CELEX: 32019D0419
Language: el
Date: 2019-01-23 00:00:00
Title: Εκτελεστική απόφαση (ΕΕ) 2019/419 της Επιτροπής, της 23ης Ιανουαρίου 2019, σύμφωνα με τον κανονισμό (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, σχετικά με την επαρκή προστασία των δεδομένων προσωπικού χαρακτήρα από την Ιαπωνία βάσει του Νόμου περί Προστασίας Προσωπικών Πληροφοριών (Κείμενο που παρουσιάζει ενδιαφέρον για τον ΕΟΧ)

19.3.2019   
               
               
                  EL
               
               
                  Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης
               
               
                  L 76/1
               
            
         ΕΚΤΕΛΕΣΤΙΚΗ ΑΠΟΦΑΣΗ (ΕΕ) 2019/419 ΤΗΣ ΕΠΙΤΡΟΠΗΣ
         της 23ης Ιανουαρίου 2019
         σύμφωνα με τον κανονισμό (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, σχετικά με την επαρκή προστασία των δεδομένων προσωπικού χαρακτήρα από την Ιαπωνία βάσει του Νόμου περί Προστασίας Προσωπικών Πληροφοριών
         [κοινοποιηθείσα υπό τον αριθμό Ε(2019) 304]
         (Κείμενο που παρουσιάζει ενδιαφέρον για τον ΕΟΧ)
         Η ΕΥΡΩΠΑΪΚΗ ΕΠΙΤΡΟΠΗ,
         Έχοντας υπόψη τη Συνθήκη για τη λειτουργία της Ευρωπαϊκής Ένωσης,
         Έχοντας υπόψη τον κανονισμό (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (1) («ΓΚΠΔ»), και ιδίως το άρθρο 45 παράγραφος 3,
         Κατόπιν διαβούλευσης με τον Ευρωπαίο Επόπτη Προστασίας Δεδομένων,
         1.   ΕΙΣΑΓΩΓΗ
         
         
                     (1)
                  
                  
                     Ο κανονισμός (ΕΕ) 2016/679 θεσπίζει τους κανόνες που διέπουν τη διαβίβαση δεδομένων προσωπικού χαρακτήρα από υπευθύνους επεξεργασίας ή εκτελούντες την επεξεργασία στην Ευρωπαϊκή Ένωση προς τρίτες χώρες και διεθνείς οργανισμούς, εφόσον η εν λόγω διαβίβαση εμπίπτει στο πεδίο εφαρμογής του. Οι κανόνες για τις διεθνείς διαβιβάσεις δεδομένων προσωπικού χαρακτήρα ορίζονται στο κεφάλαιο V του εν λόγω κανονισμού, και ειδικότερα στα άρθρα 44 έως 50. Η κυκλοφορία δεδομένων προσωπικού χαρακτήρα προς και από χώρες εκτός της Ευρωπαϊκής Ένωσης είναι αναγκαία για τη διεύρυνση της διεθνούς συνεργασίας και των διεθνών συναλλαγών, παρέχοντας παράλληλα εγγυήσεις ότι δεν υποβαθμίζεται το επίπεδο προστασίας των δεδομένων προσωπικού χαρακτήρα που προσφέρεται στην Ευρωπαϊκή Ένωση.
                  
               
                     (2)
                  
                  
                     Σύμφωνα με το άρθρο 45 παράγραφος 3 του κανονισμού (ΕΕ) 2016/679, η Επιτροπή μπορεί να αποφασίσει, μέσω εκτελεστικής πράξης, ότι εξασφαλίζεται επαρκές επίπεδο προστασίας από τρίτη χώρα ή έδαφος ή έναν ή περισσότερους συγκεκριμένους τομείς σε τρίτη χώρα ή από διεθνή οργανισμό. Μ’ αυτή την προϋπόθεση, οι διαβιβάσεις δεδομένων προσωπικού χαρακτήρα στην εν λόγω τρίτη χώρα, έδαφος, τομέα ή διεθνή οργανισμό μπορούν να πραγματοποιούνται χωρίς να απαιτείται περαιτέρω άδεια, όπως ορίζεται στο άρθρο 45 παράγραφος 1 και στην αιτιολογική σκέψη 103 του κανονισμού.
                  
               
                     (3)
                  
                  
                     Όπως ορίζεται στο άρθρο 45 παράγραφος 2 του κανονισμού (ΕΕ) 2016/679, η έκδοση απόφασης επάρκειας πρέπει να βασίζεται σε ολοκληρωμένη ανάλυση της έννομης τάξης της τρίτης χώρας, όσον αφορά τόσο τους κανόνες στους οποίους υπάγονται οι εισαγωγείς δεδομένων όσο και τους περιορισμούς και τις εγγυήσεις σχετικά με την πρόσβαση των δημόσιων αρχών σε δεδομένα προσωπικού χαρακτήρα. Η εκτίμηση πρέπει να προσδιορίζει αν η τρίτη χώρα εγγυάται επίπεδο προστασίας «ουσιωδώς ισοδύναμο» με αυτό που διασφαλίζεται εντός της Ευρωπαϊκής Ένωσης (αιτιολογική σκέψη 104 του κανονισμού (ΕΕ) 2016/679). Όπως έχει διευκρινιστεί από το Δικαστήριο της Ευρωπαϊκής Ένωσης, αυτό δεν συνεπάγεται απαίτηση για το ίδιο ακριβώς επίπεδο προστασίας (2). Ειδικότερα, τα μέσα που χρησιμοποιεί η τρίτη χώρα μπορεί να διαφέρουν από αυτά που εφαρμόζονται εντός της Ευρωπαϊκής Ένωσης, εφόσον αποδεικνύονται στην πράξη αποτελεσματικά ώστε να διασφαλίζουν το επαρκές επίπεδο προστασίας (3). Συνεπώς, το κριτήριο της επάρκειας δεν επιβάλλει πιστή αντιγραφή των κανόνων της Ένωσης. Το καθοριστικό στοιχείο είναι κυρίως εάν, μέσω της ουσίας των δικαιωμάτων περί προστασίας της ιδιωτικής ζωής, της αποτελεσματικής εφαρμογής τους, καθώς και της δυνατότητας επιβολής και εποπτείας τους, το σύστημα της τρίτης χώρας ως σύνολο προσφέρει το απαιτούμενο επίπεδο προστασίας (4).
                  
               
                     (4)
                  
                  
                     Η Επιτροπή ανέλυσε με προσοχή την ιαπωνική νομοθεσία και πρακτική. Με βάση τις διαπιστώσεις που παρατίθενται στις αιτιολογικές σκέψεις 6 έως 175, η Επιτροπή διαπιστώνει ότι η Ιαπωνία διασφαλίζει επαρκές επίπεδο προστασίας για τα δεδομένα προσωπικού χαρακτήρα που διαβιβάζονται στους οργανισμούς οι οποίοι εμπίπτουν στο πεδίο εφαρμογής του Νόμου περί Προστασίας Προσωπικών Πληροφοριών (5) και υπόκεινται στις επιπλέον προϋποθέσεις που αναφέρονται στην παρούσα απόφαση. Οι προϋποθέσεις αυτές ορίζονται στους Συμπληρωματικούς Κανόνες (παράρτημα I) που εγκρίθηκαν από την Επιτροπή Προστασίας Προσωπικών Πληροφοριών (ΕΠΠ) (6) και στις επίσημες παρουσιάσεις, διασφαλίσεις και δεσμεύσεις της ιαπωνικής κυβέρνησης προς την Ευρωπαϊκή Επιτροπή (παράρτημα II).
                  
               
                     (5)
                  
                  
                     Η παρούσα απόφαση συνεπάγεται ότι μπορούν να πραγματοποιούνται διαβιβάσεις από υπεύθυνο επεξεργασίας ή εκτελούντα την επεξεργασία στον Ευρωπαϊκό Οικονομικό Χώρο (ΕΟΧ) (7) στους εν λόγω οργανισμούς στην Ιαπωνία χωρίς να απαιτείται περαιτέρω άδεια. Η παρούσα απόφαση δεν επηρεάζει την απευθείας εφαρμογή του κανονισμού (ΕΕ) 2016/679 στους οργανισμούς αυτούς όταν πληρούνται οι συνθήκες του άρθρου 3 του εν λόγω κανονισμού.
                  
               2.   ΟΙ ΚΑΝΟΝΕΣ ΠΟΥ ΕΦΑΡΜΟΖΟΝΤΑΙ ΣΤΗΝ ΕΠΕΞΕΡΓΑΣΙΑ ΔΕΔΟΜΕΝΩΝ ΑΠΟ ΕΠΙΧΕΙΡΗΜΑΤΙΚΟΥΣ ΦΟΡΕΙΣ
         
         2.1.   Το πλαίσιο προστασίας δεδομένων στην Ιαπωνία
         
         
                     (6)
                  
                  
                     Το νομικό σύστημα που διέπει την προστασία της ιδιωτικής ζωής και των δεδομένων στην Ιαπωνία έχει τις ρίζες του στο Σύνταγμα που τέθηκε σε ισχύ το 1946.
                  
               
                     (7)
                  
                  
                     Το άρθρο 13 του Συντάγματος ορίζει:
                     «Όλοι οι άνθρωποι τυγχάνουν σεβασμού ως άτομα. Το δικαίωμά τους στη ζωή, την ελευθερία και την επιδίωξη της ευτυχίας, στον βαθμό που δεν θίγει το δημόσιο συμφέρον, αποτελεί την ύψιστη μέριμνα στη νομοθεσία και τις λοιπές κρατικές υποθέσεις».
                  
               
                     (8)
                  
                  
                     Με βάση αυτό το άρθρο, το Ανώτατο Δικαστήριο της Ιαπωνίας αποσαφήνισε τα δικαιώματα των ατόμων όσον αφορά την προστασία των προσωπικών πληροφοριών. Σε απόφαση του 1969, αναγνώρισε το δικαίωμα στην ιδιωτικότητα και στην προστασία των δεδομένων ως συνταγματικό δικαίωμα (8). Συγκεκριμένα, το Δικαστήριο έκρινε ότι «κάθε άτομο είναι ελεύθερο να προστατεύει τις προσωπικές πληροφορίες του από την κοινοποίηση σε τρίτους ή τη δημοσιοποίηση χωρίς βάσιμο λόγο». Επιπροσθέτως, σε απόφαση της 6ης Μαρτίου 2008 («Juki-Net») (9), το Ανώτατο Δικαστήριο υποστήριξε ότι «το δικαίωμα των πολιτών στην ιδιωτικότητα προστατεύεται έναντι της κρατικής εξουσίας, και μπορεί να έχει την έννοια ότι, ως μία από τις ελευθερίες των ατόμων στο πλαίσιο της ιδιωτικότητας, κάθε άτομο είναι ελεύθερο να προστατεύει τις προσωπικές πληροφορίες του από την κοινοποίηση σε τρίτους ή τη δημοσιοποίηση χωρίς βάσιμο λόγο». (10)
                     
                  
               
                     (9)
                  
                  
                     Στις 30 Μαΐου 2003, η Ιαπωνία έθεσε σε ισχύ μια σειρά νόμων σχετικά με την προστασία των δεδομένων:
                     
                                 —
                              
                              
                                 τον Νόμο περί Προστασίας Προσωπικών Πληροφοριών (ΝΠΠΠ)·
                              
                           
                                 —
                              
                              
                                 τον Νόμο περί Προστασίας Προσωπικών Πληροφοριών που Τηρούνται από Διοικητικά Όργανα (ΝΠΠΠΤΔΟ)·
                              
                           
                                 —
                              
                              
                                 τον Νόμο περί Προστασίας Προσωπικών Πληροφοριών που Τηρούνται από Ανεξάρτητους Διοικητικούς Φορείς (ΝΠΠΠ-ΑΔΦ).
                              
                           
               
                     (10)
                  
                  
                     Οι δύο τελευταίοι νόμοι (που τροποποιήθηκαν το 2016) περιέχουν διατάξεις που άπτονται της προστασίας των προσωπικών πληροφοριών από φορείς του δημόσιου τομέα. Η επεξεργασία δεδομένων που εμπίπτει στο πεδίο εφαρμογής αυτών των νόμων δεν αποτελεί αντικείμενο της διαπίστωσης επάρκειας που περιέχεται στην παρούσα απόφαση, η οποία περιορίζεται στην προστασία των προσωπικών πληροφοριών από «επιχειρηματικούς φορείς που χειρίζονται προσωπικές πληροφορίες» (ΕΦΧΠΠ) κατά την έννοια του ΝΠΠΠ.
                  
               
                     (11)
                  
                  
                     Ο ΝΠΠΠ υποβλήθηκε σε αναθεώρηση πριν από λίγα χρόνια. Ο τροποποιημένος ΝΠΠΠ δημοσιεύθηκε στις 9 Σεπτεμβρίου 2015 και τέθηκε σε ισχύ στις 30 Μαΐου 2017. Με την τροποποίηση θεσπίστηκε σειρά νέων εγγυήσεων, ενώ ενισχύθηκαν και οι υφιστάμενες εγγυήσεις, φέροντας έτσι το ιαπωνικό σύστημα προστασίας δεδομένων πιο κοντά στο ευρωπαϊκό. Σ’ αυτές περιλαμβάνεται, π.χ., μια δέσμη εκτελεστών ατομικών δικαιωμάτων ή η ίδρυση ανεξάρτητης εποπτικής αρχής (ΕΠΠ) στην οποία έχει ανατεθεί η εποπτεία και επιβολή του ΝΠΠΠ.
                  
               
                     (12)
                  
                  
                     Επιπροσθέτως του ΝΠΠΠ, η επεξεργασία προσωπικών πληροφοριών που εμπίπτουν στο πεδίο εφαρμογής της παρούσας απόφασης υπόκειται στους εκτελεστικούς κανόνες που έχουν εκδοθεί βάσει του ΝΠΠΠ. Σ’ αυτούς περιλαμβάνεται μια τροποποίηση του Διατάγματος του Υπουργικού Συμβουλίου για την Επιβολή του Νόμου περί Προστασίας Προσωπικών Πληροφοριών της 5ης Οκτωβρίου 2016, καθώς και οι αποκαλούμενοι «Κανόνες Επιβολής για τον Νόμο περί Προστασίας Προσωπικών Πληροφοριών» που εξέδωσε η ΕΠΠ (11). Πρόκειται για δύο νομικά δεσμευτικά και εκτελεστά σύνολα κανόνων που τέθηκαν σε ισχύ ταυτόχρονα με τον αναθεωρημένο ΝΠΠΠ.
                  
               
                     (13)
                  
                  
                     Εξάλλου, στις 28 Οκτωβρίου 2016 το Υπουργικό Συμβούλιο της Ιαπωνίας (αποτελούμενο από τον Πρωθυπουργό και τους Υπουργούς που συγκροτούν την κυβέρνησή του) εξέδωσε μια «Βασική Πολιτική» με σκοπό «να προωθήσει με συνολικό και ολοκληρωμένο τρόπο μέτρα που αφορούν την προστασία των προσωπικών πληροφοριών». Σύμφωνα με το άρθρο 7 του ΝΠΠΠ, η «Βασική Πολιτική» εκδίδεται υπό μορφή Απόφασης του Υπουργικού Συμβουλίου και περιλαμβάνει προσανατολισμούς πολιτικής σχετικά με την επιβολή του ΝΠΠΠ, που απευθύνονται τόσο στην κεντρική κυβέρνηση όσο και στην τοπική αυτοδιοίκηση.
                  
               
                     (14)
                  
                  
                     Προσφάτως, με Απόφαση του Υπουργικού Συμβουλίου που εκδόθηκε στις 12 Ιουνίου 2018, η κυβέρνηση της Ιαπωνίας επέφερε τροποποιήσεις στη «Βασική Πολιτική». Με στόχο τη διευκόλυνση των διεθνών διαβιβάσεων δεδομένων, η εν λόγω Απόφαση του Υπουργικού Συμβουλίου αναθέτει στην ΕΠΠ, ως αρμόδια αρχή για τη διαχείριση και εφαρμογή του ΝΠΠΠ, «την εξουσία να λαμβάνει τα αναγκαία μέτρα για τη γεφύρωση των διαφορών σε επίπεδο συστημάτων και λειτουργιών μεταξύ της Ιαπωνίας και της εκάστοτε τρίτης χώρας με βάση το άρθρο 6 του Νόμου, προκειμένου να διασφαλίζεται ο σωστός χειρισμός των προσωπικών πληροφοριών που λαμβάνονται από τη χώρα αυτή». Η Απόφαση του Υπουργικού Συμβουλίου ορίζει ότι σ’ αυτή την εξουσία εμπεριέχεται η εξουσία θέσπισης διατάξεων αυξημένης προστασίας μέσω της έκδοσης από την ΕΠΠ αυστηρότερων κανόνων οι οποίοι συμπληρώνουν και υπερβαίνουν τους κανόνες που ορίζονται στον ΝΠΠΠ και στο Διάταγμα του Υπουργικού Συμβουλίου. Σύμφωνα με την εν λόγω απόφαση, οι αυστηρότεροι αυτοί κανόνες είναι δεσμευτικοί και εκτελεστοί για τους επιχειρηματικούς φορείς της Ιαπωνίας.
                  
               
                     (15)
                  
                  
                     Βάσει του άρθρου 6 του ΝΠΠΠ και της ανωτέρω Απόφασης του Υπουργικού Συμβουλίου, η ΕΠΠ εξέδωσε στις 15 Ιουνίου 2018«Συμπληρωματικούς Κανόνες δυνάμει του Νόμου Προστασίας Προσωπικών Πληροφοριών για τον Χειρισμό των Δεδομένων Προσωπικού Χαρακτήρα που Διαβιβάζονται από την ΕΕ βάσει Απόφασης Επάρκειας» (εφεξής «Συμπληρωματικοί Κανόνες») με σκοπό την ενίσχυση της προστασίας των προσωπικών πληροφοριών που διαβιβάζονται από την Ευρωπαϊκή Ένωση στην Ιαπωνία με βάση την παρούσα απόφαση επάρκειας. Οι Συμπληρωματικοί Κανόνες είναι νομικά δεσμευτικοί για τους επιχειρηματικούς φορείς της Ιαπωνίας και εκτελεστοί, τόσο από την ΕΠΠ όσο και από τα δικαστήρια, κατά τον ίδιο τρόπο με τις διατάξεις του ΝΠΠΠ τις οποίες οι Κανόνες συμπληρώνουν με αυστηρότερους και/ή πιο λεπτομερείς κανόνες (12). Καθώς οι επιχειρηματικοί φορείς της Ιαπωνίας που λαμβάνουν ή επεξεργάζονται περαιτέρω δεδομένα προσωπικού χαρακτήρα από την Ευρωπαϊκή Ένωση θα έχουν νομική υποχρέωση να συμμορφώνονται με του Συμπληρωματικούς Κανόνες, θα πρέπει να διασφαλίζουν [π.χ. με τεχνικά («σήμανση») ή οργανωτικά μέσα (αποθήκευση σε ειδική βάση δεδομένων)] ότι μπορούν να εντοπίζουν τα εν λόγω δεδομένα προσωπικού χαρακτήρα καθ’ όλη τη διάρκεια του «κύκλου ζωής» τους (13). Στις επόμενες ενότητες, αναλύεται το περιεχόμενο του κάθε Συμπληρωματικού Κανόνα στο πλαίσιο της αξιολόγησης των άρθρων του ΝΠΠΠ που συμπληρώνει.
                  
               
                     (16)
                  
                  
                     Σε αντίθεση με το προ της τροποποίησης του 2015 καθεστώς το οποίο ανέθετε αυτή τη αρμοδιότητα σε διάφορα ιαπωνικά υπουργεία σε επιμέρους τομείς, ο ΝΠΠΠ εξουσιοδοτεί την ΕΠΠ να εκδίδει «Κατευθυντήριες Γραμμές»«με στόχο να διασφαλίζεται η ορθή και αποτελεσματική υλοποίηση των ενεργειών στις οποίες πρέπει να προβαίνουν οι επιχειρηματικοί φορείς» βάσει των κανόνων προστασίας των δεδομένων. Μέσω των κατευθυντήριων γραμμών της, η ΕΠΠ παρέχει δεσμευτική ερμηνεία αυτών των κανόνων, και ιδίως του ΝΠΠΠ. Σύμφωνα με τα στοιχεία που υπέβαλε η ΕΠΠ, οι εν λόγω κατευθυντήριες γραμμές αποτελούν αναπόσπαστο μέρος του νομικού πλαισίου, σε συνδυασμό με το κείμενο του ΝΠΠΠ, το Διάταγμα του Υπουργικού Συμβουλίου, τους Κανόνες της ΕΠΠ και μια σειρά Ερωτήσεων και Απαντήσεων (14) που έχει εκπονήσει η ΕΠΠ. Επομένως, είναι «δεσμευτικές για τους επιχειρηματικούς φορείς». Στα σημεία όπου οι Κατευθυντήριες Γραμμές ορίζουν ότι ένας επιχειρηματικός φορέας «πρέπει» ή «δεν πρέπει» να ενεργεί με συγκεκριμένο τρόπο, η ΕΠΠ θα θεωρεί ότι η μη συμμόρφωση με τις οικείες διατάξεις ισοδυναμεί με παράβαση της νομοθεσίας (15).
                  
               2.2.   Καθ’ ύλην και προσωπικό πεδίο εφαρμογής
         
         
                     (17)
                  
                  
                     Το πεδίο εφαρμογής του ΝΠΠΠ οριοθετείται από τις οριζόμενες έννοιες των προσωπικών πληροφοριών, των δεδομένων προσωπικού χαρακτήρα και του επιχειρηματικού φορέα που χειρίζεται προσωπικές πληροφορίες. Παράλληλα, ο ΝΠΠΠ προβλέπει ορισμένες σημαντικές εξαιρέσεις από το πεδίο εφαρμογής του, με σημαντικότερες τις διατάξεις για τα δεδομένα προσωπικού χαρακτήρα που υποβάλλονται σε ανωνυμοποιημένη επεξεργασία και για ειδικές μορφές επεξεργασίας από ορισμένους φορείς. Αν και ο ΝΠΠΠ δεν χρησιμοποιεί τον όρο «επεξεργασία», βασίζεται στην ισοδύναμη έννοια του «χειρισμού» η οποία, σύμφωνα με τις πληροφορίες που υπέβαλε η ΕΠΠ, καλύπτει «κάθε πράξη που αφορά δεδομένα προσωπικού χαρακτήρα», συμπεριλαμβανομένης της απόκτησης, της εισαγωγής, της συσσώρευσης, της οργάνωσης, της αποθήκευσης, της επιμέλειας/επεξεργασίας, της ανανέωσης, της διαγραφής, της εξαγωγής, της χρήσης ή της παροχής πληροφοριών προσωπικού χαρακτήρα.
                  
               2.2.1.   Ορισμός των προσωπικών πληροφοριών
         
         
                     (18)
                  
                  
                     Κατά πρώτον, όσον αφορά το καθ’ ύλην πεδίο εφαρμογής του, ο ΝΠΠΠ διακρίνει τις προσωπικές πληροφορίες από τα δεδομένα προσωπικού χαρακτήρα, και προβλέπει εφαρμογή ορισμένων μόνο διατάξεων του Νόμου στην πρώτη κατηγορία. Σύμφωνα με το άρθρο 2 παράγραφος 1 του ΝΠΠΠ, η έννοια των «προσωπικών πληροφοριών» περιλαμβάνει όλες τις πληροφορίες σχετικά με εν ζωή άτομο οι οποίες επιτρέπουν την ταυτοποίηση του εν λόγω ατόμου. Ο ορισμός διακρίνει δύο κατηγορίες προσωπικών πληροφοριών: i) τους ατομικούς κωδικούς αναγνώρισης και ii) άλλες προσωπικές πληροφορίες μέσω των οποίων είναι δυνατή η ταυτοποίηση ενός συγκεκριμένου ατόμου. Στη δεύτερη κατηγορία περιλαμβάνονται επίσης πληροφορίες που δεν επιτρέπουν από μόνες τους την ταυτοποίηση αλλά οι οποίες, εάν «αντιπαραβάλλονται εύκολα» με άλλες πληροφορίες, καθιστούν δυνατή την ταυτοποίηση ενός συγκεκριμένου ατόμου. Σύμφωνα με τις κατευθυντήριες γραμμές της ΕΠΠ (16), το αν μια πληροφορία μπορεί να θεωρηθεί «ευκόλως αντιπαραβαλλόμενη» κρίνεται χωριστά για κάθε περίπτωση, λαμβανομένης υπόψη της πραγματικής κατάστασης (εφεξής «κατάσταση») του επιχειρηματικού φορέα. Αυτό θεωρείται ότι ισχύει εάν η αντιπαραβολή πραγματοποιείται (ή μπορεί να πραγματοποιηθεί) από έναν συνήθη («κανονικό») επιχειρηματικό φορέα ο οποίος χρησιμοποιεί τα μέσα που έχει στη διάθεσή του. Π.χ., μια πληροφορία δεν είναι «ευκόλως αντιπαραβαλλόμενη» με άλλες πληροφορίες αν ένας επιχειρηματικός φορέας πρέπει να καταβάλει ασυνήθιστα μεγάλες προσπάθειες ή να διαπράξει παρανομίες για την απόκτηση των προς αντιπαραβολή πληροφοριών από έναν ή περισσότερους επιχειρηματικούς φορείς.
                  
               2.2.2.   Ορισμός των δεδομένων προσωπικού χαρακτήρα
         
         
                     (19)
                  
                  
                     Μόνον ορισμένες μορφές προσωπικών πληροφοριών εμπίπτουν στην έννοια των «δεδομένων προσωπικού χαρακτήρα» δυνάμει του ΝΠΠΠ. Πράγματι, τα «δεδομένα προσωπικού χαρακτήρα» ορίζονται ως «προσωπικές πληροφορίες οι οποίες αποτελούν μια βάση προσωπικών πληροφοριών», δηλαδή ένα «σύνολο πληροφοριών» το οποίο περιλαμβάνει προσωπικές πληροφορίες «συστηματικά οργανωμένες με τρόπο που να καθιστά δυνατή την αναζήτηση συγκεκριμένων προσωπικών πληροφοριών μέσω υπολογιστή» (17) ή «προσδιοριζόμενες με διάταγμα του Υπουργικού Συμβουλίου ως συστηματικά οργανωμένες με τρόπο που να καθιστά δυνατή την εύκολη αναζήτηση συγκεκριμένων προσωπικών πληροφοριών» —αλλά «εξαιρουμένων των πληροφοριών οι οποίες προσδιορίζονται με διάταγμα του Υπουργικού Συμβουλίου ως πληροφορίες που είναι ελάχιστα πιθανό να θίξουν τα δικαιώματα και τα συμφέροντα ενός ατόμου λαμβανομένης υπόψη της μεθόδου χρήσης τους» (18).
                  
