CELEX: 32019D0419
Language: sv
Date: 2019-01-23 00:00:00
Title: Kommissionens genomförandebeslut (EU) 2019/419 av den 23 januari 2019 enligt Europaparlamentets och rådets förordning (EU) 2016/679 om Japans adekvata skyddsnivå för personuppgifter enligt lagen om skydd av personuppgifter (Text av betydelse för EES)

19.3.2019   
               
               
                  SV
               
               
                  Europeiska unionens officiella tidning
               
               
                  L 76/1
               
            
         KOMMISSIONENS GENOMFÖRANDEBESLUT (EU) 2019/419
         av den 23 januari 2019
         enligt Europaparlamentets och rådets förordning (EU) 2016/679 om Japans adekvata skyddsnivå för personuppgifter enligt lagen om skydd av personuppgifter
         [delgivet med nr K(2019) 304]
         (Text av betydelse för EES)
         EUROPEISKA KOMMISSIONEN HAR ANTAGIT DETTA BESLUT
         med beaktande av fördraget om Europeiska unionens funktionssätt,
         med beaktande av Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (1) (”GDPR”), särskilt artikel 45.3, och
         efter samråd med Europeiska datatillsynsmannen.
         1.   INLEDNING
         
         
                     1)
                  
                  
                     I förordning (EU) 2016/679 fastställs reglerna för överföring av personuppgifter från personuppgiftsansvariga eller personuppgiftsbiträden i Europeiska unionen till tredjeländer och internationella organisationer, i den mån överföringarna omfattas av dess tillämpningsområde. Reglerna om internationella överföringar av personuppgifter fastställs i kapitel V i den förordningen, närmare bestämt i artiklarna 44–50. Flödet av personuppgifter till och från länder utanför EU är nödvändigt för utvecklingen av internationellt samarbete och internationell handel, samtidigt som man garanterar att skyddsnivån för personuppgifter i EU inte undergrävs.
                  
               
                     2)
                  
                  
                     Enligt artikel 45.3 i förordning (EU) 2016/679 får kommissionen, genom en genomförandeakt, besluta att ett tredjeland, ett territorium eller en eller flera specificerade sektorer inom ett tredjeland eller en internationell organisation säkerställer en adekvat skyddsnivå. Under dessa villkor får överföringar av personuppgifter till detta tredjeland, detta territorium, denna sektor eller denna internationella organisation göras utan ytterligare tillstånd, i enlighet med vad som föreskrivs i artikel 45.1 och i skäl 103 i förordningen.
                  
               
                     3)
                  
                  
                     Enligt artikel 45.2 i förordning (EU) 2016/679 ska antagandet av ett beslut om adekvat skyddsnivå grunda sig på en heltäckande analys av tredjelandets rättsordning, med hänsyn till både de regler som gäller införare av personuppgifter och de begränsningar och skyddsåtgärder gällande myndigheternas tillgång till personuppgifter. Vid bedömningen ska det avgöras om tredjelandet i fråga garanterar en skyddsnivå som ”i huvudsak motsvarar” den som säkerställs inom EU (skäl 104 i förordning (EU) 2016/679). Såsom klargjorts av Europeiska unionens domstol kräver detta inte en identisk skyddsnivå (2). Närmare bestämt får de medel som det berörda tredjelandet har tillgång till skilja sig från dem som används i EU, så länge som de i det praktiska arbetet faktiskt bidrar till att säkerställa en lämplig skyddsnivå (3). Standarden för en adekvat skyddsnivå kräver därför inte att unionens regler kopieras till punkt och pricka. Snarare gäller det att avgöra huruvida det utländska systemet som helhet erbjuder den höga skyddsnivå som krävs med avseende på innehållet i rätten till personlig integritet och genomförandet, tillsynen och verkställandet av dem i praktiken (4).
                  
               
                     4)
                  
                  
                     Kommissionen har noggrant analyserat japansk lagstiftning och praxis. På grundval av de konstateranden som utvecklas i skälen 6–175 sluter sig kommissionen till att Japan säkerställer en adekvat skyddsnivå för personuppgifter som överförs till organisationer vilka faller inom det tillämpningsområde som lagen om skydd av personuppgifter (5) omfattar och de ytterligare villkor som det hänvisas till i detta beslut. Dessa villkor fastställs i de tilläggsregler (bilaga I) som antagits av nämnden för skydd av personuppgifter (6) och den japanska regeringens officiella framställningar, utfästelser och åtaganden till Europeiska kommissionen (bilaga II).
                  
               
                     5)
                  
                  
                     Genom detta beslut får överföringar från personuppgiftsansvariga eller personuppgiftsbiträden som är etablerade inom Europeiska ekonomiska samarbetsområdet (EES) (7) till sådana organisationer i Japan äga rum utan ytterligare tillstånd. Detta beslut påverkar inte den direkta tillämpningen av förordning (EU) 2016/679 på sådana organisationer, när villkoren i artikel 3 i förordningen är uppfyllda.
                  
               2.   REGLER TILLÄMPLIGA PÅ NÄRINGSIDKARES BEHANDLING AV UPPGIFTER
         
         2.1   Det japanska regelverket för skydd av personuppgifter
         
         
                     6)
                  
                  
                     Den ordning som styr rätten till personlig integritet och uppgiftsskydd i Japan har sina rötter i den konstitution som fastslogs 1946.
                  
               
                     7)
                  
                  
                     I artikel 13 i konstitutionen fastslås följande:
                     ”Alla människor ska respekteras som individer. Rätten till liv och frihet, samt rätten att eftersträva lycka, ska, i den mån den allmänna välfärden inte påverkas av den, vara den överordnade principen i lagstiftning och i andra statliga ärenden.”
                  
               
                     8)
                  
                  
                     Med stöd i denna artikel har Japans högsta domstol förtydligat den enskildes rättigheter avseende skyddet av personlig information. I ett beslut från 1969 erkände domstolen rätten till personlig integritet och personuppgiftsskydd som en konstitutionell rättighet (8). Domstolen framhöll särskilt att ”den enskilde ska ha frihet att skydda sin egen personliga information ifrån att lämnas ut till en tredje part eller göras tillgängliga för allmänheten utan goda skäl.” Vidare framhöll högsta domstolen i ett beslut av den 6 mars 2008 (Juki-Net) (9) att ”medborgarnas frihet i privatlivet ska vara skyddad mot myndighetsutövning, och det kan anses att den enskilde, som en av den enskildes friheter i privatlivet, har frihet att skydda sin egen personliga information ifrån att lämnas ut till en tredje part eller göras tillgängliga för allmänheten utan goda skäl.” (10)
                     
                  
               
                     9)
                  
                  
                     Den 30 maj 2003 antog Japan flera lagar på området skydd av personuppgifter:
                     
                                 —
                              
                              
                                 Lagen om skydd av personuppgifter.
                              
                           
                                 —
                              
                              
                                 Lagen om skydd av personuppgifter vilka innehas av förvaltningsorgan.
                              
                           
                                 —
                              
                              
                                 Lagen om skydd av personuppgifter vilka innehas av registrerade förvaltningsorgan.
                              
                           
               
                     10)
                  
                  
                     De två sistnämnda lagarna (ändrade 2016) innehåller bestämmelser om offentliga organs skydd av personlig information. Databehandling som omfattas av dessa lagar berörs inte av konstaterandet om adekvat skydd i detta beslut, vilket är begränsat till skydd av personuppgifter av ”näringsidkare som hanterar personlig information” (även kallade informationshanterande näringsidkare) i den mening som avses i lagen om skydd av personuppgifter (nedan även personuppgiftslagen).
                  
               
                     11)
                  
                  
                     Personuppgiftslagen har reformerats på senare år. Personuppgiftslagen i dess ändrade lydelse utfärdades den 9 september 2015 och trädde i kraft den 30 maj 2017. Genom ändringen infördes ett antal nya skyddsåtgärder, vilka också innebar en förstärkning av befintliga skyddsåtgärder, vilket följaktligen för det japanska systemet för skydd av personuppgifter närmare det europeiska. Detta omfattar, till exempel, ett antal lagstadgade individuella rättigheter eller inrättandet av en oberoende tillsynsmyndighet (nämnden för skydd av personuppgifter) med ansvar för tillsyn och genomförande av personuppgiftslagen.
                  
               
                     12)
                  
                  
                     Utöver personuppgiftslagen är den behandling av personlig information som omfattas av det här beslutets tillämpningsområde föremål för genomföranderegler som utfärdats på grundval av personuppgiftslagen. Detta inbegriper en ändring av regeringsbeslutet att genomföra lagen om skydd av personuppgifter av den 5 oktober 2016 och så kallade genomföranderegler för lagen om skydd av personuppgifter som antagits av nämnden för skydd av personuppgifter (11). Båda regelsamlingarna är såväl rättsligt bindande som verkställbara och trädde i kraft vid samma tidpunkt som den ändrade personuppgiftslagen.
                  
               
                     13)
                  
                  
                     Dessutom utfärdade japanska regeringen (premiärministern och ministrarna i regeringen) en grundläggande strategi den 28 oktober 2016 för att ”uttömmande och genomgående främja åtgärder som rör skydd av personlig information”. Enligt artikel 7 i personuppgiftslagen utfärdas den grundläggande strategin i form av ett regeringsbeslut och inkluderar strategier om tillämpningen av personuppgiftslagen som riktar sig till både den centrala regeringen och de lokala myndigheterna.
                  
               
                     14)
                  
                  
                     Genom ett regeringsbeslut som antogs den 12 juni 2018 ändrade den japanska regeringen nyligen den grundläggande strategin. I syfte att underlätta internationell överföring av uppgifter innebär regeringens beslut att nämnden för skydd av personuppgifter (nedan kallad nämnden), i egenskap av behörig myndighet för förvaltningen och genomförandet av personuppgiftslagen, ges ”befogenhet att på grundval av artikel 6 i lagen vidta nödvändiga åtgärder för att överbrygga system- och driftsskillnader mellan Japan och det berörda främmande landet för att säkerställa lämplig hantering av personlig information som tas emot från landet i fråga”. I regeringsbeslutet fastslås att detta inbegriper befogenheten att införa ett förstärkt skydd genom att nämnden antar striktare regler som kompletterar och går utöver dem som fastställs i personuppgiftslagen och regeringsbeslutet. Enligt det beslutet ska dessa striktare regler vara bindande och verkställbara på japanska näringsidkare.
                  
               
                     15)
                  
                  
                     På grundval av artikel 6 i personuppgiftslagen och regeringsbeslutet antog nämnden den 15 juni 2018 tilläggsregler enligt personuppgiftslagen i samband med behandling av personuppgifter som överförts från EU på grundval av ett beslut om adekvat skyddsnivå (nedan kallade tilläggsreglerna) i syfte att förbättra skyddet av personlig information som överförs från Europeiska unionen till Japan på grundval av nuvarande beslut om adekvat skyddsnivå. Dessa tilläggsregler är rättsligt bindande för japanska näringsidkare och både nämnden och domstolarna kan se till att de verkställs, på samma sätt som bestämmelserna i personuppgiftslagen som reglerna kompletterar med striktare och/eller mer detaljerade regler (12). Då de japanska näringsidkare som tar emot och/eller vidarebehandlar personuppgifter från Europeiska unionen kommer att ha lagstadgad skyldighet att följa tilläggsreglerna, måste de säkerställa (t.ex. tekniskt (genom ”öronmärkning”) eller organisatoriskt (genom lagring i en särskild databas)) att de kan fastställa sådana personuppgifter under hela deras ”livscykel” (13). I följande avsnitt analyseras innehållet i varje tilläggsregel som ett led i bedömningen av de artiklar i personuppgiftslagen som den kompletterar.
                  
               
                     16)
                  
                  
                     Till skillnad från tiden före 2015, när ändringar föll olika sektorsspecifika japanska ministeriers ansvarsområden, ger personuppgiftslagen nämnden befogenhet att anta ”riktlinjer” för att ”säkerställa ett korrekt och effektivt genomförande av åtgärder som ska vidtas av en näringsidkare” enligt reglerna om uppgiftsskydd. Nämndens riktlinjer utgör en auktoritativ tolkning av dessa regler, särskilt personuppgiftslagen. Enligt uppgift från nämnden utgör dessa riktlinjer en integrerad del av regelverket, som ska läsas tillsammans med texten till personuppgiftslagen, regeringsbeslutet, nämnden och en rad frågor och svar (14) som utarbetats av nämnden. Därför är de ”bindande för näringsidkare”. Om det i riktlinjerna anges att en näringsidkare ”inte får” eller ”inte bör” agera på ett särskilt sätt, kommer nämnden att anse att bristande efterlevnad av gällande bestämmelser är liktydigt med en lagöverträdelse (15).
                  
               2.2   Materiellt och personligt tillämpningsområde
         
         
                     17)
                  
                  
                     Tillämpningsområdet för personuppgiftslagen bestäms av de fastställda begreppen personlig information, personuppgifter och näringsidkare som hanterar personlig information. Samtidigt föreskriver personuppgiftslagen vissa viktiga undantag från dess tillämpningsområde, framför allt för anonymt behandlade personuppgifter och för specifika typer av behandling av vissa operatörer. I personuppgiftslagen används inte begreppet ”behandling”, utan i stället tillämpas det likvärdiga begreppet ”hantering”, vilket enligt uppgift från nämnden täcker ”alla åtgärder som rör personuppgifter”, exempelvis förvärv, inmatning, organisation, lagring, redigering/behandling, uppdatering, radering, utmatning, användning eller tillhandahållande av personuppgifter.
                  
               2.2.1   Definitionen av personlig information
         
         
                     18)
                  
                  
                     Vad gäller dess materiella tillämpningsområde, skiljer personuppgiftslagen för det första personlig information från personuppgifter, och endast vissa bestämmelser i lagen tillämpas på den förstnämnda kategorin. Enligt artikel 2.1 i personuppgiftslagen omfattar begreppet ”personlig information” all information om en enskild som är i livet och som gör det möjligt att identifiera vederbörande. I definitionen görs åtskillnad mellan två kategorier av personlig information: i) individuella identifieringskoder och ii) annan personlig information, med vars hjälp en viss individ kan identifieras. Den sistnämnda kategorin omfattar också information som i sig inte möjliggör identifiering, men som medger identifiering av en viss individ genom ”en enkel jämförelse” med annan information. Enligt nämndens riktlinjer (16) ska det bedömas från fall till fall huruvida information kan betraktas som ”lätt att sammanställa”, med hänsyn till näringsidkarens faktiska situation (”villkor”). Detta kommer att förutsättas om denna sammanställning är (eller kan) utföras av en genomsnittlig (”normal”) näringsidkare som använder de medel som finns tillgängliga för vederbörande. Exempelvis är information inte ”lätt att sammanställa” med annan information om en näringsidkare måste göra stora ansträngningar eller begå olagliga handlingar för att från en eller flera andra näringsidkare få tillgång till den information som ska sammanställas.
                  
               2.2.2   Definition av personuppgifter
         
         
                     19)
                  
                  
                     Endast vissa former av personlig information omfattas av begreppet ”personuppgifter” enligt personuppgiftslagen. I princip definieras ”personuppgifter” som ”personlig information i form av en databas med personlig information”, dvs. en ”kollektiv informationskorpus” med information om den egna personen, ”systematiskt organiserad för att möjliggöra datoriserad sökning efter särskild personlig information” (17) eller ”föreskriven genom regeringsbeslut som om den hade varit systematiskt organiserad för att underlätta sökning efter viss personlig information” – men ”med undantag för sådant som genom regeringsbeslut föreskrivs som medförande små risker att skada enskildas rättigheter och intressen med avseende på användningssättet” (18).
                  
               
                     20)
                  
                  
                     Detta undantag definieras närmare i artikel 3.1 i regeringsbeslutet, enligt vilken följande tre kumulativa villkor måste vara uppfyllda: i) den kollektiva uppgiftsmängden måste ha ”lämnats ut i syfte att säljas till ett stort antal icke närmare angivna personer och utlämnandet av den får inte ha skett i strid med bestämmelserna i en lag eller beslut som grundar sig på den”, ii) måste kunna ”förvärvas många gånger av ett stort antal icke närmare angivna personer” och iii) de personuppgifter som ingår i volymen måste ”tillhandahållas i sitt ursprungliga syfte utan tillägg av andra uppgifter om en enskild som är i livet”. Enligt nämndens klargöranden infördes detta begränsade undantag i syfte att undanta telefonkataloger eller liknande förteckningar.
                  
               
                     21)
                  
                  
                     För uppgifter som insamlats i Japan är denna åtskillnad mellan ”personlig information” och ”personuppgifter” relevant, eftersom sådan information inte alltid ingår i en ”databas med personlig information” (t.ex. en uppsättning uppgifter som samlats in och behandlats manuellt) och därför kommer dessa bestämmelser i personuppgiftslagen som bara avser personuppgifter inte att tillämpas (19).
                  
               
                     22)
                  
                  
                     Denna åtskillnad kommer däremot inte att vara relevant för personuppgifter som förs in från Europeiska unionen till Japan på grundval av ett beslut om adekvat skyddsnivå. Då dessa uppgifter normalt kommer att överföras på elektronisk väg (vilket är det vanliga sättet att utbyta uppgifter i den digitala tidsåldern, särskilt över så stora avstånd som det mellan EU och Japan) och således kommer att ingå i uppgiftsinföraren elektroniska register, kommer sådana uppgifter från EU att falla inom kategorin ”personuppgifter” enligt personuppgiftslagen. I det ovanliga fallet att personuppgifter överförs från EU på annat sätt (t.ex. i pappersform), kommer de ändå att omfattas av personuppgiftslagen om de efter överföringen blir en del av en ”kollektiv volym av uppgifter” som organiseras systematiskt så att vissa uppgifter blir lätt sökbara (artikel 2.4 ii i personuppgiftslagen). Enligt artikel 3.2 i regeringsbeslutet blir detta fallet om uppgifterna är ordnade ”enligt vissa regler” och databasen innehåller sådana verktyg som en innehållsförteckning eller ett index för att underlätta sökningen. Detta motsvarar definitionen av ett ”register” i den mening som avses i artikel 2.1 i allmänna dataskyddsförordningen.
                  
               2.2.3   Definition av lagrade personuppgifter
         
         
                     23)
                  
                  
                     Vissa bestämmelser i personuppgiftslagen, särskilt artiklarna 27–30 om individuella rättigheter, gäller endast en särskild kategori av personuppgifter, nämligen lagrade personuppgifter. Dessa definieras i artikel 2.7 i personuppgiftslagen som andra personuppgifter än de som antingen i) ”genom ett regeringsbeslut föreskrivs som uppgifter vilka sannolikt kommer att skada offentliga eller andra intressen, om deras närvaro eller frånvaro blir känd” eller ii) ”som ska raderas inom en period på högst ett år som föreskrivs genom ett regeringsbeslut”.
                  
               
                     24)
                  
                  
                     Den första av dessa båda kategorier förklaras i artikel 4 i regeringsbeslutet och omfattar fyra typer av undantag (20). Målet med dessa undantag liknar dem som förtecknas i artikel 23.1 i förordning (EU) 2016/679, framför allt skydd av den registrerade personen (”huvudmannen” enligt personuppgiftslagens terminologi) och andras frihet, nationell säkerhet, allmän säkerhet, efterlevnad av strafflagstiftning och andra viktiga mål av allmänt intresse. Dessutom framgår det av formuleringen i artikel 4.1 i–iv i regeringsbeslutet att det vid tillämpningen av dessa undantag alltid förutsätts att en specifik risk föreligger för ett av de skyddade viktiga intressena (21).
                  
               
                     25)
                  
                  
                     Den andra kategorin är närmare specificerad i artikel 5 i regeringsbeslutet. Jämförd med artikel 2.7 i personuppgiftslagen medger den att de personuppgifter som ”ska raderas” inom en sexmånadersperiod undantas från tillämpningsområdet för lagrade personuppgifter, och därmed också från individuella rättigheter enligt personuppgiftslagen. Nämnden har klargjort att syftet med detta undantag är att skapa incitament för näringsidkare att lagra och behandla uppgifter under så kort tid som möjligt. Detta skulle dock innebära att registrerade personer i EU inte skulle kunna dra nytta av viktiga rättigheter av det enda skälet att den berörda näringsidkaren inte lagrar deras personuppgifter under längre tid än nödvändigt.
                  
               
                     26)
                  
                  
                     För att komma till rätta med denna situation krävs enligt tilläggsregel 2 att personuppgifter som överförs från Europeiska unionen ”ska hanteras som lagrade personuppgifter i den mening som avses i artikel 2.7 i lagen, oberoende av den tidsfrist inom vilken dessa ska raderas”. Därför kommer inte lagringsperioden att påverka de rättigheter som tilldelats registrerade personer i EU.
                  
               2.2.4   Definition av anonymt behandlad personlig information
         
         
                     27)
                  
                  
                     De krav som är tillämpliga på anonymt behandlad personlig information, enligt definitionen i artikel 2.9 i personuppgiftslagen, fastställs i kapitel 4 avsnitt 2 i lagen (”Skyldigheter som gäller en näringsidkare som hanterar anonymt behandlad information”). Omvänt kan sådan information inte regleras genom bestämmelserna i kapitel IV avsnitt 1 i personuppgiftslagen, vilken innehåller de artiklar som fastställer skyddsåtgärder för uppgiftsskydd och de rättigheter som gäller vid behandling av personuppgifter enligt denna lag. Följaktligen gäller att medan ”anonymt behandlad personlig information” inte omfattas av ”standardregler” om uppgiftsskydd (som anges i kapitel IV avsnitt 1 och i artikel 42 i personuppgiftslagen), faller den inom tillämpningsområdet för personuppgiftslagen, särskilt artiklarna 36–39.
                  
               
                     28)
                  
                  
                     Enligt artikel 2.9 i personuppgiftslagen är ”anonymt behandlad personlig information” information om den enskilde som ”framställts genom behandling av personlig information” genom åtgärder som föreskrivs i personuppgiftslagen (artikel 36.1) och som specificeras i nämndens regler (artikel 19), med följden att det blivit omöjligt att identifiera en viss person eller återställa personlig information.
                  
               
                     29)
                  
                  
                     Det följer av dessa bestämmelser, vilket också bekräftats av nämnden, att processen med att anonymisera personlig information inte måste vara tekniskt oåterkallelig. Enligt artikel 36.2 i personuppgiftslagen åläggs näringsidkare som hanterar ”anonymt behandlad personlig information” endast att förhindra återidentifiering genom åtgärder för att säkerställa säkerheten för ”de beskrivningar och individuella identifieringskoder som raderats från den personliga information som använts för att framställa anonymt behandlad information och information om bearbetningsmetoden”.
                  
               
                     30)
                  
                  
                     Eftersom ”anonymt behandlad personlig information” enligt definitionen i personuppgiftslagen inbegriper uppgifter för vilka återidentifiering av den enskilde fortfarande är möjlig, kan detta innebära att personuppgifter som överförs från Europeiska unionen skulle kunna förlora en del av det tillgängliga skyddet genom en process som, enligt förordning (EU) 2016/679, anses vara en form av ”pseudonymisering” i stället för ”anonymisering” (och således inte ändrar personuppgifternas karaktär).
                  
               
                     31)
                  
                  
                     För att komma till rätta med den situationen innehåller tilläggsreglerna ytterligare krav som enbart gäller de personuppgifter som överförs från Europeiska unionen i enlighet med detta beslut. Enligt regel 5 i tilläggsreglerna ska sådan personlig information anses vara ”anonymt behandlad personlig information” endast i den mening som avses i personuppgiftslagen, ”om den näringsidkare som hanterar personlig information vidtar åtgärder som gör avidentifiering av den enskilde oåterkallelig för alla, också genom att information om bearbetningsmetoder osv. raderas”. Det senare har preciserats i tilläggsreglerna som information med koppling till beskrivningar och enskilda identifieringskoder som raderats från den personliga information som använts för att framställa ”anonymt behandlad personlig information”, samt information om den metod för att behandla informationen som tillämpats vid raderingen av dessa beskrivningar och individuella identifieringskoder. Med andra ord kräver tilläggsreglerna att den näringsidkare som producerar ”anonymt behandlad personlig information” förstör ”nyckeln” som möjliggör återidentifiera uppgifterna. Detta innebär att personuppgifter med ursprung i Europeiska unionen enbart kommer att omfattas av bestämmelserna i personuppgiftslagen avseende ”anonymt behandlad personlig information” i fall där den också skulle betraktas som anonym information enligt förordning (EU) 2016/679 (22).
                  
               2.2.5   Definition av näringsidkare som hanterar personlig information
         
         
                     32)
                  
                  
                     Vad gäller den personliga aspekten är personuppgiftslagen endast tillämlig på näringsidkare som hanterar personlig information. Enligt definitionen i artikel 2.5 i personuppgiftslagen är en näringsidkare som hanterar personlig information ”en person som tillhandahåller en databas med personlig information och dyl. för användning i näringsverksamhet”, med undantag av regeringen och förvaltningsorgan, på både central och lokal nivå.
                  
               
                     33)
                  
                  
                     Enligt nämndens riktlinjer innebär ”näringsverksamhet” varje ”handlande som syftar till att för ett visst ändamål, oavsett om det görs för vinst eller inte, vid upprepade tillfällen och kontinuerligt utövar en socialt erkänd verksamhet”. Som näringsidkare som hanterar personlig information betraktas organisationer som inte är juridiska personer (t.ex. de facto-föreningar) eller enskilda om de tillhandahåller (använder) en databas med personlig information osv. för sin näringsverksamhet (23). Därför är begreppet ”näringsverksamhet” i personuppgiftslagen mycket brett och omfattar inte bara vinstdrivande utan även ideell verksamhet som bedrivs av alla slags organisationer och enskilda. Vidare omfattar ”användning i näringsverksamhet” även personlig information som inte används i näringsidkarens (externa) affärsförbindelser, utan internt, t.ex. i behandlingen av uppgifter om anställda.
                  
               
                     34)
                  
                  
                     Vad gäller dem som kommer i åtnjutande av de skyddsmekanismer som anges i personuppgiftslagen, gör lagen ingen åtskillnad på grundval av den enskildes nationalitet, bosättningsort eller vistelseort. Detsamma gäller den enskildes möjligheter att få sitt ärende prövat av nämnden eller i domstol.
                  
               2.2.6   Begreppen personuppgiftsansvariga och personuppgiftsbiträden
         
         
                     35)
                  
                  
                     I personuppgiftslagen görs ingen åtskillnad mellan de skyldigheter som åligger personuppgiftsansvariga och personuppgiftsbiträden. Denna skillnad påverkar inte skyddsnivån, eftersom alla näringsidkare som hanterar personlig information omfattas av samtliga bestämmelser i lagen. En informationshanterande näringsidkare som överlåter hantering av personuppgifter till en förvaltare (motsvarande en registerförare enligt allmänna dataskyddsförordningen) har alltjämt skyldigheter enligt personuppgiftslagen och tilläggsreglerna i fråga om de uppgifter som den har anförtrotts hanteringen av. Enligt artikel 22 i personuppgiftslagen är näringsidkaren också skyldig att ”utöva nödvändig och lämplig tillsyn” över förvaltaren. Såsom bekräftats av nämnden är förvaltaren i sin tur själv bunden av alla skyldigheter i personuppgiftslagen och tilläggsreglerna.
                  
               2.2.7   Undantag för vissa sektorer
         
         
                     36)
                  
                  
                     Artikel 76 i personuppgiftslagen utesluter vissa typer av uppgiftsbehandling från tillämpningen av kapitel IV i lagen, som innehåller de centrala bestämmelserna om uppgiftsskydd (grundläggande principer, skyldigheter för näringsidkare, individuella rättigheter, tillsyn av nämnden). Behandling som omfattas av de sektorsspecifika undantagen i artikel 76 är också undantagna från nämndens verkställighetsbefogenheter, enligt artikel 43.2 i personuppgiftslagen (24).
                  
               
                     37)
                  
                  
                     De relevanta kategorierna för sektorsspecifik uteslutning definieras i artikel 76 i personuppgiftslagen med hjälp av ett dubbelt kriterium baserat på vilken typ av informationshanterande näringsidkare som behandlar den personliga informationen och ändamålet med behandlingen. Mer specifikt tillämpas undantag på i) sändningsföretag, tidningsutgivare, kommunikationsbyråer eller andra pressorganisationer (inbegripet alla individer som bedriver pressverksamhet som sin näring) i den mån de behandlar personlig information för pressändamål, ii) personer som professionellt ägnar sig åt skrivande, i den mån detta inbegriper personlig information, iii) universitet och andra organisationer eller grupper med inriktning på akademiska studier, eller varje person som tillhör en sådan organisation eller grupp, i den mån de behandlar personlig information i samband med akademiska studier, iv) religiösa organisationer i den mån de behandlar personlig information för religiösa verksamhetsändamål (inbegripet alla relaterade aktiviteter) och v) politiska organ, i den mån de behandlar personlig information för politiska verksamhetsändamål (inbegripet all relaterad verksamhet). Behandling av personuppgifter för ett av de ändamål som förtecknas i artikel 76 av andra typer av informationshanterande näringsidkare samt behandling av personlig information av en av de förtecknade informationshanterande näringsidkarna för andra ändamål, till exempel i anställningssammanhang, fortsätter att omfattas av bestämmelserna i kapitel IV.
                  
               
                     38)
                  
                  
                     För att säkerställa en adekvat skyddsnivå för personuppgifter som överförs från Europeiska unionen till näringsidkare i Japan bör enbart behandling av personlig information som omfattas av kapitel IV i personuppgiftslagen – dvs. en informationshanterande näringsidkare i den mån som behandlingssituationen inte motsvarar något av undantagen för vissa sektorer – omfattas av detta beslut. Dess räckvidd bör därför anpassas till terminologin i personuppgiftslagen. När en informationshanterande näringsidkare som omfattas av detta beslut ändrar syftet med användningen (i den mån detta är tillåtet) och sedan kommer att omfattas av ett av de sektorsspecifika undantagen i artikel 76 i personuppgiftslagen, skulle detta, enligt uppgift från nämnden, anses vara en internationell överföring (eftersom behandlingen av personuppgifter i fall som detta inte längre skulle omfattas av kapitel IV i personuppgiftslagen och därmed faller utanför direktivets tillämpningsområde). Detsamma gäller om en informationshanterande näringsidkare förser en enhet som omfattas av artikel 76 i personuppgiftslagen med uppgifter som ska användas för ett av de behandlingsändamål som anges i den bestämmelsen. I fråga om personuppgifter som överförs från Europeiska unionen, skulle detta med andra ord utgöra en vidare överföring som omfattas av relevanta skyddsåtgärder (särskilt de som anges i artikel 24 i personuppgiftslagen och de kompletterande reglerna 4)). Om den informationshanterande näringsidkaren arbetar med den registrerades samtycke (25), måste vederbörande förse näringsidkaren med alla nödvändiga uppgifter, också att personuppgifterna inte längre skyddas av regler personuppgiftslagen.
                  
               2.3   Skyddsåtgärder, rättigheter och skyldigheter
         
         2.3.1   Ändamålsbegränsning
         
         
                     39)
                  
                  
                     Personuppgifter ska behandlas för ett specifikt ändamål och därefter användas endast i den utsträckning som detta är förenligt med behandlingens ändamål. Denna princip för uppgiftsskydd säkerställs i artiklarna 15 och 16 i personuppgiftslagen.
                  
               
                     40)
                  
                  
                     Personuppgiftslagen bygger på principen att en näringsidkare måste ange ändamålet med användningen ”så tydligt som möjligt” (artikel 15.1) och att vederbörande därefter är bunden av ändamålet vid behandlingen av uppgifterna.
                  
               
                     41)
                  
                  
                     I artikel 15.2 i personuppgiftslagen föreskrivs att det ursprungliga ändamålet inte får ändras av den informationshanterande näringsidkaren ”utöver det tillämpningsområde som rimligen anses relevant för det ändrade ändamålet med användningen”, som det tolkas i nämndens riktlinjer motsvarande vad som objektivt kan förutses av den registrerade på grundval av ”normala sociala konventioner” (26).
                  
               
                     42)
                  
                  
                     Enligt artikel 16.1 i personuppgiftslagen är det dessutom förbjudet för informationshanterande näringsidkare att hantera personlig information längre ”än den period som är nödvändig för att uppnå ett visst syfte med användningen” som fastställs i artikel 15 utan att på förhand få den registrerades samtycke, såvida inte något av undantagen i artikel 16.3 är tillämpligt (27).
                  
               
                     43)
                  
                  
                     I fråga om personlig information som erhållits från en annan näringsidkare är den informationshanterande näringsidkaren i princip fri att välja ett nytt syfte med användningen (28). För att säkerställa att en sådan mottagare, i samband med en överföring från Europeiska unionen, förblir bunden av det ändamål enligt vilket uppgifterna överfördes krävs enligt tilläggsregel 3, att ”om en näringsidkare tar emot personuppgifter från EU på grundval av ett beslut om adekvat skyddsnivå”, eller ”en sådan operatör tar emot personuppgifter från en annan näringsidkare som tidigare överförts från EU på grundval av ett beslut om adekvat skyddsnivå” (vidarebefordran), måste stödmottagaren ”ange ändamålet med användningen av de berörda personuppgifterna inom tillämpningsområdet för det ändamål enligt vilket uppgifterna ursprungligen eller senare erhållits”. Med andra ord säkerställer regeln att det ändamål som anges i enlighet med förordning (EU) 2016/679, i samband med en överlåtelse, fortsätter att avgöra behandlingen, och att en ändring av detta ändamål under något skede av bearbetningen i Japan skulle kräva samtycke från den registrerade i EU. Den informationshanterande näringsidkaren måste kontakta den registrerade för att få detta godkännande, och upprätthålla det ursprungliga ändamålet om det inte går att ta den kontakten.
                  
               2.3.2   Laglig och korrekt behandling
         
         
                     44)
                  
                  
                     Det tilläggsskydd som avses i skäl 43 är desto mer relevant, eftersom det är genom principen om begränsning av ändmålet som det japanska systemet säkerställer att personuppgifter behandlas på ett lagenligt och korrekt sätt.
                  
               
                     45)
                  
                  
                     När en informationshanterande näringsidkare samlar in personlig information är vederbörande enligt personuppgiftslagen skyldig att ingående ange ändamålet med att använda personlig information (29) och utan dröjsmål underrätta den registrerade (eller offentliggöra) om detta syfte med användningen (30). I artikel 17 i personuppgiftslagen föreskrivs att en näringsidkare inte ska förvärva personlig information genom bedrägeri eller på andra olämpliga vägar. Vad gäller vissa kategorier av uppgifter, såsom personlig information som kräver särskild hantering, kräver insamlingen av dem den registrerades samtycke (artikel 17.2 i personuppgiftslagen).
                  
               
                     46)
                  
                  
                     Som framgår av förklaringen i skälen 41 och 42 är informationshanterande näringsidkare följaktligen förbjudna att behandla personlig information för andra ändamål, såvida inte den registrerade ger sitt samtycke till sådan behandling eller om något av undantagen enligt artikel 16.3 i personuppgiftslagen är tillämpligt.
                  
               
                     47)
                  
                  
                     När det gäller att förse en tredje part med ytterligare personlig information (31), föreskrivs i artikel 23.1 i personuppgiftslagen slutligen begränsningar av sådant utlämnande till särskilda fall, med förhandsgodkännande av den registrerade som allmän regel (32). I artikel 23.2, 3 och 4 i personuppgiftslagen föreskrivs undantag från kravet på att inhämta samtycke. Dessa undantag är tillämpliga endast på icke-känsliga uppgifter och kräver att näringsidkaren på förhand har underrättat de berörda individerna om sin avsikt att lämna ut deras personliga information till en tredje part och möjligheten att invända mot ytterligare utlämnande (33).
                  
               
                     48)
                  
                  
                     Vad gäller överföringar från Europeiska unionen, kommer personuppgifter först att ha samlats in och behandlats i EU i enlighet med förordning (EU) 2016/679. Detta inbegriper, å ena sidan, alltid insamling och bearbetning, inbegripet för överföring från Europeiska unionen till Japan, på grundval av någon av de rättsliga grunder som förtecknas i artikel 6.1 i förordningen, och, å den andra, insamling för särskilda, specifika och berättigade ändamål samt förbud mot ytterligare behandling, inbegripet genom en överföring på ett sätt som är oförenligt med sådana ändamål enligt artiklarna 5.1 b och 6.4 i förordningen.
                  
               
                     49)
                  
                  
                     Efter överföringen, enligt tilläggsregel 3, måste den informationshanterande näringsidkare som tar emot uppgifterna ”bekräfta” de särskilda ändamål som överföringen vilar på (dvs. det ändamål som anges i enlighet med förordning (EU) 2016/679) och ytterligare behandla dessa uppgifter i enlighet med dessa ändamål (34). Detta betyder inte bara att den första förvärvaren av sådana personuppgifter i Japan, utan även eventuella framtida mottagare av uppgifterna, inbegripet en förvaltare, är bundna av de(t) ändamål som anges i förordningen.
                  
               
                     50)
                  
                  
                     Om den informationshanterande näringsidkaren vidare skulle vilja ändra det syfte som tidigare angivits i förordning (EU) 2016/679, enligt artikel 16.1 i personuppgiftslagen, skulle det i princip åligga vederbörande att inhämta den registrerades samtycke. Utan sådant samtycke skulle all behandling av uppgifter som går längre än nödvändigt för att uppnå ändamålet med användningen innebära en överträdelse av artikel 16.1, vilken nämnden och domstolarna är ansvariga för att beivra.
                  
               
                     51)
                  
                  
                     Eftersom en överföring enligt förordning (EU) 2016/679 kräver en giltig rättslig grund och ett specifikt ändamål, vilka återspeglas i det syfte med användningen som ”bekräftas” enligt personuppgiftslagen, särkerställer kombinationen av de tillämpliga bestämmelserna i personuppgiftslagen och tilläggsregel 3 fortsatt lagenlighet i behandlingen av uppgifter från EU i Japan.
                  
               2.3.3   Uppgifternas korrekthet och uppgiftsminimering
         
         
                     52)
                  
                  
                     Uppgifterna ska vara korrekta och, om nödvändigt, hållas uppdaterade. De bör också vara adekvata, relevanta och inte omfatta mer än vad som krävs för de ändamål för vilka de behandlas.
                  
