le business-to-business, qui n’avaient pas besoin de créer une politique de confidentialité. Cependant, avec la réforme de la loi en 2017, la loi sur la protection des informations personnelles s’applique désormais à tous les opérateurs, quel que soit le nombre d’informations personnelles qu’ils détiennent. En conséquence, on peut supposer que tous les opérateurs devront en principe créer une politique de confidentialité. Il convient de noter que même si une politique de confidentialité n’a pas été créée, il est possible de la remplacer en informant l’individu à chaque fois que des informations personnelles sont collectées, des éléments tels que l’objectif de l’utilisation des informations personnelles, qui sont requis pour être publiés par la loi japonaise sur la protection des informations personnelles. Cependant, cela est généralement considéré comme fastidieux, donc une politique de confidentialité est normalement créée.

Points de vérification de la politique de confidentialité

Définition des informations personnelles

Article X
Les informations personnelles sont des informations concernant un individu vivant qui peut être identifié par le nom, la date de naissance et d’autres descriptions contenues dans ces informations (y compris les informations qui peuvent être facilement comparées à d’autres informations et qui permettent d’identifier un individu spécifique).

La définition des informations personnelles peut être suffisamment décrite comme stipulé dans la “Loi japonaise sur la protection des informations personnelles”. Typiquement, il s’agit d’informations telles que le nom et la date de naissance comme dans l’exemple de clause, mais d’autres informations telles que l’âge, le sexe, l’adresse, le numéro de téléphone, la composition familiale, les loisirs, les préférences, l’adresse e-mail, l’ID, l’adresse IP et le timestamp, le lieu de travail, l’affiliation, l’adresse du lieu de travail, le numéro de téléphone du lieu de travail, le numéro de carte de crédit, le numéro de compte bancaire, les informations sur les pages d’accueil visitées, les plaintes, les consultations ou les informations de contact peuvent également être considérées comme des informations personnelles. Par conséquent, il peut être judicieux d’inclure à l’avance dans la définition des informations personnelles de la politique de confidentialité les informations qui sont susceptibles d’être obtenues en particulier de vos clients et autres.

Objectif de l’utilisation des informations personnelles

Article 〇
1. Notre société utilise les informations personnelles collectées aux fins suivantes. Cependant, si un objectif d’utilisation des informations personnelles est spécifié séparément sur le site Web exploité par notre société, la description de cet objectif d’utilisation prévaudra.
(1) Pour permettre à notre société de répondre aux demandes reçues via notre formulaire de contact
(2) Pour fournir et présenter nos services Web, applications et autres services (ci-après dénommés “ce service”) et pour présenter de nouveaux services offerts par notre société
(3) Pour améliorer ce service et développer de nouveaux services
(4) Pour d’autres objectifs liés aux points précédents
2. En plus des objectifs définis dans le paragraphe précédent, notre société peut compiler les informations personnelles collectées auprès des clients en informations statistiques qui ne permettent pas d’identifier ou de spécifier des individus, et peut les utiliser à titre de référence.

Objectif de l’utilisation

La loi japonaise sur la protection des informations personnelles exige que l’objectif de l’utilisation des informations personnelles collectées soit rendu public. Le paragraphe 1 de l’exemple de clause ci-dessus répond à cette exigence. Il est important de noter que dans la définition de l’objectif de l’utilisation, une description abstraite et globale ne suffit pas, et il est nécessaire de décrire de manière spécifique à quel point les informations personnelles de l’individu seront utilisées. Par conséquent, le contenu de la description de l’objectif de l’utilisation peut varier en fonction de l’entreprise qui crée la politique de confidentialité, et il est important de faire attention à cela. De plus, si des informations sont omises, il ne sera pas possible d’utiliser les informations personnelles pour cet objectif, il est donc important de vérifier soigneusement qu’il n’y a pas d’omissions.