               
                     (20)
                  
                  
                     Η εξαίρεση αυτή διευκρινίζεται περαιτέρω στο άρθρο 3 παράγραφος 1 του Διατάγματος του Υπουργικού Συμβουλίου, σύμφωνα με την οποία πρέπει να πληρούνται σωρευτικά οι τρεις ακόλουθες προϋποθέσεις: i) το σύνολο πληροφοριών πρέπει να έχει «εκδοθεί με σκοπό την πώλησή του σε μεγάλο αριθμό μη προσδιοριζομένων προσώπων και χωρίς η εν λόγω έκδοση να έχει διεξαχθεί κατά παράβαση των διατάξεων νόμου ή διατάγματος που βασίζεται σ’ αυτό»· ii) πρέπει να είναι δυνατή «ανά πάσα στιγμή η αγορά του από μεγάλο αριθμό μη προσδιοριζομένων προσώπων» και iii) τα δεδομένα προσωπικού χαρακτήρα που περιέχονται στο εν λόγω σύνολο πρέπει να «παρέχονται για τον αρχικό τους σκοπό χωρίς να προσθέτουν άλλες πληροφορίες σχετικά με εν ζωή άτομο». Σύμφωνα με τις εξηγήσεις που έδωσε η ΕΠΠ, η περιορισμένη αυτή εξαίρεση θεσπίστηκε με σκοπό την εξαίρεση των τηλεφωνικών καταλόγων ή παρόμοιων τύπων καταλόγων.
                  
               
                     (21)
                  
                  
                     Για τα δεδομένα που συλλέγονται στην Ιαπωνία, η διάκριση μεταξύ «προσωπικών πληροφοριών» και «δεδομένων προσωπικού χαρακτήρα» είναι σημαντική επειδή οι εν λόγω πληροφορίες μπορεί να μην αποτελούν πάντοτε μέρος «βάσης προσωπικών πληροφοριών» (όπως π.χ. ένα ενιαίο σύνολο δεδομένων τα οποία συλλέγονται και υποβάλλονται σε επεξεργασία χωρίς χρήση υπολογιστή), με αποτέλεσμα να μην έχουν εφαρμογή οι διατάξεις του ΝΠΠΠ που αφορούν αποκλειστικά τα δεδομένα προσωπικού χαρακτήρα (19).
                  
               
                     (22)
                  
                  
                     Αντιθέτως, η διάκριση δεν έχει νόημα για τα δεδομένα προσωπικού χαρακτήρα που εισάγονται από την Ευρωπαϊκή Ένωση στην Ιαπωνία βάσει απόφασης επάρκειας. Καθώς τα δεδομένα αυτά διαβιβάζονται συνήθως με ηλεκτρονικά μέσα (δεδομένου ότι, στη σημερινή ψηφιακή εποχή, αυτός είναι και ο συνήθης τρόπος ανταλλαγής δεδομένων, ιδίως για μεγάλες αποστάσεις όπως μεταξύ της ΕΕ και της Ιαπωνίας) και, ως εκ τούτου, εντάσσονται στο ηλεκτρονικό σύστημα αρχειοθέτησης του εισαγωγέα δεδομένων, τα δεδομένα της ΕΕ εμπίπτουν πάντοτε στην κατηγορία των «δεδομένων προσωπικού χαρακτήρα» βάσει του ΝΠΠΠ. Στην εξαιρετική περίπτωση διαβίβασης δεδομένων προσωπικού χαρακτήρα από την ΕΕ με άλλα μέσα (π.χ. σε έντυπη μορφή), τα εν λόγω δεδομένα εξακολουθούν να καλύπτονται από τον ΝΠΠΠ εάν, μετά τη μεταφορά, εντάσσονται σε «σύνολο πληροφοριών» συστηματικά οργανωμένο κατά τρόπο με τρόπο που να καθιστά δυνατή την εύκολη αναζήτηση συγκεκριμένων πληροφοριών [άρθρο 2 παράγραφος 4 σημείο ii) του ΝΠΠΠ]. Σύμφωνα με το άρθρο 3 παράγραφος 2 του Διατάγματος του Υπουργικού Συμβουλίου, αυτό συμβαίνει όταν οι πληροφορίες κατηγοριοποιούνται «σύμφωνα με ορισμένο κανόνα» και η βάση δεδομένων περιλαμβάνει εργαλεία όπως π.χ. πίνακα περιεχομένων ή ευρετήριο με σκοπό τη διευκόλυνση της αναζήτησης. Αυτό αντιστοιχεί στον ορισμό του «συστήματος αρχειοθέτησης», κατά την έννοια του άρθρου 2 παράγραφος 1 του ΓΚΠΔ.
                  
               2.2.3.   Ορισμός των διατηρούμενων δεδομένων προσωπικού χαρακτήρα
         
         
                     (23)
                  
                  
                     Ορισμένες διατάξεις του ΝΠΠΠ, και κυρίως τα άρθρα 27 έως 30 σχετικά με τα ατομικά δικαιώματα, έχουν εφαρμογή μόνο σε μια επιμέρους κατηγορία δεδομένων προσωπικού χαρακτήρα, τα «διατηρούμενα δεδομένα προσωπικού χαρακτήρα». Αυτά ορίζονται δυνάμει του άρθρου 2 παράγραφος 7 του ΝΠΠΠ ως δεδομένα προσωπικού χαρακτήρα άλλα από εκείνα τα οποία είτε i) «έχουν προσδιοριστεί με διάταγμα του Υπουργικού Συμβουλίου ως πιθανό να θίξουν το δημόσιο ή άλλα συμφέροντα εάν αποκαλυφθεί η ύπαρξη ή η απουσία τους» είτε ii) «προορίζονται να διαγραφούν εντός περιόδου έως ενός έτους η οποία καθορίζεται με διάταγμα του Υπουργικού Συμβουλίου».
                  
               
                     (24)
                  
                  
                     Η πρώτη από τις δύο ανωτέρω κατηγορίες περιγράφεται στο άρθρο 4 του Διατάγματος του Υπουργικού Συμβουλίου και καλύπτει τέσσερα είδη εξαιρέσεων (20). Οι εξαιρέσεις αυτές έχουν παρεμφερείς στόχους με τις εξαιρέσεις που απαριθμούνται στο άρθρο 23 παράγραφος 1 του κανονισμού (ΕΕ) 2016/679, δηλαδή την προστασία του υποκειμένου των δεδομένων (του «εντολέα» σύμφωνα με την ορολογία του ΝΠΠΠ) και την ελευθερία τρίτων, την εθνική ασφάλεια, τη δημόσια ασφάλεια, την επιβολή της ποινικής νομοθεσίας ή άλλους σημαντικούς στόχους γενικού δημόσιου συμφέροντος. Επιπλέον, από τη διατύπωση του άρθρου 4 παράγραφος 1 στοιχεία i)-iv) του Διατάγματος του Υπουργικού Συμβουλίου προκύπτει ότι η εφαρμογή τους προϋποθέτει συγκεκριμένο κίνδυνο για ένα από τα προστατευόμενα σημαντικά συμφέροντα (21).
                  
               
                     (25)
                  
                  
                     Η δεύτερη κατηγορία προσδιορίζεται περαιτέρω στο άρθρο 5 του Διατάγματος του Υπουργικού Συμβουλίου. Σε συνδυασμό με το άρθρο 2 παράγραφος 7 του ΝΠΠΠ, εξαιρεί από το πεδίο εφαρμογής της έννοιας των διατηρούμενων δεδομένων προσωπικού χαρακτήρα, και, ως εκ τούτου, από τα ατομικά δικαιώματα που απορρέουν από τον ΝΠΠΠ, τα δεδομένα προσωπικού χαρακτήρα που «προορίζονται να διαγραφούν» εντός εξαμήνου. Η ΕΠΠ εξήγησε ότι η συγκεκριμένη εξαίρεση έχει ως στόχο την παροχή κινήτρων στους επιχειρηματικούς φορείς ώστε να διατηρούν και να υποβάλλουν σε επεξεργασία τα δεδομένα για το μικρότερο κατά τον δυνατόν χρονικό διάστημα. Ωστόσο, αυτό συνεπάγεται ότι τα υποκείμενα δεδομένων από την ΕΕ δεν θα μπορούν να απολαμβάνουν σημαντικά δικαιώματα με μοναδική αιτιολογία την περίοδο διατήρησης των δεδομένων τους από τον επιχειρηματικό φορέα.
                  
               
                     (26)
                  
                  
                     Για να αντιμετωπιστεί αυτή η κατάσταση, ο Συμπληρωματικός Κανόνας 2 ορίζει ότι τα δεδομένα προσωπικού χαρακτήρα που έχουν διαβιβαστεί από την Ευρωπαϊκή Ένωση «αντιμετωπίζονται ως διατηρούμενα δεδομένα προσωπικού χαρακτήρα κατά την έννοια του άρθρου 2 παράγραφος 7 του Νόμου, ανεξαρτήτως της περιόδου εντός της οποίας προορίζονται να διαγραφούν». Ως εκ τούτου, η περίοδος διατήρησης δεν θίγει τα δικαιώματα που απολαμβάνουν τα υποκείμενα δεδομένων από την ΕΕ.
                  
               2.2.4.   Ορισμός των προσωπικών πληροφοριών που υποβάλλονται σε ανωνυμοποιημένη επεξεργασία
         
         
                     (27)
                  
                  
                     Οι εφαρμοζόμενες απαιτήσεις όσον αφορά προσωπικές πληροφορίες υποβαλλόμενες σε ανωνυμοποιημένη επεξεργασία όπως ορίζονται στο άρθρο 2 παράγραφος 9 του ΝΠΠΠ, θεσπίζονται στο κεφάλαιο 4 τμήμα 2 του Νόμου («Καθήκοντα επιχειρηματικών φορέων που χειρίζονται προσωπικές πληροφορίες υποβαλλόμενες σε ανωνυμοποιημένη επεξεργασία»). Αντιστρόφως, οι πληροφορίες αυτές δεν διέπονται από τις διατάξεις του κεφαλαίου IV τμήμα 1 του ΝΠΠΠ στο οποίο περιλαμβάνονται τα άρθρα που θεσπίζουν τις εγγυήσεις και τα δικαιώματα για την προστασία των δεδομένων τα οποία εφαρμόζονται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα δυνάμει του εν λόγω Νόμου. Ως εκ τούτου, ενώ οι «προσωπικές πληροφορίες που υποβάλλονται σε ανωνυμοποιημένη επεξεργασία» δεν υπόκεινται στους «συνήθεις» κανόνες προστασίας των δεδομένων (όπως ορίζονται στο κεφάλαιο IV τμήμα 1 και στο άρθρο 42 του ΝΠΠΠ), εμπίπτουν στο πεδίο εφαρμογής του ΝΠΠΠ, και ειδικότερα στα άρθρα 36 έως 39.
                  
               
                     (28)
                  
                  
                     Σύμφωνα με το άρθρο 2 παράγραφος 9 του ΝΠΠΠ, ως «προσωπικές πληροφορίες υποβαλλόμενες σε ανωνυμοποιημένη επεξεργασία» ορίζονται πληροφορίες σχετικά με ένα άτομο οι οποίες «προήλθαν από επεξεργασία προσωπικών πληροφοριών» με μεθόδους που προβλέπονται στον ΝΠΠΠ (άρθρο 36 παράγραφος 1) και προσδιορίζονται στους Κανόνες της ΕΠΠ (άρθρο 19), με αποτέλεσμα να έχει καταστεί αδύνατη η ταυτοποίηση συγκεκριμένου ατόμου ή η αποκατάσταση των προσωπικών πληροφοριών.
                  
               
                     (29)
                  
                  
                     Όπως συνάγεται από τις εν λόγω διατάξεις, και επιβεβαιώνεται από την ΕΠΠ, η διαδικασία «ανωνυμοποίησης» των προσωπικών πληροφοριών δεν χρειάζεται να είναι τεχνικώς μη αναστρέψιμη. Σύμφωνα με το άρθρο 36 παράγραφος 2 του ΝΠΠΠ, επιχειρηματικοί φορείς οι οποίοι χειρίζονται «προσωπικές πληροφορίες υποβαλλόμενες σε ανωνυμοποιημένη επεξεργασία» οφείλουν απλώς να αποτρέπουν την επαναταυτοποίηση λαμβάνοντας μέτρα για την εγγύηση της ασφάλειας «των περιγραφών κ.λπ. και των ατομικών κωδικών αναγνώρισης που διαγράφονται από τις προσωπικές πληροφορίες οι οποίες χρησιμοποιούνται για την παραγωγή των υποβαλλόμενων σε ανωνυμοποιημένη επεξεργασία πληροφοριών, καθώς και [της ασφάλειας] των πληροφοριών που σχετίζονται με εφαρμοζόμενη μέθοδο επεξεργασίας».
                  
               
                     (30)
                  
                  
                     Δεδομένου ότι στις «προσωπικές πληροφορίες που υποβάλλονται σε ανωνυμοποιημένη επεξεργασία», όπως ορίζονται από τον ΝΠΠΠ, περιλαμβάνονται δεδομένα για τα οποία είναι ακόμη δυνατή η επαναταυτοποίηση του ατόμου, αυτό μπορεί να συνεπάγεται ότι τα δεδομένα προσωπικού χαρακτήρα που διαβιβάζονται από την Ευρωπαϊκή Ένωση ενδέχεται να χάνουν εν μέρει την προβλεπόμενη προστασία μέσω διαδικασίας που, βάσει του κανονισμού (ΕΕ) 2016/679, θα θεωρούνταν μάλλον ως μια μορφή «ψευδωνυμοποίησης» παρά ως «ανωνυμοποίηση» (με αποτέλεσμα να μην μεταβάλλεται ο προσωπικός χαρακτήρας των δεδομένων).
                  
               
                     (31)
                  
                  
                     Για την αντιμετώπιση αυτή της κατάστασης, οι Συμπληρωματικοί Κανόνες θεσπίζουν πρόσθετες απαιτήσεις οι οποίες ισχύουν μόνο για τα δεδομένα προσωπικού χαρακτήρα που διαβιβάζονται από την Ευρωπαϊκή Ένωση βάσει της παρούσας απόφασης. Σύμφωνα με τον Κανόνα (5) των Συμπληρωματικών Κανόνων, οι εν λόγω προσωπικές πληροφορίες θεωρούνται προσωπικές πληροφορίες υποβαλλόμενες σε ανωνυμοποιημένη επεξεργασία κατά την έννοια του ΝΠΠΠ μόνον «εάν ο επιχειρηματικός φορέας που χειρίζεται τις προσωπικές πληροφορίες λαμβάνει μέτρα που καθιστούν την επαναταυτοποίηση του ατόμου μη αναστρέψιμη για όλους, μεταξύ άλλων με τη διαγραφή πληροφοριών που σχετίζονται με τη μέθοδο επεξεργασίας κ.λπ.». Οι τελευταίες προσδιορίζονται στους Συμπληρωματικούς Κανόνες ως πληροφορίες σχετιζόμενες με τις περιγραφές και τους ατομικούς κωδικούς αναγνώρισης που διαγράφηκαν από τις προσωπικές πληροφορίες οι οποίες χρησιμοποιήθηκαν για την παραγωγή των «υποβαλλόμενων σε ανωνυμοποιημένη επεξεργασία προσωπικών πληροφοριών», καθώς και ως πληροφορίες σχετιζόμενες με μέθοδο επεξεργασίας η οποία εφαρμόστηκε κατά τη διαγραφή των εν λόγω περιγραφών και ατομικών κωδικών αναγνώρισης. Με άλλα λόγια, οι Συμπληρωματικοί Κανόνες ορίζουν ότι ο επιχειρηματικός φορέας ο οποίος παράγει προσωπικές πληροφορίες υποβαλλόμενες σε ανωνυμοποιημένη επεξεργασία πρέπει να καταστρέφει το «κλειδί» που καθιστά δυνατή την επαναταυτοποίηση των δεδομένων. Αυτό σημαίνει ότι τα δεδομένα προσωπικού χαρακτήρα με προέλευση την Ευρωπαϊκή Ένωση εμπίπτουν στις διατάξεις του ΝΠΠΠ σχετικά με τις «προσωπικές πληροφορίες που υποβάλλονται σε ανωνυμοποιημένη επεξεργασία» μόνον εάν τα εν λόγω δεδομένα θα θεωρούνταν ομοίως ανώνυμες πληροφορίες βάσει του κανονισμού (ΕΕ) 2016/679 (22).
                  
               2.2.5.   Ορισμός του επιχειρηματικού φορέα που χειρίζεται προσωπικές πληροφορίες (ΕΦΧΠΠ)
         
         
                     (32)
                  
                  
                     Όσον αφορά το προσωπικό πεδίο εφαρμογής του, ο ΝΠΠΠ εφαρμόζεται μόνο στους Επιχειρηματικούς Φορείς που Χειρίζονται Προσωπικές Πληροφορίες (ΕΦΧΠΠ). Ο ΕΦΧΠΠ ορίζεται στο άρθρο 2 παράγραφος 5 του ΝΠΠΠ «ως πρόσωπο το οποίο παρέχει βάση προσωπικών πληροφοριών κ.λπ. για χρήση στο πλαίσιο επιχειρηματικής δραστηριότητας», εξαιρουμένων των κρατικών και διοικητικών φορέων, τόσο σε κεντρικό όσο και σε τοπικό επίπεδο.
                  
               
                     (33)
                  
                  
                     Σύμφωνα με τις Κατευθυντήριες Γραμμές της ΕΠΠ, ως «επιχειρηματική δραστηριότητα» νοείται κάθε «ενέργεια που αποσκοπεί στην άσκηση, για ορισμένο σκοπό, ανεξαρτήτως του κερδοσκοπικού ή μη χαρακτήρα, κατ’ επανάληψη και σε διαρκή βάση, κοινωνικά αποδεκτού εμπορικού εγχειρήματος». Φορείς χωρίς νομική προσωπικότητα (όπως οι de facto συμπράξεις) ή επιμέρους άτομα χαρακτηρίζονται ως ΕΦΧΠΠ εάν παρέχουν (χρησιμοποιούν) βάση προσωπικών πληροφοριών κ.λπ. για την επιχειρηματική δραστηριότητά τους (23). Συνεπώς, η έννοια της «επιχειρηματικής δραστηριότητας» βάσει του ΝΠΠΠ είναι πολύ ευρεία καθώς εμπεριέχει όχι μόνο κερδοσκοπικές αλλά και μη κερδοσκοπικές δραστηριότητες από κάθε είδους φορείς και άτομα. Επιπροσθέτως, η έννοια της «χρήσης στο πλαίσιο επιχειρηματικής δραστηριότητας» καλύπτει επίσης τις προσωπικές πληροφορίες που δεν χρησιμοποιούνται στις (εξωτερικές) εμπορικές σχέσεις του επιχειρηματικού φορέα, αλλά εσωτερικά, π.χ. για την επεξεργασία των δεδομένων των υπαλλήλων.
                  
               
                     (34)
                  
                  
                     Όσον αφορά όσους υπάγονται στις διατάξεις προστασίας που θεσπίζονται στον ΝΠΠΠ, ο Νόμος δεν κάνει διακρίσεις βάσει της εθνικότητας, του τόπου διαμονής ή της γεωγραφικής θέσης ενός ατόμου. Το ίδιο ισχύει για τις δυνατότητες προσφυγής που διαθέτει ένα άτομο, είτε μέσω της ΕΠΠ είτε ενώπιον δικαστηρίου.
                  
               2.2.6.   Οι έννοιες του υπευθύνου επεξεργασίας και του εκτελούντα την επεξεργασία
         
         
                     (35)
                  
                  
                     Βάσει του ΝΠΠΠ, δεν υφίσταται συγκεκριμένη διάκριση μεταξύ των υποχρεώσεων που επιβάλλονται στους υπεύθυνους επεξεργασίας και τους εκτελούντες την επεξεργασία. Η απουσία αυτής της διάκρισης δεν επηρεάζει το επίπεδο προστασίας, επειδή όλοι οι ΕΦΧΠΠ υπάγονται σε όλες τις διατάξεις του Νόμου. Οι ΕΦΧΠΠ που αναθέτουν τον χειρισμό δεδομένων σε εντολοδόχο (το ισοδύναμο του εκτελούντος την επεξεργασία στον ΓΚΠΔ) εξακολουθούν να υπόκεινται στις υποχρεώσεις που ορίζονται στον ΝΠΠΠ και τους Συμπληρωματικούς Κανόνες σε ό,τι αφορά τα δεδομένα που έχουν αναθέσει. Επιπλέον, βάσει του άρθρου 22 του ΝΠΠΠ, δεσμεύονται να «ασκούν αναγκαία και κατάλληλη εποπτεία» του εντολοδόχου. Με τη σειρά του, όπως έχει επιβεβαιώσει η ΕΠΠ, ο εντολοδόχος δεσμεύεται και ο ίδιος από όλες τις υποχρεώσεις που προβλέπονται στον ΝΠΠΠ και τους Συμπληρωματικούς Κανόνες.
                  
               2.2.7.   Τομεακές εξαιρέσεις
         
         
                     (36)
                  
                  
                     Το άρθρο 76 του ΝΠΠΠ εξαιρεί ορισμένα είδη επεξεργασίας δεδομένων από την εφαρμογή του κεφαλαίου IV του Νόμου, το οποίο περιέχει τον πυρήνα των διατάξεων προστασίας των δεδομένων (βασικές αρχές, υποχρεώσεις των επιχειρηματικών φορέων, ατομικά δικαιώματα, εποπτεία από την ΕΠΠ). Η επεξεργασία που καλύπτεται από την τομεακή εξαίρεση του άρθρου 76 εξαιρείται επίσης από τις εξουσίες επιβολής της ΕΠΠ, σύμφωνα με το άρθρο 43 παράγραφος 2 του ΝΠΠΠ (24).
                  
               
                     (37)
                  
                  
                     Οι συναφείς κατηγορίες για την τομεακή εξαίρεση του άρθρου 76 του ΝΠΠΠ καθορίζονται με τη χρήση διπλού κριτηρίου βάσει του είδους του ΕΦΧΠΠ που χειρίζεται τις προσωπικές πληροφορίες και του σκοπού της επεξεργασίας. Ειδικότερα, η εξαίρεση αφορά: i) οπτικοακουστικούς οργανισμούς, εκδότες εφημερίδων, οργανισμούς επικοινωνιών ή άλλους δημοσιογραφικούς οργανισμούς (συμπεριλαμβανομένων των ατόμων που ασκούν δημοσιογραφική δραστηριότητα ως επάγγελμα) στο μέτρο που επεξεργάζονται προσωπικές πληροφορίες για δημοσιογραφικούς σκοπούς· ii) πρόσωπα που ασχολούνται επαγγελματικά με τη συγγραφή, στο μέτρο που πρόκειται για προσωπικές πληροφορίες· iii) πανεπιστήμια και άλλους οργανισμούς ή ομάδες που ανήκουν στον χώρο των ακαδημαϊκών σπουδών, ή πρόσωπα που ανήκουν σε τέτοιους οργανισμούς, στο μέτρο που επεξεργάζονται προσωπικές πληροφορίες για ακαδημαϊκούς σκοπούς· iv) θρησκευτικούς φορείς στο μέτρο που επεξεργάζονται προσωπικές πληροφορίες για θρησκευτικού σκοπούς (συμπεριλαμβανομένων όλων των σχετικών δραστηριοτήτων)· και v) πολιτικούς φορείς στο μέτρο που επεξεργάζονται προσωπικές πληροφορίες για τους σκοπούς της πολιτικής δράσης τους (συμπεριλαμβανομένων όλων των σχετικών δραστηριοτήτων). Η επεξεργασία προσωπικών πληροφοριών για σκοπό που περιλαμβάνεται στο άρθρο 76 από άλλες κατηγορίες ΕΦΧΠΠ καθώς και η επεξεργασία προσωπικών πληροφοριών από κατηγορία ΕΦΧΠΠ που περιλαμβάνεται στο εν λόγω άρθρο για άλλους σκοπούς, π.χ. στο πλαίσιο της απασχόλησης, συνεχίζουν να καλύπτονται από τις διατάξεις του κεφαλαίου IV.
                  
               
                     (38)
                  
                  
                     Για να διασφαλιστεί επαρκές επίπεδο προστασίας των δεδομένων προσωπικού χαρακτήρα που διαβιβάζονται από την Ευρωπαϊκή Ένωση σε επιχειρηματικούς φορείς στην Ιαπωνία, η παρούσα απόφαση θα πρέπει να καλύπτει μόνο την επεξεργασία προσωπικών πληροφοριών που εμπίπτουν στο πεδίο εφαρμογής του κεφαλαίου IV του ΝΠΠΠ —δηλαδή την επεξεργασία από ΕΦΧΠΠ στο μέτρο που η περίπτωση επεξεργασίας δεν υπάγεται σε μία από τις τομεακές εξαιρέσεις. Το πεδίο εφαρμογής της θα πρέπει επομένως να ευθυγραμμιστεί με αυτό του ΝΠΠΠ. Σύμφωνα με τις πληροφορίες που υπέβαλε η ΕΠΠ, όταν ένα ΕΦΧΠΠ που καλύπτεται από την παρούσα απόφαση τροποποιεί εκ των υστέρων τον σκοπό χρήσης (στο βαθμό που αυτό επιτρέπεται) ώστε να καλύπτεται από μία από τις τομεακές εξαιρέσεις του άρθρου 76 του ΝΠΠΠ, αυτό θα μπορεί να θεωρηθεί διεθνής διαβίβαση (δεδομένου ότι, στις περιπτώσεις αυτές, η επεξεργασία των προσωπικών πληροφοριών δεν θα καλύπτεται πλέον από το κεφάλαιο IV του ΝΠΠΠ και, επομένως, δεν θα εμπίπτει στο πεδίο εφαρμογής του). Το ίδιο θα ισχύει σε περίπτωση που ένας ΕΦΧΠΠ παρέχει προσωπικές πληροφορίες σε οντότητα που καλύπτεται από το άρθρο 76 του ΝΠΠΠ προς χρήση για έναν από τους σκοπούς επεξεργασίας που αναφέρονται στην εν λόγω διάταξη. Όσον αφορά τα δεδομένα προσωπικού χαρακτήρα που διαβιβάζονται από την Ευρωπαϊκή Ένωση, αυτό θα συνιστά επομένως περαιτέρω διαβίβαση, η οποία υπόκειται στις σχετικές εγγυήσεις (ιδίως εκείνες που προσδιορίζονται στο άρθρο 24 του ΝΠΠΠ και στον Συμπληρωματικό Κανόνα 4). Όταν ο ΕΦΧΠΠ βασίζεται στη συγκατάθεση του υποκειμένου των δεδομένων (25), θα πρέπει να του παρέχει όλες τις απαραίτητες πληροφορίες, όπως μεταξύ άλλων ότι οι προσωπικές πληροφορίες δεν θα προστατεύονται πλέον από τον ΝΠΠΠ.
                  
               2.3.   Εγγυήσεις, δικαιώματα και υποχρεώσεις
         
         2.3.1.   Περιορισμός του σκοπού
         
         
                     (39)
                  
                  
                     Τα δεδομένα προσωπικού χαρακτήρα πρέπει να υποβάλλονται σε επεξεργασία για συγκεκριμένο σκοπό και στη συνέχεια να χρησιμοποιούνται μόνο στο μέτρο που αυτό δεν είναι ασύμβατο με τον σκοπό της επεξεργασίας. Αυτή η αρχή προστασίας των δεδομένων κατοχυρώνεται στα άρθρα 15 και 16 του ΝΠΠΠ.
                  
