Qu'est-ce que le RGPD ? Explication des points de comparaison avec la loi japonaise sur la protection des données personnelles et les points à prendre en compte pour les entreprises japonaises

Lorsque vous envisagez de développer vos activités dans l’Union européenne, il est essentiel de posséder une connaissance exhaustive du RGPD (Règlement Général sur la Protection des Données). Même les entreprises japonaises qui n’ont pas d’établissement dans l’UE peuvent être soumises au RGPD. Acquérez les connaissances de base sur le RGPD et la loi japonaise sur la protection des données personnelles, et assurez-vous de gérer vos données de manière appropriée.

Cet article explique le RGPD, en le comparant avec la loi japonaise sur la protection des données personnelles, et souligne les points d’attention pour les entreprises japonaises. Si vous êtes un responsable juridique qui envisage de modifier vos règles de protection des données ou qui souhaite connaître les lois à prendre en compte pour une expansion dans l’UE, cet article vous sera certainement utile.

Qu’est-ce que le RGPD (Règlement Général sur la Protection des Données) ?

Le “RGPD (Règlement Général sur la Protection des Données)” est une réglementation établie par l’Union européenne (UE) concernant la gestion des données personnelles (protection des informations personnelles), également appelée “règlement général sur la protection des données” au Japon.

Il établit des normes strictes pour le traitement des données personnelles au sein de l’UE et vise à renforcer la protection de la vie privée des individus.

Du point de vue de la protection des informations personnelles, il fournit des normes sur la manière dont les entreprises et les organisations devraient gérer les données, ainsi que sur la façon dont les individus peuvent protéger leurs propres informations.

Référence : Commission de protection des informations personnelles | “Traduction provisoire en japonais du RGPD (GDPR)[ja]“

Les principes de base du RGPD sont les suivants :

• Légalité, équité et transparence
• Limitation des finalités
• Minimisation des données
• Exactitude
• Limitation de la conservation des données
• Intégrité et confidentialité

Nous expliquerons chacun de ces principes de base ci-dessous.

Légalité, équité et transparence

Les principes fondamentaux du GDPR (Règlement Général sur la Protection des Données) sont la légalité, l’équité et la transparence.

Lorsque les entreprises collectent et traitent des données personnelles, elles doivent s’assurer qu’il existe une base légale pour ces actions et communiquer clairement aux personnes concernées comment leurs données sont traitées.

De plus, il est crucial pour les entreprises de fournir explicitement des informations sur la vie privée et de maintenir la transparence afin que les individus comprennent et puissent contrôler la manière dont leurs données sont gérées.

Limitation de l’objectif d’utilisation

La limitation de l’objectif d’utilisation signifie que la collecte et le traitement des données doivent être effectués pour un but spécifique et clairement défini.

Les entreprises qui acquièrent des données personnelles doivent indiquer cet objectif de manière précise et concrète aux parties concernées et obtenir leur consentement explicite. Ensuite, il est exigé des entreprises qu’elles limitent l’utilisation des données collectées aux fins pour lesquelles elles ont reçu le consentement du sujet des données et qu’elles gèrent ces données de manière stricte.

Minimisation des données personnelles

La collecte des données personnelles doit être limitée (minimisée) à ce qui est strictement nécessaire pour atteindre l’objectif visé. Nous ne collectons les données personnelles que dans la mesure appropriée à l’objectif demandé et nous nous abstenons de recueillir des informations personnelles superflues.

Cela permet de réduire au minimum la quantité de données personnelles conservées et de protéger la vie privée des individus.

Exactitude

En tant que principe fondamental du RGPD (Règlement Général sur la Protection des Données), les données personnelles doivent être exactes. Les données personnelles inexactes doivent être corrigées, et des mesures doivent être prises pour maintenir les informations à jour et précises.

Cela garantit la protection des droits et des intérêts des individus et assure que le traitement des données personnelles est basé sur des informations correctes.

Limitations de conservation des données

Le Règlement Général sur la Protection des Données (RGPD) intègre un principe fondamental : la limitation de la conservation des données. Les données personnelles devenues inutiles une fois l’objectif atteint doivent être rapidement supprimées.

En évitant de conserver des données personnelles devenues inutiles, nous assurons une gestion adéquate des données personnelles et la protection de la vie privée.

Intégrité et confidentialité

Les données personnelles doivent être complètes et leur confidentialité préservée. Il convient de protéger les données personnelles contre toute altération ou perte et de mettre en place des mesures adéquates pour les défendre contre les accès non autorisés.

Cela contribue à renforcer la fiabilité des données personnelles.

Le champ d’application du GDPR ne se limite pas aux entreprises de l’UE ?

