KOMISSION TÄYTÄNTÖÖNPANOPÄÄTÖS (EU) 2019/419

annettu 23 päivänä tammikuuta 2019,

Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 nojalla henkilökohtaisten tietojen suojasta annetun lain mukaisen henkilötietojen suojan riittävästä tasosta Japanissa

(tiedoksiannettu numerolla K(2019) 304)

(ETA:n kannalta merkityksellinen teksti)

EUROOPAN KOMISSIO, joka

ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen,

ottaa huomioon luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27 päivänä huhtikuuta 2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (1) (yleinen tietosuoja-asetus) ja erityisesti sen 45 artiklan 3 kohdan,

on kuullut Euroopan tietosuojavaltuutettua,

1. JOHDANTO

(1) Asetuksessa (EU) 2016/679 vahvistetaan säännöt, joita sovelletaan henkilötietojen siirtoon Euroopan unioniin sijoittautuneilta rekisterinpitäjiltä tai henkilötietojen käsittelijöiltä kolmansiin maihin ja kansainvälisille järjestöille, siltä osin kuin tällaiset siirrot kuuluvat sen soveltamisalaan. Henkilötietojen kansainvälistä siirtoa koskevat säännöt vahvistetaan asetuksen V luvussa, erityisesti sen 44–50 artiklassa. Kansainvälisen yhteistyön ja kaupan kehittämiseksi on tarpeen siirtää henkilötietoja Euroopan unionin ulkopuolisiin maihin tai niistä unioniin, ja samalla on varmistettava, että henkilötietojen suojan tasoa Euroopan unionissa ei heikennetä.

(2) Asetuksen (EU) 2016/679 45 artiklan 3 kohdan mukaan komissio voi päättää täytäntöönpanosäädöksellä, että jokin kolmas maa tai kolmannen maan alue tai yksi tai useampi tietty sektori tai kansainvälinen järjestö varmistaa riittävän tietosuojan tason. Tämän edellytyksen täyttyessä henkilötietoja voidaan siirtää kyseiselle kolmannelle maalle, alueelle, sektorille tai kansainväliselle järjestölle ilman erillistä lupaa, kuten asetuksen 45 artiklan 1 kohdassa ja johdanto-osan 103 kappaleessa säädetään.

(3) Kuten asetuksen (EU) 2016/679 45 artiklan 2 kohdassa säädetään, tietosuojan riittävyyttä koskevan päätöksen tekemisen on perustuttava kattavaan analyysiin kolmannen maan oikeusjärjestyksestä siltä osin kuin on kyse sekä tietojen tuojia koskevista säännöistä että rajoituksista ja suojatoimista, jotka koskevat viranomaisten pääsyä henkilötietoihin. Arvioinnissa on määritettävä, takaako kyseinen kolmas maa suojan tason, joka ”vastaa olennaisilta osin” Euroopan unionissa taattua suojan tasoa (asetuksen (EU) 2016/679 johdanto-osan 104 kappale). Kuten Euroopan unionin tuomioistuin on selventänyt, tämä ei edellytä samanlaista suojelun tasoa (2). Erityisesti keinot, joita kyseisellä kolmannella maalla on käytettävissään, voivat erota Euroopan unionissa käytetyistä menetelmistä, kunhan ne käytännössä varmistavat tehokkaasti suojelun riittävän tason (3). Tietosuojan tason riittävyyttä koskeva vaatimus ei sen vuoksi edellytä unionin sääntöjen kopiointia kohta kohdalta. Sen sijaan tarkastellaan, onko ulkomaisen järjestelmän antama suoja kokonaisuutena vaaditun tason mukainen. Tällöin selvitetään, mikä sisältö yksityisyyteen liittyvillä oikeuksilla on, pannaanko ne täytäntöön ja valvotaanko niiden toteutumista tehokkaasti (4).

(4) Komissio on analysoinut huolellisesti Japanin lainsäädäntöä ja käytäntöä. Komissio katsoo johdanto-osan 6–175 kappaleessa esitettyjen havaintojen perusteella, että Japanissa varmistetaan riittävä suoja henkilötiedoille, jotka siirretään henkilökohtaisten tietojen suojasta annetun lain (5) soveltamisalaan kuuluville organisaatioille tässä päätöksessä tarkoitettujen lisäedellytysten täyttyessä. Nämä edellytykset vahvistetaan Japanin henkilötietosuojalautakunnan (6) antamissa täydentävissä säännöissä (liite I) ja Japanin hallituksen virallisissa lausunnoissa, vakuutuksissa ja sitoumuksissa Euroopan komissiolle (liite II).

(5) Tällä päätöksellä mahdollistetaan se, että tiedonsiirrot Euroopan talousalueelle (ETA) (7) sijoittautuneelta rekisterinpitäjältä tai henkilötietojen käsittelijältä voidaan toteuttaa tällaisille Japaniin sijoittautuneille organisaatioille ilman, että tarvitaan enää muita lupia. Tämä päätös ei vaikuta asetuksen (EU) 2016/679 suoraan soveltamiseen tällaisiin organisaatioihin, kun kyseisen asetuksen 3 artiklan edellytykset täyttyvät.

2. TOIMINNANHARJOITTAJIEN SUORITTAMAAN TIETOJEN KÄSITTELYYN SOVELLETUT SÄÄNNÖT

2.1 Japanin tietosuojakehys

(6) Japanin yksityisyyden suojaa ja tietosuojaa koskeva säännöstö perustuu vuonna 1946 säädettyyn perustuslakiin.

(7) Perustuslain 13 §:ssä säädetään seuraavaa: ”Kaikkia ihmisiä on kunnioitettava yksilöinä. Heidän oikeuttaan elämään, vapauteen ja onnen tavoitteluun on pidettävä ensisijaisena tavoitteena lainsäädännössä ja muissa valtiollisissa kysymyksissä siinä määrin kuin se ei haittaa yleistä hyvinvointia.”

(8) Japanin korkein oikeus on tämän pykälän perusteella selventänyt yksilöiden oikeuksia henkilökohtaisten tietojen suojan osalta. Se totesi vuonna 1969 antamassaan päätöksessä, että oikeus yksityisyyteen ja tietosuojaan on perustuslaillinen oikeus (8). Japanin korkein oikeus katsoi erityisesti, että ”jokaisella yksilöllä on vapaus suojella omia henkilökohtaisia tietojaan, jotta niitä ei luovutettaisi kolmannelle osapuolelle tai julkistettaisi ilman hyvää syytä”. Lisäksi korkein oikeus katsoi asiassa Juki-Net 6 päivänä maaliskuuta 2008 antamassaan päätöksessä (9), että ”kansalaisten vapautta yksityiselämässä on suojeltava julkisen vallan käytöltä ja voidaan katsoa, että jokaisella yksilöllä on vapaus suojella omia henkilökohtaisia tietojaan, jotta niitä ei paljastettaisi kolmannelle osapuolelle tai julkistettaisi ilman hyvää syytä, ja että tämä vapaus on yksi yksityiselämää koskevista yksilön vapauksista” (10).

(9) Japani antoi 30 päivänä toukokuuta 2003 joukon tietosuojalakeja: — laki henkilökohtaisten tietojen suojasta; — laki hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta; — laki autonomisten hallintovirastojen hallussa olevien henkilökohtaisten tietojen suojasta.

(10) Kaksi viimeiseksi mainittua säädöstä, joita on muutettu vuonna 2016, sisältävät säännöksiä, joita sovelletaan henkilökohtaisten tietojen suojaan julkisen sektorin yhteisöissä. Tietojen käsittely, joka kuuluu kyseisten säädösten soveltamisalaan, ei ole tässä päätöksessä esitetyn tietosuojan tason riittävyyttä koskevan päätelmän kohteena, vaan tämä päätös rajoittuu henkilökohtaisten tietojen suojasta annetussa laissa tarkoitettuun toiminnanharjoittajien käsittelemien henkilökohtaisten tietojen tietosuojaan.

(11) Henkilökohtaisten tietojen suojasta annettua lakia on uudistettu viime vuosina. Muutettu laki julkaistiin 9 päivänä syyskuuta 2015, ja se tuli voimaan 30 päivänä toukokuuta 2017. Muutoksella otettiin käyttöön joukko uusia suojatoimia ja lujitettiin nykyisiä suojatoimia ja tuotiin siten Japanin tietosuojajärjestelmä lähemmäs Euroopan tietosuojajärjestelmää. Tällaisia ovat esimerkiksi täytäntöönpanokelpoiset yksilön oikeudet tai henkilökohtaisten tietojen suojasta annetun lain valvonnasta ja täytäntöönpanosta vastaavan riippumattoman valvontaviranomaisen (henkilötietosuojalautakunta) perustaminen.

(12) Tämän päätöksen soveltamisalaan kuuluvien henkilökohtaisten tietojen käsittelyyn sovelletaan henkilökohtaisten tietojen suojasta annetun lain lisäksi täytäntöönpanosääntöjä, jotka on annettu mainitun lain perusteella. Tähän sisältyvät henkilökohtaisten tietojen suojasta annetun lain täytäntöönpanosta 5 päivänä lokakuuta 2016 annetun hallituksen määräyksen muutos ja henkilötietosuojalautakunnan hyväksymät säännöt henkilökohtaisten tietojen suojasta annetun lain täytäntöönpanosta (11). Molemmat sääntökokonaisuudet ovat oikeudellisesti sitovia ja täytäntöönpanokelpoisia, ja ne tulivat voimaan samaan aikaan kuin muutettu henkilökohtaisten tietojen suojasta annettu laki.

(13) Lisäksi Japanin hallitus (joka muodostuu pääministeristä ja muista ministereistä) hyväksyi 28 päivänä lokakuuta 2016 perusperiaatteet, joiden puitteissa se voi ”kattavasti ja yhtenäisesti edistää henkilökohtaisten tietojen suojaan liittyviä toimenpiteitä”. Henkilökohtaisten tietojen suojasta annetun lain 7 §:n mukaisesti perusperiaatteet hyväksytään päätöksen muodossa, ja ne sisältävät kyseisen lain täytäntöönpanoa koskevat poliittiset suuntaviivat, jotka on suunnattu sekä keskushallinnolle että paikallishallinnolle.

(14) Japanin hallitus muutti perusperiaatteita 12 päivänä kesäkuuta 2018 tehdyllä päätöksellään. Kansainvälisten tiedonsiirtojen helpottamiseksi kyseisessä hallituksen päätöksessä delegoidaan henkilötietosuojalautakunnalle, joka on henkilökohtaisten tietojen suojasta annetun lain hallinnoinnista ja täytäntöönpanosta vastaava toimivaltainen viranomainen, ”valtuudet toteuttaa tarvittavat toimet, jotta voidaan kuroa umpeen Japanin ja asianomaisen kolmannen maan järjestelmien ja toimintojen väliset erot lain 6 §:n perusteella ja varmistaa kyseisestä maasta saatujen henkilökohtaisten tietojen asianmukainen käsittely”. Hallituksen päätöksessä säädetään, että tähän sisältyy toimivalta ottaa käyttöön parannetut suojatoimet siten, että henkilötietosuojalautakunta vahvistaa tiukemmat säännöt, jotka täydentävät henkilökohtaisten tietojen suojasta annetussa laissa ja hallituksen määräyksessä vahvistettuja sääntöjä ja menevät niitä pidemmälle. Kyseisen päätöksen nojalla nämä tiukemmat säännöt ovat sitovia ja täytäntöönpanokelpoisia japanilaisten toiminnanharjoittajien osalta.

(15) Henkilötietosuojalautakunta hyväksyi henkilökohtaisten tietojen suojasta annetun lain 6 §:n ja mainitun hallituksen päätöksen perusteella 15 päivänä kesäkuuta 2018 henkilökohtaisten tietojen suojasta annetun lain nojalla täydentävät säännöt EU:sta tietosuojan riittävyyttä koskevan päätöksen perusteella siirrettyjen henkilökohtaisten tietojen käsittelyä varten, jäljempänä ’täydentävät säännöt’. Tarkoituksena on parantaa niiden henkilökohtaisten tietojen suojaa, jotka siirretään Euroopan unionista Japaniin nykyisen tietosuojan riittävyyttä koskevan päätöksen perusteella. Nämä täydentävät säännöt sitovat japanilaisia toiminnanharjoittajia oikeudellisesti, ja sekä henkilötietosuojalautakunta että tuomioistuimet voivat panna ne täytäntöön samalla tavoin kuin ne henkilökohtaisten tietojen suojasta annetun lain säännökset, joita ne täydentävät tiukemmilla ja/tai yksityiskohtaisemmilla säännöillä (12). Koska Euroopan unionista peräisin olevia henkilötietoja vastaanottavat ja/tai niitä edelleen käsittelevät japanilaiset toiminnanharjoittajat ovat oikeudellisesti velvollisia noudattamaan täydentäviä sääntöjä, niiden on varmistettava esimerkiksi teknisin keinoin (elektronisten tunnisteiden avulla) tai organisatorisin keinoin (säilyttämällä tiedot erityisessä tietokannassa), että ne voivat tunnistaa tällaiset henkilötiedot koko niiden ”elinkaaren” ajan (13). Seuraavissa jaksoissa analysoidaan kunkin täydentävän säännön sisältöä samalla kun arvioidaan sitä henkilökohtaisten tietojen suojasta annetun lain pykälää, jota säännöllä täydennetään.

(16) Toisin kuin ennen vuoden 2015 muutosta, jolloin tiettyjä aloja koskevien sääntöjen hyväksyminen kuului Japanin eri ministeriöiden toimivallan piiriin, henkilökohtaisten tietojen suojasta annetussa laissa annetaan henkilötietosuojalautakunnalle valta hyväksyä suuntaviivat, joiden ”tarkoituksena on varmistaa, että toiminnanharjoittaja toteuttaa toimia asianmukaisesti ja tehokkaasti” tietosuojasääntöjen mukaisesti. Henkilötietosuojalautakunta tarjoaa omien suuntaviivojensa kautta virallisen tulkinnan kyseisistä säännöistä ja erityisesti henkilökohtaisten tietojen suojasta annetusta laista. Henkilötietosuojalautakunnalta saatujen tietojen mukaan nämä suuntaviivat muodostavat oikeudellisen kehyksen erottamattoman osan ja niitä luetetaan yhdessä henkilökohtaisten tietojen suojasta annetun lain, hallituksen määräyksen, mainitun lautakunnan sääntöjen ja sen laatiman kysymys- ja vastaussarjan (14) kanssa. Siksi ne ”sitovat toiminnanharjoittajia”. Jos suuntaviivoissa todetaan, että toiminnanharjoittajan ”on toimittava” tai että sen ”ei pitäisi toimia” tietyllä tavalla, henkilötietosuojalautakunta katsoo, että asiaa koskevien säännösten noudattamatta jättäminen rikkoo lakia (15).

