UITVOERINGSBESLUIT VAN DE COMMISSIE (EU) 2019/419

van 23 januari 2019

overeenkomstig Verordening (EU) 2016/679 van het Europees Parlement en de Raad over de passende bescherming van persoonsgegevens door Japan krachtens de Wet bescherming persoonsinformatie

(Kennisgeving geschied onder nummer C(2019) 304)

(Voor de EER relevante tekst)

DE EUROPESE COMMISSIE,

Gezien het Verdrag betreffende de werking van de Europese Unie,

Gezien Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) (1) („AVG”), en met name artikel 45, lid 3,

Na raadpleging van de Europese Toezichthouder voor gegevensbescherming,

1. INLEIDING

(1) Bij Verordening (EU) 2016/679 zijn de voorschriften vastgesteld voor de doorgifte van persoonsgegevens door verwerkingsverantwoordelijken of verwerkers in de Europese Unie aan derde landen en internationale organisaties, voor zover die doorgiften onder het toepassingsgebied ervan vallen. De voorschriften inzake internationale doorgiften van persoonsgegevens zijn vastgelegd in hoofdstuk V van die verordening, en met name in de artikelen 44 tot en met 50. Het verkeer van persoonsgegevens naar en vanuit landen buiten de Europese Unie is noodzakelijk voor de uitbreiding van het internationale handelsverkeer en de internationale samenwerking, terwijl zij tegelijkertijd waarborgen dat het niveau van de bescherming van persoonsgegevens in de Europese Unie niet wordt ondermijnd.

(2) Op grond van artikel 45, lid 3, van Verordening (EU) 2016/679 kan de Commissie door middel van een uitvoeringshandeling besluiten dat een derde land, een gebied of één of meerdere nader bepaalde sectoren in een derde land, of een internationale organisatie een passend beschermingsniveau waarborgt. Onder deze voorwaarde kan de doorgifte van persoonsgegevens aan dat derde land of gebied of die sector of internationale organisatie plaatsvinden zonder dat verdere toestemming noodzakelijk is, zoals bepaald in artikel 45, lid 1, en overweging 103 van de verordening.

(3) Zoals bepaald in artikel 45, lid 2, van Verordening (EU) 2016/679 moet de vaststelling van een adequaatheidsbesluit berusten op een grondige analyse van de rechtsorde van het derde land, zowel wat betreft de voorschriften die gelden voor de importeurs van gegevens en de beperkingen en waarborgen, als wat betreft de toegang van overheidsinstanties tot persoonsgegevens. Bij de beoordeling moet worden nagegaan of het betrokken derde land een beschermingsniveau waarborgt dat „in feite overeenkomt” met het niveau dat in de Europese Unie wordt verzekerd (overweging 104 van Verordening (EU) 2016/679). Zoals het Hof van Justitie van de Europese Unie heeft verklaard, is hiervoor niet noodzakelijk dat hetzelfde beschermingsniveau wordt geboden (2). Met name mogen de middelen die het derde land in kwestie tot zijn beschikking heeft, anders zijn dan de middelen die binnen de Europese Unie worden ingezet, zolang zij in de praktijk doeltreffend genoeg blijken om een adequaat beschermingsniveau te bieden (3). De adequaatheidsnorm vereist daarom niet dat de voorschriften van de Unie integraal worden overgenomen. Het gaat er veeleer om of het betreffende buitenlandse systeem als geheel het vereiste beschermingsniveau biedt, door de invulling van het recht op privacy, de doeltreffende toepassing en afdwingbaarheid daarvan en het toezicht dat wordt uitgeoefend (4).

(4) De Commissie heeft het Japanse recht en de Japanse rechtspraktijk zorgvuldig geanalyseerd. Op basis van de bevindingen in de overwegingen 6 tot en met 175 concludeert de Commissie dat Japan een passend beschermingsniveau waarborgt voor persoonsgegevens die worden doorgegeven aan organisaties die onder het toepassingsgebied van de Wet bescherming persoonsinformatie (5) vallen en onderworpen zijn aan de aanvullende voorwaarden waarnaar in dit besluit wordt verwezen. Deze voorwaarden zijn vastgelegd in de aanvullende voorschriften die zijn vastgesteld door de Commissie Bescherming persoonsinformatie (Personal Information Protection Commission, hierna „PPC” genoemd) (6) (zie bijlage I) en de officiële verklaring die de Japanse regering tot de Europese Commissie heeft gericht (zie bijlage II).

(5) Dit besluit heeft tot gevolg dat doorgiften van een verwerkingsverantwoordelijke of verwerker in de Europese Economische Ruimte (EER) (7) aan soortgelijke organisaties in Japan kunnen plaatsvinden zonder dat verdere toestemming noodzakelijk is. Dit besluit heeft geen gevolgen voor de rechtstreekse toepassing van Verordening (EU) 2016/679 op dergelijke organisaties, indien aan de voorwaarden van artikel 3 van die verordening wordt voldaan.

2. VOORSCHRIFTEN DIE VAN TOEPASSING ZIJN OP DE VERWERKING VAN GEGEVENS DOOR BEDRIJFSEXPLOITANTEN

2.1. Het Japanse kader voor gegevensbescherming

(6) Het Japanse rechtsstelsel inzake privacy en gegevensbescherming heeft zijn wortels in de grondwet van 1946.

(7) Artikel 13 van de grondwet luidt: „Alle mensen genieten respect als individu. Het recht op leven, vrijheid en het nastreven van geluk, voor zover dit niet in de weg staat aan het openbare welzijn, heeft de hoogste aandacht in wetgeving en in andere overheidsaangelegenheden.”.

(8) Op grond van dat artikel heeft het Japanse Hooggerechtshof de rechten van het individu wat betreft de bescherming van persoonsinformatie verduidelijkt. Het heeft het recht op privacy en gegevensbescherming in een uitspraak uit 1969 als een grondwettelijk recht erkend (8). Met name oordeelde het Hooggerechtshof dat het eenieder vrij staat zijn persoonsinformatie te beschermen tegen bekendmaking aan derden of openbaarmaking ervan zonder gegronde reden. In een uitspraak van 6 maart 2008 („Juki-Net”) (9) heeft het Hooggerechtshof bovendien geoordeeld dat de vrijheid die burgers genieten in hun persoonlijke levenssfeer moet worden beschermd tegen de uitoefening van het overheidsgezag en dat de opvatting gerechtvaardigd is dat een van de vrijheden die eenieder geniet, het recht inhoudt om de eigen persoonsinformatie te beschermen tegen verstrekking aan derden of openbaarmaking ervan zonder gegronde reden (10).

(9) Op 30 mei 2003 werd in Japan een aantal wetten op het gebied van gegevensbescherming uitgevaardigd: — de Wet bescherming persoonsinformatie (Act on the Protection of Personal Information, hierna „APPI” genoemd); — de Wet bescherming persoonsinformatie die bij bestuursorganen berust (Act on the Protection of Personal Information Held by Administrative Organs, hierna „APPIHAO” genoemd); — de Wet bescherming persoonsinformatie die bij geregistreerde bestuursagentschappen berust (Act on the Protection of Personal Information Held by Incorporated Administrative Agencies, hierna „APPI-IAA” genoemd).

(10) De twee laatstgenoemde wetten (in 2016 gewijzigd) bevatten bepalingen voor de bescherming van persoonsinformatie door publiekrechtelijke lichamen. De gegevens waarop die wetten van toepassing zijn, zijn niet onderworpen aan de beoordeling van de adequaatheid in het kader van dit besluit, die beperkt is tot de bescherming van persoonsinformatie door „bedrijfsexploitanten die persoonsinformatie behandelen” (PIHBO's) in de zin van de APPI.

(11) De APPI is recentelijk herzien. De gewijzigde APPI is op 9 september 2015 vastgesteld en op 30 mei 2017 van kracht geworden. De wijzigingen omvatten de invoering van een aantal nieuwe waarborgen en tevens de versterking van bestaande waarborgen waardoor het Japanse gegevensbeschermingsstelsel dichter bij het Europese komt. Onder meer gaat het om een aantal afdwingbare individuele rechten en de oprichting van een onafhankelijke toezichthoudende autoriteit (PPC) die belast is met het toezicht op en de handhaving van de APPI.

(12) Behalve aan de APPI is de verwerking van persoonsinformatie die onder het toepassingsgebied van dit besluit valt, onderworpen aan uitvoeringsbepalingen op basis van de APPI. Dit betreft onder andere een wijziging van het kabinetsdecreet van 5 oktober 2016 betreffende de uitvoering van de Wet bescherming persoonsinformatie en de door de PPC vastgestelde zogenoemde uitvoeringsbepalingen voor de Wet bescherming persoonsinformatie (11). Beide reeksen voorschriften zijn juridisch bindend en afdwingbaar en zijn van kracht geworden op hetzelfde tijdstip als de gewijzigde APPI.

(13) Daarnaast heeft het Japanse kabinet (bestaande uit de premier en de ministers die tot zijn regering behoren) op 28 oktober 2016 een „basisbeleid” uitgevaardigd waarbij maatregelen inzake de bescherming van persoonsinformatie alomvattend en integraal worden bevorderd. Overeenkomstig artikel 7 van de APPI wordt het basisbeleid uitgevaardigd bij kabinetsbesluit en omvat het beleidsrichtsnoeren voor de handhaving van de APPI, gericht tot zowel de nationale overheid als de lokale overheden.

(14) Onlangs heeft de Japanse regering het basisbeleid gewijzigd bij kabinetsbesluit van 12 juni 2018. Om de internationale doorgifte van gegevens te vergemakkelijken, delegeert het kabinetsbesluit aan de PPC — de bevoegde autoriteit voor het beheer en de uitvoering van de APPI — de bevoegdheid om de nodige maatregelen te nemen voor het overbruggen van de verschillen tussen de systemen en operaties van Japan en het betrokken vreemde land, overeenkomstig artikel 6 van de APPI, om te waarborgen dat uit dat land ontvangen persoonsinformatie correct wordt behandeld. Volgens het kabinetsbesluit betreft dit tevens de bevoegdheid om de bescherming te verbeteren door middel van vaststelling door de PPC van strengere voorschriften die een aanvulling en uitbreiding vormen van de voorschriften die in de APPI en het kabinetsdecreet zijn opgenomen. Overeenkomstig het kabinetsbesluit zijn de strengere voorschriften bindend en afdwingbaar jegens Japanse bedrijfsexploitanten.

(15) Op grond van artikel 6 van de APPI en het genoemde kabinetsbesluit heeft de PPC op 15 juni 2018 krachtens de Wet bescherming persoonsinformatie aanvullende voorschriften vastgesteld voor de behandeling van persoonsgegevens die op grond van een adequaatheidsbesluit uit de EU zijn doorgegeven (hierna „aanvullende voorschriften” genoemd), teneinde de bescherming te verbeteren van persoonsinformatie die op grond van dit adequaatheidsbesluit vanuit de Europese Unie naar Japan wordt doorgegeven. Deze aanvullende voorschriften zijn juridisch bindend voor Japanse bedrijfsexploitanten en kunnen op dezelfde wijze als de APPI-bepalingen, waarop de voorschriften een striktere en/of meer gedetailleerde aanvulling vormen, zowel door de PPC als door de rechter worden gehandhaafd (12). Aangezien Japanse bedrijfsexploitanten die persoonsgegevens uit de Europese Unie ontvangen en verder verwerken wettelijk verplicht zullen zijn om aan de aanvullende voorschriften te voldoen, moeten zij garanderen — bijvoorbeeld technisch (door middel van „tagging”) of organisatorisch (door middel van opslag in een aparte gegevensbank) — dat zij deze persoonsgegevens tijdens hun hele levenscyclus kunnen identificeren (13). In de volgende onderdelen wordt de inhoud van elk aanvullend voorschrift geanalyseerd in het kader van de beoordeling van de artikelen van de APPI waarop het een aanvulling vormt.

(16) Voor de vaststelling van richtsnoeren om te waarborgen dat de door een bedrijfsexploitant te nemen maatregelen daadwerkelijk correct worden uitgevoerd, was eerst een aantal Japanse ministeries in specifieke sectoren bevoegd, maar sinds de wijziging van de APPI in 2015 berust die bevoegdheid op grond van de gegevensbeschermingsvoorschriften bij de PPC. Door middel van richtsnoeren verschaft de PPC een gezaghebbende uitlegging van deze voorschriften, met name de APPI. Volgens de van de PPC ontvangen informatie vormen deze richtsnoeren een integrerend onderdeel van het rechtskader, samen met de tekst van de APPI, het kabinetsdecreet, de PPC-voorschriften en een aantal door de PPC opgestelde vragen en antwoorden (14). Zij zijn daarom bindend voor bedrijfsexploitanten. Indien in de richtsnoeren wordt vermeld dat een bedrijfsexploitant op een bepaalde manier „moet” of „niet mag” handelen, beschouwt de PPC niet-naleving van de desbetreffende bepalingen als overtreding van de wet (15).

