Explicarea punctelor de atenție privind 'Obligațiile operatorilor' în conformitate cu Legea de protecție a informațiilor personale, modificată în anul Reiwa 4 (2022)

Începând cu aprilie 2022 (anul 2022 în calendarul gregorian), a intrat în vigoare Legea japoneză revizuită privind protecția datelor personale. Legea japoneză privind protecția datelor personale are ca scop asigurarea unei manipulări adecvate a informațiilor personale, protejând în același timp drepturile și interesele individuale, luând în considerare utilitatea informațiilor personale. Dar ce anume se schimbă cu punerea în aplicare a Legii revizuite privind protecția datelor personale? În acest articol, vom explica modul în care drepturile individuale și obligațiile operatorilor de date se modifică.

Modificarea și contextul Legii Japoneze de Protecție a Datelor Personale

Legea Japoneză de Protecție a Datelor Personale, care a fost adoptată în 2003 și a intrat în vigoare în 2005, a fost modificată în 2015, la zece ani după implementare, pe motiv că “datorită dezvoltării tehnologiei informației și comunicațiilor, utilizarea datelor personale într-un mod care nu a fost anticipat la momentul adoptării legii a devenit posibilă”. Modificarea a intrat în vigoare în 2017.

Această modificare din 2017 include o “dispoziție de revizuire la fiecare trei ani”, care stipulează că “ținând cont de tendințele internaționale, progresul tehnologiei informației, situația de creare și dezvoltare a noilor industrii, se va face o revizuire conform realității la fiecare trei ani după implementare”.

Dispozițiile relevante din anexa la Legea de modificare a Legii Japoneze de Protecție a Datelor Personale din 2017 (extras)

Articolul 12 (Examinare)

(omis)

2 Guvernul, cu scopul de a implementa eficient această lege la trei ani după intrarea în vigoare, va lua în considerare situația privind stabilirea unui sistem de personal necesar pentru elaborarea și promovarea politicii de bază privind protecția datelor personale și alte probleme sub jurisdicția Comisiei pentru Protecția Datelor Personale, asigurarea resurselor financiare și alte măsuri, va examina îmbunătățirile și, atunci când consideră necesar, va lua măsurile necesare pe baza rezultatelor.

3 În plus față de problemele specificate în paragraful anterior, Guvernul, cu scopul de a implementa această lege la trei ani după intrarea în vigoare, va lua în considerare tendințele internaționale privind protecția datelor personale, progresul tehnologiei informației și comunicațiilor, situația de creare și dezvoltare a noilor industrii care utilizează datele personale și alte aspecte, va examina situația implementării noii Legi Japoneze de Protecție a Datelor Personale și, atunci când consideră necesar, va lua măsurile necesare pe baza rezultatelor.

4, 5 (omis)

6 Guvernul, luând în considerare situația implementării noii Legi Japoneze de Protecție a Datelor Personale, situația implementării măsurilor specificate în paragraful 1 și alte aspecte, va examina modul în care ar trebui să fie legislația privind protecția datelor personale, inclusiv consolidarea dispozițiilor privind protecția datelor personale și a datelor personale deținute de organizațiile administrative, conform articolului 2, paragraful 1 al noii Legi Japoneze de Protecție a Datelor Personale.

Modificarea Legii Japoneze de Protecție a Datelor Personale din anul Reiwa 4 (2022) este prima modificare a legii bazată pe această “dispoziție de revizuire la fiecare trei ani”.

Articolul corelat: Ce este Legea Japoneză de Protecție a Datelor Personale și datele personale? Explicații oferite de avocați[ja]

Rezumatul modificării Legii privind protecția datelor personale din anul Reiwa 4 (2022)

Modificarea Legii privind protecția datelor personale din 2022 se referă la următoarele șase puncte:

1. Natura drepturilor individuale
2. Natura obligațiilor pe care trebuie să le respecte operatorii
3. Modul în care operatorii sunt încurajați să se angajeze în mod voluntar
4. Modul de utilizare a datelor
5. Natura penalităților
6. Aplicarea legii în afara teritoriului și transferul transfrontalier

Acest articol explică punctele 1 și 2 ale modificării.

