Nowy system zabezpieczeń w ramach ustawy o ochronie i wykorzystaniu informacji ważnych dla bezpieczeństwa ekonomicznego

W roku Reiwa 6 (2024) w Japonii uchwalono “Ustawę o Ochronie i Wykorzystaniu Ważnych Informacji w Zakresie Bezpieczeństwa Gospodarczego”, która wprowadziła nowy system weryfikacji bezpieczeństwa, zwanego Security Clearance (wejście w życie w maju 2025 roku). Jest to odpowiedź na rosnące potrzeby w zakresie ochrony informacji w międzynarodowej sferze bezpieczeństwa ekonomicznego oraz na potrzeby zgłaszane przez przedsiębiorstwa.

W niniejszym artykule szczegółowo omówimy system weryfikacji bezpieczeństwa wprowadzony przez nowo ustanowioną “Ustawę o Ochronie i Wykorzystaniu Ważnych Informacji w Zakresie Bezpieczeństwa Gospodarczego” w Japonii. Porównamy go z istniejącym systemem w ramach “Ustawy o Ochronie Specjalnych Tajemnic”, omówimy zakres przedsiębiorstw objętych nowymi przepisami oraz przedstawimy korzyści i wady tego rozwiązania, a także działania, które powinny podjąć przedsiębiorstwa.

Czym jest system zezwoleń bezpieczeństwa w Japonii?

System zezwoleń bezpieczeństwa (SC) to mechanizm, przez który rząd przyznaje uprawnienia do dostępu do poufnych informacji (CI), uznanych za istotne z punktu widzenia bezpieczeństwa narodowego, po przeprowadzeniu odpowiedniej oceny i weryfikacji.

Aby uzyskać zezwolenie bezpieczeństwa, kraje różnią się pod względem kryteriów i zakresu informacji poufnych (CI), które są przedmiotem klasyfikacji (patrz poniższy rysunek), ale zazwyczaj przeprowadza się weryfikację zarówno obiektów (FCL), jak i osób (PCL), i tylko w przypadku, gdy stwierdzi się, że nie ma ryzyka wycieku informacji, udziela się pozwolenia.

W Japonii system zezwoleń bezpieczeństwa jest uregulowany przez “Ustawę o ochronie specjalnych tajemnic”, która dotyczy administracji publicznej i prywatnych przedsiębiorstw zajmujących się “specjalnymi tajemnicami”.

W roku Reiwa 6 (2024) uchwalono “Ustawę o ochronie i wykorzystaniu ważnych informacji dotyczących bezpieczeństwa ekonomicznego (Ustawa o ochronie i wykorzystaniu ważnych informacji dotyczących bezpieczeństwa ekonomicznego)”, która tworzy nowy system zezwoleń bezpieczeństwa, głównie dla prywatnych przedsiębiorstw zajmujących się “ważnymi informacjami dotyczącymi bezpieczeństwa ekonomicznego”, które nie są klasyfikowane jako “specjalne tajemnice” ani “specjalne tajemnice obronne” (weszła w życie 17 maja roku Reiwa 7 (2025)).

Zakres informacji poufnych (CI), który rząd określa w zależności od stopnia wrażliwości informacji, porównany międzynarodowo, przedstawia się następująco na diagramie.

Informacje klasy “Top Secret” odpowiadają ryzyku “znaczącego i poważnego uszczerbku”, informacje klasy “Secret” – “poważnego uszczerbku”, a informacje klasy “Confidential” – “uszczerbku, którego można racjonalnie oczekiwać”. Informacje, które kwalifikują się jako “ważne informacje dotyczące bezpieczeństwa ekonomicznego”, odpowiadają “Confidential” i są porównywalne z poziomem “utrudnień”.