2.2. Materieel en personeel toepassingsgebied

(17) Het toepassingsgebied van de APPI wordt bepaald door de erin gedefinieerde begrippen „persoonsinformatie”, „persoonsgegevens” en „bedrijfsexploitant die persoonsinformatie behandelt”. De APPI voorziet echter ook in een aantal belangrijke uitzonderingen op het toepassingsgebied, met name voor anoniem verwerkte persoonsgegevens en specifieke typen verwerking door bepaalde exploitanten. De APPI gebruikt niet de term „verwerking” (processing), maar het gelijkwaardige begrip „behandeling” (handling), dat op grond van de informatie die is ontvangen van de PPC „elke handeling betreffende persoonsgegevens” omvat, met inbegrip van verwerving, input, accumulatie, organisatie, opslag, bewerking/verwerking, vernieuwing, schrapping, productie, gebruik, of verstrekking van persoonsinformatie.

2.2.1. Definitie van persoonsinformatie

(18) Wat het materiële toepassingsgebied betreft, maakt de APPI in de eerste plaats een onderscheid tussen persoonsinformatie en persoonsgegevens, met dien verstande dat slechts enkele van de bepalingen van de wet van toepassing zijn op de eerstgenoemde categorie. Op grond van artikel 2, lid 1, van de APPI omvat het begrip „persoonsinformatie” alle informatie met betrekking tot een levend individu aan de hand waarvan dat individu kan worden geïdentificeerd. In de definitie worden twee categorieën persoonsinformatie onderscheiden: i) individuele identificatiecodes en ii) andere persoonsinformatie aan de hand waarvan een individu kan worden geïdentificeerd. Laatstgenoemde categorie omvat ook gegevens die op zichzelf geen identificatie toelaten, maar die, indien eenvoudig samengevoegd met andere informatie, identificatie van een specifiek individu mogelijk maken. Volgens de richtsnoeren (16) van de PPC moet per geval worden beoordeeld of informatie als „eenvoudig samengevoegd” kan worden beschouwd, waarbij rekening moet worden gehouden met de feitelijke situatie van de bedrijfsexploitant. Er wordt van uitgegaan dat daarvan sprake is wanneer de samenvoeging wordt (of kan worden) verricht door een gemiddelde („normale”) bedrijfsexploitant met behulp van de middelen waarover deze beschikt. Er is bijvoorbeeld geen sprake van „eenvoudige samenvoeging” met andere informatie als de bedrijfsexploitant ongebruikelijke inspanningen of onwettige handelingen moet verrichten om de samen te voegen informatie van een of meer andere bedrijfsexploitanten te verkrijgen.

2.2.2. Definitie van persoonsgegevens

(19) Slechts enkele vormen van persoonsinformatie vallen op grond van de APPI onder de categorie persoonsgegevens. „Persoonsgegevens” worden namelijk gedefinieerd als „persoonsinformatie die deel uitmaakt van een gegevensbank van persoonsinformatie”, dat wil zeggen een „collectief corpus van informatie” dat persoonsinformatie bevat die „systematisch zodanig is georganiseerd dat met behulp van een computer naar een specifiek persoonsgegeven kan worden gezocht” (17), dan wel „op grond van een kabinetsdecreet systematisch zodanig moet zijn georganiseerd dat eenvoudig naar een specifiek persoonsgegeven kan worden gezocht” — maar met uitzondering van gegevens waarvoor op grond van een kabinetsdecreet slechts een gering risico bestaat op schending van de rechten en belangen van een persoon, de gebruikswijze ervan in aanmerking genomen (18).

(20) Deze uitzondering wordt verder gespecificeerd in artikel 3, lid 1, van het kabinetsdecreet op grond waarvan aan de drie volgende cumulatieve voorwaarden moet worden voldaan: i) het collectieve corpus van informatie moet zijn afgegeven met het oog op de verkoop aan een groot aantal niet nader bepaalde personen, waarbij de afgifte niet is verricht in strijd met de bepalingen van een wet of een daarop gebaseerd besluit; ii) het moet op elk moment kunnen worden aangekocht door een groot aantal niet nader bepaalde personen en iii) de daarin opgenomen persoonsgegevens moeten zijn verschaft voor hun oorspronkelijke doel, zonder toevoeging van andere gegevens met betrekking tot een levende natuurlijke persoon. Volgens de verklaringen van de PPC is deze beperkte uitzondering ingevoerd om telefoongidsen en soortgelijke bestanden uit te sluiten.

(21) Voor gegevens die in Japan zijn verzameld, is dit onderscheid tussen „persoonsinformatie” en „persoonsgegevens” relevant omdat dergelijke informatie niet altijd is opgenomen in een „gegevensbank met persoonsinformatie” (bijvoorbeeld een afzonderlijke gegevensreeks die manueel is verzameld en verwerkt), en omdat daarom de APPI-bepalingen die uitsluitend voor persoonsgegevens gelden, niet van toepassing zijn (19).

(22) Dit onderscheid is daarentegen niet relevant voor persoonsgegevens die op grond van een adequaatheidsbesluit vanuit de Europese Unie in Japan zijn geïmporteerd. Aangezien deze gegevens doorgaans elektronisch worden doorgegeven (aangezien dit in het digitale tijdperk de gebruikelijke wijze is om gegevens uit te wisselen, vooral over een grote afstand zoals tussen de EU en Japan), en daardoor worden opgenomen in het elektronische bestand van de gegevensimporteur, vallen dergelijke EU-gegevens op grond van de APPI altijd onder de categorie „persoonsgegevens”. In het uitzonderlijke geval waarin persoonsgegevens met andere middelen worden doorgegeven vanuit de EU (bijvoorbeeld op papier), vallen zij nog altijd onder de APPI indien zij na de doorgifte onderdeel worden van een „collectief corpus van informatie” dat systematisch is georganiseerd om gemakkelijk zoeken naar specifieke informatie mogelijk te maken (artikel 2, lid 4, onder ii), van de APPI). Op grond van artikel 3, lid 2, van het kabinetsdecreet zal dit het geval zijn wanneer de informatie is ingedeeld „volgens een bepaalde regel” en de gegevensbank ook instrumenten zoals een inhoudsopgave of een index bevat, om zoeken te vergemakkelijken. Dit stemt overeen met de definitie van „bestand” in de zin van artikel 2, lid 1, van de algemene verordening gegevensbescherming.

2.2.3. Definitie van te bewaren persoonsgegevens

(23) Een aantal bepalingen van de APPI, met name de artikelen 27 tot en met 30 over individuele rechten, zijn slechts van toepassing op een specifieke categorie persoonsgegevens, namelijk „te bewaren persoonsgegevens”. Deze categorie wordt in artikel 2, lid 7, van de APPI gedefinieerd als persoonsgegevens, andere dan die welke hetzij i) volgens een kabinetsdecreet het algemeen belang of andere belangen kunnen schaden indien hun aanwezigheid of afwezigheid bekend wordt gemaakt, hetzij ii) op grond van een kabinetsdecreet binnen een termijn van ten hoogste één jaar moeten worden gewist.

(24) De eerste van deze twee categorieën wordt in artikel 4 van het kabinetsdecreet gedefinieerd en omvat vier typen uitzonderingen (20). Deze uitzonderingen hebben dezelfde bedoeling als die in artikel 23, lid 1, van Verordening (EU) 2016/679, namelijk de bescherming van de betrokkene, de vrijheid van anderen, de nationale veiligheid, de openbare veiligheid, de handhaving van het strafrecht en andere belangrijke doeleinden van algemeen belang. Bovendien blijkt uit de bewoordingen van artikel 4, lid 1, onder i)-iv), van het kabinetsdecreet dat de toepassing ervan altijd een specifiek risico impliceert voor een van de beschermde aanmerkelijke belangen (21).

(25) De tweede categorie is nader gespecificeerd in artikel 5 van het kabinetsdecreet. Gelezen in samenhang met artikel 2, lid 7, van de APPI houdt dit type uitzondering in dat persoonsgegevens die binnen een termijn van zes maanden moeten worden vernietigd, buiten het begrip te bewaren persoonsgegevens vallen en dat de individuele rechten waarin de APPI voorziet niet van toepassing zijn. De PPC heeft uiteengezet dat deze uitzonderingsbepaling moet bevorderen dat bedrijfsexploitanten gegevens zo kort mogelijk bewaren en verwerken. Dit betekent echter dat betrokkenen in de EU bepaalde rechten niet zouden kunnen genieten met als enige reden de duur van de bewaring van hun gegevens door de betrokken bedrijfsexploitant.

(26) Om dit probleem op te lossen, wordt in aanvullend voorschrift nr. 2 bepaald dat persoonsgegevens die vanuit de Europese Unie zijn doorgegeven, worden behandeld als te bewaren persoonsgegevens in de zin van artikel 2, lid 7, van de wet, ongeacht de termijn waarbinnen zij zullen worden gewist. De bewaringstermijn is daarom niet meer van invloed op de rechten die betrokkenen in de EU genieten.

2.2.4. Definitie van anoniem verwerkte persoonsinformatie

(27) De vereisten inzake anoniem verwerkte persoonsinformatie, zoals gedefinieerd in artikel 2, lid 9, van de APPI, zijn vastgelegd in hoofdstuk 4, afdeling 2, van die wet (Verplichtingen van bedrijfsexploitanten die anoniem verwerkte persoonsinformatie behandelen). Daarentegen is deze informatie niet onderworpen aan de bepalingen van hoofdstuk IV, afdeling 1, van de APPI, waarin de bepalingen zijn opgenomen die voorzien in de gegevensbeschermingswaarborgen en -rechten die van toepassing zijn op de verwerking van persoonsgegevens in het kader van de APPI. Daarom is „anoniem verwerkte persoonsinformatie” niet onderworpen aan de standaard gegevensbeschermingvoorschriften (opgenomen in hoofdstuk IV, afdeling 1, en in artikel 42 van de APPI), maar valt deze wel onder het toepassingsgebied van de APPI en met name de artikelen 36 tot en met 39.

(28) Volgens de definitie in artikel 2, lid 9, van de APPI is „anoniem verwerkte persoonsinformatie” informatie over een natuurlijke persoon die is geproduceerd door de verwerking van persoonsinformatie, met behulp van maatregelen die zijn voorgeschreven in de APPI (artikel 36, lid 1) en gespecificeerd in de PPC-voorschriften (artikel 19), met als resultaat dat het onmogelijk is geworden een specifiek individu te identificeren of de persoonsinformatie te herstellen.

(29) Uit deze bepalingen volgt (wat ook door de PPC is bevestigd) dat het proces van anonimisering van de gegevens niet technisch onomkeerbaar hoeft te zijn. Op grond van artikel 36, lid 2, van de APPI zijn bedrijfsexploitanten die met „anoniem verwerkte persoonsinformatie” omgaan, slechts verplicht om re-identificatie te voorkomen door maatregelen te nemen om de beveiliging te waarborgen van „de beschrijvingen enz. en individuele identificatiecodes die verwijderd zijn uit de persoonsinformatie die aan de anoniem verwerkte informatie ten grondslag ligt, alsmede van de informatie over de toegepaste verwerkingsmethode”.

(30) Aangezien „anoniem verwerkte persoonsinformatie” zoals gedefinieerd in de APPI ook gegevens omvat die re-identificatie van de betrokkene nog steeds mogelijk maken, kan dit ertoe leiden dat vanuit de Europese Unie doorgegeven persoonsgegevens ten dele hun bescherming verliezen, door een proces dat volgens Verordening (EU) 2016/679 kan worden beschouwd als een vorm van „pseudonimisering” en niet als „anonimisering” (waardoor hun karakter van persoonsgegevens niet verandert).

(31) Om dit probleem aan te pakken, wordt in de aanvullende voorschriften voorzien in aanvullende vereisten die uitsluitend van toepassing zijn op persoonsgegevens die op grond van dit besluit vanuit de Europese Unie worden doorgegeven. Op grond van aanvullend voorschrift nr. 5 mag dergelijke persoonsinformatie slechts als anoniem verwerkte persoonsinformatie in de zin van de APPI worden beschouwd indien de bedrijfsexploitant die persoonsinformatie verwerkt maatregelen neemt die het niet-identificeerbaar maken van de betrokkene onomkeerbaar maakt, onder meer door de informatie over de verwerkingsmethode enz. te verwijderen. De laatstgenoemde informatie wordt in de aanvullende voorschriften gedefinieerd als informatie over omschrijvingen en individuele identificatiecodes die verwijderd zijn uit de persoonsinformatie die wordt gebruikt om anoniem verwerkte persoonsinformatie te produceren, alsmede informatie over een verwerkingsmethode die is toegepast om die omschrijvingen en individuele identificatiecodes te verwijderen. Met andere woorden: op grond van de aanvullende voorschriften is de bedrijfsexploitant die anoniem verwerkte persoonsinformatie produceert, verplicht om de „sleutel” die re-identificatie van de gegevens mogelijk maakt, te vernietigen. Dit houdt in dat persoonsgegevens van oorsprong uit de Europese Unie uitsluitend onder de APPI-bepalingen inzake „anoniem verwerkte persoonsinformatie” vallen indien zij worden beschouwd als anonieme gegevens in de zin van Verordening (EU) 2016/679 (22).

2.2.5. Definitie van bedrijfsexploitant die persoonsinformatie verwerkt („PIHBO”)

(32) De APPI is uitsluitend van toepassing op PIHBO's. Een PIHBO wordt in artikel 2, lid 5, van de APPI gedefinieerd als „een persoon die een gegevensbank van persoonsinformatie enz. aanbiedt voor zakelijk gebruik”; overheids- en bestuursinstanties op centraal en lokaal niveau zijn van de definitie uitgesloten.

