CELEX: 32019D0419
Language: fi
Date: 2019-01-23 00:00:00
Title: Komission täytäntöönpanopäätös (EU) 2019/419 annettu 23 päivänä tammikuuta 2019, Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 nojalla henkilökohtaisten tietojen suojasta annetun lain mukaisen henkilötietojen suojan riittävästä tasosta Japanissa (ETA:n kannalta merkityksellinen teksti)

19.3.2019   
               
               
                  FI
               
               
                  Euroopan unionin virallinen lehti
               
               
                  L 76/1
               
            
         KOMISSION TÄYTÄNTÖÖNPANOPÄÄTÖS (EU) 2019/419
         annettu 23 päivänä tammikuuta 2019,
         Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 nojalla henkilökohtaisten tietojen suojasta annetun lain mukaisen henkilötietojen suojan riittävästä tasosta Japanissa
         (tiedoksiannettu numerolla K(2019) 304)
         (ETA:n kannalta merkityksellinen teksti)
         EUROOPAN KOMISSIO, joka
         ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen,
         ottaa huomioon luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27 päivänä huhtikuuta 2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (1) (yleinen tietosuoja-asetus) ja erityisesti sen 45 artiklan 3 kohdan,
         on kuullut Euroopan tietosuojavaltuutettua,
         1.   JOHDANTO
         
         
                     (1)
                  
                  
                     Asetuksessa (EU) 2016/679 vahvistetaan säännöt, joita sovelletaan henkilötietojen siirtoon Euroopan unioniin sijoittautuneilta rekisterinpitäjiltä tai henkilötietojen käsittelijöiltä kolmansiin maihin ja kansainvälisille järjestöille, siltä osin kuin tällaiset siirrot kuuluvat sen soveltamisalaan. Henkilötietojen kansainvälistä siirtoa koskevat säännöt vahvistetaan asetuksen V luvussa, erityisesti sen 44–50 artiklassa. Kansainvälisen yhteistyön ja kaupan kehittämiseksi on tarpeen siirtää henkilötietoja Euroopan unionin ulkopuolisiin maihin tai niistä unioniin, ja samalla on varmistettava, että henkilötietojen suojan tasoa Euroopan unionissa ei heikennetä.
                  
               
                     (2)
                  
                  
                     Asetuksen (EU) 2016/679 45 artiklan 3 kohdan mukaan komissio voi päättää täytäntöönpanosäädöksellä, että jokin kolmas maa tai kolmannen maan alue tai yksi tai useampi tietty sektori tai kansainvälinen järjestö varmistaa riittävän tietosuojan tason. Tämän edellytyksen täyttyessä henkilötietoja voidaan siirtää kyseiselle kolmannelle maalle, alueelle, sektorille tai kansainväliselle järjestölle ilman erillistä lupaa, kuten asetuksen 45 artiklan 1 kohdassa ja johdanto-osan 103 kappaleessa säädetään.
                  
               
                     (3)
                  
                  
                     Kuten asetuksen (EU) 2016/679 45 artiklan 2 kohdassa säädetään, tietosuojan riittävyyttä koskevan päätöksen tekemisen on perustuttava kattavaan analyysiin kolmannen maan oikeusjärjestyksestä siltä osin kuin on kyse sekä tietojen tuojia koskevista säännöistä että rajoituksista ja suojatoimista, jotka koskevat viranomaisten pääsyä henkilötietoihin. Arvioinnissa on määritettävä, takaako kyseinen kolmas maa suojan tason, joka ”vastaa olennaisilta osin” Euroopan unionissa taattua suojan tasoa (asetuksen (EU) 2016/679 johdanto-osan 104 kappale). Kuten Euroopan unionin tuomioistuin on selventänyt, tämä ei edellytä samanlaista suojelun tasoa (2). Erityisesti keinot, joita kyseisellä kolmannella maalla on käytettävissään, voivat erota Euroopan unionissa käytetyistä menetelmistä, kunhan ne käytännössä varmistavat tehokkaasti suojelun riittävän tason (3). Tietosuojan tason riittävyyttä koskeva vaatimus ei sen vuoksi edellytä unionin sääntöjen kopiointia kohta kohdalta. Sen sijaan tarkastellaan, onko ulkomaisen järjestelmän antama suoja kokonaisuutena vaaditun tason mukainen. Tällöin selvitetään, mikä sisältö yksityisyyteen liittyvillä oikeuksilla on, pannaanko ne täytäntöön ja valvotaanko niiden toteutumista tehokkaasti (4).
                  
               
                     (4)
                  
                  
                     Komissio on analysoinut huolellisesti Japanin lainsäädäntöä ja käytäntöä. Komissio katsoo johdanto-osan 6–175 kappaleessa esitettyjen havaintojen perusteella, että Japanissa varmistetaan riittävä suoja henkilötiedoille, jotka siirretään henkilökohtaisten tietojen suojasta annetun lain (5) soveltamisalaan kuuluville organisaatioille tässä päätöksessä tarkoitettujen lisäedellytysten täyttyessä. Nämä edellytykset vahvistetaan Japanin henkilötietosuojalautakunnan (6) antamissa täydentävissä säännöissä (liite I) ja Japanin hallituksen virallisissa lausunnoissa, vakuutuksissa ja sitoumuksissa Euroopan komissiolle (liite II).
                  
               
                     (5)
                  
                  
                     Tällä päätöksellä mahdollistetaan se, että tiedonsiirrot Euroopan talousalueelle (ETA) (7) sijoittautuneelta rekisterinpitäjältä tai henkilötietojen käsittelijältä voidaan toteuttaa tällaisille Japaniin sijoittautuneille organisaatioille ilman, että tarvitaan enää muita lupia. Tämä päätös ei vaikuta asetuksen (EU) 2016/679 suoraan soveltamiseen tällaisiin organisaatioihin, kun kyseisen asetuksen 3 artiklan edellytykset täyttyvät.
                  
               2.   TOIMINNANHARJOITTAJIEN SUORITTAMAAN TIETOJEN KÄSITTELYYN SOVELLETUT SÄÄNNÖT
         
         2.1   Japanin tietosuojakehys
         
         
                     (6)
                  
                  
                     Japanin yksityisyyden suojaa ja tietosuojaa koskeva säännöstö perustuu vuonna 1946 säädettyyn perustuslakiin.
                  
               
                     (7)
                  
                  
                     Perustuslain 13 §:ssä säädetään seuraavaa:
                     ”Kaikkia ihmisiä on kunnioitettava yksilöinä. Heidän oikeuttaan elämään, vapauteen ja onnen tavoitteluun on pidettävä ensisijaisena tavoitteena lainsäädännössä ja muissa valtiollisissa kysymyksissä siinä määrin kuin se ei haittaa yleistä hyvinvointia.”
                  
               
                     (8)
                  
                  
                     Japanin korkein oikeus on tämän pykälän perusteella selventänyt yksilöiden oikeuksia henkilökohtaisten tietojen suojan osalta. Se totesi vuonna 1969 antamassaan päätöksessä, että oikeus yksityisyyteen ja tietosuojaan on perustuslaillinen oikeus (8). Japanin korkein oikeus katsoi erityisesti, että ”jokaisella yksilöllä on vapaus suojella omia henkilökohtaisia tietojaan, jotta niitä ei luovutettaisi kolmannelle osapuolelle tai julkistettaisi ilman hyvää syytä”. Lisäksi korkein oikeus katsoi asiassa Juki-Net 6 päivänä maaliskuuta 2008 antamassaan päätöksessä (9), että ”kansalaisten vapautta yksityiselämässä on suojeltava julkisen vallan käytöltä ja voidaan katsoa, että jokaisella yksilöllä on vapaus suojella omia henkilökohtaisia tietojaan, jotta niitä ei paljastettaisi kolmannelle osapuolelle tai julkistettaisi ilman hyvää syytä, ja että tämä vapaus on yksi yksityiselämää koskevista yksilön vapauksista” (10).
                  
               
                     (9)
                  
                  
                     Japani antoi 30 päivänä toukokuuta 2003 joukon tietosuojalakeja:
                     
                                 —
                              
                              
                                 laki henkilökohtaisten tietojen suojasta;
                              
                           
                                 —
                              
                              
                                 laki hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta;
                              
                           
                                 —
                              
                              
                                 laki autonomisten hallintovirastojen hallussa olevien henkilökohtaisten tietojen suojasta.
                              
                           
               
                     (10)
                  
                  
                     Kaksi viimeiseksi mainittua säädöstä, joita on muutettu vuonna 2016, sisältävät säännöksiä, joita sovelletaan henkilökohtaisten tietojen suojaan julkisen sektorin yhteisöissä. Tietojen käsittely, joka kuuluu kyseisten säädösten soveltamisalaan, ei ole tässä päätöksessä esitetyn tietosuojan tason riittävyyttä koskevan päätelmän kohteena, vaan tämä päätös rajoittuu henkilökohtaisten tietojen suojasta annetussa laissa tarkoitettuun toiminnanharjoittajien käsittelemien henkilökohtaisten tietojen tietosuojaan.
                  
               
                     (11)
                  
                  
                     Henkilökohtaisten tietojen suojasta annettua lakia on uudistettu viime vuosina. Muutettu laki julkaistiin 9 päivänä syyskuuta 2015, ja se tuli voimaan 30 päivänä toukokuuta 2017. Muutoksella otettiin käyttöön joukko uusia suojatoimia ja lujitettiin nykyisiä suojatoimia ja tuotiin siten Japanin tietosuojajärjestelmä lähemmäs Euroopan tietosuojajärjestelmää. Tällaisia ovat esimerkiksi täytäntöönpanokelpoiset yksilön oikeudet tai henkilökohtaisten tietojen suojasta annetun lain valvonnasta ja täytäntöönpanosta vastaavan riippumattoman valvontaviranomaisen (henkilötietosuojalautakunta) perustaminen.
                  
               
                     (12)
                  
                  
                     Tämän päätöksen soveltamisalaan kuuluvien henkilökohtaisten tietojen käsittelyyn sovelletaan henkilökohtaisten tietojen suojasta annetun lain lisäksi täytäntöönpanosääntöjä, jotka on annettu mainitun lain perusteella. Tähän sisältyvät henkilökohtaisten tietojen suojasta annetun lain täytäntöönpanosta 5 päivänä lokakuuta 2016 annetun hallituksen määräyksen muutos ja henkilötietosuojalautakunnan hyväksymät säännöt henkilökohtaisten tietojen suojasta annetun lain täytäntöönpanosta (11). Molemmat sääntökokonaisuudet ovat oikeudellisesti sitovia ja täytäntöönpanokelpoisia, ja ne tulivat voimaan samaan aikaan kuin muutettu henkilökohtaisten tietojen suojasta annettu laki.
                  
               
                     (13)
                  
                  
                     Lisäksi Japanin hallitus (joka muodostuu pääministeristä ja muista ministereistä) hyväksyi 28 päivänä lokakuuta 2016 perusperiaatteet, joiden puitteissa se voi ”kattavasti ja yhtenäisesti edistää henkilökohtaisten tietojen suojaan liittyviä toimenpiteitä”. Henkilökohtaisten tietojen suojasta annetun lain 7 §:n mukaisesti perusperiaatteet hyväksytään päätöksen muodossa, ja ne sisältävät kyseisen lain täytäntöönpanoa koskevat poliittiset suuntaviivat, jotka on suunnattu sekä keskushallinnolle että paikallishallinnolle.
                  
               
                     (14)
                  
                  
                     Japanin hallitus muutti perusperiaatteita 12 päivänä kesäkuuta 2018 tehdyllä päätöksellään. Kansainvälisten tiedonsiirtojen helpottamiseksi kyseisessä hallituksen päätöksessä delegoidaan henkilötietosuojalautakunnalle, joka on henkilökohtaisten tietojen suojasta annetun lain hallinnoinnista ja täytäntöönpanosta vastaava toimivaltainen viranomainen, ”valtuudet toteuttaa tarvittavat toimet, jotta voidaan kuroa umpeen Japanin ja asianomaisen kolmannen maan järjestelmien ja toimintojen väliset erot lain 6 §:n perusteella ja varmistaa kyseisestä maasta saatujen henkilökohtaisten tietojen asianmukainen käsittely”. Hallituksen päätöksessä säädetään, että tähän sisältyy toimivalta ottaa käyttöön parannetut suojatoimet siten, että henkilötietosuojalautakunta vahvistaa tiukemmat säännöt, jotka täydentävät henkilökohtaisten tietojen suojasta annetussa laissa ja hallituksen määräyksessä vahvistettuja sääntöjä ja menevät niitä pidemmälle. Kyseisen päätöksen nojalla nämä tiukemmat säännöt ovat sitovia ja täytäntöönpanokelpoisia japanilaisten toiminnanharjoittajien osalta.
                  
               
                     (15)
                  
                  
                     Henkilötietosuojalautakunta hyväksyi henkilökohtaisten tietojen suojasta annetun lain 6 §:n ja mainitun hallituksen päätöksen perusteella 15 päivänä kesäkuuta 2018 henkilökohtaisten tietojen suojasta annetun lain nojalla täydentävät säännöt EU:sta tietosuojan riittävyyttä koskevan päätöksen perusteella siirrettyjen henkilökohtaisten tietojen käsittelyä varten, jäljempänä ’täydentävät säännöt’. Tarkoituksena on parantaa niiden henkilökohtaisten tietojen suojaa, jotka siirretään Euroopan unionista Japaniin nykyisen tietosuojan riittävyyttä koskevan päätöksen perusteella. Nämä täydentävät säännöt sitovat japanilaisia toiminnanharjoittajia oikeudellisesti, ja sekä henkilötietosuojalautakunta että tuomioistuimet voivat panna ne täytäntöön samalla tavoin kuin ne henkilökohtaisten tietojen suojasta annetun lain säännökset, joita ne täydentävät tiukemmilla ja/tai yksityiskohtaisemmilla säännöillä (12). Koska Euroopan unionista peräisin olevia henkilötietoja vastaanottavat ja/tai niitä edelleen käsittelevät japanilaiset toiminnanharjoittajat ovat oikeudellisesti velvollisia noudattamaan täydentäviä sääntöjä, niiden on varmistettava esimerkiksi teknisin keinoin (elektronisten tunnisteiden avulla) tai organisatorisin keinoin (säilyttämällä tiedot erityisessä tietokannassa), että ne voivat tunnistaa tällaiset henkilötiedot koko niiden ”elinkaaren” ajan (13). Seuraavissa jaksoissa analysoidaan kunkin täydentävän säännön sisältöä samalla kun arvioidaan sitä henkilökohtaisten tietojen suojasta annetun lain pykälää, jota säännöllä täydennetään.
                  
               
                     (16)
                  
                  
                     Toisin kuin ennen vuoden 2015 muutosta, jolloin tiettyjä aloja koskevien sääntöjen hyväksyminen kuului Japanin eri ministeriöiden toimivallan piiriin, henkilökohtaisten tietojen suojasta annetussa laissa annetaan henkilötietosuojalautakunnalle valta hyväksyä suuntaviivat, joiden ”tarkoituksena on varmistaa, että toiminnanharjoittaja toteuttaa toimia asianmukaisesti ja tehokkaasti” tietosuojasääntöjen mukaisesti. Henkilötietosuojalautakunta tarjoaa omien suuntaviivojensa kautta virallisen tulkinnan kyseisistä säännöistä ja erityisesti henkilökohtaisten tietojen suojasta annetusta laista. Henkilötietosuojalautakunnalta saatujen tietojen mukaan nämä suuntaviivat muodostavat oikeudellisen kehyksen erottamattoman osan ja niitä luetetaan yhdessä henkilökohtaisten tietojen suojasta annetun lain, hallituksen määräyksen, mainitun lautakunnan sääntöjen ja sen laatiman kysymys- ja vastaussarjan (14) kanssa. Siksi ne ”sitovat toiminnanharjoittajia”. Jos suuntaviivoissa todetaan, että toiminnanharjoittajan ”on toimittava” tai että sen ”ei pitäisi toimia” tietyllä tavalla, henkilötietosuojalautakunta katsoo, että asiaa koskevien säännösten noudattamatta jättäminen rikkoo lakia (15).
                  
               2.2   Aineellinen ja henkilökohtainen soveltamisala
         
         
                     (17)
                  
                  
                     Henkilökohtaisten tietojen suojasta annetun lain soveltamisala määräytyy henkilökohtaisia tietoja, henkilötietoja ja henkilökohtaisia tietoja käsittelevää toiminnanharjoittajaa koskevien käsitteiden mukaisesti. Lisäksi kyseisessä laissa säädetään joistakin merkittävistä soveltamisalaa koskevista poikkeuksista, ennen kaikkea anonyymisti käsiteltyjen henkilötietojen ja tiettyjen toiminnanharjoittajien erityisten tietojenkäsittelytyyppien osalta. Henkilökohtaisten tietojen suojasta annetussa laissa ei käytetä käsittelystä englannin kielen ilmaisua ”processing” vastaavaa termiä vaan siinä käytetty termi vastaa englannin kielen käsitettä ”handling”. Henkilötietosuojalautakunnalta saatujen tietojen mukaan kyseinen käsite kattaa ”kaikki toimet, jotka koskevat henkilötietoja”, mukaan lukien henkilökohtaisten tietojen hankinta, syöttäminen, kokoaminen, järjestäminen, säilyttäminen, muokkaaminen/käsittely, uusiminen, poistaminen, tulostaminen, käyttö tai luovuttaminen.
                  
               2.2.1   Henkilökohtaisten tietojen määritelmä
         
         
                     (18)
                  
                  
                     Ensinnäkin henkilökohtaisten tietojen suojasta annetun lain aineellisen soveltamisalan osalta voidaan todeta, että siinä henkilökohtaiset tiedot erotetaan henkilötiedoista ja että ainoastaan tiettyjä kyseisen lain säännöksiä sovelletaan ensiksi mainittuun tietoryhmään. Kyseisen lain 2 §:n 1 momentin mukaan ”henkilökohtaisten tietojen” käsite sisältää kaikki elävään henkilöön liittyvät tiedot, joiden perusteella henkilö voidaan tunnistaa. Määritelmässä erotetaan toisistaan kaksi henkilökohtaisten tietojen ryhmää: i) yksilölliset tunnistuskoodit ja ii) muut henkilökohtaiset tiedot, joilla henkilö voidaan tunnistaa. Viimeksi mainittuun ryhmään kuuluvat myös tiedot, joiden itsensä perusteella henkilöä ei sinänsä voida tunnistaa mutta jotka ”koottuna helposti yhteen” muiden tietojen kanssa mahdollistavat henkilön tunnistamisen. Henkilötietosuojalautakunnan suuntaviivojen (16) mukaan sitä, voidaanko tietoja pitää ”helposti yhteenkoottavina”, arvioidaan tapauskohtaisesti ottaen huomioon tietoja käsittelevän toiminnanharjoittajan tosiasiallinen tilanne (”olosuhteet”). Näin oletetaan, jos yhteenkokoamisen suorittaa (tai sen voi suorittaa) keskimääräinen (”tavanomainen”) toiminnanharjoittaja käyttäen saatavillaan olevia keinoja. Tiedot eivät ole ”helposti yhteenkoottavia” muiden tietojen kanssa, jos toiminnanharjoittajan on tarpeen toteuttaa epätavallisia tai laittomia toimia saadakseen tiedot, jotka on tarkoitus koota yhdeltä tai useammalta muulta alan toiminnanharjoittajalta.
                  
               2.2.2   Henkilötietojen määritelmä
         
         
                     (19)
                  
                  
                     Vain tietyt henkilökohtaiset tiedot kuuluvat henkilökohtaisten tietojen suojasta annetun lain mukaiseen ”henkilötietojen” käsitteen piiriin. ”Henkilötiedoilla” tarkoitetaan ”henkilökohtaisia tietoja, jotka muodostavat henkilökohtaisten tietojen tietokannan”. Toisin sanoen kyseessä on ”kollektiivinen kokoelma tietoja”, ja se koostuu sellaisista henkilökohtaisista tiedoista, jotka on ”järjestetty systemaattisesti siten, että tiettyjä henkilökohtaisia tietoja voidaan hakea tietokoneen avulla” (17), tai joiden on ”hallituksen määräyksellä vahvistettu olevan systemaattisesti järjestettyjä siten, että tiettyjä henkilökohtaisia tietoja voidaan hakea helposti”, mutta ”lukuun ei oteta tietoja, joiden on hallituksen määräyksellä vahvistettu olevan sellaisia, että riski yksilön oikeuksien ja etujen vahingoittamisesta on hyvin pieni, kun otetaan huomioon tietojen käyttötapa” (18).
                  
               
                     (20)
                  
                  
                     Tätä poikkeusta täsmennetään hallituksen määräyksen 3 §:n 1 momentissa, jonka mukaan kolmen seuraavan kumulatiivisen edellytyksen on täytyttävä: i) tietojen kollektiivisen kokoelman on oltava sellainen, että se on ”julkaistu tarkoituksena myydä se suurelle joukolle määrittelemättömiä henkilöitä eikä sen julkaiseminen ole lain tai siihen perustuvan määräyksen vastaista”; ii) sen voi ”ostaa milloin tahansa suuri joukko määrittelemättömiä henkilöitä” ja iii) siihen sisältyvät henkilötiedot on ”toimitettava alkuperäiseen tarkoitukseensa ilman, että niihin on lisätty muita elävään henkilöön liittyviä tietoja”. Henkilötietosuojalautakunnalta saatujen selvitysten mukaan tämä kapea-alainen poikkeus otettiin käyttöön tarkoituksena sulkea pois puhelin- tai vastaavat luettelot.
                  
               
                     (21)
                  
                  
                     Japanissa kerättyjen tietojen osalta ”henkilökohtaisten tietojen” ja ”henkilötietojen” välinen ero on merkityksellinen, koska henkilökohtaiset tiedot (esimerkiksi yksi yhtenäinen tietokokonaisuus, joka on kerätty ja käsitelty manuaalisesti) eivät välttämättä aina ole osa ”henkilökohtaisten tietojen tietokantaa”, minkä vuoksi niitä henkilökohtaisten tietojen suojasta annetun lain säännöksiä, jotka koskevat ainoastaan henkilötietoja, ei sovelleta (19).
                  
               
                     (22)
                  
                  
                     Tällä erolla ei sitä vastoin ole merkitystä sellaisten henkilötietojen osalta, jotka tuodaan Euroopan unionista Japaniin tietosuojan riittävyyttä koskevan päätöksen perusteella. Koska tällaiset tiedot siirretään yleensä sähköisesti (ottaen huomioon, että digiaikana tämä on tavallinen tapa vaihtaa tietoja erityisesti silloin, kun etäisyys on suuri, kuten EU:n ja Japanin tapauksessa) ja sen vuoksi niistä tulee osa tietojen tuojan sähköistä rekisterijärjestelmää, tällaiset EU:sta peräisin olevat tiedot kuuluvat henkilökohtaisten tietojen suojasta annetun lain mukaiseen ”henkilötietojen” ryhmään. Sellaisissa poikkeuksellisissa tapauksissa, että henkilötiedot siirretään EU:sta muulla tavalla (esim. paperilla), tiedot kuuluvat edelleen henkilökohtaisten tietojen suojasta annetun lain piiriin, jos tiedoista tulee siirron jälkeen osa ”kollektiivista kokoelmaa tietoja” ja kyseinen kokoelma on järjestetty siten, että yksittäisiä tietoja on helppo hakea (mainitun lain 2 §:n 4 momentin ii alakohta). Hallituksen määräyksen 3 §:n 2 momentin mukaan näin on silloin, kun tiedot on järjestetty ”tietyn säännön mukaisesti” ja tietokantaan sisältyy esimerkiksi sisällysluettelon tai hakemiston kaltaisia välineitä haun helpottamiseksi. Tämä vastaa yleisen tietosuoja-asetuksen 2 artiklan 1 kohdassa tarkoitettua ”rekisterin” määritelmää.
                  
               2.2.3   Säilytettyjen henkilötietojen määritelmä
         
         
                     (23)
                  
                  
                     Tiettyjä henkilökohtaisten tietojen suojasta annetun lain säännöksiä, erityisesti sen 27–30 §:ää, jotka koskevat yksilön oikeuksia, sovelletaan vain tiettyyn henkilötietojen ryhmään eli ”säilytettyihin henkilötietoihin”. Ne määritellään henkilökohtaisten tietojen suojasta annetun lain 2 §:n 7 kohdassa henkilötiedoiksi, jotka ovat muita tietoja kuin ne, jotka i) ”hallituksen määräyksen mukaan voivat vahingoittaa julkisia tai muita etuja, jos niiden olemassaolosta tai puuttumisesta ilmoitetaan”, tai jotka ii) ”on määrä poistaa hallituksen määräyksessä vahvistetun, enintään vuoden pituisen määräajan kuluessa”.
                  
               
                     (24)
                  
                  
                     Näistä ensimmäinen ryhmä on määritelty hallituksen määräyksen 4 §:ssä, ja se kattaa neljä erilaista poikkeusta (20). Näillä poikkeuksilla on samanlaiset tavoitteet kuin ne, jotka on lueteltu asetuksen (EU) 2016/679 23 artiklan 1 kohdassa, kuten rekisteröidyn (”datasubjekti” (principal) henkilökohtaisten tietojen suojasta annetun lain terminologiassa) suoja ja muille kuuluvat vapaudet, kansallinen turvallisuus, yleinen turvallisuus, lainvalvontatarkoitus tai muut yleisen edun mukaiset tärkeät tavoitteet. Lisäksi hallituksen määräyksen 4 §:n 1 momentin i–iv alakohdan sanamuodosta johtuu, että niiden soveltaminen edellyttää aina tiettyä riskiä, joka kohdistuu johonkin tärkeään etuun (21).
                  
               
                     (25)
                  
                  
                     Toinen ryhmä on määritelty tarkemmin hallituksen määräyksen 5 §:ssä. Luettuna yhdessä henkilökohtaisten tietojen suojasta annetun lain 2 §:n 7 momentin kanssa sillä vapautetaan säilytettyjen henkilötietojen käsitteen ja näin ollen kyseisen lain mukaisten yksilön oikeuksien soveltamisalasta sellaiset henkilötiedot, jotka on ”määrä poistaa” kuuden kuukauden kuluessa. Henkilötietosuojalautakunnan mukaan tämän poikkeuksen tarkoituksena on kannustaa toiminnanharjoittajia säilyttämään ja käsittelemään tietoja mahdollisimman lyhyen ajan. Tämä tarkoittaisi kuitenkin sitä, että EU:n rekisteröidyt menettäisivät mahdollisuuden hyötyä tärkeistä oikeuksista vain sen seikan perusteella kuinka kauan asianomainen toiminnanharjoittaja säilyttää heidän tietojaan.
                  
               
                     (26)
                  
                  
                     Tämän ongelman ratkaisemiseksi täydentävässä säännössä 2 edellytetään, että Euroopan unionista siirretyt henkilötiedot ”käsitellään lain 2 §:n 7 momentissa tarkoitettuina säilytettyinä henkilötietoina, riippumatta ajasta, jonka kuluessa tiedot on määrä poistaa”. Tämän vuoksi säilyttämisaika ei vaikuta EU:n rekisteröidyille kuuluviin oikeuksiin.
                  
               2.2.4   Anonyymisti käsiteltyjen henkilökohtaisten tietojen määritelmä
         
         
                     (27)
                  
                  
                     Anonyymisti käsiteltyihin henkilökohtaisiin tietoihin, sellaisina kuin ne on määritelty henkilökohtaisten tietojen suojasta annetun lain 2 §:n 9 momentissa, sovellettavista vaatimuksista säädetään lain 4 luvun 2 jaksossa (”Anonyymisti käsiteltyjä tietoja käsittelevän toiminnanharjoittajan tehtävät”). Näihin tietoihin ei kuitenkaan sovelleta mainitun lain IV luvun 1 jakson säännöksiä. Näissä pykälissä säädetään tietosuojaa koskevista suojatoimista ja oikeuksista, joita sovelletaan kyseisen lain nojalla suoritettavaan henkilötietojen käsittelyyn. Vaikka ”anonyymisti käsiteltyihin henkilökohtaisiin tietoihin” ei sovelleta ”tavanomaisia” tietosuojasääntöjä (niitä, jotka on määritelty henkilökohtaisten tietojen suojasta annetun lain IV luvun 1 jaksossa ja 42 §:ssä), ne kuuluvat mainitun lain ja erityisesti sen 36–39 §:n soveltamisalaan.
                  
               
                     (28)
                  
                  
                     Mainitun lain 2 §:n 9 momentin mukaan ”anonyymisti käsitellyt henkilökohtaiset tiedot” ovat tietoja, jotka koskevat yksilöä ja jotka on ”tuotettu henkilökohtaisten tietojen käsittelystä” kyseisessä laissa säädettyjen (36 §:n 1 momentti) ja henkilötietosuojalautakunnan säännöissä (19 kohta) määritettyjen toimenpiteiden avulla niin, että on mahdotonta tunnistaa yksittäistä henkilöä tai palauttaa henkilökohtaisia tietoja.
                  
               
                     (29)
                  
                  
                     Näistä säännöksistä seuraa, kuten myös henkilötietosuojalautakunta on vahvistanut, että henkilökohtaisten tietojen ”anonymisoinnin” ei tarvitse olla teknisesti peruuttamatonta. Henkilökohtaisten tietojen suojasta annetun lain 36 §:n 2 momentin mukaan ”anonyymisti käsiteltyjä henkilökohtaisia tietoja” käsittelevien toiminnanharjoittajan tarvitsee ainoastaan estää uudelleentunnistaminen toteuttamalla toimenpiteitä, joilla varmistetaan ”anonyymisti käsiteltyjen tietojen tuottamisessa käytetyistä henkilökohtaisista tiedoista poistettujen kuvausten ynnä muiden sekä tunnistuskoodien samoin kuin käsittelytapaan liittyvien tietojen” turvallisuus.
                  
               
                     (30)
                  
                  
                     Kun otetaan huomioon, että ”anonyymisti käsitellyt henkilökohtaiset tiedot”, sellaisina kuin ne on määritelty henkilökohtaisten tietojen suojasta annetussa laissa, sisältävät sellaisia tietoja, joiden perusteella yksilön tunnistaminen uudelleen on yhä mahdollista, tämä voisi tarkoittaa, että Euroopan unionista siirretyt henkilötiedot voisivat menettää osan saatavilla olevasta suojasta prosessissa, jota asetuksen (EU) 2016/679 mukaan pidettäisiin pikemminkin ”pseudonymisoinnin” muotona kuin tietojen ”anonymisointina” (eikä sen vuoksi henkilötietojen luonne muuttuisi).
                  
               
                     (31)
                  
                  
                     Tämän tilanteen korjaamiseksi täydentävissä säännöissä on lisävaatimuksia, jotka koskevat ainoastaan Euroopan unionista tämän päätöksen nojalla siirrettyjä henkilötietoja. Täydentävän säännön 5 mukaan tällaisia henkilökohtaisia tietoja voidaan pitää henkilökohtaisten tietojen suojasta annetussa laissa tarkoitettuina ”anonyymisti käsiteltyinä henkilökohtaisina tietoina” ainoastaan, ”jos henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja toteuttaa toimenpiteitä, joiden seurauksena kukaan ei voi tunnistaa kyseessä olevaa henkilöä ja tämä on peruuttamatonta, myös poistamalla käsittelymenetelmää koskevat ja muut siihen liittyvät tiedot”. Täydentävissä säännöissä olevan määritelmän mukaan nämä viimeksi mainitut tiedot liittyvät sellaisiin kuvauksiin ja yksilöllisiin tunnistuskoodeihin, jotka on poistettu ”anonyymisti käsiteltyjen henkilökohtaisten tietojen” tuottamiseen käytetyistä henkilökohtaisista tiedoista. Lisäksi ne liittyvät käsittelymenetelmään, jota on sovellettu mainittujen kuvausten ja yksilöllisten tunnistuskoodien poistamisessa. Toisin sanoen täydentävissä säännöissä edellytetään, että toiminnanharjoittaja, joka tuottaa ”anonyymisti käsiteltyjä henkilökohtaisia tietoja”, tuhoaa ”avaimen”, joka mahdollistaa tietojen tunnistamisen uudelleen. Tämä tarkoittaa, että Euroopan unionista peräisin olevat henkilötiedot kuuluvat ”anonyymisti käsiteltyjä henkilökohtaisia tietoja” koskevien henkilökohtaisten tietojen suojasta annetun lain säännösten soveltamisalaan vain, jos kyseiset tiedot katsottaisiin anonyymeiksi myös asetuksen (EU) 2016/679 nojalla (22).
                  
               2.2.5   Henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan määritelmä
         
         
                     (32)
                  
                  
                     Ainoastaan henkilökohtaisia tietoja käsittelevät toiminnanharjoittajat kuuluvat henkilökohtaisten tietojen suojasta annetun lain henkilölliseen soveltamisalaan. Henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja määritellään henkilökohtaisten tietojen suojasta annetun lain 2 §:n 5 momentissa ”henkilöksi, joka tarjoaa muun muassa henkilökohtaisten tietojen tietopankin käytettäväksi liiketoiminnassa”, lukuun ottamatta valtion virastoja ja hallintovirastoja sekä keskus- että paikallistasolla.
                  
               
                     (33)
                  
                  
                     Henkilötietosuojalautakunnan suuntaviivojen mukaan ”liiketoiminnalla” tarkoitetaan kaikkea ”toimintaa, jonka tarkoituksena on harjoittaa toistuvasti ja jatkuvasti, tietyn tavoitteen saavuttamiseksi, sosiaalisesti tunnustetun yrityksen toimintaa, riippumatta siitä, onko kyse voiton tavoittelusta tai ei. Organisaatiot, joilla ei ole oikeushenkilöllisyyttä (kuten de facto -yhdistykset), tai yksityishenkilöt katsotaan henkilökohtaisia tietoja käsitteleväksi toiminnanharjoittajaksi, jos ne tuottavat henkilökohtaisten tietojen tietokannan liiketoimintaansa varten (tai käyttävät sitä liiketoiminnassaan) (23). Tämän vuoksi henkilökohtaisten tietojen suojasta annetun lain mukainen ”liiketoiminnan” käsite on erittäin laaja, sillä siihen sisältyvät kaikentyyppisten organisaatioiden ja yksityishenkilöiden toteuttamat voittoa tavoittelevat ja voittoa tavoittelemattomat toiminnot. Lisäksi ilmaisu ”käytettäväksi liiketoiminnassa” kattaa myös henkilökohtaiset tiedot, joita käytetään vain sisäisesti, ei toiminnanharjoittajan (ulkoisissa) kaupallisissa suhteissa, esimerkiksi kun käsitellään työntekijöiden tietoja.
                  
               
                     (34)
                  
                  
                     Henkilökohtaisten tietojen suojasta annetussa laissa säädettyjen suojatoimien edunsaajien osalta laissa ei tehdä eroa henkilön kansalaisuuden, asuinpaikan tai sijaintipaikan perusteella. Sama koskee myös henkilöiden mahdollisuuksia hakea hyvitystä henkilötietosuojalautakunnalta tai tuomioistuimelta.
                  
               2.2.6   Rekisterinpitäjän ja henkilötietojen käsittelijän käsitteet
         
         
                     (35)
                  
                  
                     Henkilökohtaisten tietojen suojasta annetussa laissa ei tehdä eroa rekisterinpitäjille ja henkilötietojen käsittelijöille asetettujen velvoitteiden välillä. Tämän eron puuttuminen ei vaikuta tietosuojan tasoon, koska kaikki henkilökohtaisia tietoja käsittelevät toiminnanharjoittajat kuuluvat lain kaikkien säännösten soveltamisalaan. Henkilökohtaisia tietoja käsittelevään toiminnanharjoittajaan, joka siirtää henkilötietojen käsittelyn toimeksisaajalle (joka vastaa yleisen tietosuoja-asetuksen mukaista henkilötietojen käsittelijää), sovelletaan edelleen henkilökohtaisten tietojen suojasta annetun lain ja täydentävien sääntöjen mukaisia velvoitteita sen käsiteltäväksi annettujen tietojen osalta. Lisäksi mainitun lain 22 §:n mukaan toiminnanharjoittajan on ”harjoitettava riittävää ja asianmukaista valvontaa” toimeksisaajan suhteen. Kuten henkilötietosuojalautakunta on vahvistanut, toimeksisaajaa puolestaan sitovat kaikki henkilökohtaisten tietojen suojasta annetun lain ja täydentävien sääntöjen mukaiset velvoitteet.
                  
               2.2.7   Alakohtaiset poikkeukset
         
         
                     (36)
                  
                  
                     Henkilökohtaisten tietojen suojasta annetun lain 76 §:ssä suljetaan tietyntyyppinen tietojenkäsittely lain IV luvun soveltamisalan ulkopuolelle. Tässä luvussa vahvistetaan keskeiset tietosuojasäännökset (perusperiaatteet, toiminnanharjoittajia koskevat velvoitteet, yksilön oikeudet, henkilötietosuojalautakunnan harjoittama valvonta). Henkilökohtaisten tietojen suojasta annetun lain 76 §:n mukaisen alakohtaisen poikkeuksen soveltamisalaan kuuluva käsittely ei myöskään kuulu henkilötietosuojalautakunnan täytäntöönpanovaltuuksien piiriin mainitun lain 43 §:n 2 momentin mukaisesti (24).
                  
               
                     (37)
                  
                  
                     Kyseiset tietojenkäsittelytyypit, joihin sovelletaan henkilökohtaisten tietojen suojasta annetun lain 76 §:n mukaista alakohtaista poikkeusta, määritellään kaksinkertaisella arviointiperusteella, joka perustuu henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan tyyppiin ja käsittelyn tarkoitukseen. Poikkeusta sovelletaan tarkemmin sanottuna seuraaviin: i) yleisradiotoiminnan harjoittajat, sanomalehtien julkaisijat, viestintätoimistot tai muut uutistoimistot (mukaan lukien henkilöt, jotka harjoittavat lehdistötoimintaa liiketoimintanaan) siinä määrin kuin ne käsittelevät henkilökohtaisia tietoja lehdistötarkoituksessa; ii) henkilöt, jotka kirjoittavat ammatikseen, siltä osin kuin tähän liittyy henkilökohtaisia tietoja; iii) yliopistot ja muut akateemisiin tutkimuksiin liittyvät organisaatiot tai ryhmät tai kuka tahansa tällaiseen organisaatioon kuuluva henkilö, siinä määrin kuin ne käsittelevät henkilökohtaisia tietoja akateemisia tutkimuksia varten; iv) uskonnolliset elimet siinä määrin kuin ne käsittelevät henkilökohtaisia tietoja uskonnollisen toiminnan harjoittamista varten (kaikki siihen liittyvät toiminnot mukaan luettuina); ja v) poliittiset elimet siinä määrin kuin ne käsittelevät henkilökohtaisia tietoja poliittisen toiminnan harjoittamista varten (kaikki siihen liittyvät toiminnot mukaan luettuina). Muunlaisten henkilökohtaisia tietoja käsittelevien toiminnanharjoittajien suorittama henkilökohtaisten tietojen käsittely jotain 76 §:ssä lueteltua tarkoitusta varten samoin kuin jonkin luettelossa mainitun henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan suorittama henkilökohtaisten tietojen käsittely muuta, esimerkiksi työhön liittyvää, tarkoitusta varten kuuluu edelleen IV luvun säännösten soveltamisalaan.
                  
               
                     (38)
                  
                  
                     Jotta voidaan varmistaa Euroopan unionista Japanissa sijaitseville toiminnanharjoittajille siirrettyjen henkilötietojen suojan riittävä taso, tämän päätöksen olisi katettava ainoastaan henkilökohtaisten tietojen suojasta annetun lain IV luvun soveltamisalaan kuuluvien henkilökohtaisten tietojen käsittely, toisin sanoen käsittely, jonka suorittaa henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja, siinä määrin kuin käsittelytilanne ei vastaa jotain alakohtaista poikkeusta. Sen soveltamisala olisi sen vuoksi mukautettava henkilökohtaisten tietojen suojasta annetun lain soveltamisalaan. Henkilötietosuojalautakunnalta saatujen tietojen mukaan silloin, kun tämän päätöksen soveltamisalaan kuuluva henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja myöhemmin muuttaisi käyttötarkoitusta (siinä määrin kuin se on sallittua) ja kuuluisi sen vuoksi jonkin henkilökohtaisten tietojen suojasta annetun lain 76 §:n mukaisen alakohtaisen poikkeuksen piiriin, tällainen muutos katsottaisiin kaikissa tapauksissa kansainväliseksi siirroksi (koska kyseisissä tapauksissa henkilökohtaisten tietojen suojasta annetun lain IV luku ei enää kattaisi henkilökohtaisten tietojen käsittelyä vaan kyseiset tapaukset jäisivät sen soveltamisalan ulkopuolelle). Sama pätisi tapauksessa, jossa henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja antaa henkilökohtaisia tietoja mainitun lain 76 §:n soveltamisalaan kuuluvalle yhteisölle käytettäväksi johonkin kyseisessä säännöksessä mainittuun käsittelytarkoitukseen. Euroopan unionista siirrettyjen henkilötietojen osalta kyseessä olisi näin ollen edelleensiirto, johon sovelletaan asiaankuuluvia suojatoimia (erityisesti niitä, jotka mainitaan henkilökohtaisten tietojen suojasta annetun lain 24 §:ssä ja täydentävässä säännössä 4). Jos henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja tukeutuu rekisteröidyn suostumukseen (25), sen olisi annettava tälle kaikki tarvittavat tiedot, mukaan lukien se, että henkilökohtaiset tiedot eivät enää kuulu henkilökohtaisten tietojen suojasta annetun lain piiriin.
                  
               2.3   Suojatoimet, oikeudet ja velvollisuudet
         
         2.3.1   Käyttötarkoituksen rajoittaminen
         
         
                     (39)
                  
                  
                     Henkilötietoja olisi käsiteltävä erityistä tarkoitusta varten ja käytettävä myöhemmin vain siltä osin kuin se ei ole ristiriidassa kyseisen tarkoituksen kanssa. Tämä tietosuojaperiaate taataan henkilökohtaisten tietojen suojasta annetun lain 15 ja 16 §:ssä.
                  
               
                     (40)
                  
                  
                     Henkilökohtaisten tietojen suojasta annettu laki perustuu periaatteeseen, jonka mukaan toiminnanharjoittajan on määritettävä käyttötarkoitus ”mahdollisimman tarkkaan” (15 §:n 1 momentti), ja kyseinen tarkoitus sitoo sitä myöhemmin kun se käsittelee tietoja.
                  
               
                     (41)
                  
                  
                     Tältä osin henkilökohtaisten tietojen suojasta annetun lain 15 §:n 2 momentissa säädetään, että henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja ei saa muuttaa alkuperäistä tarkoitusta ”siten, että se ylittää soveltamisalan, jonka todetaan vastaavan kohtuullisesti muutosta edeltänyttä käyttötarkoitusta”, ja kyseisen tarkoituksen on henkilötietosuojalautakunnan suuntaviivoissa tulkittu vastaavan tarkoitusta, jota rekisteröity voi objektiivisesti katsoen odottaa noudatettavan ”tavanomaisten sosiaalisten normien” perusteella (26).
                  
               
                     (42)
                  
                  
                     Lisäksi henkilökohtaisten tietojen suojasta annetun lain 16 §:n 1 momentin mukaan henkilökohtaisia tietoja käsittelevät toiminnanharjoittajat eivät saa käsitellä henkilökohtaisia tietoja siten, että käsittely ylittää 15 §:ssä määritellyn ”käyttötarkoituksen saavuttamiseksi tarvittavan laajuuden”, ilman rekisteröidyn ennakkosuostumusta, ellei kyse ole jostain 16 §:n 3 momentissa säädetystä poikkeuksesta (27).
                  
               
                     (43)
                  
                  
                     Toiselta toiminnanharjoittajalta hankittujen henkilökohtaisten tietojen osalta henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja on periaatteessa vapaa määrittämään uuden käyttötarkoituksen (28). Sen varmistamiseksi, että Euroopan unionista tehdyn siirron yhteydessä tällaista vastaanottajaa sitoo tarkoitus, jota varten tiedot on siirretty, täydentävässä säännössä 3 edellytetään, että tapauksissa, ”joissa [henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja] vastaanottaa EU:sta tietosuojan riittävyyttä koskevan päätöksen nojalla henkilötietoja” tai joissa kyseinen toiminnanharjoittaja ”vastaanottaa toiselta [henkilökohtaisia tietoja käsittelevältä toiminnanharjoittajalta] henkilötietoja, jotka on aiemmin siirretty EU:sta tietosuojan riittävyyttä koskevan päätöksen perusteella” (tietojen jakaminen edelleen), vastaanottajan on ”määriteltävä kyseisten henkilötietojen käyttötarkoitus siten, että se sijoittuu sen käyttötarkoituksen sisälle, jota varten tiedot alun perin tai myöhemmin vastaanotettiin”. Toisin sanoen tällä säännöllä varmistetaan, että siirtotilanteessa asetuksen (EU) 2016/679 mukaisesti ilmoitettua tarkoitusta on edelleen sovellettava tietojen käsittelyssä ja että tarkoituksen muuttaminen missä tahansa Japanissa toteutettavan käsittelyketjun vaiheessa edellyttää EU:n rekisteröidyn suostumusta. Suostumuksen saaminen edellyttää, että henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja ottaa yhteyttä rekisteröityyn, mutta jos tämä ei ole mahdollista, se tarkoittaa yksinkertaisesti sitä, että alkuperäinen tarkoitus on säilytettävä.
                  
               2.3.2   Tietojenkäsittelyn laillisuus ja oikeudenmukaisuus
         
         
                     (44)
                  
                  
                     Johdanto-osan 43 kappaleessa tarkoitetulla lisäsuojalla on sitäkin enemmän merkitystä siitä syystä, että Japanin järjestelmässä varmistetaan nimenomaan käyttötarkoituksen rajoittamista koskevalla periaatteella myös henkilötietojen käsittelyn lainmukaisuus ja oikeudenmukaisuus.
                  
               
                     (45)
                  
                  
                     Kun henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja kerää henkilökohtaisia tietoja, sen on henkilökohtaisten tietojen suojasta annetun lain mukaan täsmennettävä yksityiskohtaisesti (29), mihin tarkoitukseen tietoja on käytetään, ja ilmoitettava rekisteröidylle (tai tiedotettava yleisölle) viipymättä käyttötarkoituksesta (30). Lisäksi henkilökohtaisten tietojen suojasta annetun lain 17 §:ssä säädetään, että henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja ei saa hankkia henkilökohtaisia tietoja vilpillisesti tai muulla epäasiallisella tavalla. Tiettyjen tietoryhmien, kuten erityisellä huolella käsiteltävien henkilökohtaisten tietojen, hankinta edellyttää rekisteröidyn suostumusta (henkilökohtaisten tietojen suojasta annetun lain 17 §:n 2 momentti).
                  
               
                     (46)
                  
                  
                     Kuten johdanto-osan 41 ja 42 kappaleessa todetaan, henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja ei saa käsitellä henkilökohtaisia tietoja muihin tarkoituksiin, paitsi jos rekisteröity antaa suostumuksensa tällaiseen käsittelyyn tai jos sovelletaan jotakin henkilökohtaisten tietojen suojasta annetun lain 16 §:n 3 momentin mukaista poikkeusta.
                  
               
                     (47)
                  
                  
                     Kun on kyse henkilökohtaisten tietojen antamisesta edelleen kolmannelle osapuolelle (31), henkilökohtaisten tietojen suojasta annetun lain 23 §:n 1 momentissa rajoitetaan tällainen luovuttaminen erityistapauksiin, jolloin yleensä tarvitaan rekisteröidyn ennakkosuostumus (32). Henkilökohtaisten tietojen suojasta annetun lain 23 §:n 2, 3 ja 4 momentissa säädetään suostumuksen saamista koskevaan vaatimukseen tehtävistä poikkeuksista. Näitä poikkeuksia sovelletaan kuitenkin ainoastaan muihin kuin arkaluonteisiin tietoihin ja edellytyksenä on, että henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja ilmoittaa asianomaisille henkilöille etukäteen aikomuksestaan luovuttaa heidän henkilökohtaisia tietojaan kolmannelle osapuolelle ja mahdollisuudesta vastustaa näiden tietojen luovuttamista (33).
                  
