Explicação dos pontos de atenção sobre o 'Dever do Operador' na Lei de Proteção de Informações Pessoais Japonesa, revisada no 4º ano da era Reiwa (2022)

A partir de abril de 2022 (Ano 2022 do calendário gregoriano), a Lei Japonesa de Proteção de Dados Pessoais revista entrou em vigor. A Lei Japonesa de Proteção de Dados Pessoais, ao mesmo tempo que considera a utilidade das informações pessoais, tem como objetivo garantir o tratamento adequado dessas informações para proteger os direitos e interesses individuais. Mas quais são as mudanças específicas que a implementação da Lei Japonesa de Proteção de Dados Pessoais revista traz? Neste artigo, explicaremos os direitos individuais e as obrigações dos operadores de negócios.

Alteração e contexto da Lei Japonesa de Proteção de Dados Pessoais

A Lei Japonesa de Proteção de Dados Pessoais, que foi estabelecida em 2003 e totalmente implementada em 2005, foi alterada em 2015, dez anos após a sua implementação, devido ao facto de “o desenvolvimento da tecnologia de informação e comunicação ter tornado possível a utilização de dados pessoais de uma forma que não era prevista na altura da sua criação”. A lei alterada foi totalmente implementada em 2017.

Esta alteração de 2017 incluiu uma “cláusula de revisão a cada três anos”, que estipula que “a lei deve ser revista a cada três anos, tendo em conta as tendências internacionais, o progresso da tecnologia da informação, e a situação de criação e desenvolvimento de novas indústrias”.

Disposições relacionadas no suplemento da Lei de Alteração da Lei Japonesa de Proteção de Dados Pessoais de 2017 (excerto)

Artigo 12 (Deliberação)

(Omissões)

2 O governo, com o objetivo de três anos após a implementação desta lei, deve considerar a situação das medidas necessárias para a implementação efetiva da política básica de proteção de dados pessoais e outras tarefas sob a jurisdição da Comissão de Proteção de Dados Pessoais, incluindo a organização de um sistema de pessoal e a garantia de recursos financeiros, e deve tomar as medidas necessárias com base nos resultados dessa consideração.

3 Além das questões mencionadas no parágrafo anterior, o governo, com o objetivo de três anos após a implementação desta lei, deve considerar a situação da implementação da nova Lei de Proteção de Dados Pessoais, tendo em conta as tendências internacionais de proteção de dados pessoais, o progresso da tecnologia de informação e comunicação, e a situação de criação e desenvolvimento de novas indústrias que utilizam dados pessoais, e deve tomar as medidas necessárias com base nos resultados dessa consideração.

4, 5 (Omissões)

6 O governo deve considerar a forma da legislação sobre a proteção de dados pessoais, incluindo a consolidação das disposições sobre a proteção de dados pessoais e dados pessoais detidos por órgãos administrativos, etc., conforme definido no parágrafo 1 do artigo 2 da nova Lei de Proteção de Dados Pessoais, tendo em conta a situação da implementação da nova Lei de Proteção de Dados Pessoais, a situação da implementação das medidas do parágrafo 1, e outras circunstâncias.

A alteração da Lei Japonesa de Proteção de Dados Pessoais de 2022 (ano 4 da era Reiwa) é a primeira alteração legal baseada nesta “cláusula de revisão a cada três anos”.

Artigo relacionado: O que é a Lei de Proteção de Dados Pessoais e os dados pessoais? Explicação de um advogado[ja]

Resumo da revisão da Lei de Proteção de Dados Pessoais Japonesa de 2022 (Reiwa 4)

A revisão da Lei de Proteção de Dados Pessoais Japonesa de 2022 aborda os seguintes seis pontos:

1. A natureza dos direitos individuais
2. A natureza das obrigações que as empresas devem proteger
3. A natureza do sistema que incentiva as empresas a tomar iniciativas voluntárias
4. A natureza da utilização de dados
5. A natureza das penalidades
6. A aplicação extraterritorial da lei e a natureza da transferência transfronteiriça

Neste artigo, explicaremos os pontos 1 e 2 da revisão.

