É legal comprar informações do cliente? Explicando a Lei Japonesa de Proteção de Informações Pessoais

No dia 30 de maio de 2017, a “Lei Japonesa de Proteção de Dados Pessoais Revisada” (2017 no calendário gregoriano) entrou totalmente em vigor, e todos os operadores que lidam com informações pessoais passaram a ser aplicados como “Operadores de Negócios que Lidam com Informações Pessoais” sob a Lei de Proteção de Dados Pessoais.

Esta lei também se aplica a empresas que adquiriram informações pessoais através da compra de listas, por exemplo. Portanto, os responsáveis que estão considerando a compra de informações do cliente devem estar cientes dos procedimentos, obrigações e proibições relacionados à compra e uso de informações pessoais.

Assim, neste artigo, explicaremos em detalhes as disposições e precauções da Lei de Proteção de Dados Pessoais relacionadas à compra e uso de informações do cliente.

O que é a Lei de Proteção de Dados Pessoais?

O nome oficial da Lei de Proteção de Dados Pessoais é “Lei sobre a Proteção de Dados Pessoais”. Desde a sua promulgação em 2003, tem sido revista várias vezes para se adaptar às mudanças da era, como a digitalização de informações.

Esta lei não se destina a restringir o uso de informações pessoais, mas sim a “proteger” e “utilizar adequadamente” como seus principais objetivos.

Objetivos da Lei de Proteção de Dados Pessoais

• Proteger os direitos e interesses dos indivíduos e estabelecer regras para o uso adequado de informações pessoais
• Estabelecer obrigações e penalidades para os operadores que lidam com informações pessoais

Definição de Informações Pessoais

As “informações pessoais” definidas pela Lei de Proteção de Dados Pessoais referem-se a informações sobre um indivíduo vivo e incluem as seguintes informações:

1. Informações que podem identificar um indivíduo específico, como nome, data de nascimento e outras descrições contidas nas informações
2. Informações que contêm um código de identificação pessoal

O que é um código de identificação pessoal

Um código de identificação pessoal é um caractere, número, símbolo ou outro código que pode identificar um indivíduo específico e que se enquadra em qualquer uma das seguintes categorias, conforme especificado individualmente por decreto ou regulamento:

• Códigos que convertem características de uma parte do corpo para um computador (DNA, rosto, íris, voz, maneira de andar, veias dos dedos, impressões digitais, impressões palmares, etc.)
• Códigos atribuídos a cada indivíduo para uso de serviços ou em documentos (número do passaporte, número da pensão básica, número da carteira de motorista, código do registro de residente, My Number, vários cartões de seguro, etc.)

Se você quiser saber mais sobre a Lei de Proteção de Dados Pessoais, por favor, veja a descrição detalhada abaixo juntamente com este artigo.

Artigo relacionado: O que são a Lei de Proteção de Dados Pessoais e informações pessoais? Explicado por um advogado[ja]

A venda de informações do cliente é legal?

Exceto para instituições governamentais e entidades públicas, a venda de informações do cliente por empresas privadas não é ilegal, desde que cumpram a Lei Japonesa de Proteção de Dados Pessoais.

Procedimentos para fornecer informações pessoais a terceiros

Quando uma empresa fornece uma base de dados de informações pessoais a terceiros, os seguintes procedimentos são obrigatórios:

Obter o consentimento do indivíduo com antecedência, em princípio

No entanto, existem exceções nos seguintes casos:

① Quando baseado em lei
② Quando é difícil obter o consentimento do indivíduo e é necessário para proteger a vida, o corpo, a propriedade de uma pessoa, ou para a saúde pública e o desenvolvimento saudável das crianças
③ Quando cooperando com o governo ou entidades públicas locais

Fornecimento a terceiros através do procedimento de opt-out

Se a empresa tiver estabelecido que irá parar de fornecer informações pessoais a terceiros a pedido do indivíduo (opt-out), é possível fornecer a terceiros sem o consentimento do indivíduo através do seguinte procedimento:

Notificar o indivíduo dos seguintes pontos ① a ⑤ com antecedência, ou torná-los facilmente conhecidos pelo indivíduo através de uma página da web, etc., e notificar a Comissão de Proteção de Dados Pessoais.

① O fornecimento a terceiros é para fins de uso.
② Itens de dados pessoais a serem fornecidos a terceiros
③ Método de fornecimento a terceiros
④ Parar de fornecer dados pessoais a terceiros a pedido do indivíduo.
⑤ Método para aceitar o pedido do indivíduo

O que deve ser notado é que, para “informações pessoais sensíveis”, como raça, crença, status social, histórico médico, antecedentes criminais, etc., que podem levar a discriminação injusta ou preconceito se conhecidos por outros, o princípio do fornecimento a terceiros é apenas com o consentimento prévio do indivíduo.

O que deve ser observado ao comprar informações do cliente

Obrigações estabelecidas por lei

Ao comprar informações do cliente, o comprador também se torna um “Operador de Informações Pessoais” (Operador de Dados Pessoais em japonês), portanto, ao receber informações pessoais de terceiros, como empresas de listas, as seguintes obrigações são impostas por lei.