               
                     (40)
                  
                  
                     Ο ΝΠΠΠ βασίζεται στην αρχή ότι οι επιχειρηματικοί φορείς πρέπει να προσδιορίζουν τον σκοπό χρήσης «όσο το δυνατόν σαφέστερα» (άρθρο 15 παράγραφος 1) και στη συνέχεια δεσμεύονται από τον σκοπό αυτό κατά την επεξεργασία των δεδομένων.
                  
               
                     (41)
                  
                  
                     Επ’ αυτού, το άρθρο 15 παράγραφος 2 του ΝΠΠΠ ορίζει ότι ο αρχικός σκοπός δεν πρέπει να τροποποιείται από τον ΕΦΧΠΠ «πέραν του πεδίου εφαρμογής που αναγνωρίζεται ως ευλόγως συναφές με τον προ της τροποποίησης σκοπό χρήσης», το οποίο, κατά την ερμηνεία που δίδεται στις Κατευθυντήριες Γραμμές της ΕΠΠ, αντιστοιχεί σε αυτό που μπορεί αντικειμενικά να προσδοκάται από το υποκείμενο των δεδομένων με βάση τις «συνήθεις κοινωνικές συμβάσεις» (26).
                  
               
                     (42)
                  
                  
                     Επιπροσθέτως, βάσει του άρθρου 16 παράγραφος 1 του ΝΠΠΠ, απαγορεύεται στους ΕΦΧΠΠ να χειρίζονται προσωπικές πληροφορίες πέραν του «πεδίου εφαρμογής που είναι αναγκαίο για την επίτευξη σκοπού χρήσης» όπως ορίζεται βάσει του άρθρου 15 χωρίς προηγούμενη συγκατάθεση του υποκειμένου των δεδομένων, εκτός εάν ισχύει μία από τις παρεκκλίσεις του άρθρου 16 παράγραφος 3 (27).
                  
               
                     (43)
                  
                  
                     Όσον αφορά προσωπικές πληροφορίες που λαμβάνονται από άλλον επιχειρηματικό φορέα, ο ΕΦΧΠΠ έχει, κατ’ αρχήν, την ευχέρεια να ορίσει νέο σκοπό χρήσης (28). Προκειμένου να διασφαλίζεται ότι, σε περίπτωση διαβίβασης από την Ευρωπαϊκή Ένωση, ο εν λόγω αποδέκτης δεσμεύεται από τον σκοπό για τον οποίο πραγματοποιήθηκε η διαβίβαση των δεδομένων, ο Συμπληρωματικός Κανόνας 3 ορίζει ότι, στις περιπτώσεις «όπου ένας [ΕΦΧΠΠ] λαμβάνει δεδομένα προσωπικού χαρακτήρα από την ΕΕ με βάση απόφαση επάρκειας» ή όπου ένας τέτοιος φορέας «λαμβάνει από άλλον [ΕΦΧΠΠ] δεδομένα προσωπικού χαρακτήρα τα οποία είχαν προηγουμένως διαβιβαστεί από την ΕΕ με βάση απόφαση περί επάρκειας» (περαιτέρω κοινοποίηση), ο αποδέκτης οφείλει να «προσδιορίζει τον σκοπό χρήσης των προαναφερόμενων δεδομένων προσωπικού χαρακτήρα εντός του πεδίου εφαρμογής του σκοπού χρήσης για τον οποίο ελήφθησαν αρχικώς ή σε επόμενο χρόνο τα δεδομένα». Με άλλα λόγια, ο κανόνας διασφαλίζει ότι σε ένα πλαίσιο διαβίβασης ο σκοπός που προσδιορίστηκε δυνάμει του κανονισμού (ΕΕ) 2016/679 συνεχίζει να καθορίζει την επεξεργασία, και ότι τυχόν μεταβολή αυτού του σκοπού σε οποιοδήποτε στάδιο της αλυσίδας επεξεργασίας στην Ιαπωνία απαιτεί συγκατάθεση του υποκειμένου δεδομένων από την ΕΕ. Αν και, προκειμένου να εξασφαλίσει την εν λόγω συγκατάθεση, ο ΕΦΧΠΠ υποχρεούται να επικοινωνήσει με το υποκείμενο των δεδομένων, όταν αυτό δεν είναι δυνατόν, η μόνη συνέπεια είναι ότι πρέπει να διατηρείται ο αρχικός σκοπός.
                  
               2.3.2.   Νομιμότητα και αντικειμενικότητα της επεξεργασίας
         
         
                     (44)
                  
                  
                     Η πρόσθετη προστασία που αναφέρεται στην αιτιολογική σκέψη 43 αποκτά ακόμη μεγαλύτερη σημασία δεδομένου ότι, μέσω της αρχής περιορισμού του σκοπού, το ιαπωνικό σύστημα διασφαλίζει επίσης τη νόμιμη και αντικειμενική επεξεργασία των δεδομένων προσωπικού χαρακτήρα.
                  
               
                     (45)
                  
                  
                     Βάσει του ΝΠΠΠ, όταν ένας ΕΦΧΠΠ συλλέγει προσωπικές πληροφορίες, πρέπει να προσδιορίζει λεπτομερώς τον σκοπό χρήσης των προσωπικών πληροφοριών (29) και να ενημερώνει αμέσως το υποκείμενο των δεδομένων (ή να πληροφορεί το ευρύ κοινό) για τον εν λόγω σκοπό χρήσης (30). Επιπροσθέτως, το άρθρο 17 του ΝΠΠΠ ορίζει ότι οι ΕΦΧΠΠ δεν πρέπει να γίνονται κάτοχοι προσωπικών πληροφοριών χρησιμοποιώντας δόλο ή άλλα αθέμιτα μέσα. Όσον αφορά ορισμένες κατηγορίες δεδομένων όπως, π.χ., τις προσωπικές πληροφορίες που απαιτούν ειδική μέριμνα, η απόκτησή τους προϋποθέτει τη συγκατάθεση του υποκειμένου των δεδομένων (άρθρο 17 παράγραφος 2 του ΝΠΠΠ).
                  
               
                     (46)
                  
                  
                     Συνεπώς, όπως εξηγείται στις αιτιολογικές σκέψεις 41 και 42, απαγορεύεται στον ΕΦΧΠΠ να επεξεργάζεται τις προσωπικές πληροφορίες για άλλους σκοπούς, εκτός εάν το υποκείμενο των δεδομένων συγκατατίθεται σ’ αυτή την επεξεργασία ή όταν ισχύει μία από τις παρεκκλίσεις του άρθρου 16 παράγραφος 3 του ΝΠΠΠ.
                  
               
                     (47)
                  
                  
                     Τέλος, όσον αφορά την περαιτέρω παροχή προσωπικών πληροφοριών σε τρίτο (31), το άρθρο 23 παράγραφος 1 του ΝΠΠΠ περιορίζει την κοινοποίηση σε ειδικές περιπτώσεις, ορίζοντας ως γενικό κανόνα την προηγούμενη συγκατάθεση του υποκειμένου των δεδομένων. (32) Το άρθρο 23 παράγραφοι 2, 3 και 4 του ΝΠΠΠ προβλέπουν εξαιρέσεις στην απαίτηση συγκατάθεσης. Ωστόσο, οι εξαιρέσεις αυτές ισχύουν μόνο για μη ευαίσθητα δεδομένα και απαιτούν από τον επιχειρηματικό φορέα να ενημερώνει εκ των προτέρων τα ενδιαφερόμενα άτομα για την πρόθεσή του να κοινοποιήσει τις προσωπικές τους πληροφορίες σε τρίτο και για τη δυνατότητά τους να αρνηθούν την περαιτέρω κοινοποίηση (33).
                  
               
                     (48)
                  
                  
                     Όσον αφορά τις διαβιβάσεις από την Ευρωπαϊκή Ένωση, τα δεδομένα προσωπικού χαρακτήρα πρέπει υποχρεωτικά να έχουν πρώτα συλλεχθεί και υποβληθεί σε επεξεργασία στην ΕΕ σύμφωνα με τον κανονισμό (ΕΕ) 2016/679. Αυτό περιλαμβάνει, αφενός, τη συλλογή και την επεξεργασία, μεταξύ άλλων για τη διαβίβαση από την Ευρωπαϊκή Ένωση στην Ιαπωνία, σύμφωνα με μία από τις νομικές βάσει που απαριθμούνται στο άρθρο 6 παράγραφος 1 του κανονισμού και, αφετέρου, τη συλλογή για καθορισμένο, ρητό και νόμιμο σκοπό και την απαγόρευση περαιτέρω επεξεργασίας, μεταξύ άλλων μέσω διαβίβασης, κατά τρόπο ασύμβατο με τον εν λόγω σκοπό όπως ορίζεται στο άρθρο 5 παράγραφος 1 στοιχείο β) και στο άρθρο 6 παράγραφος 4 του κανονισμού.
                  
               
                     (49)
                  
                  
                     Μετά τη διαβίβαση, σύμφωνα με τον Συμπληρωματικό Κανόνα 3, ο ΕΦΧΠΠ που λαμβάνει τα δεδομένα πρέπει να «επιβεβαιώσει» τον ή τους ειδικούς σκοπούς για τους οποίους πραγματοποιείται η διαβίβαση [δηλ. τον σκοπό που προσδιορίζεται βάσει του κανονισμού (ΕΕ) 2016/679] και να υποβάλλει σε περαιτέρω επεξεργασία τα δεδομένα σύμφωνα με τον ή τους εν λόγω σκοπούς (34). Αυτό σημαίνει ότι όχι μόνον ο αρχικός αποδέκτης των δεδομένων προσωπικού χαρακτήρα στην Ιαπωνία αλλά και κάθε μελλοντικός αποδέκτης των δεδομένων, συμπεριλαμβανομένων των εντολοδόχων, δεσμεύεται από τον ή τους προσδιοριζόμενους σκοπούς βάσει του κανονισμού.
                  
               
                     (50)
                  
                  
                     Επιπλέον, εάν ο ΕΦΧΠΠ επιθυμεί να τροποποιήσει τον σκοπό που είχε προηγουμένως προσδιοριστεί βάσει του κανονισμού (ΕΕ) 2016/679, σύμφωνα με το άρθρο 16 παράγραφος 1 του ΝΠΠΠ, πρέπει, κατ’ αρχήν, να εξασφαλίσει τη συγκατάθεση του υποκειμένου των δεδομένων. Χωρίς αυτή τη συγκατάθεση, οποιαδήποτε επεξεργασία δεδομένων η οποία υπερβαίνει το πεδίο εφαρμογής που είναι αναγκαίο για την επίτευξη αυτού του σκοπού χρήσης συνιστά παράβαση του άρθρου 16 παράγραφος 1 της οποίας επιλαμβάνονται η ΕΠΠ και τα δικαστήρια.
                  
               
                     (51)
                  
                  
                     Ως εκ τούτου, με δεδομένο ότι βάσει του κανονισμού (ΕΕ) 2016/679 η διαβίβαση προϋποθέτει έγκυρη νομική βάση και συγκεκριμένο σκοπό, που αντανακλώνται στον σκοπό χρήσης που «επιβεβαιώνεται» βάσει του ΝΠΠΠ, ο συνδυασμός των σχετικών διατάξεων του ΝΠΠΠ και του Συμπληρωματικού Κανόνα 3 διασφαλίζει τη συνεχή νομιμότητα της επεξεργασίας των δεδομένων με προέλευση την ΕΕ στην Ιαπωνία.
                  
               2.3.3.   Ακρίβεια και ελαχιστοποίηση των δεδομένων
         
         
                     (52)
                  
                  
                     Τα δεδομένα πρέπει να είναι ακριβή και, όπου χρειάζεται, επικαιροποιημένα. Πρέπει επίσης να είναι κατάλληλα, συναφή προς το θέμα και όχι υπερβολικά, λαμβανομένων υπόψη των σκοπών για τους οποίους υποβάλλονται σε επεξεργασία.
                  
               
                     (53)
                  
                  
                     Οι αρχές αυτές κατοχυρώνονται στο ιαπωνικό δίκαιο με το άρθρο 16 παράγραφος 1 του ΝΠΠΠ, που απαγορεύει τον χειρισμό των προσωπικών πληροφοριών πέραν του «πεδίου εφαρμογής που είναι αναγκαίο για την επίτευξη σκοπού χρήσης». Όπως εξηγήθηκε από την ΕΠΠ, αυτό αφενός αποκλείει τη χρήση των δεδομένων με ακατάλληλο τρόπο και την υπερβολική χρήση των δεδομένων (πέραν του αναγκαίου για την επίτευξη του σκοπού χρήσης) και αφετέρου συνεπάγεται απαγόρευση χειρισμού δεδομένων που δεν είναι συναφή με τον σκοπό χρήσης.
                  
               
                     (54)
                  
                  
                     Όσον αφορά την υποχρέωση για ακριβή και επικαιροποιημένα δεδομένα, το άρθρο 19 του ΝΠΠΠ ορίζει ότι ο ΕΦΧΠΠ πρέπει να «προσπαθεί να διατηρεί τα δεδομένα προσωπικού χαρακτήρα ακριβή και επικαιροποιημένα εντός του πεδίου εφαρμογής που είναι αναγκαίο για την επίτευξη του σκοπού χρήσης». Η διάταξη αυτή πρέπει να συνδυάζεται με το άρθρο 16 παράγραφος 1 του ΝΠΠΠ: σύμφωνα με τις εξηγήσεις που έδωσε η ΕΠΠ, αν ένας ΕΦΧΠΠ δεν πληροί τα προβλεπόμενα πρότυπα ακρίβειας, θεωρείται ότι η επεξεργασία των προσωπικών πληροφοριών δεν επιτυγχάνει τον σκοπό χρήσης και, συνεπώς, ο χειρισμός τους καθίσταται παράνομος βάσει του άρθρου 16 παράγραφος 1.
                  
               2.3.4.   Περιορισμός της περιόδου αποθήκευσης
         
         
                     (55)
                  
                  
                     Τα δεδομένα πρέπει κατ’ αρχήν να μη διατηρούνται για διάστημα μεγαλύτερο του αναγκαίου για τους σκοπούς της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα.
                  
               
                     (56)
                  
                  
                     Σύμφωνα με το άρθρο 19 του ΝΠΠΠ, οι ΕΦΧΠΠ πρέπει να «προσπαθούν […] να διαγράφουν χωρίς καθυστέρηση τα δεδομένα προσωπικού χαρακτήρα όταν η χρήση τους δεν είναι πλέον αναγκαία». Η διάταξη αυτή πρέπει να συνδυάζεται με το άρθρο 16 παράγραφος 1 του ΝΠΠΠ, που απαγορεύει τον χειρισμό των προσωπικών πληροφοριών πέραν του «πεδίου εφαρμογής που είναι αναγκαίο για την επίτευξη σκοπού χρήσης». Μόλις επιτευχθεί ο σκοπός χρήσης, η επεξεργασία των προσωπικών πληροφοριών δεν μπορεί πλέον να θεωρείται αναγκαία και, συνεπώς, δεν μπορεί να συνεχιστεί (εκτός εάν ο ΕΦΧΠΠ εξασφαλίσει σχετική συγκατάθεση του υποκειμένου των δεδομένων).
                  
               2.3.5.   Ασφάλεια των δεδομένων
         
         
                     (57)
                  
                  
                     Τα δεδομένα προσωπικού χαρακτήρα πρέπει να υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ασφάλειά τους, συμπεριλαμβανομένης της προστασίας τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία απώλεια, καταστροφή ή φθορά. Για τον σκοπό αυτό, οι επιχειρηματικοί φορείς πρέπει να λαμβάνουν τα κατάλληλα τεχνικά ή οργανωτικά μέτρα για την προστασία των δεδομένων προσωπικού χαρακτήρα από πιθανές απειλές. Τα μέτρα αυτά πρέπει να αξιολογούνται με βάση την πιο προηγμένη τεχνολογία και το σχετικό κόστος.
                  
               
                     (58)
                  
                  
                     Η αρχή αυτή κατοχυρώνεται στην ιαπωνική νομοθεσία με το άρθρο 20 του ΝΠΠΠ, το οποίο ορίζει ότι ο ΕΦΧΠΠ «προβαίνει σε όλες τις αναγκαίες και κατάλληλες ενέργειες για τον έλεγχο ασφάλειας των δεδομένων προσωπικού χαρακτήρα συμπεριλαμβανομένης της αποτροπής ενδεχόμενης διαρροής, απώλειας ή φθοράς των υποβαλλόμενων σε επεξεργασία δεδομένων προσωπικού χαρακτήρα». Οι Κατευθυντήριες Γραμμές της ΕΠΠ εξηγούν τα μέτρα που πρέπει να λαμβάνονται, συμπεριλαμβανομένων των μεθόδων για τη θέσπιση βασικών πολιτικών, κανόνων για τον χειρισμό των δεδομένων και διαφόρων «ενεργειών ελέγχου» (σχετικά με την οργανωσιακή ασφάλεια καθώς και με την ανθρώπινη, φυσική και τεχνολογική ασφάλεια) (35). Επιπροσθέτως, οι Κατευθυντήριες Γραμμές της ΕΠΠ και μια ειδική Ανακοίνωση (προσάρτημα 8 στα «Περιεχόμενα των μέτρων διαχείρισης ασφάλειας που πρέπει να λαμβάνονται») που δημοσίευσε η ΕΠΠ παρέχουν περισσότερες λεπτομέρειες σχετικά με μέτρα που αφορούν συμβάντα ασφαλείας, όπως, π.χ. η διαρροή προσωπικών πληροφοριών, στο πλαίσιο των μέτρων διαχείρισης ασφάλειας που πρέπει να λαμβάνουν οι ΕΦΧΠΠ (36).
                  
               
                     (59)
                  
                  
                     Επιπροσθέτως, όταν τις προσωπικές πληροφορίες χειρίζονται υπάλληλοι ή υπεργολάβοι, πρέπει να διασφαλίζεται η «αναγκαία και κατάλληλη εποπτεία» βάσει των άρθρων 20 και 21 του ΝΠΠΠ για τους σκοπούς του ελέγχου ασφαλείας. Τέλος, σύμφωνα με το άρθρο 83 του ΝΠΠΠ, η σκόπιμη διαρροή ή κλοπή προσωπικών πληροφοριών τιμωρείται με ποινή φυλάκισης έως ενός έτους.
                  
               2.3.6.   Διαφάνεια
         
         
                     (60)
                  
                  
                     Τα υποκείμενα των δεδομένων πρέπει να ενημερώνονται για τα βασικά χαρακτηριστικά της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα τους.
                  
               
                     (61)
                  
                  
                     Το άρθρο 18 παράγραφος 1 του ΝΠΠΠ ορίζει ότι ο ΕΦΧΠΠ διαθέτει στο υποκείμενο των δεδομένων πληροφορίες σχετικά με τον σκοπό χρήσης των προσωπικών πληροφοριών που έχουν συλλεχθεί, με εξαίρεση τις «περιπτώσεις στις οποίες ο σκοπός χρήσης έχει κοινοποιηθεί εκ των προτέρων στο ευρύ κοινό». Η ίδια υποχρέωση ισχύει σε περίπτωση επιτρεπόμενης μεταβολής σκοπού (άρθρο 18 παράγραφος 3). Με τον τρόπο αυτό διασφαλίζεται επίσης ότι το υποκείμενο των δεδομένων ενημερώνεται για το γεγονός ότι έχουν συλλεχθεί δεδομένα του. Παρόλο που ο ΝΠΠΠ δεν ορίζει γενικά ότι ο ΕΦΧΠΠ πρέπει να πληροφορεί το υποκείμενο των δεδομένων σχετικά με τους αναμενόμενους αποδέκτες των προσωπικών πληροφοριών στο στάδιο της συλλογής, η πληροφόρηση αυτή αποτελεί αναγκαία προϋπόθεση για κάθε μεταγενέστερη κοινοποίηση πληροφοριών σε τρίτο (αποδέκτη) βάσει του άρθρου 23 παράγραφος 2, όταν, δηλαδή, η διαβίβαση πραγματοποιείται χωρίς προηγούμενη συγκατάθεση του υποκειμένου των δεδομένων.
                  
               
                     (62)
                  
                  
                     Όσον αφορά τα «διατηρούμενα δεδομένα προσωπικού χαρακτήρα», το άρθρο 27 του ΝΠΠΠ ορίζει ότι ο ΕΦΧΠΠ ενημερώνει το υποκείμενο των δεδομένων σχετικά με την ταυτότητά του (στοιχεία επικοινωνίας), τον σκοπό χρήσης και τις διαδικασίες απάντησης σε αιτήματα που αφορούν τα ατομικά δικαιώματα του υποκειμένου των δεδομένων βάσει των άρθρων 28, 29 και 30 του ΝΠΠΠ.
                  
               
                     (63)
                  
                  
                     Όπως ορίζεται και στους Συμπληρωματικούς Κανόνες, τα δεδομένα προσωπικού χαρακτήρα που διαβιβάζονται από την Ευρωπαϊκή Ένωση θεωρούνται «διατηρούμενα δεδομένα προσωπικού χαρακτήρα» ανεξαρτήτως της περιόδου διατήρησης (εκτός εάν καλύπτονται από εξαιρέσεις), και υπόκεινται πάντοτε στις απαιτήσεις διαφάνειας που θεσπίζονται από αμφότερες τις προαναφερθείσες διατάξεις.
                  
               
                     (64)
                  
                  
                     Τόσο οι απαιτήσεις του άρθρου 18 όσο και η υποχρέωση ενημέρωσης σχετικά με τον σκοπό χρήσης βάσει του άρθρου 27 του ΝΠΠΠ υπόκεινται στην ίδια δέσμη εξαιρέσεων, οι οποίες άπτονται κυρίως του δημόσιου συμφέροντος και της προστασίας των δικαιωμάτων και των συμφερόντων του υποκειμένου των δεδομένων, των τρίτων και του υπευθύνου επεξεργασίας (37). Σύμφωνα με την ερμηνεία που παρατίθεται στις Κατευθυντήριες Γραμμές της ΕΠΠ, οι εν λόγω εξαιρέσεις εφαρμόζονται σε πολύ ειδικές περιπτώσεις, π.χ. όταν υπάρχει κίνδυνος οι πληροφορίες σχετικά με τον σκοπό της χρήσης να υπονομεύσουν νόμιμα μέτρα τα οποία έχουν ληφθεί από τον επιχειρηματικό φορέα με σκοπό την προστασία ορισμένων συμφερόντων (π.χ. μέτρα για την καταπολέμηση της απάτης, της βιομηχανικής κατασκοπείας, της δολιοφθοράς).
                  
               2.3.7.   Ειδικές κατηγορίες δεδομένων
         
         
                     (65)
                  
                  
                     Πρέπει να προβλέπονται ειδικές εγγυήσεις για την επεξεργασία «ειδικών κατηγοριών δεδομένων».
                  
               
                     (66)
                  
                  
                     Οι «προσωπικές πληροφορίες που απαιτούν ειδική μέριμνα» ορίζονται στο άρθρο 2 παράγραφος 3 του ΝΠΠΠ. Η εν λόγω διάταξη αναφέρεται σε «προσωπικές πληροφορίες όπως η φυλή, οι πεποιθήσεις, η κοινωνική θέση, το ιατρικό ιστορικό, το ποινικό μητρώο του εντολέα, το γεγονός ότι υπήρξε θύμα εγκληματικής ενέργειας, ή άλλες περιγραφές κ.λπ. των οποίων ο χειρισμός, όπως ορίζεται με διάταγμα του Υπουργικού Συμβουλίου, απαιτεί ειδική μέριμνα ώστε να μην προκαλείται αθέμιτη διάκριση, βλάβη ή άλλου είδους δυσμενής αντιμετώπιση εις βάρος του εντολέα». Οι κατηγορίες αυτές αντιστοιχούν σε μεγάλο βαθμό στις κατηγορίες ευαίσθητων δεδομένων που απαριθμούνται στα άρθρα 9 και 10 του κανονισμού (ΕΕ) 2016/679. Ειδικότερα, το «ιατρικό ιστορικό» αντιστοιχεί στα δεδομένα που αφορούν την υγεία, ενώ το «ποινικό μητρώο και το γεγονός ότι [ένα άτομο] υπήρξε θύμα εγκληματικής ενέργειας» ουσιαστικά ταυτίζονται με τις κατηγορίες που αναφέρονται στο άρθρο 10 του κανονισμού (ΕΕ) 2016/679. Οι κατηγορίες που αναφέρονται στο άρθρο 2 παράγραφος 3 του ΝΠΠΠ διευκρινίζονται περαιτέρω στο Διάταγμα του Υπουργικού Συμβουλίου και στις Κατευθυντήριες Γραμμές της ΕΠΠ. Σύμφωνα με την ενότητα 2.3 σημείο 8) των Κατευθυντήριων Γραμμών της ΕΠΠ, οι υποκατηγορίες του «ιατρικού ιστορικού» που αναφέρονται στο άρθρο 2 σημεία ii) και iii) του Διατάγματος του Υπουργικού Συμβουλίου θεωρείται ότι καλύπτουν τα γενετικά και βιομετρικά δεδομένα. Επίσης, αν και ο κατάλογος δεν περιλαμβάνει ρητά τους όρους «εθνοτική προέλευση» και «πολιτικά φρονήματα», περιλαμβάνει αναφορές στη «φυλή» και στις «πεποιθήσεις». Όπως εξηγείται στην ενότητα 2.3 σημεία 1) και 2) των Κατευθυντήριων Γραμμών της ΕΠΠ, η αναφορά στη «φυλή» καλύπτει «εθνοτικούς δεσμούς ή δεσμούς με ορισμένη περιοχή του κόσμου», ενώ οι «πεποιθήσεις» θεωρείται ότι εμπερικλείουν τόσο τα θρησκευτικά όσο και τα πολιτικά φρονήματα.
                  
               
                     (67)
                  
                  
                     Όπως προκύπτει από τη διατύπωση της διάταξης, δεν πρόκειται για έναν κλειστό κατάλογο καθώς είναι δυνατή η προσθήκη και άλλων κατηγοριών δεδομένων στο μέτρο που η επεξεργασία τους δημιουργεί κίνδυνο «αθέμιτης διάκρισης, βλάβης ή άλλου είδους δυσμενούς αντιμετώπισης εις βάρος του εντολέα».
                  
