Explicação sobre as 'Penalidades' na Lei Japonesa de Proteção de Dados Pessoais, revisada no 4º ano da era Reiwa (2022)

A partir de abril de 2022 (ano 2022 do calendário gregoriano), a lei japonesa de proteção de dados pessoais revista entrou em vigor. Após a explicação sobre os pontos a ter em conta relativamente ao “Dever do Operador” na Lei Japonesa de Proteção de Dados Pessoais revista em 2022, desta vez, iremos explicar a forma correta de utilizar os dados e as penalidades aplicáveis.

Resumo da Lei de Proteção de Dados Pessoais Japonesa revista em 2022 (Reiwa 4)

A revisão da Lei de Proteção de Dados Pessoais Japonesa em 2022 aborda os seguintes seis pontos:

1. A natureza dos direitos individuais
2. A natureza das obrigações que as empresas devem proteger
3. A natureza do sistema que incentiva as iniciativas voluntárias das empresas
4. A natureza da utilização de dados
5. A natureza das penalidades
6. A aplicação extraterritorial da lei e a natureza da transferência transfronteiriça

No artigo “Explicação sobre os pontos a ter em conta na ‘Obrigação das empresas’ na Lei de Proteção de Dados Pessoais Japonesa revista em 2022[ja]“, explicamos os pontos de revisão (1) e (2). Aqui, vamos explicar os pontos de revisão (3), (4), (5) e (6).

Artigo relacionado: O que são a Lei de Proteção de Dados Pessoais Japonesa e os dados pessoais? Um advogado explica[ja]

A natureza do mecanismo para promover iniciativas voluntárias por parte dos operadores

A natureza do mecanismo para promover iniciativas voluntárias por parte dos operadores tem ganho importância com a diversificação das realidades empresariais e o avanço das tecnologias de IT. As organizações privadas estão a desenvolver regras autónomas para o tratamento de dados pessoais em áreas específicas e a fornecer orientações proativas para os operadores em questão.

Na Lei Japonesa de Proteção de Dados Pessoais, além da Comissão de Proteção de Dados Pessoais, é promovida a proteção de informações através do uso de organizações privadas, e um sistema de organizações certificadas foi estabelecido. Organizações que lidam com reclamações sobre o tratamento de dados pessoais e fornecem informações sobre o tratamento adequado de dados pessoais para os operadores podem receber a certificação da Comissão de Proteção de Dados Pessoais e tornar-se uma “Organização Certificada de Proteção de Dados Pessoais”. No entanto, a lei revista permite que organizações que se concentram em áreas específicas (departamentos) das empresas sejam certificadas como organizações certificadas (Artigo 47, Parágrafo 2). Ao permitir a certificação de organizações a nível empresarial, esta é uma iniciativa para promover ainda mais o uso de organizações certificadas e avançar na proteção de dados pessoais por organizações que atuam em áreas específicas, aproveitando a sua especialização.

Abordagem à utilização de dados

Foram feitas duas alterações na abordagem à utilização de dados.

Criação de “Informação Pseudonimizada” e alívio das obrigações (Artigo 2, parágrafo 9)

Na lei atual, as informações que simplesmente pseudonimizam informações pessoais continuam a ser “informações pessoais”, e as empresas têm várias obrigações em relação ao tratamento de informações pessoais. No entanto, para estas “informações pessoais pseudonimizadas”, há uma crescente necessidade de as utilizar, desde que se garanta um certo nível de segurança e se mantenha a utilidade dos dados ao mesmo nível que as informações pessoais antes do processamento, permitindo uma análise mais detalhada através de um método de processamento relativamente simples, em comparação com as informações processadas anonimamente.

Em resposta a isto, a lei revista estabelece a “Informação Pseudonimizada”, que remove nomes e outros identificadores, e alivia as obrigações, tais como responder a pedidos de divulgação e suspensão de uso, sob condições como limitar-se à análise interna, com o objetivo de promover a inovação.

