Qu'est-ce que le nouveau système d'habilitation de sécurité dans la loi sur la protection et l'utilisation des informations importantes pour la sécurité économique ?

En l’an 6 de l’ère Reiwa (2024), la loi sur la protection et l’utilisation des informations importantes pour la sécurité économique a été promulguée, instaurant un nouveau système d’habilitation de sécurité, qui entrera en vigueur en mai 2025. Cette mesure reflète la nécessité croissante d’un système de préservation de l’information dans le domaine de la sécurité économique internationale et répond aux besoins exprimés par les entreprises.

Cet article détaille le système d’habilitation de sécurité établi par la nouvelle loi sur la protection et l’utilisation des informations importantes pour la sécurité économique du Japon. Nous examinerons les différences avec le système d’habilitation de sécurité de la loi existante sur la protection des secrets spécifiques, les entreprises concernées, les avantages et inconvénients, ainsi que les mesures que les entreprises devraient prendre.

Qu’est-ce que le système d’habilitation de sécurité au Japon ?

Le système d’habilitation de sécurité (SC) au Japon est un dispositif par lequel le gouvernement accorde une autorisation, après une évaluation appropriée, à ceux qui ont besoin d’accéder à des informations confidentielles (CI) désignées comme importantes pour la sécurité nationale.

Pour obtenir une habilitation de sécurité, les critères de désignation des CI et les normes d’évaluation varient selon les pays, mais généralement, une habilitation des installations (FCL) et une habilitation personnelle (PCL) sont effectuées, et l’autorisation n’est accordée que si l’on juge qu’il n’y a pas de risque de fuite d’informations.

En vertu de la loi japonaise sur la protection des secrets spécifiques, un système d’habilitation de sécurité est établi pour les organismes administratifs et les entreprises privées qui traitent des informations spécifiquement secrètes.

En l’année Reiwa 6 (2024), la loi sur la protection et l’utilisation des informations importantes pour la sécurité économique (loi concernant la protection et l’utilisation des informations importantes pour la sécurité économique) a été promulguée, créant un nouveau système d’habilitation de sécurité principalement destiné aux entreprises privées qui traitent des informations importantes pour la sécurité économique, qui ne relèvent ni des secrets spécifiques ni des secrets de défense spéciaux (entrée en vigueur le 17 mai de l’année Reiwa 7 (2025)).

Le gouvernement japonais désigne les catégories d’informations confidentielles (CI) en fonction de leur degré de sensibilité. Lorsqu’on les compare à l’échelle internationale, cela donne le schéma suivant :

Le niveau “Top Secret” correspond à des informations dont la fuite pourrait causer des “dommages extrêmement graves”, le niveau “Secret” à des informations pouvant causer des “dommages importants”, et le niveau “Confidentiel” à des informations dont la fuite pourrait “raisonnablement être prévue pour causer des dommages”. Les informations qui relèvent des “informations importantes pour la sécurité économique” correspondent au niveau “Confidentiel” de cette classification.

Référence : Cabinet du Premier Ministre du Japon, « Projet de loi sur la protection et l’utilisation des informations importantes pour la sécurité économique[ja] »

Référence : Cabinet du Premier Ministre du Japon, « Comparaison des systèmes de préservation de l’information dans divers pays (Classification des informations concernées par l’habilitation de sécurité)①[ja] »

Objectifs de la Loi sur la Protection et l’Utilisation des Informations Clés pour la Sécurité Économique sous le droit japonais

La Loi sur la Protection et l’Utilisation des Informations Clés pour la Sécurité Économique a été établie en réponse à la nécessité croissante d’un système de préservation de l’information dans le domaine de la sécurité économique à l’échelle internationale et aux besoins exprimés par les entreprises.

Cette loi, en tant que législation sur la sécurité économique, a été promulguée en suivant les objectifs de la “Loi sur la Promotion de la Sécurité Économique” mise en œuvre en l’année Reiwa 4 (2022) et vise à étendre et compléter les informations couvertes par le système de sécurité clearance introduit par la “Loi sur la Protection des Secrets Spécifiques” entrée en vigueur en l’année Heisei 26 (2014) (Article 1).

