Il nuovo sistema di security clearance nel quadro della legge sull'utilizzo della protezione delle informazioni per la sicurezza economica nazionale

Nel sesto anno dell’era Reiwa (2024), è stata promulgata la “Legge sulla Protezione e Utilizzo delle Informazioni Importanti per la Sicurezza Economica”, che ha introdotto il nuovo sistema di security clearance (entrato in vigore nel maggio 2025). Questa misura riflette la crescente necessità di un sistema di protezione delle informazioni nel campo della sicurezza economica internazionale e le esigenze delle imprese.

In questo articolo, esamineremo in dettaglio il sistema di security clearance introdotto dalla nuova “Legge sulla Protezione e Utilizzo delle Informazioni Importanti per la Sicurezza Economica” del Giappone, evidenziando le differenze rispetto al sistema di security clearance della precedente “Legge sulla Protezione delle Informazioni Specifiche”, le imprese interessate, i vantaggi e gli svantaggi, e le misure che le imprese dovrebbero adottare.

Cos’è il sistema di Security Clearance in Giappone

Il sistema di Security Clearance (SC) in Giappone è un meccanismo di autorizzazione che permette l’accesso a informazioni classificate (CI) ritenute essenziali per la sicurezza nazionale e designate dal governo, previa una valutazione di idoneità.

Per ottenere una Security Clearance, i criteri e le categorie di informazioni classificate (CI) variano da paese a paese, ma generalmente si effettuano controlli sia sulle strutture (Facility Clearance, FCL) sia sul personale (Personnel Clearance, PCL), e l’autorizzazione viene concessa solo se si ritiene che non ci sia rischio di divulgazione delle informazioni.

In Giappone, il sistema di Security Clearance è regolato dalla “Legge sulla Protezione delle Informazioni Specifiche Segrete”, che si applica agli enti amministrativi e agli operatori privati che gestiscono “informazioni specifiche segrete”.

Nel sesto anno dell’era Reiwa (2024), è stata promulgata la “Legge sulla Protezione e Utilizzo delle Informazioni Importanti per la Sicurezza Economica” (Legge relativa alla protezione e all’utilizzo delle informazioni importanti per la sicurezza economica), che ha istituito un nuovo sistema di Security Clearance principalmente per le imprese private che gestiscono “informazioni importanti per la sicurezza economica”, che non rientrano nelle categorie di “informazioni specifiche segrete” o “segreti speciali di difesa” (entrata in vigore il 17 maggio del settimo anno dell’era Reiwa, 2025).

Il grado di sensibilità delle CI (informazioni classificate) determina l’ambito designato dal governo (tipologie di informazioni), che, se confrontato a livello internazionale, si traduce nei seguenti livelli: Top Secret corrisponde a informazioni la cui divulgazione potrebbe causare “danni estremamente gravi”, Secret corrisponde a “danni gravi”, e Confidential corrisponde a informazioni che “ragionevolmente si possono prevedere causino danni”. Le “informazioni importanti per la sicurezza economica” rientrano nella categoria Confidential, equivalente al livello di “ostacolo”.

Riferimento: Ufficio del Gabinetto del Giappone, “Progetto di legge sulla protezione e utilizzo delle informazioni importanti per la sicurezza economica[ja]“

Riferimento: Ufficio del Gabinetto del Giappone, “Confronto dei sistemi di protezione delle informazioni nei vari paesi (Classificazione delle informazioni soggette a Security Clearance)[ja]“

Gli obiettivi della Legge sull’Utilizzo e Protezione delle Informazioni Importanti per la Sicurezza Economica in Giappone

La Legge sull’Utilizzo e Protezione delle Informazioni Importanti per la Sicurezza Economica è stata istituita in risposta alla crescente necessità di un sistema di conservazione delle informazioni nel campo della sicurezza economica a livello internazionale e alle esigenze delle imprese.

Questa legge segue gli obiettivi della “Legge sulla Promozione della Sicurezza Economica”, entrata in vigore nell’anno Reiwa 4 (2022) come parte del sistema legale per la sicurezza economica, e amplia le informazioni soggette al sistema di Security Clearance introdotto dalla “Legge sulla Protezione delle Informazioni Specifiche Segrete”, entrata in vigore nell’anno Heisei 26 (2014), al fine di integrarlo (Articolo 1).

