Er det lovlig å kjøpe kundeinformasjon? En forklaring av den japanske personopplysningsloven

Den 30. mai 2017 trådte den reviderte japanske personopplysningsloven i kraft, og alle virksomheter som håndterer personopplysninger ble underlagt denne loven som “personopplysningsbehandlere”.

Dette gjelder også for selskaper som anskaffer personopplysninger gjennom kjøp av lister, så de som vurderer å kjøpe kundeinformasjon må være kjent med prosedyrer, forpliktelser og forbud knyttet til kjøp og bruk av personopplysninger.

Derfor vil vi denne gangen gi en detaljert forklaring på bestemmelsene og forholdsreglene i den japanske personopplysningsloven, fra kjøp til bruk av kundeinformasjon.

Hva er den japanske personopplysningsloven?

Den japanske personopplysningslovens offisielle navn er “Loven om beskyttelse av personopplysninger”. Den ble vedtatt i 2003 (Heisei 15) og har blitt revidert flere ganger for å tilpasse seg endringer som digitalisering av informasjon.

Loven begrenser ikke bruken av personopplysninger, men har som hovedmål å sikre “beskyttelse” og “rettferdig bruk” av personopplysninger.

Formålet med den japanske personopplysningsloven

• Å beskytte individers rettigheter og interesser, samt fastsette regler for rettferdig bruk av personopplysninger
• Å fastsette plikter og straffebestemmelser for virksomheter som håndterer personopplysninger

Definisjon av personopplysninger

Personopplysninger, som definert i den japanske personopplysningsloven, refererer til informasjon om en levende person som faller inn under en av følgende kategorier:

1. Informasjon som inneholder navn, fødselsdato eller andre beskrivelser som kan identifisere en bestemt person
2. Informasjon som inneholder personidentifikasjonskoder

Hva er personidentifikasjonskoder?

Personidentifikasjonskoder er tegn, nummer, symboler eller andre koder som kan identifisere en bestemt person, og som faller inn under en av følgende kategorier og er individuelt spesifisert i forskrifter:

• Koder som er konvertert fra kroppsdeler for bruk i datamaskiner (DNA, ansikt, iris, stemmeavtrykk, ganglag, fingerårer, fingeravtrykk, håndflateavtrykk, etc.)
• Koder som tildeles hver enkelt person i forbindelse med bruk av tjenester eller dokumenter (passnummer, grunnpensjonsnummer, førerkortnummer, innbyggerkode, My Number, ulike forsikringskort, etc.)

For de som ønsker å lære mer om den japanske personopplysningsloven, har vi utdypet dette i artikkelen nedenfor. Vennligst les den sammen med denne artikkelen.

Relatert artikkel: Hva er den japanske personopplysningsloven og personopplysninger? Forklart av en advokat[ja]

Er kjøp og salg av kundedata lovlig?

For vanlige virksomheter, unntatt statlige organer og offentlige enheter, er kjøp og salg av kundedata ikke ulovlig så lenge de overholder den japanske Personopplysningsloven.

Prosedyre for å gi personopplysninger til tredjeparter

Når en virksomhet gir en database med personopplysninger til en tredjepart, er følgende prosedyrer pålagt.

Få forhåndssamtykke fra personen som hovedregel

Det finnes imidlertid unntak i følgende tilfeller:

① Når det er basert på lov
② Når det er vanskelig å få samtykke fra personen, og det er nødvendig for å beskytte liv, kropp eller eiendom, eller for å fremme folkehelsen eller sunn utvikling av barn
③ Når det er for å samarbeide med statlige eller lokale offentlige enheter

Gi til tredjeparter gjennom opt-out-prosedyre

Når en virksomhet gir personopplysninger til en tredjepart og har en opt-out-ordning som stopper overføringen på forespørsel fra personen, kan de gi opplysningene uten forhåndssamtykke ved å følge disse prosedyrene.

① Informere personen på forhånd eller gjøre informasjonen lett tilgjengelig på en nettside om at opplysningene vil bli gitt til en tredjepart
② Oppgi hvilke personopplysninger som vil bli gitt til en tredjepart
③ Beskrive metoden for å gi opplysningene til en tredjepart
④ Stoppe overføringen til en tredjepart på forespørsel fra personen
⑤ Beskrive metoden for å motta slike forespørsler

Det er viktig å merke seg at for “sensitive personopplysninger” som rase, tro, sosial status, medisinsk historie, kriminell bakgrunn osv., som kan føre til urimelig diskriminering eller fordommer hvis de blir kjent, er forhåndssamtykke fra personen alltid nødvendig før de kan gis til en tredjepart.

Hva du må overholde når du kjøper kundeinformasjon

Lovpålagte forpliktelser

Når du kjøper kundeinformasjon, blir kjøperen også en “personopplysningsansvarlig”. Derfor pålegger japanske lover følgende forpliktelser når du mottar personopplysninger fra tredjeparter som for eksempel listeleverandører.

