จุดสําคัญและการเปลี่ยนแปลงที่ควรรู้เกี่ยวกับการแก้ไข พ.ร.บ. การป้องกันข้อมูลส่วนบุคคลของญี่ปุ่น ในปี 令和6 (2024)

ในเดือนเมษายน พ.ศ. 2567 (2024 ปีค.ศ.) กฎหมายปรับปรุงคุ้มครองข้อมูลส่วนบุคคลของญี่ปุ่นจะเริ่มมีผลบังคับใช้ การปรับปรุงครั้งนี้จะขยายขอบเขตของหน้าที่ในการรายงานต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลและหน้าที่ในการแจ้งเตือนต่อบุคคลที่เกี่ยวข้องเมื่อเกิดการรั่วไหลของข้อมูล

จุดสำคัญของการปรับปรุงครั้งนี้อยู่ที่การตอบสนองต่อปัญหาเกี่ยวกับข้อมูลส่วนบุคคลในยุคสมัยใหม่ เช่น การสกิมมิ่งบนเว็บ

อย่างไรก็ตาม การที่จะเข้าใจและตอบสนองต่อการปรับปรุงอย่างถูกต้องนั้นต้องการความรู้เชี่ยวชาญ และหลายคนอาจจะยังไม่แน่ใจว่าองค์กรของตนควรจะดำเนินการอย่างไร บทความนี้จะอธิบายจุดสำคัญและวิธีการตอบสนองต่อการปรับปรุงในปี พ.ศ. 2567

สรุปข้อเปลี่ยนแปลงของกฎหมายการป้องกันข้อมูลส่วนบุคคลญี่ปุ่น พ.ศ. 2569 (令和6年)

ข้อเปลี่ยนแปลงที่ควรให้ความสนใจในการแก้ไขกฎหมายการป้องกันข้อมูลส่วนบุคคลญี่ปุ่น พ.ศ. 2569 (令和6年) คือการขยายขอบเขตของหน้าที่ในการรายงานและแจ้งเตือนเมื่อเกิดการรั่วไหล รวมถึงหน้าที่ในการดำเนินการควบคุมความปลอดภัย ไปยังข้อมูลส่วนบุคคลบางส่วนด้วย

ตามกฎหมายเดิม หน้าที่ในการรายงานเมื่อเกิดการรั่วไหลนั้น จำกัดเฉพาะข้อมูลส่วนบุคคลเท่านั้น ไม่รวมถึงข้อมูลส่วนบุคคลอื่นๆ

การแก้ไขครั้งนี้ได้ระบุรายละเอียดของการเปลี่ยนแปลงในกฎหมายการป้องกันข้อมูลส่วนบุคคลญี่ปุ่น มาตรา 7 ข้อ 3 และ「Japanese Personal Information Protection Law Guidelines (General Rules)」[ja]

เราจะอธิบายรายละเอียดของข้อกำหนดและข้อเปลี่ยนแปลงอย่างละเอียดในส่วนต่อไปนี้

กลุ่มเป้าหมายของกฎหมายคุ้มครองข้อมูลส่วนบุคคลในอดีต

เพื่อทำความเข้าใจเนื้อหาของกฎหมายที่ได้รับการแก้ไข การทำความเข้าใจอย่างถูกต้องเกี่ยวกับเนื้อหาและขอบเขตของการควบคุมก่อนการแก้ไขเป็นสิ่งจำเป็นอย่างยิ่ง ที่นี่เราจะอธิบายเกี่ยวกับนิยามและเนื้อหาของการควบคุมที่ได้ถูกกำหนดไว้ก่อนการแก้ไข

ความแตกต่างระหว่างข้อมูลส่วนบุคคลและข้อมูลบุคคล

ในกฎหมายการป้องกันข้อมูลส่วนบุคคลของญี่ปุ่น, มีการแยกความคิดระหว่าง “ข้อมูลส่วนบุคคล” และ “ข้อมูลบุคคล” เพื่อการป้องกัน.

