Quais são os pontos a considerar ao criar uma política de privacidade com base na 'Lei Japonesa de Proteção de Informações Pessoais'?

Recentemente, a proteção de informações pessoais tem recebido cada vez mais atenção da sociedade. Pode-se dizer que quase não existem empresas que não lidam com informações pessoais, tornando o tratamento dessas informações uma questão muito relevante para muitas empresas e empresários individuais. Acredita-se que muitas empresas que possuem um site na web têm uma política de privacidade publicada no site. A política de privacidade é um documento que divulga as diretrizes para o tratamento de informações pessoais pela empresa, de acordo com a Lei Japonesa de Proteção de Informações Pessoais. Para formular adequadamente uma política de privacidade, é essencial entender a Lei Japonesa de Proteção de Informações Pessoais. Portanto, explicaremos os pontos a verificar ao criar uma política de privacidade. Note-se que a Lei Japonesa de Proteção de Informações Pessoais foi alterada em 2015 (Ano 27 da era Heisei) e a lei alterada entrou em vigor em 30 de maio de 2017 (Ano 29 da era Heisei). Em particular, houve uma alteração importante em relação à fornecimento de informações pessoais a terceiros, por isso também explicaremos esse ponto. Para mais detalhes sobre as alterações à Lei Japonesa de Proteção de Informações Pessoais, consulte o artigo abaixo.

O que é a Política de Privacidade

Quase todos os sites de empresas têm uma Política de Privacidade. Também pode ser chamada de “Política de Proteção de Informações Pessoais”, mas na maioria das vezes, é basicamente a mesma coisa. A Política de Privacidade mostra a atitude básica do operador em relação ao tratamento de informações pessoais e também serve para apresentar as questões que são exigidas para divulgação pela Lei de Proteção de Dados Pessoais japonesa. Portanto, é essencial que cubra pelo menos os seguintes itens que são exigidos para divulgação pela Lei de Proteção de Dados Pessoais japonesa.

• Finalidade do uso de informações pessoais
• Nome ou designação do operador que lida com informações pessoais
• Procedimentos para responder a pedidos de notificação de finalidade de uso, divulgação, correção, suspensão de uso, etc., do próprio indivíduo
• Local para apresentação de reclamações

Além disso, em casos como o chamado uso conjunto de informações pessoais dentro de empresas do grupo e o tratamento de informações processadas anonimamente, que serão explicadas mais tarde, há itens que são exigidos para divulgação para cada operação específica definida por lei.

Artigo relacionado: O que são a Lei de Proteção de Dados Pessoais japonesa e as informações pessoais? Explicação de um advogado

Empresas que devem criar uma Política de Privacidade

Antes da revisão da lei implementada em 2017 (ano 29 da era Heisei), a aplicação da Lei Japonesa de Proteção de Dados Pessoais era limitada a empresas que detinham mais de 5000 informações pessoais. Por isso, havia um número considerável de pequenas empresas e empresas que se concentravam principalmente em negócios B2B que não precisavam criar uma Política de Privacidade. No entanto, com a revisão da lei implementada em 2017, a Lei Japonesa de Proteção de Dados Pessoais passou a ser aplicada a todas as empresas, independentemente do número de informações pessoais que possuem. Como resultado, acredita-se que todas as empresas, em princípio, devem criar uma Política de Privacidade. Note-se que, mesmo que não tenha criado uma Política de Privacidade, pode substituir isso por notificar o indivíduo sempre que recolher informações pessoais, sobre o propósito do uso e outros itens que a Lei Japonesa de Proteção de Dados Pessoais exige que sejam divulgados. No entanto, como isso é incómodo, normalmente cria-se uma Política de Privacidade.

Pontos de Verificação da Política de Privacidade

Definição de Informação Pessoal

Artigo X
A informação pessoal é a informação relacionada a um indivíduo vivo, que pode ser identificado por informações contidas, como nome, data de nascimento e outras descrições (incluindo informações que podem ser facilmente comparadas com outras informações, permitindo a identificação de um indivíduo específico).

A definição de informação pessoal pode ser suficientemente descrita conforme estabelecido na Lei de Proteção de Informações Pessoais Japonesa. Tipicamente, são informações como nome e data de nascimento, como no exemplo de cláusula, mas também podem incluir idade, sexo, endereço, número de telefone, composição familiar, hobbies, preferências, endereço de e-mail, ID, endereço IP e carimbo de data/hora, local de trabalho, afiliação, endereço do local de trabalho, número de telefone do local de trabalho, número do cartão de crédito, número da conta bancária, informações da página inicial visitada, reclamações, consultas ou informações de contato. Portanto, pode ser benéfico incluir previamente na definição de informação pessoal na política de privacidade as informações que são mais prováveis de serem obtidas de seus clientes e outros.

