Explicații despre 'Penalități' în Legea de Protecție a Informațiilor Personale, revizuită în anul Reiwa 4 (2022)

Începând cu aprilie 2022 (anul 2022 în calendarul gregorian), a intrat în vigoare Legea japoneză revizuită privind protecția datelor personale. După ce am explicat punctele de atenție cu privire la “responsabilitățile operatorilor” în Legea japoneză revizuită privind protecția datelor personale din 2022, de data aceasta vom explica modul în care se utilizează datele și penalitățile.

Rezumatul modificării Legii privind protecția datelor personale din anul 2022 (anul 4 Reiwa)

Modificarea Legii privind protecția datelor personale din anul 2022 se referă la următoarele șase puncte:

1. Natura drepturilor individuale
2. Natura obligațiilor pe care operatorii de date trebuie să le respecte
3. Natura mecanismelor care încurajează eforturile autonome ale operatorilor de date
4. Modul în care se utilizează datele
5. Natura sancțiunilor
6. Aplicarea extrateritorială a legii și transferul transfrontalier de date

În articolul „Explicații despre punctele de atenție privind ‘Obligațiile operatorilor de date’ în Legea privind protecția datelor personale modificată în 2022[ja]”, am explicat punctele (1) și (2) ale modificării. În acest articol, vom explica punctele (3), (4), (5) și (6).

Articolul corelat: Ce este Legea privind protecția datelor personale și datele personale? Explicații oferite de un avocat[ja]

Modul în care funcționează mecanismele care încurajează inițiativele autonome ale întreprinderilor

În ceea ce privește modul în care funcționează mecanismele care încurajează inițiativele autonome ale întreprinderilor, importanța stabilirii de reguli autonome de către organizațiile private în anumite domenii legate de gestionarea datelor personale și a oferirii de îndrumări active către întreprinderile vizate este în creștere, odată cu diversificarea realităților de afaceri și progresul tehnologiei IT.

În Legea Japoneză a Protecției Datelor Personale, pe lângă Comisia pentru Protecția Datelor Personale, se urmărește protejarea informațiilor prin utilizarea organizațiilor private, iar un sistem de organizații acreditate a fost stabilit. Organizațiile care se ocupă cu gestionarea plângerilor legate de gestionarea datelor personale și furnizarea de informații despre gestionarea adecvată a datelor personale către întreprinderi pot deveni “Organizații Acreditate pentru Protecția Datelor Personale” după ce au primit acreditarea de la Comisia pentru Protecția Datelor Personale. Cu toate acestea, legea modificată permite acum acreditarea organizațiilor care se concentrează pe anumite domenii (departamente) ale companiilor ca organizații acreditate (Articolul 47, alineatul 2). Aceasta este o inițiativă pentru a promova utilizarea mai largă a organizațiilor acreditate și pentru a avansa protecția datelor personale prin organizații care se concentrează pe anumite afaceri, profitând de expertiza lor specifică.

Modul de utilizare a datelor

Modul de utilizare a datelor a fost modificat în două aspecte principale.

Crearea ‘Informațiilor cu pseudonim’ și relaxarea obligațiilor (Articolul 2, paragraful 9)

În legislația actuală, informațiile care au fost pur și simplu pseudonimizate rămân ‘informații personale’, iar operatorii de date sunt obligați să respecte diverse obligații legate de manipularea informațiilor personale. Cu toate acestea, există o cerere crescândă de utilizare a acestor ‘informații personale pseudonimizate’, care permit analize mai detaliate prin metode de procesare relativ simple, păstrând în același timp utilitatea datelor la un nivel similar cu informațiile personale prelucrate, atâta timp cât se asigură un anumit nivel de securitate.

În lumina acestui fapt, legea modificată introduce ‘informații cu pseudonim’, care sunt create prin eliminarea numelui și a altor date, și relaxează obligațiile, cum ar fi răspunsul la cererile de divulgare și oprirea utilizării, cu condiția ca acestea să fie limitate la analize interne.