A “Informação Pseudonimizada” criada refere-se a “informações sobre indivíduos obtidas através do processamento de informações pessoais de forma a que não seja possível identificar um indivíduo específico a menos que sejam comparadas com outras informações”. Por exemplo, “nome, idade, data, hora, valor, loja” é processado para “ID temporário, idade, data, hora, valor, loja”. Exemplos de utilização previstos incluem “análise interna para fins que não se enquadram no propósito original de utilização ou para novos fins que são difíceis de determinar se se enquadram” (aprendizagem de modelos de aprendizagem de máquinas para pesquisa em campos médicos e farmacêuticos, detecção de fraudes, previsão de vendas), e “processamento de informações pessoais que atingiram o propósito de utilização como informação pseudonimizada e armazenamento para possível utilização em análise estatística no futuro”.

Quanto ao método de criação de Informação Pseudonimizada, é exigido que se tomem medidas como:

• Eliminar (incluindo substituição) todas ou parte das descrições que podem identificar um indivíduo específico (por exemplo, nome)
• Eliminar todos os códigos de identificação pessoal
• Eliminar descrições que possam causar danos patrimoniais se forem utilizadas indevidamente (por exemplo, número do cartão de crédito)

como regras mínimas.

Obrigação de verificar informações que se espera que se tornem dados pessoais no destinatário (Artigo 26, parágrafo 2)

Na lei atual, mesmo que se espere que as informações que não são dados pessoais no fornecedor se tornem dados pessoais no destinatário, elas não são objeto de regulamentação. No entanto, a lei revista obriga a verificar se o consentimento do indivíduo foi obtido, etc., para a provisão a terceiros de informações que não são dados pessoais no fornecedor, mas que se espera que se tornem dados pessoais no destinatário.

Com o desenvolvimento e a disseminação de tecnologias que acumulam grandes quantidades de dados do usuário e os combinam instantaneamente para se tornarem dados pessoais, esquemas que fornecem informações como não pessoais a terceiros, sabendo de antemão que se tornarão dados pessoais no destinatário, estão a proliferar, evitando o propósito da Lei de Proteção de Dados Pessoais. Isto é devido à preocupação de que métodos de coleta de informações pessoais sem a participação do indivíduo se tornem mais comuns.

Sobre as Penalidades

Foram feitas duas alterações importantes em relação às penalidades.

Aumento das penas legais por violação de ordens da Comissão e por falsas declarações à Comissão (Artigos 83, 87, etc.)

À medida que os casos de violação da lei aumentam, também aumentam os casos em que são necessários relatórios de coleta e inspeções in loco. Para melhorar a eficácia desses relatórios e inspeções, que são o ponto de partida para entender a realidade das empresas, a lei alterada aumentou as penas legais.

A “violação das ordens da Comissão Japonesa de Proteção de Dados Pessoais” era punida com até 6 meses de prisão ou uma multa de até 300.000 ienes sob a lei atual, mas sob a lei alterada, a pena é de até 1 ano de prisão ou uma multa de até 1 milhão de ienes. A “fornecimento ilegal de bases de dados de informações pessoais, etc.” mantém a pena de até 1 ano de prisão ou uma multa de até 500.000 ienes, mas a “falsa declaração à Comissão Japonesa de Proteção de Dados Pessoais, etc.” que era punida com uma multa de até 300.000 ienes sob a lei atual, agora é punida com uma multa de até 500.000 ienes sob a lei alterada.

Aumento das multas para pessoas jurídicas (Artigos 84, 85, etc.)

Sob a lei atual, o valor das multas para pessoas jurídicas era o mesmo que para os infratores individuais. No entanto, levando em consideração a diferença de recursos entre pessoas jurídicas e individuais, a lei alterada aumentou o valor máximo das multas para pessoas jurídicas (penalidades mais severas para pessoas jurídicas) em casos de violação de ordens, etc. Mesmo que uma multa do mesmo valor seja aplicada a uma pessoa jurídica, não se pode esperar que ela tenha um efeito dissuasor suficiente como penalidade.