(33) Volgens de PPC-richtsnoeren wordt met de term „zakelijk” gedoeld op elk „gedrag dat gericht is op de herhaalde en voortdurende uitoefening van een maatschappelijk erkend bedrijf voor een bepaald doel, al dan niet met winstoogmerk”. Organisaties zonder rechtspersoonlijkheid, zoals feitelijke verenigingen, en natuurlijke personen worden als PIHBO beschouwd indien zij voor zakelijke doeleinden een gegevensbank van persoonsinformatie aanbieden of gebruiken (23). Het begrip „zakelijk” in de zin van de APPI is dus zeer breed, aangezien het activiteiten van allerlei soorten organisaties en natuurlijke personen betreft, al dan niet met winstoogmerk. „Zakelijk gebruik” omvat bovendien ook het gebruik van persoonsinformatie buiten het verband van (externe) zakenrelaties, maar binnen de organisatie, bijvoorbeeld het verwerken van personeelsgegevens.

(34) Voor de bescherming die de APPI biedt, is de nationaliteit, woonplaats of verblijfplaats van een natuurlijke persoon niet relevant. Hetzelfde geldt voor de verhaalsmogelijkheden waarop natuurlijke personen een beroep kunnen doen, zowel bij de PPC als bij de rechter.

2.2.6. Begrippen verwerkingsverantwoordelijke en verwerker

(35) De APPI maakt geen specifiek onderscheid tussen de verplichtingen voor verwerkingsverantwoordelijken en voor verwerkers. De afwezigheid van dit onderscheid doet geen afbreuk aan het beschermingsniveau, aangezien alle bepalingen van de wet van toepassing zijn op alle PIHBO's. Een PIHBO die de behandeling van persoonsgegevens toevertrouwt aan een trustee (het equivalent van een verwerker uit hoofde van de algemene verordening gegevensbescherming) blijft onderworpen aan de verplichtingen op grond van de APPI en aanvullende bepalingen met betrekking tot de gegevens die hem zijn toevertrouwd. Voorts is hij ingevolge artikel 22 van de APPI gehouden om noodzakelijk en passend toezicht op de trustee uit te oefenen. Op zijn beurt is de trustee — zoals door de PPC is bevestigd — gebonden aan alle verplichtingen die voortvloeien uit de APPI en de aanvullende voorschriften.

2.2.7. Sectorale uitsluitingsgronden

(36) Artikel 76 van de APPI sluit bepaalde typen gegevensverwerking uit van de toepasselijkheid van hoofdstuk IV van de APPI, waarin de kernbepalingen over gegevensbescherming zijn opgenomen (basisbeginselen, verplichtingen van bedrijfsexploitanten, individuele rechten, toezicht door de PPC). Verwerking waarop de sectorale uitsluitingsgronden van artikel 76 van toepassing zijn, valt op grond van artikel 43, lid 2, van de APPI ook niet onder de handhavingsbevoegdheden van de PPC (24).

(37) De desbetreffende categorieën voor de sectorale uitsluiting in artikel 76 van de APPI worden gedefinieerd aan de hand van twee criteria: het type PIHBO dat de persoonsinformatie verwerkt en het doel van de verwerking. Meer bepaald zijn uitgesloten: i) omroeporganisaties, uitgevers van dagbladen, communicatieagentschappen en andere persorganisaties (met inbegrip van natuurlijke personen die zich zakelijk met persactiviteiten bezighouden), voor zover zij persoonsinformatie verwerken voor persdoeleinden; ii) personen die zich beroepshalve met tekstschrijven bezighouden, voor zover zij daarbij met persoonsinformatie werken; iii) universiteiten en andere organisaties of groepen die gericht zijn op academische studies, alsmede personen die tot een dergelijke organisatie behoren, voor zover zij persoonsinformatie verwerken met het oog op academische studies; iv) religieuze instanties, voor zover zij persoonsinformatie verwerken voor religieuze activiteiten (inclusief alle aanverwante activiteiten), en v) politieke organisaties, voor zover zij persoonsinformatie verwerken voor hun politieke activiteiten (inclusief alle aanverwante activiteiten). De bepalingen van hoofdstuk IV zijn wel van toepassing op de verwerking van persoonsinformatie voor een van de in artikel 76 opgesomde doeleinden door andere typen PIHBO’s, alsmede de verwerking van persoonsinformatie door een van de bovengenoemde PIHBO's voor andere doeleinden, bijvoorbeeld in verband met het personeelsbeheer.

(38) Teneinde een passend beschermingsniveau te garanderen voor persoonsgegevens die vanuit de Europese Unie worden doorgegeven aan bedrijfsexploitanten in Japan, moet dit besluit slechts betrekking hebben op de verwerking van persoonsinformatie die onder hoofdstuk IV van de APPI valt, dat wil zeggen verwerking door een PIHBO voor zover deze verwerking niet onder een van de sectorale uitsluitingsgronden valt. Het toepassingsgebied moet daarom in overeenstemming worden gebracht met dat van de APPI. Volgens de informatie van de PPC zou — indien PIHBO die onder dit besluit valt vervolgens het gebruiksdoel wijzigt (voor zover dit mogelijk is) en dan onder een van de sectorale uitsluitingen in artikel 76 van de APPI zou vallen — dit als een internationale doorgifte worden beschouwd (aangezien in zulke gevallen de verwerking van de persoonlijke gegevens niet meer onder hoofdstuk IV van de APPI, en daarmee buiten het toepassingsgebied van de APPI zou vallen). Hetzelfde zou gelden indien een PIHBO persoonlijke informatie verschaft aan een entiteit die valt onder artikel 76 van de APPI voor gebruik voor één van de in die bepaling genoemde verwerkingsdoelen. Wat de vanuit de Europese Unie doorgegeven persoonsgegevens betreft, zou dit daarom een verdere doorgifte vormen, die is onderworpen aan de toepasselijke waarborgen (met name die welke in artikel 24 van het APPI en aanvullend voorschrift 4 worden genoemd). Wanneer de PIHBO afhankelijk is van de toestemming (25) van de betrokkene, moet hij deze betrokkene alle nodige informatie verschaffen, met inbegrip van de persoonsgegevens niet langer worden beschermd door de APPI.

2.3. Waarborgen, rechten en verplichtingen

2.3.1. Doelbinding

(39) Persoonsgegevens moeten worden verwerkt voor een specifiek doel en mogen vervolgens uitsluitend worden gebruikt voor doeleinden die niet onverenigbaar zijn met het doel van de verwerking. Dit beginsel van gegevensverwerking wordt gewaarborgd door de artikelen 15 en 16 van de APPI.

(40) De APPI gaat uit van het beginsel dat een bedrijfsexploitant het gebruiksdoel zo specifiek mogelijk moet specificeren (artikel 15, lid 1), waarna hij bij de verwerking van de gegevens gebonden is aan het gespecificeerde doel.

(41) Ten aanzien hiervan wordt in artikel 15, lid 2, van de APPI bepaald dat het oorspronkelijke doel door de PIHBO niet ingrijpender mag worden gewijzigd dan wat redelijkerwijs relevant wordt geacht voor het doel dat voorafgaand aan de wijziging is vastgesteld; dit wordt door de PPC-richtsnoeren uitgelegd als overeenstemmend met wat de betrokkene op basis van de normale maatschappelijke conventies objectief kan verwachten (26).

(42) Bovendien is het op grond van artikel 16, lid 1, van de APPI aan PIHBO’s niet toegestaan om zonder voorafgaande toestemming van de betrokkene persoonsinformatie te verwerken die verder gaat dat wat nodig is om een gebruiksdoel te bereiken, zoals bepaald in artikel 15, tenzij een van de uitzonderingsbepalingen van artikel 16, lid 3, van toepassing is (27).

(43) Indien persoonsinformatie is verkregen van een andere bedrijfsexploitant, staat het de PIHBO in beginsel vrij om een nieuw gebruiksdoel vast te stellen (28). Om te waarborgen dat bij een doorgifte vanuit de Europese Unie de ontvanger van de gegevens gebonden is door het doel waarvoor de gegevens zijn doorgegeven, wordt in aanvullend voorschrift nr. 3 bepaald dat indien een PIHBO vanuit de EU persoonsgegevens ontvangt op grond van een adequaatheidsbesluit of indien een dergelijk bedrijf van een andere PIHBO persoonsgegevens ontvangt die eerder op grond van een adequaatheidsbesluit vanuit de EU zijn doorgegeven (verdere uitwisseling), de ontvanger melding moet maken van het doel van het gebruik van de ontvangen persoonsgegevens in termen van het gebruiksdoel waarvoor de gegevens oorspronkelijk werden doorgegeven of vervolgens werden ontvangen. Met andere woorden: in een doorgiftecontext waarborgt dit voorschrift dat het overeenkomstig Verordening (EU) 2016/679 vastgestelde doel bepalend blijft voor de verwerking, en dat voor wijziging van het doel in elke fase van de verwerking in Japan de toestemming van de betrokkene in de EU vereist is. Voor de verkrijging van deze toestemming is het nodig dat de PIHBO contact opneemt met de betrokkene, maar indien dit niet mogelijk is, is het gevolg slechts dat het oorspronkelijke doel moet worden gehandhaafd.

2.3.2. Rechtmatigheid en behoorlijkheid van de verwerking

(44) De in overweging 43 bedoelde aanvullende bescherming is des te relevanter omdat het Japanse stelsel het doelbindingsprincipe ook toepast om te waarborgen dat persoonsgegevens rechtmatig en behoorlijk worden verwerkt.

(45) Wanneer een PIHBO persoonsinformatie verwerkt, is hij op grond van de APPI verplicht het doel van het gebruik van die persoonsinformatie uitvoerig te specificeren (29) en de betrokkene (of het publiek) onmiddellijk in kennis te stellen van dat doel (30). Bovendien wordt in artikel 17 van de APPI bepaald dat een PIHBO geen persoonsinformatie mag verzamelen door middel van bedrog of met andere ongepaste methoden. Voor de verwerving van gegevens die tot bepaalde gegevenscategorieën behoren, zoals persoonsinformatie die bijzondere zorg vereist, is de toestemming van de betrokkene noodzakelijk (artikel 17, lid 2, van de APPI).

(46) Zoals uiteengezet in de overwegingen 41 en 42, mag de PIHBO vervolgens persoonsinformatie niet verwerken voor andere doeleinden, tenzij de betrokkene toestemming heeft gegeven voor die verwerking of een van de uitzonderingsbepalingen van artikel 16, lid 3, van de APPI van toepassing is.

(47) De verdere bekendmaking van persoonsinformatie aan derden (31) wordt door artikel 23, lid 1, van de APPI beperkt tot specifieke gevallen, waarvoor de algemene regel geldt dat daarvoor de toestemming van de betrokkene vereist is (32). In artikel 23, leden 2, 3 en 4, van de APPI wordt voorzien in uitzonderingen op het toestemmingsvereiste. Deze uitzonderingen zijn echter alleen van toepassing op niet-gevoelige gegevens en vereisen dat de bedrijfsexploitant de betrokken personen van tevoren in kennis stelt van zijn voornemen om hun persoonsinformatie aan een derde te verstrekken en van de mogelijkheid om bezwaar te maken tegen elke verdere verstrekking (33).

(48) Wat betreft doorgiften vanuit de Europese Unie moeten de persoonsgegevens allereerst in de EU zijn verzameld en verwerkt overeenkomstig Verordening (EU) 2016/679. Dit houdt enerzijds altijd in dat de gegevens moeten zijn verzameld en verwerkt, ook met het oog op de doorgifte ervan vanuit de Europese Unie naar Japan, op basis van een van de in artikel 6, lid 1, van de verordening genoemde rechtmatigheidsgronden en anderzijds dat de gegevens worden verzameld voor een specifiek, uitdrukkelijk omschreven en gerechtvaardigd doel en dat het verboden is de gegevens verder te verwerken, ook door middel van doorgifte, op een met een dergelijk doel onverenigbare wijze, zoals bepaald in artikel 5, lid 1, onder b), en artikel 6, lid 4, van de verordening.

(49) Volgend op de doorgifte moet op grond van aanvullend voorschrift nr. 3 de PIHBO die de gegevens ontvangt het welbepaalde doel dat aan de doorgifte ten grondslag ligt (d.w.z. het doel dat overeenkomstig Verordening (EU) 2016/679 is vastgesteld), bevestigen en de gegevens verder verwerken in overeenstemming met dat doel (34). Dit houdt in dat niet alleen de eerste ontvanger van die persoonsgegevens in Japan, maar ook alle toekomstige ontvangers van de gegevens, met inbegrip van een trustee, gebonden zijn aan het doel dat of de doelen die overeenkomstig de verordening zijn vastgesteld.

(50) Indien de PIHBO het doel, zoals dat in eerste instantie overeenkomstig Verordening (EU) 2016/679 is vastgesteld, wenst te wijzigen overeenkomstig artikel 16, lid 1, van de APPI, moet bovendien in beginsel de toestemming van de betrokkene worden verkregen. Zonder die toestemming wordt elke gegevensverwerking die verder gaat dan voor het bereiken van het vastgestelde gebruiksdoel noodzakelijk is, beschouwd als een schending van artikel 16, lid 1, waartegen de PPC en de rechter kunnen optreden.

