การแก้ไขกฎหมายการคุ้มครองข้อมูลส่วนบุคคล 'ความรับผิดชอบของผู้ประกอบการ' ในปี พ.ศ. 2565 (2022) และข้อควรระวังที่ควรทราบ

ตั้งแต่เดือนเมษายน 2565 (2022) กฎหมายการคุ้มครองข้อมูลส่วนบุคคลญี่ปุ่นที่ได้รับการแก้ไขได้รับการบังคับใช้ กฎหมายการคุ้มครองข้อมูลส่วนบุคคลญี่ปุ่นมีวัตถุประสงค์เพื่อรักษาสิทธิและผลประโยชน์ของบุคคล ในขณะที่พิจารณาถึงประโยชน์ของข้อมูลส่วนบุคคล และการจัดการข้อมูลส่วนบุคคลอย่างเหมาะสม แต่จะมีอะไรเปลี่ยนแปลงจากการบังคับใช้กฎหมายการคุ้มครองข้อมูลส่วนบุคคลญี่ปุ่นที่ได้รับการแก้ไขนี้บ้างหรือไม่ ในครั้งนี้เราจะอธิบายเกี่ยวกับสิทธิของบุคคลและหน้าที่ของผู้ประกอบการ

การปรับปรุงและความเป็นมาของกฎหมายคุ้มครองข้อมูลส่วนบุคคลญี่ปุ่น

กฎหมายคุ้มครองข้อมูลส่วนบุคคลญี่ปุ่นที่ถูกตั้งขึ้นในปี 2003 (พ.ศ. 2546) และเริ่มบังคับใช้ทั่วไปในปี 2005 (พ.ศ. 2548) ได้รับการปรับปรุงในปี 2015 (พ.ศ. 2558) หลังจากผ่านไป 10 ปี โดยเหตุผลที่ว่า “เนื่องจากการพัฒนาของเทคโนโลยีสารสนเทศและการสื่อสาร ทำให้สามารถใช้ประโยชน์จากข้อมูลส่วนบุคคลที่ไม่ได้คาดคิดไว้ในช่วงที่กฎหมายถูกตั้งขึ้น” และได้เริ่มบังคับใช้ทั่วไปในปี 2017 (พ.ศ. 2560)

ในการปรับปรุงกฎหมายในปี 2017 (พ.ศ. 2560) นี้ ได้รวม “ข้อกำหนดการทบทวนทุก 3 ปี” ซึ่งเป็นการพิจารณาสถานการณ์ของการเคลื่อนไหวระดับสากล การพัฒนาของเทคโนโลยีสารสนเทศ และสถานการณ์ของการสร้างและพัฒนาอุตสาหกรรมใหม่ แล้วทำการปรับปรุงให้สอดคล้องกับสภาพความเป็นจริงทุก 3 ปีหลังจากการบังคับใช้

ข้อกำหนดที่เกี่ยวข้องในกฎหมายคุ้มครองข้อมูลส่วนบุคคลญี่ปุ่นที่ปรับปรุงในปี 2017 (พ.ศ. 2560) (ส่วนที่สกัดสะกด)

บทที่ 12 (การพิจารณา)

(ข้าม)

2 รัฐบาลญี่ปุ่นจะต้องตั้งเป้าหมายในการพิจารณาการปรับปรุงเกี่ยวกับการจัดระบบทรัพยากรบุคคลที่จำเป็นสำหรับการดำเนินงานที่มีประสิทธิภาพของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลญี่ปุ่น รวมถึงการรักษาความมั่นคงของแหล่งทุนและมาตรการอื่น ๆ หลังจากการบังคับใช้กฎหมายนี้ 3 ปี และเมื่อเห็นว่าจำเป็น จะต้องดำเนินมาตรการที่เหมาะสมตามผลการพิจารณา

3 รัฐบาลญี่ปุ่นจะต้องตั้งเป้าหมายในการพิจารณาสถานการณ์ของการเคลื่อนไหวระดับสากลในการคุ้มครองข้อมูลส่วนบุคคล การพัฒนาของเทคโนโลยีสารสนเทศและการสื่อสาร และสถานการณ์ของการสร้างและพัฒนาอุตสาหกรรมใหม่ที่ใช้ข้อมูลส่วนบุคคล รวมถึงสถานการณ์ของการบังคับใช้กฎหมายคุ้มครองข้อมูลส่วนบุคคลญี่ปุ่นใหม่ หลังจากการบังคับใช้กฎหมายนี้ 3 ปี และเมื่อเห็นว่าจำเป็น จะต้องดำเนินมาตรการที่เหมาะสมตามผลการพิจารณา

4, 5 (ข้าม)

