Mire kell figyelni a „Japán Személyes Adatvédelmi Törvény” alapján készült adatvédelmi irányelvek megalkotásakor?

Az utóbbi időben egyre nagyobb társadalmi érdeklődés övezi a személyes adatok védelmét. Szinte nincs olyan vállalkozás, amely nem kezel személyes adatokat, így a személyes adatok kezelése rendkívül aktuális kérdés a vállalatok és az egyéni vállalkozók számára. A weboldallal rendelkező vállalatok esetében gyakori, hogy a weboldalon közzéteszik az adatvédelmi irányelveiket. Az adatvédelmi irányelvek a vállalkozások személyes adatok kezelésének irányelveit teszik közzé a személyes adatok védelméről szóló törvénynek megfelelően. Az adatvédelmi irányelvek megfelelő kidolgozásához elengedhetetlen a személyes adatok védelméről szóló törvény megértése. Ezért bemutatjuk az adatvédelmi irányelvek készítése során figyelembe vett szempontokat. Megjegyezzük, hogy a személyes adatok védelméről szóló törvényt 2015-ben módosították, és a módosított törvény 2017. május 30-án lépett hatályba. Különösen fontos módosítás történt a személyes adatok harmadik félnek történő átadásával kapcsolatban, ezért ezt a pontot is bemutatjuk. A személyes adatok védelméről szóló törvény módosításáról a következő cikkben adunk részletes magyarázatot.

Mi a személyes adatvédelmi irányelv?

A vállalatok weboldalain szinte mindig található személyes adatvédelmi irányelv. Ez néha “Személyes adatvédelmi politika” néven is ismert, de alapvetően ugyanazt jelenti. A személyes adatvédelmi irányelv egyrészt kifejezi az adott vállalkozás alapvető hozzáállását a személyes adatok kezeléséhez, másrészt arra szolgál, hogy megjelenítse azokat a tételeket, amelyeket a személyes adatvédelmi törvény (japán: 個人情報保護法) közzétételére szólít fel. Ezért a következő, a személyes adatvédelmi törvény által közzétételre szólított tételeket legalábbis fel kell sorolni:

• A személyes adatok felhasználásának célja
• A személyes adatokat kezelő vállalkozás neve vagy megnevezése
• Az eljárás, amelynek során a vállalkozás válaszol a személyes adatok felhasználásának céljáról szóló értesítésre, a személyes adatok közzétételére, helyesbítésére, felhasználásának leállítására stb. irányuló kérelmekre
• A panaszok benyújtásának helye

Ezen túlmenően, ha a vállalkozás csoporton belül megosztja a személyes adatokat, amit közös felhasználásnak nevezünk, vagy ha kezeli az anonimizált információkat, amelyeket később ismertetünk, akkor a törvény előírja, hogy minden egyes esetben közzé kell tenni a követeléseket.

Kapcsolódó cikk: Mi a személyes adatvédelmi törvény és a személyes adatok? Ügyvéd magyarázza[ja]

Adatvédelmi irányelvek kialakítására kötelezett vállalkozások

A 2017-ben (2017. évi) hatályba lépett módosított törvény előtt a személyes adatok védelméről szóló japán törvény (Japanese Personal Information Protection Law) csak azokra a vállalkozásokra vonatkozott, amelyek több mint 5000 személyes adatot tartottak nyilván. Emiatt a kisvállalkozások és a B2B üzleti tevékenységet folytató vállalkozások között voltak olyanok, akiknek nem volt szükségük adatvédelmi irányelvek kialakítására. Azonban a 2017-ben (2017. évi) hatályba lépett módosított törvény értelmében a személyes adatok védelméről szóló japán törvény (Japanese Personal Information Protection Law) minden vállalkozásra vonatkozik, függetlenül attól, hogy hány személyes adatot tartanak nyilván. Ennek eredményeként úgy tűnik, hogy alapvetően minden vállalkozásnak ki kell alakítania saját adatvédelmi irányelveit. Megjegyezzük, hogy még ha nincs is kialakítva adatvédelmi irányelv, a személyes adatok védelméről szóló japán törvény (Japanese Personal Information Protection Law) által közzétételre kötelezett információkat, mint például a személyes adatok felhasználásának célját, minden egyes adatszerzés alkalmával közölni lehet az érintettel. Azonban ez macerás, így általában az adatvédelmi irányelvek kialakítása a szokásos eljárás.