2.2 Aineellinen ja henkilökohtainen soveltamisala

(17) Henkilökohtaisten tietojen suojasta annetun lain soveltamisala määräytyy henkilökohtaisia tietoja, henkilötietoja ja henkilökohtaisia tietoja käsittelevää toiminnanharjoittajaa koskevien käsitteiden mukaisesti. Lisäksi kyseisessä laissa säädetään joistakin merkittävistä soveltamisalaa koskevista poikkeuksista, ennen kaikkea anonyymisti käsiteltyjen henkilötietojen ja tiettyjen toiminnanharjoittajien erityisten tietojenkäsittelytyyppien osalta. Henkilökohtaisten tietojen suojasta annetussa laissa ei käytetä käsittelystä englannin kielen ilmaisua ”processing” vastaavaa termiä vaan siinä käytetty termi vastaa englannin kielen käsitettä ”handling”. Henkilötietosuojalautakunnalta saatujen tietojen mukaan kyseinen käsite kattaa ”kaikki toimet, jotka koskevat henkilötietoja”, mukaan lukien henkilökohtaisten tietojen hankinta, syöttäminen, kokoaminen, järjestäminen, säilyttäminen, muokkaaminen/käsittely, uusiminen, poistaminen, tulostaminen, käyttö tai luovuttaminen.

2.2.1 Henkilökohtaisten tietojen määritelmä

(18) Ensinnäkin henkilökohtaisten tietojen suojasta annetun lain aineellisen soveltamisalan osalta voidaan todeta, että siinä henkilökohtaiset tiedot erotetaan henkilötiedoista ja että ainoastaan tiettyjä kyseisen lain säännöksiä sovelletaan ensiksi mainittuun tietoryhmään. Kyseisen lain 2 §:n 1 momentin mukaan ”henkilökohtaisten tietojen” käsite sisältää kaikki elävään henkilöön liittyvät tiedot, joiden perusteella henkilö voidaan tunnistaa. Määritelmässä erotetaan toisistaan kaksi henkilökohtaisten tietojen ryhmää: i) yksilölliset tunnistuskoodit ja ii) muut henkilökohtaiset tiedot, joilla henkilö voidaan tunnistaa. Viimeksi mainittuun ryhmään kuuluvat myös tiedot, joiden itsensä perusteella henkilöä ei sinänsä voida tunnistaa mutta jotka ”koottuna helposti yhteen” muiden tietojen kanssa mahdollistavat henkilön tunnistamisen. Henkilötietosuojalautakunnan suuntaviivojen (16) mukaan sitä, voidaanko tietoja pitää ”helposti yhteenkoottavina”, arvioidaan tapauskohtaisesti ottaen huomioon tietoja käsittelevän toiminnanharjoittajan tosiasiallinen tilanne (”olosuhteet”). Näin oletetaan, jos yhteenkokoamisen suorittaa (tai sen voi suorittaa) keskimääräinen (”tavanomainen”) toiminnanharjoittaja käyttäen saatavillaan olevia keinoja. Tiedot eivät ole ”helposti yhteenkoottavia” muiden tietojen kanssa, jos toiminnanharjoittajan on tarpeen toteuttaa epätavallisia tai laittomia toimia saadakseen tiedot, jotka on tarkoitus koota yhdeltä tai useammalta muulta alan toiminnanharjoittajalta.

2.2.2 Henkilötietojen määritelmä

(19) Vain tietyt henkilökohtaiset tiedot kuuluvat henkilökohtaisten tietojen suojasta annetun lain mukaiseen ”henkilötietojen” käsitteen piiriin. ”Henkilötiedoilla” tarkoitetaan ”henkilökohtaisia tietoja, jotka muodostavat henkilökohtaisten tietojen tietokannan”. Toisin sanoen kyseessä on ”kollektiivinen kokoelma tietoja”, ja se koostuu sellaisista henkilökohtaisista tiedoista, jotka on ”järjestetty systemaattisesti siten, että tiettyjä henkilökohtaisia tietoja voidaan hakea tietokoneen avulla” (17), tai joiden on ”hallituksen määräyksellä vahvistettu olevan systemaattisesti järjestettyjä siten, että tiettyjä henkilökohtaisia tietoja voidaan hakea helposti”, mutta ”lukuun ei oteta tietoja, joiden on hallituksen määräyksellä vahvistettu olevan sellaisia, että riski yksilön oikeuksien ja etujen vahingoittamisesta on hyvin pieni, kun otetaan huomioon tietojen käyttötapa” (18).

(20) Tätä poikkeusta täsmennetään hallituksen määräyksen 3 §:n 1 momentissa, jonka mukaan kolmen seuraavan kumulatiivisen edellytyksen on täytyttävä: i) tietojen kollektiivisen kokoelman on oltava sellainen, että se on ”julkaistu tarkoituksena myydä se suurelle joukolle määrittelemättömiä henkilöitä eikä sen julkaiseminen ole lain tai siihen perustuvan määräyksen vastaista”; ii) sen voi ”ostaa milloin tahansa suuri joukko määrittelemättömiä henkilöitä” ja iii) siihen sisältyvät henkilötiedot on ”toimitettava alkuperäiseen tarkoitukseensa ilman, että niihin on lisätty muita elävään henkilöön liittyviä tietoja”. Henkilötietosuojalautakunnalta saatujen selvitysten mukaan tämä kapea-alainen poikkeus otettiin käyttöön tarkoituksena sulkea pois puhelin- tai vastaavat luettelot.

(21) Japanissa kerättyjen tietojen osalta ”henkilökohtaisten tietojen” ja ”henkilötietojen” välinen ero on merkityksellinen, koska henkilökohtaiset tiedot (esimerkiksi yksi yhtenäinen tietokokonaisuus, joka on kerätty ja käsitelty manuaalisesti) eivät välttämättä aina ole osa ”henkilökohtaisten tietojen tietokantaa”, minkä vuoksi niitä henkilökohtaisten tietojen suojasta annetun lain säännöksiä, jotka koskevat ainoastaan henkilötietoja, ei sovelleta (19).

(22) Tällä erolla ei sitä vastoin ole merkitystä sellaisten henkilötietojen osalta, jotka tuodaan Euroopan unionista Japaniin tietosuojan riittävyyttä koskevan päätöksen perusteella. Koska tällaiset tiedot siirretään yleensä sähköisesti (ottaen huomioon, että digiaikana tämä on tavallinen tapa vaihtaa tietoja erityisesti silloin, kun etäisyys on suuri, kuten EU:n ja Japanin tapauksessa) ja sen vuoksi niistä tulee osa tietojen tuojan sähköistä rekisterijärjestelmää, tällaiset EU:sta peräisin olevat tiedot kuuluvat henkilökohtaisten tietojen suojasta annetun lain mukaiseen ”henkilötietojen” ryhmään. Sellaisissa poikkeuksellisissa tapauksissa, että henkilötiedot siirretään EU:sta muulla tavalla (esim. paperilla), tiedot kuuluvat edelleen henkilökohtaisten tietojen suojasta annetun lain piiriin, jos tiedoista tulee siirron jälkeen osa ”kollektiivista kokoelmaa tietoja” ja kyseinen kokoelma on järjestetty siten, että yksittäisiä tietoja on helppo hakea (mainitun lain 2 §:n 4 momentin ii alakohta). Hallituksen määräyksen 3 §:n 2 momentin mukaan näin on silloin, kun tiedot on järjestetty ”tietyn säännön mukaisesti” ja tietokantaan sisältyy esimerkiksi sisällysluettelon tai hakemiston kaltaisia välineitä haun helpottamiseksi. Tämä vastaa yleisen tietosuoja-asetuksen 2 artiklan 1 kohdassa tarkoitettua ”rekisterin” määritelmää.

2.2.3 Säilytettyjen henkilötietojen määritelmä

(23) Tiettyjä henkilökohtaisten tietojen suojasta annetun lain säännöksiä, erityisesti sen 27–30 §:ää, jotka koskevat yksilön oikeuksia, sovelletaan vain tiettyyn henkilötietojen ryhmään eli ”säilytettyihin henkilötietoihin”. Ne määritellään henkilökohtaisten tietojen suojasta annetun lain 2 §:n 7 kohdassa henkilötiedoiksi, jotka ovat muita tietoja kuin ne, jotka i) ”hallituksen määräyksen mukaan voivat vahingoittaa julkisia tai muita etuja, jos niiden olemassaolosta tai puuttumisesta ilmoitetaan”, tai jotka ii) ”on määrä poistaa hallituksen määräyksessä vahvistetun, enintään vuoden pituisen määräajan kuluessa”.

(24) Näistä ensimmäinen ryhmä on määritelty hallituksen määräyksen 4 §:ssä, ja se kattaa neljä erilaista poikkeusta (20). Näillä poikkeuksilla on samanlaiset tavoitteet kuin ne, jotka on lueteltu asetuksen (EU) 2016/679 23 artiklan 1 kohdassa, kuten rekisteröidyn (”datasubjekti” (principal) henkilökohtaisten tietojen suojasta annetun lain terminologiassa) suoja ja muille kuuluvat vapaudet, kansallinen turvallisuus, yleinen turvallisuus, lainvalvontatarkoitus tai muut yleisen edun mukaiset tärkeät tavoitteet. Lisäksi hallituksen määräyksen 4 §:n 1 momentin i–iv alakohdan sanamuodosta johtuu, että niiden soveltaminen edellyttää aina tiettyä riskiä, joka kohdistuu johonkin tärkeään etuun (21).

(25) Toinen ryhmä on määritelty tarkemmin hallituksen määräyksen 5 §:ssä. Luettuna yhdessä henkilökohtaisten tietojen suojasta annetun lain 2 §:n 7 momentin kanssa sillä vapautetaan säilytettyjen henkilötietojen käsitteen ja näin ollen kyseisen lain mukaisten yksilön oikeuksien soveltamisalasta sellaiset henkilötiedot, jotka on ”määrä poistaa” kuuden kuukauden kuluessa. Henkilötietosuojalautakunnan mukaan tämän poikkeuksen tarkoituksena on kannustaa toiminnanharjoittajia säilyttämään ja käsittelemään tietoja mahdollisimman lyhyen ajan. Tämä tarkoittaisi kuitenkin sitä, että EU:n rekisteröidyt menettäisivät mahdollisuuden hyötyä tärkeistä oikeuksista vain sen seikan perusteella kuinka kauan asianomainen toiminnanharjoittaja säilyttää heidän tietojaan.

(26) Tämän ongelman ratkaisemiseksi täydentävässä säännössä 2 edellytetään, että Euroopan unionista siirretyt henkilötiedot ”käsitellään lain 2 §:n 7 momentissa tarkoitettuina säilytettyinä henkilötietoina, riippumatta ajasta, jonka kuluessa tiedot on määrä poistaa”. Tämän vuoksi säilyttämisaika ei vaikuta EU:n rekisteröidyille kuuluviin oikeuksiin.

2.2.4 Anonyymisti käsiteltyjen henkilökohtaisten tietojen määritelmä

(27) Anonyymisti käsiteltyihin henkilökohtaisiin tietoihin, sellaisina kuin ne on määritelty henkilökohtaisten tietojen suojasta annetun lain 2 §:n 9 momentissa, sovellettavista vaatimuksista säädetään lain 4 luvun 2 jaksossa (”Anonyymisti käsiteltyjä tietoja käsittelevän toiminnanharjoittajan tehtävät”). Näihin tietoihin ei kuitenkaan sovelleta mainitun lain IV luvun 1 jakson säännöksiä. Näissä pykälissä säädetään tietosuojaa koskevista suojatoimista ja oikeuksista, joita sovelletaan kyseisen lain nojalla suoritettavaan henkilötietojen käsittelyyn. Vaikka ”anonyymisti käsiteltyihin henkilökohtaisiin tietoihin” ei sovelleta ”tavanomaisia” tietosuojasääntöjä (niitä, jotka on määritelty henkilökohtaisten tietojen suojasta annetun lain IV luvun 1 jaksossa ja 42 §:ssä), ne kuuluvat mainitun lain ja erityisesti sen 36–39 §:n soveltamisalaan.

(28) Mainitun lain 2 §:n 9 momentin mukaan ”anonyymisti käsitellyt henkilökohtaiset tiedot” ovat tietoja, jotka koskevat yksilöä ja jotka on ”tuotettu henkilökohtaisten tietojen käsittelystä” kyseisessä laissa säädettyjen (36 §:n 1 momentti) ja henkilötietosuojalautakunnan säännöissä (19 kohta) määritettyjen toimenpiteiden avulla niin, että on mahdotonta tunnistaa yksittäistä henkilöä tai palauttaa henkilökohtaisia tietoja.

(29) Näistä säännöksistä seuraa, kuten myös henkilötietosuojalautakunta on vahvistanut, että henkilökohtaisten tietojen ”anonymisoinnin” ei tarvitse olla teknisesti peruuttamatonta. Henkilökohtaisten tietojen suojasta annetun lain 36 §:n 2 momentin mukaan ”anonyymisti käsiteltyjä henkilökohtaisia tietoja” käsittelevien toiminnanharjoittajan tarvitsee ainoastaan estää uudelleentunnistaminen toteuttamalla toimenpiteitä, joilla varmistetaan ”anonyymisti käsiteltyjen tietojen tuottamisessa käytetyistä henkilökohtaisista tiedoista poistettujen kuvausten ynnä muiden sekä tunnistuskoodien samoin kuin käsittelytapaan liittyvien tietojen” turvallisuus.

(30) Kun otetaan huomioon, että ”anonyymisti käsitellyt henkilökohtaiset tiedot”, sellaisina kuin ne on määritelty henkilökohtaisten tietojen suojasta annetussa laissa, sisältävät sellaisia tietoja, joiden perusteella yksilön tunnistaminen uudelleen on yhä mahdollista, tämä voisi tarkoittaa, että Euroopan unionista siirretyt henkilötiedot voisivat menettää osan saatavilla olevasta suojasta prosessissa, jota asetuksen (EU) 2016/679 mukaan pidettäisiin pikemminkin ”pseudonymisoinnin” muotona kuin tietojen ”anonymisointina” (eikä sen vuoksi henkilötietojen luonne muuttuisi).

(31) Tämän tilanteen korjaamiseksi täydentävissä säännöissä on lisävaatimuksia, jotka koskevat ainoastaan Euroopan unionista tämän päätöksen nojalla siirrettyjä henkilötietoja. Täydentävän säännön 5 mukaan tällaisia henkilökohtaisia tietoja voidaan pitää henkilökohtaisten tietojen suojasta annetussa laissa tarkoitettuina ”anonyymisti käsiteltyinä henkilökohtaisina tietoina” ainoastaan, ”jos henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja toteuttaa toimenpiteitä, joiden seurauksena kukaan ei voi tunnistaa kyseessä olevaa henkilöä ja tämä on peruuttamatonta, myös poistamalla käsittelymenetelmää koskevat ja muut siihen liittyvät tiedot”. Täydentävissä säännöissä olevan määritelmän mukaan nämä viimeksi mainitut tiedot liittyvät sellaisiin kuvauksiin ja yksilöllisiin tunnistuskoodeihin, jotka on poistettu ”anonyymisti käsiteltyjen henkilökohtaisten tietojen” tuottamiseen käytetyistä henkilökohtaisista tiedoista. Lisäksi ne liittyvät käsittelymenetelmään, jota on sovellettu mainittujen kuvausten ja yksilöllisten tunnistuskoodien poistamisessa. Toisin sanoen täydentävissä säännöissä edellytetään, että toiminnanharjoittaja, joka tuottaa ”anonyymisti käsiteltyjä henkilökohtaisia tietoja”, tuhoaa ”avaimen”, joka mahdollistaa tietojen tunnistamisen uudelleen. Tämä tarkoittaa, että Euroopan unionista peräisin olevat henkilötiedot kuuluvat ”anonyymisti käsiteltyjä henkilökohtaisia tietoja” koskevien henkilökohtaisten tietojen suojasta annetun lain säännösten soveltamisalaan vain, jos kyseiset tiedot katsottaisiin anonyymeiksi myös asetuksen (EU) 2016/679 nojalla (22).

