Ce este Legea Japoneză a Protecției Datelor Personale și ce înseamnă datele personale? Explicații oferite de un avocat

Legea privind protecția datelor personale, care a fost modificată în 2015 (și a intrat în vigoare din 2017), cunoscută în mod precis ca “Legea privind protecția datelor personale”, este o lege importantă atunci când se consideră problemele legate de datele personale în activitățile de afaceri și clarifică obligațiile legale pe care le au operatorii de date personale. Până în anul 2015 (anul 27 al erei Heisei), operatorii de date personale erau limitați la cei care dețineau date personale care depășeau 5000 de persoane, astfel încât existau multe companii care nu erau operatori de date personale, cum ar fi întreprinderile mici. Cu toate acestea, după modificarea din 2015, această condiție a fost eliminată, astfel încât aproape toate companiile au devenit operatori de date personale, făcând această lege inevitabilă chiar și pentru proprietarii de afaceri mici. Deoarece este necesar să se gestioneze datele personale, cum ar fi numele și adresa de e-mail a clienților, pentru lucruri precum vânzările prin corespondență, buletinele informative, emiterea de mesaje directe și carduri de puncte pentru magazinele fizice, este necesar să se înțeleagă bazele Legii privind protecția datelor personale.

Scopul și definiția Legii Japoneze privind Protecția Datelor Personale

Ce este exact Legea Japoneză privind Protecția Datelor Personale? Să examinăm o privire de ansamblu. În primul rând, articolul 1 clarifică scopul acestei legi.

Articolul 1 al Legii Japoneze privind Protecția Datelor Personale
Această lege are ca scop protejarea drepturilor și intereselor individuale, luând în considerare utilitatea datelor personale, prin stabilirea principiilor de bază și a politicilor de bază ale guvernului și alte măsuri privind protecția datelor personale, clarificând responsabilitățile guvernului și ale autorităților publice locale, precum și obligațiile pe care operatorii de date personale trebuie să le respecte, în contextul extinderii semnificative a utilizării datelor personale odată cu progresul societății informaționale avansate. Utilizarea adecvată și eficientă a datelor personale contribuie la crearea de noi industrii, la realizarea unei societăți economice dinamice și la îmbunătățirea vieții cetățenilor.

Așa este scris.

Articolul 2 definește datele personale, datele personale deținute și datele personale deținute (Articolul 2, paragrafele 1, 4 și 5).
În Legea Japoneză privind Protecția Datelor Personale, “datele personale” se referă la “informații despre o persoană care există”, care “pot identifica o anumită persoană prin nume, data nașterii și alte descrieri conținute în aceste informații (inclusiv cele care pot fi identificate prin compararea ușoară cu alte informații)”. “Datele personale” sunt datele personale care au fost baza de date prin computer, iar cele pe care operatorul le deține pentru mai mult de șase luni sunt “date personale deținute”.

Necesitatea protecției datelor personale variază foarte mult în funcție de faptul că acestea sunt sau nu baza de date. Datele personale sunt date personale care au fost baza de date și care pot fi ușor căutate și organizate sistematic, astfel încât posibilitatea încălcării drepturilor este mai mare, deci se acordă o protecție mai puternică decât datelor personale în general.

Protecția mai puternică este acordată datelor personale deținute, care sunt date personale pe care operatorul de date personale are dreptul de a dezvălui, corecta, adăuga sau șterge conținutul, opri utilizarea, șterge și opri furnizarea către terți (Articolul 2, paragraful 7). Pentru datele personale deținute, se recunoaște cererea de dezvăluire, corectare, oprire a utilizării, etc., luând în considerare cererea ca persoana să se implice adecvat (vezi mai jos).

Reguli privind prelucrarea datelor cu caracter personal

Pentru a preveni utilizarea abuzivă a datelor cu caracter personal, este necesar să se stabilească reguli adecvate de prelucrare, identificând clar scopul pentru care se utilizează datele cu caracter personal și limitând prelucrarea acestora la ceea ce este necesar pentru atingerea acestui scop.