               
                     53)
                  
                  
                     Dessa principer säkerställs i japansk lagstiftning genom artikel 16.1 i personuppgiftslagen, som förbjuder hantering av personlig information utöver ”det erforderliga handlingsutrymmet för att uppnå ett användningsändamål”. Som nämnden klargjort, utesluter detta inte bara inadekvat och överdriven användning av uppgifter (utöver vad som är nödvändigt för att uppnå syftet med användningen), utan också ett förbud mot att hantera uppgifter som inte är relevanta för ändamålet med användningen.
                  
               
                     54)
                  
                  
                     Vad gäller skyldigheten att hålla uppgifter korrekta och aktuella, krävs det enligt artikel 19 i personuppgiftslagen att den informationshanterande näringsidkaren ”eftersträvar att hålla personuppgifter korrekta och uppdaterade inom den erforderliga ramen för att uppnå ett syfte med användningen”. Denna bestämmelse ska läsas tillsammans med artikel 16.1 i personuppgiftslagen: Om en informationshanterande näringsidkare inte uppfyller de fastställda normerna för korrekthet, kommer behandlingen av den personliga informationen, enligt nämndens klargöranden, inte att anses uppnå ändamålet med användningen, och därmed kommer hanteringen att vara olaglig enligt artikel 16.1.
                  
               2.3.4   Begränsad lagring
         
         
                     55)
                  
                  
                     Uppgifter ska i princip inte lagras under längre tid än vad som krävs för de syfte som personuppgifterna behandlas för.
                  
               
                     56)
                  
                  
                     Enligt artikel 19 i personuppgiftslagen är informationshanterande näringsidkare skyldiga att ”eftersträva […] att radera personuppgifter utan dröjsmål, när användningen av dem inte längre är nödvändig”. Denna bestämmelse måste läsas tillsammans med artikel 16.1 i personuppgiftslagen, som förbjuder hantering av personlig information utöver ”det erforderliga handlingsutrymmet för att uppnå ändamålet med användningen”. När ändamålet med användningen uppnåtts, kan behandlingen av personlig information inte längre anses nödvändigt och får därför inte längre fortsätta (såvida inte den informationshanterande näringsidkaren får den registrerades samtycke).
                  
               2.3.5   Datasäkerhet
         
         
                     57)
                  
                  
                     Personuppgifter bör behandlas på ett sätt som säkerställer att säkerheten garanteras, vilket inbegriper skydd mot obehörig eller otillåten behandling och mot oavsiktlig förlust, förstöring eller skada. I detta syfte bör de ekonomiska aktörerna vidta lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter från eventuella hot. Dessa åtgärder bör utvärderas med hänsyn till den senaste tekniken och kostnaderna.
                  
               
                     58)
                  
                  
                     Denna princip är införlivad i japansk lagstiftning genom artikel 20 i personuppgiftslagen, enligt vilken den informationshanterande närigsidkaren ”ska vidta nödvändiga och lämpliga åtgärder för att säkerställa kontrollen över personuppgifter, också genom att förebygga att de hanterade personuppgifterna läcker ut, går förlorade eller skadas.” I riktlinjerna från nämnden anges vilka åtgärder som ska vidtas, bl.a. metoderna för att etablera grundläggande praxis, databehandlingsregler och olika ”kontrollåtgärder” (avseende såväl organisationssäkerheten som personlig, fysisk och teknisk säkerhet) (35). Dessutom innehåller nämndens riktlinjer och ett särskilt meddelande (tillägg 8 om ”Innehållet i de nödvändiga åtgärderna för säkerhetsadministration”), som offentliggjorts av nämnden, ingående uppgifter om åtgärder om säkerhetstillbud med t.ex. läckor som inbegriper personlig information, som ett led i de åtgärder som ska vidtas av informationshanterande näringsidkare (36).
                  
               
                     59)
                  
                  
                     När personlig information vidare hanteras av anställda eller underleverantörer, ska ”nödvändig och lämplig övervakning” säkerställas enligt artiklarna 20 och 21 i personuppgiftslagen för ändamål som avser säkerhetskontroll. Enligt artikel 83 i personuppgiftslagen är avsiktligt läckage eller stöld av personliga uppgifter slutligen belagt med ett straff på högst ett års fängelse.
                  
               2.3.6   Öppenhet
         
         
                     60)
                  
                  
                     De registrerade bör underrättas om de viktigaste dragen i behandlingen av sina personuppgifter.
                  
               
                     61)
                  
                  
                     Enligt artikel 18.1 i personuppgiftslagen är den informationshanterande näringsidkaren skyldig att göra uppgifter om ändamålet med användningen av den personliga informationen tillgängliga för den registrerade, med undantag av ”fall i vilka ändmålet med användningen har gjorts allmänt känt”. Samma skyldighet gäller i fall av en tillåten ändring av ändamålet (artikel 18.3). Därigenom säkerställs också att den registrerade är underrättad om att hans/hennes uppgifter har samlats in. Även om personuppgiftslagen inte innehåller något generellt krav om att den informationshanterande näringsidkaren ska upplysa den registrerade om de förväntade mottagarna av personliga information i det skedet av insamlingen, är sådan information ett nödvändigt villkor för varje påföljande utlämnande av information till en tredje part (mottagare) på grundval av artikel 23.2, dvs. när detta sker utan föregående samtycke från den registrerade.
                  
               
                     62)
                  
                  
                     Vad gäller ”lagrade personuppgifter”, föreskrivs det i artikel 27 i personuppgiftslagen att den informationshanterande näringsidkaren ska underrätta den registrerade om sin identitet (kontaktuppgifter), ändamålet med användningen och förfarandena för att besvara en begäran om den registrerades individuella rättigheter enligt artiklarna 28, 29 och 30 i personuppgiftslagen.
                  
               
                     63)
                  
                  
                     Liksom enligt tilläggsreglerna kommer personuppgifter som överförs från Europeiska unionen att betraktas som ”lagrade personuppgifter” oberoende av lagringstiden (såvitt den inte omfattas av undantag), och kommer alltid att omfattas av öppenhetskraven enligt båda de ovannämnda bestämmelserna.
                  
               
                     64)
                  
                  
                     Både kraven i artikel 18 och skyldigheten att informera om ändamålet med användningen enligt artikel 27 i personuppgiftslagen är föremål för samma undantag, oftast på grundval av hänsyn som rör allmänintresset och skyddet av rättigheter och intressen som tillkommer den registrerade, tredje part och den personuppgiftsansvarige (37). Enligt tolkningen i nämndens riktlinjer, är dessa undantag tillämpliga i mycket specifika situationer, t.ex. om uppgifterna om ändamålet med användningen skulle undergräva näringsidkarens legitima åtgärder till skydd för vissa intressen (t.ex. kampen mot bedrägerier, ekonomiskt spionage eller sabotage).
                  
               2.3.7   Särskilda kategorier av uppgifter
         
         
                     65)
                  
                  
                     Specifika skyddsåtgärder bör vidtas när ”särskilda kategorier av uppgifter” behandlas.
                  
               
                     66)
                  
                  
                     ”Personlig information som kräver särskild behandling” definieras i artikel 2.3 i personuppgiftslagen. I bestämmelsen hänvisas till ”personlig information som avser huvudmannens ras, tro, sociala ställning, sjukdomshistoria, uppgifter ur belastningsregistret, erfarenheten av att ha lidit skada av ett brott eller andra uppgifter och liknande, som föreskrivs genom regeringsbeslut såsom uppgifter vilka kräver särskild behandling för att inte orsaka orättvis diskriminering, fördomar eller andra nackdelar för huvudmannen.” Dessa kategorier motsavarar till stor del förteckningen över känsliga uppgifter i artiklarna 9 och 10 i förordning (EU) 2016/679. Särskilt ”sjukdomshistoria” motsvarar hälsouppgifter, medan ”belastningsregistret och erfarenheten av att ha lidit skada av ett brott” i huvudsak är identiska med de kategorier som avses i artikel 10 i förordning (EU) 2016/679. De kategorier som avses i artikel 2.3 i personuppgiftslagen är föremål för ytterligare tolkning i regeringsbeslutet och nämndens riktlinjer. Enligt avsnitt 2.3 stycke 8 i nämndens riktlinjer tolkas underkategorierna av ”sjukdomshistoria” i artikel 2 ii) och iii) i regeringsbeslutet som att de inbegriper genetiska och biometriska uppgifter. Även om förteckningen inte uttryckligen omfattar begreppen ”etniskt ursprung” och ”politisk åskådning”, innehåller den hänvisningar till ”ras” och ”trosuppfattning”. Som framgår av avsnitt 2.3 styckena 1 och 2 i nämndens riktlinjer omfattar hänvisningen till ”ras””etniska band eller anknytning till en viss del av världen”, medan ”trosuppfattning” ska förstås sålunda att det inbegriper såväl religiösa som politiska uppfattningar.
                  
               
                     67)
                  
                  
                     Såsom framgår av formuleringen i bestämmelsen är detta inte en uttömmande förteckning, eftersom ytterligare kategorier av uppgifter kan läggas till i den mån deras behandling skapar en risk för ”orättvis diskriminering, fördomar eller andra nackdelar för huvudmannen”.
                  
               
                     68)
                  
                  
                     Eftersom begreppet ”känsliga” uppgifter till sin natur är en social konstruktion, som bl.a. bygger på ett samhälles kulturella och rättsliga traditioner, moraliska överväganden och politiska vägval, och med tanke på vikten av att säkerställa adekvata skyddsåtgärder för känsliga uppgifter när de överförs till näringsidkare i Japan, har kommissionen utverkat att det särskilda skydd som ges ”personlig information som kräver särskild behandling” enligt japansk lag utvidgas till alla kategorier som definieras som ”känsliga uppgifter” i förordning (EU) 2016/679. För detta ändamål föreskrivs det i tilläggsregel 1 att uppgifter som överförs från Europeiska unionen om den enskildes sexualliv, sexuella läggning eller medlemskap i fackförening av den informationshanterande näringsidkaren ska behandlas ”på samma sätt som personlig information som kräver särskild behandling i den mening som avses i artikel 2.3 i personuppgiftslagen”.
                  
               
                     69)
                  
                  
                     Vad gäller de ytterligare materiella skyddsåtgärder tillämpliga på personlig information som kräver särskild behandling enligt artikel 17.2 i personuppgiftslagen, har de informationshanterande näringsidkarna inte tillåtelse att förvärva sådana uppgifter utan föregående samtycke från den enskilde, med förbehåll endast för ett begränsat antal undantag (38). Denna kategori av personlig information är dessutom undantagen från möjligheten att lämnas ut till tredje part på grundval av det förfarande som föreskrivs enligt artikel 23.2 i personuppgiftslagen (vilket möjliggör överföring av uppgifter till tredje part utan den enskildes samtycke).
                  
               2.3.8   Ansvarsskyldighet
         
         
                     70)
                  
                  
                     Enligt principen om ansvarsskyldighet är enheter som behandlar uppgifter skyldiga att införa lämpliga tekniska och organisatoriska åtgärder för att effektivt fullgöra sina skyldigheter att skydda uppgifter och kunna uppvisa sådan överensstämmelse, särskilt för den behöriga tillsynsmyndigheten.
                  
               
                     71)
                  
                  
                     Som framgår av fotnot 34 (skäl 49) är informationshanterande näringsidkare, enligt artikel 26.1 i personuppgiftslagen, skyldiga att genomföra en identitetskontroll av en tredje part som förser dem med personuppgifter och kontrollera de ”omständigheter” under vilka sådana uppgifter erhållits från tredje part (när personuppgifter omfattas av detta beslut, ska dessa omständigheter enligt personuppgiftslagen och tilläggsregel 3 inbegripa både det faktum att de uppgifterna härrör från Europeiska unionen och syftet med den ursprungliga uppgiftsöverföringen). Bland annat syftar den åtgärden till att säkerställa uppgiftshanteringens laglighet genom hela kedjan av informationshanterande näringsidkare. Enligt artikel 26.3 i personuppgiftslagen är informationshanterande näringsidkare dessutom skyldiga att föra register över mottagandedag och (obligatoriska) uppgifter som erhållits från tredje part enligt punkt 1, samt namnet på den berörda individen (den registrerade), de kategorier av uppgifter som behandlas och, i den mån det är relevant, det faktum att individen har gett sitt medgivande till att dela sina personuppgifter. Enligt artikel 18 i nämndens regler ska dessa register bevaras under en period av minst ett till tre år, beroende på omständigheterna. Vid fullgörandet av sina uppgifter kan nämnden kräva att sådana register överlämnas till den (39).
                  
               
                     72)
                  
                  
                     Informationshanterande näringsidkare måste omgående och på lämpligt sätt hantera klagomål från berörda individer om behandlingen av deras personliga information. För att underlätta hanteringen av klagomål ska de införa det ”system som krävs för att uppnå [detta] syftet”, vilket innebär att de bör införa lämpliga förfaranden inom sin organisation (till exempel fördela ansvar eller tillhandahålla en kontaktpunkt).
                  
               
                     73)
                  
                  
                     Slutligen anger personuppgiftslagen en ram, inom vilken sektorsinriktade branschorganisationer kan delta i säkerställandet av en hög efterlevnadsgrad (se kapitel IV, avsnitt 4). Sådana organisationer ackrediterade för skydd av personlig information (40) ska främja skyddet av personlig information genom att bistå företag med sin sakkunskap, men också att bidra till genomförandet av skyddsåtgärder, framför allt genom att hantera enskilda klagomål och bistå i arbetet med att lösa relaterade konflikter. För detta ändamål kan de begära att deltagande informationshanterande näringsidkare, om lämpligt, vidtar nödvändiga åtgärder (41). I fall av dataintrång eller andra säkerhetsincidenter ska näringsidkare i princip underrätta både nämnden och den registrerade (eller allmänheten) och vidta nödvändiga åtgärder, inbegripet åtgärder för att minimera eventuell skada och förhindra eventuella upprepningar av liknande incidenter (42). Medan dessa system är frivilliga, hade nämnden den 10 augusti 2017 förtecknat 44 organisationer, varav den största av dem, Japanskt centrum för behandling och utveckling av information, ensam omfattar 15 436 deltagande näringsidkare (43). Ackrediterade system omfattar sektorssammanslutningar såsom japanska föreningen för värdepappersmäklare, japanska trafikskoleföreningen eller föreningen för äktenskapsförmedlare (44).
                  
               
                     74)
                  
                  
                     Organisationer ackrediterade för skydd av personlig information inkommer med årliga verksamhetsrapporter. Enligt ”Översikt över situationen för genomförandet av personuppgiftslagen under budgetåret 2015” som offentliggörs av nämnden har organisationer ackrediterade för skydd av personlig information mottagit totalt 442 anmälningar, begärt in 123 förklaringar från näringsidkare inom deras jurisdiktion, begärt in handlingar från dessa aktörer i 41 fall, lämnat 181 instruktioner och gjort två rekommendationer (45).
                  
               2.3.9   Begränsningar av vidare överföring
         
         
                     75)
                  
                  
                     Den erforderliga skyddsnivån för personuppgifter som överförs från unionen till näringsidkare i Japan får inte undergrävas av ytterligare överföring av personuppgifter till mottagare i ett tredjeland utanför Japan. Sådana ”vidare överföringar”, som från den japanska näringsidkarens synpunkt utgör internationella överföringar från Japan, bör tillåtas endast om den ytterligare mottagaren utanför Japan själv omfattas av regler som säkerställer en skyddsnivå som är likvärdig den som säkerställs i den japanska rättsordningen.
                  
               
                     76)
                  
                  
                     Ett första skydd är inskrivet i artikel 24 i personuppgiftslagen, som innehåller ett generellt förbud mot överföring av personuppgifter till en tredje part utanför Japans territorium utan föregående samtycke från den enskilde. I tilläggsregel 4 säkerställs, att i fall av uppgiftsöverföringar från Europeiska unionen kommer sådant samtycke att vara särskilt välinitierat, eftersom berörd enskild enligt bestämmelsen ska ”förses med upplysningar om omständigheterna kring den överföring som är nödvändig för att huvudmannen ska kunna ta ställning till samtycke”. På grundval av detta ska den registrerade underrättas om det faktum att uppgifterna kommer att överföras till utlandet (utanför tillämpningsområdet för personuppgiftslagen) och det specifika destinationslandet. Det gör att vederbörande kan bedöma risken för den personliga integriteten i samband med överföringen. Som framgår av artikel 23 i personuppgiftslagen (se skäl 47) bör de uppgifter som lämnats till den huvudansvarige omfatta obligatoriska poster enligt punkt 2, det vill säga de kategorier av personuppgifter som lämnas ut till en tredje part och metoden för offentliggörandet.
                  
               
                     77)
                  
                  
                     I artikel 24 i personuppgiftslagen, tillämpad tillsammans med artikel 11.2 i nämndens regler, föreskrivs flera undantag från denna samtyckesgrundade regel. Enligt artikel 24 är vidare samma undantag som de vilka är tillämpliga enligt artikel 23.1 i personuppgiftslagen tillämpliga också på internationella uppgiftsöverföringar (46).
                  
               
                     78)
                  
                  
                     För att säkerställa ett kontinuerligt skydd för de personuppgifter som överförs från Europeiska unionen till Japan i enlighet med detta beslut höjer tilläggsregel 4 skyddsnivån för den informationshanterande näringsidkarens vidare överföring av sådana uppgifter till en mottagare i ett tredjeland. Detta sker genom en begränsning och inramning av grunderna för internationella överföringar som den informationshanterande näringsidkaren kan använda som ett alternativ till samtycke. Mer specifikt, och utan att detta påverkar de undantag som anges i artikel 23.1 i personuppgiftslagen, får personuppgifter som överförts enligt detta beslut endast i två fall göras till föremål för (vidare) överföring utan samtycke: i) om uppgifterna översänds till ett tredjeland som har erkänts av nämnden enligt artikel 24 i personuppgiftslagen som ger en skyddsnivå motsvarande den som säkerställs i Japan (47), eller ii) om den informationshanterande näringsidkaren och den tredje parten gemensamt har genomfört åtgärder som erbjuder en skyddsnivå motsvarande personuppgiftslagen, jämförd med den i tilläggsreglerna, enligt avtal, andra former av bindande överenskommelser eller bindande avtal inom en koncern. Den andra kategorin motsvarar de instrument som används enligt förordning (EU) 2016/679 för att säkerställa lämpliga skyddsåtgärder (särskilt avtalsvillkor och bindande företagsregler). Såsom bekräftat av nämnden omfattas överföringen också i dessa fall av de allmänna regler som gäller allt tillhandahållande av personuppgifter till en tredje part enligt personuppgiftslagen (dvs. kravet på att erhålla samtycke enligt artikel 23.1 eller, alternativt, informationskravet med en möjlighet till undantag enligt artikel 23.2 i personuppgiftslagen). Om den registrerade inte kan nås med en begäran om godkännande eller i syfte att tillhandahålla den nödvändiga förhandsinformationen enligt artikel 23.2 i personuppgiftslagen, får överlåtelsen inte äga rum.
                  
               
                     79)
                  
                  
                     Utöver de fall i vilka nämnden har konstaterat att det berörda tredjelandet säkerställer en skyddsnivå motsvarande den som säkerställs av personuppgiftslagen (48), utesluter kraven i tilläggsregel 4 användningen av överföringsinstrument som inte upprättar ett tvingande samband mellan den japanska uppgiftsutföraren och uppgiftsinföraren i tredjeland och som inte säkerställer den nödvändiga skyddsnivån. Detta gäller exempelvis Apecländernas gränsöverskridande regelsystem för den personliga integriteten, där Japan är en ekonomi som deltar (49), eftersom skyddet i det systemet inte följer av ett avtal som binder utföraren och införaren i samband med sina bilaterala förbindelser och är klart lägre än den nivå som säkerställs vid en sammanläggning av personuppgiftslagen och tilläggsreglerna (50).
                  
               
                     80)
                  
                  
                     En ytterligare skyddsåtgärd i fråga om (vidare) överföring följer slutligen av artiklarna 20 och 22 i personuppgiftslagen. Dessa bestämmelser innebär att när en operatör från tredjeland (uppgiftsinföraren) handlar på uppdrag av den informationshanterande näringsidkaren (uppgiftsutföraren), dvs. som registerförare (eller ställföreträdande registerförare), måste den senare säkerställa tillsynen över den förre när det gäller säkerheten i samband med databehandling.
                  
               2.3.10   Individuella rättigheter
         
         
                     81)
                  
                  
                     Liksom i EU:s dataskyddslagstiftning, tillförsäkras den enskilde ett antal lagstadgade rättigheter enligt personuppgiftslagen. Däribland ingår rätten till tillgång (”utlämnande”), rättelse och radering samt rätten att vägra användning (”användning upphör”) av information.
                  
               
                     82)
                  
                  
                     Enligt artikel 28.1 och 2 i personuppgiftslagen har den registrerade för det första rätt att uppmana en informationshanterande näringsidkare att ”lämna ut lagrade personuppgifter som möjliggör identifiering av honom eller henne”. Efter mottagandet av en sådan uppmaning ska den informationshanterande näringsidkaren ”lämna ut lagrade personuppgifter” till den registrerade. Artikel 29 (rätt till rättelse) och 30 (rätt till utnyttjande upphör) har samma struktur som artikel 28.
                  
               
                     83)
                  
                  
                     I artikel 9 i regeringsbeslutet anges att utlämnande av personlig information som avses i artikel 28.2 i personuppgiftslagen ska göras skriftligen, om inte den informationshanterande näringsidkaren och den registrerade har kommit överens om annat.
                  
               
                     84)
                  
                  
                     Dessa rättigheter är föremål för tre typer av begränsningar, som rör den enskildes eller tredje parts rättigheter och intressen (51), allvarlig påverkan i den informationshanterande näringsidkarens verksamhet (52) samt fall i vilka ett utlämnande skulle strida mot andra lagar eller författningar (53). De situationer i vilka dessa begränsningar vore tillämpliga liknar vissa av de undantag som tillämpas enligt artikel 23.1 i förordning (EU) 2016/679, som medger begränsningar av enskildas rättigheter av skäl som gäller ”skydd av den registrerade eller andras rättigheter och friheter” eller ”övriga viktiga mål av allmänt intresse”. Även om kategorin av fall i vilka ett utlämnande skulle strida mot ”andra lagar eller författningar” kan framstå som omfattande, måste lagar och förordningar om begränsningar i detta avseende beakta den grundlagsstadgade rätten till personlig integritet och får införa begränsningar endast i den mån utövandet av denna rättighet skulle ”påverka den allmänna välfärden” (54). Detta kräver en avvägning mellan berörda intressen.
                  
               
                     85)
                  
                  
                     Enligt artikel 28.3 i personuppgiftslagen gäller, att om de begärda uppgifterna inte finns eller den berörda informationshanterande näringsidkaren beslutar att inte bevilja tillgång till de lagrade uppgifterna, är denne skyldig att utan dröjsmål underrätta den enskilde därom.
                  
               
                     86)
                  
                  
                     Enligt artikel 29.1 och 2 i personuppgiftslagen har en registrerad, för det andra, rätt att begära rättelse, tillägg eller radering av lagrade personuppgifter ifall dessa är felaktiga. Vid mottagandet av en sådan framställan ska den informationshanterande näringsidkaren ”[…] genomföra en nödvändig utredning” och på grundval av resultaten därav ”göra en korrigering osv. av de lagrade uppgifternas innehåll”.
                  
               
                     87)
                  
                  
                     Enligt artikel 30.1 och 2 i personuppgiftslagen har den registrerade, för det tredje, rätt att uppmana en informationshanterande näringsidkare att upphöra med användningen av den personliga informationen, eller att radera sådan information, om den hanteras i strid med artikel 16 (om begränsning av ändamål) eller har förvärvats i strid med artikel 17 i personuppgiftslagen (avseende förvärv genom bedräglighet, andra oegentliga tillvägagångssätt eller, i fråga om känsliga uppgifter, utan samtycke). Enligt artikel 30.3 och 4 i personuppgiftslagen har den enskilde likaledes rätt att begära att den informationshanterande näringsidkaren upphör med att förse en tredje part med uppgifter, om detta skulle strida mot bestämmelserna i artikel 23.1 eller artikel 24 i personuppgiftslagen (när det gäller uppgifter till tredje part, även för internationella överföringar).
                  
               
                     88)
                  
                  
                     Om begäran är motiverad, ska den informationshanterande näringsidkaren utan dröjsmål avbryta användningen av uppgifterna, eller tillhandahållandet till tredje part, i den mån så är nödvändigt för att avhjälpa överträdelserna eller, om ett fall omfattas av ett undantag (särskilt om användningen inte längre skulle orsaka särskilt höga kostnader) (55), vidta nödvändiga alternativa åtgärder till skydd för berörd enskilds rättigheter och intressen.
                  
               
                     89)
                  
                  
                     Till skillnad från EU-rätten innehåller personuppgiftslagen och andra regler inte några lagbestämmelser med särskild inriktning på möjligheten att invända mot behandling av personuppgifter för ändamål som gäller direkt marknadsföring. Sådan behandling kommer emellertid, enligt detta beslut, att äga rum i samband med en överföring av personuppgifter som tidigare har samlats in i EU. Enligt artikel 21.2 i förordning (EU) 2016/679, ska den registrerade alltid ha möjligheten att invända mot en överföring av uppgifter som behandlas i samband med direkt marknadsföring. Som framgår av förklaringen i skäl 43 i tilläggsregel 3, åligger det en informationshanterande näringsidkare att behandla de uppgifter som mottagits enligt beslutet för det ändamål för vilket uppgifterna har överförts från Europeiska unionen, såvida inte den registrerade samtycker till att ändra ändamålet för användningen. Om överföringen har gjorts för andra ändamål än direkt marknadsföring, kommer en informationshanterande näringsidkare i Japan således att utestängas från bearbetning av uppgifterna för direkt marknadsföring utan samtycke från den registrerade i EU.
                  
               
                     90)
                  
                  
                     I samtliga fall som avses i artiklarna 28 och 29 i personuppgiftslagen är den informationshanterande näringsidkaren skyldig att utan dröjsmål meddela den enskilde om resultatet av vederbörandes begäran, och dessutom att förklara alla (partiella) avslag som bygger på de obligatoriska undantag som föreskrivs i artiklarna 27–30 (artikel 31 i personuppgiftslagen).
                  
               
                     91)
                  
                  
                     Vad gäller villkoren för en begäran, medger artikel 32 i personuppgiftslagen (tillsammans med regeringsbeslutet) att den informationshanterande näringsidkaren fastställer skäliga förfaranden, inbegripet för de uppgifter som krävs för att identifiera de lagrade personuppgifterna. Enligt punkt 4) i denna artikel får de informationshanterande näringsidkarna ålägga en ”huvudman orimlig börda”. I vissa fall kan de informationshanterande näringsidkarna också införa avgifter så länge som beloppet håller sig ”inom de gränser som anses rimliga med hänsyn till faktiska kostnader” (artikel 33 i personuppgiftslagen).
                  
               
                     92)
                  
                  
                     Slutligen kan den enskilde enligt artikel 23.2 i personuppgiftslagen motsätta sig att en tredje part förses med vederbörandes personliga information, eller vägra samtycke enligt artikel 23.1 (vilket förhindrar utlämnande om annan rättslig grund skulle saknas). Genom att vägra samtycke enligt artikel 16.1 personuppgiftslagen kan den enskilde också sätta stopp för behandlingen av uppgifter för ett annat ändamål.
                  
               
                     93)
                  
                  
                     Till skillnad från EU-lagstiftningen innehåller personuppgiftslagen och andra regler inte några allmänna bestämmelser som avser frågan om beslut med inverkan på den registrerade och uteslutande grundar sig på automatisk behandling av personuppgifter. Frågan tas emellertid upp i vissa sektorsspecifika regler som gäller i Japan och som är särskilt relevanta för denna typ av behandling. Detta inbegriper sektorer där företag med stor sannolikhet använder sig av automatiserad behandling av personuppgifter för att fatta beslut som påverkar den enskilde (t.ex. finanssektorn). I de övergripande riktlinjerna för tillsyn av större banker, som reviderades i juni 2017, krävs det exempelvis att berörd enskild ges särskilda förklaringar till skälen för avslaget på begäran om att ingå ett låneavtal. Dessa regler ger skydd i det sannolikt tämligen begränsade antalet fall där automatiserade beslut kommer att fattas av den ”införande” japanska näringsidkaren (snarare än den ”utförande” personuppgiftsansvarige i EU).
                  
               
                     94)
                  
                  
                     Vad gäller personuppgifter som samlats in i Europeiska unionen, kommer de beslut som bygger på automatisk insamling normalt att fattas av den registeransvarige i unionen (som har en direkt förbindelse med berörd registrerad). Därför omfattas besluten av förordning (EU) 2016/679 (56). Detta inbegriper fall av överföringar i vilka behandlingen sköts av en utländsk (t.ex. japansk) näringsidkare i en funktion som agent (personuppgiftsbiträde) på uppdrag av EU:s personuppgiftsansvarige (eller som delegerat personuppgiftsbiträde på uppdrag av EU:s personuppgiftsbiträde, som tagit emot uppgifterna från en personuppgiftsansvarig i EU som samlat in dem) som sedan fattar beslut på denna grundval. Avsaknaden av särskilda regler om automatiserat beslutsfattande i personuppgiftslagen kommer därför sannolikt inte att påverka omfattningen av skyddet av personuppgifter som överförs enligt detta beslut.
                  
               2.4   Tillsyn och efterlevnad
         
         2.4.1   Oberoende tillsyn
         
         
                     95)
                  
                  
                     För att säkerställa att en adekvat skyddsnivå för uppgifterna kan garanteras även i praktiken bör det inrättas en oberoende tillsynsmyndighet med befogenheter att övervaka och säkerställa efterlevnaden av reglerna om uppgiftsskydd. Denna myndighet bör agera helt oavhängigt och opartiskt vid fullgörandet av sina skyldigheter och utövandet av sina befogenheter.
                  
               
                     96)
                  
                  
                     I Japan är nämnden den myndighet som övervakar och säkerställer att personuppgiftslagen genomförs. Den består av en ordförande och åtta ledamöter som utses av premiärministern, med samtycke av båda kamrarna i det japanska parlamentet. Mandatperioden för ordföranden och ledamöterna är fem år med möjlighet till förnyat mandat (artikel 64 i personuppgiftslagen). Nämndens ledamöter får endast avsättas på goda grunder och i ett begränsat antal undantagsfall (57) och får inte vara aktivt engagerade i politisk verksamhet. Enligt personuppgiftslagen måste heltidsledamöter avstå från all annan avlönad verksamhet eller affärsverksamhet. Ledamöterna är också föremål för interna regler som förhindrar dem ifrån att delta i överläggningar om en eventuell intressekonflikt. Nämnden biträds av ett sekretariat under ledning av en generalsekreterare, som har inrättats för att utföra de uppgifter som tilldelats nämnden (artikel 70 i personuppgiftslagen). Både ledamöterna och alla tjänstemän vid generalsekretariatet är bundna av strikta sekretessregler (artiklarna 72 och 82 i personuppgiftslagen).
                  
               
                     97)
                  
                  
                     Nämndens befogenheter, som den fullgör helt oberoende (58), anges främst i artiklarna 40, 41 och 42 i personuppgiftslagen. Enligt artikel 40 får nämnden begära att den informationshanterande näringsidkaren ska rapportera eller inkomma med dokumentation om behandlingsförfaranden och får också genomföra inspektioner, både på plats och av bokföring eller andra handlingar. I den utsträckning det är nödvändigt för genomförandet av personuppgiftslagen, får nämnden också förse den informationshanterande näringsidkaren med vägledning eller rådgivning om hanteringen av personlig information. Nämnden har redan utnyttjat denna befogenhet enligt artikel 41 i personuppgiftslagen genom att inleda arbetet med riktlinjer för Facebook som en följd av avslöjandena om Facebooks samarbete med Cambridge Analytica.
                  
               
                     98)
                  
                  
                     Viktigast är att nämnden har befogenhet att – till följd av ett klagomål eller på eget initiativ – utfärda rekommendationer och anvisningar för att i enskilda fall verkställa personuppgiftslagen och andra bindande regler (bl.a. tilläggsreglerna). Dessa befogenheter fastställs i artikel 42 i personuppgiftslagen. Medan det i punkterna 1 och 2 föreskrivs en tvåstegsmekanism, genom vilken nämnden får utfärda en anvisning (först) efter en rekommendation, medger punkt 3 att beslut fattas omedelbart i brådskande fall.
                  
               
                     99)
                  
                  
                     Även om inte alla bestämmelser i kapitel IV, avsnitt 1 i personuppgiftslagen förtecknas i artikel 42.1 – som också avgör räckvidden för tillämpningen av artikel 42.2 – kan detta förklaras av det faktum att vissa av dessa bestämmelser inte berör den informationshanterande näringsidkarens skyldigheter (59) och att allt nödvändigt skydd redan erbjuds genom andra bestämmelser som ingår i förteckningen. Även om artikel 15 (enligt vilken det krävs att den informationshanterande näringsidkaren ska ange ändamålet för användningen och behandla relevant personlig information enbart inom sitt tillämpningsområde) inte nämns, kan underlåtenhet att iaktta detta krav vara skäl till en rekommendation, grundad på en överträdelse av artikel 16.1 (om förbud för informationshanterande näringsidkare att behandla personlig information utöver vad som är nödvändigt för att uppnå syftet med användningen, såvida denne inte får den registrerades samtycke) (60). En annan bestämmelse som inte förtecknas i artikel 42.1 är artikel 19 i personuppgiftslagen om uppgifters korrekthet och lagring. Bristande efterlevnad av den bestämmelsen kan hanteras antingen som en överträdelse av artikel 16.1 eller på grundval av en överträdelse av artikel 29.2, om berörd enskild begär rättelse eller radering av felaktiga eller alltför omfattande uppgifter och den informationshanterande näringsidkaren vägrar att tillmötesgå begäran. Vad gäller de registrerades rättigheter enligt artiklarna 28.1, 29.1 och 30.1, säkerställs nämndens tillsyn genom att den ges genomförandebefogenheter med avseende på den informationshanterande näringsidkarens motsvarande skyldigheter enligt dessa artiklar.
                  
               
                     100)
                  
                  
                     Enligt artikel 42.1 i personuppgiftslagen kan nämnden, om den ser ett behov av att skydda den enskildes rättigheter och intressen i fall där en [informationshanterande näringsidkare] har överträtt” vissa bestämmelser i personuppgiftslagen, utfärda en rekommendation om att ”tillfälligt upphäva den verksamhet som lett till överträdelsen eller vidta andra nödvändiga åtgärder för att korrigera överträdelsen”. En sådan rekommendation är inte bindande, men öppnar vägen för en bindande anvisning enligt artikel 42.2 personuppgiftslagen. Om rekommendationen inte följs ”utan legitimt skäl” och nämnden ”inser att en allvarlig överträdelse av den enskildes rättigheter och intressen är nära förestående”, kan den, på grundval av denna bestämmelse, ålägga den informationshanterande näringsidkaren att vidta åtgärder i enlighet med rekommendationen.
                  
               
                     101)
                  
                  
                     Tilläggsreglerna innebär att nämndens genomförandebefogenheter förtydligas och stärks. I fall rörande uppgifter som förs in från Europeiska unionen kommer nämnden särskilt att alltid bedöma en informationshanterande näringsidkares underlåtenhet att vidta åtgärder i enlighet med en rekommendation som, utan legitimt skäl, utfärdats enligt artikel 42.1 i personuppgiftslagen, såsom en överhängande allvarlig överträdelse av den enskildes rättigheter och intressen i den mening som avses i artikel 42.2, och därför som en överträdelse vilken motiverar utfärdandet av en bindande anvisning. Dessutom kommer nämnden som ”legitimt skäl” att inte efterkomma en rekommendation godta en ”händelse av extraordinärt slag [som förhindrar efterlevnad] utanför [den informationshanterande näringsidkarens] kontroll som inte rimligen kan förutses (t.ex. naturkatastrofer)” eller fall där nödvändigheten att vidta åtgärder avseende en rekommendation ”inte längre föreligger därför att den [informationshanterande näringsidkaren] har vidtagit alternativa åtgärder som till fullo avhjälper den överträdelsen”.
                  
               
                     102)
                  
                  
                     Bristande efterlevnad av en anvisning från nämnden betraktas som en straffbar handling enligt artikel 84 i personuppgiftslagen, och en informationshanterande näringsidkare som befinns skyldig kan dömas till fängelse med straffarbete i så mycket som sex månader eller böter om högst 300 000 yen. Enligt artikel 85 i i personuppgiftslagen kan bristande samarbete med nämnden eller hindrande av dess utredning dessutom bestraffas med böter om högst 300 000 yen. Dessa straffrättsliga påföljder gäller utöver dem som kan tillämpas avseende materiella överträdelser av personuppgiftslagen (se skäl 108).
                  
               2.4.2   Rättslig prövning
         
         
                     103)
                  
                  
                     För att säkerställa adekvat skydd, och i synnerhet tillämpningen av individuella rättigheter, bör den registrerade erbjudas möjligheten till faktisk administrativ och rättslig prövning, inbegripet ersättning för skador.
                  
               
                     104)
                  
                  
                     Innan administrativ eller rättslig prövning begärs, eller i stället för en sådan begäran, kan den enskilde välja att inkomma med klagomål om behandlingen av sina personuppgifter till den registeransvarige. På grundval av artikel 35 i personuppgiftslagen ska informationshanterande näringsidkare eftersträva att ta itu med sådana klagomål ”på ett lämpligt och skyndsamt sätt” och inrätta interna system för klagomålshantering och för att uppnå detta mål. Enligt artikel 61 ii i personuppgiftslagen är nämnden dessutom ansvarig för ”den medling som krävs i ett fall av klagomål och det samarbete som erbjuds en näringsidkare som har med klagomålet att göra”, vilket i båda fallen även omfattar klagomål som lämnats in av utlänningar. I detta avseende har den japanska lagstiftaren också anförtrott regeringen uppgiften att vidta ”nödvändiga åtgärder” för att möjliggöra och underlätta för informationshanterande näringsidkare att hantera klagomål (artikel 9), medan lokala myndigheter ska eftersträva att säkerställa medling i fall som dessa (artikel 13). Detta innebär att den enskilde, utöver möjligheten att inkomma med klagomål till Japans nationella centrum för konsumentärenden, kan lämna in sitt klagomål till något av de drygt 1 700 konsumentcentrum som inrättats av lokala myndigheter på grundval av konsumentskyddslagen (61). Sådana klagomål kan också lämnas in med avseende på en överträdelse av personuppgiftslagen. Enligt artikel 19 i den grundläggande konsumentskyddslagen (62), ska lokala myndigheter eftersträva att inleda medling i fall av klagomål och förse parterna med nödvändig sakkunskap. Dessa mekanismer för tvistlösning tycks vara förhållandevis effektiva, med en lösningsgrad på 91,2 % för över 75 000 klagomål under 2015.
                  