               
                     (48)
                  
                  
                     Euroopan unionista tehtävien siirtojen osalta henkilötiedot on väistämättä ensin kerätty ja käsitelty EU:ssa asetuksen (EU) 2016/679 mukaisesti. Tähän liittyy aina toisaalta keräämistä ja käsittelyä, myös Euroopan unionista Japaniin tehtävien siirtojen osalta, jonkin asetuksen 6 artiklan 1 kohdassa lueteltujen oikeudellisten perusteiden perusteella, ja toisaalta keräämistä tiettyä nimenomaista ja laillista tarkoitusta varten samoin kuin kielto käsitellä tietoja myöhemmin, myös siirron avulla, tavalla, joka on yhteensopimaton kyseisen tarkoituksen kanssa, kuten asetuksen 5 artiklan 1 kohdan b alakohdassa ja 6 artiklan 4 kohdassa säädetään.
                  
               
                     (49)
                  
                  
                     Siirron jälkeen tiedot vastaanottavan toiminnanharjoittajan on täydentävän säännön 3 mukaan ”vahvistettava” siirron tarkoitus (toisin sanoen asetuksen (EU) 2016/679 mukaisesti määritetty tarkoitus) ja käsiteltävä näitä tietoja myöhemmin tämän tarkoituksen mukaisesti (34). Tämä tarkoittaa, että asetuksen mukaisesti määritetty tarkoitus sitoo henkilötietojen alkuperäistä vastaanottajaa Japanissa samoin kuin mitä tahansa kyseisten tietojen myöhempää vastaanottajaa, toimeksisaaja mukaan luettuna.
                  
               
                     (50)
                  
                  
                     Jos henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja haluaisi muuttaa aiemmin asetuksen (EU) 2016/679 mukaisesti määritettyä tarkoitusta, henkilökohtaisten tietojen suojasta annetun lain 16 §:n 1 momentin mukaan sen olisi periaatteessa hankittava tähän rekisteröidyn suostumus. Ilman tätä suostumusta tietojen käsittely, joka ylittää sen, mikä on tarpeen käyttötarkoituksen saavuttamiseksi, olisi 16 §:n 1 momentin vastaista, minkä vuoksi henkilötietosuojalautakunta ja tuomioistuimet voisivat panna kyseisen säännöksen täytäntöön.
                  
               
                     (51)
                  
                  
                     Tämän vuoksi, kun otetaan huomioon, että asetuksen (EU) 2016/679 mukaan siirto edellyttää voimassa olevaa oikeusperustaa ja erityistä tarkoitusta, jotka on otettu huomioon henkilökohtaisten tietojen suojasta annetun lain mukaisesti ”vahvistetussa” käyttötarkoituksessa, henkilökohtaisten tietojen suojasta annetun lain asiaankuuluvien säännösten ja täydentävän säännön 3 yhdistelmällä varmistetaan, että EU:n tietojen käsittely on Japanissa jatkuvasti lainmukaista.
                  
               2.3.3   Tietojen täsmällisyys ja minimointi
         
         
                     (52)
                  
                  
                     Tietojen olisi oltava täsmällisiä, ja ne olisi tarvittaessa pidettävä ajan tasalla. Tietojen on oltava myös asianmukaisia ja olennaisia, eivätkä ne saa olla liian laajoja siihen tarkoitukseen nähden, jota varten niitä käsitellään.
                  
               
                     (53)
                  
                  
                     Nämä periaatteet on vahvistettu Japanin lainsäädännössä henkilökohtaisten tietojen suojasta annetun lain 16 §:n 1 momentissa. Siinä kielletään henkilökohtaisten tietojen käsittely, joka ylittää ”käyttötarkoituksen saavuttamiseksi tarvittavan laajuuden”. Kuten henkilötietosuojalautakunta on selittänyt, tämä ei pelkästään sulje pois tietojenkäyttöä, joka ei ole asianmukaista tai joka on liiallista (eli ylittää käyttötarkoituksen saavuttamiseksi tarvittavan laajuuden), vaan siihen sisältyy myös kielto käsitellä tietoja, joilla ei ole merkitystä käyttötarkoituksen saavuttamisen kannalta.
                  
               
                     (54)
                  
                  
                     Henkilökohtaisten tietojen suojasta annetun lain 19 §:ssä edellytetään tietojen täsmällisyyden ja ajan tasalla pitämisen osalta, että henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja ”pyrkii säilyttämään henkilötiedot täsmällisinä ja ajantasaisina siinä määrin kuin se on tarpeen käyttötarkoituksen saavuttamiseksi”. Tämä säännös olisi luettava yhdessä henkilökohtaisten tietojen suojasta annetun lain 16 §:n 1 momentin kanssa: jos henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja ei täytä määrättyjä täsmällisyysvaatimuksia, henkilötietosuojalautakunnalta saatujen selitysten mukaan henkilökohtaisten tietojen käsittelyn ei katsota saavuttavan käyttötarkoitusta, mistä syystä käsittelystä tulee 16 §:n 1 momentin mukaisesti lainvastaista.
                  
               2.3.4   Säilytystä koskevat rajoitukset
         
         
                     (55)
                  
                  
                     Tiedot olisi periaatteessa säilytettävä ainoastaan niin kauan kuin on tarpeen niiden käsittelytarkoituksen kannalta.
                  
               
                     (56)
                  
                  
                     Henkilökohtaisten tietojen suojasta annetun lain 19 §:n mukaan henkilökohtaisia tietoja käsittelevien toiminnanharjoittajien on ”pyrittävä […] poistamaan henkilötiedot viipymättä silloin, kun tällaisesta käytöstä on tullut tarpeetonta”. Tämä säännös olisi luettava yhdessä mainitun lain 16 §:n 1 momentin kanssa. Siinä kielletään henkilökohtaisten tietojen käsittely, joka ylittää ”käyttötarkoituksen saavuttamiseksi tarvittavan laajuuden”. Kun käyttötarkoitus on saavutettu, henkilökohtaisten tietojen käsittelyä ei voida enää pitää tarpeellisena ja eikä sitä saa enää jatkaa (ellei henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja saa rekisteröidyn suostumusta siihen).
                  
               2.3.5   Tietoturva
         
         
                     (57)
                  
                  
                     Henkilötietoja olisi käsiteltävä tavalla, jolla varmistetaan niiden turvallisuus, mukaan lukien suojaaminen luvattomalta tai laittomalta käsittelyltä sekä vahingossa tapahtuvalta häviämiseltä, tuhoutumiselta tai vahingoittumiselta. Tätä varten toiminnanharjoittajien olisi toteutettava asianmukaisia teknisiä tai organisatorisia toimenpiteitä henkilötietojen suojaamiseksi mahdollisilta uhkilta. Näitä toimenpiteitä olisi arvioitava ottaen huomioon alan uusin tekniikka ja siihen liittyvät kustannukset.
                  
               
                     (58)
                  
                  
                     Tämä periaate on pantu täytäntöön Japanin lainsäädännössä henkilökohtaisten tietojen suojasta annetun lain 20 §:llä, jossa säädetään, että henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan on ”toteutettava tarpeellisia ja asianmukaisia toimia henkilötietojen turvallisuuden valvomiseksi, mukaan lukien käsittelemiensä henkilötietojen vuotamisen, häviämisen tai vahingoittumisen estäminen”. Henkilötietosuojalautakunnan suuntaviivoissa selitetään toteutettavia toimenpiteitä, mukaan lukien menetelmät toimintaperiaatteiden, tietojen käsittelyä koskevien sääntöjen ja erilaisten ”valvontatoimien” luomiseksi (mukaan lukien organisatorinen turvallisuus samoin kuin fyysinen ja teknologinen turvallisuus sekä ihmisiä koskeva turvallisuus) (35). Lisäksi henkilötietosuojalautakunnan julkaisemissa suuntaviivoissa ja asiaa koskevassa tiedonannossa (Lisäys 8, ”Toteutettavien tietoturvatoimenpiteiden sisältö”) annetaan tarkempia tietoja sellaisia turvallisuushäiriöitä koskevista toimenpiteistä, joihin liittyy esimerkiksi henkilökohtaisten tietojen vuotaminen, osana tietoturvatoimenpiteitä, jotka henkilökohtaisia tietoja käsittelevien toiminnanharjoittajien on toteutettava (36).
                  
               
                     (59)
                  
                  
                     Lisäksi henkilökohtaisten tietojen suojasta annetun lain 20 ja 21 §:n mukaan on varmistettava ”tarvittava ja asianmukainen valvonta” tietoturvasta huolehtimiseksi silloin, kun työntekijät tai alihankkijat käsittelevät henkilökohtaisia tietoja. Henkilökohtaisten tietojen suojasta annetun lain 83 §:ssä säädetään, että tahallisesta henkilökohtaisten tietojen vuotamisesta tai varastamisesta rangaistuksena on enintään yksi vuosi vankeutta.
                  
               2.3.6   Avoimuus
         
         
                     (60)
                  
                  
                     Rekisteröidyille olisi ilmoitettava heidän henkilötietojensa käsittelyn pääkohdat.
                  
               
                     (61)
                  
                  
                     Henkilökohtaisten tietojen suojasta annetun lain 18 §:n 1 momentissa edellytetään, että henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja asettaa rekisteröidyn saataville hankittujen henkilökohtaisten tietojen käyttötarkoitusta koskevat tiedot, lukuun ottamatta ”tapauksia, joissa käyttötarkoituksesta on tiedotettu ennakkoon yleisölle”. Sama velvoite koskee tarkoituksen sallittua muuttamista (18 §:n 3 momentti). Näin varmistetaan myös, että rekisteröidylle ilmoitetaan hänen tietojensa keräämisestä. Vaikka henkilökohtaisten tietojen suojasta annetussa laissa ei yleensä edellytetä, että henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja ilmoittaa rekisteröidylle keräysvaiheessa tietojen oletetuista vastaanottajista, kyseinen ilmoitus on välttämätön edellytys tietojen luovuttamiseksi myöhemmin 23 §:n 2 momentin perusteella kolmannelle osapuolelle (vastaanottaja), jos tämä tehdään ilman rekisteröidyn ennakkosuostumusta.
                  
               
                     (62)
                  
                  
                     ”Säilytettyjen henkilötietojen” osalta henkilökohtaisten tietojen suojasta annetun lain 27 §:ssä säädetään, että henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan on ilmoitettava rekisteröidylle henkilöllisyytensä (yhteystiedot), tietojen käyttötarkoitus ja menettelyt, joilla vastataan rekisteröidyn yksilön oikeuksia koskevaan pyyntöön henkilökohtaisten tietojen suojasta annetun lain 28, 29 ja 30 §:n mukaisesti.
                  
               
                     (63)
                  
                  
                     Samoin kuin täydentävissä säännöissä Euroopan unionista siirretty henkilötiedot katsotaan ”säilytetyiksi henkilötiedoiksi” riippumatta sen säilytysajasta (jollei niihin sovelleta poikkeuksia), ja niihin sovelletaan aina edellä mainittujen säännösten avoimuutta koskevia vaatimuksia.
                  
               
                     (64)
                  
                  
                     Sekä henkilökohtaisten tietojen suojasta annetun lain 18 §:n vaatimuksiin että velvollisuuteen ilmoittaa kyseisen lain 27 §:n mukaisesti käyttötarkoituksesta sovelletaan samoja poikkeuksia lähinnä yleisen edun sekä rekisteröidyn, kolmansien osapuolten ja rekisterinpitäjän oikeuksien ja etujen suojelemisen perusteella (37). Henkilötietosuojalautakunnan suuntaviivoissa esitetyn tulkinnan mukaan näitä poikkeuksia sovelletaan tietyissä erityistilanteissa, kuten silloin, kun tieto käyttötarkoituksesta uhkaa heikentää toiminnanharjoittajan tiettyjen etujensa turvaamiseksi toteuttamia laillisia toimenpiteitä (esimerkiksi petosten, teollisuusvakoilun ja sabotaasin torjunta).
                  
               2.3.7   Erityiset tietoryhmät
         
         
                     (65)
                  
                  
                     ”Tiettyjä tietoryhmiä” käsiteltäessä olisi sovellettava erityisiä suojatoimia.
                  
               
                     (66)
                  
                  
                     ”Erityisellä huolella käsiteltävät henkilökohtaiset tiedot” on määritelty henkilökohtaisten tietojen suojasta annetun lain 2 §:n 3 momentissa. Kyseisessä säännöksessä viitataan ”henkilökohtaisiin tietoihin, joihin sisältyvät datasubjektin rotu, uskonto, sosiaalinen asema, terveydentila, rikosrekisteri, rikoksen aiheuttamat vahingot tai muut kuvaukset, jotka ovat hallituksen määräyksen mukaan niitä, joiden käsittely edellyttää erityistä huolellisuutta, jotta datasubjektiin ei kohdistu epäoikeudenmukaista syrjintää, vahinkoa tai muuta haittaa”. Nämä ryhmät vastaavat suurelta osin asetuksen (EU) 2016/679 9 ja 10 artiklassa esitettyjä arkaluonteisten tietojen luetteloa. Erityisesti ”terveydentila” vastaa terveystietoja, kun taas ”rikosrekisteri ja rikoksen aiheuttamat vahingot” ovat olennaisilta osin samat kuin asetuksen (EU) 2016/679 10 artiklassa tarkoitetut ryhmät. Lisäksi henkilökohtaisten tietojen suojasta annetun lain 2 §:n 3 momentissa tarkoitetuista ryhmistä on lisätulkintaa hallituksen määräyksessä ja henkilötietosuojalautakunnan suuntaviivoissa. Henkilötietosuojalautakunnan suuntaviivojen 2.3 jakson 8 kohdan mukaan hallituksen määräyksen 2 §:n ii ja iii kohdassa esitettyjä terveydentilaa koskevien tietojen alaryhmiä tulkitaan siten, että ne kattavat geneettiset ja biometriset tiedot. Luettelossa ei ole erityistä mainintaa ”etnisestä alkuperästä” ja ”poliittisesta mielipiteestä”, mutta siinä viitataan ”rotuun” ja ”uskontoon”. Kuten henkilötietosuojalautakunnan suuntaviivojen 2.3 jakson 1 ja 2 kohdassa todetaan, viittaus ”rotuun” kattaa ”etniset siteet tai siteet tiettyyn osaan maailmaa”, kun taas ”uskonto” käsittää sekä uskonnolliset että poliittiset näkemykset.
                  
               
                     (67)
                  
                  
                     Kuten säännöksen sanamuodosta käy selvästi ilmi, kyseessä ei ole tyhjentävä luettelo, koska siihen voidaan lisätä tietoryhmiä, jos niiden käsittely aiheuttaa datasubjektille riskin ”epäoikeudenmukaisesta syrjinnästä, vahingosta tai muista haitoista”.
                  
               
                     (68)
                  
                  
                     Vaikka ”arkaluonteisten” tietojen käsite on luonnostaan sosiaalinen käsite, joka perustuu muun muassa yhteiskunnan kulttuuri- ja oikeusperinteisiin, moraalisiin näkökohtiin ja poliittisiin valintoihin ja kun otetaan huomioon, että on tärkeää varmistaa arkaluonteisten tietojen riittävät suojatoimet, kun tietoja siirretään japanilaisille toiminnanharjoittajille, komissio on varmistanut, että ”erityisellä huolella käsiteltäviä henkilökohtaisia tietoja” koskevat Japanin lainsäädännön erityissuojatoimet laajennetaan koskemaan kaikkia asetuksessa (EU) 2016/679 arkaluonteisiksi tiedoiksi katsottuja tietoryhmiä. Tämän vuoksi täydentävässä säännössä 1 määrätään, että henkilökohtaisia tietoja käsittelevien toiminnanharjoittajien on käsiteltävä Euroopan unionista siirretyt tiedot, jotka koskevat henkilön seksuaalista käyttäytymistä, seksuaalista suuntautumista tai ammattiliittoon kuulumista, ”samalla tavoin kuin [henkilökohtaisten tietojen suojasta annetun lain] 2 §:n 3 momentissa tarkoitetut erityisellä huolella käsiteltävät henkilökohtaiset tiedot”.
                  
               
                     (69)
                  
                  
                     Erityisellä huolella käsiteltäviä henkilökohtaisia tietoja koskevien aineellisten lisäsuojatoimien osalta henkilökohtaisia tietoja käsittelevät toiminnanharjoittajat eivät saa henkilökohtaisten tietojen suojasta annetun lain 17 §:n 2 momentin mukaan hankkia tämäntyyppisiä tietoja ilman asianomaisen henkilön etukäteen antamaa suostumusta, muutamia harvoja poikkeuksia lukuun ottamatta (38). Lisäksi tähän henkilökohtaisten tietojen ryhmään ei sovelleta mahdollisuutta antaa tietoja kolmansille osapuolille henkilökohtaisten tietojen suojasta annetun lain 23 §:n 2 momentin (jossa sallitaan tietojen toimittaminen kolmansille osapuolille ilman asianomaisen henkilön ennakkosuostumusta) mukaisen menettelyn perusteella.
                  
               2.3.8   Vastuuvelvollisuus
         
         
                     (70)
                  
                  
                     Vastuuvelvollisuutta koskevan periaatteen mukaisesti tietoja käsittelevien yksiköiden on otettava käyttöön asianmukaiset tekniset ja organisatoriset toimenpiteet, jotta ne voivat tehokkaasti noudattaa tietosuojavelvoitteitaan ja osoittaa erityisesti toimivaltaiselle valvontaviranomaiselle noudattavansa velvoitteita.
                  
               
                     (71)
                  
                  
                     Kuten alaviitteessä 34 (johdanto-osan 49 kappale) todetaan, henkilökohtaisia tietoja käsittelevien toiminnanharjoittajien on henkilökohtaisten tietojen suojasta annetun lain 26 §:n 1 momentin mukaisesti todennettava sellaisen kolmannen osapuolen henkilöllisyys, joka luovuttaa niille henkilötietoja, ja ”olosuhteet”, joissa kolmas osapuoli on hankkinut tällaiset tiedot (tämän päätöksen soveltamisalaan kuuluvien henkilötietojen osalta kyseisiä olosuhteita ovat henkilökohtaisten tietojen suojasta annetun lain ja täydentävän säännön 3 mukaan esimerkiksi se, että tiedot ovat peräisin Euroopan unionista, samoin kuin alkuperäisen tiedonsiirron tarkoitus). Toimenpiteen tavoitteena on muun muassa varmistaa henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan suorittaman tietojen käsittelyn lainmukaisuus koko käsittelyketjussa. Lisäksi saman pykälän 3 momentin mukaan henkilökohtaisia tietoja käsittelevien toiminnanharjoittajien on merkittävä ylös tietojen vastaanottopäivä ja kolmannelta osapuolelta 1 momentin mukaisesti vastaanottamansa (pakolliset) tiedot sekä asianomaisen henkilön nimi (rekisteröity), käsiteltävien tietojen ryhmät ja tarvittaessa tieto siitä, että rekisteröity on antanut suostumuksensa henkilötietojensa jakamiseen. Kuten henkilötietosuojalautakunnan sääntöjen 18 kohdassa määrätään, tällainen aineisto on säilytettävä vähintään 1–3 vuoden ajan olosuhteista riippuen. Tehtäviään hoitaessaan henkilötietosuojalautakunta voi edellyttää tällaisen aineiston toimittamista (39).
                  
               
                     (72)
                  
                  
                     Henkilökohtaisia tietoja käsittelevien toiminnanharjoittajien on käsiteltävä viipymättä ja asianmukaisesti kyseisten henkilöiden esittämien henkilökohtaisten tietojensa käsittelyä koskevat valitukset. Valitusten käsittelyn helpottamiseksi toiminnanharjoittajien on perustettava ”järjestelmä, joka tarvitaan [tämän] tarkoituksen saavuttamiseksi”, mikä tarkoittaa sitä, että niiden olisi otettava käyttöön asianmukaiset menettelyt organisaatiossaan (esimerkiksi jaettava vastuualueet tai nimettävä yhteyspiste).
                  
               
                     (73)
                  
                  
                     Lisäksi henkilökohtaisten tietojen suojasta annetussa laissa luodaan puitteet, jotta alan organisaatiot voivat olla mukana varmistamassa vaatimusten korkeatasoista noudattamista (ks. IV luvun 4 jakso). Tällaisten akkreditoitujen henkilötietojen suojaamisesta vastaavien organisaatioiden (40) tehtävänä on edistää henkilökohtaisten tietojen suojaa tukemalla yrityksiä asiantuntemuksensa avulla ja myös osallistua suojatoimien täytäntöönpanoon erityisesti käsittelemällä yksittäisiä valituksia ja auttamalla ratkaisemaan asiaan liittyviä ristiriitoja. Tätä varten ne voivat pyytää osallistuvia henkilökohtaisia tietoja käsitteleviä toiminnanharjoittajia toteuttamaan tarvittavia toimenpiteitä (41). Lisäksi henkilökohtaisia tietoja käsittelevien toiminnanharjoittajien on periaatteessa ilmoitettava tietoturvaloukkauksista tai muista tietoturvahäiriöistä sekä henkilötietosuojalautakunnalle että rekisteröidylle (tai yleisölle) ja ryhdyttävä tarvittaviin toimenpiteisiin, esimerkiksi minimoitava mahdolliset vahingot ja estettävä vastaavanlaisia häiriöitä toistumasta (42). Nämä ovat vapaaehtoisia järjestelmiä, mutta henkilötietosuojalautakunnan 10 päivänä elokuuta 2017 päivätyssä luettelossa on 44 organisaatiota, joista pelkästään suurimpaan (Japan Information Processing and Development Center (JIPDEC)) osallistui 15 436 toiminnanharjoittajaa (43). Akkreditoituja järjestelmiä pitävät yllä muun muassa toimialajärjestöt, kuten arvopaperivälittäjiä edustava Japan Securities Dealers Association, autokouluja edustava Japan Association of Car Driving Schools tai avioliittotoimistoja edustava Association of Marriage Brokers (44).
                  
               
                     (74)
                  
                  
                     Akkreditoidut henkilökohtaisten tietojen suojaamisesta vastaavat organisaatiot raportoivat toiminnastaan vuosittain. Henkilötietosuojalautakunnan julkaisemassa katsauksessa henkilökohtaisten tietojen suojasta annetun lain täytäntöönpanon tilaan tilikaudella 2015 todettiin, että akkreditoidut henkilökohtaisten tietojen suojaamisesta vastaavat organisaatiot vastaanottivat yhteensä 442 valitusta, pyysivät toimivaltaansa kuuluvilta henkilökohtaisia tietoja käsitteleviltä toiminnanharjoittajilta 123 selvitystä samoin kuin asiakirjoja 41 tapauksessa sekä antoivat 181 ohjeistusta ja kaksi suositusta (45).
                  
               2.3.9   Tietojen edelleen siirtämistä koskevat rajoitukset
         
         
                     (75)
                  
                  
                     Euroopan unionista japanilaisille toiminnanharjoittajille siirrettyjen henkilötietojen suojan tasoa ei saa heikentää siirtämällä näitä tietoja edelleen Japanin ulkopuolella olevassa kolmannessa maassa sijaitseville vastaanottajille. Tällaiset ”jatkosiirrot”, jotka japanilaisen toiminnanharjoittajan näkökulmasta ovat luonteeltaan Japanista tapahtuvia kansainvälisiä siirtoja, olisi sallittava vain siinä tapauksessa, että kyseiseen Japanin ulkopuolella toimivaan vastaanottajaan sovelletaan sääntöjä, joilla varmistetaan, että suojelun taso vastaa Japanin oikeusjärjestyksessä taattua suojelun tasoa.
                  
               
                     (76)
                  
                  
                     Ensimmäinen suojelutoimi on vahvistettu henkilökohtaisten tietojen suojasta annetun lain 24 §:ssä, jossa yleisesti kielletään henkilötietojen siirto Japanin alueen ulkopuolelle sijoittautuneelle kolmannelle osapuolelle ilman asianomaisen henkilön ennalta antamaa suostumusta. Täydentävällä säännöllä 4 varmistetaan, että kun on kyse Euroopan unionista tapahtuvasta tietojen siirrosta, tällaisesta suostumuksesta tiedotetaan erityisen hyvin, koska säännössä edellytetään, että asianomainen henkilö ”saa siirtoa koskevista olosuhteista tiedot, jotka datasubjekti tarvitsee suostumustaan koskevan päätöksen tekemiseksi”. Tämän perusteella rekisteröidylle on ilmoitettava, että tiedot siirretään ulkomaille (henkilökohtaisten tietojen suojasta annetun lain soveltamisalan ulkopuolella). Samoin hänelle on ilmoitettava määrämaa. Näin rekisteröity voi arvioida siirrosta aiheutuvan yksityisyyteen liittyvän riskin. Kuten henkilökohtaisten tietojen suojasta annetun lain 23 §:stä ilmenee (ks. johdanto-osan 47 kappale), datasubjektille annettavien tietojen olisi katettava mainitun pykälän 2 momentin mukaiset pakolliset tiedot eli kolmannelle osapuolelle toimitetut henkilötietoryhmät ja luovuttamismenetelmä.
                  
               
                     (77)
                  
                  
                     Henkilökohtaisten tietojen suojasta annetun lain 24 §:ssä, jota sovelletaan yhdessä henkilötietosuojalautakunnan sääntöjen 11-2 kohdan kanssa, säädetään useista poikkeuksista tähän suostumukseen perustuvaan sääntöön. Lisäksi kyseisen lain 24 §:n mukaan samoja poikkeuksia, joita sovelletaan 23 §:n 1 momentin nojalla, sovelletaan myös kansainvälisiin tiedonsiirtoihin (46).
                  
               
                     (78)
                  
                  
                     Jotta voidaan varmistaa suojan jatkuvuus kun on kyse tämän päätöksen nojalla Euroopan unionista Japaniin siirretyistä henkilötiedoista, täydentävällä säännöllä 4 parannetaan suojan tasoa, kun henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja siirtää kyseiset tiedot edelleen kolmannessa maassa olevalle vastaanottajalle. Tähän päästään siten, että säännöllä rajoitetaan ja rajataan kansainvälisten siirtojen perusteita, joita henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja voi käyttää vaihtoehtona suostumuksen saamiselle. Rajoittamatta henkilökohtaisten tietojen suojasta annetun lain 23 §:n 1 momentin mukaisten poikkeusten soveltamista tämän päätöksen nojalla siirrettyjä henkilötietoja voidaan tarkemmin sanoen siirtää (edelleen) ilman suostumusta ainoastaan kahdessa tapauksessa: i) jos tiedot lähetetään kolmanteen maahan, jonka henkilötietosuojalautakunta on henkilökohtaisten tietojen suojasta annetun lain 24 §:n mukaisesti tunnustanut tarjoavan Japanin suojatasoa vastaavan suojan (47); tai ii) kun henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja ja tiedot vastaanottava kolmas osapuoli ovat yhdessä toteuttaneet toimenpiteitä, jotka tarjoavat sopimuksen, muiden sitovien sopimusmuotojen tai yritysryhmää sitovien järjestelyjen perusteella henkilökohtaisten tietojen suojasta annettua lakia, luettuna yhdessä täydentävien sääntöjen kanssa, vastaavan suojan tason. Jälkimmäinen ryhmä vastaa asetuksen (EU) 2016/679 nojalla käytettäviä välineitä, joilla varmistetaan asianmukaiset suojatoimet (erityisesti sopimuslausekkeet ja sitovat yhtiösäännöt). Henkilötietosuojalautakunta on vahvistanut, että myös näissä tapauksissa siirtoon sovelletaan yleisiä sääntöjä, joita sovelletaan kaikkeen henkilökohtaisten tietojen suojasta annetun lain mukaiseen henkilötietojen toimittamiseen kolmannelle osapuolelle (eli 23 §:n 1 momentin mukaista suostumuksen hankkimista koskevaa vaatimusta tai vaihtoehtoisesti 23 §:n 2 momentin mukaista ilmoittamisvaatimusta ja tähän liittyvää mahdollisuutta olla suostumatta tietojen toimittamiseen). Siirtoa ei saa toteuttaa, jos rekisteröityyn ei saada yhteyttä suostumusta koskevan pyynnön tekemiseksi tai vaadittujen ennakkotietojen antamiseksi henkilökohtaisten tietojen suojasta annetun lain 23 §:n 2 momentin mukaisesti.
                  
               
                     (79)
                  
                  
                     Sen vuoksi muissa tapauksissa kuin niissä, joissa henkilötietosuojalautakunta on todennut, että kyseinen kolmas maa takaa henkilökohtaisten tietojen suojasta annetussa laissa taattua tasoa vastaavan suojan (48), täydentävän säännön 4 vaatimuksissa suljetaan pois sellaisten siirtoinstrumenttien käyttö, joilla ei luoda sitovaa suhdetta japanilaisen tietojen viejän ja kolmannessa maassa olevan tietojen tuojan välille ja joissa ei taata vaadittua suojan tasoa. Tämä koskee esimerkiksi APEC:n rajat ylittäviä yksityisyyden suojaa koskevia sääntöjä (CBPR), joita Japani soveltaa osallistuvana taloutena (49), sillä kyseisessä järjestelmässä tietosuoja ei perustu viejää ja tuoja sitovaan järjestelyyn niiden kahdenvälisen suhteen puitteissa ja on selvästi alhaisempi kuin taso, joka taataan henkilökohtaisten tietojen suojasta annetun lain ja täydentävien sääntöjen yhdistelmällä (50).
                  
               
                     (80)
                  
                  
                     Lisäksi tietojen edelleen siirtämiseen sovelletaan henkilökohtaisten tietojen suojasta annetun lain 20 ja 22 §:ään perustuvaa suojatoimea. Jos kolmannen maan toiminnanharjoittaja (tietojen tuoja) toimii henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan (tietojen viejä) puolesta eli (alihankkijana toimivana) käsittelijänä, henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan on varmistettava kolmannen maan toiminnanharjoittajan valvonta tietojen käsittelyn turvallisuuden osalta.
                  
               2.3.10   Yksilön oikeudet
         
         
                     (81)
                  
                  
                     EU:n tietosuojalainsäädännön tavoin henkilökohtaisten tietojen suojasta annetussa laissa myönnetään yksilöille useita täytäntöönpanokelpoisia oikeuksia. Näitä ovat tiedonsaantioikeus (tiedoista ilmoittaminen), oikeus pyytää tietojen oikaisemista tai poistamista sekä oikeus vastustaa tietojen käyttöä (oikeus pyytää tietojen käytön lopettamista).
                  
               
                     (82)
                  
                  
                     Ensinnäkin rekisteröidyllä on henkilökohtaisten tietojen suojasta annetun lain 28 §:n 1 ja 2 momentin nojalla oikeus pyytää henkilökohtaisia tietoja käsittelevää toiminnanharjoittajaa ”ilmoittamaan ne säilytetyt henkilötiedot, joilla hänet voidaan tunnistaa” ja pyynnön saatuaan toiminnanharjoittajan on ”ilmoitettava […] säilytetyt henkilötiedot” rekisteröidylle. Kyseisen lain 29 §:ssä (oikeus pyytää tietojen oikaisemista) ja 30 §:ssä (oikeus pyytää tietojen käytön lopettamista) on sama rakenne kuin 28 §:ssä.
                  
               
                     (83)
                  
                  
                     Hallituksen määräyksen 9 §:ssä säädetään, että henkilökohtaisten tietojen suojasta annetun lain 28 §:n 2 momentissa tarkoitettu henkilökohtaisista tiedoista ilmoittaminen on tehtävä kirjallisesti, jolleivat henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja ja rekisteröity toisin sovi.
                  
               
                     (84)
                  
                  
                     Näihin oikeuksiin sovelletaan kolmentyyppisiä rajoituksia, jotka koskevat yksilön omia tai kolmansien osapuolten oikeuksia ja etuja (51), vakavaa puuttumista henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan liiketoimintaan (52) sekä tapauksia, joissa ilmoittaminen rikkoisi muita lakeja tai määräyksiä (53). Tilanteet, joissa näitä rajoituksia sovellettaisiin, ovat samankaltaisia kuin eräät asetuksen (EU) 2016/679 23 artiklan 1 kohdan nojalla sovellettavat poikkeukset, joiden mukaan henkilöiden oikeuksia voidaan rajoittaa ”rekisteröidyn suojelua tai muille kuuluvia oikeuksia ja vapauksia” tai ”muita […] yleisiin julkisiin etuihin liittyviä tärkeitä tavoitteita” koskevista syistä. Vaikka niiden tapausten ryhmä, joissa ilmoittaminen rikkoisi muita lakeja tai määräyksiä, voi näyttää laajalta, laeissa ja määräyksissä, joissa rajoitukset vahvistetaan tältä osin, on kunnioitettava perustuslaillista oikeutta yksityisyyteen, ja niissä voidaan asettaa rajoituksia vain siinä määrin kuin tämän oikeuden käyttäminen ”haittaisi yleistä hyvinvointia” (54). Tämä edellyttää asianomaisten etujen tasapainottamista.
                  
               
                     (85)
                  
                  
                     Jos pyydettyjä tietoja ei ole olemassa tai jos asianomainen henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja päättää olla myöntämättä oikeutta tutustua säilytettyihin tietoihin, sen on henkilökohtaisten tietojen suojasta annetun lain 28 §:n 3 momentin mukaan ilmoitettava siitä viipymättä asianomaiselle henkilölle.
                  
               
                     (86)
                  
                  
                     Toiseksi rekisteröidyllä on henkilökohtaisten tietojen suojasta annetun lain 29 §:n 1 ja 2 momentin nojalla oikeus pyytää säilytettävien henkilötietojensa oikaisua, täydentämistä tai poistamista siinä tapauksessa, että tiedot ovat virheellisiä. Saatuaan tällaisen pyynnön henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan ”[…] on suoritettava tarvittava tutkimus” ja sen on tällaisen tutkimuksen tulosten perusteella ”tehtävä oikaisu tai muu vastaava säilytettyjen tietojen sisältöön”.
                  
               
                     (87)
                  
                  
                     Kolmanneksi rekisteröidyllä on henkilökohtaisten tietojen suojasta annetun lain 30 §:n 1 ja 2 momentin nojalla oikeus pyytää toiminnanharjoittajaa keskeyttämään henkilökohtaisten tietojen käyttö tai poistamaan kyseiset tiedot silloin, kun niitä on käsitelty 16 §:n vastaisesti (käyttötarkoituksen rajoittaminen) tai kun ne on hankittu epäasianmukaisella tavalla 17 §:n vastaisesti (vilpilliset hankinnat, muut asiattomat keinot tai arkaluonteisten tietojen hankinta ilman suostumusta). Samoin henkilökohtaisten tietojen suojasta annetun lain 30 §:n 3 ja 4 momentissa säädetään, että henkilöllä on oikeus pyytää henkilökohtaisia tietoja käsittelevää toiminnanharjoittajaa lopettamaan tietojen toimittaminen kolmannelle osapuolelle, jos tämä on vastoin kyseisen lain 23 §:n 1 momentin tai 24 §:n (luovuttaminen kolmannelle osapuolelle, kansainväliset siirrot mukaan lukien) säännöksiä.
                  
               
                     (88)
                  
                  
                     Jos pyyntö on perusteltu, henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan on viipymättä lopetettava tietojen käyttö tai luovuttaminen kolmannelle osapuolelle siinä määrin kuin se on tarpeen rikkomuksen korjaamiseksi tai, jos tapaus kuuluu jonkin poikkeuksen piiriin (erityisesti jos käytön lopettaminen aiheuttaisi erityisen suuria kustannuksia) (55), toteutettava tarvittavat vaihtoehtoiset toimenpiteet kyseisen henkilön oikeuksien ja etujen suojelemiseksi.
                  
               
                     (89)
                  
                  
                     Toisin kuin EU:n lainsäädännössä henkilökohtaisten tietojen suojasta annetussa laissa ja asiaankuuluvissa lainsäädännön alapuolelle sijoittuvissa säännöissä ei ole säännöksiä, joissa nimenomaisesti käsiteltäisiin mahdollisuutta vastustaa käsittelyä suoramarkkinointitarkoitusta varten. Tämän päätöksen mukaisesti tällainen käsittely toteutetaan kuitenkin aikaisemmin Euroopan unionissa kerättyjen henkilötietojen siirron yhteydessä. Asetuksen (EU) 2016/679 21 artiklan 2 kohdan mukaan rekisteröidyllä on aina oltava mahdollisuus vastustaa tietojen siirtoa käsiteltäväksi suoramarkkinointia varten. Lisäksi kuten johdanto-osan 43 kappaleessa selitetään, täydentävän säännön 3 mukaan henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan on käsiteltävä päätöksen nojalla vastaanotetut tiedot sitä samaa tarkoitusta varten, jota varten tiedot on siirretty Euroopan unionista, ellei rekisteröity suostu muuttamaan käyttötarkoitusta. Näin ollen, jos siirto on tehty muuhun tarkoitukseen kuin suoramarkkinointiin, Japanissa toimiva henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja ei voi käsitellä tietoja suoramarkkinointitarkoituksiin ilman EU:n rekisteröidyn suostumusta.
                  
               
                     (90)
                  
                  
                     Henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan on kaikissa henkilökohtaisten tietojen suojasta annetun lain 28 ja 29 §:ssä tarkoitetuissa tapauksissa ilmoitettava asianomaiselle henkilölle viipymättä tämän esittämän pyynnön tuloksesta ja lisäksi selitettävä, miksi pyyntö on mahdollisesti (osittain) evätty 27–30 §:ssä säädettyjen lakisääteisten poikkeusten perusteella (henkilökohtaisten tietojen suojasta annetun lain 31 §).
                  
               
                     (91)
                  
                  
                     Pyynnön esittämisedellytysten osalta henkilökohtaisten tietojen suojasta annetun lain 32 §:ssä (yhdessä hallituksen määräyksen kanssa) annetaan henkilökohtaisia tietoja käsittelevälle toiminnanharjoittajalle mahdollisuus määrittää kohtuulliset menettelyt, myös säilytettyjen henkilötietojen tunnistamiseksi tarvittavien tietojen osalta. Tämän pykälän 4 momentin mukaan henkilökohtaisia tietoja käsittelevät toiminnanharjoittajat eivät kuitenkaan saa kohdistaa ”datasubjektiin liiallista rasitusta”. Tietyissä tapauksissa kyseiset toiminnanharjoittajat voi määrätä maksuja, jos niiden määrä säilyy ”kohtuullisena, kun otetaan huomioon todelliset kustannukset” (henkilökohtaisten tietojen suojasta annetun lain 33 §).
                  
               
                     (92)
                  
                  
                     Henkilö voi myös vastustaa henkilökohtaisten tietojensa antamista kolmannelle osapuolelle edellä mainitun lain 23 §:n 2 momentin nojalla tai kieltäytyä antamasta suostumustaan 23 §:n 1 momentin nojalla (eli estää tietojen luovuttamisen, jos käytettävissä ei ole muuta oikeusperustaa). Henkilö voi lisäksi keskeyttää tietojen käsittelyn eri tarkoitusta varten kieltäytymällä antamasta suostumusta 16 §:n 1 momentin mukaisesti.
                  
               
                     (93)
                  
                  
                     Toisin kuin EU:n lainsäädännössä, henkilökohtaisten tietojen suojasta annettu laki ja asiaa koskevat lainsäädännön alapuolelle sijoittuvat säännöt eivät sisällä yleisiä säännöksiä rekisteröityyn vaikuttavista päätöksistä, jotka perustuisivat yksinomaan henkilötietojen automaattiseen käsittelyyn. Tätä kysymystä käsitellään kuitenkin tietyissä Japanissa sovellettavissa alakohtaisissa säännöissä, jotka ovat erityisen olennaisia tällaisen käsittelyn kannalta. Tämä koskee aloja, joilla yritykset todennäköisimmin turvautuvat automatisoituun henkilötietojen käsittelyyn tehdessään yksityishenkilöihin vaikuttavia päätöksiä (kuten rahoitusala). Esimerkiksi kesäkuussa 2017 tarkistetuissa kattavissa suuntaviivoissa suurien pankkien valvonnasta edellytetään, että asianomaiselle henkilölle annetaan yksityiskohtainen selvitys syistä, joiden vuoksi lainasopimuksen tekemistä koskeva pyyntö on hylätty. Nämä säännöt tarjoavat suojan todennäköisesti niissä suhteellisen harvoissa tapauksissa, joissa tietoja ”tuova” japanilainen toiminnanharjoittaja tekisi automatisoidut päätökset itse (tietoja ”vievän” EU:n rekisterinpitäjän sijaan).
                  
               
                     (94)
                  
                  
                     Joka tapauksessa päätöksen, joka tehdään Euroopan unionissa kerättyjen henkilötietojen osalta automatisoidun käsittelyn perusteella, tekee yleensä unionissa toimiva rekisterinpitäjä (jolla on suora suhde kyseiseen rekisteröityyn), ja näin ollen kyseiseen päätökseen sovelletaan asetusta (EU) 2016/679 (56). Tähän kuuluvat siirtotilanteet, joissa tietojen käsittelyn suorittaa ulkomainen (esimerkiksi japanilainen) toiminnanharjoittaja, joka toimii EU:n rekisterinpitäjän edustajana (käsittelijänä) (tai EU:n käsittelijän alihankkijana vastaanotettuaan tiedot ne keränneeltä EU:n rekisterinpitäjältä) ja tekee tämän perusteella automatisoidun päätöksen. Tämän vuoksi on epätodennäköistä, että se, ettei henkilökohtaisten tietojen suojasta annettuun lakiin sisälly säännöksiä automatisoidusta päätöksenteosta, vaikuttaisi tämän päätöksen nojalla siirrettyjen henkilötietojen suojan tasoon.
                  
               2.4   Valvonta ja täytäntöönpano
         
         2.4.1   Riippumaton valvonta
         
         
                     (95)
                  
                  
                     Sen varmistamiseksi, että tietosuojan riittävä taso taataan myös käytännössä, olisi oltava riippumaton valvontaviranomainen, jonka tehtävänä on valvoa tietosuojasääntöjen noudattamista ja varmistaa niiden täytäntöönpano. Kyseisen viranomaisen olisi toimittava riippumattomasti ja puolueettomasti tehtäviään suorittaessaan ja toimivaltuuksiaan käyttäessään.
                  
               
                     (96)
                  
                  
                     Japanissa henkilökohtaisten tietojen suojasta annetun lain noudattamisen valvonnasta ja täytäntöönpanosta vastaava viranomainen on henkilötietosuojalautakunta. Se koostuu puheenjohtajasta ja kahdeksasta jäsenestä, jotka pääministeri nimittää parlamentin molempien kamareiden suostumuksella. Puheenjohtajan ja kunkin jäsenen toimikausi on viisi vuotta, ja uudelleennimittäminen on mahdollista (henkilökohtaisten tietojen suojasta annetun lain 64 §). Lautakunnan jäsenet voidaan irtisanoa ainoastaan hyvin perustelluissa poikkeustapauksissa (57), eivätkä he saa osallistua aktiivisesti poliittiseen toimintaan. Lisäksi henkilökohtaisten tietojen suojasta annetussa laissa säädetään, että lautakunnan kokoaikaisten jäsenten on pidättäydyttävä muista palkallisista toimista tai liiketoimista. Kaikkiin lautakunnan jäseniin sovelletaan myös sisäisiä sääntöjä, jotka estävät niitä osallistumasta asioiden käsittelyyn tapauksissa, joissa eturistiriita on mahdollinen. Henkilötietosuojalautakuntaa avustaa sihteeristö, jota johtaa pääsihteeri ja jonka tehtävänä on hoitaa lautakunnalle määrättyjä tehtäviä (henkilökohtaisten tietojen suojasta annetun lain 70 §). Sekä lautakunnan jäseniä että kaikkia sihteeristön virkamiehiä sitovat tiukat salassapitovelvollisuutta koskevat säännöt (henkilökohtaisten tietojen suojasta annetun lain 72 ja 82 §).
                  
               
                     (97)
                  
                  
                     Henkilötietosuojalautakunnan toimivaltuuksista, joita se käyttää täysin itsenäisesti (58), säädetään pääasiassa henkilökohtaisten tietojen suojasta annetun lain 40, 41 ja 42 §:ssä. Kyseisen lain 40 §:n mukaan henkilötietosuojalautakunta voi pyytää henkilökohtaisia tietoja käsitteleviä toiminnanharjoittajia raportoimaan tai toimittamaan asiakirjoja käsittelytoiminnasta ja se voi myös suorittaa sekä paikalla tehtäviä tarkastuksia että kirjanpidon ja muiden asiakirjojen tarkastuksia. Siinä määrin kuin on tarpeen henkilökohtaisten tietojen suojasta annetun lain täytäntöönpanemiseksi, henkilötietosuojalautakunta voi antaa henkilökohtaisia tietoja käsitteleville toiminnanharjoittajille henkilökohtaisten tietojen käsittelyä koskevia ohjeita tai neuvoja. Henkilötietosuojalautakunta on jo käyttänyt näitä henkilökohtaisten tietojen suojasta annetun lain 41 §:n mukaisia valtuuksiaan antamalla ohjeita Facebookille sitä koskeneiden Cambridge Analytica -paljastusten jälkeen.
                  
               
                     (98)
                  
                  
                     Erityisesti on huomattava, että henkilötietosuojalautakunnalla on valtuudet antaa joko valituksen johdosta tai omasta aloitteestaan suosituksia ja määräyksiä henkilökohtaisten tietojen suojasta annetun lain ja muiden sitovien sääntöjen (täydentävät säännöt mukaan luettuina) täytäntöönpanemiseksi yksittäisissä tapauksissa. Näistä valtuuksista säädetään henkilökohtaisten tietojen suojasta annetun lain 42 §:ssä. Vaikka kyseisen pykälän 1 ja 2 momentissa säädetään kaksivaiheisesta mekanismista, jonka puitteissa henkilötietosuojalautakunta voi antaa määräyksen (ainoastaan) aiemmin annetun suosituksen jälkeen, määräys voidaan 3 momentin mukaan antaa kiireellisissä tapauksissa suoraan.
                  
               
                     (99)
                  
                  
                     Vaikka kaikkia henkilökohtaisten tietojen suojasta annetun lain IV luvun 1 jakson säännöksiä ei ole lueteltu 42 §:n 1 momentissa, joka myös määrittää 42 §:n 2 momentin soveltamisalan, tämä voi selittyä sillä, että jotkin näistä säännöksistä eivät koske henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan (59) velvoitteita ja että kaikki olennaiset suojatoimet on jo otettu huomioon muissa kyseiseen luetteloon sisältyvissä säännöksissä. Vaikka esimerkiksi 15 §:ää (jossa vaaditaan, että henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja määrittää käyttötarkoituksen ja käsittelee henkilökohtaiset tiedot yksinomaan käyttötarkoituksen rajoissa) ei ole mainittu, tämän vaatimuksen noudattamatta jättäminen voi olla peruste 16 §:n 1 momentin rikkomisen johdosta annettavalle suositukselle (kyseisessä pykälässä kielletään henkilökohtaisia tietoja käsittelevää toiminnanharjoittajaa käsittelemästä henkilökohtaisia tietoja enemmän kuin on tarpeen käyttötarkoituksen saavuttamiseksi, ellei se saa rekisteröidyn suostumusta) (60). Toinen säännös, jota ei mainita 42 §:n 1 momentissa, on tietojen täsmällisyyttä ja säilyttämistä koskeva 19 §. Tämän säännöksen noudattamatta jättäminen voi johtaa täytäntöönpanotoimiin joko 16 § 1 momentin tai 29 §:n 2 momentin rikkomisen perusteella, jos asianomainen henkilö pyytää virheellisten tai liiallisten tietojen oikaisemista tai poistamista ja henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja kieltäytyy noudattamasta pyyntöä. Kun kyseessä ovat rekisteröidyn 28 §:n 1 momentin, 29 §:n 1 momentin ja 30 §:n 1 momentin mukaiset oikeudet, henkilötietosuojalautakunnan valvonta varmistetaan antamalla sille täytäntöönpanovaltuudet kyseisissä pykälissä säädettyjen henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan vastaavien velvoitteiden suhteen.
                  