Il sistema di Security Clearance introdotto con la nuova “Legge sull’Utilizzo e Protezione delle Informazioni Importanti per la Sicurezza Economica” è costituito dai seguenti tre pilastri:

1. Regole per la designazione segreta delle informazioni importanti per la sicurezza economica e per la loro declassificazione (Articoli 3-5)
2. Regole rigorose per la gestione e la fornitura delle informazioni importanti per la sicurezza economica (Articoli 6-17)
3. Sanzioni (Articoli 22-27)

Fonte: Camera dei Rappresentanti del Giappone, “Disegno di legge relativo alla protezione e all’utilizzo delle informazioni importanti per la sicurezza economica[ja]“

Designazione e Revoca della Classificazione di Informazioni Importanti per la Sicurezza Economica in Giappone

Ogni ente amministrativo in Giappone detiene l’autorità di designare come “Informazioni Importanti per la Sicurezza Economica” le CI (informazioni confidenziali) in suo possesso, di stabilire la durata di tale designazione e di revocarla quando non sussistono più i requisiti necessari.

Similmente alle “Informazioni Segrete Specifiche”, anche le “Informazioni Importanti per la Sicurezza Economica” sono designate da specifici enti amministrativi, pertanto, altri enti che necessitano di tali informazioni devono ottenere il consenso.

Le “Informazioni Importanti per la Sicurezza Economica” designate dagli enti amministrativi devono soddisfare i seguenti tre requisiti (articolo 3, comma 1):

• Essere “Informazioni per la Protezione delle Infrastrutture Economiche Importanti” (pertinenza | spiegato più dettagliatamente di seguito)
• Non essere di dominio pubblico (non pubblicità)
• La loro divulgazione potrebbe compromettere la sicurezza nazionale, pertanto è necessario mantenerle particolarmente segrete (necessità di segretezza particolare)

Per “Informazioni per la Protezione delle Infrastrutture Economiche Importanti” si intendono le seguenti quattro tipologie di informazioni relative alla protezione delle “Infrastrutture Economiche Importanti (infrastrutture critiche e catene di approvvigionamento di materiali essenziali)” (articolo 2, commi 3 e 4, Ordinanza di Attuazione della Legge per la Promozione della Sicurezza Economica, articoli 1 e 9):

1. Misure, piani e ricerche per proteggere le infrastrutture economiche importanti da atti esterni
2. Informazioni importanti relative alle infrastrutture economiche importanti (vulnerabilità delle infrastrutture economiche importanti, tecnologie innovative correlate, ecc.) che riguardano la sicurezza
3. Informazioni ottenute da governi stranieri e organizzazioni internazionali riguardo alle misure di cui al punto 1
4. Capacità di raccolta e organizzazione delle informazioni di cui ai punti 2 e 3

Come possibili candidati specifici, sono stati identificati i seguenti:

• Informazioni relative al cyber (minacce informatiche, informazioni su misure di contrasto, ecc.)
• Informazioni relative ai sistemi regolatori (informazioni su revisioni, analisi, ecc.)
• Informazioni relative a indagini, analisi e ricerca e sviluppo (strategie industriali e tecnologiche, vulnerabilità nelle catene di approvvigionamento, ecc.)
• Informazioni relative alla cooperazione internazionale (informazioni su ricerca e sviluppo congiunto internazionale)

Inoltre, esistono casi in cui le informazioni segrete di un’azienda, ottenute attraverso un contratto su richiesta di un ente amministrativo, vengono designate come “Informazioni Importanti per la Sicurezza Economica”.

In tale situazione, l’azienda può detenere tali informazioni come proprie “Informazioni Importanti per la Sicurezza Economica”, ma non può fornirle a terzi a meno che non sia necessario per l’interesse pubblico (articolo 10, commi 2 e dal 5 al 7).

Tuttavia, esiste il rischio che vengano divulgate ad altri operatori economici conformi contrattati dal governo.

Gestione e fornitura rigorosa delle “Informazioni Importanti per la Sicurezza Economica”

In questa sezione, spieghiamo i requisiti e le regole per gli “operatori conformi” che possono fornire “Informazioni Importanti per la Protezione dell’Infrastruttura Economica” stabilite dal governo.

Requisiti per gli “Operatori Conformi” sotto la legge giapponese

Si definiscono “Operatori Conformi” quegli operatori economici che, tra i seguenti, hanno adottato le necessarie misure di sicurezza nelle loro strutture per preservare le “Informazioni Importanti per la Sicurezza Economica” e che soddisfano gli standard stabiliti da ordinanze governative (Articolo 10, Paragrafo 1).

