กฎหมายการคุ้มครองข้อมูลส่วนบุคคลและข้อมูลส่วนบุคคลคืออะไร? ทนายความอธิบาย

ในปี 2015 (พ.ศ. 2558) กฎหมายคุ้มครองข้อมูลส่วนบุคคลของญี่ปุ่น (หรือที่ถูกเรียกว่า ‘กฎหมายเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล’ ในภาษาไทย) ได้รับการแก้ไข (และเริ่มบังคับใช้ตั้งแต่ปี 2017 หรือ พ.ศ. 2560) ซึ่งเป็นกฎหมายที่สำคัญในการพิจารณาปัญหาเกี่ยวกับข้อมูลส่วนบุคคลในกิจการทางธุรกิจ และช่วยให้เข้าใจถึงหน้าที่ทางกฎหมายที่ผู้ดำเนินการที่จัดการข้อมูลส่วนบุคคลต้องรับผิดชอบอย่างชัดเจน ในอดีต ผู้ดำเนินการที่จัดการข้อมูลส่วนบุคคลจะถูกจำกัดเฉพาะที่มีข้อมูลส่วนบุคคลเกิน 5000 คน จนถึงปี 27 ของยุคฮิเซย์ (2015 หรือ พ.ศ. 2558) ดังนั้น มีหลายบริษัทที่ไม่ได้เป็นผู้ดำเนินการที่จัดการข้อมูลส่วนบุคคล เช่น บริษัทขนาดเล็ก แต่หลังจากการแก้ไขกฎหมายในปี 2015 ข้อจำกัดนี้ถูกยกเลิก ทำให้เกือบทุกบริษัทกลายเป็นผู้ดำเนินการที่จัดการข้อมูลส่วนบุคคล และกลายเป็นกฎหมายที่ไม่สามารถหลีกเลี่ยงได้สำหรับเจ้าของธุรกิจขนาดเล็ก สำหรับการขายสินค้าทางไปรษณีย์ จดหมายข่าว การส่งจดหมายโฆษณา หรือการใช้บัตรสะสมคะแนนสำหรับร้านค้าที่มีที่ตั้งจริง จำเป็นต้องจัดการข้อมูลส่วนบุคคล เช่น ชื่อและที่อยู่อีเมลของลูกค้า ดังนั้น จึงจำเป็นต้องเข้าใจพื้นฐานของกฎหมายคุ้มครองข้อมูลส่วนบุคคล

วัตถุประสงค์และนิยามของกฎหมายคุ้มครองข้อมูลส่วนบุคคลญี่ปุ่น

กฎหมายคุ้มครองข้อมูลส่วนบุคคลญี่ปุ่นคือกฎหมายประเภทใด? มาดูภาพรวมของกฎหมายนี้กัน ในมาตรา 1 กำหนดวัตถุประสงค์ของกฎหมายนี้อย่างชัดเจน

มาตรา 1 ของกฎหมายคุ้มครองข้อมูลส่วนบุคคลญี่ปุ่น
กฎหมายนี้มีวัตถุประสงค์เพื่อคุ้มครองสิทธิและประโยชน์ของบุคคลโดยพิจารณาถึงประโยชน์ของข้อมูลส่วนบุคคล โดยกำหนดหลักการพื้นฐานและนโยบายพื้นฐานของรัฐบาลเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล และการกำหนดหน้าที่ของรัฐและองค์กรของรัฐท้องถิ่น รวมถึงกำหนดหน้าที่ที่ผู้ประกอบการที่จัดการข้อมูลส่วนบุคคลควรปฏิบัติ เพื่อให้การใช้ข้อมูลส่วนบุคคลอย่างเหมาะสมและมีประสิทธิภาพส่งเสริมการสร้างอุตสาหกรรมใหม่ การเศรษฐกิจที่มีชีวิตชีวา และการดำรงชีวิตของประชาชนที่อุดมสมบูรณ์