Informations traitées de manière anonyme

Le paragraphe 2 de l’exemple de clause concerne les règles relatives aux informations traitées de manière anonyme. Les informations traitées de manière anonyme sont des informations qui ont été traitées de manière à ce qu’il ne soit pas possible d’identifier l’individu et qu’il ne soit pas possible de les restaurer. Il s’agit d’une disposition envisageant l’utilisation efficace des soi-disant “big data”.
Lorsque vous traitez des informations anonymes, il est nécessaire de publier les éléments d’informations personnelles inclus dans les informations anonymes dans la politique de confidentialité, etc. Le paragraphe 2 de l’exemple de clause stipule que les informations personnelles décrites dans la “définition des informations personnelles” seront utilisées comme informations traitées de manière anonyme. De plus, si vous fournissez des informations traitées de manière anonyme à des tiers, en plus de cela, vous devez également publier la méthode de fourniture.

Utilisation des informations personnelles en dehors de l’objectif prévu

Article X
Notre société traitera les informations personnelles obtenues dans la mesure nécessaire pour atteindre l’objectif d’utilisation mentionné dans l’article précédent. Si nous devons utiliser les informations personnelles en dehors de cet objectif, nous obtiendrons le consentement préalable de la personne concernée. Cependant, cela ne s’applique pas dans les cas suivants:
(1) Lorsqu’il est basé sur la loi
(2) Lorsqu’il est nécessaire pour protéger la vie, le corps ou les biens d’une personne et qu’il est difficile d’obtenir le consentement de la personne concernée
(3) Lorsqu’il est particulièrement nécessaire pour améliorer la santé publique ou promouvoir le développement sain des enfants et qu’il est difficile d’obtenir le consentement de la personne concernée
(4) Lorsqu’il est nécessaire de coopérer avec une institution nationale ou une entité publique locale ou une personne à qui elle a confié ses fonctions pour exécuter les affaires prescrites par la loi, et qu’il y a un risque que l’exécution de ces affaires soit entravée par l’obtention du consentement de la personne concernée

En principe, les informations personnelles ne peuvent pas être utilisées en dehors de l’objectif prévu. Cependant, selon la loi japonaise sur la protection des informations personnelles, l’utilisation en dehors de l’objectif est autorisée dans les cas énumérés dans les clauses (1) à (4) ci-dessus.
Les clauses (2) et (3) s’appliquent lorsque la demande d’utilisation des informations personnelles est élevée, mais qu’il est difficile d’obtenir rapidement le consentement de la personne concernée. Les clauses (1) et (4) concernent l’utilisation des informations personnelles basée sur les intentions du gouvernement national ou des entités publiques locales, par exemple, dans le cadre d’enquêtes criminelles. Cette clause sur l’utilisation en dehors de l’objectif est presque standard pour toutes les entreprises et ne change pas beaucoup en fonction de l’activité commerciale.

Fourniture de données personnelles à des tiers

Article X
En principe, notre société ne fournit pas les informations personnelles de nos clients à des tiers sans le consentement du client lui-même. Exceptionnellement, nous ne fournirons des informations à des tiers que si nous avons identifié le destinataire et le contenu de la fourniture et obtenu le consentement du client lui-même. Cependant, cela ne s’applique pas dans les cas suivants:
(1) Lorsqu’il est basé sur la loi
(2) Lorsqu’il est nécessaire pour protéger la vie, le corps ou les biens d’une personne et qu’il est difficile d’obtenir le consentement du client lui-même
(3) Lorsqu’il est particulièrement nécessaire pour améliorer la santé publique ou promouvoir le développement sain des enfants et qu’il est difficile d’obtenir le consentement du client lui-même
(4) Lorsqu’il est nécessaire de coopérer avec une institution nationale ou une entité publique locale ou une personne qui a reçu une délégation pour exécuter les affaires prescrites par la loi, et qu’il y a un risque d’entraver l’exécution des affaires en obtenant le consentement du client lui-même
(5) Lorsqu’il est nécessaire de fournir des informations personnelles à un sous-traitant avec lequel nous avons conclu un contrat de confidentialité pour l’objectif d’utilisation