• Operatori che necessitano di eliminare le vulnerabilità dell'”Importante Infrastruttura Economica”
• Operatori che svolgono attività utili all’eliminazione delle vulnerabilità dell'”Importante Infrastruttura Economica”
• Operatori che svolgono indagini e ricerche sull'”Importante Infrastruttura Economica”
• Operatori che svolgono attività utili alle indagini e ricerche sull'”Importante Infrastruttura Economica”
• Operatori in possesso di “Informazioni per la Protezione dell’Importante Infrastruttura Economica”
• Operatori che svolgono attività per la protezione delle “Informazioni per la Protezione dell’Importante Infrastruttura Economica”

Per ottenere il Security Clearance delle “Informazioni Importanti per la Sicurezza Economica”, è necessario prima:

1. Che gli operatori privati dimostrino di possedere le “Informazioni Importanti per la Sicurezza Economica” necessarie presso l’ente amministrativo competente, soddisfino i requisiti di gestione fisica delle strutture (sistema di implementazione della protezione delle informazioni) e i requisiti organizzativi (considerando l’impatto della percentuale di proprietà straniera, ecc.), e superino una valutazione appropriata del Facility Clearance (FCL),
2. Che gli Operatori Conformi stipulino un accordo di non divulgazione (NDA) con l’ente amministrativo in questione,
3. Che facciano ottenere ai loro dipendenti il Personal Clearance (PCL).

La valutazione appropriata del Facility Clearance (FCL) e del Personal Clearance (PCL) è soggetta a revisione da parte dell’ente amministrativo, ma è possibile dedurre certi standard dal modello di domanda di certificazione[ja] pubblicato.

Riferimento: Ufficio del Gabinetto ‘Criteri per la designazione e la revoca delle Informazioni Importanti per la Sicurezza Economica, la valutazione dell’idoneità e la certificazione degli Operatori Conformi per garantire un’applicazione uniforme (bozza)'[ja]

Regole Post-Ottenimento della Security Clearance in Giappone

Anche se un’azienda conforme ha stipulato un contratto con un’agenzia governativa, può accedere alle “Informazioni per la Protezione delle Infrastrutture Economiche Critiche” designate da un’altra agenzia governativa, a condizione che l’agenzia governativa contrattante ottenga il consenso dell’agenzia designante.

Di conseguenza, per accedere alle “Informazioni per la Protezione delle Infrastrutture Economiche Critiche” che non sono detenute dall’agenzia governativa con cui si è stipulato il contratto, è necessario stipulare un contratto con l’agenzia governativa che detiene tali informazioni.

Questo processo di certificazione è stato istituito per minimizzare il rischio di perdita di informazioni e segue la “Legge sulla Protezione dei Segreti Specifici” giapponese.

Un’azienda conforme non può fornire le “Informazioni per la Sicurezza Economica Critica” a terzi, a meno che non sia necessario per motivi di interesse pubblico (Articolo 10, Paragrafo 6).

D’altra parte, quando si accede alle CI (Informazioni Classificate) di un governo straniero o si deve fornire le “Informazioni per la Sicurezza Economica Critica” a governi, istituzioni o aziende private straniere, è necessario procedere tramite il proprio governo nazionale.

Il periodo di validità della clearance personale (PCL) per le “Informazioni per la Sicurezza Economica Critica” è di 10 anni, quindi coloro che si prevede gestiranno le “Informazioni per la Sicurezza Economica Critica” per più di 10 anni devono essere sottoposti nuovamente a una valutazione di idoneità.

Tuttavia, anche all’interno del periodo di validità, se esiste il rischio di perdita delle “Informazioni per la Sicurezza Economica Critica”, è necessario eseguire nuovamente una valutazione di idoneità (Articolo 11, Paragrafo 1).

D’altra parte, mentre il periodo di validità della security clearance secondo la “Legge sulla Protezione dei Segreti Specifici” giapponese è di 5 anni, coloro che hanno ottenuto la clearance (valutazione di idoneità per i “Segreti Specifici” più recente) e non sono trascorsi 5 anni, possono gestire le “Informazioni per la Sicurezza Economica Critica” senza dover eseguire una nuova valutazione di idoneità, se si trovano all’interno della stessa agenzia governativa (Articolo 11, Paragrafo 2).