ดังที่กล่าวไว้

ในมาตรา 2 นิยามข้อมูลส่วนบุคคล ข้อมูลส่วนบุคคลที่ถือครอง และข้อมูลส่วนบุคคล (มาตรา 2 ข้อ 1, 4, และ 5) ในกฎหมายคุ้มครองข้อมูลส่วนบุคคลญี่ปุ่น “ข้อมูลส่วนบุคคล” หมายถึง “ข้อมูลเกี่ยวกับบุคคลที่ยังมีชีวิต” ซึ่ง “สามารถระบุบุคคลที่เฉพาะเจาะจงได้จากชื่อ วันเดือนปีเกิด และข้อมูลอื่น ๆ ที่รวมอยู่ในข้อมูลนั้น (รวมถึงข้อมูลที่สามารถเปรียบเทียบได้ง่ายกับข้อมูลอื่น ๆ และสามารถระบุบุคคลที่เฉพาะเจาะจงได้)” “ข้อมูลส่วนบุคคล” คือข้อมูลส่วนบุคคลที่ถูกจัดเก็บในฐานข้อมูลโดยคอมพิวเตอร์ และข้อมูลที่ผู้ประกอบการถือครองมากกว่า 6 เดือนเรียกว่า “ข้อมูลส่วนบุคคลที่ถือครอง”

ความจำเป็นในการคุ้มครองข้อมูลส่วนบุคคลขึ้นอยู่กับว่าข้อมูลนั้นถูกจัดเก็บในฐานข้อมูลหรือไม่ ข้อมูลส่วนบุคคลเป็นข้อมูลส่วนบุคคลที่ถูกจัดเก็บในฐานข้อมูลและสามารถค้นหาได้ง่าย ซึ่งมีความเป็นไปได้สูงที่จะละเมิดสิทธิ์ ดังนั้น ได้รับการคุ้มครองที่แข็งแกร่งกว่าข้อมูลส่วนบุคคลทั่วไป

ข้อมูลส่วนบุคคลที่ถือครองได้รับการคุ้มครองที่แข็งแกร่งยิ่งขึ้น ซึ่งเป็นข้อมูลส่วนบุคคลที่ผู้จัดการข้อมูลส่วนบุคคลมีสิทธิ์เปิดเผย แก้ไข เพิ่ม หรือลบ หยุดการใช้ ลบ และหยุดการให้ข้อมูลแก่บุคคลที่สาม (มาตรา 2 ข้อ 7) สำหรับข้อมูลส่วนบุคคลที่ถือครอง บุคคลที่เกี่ยวข้องมีสิทธิ์เรียกร้องให้เปิดเผย แก้ไข หยุดการใช้ และอื่น ๆ ตามความต้องการที่เหมาะสมต่อข้อมูลของตนเอง (จะกล่าวถึงในภายหลัง)

กฎระเบียบเกี่ยวกับการจัดการข้อมูลส่วนบุคคล

เพื่อป้องกันการใช้ข้อมูลส่วนบุคคลอย่างไม่เหมาะสม คุณต้องระบุวัตถุประสงค์ในการใช้ข้อมูลส่วนบุคคลอย่างชัดเจน และจำกัดการจัดการข้อมูลให้อยู่ในขอบเขตที่จำเป็นสำหรับการบรรลุวัตถุประสงค์นั้น

ดังนั้น ผู้ประกอบการที่จัดการข้อมูลส่วนบุคคลต้อง

• ระบุวัตถุประสงค์ในการจัดการข้อมูลส่วนบุคคลอย่างชัดเจนเท่าที่จะทำได้ (มาตรา 15 ข้อ 1)
• ไม่จัดการข้อมูลส่วนบุคคลเกินขอบเขตที่จำเป็นสำหรับการบรรลุวัตถุประสงค์ (มาตรา 16 ข้อ 1)
• ไม่ได้รับข้อมูลส่วนบุคคลโดยการหลอกลวงหรือวิธีที่ไม่ซื่อสัตย์ (มาตรา 17 ข้อ 1)
• หากได้รับข้อมูลส่วนบุคคล ต้องแจ้งหรือประกาศวัตถุประสงค์ในการใช้ข้อมูลนั้นให้ผู้ที่เป็นเจ้าของข้อมูลทราบ (มาตรา 18)

