Reiwa 4 Yılı (2022) Kişisel Bilgi Koruma Yasası'nda 'Takma İsim İşleme Bilgisi' Yeni Kurulumu ve Diğerleri ile Veri Kullanımının Teşviki
Kişisel bilgilerin işlenmesi hakkındaki yasalar sık sık değiştirilir ve döneme uygun olarak değişir. Kişisel bilgi işleyen işletmeler, bu değişiklik noktalarını hızla yakalamalı ve şirket içi yapılarını düzenlemelidirler.
Kişisel hakların güçlendirilmesi, yabancılar da dahil olmak üzere üçüncü taraflara sağlanan değişiklikler, “takma ad işleme bilgileri” ve “kişisel ilişkili bilgiler” gibi yeni kurulumlar, 2022 (Gregorian Takvimi’ne göre) yılında “Japon Kişisel Bilgi Koruma Yasası”nda değiştirilecek noktalar geniş kapsamlıdır. İşletmeler, hangi değişikliklerin yapıldığını ve ne tür bir yanıt verilmesi gerektiğini doğru bir şekilde anlamalıdır.
Bu nedenle, 1 Nisan 2022 (Reiwa 4) tarihinde yeniden düzenlenen “Japon Kişisel Bilgi Koruma Yasası” ve kişisel bilgi işleyen işletmelerin uygulamalarına yönelik kontrol noktalarını açıklıyoruz.
Kişisel Bilgi Koruma Yasası Nedir?
“Kişisel Bilgi Koruma Yasası” olarak bilinen yasanın resmi adı “Kişisel Bilgilerin Korunması Hakkında Kanun”dur. “Kişisel Bilgi Koruma Yasası”, kişisel bilgilerin kullanılabilirliği ile bireyin hak ve çıkarlarının korunması arasındaki dengeyi sağlamayı amaçlayan, kişisel bilgilerin uygun şekilde ele alınmasını (edinme, kullanma, saklama, yönetme, sağlama, ifşa etme, durdurma, silme yöntemlerinin düzenlenmesi) belirleyen bir yasadır.
“Kişisel Bilgi Koruma Komisyonu”nun denetiminde, kişisel bilgi veritabanlarını ve benzerlerini işleyen tüm kamu kurumları ve özel sektör işletmelerine yönelik uyulması gereken yükümlülükler ve ihlal durumunda uygulanacak cezai hükümler belirlenmiştir.
Kişisel Bilgi Koruma Yasası’nın Değişiklik Süreci
Kişisel Bilgi Koruma Yasası, Heisei 15 yılında (2003) 23 Mayıs’ta kabul edildi (Kanun No. 57, 30 Mayıs, Heisei 15) ve genel işletmelerle doğrudan ilgili olan ve cezai yaptırımları içeren 4. bölüm ile 6. bölüm arasındaki hükümler hemen yürürlüğe girdi ve Heisei 17 yılında (2005) 1 Nisan’da tamamen yürürlüğe girdi.
Heisei 27 yılında (2015) yapılan değişikliklerle, toplumun dijitalleşmesine yanıt olarak “kişisel bilgilerin korunması” ve “kişisel verilerin kullanılabilirliği” arasında bir denge, “uluslararası sistemlerle uyum” gerektiren bir durumda, her üç yılda bir gözden geçirme hükmü de dahil edildi.
Heisei 29 yılında (2017) Mayıs’ta yürürlüğe giren değişikliklerle, kişisel verilere “kişisel tanımlama kodu”, “dikkate alınması gereken kişisel bilgiler” ve “anonimleştirilmiş bilgiler” eklenmiştir. Ayrıca, izlenebilirlik (takip edilebilirliğin sağlanması) sistemi, kişisel verilerin silinmesi için çaba gösterme yükümlülüğü, yurtdışındaki üçüncü taraflara sağlanan bilgilerin sınırlanması ve Kişisel Bilgi Koruma Komisyonu’nun kurulması gibi yeni hükümler eklenmiştir. Bu, bakanlar tarafından yapılan denetimden Kişisel Bilgi Koruma Komisyonu tarafından yapılan merkezi bir denetim sistemine geçişi ifade eder.