               
                     (100)
                  
                  
                     Henkilötietosuojalautakunta voi henkilökohtaisten tietojen suojasta annetun lain 42 §:n 1 momentin nojalla antaa suosituksen ”rikkomisen keskeyttämiseksi tai ryhtyä muihin tarpeellisiin toimiin rikkomisen korjaamiseksi”, jos se katsoo, että ”on tarpeen suojella yksilön oikeuksia ja etuja tapauksissa, joissa [henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja] on rikkonut” tiettyjä mainitun lain säännöksiä. Tällainen suositus ei ole sitova, mutta se mahdollistaa 42 §:n 2 momentin mukaisen sitovan määräyksen antamisen. Henkilötietosuojalautakunta voi tämän säännöksen perusteella määrätä, että henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan on toteutettava suosituksen mukaiset toimet, jos suositusta ei ole noudatettu ”ilman perusteltua syytä” ja jos lautakunta ”katsoo, että yksilön oikeuksiin ja etuihin kohdistuu välitön uhka vakavasta rikkomisesta”.
                  
               
                     (101)
                  
                  
                     Täydentävillä säännöillä selkeytetään ja vahvistetaan henkilötietosuojalautakunnan täytäntöönpanovaltuuksia entisestään. Erityisesti kun on kyse tapauksista, joihin liittyy Euroopan unionista tuotua tietoa, henkilötietosuojalautakunta katsoo aina, että jos henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja on jättänyt toteuttamatta henkilökohtaisten tietojen suojasta annetun lain 42 §:n 1 momentin mukaisesti annettuun suositukseen perustuvia toimia ilman perusteltua syytä, kyseessä on 42 §:n 2 momentissa tarkoitettu yksilön oikeuksien ja etujen välitön ja vakava rikkominen ja näin ollen kyseessä on rikkomus, jonka vuoksi on annettava sitova määräys. Lisäksi henkilötietosuojalautakunta hyväksyy suosituksen noudattamatta jättämisen ”perustelluksi syyksi” ainoastaan ”luonteeltaan poikkeuksellisen tapahtuman [joka estää suosituksen noudattamisen], johon [henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja] ei ole voinut vaikuttaa ja jota ei voida kohtuudella ennakoida (esimerkiksi luonnonkatastrofit)”, tai tapaukset, joissa tarve ryhtyä toimiin suosituksen johdosta ”on hävinnyt, koska [henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja] on toteuttanut vaihtoehtoisia toimia, jotka korjaavat rikkomisen täysimääräisesti”.
                  
               
                     (102)
                  
                  
                     Henkilötietosuojalautakunnan määräyksen noudattamatta jättämistä pidetään henkilökohtaisten tietojen suojasta annetun lain 84 §:ssä tarkoitettuna rikoksena ja syylliseksi todettu henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja voidaan tuomita pakkotyöhön enintään kuudeksi kuukaudeksi tai toiminnanharjoittajalle voidaan määrätä enintään 300 000 jenin sakko. Lisäksi henkilötietosuojalautakunnan kanssa tehtävästä yhteistyöstä kieltäytymisen tai sen tutkinnan estämisen johdosta voidaan henkilökohtaisten tietojen suojasta annetun lain 85 §:n i kohdan mukaisesti määrätä enintään 300 000 jenin sakko. Näitä rikosseuraamuksia sovelletaan niiden seuraamusten lisäksi, joita voidaan määrätä henkilökohtaisten tietojen suojasta annetun lain merkittävistä rikkomisista (ks. johdanto-osan 108 kappale).
                  
               2.4.2   Oikeudellinen muutoksenhaku
         
         
                     (103)
                  
                  
                     Jotta voidaan varmistaa asianmukainen suojelu ja erityisesti yksilön oikeuksien täytäntöönpano, rekisteröidyllä olisi oltava tehokkaat hallinnolliset ja oikeudelliset muutoksenhakukeinot, mukaan lukien vahingonkorvaus.
                  
               
                     (104)
                  
                  
                     Henkilö voi tehdä rekisterinpitäjälle valituksen henkilötietojensa käsittelystä ennen hallinnollista tai oikeudellista muutoksenhakua tai sen sijasta. Henkilökohtaisten tietojen suojasta annetun lain 35 §:n perusteella henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan on pyrittävä käsittelemään tällaiset valitukset ”asianmukaisesti ja viipymättä” ja otettava käyttöön sisäiset valitusten käsittelyjärjestelmät tämän tavoitteen saavuttamiseksi. Lisäksi henkilökohtaisten tietojen suojasta annetun lain 61 §:n ii kohdassa säädetään, että henkilötietosuojalautakunta vastaa ”tehtyä valitusta koskevasta tarvittavasta sovittelusta ja yhteistyöstä valitusta käsittelevän toiminnanharjoittajan kanssa”; molemmissa tapauksissa valitukset kattavat myös ulkomaalaisten tekemät valitukset. Japanin lainsäätäjä on tältä osin lisäksi antanut valtion keskushallinnon tehtäväksi toteuttaa ”tarvittavat toimet”, jotta henkilökohtaisia tietoja käsittelevät toiminnanharjoittajat voivat ratkaista valitukset ja jotta voidaan helpottaa valitusten ratkaisemista (9 §), kun taas paikallishallinnot pyrkivät varmistamaan sovittelun tällaisissa tapauksissa (13 §). Tältä osin henkilöt voivat tehdä kantelun jollekin niistä yli 1 700 kuluttajakeskuksesta, jotka paikallishallinnot ovat perustaneet kuluttajien turvallisuutta koskevan lain (61) perusteella, minkä lisäksi he voivat tehdä valituksen Japanin kansalliselle kuluttaja-asiain keskukselle. Valituksia voidaan tehdä myös henkilökohtaisten tietojen suojasta annetun lain rikkomisen johdosta. Kuluttajalain (62) 19 §:n mukaan paikallishallintojen on pyrittävä sovittelemaan valituksia ja tarjottava osapuolille tarvittavaa asiantuntemusta. Nämä riitojenratkaisumekanismit vaikuttavat melko tehokkailta, sillä vuonna 2015 käsiteltiin yli 75 000 valitusta ja niistä ratkaistiin 91,2 prosenttia.
                  
               
                     (105)
                  
                  
                     Jos henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja rikkoo henkilökohtaisten tietojen suojasta annetun lain säännöksiä, seurauksena voi olla siviilioikeudellisia toimia sekä rikosoikeudellinen menettely ja rangaistuksia. Jos henkilö katsoo, että hänen henkilökohtaisten tietojen suojasta annetun lain 28, 29 ja 30 §:n mukaisia oikeuksiaan on loukattu, hän voi ensinnäkin hakea kieltomääräystä pyytämällä tuomioistuinta määräämään, että henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja täyttää hänen jonkin edellä mainitun säännöksen mukaisen pyyntönsä, toisin sanoen ilmoittaa säilytetyt henkilötiedot (28 §), oikaisee virheelliset säilytetyt henkilötiedot (29 §) tai lopettaa tietojen lainvastaisen käsittelyn tai niiden luovuttamisen kolmannelle osapuolelle (30 §). Tällainen kanne voidaan panna vireille ilman siviililain 709 §:n (63) tai vahingonkorvausoikeuden soveltamista (64). Tämä tarkoittaa erityisesti sitä, että henkilön ei tarvitse osoittaa minkäänlaisen vahingon aiheutumista.
                  
               
                     (106)
                  
                  
                     Toiseksi siinä tapauksessa, että väitetty rikkominen ei koske 28, 29 ja 30 §:n mukaisia yksilön oikeuksia vaan henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan yleisiä tietosuojaperiaatteita tai -velvollisuuksia, asianomainen henkilö voi nostaa kanteen toiminnanharjoittajaa vastaan Japanin siviililain (erityisesti sen 709 §:n) vahingonkorvaussäännösten perusteella. Vaikka 709 §:n mukainen kanne edellyttää syyksiluettavuuden (tahallisuus tai tuottamuksellisuus) lisäksi selvitystä aiheutuneesta vahingosta, tällainen vahinko voi siviililain 710 §:n mukaan olla sekä aineellinen että aineeton. Korvauksen määrää ei ole rajoitettu.
                  
               
                     (107)
                  
                  
                     Käytettävissä olevista oikeussuojakeinoista voidaan todeta, että Japanin siviililain 709 §:ssä viitataan rahalliseen korvaukseen. Japanin oikeuskäytännössä on kuitenkin tulkittu tätä pykälää niin, että siinä annetaan oikeus hakea myös kieltomääräystä (65). Näin ollen jos rekisteröity saattaa vireille siviililain 709 §:n nojalla kanteen ja väittää, että vastaaja on loukannut hänen oikeuksiaan tai etujaan rikkomalla henkilökohtaisten tietojen suojasta annetun lain säännöstä, kanteeseen voi sisältyä vahingonkorvausvaatimuksen lisäksi kieltomääräystä koskeva pyyntö, jolla pyritään erityisesti lopettamaan laiton käsittely.
                  
               
                     (108)
                  
                  
                     Kolmanneksi siviilioikeudellisten oikeussuojakeinojen käyttämisen lisäksi rekisteröity voi tehdä syyttäjälle tai tutkinta-asioista vastaavalle poliisille valituksen sellaisesta henkilökohtaisten tietojen suojasta annetun lain rikkomisesta, joka voi johtaa rikosoikeudellisiin seuraamuksiin. Henkilökohtaisten tietojen suojasta annetun lain VII luku sisältää useita rikosoikeudellisia säännöksiä. Niistä tärkein (84 §) koskee tapauksia, joissa henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja on jättänyt noudattamatta määräyksiä, jotka henkilötietosuojalautakunta on antanut 42 §:n 2 ja 3 momentin nojalla. Jos toiminnanharjoittaja ei noudata henkilötietosuojalautakunnan antamaa määräystä, lautakunnan puheenjohtaja (samoin kuin joku muu valtion virkamies) (66) voi viedä asian yleiselle syyttäjälle tai tutkinta-asioista vastaavalle poliisille ja tällä tavoin käynnistää rikosoikeudellisen menettelyn. Henkilötietosuojalautakunnan määräyksen rikkomisesta voidaan tuomita pakkotyöhön enintään kuudeksi kuukaudeksi tai maksamaan sakko, joka on enintään 300 000 jeniä. Muita henkilökohtaisten tietojen suojasta annetun lain säännöksiä, joissa säädetään rekisteröityjen oikeuksia ja etuja koskevista kyseisen lain rikkomisesta määrättävistä seuraamuksista, ovat kyseisen lain 83 § (joka koskee henkilökohtaisten tietojen tietokannan ”luovuttamista tai käyttämistä varkain […] laittoman voiton tavoittelemista varten”) ja 88 §:n i kohta (siltä osin kuin kyse on siitä, että silloin kun toiminnanharjoittaja vastaanottaa henkilötietoja mainitun lain 26 §:n 1 momentin mukaisesti, kolmas osapuoli ei ilmoita tälle toiminnanharjoittajalle asianmukaisesti erityisesti sellaisia tietoja, jotka koskevat kyseisten tietojen aiempaa hankintaa kolmannen osapuolen toimesta). Tällaisesta henkilökohtaisten tietojen suojasta annetun lain rikkomisesta voidaan määrätä enintään yhden vuoden mittainen pakkotyörangaistus tai enintään 500 000 jenin sakko (kun kyseessä on 83 §) tai enintään 100 000 jenin hallinnollinen sakko (kun kyseessä on 88 §:n i kohta). Vaikka jo rikosoikeudellisen seuraamuksen uhalla on todennäköisesti vahva pelotevaikutus henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan käsittelytoimintoja johtavaan yritysjohtoon sekä tietoja käsitteleviin henkilöihin, henkilökohtaisten tietojen suojasta annetun lain 87 §:ssä selvennetään, että kun yrityksen edustaja, toimihenkilö tai muu työntekijä on syyllistynyt kyseisen lain 83–85 §:n mukaiseen rikkomukseen, ”kyseistä toimijaa on rangaistava ja kyseiselle yritykselle on määrättävä asianomaisissa pykälissä vahvistettu sakko”. Tässä tapauksessa sekä työntekijälle että yritykselle voidaan määrätä seuraamuksia täyteen enimmäismäärään asti.
                  
               
                     (109)
                  
                  
                     Lisäksi henkilöt voivat hakea hyvitystä henkilötietosuojalautakunnan toimien tai laiminlyöntien vuoksi. Japanin lainsäädännössä säädetään tältä osin erilaisista hallinnollisista ja oikeudellisista muutoksenhakukeinoista.
                  
               
                     (110)
                  
                  
                     Jos henkilö ei ole tyytyväinen henkilötietosuojalautakunnan toteuttamiin toimiin, hän voi tehdä hallinnollista muutoksenhakua koskevan lain (67) mukaisen hallinnollisen valituksen. Jos henkilö sitä vastoin katsoo, että henkilötietosuojalautakunnan olisi pitänyt toimia mutta se jätti toimimatta, kyseinen henkilö voi muutoksenhakulain 36-3 §:n mukaisesti pyytää henkilötietosuojalautakunnalta hallinnollisen määräyksen tai hallinnollisen ohjeistuksen antamista, jos hän katsoo, että ”rikkomisen korjaamiseksi tarvittavaa määräystä tai hallinnollista ohjeistusta ei ole annettu”.
                  
               
                     (111)
                  
                  
                     Siltä osin kuin on kyse oikeussuojakeinoista, oikeudenkäynnistä hallintoasioissa annetun lain mukaan henkilö, joka ei ole tyytyväinen henkilötietosuojalautakunnan antamaan hallinnolliseen määräykseen, voi panna vireille mandamus-kanteen (68) ja pyytää tuomioistuinta määräämään, että lautakunnan on toteutettava lisätoimia (69). Tietyissä tapauksissa tuomioistuin voi myös antaa väliaikaisen mandamus-määräyksen peruuttamattoman vahingon estämiseksi (70). Lisäksi saman lain mukaan henkilö voi hakea myös henkilötietosuojalautakunnan päätöksen kumoamista (71).
                  
               
                     (112)
                  
                  
                     Henkilö voi nostaa henkilötietosuojalautakuntaa vastaan myös kanteen korvauksen saamiseksi valtiolta valtion oikeussuojakeinoja koskevan lain 1 §:n 1 momentin nojalla, jos kyseinen henkilö on kärsinyt vahinkoa sen vuoksi, että lautakunnan toiminnanharjoittajalle antama määräys on lainvastainen tai että lautakunta ei ole käyttänyt toimivaltaansa.
                  
               3.   VIRANOMAISTEN PÄÄSY EUROOPAN UNIONISTA JAPANIIN SIIRRETTYIHIN HENKILÖTIETOIHIN JA NÄIDEN TIETOJEN KÄYTTÖ
         
         
                     (113)
                  
                  
                     Komissio on arvioinut myös rajoituksia ja suojatoimia, mukaan lukien Japanin lainsäädännön mukaiset valvonta- ja oikeussuojamekanismit, jotka koskevat sitä, kuinka viranomaiset voivat ottaa haltuunsa ja käyttää japanilaisille toiminnanharjoittajille siirrettyjä henkilötietoja yleisen edun nimissä, erityisesti rikosoikeudellista täytäntöönpanoa ja kansalliseen turvallisuuteen liittyviä tarkoituksia varten (”viranomaisten pääsy tietoihin”). Japanin hallitus on tältä osin antanut komissiolle virallisia vahvistusilmoituksia, vakuutuksia ja sitoumuksia, jotka on allekirjoitettu korkeimmalla ministeri- ja virastotasolla ja jotka sisältyvät tämän päätöksen liitteeseen II.
                  
               3.1   Yleinen oikeudellinen kehys
         
         
                     (114)
                  
                  
                     Viranomaisten pääsy tietoihin osana julkisen vallan käyttöä Japanissa on toteutettava täysin lain mukaisesti (laillisuusperiaate). Japanin perustuslaki sisältää tältä osin säännöksiä, joilla rajoitetaan ja rajataan viranomaisten suorittamaa henkilötietojen keräämistä. Kuten on jo mainittu toiminnanharjoittajien suorittaman tietojen käsittelyn osalta, Japanin korkein oikeus on tunnustanut perustuslain 13 §:n (jolla muun muassa suojataan oikeutta vapauteen) nojalla oikeuden yksityisyyteen ja tietosuojaan (72). Yksi tämän oikeuden merkittävä näkökohta on vapaus olla sallimatta henkilökohtaisten tietojen luovuttamista kolmannelle osapuolelle ilman lupaa (73). Tämä merkitsee oikeutta henkilötietojen tehokkaaseen suojaan väärinkäyttöä ja (erityisesti) laitonta tietojen haltuunottoa vastaan. Lisäsuoja varmistetaan perustuslain 35 §:ssä, joka koskee kaikkien henkilöiden oikeutta turvallisuuteen kotinsa, asiakirjojensa ja omaisuutensa suhteen, minkä vuoksi viranomaisten on hankittava tuomioistuimen määräys, joka on annettu ”riittävästä syystä” (74) kaikissa tapauksissa, joissa on kyse ”etsinnöistä ja takavarikoista”. Japanin korkein oikeus selvensi 15 päivänä maaliskuuta 2017 asiassa GPS antamassaan tuomiossa, että vaatimusta määräyksestä sovelletaan aina, kun viranomaiset puuttuvat (”tunkeutuvat”) yksityiselämään tavalla, joka tukahduttaa yksilön tahdon ja jossa on kyse ”pakkokeinoin toteutettavasta tutkinnasta”. Tuomari voi antaa tällaisen määräyksen ainoastaan konkreettisen rikosepäilyn perusteella, eli kun on osoitettu asiakirjatodistein, että tutkimuksen kohteena olevan henkilön voidaan katsoa syyllistyneen rikokseen (75). Tästä seuraa, että Japanin viranomaisilla ei ole oikeudellista toimivaltaa kerätä henkilökohtaisia tietoja pakkokeinoin tilanteissa, joissa lakia ei ole vielä rikottu (76), esimerkiksi rikoksen tai muun turvallisuusuhan estämiseksi (kuten on laita kansalliseen turvallisuuteen liittyvistä syistä tehdyissä tutkimuksissa).
                  
               
                     (115)
                  
                  
                     Lakisääteisyyden periaatteen mukaan mahdollisen pakkotutkinnan osana tapahtuvan tietojenkeruun on nimenomaisesti perustuttava lakiin (kuten ilmenee esimerkiksi rikosprosessilain 197 §:n 1 momentista, joka koskee pakkokeinoin tapahtuvaa tietojen keräämistä rikostutkintaa varten). Tämä vaatimus koskee myös pääsyä sähköiseen tietoon.
                  
               
                     (116)
                  
                  
                     Erityisesti on huomattava, että perustuslain 21 §:n 2 momentissa taataan kaikkien viestintävälineiden luottamuksellisuus, ja rajoitukset sallitaan ainoastaan yleistä etua koskevien säännösten nojalla. Televiestintälain 4 §:ssä, jonka mukaan teleoperaattorin käsittelemän viestinnän luottamuksellisuutta ei saa loukata, pannaan tämä luottamuksellisuusvaatimus täytäntöön lainsäädännön tasolla. Tätä on tulkittu siten, että siinä kielletään viestintätietojen luovuttaminen ilman käyttäjien suostumusta tai ilman että olisi kyse on jostain rikoslain mukaisesti rikosoikeudellisesta vastuusta tehtävästä nimenomaisesta poikkeuksesta (77).
                  
               
                     (117)
                  
                  
                     Perustuslaissa taataan myös oikeus vedota tuomioistuimeen (32 §) ja oikeus haastaa valtio oikeuteen korvauksen saamiseksi, jos henkilö on kärsinyt vahinkoa virkamiehen laittoman teon johdosta (17 §).
                  
               
                     (118)
                  
                  
                     Tietosuojaa koskevan oikeuden osalta henkilökohtaisten tietojen suojasta annetun lain III luvun 1, 2 ja 3 jaksossa vahvistetaan yleiset periaatteet, jotka koskevat kaikkia aloja, myös julkista sektoria. Erityisesti henkilökohtaisten tietojen suojasta annetun lain 3 §:ssä säädetään, että kaikkia henkilökohtaisia tietoja on käsiteltävä yksilöiden henkilöllisyyden kunnioittamista koskevan periaatteen mukaisesti. Kun viranomaiset (78) ovat keränneet (”hankkineet”) henkilökohtaisia tietoja, myös sähköisten tiedostojen osana, niiden käsittelyyn sovelletaan hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annettua lakia (79). Tähän sisältyy periaatteessa (80) myös henkilökohtaisten tietojen käsittely rikosalan lainvalvontatarkoituksessa tai kansallisen turvallisuuden vuoksi. Hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetussa laissa säädetään muun muassa, että i) viranomaiset saavat säilyttää henkilökohtaisia tietoja vain siinä määrin kuin se on tarpeen niiden tehtävien suorittamiseksi; ii) viranomaiset eivät saa käyttää näitä tietoja ”perusteetonta” tarkoitusta varten tai luovuttaa niitä kolmannelle osapuolelle ilman perusteltua syytä; iii) viranomaisten on määritettävä tietojen käyttötarkoitus eivätkä ne saa muuttaa tätä tarkoitusta niin, että se olisi laajempi kuin voidaan kohtuullisesti katsoa olevan asianmukaista alkuperäisen tarkoituksen kannalta (käyttötarkoituksen rajoittaminen); iv) viranomaiset eivät saa periaatteessa käyttää tai toimittaa kolmannelle osapuolelle säilytettyjä henkilökohtaisia tietoja muihin tarkoituksiin, ja jos ne katsovat tämän tarpeelliseksi, niiden on asetettava rajoituksia kolmansien osapuolten soveltamalle käyttötarkoitukselle tai -menetelmälle; v) viranomaisten on pyrittävä varmistamaan tietojen oikeellisuus (tietojen laatu); vi) viranomaisten on toteutettava tarvittavat toimenpiteet tietojen asianmukaiseksi hoitamiseksi ja tietovuotojen, tietojen häviämisen tai tietojen vahingoittumisen estämiseksi (tietoturva); ja vii) viranomaisten on pyrittävä käsittelemään kaikki tietojen käsittelyä koskevat valitukset asianmukaisesti ja nopeasti (81).
                  
               3.2   Japanilaisten viranomaisten pääsy tietoihin ja niiden käyttö rikosalan lainvalvontatarkoituksessa
         
         
                     (119)
                  
                  
                     Japanin lainsäädännössä on useita rajoituksia, jotka koskevat henkilötietoihin pääsyä ja niiden käyttöä rikosalan lainvalvontatarkoituksessa, sekä valvonta- ja oikaisumekanismeja, jotka tarjoavat riittävät takeet siitä, että tiedot suojataan tehokkaasti laittomilta teoilta ja väärinkäytön riskiltä.
                  
               3.2.1   Oikeusperusta ja sovellettavat rajoitukset/suojatoimet
         
         
                     (120)
                  
                  
                     Japanin oikeudellisessa kehyksessä sähköisen tiedon kerääminen rikosalan lainvalvontatarkoituksessa on sallittua määräyksen (pakkokeinoin toteutettava keruu) tai vapaaehtoista tietojen luovuttamista koskevan pyynnön perusteella.
                  
               3.2.1.1   Tuomioistuimen määräykseen perustuva pakkokeinoin toteutettava tutkinta
         
         
                     (121)
                  
                  
                     Kuten johdanto-osan 115 kappaleessa todetaan, pakkokeinoin toteutettavan tutkinnan yhteydessä tapahtuvan tietojen keräämisen on perustuttava nimenomaiseen lain säännökseen, ja se voidaan toteuttaa ainoastaan ”riittävästä syystä annetun” tuomioistuimen määräyksen perusteella (perustuslain 35 §). Rikosasioiden tutkinnan osalta tämä vaatimus on otettu huomioon rikosprosessilain säännöksissä. Kyseisen lain 197 §:n 1 momentin mukaan pakkotoimenpiteitä ”ei sovelleta, ellei tässä laissa ole vahvistettu sitä koskevia erityisiä säännöksiä”. Sähköisen tiedon keruun osalta tältä osin ainoat asiaankuuluvat (82) oikeusperustat ovat rikosprosessilain 218 § (etsintä ja takavarikko) ja 222-2 §, jonka mukaan sähköisen viestinnän kuunteluun ilman toisen osapuolen suostumusta liittyvät pakkotoimenpiteet toteutetaan muiden säädösten, nimittäin salakuuntelusta rikostutkintaa varten annetun lain, jäljempänä ’salakuuntelulaki’, nojalla. Kummassakin tapauksessa sovelletaan määräystä koskevaa vaatimusta.
                  
               
                     (122)
                  
                  
                     Rikosprosessilain 218 §:n 1 momentin mukaan yleinen syyttäjä, yleisen syyttäjän avustaja tai tutkinta-asioista vastaava poliisi voi toteuttaa tuomarin etukäteen antaman määräyksen perusteella etsinnän tai takavarikon (mukaan lukien asiakirjatiedostojen tilaaminen), jos tämä on tarpeen rikoksen tutkintaa varten (83). Tällaisessa määräyksessä voidaan esittää muun muassa epäillyn tai syytetyn nimi, rikosnimike (84), takavarikoitavat sähkömagneettiset tiedostot ja ”tarkastettava paikka tai tarkastettavat esineet” (rikosprosessilain 219 §:n 1 momentti).
                  
               
                     (123)
                  
                  
                     Telekuuntelun osalta salakuuntelulain 3 §:ssä sallitaan tällaiset toimenpiteet vain tiukoin edellytyksin. Viranomaisten on erityisesti saatava tuomioistuimen ennakolta antama määräys, joka voidaan antaa ainoastaan tiettyjen vakavien rikosten (jotka luetellaan lain liitteessä) (85) tutkimista varten ja silloin kun on ”erittäin vaikeaa tunnistaa rikollista tai selvittää rikokseen liittyviä tilanteita/yksityiskohtia jollain muulla tavalla” (86). Salakuuntelulain 5 §:n mukaan määräys annetaan rajoitetuksi ajaksi ja tuomari voi asettaa lisäehtoja. Lisäksi kyseisessä laissa säädetään useista muista suojatoimista, joita ovat esimerkiksi todistajien pakollinen osallistuminen (12 ja 20 §), kielto salakuunnella tiettyjen erityisasemassa olevien ryhmien (esimerkiksi lääkärit ja asianajajat) viestintää (15 §), velvollisuus lopettaa salakuuntelu, jos se ei ole enää perusteltua, myös määräyksen voimassaoloaikana (18 §) tai yleinen vaatimus ilmoittaa asiasta kyseiselle henkilölle ja antaa pääsy tiedostoihin kolmenkymmenen päivän kuluessa salakuuntelun lopettamisesta (23 ja 24 §).
                  
               
                     (124)
                  
                  
                     Kaikkien tuomioistuimen määräykseen perustuvien pakkotoimenpiteiden osalta tällainen tutkimus voidaan suorittaa ainoastaan ”sellaisena kuin on tarpeen sen tavoitteen saavuttamiseksi” eli silloin, kun tutkinnan tavoitteita ei voida saavuttaa muulla tavoin (rikosprosessilain 197 §:n 1 momentti). Vaikka tarpeellisuuden määrittämisen perusteita ei ole tarkemmin täsmennetty laissa, Japanin korkein oikeus on todennut, että määräyksen antaneen tuomarin olisi tehtävä yleisarviointi, jossa otetaan huomioon erityisesti seuraavat seikat: i) rikoksen vakavuus ja sen toteuttamistapa; ii) takavarikoitujen materiaalien arvo ja merkitys todistusaineistona; iii) todennäköisyys (vaara), että todiste voidaan kätkeä tai tuhota; ja iv) missä määrin takavarikko voi aiheuttaa vahinkoa asianomaiselle henkilölle (87).
                  
               3.2.1.2   ”Tutkintalomakkeeseen” perustuva tietojen vapaaehtoista luovuttamista koskeva pyyntö
         
         
                     (125)
                  
                  
                     Viranomaiset voivat toimivaltansa rajoissa kerätä myös sähköistä tietoa, joka perustuu tietojen vapaaehtoista luovuttamista koskeviin pyyntöihin. Tällä tarkoitetaan ei-pakollista yhteistyön muotoa silloin, kun pyynnön noudattamiseksi ei voida ryhtyä pakkotoimenpiteisiin (88), jolloin viranomaisten ei tarvitse hankkia tuomioistuimen määräystä.
                  
               
                     (126)
                  
                  
                     Siinä määrin kuin pyyntö on osoitettu toiminnanharjoittajalle ja koskee henkilökohtaisia tietoja, toiminnanharjoittajan on noudatettava henkilökohtaisten tietojen suojasta annetun lain vaatimuksia. Henkilökohtaisten tietojen suojasta annetun lain 23 §:n 1 momentin mukaan toiminnanharjoittajat voivat luovuttaa henkilökohtaisia tietoja kolmansille osapuolille ilman asianomaisen henkilön suostumusta vain tietyissä tapauksissa, esimerkiksi silloin, kun luovuttaminen tapahtuu ”lakien ja määräysten perusteella” (89). Rikosalan lainvalvonnassa tällaisten pyyntöjen oikeusperusta on rikosprosessilain 197 §:n 2 momentti, jonka mukaan ”yksityisiä organisaatioita voidaan pyytää raportoimaan tutkintaan liittyvistä tarpeellisista asioista”. ”Tutkintalomakkeen” käyttö edellyttää aina konkreettista epäilyä rikokseen syyllistymisestä, joten sitä voidaan käyttää vain osana rikoksen tutkintaa (90). Koska tällaisen tutkinnan suorittaa yleensä prefektuurin poliisi, sovelletaan poliisilain (91) 2 §:n 2 momentin mukaisia rajoituksia. Kyseisen säännöksen mukaan poliisin toiminta on ”tiukasti rajoitettu” poliisin velvollisuuksien ja tehtävien täyttämiseen (toisin sanoen rikosten ehkäisemiseen, torjumiseen ja tutkintaan). Lisäksi poliisin on tehtäviään hoitaessaan toimittava puolueettomalla, ennakkoluulottomalla ja oikeudenmukaisella tavalla eikä hän saa koskaan käyttää väärin toimivaltaansa ”tavalla, joka haittaa Japanin perustuslaissa taattuja yksilön oikeuksia ja vapauksia” (johon sisältyvät, kuten edellä on esitetty, oikeus yksityisyyteen ja tietosuojaan) (92).
                  
               
                     (127)
                  
                  
                     Erityisesti rikosprosessilain 197 §:n 2 momentin osalta kansallinen poliisivirasto, joka on liittovaltion viranomaisena vastuussa muun muassa kaikista rikospoliisia koskevista asioista, on antanut prefektuurin poliisille (93) ohjeet ”tutkinta-asioihin liittyvien kirjallisten selvitysten asianmukaisesta käytöstä”. Kyseisen ilmoituksen mukaan pyynnöt on tehtävä käyttäen esitäytettyä lomaketta (”lomake nro 49” tai niin sanottu ”tutkintalomake”) (94), pyyntöjen on koskettava ”tiettyyn tutkintaan” liittyviä asiakirjoja ja pyydettyjen tietojen on oltava ”[kyseisen] tutkimuksen kannalta tarpeellisia”. Kussakin tapauksessa päätutkijan on ”tarkasteltava perusteellisesti muun muassa kunkin pyynnön tarpeellisuutta ja sisältöä” ja saatava pyynnölle korkea-arvoisen virkamiehen sisäinen hyväksyntä.
                  
               
                     (128)
                  
                  
                     Lisäksi Japanin korkein oikeus on kahdessa vuosina 1969 ja 2008 antamassaan tuomiossa (95) asettanut rajoituksia sellaisten ei-pakollisten toimenpiteiden osalta, jotka haittaavat oikeutta yksityisyyteen (96). Tuomioistuin on katsonut, että tällaisten toimenpiteiden on oltava ”kohtuullisia” ja niiden on pysyttävä yleisesti sallituissa rajoissa, toisin sanoen niiden on oltava tarpeellisia epäillyn tutkimiseksi (todisteiden kerääminen) ja ne on suoritettava ”tutkinnan tarkoituksen täyttävin asianmukaisin menetelmin” (97). Tuomiot osoittavat, että tähän liittyy oikeasuhteisuutta koskeva testi, jossa otetaan huomioon kaikki asiaan liittyvät olosuhteet (esimerkiksi se, missä määrin yksityisyyttä koskevaan oikeuteen puututaan, mukaan lukien oletus yksityisyydestä, rikoksen vakavuus, todennäköisyys käyttökelpoisten todisteiden löytymisestä, todisteiden merkitys ja mahdolliset vaihtoehtoiset tutkintakeinot) (98).
                  
               
                     (129)
                  
                  
                     Näiden julkisen vallan käyttöä koskevien rajoitusten lisäksi toiminnanharjoittajien odotetaan itse tarkistavan (”vahvistavan”), että tietojen luovuttaminen kolmannelle osapuolelle on ”tarpeellista” ja ”järkevää” (99). Tähän sisältyy kysymys siitä, estääkö laki yhteistyön tekemisen. Tällaiset ristiriitaiset oikeudelliset velvoitteet voivat johtua erityisesti salassapitovelvoitteista, kuten rikoslain 134 §:stä (joka koskee esimerkiksi lääkärin, asianajajan tai papin suhdetta asiakkaaseensa). Lisäksi ”kaikkien televiestintäalalla toimivien henkilöiden on toimessaan pidettävä luottamuksellisina muiden henkilöiden tiedot, jotka he ovat saaneet tietoonsa teleoperaattorin käsittelemän viestinnän osalta” (televiestintäliiketoimintaa koskevan lain 4 §:n 2 momentti). Tämä velvoite perustuu televiestintäliiketoimintaa koskevan lain 179 §:ssä säädettyyn seuraamukseen, jonka mukaan kuka tahansa, joka on rikkonut teleoperaattorin käsittelemän viestinnän luottamuksellisuutta, on syyllistynyt rikokseen, josta määrätään pakkotyörangaistus, jonka kesto on enintään kaksi vuotta, tai enintään yhden miljoonan jenin sakko (100). Tämä vaatimus ei ole ehdoton, ja erityisesti sellaiset viestintäsalaisuutta rikkovat toimenpiteet, jotka katsotaan rikoslain 35 §:n mukaisiksi ”perustelluiksi toimiksi”, ovat tämän vaatimuksen osalta sallittuja. Tämä poikkeus ei kuitenkaan koske vastauksia ei-pakollisiin viranomaisten pyyntöihin, jotka liittyvät sähköisen tiedon luovuttamiseen rikosprosessilain 197 §:n 2 momentin mukaisesti (101).
                  
               3.2.1.3   Kerättyjen tietojen jatkokäyttö
         
         
                     (130)
                  
                  
                     Kun Japanin viranomaiset ovat keränneet henkilökohtaiset tiedot, ne kuuluvat hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain soveltamisalaan. Kyseisellä lailla säännellään ”säilytettyjen henkilökohtaisten tietojen” käsittelyä, ja siinä säädetään useista rajoituksista ja suojatoimista (ks. johdanto-osan 118 kappale) (102). Lisäksi se, että hallintoelin voi säilyttää henkilökohtaisia tietoja ”vain silloin, kun säilyttäminen on välttämätöntä sen toimivaltaan kuuluvien asioiden hoitamiseksi lakien ja määräysten mukaisesti” (hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain 3 §:n 1 momentti), rajoittaa myös – ainakin välillisesti – jo alun perinkin tietojen keräämistä.
                  
               3.2.2   Riippumaton valvonta
         
         
                     (131)
                  
                  
                     Japanissa sähköisen tiedon keräämisestä lainvalvonnan alalla (103) vastaa ennen kaikkea prefektuurin poliisi (104), johon tässä suhteessa sovelletaan monentasoista valvontaa.
                  
               
                     (132)
                  
                  
                     Ensinnäkin kaikissa tapauksissa, joissa sähköinen tieto kerätään pakkokeinoin (etsintä ja takavarikko), poliisin on hankittava tuomioistuimen ennakkomääräys (ks. johdanto-osan 121 kappale). Sen vuoksi tuomari tarkastaa näissä tapauksissa etukäteen tietojen keräämisen asianmukaisuuden ja soveltaa tällöin tiukasti ns. ”riittävien syiden” sääntöä.
                  
               
                     (133)
                  
                  
                     Kun kyseessä on pyyntö luovuttaa tietoja vapaaehtoisesti, tuomari ei suorita ennakkotarkastusta, mutta toiminnanharjoittajat, joille pyynnöt on osoitettu, voivat vastustaa niitä ilman kielteisiä seurauksia (ja niiden on otettava huomioon tietojen luovuttamisen vaikutukset yksityisyyden suojaan). Lisäksi rikosprosessilain 192 §:n 1 momentin mukaan poliisiviranomaiset tekevät aina yhteistyötä ja koordinoivat toimiaan yleisen syyttäjän (ja prefektuurin yleisen turvallisuuden komitean) kanssa (105). Yleinen syyttäjä voi puolestaan antaa tarpeelliset yleisohjeet oikeudenmukaista tutkimusta varten ja/tai antaa erityismääräyksiä yksittäisen tutkimuksen osalta (rikosprosessilain 193 §). Jos ohjeita ja/tai määräyksiä ei noudateta, syyttäjä voi esittää kurinpitotoimia (rikosprosessilain 194 §). Prefektuurin poliisi toimii siten yleisen syyttäjän valvonnassa.
                  
               
                     (134)
                  
                  
                     Toiseksi perustuslain 62 §:n mukaan Japanin parlamentin kummatkin kamarit voivat suorittaa valtioneuvoston suhteen tutkimuksia muun muassa poliisin suorittaman tiedonkeruun laillisuudesta. Kamari voi sen vuoksi vaatia todistajien läsnäoloa ja todistajanlausuntoja ja/tai asiakirjojen esittämistä. Tutkintavaltuuksia tarkennetaan parlamenttia koskevassa laissa ja erityisesti sen XII luvussa. Erityisesti parlamenttia koskevan lain 104 §:ssä määrätään, että hallituksen, julkisten virastojen ja muiden valtioneuvoston osien on ”noudatettava kamarin tai sen komiteoiden pyyntöjä luovuttaa tutkimuksen kannalta välttämättömiä raportteja ja asiakirjoja.” Pyynnöstä voi kieltäytyä vain, jos valtioneuvosto esittää perustellun syyn, jonka parlamentti hyväksyy, tai jos annetaan virallinen ilmoitus siitä, että raporttien ja asiakirjojen luovuttamisesta on ”vakavaa haittaa kansallisille eduille” (106). Parlamentin jäsenet voivat lisäksi esittää kirjallisia kysymyksiä hallitukselle (parlamenttia koskevan lain 74 ja 75 §). Aiemmin tällaiset ”kirjalliset kyselyt” ovat koskeneet myös viranomaisten suorittamaa henkilökohtaisten tietojen käsittelyä (107). Esimerkiksi salakuuntelulain 29 §:n mukainen raportointivelvollisuus tukee parlamentin roolia toimeenpanoelimen valvojana.
                  
               
                     (135)
                  
                  
                     Kolmanneksi prefektuurin poliisiin sovelletaan riippumatonta valvontaa myös toimeenpanohaaran sisällä. Valvontaa harjoittavat erityisesti prefektuurin yleisen turvallisuuden komiteat, jotka on perustettu prefektuurin tasolla varmistamaan poliisin demokraattinen hallinto ja poliittinen puolueettomuus (108). Kyseiset komiteat koostuvat prefektuurin kuvernöörin nimittämistä jäsenistä, jotka hyväksytään prefektuurin yleiskokouksessa (koostuu kansalaisista, joilla ei viitenä edeltävänä vuotena ole ollut julkista virkaa poliisitoimessa). Jäsenillä on turvattu toimikausi (irtisanominen vain hyvästä syystä) (109). Saatujen tietojen mukaan niille ei voida antaa ohjeita ja ne ovat siten täysin riippumattomia (110). Poliisilain 38 §:n 3 momentin sekä kyseisen lain 2 §:n ja 36 §:n 2 momentin mukaisesti prefektuurin yleisen turvallisuuden komiteoiden tehtäviin ja toimivaltuuksiin kuuluu ”suojella yksilön oikeuksia ja vapauksia”. Tämän vuoksi niillä on valtuudet ”valvoa” (111) prefektuurin poliisin kaikkia tutkintatoimia, myös henkilötietojen keräämistä. Erityisesti komiteat ”voivat tarvittaessa ohjata prefektuurin poliisia yksityiskohtaisesti tai erityisissä yksittäistapauksissa, jotka koskevat poliisin henkilöstön väärinkäytöksiä.” (112) Kun prefektuurin poliisin päällikkö (113) saa kyseistä ohjausta tai saa itse tietoonsa mahdollisen väärinkäytöksen (mukaan lukien lakien rikkominen tai muu velvollisuuksien laiminlyönti), päällikön on välittömästi tutkittava tapaus ja raportoitava tutkimuksensa tuloksista prefektuurin yleisen turvallisuuden komitealle (poliisilain 56 §:n 3 momentti). Yleisen turvallisuuden komitea voi myös nimetä yhden jäsenistään tarkastelemaan täytäntöönpanon tilaa, jos se pitää tätä tarpeellisena. Prosessia jatketaan siihen asti kunnes prefektuurin yleisen turvallisuuden komitea on vakuuttunut siitä, että tilanteeseen on puututtu asianmukaisesti.
                  
               
                     (136)
                  
                  
                     Lisäksi toimivaltaisella ministerillä tai viraston päälliköllä (kuten kansallisen poliisiviraston ylijohtajalla) on hallintoelinten hallussa olevien henkilötietojen suojasta annetun lain asianmukaisen soveltamisen osalta täytäntöönpanovalta, jota valvoo sisä- ja viestintäministeriö. Hallintoelinten hallussa olevien henkilötietojen suojasta annetun lain 49 §:n mukaisesti sisä- ja viestintäministeriö ”voi kerätä tämän lain täytäntöönpanon tilaa koskevia raportteja” hallintoelimien päälliköiltä (ministereiltä). Valvonnan tukena ovat myös sisä- ja viestintäministeriön 51 ”kattavaa tietokeskusta” (yksi Japanin kussakin prefektuurissa), jotka käsittelevät vuosittain tuhansia tiedusteluja (114) (jotka puolestaan voivat paljastaa mahdollisia lain rikkomisia). Sisä- ja viestintäministeriö voi pyytää selityksiä ja todistusaineistoja, jos se katsoo tämän olevan tarpeen sen varmistamiseksi, että lakia noudatetaan, ja antaa lausuntoja, jotka koskevat asianomaisen hallintoelimen suorittamaa henkilökohtaisten tietojen käsittelyä (hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain 50 ja 51 §).
                  
               3.2.3   Yksilölliset oikeussuojakeinot
         
         
                     (137)
                  
                  
                     Sen lisäksi, että valvontaa harjoitetaan viran puolesta, henkilöillä on myös useita mahdollisuuksia saada yksilöllistä hyvitystä sekä riippumattomilta viranomaisilta (kuten prefektuurin yleisen turvallisuuden komiteat tai henkilötietosuojalautakunta) että Japanin tuomioistuimilta.
                  
               
                     (138)
                  
                  
                     Ensinnäkin hallintoelimillä on keräämiensä henkilökohtaisten tietojen osalta velvollisuus ”pyrkiä käsittelemään asianmukaisesti ja nopeasti kaikki valitukset”, jotka koskevat niiden suorittamaa myöhempää henkilökohtaisten tietojen käsittelyä (hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain 48 §). Vaikka hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain IV lukua henkilöiden oikeuksista ei sovelleta henkilökohtaisiin tietoihin, jotka on kirjattu ”oikeudenkäyntejä ja takavarikoituja tavaroita koskeviin asiakirjoihin” (rikosprosessilain 53 §:n 2 momentin 2 kohta) (kattaa osana rikostutkintaa kerätyt henkilökohtaiset tiedot), henkilöt voivat tehdä valituksen vetoamalla yleisiin tietosuojaperiaatteisiin kuten velvollisuuteen säilyttää henkilökohtaiset tiedot ainoastaan ”silloin, kun säilyttäminen on tarpeen [lainvalvontaan liittyvien tehtävien] suorittamiseksi” (hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain 3 §:n 1 momentti).
                  
               
                     (139)
                  
                  
                     Lisäksi poliisilain 79 §:ssä taataan, että henkilöillä, jotka ovat huolissaan siitä, miten poliisihenkilöstö ”suorittaa tehtäviään”, on oikeus tehdä valitus (toimivaltaiselle) riippumattomalle prefektuurin yleisen turvallisuuden komitealle. Yleisen turvallisuuden komitea käsittelee tällaiset valitukset ”tarkoin” lakien ja paikallisten määräysten mukaisesti ja ilmoittaa tuloksista valituksen tekijälle kirjallisesti. Yleisen turvallisuuden komitea voi pyytää prefektuurin poliisia tutkimaan tosiseikkoja, toteuttamaan asianmukaisia toimenpiteitä tämän tutkimuksen tulosten perusteella ja raportoimaan tuloksista. Tämä perustuu toimivaltaan, joka komitealla on prefektuurin poliisin valvomiseksi ja ohjaamiseksi ”henkilöstön väärinkäytösten” osalta (poliisilain 38 §:n 3 momentti ja 43 §:n 2 momentin 1 kohta). Jos se katsoo, että poliisin toteuttama tutkimus ei ole ollut asianmukainen, yleisen turvallisuuden komitea voi myös antaa ohjeita valituksen käsittelystä.
                  
               
                     (140)
                  
                  
                     Valitusten käsittelyn helpottamiseksi kansallinen poliisivirasto antoi poliisille ja prefektuurien yleisen turvallisuuden komiteoille ”tiedonannon” siitä, miten käsitellä asianmukaisesti poliisityöhön liittyviä valituksia. Kyseisessä asiakirjassa kansallinen poliisivirasto määrittää normit poliisilain 79 §:n tulkinnalle ja täytäntöönpanolle. Siinä edellytetään muun muassa, että prefektuurin poliisi perustaa ”valitusten käsittelyjärjestelmän” ja käsittelee kaikki valitukset sekä raportoi niistä ”nopeasti” toimivaltaiselle prefektuurin yleisen turvallisuuden komitealle. Tiedonannossa valitukset määritellään vaatimuksiksi, joilla haetaan oikaisua ”sellaisen erityisen haitan johdosta, joka on aiheutunut laittoman tai epäasianmukaisen käytöksen vuoksi” (115), tai ”sen vuoksi, että poliisiviranomainen ei ole ryhtynyt tarvittaviin toimiin hoitaessaan tehtäviään” (116), tai ”sellaisten valituksen- tai tyytymättömyydenaiheiden vuoksi, jotka liittyvät poliisiviranomaisen epäasianmukaiseen tapaan hoitaa tehtäviään”. Valituksen aineellinen soveltamisala on siten määritelty laajasti, ja se kattaa kaikki lainvastaista tietojenkeruuta koskevat vaatimukset. Valituksen tekijän ei tarvitse osoittaa kärsineensä vahinkoa poliisiviranomaisen toimesta. Tiedonannossa todetaan erityisesti, että ulkomaalaisille (ja muille) on annettava apua valituksen laatimisessa. Valituksen vastaanottamisen jälkeen prefektuurin yleisen turvallisuuden komiteoiden on varmistettava, että prefektuurin poliisi tutkii tosiseikat, toteuttaa toimenpiteitä ”tutkimuksen tulosten mukaisesti” ja raportoi tuloksista. Jos yleisen turvallisuuden komitea katsoo, että tutkimus on riittämätön, sen on annettava valituksen käsittelyä koskeva ohjeistus, jota prefektuurin poliisin on noudatettava. Saatujen raporttien ja toteutettujen toimenpiteiden perusteella yleisen turvallisuuden komitea ilmoittaa asianomaiselle muun muassa valituksen johdosta toteutetuista toimenpiteistä. Kansallisen poliisiviraston tiedonannossa korostetaan, että valituksia olisi käsiteltävä ”vilpittömästi” ja että tuloksista olisi ilmoitettava ”sen ajan kuluessa […], joka katsotaan asianmukaiseksi sosiaalisten normien ja arkipäättelyn perusteella.”
                  