Le sanzioni previste dalla Legge sulla Protezione dei Segreti Speciali in Giappone

Chiunque riveli “informazioni importanti per la sicurezza economica” (anche dopo aver cessato l’attività) o le acquisisca illecitamente, sarà soggetto a una pena detentiva fino a cinque anni o a una multa fino a 5 milioni di yen, o a entrambe le pene (articoli 22 e 23).

La Legge sull’Utilizzo e la Protezione delle Informazioni Importanti per la Sicurezza Economica prevede una disposizione di doppia penalità, non presente nella Legge sulla Protezione dei Segreti Speciali, che si applica anche agli operatori economici (articolo 27).

Inoltre, esistono disposizioni penali anche per i tentativi di reato e per i reati commessi per negligenza.

D’altra parte, per gli operatori conformi, è vietato utilizzare in modo improprio o trattare in modo svantaggioso i dipendenti soggetti a valutazioni di sicurezza, qualora questi ricevano notifica del risultato di una valutazione di idoneità o del rifiuto di acconsentire a tale valutazione (ad esempio, valutazioni del personale o trasferimenti impropri). In caso di violazione, il governo ha indicato l’intenzione di rescindere i contratti con gli operatori conformi.

Vantaggi e svantaggi dell’ottenimento della Security Clearance in Giappone

Il nuovo sistema di Security Clearance nel campo della sicurezza economica in Giappone offre l’opportunità di espandere le opportunità di business, consentendo la partecipazione a riunioni, transazioni e gare d’appalto che richiedono il possesso di tale certificazione. Questo rappresenta un’occasione favorevole soprattutto per le aziende che mirano a partecipare a progetti di ricerca e sviluppo congiunti internazionali o a gare di appalto governative straniere.

D’altra parte, vi sono rischi associati, come la condivisione di “informazioni importanti per la sicurezza economica” e i costi legati all’ottenimento e al mantenimento della Security Clearance, oltre al rischio di perdere opportunità di business a causa di ritardi nella risposta.

Per evitare rischi e sfruttare i vantaggi, è necessario adottare misure preventive in vista del nuovo sistema di Security Clearance.

Le Responsabilità Richieste alle Imprese

Alle imprese è richiesto di valutare i vantaggi e gli svantaggi, nonché l’impatto del sistema di Security Clearance introdotto con la nuova “Legge sull’Utilizzo e la Protezione delle Informazioni Importanti per la Sicurezza Economica” (Economic Security Protection and Utilization Law), che entrerà in vigore nel maggio 2025 (Reiwa 7).

Quando gli operatori privati rispondono alle richieste di cooperazione del governo e si occupano di Critical Infrastructure (CI), è ragionevole considerare, sulla base delle circostanze e della realtà, come supportare gli sforzi di conservazione da parte degli operatori privati entro limiti ragionevoli.

Per i dipendenti soggetti al Security Clearance, è necessario valutare le misure appropriate per evitare l’uso improprio delle informazioni e il trattamento svantaggioso.

Per quanto riguarda le norme operative, si prega di consultare le “Linee guida unificate per la designazione e la revoca delle Informazioni Importanti per la Sicurezza Economica, la valutazione dell’idoneità e la certificazione degli operatori conformi” pubblicate dall’Ufficio del Gabinetto, disponibili qui[ja].

Riepilogo: Consultare un avvocato specializzato per ottenere il nuovo Security Clearance

In conclusione, abbiamo esaminato il sistema di Security Clearance introdotto con la legge sulla protezione e l’utilizzo delle informazioni per la sicurezza economica importante, entrata in vigore nel maggio del settimo anno dell’era Reiwa (2025).

Ottenere il Security Clearance può ampliare le possibilità di business, ma è importante prestare attenzione anche ai costi di acquisizione e mantenimento.

In caso di dubbi o per sviluppare strategie relative al sistema di Security Clearance previsto dalla legge sulla protezione e l’utilizzo delle informazioni per la sicurezza economica importante, si consiglia di consultare un avvocato internazionale con elevata specializzazione.

Le strategie del nostro studio legale

Lo studio legale Monolith si distingue per la sua elevata specializzazione nelle aree dell’IT, in particolare del diritto di Internet. Offriamo un’ampia gamma di supporto legale, dalla redazione e revisione di contratti alla consulenza, servendo clienti che vanno dalle aziende quotate in borsa a Tokyo alle startup in fase iniziale. Per maggiori dettagli, si prega di consultare l’articolo sottostante.

Aree di competenza dello studio legale Monolith: Diritto societario per IT e startup[ja]