Cosa dovrebbe rivelare un'azienda in caso di una violazione dei dati

Nel caso si verifichi una fuga di informazioni, a seconda delle circostanze, potrebbe essere necessario adottare misure amministrative come la segnalazione. Oltre alla gestione con l’amministrazione, è anche necessario divulgare le informazioni in modo appropriato su “quali informazioni”, “quando” e “come sono state rivelate”.

In questo articolo, spiegheremo la divulgazione delle informazioni che le aziende dovrebbero effettuare nel caso in cui si verifichi una fuga di informazioni, rivolgendoci ai responsabili del dipartimento legale delle aziende.

Differenze tra risposta amministrativa e divulgazione delle informazioni

Se si verifica una fuga di informazioni personali, sarà necessario rispondere alle regolamentazioni amministrative come la ‘Legge Giapponese sulla Protezione dei Dati Personali’. Tuttavia, una semplice risposta amministrativa potrebbe non essere sufficiente come risposta da parte dell’azienda.

Ad esempio, se un’azienda causa una fuga di informazioni, potrebbero sorgere conseguenze sociali.

Inoltre, se l’azienda è quotata in borsa, esiste la necessità di divulgare rapidamente le informazioni agli stakeholder come azionisti, clienti e fornitori.

Sebbene la risposta amministrativa abbia un aspetto di conformità alla legge, la divulgazione delle informazioni da parte dell’azienda ha un forte aspetto di adempiere alla responsabilità sociale come azienda che gestisce le informazioni.

Articolo correlato: Cosa fare in caso di fuga di informazioni personali? Spiegazione della risposta amministrativa che l’azienda dovrebbe adottare[ja]

Articolo correlato: Gestione della crisi e ruolo dell’avvocato apprendendo dal caso di fuga di informazioni di 650.000 elementi da Tokken Corporation[ja]

Sulla divulgazione tempestiva delle società quotate

Per le società quotate, è obbligatorio divulgare le informazioni, poiché una fuga di informazioni può avere un impatto su un’ampia gamma di aree.

Ad esempio, nel regolamento di quotazione dei titoli di valore pubblicato dalla Borsa di Tokyo, sono stabilite le seguenti disposizioni relative alla divulgazione tempestiva.

(Divulgazione delle informazioni aziendali)
Articolo 402
Le società quotate devono immediatamente divulgare il contenuto nei casi elencati di seguito (esclusi quelli che corrispondono agli standard stabiliti dal regolamento di attuazione e altri casi che la Borsa ritiene avere un impatto minimo sulle decisioni di investimento degli investitori).
(Omissione)
x Oltre ai fatti elencati da a a w, fatti importanti relativi alla gestione, alle operazioni o ai beni della società quotata o ai titoli quotati in questione che hanno un impatto significativo sulle decisioni di investimento degli investitori

Borsa di Tokyo | Regolamento di quotazione dei titoli di valore[ja]

Si ritiene che la fuga di informazioni rientri nella categoria “fatti importanti relativi alla gestione, alle operazioni o ai beni della società quotata o ai titoli quotati in questione che hanno un impatto significativo sulle decisioni di investimento degli investitori”, quindi è necessario effettuare una divulgazione tempestiva.

Specificamente, si può considerare di divulgare un riassunto della fuga di informazioni che si è verificata, le circostanze della fuga di informazioni, e le prospettive future per affrontare la fuga di informazioni che si è verificata.

Sulla divulgazione volontaria delle informazioni da parte delle aziende

Come indicato sopra, ci sono casi in cui le aziende rivelano informazioni in conformità con le regole di quotazione di titoli di valore, ma le aziende potrebbero anche considerare di rivelare informazioni volontariamente come misura di gestione del rischio.

Articolo correlato: Il rischio di fuga di informazioni personali da parte delle aziende e il risarcimento dei danni[ja]

In quali casi dovrebbe essere rivelata l’informazione

Per quanto riguarda la divulgazione volontaria delle informazioni, essendo volontaria, l’azienda ha la possibilità di scegliere tra non rivelare le informazioni e rivelarle.