Artigo relacionado: Explicação sobre as ‘Penalidades’ na revisão da Lei de Proteção de Dados Pessoais Japonesa de 2022 (Reiwa 4)[ja]

A natureza dos direitos individuais

A natureza dos direitos individuais foi alterada nos seguintes cinco pontos.

Expansão do direito de solicitação individual para suspensão de uso e eliminação (Artigo 30 da Lei Japonesa de Proteção de Dados Pessoais)

Na lei atual, o direito de solicitação individual para suspensão de uso e eliminação era limitado a casos de violação da lei, como “quando os dados pessoais são usados para fins não previstos” ou “quando são obtidos por meios ilegais”. No entanto, com a revisão da lei, agora é possível solicitar a suspensão do uso, a eliminação e a interrupção da provisão a terceiros, mesmo quando “não há necessidade de o operador de negócios lidar com os dados pessoais retidos”, “quando ocorre uma fuga de dados” ou “quando há risco de prejudicar os direitos ou interesses legítimos do indivíduo”.

Método de divulgação de dados pessoais retidos (Artigo 28 da Lei Japonesa de Proteção de Dados Pessoais)

Se você for o titular dos dados, pode solicitar ao operador de negócios que lida com informações pessoais a divulgação dos dados pessoais retidos. Ao receber o pedido, o operador de negócios deve, em princípio, divulgar os dados pessoais retidos. Na lei atual, a divulgação de dados pessoais retidos era feita principalmente por escrito. No entanto, em casos onde a quantidade de informações é vasta, a entrega por escrito pode não ser adequada, e além disso, existem dados que não são adequados para entrega por escrito, como vídeos e dados de áudio. Portanto, com a revisão da lei, o titular dos dados pode solicitar a “divulgação por meio especificado pelo titular dos dados”, como a provisão de registros eletromagnéticos. O operador de negócios tem a obrigação de divulgar de acordo com o método solicitado pelo titular dos dados.

As empresas que lidam com informações pessoais são solicitadas a estabelecer um sistema para lidar com pedidos de divulgação de dados digitais o mais rápido possível.

Solicitação de divulgação de registros de fornecimento a terceiros pelo titular dos dados (Artigo 28, parágrafo 5, da Lei Japonesa de Proteção de Dados Pessoais)

O operador de negócios que lida com informações pessoais deve criar um registro prescrito por lei ao fornecer dados pessoais a terceiros, e a pessoa que recebe o fornecimento a terceiros também deve criar um registro prescrito por lei. Este registro de fornecimento a terceiros de dados pessoais e o registro de verificação ao receber o fornecimento a terceiros de dados pessoais são coletivamente chamados de “registros de fornecimento a terceiros”.

Na lei atual, o titular dos dados não podia solicitar a divulgação dos registros de fornecimento a terceiros criados pelo operador de negócios. No entanto, com a revisão da lei, o titular dos dados pode solicitar a divulgação dos registros de fornecimento a terceiros, considerando a possibilidade de rastreamento pelo titular dos dados.

Inclusão de dados de curto prazo nos dados pessoais retidos (Artigo 2, parágrafo 7, da Lei Japonesa de Proteção de Dados Pessoais)

Na lei atual, os dados pessoais retidos são definidos como “dados pessoais sobre os quais o operador de negócios tem autoridade para divulgar, corrigir, adicionar ou excluir o conteúdo, suspender o uso, eliminar e interromper a provisão a terceiros”, “aqueles que são prejudicados ao se tornar claro que existem para o benefício público ou outros benefícios” ou “aqueles que devem ser eliminados dentro do período prescrito por decreto dentro de um ano”, excluindo “o período prescrito por decreto dentro de um ano”, que era de seis meses.

