Quali sono i punti da considerare nella creazione di una politica sulla privacy basata sulla 'Legge sulla protezione delle informazioni personali' giapponese?

Negli ultimi tempi, l’interesse sociale per la protezione dei dati personali è in aumento. Si può dire che esistono pochissimi operatori che non gestiscono dati personali, rendendo la gestione di tali informazioni un problema molto concreto per molte aziende e imprenditori individuali. Si ritiene che molte aziende che possiedono un sito web abbiano una politica sulla privacy sul loro sito. La politica sulla privacy è un documento che pubblica le linee guida per la gestione dei dati personali da parte dell’operatore in questione, in conformità con la legge giapponese sulla protezione dei dati personali. Per formulare adeguatamente una politica sulla privacy, è essenziale comprendere la legge giapponese sulla protezione dei dati personali. Pertanto, spiegheremo i punti da controllare quando si crea una politica sulla privacy. Si noti che la legge giapponese sulla protezione dei dati personali è stata modificata nel 2015 e la legge modificata è entrata in vigore il 30 maggio 2017 (anno 2017 del calendario gregoriano). In particolare, ci sono state modifiche importanti riguardanti la fornitura di dati personali a terzi, quindi spiegheremo anche questo punto. Per ulteriori dettagli sulle modifiche alla legge giapponese sulla protezione dei dati personali, si prega di consultare l’articolo sottostante.

Cos’è la Politica sulla Privacy

La maggior parte dei siti web aziendali presenta una Politica sulla Privacy. Può anche essere chiamata “Politica sulla Protezione dei Dati Personali”, ma in sostanza, si tratta della stessa cosa. La Politica sulla Privacy mostra l’approccio fondamentale dell’operatore aziendale nei confronti del trattamento dei dati personali e serve anche a mostrare le informazioni richieste dalla Legge sulla Protezione dei Dati Personali (Legge Giapponese sulla Protezione dei Dati Personali). Pertanto, è essenziale che copra almeno le seguenti informazioni richieste dalla Legge sulla Protezione dei Dati Personali:

• Lo scopo dell’utilizzo dei dati personali
• Il nome o la denominazione dell’operatore che gestisce i dati personali
• Le procedure per rispondere alle richieste di notifica, divulgazione, correzione, cessazione dell’uso, ecc. da parte dell’individuo
• Il punto di contatto per i reclami

Inoltre, in casi come la condivisione di dati personali all’interno di un gruppo di aziende, noto come uso congiunto, o il trattamento di informazioni elaborate in modo anonimo, che verrà spiegato successivamente, ci sono requisiti specifici di divulgazione stabiliti dalla legge.

Articolo correlato: Cos’è la Legge sulla Protezione dei Dati Personali e i dati personali? Spiegato da un avvocato[ja]

Operatori che dovrebbero creare una politica sulla privacy

Prima dell’entrata in vigore della legge modificata nel 2017 (anno 2017 del calendario gregoriano), l’applicazione della “Legge Giapponese sulla Protezione dei Dati Personali” era limitata agli operatori che detenevano più di 5000 informazioni personali. Di conseguenza, c’era un certo numero di operatori, come le piccole imprese e quelli che si occupano principalmente di business BtoB, che non avevano bisogno di creare una politica sulla privacy. Tuttavia, con l’entrata in vigore della legge modificata nel 2017, la “Legge Giapponese sulla Protezione dei Dati Personali” è ora applicabile a tutti gli operatori, indipendentemente dal numero di informazioni personali detenute. Di conseguenza, si prevede che, in linea di principio, tutti gli operatori creeranno una politica sulla privacy. Si noti che, anche se non si crea una politica sulla privacy, è possibile sostituirla notificando all’individuo ogni volta che si raccolgono informazioni personali, le questioni che la “Legge Giapponese sulla Protezione dei Dati Personali” richiede di essere rese pubbliche, come lo scopo dell’uso delle informazioni personali. Tuttavia, poiché questo è un processo laborioso, di solito si finisce per creare una politica sulla privacy.