กฎหมายคุ้มครองข้อมูลส่วนบุคคลของญี่ปุ่น กำหนดให้ผู้ประกอบการใช้ข้อมูลส่วนบุคคลที่ถือครองอยู่ตามวัตถุประสงค์ที่ระบุและประกาศไว้ล่วงหน้า นั่นคือ “คุณสามารถใช้ข้อมูลส่วนบุคคลได้ตามที่คุณต้องการ แต่คุณต้องระบุและประกาศวัตถุประสงค์ของคุณ” ตัวอย่างเช่น “การใช้ข้อมูลส่วนบุคคลเพื่อแสดงโฆษณาที่ตรงกับลักษณะของผู้ใช้” ไม่ได้เป็นการกระทำที่ผิดกฎหมาย แต่คุณต้องประกาศวัตถุประสงค์ในการใช้ข้อมูลนั้นล่วงหน้า วิธีการประกาศไม่ได้ถูกกำหนดไว้โดยเฉพาะ แต่การทำเช่นนี้โดยทั่วไปจะเป็นในรูปแบบของ “นโยบายความเป็นส่วนตัว” หรือ “นโยบายคุ้มครองข้อมูลส่วนบุคคล”

อย่างไรก็ตาม สำหรับข้อมูลส่วนบุคคลที่เป็นข้อมูลที่ละเอียดอ่อน การได้รับข้อมูลนี้โดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลถือเป็นการห้าม (มาตรา 17 ข้อ 2)

ข้อมูลส่วนบุคคลที่ละเอียดอ่อน คือ

มาตรา 2 ข้อ 3
ในกฎหมายนี้ “ข้อมูลส่วนบุคคลที่ละเอียดอ่อน” หมายถึง ข้อมูลส่วนบุคคลที่รวมถึงรายละเอียดที่กำหนดโดยพระราชบัญญัติ เพื่อป้องกันการเลือกปฏิบัติ การเลือกค้าน หรือความเสียหายอื่น ๆ ที่อาจเกิดขึ้นกับบุคคลนั้น ๆ ที่เกี่ยวข้องกับเชื้อชาติ ความเชื่อ สถานะทางสังคม ประวัติการเจ็บป่วย ประวัติอาชญากรรม หรือความจริงที่ได้รับความเสียหายจากอาชญากรรม

นอกจากนี้ ยังรวมถึงผลการตรวจสุขภาพ คำแนะนำ การรักษา การจ่ายยา โดยแพทย์ การดำเนินการทางอาญา และการดำเนินการเกี่ยวกับเด็กที่ต้องได้รับการคุ้มครอง

หากไม่มีเหตุผลพิเศษ การได้รับข้อมูลส่วนบุคคลที่ละเอียดอ่อนโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลถือเป็นการห้าม ข้อบังคับที่เข้มงวดนี้มีเพราะข้อมูลส่วนบุคคลที่ละเอียดอ่อนอาจถูกได้รับและจัดการในกรณีที่ไม่คิดว่าจำเป็น และอาจสร้างความเลือกปฏิบัติและความเลือกค้าน

กฎระเบียบเกี่ยวกับการจัดการและการตรวจสอบ

มีความกังวลและรู้สึกวิตกกังวลอย่างมากเมื่อมีข้อมูลส่วนบุคคลรั่วไหลหรือถูกแก้ไข สำหรับข้อมูลส่วนบุคคลที่ถูกจัดเก็บในฐานข้อมูล มีกรณีที่เกิดปัญหาทางสังคมอย่างมาก เช่น การรั่วไหลข้อมูลลูกค้าจำนวนมาก ดังนั้น ผู้ประกอบการที่จัดการข้อมูลส่วนบุคคลจึงต้องรับผิดชอบในการดำเนินมาตรการที่เหมาะสมและเพียงพอเพื่อการจัดการข้อมูลส่วนบุคคลอย่างปลอดภัย (มาตรการจัดการความปลอดภัย) (มาตรา 20)

การละเมิดหน้าที่ในการจัดการความปลอดภัย

ในความเป็นจริง ในกรณีที่ข้อมูลส่วนบุคคลรั่วไหลหรือถูกเผยแพร่บนอินเทอร์เน็ต มักจะมีการยอมรับว่ามีการละเมิดหน้าที่ในการจัดการความปลอดภัยในส่วนใหญ่ และเนื่องจากมีการระบุเนื้อหาของมาตรการจัดการความปลอดภัยที่สอดคล้องกับลักษณะของธุรกิจขนาดเล็กและกลางใน “แนวทางเกี่ยวกับกฎหมายที่เกี่ยวข้องกับการป้องกันข้อมูลส่วนบุคคล (ฉบับทั่วไป)” (คณะกรรมการการป้องกันข้อมูลส่วนบุคคล) การดำเนินการตามแนวทางนี้ไม่เพียงแค่เป็นการปฏิบัติตามมาตรา 20 ของกฎหมายการป้องกันข้อมูลส่วนบุคคล แต่ยังมีความสำคัญในการหลีกเลี่ยงสถานการณ์ที่จะถูกถามถึงความรับผิดชอบทางกฎหมายเนื่องจากการละเมิดความเป็นส่วนตัวจากการรั่วไหลข้อมูลบนอินเทอร์เน็ต

