Décryptage de la politique de « révision tous les trois ans » de la loi sur la protection des données personnelles : impact sur les pratiques des entreprises et points clés pour y faire face

Le 9 janvier de l’année Reiwa 8 (2026), la Commission de protection des informations personnelles a publié les lignes directrices pour la révision triennale de la Loi japonaise sur la protection des informations personnelles. Cette révision vise à promouvoir l’utilisation des données à l’ère de l’IA tout en réorganisant les règles et les régulations concernant l’utilisation inappropriée, notamment par l’introduction de “sanctions pécuniaires”. Elle inclut également des éléments qui affecteront la gestion des données par les entreprises.

Dans cet article, nous expliquons les points clés de la révision que les entreprises doivent maîtriser en pratique au Japon.

Contexte et exigences institutionnelles de la révision de la Loi japonaise sur la protection des informations personnelles

La révision actuelle repose sur trois éléments principaux.

Révision triennale en tant qu’obligation légale

Premièrement, il s’agit d’une exigence institutionnelle. Selon les dispositions additionnelles de la loi révisée de l’ère Reiwa 2 (2020), il est obligatoire d’examiner tous les trois ans la mise en œuvre de la loi en tenant compte des tendances internationales, des avancées technologiques en matière d’information et de communication, ainsi que de la création de nouvelles industries, et de prendre les mesures nécessaires.

La révision actuelle est le résultat des travaux d’examen commencés en novembre de l’ère Reiwa 5 (2023) conformément à cette disposition.

Référence : Commission de protection des informations personnelles｜Révision triennale de la Loi sur la protection des informations personnelles

Coordination avec la réforme numérique du gouvernement japonais

Deuxièmement, il s’agit de l’alignement avec la stratégie gouvernementale japonaise d’utilisation des données. En juin de l’ère Reiwa 7 (2025), le gouvernement a approuvé en conseil des ministres les “Principes fondamentaux concernant le système d’utilisation des données”, et poursuit l’élaboration d’une législation transversale pour établir un cycle vertueux entre les données et l’IA. En particulier, la rapide diffusion de l’IA et la complexification du traitement des données ont mis en lumière le défi pour les individus de comprendre comment leurs données sont traitées.

Pour répondre à cela, il est essentiel de créer un climat de confiance permettant aux individus de fournir leurs données en toute sécurité, et de mettre en place un cadre intégré pour promouvoir l’utilisation des données tout en garantissant l’efficacité des règles postérieures.

Répondre aux changements de l’environnement social et technologique

Troisièmement, il s’agit des changements de risques entourant les droits et intérêts individuels.

Ces dernières années, l’utilisation des informations biométriques, telles que les données de caractéristiques faciales (informations permettant d’identifier une personne en numérisant la forme et la disposition des traits du visage), s’est répandue, et des problèmes concernant le traitement des informations personnelles des enfants de moins de 16 ans ont également émergé.

De plus, les cas d’utilisation criminelle des informations personnelles, tels que les escroqueries spéciales ou le phishing initiés par des “listes noires”, ne cessent d’augmenter. Par ailleurs, avec l’augmentation des cas de sous-traitance du traitement des données, des risques liés à une gestion inadéquate, comme l’utilisation des données par le sous-traitant au-delà de son champ d’activité, ont été signalés.

Ces nouveaux risques montrent que le cadre juridique actuel ne suffit pas toujours à y répondre, ce qui justifie la révision.

Les Quatre Piliers de la Politique de Révision de la Loi Japonaise sur la Protection des Informations Personnelles

La politique de révision actuelle se compose de quatre grands piliers. Nous allons expliquer en détail chacun d’eux.

Promotion de l’utilisation appropriée des données au Japon

Dans cette révision, l’utilisation des données ayant un impact relativement faible sur les droits et intérêts de la personne concernée sera réexaminée pour faciliter leur utilisation. Cela se fera en révisant la manière dont la personne concernée est impliquée.

Concrètement, lorsqu’il est garanti que les données sont utilisées de manière à ne pas identifier des individus spécifiques, comme dans la création de statistiques ou le développement d’IA, il est proposé de ne pas exiger le consentement de la personne pour la fourniture de données personnelles à des tiers, sous certaines conditions.