Punti di controllo della politica sulla privacy

Definizione di Informazioni Personali

Articolo 〇
Per informazioni personali si intendono le informazioni relative a un individuo vivente che possono essere identificate attraverso il nome, la data di nascita e altre descrizioni contenute in tali informazioni (compresi i dati che possono essere facilmente confrontati con altre informazioni, permettendo l’identificazione di un individuo specifico).

Per la definizione di informazioni personali, è sufficiente fare riferimento a quanto stabilito dalla Legge Giapponese sulla Protezione dei Dati Personali. Tipicamente, si tratta di informazioni come nome e data di nascita, ma possono rientrare in questa categoria anche età, sesso, indirizzo, numero di telefono, composizione familiare, hobby, preferenze, indirizzo e-mail, ID, indirizzo IP e timestamp, luogo di lavoro, affiliazione, indirizzo del luogo di lavoro, numero di telefono del luogo di lavoro, numero della carta di credito, numero del conto bancario, informazioni sulle pagine web visitate, reclami, consulenze o informazioni di contatto. Pertanto, potrebbe essere utile includere preventivamente nella definizione di informazioni personali della politica sulla privacy le informazioni che è più probabile ottenere dai propri clienti.

Scopo dell’uso delle informazioni personali

Articolo 〇
1. La nostra azienda utilizza le informazioni personali raccolte per i seguenti scopi. Se sul nostro sito web abbiamo definito separatamente lo scopo dell’uso delle informazioni personali, prevarrà la descrizione di tale scopo.
(1) Per permettere alla nostra azienda di rispondere alle richieste ricevute tramite il modulo di contatto
(2) Per fornire i servizi web o le applicazioni che offriamo, o altri servizi (di seguito denominati “questi servizi”), e per informarvi sui nuovi servizi che offriamo
(3) Per migliorare questi servizi e sviluppare nuovi servizi
(4) Per altri scopi correlati ai punti precedenti
2. Oltre agli scopi definiti nel paragrafo precedente, la nostra azienda può utilizzare le informazioni personali raccolte dai clienti in modo e nell’ambito in cui non sia possibile identificare o specificare l’individuo, come informazioni statistiche, a scopo di riferimento.

Scopo dell’uso

La legge giapponese sulla protezione delle informazioni personali richiede la divulgazione dello scopo dell’uso delle informazioni personali raccolte. Il paragrafo 1 dell’esempio di clausola sopra risponde a questa esigenza. È importante notare che nella definizione dello scopo dell’uso, una descrizione astratta o generale non è sufficiente; è necessario descrivere in modo specifico come le informazioni personali dell’individuo saranno utilizzate, in modo che l’individuo possa capirlo. Pertanto, il contenuto della descrizione dello scopo dell’uso può variare a seconda dell’operatore che crea la politica sulla privacy. Inoltre, se ci sono omissioni nella descrizione, non sarà possibile utilizzare le informazioni personali per lo scopo omesso, quindi è importante esaminare attentamente per assicurarsi che non ci siano omissioni.

Informazioni anonime

Il paragrafo 2 dell’esempio di clausola riguarda le disposizioni sulle informazioni anonime. Le informazioni anonime sono informazioni che sono state elaborate in modo tale da rendere impossibile identificare l’individuo e da non poter essere ripristinate. Si tratta di un concetto pensato per l’utilizzo dei cosiddetti big data.
Quando si gestiscono informazioni anonime, è necessario divulgare nel regolamento sulla privacy, ad esempio, gli elementi delle informazioni personali contenute nelle informazioni anonime. Il paragrafo 2 dell’esempio di clausola stabilisce l’intenzione di utilizzare le informazioni personali descritte nella “definizione delle informazioni personali” come informazioni anonime. Inoltre, se si forniscono informazioni anonime a terzi, è necessario anche divulgare il metodo di fornitura.

