Modificarea Legii Japoneze pentru Protecția Informațiilor Personale din anul Reiwa 4 (2022) - 'Informații Procesate în Kana' și alte noi dispoziții pentru a promova utilizarea datelor

Legile privind prelucrarea datelor cu caracter personal sunt adesea modificate, adaptându-se la vremurile în care trăim. Operatorii de date cu caracter personal trebuie să fie la curent cu aceste modificări și să își organizeze corespunzător structura internă.

Întărirea drepturilor individuale, modificările legate de furnizarea către terți, inclusiv în străinătate, introducerea de noi concepte precum “informații pseudonimizate” sau “informații asociate cu persoanele”, sunt doar câteva dintre punctele care vor fi modificate în Legea privind protecția datelor cu caracter personal din 2022 (anul 4 Reiwa). Operatorii trebuie să înțeleagă corect ce modificări au fost făcute și care sunt măsurile pe care trebuie să le ia.

Prin urmare, vom explica punctele de verificare pentru practica operatorilor de date cu caracter personal în legătură cu “Legea privind protecția datelor cu caracter personal” (Legea japoneză privind protecția datelor cu caracter personal), care a fost modificată și implementată pe 1 aprilie 2022 (anul 4 Reiwa).

Ce este Legea privind protecția datelor personale

“Legea privind protecția datelor personale”, numită oficial “Legea privind protecția datelor personale”, are ca scop echilibrarea utilității informațiilor personale și protecția drepturilor și intereselor individuale. Este o lege care reglementează manipularea adecvată a informațiilor personale (reglementarea metodelor de achiziție, utilizare, stocare, gestionare, furnizare, divulgare, oprire și ștergere).

Sub jurisdicția “Comisiei pentru Protecția Datelor Personale”, sunt stabilite obligațiile care trebuie respectate de toate instituțiile administrative și operatorii privați care manipulează baze de date cu informații personale, precum și sancțiunile în caz de încălcare.

Istoricul modificărilor Legii privind protecția datelor personale

Legea privind protecția datelor personale a fost adoptată pe 23 mai 2003 (Heisei 15 / 2003) (Legea nr. 57 din 30 mai 2003), iar prevederile care nu implică capitolele 4-6, care includ sancțiuni și care sunt direct legate de companiile generale, au intrat în vigoare imediat. Legea a intrat în vigoare în totalitate pe 1 aprilie 2005 (Heisei 17 / 2005).

În cadrul modificărilor din 2015 (Heisei 27 / 2015), în contextul cerințelor de “protecție a datelor personale” și “utilizarea datelor personale” în răspuns la digitalizarea societății în ansamblu, și “armonizarea cu sistemele internaționale”, a fost inclusă și o prevedere care prevede revizuirea la fiecare trei ani.

Modificările care au intrat în vigoare în mai 2017 (Heisei 29 / 2017) au introdus noi concepte în cadrul datelor personale, cum ar fi “codul de identificare personală”, “informațiile personale care necesită atenție” și “informațiile procesate anonim”, precum și introducerea unui sistem de trasabilitate (asigurarea posibilității de urmărire), obligația de a încerca să ștergeți datele personale, limitarea furnizării către terțe părți în străinătate, și crearea Comisiei pentru Protecția Datelor Personale. S-a trecut de la supravegherea de către ministrul responsabil la un sistem de supraveghere unificat de către Comisia pentru Protecția Datelor Personale.

Și apoi, pe 1 aprilie 2022 (Reiwa 4 / 2022), a intrat în vigoare Legea modificată privind protecția datelor personale.

Aceasta a fost promulgată pe 12 iunie 2020 (Reiwa 2 / 2020) și reprezintă cea mai mare modificare a “sistemului de protecție a datelor personale”, cu scopul de a unifica și a consolida cele trei legi anterioare privind protecția datelor personale (Legea privind protecția datelor personale, Legea privind protecția datelor personale în instituțiile administrative și Legea privind protecția datelor personale în instituțiile administrative independente).

În plus față de unificarea definițiilor datelor personale între sectorul public și cel privat, în contextul necesității de a răspunde la era globală a inteligenței artificiale și a datelor mari și de a consolida protecția drepturilor și intereselor individuale, au fost incluse diverse modificări în noua lege modificată.

Printre punctele specifice de modificare se numără introducerea de “informații procesate pseudonim” și “informații asociate cu persoanele” în datele personale, precum și înăsprirea și penalizarea reglementărilor privind gestionarea datelor personale deținute, inclusiv în străinătate. În cazul unei scurgeri (scurgere, pierdere, deteriorare), a fost impusă obligația de a raporta Comisiei pentru Protecția Datelor Personale și de a notifica persoana în cauză.

