【Senaste Uppdateringen】Vad är personuppgiftslagen? Grundläggande kunskap du bör känna till förklaras på ett lättförståeligt sätt

I takt med att samhällets intresse för hantering av personuppgifter och integritet ökar, blir det allt viktigare att ha kunskap om personuppgiftslagen och relaterade författningar. Dessa lagar innehåller många bestämmelser som man måste känna till och kan ofta vara komplexa och svåra att överblicka. Dessutom uppdateras personuppgiftslagen ofta för att anpassa sig till förändringar i samhället, vilket gör det viktigt att kontinuerligt hålla sig uppdaterad med den senaste informationen.

I den här artikeln förklarar vi på ett lättförståeligt sätt de grundläggande kunskaperna om personuppgiftslagen som alla som hanterar personuppgifter bör känna till, baserat på den senaste revideringen av lagen som trädde i kraft 2022 (artikeln är skriven med information och lagar som gäller i januari 2025).

Syftet med och bakgrunden till ändringarna i den japanska lagen om skydd av personuppgifter

I det digitala samhället har vikten av att förhindra skador orsakade av otillbörlig användning av personuppgifter ökat alltmer, och den japanska lagen om skydd av personuppgifter har ändrats flera gånger. Här förklarar vi syftet med lagen om skydd av personuppgifter och bakgrunden till dessa ändringar.

Syftet med lagen om skydd av personuppgifter

Lagen om skydd av personuppgifter är främst en lag som fastställer regler för korrekt hantering av personuppgifter och liknande.

Tjänster som använder personuppgifter och data har nu blivit en självklarhet för oss. Medan personuppgifter används för att effektivisera verksamheten och digitaliseringen inom företag, ökar också incidenter med läckage av personuppgifter och risken för missbruk blir allt större.

För att uttrycka syftet med lagen om skydd av personuppgifter kortfattat, handlar det om att “ta hänsyn till nyttan av personuppgifter” samtidigt som man “skyddar individens rättigheter och intressen” (Artikel 1). När man lär sig om lagen om skydd av personuppgifter är det mycket viktigt att ha en synvinkel som balanserar dessa två aspekter.

Denna lag syftar till att, med tanke på den betydande ökningen av användningen av personuppgifter som följer med framstegen i det digitala samhället, fastställa grundläggande principer och en grundläggande policy skapad av regeringen samt andra grundläggande frågor om skydd av personuppgifter, klargöra ansvar och skyldigheter för staten och lokala offentliga organ, och genom att inrätta en kommission för skydd av personuppgifter, säkerställa korrekt och smidig förvaltning av administrativa och affärsmässiga uppgifter, samt att korrekt och effektiv användning av personuppgifter bidrar till skapandet av nya industrier och en livlig ekonomi samt ett rikt nationellt liv, samtidigt som man tar hänsyn till nyttan av personuppgifter och skyddar individens rättigheter och intressen.

Citat: Lagen om skydd av personuppgifter Artikel 1

Det bör noteras att lagen om skydd av personuppgifter inte fastställer alla regler för hantering av personuppgifter, utan mer detaljerade regler fastställs genom förordningar och föreskrifter.

Dessutom finns det olika riktlinjer och frågor och svar som fastställts av kommissionen för skydd av personuppgifter som rör den praktiska tillämpningen och tolkningen av lagen om skydd av personuppgifter. Även om dessa inte har laglig bindande kraft, fungerar de i praktiken som standarder och används som referens av många företag.

Referens: Kommissionen för skydd av personuppgifter | Lagar och riktlinjer[ja]

Bakgrunden till ändringarna

Den japanska lagen om skydd av personuppgifter trädde i kraft för första gången år Heisei 17 (2005).

Sedan dess har användningen av personuppgifter ökat på grund av utvecklingen av informations- och kommunikationsteknik och globalisering, vilket inte förutsågs vid tiden för lagens införande. Med tanke på dessa förändringar i samhället har lagen om skydd av personuppgifter genomgått en stor ändring år Heisei 27 (2015) och ändrades återigen år Reiwa 2 (2020).

Dessutom har kommissionen för skydd av personuppgifter, i enlighet med “Riktlinjer för systemändringar i den japanska lagen om skydd av personuppgifter, så kallad treårsöversyn”, fortsatt att regelbundet se över lagen om skydd av personuppgifter vart tredje år.