Prin urmare, operatorii de date cu caracter personal trebuie să:

• Identifice cât mai precis scopul prelucrării datelor cu caracter personal atunci când le prelucrează (Articolul 15, alineatul 1)
• Nu prelucreze datele cu caracter personal dincolo de ceea ce este necesar pentru atingerea scopului (Articolul 16, alineatul 1)
• Nu obțină date cu caracter personal prin mijloace false sau alte mijloace necinstite (Articolul 17, alineatul 1)
• Dacă obțin date cu caracter personal, trebuie să notifice sau să anunțe persoana vizată cu privire la scopul prelucrării (Articolul 18)

Acestea sunt cerințele Legii japoneze privind protecția datelor cu caracter personal, care solicită ca datele cu caracter personal deținute de operatori să fie utilizate în conformitate cu scopul specificat și anunțat în prealabil. Cu alte cuvinte, este necesar să se specifice și să se anunțe scopul pentru care se utilizează datele cu caracter personal. De exemplu, nu este ilegal să se utilizeze datele cu caracter personal pentru a afișa reclame adaptate caracteristicilor utilizatorului, dar este necesar să se anunțe acest scop în prealabil. Metoda de anunțare nu este specificată, dar este obișnuit să se facă acest lucru prin intermediul unei “Politici de confidențialitate” sau a unei “Politici de protecție a datelor cu caracter personal”.

Pe de altă parte, în ceea ce privește așa-numitele date cu caracter personal sensibile, prelucrarea acestora este interzisă în principiu fără consimțământul persoanei vizate (Articolul 17, alineatul 2).

Datele cu caracter personal sensibile sunt:

Articolul 2, alineatul 3
În această lege, “datele cu caracter personal sensibile” se referă la datele cu caracter personal care includ descrieri stabilite prin ordin al guvernului, care necesită o atenție specială în prelucrarea lor pentru a preveni discriminarea, prejudecățile și alte dezavantaje injuste față de persoana vizată, cum ar fi rasa, credința, statutul social, istoricul medical, istoricul infracțiunilor, faptul că a fost victimă a unei infracțiuni etc.

De asemenea, sunt incluse rezultatele examenelor de sănătate, instrucțiunile, tratamentul și prescripțiile medicale, faptul că au avut loc proceduri penale, proceduri legate de protecția minorilor etc.

Regulamentul strict care interzice “obținerea” datelor cu caracter personal sensibile fără consimțământul persoanei vizate, în absența unor circumstanțe excepționale, se datorează faptului că se consideră că aceste date, chiar dacă nu se consideră că este necesar să fie obținute, pot genera discriminare și prejudecăți dacă sunt obținute și prelucrate.

Reguli privind managementul și supravegherea

Mulți oameni sunt îngrijorați și anxioși de posibilitatea ca informațiile personale să fie divulgate sau modificate. În cazul datelor personale stocate în baze de date, există numeroase cazuri în care se produce o scurgere masivă de informații ale clienților, ceea ce duce la probleme sociale. Prin urmare, operatorii de afaceri care gestionează informații personale au obligația de a lua măsuri adecvate și necesare (măsuri de gestionare a securității) pentru gestionarea în siguranță a datelor personale (Articolul 20).

Încălcarea obligației de gestionare a securității

În realitate, în cazurile în care informațiile personale au fost divulgate sau scurse pe internet, în multe cazuri se constată încălcarea obligației de gestionare a securității. Conținutul măsurilor de gestionare a securității, luând în considerare caracteristicile operatorilor de afaceri de mici și mijlocii dimensiuni, este clar stipulat în “Ghidul privind Legea privind protecția informațiilor personale (Ediția generală)” (Comisia pentru Protecția Informațiilor Personale din Japonia). Prin urmare, este important nu numai să respectăm Articolul 20 al Legii privind protecția informațiilor personale, ci și să luăm măsuri în conformitate cu acest ghid, pentru a evita situațiile în care suntem ținuți responsabili pentru acte ilicite datorate încălcării confidențialității cauzate de scurgeri de informații, inclusiv pe internet.

Însă, indiferent de cât de bine sunt stabilite sistemele și regulamentele, operarea corectă a acestora este în cele din urmă lăsată în mâinile oamenilor. Prin urmare, “Operatorii de afaceri care gestionează informații personale trebuie să efectueze o supraveghere adecvată și necesară asupra angajaților lor atunci când le permit să gestioneze datele personale, pentru a asigura gestionarea în siguranță a acestor date personale” (Articolul 21).

https://monolith.law/corporate/trends-in-personal-information-leakage-and-loss-accidents-in-2019[ja]

De asemenea, vânzarea sau sustragerea datelor clienților de către angajați nu numai că îi face pe aceștia responsabili pentru acte ilicite (Articolul 709 al Codului Civil), dar și operatorii de afaceri care gestionează informațiile personale pot fi ținuți responsabili ca angajatori (Articolul 715 al Codului Civil), deci este necesară precauție.