Ve sonra, Reiwa 4 yılında (2022) 1 Nisan’da, değişikliklerle Kişisel Bilgi Koruma Yasası yürürlüğe girdi.
Bu, Reiwa 2 yılında (2020) 12 Haziran’da ilan edilen bir yasadır ve önceki kişisel bilgi koruma yasalarının üçünü (Kişisel Bilgi Koruma Yasası, İdari Organ Kişisel Bilgi Koruma Yasası, Bağımsız İdari Kuruluş Kişisel Bilgi Koruma Yasası) birleştirme ve tek bir yasa haline getirme amacıyla, “Kişisel Bilgi Koruma Yasası” nın en büyük değişikliği olmuştur.
Kişisel bilgilerin tanımı ve diğer konularda kamu ve özel sektör arasındaki birlik, küresel AI ve büyük veri çağına yanıt ve bireysel hak ve çıkarların korunmasının güçlendirilmesi gerekliliği nedeniyle, çeşitli değişiklikler içeren yeni bir yasa eklenmiştir.
Özellikle, kişisel verilere “takma ad işleme bilgileri” ve “kişiye özgü bilgiler” eklenmiştir. Ayrıca, yurtdışı dahil olmak üzere kişisel verilerin işlenmesi ile ilgili düzenlemeler güçlendirilmiş ve daha sert cezalar getirilmiştir. Ayrıca, bir sızıntı (sızıntı, kayıp, hasar) durumunda, Kişisel Bilgi Koruma Komisyonu’na bildirimde bulunma ve kişiye bildirimde bulunma zorunlu hale getirilmiştir.
Yani, Japonya’da bulunan kişilere ait kişisel bilgileri işleyen yabancı işletmeler de idari raporlama ve emirlerin hedefi olacak ve cezai yaptırımlar uygulanacaktır. Cezalar hakkında daha ayrıntılı bilgi için bu makaleye bakabilirsiniz.
İlgili Makale: Reiwa 4 (2022) Kişisel Bilgi Koruma Yasası Değişiklikleri ‘Cezalar’ Hakkında [ja]
Ayrıca, 2023 (Reiwa 5) yılında 1 Nisan’da, “yerel halk kuruluşlarının kişisel bilgi koruma düzenlemeleri ve uygulamaları”, “tıp alanındaki yasal kurallar”, “akademik alandaki istisnai hükümler” nedeniyle koruma seviyesindeki dengesizlik ve uyumsuzluğu düzeltmek amacıyla, düzenlemelerin birleştirilmesi ve “Kişisel Bilgi Koruma Komisyonu”nun merkezi bir şekilde sistemi yönetmesi amaçlanan bir yasa tamamen yürürlüğe girecektir.
Reiwa 4 (2022) Yılında Değişen Kişisel Bilgi Koruma Yasasının 6 Ana Noktası
Reiwa 2 (2020) yılında yeniden düzenlenen Kişisel Bilgi Koruma Yasası, toplum ve ekonomik durumların değişimini göz önünde bulundurarak, “teknolojik yeniliklerin sonuçlarına dayalı kişisel bilgiler ve kişiye ilişkin bilgilerin ekonomik büyüme ve kişisel hakların korunması açısından yayılması” hedefiyle değiştirilmiştir.
- Kişisel hakların korunması
- Teknolojik yeniliklerin sonuçlarına dayalı koruma ve kullanımın güçlendirilmesi
- Uluslararası sistem uyumu ve işbirliği
- Sınırlar ötesi veri akışının artmasıyla birlikte risklere yanıt
- AI ve Büyük Veri çağına yanıt
Reiwa 4 yılında Kişisel Bilgi Koruma Yasası’nda yapılan değişikliklerin ana noktaları aşağıdaki 6 madde olarak belirlenmiştir:
- Kişinin talep hakkının genişletilmesi
- İşletmenin ek görevleri
- İşletmelerin kendi başlarına girişimlerini teşvik etme
- Veri kullanımının teşviki
- Cezaların güçlendirilmesi
- Yurtdışı uygulamalarının genişletilmesi
1 Nisan 2022 (Reiwa 4) tarihinde yürürlüğe giren “Değişen Kişisel Bilgi Koruma Yasası”na uyum sağlamak için, kişisel bilgi işleyen işletmelerin, kişisel bilgi koruma ile ilgili yönetim sistemlerini, gizlilik politikalarını, iç düzenlemelerini ve sözleşme içeriklerini (kullanım koşulları vb.) gözden geçirmesi ve revize etmesi gerekmektedir. Kişisel Bilgi Koruma Komisyonu (PPC)’nın sürekli güncellenen “Kişisel Bilgi Koruma Yasası Kılavuzu” ve eğitim materyallerini referans alarak, kendi kişisel bilgi yönetim sistemlerinizi gözden geçirin.