(51) Aangezien overeenkomstig Verordening (EU) 2016/679 voor doorgifte een geldige rechtsgrondslag en een specifiek doel vereist zijn, hetgeen wordt weerspiegeld in de overeenkomstig de APPI vereiste „bevestiging” van het gebruiksdoel, waarborgt de combinatie van de relevante bepalingen van de APPI en aanvullend voorschrift nr. 3 dat de verwerking van EU-gegevens in Japan op rechtmatige wijze blijft geschieden.

2.3.3. Juistheid van de gegevens en minimale gegevensverwerking

(52) De gegevens moeten juist zijn en zo nodig worden geactualiseerd. Zij moeten ook toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt.

(53) Deze beginselen worden in het Japanse recht gewaarborgd door artikel 16, lid 1, van de APPI, dat verbiedt dat persoonsinformatie wordt verwerkt op een wijze die verder gaat dan wat noodzakelijk is om het gebruiksdoel te bereiken. Zoals de PPC heeft uiteengezet, sluit dit niet alleen het gebruik van niet-toereikende gegevens en het excessieve gebruik van gegevens uit (dat verder gaat dan wat noodzakelijk is om het gebruiksdoel te bereiken), maar verbiedt het ook het gebruik van gegevens die niet relevant zijn om het gebruiksdoel te bereiken.

(54) Wat betreft de verplichting om de juistheid van de gegevens te waarborgen en ze zo nodig te actualiseren, moet de PIHBO op grond van artikel 19 van de APPI ernaar streven de juistheid en de actualiteit van de gegevens te behouden, met inachtneming van hetgeen noodzakelijk is om het gebruiksdoel te bereiken. Die bepaling moet worden gelezen in samenhang met artikel 16, lid 1, van de APPI: volgens de uitleg van de PPC is het zo dat wanneer een PIHBO zich niet houdt aan de voorgeschreven juistheidsnormen, de verwerking van de persoonsinformatie geacht wordt niet tot het bereiken van het gebruiksdoel bij te dragen, waardoor de verwerking onwettig wordt op grond van artikel 16, lid 1.

2.3.4. Opslagbeperking

(55) Gegevens mogen in beginsel niet langer worden bewaard dan noodzakelijk is voor de doeleinden waarvoor de persoonsgegevens worden verwerkt.

(56) Overeenkomstig artikel 19 van de APPI moeten PIHBO’s ernaar streven persoonsgegevens onverwijld te wissen zodra het gebruik ervan niet langer noodzakelijk is. Deze bepaling moet eveneens worden gelezen in samenhang met artikel 16, lid 1, van de APPI, dat verbiedt dat persoonsinformatie wordt verwerkt op een wijze die verder gaat dan wat noodzakelijk is om een gebruiksdoel te bereiken. Zodra het gebruiksdoel is bereikt, kan de verwerking van de persoonsinformatie niet langer als noodzakelijk worden beschouwd en moet deze worden stopgezet (tenzij de PIHBO de toestemming van de betrokkene verkrijgt om de verwerking voort te zetten).

2.3.5. Beveiliging van gegevens

(57) Persoonsgegevens moeten op een dusdanige manier worden verwerkt dat de beveiliging ervan gewaarborgd is, en dat zij onder meer beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging. Daartoe moeten bedrijfsexploitanten passende technische of organisatorische maatregelen treffen om de persoonsgegevens te beschermen tegen mogelijke bedreigingen. Bij de beoordeling van die maatregelen moet rekening worden gehouden met de stand van de techniek en de ermee gemoeide kosten.

(58) Dit beginsel wordt in het Japanse recht gewaarborgd door artikel 20 van de APPI, waarin wordt bepaald dat een PIHBO de noodzakelijke en passende maatregelen moet treffen om te voorzien in de beveiliging van de persoonsgegevens, met inbegrip van maatregelen ter voorkoming van lekken, verlies of beschadiging van de persoonsgegevens die hij verwerkt. De PPC-richtsnoeren geven een overzicht van de te nemen maatregelen, waaronder de methoden voor het vaststellen van het basisbeleid, voorschriften voor behandeling van gegevens en onderscheiden „controlemaatregelen” (die betrekking hebben op de organisatorische veiligheid en de personele, fysieke en technologische beveiliging) (35). Daarnaast zijn in de PPC-richtsnoeren en in een door de PPC gepubliceerde specifieke notitie (aanhangsel 8 betreffende de inhoud van de te treffen maatregelen op het gebied van veiligheidsbeheer) meer details opgenomen over de maatregelen inzake beveiligingsincidenten waarbij bijvoorbeeld persoonsinformatie is gelekt, als onderdeel van de veiligheidsbeheersmaatregelen die PIHBO's moeten nemen (36).

(59) Wanneer persoonsinformatie door werknemers of subcontractanten wordt behandeld, moet overeenkomstig de artikelen 20 en 21 van de APPI worden voorzien in het nodige passende toezicht met het oog op veiligheidscontrole. Tot slot staat op grond van artikel 83 van de APPI op het opzettelijk lekken of op diefstal van persoonsinformatie een sanctie van ten hoogste één jaar gevangenisstraf.

2.3.6. Transparantie

(60) Betrokkenen moeten worden ingelicht over de belangrijkste kenmerken van de verwerking van hun persoonsgegevens.

(61) In artikel 18, lid 1, van de APPI wordt bepaald dat de PIHBO informatie over het gebruiksdoel van de verkregen persoonsinformatie beschikbaar moet stellen aan de betrokkene, tenzij het gebruiksdoel reeds openbaar is gemaakt. Dezelfde verplichting geldt in geval van een toegestane wijziging van het gebruiksdoel (artikel 18, lid 3). Hierbij wordt ook gegarandeerd dat de betrokkene wordt ingelicht over het feit dat zijn gegevens zijn verzameld. Hoewel de APPI de PIHBO niet in algemene termen verplicht om betrokkenen in te lichten over de ontvangers van persoonsinformatie in het stadium van verzameling, zijn inlichtingen daarover een noodzakelijke voorwaarde voor de latere bekendmaking van informatie aan een derde (ontvanger) op basis van artikel 23, lid 2, dat wil zeggen wanneer dit gebeurt zonder de voorafgaande toestemming van de betrokkene.

(62) Ten aanzien van te bewaren persoonsgegevens wordt in artikel 27 van de APPI bepaald dat de PIHBO de betrokkene moet inlichten over zijn identiteit (contactgegevens), het gebruiksdoel en de procedures voor het beantwoorden van een verzoek met betrekking tot de individuele rechten van de betrokkene op grond van de artikelen 28, 29 of 30 van de APPI.

(63) Aangezien vanuit de Europese Unie doorgegeven persoonsgegevens overeenkomstig de aanvullende voorschriften als „te bewaren persoonsgegevens” worden beschouwd, ongeacht de geldende bewaringstermijn (tenzij er uitzonderingen van toepassing zijn), zullen zij altijd onderworpen zijn aan de transparantievereisten van beide genoemde bepalingen.

(64) Ten aanzien van de vereisten van artikel 18 en de in artikel 27 van de APPI vervatte verplichting om de betrokkene over het gebruiksdoel in te lichten, gelden dezelfde uitzonderingsbepalingen, die grotendeels gebaseerd zijn op overwegingen van algemeen belang en de bescherming van de rechten en belangen van de betrokkene, van derden en van de verwerkingsverantwoordelijke (37). Volgens de interpretatie die in de PPC-richtsnoeren is uitgewerkt, zijn deze uitzonderingsbepalingen van toepassing in zeer specifieke situaties, zoals wanneer er een risico bestaat dat informatie over het gebruiksdoel afbreuk doet aan legitieme maatregelen die de bedrijfsexploitant neemt ter bescherming van bepaalde belangen (bv. de bestrijding van fraude, industriële spionage of sabotage).

2.3.7. Bijzondere categorieën gegevens

(65) Wanneer bijzondere categorieën gegevens worden verwerkt, moet worden voorzien in bijzondere waarborgen.

(66) In artikel 2, lid 3, van de APPI wordt een definitie gegeven van „persoonsinformatie die bijzondere zorg vereist”. In die bepaling is sprake van persoonsinformatie over ras, geloof, sociale status, medische geschiedenis, strafregister, geleden schade als gevolg van een misdrijf of andere informatie, bij de verwerking waarvan op grond van het kabinetsdecreet bijzondere zorg vereist is, teneinde onrechtmatige discriminatie, vooroordelen of andere nadelen voor de betrokken te voorkomen. De bedoelde categorieën stemmen grotendeels overeen met de in de artikelen 9 en 10 van Verordening (EU) 2016/679 genoemde gevoelige gegevens. Met name stemt „medische geschiedenis” overeen met gegevens over gezondheid, terwijl „strafregister” en „schade geleden als gevolg van een misdrijf” in wezen dezelfde categorieën betreffen als die genoemd in artikel 10 van Verordening (EU) 2016/679. De in artikel 2, lid 3, van de APPI genoemde categorieën worden nader uitgelegd in het kabinetsdecreet en de PPC-richtsnoeren. In afdeling 2.3, punt 8, van de PPC-richtsnoeren wordt ten aanzien van de in artikel 2, onder ii) en iii), van het kabinetsdecreet vermelde subcategorieën van „medische geschiedenis” aangegeven dat deze betrekking hebben op genetische en biometrische gegevens. Welswaar komen de termen „etnische afkomst” en „politieke opvattingen” niet expliciet in de lijst voor, maar de begrippen „ras” en „geloof” worden wel genoemd. Zoals in afdeling 2.3, punten 1 en 2, van de PPC-richtsnoeren wordt uitgelegd, wordt met „ras” gedoeld op „etnische banden of banden met een bepaald deel van de wereld”, terwijl onder „geloof” zowel religieuze overtuigingen als politieke opvattingen worden verstaan.

(67) Gezien de formulering van deze bepaling betreft het hier geen limitatieve opsomming; er kunnen andere gegevenscategorieën aan worden toegevoegd voor zover de verwerking daarvan het risico van onrechtmatige discriminatie, vooroordelen of andere nadelen voor de betrokkene met zich meebrengt.

(68) Hoewel het begrip „gevoelige” gegevens per definitie een sociale constructie is, aangezien deze berust op culturele en juridische tradities, morele overwegingen, beleidskeuzes enz. van een bepaalde samenleving, en gezien het belang van adequate waarborgen voor gevoelige gegevens die worden doorgegeven aan bedrijfsexploitanten in Japan, heeft de Commissie verkregen dat de speciale bescherming die op grond van de Japanse wetgeving wordt geboden aan „persoonsinformatie die bijzondere zorg vereist” wordt uitgebreid tot alle categorieën die in Verordening (EU) 2016/679 als „gevoelige gegevens” worden aangemerkt. Daartoe wordt in aanvullend voorschrift (1) bepaald dat vanuit de Europese Unie doorgegeven gegevens over iemands seksleven, seksuele geaardheid of lidmaatschap van een vakvereniging door PIHBO's wordt verwerkt „als persoonsinformatie die bijzondere zorg vereist in de zin van artikel 2, lid 3), van de [APPI]”.

(69) Met betrekking tot de aanvullende materiële waarborgen die gelden voor de persoonsinformatie die bijzondere zorg vereist, mogen PIHBO's op grond van artikel 17, lid 2, van de APPI, geen van dit type gegevens verwerven zonder voorafgaande instemming van de betrokkene, behoudens beperkte uitzonderingen (38). Bovendien is deze categorie persoonsgegevens uitgesloten van de mogelijkheid van bekendmaking aan derden op basis van de procedure van artikel 23, lid 2, van de APPI (waarin de doorgifte van gegevens aan derden zonder voorafgaande toestemming van de betrokkene wordt toegestaan).

2.3.8. Verantwoordingsplicht

(70) Volgens het beginsel van de verantwoordingsplicht moeten entiteiten die gegevens verwerken passende technische en organisatorische maatregelen nemen om doeltreffend aan hun verplichtingen inzake gegevensbescherming te voldoen, en moeten zij die naleving kunnen aantonen, in het bijzonder ten overstaan van de bevoegde toezichthoudende autoriteit.

(71) Zoals vermeld in voetnoot 34 (overweging 49) moeten PIHBO's op grond van artikel 26, lid 1, van de APPI een controle verrichten van de identiteit van een derde partij die aan hen persoonsgegevens verschaft, en van de „omstandigheden” waaronder deze gegevens zijn verkregen door de derde partij; in het geval van persoonsgegevens die onder dit besluit vallen, omvatten deze omstandigheden op grond van de APPI en aanvullend voorschrift 3 onder meer het feit dat de gegevens afkomstig zijn van de Europese Unie, alsmede het doel van de oorspronkelijke doorgifte van gegevens. Onder andere moet die maatregel de rechtmatigheid garanderen van de gegevensverwerking in de hele keten van PIHBO's die de persoonsgegevens verwerken. Voorts moeten PIHBO's krachtens artikel 26, lid 3, een dossier bijhouden met de datum van ontvangst en de (verplichte) informatie die is ontvangen van de derde partij overeenkomstig lid 1, alsmede de naam van de betrokkene, de categorieën van verwerkte gegevens en — voor zover relevant — het feit dat de betrokkene toestemming heeft gegeven voor het delen van zijn/haar persoonsgegevens. Zoals voorgeschreven in artikel 18 van de PPC-voorschriften moeten die dossiers worden bewaard gedurende een periode van ten minste één tot drie jaar, afhankelijk van de omstandigheden. Bij het verrichten van zijn taken kan de PPC eisen dat deze dossiers worden ingediend (39).