Le GDPR ne s’applique pas uniquement aux entreprises situées dans l’UE. Les entreprises japonaises peuvent également être concernées. Nous expliquerons ci-dessous les quatre catégories d’entreprises auxquelles le GDPR s’applique.

Les entreprises soumises au GDPR sont tenues de garantir un traitement des données légal et transparent, de sécuriser les données, et de se conformer aux normes du GDPR.

Article connexe : Que faire lorsque le GDPR s’applique en dehors de l’UE ? Explication des méthodes de conformité[ja]

Traitement des données personnelles selon le RGPD

Le RGPD (Règlement Général sur la Protection des Données) fournit un cadre pour la protection de la vie privée et la circulation des données personnelles.

Le RGPD protège le contrôle et le respect des données personnelles tout en favorisant leur circulation et en garantissant leur fiabilité grâce à une gestion appropriée.

Pour cela, la transparence du traitement des données et la responsabilité des entreprises sont essentielles, et les entreprises sont tenues de traiter les données conformément à la réglementation.

Le RGPD comprend également les dispositions suivantes :

Cependant, il existe des cas où le traitement des données personnelles est autorisé même sans le consentement de la personne concernée. Voici quelques exemples concrets :

• Lorsque cela est nécessaire pour l’exécution d’un contrat auquel la personne concernée est partie.
• Lorsque cela est nécessaire pour prendre des mesures à la demande de la personne concernée avant de conclure un contrat.
• Lorsque cela est nécessaire pour que le responsable du traitement se conforme à une obligation légale.
• Lorsque cela est nécessaire pour protéger les intérêts vitaux de la personne concernée ou d’une autre personne.
• Lorsque cela est nécessaire pour des raisons d’intérêt public ou pour l’exercice de l’autorité publique dont est investi le responsable du traitement.
• Lorsque cela est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à condition que les intérêts ou les droits et libertés fondamentaux de la personne concernée ne prévalent pas (nécessitant une mise en balance).

Les principaux droits relatifs aux données personnelles selon le RGPD

Le RGPD (Règlement Général sur la Protection des Données) reconnaît principalement les droits suivants aux personnes concernées par les données personnelles :

• Le droit d’accéder à ses données personnelles
• Le droit de demander la rectification ou la suppression de ses données personnelles
• Le droit de demander une limitation de l’utilisation de ses données personnelles
• Le droit de contester le traitement de ses données personnelles

Les personnes concernées ont le droit de comprendre comment le fournisseur utilise leurs informations. Si elles estiment que les informations sont inexactes ou utilisées de manière inappropriée, elles peuvent demander une rectification ou une suppression, ainsi que la suspension temporaire de l’utilisation ou formuler une opposition.

Principales responsabilités relatives aux données personnelles dans le RGPD

Tandis que les droits suivants sont reconnus aux sujets des données personnelles, les entreprises qui collectent et traitent ces données personnelles ont principalement les responsabilités suivantes :

• Établir un système et une structure humaine pour la gestion des données personnelles conformément au RGPD
• Consigner les activités de traitement des données personnelles
• Assumer la responsabilité en cas de violation des données personnelles

Pour que les données personnelles soient correctement protégées, il est crucial que les entreprises assument ces responsabilités.

En outre, il est essentiel que toutes les activités de traitement des données personnelles soient dûment enregistrées, afin de permettre une révision si nécessaire.

En cas de violation des données personnelles, l’entreprise a la responsabilité de prendre les mesures appropriées et d’informer les parties concernées.

En cas de violation du RGPD

Si un responsable du traitement ou un sous-traitant viole le RGPD (Règlement Général sur la Protection des Données) et cause un préjudice à la personne concernée, il est possible que des dommages-intérêts soient réclamés (Article 82, paragraphe 1 du RGPD).

De plus, une violation du RGPD peut entraîner de lourdes conséquences. Par exemple, des amendes peuvent être imposées par l’UE en vertu de l’article 83 du RGPD, comme mesure pour les infractions commises (Article 83 du RGPD).

Différences entre le RGPD et la loi sur la protection des données personnelles

Les différences principales entre le RGPD et la loi sur la protection des données personnelles sont les suivantes :

• Les données protégées
• La réaction en cas de violation des données personnelles
• La désignation d’un représentant
• Les sanctions en cas de non-conformité

Nous allons les expliquer en détail ci-dessous.

Les données protégées

Le RGPD et la loi sur la protection des données personnelles diffèrent quant aux données qui sont protégées. Le RGPD protège une large gamme de données personnelles traitées à l’intérieur de l’UE. Il concerne non seulement les entreprises basées dans l’UE, mais aussi celles qui offrent des biens ou des services aux personnes se trouvant dans l’UE.