               
                     (68)
                  
                  
                     Παρόλο που η έννοια των «ευαίσθητων» δεδομένων αποτελεί από τη φύση της κοινωνικό κατασκεύασμα το οποίο θεμελιώνεται σε πολιτισμικές και νομικές παραδόσεις, ηθικές παραμέτρους, επιλογές πολιτικής κ.λπ. μιας δεδομένης κοινωνίας, λόγω της σπουδαιότητας της διασφάλισης επαρκών εγγυήσεων για τα ευαίσθητα δεδομένα κατά τη διαβίβασή τους σε επιχειρηματικούς φορείς στην Ιαπωνία, η Επιτροπή εξασφάλισε την επέκταση των ειδικών διατάξεων προστασίας που, βάσει της ιαπωνικής νομοθεσίας, προβλέπονται για τις «προσωπικές πληροφορίες που απαιτούν ειδική μέριμνα» σε όλες τις κατηγορίες που αναγνωρίζονται ως «ευαίσθητα δεδομένα» στον κανονισμό (ΕΕ) 2016/679. Για τον σκοπό αυτό, ο Συμπληρωματικός Κανόνας 1 ορίζει ότι δεδομένα που διαβιβάζονται από την Ευρωπαϊκή Ένωση και αφορούν τη σεξουαλική ζωή ενός ατόμου, τον σεξουαλικό προσανατολισμό του ή τη συμμετοχή του σε συνδικαλιστικές ενώσεις υποβάλλονται σε επεξεργασία από ΕΦΧΠΠ «κατά τον ίδιο τρόπο με τις προσωπικές πληροφορίες που απαιτούν ειδική μέριμνα κατά την έννοια του άρθρου 2 παράγραφος 3 του [ΝΠΠΠ]».
                  
               
                     (69)
                  
                  
                     Όσον αφορά τις πρόσθετες ουσιαστικές εγγυήσεις για τις προσωπικές πληροφορίες που απαιτούν ειδική μέριμνα, σύμφωνα με το άρθρο 17 παράγραφος 2 του ΝΠΠΠ, οι ΕΦΧΠΠ δεν επιτρέπεται να αποκτούν δεδομένα αυτού του είδους χωρίς προηγούμενη συγκατάθεση του ενδιαφερόμενου ατόμου, με την επιφύλαξη περιορισμένων εξαιρέσεων (38). Επιπροσθέτως, η συγκεκριμένη κατηγορία προσωπικών πληροφοριών εξαιρείται από τη δυνατότητα κοινοποίησης σε τρίτους με βάση τη διαδικασία που προβλέπεται βάσει του άρθρου 23 παράγραφος 2 του ΝΠΠΠ (η οποία επιτρέπει τη διαβίβαση δεδομένων σε τρίτους χωρίς προηγούμενη συγκατάθεση του υποκειμένου των δεδομένων).
                  
               2.3.8.   Λογοδοσία
         
         
                     (70)
                  
                  
                     Βάσει της αρχής της λογοδοσίας, οι φορείς που υποβάλλουν σε επεξεργασία δεδομένα πρέπει να θεσπίζουν τα κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να συμμορφώνονται ουσιαστικά με τις υποχρεώσεις τους όσον αφορά την προστασία των δεδομένων και να είναι σε θέση να αποδεικνύουν τη συμμόρφωσή τους, ειδικά στην αρμόδια εποπτική αρχή.
                  
               
                     (71)
                  
                  
                     Όπως αναφέρεται στην υποσημείωση 34 (αιτιολογική σκέψη 49), οι ΕΦΧΠΠ υποχρεούνται, βάσει του άρθρου 26 παράγραφος 1 του ΝΠΠΠ, να επαληθεύουν την ταυτότητα τρίτου ο οποίος τους παρέχει δεδομένα προσωπικού χαρακτήρα και τις «περιστάσεις» υπό τις οποίες περιήλθαν στην κατοχή αυτού του τρίτου τα εν λόγω δεδομένα (στην περίπτωση δεδομένων προσωπικού χαρακτήρα που καλύπτονται από την παρούσα απόφαση, σύμφωνα με τον ΝΠΠΠ και τον Συμπληρωματικό Κανόνα 3, στις περιστάσεις αυτές περιλαμβάνεται το γεγονός ότι τα δεδομένα προέρχονται από την Ευρωπαϊκή Ένωση, καθώς και ο σκοπός της αρχικής διαβίβασης των δεδομένων). Μεταξύ άλλων, το μέτρο αυτό έχει ως στόχο να διασφαλιστεί η νομιμότητα της επεξεργασίας των δεδομένων σε όλο το μήκος της αλυσίδας χειρισμού των δεδομένων προσωπικού χαρακτήρα από τους ΕΦΧΠΠ. Επιπροσθέτως, βάσει του άρθρου 26 παράγραφος 3 του ΝΠΠΠ, οι ΕΦΧΠΠ πρέπει να τηρούν αρχείο όπου σημειώνονται η ημερομηνία παραλαβής και οι (υποχρεωτικές) πληροφορίες που έχει παράσχει ο τρίτος βάσει της παραγράφου 1, καθώς και το όνομα του ενδιαφερόμενου ατόμου (υποκείμενο των δεδομένων), οι κατηγορίες των υπό επεξεργασία δεδομένων και, κατά περίπτωση, το γεγονός ότι το υποκείμενο των δεδομένων συγκατατίθεται στην κοινοποίηση των δεδομένων προσωπικού χαρακτήρα του. Όπως ορίζεται στο άρθρο 18 των Κανόνων της ΕΠΠ, τα αρχεία αυτά πρέπει να φυλάσσονται για περίοδο τουλάχιστον ενός έως τριών ετών, ανάλογα με τις συνθήκες. Κατά την άσκηση των καθηκόντων της, η ΕΠΠ μπορεί να ζητήσει την υποβολή των εν λόγω αρχείων (39).
                  
               
                     (72)
                  
                  
                     Οι ΕΦΧΠΠ πρέπει να αντιμετωπίζουν άμεσα και με τον κατάλληλο τρόπο τις καταγγελίες που λαμβάνουν από ενδιαφερόμενα άτομα σχετικά με την επεξεργασία των προσωπικών πληροφοριών τους. Για να διευκολυνθεί η διεκπεραίωση των καταγγελιών, πρέπει να θεσπίσουν «σύστημα το οποίο είναι αναγκαίο για την επίτευξη [αυτού] του σκοπού», δηλαδή να εφαρμόσουν κατάλληλες διαδικασίες στο πλαίσιο του οργανισμού τους (π.χ. να αναθέσουν αρμοδιότητες ή να ορίσουν ένα σημείο επαφής).
                  
               
                     (73)
                  
                  
                     Τέλος, ο ΝΠΠΠ δημιουργεί ένα πλαίσιο για τη συμμετοχή φορέων του κάθε κλάδου στη διασφάλιση υψηλού επιπέδου συμμόρφωσης (βλέπε κεφάλαιο IV τμήμα 4). Ο ρόλος αυτών των διαπιστευμένων φορέων προστασίας των προσωπικών πληροφοριών (40) είναι να προωθήσουν την προστασία των προσωπικών πληροφοριών αξιοποιώντας την εμπειρογνωμοσύνη τους για την υποστήριξη των επιχειρήσεων, αλλά και να συμβάλουν στην εφαρμογή των εγγυήσεων, κυρίως με τη διεκπεραίωση μεμονωμένων καταγγελιών και τη συνδρομή στην επίλυση των σχετικών αντιδικιών. Για τον σκοπό αυτό, δύνανται να ζητήσουν από τους συμμετέχοντες ΕΦΧΠΠ, εάν κρίνεται ενδεδειγμένο, να λάβουν τα αναγκαία μέτρα (41). Επιπλέον, σε περιπτώσεις παραβίασης δεδομένων ή άλλων συμβάντων ασφαλείας, οι ΕΦΧΠΠ ενημερώνουν, κατ’ αρχήν, την ΕΠΠ καθώς και το υποκείμενο των δεδομένων (ή το κοινό) και λαμβάνουν τα αναγκαία μέτρα για ελαχιστοποίηση της ζημίας και αποτροπή της επανάληψης ανάλογων συμβάντων (42). Παρά τον οικειοθελή χαρακτήρα της συμμετοχής, στις 10 Αυγούστου 2017 η ΕΠΠ είχε εγγεγραμμένους 44 φορείς, εκ των οποίων ο μεγαλύτερος, η Japan Information Processing and Development Center (JIPDEC), αριθμεί μόνος του 15 436 συμμετέχοντες επιχειρηματικούς φορείς (43). Στους διαπιστευμένους φορείς περιλαμβάνονται κλαδικές ενώσεις όπως π.χ. η Japan Securities Dealers Association, η Ένωση Σχολών Οδήγησης Ιαπωνίας ή η Ένωση Γραφείων Γνωριμιών Γάμου (44).
                  
               
                     (74)
                  
                  
                     Οι διαπιστευμένοι φορείς προστασίας προσωπικών πληροφοριών υποβάλλουν ετήσιες εκθέσεις των εργασιών τους. Σύμφωνα με την «Επισκόπηση της κατάστασης εφαρμογής του ΝΠΠΠ κατά το ΟΕ 2015» που δημοσιεύθηκε από την ΕΠΠ, οι διαπιστευμένοι φορείς προστασίας προσωπικών πληροφοριών έλαβαν συνολικά 442 καταγγελίες, υπέβαλαν 123 αιτήματα για εξηγήσεις σε επιχειρηματικούς φορείς που υπάγονται στη δικαιοδοσία τους, ζήτησαν έγγραφα από τους εν λόγω φορείς σε 41 περιπτώσεις, απηύθυναν 181 οδηγίες και διατύπωσαν δύο συστάσεις (45).
                  
               2.3.9.   Περιορισμοί στις περαιτέρω διαβιβάσεις
         
         
                     (75)
                  
                  
                     Το επίπεδο προστασίας που παρέχεται στα δεδομένα προσωπικού χαρακτήρα που διαβιβάζονται από την Ευρωπαϊκή Ένωση σε επιχειρηματικούς φορείς στην Ιαπωνία δεν πρέπει να υποβαθμίζεται από την περαιτέρω διαβίβαση των εν λόγω δεδομένων σε αποδέκτες σε τρίτη χώρα εκτός της Ιαπωνίας. Αυτές οι «περαιτέρω διαβιβάσεις», οι οποίες από τη σκοπιά των επιχειρηματικών φορέων της Ιαπωνίας συνιστούν διεθνείς διαβιβάσεις από την Ιαπωνία, πρέπει να επιτρέπονται μόνον όταν ο επόμενος αποδέκτης εκτός της Ιαπωνίας υπόκειται επίσης σε κανόνες που διασφαλίζουν ανάλογο επίπεδο προστασίας με εκείνο που εγγυάται η ιαπωνική έννομη τάξη.
                  
               
                     (76)
                  
                  
                     Μια πρώτη προστασία κατοχυρώνεται στο άρθρο 24 του ΝΠΠΠ, το οποίο γενικά απαγορεύει τη διαβίβαση δεδομένων προσωπικού χαρακτήρα σε τρίτους εκτός της επικράτειας της Ιαπωνίας χωρίς προηγούμενη συγκατάθεση του ενδιαφερόμενου ατόμου. Ο Συμπληρωματικός Κανόνας 4 διασφαλίζει ότι στην περίπτωση των διαβιβάσεων δεδομένων από την Ευρωπαϊκή Ένωση η συγκατάθεση αυτή είναι ιδιαιτέρως τεκμηριωμένη, καθώς ορίζεται ότι πρέπει να «παρέχονται [στο ενδιαφερόμενο άτομο] οι αναγκαίες πληροφορίες για τις συνθήκες της διαβίβασης προκειμένου να μπορεί ο/η εντολέας να αποφασίζει όσον αφορά τη συγκατάθεσή του/της». Βάσει αυτής της διάταξης, το υποκείμενο των δεδομένων ενημερώνεται για το γεγονός ότι τα δεδομένα θα διαβιβαστούν στο εξωτερικό (εκτός του πεδίου εφαρμογής του ΝΠΠΠ) και για τη συγκεκριμένη χώρα προορισμού. έτσι ώστε να μπορεί να αξιολογήσει τον κίνδυνο για την προστασία της ιδιωτικής ζωής που συνδέεται με τη διαβίβαση. Επίσης, όπως μπορεί να συναχθεί από το άρθρο 23 του ΝΠΠΠ (βλ. αιτιολογική σκέψη 47), οι πληροφορίες που παρέχονται στον/στην εντολέα θα πρέπει να περιλαμβάνουν τα υποχρεωτικά στοιχεία που ορίζονται στην παράγραφο 2 του εν λόγω άρθρου, δηλαδή τις κατηγορίες δεδομένων προσωπικού χαρακτήρα που παρέχονται σε τρίτους και τον τρόπο κοινοποίησης.
                  
               
                     (77)
                  
                  
                     Το άρθρο 24 του ΝΠΠΠ, εφαρμοζόμενο σε συνδυασμό με το άρθρο 11-2 των Κανόνων της ΕΠΠ, προβλέπει εξαιρέσεις σε αυτόν τον κανόνα της συγκατάθεσης. Επιπροσθέτως, σύμφωνα με το άρθρο 24, οι παρεκκλίσεις που ορίζονται στο άρθρο 23 παράγραφος 1 του ΝΠΠΠ εφαρμόζονται επίσης στις διεθνείς διαβιβάσεις δεδομένων (46).
                  
               
                     (78)
                  
                  
                     Για να διασφαλιστεί η συνέχεια της προστασίας στην περίπτωση των δεδομένων προσωπικού χαρακτήρα που διαβιβάζονται από την Ευρωπαϊκή Ένωση στην Ιαπωνία βάσει της παρούσας απόφασης, ο Συμπληρωματικός Κανόνας 4 ενισχύει το επίπεδο προστασίας για τις περαιτέρω διαβιβάσεις δεδομένων αυτού του είδους από ΕΦΧΠΠ σε αποδέκτες σε τρίτες χώρες. Αυτό επιτυγχάνεται με τον περιορισμό και την οριοθέτηση των νομικών βάσεων για διεθνείς διαβιβάσεις τις οποίες μπορεί να χρησιμοποιήσει ο ΕΦΧΠΠ ως εναλλακτική λύση αντί συγκατάθεσης. Ειδικότερα, και με την επιφύλαξη των παρεκκλίσεων που προβλέπονται στο άρθρο 23 παράγραφος 1 του ΝΠΠΠ, τα δεδομένα προσωπικού χαρακτήρα που διαβιβάζονται βάσει της παρούσας απόφασης μπορούν να αποτελέσουν αντικείμενο (περαιτέρω) διαβιβάσεων χωρίς συγκατάθεση μόνο σε δύο περιπτώσεις: i) όταν τα δεδομένα αποστέλλονται σε τρίτη χώρα η οποία αναγνωρίζεται από την ΕΠΠ βάσει του άρθρου 24 του ΝΠΠΠ ως παρέχουσα ισοδύναμο επίπεδο προστασίας με το επίπεδο που εγγυάται η Ιαπωνία (47)· ή ii) όταν ο ΕΦΧΠΠ και ο αποδέκτης τρίτος έχουν από κοινού θέσει σε εφαρμογή μέτρα τα οποία παρέχουν επίπεδο προστασίας ισοδύναμο του ΝΠΠΠ, σε συνδυασμό με τους Συμπληρωματικούς Κανόνες, μέσω σύμβασης, άλλων μορφών δεσμευτικών συμφωνιών ή δεσμευτικών ρυθμίσεων στο πλαίσιο ομίλου εταιρειών. Η δεύτερη κατηγορία αντιστοιχεί στα μέσα που χρησιμοποιούνται βάσει του κανονισμού (ΕΕ) 2016/679 για τη διασφάλιση των κατάλληλων εγγυήσεων (ιδίως συμβατικές ρήτρες και δεσμευτικοί εταιρικοί κανόνες). Επιπλέον, όπως επιβεβαίωσε η ΕΠΠ, ακόμη και σ’ αυτές τις περιπτώσεις, η διαβίβαση εξακολουθεί να υπόκειται στους γενικούς κανόνες που εφαρμόζονται σε κάθε παροχή δεδομένων προσωπικού χαρακτήρα σε τρίτο βάσει του ΝΠΠΠ (δηλαδή την υποχρέωση εξασφάλισης συγκατάθεσης βάσει του άρθρου 23 παράγραφος 1 ή, εναλλακτικά, την υποχρέωση ενημέρωσης με δυνατότητα άρνησης της συγκατάθεσης βάσει του άρθρου 23 παράγραφος 2 του ΝΠΠΠ). Σε περίπτωση που δεν είναι δυνατή η επικοινωνία με το υποκείμενο των δεδομένων προκειμένου να του υποβληθεί αίτημα συγκατάθεσης ή προκειμένου να παρασχεθεί η απαιτούμενη εκ των προτέρων ενημέρωση σύμφωνα με το άρθρο 23 παράγραφος 2 του ΝΠΠΠ, δεν επιτρέπεται η πραγματοποίηση της διαβίβασης.
                  
               
                     (79)
                  
                  
                     Κατά συνέπεια, με εξαίρεση τις περιπτώσεις στις οποίες η ΕΠΠ έχει διαπιστώσει ότι η τρίτη χώρα εγγυάται επίπεδο προστασίας ισοδύναμο με εκείνο που εγγυάται ο ΝΠΠΠ (48), οι απαιτήσεις που θεσπίζονται στον Συμπληρωματικό Κανόνα 4 απαγορεύουν τη χρήση μέσων διαβίβασης που δεν δημιουργούν δεσμευτική σχέση μεταξύ του εξαγωγέα δεδομένων στην Ιαπωνία και του εισαγωγέα των δεδομένων στην τρίτη χώρα και που δεν εγγυώνται το απαιτούμενο επίπεδο προστασίας. Μια τέτοια περίπτωση είναι, π.χ., το σύστημα διασυνοριακών κανόνων για την ιδιωτικότητα (ΔΚΙ) της ΟΣΑΕ, όπου συμμετέχει η Ιαπωνία (49), καθώς στο σύστημα αυτό οι διατάξεις προστασίας δεν απορρέουν από δεσμευτική ρύθμιση μεταξύ του εξαγωγέα και του εισαγωγέα στο πλαίσιο της διμερούς σχέσης τους και είναι σαφώς χαμηλότερου επιπέδου από την προστασία που εγγυάται ο συνδυασμός του ΝΠΠΠ και των Συμπληρωματικών Κανόνων (50).
                  
               
                     (80)
                  
                  
                     Τέλος, μια περαιτέρω εγγύηση για τις (περαιτέρω) διαβιβάσεις απορρέει από τα άρθρα 20 και 22 του ΝΠΠΠ. Σύμφωνα με τις εν λόγω διατάξεις, όταν ένας φορέας τρίτης χώρας (εισαγωγέας δεδομένων) ενεργεί εξ ονόματος του ΕΦΧΠΠ (εξαγωγέας δεδομένων), δηλαδή ως εκτελών την επεξεργασία ή υπεργολάβος επεξεργασίας, ο ΕΦΧΠΠ πρέπει να διασφαλίζει την εποπτεία του εν λόγω φορέα όσον αφορά την ασφάλεια της επεξεργασίας δεδομένων.
                  
               2.3.10.   Ατομικά δικαιώματα
         
         
                     (81)
                  
                  
                     Όπως και η νομοθεσία της ΕΕ περί προστασίας των δεδομένων, ο ΝΠΠΠ παρέχει στα άτομα μια σειρά εκτελεστών δικαιωμάτων. Σ’ αυτά περιλαμβάνονται το δικαίωμα πρόσβασης («κοινοποίηση»), διόρθωσης και διαγραφής καθώς και το δικαίωμα εναντίωσης («παύση χρήσης»).
                  
               
                     (82)
                  
                  
                     Πρώτον, σύμφωνα με το άρθρο 28 παράγραφοι 1 και 2 του ΝΠΠΠ, ένα υποκείμενο δεδομένων έχει δικαίωμα να ζητήσει από ΕΦΧΠΠ τη «κοινοποίηση διατηρούμενων δεδομένων προσωπικού χαρακτήρα που μπορούν να τον ή την ταυτοποιήσουν» και, όταν λαμβάνει ένα τέτοιο αίτημα, ο ΕΦΧΠΠ «[…] κοινοποιεί τα διατηρούμενα δεδομένα προσωπικού χαρακτήρα» στο υποκείμενο των δεδομένων. Τα άρθρα 29 (δικαίωμα διόρθωσης) και 30 (δικαίωμα παύσης χρήσης) έχουν την ίδια δομή με το άρθρο 28.
                  
               
                     (83)
                  
                  
                     Το άρθρο 9 του Διατάγματος του Υπουργικού Συμβουλίου ορίζει ότι η κοινοποίηση προσωπικών πληροφοριών, όπως αναφέρεται στο άρθρο 28 παράγραφος 2 του ΝΠΠΠ, πραγματοποιείται εγγράφως, εκτός εάν ο ΕΦΧΠΠ και το υποκείμενο των δεδομένων έχουν συμφωνήσει αλλιώς.
                  
               
                     (84)
                  
                  
                     Τα δικαιώματα αυτά υπόκεινται σε τρία είδη περιορισμών, που σχετίζονται με τα δικαιώματα και τα συμφέροντα του ίδιου του ατόμου ή τρίτων (51), την πρόκληση σοβαρών εμποδίων στις δραστηριότητες του ΕΦΧΠΠ (52) καθώς και με περιπτώσεις στις οποίες η κοινοποίηση θα συνιστούσε παράβαση άλλων νόμων ή κανονισμών (53). Οι καταστάσεις στις οποίες εφαρμόζονται οι περιορισμοί αυτοί είναι παρεμφερείς με κάποιες από τις εξαιρέσεις που ισχύουν βάσει του άρθρου 23 παράγραφος 1 του κανονισμού (ΕΕ) 2016/679, το οποίο προβλέπει περιορισμούς των δικαιωμάτων των ατόμων για λόγους που σχετίζονται με την προστασία «του υποκειμένου των δεδομένων ή των δικαιωμάτων και των ελευθεριών τρίτων» ή άλλους σημαντικούς στόχους «γενικού δημόσιου συμφέροντος». Παρόλο που η κατηγορία των περιπτώσεων στις οποίες η κοινοποίηση θα συνιστούσε παράβαση «άλλων νόμων ή κανονισμών» μπορεί να δείχνει ευρεία, οι νόμοι και οι κανονισμοί που προβλέπουν σχετικούς περιορισμούς πρέπει να σέβονται το συνταγματικό δικαίωμα στην ιδιωτικότητα και μπορούν να επιβάλλουν περιορισμούς μόνο στο μέτρο που η άσκηση αυτού του δικαιώματος «θίγει το δημόσιο συμφέρον» (54). Αυτό προϋποθέτει στάθμιση των συμφερόντων που διακυβεύονται.
                  
               
                     (85)
                  
                  
                     Σύμφωνα με το άρθρο 28 παράγραφος 3 του ΝΠΠΠ, αν τα αιτούμενα δεδομένα δεν υφίστανται, ή όταν ο εμπλεκόμενος ΕΦΧΠΠ αποφασίζει να μη χορηγήσει πρόσβαση στα διατηρούμενα δεδομένα, το άτομο πρέπει να ενημερώνεται χωρίς καθυστέρηση.
                  
               
                     (86)
                  
                  
                     Δεύτερον, σύμφωνα με το άρθρο 29 παράγραφοι 1 και 2 του ΝΠΠΠ, ένα υποκείμενο δεδομένων έχει δικαίωμα να ζητήσει τη διόρθωση, την προσθήκη ή τη διαγραφή των διατηρούμενων δεδομένων προσωπικού χαρακτήρα που το αφορούν εάν τα δεδομένα δεν είναι ακριβή. Όταν παραλαμβάνει ένα τέτοιο αίτημα, ο ΕΦΧΠΠ «[…] διενεργεί την αναγκαία έρευνα» και με βάση τα αποτελέσματα αυτής της έρευνας «προβαίνει σε διόρθωση κ.λπ. του περιεχομένου των διατηρούμενων δεδομένων».
                  
               
                     (87)
                  
                  
                     Τρίτον, σύμφωνα με το άρθρο 30 παράγραφοι 1 και 2 του ΝΠΠΠ, ένα υποκείμενο δεδομένων έχει δικαίωμα να ζητήσει από ΕΦΧΠΠ τη διακοπή χρήσης προσωπικών πληροφοριών, ή τη διαγραφή αυτών των πληροφοριών, όταν ο χειρισμός τους συνιστά παράβαση του άρθρου 16 (περιορισμός του σκοπού) ή όταν αποκτήθηκαν κατά παράβαση του άρθρου 17 του ΝΠΠΠ (απόκτηση με δόλο, άλλο καταχρηστικό μέσο ή, στην περίπτωση των ευαίσθητων δεδομένων, χωρίς συγκατάθεση). Ομοίως, βάσει του άρθρου 30 παράγραφοι 3 και 4 του ΝΠΠΠ, το άτομο έχει δικαίωμα να ζητήσει από τον ΕΦΧΠΠ να σταματήσει την παροχή των πληροφοριών σε τρίτο σε περίπτωση παράβασης των διατάξεων του άρθρου 23 παράγραφος 1 ή του άρθρου 24 του ΝΠΠΠ (παροχή σε τρίτο, συμπεριλαμβανομένων των διεθνών διαβιβάσεων).
                  
               
                     (88)
                  
                  
                     Όταν το αίτημα είναι βάσιμο, ο ΕΦΧΠΠ διακόπτει αμέσως τη χρήση των δεδομένων ή την παροχή σε τρίτο, στο μέτρο που είναι αναγκαίο για την επανόρθωση της παράβασης ή, αν η περίπτωση καλύπτεται από εξαίρεση (κυρίως αν η παύση χρήσης θα προκαλούσε ιδιαίτερα υψηλό κόστος) (55), εφαρμόζει τα αναγκαία εναλλακτικά μέτρα για την προστασία των δικαιωμάτων και των συμφερόντων του ενδιαφερόμενου ατόμου.
                  
               
                     (89)
                  
                  
                     Σε αντίθεση με την ενωσιακή νομοθεσία, ο ΝΠΠΠ και οι σχετικοί δευτερεύοντες κανόνες δεν περιέχουν νομικές διατάξεις οι οποίες αντιμετωπίζουν συγκεκριμένα τη δυνατότητα εναντίωσης στην επεξεργασία για σκοπούς απευθείας εμπορικής προώθησης. Ωστόσο, βάσει της παρούσας απόφασης, η επεξεργασία αυτή πραγματοποιείται στο πλαίσιο διαβίβασης δεδομένων προσωπικού χαρακτήρα που είχαν προηγουμένως συλλεχθεί στην Ευρωπαϊκή Ένωση. Δυνάμει του άρθρου 21 παράγραφος 2 του κανονισμού (ΕΕ) 2016/679, το υποκείμενο των δεδομένων έχει πάντοτε τη δυνατότητα να εναντιωθεί σε διαβίβαση δεδομένων προς επεξεργασία για σκοπούς απευθείας εμπορικής προώθησης. Επιπλέον, όπως εξηγήθηκε στην αιτιολογική σκέψη 43, βάσει του Συμπληρωματικού Κανόνα 3, ο ΕΦΧΠΠ οφείλει να επεξεργάζεται τα δεδομένα που λαμβάνει βάσει της απόφασης στο πλαίσιο του ίδιου σκοπού για τον οποίο διαβιβάστηκαν τα δεδομένα από την Ευρωπαϊκή Ένωση, εκτός εάν το υποκείμενο των δεδομένων συγκατατίθεται σε μεταβολή του σκοπού χρήσης.Ως εκ τούτου, αν η διαβίβαση πραγματοποιήθηκε για σκοπό άλλο από την απευθείας εμπορική προώθηση, απαγορεύεται στους ΕΦΧΠΠ στην Ιαπωνία να επεξεργάζονται τα δεδομένα για σκοπούς απευθείας εμπορικής προώθησης χωρίς τη συγκατάθεση του υποκειμένου δεδομένων από την ΕΕ.
                  