               
                     (141)
                  
                  
                     Koska oikeussuojaa on luonnollisesti haettava ulkomaisesta järjestelmästä ja vieraalla kielellä, Japanin hallitus on käyttänyt valtuuksiaan ja luonut tämän alan valitusten käsittelyä ja ratkaisemista varten erityisjärjestelmän, jota henkilötietosuojalautakunta hallinnoi ja valvoo. Näin voidaan helpottaa sellaisten EU:n kansalaisten oikeussuojan saantia, joiden henkilötietoja siirretään Japanissa toimiville toiminnanharjoittajille ja sen jälkeen viranomaisten tarkasteltaviksi. Järjestelmä perustuu henkilökohtaisten tietojen suojasta annetussa laissa Japanin viranomaisille määrättyyn yhteistyövelvoitteeseen ja henkilötietosuojalautakunnan erityisrooliin siltä osin, kun on kyse henkilökohtaisten tietojen suojasta annetun lain 6 §:n mukaisista kansainvälisistä tiedonsiirroista kolmansista maista ja peruspolitiikasta (sellaisena kuin Japanin hallitus on sen vahvistanut määräyksellään). Tämän järjestelmän yksityiskohdat esitetään Japanin valtioneuvostolta saaduissa virallisissa lausunnoissa, vakuutuksissa ja sitoumuksissa, jotka ovat tämän päätöksen liitteenä II. Järjestelmään ei sovelleta mitään pysyvää vaatimusta, ja siihen voi liittyä kuka tahansa riippumatta siitä, epäilläänkö tai syytetäänkö häntä rikoksesta.
                  
               
                     (142)
                  
                  
                     Järjestelyn mukaisesti henkilö, joka epäilee, että Japanin viranomaiset (mukaan lukien rikoslain valvonnasta vastaavat viranomaiset) ovat keränneet tai käyttäneet hänen Euroopan unionista siirrettyjä tietojaan sääntöjen vastaisesti, voivat jättää valituksen henkilötietosuojalautakunnalle (henkilökohtaisesti tai yleisen tietosuoja-asetuksen 51 artiklassa tarkoitetun tietosuojaviranomaisensa kautta). Henkilötietosuojalautakunnalla on velvollisuus käsitellä valitus ja ilmoittaa siitä ensimmäisessä vaiheessa toimivaltaisille viranomaisille, mukaan lukien asiaankuuluvat valvontaelimet. Kyseisten viranomaisten on toimittava yhteistyössä henkilötietosuojalautakunnan kanssa ”muun muassa toimittamalla tarvittavat tiedot ja asiaankuuluvan aineiston, jotta henkilötietosuojalautakunta voi arvioida, onko henkilökohtaisten tietojen keruu tai myöhempi käyttö tapahtunut sääntöjen mukaisesti.” (117) Tämä velvoite johtuu henkilökohtaisten tietojen suojasta annetun lain 80 §:stä, jossa Japanin viranomaiset velvoitetaan toimimaan yhteistyössä henkilötietosuojalautakunnan kanssa. Sitä sovelletaan yleisesti, ja se koskee siten kaikkien kyseisten viranomaisten suorittamien tutkintatoimien tarkastelua. Viranomaiset ovat lisäksi sitoutuneet yhteistyöhön toimivaltaisten ministeriöiden ja virastojen päälliköiden kirjallisilla vakuutuksilla, kuten liitteessä II esitetään.
                  
               
                     (143)
                  
                  
                     Jos arvioinnista käy ilmi, että sovellettavia sääntöjä on rikottu, ”viranomaisten yhteistyö henkilötietosuojalautakunnan kanssa sisältää velvollisuuden korjata rikkomus”, mikä henkilökohtaisten tietojen laittoman keruun tapauksessa kattaa kyseisten tietojen poistamisen. Tämä velvoite toteutetaan henkilötietosuojalautakunnan valvonnassa, ja lautakunta ”vahvistaa ennen arvioinnin päätökseen saattamista, että rikkominen on täysin korjattu”.
                  
               
                     (144)
                  
                  
                     Kun arviointi on saatu päätökseen, henkilötietosuojalautakunta ilmoittaa asianomaiselle henkilölle kohtuullisen ajan kuluessa arvioinnin tuloksesta ja tarvittaessa korjaavista toimista. Samaan aikaan henkilötietosuojalautakunta ilmoittaa asianomaiselle myös mahdollisuudesta saada vahvistus tuloksesta toimivaltaiselta viranomaiselta ja ilmoittaa, mille viranomaiselle tällainen vahvistuspyyntö on esitettävä. Mahdollisuus saada tällainen vahvistus, mukaan lukien toimivaltaisen viranomaisen päätöksen taustalla olevat perustelut, voi auttaa asianomaista, kun hän ryhtyy esimerkiksi hakemaan oikeussuojaa. Arvioinnin tuloksia koskevien yksityiskohtaisten tietojen luovuttamista voidaan rajoittaa niin kauan kuin on perusteltua syytä katsoa, että tällaisten tietojen antaminen todennäköisesti aiheuttaa riskin käynnissä olevalle tutkimukselle.
                  
               
                     (145)
                  
                  
                     Kolmanneksi henkilö, joka vastustaa tuomarin antamaa päätöstä takavarikoida (takavarikkomääräys) (118) hänen henkilötietojaan, tai poliisin tai syyttäjälaitoksen toimenpiteitä kyseistä päätöstä täytäntöönpantaessa, voi esittää pyynnön kumota tai muuttaa kyseisen päätöksen tai kyseiset toimenpiteet (rikosprosessilain 429 §:n 1 momentti, 430 §:n 1 ja 2 momentti ja salakuuntelulain 26 §) (119). Jos muutoksenhakutuomioistuin katsoo, että joko takavarikkomääräys tai sen täytäntöönpano (”takavarikkomenettely”) on laiton, se hyväksyy pyynnön ja määrää takavarikoinnin kohteen palautettavaksi (120).
                  
               
                     (146)
                  
                  
                     Neljänneksi välillisempi oikeudellisen valvonnan muoto on se, että henkilö, joka katsoo, että hänen henkilökohtaisten tietojensa kerääminen osana rikostutkintaa oli lainvastaista, voi rikosoikeudenkäyntinsä aikana vedota tähän lainvastaisuuteen. Jos tuomioistuin hyväksyy tämän, se voi johtaa näytön hylkäämiseen.
                  
               
                     (147)
                  
                  
                     Lopuksi valtion oikeussuojakeinoja koskevan lain 1 §:n 1 momentin mukaisesti tuomioistuin voi myöntää korvausta, jos valtion viranomainen on tehtävissään lainvastaisesti ja virheellisesti (tahallisesti tai tuottamuksellisesti) aiheuttanut asianomaiselle vahinkoa. Valtion oikeussuojakeinoja koskevan lain 4 §:n mukaisesti valtion vahingonkorvausvastuu perustuu siviililain säännöksiin. Siviililain 710 §:ssä säädetään tältä osin, että vastuu kattaa myös muut kuin omaisuuteen liittyvät vahingot eli näin ollen myös henkiset vahingot (esimerkiksi ”henkinen kärsimys”). Tähän sisältyvät tapaukset, joissa henkilön yksityisyyteen on puututtu laittoman valvonnan kautta ja/tai keräämällä hänen henkilökohtaisia tietojaan (esim. tuomioistuimen määräyksen lainvastainen täytäntöönpano) (121).
                  
               
                     (148)
                  
                  
                     Rahallisten korvausten lisäksi yksityishenkilöt voivat tietyin edellytyksin esittää kieltovaatimuksia (esim. viranomaisten keräämien henkilötietojen poistaminen) perustuslain 13 §:n mukaisten yksityisyydensuojaoikeuksiensa nojalla (122).
                  
               
                     (149)
                  
                  
                     Ottaen huomioon kaikki mainitut oikeussuojakeinot henkilö, joka on yhä tyytymätön menettelyn tulokseen, voi Japanin valtioneuvoston perustaman riitojenratkaisumekanismin mukaisesti ilmoittaa asiasta henkilötietosuojalautakunnalle, joka ”antaa asianomaiselle tietoja eri mahdollisuuksista ja yksityiskohtaisista menettelyistä oikeussuojakeinojen hakemiseksi Japanin lakien ja määräysten mukaisesti.” Lisäksi ”henkilötietosuojalautakunta tukee asianomaista, mukaan lukien neuvomalla ja avustamalla asian saattamisessa asiaankuuluvan hallinnollisen tai oikeudellisen elimen jatkokäsittelyyn.”
                  
               
                     (150)
                  
                  
                     Tähän kuuluu prosessuaalisten oikeuksien hyödyntäminen rikosprosessilain mukaisesti. Esimerkiksi ”jos arvioinnissa ilmenee, että henkilö on rikoksesta epäilty, henkilötietosuojalautakunta ilmoittaa hänelle tästä asiasta” (123) sekä rikosprosessilain 259 §:n mukaisesta mahdollisuudesta pyytää, että syyttäjä ilmoittaa hänelle, kun se on päättänyt olla aloittamatta rikosoikeudenkäyntiä. Jos arviointi osoittaa myös, että asianomaisen henkilökohtaisia tietoja sisältävän asian käsittely on aloitettu ja saatettu päätökseen, henkilötietosuojalautakunta ilmoittaa asianomaiselle, että asiaa koskevia asiakirjoja voi tarkastella rikosprosessilain 53 §:n mukaisesti (ja lopullisia rikostapauksia koskevista rekistereistä annetun lain 4 §:n mukaisesti). Pääsy omaa tapausta koskeviin asiakirjoihin on tärkeää, sillä se auttaa asianomaista ymmärtämään paremmin häntä vastaan aloitettua tutkintaa ja valmistelemaan häntä näin mahdollisen kanteen (esim. vahingonkorvauskanteen) esittämiseen, jos asianomainen katsoo, että hänen tietojaan on kerätty tai käytetty lainvastaisesti.
                  
               3.3   Japanin viranomaisten pääsy tietoihin ja niiden käyttö kansalliseen turvallisuuteen liittyviin tarkoituksiin
         
         
                     (151)
                  
                  
                     Japanin viranomaisten mukaan Japanissa ei ole lainsäädäntöä, joka sallisi pakolliset tietopyynnöt tai ”hallinnollisen salakuuntelun” muualla kuin rikostutkinnassa. Kansalliseen turvallisuuteen liittyvistä syistä tietoja voidaan siten hankkia vain tietolähteestä, joka on kaikkien vapaasti käytettävissä, tai vapaaehtoisella ilmoituksella. Toiminnanharjoittajat, jotka vastaanottavat vapaaehtoista yhteistyötä koskevan pyynnön (sähköisessä muodossa annettavista tiedoista) eivät lain mukaan ole velvollisia antamaan kyseisiä tietoja (124).
                  
               
                     (152)
                  
                  
                     Lisäksi saatujen tietojen mukaan kansallisista turvallisuussyistä vain seuraavalla neljällä valtion laitoksella on valtuudet kerätä Japanin toiminnanharjoittajien hallussa olevia sähköisiä tietoja: i) hallituksen tieto- ja tutkimusvirasto; ii) puolustusministeriö; iii) poliisiviranomaiset (sekä kansallinen poliisivirasto (125) että prefektuurin poliisi); ja iv) yleisten turvallisuus- ja tiedusteluasioiden virasto. Hallituksen tieto- ja tutkimusvirasto ei kuitenkaan koskaan kerää tietoja toiminnanharjoittajilta suoraan esimerkiksi viestintätietoja kuuntelemalla. Kun se saa tietoja muilta viranomaisilta, jotta se voi tehdä hallitukselle toimitettavan analyysin, kyseisten muiden viranomaisten on puolestaan noudatettava lakia ja myös tässä päätöksessä tarkasteltuja rajoituksia ja suojatoimia. Sen toiminnalla ei siis ole merkitystä siirron yhteydessä.
                  
               3.3.1   Oikeusperusta ja sovellettavat rajoitukset/suojatoimet
         
         
                     (153)
                  
                  
                     Saatujen tietojen mukaan puolustusministeriö kerää (sähköisiä) tietoja puolustusministeriön perustamisesta annetun lain nojalla. Lain 3 §:n mukaan puolustusministeriön tehtävä on hallinnoida ja johtaa asevoimia ja ”suorittaa siihen liittyviä tehtäviä kansallisen rauhan ja maan itsenäisyyden sekä kansakunnan turvallisuuden takaamiseksi.” Lain 4 §:n 4 momentissa säädetään, että puolustusministeriöllä on toimivalta ”puolustuksen ja suojelun osalta” sekä itsepuolustusvoimien toteuttamien toimien ja asevoimien käytön suhteen, mukaan lukien kyseisten toimien toteuttamiseksi tarvittavien tietojen kerääminen. Sillä on valtuudet kerätä ainoastaan (sähköisiä) tietoja toiminnanharjoittajilta vapaaehtoisen yhteistyön kautta.
                  
               
                     (154)
                  
                  
                     Prefektuurin poliisin velvollisuuksiin ja tehtäviin kuuluu ”yleisen turvallisuuden ja järjestyksen ylläpitäminen” (poliisilain 35 §:n 2 momentti yhdessä 2 §:n 1 momentin kanssa). Toimivallan rajoissa poliisi voi kerätä tietoja ainoastaan vapaaehtoisuuden pohjalta ilman pakkokeinoja. Lisäksi poliisin toiminta on ”tiukasti rajattu” siihen, mikä on tarpeen sen tehtävien hoitamiseksi. Poliisin toiminnan on myös oltava ”puolueetonta, oikeudenmukaista ja siihen ei saa liittyä ennakkoasenteita”. Poliisi ei saa koskaan käyttää valtaansa väärin ”tavalla, joka on ristiriidassa Japanin perustuslaissa taattujen yksilön oikeuksien ja vapauksien kanssa” (poliisilain 2 §).
                  
               
                     (155)
                  
                  
                     Lisäksi yleisten turvallisuus- ja tiedusteluasioiden virasto voi suorittaa tutkintaa kumouksellisen toiminnan ehkäisemisestä annetun lain ja joukkomurhia toteuttaneiden järjestöjen valvonnasta annetun lain nojalla, jos tutkinta on välttämätöntä valvontatoimien valmistelemiseksi tiettyjä järjestöjä vastaan (126). Yleisten turvallisuus- ja tiedusteluasioiden viraston pääjohtajan pyynnöstä yleistä turvallisuutta käsittelevä tutkintakomissio voi molempien lakien nojalla antaa tiettyjä ”määräyksiä” (jotka koskevat valvontaa/kieltoja joukkomurhia toteuttaneiden järjestöjen valvonnasta annetun lain nojalla (127) ja lakkauttamisia/kieltoja kumouksellisen toiminnan ehkäisemisestä annetun lain nojalla (128)). Tässä yhteydessä yleisten turvallisuus- ja tiedusteluasioiden virasto voi suorittaa tutkimuksia (129). Saatujen tietojen mukaan kyseiset tutkimukset suoritetaan aina vapaaehtoisesti, mikä tarkoittaa sitä, että yleisten turvallisuus- ja tiedusteluasioiden virasto ei saa pakottaa henkilökohtaisten tietojen haltijaa antamaan tällaisia tietoja (130). Kaikki valvonta- ja tutkimustoimet rajoitetaan vain välttämättömimpään valvonnan tavoitteen saavuttamiseksi. Niillä ei missään olosuhteissa rajoiteta ”perusteettomasti” Japanin perustuslaissa taattuja oikeuksia ja vapauksia (kumouksellisen toiminnan ehkäisemisestä annetun lain / joukkomurhia toteuttaneiden järjestöjen valvonnasta annetun lain 3 §:n 1 momentti). Lisäksi kumouksellisen toiminnan ehkäisemisestä annetun lain / joukkomurhia toteuttaneiden järjestöjen valvonnasta annetun lain 3 §:n 2 momentin mukaisesti yleisten turvallisuus- ja tiedusteluasioiden virasto ei saa missään olosuhteissa käyttää väärin tällaista valvontaa tai tällaisen valvonnan valmistelua koskevia tutkimuksia. Jos yleisiä turvallisuus- ja tiedusteluasioita käsittelevä viranomainen on käyttänyt asianomaisen lain nojalla hänelle annettua valtaa väärin ja pakottanut henkilön tekemään jotain, mitä hänen ei edellytetä tekevän, tai on puuttunut henkilön oikeuksiin, kyseiselle viranomaiselle voidaan määrätä rikosoikeudellisia seuraamuksia kumouksellisen toiminnan ehkäisemisestä annetun lain 45 §:n tai joukkomurhia toteuttaneiden järjestöjen valvonnasta annetun lain 42 §:n nojalla. Lisäksi molemmissa laeissa nimenomaisesti säädetään, että niiden määräyksiin ja niissä myönnettyihin valtuuksiin ”ei saa missään olosuhteissa soveltaa laajentavaa tulkintaa” (kumouksellisen toiminnan ehkäisemisestä annetun lain / joukkomurhia toteuttaneiden järjestöjen valvonnasta annetun lain 2 §).
                  
               
                     (156)
                  
                  
                     Kaikissa tapauksissa, jotka koskevat valtion pääsyä tietoihin tässä jaksossa kuvatuista kansallisista turvallisuuteen liittyvistä syistä, sovelletaan Japanin korkeimman oikeuden määräämiä vapaaehtoisia tutkimuksia koskevia rajoituksia. Tämä tarkoittaa sitä, että (sähköisten) tietojen keruun on oltava välttämättömyyden ja suhteellisuuden periaatteiden mukaisia (”asianmukainen menetelmä”) (131). Kuten Japanin viranomaiset ovat nimenomaisesti vahvistaneet, ”tietoja kerätään ja käsitellään vain siinä määrin kuin on tarpeen toimivaltaisen viranomaisen erityisten tehtävien hoitamiseksi sekä erityisten uhkien perusteella”. Sen vuoksi ”henkilökohtaisia tietoja ei kerätä eikä niihin ole pääsyä laajamittaisesti eikä kohdentamattomasti sellaisista syistä, jotka liittyvät kansalliseen turvallisuuteen” (132).
                  
               
                     (157)
                  
                  
                     Viranomaisten kansalliseen turvallisuuteen liittyvistä syistä keräämät henkilökohtaiset tiedot suojataan hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain mukaisesti niiden säilytyksen, käytön ja luovuttamisen osalta (ks. johdanto-osan 118 kappale).
                  
               3.3.2   Riippumaton valvonta
         
         
                     (158)
                  
                  
                     Kansalliseen turvallisuuteen liittyvistä syistä tapahtuvaan henkilökohtaisten tietojen keräämiseen sovelletaan monenlaista valvontaa kolmella hallinnonhaaralla.
                  
               
                     (159)
                  
                  
                     Ensinnäkin Japanin parlamentti voi erityiskomiteoidensa kautta tarkastella tutkimusten lainmukaisuutta parlamentaarista valvontaa koskevien valtuuksiensa perusteella (perustuslain 62 § ja parlamenttia koskevan lain 104 §; ks. johdanto-osan 134 kappale). Tätä valvontatehtävää tuetaan erityisillä raportointivelvoitteilla, jotka koskevat joidenkin edellä mainittujen oikeusperustojen mukaisesti toteutettuja toimia (133).
                  
               
                     (160)
                  
                  
                     Toiseksi toimeenpanohaarassa on olemassa useita valvontamekanismeja.
                  
               
                     (161)
                  
                  
                     Puolustusministeriön osalta valvontaa harjoittaa ministeriön tarkastusyksikkö (134). Tämä puolustusministeriön organisaatioon kuuluva yksikkö perustettiin puolustusministeriön perustamisesta annetun lain 29 §:n nojalla, ja sitä valvoo puolustusministeri (jolle se raportoi). Yksikkö on riippumaton puolustusministeriön operatiivisista yksiköistä. Tarkastusyksikön tehtävänä on varmistaa lakien ja määräysten noudattaminen sekä se, että puolustusministeriön virkamiehet hoitavat tehtävänsä asianmukaisesti. Sen valtuuksiin kuuluu ns. ”puolustustarkastusten” tekeminen sekä säännöllisin väliajoin (”säännölliset puolustustarkastukset”) että yksittäisissä tapauksissa (”erityiset puolustustarkastukset”). Tarkastukset ovat aiemmin kattaneet myös henkilökohtaisten tietojen käsittelyn (135). Tällaisten tarkastusten yhteydessä tarkastusyksikön virkamiehet voivat tulla paikan päälle (toimistoihin) ja pyytää toimittamaan asiakirjoja tai tietoja sekä myös selvityksiä puolustusministeriön apulaisvaraministeriltä. Tarkastuksesta tehdään puolustusministerille osoitettu raportti, jossa esitetään päätelmät ja parannustoimenpiteet (joiden täytäntöönpano voidaan varmistaa uusilla tarkastuksilla). Raportti muodostaa puolestaan perustan puolustusministerin ohjeille panna täytäntöön toimenpiteitä tilanteen korjaamiseksi. Apulaisvaraministeri vastaa kyseisten toimenpiteiden toteuttamisesta ja hänen on raportoitava jatkotoimista.
                  
               
                     (162)
                  
                  
                     Prefektuurin poliisin osalta valvonnasta vastaavat riippumattomat prefektuurin yleisen turvallisuuden komiteat, kuten rikoslain valvontaa koskevassa johdanto-osan 135 kappaleessa selitetään.
                  
               
                     (163)
                  
                  
                     Kuten on todettu, yleisten turvallisuus- ja tiedusteluasioiden virasto voi suorittaa tutkimuksia vain siinä määrin kuin se on tarpeen kieltoa, lakkauttamista tai seurantaa koskevan määräyksen hyväksymiseksi kumouksellisen toiminnan ehkäisemisestä annetun lain / joukkomurhia toteuttaneiden järjestöjen valvonnasta annetun lain nojalla. Näiden määräysten osalta riippumaton (136) yleistä turvallisuutta käsittelevä tutkintakomissio suorittaa ennakkovalvontaa. Lisäksi erityisesti nimetyt tarkastajat suorittavat säännöllisesti/määräajoin tarkastuksia (joissa tarkastellaan kattavasti yleisten turvallisuus- ja tiedusteluasioiden viraston toimintaa) (137) ja erityisiä sisäisiä tarkastuksia (138) yksittäisten osastojen tai toimistojen toiminnan osalta. Tarkastusten perusteella voidaan asianomaisten osastojen päälliköille antaa ohjeita korjaavien tai parannustoimenpiteiden toteuttamiseksi.
                  
               
                     (164)
                  
                  
                     Näitä valvontamekanismeja tehostaa vielä se, että henkilöillä on mahdollisuus käynnistää riippumattomana valvontaviranomaisena toimivan henkilötietosuojalautakunnan väliintulo (ks. jäljempänä 168 kohta). Valvontamekanismit antavat riittävät takeet sen varalta, että Japanin viranomaiset käyttävät väärin toimivaltuuksiaan kansallisen turvallisuuden alalla, ja kaikenlaisen lainvastaisen sähköisten tietojen keräämisen varalta.
                  
               3.3.3   Yksilölliset oikeussuojakeinot
         
         
                     (165)
                  
                  
                     Yksilöllisten oikeussuojakeinojen osalta sovelletaan sääntöä, jonka mukaan hallintoelimillä on keräämiensä ja ”säilyttämiensä” henkilökohtaisten tietojen osalta velvollisuus ”pyrkiä käsittelemään asianmukaisesti ja nopeasti kaikki henkilökohtaisten tietojen käsittelyä koskevat valitukset” (hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain 48 §).
                  
               
                     (166)
                  
                  
                     Toisin kuin rikostutkinnassa, henkilöt (ulkomailla asuvat ulkomaalaiset mukaan lukien) ovat periaatteessa oikeutettuja tutustumaan itseään koskeviin tietoihin (139) sekä korjaamaan (myös poistamaan) henkilökohtaisia tietoja ja keskeyttämään niiden käytön/toimittamisen hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain nojalla. Hallintoelimen päällikkö voi kuitenkin kieltäytyä luovuttamasta tietoja, ”joiden osalta on olemassa perusteltuja syitä olettaa, että niiden luovuttaminen todennäköisesti vaarantaa kansallisen turvallisuuden” (hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain 14 §:n iv momentti). Hallintoelimen päällikkö voi jopa tehdä niin paljastamatta kyseisen tiedon olemassaoloa (hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain 17 §). Vaikka henkilö voi pyytää tietojen käytön keskeyttämistä tai tietojen poistamista hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain 36 §:n 1 momentin i kohdan mukaisesti, jos hallintoelin on saanut tiedot lainvastaisesti tai säilyttää/käyttää niitä suuremmassa määrin kuin on tarpeen määritellyn tavoitteen saavuttamiseksi, viranomainen voi hylätä pyynnön, jos sen mielestä käytön keskeyttäminen ”on omiaan estämään niiden toimien asianmukaisen toteuttamisen, jotka luonteensa vuoksi liittyvät säilytettyjen henkilökohtaisten tietojen käyttötarkoitukseen” (hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain 38 §). Jos on mahdollista helposti erottaa ja jättää pois osat, joihin sovelletaan poikkeusta, hallintoelimien on kuitenkin sallittava ainakin tietojen osittainen luovuttaminen (ks. esim. hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain 15 §:n 1 momentti) (140).
                  
               
                     (167)
                  
                  
                     Hallintoelimen on joka tapauksessa tehtävä kirjallinen päätös tietyn ajan kuluessa (30 päivää, jota tietyin edellytyksin voidaan jatkaa vielä 30 päivällä). Jos pyyntö hylätään, myönnetään vain osittain tai jos henkilö muista syistä pitää hallintoelimen toimintaa ”lainvastaisena tai epäoikeudenmukaisena”, henkilö voi pyytää asiansa uudelleentarkastelua hallinnollista muutoksenhakua koskevan lain perusteella (141). Siinä tapauksessa muutoksenhausta päättävän hallintoelimen päällikön on kuultava tietojen luovuttamisesta ja henkilökohtaisten tietojen suojasta vastaavaa tarkastuslautakuntaa (hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain 42 ja 43 §). Kyseinen tarkastuslautakunta on erityinen riippumaton lautakunta, jonka jäsenet nimittää pääministeri parlamentin molempien kamareiden suostumuksella. Saatujen tietojen perusteella tarkastuslautakunta voi suorittaa tarkastuksen (142) ja pyytää tältä osin hallintoelintä antamaan säilytetyt henkilökohtaiset tiedot, mukaan lukien turvallisuusluokitellun sisällön, sekä lisätietoja ja -asiakirjoja. Vaikka kantelijalle sekä hallintoelimelle lähetetty lopullinen raportti, joka julkaistaan, ei ole oikeudellisesti sitova, sitä noudatetaan melkein kaikissa tapauksissa (143). Henkilöllä on lisäksi mahdollisuus riitauttaa muutoksenhakua koskeva päätös tuomioistuimessa oikeudenkäynnistä hallintoasioissa annetun lain perusteella. Näin kansalliseen turvallisuuteen liittyvien poikkeuksien käyttö saadaan tuomioistuinvalvonnan piiriin, myös sen osalta, onko tällaista poikkeusta käytetty väärin tai onko se vielä perusteltavissa.
                  
               
                     (168)
                  
                  
                     Jotta edellä mainittujen, hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain mukaisten oikeuksien toteuttamista voidaan helpottaa, sisä- ja viestintäministeriö on perustanut 51 ”kattavaa tietokeskusta”, jotka tarjoavat koonnettuja tietoja näistä oikeuksista, sovellettavista menettelyistä pyynnön tekemiseksi ja mahdollisista oikeussuojakeinoista (144). Hallintoelinten on toimitettava ”tietoja, jotka osaltaan täsmentävät säilytettäviä henkilökohtaisia tietoja” (145), ja toteutettava ”muita riittäviä toimenpiteitä pyynnön tekevän henkilön työn helpottamiseksi” (hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain 47 §:n 1 momentti).
                  
               
                     (169)
                  
                  
                     Samoin kuin rikoslain valvonnan alalla suoritettujen tutkimusten osalta myös kansallisen turvallisuuden alalla henkilöt voivat käyttää yksilöllisiä oikeussuojakeinoja ottamalla yhteyttä suoraan henkilötietosuojalautakuntaan. Tämä käynnistää erityisen riitojenratkaisumenettelyn, jonka Japanin hallitus on perustanut niille EU:n kansalaisille, joiden henkilötietoja siirretään tämän päätöksen mukaisesti (ks. yksityiskohtaiset selitykset johdanto-osan 141–144 ja 149 kappaleessa).
                  
               
                     (170)
                  
                  
                     Lisäksi henkilöt voivat hakea tuomioistuimelta muutosta vahingonkorvauksen muodossa valtion oikeussuojakeinoja koskevan lain mukaisesti. Laki kattaa myös henkiset vahingot ja tietyin edellytyksin kerättyjen tietojen poistamisen (ks. johdanto-osan 147 kappale).
                  
               4.   PÄÄTELMÄT: EUROOPAN UNIONISTA JAPANISSA TOIMIVILLE TOIMINNANHARJOITTAJILLE SIIRRETTYJEN HENKILÖTIETOJEN SUOJAN RIITTÄVÄ TASO
         
         
                     (171)
                  
                  
                     Komissio katsoo, että henkilökohtaisten tietojen suojasta annettu laki sellaisena kuin se on täydennettynä liitteessä I olevilla täydentävillä säännöillä, yhdessä liitteessä II olevien virallisten lausuntojen, vakuutusten ja sitoumusten kanssa varmistaa Euroopan unionista siirrettyjen henkilötietojen suojan tason, joka vastaa olennaisilta osiltaan asetuksessa (EU) 2016/679 taattua suojan tasoa.
                  
               
                     (172)
                  
                  
                     Lisäksi komissio katsoo, että Japanin lainsäädäntöön sisältyvät valvontamekanismit ja oikeussuojakeinot kokonaisuutena mahdollistavat sen, että henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan tekemät rikkomukset voidaan tunnistaa ja niistä voidaan käytännössä antaa rangaistus. Ne tarjoavat myös rekisteröidylle oikeussuojakeinoja, jotta hän voi tutustua itseään koskeviin henkilötietoihin ja korjata tai poistaa kyseiset tiedot.
                  
               
                     (173)
                  
                  
                     Japanin oikeusjärjestystä koskevien käytettävissä olevien tietojen perusteella, mukaan lukien liitteessä II esitetyt Japanin valtioneuvoston lausunnot, vakuutukset ja sitoumukset, komissio katsoo, että Japanin viranomaisten puuttuminen erityisesti rikoslain valvontaan ja kansalliseen turvallisuuteen liittyvissä tarkoituksissa niiden yksilöiden perusoikeuksiin, joiden henkilötietoja siirretään Euroopan unionista Japaniin, tulee rajatuksi siihen, mikä on ehdottoman välttämätöntä kyseessä olevan lainmukaisen tavoitteen saavuttamiseksi, ja että tällaista puuttumista vastaan on olemassa tehokas oikeussuoja.
                  
               
                     (174)
                  
                  
                     Sen vuoksi komissio katsoo tämän päätöksen päätelmien perusteella, että Japani takaa riittävän tietosuojan tason henkilötiedoille, jotka siirretään Euroopan unionista Japanissa toimiville, henkilökohtaisten tietojen suojasta annetun lain soveltamisalaan kuuluville henkilötietoja käsitteleville toiminnanharjoittajille, lukuun ottamatta tapauksia, joissa vastaanottaja kuuluu johonkin henkilökohtaisten tietojen suojasta annetun lain 76 §:n 1 momentissa lueteltuun luokkaan ja käsittelyn tarkoitus kokonaisuudessaan tai osittain vastaa yhtä kyseisessä säännöksessä määriteltyä tarkoitusta.
                  
               
                     (175)
                  
                  
                     Tämän perusteella komissio katsoo, että asetuksen (EU) 2016/679 45 artiklan mukaiset tietosuojan riittävyyttä koskevat vaatimukset, tulkittuna Euroopan unionin perusoikeuskirjan ja erityisesti asiassa Schrems annetun tuomion (146) mukaisesti, täyttyvät.
                  
               5.   TIETOSUOJAVIRANOMAISTEN TOIMET JA TIEDOT KOMISSIOLLE
         
         
                     (176)
                  
                  
                     Tuomioistuimen oikeuskäytännön (147) mukaisesti ja kuten asetuksen (EU) 2016/679 45 artiklan 4 kohdassa todetaan, komission olisi tietosuojan riittävyyttä koskevan päätöksen hyväksymisen jälkeen jatkuvasti seurattava merkityksellistä kehitystä kolmannessa maassa. Näin komissio voi arvioida sitä, takaako Japani edelleen olennaisesti vastaavan suojan tason. Tällainen tarkastelu on joka tapauksessa tehtävä, kun komissio saa tietoja, jotka aiheuttavat perusteltuja epäilyksiä tältä osin.
                  
               
                     (177)
                  
                  
                     Komission olisi sen vuoksi valvottava jatkuvasti sitä, kuinka henkilötietojen käsittelyä koskeva lainsäädäntökehys ja käytännön toiminta, joita tässä päätöksessä arvioidaan, kehittyvät, sekä sitä noudattavatko Japanin viranomaiset liitteeseen II sisältyviä lausuntoja, vakuutuksia ja sitoumuksia. Prosessin helpottamiseksi Japanin viranomaisten odotetaan ilmoittavan komissiolle kehityksestä, jolla on merkitystä tämän päätöksen kannalta ja joka koskee sitä, miten toiminnanharjoittajat käsittelevät henkilötietoja, ja sitä, mitä rajoituksia ja varotoimia on asetettu viranomaisten pääsylle tietoihin. Tämän olisi katettava kaikki päätökset, jotka henkilötietosuojalautakunta tekee henkilökohtaisten tietojen suojasta annetun lain 24 §:n mukaisesti ja joissa todetaan, että kolmas maa tarjoaa vastaavantasoisen suojan kuin Japani.
                  
               
                     (178)
                  
                  
                     Jotta komissio voisi harjoittaa tehokkaasti valvontatehtäväänsä, jäsenvaltioiden olisi lisäksi ilmoitettava komissiolle kaikista kansallisten tietosuojaviranomaisten toteuttamista asiaankuuluvista toimista, varsinkin siinä tapauksessa, että ne liittyvät EU:n rekisteröityjen esittämiin kysymyksiin tai valituksiin, jotka koskevat henkilötietojen siirtoa Euroopan unionista Japanissa toimiville toiminnanharjoittajille. Komissiolle olisi myös ilmoitettava havainnoista, joiden mukaan rikosten ehkäisystä, tutkinnasta, havaitsemisesta tai rikoksiin liittyvistä syytetoimista tai kansallisesta turvallisuudesta vastaavat Japanin viranomaiset, mukaan lukien valvontaelimet, eivät varmista vaadittua suojan tasoa.
                  
               
                     (179)
                  
                  
                     Jäsenvaltioiden ja niiden elinten on toteutettava tarvittavat toimenpiteet unionin toimielinten säädösten noudattamiseksi, sillä säädösten oletetaan olevan lainmukaisia ja niillä on näin ollen oikeusvaikutuksia siihen saakka, kunnes ne perutaan, kumotaan kumoamiskanteen johdosta tai julistetaan pätemättömiksi ennakkoratkaisupyynnön tai lainvastaisuusväitteen perusteella. Näin ollen asetuksen (EU) 2016/679 45 artiklan 3 kohdan mukainen tietosuojan riittävyyttä koskeva komission päätös sitoo kaikkia elimiä jäsenvaltioissa, joille se on osoitettu, mukaan lukien niiden riippumattomat valvontaviranomaiset. Kuten unionin tuomioistuimen asiassa Schrems antamassa tuomiossa (148) selostetaan ja asetuksen 58 artiklan 5 kohdassa tunnustetaan, jos tietosuojaviranomainen esimerkiksi valituksen käsittelyn yhteydessä asettaa kyseenalaiseksi sen, onko tietosuojan riittävyyttä koskeva komission päätös yksityisyyden suojaa ja tietosuojaa koskevan perusoikeuden mukainen, kansallisessa lainsäädännössä on säädettävä oikeussuojakeinoista, joiden avulla viranomainen voi esittää väitteensä kansallisessa tuomioistuimessa, ja jos asiasta on epäilyksiä, tuomioistuimen on lykättävä asian käsittelyä ja pyydettävä unionin tuomioistuimelta ennakkoratkaisua (149).
                  
               6.   TIETOSUOJAN RIITTÄVÄN TASON SÄÄNNÖLLINEN UUDELLEENTARKASTELU
         
         
                     (180)
                  
                  
                     Asetuksen (EU) 2016/679 45 artiklan 3 kohdan mukaisesti (150) ja ottaen huomioon sen, että Japanin oikeusjärjestyksen tarjoaman suojan taso voi muuttua, komission olisi tämän päätöksen hyväksymisen jälkeen säännöllisin väliajoin tarkistettava, ovatko Japanin takaaman suojan tason riittävyyttä koskevat päätelmät edelleen asiasisällöltään ja oikeudellisesti perusteltuja.
                  
               
                     (181)
                  
                  
                     Sen vuoksi tätä päätöstä koskeva tarkastelu olisi tehtävä ensimmäisen kerran kahden vuoden kuluessa sen voimaantulosta. Ensimmäisen tarkastelun jälkeen ja sen tuloksista riippuen komissio päättää tiiviissä yhteistyössä yleisen tietosuoja-asetuksen 93 artiklan 1 kohdan nojalla perustetun komitean kanssa siitä, onko kahden vuoden jakso pidettävä voimassa. Myöhemmät tarkastelut olisi joka tapauksessa suoritettava vähintään joka neljäs vuosi (151). Tarkastelun olisi katettava kaikki tämän päätöksen toimivuuteen liittyvät näkökohdat ja erityisesti täydentävien sääntöjen soveltaminen (erityistä huomiota olisi kiinnitettävä suojatoimiin edelleen siirtämisen yhteydessä), suostumusta koskevien sääntöjen soveltaminen, mukaan lukien suostumuksen peruuttamisen yhteydessä, yksilöllisten oikeuksien käytön tehokkuus sekä viranomaisten pääsyä tietoihin koskevat rajoitukset ja suojatoimet, mukaan lukien tämän päätöksen liitteessä II esitetty oikeussuojamekanismi. Sen olisi katettava myös valvonnan ja täytäntöönpanon tehokkuus sekä henkilökohtaisia tietoja käsitteleviin toiminnanharjoittajiin sovellettavien sääntöjen että rikosoikeuden ja kansallisen turvallisuuden alalla sovellettavien sääntöjen osalta.
                  
               
                     (182)
                  
                  
                     Tarkastelun suorittamiseksi komission olisi järjestettävä henkilötietosuojalautakunnan kanssa kokous, johon osallistuisivat tarvittaessa viranomaisten pääsystä tietoihin vastaavat muut Japanin viranomaiset sekä asiaankuuluvat valvontaelimet. Euroopan tietosuojaneuvoston jäsenten edustajien olisi voitava osallistua kokoukseen. Yhteisen tarkastelun yhteydessä komission olisi pyydettävä henkilötietosuojalautakuntaa antamaan kattavat tiedot kaikista tietosuojan riittävyyttä koskevan päätelmän kannalta merkityksellisistä seikoista, mukaan lukien rajoituksista ja suojatoimista, jotka koskevat viranomaisten pääsyä tietoihin (152). Komission olisi myös pyydettävä selvityksiä kaikista saamistaan tämän päätöksen kannalta merkityksellisistä tiedoista, mukaan lukien Japanin viranomaisten tai muiden Japanissa olevien sidosryhmien, tietosuojaneuvoston, yksittäisten tietosuojaviranomaisten, kansalaisyhteiskunnan ryhmien, tiedotusvälineiden tai muiden saatavilla olevien tietolähteiden julkiset raportit.
                  
               
                     (183)
                  
                  
                     Komission olisi laadittava yhteisen tarkastelun perusteella julkinen raportti, joka toimitetaan Euroopan parlamentille ja neuvostolle.
                  
               7.   TIETOSUOJAN RIITTÄVYYTTÄ KOSKEVAN PÄÄTÖKSEN SOVELTAMISEN KESKEYTTÄMINEN
         
         
                     (184)
                  
                  
                     Jos komissio toteaa säännöllisten ja tilapäisten tarkastusten tai muiden käytettävissä olevien tietojen perusteella, että Japanin oikeusjärjestyksen tarjoaman suojan tason ei voida enää katsoa olennaisilta osin vastaavan Euroopan unionin tasoa, sen olisi ilmoitettava asiasta Japanin toimivaltaisille viranomaisille ja pyydettävä, että asianmukaiset toimenpiteet toteutetaan tietyn kohtuullisen määräajan puitteissa. Tämä koskee sekä toiminnanharjoittajiin että lainvalvonnasta tai kansallisesta turvallisuudesta vastaaviin Japanin viranomaisiin sovellettavia sääntöjä. Menettely käynnistettäisiin esimerkiksi sellaisissa tapauksissa, joissa edelleen siirtämisissä ei enää sovelleta yleisen tietosuoja-asetuksen 44 artiklassa tarkoitettuja suojan jatkuvuutta varmistavia suojatoimia. Tämä koskee myös siirtämisiä niiden päätösten perusteella, jotka henkilötietosuojalautakunta tekee henkilökohtaisten tietojen suojasta annetun lain 24 §:n mukaisesti ja joissa todetaan, että kolmas maa tarjoaa vastaavantasoisen suojan kuin Japani.
                  
               
                     (185)
                  
                  
                     Jos Japanin toimivaltaiset viranomaiset eivät kyseisen määräajan kuluessa ole osoittaneet tyydyttävästi, että tämän päätöksen perustana on edelleen riittävä suojan taso, komission olisi asetuksen (EU) 2016/679 45 artiklan 5 kohdan mukaisesti aloitettava menettely tämän päätöksen soveltamisen keskeyttämiseksi tai sen kumoamiseksi osittain tai kokonaan. Vaihtoehtoisesti komission olisi aloitettava menettely tämän päätöksen muuttamiseksi erityisesti soveltamalla tiedonsiirtoihin lisäehtoja tai rajoittamalla tietosuojan riittävyyttä koskevan päätelmän soveltamisala vain sellaisiin tiedonsiirtoihin, joiden osalta yleisen tietosuoja-asetuksen 44 artiklassa tarkoitettu suojan jatkuvuus on varmistettu.
                  
               
                     (186)
                  
                  
                     Komission olisi erityisesti aloitettava keskeyttämis- tai kumoamismenettely, jos on viitteitä siitä, että tämän päätöksen nojalla henkilötietoja saavat toiminnanharjoittajat eivät noudata liitteessä I esitettyjä täydentäviä sääntöjä ja/tai että niitä ei ole pantu tehokkaasti täytäntöön tai että Japanin viranomaiset eivät noudata tämän päätöksen liitteessä II olevia lausuntoja, vakuutuksia ja sitoumuksia.
                  
               
                     (187)
                  
                  
                     Komission olisi myös harkittava menettelyn aloittamista tämän päätöksen muuttamiseksi, sen soveltamisen keskeyttämiseksi tai sen kumoamiseksi, jos toimivaltaiset Japanin viranomaiset eivät yhteisen tarkastelun yhteydessä tai muutoin toimita tietoja tai selvityksiä, joita tarvitaan arvioitaessa Euroopan unionista Japaniin siirrettyjen henkilötietojen suojan tasoa tai tämän päätöksen noudattamista. Tässä suhteessa komission olisi otettava huomioon se, missä määrin asiaa koskevia tietoja voidaan saada muista lähteistä.
                  
               
                     (188)
                  
                  
                     Asianmukaisesti perustelluissa kiireellisissä tapauksissa, kuten jos on olemassa riski rekisteröityjen oikeuksien vakavasta rikkomisesta, komission olisi harkittava päätöstä tämän päätöksen soveltamisen keskeyttämisestä tai sen kumoamisesta ja sitä olisi sovellettava välittömästi asetuksen (EU) 2016/679 93 artiklan 3 kohdan mukaisesti yhdessä Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 182/2011 (153) 8 artiklan kanssa.
                  
               8.   LOPPUPÄÄTELMÄT
         
         
                     (189)
                  
                  
                     Euroopan tietosuojaneuvosto on julkaissut lausuntonsa (154), joka on otettu huomioon tätä päätöstä valmisteltaessa.
                  
               
                     (190)
                  
                  
                     Euroopan parlamentti on hyväksynyt päätöslauselman digitaalisesta kauppastrategiasta, jossa komissiota kehotetaan asettamaan etusijalle tietosuojan riittävyyttä koskevien päätösten tekeminen tärkeiden kauppakumppaneiden kanssa ja nopeuttamaan sitä asetuksessa (EU) 2016/679 säädetyin edellytyksin. Päätösten hyväksyminen on tärkeä mekanismi Euroopan unionista tapahtuvan henkilötietojen siirron suojaamiseksi (155). Euroopan parlamentti on myös hyväksynyt päätöslauselman Japanin tarjoaman henkilötietojen suojan riittävyydestä (156).
                  
               
                     (191)
                  
                  
                     Tässä päätöksessä säädetyt toimenpiteet ovat yleisen tietosuoja-asetuksen 93 artiklan 1 kohdassa perustetun komitean lausunnon mukaiset,
                  
               ON HYVÄKSYNYT TÄMÄN PÄÄTÖKSEN:
         
            1 artikla
            
               1.   Asetuksen (EU) 2016/679 45 artiklaa sovellettaessa Japani varmistaa Euroopan unionista henkilökohtaisten tietojen käsittelyä harjoittaville Japanissa toimiville toiminnanharjoittajille siirrettävien henkilötietojen riittävän suojan tason silloin kun kyseisiin toiminnanharjoittajiin sovelletaan henkilökohtaisten tietojen suojasta annettua lakia sellaisena kuin se on täydennettynä liitteessä I olevilla täydentävillä säännöillä, yhdessä liitteessä II olevien virallisten lausuntojen, vakuutusten ja sitoumusten kanssa.
            
            
               2.   Tämä päätös ei koske henkilötietoja, jotka on siirretty yhteen seuraavista luokista kuuluville vastaanottajille, jos henkilötietojen käsittelyn tarkoitus kokonaisuudessaan tai osittain vastaa yhtä luetelluista tarkoituksista:
               
                           a)
                        
                        
                           yleisradiotoiminnan harjoittajat, sanomalehtien julkaisijat, viestintätoimistot tai muut uutistoimistot (mukaan lukien yksilöt, jotka harjoittavat lehdistötoimintaa liiketoimintanaan) siinä määrin kuin ne käsittelevät henkilötietoja lehdistötarkoituksessa;
                        
                     
                           b)
                        
                        
                           henkilöt, jotka kirjoittavat ammatikseen, siltä osin kuin tähän liittyy henkilötietoja;
                        
                     
                           c)
                        
                        
                           yliopistot ja muut organisaatiot tai ryhmät, joiden tarkoituksena on tehdä akateemisia opintoja, tai ketkä tahansa tällaiseen organisaatioon tai ryhmään kuuluvat henkilöt, siinä määrin kuin ne tai he käsittelevät henkilötietoja akateemisia opintoja varten;
                        
                     
                           d)
                        
                        
                           uskonnolliset elimet siinä määrin kuin ne käsittelevät henkilötietoja uskonnollisen toiminnan harjoittamista varten (kaikki siihen liittyvät toimet mukaan luettuina); ja
                        
                     
                           e)
                        
                        
                           poliittiset elimet siinä määrin kuin ne käsittelevät henkilötietoja poliittisen toiminnan harjoittamista varten (kaikki siihen liittyvät toimet mukaan luettuina).
                        
                     
         
         
            2 artikla
            Aina kun jäsenvaltioiden toimivaltaiset viranomaiset käyttävät asetuksen (EU) 2016/679 58 artiklan mukaisia toimivaltuuksiaan suojellakseen yksilöiden henkilötietoja ja se johtaa Japanissa toimivalle, 1 artiklan soveltamisalaan kuuluvalle tietylle toiminnanharjoittajalle suuntautuvan tiedonsiirron keskeyttämiseen tai lopulliseen kieltämiseen, jäsenvaltio ilmoittaa siitä komissiolle viipymättä.
         