2.2.5 Henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan määritelmä

(32) Ainoastaan henkilökohtaisia tietoja käsittelevät toiminnanharjoittajat kuuluvat henkilökohtaisten tietojen suojasta annetun lain henkilölliseen soveltamisalaan. Henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja määritellään henkilökohtaisten tietojen suojasta annetun lain 2 §:n 5 momentissa ”henkilöksi, joka tarjoaa muun muassa henkilökohtaisten tietojen tietopankin käytettäväksi liiketoiminnassa”, lukuun ottamatta valtion virastoja ja hallintovirastoja sekä keskus- että paikallistasolla.

(33) Henkilötietosuojalautakunnan suuntaviivojen mukaan ”liiketoiminnalla” tarkoitetaan kaikkea ”toimintaa, jonka tarkoituksena on harjoittaa toistuvasti ja jatkuvasti, tietyn tavoitteen saavuttamiseksi, sosiaalisesti tunnustetun yrityksen toimintaa, riippumatta siitä, onko kyse voiton tavoittelusta tai ei. Organisaatiot, joilla ei ole oikeushenkilöllisyyttä (kuten de facto -yhdistykset), tai yksityishenkilöt katsotaan henkilökohtaisia tietoja käsitteleväksi toiminnanharjoittajaksi, jos ne tuottavat henkilökohtaisten tietojen tietokannan liiketoimintaansa varten (tai käyttävät sitä liiketoiminnassaan) (23). Tämän vuoksi henkilökohtaisten tietojen suojasta annetun lain mukainen ”liiketoiminnan” käsite on erittäin laaja, sillä siihen sisältyvät kaikentyyppisten organisaatioiden ja yksityishenkilöiden toteuttamat voittoa tavoittelevat ja voittoa tavoittelemattomat toiminnot. Lisäksi ilmaisu ”käytettäväksi liiketoiminnassa” kattaa myös henkilökohtaiset tiedot, joita käytetään vain sisäisesti, ei toiminnanharjoittajan (ulkoisissa) kaupallisissa suhteissa, esimerkiksi kun käsitellään työntekijöiden tietoja.

(34) Henkilökohtaisten tietojen suojasta annetussa laissa säädettyjen suojatoimien edunsaajien osalta laissa ei tehdä eroa henkilön kansalaisuuden, asuinpaikan tai sijaintipaikan perusteella. Sama koskee myös henkilöiden mahdollisuuksia hakea hyvitystä henkilötietosuojalautakunnalta tai tuomioistuimelta.

2.2.6 Rekisterinpitäjän ja henkilötietojen käsittelijän käsitteet

(35) Henkilökohtaisten tietojen suojasta annetussa laissa ei tehdä eroa rekisterinpitäjille ja henkilötietojen käsittelijöille asetettujen velvoitteiden välillä. Tämän eron puuttuminen ei vaikuta tietosuojan tasoon, koska kaikki henkilökohtaisia tietoja käsittelevät toiminnanharjoittajat kuuluvat lain kaikkien säännösten soveltamisalaan. Henkilökohtaisia tietoja käsittelevään toiminnanharjoittajaan, joka siirtää henkilötietojen käsittelyn toimeksisaajalle (joka vastaa yleisen tietosuoja-asetuksen mukaista henkilötietojen käsittelijää), sovelletaan edelleen henkilökohtaisten tietojen suojasta annetun lain ja täydentävien sääntöjen mukaisia velvoitteita sen käsiteltäväksi annettujen tietojen osalta. Lisäksi mainitun lain 22 §:n mukaan toiminnanharjoittajan on ”harjoitettava riittävää ja asianmukaista valvontaa” toimeksisaajan suhteen. Kuten henkilötietosuojalautakunta on vahvistanut, toimeksisaajaa puolestaan sitovat kaikki henkilökohtaisten tietojen suojasta annetun lain ja täydentävien sääntöjen mukaiset velvoitteet.

2.2.7 Alakohtaiset poikkeukset

(36) Henkilökohtaisten tietojen suojasta annetun lain 76 §:ssä suljetaan tietyntyyppinen tietojenkäsittely lain IV luvun soveltamisalan ulkopuolelle. Tässä luvussa vahvistetaan keskeiset tietosuojasäännökset (perusperiaatteet, toiminnanharjoittajia koskevat velvoitteet, yksilön oikeudet, henkilötietosuojalautakunnan harjoittama valvonta). Henkilökohtaisten tietojen suojasta annetun lain 76 §:n mukaisen alakohtaisen poikkeuksen soveltamisalaan kuuluva käsittely ei myöskään kuulu henkilötietosuojalautakunnan täytäntöönpanovaltuuksien piiriin mainitun lain 43 §:n 2 momentin mukaisesti (24).

(37) Kyseiset tietojenkäsittelytyypit, joihin sovelletaan henkilökohtaisten tietojen suojasta annetun lain 76 §:n mukaista alakohtaista poikkeusta, määritellään kaksinkertaisella arviointiperusteella, joka perustuu henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan tyyppiin ja käsittelyn tarkoitukseen. Poikkeusta sovelletaan tarkemmin sanottuna seuraaviin: i) yleisradiotoiminnan harjoittajat, sanomalehtien julkaisijat, viestintätoimistot tai muut uutistoimistot (mukaan lukien henkilöt, jotka harjoittavat lehdistötoimintaa liiketoimintanaan) siinä määrin kuin ne käsittelevät henkilökohtaisia tietoja lehdistötarkoituksessa; ii) henkilöt, jotka kirjoittavat ammatikseen, siltä osin kuin tähän liittyy henkilökohtaisia tietoja; iii) yliopistot ja muut akateemisiin tutkimuksiin liittyvät organisaatiot tai ryhmät tai kuka tahansa tällaiseen organisaatioon kuuluva henkilö, siinä määrin kuin ne käsittelevät henkilökohtaisia tietoja akateemisia tutkimuksia varten; iv) uskonnolliset elimet siinä määrin kuin ne käsittelevät henkilökohtaisia tietoja uskonnollisen toiminnan harjoittamista varten (kaikki siihen liittyvät toiminnot mukaan luettuina); ja v) poliittiset elimet siinä määrin kuin ne käsittelevät henkilökohtaisia tietoja poliittisen toiminnan harjoittamista varten (kaikki siihen liittyvät toiminnot mukaan luettuina). Muunlaisten henkilökohtaisia tietoja käsittelevien toiminnanharjoittajien suorittama henkilökohtaisten tietojen käsittely jotain 76 §:ssä lueteltua tarkoitusta varten samoin kuin jonkin luettelossa mainitun henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan suorittama henkilökohtaisten tietojen käsittely muuta, esimerkiksi työhön liittyvää, tarkoitusta varten kuuluu edelleen IV luvun säännösten soveltamisalaan.

(38) Jotta voidaan varmistaa Euroopan unionista Japanissa sijaitseville toiminnanharjoittajille siirrettyjen henkilötietojen suojan riittävä taso, tämän päätöksen olisi katettava ainoastaan henkilökohtaisten tietojen suojasta annetun lain IV luvun soveltamisalaan kuuluvien henkilökohtaisten tietojen käsittely, toisin sanoen käsittely, jonka suorittaa henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja, siinä määrin kuin käsittelytilanne ei vastaa jotain alakohtaista poikkeusta. Sen soveltamisala olisi sen vuoksi mukautettava henkilökohtaisten tietojen suojasta annetun lain soveltamisalaan. Henkilötietosuojalautakunnalta saatujen tietojen mukaan silloin, kun tämän päätöksen soveltamisalaan kuuluva henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja myöhemmin muuttaisi käyttötarkoitusta (siinä määrin kuin se on sallittua) ja kuuluisi sen vuoksi jonkin henkilökohtaisten tietojen suojasta annetun lain 76 §:n mukaisen alakohtaisen poikkeuksen piiriin, tällainen muutos katsottaisiin kaikissa tapauksissa kansainväliseksi siirroksi (koska kyseisissä tapauksissa henkilökohtaisten tietojen suojasta annetun lain IV luku ei enää kattaisi henkilökohtaisten tietojen käsittelyä vaan kyseiset tapaukset jäisivät sen soveltamisalan ulkopuolelle). Sama pätisi tapauksessa, jossa henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja antaa henkilökohtaisia tietoja mainitun lain 76 §:n soveltamisalaan kuuluvalle yhteisölle käytettäväksi johonkin kyseisessä säännöksessä mainittuun käsittelytarkoitukseen. Euroopan unionista siirrettyjen henkilötietojen osalta kyseessä olisi näin ollen edelleensiirto, johon sovelletaan asiaankuuluvia suojatoimia (erityisesti niitä, jotka mainitaan henkilökohtaisten tietojen suojasta annetun lain 24 §:ssä ja täydentävässä säännössä 4). Jos henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja tukeutuu rekisteröidyn suostumukseen (25), sen olisi annettava tälle kaikki tarvittavat tiedot, mukaan lukien se, että henkilökohtaiset tiedot eivät enää kuulu henkilökohtaisten tietojen suojasta annetun lain piiriin.

2.3 Suojatoimet, oikeudet ja velvollisuudet

2.3.1 Käyttötarkoituksen rajoittaminen

(39) Henkilötietoja olisi käsiteltävä erityistä tarkoitusta varten ja käytettävä myöhemmin vain siltä osin kuin se ei ole ristiriidassa kyseisen tarkoituksen kanssa. Tämä tietosuojaperiaate taataan henkilökohtaisten tietojen suojasta annetun lain 15 ja 16 §:ssä.

(40) Henkilökohtaisten tietojen suojasta annettu laki perustuu periaatteeseen, jonka mukaan toiminnanharjoittajan on määritettävä käyttötarkoitus ”mahdollisimman tarkkaan” (15 §:n 1 momentti), ja kyseinen tarkoitus sitoo sitä myöhemmin kun se käsittelee tietoja.

(41) Tältä osin henkilökohtaisten tietojen suojasta annetun lain 15 §:n 2 momentissa säädetään, että henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja ei saa muuttaa alkuperäistä tarkoitusta ”siten, että se ylittää soveltamisalan, jonka todetaan vastaavan kohtuullisesti muutosta edeltänyttä käyttötarkoitusta”, ja kyseisen tarkoituksen on henkilötietosuojalautakunnan suuntaviivoissa tulkittu vastaavan tarkoitusta, jota rekisteröity voi objektiivisesti katsoen odottaa noudatettavan ”tavanomaisten sosiaalisten normien” perusteella (26).

(42) Lisäksi henkilökohtaisten tietojen suojasta annetun lain 16 §:n 1 momentin mukaan henkilökohtaisia tietoja käsittelevät toiminnanharjoittajat eivät saa käsitellä henkilökohtaisia tietoja siten, että käsittely ylittää 15 §:ssä määritellyn ”käyttötarkoituksen saavuttamiseksi tarvittavan laajuuden”, ilman rekisteröidyn ennakkosuostumusta, ellei kyse ole jostain 16 §:n 3 momentissa säädetystä poikkeuksesta (27).

(43) Toiselta toiminnanharjoittajalta hankittujen henkilökohtaisten tietojen osalta henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja on periaatteessa vapaa määrittämään uuden käyttötarkoituksen (28). Sen varmistamiseksi, että Euroopan unionista tehdyn siirron yhteydessä tällaista vastaanottajaa sitoo tarkoitus, jota varten tiedot on siirretty, täydentävässä säännössä 3 edellytetään, että tapauksissa, ”joissa [henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja] vastaanottaa EU:sta tietosuojan riittävyyttä koskevan päätöksen nojalla henkilötietoja” tai joissa kyseinen toiminnanharjoittaja ”vastaanottaa toiselta [henkilökohtaisia tietoja käsittelevältä toiminnanharjoittajalta] henkilötietoja, jotka on aiemmin siirretty EU:sta tietosuojan riittävyyttä koskevan päätöksen perusteella” (tietojen jakaminen edelleen), vastaanottajan on ”määriteltävä kyseisten henkilötietojen käyttötarkoitus siten, että se sijoittuu sen käyttötarkoituksen sisälle, jota varten tiedot alun perin tai myöhemmin vastaanotettiin”. Toisin sanoen tällä säännöllä varmistetaan, että siirtotilanteessa asetuksen (EU) 2016/679 mukaisesti ilmoitettua tarkoitusta on edelleen sovellettava tietojen käsittelyssä ja että tarkoituksen muuttaminen missä tahansa Japanissa toteutettavan käsittelyketjun vaiheessa edellyttää EU:n rekisteröidyn suostumusta. Suostumuksen saaminen edellyttää, että henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja ottaa yhteyttä rekisteröityyn, mutta jos tämä ei ole mahdollista, se tarkoittaa yksinkertaisesti sitä, että alkuperäinen tarkoitus on säilytettävä.

2.3.2 Tietojenkäsittelyn laillisuus ja oikeudenmukaisuus

(44) Johdanto-osan 43 kappaleessa tarkoitetulla lisäsuojalla on sitäkin enemmän merkitystä siitä syystä, että Japanin järjestelmässä varmistetaan nimenomaan käyttötarkoituksen rajoittamista koskevalla periaatteella myös henkilötietojen käsittelyn lainmukaisuus ja oikeudenmukaisuus.

(45) Kun henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja kerää henkilökohtaisia tietoja, sen on henkilökohtaisten tietojen suojasta annetun lain mukaan täsmennettävä yksityiskohtaisesti (29), mihin tarkoitukseen tietoja on käytetään, ja ilmoitettava rekisteröidylle (tai tiedotettava yleisölle) viipymättä käyttötarkoituksesta (30). Lisäksi henkilökohtaisten tietojen suojasta annetun lain 17 §:ssä säädetään, että henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja ei saa hankkia henkilökohtaisia tietoja vilpillisesti tai muulla epäasiallisella tavalla. Tiettyjen tietoryhmien, kuten erityisellä huolella käsiteltävien henkilökohtaisten tietojen, hankinta edellyttää rekisteröidyn suostumusta (henkilökohtaisten tietojen suojasta annetun lain 17 §:n 2 momentti).

(46) Kuten johdanto-osan 41 ja 42 kappaleessa todetaan, henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja ei saa käsitellä henkilökohtaisia tietoja muihin tarkoituksiin, paitsi jos rekisteröity antaa suostumuksensa tällaiseen käsittelyyn tai jos sovelletaan jotakin henkilökohtaisten tietojen suojasta annetun lain 16 §:n 3 momentin mukaista poikkeusta.