Prin urmare, operatorii străini care gestionează informații personale referitoare la persoanele din Japonia vor fi, de asemenea, supuși colectării de rapoarte administrative și ordinelor, iar sancțiunile vor fi aplicate. Pentru sancțiuni, vă rugăm să consultați acest articol pentru o explicație detaliată.

Articolul corelat: Explicarea ‘penalităților’ din Legea privind protecția datelor personale modificată în 2022 (Reiwa 4 / 2022)[ja]

De asemenea, pe 1 aprilie 2023 (Reiwa 5 / 2023), cu scopul de a corecta inegalitatea și incoerența nivelului de protecție datorită diferențelor în prevederile și aplicarea ordonanțelor de protecție a datelor personale pentru fiecare entitate publică locală, regulile legale în domeniul medical și excepțiile în domeniul academic, va intra în vigoare în totalitate legea modificată care unifică reglementările, cu Comisia pentru Protecția Datelor Personale având jurisdicție unificată asupra sistemului.

Ce înseamnă “informații despre persoane” protejate de Legea privind protecția informațiilor personale

În “Legea privind protecția informațiilor personale” (Legea japoneză privind protecția datelor personale), informațiile despre persoane (datele personale) care sunt protejate sunt diferențiate în șase tipuri de termeni, iar obligațiile impuse operatorilor de date personale variază în funcție de acestea, deci este necesară atenție.

Conform “Cartei Albe a Comunicațiilor” a Ministerului Afacerilor Interne și Comunicațiilor, “datele personale” includ informații despre atributele personale, mișcări, comportament, istoricul de cumpărături și informațiile personale colectate de la dispozitivele purtabile.

Articolul corelat: Ce este Legea privind protecția informațiilor personale și informațiile personale? Explicat de un avocat[ja]

Șase puncte cheie ale Legii de Protecție a Datelor Personale revizuite în anul 2022 (Reiwa 4)

Legea de Protecție a Datelor Personale, care a fost revizuită și introdusă în anul 2020 (Reiwa 2), are ca scop crearea unui sistem care să permită beneficiile inovației tehnologice legate de informațiile personale și cele asociate cu persoanele să se răspândească în ambele direcții: creșterea economică și protecția drepturilor și intereselor individuale. Aceasta a fost revizuită din următoarele cinci perspective, luând în considerare schimbările sociale și economice:

1. Protecția drepturilor și intereselor individuale
2. Întărirea protecției și utilizării rezultatelor inovației tehnologice
3. Armonizarea și cooperarea la nivel internațional
4. Răspunsul la riscurile asociate cu creșterea fluxului de date transfrontaliere
5. Adaptarea la era datelor mari și a inteligenței artificiale

Sursa: Comisia de Protecție a Datelor Personale ‘Despre revizuirea Legii de Protecție a Datelor Personale în anul 2020 (Reiwa 2) | Pentru promovarea utilizării și manipularea adecvată a datelor personale'[ja]

Următoarele șase puncte sunt esențiale în revizuirea Legii de Protecție a Datelor Personale din anul 2022 (Reiwa 4):

1. Extinderea drepturilor individului de a solicita
2. Adăugarea de responsabilități pentru operatorii economici
3. Promovarea eforturilor autonome ale operatorilor economici
4. Promovarea utilizării datelor
5. Întărirea penalităților
6. Extinderea aplicabilității extrateritoriale, etc.

Pentru a se conforma cu ‘Legea de Protecție a Datelor Personale’ revizuită, care a intrat în vigoare la 1 aprilie 2022 (Reiwa 4), operatorii economici care manipulează date personale trebuie să revizuiască și să modifice sistemele de management al protecției datelor personale, politica de confidențialitate, regulamentele interne, conținutul contractelor (termeni și condiții, etc.). Consultați ‘Ghidul Legii de Protecție a Datelor Personale’ și materialele de instruire actualizate periodic de Comisia de Protecție a Datelor Personale (PPC) și revizuiți sistemul de gestionare a datelor personale al companiei dumneavoastră.

De asemenea, pentru detalii despre responsabilitățile operatorilor economici adăugate în această revizuire, vă rugăm să consultați articolul de mai jos.