Objetivo do Uso de Informações Pessoais

Artigo X
1. A nossa empresa utilizará as informações pessoais recolhidas para os seguintes fins. No entanto, se tivermos estabelecido um propósito diferente para o uso de informações pessoais no nosso site, a descrição desse propósito terá prioridade.
(1) Para permitir que a nossa empresa responda às suas perguntas feitas através do nosso formulário de contato
(2) Para fornecer e informar sobre os nossos serviços web, aplicações ou outros serviços (doravante denominados “os nossos serviços”) e novos serviços oferecidos pela nossa empresa
(3) Para melhorar os nossos serviços e desenvolver novos serviços
(4) Para outros fins relacionados com os itens acima
2. Além dos propósitos estabelecidos no parágrafo anterior, a nossa empresa pode usar as informações pessoais recolhidas dos clientes de forma e extensão que não permitam a identificação ou especificação do indivíduo, como informações estatísticas, para referência.

Objetivo do Uso

De acordo com a Lei Japonesa de Proteção de Informações Pessoais, é necessário divulgar o propósito do uso das informações pessoais recolhidas. O parágrafo 1 do exemplo de cláusula acima corresponde a isso. O importante na definição do propósito do uso é que não é suficiente uma descrição abstrata e abrangente, é necessário descrever de forma concreta o suficiente para que a pessoa possa entender como as suas informações pessoais serão utilizadas. Portanto, é importante notar que o conteúdo da descrição do propósito do uso pode variar dependendo do operador que cria a política de privacidade. Além disso, se houver omissões na descrição, não será possível usar as informações pessoais para esse propósito, por isso é importante verificar cuidadosamente se não há omissões.

Informações Processadas Anonimamente

O parágrafo 2 do exemplo de cláusula é uma disposição relativa a informações processadas anonimamente. Informações processadas anonimamente são informações que foram processadas de forma a tornar impossível identificar o indivíduo e impossível de restaurar. É algo que se espera que seja utilizado para a utilização eficaz de grandes volumes de dados, ou “big data”.
Quando se lida com informações processadas anonimamente, é necessário divulgar itens como as informações pessoais contidas nas informações processadas anonimamente na política de privacidade, etc. O parágrafo 2 do exemplo de cláusula estabelece que as informações pessoais descritas na “definição de informações pessoais” serão utilizadas como informações processadas anonimamente. Além disso, se fornecer informações processadas anonimamente a terceiros, também será necessário divulgar o método de fornecimento.

Uso de Informação Pessoal para Fins Não Declarados

Artigo X
A nossa empresa irá tratar as informações pessoais adquiridas dentro do âmbito necessário para alcançar o propósito de uso declarado no artigo anterior. Se for necessário tratar informações pessoais fora do âmbito do propósito de uso, obteremos o consentimento do cliente com antecedência. No entanto, as seguintes situações são exceções:
(1) Quando baseado em leis e regulamentos
(2) Quando é necessário para proteger a vida, corpo ou propriedade de uma pessoa e é difícil obter o consentimento do cliente
(3) Quando é especialmente necessário para melhorar a saúde pública ou promover o desenvolvimento saudável das crianças e é difícil obter o consentimento do cliente
(4) Quando é necessário cooperar com uma instituição nacional ou entidade pública local, ou uma pessoa que recebeu a sua delegação, na execução dos assuntos estipulados por lei e regulamentos, e quando há uma possibilidade de que a execução desses assuntos seja prejudicada ao obter o consentimento do cliente

Como regra geral, as informações pessoais não podem ser usadas fora do âmbito do propósito de uso. No entanto, a Lei Japonesa de Proteção de Informações Pessoais permite o uso de informações pessoais fora do propósito de uso nos casos correspondentes aos itens (1) a (4) listados acima.
Os itens (2) e (3) são casos em que é difícil obter o consentimento rápido do indivíduo, apesar da alta demanda para o uso das informações pessoais. Além disso, os itens (1) e (4) são casos em que as informações pessoais são usadas com base nas intenções de instituições nacionais ou entidades públicas locais. Por exemplo, isso pode incluir investigações criminais. As cláusulas sobre o uso de informações pessoais para fins não declarados são quase padronizadas para todas as empresas, e raramente mudam dependendo do tipo de negócio.

Fornecimento de Informações Pessoais a Terceiros

Artigo X
A nossa empresa, em princípio, não fornecerá as suas informações pessoais a terceiros sem o seu consentimento. Excepcionalmente, forneceremos as suas informações pessoais a terceiros apenas se identificarmos o destinatário e o conteúdo da informação e obtivermos o seu consentimento. No entanto, isto não se aplica nos seguintes casos:
(1) Quando é baseado na lei
(2) Quando é necessário para proteger a vida, o corpo ou a propriedade de uma pessoa e é difícil obter o consentimento do indivíduo
(3) Quando é particularmente necessário para melhorar a saúde pública ou promover o desenvolvimento saudável das crianças e é difícil obter o consentimento do indivíduo
(4) Quando é necessário cooperar com uma instituição nacional ou entidade pública local ou uma pessoa que recebeu a sua delegação para executar os negócios prescritos pela lei, e obter o consentimento do indivíduo pode interferir na execução dos negócios
(5) Quando é necessário fornecer informações pessoais a um subcontratado com o qual a nossa empresa celebrou um contrato de confidencialidade para o propósito de utilização