(47) Kun on kyse henkilökohtaisten tietojen antamisesta edelleen kolmannelle osapuolelle (31), henkilökohtaisten tietojen suojasta annetun lain 23 §:n 1 momentissa rajoitetaan tällainen luovuttaminen erityistapauksiin, jolloin yleensä tarvitaan rekisteröidyn ennakkosuostumus (32). Henkilökohtaisten tietojen suojasta annetun lain 23 §:n 2, 3 ja 4 momentissa säädetään suostumuksen saamista koskevaan vaatimukseen tehtävistä poikkeuksista. Näitä poikkeuksia sovelletaan kuitenkin ainoastaan muihin kuin arkaluonteisiin tietoihin ja edellytyksenä on, että henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja ilmoittaa asianomaisille henkilöille etukäteen aikomuksestaan luovuttaa heidän henkilökohtaisia tietojaan kolmannelle osapuolelle ja mahdollisuudesta vastustaa näiden tietojen luovuttamista (33).

(48) Euroopan unionista tehtävien siirtojen osalta henkilötiedot on väistämättä ensin kerätty ja käsitelty EU:ssa asetuksen (EU) 2016/679 mukaisesti. Tähän liittyy aina toisaalta keräämistä ja käsittelyä, myös Euroopan unionista Japaniin tehtävien siirtojen osalta, jonkin asetuksen 6 artiklan 1 kohdassa lueteltujen oikeudellisten perusteiden perusteella, ja toisaalta keräämistä tiettyä nimenomaista ja laillista tarkoitusta varten samoin kuin kielto käsitellä tietoja myöhemmin, myös siirron avulla, tavalla, joka on yhteensopimaton kyseisen tarkoituksen kanssa, kuten asetuksen 5 artiklan 1 kohdan b alakohdassa ja 6 artiklan 4 kohdassa säädetään.

(49) Siirron jälkeen tiedot vastaanottavan toiminnanharjoittajan on täydentävän säännön 3 mukaan ”vahvistettava” siirron tarkoitus (toisin sanoen asetuksen (EU) 2016/679 mukaisesti määritetty tarkoitus) ja käsiteltävä näitä tietoja myöhemmin tämän tarkoituksen mukaisesti (34). Tämä tarkoittaa, että asetuksen mukaisesti määritetty tarkoitus sitoo henkilötietojen alkuperäistä vastaanottajaa Japanissa samoin kuin mitä tahansa kyseisten tietojen myöhempää vastaanottajaa, toimeksisaaja mukaan luettuna.

(50) Jos henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja haluaisi muuttaa aiemmin asetuksen (EU) 2016/679 mukaisesti määritettyä tarkoitusta, henkilökohtaisten tietojen suojasta annetun lain 16 §:n 1 momentin mukaan sen olisi periaatteessa hankittava tähän rekisteröidyn suostumus. Ilman tätä suostumusta tietojen käsittely, joka ylittää sen, mikä on tarpeen käyttötarkoituksen saavuttamiseksi, olisi 16 §:n 1 momentin vastaista, minkä vuoksi henkilötietosuojalautakunta ja tuomioistuimet voisivat panna kyseisen säännöksen täytäntöön.

(51) Tämän vuoksi, kun otetaan huomioon, että asetuksen (EU) 2016/679 mukaan siirto edellyttää voimassa olevaa oikeusperustaa ja erityistä tarkoitusta, jotka on otettu huomioon henkilökohtaisten tietojen suojasta annetun lain mukaisesti ”vahvistetussa” käyttötarkoituksessa, henkilökohtaisten tietojen suojasta annetun lain asiaankuuluvien säännösten ja täydentävän säännön 3 yhdistelmällä varmistetaan, että EU:n tietojen käsittely on Japanissa jatkuvasti lainmukaista.

2.3.3 Tietojen täsmällisyys ja minimointi

(52) Tietojen olisi oltava täsmällisiä, ja ne olisi tarvittaessa pidettävä ajan tasalla. Tietojen on oltava myös asianmukaisia ja olennaisia, eivätkä ne saa olla liian laajoja siihen tarkoitukseen nähden, jota varten niitä käsitellään.

(53) Nämä periaatteet on vahvistettu Japanin lainsäädännössä henkilökohtaisten tietojen suojasta annetun lain 16 §:n 1 momentissa. Siinä kielletään henkilökohtaisten tietojen käsittely, joka ylittää ”käyttötarkoituksen saavuttamiseksi tarvittavan laajuuden”. Kuten henkilötietosuojalautakunta on selittänyt, tämä ei pelkästään sulje pois tietojenkäyttöä, joka ei ole asianmukaista tai joka on liiallista (eli ylittää käyttötarkoituksen saavuttamiseksi tarvittavan laajuuden), vaan siihen sisältyy myös kielto käsitellä tietoja, joilla ei ole merkitystä käyttötarkoituksen saavuttamisen kannalta.

(54) Henkilökohtaisten tietojen suojasta annetun lain 19 §:ssä edellytetään tietojen täsmällisyyden ja ajan tasalla pitämisen osalta, että henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja ”pyrkii säilyttämään henkilötiedot täsmällisinä ja ajantasaisina siinä määrin kuin se on tarpeen käyttötarkoituksen saavuttamiseksi”. Tämä säännös olisi luettava yhdessä henkilökohtaisten tietojen suojasta annetun lain 16 §:n 1 momentin kanssa: jos henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja ei täytä määrättyjä täsmällisyysvaatimuksia, henkilötietosuojalautakunnalta saatujen selitysten mukaan henkilökohtaisten tietojen käsittelyn ei katsota saavuttavan käyttötarkoitusta, mistä syystä käsittelystä tulee 16 §:n 1 momentin mukaisesti lainvastaista.

2.3.4 Säilytystä koskevat rajoitukset

(55) Tiedot olisi periaatteessa säilytettävä ainoastaan niin kauan kuin on tarpeen niiden käsittelytarkoituksen kannalta.

(56) Henkilökohtaisten tietojen suojasta annetun lain 19 §:n mukaan henkilökohtaisia tietoja käsittelevien toiminnanharjoittajien on ”pyrittävä […] poistamaan henkilötiedot viipymättä silloin, kun tällaisesta käytöstä on tullut tarpeetonta”. Tämä säännös olisi luettava yhdessä mainitun lain 16 §:n 1 momentin kanssa. Siinä kielletään henkilökohtaisten tietojen käsittely, joka ylittää ”käyttötarkoituksen saavuttamiseksi tarvittavan laajuuden”. Kun käyttötarkoitus on saavutettu, henkilökohtaisten tietojen käsittelyä ei voida enää pitää tarpeellisena ja eikä sitä saa enää jatkaa (ellei henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja saa rekisteröidyn suostumusta siihen).

2.3.5 Tietoturva

(57) Henkilötietoja olisi käsiteltävä tavalla, jolla varmistetaan niiden turvallisuus, mukaan lukien suojaaminen luvattomalta tai laittomalta käsittelyltä sekä vahingossa tapahtuvalta häviämiseltä, tuhoutumiselta tai vahingoittumiselta. Tätä varten toiminnanharjoittajien olisi toteutettava asianmukaisia teknisiä tai organisatorisia toimenpiteitä henkilötietojen suojaamiseksi mahdollisilta uhkilta. Näitä toimenpiteitä olisi arvioitava ottaen huomioon alan uusin tekniikka ja siihen liittyvät kustannukset.

(58) Tämä periaate on pantu täytäntöön Japanin lainsäädännössä henkilökohtaisten tietojen suojasta annetun lain 20 §:llä, jossa säädetään, että henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan on ”toteutettava tarpeellisia ja asianmukaisia toimia henkilötietojen turvallisuuden valvomiseksi, mukaan lukien käsittelemiensä henkilötietojen vuotamisen, häviämisen tai vahingoittumisen estäminen”. Henkilötietosuojalautakunnan suuntaviivoissa selitetään toteutettavia toimenpiteitä, mukaan lukien menetelmät toimintaperiaatteiden, tietojen käsittelyä koskevien sääntöjen ja erilaisten ”valvontatoimien” luomiseksi (mukaan lukien organisatorinen turvallisuus samoin kuin fyysinen ja teknologinen turvallisuus sekä ihmisiä koskeva turvallisuus) (35). Lisäksi henkilötietosuojalautakunnan julkaisemissa suuntaviivoissa ja asiaa koskevassa tiedonannossa (Lisäys 8, ”Toteutettavien tietoturvatoimenpiteiden sisältö”) annetaan tarkempia tietoja sellaisia turvallisuushäiriöitä koskevista toimenpiteistä, joihin liittyy esimerkiksi henkilökohtaisten tietojen vuotaminen, osana tietoturvatoimenpiteitä, jotka henkilökohtaisia tietoja käsittelevien toiminnanharjoittajien on toteutettava (36).

(59) Lisäksi henkilökohtaisten tietojen suojasta annetun lain 20 ja 21 §:n mukaan on varmistettava ”tarvittava ja asianmukainen valvonta” tietoturvasta huolehtimiseksi silloin, kun työntekijät tai alihankkijat käsittelevät henkilökohtaisia tietoja. Henkilökohtaisten tietojen suojasta annetun lain 83 §:ssä säädetään, että tahallisesta henkilökohtaisten tietojen vuotamisesta tai varastamisesta rangaistuksena on enintään yksi vuosi vankeutta.

2.3.6 Avoimuus

(60) Rekisteröidyille olisi ilmoitettava heidän henkilötietojensa käsittelyn pääkohdat.

(61) Henkilökohtaisten tietojen suojasta annetun lain 18 §:n 1 momentissa edellytetään, että henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja asettaa rekisteröidyn saataville hankittujen henkilökohtaisten tietojen käyttötarkoitusta koskevat tiedot, lukuun ottamatta ”tapauksia, joissa käyttötarkoituksesta on tiedotettu ennakkoon yleisölle”. Sama velvoite koskee tarkoituksen sallittua muuttamista (18 §:n 3 momentti). Näin varmistetaan myös, että rekisteröidylle ilmoitetaan hänen tietojensa keräämisestä. Vaikka henkilökohtaisten tietojen suojasta annetussa laissa ei yleensä edellytetä, että henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja ilmoittaa rekisteröidylle keräysvaiheessa tietojen oletetuista vastaanottajista, kyseinen ilmoitus on välttämätön edellytys tietojen luovuttamiseksi myöhemmin 23 §:n 2 momentin perusteella kolmannelle osapuolelle (vastaanottaja), jos tämä tehdään ilman rekisteröidyn ennakkosuostumusta.

(62) ”Säilytettyjen henkilötietojen” osalta henkilökohtaisten tietojen suojasta annetun lain 27 §:ssä säädetään, että henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan on ilmoitettava rekisteröidylle henkilöllisyytensä (yhteystiedot), tietojen käyttötarkoitus ja menettelyt, joilla vastataan rekisteröidyn yksilön oikeuksia koskevaan pyyntöön henkilökohtaisten tietojen suojasta annetun lain 28, 29 ja 30 §:n mukaisesti.

(63) Samoin kuin täydentävissä säännöissä Euroopan unionista siirretty henkilötiedot katsotaan ”säilytetyiksi henkilötiedoiksi” riippumatta sen säilytysajasta (jollei niihin sovelleta poikkeuksia), ja niihin sovelletaan aina edellä mainittujen säännösten avoimuutta koskevia vaatimuksia.

(64) Sekä henkilökohtaisten tietojen suojasta annetun lain 18 §:n vaatimuksiin että velvollisuuteen ilmoittaa kyseisen lain 27 §:n mukaisesti käyttötarkoituksesta sovelletaan samoja poikkeuksia lähinnä yleisen edun sekä rekisteröidyn, kolmansien osapuolten ja rekisterinpitäjän oikeuksien ja etujen suojelemisen perusteella (37). Henkilötietosuojalautakunnan suuntaviivoissa esitetyn tulkinnan mukaan näitä poikkeuksia sovelletaan tietyissä erityistilanteissa, kuten silloin, kun tieto käyttötarkoituksesta uhkaa heikentää toiminnanharjoittajan tiettyjen etujensa turvaamiseksi toteuttamia laillisia toimenpiteitä (esimerkiksi petosten, teollisuusvakoilun ja sabotaasin torjunta).

2.3.7 Erityiset tietoryhmät

(65) ”Tiettyjä tietoryhmiä” käsiteltäessä olisi sovellettava erityisiä suojatoimia.

(66) ”Erityisellä huolella käsiteltävät henkilökohtaiset tiedot” on määritelty henkilökohtaisten tietojen suojasta annetun lain 2 §:n 3 momentissa. Kyseisessä säännöksessä viitataan ”henkilökohtaisiin tietoihin, joihin sisältyvät datasubjektin rotu, uskonto, sosiaalinen asema, terveydentila, rikosrekisteri, rikoksen aiheuttamat vahingot tai muut kuvaukset, jotka ovat hallituksen määräyksen mukaan niitä, joiden käsittely edellyttää erityistä huolellisuutta, jotta datasubjektiin ei kohdistu epäoikeudenmukaista syrjintää, vahinkoa tai muuta haittaa”. Nämä ryhmät vastaavat suurelta osin asetuksen (EU) 2016/679 9 ja 10 artiklassa esitettyjä arkaluonteisten tietojen luetteloa. Erityisesti ”terveydentila” vastaa terveystietoja, kun taas ”rikosrekisteri ja rikoksen aiheuttamat vahingot” ovat olennaisilta osin samat kuin asetuksen (EU) 2016/679 10 artiklassa tarkoitetut ryhmät. Lisäksi henkilökohtaisten tietojen suojasta annetun lain 2 §:n 3 momentissa tarkoitetuista ryhmistä on lisätulkintaa hallituksen määräyksessä ja henkilötietosuojalautakunnan suuntaviivoissa. Henkilötietosuojalautakunnan suuntaviivojen 2.3 jakson 8 kohdan mukaan hallituksen määräyksen 2 §:n ii ja iii kohdassa esitettyjä terveydentilaa koskevien tietojen alaryhmiä tulkitaan siten, että ne kattavat geneettiset ja biometriset tiedot. Luettelossa ei ole erityistä mainintaa ”etnisestä alkuperästä” ja ”poliittisesta mielipiteestä”, mutta siinä viitataan ”rotuun” ja ”uskontoon”. Kuten henkilötietosuojalautakunnan suuntaviivojen 2.3 jakson 1 ja 2 kohdassa todetaan, viittaus ”rotuun” kattaa ”etniset siteet tai siteet tiettyyn osaan maailmaa”, kun taas ”uskonto” käsittää sekä uskonnolliset että poliittiset näkemykset.

(67) Kuten säännöksen sanamuodosta käy selvästi ilmi, kyseessä ei ole tyhjentävä luettelo, koska siihen voidaan lisätä tietoryhmiä, jos niiden käsittely aiheuttaa datasubjektille riskin ”epäoikeudenmukaisesta syrjinnästä, vahingosta tai muista haitoista”.