               
                     (90)
                  
                  
                     Σε όλες τις περιπτώσεις που αναφέρονται στα άρθρα 28 και 29 του ΝΠΠΠ, ο ΕΦΧΠΠ υποχρεούται να ενημερώνει χωρίς καθυστέρηση το άτομο σχετικά με την έκβαση του αιτήματός του και πρέπει, επιπλέον, να εξηγήσει τυχόν (μερική) άρνηση με βάση τις νομικές εξαιρέσεις που προβλέπονται στα άρθρα 27 έως 30 (άρθρο 31 του ΝΠΠΠ).
                  
               
                     (91)
                  
                  
                     Όσον αφορά τις προϋποθέσεις για την υποβολή αιτήματος, το άρθρο 32 του ΝΠΠΠ (σε συνδυασμό με το Διάταγμα του Υπουργικού Συμβουλίου) επιτρέπει στον ΕΦΧΠΠ να θεσπίσει εύλογες διαδικασίες, μεταξύ άλλων όσον αφορά τις πληροφορίες που απαιτούνται για την ταυτοποίηση των διατηρούμενων δεδομένων προσωπικού χαρακτήρα. Ωστόσο, σύμφωνα με την παράγραφο 4 του εν λόγω άρθρου, οι ΕΦΧΠΠ δεν πρέπει να επιβάλλουν «υπερβολική επιβάρυνση σ’ έναν εντολέα». Σε ορισμένες περιπτώσεις, οι ΕΦΧΠΠ μπορούν επίσης να επιβάλλουν τέλη, εφόσον το ύψος τους παραμένει «εντός του πεδίου εφαρμογής που θεωρείται εύλογο λαμβανομένου υπόψη του πραγματικού κόστους» (άρθρο 33 του ΝΠΠΠ).
                  
               
                     (92)
                  
                  
                     Τέλος, το άτομο δύναται να εναντιωθεί στην παροχή των προσωπικών πληροφοριών του σε τρίτο βάσει του άρθρου 23 παράγραφος 2 του ΝΠΠΠ, ή να αρνηθεί να συγκατατεθεί βάσει του άρθρου 23 παράγραφος 1 (εμποδίζοντας έτσι την κοινοποίησή τους εάν δεν υφίσταται άλλη νομική βάση). Ομοίως, το άτομο μπορεί να σταματήσει την επεξεργασία των δεδομένων για άλλο σκοπό αρνούμενο να παράσχει συγκατάθεση δυνάμει του άρθρου 16 παράγραφος 1 του ΝΠΠΠ.
                  
               
                     (93)
                  
                  
                     Σε αντίθεση με την ενωσιακή νομοθεσία, ο ΝΠΠΠ και οι σχετικοί δευτερεύοντες κανόνες δεν περιέχουν γενικές διατάξεις οι οποίες αντιμετωπίζουν το ζήτημα των αποφάσεων που έχουν αντίκτυπο στο υποκείμενο των δεδομένων και βασίζονται αποκλειστικά στην αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα. Ωστόσο, το ζήτημα αυτό αντιμετωπίζεται σε ορισμένους τομεακούς κανόνες που εφαρμόζονται στην Ιαπωνία και είναι ιδιαίτερα συναφείς για το συγκεκριμένο είδος επεξεργασίας. Στους εν λόγω τομείς οι εταιρείες έχουν περισσότερες πιθανότητες να καταφύγουν στην αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα για λήψη αποφάσεων που έχουν αντίκτυπο σε άτομα (π.χ. στον χρηματοοικονομικό τομέα). Εν είδει παραδείγματος, οι «Ολοκληρωμένες Κατευθυντήριες Γραμμές για την εποπτεία των μεγάλων τραπεζών», μετά την αναθεώρηση τους τον Ιούνιο του 2017, ορίζουν ότι πρέπει να δίδονται συγκεκριμένες εξηγήσεις σ’ έναν αιτούντα για τους λόγους απόρριψης του αιτήματός του για σύναψη σύμβασης δανείου. Οι κανόνες αυτοί παρέχουν, συνεπώς, προστασία στον πιθανότατα μάλλον περιορισμένο αριθμό περιπτώσεων στις οποίες οι αυτοματοποιημένες αποφάσεις λαμβάνονται από τον ίδιο τον «εισάγοντα» επιχειρηματικό φορέα στην Ιαπωνία (και όχι από τον «εξάγοντα» υπεύθυνο επεξεργασίας των δεδομένων στην ΕΕ).
                  
               
                     (94)
                  
                  
                     Σε κάθε περίπτωση, όσον αφορά τα δεδομένα προσωπικού χαρακτήρα που έχουν συλλεχθεί στην Ευρωπαϊκή Ένωση, οι αποφάσεις που βασίζονται σε αυτοματοποιημένη επεξεργασία λαμβάνονται συνήθως από τον υπεύθυνο επεξεργασίας των δεδομένων στην Ένωση (ο οποίος έχει άμεση σχέση με το ενδιαφερόμενο υποκείμενο των δεδομένων) και, συνεπώς, εμπίπτουν στις διατάξεις του κανονισμού (ΕΕ) 2016/679 (56). Εδώ περιλαμβάνονται σενάρια διαβίβασης στα οποία η επεξεργασία πραγματοποιείται από επιχειρηματικό φορέα της αλλοδαπής (π.χ. της Ιαπωνίας) ο οποίος ενεργεί ως αντιπρόσωπος (εκτελών την επεξεργασία) για λογαριασμό του υπευθύνου επεξεργασίας στην ΕΕ (ή ως υπεργολάβος για λογαριασμό του εκτελούντα την επεξεργασία στην ΕΕ ο οποίος έλαβε τα δεδομένα από υπεύθυνο επεξεργασίας στην ΕΕ ο οποίος τα συνέλεξε), ο οποίος βάσει των ανωτέρω λαμβάνει στη συνέχεια την απόφαση. Συνεπώς, η απουσία συγκεκριμένων κανόνων σχετικά με την αυτοματοποιημένη λήψη αποφάσεων στον ΝΠΠΠ δύσκολα μπορεί να επηρεάσει το επίπεδο προστασίας των δεδομένων προσωπικού χαρακτήρα που διαβιβάζονται βάσει της παρούσας απόφασης.
                  
               2.4.   Εποπτεία και επιβολή
         
         2.4.1.   Ανεξάρτητη εποπτεία
         
         
                     (95)
                  
                  
                     Για να είναι εγγυημένη η διασφάλιση επαρκούς επιπέδου προστασίας των δεδομένων και στην πράξη, είναι αναγκαία η ίδρυση ανεξάρτητης εποπτικής αρχής στην οποία ανατίθενται εξουσίες παρακολούθησης και επιβολής της συμμόρφωσης με τους κανόνες προστασίας των δεδομένων. Η αρχή αυτή πρέπει να λειτουργεί με πλήρη ανεξαρτησία και αμεροληψία κατά την εκτέλεση των καθηκόντων και την άσκηση των εξουσιών της.
                  
               
                     (96)
                  
                  
                     Στην Ιαπωνία, η αρμόδια αρχή για την παρακολούθηση και εφαρμογή του ΝΠΠΠ είναι η ΕΠΠ. Αποτελείται από Πρόεδρο και οκτώ Επιτρόπους που διορίζονται από τον Πρωθυπουργό με τη συγκατάθεση αμφότερων των Σωμάτων του Κοινοβουλίου (Δίαιτας). Η διάρκεια της θητείας του Προέδρου και του κάθε Επιτρόπου είναι πέντε έτη, με δυνατότητα ανανέωσης (άρθρο 64 του ΝΠΠΠ). Οι Επίτροποι μπορούν να αποπέμπονται μόνον εάν συντρέχουν σοβαροί λόγοι στο πλαίσιο ενός περιορισμένου αριθμού εξαιρετικών περιστάσεων (57) και δεν πρέπει να συμμετέχουν ενεργά σε πολιτικές δραστηριότητες. Επιπλέον, βάσει του ΝΠΠΠ, οι Επίτροποι που απασχολούνται αποκλειστικά σ’ αυτή τη θέση πρέπει να απέχουν από άλλες αμειβόμενες δραστηριότητες, ή από επιχειρηματική δραστηριότητα. Όλοι οι Επίτροποι υπόκεινται επίσης σε εσωτερικούς κανόνες οι οποίοι απαγορεύουν τη συμμετοχή τους σε διαβουλεύσεις σε περίπτωση πιθανής σύγκρουσης συμφερόντων. Την ΕΠΠ υποστηρίζει Γραμματεία, με προϊστάμενο Γενικό Γραμματέα, η οποία έχει συσταθεί με αποστολή την εκτέλεση των καθηκόντων που έχουν ανατεθεί στην ΕΠΠ (άρθρο 70 του ΝΠΠΠ). Τόσο οι Επίτροποι όσο και όλοι οι αξιωματούχοι της Γραμματείας δεσμεύονται από αυστηρούς κανόνες εμπιστευτικότητας (άρθρα 72, 82 του ΝΠΠΠ).
                  
               
                     (97)
                  
                  
                     Οι εξουσίες της ΕΠΠ, τις οποίες ασκεί με πλήρη ανεξαρτησία (58), ορίζονται κατά κύριο λόγο στα άρθρα 40, 41 και 42 του ΝΠΠΠ. Βάσει του άρθρου 40, η ΕΠΠ δύναται να ζητεί από τους ΕΦΧΠΠ να υποβάλλουν εκθέσεις ή έγγραφα σχετικά με τις εργασίες επεξεργασίας, καθώς επίσης να διενεργεί ελέγχους, τόσο επιτόπου όσο και σε βιβλία και άλλα έγγραφα. Στο μέτρο που είναι αναγκαίο για την εφαρμογή του ΝΠΠΠ, η ΕΠΠ μπορεί επίσης να παρέχει στους ΕΦΧΠΠ κατευθύνσεις ή συμβουλές σχετικά με τον χειρισμό των προσωπικών πληροφοριών. Η ΕΠΠ έχει ήδη κάνει χρήση αυτής της εξουσίας βάσει του άρθρου 41 του ΝΠΠΠ μέσα από την παροχή κατευθύνσεων στο Facebook, μετά τις αποκαλύψεις για το Facebook και την Cambridge Analytica.
                  
               
                     (98)
                  
                  
                     Πρωτίστως όμως, η ΕΠΠ έχει την εξουσία —μετά από καταγγελία ή με δική της πρωτοβουλία— να εκδίδει συστάσεις και διαταγές με σκοπό την επιβολή του ΝΠΠΠ και των άλλων δεσμευτικών κανόνων (συμπεριλαμβανομένων των Συμπληρωματικών Κανόνων) σε μεμονωμένες περιπτώσεις. Οι εξουσίες αυτές περιγράφονται στο άρθρο 42 του ΝΠΠΠ. Ενώ οι παράγραφοι 1 και 2 του άρθρου θεσπίζουν έναν μηχανισμό σε δύο φάσεις βάσει του οποίου η ΕΠΠ μπορεί να εκδίδει διαταγή (μόνο) αφού έχει προηγηθεί σύσταση, η παράγραφος 3 αφήνει περιθώριο για απευθείας έκδοση διαταγής σε επείγουσες περιπτώσεις.
                  
               
                     (99)
                  
                  
                     Αν και δεν απαριθμούνται όλες οι διατάξεις του κεφαλαίου IV τμήμα 1 του ΝΠΠΠ στο άρθρο 42 παράγραφος 1 —το οποίο καθορίζει επίσης το πεδίο εφαρμογής του άρθρου 42 παράγραφος 2— αυτό εξηγείται από το γεγονός ότι ορισμένες από τις εν λόγω διατάξεις δεν αφορούν υποχρεώσεις του ΕΦΧΠΠ (59) και ότι όλες οι βασικές προστασίες παρέχονται ήδη από άλλες διατάξεις οι οποίες απαριθμούνται στην εν λόγω παράγραφο. Για παράδειγμα, παρόλο που το άρθρο 15 (που ορίζει ότι ο ΕΦΧΠΠ πρέπει να προσδιορίζει τον σκοπό χρήσης και να υποβάλλει τις προσωπικές πληροφορίες σε επεξεργασία αποκλειστικά στο πλαίσιο αυτού του σκοπού) δεν αναφέρεται, η μη συμμόρφωση με τη συγκεκριμένη απαίτηση μπορεί να έχει ως αποτέλεσμα την έκδοση σύστασης για παράβαση του άρθρου 16 παράγραφος 1 (που απαγορεύει στους ΕΦΧΠΠ να επεξεργάζονται προσωπικές πληροφορίες πέραν του αναγκαίου για την επίτευξη του σκοπού χρήσης, εκτός εάν έχουν τη συγκατάθεση του υποκειμένου των δεδομένων) (60). Άλλη διάταξη που δεν αναφέρεται στο άρθρο 42 παράγραφος 1 είναι το άρθρο 19 του ΝΠΠΠ σχετικά με την ακρίβεια και τη διατήρηση των δεδομένων. Η μη συμμόρφωση με την εν λόγω διάταξη μπορεί να στοιχειοθετηθεί είτε ως παράβαση του άρθρου 16 παράγραφος 1 ή να βασιστεί σε παράβαση του άρθρου 29 παράγραφος 2, εάν το ενδιαφερόμενο άτομο ζητήσει διόρθωση ή διαγραφή εσφαλμένων ή υπερβολικών δεδομένων και ο ΕΦΧΠΠ αρνηθεί να ικανοποιήσει το αίτημά του. Όσον αφορά τα δικαιώματα του υποκειμένου των δεδομένων σύμφωνα με το άρθρο 28 παράγραφος 1, το άρθρο 29 παράγραφος 1 και το άρθρο 30 παράγραφος 1, η εποπτεία από την ΕΠΠ διασφαλίζεται με τη εκχώρηση εξουσιών επιβολής στην ΕΠΠ σε σχέση με τις αντίστοιχες υποχρεώσεις του ΕΦΧΠΠ όπως ορίζονται στα συγκεκριμένα άρθρα.
                  
               
                     (100)
                  
                  
                     Σύμφωνα με το άρθρο 42 παράγραφος 1 του ΝΠΠΠ, η ΕΠΠ μπορεί, εάν αναγνωρίζει ότι υφίσταται «ανάγκη προστασίας των δικαιωμάτων και των συμφερόντων ενός ατόμου σε περιπτώσεις στις οποίες ο [ΕΦΧΠΠ] έχει παραβιάσει» συγκεκριμένες διατάξεις του ΝΠΠΠ, να εκδώσει σύσταση με στόχο την «αναστολή της παράβασης ή τη λήψη άλλων αναγκαίων μέτρων για την επανόρθωση της παράβασης». Η σύσταση αυτή δεν έχει δεσμευτικό χαρακτήρα, αλλά ανοίγει τον δρόμο για την έκδοση δεσμευτικής διαταγής σύμφωνα με το άρθρο 42 παράγραφος 2 του ΝΠΠΠ. Σύμφωνα με τη συγκεκριμένη διάταξη, αν δεν υπάρξει συμμόρφωση με τη σύσταση «χωρίς να συντρέχουν νόμιμοι λόγοι» και αν η ΕΠΠ «διαπιστώσει ότι επίκειται σοβαρή παραβίαση των δικαιωμάτων και συμφερόντων ενός ατόμου», μπορεί να διατάξει τον ΕΦΧΠΠ να λάβει τα αναγκαία μέτρα σύμφωνα με τη σύσταση.
                  
               
                     (101)
                  
                  
                     Οι Συμπληρωματικοί Κανόνες διευκρινίζουν και ενισχύουν περαιτέρω τις εξουσίες επιβολής της ΕΠΠ. Ειδικότερα, όσον αφορά τα δεδομένα που εισάγονται από την Ευρωπαϊκή Ένωση, η ΕΠΠ θεωρεί σε όλες τις περιπτώσεις ότι η μη συμμόρφωση ενός ΕΦΧΠΠ με σύσταση που έχει εκδοθεί βάσει του άρθρου 42 παράγραφος 1 του ΝΠΠΠ, χωρίς να συντρέχει νόμιμος λόγος, συνιστά σοβαρή επικείμενη παραβίαση των δικαιωμάτων και συμφερόντων ενός ατόμου κατά την έννοια του άρθρου 42 παράγραφος 2, και, ως εκ τούτου, παράβαση που δικαιολογεί την έκδοση δεσμευτικής διαταγής. Επιπλέον, η ΕΠΠ δέχεται ως μοναδικό «νόμιμο λόγο» για τη μη συμμόρφωση με μια σύσταση «συμβάν εξαιρετικού χαρακτήρα [που εμποδίζει τη συμμόρφωση] πέραν του ελέγχου του [ΕΦΧΠΠ] το οποίο δεν μπορεί εύλογα να προβλεφθεί (όπως π.χ. οι φυσικές καταστροφές)» ή περιπτώσεις στις οποίες η ανάγκη για λήψη μέτρων μετά από σύσταση «δεν υφίσταται πλέον επειδή ο [ΕΦΧΠΠ] έχει λάβει εναλλακτικά μέτρα που επανορθώνουν πλήρως την παράβαση».
                  
               
                     (102)
                  
                  
                     Η μη συμμόρφωση με διαταγή της ΕΠΠ θεωρείται ποινικό αδίκημα βάσει του άρθρου 84 του ΝΠΠΠ και ο ΕΦΧΠΠ που κρίνεται ένοχος μπορεί να τιμωρηθεί με ποινή φυλάκισης με εργασία για διάστημα έως και έξι μηνών ή με χρηματική ποινή έως και 300 000 γιεν. Επιπροσθέτως, σύμφωνα με το άρθρο 85 σημείο i) του ΝΠΠΠ, η απροθυμία συνεργασίας με την ΕΠΠ ή η παρεμπόδιση των ερευνών της τιμωρείται με χρηματική ποινή έως και 300 000 γιεν. Οι εν λόγω ποινικές κυρώσεις εφαρμόζονται επιπλέον εκείνων που ενδέχεται να επιβληθούν για ουσιαστικές παραβιάσεις του ΝΠΠΠ (βλ. αιτιολογική σκέψη 108).
                  
               2.4.2.   Δικαστική προσφυγή
         
         
                     (103)
                  
                  
                     Για να διασφαλίζεται επαρκής προστασία και ειδικότερα η επιβολή των ατομικών δικαιωμάτων, το υποκείμενο των δεδομένων πρέπει να έχει στη διάθεση του αποτελεσματικά μέσα διοικητικής και δικαστικής προσφυγής, συμπεριλαμβανομένης της αποζημίωσης.
                  
               
                     (104)
                  
                  
                     Πριν ή αντί να ασκήσει διοικητική ή δικαστική προσφυγή, το ενδιαφερόμενο άτομο μπορεί να αποφασίσει να υποβάλει καταγγελία σχετικά με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα του στον ίδιο τον υπεύθυνο επεξεργασίας. Με βάση το άρθρο 35 του ΝΠΠΠ, οι ΕΦΧΠΠ πρέπει να επιδιώκουν να αντιμετωπίζουν «αμέσως και με τον κατάλληλο τρόπο» τις καταγγελίες και να θεσπίσουν εσωτερικά συστήματα διεκπεραίωσης των καταγγελιών προκειμένου να επιτύχουν αυτόν τον στόχο. Επιπλέον, σύμφωνα με το άρθρο 61 σημείο ii) του ΝΠΠΠ, η ΕΠΠ είναι υπεύθυνη για την «αναγκαία διαμεσολάβηση σε σχέση με υποβληθείσα καταγγελία και την προσφορά συνεργασίας σε επιχειρηματικό φορέα που ασχολείται με την καταγγελία», το οποίο περιλαμβάνει και στις δύο περιπτώσεις τις καταγγελίες που υποβάλλονται από αλλοδαπούς. Επ’ αυτού, ο Ιάπωνας νομοθέτης έχει επίσης αναθέσει στην κεντρική κυβέρνηση το καθήκον να λαμβάνει τα «αναγκαία μέτρα» προκειμένου να καθιστά δυνατή και να διευκολύνει την επίλυση των καταγγελιών από τους ΕΦΧΠΠ (άρθρο 9), ενώ η τοπική αυτοδιοίκηση πρέπει σε ανάλογες περιπτώσεις να επιδιώκει τη διασφάλιση διαμεσολάβησης (άρθρο 13). Σχετικά, τα άτομα μπορούν να υποβάλλουν καταγγελία σε ένα ή περισσότερα από το 1 700 κέντρα καταναλωτών που έχουν συστήσει οι φορείς τοπικής αυτοδιοίκησης με βάση τον Νόμο για την Ασφάλεια των Καταναλωτών (61), επιπροσθέτως της δυνατότητας υποβολής καταγγελίας στο Εθνικό Κέντρο Καταναλωτικών Υποθέσεων της Ιαπωνίας. Καταγγελίες μπορούν επίσης να υποβάλλονται για παραβάσεις του ΝΠΠΠ. Σύμφωνα με το άρθρο 19 του Βασικού Νόμου για τους Καταναλωτές (62), οι φορείς τοπικής αυτοδιοίκησης πρέπει να ασκούν διαμεσολάβηση στις καταγγελίες και να προσφέρουν εμπειρογνωμοσύνη στους αντιδίκους. Οι εν λόγω μηχανισμοί επίλυσης διαφορών αποδεικνύονται αρκετά αποτελεσματικοί, με ποσοστό επίλυσης που ανήλθε στο 91,2 % για περισσότερες από 75 000 υποθέσεις καταγγελιών το έτος 2015.
                  
               
                     (105)
                  
                  
                     Οι παραβιάσεις των διατάξεων του ΝΠΠΠ από ΕΦΧΠΠ μπορούν να εγείρουν αγωγές καθώς και ποινικές διώξεις και κυρώσεις. Κατά πρώτον, αν ένα άτομο θεωρεί ότι έχουν παραβιαστεί τα δικαιώματά του βάσει των άρθρων 28, 29 και 30 του ΝΠΠΠ, μπορεί να επιδιώξει δικαστική προστασία ζητώντας από το δικαστήριο να διατάξει τον ΕΦΧΠΠ να ικανοποιήσει το αίτημά του βάσει μίας από τις ανωτέρω διατάξεις, δηλαδή να κοινοποιήσει διατηρούμενα δεδομένα προσωπικού χαρακτήρα (άρθρο 28), να διορθώσει διατηρούμενα δεδομένα προσωπικού χαρακτήρα που είναι εσφαλμένα (άρθρο 29) ή να σταματήσει την παράνομη επεξεργασία ή παροχή σε τρίτο (άρθρο 30). Μια τέτοια αγωγή μπορεί να ασκηθεί χωρίς να βασίζεται στο άρθρο 709 του Αστικού Κώδικα (63) ή, σε άλλη περίπτωση, στο δίκαιο των αδικοπραξιών (64). Αυτό σημαίνει, συγκεκριμένα, ότι το άτομο δεν είναι υποχρεωμένο να αποδείξει την ύπαρξη βλάβης.
                  
               
                     (106)
                  
                  
                     Δεύτερον, στην περίπτωση όπου η υποτιθέμενη παραβίαση δεν αφορά ατομικά δικαιώματα βάσει των άρθρων 28, 29 και 30, αλλά γενικές αρχές προστασίας των δεδομένων ή υποχρεώσεις του ΕΦΧΠΠ, το ενδιαφερόμενο άτομο μπορεί να ασκήσει αγωγή κατά του επιχειρηματικού φορέα με βάση τις διατάξεις περί αδικοπραξιών του ιαπωνικού Αστικού Κώδικα, και ειδικά το άρθρο 709. Αν και μια αγωγή βάσει του άρθρου 709 απαιτεί, εκτός από την υπαιτιότητα (εκ προθέσεως ή εξ αμελείας), απόδειξη της βλάβης, σύμφωνα με το άρθρο 710 του Αστικού Κώδικα η βλάβη αυτή μπορεί να είναι τόσο υλική όσο και ηθική. Δεν επιβάλλεται κανένας περιορισμός ως προς το ποσό της αποζημίωσης.
                  
               
                     (107)
                  
                  
                     Όσον αφορά τις διαθέσιμες επανορθώσεις, το άρθρο 709 του ιαπωνικού Αστικού Κώδικα αναφέρεται σε χρηματική αποζημίωση. Ωστόσο, σύμφωνα με την ιαπωνική νομολογία, το εν λόγω άρθρο παρέχει επίσης το δικαίωμα εξασφάλισης δικαστικής προστασίας (65). Κατά συνέπεια, αν ένα υποκείμενο δεδομένων ασκήσει αγωγή βάσει του άρθρου 709 του Αστικού Κώδικα υποστηρίζοντας ότι τα δικαιώματα ή τα συμφέροντά του έχουν υποστεί βλάβη λόγω παραβίασης διάταξης του ΝΠΠΠ από τον εναγόμενο, η αξίωση αυτή μπορεί να περιλαμβάνει, εκτός της αποζημίωσης, αίτημα για δικαστική προστασία, κυρίως με στόχο την παύση κάθε παράνομης επεξεργασίας.
                  
