Vad företag bör avslöja vid en informationsläcka

När en informationsläcka inträffar kan det i vissa fall vara nödvändigt med administrativa åtgärder som rapportering. Utöver att hantera myndigheterna kan det också vara nödvändigt att på ett lämpligt sätt offentliggöra information om ‘vilken typ av information’, ‘när’ och ‘under vilka omständigheter informationen läckte ut’.

I denna artikel kommer vi att förklara för företagets juridiska avdelning vad företaget bör göra när det gäller att offentliggöra information om en informationsläcka har inträffat.

Om skillnaden mellan administrativ respons och informationsavslöjande

När det inträffar ett läckage av personuppgifter, kommer du att behöva hantera administrativa regleringar som den japanska lagen om skydd av personuppgifter. Det är dock viktigt att notera att enbart administrativ respons kanske inte är tillräcklig som företagets respons.

Till exempel, om ett företag orsakar ett informationsläckage, kan det potentiellt leda till sociala konsekvenser.

Om företaget är börsnoterat, finns det ett behov av att snabbt avslöja information till intressenter som aktieägare, affärspartners och kunder.

Medan administrativ respons har en aspekt av att följa lagen, kan företagets informationsavslöjande sägas ha en starkare aspekt av att uppfylla dess sociala ansvar som ett företag som hanterar information.

Relaterad artikel: Vad ska man göra när personuppgifter läcker ut? En förklaring av den administrativa responsen företag bör ta[ja]

Relaterad artikel: Lär av krisledning och advokatens roll i fallet med informationsläckage på 650 000 poster hos Tokken Corporation[ja]

Om snabb offentliggöring av börsnoterade företag

För börsnoterade företag är det obligatoriskt att offentliggöra information, eftersom en informationsläcka kan ha en omfattande inverkan.

Till exempel, i de börsnoteringsregler som Tokyo Stock Exchange (Japanska Tokyo Stock Exchange) har offentliggjort, finns det bestämmelser om snabb offentliggöring som följer:

(Offentliggörande av företagsinformation)
Artikel 402
Börsnoterade företag måste omedelbart offentliggöra innehållet i enlighet med de genomförandebestämmelser som fastställts, om de faller under någon av följande punkter (utom de som motsvarar de standarder som fastställts i genomförandebestämmelserna och andra saker som denna börs anser ha en obetydlig inverkan på investerarnas investeringsbeslut).
(Utelämnat)
x Förutom de fakta som anges från a till w, viktiga fakta om driften, verksamheten eller egendomen hos det börsnoterade företaget eller de börsnoterade aktierna etc., som har en betydande inverkan på investerarnas investeringsbeslut

Tokyo Stock Exchange | Börsnoteringsregler[ja]

Det anses att en informationsläcka motsvarar “viktiga fakta om driften, verksamheten eller egendomen hos det börsnoterade företaget eller de börsnoterade aktierna etc., som har en betydande inverkan på investerarnas investeringsbeslut”, så det är nödvändigt att göra en snabb offentliggöring.

Specifikt kan det övervägas att offentliggöra en översikt över den inträffade informationsläckan, omständigheterna kring informationsläckan, och framtida utsikter för åtgärder mot den inträffade informationsläckan.

Frivillig informationsspridning som företag bör genomföra

Som nämnts ovan finns det fall där information sprids i enlighet med regler för noterade värdepapper, men företag kan också överväga att frivilligt sprida information som en del av riskhanteringen.

Relaterad artikel: Risker med företags läckage av personuppgifter och skadestånd[ja]

I vilka fall bör information spridas?

När det gäller frivillig informationsspridning kan företag, eftersom det är frivilligt, i teorin välja mellan att inte sprida information och att sprida information.

Därför är det viktigt för företag att tydligt fastställa kriterierna för att välja om de ska sprida information eller inte.

Det första kriteriet kan vara om det finns en verklig risk för att skadan kommer att öka på grund av informationsläckage.

Även om informationsläckage faktiskt har inträffat, om det anses att det inte kommer att ha någon verklig inverkan, kan behovet av frivillig informationsspridning anses vara lågt.

Om du frivilligt sprider information när det inte finns någon verklig risk för att skadan kommer att öka på grund av informationsläckage, kan det orsaka förvirring och potentiellt förvärra situationen.

Det andra kriteriet kan vara om det finns en risk för att skadan kommer att öka på grund av informationsläckage genom att offentliggöra information.

Om du offentliggör att ett informationsläckage har inträffat utan att ha tagit tillräckliga åtgärder mot det, kan det fånga uppmärksamheten hos de som vill olagligt erhålla information, vilket kan leda till ytterligare informationsläckage.

Detta kan leda till att skadan från informationsläckage ökar genom frivillig informationsspridning, vilket i sin tur kan leda till ytterligare kränkningar av rättigheter.

Emellertid kan dessa kriterier inte nödvändigtvis generaliseras, och det är nödvändigt att noggrant granska kriterierna för att sprida information i varje enskilt fall och bedöma om det är lämpligt att sprida information.

Frågor som bör offentliggöras

När du sprider information är det nödvändigt att noggrant överväga vilka frågor som bör offentliggöras.