         
            3 artikla
            
               1.   Komissio seuraa jatkuvasti tämän päätöksen perustana olevan oikeudellisen kehyksen soveltamista, mukaan lukien ehtoja, joiden mukaisesti tietojen edelleen siirtäminen tapahtuu, sen arvioimiseksi, takaako Japani edelleen suojan riittävän tason 1 artiklassa tarkoitetussa merkityksessä.
            
            
               2.   Jäsenvaltiot ja komissio ilmoittavat toisilleen tapauksista, joissa henkilötietosuojalautakunta tai muu Japanin toimivaltainen viranomainen laiminlyö sen varmistamisen, että tämän päätöksen perustana olevaa oikeudellista kehystä noudatetaan.
            
            
               3.   Jäsenvaltiot ja komissio ilmoittavat toisilleen mahdollisista havainnoista, joiden mukaan Japanin viranomaiset puuttuvat yksilöiden oikeuteen suojella henkilötietojaan suuremmassa määrin kuin on ehdottoman välttämätöntä tai tällaista puuttumista vastaan ei ole olemassa tehokasta oikeudellista suojaa.
            
            
               4.   Kahden vuoden kuluessa siitä päivästä, jona tämä päätös annetaan tiedoksi jäsenvaltioille, ja vähintään joka neljäs vuosi sen jälkeen komissio arvioi 1 artiklan 1 kohdassa esitetyn päätelmän kaikkien saatavilla olevien tietojen perusteella, mukaan lukien tiedot, jotka on saatu osana Japanin viranomaisten kanssa tehtyä vuotuista yhteistä tarkastelua.
            
            
               5.   Jos komissiolla on viitteitä siitä, että tietosuojan riittävää tasoa ei enää turvata, komissio ilmoittaa asiasta Japanin toimivaltaisille viranomaisille. Se voi tarvittaessa päättää tämän päätöksen soveltamisen keskeyttämisestä, muuttamisesta tai kumoamisesta tai rajoittaa sen soveltamisalaa erityisesti silloin, jos on viitteitä siitä, että
               
                           a)
                        
                        
                           Euroopan unionista henkilötietoja tämän päätöksen mukaisesti vastaanottaneet Japanissa toimivat toiminnanharjoittajat eivät noudata tämän päätöksen liitteessä I olevissa täydentävissä säännöissä vahvistettuja lisätakeita tai että asiaa koskeva valvonta ja täytäntöönpano on riittämätöntä;
                        
                     
                           b)
                        
                        
                           Japanin viranomaiset eivät noudata tämän päätöksen liitteeseen II sisältyviä lausuntoja, vakuutuksia ja sitoumuksia, mukaan lukien ehdot ja rajoitukset, jotka koskevat Japanin viranomaisten lainvalvontaan ja kansalliseen turvallisuuteen liittyvissä tarkoituksissa suorittamaa tämän päätöksen nojalla siirrettyjen henkilötietojen keräämistä ja Japanin viranomaisten pääsyä niihin.
                        
                     Komissio voi myös esittää ehdotuksen toimenpiteistä, jos Japanin valtioneuvoston yhteistyöhaluttomuus estää komissiota määrittelemästä, onko asialla vaikutusta tämän päätöksen 1 artiklan 1 kohdassa olevaan päätelmään.
            
         
         
            4 artikla
            Tämä päätös on osoitettu kaikille jäsenvaltioille.
         
         
            Tehty Brysselissä 23 päivänä tammikuuta 2019.
            
               
                  Komission puolesta
               
               Věra JOUROVÁ
               
                  Komission jäsen
               
            
         
         
            (1)  EUVL L 119, 4.5.2016, s. 1.
         
            (2)  Asia C-362/14, Maximillian Schrems v. Data Protection Commissioner (”Schrems”), ECLI:EU:C:2015:650, 73 kohta.
         
            (3)  Tuomio asiassa Schrems, 74 kohta.
         
            (4)  Ks. komission tiedonanto Euroopan parlamentille ja neuvostolle, Henkilötietojen vaihtaminen ja suojaaminen globalisoituneessa maailmassa, COM(2017) 7, 10.1.2017, 3.1, jakso, s. 6–7.
         
            (5)  Laki henkilökohtaisten tietojen suojasta (laki nro 57, 2003).
         
            (6)  Lisätietoja henkilötietosuojalautakunnasta on saatavilla osoitteessa https://www.ppc.go.jp/en/ (mukaan lukien yhteystiedot tiedusteluja ja valituksia varten: https://www.ppc.go.jp/en/contactus/access/).
         
            (7)  Tämä päätös on merkityksellinen ETA:n kannalta. Euroopan talousalueesta tehdyn sopimuksen (ETA-sopimus) mukaan Euroopan unionin sisämarkkinat ulottuvat kolmeen ETA-valtioon (Islanti, Liechtenstein ja Norja). ETA:n sekakomitea teki 6 päivänä heinäkuuta 2018 päätöksen, jolla asetus (EU) 2016/679 otettiin osaksi ETA-sopimuksen liitettä XI. Sekakomitean päätös tuli voimaan 20 päivänä heinäkuuta 2018. Asetus kuuluu näin ollen kyseisen sopimuksen soveltamisalaan.
         
            (8)  Japanin korkein oikeus, laajassa kokoonpanossa 24.12.1969 annettu tuomio, Keishu, osa 23, nro 12, s. 1625.
         
            (9)  Japanin korkein oikeus, tuomio 6.3.2008, Minshu, osa 62, nro 3, s. 665.
         
            (10)  Japanin korkein oikeus, tuomio 6.3.2008, Minshu, osa 62, nro 3, s. 665.
         
            (11)  Saatavilla osoitteessa https://www.ppc.go.jp/files/pdf/PPC_rules.pdf
         
            (12)  Ks. täydentävät säännöt (johdanto-osuus).
         
            (13)  Yleinen vaatimus pitää kirjaa (vain) tietyn ajan ei aseta tätä velvoitetta kyseenalaiseksi. Vaikka tietojen alkuperä kuuluu niihin tietoihin, jotka tietoja hankkivan henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan on vahvistettava henkilökohtaisten tietojen suojasta annetun lain 26 §:n 1 momentin mukaisesti, kyseisen lain 26 §:n 4 momentin mukainen vaatimus yhdessä henkilötietosuojalautakunnan sääntöjen 18 kohdan kanssa koskee ainoastaan tiettyä tietuemuotoa (ks. kyseisten sääntöjen 16 kohta), eikä se estä henkilökohtaisia tietoja käsittelevää toiminnanharjoittajaa varmistamasta, että tiedot ovat tunnistettavissa pidemmän ajan. Tämän on vahvistanut henkilötietosuojalautakunta, joka on ilmoittanut, että ”henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan on säilytettävä tieto EU:n tietojen alkuperästä niin kauan kuin se on tarpeen täydentävien sääntöjen noudattamiseksi”.
         
            (14)  Henkilötietosuojalautakunta, Kysymyksiä ja vastauksia, 16 päivänä helmikuuta 2017 (muutettu 30 päivänä toukokuuta 2017, saatavilla osoitteessa https://www.ppc.go.jp/files/pdf/kojouhouQA.pdf). Kysymyksissä ja vastauksissa tarkastellaan useita suuntaviivoissa käsiteltyjä kysymyksiä antamalla käytännön esimerkkejä, jotka koskevat muun muassa arkaluonteisten henkilötietojen määritelmää, henkilökohtaisen suostumuksen tulkintaa, kolmansien osapuolten tekemiä siirtoja etäresurssipalvelujen yhteydessä tai rajat ylittäviin siirtoihin sovellettavaa tietojen säilyttämistä koskevaa velvoitetta. Kysymykset ja vastaukset ovat saatavilla vain japaniksi.
         
            (15)  Henkilötietosuojalautakunta on siltä nimenomaisesti kysyttäessä ilmoittanut Euroopan tietosuojaneuvostolle, että ”Japanin tuomioistuimet perustavat tulkintansa suuntaviivoihin kun ne soveltavat henkilökohtaisten tietojen suojasta annettua lakia ja henkilötietosuojalautakunnan sääntöjä niiden käsiteltäväksi saatetuissa yksittäisissä asioissa ja ovat siten viitanneet tuomioissaan suoraan kyseisten suuntaviivojen tekstiin. Siksi myös tästä näkökulmasta tarkastellen henkilötietosuojalautakunnan suuntaviivat sitovat toiminnanharjoittajia. Henkilötietosuojalautakunnan tiedossa ei ole, että tuomioistuimet olisivat milloinkaan poikenneet suuntaviivoista.” Tältä osin henkilötietosuojalautakunta mainitsi komissiolle tietosuoja-alaa koskevasta tuomiosta, jossa tuomioistuin perusti ratkaisunsa nimenomaan henkilötietosuojalautakunnan suuntaviivoihin (ks. Osakan ensimmäisen oikeusasteen tuomioistuin, 19 päivänä toukokuuta 2006 tehty päätös, Hanrei Jiho, osa 1948, s. 122; tuomioistuin katsoi kyseisessä asiassa, että toiminnanharjoittajan velvollisuutena oli huolehtia tällaisiin suuntaviivoihin perustuvista turvallisuuden valvontaan liittyvistä toimista).
         
            (16)  Henkilötietosuojalautakunnan suuntaviivat (yleistä sääntöä koskeva painos), s. 6.
         
            (17)  Tämä kattaa kaikenlaiset sähköiset rekisterijärjestelmät. Henkilötietosuojalautakunnan suuntaviivoissa (yleistä sääntöä koskeva painos, s. 17) annetaan tästä tarkempia esimerkkejä, kuten sähköpostiosoitteiden luettelo, joka on tallennettu sähköpostiasiakasohjelmaan.
         
            (18)  Henkilökohtaisten tietojen suojasta annetun lain 2 §:n 4 ja 6 momentti.
         
            (19)  Esimerkiksi henkilökohtaisten tietojen suojasta annetun lain 23 §, joka koskee edellytyksiä henkilötietojen jakamiselle kolmansien osapuolten kanssa.
         
            (20)  Nimittäin henkilötiedot, i) ”joiden osalta se, että mainittujen henkilötietojen olemassaolosta tai puuttumisesta ilmoitetaan, voisi vahingoittaa datasubjektin tai kolmannen osapuolen henkeä, terveyttä tai omaisuutta”; ii) tiedot, ”joiden osalta se, että mainittujen henkilötietojen olemassaolosta tai puuttumisesta ilmoitetaan, voisi edistää laitonta tai epäoikeudenmukaista tekoa tai saisi sellaisen teon aikaan”; iii) tiedot, ”joiden osalta se, että mainittujen henkilötietojen olemassaolosta tai puuttumisesta ilmoitetaan, voisi heikentää kansallista turvallisuutta, tuhoaisi maan luottamukselliset suhteet vieraaseen maahan tai kansainväliseen järjestöön tai asettaisi maan epäedulliseen asemaan vieraan maan tai kansainvälisen järjestön kanssa käytävissä neuvotteluissa”; ja iv) tiedot, ”joiden osalta se, että mainittujen henkilötietojen olemassaolosta tai puuttumisesta ilmoitetaan, voisi haitata yleisen turvallisuuden ja järjestyksen ylläpitämistä, kuten rikoksen torjuntaa, tukahduttamista tai tutkintaa”.
         
            (21)  Näiden edellytysten täyttyessä henkilölle ei tarvitse ilmoittaa rajoituksesta. Tämä sääntö vastaa yleisen tietosuoja-asetuksen 23 artiklan 2 kohdan h alakohdan säännöstä, jonka mukaan rekisteröidyille ei tarvitse ilmoittaa rajoituksesta, jos se ”voisi vaarantaa rajoituksen tarkoituksen”.
         
            (22)  Ks. asetuksen (EU) 2016/679 johdanto-osan 26 kappale.
         
            (23)  Henkilötietosuojalautakunnan suuntaviivat (yleistä sääntöä koskeva painos), s. 18.
         
            (24)  Kun on kyse muista toiminnanharjoittajista, henkilötietosuojalautakunta ei tutkinta- ja täytäntöönpanovaltuuksiaan käyttäessään saa estää niitä käyttämästä oikeuttaan ilmaisunvapauteen, akateemisen yhteisön vapauteen, uskonnonvapauteen ja poliittisen toiminnan vapauteen (henkilökohtaisten tietojen suojasta annetun lain 43 §:n 1 momentti).
         
            (25)  Kuten henkilötietosuojalautakunta on selittänyt, sen suuntaviivoissa ”suostumus” tulkitaan ”ilmaisuksi datasubjektin aikeesta hyväksyä henkilökohtaisten tietojensa käsittely henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan ilmoittamalla tavalla”. Henkilötietosuojalautakunnan suuntaviivoissa (yleistä sääntöä koskeva painos, s. 24) luetellaan sellaisia tapoja antaa suostumus, jotka katsotaan ”tavanomaisiksi liikekäytännöiksi Japanissa”, ts. suullinen sopimus, lomakkeiden tai muiden asiakirjojen palauttaminen, sähköpostitse sopiminen, ruudun rastittaminen verkkosivulla, napsauttaminen kotisivulla, suostumusnappulan käyttäminen, kosketusnäytön napauttaminen jne. Kaikki nämä menetelmät katsotaan suostumuksen ilmaisemismuodoiksi.
         
            (26)  Henkilötietosuojalautakunnan julkaisemiin kysymyksiin ja vastauksiin sisältyy useita esimerkkejä tämän käsitteen havainnollistamiseksi. Esimerkkejä tilanteista, joissa muutos pysyy kohtuullisen asianmukaisen soveltamisalan sisällä, ovat muun muassa tavaroiden tai palvelujen ostajilta kaupallisen liiketoimen yhteydessä hankittujen henkilökohtaisten tietojen käyttö tarkoituksena tiedottaa kyseisille ostajille muista saatavilla olevista asiaankuuluvista tavaroista tai palveluista (esim. kuntoklubin pitäjä, joka kirjaa jäsenten sähköpostiosoitteita tiedottaakseen heille kursseista ja ohjelmista). Lisäksi kysymyksiin ja vastauksiin sisältyy myös esimerkki tilanteesta, jossa käyttötarkoituksen muuttaminen ei ole sallittua, eli silloin kun yritys lähettää tietoja tavaroistaan ja palveluistaan sähköpostiosoitteisiin, jotka se on koonnut varoittaakseen petoksesta tai jäsenyyskortin anastamisesta.
         
            (27)  Nämä poikkeukset voivat johtua muista laeista ja asetuksista tai ne voivat koskea tilanteita, joissa henkilökohtaisten tietojen käsittely on tarpeen i) ”ihmisen hengen, terveyden tai omaisuuden suojelemiseksi”; ii) ”yleisen hygienian parantamiseksi tai lasten terveen kasvun edistämiseksi”; tai iii) ”yhteistyön tekemiseksi valtion virastojen tai elinten tai niiden edustajien kanssa” niiden lakisääteisten tehtävien hoitamisessa. Lisäksi ryhmiä i ja ii sovelletaan vain, jos on vaikea hankkia rekisteröidyn suostumusta, ja ryhmää iii vain, jos on olemassa vaara, että rekisteröidyn suostumuksen hankkiminen haittaisi näiden tehtävien hoitamista.
         
            (28)  Tästä huolimatta henkilökohtaisten tietojen suojasta annetun lain 23 §:n 1 momentin mukaan tietojen luovuttaminen kolmannelle osapuolelle edellyttää periaatteessa kyseisen henkilön suostumusta. Tällä tavoin henkilö voi jossain määrin valvoa tietojensa käyttöä, kun niitä käsittelee toinen toiminnanharjoittaja.
         
            (29)  Henkilökohtaisten tietojen suojasta annetun lain 15 §:n 1 momentin mukaan tällaisen eritelmän on oltava ”mahdollisimman selkeä”.
         
            (30)  Henkilökohtaisten tietojen suojasta annetun lain 18 §:n 1 momentti.
         
            (31)  Toimeksisaajat eivät kuulu ”kolmannen osapuolen” käsitteen piiriin 23 §:ää sovellettaessa (ks. 5 momentti), mutta tämä pätee vain siltä osin kuin toimeksisaaja käsittelee henkilötietoja toimeksiantonsa rajoissa (”tarvittavan soveltamisalan puitteissa käyttötarkoituksen saavuttamiseksi”) eli toimii henkilötietojen käsittelijänä.
         
            (32)  Muut (poikkeukselliset) perusteet ovat seuraavat: i) henkilökohtaisten tietojen antaminen ”lakien ja määräysten perusteella”; ii) tapaukset, ”joissa on tarpeen suojella ihmisen henkeä, terveyttä tai omaisuutta, ja silloin, kun on vaikea hankkia datasubjektin suostumusta”; iii) tapaukset, ”joissa on erityinen tarve parantaa yleistä hygieniaa tai edistää lasten terveyttä, ja silloin, kun on vaikea hankkia datasubjektin suostumusta”; ja iv) tapaukset, ”joissa on tehtävä yhteistyötä valtion keskushallinnon organisaation tai paikallishallinnon kanssa tai sellaisen henkilön kanssa, jonka vastuulle kyseiset hallintoelimet ovat antaneet lakien ja määräysten mukaisten tehtävien hoidon, ja silloin jos datasubjektin suostumuksen hankkiminen haittaisi kyseisten tehtävien hoitoa”.
         
            (33)  Toimitettavat tiedot koskevat erityisesti kolmannelle osapuolelle annettavien henkilötietojen ryhmiä sekä siirtomenetelmää. Henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan on myös ilmoitettava rekisteröidylle mahdollisuudesta vastustaa tietojen siirtoa ja siitä, miten tällainen pyyntö esitetään.
         
            (34)  Henkilökohtaisten tietojen suojasta annetun lain 26 §:n 1 momentin ii kohdan mukaan henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan on henkilötietoja kolmannelta osapuolelta vastaanottaessaan ”vahvistettava” (todennettava) ”tiedot, jotka koskevat kolmannen osapuolen suorittamaa henkilötietojen hankintaa”, mukaan luettuna kyseisen hankinnan tarkoitus. Vaikka 26 §:ssä ei nimenomaisesti tarkenneta, että henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan on noudatettava tätä tarkoitusta, siitä määrätään nimenomaisesti täydentävässä säännössä 3.
         
            (35)  Henkilötietosuojalautakunnan suuntaviivat (yleistä sääntöä koskeva painos), s. 41 ja 86–98.
         
            (36)  Henkilötietosuojalautakunnan suuntaviivojen 3-3-2 jakson mukaan henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan on tietovuodon, tietojen vahingoittumisen tai tietojen häviämisen tapahtuessa suoritettava tarvittavat tutkimukset ja arvioitava erityisesti, missä määrin rikkominen vaikuttaa yksilön oikeuksiin ja etuihin ja mikä on kyseisten henkilökohtaisten tietojen luonne ja määrä.
         
            (37)  Nämä ovat i) tapauksia, joissa käyttötarkoituksesta ilmoittamisesta rekisteröidylle tai sen julkistamisesta voisi olla ”haittaa datasubjektin tai kolmannen osapuolen hengelle, terveydelle, omaisuudelle tai muille oikeuksille ja eduille” tai ”[…] henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan oikeuksille tai oikeutetuille eduille”; ii) tapauksia, joissa ”on tarpeen tehdä yhteistyötä valtion keskushallinnon organisaation tai paikallishallinnon kanssa” niiden lakisääteisten tehtävien hoitamisessa, ja jos tällaiset tiedot tai tietojen luovuttaminen haittaisivat kyseisten tehtävien hoitoa; iii) tapauksia, joissa käyttötarkoitus on selvä, kun otetaan huomioon tilanne, jossa tiedot on hankittu.
         
            (38)  Kyseiset poikkeukset ovat seuraavat: i) ”lakeihin ja määräyksiin perustuvat tapaukset”; ii) ”tapaukset, joissa on tarpeen suojella ihmisen henkeä, terveyttä tai omaisuutta, ja silloin, kun on vaikea hankkia datasubjektin suostumusta”; iii) ”tapaukset, joissa on erityinen tarve parantaa yleistä hygieniaa tai edistää lasten terveyttä, ja silloin, kun on vaikea hankkia datasubjektin suostumusta”; ja iv) ”tapaukset, joissa on tehtävä yhteistyötä valtion keskushallinnon organisaation tai paikallishallinnon kanssa tai sellaisen henkilön kanssa, jonka vastuulle kyseiset hallintoelimet ovat antaneet lakien ja määräysten mukaisten tehtävien hoidon, ja silloin jos datasubjektin suostumuksen hankkiminen haittaisi kyseisten tehtävien hoitoa”; ja v) tapaukset, joissa rekisteröity, valtion organisaatio, paikallishallinto, johonkin 76 §:n 1 momentissa mainittuun ryhmään kuuluva henkilö tai muut henkilötietosuojalautakunnan säännöissä määritetyt henkilöt julkistavat kyseisiä erityisellä huolella käsiteltäviä henkilökohtaisia tietoja yleisölle. Lisäksi on olemassa tietoryhmä, joka koskee ”muita hallituksen määräyksessä säädettyjä tapauksia, jotka vastaavat kussakin edellisessä kohdassa esitettyjä tapauksia”, ja voimassa oleva hallituksen määräys kattaa henkilön tietyt selvästi näkyvät piirteet (esimerkiksi näkyvä terveydentila), jos arkaluonteiset tiedot on hankittu (tahattomasti) havainnoimalla silmämääräisesti rekisteröityä, kuvaamalla tai valokuvaamalla tätä, esimerkiksi kameravalvonnan avulla.
         
            (39)  Henkilökohtaisten tietojen suojasta annetun lain 40 §:n 1 momentin mukaan henkilötietosuojalautakunta voi, siinä määrin kuin se on tarpeen kyseisen lain asianomaisten säännösten täytäntöönpanemiseksi, edellyttää, että henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja toimittaa henkilökohtaisten tietojen käsittelyyn liittyvät tarpeelliset tiedot tai materiaalin.
         
            (40)  Henkilökohtaisten tietojen suojasta annetussa laissa säädetään muun muassa tällaisten organisaatioiden akkreditointia koskevista säännöistä; ks. henkilökohtaisten tietojen suojasta annetun lain 47–50 §.
         
            (41)  Henkilökohtaisten tietojen suojasta annetun lain 52 §.
         
            (42)  Henkilötietosuojalautakunnan ilmoitus nro 1/2017 ”Concerning the actions to be taken in such instances as the cases where a personal data breach or other incident has occurred” (Toimista, jotka on toteuttava esimerkiksi tapauksissa, joissa on tapahtunut henkilötietojen tietoturvaloukkaus tai muu tietoturvahäiriö).
         
            (43)  JIPDEC:n PrivacyMark-verkkosivustolla julkaistujen lukujen mukaan, päivätty 2 päivänä lokakuuta 2017.
         
            (44)  Henkilötietosuojalautakunnan luettelo akkreditoiduista henkilökohtaisten tietojen suojaamisesta vastaavista organisaatioista (saatavilla osoitteessa https://www.ppc.go.jp/personal/nintei/list/ tai https://www.ppc.go.jp/files/pdf/nintei_list.pdf)
         
            (45)  Henkilötietosuojalautakunnan katsaus henkilökohtaisten tietojen suojasta annetun lain täytäntöönpanon tilaan tilikaudella 2015 (lokakuu 2016), saatavilla (vain japaniksi) osoitteessa https://www.ppc.go.jp/files/pdf/personal_sekougaiyou_27ppc.pdf
         
            (46)  Ks. alaviite 32.
         
            (47)  Henkilötietosuojalautakunnan sääntöjen 11 kohdan mukaan tämä ei edellytä pelkästään henkilökohtaisten tietojen suojasta annettua lakia vastaavia aineellisia vaatimuksia, joiden täytäntöönpanoa käytännössä valvoo riippumaton täytäntöönpanoviranomainen, vaan myös sitä, että asiaankuuluvien sääntöjen täytäntöönpano varmistetaan kyseisessä kolmannessa maassa.
         
            (48)  Henkilötietosuojalautakunta ei ole vielä tehnyt yhtään henkilökohtaisten tietojen suojasta annetun lain 24 §:n mukaista päätöstä, jossa se tunnustaisi, että kolmannen maan tietosuojan taso vastaa Japanissa taatun tietosuojan tasoa. Ainoa sen tällä hetkellä hyväksyttävänä oleva päätös koskee ETA-aluetta. Komissio seuraa tilannetta muiden tulevaisuudessa mahdollisesti tehtävien päätösten osalta ja ryhtyy tarvittaessa asianmukaisiin toimiin puuttuakseen mahdollisiin kielteisiin vaikutuksiin, jotka kohdistuvat tietosuojan jatkuvuuteen (ks. jäljempänä johdanto-osan 176, 177 ja 184 kappale sekä 3 artiklan 1 kohta).
         
            (49)  Tosin vain kaksi japanilaista yritystä on sertifioitu APEC:n CBPR-järjestelmän perusteella (ks. https://english.jipdec.or.jp/sp/protection_org/cbpr/list.html). Japanin ulkopuolelle sijoittautuneista toiminnanharjoittajista ainoastaan muutama (23) yhdysvaltalainen yritys on sertifioitu tämän järjestelmän perusteella (ks. https://www.trustarc.com/consumer-resources/trusted-directory/#apec-list).
         
            (50)  Esimerkiksi arkaluonteisia tietoja ei ole määritelty eikä niille ole erityisiä suojatoimia. Myöskään tietojen säilyttämistä ei ole rajoitettu. Ks. myös 29 artiklan mukaisen tietosuojaryhmän 6 päivänä maaliskuuta 2014 antama lausunto 2/2014 (Opinion 02/2014 on a referential for requirements for Binding Corporate Rules submitted to national Data Protection Authorities in the EU and Cross-Border Privacy Rules submitted to APEC CBPR Accountability Agents).
         
            (51)  Henkilötietosuojalautakunnan mukaan ainoastaan sellaiset edut saattavat oikeuttaa rajoituksen, jotka ovat ”oikeudellisen suojan arvoisia”. Arviointi on tehtävä tapauskohtaisesti ”ottaen huomioon haitta, joka kohdistuu yksityisyyttä koskevaan perusoikeuteen, mukaan lukien tietosuoja, sellaisena kuin se on tunnustettu perustuslaissa ja aiemmassa oikeuskäytännössä”. Suojattuja etuja voivat olla muun muassa kauppaan tai muuhun liiketoimintaan liittyvät salaisuudet.
         
            (52)  Henkilötietosuojalautakunnan suuntaviivoissa kuvaillaan erilaisten esimerkkien avulla käsitettä ”häiritsee vakavasti toiminnanharjoittajan liiketoiminnan moitteetonta toteuttamista”, esimerkiksi kun on kyse toistuvista ja samanlaisista saman henkilön esittämistä monimutkaisista pyynnöistä, jotka aiheuttavat toiminnanharjoittajalle huomattavaa rasitusta niin, että ne heikentävät toiminnanharjoittajan mahdollisuuksia vastata muihin pyyntöihin (henkilötietosuojalautakunnan suuntaviivat (yleistä sääntöä koskeva painos), s. 62). Yleisesti ottaen henkilötietosuojalautakunta on vahvistanut, että tämä rajoitustyyppi koskee vain poikkeuksellisia tapauksia, joissa mennään pelkkää haittaa pidemmälle. Erityisesti on huomattava, että henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja ei voi kieltäytyä tietojen ilmoittamisesta pelkästään siksi, että siltä on pyydetty suuri määrä tietoja.
         
            (53)  Kuten henkilötietosuojalautakunta on vahvistanut, näissä laeissa on kunnioitettava oikeutta yksityisyyteen sellaisena kuin se on vahvistettu perustuslaissa, ja siten ”niissä olevien rajoitusten on oltava välttämättömiä ja kohtuullisia”.
         
            (54)  Japanin korkeimman oikeuden tulkinnan mukaan maan perustuslain 13 §:ssä säädetään oikeudesta yksityisyyteen (ks. edellä johdanto-osan 7 ja 8 kappale). Vaikka tätä oikeutta voidaan rajoittaa tapauksissa, joissa se ”haittaa yleistä hyvinvointia”, korkein oikeus on todennut 6 päivänä maaliskuuta 2008 antamassaan tuomiossa (ks. johdanto-osan 8 kappale), että kaikkia rajoituksia (jotka tässä tapauksessa antavat viranomaiselle luvan kerätä ja käsitellä henkilötietoja) on punnittava suhteessa yksityisyyden suojaan ottaen huomioon sellaiset tekijät kuin tietojen luonne, tietojen käsittelystä yksittäisille henkilöille aiheutuvat riskit, sovellettavat suojatoimet ja käsittelystä saatavat yleistä etua koskevat edut. Tämä on hyvin samantapainen kuin EU:n lainsäädännössä vaadittu menettely, joka perustuu tarpeellisuus- ja suhteellisuusperiaatteisiin ja jota sovelletaan hyväksyttäessä tietosuojaa koskevien oikeuksien ja suojatoimien mahdollisia rajoituksia.
         
            (55)  Lisätietoja näistä poikkeuksista on professori Katsuya Ugan teoksessa, jossa kommentoidaan henkilökohtaisten tietojen suojasta annettua tarkistettua lakia pykälittäin (Article by Article Commentary of the revised Act on the Protection of Personal Information), 2015, s. 217. Esimerkkinä pyynnöstä, joka aiheuttaa ”suuria kuluja”, on tapaus, jossa ainoastaan joitakin pitkässä luettelossa (esim. hakemisto) olevia nimiä käsitellään käyttötarkoituksen rajoittamista koskevan periaatteen vastaisesti ja hakemisto on jo myynnissä, joten kyseisten kappaleiden vetäminen takaisin ja korvaaminen uusilla olisi erittäin kallista. Tietojen käytön lopettaminen olisi vaikeaa myös silloin, kun hakemistoa on jo myyty useille ihmisille, minkä vuoksi on mahdotonta kerätä ne kaikki takaisin. Näissä skenaarioissa ”tarvittava vaihtoehtoinen toimi” voisi olla esimerkiksi oikaisun julkaiseminen tai jakeleminen. Tällainen toimi ei sulje pois muita (oikeudellisia) muutoksenhakukeinoja olipa kyseessä yksityisyyttä koskevien oikeuksien loukkaaminen, julkaisemisesta aiheutuva maineen vahingoittuminen (kunnianloukkaus) tai muiden etujen loukkaaminen.
         
            (56)  Sitä vastoin poikkeuksellisissa tapauksissa, joissa japanilaisella toiminnanharjoittajalla on suora suhde EU:n rekisteröityyn, tämä on tyypillisesti seurausta siitä, että se on kohdentanut toimiaan Euroopan unionissa olevaan henkilöön tarjoamalla tälle tavaroita tai palveluja tai seuraamalla tämän käyttäytymistä. Tässä tapauksessa japanilainen toiminnanharjoittaja itse kuuluu asetuksen (EU) 2016/679 (3 artiklan 2 kohta) soveltamisalaan, ja sen on sen vuoksi suoraan noudatettava EU:n tietosuojalainsäädäntöä.
         
            (57)  Henkilökohtaisten tietojen suojasta annetun lain 65 §:n mukaan lautakunnan jäsen voidaan erottaa tämän tahdon vastaisesti ainoastaan jollakin seuraavista perusteista: i) konkurssimenettelyn aloittaminen; ii) tuomio henkilökohtaisten tietojen suojasta annetun lain tai numeroiden käyttöä koskevan lain rikkomisesta; iii) vankeusrangaistus ilman pakkotyötä tai vieläkin ankarampi rangaistus; iv) kyvyttömyys hoitaa tehtäviä psyykkisten tai fyysisten ongelmien tai väärinkäytöksen vuoksi.
         
            (58)  Ks. henkilökohtaisten tietojen suojasta annetun lain 62 §.
         
            (59)  Eräät säännökset koskevat esimerkiksi henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan toimia, jotka ovat vapaaehtoisia (henkilökohtaisten tietojen suojasta annetun lain 32 ja 33 §) tai ”parhaan kyvyn mukaan täytettäviä” velvoitteita, jotka eivät sellaisenaan ole täytäntöönpanokelpoisia (henkilökohtaisten tietojen suojasta annetun lain 31 ja 35 §, 36 §:n 6 momentti ja 39 §). Tiettyjä säännöksiä ei ole osoitettu henkilökohtaisia tietoja käsittelevälle toiminnanharjoittajalle vaan muille toiminnanharjoittajille. Näin on esimerkiksi henkilökohtaisten tietojen suojasta annetun lain 23 §:n 4 momentin, 26 §:n 2 momentin ja 34 §:n kohdalla (lain 26 §:n 2 momentin noudattamisen valvonta varmistetaan kuitenkin antamalla mahdollisuus määrätä rikosoikeudellisia seuraamuksia mainitun lain 88 §:n i kohdan mukaisesti).
         
            (60)  Kuten johdanto-osan 48 kappaleessa selitetään, ”käyttötarkoituksen” määrittää siirron yhteydessä EU:n tietojen viejä, jota tässä suhteessa sitoo asetuksen (EU) 2016/679 5 artiklan 1 kohdan b alakohdan mukainen velvoite. Velvoitteen voi panna täytäntöön Euroopan unionin toimivaltainen tietosuojavirasto.
         
            (61)  Laki nro 50, annettu 5 päivänä kesäkuuta 2009.
         
            (62)  Laki nro 60, annettu 22 päivänä elokuuta 2012.
         
            (63)  Siviililain 709 § on pääasiallinen peruste siviilioikeudellisen vahingonkorvauskanteen nostamiselle. Kyseisen säännöksen mukaan ”henkilö, joka on tahallisesti tai tuottamuksellisesti loukannut muiden oikeuksia tai laissa suojattuja etuja, on velvollinen korvaamaan tästä mahdollisesti aiheutuneet vahingot”.
         
            (64)  Tokion ylemmän oikeusasteen tuomioistuimen 20 päivänä toukokuuta 2015 antama tuomio (ei julkaistu); Tokion ensimmäisen oikeusasteen tuomioistuimen 8 päivänä syyskuuta 2014 antama tuomio, Westlaw Japan 2014WLJPCA09088002. Ks. myös henkilökohtaisten tietojen suojasta annetun lain 34 §:n 1 ja 3 momentti.
         
            (65)  Ks. Japanin korkeimman oikeuden 24 päivänä syyskuuta 2002 antama tuomio (Hanrei Times vol. 1106, s. 72).
         
            (66)  Rikosprosessilain 239 §:n 2 momentti.
         
            (67)  Vuonna 2014 annettu laki nro 160.
         
            (68)  Oikeudenkäynnistä hallintoasioissa annetun lain 37-2 §:n nojalla.
         
            (69)  Oikeudenkäynnistä hallintoasioissa annetun lain 3 §:n 6 momentin mukaan mandamus-kanteella tarkoitetaan kannetta, jolla haetaan tuomioistuimelta määräystä hallintoelintä vastaan. Tällöin vaaditaan, että hallintoelin antaa hallinnollisen määräyksen, joka sen alun perinkin olisi pitänyt antaa mutta jonka se on jättänyt antamatta.
         
            (70)  Oikeudenkäynnistä hallintoasioissa annetun lain 37-5 §:n nojalla.
         
            (71)  Oikeudenkäynnistä hallintoasioissa annetun lain II luvun 1 jakso.
         
            (72)  Ks. esimerkiksi Japanin korkeimman oikeuden 12 päivänä syyskuuta 2003 antama tuomio, asia nro 1656 (2002 (Ju)). Japanin korkein oikeus on katsonut erityisesti, että ”jokaisella yksilöllä on vapaus suojella omia henkilökohtaisia tietojaan, jotta niitä ei paljastettaisi kolmannelle osapuolelle tai jotta niitä ei julkistettaisi ilman hyvää syytä”.
         
            (73)  Japanin korkeimman oikeuden 6 päivänä maaliskuuta 2008 antama tuomio (Juki-net).
         
            (74)  ”Riittävästä syystä” on kyse ainoastaan silloin, kun kyseessä olevan henkilön (epäillyn tai syytetyn) katsotaan syyllistyneen rikokseen ja etsintä ja takavarikko ovat tarpeen rikostutkinnan kannalta. Ks. Japanin korkeimman oikeuden 18 päivänä maaliskuuta 1969 antama tuomio, asia nro 100 (1968 (Shi)).
         
            (75)  Ks. rikosprosessia koskevien sääntöjen 156 §:n 1 momentti.
         
            (76)  On kuitenkin huomattava, että 15 päivänä kesäkuuta 2017 annetussa järjestäytyneen rikollisuuden rankaisemista ja rikoksen torjuntaa koskevassa laissa luodaan uusi rikostyyppi kriminalisoimalla terroritekojen ja eräiden muiden järjestäytyneen rikollisuuden muotojen valmistelu. Tutkimukset voidaan aloittaa vain, kun on näyttöön perustuva konkreettinen epäilys siitä, että kaikki kolme rikoksen edellytystä (järjestäytyneen rikollisryhmän osallistuminen, rikoksen ”suunnittelu” ja rikoksen ”toteuttamisen valmistelu”) täyttyvät. Ks. myös esimerkiksi kumouksellisen toiminnan ehkäisemisestä annetun lain 38–40 § (laki nro 240, annettu 21 päivänä heinäkuuta 1952).
         
            (77)  Henkilökohtaisten tietojen suojasta televiestinnän alalla annettujen suuntaviivojen 15 artiklan 8 kohta.
         
            (78)  Hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain 2 §:n 1 momentissa tarkoitetut hallintoelimet. Japanin hallitukselta saatujen tietojen mukaan kaikki viranomaiset, prefektuurin poliisia lukuun ottamatta, kuuluvat ”hallintoelinten” määritelmän piiriin. Prefektuurin poliisi toimii henkilökohtaisten tietojen suojasta annettujen prefektuurin määräysten muodostaman oikeudellisen kehyksen puitteissa (ks. henkilökohtaisten tietojen suojasta annetun lain 11 § ja perusperiaatteet). Kyseisissä prefektuurin määräyksissä olevat säännökset vastaavat hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain säännöksiä. Ks. liite II, I.B jakso. Kuten henkilötietosuojalautakunta on todennut, nämä määräykset on perusperiaatteiden mukaisesti annettava hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain sisällön perusteella, ja Japanin sisäasiain- ja viestintäministeriö julkaisee tiedonantoja tarvittavien ohjeiden antamiseksi paikallisviranomaisille. Kuten henkilötietosuojalautakunta on korostanut, ”henkilökohtaisten tietojen suojaa koskeva määräys on näissä rajoissa vahvistettava kussakin prefektuurissa […] perusperiaatteiden ja tiedonantojen sisällön perusteella”.
         
            (79)  Henkilökohtaiset tiedot, jotka hallintoelimen virkamiehet ovat hankkineet hoitaessaan tehtäviään ja jotka ovat kyseisen hallintoelimen hallussa, kuuluvat hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain 2 §:n 3 momentissa tarkoitetun ”säilytettyjen henkilökohtaisten tietojen” määritelmän soveltamisalaan, kunhan ne on merkitty ”hallinnollisiin asiakirjoihin”. Tähän sisältyvät sähköiset tiedot, jotka kyseiset elimet ovat keränneet ja myöhemmin käsitelleet, ottaen huomioon, että hallintoelinten hallussa oleviin tietoihin tutustumista koskevan lain (laki nro 42 vuodelta 1999) 2 §:n 2 momentissa oleva ”hallinnollisten asiakirjojen” määritelmä kattaa myös sähkömagneettiset tallenteet.
         
            (80)  Rikosprosessilain 53-2 §:n mukaan hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain IV lukua ei kuitenkaan oteta huomioon kun on kyse ”oikeudenkäyntejä koskevista asiakirjoista”, joihin saatujen tietojen mukaan kuuluvat muun muassa sähköiset tiedot, jotka on hankittu määräyksen tai vapaaehtoista yhteistyötä koskevan pyynnön perusteella osana rikostutkintaa. Samoin kansallisen turvallisuuden alalla kerättyjen tietojen osalta henkilöt eivät voi vedota hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain mukaisiin oikeuksiinsa, jos julkisen hallintoelimen johtajalla on ”kohtuulliset perusteet” katsoa, että tietojen luovuttaminen ”todennäköisesti aiheuttaa haittaa kansalliselle turvallisuudelle” (ks. 14 §:n iv kohta). Viranomaisten on kuitenkin annettava mahdollisuuksien mukaan pääsy tietoihin ainakin osittain (15 §).
         
            (81)  Ks. viittaukset hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annettuun lakiin, liite II, II.A jakson 1 kohdan b alakohdan 2 alakohta.
         
            (82)  Vaikka rikosprosessilain 220 §:ssä sallitaan etsintä ja takavarikko ”paikan päällä” ilman määräystä silloin, kun yleinen syyttäjä, yleisen syyttäjän avustaja tai tutkinta-asioista vastaava poliisi pidättää epäillyn tai itse teosta kiinni saadun henkilön, tällä ei ole merkitystä tietojen siirron eikä sen vuoksi tämän päätöksen tarkoituksen kannalta.
         
            (83)  Rikosprosessilain 222 §:n 1 momentin, luettuna yhdessä sen 110 §:n kanssa, mukaan tietoja koskeva etsintä-/takavarikkomääräys on näytettävä toimenpiteen kohteena olevalle henkilölle.
         
            (84)  Ks. myös rikosprosessilain 189 §:n 2 momentti, jonka mukaan tutkinta-asioista vastaava poliisi tutkii rikoksentekijän ja asiaan liittyvät todisteet, ”kun hän katsoo, että on tehty rikos”. Samoin rikosprosessia koskevien sääntöjen 155 §:n 1 momentissa edellytetään, että määräystä koskevassa kirjallisessa pyynnössä esitetään muun muassa ”rikosnimike” ja ”tiivistelmä rikosta koskevista asiaseikoista”.
         
            (85)  Liitteessä mainitaan yhdeksän rikostyyppiä, jotka liittyvät esimerkiksi huumausaineisiin ja ampuma-aseisiin, ihmiskauppaan ja palkkamurhaan. On huomattava, että äskettäin käyttöönotettu rikostyyppi ”terrorismin ja muiden järjestäytyneen rikollisuuden tekojen valmistelu” (ks. alaviite 76) ei sisälly tähän rajoittavaan luetteloon.
         
            (86)  Lisäksi salakuuntelulain 23 §:n mukaan tutkintaviranomaisen on ilmoitettava asiasta kirjallisesti henkilölle, jonka viestintää on kuunneltu (ja sen vuoksi sisällytetty kuuntelua koskevaan asiatiedostoon).
         
            (87)  Ks. liite II, I.A jakson 1 kohdan b alakohdan 1 alakohta.
         
            (88)  Saatujen tietojen mukaan toiminnanharjoittajille, jotka eivät toimi yhteistyössä, ei langeteta mitään kielteisiä seuraamuksia (sanktiot mukaan lukien) minkään lain nojalla. Ks. liite II, II.A jakson 2 kohdan a alakohta.
         
            (89)  Henkilötietosuojalautakunnan suuntaviivojen (yleistä sääntöä koskeva painos) mukaan 23 §:n 1 momentin i kohta muodostaa perustan henkilökohtaisten tietojen luovuttamiselle sekä tuomioistuimen määräyksen (rikosprosessilain 218 §) että ”tutkintalomakkeen” (rikosprosessilain 197 § 2 momentti) perusteella.
         
            (90)  Tämä tarkoittaa sitä, että ”tutkintalomaketta” voidaan käyttää ainoastaan tietojen keräämiseen yksittäisissä tapauksissa eikä sitä voida käyttää henkilökohtaisten tietojen laajamittaiseen keräämiseen. Ks. liite II, I.A jakson 2 kohdan b alakohdan 1 alakohta.
         
            (91)  Samoin kuin prefektuurin yleisen turvallisuuden komitean säännöt, ks. rikosprosessilain 189 §:n 1 momentti.
         
            (92)  Ks. myös poliisilain 3 §, jossa säädetään, että kaikkien poliisien vannoman virkavalan mukaan poliisien on ”noudatettava velvollisuuttaan puolustaa ja ylläpitää perustuslakia ja Japanin lainsäädäntöä sekä suorittaa tehtävänsä puolueettomasti, tasapuolisesti, oikeudenmukaisesti ja ilman ennakkokäsityksiä”.
         
            (93)  Poliisilain 30 §:n 1 momentin ja 31 §:n 2 momentin mukaan alueellisten poliisitoimistojen (kansallisen poliisiviraston paikallisyksiköt) päällikkö ”johtaa ja valvoo” prefektin poliisia.
         
            (94)  Tutkintalomakkeessa on mainittava myös ”käsittelijän” yhteystiedot (”osaston nimi [asema], käsittelijän nimi, toimiston puhelinnumero, alanumero jne.”).
         
            (95)  Japanin korkein oikeus, tuomio 24.12.1969 (1965A) 1187); tuomio 15.4.2008 (2007A) 839).
         
            (96)  Vaikka nämä tuomiot eivät koskeneet sähköisen tiedon keräämistä, Japanin hallitus on selventänyt, että korkeimman oikeuden esittämien kriteerien soveltaminen ulottuu kaikkiin tapauksiin, joissa viranomaiset puuttuvat yksityisyyttä koskevaan oikeuteen, mukaan lukien kaikki ”vapaaehtoiset tutkimukset”, ja näin ollen kyseiset kriteerit sitovat Japanin viranomaisia myös silloin, kun ne pyytävät tietojen vapaaehtoista luovuttamista. Ks. liite II, II.A jakson 2 kohdan b alakohdan 1 alakohta.
         
            (97)  Saatujen tietojen mukaan näiden tekijöiden on katsottava olevan ”kohtuullisia sosiaalisesti hyväksyttyjen normien mukaisesti”. Ks. liite II, II.A jakson 2 kohdan b alakohdan 1 alakohta.
         
            (98)  Samantapaisista olosuhteista pakkokeinoin toteutettavan tutkinnan (salakuuntelu) yhteydessä ks. myös Japanin korkeimman oikeuden 16 päivänä joulukuuta 1999 antama tuomio (1997 (A) 636).
         
            (99)  Tältä osin Japanin viranomaiset ovat viitanneet henkilötietosuojalautakunnan laatimiin suuntaviivoihin (yleistä sääntöä koskeva painos) sekä lautakunnan henkilötietosuojasta annetun lain soveltamiseksi julkaisemien kysymysten ja vastausten 5/14 kohtaan. Japanin viranomaiset ovat todenneet, että ”kun otetaan huomioon henkilöiden lisääntyvä tietoisuus oikeuksistaan yksityisyyteen sekä kyseisten pyyntöjen aiheuttama työtaakka, toiminnanharjoittajat vastaavat näihin pyyntöihin entistä varovaisemmin”. Ks. liite II, 11.A jakson 2 kohta, myös kansallisen poliisiviraston vuoden 1999 ilmoituksen osalta. Saatujen tietojen mukaan Japanissa on tosiaankin ollut tapauksia, joissa toiminnanharjoittajat ovat kieltäytyneet yhteistyöstä. Esimerkiksi LINE (Japanin suosituin viestisovellus) toteaa vuoden 2017 avoimuusraportissaan seuraavaa: ”Sen jälkeen, kun olemme vastaanottaneet pyynnön tutkintaviranomaisilta, me […] tarkastamme, onko se asianmukainen laillisuutta, käyttäjien suojelua koskevien yms. seikkojen kannalta. Kieltäydymme tarkastuksessa vastaamasta pyyntöön, jos se on oikeudellisesti puutteellinen. Jos väite on tutkinnan kannalta liian laaja, pyydämme selvitystä tutkinnan suorittavalta virastolta. Jos selvitystä ei perustella, emme vastaa pyyntöön.” Saatavilla osoitteessa https://linecorp.com/en/security/transparency/top
         
            (100)  Seuraamuksena kenelle tahansa ”televiestintätoimintaa harjoittavalle” voidaan langettaa kolmen vuoden pakkotyörangaistus tai yhteensä enintään 2 miljoonan jenin sakko.
         