Articolul corelat: Explicarea punctelor de atenție privind ‘responsabilitățile operatorilor economici’ în Legea de Protecție a Datelor Personale revizuită în anul 2022 (Reiwa 4)[ja]

Modul în care funcționează drepturile individuale privind datele personale

Aici vom explica despre drepturile legate de datele personale care au fost extinse prin această revizuire și despre ce fel de răspuns este necesar în practică.

 Relaxarea cerințelor pentru solicitările de încetare a utilizării, ștergere și oprire a furnizării către terți

Înainte de modificare, solicitările de încetare a utilizării informațiilor personale, ștergere și oprire a furnizării către terți erau posibile doar în cazul utilizării în afara scopului sau obținerii nelegitime. Cu toate acestea, sub legea modificată, aceste solicitări sunt posibile și atunci când există riscul de a prejudicia drepturile sau interesele legitime ale unei persoane. De asemenea, aceste solicitări au devenit posibile și atunci când nu mai este necesară utilizarea informațiilor personale.

Prin urmare, după modificare, se așteaptă o creștere a numărului acestor solicitări către operatorii de afaceri care gestionează informații personale. Pentru operatorii de afaceri, va fi necesar să asigure resursele pentru a răspunde la aceste solicitări și să reorganizeze manualele și alte documente.

De asemenea, va fi necesar un sistem care să poată verifica scopul utilizării pentru fiecare set de date personale deținute, pentru a determina dacă “nu mai este necesară utilizarea” sau nu.

 Extinderea cererilor de dezvăluire de la persoana în cauză

Domeniul “cererilor de dezvăluire a datelor personale deținute” de la persoana în cauză a fost extins, iar acum este posibil să se solicite dezvăluirea și a înregistrărilor privind furnizarea către terți a datelor personale de către operatorii de date cu caracter personal.

De asemenea, până acum, cererile de dezvăluire erau posibile doar prin livrare în format scris, dar acum este posibilă alegerea dezvăluirii prin metoda specificată de persoana în cauză (dezvăluire prin furnizarea de înregistrări electromagnetice). Se așteaptă o creștere a numărului de cereri de dezvăluire online către operatorii de date cu caracter personal. Din partea operatorilor, sunt necesare eforturi tehnice și organizaționale pentru a realiza acest mod de furnizare a înregistrărilor electromagnetice.

Operatorii de date cu caracter personal trebuie să dezvăluie în modul solicitat de persoana în cauză, cu excepția cazului în care dezvăluirea prin metoda specificată este dificilă, atunci când persoana în cauză solicită dezvăluirea specificând metoda de furnizare a datelor personale deținute.

Operatorii de date cu caracter personal pot stabili formatul fișierelor de înregistrări electromagnetice (format PDF, format Word, etc.) și metoda de furnizare a înregistrărilor electromagnetice (salvarea înregistrărilor electromagnetice pe un mediu de înregistrare și trimiterea prin poștă, atașarea înregistrărilor electromagnetice la un e-mail și trimiterea acestuia, permiterea descărcării înregistrărilor electromagnetice de pe un site web, etc.). Dacă metoda de dezvăluire specificată de persoana în cauză este dificilă, este suficient să se dezvăluie prin metoda care poate fi gestionată. Cu toate acestea, din punctul de vedere al îmbunătățirii convenienței persoanei în cauză, se consideră că este de dorit să se răspundă cât mai mult posibil în conformitate cu cerințele persoanei în cauză.

Sursa: Comisia pentru Protecția Datelor cu Caracter Personal ‘Întrebări și răspunsuri privind liniile directoare pentru Legea privind protecția datelor cu caracter personal | A9-10′[ja]

Extinderea domeniului datelor personale deținute care sunt supuse divulgării etc.

Înainte de modificare, se considera că datele personale cu stocare pe termen scurt, care urmau să fie șterse în termen de 6 luni, nu erau incluse în “datele personale deținute” (Japanese ~ “保有個人データ”). Cu toate acestea, în conformitate cu legea modificată, acestea au devenit subiectul “datelor personale deținute”, indiferent de perioada de stocare.

Prin urmare, operatorii de afaceri care gestionează informații personale, care au organizat datele care nu sunt supuse solicitării pe baza stocării pe termen scurt înainte de modificare, vor avea nevoie de o revizuire a gestionării lor.

Întărirea reglementării opt-out: adăugarea de notificări, publicări și elemente de raportare

Următoarele elemente au fost adăugate la lista de aspecte care trebuie notificate și publicate către persoana în cauză și raportate către Comisia Japoneză pentru Protecția Datelor Personale.