Articolul corelat: Explicarea ‘penalităților’ în Legea privind protecția datelor personale modificată în anul Reiwa 4 (2022)[ja]

Modul în care sunt privite drepturile individuale

Modul în care sunt privite drepturile individuale a fost modificat în următoarele 5 puncte.

Extinderea dreptului individual de a solicita oprirea utilizării și ștergerea (Articolul 30)

În legea actuală, dreptul individual de a solicita oprirea utilizării și ștergerea era limitat la cazurile de încălcare a legii, cum ar fi “când informațiile personale sunt utilizate în scopuri străine” sau “când sunt obținute prin mijloace ilegale”. Cu toate acestea, în legea modificată, “când nu mai este necesar ca operatorul de date personale să utilizeze datele personale deținute”, “când există o scurgere de informații” și “când există un risc de prejudiciu pentru drepturile sau interesele legitime ale persoanei”, se poate solicita oprirea utilizării, ștergerea și oprirea furnizării către terți.

Metoda de dezvăluire a datelor personale deținute (Articolul 28)

Dacă sunteți persoana în cauză, puteți solicita operatorului de date personale să dezvăluie datele personale deținute. În urma unei astfel de solicitări, operatorul de date personale trebuie, în principiu, să dezvăluie datele personale deținute. În legea actuală, dezvăluirea datelor personale deținute se face în principiu prin scris. Cu toate acestea, în cazul în care volumul de informații este mare, există situații în care furnizarea prin scris nu este adecvată, și mai mult, există date personale deținute, cum ar fi datele video și audio, care nu sunt potrivite pentru furnizare prin scris. Prin urmare, în legea modificată, persoana în cauză poate solicita “dezvăluirea prin metoda specificată de persoană”, cum ar fi furnizarea de înregistrări electromagnetice. Operatorul de date personale are obligația de a dezvălui în metoda solicitată de persoană.

Companiile care manipulează informații personale sunt solicitate să stabilească cât mai curând posibil un sistem pentru a răspunde la solicitările de dezvăluire prin date digitale.

Solicitarea de dezvăluire a înregistrărilor de furnizare către terți de către persoana în cauză (Articolul 28, alineatul 5)

Operatorii de date personale trebuie să creeze înregistrări specificate prin lege atunci când furnizează date personale către terți, iar cei care primesc furnizarea către terți trebuie, de asemenea, să creeze înregistrări specificate prin lege. Aceste înregistrări privind furnizarea de date personale către terți și înregistrările de verificare la primirea furnizării de date personale către terți sunt denumite colectiv “înregistrări de furnizare către terți”.

În legea actuală, persoana în cauză nu putea solicita dezvăluirea înregistrărilor de furnizare către terți create de operator, dar în legea modificată, persoana în cauză poate solicita dezvăluirea înregistrărilor de furnizare către terți, luând în considerare posibilitatea de urmărire de către persoana în cauză.

Includerea datelor cu stocare pe termen scurt în datele personale deținute (Articolul 2, alineatul 7)

În legea actuală, datele personale deținute sunt definite ca “date personale asupra cărora operatorul de date personale are autoritatea de a efectua dezvăluirea, corectarea conținutului, adăugarea sau ștergerea, oprirea utilizării, ștergerea și oprirea furnizării către terți”, “ceea ce este stabilit prin ordonanță ca fiind ceva care ar prejudicia interesul public sau alte interese prin faptul că existența sa devine evidentă” sau “ceea ce este stabilit prin ordonanță ca fiind ceva care va fi șters în decurs de un an”, cu excepția “perioadei stabilite prin ordonanță în decurs de un an”, care a fost stabilită la 6 luni.