“Furnizarea către terți” și “Delegare”

Conform Legii privind protecția informațiilor personale din Japonia, chiar dacă este pentru scopul anunțat în prealabil, furnizarea informațiilor personale ale clienților către “terți” este în principiu interzisă, cu excepția cazului în care există consimțământ. Cu toate acestea, dacă această regulă este urmată la literă, “este ilegal să păstrăm baza de date cu informații despre clienți pe un server închiriat”. Acest lucru se datorează faptului că serverul închiriat este considerat un “terț” pentru operatorul de afaceri.

Însă, în cadrul “furnizării către terți”, “delegarea” este permisă ca excepție, și este permisă “delegarea” către persoane care nu utilizează aceste informații. De exemplu, un server închiriat doar păstrează informațiile, fără a le utiliza. Delegarea gestionării informațiilor personale către terți este o practică frecventă, dar pentru a preveni situații în care gestionarea inadecvată de către delegat sau delegarea repetată la mai multe niveluri face ca responsabilitatea să devină neclară, “Operatorii de afaceri care gestionează informații personale trebuie să efectueze o supraveghere adecvată și necesară asupra persoanei căreia i-au delegat gestionarea totală sau parțială a datelor personale, pentru a asigura gestionarea în siguranță a acestor date personale” (Articolul 22).

Corectitudinea gestionării informațiilor personale prin implicarea persoanei în cauză

Legea privind protecția datelor personale (Legea japoneză privind protecția datelor personale) permite persoanei în cauză să solicite operatorului de date personale să dezvăluie (articolul 28), să corecteze, să adauge sau să șteargă (articolul 29) datele personale deținute despre ea, sau să oprească utilizarea acestora (articolul 30), în anumite condiții, pentru a asigura corectitudinea gestionării informațiilor personale prin implicarea persoanei în cauză. Este clar că aceste drepturi ale persoanei în cauză sunt drepturi de revendicare în dreptul civil, și dacă operatorul de date personale nu răspunde la aceste solicitări, persoana în cauză poate realiza aceste drepturi prin intermediul instanțelor de judecată.

Operatorii de date personale trebuie să dezvăluie datele personale deținute la cererea persoanei în cauză, să corecteze erorile dacă există, și să oprească utilizarea datelor dacă acestea sunt gestionate în încălcarea obligațiilor legale, cum ar fi utilizarea în afara scopului, metodele de obținere necorespunzătoare, sau furnizarea către terți fără consimțământul persoanei în cauză. Astfel, Legea privind protecția datelor personale este o lege care încearcă să protejeze drepturile cetățenilor prin impunerea diverselor obligații asupra operatorilor care gestionează datele personale.

Pedeapsa pentru scurgerea de informații personale

Legea japoneză privind protecția datelor personale (Legea privind protecția informațiilor personale) prevede sancțiuni în cazul în care o companie dezvăluie informații personale.

Dacă o companie încalcă Legea privind protecția informațiilor personale și provoacă o scurgere de informații, inițial, aceasta va primi o “recomandare de a lua măsurile necesare pentru a corecta încălcarea și a opri comportamentul ilegal” din partea guvernului (Articolul 42). Dacă aceasta încalcă și această recomandare, angajatul care a comis încălcarea poate fi pedepsit cu “închisoare de până la 6 luni sau o amendă de până la 300.000 de yeni” (Articolul 84), iar compania care l-a angajat poate fi, de asemenea, supusă unei “amenzi de până la 300.000 de yeni” (Articolul 85). În plus, dacă informațiile au fost furnizate sau furate cu intenția de a obține un profit ilegal, se poate aplica o pedeapsă de “închisoare de până la un an sau o amendă de până la 500.000 de yeni”, fără nicio recomandare prealabilă (Articolul 83).

https://monolith.law/corporate/risk-of-company-personal-information-leak-compensation-for-damages[ja]

Concluzie

Legea japoneză privind protecția datelor personale este o lege care cere operatorilor care manipulează datele personale să le trateze în mod corespunzător și să ia măsuri necesare și adecvate pentru gestionarea securității. Este o lege importantă de care aproape toate companiile nu pot evita.