Exceções ao Fornecimento de Informações Pessoais a Terceiros

Esta cláusula refere-se a situações em que as informações pessoais obtidas pelo operador são fornecidas a terceiros. De acordo com a Lei de Proteção de Informações Pessoais do Japão, é necessário obter o consentimento do indivíduo ao fornecer informações pessoais a terceiros. No entanto, é legalmente estabelecido que as informações pessoais podem ser fornecidas a terceiros sem o consentimento do indivíduo nos casos estipulados nas cláusulas (1) a (5). Portanto, tal como a cláusula sobre o uso de informações pessoais para fins não previstos, a cláusula sobre o fornecimento a terceiros também se torna uma cláusula padrão para a maioria das empresas. Na prática, o caso mais comummente utilizado é o (5), onde as informações pessoais são fornecidas a um subcontratado. No entanto, mesmo que a subcontratação seja realizada, o operador que obteve as informações pessoais tem a responsabilidade de supervisionar o subcontratado. Portanto, é necessário ter cuidado, pois o operador pode ser responsabilizado se as informações pessoais forem divulgadas pelo subcontratado. Portanto, a seleção do subcontratado e a supervisão após a subcontratação devem ser realizadas com cuidado. Para mais detalhes sobre o caso de vazamento de informações pessoais da Benesse, consulte o artigo abaixo.

Artigo relacionado: Risco de vazamento de informações pessoais da empresa e compensação por danos

Tornando o Opt-Out Difícil devido à Revisão da Lei

Antes da revisão da lei implementada em 2017, era permitido fornecer informações pessoais a terceiros sem o consentimento prévio do indivíduo, desde que “a fornecimento de informações pessoais a terceiros seja interrompida a pedido do indivíduo”. Isto é chamado de opt-out. No entanto, com a revisão da lei implementada em 2017, tornou-se impossível fornecer informações pessoais a terceiros através do opt-out, a menos que seja notificado previamente à Comissão de Proteção de Informações Pessoais, tornando as regras mais rigorosas.
Embora possa parecer que basta notificar a Comissão de Proteção de Informações Pessoais, este sistema de notificação é principalmente destinado a operadores que tratam as informações pessoais como um produto em si, como os operadores de listas de endereços, e os notificadores são publicados, por isso ainda não há muitas empresas que realmente notificaram. Portanto, na prática, tornou-se difícil fornecer informações pessoais a terceiros sem o consentimento do indivíduo, exceto nos casos permitidos como exceções, como a subcontratação.

Divulgação, Correção, etc., de Informações Pessoais

Na Lei Japonesa de Proteção de Informações Pessoais, também é exigido que sejam divulgados os procedimentos para atender aos pedidos do titular dos dados para notificação do propósito de uso, divulgação, correção, suspensão do uso, etc. Portanto, ao criar uma política de privacidade, é necessário estabelecer também estes itens. No entanto, as cláusulas que estabelecem estes itens tornaram-se linguagem padrão para muitos operadores. Uma coisa a considerar é se deve ou não estabelecer uma taxa para atender aos pedidos de divulgação, etc., do titular dos dados. Estabelecer uma taxa apropriada pode ser uma maneira de prevenir atrasos nos negócios devido a pedidos abusivos. Se for necessário cobrar uma taxa, é importante notar que o conteúdo deve ser estabelecido dentro da política de privacidade.

Resumo

Em relação à proteção de dados pessoais, a tendência é que a regulamentação se torne cada vez mais rigorosa, em resposta ao crescente interesse social. É claro que é necessário gerir as informações de forma segura dentro da empresa para evitar vazamentos de dados pessoais, mas ao mesmo tempo, é importante estabelecer políticas de privacidade e regulamentos internos de acordo com a legislação. A Lei Japonesa de Proteção de Dados Pessoais será revista regularmente a cada três anos. Sempre que as regras sobre o tratamento de dados pessoais mudam, pode ser necessário não só alterar os sistemas internos, mas também rever os próprios métodos de negócio. Nesse sentido, a Lei Japonesa de Proteção de Dados Pessoais pode ser considerada uma lei que afeta a essência do negócio, por isso é especialmente importante para as empresas que lidam com muitos dados pessoais estarem sempre a par das alterações na legislação.

Informações sobre a criação e revisão de contratos pela nossa firma

Na Monolis Law Firm, como uma firma de advocacia especializada em IT, Internet e negócios, oferecemos serviços como a criação e revisão de vários contratos, além de políticas de privacidade, para as empresas que aconselhamos e para os nossos clientes.

Se estiver interessado, por favor veja os detalhes abaixo.

https://monolith.law/contractcreation [ja]