În legea modificată, chiar dacă este ceva care va fi șters într-o perioadă scurtă de timp, există posibilitatea ca o scurgere să apară în timpul până la ștergere, astfel încât datele cu stocare pe termen scurt care vor fi șterse în decurs de 6 luni sunt, de asemenea, incluse în “datele personale deținute”.

Limitarea domeniului de aplicare al reglementării opt-out (Articolul 23, alineatul 2)

Reglementarea opt-out este un “sistem care permite furnizarea de date personale către terți fără consimțământul persoanei, presupunând că se va opri dacă persoana o solicită, după ce a publicat elementele de date personale care vor fi furnizate”, dar în legea actuală, doar informațiile personale sensibile erau excluse.

În legea modificată, domeniul de aplicare al datelor personale care pot fi furnizate către terți a fost limitat, și “datele personale obținute ilegal” și “datele personale furnizate prin reglementarea opt-out” au fost, de asemenea, excluse.

Modul în care operatorii economici trebuie să-și îndeplinească obligațiile

Modul în care operatorii economici trebuie să-și îndeplinească obligațiile a fost modificat în două aspecte principale.

Obligația de a raporta scurgerile de informații (Articolul 22, alineatul 2)

În legislația actuală, raportarea scurgerilor de informații nu este o obligație legală, astfel că există operatori economici care nu iau măsuri active în acest sens. Dacă operatorul economic nu face publică o astfel de situație, Comisia pentru Protecția Datelor Personale (Comisia Japoneză pentru Protecția Datelor Personale) poate rămâne fără cunoștință de caz și nu poate răspunde în mod adecvat. Legea modificată impune raportarea la Comisia pentru Protecția Datelor Personale și notificarea persoanei în cauză în cazul în care există un risc mare de prejudiciu pentru drepturile și interesele individuale ca urmare a unei scurgeri de informații.

Cazurile vizate de obligația de a raporta scurgerile de informații includ “scurgerile de informații personale sensibile”, “scurgerile cauzate de acces neautorizat” și “scurgerile care pot cauza daune materiale”, indiferent de numărul de cazuri, precum și “scurgerile pe scară largă” care implică peste 1000 de cazuri.

Interzicerea utilizării informațiilor personale în moduri inadecvate (Articolul 16, alineatul 2)

În contextul îmbunătățirii rapide a tehnologiilor de analiză a datelor, există îngrijorări crescânde cu privire la utilizarea informațiilor personale în moduri care ar putea încălca potențial drepturile și interesele individuale. În lumina acestui fapt, legea modificată clarifică faptul că informațiile personale nu trebuie utilizate în moduri inadecvate, cum ar fi promovarea unor acțiuni ilegale sau necinstite.

“Metodele inadecvate care promovează acțiuni ilegale sau necinstite” includ “furnizarea de informații personale către terțe părți care se angajează în activități ilegale” și “compilarea și publicarea pe internet a informațiilor personale care sunt publicate în mod dispersat prin anunțuri judiciare etc., în ciuda faptului că este previzibil că acest lucru ar putea provoca discriminare”. Acestea sunt cazuri destul de grave care sunt luate în considerare.

Rezumat

În acest articol, am explicat punctele de revizuire 1 și 2. Punctele de revizuire 3, 4, 5 și 6 vor fi explicate într-un alt articol.

Articolul corelat: Explicații despre ‘Penalități’ în Legea de Protecție a Informațiilor Personale revizuită în anul Reiwa 4 (2022)[ja]

Orientări privind măsurile luate de biroul nostru

Biroul nostru de avocatură Monolis este specializat în IT, în special în aspectele legale ale internetului. Legea recent modificată privind protecția datelor personale atrage atenția, iar necesitatea verificărilor legale este în creștere. Biroul nostru oferă soluții legate de proprietatea intelectuală. Detalii sunt prezentate în articolul de mai jos.

https://monolith.law/practices/corporate[ja]