            (101)  Rikoslain mukaan ”perustelluista toimista” on kyse erityisesti silloin kun televiestintäoperaattori toimii sellaisten valtion toimenpiteiden mukaisesti, joilla on oikeudellista vaikutusta (pakolliset toimenpiteet), esimerkiksi silloin, kun tutkintaviranomaiset toteuttavat tuomarin antamaan määräykseen perustuvia toimenpiteitä. Ks. liite II, II.A jakson 2 kohdan b alakohdan 2 alakohta, ottaen huomioon suuntaviivat henkilökohtaisten tietojen suojasta televiestinnän alalla.
         
            (102)  Ks. kohta 3.1. asianomaisten henkilöiden oikeuksien osalta.
         
            (103)  Periaatteessa yleinen syyttäjä tai yleisen syyttäjän määräyksestä apulaissyyttäjä voi tarvittaessa tutkia rikkomusta (rikosprosessilain 191 §:n 1 momentti).
         
            (104)  Saatujen tietojen mukaan kansallinen poliisivirasto ei toteuta yksittäisiä rikostutkimuksia. Ks. liite II, II.A jakson 1 kohdan a alakohta.
         
            (105)  Ks. myös rikosprosessilain 246 §, jonka mukaan poliisilla on velvollisuus lähettää asiakirja-aineisto yleiselle syyttäjälle sen jälkeen, kun se on suorittanut rikostutkinnan (”kaikkia tapauksia koskevan asiakirja-aineiston lähettämisen periaate”).
         
            (106)  Parlamentti voi vaihtoehtoisesti pyytää erityisesti määriteltyjen salaisuuksien valvonta- ja tarkastuslautakuntaa suorittamaan tutkimuksen pyynnöstä kieltäytymisestä. Ks. parlamenttia koskevan lain 104 §:n II kohta.
         
            (107)  Ks. liite II, II.B jakson 4 kohta.
         
            (108)  Paikallisitsehallintolain 100 §:n mukaan paikallisella edustuselimellä on valtuudet tutkia prefektuurin tasolla perustettujen täytäntöönpanoviranomaisten, myös prefektuurin poliisin, toimia.
         
            (109)  Ks. poliisilain 39–41 §. Poliittisen riippumattomuuden osalta ks. myös poliisilain 42 §.
         
            (110)  Ks. liite II, II.B jakson 3 kohta (”riippumattomien neuvostojen järjestelmä”).
         
            (111)  Ks. poliisilain 5 §:n 3 momentti ja 38 §:n 3 momentti.
         
            (112)  Ks. poliisilain 38 §:n 3 momentti ja 43 §:n 2 momentin 1 kohta. Kun prefektuurin yleisen turvallisuuden komitea ”antaa ohjeistusta” 43 §:n 2 momentin 1 kohdan mukaisesti, se voi määrätä nimittämänsä komitean valvomaan sen täytäntöönpanoa (2 momentti). Yleisen turvallisuuden komitea voi myös suositella kurinpitokeinoja tai prefektuurin poliisin päällikön (poliisilain 50 §:n 2 momentti) tai muiden poliisiviranomaisten (poliisilain 55 §:n 4 momentti) irtisanomista.
         
            (113)  Sama pätee myös Tokion suurkaupunkipoliisin päällikköön (ks. poliisilain 48 §:n 1 momentti).
         
            (114)  Saatujen tietojen mukaan varainhoitovuonna 2017 (huhtikuusta 2017 maaliskuuhun 2018) ”kattavissa tietokeskuksissa” käsiteltiin yhteensä 5 186 yksityishenkilöiden tekemää tiedustelua.
         
            (115)  ”Erityistä haittaa” koskeva ehto edellyttää ainoastaan, että poliisin toiminta (tai toimimattomuus) koskee valituksen tekijää henkilökohtaisesti, mutta hänen ei tarvitse osoittaa kärsineensä vahinkoa.
         
            (116)  Kyseisiin tehtäviin kuuluu lain sekä henkilötietojen keräämistä ja käyttöä koskevien vaatimusten noudattaminen. Ks. poliisilain 2 §:n 2 momentti ja 3 §.
         
            (117)  Arviointia tehdessään henkilötietosuojalautakunta tekee yhteistyötä sisä- ja viestintäministeriön kanssa. Kuten johdanto-osan 136 kappaleessa on esitetty, ministeriö voi pyytää selityksiä ja todistusaineistoja ja antaa lausuntoja, jotka koskevat asianomaisen hallintoelimen suorittamaa henkilökohtaisten tietojen käsittelyä (hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain 50 ja 51 §).
         
            (118)  Tämä sisältää telekuunteluluvan, jonka osalta salakuuntelulaissa säädetään erityisestä ilmoitusvaatimuksesta (23 §). Kyseisen säännöksen mukaan tutkintaviranomaisen on ilmoitettava tästä kirjallisesti henkilöille, joiden televiestintää on kuunneltu (ja siten kirjattu kuuntelua koskeviin asiakirjoihin). Toinen esimerkki on rikosprosessilain 100 §:n 3 momentti, jonka mukaan tuomioistuimen on ilmoitettava postissa lähetettyjen tavaroiden tai sähkeiden lähettäjälle tai vastaanottajalle, että se on takavarikoinut kyseiset syytetylle lähetetyt tai syytetyn lähettämät tavarat ja sähkeet, ellei ole riskiä siitä, että tällainen ilmoitus haittaa oikeudenkäyntiä. Rikosprosessilain 222 §:n 1 momentissa on tämän säännöksen osalta ristiviittaus tutkintaviranomaisen suorittamiin etsintöihin ja takavarikkoihin.
         
            (119)  Vaikka tällainen pyyntö ei automaattisesti keskeytä takavarikkopäätöksen toimeenpanoa, muutoksenhakutuomioistuin voi määrätä päätöksen täytäntöönpanon keskeyttäväksi, kunnes se on antanut pääasiassa ratkaisun. Ks. rikosprosessilain 429 §:n 2 momentti yhdessä 424 §:n kanssa.
         
            (120)  Ks. liite II, II.C jakson 1 kohta.
         
            (121)  Ks. liite II, II.C jakson 2 kohta.
         
            (122)  Ks. esim. Tokion alueellisen tuomioistuimen tuomio, 24.3.1988 (N:o 2925); Osakan alueellisen tuomioistuimen tuomio, 26.4.2007 (N:o 2925). Osakan alueellisen tuomioistuimen mukaan on tasapainotettava useita eri tekijöitä kuten: i) henkilökohtaisten tietojen luonne ja sisältö; ii) tietojen keruutavat; iii) asianomaiselle aiheutuvat haitat, jos tietoja ei poisteta; ja iv) yleinen etu, mukaan lukien haitat viranomaiselle, jos tiedot poistetaan.
         
            (123)  Joka tapauksessa syyttäjä antaa rikosoikeudenkäynnin aloittamisen jälkeen syytetylle mahdollisuuden tutustua kyseiseen näyttöön (ks. rikosprosessilain 298 ja 299 §). Rikosten uhrien osalta ks. rikosprosessilain 316–333 §.
         
            (124)  Sen vuoksi toiminnanharjoittajat voivat vapaasti päättää olla tekemättä yhteistyötä ilman sanktioita tai muita kielteisiä seuraamuksia. Ks. liite II, III.A jakson 1 kohta.
         
            (125)  Saatujen tietojen mukaan kansallisen poliisiviraston tärkein tehtävä on kuitenkin koordinoida eri prefektuurien poliisiosastojen tutkimuksia ja vaihtaa tietoja ulkomaisten viranomaisten kanssa. Myös tässä roolissa kansallinen poliisivirasto on kansallisen yleisen turvallisuuden komitean valvonnan alainen ja vastuussa muun muassa yksilöiden oikeuksien ja vapauksien suojelusta (poliisilain 5 §:n 1 momentti).
         
            (126)  Ks. liite II, III.A jakson 1 kohdan 3 alakohta. Näiden kahden lain soveltamisala on rajattu. Kumouksellisen toiminnan ehkäisemisestä annettu laki viittaa ”kumouksellisiin terroritoimiin” ja joukkomurhia toteuttaneiden järjestöjen valvonnasta annettu laki viittaa ”joukkomurhiin” (tarkoittaa kumouksellisen toiminnan ehkäisemisestä annetun lain mukaisia ”kumouksellisia terroritoimia”, ”jonka myötä suuri joukko ihmisiä murhataan”).
         
            (127)  Ks. joukkomurhia toteuttaneiden järjestöjen valvonnasta annetun lain 5 ja 8 §. Valvontamääräys käsittää myös raportointivelvoitteen sen järjestön osalta, jota toimenpide koskee. Menettelyllisten takeiden ja erityisesti avoimuutta koskevien vaatimusten ja yleistä turvallisuutta käsittelevän tutkintakomission etukäteisluvan osalta ks. joukkomurhia toteuttaneiden järjestöjen valvonnasta annetun lain 12, 13 ja 15–27 §.
         
            (128)  Ks. kumouksellisen toiminnan ehkäisemisestä annetun lain 5 ja 7 §. Menettelyllisten takeiden ja erityisesti avoimuutta koskevien vaatimusten ja yleistä turvallisuutta käsittelevän tutkintakomission etukäteisluvan osalta ks. kumouksellisen toiminnan ehkäisemisestä annetun lain 11–25 §.
         
            (129)  Ks. kumouksellisen toiminnan ehkäisemisestä annetun lain 27 § ja joukkomurhia toteuttaneiden järjestöjen valvonnasta annetun lain 29 ja 30 §.
         
            (130)  Ks. liite II, III.A jakson 1 kohdan 3 alakohta.
         
            (131)  Ks. liite II, III.A jakson 2 kohdan b alakohta. ”Korkeimman oikeuden oikeuskäytännöstä seuraa, että toiminnanharjoittajalle osoitetun vapaaehtoista yhteistyötä koskevan pyynnön on oltava tarpeellinen epäillyn rikoksen tutkimisen kannalta ja sen on oltava kohtuullinen tutkimuksen tarkoituksen saavuttamiseksi. Vaikka tutkintaviranomaisten kansallisen turvallisuuden alalla suorittamat tutkimukset eroavat oikeusperustansa ja tarkoituksensa osalta tutkimuksista, joita tutkintaviranomaiset suorittavat lainvalvonnan alalla, keskeisiä periaatteita ”tutkimuksen välttämättömyydestä” ja ”menetelmän asianmukaisuudesta” sovelletaan samalla tavalla kansallisen turvallisuuden alalla ja niitä on noudatettava kunkin tapauksen erityisolosuhteet huomioon ottaen.”
         
            (132)  Ks. liite II, III.A jakson 2 kohdan b alakohta.
         
            (133)  Ks. esim. kumouksellisen toiminnan ehkäisemisestä annetun lain 36 § ja joukkomurhia toteuttaneiden järjestöjen valvonnasta annetun lain 31 § (yleisten turvallisuus- ja tiedusteluasioiden viraston osalta).
         
            (134)  Tarkastusyksikön päällikkö on entinen yleinen syyttäjä. Ks. liite II, III.B jakson 3 kohta.
         
            (135)  Ks. liite II, III.B jakson 3 kohta. Annetun esimerkin mukaisesti vuonna 2016 tehdyssä säännöllisessä puolustustarkastuksessa, joka koski ”tietämystä lainsäädännön noudattamisesta / valmistautumista lainsäädännön noudattamiseen”, käsiteltiin muun muassa ”henkilökohtaisten tietojen suojan tilaa” (hallinto, säilytys, jne.). Tehdyssä raportissa havaittiin epäasianmukaista tiedonhallintaa ja vaadittiin sen osalta parannuksia. Puolustusministeriö julkaisi raportin verkkosivuillaan.
         
            (136)  Yleistä turvallisuutta käsittelevän tutkintakomission perustamisesta annetun lain mukaisesti komission puheenjohtaja ja jäsenet ”käyttävät riippumattomasti toimivaltaansa” (3 §). Pääministeri nimittää heidät parlamentin molempien kamarien suostumuksella ja heidät voidaan irtisanoa vain ”tietyn syyn vuoksi” (kuten vankeusrangaistus, väärinkäytökset, henkinen tai fyysinen häiriö, konkurssimenettelyn käynnistäminen).
         
            (137)  Asetus yleisten turvallisuus- ja tiedusteluasioiden viraston määräaikaistarkastuksista (yleisten turvallisuus- ja tiedusteluasioiden viraston pääjohtaja, ohje nro 4, 1986).
         
            (138)  Asetus yleisten turvallisuus- ja tiedusteluasioiden viraston erityisistä tarkastuksista (yleisten turvallisuus- ja tiedusteluasioiden viraston pääjohtaja, ohje nro 11, 2008). Erityistarkastuksia suoritetaan kun yleisten turvallisuus- ja tiedusteluasioiden viraston pääjohtaja katsoo sen tarpeelliseksi.
         
            (139)  Tässä viitataan oikeuteen saada jäljennös ”säilytetyistä henkilökohtaisista tiedoista”.
         
            (140)  Ks. myös mahdollisuus ”harkinnanvaraiseen luovuttamiseen” jopa silloin, kun niihin ”säilytettyihin henkilökohtaisiin tietoihin”, joiden luovuttamista pyydetään, sisältyy ”salassa pidettäviä tietoja” (hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain 16 §).
         
            (141)  Hallinnollista muutoksenhakua koskeva laki (laki nro 160 vuodelta 2014) ja erityisesti sen 1 §:n 1 momentti.
         
            (142)  Ks. tietojen luovuttamisesta ja henkilökohtaisten tietojen suojasta vastaavan tarkastuslautakunnan perustamisesta annetun lain (laki nro 60, 2003) 9 §.
         
            (143)  Saatujen tietojen mukaan 13 vuoden aikana vuodesta 2005 lähtien (kun hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annettu laki tuli voimaan) ainoastaan kahdessa tapauksessa yli 2000:sta hallintoelin ei noudattanut raporttia huolimatta siitä, että hallinnolliset päätökset ovat olleet ristiriidassa tarkastuslautakunnan kannan kanssa useissa tapauksissa. Lisäksi jos hallintoelin tekee päätöksen, joka on ristiriidassa raportin päätelmien kanssa, sen on selvästi ilmoitettava syyt siihen. Ks. liite II, III.C jakso, jossa viitataan hallinnollista muutoksenhakua koskevan lain 50 §:n 1 momentin iv kohtaan.
         
            (144)  Kattavat tietokeskukset, joita kussakin prefektuurissa on yksi, selvittävät kansalaisille, mitä henkilökohtaisia tietoja viranomaiset keräävät (esim. olemassa oleviin tietokantoihin), ja tiedottavat sovellettavista tietosuojasäännöistä (hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annettu laki) sekä siitä, kuinka kansalaiset voivat käyttää oikeuttaan saada tietoja, tehdä tietoihin korjauksia tai keskeyttää niiden käyttö. Keskukset toimivat samalla yhteyspisteenä kansalaisten kyselyille ja valituksille. Ks. liite II, II.C jakson 4 kohdan a alakohta.
         
            (145)  Ks. myös hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain ”henkilökohtaisia tietoja koskevien asiakirjojen rekisteriä” koskevat 10 ja 11 pykälät. Niihin sisältyy laajoja poikkeuksia, jotka koskevat rikostutkintaa varten valmisteltuja tai saatuja ”henkilökohtaisia tietoja koskevia asiakirjoja”, tai asiakirjoja, jotka sisältävät turvallisuusetuja ja muita valtion tärkeitä etuja koskevia asioita (ks. hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain 10 §:n 2 momentin i ja ii kohta).
         
            (146)  Ks. edellä alaviite 3.
         
            (147)  Tuomio asiassa Schrems, 76 kohta.
         
            (148)  Tuomio asiassa Schrems, 65 kohta.
         
            (149)  Tuomio asiassa Schrems, 65 kohta: ”Tässä yhteydessä kansallisen lainsäätäjän asiana on säätää oikeussuojakeinoista, joiden avulla asianomainen kansallinen valvontaviranomainen voi esittää perusteltuina pitämänsä perusteet kansallisissa tuomioistuimissa, jotta nämä voisivat, mikäli ne kyseisen viranomaisen tavoin epäilevät komission päätöksen pätevyyttä, pyytää ennakkoratkaisua päätöksen pätevyyden tutkimiseksi”.
         
            (150)  Asetuksen (EU) 2016/679 45 artiklan 3 kohdan mukaisesti ”täytäntöönpanosäädöksessä on säädettävä vähintään joka neljäs vuosi tehtävästä määräaikaistarkastelusta, jossa on otettava huomioon kaikki asiaan liittyvä kehitys kyseisessä kolmannessa maassa tai kansainvälisessä järjestössä.”
         
            (151)  Asetuksen (EU) 2016/679 45 artiklan 3 kohdassa säädetään, että määräaikaistarkastelu on suoritettava vähintään joka neljäs vuosi. Ks. myös Euroopan tietosuojaneuvoston asiakirja Tietosuojan riittävyyden viitearvot, WP 254, rev.01.
         
            (152)  Ks. myös liite II, IV jakso: ”Tietosuojan riittävyyttä koskevan päätöksen määräaikaistarkastuksen yhteydessä henkilötietosuojalautakunta ja Euroopan komissio vaihtavat tietojen käsittelyä koskevia tietoja tietosuojan riittävyyttä koskevan päätelmän mukaisten edellytysten mukaisesti, mukaan lukien tässä lausunnossa asetetut edellytykset.”
         
            (153)  Euroopan parlamentin ja neuvoston asetus (EU) N:o 182/2011, annettu 16 päivänä helmikuuta 2011, yleisistä säännöistä ja periaatteista, joiden mukaisesti jäsenvaltiot valvovat komission täytäntöönpanovallan käyttöä (EUVL L 55, 28.2.2011, s. 13).
         
            (154)  Lausunto 28/2018, joka koskee 5 päivänä joulukuuta 2018 annettua Euroopan komission ehdotusta täytäntöönpanopäätökseksi henkilötietojen suojan riittävästä tasosta Japanissa.
         
            (155)  Euroopan parlamentin päätöslauselma ”Kohti sähköisen kaupankäynnin strategiaa” (2017/2065(INI)), 12.12.2017. Ks. erityisesti 8 kohta (”…muistuttaa, että henkilötietoja voidaan siirtää kolmansiin maihin käyttämättä kauppasopimusten yleisiä sääntöjä, kun […] asetuksen (EU) 2016/679 V lukuun kirjatut nykyiset ja tulevat edellytykset täyttyvät; katsoo, että päätökset tietosuojan riittävyydestä, myös osittaiset ja alakohtaiset päätökset, ovat keskeinen mekanismi, jolla turvataan henkilötietojen siirto EU:sta kolmanteen maahan; huomauttaa, että EU on tehnyt tietosuojan tason riittävyyttä koskevan päätöksen 20 suurimmasta kauppakumppanistaan vain neljän kanssa…”) ja 9 kohta (”kehottaa komissiota asettamaan etusijalle tietosuojan tason riittävyyttä koskevien päätösten tekemisen ja nopeuttamaan sitä edellyttäen, että kolmannet maat varmistavat kansallisen lainsäädäntönsä tai kansainvälisten sitoumustensa kautta suojan tason, joka vastaa pääosiltaan tasoa, joka taataan unionissa…”).
         
            (156)  Euroopan parlamentin päätöslauselma ”Japanin tarjoaman henkilötietojen suojan riittävyys” (2018/2979(RSP)), 13.12.2018.
      
      
         
            LIITE 1
            
               HENKILÖKOHTAISTEN TIETOJEN SUOJASTA ANNETUN LAIN MUKAISET TÄYDENTÄVÄT SÄÄNNÖT EU:STA TIETOSUOJAN RIITTÄVYYTTÄ KOSKEVAN PÄÄTÖKSEN PERUSTEELLA SIIRRETTYJEN HENKILÖTIETOJEN KÄSITTELYÄ VARTEN
            
            Sisällysluettelo
            
                        (1)
                     
                     Erityisellä huolella käsiteltävät henkilökohtaiset tiedot (lain 2 §:n 3 momentti)
                     38
                  
                        (2)
                     
                     Säilytettävät henkilötiedot (lain 2 §:n 7 momentti)
                     39
                  
                        (3)
                     
                     Käyttötarkoituksen määrittäminen, käyttötarkoituksesta johtuva rajoitus (15 §:n 1 momentti, 16 §:n 1 momentti ja 26 §:n 1 ja 3 momentti)
                     40
                  
                        (4)
                     
                     Tietojen luovuttamista vieraassa maassa olevalle kolmannelle osapuolelle koskeva rajoitus (lain 24 §; sääntöjen 11-2 kohta)
                     41
                  
                        (5)
                     
                     Anonyymisti käsitellyt tiedot (lain 2 §:n 9 momentti ja 36 §:n 1 ja 2 momentti)
                     41
                  [Termit]
            
                        ”Laki”
                     
                     
                        Laki henkilökohtaisten tietojen suojasta (laki nro 57, 2003)
                     
                  
                        ”Hallituksen määräys”
                     
                     
                        Hallituksen määräys henkilökohtaisten tietojen suojasta annetun lain täytäntöönpanemiseksi (hallituksen määräys nro 507, 2003)
                     
                  
                        ”Säännöt”
                     
                     
                        Henkilökohtaisten tietojen suojasta annettua lakia koskevat täytäntöönpanosäännöt (henkilötietosuojalautakunnan säännöt nro 3, 2016)
                     
                  
                        ”Yleisiä sääntöjä koskevat suuntaviivat”
                     
                     
                        Henkilökohtaisten tietojen suojasta annettua lakia koskevat suuntaviivat (yleisiä sääntöjä koskeva painos) (henkilötietosuojalautakunnan tiedonanto nro 65, 2015)
                     
                  
                        ”EU”
                     
                     
                        Euroopan unioni, mukaan lukien sen jäsenvaltiot ja ETA-sopimuksen perusteella Islanti, Liechtenstein ja Norja
                     
                  
                        ”Yleinen tietosuoja-asetus”
                     
                     
                        Euroopan parlamentin ja neuvoston asetus (EU) 2016/679 luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus).
                     
                  
                        ”Tietosuojan riittävyyttä koskeva päätös”
                     
                     
                        Euroopan komission päätös siitä, että kolmas maa tai kolmannen maan alue tms. varmistaa henkilötietojen suojan riittävän tason yleisen tietosuoja-asetuksen 45 artiklan mukaisesti
                     
                  Henkilötietosuojalautakunta on henkilötietojen vastavuoroisen ja sujuvan siirtämisen toteuttamiseksi Japanin ja EU:n välillä määrittänyt EU:n vieraaksi maaksi, jonka perustama henkilökohtaisten tietojen suojajärjestelmä vastaa Japanin järjestelmän normeja siltä osin kuin on kyse yksilön oikeuksien ja etujen suojasta lain 24 §:n perusteella, ja Euroopan komissio on samanaikaisesti päättänyt, että Japani varmistaa henkilötietojen suojan riittävän tason yleisen tietosuoja-asetuksen 45 artiklan mukaisesti.
            Näin ollen henkilötietojen vastavuoroinen ja sujuva siirto toteutetaan Japanin ja EU:n välillä tavalla, jolla varmistetaan yksilön oikeuksien ja etujen korkeatasoinen suojelu. Jotta voidaan varmistaa tällainen EU:sta tietosuojan riittävyyttä koskevan päätöksen perusteella saatujen henkilökohtaisten tietojen korkeatasoinen suoja ja ottaen huomioon se, että vaikka nämä kaksi järjestelmää ovat lähentyneet toisiaan huomattavasti, niiden välillä on joitain merkittäviä eroja, henkilötietosuojalautakunta on hyväksynyt nämä täydentävät säännöt niiden lain säännösten perusteella, jotka koskevat muiden maiden hallitusten kanssa tehtävän yhteistyön täytäntöönpanoa ynnä muuta sellaista, ja sen varmistamiseksi, että henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja käsittelee EU:sta tietosuojan riittävyyttä koskevan päätöksen perusteella saadut henkilökohtaiset tiedot asianmukaisesti ja että kyseisissä säännöissä vahvistetut velvoitteet pannaan asianmukaisesti ja tehokkaasti täytäntöön (1).
            Erityisesti lain 6 §:ssä säädetään toimivallasta toteuttaa tarvittavat lainsäädännölliset ja muut toimet, jotta voidaan varmistaa henkilökohtaisten tietojen parempi suoja ja luoda kansainvälisesti yhtenäinen henkilökohtaisia tietoja koskeva järjestelmä sellaisten tiukempien sääntöjen avulla, jotka täydentävät laissa ja hallituksen määräyksessä vahvistettuja sääntöjä ja menevät niitä pidemmälle. Näin ollen henkilötietosuojalautakunnalla on lain yleisestä hallinnoinnista vastaavana toimivaltaisena viranomaisena valtuudet vahvistaa lain 6 §:n nojalla tiukempia säännöksiä laatimalla nämä täydentävät säännöt, joissa määrätään yksilön oikeuksien ja etujen korkeatasoisemmasta suojasta siltä osin kuin on kyse EU:sta tietosuojan riittävyyttä koskevan päätöksen perusteella saatujen henkilötietojen käsittelystä, myös lain 2 §:n 3 momentin mukaisen erityisellä huolella käsiteltävien tietojen ja 2 §:n 7 momentin mukaisen säilytettyjen henkilötietojen määritelmän osalta (mukaan lukien asiaankuuluvan säilytysajan suhteen).
            Tämän perusteella täydentävät säännöt sitovat henkilökohtaisia tietoja käsittelevää toiminnanharjoittajaa, joka vastaanottaa EU:sta tietosuojan riittävyyttä koskevan päätöksen perusteella siirrettyjä henkilötietoja ja jonka on näin ollen noudatettava kyseisiä sääntöjä. Koska täydentävät säännöt ovat oikeudellisesti sitovia sääntöjä, henkilötietosuojalautakunta voi panna täytäntöön kaikki oikeudet ja velvoitteet samalla tavalla kuin lain säännökset, joita kyseiset säännöt täydentävät tiukemmilla ja/tai yksityiskohtaisemmilla säännöillä. Tapauksissa, joissa on kyse täydentävistä säännöistä johtuvien oikeuksien ja velvoitteiden rikkomisesta, henkilöt voivat hakea muutosta tuomioistuimilta samalla tavalla kuin niiden lain säännösten osalta, joita täydentävät säännöt täydentävät tiukemmilla ja/tai yksityiskohtaisemmilla säännöillä.
            Jos henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja ei noudata yhtä tai useampaa täydentävien sääntöjen mukaista velvoitetta, henkilötietosuojalautakunnalla on valtuudet hyväksyä toimenpiteitä lain 42 §:n nojalla. Yleisesti voidaan todeta siltä osin kuin on kyseessä EU:sta tietosuojan riittävyyttä koskevan päätöksen perusteella vastaanotetut henkilökohtaiset tiedot, että silloin kun henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja jättää ilman perusteltua syytä (2) toteuttamatta lain 42 §:n 1 momentin mukaisesti saamansa suosituksen mukaiset toimenpiteet, kyseessä on 42 §:n 2 momentissa tarkoitettu yksilön oikeuksien ja etujen välitön ja vakava rikkominen.
            (1)   Erityisellä huolella käsiteltävät henkilökohtaiset tiedot (lain 2 §:n 3 momentti)
            
                        Lain 2 §:n 3 momentti
                        
                                 
                                    3)
                                 
                                 
                                    ”Erityisellä huolella käsiteltävillä henkilökohtaisilla tiedoilla” tarkoitetaan tässä laissa henkilökohtaisia tietoja, joihin sisältyvät datasubjektin rotu, uskonto, sosiaalinen asema, terveydentila, rikosrekisteri, rikoksen aiheuttamat vahingot tai muut kuvaukset jne., jotka ovat hallituksen määräyksen mukaan niitä, joiden käsittely edellyttää erityistä huolellisuutta, jotta datasubjektiin ei kohdistu epäoikeudenmukaista syrjintää, vahinkoa tai muuta haittaa.
                                 
                              
                  
                        Hallituksen määräyksen 2 §
                        Nämä hallituksen määräyksessä lain 2 §:n 3 momentin mukaisesti esitetyt kuvaukset jne. ovat sellaisia kuvauksia jne., jotka sisältävät mitä tahansa seuraavista seikoista (lukuun ottamatta niitä, jotka kuuluvat datasubjektin terveystietoihin tai rikosrekisteritietoihin)
                        
                                    i)
                                 
                                 
                                    se, että henkilöllä on fyysinen vamma, älyllinen vamma, psyykkinen vamma (mukaan lukien kehitysvamma) tai muu fyysinen ja henkinen toimintarajoite, joka on kuvattu henkilötietosuojalautakunnan säännöissä;
                                 
                              
                                    ii)
                                 
                                 
                                    datasubjektia koskevan lääkärintarkastuksen tai muun tutkimuksen, jäljempänä ’lääkärintarkastus jne.’, tulokset, joiden avulla lääkäri tai muu henkilö, joka toimii lääketieteen alaan liittyvissä tehtävissä, jäljempänä ’lääkäri jne.’, suorittaa sairauden ehkäisemiseksi ja sen havaitsemiseksi varhaisessa vaiheessa;
                                 
                              
                                    iii)
                                 
                                 
                                    se, että lääkäri jne. on antanut datasubjektille ohjeita psyykkisen ja fyysisen terveydentilan parantamiseksi tai lääketieteellistä hoitoa tai lääkemääräyksen lääkärintarkastuksen jne. tulosten perusteella tai sairauden, vamman tai muiden henkisten ja fyysisten muutosten vuoksi;
                                 
                              
                                    iv)
                                 
                                 
                                    se, että datasubjektiin on epäiltynä tai vastaajana kohdistettu pidätys, etsintä, takavarikko, säilöönotto, syyte tai muu rikosasiaan liittyvä menettely;
                                 
                              
                                    v)
                                 
                                 
                                    se, että datasubjektiin on nuorisorikoslain 3 §:n 1 momentin mukaisena nuorisorikollisena tai nuorisorikollisuudesta epäiltynä kohdistettu tutkinta, tarkkailu- ja suojelutoimenpide, kuuleminen ja päätös, suojelutoimenpide tai muu menettely, joka liittyy nuorisosuojelutapaukseen.
                                 
                              
                  
                        Sääntöjen 5 kohta
                        Hallituksen määräyksen 2 §:n i kohdassa tarkoitetut, henkilötietosuojalautakunnan säännöissä kuvatut fyysiset ja psyykkiset kehitysvammat ovat seuraavat:
                        
                                    i)
                                 
                                 
                                    fyysisesti vammaisten henkilöiden hyvinvoinnista annetun lain (laki nro 283 vuodelta 1949) liitteenä olevassa taulukossa esitetyt fyysiset vammat
                                 
                              
                                    ii)
                                 
                                 
                                    älyllisesti vammaisten henkilöiden hyvinvoinnista annetussa laissa (laki nro 37 vuodelta 1960) tarkoitetut älylliset vammat
                                 
                              
                                    iii)
                                 
                                 
                                    psyykkisestä terveydestä ja psyykkisesti vammaisten henkilöiden hyvinvoinnista annetussa laissa (laki nro 123 vuodelta 1950) tarkoitetut psyykkiset vammat (mukaan lukien kehitysvammaisten henkilöiden tukemisesta annetun lain 2 §:n 1 momentissa kuvatut kehitysvammat ja pois lukien älyllisesti vammaisten hyvinvoinnista annetussa laissa tarkoitetut älylliset vammat)
                                 
                              
                                    iv)
                                 
                                 
                                    parantumaton sairaus tai muut sairaudet, joiden osalta vammaisten henkilöiden arki- ja sosiaalisen elämän kattavasta tuesta annetun lain (laki nro 123 vuodelta 2005) 4 §:n 1 kohdan mukaisesti annetussa hallituksen määräyksessä vahvistettu vakavuus vastaa terveys-, työ- ja hyvinvointiministerin kyseisen momentin mukaisesti vahvistamaa vakavuutta.
                                 
                              
                  Jos EU:sta tietosuojan riittävyyttä koskevan päätöksen perusteella vastaanotetut henkilötiedot sisältävät tietoja, jotka koskevat luonnollisen henkilön seksuaalista käyttäytymistä, seksuaalista suuntautumista tai ammattiliittoon kuulumista, jotka on määritelty yleisen tietosuoja-asetuksen mukaisiksi erityistietoryhmiksi, henkilökohtaisia tietoja käsittelevien toiminnanharjoittajien on käsiteltävä näitä henkilötietoja samalla tavalla kuin lain 2 §:n 3 momentissa tarkoitettuja erityisellä huolella käsiteltäviä henkilökohtaisia tietoja.
            (2)   Säilytettävät henkilötiedot (lain 2 §:n 7 momentti)
            
                        Lain 2 §:n 7 momentti
                        
                                 
                                    (7)
                                 
                                 
                                    ”Säilytetyillä henkilötiedoilla” tarkoitetaan tässä laissa henkilötietoja, joita henkilökohtaisia tietoja käsittelevillä toiminnanharjoittajilla on valtuudet luovuttaa, oikaista, lisätä tai poistaa tai joiden käytön tai luovuttamisen kolmannelle se voi lopettaa ja jotka eivät ole niitä tietoja, jotka hallituksen määräyksen mukaan voivat vahingoittaa julkisia tai muita etuja, jos niiden olemassaolosta tai puuttumisesta ilmoitetaan, tai niitä, jotka on määrä poistaa hallituksen määräyksessä vahvistetun, enintään vuoden pituisen määräajan kuluessa.
                                 
                              
                  
                        Hallituksen määräyksen 4 §
                        Hallituksen määräyksessä 2 §:n 7 momentin mukaisesti säädettyjä säilytettyjä tietoja ovat seuraavat:
                        
                                    i)
                                 
                                 
                                    ne, joiden osalta mainittujen henkilötietojen olemassaolosta tai puuttumisesta ilmoittaminen voisi vahingoittaa datasubjektin tai kolmannen osapuolen henkeä, terveyttä tai omaisuutta;
                                 
                              
                                    ii)
                                 
                                 
                                    ne, joiden osalta mainittujen henkilötietojen olemassaolosta tai puuttumisesta ilmoittaminen voisi edistää laitonta tai epäoikeudenmukaista tekoa tai saisi sellaisen teon aikaan;
                                 
                              
                                    iii)
                                 
                                 
                                    ne, joiden osalta mainittujen henkilötietojen olemassaolosta tai puuttumisesta ilmoittaminen voisi heikentää kansallista turvallisuutta, tuhota maan luottamukselliset suhteet vieraaseen maahan tai kansainväliseen järjestöön tai asettaa maan epäedulliseen asemaan vieraan maan tai kansainvälisen järjestön kanssa käytävissä neuvotteluissa;
                                 
                              
                                    iv)
                                 
                                 
                                    ne, joiden osalta mainittujen henkilötietojen olemassaolosta tai puuttumisesta ilmoittaminen voisi haitata yleisen turvallisuuden ja järjestyksen ylläpitämistä, kuten rikoksen torjuntaa, tukahduttamista tai tutkintaa.
                                 
                              
                  
                        Hallituksen määräyksen 5 §
                        Hallituksen määräyksessä lain 2 §:n 7 momentin mukaisesti vahvistettu määräaika on kuusi kuukautta.
                     
                  EU:sta tietosuojan riittävyyttä koskevan päätöksen perusteella vastaanotetut henkilötiedot on käsiteltävä lain 2 §:n 7 momentissa tarkoitettuina säilytettyinä henkilötietoina, riippumatta ajasta, jonka kuluessa tiedot on määrä poistaa.
            Jos EU:sta tietosuojan riittävyyttä koskevan päätöksen perusteella vastaanotetut henkilötiedot kuuluvat niiden henkilötietojen soveltamisalaan, jotka hallituksen määräyksen mukaan ”voivat vahingoittaa julkisia tai muita etuja, jos niiden olemassaolosta tai puuttumisesta ilmoitetaan”, kyseisiä tietoja ei tarvitse käsitellä säilytettyinä henkilötietoina (ks. hallituksen määräyksen 4 §, yleisiä sääntöjä koskevat suuntaviivat ”2-7. Säilytetyt henkilötiedot”).
            (3)   Käyttötarkoituksen määrittäminen, käyttötarkoituksesta johtuva rajoitus (15 §:n 1 momentti, 16 §:n 1 momentti ja 26 §:n 1 ja 3 momentti)
            
                        Lain 15 §:n 1 momentti
                        
                                 
                                    (1)
                                 
                                 
                                    Henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan on henkilökohtaisia tietoja käsitellessään täsmennettävä, mihin tarkoitukseen henkilökohtaisia tietoja käytetään, jäljempänä ’käyttötarkoitus’, niin tarkasti kuin se on mahdollista.
                                 
                              
                  
                        Lain 16 §:n 1 momentti
                        
                                 
                                    (1)
                                 
                                 
                                    Henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja ei saa käsitellä henkilökohtaisia tietoja ilman datasubjektin ennakkosuostumusta siten, että käsittely ylittää edellisessä pykälässä määritellyn käyttötarkoituksen saavuttamiseksi tarvittavan laajuuden.
                                 
                              
                  
                        Lain 26 §:n 1 ja 3 momentti
                        
                                 
                                    (1)
                                 
                                 
                                    Henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan on henkilötietoja kolmannelta osapuolelta saadessaan vahvistettava henkilötietosuojalautakunnan sääntöjen mukaisesti seuraavassa esitetyt seikat. (jätetty pois)
                                    
                                                i)
                                             
                                             
                                                (jätetty pois)
                                             
                                          
                                                ii)
                                             
                                             
                                                olosuhteet, joiden vallitessa kyseinen kolmas osapuoli on hankkinut kyseiset henkilötiedot
                                             
                                          
                              
                                 
                                    (3)
                                 
                                 
                                    Kun henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja on antanut 1 momentin mukaisen vahvistuksen, sen on kirjattava henkilötietosuojalautakunnan sääntöjen mukaisesti päivänä, jona se vastaanotti henkilötiedot, kyseisen vahvistuksen kattamat seikat ja muut henkilötietosuojalautakunnan säännöissä esitetyt seikat.
                                 
                              
                  Jos henkilökohtaisia tietoja käsittelevät toiminnanharjoittajat käsittelevät henkilötietoja siten, että käsittely ylittää lain 15 §:n 1 momentissa määritellyn käyttötarkoituksen saavuttamiseksi tarvittavan laajuuden, niiden on hankittava asianmukainen datasubjektin ennakkosuostumus (lain 16 §:n 1 momentti). Kun henkilökohtaisia tietoja käsittelevät toiminnanharjoittajat vastaanottavat henkilötietoja kolmannelta osapuolelta, niiden on sääntöjen mukaisesti vahvistettava sellaiset seikat kuin olosuhteet, joiden vallitessa kyseinen kolmas osapuoli on hankkinut kyseiset henkilötiedot, ja kirjattava nämä seikat (lain 26 §:n 1 ja 3 momentti).
            Jos henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja vastaanottaa EU:sta tietosuojan riittävyyttä koskevan päätöksen perusteella henkilötietoja, kyseisten henkilötietojen hankintaa koskeviin olosuhteisiin, jotka on vahvistettava ja kirjattava 26 §:n 1 ja 3 momentin mukaisesti, kuuluu käyttötarkoitus, jota varten ne saatiin EU:sta.
            Samoin jos henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja vastaanottaa toiselta vastaavalta toiminnanharjoittajalta henkilötietoja, jotka oli aiemmin siirretty EU:sta tietosuojan riittävyyttä koskevan päätöksen perusteella, kyseisten henkilötietojen hankintaa koskeviin olosuhteisiin, jotka on vahvistettava ja kirjattava 26 §:n 1 ja 3 momentin mukaisesti, kuuluu käyttötarkoitus, jota varten ne saatiin.
            Edellä mainituissa tapauksissa henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan on täsmennettävä kyseisten henkilötietojen käyttötarkoitus siinä laajuudessa, jota varten tiedot alun perin tai myöhemmin saatiin, ja vahvistettava ja kirjattava se 26 §:n 1 ja 3 momentin mukaisesti, ja käytettävä kyseisiä tietoja mainitussa laajuudessa (lain 15 §:n 1 momentin ja 16 §:n 1 momentin mukaisesti).
            (4)   Tietojen luovuttamista vieraassa maassa olevalle kolmannelle osapuolelle koskeva rajoitus (lain 24 §; sääntöjen 11-2 kohta)
            
                        Lain 24 §
                        Henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan on kussakin edellisen pykälän 1 momentin kohdassa säädettyjä tapauksia lukuun ottamatta hankittava etukäteen datasubjektin suostumus, jonka mukaan hän hyväksyy tietojen luovuttamisen vieraassa maassa olevalle kolmannelle osapuolelle siinä tapauksessa, että toiminnanharjoittaja toimittaa henkilötietoja kyseiselle kolmannelle osapuolelle (pois lukien sellaisen järjestelmän perustava henkilö, joka on henkilötietosuojalautakunnan säännöissä vahvistettujen normien mukainen siinä määrin kuin on tarpeen sellaisten toimien toteuttamiseksi yhtäjaksoisesti, jotka vastaavat henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan toteuttamia henkilötietojen käsittelyä koskevia toimia tämän pykälän mukaisesti; jäljempänä tässä pykälässä sama) vieraassa maassa (tarkoittaen maata tai aluetta, joka sijaitsee Japanin ulkopuolella; jäljempänä sama) (pois lukien ne, jotka ovat henkilötietosuojalautakunnan sääntöjen mukaisesti vieraita maita, joiden henkilötietosuojajärjestelmän on tunnustettu vastaavan Japanin normeja siltä osin kuin on kyse yksilön oikeuksista ja eduista; jäljempänä tässä pykälässä sama). Tässä tapauksessa ei sovelleta edellisen pykälän säännöksiä.
                     
                  
                        Sääntöjen 11-2 kohta
                        Henkilötietosuojalautakunnan säännöissä lain 24 §:n nojalla vahvistetut normit kuuluvat jonkin seuraavassa luetellun kohdan piiriin:
                        
                                    i)
                                 
                                 
                                    henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja ja henkilö, joka vastaanottaa henkilötietoja, ovat varmistaneet henkilötietoja vastaanottavan henkilön suorittaman henkilötietojen käsittelyn osalta lain IV luvun 1 §:n mukaisten toimenpiteiden täytäntöönpanon asianmukaisella ja kohtuullisella tavalla
                                 
                              
                                    ii)
                                 
                                 
                                    henkilötietoja vastaanottava henkilö on hankkinut henkilökohtaisten tietojen käsittelyä koskevaan kansainväliseen järjestelmään perustuvan tunnustuksen.
                                 
                              
                  Henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan on silloin, kun se toimittaa vieraassa maassa olevalle kolmannelle osapuolelle henkilötietoja, jotka se on vastaanottanut EU:sta tietosuojan riittävyyttä koskevan päätöksen perusteella, saatava datasubjektin ennakkosuostumus, jonka mukaan datasubjekti hyväksyy tietojen luovuttamisen vieraassa maassa olevalle kolmannelle osapuolelle lain 24 §:n nojalla, sen jälkeen kun hänelle on annettu sellaiset tiedot siirtoa koskevista olosuhteista, jotka ovat tarpeen, jotta hän voi tehdä suostumustaan koskevan päätöksen, lukuun ottamatta tapauksia, jotka kuuluvat johonkin seuraavista i–iii alakohdan soveltamisalaan kuuluvista tapauksista:
            
                        (i)
                     
                     
                        jos kolmas osapuoli on maassa, jonka on säännöissä vahvistettu olevan sellainen vieras maa, jonka perustaman henkilötietosuojajärjestelmän on tunnustettu vastaavan Japanin järjestelmän normeja yksilön oikeuksien ja etujen suojaamisen osalta
                     
                  
                        (ii)
                     
                     
                        kun henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja ja henkilötietoja vastaanottava kolmas osapuoli ovat yhdessä toteuttaneet kolmannen osapuolen suorittaman henkilötietojen käsittelyn suhteen toimenpiteitä, jotka tarjoavat lain, luettuna yhdessä näiden sääntöjen kanssa, tarjoamaa suojaa vastaavan suojan tason, asianmukaisella ja kohtuullisella tavalla (millä tarkoitetaan sopimusta, muita sitovia sopimusmuotoja tai yritysryhmän sisäisiä sitovia järjestelyjä)
                     
                  
                        (iii)
                     
                     
                        lain 23 §:n 1 momentin soveltamisalaan kuuluvissa tapauksissa.
                     
                  (5)   Anonyymisti käsitellyt tiedot (lain 2 §:n 9 momentti ja 36 §:n 1 ja 2 momentti)
            
                        Lain 2 §:n 9 momentti
                        
                                 
                                    (9)
                                 
                                 
                                    ”Anonyymisti käsitellyillä tiedoilla” tarkoitetaan tässä laissa tietoja, jotka koskevat yksilöä ja jotka voidaan tuottaa henkilökohtaisten tietojen käsittelystä siten, että yksittäistä henkilöä on mahdotonta tunnistaa kunkin seuraavassa kohdassa esitetyn toimen avulla kussakin mainitussa kohdassa esitetyn henkilökohtaisten tietojen jaottelun mukaisesti eikä henkilötietoja voida palauttaa:
                                    
                                                i)
                                             
                                             
                                                1 momentin i kohdan soveltamisalaan kuuluvat henkilökohtaiset tiedot;
                                                Poistetaan osa edellä mainittuihin henkilökohtaisiin tietoihin sisältyvistä kuvauksista jne. (myös korvaamalla kuvausten jne. edellä mainittu osa muilla kuvauksilla jne. käyttämällä menetelmää, josta puuttuu sellainen säännöllisyys, jonka avulla kuvausten jne. mainittu osa voidaan palauttaa)
                                             
                                          
                                                ii)
                                             
                                             
                                                1 momentin ii kohdan soveltamisalaan kuuluvat henkilökohtaiset tiedot;
                                                Poistetaan edellä mainittuihin henkilökohtaisiin tietoihin sisältyvät yksilölliset tunnistuskoodit (myös korvaamalla mainitut tunnistuskoodit muilla kuvauksilla jne. käyttämällä menetelmää, josta puuttuu sellainen säännöllisyys, jonka avulla mainitut tunnistuskoodit voidaan palauttaa).
                                             
                                          
                              
                  
                        Lain 36 §:n 1 momentti
                        
                                 
                                    1)
                                 
                                 
                                    Henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan on anonyymisti käsiteltyjä tietoja tuottaessaan (vain ne tiedot, jotka muodostavat anonyymisti käsiteltyjen tietojen tietokannan jne.; jäljempänä sama) käsiteltävä henkilökohtaisia tietoja niiden normien mukaisesti, jotka henkilötietosuojalautakunnan sääntöjen mukaan ovat tarpeen, jotta yksittäistä henkilöä ei voida tunnistaa eikä tuotannossa käytettäviä henkilökohtaisia tietoja voida palauttaa.
                                 
                              
                  
                        Sääntöjen 19 kohta
                        Henkilötietosuojalautakunnan säännöissä lain 36 §:n 1 momentin mukaisesti vahvistetut normit ovat seuraavat:
                        
                                    i)
                                 
                                 
                                    poistetaan kokonaan tai osittain ne henkilökohtaisiin tietoihin sisältyvät kuvaukset jne., joiden avulla yksittäinen henkilö voidaan tunnistaa (myös korvaamalla kyseiset kuvaukset jne. muilla kuvauksilla jne. käyttämällä menetelmää, josta puuttuu sellainen säännöllisyys, jonka avulla kuvaukset jne. voidaan palauttaa kokonaan tai osittain)
                                 
                              
                                    ii)
                                 
                                 
                                    poistetaan henkilökohtaisiin tietoihin sisältyvät yksilölliset tunnistuskoodit (myös korvaamalla mainitut koodit muilla kuvauksilla jne. käyttämällä menetelmää, josta puuttuu sellainen säännöllisyys, jonka avulla tunnistuskoodit voidaan palauttaa)
                                 
                              
                                    iii)
                                 
                                 
                                    poistetaan sellaiset koodit (ainoastaan ne, jotka vastavuoroisesti yhdistävät moninaiset tiedot, joita henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja todellisuudessa käsittelee), jotka yhdistävät henkilökohtaiset tiedot ja tiedot, jotka on saatu toteuttamalla henkilökohtaisia tietoja koskevia toimenpiteitä (myös korvaamalla mainitut koodit niillä muilla koodeilla, joilla ei voida yhdistää mainittuja henkilökohtaisia tietoja ja tietoja, jotka on saatu toteuttamalla kyseisiä henkilökohtaisia tietoja koskevia toimenpiteitä käyttämällä menetelmää, josta puuttuu sellainen säännöllisyys, jonka avulla mainitut koodit voidaan palauttaa)
                                 
                              
                                    iv)
                                 
                                 
                                    poistetaan idiosynkraattiset kuvaukset jne. (myös korvaamalla tällaiset kuvaukset jne. muilla kuvauksilla jne. käyttämällä menetelmää, josta puuttuu sellainen säännöllisyys, jonka avulla idiosynkraattiset kuvaukset jne. voidaan palauttaa)
                                 
                              
                                    v)
                                 
                                 
                                    kussakin edellisessä kohdassa esitettyjen toimien lisäksi ryhdytään asianmukaisiin toimiin, jotka perustuvat henkilökohtaisia tietoja koskevan tietokannan jne. jaotteluun jne. liittyviin tuloksiin, kuten henkilökohtaisiin tietoihin sisältyvien kuvausten jne. ja henkilökohtaisia tietoja koskevan ja niitä sisältävän tietokannan jne. muodostaviin muihin henkilökohtaisiin tietoihin sisältyvien kuvausten jne. väliset erot.
                                 