อย่างไรก็ตาม ไม่ว่าจะมีการจัดระบบหรือระบบอย่างไร การดำเนินการที่เหมาะสมในที่สุดก็ยังคงขึ้นอยู่กับคน ดังนั้น “ผู้ประกอบการที่จัดการข้อมูลส่วนบุคคลต้องตรวจสอบพนักงานที่เกี่ยวข้องอย่างเหมาะสมและเพียงพอเมื่อให้พนักงานดังกล่าวจัดการข้อมูลส่วนบุคคล เพื่อให้มั่นใจว่ามีการจัดการข้อมูลส่วนบุคคลอย่างปลอดภัย” (มาตรา 21)

https://monolith.law/corporate/trends-in-personal-information-leakage-and-loss-accidents-in-2019[ja]

โปรดทราบว่า การขายหรือนำข้อมูลลูกค้าของพนักงานออกไป ไม่เพียงแค่พนักงานดังกล่าวต้องรับผิดชอบทางกฎหมายเนื่องจากการกระทำผิด (มาตรา 709 ของกฎหมายแพ่ง) แต่ผู้ประกอบการที่จัดการข้อมูลส่วนบุคคลเองก็อาจต้องรับผิดชอบในฐานะผู้ใช้งาน (มาตรา 715 ของกฎหมายแพ่ง) ดังนั้น ควรระมัดระวัง

“การให้บริการแก่บุคคลที่สาม” และ “การมอบหมาย”

ในกฎหมายการป้องกันข้อมูลส่วนบุคคล แม้ว่าจะเป็นเพื่อวัตถุประสงค์ที่ได้ประกาศไว้ล่วงหน้า การให้ข้อมูลส่วนบุคคลของลูกค้าแก่ “บุคคลที่สาม” จะถูกห้ามโดยหลัก หากไม่ได้รับความยินยอม แต่ถ้ายังคงปฏิบัติตามกฎนี้ การวางฐานข้อมูลที่เกี่ยวข้องกับลูกค้าบนเซิร์ฟเวอร์เช่าก็จะถือว่าผิดกฎหมาย เนื่องจากเซิร์ฟเวอร์เช่าเป็น “บุคคลที่สาม” สำหรับธุรกิจ

อย่างไรก็ตาม ใน “การให้บริการแก่บุคคลที่สาม” “การมอบหมาย” ได้รับการยกเว้นอย่างพิเศษ และถ้าเป็นการ “มอบหมาย” แก่บุคคลที่ไม่ใช้ข้อมูลนั้น จะได้รับอนุญาต เช่น เซิร์ฟเวอร์เช่าเพียงแค่เก็บข้อมูล และไม่ใช้ข้อมูล การมอบหมายการจัดการข้อมูลส่วนบุคคลแก่บุคคลที่สามนี้มักจะเกิดขึ้นบ่อย แต่เพื่อป้องกันสถานการณ์ที่ผู้รับมอบหมายจัดการข้อมูลอย่างไม่เหมาะสม หรือการมอบหมายที่ซับซ้อนทำให้ไม่ชัดเจนว่าความรับผิดชอบอยู่ที่ใด “ผู้ประกอบการที่จัดการข้อมูลส่วนบุคคลต้องตรวจสอบผู้รับมอบหมายอย่างเหมาะสมและเพียงพอเมื่อมอบหมายการจัดการข้อมูลส่วนบุคคลทั้งหมดหรือบางส่วน เพื่อให้มั่นใจว่ามีการจัดการข้อมูลส่วนบุคคลอย่างปลอดภัย” (มาตรา 22)