Frågor som bör offentliggöras kan till exempel vara följande:

• Typen av informationsläckage som har inträffat
• Dagen då företaget blev medvetet om att informationsläckage hade inträffat
• Dagen då informationsläckage inträffade
• Omständigheterna kring upptäckten av informationsläckage
• Orsaken till informationsläckage
• Innehållet i den skada som kan uppstå på grund av informationsläckage
• Om det finns en risk för ytterligare skada eller sekundär skada i framtiden
• Åtgärder som företaget har vidtagit mot informationsläckage
• Innehållet i undersökningen om orsaken till informationsläckage
• Om en rapport har lämnats till polisen eller liknande

Men även när det gäller frågor som bör offentliggöras, varierar de frågor som det är önskvärt att offentliggöra beroende på fallet, så det är nödvändigt att göra en individuell bedömning beroende på fallet.

Metoder för att sprida information

Metoder för att sprida information kan till exempel vara följande:

• Att publicera den på företagets hemsida
• Att hålla en presskonferens för media
• Att kontakta individer som kan få sina rättigheter och intressen kränkta på grund av informationsläckage

Ovanstående metoder för informationsspridning är bara exempel, och det är nödvändigt att välja den lämpligaste metoden för varje enskilt fall.

Punkter att notera vid hållande av presskonferenser för media

När du håller en presskonferens kommer innehållet i informationsspridningen att bli känt för många människor. Därför är det nödvändigt att noggrant överväga om det är lämpligt att sprida information genom att hålla en presskonferens i första hand.

Till exempel, om det inte finns någon information utöver den information som företaget redan har offentliggjort på sin hemsida, kommer du inte att kunna offentliggöra någon ny information även om du håller en presskonferens. Om du håller en presskonferens utan att presentera någon ny information, kan de som ser presskonferensen få intrycket att du är ett oärligt företag som inte uppfyller ditt ansvar att förklara och inte sprider information ordentligt, så du måste vara försiktig.

Dessutom kan det i vissa fall vara praktiskt taget omöjligt att dra tillbaka eller korrigera det du har sagt på en presskonferens.

Därför är det nödvändigt att noggrant förbereda vad du ska säga på presskonferensen, inklusive att involvera experter som advokater, och bestämma vad du ska säga i förväg.

Punkter att notera när du kontaktar individer som kan få sina rättigheter och intressen kränkta på grund av informationsläckage

Om det är känt att det finns individer vars rättigheter och intressen kan kränkas på grund av informationsläckage, kan det vara önskvärt att först kontakta dessa offer individuellt innan du offentliggör faktumet om informationsläckage.

Om du går vidare med offentliggörandet innan du kontaktar offren individuellt, kan offren börja misstro företaget och stärka en fientlig attityd.

Dessutom, även om det var möjligt att kontakta offren individuellt, om du går vidare med offentliggörandet först, kan företagets sociala förtroende skadas.

Hur kan företag förhindra informationsläckor?

Vi har hittills diskuterat företags skyldighet att offentliggöra information vid informationsläckor, men det är naturligtvis viktigt att förhindra att sådana läckor uppstår överhuvudtaget.

Enligt artikel 23 i den japanska lagen om skydd av personuppgifter (Japanese Personal Information Protection Act), finns det bestämmelser om säkerhetshantering som följer:

(Säkerhetshantering)
Artikel 23: Alla företag som hanterar personuppgifter måste vidta nödvändiga och lämpliga åtgärder för att förhindra läckage, förlust eller skada på personuppgifter och för att säkerställa säker hantering av personuppgifter.

e-Gov｜Lagen om skydd av personuppgifter[ja]

Exempel på säkerhetshantering kan inkludera följande åtgärder:

• Utformning av grundläggande riktlinjer för hantering av personuppgifter
• Upprättande av regler för hantering av personuppgifter
• Organisatorisk struktur
• Genomförande av regler för hantering av personuppgifter
• Upprättande av metoder för att kontrollera hanteringen av personuppgifter
• Upprättande av ett system för att hantera informationsläckor
• Översyn av hanteringen av personuppgifter och säkerhetshantering
• Utbildning av anställda som hanterar personuppgifter
• Genomförande av fysiska säkerhetsåtgärder för att förhindra läckage av personuppgifter
• Genomförande av tekniska säkerhetsåtgärder för att förhindra läckage av personuppgifter

Genom att genomföra sådana säkerhetsåtgärder anpassade till företagets situation, kan man minska risken för informationsläckor.

Sammanfattning: Rådfråga en advokat angående informationsspridning vid informationsläckor

I denna artikel har vi förklarat för företags juridiska avdelningar vad företag bör offentliggöra om en informationsläcka inträffar.

Det bästa vore naturligtvis om en informationsläcka aldrig inträffade, men det är praktiskt taget omöjligt att förhindra informationsläckor helt och hållet.

Därför är det viktigt för företag att hantera situationen på ett lämpligt sätt om en informationsläcka inträffar.

Vi rekommenderar att du rådfrågar en advokat med specialistkunskaper för att noggrant överväga hur man ska hantera en informationsläcka, eftersom varje fall kräver noggrann övervägning.

Introduktion till våra åtgärder på vår byrå

Monolis juridiska byrå är en advokatbyrå med hög expertis inom IT, särskilt internet och lag. Professionell kunskap är avgörande när man utformar interna regler. På vår byrå hanterar vi granskningar av olika ärenden, från företag noterade på Tokyo-börsen till uppstartsföretag. Om du har problem med interna regler, vänligen se artikeln nedan.

https://monolith.law/contractcreation[ja]