“ข้อมูลส่วนบุคคล” หมายถึง ข้อมูลที่เกี่ยวข้องกับบุคคลที่ยังมีชีวิตอยู่ ซึ่งสามารถระบุตัวตนของบุคคลนั้นได้จากข้อมูลที่มีอยู่ เช่น ชื่อหรือวันเดือนปีเกิด นี่ถูกกำหนดไว้ในมาตรา 2 ข้อ 1 หมายเลข 1 ของกฎหมายการป้องกันข้อมูลส่วนบุคคลของญี่ปุ่น.

บทความที่เกี่ยวข้อง: การปรับปรุงกฎหมายการป้องกันข้อมูลส่วนบุคคลของญี่ปุ่น ปี 2022 (2022) การสร้างข้อมูลที่ประมวลผลชั่วคราวเพื่อส่งเสริมการใช้ประโยชน์จากข้อมูล[ja]

ในทางตรงกันข้าม, “ข้อมูลบุคคล” หมายถึง ข้อมูลส่วนบุคคลที่เป็นส่วนหนึ่งของฐานข้อมูลข้อมูลส่วนบุคคล ซึ่งได้รับการกำหนดไว้ในมาตรา 16 ข้อ 1 ของกฎหมายการป้องกันข้อมูลส่วนบุคคลของญี่ปุ่น.

ตัวอย่างเช่น, เมื่อสร้างรายชื่อผู้เข้าร่วมงาน, ข้อมูลที่ผู้จองส่งมา เช่น ชื่อหรือที่อยู่ จะถูกเรียกว่า “ข้อมูลส่วนบุคคล”. และฐานข้อมูลที่สร้างขึ้นจากการรวบรวมข้อมูลส่วนบุคคลของผู้จองแต่ละคนในสเปรดชีตเป็นต้น จะเรียกว่า “ฐานข้อมูลข้อมูลส่วนบุคคล”. ข้อมูลแต่ละชิ้นที่สร้างขึ้นฐานข้อมูลนี้จะถือเป็น “ข้อมูลบุคคล”.

ในกฎหมายการป้องกันข้อมูลส่วนบุคคลของญี่ปุ่น, จำเป็นต้องเข้าใจว่าการป้องกันจะแตกต่างกันอย่างไร ขึ้นอยู่กับว่าเป็น “ข้อมูลส่วนบุคคล” หรือ “ข้อมูลบุคคล”.

หน้าที่ในการรายงานและแจ้งเตือนกรณีการรั่วไหลของข้อมูล

กฎหมายการป้องกันข้อมูลส่วนบุคคลกำหนดให้ผู้ประกอบการที่จัดการข้อมูลส่วนบุคคลต้องรายงานต่อคณะกรรมการการป้องกันข้อมูลส่วนบุคคลและแจ้งเตือนต่อบุคคลที่เกี่ยวข้องในกรณีที่เกิดการรั่วไหลของข้อมูลส่วนบุคคล

