Que faire en cas de fuite d'informations personnelles ? Explication des mesures administratives que les entreprises devraient prendre

Avec le développement d’Internet et la possibilité d’échanger des informations en ligne, le nombre de cas où des informations cruciales d’entreprise sont divulguées de manière inattendue est en augmentation.

Récemment, la valeur de l’information a augmenté, et une fois qu’une fuite d’information se produit, cela peut devenir un problème majeur qui nuit à la crédibilité. En tant qu’entreprise, il est nécessaire de prendre des mesures appropriées rapidement en cas de fuite d’information.

Ici, nous expliquerons en détail les mesures que les entreprises devraient prendre en cas de fuite d’information, en mettant l’accent sur la réponse administrative.

Les fuites d’informations nécessitant une intervention administrative

Les fuites d’informations varient en fonction du contenu et de l’importance de l’information. Une intervention administrative est nécessaire lorsque des informations personnelles sont divulguées.

La définition des informations personnelles est stipulée à l’article 2, paragraphe 1, de la loi japonaise sur la protection des informations personnelles (ci-après dénommée “Loi sur la protection des informations personnelles”).

(Définition)
Article 2 Dans cette loi, “informations personnelles” désigne les informations concernant un individu vivant qui correspondent à l’un des points suivants:
1. Les informations qui peuvent identifier un individu spécifique grâce au nom, à la date de naissance et à d’autres descriptions contenues dans ces informations (y compris toutes les questions exprimées par écrit, par dessin ou par enregistrement électromagnétique (un enregistrement créé par un moyen électromagnétique (un moyen électronique, un moyen magnétique ou tout autre moyen qui ne peut être reconnu par la perception humaine. Le même s’applique au numéro deux du paragraphe suivant.) est appelé. Le même s’applique ci-dessous.) ou exprimées par la voix, le mouvement ou d’autres méthodes (à l’exception des codes d’identification personnelle. Le même s’applique ci-dessous.) (y compris ceux qui peuvent être facilement comparés à d’autres informations et qui peuvent donc identifier un individu spécifique.)
2. Ceux qui contiennent un code d’identification personnelle

e-GOV｜Loi japonaise sur la protection des informations personnelles[ja]

Les informations qui correspondent à la définition ci-dessus sont protégées en tant qu’informations personnelles par la Loi sur la protection des informations personnelles.

En outre, en cas de fuite d’informations, l’entreprise doit prendre des mesures autres que l’intervention administrative, comme la divulgation d’informations.

Obligation de signaler les fuites d’informations personnelles

Les opérateurs qui gèrent les informations personnelles, appelés “opérateurs de traitement des informations personnelles” en japonais, ont l’obligation de signaler à la Commission de protection des informations personnelles japonaise lorsqu’une situation de fuite d’informations personnelles ou de risque de fuite se produit.

Avant le 1er avril 2024 (4ème année de l’ère Reiwa), il n’était pas obligatoire de signaler à la Commission de protection des informations personnelles japonaise lorsqu’une situation de fuite ou de risque de fuite se produisait, mais c’était plutôt un effort à faire. Cependant, suite à la révision de la loi japonaise sur la protection des informations personnelles, il est devenu obligatoire de signaler à la Commission à partir du 1er avril 2024.

Le terme “opérateur de traitement des informations personnelles” désigne ici ceux qui utilisent des bases de données d’informations personnelles, etc., pour leurs activités commerciales (Article 16, paragraphe 2, de la loi japonaise sur la protection des informations personnelles). Cependant, les institutions nationales, les collectivités locales, les corporations administratives indépendantes, etc., ne sont pas incluses parmi les opérateurs de traitement des informations personnelles.

“Bases de données d’informations personnelles, etc.” désigne un ensemble d’informations contenant des informations personnelles qui répond à l’une des deux conditions suivantes, à l’exception de celles qui sont définies par ordonnance gouvernementale comme étant peu susceptibles de porter atteinte aux droits et intérêts des individus en raison de leur méthode d’utilisation (Article 16, paragraphe 1, de la loi japonaise sur la protection des informations personnelles).

• Un système qui a été organisé de manière à permettre la recherche d’informations personnelles spécifiques à l’aide d’un ordinateur
• Un système qui a été organisé de manière à permettre la recherche facile d’informations personnelles spécifiques

Les opérateurs de traitement des informations personnelles qui utilisent des bases de données d’informations personnelles, etc., pour leurs activités commerciales sont tenus de signaler à la Commission de protection des informations personnelles japonaise.

Les quatre cas nécessitant un rapport à la Commission de protection des informations personnelles

Il existe quatre cas où un rapport doit être fait à la Commission de protection des informations personnelles lorsque des fuites d’informations personnelles se produisent, comme stipulé dans l’article 7 du Règlement d’application de la loi japonaise sur la protection des informations personnelles.

1. Quand une fuite de données personnelles contenant des informations personnelles nécessitant une attention particulière se produit, ou est susceptible de se produire
2. Quand une fuite de données personnelles susceptibles de causer un préjudice financier par une utilisation illégale se produit, ou est susceptible de se produire
3. Quand une fuite de données personnelles qui pourrait avoir été effectuée dans un but illégal se produit, ou est susceptible de se produire
4. Quand une fuite concernant les données personnelles de plus de 1 000 individus se produit, ou est susceptible de se produire

Nous expliquerons ces cas plus en détail ci-dessous.