Źródło: Sekretariat Gabinetu Japonii, “Projekt ustawy o ochronie i wykorzystaniu ważnych informacji dotyczących bezpieczeństwa ekonomicznego[ja]“

Źródło: Sekretariat Gabinetu Japonii, “Porównanie systemów ochrony informacji w różnych krajach (klasyfikacja informacji objętych zezwoleniem bezpieczeństwa)[ja]“

Cel Ustawy o Ochronie i Wykorzystaniu Ważnych Informacji dla Bezpieczeństwa Gospodarczego w Japonii

Ustawa o Ochronie i Wykorzystaniu Ważnych Informacji dla Bezpieczeństwa Gospodarczego została ustanowiona w odpowiedzi na rosnącą międzynarodową potrzebę systemów ochrony informacji w dziedzinie bezpieczeństwa gospodarczego oraz na potrzeby przedsiębiorstw.

Ustawa ta, jako część japońskiego systemu prawnego dotyczącego bezpieczeństwa gospodarczego, weszła w życie w erze Reiwa 4 (2022) i jest zgodna z celami “Ustawy o Promocji Bezpieczeństwa Gospodarczego”, rozszerzając i uzupełniając system ochrony informacji wprowadzony przez “Ustawę o Ochronie Specjalnych Tajemnic” z erze Heisei 26 (2014) (art. 1).

Nowo utworzony system bezpieczeństwa informacji gospodarczych w ramach “Ustawy o Ochronie i Wykorzystaniu Ważnych Informacji dla Bezpieczeństwa Gospodarczego” składa się z trzech głównych elementów:

1. Zasady dotyczące oznaczania i odznaczania ważnych informacji dla bezpieczeństwa gospodarczego jako tajnych (art. 3–5)
2. Ścisłe zasady zarządzania i udostępniania ważnych informacji dla bezpieczeństwa gospodarczego (art. 6–17)
3. Przepisy karne (art. 22–27)

Źródło: Izba Reprezentantów Japonii, “Projekt ustawy o ochronie i wykorzystaniu ważnych informacji dla bezpieczeństwa gospodarczego[ja]“

Oznaczanie i odznaczanie informacji jako ‘Ważne Informacje o Bezpieczeństwie Gospodarczym’ w Japonii

Każdy organ administracyjny w Japonii posiada uprawnienia do oznaczania posiadanych CI (informacji poufnych) jako ‘Ważne Informacje o Bezpieczeństwie Gospodarczym’, ustalania okresu ich ważności oraz do odznaczania ich (gdy przestają spełniać wymagane kryteria).

Tak jak w przypadku ‘Specjalnych Informacji Poufnych’, ‘Ważne Informacje o Bezpieczeństwie Gospodarczym’ są oznaczane przez określone organy administracyjne, dlatego inne organy, które potrzebują dostępu do tych informacji, muszą uzyskać odpowiednią zgodę.

Do oznaczenia informacji jako ‘Ważne Informacje o Bezpieczeństwie Gospodarczym’ przez organ administracyjny w Japonii wymagane są następujące trzy kryteria (art. 3 ust. 1):

• Informacja musi dotyczyć ‘Ważnych Informacji o Ochronie Infrastruktury Gospodarczej’ (odpowiedniość | szczegóły poniżej)
• Informacja nie może być publicznie znana (brak publicznej wiedzy)
• Wyciek informacji musi stwarzać ryzyko dla bezpieczeństwa narodowego Japonii, co wymaga szczególnej tajności (konieczność szczególnej tajności)

‘Ważne Informacje o Ochronie Infrastruktury Gospodarczej’ odnoszą się do czterech typów informacji związanych z ochroną ‘Ważnej Infrastruktury Gospodarczej (kluczowej infrastruktury i łańcucha dostaw kluczowych materiałów)’ (art. 2 ust. 3 i 4, rozporządzenie wykonawcze do ustawy o promocji bezpieczeństwa gospodarczego, art. 1 i 9):

1. Środki, plany i badania ochrony Ważnej Infrastruktury Gospodarczej przed działaniami zewnętrznymi
2. Ważne informacje dotyczące Ważnej Infrastruktury Gospodarczej (jej wrażliwość, innowacyjne technologie itp.), które są istotne dla bezpieczeństwa narodowego
3. Informacje od rządów obcych krajów i organizacji międzynarodowych zebrane w związku z działaniami określonymi w punkcie 1
4. Zdolność do zbierania, organizowania i analizowania informacji określonych w punktach 2 i 3

Jako konkretne przykłady mogą być wymienione:

• Informacje związane z cyberbezpieczeństwem (zagrożenia cybernetyczne, strategie obronne itp.)
• Informacje związane z regulacjami (analizy i oceny procedur przeglądowych)
• Informacje związane z badaniami, analizami i rozwojem (strategie przemysłowe i technologiczne, wrażliwość łańcucha dostaw itp.)
• Informacje związane z współpracą międzynarodową (informacje o wspólnych badaniach i rozwoju)

Ponadto, istnieją przypadki, gdy informacje poufne firmy, które zostały uzyskane na mocy umowy z organem administracyjnym, są oznaczane jako ‘Ważne Informacje o Bezpieczeństwie Gospodarczym’ w Japonii.

W takim przypadku, firma może posiadać te informacje jako swoje ‘Ważne Informacje o Bezpieczeństwie Gospodarczym’, ale nie może ich udostępniać osobom trzecim, chyba że jest to konieczne ze względów publicznych (art. 10 ust. 2, 5-7).

Jednakże, istnieje ryzyko, że te informacje zostaną ujawnione innym odpowiednim przedsiębiorcom, z którymi rząd zawarł umowę.

Rygorystyczne zarządzanie i udostępnianie „Informacji o kluczowym znaczeniu dla bezpieczeństwa ekonomicznego”

W tym miejscu wyjaśniamy wymagania i zasady dotyczące „podmiotów zgodnych”, które mogą otrzymywać „informacje o kluczowym znaczeniu dla ochrony ważnej infrastruktury gospodarczej” od rządu.

Wymagania dla „Kwalifikowanych Przedsiębiorców”

Termin „Kwalifikowany Przedsiębiorca” odnosi się do podmiotów, które podjęły niezbędne środki bezpieczeństwa w swoich obiektach w celu ochrony „Istotnych Informacji Bezpieczeństwa Ekonomicznego” oraz spełniają inne kryteria określone w rozporządzeniach rządowych (art. 10 ust. 1).

• Przedsiębiorcy, którzy muszą wyeliminować podatność „Istotnej Infrastruktury Ekonomicznej”
• Przedsiębiorcy prowadzący działalność przyczyniającą się do eliminacji podatności „Istotnej Infrastruktury Ekonomicznej”
• Przedsiębiorcy prowadzący badania i analizy „Istotnej Infrastruktury Ekonomicznej”
• Przedsiębiorcy prowadzący działalność wspierającą badania i analizy „Istotnej Infrastruktury Ekonomicznej”
• Przedsiębiorcy posiadający „Informacje Ochronne Istotnej Infrastruktury Ekonomicznej”
• Przedsiębiorcy prowadzący działalność ochronną „Informacji Ochronnych Istotnej Infrastruktury Ekonomicznej”

Aby uzyskać certyfikat bezpieczeństwa dla „Istotnych Informacji Bezpieczeństwa Ekonomicznego”, przedsiębiorstwa prywatne muszą najpierw:

1. Wykazać przed odpowiednią instytucją administracyjną, że posiadają wymagane „Istotne Informacje Bezpieczeństwa Ekonomicznego”, spełniając nie tylko fizyczne wymogi zarządzania obiektem (system ochrony informacji), ale także wymogi organizacyjne (uwzględniając wpływ udziału zagranicznego), i uzyskać pozytywną ocenę weryfikacji obiektu (FCL),
2. Zawrzeć z tą instytucją umowę o zachowaniu poufności (NDA),
3. Zapewnić, aby ich pracownicy uzyskali osobiste certyfikaty bezpieczeństwa (PCL).

Ocena weryfikacji obiektu (FCL) oraz osobistego certyfikatu bezpieczeństwa (PCL) jest przedmiotem kontroli przez instytucje administracyjne, jednakże można wywnioskować pewne standardy na podstawie opublikowanego przykładowego wniosku o certyfikację[ja].