Ao comprar informações do cliente, os seguintes dois pontos devem ser verificados:

• Nome, endereço e representante da empresa de listas
• Como a empresa de listas obteve as informações pessoais

Ao comprar informações do cliente, os seguintes itens devem ser registrados e mantidos por 3 anos:

• Data em que as informações pessoais foram recebidas
• Nome, endereço e representante da empresa de listas
• Como a empresa de listas obteve as informações pessoais
• Nome e outros detalhes suficientes para identificar a pessoa identificada pelas informações pessoais
• Itens de informações pessoais
• No caso de fornecimento a terceiros por meio do procedimento de opt-out, os itens necessários são publicados pela Comissão de Proteção de Informações Pessoais (Comissão de Proteção de Dados Pessoais em japonês).

※ A notificação do procedimento de opt-out pode ser verificada na página web da Comissão de Proteção de Informações Pessoais[ja].

Verificação relacionada à obtenção de informações do cliente

Ao comprar informações do cliente, também é necessário verificar o método de obtenção de informações por empresas de listas e outros. Mesmo que as informações do cliente sejam compradas legalmente, se o método de obtenção das informações do cliente for ilegal, o usuário pode ser sujeito a uma reivindicação de indenização por danos.

É claro que é ilegal que empresas de listas e outros obtenham informações do cliente por meios fraudulentos ou injustos, mas além disso, há as seguintes obrigações na obtenção, então certifique-se de verificar antes da compra.

• Se o propósito do uso foi especificado de forma concreta
• Se o propósito do uso especificado foi publicado ou notificado à pessoa
• Se o consentimento da pessoa foi obtido ao usar as informações pessoais obtidas para outros fins
• Quando receber informações pessoais de terceiros, além do nome e endereço do fornecedor, verifique como as informações pessoais foram obtidas, registre a data de recebimento, os itens verificados, etc., e mantenha por 3 anos
• Se não inclui “Informações Pessoais que Requerem Cuidado” (Informações Pessoais Sensíveis em japonês) para as quais o consentimento da pessoa é sempre necessário

Se você quiser saber mais sobre vazamento de informações pessoais e indenização por danos, por favor, veja a descrição detalhada abaixo em conjunto com este artigo.

Artigo relacionado: Risco de vazamento de informações pessoais da empresa e indenização por danos[ja]

O que deve ser respeitado ao utilizar informações do cliente

Não ultrapassar o escopo do propósito de uso

É proibido por lei que empresas de listas de contatos, por exemplo, utilizem informações do cliente além do escopo do propósito de uso para o qual obtiveram o consentimento do indivíduo. Portanto, se pretenderem utilizar as informações para um propósito diferente, devem obter novamente o consentimento do indivíduo.

Quando usado para chamadas de vendas

Quando se realiza uma “venda por telefone” com o objetivo de solicitar a compra de produtos ou a celebração de contratos de compra e venda, existem as seguintes restrições estabelecidas pela Lei Japonesa de Transações Comerciais Específicas.

Antes de solicitar, deve-se sempre informar ao consumidor os seguintes itens

• Nome da empresa
• Nome do responsável (a pessoa que faz a solicitação)
• Tipo de produto (direito, serviço) que se pretende vender
• O objetivo é solicitar a celebração do contrato

Atos proibidos

• Re-solicitar a alguém que já recusou uma vez
• Fornecer uma explicação que difere da realidade
• Intencionalmente não informar a verdade
• Intimidar e confundir a outra parte

Quando usado para envio de e-mails

Quando se envia um e-mail para publicidade ou promoção, a Lei Japonesa de E-mails Específicos proíbe, em princípio, o envio a qualquer pessoa que não tenha notificado o remetente de que ① deseja receber e-mails específicos, ou ② concorda em receber os e-mails.

Embora empresas de listas de contatos possam ter obtido as notificações ① e ② acima, o comprador da lista deve obter novamente as notificações ① e ②, tornando difícil o uso de e-mails.

Obrigação de medidas de gestão de segurança

Ao obter informações do cliente, como operador de negócios de tratamento de informações pessoais, é necessário tomar medidas para prevenir o vazamento, perda ou destruição de informações pessoais.

Além disso, é necessário supervisionar adequadamente os funcionários que realmente lidam com informações pessoais, a fim de garantir a gestão segura dessas informações.

Resumo

Neste artigo, explicamos a relação entre a compra de informações do cliente e a Lei de Proteção de Dados Pessoais (Lei Japonesa de Proteção de Dados Pessoais) em quatro partes:

1. O que é a Lei de Proteção de Dados Pessoais?
2. É legal comprar e vender informações do cliente?
3. O que deve ser observado ao comprar informações do cliente
4. O que deve ser observado ao usar informações do cliente

Contudo, ao fazer negócios com consumidores estrangeiros através da internet, é necessário verificar não apenas a lei doméstica, mas também as leis de cada país.

Portanto, se está a considerar a compra ou uso de informações do cliente, recomendamos que consulte um advogado com conhecimento e experiência especializados, em vez de tomar uma decisão por conta própria.

Apresentação das medidas adotadas pelo nosso escritório

O escritório de advocacia Monolis é especializado em IT, particularmente na intersecção entre a Internet e a lei. Nos últimos anos, a ‘Lei Japonesa de Proteção de Dados Pessoais’ tem recebido muita atenção, e a necessidade de verificações legais está a aumentar cada vez mais. Detalhes adicionais são fornecidos no artigo abaixo.

https://monolith.law/practices/corporate[ja]