               
                     105)
                  
                  
                     Överträdelser av en bestämmelse i personuppgiftslagen begångna av en informationshanterande näringsidkare kan leda till såväl civilrättsliga som straffrättsliga förfaranden och påföljder. Om den enskilde anser att en överträdelse skett mot hans eller hennes rättigheter enligt artiklarna 28, 29 och 30 i personuppgiftslagen, kan vederbörande begära ett föreläggande från domstolen som ålägger den informationshanterande näringsidkaren att tillmötesgå denna begäran enligt någon av dessa bestämmelser, dvs. att lämna ut lagrade personuppgifter (artikel 28), korrigera lagrade personuppgifter som är felaktiga (artikel 29) eller att upphöra med olaglig behandling eller överföring till tredje part (artikel 30). En sådan talan får väckas utan stöd i artikel 709 i civilprocesslagen (63) eller på annat sätt i skadeståndslagstiftningen (64). Detta innebär framför allt att den enskilde inte behöver bevisa att han eller hon lidit skada.
                  
               
                     106)
                  
                  
                     Om en påstådd överträdelse inte avser individuella rättigheter enligt artiklarna 28, 29 och 30, utan allmänna principer för uppgiftsskydd eller den informationshanterande näringsidkarens skyldigheter, kan berörd enskild, för det andra, väcka civilrättslig talan mot näringsidkaren enligt skadeståndbestämmelserna i den japanska civilprocesslagen, särskilt artikel 709. Medan en talan enligt artikel 709, vid sidan av vållande (uppsåt eller oaktsamhet), kräver att skada påvisas enligt artikel 710 i civilprocesslagen, kan en sådan skada vara både materiell och immateriell. Ersättningsbeloppet omfattas inte av någon begränsning.
                  
               
                     107)
                  
                  
                     I fråga om tillgängliga rättsmedel hänvisas det i artikel 709 i den japanska civilprocesslagen till ekonomisk ersättning. I japansk rättspraxis har denna artikel emellertid också tolkats som att den medför rätten att får ett förbudsföreläggande (65). Om den registrerade väcker talan enligt artikel 709 i civilprocesslagen och yrkar att hans/hennes rättigheter eller intressen har skadats genom att svaranden begått en överträdelse mot en bestämmelse i personuppgiftslagen, kan yrkandet, förutom ersättning för skada, omfatta en begäran om förbudsföreläggande, framför allt för att stoppa all otillåten behandling.
                  
               
                     108)
                  
                  
                     Utöver att tillgripa rättsmedel (skadestånd) enligt civilprocesslagen, kan en registrerad, för det tredje, rikta sitt klagomål till en offentlig åklagare eller tjänsteman vid kriminalpolisen med hänvisning till överträdelser av personuppgiftslagen, som kan leda till straffrättsliga påföljder. Kapitel VII i personuppgiftslagen innehåller ett antal straffrättsliga bestämmelser. Den viktigaste överträdelsen (artikel 84) avser en informationshanterande näringsidkare som underlåter att följa nämndens anvisning enligt artikel 42.2 och 3. Om en näringsidkare underlåter att följa en anvisning som utfärdats av nämnden, kan nämndens ordförande (liksom varje statstjänsteman) (66) överlämna ärendet till åklagarmyndigheten eller tjänsteman vid kriminalpolisen och därigenom utlösa ett straffrättsligt förfarande. Påföljden för brott mot en anvisning från nämnden är fängelse med straffarbete i högst sex månader eller böter om högst 300 000 yen. Andra bestämmelser i personuppgiftslagen som föreskriver påföljder i fall av överträdelser av personuppgiftslagen med inverkan på registrerades rättigheter och intressen omfattar artikel 83 i personuppgiftslagen (i fråga om ”tillhandahållande i hemlighet” av en databas med personlig information ”för […] olaglig vinnings skull”) och artikel 88 i i personuppgiftslagen (i fråga om underlåtenhet av tredje part att korrekt underrätta en informationshanterande näringsidkare när denne mottar personuppgifter enligt artikel 26.1 i personuppgiftslagen, framför allt om enskildheterna i den tredje partens eget, tidigare förvärv av sådana uppgifter). Påföljderna för sådana överträdelser av personuppgiftslagen är fängelse i högst ett år eller böter om högst 500 000 yen (artikel 83) eller en administrativ straffavgift om högst 100 000 yen (artikel 88 i). Samtidigt som risken för en straffrättslig påföljd i sig troligen har en starkt avskräckande effekt både på ledningen för det företag som är informationshanterande näringsidkare och personer som hanterar uppgifterna, klargörs det i artikel 87 i personuppgiftslagen att när ett ombud, en anställd eller andra arbetstagare i ett företag har begått en överträdelse enligt artiklarna 83–85 i personuppgiftslagen ”ska aktören straffas och böter som anges i respektive artiklar åläggas nämnda företag”. I detta fall kan både arbetstagaren och företaget åläggas påföljder upp till det högsta beloppet.
                  
               
                     109)
                  
                  
                     Slutligen kan den enskilde också söka rättslig prövning av nämndens åtgärder eller underlåtenhet att vidta åtgärder. I dessa fall erbjuder japansk lagstiftning flera möjligheter till administrativ och rättslig prövning.
                  
               
                     110)
                  
                  
                     Om den enskilde finner att de åtgärder som vidtas av nämnden inte är tillfredsställande, kan vederbörande inkomma med ett administrativt överklagande till förvaltningsdomstolen enligt lagen om administrativa överklaganden (67). Omvänt gäller följande: Om den enskilde anser att nämnden borde ha handlat, men underlåtit att göra så, kan vederbörande enligt artikel 36–3 i nämnda lag begära att nämnden utfärdar ett förordnande eller tillhandahåller administrativa riktlinjer, om den enskilde anser att ”ett förordnande eller administrativa riktlinjer som krävs för att korrigera överträdelsen inte har utfärdats eller införts”.
                  
               
                     111)
                  
                  
                     I fråga om rättslig prövning kan en enskild individ som finner att ett förordnande utfärdat av nämnden inte är tillfredsställande, enligt förvaltningsprocesslagen begära att (68) domstolen ålägger nämnden att vidta ytterligare åtgärder (69). I vissa fall kan domstolen även utfärda en provisorisk anvisning om föreläggande för att förhindra irreparabel skada (70). Vidare kan den enskilde enligt samma lag begära ett återkallande av nämndens beslut (71).
                  
               
                     112)
                  
                  
                     Slutligen kan den enskilde också väcka talan mot nämnden för att få statlig ersättning enligt artikel 1.1 i lagen om gottgörelse i fall där vederbörande har lidit skada till följd av att en anvisning utfärdad av nämnden till en näringsidkare varit rättsstridig eller nämnden inte har utövat sina befogenheter.
                  
               3.   TILLGÅNG TILL OCH ANVÄNDNING AV PERSONUPPGIFTER SOM ÖVERFÖRS FRÅN EUROPEISKA UNIONEN AV MYNDIGHETER I JAPAN
         
         
                     113)
                  
                  
                     Kommissionen har också bedömt begränsningarna och skyddsåtgärderna, inbegripet den japanska lagstiftningens mekanismer för tillsyn och enskild prövning avseende insamling och användning av personuppgifter som av myndigheter överförs till näringsidkare i Japan för att tillvarata allmänintresset, särskilt straffrättsliga ändamål som rör brottsbekämpning och den nationella säkerheten (”statlig tillgång till uppgifter”). Den japanska regeringen har försett kommissionen med officiella framställningar, utfästelser och åtaganden som undertecknats på ministernivå och inom de högsta organen. Dessa ingår i bilaga II till detta beslut.
                  
               3.1   Lagstiftning
         
         
                     114)
                  
                  
                     Statlig tillgång till uppgifter i Japan måste, då det rör sig om myndighetsutövning, ske under fullständig efterlevnad av lagen (legalitetsprincipen). Den japanska konstitutionen innehåller bestämmelser om detta som begränsar och reglerar myndigheters insamling av personuppgifter. Som redan nämnts med avseende på behandlingen av näringsidkarna, har Japans högsta domstol, på grundval av artikel 13 i konstitutionen som bland annat skyddar rätten till frihet, erkänt rätten till personlig integritet och skydd av personuppgifter (72). En viktig aspekt av denna rättighet är friheten att inte utan tillstånd få personlig information utlämnad till en tredje part (73). Detta innebär en rätt till ett faktiskt skydd av personuppgifter mot missbruk och (i synnerhet) olaglig tillgång till sådana uppgifter. Genom konstitutionens artikel 35 tillerkänns den enskilde ett tilläggsskydd i form av hemfridsrätt och säkerhet för dokument och tillhörigheter, som innebär att myndigheter måste begära att ett domstolsbeslut om ”adekvata skäl” (74) utfärdas i samtliga fall av ”husrannsakan och beslag”. I sin dom av den 15 mars 2017 (GPS-målet) klargjorde domstolen att detta beslutskrav alltid gäller när staten gör intrång i (”träder in i”) privatsfären på ett sätt som undertrycker den enskildes vilja, det vill säga i samband med en ”obligatorisk brottsutredning”. Domstolen får fatta ett sådant beslut endast om det grundar sig på en konkret misstanke om brott, dvs. när det föreligger bevisning som tyder på att den person som berörs av utredningen kan anses ha begått ett brott (75). De japanska myndigheterna har följaktligen ingen juridisk befogenhet att med tvångsmedel samla in personlig information i situationer där lagstiftningen ännu inte har överträtts (76), t.ex. för att förhindra ett brott eller andra säkerhetshot (vilket är fallet i samband med utredningar med hänsyn till den nationella säkerheten).
                  
               
                     115)
                  
                  
                     Enligt rättsprincipen ska all insamling av uppgifter som ett led i en brottsutredning ha särskild tillåtelse genom stöd i lagen (vilket återspeglas i exempelvis artikel 197.1 i lagen om rättegångsregler i brottmål avseende obligatorisk insamling av uppgifter för en brottsutredning). Detta krav gäller också för tillgång till elektroniska uppgifter.
                  
               
                     116)
                  
                  
                     Framför allt artikel 21.2 i konstitutionen garanterar sekretessen för alla kommunikationssätt, med begränsningar tillåtna endast genom lagstiftning som tar hänsyn till allmänintresset. Genom artikel 4 i lagen om telekomoperatörer, enligt vilken kommunikationshemligheten som hanteras av en teleoperatör inte får kränkas, genomförs detta sekretesskrav som tvingande lagstiftning. Detta har tolkats som ett förbud mot utlämnande av kommunikationsrelaterad information, såvida inte användarna gett sitt samtycke eller om det grundar sig på ett av de uttryckliga undantagen från straffansvar enligt strafflagen (77).
                  
               
                     117)
                  
                  
                     Konstitutionen garanterar också rätten till domstolsprövning (artikel 32) och rätten att väcka talan mot staten för att pröva om den enskilde har lidit skada genom offentlig tjänstemans olagliga handlande (artikel 17).
                  
               
                     118)
                  
                  
                     Särskilt i fråga om rätten till uppgiftsskydd, fastställs i kapitel III avsnitten 1, 2 och 3 i personuppgiftslagen allmänna principer som omfattar alla sektorer, också den offentliga sektorn. Särskilt i artikel 3 i personuppgiftslagen föreskrivs att all personlig information ska hanteras i enlighet med principen om respekt för den enskildes personlighet. När personuppgifter, även som inslag i elektroniska register, har samlats in (”begärts in”) av en myndighet (78), regleras hanteringen av dem i lagen om skydd av personuppgifter vilka innehas av förvaltningsorgan (nedan kallad lagen om uppgifter hos förvaltningsorgan) (79). Detta omfattar i princip (80) även behandling av personlig information för brottsbekämpning och den nationella säkerheten. I lagen om uppgifter hos förvaltningsorgan föreskrivs bl.a. att en myndighet i) får behålla personlig information endast i den mån som krävs för att den ska kunna fullgöra sina skyldigheter, ii) inte ska använda sådana uppgifter i ett ”oriktigt” syfte eller lämna ut den till en tredje person utan motivering, iii) ska ange syftet och inte ändra detta syfte utöver vad som rimligen kan anses vara relevant för det ursprungliga ändamålet (ändamålsbegränsning), iv) i princip inte ska använda lagrad personlig information eller förse en tredje person med sådana uppgifter för andra ändamål och, om så anses nödvändigt, införa begränsningar av ändamålet eller metoden för tredje parts användning, v) ska eftersträva att säkerställa uppgifternas korrekthet (uppgifternas kvalitet), vi) ska vidta nödvändiga åtgärder för en korrekt förvaltning av uppgifterna och för att förhindra läckor, förlust eller skada (datasäkerhet), och vii) ska eftersträva korrekt och skyndsam behandling av alla klagomål om behandlingen av uppgifterna (81).
                  
               3.2   Japanska myndigheters tillgång till och användning av personuppgifter för brottsbekämpande ändamål
         
         
                     119)
                  
                  
                     Japansk lagstiftning innehåller ett antal begränsningar av tillgången till och användningen av personuppgifter för brottsbekämpande ändamål samt tillsyns- och prövningsmekanismer som innebär tillräckliga skyddsåtgärder för uppgifter för att effektivt skydda mot olaglig påverkan och risker för missbruk.
                  
               3.2.1   Rättslig grund och tillämpliga begränsningar och skyddsåtgärder
         
         
                     120)
                  
                  
                     Enligt det japanska regelverket är insamling av elektroniska uppgifter för brottsbekämpande ändamål tillåten på grundval av ett beslut om husrannsakan (obligatorisk insamling) eller en begäran om frivilligt utlämnande av uppgifter.
                  
               3.2.1.1   Obligatorisk brottsutredning som bygger på domstolsbeslut
         
         
                     121)
                  
                  
                     Såsom framgår av skäl 115, måste insamling av uppgifter som ett led i en brottsutredning vara specifikt godkänd enligt lag och kan endast utföras efter domstolsbeslut om husrannsakan av ”adekvata skäl” (artikel 35 i konstitutionen). I fråga om brottsutredningar, återfinns dessa krav i bestämmelserna i lagen om rättegångsregler i brottmål. Enligt artikel 197.1 i lagen om rättegångsregler i brottmål ”ska tvångsåtgärder inte tillämpas om inte särskilda bestämmelser har fastställts i denna lag”. I fråga om insamling av elektroniska uppgifter är den enda relevanta (82) rättsliga grunden i detta avseende artikel 218 i lagen om rättegångsregler i brottmål (husrannsakan och beslag) och artikel 222.2 i lagen om rättegångsregler i brottmål, enligt vilken tvångsåtgärder för avlyssning av elektronisk kommunikation utan samtycke från endera parten ska vidtas på grundval av andra rättsakter, nämligen lagen om avlyssning i brottsutredningar (nedan kallad lagen om avlyssning). I båda fallen är kravet på husrannsakan tillämpligt.
                  
               
                     122)
                  
                  
                     Enligt artikel 218.1 i lagen om rättegångsregler i brottmål får en allmän åklagare, biträdande åklagare eller en tjänsteman vid kriminalpolisen, om nödvändigt för att utreda ett brott, mer specifikt genomföra husrannsakan eller beslag (också av kundregister) efter ett förhandsbeslut från domstol (83). Ett beslut om husrannsakan ska bland annat innehålla namnet på den misstänkte eller tilltalade, den straffbelagda gärningen (84), det elektromagnetiska register som ska beslagtas och ”plats eller varor” som ska kontrolleras (artikel 219.1 i lagen om rättegångsregler i brottmål).
                  
               
                     123)
                  
                  
                     I fråga om avlyssning av kommunikation medger artikel 3 i lagen om avlyssning sådana åtgärder endast på stränga villkor. Myndigheterna måste särskilt inhämta förhandstillstånd genom ett beslut om husrannsakan, som kan fattas endast för utredning av särskilt allvarliga brott (förtecknade i bilagan till lagen) (85) och när det är ”mycket svårt att identifiera brottslingen eller klargöra situationen/uppgifterna avseende brottet på något annat sätt” (86). Enligt artikel 5 i lagen om avlyssning utfärdas beslutet för en begränsad tid. Dessutom kan domstolen föreskriva ytterligare villkor. I lagen om avlyssning föreskrivs dessutom ett antal ytterligare garantier, t.ex. att det måste finnas vittnen (artiklarna 12 och 20), förbud mot att avlyssna vissa privilegierade yrkesgruppers (t.ex. läkare, advokater) kommunikation (artikel 15), skyldigheten att avbryta avlyssningen om den inte längre är berättigad, även under beslutets giltighetstid (artikel 18), eller det allmänna kravet på att underrätta berörd enskild och medge tillgång till inspelningarna inom trettio dagar efter det att avlyssningen har slutförts (artiklarna 23 och 24).
                  
               
                     124)
                  
                  
                     Med avseende på varje tvångsåtgärd som bygger på domstolsbeslut får endast sådan undersökning gemomföras ”som är nödvändig för att uppnå dess mål” – det vill säga när målen med utredningen inte kan uppnås på annat sätt (artikel 197.1 i lagen om rättegångsregler i brottmål). Även om kriterierna för att bedöma nödvändigheten inte närmare anges i lagstiftningen har Japans högsta domstol fastställt att de domare som utfärdar ett beslut om husrannsakan bör göra en övergripande bedömning med hänsyn till i) överträdelsens allvar och hur den begåtts, ii) värdet och vikten av det underlag som ska beslagtas som bevis, iii) sannolikheten (risken) att bevis kan döljas eller förstöras, och iv) den utsträckning i vilken beslag kan skada berörd enskild (87).
                  
               3.2.1.2   Begäran om frivilligt utlämnande på grundval av ett ”undersökningsformulär”
         
         
                     125)
                  
                  
                     Inom ramen för sin behörighet kan myndigheter också samla in elektroniska uppgifter om ansökningar om frivilligt utlämnande av uppgifter. Detta avser en icke-obligatorisk form av samarbete, i vilken begäran inte är verkställbar (88), vilket därför befriar myndigheterna från skyldigheten att erhålla ett beslut om husrannsakan.
                  
               
                     126)
                  
                  
                     Om en sådan begäran riktar sig till näringsidkare och avser personlig information, måste näringsidkaren efterkomma kraven i personuppgiftslagen. Enligt artikel 23.1 i personuppgiftslagen kan ekonomiska aktörer endast i vissa fall lämna ut personlig information till tredje man utan samtycke från berörd enskild, bl.a. när utlämnandet ”grundar sig på lagar och förordningar (89). På området brottsbekämpning återfinns den rättsliga grunden för sådana förfrågningar i artikel 197.2 i lagen om rättegångsregler i brottmål, enligt vilken ”privata organisationer kan uppmanas att rapportera om frågor som rör undersökningen”. ”Undersökningsformuläret” är tillåtet endast som ett inslag i en brottsutredning och förutsätter alltid en konkret misstanke om ett redan begånget brott (90). Eftersom sådana undersökningar normalt bedrivs av den regionala polismyndigheten, är begränsningarna enligt artikel 2.2 i polislagen (91) tillämpliga. Enligt denna bestämmelse är polisens verksamhet ”strikt begränsad” till fullgörandet av polismyndighetens ansvar och skyldigheter (det vill säga förebyggande, bekämpning och utredning av brott). I fullgörandet av sina skyldigheter ska polisen dessutom agera på ett opartiskt, fördomsfritt och rättvist sätt och får aldrig missbruka sina befogenheter ”på ett sådant sätt att det påverkar de rättigheter och friheter som den enskilde tillförsäkras i Japans konstitution”(vilket, som påpekat, inbegriper rätten till personlig integritet och personuppgiftsskydd) (92).
                  
               
                     127)
                  
                  
                     Med särskilt avseende på artikel 197.2 i lagen om rättegångsregler i brottmål har den nationella polismyndigheten (”NPA”) – i egenskap av ansvarig federal myndighet bland annat i alla frågor som rör kriminalpolisen – utfärdat instruktioner till den regionala polismyndigheten (93) om ”korrekt användning av skriftliga förfrågningar i förundersökningsfrågor”. Enligt denna anmälan måste ansökan göras i ett på förhand fastställt formulär (”Formulär 49” eller det s.k. undersökningsformuläret) (94), som gäller register ”rörande en specifik utredning” och de begärda upplysningarna måste vara ”nödvändiga för den undersökningen”. I varje enskilt fall ska förundersökningsledaren ”med avseende på den enskilda utredningen grundligt undersöka behovet av den, dess innehåll osv.” och få ett internt godkännande från en högt uppsatt tjänsteman.
                  
               
                     128)
                  
                  
                     I två domar från 1969 och 2008 (95) har Japans högsta domstol fastställt begränsningar i fråga om icke-obligatoriska åtgärder som påverkar rätten till personlig integritet (96). Domstolen anser särskilt att sådana åtgärder måste vara ”rimliga” och ligga inom ”allmänt godtagbara gränser”, det vill säga att de måste vara nödvändiga för undersökningen av en misstänkt (insamling av bevis) och vidtagna ”med lämpliga metoder för att uppnå undersökningens syfte.” (97) Av domen framgår att detta inbegriper ett proportionalitetstest avseende alla omständigheter i fallet (t.ex. omfattningen av påverkan på rätten till personlig integritet, inbegripet rätten till personlig integritet, brottets svårighetsgrad, sannolikheten att finna användbar bevisning, bevisningens vikt, möjliga alternativa undersökningsverktyg, osv.) (98).
                  
               
                     129)
                  
                  
                     Bortsett från dessa begränsningar i fråga om utövandet av offentlig makt, förväntas näringsidkarna själva kontrollera (”bekräfta”) att överföringen till tredje part är nödvändig och ”rationell” (99). Detta inbegriper frågan om huruvida de enligt lag är förhindrade att samarbeta. Sådana motstridiga rättsliga skyldigheter kan i synnerhet följa av tystnadsplikten, såsom artikel 134 i lagen om rättegångsregler i brottmål (om förhållandet mellan läkare, präst osv. och vederbörandes klient). Dessutom ska ”varje person som bedriver telekomverksamhet, i sin tjänsteutövning, bevara andras hemligheter som har kommit till vederbörandes kännedom avseende kommunikation som hanteras av telekomoperatören” (artikel 4.2 i lagen om telekomverksamhet). Denna skyldighet underbyggs av den påföljd som föreskrivs i artikel 179 i lagen om telekomverksamhet, enligt vilken varje person som brutit mot den kommunikationshemlighet som hanteras av teleoperatörer gör sig skyldig till ett brott och döms till fängelse med straffarbete i upp till två år eller till böter om högst en miljon yen (100). Även om detta krav inte är absolut och i synnerhet medger åtgärder som kränker kommunikationshemligheten vilka utgör ”rättmätiga handlingar” i den mening som avses i artikel 35 i strafflagen, gäller detta undantag inte svaret på en icke-obligatorisk begäran från myndigheter avseende utlämnandet av elektroniska uppgifter enligt artikel 197.2 i lagen om rättegångsregler i brottmål (101).
                  
               3.2.1.3   Vidare användning av de insamlade uppgifterna
         
         
                     130)
                  
                  
                     När japanska myndigheter samlar in uppgifter faller personlig information inom tillämpningsområdet för lagen om skydd av personuppgifter, vilka innehas av förvaltningsorgan. I lagen regleras hanteringen (behandlingen) av ”lagrad personlig information”, och såtillvida föreskrivs ett antal begränsningar och skyddsåtgärder (se skäl 118) (102). Det faktum att ett förvaltningsorgan får lagra personlig information ”endast när så krävs för att sköta ärenden inom dess jurisdiktion i enlighet med lagar och andra författningar” (artikel 3.1 i lagen om uppgifter hos förvaltningsorgan) innebär också begränsningar – åtminstone indirekt – i samband med den inledande insamlingen.
                  
               3.2.2   Oberoende tillsyn
         
         
                     131)
                  
                  
                     I Japan ligger insamling av elektroniska uppgifter i samband med brottmål främst (103) inom den regionala polismyndighetens ansvarsområde (104), och är i detta avseende föremål för olika nivåer av tillsyn.
                  
               
                     132)
                  
                  
                     I samtliga fall där elektroniska uppgifter samlas in med tvångsmedel (husrannsakan och beslag) måste polisen för det första inhämta ett förhandsbeslut om husrannsakan från domstolen (se skäl 121). Insamlingen i dessa fall kommer därför att förhandskontrolleras av en domare, utifrån en strikt standard för ”adekvata skäl”.
                  
               
                     133)
                  
                  
                     Även om det inte gjorts någon förhandskontroll i domstol av en begäran om frivilligt utlämnande av uppgifter, kan en näringsidkare som mottagit en begäran invända mot den utan risk för negativa följder (och måste beakta hur varje utlämnande påverkar den personliga integriteten). Vidare ska polistjänstemän enligt artikel 192.1 i lagen om rättegångsregler i brottmål alltid samarbeta och samordna sina insatser med den allmänna åklagaren (och den regionala nämnden för den offentliga säkerheten) (105). Åklagaren kan i sin tur ge de nödvändiga allmänna instruktioner som anger normer för en rättvis utredning och/eller utfärda särskilda instruktioner i fråga om en enskild utredning (artikel 193 i lagen om rättegångsregler i brottmål). Om sådana instruktioner eller anvisningar inte efterkoms, kan åklagaren väcka åtal om disciplinära åtgärder (artikel 194 i lagen om rättegångsregler i brottmål). Därför står den regionala polismyndigheten under allmän åklagares tillsyn.
                  
               
                     134)
                  
                  
                     Enligt artikel 62 i konstitutionen får båda kamrarna i det japanska parlamentet genomföra utredningar rörande staten, bl.a. för att avgöra om polisens insamling av uppgifter är lagenlig. För detta ändamål kan parlamentet kräva inställelse och vittnesmål och/eller tillhandahålande av register. Dessa befogenheter specificeras närmare i parlamentslagen, särskilt kapitel XII. Särskilt i artikel 104 i parlamentslagen föreskrivs det att regeringen, offentliga organ och andra delar av statsförvaltningen ”måste efterkomma parlamentets eller något av utskottens krav om tillhandahållande av rapporter och register som behöver tas i beaktande i en utredning”. Vägran att efterkomma kravet tillåts endast om regeringen kan lägga fram en trolig förklaring som parlamentet anser godtagbar, eller efter utfärdande av en formell förklaring om att tillhandahållandet av rapporterna eller registren skulle vara ”mycket skadligt för nationens intresse” (106). Dessutom kan japanska parlamentsledamöter ställa skriftliga frågor till regeringen (artiklarna 74 och 75 i parlamentslagen), och tidigare har sådana skriftliga förfrågningar ”också rört förvaltningens hantering av personlig information (107). Det japanska parlamentets roll i överinsynen över regeringen stöds av rapporteringsskyldigheter, till exempel enligt artikel 29 i lagen om avlyssning.
                  
               
                     135)
                  
                  
                     Också inom den verkställande makten är den regionala polismyndigheten, för det tredje, föremål för oberoende tillsyn. Detta inbegriper särskilt de regionala nämnderna för den offentliga säkerheten, som ska säkerställa demokratisk förvaltning och politisk neutralitet inom polisen på regional nivå (108). Dessa nämnder är sammansatta av ledamöter som utses av regionguvernören med regionalförsamlingens samtycke (bland medborgare som inte varit anställda som tjänstemän inom polisen under de närmast föregående fem åren) och har en fast mandatperiod (med möjlighet till avsättning endast av goda skäl) (109). Enligt inkomna uppgifter är nämnderna inte underkastade några instruktioner och kan således anses vara helt oberoende (110). Vad gäller de regionala nämnderna för den offentliga säkerheten, är de, enligt artikel 38.3 jämförd med artiklarna 2 och 36.2 i polislagen, ansvariga för ”skyddet av den enskildes fri- och rättigheter”. Därför har de befogenhet att ”utöva tillsyn av” (111) all utredningsverksamhet inom den regionala polismyndigheten, också insamling av personuppgifter. I synnerhet får nämnderna ”om nödvändigt” detaljstyra ”den regionala polisen eller en viss enskild undersökning av ett tjänstefel som begåtts av en polistjänsteman.” (112) När regionpolischefen (113) får en sådan anvisning eller själv får vetskap om ett fall av möjligt tjänstefel (t. ex. överträdelse av lagar eller annan tjänsteförsummelse), ska vederbörande omgående undersöka fallet och rapportera resultatet till den regionala nämnden för den offentliga säkerheten (artikel 56.3 i polislagen). Om kommissionen anser det nödvändigt, kan den också utse en av sina ledamöter att se över genomförandet. Förfarandet fortsätter tills den regionala nämnden för den offentliga säkerheten anser att tillbudet har åtgärdats på lämpligt sätt.
                  
               
                     136)
                  
                  
                     Med avseende på den korrekta tillämpningen av lagen om skydd av personuppgifter, vilka innehas av förvaltningsorgan, har den behöriga ministern (dvs. generalintendenten för den nationella polismyndigheten) dessutom genomförandebefogenheter, under överinsyn av inrikes- och kommunikationsministeriet. Enligt artikel 49 i lagen om uppgifter hos förvaltningsorgan får inrikes- och kommunikationsministeriet ”samla in rapporter om efterlevnaden av lagen” från förvaltningsorganens chefer (ministern). Utöver detta stöd denna tillsynsfunktion med material från inrikes- och kommunikationsministeriets 51 ”centrum för övergripande information” (ett i varje japanskt län), vilka årligen handlägger tusentals förfrågningar från enskilda (114) (vilket i sin tur kan avslöja eventuella överträdelser av lagen). Om ministeriet anser detta vara nödvändigt för att säkerställa efterlevnaden av lagen, kan inrikes- och kommunikationsministeriet begära in förklaringar och underlag samt avge yttranden om förvaltningsorganets hantering av personlig information (artiklarna 50 och 51 i lagen om uppgifter hos förvaltningsorgan).
                  
               3.2.3   Rättslig prövning för enskilda
         
         
                     137)
                  
                  
                     Utöver myndigheternas tillsynsarbete finns också flera möjligheter för den enskilde att få enskild prövning, både genom oberoende myndigheter (t.ex. den regionala nämnden för den offentliga säkerheten eller nämnden) och japanska domstolar.
                  
               
                     138)
                  
                  
                     Vad gäller den personliga information som samlas in av förvaltningsorgan, är dessa organ för det första skyldiga att ”eftersträva att korrekt och skyndsamt handlägga eventuella klagomål” avseende sin efterföljande behandling av uppgifterna (artikel 48 i lagen om uppgifter hos förvaltningsorgan). Medan kapitel IV i lagen om uppgifter hos förvaltningsorgan i fråga om individuella rättigheter inte är tillämpligt på personlig information som är registrerad i ”handlingar som rör rättslig prövning och beslagtagna varor” (artikel 53–2.2 i lagen om rättegångsregler i brottmål) – vilket även omfattar personlig information som samlats in som ett led i en brottsutredning – kan enskilda väcka talan för att åberopa allmänna principer för uppgiftsskydd, såsom exempelvis skyldigheten att inte lagra personlig information annat än ”när så är nödvändigt för att utföra [brottsbekämpande uppgifter]” (artikel 3.1 i lagen om uppgifter hos förvaltningsorgan).
                  
               
                     139)
                  
                  
                     I artikel 79 i polislagen tillförsäkras dessutom enskilda som hyser farhågor avseende polistjänstemäns ”fullgörande av sina skyldigheteter” rätten att inkomma med klagomål till den (behöriga) oberoende regionala nämnden för den offentliga säkerheten. Nämnden kommer ”noggrant” att handlägga sådana klagomål i enlighet med lagar och lokala stadgor och ska skriftligen underrätta klaganden om resultatet. På grundval av sin befogenhet att utöva tillsyn och ”styra” den regionala polismyndigheten med avseende på ”anställdas tjänstefel” (artiklarna 38.3, 43–2.1 i polislagen) får den uppmana den regionala polismyndigheten att utreda fakta, vidta lämpliga åtgärder på grundval av resultatet av denna utredning och rapportera om resultaten. Om den anser att den utredning som genomförts av polisen inte varit adekvat, kan nämnden också ge instruktioner om handläggningen av klagomålet.
                  
               
                     140)
                  
                  
                     För att underlätta handläggningen av klagomål har den nationella polismyndigheten utfärdat ett meddelande till polisen och de regionala nämnderna för den offentliga säkerheten rörande korrekt handläggning av klagomål som rör polistjänstemäns fullgörande av sina skyldigheter. I detta dokument fastställs standarder för den nationella polismyndigheten om tolkningen och tillämpningen av artikel 79 i polislagen. Bland annat åläggs den regionala polismyndigheten att inrätta ett ”system för handläggning av klagomål” och ”omgående” handläggning och rapportering av samtliga klagomål till den behöriga regionala nämnden för den offentliga säkerheten. I meddelandet definieras klagomål som yrkanden om korrigering ”för specifika nackdelar som åsamkats någon till följd av ett olagligt eller olämpligt beteende” (115) eller ”polismans underlåtenhet att vidta en nödvändig åtgärd i tjänsteutövandet” (116) samt ”klagomål/missnöje med avseende på olämpligheter i polismans tjänsteutövande.” Ett klagomåls materiella tillämpningsområde har således en vid definition som omfattar påståenden om olaglig insamling av uppgifter, och den klagande behöver inte påvisa skada som lidits till följd av en polismans agerande. Det är viktigt att notera att utlänningar (bland andra) enligt meddelandet ska erbjudas hjälp med att formulera ett klagomål. Efter ett klagomål uppmanas de regionala nämnderna för den offentliga säkerheten uppmanas säkerställa att den regionala polismyndigheten prövar sakförhållandena, vidtar åtgärder ”enligt undersökningsresultatet” och avlägger rapport om resultaten. Om nämnden anser att undersökningen är otillräcklig ska den utfärda en instruktion om handläggningen av klagomålet, som regionpolisen är ålagd att följa. På grundval av de rapporter som inkommit, och de åtgärder som vidtagits, ska nämnden underrätta den enskilde och bland annat uppge vilka åtgärder som vidtagits för att hantera klagomålet. I meddelandet från den nationella polismyndigheten framhålls att klagomålen ska handläggas ”seriöst” och att resultatet bör anmälas ”inom den tidsram […] som anses lämplig enligt sociala normer och det sunda förnuftet”.
                  
               
                     141)
                  
                  
                     Eftersom prövningen, för det andra, av naturliga skäl måste göras utomlands i ett utländskt system och på ett främmande språk, har japanska staten, i syfte att underlätta rättslig prövning för enskilda i EU vars personuppgifter överförs till näringsidkare i Japan och därför också ger myndigheter tillgång till dem, utnyttjat sina befogenheter att skapa en särskild mekanism, förvaltad och kontrollerad av nämnden för att handlägga och åtgärda klagomål på detta område. Denna mekanism bygger på den samarbetsskyldighet som åligger japanska myndigheter enligt personuppgiftslagen och nämndens särskilda roll med avseende på internationell överföring av personuppgifter från tredjeländer enligt artikel 6 i personuppgiftslagen och den grundläggande strategin (på det sätt som den japanska regeringen beslutat). Enskildheterna i denna mekanism fastställs i den officiella framställningarna, utfästelserna och åtagandena från den japanska regeringen som åtföljer detta beslut som bilaga II. Mekanismen är inte föremål för något permanent krav och är öppen för alla enskilda, oberoende av om vederbörande är misstänkt eller tilltalad för ett brott.
                  
               
                     142)
                  
                  
                     Enligt mekanismen kan en enskild som misstänker att hans/hennes uppgifter som överförts från Europeiska unionen har samlats in eller använts av japanska myndigheter (även de som är ansvariga för brottsbekämpning) i strid med tillämpliga regler inkomma med klagomål till nämnden (personligen eller genom sin dataskyddsmyndighet i den mening som avses i artikel 51 i allmänna dataskyddsförordningen). Nämnden kommer att vara skyldig att handlägga klagomålet och i ett första steg underrätta behöriga myndigheter, däribland berörda tillsynsorgan, om detta. Dessa myndigheter är skyldiga att samarbeta med nämnden, ”också genom att tillhandahålla nödvändiga uppgifter och relevant material, så att nämnden kan bedöma om insamlingen eller den efterföljande användningen av personlig information har skett i överensstämmelse med tillämpliga regler.” (117) Denna skyldighet, som hänför sig till artikel 80 i personuppgiftslagen (som ålägger japanska myndigheter att samarbeta med nämnden), är generellt tillämpligt och omfattar därför översyn av alla undersökningsåtgärder som vidtas av dessa myndigheter. Dessa har dessutom förbundit sig till sådant samarbete genom skriftliga utfästelser från behöriga ministerier och myndighetschefer, vilket återspeglas i bilaga II.
                  
               
                     143)
                  
                  
                     Om utvärderingen visar att en överträdelse av de tillämpliga reglerna har begåtts, ”omfattar de berörda myndigheternas samarbete med nämnden skyldigheten att avhjälpa överträdelsen”, vilken i fall av olaglig insamling av personlig information omfattar radering av sådana uppgifter. Det bör framhållas att denna skyldighet fullgörs under överinseende av nämnden som ”innan utvärderingen avslutas, kommer att bekräfta att överträdelsen till fullo har avhjälpts.”
                  
               
                     144)
                  
                  
                     Efter avslutad utvärdering ska nämnden inom rimlig tid meddela den enskilde om resultatet av utvärderingen och eventuella korrigerande åtgärder som vidtagits. Samtidigt ska nämnden också underrätta den enskilde om möjligheten att från den behöriga myndigheten begära en bekräftelse av resultatet och ange till vilken myndighet en sådan begäran om bekräftelse bör ställas. Möjligheten att få en sådan bekräftelse, samt de skäl som ligger till grund för den behöriga myndighetens beslut, kan vara till hjälp för den enskilde när ytterligare åtgärder vidtas, inbegripet när en begäran om rättslig prövning lämnas in. Utförliga uppgifter om resultatet av utvärderingen kan begränsas, så länge det på rimlig grund kan antas att förmedlingen av sådana uppgifter skulle utgöra en risk för den pågående undersökningen.
                  
