Spiegazione dei punti da notare riguardo ai 'Doveri dell'Operatore' nella Legge sulla Protezione dei Dati Personali modificata nell'anno 4 dell'era Reiwa (2022)

Dal mese di aprile 2022 è entrata in vigore la legge riformata sulla protezione dei dati personali giapponese. La legge sulla protezione dei dati personali, pur tenendo conto dell’utilità delle informazioni personali, mira a garantire un trattamento adeguato delle stesse per proteggere i diritti e gli interessi degli individui. Ma quali sono i cambiamenti specifici che sono stati apportati con l’attuazione della legge riformata sulla protezione dei dati personali? In questo articolo, spiegheremo i diritti degli individui e i doveri delle imprese.

Modifiche e contesto della Legge sulla Protezione dei Dati Personali Giapponese

La Legge sulla Protezione dei Dati Personali, entrata in vigore nel 2005 dopo essere stata promulgata nel 2003, è stata modificata nel 2015, dieci anni dopo la sua attuazione, a causa del “progresso della tecnologia dell’informazione e della comunicazione, che ha reso possibile l’utilizzo di dati personali in modi non previsti al momento della sua promulgazione”. La legge modificata è stata pienamente attuata nel 2017.

In questa modifica del 2017, è stata inclusa una “clausola di revisione ogni tre anni”, che prevede una revisione “ogni tre anni dopo l’attuazione, tenendo conto delle tendenze internazionali, dei progressi nella tecnologia dell’informazione, e della creazione e sviluppo di nuove industrie”.

Disposizioni correlate nell’appendice della Legge di Modifica sulla Protezione dei Dati Personali del 2017 (estratto)

Articolo 12 (Considerazione)

(Omissione)

2 Il governo, con l’obiettivo di tre anni dopo l’attuazione di questa legge, prenderà in considerazione le misure necessarie per l’effettiva attuazione della politica di base sulla protezione dei dati personali e altre questioni di competenza della Commissione per la Protezione dei Dati Personali, tenendo conto della situazione relativa all’organizzazione del personale necessario, alla sicurezza delle risorse finanziarie e ad altre misure, e, se ritenuto necessario, prenderà le misure necessarie sulla base dei risultati di tale considerazione.

3 Oltre alle questioni previste nel paragrafo precedente, il governo, con l’obiettivo di tre anni dopo l’attuazione di questa legge, prenderà in considerazione la situazione dell’attuazione della nuova Legge sulla Protezione dei Dati Personali, tenendo conto delle tendenze internazionali sulla protezione dei dati personali, dei progressi nella tecnologia dell’informazione e della comunicazione, e della creazione e sviluppo di nuove industrie che utilizzano i dati personali, e, se ritenuto necessario, prenderà le misure necessarie sulla base dei risultati di tale considerazione.

4, 5 (Omissione)

6 Il governo, tenendo conto della situazione dell’attuazione della nuova Legge sulla Protezione dei Dati Personali, della situazione dell’attuazione delle misure previste nel primo paragrafo e di altre circostanze, esaminerà il modo in cui dovrebbe essere la legislazione sulla protezione dei dati personali, compreso il consolidamento delle disposizioni sulla protezione dei dati personali e dei dati personali detenuti da organi amministrativi e altri enti, come previsto nel primo paragrafo dell’articolo 2 della nuova Legge sulla Protezione dei Dati Personali, e la loro regolamentazione in modo integrato.

La modifica del 2022 (anno 4 dell’era Reiwa) alla Legge sulla Protezione dei Dati Personali è la prima modifica legislativa basata su questa “clausola di revisione ogni tre anni”.