Informațiile cu pseudonim create sunt ‘informații despre o persoană obținute prin prelucrarea informațiilor personale într-un mod care nu permite identificarea unei persoane specifice decât prin compararea cu alte informații’. De exemplu, ‘nume, vârstă, dată, oră, sumă, magazin’ sunt prelucrate în ‘ID pseudonim, vârstă, dată, oră, sumă, magazin’. Exemplele anticipate de utilizare includ ‘analiza internă pentru scopuri care nu sunt inițial prevăzute sau pentru care este dificil de determinat dacă se aplică’ (cum ar fi cercetarea în domeniul medical și farmaceutic, detectarea fraudelor, previziunile de vânzări și învățarea modelelor de învățare automată) și ‘prelucrarea informațiilor personale care au atins scopul utilizării în informații cu pseudonim și păstrarea acestora pentru analiza statistică viitoare’.

În ceea ce privește metoda de creare a informațiilor cu pseudonim, se solicită ca măsurile minime să includă:

• Eliminarea tuturor sau a unei părți a descrierilor care pot identifica o persoană specifică (de exemplu, numele) (inclusiv înlocuirea)
• Eliminarea tuturor codurilor de identificare personală
• Eliminarea descrierilor care, dacă sunt utilizate în mod necorespunzător, pot cauza daune materiale (de exemplu, numărul de card de credit)

Se solicită ca aceste măsuri să fie luate.

Obligația de a verifica informațiile care se presupune că vor deveni date personale la destinatar (Articolul 26, al doilea)

În legislația actuală, chiar dacă se presupune că informațiile care nu sunt date personale la sursă vor deveni date personale la destinatar, acestea nu sunt supuse reglementării. Cu toate acestea, legea modificată impune verificarea dacă consimțământul persoanei a fost obținut pentru furnizarea către terți a informațiilor care nu sunt date personale la sursă, dar se presupune că vor deveni date personale la destinatar.

Având în vedere dezvoltarea și răspândirea tehnologiilor care colectează în masă datele utilizatorilor și le combină instantaneu în date personale, există o tendință de a furniza informații ca non-personale către terți, știind în prealabil că acestea vor deveni date personale la destinatar, eludând astfel scopul Legii privind protecția datelor personale. Acest lucru se datorează îngrijorării că metodele de colectare a datelor personale fără implicarea persoanei se vor răspândi.

Despre penalități

Modul în care sunt aplicate penalitățile a fost modificat în două aspecte principale.

Mărirea pedepselor legale pentru încălcarea ordinelor Comisiei și raportarea falsă către Comisie (Articolul 83, Articolul 87, etc.)

În contextul creșterii numărului de cazuri de încălcări ale legii, numărul de cazuri în care se efectuează colectarea de rapoarte și inspecții pe teren este în creștere. Pentru a îmbunătăți eficacitatea acestor colectări de rapoarte și inspecții pe teren, care sunt punctul de plecare pentru înțelegerea realității afacerilor, legea modificată a mărit pedepsele legale.

Pentru “încălcarea ordinelor Comisiei Japoneze pentru Protecția Datelor Personale” de către infractor, pedeapsa actuală este de până la 6 luni de închisoare sau o amendă de până la 300.000 de yeni, dar legea modificată prevede până la un an de închisoare sau o amendă de până la 1 milion de yeni. “Furnizarea ilegală a bazelor de date cu informații personale, etc.” rămâne la până la un an de închisoare sau o amendă de până la 500.000 de yeni, dar “raportarea falsă către Comisia Japoneză pentru Protecția Datelor Personale” a crescut de la o amendă de până la 300.000 de yeni la o amendă de până la 500.000 de yeni în legea modificată.

Mărirea amenzilor pentru persoanele juridice (Articolul 84, Articolul 85, etc.)

În legea actuală, amenda pentru persoanele juridice era aceeași cu pedeapsa legală pentru infractor, dar ținând cont de diferența de resurse între persoanele juridice și persoanele fizice, legea modificată a mărit suma maximă a amenzii pentru persoanele juridice (sancțiuni mai severe pentru persoanele juridice). Este o decizie bazată pe faptul că nu se poate aștepta la un efect de descurajare suficient dacă se impune o amendă de aceeași valoare ca și infractorul pentru persoanele juridice.