               
                     145)
                  
                  
                     En enskild som bestrider ett beslut om beslag (husrannsakan) (118) av sina personuppgifter genom domstolsbeslut, eller genom åtgärder av polisen eller den åklagare som genomför ett sådant beslut, kan för det tredje inkomma med en begäran om att detta beslut eller sådana åtgärder ska hävas eller ändras (artiklarna 429.1, 430.1 och 2 i lagen om rättegångsregler i brottmål, artikel 26 i lagen om avlyssning) (119). Om den granskande domstolen anser att antingen husrannsakan i sig eller dess genomförande (”förfarande för beslag”) är olaglig, kommer den att bevilja begäran och besluta om att de beslagtagna varorna ska återlämnas (120).
                  
               
                     146)
                  
                  
                     Som en mer indirekt form av rättslig kontroll kan en enskild som anser att insamlingen av personlig information om honom eller henne som ett led i en brottsutredning varit olaglig, för det fjärde, åberopa denna rättsstridighet i samband med sin rättegång i brottmål. Om domstolen instämmer, kommer detta att leda till bevisningen utesluts om den är otillåten.
                  
               
                     147)
                  
                  
                     Enligt artikel 1.1 i lagen om rättslig prövning mot staten kan en domstol slutligen bevilja skadestånd när en tjänsteman som utövar statens (eller ett offentligt organs) befogenheter, i fullgörandet av sina skyldigheter, rättsstridigt och felaktigt (uppsåtligen eller genom försumlighet) har vållat den berörda individen skada. Enligt artikel 4 i lagen om rättslig prövning mot staten grundar sig statens skadeståndsansvar på bestämmelserna i civilprocesslagen. I artikel 710 i civilprocesslagen fastslås i detta avseende att ansvarigheten även omfattar andra skador än egendomsskador, och därför även moralisk skada (t.ex. ”psykiskt lidande”). Detta inbegriper fall i vilka intrång gjorts i en enskilds personliga integritet genom olaglig övervakning och/eller insamling av vederbörandes personliga information (t.ex. olaglig verkställighet av ett beslut om husrannsakan) (121).
                  
               
                     148)
                  
                  
                     Utöver ekonomisk ersättning kan den enskilde under vissa förutsättningar också få igenom ett förbudsföreläggande (t.ex. radering av personuppgifter som samlats in av myndigheter) på grundval av sin rätt till personlig integritet enligt artikel 13 i konstitutionen (122).
                  
               
                     149)
                  
                  
                     Vad gäller dessa möjligheter till prövning, föreskriver den tvistelösningsmekanism som inrättats av japanska staten, att om den enskilde alltjämt är missnöjd med resultatet av förfarandet, kan vederbörande vända sig till nämnden ”som ska underrätta den enskilde om de olika möjligheter och förfaranden för överklagande som finns enligt japanska lagar och andra författningar.” Dessutom kommer nämnden att ”erbjuda den enskilde stöd, inbegripet rådgivning och assistans när det gäller att ta ytterligare åtgärder till berört administrativt eller juridiskt organ.”
                  
               
                     150)
                  
                  
                     Detta inbegriper utnyttjande av de processuella rättigheterna enligt lagen om rättegångsregler i brottmål. ”[O]m det av utvärderingen” till exempel ”framgår att en enskild är misstänkt i ett brottmål, kommer nämnden att underrätta vederbörande om detta” (123) samt om möjligheten att enligt artikel 259 i lagen om rättegångsregler i brottmål begära att åtalet ska meddelas, när nämnden har beslutat att inte inleda straffrättsliga förfaranden. Om utvärderingen visar att ett ärende som inbegriper personlig information om den enskilde har öppnats och att det avslutas, kommer nämnden också att underrätta den enskilde om att protokollet i ärendet kan läsas enligt artikel 53 i lagen om rättegångsregler i brottmål (och artikel 4 i lagen om slutprotokoll i brottmålsärenden). Det är viktigt att den enskilde får tillgång till sin dossier i ärendet, eftersom vederbörande då bättre kan förstå den utredning som gjorts av honom/henne, vilket underlättar förberedelserna av en eventuell talan i domstol (t.ex. skadeståndstalan) för det fall att vederbörande anser att personuppgifterna samlats in eller använts olagligt.
                  
               3.3   Japanska myndigheters tillgång till och användning av personuppgifter med hänvisning till den nationella säkerheten
         
         
                     151)
                  
                  
                     Enligt de japanska myndigheterna saknar Japan lagstiftning som medger obligatorisk begäran om information eller ”administrativ avlyssning” utanför brottsutredningarnas ram. Med hänvisning till den nationella säkerheten får information alltså endast hämtas från en uppgiftskälla som är fritt tillgänglig för alla eller genom frivilligt utlämnande. Näringsidkare som tar emot en begäran om frivilligt samarbete (i form av utlämnande av elektroniska uppgifter) omfattas inte av någon rättslig skyldighet att tillhandahålla sådana uppgifter (124).
                  
               
                     152)
                  
                  
                     Enligt den information som inkommit har dessutom endast fyra offentliga organ befogenhet att samla in elektronisk information som innehas av japanska näringsidkare med hänvisning till den nationella säkerheten, nämligen: i) regeringens underrättelse- och inhämtningstjänst, ii) försvarsministeriet, iii) polisen (både den nationella polismyndigheten och den regionala polismyndigheten) (125) och iv) underrättelsetjänsten för den allmänna säkerheten. Regeringens underrättelse- och inhämtningstjänst samlar dock aldrig in information direkt från näringsidkare, inte heller genom avlyssning av kommunikation. Om den tar emot information från andra statliga myndigheter för att förse regeringen med analyser, måste dessa andra myndigheter i sin tur måste följa lagen, inbegripet de begränsningar och säkerhetsåtgärder som analyseras i detta beslut. Dess verksamhet är alltså inte relevant i samband med en överföring.
                  
               3.3.1   Rättslig grund och tillämpliga begränsningar och skyddsåtgärder
         
         
                     153)
                  
                  
                     Enligt inkomna uppgifter samlar försvarsministeriet in (elektroniska) uppgifter på grundval av lagen om inrättande av ett försvarsministerium. Enligt artikel 3 i denna lag har försvarsministeriet till uppgift att förvalta och leda de militära styrkorna och ”att sköta ärenden i förhållande till detta för att säkerställa nationell fred och oavhängighet, samt nationens särkerhet”. I artikel 4.4 föreskrivs det att försvarsministeriet ska ha behörighet att sköta såväl ”försvar och övervakning” av de åtgärder som ska vidtas av försvarsstyrkorna som utplaceringen av militära styrkor, inbegripet insamling av erforderlig information för att sköta sådana ärenden. Ministeriet har endast genom frivilligt samarbete behörighet att samla in (elektronisk) information från näringsidkare.
                  
               
                     154)
                  
                  
                     Vad gäller den regionala polismyndigheten, omfattar dess ansvarsuppgifter och skyldigheter ”upprätthållandet av allmän ordning och säkerhet” (artikel 35.2 jämförd med artikel 2.1 i polislagen). Inom ramen för denna behörighet får polisen samla in uppgifter, men endast på frivillig grund utan rättslig verkan. Dessutom ska polisens verksamhet vara ”strikt begränsad” till vad som är nödvändigt för att utföra dess uppgifter. Dessutom ska polisens verksamhet vara ”strikt begränsad” till vad som är nödvändigt för att den ska kunna fullgöra sina skyldigheter, den ska agera ”opartiskt, utan bindningar, fördomsfritt och rättvist” och aldrig missbruka sina befogenheter ”på ett sådant sätt att det påverkar de fri- och rättigheter som den enskilde tillförsäkras i Japans konstitution” (artikel 2 i polislagen).
                  
               
                     155)
                  
                  
                     Slutligen kan underrättelsetjänsten för den allmänna säkerheten (nedan kallad underrättelsetjänsten) genomföra utredningar enligt lagen om förebyggande av samhällsomstörtande verksamhet (nedan kallad lagen om samhällsomstörtande verksamhet) och lagen om kontroll av organisationer som begått urskillningslösa massmord (nedan kallad lagen om urskillningslösa massmord), om sådana undersökningar är nödvändiga för att förbereda kontroll av vissa organisationer (126). Båda lagarna medger att underrättelsetjänsten/undersökningskommissionen för den allmänna säkerheten, på uppmaning av generaldirektören för underrättelsetjänsten, utfärdar vissa ”förordnanden” (övervakning/förbud vad gäller lagen om urskillningslösa massmord (127)/förbud när det gäller lagen om samhällsomstörtande verksamhet (128)) och i detta sammanhang kan underrättelsetjänsten/polisen genomföra utredningar (129). Enligt inkomna uppgifter genomförs dessa utredningar alltid på frivillig grund, vilket innebär att underrättelsetjänsten inte får tvinga en ägare av personlig information att tillhandahålla sådan information (130). Varje gång som kontroller och undersökningar genomförs får det inte ske i större omfattning än vad som absolut är nödvändigt för att uppnå ändamålet med kontrollen och får inte under några omständigheter göras på ett sätt som ”utan skäl” begränsar de friheter och rättigheter som garanteras enligt Japans konstitution (artikel 3.1 i lagen om samhällsomstörtande verksamhet/lagen om urskillningslösa massmord). Enligt artikel 3.2 i lagen om samhällsomstörtande verksamhet/lagen om urskillningslösa massmord får underrättelsetjänsten under inga omständigheter missbruka sådana kontroller eller utredningar för att förbereda sådana kontroller. Om en tjänsteman vid säkerhetspolisen har missbrukat sin behörighet enligt respektive lag genom att tvinga någon till att göra något som vederbörande inte är skyldig att göra, eller genom att påverka en persons rättigheter, kan vederbörande bli föremål för straffrättsliga påföljder i enlighet med artikel 45 i lagen om samhällsomstörtande verksamhet eller artikel 42 i lagen om urskillningslösa massmord. Slutligen föreskriver båda dessa lagar uttryckligen att bestämmelserna, inbegripet de befogenheter som beviljas genom dem, ”inte under några omständigheter får bli föremål för en utökad tolkning” (artikel 2 i lagen om samhällsomstörtande verksamhet/lagen om urskillningslösa massmord).
                  
               
                     156)
                  
                  
                     I samtliga fall av statliga myndigheters tillgång till uppgifter med hänvisning till den nationella säkerheten, vilka beskrivs i detta avsnitt, är de begränsningar för frivilliga utredningar som anges av Japans högsta domstol tillämpliga, vilket innebär att insamlingen av (elektronisk) information måste överensstämma med principerna om nödvändighet och proportionalitet (”lämplig metod”) (131). Såsom uttryckligen bekräftats av de japanska myndigheterna, ”sker insamlingen och bearbetningen av information endast i den mån som krävs för att den behöriga myndigheten ska kunna utföra specifika uppgifter samt agera på grundval av specifika hot. Därför är ”massinsamling och urskillningslös insamling eller tillgång till personuppgifter av nationella säkerhetsskäl uteslutet” (132).
                  
               
                     157)
                  
                  
                     När den personliga informationen väl samlats in, kommer all information som lagras av myndigheterna med hänvisning till den nationella säkerheten också att falla under och därmed omfattas av skyddet enligt lagen om uppgifter hos förvaltningsorgan i fråga om efterföljande lagring, användning och utlämnande av denna information (se skäl 118).
                  
               3.3.2   Oberoende tillsyn
         
         
                     158)
                  
                  
                     Insamlingen av personlig information med hänvisning till den nationella säkerheten omfattas av flera skikt av tillsyn från de tre statsmakterna.
                  
               
                     159)
                  
                  
                     För det första kan det japanska parlamentet genom sina fackutskott granska utredningarnas laglighet på grundval av sina befogenheter att utöva parlamentarisk kontroll (artikel 62 i konstitutionen, artikel 104 i parlamentslagen, se skäl 134). Denna tillsynsfunktion stöds genom särskilda rapporteringskrav för verksamhet som bedrivs enligt vissa av de ovannämnda rättsliga grunderna (133).
                  
               
                     160)
                  
                  
                     Dessutom har regeringen flera tillsynsmekanismer att tillgå.
                  
               
                     161)
                  
                  
                     Vad gäller försvarsministeriet, utövas tillsynen av generalinspektörens byrå för efterlevnad av lagen (134) som inrättats på grundval av artikel 29 i lagen om inrättande av ett försvarsministerium som en byrå inom ministeriet under överinseende av försvarsministerns kansli (till vilket byrån avlägger rapport) men oberoende av ministeriets operativa avdelningar. Byrån ska säkerställa efterlevnaden av lagar och förordningar samt att försvarsministeriets tjänstemän fullgör sina skyldigheter på ett korrekt sätt. Bland annat har byrån befogenhet att genomföra s.k. ”försvarsinspektioner”, både regelbundet återkommande inspektioner (”återkommande försvarsinspektioner”) och i enskilda fall (”särskilda försvarsinspektioner”), som tidigare även omfattat korrekt handläggning av personlig information (135). I samband med sådana inspektioner har byrån för rättslig efterlevnad rätt att beträda arbetsplatser (kontor) och begära in handlingar eller uppgifter, även förklaringar av den biträdande vice försvarsministern. Inspektionen avslutas med en rapport till försvarsministern om resultaten och förbättringsåtgärder (vars genomförande kan kontrolleras genom ytterligare inspektioner). Rapporten ligger i sin tur till grund för instruktioner från försvarsministeriet om att genomföra nödvändiga åtgärder för att hantera situationen. Den biträdande vice ministern ansvarar för genomförandet av sådana åtgärder och rapporteringen om uppföljningen.
                  
               
                     162)
                  
                  
                     Vad gäller den regionala polismyndigheten, säkerställs tillsynen av de oberoende regionala nämnderna för den offentliga säkerheten, vilket framgår av skäl 135 med avseende på brottsbekämpning.
                  
               
                     163)
                  
                  
                     Slutligen får underrättelsetjänsten, som tidigare nämnts, endast genomföra utredningar i den mån så är nödvändigt med avseende på beslut om ett förbud, upplösande eller övervakning enligt lagen om samhällsomstörtande verksamhet/lagen om urskillningslösa massmord, och för dessa bestämmelser genomför den oberoende (136) undersökningskommissionen för den allmänna säkerheten en förhandstillsyn. Regelbundna/återkommande inspektioner (som på ett övergripande sätt undersöker underrättelsetjänstens verksamhet) (137) och särskilda interna inspektioner (138) med avseende på enskilda avdelningar/kontor osv. utförs dessutom av särskilt utsedda inspektörer och kan leda till instruktioner till cheferna för berörda enheter osv. att vidta korrigerings- eller förbättringsåtgärder.
                  
               
                     164)
                  
                  
                     Dessa tillsynsmekanismer, som ytterligare förstärks genom den enskildes möjlighet att få nämnden att ingripa som oberoende tillsynsmyndighet (se skäl 168 nedan), ger adekvata garantier avseende risken att de japanska myndigheterna skulle missbruka sina befogenheter på området nationell säkerhet och mot all otillåten insamling av elektroniska uppgifter.
                  
               3.3.3   Rättslig prövning för enskilda
         
         
                     165)
                  
                  
                     I fråga om enskild prövning med avseende på personlig information som samlats in och därmed ”lagras” av förvaltningsorgan, är dessa organ skyldiga att ”eftersträva att korrekt och skyndsamt handlägga eventuella klagomål” som avser behandlingen (artikel 48 i lagen om uppgifter hos förvaltningsorgan).
                  
               
                     166)
                  
                  
                     Annorlunda än vid brottsutredningar har den enskilde (även utländsk medborgare som bor utomlands) i princip också rätt till utlämnande (139), korrigering (inbegripet radering) och tillfälligt upphävande av användning/tillhandahållande enligt lagen om uppgifter hos förvaltningsorgan. Med detta sagt kan förvaltningsorganets chef vägra utlämnande av information, ”för vilken det finns rimliga skäl att […] anse att utlämnande sannolikt skulle skada den nationella säkerheten” (artikel 14 iv i lagen om uppgifter hos förvaltningsorgan) och kan även göra så utan att röja förekomsten av sådana uppgifter (artikel 17 i samma lag). Eftersom den enskilde kan begära upphävande av användningen eller radering enligt artikel 36.1 i lagen om uppgifter hos förvaltningsorgan i fall där förvaltningsorganet har erhållit uppgifterna på olaglig väg eller lagrar/använder dem utöver vad som är nödvändigt för att uppnå det angivna syftet, får myndigheten på liknande sätt avslå begäran, för det fall den anser att ett tillfälligt upphävande av användningen ”troligen kommer att hindra ett korrekt genomförande av de ärenden som rör ändamålet med användningen av den lagrade personliga informationen på grund av de berörda ärendenas natur” (artikel 38 i lagen om uppgifter hos förvaltningsorgan). I fall där det är möjligt att enkelt separera och utesluta delar som omfattas av ett undantag är förvaltningsorgan skyldiga att bevilja åtminstone ett partiellt utlämnande (se t.ex. artikel 15.1 i lagen om uppgifter hos förvaltningsorgan) (140).
                  
               
                     167)
                  
                  
                     Under alla omständigheter måste förvaltningsorganen fatta ett skriftligt beslut inom en viss tidsfrist (30 dagar, vilken under vissa omständigheter kan förlängas med ytterligare 30 dagar). Om begäran avslås, endast delvis beviljas eller om den enskilde av andra skäl håller det förvaltningsorganets genomförande för ”olagligt eller orättvist”, får den fysiska personen begära omprövning enligt lagen om administrativa klagomål (141). I ett sådant fall ska chefen för det förvaltningsorgan som beslutar om överklagandet samråda med styrelsen för översyn av utlämnande av uppgifter och skydd av personuppgifter (artiklarna 42 och 43 i lagen om uppgifter hos förvaltningsorgan), som är en specialiserad oberoende styrelse, vars ledamöter utses av premiärministern med samtycke av båda kamrarna i det japanska parlamentet. Enligt inkomna uppgifter får nämnden genomföra en undersökning (142) och i detta avseende uppmana förvaltningsorgan att tillhandahålla lagrad personlig information, inbegripet eventuellt sekretessbelagt innehåll, liksom ytterligare information och handlingar. Fastän den slutrapport som offentliggjorts och sänts till klaganden och förvaltningsorganet inte är rättsligt bindande, följs den nästan alltid (143). Dessutom kommer den enskilde ha möjlighet att överklaga beslutet i domstol på grundval av förvaltningsprocesslagen. Detta banar väg för rättslig kontroll av användningen av undantag för den nationella säkerheten, också av frågan huruvida ett sådant undantag har missbrukats eller fortfarande är berättigat.
                  
               
                     168)
                  
                  
                     För att underlätta utövandet av ovannämnda rättigheter i lagen om skydd av personuppgifter, vilka innehas av förvaltningsorgan, har inrikes- och kommunikationsministeriet inrättat 51 ”centrum för övergripande information” som tillhandahåller samlade upplysningar om dessa rättigheter, tillämpliga förfaranden för att göra en begäran och eventuella möjligheter till prövning (144). Vad gäller förvaltningsorgan, är de ålagda att tillhandahålla ”uppgifter som bidrar till att ange vilken personlig information som lagras” (145) och att vidta ”andra adekvata åtgärder med hänsyn till att den person som avser att göra en begäran” (artikel 47.1 i lagen om uppgifter hos förvaltningsorgan).
                  
               
                     169)
                  
                  
                     Liksom i brottmålsutredningar kan den enskilde, genom att direkt kontakta nämnden, få enskild prövning i ärenden som rör den nationella säkerheten också på området nationell säkerhet. Detta kommer att utlösa det särskilda förfarande för tvistlösning som den japanska regeringen har inrättat för enskilda i EU, vars personuppgifter överförs enligt detta beslut (se närmare förklaringar i skälen 141–144 och 149).
                  
               
                     170)
                  
                  
                     Dessutom kan den enskilde begära rättslig prövning i form av en skadeståndstalan enligt lagen om rättslig prövning mot staten, vilket även omfattar ideell skada och på vissa villkor radering av de insamlade uppgifterna (se skäl 147).
                  
               4.   SLUTSATS: ADEKVAT SKYDDSNIVÅ FÖR PERSONUPPGIFTER SOM ÖVERFÖRS FRÅN EUROPEISKA UNIONEN TILL NÄRINGSIDKARE I JAPAN
         
         
                     171)
                  
                  
                     Kommissionen anser att personuppgiftslagen, kompletterad med tilläggsreglerna i bilaga I, tillsammans med de officiella framställningarna, utfästelserna och åtagandena i bilaga II, säkerställer en skyddsnivå för personuppgifter, vilka överförts från Europeiska unionen, som väsentligen är likvärdig med den skyddsnivå som garanteras genom förordning (EU) 2016/679.
                  
               
                     172)
                  
                  
                     Kommissionen anser dessutom att det japanska rättssystemets tillsynsmekanismer och möjligheter till prövning gör att överträdelser som begåtts av mottagande informationshanterande näringsidkare kan identifieras och bestraffas i praktiken, och dessutom erbjuds de registrerade rättsmedel för att få tillgång till personuppgifter som rör dem själva. Slutligen går det också att få sådana uppgifter korrigerade eller raderade.
                  
               
                     173)
                  
                  
                     På grundval av tillgängliga uppgifter om den japanska rättsordningen, inbegripet framställningar, utfästelser och åtaganden från japanska staten i bilaga II, anser kommissionen slutligen att japanska myndigheters eventuella påverkan på de grundläggande rättigheterna för enskilda vilkas personuppgifter överförs från Europeiska unionen till Japan för allmännyttiga ändamål, särskilt i straffrättsliga syften som rör brottsbekämpning och den nationella säkerheten, kommer att vara begränsade till vad som är absolut nödvändigt för att uppnå det legitima målet i fråga, och att det finns ett faktiskt rättsligt skydd mot sådan påverkan.
                  
               
                     174)
                  
                  
                     Mot bakgrund av slutsatserna i detta beslut anser kommissionen därför att Japan förmår säkerställa en adekvat skyddsnivå för de personuppgifter som överförs från Europeiska unionen till informationshanterande näringsidkare i Japan som omfattas av personuppgiftslagen, utom i de fall där mottagaren omfattas av någon av de kategorier som förtecknas i artikel 76.1 personuppgiftslagen och alla eller delar av ändamålen med behandlingen motsvarar ett av de ändamål som föreskrivs i nämnda bestämmelse.
                  
               
                     175)
                  
                  
                     På grundval av detta sluter sig kommissionen till att den adekvata skyddsnivån i artikel 45 i förordning (EU) 2016/679, tolkad mot bakgrund av stadgan om de grundläggande rättigheterna, särskilt i domen i Schrems-målet (146), är uppfylld.
                  
               5.   DATASKYDDSMYNDIGHETERS ÅTGÄRDER OCH INFORMATION TILL KOMMISSIONEN
         
         
                     176)
                  
                  
                     Enligt domstolens rättspraxis (147), och som erkänt i artikel 45.4 i förordning (EU) 2016/679, bör kommissionen fortlöpande övervaka relevant utveckling i tredjelandet efter antagandet av ett beslut om adekvat skyddsnivå för att bedöma huruvida Japan fortfarande säkerställer en väsentligen likvärdig skyddsnivå. En sådan kontroll krävs i alla händelser när kommissionen får information som ger upphov till motiverat tvivel i detta hänseende.
                  
               
                     177)
                  
                  
                     Därför bör kommissionen fortlöpande övervaka situationen avseende den rättsliga ramen och nuvarande praxis för behandling av personuppgifter enligt bedömningen i detta beslut, inbegripet de japanska myndigheternas efterlevnad av de framställningar, utfästelser och åtaganden som ingår i bilaga II. För att underlätta denna process förväntas de japanska myndigheterna informera kommissionen om väsentliga förändringar som är relevanta för detta beslut, både avseende behandlingen av personuppgifter och de begränsningar och säkerheter som gäller offentliga myndigheters tillgång till personuppgifter. Detta bör omfatta alla beslut fattade av nämnden enligt artikel 24 i personuppgiftslagen som medger att ett tredjeland erbjuder en likvärdig skyddsnivå som den i Japan.
                  
               
                     178)
                  
                  
                     För att kommissionen faktiskt ska kunna fullgöra sin tillsynfunktion bör medlemsstaterna vidare underrätta kommissionen om de relevanta åtgärder som vidtas av de nationella dataskyddsmyndigheterna, särskilt avseende frågor eller klagomål från registrerade i EU om överföring av personuppgifter från Europeiska unionen till näringsidkare i Japan. Kommissionen bör även underrättas om eventuella indikationer på att åtgärder som vidtas av japanska myndigheter med ansvar för att förebygga, utreda, avslöja eller lagföra brott, eller med hänvisning till den nationella säkerheten, inbegripet eventuella tillsynsorgan, inte kan garantera den erforderliga skyddsnivån.
                  
               
                     179)
                  
                  
                     Medlemsstaterna och deras organ åläggs att vidta erforderliga åtgärder för att efterleva rättsakter från unionens institutioner, eftersom dessa antas vara giltiga och därmed ha rättsverkan så länge de inte har återkallats, upphävts enligt en talan om ogiltigförklaring eller till följd av en begäran om förhandsavgörande eller invändning om rättsstridighet. Ett beslut om adekvat skyddsnivå som antas av kommissionen enligt artikel 45.3 i förordning (EU) 2016/679 är följaktligen bindande för alla organ i medlemsstaterna som det riktar sig till, också för deras oberoende tillsynsmyndigheter. Som domstolen klargjort i sitt beslut i Schrems-målet (148) och medger i artikel 58.5 i förordningen gäller samtidigt följande: I fall där en dataskyddsmyndighet, också efter ett klagomål, ifrågasätter ett kommissionsbeslut om adekvat skyddsnivå är förenligt med den enskildes grundläggande rätt till personlig integritet och uppgiftsskydd, måste den nationella lagstiftaren föreskriva rättsmedel som gör det möjligt att vid nationella domstolar göra gällande dessa invändningar och hänskjuta målet till EU-domstolen för förhandsavgörande (149).
                  
               6.   REGELBUNDEN ÖVERSYN AV KONSTATERANDET OM ADEKVAT SKYDDSNIVÅ
         
         
                     180)
                  
                  
                     Vid tillämpningen av artikel 45.3 i förordning (EU) 2016/679 (150), och då den skyddsnivå som åstadkoms av den japanska rättsordningen kan bli föremål för ändringar, bör kommissionen, efter antagandet av detta beslut, regelbundet kontrollera huruvida de konstateranden om adekvat skyddsnivå som säkerställs av Japan fortfarande är sakligt och rättsligt motiverade.
                  
               
                     181)
                  
                  
                     Därför bör detta beslut bli föremål för en första översyn inom två år efter ikraftträdandet. Efter den första översynen, och beroende på resultatet av denna, kommer kommissionen att i nära samråd med den kommitté som inrättats enligt artikel 93.1 i den allmänna dataskyddsförordningen avgöra om tvåårscykeln bör bibehållas. Under alla omständigheter bör efterföljande översynen ske minst vart fjärde år (151). Översynen bör omfatta alla aspekter av tillämpningen av detta beslut, i synnerhet tillämpningen av tilläggsreglerna (med särskild uppmärksamhet på det skydd som erbjuds i fall av vidare överföring), tillämpningen av reglerna om samtycke, också i fall av återkallande, det faktiska utövande av individuella rättigheter, samt begränsningar och skyddsåtgärder avseende offentlig tillgång till uppgifter, inbegripet den prövningsmekanism som anges i bilaga II till detta beslut. Det bör också omfatta det faktiska utövandet och verkställigheten både avseende regler för informationshanterande näringsidkare och på området brottsbekämpning och nationell säkerhet.
                  
               
                     182)
                  
                  
                     Inför översynen bör kommissionen sammanträda med nämnden, om lämpligt tillsammans med andra japanska myndigheter med ansvar för myndigheters tillgång till uppgifter, samt med berörda tillsynsorgan. Deltagande i mötet bör vara öppet för företrädare för ledamöterna i Europeiska dataskyddsstyrelsen. I samband med den gemensamma översynen bör kommissionen begära att nämnden förser den med omfattande information om samtliga aspekter av relevans för konstaterandet om adekvat skyddsnivå, också om begränsningar och skyddsåtgärder avseende statens tillgång till information (152). Kommissionen bör också begära klargöranden om de uppgifter som inkommit till den och som är relevanta för detta beslut, inbegripet offentliga rapporter från japanska myndigheter eller andra intressenter i Japan, Europeiska dataskyddsstyrelsen, enskilda dataskyddsmyndigheter, grupper i det civila samhället, rapporter från media eller andra tillgängliga informationskällor.
                  
               
                     183)
                  
                  
                     På grundval av den gemensamma översynen ska kommissionen utarbeta en rapport som ska överlämnas till Europaparlamentet och rådet.
                  
               7.   TILLFÄLLIGT UPPHÄVANDE AV BESLUTET OM ADEKVAT SKYDDSNIVÅ
         
         
                     184)
                  
                  
                     Om kommissionen på grundval av både regelbundna och särskilda kontroller, eller annan tillgänglig information, sluter sig till att den skyddsnivå som erbjuds inom den japanska rättsordningen inte längre kan betraktas som väsentligen likvärdig med skyddsnivån i Europeiska unionen, bör kommissionen underrätta behöriga japanska myndigheter om detta och begära att lämpliga åtgärder vidtas inom en fastställd, rimlig tidsram. Detta inbegriper regler tillämpliga både på näringsidkare och japanska myndigheter med ansvar för brottsbekämpning eller nationell säkerhet. Exempelvis skulle ett sådant förfarande utlösas i fall där vidare överföringar, också på grundval av beslut fattade av nämnden enligt artikel 24 i personuppgiftslagen, som medger att ett tredjeland erbjuder en likvärdig skyddsnivå som den i Japan, inte längre kommer att genomföras inom ramen för de skyddsåtgärder som säkerställer kontinuiteten i skyddet.
                  
               
                     185)
                  
                  
                     Om de behöriga japanska myndigheterna, efter den angivna periodens utgång, misslyckas med att på ett tillfredsställande sätt visa att detta beslut fortsatt bygger på en adekvat skyddsnivå, bör kommissionen vid tillämpningen av artikel 45.5 i förordning (EU) 2016/679 inleda förfarandet för ett partiellt eller fullständigt upphävande eller återkallande av detta beslut. Alternativt bör kommissionen inleda förfarandet om ändring av detta beslut, i synnerhet genom att tillämpa ytterligare villkor på överföringar av personuppgifter eller genom att begränsa omfattningen av konstaterandet om adekvat skyddsnivå enbart till överföring av uppgifter för vilka fortlöpande skydd enligt artikel 44 i den allmänna dataskyddsförordningen är säkerställd.
                  
               
                     186)
                  
                  
                     Kommissionen bör i synnerhet inleda förfarandet för upphävande eller återkallande vid indikationer på att tilläggsreglerna i bilaga I inte efterlevs av näringsidkare som tar emot personuppgifter enligt detta beslut och/eller inte effektivt verkställs, eller att de japanska myndigheterna inte uppfyller de framställningar, utfästelser och åtaganden som ingår i bilaga II till detta beslut.
                  
               
                     187)
                  
                  
                     Kommissionen bör också överväga att inleda ett förfarande som leder till ändring, upphävande eller återkallande av detta beslut, om behöriga japanska myndigheter, inom ramen för den gemensamma översynen eller på annat sätt, underlåter att tillhandahålla den information eller de klargöranden som är nödvändiga för bedömningen av skyddsnivån för personuppgifter vilka överförs från Europeiska unionen till Japan och i överensstämmelse med detta beslut. I detta avseende bör kommissionen beakta i vilken utsträckning de relevanta uppgifterna kan erhållas från andra källor.
                  
               
                     188)
                  
                  
                     Av vederbörligen motiverade och brådskande skäl, såsom risk för allvarlig överträdelse av en registrerad persons rättigheter, bör kommissionen överväga att anta ett beslut om att ogiltigförklara eller upphäva detta beslut som bör tillämpas omedelbart, i enlighet med artikel 93.3 i förordning (EU) 2016/679 jämförd med artikel 8 i Europaparlamentets och rådets förordning (EU) nr 182/2011 (153).
                  
               8.   SLUTLIGA ÖVERVÄGANDEN
         
         
                     189)
                  
                  
                     Europeiska dataskyddsstyrelsen offentliggjorde sitt yttrande (154), vilket har beaktats vid utarbetandet av detta beslut.
                  
               
                     190)
                  
                  
                     Europaparlamentet har antagit en resolution om en strategi för digital handel, genom vilken kommissionen uppmanas att prioritera och påskynda antagandet av beslut om adekvat skyddsnivå med viktiga handelspartner i enlighet med villkoren i förordning (EU) 2016/679 som en viktig mekanism för att säkra överföringar av personuppgifter från Europeiska unionen (155). Europaparlamentet har även antagit en resolution om huruvida skyddet av personuppgifter i Japan är tillräckligt (156).
                  
               
                     191)
                  
                  
                     De åtgärder som föreskrivs i detta beslut är förenliga med yttrandet från den kommitté som inrättats enligt artikel 93.1 i allmänna dataskyddsförordningen.
                  
               HÄRIGENOM FÖRESKRIVS FÖLJANDE.
         
            Artikel 1
            
               1.   Vid tillämpning av artikel 45 i förordning (EU) 2016/679 ska Japan säkerställa en adekvat skyddsnivå för personuppgifter som överförs från Europeiska unionen till näringsidkare i Japan som hanterar personlig information enligt lagen om skydd av personuppgifter såsom kompletterad med de tilläggsregler som anges i bilaga I tillsammans med de officiella framställningar, utfästelser och åtaganden som ingår i bilaga II.
            
            
               2.   Detta beslut omfattar inte personuppgifter som överförs till mottagare som faller inom någon av följande kategorier, i den mån som samtliga eller vissa av ändamålen med behandlingen av personuppgifter motsvarar ett av de respektive förtecknade ändamålen:
               
                           a)
                        
                        
                           sändningsföretag, tidningsutgivare, kommunikationsbyråer eller andra pressorganisationer (inbegripet alla individer som bedriver pressverksamhet som sin näring), i den mån de behandlar personuppgifter för pressändamål,
                        
                     
                           b)
                        
                        
                           personer som professionellt ägnar sig åt skrivande, i den mån detta inbegriper personuppgifter,
                        
                     
                           c)
                        
                        
                           universitet och andra organisationer eller grupper med inriktning på akademiska studier, eller varje person som tillhör en sådan organisation eller grupp, i den mån de behandlar personuppgifter i samband med akademiska studier,
                        
                     
                           d)
                        
                        
                           religiösa organisationer, i den mån de behandlar personuppgifter för religiösa verksamhetsändamål (samt all relaterad verksamhet), och
                        
                     
                           e)
                        
                        
                           politiska organ, i den mån de behandlar personuppgifter för politiska verksamhetsändamål (samt all relaterad verksamhet).
                        
                     
         
         
            Artikel 2
            Så snart behöriga myndigheter i medlemsstaterna, i syfte att skydda den enskilde med avseende på behandlingen av vederbörandes personuppgifter, utövar sina befogenheter enligt artikel 58 i förordning (EU) 2016/679 på ett sådant sätt att det leder till ett tillfälligt upphävande av eller slutligt förbud mot dataflöden till en viss näringsidkare i Japan inom det tillämpningsområde som anges i artikel 1, ska den berörda medlemsstaten utan dröjsmål underrätta kommissionen om detta.
         
         
            Artikel 3
            
               1.   Kommissionen ska fortlöpande övervaka tillämpningen av den rättsliga ram inom vilken detta beslut fattas, också de villkor på vilka vidare överföring genomförs, i syfte att bedöma huruvida Japan fortsätter att säkerställa en adekvat skyddsnivå i den mening som avses i artikel 1.
            
            
               2.   Medlemsstaterna och kommissionen ska underrätta varandra om fall i vilka nämnden för skydd av personuppgifter, eller någon annan behörig myndighet, underlåter att säkerställa efterlevnaden av den rättsliga ram som detta beslut grundar sig på.
            
            
               3.   Medlemsstaterna och kommissionen ska underrätta varandra om varje indikation på att japanska myndigheters intrång i den enskildes rätt till skydd av sina personuppgifter går utöver vad som är absolut nödvändigt, eller på att det inte finns något effektivt rättsligt skydd mot sådan påverkan.
            
            
               4.   Inom två år från och med dagen för anmälan av detta beslut till medlemsstaterna, och därefter åtminstone vart fjärde år, ska kommissionen utvärdera uppgifterna i artikel 1.1 på grundval av all tillgänglig information, även information som tagits emot som ett led i den gemensamma översyn som genomförs tillsammans med de japanska myndigheterna.
            
            
               5.   Om kommissionen har indikationer på att en adekvat skyddsnivå inte längre är säkerställd, ska kommissionen underrätta behöriga japanska myndigheter. Om nödvändigt, kan den besluta att tillfälligt upphäva, ändra eller upphäva detta beslut eller begränsa dess tillämpningsområde, bland annat om det finns indikationer på att
               
                           a)
                        
                        
                           näringsidkare i Japan, som har erhållit personuppgifter från Europeiska unionen i enlighet detta beslut, inte efterkommer de ytterligare skyddsåtgärder som fastställs i tilläggsreglerna i bilaga I till detta beslut, eller tillsynen eller verkställigheten inte är tillräcklig i detta avseende,
                        
                     
                           b)
                        
                        
                           de japanska myndigheterna inte efterlever de framställningar, utfästelser och åtaganden som ingår i bilaga II till detta beslut, även med avseende på villkoren och begränsningarna för insamling av och tillgång till personuppgifter som av japanska myndigheter överförts i enlighet med detta beslut för ändamål som avser brottsbekämpning eller den nationella säkerheten.
                        
                     Kommissionen kan också lägga fram sådana förslag till åtgärder i fall där bristande samarbete från japanska statens sida hindrar kommissionen ifrån att avgöra huruvida tillämpningen av artikel 1.1 i detta beslut påverkas.
            
         
         
            Artikel 4
            Detta beslut riktar sig till medlemsstaterna.
         
         
            Utfärdat i Bryssel den 23 januari 2019.
            
               
                  På kommissionens vägnar
               
               Věra JOUROVÁ
               
                  Ledamot av kommissionen
               
            
         
         
            (1)  EUT L 119, 4.5.2016, s. 1.
         