Enligt ändringsriktlinjerna anges perspektiv som “skydd av individens rättigheter och intressen”, “balans mellan skydd och användning”, “harmonisering med internationella trender”, “hantering av riskförändringar från utländska företag” och “anpassning till AI- och big data-eran”.

För närvarande är den senaste ändringslagen, det vill säga ändringslagen från Reiwa 2 (2020), i kraft sedan april 2022, men enligt kommissionen för skydd av personuppgifters översiktsplan kan en ny ändringslag komma att övervägas tre år efter 2020, det vill säga 2023 (eller möjligen 2024).

Nedan kommer vi att ge en översikt av definitionerna och klassificeringarna av artiklarna i lagen om skydd av personuppgifter baserat på ändringslagen från Reiwa 2, samt de huvudsakliga bestämmelserna.

Definitioner och klassificeringar enligt den japanska lagen om skydd av personuppgifter

För att förstå bestämmelserna i den japanska lagen om skydd av personuppgifter är det första steget att bekanta sig med de unika termerna. Dessa termer skiljer sig från de ord vi använder i vardagen eftersom de har juridiska definitioner som ligger till grund för många av bestämmelserna, så det är viktigt att först förstå dessa definitioner.

I den här artikeln kommer vi att gå igenom följande termer:

• Personuppgifter
• Persondata
• Innehavda persondata

Det kan finnas termer som verkar ha liknande betydelser, men inom den japanska lagen om skydd av personuppgifter finns det tydliga skillnader, och olika bestämmelser är knutna till varje definition. Kom ihåg att skyldigheterna ökar i ordningen “personuppgifter” → “persondata” → “innehavda persondata”.

Personuppgifter enligt japansk lag

Personuppgifter definieras som information om en “levande” individ som “kan identifiera en specifik person” eller “innehåller en personidentifierande kod” (enligt artikel 2, stycke 1, punkt 1 och 2 i lagen).

Avlidna personer eller fiktiva karaktärer räknas inte som “levande”, och information om företag eller statistisk data räknas inte som “information om individer”.

Med “kan identifiera en specifik person” avses typiskt namn, telefonnummer, adress, födelsedatum och foton, men information som är kopplad till en specifik individ blir i sin helhet personuppgifter. Det innebär att information som i sig inte kan identifiera en person (till exempel användar-ID eller köphistorik) blir identifierbar när den kopplas till namn eller telefonnummer och därmed räknas som personuppgifter.

Dessutom omfattar “personidentifierande kod (enligt artikel 2, stycke 2)” typiskt unika offentliga nummer som My Number, körkort, passnummer och försäkringsnummer (enligt punkt 2). Data som omvandlar biologisk information från människor, såsom fingeravtryck eller DNA, räknas också som personidentifierande koder (enligt punkt 1).

Ytterligare krav för att något ska anses kunna identifiera en specifik person inkluderar att “informationen enkelt kan matchas med annan information och därigenom identifiera en specifik person” (detta kallas “lätt matchningsbarhet”).

Till exempel, även om en databas med webbhistorik innehåller användar-ID och surfdata, kan den som ser det inte identifiera en specifik person. Men om det finns en användarhanteringsdatabas (en annan databas) med samma användar-ID och information som namn och adress, kan den specifika personen identifieras genom att matcha det gemensamma användar-ID:t. Därför räknas surfdata i detta fall som personuppgifter på grund av “lätt matchningsbarhet”, även om det enskilt inte kan identifiera en specifik person. Det är därför viktigt att vara uppmärksam på att hur information hanteras i ett företag kan avgöra om den räknas som personuppgifter eller inte.

Artikel 2 I denna lag avses med “personuppgifter” information om en levande individ som uppfyller något av följande kriterier:

1. Information som innehåller namn, födelsedatum eller andra beskrivningar (inklusive men inte begränsat till personidentifierande koder) som är nedskrivna eller registrerade i dokument, bilder eller elektroniska poster (elektroniska poster innebär poster skapade i en form som inte kan uppfattas av mänskliga sinnen, såsom elektroniska eller magnetiska metoder, och är detsamma i följande punkt) och som kan identifiera en specifik person (inklusive information som enkelt kan matchas med annan information och därigenom identifiera en specifik person).