Le système de sécurité clearance nouvellement établi par la “Loi sur la Protection et l’Utilisation des Informations Clés pour la Sécurité Économique” se compose des trois piliers suivants :

1. Règles de désignation et de levée de la désignation des informations clés pour la sécurité économique (Articles 3 à 5)
2. Règles strictes de gestion et de fourniture des informations clés pour la sécurité économique (Articles 6 à 17)
3. Sanctions (Articles 22 à 27)

Source : Chambre des représentants du Japon, “Projet de loi relatif à la protection et à l’utilisation des informations importantes pour la sécurité économique[ja]“

Désignation et levée de la désignation des informations secrètes en matière de sécurité économique importante

Chaque agence administrative au Japon détient le pouvoir de désigner des informations confidentielles (CI) qu’elle possède comme “informations secrètes en matière de sécurité économique importante”, de fixer leur période de validité et de lever cette désignation lorsque les conditions requises ne sont plus remplies.

Comme pour les “informations spécifiquement secrètes”, les “informations secrètes en matière de sécurité économique importante” sont désignées par une agence administrative spécifique, ce qui nécessite le consentement d’autres agences administratives qui ont besoin de ces informations.

Les “informations secrètes en matière de sécurité économique importante” désignées par une agence administrative doivent répondre aux trois critères suivants (Article 3, Paragraphe 1) :

• Être des “informations de protection des infrastructures économiques importantes” (pertinence | expliquée plus en détail ci-dessous)
• Ne pas être connues du public (caractère non public)
• Leur divulgation pourrait nuire à la sécurité nationale du Japon, d’où la nécessité particulière de les garder secrètes (nécessité particulière de confidentialité)

Les “informations de protection des infrastructures économiques importantes” se réfèrent aux quatre types d’informations suivants liés à la protection des “infrastructures économiques importantes (infrastructures clés et chaînes d’approvisionnement en biens essentiels)” (Article 2, Paragraphes 3 et 4, Ordonnance d’exécution de la loi sur la promotion de la sécurité économique, Articles 1 et 9) :

1. Mesures, plans et recherches pour protéger les infrastructures économiques importantes contre des actes extérieurs
2. Informations importantes relatives aux infrastructures économiques importantes (vulnérabilités des infrastructures économiques, technologies innovantes, etc.) qui concernent la sécurité nationale
3. Informations provenant de gouvernements étrangers ou d’organisations internationales collectées dans le cadre des mesures mentionnées en 1
4. Capacités de collecte, d’organisation et d’analyse des informations mentionnées en 2 et 3

En tant que candidats spécifiques, les éléments suivants ont été identifiés :

• Informations liées à la cybersécurité (menaces et mesures de cybersécurité, etc.)
• Informations liées aux systèmes réglementaires (examen, analyse, etc.)
• Informations liées à la recherche, à l’analyse et au développement (stratégies industrielles et technologiques, vulnérabilités dans les chaînes d’approvisionnement, etc.)
• Informations liées à la coopération internationale (informations sur la recherche et le développement en coopération internationale)

De plus, il existe des cas où les informations confidentielles d’une entreprise, obtenues par contrat à la demande d’une agence administrative, sont désignées comme “informations secrètes en matière de sécurité économique importante”.

Dans ce cas, l’entreprise peut détenir ces informations comme ses propres “informations secrètes en matière de sécurité économique importante”, mais sauf en cas de nécessité pour l’intérêt public, elle ne peut pas les fournir à des tiers (Article 10, Paragraphes 2, 5 à 7).

Cependant, il existe un risque de divulgation à d’autres entreprises conformes contractées par le gouvernement.

Gestion et fourniture rigoureuses des “Informations Clés de Sécurité Économique” sous le droit japonais

Dans cet article, nous expliquerons les exigences et les règles applicables aux “opérateurs conformes” que le gouvernement japonais peut autoriser à fournir des “Informations Clés pour la Protection de l’Infrastructure Économique”.