(68) Vaikka ”arkaluonteisten” tietojen käsite on luonnostaan sosiaalinen käsite, joka perustuu muun muassa yhteiskunnan kulttuuri- ja oikeusperinteisiin, moraalisiin näkökohtiin ja poliittisiin valintoihin ja kun otetaan huomioon, että on tärkeää varmistaa arkaluonteisten tietojen riittävät suojatoimet, kun tietoja siirretään japanilaisille toiminnanharjoittajille, komissio on varmistanut, että ”erityisellä huolella käsiteltäviä henkilökohtaisia tietoja” koskevat Japanin lainsäädännön erityissuojatoimet laajennetaan koskemaan kaikkia asetuksessa (EU) 2016/679 arkaluonteisiksi tiedoiksi katsottuja tietoryhmiä. Tämän vuoksi täydentävässä säännössä 1 määrätään, että henkilökohtaisia tietoja käsittelevien toiminnanharjoittajien on käsiteltävä Euroopan unionista siirretyt tiedot, jotka koskevat henkilön seksuaalista käyttäytymistä, seksuaalista suuntautumista tai ammattiliittoon kuulumista, ”samalla tavoin kuin [henkilökohtaisten tietojen suojasta annetun lain] 2 §:n 3 momentissa tarkoitetut erityisellä huolella käsiteltävät henkilökohtaiset tiedot”.

(69) Erityisellä huolella käsiteltäviä henkilökohtaisia tietoja koskevien aineellisten lisäsuojatoimien osalta henkilökohtaisia tietoja käsittelevät toiminnanharjoittajat eivät saa henkilökohtaisten tietojen suojasta annetun lain 17 §:n 2 momentin mukaan hankkia tämäntyyppisiä tietoja ilman asianomaisen henkilön etukäteen antamaa suostumusta, muutamia harvoja poikkeuksia lukuun ottamatta (38). Lisäksi tähän henkilökohtaisten tietojen ryhmään ei sovelleta mahdollisuutta antaa tietoja kolmansille osapuolille henkilökohtaisten tietojen suojasta annetun lain 23 §:n 2 momentin (jossa sallitaan tietojen toimittaminen kolmansille osapuolille ilman asianomaisen henkilön ennakkosuostumusta) mukaisen menettelyn perusteella.

2.3.8 Vastuuvelvollisuus

(70) Vastuuvelvollisuutta koskevan periaatteen mukaisesti tietoja käsittelevien yksiköiden on otettava käyttöön asianmukaiset tekniset ja organisatoriset toimenpiteet, jotta ne voivat tehokkaasti noudattaa tietosuojavelvoitteitaan ja osoittaa erityisesti toimivaltaiselle valvontaviranomaiselle noudattavansa velvoitteita.

(71) Kuten alaviitteessä 34 (johdanto-osan 49 kappale) todetaan, henkilökohtaisia tietoja käsittelevien toiminnanharjoittajien on henkilökohtaisten tietojen suojasta annetun lain 26 §:n 1 momentin mukaisesti todennettava sellaisen kolmannen osapuolen henkilöllisyys, joka luovuttaa niille henkilötietoja, ja ”olosuhteet”, joissa kolmas osapuoli on hankkinut tällaiset tiedot (tämän päätöksen soveltamisalaan kuuluvien henkilötietojen osalta kyseisiä olosuhteita ovat henkilökohtaisten tietojen suojasta annetun lain ja täydentävän säännön 3 mukaan esimerkiksi se, että tiedot ovat peräisin Euroopan unionista, samoin kuin alkuperäisen tiedonsiirron tarkoitus). Toimenpiteen tavoitteena on muun muassa varmistaa henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan suorittaman tietojen käsittelyn lainmukaisuus koko käsittelyketjussa. Lisäksi saman pykälän 3 momentin mukaan henkilökohtaisia tietoja käsittelevien toiminnanharjoittajien on merkittävä ylös tietojen vastaanottopäivä ja kolmannelta osapuolelta 1 momentin mukaisesti vastaanottamansa (pakolliset) tiedot sekä asianomaisen henkilön nimi (rekisteröity), käsiteltävien tietojen ryhmät ja tarvittaessa tieto siitä, että rekisteröity on antanut suostumuksensa henkilötietojensa jakamiseen. Kuten henkilötietosuojalautakunnan sääntöjen 18 kohdassa määrätään, tällainen aineisto on säilytettävä vähintään 1–3 vuoden ajan olosuhteista riippuen. Tehtäviään hoitaessaan henkilötietosuojalautakunta voi edellyttää tällaisen aineiston toimittamista (39).

(72) Henkilökohtaisia tietoja käsittelevien toiminnanharjoittajien on käsiteltävä viipymättä ja asianmukaisesti kyseisten henkilöiden esittämien henkilökohtaisten tietojensa käsittelyä koskevat valitukset. Valitusten käsittelyn helpottamiseksi toiminnanharjoittajien on perustettava ”järjestelmä, joka tarvitaan [tämän] tarkoituksen saavuttamiseksi”, mikä tarkoittaa sitä, että niiden olisi otettava käyttöön asianmukaiset menettelyt organisaatiossaan (esimerkiksi jaettava vastuualueet tai nimettävä yhteyspiste).

(73) Lisäksi henkilökohtaisten tietojen suojasta annetussa laissa luodaan puitteet, jotta alan organisaatiot voivat olla mukana varmistamassa vaatimusten korkeatasoista noudattamista (ks. IV luvun 4 jakso). Tällaisten akkreditoitujen henkilötietojen suojaamisesta vastaavien organisaatioiden (40) tehtävänä on edistää henkilökohtaisten tietojen suojaa tukemalla yrityksiä asiantuntemuksensa avulla ja myös osallistua suojatoimien täytäntöönpanoon erityisesti käsittelemällä yksittäisiä valituksia ja auttamalla ratkaisemaan asiaan liittyviä ristiriitoja. Tätä varten ne voivat pyytää osallistuvia henkilökohtaisia tietoja käsitteleviä toiminnanharjoittajia toteuttamaan tarvittavia toimenpiteitä (41). Lisäksi henkilökohtaisia tietoja käsittelevien toiminnanharjoittajien on periaatteessa ilmoitettava tietoturvaloukkauksista tai muista tietoturvahäiriöistä sekä henkilötietosuojalautakunnalle että rekisteröidylle (tai yleisölle) ja ryhdyttävä tarvittaviin toimenpiteisiin, esimerkiksi minimoitava mahdolliset vahingot ja estettävä vastaavanlaisia häiriöitä toistumasta (42). Nämä ovat vapaaehtoisia järjestelmiä, mutta henkilötietosuojalautakunnan 10 päivänä elokuuta 2017 päivätyssä luettelossa on 44 organisaatiota, joista pelkästään suurimpaan (Japan Information Processing and Development Center (JIPDEC)) osallistui 15 436 toiminnanharjoittajaa (43). Akkreditoituja järjestelmiä pitävät yllä muun muassa toimialajärjestöt, kuten arvopaperivälittäjiä edustava Japan Securities Dealers Association, autokouluja edustava Japan Association of Car Driving Schools tai avioliittotoimistoja edustava Association of Marriage Brokers (44).

(74) Akkreditoidut henkilökohtaisten tietojen suojaamisesta vastaavat organisaatiot raportoivat toiminnastaan vuosittain. Henkilötietosuojalautakunnan julkaisemassa katsauksessa henkilökohtaisten tietojen suojasta annetun lain täytäntöönpanon tilaan tilikaudella 2015 todettiin, että akkreditoidut henkilökohtaisten tietojen suojaamisesta vastaavat organisaatiot vastaanottivat yhteensä 442 valitusta, pyysivät toimivaltaansa kuuluvilta henkilökohtaisia tietoja käsitteleviltä toiminnanharjoittajilta 123 selvitystä samoin kuin asiakirjoja 41 tapauksessa sekä antoivat 181 ohjeistusta ja kaksi suositusta (45).

2.3.9 Tietojen edelleen siirtämistä koskevat rajoitukset

(75) Euroopan unionista japanilaisille toiminnanharjoittajille siirrettyjen henkilötietojen suojan tasoa ei saa heikentää siirtämällä näitä tietoja edelleen Japanin ulkopuolella olevassa kolmannessa maassa sijaitseville vastaanottajille. Tällaiset ”jatkosiirrot”, jotka japanilaisen toiminnanharjoittajan näkökulmasta ovat luonteeltaan Japanista tapahtuvia kansainvälisiä siirtoja, olisi sallittava vain siinä tapauksessa, että kyseiseen Japanin ulkopuolella toimivaan vastaanottajaan sovelletaan sääntöjä, joilla varmistetaan, että suojelun taso vastaa Japanin oikeusjärjestyksessä taattua suojelun tasoa.

(76) Ensimmäinen suojelutoimi on vahvistettu henkilökohtaisten tietojen suojasta annetun lain 24 §:ssä, jossa yleisesti kielletään henkilötietojen siirto Japanin alueen ulkopuolelle sijoittautuneelle kolmannelle osapuolelle ilman asianomaisen henkilön ennalta antamaa suostumusta. Täydentävällä säännöllä 4 varmistetaan, että kun on kyse Euroopan unionista tapahtuvasta tietojen siirrosta, tällaisesta suostumuksesta tiedotetaan erityisen hyvin, koska säännössä edellytetään, että asianomainen henkilö ”saa siirtoa koskevista olosuhteista tiedot, jotka datasubjekti tarvitsee suostumustaan koskevan päätöksen tekemiseksi”. Tämän perusteella rekisteröidylle on ilmoitettava, että tiedot siirretään ulkomaille (henkilökohtaisten tietojen suojasta annetun lain soveltamisalan ulkopuolella). Samoin hänelle on ilmoitettava määrämaa. Näin rekisteröity voi arvioida siirrosta aiheutuvan yksityisyyteen liittyvän riskin. Kuten henkilökohtaisten tietojen suojasta annetun lain 23 §:stä ilmenee (ks. johdanto-osan 47 kappale), datasubjektille annettavien tietojen olisi katettava mainitun pykälän 2 momentin mukaiset pakolliset tiedot eli kolmannelle osapuolelle toimitetut henkilötietoryhmät ja luovuttamismenetelmä.

(77) Henkilökohtaisten tietojen suojasta annetun lain 24 §:ssä, jota sovelletaan yhdessä henkilötietosuojalautakunnan sääntöjen 11-2 kohdan kanssa, säädetään useista poikkeuksista tähän suostumukseen perustuvaan sääntöön. Lisäksi kyseisen lain 24 §:n mukaan samoja poikkeuksia, joita sovelletaan 23 §:n 1 momentin nojalla, sovelletaan myös kansainvälisiin tiedonsiirtoihin (46).

(78) Jotta voidaan varmistaa suojan jatkuvuus kun on kyse tämän päätöksen nojalla Euroopan unionista Japaniin siirretyistä henkilötiedoista, täydentävällä säännöllä 4 parannetaan suojan tasoa, kun henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja siirtää kyseiset tiedot edelleen kolmannessa maassa olevalle vastaanottajalle. Tähän päästään siten, että säännöllä rajoitetaan ja rajataan kansainvälisten siirtojen perusteita, joita henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja voi käyttää vaihtoehtona suostumuksen saamiselle. Rajoittamatta henkilökohtaisten tietojen suojasta annetun lain 23 §:n 1 momentin mukaisten poikkeusten soveltamista tämän päätöksen nojalla siirrettyjä henkilötietoja voidaan tarkemmin sanoen siirtää (edelleen) ilman suostumusta ainoastaan kahdessa tapauksessa: i) jos tiedot lähetetään kolmanteen maahan, jonka henkilötietosuojalautakunta on henkilökohtaisten tietojen suojasta annetun lain 24 §:n mukaisesti tunnustanut tarjoavan Japanin suojatasoa vastaavan suojan (47); tai ii) kun henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja ja tiedot vastaanottava kolmas osapuoli ovat yhdessä toteuttaneet toimenpiteitä, jotka tarjoavat sopimuksen, muiden sitovien sopimusmuotojen tai yritysryhmää sitovien järjestelyjen perusteella henkilökohtaisten tietojen suojasta annettua lakia, luettuna yhdessä täydentävien sääntöjen kanssa, vastaavan suojan tason. Jälkimmäinen ryhmä vastaa asetuksen (EU) 2016/679 nojalla käytettäviä välineitä, joilla varmistetaan asianmukaiset suojatoimet (erityisesti sopimuslausekkeet ja sitovat yhtiösäännöt). Henkilötietosuojalautakunta on vahvistanut, että myös näissä tapauksissa siirtoon sovelletaan yleisiä sääntöjä, joita sovelletaan kaikkeen henkilökohtaisten tietojen suojasta annetun lain mukaiseen henkilötietojen toimittamiseen kolmannelle osapuolelle (eli 23 §:n 1 momentin mukaista suostumuksen hankkimista koskevaa vaatimusta tai vaihtoehtoisesti 23 §:n 2 momentin mukaista ilmoittamisvaatimusta ja tähän liittyvää mahdollisuutta olla suostumatta tietojen toimittamiseen). Siirtoa ei saa toteuttaa, jos rekisteröityyn ei saada yhteyttä suostumusta koskevan pyynnön tekemiseksi tai vaadittujen ennakkotietojen antamiseksi henkilökohtaisten tietojen suojasta annetun lain 23 §:n 2 momentin mukaisesti.

(79) Sen vuoksi muissa tapauksissa kuin niissä, joissa henkilötietosuojalautakunta on todennut, että kyseinen kolmas maa takaa henkilökohtaisten tietojen suojasta annetussa laissa taattua tasoa vastaavan suojan (48), täydentävän säännön 4 vaatimuksissa suljetaan pois sellaisten siirtoinstrumenttien käyttö, joilla ei luoda sitovaa suhdetta japanilaisen tietojen viejän ja kolmannessa maassa olevan tietojen tuojan välille ja joissa ei taata vaadittua suojan tasoa. Tämä koskee esimerkiksi APEC:n rajat ylittäviä yksityisyyden suojaa koskevia sääntöjä (CBPR), joita Japani soveltaa osallistuvana taloutena (49), sillä kyseisessä järjestelmässä tietosuoja ei perustu viejää ja tuoja sitovaan järjestelyyn niiden kahdenvälisen suhteen puitteissa ja on selvästi alhaisempi kuin taso, joka taataan henkilökohtaisten tietojen suojasta annetun lain ja täydentävien sääntöjen yhdistelmällä (50).

(80) Lisäksi tietojen edelleen siirtämiseen sovelletaan henkilökohtaisten tietojen suojasta annetun lain 20 ja 22 §:ään perustuvaa suojatoimea. Jos kolmannen maan toiminnanharjoittaja (tietojen tuoja) toimii henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan (tietojen viejä) puolesta eli (alihankkijana toimivana) käsittelijänä, henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan on varmistettava kolmannen maan toiminnanharjoittajan valvonta tietojen käsittelyn turvallisuuden osalta.

2.3.10 Yksilön oikeudet

(81) EU:n tietosuojalainsäädännön tavoin henkilökohtaisten tietojen suojasta annetussa laissa myönnetään yksilöille useita täytäntöönpanokelpoisia oikeuksia. Näitä ovat tiedonsaantioikeus (tiedoista ilmoittaminen), oikeus pyytää tietojen oikaisemista tai poistamista sekä oikeus vastustaa tietojen käyttöä (oikeus pyytää tietojen käytön lopettamista).

