Ce se întâmplă dacă are loc o scurgere de informații personale? Explicăm măsurile administrative pe care companiile ar trebui să le adopte

Odată cu dezvoltarea internetului și posibilitatea de a schimba informații online, numărul de cazuri în care informațiile importante ale companiilor sunt scurgute în mod neașteptat a început să crească.

În ultimii ani, valoarea informațiilor a crescut, iar o dată cu apariția unei scurgeri de informații, poate deveni o problemă majoră care să afecteze credibilitatea. Ca companie, este necesar să se ia măsuri adecvate cât mai repede posibil în cazul unei scurgeri de informații.

Aici, vom explica în detaliu despre măsurile pe care o companie ar trebui să le ia în cazul unei scurgeri de informații, concentrându-ne în special pe răspunsul administrativ.

Și scurgerile de informații care necesită intervenția administrației

Chiar și în cazul scurgerilor de informații, conținutul și importanța informațiilor variază. Intervenția administrației devine necesară atunci când are loc o scurgere de informații personale.

Definiția informațiilor personale este stabilită în articolul 2, alineatul 1, al Legii japoneze privind protecția informațiilor personale (denumită în continuare “Legea privind protecția informațiilor personale”).

(Definiție)
Articolul 2. În această lege, “informații personale” se referă la informații despre o persoană care trăiește, care se încadrează în oricare dintre următoarele:
1. Informații care includ numele, data nașterii și alte descrieri (documente, desene sau înregistrări electromagnetice (înregistrări create prin metode electromagnetice (metode electronice, metode magnetice și alte metode care nu pot fi recunoscute prin percepția umană. Aceeași definiție se aplică în subparagraful următor.) care sunt înregistrate sau înregistrate, sau exprimate prin voce, mișcare sau alte metode (cu excepția codurilor de identificare personală). Aceeași definiție se aplică în continuare.) care pot identifica o persoană specifică (inclusiv cele care pot fi ușor comparate cu alte informații și pot identifica o persoană specifică prin aceasta.)
2. Informații care includ un cod de identificare personală

e-GOV｜Legea privind protecția informațiilor personale[ja]

Informațiile care se încadrează în definiția de mai sus sunt protejate ca informații personale în conformitate cu Legea privind protecția informațiilor personale.

Articolul conex: Ce este Legea privind protecția informațiilor personale și informațiile personale? Explicat de un avocat[ja]

De asemenea, în cazul unei scurgeri de informații, răspunsul pe care o companie ar trebui să-l dea include nu numai intervenția administrației, dar și divulgarea informațiilor, dacă este necesar. Pentru mai multe detalii, consultați articolul de mai jos.

Articolul conex: Ce este divulgarea de informații pe care o companie ar trebui să o facă în cazul unei scurgeri de informații[ja]

Obligația de raportare a scurgerilor de informații personale

Operatorii de prelucrare a informațiilor personale au obligația de a raporta Comisiei pentru Protecția Informațiilor Personale (Comisia Japoneză pentru Protecția Datelor Personale) atunci când se produce o scurgere de informații personale sau există un risc de scurgere.

Înainte de 1 aprilie 2024 (anul 4 al erei Reiwa), raportarea către Comisia pentru Protecția Informațiilor Personale în cazul unei scurgeri sau a unui risc de scurgere nu era o obligație, ci era considerată un efort. Cu toate acestea, odată cu modificarea Legii privind Protecția Informațiilor Personale (Legea Japoneză privind Protecția Datelor Personale), începând cu 1 aprilie 2024, raportarea către Comisia pentru Protecția Informațiilor Personale a devenit obligatorie.

Termenul “operator de prelucrare a informațiilor personale” se referă la cei care utilizează baze de date cu informații personale în scopuri comerciale (Articolul 16, alineatul 2 din Legea privind Protecția Informațiilor Personale). Cu toate acestea, instituțiile statului, organizațiile publice locale, corporațiile administrative independente etc. nu sunt incluse în categoria operatorilor de prelucrare a informațiilor personale.