                              
                  
                        Lain 36 §:n 2 momentti
                        
                                 
                                    (2)
                                 
                                 
                                    Kun henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja on tuottanut anonyymisti käsiteltyjä tietoja, sen on ryhdyttävä tällaisia tietoja koskeviin turvallisuustoimenpiteisiin niiden henkilötietosuojalautakunnan säännöissä vahvistettujen normien mukaisesti, joiden katsotaan olevan tarpeen sellaisten tietojen vuotamisen estämiseksi, jotka ovat anonyymisti käsiteltyjen tietojen tuottamiseksi käytetyistä henkilökohtaisista tiedoista poistettuihin kuvauksiin jne. ja yksilöllisiin tunnistuskoodeihin liittyviä tietoja ja edellisen kohdan säännösten mukaisesti käytettyä käsittelymenetelmää koskevia tietoja.
                                 
                              
                  
                        Sääntöjen 20 kohta
                        Henkilötietosuojalautakunnan säännöissä lain 36 §:n 2 momentin mukaisesti vahvistetut normit ovat seuraavat:
                        
                                    i)
                                 
                                 
                                    määritellään selkeästi sen henkilön valtuudet ja vastuut, joka käsittelee niihin kuvauksiin jne. ja yksilöllisiin tunnistuskoodeihin liittyviä tietoja, jotka poistettiin anonyymisti käsiteltyjen tietojen tuottamisessa käytetyistä henkilökohtaisista tiedoista, ja niitä tietoja, jotka koskevat 36 §:n 1 momentin mukaisesti käytettyä käsittelymenetelmää (rajoittuen niihin, joiden avulla henkilökohtaiset tiedot voidaan palauttaa käyttämällä kyseisiä asiaankuuluvia tietoja) (jäljempänä tässä pykälässä ”käsittelymenetelmään jne. liittyvät tiedot”)
                                 
                              
                                    ii)
                                 
                                 
                                    vahvistetaan käsittelymenetelmään jne. liittyvien tietojen käsittelyä koskevat säännöt ja menettelyt, käsitellään asianmukaisesti käsittelymenetelmään jne. liittyviä tietoja sääntöjen ja menetelmien mukaisesti, arvioidaan käsittelytilannetta ja ryhdytään tarpeellisiin parannustoimiin arviointitulosten perusteella
                                 
                              
                                    iii)
                                 
                                 
                                    ryhdytään tarpeellisiin ja asianmukaisiin toimiin, joilla estetään sellaista henkilöä, jolla ei ole laillisia valtuuksia käsitellä käsittelymenetelmään jne. liittyviä tietoja, käsittelemästä kyseisiä tietoja.
                                 
                              
                  EU:sta tietosuojan riittävyyttä koskevan päätöksen perusteella saadut henkilökohtaiset tiedot katsotaan lain 2 §:n 9 momentissa tarkoitetuiksi anonyymisti käsitellyiksi tiedoiksi ainoastaan, jos henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja toteuttaa toimenpiteitä, joiden seurauksena kukaan ei voi tunnistaa kyseessä olevaa henkilöä ja tämä on peruuttamatonta, myös poistamalla käsittelymenetelmään jne. liittyvät tiedot (tällä tarkoitetaan kyseisiin kuvauksiin jne. sekä yksilöllisiin tunnistuskoodeihin liittyviä tietoja, jotka poistettiin anonyymisti käsiteltyjen tietojen tuottamiseksi käytetyistä henkilökohtaisista tiedoista, ja tietoja, jotka koskevat lain 36 §:n 1 momentin mukaisesti käytettyä käsittelymenetelmää (rajoittuen niihin, joiden avulla henkilökohtaiset tiedot voidaan palauttaa käyttämällä kyseisiä asiaankuuluvia tietoja)).
            
               (1)  Lain 4 §, 6 §, 8 §, 24 §, 60 § ja 78 § sekä sääntöjen 11 kohta.
            
               (2)  Perustellulla syyllä tarkoitetaan luonteeltaan poikkeuksellista tapahtumaa, jota henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja ei voi kohtuudella ennakoida (esimerkiksi luonnonmullistus), tai kun tarve ryhtyä toimenpiteisiin henkilötietosuojalautakunnan lain 42 §:n 1 momentin nojalla antaman suosituksen johdosta on poistunut, koska henkilökohtaisia tietoja käsittelevä toiminnanharjoittaja on toteuttanut vaihtoehtoisia toimia, jotka täysin korjaavat rikkomisen.
         
      
      
         
            LIITE 2
            Věra Jourová, Euroopan komission oikeus-, kuluttaja- ja tasa-arvoasioista vastaava komission jäsen
            Arvoisa komission jäsen
            Olen tyytyväinen Japanin ja Euroopan komission välisiin rakentaviin keskusteluihin, joiden tarkoituksena on luoda puitteet henkilötietojen vastavuoroiselle siirtämiselle Japanin ja EU:n välillä.
            Lähetän Euroopan komission Japanin hallitukselle esittämän pyynnön johdosta ohessa olevan asiakirjan, jossa esitetään yleiskatsaus Japanin hallituksen tiedonsaantia koskevaan oikeudelliseen kehykseen.
            Tämä asiakirja koskee monia Japanin hallituksen ministeriöitä ja virastoja. Asiakirjan sisällön osalta asianomaiset ministeriöt ja virastot (hallituksen sihteeristö, kansallinen poliisivirasto, henkilötietosuojalautakunta, sisäasiain- ja viestintäministeriö, oikeusministeriö, yleisten turvallisuus- ja tiedusteluasioiden virasto, puolustusministeriö) vastaavat kukin omaan toimialaansa kuuluvista osioista. Jäljempänä on lueteltu asiasta vastaavat ministeriöt ja virastot allekirjoituksineen.
            Henkilötietosuojalautakunta (Personal Information Protection Commission) ottaa vastaan kaikki tätä asiakirjaa koskevat tiedustelut ja koordinoi tarvittavat vastaukset asianomaisten ministeriöiden ja virastojen välillä.
            Toivon, että tästä asiakirjasta on hyötyä Euroopan komission päätöksenteossa. ·
            Arvostan tähänastista suurta panostanne tässä asiassa.
            Kunnioittavasti
            Yoko Kamikawa
            Oikeusministeri
            Tämän asiakirjan ovat laatineet oikeusministeriö ja seuraavat ministeriöt ja virastot.
            Koichi Hamano
            Hallituksen sihteeristön neuvonantaja
            Schunichi Kuryu
            Poliisiviraston ylijohtaja
            Mari Sonoda
            Henkilötietosuojalautakunnan pääsihteeri
            Mitsuru Yasuda
            Sisäasiain- ja viestintäministeriön varaministeri
            Seimei Nakagawa
            Yleisten turvallisuus- ja tiedusteluasioiden virasto
            Kenichi Takahashi
            Hallinnollinen varapuolustusministeri
            14. syyskuuta 2018
            
               Japanin viranomaisten suorittama henkilökohtaisten tietojen keruu ja käyttö lainvalvontaan ja kansalliseen turvallisuuteen liittyvissä tarkoituksissa
            
            Seuraavassa asiakirjassa luodaan katsaus Japanin viranomaisten lainvalvontaan ja kansalliseen turvallisuuteen liittyvissä tarkoituksissa suorittaman henkilökohtaisten (sähköisten) tietojen keruun ja käytön (jäljempänä ’viranomaisten pääsy tietoihin’) oikeudelliseen kehykseen erityisesti käytettävissä olevien oikeusperustojen, sovellettavien ehtojen (rajoitukset) ja suojatoimien sekä riippumattoman valvonnan ja yksilöllisten oikeussuojakeinojen osalta. Tämä esitys on osoitettu Euroopan komissiolle ja sen tarkoituksena on antaa sitoumus ja takeet siitä, että viranomaisten pääsy Euroopan unionista Japaniin siirrettyihin henkilökohtaisiin tietoihin rajataan vain siihen, mikä on välttämätöntä ja oikeasuhteista, siihen sovelletaan riippumatonta valvontaa ja asianomaiset henkilöt voivat saada oikeussuojaa, jos heidän perusoikeuttaan yksityisyyteen ja tietosuojaan rikotaan. Tässä esityksessä kuvataan myös henkilötietosuojalautakunnan hallinnoiman uuden oikeussuojamekanismin perustamista. Mekanismin puitteissa käsitellään EU:n yksityishenkilöiden tekemiä valituksia, jotka koskevat viranomaisten pääsyä heidän EU:sta Japaniin siirrettyihin henkilötietoihinsa.
            I.   Yleiset oikeudelliset periaatteet, joilla on merkitystä viranomaisten tietoihin pääsyn kannalta
            
            Viranomaisten pääsy tietoihin osana julkisen vallan käyttöä Japanissa on toteutettava täysin lain mukaisesti (laillisuusperiaate). Henkilökohtaisia tietoja suojataan Japanissa sekä yksityisellä että julkisella sektorilla monikerroksisella mekanismilla.
            A.   Perustuslaillinen kehys ja lakisääteisyyden periaate
            Perustuslain 13 §:ssä ja oikeuskäytännössä tunnustetaan oikeus yksityisyyteen perustuslaillisena oikeutena. Korkein oikeus on tältä osin todennut, että on luonnollista, että yksityishenkilöt eivät halua muiden tietävän heidän henkilökohtaisia tietojaan ilman pätevää syytä, ja että tätä näkemystä olisi suojeltava (1). Perustuslain 21 §:n 2 momenttiin sisältyy lisäsuoja, joka takaa viestintäsalaisuuden kunnioittamisen, ja perustuslain 35 §:ssä taataan, että henkilöön ei saa kohdistaa etsintää tai takavarikkoa ilman oikeuden määräystä. Tämä tarkoittaa, että henkilökohtaisten tietojen keruun ja niihin pääsyn pakkokeinoin on aina perustuttava tuomioistuimen antamaan määräykseen. Tällainen määräys voidaan antaa ainoastaan jo tehdyn rikoksen tutkimista varten. Sen vuoksi Japanin oikeudellisessa kehyksessä kielletään tietojen keruu pakkokeinoin kansalliseen turvallisuuteen liittyvistä syistä (ei rikostutkintaan liittyvistä syistä).
            Lisäksi lakisääteisyyden periaatteen mukaan pakkokeinoin tapahtuvan tietojenkeruun on nimenomaisesti perustuttava lakiin. Tietojen ei-pakollisen/vapaaehtoisen keruun osalta tiedot saadaan vapaasti käytettävissä olevasta lähteestä tai vapaaehtoista tietojen luovuttamista koskevan pyynnön perusteella, toisin sanoen sellaisen pyynnön perusteella, joka ei velvoita tietoja hallussaan pitävää luonnollista tai oikeushenkilöä luovuttamaan tietoja. Tämä on kuitenkin sallittua vain siinä määrin kuin viranomainen on toimivaltainen suorittamaan tutkimuksen, koska kukin viranomainen voi toimia ainoastaan sille laissa säädetyn hallinnollisen toimivaltansa rajoissa (riippumatta siitä, vaikuttaako sen toiminta yksilöiden oikeuksiin ja vapauksiin). Tätä periaatetta sovelletaan viranomaisen suorittamaan henkilötietojen keruuseen.
            B.   Henkilökohtaisten tietojen suojaa koskevat erityissäännöt
            Henkilökohtaisten tietojen suojasta annetussa laissa ja hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetussa laissa, jotka perustuvat perustuslain säännöksiin ja joissa kyseisiä säännöksiä täsmennetään, taataan oikeus henkilökohtaisiin tietoihin sekä yksityisellä että julkisella sektorilla.
            Henkilökohtaisten tietojen suojasta annetun lain 7 §:ssä säädetään, että henkilötietosuojalautakunta laatii ”henkilökohtaisten tietojen suojaa koskevat perusperiaatteet”. Japanin hallituksen keskuselimen eli valtioneuvoston (pääministeri ja ministerit) päätöksellä hyväksytyissä perusperiaatteissa vahvistetaan henkilökohtaisten tietojen suojan suuntaviivat Japanissa. Henkilötietosuojalautakunta, joka on riippumaton valvontaviranomainen, toimii näin Japanin henkilökohtaisten tietojen suojelujärjestelmän ”komentokeskuksena”.
            Hallinnollisten elinten on henkilökohtaisia tietoja kerätessään periaatteessa (2) täytettävä hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain vaatimukset riippumatta siitä, kerätäänkö tiedot pakkokeinoin vai ei. Hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annettu laki on yleislaki, jota sovelletaan ”hallintoelinten” (sellaisina kuin ne on määritelty hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain 2 §:n 1 momentissa) suorittamaan ”säilytettyjen henkilökohtaisten tietojen” (3) käsittelyyn. Se kattaa sen vuoksi myös tietojenkäsittelyn rikosalan lainvalvonnan ja kansallisen turvallisuuden alalla. Kaikki viranomaiset, joilla on valtuudet päästä tietoihin, ovat prefektuurin poliisia lukuun ottamatta kansallisia viranomaisia, jotka kuuluvat ”hallintoelinten” määritelmän piiriin. Prefektuurin poliisin suorittamaa henkilökohtaisten tietojen käsittelyä säännellään prefektuurin määräyksillä (4). Niissä vahvistetaan henkilökohtaisten tietojen suojaa, oikeuksia ja velvoitteita koskevat periaatteet, jotka vastaavat hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain säännöksiä.
            II.   Viranomaisten pääsy tietoihin lainvalvontaan liittyvissä tarkoituksissa
            
            A)   Oikeusperustat ja rajoitukset
            1)   Henkilökohtaisten tietojen keruu pakkokeinoin
            
               a)   Oikeusperustat
            
            Perustuslain 35 §:n mukaan henkilöiden oikeutta turvallisuuteen kotinsa, asiakirjojensa ja omaisuutensa suhteen kun kyseessä on sisääntulo, etsintä ja takavarikko, ei saa loukata lukuun ottamatta tilanteita, joissa esitetään määräys, joka on annettu ”riittävästä syystä” ja jossa kuvataan etsittävä paikka ja takavarikoitavat tavarat. Viranomaiset voivat sen vuoksi kerätä sähköisiä tietoja rikostutkinnan yhteydessä pakkokeinoin ainoastaan määräyksen perusteella. Tämä koskee sekä (henkilökohtaisia) tietoja sisältävien sähköisten tiedostojen keruuta että reaaliaikaista viestinnän sieppausta (nk. telekuuntelua). Ainoa poikkeus tähän sääntöön (jolla ei kuitenkaan ole merkitystä ulkomailta tapahtuvan henkilökohtaisten tietojen sähköisen siirron yhteydessä) on rikosprosessilain 220 §:n 1 momentti (5), jonka mukaan yleinen syyttäjä, yleisen syyttäjän avustaja tai tutkinta-asioista vastaava poliisi voi epäiltyä tai ”itse teosta kiinni saatua henkilöä” pidättäessään tarvittaessa suorittaa etsinnän ja takavarikon ”paikan päällä kiinnioton yhteydessä”.
            Rikosprosessilain 197 §:n 1 momentin mukaan tutkintaan liittyviä pakkotoimenpiteitä ”ei sovelleta, ellei tässä laissa ole vahvistettu sitä koskevia erityisiä säännöksiä”. Pakkokeinoin tapahtuvan sähköisen tiedon keruun osalta asiaankuuluvat oikeusperustat ovat rikosprosessilain 218 §:n 1 momentti (jonka mukaan yleinen syyttäjä, yleisen syyttäjän avustaja tai tutkinta-asioista vastaava poliisi voi, jos se on tarpeen rikoksen tutkimiseksi, suorittaa etsinnän, takavarikon tai tarkastuksen tuomarin antamalla määräyksellä) ja rikosprosessilain 222-2 §:n (jonka mukaan sähköisen viestinnän kuunteluun ilman toisen osapuolen suostumusta liittyvät pakkotoimenpiteet toteutetaan muiden säädösten nojalla). Viimeksi mainitulla säännöksellä viitataan salakuuntelusta rikostutkintaa varten annettuun lakiin (salakuuntelulaki), jonka 3 §:n 1 momentissa säädetään ehdoista, joiden mukaisesti tiettyihin vakaviin rikoksiin liittyvää viestintää voidaan kuunnella tuomarin antaman telekuuntelumääräyksen nojalla (6).
            Poliisin osalta tutkintaviranomainen on kaikissa tapauksissa prefektuurin poliisi, kun taas kansallinen poliisivirasto ei suorita mitään rikosprosessilakiin perustuvaa rikosoikeudellista tutkintaa.
            
               b)   Rajoitukset
            
            Pakkokeinoin suoritettavaa sähköisten tietojen keruuta rajoittavat perustuslaki ja valtuutussäädökset, sellaisina kuin niitä on tulkittu oikeuskäytännössä. Niissä säädetään kriteereistä, joita tuomioistuinten on sovellettava antaessaan määräyksiä. Lisäksi hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetussa laissa säädetään useista tietojen keruuta ja niiden käsittelyä koskevista rajoituksista (prefektuurin poliisin osalta paikalliset määräykset sisältävät olennaisilta osin samat kriteerit).
            (1)   Perustuslaista ja valtuutussäädöksistä johtuvat rajoitukset
            Rikosprosessilain 197 §:n 1 momentin mukaan pakkomääräyksiä ei sovelleta, ellei tässä laissa ole vahvistettu sitä koskevia erityisiä säännöksiä. Rikosprosessilain 218 §:n 1 momentissa säädetään, että muun muassa takavarikko voidaan suorittaa vain tuomarin antaman määräyksen nojalla, ”jos se on tarpeen rikoksen tutkimiseksi”. Vaikka tarpeellisuuden määrittämisen perusteita ei ole tarkemmin täsmennetty laissa, korkein oikeus (7) on todennut, että määräysten tarpeellisuutta arvioidessaan tuomarin olisi tehtävä yleisarviointi, jossa otetaan huomioon erityisesti seuraavat seikat:
            
                        a)
                     
                     
                        rikoksen vakavuus ja sen toteuttamistapa;
                     
                  
                        b)
                     
                     
                        takavarikoitujen materiaalien arvo ja merkitys todistusaineistona;
                     
                  
                        c)
                     
                     
                        takavarikoitujen materiaalien piilottamisen tai tuhoamisen todennäköisyys;
                     
                  
                        d)
                     
                     
                        takavarikon aiheuttamien haittojen laajuus;
                     
                  
                        e)
                     
                     
                        muut asiaan liittyvät seikat.
                     
                  Rajoitukset johtuvat myös ”riittävää syytä” koskevasta perustuslain 35 §:n vaatimuksesta. ”Riittävän syyn” perusteella voidaan määräyksiä antaa, jos [1] on kyse tarpeesta suorittaa rikostutkinta (ks. edellä mainittu 18 päivänä maaliskuuta 1969 annettu korkeimman oikeuden tuomio (1968 (Shi) nro 100), [2] on kyse tilanteesta, jossa epäillyn (syytetyn) katsotaan tehneen rikoksen (rikosprosessilain 156 §:n 1 momentti) (8). [3] Määräys muun henkilön kuin syytetyn, hänen tavaroidensa, asuntonsa ja muiden tilojensa tutkimiseksi olisi annettava vain silloin, kun voidaan kohtuudella olettaa, että takavarikoitavat tavarat ovat olemassa (rikosprosessilain 102 §:n 2 momentti). Kun tuomari katsoo, että tutkintaviranomaisten toimittama asiakirjanäyttö ei ole riittävä syy epäillä rikosta, tuomari hylkää määräyspyynnön. Tässä yhteydessä on pantava merkille, että järjestäytyneen rikollisuuden rankaisemista ja rikoksen torjuntaa koskevan lain mukaan ”valmistelutoimet” suunnitellun rikoksen tekemiseksi (esim. rahoituksen valmistelu terrorismirikoksen tekemistä varten) ovat itsessään rikoksia ja niitä voidaan sen vuoksi tutkia määräykseen perustuvin pakkokeinoin.
            Jos määräys koskee muun henkilön kuin epäillyn tai syytetyn, hänen tavaroidensa, asuntonsa ja muiden tilojensa tutkimista, se olisi annettava vain silloin, kun voidaan kohtuudella olettaa, että takavarikoitavat tavarat ovat olemassa (rikosprosessilain 102 §:n 2 momentti ja 222 §:n 1 momentti).
            Salakuuntelulakiin perustuva viestinnän sieppaus rikostutkintatarkoituksissa on mahdollista ainoastaan, kun lain 3 §:n 1 momentin tiukat vaatimukset täyttyvät. Kyseisen säännöksen mukaan sieppaus edellyttää aina etukäteen annettavaa tuomioistuimen määräystä, joka voidaan myöntää vain rajoitetuissa tilanteissa (9).
            (2)   Hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetusta laista johtuvat rajoitukset
            Hallintoelinten suorittaman henkilökohtaisten tietojen keruun (10) ja myöhemmän käsittelyn (mukaan lukien erityisesti tietojen säilyttäminen, hallinnointi ja käyttö) osalta hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetussa laissa säädetään erityisesti seuraavista rajoituksista:
            
                        a)
                     
                     
                        Hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain 3 §:n 1 momentin mukaan hallintoelimet voivat säilyttää henkilökohtaisia tietoja vain silloin, kun säilyttäminen on välttämätöntä niiden toimivaltaan kuuluvien tehtävien hoitamiseksi lakien ja määräysten mukaisesti. Säilyttämisen yhteydessä niiden on myös täsmennettävä (mahdollisuuksien mukaan) henkilökohtaisten tietojen käytön tarkoitus. Hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain 3 §:n 2 ja 3 momentin mukaan hallintoelimet eivät saa säilyttää henkilökohtaisia tietoja yli sen, mikä on tarpeen niiden käyttötarkoituksen saavuttamiseksi, eivätkä ne saa muuttaa käyttötarkoitusta yli sen, minkä katsotaan olevan asianmukaista alkuperäisen tarkoituksen kannalta.
                     
                  
                        b)
                     
                     
                        Hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain 5 §:ssä säädetään, että hallintoelimen johtajan on pyrittävä pitämään säilytetyt henkilökohtaiset tiedot tarkkoina ja ajan tasalla siinä määrin kuin on tarpeen käyttötarkoituksen saavuttamiseksi.
                     
                  
                        c)
                     
                     
                        Hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain 6 §:n 1 momentissa säädetään, että hallintoelimen johtajan on toteutettava tarvittavat toimenpiteet, joilla estetään säilytettyjen henkilökohtaisten tietojen vuotaminen, menetys tai vahingoittuminen sekä varmistetaan niiden asianmukainen hallinnointi.
                     
                  
                        d)
                     
                     
                        Hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain 7 §:n mukaan työntekijät (mukaan lukien entiset työntekijät) eivät saa luovuttaa saatuja henkilökohtaisia tietoja toiselle henkilölle ilman perusteltua syytä tai käyttää kyseisiä tietoja perusteetonta tarkoitusta varten.
                     
                  
                        e)
                     
                     
                        Lisäksi hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain 8 §:n 1 momentissa säädetään, että hallintoelimen johtaja ei saa käyttää säilytettyjä henkilökohtaisia tietoja tai toimittaa niitä toiselle henkilölle muuta kuin tiettyä käyttötarkoitusta varten, ellei laeissa ja määräyksissä toisin määrätä. Vaikka 8 §:n 2 momentti sisältää poikkeuksia tästä säännöstä erityistilanteissa, niitä sovelletaan ainoastaan, jos tällainen poikkeuksellinen tietojen luovuttaminen ei todennäköisesti ”perusteettomasti” vahingoita rekisteröidyn tai kolmannen osapuolen oikeuksia ja etuja.
                     
                  
                        f)
                     
                     
                        Hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain 9 §:n mukaan tapauksissa, joissa säilytettyjä henkilökohtaisia tietoja toimitetaan toiselle henkilölle, hallintoelimen johtaja asettaa tarvittaessa käyttötarkoitusta tai -menetelmää koskevia rajoituksia tai muita tarvittavia rajoituksia. Hän voi myös pyytää vastaanottavaa henkilöä toteuttamaan tarvittavat toimenpiteet tietovuodon estämiseksi ja tietojen asianmukaisen hallinnoinnin varmistamiseksi.
                     
                  
                        g)
                     
                     
                        Hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain 48 §:ssä säädetään, että hallintoelimen johtajan on pyrittävä käsittelemään kaikki henkilökohtaisten tietojen käsittelyä koskevat valitukset asianmukaisesti ja viipymättä.
                     
                  2)   Henkilökohtaisten tietojen keruu vapaaehtoista yhteistyötä koskevien pyyntöjen kautta (Vapaaehtoinen tutkimus)
            
               a)   Oikeusperusta
            
            Henkilökohtaisia tietoja saadaan muuten kuin pakkokeinoja käyttämällä vapaasti käytettävissä olevasta lähteestä tai muun muassa kyseisiä tietoja hallussaan pitäviltä toiminnanharjoittajilta vapaaehtoisen tietojen luovuttamisen perusteella.
            Viimeksi mainitun osalta rikosprosessilain 197 §:n 2 momentissa annetaan syyttäjälle ja tutkinta-asioista vastaavalle poliisille valtuudet tehdä ”tutkinta-asioihin liittyviä kirjallisia kyselyitä” (nk. ”tutkintalomakkeet”). Rikosprosessilain mukaisesti kyselyn kohteena olevia henkilöitä pyydetään vastaamaan tutkintaviranomaisille. Jos kyselyn saaneet julkiset virastot tai julkiset ja/tai yksityiset järjestöt eivät vastaa, niitä ei kuitenkaan voida pakottaa siihen. Jos ne eivät vastaa kyselyihin, siitä ei kuitenkaan seuraa rangaistusta tai muita seuraamuksia. Jos tutkintaviranomaiset katsovat, että pyydetyt tiedot ovat välttämättömiä, niiden on hankittava tiedot tuomioistuimen määräykseen perustuvan etsinnän ja takavarikon kautta.
            Kun otetaan huomioon henkilöiden lisääntyvä tietoisuus oikeuksistaan yksityisyyteen sekä kyseisten pyyntöjen aiheuttama työtaakka, toiminnanharjoittajat vastaavat näihin pyyntöihin entistä varovaisemmin (11). Harkitessaan pyyntöihin vastaamista toiminnanharjoittajat ottavat erityisesti huomioon pyydettyjen tietojen luonteen, suhteen henkilöön, jonka tiedot ovat kyseessä, maineeseen kohdistuvat riskit, oikeusjuttujen riskit, jne.
            
               b)   Rajoitukset
            
            Pakkokeinoin suoritettavan sähköisten tietojen keruun osalta vapaaehtoista tutkintaa rajoittaa perustuslaki, sellaisena kuin sitä on tulkittu oikeuskäytännössä, sekä valtuutussäädökset. Lisäksi toiminnanharjoittajat eivät saa laillisesti luovuttaa tietoja tietyissä tilanteissa. Lisäksi hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetussa laissa säädetään useista tietojen keruuta ja niiden käsittelyä koskevista rajoituksista (prefektuurin poliisin osalta paikalliset määräykset sisältävät olennaisilta osin samat kriteerit).
            (1)   Perustuslaista ja valtuutussäädöksistä johtuvat rajoitukset
            Ottaen huomioon, mitä perustuslain 13 §:ssä tarkoitetaan, korkein oikeus määräsi 24. joulukuuta 1969 antamassaan päätöksessä (1965 (A) nro 1187) ja 15. huhtikuuta 2008 antamassaan päätöksessä (2007 (A) nro 839), että tutkintaviranomaisten suorittamiin vapaaehtoisiin tutkimuksiin sovelletaan rajoituksia. Vaikka kyseiset päätökset koskivat tapauksia, joissa (kuvien muodossa olevia) henkilökohtaisia tietoja oli kerätty valokuvien/kuvaamisen avulla, päätelmillä on merkitystä vapaaehtoisten (ei-pakollisten) tutkimusten kannalta, joissa puututaan henkilöiden yksityisyyteen yleisellä tasolla. Niitä on sen vuoksi sovellettava ja noudatettava, kun kyseessä on henkilötietojen keruu vapaaehtoisen tutkimuksen avulla, ottaen huomioon kunkin tapauksen erityisolosuhteet.
            Päätösten mukaan vapaaehtoisen tutkimuksen laillisuus riippuu seuraavien kolmen kriteerin täyttymisestä:
            
                        —
                     
                     
                        ”rikosepäily” (eli on arvioitava, onko rikos tehty);
                     
                  
                        —
                     
                     
                        ”tutkimuksen tarpeellisuus” (eli on arvioitava, onko pyyntö tutkimuksen kannalta tarpeen); ja
                     
                  
                        —
                     
                     
                        ”menetelmien tarkoituksenmukaisuus” (eli on arvioitava, onko vapaaehtoinen tutkimus ”asianmukainen” tai kohtuullinen tutkimuksen tarkoituksen saavuttamiseksi) (12).
                     
                  Kun otetaan huomioon edellä mainitut kolme kriteeriä, vapaaehtoisen tutkimuksen laillisuutta tarkastellaan yleensä siltä kannalta, voidaanko sitä pitää perusteltuna sosiaalisesti hyväksyttyjen normien mukaisesti.
            Vaatimus siitä, että tutkimuksen on oltava ”välttämätön” johtuu myös suoraan rikosprosessilain 197 §:stä, ja se on vahvistettu kansallisen poliisiviraston prefektuurin poliisille antamissa ”tutkintalomakkeiden” käyttöä koskevissa ohjeissa. Kansallisen poliisiviraston 7. joulukuuta 1999 antamassa ilmoituksessa mainitaan useita menettelyyn liittyviä rajoituksia, mukaan lukien vaatimus käyttää ”tutkintalomakkeita” vain, jos se on tutkimuksen kannalta välttämätöntä. Lisäksi rikosprosessilain 197 §:n 1 momentti rajoittuu rikostutkintaan, ja sitä voidaan soveltaa vain silloin, kun on olemassa konkreettinen epäily jo tehdystä rikoksesta. Tätä oikeusperustaa ei sitä vastoin voida käyttää henkilökohtaisten tietojen keräämiseen ja käyttöön tilanteissa, joissa lakia ei ole vielä rikottu.
            (2)   Tiettyjä toiminnanharjoittajia koskevat rajoitukset
            Tietyillä aloilla sovelletaan lisärajoituksia, jotka perustuvat muissa laeissa säädettyyn suojaan.
            Ensinnäkin tutkintaviranomaisilla ja henkilökohtaisia tietoja hallussaan pitävillä televiestintäoperaattoreilla on velvollisuus kunnioittaa perustuslain 21 §:n 2 momentissa taattua viestinnän luottamuksellisuutta (13). Televiestintäoperaattoreilla on sama velvollisuus televiestintäliiketoimintaa koskevan lain 4 §:n mukaisesti (14). Sisäasiain- ja viestintäministeriön antamien, perustuslakiin ja televiestintäliiketoimintaa koskevaan lakiin perustuvien ”henkilökohtaisten tietojen suojaa televiestinnän alalla koskevien suuntaviivojen” mukaisesti televiestintäoperaattorit eivät saa viestinnän luottamuksellisuuden vuoksi luovuttaa henkilökohtaisia tietoja kolmansille osapuolille tilanteissa, joissa viestinnän luottamuksellisuus on vaarassa, lukuun ottamatta tapauksia, joissa ne ovat saaneet henkilön suostumuksen tai jos ne voivat vedota johonkin ”perustelluista syistä” olla noudattamatta rikoslakia. Tässä viitataan ”perusteltuihin syihin” (rikoslain 35 §), ”itsepuolustukseen” (rikoslain 36 §) ja ”välittömän vaaran torjumiseen” (rikoslain 37 §). Rikoslain mukaan ”perusteltuja toimia” ovat ainoastaan sellaiset televiestintäoperaattorin toimet, jotka operaattori toteuttaa noudattaakseen valtion pakkotoimenpiteitä. Tähän ei kuulu vapaaehtoinen tutkimus. Jos tutkintaviranomaiset pyytävät henkilökohtaisia tietoja ”tutkintalomakkeella” (rikosprosessilain 197 §:n 2 momentti), televiestintäoperaattori ei näin ollen saa luovuttaa tietoja.
            Toiseksi toiminnanharjoittajien on kieltäydyttävä vapaaehtoista yhteistyötä koskevista pyynnöistä, jos laissa kielletään henkilökohtaisten tietojen luovuttaminen. Tähän kuuluvat esimerkiksi tapaukset, joissa toiminnanharjoittajalla on velvollisuus noudattaa tietojen luottamuksellisuutta esimerkiksi rikoslain 134 §:n nojalla (15).
            (3)   Hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annettuun lakiin perustuvat rajoitukset
            Hallintoelinten suorittaman henkilökohtaisten tietojen keruun ja myöhemmän käsittelyn osalta hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetussa laissa säädetään rajoituksista, joita käsitellään edellä II.A jakson 1 kohdan b alakohdan 2 alakohdassa. Vastaavia rajoituksia määrätään prefektuurin poliisiin sovellettavissa prefektuurin määräyksissä.
            B)   Valvonta
            1)   Oikeudellinen valvonta
            Pakkokeinoin tapahtuvan henkilökohtaisten tietojen keruun on perustuttava tuomioistuimen määräykseen (16) ja näin ollen tuomarin on hyväksyttävä se etukäteen. Jos tutkinta oli lainvastainen, tuomari voi hylätä tällaiset todisteet myöhemmässä asiaa koskevassa oikeudenkäynnissä. Henkilö voi pyytää hylkäämistä oikeudenkäynnissä ja väittää, että tutkinta oli lainvastainen.
            2)   Hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annettuun lakiin perustuva valvonta
            Japanissa ministerillä tai kunkin ministeriön tai viraston johtajalla on hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annettuun lakiin perustuvat valvonta- ja täytäntöönpanovaltuudet, ja sisäasiain- ja viestintäministeri voi tutkia, miten muut ministeriöt panevat täytäntöön hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annettua lakia.
            Jos sisäasiain- ja viestintäministeri esimerkiksi hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain täytäntöönpanoa koskevan tutkinnan (17), valitusten käsittelyn tai yhdelle sen kattavista tietokeskuksista toimitettujen kyselyiden perusteella toteaa, että se on hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain tarkoituksen saavuttamiseksi välttämätöntä, hän voi hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain 50 §:n mukaisesti pyytää hallintoelimen johtajaa toimittamaan aineistoa ja selvityksiä, jotka koskevat kyseisen hallintoelimen suorittamaa henkilökohtaisten tietojen käsittelyä. Ministeri voi osoittaa hallintoelimen johtajalle lausuntoja henkilökohtaisten tietojen käsittelystä hallintoelimessä, jos hän katsoo sen tarpeelliseksi tämän lain tarkoituksen saavuttamiseksi. Lisäksi ministeri voi esimerkiksi pyytää toimenpiteiden tarkistamista lain 50 ja 51 §:n nojalla toteuttamiensa toimien kautta, jos on syytä epäillä, että lakia on rikottu tai sitä on sovellettu epätarkoituksenmukaisesti. Näin voidaan varmistaa hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain yhdenmukainen soveltaminen ja sen noudattaminen.
            3)   Yleisen turvallisuuden komiteoiden suorittama poliisia koskeva valvonta
            Poliisihallinnon osalta kansallista poliisivirastoa valvoo kansallinen yleisen turvallisuuden komitea, ja prefektuurin poliisia valvoo kuhunkin prefektuuriin perustettu prefektuurin yleisen turvallisuuden komitea. Molemmat valvontaelimet takaavat poliisihallinnon demokraattisen hallintotavan ja poliittisen puolueettomuuden.
            Kansallinen yleisen turvallisuuden komitea vastaa toimivaltaansa poliisilain ja muiden lakien nojalla kuuluvista asioista. Niihin kuuluu kansallisen poliisiviraston ylijohtajan ja paikallisten ylempien poliisiviranomaisten nimittäminen sekä sellaisten kattavien politiikkojen laatiminen, joissa esitetään perussuuntaviivat tai toimenpiteet kansallisen poliisiviraston hallinnon osalta.
            Prefektuurin yleisen turvallisuuden komiteat koostuvat jäsenistä, jotka edustavat asianomaisen prefektuurin väestöä poliisilain mukaisesti, ja ne hallinnoivat prefektuurin poliisia riippumattomien neuvostojen järjestelmänä. Prefektuurin kuvernööri nimittää jäsenet, jotka hyväksytään prefektuurin yleiskokouksessa poliisilain 39 §:n mukaisesti. Jäsenten toimikausi on kolme vuotta ja heidät voidaan erottaa vain erityisistä laissa luetelluista syistä (kuten kyvyttömyys hoitaa tehtäviään, tehtävien laiminlyönti, väärinkäytökset, jne.). Näin varmistetaan heidän riippumattomuutensa (poliisilain 40 ja 41 §). Lisäksi heidän poliittisen puolueettomuutensa takaamiseksi poliisilain 42 §:ssä kielletään komitean jäsenen samanaikainen toimiminen lainsäädäntöelimen jäsenenä, poliittisen puolueen tai muun poliittisen elimen hallituksen jäsenenä tai aktiivinen osallistuminen poliittisiin liikkeisiin. Kukin komitea kuuluu asianomaisen prefektuurin kuvernöörin lainkäyttövaltaan, mutta kuvernöörillä ei ole valtuuksia antaa niille ohjeita tehtäviensä hoitamiseksi.
            Poliisilain 38 §:n 3 momentin sekä kyseisen lain 2 §:n ja 36 §:n 2 momentin mukaisesti prefektuurin yleisen turvallisuuden komiteoiden tehtäviin kuuluu ”suojella yksilön oikeuksia ja vapautta”. Ne saavat sen vuoksi prefektuurin poliisin päälliköiltä raportteja toimivaltansa piiriin kuuluvista toimista muun muassa kolme tai neljä kertaa kuukaudessa pidettävissä säännöllisissä kokouksissa. Komiteat antavat kyseisiä asioita koskevia ohjeita ottamalla käyttöön kattavia politiikkoja.
            Lisäksi prefektuurin yleisen turvallisuuden komiteat voivat valvontatehtävänsä puitteissa antaa prefektuurin poliisille ohjeita konkreettisissa yksittäistapauksissa, kun ne katsovat sen tarpeelliseksi prefektuurin poliisin toiminnan tarkastuksen yhteydessä tai sen henkilöstön väärinkäytösten vuoksi. Komiteat voivat myös tarpeellisiksi katsomissaan tapauksissa antaa nimetyn komitean jäsenen tarkastella uudelleen annettujen ohjeiden täytäntöönpanoa (poliisilain 43 §:n 2 momentti).
            4)   Parlamentin suorittama valvonta
            Parlamentti voi suorittaa viranomaisten toimintaan liittyviä tutkimuksia ja pyytää sitä varten asiakirjojen esittämistä ja todistajien kuulemista (perustuslain 62 §). Tässä yhteydessä asiasta vastaava parlamentin valiokunta voi tutkia poliisin toteuttamien tiedonkeruutoimien asianmukaisuuden.
            Tutkintavaltuuksia tarkennetaan parlamenttia koskevassa laissa. Kyseisen lain 104 §:n mukaisesti parlamentti voi edellyttää hallitukselta ja julkisilta virastoilta raporttien ja asiakirjojen esittämistä tutkimuksen suorittamista varten. Lisäksi parlamentin jäsenet voivat tehdä ”kirjallisia kyselyitä” parlamenttia koskevan lain 74 §:n mukaisesti. Kamarin puheenjohtajan on hyväksyttävä kyseiset kyselyt ja hallituksen on periaatteessa vastattava niihin kirjallisesti seitsemän päivän kuluessa (jos vastaaminen ei ole mahdollista kyseisen määräajan kuluessa, siihen on annettava syyt ja asetettava uusi määräaika parlamenttia koskevan lain 75 §:n mukaisesti). Parlamentin kirjalliset kyselyt ovat aiemmin koskeneet myös hallinnon suorittamaa henkilökohtaisten tietojen käsittelyä (18).
            C)   Yksilölliset oikeussuojakeinot
            Japanin perustuslain 32 §:n mukaisesti keneltäkään ei saa evätä oikeutta kääntyä tuomioistuimen puoleen. Perustuslain 17 §:ssä taataan jokaiselle oikeus haastaa valtio tai julkisyhteisö oikeuteen korvauksen saamiseksi (laissa säädetyn mukaisesti), jos henkilö on kärsinyt vahinkoa virkamiehen laittoman teon johdosta.
            1)   Määräyksen perusteella pakkokeinoin suoritettavaa tiedonkeruuta koskeva muutoksenhaku (rikosprosessilain 430 §)
            Rikosprosessilain 430 §:n 2 momentin mukaisesti henkilö, joka on tyytymätön poliisiviranomaisen toimenpiteisiin määräykseen perustuvan tavaroiden takavarikon yhteydessä (myös, jos niihin sisältyy henkilökohtaisia tietoja), voi esittää pyynnön (nk. ”osittainen valitus”) toimivaltaiselle tuomioistuimelle, jotta kyseiset toimenpiteet ”kumotaan tai muutetaan”.
            Kyseinen valitus voidaan tehdä ilman, että henkilön on odotettava asian saattamista päätökseen. Jos tuomioistuin toteaa, että takavarikko ei ollut tarpeen tai että on olemassa muita syitä epäillä takavarikon lainmukaisuutta, se voi määrätä kyseiset toimenpiteet kumottaviksi tai muutettaviksi.
            2)   Siviiliprosessilain ja valtion oikeussuojakeinoja koskevan lain mukainen muutoksenhaku
            Jos henkilöt katsovat, että heidän yksityisyyttä koskevaa oikeuttaan, joka perustuu perustuslain 13 pykälään, on loukattu, he voivat saattaa vireille siviilikanteen, jossa pyydetään, että rikostutkinnan yhteydessä kerätyt henkilökohtaiset tiedot poistetaan.
            Henkilö voi saattaa vireille myös vahingonkorvauskanteen, joka perustuu valtion oikeussuojakeinoja koskevaan lakiin yhdessä siviililain asiaa koskevien artiklojen kanssa, jos hän katsoo, että hänen yksityisyyttä koskevaa oikeuttaan on loukattu ja hän on kärsinyt vahinkoa henkilökohtaisten tietojensa keräämisen tai valvonnan vuoksi (19). Koska korvausvaatimuksen kohteena oleva ”vahinko” ei rajoitu omaisuusvahinkoihin (siviililain 710 §), vaatimus voi kattaa myös ”henkisen kärsimyksen”. Tuomari arvioi tällaisesta henkisestä vahingosta maksettavan korvauksen määrän ”vapaasti ja tapauskohtaisesti erilaisten seikkojen perusteella” (20).
            Valtion oikeussuojakeinoja koskevan lain 1 §:n 1 momentin mukaisesti korvausta voidaan myöntää, jos i) valtion tai julkisyhteisön viranomainen on ii) tehtävissään iii) tahallisesti tai tuottamuksellisesti iv) lainvastaisesti v) aiheuttanut toiselle henkilölle vahinkoa.
            Kyseisen henkilön on nostettava kanne siviiliprosessilain mukaisesti. Sovellettavien sääntöjen mukaisesti hän voi tehdä sen siinä tuomioistuimessa, jonka tuomiovaltaan se paikkakunta kuuluu, jossa vahinko aiheutettiin.
            3)   Yksilöllinen muutoksenhaku poliisin suorittamia lainvastaisia/epäasiallisia tutkintoja vastaan: valitus prefektuurin yleisen turvallisuuden komitealle (poliisilain 79 §)
            Poliisilain 79 §:n (21) sekä kansallisen poliisiviraston päällikön prefektuurin poliisille ja prefektuurin yleisen turvallisuuden komiteoille (22) myöhemmin antaman selventävän ohjeistuksen mukaan henkilöt voivat tehdä toimivaltaiselle prefektuurin yleisen turvallisuuden komitealle kirjallisen valituksen (23), joka koskee tehtäviään, myös henkilökohtaisten tietojen keräämiseen ja käyttöön liittyviä tehtäviä, hoitaneen poliisin lainvastaista tai epäasiallista käytöstä. Yleisen turvallisuuden komitea käsittelee tällaiset kantelut tarkoin lakien ja paikallisten määräysten mukaisesti ja ilmoittaa tutkinnan tuloksista kantelijalle kirjallisesti.
            Prefektuurin yleisen turvallisuuden komitea antaa poliisilain 38 §:n 3 momenttiin perustuvan toimivaltansa perusteella prefektuurin poliisille ohjeistuksen tutkia tosiseikat, toteuttaa tarvittavat toimenpiteet tarkastuksen tulosten perusteella ja ilmoittaa tulokset yleisen turvallisuuden komitealle. Komitea voi tarvittaessa myös antaa ohjeistusta kantelun käsittelystä, jos se esimerkiksi katsoo, että poliisin suorittama tutkinta on riittämätön. Tämä menettely on kuvattu kansallisen poliisiviraston tiedonannossa prefektuurin poliisin päälliköille.
            Kantelijalle annettavassa tutkinnan tulosta koskevassa ilmoituksessa huomioidaan myös poliisin raportit tutkinnasta sekä toimenpiteet, jotka on toteutettu komitean pyynnöstä.
            4)   Yksilölliset oikeussuojakeinot hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain ja rikosprosessilain nojalla
            
               a)   Hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annettu laki
            
            Hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain 48 §:n nojalla hallintoelinten on pyrittävä käsittelemään asianmukaisesti ja nopeasti kaikki henkilökohtaisten tietojen käsittelyä koskevat valitukset. Sisäasiain- ja viestintäministeriö on perustanut hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain 47 §:n 2 momentin perusteella jokaiseen prefektuuriin kattavan tietokeskuksen käsittelemään tietojen luovuttamista / henkilökohtaisten tietojen suojaa. Keskusten on tarkoitus tarjota henkilöille koonnettuja tietoja (esimerkiksi hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain nojalla käytettävissä olevista oikeuksista saada tietoja, tehdä niihin korjauksia tai keskeyttää niiden käyttö) sekä toimia yhteyspisteenä kyselyitä varten. Myös muut kuin asukkaat voivat tehdä kyselyitä. Esimerkiksi varainhoitovuonna 2017 (huhtikuu 2017 – maaliskuu 2018) kattavat tietokeskukset vastasivat kyselyihin tai vastaaviin kaikkiaan 5186 tapauksen yhteydessä.
            Hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain 12 ja 27 §:ssä myönnetään henkilöille oikeus pyytää säilytettyjen henkilökohtaisten tietojen luovuttamista ja korjaamista. Lisäksi saman lain 36 §:n nojalla henkilöt voivat pyytää säilytettyjen henkilökohtaisten tietojensa käytön keskeyttämistä tai tietojen poistamista, jos hallintoelin ei ole saanut säilyttämiään henkilökohtaisia tietoja lainmukaisesti tai jos se säilyttää tai käyttää kyseisiä tietoja lainvastaisesti.
            Rikostutkintaa (24) varten (joko määräyksen tai ”tutkintalomakkeen” perusteella) kerätyt ja säilytetyt henkilökohtaiset tiedot kuuluvat kuitenkin yleensä ”henkilökohtaisiin tietoihin, jotka on kirjattu oikeudenkäyntejä ja takavarikoituja tavaroita koskeviin asiakirjoihin”. Tällaiset henkilökohtaiset tiedot eivät näin ollen kuulu rikosprosessilain (25) 53 §:n 2 momentin nojalla hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain 4 luvussa tarkoitettujen yksilöllisten oikeuksien soveltamisalaan. Tällaisten henkilökohtaisten tietojen käsittelyyn ja henkilön oikeuksiin tutustua niihin ja oikaista niitä sovelletaan sen sijaan rikosprosessilain ja rikostapauksia koskevista lopullisista asiakirjoista annetun lain (ks. jäljempänä) mukaisia erityissääntöjä (26). Tämän soveltamisalan ulkopuolelle sulkemisen perusteluna ovat monenlaiset seikat, kuten asianomaisten henkilöiden yksityisyyden suoja, tutkinnan luottamuksellisuus ja rikosoikeudenkäynnin asianmukainen kulku. Hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain 2 luvun säännöksiä, jotka koskevat tällaisten tietojen käsittely, kuitenkin sovelletaan.
            
               b)   Rikosprosessilaki
            
            Rikosprosessilain nojalla mahdollisuudet tutustua rikostutkintaa varten kerättyihin henkilökohtaisiin tietoihin riippuvat sekä menettelyn vaiheesta että henkilön roolista tutkinnassa (epäilty, syytetty, uhri jne.).
            Poiketen rikosprosessilain 47 §:ssä esitetystä säännöstä, jonka mukaan oikeudenkäyntiin liittyviä asiakirjoja ei julkisteta ennen oikeudenkäynnin alkua (sillä tämä saattaisi loukata asianomaisten henkilön kunniaa ja/tai yksityisyyttä ja haitata tutkintaa/oikeudenkäyntiä), rikoksen uhrilla on periaatteessa oikeus tarkastaa tällaiset tiedot siinä määrin kuin se katsotaan kohtuulliseksi, kun otetaan huomioon rikosprosessilain 47 §:n säännösten tarkoitus (27).
            Epäillyt saavat yleensä tietää olevansa rikostutkinnan kohteena siinä vaiheessa, kun joko poliisi tai yleinen syyttäjä kutsuu heidät kuulusteluun. Jos yleinen syyttäjä päättää myöhemmin olla nostamatta syytettä, hänen on ilmoitettava asiasta viipymättä epäillylle tämän pyynnöstä (rikosprosessilain 259 §).
            Lisäksi syytteen nostamisen jälkeen yleisen syyttäjän on annettava syytetylle tai hänen asianajajalleen mahdollisuus tutustua näyttöön etukäteen ennen kuin se pyytää tuomioistuinta tutkimaan sen (rikosprosessilain 299 §). Näin syytetyllä on mahdollisuus tarkistaa rikostutkinnan yhteydessä kerätyt henkilökohtaiset tietonsa.
            Rikostutkinnan yhteydessä kerättyjen henkilökohtaisten tietojen suoja, olipa sitten kyse epäillystä, syytetystä tai muusta henkilöstä (kuten rikoksen uhrista), taataan luottamuksellisuutta koskevalla velvoitteella (kansallisia julkisia palveluja koskevan lain 100 §) ja rangaistuksen uhalla siinä tapauksessa, että julkisen palvelun tehtävien yhteydessä käsiteltyjä luottamuksellisia tietoja vuotaa julkisuuteen (kansallisia julkisia palveluja koskevan lain 109 §:n xii kohta).
            5)   Yksilöllinen muutoksenhaku viranomaisten suorittamia lainvastaisia/epäasiallisia tutkintoja vastaan: kantelu henkilötietosuojalautakunnalle
            Henkilökohtaisten tietojen suojasta annetun lain 6 §:n mukaan hallitus toteuttaa tarvittavat toimet yhteistyössä kolmansien maiden hallitusten kanssa luodakseen kansainvälisesti mukautettavissa olevan henkilökohtaisia tietoja koskevan järjestelmän edistämällä yhteistyötä kansainvälisten järjestöjen kanssa ja muissa kansainvälisissä puitteissa. Tämän säännöksen perusteella henkilökohtaisten tietojen suojaa koskevissa perusperiaatteissa (jotka on hyväksytty hallituksen päätöksellä) delegoidaan henkilötietosuojalautakunnalle, joka on henkilökohtaisten tietojen suojasta annetun lain kokonaishallinnoinnista vastaava toimivaltainen viranomainen, valtuudet toteuttaa tarvittavat toimet, jotta voidaan kuroa umpeen Japanin ja asianomaisen kolmannen maan järjestelmien ja toimintojen väliset erot kyseisestä maasta saatujen henkilökohtaisten tietojen asianmukaisen käsittelyn varmistamiseksi.
            Lisäksi, kuten henkilökohtaisten tietojen suojasta annetun lain 61 §:n i ja ii kohdassa säädetään, henkilötietosuojalautakunnan tehtävänä on laatia ja edistää perusperiaatteita sekä toimia välittäjänä toiminnanharjoittajia vastaan nostetuissa valituksissa. Hallintoelimet kommunikoivat ja tekevät tiivistä yhteistyötä keskenään (henkilökohtaisten tietojen suojasta annetun lain 80 §).
            Näiden säännösten perusteella henkilötietosuojalautakunta käsittelee henkilöiden tekemiä kanteluja seuraavasti:
            
                        a)
                     
                     
                        Henkilö, joka epäilee, että Japanin viranomaiset, mukaan lukien tämän ”esityksen” II ja III luvussa tarkoitetusta toimista vastaavat viranomaiset, ovat keränneet tai käyttäneet hänen EU:sta siirrettyjä tietojaan sääntöjen, myös tässä ”esityksessä” käsiteltyjen sääntöjen, vastaisesti, voivat jättää kantelun henkilötietosuojalautakunnalle (henkilökohtaisesti tai tietosuojaviranomaisensa kautta).
                     