De plus, dans les cas où il est évident, d’après les circonstances de l’acquisition, que cela ne va pas à l’encontre de la volonté de la personne concernée (par exemple, la fourniture d’informations de réservation d’hôtel à l’établissement d’hébergement ou le partage d’informations lors de transferts internationaux), il est envisagé de ne pas exiger de consentement.

En outre, les exceptions concernant la protection de la vie, du corps, des biens ou l’amélioration de la santé publique seront réorganisées pour assouplir la condition actuelle de “difficulté à obtenir le consentement”. Une révision est également envisagée pour les exceptions relatives à la recherche académique, visant à faciliter la recherche clinique par les établissements médicaux.

Discipline Appropriée Face aux Risques au Japon

La mise en place de règles adaptées aux changements dans les modes de traitement est également considérée comme un point crucial.

Tout d’abord, en ce qui concerne la réglementation relative aux mineurs, lorsqu’il s’agit de collecter des informations personnelles auprès de personnes de moins de 16 ans, il est envisagé de mettre en place un système qui exige l’implication d’un représentant légal. De plus, il est proposé d’introduire une nouvelle obligation de prendre en compte “l’intérêt supérieur de la personne” lors du traitement des informations personnelles des mineurs.

Ensuite, pour ce qui est de la réglementation concernant les informations biométriques, des mesures telles que le renforcement de la sensibilisation à l’utilisation des données de caractéristiques faciales, qui permettent d’identifier de manière continue des individus spécifiques, ainsi que l’élargissement du champ des demandes de cessation d’utilisation, sont à l’étude. Parallèlement, la révision de la fourniture à des tiers par le biais de l’opt-out est également un sujet de discussion.

En outre, concernant la réglementation sur la sous-traitance, il est envisagé de clarifier les règles pour prévenir l’utilisation en dehors du cadre des tâches par le sous-traitant. D’un autre côté, lorsqu’il s’agit de traitements purement mécaniques basés sur les instructions du donneur d’ordre, une rationalisation des obligations est également suggérée.

Enfin, pour ce qui est de la réponse aux incidents tels que les fuites de données, la conception du système est en cours d’examen pour revoir les modalités de notification et de rapport à la personne concernée en fonction du degré de risque.

Prévention de l’utilisation inappropriée

En ce qui concerne la prévention de l’utilisation inappropriée, les règles seront renforcées pour empêcher l’exploitation à des fins criminelles au Japon.

Les informations permettant de contacter une personne spécifique, telles que les numéros de téléphone ou les identifiants de cookies, même si elles ne sont pas considérées comme des informations personnelles, seront interdites d’utilisation ou d’acquisition à des fins inappropriées telles que le phishing. De plus, lors de la fourniture de ces informations via un système d’opt-out, la vérification de l’identité du destinataire et de l’objectif d’utilisation sera obligatoire, afin de réduire la circulation illégale de listes de contacts.

Assurer l’efficacité de la conformité aux règles

Assurer l’efficacité de la conformité aux règles est la principale préoccupation de cette révision sous le droit japonais. Les critères seront révisés pour permettre des ordres correctifs rapides, et une nouvelle disposition légale sera créée pour demander des mesures aux tiers qui assistent les violations, tels que les fournisseurs d’hébergement.

De plus, un système sera introduit pour ordonner aux entreprises qui collectent une grande quantité de données personnelles et en tirent un profit économique par une utilisation ou une fourniture malveillante, de payer une amende équivalente aux bénéfices obtenus. Ce système s’appliquera principalement aux cas de grande envergure impliquant plus de 1 000 personnes, ce qui augmentera considérablement le risque de non-conformité pour les entreprises au Japon.

Réponses exigées des entreprises face à la révision de la Loi sur la protection des informations personnelles au Japon

Les révisions proposées couvrent un large éventail de sujets, obligeant les entreprises à revoir fondamentalement leurs systèmes juridiques et de conformité. Nous allons organiser les réponses spécifiques requises.