(72) PIHBO's moeten klachten van betrokkenen over de verwerking van hun persoonsgegevens onverwijld en adequaat behandelen. Om de behandeling van klachten te vergemakkelijken, moeten de partijen een systeem voor het bereiken van dit doel opzetten, hetgeen met zich meebrengt dat zij moeten voorzien in passende procedures binnen hun organisatie (bijvoorbeeld verantwoordelijkheden toewijzen of een contactpunt verschaffen).

(73) Ten slotte creëert de APPI een kader voor de deelname van sectorale brancheorganisaties door een hoog niveau van naleving te garanderen (zie hoofdstuk IV, punt 4). De taak van dergelijke erkende persoonsinformatiebeschermingsorganisaties (40) is het bevorderen van de bescherming van persoonsinformatie door ondernemingen door middel van hun deskundigheid te ondersteunen, maar ook het bijdragen aan de uitvoering van waarborgen, met name door individuele klachten te behandelen en te helpen bij het oplossen van daarmee samenhangende conflicten. Te dien einde kunnen zij — indien nodig — PIHBO's verzoeken om bij te dragen aan het vaststellen van de noodzakelijke maatregelen (41). Bovendien moeten PHIBO's bij inbreuken in verband met gegevens of andere veiligheidsincidenten in beginsel de PPR en de betrokkene (of het publiek) inlichten en de nodige maatregelen nemen, met inbegrip van maatregelen om eventuele schade tot een minimum te beperken en herhaling van dergelijke incidenten te voorkomen (42). Terwijl dit vrijwillige regelingen zijn, had de PPC op 10 augustus 2017 44 organisaties in een lijst opgenomen, waarvan alleen al de grootste, het Japan Information Processing and Development Center (JIPDEC), 15 436 deelnemende bedrijfsexploitanten telt (43). Hiertoe behoren brancheorganisaties zoals de Japanse vereniging van effectenhandelaars, de Japanse vereniging van autorijscholen en de Japanse vereniging van huwelijksbureaus (44).

(74) Erkende persoonsinformatiebeschermingsorganisaties dienen jaarlijkse verslagen over hun activiteiten in. Volgens het overzicht van de stand van de uitvoering van de APPI in begrotingsjaar 2015, bekendgemaakt door de PPC, hebben de erkende persoonsinformatiebeschermingsorganisaties in totaal 442 klachten ontvangen, hebben zij 123 keer aan de onder hun bevoegdheid vallende bedrijfsexploitanten om opheldering gevraagd, hebben zij in 41 gevallen documenten van deze exploitanten opgevraagd, hebben zij 181 instructies gegeven en twee aanbevelingen gedaan (45).

2.3.9. Beperkingen op verdere doorgifte

(75) Het beschermingsniveau dat wordt geboden aan persoonsgegevens die worden doorgegeven vanuit de Europese Unie naar bedrijfsexploitanten in Japan mag niet worden ondermijnd door de verdere doorgifte van dergelijke gegevens aan ontvangers in een derde land buiten Japan. Dergelijke „verdere doorgiften”, die uit het oogpunt van de Japanse begrijfsexploitant internationale doorgiften vanuit Japan vormen, mogen slechts worden toegestaan wanneer de verdere ontvanger buiten Japan zelf is onderworpen aan voorschriften die zorgen voor een vergelijkbaar beschermingsniveau zoals wordt gegarandeerd binnen de Japanse rechtsorde.

(76) Een eerste bescherming is vastgelegd in artikel 24 van de APPI dat een algemeen verbod inhoudt op de doorgifte van persoonsgegevens aan een derde partij buiten het grondgebied van Japan zonder de voorafgaande toestemming van de betrokkene. Aanvullend voorschrift 4) waarborgt dat deze toestemming in geval van doorgifte van gegevens vanuit de Europese Unie zeer welbewust wordt gegeven, aangezien dit voorschrift vereist dat de betrokken persoon wordt voorzien van de informatie over de omstandigheden rond de doorgifte die de betrokkene nodig heeft om over zijn/haar toestemming te beslissen. Op die basis moet de betrokkene in kennis worden gesteld van het feit dat de gegevens naar het buitenland worden doorgegeven (buiten het toepassingsgebied van de APPI) en van het specifieke land van bestemming. Dit stelt hem/haar in staat het risico voor de persoonlijke levenssfeer als gevolg van de doorgifte te beoordelen. Ook moet, zoals is af te leiden uit artikel 23 van het APPI (zie overweging 47), de informatie aan de aangever betrekking hebben op de verplichte posten in lid 2, namelijk de categorieën van persoonsgegevens die aan een derde worden verschaft, en de methode van openbaarmaking.

(77) Artikel 24 van de APPI, toegepast in combinatie met artikel 11-2 van de PPC-voorschriften, voorziet in een aantal uitzonderingen op deze op toestemming gebaseerde regel. Bovendien zijn op grond van artikel 24 dezelfde afwijkingen als die welke gelden op grond van artikel 23, lid 1, van de APPI ook van toepassing op internationale gegevensdoorgiften (46).

(78) Om te zorgen voor de continuïteit van de bescherming van persoonsgegevens die worden doorgegeven vanuit de Europese Unie naar Japan uit hoofde van dit besluit, verbetert aanvullend voorschrift 4) het beschermingsniveau voor verdere doorgiften van dergelijke gegevens door de PIHBO naar een ontvanger in een derde land. Dit gebeurt door het beperken en inkaderen van de bases voor internationale doorgiften die door de PIHBO kunnen worden gebruikt als alternatief voor instemming. Meer in het bijzonder, en onverminderd de afwijkingen die worden vermeld in artikel 23, lid 1, van de APPI, kunnen persoonsgegevens die uit hoofde van deze beschikking worden doorgegeven, slechts in twee gevallen worden onderworpen aan (verdere) doorgifte zonder toestemming: i) waar de gegevens worden verzonden naar een derde land waarvan de PPC krachtens artikel 24 van de APPI heeft erkend dat het beschermingsniveau gelijkwaardig is aan dat in Japan (47), of (ii) waar de PIHBO en de derde-ontvanger samen maatregelen hebben uitgevoerd met die een beschermingsniveau verschaffen dat gelijkwaardig aan de APPI, gelezen in samenhang met de aanvullende voorschriften, door middel van een contract, andere vormen van bindende overeenkomsten of bindende afspraken binnen een concern. De tweede categorie stemt overeen met de instrumenten die worden gebruikt in het kader van Verordening (EU) 2016/679 om te zorgen voor passende waarborgen (met name contractclausules en bindende bedrijfsvoorschriften). Bovendien blijft, zoals bevestigd door de PPC, zelfs in die gevallen de doorgifte onderworpen aan de algemene voorschriften die van toepassing zijn op de verschaffing van persoonsgegevens aan een derde in het kader van de APPI (d.w.z. de eis om toestemming te verkrijgen op grond van artikel 23, lid 1, of — subsidiair — de vereisten van artikel 23, lid 2, van de APPI). Indien de betrokkene niet kan worden bereikt met een verzoek om toestemming of teneinde de vereiste voorafgaande informatie op grond van artikel 23, lid 2, van de APPI te verschaffen, is het mogelijk dat de doorgifte niet plaatsvindt.

(79) Daarom verbieden de voorschriften van aanvullend voorschrift 4) het gebruik van doorgifte-instrumenten die niet tot een bindende relatie tussen de Japanse gegevensexporteur en gegevensimporteur van het derde land leiden en die niet het vereiste beschermingsniveau garanderen — buiten de gevallen waarin de PPC heeft vastgesteld dat het betrokken derde land een beschermingsniveau garandeert dat gelijkwaardig is aan het niveau dat door de APPI (48) wordt gewaarborgd. Dit geldt bijvoorbeeld voor het APEC-systeem van grensoverschrijdende privacyregels (APEC Cross Border Privacy Rules — CBPR), waarvan de Japanse economie deel uitmaakt (49), aangezien in dat systeem de bescherming niet voortvloeit uit een overeenkomst tussen de exporteur en de importeur in het kader van hun bilaterale betrekkingen, en deze bescherming duidelijk van een lager niveau is dan de bescherming die wordt geboden door de combinatie van de APPI en de aanvullende voorschriften (50).

(80) Tot slot wordt nog een extra waarborg in geval van (verdere) doorgifte geboden door de artikelen 20 en 22 van het APPI. Op grond van deze bepalingen moet een exploitant uit een derde land (gegevensimporteur) die handelt namens de PIHBO (gegevensexporteur) — dat wil zeggen als (sub-)verwerker — zorgen voor toezicht op de eerstgenoemde wat de beveiliging van de gegevensverwerking betreft.

2.3.10. Individuele rechten

(81) Net als de gegevensbeschermingswetgeving van de EU verleent de APPI individuen een aantal afdwingbare rechten. Deze omvatten het recht op toegang („bekendmaking”), het recht om de gegevens te laten corrigeren of wissen, en het recht om bezwaar te maken („beëindiging van gebruik”).

(82) In de eerste plaats heeft een betrokkene op grond van artikel 28, lid 1, en 2, van de APPI, het recht om een PIHBO te verzoeken om bekendmaking van te bewaren persoonsgegevens die hem of haar kunnen identificeren en na ontvangst van een dergelijk verzoek moet de PIHBO de te bewaren persoonsgegevens bekendmaken aan de betrokkene. Artikel 29 (recht op correctie) en 30 (recht op beëindiging van gebruik) hebben dezelfde structuur als artikel 28.

(83) In artikel 9 van het kabinetsdecreet wordt bepaald dat de bekendmaking van persoonlijke informatie, zoals bedoeld in artikel 28, lid 2, van de APPI, schriftelijk moet worden uitgevoerd, tenzij de PIHBO en de betrokkene anders zijn overeengekomen.

(84) Deze rechten zijn onderworpen aan drie soorten beperkingen, betreffende de persoon of de rechten en belangen van derden (51), ernstige inmenging in de bedrijfsactiviteiten van de PIHBO (52) alsook gevallen waarin de bekendmaking in strijd zou zijn met andere wettelijke of bestuursrechtelijke voorschriften (53). De situaties waarin deze beperkingen zouden gelden, zijn vergelijkbaar met sommige van de uitzonderingen op grond van artikel 23, lid 1, van Verordening (EU) 2016/679, die beperkingen mogelijk maken van de rechten van personen om redenen die verband houden met de „bescherming van de betrokkene of van de rechten en vrijheden van anderen” of „andere belangrijke doelstellingen van algemeen belang”. Hoewel de categorie van gevallen waarin de bekendmaking in strijd zou zijn met „andere wettelijke en bestuursrechtelijke bepalingen” ruim kan lijken, moeten wetten en bestuursrechtelijke bepalingen die voorzien in beperkingen op dit gebied in overeenstemming zijn met het grondwettelijke recht op privacy en kunnen zij uitsluitend beperkingen opleggen voor zover de uitoefening van dit recht het openbare welzijn zou verstoren (54). Hiervoor is een afweging van de betrokken belangen noodzakelijk.

(85) Artikel 28, lid 3, van de APPI bepaalt dat indien de gevraagde gegevens niet bestaan, of wanneer de betrokken PIHBO besluit geen toegang te verlenen tot de bewaarde gegevens, hij verplicht is de aanvrager onverwijld in kennis te stellen.

(86) In de tweede plaats heeft een betrokkene op grond van artikel 29, leden 1 en 2, van de APPI het recht te verzoeken om correctie, toevoeging of schrapping van zijn/haar te bewaren persoonsgegevens wanneer die gegevens onjuist zijn. Na ontvangst van een dergelijk verzoek moet de PIHBO een noodzakelijk onderzoek verrichten en op basis van de uitkomsten van een dergelijk onderzoek de inhoud van de bewaarde gegevens corrigeren.

(87) In de derde plaats heeft een betrokkene overeenkomstig artikel 30, leden 1 en 2, van de APPI recht om een PIHBO te verzoeken het gebruik van persoonsinformatie te beëindigen of te wissen, wanneer deze wordt gehanteerd in strijd met artikel 16 (inzake de doelbinding) of ten onrechte is verkregen in strijd met artikel 17 van de APPI (inzake de verkrijging door bedrog, andere onrechtmatige middelen of, in het geval van gevoelige gegevens, zonder toestemming). Eveneens heeft een individu op grond van artikel 30, leden 3 en 4, van de APPI het recht om de PIHBO te verzoeken te stoppen met het verstrekken van de informatie aan een derde, indien dit in strijd is met de bepalingen van artikel 23, lid 1, of artikel 24 van de APPI (inzake de verstrekking aan derden partijen, inclusief internationale doorgiften).

(88) Wanneer het verzoek gegrond is, moet de PIHBO onverwijld het gebruik van de gegevens de verstrekking aan een derde partij stoppen, voor zover dit noodzakelijk is om een einde te maken aan de inbreuk of — indien een zaak onder een uitzondering valt (met name indien het stopzetten van het gebruik bijzonder hoge kosten zou veroorzaken) (55) — alternatieve maatregelen toepassen om het recht en de belangen van de persoon in kwestie te waarborgen.