Źródło: Kancelaria Gabinetu Japonii „Standardy jednolitego działania dotyczące wyznaczania i anulowania Istotnych Informacji Bezpieczeństwa Ekonomicznego, przeprowadzania oceny przydatności oraz certyfikacji Kwalifikowanych Przedsiębiorców (projekt)”[ja]

Zasady po uzyskaniu autoryzacji bezpieczeństwa w Japonii

Nawet jeśli informacje o kluczowym znaczeniu dla ochrony gospodarki są w posiadaniu agencji rządowej, z którą podmiot zgodny zawarł umowę, dostęp do nich jest możliwy, jeśli agencja rządowa uzyska zgodę wyznaczonej agencji rządowej.

W związku z tym, w przypadku informacji o kluczowym znaczeniu dla ochrony gospodarki, które nie są w posiadaniu agencji rządowej, z którą podmiot zgodny zawarł umowę, konieczne jest zawarcie umowy z agencją rządową, która te informacje posiada.

Proces certyfikacji został ustanowiony w celu zminimalizowania ryzyka wycieku informacji i jest oparty na “Ustawie o Ochronie Specjalnych Tajemnic” (Special Secrets Protection Act).

Podmiot zgodny nie może udostępniać informacji o kluczowym znaczeniu dla bezpieczeństwa gospodarczego osobom trzecim, chyba że jest to konieczne ze względów publicznych (art. 10 ust. 6).

Z drugiej strony, w przypadku dostępu do poufnych informacji (CI) rządu obcego kraju lub konieczności udostępnienia informacji o kluczowym znaczeniu dla bezpieczeństwa gospodarczego rządowi, instytucjom lub prywatnym przedsiębiorstwom zagranicznym, należy to zrobić za pośrednictwem własnego rządu.

Okres ważności autoryzacji bezpieczeństwa dla osób (PCL) w zakresie informacji o kluczowym znaczeniu dla bezpieczeństwa gospodarczego wynosi 10 lat, więc osoby, które przewiduje się, że będą zajmować się obsługą tych informacji przez ponad 10 lat, muszą zostać ponownie ocenione pod kątem odpowiedniości.

Jednakże nawet w okresie ważności, jeśli istnieje ryzyko wycieku informacji o kluczowym znaczeniu dla bezpieczeństwa gospodarczego, konieczne jest ponowne przeprowadzenie oceny odpowiedniości (art. 11 ust. 1).

Z drugiej strony, okres ważności autoryzacji bezpieczeństwa w ramach “Ustawy o Ochronie Specjalnych Tajemnic” wynosi 5 lat, ale osoby, które uzyskały autoryzację (certyfikat odpowiedniości dla “Specjalnych Tajemnic”) i nie upłynęło jeszcze 5 lat, mogą zajmować się obsługą informacji o kluczowym znaczeniu dla bezpieczeństwa gospodarczego bez przeprowadzania oceny odpowiedniości zgodnie z “Ustawą o Ochronie i Wykorzystaniu Informacji o Kluczowym Znaczeniu dla Bezpieczeństwa Gospodarczego”, jeśli są to te same agencje rządowe (art. 11 ust. 2).

Kary za naruszenie Ustawy o Ochronie Specjalnych Tajemnic w Japonii

Osoby, które ujawnią “ważne informacje dotyczące bezpieczeństwa ekonomicznego” (nawet po zaprzestaniu pracy), lub nielegalnie je pozyskają, mogą zostać ukarane karą pozbawienia wolności do 5 lat lub grzywną do 5 milionów jenów, bądź obiema tymi karami jednocześnie (art. 22, art. 23).

W Ustawie o Ochronie i Wykorzystaniu Ważnych Informacji dotyczących Bezpieczeństwa Ekonomicznego wprowadzono przepisy dotyczące kar obustronnych, których nie było w “Ustawie o Ochronie Specjalnych Tajemnic”, i które stosuje się również do przedsiębiorców (art. 27).

Ponadto, istnieją przepisy karne dotyczące prób popełnienia przestępstwa oraz przestępstw popełnionych przez nieumyślność.

Z drugiej strony, przedsiębiorstwa zgodne z przepisami mają zakaz wykorzystywania informacji poza wyznaczonym celem oraz traktowania pracowników w sposób niekorzystny, którzy podlegają ocenie bezpieczeństwa (security clearance) i otrzymali wyniki tej oceny lub odmówili jej zaakceptowania (np. w kwestii oceny pracowniczej czy nieodpowiednich zmian w przydziale zadań). W przypadku naruszenia tych zasad, rząd Japonii wskazuje na możliwość rozwiązania kontraktów z takimi przedsiębiorstwami.