            (2)  Mål C-362/14, Maximillian Schrems mot Data Protection Commissioner (nedan kallat Schrems-målet) ECLI:EU:C:2015:650, punkt 73.
         
            (3)  Schrems-målet, punkt 74.
         
            (4)  Se meddelandet från kommissionen till Europaparlamentet och rådet: utbyte och skydd av personuppgifter i en globaliserad värld (COM (2017) 7, 10.1.2017), avsnitt 3.1., s. 6.
         
            (5)  Lag om skydd av personuppgifter (lag nr 57, 2003).
         
            (6)  Närmare upplysningar om nämnden för skydd av personuppgifter finns här: https://www.ppc.go.jp/en/ (med kontaktuppgifter för förfrågningar och klagomål: https://www.ppc.go.jp/en/contactus/access/).
         
            (7)  Detta beslut har betydelse för EES. Enligt avtalet om Europeiska ekonomiska samarbetsområdet (EES-avtalet) ska EU:s inre marknad utvidgas till att omfatta de tre EES-staterna Island, Liechtenstein och Norge. Gemensamma EES-kommitténs beslut om införlivande av förordning (EU) 2016/679 i bilaga XI till EES-avtalet antogs av gemensamma EES-kommittén den 6 juli 2018 och trädde i kraft den 20 juli 2018. Förordningen omfattas således av det avtalet.
         
            (8)  Högsta domstolen, dom av the Grand Bench av den 24 december 1969, Keishu vol. 23, nr 12, s. 1625.
         
            (9)  Högsta domstolen, dom av den 6 mars 2008, Minshu vol. 62 nr. 3, s. 665.
         
            (10)  Högsta domstolen, dom av den 6 mars 2008, Minshu vol. 62 nr. 3, s. 665.
         
            (11)  Återfinns här: https://www.ppc.go.jp/files/pdf/PPC_rules.pdf
         
            (12)  Se tilläggsreglerna, (inledningsavsnittet).
         
            (13)  Det allmänna kravet på att föra register (endast) för en viss tid innebär inte något ifrågasättande av detta. Även om uppgifternas ursprung är en av de uppgifter som den förvärvande informationshanterande näringsidkaren måste bekräfta enligt artikel 26.1 i personuppgiftslagen, gäller kravet enligt artikel 26.4 i personuppgiftslagen jämförd med artikel 18 i nämndens regler en särskild registerform (se artikel 16 i nämndens regler) och hindrar inte en informationshanterande näringsidkare ifrån att säkerställa identifieringen av uppgifterna under längre perioder. Detta har bekräftats av nämnden, som slagit fast att ”informationen om ursprunget för uppgifterna från EU måste lagras av den informationshanterande näringsidkare så länge detta är nödvändigt för att kunna efterleva tilläggsreglerna”.
         
            (14)  Nämnden, frågor och svar, den 16 februari 2017 (ändrade den 30 maj 2017), finns på följande länk: https://www.ppc.go.jp/files/pdf/kojouhouQA.pdf. I ”Frågor och svar” diskuteras ett antal frågor i riktlinjerna bland annat med hjälp av konkreta exempel på vad som utgör känsliga personuppgifter, tolkningen av den enskildes samtycke, överföringar till tredje part i samband med molnbaserade datortjänster eller registreringsskyldighet som tillämpas vid gränsöverskridande överföringar. ”Frågor och svar” finns endast på japanska.
         
            (15)  På en enskild fråga har nämnden underrättat Europeiska dataskyddsstyrelsen om att ”de japanska domstolarna grundar sin tolkning på riktlinjerna när de tillämpar personuppgiftslagens och nämndens regler i enskilda fall som de ska avgöra och har därför direkt hänvisat till texten i nämndens riktlinjer i sina domar. Därför är nämndens riktlinjer också ur detta perspektiv bindande för näringsidkarna. Nämnden har ingen kännedom om att domstolen någonsin avvikit från riktlinjerna.” I detta avseende hänvisade nämnden också kommissionen till en dom på området skydd av personuppgifter, i vilken domstolen uttryckligen utgick från riktlinjerna för sina konstateranden (se Osaka tingsrätt, beslut av den 19 maj 2006, Hanrei Jiho, vol. 1948, s. 122, och fastställde att näringsidkaren hade en skyldighet att vidta säkerhetskontroller på grundval av dessa riktlinjer).
         
            (16)  Nämndens riktlinjer (allmänna regler), s. 6.
         
            (17)  Detta omfattar alla elektroniska registreringssystem. Nämndens riktlinjer (allmänna regler, s. 17) ger konkreta exempel i detta avseende, till exempel en lista över e-postadresser lagrad i e-postens klientmjukvara.
         
            (18)  Artikel 2.4 och 2.6 i personuppgiftslagen.
         
            (19)  Exempelvis artikel 23 i personuppgiftslagen om villkoren för utbyte av personuppgifter med tredje parter.
         
            (20)  Detta gäller närmare bestämt personuppgifter i) ”i förhållande till vilka ett avslöjande av förekomsten eller frånvaron av nämnda personuppgifter skulle kunna skada en huvudmans eller tredje parts liv, kropp eller förmögenhet”, ii) uppgifter ”i förhållande till vilka ett avslöjande av förekomsten eller frånvaron av nämnda personuppgifter skulle kunna uppmuntra till eller förmå någon att begå en olaglig eller oberättigad handling”, iii) uppgifter ”i förhållande till vilka ett tillkännagivande av förekomsten eller frånvaron av nämnda personuppgifter skulle kunna undergräva nationens säkerhet, förstöra en förtroendeförbindelse med ett främmande land eller en internationell organisation, eller leda till nackdelar vid förhandlingar med ett främmande land eller en internationell organisation”, och iv) uppgifter ”i förhållande till vilka ett avslöjande av förekomsten eller frånvaron av nämnda personuppgifter skulle kunna hindra upprätthållandet av allmän ordning och säkerhet, t.ex. att förebygga, bekämpa eller utreda brott”.
         
            (21)  Enligt dessa villkor krävs det ingen anmälan från den enskilde. Detta är i enlighet med artikel 23.2 h i allmänna dataskyddsförordningen, där det anges att registrerade inte behöver informeras om begränsningen, ifall detta ”kan inverka menligt på syftet med begränsningen”.
         
            (22)  Se skäl 26 i förordning (EU) 2016/679.
         
            (23)  Nämndens riktlinjer (allmänna regler), s. 18.
         
            (24)  Vad gäller andra näringsidkare, ska nämnden vid utövandet av sina utrednings- och genomförandebefogenheter inte hindra dem ifrån att utöva deras rätt till yttrandefrihet, akademisk frihet, religionsfrihet eller politisk frihet (artikel 43.1 i personuppgiftslagen).
         
            (25)  Som framgår av nämndens förklaring, tolkas samtycke i nämndens riktlinjer som ett ”uttryck för en huvudmans avsikt att godta att vederbörandes personuppgifter hanteras enligt en metod som anges av en informationshanterande näringsidkare”. I nämndens riktlinjer (allmänna regler, s. 24) förtecknas de sätt att uttrycka samtycke som anses vara ”normal affärspraxis i Japan”, dvs. träffa en muntlig överenskommelse, returnera formulär eller andra handlingar, sluta avtal via e-post, kryssa för en ruta på en webbplats, trycka på en knapp för godkännande på en hemsida, trycka på en peksskärm osv. Alla dessa metoder innebär en uttalad form av samtycke.
         
            (26)  De frågor och svar som offentliggjorts av nämnden innehåller ett antal exempel som illustrerar begreppet. Exempel på situationer i vilka ändringens omfattning är rimlig omfattar särskilt användningen av den personliga information som erhållits från köpare av varor eller tjänster i samband med en affärstransaktion i syfte att upplysa dessa köpare om andra relevanta varor eller tjänster (t.ex. en träningsanläggning som registrerar medlemmarnas e-postadresser för att kunna informera dem om kurser och program). Samtidigt omfattar ”Frågor och svar” också ett exempel på en situation i vilken det inte är tillåtet att ändra syftet med användningen, nämligen om ett företag skickar uppgifter om företagets varor och tjänster till e-postadresser som det har sparat för att kunna skicka ut varningar om bedrägeri eller stulna medlemskort.
         
            (27)  Dessa undantag kan ha stöd i andra lagar och författningar eller gälla situationer i vilka behandling av personlig information är nödvändig för att i) ”skydda en människas liv, kropp eller egendom”, ii) ”förbättra den allmänna hygienen eller främja växande friska barn”, eller iii) ”samarbeta med statliga organ eller organisationer eller med deras företrädare”, när dessa utför sina lagstadgade uppgifter. Dessutom är kategorierna i) och ii) tillämpliga endast om det är svårt att få den registrerades samtycke och kategori iii) endast om det finns en risk för att inhämtandet av en registrerad persons samtycke skulle påverka utförandet av sådana uppgifter.
         
            (28)  Mot bakgrund av detta krävs enligt artikel 23.1 i personuppgiftslagen i princip den enskildes samtycke för utlämnande av uppgifter till en tredje part. Därigenom kan den enskilde utöva viss kontroll över en annan näringsidkares användning av hans/hennes uppgifter.
         
            (29)  Enligt artikel 15.1 i personuppgiftslagen måste en sådan specificering vara så ”uttrycklig som möjligt”.
         
            (30)  Artikel 18.1 i personuppgiftslagen.
         
            (31)  Medan förvaltare är undantagna från begreppet ”tredje part” vid tillämpningen av artikel 23 (se punkt 5), gäller detta undantag endast i den mån som förvaltaren behandlar personuppgifter inom ramen för denna förtroendeuppgift (”inom det handlingsutrymme som krävs för att uppnå ett nyttjandeändamål”), dvs. agerar som registerförare.
         
            (32)  Övriga (exceptionella) skäl är följande: i) tillhandahållande av personuppgifter ”på grundval av lagar och andra författningar”, ii) ”fall i vilka det är nödvändigt att skydda en människas liv, kropp eller förmögenhet, och när det är svårt att få huvudmannens samtycke”, iii) ”fall i vilka det föreligger ett särskilt behov av att förbättra den allmänna hygienen eller främja friska barn, och när det är svårt att få huvudmannens samtycke”, och iv) fall ”i vilka det föreligger ett behov av att samarbeta med en statlig myndighetsorganisation eller en lokal myndighet eller en person som anförtrotts uppgiften att fullgöra uppgifter som föreskrivs i lagar och andra författningar och när erhållandet av huvudmannens samtycke skulle påverka handläggningen av dessa ärenden”.
         
            (33)  De uppgifter som ska tillhandahållas omfattar, särskilt, de kategorier av personuppgifter som ska delas med en tredje part samt överföringsmetoden. Den informationshanterande näringsidkaren måste dessutom underrätta den registrerade om möjligheten att invända mot överföringen och hur en sådan begäran görs.
         
            (34)  Enligt artikel 26.1 ii i personuppgiftslagen åligger det en informationshanterande näringsidkare att, vid mottagandet av personuppgifter från en tredje part, ”bekräfta” (kontrollera) ”uppgifterna om förvärvet av personuppgifter från tredje part”, inbegripet ändamålet med förvärvet. Fastän det i artikel 26 inte uttryckligen anges att den informationshanterande näringsidkaren måste följa detta ändamål, är detta ett uttryckligt krav i tilläggsregel 3.
         
            (35)  Nämndens riktlinjer (allmänna regler), s. 41 och s. 86–98.
         
            (36)  Om sådan läcka, skada eller förlust uppstår, åligger det den informationshanterande näringsidkaren enligt avsnitt 3-3-2 nämndens riktlinjer att genomföra nödvändiga utredningar och särskilt bedöma överträdelsens omfattning med avseende på den enskildes rättigheter och intressen samt typen av och mängden personlig information som berörs.
         
            (37)  Undantagen är i) fall i vilka information till den registrerade om ändamålet med användningen, eller ett offentliggörande av det, skulle ”skada en huvudmans eller tredje parts liv, kropp, förmögenhet eller andra rättigheter och intressen” eller ”den informationshanterande näringsidkarens rättigheter eller berättigade intressen”, ii) fall i vilka ”det föreligger ett behov av att samarbeta med en statlig organisation eller en lokal myndighet” när dessa fullgör sina lagstadgade åligganden och om sådana uppgifter eller ett sådant utlämnande skulle påverka sådana ”ärenden”, och iii) fall i vilka ändmålet med användningen tydligt bygger på den situation i vilken uppgifterna har inhämtats.
         
            (38)  Följande undantag medges: i) ”fall som grundar sig på lagar och andra författningar”, ii) ”fall i vilka det är nödvändigt att skydda en människas liv, kropp eller förmögenhet, och när det är svårt att få huvudmannens samtycke”, iii) ”fall i vilka det föreligger ett särskilt behov av att förbättra den allmänna hygienen eller främja friska barn, och när det är svårt att få huvudmannens samtycke”, iv) fall ”i vilka det föreligger ett behov av att samarbeta med en statlig myndighetsorganisation eller en lokal myndighet eller en person som anförtrotts uppgiften att fullgöra uppgifter som föreskrivs i lagar och andra författningar och när erhållandet av huvudmannens samtycke skulle påverka handläggningen av dessa ärenden”, och v) fall i vilka den nämnda information som kräver särskild behandling lämnas ut till allmänheten genom en registrerad person, ett regeringsorgan, lokala myndigheter, en person som omfattas av någon av de kategorier av personer som anges i artikel 76.1 eller andra regler som föreskrivs av nämnden. Ytterligare en kategori avser ”övriga fall som föreskrivs genom regeringsbeslut, såsom motsvarande de fall som anges i varje föregående punkt” och enligt gällande regeringsbeslut särskilt omfattar framträdande drag hos en person (t.ex. ett synligt hälsotillstånd) om de känsliga uppgifterna (oavsiktligt) har inhämtats genom visuell observation, fotografering eller filmning, t.ex. med övervakningskameror.
         
            (39)  Enligt artikel 40.1 i personuppgiftslagen får nämnden, i den utsträckning som krävs för att genomföra de relevanta bestämmelserna, kräva av en informationshanterande näringsidkare att inkomma med nödvändiga uppgifter eller handlingar som rör hantering av personlig information.
         
            (40)  I personuppgiftslagen föreskrivs bl.a. regler om ackreditering av sådana organisationer, se artiklarna 47–50 i personuppgiftslagen.
         
            (41)  Artikel 52 i personuppgiftslagen.
         
            (42)  nämndens meddelande nr 1/2017 ”Åtgärder som ska vidtas i fall där dataintrång mot personuppgifter eller annat tillbud inträffat”.
         
            (43)  Enligt de uppgifter som lagts ut på webbplatsen PrivacyMark, som drivs av Japanskt centrum för behandling och utveckling av information, daterade den 2 oktober 2017.
         
            (44)  Nämnden, Förteckning över ackrediterade organisationer för skydd av personlig information, återfinns här: https://www.ppc.go.jp/personal/nintei/list/ or https://www.ppc.go.jp/files/pdf/nintei_list.pdf
         
            (45)  Nämnden, Översikt över situationen för genomförandet av personuppgiftslagen under budgetåret 2015 (oktober 2016), som finns på följande webbplats (endast på japanska): https://www.ppc.go.jp/files/pdf/personal_sekougaiyou_27ppc.pdf
         
            (46)  Se fotnot 32.
         
            (47)  Enligt artikel 11 i nämndens regler kräver detta inte endast konkreta standarder motsvarande personuppgiftslagen, som i praktiken övervakas av en oberoende tillsynsmyndighet, utan också att genomförandet av relevanta regler i tredjelandet är säkerställt.
         
            (48)  Hittills har nämnden ännu inte antagit något beslut enligt artikel 24 i personuppgiftslagen som medger att ett tredjeland erbjuder en likvärdig skyddsnivå som den i Japan. Det enda beslut som nämnden för närvarande överväger att anta rör EES. Vad gäller andra framtida beslut, kommer kommissionen att noga övervaka situationen och, om nödvändigt, vidta lämpliga åtgärder för att hantera eventuella negativa effekter på kontinuiteten i skyddet (se skälen 176, 177, 184 och artikel 3.1 nedan).
         
            (49)  Endast två japanska företag har certifierats inom Apecs integritetssystem (se https://english.jipdec.or.jp/sp/protection_org/cbpr/list.html). De enda näringsidkare utanför Japan som har certifierats enligt detta system är ett litet antal (23) amerikanska företag (se https://www.trustarc.com/consumer-resources/trusted-directory/#apec-list).
         
            (50)  Till exempel ingen definition och särskilt skydd för känsliga uppgifter, ingen skyldighet till begränsad lagring av uppgifter. Se även artikel 29-arbetsgruppens yttrande 2/2014 om en referens för kraven för bindande företagsregler som lämnas till de nationella dataskyddsmyndigheterna i EU och gränsöverskridande regler om skydd av den personliga integriteten till ansvarsskyldighetsombuden inom Apecsystemet, den 6 mars 2014.
         
            (51)  Enligt nämnden kan endast sådana intressen motivera en begränsning som är ”värd lagligt skydd”. Denna bedömning måste göras från fall till fall ”med hänsyn till påverkan på den grundläggande rätten till personlig integritet och uppgiftsskydd i den mening som den erkänns i konstitutionen och rättspraxis.” Skyddade intressen kan exempelvis omfatta handelshemligheter eller andra affärshemligheter.
         
            (52)  Begreppet ”allvarligt påverka ett korrekt bedrivande av näringsidkarens verksamhet” åskådliggörs i nämndens riktlinjer genom olika exempel, t.ex. upprepade och identiska komplexa framställningar från samma individ, när sådana framställningar innebär en betydande börda för ett företag som skulle äventyra dess förmåga att besvara andra framställningar (nämndens riktlinjer (allmänna regler) s. 62). Generellt har nämnden bekräftat att denna kategori är begränsad till undantagsfall som går utöver rena olägenheter. En informationshanterande näringsidkare kan i synnerhet inte vägra utlämnande bara därför att en stor mängd uppgifter har efterfrågats.
         
            (53)  Som nämnden bekräftat, måste sådana lagar respektera den rätt till personlig integritet som garanteras i konstitutionen och därmed ”återspegla en nödvändig och rimlig begränsning.”
         
            (54)  Artikel 13 i konstitutionen har av högsta domstolen tolkats som en bestämmelse om rätt till personlig integritet (se skälen 7 och 8 ovan). Även om denna rättighet kan begränsas i fall där den ”påverkar den allmänna välfärden”, framgår det av högsta domstolens dom av den 6 mars 2008 (se skäl 8) att varje begränsning (som i detta fall tillåter en myndighet att samla in och behandla personuppgifter) måste vägas mot rätten till personlig integritet, med beaktande av faktorer som vilken typ av uppgifter som berörs, riskerna med behandlingen av dessa uppgifter för den enskilde, tillämpliga skyddsåtgärder och fördelar för allmänintresset till följd av behandlingen. Detta påminner mycket om den typ av avvägning som EU-lagstiftningen kräver, enligt principerna om nödvändighet och proportionalitet, för godkännande av varje begränsning av rätten till uppgiftsskydd och skyddsåtgärder.
         
            (55)  För ytterligare uppgifter om dessa undantag se professor Katsuya Uga, Kommentar, artikel för artikel, av den reviderade lagen om skydd av personlig information, 2015, s. 217. Ett exempel på en begäran som leder till ”höga kostnader” är om endast vissa namn i en förteckning (t.ex. i ett kundregister) behandlas i strid med principen om ändamålsbegränsning och registret redan saluförs, vilket gör att det blir mycket kostsamt att återkalla kopiorna och ersätta dem med nya. I samma exempel, när kopior av kundregistret redan har sålts till många och det är omöjligt att samla ihop hela volymen, skulle det också vara ”svårt att få användningen att fullständigt upphöra”. I dessa exempel skulle ”nödvändiga alternativa åtgärder” kunna inbegripa att exempelvis publicera eller sprida ett korrigeringsmeddelande. Detta utesluter inte andra former av (rättslig) prövning, vare sig det rör intrång i rätten till personlig integriteten, skadat anseende (förtal) till följd av offentliggörande eller överträdelse av andra intressen.
         
            (56)  I de undantagsfall i vilka den japanska näringsidkaren omvänt har en direkt relation till den registrerade i EU, kommer detta normalt att vara en följd av att näringsidkaren har inriktat sig på den berörde enskilde i Europeiska unionen genom att erbjuda vederbörande varor eller tjänster eller övervakat vederbörandes beteende. I detta fall skulle den japanska aktören själv omfattas av tillämpningsområdet för förordning (EU) 2016/679 (artikel 3.2) och måste således direkt efterleva EU:s dataskyddslag.
         
            (57)  Enligt artikel 65 i personuppgiftslagen är entledigande mot respektive ledamots vilja möjligt endast på grundval av något av följande: i) inledandet av konkursförfaranden, ii) fällande dom för brott mot personuppgiftslagen eller lagen om användning av identifieringsnummer, iii) fängelsedom utan straffarbete eller annan hårdare dom, och iv) oförmåga att fullgöra skyldigheter på grund av psykisk eller fysisk sjukdom eller misskötsamhet.
         
            (58)  Se artikel 62 i personuppgiftslagen.
         
            (59)  Exempelvis rör vissa bestämmelser frivilliga åtgärder som vidtas av informationshanterande näringsidkare (artiklarna 32 och 33 i personuppgiftslagen), eller skyldigheter att ”göra sitt bästa”, vilka som sådana inte är verkställbara (artiklarna 31, 35, 36.6 och 39 i personuppgiftslagen). Vissa bestämmelser gäller inte informationshanterande näringsidkare utan andra aktörer. Detta är fallet exempelvis med avseende på artiklarna 23.4, 26.2 och 34 i personuppgiftslagen (genomförandet av artikel 26.2 i personuppgiftslagen säkerställs emellertid genom möjligheten till straffrättsliga påföljder enligt artikel 88 i i personuppgiftslagen).
         
            (60)  Som framgår av skäl 48 ovan, kommer ”ändamålet med användingen” dessutom att specificeras av uppgiftsutföraren i EU, vilken i detta avseende är bunden av skyldigheten enligt artikel 5.1 b i förordning (EU) 2016/679. Den behöriga dataskyddsmyndigheten i Europeiska unionen ska ansvara för att denna skyldighet fullgörs.
         
            (61)  Lag nr 50 av den 5 juni 2009.
         
            (62)  Lag nr 60 av den 22 augusti 2012.
         
            (63)  Artikel 709 i civilprocesslagen är den främsta rättsliga grunden för skadeståndsmål. Enligt denna bestämmelse ”ska en person som uppsåtligen eller av oaktsamhet har överträtt andras rättigheter, eller andras rättsligt skyddade intressen, vara skyldig att ersätta eventuella skador till följd av detta”.
         
            (64)  Tokyos högsta domstol, dom av den 20 maj 2015 (ej offentliggjord), Tokyos distriktsdomstol, dom av den 8 september 2014, Westlaw Japan 2014WLJPCA09088002. Se artikel 34.1 och 3 i personuppgiftslagen.
         
            (65)  Se beslut i högsta domstolen av den 24 september 2002 (Hanrei Times vol. 1106, s. 72).
         
            (66)  Artikel 239.2 i lagen om rättegångsregler i brottmål
         
            (67)  Lag nr 160 från 2014.
         
            (68)  Artikel 37–2 i förvaltningsprocesslagen.
         
            (69)  Enligt artikel 3.6 i förvaltningsprocesslagen avser ”föreläggande” en anvisning från domstolen till ett förvaltningsorgan att utfärda ett förordnande som det ”borde” ha gjort men underlåtit att göra.
         
            (70)  Artikel 37-5 i förvaltningsprocesslagen.
         
            (71)  Kapitel II, avsnitt 1 i förvaltningsprocesslagen.
         
            (72)  Se t.ex. domstolen dom av den 12 september 2003 i mål nr 1656 (2002 (Ju)). Högsta domstolen har särskilt framhållit att ”den enskilde ska ha frihet att skydda sin egen personliga information ifrån att lämnas ut till en tredje part eller göras tillgängliga för allmänheten utan goda skäl.”
         
            (73)  Högsta domstolens dom av den 6 mars 2008 (Juki-net).
         
            (74)  ”Adekvata skäl” föreligger endast om berörd enskild (misstänkt eller tilltalad) anses ha begått ett brott, och husrannsakan och beslag är nödvändigt för brottsutredningen. Se högsta domstolens dom av den 18 mars 1969 i mål nr 100 (1968 (Shi)).
         
            (75)  Se artikel 156.1 i lagen om rättegångsregler i brottmål.
         
            (76)  Det bör dock noteras att genom lagen om påföljd för organiserade brott och kontroll av vinning från brottslighet av den 15 juni 2017 skapas ett nytt brott i och med kriminaliseringen av förberedelse av terrorhandlingar och vissa andra former av organiserad brottslighet. Utredningar bör inledas endast om det föreligger en konkret misstanke, grundad på bevisning, om att alla nödvändiga villkor för en överträdelse (organiserad brottslig gruppering, ”planering” och ”förberedelse för genomförande av brottet”) är uppfyllda. Se även t.ex. artiklarna 38–40 i lagen om förebyggande av samhällsomstörtande verksamhet (lag nr. 240 av den 21 juli 1952).
         
            (77)  Artikel 15.8 i riktlinjerna om skydd av personlig information inom telekomsektorn.
         
            (78)  Förvaltningsorgan enligt artikel 2.1 i lagen om uppgifter hos förvaltningsorgan. Enligt uppgifter från den japanska regeringen omfattas alla myndigheter, förutom den regionala polismyndigheten, av definitionen ”förvaltningsorgan”. Samtidigt verkar den regionala polismyndigheten inom den rättsliga ram som fastställts i den regionala stadgan om skydd av personlig information (se artikel 11 i personuppgiftslagen och den grundläggande strategin) som föreskriver bestämmelser om skydd av personlig information motsvarande lagen om uppgifter hos förvaltningsorgan. Se bilaga II, avsnitt I.B. Som framgår av nämndens klargörande måste stadgan enligt den grundläggande strategin genomföras på grundval av innehållet i lagen om uppgifter hos förvaltningsorgan, och övervaknings- och informationscentrums uppgift är att utfärda meddelanden så att de lokala förvaltningarna får nödvändiga anvisningar i detta avseende. Enligt nämndens klargörande ”ska stadgan om skydd för personuppgifter i varje län fastställas inom dessa gränser […] på grundval av den grundläggande strategin och innehållet i meddelandena.”
         
            (79)  Personlig information som samlats in av tjänstemän inom ett förvaltningsorgan som ett led i deras fullgörande av sina skyldigheter, vilka lagras av det berörda förvaltningsorganet för användning i organisationens arbete, omfattas av begreppet ”lagrad personlig information” i den mening som avses i artikel 2.3 i lagen om uppgifter hos förvaltningsorgan, så länge som de är registrerade i ”administrativa handlingar”. Detta omfattar elektronisk information som samlats in och vidarebehandlats av sådana organ, förutsatt att definitionen av ”administrativa handlingar” i artikel 2.2 i lagen om tillgång till personuppgifter vilka innehas av förvaltningsorgan (lag nr 42 av den 1999) omfattar elektromagnetiska register.
         
            (80)  Enligt artikel 53.2 i lagen om rättegångsregler i brottmål, är emellertid kapitel IV i lagen om uppgifter hos förvaltningsorgan uteslutet för ”handlingar som rör prövningsförfaranden”, vilka enligt inkomna uppgifter omfattar elektroniska uppgifter som erhållits på grundval av beslut om husrannsakan eller begäran om frivilligt samarbete som ett led i en brottsutredning. På området nationell säkerhet saknar den enskilde på liknande sätt möjlighet att åberopa sina rättigheter enligt lagen om uppgifter hos förvaltningsorgan, om myndighetschefen på ”rimliga grunder” kan anta att ett utlämnande ”troligen kommer att skada den nationella säkerheten” (se artikel 14 iv). Mot bakgrund av detta åligger det myndigheterna att bevilja åtminstone partiellt utlämnande när detta är möjligt (artikel 15).
         
            (81)  Se den särskilda hänvisningen till lagen om uppgifter hos förvaltningsorgan i bilaga II, avsnitt II.A.1 b.2.
         
            (82)  Medan artikel 220 i lagen om rättegångsregler i brottmål medger husrannsakan och beslag ”på plats” utan husrannsakan, när en allmän åklagare, biträdande åklagare eller en tjänsteman vid kriminalpolisen griper en misstänkt/gärningsman på bar gärning, är detta inte tillämpligt i samband med en överföring och därmed i den mening som avses i detta beslut.
         
            (83)  Enligt artikel 222.1 jämförd med artikel 110 i lagen om rättegångsregler i brottmål, måste beslutet om husrannsakan/beslag visas upp för den person som är föremål för åtgärden.
         
            (84)  Se även artikel 189.2 i lagen om rättegångsregler i brottmål, enligt vilken en tjänsteman vid kriminalpolisen ska undersöka den misstänkta lagöverträdaren och bevis på överträdelsen ”när vederbörande anser att en överträdelse har begåtts”. På liknande sätt krävs det enligt artikel 155.1 i lagen om rättegångsregler i brottmål att en skriftlig begäran om husrannsakan bland annat ska innehålla ”den straffbelagda gärningen” och en ”sammanfattning av fakta som rör brottet”.
         
            (85)  I bilagan hänvisas till 9 typer av brott, t.ex. narkotikabrott och brott mot vapenlagen, människohandel och överlagt mord. Det bör noteras att den nyligen införda brottsrubriceringen ”förberedelse av terroristhandlingar och andra organiserade brott” (se fotnot 76) inte ingår i denna begränsande förteckning.
         
            (86)  Enligt artikel 23 i lagen om avlyssning ska den utredande myndigheten dessutom skriftligen underrätta den enskilde vars kommunikation har avlyssnats (och som därmed ingår i avlyssningsregistret).
         
            (87)  Se bilaga II, avsnitt II.A.1 b.1.
         
            (88)  Enligt inkomna uppgifter drabbas näringsidkare som underlåter att samarbeta inte av några negativa konsekvenser (påföljder inbegripet) enligt någon av lagarna. Se bilaga II, avsnitt II.A.2 a.
         
            (89)  Enligt nämndens allmänna riktlinjer (allmänna regler) utgör artikel 23.1 i i den rättsliga grunden för utlämnande av personlig information som svar både på ett beslut om husrannsakan (artikel 218 i lagen om rättegångsregler i brottmål) och ett ”undersökningsformulär” (artikel 197.2 i lagen om rättegångsregler i brottmål).
         
            (90)  Detta innebär att ”undersökningsformuläret” enbart får användas för att samla in information i enskilda fall och inte i någon omfattande insamling av personuppgifter. Se bilaga II, avsnitt I.A.2 b.1.
         
            (91)  Liksom förordningen om den regionala nämnden för den offentliga säkerheten, se artikel 189.1 i lagen om rättegångsregler i brottmål.
         
            (92)  Se även artikel 3 i polislagen, enligt vilken innebörden av ämbetseden som alla poliser avlägger är ”att troget fullgöra skyldigheten att försvara och värna om Japans konstitution och lagar, samt fullgöra yrkesplikterna på ett opartiskt, rättrådigt, rättvist fördomsfritt sätt.”
         
            (93)  Enligt artiklarna 30.1 och 31.2 i polislagen ska generaldirektören för de regionala polisdistrikten (den nationella polismyndighetens lokala grenar) ”leda och utöva tillsyn av” den regionala polismyndigheten.
         
            (94)  Undersökningsformuläret ska också innehålla ”uppgiftshanterarens” kontaktuppgifter (sektionsnamn [befattning], vederbörandes namn, telefonnummer till arbetsplatsen, anknytningsnummer osv.).
         
            (95)  Högsta domstolens dom av den 24 december 1969 (1965(A) 1187) och dom av den 15 april 2008 (2007(A) 839).
         
            (96)  Även om dessa domar inte rör insamling av elektroniska uppgifter, har den japanska regeringen klargjort att tillämpningen av de kriterier som tagits fram av högsta domstolen omfattar all påverkan från myndigheters sida av rätten till integritet, inbegripet till alla ”frivilliga utredningar”, och därmed är kriterierna bindande för de japanska myndigheterna också i samband med framställningar om frivilligt utlämnande av uppgifter. Se bilaga II, avsnitt II.A.2 b.1.
         
            (97)  Enligt inkomna uppgifter måste dessa faktorer anses ”rimliga enligt socialt accepterade konventioner”. Se bilaga II, avsnitt II.A.2 b.1.
         
            (98)  I fråga om liknande överväganden i samband med obligatoriska brottsutredningar (avlyssning), se även högsta domstolens dom av den 16 december 1999, 1997 (A) 636.
         
            (99)  I detta avseende hänvisar de japanska myndigheterna till nämndens riktlinjer (allmänna regler) och punkt 5/14 i ”Frågor och svar” som utarbetats av nämnden med avseende på tillämpningen av personuppgiftslagen. ”Med tanke på den ökande medvetenheten bland de enskilda om deras rätt till personlig integritet, liksom den arbetsbelastning som uppstår genom sådana framställningar, blir näringsidkarna”, enligt de japanska myndigheterna, ”allt försiktigare med att besvara sådana framställningar”. Se bilaga II, avsnitt II.A.2, också med hänvisning till den nationella polismyndighetens rapport 1999. Enligt inkomna uppgifter har det förekommit fall i vilka näringsidkare har vägrat att samarbeta. Exempelvis skriver LINE (Japans största meddelandeapp) såhär i sin rapport om öppenhet och insyn 2017: ”Efter att ha mottagit framställningar från utredande myndigheter osv., bestyrker vi […] lämpligheten med avseende på lagstiftning, användarskydd osv. Om framställningen uppvisar rättsliga brister, kommer vi att vid det tillfället avvisa framställningen. Om kravet är alltför omfattande för ändamålet med utredningen, begär vi ett klargörande från den utredande myndigheten. Om klargörandet är orimligt, kommer vi inte att besvara den ansökan.” Återfinns här: https://linecorp.com/en/security/transparency/top
         
            (100)  Påföljderna är 3 års fängelse med straffarbete eller böter om högst 2 miljoner yen för varje person som ”bedriver telekomverksamhet”.
         
            (101)  ”Rättmätiga handlingar” enligt strafflagen är i synnerhet åtgärder vidtagna av en telekomoperatör som överensstämmer med åtgärder vidtagna av staten och som har rättsverkan (tvångsåtgärder), till exempel när en utredande myndighet vidtar åtgärder på grundval av en husrannsakan som utfärdats av domstol. Se bilaga II, avsnitt II.A.2 b.2, med hänvisning till riktlinjerna om skydd av personlig information inom ramen för telekomverksamhet.
         
            (102)  Vad gäller berörda enskildas rättigheter, se avsnitt 3.1.
         
            (103)  I princip kan en allmän åklagare – eller biträdande åklagarens enligt en allmän åklagares beslut – förutsatt att vederbörande anser det nödvändigt, utreda brott (artikel 191.1 i lagen om rättegångsregler i brottmål).
         
            (104)  Enligt inkomna uppgifter genomför den nationella polismyndigheten inte enskilda brottsutredningar. Se bilaga II, avsnitt II.A.1 a.
         
            (105)  Se även artikel 246 i civilprocesslagen, enligt vilken kriminalpolisen är skyldig att översända handlingarna till åklagaren så snart en brottsutredning genomförts (”principen om översändande i alla ärenden”).
         
            (106)  Alternativt kan parlamentet begära att styrelsen för tillsyn och översyn av särskilt angivna hemligheter utreder en vägran att svara. Se artikel 104-II i parlamentets lag.
         
            (107)  Se bilaga II, avsnitt II.B.4).
         
            (108)  Enligt bestämmelserna i artikel 100 i lagen om lokalt självbestämmande har den lokala folkförsamlingen behörighet att undersöka den verksamhet som tillsynsmyndigheterna på regionala nivå utövar, vilket inbegriper den regionala polismyndigheten.
         
            (109)  Se artiklarna 39-41 i polislagen. Vad gäller politisk neutralitet, se även artikel 42 i polislagen.
         
            (110)  Se bilaga II, avsnitt II.B.3 (”systemet med oberoende råd”).
         
            (111)  Se artiklarna 5.3 och 38.3 i polislagen.
         
            (112)  Se artiklarna 38.3 och 43-2.1 i polislagen. Om den regionala nämnden för den offentliga säkerheten ”lämnar en anvisning”, i den mening som avses i artikel 43–2.1, får den anvisa en kommitté som utsetts av nämnden för att övervaka dess genomförande (punkt 2). Nämnden kan också rekommendera disciplinära åtgärder och avskedande av regionpolischefen (artikel 50.2) samt av andra polistjänstemän (artikel 55.4 i polislagen).
         
            (113)  Detsamma gäller Tokyos högste polischef (se artikel 48.1 i polislagen).
         
            (114)  Enligt inkomna uppgifter handlades under räkenskapsåret 2017 (april 2017 till mars 2018) sammanlagt 5 186 förfrågningar från enskilda inom ”centren för övergripande information”.
         
            (115)  Enligt villkoret ”specifik nackdel” behöver klaganden bara vara personligen berörd av polisens uppträdande (eller underlåtenhet); vederbörande behöver inte kunna påvisa någon skada.
         
            (116)  Efterlevnaden av lagstiftningen, inbegripet de rättsliga kraven för insamling och användning av personuppgifter, är ett av dessa åligganden. Se artikel 2.2 stycke 3 i polislagen.
         
            (117)  Vid genomförandet av utvärderingen kommer nämnden att samarbeta med inrikes- och kommunikationsministeriet, vilket beskrivs i skäl 136, och kan då begära in förklaringar och underlag samt avge yttranden om förvaltningsorganets hantering av personlig information (artiklarna 50 och 51 i lagen om uppgifter hos förvaltningsorgan).
         
            (118)  Detta inbegriper ett avlyssningsbeslut, som enligt lagen om avlyssning ska föregås av en särskild förhandsanmälan (artikel 23). Enligt den bestämmelsen ska den utredande myndigheten dessutom skriftligen underrätta varje enskild vars kommunikation har avlyssnats (och som därmed ingår i avlyssningsregistret) om att så skett. Ett annat exempel är artikel 100.3 i lagen om rättegångsregler i brottmål, enligt vilken domstolen, när den har beslagtagit postförsändelser eller telegram som skickats till eller av den tilltalade, ska underrätta avsändaren eller mottagaren, förutsatt att det inte finns någon risk för att denna anmälan skulle försvåra domstolsförfaranden. I artikel 222.1 i lagen om rättegångsregler i brottmål görs en korshänvisningar till denna bestämmelse om husrannsakan och beslag som utförs av en utredande myndighet.
         