6 รัฐบาลญี่ปุ่นจะต้องพิจารณาเกี่ยวกับวิธีการคุ้มครองข้อมูลส่วนบุคคลตามกฎหมาย โดยพิจารณาจากสถานการณ์ของการบังคับใช้กฎหมายคุ้มครองข้อมูลส่วนบุคคลญี่ปุ่นใหม่ สถานการณ์ของการดำเนินการตามมาตรการในข้อ 1 และสถานการณ์อื่น ๆ

การปรับปรุงกฎหมายคุ้มครองข้อมูลส่วนบุคคลญี่ปุ่นในปี 2022 (พ.ศ. 2565) เป็นการปรับปรุงกฎหมายครั้งแรกที่อิงตาม “ข้อกำหนดการทบทวนทุก 3 ปี”

บทความที่เกี่ยวข้อง: กฎหมายคุ้มครองข้อมูลส่วนบุคคลญี่ปุ่นและข้อมูลส่วนบุคคลคืออะไร? ทนายความอธิบาย

ภาพรวมของการแก้ไข ‘Japanese Personal Information Protection Law’ ปี พ.ศ. 2565 (2022)

การแก้ไข ‘Japanese Personal Information Protection Law’ ในปี พ.ศ. 2565 (2022) จะมีการดำเนินการใน 6 ประเด็นดังต่อไปนี้:

1. สถานะของสิทธิของบุคคล
2. สถานะของหน้าที่ที่ธุรกิจควรปฏิบัติ
3. สถานะของระบบที่ส่งเสริมการดำเนินการอย่างเป็นอิสระของธุรกิจ
4. สถานะของการใช้ประโยชน์จากข้อมูล
5. สถานะของโทษ
6. สถานะของการใช้กฎหมายนอกพื้นที่และการโอนย้ายข้ามพรมแดน

ในบทความนี้ จะอธิบายเกี่ยวกับประเด็นที่ 1 และ 2 ที่ได้รับการแก้ไข

บทความที่เกี่ยวข้อง: การแก้ไข ‘Japanese Personal Information Protection Law’ ปี พ.ศ. 2565 (2022) ในเรื่อง ‘โทษ’

วิธีการมีสิทธิของบุคคล

วิธีการมีสิทธิของบุคคลได้รับการแก้ไขใน 5 ประเด็นต่อไปนี้

การขยายสิทธิของบุคคลในการร้องขอหยุดการใช้งานและการลบ (มาตรา 30)

ในกฎหมายปัจจุบัน สิทธิของบุคคลในการร้องขอหยุดการใช้งานและการลบจะถูกจำกัดเฉพาะในกรณีที่มีการใช้ข้อมูลส่วนบุคคลเกินวัตถุประสงค์หรือได้รับโดยวิธีที่ไม่เป็นธรรม แต่ในกฎหมายที่ได้รับการแก้ไข ในกรณีที่ “ไม่มีความจำเป็นในการใช้ข้อมูลส่วนบุคคลที่ถือครอง” หรือ “เกิดการรั่วไหลข้อมูล” หรือ “มีความเสี่ยงที่จะทำให้สิทธิหรือผลประโยชน์ที่ถูกต้องของบุคคลนั้นได้รับความเสียหาย” บุคคลนั้นสามารถร้องขอหยุดการใช้งาน การลบ และหยุดการให้ข้อมูลแก่บุคคลที่สามได้

วิธีการเปิดเผยข้อมูลส่วนบุคคลที่ถือครอง (มาตรา 28)

ถ้าเป็นบุคคลนั้น สามารถร้องขอให้ผู้ประกอบการที่จัดการข้อมูลส่วนบุคคลเปิดเผยข้อมูลส่วนบุคคลที่ถือครอง ผู้ประกอบการที่จัดการข้อมูลส่วนบุคคลต้องเปิดเผยข้อมูลส่วนบุคคลที่ถือครองโดยหลัก ในกฎหมายปัจจุบัน การเปิดเผยข้อมูลส่วนบุคคลที่ถือครองจะทำโดยหลักโดยใช้เอกสาร แต่ในกรณีที่มีปริมาณข้อมูลที่มากมาย การส่งมอบด้วยเอกสารอาจไม่เหมาะสม และข้อมูลส่วนบุคคลที่ถือครองอาจเป็นวิดีโอหรือข้อมูลเสียงที่ไม่เหมาะสมสำหรับการส่งมอบด้วยเอกสาร ดังนั้น ในกฎหมายที่ได้รับการแก้ไข บุคคลนั้นสามารถร้องขอ “การเปิดเผยโดยวิธีที่บุคคลนั้นระบุ” ด้วยวิธีการให้ข้อมูลทางอิเล็กทรอนิกส์ ผู้ประกอบการที่จัดการข้อมูลส่วนบุคคลมีหน้าที่ต้องเปิดเผยตามวิธีที่บุคคลนั้นร้องขอ