                  
                        b)
                     
                     
                        Henkilötietosuojalautakunta käsittelee kantelun käyttäen myös henkilökohtaisten tietojen suojasta annetun lain 6 §:n, 61 §:n ii kohdan ja 80 §:n mukaisia valtuuksiaan ja ilmoittaa kantelusta toimivaltaisille viranomaisille, myös asianomaisille valvontaelimille.
                        Kyseisten viranomaisten on henkilökohtaisten tietojen suojasta annetun lain 80 §:n nojalla toimittava yhteistyössä henkilötietosuojalautakunnan kanssa muun muassa toimittamalla tarvittavat tiedot ja asiaankuuluva aineisto, jotta henkilötietosuojalautakunta voi arvioida, onko henkilökohtaisten tietojen keruu tai myöhempi käyttö tapahtunut sääntöjen mukaisesti. Henkilötietosuojalautakunta tekee arviointia suorittaessaan yhteistyötä sisäasiain- ja viestintäministeriön kanssa.
                     
                  
                        c)
                     
                     
                        Jos arvioinnista käy ilmi, että sovellettavia sääntöjä on rikottu, viranomaisten yhteistyö henkilötietosuojalautakunnan kanssa sisältää velvollisuuden korjata rikkomus.
                        Jos henkilökohtaisia tietoja on kerätty sovellettavien sääntöjen vastaisesti, yhteistyöhön sisältyy kerättyjen henkilökohtaisten tietojen poistaminen.
                        Jos sääntöjä on rikottu, henkilötietosuojalautakunta vahvistaa lisäksi ennen arvioinnin päätökseen saattamista, että rikkominen on täysin korjattu.
                     
                  
                        d)
                     
                     
                        Kun arviointi on saatu päätökseen, henkilötietosuojalautakunta ilmoittaa asianomaiselle henkilölle kohtuullisen ajan kuluessa arvioinnin tuloksesta ja tarvittaessa korjaavista toimista. Tällä ilmoituksella henkilötietosuojalautakunta ilmoittaa asianomaiselle myös mahdollisuudesta saada vahvistus tuloksesta toimivaltaiselta viranomaiselta ja ilmoittaa, mille viranomaiselle tällainen vahvistuspyyntö on esitettävä.
                        Arvioinnin tuloksia koskevien yksityiskohtaisten tietojen luovuttamista voidaan rajoittaa niin kauan kuin on perusteltua syytä katsoa, että tällaisten tietojen antaminen todennäköisesti aiheuttaa riskin käynnissä olevalle tutkimukselle.
                        Jos kanne koskee henkilötietojen keräämistä ja käyttöä rikosalan lainvalvonnassa ja jos arviointi osoittaa, että kyseisen henkilön henkilökohtaisia tietoja sisältävän asian käsittely on aloitettu ja saatettu päätökseen, henkilötietosuojalautakunta ilmoittaa asianomaiselle, että asiaa koskevia asiakirjoja voi tarkastella rikosprosessilain 53 §:n ja rikostapauksia koskevista lopullisista asiakirjoista annetun lain 4 §:n mukaisesti.
                        Jos arvioinnissa ilmenee, että henkilöä on epäilty rikoksesta, henkilötietosuojalautakunta ilmoittaa hänelle tästä asiasta sekä mahdollisuudesta tehdä pyyntö rikosprosessilain 259 §:n mukaisesti.
                     
                  
                        e)
                     
                     
                        Jos henkilö on yhä tyytymätön menettelyn tulokseen, hän voi ilmoittaa asiasta henkilötietosuojalautakunnalle, joka antaa asianosaiselle tietoja eri mahdollisuuksista ja yksityiskohtaisista menettelyistä oikeussuojakeinojen käyttämiseksi Japanin lakien ja määräysten mukaisesti. Henkilötietosuojalautakunta tukee asianosaista esimerkiksi neuvomalla ja avustamalla asian saattamisessa asiaankuuluvan hallinnollisen tai oikeudellisen elimen jatkokäsittelyyn.
                     
                  III.   Viranomaisten pääsy tietoihin kansalliseen turvallisuuteen liittyvissä tarkoituksissa
            
            A.   Henkilökohtaisten tietojen keräämisen oikeusperustat ja rajoitukset
            1)   Oikeusperustat asianomaisen ministeriön/viraston suorittamalle tiedonkeruulle
            Kuten edellä todetaan, hallintoelimet saavat kerätä henkilökohtaisia tietoja kansalliseen turvallisuuteen liittyvissä tarkoituksissa vain hallinnollisen toimivaltansa puitteissa.
            Japanissa ei ole lakia, joka mahdollistaisi tietojen keräämisen pakkokeinoin pelkästään kansalliseen turvallisuuteen liittyvissä tarkoituksissa. Perustuslain 35 §:n nojalla henkilökohtaisia tietoja on mahdollista kerätä pakkokeinoin ainoastaan sellaisen määräyksen perusteella, jonka tuomioistuin on antanut rikoksen tutkintaa varten. Tällainen määräys voidaan näin ollen antaa ainoastaan rikostutkintaa varten. Tämä tarkoittaa sitä, että Japanin oikeusjärjestelmässä ei sallita tietojen keräämistä / tietoihin tutustumista pakkokeinoin kansalliseen turvallisuuteen liittyvissä tarkoituksissa. Asianomaiset ministeriöt tai virastot voivat kansallisen turvallisuuden alalla saada tietoja ainoastaan vapaasti käytettävissä olevista lähteistä tai vapaaehtoisen tietojen luovuttamisen perusteella toiminnanharjoittajilta tai yksityishenkilöiltä. Toiminnanharjoittajilla, jotka saavat vapaaehtoista yhteistyötä koskevan pyynnön, ei ole mitään laillista velvoitetta antaa tällaisia tietoja eikä niille näin ollen aiheudu kielteisiä seurauksia, jos ne kieltäytyvät yhteistyöstä.
            Useilla eri ministeriöiden yksiköillä ja virastoilla on vastuualoja kansallisen turvallisuuden alalla.
            (1)   Hallituksen sihteeristö
            Hallituksen sihteeristö kerää tietoja ja tekee tutkimusta (28) hallituksesta annetun lain 12 §:n 2 momentissa säädetyistä hallituksen tärkeistä politiikoista (29). Hallituksen sihteeristöllä ei kuitenkaan ole valtuuksia kerätä henkilökohtaisia tietoja suoraan toiminnanharjoittajilta. Se kerää, hyödyntää, analysoi ja arvioi tietoja, jotka on saatu esimerkiksi julkisista lähteistä tai muilta viranomaisilta.
            (2)   Kansallinen poliisivirasto / prefektuurin poliisi
            Prefektuurin poliisilla on kussakin prefektuurissa valtuudet kerätä tietoja poliisilain 2 §:n mukaisen toimivaltansa puitteissa. On mahdollista, että kansallinen poliisivirasto kerää tietoja suoraan poliisilakiin perustuvan toimivaltansa puitteissa. Tämä koskee erityisesti kansallisen poliisiviraston turvallisuustoimiston ja ulkoasia- ja tiedusteluosaston toimia. Poliisilain 24 §:n nojalla turvallisuustoimisto vastaa turvallisuuspoliisia (30) koskevista asioista ja ulkoasia- ja tiedusteluosasto asioista, jotka koskevat ulkomailla toimintaa harjoittavia ulkomaiden kansalaisia sekä Japanin kansalaisia.
            (3)   Yleisten turvallisuus- ja tiedusteluasioiden virasto
            Kumouksellisen toiminnan ehkäisemisestä annetun lain ja joukkomurhia toteuttaneiden järjestöjen valvonnasta annetun lain soveltaminen kuuluu lähinnä yleisten turvallisuus- ja tiedusteluasioiden viraston toimialaan. Kyseessä on oikeusministeriön virasto.
            Kumouksellisen toiminnan ehkäisemisestä annetussa laissa ja joukkomurhia toteuttaneiden järjestöjen valvonnasta annetussa laissa säädetään, että hallinnollisia määräyksiä (kuten toimenpiteitä, joilla määrätään tällaisten organisaatioiden toiminnan rajoittamisesta, niiden hajottamisesta jne.) voidaan tiukoin ehdoin antaa sellaisia järjestöjä vastaan, jotka syyllistyvät vakaviin tekoihin (”kumouksellisiin terroritoimiin” tai ”joukkomurhiin”), jotka loukkaavat ”yleistä turvallisuutta” tai perustuslain mukaista ”yhteiskunnan perusjärjestelmää”. ”Kumoukselliset terroritoimet” kuuluvat kumouksellisen toiminnan ehkäisemisestä annetun lain soveltamisalaan (ks. 4 §, joka kattaa muun muassa kansannousun, yllyttämisen ulkomaisiin hyökkäyksiin, poliittisen murhan jne.) kun taas joukkomurhia toteuttaneiden järjestöjen valvonnasta annettu laki koskee joukkomurhia (ks. joukkomurhia toteuttaneiden järjestöjen valvonnasta annetun lain 4 §). Ainoastaan tarkoin yksilöityihin järjestöihin, jotka aiheuttavat erityisen sisäisen tai ulkoisen uhan yleiselle turvallisuudelle, voidaan soveltaa kumouksellisen toiminnan ehkäisemisestä annetun lain ja joukkomurhia toteuttaneiden järjestöjen valvonnasta annetun lain säännöksiä.
            Tätä varten kumouksellisen toiminnan ehkäisemisestä annetussa laissa ja joukkomurhia toteuttaneiden järjestöjen valvonnasta annetussa laissa säädetään tutkintaan liittyvästä oikeudellisesta toimivallasta. Yleisten turvallisuus- ja tiedusteluasioiden viraston virkamiesten perustutkintavaltuudet on vahvistettu kumouksellisen toiminnan ehkäisemisestä annetun lain 27 §:ssä ja joukkomurhia toteuttaneiden järjestöjen valvonnasta annetun lain 29 §:ssä. Näihin säännöksiin perustuvat yleisten turvallisuus- ja tiedusteluasioiden viraston tutkinnat toteutetaan, siinä määrin kuin ne ovat tarpeen, noudattaen edellä mainittuja järjestöjen valvontaan liittyviä säännöksiä (tutkintaa on aiemmin kohdistettu esimerkiksi radikaaleihin vasemmistoryhmiin, Aum Shinrikyo (Korkein totuus) -lahkoon ja tiettyihin Pohjois-Koreaan läheisesti liittyviin kansallisiin ryhmiin). Nämä tutkinnat eivät kuitenkaan voi perustua pakkokeinoihin, ja näin ollen järjestöä, jolla on hallussaan henkilökohtaisia tietoja, ei voida pakottaa antamaan tällaisia tietoja.
            Yleisten turvallisuus- ja tiedusteluasioiden virastolle vapaaehtoisesti luovutettujen tietojen keräämiseen ja käyttöön sovelletaan laissa säädettyjä asianmukaisia takeita ja rajoituksia, joita ovat muun muassa perustuslaissa taattu viestintäsalaisuus ja hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain mukaiset säännöt henkilökohtaisten tietojen käsittelystä.
            (4)   Puolustusministeriö
            Puolustusministeriö kerää tietoja puolustusministeriön perustamisesta annetun lain 3 ja 4 §:n perusteella siinä määrin kuin on tarpeen sen hallinnolliseen toimivaltaan kuuluvien tehtävien hoitamiseksi. Tehtävät liittyvät esimerkiksi puolustukseen ja suojeluun, itsepuolustusvoimien toteuttamiin toimiin ja maa-, meri- ja ilmaitsepuolustusvoimien käyttöön. Puolustusministeriö voi kerätä tietoja näitä tarkoituksia varten ainoastaan vapaaehtoisen yhteistyön kautta ja vapaasti käytettävissä olevista lähteistä. Se ei kerää suurta yleisöä koskevaa tietoa.
            2.   Rajoitukset ja suojatoimet
            
               a)   Lakisääteiset rajoitukset
            
            (1)   Hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annettuun lakiin perustuvat yleiset rajoitukset
            Hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annettu laki on yleinen laki, jota sovelletaan hallintoelinten toteuttamaan henkilökohtaisten tietojen keräämiseen ja käsittelyyn kaikilla näiden elinten toiminta-aloilla. Tämän vuoksi II.A jakson 1 kohdan b alakohdan 2 alakohdassa kuvattuja rajoituksia ja suojatoimia sovelletaan myös henkilökohtaisten tietojen säilyttämiseen, varastointiin, käyttöön ym. kansallisen turvallisuuden alalla.
            (2)   Poliisiin (kansallinen poliisivirasto ja prefektuurin poliisi) sovellettavat erityiset rajoitukset
            Kuten todettiin edellä jaksossa, joka käsitteli tiedonkeruuta lainvalvontaan liittyvissä tarkoituksissa, poliisi saa kerätä tietoa ainoastaan sille laissa säädetyn toimivallan puitteissa. Sen toiminta on tässä yhteydessä poliisilain 2 §:n 2 momentin mukaan ”tiukasti rajattu” siihen, mikä on tarpeen sen tehtävien hoitamiseksi, ja sen toiminnan on oltava ”puolueetonta, oikeudenmukaista eikä siihen saa liittyä ennakkoasenteita”. Lisäksi se ei saa koskaan käyttää valtaansa väärin ”tavalla, joka on ristiriidassa Japanin perustuslaissa taattujen yksilön oikeuksien ja vapauksien kanssa”.
            (3)   Yleisten turvallisuus- ja tiedusteluasioiden virastoon sovellettavat erityiset rajoitukset
            Sekä joukkomurhia toteuttaneiden järjestöjen valvonnasta annetun lain 3 §:ssä että kumouksellisen toiminnan ehkäisemisestä annetun lain 3 §:ssä säädetään, että näiden lakien mukaisesti toteutettu tutkinta rajoitetaan vain välttämättömimpään valvonnan tavoitteen saavuttamiseksi, eikä se saa rajoittaa perusoikeuksia. Lisäksi joukkomurhia toteuttaneiden järjestöjen valvonnasta annetun lain 45 §:n ja kumouksellisen toiminnan ehkäisemisestä annetun lain 42 §:n mukaan yleisten turvallisuus- ja tiedusteluasioiden viraston virkamiehen aseman väärinkäyttö on rikos, josta rangaistaan ankarammalla rikosoikeudellisella seuraamuksella kuin ”yleisestä” vallan väärinkäytöstä muilla julkisen sektorin aloilla.
            (4)   Puolustusministeriöön sovellettavat erityiset rajoitukset
            Kun tarkastellaan puolustusministeriön toteuttamaa tiedonkeruuta/hallinnointia, jota tarkoitetaan puolustusministeriön perustamisesta annetun lain 4 §:ssä, ministeriön toiminta tiedon keräämiseksi on rajattu siihen, mikä on ”tarpeen” sen seuraaviin aloihin liittyvien tehtävien hoitamiseksi: 1) puolustus ja suojelu, 2) itsepuolustusvoimien toteuttamat toimet, 3) maa-, meri- ja ilmaitsepuolustusvoimien järjestäminen, henkilöstön määrä, rakenne, kalusto ja käyttö.
            b)   Muut rajoitukset
            
            Kuten edellä rikostutkintaa koskevassa II.A jakson 2 kohdan b alakohdan 1 alakohdassa on selitetty, korkeimman oikeuden oikeuskäytännöstä seuraa, että toiminnanharjoittajalle osoitetun vapaaehtoista yhteistyötä koskevan pyynnön on oltava tarpeellinen epäillyn rikoksen tutkimisen kannalta ja kohtuullinen tutkimuksen tarkoituksen saavuttamiseksi.
            Vaikka tutkintaviranomaisten kansallisen turvallisuuden alalla suorittama tutkinta eroaa oikeusperustansa ja tarkoituksensa osalta tutkinnasta, jota tutkintaviranomaiset suorittavat lainvalvonnan alalla, keskeisiä periaatteita ”tutkimuksen välttämättömyydestä” ja ”menetelmän asianmukaisuudesta” sovelletaan samalla tavalla kansallisen turvallisuuden alalla ja niitä on noudatettava kunkin tapauksen erityisolosuhteet huomioon ottaen.
            Edellä esitettyjen rajoitusten yhdistelmällä varmistetaan, että tietoja kerätään ja käsitellään vain siinä määrin kuin on tarpeen toimivaltaisen viranomaisen erityisten tehtävien hoitamiseksi sekä erityisten uhkien perusteella. Henkilökohtaisia tietoja ei kerätä eikä niihin ole pääsyä laajamittaisesti eikä kohdentamattomasti kansalliseen turvallisuuteen liittyvissä tarkoituksissa.
            B)   Valvonta
            1)   Hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annettuun lakiin perustuva valvonta
            Kuten edellä II.B jakson 2 kohdassa on selitetty, Japanin julkisella sektorilla ministerillä tai kunkin ministeriön tai viraston johtajalla on valtuudet valvoa hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain ja sen täytäntöönpanon noudattamista omassa ministeriössään tai virastossaan. Lisäksi sisäasiain- ja viestintäministeri voi tutkia lain täytäntöönpanon tilaa, pyytää kutakin ministeriä toimittamaan aineistoa ja selvityksiä lain 49 ja 50 §:n perusteella ja osoittaa kullekin ministerille lausuntoja lain 51 §:n mukaisesti. Hän voi esimerkiksi pyytää toimenpiteiden tarkistamista lain 50 ja 51 §:n nojalla toteuttamiensa toimien kautta.
            2)   Yleisen turvallisuuden komiteoiden suorittama poliisia koskeva valvonta
            Kuten selostetaan edellä olevassa II jaksossa, joka käsittelee tiedonkeruuta rikosalan lainvalvontaan liittyvissä tarkoituksissa, riippumattomat prefektuurin yleisen turvallisuuden komiteat valvovat prefektuurin poliisin toimintaa.
            Kansallisen poliisiviraston valvontatehtävää toteuttaa kansallinen yleisen turvallisuuden komitea. Poliisilain 5 §:n mukaisesti tämä komitea vastaa erityisesti ”yksilön oikeuksien ja vapauden suojelemisesta”. Se ottaa tätä varten käyttöön erityisesti kattavia politiikkoja ja antaa sellaisia määräyksiä sellaisten asioiden hallinnointia varten, jotka kuvataan poliisilain 5 §:n 4 momentin kussakin kohdassa, sekä vahvistaa perusohjeet tai -toimenpiteet, joita olisi noudatettava kyseisiä toimia toteutettaessa. Kansallinen yleisen turvallisuuden komitea on yhtä riippumaton kuin prefektuurin yleisen turvallisuuden komiteat.
            3)   Puolustusministeriön tarkastusyksikön suorittama puolustusministeriötä koskeva valvonta
            Puolustusministeriön tarkastusyksikkö on puolustusministeriöstä riippumaton virasto, joka kuuluu puolustusministerin suoraan valvontaan puolustusministeriön perustamisesta annetun lain 29 §:n mukaisesti. Puolustusministeriön tarkastusyksikkö voi toteuttaa tarkastuksia, joilla varmistetaan, että puolustusministeriön virkamiehet noudattavat lakeja ja määräyksiä. Näitä tarkastuksia kutsutaan ”puolustustarkastuksiksi”.
            Puolustusministeriön tarkastusyksikkö toteuttaa tarkastuksia riippumattomana virastona, jotta voidaan varmistaa, että koko ministeriö, myös itsepuolustusvoimat, noudattaa lainsäädäntöä. Se toteuttaa tehtäviään puolustusministeriön operatiivisista yksiköistä riippumattomasti. Puolustusministeriön tarkastusyksikkö raportoi tarkastuksen jälkeen tuloksista ja tarvittavista korjaavista toimenpiteistä viipymättä suoraan puolustusministerille. Puolustusministeri voi antaa puolustusministeriön tarkastusyksikön raportin perusteella määräyksiä tilanteen korjaamisen edellyttämien toimenpiteiden toteuttamiseksi. Apulaisvaraministeri vastaa näiden toimenpiteiden toteuttamisesta, ja hänen on raportoitava puolustusministerille toteuttamisen tilasta.
            Puolustustarkastusten tulokset julkaistaan nykyään vapaaehtoisena läpinäkyvyyttä edistävänä toimenpiteenä puolustusministeriön verkkosivuilla (vaikka laki ei tätä edellytä).
            Puolustustarkastuksia on kolmenlaisia:
            
                        (i)
                     
                     
                        säännölliset puolustustarkastukset, jotka toteutetaan tietyin väliajoin (31);
                     
                  
                        (ii)
                     
                     
                        tarkastuksia koskevat puolustustarkastukset, joita tehdään sen varmistamiseksi, että korjaavia toimenpiteitä todella on toteutettu, ja
                     
                  
                        (iii)
                     
                     
                        erityiset puolustustarkastukset, joita toteutetaan puolustusministerin määräämistä erityisistä kysymyksistä.
                     
                  Puolustusministeriön tarkastusyksikön johtaja voi pyytää tällaisten tarkastusten yhteydessä raporttia asianomaiselta virastolta, asiakirjojen toimittamista, käydä tiloissa tekemässä tarkastuksia, pyytää selvityksiä apulaisvaraministeriltä ym. Puolustusministeriön tarkastusyksikön tehtävien luonteen vuoksi virastoa johtavat hyvin kokeneet oikeudelliset asiantuntijat (entinen ylioikeuden syyttäjä).
            4)   Yleisten turvallisuus- ja tiedusteluasioiden viraston valvonta
            Yleisten turvallisuus- ja tiedusteluasioiden virasto tekee sekä tavanomaisia että erityistarkastuksia yksittäisissä aluetoimistoissaan ja toimipaikoissaan (yleisten turvallisuus- ja tiedusteluasioiden aluetoimisto, yleisten turvallisuus- ja tiedusteluasioiden toimipaikat ja sivutoimipaikat ym.) Tavanomaisissa tarkastuksissa tarkastajaksi tai tarkastajiksi nimetään apulaispääjohtaja ja/tai johtaja. Tällaiset tarkastukset koskevat myös henkilökohtaisten tietojen hallintaa.
            5)   Parlamentin suorittama valvonta
            Kerättäessä tietoa lainvalvontaan liittyvissä tarkoituksissa Japanin parlamentti voi tarkastella toimivaltaisen valiokuntansa kautta tiedonkeruutoimien lainmukaisuutta kansallisen turvallisuuden alalla. Parlamentin tutkintavaltuudet perustuvat perustuslain 62 §:ään ja parlamenttia koskevan lain 74 ja 104 §:ään.
            C.   Yksilölliset oikeussuojakeinot
            Yksilöllisiä oikeussuojakeinoja voidaan käyttää samoja reittejä pitkin kuin rikosalan lainvalvonnassa. Oikeussuojakeinoihin sisältyy myös EU:n kansalaisten tekemien valitusten käsittelyä ja ratkaisemista varten perustettu uusi oikeussuojamekanismi, jota henkilötietosuojalautakunta hallinnoi ja valvoo. Ks. II.C jakson asiaa koskevat kohdat.
            Lisäksi kansallisen turvallisuuden alalla on käytettävissä erityisiä yksilöllisiä oikeussuojakeinoja.
            Henkilökohtaisiin tietoihin, joita hallintoelin kerää kansalliseen turvallisuuteen liittyvissä tarkoituksissa, sovelletaan hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain 4 luvun säännöksiä. Näihin sisältyy oikeus pyytää säilytettyjen henkilökohtaisten tietojen luovuttamista (12 §) ja korjaamista (myös täydentämistä tai poistamista) (27 §) sekä oikeus pyytää henkilökohtaisten tietojen käytön keskeyttämistä, jos hallintoelin on saanut tiedot lainvastaisesti (36 §). Kansallisen turvallisuuden alalla tällaisten oikeuksien käyttöön kuitenkin sovelletaan tiettyjä rajoituksia: tietojen luovuttamista, korjaamista tai niiden käytön keskeyttämistä koskeviin pyyntöihin ei suostuta, kun ne koskevat ”tietoja, joiden osalta hallintoelimen päälliköllä on olemassa perusteltuja syitä olettaa, että niiden luovuttaminen todennäköisesti vaarantaa kansallisen turvallisuuden, aiheuttaa vahinkoa keskinäiseen luottamukseen perustuville suhteille toisen maan tai kansainvälisen organisaation kanssa tai asettaa maan epäedulliseen asemaan vieraan maan tai kansainvälisen järjestön kanssa käytävissä neuvotteluissa” (14 §:n iv kohta). Näin ollen kaikki kansalliseen turvallisuuteen liittyvä tietojen vapaaehtoinen keruu ei kuulu tämän poikkeuksen piiriin, sillä viimeksi mainittu edellyttää aina konkreettista tietojen luovuttamiseen liittyvien riskien arviointia.
            Jos lisäksi henkilön pyyntö hylätään sillä perusteella, että tietoja ei katsota julkaisukelpoisiksi 14 §:n iv kohdan nojalla, henkilö voi tehdä hallinnollisen valituksen tällaisen päätöksen tarkastelemiseksi uudelleen ja esittää esimerkiksi, etteivät 14 §:n iv kohdassa vahvistetut edellytykset täyty kyseisessä asiassa. Tällaisessa tapauksessa muutoksenhausta päättävän hallintoelimen päällikön on ennen päätöksen tekemistä kuultava tietojen luovuttamisesta ja henkilökohtaisten tietojen suojasta vastaavaa tarkastuslautakuntaa. Lautakunta tarkastelee valitusta riippumattomasta näkökulmasta. Tarkastuslautakunta on erityinen riippumaton lautakunta, jonka jäsenet nimittää pääministeri parlamentin molempien kamareiden suostumuksella. Jäsenillä on oltava merkittävää erityisosaamista (32). Tarkastuslautakunnalla on vahvat tutkintavaltuudet, mukaan lukien mahdollisuus pyytää asiakirjoja ja asianomaisen henkilökohtaisen tiedon luovuttamista, pitää käsittelyjä suljetuin ovin ja soveltaa Vaughn-indeksimenettelyä (33). Lautakunta laatii tämän jälkeen kirjallisen raportin, joka toimitetaan asianomaiselle henkilölle (34). Raportin tulokset julkistetaan. Vaikka raportti ei ole muodollisesti tarkasteltuna oikeudellisesti sitova, kyseinen hallintoelin noudattaa sitä miltei aina (35).
            Oikeudenkäynnistä hallintoasioissa annetun lain 3 §:n 3 momentin mukaan henkilö voi panna vireille oikeustoimet, joilla hän pyrkii kumoamaan hallintoelimen tekemän päätöksen henkilökohtaisten tietojen luovuttamatta jättämisestä.
            IV.   Määräaikaistarkastelu
            
            Tietosuojan tason riittävyyttä koskevan päätöksen määräaikaistarkastuksen yhteydessä henkilötietosuojalautakunta ja Euroopan komissio vaihtavat tietojen käsittelyä koskevia tietoja tietosuojan tason riittävyyttä koskevan päätelmän mukaisten edellytysten mukaisesti, mukaan lukien tässä esityksessä asetetut edellytykset.
            
               (1)  Korkein oikeus, päätös 12.9.2003 (2002(Ju) nro 1656).
            
               (2)  Hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain 4 lukua koskevien poikkeuksien osalta ks. s. 16.
            
               (3)  ”Säilytetyillä henkilökohtaisilla tiedoilla” tarkoitetaan hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain 2 §:n 5 momentissa henkilökohtaisia tietoja, jotka hallintoelimen virkamies on laatinut tai hankkinut hoitaessaan tehtäviään ja jotka ovat kyseisen hallintoelimen hallussa ja sen työntekijöiden käytössä.
            
               (4)  Kullakin prefektuurilla on oma ”prefektuurin määräys”, jota sovelletaan prefektuurin poliisin suorittamaan henkilökohtaisten tietojen suojaan. Kyseisiä prefektuurin määräyksiä ei ole käännetty englanniksi.
            
               (5)  Rikosprosessilain 220 §:n 1 momentin mukaisesti yleinen syyttäjä, yleisen syyttäjän avustaja tai tutkinta-asioista vastaava poliisi voi epäiltyä pidättäessään tarvittaessa toteuttaa seuraavat toimenpiteet: a) henkilön asunnon sisälle meneminen esimerkiksi etsimään epäiltyä; b) etsintä, takavarikko tai tarkastus paikan päällä kiinnioton yhteydessä.
            
               (6)  Kyseisessä säännöksessä säädetään erityisesti, että ”yleinen syyttäjä tai tutkinta-asioista vastaava poliisi voi seuraaviin kohtiin kuuluvien tapausten osalta kuunnella rikoksiin liittyvää viestintää, kun on riittävästi perusteita epäillä, että tapahtuu viestintää, joka koskee kussakin kohdassa määritellyn rikoksen suorittamista, valmistelua, jatkotoimia, kuten todisteiden tukahduttamista, ohjeita ja muuta viestintää (jäljempänä toisessa ja kolmannessa kohdassa ”rikosten sarja”), kun kyseessä on mainittuun rikokseen liittyvä viestintä (jäljempänä tässä kohdassa ”rikokseen liittyvä viestintä”) ja kun kyseessä on tapaukset, joissa on äärimmäisen vaikea tunnistaa rikollista tai selventää tilannetta/yksityiskohtia millään muulla tavalla. Rikoksiin liittyvää viestintää voidaan kuunnella tuomioistuimen tuomarin antaman telekuuntelumääräyksen nojalla ja se koskee viestintävälinettä, joka määritetään puhelinnumeron ja muiden numeroiden/koodien avulla puhelinviestinnän lähteen tai vastaanottajan tunnistamiseksi, ja jota epäilty käyttää televiestintäoperaattoreiden kanssa tehdyn sopimuksen perusteella (lukuun ottamatta tapauksia, joissa ei ole epäilyksiä, että viestintävälinettä on käytetty ”rikokseen liittyvään viestintään”), tai kun on syytä epäillä, että viestintävälinettä käytetään ”rikokseen liittyvään viestintään.”
            
               (7)  18 päivänä maaliskuuta 1969 annettu tuomio (1968 (Shi) nro 100).
            
               (8)  Rikosprosessia koskevien sääntöjen 156 §:n 1 momentin mukaisesti ”Edeltävän pykälän 1 momentissa tarkoitettua pyyntöä esittäessään pyynnön tekijän on annettava aineisto, jonka perusteella epäillyn tai syytetyn katsotaan tehneen rikoksen.”
            
               (9)  Ks. alaviite 6.
            
               (10)  Hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain 3 §:n 1 ja 2 momentissa rajoitetaan säilyttämisen laajuutta ja näin ollen myös henkilökohtaisten tietojen keruuta.
            
               (11)  Ks. myös kansallisen poliisiviraston 7. joulukuuta 1999 antama ilmoitus (jäljempänä 9 kohta), jossa todetaan sama asia.
            
               (12)  Rikoksen vakavuus ja kiireellisyys ovat merkityksellisiä tekijöitä arvioitaessa ”menetelmien tarkoituksenmukaisuutta”.
            
               (13)  Perustuslain 21 §:n 2 momentissa säädetään seuraavaa: ”Sensuuria ei sovelleta eikä minkään viestintämuodon luottamuksellisuutta saa loukata.”
            
               (14)  Televiestintäliiketoimintaa koskevan lain 4 §:ssä säädetään seuraavaa: ”(1) Televiestintäoperaattorin käsittelemän viestinnän luottamuksellisuutta ei saa loukata. (2) Televiestintäalalla toimivat henkilöt eivät saa luovuttaa luottamuksellisia tietoja, jotka he ovat toimessaan ollessaan saaneet tietoonsa televiestintäoperaattorin käsittelemän viestinnän osalta. Tämä määräys on voimassa myös sen jälkeen, kun he ovat jättäneet tehtävänsä.”
            
               (15)  Rikoslain 134 §:ssä säädetään seuraavaa: ”(1) Kun lääkäri, apteekkari, lääkkeiden tukkumyyjä, kätilö, lakimies, puolustusasianajaja, notaari tai muu tällaisissa ammateissa aiemmin toiminut henkilö luovuttaa ilman perusteltua syytä toisen henkilön luottamuksellisia tietoja, jotka hän on saanut tietoonsa ammatissaan toimiessaan, hänet tuomitaan enintään kuudeksi kuukaudeksi vankeuteen, jossa on työvelvoite, tai enintään 100 000 jenin sakkoihin. (2) Samaa sovelletaan myös silloin, kun henkilö, joka on tai on ollut mukana uskonnollisessa toiminnassa, luovuttaa ilman perusteltua syytä toisen henkilön luottamuksellisia tietoja, jotka hän on saanut tietoonsa uskonnollisen toiminnan yhteydessä.”
            
               (16)  Tätä sääntöä koskevan poikkeuksen osalta ks. alaviite 5.
            
               (17)  Avoimuuden varmistamiseksi ja sisäasiain- ja viestintäministeriön suorittaman valvonnan helpottamiseksi hallintoelimen johtajan on hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain 11 §:n nojalla merkittävä kukin kyseisen lain 10 §:n 1 momentissa määrätty kohta, kuten asiakirja-aineistoa hallussaan pitävän hallintoelimen nimi, asiakirja-aineiston käyttötarkoitus, henkilökohtaisten tietojen keruumenetelmä, jne. (nk. ”henkilökohtaisia tietoja koskevien asiakirjojen rekisteri”). Hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain 10 §:n 2 momentin mukaisia henkilökohtaisia tietoja koskevia asiakirjoja, kuten osana rikostutkintaa valmistellut tai saadut asiakirjat tai asiakirjat, joilla on merkitystä kansallisen turvallisuuden kannalta, ei tarvitse kuitenkaan ilmoittaa sisäasiain- ja viestintäministeriölle eikä niitä tarvitse kirjata julkiseen rekisteriin. Julkisten rekistereiden ja arkistojen hallinnointia koskevan lain 7 §:n mukaisesti hallintoelimen johtajan on kuitenkin aina kirjattava hallinnollisten asiakirjojen luokitus, nimi, säilytysaika, varastointipaikka, jne. (”hallinnollisten asiakirjojen hallintorekisteri”). Molempien rekistereiden hakemistotiedot julkaistaan internetissä, ja ihmiset voivat tarkistaa, millaisia henkilökohtaisia tietoja asiakirjat sisältävät sekä minkä hallintoelimen hallussa tiedot ovat.
            
               (18)  Ks. parlamentin ylähuoneen kirjallinen kysely nro 92, 27. maaliskuuta 2009, joka koskee rikostutkinnassa kerättyjen tietojen käsittelyä, mukaan lukien poliisin ja syyttäjäviranomaisten salassapitovelvollisuuksien rikkomisen osalta.
            
               (19)  Esimerkki tällaisesta toiminnasta on ”puolustusviraston luetteloa koskeva tapaus” (Niigatan ensimmäisen oikeusasteen tuomioistuin, päätös 11.5.2006 (2002(Wa) No.514)). Kyseisessä asiassa puolustusviraston virkamies valmisteli, piti hallussaan ja jakeli luetteloa henkilöistä, jotka olivat pyytäneet puolustusvirastolta hallinnollisten asiakirjojen luovuttamista. Luettelossa oli kuvauksia kantajan henkilökohtaisista tiedoista. Kantaja korosti, että muun muassa hänen yksityisyyttään ja tiedonsaantioikeuttaan oli loukattu, ja vaati vastaajaa maksamaan vahingonkorvausta valtion oikeussuojakeinoja koskevan lain 1 §:n 1 momentin nojalla. Tuomioistuin suostui vaatimukseen osittain ja myönsi kantajalle osittaisen korvauksen.
            
               (20)  Korkein oikeus, päätös 5.4.1910 (1910(O) No.71).
            
               (21)  Poliisilain 79 § (ote):
            
                        1.
                     
                     
                        Henkilö, joka haluaa valittaa prefektuurin poliisin henkilöstön tehtävien hoitamisesta, voi tehdä kirjallisen valituksen prefektuurin yleisen turvallisuuden komitealle kansallisen yleisen turvallisuuden komitean määräyksessä kuvatun menettelyn mukaisesti.
                     
                  
                        2.
                     
                     
                        Prefektuurin yleisen turvallisuuden komitea, joka vastaanottaa edellisessä kohdassa tarkoitetun kantelun, käsittelee sen tarkoin lakien ja paikallisten määräysten mukaisesti ja ilmoittaa käsittelyn tuloksesta kantelijalle kirjallisesti seuraavia tapauksia lukuun ottamatta:
                        
                                    1)
                                 
                                 
                                    voidaan todeta, että kanne tähtää prefektuurin poliisin tehtävien laillisen suorittamisen haittaamiseen;
                                 
                              
                                    2)
                                 
                                 
                                    kantelijan tämänhetkinen asuinpaikka on tuntematon;
                                 
                              
                                    3)
                                 
                                 
                                    voidaan todeta, että kanne on esitetty yhdessä muiden kantelijoiden kanssa ja muille kantelijoille on jo ilmoitettu yhteisen kanteen tuloksesta.
                                 
                              
                  
               (22)  Kansallinen poliisivirasto, Tiedonanto poliisien tehtävien hoitoa koskevien valitusten asianmukaisesta käsittelystä, 13.4.2001, sekä liite 1 ”Poliisilain 79 §:n tulkintaa/täytäntöönpanoa koskevat standardit”.
            
               (23)  Kansallisen poliisiviraston tiedonannon (ks. edellinen alaviite) mukaan sellaisia henkilöitä on autettava, joiden on vaikea laatia valitusta kirjallisesti. Tämä kattaa nimenomaisesti ulkomaalaiset.
            
               (24)  Toisaalta voi olla olemassa asiakirjoja, joita ei ole luokiteltu ”oikeudenkäyntejä koskeviksi asiakirjoiksi”, koska ne eivät itsessään ole määräyksen tai tutkinta-asioihin liittyvien kirjallisten kyselyiden perusteella saatua tietoa vaan luotu tällaisten asiakirjojen perusteella. Tästä voi olla kyse silloin, kun yksityisiin tietoihin ei sovelleta hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain 45 §:n 1 momenttia, jolloin kyseisiä tietoja ei suljettaisi hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain 4 luvun soveltamisalan ulkopuolelle.
            
               (25)  Rikosprosessilain 53 §:n 2 momentin 2 kohdassa säädetään, että hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain IV säännöksiä ei sovelleta henkilökohtaisiin tietoihin, jotka on kirjattu oikeudenkäyntejä ja takavarikoituja tavaroita koskeviin asiakirjoihin.
            
               (26)  Rikosprosessilain ja rikostapauksia koskevista lopullisista asiakirjoista annetun lain nojalla takavarikoituja tavaroita sekä rikosoikeudenkäynteihin liittyviä asiakirjoja / henkilökohtaisia tietoja koskevaan tutustumiseen ja korjaustoimiin sovelletaan ainutlaatuista ja tunnusomaista sääntöjärjestelmää, jonka tarkoituksena on suojata kyseisten henkilöiden yksityisyyttä, tutkinnan luottamuksellisuutta, rikosoikeudenkäynnin asianmukaista kulkua jne.
            
               (27)  Rikosten uhrien suojelun tehostamiseksi rikoksen uhrilla on periaatteessa lupa tarkastaa objektiiviseen näyttöön liittyviä tietoja, kun on kyse syyttämättäjättämisasiakirjoista tapauksissa, joissa sovelletaan rikosprosessilain 316 §:n 33 momentissa ja sitä seuraavissa momenteissa tarkoitettua uhrien osallistumista.
            
               (28)  Näistä toimista vastaa hallituksen tieto- ja tutkimusvirasto hallituksen sihteeristön organisaatiota koskevan määräyksen 4 §:n perusteella.
            
               (29)  Tämä kattaa ”hallituksen tärkeitä politiikkoja koskevan tiedustelutiedon keräämisen ja tutkimuksen”.
            
               (30)  Turvallisuuspoliisi vastaa yleiseen turvallisuuteen ja kansakunnan etuun liittyvistä rikostorjuntatoimista. Tämä kattaa rikostorjunnan ja tietojen keräämisen laittomista toimista, jotka liittyvät äärivasemmistolaisiin ja -oikeistolaisiin ryhmiin ja vahingollisiin Japanin vastaisiin toimiin.
            
               (31)  Esimerkkinä tämän esityksen kattamien kysymysten kannalta merkityksellisestä tarkastuksesta voidaan mainita vuonna 2016 toteutettu säännöllinen puolustustarkastus, joka koski tietoisuutta lainsäädännön noudattamisesta ja siihen valmistautumista, sillä henkilökohtaisten tietojen suojaaminen oli yksi tarkastuksen keskeisiä kohteita. Tarkastus koski erityisesti henkilökohtaisten tietojen hallinnoinnin, varastoinnin ym. tilaa. Puolustusministeriön tarkastusyksikkö havaitsi raportissaan henkilökohtaisten tietojen hallinnoinnissa useita epäasianmukaisuuksia, jotka olisi korjattava. Tällainen oli esimerkiksi tietojen jättäminen suojaamatta salasanalla. Raportti on saatavilla puolustusministeriön verkkosivuilla.
            
               (32)  Ks. tietojen luovuttamisesta ja henkilökohtaisten tietojen suojasta vastaavan tarkastuslautakunnan perustamisesta annetun lain 4 §.
            
               (33)  Ks. tietojen luovuttamisesta ja henkilökohtaisten tietojen suojasta vastaavan tarkastuslautakunnan perustamisesta annetun lain 9 §.
            
               (34)  Ks. tietojen luovuttamisesta ja henkilökohtaisten tietojen suojasta vastaavan tarkastuslautakunnan perustamisesta annetun lain 16 §.
            
               (35)  Viimeisten kolmen vuoden aikana ei ole ollut tapausta, jossa kyseinen hallintoelin olisi päättänyt tarkastuslautakunnan päätelmistä poikkeavalla tavalla. Vuosien mittaan näin on tapahtunut äärimmäisen harvoin eli vuodesta 2005 (jolloin hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annettu laki tuli voimaan) vain kaksi kertaa yhteensä 2 000 tapauksesta. Kun hallintoelin tekee päätelmän/päätöksen, joka on ristiriidassa tarkastuslautakunnan päätelmien kanssa, sen on muutoksenhakua koskevan lain 50 §:n 1 momentin 4 kohdan, sellaisena kuin sitä sovelletaan hallintoelinten hallussa olevien henkilökohtaisten tietojen suojasta annetun lain 42 §:n 2 momentin korvaamisen kanssa, mukaisesti selvästi ilmoitettava syyt siihen.