A relação entre a 'Lei Japonesa de Proteção de Informações Pessoais' e a violação da privacidade

A informação protegida como privacidade inclui informações pessoais típicas, como nome e endereço. Por exemplo, há um caso em que se decidiu que o número de matrícula, endereço, nome e número de telefone de um estudante que participou de uma palestra patrocinada pela universidade são informações relacionadas à privacidade e são objeto de proteção legal, e que a ação da universidade de divulgar isso à polícia sem o consentimento do estudante constitui um ato ilegal (Supremo Tribunal, 12 de setembro de 2003).

Embora o direito à privacidade não esteja explicitamente estipulado na Lei de Proteção de Informações Pessoais Japonesa, se as informações pessoais forem protegidas como privacidade, como devemos pensar na relação entre o ato ilegal de invasão de privacidade e a Lei de Proteção de Informações Pessoais Japonesa?

https://monolith.law/reputation/privacy-invasion[ja]

Relação entre a violação da Lei de Proteção de Dados Pessoais Japonesa e atos ilícitos

Em relação à conexão entre a violação da Lei de Proteção de Dados Pessoais Japonesa e atos ilícitos, geralmente é adotada a visão conhecida como “teoria da distinção rigorosa”. Mesmo que o tratamento de dados pessoais por um operador de dados pessoais viole formalmente a Lei de Proteção de Dados Pessoais Japonesa, mesmo que medidas administrativas sejam tomadas pela Comissão de Proteção de Dados Pessoais, não é garantido que reivindicações de compensação por danos baseadas em atos ilícitos, entre outros, sejam reconhecidas. Por outro lado, ações que não violem formalmente a Lei de Proteção de Dados Pessoais Japonesa, como a fornecimento de dados pessoais a terceiros, podem ser consideradas atos ilícitos de violação da privacidade.

Em caso de reconhecimento de ato ilícito devido à violação da Lei de Proteção de Dados Pessoais (Lei Japonesa de Proteção de Dados Pessoais)

Após um acidente de carro e um exame num hospital, o demandante comprou medicamentos numa farmácia gerida pelo réu, com base numa receita médica. O réu entregou ao segurador do seguro de responsabilidade por danos automóveis, sem o consentimento do demandante, uma nota detalhada do tratamento médico que incluía a data de nascimento do demandante, o nome da instituição médica que ele visitou e o nome do medicamento prescrito. Houve um caso em que o demandante pediu o pagamento de indenização com base em ato ilícito.

O tribunal, em primeiro lugar, considerou que o réu é uma empresa cujo objetivo é a gestão de uma farmácia e é um operador de negócios de tratamento de informações pessoais sob a Lei de Proteção de Dados Pessoais. Em resposta ao réu, que argumentou que “para facilitar o pagamento de dinheiro da seguradora para a vítima, é comum fornecer informações médicas em resposta a inquéritos da seguradora na farmácia. Portanto, o demandante deve ter consentido implicitamente na divulgação das informações contidas na nota detalhada do tratamento médico para a seguradora neste caso”, o tribunal citou o Artigo 23, Parágrafo 1 da Lei de Proteção de Dados Pessoais, que diz “Um operador de negócios de tratamento de informações pessoais não deve fornecer dados pessoais a terceiros sem o consentimento prévio da pessoa, exceto nos casos listados abaixo”.

O operador de negócios de tratamento de informações pessoais sob a Lei de Proteção de Dados Pessoais, exceto em casos excepcionais, como quando é baseado em leis e regulamentos, não deve fornecer dados pessoais a terceiros sem o consentimento prévio da pessoa (Artigo 23, Parágrafo 1 da mesma lei). Não há evidências suficientes para reconhecer que o demandante consentiu que o réu entregasse a nota detalhada do tratamento médico, que inclui o nome do medicamento prescrito ao demandante, à seguradora neste caso. Portanto, o ato do réu é ilegal por violar a Lei de Proteção de Dados Pessoais, e o réu é reconhecido como tendo a obrigação de indenizar o demandante com base em ato ilícito.

Decisão do Tribunal Distrital de Tóquio, 24 de janeiro de 2013 (Ano 25 da era Heisei)

Embora não seja explicitamente mencionado como “invasão de privacidade”, pode-se considerar um precedente judicial que reconhece a violação da proteção de dados pessoais como um ato ilícito.