Fuite d’informations personnelles nécessitant une attention particulière

Les “informations personnelles nécessitant une attention particulière” sont des informations personnelles qui sont définies par décret pour nécessiter une attention particulière dans leur traitement afin d’éviter toute discrimination injuste, préjugé ou autre désavantage envers l’individu. Cela inclut la race, la croyance, le statut social, les antécédents médicaux, les antécédents criminels, et les victimes de crimes de l’individu.

Par exemple, les informations concernant les antécédents médicaux d’un employé, telles que les résultats d’un examen médical, sont considérées comme des informations personnelles nécessitant une attention particulière.

Fuite d’informations personnelles susceptibles de causer un préjudice financier

Cela concerne les cas où des données personnelles qui, si elles sont utilisées illégalement, sont susceptibles de causer un préjudice financier, ont été divulguées.

Un exemple concret serait une entreprise qui laisse fuiter les informations de carte de crédit de ses clients.

Fuite d’informations personnelles effectuée dans un but illégal

Cela concerne les cas où la personne ou l’entité qui a causé la fuite de données personnelles avait un but illégal.

Par exemple, cela pourrait être le cas si un tiers ou un employé d’une entreprise accède illégalement au réseau de l’entreprise dans le but d’utiliser illégalement des informations personnelles, et cause une fuite de données personnelles.

Fuite à grande échelle d’informations personnelles

Cela concerne les cas où une fuite concerne les données personnelles de plus de 1 000 individus.

Les entreprises qui traitent un grand nombre de données personnelles doivent être particulièrement vigilantes, car elles sont susceptibles de causer une fuite de données personnelles à grande échelle en une seule fois.

Rapport à la Commission de protection des données personnelles en cas de fuite d’informations

En cas de situation nécessitant un rapport à la Commission de protection des données personnelles, il est nécessaire de faire un rapport sur les points stipulés à l’article 8, paragraphe 1, du règlement d’application de la loi japonaise sur la protection des informations personnelles.

(Rapport à la Commission de protection des données personnelles)
Article 8 : Lorsqu’un opérateur de traitement de données personnelles doit faire un rapport en vertu des dispositions du paragraphe 1 de l’article 26 de la loi, il doit rapidement signaler les points suivants concernant la situation en question après en avoir pris connaissance (limité à ce qu’il connaît au moment où il envisage de faire le rapport. Il en va de même dans l’article suivant.)

e-GOV｜Loi japonaise sur la protection des informations personnelles[ja]

Si l’un des quatre cas nécessitant un rapport mentionné ci-dessus se produit, l’opérateur doit rapidement signaler les points suivants à la Commission de protection des données personnelles :

• Résumé
• Les éléments de données personnelles qui ont été ou pourraient avoir été divulgués
• Le nombre de personnes concernées par les données personnelles qui ont été ou pourraient avoir été divulguées
• La cause
• La présence ou l’absence de dommages secondaires et leur contenu
• La situation de la réponse à la personne concernée
• La situation de la publication
• Les mesures pour prévenir la récurrence
• Autres points de référence

Cependant, il suffit de signaler ce que vous savez au moment du rapport parmi ces points de rapport.

Délai de déclaration à la Commission de protection des données personnelles en cas de fuite d’informations

Il existe un délai pour signaler à la Commission de protection des données personnelles (Article 8, paragraphe 2, du Règlement d’application de la loi japonaise sur la protection des informations personnelles).

En principe, le rapport à la Commission de protection des données personnelles doit être effectué dans les 30 jours suivant la prise de connaissance de la fuite ou d’une situation similaire. Si l’entité qui a causé la fuite de données personnelles a une intention malveillante, le rapport doit être effectué dans les 60 jours.

Obligation de notification à la personne concernée

En cas de fuite d’informations personnelles, il est stipulé qu’en plus de l’obligation de signaler à la Commission de protection des informations personnelles japonaise (Article 26, paragraphe 2 de la loi japonaise sur la protection des informations personnelles), il existe également une obligation de notifier la personne concernée.

La notification à la personne concernée vise à prévenir toute atteinte aux droits et intérêts de celle-ci en lui permettant de prendre des mesures contre la fuite d’informations personnelles le plus tôt possible. Par conséquent, il est stipulé que les opérateurs qui gèrent les informations personnelles doivent notifier rapidement la personne concernée.

Conclusion : En cas de fuite de données personnelles, consultez un avocat pour la réponse administrative

Nous avons expliqué ci-dessus les mesures que les entreprises doivent prendre en cas de fuite de données personnelles, en mettant l’accent sur la réponse administrative.

Il est évident que pour une entreprise, il est crucial de mettre en place des systèmes pour prévenir les fuites d’informations. Cependant, si une telle fuite se produit, il est nécessaire de réagir de manière appropriée.

La loi japonaise sur la protection des données personnelles est souvent modifiée et présente une structure complexe. Pour une réponse appropriée, nous vous recommandons de consulter un avocat possédant une expertise dans ce domaine.

Présentation des mesures prises par notre cabinet

Le cabinet d’avocats Monolith est un cabinet d’avocats spécialisé dans l’IT, et plus particulièrement dans l’Internet et le droit. De nos jours, la fuite d’informations personnelles est devenue un problème majeur. Si par malheur des informations personnelles venaient à être divulguées, cela pourrait avoir un impact fatal sur les activités de l’entreprise. Notre cabinet possède une expertise spécialisée dans la prévention des fuites d’informations et les mesures à prendre en réponse.