(82) Ensinnäkin rekisteröidyllä on henkilökohtaisten tietojen suojasta annetun lain 28 §:n 1 ja 2 momentin nojalla oikeus pyytää henkilökohtaisia tietoja käsittelevää toiminnanharjoittajaa ”ilmoittamaan ne säilytetyt henkilötiedot, joilla hänet voidaan tunnistaa” ja pyynnön saatuaan toiminnanharjoittajan on ”ilmoitettava […] säilytetyt henkilötiedot” rekisteröidylle. Kyseisen lain 29 §:ssä (oikeus pyytää tietojen oikaisemista) ja 30 §:ssä (oikeus pyytää tietojen käytön lopettamista) on sama rakenne kuin 28 §:ssä.

(83) Hallituksen määräyksen 9 §:ssä säädetään, että henkilökohtaisten tietojen suojasta annetun lain 28 §:n 2 momentissa tarkoitettu henkilökohtaisista tiedoista ilmoittaminen on tehtävä kirjallisesti, jolleivat henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja ja rekisteröity toisin sovi.

(84) Näihin oikeuksiin sovelletaan kolmentyyppisiä rajoituksia, jotka koskevat yksilön omia tai kolmansien osapuolten oikeuksia ja etuja (51), vakavaa puuttumista henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan liiketoimintaan (52) sekä tapauksia, joissa ilmoittaminen rikkoisi muita lakeja tai määräyksiä (53). Tilanteet, joissa näitä rajoituksia sovellettaisiin, ovat samankaltaisia kuin eräät asetuksen (EU) 2016/679 23 artiklan 1 kohdan nojalla sovellettavat poikkeukset, joiden mukaan henkilöiden oikeuksia voidaan rajoittaa ”rekisteröidyn suojelua tai muille kuuluvia oikeuksia ja vapauksia” tai ”muita […] yleisiin julkisiin etuihin liittyviä tärkeitä tavoitteita” koskevista syistä. Vaikka niiden tapausten ryhmä, joissa ilmoittaminen rikkoisi muita lakeja tai määräyksiä, voi näyttää laajalta, laeissa ja määräyksissä, joissa rajoitukset vahvistetaan tältä osin, on kunnioitettava perustuslaillista oikeutta yksityisyyteen, ja niissä voidaan asettaa rajoituksia vain siinä määrin kuin tämän oikeuden käyttäminen ”haittaisi yleistä hyvinvointia” (54). Tämä edellyttää asianomaisten etujen tasapainottamista.

(85) Jos pyydettyjä tietoja ei ole olemassa tai jos asianomainen henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja päättää olla myöntämättä oikeutta tutustua säilytettyihin tietoihin, sen on henkilökohtaisten tietojen suojasta annetun lain 28 §:n 3 momentin mukaan ilmoitettava siitä viipymättä asianomaiselle henkilölle.

(86) Toiseksi rekisteröidyllä on henkilökohtaisten tietojen suojasta annetun lain 29 §:n 1 ja 2 momentin nojalla oikeus pyytää säilytettävien henkilötietojensa oikaisua, täydentämistä tai poistamista siinä tapauksessa, että tiedot ovat virheellisiä. Saatuaan tällaisen pyynnön henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan ”[…] on suoritettava tarvittava tutkimus” ja sen on tällaisen tutkimuksen tulosten perusteella ”tehtävä oikaisu tai muu vastaava säilytettyjen tietojen sisältöön”.

(87) Kolmanneksi rekisteröidyllä on henkilökohtaisten tietojen suojasta annetun lain 30 §:n 1 ja 2 momentin nojalla oikeus pyytää toiminnanharjoittajaa keskeyttämään henkilökohtaisten tietojen käyttö tai poistamaan kyseiset tiedot silloin, kun niitä on käsitelty 16 §:n vastaisesti (käyttötarkoituksen rajoittaminen) tai kun ne on hankittu epäasianmukaisella tavalla 17 §:n vastaisesti (vilpilliset hankinnat, muut asiattomat keinot tai arkaluonteisten tietojen hankinta ilman suostumusta). Samoin henkilökohtaisten tietojen suojasta annetun lain 30 §:n 3 ja 4 momentissa säädetään, että henkilöllä on oikeus pyytää henkilökohtaisia tietoja käsittelevää toiminnanharjoittajaa lopettamaan tietojen toimittaminen kolmannelle osapuolelle, jos tämä on vastoin kyseisen lain 23 §:n 1 momentin tai 24 §:n (luovuttaminen kolmannelle osapuolelle, kansainväliset siirrot mukaan lukien) säännöksiä.

(88) Jos pyyntö on perusteltu, henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan on viipymättä lopetettava tietojen käyttö tai luovuttaminen kolmannelle osapuolelle siinä määrin kuin se on tarpeen rikkomuksen korjaamiseksi tai, jos tapaus kuuluu jonkin poikkeuksen piiriin (erityisesti jos käytön lopettaminen aiheuttaisi erityisen suuria kustannuksia) (55), toteutettava tarvittavat vaihtoehtoiset toimenpiteet kyseisen henkilön oikeuksien ja etujen suojelemiseksi.

(89) Toisin kuin EU:n lainsäädännössä henkilökohtaisten tietojen suojasta annetussa laissa ja asiaankuuluvissa lainsäädännön alapuolelle sijoittuvissa säännöissä ei ole säännöksiä, joissa nimenomaisesti käsiteltäisiin mahdollisuutta vastustaa käsittelyä suoramarkkinointitarkoitusta varten. Tämän päätöksen mukaisesti tällainen käsittely toteutetaan kuitenkin aikaisemmin Euroopan unionissa kerättyjen henkilötietojen siirron yhteydessä. Asetuksen (EU) 2016/679 21 artiklan 2 kohdan mukaan rekisteröidyllä on aina oltava mahdollisuus vastustaa tietojen siirtoa käsiteltäväksi suoramarkkinointia varten. Lisäksi kuten johdanto-osan 43 kappaleessa selitetään, täydentävän säännön 3 mukaan henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan on käsiteltävä päätöksen nojalla vastaanotetut tiedot sitä samaa tarkoitusta varten, jota varten tiedot on siirretty Euroopan unionista, ellei rekisteröity suostu muuttamaan käyttötarkoitusta. Näin ollen, jos siirto on tehty muuhun tarkoitukseen kuin suoramarkkinointiin, Japanissa toimiva henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja ei voi käsitellä tietoja suoramarkkinointitarkoituksiin ilman EU:n rekisteröidyn suostumusta.

(90) Henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan on kaikissa henkilökohtaisten tietojen suojasta annetun lain 28 ja 29 §:ssä tarkoitetuissa tapauksissa ilmoitettava asianomaiselle henkilölle viipymättä tämän esittämän pyynnön tuloksesta ja lisäksi selitettävä, miksi pyyntö on mahdollisesti (osittain) evätty 27–30 §:ssä säädettyjen lakisääteisten poikkeusten perusteella (henkilökohtaisten tietojen suojasta annetun lain 31 §).

(91) Pyynnön esittämisedellytysten osalta henkilökohtaisten tietojen suojasta annetun lain 32 §:ssä (yhdessä hallituksen määräyksen kanssa) annetaan henkilökohtaisia tietoja käsittelevälle toiminnanharjoittajalle mahdollisuus määrittää kohtuulliset menettelyt, myös säilytettyjen henkilötietojen tunnistamiseksi tarvittavien tietojen osalta. Tämän pykälän 4 momentin mukaan henkilökohtaisia tietoja käsittelevät toiminnanharjoittajat eivät kuitenkaan saa kohdistaa ”datasubjektiin liiallista rasitusta”. Tietyissä tapauksissa kyseiset toiminnanharjoittajat voi määrätä maksuja, jos niiden määrä säilyy ”kohtuullisena, kun otetaan huomioon todelliset kustannukset” (henkilökohtaisten tietojen suojasta annetun lain 33 §).

(92) Henkilö voi myös vastustaa henkilökohtaisten tietojensa antamista kolmannelle osapuolelle edellä mainitun lain 23 §:n 2 momentin nojalla tai kieltäytyä antamasta suostumustaan 23 §:n 1 momentin nojalla (eli estää tietojen luovuttamisen, jos käytettävissä ei ole muuta oikeusperustaa). Henkilö voi lisäksi keskeyttää tietojen käsittelyn eri tarkoitusta varten kieltäytymällä antamasta suostumusta 16 §:n 1 momentin mukaisesti.

(93) Toisin kuin EU:n lainsäädännössä, henkilökohtaisten tietojen suojasta annettu laki ja asiaa koskevat lainsäädännön alapuolelle sijoittuvat säännöt eivät sisällä yleisiä säännöksiä rekisteröityyn vaikuttavista päätöksistä, jotka perustuisivat yksinomaan henkilötietojen automaattiseen käsittelyyn. Tätä kysymystä käsitellään kuitenkin tietyissä Japanissa sovellettavissa alakohtaisissa säännöissä, jotka ovat erityisen olennaisia tällaisen käsittelyn kannalta. Tämä koskee aloja, joilla yritykset todennäköisimmin turvautuvat automatisoituun henkilötietojen käsittelyyn tehdessään yksityishenkilöihin vaikuttavia päätöksiä (kuten rahoitusala). Esimerkiksi kesäkuussa 2017 tarkistetuissa kattavissa suuntaviivoissa suurien pankkien valvonnasta edellytetään, että asianomaiselle henkilölle annetaan yksityiskohtainen selvitys syistä, joiden vuoksi lainasopimuksen tekemistä koskeva pyyntö on hylätty. Nämä säännöt tarjoavat suojan todennäköisesti niissä suhteellisen harvoissa tapauksissa, joissa tietoja ”tuova” japanilainen toiminnanharjoittaja tekisi automatisoidut päätökset itse (tietoja ”vievän” EU:n rekisterinpitäjän sijaan).

(94) Joka tapauksessa päätöksen, joka tehdään Euroopan unionissa kerättyjen henkilötietojen osalta automatisoidun käsittelyn perusteella, tekee yleensä unionissa toimiva rekisterinpitäjä (jolla on suora suhde kyseiseen rekisteröityyn), ja näin ollen kyseiseen päätökseen sovelletaan asetusta (EU) 2016/679 (56). Tähän kuuluvat siirtotilanteet, joissa tietojen käsittelyn suorittaa ulkomainen (esimerkiksi japanilainen) toiminnanharjoittaja, joka toimii EU:n rekisterinpitäjän edustajana (käsittelijänä) (tai EU:n käsittelijän alihankkijana vastaanotettuaan tiedot ne keränneeltä EU:n rekisterinpitäjältä) ja tekee tämän perusteella automatisoidun päätöksen. Tämän vuoksi on epätodennäköistä, että se, ettei henkilökohtaisten tietojen suojasta annettuun lakiin sisälly säännöksiä automatisoidusta päätöksenteosta, vaikuttaisi tämän päätöksen nojalla siirrettyjen henkilötietojen suojan tasoon.

2.4 Valvonta ja täytäntöönpano

2.4.1 Riippumaton valvonta

(95) Sen varmistamiseksi, että tietosuojan riittävä taso taataan myös käytännössä, olisi oltava riippumaton valvontaviranomainen, jonka tehtävänä on valvoa tietosuojasääntöjen noudattamista ja varmistaa niiden täytäntöönpano. Kyseisen viranomaisen olisi toimittava riippumattomasti ja puolueettomasti tehtäviään suorittaessaan ja toimivaltuuksiaan käyttäessään.

(96) Japanissa henkilökohtaisten tietojen suojasta annetun lain noudattamisen valvonnasta ja täytäntöönpanosta vastaava viranomainen on henkilötietosuojalautakunta. Se koostuu puheenjohtajasta ja kahdeksasta jäsenestä, jotka pääministeri nimittää parlamentin molempien kamareiden suostumuksella. Puheenjohtajan ja kunkin jäsenen toimikausi on viisi vuotta, ja uudelleennimittäminen on mahdollista (henkilökohtaisten tietojen suojasta annetun lain 64 §). Lautakunnan jäsenet voidaan irtisanoa ainoastaan hyvin perustelluissa poikkeustapauksissa (57), eivätkä he saa osallistua aktiivisesti poliittiseen toimintaan. Lisäksi henkilökohtaisten tietojen suojasta annetussa laissa säädetään, että lautakunnan kokoaikaisten jäsenten on pidättäydyttävä muista palkallisista toimista tai liiketoimista. Kaikkiin lautakunnan jäseniin sovelletaan myös sisäisiä sääntöjä, jotka estävät niitä osallistumasta asioiden käsittelyyn tapauksissa, joissa eturistiriita on mahdollinen. Henkilötietosuojalautakuntaa avustaa sihteeristö, jota johtaa pääsihteeri ja jonka tehtävänä on hoitaa lautakunnalle määrättyjä tehtäviä (henkilökohtaisten tietojen suojasta annetun lain 70 §). Sekä lautakunnan jäseniä että kaikkia sihteeristön virkamiehiä sitovat tiukat salassapitovelvollisuutta koskevat säännöt (henkilökohtaisten tietojen suojasta annetun lain 72 ja 82 §).

(97) Henkilötietosuojalautakunnan toimivaltuuksista, joita se käyttää täysin itsenäisesti (58), säädetään pääasiassa henkilökohtaisten tietojen suojasta annetun lain 40, 41 ja 42 §:ssä. Kyseisen lain 40 §:n mukaan henkilötietosuojalautakunta voi pyytää henkilökohtaisia tietoja käsitteleviä toiminnanharjoittajia raportoimaan tai toimittamaan asiakirjoja käsittelytoiminnasta ja se voi myös suorittaa sekä paikalla tehtäviä tarkastuksia että kirjanpidon ja muiden asiakirjojen tarkastuksia. Siinä määrin kuin on tarpeen henkilökohtaisten tietojen suojasta annetun lain täytäntöönpanemiseksi, henkilötietosuojalautakunta voi antaa henkilökohtaisia tietoja käsitteleville toiminnanharjoittajille henkilökohtaisten tietojen käsittelyä koskevia ohjeita tai neuvoja. Henkilötietosuojalautakunta on jo käyttänyt näitä henkilökohtaisten tietojen suojasta annetun lain 41 §:n mukaisia valtuuksiaan antamalla ohjeita Facebookille sitä koskeneiden Cambridge Analytica -paljastusten jälkeen.

(98) Erityisesti on huomattava, että henkilötietosuojalautakunnalla on valtuudet antaa joko valituksen johdosta tai omasta aloitteestaan suosituksia ja määräyksiä henkilökohtaisten tietojen suojasta annetun lain ja muiden sitovien sääntöjen (täydentävät säännöt mukaan luettuina) täytäntöönpanemiseksi yksittäisissä tapauksissa. Näistä valtuuksista säädetään henkilökohtaisten tietojen suojasta annetun lain 42 §:ssä. Vaikka kyseisen pykälän 1 ja 2 momentissa säädetään kaksivaiheisesta mekanismista, jonka puitteissa henkilötietosuojalautakunta voi antaa määräyksen (ainoastaan) aiemmin annetun suosituksen jälkeen, määräys voidaan 3 momentin mukaan antaa kiireellisissä tapauksissa suoraan.