Casos em que a violação da Lei de Proteção de Dados Pessoais (Lei Japonesa de Proteção de Dados Pessoais) não constitui uma invasão de privacidade

Houve um caso em que o queixoso, que estava a utilizar uma máquina multifunções de cópia e fax no seu escritório através de um contrato de leasing, alegou que o réu, Credit Saison, forneceu sem consentimento as informações pessoais do queixoso, nomeadamente as taxas de leasing da máquina multifunções e do telefone, ao réu Ricoh, e que a Ricoh utilizou essas informações fornecidas pela Credit Saison. Com base no direito de reivindicar indenização por danos devido a atos ilícitos conjuntos das duas empresas, o queixoso exigiu o pagamento de indenizações aos réus.

Um funcionário da Ricoh, A, foi ao escritório para vendas e sugeriu a sua própria máquina multifunções, pois foi dito que havia insatisfação com a máquina multifunções atualmente em leasing. Quando A perguntou ao queixoso sobre a taxa de leasing, foi informado que era de 12.000 ienes por mês. A, para confirmar, anotou o número do contrato escrito no selo anexado à máquina multifunções e, com base nisso, ligou para a Credit Saison. A descobriu que o montante de 12.000 ienes mencionado pelo queixoso não era a taxa de leasing da máquina multifunções, mas a taxa de leasing do telefone que o queixoso também estava a alugar da Credit Saison, e que a taxa de leasing mensal da máquina multifunções era de 14.000 ienes.

Com base nesta informação, A propôs a máquina multifunções por uma taxa de leasing mensal de 12.800 ienes e, em resposta à indicação do queixoso de que isso seria mais caro do que a situação atual, informou que tinha confirmado com a Credit Saison que a taxa de leasing mensal da máquina multifunções era de 14.000 ienes. O queixoso ficou furioso, alegando que a Credit Saison tinha divulgado o conteúdo do contrato entre o queixoso e a empresa para a Ricoh, exigiu um pedido de desculpas de ambas as empresas e, alegando que não viu qualquer sinceridade, processou-as exigindo o pagamento de indenizações.

Lei de Proteção de Dados Pessoais e Privacidade

O tribunal citou o Artigo 16, Parágrafo 1 da Lei de Proteção de Dados Pessoais, que diz “Um operador de negócios de tratamento de informações pessoais não deve tratar informações pessoais além do escopo necessário para alcançar o propósito de uso especificado no artigo anterior sem o consentimento prévio do indivíduo”, e disse,

É considerado que o ato da ré Credit Saison de fornecer à ré Ricoh informações sobre o contrato da máquina multifunções no escritório do queixoso, e o ato de um operador de negócios de tratamento de informações pessoais, conforme definido na Lei de Proteção de Dados Pessoais, de tratar informações pessoais além do escopo necessário para alcançar o propósito de uso especificado, viola o Artigo 16, Parágrafo 1 da mesma lei, e que a ré Ricoh é cúmplice no ato ilegal da ré Credit Saison.

Tribunal Distrital de Tóquio, sentença de 28 de outubro de 2015

Enquanto isso, foi reconhecido que no momento em que foi solicitada a proposta de renovação do contrato, o queixoso concordou que as informações sobre o conteúdo do contrato da máquina multifunções, que são informações pessoais, seriam divulgadas na medida necessária para esse propósito, antecipando a provisão de informações neste caso e outros para a renovação do contrato da máquina multifunções. Quanto ao fato de que as informações sobre o telefone, além da máquina multifunções, foram fornecidas, não foi reconhecido que o queixoso tinha concordado com a provisão de informações, mas

mesmo que a provisão de informações sobre a taxa de leasing mensal do telefone viole formalmente o Artigo 16, Parágrafo 1 da Lei de Proteção de Dados Pessoais, não se pode dizer que isso em si constitui a ilegalidade de um ato ilícito.

Idem

Com isso, o pedido do queixoso foi rejeitado. Este é um caso judicial que estabelece que mesmo que haja uma violação da Lei de Proteção de Dados Pessoais, isso não necessariamente constitui um ato ilícito como uma invasão de privacidade.