               
                     (108)
                  
                  
                     Τρίτον, εκτός από τα μέσα προσφυγής αστικής ευθύνης (δίκαιο των αδικοπραξιών), ένα υποκείμενο δεδομένων μπορεί να υποβάλει καταγγελία σε εισαγγελέα ή αξιωματικό της δικαστικής αστυνομίας για παραβάσεις του ΝΠΠΠ που μπορεί να οδηγήσουν σε ποινικές κυρώσεις. Το κεφάλαιο VII του ΝΠΠΠ περιέχει σειρά διατάξεων ποινικού χαρακτήρα. Η σημαντικότερη από αυτές (άρθρο 84) σχετίζεται με τη μη συμμόρφωση του ΕΦΧΠΠ με διαταγές της ΕΠΠ σύμφωνα με το άρθρο 42 παράγραφοι 2 και 3. Αν ένας επιχειρηματικός φορέας δεν συμμορφωθεί με διαταγή της ΕΠΠ, ο πρόεδρος της ΕΠΠ (καθώς και οποιοσδήποτε άλλος κρατικός αξιωματούχος) (66) μπορεί να προωθήσει την υπόθεση στον εισαγγελέα ή στον αξιωματικό της δικαστικής αστυνομίας κινώντας έτσι διαδικασίες ποινικής δίωξης. Η ποινή για την παράβαση διαταγής της ΕΠΠ συνίσταται σε φυλάκιση με εργασία για διάστημα έως και έξι μηνών ή πρόστιμο έως 300 000 γιεν. Στις διατάξεις του ΝΠΠΠ οι οποίες προβλέπουν κυρώσεις σε περίπτωση παραβάσεων του ΝΠΠΠ που επηρεάζουν τα δικαιώματα και συμφέροντα των υποκειμένων των δεδομένων συγκαταλέγονται επίσης το άρθρο 83 του ΝΠΠΠ (σχετικά με την «λαθραία παροχή ή χρήση» βάσης προσωπικών πληροφοριών «με σκοπό την απόκτηση […] παράνομων κερδών») και το άρθρο 88 σημείο i) του ΝΠΠΠ (σχετικά με την παράλειψη τρίτου να ενημερώσει σωστά τον ΕΦΧΠΠ όταν ο τελευταίος λαμβάνει δεδομένα προσωπικού χαρακτήρα σύμφωνα με το άρθρο 26 παράγραφος 1 του ΝΠΠΠ, ιδίως σχετικά με τις λεπτομέρειες της προγενέστερης απόκτησης των εν λόγω δεδομένων από τον ίδιο τον τρίτο). Οι ισχύουσες ποινές για τις ανωτέρω παραβάσεις του ΝΠΠΠ είναι, αντίστοιχα, φυλάκιση με εργασία έως ένα έτος ή πρόστιμο έως 500 000 γιεν (στην περίπτωση του άρθρου 83), ή διοικητικό πρόστιμο έως 100 000 γιεν [στην περίπτωση του άρθρου 88 σημείο i)]. Αν και ήδη η απειλή ποινικής κύρωσης έχει πιθανότατα ισχυρό αποτρεπτικό αποτέλεσμα για τα διοικητικά στελέχη επιχειρήσεων που διευθύνουν τις εργασίες επεξεργασίας του ΕΦΧΠΠ καθώς και για τα άτομα που χειρίζονται τα δεδομένα, το άρθρο 87 του ΝΠΠΠ διευκρινίζει ότι όταν ένας εκπρόσωπος, υπάλληλος ή άλλος εργαζόμενος νομικού προσώπου έχει διαπράξει παράβαση σύμφωνα με τα άρθρα 83 έως 85 του ΝΠΠΠ, «ο παραβάτης τιμωρείται και στο εν λόγω νομικό πρόσωπο επιβάλλεται το πρόστιμο που ορίζεται στα αντίστοιχα άρθρα». Σ’ αυτή την περίπτωση, τόσο στον υπάλληλο όσο και στην εταιρεία μπορούν να επιβληθούν κυρώσεις μέχρι το πλήρες ανώτατο ποσό.
                  
               
                     (109)
                  
                  
                     Τέλος, ένα άτομο μπορεί να ασκήσει προσφυγή για πράξεις ή παραλείψεις της ΕΠΠ. Η ιαπωνική νομοθεσία παρέχει σχετικά διάφορες οδούς διοικητικής και δικαστικής προσφυγής.
                  
               
                     (110)
                  
                  
                     Όταν ένα άτομο δεν είναι ικανοποιημένο με τους χειρισμούς της ΕΠΠ, μπορεί να καταθέσει διοικητική προσφυγή βάσει του Νόμου περί Εξέτασης των Διοικητικών Καταγγελιών (67). Αντιστρόφως, αν ένα άτομο θεωρεί ότι η ΕΠΠ έπρεπε να έχει ενεργήσει αλλά δεν το έπραξε, μπορεί να αιτηθεί από την ΕΠΠ βάσει του άρθρου 36-3 του εν λόγω Νόμου να προχωρήσει σε διευθέτηση ή να παράσχει διοικητική καθοδήγηση εάν θεωρεί ότι «δεν υπήρξε παροχή ή επιβολή διευθέτησης ή διοικητικής καθοδήγησης που ήταν αναγκαία για την επανόρθωση της παράβασης».
                  
               
                     (111)
                  
                  
                     Όσον αφορά τη δικαστική προσφυγή, βάσει του Νόμου περί Προσφυγής σε Διοικητικές Υποθέσεις, άτομο που δεν είναι ικανοποιημένο με διοικητική διευθέτηση της ΕΠΠ δύναται να υποβάλει αγωγή mandamus (68) ζητώντας από το δικαστήριο να διατάξει την ΕΠΠ να προβεί σε περαιτέρω ενέργειες (69). Σε ορισμένες περιπτώσεις, το δικαστήριο μπορεί επίσης να εκδώσει προσωρινή απόφαση mandamus, προκειμένου να αποφευχθεί η πρόκληση μη αναστρέψιμης βλάβης (70). Επιπλέον, βάσει του ίδιου νόμου, ένα άτομο μπορεί να επιδιώξει ανάκληση απόφασης της ΕΠΠ (71).
                  
               
                     (112)
                  
                  
                     Τέλος, ένα άτομο μπορεί επίσης να καταθέσει αγωγή για αποζημίωση από το Δημόσιο κατά της ΕΠΠ βάσει του άρθρου 1 παράγραφος 1 του Νόμου περί Προσφυγών κατά του Δημοσίου εάν έχει υποστεί βλάβη λόγω παράνομης διαταγής που εξέδωσε η ΕΠΠ για επιχειρηματικό φορέα ή παράλειψης άσκησης των αρμοδιοτήτων της από την ΕΠΠ.
                  
               3.   ΠΡΟΣΒΑΣΗ ΚΑΙ ΧΡΗΣΗ ΔΕΔΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ ΠΟΥ ΕΧΟΥΝ ΔΙΑΒΙΒΑΣΤΕΙ ΑΠΟ ΤΗΝ ΕΥΡΩΠΑΪΚΗ ΕΝΩΣΗ ΑΠΟ ΤΙΣ ΔΗΜΟΣΙΕΣ ΑΡΧΕΣ ΣΤΗΝ ΙΑΠΩΝΙΑ
         
         
                     (113)
                  
                  
                     Η Επιτροπή αξιολόγησε επίσης τους περιορισμούς και τις εγγυήσεις, συμπεριλαμβανομένων των μηχανισμών εποπτείας και ατομικής προσφυγής, που προβλέπει το ιαπωνικό δίκαιο σε σχέση με τη συλλογή και επακόλουθη χρήση δεδομένων προσωπικού χαρακτήρα που διαβιβάζονται σε επιχειρηματικούς φορείς στην Ιαπωνία από δημόσιες αρχές προς το δημόσιο συμφέρον, ιδίως για σκοπούς επιβολής της ποινικής νομοθεσίας και εθνικής ασφάλειας («κρατική πρόσβαση»). Για τον σκοπό αυτό, η ιαπωνική κυβέρνηση υπέβαλε στην Επιτροπή επίσημες παρουσιάσεις, διασφαλίσεις και δεσμεύσεις οι οποίες υπογράφηκαν σε ανώτατο υπουργικό επίπεδο και επίπεδο οργανισμών και περιέχονται στο παράρτημα II της παρούσας απόφασης.
                  
               3.1.   Γενικό νομικό πλαίσιο
         
         
                     (114)
                  
                  
                     Ως πράξη άσκησης δημόσιας εξουσίας, η κρατική πρόσβαση στην Ιαπωνία πρέπει να πραγματοποιείται με απόλυτο σεβασμό του κανόνων δικαίου (αρχή της νομιμότητας). Επ’ αυτού, το Σύνταγμα της Ιαπωνίας περιέχει διατάξεις που περιορίζουν και οριοθετούν τη συλλογή δεδομένων προσωπικού χαρακτήρα από δημόσιες αρχές. Όπως έχει ήδη αναφερθεί σε σχέση με την επεξεργασία από επιχειρηματικούς φορείς, βασιζόμενο στο άρθρο 13 του Συντάγματος το οποίο, μεταξύ άλλων, κατοχυρώνει το δικαίωμα στην ελευθερία, το Ανώτατο Δικαστήριο της Ιαπωνίας αναγνώρισε το δικαίωμα στην ιδιωτικότητα και στην προστασία των δεδομένων (72). Μία σημαντική πτυχή αυτού του δικαιώματος είναι η ελευθερία της μη κοινοποίησης των προσωπικών πληροφοριών ενός ατόμου σε τρίτο χωρίς την άδεια του ενδιαφερομένου (73). Αυτό συνεπάγεται δικαίωμα σε ουσιαστική προστασία των δεδομένων προσωπικού χαρακτήρα από την κατάχρηση και (ιδίως) την παράνομη πρόσβαση. Πρόσθετη προστασία διασφαλίζεται με το άρθρο 35 του Συντάγματος όσον αφορά το δικαίωμα όλων των προσώπων να αισθάνονται ασφάλεια για την κατοικία, τα έγγραφα και τα υπάρχοντά τους, γεγονός που συνεπάγεται ότι οι δημόσιες αρχές πρέπει να διαθέτουν δικαστικό ένταλμα που έχει εκδοθεί για «επαρκή αιτία» (74) σε όλες τις περιπτώσεις «ερευνών και κατασχέσεων». Σε απόφαση με ημερομηνία 15 Μαρτίου 2017 (υπόθεση GPS), το Ανώτατο Δικαστήριο διευκρίνισε ότι αυτή η απαίτηση για έκδοση εντάλματος ισχύει στις περιπτώσεις που η κυβέρνηση εισβάλλει («εισέρχεται») στην ιδιωτική σφαίρα κατά τρόπο που καταστέλλει τη βούληση του ατόμου και, κατά συνέπεια, μέσω «υποχρεωτικής έρευνας». Οι δικαστές μπορούν να εκδίδουν εντάλματα μόνον όταν υπάρχει συγκεκριμένη υποψία εγκληματικής ενέργειας, δηλαδή όταν τους παρέχονται αποδεικτικά στοιχεία βάσει των οποίων μπορεί να θεωρηθεί ότι το εμπλεκόμενο πρόσωπο διέπραξε ποινικό αδίκημα (75). Κατά συνέπεια, οι ιαπωνικές αρχές δεν διαθέτουν νομική εξουσιοδότηση να συλλέγουν προσωπικές πληροφορίες με υποχρεωτικά μέσα σε καταστάσεις στις οποίες δεν έχει ακόμη συντελεστεί παράβαση του νόμου (76), π.χ. με στόχο την αποτροπή εγκληματικής ενέργειας ή άλλου κινδύνου για την ασφάλεια (όπως στην περίπτωση των ερευνών για λόγους εθνικής ασφάλειας).
                  
               
                     (115)
                  
                  
                     Βάσει της αρχής της επιφύλαξης του νόμου, η συλλογή δεδομένων στο πλαίσιο αναγκαστικής έρευνας πρέπει να επιτρέπεται ρητώς από τη νομοθεσία [όπως φαίνεται π.χ. στο άρθρο 197 παράγραφος 1 του Κώδικα Ποινικής Δικονομίας («ΚΠΔ») σχετικά με την υποχρεωτική συλλογή πληροφοριών για σκοπούς ποινικής έρευνας]. Η απαίτηση αυτή ισχύει και για την πρόσβαση σε ηλεκτρονικές πληροφορίες.
                  
               
                     (116)
                  
                  
                     Είναι σημαντικό ότι το άρθρο 21 παράγραφος 2 του Συντάγματος εγγυάται το απόρρητο όλων των μέσων επικοινωνίας και η νομοθεσία θεσπίζει περιορισμούς μόνο για λόγους δημόσιου συμφέροντος. Το άρθρο 4 του Νόμου για τον Κλάδο των Τηλεπικοινωνιών, βάσει του οποίου οι φορείς τηλεπικοινωνιών δεν παραβιάζουν το απόρρητο των επικοινωνιών τις οποίες χειρίζονται, εφαρμόζει αυτή την απαίτηση απορρήτου στο επίπεδο του γραπτού δικαίου. Αυτό έχει ερμηνευθεί ως απαγόρευση της κοινοποίησης πληροφοριών από επικοινωνίες, εκτός εάν υπάρχει συγκατάθεση των χρηστών ή αν ισχύει ρητή εξαίρεση από την ποινική ευθύνη βάσει του Ποινικού Κώδικα (77).
                  
               
                     (117)
                  
                  
                     Το Σύνταγμα εγγυάται επίσης το δικαίωμα πρόσβασης στα δικαστήρια (άρθρο 32) και το δικαίωμα άσκησης αγωγής κατά του Δημοσίου στην περίπτωση κατά την οποία ένα άτομο υφίσταται βλάβη από παράνομη πράξη δημόσιου αξιωματούχου (άρθρο 17).
                  
               
                     (118)
                  
                  
                     Όσον αφορά ειδικά το δικαίωμα προστασίας των δεδομένων, το κεφάλαιο III τμήματα 1, 2 και 3 του ΝΠΠΠ θεσπίζει γενικές αρχές που καλύπτουν όλους τους τομείς, συμπεριλαμβανομένου του δημόσιου τομέα. Πιο συγκεκριμένα, το άρθρο 3 του ΝΠΠΠ ορίζει ότι ο χειρισμός όλων των προσωπικών πληροφοριών πρέπει να είναι σύμφωνος με την αρχή του σεβασμού της προσωπικότητας των ατόμων. Όταν συλλέγονται («αποκτώνται») προσωπικές πληροφορίες από δημόσια αρχή (78), μεταξύ άλλων στο πλαίσιο ηλεκτρονικών αρχείων, ο χειρισμός τους διέπεται από τον Νόμο περί Προστασίας Προσωπικών Πληροφοριών που Τηρούνται από Διοικητικά Όργανα («ΝΠΠΠΚΔΟ») (79). Εδώ εμπίπτει κατ’ αρχήν (80) και η επεξεργασία προσωπικών πληροφοριών για σκοπούς επιβολής της ποινικής νομοθεσίας ή εθνικής ασφάλειας. Μεταξύ άλλων, ο ΝΠΠΠΚΔΟ ορίζει ότι οι δημόσιες αρχές: i) μπορούν να διατηρούν προσωπικές πληροφορίες μόνον στον βαθμό που αυτό είναι αναγκαίο για την άσκηση των καθηκόντων τους· ii) δεν χρησιμοποιούν αυτές τις πληροφορίες για «αθέμιτους» σκοπούς ούτε τις αποκαλύπτουν σε τρίτους αν δεν συντρέχει λόγος· iii) προσδιορίζουν τον σκοπό και δεν τροποποιούν τον σκοπό αυτό πέραν αυτού που μπορεί ευλόγως να θεωρηθεί συναφές με τον αρχικό σκοπό (περιορισμός του σκοπού)· iv) δεν χρησιμοποιούν ούτε παρέχουν, κατ’ αρχήν, σε τρίτους τις διατηρούμενες προσωπικές πληροφορίες για άλλους σκοπούς και, αν το κρίνουν αναγκαίο, επιβάλλουν περιορισμούς στον σκοπό ή στη μέθοδο χρήσης από τρίτους· v) προσπαθούν να διασφαλίσουν την ορθότητα των πληροφοριών (ποιότητα των δεδομένων)· vi) λαμβάνουν τα αναγκαία μέτρα για τη σωστή διαχείριση των πληροφοριών και την αποτροπή διαρροής, απώλειας ή φθοράς των πληροφοριών (ασφάλεια των δεδομένων)· και vii) προσπαθούν να διεκπεραιώσουν σωστά και γρήγορα τις καταγγελίες που αφορούν την επεξεργασία των πληροφοριών (81).
                  
               3.2.   Πρόσβαση και χρήση από τις δημόσιες αρχές της Ιαπωνίας για σκοπούς επιβολής της ποινικής νομοθεσίας
         
         
                     (119)
                  
                  
                     Το ιαπωνικό δίκαιο περιέχει σειρά περιορισμών σχετικά με την πρόσβαση και χρήση των δεδομένων προσωπικού χαρακτήρα για σκοπούς επιβολής της ποινικής νομοθεσίας καθώς και μηχανισμούς εποπτείας και προσφυγής που παρέχουν επαρκείς εγγυήσεις για την αποτελεσματική προστασία των εν λόγω δεδομένων κατά της παράνομης επεξεργασίας και του κινδύνου καταχρηστικής χρήσης τους.
                  
               3.2.1.   Νομική βάση και εφαρμοστέοι περιορισμοί/εγγυήσεις
         
         
                     (120)
                  
                  
                     Στο ιαπωνικό νομικό πλαίσιο, η συλλογή ηλεκτρονικών πληροφοριών για σκοπούς επιβολής της ποινικής νομοθεσίας επιτρέπεται στη βάση εντάλματος (υποχρεωτική συλλογή) ή αιτήματος για οικειοθελή κοινοποίηση.
                  
               3.2.1.1.   Υποχρεωτική έρευνα με δικαστικό ένταλμα
         
         
                     (121)
                  
                  
                     Όπως αναφέρθηκε στην αιτιολογική σκέψη 115, η συλλογή δεδομένων στο πλαίσιο αναγκαστικής έρευνας πρέπει να επιτρέπεται ρητώς από τη νομοθεσία και μπορεί να πραγματοποιείται μόνο με δικαστικό ένταλμα που εκδίδεται για «επαρκή αιτία» (άρθρο 35 του Συντάγματος). Όσον αφορά τη διερεύνηση ποινικών αδικημάτων, η απαίτηση αυτή αντικατοπτρίζεται στις διατάξεις του Κώδικα Ποινικής Δικονομίας («ΚΠΔ»). Σύμφωνα με το άρθρο 197 παράγραφος 1 του ΚΠΔ, υποχρεωτικά μέτρα «δεν εφαρμόζονται εκτός εάν ο παρών Κώδικας έχει θεσπίσει ειδικές διατάξεις». Όσον αφορά τη συλλογή ηλεκτρονικών πληροφοριών, οι μόνες συναφείς (82) νομικές βάσεις από αυτή την άποψη είναι το άρθρο 218 του ΚΠΔ (έρευνα και κατάσχεση) και το άρθρο 222-2 του ΚΠΔ, σύμφωνα με τα οποία τα υποχρεωτικά μέτρα για την υποκλοπή ηλεκτρονικών επικοινωνιών χωρίς τη συγκατάθεση ενός εκ των δύο μερών εκτελούνται στη βάση άλλων νομοθετημάτων, και συγκεκριμένα του Νόμου σχετικά με την Παρακολούθηση Τηλεπικοινωνιών στο πλαίσιο Ποινικής Έρευνας (εφεξής «Νόμος για την Παρακολούθηση Τηλεπικοινωνιών»). Και στις δυο περιπτώσεις, ισχύει η απαίτηση για έκδοση εντάλματος.
                  
               
                     (122)
                  
                  
                     Ειδικότερα, σύμφωνα με το άρθρο 218 παράγραφος 1 του ΚΠΔ, εισαγγελέας, βοηθός εισαγγελέα ή αξιωματικός της δικαστικής αστυνομίας μπορεί, αν είναι αναγκαίο για τη διερεύνηση μιας παράβασης, να διενεργήσει έρευνα ή κατάσχεση (συμπεριλαμβανομένης της εντολής για υποβολή αρχείων) με ένταλμα που έχει εκδοθεί εκ των προτέρων από δικαστή (83). Μεταξύ άλλων, ένα τέτοιο ένταλμα περιέχει το όνομα του υπόπτου ή του κατηγορουμένου, το αδίκημα με το οποίο βαρύνεται (84), τα ηλεκτρομαγνητικά αρχεία προς κατάσχεση και τον «τόπο ή τα αντικείμενα» προς έλεγχο (άρθρο 219 παράγραφος 1 του ΚΠΔ).
                  
               
                     (123)
                  
                  
                     Όσον αφορά την υποκλοπή επικοινωνιών, το άρθρο 3 του Νόμου για την Παρακολούθηση Τηλεπικοινωνιών παρέχει άδεια για μέτρα αυτού του είδους μόνον υπό πολύ αυστηρές προϋποθέσεις. Συγκεκριμένα, οι δημόσιες αρχές υποχρεούνται να διαθέτουν εκ των προτέρων δικαστικό ένταλμα το οποίο μπορεί να εκδοθεί μόνο για τη διερεύνηση συγκεκριμένων σοβαρών εγκλημάτων (που απαριθμούνται στο παράρτημα του Νόμου) (85) και όταν είναι «εξαιρετικά δύσκολο να ταυτοποιηθεί ο εγκληματίας ή να διευκρινιστούν οι συνθήκες/λεπτομέρειες της τέλεσης με άλλους τρόπους» (86). Σύμφωνα με το άρθρο 5 του Νόμου για την Παρακολούθηση Τηλεπικοινωνιών, το ένταλμα εκδίδεται για περιορισμένο χρονικό διάστημα, ενώ ο δικαστής μπορεί να επιβάλει πρόσθετες προϋποθέσεις. Επιπλέον, ο Νόμος για την Παρακολούθηση Τηλεπικοινωνιών προβλέπει μια σειρά από περαιτέρω εγγυήσεις, όπως για παράδειγμα την ανάγκη για παρουσία μαρτύρων (άρθρα 12, 20), την απαγόρευση παρακολούθησης των τηλεπικοινωνιών ορισμένων προνομιούχων ομάδων (π.χ. γιατροί, δικηγόροι) (άρθρο 15), την υποχρέωση τερματισμού της παρακολούθησης εάν αυτή δεν είναι πλέον δικαιολογημένη, ακόμη και εντός της περιόδου ισχύος του εντάλματος (άρθρο 18), ή τη γενική απαίτηση για ενημέρωση του ενδιαφερόμενου ατόμου και παροχή δυνατότητας πρόσβασης στα αρχεία εντός τριάντα ημερών από τον τερματισμό της παρακολούθησης (άρθρα 23, 24).
                  
               
                     (124)
                  
                  
                     Για όλα τα υποχρεωτικά μέτρα που λαμβάνονται βάσει εντάλματος, επιτρέπεται η διενέργεια εξέτασης μόνον «όταν είναι αναγκαία για την επίτευξη του στόχου της» —δηλαδή όταν οι στόχοι που επιδιώκονται με την έρευνα δεν μπορούν να επιτευχθούν με άλλο τρόπο (άρθρο 197 παράγραφος 1 του ΚΠΔ). Παρόλο που τα κριτήρια για τον καθορισμό της αναγκαιότητας δεν προσδιορίζονται περισσότερο στη νομοθεσία, το Ανώτατο Δικαστήριο της Ιαπωνίας έκρινε ότι ένας δικαστής που εκδίδει ένταλμα πρέπει να προβαίνει σε γενική εκτίμηση λαμβάνοντας υπόψη συγκεκριμένα i) τη σοβαρότητα του αδικήματος και τον τρόπο με τον οποίο διαπράχθηκε· ii) την αξία και τη σπουδαιότητα των υλικών που πρόκειται να κατασχεθούν ως αποδεικτικά στοιχεία· iii) την πιθανότητα (κίνδυνο) απόκρυψης ή καταστροφής των αποδεικτικών στοιχείων· και iv) το κατά πόσο η κατάσχεση μπορεί να προκαλέσει βλάβη στο εμπλεκόμενο άτομο (87).
                  
               3.2.1.2.   Αίτημα για οικειοθελή κοινοποίηση με βάση «φύλλο ερωτήσεων»
         
         
                     (125)
                  
                  
                     Στο πλαίσιο της αρμοδιότητάς τους, οι δημόσιες αρχές μπορούν επίσης να συλλέγουν ηλεκτρονικές πληροφορίες με βάση αιτήματα για οικειοθελή κοινοποίηση. Πρόκειται για μια μη υποχρεωτική μορφή συνεργασίας στην οποία η συμμόρφωση με το αίτημα δεν μπορεί να επιβληθεί (88), γεγονός που απαλλάσσει τις δημόσιες αρχές από το καθήκον εξασφάλισης δικαστικού εντάλματος.
                  
               
                     (126)
                  
                  
                     Στον βαθμό που ένα αίτημα απευθύνεται σε επιχειρηματικό φορέα και αφορά προσωπικές πληροφορίες, ο επιχειρηματικός φορέας οφείλει να συμμορφώνεται με τις απαιτήσεις του ΝΠΠΠ. Σύμφωνα με το άρθρο 23 παράγραφος 1 του ΝΠΠΠ, οι επιχειρηματικοί φορείς μπορούν να κοινοποιούν προσωπικές πληροφορίες σε τρίτους χωρίς τη συγκατάθεση του ενδιαφερομένου μόνον σε ορισμένες περιπτώσεις, μεταξύ άλλων όταν η κοινοποίηση βασίζεται «σε νόμους και κανονισμούς» (89). Στον τομέα της επιβολής της ποινικής νομοθεσίας, η νομική βάση για τα εν λόγω αιτήματα παρέχεται από το άρθρο 197 παράγραφος 2 του ΚΠΔ βάσει του οποίου «μπορεί να ζητηθεί από ιδιωτικούς οργανισμούς να παράσχουν στοιχεία σε σχέση με αναγκαία ζητήματα που άπτονται της έρευνας». Δεδομένου ότι το «φύλλο ερωτήσεων» επιτρέπεται μόνο στο πλαίσιο ποινικής έρευνας, προϋποθέτει πάντοτε συγκεκριμένη υποψία για εγκληματική πράξη που έχει ήδη τελεστεί (90). Επιπλέον, δεδομένου ότι οι εν λόγω έρευνες διεξάγονται συνήθως από τη Νομαρχιακή Αστυνομία, ισχύουν οι περιορισμοί βάσει του άρθρου 2 παράγραφος 2 του Νόμου περί Αστυνομίας (91). Σύμφωνα με την εν λόγω διάταξη, οι δραστηριότητες της αστυνομίας «περιορίζονται αυστηρά» στην άσκηση των αρμοδιοτήτων και των καθηκόντων της (δηλαδή στην πρόληψη, καταστολή και διερεύνηση εγκληματικών πράξεων). Επιπροσθέτως, κατά την εκτέλεση των καθηκόντων της, η αστυνομία ενεργεί με αμεροληψία, δικαιοσύνη και χωρίς προκαταλήψεις και δεν πρέπει ποτέ να καταχράται την εξουσία της «με τρόπο που υπονομεύει τα δικαιώματα και τις ελευθερίες του ατόμου που κατοχυρώνονται στο Σύνταγμα της Ιαπωνίας» (μεταξύ άλλων, όπως έχει αναφερθεί, το δικαίωμα στην ιδιωτικότητα και στην προστασία των δεδομένων) (92).
                  
               
                     (127)
                  
                  
                     Ειδικά σε σχέση με το άρθρο 197 παράγραφος 2 του ΚΠΔ, η Εθνική Αστυνομική Υπηρεσία («ΕΑΥ») —ως αρμόδια ομοσπονδιακή αρχή, μεταξύ άλλων, για όλα τα θέματα που αφορούν την αστυνομία δίωξης του εγκλήματος— έχει εκδώσει οδηγίες προς τη Νομαρχιακή Αστυνομία (93) σχετικά με την «ορθή χρήση των γραπτών ερωτήσεων σε ερευνητικά ζητήματα». Σύμφωνα με την κοινοποίηση αυτή, τα αιτήματα πρέπει να υποβάλλονται σε τυποποιημένο έντυπο (το «Έντυπο αριθ. 49» ή «φύλλο ερωτήσεων») (94), να αφορούν αρχεία «σχετικά με συγκεκριμένη έρευνα» και οι πληροφορίες που ζητούνται πρέπει να είναι «αναγκαίες για την [εν λόγω] έρευνα». Σε κάθε περίπτωση, ο προϊστάμενος ερευνητής «εξετάζει διεξοδικά την αναγκαιότητα, το περιεχόμενο, κ.λπ. [της] εκάστοτε ερώτησης » και πρέπει να λάβει εσωτερική έγκριση από υψηλόβαθμο αξιωματικό.
                  