บริษัทที่จัดการข้อมูลส่วนบุคคลจำเป็นต้องสร้างระบบที่สามารถตอบสนองต่อการร้องขอเปิดเผยข้อมูลดิจิตอลในระยะเร็ว

การร้องขอเปิดเผยบันทึกการให้ข้อมูลแก่บุคคลที่สามโดยบุคคลนั้น (มาตรา 28 ข้อ 5)

ผู้ประกอบการที่จัดการข้อมูลส่วนบุคคลต้องสร้างบันทึกที่กำหนดโดยกฎหมายเมื่อให้ข้อมูลส่วนบุคคลแก่บุคคลที่สาม และบุคคลที่ได้รับการให้ข้อมูลจากบุคคลที่สามก็ต้องสร้างบันทึกที่กำหนดโดยกฎหมาย บันทึกเหล่านี้ที่เกี่ยวข้องกับการให้ข้อมูลส่วนบุคคลแก่บุคคลที่สามและการยืนยันข้อมูลส่วนบุคคลที่ได้รับจากบุคคลที่สามเรียกว่า “บันทึกการให้ข้อมูลแก่บุคคลที่สาม”

ในกฎหมายปัจจุบัน บุคคลนั้นไม่สามารถร้องขอเปิดเผยบันทึกการให้ข้อมูลแก่บุคคลที่สามที่ผู้ประกอบการสร้างขึ้น แต่ในกฎหมายที่ได้รับการแก้ไข บุคคลนั้นสามารถร้องขอเปิดเผยบันทึกการให้ข้อมูลแก่บุคคลที่สาม ซึ่งถือเป็นการพิจารณาถึงความสามารถในการติดตามของบุคคลนั้น

การรวมข้อมูลที่เก็บรักษาในระยะสั้นเข้าไปในข้อมูลส่วนบุคลที่ถือครอง (มาตรา 2 ข้อ 7)

ในกฎหมายปัจจุบัน ข้อมูลส่วนบุคคลที่ถือครองคือ “ข้อมูลส่วนบุคคลที่ผู้ประกอบการที่จัดการข้อมูลส่วนบุคคลมีอำนาจในการเปิดเผย การแก้ไขเนื้อหา การเพิ่มเติมหรือการลบ การหยุดการใช้งาน การลบ และการหยุดการให้ข้อมูลแก่บุคคลที่สาม” และ “ข้อมูลที่ถูกกำหนดโดยพระราชบัญญัติว่าจะทำให้สาธารณประโยชน์หรือผลประโยชน์อื่นๆ ได้รับความเสียหายหากความจริงถูกเปิดเผย” หรือ “ข้อมูลที่จะถูกลบภายในระยะเวลาที่กำหนดโดยพระราชบัญญัติภายใน 1 ปี” ที่ไม่ใช่ข้อมูลเหล่านี้ และ “ระยะเวลาที่กำหนดโดยพระราชบัญญัติภายใน 1 ปี” คือ 6 เดือน

แต่เนื่องจากมีความเป็นไปได้ที่จะเกิดการรั่วไหลข้อมูลในระหว่างที่ข้อมูลจะถูกลบ แม้ว่าจะเป็นระยะเวลาสั้น ดังนั้น ในกฎหมายที่ได้รับการแก้ไข ข้อมูลที่ถูกเก็บรักษาในระยะสั้นที่จะถูกลบภายใน 6 เดือนก็ถูกรวมเข้าไปใน “ข้อมูลส่วนบุคคลที่ถือครอง”

การจำกัดขอบเขตของข้อบังคับเกี่ยวกับการเลือกไม่ร่วม (มาตรา 23 ข้อ 2)

ข้อบังคับเกี่ยวกับการเลือกไม่ร่วมคือ “ระบบที่สามารถให้ข้อมูลส่วนบุคคลแก่บุคคลที่สามโดยไม่ต้องได้รับความยินยอมจากบุคคลนั้น หากบุคคลนั้นร้องขอ สามารถหยุดได้ในภายหลัง หลังจากที่ได้ประกาศรายการข้อมูลส่วนบุคคลที่จะให้แล้ว” แต่ในกฎหมายปัจจุบัน ข้อมูลส่วนบุคคลที่ต้องให้ความระมัดระวังเท่านั้นที่ไม่รวมอยู่ในข้อบังคับนี้