(89) Anders dan de EU-wetgeving bevatten de APPI en de toepasselijke uitvoeringsvoorschriften geen specifieke wettelijke bepalingen om bezwaar te kunnen maken tegen verwerking ten behoeve van direct marketing. Niettemin zal deze verwerking, op grond van dit besluit, plaatsvinden in de context van een doorgifte van persoonsgegevens die eerder waren verzameld in de Europese Unie. Op grond van artikel 21, lid 2, van Verordening (EU) 2016/679, moet de betrokkene altijd de mogelijkheid hebben om bezwaar te maken tegen een doorgifte van gegevens met het oog op verwerking voor direct marketing. Bovendien moet, zoals uiteengezet in overweging 43, een PIHBO het gebruiksdoel op grond van aanvullend voorschrift 3 de gegevens verwerken die hij op grond van het besluit heeft ontvangen voor hetzelfde doel waarvoor de gegevens zijn doorgegeven vanuit de Europese Unie, tenzij de betrokkene ermee instemt dat het gebruiksdoel wordt gewijzigd.Indien de doorgifte is gebeurd voor andere doeleinden dan direct marketing, wordt een PIHBO in Japan uitgesloten van verwerking van de gegevens met het oog op rechtstreekse marketing zonder toestemming van de betrokkene in de EU.

(90) In alle gevallen als bedoeld in de artikelen 28 en 29 van de APPI moet de PIHBO de betrokkene onverwijld in kennis stellen van de uitkomst van zijn/haar verzoek en bovendien een verklaring geven voor een eventuele (gedeeltelijke) weigering op basis van de statutaire uitzonderingen als bedoeld in de artikelen 27 tot en met 30 (artikel 31 van de APPI).

(91) Wat betreft de voorwaarden om een verzoek in te dienen, staat artikel 32 van de APPI (samen met het kabinetsdecreet) de PIHBO toe redelijke procedures vast te stellen, ook wat betreft de informatie die nodig is om de te bewaren persoonsgegevens te identificeren. Op grond van lid 4 van dat artikel mag een PIHBO echter geen buitensporige last aan een betrokkene opleggen. In bepaalde gevallen mag de PIHBO ook een vergoeding opleggen zolang het bedrag is aan te merken als redelijk in verhouding tot de werkelijke kosten (artikel 33 van de APPI).

(92) Tot slot mag de betrokkene op grond van artikel 23, lid 2, van de APPI bezwaar maken tegen de verschaffing van zijn/haar persoonsinformatie aan een derde partij, of op grond van artikel 23, lid 1, toestemming weigeren (en aldus bekendmaking voorkomen indien er geen andere rechtsgrondslag is). Eveneens kan de betrokkene een einde maken aan de verwerking van gegevens voor een ander doel door toestemming te weigeren op grond van artikel 16, lid 1, van de APPI.

(93) Anders dan het recht van de Unie bevatten de APPI en de toepasselijke wettelijke voorschriften geen algemene voorzieningen die zijn gericht op de kwestie van besluiten die de betrokkene betreffen en die alleen zijn gebaseerd op de geautomatiseerde verwerking van persoonsgegevens. Die kwestie komt echter aan de orde in bepaalde in Japan toepasselijke sectorale voorschriften die bijzonder relevant zijn voor dit type van verwerking. Dit omvat de sectoren waarin het aannemelijk is dat ondernemingen een beroep doen op de geautomatiseerde verwerking van persoonsgegevens om beslissingen te nemen die individuen raken (bv. de financiële sector). Zo vereisen de „Globale richtsnoeren voor het toezicht op grote banken”, als herzien in juni 2017, dat het betrokken individu specifieke toelichting krijgt over de redenen voor de afwijzing van een verzoek om sluiting van een kredietovereenkomst. Op deze wijze bieden deze voorschriften bescherming in het waarschijnlijk beperkte aantal zaken waar automatische beslissingen zouden worden genomen door de „importerende” Japanse bedrijfsexploitant zelf (en niet door de „exporterende” gegevensverwerkingsverantwoordelijke in de EU).

(94) In elk geval wordt — wat betreft de persoonsgegevens die in de Europese Unie zijn verzameld — elk besluit dat is gebaseerd op geautomatiseerde verwerking, doorgaans genomen door de verwerkingsverantwoordelijke in de Unie (die een directe relatie met de betrokkene heeft) en is daarom onderworpen aan Verordening (EU) 2016/679 (56). Dit omvat doorgiftescenario's waarin de verwerking wordt uitgevoerd door een buitenlandse (bijvoorbeeld Japanse) bedrijfsexploitant die handelt als verwerker namens de verwerkingsverantwoordelijke in de EU (of als sub-verwerker die handelt namens de verwerker in de EU, die de gegevens heeft ontvangen van een EU-verwerkingsverantwoordelijke die deze verzameld heeft) die op deze basis de beslissing neemt. Daarom is het waarschijnlijk dat het ontbreken van specifieke voorschriften voor geautomatiseerde besluitvorming in de APPI een weerslag heeft op het niveau van de bescherming van persoonsgegevens die in het kader van dit besluit worden doorgegeven.

2.4. Toezicht en handhaving

2.4.1. Onafhankelijk toezicht

(95) Om ervoor te zorgen dat ook in de praktijk een passend niveau van bescherming van persoonsgegevens wordt gewaarborgd, moet er worden voorzien in een onafhankelijke toezichthoudende autoriteit met bevoegdheden tot monitoring en handhaving van de naleving van de gegevensbeschermingsvoorschriften. Deze autoriteit moet volledig onafhankelijk en onpartijdig handelen bij de uitvoering van zijn taken en de uitoefening van zijn bevoegdheden.

(96) In Japan is de PPC de autoriteit die is belast met de monitoring en handhaving van de APPI. Die commissie bestaat uit een voorzitter en acht commissarissen die door de premier worden benoemd met instemming van beide kamers van het parlement. De ambtstermijn van de voorzitter en elk van de commissarissen is vijf jaar, met de mogelijkheid van herbenoeming (artikel 64 van de APPI). Commissarissen mogen alleen worden ontslagen om goede redenen in een beperkt aantal uitzonderlijke omstandigheden (57), zij mogen niet actief betrokken zijn bij politieke activiteiten. Bovendien moeten voltijdse commissarissen zich op grond van de APPI onthouden van andere bezoldigde activiteiten of bedrijfsactiviteiten. Alle commissarissen zijn ook onderworpen aan interne voorschriften waardoor zij niet kunnen deelnemen aan overleg in geval van mogelijke belangenconflicten. Zij wordt bijgestaan door een secretariaat, onder leiding van een secretaris-generaal, die is opgericht ter uitvoering van de taken van de PPC (artikel 70 van de APPI). Zowel de Commissieleden als alle ambtenaren van het secretariaat zijn gebonden aan strikte geheimhoudingsvoorschriften (artikelen 72 en 82 van de APPI).

(97) De bevoegdheden van de PPC, die zij uitoefent in volledige onafhankelijkheid (58), zijn voornamelijk vastgelegd in de artikelen 40, 41 en 42 van de APPI. Krachtens artikel 40 kan de PPC PIHBO's verzoeken om verslagen of documenten over verwerkingsoperaties in te dienen en kan ook inspecties verrichten, zowel ter plaatse als in de boekhouding of andere documenten. Voor zover dir voor de handhaving van de APPI noodzakelijk is, mag de PPC de PIHBO's ook richtsnoeren en adviesgeven over de behandeling van persoonsgegevens. De PPC heeft al gebruikgemaakt van zijn bevoegdheden op grond van artikel 41 APPI door richtsnoeren te verschaffen aan Facebook, naar aanleiding van de onthullingen rond Facebook en Cambridge Analytica.

(98) Het belangrijkste is dat de PPC de bevoegdheid heeft om in individuele gevallen — naar aanleiding van een klacht of op eigen initiatief — aanbevelingen en decreten uit te vaardigen ter wille van de handhaving van de APPI en andere bindende voorschriften (met inbegrip van de aanvullende voorschriften). Deze bevoegdheden zijn vastgelegd in artikel 42 van de APPI. Terwijl de leden 1 en 2 voorzien in een tweestappenmechnisme waarbij de PPC alleen een decreet kan uitvaardigen naar aanleiding van een voorafgaande aanbeveling, voorziet lid 3 in de rechtstreekse vaststelling van een decreet in spoedeisende gevallen.

(99) Hoewel niet alle bepalingen van hoofdstuk IV, afdeling 1, van de APPI zijn opgenomen in artikel 42, lid 1, — waarin ook het toepassingsgebied van artikel 42, lid 2, wordt bepaald — kan dit worden verklaard door het feit dat sommige van die bepalingen geen betrekking hebben op verplichtingen van de PIHBO (59), en dat alle essentiële bescherming reeds wordt geboden door andere bepalingen in die lijst. Een voorbeeld: hoewel artikel 15 (waarin de PIHBO wordt verplicht om het gebruiksdoel vast te stellen en de relevante persoonsinformatie uitsluitend in overeenstemming daarmee te verwerken) niet wordt genoemd, kan het niet voldoen aan dit vereiste aanleiding geven voor een aanbeveling op basis van een schending van artikel 16, lid 1 (waarin de PIHBO wordt verboden persoonsinformatie verder te verwerken dan noodzakelijk is om het gebruiksdoel te bereiken, tenzij met toestemming van de betrokkene) (60). Een andere bepaling die niet in artikel 42, lid 1, wordt opgenoemd is artikel 19 van de APPI betreffende nauwkeurigheid en bewaring van gegevens. De niet-naleving van die bepaling kan worden gehandhaafd hetzij als een schending van artikel 16, lid 1, hetzij op basis van een schending van artikel 29, lid 2, indien de betrokkene verzoekt om rectificatie of verwijdering van en de onjuiste of overbodige gegevens en de PIHBO weigert te voldoen aan het verzoek. Wat betreft de rechten van de betrokkene op grond van de artikelen 28, lid 1, 29, lid 1, en 30, lid 1, wordt toezicht door de PPC gewaarborgd door haar handhavingsbevoegdheden met betrekking tot de overeenkomstige verplichtingen van de PIHBO die in die artikelen zijn vastgelegd.

(100) Op grond van artikel 42, lid 1, van de APPI kan de PPC, indien zij erkent dat er behoefte is aan bescherming van de rechten en belangen van een individu in zaken waarin een PIHBO specifieke APPI-bepalingen heeft geschonden, een aanbeveling doen tot stopzetting van de schending of andere noodzakelijke maatregelen nemen om de schending teniet te doen. Een dergelijke aanbeveling is niet bindend, maar opent de weg voor een bindend decreet krachtens artikel 42, lid 2, van de APPI. Op basis van deze bepaling kan de PPC, indien de aanbeveling „zonder geldige reden” niet wordt opgevolgd en zij onderkent dat een ernstige schending van de rechten en belangen van een individu dreigt te ontstaan, de PIHBO bevelen om actie te ondernemen in overeenstemming met de aanbeveling.

(101) De aanvullende voorschriften vormen een nadere verduidelijking en versterking van de handhavingsbevoegdheden van de PPC. Meer bepaald zal de PPC in gevallen waarin sprake is van uit de Europese Unie ingevoerde gegevens, het nalaten van een PIHBO om — zonder legitieme reden — actie te ondernemen in overeenstemming met een aanbeveling van de APPI overeenkomstig artikel 42, lid 1, aanmerken als een ernstige schending van onmiddellijke aard van de rechten en belangen van een individu in de zin van artikel 42, lid 2, en derhalve als een inbreuk die aanleiding geeft tot de uitvaardiging van een bindend decreet. Bovendien aanvaardt de PPC als „legitieme reden” voor het niet voldoen aan een aanbeveling alleen een gebeurtenis van bijzondere aard waarbij het niet-voldoen buiten de macht van de PIHBO valt, die redelijkerwijs niet kan worden voorzien (bijvoorbeeld, natuurrampen) of gevallen waarin de noodzaak om actie met betrekking tot de aanbeveling te ondernemen is vervallen omdat de PIHBO alternatieve maatregelen heeft genomen, waarmee de schending volledig wordt opgeheven.

(102) Niet-nakoming van een PPC-decreet wordt aangemerkt als een strafbaar feit op grond van artikel 84 van de APPI, en een PIHBO die schuldig wordt bevonden, kan worden bestraft met gevangenisstraf met arbeid tot zes maanden, of met een geldboete tot 300 000 yen. Bovendien kan op grond van artikel 85, onder i), van de APPI niet-samenwerking met de PPC of obstructie van het onderzoek worden bestraft met een geldboete van maximaal 300 000 yen. Deze strafrechtelijke sancties zijn van toepassing naast de sancties die kunnen worden opgelegd voor wezenlijke schendingen van de APPI (zie overweging 108).

2.4.2. Gerechtelijk beroep

(103) Om een adequate rechtsbescherming en vooral handhaving van individuele rechten te garanderen, moeten aan de betrokkene doeltreffende administratieve en gerechtelijke rechtsmiddelen worden toegekend, met inbegrip van een recht op schadeloosstelling.