            (119)  Även om en sådan begäran inte automatiskt skulle leda till något tillfälligt upphävande av beslutets verkställighet, kan den domstol som prövar ärendet besluta om ett tillfälligt upphävande till dess att den har fällt ett avgörande i saken. Se artiklarna 429.2 och 432 jämförda med artikel 424 i lagen om rättegångsregler i brottmål.
         
            (120)  Se bilaga II, avsnitt II.C.1.
         
            (121)  Se bilaga II, avsnitt II.C.2).
         
            (122)  Se t.ex. Tokyos distriktsdomstol, dom av den 24 mars 1988 (nr 2925). Osaka distriktsdomstol, dom av den 26 april 2007 (nr 2925). Enligt Osaka distriktsdomstol måste ett flertal faktorer vägas in, t.ex.: i) den typ av personlig information som berörs och dess innehåll, ii) det sätt på vilket de har samlats in, iii) olägenheterna för den enskilde om uppgifterna inte raderas, och iv) allmänintresset, däribland nackdelar för myndigheten i fall uppgifterna raderas.
         
            (123)  I alla händelser ska åklagarmyndigheten, efter det att straffrättsliga förfaranden inletts, ge den tilltalade möjlighet att kontrollera bevisningen (se artiklarna 298–299 i civilprocesslagen). Vad gäller brottsoffer, se artiklarna 316–333 i lagen om rättegångsregler i brottmål.
         
            (124)  Därför kan näringsidkaren fritt välja att inte samarbeta, utan risk för påföljder eller andra negativa konsekvenser. Se bilaga II, avsnitt III.A.1).
         
            (125)  Enligt inkomna uppgifter är den nationella polismyndighetens viktigaste roll att samordna utredningar inom den regionala polismyndighetens olika avdelningar och utbyta information med utländska myndigheter. Även i denna roll är den nationella polismyndigheten föremål för tillsyn av den nationella nämnden för allmän säkerhet, med ansvar bland annat för skyddet av den enskildes fri- och rättigheter (artikel 5.1 i polislagen).
         
            (126)  Se bilaga II, avsnitt III.A.1.3. Dessa båda lagars respektive tillämpningsområde är begränsat. I lagen om samhällsomstörtande verksamhet finns en hänvisning till ”terroristisk omstörtande verksamhet” och i lagen om urskillningslösa massmord till ”handlingen urskillningslöst massmord” (enligt den förra lagen betyder ”terroristiskt omstörtande verksamhet” akt ”genom vilken ett stort antal personer mördas urskillningslöst”).
         
            (127)  Se artiklarna 5 och 8 i lagen om urskillningslösa massmord. Ett övervakningsförordnande medför även en rapporteringsskyldighet för organisationer som berörs av åtgärden. Vad gäller rättssäkerhetsgarantier, se artiklarna 12, 13 och 15–27 i lagen om urskillningslösa massmord, särskilt kraven på öppenhet och förhandsgodkännande från undersökningskommissionen för den allmänna säkerheten.
         
            (128)  Se artiklarna 5 och 7 i lagen om samhällsomstörtande verksamhet. Vad gäller rättssäkerhetsgarantier, se artiklarna 11–25 i lagen om samhällsomstörtande verksamhet, särskilt kraven på öppenhet och förhandsgodkännande från undersökningskommissionen för den allmänna säkerheten.
         
            (129)  Se artikel 27 i lagen om samhällsomstörtande verksamhet och artiklarna 29 och 30 i lagen om urskillningslösa massmord.
         
            (130)  Se bilaga II, avsnitt III.A.1.3.
         
            (131)  Se bilaga II, avsnitt III.A.2 b. ”Av högsta domstolens rättspraxis framgår att om en begäran om frivilligt samarbete ska riktas till en näringsidkare, måste denna begäran vara nödvändig för undersökningen av ett misstänkt brott och vara rimlig för att uppnå syftet med utredningen. Fastän utredningar som genomförs av utredande myndigheter på området nationell säkerhet skiljer sig från utredningar som genomförs av utredande myndigheter på området brottsbekämpning i fråga om både deras rättsliga grund och syfte, är de centrala principerna om ’utredningens nödvändighet’ och ’metodens lämplighet’ också tillämpliga på området nationell säkerhet och måste fullgöras med vederbörlig hänsyn till de särskilda omständigheterna i varje enskilt fall.”
         
            (132)  Se bilaga II, avsnitt III.A.2 b.
         
            (133)  Se t.ex. artikel 36 i lagen om samhällsomstörtande verksamhet/artikel 32 i lagen om urskillningslösa massmord (för underrättelsetjänstens vidkommande).
         
            (134)  Chefen för byrån för rättslig efterlevnad är en f.d. allmän åklagare. Se bilaga II, avsnitt III.B.3).
         
            (135)  Se bilaga II, avsnitt III.B.3 Enligt det angivna exemplet, den återkommande försvarsinspektionen 2016 om medvetenhet om/beredskap för efterlevnad av lagen som bland annat omfattar ”hur skyddet av personlig information sköts” (förvaltning, lagring osv.). I rapporten påtalades fall av olämplig uppgiftshantering och förbättringar i detta avseende efterlystes. Försvarsministeriet har offentliggjort rapporten på sin webbplats.
         
            (136)  Enligt lagen om inrättandet av undersökningskommissionen för den allmänna säkerheten, ska kommissionens ordförande och ledamöter ”utöva sina befogenheter på ett oberoende sätt” (artikel 3). De utses av premiärministern, med samtycke av parlamentets båda kamrar och får endast avsättas ”av ett skäl” (t.ex. fängelsestraff, försummelse, fysisk eller psykisk störningar, pågående konkursförfarande).
         
            (137)  Regelverk för de återkommande inspektioner som utförs av underrättelsetjänsten för den allmänna säkerheten (underrättelsetjänstens generaldirektör, instruktion nr 4, 1986).
         
            (138)  Regelverk för de särskilda inspektioner som utförs av underrättelsetjänsten för den allmänna säkerheten (underrättelsetjänstens generaldirektör, instruktion nr 11, 2008). Särskilda inspektioner kommer att utföras när underrättelsetjänstens generaldirektör anser det nödvändigt.
         
            (139)  Detta avser rätten att få en kopia av ”Lagrad personlig information”.
         
            (140)  Se även möjligheten till ”skönsmässigt utlämnande” också i fall där ”uppgifter som inte får utlämnas” ingår i ”den lagrade personliga information” som begäran om utlämnande omfattar (artikel 16 i lagen om uppgifter hos förvaltningsorgan).
         
            (141)  Lagen om administrativa överklaganden (lag nr 160, 2014), särskilt artikel 1.1.
         
            (142)  Se artikel 9 i lagen om inrättande av styrelsen för översyn av utlämnande av uppgifter och skydd av personuppgifter (lag nr 60 från 2003).
         
            (143)  Enligt inkomna uppgifter under de 13 åren sedan 2005 (då lagen om uppgifter hos förvaltningsorgan trädde i kraft), har förvaltningsorganet i endast två av 2000 fall inte följt rapporten, trots att förvaltningsbeslut vid många tillfällen har ifrågasatts av besvärsnämnden. Om förvaltningsorganet fattar ett beslut som avviker från slutsatserna i rapporten, måste det dessutom tydligt ange skälen till denna avvikelse. Se bilaga II, avsnitt III.C, med hänvisning till artikel 50.1, stycke iv i lagen om administrativa överklaganden.
         
            (144)  I varje län finns ett centrum för övergripande information som förser medborgarna med förklaringar om personuppgifter som samlas in av myndigheterna (t.ex. befintliga databaser) och tillämpliga regler om uppgiftsskydd (lagen om uppgifter hos förvaltningsorgan), inbegripet hur rätten till utlämnande, rättelse eller upphävande av användningen utövas. Samtidigt kan de fungera som kontaktpunkter för förfrågningar och klagomål från medborgare. Se bilaga II, avsnitt II.C.4 a.
         
            (145)  Se även artiklarna 10 och 11 i lagen om uppgifter hos förvaltningsorgan rörande ”Registret över personuppgiftsakter”, som dock innehåller omfattande undantag för ”personuppgiftsakter” som förberetts eller erhållits inför brottsutredningar eller som rör säkerhetsfrågor och andra viktiga statsintressen (se artikel 10.2, punkterna i och ii i lagen om uppgifter hos förvaltningsorgan).
         
            (146)  Se fotnot 3 ovan.
         
            (147)  Schrems-målet, punkt 76.
         
            (148)  Schrems-målet, punkt 65.
         
            (149)  Schrems-målet, punkt 65: ”Det ankommer härvidlag på den nationella lagstiftaren att föreskriva rättsmedel som gör det möjligt för den nationella tillsynsmyndigheten att vid nationella domstolar göra gällande de invändningar som den anser att det finns fog för, så att nationella domstolar, för det fall att de delar myndighetens tvivel angående kommissionsbeslutets giltighet, kan hänskjuta en begäran om förhandsavgörande för att pröva detta besluts giltighet.”
         
            (150)  Enligt artikel 45.3 i förordning (EU) 2016/679 ska ”[g]enomförandeakten […] inrätta en mekanism för regelbunden översyn, minst vart fjärde år, som ska beakta all relevant utveckling i det tredjelandet eller den internationella organisationen.”
         
            (151)  I artikel 45.3 i förordning (EU) 2016/679 föreskrivs att en regelbunden översyn ska äga rum minst vart fjärde år. Se även Europeiska dataskyddsstyrelsen, Adequacy Referential, WP 254 rev 01.
         
            (152)  Se bilaga II, avsnitt IV: ”Inom ramen för den regelbundna översynen av beslutet om adekvat skyddsnivå, kommer nämnden och Europeiska kommissionen att utbyta information om behandlingen av uppgifter enligt villkoren i beslutet om adekvat skyddsnivå, också de som anges i denna framställning.”
         
            (153)  Europaparlamentets och rådets förordning (EU) nr 182/2011 av den 16 februari 2011 om fastställande av allmänna regler och principer för medlemsstaternas kontroll av kommissionens utövande av sina genomförandebefogenheter (EUT L 55, 28.2.2011, s. 13).
         
            (154)  Opinion 28/2018 regarding the European Commission Draft Implementing Decision on the adequate protection of personal data in Japan, antaget den 5 december 2018
         
            (155)  Europaparlamentets resolution av den 12 december 2017”En digital handelsstrategi” (2017/2065 (INI)). Se särskilt punkt 8 (”… erinrar om att personuppgifter får överföras till tredjeländer utan användning av allmänna ordningar i handelsavtal, när kraven – både nu och i framtiden – i enlighet med […] kapitel V i förordning (EU) 2016/679 är uppfyllda, konstaterar att beslut om adekvat skyddsnivå, även partiella och sektorsspecifika, utgör en grundläggande mekanism för att säkra överföringarna av personuppgifter från EU till ett tredjeland, noterar att EU endast har antagit beslut om adekvat skyddsnivå med fyra av sina 20 största handelspartner […]”) och punkt 9 (”Uppmaning till kommissionen att prioritera och påskynda antagandet av beslut om adekvat skyddsnivå, förutsatt att tredjeländer, på grundval av sin nationella lagstiftning eller sina internationella åtaganden, prioriterar en skyddsnivå som ’väsentligen är likvärdig’ med den som garanteras inom EU…”).
         
            (156)  Europaparlamentets resolution av den 13 december 2018 om huruvida skyddet för personuppgifter i Japan är tillräckligt (2018/2979 (RSP))
      
      
         
            BILAGA 1
            
               TILLÄGGSREGLER ENLIGT LAGEN OM SKYDD AV PERSONUPPGIFTER FÖR HANTERING AV PERSONUPPGIFTER SOM ÖVERFÖRTS FRÅN EU PÅ GRUNDVAL AV ETT BESLUT OM ADEKVAT SKYDDSNIVÅ
            
            Innehållsförteckning
            
                        1)
                     
                     Personlig information som kräver särskild behandling definieras i artikel 2.3 i lagen.
                     38
                  
                        2)
                     
                     Lagrade personuppgifter (artikel 2.7 i lagen)
                     39
                  
                        3)
                     
                     Angivande av ett syfte med användningen, begränsning på grund av ett syfte med användningen (artikel 15.1, artikel 16.1 och artikel 26.1 och 3 i lagen)
                     40
                  
                        4)
                     
                     Begränsningar av överföring till en tredje part i främmande land (artikel 24 i lagen, artikel 11.2 i reglerna)
                     41
                  
                        5)
                     
                     Anonymt behandlad information (artikel 2.9 och artikel 36.1 och 2 i akten)
                     41
                  [Villkor]
            
                        ”Lagen”
                     
                     
                        Lag om skydd av personuppgifter (lag nr 57, 2003).
                     
                  
                        ”Regeringsbeslut”
                     
                     
                        Regeringsbeslut om att genomföra lagen om skydd av personuppgifter (regeringsbeslut nr 507, 2003)
                     
                  
                        ”Regler”
                     
                     
                        Genomföranderegler för lagen om skydd av personuppgifter (Regler från nämnden för skydd av personuppgifter nr 3, 2016)
                     
                  
                        ”Riktlinjer om de allmänna reglerna”
                     
                     
                        Riktlinjer om genomförandereglerna för lagen om skydd av personuppgifter (volym om allmänna regler) (Meddelande från nämnden för skydd av personuppgifter nr 65, 2015)
                     
                  
                        ”EU”
                     
                     
                        Europeiska unionen, dess medlemsstater och, mot bakgrund av EES-avtalet, Island, Liechtenstein och Norge
                     
                  
                        ”Dataskyddsförordningen”
                     
                     
                        Europaparlamentets och rådets förordning om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning)
                     
                  
                        ”beslut om adekvat skyddsnivå”
                     
                     
                        Kommissionens beslut om att ett tredjeland, ett territorium inom tredjelandet osv. har en adekvat skyddsnivå för personuppgifter i enlighet med artikel 45 i den allmänna dataskyddsförordningen
                     
                  För att en ömsesidig och smidig överföring av personuppgifter mellan Japan och EU ska kunna genomföras, har nämnden för skydd av personuppgifter definierat EU som ett främmande land som inrättar ett system för skydd av personuppgifter vilket anses ha standarder likvärdiga med dem i Japan med avseende på skyddet för den enskildes rättigheter och intressen på grundval av artikel 24 i lagen, och Europeiska kommissionen har samtidigt beslutat att Japan säkerställer en adekvat skyddsnivå för personuppgifter enligt artikel 45 i den allmänna dataskyddsförordningen.
            Härmed kommer ömsesidig och smidig överföring av personuppgifter mellan Japan och EU att ske på ett sätt som säkerställer en hög skyddsnivå för enskildas rättigheter och intressen. I syfte att säkerställa ett personuppgiftsskydd på hög nivå avseende personuppgifter som tas emot från EU på grundval av ett beslut om adekvat skyddsnivå och mot bakgrund av det faktum att det, trots en hög grad av likhet mellan de två systemen, finns vissa viktiga skillnader, har nämnden för skydd av personuppgifter antagit dessa tilläggsregler, på grundval av bestämmelserna i lagen om genomförande m.m. av samarbete med regeringarna i andra länder och i syfte att säkerställa en lämplig hantering av personuppgifter som tas emot från EU på grundval av ett beslut om adekvat skyddsnivå av en näringsidkare som hanterarar personlig information och ett korrekt och faktiskt genomförande av de skyldigheter som fastställs i dessa regler (1).
            Särskilt i artikel 6 i lagen föreskrivs en möjlighet att vidta nödvändiga lagstiftningsåtgärder och andra åtgärder för att säkerställa det stärkta skyddet av personuppgifter och bygga upp ett internationellt förenligt system för personuppgifter genom striktare regler som kompletterar och går utöver dem som föreskrivs i lagen och regeringsbeslutet. Därför har nämnden för skydd av personuppgifter, i egenskap av behörig myndighet för den övergripande förvaltningen av lagen, rätt att i enlighet med artikel 6 i lagen fastställa strängare föreskrifter genom att formulera de aktuella tilläggsbestämmelserna sålunda att de ger enskildas rättigheter och intressen en högre skyddsnivå avseende hanteringen av personuppgifter från EU på grundval av ett beslut om adekvat skyddsnivå, även i fråga om definitionen av personuppgifter som kräver särskild behandling enligt artikel 2.3 i lagen och lagrade personuppgifter enligt artikel 2.7 i lagen (inbegripet en definition av relevant lagringstid).
            På grundval av detta är tilläggsreglerna bindande för näringsidkare som hanterar personlig information och som tar emot personuppgifter som överförs från EU på grundval av ett beslut om adekvat skyddsnivå, vilket således måste fattas i enlighet med dem. Nämnden för skydd av personuppgifter ansvarar för att rättigheter och skyldigheter, i egenskap av rättsligt bindande regler, fullgörs på samma sätt som de bestämmelser i lagen vilka de kompletterar med striktare och/eller mer detaljerade regler. Vid överträdelse av de rättigheter och skyldigheter som följer av tilläggsreglerna kan den enskilde beviljas prövning i domstol på samma sätt som med avseende på de bestämmelser i lagen vilka de kompletterar med striktare och/eller mer detaljerade bestämmelser.
            I fråga om verkställighet som övervakas av nämnden för skydd av personuppgifter gäller följande: Ifall en näringsidkare som hanterar personlig information inte fullgör en eller flera skyldigheter enligt tilläggsreglerna, har nämnden för skydd av personuppgifter befogenhet att vidta åtgärder i enlighet med artikel 42 i lagen. I fråga om personlig information i allmänhet som tas emot från EU på grundval av ett beslut om adekvat skyddsnivå gäller följande: Ifall en näringsidkare som hanterar personlig information utan giltigt skäl (2) underlåter att vidta åtgärder i enlighet med en rekommendation som lämnats i enlighet med artikel 42.1, betraktas detta som en allvarlig och överhängande överträdelse av en persons rättigheter och intressen i den mening som avses i artikel 42.2 i lagen.
            1)   Personlig information som kräver särskild behandling definieras i artikel 2.3 i lagen.
            
                        Artikel 2.3 i lagen
                        
                                 
                                    3)
                                 
                                 
                                    ”Personlig information som kräver särskild behandling” avser i denna lag personlig information som rör huvudmannens ras, tro, sociala ställning, sjukdomshistoria, belastningsregistret, erfarenheter av skada till följd av ett brott eller andra uppgifter och dyl. som föreskrivs genom regeringsbeslut såsom uppgifter vilka kräver särskild behandling för att inte orsaka orättvis diskriminering, fördomar eller andra nackdelar för huvudmannen.
                                 
                              
                  
                        I artikel 2 i regeringsbeslutet
                        Dessa beskrivningar och dyl. som föreskrivs enligt artikel 2.3 i lagen ska vara dessa beskrivningar och dyl. som innehåller någon av de uppgifter som anges nedan (dock inte uppgifter som ingår i huvudmannens patientjournal eller i belastningsregistret):
                        
                                    i)
                                 
                                 
                                    Fysisk funktionsnedsättning, intellektuell funktionsnedsättning, psykiska funktionshinder (inbegripet utvecklingsstörningar) eller andra fysiska och psykiska funktionshinder som anges i reglerna från nämnden för skydd av personuppgifter.
                                 
                              
                                    ii)
                                 
                                 
                                    Resultat av läkarundersökning eller annan undersökning (kallat ”läkarundersökning och dyl.” i efterföljande led) för förebyggande och tidig upptäckt av en sjukdom som genomförs på en huvudman av en läkare eller annan person som arbetar med vårdrelaterade uppgifter (kallad ”läkare eller annan person” i efterföljande led).
                                 
                              
                                    iii)
                                 
                                 
                                    Det faktum att en huvudman fått vägledning för att förbättra de psykiska och fysiska villkoren eller medicinsk vård eller recept av en läkare eller annan person på grundval av resultaten av en läkarundersökning eller dyl. eller på grund av sjukdom, skada eller andra psykiska och fysiska förändringar.
                                 
                              
                                    iv)
                                 
                                 
                                    Det faktum att frihetsberövande, husrannsakan, beslag, kvarhållande, åtal eller andra förfaranden i samband med ett brottmål har utförts mot huvudman i egenskap av misstänkt eller tilltalad.
                                 
                              
                                    v)
                                 
                                 
                                    Det faktum att en utredning, övervaknings- och skyddsåtgärd, förhör och beslut, skyddsåtgärd eller andra förfaranden rörande ett ärende som gäller skydd av underårig har utförts mot en huvudman i egenskap av ungdomsbrottsling eller en person som misstänks vara det enligt artikel 3.1 i ungdomslagen.
                                 
                              
                  
                        Artikel 5 i reglerna
                        Fysiska och psykiska funktionsnedsättningar som föreskrivs i reglerna från nämnden för skydd av personuppgifter enligt artikel 2 i i beslutet ska vara de funktionshinder som anges nedan:
                        
                                    i)
                                 
                                 
                                    Fysiska funktionsnedsättningar som anges i en tabell i lagen om välfärd för personer med fysisk funktionsnedsättning (lag nr 283, 1949).
                                 
                              
                                    ii)
                                 
                                 
                                    Intellektuella funktionsnedsättningar enligt lagen om välfärd för personer med intellektuell funktionsnedsättning (lag nr 37, 1960).
                                 
                              
                                    iii)
                                 
                                 
                                    Psykiska funktionsnedsättningar som avses i lagen om psykisk hälsa och välfärd för personer med psykisk funktionsnedsättning (lag nr 123, 1950) (inbegripet utvecklingsstörning som fastställs i artikel 2.1 i lagen om stöd till personer med utvecklingsstörning, dock med undantag av intellektuell funktionsnedsättning enligt lagen om välfärd för personer med intellektuell funktionsnedsättning).
                                 
                              
                                    iv)
                                 
                                 
                                    En sjukdom för vilken någon behandlingsmetod inte fastställts eller andra särskilda sjukdomar för vilka allvarlighetsgraden avseende dem som föreskrivs av regeringen enligt artikel 4.1 i lagen om omfattande stöd i det dagliga sociala livet till personer med funktionsnedsättning (lag nr 123, 2005) motsvarar dem som föreskrivs av ministern för hälso-, arbets- och välfärdsfrågor i enlighet med sagda punkt.
                                 
                              
                  Om personuppgifter som mottagits från EU på grundval av ett beslut om adekvat skyddsnivå innehåller uppgifter om en fysisk persons sexualliv eller sexuella läggning eller medlemskap i fackförening, vilka enligt allmänna dataskyddsförordningen definieras som särskilda kategorier av personuppgifter, åligger det näringsidkare som hanterar personlig information att hantera dessa personuppgifter på samma sätt som personuppgifter som kräver särskild behandling i den mening som avses i artikel 2.3 i lagen.
            2)   Lagrade personuppgifter (artikel 2.7 i lagen)
            
                        Artikel 2 (punkt 7) i lagen
                        
                                 
                                    7)
                                 
                                 
                                    ”Lagrade personuppgifter” i denna lag avser personuppgifter vilka näringsidkare som hanterar personlig information har befogenhet att lämna ut, korrigera, komplettera eller radera innehållet i, upphöra med användningen av, radera och upphöra med tillhandahållandet till tredje part av, och som varken ska vara de som föreskrivs i regeringsbeslutet såsom sannolikt skadliga för offentliga eller andra intressen, om förekomsten eller frånvaron av dem har blivit känd, eller uppgifter som ska raderas inom en period på högst ett år när så föreskrivs genom regeringsbeslut.
                                 
                              
                  
                        I artikel 4 i regeringsbeslutet
                        Uppgifter som föreskrivs genom regeringsbeslut enligt artikel 2.7 ska vara de som anges nedan:
                        
                                    i)
                                 
                                 
                                    Uppgifter i förhållande till vilka det är möjligt att om förekomsten eller frånvaron av dessa personuppgifter blir känd, skulle det skada en huvudmans eller tredje parts liv, kropp eller förmögenhet.
                                 
                              
                                    ii)
                                 
                                 
                                    Uppgifter i förhållande till vilka det är möjligt att om förekomsten eller frånvaron av dessa personuppgifter blir känd, skulle det uppmuntra eller framkalla en olaglig eller oberättigad handling.
                                 
                              
                                    iii)
                                 
                                 
                                    Uppgifter i förhållande till vilka det är möjligt att om förekomsten eller frånvaron av dessa personuppgifter blir känd, skulle den undergräva den nationella säkerheten, förstöra ett tillitsfullt förhållande till ett främmande land eller en internationell organisation eller leda till nackdelar i förhandlingar med ett främmande land eller en internationell organisation.
                                 
                              
                                    iv)
                                 
                                 
                                    Uppgifter i förhållande till vilka det är möjligt att om förekomsten eller frånvaron av dessa personuppgifter blir känd, skulle hindra upprätthållandet av den offentliga säkerheten och allmänna ordningen, exempelvis förebyggande, bekämpande eller utredande av brott.
                                 
                              
                  
                        I artikel 5 i regeringsbeslutet
                        Frist som fastställs i regeringsbeslut enligt artikel 2.7 i lagen ska vara sex månader.
                     
                  Personuppgifter som mottagits från EU på grundval av ett beslut om adekvat skyddsnivå ska hanteras som lagrade personuppgifter i den mening som avses i artikel 2.7 i lagen, oberoende av tidsfristen för raderingen av dem.
            Om personuppgifter som mottagits från EU på grundval av ett beslut om adekvat skyddsnivå utgör personuppgifter på det sätt som föreskrivs som uppgifter vilka ”sannolikt kommer att skada offentliga eller andra intressen, om deras närvaro eller frånvaro blir känd”, behöver sådana uppgifter inte hanteras som lagrade personuppgifter (se artikel 4 i regeringsbeslutet, riktlinjerna om de allmänna reglerna, ”2–7. Lagrade personuppgifter”).
            3)   Angivande av ett syfte med användningen, begränsning på grund av ett syfte med användningen (artikel 15.1, artikel 16.1 och artikel 26.1 och 3 i lagen)
            
                        Artikel 15 (punkt 1) i lagen
                        
                                 
                                    1)
                                 
                                 
                                    En näringsidkare som hanterar personlig information ska, vid hanteringen av personlig information, ange syftet med användningen av den personliga informationen (nedan kallat ”syftet med användningen”) så uttryckligt som möjligt.
                                 
                              
                  
                        Artikel 16 (punkt 1) i lagen
                        
                                 
                                    1)
                                 
                                 
                                    En näringsidkare som hanterar personlig information får inte hantera personlig information utan att i förväg erhålla huvudmannens samtycke, utöver det handlingsutrymme som krävs för att uppnå de ändamål som anges enligt bestämmelserna i föregående artikel.
                                 
                              
                  
                        Artikel 26 (punktern 1 och 3) i lagen
                        
                                 
                                    1)
                                 
                                 
                                    En näringsidkare som hanterar personlig information ska, när överföringen av personuppgifter tas emot från en tredje part, bekräfta de omständigheter som anges nedan i enlighet med reglerna från nämnden för skydd av personlig information. (Utelämnat)
                                    
                                                i)
                                             
                                             
                                                (Utelämnat)
                                             
                                          
                                                ii)
                                             
                                             
                                                Omständigheter under vilka dessa personuppgifter övertogs från omnämnd tredje part.
                                             
                                          
                              
                                 
                                    3)
                                 
                                 
                                    En näringsidkare som hanterar personlig information ska, sedan en bekräftelse lämnats enligt bestämmelserna i punkt 1), registrera dagen för mottagandet av överföringen av personuppgifter i enlighet med reglerna från nämnden för skydd av personuppgifter, en fråga som gäller denna bekräftelse och andra frågor som föreskrivs i reglerna från nämnden för skydd av personuppgifter.
                                 
                              
                  Ifall en näringsidkare som hanterar personlig information hanterar personlig information utöver vad som är nödvändigt för att uppnå ett syfte för användningen enligt vad som anges i artikel 15.1 i lagen, ska de inhämta den berörda huvudmannens samtycke i förväg (artikel 16.1 i lagen). När överföringen av personuppgifter tas emot från en tredje part, ska en näringsidkare som hanterar personlig information, enligt reglerna bekräfta frågor som bland annat rör de omständigheter under vilka dessa personuppgifter förvärvades av tredje part, och registrera dessa frågor (artikel 26.1 och 3 i lagen).
            Ifall en näringsidkare som hanterar personlig information mottar personuppgifter från EU på grundval av ett beslut om adekvat skyddsnivå, ska omständigheterna kring förvärvet av dessa personuppgifter, vilka ska bekräftas och registreras i enlighet med artikel 26.1 och 3, inbegripa det syfte för användningen för vilket den har tagits emot från EU.
            Ifall en näringsidkare som hanterar personlig information mottar personuppgifter från en annan näringsidkare som hanterar personlig information som tidigare överförts från EU på grundval av ett beslut om adekvat skyddsnivå, ska omständigheterna kring förvärvet av dessa personuppgifter, vilka ska bekräftas och registreras i enlighet med artikel 26.1 och 3, på samma sätt inbegripa det syfte för användningen för vilket den har tagits emot från EU.
            I ovannämnda fall åligger det den näringsidkare som hanterar personlig information att ange ändmålet med att utnyttja nämnda personuppgifter inom det tillämpningsområde för vilket uppgifterna ursprungligen eller senare tagits emot, vilket bekräftats och registrerats enligt artikel 26.1 och 3, och använda dessa uppgifter inom nämnda tillämpningsområde (såsom föreskrivs i artiklarna 15.1 och artikel 16.1 i lagen).
            4)   Begränsningar av överföring till en tredje part i främmande land (artikel 24 i lagen, artikel 11.2 i reglerna)
            
                        Artikel 24 i lagen
                        En näringsidkare som hanterar personlig information, förutom i de fall som anges i varje led i föregående artikel (punkt 1) ska, när personuppgifter överförs till en tredje part (bortsett från en person som bygger upp ett system som är förenligt med de standarder som föreskrivs i reglerna från nämnden för skydd av personuppgifter såsom nödvändiga för att fortlöpande vidta åtgärder som motsvarar åtgärder vilka en näringsidkare som hanterar personlig information ska vidta med avseende på hantering av personuppgifter enligt föreskrifterna i detta stycke; hädanefter detsamma i denna artikel) i ett främmande land (dvs. ett land eller en region utanför japanskt territorium; hädanefter detsamma) (uteslutande dem som föreskrivs i reglerna från nämnden för skydd av personuppgifter såsom främmande land på väg att bygga upp ett system för skydd av personlig information som anses ha en standard motsvarande den i Japan med avseende på skyddet av den enskildes rättigheter och intressen; hädanefter detsamma i denna artikel) på förhand inhämta huvudmannens samtycke så att vederbörande godkänner överförandet till en tredje part i ett främmande land. I detta fall ska bestämmelserna i föregående artikel inte var tillämpliga.
                     
                  
                        Artikel 11.2 i reglerna
                        Standarder som föreskrivs i reglerna från nämnden för skydd av personuppgifter enligt artikel 24 i lagen ska omfattas av någon av följande punkter.
                        
                                    i)
                                 
                                 
                                    En näringsidkare som hanterar personlig information och en person som erhåller överföringen av personuppgifter har, med avseende på hanteringen av personuppgifter som utförs av den person som tar emot överföringen, garanterat att åtgärder, genom en lämplig och rimlig metod, kommer att vidtas i enlighet med innehållet i bestämmelserna i kapitel IV avsnitt 1 i lagen.
                                 
                              
                                    ii)
                                 
                                 
                                    En person som tar emot överföringen av personuppgifter är erkänd på grundval av ett internationellt regelverk för behandling av personlig information.
                                 
                              
                  Ifall en tredje part i ett annat land förses med personuppgifter som den har mottagit från EU på grundval av ett beslut om adekvat skyddsnivå, ska en näringsidkare som hanterar personlig information inhämta huvudmannens samtycke i förväg så att vederbörande godkänner överföringen till en tredje part i ett annat land enligt artikel 24 i lagen, efter att ha fått upplysningar om omständigheterna kring överföringen som är nödvändiga för att huvudmanen ska kunna besluta om samtycke, utom i de fall som omfattas av leden i–iii nedan:
            
                        i)
                     
                     
                        När tredje part i ett land som i bestämmelserna föreskrivs som ett främmande land som bygger upp ett system för skydd av personlig information, vilka anses ha standarder som är likvärdiga med dem i Japan med avseende på skyddet för enskildas rättigheter och intressen.
                     
                  
                        ii)
                     
                     
                        När en näringsidkare som hanterar personlig information och den tredje part som tar emot överföringen av personuppgifter, i förhållande till personuppgifter som hanteras av tredje part, tillsammans har genomfört åtgärder som ger en skyddsnivå likvärdig med anslutningsakten, jämförd med nuvarande regler, genom en lämplig och rimlig metod (dvs. ett avtal, andra former av bindande överenskommelser eller bindande överenskommelser inom en koncern).
                     
                  
                        iii)
                     
                     
                        I fall som omfattas av artikel 23.1 i lagen.
                     
                  5)   Anonymt behandlad information (artikel 2.9 och artikel 36.1 och 2 i akten)
            
                        Artikel 2 (punkt 9) i lagen
                        
                                 
                                    9)
                                 
                                 
                                    ”Anonymt behandlad information” i denna lag avser information om en enskild som kan produceras genom behandling av information, så att det varken är möjligt att identifiera en viss person genom åtgärder som fastställs i var och en av punkterna nedan utifrån de element av personlig information som anges i var och en av dessa punkter eller att återställa den personliga informationen.
                                    
                                                i)
                                             
                                             
                                                Personlig information som omfattas av punkt 1 led i.
                                                Radera en del av de beskrivningar och dyl. som ingår i den omnämnda personliga informationen (inbegripet att ersätta den omnämnda delen av beskrivningar och dyl. med andra beskrivningar och dyl. genom en metod utan regelbundenhet som kan återskapa den omnämnda delen av beskrivningarna och dyl.).
                                             
                                          
                                                ii)
                                             
                                             
                                                Personlig information som omfattas av punkt 1 led ii.
                                                Radera alla individuella identifieringskoder som ingår i den omnämnda personliga informationen (inbegripet att ersätta de omnämnda individuella identifieringskoderna med andra beskrivningar och dyl. genom en metod utan regelbundenhet som kan återskapa de omnämnda personliga identifieringskoderna).
                                             
                                          
                              
                  
                        Artikel 36 (punkt 1) i lagen
                        
                                 
                                    1)
                                 
                                 
                                    En näringsidkare som hanterar personlig information ska, när anonymt behandlad information behandlas (begränsad till vad som utgör en anonymt behandlad informationsdatabas och dyl; hädanefter detsamma), behandla personlig information i enlighet med de standarder som föreskrivs i reglerna från nämnden för skydd av personuppgifter såsom nödvändiga för att omöjliggöra identifiering av en viss enskild och återställande av den personliga information som använts i produktionen.
                                 
                              
                  
                        Artikel 19 i reglerna
                        Standarder som föreskrivs i reglerna från nämnden för skydd av personuppgifter enligt artikel 36.1 i lagen ska vara följande:
                        
                                    i)
                                 
                                 
                                    Radera hela eller delar av dessa beskrivningar och dyl. som kan identifiera en viss enskild som omfattas av den personliga informationen (inbegripet ersättning av sådana beskrivningar och dyl. med andra beskrivningar och dyl. genom en metod utan regelbundenhet som kan återskapa hela eller delar av beskrivningar och dyl.)
                                 
                              
                                    ii)
                                 
                                 
                                    Radera samtliga individuella identifieringskoder i den personliga informationen (inbegripet att ersätta sådana koder med andra beskrivningar och dyl. genom en metod utan regelbundenhet som kan återskapa de individuella identifieringskoderna).
                                 
                              
                                    iii)
                                 
                                 
                                    Radera dessa koder (begränsat till de koder som kopplar samman ömsesidigt plural information som faktiskt hanteras av en näringsidkare som hanterar personlig information), vilka sammanlänkar personlig information och information som erhållits genom att den personliga informationen blivit föremål för åtgärder (inbegripet ersättning av de omnämnda koderna med de andra koder som inte kan sammanlänka den omnämnda personliga informationen med den information som erhållits genom att åtgärder vidtagits i förhållande till den nämnda personliga informationen genom en metod utan regelbundenhet som kan återställa de omnämnda koderna).
                                 
                              
                                    iv)
                                 
                                 
                                    Radera särskiljande beskrivningar och dyl. (inbegripet att ersätta sådana beskrivningar och dyl. med andra beskrivningar och dyl. genom en metod utan regelbundenhet kan återställa de särskiljande beskrivningar och dyl.)
                                 
                              
                                    v)
                                 
                                 
                                    Utöver åtgärder som anges i varje föregående punkt, vidta lämpliga åtgärder utifrån resultaten av att beakta attributet och dyl. i en databas med personlig information och dyl., exempelvis en skillnad mellan beskrivningar och dyl. i den personliga informationen och beskrivningar och dyl. i annan personlig information som utgör den databas med personlig information osv. som innehåller denna personliga information
                                 
                              
                  
                        Artikel 36 (punkt 2) i lagen
                        
                                 
                                    2)
                                 
                                 
                                    En näringsidkare som hanterar personlig information ska, när anonymt behandlad information har processats, i enlighet med de standarder som föreskrivs i reglerna från nämnden för skydd av personuppgifter såsom nödvändiga för att förebygga informationsläckage i förhållande till dessa beskrivningar och dyl. och individuella identifieringskoder som raderats från personlig information som används för att producera den anonymt behandlade informationen, och information avseende en bearbetningsmetod som används enligt föreskrifterna i föregående punkt, vidta åtgärder för kontroll av sådan information.
                                 
                              
                  
                        Artikel 20 i reglerna
                        Standarder som föreskrivs i reglerna från nämnden för skydd av personuppgifter enligt artikel 36.2 i lagen ska vara följande:
                        
                                    i)
                                 
                                 
                                    Tydligt definiera befogenheter och ansvar för en person som hanterar information om dessa beskrivningar och dyl. och individuella identifieringskoder som raderats från personlig information som använts för att producera anonymt behandlad information och information avseende en bearbetningsmetod som används enligt bestämmelserna i artikel 36.1 (begränsat till dem som kan återställa personlig information genom användning av sådan relaterad information) (hädanefter kallat ”bearbetningsmetod och dyl. relaterad information” i denna artikel.).
                                 