               
                     (128)
                  
                  
                     Επιπροσθέτως, σε δύο αποφάσεις από το 1969 και το 2008 (95), το Ανώτατο Δικαστήριο της Ιαπωνίας θέσπισε περιορισμούς σε σχέση με τα μη υποχρεωτικά μέτρα που θίγουν το δικαίωμα στην ιδιωτικότητα (96). Συγκεκριμένα, το δικαστήριο έκρινε ότι αυτά τα μέτρα πρέπει να είναι «εύλογα» και να παραμένουν εντός «γενικώς επιτρεπτών ορίων», δηλαδή πρέπει να είναι αναγκαία για τη διερεύνηση ενός υπόπτου (συλλογή αποδεικτικών στοιχείων) και να εκτελούνται «με τις κατάλληλες μεθόδους για την επίτευξη του σκοπού [της] έρευνας». (97) Οι αποφάσεις δείχνουν ότι αυτό προϋποθέτει έλεγχο της αναλογικότητας, που θα λαμβάνει υπόψη όλες τις συνθήκες της υπόθεσης (π.χ. τον βαθμό στον οποίο θίγεται στο δικαίωμα στην ιδιωτικότητα, συμπεριλαμβανομένης της προσδοκίας ιδιωτικότητας, τη σοβαρότητα του εγκλήματος, την πιθανότητα εξασφάλισης χρήσιμων αποδεικτικών στοιχείων, τα πιθανά εναλλακτικά μέσα έρευνας κ.λπ.) (98).
                  
               
                     (129)
                  
                  
                     Εκτός από αυτούς τους περιορισμούς για την άσκηση της δημόσιας εξουσίας, οι ίδιοι οι επιχειρηματικοί φορείς είναι υποχρεωμένοι να ελέγχουν («επιβεβαιώνουν») την αναγκαιότητα και τη «λογική» της παροχής σε τρίτο (99). Εδώ περιλαμβάνεται το ερώτημα αν τους απαγορεύεται εκ του νόμου να συνεργαστούν. Αυτές οι αντικρουόμενες νομικές υποχρεώσεις μπορεί ειδικότερα να απορρέουν από υποχρεώσεις εμπιστευτικότητας όπως το άρθρο 134 του Ποινικού Κώδικα (σχετικά με τη σχέση μεταξύ του γιατρού, του δικηγόρου, του ιερέα κ.λπ. και των πελατών τους). Επίσης, «όσοι δραστηριοποιούνται στον κλάδο των τηλεπικοινωνιών φυλάσσουν, στη διάρκεια της θητείας τους, τα μυστικά τρίτων που γίνονται γνωστά μέσω της διαχείρισης επικοινωνιών από τον φορέα τηλεπικοινωνιών» (άρθρο 4 παράγραφος 2 του Νόμου για τον Κλάδο των Τηλεπικοινωνιών). Την υποχρέωση αυτή ενισχύει η κύρωση που ορίζεται στο άρθρο 179 του Νόμου για τον Κλάδο των Τηλεπικοινωνιών, βάσει της οποίας όσοι παραβιάζουν το απόρρητο επικοινωνιών τις οποίες χειρίζεται φορέας τηλεπικοινωνιών διαπράττουν ποινικό αδίκημα και τιμωρούνται με ποινή φυλάκισης με εργασία έως δύο έτη ή πρόστιμο έως ένα εκατομμύριο γιεν (100). Αν και η απαίτηση αυτή δεν είναι απόλυτη και, συγκεκριμένα, προβλέπει μέτρα που παραβιάζουν το απόρρητο των επικοινωνιών τα οποία θεωρούνται «δικαιολογημένες πράξεις» κατά την έννοια του άρθρου 35 του Ποινικού Κώδικα (101), η εξαίρεση αυτή δεν καλύπτει την απάντηση σε μη υποχρεωτικά αιτήματα από δημόσιες αρχές για την αποκάλυψη ηλεκτρονικών πληροφοριών σύμφωνα με το άρθρο 197 παράγραφος 2 του ΚΠΔ.
                  
               3.2.1.3.   Περαιτέρω χρήση των συλλεγόμενων πληροφοριών
         
         
                     (130)
                  
                  
                     Όταν περιέρχονται στην κατοχή των ιαπωνικών δημόσιων αρχών, οι προσωπικές πληροφορίες εμπίπτουν στο πεδίο εφαρμογής του ΝΠΠΠΚΔΟ. Ο εν λόγω νόμος ρυθμίζει τον χειρισμό (επεξεργασία) των «διατηρούμενων προσωπικών πληροφοριών» και επιβάλλει σχετικά μια σειρά περιορισμών και εγγυήσεων (βλ. αιτιολογική σκέψη 118) (102). Επιπλέον, το γεγονός ότι ένα Διοικητικό Όργανο δύναται να διατηρεί προσωπικές πληροφορίες «μόνον όταν η διατήρηση είναι αναγκαία για τον χειρισμό των υποθέσεων της αρμοδιότητάς του όπως προβλέπεται από νόμους και κανονισμούς» (άρθρο 3 παράγραφος 1 του ΝΠΠΠΚΔΟ) επιβάλλει επίσης περιορισμούς —τουλάχιστον έμμεσα— στην αρχική συλλογή.
                  
               3.2.2.   Ανεξάρτητη εποπτεία
         
         
                     (131)
                  
                  
                     Στην Ιαπωνία, η συλλογή ηλεκτρονικών πληροφοριών στον τομέα της επιβολής της ποινικής νομοθεσίας εμπίπτει πρωτίστως (103) στις αρμοδιότητες της Νομαρχιακής Αστυνομίας (104), η οποία υπόκειται σχετικά σε διάφορα επίπεδα εποπτείας.
                  
               
                     (132)
                  
                  
                     Πρώτον, σε όλες τις περιπτώσεις συλλογής ηλεκτρονικών πληροφοριών με υποχρεωτικά μέσα (έρευνα και κατάσχεση), η αστυνομία πρέπει να πρώτα να έχει εξασφαλίσει δικαστικό ένταλμα (βλ. αιτιολογική σκέψη 121). Συνεπώς, η συλλογή στις περιπτώσεις αυτές ελέγχεται εκ των προτέρων από δικαστή, με βάση αυστηρό κριτήριο «επαρκούς αιτίας».
                  
               
                     (133)
                  
                  
                     Αν και δεν υπάρχει εκ των προτέρων έλεγχος από δικαστή στην περίπτωση αιτημάτων για οικειοθελή κοινοποίηση, οι επιχειρηματικοί φορείς στους οποίους απευθύνονται σχετικά αιτήματα μπορούν να την αρνηθούν χωρίς να διατρέχουν κίνδυνο για αρνητικές συνέπειες (και πρέπει να συνεκτιμούν τις επιπτώσεις της οποίας κοινοποίησης στην ιδιωτικότητα). Επιπροσθέτως, σύμφωνα με το άρθρο 192 παράγραφος 1 του ΚΠΔ, οι αξιωματικοί της αστυνομίας συνεργάζονται και συντονίζουν τις ενέργειές τους με την εισαγγελία (και τη Νομαρχιακή Επιτροπή Δημόσιας Ασφάλειας) (105). Με τη σειρά της, η εισαγγελία μπορεί να απευθύνει τις αναγκαίες γενικές οδηγίες διατυπώνοντας προδιαγραφές για μια σωστή έρευνα και/ή να εκδίδει ειδικές διαταγές σε σχέση με μεμονωμένες έρευνες (άρθρο 193 του ΚΠΔ). Όταν οι εν λόγω οδηγίες και/ή διαταγές δεν ακολουθούνται, η εισαγγελία μπορεί να ασκήσει πειθαρχική δίωξη (άρθρο 194 του ΚΠΔ). Συνεπώς, η Νομαρχιακή Αστυνομία λειτουργεί υπό την εποπτεία της εισαγγελίας.
                  
               
                     (134)
                  
                  
                     Δεύτερον, σύμφωνα με το άρθρο 62 του Συντάγματος, τα δύο Σώματα του ιαπωνικού κοινοβουλίου (της Δίαιτας) μπορούν να διενεργούν έρευνες που έχουν ως αντικείμενο την κυβέρνηση, μεταξύ άλλων σε σχέση με τη νομιμότητα της συλλογής πληροφοριών από την αστυνομία. Για τον σκοπό αυτό, μπορούν να ζητούν την παρουσία και κατάθεση μαρτύρων, και/ή την υποβολή αρχείων. Αυτές οι ερευνητικές αρμοδιότητες καθορίζονται περαιτέρω στον ιαπωνικό Νόμο περί της Δίαιτας, ιδίως δε στο κεφάλαιο XII. Συγκεκριμένα, το άρθρο 104 του Νόμου περί της Δίαιτας ορίζει ότι το Υπουργικό Συμβούλιο, οι κρατικοί οργανισμοί και τα άλλα μέρη της κυβέρνησης «πρέπει να συμμορφώνονται με τα αιτήματα Σώματος του Κοινοβουλίου ή επιτροπής του Κοινοβουλίου για την υποβολή εκθέσεων και αρχείων που είναι αναγκαία για την εξέταση του ενδεχομένου έρευνας». Η άρνηση συμμόρφωσης θεωρείται επιτρεπτή μόνον εάν η κυβέρνηση παράσχει πειστική αιτιολογία η οποία κρίνεται αποδεκτή από τη Δίαιτα, ή με την έκδοση επίσημης δήλωσης ότι η υποβολή των εκθέσεων ή αρχείων θα «ήταν εξαιρετικά ζημιογόνα για το εθνικό συμφέρον» (106). Επιπροσθέτως, τα μέλη της Δίαιτας μπορούν να καταθέτουν γραπτές ερωτήσεις στο Υπουργικό Συμβούλιο (άρθρα 74, 75 του Νόμου περί της Δίαιτας), και κατά το παρελθόν τέτοιες «γραπτές ερωτήσεις» είχαν επίσης ως αντικείμενο τον χειρισμό προσωπικών πληροφοριών από τη διοίκηση (107). Ο ρόλος της Δίαιτας στην εποπτεία της εκτελεστικής εξουσίας υποστηρίζεται από τις υποχρεώσεις υποβολής εκθέσεων, π.χ. σύμφωνα με το άρθρο 29 του Νόμου για την Παρακολούθηση Τηλεπικοινωνιών.
                  
               
                     (135)
                  
                  
                     Τρίτον, επίσης στο πλαίσιο του εκτελεστικού σκέλους, η Νομαρχιακή Αστυνομία υπόκειται σε ανεξάρτητη εποπτεία. Εδώ υπάγονται ειδικότερα οι Νομαρχιακές Επιτροπές Δημόσιας Ασφάλειας που έχουν συσταθεί σε νομαρχιακό επίπεδο για τη διασφάλιση της δημοκρατικής διοίκησης και της πολιτικής ουδετερότητας της αστυνομίας (108). Οι επιτροπές αυτές αποτελούνται από μέλη τα οποία διορίζονται από τον Νομαρχιακό Κυβερνήτη με την έγκριση της Νομαρχιακής Συνέλευσης (μεταξύ των πολιτών χωρίς θέση δημόσιου αξιωματούχου στην αστυνομία κατά τα πέντε τελευταία έτη) και ασκούν μόνιμη θητεία (συγκεκριμένα, υπάρχει δυνατότητα αποπομπής τους μόνον εάν συντρέχουν σοβαροί λόγοι) (109). Με βάση τις πληροφορίες που δόθηκαν, δεν δέχονται εντολές και μπορούν, συνεπώς, να θεωρηθούν απολύτως ανεξάρτητες (110). Σε ό,τι αφορά τα καθήκοντα και τις εξουσίες των Νομαρχιακών Επιτροπών Δημόσιας Ασφάλειας, σύμφωνα με το άρθρο 38 παράγραφος 3 σε συνδυασμό με το άρθρο 2 και το άρθρο 36 παράγραφος 2 του Νόμου περί Αστυνομίας, αυτές είναι υπεύθυνες για «την προστασία [των] δικαιωμάτων και ελευθεριών ενός ατόμου». Για τον σκοπό αυτό, έχουν την εξουσία να «εποπτεύουν» (111) όλες τις ερευνητικές δραστηριότητες της Νομαρχιακής Αστυνομίας, συμπεριλαμβανομένης της συλλογής δεδομένων προσωπικού χαρακτήρα. Κυρίως, οι επιτροπές «μπορούν να κατευθύνουν τη [Ν]ομαρχιακή [Α]στυνομία λεπτομερώς ή σε συγκεκριμένη μεμονωμένη υπόθεση επιθεώρησης παραπτώματος αστυνομικού προσωπικού, αν χρειάζεται» (112). Όταν ο/η Αρχηγός της Νομαρχιακής Αστυνομίας (113) λάβει σχετική καθοδήγηση ή αντιληφθεί ο ίδιος/η ίδια πιθανή υπόθεση παραπτώματος (π.χ. παράβαση νόμων ή άλλη παράβαση καθήκοντος), πρέπει να προχωρήσει αμέσως σε έλεγχο σχετικά με την υπόθεση και να αναφέρει το πόρισμα του ελέγχου στη Νομαρχιακή Επιτροπή Δημόσιας Ασφάλειας (άρθρο 56 παράγραφος 3 του Νόμου περί Αστυνομίας). Αν η εν λόγω Επιτροπή το κρίνει αναγκαίο, μπορεί επίσης να αναθέσει σε ένα από τα μέλη της επισκόπηση της κατάστασης εφαρμογής. Η διαδικασία συνεχίζεται έως ότου η Νομαρχιακή Επιτροπή Δημόσιας Ασφάλειας δηλώσει ικανοποιημένη από τον τρόπο αντιμετώπισης του περιστατικού.
                  
               
                     (136)
                  
                  
                     Επιπροσθέτως, όσον αφορά την ορθή εφαρμογή του ΝΠΠΠΚΔΟ, ο αρμόδιος υπουργός ή επικεφαλής οργανισμού (δηλαδή ο Γενικός Επίτροπος της ΕΑΥ) κατέχει εξουσία επιβολής, με την επιφύλαξη της εποπτείας από το Υπουργείο Εσωτερικών Υποθέσεων και Επικοινωνιών (ΥΕΕ). Σύμφωνα με το άρθρο 49 του ΝΠΠΠΚΔΟ, το ΥΕΕ «μπορεί να λαμβάνει εκθέσεις σχετικά με την κατάσταση εφαρμογής του εν λόγω Νόμου» από τους προϊσταμένους των Διοικητικών Οργάνων (Υπουργός). Αυτή η εποπτική λειτουργία υποστηρίζεται από τα 51 «ολοκληρωμένα κέντρα πληροφόρησης» του ΥΕΕ (ένα σε κάθε νομαρχία της Ιαπωνίας) τα οποία διεκπεραιώνουν κάθε χρόνο χιλιάδες ερωτήσεις από άτομα (114) (που μπορεί, με τη σειρά τους, να φέρουν στο φως πιθανές παραβάσεις του νόμου). Εάν το θεωρεί αναγκαίο για τη διασφάλιση της συμμόρφωσης με τον Νόμο, το ΥΕΕ δύναται να ζητεί εξηγήσεις και υποβολή υλικού, και να εκδίδει γνωμοδοτήσεις, σχετικά με τον χειρισμό των προσωπικών πληροφοριών από το αντίστοιχο Διοικητικό Όργανο (άρθρα 50, 51 του ΝΠΠΠΚΔΟ).
                  
               3.2.3.   Ατομική προσφυγή
         
         
                     (137)
                  
                  
                     Εκτός από την αυτεπάγγελτη εποπτεία, τα μεμονωμένα άτομα έχουν επίσης δυνατότητες να προσφύγουν ατομικά, τόσο μέσω ανεξάρτητων αρχών (όπως οι Νομαρχιακές Επιτροπές Δημόσιας Ασφάλειας ή η ΕΠΠ) όσο και ενώπιον των ιαπωνικών δικαστηρίων.
                  
               
                     (138)
                  
                  
                     Κατά πρώτον, όσον αφορά τις προσωπικές πληροφορίες που συλλέγονται από Διοικητικά Όργανα, τα εν λόγω όργανα υποχρεούνται να «προσπαθούν να διεκπεραιώσουν σωστά και γρήγορα τις καταγγελίες» σχετικά με τη μεταγενέστερη επεξεργασία των πληροφοριών (άρθρο 48 του ΝΠΠΠΚΔΟ). Αν και το κεφάλαιο IV του ΝΠΠΠΚΔΟ σχετικά με τα ατομικά δικαιώματα δεν έχει εφαρμογή στις προσωπικές πληροφορίες που είναι καταχωρισμένες σε «έγγραφα που σχετίζονται με δίκες και κατασχεθέντα αντικείμενα» (άρθρο 53-2 παράγραφος 2 του ΚΠΔ) —στις οποίες περιλαμβάνονται οι προσωπικές πληροφορίες που συλλέγονται στο πλαίσιο ποινικών ερευνών — ένα άτομο δύναται να υποβάλει καταγγελία επικαλούμενο τις γενικές αρχές προστασίας των δεδομένων, όπως π.χ. την υποχρέωση για διατήρηση προσωπικών πληροφοριών μόνον «όταν η διατήρηση είναι αναγκαία για την εκτέλεση [αρμοδιοτήτων επιβολής του νόμου]» (άρθρο 3 παράγραφος 1 του ΝΠΠΠΚΔΟ).
                  
               
                     (139)
                  
                  
                     Επιπλέον, το άρθρο 79 του Νόμου περί Αστυνομίας εγγυάται στα άτομα που έχουν ανησυχίες σχετικά με την «εκτέλεση των καθηκόντων» από το αστυνομικό προσωπικό το δικαίωμα υποβολής καταγγελίας στην (αρμόδια) ανεξάρτητη Νομαρχιακή Επιτροπή Δημόσιας Ασφάλειας. Η εν λόγω Επιτροπή διεκπεραιώνει «ευσυνείδητα» τις καταγγελίες αυτές σύμφωνα με τη νομοθεσία και τα κατά τόπους διατάγματα και κοινοποιεί εγγράφως τα πορίσματα στον καταγγέλλοντα. Στο πλαίσιο της εξουσίας της για εποπτεία και «καθοδήγηση» της Νομαρχιακής Αστυνομίας όσον αφορά τα «παραπτώματα του προσωπικού» (άρθρα 38 παράγραφος 3 και 43-2 παράγραφος 1 του Νόμου περί Αστυνομίας), η Επιτροπή μπορεί να ζητήσει από τη Νομαρχιακή Αστυνομία να ερευνήσει τα γεγονότα, να λάβει τα κατάλληλα μέτρα με βάση την έκβαση της έρευνας και να υποβάλει έκθεση σχετικά με τα αποτελέσματα. Αν κρίνει ότι η έρευνα που διενεργήθηκε από την Αστυνομία δεν ήταν ικανοποιητική, η Επιτροπή μπορεί επίσης να παράσχει οδηγίες σχετικά με τον χειρισμό της καταγγελίας.
                  
               
                     (140)
                  
                  
                     Για να διευκολυνθεί η διεκπεραίωση των καταγγελιών, η ΕΑΥ εξέδωσε «Ανακοίνωση» προς την Αστυνομία και τις Νομαρχιακές Επιτροπές Δημόσιας Ασφάλειας σχετικά με τον σωστό χειρισμό των καταγγελιών που σχετίζονται με την εκτέλεση των καθηκόντων από τους αστυνομικούς. Στο έγγραφο αυτό, η ΕΑΥ θεσπίζει πρότυπα για την ερμηνεία και την εφαρμογή του άρθρου 79 του Νόμου περί Αστυνομίας. Μεταξύ άλλων, ορίζεται ότι η Νομαρχιακή Αστυνομία πρέπει να θεσπίσει «σύστημα για τη διεκπεραίωση των καταγγελιών» και να διεκπεραιώνει και να υποβάλει «αμέσως» αναφορά για όλες τις καταγγελίες στην αρμόδια Νομαρχιακή Επιτροπή Δημόσιας Ασφάλειας. Η Ανακοίνωση ορίζει τις καταγγελίες ως αξιώσεις με τις οποίες ζητείται η διόρθωση «ειδικού μειονεκτήματος που προκλήθηκε ως αποτέλεσμα παράνομης ή ανάρμοστης συμπεριφοράς» (115) ή «της μη λήψης αναγκαίων μέτρων από αστυνομικό κατά την εκτέλεση των καθηκόντων του/της» (116), καθώς και κάθε «παράπονο ή έκφραση δυσαρέσκειας για ανάρμοστο τρόπο εκτέλεσης από αστυνομικό των καθηκόντων του/της». Ως εκ τούτου, δίνεται ένας ευρύς ορισμός για το καθ’ ύλην πεδίο εφαρμογής μιας καταγγελίας, το οποίο καλύπτει κάθε αξίωση για παράνομη συλλογή δεδομένων, και ο καταγγέλλων δεν υποχρεούται να αποδείξει ότι υπέστη βλάβη ως αποτέλεσμα των ενεργειών του/της αστυνομικού. Ένα σημαντικό στοιχείο που ορίζεται στην Ανακοίνωση είναι ότι στους αλλοδαπούς (μεταξύ άλλων) παρέχεται συνδρομή για τη σύνταξη καταγγελίας. Όταν υποβάλλεται μια καταγγελία, οι Νομαρχιακές Επιτροπές Δημόσιας Ασφάλειας υποχρεούνται να μεριμνούν ώστε η Νομαρχιακή Αστυνομία να εξετάζει τα γεγονότα, να εφαρμόζει μέτρα «σύμφωνα με το πόρισμα της εξέτασης» και να υποβάλλει έκθεση σχετικά με τα αποτελέσματα. Όταν η Επιτροπή θεωρεί ότι η εξέταση είναι ανεπαρκής, εκδίδει οδηγίες σχετικά με τον χειρισμό της καταγγελίας, τις οποίες υποχρεούται να ακολουθήσει η Νομαρχιακή Αστυνομία. Με βάση τις εκθέσεις που της υποβάλλονται και τα μέτρα που έχουν ληφθεί, η Επιτροπή ενημερώνει τον καταγγέλλοντα αναφέροντας, μεταξύ άλλων, τα μέτρα που λήφθηκαν για την αντιμετώπιση της καταγγελίας. Η Ανακοίνωση της ΕΑΥ υπογραμμίζει ότι οι καταγγελίες πρέπει να διεκπεραιώνονται με «εντιμότητα» και ότι το αποτέλεσμα πρέπει να κοινοποιείται «εντός του χρονικού διαστήματος […] που θεωρείται ενδεδειγμένο με βάση τα κοινωνικά πρότυπα και την κοινή λογική».
                  
               
                     (141)
                  
                  
                     Δεύτερον, με δεδομένο ότι η προσφυγή πρέπει, όπως είναι φυσικό, να ασκηθεί στην αλλοδαπή σε ξένο σύστημα και σε ξένη γλώσσα, προκειμένου να διευκολυνθεί η προσφυγή για τους πολίτες της ΕΕ των οποίων τα δεδομένα προσωπικού χαρακτήρα διαβιβάζονται σε επιχειρηματικούς φορείς στην Ιαπωνία και, ακολούθως, καθίστανται προσβάσιμα από δημόσιες αρχές, η ιαπωνική κυβέρνηση αποφάσισε να δημιουργήσει ειδικό μηχανισμό, υπό τη διαχείριση και εποπτεία της ΕΠΠ, για τον χειρισμό και την επίλυση των καταγγελιών σε αυτόν τον τομέα. Ο εν λόγω μηχανισμός στηρίζεται στην υποχρέωση συνεργασίας η οποία επιβάλλεται στις ιαπωνικές δημόσιες αρχές βάσει του ΝΠΠΠ και στον ειδικό ρόλο της ΕΠΠ στις διεθνείς διαβιβάσεις δεδομένων από τρίτες χώρες βάσει του άρθρου 6 του ΝΠΠΠ και της Βασικής Πολιτικής (όπως καθορίστηκε από την ιαπωνική κυβέρνηση μέσω Διατάγματος του Υπουργικού Συμβουλίου). Οι λεπτομέρειες αυτού του μηχανισμού περιγράφονται στις επίσημες παρουσιάσεις, διασφαλίσεις και δεσμεύσεις που υποβλήθηκαν από την ιαπωνική κυβέρνηση και επισυνάπτονται στην παρούσα απόφαση ως παράρτημα II. Ο μηχανισμός δεν υπόκειται σε καμία απαίτηση νομιμοποίησης και είναι ανοικτός σε οποιοδήποτε άτομο, ανεξάρτητα από το αν αυτό είναι ύποπτο ή κατηγορείται για ποινικό αδίκημα.
                  
               
                     (142)
                  
                  
                     Βάσει του μηχανισμού, ένα άτομο που έχει την υποψία ότι τα διαβιβασθέντα από την Ευρωπαϊκή Ένωση δεδομένα του συλλέχθηκαν ή χρησιμοποιήθηκαν από δημόσιες αρχές στην Ιαπωνία (συμπεριλαμβανομένων των αρχών που είναι αρμόδιες για την επιβολή της ποινικής νομοθεσίας) κατά παράβαση των ισχυόντων κανόνων μπορεί να υποβάλει καταγγελία στην ΕΠΠ (ατομικά ή μέσω της αρχής προστασίας δεδομένων στην οποία υπάγεται κατά την έννοια του άρθρου 51 του ΓΚΠΔ). Η ΕΠΠ υποχρεούται να διεκπεραιώσει την καταγγελία και σε πρώτη φάση να ενημερώσει σχετικά τις αρμόδιες δημόσιες αρχές, συμπεριλαμβανομένων των αντίστοιχων εποπτικών φορέων. Οι εν λόγω αρχές υποχρεούνται να συνεργαστούν με την ΕΠΠ, «μεταξύ άλλων παρέχοντας τις αναγκαίες πληροφορίες και το σχετικό υλικό, προκειμένου η ΕΠΠ να μπορεί να αξιολογήσει κατά πόσο η συλλογή ή η επακόλουθη χρήση προσωπικών πληροφοριών πραγματοποιήθηκε σε συμμόρφωση με τους ισχύοντες κανόνες» (117). Η υποχρέωση αυτή, η οποία απορρέει από το άρθρο 80 του ΝΠΠΠ (το οποίο υποχρεώνει τις ιαπωνικές δημόσιες αρχές να συνεργάζονται με την ΕΠΠ), έχει γενική εφαρμογή και, ως εκ τούτου, επεκτείνεται στην επανεξέταση τυχόν ερευνητικών μέτρων που έχουν ληφθεί από τις εν λόγω αρχές, οι οποίες επιπλέον έχουν δεσμευτεί για την εν λόγω συνεργασία μέσω γραπτών διαβεβαιώσεων από τα αρμόδια υπουργεία και τους αρμόδιους επικεφαλής οργανισμών, όπως αναφέρεται στο παράρτημα ΙΙ.
                  