（การรายงานกรณีการรั่วไหลของข้อมูล）
มาตรา 26 ผู้ประกอบการที่จัดการข้อมูลส่วนบุคคลจะต้องรายงานต่อคณะกรรมการการป้องกันข้อมูลส่วนบุคคลตามที่กำหนดในกฎข้อบังคับของคณะกรรมการการป้องกันข้อมูลส่วนบุคคล เมื่อเกิดการรั่วไหล, สูญหาย, ถูกทำลายหรือสถานการณ์อื่นๆ ที่เกี่ยวข้องกับความปลอดภัยของข้อมูลส่วนบุคคลซึ่งอาจส่งผลกระทบต่อสิทธิและผลประโยชน์ของบุคคลได้มาก อย่างไรก็ตาม ในกรณีที่ผู้ประกอบการดังกล่าวได้รับมอบหมายให้จัดการข้อมูลส่วนบุคคลทั้งหมดหรือบางส่วนจากผู้ประกอบการอื่นหรือหน่วยงานราชการ และได้แจ้งเตือนสถานการณ์ดังกล่าวตามที่กำหนดในกฎข้อบังคับของคณะกรรมการการป้องกันข้อมูลส่วนบุคคลแล้ว ก็ไม่ต้องปฏิบัติตามในส่วนนี้
2 ในกรณีที่กำหนดไว้ในวรรคก่อนหน้านี้ ผู้ประกอบการที่จัดการข้อมูลส่วนบุคคล (ยกเว้นผู้ที่ได้ทำการแจ้งเตือนตามที่กำหนดไว้) จะต้องแจ้งเตือนบุคคลที่เกี่ยวข้องตามที่กำหนดในกฎข้อบังคับของคณะกรรมการการป้องกันข้อมูลส่วนบุคคล เมื่อเกิดสถานการณ์ดังกล่าว อย่างไรก็ตาม ในกรณีที่การแจ้งเตือนบุคคลที่เกี่ยวข้องมีความยากลำบาก และมีการดำเนินการทดแทนที่จำเป็นเพื่อปกป้องสิทธิและผลประโยชน์ของบุคคลแล้ว ก็ไม่ต้องปฏิบัติตามในส่วนนี้

กฎหมายการป้องกันข้อมูลส่วนบุคคล | e-Gov การค้นหากฎหมาย[ja]

หน้าที่ในการรายงานและแจ้งเตือนไม่ได้เกิดขึ้นในทุกกรณีที่เกิดการรั่วไหลของข้อมูล แต่จำกัดเฉพาะกรณีที่กำหนดไว้ในมาตรา 7 ของกฎหมายการปฏิบัติตามกฎหมายการป้องกันข้อมูลส่วนบุคคลดังต่อไปนี้

1. การรั่วไหลของข้อมูลส่วนบุคคลที่มีข้อมูลที่ต้องได้รับการพิจารณาเป็นพิเศษ (ตัวอย่าง: ผลการตรวจสุขภาพของพนักงาน)
2. การรั่วไหลของข้อมูลส่วนบุคคลที่อาจนำไปสู่ความเสียหายทางการเงินจากการใช้งานที่ไม่ถูกต้อง (ตัวอย่าง: หมายเลขบัตรเครดิต)
3. การรั่วไหลของข้อมูลส่วนบุคคลที่อาจถูกดำเนินการด้วยเจตนาที่ไม่ถูกต้อง
4. การรั่วไหลของข้อมูลส่วนบุคคลที่มีจำนวนบุคคลเกี่ยวข้องเกินกว่า 1,000 คน

การแก้ไขครั้งนี้มีการเปลี่ยนแปลงเนื้อหาในมาตรา 7 ข้อ 3

มาตรการจัดการความปลอดภัยคืออะไร

กฎหมายการป้องกันข้อมูลส่วนบุคคลกำหนดให้ผู้ประกอบการที่จัดการข้อมูลส่วนบุคคลต้องดำเนินการที่จำเป็นและเหมาะสมเพื่อป้องกันการรั่วไหลของข้อมูลส่วนบุคคลและเพื่อการจัดการความปลอดภัยอย่างมีประสิทธิภาพ

（มาตรการจัดการความปลอดภัย）
มาตราที่ 23 ผู้ประกอบการที่จัดการข้อมูลส่วนบุคคลต้องดำเนินการที่จำเป็นและเหมาะสมเพื่อป้องกันการรั่วไหล, การสูญหาย หรือการเสียหายของข้อมูลส่วนบุคคลและเพื่อการจัดการความปลอดภัยของข้อมูลส่วนบุคคลอื่นๆ

กฎหมายการป้องกันข้อมูลส่วนบุคคล｜e-Gov การค้นหากฎหมาย[ja]

ตัวอย่างเฉพาะเจาะจง ได้แก่ การควบคุมการเข้าถึง, การฝึกอบรมพนักงาน, และการจัดระเบียบกฎระเบียบ