Adatvédelmi irányelvek ellenőrzési pontjai

Személyes adatok definíciója

X. cikk
A személyes adatok olyan információk, amelyek egy élő személyre vonatkoznak, és amelyeket a benne szereplő név, születési dátum vagy egyéb leírások alapján azonosítható egy adott személy (beleértve azokat az információkat is, amelyeket könnyen össze lehet vetni más információkkal, és amelyek alapján azonosítható egy adott személy).

A személyes adatok definícióját elegendő a Japán Személyes Adatvédelmi Törvényben (Japanese Personal Information Protection Act) meghatározottak szerint leírni. Tipikusan ilyenek a név, születési dátum és egyéb információk, de ide tartozhat még az életkor, nem, lakcím, telefonszám, családi állapot, hobbi, preferenciák, e-mail cím, ID, IP-cím és időbélyeg, munkahely, pozíció, munkahelyi cím, munkahelyi telefonszám, hitelkártyaszám, bankszámlaszám, meglátogatott weboldalak információi, panaszok, konzultációk vagy érdeklődési információk is. Ezért érdemes lehet előre megjelölni ezeket a tételeket, különösen azokat, amelyeket valószínűleg a saját ügyfeleinktől szerezünk be, a személyes adatok definíciójában a Adatvédelmi Szabályzatban.

Személyes adatok felhasználásának célja

0. cikk
1. Cégünk a következő célokra használja fel a megszerzett személyes adatokat. Ha cégünk weboldalán külön meghatározzuk a személyes adatok felhasználásának célját, akkor az adott cél leírása lesz az elsődleges.
(1) Válaszadás a kapcsolatfelvételi űrlapon keresztül érkező kérdésekre
(2) Cégünk által nyújtott webes szolgáltatások vagy alkalmazások, illetve egyéb szolgáltatások (a továbbiakban: “szolgáltatás”) nyújtása, valamint a szolgáltatás vagy cégünk által nyújtott új szolgáltatások bemutatása
(3) A szolgáltatás javítása és új szolgáltatások fejlesztése érdekében
(4) Egyéb, a fentiekkel összefüggő célokra
2. Cégünk a fent meghatározott célokon túlmenően, a vásárlóktól megszerzett személyes adatokat anonimizált formában és hatókörben statisztikai információként összegezheti és felhasználhatja.

Felhasználási cél

A személyes adatok védelméről szóló törvény szerint közzé kell tenni a megszerzett személyes adatok felhasználásának célját. Az első bekezdésben található példa erre vonatkozik. A felhasználási cél meghatározásánál fontos, hogy nem elegendő az általános és összefoglaló leírás, a személynek tisztában kell lennie azzal, hogyan használják fel a személyes adatait. Ezért a személyes adatvédelmi irányelvek kidolgozásában részt vevő vállalkozásoknak figyelembe kell venniük, hogy a felhasználási cél leírása változhat. Továbbá, ha hiányzik a leírás, akkor nem lehet felhasználni a személyes adatokat az adott célra, ezért gondosan ellenőrizze, hogy nincs-e hiányosság.

Anonimizált információk

A második bekezdés az anonimizált információkra vonatkozó rendelkezéseket tartalmazza. Az anonimizált információk olyan személyes adatok, amelyeket úgy dolgoztak fel, hogy azokból nem lehet azonosítani a személyt, és nem lehet visszaállítani. Ez a nagy adatmennyiségek felhasználását teszi lehetővé.
Ha anonimizált információkat kezel, akkor közzé kell tennie a személyes adatvédelmi irányelvekben az anonimizált információkban szereplő személyes adatokat. A második bekezdésben található példa arra vonatkozik, hogy a “személyes adatok meghatározása” alatt szereplő személyes adatokat anonimizált információként használják. Ha harmadik félnek ad anonimizált információkat, akkor ezen felül közzé kell tennie a szolgáltatás módját is.