En revanche, la loi sur la protection des données personnelles varie selon le pays ou la région. Par exemple, la loi japonaise sur la protection des données personnelles cible les informations personnelles traitées au Japon, et la protection est généralement limitée au territoire national.

La réaction en cas de violation des données personnelles

Il existe des différences entre le RGPD et la loi sur la protection des données personnelles concernant la réaction en cas de violation des données personnelles.

Sous le RGPD, en cas de violation de données, les entreprises ont l’obligation de notifier l’autorité de contrôle dans les 72 heures. Elles ont également la responsabilité d’informer rapidement et clairement les sujets des données personnelles.

Dans le cadre de la loi sur la protection des données personnelles, une notification rapide est également requise en cas de violation, mais les délais de signalement et le contenu des notifications varient selon le pays ou la région.

La désignation d’un représentant

Le RGPD et la loi sur la protection des données personnelles ont des règles différentes concernant la désignation d’un représentant.

Sous le RGPD, le traitement des données personnelles des enfants nécessite le consentement des parents ou des représentants légaux. De plus, lorsque des entreprises fournissent des services en ligne et traitent les données personnelles d’enfants de moins de 16 ans, le consentement des parents est requis.

La loi sur la protection des données personnelles exige également le consentement d’un représentant légal pour le traitement des informations personnelles des enfants, mais l’âge requis et la méthode d’obtention du consentement varient selon la législation.

Les sanctions en cas de non-conformité

Une autre différence entre le RGPD et la loi sur la protection des données personnelles réside dans les sanctions en cas de non-conformité.

Sous le RGPD, les infractions peuvent entraîner des amendes allant jusqu’à 4 % du chiffre d’affaires annuel global de l’entreprise ou 20 millions d’euros, selon le montant le plus élevé.

Les sanctions prévues par la loi sur la protection des données personnelles varient selon le pays ou la région, mais elles impliquent généralement des amendes ou des responsabilités juridiques. Le montant des amendes varie en fonction de la nature et de la gravité de l’infraction.

Points clés pour les entreprises japonaises en matière de conformité au RGPD

Les entreprises suivantes doivent prendre des mesures pour se conformer au RGPD :

• Les entreprises ayant des filiales, des succursales ou des bureaux de vente dans l’UE
• Les entreprises fournissant des biens ou des services à l’UE depuis le Japon
• Les entreprises traitant des données personnelles sur mandat d’entreprises de l’UE

En tant que mesures spécifiques au sein des entreprises, l’article 32 et le considérant (83) du RGPD recommandent l’utilisation du chiffrement comme l’une des technologies de protection des données.

Par conséquent, il est nécessaire de chiffrer les données personnelles sur les PC clients, les disques durs, les clés USB et autres supports de stockage, ainsi que dans les dossiers partagés.

De plus, il est nécessaire de mettre à jour la politique de confidentialité pour qu’elle soit conforme au RGPD. Pour plus d’informations sur la politique de confidentialité conforme au RGPD, veuillez consulter l’article suivant.

Article connexe : Explication des points clés pour la création d’une politique de confidentialité conforme au RGPD[ja]

Résumé : Consultez un expert pour les mesures relatives au RGPD

Le RGPD (Règlement Général sur la Protection des Données) vise à protéger de manière étendue les données personnelles traitées au sein de l’UE, en exigeant un traitement légal et transparent des données et en assurant leur sécurité. Les différences entre le RGPD et la loi japonaise sur la protection des données personnelles incluent les objets de protection, les réponses en cas de violation des données personnelles, la désignation de représentants et les sanctions en cas d’infraction.

Les entreprises concernées par l’application du RGPD sont principalement celles qui ont des établissements dans l’UE, celles qui offrent des biens ou des services aux personnes dans l’UE, ou celles qui traitent des données personnelles sur mandat d’entreprises de l’UE. En cas de violation du RGPD, il est possible de faire face à des demandes de dommages-intérêts et à des sanctions pécuniaires, il est donc essentiel de faire preuve de prudence.

Si vous devez modifier les règles de protection des données de votre entreprise pour les conformer au RGPD, il est recommandé de consulter un expert.

Présentation des mesures proposées par notre cabinet

Le cabinet d’avocats Monolith est spécialisé en IT, et plus particulièrement dans l’intersection entre Internet et le droit, fort d’une riche expérience dans ces deux domaines. Avec l’expansion croissante des affaires mondiales ces dernières années, la nécessité de contrôles juridiques par des experts est de plus en plus prégnante. Notre cabinet offre des solutions en matière de droit international et de gestion des affaires à l’étranger.

Domaines d’intervention du cabinet d’avocats Monolith : Droit international et affaires étrangères[ja]