• Numele și alte detalii ale operatorilor de date personale care furnizează informații terților
• Metoda de obținere a datelor personale care vor fi furnizate terților

Dacă se utilizează metoda “opt-out”, nu era o problemă dacă se anunța în prealabil persoana în cauză că “informațiile personale vor fi furnizate terților” și dacă se publica în prealabil că “furnizarea către terți va fi oprită” dacă există o solicitare din partea persoanei în cauză.

Ca urmare a modificării legii, în cazul în care se intenționează să se furnizeze date personale terților prin metoda “opt-out”, este necesar să se raporteze în prealabil Comisiei Japoneze pentru Protecția Datelor Personale. De asemenea, dacă se oprește furnizarea opt-out, este obligatoriu să se raporteze această schimbare.

Prin urmare, operatorii care furnizează date terților prin metoda “opt-out” vor trebui să facă modificări în politica lor de confidențialitate, care include notificări și publicări pentru acest scop.

Întărirea reglementărilor de opt-out: interzicerea dublului opt-out

Datele personale care nu sunt vizate de “metoda opt-out” includ, pe lângă “informațiile personale care necesită considerație”, și “datele personale obținute în mod fraudulos”, care sunt, de asemenea, în domeniul de aplicare al reglementării. De asemenea, a fost introdusă o nouă prevedere care interzice dublul opt-out, adică datele personale obținute prin “metoda opt-out” nu pot fi furnizate din nou prin “metoda opt-out”.

Prin urmare, operatorii de prelucrare a datelor personale trebuie să verifice prin ce mijloace sunt obținute sau procurate datele personale pentru care se face furnizarea către terți prin “metoda opt-out” și să ia măsuri pentru a se conforma legii modificate.

Extinderea utilizării datelor datorită modificării Legii Japoneze pentru Protecția Informațiilor Personale

Crearea de informații procesate pseudonim

De exemplu, se poate lua în considerare cazul în care informațiile personale sunt procesate în “informații procesate anonim” sau “informații procesate pseudonim” pentru utilizări statistice, etc.

Conform celor menționate anterior, “informațiile procesate anonim” sunt date personale procesate astfel încât să nu poată fi identificată o anumită persoană prin compararea cu alte informații, iar pentru informațiile procesate anonim existau următoarele reguli:

• Consimțământul persoanei nu este necesar pentru furnizarea către terți
• Interzicerea actelor de identificare
• Atunci când se creează informații procesate anonim, se publică elementele datelor personale incluse în informațiile procesate anonim

Pe de altă parte, “informațiile procesate pseudonim”, care au fost nou create prin această revizuire, sunt date personale procesate care pot fi identificate prin compararea cu alte informații. Pentru informațiile procesate pseudonim, au fost stabilite următoarele reguli:

• Nu există restricții privind schimbarea scopului utilizării, dar scopul utilizării după schimbare trebuie publicat
• Interzicerea actelor de identificare și a contactării persoanei
• Nu există obligația de a răspunde la solicitările de divulgare, oprirea utilizării, etc. din partea persoanei
• Nu există obligația de a raporta sau notifica în caz de scurgere
• Interzicerea furnizării către terți

Însă, în cazul în care destinatarul este un contractant, o succesiune de afaceri, o utilizare comună (companii de grup, cercetare comună, etc.), este posibilă furnizarea de “informații procesate pseudonim”.

Pentru operatorii de afaceri care manipulează informații personale, atunci când se efectuează procesări, etc. folosind “informații procesate pseudonim”, este necesară revizuirea politicii de confidențialitate în ceea ce privește specificarea și publicarea scopului utilizării și relația cu furnizarea către terți.

Reglementarea informațiilor personale care devin date personale la destinatar

La sursă, acestea sunt “informații legate de persoane”, dar dacă se “presupune” că vor fi obținute ca “date personale” la destinatar, acesta din urmă trebuie să confirme cu sursa dacă a obținut consimțământul persoanei în cauză.

Furnizorii de așa-numitele DMP (Data Management Platform) sau servicii similare sunt supuși unei reglementări similare cu cea a furnizării de “date personale” către terți.

Exemplu: În cazul în care un postac anonim este dat în judecată pentru defăimare, administratorul site-ului care deține adresa IP furnizează informații furnizorului de servicii de internet (companii NTT, companii de telefonie mobilă, etc.) prin cererea de dezvăluire a informațiilor despre expeditor.