Zalety i wady uzyskania certyfikatu bezpieczeństwa w Japonii

Nowy system certyfikacji bezpieczeństwa w dziedzinie bezpieczeństwa ekonomicznego w Japonii może stworzyć szanse biznesowe poprzez rozszerzenie możliwości uczestnictwa w spotkaniach, transakcjach i przetargach, gdzie wymagane jest posiadanie certyfikatu bezpieczeństwa (SC), zwłaszcza dla firm dążących do udziału w międzynarodowych wspólnych badaniach i rozwoju oraz przetargach rządowych za granicą.

Z drugiej strony, związane są z tym ryzyka, takie jak konieczność dzielenia się “ważnymi informacjami dotyczącymi bezpieczeństwa ekonomicznego”, koszty związane z uzyskaniem i utrzymaniem certyfikatu bezpieczeństwa oraz ryzyko utraty kontraktów z powodu opóźnień w reagowaniu.

Aby uniknąć ryzyka i wykorzystać zalety, wymagane są środki zaradcze przewidujące nowy system certyfikacji bezpieczeństwa.

Wymagane działania dla przedsiębiorstw

Przedsiębiorstwa będą musiały rozważyć korzyści, wady i wpływ nowo ustanowionego systemu bezpieczeństwa informacji gospodarczych, który wejdzie w życie w maju 2025 roku (令和7年), oraz opracować odpowiednie strategie działania.

W przypadku, gdy prywatni przedsiębiorcy odpowiadają na wezwania rządowe do współpracy i mają styczność z kluczową infrastrukturą (CI), należy w rozsądnym zakresie rozważyć wsparcie dla działań ochronnych podejmowanych przez prywatnych przedsiębiorców, biorąc pod uwagę okoliczności i rzeczywisty stan rzeczy.

W stosunku do pracowników, którzy podlegają systemowi bezpieczeństwa informacji gospodarczych, konieczne jest rozważenie odpowiednich działań, aby uniknąć nieuprawnionego wykorzystania informacji oraz niekorzystnego traktowania.

Co do standardów operacyjnych, prosimy zapoznać się z wytycznymi opublikowanymi przez Sekretariat Gabinetu: „Kryteria dotyczące wyznaczania i znoszenia oznaczeń ważnych informacji gospodarczych, przeprowadzania oceny przydatności oraz certyfikacji przedsiębiorstw zgodnych z systemem (projekt)[ja]”.

Podsumowanie: Uzyskanie nowo ustanowionego Security Clearance wymaga konsultacji z wysoko wyspecjalizowanym prawnikiem

Powyżej przedstawiliśmy system Security Clearance, który został wprowadzony w nowej ustawie o ochronie i wykorzystaniu ważnych informacji dotyczących bezpieczeństwa ekonomicznego, która weszła w życie w maju siódmego roku ery Reiwa (2025).

Uzyskanie Security Clearance może rozszerzyć możliwości biznesowe, jednak należy również zwrócić uwagę na koszty związane z jego pozyskaniem i utrzymaniem.

W przypadku wątpliwości lub potrzeby opracowania strategii dotyczącej systemu Security Clearance ustanowionego przez japońską ustawę o ochronie i wykorzystaniu ważnych informacji dotyczących bezpieczeństwa ekonomicznego, zalecamy konsultację z wysoko wyspecjalizowanym prawnikiem międzynarodowym.

Zapoznaj się z działaniami naszej kancelarii

Kancelaria Prawna Monolith specjalizuje się w IT, a w szczególności w prawie internetowym i prawnych aspektach technologii. Oferujemy wszechstronne wsparcie prawne dla firm, od spółek notowanych na Giełdzie Papierów Wartościowych w Tokio (東証) do przedsiębiorstw na wczesnym etapie rozwoju, w tym tworzenie i przeglądanie umów. Więcej informacji znajdziesz w poniższym artykule.

Obszary praktyki Kancelarii Prawnej Monolith: Prawo korporacyjne dla IT i startupów[ja]