“Baza de date cu informații personale” se referă la o colecție de informații care conține informații personale și care îndeplinește una dintre următoarele două condiții, cu excepția celor stabilite prin ordonanță ca fiind puțin susceptibile de a prejudicia drepturile și interesele individuale din punctul de vedere al metodei de utilizare (Articolul 16, alineatul 1 din Legea privind Protecția Informațiilor Personale):

• Este organizată sistematic astfel încât să se poată căuta informații personale specifice folosind un computer
• Este organizată sistematic astfel încât să se poată căuta ușor informații personale specifice

Operatorii de prelucrare a informațiilor personale care utilizează baze de date cu informații personale în scopuri comerciale au obligația de a raporta Comisiei pentru Protecția Informațiilor Personale.

Articolul conex: Explicarea punctelor de atenție privind “responsabilitățile operatorilor” în Legea privind Protecția Informațiilor Personale modificată în 2022[ja]

Patru cazuri în care este necesar să raportați la Comisia pentru Protecția Datelor Personale

Există patru cazuri în care trebuie să raportați la Comisia pentru Protecția Datelor Personale (Comisia Japoneză pentru Protecția Datelor Personale) atunci când are loc o scurgere de informații personale, conform Articolului 7 din Regulamentul de punere în aplicare a Legii privind protecția informațiilor personale (Legea Japoneză privind protecția informațiilor personale).

1. Când are loc o scurgere de date personale care includ informații personale sensibile, sau există riscul ca aceasta să se întâmple
2. Când are loc o scurgere de date personale care, dacă sunt utilizate în mod necorespunzător, ar putea cauza daune materiale, sau există riscul ca aceasta să se întâmple
3. Când are loc o scurgere de date personale care ar putea fi cauzată cu intenții frauduloase, sau există riscul ca aceasta să se întâmple
4. Când are loc o scurgere de date personale care implică mai mult de 1.000 de persoane, sau există riscul ca aceasta să se întâmple

Vom explica aceste cazuri în continuare.

Scurgerea de informații personale sensibile

“Informațiile personale sensibile” se referă la informațiile personale care necesită o atenție specială în manipularea lor pentru a preveni discriminarea nejustificată, prejudecățile și alte dezavantaje pentru persoana în cauză. Acestea includ rasa, credința, statutul social, istoricul medical, istoricul infracțiunilor și victimizarea infracțiunilor.

De exemplu, rezultatele examenelor medicale ale angajaților, care includ istoricul medical al angajaților, sunt considerate informații personale sensibile.

Scurgerea de informații personale care ar putea cauza daune materiale

Aceasta se referă la cazurile în care au avut loc scurgeri de date personale care, dacă sunt utilizate în mod necorespunzător, ar putea cauza daune materiale.

Un exemplu concret ar fi cazul în care o companie a scurs informații despre cardurile de credit ale clienților.

Scurgerea de informații personale cu intenții frauduloase

Aceasta se referă la cazurile în care persoana care a cauzat scurgerea de date personale avea intenții frauduloase.

De exemplu, acesta ar include cazurile în care un terț sau un angajat al unei companii a accesat în mod necorespunzător rețeaua companiei cu intenția de a utiliza informațiile personale în mod necorespunzător.

Scurgerea de informații personale la scară largă

Aceasta se referă la cazurile în care au avut loc scurgeri de date personale care implică mai mult de 1.000 de persoane.

În cazul companiilor care manipulează o cantitate mare de date personale, există riscul ca o scurgere de date personale la scară largă să aibă loc într-o singură dată, deci este necesară precauție.

Aspecte de raportat către Comisia Japoneză pentru Protecția Datelor Personale în caz de scurgere de informații

În cazul în care se impune raportarea către Comisia Japoneză pentru Protecția Datelor Personale, este necesar să se raporteze aspectele prevăzute în Articolul 8, Paragraful 1 al Regulamentului de punere în aplicare a Legii Japoneze privind protecția datelor personale.