Uso dei dati personali al di fuori dello scopo previsto

Articolo X
La nostra azienda tratterà le informazioni personali raccolte entro i limiti necessari per raggiungere lo scopo di utilizzo specificato nell’articolo precedente. Se le informazioni personali vengono utilizzate al di fuori di tale scopo, otterremo il consenso dell’interessato in anticipo. Tuttavia, ciò non si applica nei seguenti casi:
(1) Quando è richiesto dalla legge
(2) Quando è necessario per proteggere la vita, il corpo o la proprietà di una persona e ottenere il consenso dell’interessato è difficile
(3) Quando è particolarmente necessario per migliorare la salute pubblica o promuovere lo sviluppo sano dei bambini e ottenere il consenso dell’interessato è difficile
(4) Quando è necessario cooperare con un’agenzia governativa o un’entità pubblica locale, o una persona a cui è stato affidato l’incarico, nell’esecuzione dei compiti previsti dalla legge, e ottenere il consenso dell’interessato potrebbe ostacolare l’esecuzione di tali compiti

Di principio, i dati personali non possono essere utilizzati al di fuori dello scopo previsto. Tuttavia, la legge giapponese sulla protezione dei dati personali consente l’uso dei dati al di fuori dello scopo previsto nei casi elencati nei punti (1) a (4) sopra.
I punti (2) e (3) si applicano quando è necessario utilizzare i dati personali e ottenere rapidamente il consenso dell’interessato è difficile. I punti (1) e (4) si riferiscono all’uso dei dati personali basato sulle intenzioni del governo o delle entità pubbliche locali. Ad esempio, le indagini criminali rientrerebbero in questa categoria. Questa clausola sull’uso dei dati al di fuori dello scopo previsto è praticamente standard per tutte le aziende e raramente cambia a seconda del tipo di attività.

Fornitura di informazioni personali a terzi

Articolo X
La nostra azienda, in linea di principio, non fornirà le informazioni personali dei clienti a terzi senza il consenso del cliente stesso. Eccezionalmente, forniremo le informazioni a terzi solo dopo aver specificato il destinatario e il contenuto della fornitura e aver ottenuto il consenso del cliente. Tuttavia, ciò non si applica nei seguenti casi:
(1) Quando è richiesto dalla legge
(2) Quando è necessario per proteggere la vita, il corpo o la proprietà di una persona e ottenere il consenso del cliente è difficile
(3) Quando è particolarmente necessario per migliorare la salute pubblica o promuovere lo sviluppo sano dei bambini e ottenere il consenso del cliente è difficile
(4) Quando è necessario cooperare con un’agenzia governativa o un’entità pubblica locale o una persona incaricata di eseguire un compito specificato dalla legge, e ottenere il consenso del cliente potrebbe ostacolare l’esecuzione di tale compito
(5) Quando è necessario fornire informazioni personali a un fornitore di servizi con cui abbiamo stipulato un contratto di riservatezza per l’uso previsto

Esempi di eccezioni alla fornitura di informazioni personali a terzi

Questa clausola riguarda i casi in cui un’azienda fornisce informazioni personali raccolte a terzi. Secondo la legge giapponese sulla protezione delle informazioni personali, è necessario ottenere il consenso dell’individuo prima di fornire le sue informazioni personali a terzi. Tuttavia, la legge prevede che le informazioni personali possano essere fornite a terzi senza il consenso dell’individuo nei casi specificati nelle clausole (1) a (5). Pertanto, come per la clausola sull’uso delle informazioni personali al di fuori dello scopo previsto, la clausola sulla fornitura a terzi diventa una clausola standard per la maggior parte delle aziende. Nella pratica, il caso più comune è la fornitura di informazioni personali a un fornitore di servizi esterno, come previsto dalla clausola (5). Tuttavia, anche se l’azienda ha esternalizzato il lavoro, l’azienda che ha raccolto le informazioni personali ha la responsabilità di supervisionare il fornitore di servizi. Pertanto, è importante fare attenzione al fatto che se le informazioni personali vengono divulgate dal fornitore di servizi, l’azienda che ha commissionato il lavoro può essere ritenuta responsabile. Pertanto, la selezione del fornitore di servizi e la supervisione dopo l’assegnazione devono essere eseguite con cura. Per ulteriori dettagli sul caso di fuga di informazioni personali da Benesse, si prega di consultare l’articolo sottostante.