กฎระเบียบก่อนการแก้ไข

ก่อนการแก้ไข, กฎระเบียบกำหนดให้มีหน้าที่ในการรายงานและดำเนินการควบคุมความปลอดภัยเมื่อเกิดการรั่วไหลของข้อมูลสำหรับ “ข้อมูลส่วนบุคคล” เท่านั้น สำหรับ “ข้อมูลที่เกี่ยวข้องกับบุคคล”, แม้จะเกิดการรั่วไหลขึ้น, ผู้ประกอบการไม่จำเป็นต้องรับผิดชอบในหน้าที่เหล่านี้

อย่างไรก็ตาม, การแก้ไขครั้งนี้ได้ขยายขอบเขตของหน้าที่ในการรายงานและการตั้งค่ามาตรการควบคุมความปลอดภัยไปยังบางส่วนของ “ข้อมูลที่เกี่ยวข้องกับบุคคล” ด้วย

วัตถุประสงค์และเป้าหมายของการแก้ไขกฎหมายการปกป้องข้อมูลส่วนบุคคล

การแก้ไขครั้งนี้มีจุดมุ่งหมายเพื่อรับมือกับการโจมตีแบบเว็บสกิมมิ่งโดยเฉพาะ การโจมตีแบบเว็บสกิมมิ่งคือการติดตั้งโปรแกรมที่ไม่ถูกต้องบนเว็บไซต์อีคอมเมิร์ซเพื่อขโมยข้อมูลส่วนบุคคล

โดยเฉพาะอย่างยิ่ง มีวิธีการที่ข้อมูลเช่นรหัสผ่านและข้อมูลบัตรเครดิตที่ผู้ใช้ป้อนในแบบฟอร์มจะถูกเก็บรวบรวมโดยตรงจากหน้าที่ป้อนข้อมูล

ในการโจมตีแบบเว็บสกิมมิ่ง ข้อมูลที่ผู้ใช้ป้อนจะถูกขโมยก่อนที่จะถูกรวมเข้ากับฐานข้อมูลข้อมูลส่วนบุคคลของผู้ประกอบการเว็บไซต์อีคอมเมิร์ซ ลักษณะนี้ทำให้ข้อมูลส่วนบุคคลที่ถูกขโมยนั้นยังไม่ถูกแปลงเป็น “ข้อมูลส่วนบุคคล”

ก่อนการแก้ไข หน้าที่ในการรายงานการรั่วไหลของข้อมูลมีเพียง “ข้อมูลส่วนบุคคล” เท่านั้นที่เป็นเป้าหมาย ดังนั้น เมื่อเกิดความเสียหายจากเว็บสกิมมิ่ง ผู้ประกอบการเว็บไซต์อีคอมเมิร์ซจึงไม่มีหน้าที่ต้องรายงาน

การแก้ไขครั้งนี้มีเป้าหมายเพื่อให้การรั่วไหลของข้อมูลจากเว็บสกิมมิ่งเป็นสิ่งที่ต้องรายงาน โดยขยายขอบเขตของการรายงานการรั่วไหลและมาตรการควบคุมความปลอดภัยให้รวมถึง “ข้อมูลส่วนบุคคล” ด้วย

เนื้อหาการแก้ไขของกฎหมายการปกป้องข้อมูลส่วนบุคคล พ.ศ. 2569 (令和6年)

การขยายขอบเขตของหน้าที่ในการรายงานการรั่วไหล

มาตรา 7 ข้อ 3 ของกฎหมายการปกป้องข้อมูลส่วนบุคคลได้รับการแก้ไขดังนี้

“ผู้ประกอบการที่จัดการข้อมูลส่วนบุคคล” นี้รวมถึงผู้รับจ้างและผู้ให้บริการจัดการข้อมูลส่วนบุคคลด้วย

นอกจากนี้ การพิจารณาว่าข้อมูลส่วนบุคคลที่ “กำลังจะได้รับ” นั้นตกอยู่ภายใต้ข้อกำหนดนี้หรือไม่ จะต้องพิจารณาจากวิธีการได้มาซึ่งข้อมูลส่วนบุคคลและอื่นๆ อย่างเป็นกลาง (ตามแนวทางทั่วไป 3-5-3-1)