Quindi, è importante per l’azienda stabilire chiaramente i criteri per scegliere se rivelare le informazioni o meno.

Il primo criterio potrebbe essere se c’è un rischio reale che i danni causati dalla fuga di informazioni possano aumentare.

Sebbene ci sia effettivamente una fuga di informazioni, se si ritiene che non ci siano effetti reali, la necessità di divulgare volontariamente le informazioni è considerata bassa.

Se si rivelano volontariamente le informazioni quando non c’è un rischio reale che i danni causati dalla fuga di informazioni possano aumentare, si potrebbe creare confusione e peggiorare la situazione.

Il secondo criterio potrebbe essere se c’è un rischio che i danni causati dalla fuga di informazioni possano aumentare a causa della divulgazione delle informazioni.

Se si rivelano le informazioni su una fuga di informazioni nonostante non si sia in grado di gestirla adeguatamente, si potrebbe attirare l’attenzione di coloro che intendono ottenere illegalmente le informazioni, aumentando il rischio di ulteriori fughe di informazioni.

Di conseguenza, la divulgazione volontaria delle informazioni potrebbe portare ad un aumento dei danni causati dalla fuga di informazioni e, di conseguenza, ad un ulteriore aumento delle violazioni dei diritti.

Tuttavia, i criteri sopra menzionati non sono necessariamente generalizzabili e bisogna esaminare attentamente i criteri per decidere se divulgare le informazioni o meno in ogni caso, e decidere se è appropriato o meno divulgare le informazioni.

Sulle questioni che dovrebbero essere rivelate

Quando si rivelano le informazioni, è necessario considerare attentamente anche le questioni che dovrebbero essere rivelate.

Le questioni che dovrebbero essere rivelate potrebbero includere, ad esempio, le seguenti:

• Il tipo di fuga di informazioni che si è verificata
• La data in cui l’azienda ha riconosciuto che si è verificata una fuga di informazioni
• La data in cui si è verificata la fuga di informazioni
• Come è stato scoperto che si è verificata una fuga di informazioni
• La causa della fuga di informazioni
• Il contenuto dei danni che potrebbero essere causati dalla fuga di informazioni
• Se c’è o meno il rischio di un ulteriore aumento dei danni o di danni secondari in futuro
• Le misure adottate dall’azienda in risposta alla fuga di informazioni
• Il contenuto dell’indagine sulla causa della fuga di informazioni
• Se è stato o meno fatto un rapporto alla polizia, ecc.

Tuttavia, anche per quanto riguarda le questioni che dovrebbero essere rivelate, le questioni che è desiderabile rivelare variano a seconda del caso, quindi è necessario fare una valutazione individuale a seconda del caso.

Sul metodo di divulgazione delle informazioni

I metodi per rivelare le informazioni potrebbero includere, ad esempio, i seguenti:

• Pubblicare le informazioni sul sito web dell’azienda
• Tenere una conferenza stampa per annunciare le informazioni ai media
• Contattare individualmente le persone che potrebbero avere i loro diritti e interessi violati a causa della fuga di informazioni

Tuttavia, i metodi di divulgazione delle informazioni sopra menzionati sono solo esempi, quindi è necessario scegliere il metodo appropriato a seconda del caso.

Punti da notare quando si tiene una conferenza stampa ai media

Quando si tiene una conferenza stampa, il contenuto della divulgazione delle informazioni sarà noto a molte persone. Pertanto, è necessario considerare attentamente se è appropriato rivelare le informazioni attraverso una conferenza stampa.

Ad esempio, se non ci sono informazioni oltre a quelle che l’azienda ha già rivelato sul suo sito web, anche se si tiene una conferenza stampa, non sarà possibile rivelare nuove informazioni. Se si tiene una conferenza stampa senza nuove informazioni, le persone che guardano la conferenza stampa potrebbero avere l’impressione che l’azienda non stia facendo una divulgazione adeguata delle informazioni e non stia assumendosi la responsabilità di spiegare, creando l’immagine di un’azienda disonesta, quindi è necessario fare attenzione.