Not: Bu değişiklikler arasında, eklenen işletme görevleri hakkında ayrıntılı bir açıklama aşağıdaki makalede bulunabilir. Lütfen birlikte göz atın.
İlgili Makale: Reiwa 4 (2022) Yılında Değişen Kişisel Bilgi Koruma Yasası ‘İşletmenin Görevleri’ Hakkında Dikkat Edilmesi Gerekenler [ja]
Kişisel Verilere İlişkin Kişisel Hakların Durumu
Burada, bu seferki değişiklikle genişletilen kişisel verilere ilişkin haklar ve pratikte hangi tür bir yanıtın gerektiği hakkında açıklama yapacağız.
Kullanımın Durdurulması, Silinmesi, Üçüncü Tarafın Sağlanmasının Durdurulması Taleplerinin Şartlarının Esnetilmesi
Kişisel bilgilerin kullanımının durdurulması, silinmesi veya üçüncü tarafın sağlanmasının durdurulması talepleri, değişiklik öncesi sadece amaç dışı kullanım veya haksız kazanç durumlarında mümkündü. Ancak, değişiklikle birlikte, kişisel haklar veya meşru çıkarların zarar görmesi riski durumunda da talepte bulunulabilir hale geldi. Ayrıca, kişisel bilgilerin kullanılmasına gerek kalmadığı durumlarda da bu talepler mümkün hale geldi.
Dolayısıyla, değişiklik sonrası, kişisel bilgi işleyen işletmelere yönelik bu tür taleplerin sayısının artması beklenmektedir. İşletmelerin bu taleplere yanıt vermek için kaynakları ve prosedürlerini yeniden düzenlemesi gerekecektir.
Ayrıca, “kullanım gerekliliğinin sona erip ermediğini” belirlemek için, her bir kişisel veriye ilişkin kullanım amacını doğrulayabilecek bir sistem gerekecektir.
Kişiden Açıklama Taleplerinin Genişletilmesi
Kişinin “kişisel veri açıklama talepleri” genişletildi ve kişisel bilgi işleyen işletmelerin kişisel veri alışverişine ilişkin üçüncü taraf sağlama kayıtları da açıklama taleplerine dahil edildi.
Ayrıca, daha önce açıklama talepleri sadece yazılı teslimatla mümkünken, kişinin belirlediği bir yöntemle açıklama (elektronik kayıt sağlama yoluyla açıklama) seçeneği de mümkün hale geldi. Bu, kişisel bilgi işleyen işletmelere yönelik çevrimiçi açıklama taleplerinin artmasını bekleyebiliriz. İşletmelerin, elektronik kayıt sağlama yöntemini gerçekleştirebilmek için teknik ve organizasyonel çabaları gerekecektir.
Kişisel bilgi işleyen işletmeler, kişi kişisel veri sağlama yöntemini belirleyerek açıklama talep ettiğinde, belirlenen yöntemle açıklama yapmanın zor olduğu durumlar dışında, kişinin talep ettiği yöntemle açıklama yapmalıdır.
Kişisel bilgi işleyen işletmeler, elektronik kayıt dosya formatını (PDF formatı, Word formatı vb.) ve elektronik kayıt sağlama yöntemini (elektronik kaydı bir kayıt ortamına kaydedip postayla gönderme, elektronik kaydı bir e-postaya ekleyip gönderme, bir web sitesinde elektronik kaydı indirme vb. yöntemler) belirleyebilir ve kişinin belirlediği açıklama yöntemi zor olduğunda, uygun bir yöntemle açıklama yapabilir. Ancak, kişinin rahatlığını artırmak açısından, mümkün olduğunca kişinin taleplerine uygun bir şekilde yanıt vermek tercih edilir.