Articolo correlato: Il rischio di fuga di informazioni personali da parte delle aziende e il risarcimento dei danni[ja]

Difficoltà nell’opt-out a causa della revisione della legge

Prima della revisione della legge sulla protezione delle informazioni personali entrata in vigore nel 2017, era possibile fornire informazioni personali a terzi senza il consenso dell’individuo a condizione che “la fornitura di informazioni personali a terzi fosse interrotta su richiesta dell’individuo”. Questo è chiamato opt-out. Tuttavia, con la revisione della legge del 2017, le regole sono diventate più severe e ora non è possibile fornire informazioni personali a terzi tramite l’opt-out a meno che non si presenti una notifica preliminare alla Commissione per la protezione delle informazioni personali.
Si potrebbe pensare che basti presentare una notifica alla Commissione per la protezione delle informazioni personali, ma questo sistema di notifica è principalmente destinato alle aziende che trattano le informazioni personali come prodotto principale, come le aziende di elenchi, e coloro che presentano la notifica sono resi pubblici, quindi in realtà non ci sono molte aziende che hanno presentato la notifica. Pertanto, in pratica, la fornitura di informazioni personali a terzi senza il consenso dell’individuo è diventata difficile, ad eccezione dei casi in cui è permesso come eccezione, come l’outsourcing.

Divulgazione, correzione, ecc. delle informazioni personali

Nella Legge sulla Protezione dei Dati Personali giapponese (Legge sulla Protezione dei Dati Personali), è richiesto anche di pubblicare le procedure per rispondere alle richieste di notifica dell’uso, divulgazione, correzione, cessazione dell’uso, ecc. da parte dell’individuo. Pertanto, quando si crea una politica sulla privacy, è necessario stabilire anche queste questioni. Tuttavia, le clausole che stabiliscono queste questioni sono diventate frasi standard per molti operatori. Una questione da considerare è se stabilire o meno una commissione per rispondere alle richieste di divulgazione, ecc. da parte dell’individuo. Stabilire una commissione adeguata può essere un modo per prevenire il ritardo delle operazioni a causa di richieste abusive. Se è necessaria una commissione, è importante notare che è necessario stabilire il suo contenuto all’interno della politica sulla privacy.

Riassunto

In risposta all’aumento dell’interesse sociale per la protezione dei dati personali, anche la regolamentazione legale sta diventando gradualmente più rigorosa. Ovviamente, è necessario gestire in modo sicuro le informazioni all’interno dell’azienda per evitare fughe di dati personali, ma è altrettanto importante stabilire politiche sulla privacy e regolamenti interni in conformità con la legge. La Legge sulla Protezione dei Dati Personali (Legge Giapponese sulla Protezione dei Dati Personali) sarà regolarmente modificata ogni tre anni in futuro. Ogni volta che le regole sulla gestione dei dati personali cambiano, potrebbe essere necessario non solo modificare i sistemi interni, ma anche rivedere l’approccio stesso dell’attività. In questo senso, la Legge sulla Protezione dei Dati Personali può essere considerata una legge che riguarda il nucleo dell’attività, quindi è particolarmente importante per le aziende che gestiscono molte informazioni personali tenere sempre d’occhio le tendenze delle modifiche.

Guida alla creazione e revisione dei contratti offerta dal nostro studio legale

Lo Studio Legale Monolis, forte della sua esperienza nel settore IT, Internet e Business, offre ai suoi clienti e alle aziende consulenti non solo servizi relativi alla politica sulla privacy, ma anche la creazione e la revisione di vari contratti.

Se siete interessati, vi invitiamo a consultare i dettagli qui sotto.