2. Information som innehåller en personidentifierande kod

Personuppgiftslagen artikel 2, stycke 1, punkt 1 och 2

Personuppgifter

En samling personuppgifter som databaseras eller görs sökbara kallas för “personuppgiftsdatabaser etc.” enligt artikel 16, paragraf 1, punkt 1 och 2 i den japanska lagen (法第16条第1項1第号および第2号).

Till exempel är informationen på ett visitkort “personuppgifter”, men om du lagrar denna information i en fil med ett 50-soundsindex för att göra informationen från flera visitkort sökbar, eller använder Excel för att skapa en databas, blir det en “personuppgiftsdatabas etc.” som är systematiskt organiserad för att kunna söka efter specifik personinformation.

Och varje enskild personuppgift som utgör denna “personuppgiftsdatabas etc.” kallas för “persondata” enligt artikel 16, paragraf 3 i den japanska lagen (法第16条第3項). När det gäller persondata finns det ytterligare regleringar jämfört med “personuppgifter”, såsom regleringar kring utlämnande till tredje part och skyldigheter att vidta säkerhetsåtgärder (detaljer beskrivs senare).

Anledningen till detta är att när personuppgifter databaseras ökar risken för massiva dataintrång, och det blir lättare att koppla samman dem med andra metoder, vilket kan leda till en högre risk för kränkning av individens rättigheter.

Innehav av personuppgifter

De personuppgifter som en verksamhetsutövare hanterar och som kan begäras ut av den registrerade, kallas för “innehav av personuppgifter” enligt artikel 16, paragraf 4 i den japanska lagen (Act on the Protection of Personal Information).

Typiskt sett inkluderar detta information som direkt samlats in i verksamheten, såsom kunduppgifter och anställdas information. Å andra sidan räknas inte information som till exempel är överlämnad i samband med outsourcing, där verksamhetsutövaren inte har rätt att lämna ut informationen, som innehav av personuppgifter.

När det gäller innehav av personuppgifter måste verksamhetsutövaren offentliggöra bestämda uppgifter och utan dröjsmål svara på förfrågningar från den registrerade, samt hantera begäran om utlämnande, rättelse eller radering av uppgifter (mer detaljer följer nedan).

Enligt den japanska lagen om skydd av personuppgifter är “personuppgifter” det bredaste begreppet, och definitionerna av “persondata” och “innehav av personuppgifter” blir alltmer specifika, med tillkommande regleringar. Det är viktigt att vara uppmärksam på att de regler som tillämpas varierar beroende på dessa definitioner. Låt oss granska detta närmare i diagrammet nedan.

Olika regler tillämpas beroende på informationstypen

Enligt den japanska lagen om skydd av personuppgifter (Personal Information Protection Act) är de huvudsakliga bestämmelserna utformade för att hantera olika typer av information: “personuppgifter”, “persondata” och “behandlad persondata”.

Källa: Japanska kommissionen för skydd av personuppgifter (Personal Information Protection Commission) “Grundläggande om lagen om skydd av personuppgifter”, sida 25

I det följande kommer vi att ge en översikt över:

• Specifikation och meddelande av syftet med användning av personuppgifter
• Säkerhetsåtgärder för persondata, hantering av underleverantörer
• Tredjepartsöverföring av persondata och dess undantag
• Hantering av begäran om utlämnande av behandlad persondata

Vi kommer att diskutera dessa punkter mer ingående.

Identifiering och meddelande av användningsändamål för personuppgifter enligt japansk lag

Först och främst, enligt den japanska lagen om skydd av personuppgifter, när personuppgifter har samlats in, är det nödvändigt att så långt som möjligt specificera användningsändamålet (Artikel 17, stycke 1), och det är inte tillåtet att hantera personuppgifter utöver vad som är nödvändigt för att uppnå det specificerade användningsändamålet (Artikel 18, stycke 1).

Om användningsändamålet ändras, får det inte ske utöver vad som rimligen kan anses ha samband med det ursprungliga användningsändamålet (inom en förutsägbar omfattning) (Artikel 17, stycke 2).

Dessutom måste det specificerade användningsändamålet meddelas till personen i fråga eller offentliggöras (Artikel 21, stycke 1).

Enligt den japanska lagen om skydd av personuppgifter finns det ingen särskild föreskrift om hur meddelande eller offentliggörande ska ske, men det är vanligt att detta görs i form av en “integritetspolicy” eller “policy för skydd av personuppgifter”.