Inoltre, ci possono essere casi in cui è praticamente difficile ritirare o correggere ciò che è stato detto in una conferenza stampa.

Quindi, è necessario prepararsi adeguatamente per ciò che si dirà in una conferenza stampa, come decidere in anticipo ciò che si dirà, coinvolgendo esperti come avvocati.

Punti da notare quando si contatta individualmente le persone che potrebbero avere i loro diritti e interessi violati a causa della fuga di informazioni

Se è noto che ci sono persone che potrebbero avere i loro diritti e interessi violati a causa della fuga di informazioni, è preferibile contattare individualmente queste vittime prima di annunciare pubblicamente il fatto della fuga di informazioni.

Se si procede alla pubblicazione prima di contattare individualmente le vittime, le vittime potrebbero sviluppare un senso di sfiducia verso l’azienda e rafforzare la loro consapevolezza ostile.

Inoltre, anche se era possibile contattare individualmente le vittime, se si procede alla pubblicazione prima, c’è il rischio che la fiducia sociale nell’azienda possa essere compromessa.

Come possono le aziende prevenire la fuga di informazioni

Finora, abbiamo discusso su come le aziende dovrebbero divulgare le informazioni in caso di fuga di informazioni, ma è fondamentale prevenire la fuga di informazioni in primo luogo.

L’articolo 23 della Legge sulla protezione dei dati personali giapponese (Legge sulla protezione dei dati personali) stabilisce le seguenti misure di gestione della sicurezza:

(Misure di gestione della sicurezza)
Articolo 23: Gli operatori di business che gestiscono dati personali devono adottare misure necessarie e appropriate per prevenire la fuga, la perdita o il danneggiamento dei dati personali e per altre misure di gestione della sicurezza dei dati personali.

e-Gov｜Legge sulla protezione dei dati personali[ja]

Le misure di gestione della sicurezza possono includere, ad esempio, le seguenti azioni:

• Stabilire una politica di base per la gestione dei dati personali
• Stabilire regole per la gestione dei dati personali
• Organizzare la struttura organizzativa
• Operare in conformità con le regole per la gestione dei dati personali
• Stabilire mezzi per verificare lo stato di gestione dei dati personali
• Organizzare un sistema per affrontare i casi di fuga di informazioni
• Rivedere lo stato di gestione dei dati personali e le misure di gestione della sicurezza
• Educazione per i dipendenti che gestiscono i dati personali
• Implementazione di misure di gestione della sicurezza fisica per prevenire la fuga di dati personali
• Implementazione di misure di gestione della sicurezza tecnica per prevenire la fuga di dati personali

Si ritiene che attuando tali misure di gestione della sicurezza in base alla situazione dell’azienda, si possa ridurre il rischio di fuga di informazioni.

Riassunto: Consultare un avvocato per la divulgazione di informazioni relative alle perdite di dati

In questo articolo, abbiamo spiegato la divulgazione di informazioni che un’azienda dovrebbe fare nel caso in cui si verifichi una perdita di dati, rivolgendoci specificamente ai dipartimenti legali delle aziende.

La situazione ideale sarebbe quella di non avere mai una perdita di dati, ma prevenire completamente le perdite di dati è considerato difficile nella realtà.

Quindi, se si verifica una perdita di dati, è importante che l’azienda risponda in modo appropriato.

Per quanto riguarda la risposta alle perdite di dati, si richiede un’attenta considerazione in base al caso specifico, quindi consigliamo di consultare un avvocato con competenze specialistiche.

Presentazione delle misure adottate dal nostro studio legale

Lo Studio Legale Monolis è uno studio legale altamente specializzato in IT, in particolare nell’intersezione tra Internet e legge. La creazione di regolamenti interni richiede una conoscenza specialistica. Il nostro studio legale gestisce la revisione di vari casi, dalle aziende quotate alla Borsa di Tokyo alle startup. Se avete problemi con i regolamenti interni, si prega di fare riferimento all’articolo sottostante.