ดังนั้น การขยายขอบเขตของหน้าที่ในการรายงานและแจ้งเตือนการรั่วไหลในบางกรณีไปยัง “ข้อมูลส่วนบุคคล” เป็นหนึ่งในการเปลี่ยนแปลงสำคัญของการแก้ไขในปี พ.ศ. 2569 (令和6年)

การขยายขอบเขตของมาตรการควบคุมความปลอดภัย

ตามการแก้ไขข้อบังคับเกี่ยวกับหน้าที่ในการรายงานการรั่วไหล การเปลี่ยนแปลงข้อความในแนวทางทั่วไปของกฎหมายการปกป้องข้อมูลส่วนบุคคล 3-4-2 ก็ได้รับการแก้ไขเช่นกัน

มาตรการควบคุมความปลอดภัยที่ผู้ประกอบการควรดำเนินการเพื่อป้องกันการรั่วไหลของข้อมูลส่วนบุคคล (รวมถึงข้อมูลส่วนบุคคลที่ผู้ประกอบการได้รับหรือกำลังพยายามได้รับ ซึ่งคาดว่าจะถูกจัดการเป็นข้อมูลส่วนบุคคล) ต้องเป็นมาตรการที่จำเป็นและเหมาะสม

ขอบเขตของมาตรการควบคุมความปลอดภัยได้รับการขยายออกไปไม่เพียงแต่ “ข้อมูลส่วนบุคคล” แต่ยังรวมถึง “ข้อมูลส่วนบุคคล” ในบางกรณีด้วย

อ้างอิง：คณะกรรมการการปกป้องข้อมูลส่วนบุคคล｜(พ.ศ. 2569 (令和6年) 4 เมษายน) แนวทางเกี่ยวกับกฎหมายการปกป้องข้อมูลส่วนบุคคล (แนวทางทั่วไป)

การดำเนินการที่ควรทำตามการบังคับใช้กฎหมายคุ้มครองข้อมูลส่วนบุคคลฉบับแก้ไข

มาตรการที่ควรดำเนินการเพื่อรับมือกับการบังคับใช้กฎหมายคุ้มครองข้อมูลส่วนบุคคลฉบับแก้ไขในปี พ.ศ. 2571 (ระยะเวลา 6 ของรัชกาลใหม่) มีดังนี้

• ปรับปรุงนโยบายความเป็นส่วนตัว
• ปรับปรุงกฎระเบียบภายในองค์กรและทำให้ทราบกันอย่างแพร่หลาย

เรามาดูรายละเอียดของแต่ละข้อกัน

ปรับปรุงนโยบายความเป็นส่วนตัว

ผู้ประกอบการที่จัดการข้อมูลส่วนบุคคลจะต้องให้มาตรการความปลอดภัยของข้อมูลส่วนบุคคลที่ถือครองอยู่ในสภาพที่สามารถเข้าถึงได้โดยเจ้าของข้อมูล ซึ่งรวมถึงสถานะที่สามารถตอบสนองต่อคำขอของเจ้าของข้อมูลได้อย่างไม่ล่าช้า (ตามมาตรา 32 ข้อ 1 หมวด 4 ของกฎหมายคุ้มครองข้อมูลส่วนบุคคลญี่ปุ่น)

ผู้ประกอบการที่ได้รับการตอบสนองด้วยการระบุมาตรการความปลอดภัยของข้อมูลส่วนบุคคลในนโยบายความเป็นส่วนตัวจะต้องระมัดระวัง คุณจะต้องเพิ่มข้อความในนโยบายความเป็นส่วนตัวเพื่อรวมข้อมูลส่วนบุคคลบางประเภทเข้ากับมาตรการความปลอดภัยใหม่