Casos em que não há violação da Lei de Proteção de Dados Pessoais (Lei Japonesa de Proteção de Dados Pessoais), mas há invasão de privacidade

Houve um caso em que o número de telefone de um telemóvel usado num fórum anónimo na internet foi publicado, violando o direito à privacidade, e o demandante solicitou ao provedor de internet a divulgação das informações do remetente.

Numa thread dentro da categoria “Conversa Geral da Cidade XX” na versão “Kanto” do site “BakuSai.com”, o número de telefone do telemóvel do demandante foi publicado seis vezes. O demandante, pretendendo iniciar um processo de indemnização por violação de privacidade, solicitou a divulgação das informações. No entanto, o provedor de internet recusou, argumentando que “neste post, não é explicitamente indicado que os números são o número de telefone do telemóvel do demandante, e um observador geral não poderia facilmente reconhecer que é o número de telefone do telemóvel usado pelo demandante” e “o número de telefone de um telemóvel não se enquadra na definição de dados pessoais de acordo com o Artigo 2, Parágrafo 1 da Lei de Proteção de Dados Pessoais (Lei Japonesa de Proteção de Dados Pessoais), por isso não se pode dizer que há uma clara violação do direito à privacidade”.

Número de telemóvel e dados pessoais

O tribunal observou que houve um número considerável de posts difamatórios que exibiam parte do nome do demandante, como “Todos vocês realmente odeiam Kouyama”, “Odeio Kouyama”, “Kouyama DQN promíscuo”, “Uma empresa onde tudo é permitido… assédio moral e sexual são comuns, e ainda por cima o cão Bulldog de Kouyama”, “Pensa que é inteligente, mas é estúpida… mulher idiota”, e que parte do seu nome real e local de trabalho foram revelados.

O post em questão começa com o número “090”, seguido por um hífen que indica um número de quatro dígitos ou mais, e um comentário sugerindo que este número é de uma mulher foi adicionado. Além disso, considerando que houve posts subsequentes que entenderam que o número no post em questão era um número de telemóvel, um observador geral poderia entender que o post em questão continha o número de telemóvel de uma mulher.

Decisão do Tribunal Distrital de Tóquio, 6 de novembro de 2015 (Ano 27 da era Heisei)

O tribunal decidiu que “devido ao post em questão, não se pode negar que houve um aumento de chamadas difamatórias e de brincadeira para o telemóvel do demandante, e que o número de telefone poderia ser mal utilizado, o que poderia causar problemas na vida social do demandante”, e ordenou a divulgação das informações do remetente.

Em relação à Lei de Proteção de Dados Pessoais (Lei Japonesa de Proteção de Dados Pessoais), o tribunal decidiu que:

A referida lei não tem a intenção de negar que o interesse em não ter fatos da vida privada divulgados indiscriminadamente é um interesse legalmente protegido, por isso o argumento do réu não pode ser aceite.

Idem

O tribunal reconheceu o argumento do demandante de que o post em questão violava o seu direito à privacidade. Embora um número de telemóvel por si só não seja considerado um dado pessoal, este é um precedente judicial que considera que deve ser protegido como privacidade.

https://monolith.law/reputation/provider-liability-limitation-law[ja]

Em caso de violação da Lei de Proteção de Dados Pessoais e invasão de privacidade

Como mencionado num outro artigo do nosso escritório, houve um caso em que uma enfermeira que trabalhava num hospital foi diagnosticada como HIV positiva após um exame de sangue num hospital universitário. Esta informação foi partilhada sem o seu consentimento com médicos e funcionários do hospital onde trabalhava por um médico a tempo parcial do hospital universitário. A enfermeira processou por danos, alegando que a partilha desta informação constituía uma invasão de privacidade e um ato ilícito.

O tribunal decidiu que, de acordo com o Artigo 23, Parágrafo 1 da Lei de Proteção de Dados Pessoais Japonesa, “Um operador de negócios de tratamento de dados pessoais não deve fornecer dados pessoais a terceiros sem o prévio consentimento do indivíduo, exceto nos casos especificados”, a partilha de informações neste caso foi feita por um médico a tempo parcial do hospital onde a enfermeira trabalhava para médicos, enfermeiras e o diretor administrativo dentro do mesmo hospital. Portanto, foi considerado como fornecimento de informações dentro do mesmo operador de negócios e não se aplicava à provisão de informações a terceiros.