A “violação das ordens da Comissão Japonesa de Proteção de Dados Pessoais” por uma pessoa jurídica era punida com uma multa de até 300.000 ienes, o mesmo valor que para o infrator individual, sob a lei atual, mas sob a lei alterada, a multa é de até 100 milhões de ienes. A “fornecimento ilegal de bases de dados de informações pessoais, etc.” era punida com uma multa de até 500.000 ienes, o mesmo valor que para o infrator individual, sob a lei atual, mas sob a lei alterada, a multa é de até 100 milhões de ienes. No entanto, a “falsa declaração à Comissão Japonesa de Proteção de Dados Pessoais, etc.” que era punida com uma multa de até 300.000 ienes, o mesmo valor que para o infrator individual, sob a lei atual, continua a ser punida com uma multa de até 500.000 ienes, o mesmo valor que para o infrator individual, sob a lei alterada.

Aplicação Extraterritorial da Lei e Transmissão Transfronteiriça

Foram feitas duas alterações em relação à aplicação extraterritorial da lei e à transmissão transfronteiriça.

Reforço da Aplicação Extraterritorial (Artigo 75 da Lei Japonesa)

Na lei atual, a autoridade que pode ser exercida sobre os operadores estrangeiros sujeitos à aplicação extraterritorial da lei é limitada a orientações e conselhos, bem como recomendações que não envolvem força coercitiva. No entanto, existe o risco de a Comissão de Proteção de Dados Pessoais do Japão não conseguir lidar adequadamente com incidentes de vazamento no estrangeiro. Por isso, a lei revista estabelece que os operadores estrangeiros que lidam com informações pessoais relacionadas à oferta de bens ou serviços médicos a pessoas no Japão estão sujeitos a sanções garantidas por coleta de relatórios e ordens, reforçando o exercício da autoridade da Comissão de Proteção de Dados Pessoais.

Melhoria da Informação Fornecida ao Titular dos Dados sobre o Tratamento de Dados Pessoais pelo Operador de Transferência (Artigo 78 da Lei Japonesa)

Em alguns países, começam a surgir regulamentações de gestão estatal, e à medida que as oportunidades de transferência transfronteiriça de informações pessoais aumentam, as diferenças nos sistemas de país para país tornam a previsibilidade para indivíduos e operadores que lidam com dados instável, levantando preocupações do ponto de vista da proteção dos direitos e interesses dos indivíduos.

Em resposta a isso, quando fornecer dados pessoais a terceiros no estrangeiro, é necessário melhorar a informação fornecida ao titular dos dados sobre o tratamento de dados pessoais pelo operador de transferência. Como requisito para fornecer dados pessoais a terceiros no estrangeiro, a lei atual estipula que “o consentimento do titular dos dados” é necessário. Agora, é obrigatório “fornecer informações ao titular dos dados no momento da obtenção do consentimento, sobre o nome do país de transferência, a existência ou não de um sistema de proteção de dados pessoais no país de transferência”. Além disso, onde o requisito era “um operador que estabeleceu um sistema que cumpre os padrões”, agora é obrigatório “verificar regularmente a situação de tratamento do operador de transferência e fornecer informações relacionadas a pedido do titular dos dados”.

Resumo

A revisão da Lei Japonesa de Proteção de Dados Pessoais de 2022, que é a primeira revisão legal baseada na “cláusula de revisão a cada três anos”, incluiu a expansão da suspensão de uso e eliminação, a proibição de uso impróprio, o aprimoramento da provisão de informações relacionadas à transferência transfronteiriça, a criação de “informações processadas em pseudônimo”, entre outros. Isso visa fortalecer a proteção e utilização dos direitos e interesses individuais, responder aos novos riscos associados ao aumento do fluxo de dados transfronteiriços e adaptar-se à era da IA e Big Data.

Apresentação das medidas adotadas pelo nosso escritório

O escritório de advocacia Monolis é especializado em IT, particularmente na intersecção entre a Internet e a lei. A recém-reformada Lei de Proteção de Dados Pessoais Japonesa (Lei de Proteção de Dados Pessoais do Japão) tem atraído muita atenção, e a necessidade de verificações legais está a aumentar cada vez mais. No nosso escritório, oferecemos soluções relacionadas com propriedade intelectual. Os detalhes são fornecidos no artigo abaixo.

https://monolith.law/practices/corporate[ja]