Exceptions à la fourniture de données personnelles à des tiers

Cette clause concerne les situations où les informations personnelles obtenues par l’entreprise sont fournies à des tiers. Selon la loi japonaise sur la protection des données personnelles, il est nécessaire d’obtenir le consentement de la personne concernée pour fournir des informations personnelles à des tiers. Cependant, il est légalement stipulé que les informations personnelles peuvent être fournies à des tiers sans le consentement de la personne concernée dans les cas spécifiés dans les clauses (1) à (5). Par conséquent, comme pour la clause sur l’utilisation des informations personnelles à des fins autres que celles prévues, la clause sur la fourniture à des tiers est également une clause standard pour la plupart des entreprises. En pratique, le cas le plus couramment utilisé est le (5), où les informations personnelles sont fournies à un sous-traitant. Cependant, même si un contrat de sous-traitance a été conclu, l’entreprise qui a obtenu les informations personnelles a la responsabilité de superviser le sous-traitant. Par conséquent, il est important de noter que si des informations personnelles sont divulguées par le sous-traitant, l’entreprise qui a confié le travail peut également être tenue responsable. Par conséquent, le choix du sous-traitant et la supervision après la sous-traitance doivent être effectués avec soin.

Difficulté d’opt-out due à la révision de la loi

Concernant la fourniture de données personnelles à des tiers, avant la révision de la loi mise en œuvre en 2017 (année 29 de l’ère Heisei), il était possible de fournir des données personnelles à des tiers sans obtenir le consentement préalable de la personne concernée, à condition que “la fourniture de données personnelles à des tiers soit arrêtée à la demande de la personne concernée”. C’est ce qu’on appelle l’opt-out. Cependant, avec la révision de la loi mise en œuvre en 2017, sauf si une notification préalable est faite à la Commission de protection des données personnelles, il n’est plus possible de fournir des données personnelles à des tiers par opt-out, et les règles ont été renforcées.
Il peut sembler suffisant de simplement notifier la Commission de protection des données personnelles, mais ce système de notification est principalement destiné aux entreprises qui traitent les données personnelles elles-mêmes comme des produits, comme les entreprises de listes, et les notificateurs sont rendus publics, donc en réalité, il n’y a pas beaucoup d’entreprises qui ont fait cette notification. Par conséquent, en pratique, la fourniture de données personnelles à des tiers sans le consentement de la personne concernée est difficile, sauf dans les cas où elle est autorisée comme exception, comme la sous-traitance.

Divulgation, correction, etc. des informations personnelles

Conformément à la loi japonaise sur la protection des informations personnelles (Loi sur la protection des informations personnelles), il est également nécessaire de publier les procédures pour répondre aux demandes de notification, de divulgation, de correction et d’arrêt de l’utilisation de la part de la personne concernée. Par conséquent, lors de la création d’une politique de confidentialité, il est nécessaire de stipuler ces points. Cependant, les clauses qui définissent ces points sont souvent formulées de manière standard par de nombreux opérateurs. Un point à considérer est de savoir s’il faut fixer des frais pour répondre aux demandes de divulgation, etc. de la part de la personne concernée. Fixer des frais appropriés peut être un moyen de prévenir les retards dans les opérations dus à des demandes abusives. Si des frais sont nécessaires, il est important de noter qu’il est nécessaire de stipuler leur contenu dans la politique de confidentialité.

Conclusion

En ce qui concerne la protection des informations personnelles, la réglementation tend à se durcir progressivement en réponse à l’augmentation de l’intérêt sociétal. Il est bien sûr nécessaire de gérer les informations en toute sécurité au sein de l’entreprise pour éviter toute fuite d’informations personnelles, mais il est également important de mettre en place des politiques de confidentialité et des règlements internes conformes à la réglementation. La loi japonaise sur la protection des informations personnelles (Japanese Personal Information Protection Law) sera révisée régulièrement tous les trois ans. Chaque fois que les règles concernant le traitement des informations personnelles changent, il peut être nécessaire non seulement de modifier les systèmes internes, mais aussi de revoir les méthodes d’affaires elles-mêmes. En ce sens, la loi sur la protection des informations personnelles peut être considérée comme une loi qui touche au cœur même des affaires, il est donc particulièrement important pour les entreprises qui traitent de nombreuses informations personnelles de toujours être au courant des modifications législatives.

Présentation de la création et de la révision de contrats par notre cabinet

Le cabinet d’avocats Monolis, spécialisé dans le droit de l’IT, de l’Internet et des affaires, propose à ses clients et entreprises conseillées une gamme de services allant au-delà de la politique de confidentialité, notamment la création et la révision de divers contrats.