Articolo correlato: Cos’è la Legge sulla Protezione dei Dati Personali e i dati personali? Spiegazione di un avvocato[ja]

Panoramica della revisione del 2022 della Legge sulla Protezione dei Dati Personali (Legge sulla Protezione dei Dati Personali Giapponese) dell’anno Reiwa 4 (2022)

La revisione del 2022 della Legge sulla Protezione dei Dati Personali Giapponese riguarda i seguenti sei punti:

1. La natura dei diritti individuali
2. La natura dei doveri che le imprese devono proteggere
3. La natura del sistema per promuovere gli sforzi volontari delle imprese
4. La natura dell’utilizzo dei dati
5. La natura delle penalità
6. La natura dell’applicazione extraterritoriale della legge e del trasferimento transfrontaliero

In questo articolo, spiegheremo i punti 1 e 2 della revisione.

Articolo correlato: Spiegazione sulla ‘penalità’ nella revisione del 2022 della Legge sulla Protezione dei Dati Personali Giapponese dell’anno Reiwa 4 (2022)[ja]

La natura dei diritti individuali

La natura dei diritti individuali è stata modificata nei seguenti cinque punti.

Estensione del diritto individuale di sospensione dell’uso e cancellazione (Articolo 30 della legge giapponese)

Nella legge attuale, il diritto individuale di sospensione dell’uso e cancellazione era limitato a casi di violazione della legge, come “quando le informazioni personali vengono utilizzate per scopi non previsti” o “quando sono state ottenute con mezzi illeciti”. Tuttavia, con la legge modificata, è ora possibile richiedere la sospensione dell’uso, la cancellazione e la sospensione della fornitura a terzi anche “quando non è più necessario per l’operatore del business gestire i dati personali in suo possesso”, “quando si verifica una perdita di dati” e “quando ci sono rischi di danneggiare i diritti o gli interessi legittimi dell’individuo”.

Metodo di divulgazione dei dati personali in possesso (Articolo 28 della legge giapponese)

Se sei l’individuo in questione, puoi richiedere la divulgazione dei tuoi dati personali all’operatore del business. In risposta alla richiesta, l’operatore del business deve, in linea di principio, divulgare i dati personali in suo possesso. Nella legge attuale, la divulgazione dei dati personali in possesso era effettuata principalmente per iscritto. Tuttavia, ci sono situazioni in cui la consegna scritta non è appropriata quando la quantità di informazioni è enorme, e inoltre, ci sono dati che non sono adatti per la consegna scritta, come i dati video e audio. Pertanto, con la legge modificata, l’individuo può ora richiedere la divulgazione “nel modo specificato dall’individuo”, come la fornitura di registrazioni elettroniche. L’operatore del business ha l’obbligo di divulgare nel modo richiesto dall’individuo.

Le aziende che gestiscono informazioni personali sono tenute a sviluppare un sistema per rispondere alle richieste di divulgazione di dati digitali il prima possibile.

Richiesta di divulgazione del registro di fornitura a terzi da parte dell’individuo (Articolo 28, paragrafo 5, della legge giapponese)

L’operatore del business che gestisce le informazioni personali deve creare un registro come previsto dalla legge quando fornisce dati personali a terzi, e anche chi riceve la fornitura da terzi deve creare un registro come previsto dalla legge. Questo registro di fornitura di dati personali a terzi e il registro di verifica al momento della ricezione della fornitura di dati personali a terzi sono collettivamente chiamati “registro di fornitura a terzi”.

Nella legge attuale, l’individuo non poteva richiedere la divulgazione del registro di fornitura a terzi creato dall’operatore del business, ma con la legge modificata, l’individuo può ora richiedere la divulgazione del registro di fornitura a terzi, tenendo conto della possibilità di tracciamento da parte dell’individuo.

Inclusione di dati a breve termine nei dati personali in possesso (Articolo 2, paragrafo 7, della legge giapponese)

Nella legge attuale, i dati personali in possesso sono definiti come “dati personali sui quali l’operatore del business ha il potere di divulgare, correggere, aggiungere o cancellare il contenuto, sospendere l’uso, cancellare e sospendere la fornitura a terzi”, “quelli che danneggiano l’interesse pubblico o altri interessi se la loro esistenza diventa nota” o “quelli che devono essere cancellati entro un periodo di tempo stabilito da un decreto governativo entro un anno”, ad eccezione di “quelli che devono essere cancellati entro un periodo di tempo stabilito da un decreto governativo entro un anno”, che era di sei mesi.