Ved kjøp av kundeinformasjon må du bekrefte følgende to punkter:

• Navn, adresse og representant for listeleverandøren
• Hvordan listeleverandøren har innhentet personopplysningene

Ved kjøp av kundeinformasjon må du registrere og oppbevare følgende punkter i tre år:

• Datoen for mottak av personopplysningene
• Navn, adresse og representant for listeleverandøren
• Hvordan listeleverandøren har innhentet personopplysningene
• Navn på personen identifisert av personopplysningene og andre nødvendige opplysninger for å identifisere personen
• Elementene i personopplysningene
• Ved tredjepartslevering gjennom opt-out-prosedyre, må nødvendige opplysninger offentliggjøres av Personvernkommisjonen

※ Du kan bekrefte opt-out-prosedyren på Personvernkommisjonens nettside[ja].

Bekreftelse ved innhenting av kundeinformasjon

Ved kjøp av kundeinformasjon må du også bekrefte hvordan listeleverandøren har innhentet informasjonen. Selv om du lovlig kjøper kundeinformasjon, kan du bli utsatt for erstatningskrav hvis informasjonen er innhentet ulovlig.

Det er selvfølgelig forbudt ved japansk lov for listeleverandører å innhente kundeinformasjon gjennom falske eller ulovlige midler. I tillegg er det følgende forpliktelser som må bekreftes før kjøp:

• Om formålet med bruk er spesifikt definert
• Om det spesifikke formålet med bruk er offentliggjort eller varslet til personen
• Om samtykke fra personen er innhentet hvis personopplysningene brukes til andre formål
• Om navn og adresse til leverandøren, samt hvordan personopplysningene ble innhentet, er bekreftet og registrert, og om disse opplysningene oppbevares i tre år ved mottak av personopplysninger fra tredjeparter
• Om det ikke er inkludert “sensitive personopplysninger” som krever samtykke fra personen

For de som ønsker å vite mer om lekkasje av personopplysninger og erstatningsansvar, har vi beskrevet dette i detalj nedenfor. Vennligst les dette sammen med denne artikkelen.

Relatert artikkel: Risikoen for lekkasje av personopplysninger og erstatningsansvar for bedrifter[ja]

Hva du må overholde når du bruker kundeinformasjon

Ikke overskrid bruksformålet

Det er forbudt ved lov for listeleverandører og lignende å bruke kundeinformasjon utover det formålet som er godkjent av personen selv. Hvis du ønsker å bruke informasjonen til et annet formål, må du innhente ny samtykke fra personen.

Når du bruker informasjonen til salgsanrop

Når du utfører “telefonmarkedsføring” med formål om å oppfordre til bestilling av produkter eller inngåelse av salgskontrakter, gjelder følgende reguleringer fastsatt av den japanske loven om spesifikke kommersielle transaksjoner:

Før du oppfordrer, må du informere forbrukeren om følgende

• Firmanavn
• Navn på ansvarlig person (den som utfører oppfordringen)
• Type produkt (rettigheter, tjenester) som skal selges
• At formålet er å oppfordre til inngåelse av en kontrakt

Forbudte handlinger

• Å oppfordre på nytt til en person som allerede har avslått
• Å gi uriktige opplysninger
• Å bevisst unnlate å gi informasjon
• Å true eller forvirre motparten

Når du bruker informasjonen til e-postutsendelser

Når du sender elektroniske meldinger for reklame eller markedsføring, er det i henhold til den japanske loven om spesifikke elektroniske meldinger forbudt å sende meldinger til andre enn de som har uttrykt ønske om å motta slike meldinger eller har gitt samtykke til å motta dem.

Selv om listeleverandører har innhentet slik melding eller samtykke, må kjøpere av listen innhente ny melding eller samtykke, noe som gjør bruk av e-post vanskelig.

Plikt til sikkerhetsstyringstiltak

Ved innhenting av kundeinformasjon pålegges du som en virksomhet som håndterer personopplysninger å iverksette nødvendige tiltak for å forhindre lekkasje, tap eller skade på personopplysninger.

Videre må du utøve nødvendig og hensiktsmessig tilsyn med ansatte som faktisk håndterer personopplysningene for å sikre sikkerhetsstyring av disse opplysningene.

Oppsummering

Denne gangen har vi forklart forholdet mellom kjøp av kundeinformasjon og den japanske personopplysningsloven (個人情報保護法, 2003) ved å dele det inn i følgende fire punkter:

1. Hva er den japanske personopplysningsloven?
2. Er kjøp og salg av kundeinformasjon lovlig?
3. Hva må man overholde ved kjøp av kundeinformasjon?
4. Hva må man overholde ved bruk av kundeinformasjon?

Men når man handler med forbrukere i utlandet via internett, må man ikke bare sjekke nasjonale lover, men også lovene i de respektive landene.

Derfor, hvis du vurderer å kjøpe eller bruke kundeinformasjon, anbefaler vi at du ikke gjør det på egen hånd, men konsulterer en advokat med spesialisert kunnskap og erfaring på forhånd for å få råd.

Veiledning om tiltak fra vårt firma

Monolith Advokatfirma er et advokatfirma med høy ekspertise innen IT, spesielt internett og jus. I de senere år har den japanske Personopplysningsloven fått økt oppmerksomhet, og behovet for juridisk gjennomgang øker stadig. Vi har beskrevet detaljene i artikkelen nedenfor.