Est-il légal d'acheter des informations sur les clients ? Explication de la 'Loi japonaise sur la protection des informations personnelles'

Le 30 mai 2017 (année 2017 du calendrier grégorien), la “Loi japonaise révisée sur la protection des informations personnelles” a été entièrement mise en œuvre, et toutes les entreprises qui traitent des informations personnelles sont désormais soumises à cette loi en tant qu'”Opérateurs de traitement des informations personnelles”.

Cela s’applique également aux entreprises qui ont acquis des informations personnelles par l’achat de listes, par exemple. Par conséquent, les responsables envisageant d’acheter des informations sur les clients doivent connaître les procédures, obligations et interdictions concernant la vente et l’utilisation des informations personnelles.

Par conséquent, dans cet article, nous expliquerons en détail les dispositions et les points à noter de la “Loi japonaise sur la protection des informations personnelles” concernant l’achat et l’utilisation des informations sur les clients.

Qu’est-ce que la loi sur la protection des informations personnelles ?

Le nom officiel de la loi sur la protection des informations personnelles est “Loi sur la protection des informations personnelles” (Loi japonaise sur la protection des informations personnelles). Depuis son adoption en 2003, elle a été modifiée à plusieurs reprises pour s’adapter aux évolutions de l’époque, comme la numérisation des informations.

Cette loi ne vise pas à limiter l’utilisation des informations personnelles, mais plutôt à “protéger” et à “utiliser correctement” ces informations, comme indiqué ci-dessous.

Objectifs de la loi sur la protection des informations personnelles

• Protéger les droits et les intérêts des individus tout en établissant des règles pour l’utilisation appropriée des informations personnelles
• Définir les obligations et les sanctions des opérateurs qui traitent les informations personnelles

Définition des informations personnelles

Les “informations personnelles” définies par la loi sur la protection des informations personnelles sont des informations concernant un individu vivant et correspondent à l’une des informations suivantes :

1. Informations qui peuvent identifier un individu spécifique par le nom, la date de naissance et d’autres descriptions contenues dans les informations
2. Informations contenant un code d’identification personnel

Qu’est-ce qu’un code d’identification personnel ?

Un code d’identification personnel est un caractère, un numéro, un symbole ou un autre signe qui peut identifier un individu spécifique et qui correspond à l’un des éléments suivants, spécifié individuellement par ordonnance ou règlement :

• Un code qui convertit les caractéristiques d’une partie du corps pour un ordinateur (ADN, visage, iris, empreinte vocale, manière de marcher, veines des doigts, empreintes digitales et palmaires, etc.)
• Un code attribué individuellement pour l’utilisation d’un service ou dans des documents (numéro de passeport, numéro de pension de base, numéro de permis de conduire, code de registre des résidents, numéro My, diverses cartes d’assurance, etc.)

Si vous souhaitez en savoir plus sur la loi sur la protection des informations personnelles, veuillez consulter l’article détaillé ci-dessous en plus de cet article.

Article connexe : Qu’est-ce que la loi sur la protection des informations personnelles et les informations personnelles ? Explication par un avocat[ja]

La vente d’informations client est-elle légale ?

À l’exception des institutions nationales et des organismes publics, les entreprises en général ne sont pas illégales pour vendre des informations sur les clients si elles respectent la loi japonaise sur la protection des informations personnelles.

Procédure pour fournir des informations personnelles à des tiers

Lorsqu’une entreprise fournit une base de données d’informations personnelles à un tiers, les procédures suivantes sont obligatoires.

Obtenir le consentement de la personne concernée à l’avance en principe

Cependant, les exceptions suivantes s’appliquent.

① Si c’est basé sur la loi
② Si obtenir le consentement de la personne est difficile et nécessaire pour protéger la vie, le corps et les biens des personnes, ou pour la santé publique et le développement sain des enfants
③ Si vous coopérez avec le gouvernement national, les gouvernements locaux, etc.