(104) Alvorens administratief beroep of beroep in rechte in te stellen, of in plaats daarvan, kan een individu besluiten een klacht in te dienen over de verwerking van zijn/haar persoonsgegevens bij de voor de verwerking verantwoordelijke zelf. Op basis van artikel 35 van de PIHBO's APPI streeft ernaar dergelijke klachten „op passende wijze en prompt” te behandelen en interne klachtenafhandelingsprocedures vast te stellen om deze doelstelling te bereiken. Bovendien is de PPC op grond van artikel 61, onder ii), van de APPI verantwoordelijk voor de nodige bemiddeling naar aanleiding van een ingediende klacht en samenwerking die is aangeboden aan een exploitant van een bedrijf die de klacht behandelt; in beide gevallen omvat dit ook klachten van buitenlanders. In dit opzicht heeft de Japanse wetgever de centrale overheid ook belast met de taak om de nodige maatregelen te nemen om de afwikkeling van klachten door PIHBO's mogelijk te maken en te vergemakkelijken (artikel 9), terwijl de lokale overheden moeten trachten te bemiddelen in dergelijke gevallen (artikel 13). In dat verband mogen natuurlijke personen een klacht indienen bij een van de meer dan 1 700 consumentencentra die door lokale overheden zijn opgericht op basis van de Wet betreffende de veiligheid van de consumenten (61), in aanvulling op de mogelijkheid om een klacht in te dienen bij het Nationaal Centrum voor Consumentenzaken van Japan. Dergelijke klachten kunnen ook worden ingediend met betrekking tot een schending van de APPI. Op grond van artikel 19 van de Organieke wet op consumentenbescherming (62) moeten lokale overheden ernaar streven te bemiddelen bij klachten en de partijen van de nodige deskundigheid te voorzien. Deze geschillenbeslechtingsmechanismen blijken doeltreffend te zijn, aangezien in 2015 91,2 % van de meer dan 75 000 klachten is opgelost.

(105) Schendingen van de bepalingen van de APPI door een PIHBO kunnen aanleiding geven tot civiele procedures en tot strafzaken en sancties. In de eerste plaats kan een natuurlijke persoon die van mening is dat zijn/haar rechten op grond van de artikelen 28, 29 en 30 van de APPI zijn geschonden, vragen om een dwangmiddel tot rechtsherstel door de rechter te verzoeken een PIHBO te gelasten om te voldoen aan zijn/haar verzoek uit hoofde van een van deze bepalingen, dat wil zeggen bewaarde persoonsgegevens bekend te maken (artikel 28), onjuiste bewaarde persoonsgegevens te corrigeren (artikel 29) of onrechtmatige verwerking of verstrekking aan derde partijen stop te zetten (artikel 30). Een dergelijke vordering kan worden ingesteld zonder dat beroep wordt gedaan op artikel 709 van het burgerlijk wetboek (63) of andere wetgeving inzake onrechtmatige daad (64). Dit betekent in het bijzonder dat de betrokkene geen geleden schade behoeft aan te tonen.

(106) Ten tweede, in het geval een vermeende inbreuk geen betrekking hebben op individuele rechten op grond van de artikelen 28, 29 en 30, maar de algemene beginselen inzake gegevensbescherming, of de verplichtingen van de PIHBO de betrokken persoon kan een civiele procedure instellen tegen de exploitant gebaseerd op de bepalingen inzake onrechtmatige daad van de Japanse burgerlijk wetboek, met name artikel 709. Voor een rechtsvordering krachtens artikel 709 is, afgezien van schuld (opzet of nalatigheid), een bewijs van schade nodig, en overeenkomstig artikel 710 van het Burgerlijk Wetboek kan een dergelijke schade zowel materieel als immaterieel zijn. Er geldt geen beperking ten aanzien van de hoogte van de schadevergoeding.

(107) Wat de beschikbare rechtsmiddelen betreft, is in artikel 709 van de Japanse burgerlijk wetboek sprake van financiële compensatie. In de Japanse jurisprudentie is dit artikel echter aldus uitgelegd dat het ook het recht verleent om een gerechtelijk bevel te verkrijgen (65). Indien een betrokkene een beroep op grond van artikel 709 van het Burgerlijk Wetboek instelt en betoogt dat zijn/haar rechten of belangen zijn geschaad door schending van een APPI-bepaling door de verweerder, kan de vordering daarom, afgezien van schadevergoeding, bestaan uit een verzoek om een dwangmaatregel, met name gericht op het stoppen van onrechtmatige verwerking.

(108) Ten derde kan de betrokkene, naast de middelen van burgerlijk recht (onrechtmatige daad), ten aanzien van een overtreding van de APPI bij een openbare aanklager of een functionaris van de gerechtelijke politie een klacht indienen die tot strafrechtelijke sancties kan leiden. Hoofdstuk VII van de APPI bevat een aantal strafrechtelijke bepalingen. De belangrijkste (artikel 84) heeft betrekking op de niet-naleving door de PIHBO van een bevel van de PPC overeenkomstig artikel 42, leden 2 en 3. Indien een bedrijfsexploitant een bevel van de PPC niet naleeft, kan de voorzitter van de PPC (en elke andere overheidsambtenaar) (66) de zaak doorverwijzen naar de openbare aanklager of de functionaris van de gerechtelijke politie en op die manier een strafrechtelijke procedure in gang zetten. De straf voor overtreding van een bevel van de PPC is gevangenisstraf met dwangarbeid van ten hoogste zes maanden of een geldboete van ten hoogste 300 000 yen. Andere bepalingen van de APPI die voorzien in sancties bij overtredingen van de APPI waardoor de rechten en belangen van betrokkenen in het gedrang komen, zijn artikel 83 (over het „heimelijk verstrekken of gebruiken” van een databank met persoonsinformatie „uit illegaal winstbejag”) en artikel 88, onder i) (over het verzuim van een derde om de PIHBO naar behoren in kennis te stellen wanneer laatstgenoemde persoonsgegevens ontvangt overeenkomstig artikel 26, lid 1, van de APPI, met name over de details van de eerdere verwerving van dergelijke gegevens door deze derde). De straffen voor dergelijke overtredingen van de APPI zijn respectievelijk gevangenisstraf met dwangarbeid van ten hoogste één jaar of een boete van ten hoogste 500 000 yen (in geval van artikel 83) of een administratieve boete van ten hoogste 100 000 yen (in geval van artikel 88, onder i)). Terwijl de dreiging van een strafrechtelijke sanctie waarschijnlijk reeds een sterk afschrikkend effect heeft op het management dat leiding geeft aan de verwerkingsactiviteiten van de PIHBO en op de personen die de gegevens behandelen, verduidelijkt artikel 87 van de APPI dat wanneer een vertegenwoordiger, werknemer of ander personeelslid van een onderneming de artikelen 83 tot en met 85 van de APPI heeft geschonden, „hij wordt bestraft en aan de betrokken onderneming de in de respectieve artikelen bepaalde geldboete wordt opgelegd”. In dit geval kunnen zowel aan de werknemer als aan de onderneming sancties worden opgelegd die tot het volledige maximumbedrag kunnen gaan.

(109) Ten slotte kunnen ook particulieren rechtsmiddelen instellen tegen het handelen of niet-handelen van de PPC. Het Japanse recht biedt diverse mogelijkheden om administratieve en gerechtelijke rechtsmiddelen in te stellen.

(110) Als iemand niet tevreden is met de handelswijze van de PPC, kan hij of zij administratief beroep instellen krachtens de Wet toetsing administratieve klachten (67). Wanneer iemand van mening is dat de PPC ten onrechte niet in actie is gekomen, kan hij of zij de PPC overeenkomstig artikel 36-3 van die wet verzoeken een beslissing te nemen of administratieve instructie te geven als hij of zij van mening is dat „een beslissing of administratieve instructie die nodig is om de overtreding te corrigeren, niet is genomen of opgelegd”.

(111) Wat gerechtelijk beroep betreft, kan een particulier die niet tevreden is met een administratieve beslissing van de PPC, krachtens de Wet administratieve procesvoering een beroep (68) instellen waarbij de rechter wordt verzocht om de PPC te bevelen verdere actie te ondernemen (69). In sommige gevallen mag de rechter ook een voorlopig bevelschrift uitvaardigen om onherstelbare schade te voorkomen (70). Voorts mag een particulier krachtens dezelfde wet om herroeping van een beslissing van de PPC verzoeken (71).

(112) Ten slotte kan een particulier krachtens artikel 1, lid 1, van de Wet schadevergoedingen van de staat ook een zaak tegen de PPC aanspannen en om schadevergoeding van de staat verzoeken als hij of zij schade heeft geleden als gevolg van het feit dat een door de PPC aan een bedrijfsexploitant gegeven bevel onwettig was of de PPC haar gezag niet heeft uitgeoefend.

3. TOEGANG TOT EN GEBRUIK VAN DOOR UIT DE EUROPESE UNIE DOORGEGEVEN PERSOONSGEGEVENS DOOR OVERHEIDSINSTANTIES IN JAPAN

(113) De Commissie heeft ook de beperkingen en waarborgen beoordeeld, inclusief de mechanismen voor toezicht en individueel verhaal in het Japanse recht met betrekking tot de verzameling en het daaropvolgende gebruik van persoonsgegevens die door overheidsinstanties in het openbaar belang, met name handhaving van het strafrecht en nationale veiligheid, worden doorgegeven aan bedrijfsexploitanten in Japan („overheidstoegang”). In dit verband heeft de Japanse regering de Commissie op het hoogste niveau van ministeries en andere overheidsinstanties ondertekende officiële verklaringen, garanties en toezeggingen verstrekt die in bijlage II bij dit besluit zijn opgenomen.

3.1. Algemeen rechtskader

(114) Als uitoefening van openbaar gezag moet de overheidstoegang in Japan met volledige eerbiediging van het recht geschieden (legaliteitsbeginsel). De Japanse Grondwet bevat bepalingen die het verzamelen van persoonsgegevens door overheidsinstanties aan beperkingen en regels onderwerpen. Zoals al vermeld in verband met de verwerking door bedrijfsexploitanten, heeft het Japanse Hooggerechtshof het recht op privacy en gegevensbescherming erkend op basis van artikel 13 van de Grondwet, dat onder meer het recht op vrijheid beschermt (72). Een belangrijk aspect van dat recht is de vrijheid dat persoonsinformatie niet zonder toestemming aan een derde mag worden bekendgemaakt (73). Dit impliceert een recht op doeltreffende bescherming van persoonsgegevens tegen misbruik en (met name) illegale toegang. Verdere bescherming wordt geboden door artikel 35 van de Grondwet, inzake het recht van alle personen op veiligheid van hun woning, documenten en eigendommen, waardoor overheidsinstanties in alle gevallen van „huiszoeking en inbeslagneming” op „toereikende grond” (74) een rechterlijk bevel moeten verkrijgen. In zijn arrest van 15 maart 2017 (zaak GPS) heeft het Hooggerechtshof verduidelijkt dat dit vereiste van een rechterlijk bevel altijd geldt wanneer de overheid zich in de privésfeer mengt („binnentreedt”) op een wijze die de wil van het individu negeert en dus door middel van een „verplicht onderzoek”. Een rechter mag een dergelijk bevel alleen afgeven op grond van een concrete verdenking van strafbare feiten, d.w.z. als hem bewijsstukken worden verstrekt waaruit blijkt dat degene tegen wie het onderzoek is ingesteld, een strafbaar feit heeft gepleegd (75). De Japanse autoriteiten hebben dus geen wettelijke bevoegdheid om op een verplichte manier persoonsinformatie te verzamelen wanneer nog geen wetsovertreding heeft plaatsgevonden (76), bijvoorbeeld om een misdrijf of andere bedreiging van de veiligheid te voorkomen (zoals het geval is voor onderzoeken op grond van nationale veiligheid).

(115) Volgens het legaliteitsbeginsel moet elke verzameling van gegevens in het kader van een gedwongen onderzoek specifiek door de wet worden toegestaan (zoals bijvoorbeeld ook is aangegeven in artikel 197, lid 1, van het Wetboek van strafvordering met betrekking tot de verplichte verzameling van informatie voor een strafrechtelijk onderzoek). Dit vereiste is ook van toepassing op toegang tot elektronische informatie.

(116) Belangrijk is dat artikel 21, lid 2, van de Grondwet het geheim van alle communicatiemiddelen garandeert, waarbij beperkingen alleen toegestaan zijn door wetgeving op gronden van algemeen belang. Artikel 4 van de Wet op het telecommunicatiebedrijf, volgens welk de geheimhouding van door een telecommunicatie-exploitant verwerkte communicatie niet mag worden geschonden, vormt de uitwerking van dit vertrouwelijkheidsvereiste op het niveau van de wetgeving. Dit is zo uitgelegd dat de openbaarmaking van communicatie-informatie verboden is, behalve met toestemming van de gebruikers of op grond van een van de uitdrukkelijke uitzonderingen op de strafrechtelijke aansprakelijkheid in het Wetboek van strafrecht (77).

(117) De Grondwet waarborgt ook het recht op toegang tot de rechter (artikel 32) en het recht om de staat aansprakelijk te stellen wanneer iemand schade heeft geleden door een onwettige handeling van een overheidsfunctionaris (artikel 17).