Kaynak: Kişisel Bilgi Koruma Komisyonu ‘Kişisel Bilgi Koruma Yasası Hakkında Kılavuz Q&A｜A9－10’ [ja]
Açıklama ve Diğer Konuların Kapsamına Dahil Olan Kişisel Verilerin Kapsamının Genişletilmesi
Değişiklik öncesi, 6 ay içinde silinecek kısa süreli saklanan kişisel veriler “sahip olunan kişisel veriler” kapsamına dahil edilmedi. Ancak, değişiklikle birlikte, saklama süresi ne olursa olsun “sahip olunan kişisel veriler” kapsamına dahil edildi.
Dolayısıyla, değişiklik öncesi kısa süreli saklama nedeniyle talep dışı ve düzenlenmiş olan kişisel bilgi işleyen işletmelerin, işlemlerini gözden geçirmesi gerekecektir.
Opt-Out Düzenlemelerinin Güçlendirilmesi: Bildirim, Yayın, Bildirim Maddelerinin Eklenmesi
Kişilere bildirim, yayın ve Kişisel Bilgi Koruma Komisyonu’na bildirim yapılması gereken konulara aşağıdaki maddeler eklendi.
- Üçüncü taraf sağlama yapan kişisel bilgi işleyen işletmenin adı vb.
- Üçüncü taraf sağlanan kişisel verilerin elde edilme yöntemi
“Opt-out yöntemi” kullanılırsa, önceden kişiye “kişisel bilgileri üçüncü tarafa sağlama” amacını açıkça belirtmek ve kişinin talebi olması durumunda “üçüncü taraf sağlamayı durdurma” konusunu önceden yayınlamak sorun olmazdı.
Bu yasa değişikliği ile “opt-out yöntemi” ile kişisel verileri üçüncü tarafa sağlamak isteyenlerin, önceden Kişisel Bilgi Koruma Komisyonu’na bildirimde bulunması gerekmektedir. Ayrıca, opt-out sağlamayı durdurduklarında da, bu konuda değişiklik bildirimi yapmaları zorunlu hale getirildi.
Dolayısıyla, “opt-out yöntemi” ile üçüncü taraf sağlama yapan işletmelerin, bildirim ve yayınları yapan gizlilik politikalarında düzeltmeler vb. gerekecektir.
Opt-Out Düzenlemelerinin Güçlendirilmesi: Çift Opt-Out Yasaklanması
“Opt-out yöntemi” kapsamına girmeyen kişisel veriler, “dikkate alınması gereken kişisel bilgiler”e ek olarak “haksız kazançla elde edilen kişisel veriler” de düzenlemenin kapsamına dahil edildi ve “opt-out yöntemi” ile elde edilen kişisel verileri tekrar “opt-out yöntemi” ile sağlamak yasaklandı.
Dolayısıyla, kişisel bilgi işleyen işletmelerin, “opt-out yöntemi” ile üçüncü taraf sağlama yapan kişisel veriler hakkında, hangi yöntemle elde edildiğini veya elde edildiğini doğrulamaları ve değişikliklere uyum sağlamaları gerekmektedir.
Değişiklik Yapılan Kişisel Bilgi Koruma Yasası ile Veri Kullanımı Genişliyor
Yeni Kurulan Takma İsim İşleme Bilgileri
Örneğin, istatistiksel kullanım vb. için kişisel bilgilerin “anonim işleme bilgileri” veya “takma isim işleme bilgileri”ne dönüştürülmesi durumu düşünülebilir.