Fourniture à des tiers par la procédure d’opt-out

Si une entreprise a mis en place une procédure pour arrêter de fournir des informations personnelles à des tiers (opt-out) à la demande de la personne concernée, il est possible de fournir à des tiers sans le consentement de la personne concernée en suivant la procédure suivante.

Notifiez à l’avance les éléments ① à ⑤ à la personne concernée ou mettez-les dans un état où la personne concernée peut facilement les connaître sur une page Web, etc., et informez la Commission de protection des informations personnelles.

① Utiliser la fourniture à des tiers comme objectif.
② Les éléments de données personnelles qui seront fournis à des tiers
③ La méthode de fourniture à des tiers
④ Arrêter de fournir des données personnelles à des tiers à la demande de la personne.
⑤ Comment accepter la demande de la personne

Il est important de noter que pour les “informations personnelles nécessitant une attention particulière”, telles que la race, la croyance, le statut social, les antécédents médicaux et les antécédents criminels, qui peuvent entraîner une discrimination ou des préjugés injustes si elles sont connues par d’autres, le principe de fourniture à des tiers est uniquement le consentement préalable de la personne.

Les choses à respecter lors de l’achat d’informations client

Les obligations définies par la loi

Lorsque vous achetez des informations client, l’acheteur devient également un “opérateur de traitement des informations personnelles” (gestionnaire de données personnelles). Par conséquent, lorsque vous recevez des informations personnelles de tiers tels que des fournisseurs de listes, les obligations suivantes sont imposées par la loi :

Lors de l’achat d’informations client, les deux points suivants doivent être vérifiés :

• Nom, adresse et représentant du fournisseur de la liste
• La manière dont le fournisseur de la liste a obtenu les informations personnelles

Lors de l’achat d’informations client, les éléments suivants doivent être enregistrés et conservés pendant 3 ans :

• Date de réception des informations personnelles
• Nom, adresse et représentant du fournisseur de la liste
• La manière dont le fournisseur de la liste a obtenu les informations personnelles
• Nom et autres informations suffisantes pour identifier la personne identifiée par les informations personnelles en question
• Les éléments des informations personnelles en question
• Dans le cas d’une fourniture à un tiers par la procédure d’opt-out, les éléments nécessaires sont publiés par la Commission de protection des informations personnelles (Commission japonaise de protection des informations personnelles).

※ Vous pouvez vérifier la notification de la procédure d’opt-out sur la page Web de la Commission de protection des informations personnelles[ja].

Vérification de l’acquisition d’informations client

Lors de l’achat d’informations client, il est également nécessaire de vérifier la méthode d’acquisition d’informations par des fournisseurs de listes, etc. Même si vous achetez légalement des informations client, si la méthode d’acquisition des informations client est illégale, vous pouvez être sujet à une demande d’indemnisation pour dommages.

Il est bien sûr interdit par la loi que les fournisseurs de listes, etc., obtiennent des informations client par des moyens frauduleux ou autres, mais il y a aussi les obligations suivantes lors de l’acquisition, alors assurez-vous de vérifier avant l’achat :

• Est-ce que l’objectif de l’utilisation est spécifiquement identifié ?
• Est-ce que l’objectif d’utilisation identifié est publié ou notifié à la personne concernée ?
• Si les informations personnelles acquises sont utilisées à d’autres fins, le consentement de la personne concernée a-t-il été obtenu ?
• Lors de la réception des informations personnelles d’un tiers, en plus du nom et de l’adresse du fournisseur, avez-vous vérifié la manière dont les informations personnelles ont été acquises, enregistré la date de réception, les éléments de vérification, etc., et les avez-vous conservés pendant 3 ans ?
• Est-ce que les “informations personnelles nécessitant une attention particulière” pour lesquelles le consentement de la personne concernée est absolument nécessaire ne sont pas incluses ?

Si vous voulez en savoir plus sur la fuite d’informations personnelles et l’indemnisation pour dommages, veuillez consulter l’article ci-dessous en plus de cet article.