Személyes adatok célján túli felhasználása

0. cikk
Cégünk a megszerzett személyes adatokat a megelőző cikkben meghatározott felhasználási cél eléréséhez szükséges határokon belül kezeli. Ha a személyes adatokat a felhasználási cél határain túl kezeljük, azt előzetesen az ügyfél hozzájárulásával végezzük. Azonban ez nem vonatkozik az alábbi esetekre:
(1) Ha törvény alapján szükséges
(2) Ha szükséges az ember életének, testi épségének vagy vagyonának védelme érdekében, és nehéz az ügyfél hozzájárulását megszerezni
(3) Ha különösen szükséges a közegészség javítása vagy a gyermekek egészséges fejlődésének elősegítése érdekében, és nehéz az ügyfél hozzájárulását megszerezni
(4) Ha szükséges az állami szervek vagy helyi önkormányzatok, vagy azok megbízottjai által végzett törvényben meghatározott feladatok végrehajtásában való együttműködéshez, és az ügyfél hozzájárulásának megszerzése veszélyeztetheti a feladat végrehajtását

A személyes adatokat alapvetően nem szabad a felhasználási célján túl felhasználni. Azonban a személyes adatvédelmi törvény szerint a fenti (1) – (4) pontokban meghatározott esetekben megengedett a célján túli felhasználás.
A (2) és (3) pontok olyan eseteket jelentenek, amikor nagy szükség van a személyes adatok felhasználására, de nehéz gyorsan hozzájárulást szerezni az érintettől. A (1) és (4) pontok az állam vagy a helyi önkormányzatok stb. irányelvei alapján történő személyes adatok felhasználását jelentik. Például a bűnügyi nyomozások esnek ebbe a kategóriába. Ez a célján túli felhasználásra vonatkozó cikk szinte minden vállalkozásnál szabványos, és a vállalkozás tevékenységétől függően alig változik.

Személyes adatok harmadik félnek történő átadása

Cikk X.
Cégünk alapvetően nem adja át ügyfelei személyes adatait harmadik félnek az ügyfél hozzájárulása nélkül. Kivételesen, ha meghatározzuk az adatok átvevőjét és tartalmát, és beszerezzük az ügyfél hozzájárulását, akkor adhatjuk át az adatokat harmadik félnek. Azonban ez nem vonatkozik a következő esetekre:
(1) Ha törvény írja elő
(2) Ha szükséges az emberi élet, testi épség vagy vagyon védelme érdekében, és nehéz az ügyfél hozzájárulását beszerezni
(3) Ha különösen szükséges a közegészség javítása vagy a gyermekek egészséges fejlődésének elősegítése érdekében, és nehéz az ügyfél hozzájárulását beszerezni
(4) Ha szükséges a törvény által előírt feladatok végrehajtásához való együttműködésben a nemzeti hatóságoknak, helyi önkormányzatoknak vagy megbízottjaiknak, és az ügyfél hozzájárulásának beszerzése veszélyeztetheti a feladatok végrehajtását
(5) Ha szükséges a személyes adatok átadása a cégünkkel titoktartási szerződést kötött üzleti partnereknek a felhasználási cél érdekében

A személyes adatok harmadik félnek történő átadásának kivételei

Ez a rendelkezés a vállalkozások által gyűjtött személyes adatok harmadik félnek történő átadásával kapcsolatos. A személyes adatok védelméről szóló törvény szerint, ha személyes adatokat harmadik félnek kívánunk átadni, szükséges az érintett hozzájárulását beszerezni. Azonban a törvény kivételeket is tartalmaz, amelyek szerint az (1) – (5) pontban meghatározott esetekben az érintett hozzájárulása nélkül is átadhatók személyes adatok harmadik félnek. Ezért, hasonlóan a személyes adatok célján túli felhasználásával kapcsolatos rendelkezéshez, a harmadik félnek történő átadásra vonatkozó rendelkezés is szabványos. A gyakorlatban a leggyakrabban használt eset az (5) pontban meghatározott üzleti partnereknek történő adatátadás. Azonban, még ha üzleti partnereknek adtuk is át az adatokat, a személyes adatokat gyűjtő vállalkozásnak felügyeleti felelőssége van a megbízottal szemben. Ezért, ha a megbízott által szivárognak ki személyes adatok, a megbízó vállalkozást is felelősségre vonhatják. Ezért óvatosan kell eljárni a megbízott kiválasztásánál és a megbízás utáni felügyeletnél. A Benesse személyes adatok kiszivárgásának esetét részletesen tárgyaljuk az alábbi cikkben.