Tuttavia, anche se devono essere cancellati in breve tempo, c’è la possibilità che si verifichi una perdita di dati nel periodo fino alla cancellazione, quindi con la legge modificata, i dati a breve termine che devono essere cancellati entro sei mesi sono ora inclusi nei “dati personali in possesso”.

Limitazione dell’ambito di applicazione della disposizione opt-out (Articolo 23, paragrafo 2, della legge giapponese)

La disposizione opt-out è un sistema che “consente di fornire dati personali a terzi senza il consenso dell’individuo, a condizione che si fermi se l’individuo lo richiede, dopo aver reso pubblici gli elementi dei dati personali da fornire, ecc.”, ma nella legge attuale, solo le informazioni personali sensibili erano escluse.

Con la legge modificata, l’ambito dei dati personali che possono essere forniti a terzi è stato limitato, e “i dati personali ottenuti illegalmente” e “i dati personali forniti in base alla disposizione opt-out” sono stati anche esclusi.

Il modo in cui gli operatori commerciali dovrebbero adempiere ai loro doveri

Sono state apportate due modifiche significative riguardo a come gli operatori commerciali dovrebbero adempiere ai loro doveri.

Obbligo di segnalare le perdite (Articolo 22, paragrafo 2)

Sotto la legge attuale, non c’è un obbligo legale di segnalare le perdite, quindi ci sono alcuni operatori commerciali che non rispondono proattivamente. Se un operatore commerciale non rende pubblica una perdita, c’è la possibilità che la Commissione per la Protezione dei Dati Personali (Japanese Personal Information Protection Commission) non possa essere a conoscenza del caso e non possa rispondere adeguatamente. Con la legge modificata, se si verifica una perdita e c’è un grande rischio di danneggiare i diritti e gli interessi di un individuo, è obbligatorio segnalare alla Commissione per la Protezione dei Dati Personali e notificare alla persona interessata.

I casi soggetti all’obbligo di segnalazione delle perdite includono “perdite di informazioni personali che richiedono attenzione”, “perdite dovute ad accessi non autorizzati”, “perdite con il rischio di danni patrimoniali”, indipendentemente dal numero di casi, e “perdite su larga scala” che superano i 1000 casi.

Divieto di utilizzo attraverso metodi inappropriati (Articolo 16, paragrafo 2)

Con il rapido miglioramento delle tecniche di analisi dei dati, si stanno vedendo modi di utilizzare le informazioni personali che potrebbero potenzialmente violare i diritti e gli interessi degli individui, aumentando le preoccupazioni dei consumatori. In risposta a ciò, la legge modificata ha chiarito che le informazioni personali non devono essere utilizzate attraverso metodi inappropriati che promuovono attività illegali o ingiuste.

Con “metodi inappropriati che promuovono attività illegali o ingiuste” si intendono casi piuttosto gravi come “fornire informazioni personali a terzi che svolgono attività illegali” o “nonostante sia prevedibile che ci sia il rischio di discriminazione, aggregare e rendere pubbliche su Internet le informazioni personali che sono state rese pubbliche in modo disperso attraverso annunci di tribunali e simili”.

Riassunto

In questo articolo, abbiamo discusso i punti di modifica 1 e 2. I punti di modifica 3, 4, 5 e 6 saranno discussi in un altro articolo.

Articolo correlato: Spiegazione sulla ‘Penalità’ della Legge Giapponese sulla Protezione dei Dati Personali modificata nel 4° anno dell’era Reiwa (2022)[ja]

Presentazione delle misure adottate dal nostro studio legale

Lo studio legale Monolis è un’agenzia legale altamente specializzata in IT, in particolare nell’intersezione tra Internet e legge. La legge sulla privacy appena riformata sta attirando molta attenzione, e la necessità di controllo legale sta aumentando sempre di più. Il nostro studio offre soluzioni relative alla proprietà intellettuale. I dettagli sono descritti nell’articolo sottostante.