Article connexe : Le risque de fuite d’informations personnelles dans les entreprises et l’indemnisation pour dommages[ja]

Les règles à respecter lors de l’utilisation des informations client

Ne pas dépasser le cadre de l’objectif d’utilisation

Il est interdit par la loi pour les fournisseurs de listes de contacts, par exemple, d’utiliser les informations client au-delà de l’objectif pour lequel ils ont obtenu le consentement de la personne concernée. Si vous souhaitez utiliser ces informations à d’autres fins, vous devez obtenir à nouveau le consentement de la personne concernée.

En cas d’utilisation pour des appels commerciaux

Lorsque vous effectuez des “ventes par démarchage téléphonique”, qui visent à conclure des contrats de vente ou d’achat par le biais d’appels téléphoniques, il y a certaines restrictions définies par la loi japonaise sur les transactions commerciales spécifiques.

Avant de démarcher, vous devez toujours communiquer les informations suivantes au consommateur :

• Nom de l’entreprise
• Nom de la personne en charge (celle qui fait le démarchage)
• Type de produit (droits, services) que vous souhaitez vendre
• Le fait que l’objectif est de conclure un contrat

Actions interdites

• Démarcher à nouveau une personne qui a déjà refusé
• Fournir des explications qui ne correspondent pas à la réalité
• Ne pas délibérément communiquer les faits
• Intimider ou confondre l’autre partie

En cas d’utilisation pour l’envoi de courriels

Si vous envoyez des courriels à des fins publicitaires ou promotionnelles, la loi japonaise sur les courriels spécifiques interdit en principe l’envoi à toute personne autre que celle qui a notifié au destinataire qu’elle souhaite recevoir des courriels spécifiques ou qu’elle consent à leur envoi.

Même si les fournisseurs de listes de contacts ont obtenu les notifications ci-dessus, il est probable que l’utilisation du courrier électronique soit difficile car l’acheteur de la liste doit obtenir à nouveau ces notifications.

Obligation de prendre des mesures de gestion de la sécurité

Lorsque vous obtenez des informations client, vous êtes tenu, en tant qu’opérateur de traitement des informations personnelles, de prendre les mesures nécessaires pour prévenir les fuites, la perte ou la destruction des informations personnelles.

De plus, vous devez superviser de manière appropriée et nécessaire les employés qui traitent réellement les informations personnelles afin d’assurer la gestion de la sécurité de ces informations.

Résumé

Cette fois, nous avons expliqué la relation entre l’achat d’informations sur les clients et la loi japonaise sur la protection des informations personnelles (Loi sur la protection des informations personnelles) en quatre points.

1. Qu’est-ce que la loi japonaise sur la protection des informations personnelles ?
2. Est-il légal d’acheter et de vendre des informations sur les clients ?
3. Que faut-il respecter lors de l’achat d’informations sur les clients ?
4. Que faut-il respecter lors de l’utilisation des informations sur les clients ?

Cependant, lorsqu’on fait des affaires avec des consommateurs étrangers via Internet, il ne suffit pas de vérifier uniquement la loi nationale, mais il faut aussi vérifier les lois et règlements de chaque pays.

Par conséquent, si vous envisagez réellement d’acheter et d’utiliser des informations sur les clients, nous vous recommandons de consulter un avocat ayant une connaissance et une expérience spécialisées, plutôt que de prendre une décision par vous-même.

Présentation des mesures prises par notre cabinet

Le cabinet d’avocats Monolis est un cabinet d’avocats spécialisé dans l’IT, et plus particulièrement dans l’Internet et le droit. Ces dernières années, la “Loi japonaise sur la protection des informations personnelles” a attiré beaucoup d’attention, et le besoin de vérifications légales est de plus en plus important. Vous trouverez plus de détails dans l’article ci-dessous.

https://monolith.law/practices/corporate[ja]