Kapcsolódó cikk: A vállalatok személyes adatok kiszivárgásának és a kártérítési kötelezettség kockázata[ja]

A jogszabályi változások miatt nehezebb az opt-out

A személyes adatok harmadik félnek történő átadásával kapcsolatban, a 2017-ben (2017) hatályba lépett módosított törvény előtt lehetővé tették, hogy “megszakítsák a személyes adatok harmadik félnek történő átadását az érintett kérésére”, feltéve, hogy az érintett előzetes hozzájárulása nélkül harmadik félnek adhatók személyes adatok. Ezt opt-out-nak hívják. Azonban a 2017-ben hatályba lépett módosított törvény szerint, ha nem jelentik be előzetesen a Személyes Adatvédelmi Bizottságnak, akkor nem lehet személyes adatokat harmadik félnek átadni opt-out módon, és a szabályok szigorúbbá váltak.
Lehet, hogy úgy gondolja, hogy elegendő bejelentést tenni a Személyes Adatvédelmi Bizottságnak, de ez a bejelentési rendszer elsősorban azokat a vállalkozásokat célozza, amelyek személyes adatokat magukat áruként kezelik, és a bejelentők nyilvánosságra kerülnek, ezért a ténylegesen bejelentést tevő vállalatok száma még mindig nem nagy. Ezért gyakorlatilag az érintett hozzájárulása nélküli személyes adatok harmadik félnek történő átadása nehéz, kivéve a kivételekben engedélyezett eseteket, mint például az üzleti megbízás.

Személyes adatok közzététele, korrekció stb.

A Japán Személyes Adatvédelmi Törvény (Japanese Personal Information Protection Act) előírja, hogy a személyes adatokat kezelő szervezeteknek nyilvánosságra kell hozniuk azokat az eljárásokat, amelyek lehetővé teszik az érintettek számára, hogy tájékoztatást kérjenek az adatok felhasználásának céljáról, az adatok közzétételéről, korrekciójáról, felhasználásának megszüntetéséről stb. Ezért, amikor adatvédelmi irányelveket hozunk létre, ezeket a kérdéseket is szabályoznunk kell. Ugyanakkor, ezeket a rendelkezéseket sok vállalkozásnál szabványos formulációban fogalmazzák meg. Egy olyan kérdés, amit meg kell vizsgálnunk, hogy szükséges-e díjat meghatározni az érintett személy által kért adatok közzététele, korrekció stb. esetén. Az indokolatlan kérelmek miatti munkafolyamatok lassulásának megelőzése érdekében egy lehetőség a megfelelő összegű díj meghatározása. Ha díjat kell fizetni, figyelni kell arra, hogy az adatvédelmi irányelvekben meg kell határozni a díj mértékét és annak részleteit.

Összefoglalás

A személyes adatok védelmével kapcsolatban a társadalmi érdeklődés növekedésével összhangban a jogszabályok is fokozatosan szigorodnak. Természetesen fontos, hogy a személyes adatok ne kerüljenek illetéktelen kezekbe, ezért a vállalatoknak biztonságosan kell kezelniük az információkat, de ugyanakkor fontos, hogy a jogszabályoknak megfelelően kidolgozzák a személyes adatvédelmi politikákat és a belső szabályzatokat. A személyes adatok védelméről szóló törvényt a tervek szerint a továbbiakban is háromévente rendszeresen módosítják. Minden alkalommal, amikor megváltoznak a személyes adatok kezelésének szabályai, nemcsak a vállalati rendszerek módosítása válik szükségessé, hanem felmerülhet az üzleti módszerek áttekintésének szükségessége is. Ebben az értelemben a személyes adatok védelméről szóló törvényt a vállalkozás alapját képező törvénynek tekinthetjük, ezért különösen fontos, hogy azok a vállalkozások, amelyek sok személyes adatot kezelnek, folyamatosan tájékozódjanak a módosításokról.

Szerződéskészítés és felülvizsgálat a Monolis Jogi Irodánál

A Monolis Jogi Iroda, mint az IT, internet és üzleti jog területén kiemelkedő szakértelemmel rendelkező iroda, nem csak a személyes adatok védelméről szóló irányelvekkel kapcsolatosan, hanem számos más szerződés elkészítésében és felülvizsgálatában is segítséget nyújt ügyfeleinek és tanácsadói partnereinek.

Amennyiben érdekli Önt, kérjük, tekintse meg a részleteket az alábbiakban.

https://monolith.law/contractcreation[ja]