(Raportarea către Comisia Japoneză pentru Protecția Datelor Personale)
Articolul 8: În cazul în care un operator de date cu caracter personal intenționează să facă o raportare conform prevederilor Articolului 26, Paragraful 1, acesta trebuie să raporteze imediat după ce a luat la cunoștință de situația prevăzută în paragraful anterior, următoarele aspecte legate de situația respectivă (limitat la cele cunoscute la momentul intenției de a raporta. Același lucru se aplică în următorul articol.)

e-GOV｜Legea Japoneză privind protecția datelor personale[ja]

În cazul în care se încadrează în una dintre cele patru situații în care este necesară raportarea menționată mai sus, operatorul trebuie să raporteze imediat următoarele aspecte către Comisia Japoneză pentru Protecția Datelor Personale:

• Rezumatul situației
• Elementele datelor personale care au fost sau ar putea fi scurse
• Numărul de persoane a căror date personale au fost sau ar putea fi scurse
• Cauza scurgerii
• Existența sau nu a unui risc de daune secundare și conținutul acestuia
• Statusul măsurilor luate față de persoanele afectate
• Statusul publicării informațiilor
• Măsurile luate pentru prevenirea recurenței
• Alte aspecte relevante

Totuși, este suficient să raportați doar aspectele pe care le cunoașteți la momentul raportării.

Termenul de raportare la Comisia pentru Protecția Datelor Personale în caz de scurgere de informații

Există un termen stabilit pentru raportarea la Comisia pentru Protecția Datelor Personale (conform Articolului 8, Paragraful 2 din Regulamentul de punere în aplicare a Legii Japoneze privind Protecția Datelor Personale).

În principiu, raportarea la Comisia pentru Protecția Datelor Personale trebuie să fie efectuată în termen de 30 de zile de la data la care ați luat la cunoștință de scurgerea de informații. În cazul în care entitatea care a cauzat scurgerea de date personale are un scop fraudulos, raportarea trebuie să fie efectuată în termen de 60 de zile.

Obligația de notificare a persoanei în cauză

În cazul unei scurgeri de informații personale, pe lângă obligația de a raporta Comisiei pentru Protecția Datelor Personale (Comisia Japoneză pentru Protecția Datelor Personale), există și o obligație de a notifica persoana în cauză (conform Articolului 26, alineatul 2 din Legea Japoneză privind Protecția Datelor Personale).

Scopul notificării persoanei în cauză este de a preveni încălcarea drepturilor și intereselor acesteia prin luarea de măsuri în legătură cu scurgerea de informații personale cât mai curând posibil. Prin urmare, operatorii de afaceri care gestionează informații personale sunt obligați să notifice persoana în cauză cât mai repede posibil.

Concluzie: Consultați un avocat pentru răspunsul administrativ la scurgerile de informații personale

Așa cum am explicat mai sus, în cazul în care o companie suferă o scurgere de informații personale, este esențial să se ia măsuri administrative adecvate.

Desigur, pentru o companie, este crucial să creeze un sistem care să prevină scurgerile de informații. Cu toate acestea, în cazul nefericit în care se produce o scurgere de informații, este necesar să se răspundă în mod corespunzător.

Legea japoneză privind protecția datelor personale este o lege care a suferit multe modificări și are o structură complexă în anumite părți. Prin urmare, pentru a răspunde în mod corespunzător, vă recomandăm să consultați un avocat cu cunoștințe specializate.

Orientări privind măsurile luate de biroul nostru

Biroul nostru de avocatură Monolis este specializat în IT, în special în aspectele legale ale internetului. În ultimul timp, scurgerile de informații personale au devenit o problemă majoră. În cazul în care informațiile personale sunt scurse, acest lucru poate avea un impact fatal asupra activităților companiei. Compania noastră are cunoștințe specializate în prevenirea scurgerilor de informații și în măsurile de răspuns. Detalii sunt furnizate în articolul de mai jos.

https://monolith.law/practices/itlaw[ja]