ในกฎหมายที่ได้รับการแก้ไข ข้อมูลส่วนบุคคลที่สามารถให้แก่บุคคลที่สามถูกจำกัดขอบเขต และ “ข้อมูลส่วนบุคคลที่ได้รับโดยไม่เป็นธรรม” และ “ข้อมูลส่วนบุคคลที่ได้รับโดยข้อบังคับเกี่ยวกับการเลือกไม่ร่วม” ก็ถูกกำหนดว่าไม่รวมอยู่ในข้อบังคับนี้

วิธีการที่ผู้ประกอบการควรรับผิดชอบ

วิธีการที่ผู้ประกอบการควรรับผิดชอบได้รับการแก้ไขใน 2 ประเด็นดังต่อไปนี้

การบังคับให้รายงานการรั่วไหล (มาตรา 22 ข้อ 2)

ในกฎหมายปัจจุบัน การรายงานการรั่วไหลไม่ได้เป็นหน้าที่ตามกฎหมาย ทำให้มีบางผู้ประกอบการไม่ได้ดำเนินการอย่างที่ควร และหากผู้ประกอบการไม่ได้เปิดเผย คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลจะไม่สามารถทราบถึงเหตุการณ์และไม่สามารถตอบสนองอย่างเหมาะสมได้ ในกฎหมายที่ได้รับการแก้ไข หากมีการรั่วไหลและมีความเสี่ยงที่จะทำให้สิทธิและผลประโยชน์ของบุคคลถูกทำลาย จะต้องรายงานและแจ้งให้ผู้ที่เกี่ยวข้องทราบ

เหตุการณ์ที่ต้องรายงานการรั่วไหล ไม่ว่าจะเป็นจำนวนเท่าใด ได้แก่ “การรั่วไหลของข้อมูลส่วนบุคคลที่ต้องให้ความสนใจ” “การรั่วไหลจากการเข้าถึงที่ไม่เหมาะสม” “การรั่วไหลที่มีความเสี่ยงที่จะทำให้เกิดความเสียหายทางทรัพย์สิน” และ “การรั่วไหลขนาดใหญ่ที่เกิน 1,000 รายการ”

การห้ามใช้ข้อมูลด้วยวิธีที่ไม่เหมาะสม (มาตรา 16 ข้อ 2)

ด้วยการพัฒนาของเทคโนโลยีวิเคราะห์ข้อมูลที่รวดเร็ว มีการใช้ข้อมูลส่วนบุคคลที่อาจนำไปสู่การละเมิดสิทธิและผลประโยชน์ของบุคคลซึ่งทำให้ความกังวลของผู้บริโภคเพิ่มขึ้น ด้วยเหตุนี้ กฎหมายที่ได้รับการแก้ไขได้ระบุว่า ไม่ควรใช้ข้อมูลส่วนบุคคลด้วยวิธีที่ไม่เหมาะสม เช่น การส่งเสริมการกระทำที่ผิดกฎหมายหรือไม่เหมาะสม

“วิธีที่ไม่เหมาะสมที่ส่งเสริมการกระทำที่ผิดกฎหมายหรือไม่เหมาะสม” หมายถึง “การให้ข้อมูลส่วนบุคคลแก่บุคคลที่ทำการกระทำที่ผิดกฎหมาย” หรือ “การรวบรวมข้อมูลส่วนบุคคลที่ได้รับการเผยแพร่โดยการประกาศของศาลหรือวิธีอื่น ๆ และทำให้เป็นฐานข้อมูล แม้จะมีความเสี่ยงที่จะทำให้เกิดการเลือกปฏิบัติที่เป็นการเลือกปฏิบัติ”

สรุป

ในบทความนี้ เราได้ทำการอธิบายเกี่ยวกับข้อแก้ไขที่ 1 และ 2 ส่วนข้อแก้ไขที่ 3, 4, 5, และ 6 จะทำการอธิบายในบทความอื่น

บทความที่เกี่ยวข้อง: การอธิบายเกี่ยวกับ ‘ค่าปรับ’ ในกฎหมายการคุ้มครองข้อมูลส่วนบุคคล ปรับปรุงในปี พ.ศ. 2565 (2022)

การแนะนำมาตรการจากสำนักงานทนายความของเรา

สำนักงานทนายความ Monolis คือสำนักงานที่มีความเชี่ยวชาญสูงในด้าน IT โดยเฉพาะอินเทอร์เน็ตและกฎหมาย กฎหมายส่วนบุคคลที่ได้รับการแก้ไขใหม่นั้นกำลังได้รับความสนใจ และความจำเป็นในการตรวจสอบทางกฎหมายก็เพิ่มขึ้นเรื่อย ๆ ที่สำนักงานของเรา เราให้บริการในการแก้ปัญหาที่เกี่ยวข้องกับทรัพย์สินทางปัญญา รายละเอียดสามารถอ่านได้ในบทความด้านล่างนี้

https://monolith.law/practices/corporate[ja]