                              
                                    ii)
                                 
                                 
                                    Fastställa regler och förfaranden för hantering av bearbetningsmetod och dyl. relaterad information, korrekt hantera bearbetningsmetod och dyl. relaterad information i enlighet med reglerna och förfarandena för, utvärdering av hanteringssituationen, och på grundval av denna utvärdering vidta nödvändiga åtgärder för möjliga förbättringar.
                                 
                              
                                    iii)
                                 
                                 
                                    Vidta nödvändiga och lämpliga åtgärder för att hindra en person utan legitim befogenhet ifrån att hantera bearbetningsmetod och dyl. relaterad information ifrån att hantera bearbetningsmetoden och dyl. relaterad information
                                 
                              
                  Personuppgifter som erhålls från EU på grundval av ett beslut om adekvat skyddsnivå ska anses vara anonymt behandlad information endast i den mening som avses i artikel 2.9 i lagen, ifall den näringsidkare som hanterar personlig information vidtar åtgärder som gör avidentifieringen av den enskilde oåterkallelig för alla, inbegripet genom strykning av bearbetningsmetod och dyl. relaterad information (dvs. information om dessa beskrivningar och dyl. och individuella identifieringskoder som raderats från personlig information som används för att producera anonymt behandlad information och information om en bearbetningsmetod som används enligt bestämmelserna i artikel 36.1 i lagen (begränsat till dem som kan återställa personlig information genom användning av sådan relaterad information)).
            
               (1)  Artikel 4, artikel 6, artikel 8, artikel 24, artikel 60 och artikel 78 i lagen och artikel 11 i tilläggsreglerna.
            
               (2)  Giltigt skäl ska förstås som en händelse av extraordinärt slag, vilken näringsidkaren som hanterar personlig information inte kan kontrollera, och som inte rimligen kan förutses (t.ex. naturkatastrofer), eller fall där det inte längre är nödvändigt att vidta åtgärder avseende en rekommendation som utfärdats av nämnden för skydd av personuppgifter enligt artikel 42.1 i lagen, eftersom näringsidkaren som hanterar personlig information har vidtagit andra åtgärder som till fullo avhjälper överträdelsen.
         
      
      
         
            BILAGA 2
            Věra Jourová, kommissionsledamot med ansvar för rättsliga frågor, konsumentfrågor och jämställdhet för Europeiska kommissionen
            Fru kommissionsledamot,
            Jag välkomnar de konstruktiva diskussionerna mellan Japan och Europeiska kommissionen syftande till att skapa en ram för ömsesidig överföring av personuppgifter mellan Japan och EU).
            På en begäran från Europeiska kommissionen riktad till Japans regering översänder jag ett bifogat dokument, som härmed ger en översikt över den rättsliga ramen avseende den japanska regeringens tillgång till information.
            Detta dokument rör många ministerier och byråer inom den japanska statsförvaltningen, och med avseende på innehållet i dokumentet är berörda ministerier och organ (regeringskansliet, den nationella polismyndigheten, nämnden för skydd av personuppgifter, ministeriet för inrikesfrågor och kommunikation, justitieministeriet, underrättelsetjänsten för den allmänna säkerheten och försvarsministeriet) ansvariga för de delar som omfattar deras respektive behörigheter. Nedan återfinns berörda ministerier och byråer samt deras respektive underskrifter.
            Nämnden för skydd av personuppgifter tar emot alla förfrågningar rörande detta dokument och kommer att samordna nödvändiga åtgärder mellan berörda ministerier och byråer.
            Jag hoppas att detta dokument blir till hjälp i Europeiska kommissionens beslutsfattande. ·
            Jag är mycket tacksam för Era hittillsvarande bidrag i denna fråga.
            Med vänlig hälsning
            Yoko Kamikawa
            Justitieminister
            Detta dokument har utarbetats av justitiedepartementet och följande berörda ministerier och byråer.
            Koichi Hamano
            Regeringsråd, regeringskansliet
            Schunichi Kuryu
            Generalintendent, nationella polismyndigheten
            Mari Sonoda
            Generalsekreterare, nämnden för skydd av personuppgifter
            Mitsuru Yasuda
            Biträdande minister, ministeriet för inrikesfrågor och kommunikation
            Seimei Nakagawa
            Underrättelsetjänsten för den allmänna säkerheten
            Takahashi Kenichi
            Administrativ biträdande försvarsminister
            Den 14 september 2018.
            
               Insamling och användning av personlig information som utförs av de japanska myndigheterna för brottsbekämpande ändamål och nationens säkerhet
            
            Följande dokument innehåller en översikt över den rättsliga ramen för insamling och användning av personlig (elektronisk) information som sköts av de japanska myndigheterna för brottsbekämpande ändamål och nationens säkerhet (nedan kallat ”statlig tillgång”), särskilt när det gäller tillgängliga rättsliga grunder, tillämpliga villkor (begränsningar) och skyddsåtgärder, inbegripet oberoende tillsyn och möjligheter till enskild prövning. Denna framställning riktar sig till Europeiska kommissionen i syfte att uttrycka engagemang och ge försäkringar om att myndigheternas tillgång till personuppgifter som överförs från EU till Japan kommer att begränsas till vad som är nödvändigt och proportionellt, underkastat oberoende tillsyn och att berörda enskilda kommer att få ska kunna få rättslig prövning i fall av en eventuell kränkning av deras grundläggande rätt till personlig integritet och uppgiftsskydd. Detta omfattar också inrättandet av en ny prövningsmekanism, som förvaltas av nämnden för skydd av personuppgifter (nedan kallad nämnden), för att hantera klagomål från EU-medborgare rörande statens tillgång till deras personuppgifter som överförts från EU till Japan.
            I.   Allmänna rättsliga principer för statens tillgång till information
            
            Statlig tillgång till uppgifter måste, då det rör sig om myndighetsutövning, ske under fullständig efterlevnad av lagen (legalitetsprincipen). I Japan finns en omfattande mekanism för skydd av personlig information inom såväl den privata som den offentliga sektorn.
            A.   Konstitutionellt regelverk och principen om lagförbehåll
            I artikel 13 i konstitutionen och allmän rättspraxis erkänns rätten till personlig integritet som en konstitutionell rättighet. I detta avseende har högsta domstolen funnit det naturligt att enskilda inte vill att andra ska få reda på deras personliga information utan goda skäl, och att dessa förväntningar bör skyddas. (1) Ytterligare skydd är inskrivet i artikel 21.2 i konstitutionen, vilket säkerställer respekten för kommunikationshemligheten, och artikel 35 i konstitutionen, som tillerkänner den enskilde rätten att inte utsättas för husrannsakan och beslag utan föregående beslut om husrannsakan, vilket innebär att insamlingen av personlig information, inbegripet tillgång till uppgifter, med tvångsmedel alltid måste grunda sig på ett domstolsbeslut. Ett sådant beslut får endast utfärdas för utredning av ett redan begånget brott. Inom Japans rättssystem är insamling av information med tvångsmedel med hänvisning till (inte en brottsutredning men) nationens säkerhet därför inte tillåten.
            I enlighet med principen om lagförbehåll måste obligatorisk insamling av information vidare särskilt godkännas enligt lag. I fall av icke-obligatorisk/frivillig insamling erhålls informationen från en källa som kan vara fritt tillgänglig eller tas emot på grundval av en begäran om offentliggörande, dvs. en begäran som inte kan göras gällande mot den fysiska eller juridiska person som innehar informationen. Detta är dock tillåtet enbart i den mån som myndigheten är behörig att genomföra undersökningen, vilket innebär att varje myndighet endast kan agera inom ramen för sin administrativa behörighet såsom den föreskrivs i lagstiftningen (oberoende av huruvida dess verksamhet påverkar enskildas fri- och rättigheter). Denna princip gäller myndighetens förmåga att samla in personlig information.
            B.   Särskilda regler om skydd av personlig information
            Lagen om skydd av personuppgifter (nedan kallad personuppgiftslagen) och lagen om skydd av uppgifter vilka innehas av förvaltningsorgan (nedan kallad lagen om uppgifter hos förvaltningsorgan), som grundar sig på och förtydligar bestämmelserna i konstitutionen, säkerställer rätten till personlig information inom såväl den privata som den offentliga sektorn.
            I artikel 7 i personuppgiftslagen föreskrivs att nämnden ska utforma den grundläggande policyn för skyddet av personlig information (även kallad den grundläggande policyn). Den grundläggande policyn, som har antagits genom beslut av Japans regering i egenskap av japanska statens centrala organ (premiärministern och ministrarna), ska innehålla riktlinjer för skyddet av personlig information i Japan. På så sätt fungerar nämnden, i sin genenskap av oberoende tillsynsmyndighet, som ”ledningsorgan” för Japans system för skydd av personlig information.
            När förvaltningsorgan samlar in personlig information, och oavsett om detta görs med tvångsmedel eller ej, måste de i princip (2) uppfylla kraven i lagen om uppgifter hos förvaltningsorgan. Lagen om uppgifter hos förvaltningsorgan är en lag som är allmänt tillämplig på behandlingen av ”lagrad personlig information” (3) genom ”förvaltningsorgan” (enligt definitionen i artikel 2.1 i lagen om uppgifter hos förvaltningsorgan). Därför omfattar den även databehandling på området brottsbekämpning och nationell säkerhet. Bland de offentliga myndigheter med befogenhet att fullgöra den statliga tillgången till information är samtliga myndigheter, förutom den regionala polismyndigheten, statliga myndigheter vilka definieras som ”förvaltningsorgan”. Den regionala polismyndighetens hantering av personlig information regleras genom regionala stadgar (4) som föreskriver principer för skydd av personlig information, rättigheter och skyldigheter motsvarande lagen om uppgifter hos förvaltningsorgan.
            II.   Myndigheternas tillgång till information för brottsbekämpande ändamål
            
            A)   Rättsliga grunder och begränsningar
            1)   Insamling av personlig information med tvångsmedel:
            
               a)   Rättslig grund
            
            Genom konstitutionens artikel 35 tillerkänns den enskilde rätten till hemfrid, säkerhet för handlingar och tillhörigheter mot tillträde, husrannsakan och beslag som inte ska begränsas, med undantag för domstolsbeslut utfärdat av ”tillräckliga skäl” och särskilt med angivande av platsen för husrannsakan och de ting som ska beslagtas Följaktligen får obligatorisk insamling av elektronisk information som genomförs av offentliga myndigheter i samband med en brottsutredning endast ske på grundval av ett domstolsbeslut. Detta gäller både insamling av elektroniska register som innehåller (personlig) information och avlyssning av kommunikation i realtid (så kallad teleavlyssning). Det enda undantaget från denna regel (som dock inte är tillämplig i samband med en elektronisk överföring av personlig information från utlandet) är artikel 220.1 i lagen om rättegångsregler i brottmål (5). Enligt den får en allmän åklagare, en allmän åklagares assistent eller en tjänsteman vid kriminalpolisen, vid gripande av en misstänkt gärningsman eller ”gärningsman som ertappas på bar gärning”, om nödvändigt, genomföra en husrannsakan och göra beslag ”på platsen för gripandet”.
            I artikel 197.1 i lagen om rättegångsregler i brottmål föreskrivs att obligatoriska utredningsåtgärder ”inte ska tillämpas om inte särskilda bestämmelser har fastställts i denna lag”. I fråga om obligatorisk insamling av elektronisk information är den relevanta rättsliga grunden i detta avseende artikel 218.1 i lagen om rättegångsregler i brottmål (enligt vilken en allmän åklagare, en allmän åklagares assistent eller en tjänsteman vid kriminalpolisen, om nödvändigt för utredningen av en brott, får genomföra en husrannsakan, beslag eller inspektion efter ett beslut som fattats av en domare) och artikel 222.2 i lagen om rättegångsregler i brottmål (enligt vilken obligatoriska åtgärder för avlyssning av elektronisk kommunikation utan samtycke från endera parten ska vidtas på grundval av andra rättsakter). I den sistnämnda bestämmelsen hänvisas det till lagen om avlyssning i brottsundersökningar (lagen om avlyssning), som i sin artikel 3.1 fastställer på vilka villkor vissa meddelanden om allvarliga brott får avlyssningar avlyssnas på grundval av ett beslut om avlyssning som fattats av en domare. (6)
            
            I fråga om polisen ligger undersökningsbefogenheterna i samtliga fall hos den regionala polismyndigheten, medan den nationella polismyndigheten inte genomför några brottsutredningar på grundval av lagen om rättegångsregler i brottmål.
            
               b)   Begränsningar
            
            Obligatorisk insamling av elektronisk information begränsas av konstitutionen och bemyndigande stadgar, enligt tolkningen i rättspraxis, vilka i synnerhet innehåller de kriterier som ska tillämpas av domstolarna vid utfärdande av beslut om husrannsakan. Dessutom föreskrivs i lagen om uppgifter hos förvaltningsorgan ett antal begränsningar tillämpliga på både insamling och hantering av information (även lokala stadgar huvudsakligen innehåller samma kriterier för den regionala polismyndigheten).
            (1)   Begränsningar som följer av konstitutionen och den bemyndigande stadgan
            Enligt artikel 197.1 i lagen om rättegångsregler i brottmål ska tvångsåtgärder inte vidtas om inte särskilda bestämmelser har fastställts i denna lag. I artikel 218.1 i lagen om rättegångsregler i brottmål föreskrivs att beslag osv., kan genomföras på grundval av ett beslut som fattats av en domare endast ”om så är nödvändigt för utredningen av ett brott”. Fastän kriterierna för bedömning av nödvändigheten inte närmare preciseras i lagstiftningen, har högsta domstolen (7) beslutat att, när nödvändigheten av åtgärder bedöms, bör domstolen göra en helhetsbedömning, med beaktande av bland annat följande faktorer:
            
                        a)
                     
                     
                        Brottets allvar och hur det eller de begicks.
                     
                  
                        b)
                     
                     
                        Värdet och betydelsen av det beslagtagna materialet i egenskap av bevis.
                     
                  
                        c)
                     
                     
                        Sannolikhet för undanhållande eller förstörelse av beslagtaget material.
                     
                  
                        d)
                     
                     
                        Omfattningen av de olägenheter som orsakats av ett beslag.
                     
                  
                        e)
                     
                     
                        Andra relaterade villkor.
                     
                  Begränsningar följer även av kravet i artikel 35 i konstitutionen om att ange ”tillräckliga skäl”. Enligt principen om ”tillräckliga skäl” kan beslut fattas ifall 1) en brottsutredning är nödvändig (se högsta domstolens dom den 18 mars 1969 (1968 (Shi) nr 100) som nämns ovan), 2) det föreligger en situation där den misstänkte (den tilltalade) anses ha begått ett brott (artikel 156.1 i lagen om rättegångsregler i brottmål) (8), 3) beslutet om undersökning avseende kropp, tillhörigheter, bostad eller någon annan plats som tillhör en annan person än den tilltalade bör fattas endast om det rimligen kan förväntas att tillhörigheter som ska beslagtas faktiskt är förefintliga (artikel 102.2 i lagen om rättegångsregler i brottmål). När en domare anser att de styrkande handlingar som lämnats in av de utredande myndigheterna ger otillräckliga skäl att misstänka ett brott, kommer han eller hon att ogilla begäran om ett beslut. I detta avseende bör det påpekas att enligt lagen om påföljd för organiserade brott och kontroll av vinning från brottslighet utgör ”förberedande akter för att begå” ett överlagt brott (t.ex. anskaffning av pengar för att begå ett terrorbrott) i sig ett brott och kan alltså bli föremål för obligatorisk brottsutredning på grundval av ett domstolsbeslut.
            Om beslutet slutligen gäller undersökning som avser kroppen, tillhörigheter, bostad eller någon annan plats som tillhör en annan person än den tilltalade, bör det fattas endast om det rimligen kan förväntas att de tillhörigheter som ska beslagtas faktiskt är förefintliga (artiklarna 102.2 och 222.1 i lagen om rättegångsregler i brottmål).
            Särskilt i fråga om avlyssning av kommunikation i brottsutredning på grundval av lagen om avlyssning får den ske endast om de strikta kraven i artikel 3.1 är uppfyllda. Enligt denna bestämmelse kräver alltid avlyssning domstolsbeslut i förväg, vilket får utfärdas endast i ett begränsat antal fall (9).
            2)   Begränsningar som följer av lagen om uppgifter hos förvaltningsorgan
            I fråga om insamling (10) och vidare hantering (t.ex. lagring, förvaltning och användning) av personlig information av förvaltningsorgan föreskrivs i synnerhet följande begränsningar i lagen om uppgifter hos förvaltningsorgan:
            
                        a)
                     
                     
                        Enligt artikel 3.1 i lagen om uppgifter hos förvaltningsorgan får förvaltningsorgan behålla personlig information endast om så är nödvändigt för att utföra de uppgifter som faller inom deras behörighet enligt lagar och andra författningar. Vid lagring åligger det dem också att (så långt som möjligt) ange syftet med användningen av den personliga informationen. Enligt artikel 3.2 och 3 i lagen om uppgifter hos förvaltningsorgan ska förvaltningsorgan inte lagra personlig information längre än vad som är nödvändigt för att uppnå de sålunda angivna syftet med användningen och ska inte användas utöver vad som rimligen kan anses vara tillräckligt relevant för det ursprungliga ändamålet.
                     
                  
                        b)
                     
                     
                        I artikel 5 i lagen om uppgifter hos förvaltningsorgan föreskrivs att ett förvaltningsorgan ska eftersträva att hålla de lagrade personuppgifterna korrekta och aktuella, så långt detta är nödvändiga för att uppnå syftet med användningen.
                     
                  
                        c)
                     
                     
                        I artikel 6.1 i lagen om uppgifter hos förvaltningsorgan lagen om uppgifter hos förvaltningsorgan föreskrivs att chefen för ett förvaltningsorgan ska vidta de åtgärder som är nödvändiga för att förhindra läckage, förlust eller skada, samt för en korrekt förvaltning av den lagrade personliga informationen.
                     
                  
                        d)
                     
                     
                        Enligt artikel 7 i lagen om uppgifter hos förvaltningsorgan, ska ingen (ej heller tidigare) anställd lämna ut förvärvad personlig information till annan person utan motiverat skäl, eller använda sådan information i ett orättmätigt syfte.
                     
                  
                        e)
                     
                     
                        Vidare föreskrivs det i artikel 8.1 i lagen om uppgifter hos förvaltningsorgan att chefen för ett förvaltningsorgan, såvida annat inte framgår av lagar och andra författningar, inte ska använda eller förse en annan person med lagrad information i andra syften än det angivna syftet med användningen. Medan artikel 8.2 innehåller undantag från denna regel i specifika situationer, gäller detta endast om sådant exceptionellt utlämnande sannolikt inte kommer att orsaka rättigheterna och intressena ”orättmätig” skada för den registrerade eller en tredje part.
                     
                  
                        f)
                     
                     
                        Enligt artikel 9 i lagen om uppgifter hos förvaltningsorgan ska chefen för ett förvaltningsorgan, i fall där annan person förses med lagrad personlig information, om nödvändigt, införa inskränkningar i användningens syfte eller metod, eller varje annan nödvändig begränsning. Mottagaren kan också åläggas att vidta åtgärder som är nödvändiga för förebyggande av läckor och för en korrekt förvaltning av informationen.
                     
                  
                        g)
                     
                     
                        I artikel 48 i lagen om uppgifter hos förvaltningsorgan föreskrivs att ett administrativt organ ska eftersträva att behandla alla klagomål rörande hanteringen av personlig information på ett korrekt och skyndsamt sätt.
                     
                  2)   Insamling av personlig information genom begäran om frivilligt samarbete (frivillig utredning)
            
               a)   Rättslig grund
            
            Utöver bruket av tvångsmedel erhålls personlig information antingen från en källa som kan vara fritt tillgänglig eller genom frivilligt utlämnande, bland annat genom näringsidkare som besitter sådan information.
            Vad gäller det senare är åklagare och kriminalpolis enligt artikel 197.2 i lagen om rättegångsregler i brottmål bemyndigade att göra ”skriftliga förfrågningar om utredningsrelaterade frågor” (så kallade ”utredningsformulär”). Enligt lagen om rättegångsregler i brottmål åligger det de förhörda personerna att lämna en redogörelse till de undersökande myndigheterna. Det finns emellertid inte något sätt att tvinga dem att lämna redogörelser, om de offentliga organ eller offentliga och/eller privata organisationer som mottar förfrågningarna, vägrar. Om de inte lämnar någon redogörelse, kan inga straffrättsliga eller andra påföljder utdömas. Om de undersökande myndigheterna anser att den begärda informationen är oumbärlig, kommer de tvingas att begära informationen genom husrannsakan och beslag på grundval av ett domstolsbeslut.
            Med tanke på den ökande medvetenheten bland de enskilda om deras rätt till personlig integritet, liksom den arbetsbelastning som uppstår genom sådana framställningar, blir näringsidkarna allt försiktigare med att besvara sådana framställningar (11). Vid beslut om eventuellt samarbete, tar näringsidkare främst hänsyn till den efterfrågade informationens art, deras förhållande till den person vars information som berörs, riskerna för deras anseende, risker för rättstvister, osv.
            
               b)   Begränsningar
            
            Vad gäller obligatorisk insamling av elektronisk information, är frivillig utredning begränsad av konstitutionen, vilket framgår av tolkningar i rättspraxis, och den bemyndigande stadgan. Dessutom har företagare inte laglig tillåtelse att lämna ut information i vissa situationer. Slutligen föreskrivs i lagen om uppgifter hos förvaltningsorgan ett antal begränsningar tillämpliga på både insamling och hantering av information (även lokala stadgar huvudsakligen innehåller samma kriterier för den regionala polismyndigheten).
            1)   Begränsningar som följer av konstitutionen och den bemyndigande stadgan
            Genom beaktande av artikel 13 i konstitutionen har högsta domstolen i två beslut av den 24 december 1969 (1965 (A) nr 1187) och den 15 april, 2008 (2007 (A) nr 839) infört begränsningar av frivilliga utredningar som utförs av utredande myndigheter. Även om dessa beslut gällde fall där personlig information (i form av bilder) samlades in genom fotografering/filmning, är resultaten relevanta för frivilliga (icke-obligatoriska) utredningar som inverkar på en persons integritet i allmänhet. Därför är de tillämpliga och måste efterlevas i fråga om insamling av personlig information vid frivillig utredning, med beaktande av de särskilda omständigheterna i varje enskilt fall.
            Enligt dessa beslut måste tre kriterier uppfyllas för att den frivilliga undersökningen ska vara laglig:
            
                        —
                     
                     
                        ”Brottsmisstanke” (det ska bedömas huruvida ett brott har begåtts).
                     
                  
                        —
                     
                     
                        ”Utredningsbehov” (det ska bedömas om begäran håller sig inom ramen för vad som är nödvändigt för utredningen).
                     
                  
                        —
                     
                     
                        ”Metodens lämplighet” (det måste bedömas om frivillig utredning är en ”lämplig” eller rimlig metod för att uppnå syftet med utredningen). (12)
                        
                     
                  Med beaktande av ovannämnda tre kriterier bedöms den frivilliga undersökningens lagenlighet med utgångspunkt i om undersökningen kan anses rimlig enligt socialt accepterade normer.
            Villkoret för att utredningen ska vara ”nödvändig” följer också direkt av artikel 197 i lagen om rättegångsregler i brottmål och en bekräftelse i instruktionerna från den nationella polismyndigheten till den regionala polismyndigheten i fråga om användningen av ”utredningsformuläret”. I den nationella polismyndighetens anmälan av den 7 december 1999 fastställs ett antal processuella begränsningar, bl.a. kravet att använda ”utredningsformulär” endast om så är nödvändigt för utredningen. Dessutom är artikel 197.1 i lagen om rättegångsregler i brottmål begränsad till brottsutredningar och kan således endast tillämpas om det finns konkreta misstankar om ett redan begånget brott. Omvänt är denna rättsliga grund inte tillgänglig för insamling och användning av personlig information, om ingen överträdelse av lagstiftningen har ägt rum.
            2)   Begränsningar med avseende på vissa näringsidkare
            Ytterligare begränsningar gäller inom vissa områden på grundval av det skydd som föreskrivs i annan lagstiftning.
            För det första är utredande myndigheter samt telekomoperatörer som besitter personlig information skyldiga att iaktta kommunikationshemlighet enligt garantin i artikel 21.2 i författningen. (13) Dessutom har telekomoperatörer samma skyldighet enligt artikel 4 i lagen om telekomoperatörer (14). Enligt riktlinjerna om skydd av personlig information inom ramen för telekomverksamhet, som utfärdats av ministeriet för inrikesfrågor och kommunikation på grundval av konstitutionen och lagen om telekomoperatörer, i fall där kommunikationshemligheten berörs, får mobilteleoperatörer inte lämna ut personlig information rörande kommunikationshemligheten till tredje part, förutom i fall där de har erhållit den enskildes samtycke eller de kan hänvisa till ett av de ”motiverade skälen” till bristande efterlevnad av strafflagen. Det senare avser ”rättmätiga handlingar” (artikel 35 i strafflagen), ”självförsvar” (artikel 36 i strafflagen) och ”avvärjande av överhängande fara” (artikel 37 i strafflagen). ”Rättmätiga handlingar” enligt strafflagen är endast sådana åtgärder av en teleoperatör, som överensstämmer med statens tvångsmedel, vilket utesluter frivillig utredning. Om de utredande myndigheterna begär personlig information på grundval av ett ”utredningsformulär” (artikel 197.2 i lagen om rättegångsregler i brottmål), är en telekomoperatör förbjuden att lämna ut uppgifterna.
            För det andra åligger det näringsidkare att avslå varje begäran om frivilligt samarbete om lagen förbjuder dem att lämna ut personuppgifter. Exempelvis inbegriper detta fall där operatören har skyldighet att respektera sekretesskyddet för informationen, exempelvis enligt artikel 134 i strafflagen (15).
            3)   Tillsyn på grundval av lagen om uppgifter hos förvaltningsorgan
            I fråga om insamling och behandling av personuppgifter av förvaltningsorgan innehåller lagen om uppgifter hos förvaltningsorgan begränsningar enligt förklaringarna i avsnitt II.A.1 b.2. Motsvarande begränsningar följer av stadgarna för den regionala polismyndigheten.
            B.   Tillsyn
            1)   Rättslig tillsyn
            I fråga om insamling av personuppgifter med tvångsmedel måste den grunda sig på ett domstolsbeslut (16) och är därmed föremål för förhandskontroll av en domare. Om utredningen varit olaglig, får en domare undanta sådan bevisning i den efterföljande straffrättsliga prövningen av ärendet. Den enskilde kan begära ett sådant undantag i sin straffrättsliga prövning med hänvisning till att undersökningen var rättsstridig.
            2)   Tillsyn på grundval av lagen om uppgifter hos förvaltningsorgan
            I Japan har ministern eller chefen för varje ministerium eller byrå tillsyns- och genomförandebefogenheter på grundval av lagen om uppgifter hos förvaltningsorgan, medan ministern för inrikesfrågor och kommunikation får undersöka hur lagen efterlevs av övriga ministerier.
            Om ministern för inrikesfrågor och kommunikation – på grundval av utredningen av genomförandet av lagen om uppgifter hos förvaltningsorgan (17), behandlingen av klagomål eller förfrågningar riktade till ett av ministeriets centrum för övergripande information – anser det nödvändigt för att uppnå syftet med lagen om uppgifter hos förvaltningsorgan, kan vederbörande på grundval av artikel 50 i lagen begära att chefen för ett förvaltningsorgan lämnar in material och förklaringar avseende det berörda förvaltningsorganets hantering av personuppgifter. Ministern får avge yttranden till chefen för förvaltningsorganet om bearbetning av personlig information inom det förvaltningsorganet, om vederbörande anser det nödvändigt för att uppnå syftet med denna lag. Ministern får dessutom, till exempel begära en översyn av åtgärderna genom de åtgärder som han eller hon kan vidta enligt artiklarna 50 och 51 i lagen om det föreligger en misstanke om en överträdelse eller felaktig tillämpning av lagen. Detta bidrar till att säkerställa en enhetlig tillämpning av och överensstämmelse med lagen om uppgifter hos förvaltningsorgan.
            3)   Tillsyn av polisen som utförs av nämnden för den offentliga säkerheten
            I fråga om polisförvaltningen, är den nationella polismyndigheten föremål för tillsyn som utförs av den nationella nämnden för den offentliga säkerheten, medan den regionala polismyndigheten är föremål för tillsyn som utförs av respektive regional nämnd för den offentliga säkerheten. Vart och ett av dessa tillsynsorgan säkerställer demokratisk förvaltning och politisk neutralitet inom polisförvaltningen.
            Den nationella nämnden för den offentliga säkerheten ansvarar för de frågor som faller inom dess behörighetsområde i enlighet med polislagen och andra lagar. Detta inbegriper utnämningen av generalintendenten för den nationella polismyndigheten och lokala högre polistjänstemän samt införandet av genomgripande strategier som fastställer den grundläggande inriktningen eller åtgärder som rör den nationella polismyndighetens förvaltning.
            De regionala nämnderna för den offentliga säkerheten är sammansatta av ledamöter som företräder medborgarna i respektive region på grundval av polislagen och de förvaltar den regionala polismyndigheten i egenskap av ett oberoende rådssystem. Ledamöterna utses av regionguvernören med tillstånd av den regionala folkförsamlingen i enlighet med artikel 39 i polislagen. Deras mandatperiod är tre år och de kan inte avsättas mot sin vilja utan specifika skäl som anges i lagstiftningen (t.ex. oförmåga att utföra sina uppdrag, åsidosättande av skyldigheter, misskötsamhet osv.), viket garanterar deras oberoende (se artiklarna 40 och 41 i polislagen). För att garantera deras politiska neutralitet är varje ledamot av nämnden, enligt artikel 42 i polislagen, förbjuden att samtidigt vara ledamot av ett lagstiftande organ, bli ledamot av ett verkställande organ, bli medlem med verkställande uppgifter i ett politiskt parti eller någon annan politisk storhet, eller att aktivt delta i politiska rörelser. Fastän varje nämnd ligger under respektive regionalguvernörs behörighet, innebär detta inte att guvernören har befogenhet att utfärda instruktioner för utövandet av dess funktioner.
            I enlighet med artikel 38.3 jämförd med artiklarna 2 och 36.2 i polislagen är de regionala nämnderna för den offentliga säkerheten ansvariga för ”skyddet av den enskildes fri- och rättigheter”. För detta ändamål ska de ta emot rapporter från befälhavarna inom den regionala polismyndigheten om verksamheten inom deras jurisdiktion, t.ex. vid de regelbundna möten som hålls tre eller fyra gånger i månaden. Kommissionen ger vägledning i dessa frågor genom att utarbeta övergripande strategier.
            Som en inslag i sin tillsynsfunktion kan nämnderna för den offentliga säkerheten dessutom rikta förelägganden till den regionala polismyndigheten i enskilda konkreta fall, när detta anses nödvändigt i samband med kontroller av den regionala polismyndighetens verksamhet eller felaktigheter som begåtts av dess personal. Nämnden får dessutom, när så anses nödvändigt, låta en ledamot av nämnden se över genomförandet av det utfärdade föreläggandet (artikel 43.2 i polislagen).
            4)   Tillsyn som utförs av parlamentet
            Det japanska parlamentet kan genomföra utredningar av myndigheters verksamhet och för detta ändamål begära in handlingar och vittnesmål (artikel 62 i konstitutionen). I detta sammanhang får behörigt utskott i det japanska parlamentet granska lämpligheten i polisens informationsinsamlingsverksamhet.
            Dessa befogenheter anges närmare i parlamentslagen. Enligt dess artikel 104 kan parlamentet begära att regeringen och offentliga organ utarbetar rapporter och register som är nödvändiga för att parlamentet ska kunna utföra sin undersökning. Dessutom kan parlamentsledamöter lägga fram ”skriftliga förfrågningar” enligt artikel 74 i parlamentslagen. Dessa förfrågningar ska godkännas av parlamentets talman och ska i princip besvaras skriftligen av regeringen inom sju dagar (om det är omöjligt att svara inom denna tidsfrist ska detta motiveras och en ny tidsfrist fastställas, artikel 75 i parlamentslagen). Tidigare omfattade också skriftliga förfrågningar från parlamentet också förvaltningens hantering av personlig information. (18)
            
            C)   Rättslig prövning för enskilda
            I enlighet med artikel 32 i den japanska konstitutionen får ingen förvägras rätten till domstolsprövning. I artikel 17 i konstitutionen garanteras varje person rätten att väcka talan mot staten eller ett offentligt organ för upprättelse (enligt lag) om vederbörande har lidit skada genom en offentlig tjänstemans olagliga handlande.
            1)   Rättslig prövning av obligatorisk insamling av information som bygger på ett domstolsbeslut (artikel 430 i lagen om rättesgångsregler i brottmål)
            Enligt artikel 430.2 i lagen om rättegångsregler i brottmål, får en person som är missnöjd med de åtgärder som vidtagits av en polisman i fråga om beslag av tillhörigheter (inbegripet om de innehåller personlig information) på grundval av ett domstolsbeslut lämna in en begäran (s.k. ”halvt klagomål”) till den behöriga domstolen för att sådana åtgärder ska ”upphävas eller ändras.”
            Sådan talan kan väckas utan att den enskilde behöver vänta på att ärendet avslutats. Om domstolen finner att beslaget inte var nödvändigt, eller att det finns andra skäl att betrakta beslaget som olagligt, kan den besluta att sådana åtgärder upphävs eller ändras.
            2)   Rättslig prövning enligt civilprocesslagen och lagen om rättslig prövning mot staten
            Om den enskilde anser att rätten till integritetsskydd enligt artikel 13 i konstitutionen har kränkts, är det möjligt att väcka civilrättslig talan om att radera personlig information som samlats in under en brottsutredning.
            Den enskilde kan dessutom väcka talan om skadestånd för skador enligt lagen om rättslig prövning mot staten i kombination med relevanta artiklar i civillagen, ifall vederbörande anser att hans eller hennes rätt till skydd av integriteten har överträtts och han eller hon har lidit skada till följd av insamlingen av personlig information eller övervakningen (19). Med tanke på att den ”skada” som är föremål för en begäran om ersättning inte är begränsad till skada på egendom (artikel 710 i civillagen) kan den också omfatta ”psykiskt lidande”. Ersättningsbeloppet för sådan ideell skada kommer att fastställas av domstolen på grundval av en ”fri bedömning med beaktande av olika faktorer i varje enskilt fall” (20).
            I artikel 1.1 i lagen om rättslig prövning mot staten garanteras en rätt till skadestånd när i) den tjänsteman som utövar statens eller ett offentligt organs befogenheter, ii) i fullgörandet av sina skyldigheter, iii) uppsåtligen eller genom försumlighet iv) i strid med lagen har v) vållat en annan person skada.
            Den enskilde ska väcka talan i enlighet med civilprocesslagen. Enligt gällande bestämmelser får han eller hon göra detta vid den domstol som är behörig på den ort där den skadevållande handlingen har begåtts.
            3)   Enskild prövning mot lagstridig/otillbörlig undersökning utförd av polisen: klagomål till den regionala nämnden för den offentliga säkerheten (artikel 79 i polislagen)
            Enligt artikel 79 i polislagen (21), får den enskilde, vilket förklaras närmare i instruktioner från chefen för den nationella polismyndigheten till den regionala polismyndigheten och den regionala nämnden för den offentliga säkerheten (22), lämna in ett skriftligt klagomål (23) till den behöriga regionala nämnden för den offentliga säkerheten mot varje olaglig eller otillbörlig form av beteende uppvisat av en polisman i tjänsteutövningen. Detta omfattar även tjänsteutövning med avseende på insamling och användning av personlig information. Nämnden ska noggrant handlägga sådana klagomål i enlighet med lagar och lokala stadgor och ska skriftligen underrätta klaganden om resultatet av utredningen.
            På grundval av sina tillsynsbefogenheter enligt artikel 38.3 i polislagen ska den regionala nämnden för den offentliga säkerheten utfärda en instruktion till den regionala polismyndigheten om att utreda fakta, vidta nödvändiga åtgärder utifrån resultaten av undersökningen och rapportera resultaten till nämnden. När så anses nödvändigt, får nämnden också utfärda instruktioner om hantering av klagomål, t.ex. om den anser att polisens utredning varit otillräcklig. Denna beskrivs i det meddelande som utfärdas av den nationella polismyndigheten.
            Underrättelsen till klaganden om resultatet av undersökningen görs med stöd också i rapporterna från polisen om undersökningen och de vidtagna åtgärderna på nämndens begäran.
            4)   Individuell prövning enligt lagen om uppgifter hos förvaltningsorgan och lagen om rättegångsregler i brottmål
            
               a)   Lagen om uppgifter hos förvaltningsorgan
            
            Enligt artikel 48 i lagen om uppgifter hos förvaltningsorgan ska förvaltningsorgan eftersträva att korrekt och snabbt behandla alla klagomål rörande hanteringen av personlig information. Som ett sätt att förse enskilda med konsoliderad information (t.ex. om den befintliga rätten till utlämnande, rättelse och upphävande av användningen enligt lagen om uppgifter hos förvaltningsorgan) och som kontaktpunkter för förfrågningar har ministeriet för inrikesfrågor och kommunikation inrättat ett centrum för övergripande information om utlämnande av information/skydd av personlig information i varje region på grundval av artikel 47.2 i lagen om uppgifter hos förvaltningsorgan. Förfrågningar från icke bofasta är också möjliga. Under räkenskapsåret 2017 (april 2017 till mars 2018) var exempelvis det totala antalet fall i vilka ett centrum för övergripande information besvarade förfrågningar osv. 5 186.
            Artiklarna 12 och 27 i lagen om uppgifter hos förvaltningsorgan tillerkänner enskilda personer rätten att begära utlämnande och rättelse av lagrad personlig information. Enligt artikel 36 i lagen om uppgifter hos förvaltningsorgan kan enskilda personer begära upphävande av användningen eller radering av lagrad personlig information, om förvaltningsorganet inte har förvärvat den lagrade personliga informationen på laglig väg eller behåller eller använder denna information på ett lagstridigt sätt.
            I fråga personlig information som samlas in (antingen på grundval av ett domstolsbeslut eller ett ”utredningsformulär”) och lagrats för brottsutredningar (24), faller sådan information generellt inom kategorin ”personlig information i handlingar som rör rättegångar och beslagtagna tillhörigheter”. Sådan personlig information är därför utesluten från de individuella rättigheternas tillämpningsområde i kapitel 4 i lagen om uppgifter hos förvaltningsorgan enligt artikel 53.2 i lagen om rättegångsregler i brottmål (25). Behandlingen av sådan personlig information och den enskildes rätt till tillgång och rättelse är i stället föremål för särskilda regler i lagen om rättegångsregler i brottmål och lagen om slutprotokoll i brottmålsärenden (se nedan). (26) Detta undantag motiveras av olika faktorer såsom skyddet av den enskildes integritet, undersökningssekretess och ett korrekt genomförande av det straffrättsliga förfarandet. Mot bakgrund av detta förblir bestämmelserna i kapitel 2 i lagen om uppgifter hos förvaltningsorgan, som styr principerna för hanteringen av sådan information, tillämpliga.
            
               b)   Lagen om rättegångsregler i brottmål
            
            Enligt lagen om rättegångsregler i brottmål beror möjligheterna till tillgång till personlig information som samlas in under en brottsutredning både på förfarandet och den enskildes roll i utredningen (misstänkt, tilltalad, brottsoffer osv.).
            Som ett undantag från regeln i artikel 47 i lagen om rättegångsregler i brottmål om att handlingar som rör rättegången inte får offentliggöras innan prövningen inleds (eftersom detta skulle kunna kränka de berördas ära och/eller integritet och hindra undersökningen/rättegången), är brottsoffrets insyn i sådan information i princip tillåten i den utsträckning som det anses rimligt med hänsyn till syftet med bestämmelsen i artikel 47 i lagen om rättegångsregler i brottmål. (27)
            
            I fråga om misstänkta får de vanligen reda på att de är föremål för en brottsutredning i samband med förhör som genomförs av antingen kriminalpolisen eller allmän åklagare. Om den allmänna åklagaren därefter beslutar att inte väcka åtal, ska vederbörande omedelbart underrätta den misstänkte om detta på dennes begäran (artikel 259 i lagen om rättegångsregler i brottmål).
            När åtalet inletts ska åklagaren dessutom ge den tilltalade eller vederbörandes ombud möjlighet att gå igenom bevisningen före prövningen i domstol (artikel 299 i lagen om rättegångsregler i brottmål). Därigenom får den tilltalade möjlighet att kontrollera den personliga information om honom/henne som samlats in under en brottsutredning.
            Slutligen garanteras skyddet för personlig information som samlats in i samband med en brottsutredning, oavsett om den rör en misstänkt, den tilltalade eller någon annan person (t.ex. ett brottsoffer) genom tystnadsplikt (artikel 100 i den nationella lagen om offentlig tjänst) och hot om sanktioner i händelse av läckor av sekretessbelagd information under utövandet av ett uppdrag i allmänhetens tjänst (artikel 109 xii i den nationella lagen om offentlig tjänst).
            5)   Enskild prövning mot lagstridig/otillbörlig undersökning utförd av myndigheter: klagomål till nämnden för skydd av personuppgifter
            Enligt artikel 6 i personuppgiftslagen ska regeringen vidta nödvändiga åtgärder i samarbete med regeringarna i tredjeländer för att bygga upp ett internationellt likvärdigt system för personlig information genom att främja samarbete med internationella organisationer och inom andra internationella ramar. På grundval av denna bestämmelse delegeras befogenheten att vidta nödvändiga åtgärder för att överbrygga system- och driftsskillnader mellan Japan och det berörda främmande landet för att säkerställa lämplig hantering av personlig information som tas emot från det landet enligt den grundläggande policyn för skyddet av personlig information till nämnden för skydd av personuppgifter i egenskap av behörig myndighet för förvaltningen och genomförandet av personuppgiftslagen.
            Såsom föreskrivs i artikel 61 i och ii i personuppgiftslagen har nämnden dessutom anförtrotts både uppgiften att utforma och främja den grundläggande policyn och ansvaret för medlingen vid klagomål mot näringsidkare. Slutligen ska förvaltningsorgan samarbeta nära och kommunicera med varandra (artikel 80 i personuppgiftslagen).
            På grundval av dessa bestämmelser kommer nämnden att hantera klagomål från enskilda personer enligt följande:
            
                        a)
                     
                     
                        En person som misstänker att hans/hennes uppgifter, i strid med tillämpliga bestämmelser, har överförts från EU, samlats in eller använts av myndigheterna i Japan, också de myndigheter som ansvarar för den verksamhet som avses i kapitlen II och III i denna ”framställning”, inbegripet dem som omfattas av denna ”framställning”, kan lämna in ett klagomål till nämnden (personligen eller genom sin dataskyddsmyndighet).
                     