Daha önce belirtildiği gibi, “anonim işleme bilgileri”, diğer bilgilerle karşılaştırıldığında belirli bir kişinin tanımlanamayacağı şekilde işlenmiş kişisel verilerdir. Anonim işleme bilgileri için aşağıdaki kurallar geçerlidir:
- Kişinin rızası olmadan üçüncü taraflara sağlama
- Tanımlama eyleminin yasaklanması
- Anonim işleme bilgileri oluşturulduğunda, bu bilgilerde yer alan kişisel veri öğelerinin yayınlanması
Diğer yandan, bu değişiklikle yeni olarak kurulan “takma isim işleme bilgileri”, diğer bilgilerle karşılaştırıldığında belirli bir kişinin tanımlanabileceği şekilde işlenmiş kişisel verilerdir. Takma isim işleme bilgileri için aşağıdaki kurallar belirlenmiştir:
- Kullanım amacının değiştirilmesi sınırlıdır, ancak değiştirildiğinde yeni kullanım amacı yayınlanır
- Tanımlama eylemi ve kişiye iletişim yasağı
- Kişiden ifşa veya kullanımın durdurulması taleplerine yanıt verme zorunluluğu yoktur
- Sızıntı durumunda bildirim veya bildirim yükümlülüğü yoktur
- Üçüncü taraflara sağlama yasağı
Ancak, sağlanan tarafın, vekalet, iş devralma, ortak kullanım (grup şirketleri, ortak araştırmalar vb.) durumunda, “takma isim işleme bilgileri” sağlanabilir.
Kişisel bilgi işleme işletmeleri, “takma isim işleme bilgileri” kullanılarak işlem yapılırken, kullanım amacının belirlenmesi ve yayınlanması veya üçüncü taraflara sağlama ile ilgili olarak, gizlilik politikasının revize edilmesi gerekmektedir.
Kişisel Veri Olarak Alınan Kişisel İlişkili Bilgilerin Düzenlenmesi
Veri sağlayıcı, “kişisel ilişkili bilgiler” sağlasa da, bu bilgilerin alıcı tarafından “kişisel veri” olarak alınması “öngörüldüğünde”, alıcının bu konuda kişinin rızasını alıp almadığını veri sağlayıcıdan doğrulaması gerekmektedir.
Sözde DMP (Data Management Platform) veya benzeri hizmet sağlayıcılarına, “kişisel veri”nin üçüncü taraflara sağlanması ile ilgili düzenlemeler uygulanmaktadır.
Örnek: Anonim bir gönderenin iftira suçu nedeniyle dava edilmesi durumunda, gönderen bilgilerinin açıklanması talebi üzerine, IP adresini tutan site yöneticisinin internet iletişim sağlayıcılarına (NTT, mobil şirketler vb.) bilgi sağlaması durumu
Sınır Ötesi Düzenlemelerin Güçlendirilmesi ve Ekstraterritorial Uygulama Hükümleri
Yabancı bir ülkedeki üçüncü bir tarafa kişisel veri sağlarken, önceki düzenlemeye göre gereklilikler “bireyin rızası”, hedefin “standartlara uygun bir sistem oluşturan işletme” olması ve EU veya İngiltere gibi “Japonya ile eşdeğer seviyede olan ülkeler” olmasıydı.
Değişikliklerle, ilk iki durumda gereklilikler eklenmiştir. Özellikle, “bireyden rıza” alırken, aşağıdaki bilgilerin açıklanması zorunlu hale getirilmiştir:
- Transferin yapılacağı ülkenin adı
- İlgili yabancı ülkede kişisel bilgilerin korunması hakkında düzenlemeler
- Transferin yapılacağı yerde kişisel bilgi koruması için alınan önlemler
- Diğer ilgili bilgiler kişinin referansı için
Ayrıca, “standartlara uygun bir sistem oluşturan işletme” olma durumunun doğrulanması için, veri transferi yapanın “gerekli kişisel bilgi koruma önlemlerini” alması ve bu bilgileri bireyin talebi üzerine sağlaması zorunlu hale getirilmiştir.
Veri transferi yapanın alması gereken önlemler, özellikle “transferin yapılacağı yerdeki uygun yönetim sistemi” ve “transferin yapılacağı yerde uygun bir şekilde risk oluştuğunda nasıl yanıt verileceği” olabilir.
Ünlü EU kişisel veri koruma düzenlemesi olan GDPR (Genel Veri Koruma Düzenlemesi) veya İngiltere ve APEC’in CBPR sistemine üye ülkelerin yanı sıra, diğer ülkelerde de kendi kişisel veri koruma düzenlemeleri bulunmaktadır, bu nedenle iş durumunuza bağlı olarak bunları önceden anlamanız ve buna göre hareket etmeniz gerekebilir.