การปรับปรุงการจัดการข้อมูลส่วนบุคคลโดยการมีส่วนร่วมของบุคคลเอง

กฎหมายการคุ้มครองข้อมูลส่วนบุคคล (Japanese Personal Information Protection Law) อนุญาตให้บุคคลที่เกี่ยวข้องสามารถขอให้ผู้ประกอบการที่จัดการข้อมูลส่วนบุคคลเปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวข้องกับตนเอง (มาตรา 28) แก้ไข การเพิ่มเติม หรือการลบ (มาตรา 29) หยุดการใช้งาน (มาตรา 30) ภายใต้เงื่อนไขที่กำหนดไว้ สิทธิ์เหล่านี้ที่บุคคลที่เกี่ยวข้องมีถูกยืนยันว่าเป็นสิทธิ์การร้องขอตามกฎหมายส่วนบุคคล และถ้าผู้ประกอบการที่จัดการข้อมูลส่วนบุคคลไม่ตอบสนองต่อการร้องขอ สามารถทำให้สิทธิ์นี้เป็นจริงผ่านทางการศาล

ผู้ประกอบการที่จัดการข้อมูลส่วนบุคคลต้องเปิดเผยข้อมูลส่วนบุคคลที่ถือครองถ้ามีการร้องขอจากบุคคลที่เกี่ยวข้อง ถ้ามีข้อผิดพลาดในเนื้อหา ต้องตอบสนองต่อการแก้ไข และถ้ามีการจัดการที่ฝ่าฝืนหน้าที่ตามกฎหมาย เช่น การใช้งานที่ไม่เกี่ยวข้องกับวัตถุประสงค์ วิธีการรับที่ไม่เหมาะสม หรือการให้บุคคลที่สามใช้โดยไม่ได้รับความยินยอมจากบุคคลที่เกี่ยวข้อง ต้องหยุดการใช้ข้อมูล ดังนั้น กฎหมายการคุ้มครองข้อมูลส่วนบุคคคลนี้เป็นกฎหมายที่มุ่งมั่นที่จะปกป้องสิทธิ์ของประชาชนโดยการกำหนดหน้าที่ต่างๆให้กับผู้ประกอบการที่จัดการข้อมูลส่วนบุคคล

โทษทางกฎหมายเกี่ยวกับการรั่วไหลของข้อมูลส่วนบุคคล

ในกฎหมายคุ้มครองข้อมูลส่วนบุคคลของญี่ปุ่น (Japanese Personal Information Protection Law) ได้กำหนดโทษทางกฎหมายสำหรับกรณีที่ผู้ประกอบการทำให้ข้อมูลส่วนบุคคลรั่วไหล

หากผู้ประกอบการฝ่าฝืนกฎหมายคุ้มครองข้อมูลส่วนบุคคลและทำให้ข้อมูลรั่วไหล ขั้นแรก รัฐจะ “แนะนำให้หยุดการกระทำที่ผิดและดำเนินมาตรการที่จำเป็นเพื่อแก้ไขการฝ่าฝืน” (มาตรา 42) หากยังฝ่าฝืนต่อไป ผู้ที่ฝ่าฝืนจะถูก “จำคุกไม่เกิน 6 เดือน หรือปรับไม่เกิน 300,000 เยน” (มาตรา 84) และบริษัทที่จ้างผู้ที่ฝ่าฝืนนี้อาจ “ถูกปรับไม่เกิน 300,000 เยน” (มาตรา 85) นอกจากนี้ หากมีการให้หรือขโมยข้อมูลเพื่อผลประโยชน์ที่ไม่เป็นธรรม จะถูก “จำคุกไม่เกิน 1 ปี หรือปรับไม่เกิน 500,000 เยน” โดยไม่ต้องรับคำแนะนำ (มาตรา 83)

https://monolith.law/corporate/risk-of-company-personal-information-leak-compensation-for-damages[ja]

สรุป

กฎหมายการคุ้มครองข้อมูลส่วนบุคคลของญี่ปุ่น (Japanese Personal Information Protection Law) เป็นกฎหมายที่กำหนดให้ผู้ประกอบการที่จัดการข้อมูลส่วนบุคคลต้องจัดการข้อมูลดังกล่าวอย่างเหมาะสม และดำเนินมาตรการที่จำเป็นและเหมาะสมเพื่อการจัดการที่ปลอดภัย ซึ่งเป็นกฎหมายที่สำคัญและไม่สามารถหลีเลี่ยงได้สำหรับธุรกิจทุกประเภท