(99) Vaikka kaikkia henkilökohtaisten tietojen suojasta annetun lain IV luvun 1 jakson säännöksiä ei ole lueteltu 42 §:n 1 momentissa, joka myös määrittää 42 §:n 2 momentin soveltamisalan, tämä voi selittyä sillä, että jotkin näistä säännöksistä eivät koske henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan (59) velvoitteita ja että kaikki olennaiset suojatoimet on jo otettu huomioon muissa kyseiseen luetteloon sisältyvissä säännöksissä. Vaikka esimerkiksi 15 §:ää (jossa vaaditaan, että henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja määrittää käyttötarkoituksen ja käsittelee henkilökohtaiset tiedot yksinomaan käyttötarkoituksen rajoissa) ei ole mainittu, tämän vaatimuksen noudattamatta jättäminen voi olla peruste 16 §:n 1 momentin rikkomisen johdosta annettavalle suositukselle (kyseisessä pykälässä kielletään henkilökohtaisia tietoja käsittelevää toiminnanharjoittajaa käsittelemästä henkilökohtaisia tietoja enemmän kuin on tarpeen käyttötarkoituksen saavuttamiseksi, ellei se saa rekisteröidyn suostumusta) (60). Toinen säännös, jota ei mainita 42 §:n 1 momentissa, on tietojen täsmällisyyttä ja säilyttämistä koskeva 19 §. Tämän säännöksen noudattamatta jättäminen voi johtaa täytäntöönpanotoimiin joko 16 § 1 momentin tai 29 §:n 2 momentin rikkomisen perusteella, jos asianomainen henkilö pyytää virheellisten tai liiallisten tietojen oikaisemista tai poistamista ja henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja kieltäytyy noudattamasta pyyntöä. Kun kyseessä ovat rekisteröidyn 28 §:n 1 momentin, 29 §:n 1 momentin ja 30 §:n 1 momentin mukaiset oikeudet, henkilötietosuojalautakunnan valvonta varmistetaan antamalla sille täytäntöönpanovaltuudet kyseisissä pykälissä säädettyjen henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan vastaavien velvoitteiden suhteen.

(100) Henkilötietosuojalautakunta voi henkilökohtaisten tietojen suojasta annetun lain 42 §:n 1 momentin nojalla antaa suosituksen ”rikkomisen keskeyttämiseksi tai ryhtyä muihin tarpeellisiin toimiin rikkomisen korjaamiseksi”, jos se katsoo, että ”on tarpeen suojella yksilön oikeuksia ja etuja tapauksissa, joissa [henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja] on rikkonut” tiettyjä mainitun lain säännöksiä. Tällainen suositus ei ole sitova, mutta se mahdollistaa 42 §:n 2 momentin mukaisen sitovan määräyksen antamisen. Henkilötietosuojalautakunta voi tämän säännöksen perusteella määrätä, että henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan on toteutettava suosituksen mukaiset toimet, jos suositusta ei ole noudatettu ”ilman perusteltua syytä” ja jos lautakunta ”katsoo, että yksilön oikeuksiin ja etuihin kohdistuu välitön uhka vakavasta rikkomisesta”.

(101) Täydentävillä säännöillä selkeytetään ja vahvistetaan henkilötietosuojalautakunnan täytäntöönpanovaltuuksia entisestään. Erityisesti kun on kyse tapauksista, joihin liittyy Euroopan unionista tuotua tietoa, henkilötietosuojalautakunta katsoo aina, että jos henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja on jättänyt toteuttamatta henkilökohtaisten tietojen suojasta annetun lain 42 §:n 1 momentin mukaisesti annettuun suositukseen perustuvia toimia ilman perusteltua syytä, kyseessä on 42 §:n 2 momentissa tarkoitettu yksilön oikeuksien ja etujen välitön ja vakava rikkominen ja näin ollen kyseessä on rikkomus, jonka vuoksi on annettava sitova määräys. Lisäksi henkilötietosuojalautakunta hyväksyy suosituksen noudattamatta jättämisen ”perustelluksi syyksi” ainoastaan ”luonteeltaan poikkeuksellisen tapahtuman [joka estää suosituksen noudattamisen], johon [henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja] ei ole voinut vaikuttaa ja jota ei voida kohtuudella ennakoida (esimerkiksi luonnonkatastrofit)”, tai tapaukset, joissa tarve ryhtyä toimiin suosituksen johdosta ”on hävinnyt, koska [henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja] on toteuttanut vaihtoehtoisia toimia, jotka korjaavat rikkomisen täysimääräisesti”.

(102) Henkilötietosuojalautakunnan määräyksen noudattamatta jättämistä pidetään henkilökohtaisten tietojen suojasta annetun lain 84 §:ssä tarkoitettuna rikoksena ja syylliseksi todettu henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja voidaan tuomita pakkotyöhön enintään kuudeksi kuukaudeksi tai toiminnanharjoittajalle voidaan määrätä enintään 300 000 jenin sakko. Lisäksi henkilötietosuojalautakunnan kanssa tehtävästä yhteistyöstä kieltäytymisen tai sen tutkinnan estämisen johdosta voidaan henkilökohtaisten tietojen suojasta annetun lain 85 §:n i kohdan mukaisesti määrätä enintään 300 000 jenin sakko. Näitä rikosseuraamuksia sovelletaan niiden seuraamusten lisäksi, joita voidaan määrätä henkilökohtaisten tietojen suojasta annetun lain merkittävistä rikkomisista (ks. johdanto-osan 108 kappale).

2.4.2 Oikeudellinen muutoksenhaku

(103) Jotta voidaan varmistaa asianmukainen suojelu ja erityisesti yksilön oikeuksien täytäntöönpano, rekisteröidyllä olisi oltava tehokkaat hallinnolliset ja oikeudelliset muutoksenhakukeinot, mukaan lukien vahingonkorvaus.

(104) Henkilö voi tehdä rekisterinpitäjälle valituksen henkilötietojensa käsittelystä ennen hallinnollista tai oikeudellista muutoksenhakua tai sen sijasta. Henkilökohtaisten tietojen suojasta annetun lain 35 §:n perusteella henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan on pyrittävä käsittelemään tällaiset valitukset ”asianmukaisesti ja viipymättä” ja otettava käyttöön sisäiset valitusten käsittelyjärjestelmät tämän tavoitteen saavuttamiseksi. Lisäksi henkilökohtaisten tietojen suojasta annetun lain 61 §:n ii kohdassa säädetään, että henkilötietosuojalautakunta vastaa ”tehtyä valitusta koskevasta tarvittavasta sovittelusta ja yhteistyöstä valitusta käsittelevän toiminnanharjoittajan kanssa”; molemmissa tapauksissa valitukset kattavat myös ulkomaalaisten tekemät valitukset. Japanin lainsäätäjä on tältä osin lisäksi antanut valtion keskushallinnon tehtäväksi toteuttaa ”tarvittavat toimet”, jotta henkilökohtaisia tietoja käsittelevät toiminnanharjoittajat voivat ratkaista valitukset ja jotta voidaan helpottaa valitusten ratkaisemista (9 §), kun taas paikallishallinnot pyrkivät varmistamaan sovittelun tällaisissa tapauksissa (13 §). Tältä osin henkilöt voivat tehdä kantelun jollekin niistä yli 1 700 kuluttajakeskuksesta, jotka paikallishallinnot ovat perustaneet kuluttajien turvallisuutta koskevan lain (61) perusteella, minkä lisäksi he voivat tehdä valituksen Japanin kansalliselle kuluttaja-asiain keskukselle. Valituksia voidaan tehdä myös henkilökohtaisten tietojen suojasta annetun lain rikkomisen johdosta. Kuluttajalain (62) 19 §:n mukaan paikallishallintojen on pyrittävä sovittelemaan valituksia ja tarjottava osapuolille tarvittavaa asiantuntemusta. Nämä riitojenratkaisumekanismit vaikuttavat melko tehokkailta, sillä vuonna 2015 käsiteltiin yli 75 000 valitusta ja niistä ratkaistiin 91,2 prosenttia.

(105) Jos henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja rikkoo henkilökohtaisten tietojen suojasta annetun lain säännöksiä, seurauksena voi olla siviilioikeudellisia toimia sekä rikosoikeudellinen menettely ja rangaistuksia. Jos henkilö katsoo, että hänen henkilökohtaisten tietojen suojasta annetun lain 28, 29 ja 30 §:n mukaisia oikeuksiaan on loukattu, hän voi ensinnäkin hakea kieltomääräystä pyytämällä tuomioistuinta määräämään, että henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja täyttää hänen jonkin edellä mainitun säännöksen mukaisen pyyntönsä, toisin sanoen ilmoittaa säilytetyt henkilötiedot (28 §), oikaisee virheelliset säilytetyt henkilötiedot (29 §) tai lopettaa tietojen lainvastaisen käsittelyn tai niiden luovuttamisen kolmannelle osapuolelle (30 §). Tällainen kanne voidaan panna vireille ilman siviililain 709 §:n (63) tai vahingonkorvausoikeuden soveltamista (64). Tämä tarkoittaa erityisesti sitä, että henkilön ei tarvitse osoittaa minkäänlaisen vahingon aiheutumista.

(106) Toiseksi siinä tapauksessa, että väitetty rikkominen ei koske 28, 29 ja 30 §:n mukaisia yksilön oikeuksia vaan henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan yleisiä tietosuojaperiaatteita tai -velvollisuuksia, asianomainen henkilö voi nostaa kanteen toiminnanharjoittajaa vastaan Japanin siviililain (erityisesti sen 709 §:n) vahingonkorvaussäännösten perusteella. Vaikka 709 §:n mukainen kanne edellyttää syyksiluettavuuden (tahallisuus tai tuottamuksellisuus) lisäksi selvitystä aiheutuneesta vahingosta, tällainen vahinko voi siviililain 710 §:n mukaan olla sekä aineellinen että aineeton. Korvauksen määrää ei ole rajoitettu.

(107) Käytettävissä olevista oikeussuojakeinoista voidaan todeta, että Japanin siviililain 709 §:ssä viitataan rahalliseen korvaukseen. Japanin oikeuskäytännössä on kuitenkin tulkittu tätä pykälää niin, että siinä annetaan oikeus hakea myös kieltomääräystä (65). Näin ollen jos rekisteröity saattaa vireille siviililain 709 §:n nojalla kanteen ja väittää, että vastaaja on loukannut hänen oikeuksiaan tai etujaan rikkomalla henkilökohtaisten tietojen suojasta annetun lain säännöstä, kanteeseen voi sisältyä vahingonkorvausvaatimuksen lisäksi kieltomääräystä koskeva pyyntö, jolla pyritään erityisesti lopettamaan laiton käsittely.

(108) Kolmanneksi siviilioikeudellisten oikeussuojakeinojen käyttämisen lisäksi rekisteröity voi tehdä syyttäjälle tai tutkinta-asioista vastaavalle poliisille valituksen sellaisesta henkilökohtaisten tietojen suojasta annetun lain rikkomisesta, joka voi johtaa rikosoikeudellisiin seuraamuksiin. Henkilökohtaisten tietojen suojasta annetun lain VII luku sisältää useita rikosoikeudellisia säännöksiä. Niistä tärkein (84 §) koskee tapauksia, joissa henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja on jättänyt noudattamatta määräyksiä, jotka henkilötietosuojalautakunta on antanut 42 §:n 2 ja 3 momentin nojalla. Jos toiminnanharjoittaja ei noudata henkilötietosuojalautakunnan antamaa määräystä, lautakunnan puheenjohtaja (samoin kuin joku muu valtion virkamies) (66) voi viedä asian yleiselle syyttäjälle tai tutkinta-asioista vastaavalle poliisille ja tällä tavoin käynnistää rikosoikeudellisen menettelyn. Henkilötietosuojalautakunnan määräyksen rikkomisesta voidaan tuomita pakkotyöhön enintään kuudeksi kuukaudeksi tai maksamaan sakko, joka on enintään 300 000 jeniä. Muita henkilökohtaisten tietojen suojasta annetun lain säännöksiä, joissa säädetään rekisteröityjen oikeuksia ja etuja koskevista kyseisen lain rikkomisesta määrättävistä seuraamuksista, ovat kyseisen lain 83 § (joka koskee henkilökohtaisten tietojen tietokannan ”luovuttamista tai käyttämistä varkain […] laittoman voiton tavoittelemista varten”) ja 88 §:n i kohta (siltä osin kuin kyse on siitä, että silloin kun toiminnanharjoittaja vastaanottaa henkilötietoja mainitun lain 26 §:n 1 momentin mukaisesti, kolmas osapuoli ei ilmoita tälle toiminnanharjoittajalle asianmukaisesti erityisesti sellaisia tietoja, jotka koskevat kyseisten tietojen aiempaa hankintaa kolmannen osapuolen toimesta). Tällaisesta henkilökohtaisten tietojen suojasta annetun lain rikkomisesta voidaan määrätä enintään yhden vuoden mittainen pakkotyörangaistus tai enintään 500 000 jenin sakko (kun kyseessä on 83 §) tai enintään 100 000 jenin hallinnollinen sakko (kun kyseessä on 88 §:n i kohta). Vaikka jo rikosoikeudellisen seuraamuksen uhalla on todennäköisesti vahva pelotevaikutus henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan käsittelytoimintoja johtavaan yritysjohtoon sekä tietoja käsitteleviin henkilöihin, henkilökohtaisten tietojen suojasta annetun lain 87 §:ssä selvennetään, että kun yrityksen edustaja, toimihenkilö tai muu työntekijä on syyllistynyt kyseisen lain 83–85 §:n mukaiseen rikkomukseen, ”kyseistä toimijaa on rangaistava ja kyseiselle yritykselle on määrättävä asianomaisissa pykälissä vahvistettu sakko”. Tässä tapauksessa sekä työntekijälle että yritykselle voidaan määrätä seuraamuksia täyteen enimmäismäärään asti.

(109) Lisäksi henkilöt voivat hakea hyvitystä henkilötietosuojalautakunnan toimien tai laiminlyöntien vuoksi. Japanin lainsäädännössä säädetään tältä osin erilaisista hallinnollisista ja oikeudellisista muutoksenhakukeinoista.

(110) Jos henkilö ei ole tyytyväinen henkilötietosuojalautakunnan toteuttamiin toimiin, hän voi tehdä hallinnollista muutoksenhakua koskevan lain (67) mukaisen hallinnollisen valituksen. Jos henkilö sitä vastoin katsoo, että henkilötietosuojalautakunnan olisi pitänyt toimia mutta se jätti toimimatta, kyseinen henkilö voi muutoksenhakulain 36-3 §:n mukaisesti pyytää henkilötietosuojalautakunnalta hallinnollisen määräyksen tai hallinnollisen ohjeistuksen antamista, jos hän katsoo, että ”rikkomisen korjaamiseksi tarvittavaa määräystä tai hallinnollista ohjeistusta ei ole annettu”.

(111) Siltä osin kuin on kyse oikeussuojakeinoista, oikeudenkäynnistä hallintoasioissa annetun lain mukaan henkilö, joka ei ole tyytyväinen henkilötietosuojalautakunnan antamaan hallinnolliseen määräykseen, voi panna vireille mandamus-kanteen (68) ja pyytää tuomioistuinta määräämään, että lautakunnan on toteutettava lisätoimia (69). Tietyissä tapauksissa tuomioistuin voi myös antaa väliaikaisen mandamus-määräyksen peruuttamattoman vahingon estämiseksi (70). Lisäksi saman lain mukaan henkilö voi hakea myös henkilötietosuojalautakunnan päätöksen kumoamista (71).