(118) Wat specifiek het recht op gegevensbescherming betreft, zijn in hoofdstuk III, afdelingen 1, 2 en 3 van de APPI algemene beginselen vastgesteld voor alle sectoren, inclusief de overheidssector. Met name bepaalt artikel 3 van de APPI dat alle persoonsinformatie in overeenstemming met het beginsel van de eerbiediging van de persoonlijkheid van particulieren moet worden behandeld. Zodra persoonsinformatie, ook in elektronische vorm, door overheidsinstanties (78) is verzameld („verkregen”), valt de verwerking ervan onder de Wet inzake de bescherming van persoonsinformatie die bij bestuursorganen berusten (APPIHAO) (79). Hieronder valt in beginsel (80) ook de verwerking van persoonsinformatie met het oog op strafrechtshandhaving of nationale veiligheid. De APPIHAO bepaalt onder meer dat overheidsinstanties: i) persoonsinformatie alleen mogen bewaren voor zover dat noodzakelijk is voor de uitvoering van hun taken; ii) dergelijke gegevens niet voor een ongerechtvaardigd doel mogen gebruiken of zonder rechtvaardiging aan een derde mogen meedelen; iii) het doel moeten specificeren en dat doel niet mogen wijzigen ten opzichte van wat redelijkerwijs als relevant kan worden beschouwd voor het oorspronkelijke doel (doelbinding); iv) in beginsel geen gebruik mogen maken van of geen derde in kennis mogen stellen van de bewaarde persoonsinformatie voor andere doeleinden en, indien zij dit noodzakelijk achten, beperkingen moeten opleggen ten aanzien van de door derden gehanteerde doelstelling of gebruikswijze; v) ernaar moeten streven de juistheid van de gegevens te waarborgen (gegevenskwaliteit); vi) de nodige maatregelen moeten treffen voor een goed beheer van de gegevens en om lekken, diefstal of schade te voorkomen (gegevensbeveiliging), en vii) ernaar moeten streven klachten over de verwerking van de gegevens correct en snel te behandelen (81).

3.2. Toegang van en gebruik door de Japanse overheidsdiensten met het oog op strafrechtshandhaving

(119) De Japanse wetgeving bevat een aantal beperkingen met betrekking tot de toegang tot en het gebruik van persoonsgegevens met het oog op strafrechtshandhaving, alsook toezicht- en verhaalmechanismen die voldoende waarborgen bieden om die gegevens doeltreffend te beschermen tegen onrechtmatige inmenging en het risico van misbruik.

3.2.1. Rechtsgrondslag en toepasselijke beperkingen/waarborgen

(120) Naar Japans recht is het verzamelen van elektronische informatie voor strafrechtshandhavingsdoeleinden toegestaan op basis van een bevel (verplichte verzameling) of een verzoek om vrijwillige verstrekking van gegevens.

3.2.1.1. Verplicht onderzoek op basis van een rechterlijk bevel

(121) Zoals in overweging 115 is gezegd, moet het verzamelen van gegevens in het kader van een gedwongen onderzoek specifiek worden toegestaan door de wet, en kan dit alleen geschieden op basis van een „op toereikende grond” uitgevaardigd rechterlijk bevel (artikel 35 van de Grondwet). Wat het onderzoek naar strafbare feiten betreft, wordt dit vereiste weerspiegeld in de bepalingen van het Wetboek van strafvordering. Volgens artikel 197, lid 1, van het Wetboek van strafvordering worden verplichte maatregelen „niet toegepast tenzij in dit wetboek specifieke bepalingen zijn vastgesteld”. Wat het verzamelen van elektronische informatie betreft, zijn de enige relevante (82) rechtsgrondslagen artikel 218 (huiszoeking en inbeslagneming) en artikel 222-2 van het Wetboek van strafvordering; volgens deze artikelen moeten verplichte maatregelen voor het onderscheppen van elektronische communicatie zonder toestemming van de partijen worden uitgevoerd op basis van een andere wet, namelijk de Wet op het aftappen voor strafrechtelijk onderzoek (aftapwet). In beide gevallen is een rechterlijk bevel vereist.

(122) Meer in het bijzonder mag een openbaar aanklager, assistent-openbaar aanklager of functionaris van de gerechtelijke politie krachtens artikel 218, lid 1, van het Wetboek van strafvordering, indien dit voor het onderzoek van een strafbaar feit noodzakelijk is, een doorzoeking of inbeslagneming verrichten (inclusief van gegevens) op grond van een van tevoren door een rechter uitgevaardigd bevel (83). Een dergelijk bevel moet onder meer de naam van de verdachte of beklaagde, het ten laste gelegde feit (84), de in beslag te nemen elektromagnetische gegevens en de te inspecteren „plaats of artikelen” bevatten (artikel 219, lid 1, van het Wetboek van strafvordering).

(123) Wat de onderschepping van communicatie betreft: artikel 3 van de aftapwet staat dergelijke maatregelen slechts onder strikte voorwaarden toe. De overheidsinstanties moeten met name een voorafgaand rechterlijk doorzoekingsbevel verkrijgen dat alleen mag worden uitgevaardigd voor het onderzoek van specifieke ernstige strafbare feiten (die vermeld zijn in de bijlage bij die wet) (85) en wanneer het „uiterst moeilijk is om op andere wijze de crimineel te identificeren of de omstandigheden/details van de overtreding op te helderen” (86). Krachtens artikel 5 van de aftapwet wordt het bevel uitgevaardigd voor een beperkte tijd en kan de rechter bijkomende voorwaarden stellen. Verder voorziet de aftapwet in nog een aantal waarborgen, zoals de vereiste aanwezigheid van getuigen (artikelen 12 en 20), het verbod op het afluisteren van de communicatie van bepaalde bevoorrechte groepen (bv. artsen, advocaten) (artikel 15), de verplichting het aftappen te beëindigen wanneer het niet meer gerechtvaardigd is, zelfs binnen de geldigheidsduur van het bevel (artikel 18), of de algemene verplichting om de betrokkene op de hoogte te brengen en binnen dertig dagen nadat het aftappen is beëindigd toegang te verschaffen tot de bestanden (artikelen 23 en 24).

(124) Voor alle verplichte maatregelen op basis van een rechterlijk bevel mag slechts een onderzoek worden uitgevoerd „dat noodzakelijk is om de doelstelling ervan te bereiken” — dat wil zeggen wanneer de met het onderzoek nagestreefde doelstellingen niet op andere wijze kunnen worden bereikt (artikel 197, lid 1, van het Wetboek van strafvordering). Hoewel de criteria voor het bepalen van de noodzaak niet nader zijn uitgewerkt in de wetgeving, heeft het Japanse Hooggerechtshof geoordeeld dat de rechter die een doorzoekingsbevel uitvaardigt, een algemene beoordeling moet maken waarin met name rekening wordt gehouden met i) de ernst van het strafbare feit en de wijze waarop het is gepleegd; ii) de waarde en het belang van het als bewijs in beslag te nemen materiaal; iii) de kans (het risico) dat bewijs wordt verborgen of vernietigd, en iv) de mate waarin de inbeslagneming de betrokkene schade kan toebrengen (87).

3.2.1.2. Verzoek om vrijwillige bekendmaking op basis van een „inlichtingenformulier”

(125) Binnen de grenzen van hun bevoegdheden mogen overheidsinstanties ook elektronische informatie verzamelen op basis van verzoeken om vrijwillige bekendmaking. Dit is een niet-verplichte vorm van medewerking waarbij naleving van het verzoek niet kan worden afgedwongen (88), zodat de overheidsinstanties niet de verplichting hebben om een rechterlijk bevel te verkrijgen.

(126) Voor zover een dergelijk verzoek tot een bedrijfsexploitant gericht is en persoonsinformatie betreft, moet de bedrijfsexploitant zich houden aan de vereisten van de APPI. Volgens artikel 23, lid 1, van de APPI mogen bedrijfsexploitanten persoonsinformatie slechts in bepaalde gevallen, waaronder „op grond van wet- en regelgeving”, zonder toestemming van de betrokkene aan derden bekendmaken (89). Op het gebied van strafrechtshandhaving vormt artikel 197, lid 2, van het Wetboek van strafvordering, volgens welk „particuliere organisaties kan worden gevraagd inlichtingen te verstrekken over noodzakelijke kwesties in verband met het onderzoek”, de rechtsgrondslag voor dergelijke verzoeken. Aangezien een dergelijk „inlichtingenformulier” alleen in het kader van een strafrechtelijk onderzoek toegestaan is, is altijd sprake van een concreet vermoeden van een reeds gepleegd strafbaar feit (90). Bovendien zijn de beperkingen van artikel 2, lid 2, van de politiewet (91) van toepassing, aangezien dergelijke onderzoeken doorgaans door de prefectuurpolitie worden uitgevoerd. Volgens die bepaling zijn de activiteiten van de politie „strikt beperkt” tot de uitoefening van hun verantwoordelijkheden en taken (dat wil zeggen het voorkomen, bestrijden en onderzoeken van misdrijven). Bovendien moet de politie bij de uitoefening van haar taken op onpartijdige, onbevooroordeelde en eerlijke wijze te werk gaan en mag zij nooit misbruik maken van haar macht „op een wijze die botst met de door de Grondwet van Japan gegarandeerde rechten en vrijheden van personen” (die zoals gezegd het recht op privacy en gegevensbescherming omvatten) (92).

(127) Specifiek met betrekking tot artikel 197, lid 2, van het Wetboek van strafvordering heeft de nationale politiedienst — als de federale instantie die bevoegd is voor onder meer alle zaken in verband met de gerechtelijke politie — aan de prefectuurpolitie instructies gegeven (93) over het „correcte gebruik van schriftelijke verzoeken om inlichtingen in onderzoeken”. Volgens deze kennisgeving moeten verzoeken worden gedaan met gebruikmaking van een standaardformulier (formulier nr. 49, ofwel het zogenoemde „inlichtingenformulier”) (94), betrekking hebben op gegevens „in verband met een specifiek onderzoek”, en moet de gevraagde informatie „noodzakelijk zijn voor [dat] onderzoek”. In elk geval moet de hoofdonderzoeker „de noodzaak, inhoud enz. van [het] individuele verzoek om informatie ten volle onderzoeken” en interne goedkeuring krijgen van een hoge functionaris.

(128) Bovendien heeft het Japanse Hooggerechtshof in twee arresten uit 1969 en 2008 (95) beperkingen opgelegd ten aanzien van niet-verplichte maatregelen die botsen met het recht op privacy (96). Het Hooggerechtshof was met name van oordeel dat dergelijke maatregelen „redelijk” moeten zijn en binnen „algemeen toegestane grenzen” moeten blijven, dat wil zeggen dat zij noodzakelijk moeten zijn voor het onderzoek van een verdachte (verzamelen van bewijs) en worden uitgevoerd „met passende methoden om het doel van [het] onderzoek te bereiken” (97). Uit de arresten blijkt dat dit een evenredigheidstoetsing meebrengt waarbij rekening wordt gehouden met alle omstandigheden van de zaak (bv. de mate waarin inbreuk wordt gemaakt op het recht op privacy, inclusief de verwachting van privacy, de ernst van het strafbare feit, de waarschijnlijkheid om nuttig bewijsmateriaal te verkrijgen, het belang van dat bewijsmateriaal, mogelijke alternatieve onderzoeksmethoden, enz.) (98).

(129) Naast deze beperkingen voor de uitoefening van het openbaar gezag, worden de bedrijfsexploitanten zelf geacht de noodzaak en de „redelijkheid” van de verstrekking aan een derde te controleren („bevestigen”) (99). Hieronder valt ook de vraag of de wet verbiedt dat zij meewerken. Dergelijke conflicterende wettelijke verplichtingen kunnen met name voortvloeien uit verplichtingen zoals artikel 134 van het Wetboek van strafrecht (over de relatie tussen een dokter, advocaat, priester enz. en zijn/haar cliënt). Ook moet „iedereen die in de telecommunicatiesector werkt, tijdens zijn of haar dienstverband de geheimen van anderen bewaren die hem of haar bekend zijn geworden met betrekking tot via de telecommunicatieonderneming verlopende communicatie” (artikel 4, lid 2, van de Wet op het telecommunicatiebedrijf). Deze verplichting wordt ondersteund door de in artikel 179 van de Wet op het telecommunicatiebedrijf vastgelegde sanctie dat iemand die het geheim van via een telecommunicatieonderneming verlopende communicatie heeft geschonden, schuldig is aan een strafbaar feit en wordt bestraft met een gevangenisstraf met dwangarbeid van ten hoogste twee jaar of een geldboete van ten hoogste een miljoen yen (100). Hoewel dit vereiste niet absoluut is en met name maatregelen toegestaan zijn die weliswaar inbreuk maken op het geheim van communicatie, maar „gerechtvaardigde handelingen” vormen in de zin van artikel 35 van het Wetboek van strafrecht, valt het antwoord op niet-verplichte verzoeken van overheidsinstanties om openbaarmaking van elektronische informatie overeenkomstig artikel 197, lid 2, van het Wetboek van strafvordering niet onder deze uitzondering (101).

3.2.1.3. Verder gebruik van de verzamelde informatie

(130) Nadat persoonsinformatie door de Japanse overheidsinstanties is verzameld, valt zij binnen het toepassingsgebied van de APPIHAO. Deze wet regelt de behandeling (verwerking) van „bewaarde persoonsinformatie” en legt daarbij een aantal beperkingen en waarborgen op (zie overweging 118) (102). Bovendien brengt het feit dat een best