Pentru “încălcarea ordinelor Comisiei Japoneze pentru Protecția Datelor Personale” de către o persoană juridică, amenda actuală era aceeași cu cea a infractorului, până la 300.000 de yeni, dar legea modificată prevede o amendă de până la 100 de milioane de yeni. “Furnizarea ilegală a bazelor de date cu informații personale, etc.” era de până la 500.000 de yeni, aceeași cu cea a infractorului, dar legea modificată prevede o amendă de până la 100 de milioane de yeni. Cu toate acestea, “raportarea falsă către Comisia Japoneză pentru Protecția Datelor Personale” rămâne la o amendă de până la 500.000 de yeni, aceeași cu cea a infractorului, chiar și în legea modificată.

Aplicarea extrateritorială a legii și modul de transfer transfrontalier

În ceea ce privește aplicarea extrateritorială a legii și modul de transfer transfrontalier, au fost modificate următoarele două puncte.

Întărirea aplicării extrateritoriale (Articolul 75)

În legislația actuală, autoritatea care poate fi exercitată asupra operatorilor străini care sunt subiectul aplicării extrateritoriale se limitează la autorități care nu implică forța coercitivă, cum ar fi îndrumare și sfaturi, precum și recomandări. Cu toate acestea, există riscul ca Comisia să nu poată face față în mod corespunzător incidentelor de scurgere de informații în străinătate, astfel că, în legea modificată, operatorii străini care gestionează informații personale și alte informații legate de furnizarea de bunuri sau servicii medicale de către persoanele din Japonia vor fi supuși colectării de rapoarte și ordinelor garantate prin sancțiuni, consolidând astfel exercitarea autorității de către Comisia pentru Protecția Informațiilor Personale.

Îmbunătățirea furnizării de informații către persoana în cauză cu privire la gestionarea informațiilor personale de către operatorul la care se face transferul (Articolul 78)

În unele țări, există reglementări de gestionare la nivel de stat, iar oportunitățile de transfer transfrontalier al informațiilor personale se extind. Diferențele de sistem între țări și regiuni fac predictibilitatea instabilă pentru persoane și operatorii care gestionează datele, generând preocupări din punctul de vedere al protecției drepturilor și intereselor persoanelor.

În acest context, se solicită îmbunătățirea furnizării de informații către persoana în cauză cu privire la gestionarea informațiilor personale de către operatorul la care se face transferul atunci când se furnizează date personale unei terțe părți din străinătate. Ca cerință pentru a putea furniza date personale unei terțe părți din străinătate, în legislația actuală, cerința era “consimțământul persoanei”, dar în legea modificată, se impune “furnizarea de informații persoanei în momentul obținerii consimțământului, cu privire la numele țării de destinație, existența sau inexistența unui sistem de protecție a informațiilor personale în țara de destinație, etc.”. De asemenea, cerința de a fi “un operator care a stabilit un sistem conform standardelor” a fost modificată pentru a impune “verificarea periodică a situației de gestionare a operatorului de destinație + furnizarea de informații relevante la cererea persoanei”.

Rezumat

Prima modificare a Legii privind protecția datelor personale din 2022, bazată pe prevederea ‘revizuirea la fiecare trei ani’, a inclus extinderea oprirea utilizării și ștergerea, interzicerea utilizării necorespunzătoare, îmbunătățirea furnizării de informații legate de transferul transfrontalier, crearea ‘informațiilor procesate anonim’ etc. Aceasta a permis protejarea și consolidarea drepturilor și intereselor individuale, răspunsul la riscurile noi asociate cu creșterea circulației datelor transfrontaliere, și adaptarea la era AI și Big Data.

Prezentarea măsurilor noastre de către firma noastră

Cabinetul nostru de avocatură Monolis este specializat în IT, în special în aspectele legale ale internetului. Legea recent modificată privind protecția datelor personale atrage atenția, iar necesitatea verificărilor legale este în creștere. Firma noastră oferă soluții legate de proprietatea intelectuală. Detalii sunt prezentate în articolul de mai jos.

https://monolith.law/practices/corporate[ja]