Critères pour les “Opérateurs Conformes” sous le droit japonais

Les opérateurs suivants, qui prennent les mesures de sécurité nécessaires dans leurs installations pour préserver les “Informations Importantes pour la Sécurité Économique” et qui répondent aux critères définis par ordonnance, sont désignés comme “Opérateurs Conformes” (Article 10, paragraphe 1) :

• Opérateurs nécessitant de remédier aux vulnérabilités de l'”Infrastructure Économique Vitale”
• Opérateurs contribuant à la résolution des vulnérabilités de l'”Infrastructure Économique Vitale”
• Opérateurs en charge de l’enquête et de la recherche sur l'”Infrastructure Économique Vitale”
• Opérateurs soutenant les activités d’enquête et de recherche sur l'”Infrastructure Économique Vitale”
• Opérateurs détenant des “Informations pour la Protection de l’Infrastructure Économique Vitale”
• Opérateurs engagés dans la protection des “Informations pour la Protection de l’Infrastructure Économique Vitale”

Pour obtenir la sécurité et le clearance des “Informations Importantes pour la Sécurité Économique”, il est d’abord nécessaire :

1. Que les opérateurs privés démontrent à l’agence administrative détenant les “Informations Importantes pour la Sécurité Économique” requises qu’ils satisfont aux exigences de gestion physique des installations (structure de mise en œuvre de la préservation de l’information) ainsi qu’aux exigences organisationnelles (prise en compte de l’impact de la proportion étrangère, etc.), et qu’ils ont passé avec succès l’évaluation appropriée du clearance des installations (FCL),
2. Que les opérateurs conformes signent un accord de non-divulgation (NDA) avec ladite agence administrative,
3. Et que les employés obtiennent le clearance personnel (PCL).

L’évaluation appropriée du clearance des installations (FCL) et du clearance personnel (PCL) est soumise à l’examen de l’agence administrative, mais il est possible de déduire certains critères à partir de l’exemple de formulaire de demande de certification[ja] publié.

Référence : Cabinet Office ‘Standards for the Designation and Removal of Important Economic Security Information, Implementation of Appropriate Evaluation, and Certification of Conforming Operators (Draft)'[ja]

Règles après l’obtention d’une habilitation de sécurité sous le droit japonais

Même si les informations désignées comme “informations importantes pour la protection de l’infrastructure économique” sont détenues par l’agence gouvernementale avec laquelle un opérateur conforme a conclu un contrat, l’accès est possible avec le consentement de l’agence désignée qui a spécifié ces informations.

Par conséquent, pour accéder aux “informations importantes pour la protection de l’infrastructure économique” qui ne sont pas détenues par l’agence gouvernementale contractante, il est nécessaire de conclure un contrat avec l’agence gouvernementale qui détient ces informations.

Ce processus de certification est mis en place pour minimiser les risques de fuite d’informations et suit la “Loi sur la protection des secrets spécifiques” du Japon.

Un opérateur conforme ne peut fournir des “informations importantes pour la sécurité économique” à des tiers que si cela est nécessaire pour l’intérêt public (Article 10, Paragraphe 6).

D’autre part, lors de l’accès à des informations confidentielles (CI) d’un gouvernement étranger ou lorsqu’il est nécessaire de fournir des “informations importantes pour la sécurité économique” à un gouvernement étranger, une institution ou une entreprise privée, cela doit être fait via le gouvernement de son propre pays.

La période de validité de l’habilitation de sécurité personnelle (PCL) pour les “informations importantes pour la sécurité économique” est de 10 ans. Par conséquent, une nouvelle évaluation appropriée doit être effectuée pour ceux qui sont susceptibles de traiter ces informations au-delà de cette période.

Cependant, même pendant la période de validité, si un risque de fuite des “informations importantes pour la sécurité économique” est identifié, une nouvelle évaluation appropriée doit être réalisée (Article 11, Paragraphe 1).

En revanche, bien que la période de validité de l’habilitation de sécurité sous la “Loi sur la protection des secrets spécifiques” du Japon soit de 5 ans, ceux qui ont obtenu cette habilitation (évalués récemment comme aptes à traiter des “secrets spécifiques”) et dont les 5 ans ne se sont pas encore écoulés, peuvent traiter des “informations importantes pour la sécurité économique” sans avoir à subir une nouvelle évaluation appropriée si cela se fait au sein de la même agence gouvernementale (Article 11, Paragraphe 2).

Les sanctions prévues par la loi sur la protection des secrets spécifiques au Japon

En vertu de la loi japonaise sur la protection des secrets spécifiques, les individus qui divulguent des “informations importantes pour la sécurité économique” (y compris après avoir cessé d’être impliqués), ou qui les acquièrent illégalement, sont passibles d’une peine d’emprisonnement pouvant aller jusqu’à cinq ans ou d’une amende ne dépassant pas cinq millions de yens, ou les deux (articles 22 et 23).