Reglementări privind consolidarea reglementărilor transfrontaliere și aplicarea extrateritorială

Înainte de modificare, când se furnizează date personale unei terțe părți din străinătate, era necesar ca persoana să fie de acord, destinatarul să fie un operator care a stabilit un sistem conform standardelor și să fie într-o țară cu un nivel similar cu Japonia, cum ar fi UE sau Marea Britanie.

În legea modificată, au fost adăugate cerințe pentru primele două. În special, atunci când se obține consimțământul persoanei, a fost obligatorie divulgarea următoarelor informații:

• Numele țării în care se află destinatarul
• Sistemul de protecție a datelor personale în țara respectivă
• Măsurile luate de destinatar pentru protecția datelor personale
• Alte informații care ar trebui să fie de referință pentru persoana respectivă

În ceea ce privește confirmarea că operatorul a stabilit un sistem conform standardelor, sursa transferului de date a fost obligată să ia “măsurile necesare pentru protecția datelor personale” și să furnizeze aceste informații la cererea persoanei.

Măsurile necesare pe care le ia sursa transferului includ în mod specific “sistemul de gestionare a situației adecvate de manipulare în locul de transfer” și “răspunsul în cazul în care există un risc de manipulare adecvată în locul de transfer”.

Există sisteme de protecție a datelor personale unice în multe țări, inclusiv țările membre ale sistemului GDPR (Regulamentul General privind Protecția Datelor) al UE, Marea Britanie și APEC, deci este necesar să le înțelegeți și să le abordați în avans, în funcție de situația afacerii.

În ceea ce privește “sistemul de protecție a datelor personale”, dacă nu există obligații sau drepturi ale operatorului care se conformează “celor 8 principii ale liniilor directoare privind intimitatea OECD (Organizația pentru Cooperare și Dezvoltare Economică)”, trebuie să furnizați aceste informații persoanei. Acesta este un indicator al diferențelor esențiale față de “Legea japoneză privind protecția datelor personale”.

Se crede că există sisteme de protecție a datelor personale mai stricte decât în Japonia în străinătate, deci este important să le înțelegeți și să le investigați. Pentru mai multe detalii, consultați informațiile privind relațiile internaționale furnizate de Comisia pentru Protecția Datelor Personale.

În legea modificată, Comisia pentru Protecția Datelor Personale poate acum să colecteze rapoarte, să dea ordine și să efectueze inspecții asigurate prin sancțiuni chiar și asupra operatorilor străini, asigurând egalitatea de condiții cu operatorii interni.

Pentru a exercita eficient autoritatea asupra operatorilor interni și externi și pentru a asigura procedurile adecvate, sunt specificate procedurile de livrare (livrare consulară, livrare publică, etc.). Din cauza relației cu suveranitatea străină, nu se poate exercita puterea publică în teritoriul altor țări fără consimțământul acestora, deci politica este de a coopera cu autoritățile străine în funcție de necesitate (nu se solicită obligația de a numi un agent, cum ar fi GDPR).

Concluzie: Pentru măsuri privind modificarea Legii privind protecția datelor personale, consultați un avocat

Am explicat punctele cheie ale modificării Legii privind protecția datelor personale din anul Reiwa 4 (2022) și măsurile necesare în practică pentru operatorii economici. Pe lângă punctele de modificare menționate aici, există multe alte aspecte pe care operatorii care gestionează datele personale trebuie să le abordeze.

Reglementările legale privind utilizarea datelor personale progresează la nivel mondial. În special, operatorii care oferă servicii pe internet trebuie să ia măsuri în conformitate cu aceste reglementări, având în vedere că site-ul lor web poate fi accesat din întreaga lume.

Operatorii economici trebuie să revizuiască sistemul lor de gestionare a datelor personale, având în vedere nu numai punctele de modificare ale Legii japoneze privind protecția datelor personale, dar și tendințele globale. Dacă aveți probleme cu măsurile privind modificarea Legii privind protecția datelor personale, vă recomandăm să consultați un avocat.

Orientări privind măsurile luate de biroul nostru

Biroul nostru de avocatură Monolith este specializat în IT, în special în aspectele legale ale internetului. În ultimul timp, scurgerile de informații personale au devenit o problemă majoră. În cazul în care informațiile personale sunt scurse, acest lucru poate avea un impact fatal asupra activităților companiei. Compania noastră are cunoștințe specializate în prevenirea și gestionarea scurgerilor de informații. Detalii sunt furnizate în articolul de mai jos.

Domeniile de practică ale Biroului de Avocatură Monolith: Afaceri legale legate de Legea Japoneză privind Protecția Informațiilor Personale[ja]