Enligt riktlinjerna från den japanska kommissionen för skydd av personuppgifter bör användningsändamålet inte bara specificeras på ett abstrakt och allmänt sätt, utan det bör konkret specificeras till en grad där personen rimligen kan förutse hur personuppgifterna kommer att användas i verksamheten och för vilket ändamål.

Användningsändamålet bör specificeras konkret nog så att personen kan förstå hur personuppgifterna slutligen kommer att användas av företaget och för vilket syfte.

Kommissionen för skydd av personuppgifter ‘Allmänna riktlinjer[ja]‘ 3-1-1

Riktlinjerna ger också exempel på vad som kan anses vara en konkret specificering av användningsändamålet.

Med andra ord är det nödvändigt att specificera användningsändamålet på ett sätt som gör det klart för personen hur personuppgifterna konkret kommer att användas i verksamheten.

Dessutom, när personuppgifter som direkt har registrerats på ett dokument (inklusive elektroniska poster) samlas in, måste användningsändamålet klart anges för personen i förväg (Artikel 21, stycke 2).

Hantering och säkerhetsåtgärder för personuppgifter hos underleverantörer

Enligt japansk lag (Artikel 23) måste företag som hanterar personuppgifter vidta nödvändiga och lämpliga åtgärder för att förhindra läckage, förlust eller skada av personuppgifter och för att säkerställa säker hantering av dessa uppgifter.

Dessutom måste de säkerhetsåtgärder som vidtagits för hanterade personuppgifter vara tillgängliga för den registrerade personen (“i ett tillstånd där den registrerade personen kan få kännedom om dem”, inklusive att svara utan dröjsmål på begäran från den registrerade personen) enligt japansk lag (Artikel 32, paragraf 1, punkt 4, och förordningen om skydd av personuppgifter, Artikel 10, paragraf 1).
Specifika exempel på säkerhetsåtgärder som bör vidtas finns i riktlinjerna[ja].

10-1 Utveckling av grundläggande policy

10-2 Upprättande av regler för hantering av personuppgifter

10-3 Organisatoriska säkerhetsåtgärder

10-4 Personella säkerhetsåtgärder

10-5 Fysiska säkerhetsåtgärder

10-6 Tekniska säkerhetsåtgärder

10-7 Förståelse av den externa miljön

Källa: Japanska kommissionen för skydd av personuppgifter, ‘Allmänna riktlinjer[ja]‘ 10

Det är dock inte så att alla företag måste vidta samma åtgärder enligt samma standarder. Till exempel kan de åtgärder som krävs av ett stort IT-företag som hanterar personuppgifter för miljontals människor skilja sig från de som krävs av små och medelstora företag som hanterar en begränsad mängd personuppgifter. De säkerhetsåtgärder som vidtas bör övervägas utifrån en kombination av faktorer såsom företagets storlek och karaktär, typen och mängden av personuppgifter som hanteras, samt de förväntade riskerna, och anpassas därefter.

Förutom ovanstående har företag en skyldighet att lämpligen övervaka sina anställda och underleverantörer för att säkerställa att personuppgifter hanteras säkert (enligt japansk lag, Artikel 24 och 25).

Tredjepartsöverföring av personuppgifter och dess undantag

I Japan måste man i princip inhämta den registrerades samtycke när personuppgifter ska överföras till en tredje part (enligt artikel 27, stycke 1 i lagen).

Beroende på det specifika fallet kan till exempel ett samtycke anses ha inhämtats om det finns en användarvillkor, avtalsvillkor eller integritetspolicy som beskriver tredjepartsöverföringen och den registrerades samtycke har inhämtats på ett korrekt sätt.

Det finns dock undantag där samtycke från den registrerade inte krävs vid tredjepartsöverföring av personuppgifter, till exempel av offentliga skäl (enligt artikel 27, stycke 1 i lagen).

Artikel 27: Utöver de fall som anges nedan får en verksamhet som hanterar personuppgifter inte tillhandahålla persondata till tredje part utan att först ha erhållit samtycke från den registrerade.

1. När det är baserat på lagar och förordningar

2. När det är nödvändigt för att skydda livet, kroppen eller egendomen hos en person och det är svårt att få samtycke från den registrerade.