La loi sur l’utilisation et la protection des informations importantes pour la sécurité économique prévoit des dispositions pour les sanctions à la fois des individus et des entreprises, ce qui n’était pas le cas dans la loi sur la protection des secrets spécifiques (article 27).

Des dispositions pénales sont également prévues pour les tentatives infructueuses et les infractions par négligence.

D’autre part, les entreprises conformes sont tenues de ne pas utiliser à mauvais escient les informations ni traiter de manière défavorable les employés qui sont soumis à une évaluation de sécurité et qui, suite à cette évaluation ou à un refus de consentir à celle-ci, reçoivent une notification en ce sens. Cela inclut l’interdiction de pratiques telles que des évaluations de personnel injustes ou des réaffectations inappropriées. En cas de violation, le gouvernement japonais indique qu’il mettra fin aux contrats avec les entreprises conformes.

Avantages et inconvénients de l’obtention d’une habilitation de sécurité au Japon

Le nouveau système d’habilitation de sécurité dans le domaine de la sécurité économique au Japon offre l’opportunité d’élargir les opportunités d’affaires, notamment en permettant la participation à des conférences, transactions et appels d’offres qui exigent une habilitation de sécurité (SC). Cela représente une chance particulièrement intéressante pour les entreprises qui visent à participer à des projets de recherche et développement internationaux ou à des marchés publics étrangers.

Cependant, il existe des risques associés, tels que le partage d’informations de sécurité économique vitales, les coûts liés à l’obtention et au maintien de l’habilitation de sécurité, ainsi que la perte de contrats due à des retards dans la réponse.

Pour éviter ces risques et tirer pleinement parti des avantages, il est essentiel de mettre en place des mesures anticipatives en prévision du nouveau système d’habilitation de sécurité.

Réponses requises des entreprises sous la loi japonaise

Les entreprises doivent envisager des réponses après avoir évalué les avantages, les inconvénients et les impacts du système de sécurité et de clearance qui sera mis en place en mai 2025 (Reiwa 7) avec l’entrée en vigueur de la nouvelle “Loi sur la protection et l’utilisation des informations importantes pour la sécurité économique” au Japon.

Lorsque des opérateurs privés répondent à une demande de coopération du gouvernement et accèdent aux informations confidentielles (CI), il est raisonnable de considérer le soutien aux efforts de préservation au sein des entreprises privées dans une mesure raisonnable, en tenant compte de l’historique et de la réalité de la situation.

Il est nécessaire d’envisager des mesures appropriées pour les employés qui seront soumis au clearance de sécurité, afin d’éviter une utilisation inappropriée ou un traitement préjudiciable.

Pour les normes d’opération, veuillez consulter les “Critères pour la désignation et l’annulation des informations importantes pour la sécurité économique, l’évaluation de l’adéquation et la certification des opérateurs conformes” publiés par le Cabinet Office, disponibles ici : Critères (projet)[ja].

Résumé : Consultez un avocat spécialisé pour obtenir une habilitation de sécurité

Nous avons expliqué les points clés du système d’habilitation de sécurité introduit par la nouvelle “Loi sur la protection et l’utilisation des informations importantes pour la sécurité économique” (重要経済安保情報保護活用法), entrée en vigueur en mai de la 7e année de l’ère Reiwa (2025).

Obtenir une habilitation de sécurité peut élargir les possibilités d’affaires, mais il est également important de prêter attention aux coûts associés à son acquisition et à son maintien.

En cas de questions ou de préoccupations concernant le système d’habilitation de sécurité de la “Loi sur la protection et l’utilisation des informations importantes pour la sécurité économique” au Japon, il est conseillé de consulter un avocat international hautement spécialisé.

Présentation des mesures proposées par notre cabinet

Le cabinet Monolith est un cabinet d’avocats spécialisé dans les domaines de l’IT, et plus particulièrement du droit de l’Internet au Japon. Nous offrons un large éventail de services de soutien juridique, allant de la création et de la révision de contrats pour des entreprises cotées à la Bourse de Tokyo jusqu’au soutien de startups en phase de démarrage. Pour plus de détails, veuillez consulter l’article ci-dessous.

Domaines de pratique du cabinet Monolith : Droit des affaires pour les IT et startups[ja]