Reconstruction de la gestion des sous-traitants et révision des contrats

Avec cette révision, des obligations légales directes seront imposées aux sous-traitants. Les entreprises doivent d’abord vérifier que leurs sous-traitants ne dépassent pas le cadre des tâches assignées en utilisant les données, surtout si elles externalisent le développement d’IA ou l’analyse de données. L’utilisation des données par les sous-traitants pour leur propre apprentissage est explicitement interdite sous la nouvelle loi.

En revanche, dans les cas où seules des tâches de “traitement mécanique” sont externalisées, il est nécessaire de préparer une révision des contrats pour s’adapter au nouveau système, en convenant de toutes les méthodes de traitement dans le contrat et en précisant les mesures de suivi pour bénéficier d’une exemption d’obligation.

Établissement de règles spéciales pour les mineurs et les données biométriques

Les entreprises offrant des services aux mineurs de moins de 16 ans doivent rapidement mettre en place un processus de vérification de l’âge et un flux de travail pour obtenir le consentement des représentants légaux. De plus, elles doivent inclure des explications claires pour les mineurs dans leur politique de confidentialité, en tenant compte de “l’intérêt supérieur des mineurs”.

Les entreprises utilisant des systèmes de reconnaissance faciale doivent préparer leurs panneaux d’affichage et le contenu de leurs sites web pour se conformer aux obligations légales de divulguer des informations telles que le nom de l’acquéreur, l’objectif spécifique d’utilisation, et les caractéristiques physiques collectées.

Utilisation des statistiques comme “gouvernance proactive”

Cette révision vise également à promouvoir l’utilisation des données. Une exception permettant de ne pas obtenir le consentement de la personne concernée pour la création de statistiques est envisagée, ce qui pourrait élargir les possibilités d’utilisation pour des analyses de données avancées ou le développement d’IA, sous certaines conditions.

Les entreprises doivent établir des règles internes pour utiliser cette exception de manière appropriée (interdiction d’utilisation à d’autres fins, restrictions sur la fourniture à des tiers, procédures de divulgation appropriées) et créer une base légale pour favoriser l’innovation.

Gestion des risques liés à la répression et aux amendes

Un point majeur de cette révision est le renforcement du système d’amendes et des sanctions. En cas de fuite massive ou d’utilisation inappropriée, les entreprises pourraient être tenues de payer des amendes équivalentes aux bénéfices indûment obtenus, en plus des ordres administratifs.

Le renforcement des sanctions contre les entreprises est également discuté, rendant crucial le développement d’un système de conformité pour éliminer l’acquisition de données auprès de fournisseurs de listes inappropriés et l’utilisation de données pouvant mener à des utilisations frauduleuses.

Conclusion : Consultez un expert sur la politique de révision de la loi japonaise sur la protection des informations personnelles

La politique de révision actuelle de la loi japonaise sur la protection des informations personnelles ne constitue pas un simple changement mineur. Elle est extrêmement efficace pour répondre à l’avènement de l’ère de l’IA et à l’aggravation des crimes liés aux données.

Le projet de loi révisé devrait être soumis à la session ordinaire de la Diète japonaise de l’année Reiwa 8 (2026), et s’il est adopté, son entrée en vigueur est prévue entre l’année Reiwa 9 (2027) et Reiwa 10 (2028). Maintenant que la politique de révision a été rendue publique, il est crucial de reconsidérer dès à présent la gouvernance des données de votre entreprise, sans attendre la législation. En particulier, l’introduction d’un système de sanctions pécuniaires et la réglementation stricte concernant les mineurs et les données biométriques sont des enjeux directement liés à la gestion. Il est recommandé de suivre attentivement l’évolution de la législation à venir et de collaborer avec les départements concernés au sein de votre entreprise pour préparer soigneusement les changements à venir.

Guide sur les Mesures Proposées par Notre Cabinet

Le cabinet d’avocats Monolith est spécialisé dans les domaines de l’IT, en particulier l’Internet, et du droit. Ces dernières années, la gouvernance relative à la Loi japonaise sur la protection des informations personnelles a suscité beaucoup d’attention. Notre cabinet propose des solutions aux problèmes de droit du travail au Japon. Vous trouverez plus de détails dans l’article ci-dessous.