3. När det är särskilt nödvändigt för att förbättra folkhälsan eller främja en sund uppväxt för barn och det är svårt att få samtycke från den registrerade.

4. När det är nödvändigt för att samarbeta med en statlig institution eller en lokal offentlig organisation, eller deras uppdragstagare, för att utföra arbete enligt lagar och förordningar, och där samtycke kan hindra utförandet av sådant arbete.

5–7 (utdrag utelämnade)

Källa: Japans lag om skydd av personuppgifter, artikel 27

Dessutom kommer vi nedan att ge en översikt över situationer där persondata tillhandahålls till tredje part i utlandet.

I princip, när persondata tillhandahålls till en tredje part i utlandet (inklusive uppdrag och gemensam användning), utöver de regler som gäller för tillhandahållande av persondata till tredje part som nämnts ovan, krävs samtycke för tillhandahållande till “en tredje part i utlandet” (enligt lag artikel 28). Dessutom krävs att följande information tillhandahålls innan samtycke inhämtas (enligt förordning artikel 17, stycke 2, punkterna):

1. Namnet på det berörda landet

2. Information om systemet för skydd av personuppgifter i det berörda landet, som har erhållits på ett lämpligt och rimligt sätt

3. Information om de åtgärder för skydd av personuppgifter som den tredje parten vidtar

För detaljerad beskrivning, se riktlinjerna för lagen om skydd av personuppgifter (avsnitt om tillhandahållande till tredje part i utlandet)[ja] 5-2, som fastställts av den Japanska kommissionen för skydd av personuppgifter.

Det finns dock två undantag från ovanstående.

För det första, om den tredje parten finns i ett land som den Japanska kommissionen för skydd av personuppgifter erkänner har ett system för skydd av personuppgifter som är jämförbart med Japans (standardkonformitetssystemet, i november 2023 inkluderar detta EES-länderna och Storbritannien), anses den tredje parten inte vara “i utlandet”. Det innebär att reglerna för gränsöverskridande överföring inte tillämpas, och tillhandahållandet behandlas på samma sätt som om det vore till en inhemsk verksamhet.

För det andra, när gränsöverskridande överföring sker baserat på ovanstående standardkonformitetssystem, det vill säga, ① “vidta nödvändiga åtgärder för att säkerställa kontinuerlig genomförande av lämpliga åtgärder” och ② tillhandahålla “information om dessa nödvändiga åtgärder” till den registrerade på begäran, är det inte nödvändigt att inhämta samtycke (enligt lag artikel 28, stycke 1 och 3).

Detaljerna för ovanstående ① anges i förordning artikel 18, stycke 1.

Artikel 18: De åtgärder som krävs för att säkerställa den kontinuerliga genomförandet av lämpliga åtgärder av en tredje part i ett utländskt land, enligt bestämmelserna i artikel 28.3 (inklusive fall där detta tillämpas genom omformulering enligt artikel 31.2), ska vara följande:

1. Att regelbundet och på ett lämpligt samt rimligt sätt verifiera genomförandestatusen för de lämpliga åtgärderna av den tredje parten, samt förekomsten och innehållet av eventuella system i det utländska landet som kan påverka genomförandet av dessa åtgärder.

2. Vid hinder för genomförandet av de lämpliga åtgärderna av den tredje parten, att vidta nödvändiga och lämpliga åtgärder och, om det blir svårt att säkerställa den kontinuerliga genomförandet av dessa åtgärder, att stoppa tillhandahållandet av personuppgifter (eller personrelaterad information i fall där detta tillämpas genom omformulering enligt artikel 31.2) till den tredje parten.

Citat: Artikel 18.1 i genomföranderegler för lagen om skydd av personuppgifter

Enligt riktlinjerna ska den “regelbundna verifieringen” som nämns i punkt 1 ske åtminstone en gång om året eller oftare.

Det är inte nödvändigt att i förväg anmäla till Personuppgiftskyddskommittén att nödvändiga system har etablerats.

Detaljerna i ovanstående punkt 2 är noggrant definierade i artikel 18.3 i lagen.

3. När en personuppgiftsansvarig företagare får en begäran enligt paragraf 28.3 i lagen, måste denne utan dröjsmål tillhandahålla information till den registrerade om följande punkter. Dock kan hela eller delar av informationen undanhållas om dess tillhandahållande skulle kunna orsaka betydande hinder för den korrekta utförandet av den personuppgiftsansvariga företagarens verksamhet.