“Kişisel Bilgi Koruma Düzenlemesi” hakkında bir gösterge olabilecek bilgiler arasında, “OECD (Ekonomik İşbirliği ve Kalkınma Örgütü) Gizlilik İlkeleri 8″e uygun işletmelerin yükümlülükleri veya bireyin hakları yoksa, bu bilgileri bireye sağlamalısınız. Bu, Japonya’nın “Kişisel Bilgi Koruma Yasası” ile temel farkları gösterir.
Yabancı ülkelerde, Japonya’dan daha sıkı kişisel bilgi koruma düzenlemeleri olduğu düşünülebilir, bu nedenle bu konunun araştırılması ve anlaşılması önemlidir. Daha fazla bilgi için, Kişisel Bilgi Koruma Komisyonu’nun uluslararası ilişkiler hakkındaki bilgi sağlama hizmetine bakınız.
Değişikliklerle, Kişisel Bilgi Koruma Komisyonu’nun yabancı işletmelere karşı da cezai yaptırımlarla güvence altına alınmış rapor toplama, emir ve denetim yeteneği olmuştur ve yerli işletmelerle eşit koşullar sağlanmıştır.
Yerli ve yabancı işletmelere karşı etkili bir şekilde yetki kullanmak ve uygun prosedürleri sağlamak için, tebliğ prosedürlerini (konsolosluk tebliği, ilan tebliği vb.) somutlaştırılmıştır. Yabancı egemenlikle olan ilişkiden dolayı, başka bir ülkenin rızası olmadan başka bir ülkenin topraklarında kamu gücü kullanılamaz, bu nedenle gerektiğinde yabancı otoritelerle yürütme işbirliği yapılacaktır (GDPR gibi bir temsilci atama yükümlülüğü talep edilmemektedir).
Özet: Kişisel Bilgi Koruma Yasası Değişikliklerine Karşı Önlem Almak İçin Avukata Danışın
Yukarıda, Reiwa 4 (2022) yılında değiştirilen Japon Kişisel Bilgi Koruma Yasası’nın ana noktalarını ve işletmelerin gerçekleştirmesi gereken uygulamaları açıkladık. Burada belirttiğimiz değişikliklerin yanı sıra, kişisel bilgi işleyen işletmelerin karşılaması gereken birçok başka husus da bulunmaktadır.
Dünya genelinde, kişisel veri kullanımına yönelik yasal düzenlemeler artmaktadır. Özellikle internet üzerinden hizmet sunan işletmeler, web sitelerine dünya genelinden erişim olabileceğini göz önünde bulundurarak, bu düzenlemelere uygun hareket etmek zorundadır.
İşletmeler, sadece Japon Kişisel Bilgi Koruma Yasası’nın değişikliklerine değil, aynı zamanda dünya genelindeki eğilimlere de dikkat etmeli ve kendi kişisel bilgi yönetim sistemlerini gözden geçirmelidir. Kişisel Bilgi Koruma Yasası değişikliklerine karşı nasıl hareket edeceğinizi bilmiyorsanız, bir avukata danışmanızı öneririz.
Büromuzun Sunduğu Önlemler Hakkında
Monolith Hukuk Bürosu, özellikle IT ve internet hukuku olmak üzere hukukun çeşitli alanlarında yüksek uzmanlığa sahip bir hukuk firmasıdır. Günümüzde, kişisel bilgilerin sızdırılması büyük bir sorun haline gelmiştir. Kişisel bilgilerin sızdırılması durumunda, bu durum şirket faaliyetlerini ciddi şekilde etkileyebilir. Firmamız, bilgi sızıntısını önleme ve bu tür durumlara karşı önlem alma konusunda uzman bilgiye sahiptir. Aşağıdaki makalede detayları bulabilirsiniz.
Monolith Hukuk Bürosu’nun hizmet verdiği alanlar: Japon Kişisel Bilgi Koruma Yasası ile ilgili hukuki işlemler [ja]
Related Articles
Haksız Rekabetin Önlenmesi Yasası'nı (Japon Haksız Rekabetin Önlenmesi Yasası) Açıklıyoruz: İtib.
General Corporate
Kozmetik ve Sağlık Ürünlerinin Reklam İfadeleri Hakkında Dikkat Edilmesi Gerekenler
General Corporate