(112) Henkilö voi nostaa henkilötietosuojalautakuntaa vastaan myös kanteen korvauksen saamiseksi valtiolta valtion oikeussuojakeinoja koskevan lain 1 §:n 1 momentin nojalla, jos kyseinen henkilö on kärsinyt vahinkoa sen vuoksi, että lautakunnan toiminnanharjoittajalle antama määräys on lainvastainen tai että lautakunta ei ole käyttänyt toimivaltaansa.

3. VIRANOMAISTEN PÄÄSY EUROOPAN UNIONISTA JAPANIIN SIIRRETTYIHIN HENKILÖTIETOIHIN JA NÄIDEN TIETOJEN KÄYTTÖ

(113) Komissio on arvioinut myös rajoituksia ja suojatoimia, mukaan lukien Japanin lainsäädännön mukaiset valvonta- ja oikeussuojamekanismit, jotka koskevat sitä, kuinka viranomaiset voivat ottaa haltuunsa ja käyttää japanilaisille toiminnanharjoittajille siirrettyjä henkilötietoja yleisen edun nimissä, erityisesti rikosoikeudellista täytäntöönpanoa ja kansalliseen turvallisuuteen liittyviä tarkoituksia varten (”viranomaisten pääsy tietoihin”). Japanin hallitus on tältä osin antanut komissiolle virallisia vahvistusilmoituksia, vakuutuksia ja sitoumuksia, jotka on allekirjoitettu korkeimmalla ministeri- ja virastotasolla ja jotka sisältyvät tämän päätöksen liitteeseen II.

3.1 Yleinen oikeudellinen kehys

(114) Viranomaisten pääsy tietoihin osana julkisen vallan käyttöä Japanissa on toteutettava täysin lain mukaisesti (laillisuusperiaate). Japanin perustuslaki sisältää tältä osin säännöksiä, joilla rajoitetaan ja rajataan viranomaisten suorittamaa henkilötietojen keräämistä. Kuten on jo mainittu toiminnanharjoittajien suorittaman tietojen käsittelyn osalta, Japanin korkein oikeus on tunnustanut perustuslain 13 §:n (jolla muun muassa suojataan oikeutta vapauteen) nojalla oikeuden yksityisyyteen ja tietosuojaan (72). Yksi tämän oikeuden merkittävä näkökohta on vapaus olla sallimatta henkilökohtaisten tietojen luovuttamista kolmannelle osapuolelle ilman lupaa (73). Tämä merkitsee oikeutta henkilötietojen tehokkaaseen suojaan väärinkäyttöä ja (erityisesti) laitonta tietojen haltuunottoa vastaan. Lisäsuoja varmistetaan perustuslain 35 §:ssä, joka koskee kaikkien henkilöiden oikeutta turvallisuuteen kotinsa, asiakirjojensa ja omaisuutensa suhteen, minkä vuoksi viranomaisten on hankittava tuomioistuimen määräys, joka on annettu ”riittävästä syystä” (74) kaikissa tapauksissa, joissa on kyse ”etsinnöistä ja takavarikoista”. Japanin korkein oikeus selvensi 15 päivänä maaliskuuta 2017 asiassa GPS antamassaan tuomiossa, että vaatimusta määräyksestä sovelletaan aina, kun viranomaiset puuttuvat (”tunkeutuvat”) yksityiselämään tavalla, joka tukahduttaa yksilön tahdon ja jossa on kyse ”pakkokeinoin toteutettavasta tutkinnasta”. Tuomari voi antaa tällaisen määräyksen ainoastaan konkreettisen rikosepäilyn perusteella, eli kun on osoitettu asiakirjatodistein, että tutkimuksen kohteena olevan henkilön voidaan katsoa syyllistyneen rikokseen (75). Tästä seuraa, että Japanin viranomaisilla ei ole oikeudellista toimivaltaa kerätä henkilökohtaisia tietoja pakkokeinoin tilanteissa, joissa lakia ei ole vielä rikottu (76), esimerkiksi rikoksen tai muun turvallisuusuhan estämiseksi (kuten on laita kansalliseen turvallisuuteen liittyvistä syistä tehdyissä tutkimuksissa).

(115) Lakisääteisyyden periaatteen mukaan mahdollisen pakkotutkinnan osana tapahtuvan tietojenkeruun on nimenomaisesti perustuttava lakiin (kuten ilmenee esimerkiksi rikosprosessilain 197 §:n 1 momentista, joka koskee pakkokeinoin tapahtuvaa tietojen keräämistä rikostutkintaa varten). Tämä vaatimus koskee myös pääsyä sähköiseen tietoon.

(116) Erityisesti on huomattava, että perustuslain 21 §:n 2 momentissa taataan kaikkien viestintävälineiden luottamuksellisuus, ja rajoitukset sallitaan ainoastaan yleistä etua koskevien säännösten nojalla. Televiestintälain 4 §:ssä, jonka mukaan teleoperaattorin käsittelemän viestinnän luottamuksellisuutta ei saa loukata, pannaan tämä luottamuksellisuusvaatimus täytäntöön lainsäädännön tasolla. Tätä on tulkittu siten, että siinä kielletään viestintätietojen luovuttaminen ilman käyttäjien suostumusta tai ilman että olisi kyse on jostain rikoslain mukaisesti rikosoikeudellisesta vastuusta tehtävästä nimenomaisesta poikkeuksesta (77).

(117) Perustuslaissa taataan myös oikeus vedota tuomioistuimeen (32 §) ja oikeus haastaa valtio oikeuteen korvauksen saamiseksi, jos henkilö on kärsinyt vahinkoa virkamiehen laittoman teon johdosta (17 §).

(118) Tietosuojaa koskevan oikeuden osalta henkilökohtaisten tietojen suojasta annetun lain III luvun 1, 2 ja 3 jaksossa vahvistetaan yleiset periaatteet, jotka koskevat kaikkia aloja, myös julkista sektoria. Erityisesti henkilökohtaisten tietojen suojasta annetun lain 3 §:ssä säädetään, että kaikkia henkilökohtaisia tietoja on käsiteltävä yksilöiden henkilöllisyyden kunnioittamista koskevan periaatteen mukaisesti. Kun viranomaiset (78) ovat keränneet (”hankkineet”) henkilökohtaisia tietoja, myös sähköisten tiedostojen osana, niiden käsittelyyn sovelletaan hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annettua lakia (79). Tähän sisältyy periaatteessa (80) myös henkilökohtaisten tietojen käsittely rikosalan lainvalvontatarkoituksessa tai kansallisen turvallisuuden vuoksi. Hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetussa laissa säädetään muun muassa, että i) viranomaiset saavat säilyttää henkilökohtaisia tietoja vain siinä määrin kuin se on tarpeen niiden tehtävien suorittamiseksi; ii) viranomaiset eivät saa käyttää näitä tietoja ”perusteetonta” tarkoitusta varten tai luovuttaa niitä kolmannelle osapuolelle ilman perusteltua syytä; iii) viranomaisten on määritettävä tietojen käyttötarkoitus eivätkä ne saa muuttaa tätä tarkoitusta niin, että se olisi laajempi kuin voidaan kohtuullisesti katsoa olevan asianmukaista alkuperäisen tarkoituksen kannalta (käyttötarkoituksen rajoittaminen); iv) viranomaiset eivät saa periaatteessa käyttää tai toimittaa kolmannelle osapuolelle säilytettyjä henkilökohtaisia tietoja muihin tarkoituksiin, ja jos ne katsovat tämän tarpeelliseksi, niiden on asetettava rajoituksia kolmansien osapuolten soveltamalle käyttötarkoitukselle tai -menetelmälle; v) viranomaisten on pyrittävä varmistamaan tietojen oikeellisuus (tietojen laatu); vi) viranomaisten on toteutettava tarvittavat toimenpiteet tietojen asianmukaiseksi hoitamiseksi ja tietovuotojen, tietojen häviämisen tai tietojen vahingoittumisen estämiseksi (tietoturva); ja vii) viranomaisten on pyrittävä käsittelemään kaikki tietojen käsittelyä koskevat valitukset asianmukaisesti ja nopeasti (81).

3.2 Japanilaisten viranomaisten pääsy tietoihin ja niiden käyttö rikosalan lainvalvontatarkoituksessa

(119) Japanin lainsäädännössä on useita rajoituksia, jotka koskevat henkilötietoihin pääsyä ja niiden käyttöä rikosalan lainvalvontatarkoituksessa, sekä valvonta- ja oikaisumekanismeja, jotka tarjoavat riittävät takeet siitä, että tiedot suojataan tehokkaasti laittomilta teoilta ja väärinkäytön riskiltä.

3.2.1 Oikeusperusta ja sovellettavat rajoitukset/suojatoimet

(120) Japanin oikeudellisessa kehyksessä sähköisen tiedon kerääminen rikosalan lainvalvontatarkoituksessa on sallittua määräyksen (pakkokeinoin toteutettava keruu) tai vapaaehtoista tietojen luovuttamista koskevan pyynnön perusteella.

3.2.1.1 Tuomioistuimen määräykseen perustuva pakkokeinoin toteutettava tutkinta

(121) Kuten johdanto-osan 115 kappaleessa todetaan, pakkokeinoin toteutettavan tutkinnan yhteydessä tapahtuvan tietojen keräämisen on perustuttava nimenomaiseen lain säännökseen, ja se voidaan toteuttaa ainoastaan ”riittävästä syystä annetun” tuomioistuimen määräyksen perusteella (perustuslain 35 §). Rikosasioiden tutkinnan osalta tämä vaatimus on otettu huomioon rikosprosessilain säännöksissä. Kyseisen lain 197 §:n 1 momentin mukaan pakkotoimenpiteitä ”ei sovelleta, ellei tässä laissa ole vahvistettu sitä koskevia erityisiä säännöksiä”. Sähköisen tiedon keruun osalta tältä osin ainoat asiaankuuluvat (82) oikeusperustat ovat rikosprosessilain 218 § (etsintä ja takavarikko) ja 222-2 §, jonka mukaan sähköisen viestinnän kuunteluun ilman toisen osapuolen suostumusta liittyvät pakkotoimenpiteet toteutetaan muiden säädösten, nimittäin salakuuntelusta rikostutkintaa varten annetun lain, jäljempänä ’salakuuntelulaki’, nojalla. Kummassakin tapauksessa sovelletaan määräystä koskevaa vaatimusta.

(122) Rikosprosessilain 218 §:n 1 momentin mukaan yleinen syyttäjä, yleisen syyttäjän avustaja tai tutkinta-asioista vastaava poliisi voi toteuttaa tuomarin etukäteen antaman määräyksen perusteella etsinnän tai takavarikon (mukaan lukien asiakirjatiedostojen tilaaminen), jos tämä on tarpeen rikoksen tutkintaa varten (83). Tällaisessa määräyksessä voidaan esittää muun muassa epäillyn tai syytetyn nimi, rikosnimike (84), takavarikoitavat sähkömagneettiset tiedostot ja ”tarkastettava paikka tai tarkastettavat esineet” (rikosprosessilain 219 §:n 1 momentti).

(123) Telekuuntelun osalta salakuuntelulain 3 §:ssä sallitaan tällaiset toimenpiteet vain tiukoin edellytyksin. Viranomaisten on erityisesti saatava tuomioistuimen ennakolta antama määräys, joka voidaan antaa ainoastaan tiettyjen vakavien rikosten (jotka luetellaan lain liitteessä) (85) tutkimista varten ja silloin kun on ”erittäin vaikeaa tunnistaa rikollista tai selvittää rikokseen liittyviä tilanteita/yksityiskohtia jollain muulla tavalla” (86). Salakuuntelulain 5 §:n mukaan määräys annetaan rajoitetuksi ajaksi ja tuomari voi asettaa lisäehtoja. Lisäksi kyseisessä laissa säädetään useista muista suojatoimista, joita ovat esimerkiksi todistajien pakollinen osallistuminen (12 ja 20 §), kielto salakuunnella tiettyjen erityisasemassa olevien ryhmien (esimerkiksi lääkärit ja asianajajat) viestintää (15 §), velvollisuus lopettaa salakuuntelu, jos se ei ole enää perusteltua, myös määräyksen voimassaoloaikana (18 §) tai yleinen vaatimus ilmoittaa asiasta kyseiselle henkilölle ja antaa pääsy tiedostoihin kolmenkymmenen päivän kuluessa salakuuntelun lopettamisesta (23 ja 24 §).

(124) Kaikkien tuomioistuimen määräykseen perustuvien pakkotoimenpiteiden osalta tällainen tutkimus voidaan suorittaa ainoastaan ”sellaisena kuin on tarpeen sen tavoitteen saavuttamiseksi” eli silloin, kun tutkinnan tavoitteita ei voida saavuttaa muulla tavoin (rikosprosessilain 197 §:n 1 momentti). Vaikka tarpeellisuuden määrittämisen perusteita ei ole tarkemmin täsmennetty laissa, Japanin korkein oikeus on todennut, että määräyksen antaneen tuomarin olisi tehtävä yleisarviointi, jossa otetaan huomioon erityisesti seuraavat seikat: i) rikoksen vakavuus ja sen toteuttamistapa; ii) takavarikoitujen materiaalien arvo ja merkitys todistusaineistona; iii) todennäköisyys (vaara), että todiste voidaan kätkeä tai tuhota; ja iv) missä määrin takavarikko voi aiheuttaa vahinkoa asianomaiselle henkilölle (87).

3.2.1.2 ”Tutkintalomakkeeseen” perustuva tietojen vapaaehtoista luovuttamista koskeva pyyntö

(125) Viranomaiset voivat toimivaltansa rajoissa kerätä myös sähköistä tietoa, joka perustuu tietojen vapaaehtoista luovuttamista koskeviin pyyntöihin. Tällä tarkoitetaan ei-pakollista yhteistyön muotoa silloin, kun pyynnön noudattamiseksi ei voida ryhtyä pakkotoimenpiteisiin (88), jolloin viranomaisten ei tarvitse hankkia tuomioistuimen määräystä.

(126) Siinä määrin kuin pyyntö on osoitettu toiminnanharjoittajalle ja koskee henkilökohtaisia tietoja, toiminnanharjoittajan on noudatettava henkilökohtaisten tietojen suojasta annetun lain vaatimuksia. Henkilökohtaisten tietojen suojasta annetun lain 23 §:n 1 momentin mukaan toiminnanharjoittajat voivat luovuttaa henkilökohtaisia tietoja kolmansille osapuolille ilman asianomaisen henkilön suostumusta vain tietyissä tapauksissa, esimerkiksi silloin, kun luovuttaminen tapahtuu ”lakien ja määräysten perusteella” (89). Rikosalan lainvalvonnassa tällaisten pyyntöjen oikeusperusta on rikosprosessilain 197 §:n 2 momentti, jonka mukaan ”yksityisiä organisaatioita voidaan pyytää raportoimaan tutkintaan liittyvistä tarpeellisista asioista”. ”Tutkintalomakkeen” käyttö edellyttää aina konkreettista epäilyä rikokseen syyllistymisestä, joten sitä voidaan käyttää vain osana rikoksen tutkintaa (90). Koska tällaisen tutkinnan suorittaa yleensä prefektuurin poliisi, sovelletaan