1. Metoden för att etablera systemet som föreskrivs i paragraf 28.1 av lagen av den tredje parten

2. En översikt av de lämpliga åtgärder som vidtas av den tredje parten

3. Frekvensen och metoden för verifiering enligt punkt 1 i första stycket

4. Namnet på det berörda utländska landet

5. Förekomsten och en översikt av det berörda utländska landets system som kan påverka genomförandet av de lämpliga åtgärderna av den tredje parten

6. Förekomsten och en översikt av hinder för genomförandet av de lämpliga åtgärderna av den tredje parten

7. En översikt av de åtgärder som den personuppgiftsansvariga företagaren vidtar med anledning av hindren som nämns i föregående punkt, enligt punkt 2 i första stycket

Citat: Artikel 18.3 i genomförandebestämmelserna för lagen om skydd av personuppgifter (Japan)

När gränsöverskridande överföring av personuppgifter genomförs på grundval av ett system för överensstämmelse med standarder, är det nödvändigt att efteråt (på begäran) tillhandahålla information till den registrerade.

Hantering av begäran om utlämnande av personuppgifter enligt japansk lag

Enligt artikel 33 i den japanska lagen om skydd av personuppgifter kan användare begära att företag som hanterar personuppgifter ska lämna ut de personuppgifter som identifierar dem.

Företag som hanterar personuppgifter måste göra det möjligt för individer att känna till förfarandena för att svara på begäran om utlämnande av personuppgifter och storleken på avgiften för sådana begäranden, inklusive att svara utan dröjsmål när en individ begär det (enligt lagens artikel 32, stycke 1).

Det innebär att företag kan fastställa specifika förfaranden för hur man begär utlämnande, inklusive var man ska skicka begäran, vilket formulär som ska användas, hur man verifierar identiteten hos den som begär utlämnandet, storleken på avgiften och hur den ska betalas. Den som begär utlämnandet måste sedan följa dessa förfaranden.

Till exempel kan ett företag ange sitt telefonnummer, e-postadress eller postadress i sin integritetspolicy, vilket gör det möjligt att endast acceptera begäranden om utlämnande via telefon, e-post eller post.

Användare kan förutom att begära utlämnande även begära rättelse, tillägg eller borttagning av uppgifter (enligt artikel 34) samt begära att användningen av uppgifterna stoppas eller att de raderas (enligt artikel 35).

Sammanfattning: Rådfråga experter angående hantering av personuppgifter

I den här artikeln har vi översiktligt förklarat grundläggande kunskaper om den japanska lagen om skydd av personuppgifter som du bör känna till. Utöver de punkter som nämnts i artikeln varierar den specifika hanteringen av personuppgifter från företag till företag, så det är nödvändigt att hänvisa till relevanta lagar och riktlinjer för att överväga hur man ska agera.

Den japanska lagen om skydd av personuppgifter kräver att företag som hanterar personuppgifter gör detta på ett lämpligt sätt och vidtar nödvändiga och lämpliga åtgärder för att säkerställa säkerheten. Det är en viktig lag som nästan alla företag inte kan undvika att förhålla sig till.

Om du är osäker på hur personuppgifter ska hanteras eller vilka åtgärder ditt företag bör vidta, rekommenderas det att konsultera en advokat.

Relaterad artikel: Vad är nyckelpunkterna i den reviderade japanska lagen om skydd av personuppgifter i Reiwa 6 (2024)? En förklaring av viktiga förändringar och åtgärder du bör känna till[ja]

Vår byrås åtgärder

Monolith Advokatbyrå är en juridisk firma med hög expertis inom IT och juridik, särskilt när det gäller internet och lagstiftning. I takt med att samhällets intresse för personuppgifter och integritet ökar, kan till exempel en läcka av företagsdata som innehåller personuppgifter ha förödande konsekvenser för företagets verksamhet. Vår byrå besitter specialiserad kunskap om hantering enligt den japanska lagen om skydd av personuppgifter (Personal Information Protection Law). Följande artikel innehåller mer detaljerad information.

Monolith Advokatbyrås expertisområden: Juridiska tjänster relaterade till den japanska lagen om skydd av personuppgifter[ja]