ปรับปรุงกฎระเบียบภายในองค์กรและทำให้ทราบกันอย่างแพร่หลาย

เนื่องจากมีหน้าที่ในการรายงานและแจ้งเตือนเมื่อเกิดการรั่วไหลของข้อมูลส่วนบุคคลบางส่วน จึงจำเป็นต้องสะท้อนให้เห็นในกฎระเบียบภายในองค์กรและทำให้พนักงานทราบอย่างแพร่หลาย

การรั่วไหลของข้อมูลส่วนบุคคลที่กลายเป็นหัวข้อของการรายงานและการแจ้งเตือนใหม่ไม่จำกัดเฉพาะเหตุการณ์เว็บสกิมมิ่งเท่านั้น

ตัวอย่างเช่น หากผู้ประกอบการที่จัดการข้อมูลส่วนบุคคลส่งซองตอบกลับที่มีการเปลี่ยนแปลงที่อยู่ให้กับลูกค้า และข้อมูลส่วนบุคคลที่กรอกในแบบสอบถามภายในซองถูกส่งไปยังบุคคลที่สาม ในกรณีที่ข้อมูลส่วนบุคคลนั้นมีการวางแผนจะถูกจัดการเป็นข้อมูลส่วนบุคคล จะเกิดหน้าที่ในการรายงานและแจ้งเตือนการรั่วไหลของข้อมูล

เนื่องจากการจัดการข้อมูลส่วนบุคคลที่ไม่เคยมีหน้าที่เกิดขึ้นมาก่อนจะเปลี่ยนแปลง จึงจำเป็นต้องกระตุ้นให้พนักงานให้ความสนใจ

สรุป: ควรปรึกษาผู้เชี่ยวชาญเกี่ยวกับการปรับตัวตามการแก้ไขกฎหมายคุ้มครองข้อมูลส่วนบุคคล

ในการแก้ไขกฎหมายคุ้มครองข้อมูลส่วนบุคคลของญี่ปุ่นในปี พ.ศ. 2569 (รัชกาลเรวะ 6), มีการขยายขอบเขตของการรายงานและการแจ้งเตือนเมื่อเกิดการรั่วไหลของข้อมูล รวมถึงมาตรการควบคุมความปลอดภัย โดยเฉพาะอย่างยิ่งมาตรการป้องกันการสกิมข้อมูลบนเว็บ ก่อนการแก้ไขนี้, เฉพาะ “ข้อมูลส่วนบุคคล” เท่านั้นที่ถูกครอบคลุม แต่ตอนนี้ในบางกรณี “ข้อมูลส่วนบุคคล” ก็ถูกนำมาพิจารณาด้วย

การแก้ไขครั้งนี้ทำให้จำเป็นต้องดำเนินการปรับปรุงนโยบายความเป็นส่วนตัวและกฎระเบียบภายในองค์กร

การจัดการข้อมูลส่วนบุคคลอาจนำไปสู่ความเสี่ยงที่สำคัญ เช่น การสูญเสียความน่าเชื่อถือทางสังคม หากมีการจัดการไม่ถูกต้อง ดังนั้น เราขอแนะนำให้ปรึกษากับทนายความเมื่อต้องการดำเนินการ

แนะนำมาตรการของเรา

สำนักงานกฎหมายมอนอลิธเป็นสำนักงานกฎหมายที่มีประสบการณ์อันเข้มข้นทั้งในด้าน IT โดยเฉพาะอินเทอร์เน็ตและกฎหมาย ในปัจจุบัน การรั่วไหลของข้อมูลส่วนบุคคลกลายเป็นปัญหาใหญ่ หากข้อมูลส่วนบุคคลรั่วไหลออกไป อาจส่งผลกระทบร้ายแรงต่อกิจกรรมของบริษัทได้ เรามีความเชี่ยวชาญเฉพาะทางในการป้องกันและรับมือกับการรั่วไหลของข้อมูล รายละเอียดเพิ่มเติมได้ระบุไว้ในบทความด้านล่างนี้

สาขาที่สำนักงานกฎหมายมอนอลิธให้บริการ: กฎหมายที่เกี่ยวข้องกับการปกป้องข้อมูลส่วนบุคคล[ja]