No entanto, mesmo que sejam eliminados em um curto período de tempo, há a possibilidade de ocorrer uma fuga de dados durante o período até a eliminação, portanto, com a revisão da lei, os dados de curto prazo que serão eliminados dentro de seis meses também foram incluídos nos “dados pessoais retidos”.

Limitação do âmbito da disposição de opt-out (Artigo 23, parágrafo 2, da Lei Japonesa de Proteção de Dados Pessoais)

A disposição de opt-out é um “sistema que permite fornecer dados pessoais a terceiros sem o consentimento do titular dos dados, com a premissa de que será interrompido se o titular dos dados solicitar, após a publicação dos itens de dados pessoais a serem fornecidos”, mas na lei atual, apenas as informações pessoais que requerem consideração estavam excluídas.

Com a revisão da lei, o âmbito dos dados pessoais que podem ser fornecidos a terceiros foi limitado, e “dados pessoais obtidos ilegalmente” e “dados pessoais fornecidos pela disposição de opt-out” também foram excluídos.

O modo como os operadores devem cumprir os seus deveres

Foram feitas duas alterações sobre o modo como os operadores devem cumprir os seus deveres.

Obrigação de reportar vazamentos (Artigo 22, parágrafo 2, da Lei Japonesa de Proteção de Dados Pessoais)

Na lei atual, a notificação de vazamentos não é uma obrigação legal, portanto, existem alguns operadores que não respondem proativamente. Se o operador não divulgar, a Comissão de Proteção de Dados Pessoais do Japão pode não conseguir entender o caso e pode não ser capaz de responder adequadamente. Na lei revisada, se ocorrer um vazamento e houver um grande risco de prejudicar os direitos e interesses do indivíduo, a notificação à Comissão de Proteção de Dados Pessoais do Japão e ao próprio indivíduo tornou-se obrigatória.

Os casos sujeitos à obrigação de notificação de vazamento incluem “vazamento de informações pessoais que requerem consideração”, “vazamento por acesso não autorizado”, “vazamento com risco de danos patrimoniais”, independentemente do número de casos, e “vazamento em larga escala” que excede 1000 casos.

Proibição de uso por métodos inadequados (Artigo 16, parágrafo 2, da Lei Japonesa de Proteção de Dados Pessoais)

Com o rápido avanço das tecnologias de análise de dados, estão a surgir formas de uso de informações pessoais que podem potencialmente violar os direitos e interesses dos indivíduos, aumentando as preocupações dos consumidores. Em resposta a isso, a lei revisada esclareceu que as informações pessoais não devem ser usadas por métodos inadequados, como promover atividades ilegais ou injustas.

“Métodos inadequados que promovem atividades ilegais ou injustas” incluem “fornecer informações pessoais a terceiros que realizam atividades ilegais” e “apesar de ser previsível que haja discriminação, agregando e tornando uma base de dados de informações pessoais que são divulgadas de forma dispersa por anúncios judiciais, etc., e publicando-as na Internet”. Casos bastante maliciosos são assumidos.

Resumo

Neste artigo, explicamos os pontos de revisão 1 e 2. Os pontos de revisão 3, 4, 5 e 6 serão explicados num artigo separado.

Artigo relacionado: Explicação sobre a ‘Penalidade’ na Lei de Proteção de Dados Pessoais Japonesa revista no ano 4 da era Reiwa (2022)[ja]

Apresentação das medidas adotadas pelo nosso escritório

O escritório de advocacia Monolis é especializado em IT, particularmente na intersecção entre a Internet e a lei. A recentemente revisada ‘Lei Japonesa de Proteção de Dados Pessoais’ tem atraído muita atenção, e a necessidade de verificações legais está a aumentar cada vez mais. No nosso escritório, oferecemos soluções relacionadas com propriedade intelectual. Os detalhes são fornecidos no artigo abaixo.

https://monolith.law/practices/corporate[ja]