                  
                        b)
                     
                     
                        Nämnden handlägger klagomålet, också genom att utnyttja sina befogenheter enligt artiklarna 6, 61 ii och 80 i personuppgiftslagen, och informerar behöriga myndigheter och relevanta tillsynsorgan om klagomålet.
                        Dessa myndigheter är skyldiga att samarbeta med nämnden enligt artikel 80 i personuppgiftslagen, också genom att tillhandahålla nödvändiga uppgifter och relevant material, så att nämnden kan bedöma om insamlingen eller den efterföljande användningen av personlig information har skett i överensstämmelse med tillämpliga regler. I sin utvärdering kommer nämnden att samarbeta med ministeriet för inrikesfrågor och kommunikation.
                     
                  
                        c)
                     
                     
                        Om utvärderingen visar att en överträdelse av de tillämpliga reglerna har begåtts, ”omfattar de berörda myndigheternas samarbete med nämnden skyldigheten att avhjälpa överträdelsen”.
                        I fall av otillåten insamling av personlig information enligt tillämpliga regler ska detta innefatta radering av den personliga information som samlas in.
                        I fall av överträdelser av tillämpliga regler kommer nämnden innan utvärderingen avslutas också att bekräfta att överträdelsen till fullo har avhjälpts.
                     
                  
                        d)
                     
                     
                        Efter avslutad utvärdering ska nämnden inom rimlig tid meddela den enskilde om resultatet av utvärderingen och eventuella korrigerande åtgärder som vidtagits. Genom denna anmälan ska nämnden också underrätta den enskilde om möjligheten att från den behöriga myndigheten begära en bekräftelse av resultatet och uppgifter om den myndighet till vilken en sådan begäran om bekräftelse ska ställas.
                        Utförliga uppgifter om resultatet av utvärderingen kan begränsas, så länge det på rimlig grund kan antas att förmedlingen av sådana uppgifter skulle utgöra en risk för den pågående undersökningen.
                        Om klagomålet gäller insamling eller användning av personuppgifter på området brottsbekämpning, kommer nämnden, ifall utvärderingen visar att ett ärende som inbegriper personlig information om den enskilde har öppnats och att det avslutas, att underrätta den enskilde om att protokollet i ärendet kan läsas enligt artikel 53 i lagen om rättegångsregler i brottmål (och artikel 4 i lagen om slutprotokoll i brottmålsärenden).
                        Om utvärderingen visar att en enskild är misstänkt i ett brottmål, kommer nämnden att underrätta den enskilde om detta och om möjligheten att inkomma med en begäran enligt artikel 259 i lagen om rättegångsregler i brottmål.
                     
                  
                        e)
                     
                     
                        Om en enskild fortfarande är missnöjd med resultatet av detta förfarande, kan vederbörande vända sig till nämnden som då ska underrätta den enskilde om de olika möjligheterna och ingående förfarandena för att få tillgång till rättslig prövning i enlighet med japanska lagar och författningar. Dessutom kommer nämnden att erbjuda den enskilde stöd, inbegripet rådgivning och assistans, när det gäller att ta ytterligare åtgärder till berört administrativt eller juridiskt organ.
                     
                  III.   Regeringens tillgång information för ändamål som rör den nationella säkerheten
            
            A.   Rättsliga grunder och begränsningar för insamling av personlig information
            1)   Rättslig grund för insamling av information från berörda ministerier/organ
            Såsom anges ovan måste insamlingen av personuppgifter för ändamål som rör nationens säkerhet och genomförs av förvaltningsorgan falla under deras administrativa behörighet.
            I Japan finns det ingen laglig möjlighet till insamling av information med tvångsmedel med hänvisning enbart till nationens säkerhet. I enlighet med artikel 35 i författningen, är det möjligt att samla in personuppgifter med tvångsmedel endast på grundval av ett beslut som fattats av en domstol för utredning av brott. Ett sådant beslut kan endast utfärdas med avseende på en brottsutredning. Detta innebär att det japanska rättsystemet inte medger insamling av/tillgång till information med tvångsmedel med hänvisning till nationens säkerhet. På området nationell säkerhet kan berörda ministerier eller andra organ i stället endast hämta information från kostnadsfria källor, eller ta emot information från företag eller enskilda personer genom frivilligt utlämnande. Näringsidkare som mottar en begäran om frivilligt samarbete är inte rättsligt skyldiga att tillhandahålla sådan information, och därmed drabbas de inte av några negativa konsekvenser om de vägrar att samarbeta.
            Ett antal olika ministerier och myndigheter har ansvar för den nationella säkerheten.
            1)   Regeringskansliet
            Regeringskansliet bedriver insamling av information och efterforskningar avseende viktiga politiska strategier från regeringens sida (28) som föreskrivs i artikel 12.2 i regeringslagen. (29) Regeringskansliet har emellertid inga befogenheter att samla in personuppgifter direkt från näringsidkarna. Insamlingen, analysen och bedömningen bygger på information från öppna källor, andra myndigheter osv.
            2)   Den nationella polismyndigheten/den regionala polismyndigheten
            I varje region har den regionala polismyndigheten befogenhet att samla in information inom ramen för sin behörighet enligt artikel 2 i polislagen. Det kan förekomma att den nationella polismyndigheten samlar in information direkt inom ramen för sin behörighet enligt polislagen. Detta gäller särskilt verksamheten inom den nationella polismyndighetens säkerhetsbyrå, utrikesministeriet och säkerhetsministeriet. I enlighet med artikel 24 i polislagen är säkerhetsbyrån ansvarig för frågor som rör säkerhetspolisen (30) och utrikesministeriet och säkerhetsministeriet ansvarar för frågor som rör såväl utländska som japanska medborgare vars verksamhetsbaser finns i utlandet.
            3)   Underrättelsetjänsten för den allmänna säkerheten
            Tillämpningen av lagen om förebyggande av samhällsomstörtande verksamhet (nedan kallad lagen om samhällsomstörtande verksamhet) och lagen om kontroll av organisationer som begått urskillningslösa massmord (nedan kallad lagen om urskillningslösa massmord) är vanligen en uppgift för underrättelsetjänsten för den allmänna säkerheten (nedan kallad underrättelsetjänsten). Detta är ett organ inom justitieministeriet.
            Enligt lagen om samhällsomstörtande verksamhet och lagen om urskillningslösa massmord kan administrativa förordnanden (dvs. beslut om begränsning av organisationernas verksamhetsrätt, upplösning av dem osv.) enligt konstitutionen och på strikta villkor antas mot organisationer som begår vissa allvarliga förseelser (”Omstörtande terrorverksamhet” eller ”Handlingar som innebär urskillningslösa massmord”) i strid med ”den allmänna säkerheten” eller ”det grundläggande samhällsystemet”. ”Omstörtande terrorverksamhet” omfattas av lagen om samhällsomstörtande verksamhet (se artikel 4 som omfattar uppror, anstiftan till utländsk aggression, politiska mord osv.), medan ”Handlingar som innebär urskillningslösa massmord” faller under lagen om urskillningslösa massmord (se artikel 4 i denna lag). Endast exakt definierade organisationer som innebär att särskilda inre eller yttre hot mot den allmänna säkerheten kan bli föremål för bestämmelser enligt de båda ovanstående lagarna.
            För detta ändamål ger dessa båda lagar rättslig utredningsbefogenhet. De grundläggande utredningsbefogenheterna för tjänstemän inom underrättelsetjänsten anges i artikel 27 i lagen om samhällsomstörtande verksamhet och artikel 29 lagen om urskillningslösa massmord. Utredningar som utförs av underrättelsetjänsten enligt dessa bestämmelser genomförs i den mån det är nödvändigt avseende ovan nämnda bestämmelser om kontroll av organisationer (t.ex. vänsterradikala grupper, Aum Shinrikyo-sekten och vissa inhemska grupper med kopplingar till Nordkorea är exempel på föremål för tidigare utredningar). Dessa utredningar kan dock inte förlita sig på obligatoriska åtgärder och därmed kan en organisation som innehar personlig information inte åläggas att tillhandahålla sådan information.
            Insamling och användning av information som lämnas ut till underrättelsetjänsten på frivillig basis är föremål för relevanta garantier och begränsningar som föreskrivs i lag, såsom bland annat den kommunikationshemlighet som författningen garanterar och reglerna om hantering av personlig information enligt lagen om uppgifter hos förvaltningsorgan.
            4)   Försvarsministeriet
            I fråga om insamling av information som sköts av försvarsministeriet sker den på grundval av artiklarna 3 och 4 i lagen om inrättandet av ett försvarsministerium, i den mån det är nödvändigt för genomförandet av de uppgifter som faller under dess administrativa behörighet, bland annat frågor om försvar och skyddsinsatser, åtgärder som ska vidtas av självförsvarsstyrkorna samt av infanteriets, marinens och flygvapnets självförsvarsstyrkor. Försvarsministeriet kan endast samla in uppgifter för dessa syften genom frivilligt samarbete och fritt tillgängliga källor. Det sker ingen insamling av information om allmänheten.
            2)   Begränsningar och skyddsåtgärder
            
               a)   Lagstadgade begränsningar
            
            1)   Allmänna begränsningar på grundval av lagen om uppgifter hos förvaltningsorgan
            Lagen om uppgifter hos förvaltningsorgan är en allmän lag tillämplig för insamling och hantering av personlig information som sköts av förvaltningsorgan på alla deras verksamhetsområden. De begränsningar och garantier som beskrivs i avsnitt A.1 b.2 gäller även lagring, förvaring, användning osv. av personuppgifter på området nationell säkerhet.
            2)   Särskilda begränsningar för polisen (både den nationella polismyndigheten och den regionala polismyndigheten)
            Som framgår i avsnittet ovan om insamling av uppgifter för brottsbekämpande ändamål får polisen endast samla in uppgifter inom ramen för sin behörighet och när detta görs kan den, enligt artikel 2.2 i polislagen, endast agera i en omfattning som är ”strikt begränsad” till fullgörandet av uppdraget på ett sätt som är ”opartiskt, utan partianknytning, fördomsfritt och rättvist”. Dessutom får dess ”befogenheter aldrig missbrukas på något sätt som begränsar de rättigheter och friheter som tillerkänns den enskilde i Japans konstitution”.
            3)   Särskilda begränsningar tillämpliga på underrättelsetjänsten
            Både i artikel 3 i lagen om samhällsomstörtande verksamhet och artikel 3 i lagen om urskillningslösa massmord föreskriver att utredningar som genomförs enligt dessa akter ska ske endast i den omfattning som är absolut nödvändig för att uppnå det eftersträvade målet och får inte utföras på ett sätt som utan skäl inskränker på grundläggande mänskliga rättigheter. Om en tjänsteman vid underrättelsetjänsten missbrukar sina befogenheter, utgör detta, enligt artikel 45 i lagen om samhällsomstörtande verksamhet och artikel 42 i lagen om urskillningslösa massmord, ett brott som är belagt med strängare straff än ”allmänt” missbruk av myndighetsställning på andra områden inom den offentliga sektorn.
            4)   Särskilda begränsningar tillämpliga på försvarsministeriet
            I fråga om den insamling av information/organisation av försvarsministeriet som avses i artikel 4 i lagen om inrättandet av ett försvarsministerium är denna insamling av information, som utförs av ministeriet, begränsad till vad som är ”nödvändigt” för att fullgöra dess skyldigheter avseende 1) försvar och skyddsinsatser, 2) åtgärder som ska vidtas av självförsvarsstyrkorna, 3) organisationerna, personalantalet, strukturen, utrustningen och användningen av infanteriets, marinens och flygvapnets självförsvarsstyrkor.
            
               b)   Övriga begränsningar
            
            Som framgår av förklaringen i avsnitt II.A.2 b.1 ovan visar högsta domstolens rättspraxis, att om en begäran om frivilligt samarbete ska riktas till en näringsidkare, måste denna begäran vara nödvändig för undersökningen av ett misstänkt brott och vara rimlig för att uppnå syftet med utredningen.
            Fastän utredningar som genomförs av utredande myndigheter på området nationell säkerhet skiljer sig från utredningar som genomförs av utredande myndigheter på området brottsbekämpning i fråga om både deras rättsliga grund och syfte, är de centrala principerna om ”utredningens nödvändighet” och ”metodens lämplighet” också tillämpliga på området nationell säkerhet och måste fullgöras med vederbörlig hänsyn till de särskilda omständigheterna i varje enskilt fall.
            Kombinationen av begränsningarna ovan säkerställer att insamlingen och bearbetningen av information görs endast i den mån som krävs för att den behöriga myndigheten ska kunna utföra specifika uppgifter samt agera på grundval av specifika hot. Detta utesluter massinsamling och urskillningslös insamling eller tillgång till personuppgifter av nationella säkerhetsskäl.
            B.   Tillsyn
            1)   Tillsyn på grundval av lagen om uppgifter hos förvaltningsorgan
            Som framgår av förklaringen ovan i avsnitt II.B.2 har ministern eller chefen för varje ministerium eller byrå i den japanska offentliga sektorn befogenhet att övervaka och genomdriva efterlevnaden av lagen om uppgifter hos förvaltningsorgan inom hans eller hennes ministerium eller byrå. Dessutom får ministeriet för inrikesfrågor och kommunikation undersöka det faktiska genomförandet av lagen, uppmana varje minister att lämna in material och förklaringar som grundar sig på artiklarna 49 och 50 i lagen och lämna synpunkter till varje minister på grundval av artikel 51 i lagen. Till exempel får vederbörande begära översyn av åtgärderna genom åtgärder i enlighet med artiklarna 50 och 51 i lagen.
            2)   Tillsyn av polisen genom nämnden för den offentliga säkerheten
            Såsom framgår av förklaringen ovan i avsnittet ”II. Insamling av information för brottsbekämpande ändamål” är det den regionala nämnden för den offentliga säkerheten som övervakar den regionala polisens verksamhet.
            I fråga om den nationella polismyndigheten (NPA), sköts tillsynen av den nationella nämnden för offentlig säkerhet. Enligt artikel 5 i polislagen ska nämnden bland annat ansvara för ”skyddet av den enskildes rättigheter och friheter”. För detta ändamål ska nämnden framför allt upprätta en heltäckande strategi med fastställda regler för förvaltningen av de frågor som föreskrivs i varje led i artikel 5.4 i polislagen och fastställa andra grundläggande riktlinjer eller åtgärder som bör tillämpas i denna verksamhet. Den nationella nämnden för offentlig säkerhet åtnjuter samma grad av oberoende som den regionala nämnden för offentlig säkerhet.
            3)   Tillsyn av försvarsministeriet som utförs av generalinspektörens byrå för efterlevnad av lagen
            Generalinspektörens byrå för efterlevnad av lagen är en oberoende byrå inom försvarsministeriet, som står under direkt överinseende av försvarsministern enligt artikel 29 i lagen om inrättandet av ett försvarsministerium. Byrån kan genomföra inspektioner av hur tjänstemän i försvarsministeriet efterlever lagar och andra författningar. Inspektionerna kallas försvarsinspektioner.
            Byrån utför inspektioner genom ett oberoende kontor för att säkerställa efterlevnad av lagen inom hela ministeriet, inbegripet själförsvarsstyrkorna. Den fullgör sina uppgifter oberoende av försvarsministeriet operativa avdelningar. Efter en inspektion avlägger byrån utan dröjsmål rapport om sina slutsatser direkt till försvarsministern, tillsammans med nödvändiga åtgärder för att förbättra situationen. På grundval av byråns rapport kan försvarsministeriet utfärda förelägganden att vidta åtgärder som är nödvändiga för att rätta till situationen. Den biträdande ministern ansvarar för att genomföra dessa åtgärder och ska avlägga en genomföranderapport till försvarsministern.
            Som en frivillig öppenhetsåtgärd offentliggörs resultaten av försvarsinspektionerna numera på försvarsministeriets webbplats (fastän detta inte är ett lagstadgat krav).
            Det finns tre kategorier av försvarsinspektioner:
            
                        (i)
                     
                     
                        Regelbundna försvarsinspektioner som genomförs periodvis (31).
                     
                  
                        (ii)
                     
                     
                        Försvarsinspektioner för kontroll som genomförs för att kontrollera om förbättrande åtgärder faktiskt har vidtagits.
                     
                  
                        (iii)
                     
                     
                        Särskilda försvarsinspektioner som genomförs i särskilda avseende enligt anvisning från försvarsministern.
                     
                  I samband med sådana inspektioner kan generalinspektören begära rapporter från berörda kontor, begära in handlingar, beträda områden för att genomföra inspektionen, kräva förklaringar från den biträdande ministern, osv. Med tanke på inspektionernas natur leds byrån av mycket erfarna juridiska experter (tidigare överåklagare).
            4)   Tillsyn som utförs av underrättelsetjänsten
            underrättelsetjänsten utför både ordinarie och särskilda kontroller av arbetet vid tjänstens enskilda byråer och kontor (underrättelsebyrån för den allmänna säkerheten, underrättelsekontoren för den allmänna säkerheten osv.). För den regelbundna inspektionens ändamål utses en biträdande generaldirektör och/eller en direktör till inspektör(er). Denna kontroll gäller också hanteringen av personlig information.
            5)   Tillsyn som utförs av parlamentet
            I fråga om insamling av information för brottsbekämpande ändamål kan parlamentet, genom sitt ansvariga utskott, undersöka lagenligheten i insamlingen av information inom området nationell säkerhet. Parlamentets utredningsbefogenheter bygger på artikel 62 i konstitutionen och artiklarna 74 och 104 i parlamentslagen.
            C)   Rättslig prövning för enskilda
            Enskild prövning kan utövas på samma vägar som på det straffrättsliga området. Detta inbegriper också en ny prövningsmekanism, förvaltad och övervakad av nämnden, för att handlägga och åtgärda klagomål från enskilda i EU. För detta vidkommande, se relevanta passager i avsnitt II.C.
            Dessutom finns det särskilda möjligheter till enskild prövning på området nationell säkerhet.
            Personuppgifter som samlats in av ett förvaltningsorgan till skydd för den nationella säkerheten omfattas av bestämmelserna i kapitel 4 i lagen om uppgifter hos förvaltningsorgan. Detta inbegriper rätten att begära upplysningar (artikel 12), rättelse (inbegripet tillägg eller strykning) (artikel 27) i den enskildes lagrade personliga information samt rätten att begära att användningen av den personliga informationen upphör om det berörda förvaltningsorganet har erhållit informationen på olaglig väg (artikel 36). Mot bakgrund av detta är utövandet av sådana rättigheter föremål för vissa begränsningar på området nationell säkerhet. En begäran om utlämnande, rättelse eller upphörande kommer inte att tillmötesgås om den avser ”information för vilken det finns rimliga skäl för chefen för ett förvaltningsorgan att anse att utlämnande sannolikt skulle skada den nationella säkerheten, skada ett ömsesidigt förtroendeförhållande till ett främmande land eller en internationell organisation, eller förorsaka nackdelar i förhandlingar med ett främmande land eller en internationell organisation” (artikel 14 iv). Därför omfattas inte all frivillig insamling av uppgifter med anknytning till nationell säkerhet av detta undantag, eftersom de senare alltid kräver en konkret bedömning av de risker som finns med utlämnandet av dem.
            Om den enskildes begäran avslås därför att den berörda information anses inte kunna lämnas ut enligt artikel 14 iv, får den enskilde lämna in ett administrativt överklagande för prövning av ett sådant beslut, till exempel med hänvisning till att de villkor som anges i artikel 14 iv inte är uppfyllda i det aktuella fallet. I det fallet, och innan beslut fattas, ska det berörda förvaltningsorganets chef samråda med styrelsen för översyn av utlämnande av uppgifter och skydd av personuppgifter. Styrelsen ska behandla överklagandet från en oberoende ståndpunkt. Nämnden är ett mycket specialiserat och oberoende organ, vars ledamöter premiärministern utser bland sakkunniga personer, med samtycke av båda kamrarna i parlamentet. (32) Styrelsen har omfattande utredningsbefogenheter, bl.a. möjligheten att begära utlämnande av både handlingarna och den personliga informationen i fråga, hålla överläggning bakom stängda dörrar och tillämpa förfarandet enligt s.k. Vaughn-index (33). Styrelsen upprättar sedan skapar en skriftlig rapport som överlämnas till berörd enskild. (34) Slutsatserna i rapporten offentliggörs. Fastän rapporten formellt inte är rättsligt bindande, följs nästan alla rapporter av de berörda förvaltningsorgan. (35)
            
            Enligt artikel 3.3 i förvaltningsprocesslagen får den enskilde väcka talan om upphävande av det beslut som fattats av förvaltningsorganen om att inte lämna ut personlig information.
            IV.   Regelbunden översyn
            
            Inom ramen för den periodiska översynen av beslutet om adekvat skyddsnivå kommer nämnden och Europeiska kommissionen att utbyta information om behandlingen av uppgifter enligt villkoren i beslutet om adekvat skyddsnivå, också enligt dem som anges i denna framställning.
            
               (1)  Hösta domstolen, dom av den september 12, 2003 (2002 (Ju) nr 1656)
            
               (2)  För undantag med avseende på kapitel 4 i lagen om uppgifter hos förvaltningsorgan, se s. 16 nedan.
            
               (3)  Lagrad personlig information i artikel 2.5 i lagen om uppgifter hos förvaltningsorgan avser personlig information som förberetts eller erhållits av en anställd vid ett förvaltningsorgan i dennes tjänsteutövning och som innehas av förvaltningsorganet för bruk av de anställda inom organisationen.
            
               (4)  Varje region har sina egna ”regionala stadgar” som är tillämpliga på den regionala polismyndighetens skydd av personlig information. Dessa regionala stadgar är inte översatta till engelska.
            
               (5)  I artikel 220.1 i lagen om rättegångsregler i brottmål föreskrivs, att när en allmän åklagare, en allmän åklagares assistent eller en tjänsteman vid kriminalpolisen griper en misstänkt, kan han eller hon, vid behov, vidta följande åtgärder: a) tillträde till annan persons bostad osv. för att eftersöka en misstänkt, b) husrannsakan, beslag eller inspektion på platsen för gripandet.
            
               (6)  Mer specifikt anges följande i bestämmelsen: ”Den allmänne åklagaren eller kriminalpolisen får, i de fall som omfattas av något av de följande punkterna, när det föreligger en situation som är tillräcklig för att misstänka att kommunikation kommer att äga rum avseende förövande, förberedelse eller samförstånd angående uppföljningshandlingar såsom undertryckande av bevis och dyl., instruktioner och andra förbindelser avseende det brott som fastställs i vart och ett av de omnämnda punkterna (hädanefter kallade ’en serie brott’ i punkterna två och tre). Samma sak gäller kommunikation som inbegriper frågor med koppling till det nämnda brottet (hädanefter kallat ’kommunikation avseende brott’ i denna punkt) och i ärenden i vilka det är ovanligt svårt att identifiera brottslingen eller klarlägga situationen/enskildheterna rörande förövandet på något annat sätt, avlyssnad kommunikation med koppling till brottet, på grundval av avlyssningsbeslut som fattats av en domare vid domstol, avseende ett kommunikationssätt, som specifieras genom telefonnummer och andra nummer/koder för att identifiera telefonens källa eller destination och som används av den misstänkte på grundval av ett avtal med telekomoperatörer osv. (förutom sådana som kan betraktas som fall där det inte finns någon misstanke om ’kommunikation som rör brott’), eller sådana där det finns skäl till misstanke att användas som ’kommunikation rörande brott’, avlyssning av kommunikation som rör brott med dessa kommunikationssätt kan genomföras.”
            
               (7)  Dom av den 18 mars 1969 mars (1968 (Shi) nr 100).
            
               (8)  I artikel 156.1 i lagen om rättegångsregler i brottmål föreskrivs följande: ”Vid inlämningen av den begäran som anges i punkt 1 i föregående artikel ska sökanden tillhandahålla material enligt vilket den misstänkte eller tilltalade bör anses ha begått ett brott.”
            
               (9)  Se fotnot 6.
            
               (10)  I artikel 3.1 och 2 i lagen om uppgifter hos förvaltningsorgan begränsas lagringens omfattning och, därigenom, också insamlingen av personlig information.
            
               (11)  Se även det meddelande som utfärdades av den nationella polismyndigheten den 7 december 1999 (s. 9 nedan) som innehåller samma budskap.
            
               (12)  Brottets allvar och akuta karaktär är relevanta faktorer för att bedöma ”metodens lämplighet”.
            
               (13)  I artikel 21.2 i konstitutionen fastslås följande: ”Censur är inte tillåten, och inte heller får kommunikationshemligheten för några kommunikationsmedel kränkas.”
            
               (14)  I artikel 4 i lagen om telekomoperatörer fastställs följande: ”1) Kommunikationshemlighet som handteras av en teleoperatör får inte kränkas. 2) En person som arbetar för en telekomoperatör ska i sin tjänsteutövning inte lämna ut mottagna hemligheter som rör meddelanden som hanteras av telekomoperatörer. Detta gäller sedan vederbörande har frånträtt sin tjänst.”
            
               (15)  I artikel 134 i strafflagen fastställs följande: ”1) Om en läkare, farmaceut, apotekare, barnmorska, rättsligt ombud, offentlig försvarare, notarius publicus eller någon annan person som tidigare varit verksam inom ett sådant yrke, utan välgrundade skäl, lämnar ut en annan persons konfidentiella information som har blivit känd i yrkesutövningen, ska fängelse i högst 6 månader eller böter på högst 100 000 yen utdömas. 2) Detsamma ska gälla i fall där en person som är eller har varit sysselsatt inom religiös verksamhet, utan välgrundade skäl, lämnar ut en annan persons konfidentiella information som har blivit känd i utövningen av den religiösa verksamheten.”
            
               (16)  I fråga om undantag från denna regel, se fotnot 5.
            
               (17)  För att säkerställa insyn och underlätta inrikes- och kommunikationsministeriets tillsyn åligger det chefen för ett förvaltningsorgan, enligt artikel 11i i lagen om uppgifter hos förvaltningsorgan, att registrera varje element som fastställs i artikel 10.1 i lagen om uppgifter hos förvaltningsorgan, t.ex. namnet på det organ som lagrar akten, metoden för insamling av personuppgifter och dyl. (s.k. ”register över personuppgiftsakter”). Register med personuppgifter som omfattas av artikel 10.2 i lagen om uppgifter hos förvaltningsorgan, såsom de som utarbetats eller erhållits som en del i en brottsutredning eller om frågor som är relevanta för nationens säkerhet, är dock undantagna från skyldigheten att underrätta övervaknings- och informationscentrumet och att inkludera dem i det offentliga registret. Enligt artikel 7 i lagen om förvaltning av offentliga register och arkiv är emellertid chefen för ett förvaltningsorgan alltid skyldig att registrera klassificering, titel, lagringstid och lagringsplats, osv. för administrativa handlingar (”register över förvaltningen av administrativa handlingar”). Indexinformationen för båda registren offentliggörs på internet och gör att den enskilde kan kontrollera vilka personuppgifter filen innehåller och vilket förvaltningsorgan som lagrar informationen.
            
               (18)  Se t.ex. skriftlig förfrågan från överhuset nr 92 av den 27 mars 2009 om hantering av information som samlas in i samband med brottsutredningar, inbegripet när polis och åklagarmyndigheter brutit mot sekretesskyddet.
            
               (19)  Ett exempel på en sådan åtgärd är ”Målet med försvarsbyråns förteckning” (Niigata distriktsdomstol, beslut av den 11 maj 2006 (2002(Wa) nr 514)). I detta fall utarbetade, höll och spred en tjänsteman vid försvarsbyrån en förteckning över de personer som till byrån lämnat in en begäran om utlämnande av administrativa handlingar. I den förteckningen fanns beskrivningar av kärandens personliga information. Käranden vidhöll att hans integritet, rätt till information osv. hade åsidosatts och begärde därför att svaranden skulle betala skadestånd för skada enligt artikel 1.1 i lagen om rättslig prövning mot staten. Denna begäran bifölls delvis av den domstol som beviljade käranden ett visst skadestånd.
            
               (20)  Högsta domstolen, beslut av den 5 april, 1910 (1910(O) (nr 71).
            
               (21)  Artikel 79 i polislagen (utdrag):
            
                        1.
                     
                     
                        Den som har ett klagomål mot hur personal vid den regionala polisen fullgör sina skyldigheter får lämna in ett skriftligt klagomål till den regionala nämnden för den offentliga säkerheten genom det förfarande som föreskrivs i stadgarna för den nationella nämnden för allmän säkerhet.
                     
                  
                        2.
                     
                     
                        Den regionala nämnden för den offentliga säkerheten, som mottog ett klagomål som beskrivs i föregående stycke, ska noggrant hantera det i enlighet med lagar och lokala stadgar och ska skriftligen meddela resultatet för den klagande, utom i följande fall:
                        
                                    1)
                                 
                                 
                                    Klagomålet kan anses vara inlämnat för att hindra den regionala polisens lagenliga fullgörande av sina skyldigheter.
                                 
                              
                                    2)
                                 
                                 
                                    Den klagandes nuvarande bostadsort är okänd.
                                 
                              
                                    3)
                                 
                                 
                                    Klagomålet kan anses vara inlämnat gemensamt med andra klagande och att andra klagande redan har meddelats resultatet av det gemensamma klagomålet.
                                 
                              
                  
               (22)  Den nationella polismyndigheten, Tillkännagivande om korrekt hantering av klagomål på polistjänstemäns fullgörande av sina skyldigheter, av den 13 april 2001, med tillägg 1 ”Standarder för tolkning och genomförande av artikel 79 i polislagen”.
            
               (23)  Enligt tillkännagivandet från den nationella polismyndigheten (se föregående fotnot) ska personer med svårigheter att utforma ett skriftligt klagomål få stöd. Detta inbegriper uttryckligen utlänningar.
            
               (24)  Samtidigt skulle det finnas handlingar som inte klassificeras som ”handlingar som rör rättegångar”, eftersom de inte själva är information som erhållits genom ett beslut eller skriftliga förfrågningar om undersökningsfrågor, utan utformats på grundval av dessa handlingar. Detta skulle vara fallet om privat information inte omfattas av artikel 45.1 i lagen om uppgifter hos förvaltningsorgan, och därför skulle sådan information inte undantas från tillämpningen av kapitel 4 i den lagen.
            
               (25)  I artikel 53.2.2 i lagen om rättegångsregler i brottmål föreskrivs att bestämmelserna i kapitel IV i lagen om uppgifter hos förvaltningsorgan inte ska tillämpas på personlig information som registrerats i handlingar som rör rättegångar och beslagtagna tillhörigheter.
            
               (26)  Enligt lagen om rättegångsregler i brottmål och lagen om slutprotokoll i brottmålsärenden, tillgång till och korrigering av beslagtagna tillhörigheter samt handlingar/personlig information rörande rättegångar är föremål för ett enda och tydligt system av regler som syftar till att skydda de berörda personernas integritet, sekretessen i utredningar och tillbörliga förfaranden i brottmål osv.
            
               (27)  Mer specifikt är kontrollen av information som gäller objektiva bevis i princip tillåten för brottsoffer avseende registren som inte rör åtal i de fall som omfattas av vittnes medverkan, vilka föreskrivs i artikel 316.33 i lagen om rättegångsregler i brottmål för att göra skyddet av brottsoffer mer tillfredsställande.
            
               (28)  Den genomförs av regeringens kontor för inhämtning och efterforskningar på grundval av artikel 4 i föreläggandet om regeringskansliets organisation.
            
               (29)  Detta inbegriper ”insamling och efterforskningar av underrättelser om viktiga politiska strategier från regeringens sida”.
            
               (30)  Säkerhetspolisen ansvarar för verksamhet som rör kontroll av brottslighet som påverkar den offentliga säkerheten och nationens intressen. Detta inbegriper kontroll av brottslighet och insamling av information om olaglig verksamhet med anknytning till vänsterextrema grupper, högerextrema grupper och skadlig antijapansk verksamhet.
            
               (31)  Ett exempel på en inspektion rörande frågorna i denna framställning är den återkommande försvarsinspektionen som 2016 var inriktad på ”medvetenheten om/förberedelserna för efterlevnad av lagen”, eftersom skyddet av personlig information var en av inspektionens huvudpunkter. Mer specifikt rörde inspektionen förvaltningen, lagringen osv. av personlig information. I sin rapport identifierar byrån flera olämpliga aspekter i hanteringen av personuppgifter som bör förbättras, t.ex. underlåtenhet att skydda uppgifterna med lösenord. Rapporten finns på försvarsministeriets webbplats.
            
               (32)  Se artikel 4 i lagen om inrättande av styrelsen för översyn av utlämnande av uppgifter och skydd av personuppgifter.
            
               (33)  Se artikel 9 i lagen om inrättande av styrelsen för översyn av utlämnande av uppgifter och skydd av personuppgifter.
            
               (34)  Se artikel 16 i lagen om inrättande av styrelsen för översyn av utlämnande av uppgifter och skydd av personuppgifter.
            
               (35)  Under de senaste tre åren finns inget prejudikat som antyder att det berörda förvaltningsorganet fattat ett beslut som avvikit från styrelsens slutsatser. Tidigare år har detta hänt ytterst sällan. Det har förekommit i två fall av totalt 2 000 ärenden sedan 2005 (året då lagen om uppgifter hos förvaltningsorgan trädde i kraft). När förvaltningsorganet lämnar ett avgörande/fattar ett beslut som avviker från kommitténs slutsatser, i enlighet med artikel 50.1 led 4 i lagen om administrativa klagomål såsom tillämpad i stället för artikel 42.2 i lagen om uppgifter hos förvaltningsorgan ska skälen till detta tydligt anges.