Por outro lado, em relação ao Artigo 16, Parágrafo 1, o tribunal decidiu que:

“Um operador de negócios de tratamento de dados pessoais deve especificar o propósito do uso dos dados pessoais o máximo possível (Artigo 15, Parágrafo 1) e não deve tratar os dados pessoais além do escopo necessário para alcançar o propósito especificado sem o prévio consentimento do indivíduo (Artigo 16, Parágrafo 1). De acordo com as disposições de proteção de dados pessoais do réu, o uso de dados pessoais deve ser feito dentro do escopo do propósito de coleta, na medida necessária para a execução dos negócios (Artigo 9, Parágrafo 1). Além disso, os dados pessoais devem ser usados para os propósitos especificados na tabela anexa e para os propósitos além dos negócios normais (Artigo 10), e se os dados pessoais forem usados além do escopo do propósito de coleta, é necessário notificar o responsável pela gestão de dados pessoais e obter o consentimento do paciente ou do seu representante (Artigo 11, Parágrafo 1). Além disso, o propósito de obter dados pessoais de pacientes, usuários e partes relacionadas é usar esses dados para a prestação de cuidados médicos e de saúde, administração de seguro de saúde, gestão de internações e altas, e outros assuntos necessários para a educação e pesquisa (Artigo 7, Item 1).”

Decisão do Tribunal Distrital de Fukuoka, Filial de Kurume, 8 de agosto de 2014 (Ano 26 da era Heisei)

O tribunal decidiu que a enfermeira-chefe transmitiu as informações em questão à diretora de enfermagem e à diretora administrativa com o objetivo de prevenir infecções hospitalares e discutir a política de trabalho da enfermeira.

Uso de dados pessoais fora do propósito

Por outro lado, o tribunal decidiu que:

“As informações em questão foram obtidas da enfermeira, que é a pessoa em questão, como resultado de ela ter recebido tratamento médico no hospital em questão, e não foram obtidas com o propósito de gestão de emprego ou operação de negócios. Portanto, o propósito do uso dessas informações deve ser limitado à prestação de cuidados médicos e de saúde, etc., conforme especificado nas disposições acima. A alegação do réu de que os dados pessoais podem ser usados para qualquer propósito publicado, independentemente de como foram obtidos, pode resultar no uso dos dados pessoais para um propósito que a pessoa em questão não previu, e é inadequada.”

Idem

O tribunal decidiu que isso constitui o uso de dados pessoais fora do propósito proibido pelo Artigo 16, Parágrafo 1, e ao mesmo tempo, reconheceu que ainda existia preconceito e discriminação contra pessoas com HIV na época em que as informações foram compartilhadas. As informações de que alguém tem HIV são informações pessoais que a pessoa não quer que outras pessoas saibam. Portanto, o tribunal decidiu que o tratamento ilegal dessas informações sem o consentimento da pessoa constituiu uma invasão de privacidade e um ato ilícito.

Embora o réu tenha argumentado que “o manual em questão limita o número de pessoas que compartilham as informações ao mínimo necessário para uma gestão rigorosa das informações, e neste caso, as informações foram compartilhadas apenas com seis pessoas, que é ainda menos do que o mínimo necessário”, o tribunal decidiu que “mesmo que o número de pessoas que compartilham as informações possa afetar o grau de ilegalidade, o uso de tais informações pessoais fora do propósito por mesmo uma pessoa deve ser considerado uma invasão de privacidade e ilegal”. Esta é uma interpretação correta da Lei de Proteção de Dados Pessoais.

Resumo

O termo “negócio” para operadores de informação pessoal não se limita apenas a negócios com fins lucrativos, como a gestão de empresas ou lojas, mas também inclui negócios sem fins lucrativos, como hospitais, escolas, voluntariado e conservação ambiental. A Lei de Proteção de Informações Pessoais (Lei Japonesa de Proteção de Informações Pessoais) aplica-se a operadores que realizam algum tipo de negócio de forma repetida e adquirem informações pessoais no decorrer da continuação do negócio. É necessário entender corretamente a Lei de Proteção de Informações Pessoais. Se surgir um problema relacionado à violação de informações pessoais ou privacidade, seria aconselhável consultar um advogado experiente e obter conselhos.