               
                     (143)
                  
                  
                     Αν η αξιολόγηση καταδείξει ότι υπήρξε πράγματι παράβαση των εφαρμοστέων κανόνων, «η συνεργασία των αντίστοιχων δημόσιων αρχών με την ΕΠΠ εμπεριέχει την υποχρέωση επανόρθωσης της παράβασης», η οποία σε περίπτωση παράνομης συλλογής προσωπικών πληροφοριών περιλαμβάνει τη διαγραφή των εν λόγω δεδομένων. Είναι σημαντικό ότι η υποχρέωση αυτή εκπληρώνεται υπό την επίβλεψη της ΕΠΠ η οποία «επιβεβαιώνει, πριν από την ολοκλήρωση της αξιολόγησης, ότι υπήρξε πλήρης επανόρθωση της παράβασης».
                  
               
                     (144)
                  
                  
                     Μετά την ολοκλήρωση της αξιολόγησης, η ΕΠΠ ενημερώνει, εντός ευλόγου χρονικού διαστήματος, το άτομο για το αποτέλεσμα της αξιολόγησης, συμπεριλαμβανομένων των διορθωτικών μέτρων που ενδεχομένως έχουν ληφθεί. Παράλληλα, η ΕΠΠ ενημερώνει επίσης το άτομο σχετικά με τη δυνατότητα να ζητήσει επιβεβαίωση του αποτελέσματος από την αρμόδια δημόσια αρχή και σχετικά με την ταυτότητα της αρχής στην οποία πρέπει να υποβληθεί το εν λόγω αίτημα επιβεβαίωσης. Η δυνατότητα εξασφάλισης μιας τέτοιας επιβεβαίωσης, συμπεριλαμβανομένων των λόγων στους οποίους θεμελιώθηκε η απόφαση της αρμόδιας αρχής, μπορεί να βοηθήσει το άτομο στα επόμενα βήματά του, συμπεριλαμβανομένης της περίπτωσης δικαστικής προσφυγής. Οι λεπτομέρειες σχετικά με το αποτέλεσμα της αξιολόγησης μπορεί να είναι περιορισμένες όταν θεωρείται ευλόγως ότι η γνωστοποίηση αυτών των πληροφοριών είναι πιθανό να θέσει σε κίνδυνο την υπό εξέλιξη έρευνα.
                  
               
                     (145)
                  
                  
                     Τρίτον, ένα άτομο που διαφωνεί με απόφαση κατάσχεσης (ένταλμα) (118) που έχει εκδοθεί από δικαστή σχετικά με δεδομένα προσωπικού χαρακτήρα του, ή με τα μέτρα της αστυνομίας ή της εισαγγελίας για την εκτέλεση μιας τέτοιας απόφασης, μπορεί να υποβάλει αίτημα για ανάκληση ή τροποποίηση της εν λόγω απόφασης ή των εν λόγω μέτρων (άρθρο 429 παράγραφος 1, άρθρο 430 παράγραφοι 1 και 2 του ΚΠΔ, άρθρο 26 του Νόμου για την Παρακολούθηση Τηλεπικοινωνιών) (119). Στην περίπτωση που το αρμόδιο για την επανεξέταση δικαστήριο κρίνει ότι είτε το ένταλμα αυτό καθαυτό είτε η εκτέλεσή του («διαδικασία για την κατάσχεση») έχουν παράνομο χαρακτήρα, ικανοποιεί το αίτημα και διατάσσει την επιστροφή των κατασχεθέντων αντικειμένων (120).
                  
               
                     (146)
                  
                  
                     Τέταρτον, ως μια πιο έμμεση μορφή δικαστικού ελέγχου, ένα άτομο που θεωρεί ότι η συλλογή των προσωπικών πληροφοριών του στο πλαίσιο ποινικής έρευνας ήταν παράνομη δύναται, στην ποινική δίκη του, να επικαλεστεί αυτόν τον παράνομο χαρακτήρα. Αν το δικαστήριο συμφωνήσει, αυτό θα έχει ως αποτέλεσμα την εξαίρεση των αποδεικτικών στοιχείων ως μη παραδεκτών.
                  
               
                     (147)
                  
                  
                     Τέλος, βάσει του άρθρου 1 παράγραφος 1 του Νόμου περί Προσφυγών κατά του Δημοσίου, ένα δικαστήριο μπορεί να επιδικάσει αποζημίωση όταν ένας δημόσιος αξιωματούχος που ασκεί τη δημόσια εξουσία του Κράτους έχει, κατά την άσκηση των καθηκόντων του, παρανόμως και υπαιτίως (εσκεμμένα ή εξ αμελείας) προκαλέσει βλάβη στο ενδιαφερόμενο άτομο. Σύμφωνα με το άρθρο 4 του Νόμου περί Προσφυγών κατά του Δημοσίου, η υποχρέωση του Δημοσίου για καταβολή αποζημίωσης απορρέει από τις διατάξεις του Αστικού Κώδικα. Το άρθρο 710 του Αστικού Κώδικα ορίζει σχετικά ότι η υποχρέωση καλύπτει επίσης την αποζημίωση για βλάβη πέραν της περιουσίας, δηλαδή για ηθική βλάβη (π.χ. υπό μορφή «ψυχικής οδύνης»). Αυτό περιλαμβάνει περιπτώσεις στις οποίες η ιδιωτικότητα ενός ατόμου έχει παραβιαστεί λόγω παράνομης παρακολούθησης και/ή της συλλογής των προσωπικών πληροφοριών του (π.χ. λόγω της παράνομης εκτέλεσης ενός εντάλματος) (121).
                  
               
                     (148)
                  
                  
                     Εκτός από τη χρηματική αποζημίωση, ένα άτομο μπορεί υπό ορισμένες προϋποθέσεις να επιτύχει επίσης δικαστική προστασία (π.χ. τη διαγραφή δεδομένων προσωπικού χαρακτήρα που έχουν συλλεχθεί από δημόσιες αρχές) με βάση τα δικαιώματά του στην ιδιωτικότητα δυνάμει του άρθρου 13 του Συντάγματος (122).
                  
               
                     (149)
                  
                  
                     Όσον αφορά όλα τα ανωτέρω μέσα προσφυγής, ο μηχανισμός επίλυσης διαφορών που έχει καθιερώσει η ιαπωνική κυβέρνηση ορίζει ότι ένα άτομο που παραμένει μη ικανοποιημένο από την έκβαση της διαδικασίας μπορεί να απευθυνθεί στην ΕΠΠ «η οποία θα ενημερώσει το άτομο για τις διάφορες δυνατότητες και τις αναλυτικές διαδικασίες προσφυγής βάσει των ιαπωνικών νόμων και κανονισμών». Επιπροσθέτως, η ΕΠΠ «θα παράσχει στο άτομο υποστήριξη, συμπεριλαμβανομένης της παροχής συμβουλών και της συνδρομής για άσκηση περαιτέρω προσφυγής ενώπιον του σχετικού διοικητικού ή δικαστικού σώματος».
                  
               
                     (150)
                  
                  
                     Σε αυτό περιλαμβάνεται η χρήση των διαδικαστικών δικαιωμάτων βάσει του Κώδικα Ποινικής Δικονομίας. Για παράδειγμα, «[ό]ταν η αξιολόγηση αποκαλύψει ότι ένα άτομο είναι ύποπτο σε ποινική υπόθεση, η ΕΠΠ ενημερώνει το άτομο για το γεγονός αυτό» (123) καθώς και για τη δυνατότητα σύμφωνα με το άρθρο 259 του ΚΠΔ να ζητήσει από την εισαγγελία να ειδοποιηθεί όταν η τελευταία αποφασίσει να μην ασκήσει ποινική δίωξη. Επίσης, αν η αξιολόγηση αποκαλύψει ότι μια υπόθεση στην οποία ενέχονται οι προσωπικές πληροφορίες του ατόμου έχει ανοίξει και ότι η υπόθεση έχει κλείσει, η ΕΠΠ θα ενημερώσει το άτομο ότι μπορεί να εξετάσει τη δικογραφία σύμφωνα με το άρθρο 53 του ΚΠΔ (και το άρθρο 4 του Νόμου σχετικά με τις Τελικές Ποινικές Δικογραφίες). Η δυνατότητα πρόσβασης στη δικογραφία του είναι σημαντική καθώς βοηθά το άτομο να κατανοήσει καλύτερα την έρευνα που διενεργήθηκε εις βάρος του και, συνεπώς, να προετοιμαστεί για ενδεχόμενη δικαστική προσφυγή (π.χ. αγωγή αποζημίωσης) εάν θεωρεί ότι τα δεδομένα του συλλέχθηκαν ή χρησιμοποιήθηκαν παρανόμως.
                  
               3.3.   Πρόσβαση και χρήση από τις δημόσιες αρχές της Ιαπωνίας για σκοπούς εθνικής ασφάλειας
         
         
                     (151)
                  
                  
                     Σύμφωνα με τις ιαπωνικές αρχές, δεν υπάρχει στην Ιαπωνία νόμος που να επιτρέπει υποχρεωτικά αιτήματα για παροχή πληροφοριών ή «διοικητική παρακολούθηση τηλεπικοινωνιών» εκτός του πλαισίου των ποινικών ερευνών. Ως εκ τούτου, για λόγους εθνικής ασφάλειας, πληροφορίες μπορούν να λαμβάνονται μόνον από πηγή πληροφοριών που είναι ελεύθερα προσβάσιμη από όλους ή με οικειοθελή κοινοποίηση. Οι επιχειρηματικοί φορείς που λαμβάνουν αίτημα για οικειοθελή συνεργασία (με τη μορφή κοινοποίησης ηλεκτρονικών πληροφοριών) δεν έχουν νομική υποχρέωση να παράσχουν τις πληροφορίες αυτές (124).
                  
               
                     (152)
                  
                  
                     Επίσης, σύμφωνα με τις πληροφορίες που υποβλήθηκαν, μόνον τέσσερις κρατικοί φορείς εξουσιοδοτούνται να συλλέγουν ηλεκτρονικές πληροφορίες που τηρούνται από επιχειρηματικούς φορείς της Ιαπωνίας για λόγους εθνικής ασφάλειας, και συγκεκριμένα: i) το Γραφείο Πληροφοριών και Έρευνας του Υπουργικού Συμβουλίου (ΓΠΕΥΣ)· ii) το Υπουργείο Άμυνας («ΥΑ»)· iii) η αστυνομία [τόσο η Εθνική Αστυνομική Υπηρεσία (ΕΑΥ) (125) όσο και η Νομαρχιακή Αστυνομία]· και iv) ο Οργανισμός Πληροφοριών για τη Δημόσια Ασφάλεια («ΟΠΔΑ»). Ωστόσο, το ΓΠΕΥΣ δεν συλλέγει ποτέ πληροφορίες απευθείας από επιχειρηματικούς φορείς, ούτε μέσω υποκλοπής επικοινωνιών. Όταν λαμβάνει πληροφορίες από άλλες κρατικές αρχές προκειμένου να παρέχει αναλύσεις στο Υπουργικό Συμβούλιο, οι εν λόγω άλλες αρχές με τη σειρά τους οφείλουν να συμμορφώνονται με τη νομοθεσία, συμπεριλαμβανομένων των περιορισμών και των εγγυήσεων που αναλύονται στην παρούσα απόφαση. Οι δραστηριότητές του δεν άπτονται, συνεπώς, του τομέα των διαβιβάσεων.
                  
               3.3.1.   Νομική βάση και εφαρμοστέοι περιορισμοί/εγγυήσεις
         
         
                     (153)
                  
                  
                     Σύμφωνα με τα στοιχεία που έχουν υποβληθεί, το ΥΑ συλλέγει (ηλεκτρονικές) πληροφορίες με βάση τον Ιδρυτικό Νόμο του ΥΑ. Σύμφωνα με το άρθρο 3, αποστολή του ΥΑ είναι η διαχείριση και λειτουργία του στρατεύματος και «η διεκπεραίωση των υποθέσεων που σχετίζονται μ’ αυτό με στόχο την εγγύηση της ειρήνης και της εθνικής ανεξαρτησίας, καθώς και της ασφάλειας του έθνους». Το άρθρο 4 παράγραφος 4 ορίζει ότι το ΥΑ είναι αρμόδιο για την «άμυνα και προστασία», για τις επιχειρήσεις των αμυντικών δυνάμεων καθώς για την ανάπτυξη των στρατιωτικών δυνάμεων, συμπεριλαμβανομένης της συλλογής των αναγκαίων πληροφοριών για τη διεκπεραίωση αυτών των υποθέσεων. Μπορεί να συλλέγει (ηλεκτρονικές) πληροφορίες από επιχειρηματικούς φορείς μόνο μέσω οικειοθελούς συνεργασίας.
                  
               
                     (154)
                  
                  
                     Όσον αφορά τη Νομαρχιακή Αστυνομία, οι αρμοδιότητες και τα καθήκοντά της περιλαμβάνουν τη «διατήρηση της δημόσιας ασφάλειας και τάξης» (άρθρο 35 παράγραφος 2 σε συνδυασμό με το άρθρο 2 παράγραφος 1 του Νόμου περί Αστυνομίας). Σ’ αυτό το πλαίσιο δικαιοδοσίας, η αστυνομία δύναται να συλλέγει πληροφορίες, αλλά μόνο σε οικειοθελή βάση χωρίς νομική ισχύ. Εξάλλου, οι δραστηριότητες της αστυνομίας «περιορίζονται αυστηρά» σε ό,τι είναι αναγκαίο για την εκτέλεση των καθηκόντων της. Επιπροσθέτως, η αστυνομία ενεργεί με «αμεροληψία, δικαιοσύνη, ακομμάτιστα και χωρίς προκαταλήψεις» και δεν καταχράται ποτέ την εξουσία της «με τρόπο που υπονομεύει τα δικαιώματα και τις ελευθερίες του ατόμου που κατοχυρώνονται στο Σύνταγμα της Ιαπωνίας» (άρθρο 2 του Νόμου περί Αστυνομίας).
                  
               
                     (155)
                  
                  
                     Τέλος, ο ΟΠΔΑ μπορεί να διενεργεί έρευνες στο πλαίσιο του Νόμου περί Πρόληψης της Ανατρεπτικής Δράσης («ΝΠΑΔ») και του Νόμου για τον Έλεγχο Οργανώσεων που έχουν τελέσει Πράξεις Μαζικής Δολοφονίας χωρίς Διάκριση («ΝΕΟ») όταν οι εν λόγω έρευνες είναι αναγκαίες για την προετοιμασία της θέσπισης μέτρων ελέγχου κατά ορισμένων οργανώσεων (126). Βάσει των δύο αυτών Νόμων, κατόπιν αιτήματος του Γενικού Διευθυντή του ΟΠΔΑ, η Επιτροπή Εξέτασης Δημόσιας Ασφάλειας μπορεί να εκδίδει ορισμένες «διευθετήσεις» (παρακολούθηση/απαγορεύσεις στην περίπτωση του ΝΕΟ (127), διάλυση/απαγορεύσεις στην περίπτωση του ΝΠΑΔ (128)) και σε αυτό το πλαίσιο ο ΟΠΔΑ μπορεί να διενεργεί έρευνες (129). Σύμφωνα με τα στοιχεία που έχουν υποβληθεί, οι έρευνες αυτές διενεργούνται πάντοτε οικειοθελώς, το οποίο σημαίνει ότι ο ΟΠΔΑ δεν μπορεί να υποχρεώσει έναν κάτοχο προσωπικών πληροφοριών να παράσχει πληροφορίες (130). Οι έλεγχοι και οι έρευνες πρέπει, κάθε φορά, να διενεργούνται μόνο στην ελάχιστη αναγκαία έκταση για την επίτευξη του σκοπού του ελέγχου και δεν πρέπει να πραγματοποιούνται σε καμία περίπτωση με σκοπό τον «παράλογο» περιορισμό των δικαιωμάτων και των ελευθεριών που εγγυάται το Σύνταγμα της Ιαπωνίας (άρθρο 3 παράγραφος 1 του ΝΠΑΔ/ΝΕΟ). Επιπροσθέτως, σύμφωνα με το άρθρο 3 παράγραφος 2 του ΝΠΑΔ/ΝΕΟ, ο ΟΠΔΑ δεν πρέπει σε καμία περίπτωση να καταχράται αυτούς τους ελέγχους, ή τις έρευνες που πραγματοποιούνται για την προετοιμασία αυτών των ελέγχων. Εάν αξιωματικός του Οργανισμού Πληροφοριών για τη Δημόσια Ασφάλεια έχει καταχραστεί την εξουσία του/της δυνάμει του αντίστοιχου Νόμου εξαναγκάζοντας ένα πρόσωπο να κάνει κάτι για το οποίο δεν είναι υποχρεωμένο, ή παρεμποδίζοντας την άσκηση των δικαιωμάτων ενός προσώπου, μπορεί να υποστεί ποινικές κυρώσεις βάσει του άρθρου 45 του ΝΠΑΔ ή του άρθρου 42 του ΝΕΟ. Τέλος, και οι δύο Νόμοι ορίζουν ρητώς ότι οι διατάξεις τους, συμπεριλαμβανομένων των εκχωρούμενων εξουσιών, «δεν υπόκεινται σε καμία περίπτωση σε διευρυμένη ερμηνεία» (άρθρο 2 του ΝΠΑΔ/ΝΕΟ).
                  
               
                     (156)
                  
                  
                     Σε όλες τις περιπτώσεις κρατικής πρόσβασης για λόγους εθνικής ασφάλειας που περιγράφονται στην παρούσα ενότητα, ισχύουν οι περιορισμοί που έχουν θεσπιστεί από το Ανώτατο Δικαστήριο της Ιαπωνίας για τις οικειοθελείς έρευνες, πράγμα που σημαίνει ότι η συλλογή (ηλεκτρονικών) πληροφοριών πρέπει να συμμορφώνεται με τις αρχές της αναγκαιότητας και της αναλογικότητας («κατάλληλη μέθοδος») (131). Όπως επιβεβαίωσαν ρητά οι ιαπωνικές αρχές, «η συλλογή και η επεξεργασία πληροφοριών πραγματοποιούνται μόνο στον βαθμό που είναι αναγκαίος για την άσκηση συγκεκριμένων καθηκόντων της αρμόδιας δημόσιας αρχής, καθώς και βάσει συγκεκριμένων απειλών». Ως εκ τούτου, «αυτό αποκλείει τη μαζική και χωρίς διακρίσεις συλλογή ή πρόσβαση σε πληροφορίες προσωπικού χαρακτήρα για λόγους εθνικής ασφάλειας» (132).
                  
               
                     (157)
                  
                  
                     Επίσης, μετά τη συλλογή τους, οι προσωπικές πληροφορίες που διατηρούνται από δημόσιες αρχές για λόγους εθνικής ασφάλειας εμπίπτουν και, συνεπώς, επωφελούνται από τις διατάξεις προστασίας βάσει του ΝΠΠΠΚΔΟ όσον αφορά την επακόλουθη αποθήκευση, χρήση και κοινοποίηση (βλ. αιτιολογική σκέψη 118).
                  
               3.3.2.   Ανεξάρτητη εποπτεία
         
         
                     (158)
                  
                  
                     Η συλλογή προσωπικών πληροφοριών για λόγους εθνικής ασφάλειας υπόκειται σε διάφορα επίπεδα εποπτείας από τους τρεις κλάδους της κυβέρνησης.
                  
               
                     (159)
                  
                  
                     Κατά πρώτον, η ιαπωνική Δίαιτα (Κοινοβούλιο) με τις εξειδικευμένες επιτροπές της μπορεί να εξετάζει τη νομιμότητα των ερευνών στο πλαίσιο των αρμοδιοτήτων κοινοβουλευτικού ελέγχου (άρθρο 62 του συντάγματος, άρθρο 104 του Νόμου περί της Δίαιτας· βλ. αιτιολογική σκέψη 134). Αυτή η εποπτική λειτουργία υποστηρίζεται από τις ειδικές υποχρεώσεις υποβολής εκθέσεων σχετικά με τις δραστηριότητες που πραγματοποιούνται στο πλαίσιο ορισμένων από τις προαναφερόμενες νομικές βάσεις (133).
                  
               
                     (160)
                  
                  
                     Δεύτερον, η εκτελεστική εξουσία διαθέτει επίσης εποπτικούς μηχανισμούς.
                  
               
                     (161)
                  
                  
                     Όσον αφορά το ΥΑ, η εποπτεία ασκείται από την Υπηρεσία Νομικής Συμμόρφωσης (ΥΝΣ) του Γενικού Επιθεωρητή (134), η οποία συστάθηκε δυνάμει του άρθρου 29 του Ιδρυτικού Νόμου του ΥΑ ως υπηρεσία εντός του Υπουργείου Άμυνας υπό την επίβλεψη του Υπουργού Άμυνας (στον οποίο και υπάγεται) αλλά ανεξάρτητη από τα επιχειρησιακά τμήματα του ΥΑ. Η ΥΝΣ έχει καθήκον να διασφαλίζει τη συμμόρφωση με τους νόμους και τους κανονισμούς καθώς και την ορθή εκτέλεση των καθηκόντων από τους αξιωματούχους του ΥΑ. Στις αρμοδιότητές της περιλαμβάνεται η διενέργεια των λεγόμενων «Επιθεωρήσεων Άμυνας», ανά τακτά διαστήματα («Τακτικές Επιθεωρήσεις Άμυνας») και σε επιμέρους περιπτώσεις («Ειδικές Επιθεωρήσεις Άμυνας»), οι οποίες στο παρελθόν κάλυπταν επίσης τον σωστό χειρισμό των προσωπικών πληροφοριών (135). Στο πλαίσιο αυτών των επιθεωρήσεων, η ΥΝΣ μπορεί να εισέρχεται σε χώρους εργασίας (γραφεία) και να ζητεί την υποβολή εγγράφων ή πληροφοριών, συμπεριλαμβανομένων εξηγήσεων από τον Αναπληρωτή Υφυπουργό του ΥΑ. Η επιθεώρηση ολοκληρώνεται με υποβολή έκθεσης προς τον Υπουργό Άμυνας στην οποία παρουσιάζονται τα πορίσματα και τα μέτρα βελτίωσης (η εφαρμογή των οποίων μπορεί και πάλι να ελέγχεται μέσω περαιτέρω επιθεωρήσεων). Η έκθεση αποτελεί με τη σειρά της τη βάση για τις οδηγίες που δίνονται από τον Υπουργό Άμυνας με σκοπό την εφαρμογή των αναγκαίων μέτρων για την αντιμετώπιση της κατάστασης· ο Αναπληρωτής Υφυπουργός αναλαμβάνει την εκτέλεση των μέτρων και πρέπει να υποβάλλει εκθέσεις παρακολούθησης.
                  
               
                     (162)
                  
                  
                     Όσον αφορά τη Νομαρχιακή Αστυνομία, η εποπτεία διασφαλίζεται από τις ανεξάρτητες Νομαρχιακές Επιτροπές Δημόσιας Ασφάλειας, όπως εξηγείται στην αιτιολογική σκέψη 135 σχετικά με την επιβολή της ποινικής νομοθεσίας.
                  
               
                     (163)
                  
                  
                     Τέλος, όπως έχει αναφερθεί, ο ΟΠΔΑ μπορεί να διενεργεί έρευνες μόνο στον βαθμό που είναι αναγκαίο για την έκδοση διευθέτησης απαγόρευσης, διάλυσης ή παρακολούθησης βάσει των ΝΠΑΔ/ΝΕΟ, και για τις εν λόγω διατάξεις ασκεί εκ των προτέρων εποπτεία η ανεξάρτητη (136) Επιτροπή Εξέτασης Δημόσιας Ασφάλειας. Επιπροσθέτως, πραγματοποιούνται τακτικές/περιοδικές επιθεωρήσεις (οι οποίες εξετάζουν ολοκληρωμένα τις επιχειρήσεις του ΟΠΔΑ) (137) και ειδικές εσωτερικές επιθεωρήσεις (138) σχετικά με τις δραστηριότητες μεμονωμένων τμημάτων/υπηρεσιών κ.λπ. από ειδικά διορισμένους επιθεωρητές οι οποίες μπορεί να οδηγήσουν στη διατύπωση οδηγιών προς τους προϊσταμένους των αντίστοιχων τμημάτων κ.λπ. για τη λήψη διορθωτικών ή βελτιωτικών μέτρων.
                  
               
                     (164)
                  
                  
                     Οι εν λόγω εποπτικοί μηχανισμοί, που ενισχύονται περαιτέρω με τη δυνατότητα των ατόμων να προκαλούν παρέμβαση της ΕΠΠ υπό την ιδιότητα της ανεξάρτητης εποπτικής αρχής (βλέπε κατωτέρω αιτιολογική σκέψη 168), παρέχουν επαρκείς εγγυήσεις κατά του κινδύνου κατάχρησης από τις ιαπωνικές αρχές των εξουσιών τους στον τομέα της εθνικής ασφάλειας, και κατά της παράνομης συλλογής ηλεκτρονικών πληροφοριών.
                  
               3.3.3.   Ατομική προσφυγή
         
         
                     (165)
                  
                  
                     Όσον αφορά την ατομική προσφυγή, σε σχέση με προσωπικές πληροφορίες που συλλέγονται και, συνεπώς, «διατηρούνται» από Διοικητικά Όργανα, τα εν λόγω όργανα έχουν υποχρέωση να «προσπαθούν να διεκπεραιώσουν σωστά και γρήγορα τις καταγγελίες» σχετικά με αυτή την επεξεργασία (άρθρο 48 του ΝΠΠΠΚΔΟ).
                  
               
                     (166)
                  
                  
                     Επιπλέον, σε αντίθεση με τις ποινικές έρευνες, τα άτομα (συμπεριλαμβανομένων των αλλοδαπών υπηκόων που ζουν στο εξωτερικό) έχουν κατ’ αρχήν δικαίωμα κοινοποίησης (139), διόρθωσης (συμπεριλαμβανομένης της διαγραφής) και αναστολής της χρήσης/παροχής δυνάμει του ΝΠΠΠΚΔΟ. Ωστόσο, ο προϊστάμενος του Διοικητικού Οργάνου μπορεί να αρνηθεί την κοινοποίηση πληροφοριών «για τις οποίες μπορεί ευλόγως να θεωρηθεί […] ότι η κοινοποίηση είναι πιθανό να υπονομεύσει την εθνική ασφάλεια» [άρθρο 14 σημείο iv) του ΝΠΠΠΚΔΟ] και μάλιστα αυτό μπορεί να γίνει ακόμη και χωρίς να αποκαλυφθεί η ύπαρξη αυτών των πληροφοριών (άρθρο 17 του ΝΠΠΠΚΔΟ). Κατά τον ίδιο τρόπο, ενώ ένα άτομο μπορεί να ζητήσει αναστολή της χρήσης ή διαγραφή βάσει του άρθρου 36 παράγραφος 1 σημείο i) του ΝΠΠΠΚΔΟ σε περίπτωση που το Διοικητικό Όργανο έχει λάβει τις πληροφορίες παρανόμως ή τις διατηρεί/χρησιμοποιεί πέραν του αναγκαίου για την επίτευξη του καθορισμένου σκοπού, η αρχή μπορεί να αρνηθεί το αίτημα εάν κρίνει ότι η αναστολή της χρήσης «είναι πιθανό να παρεμποδίσει την ορθή διεκπεραίωση των υποθέσεων που άπτονται του σκοπού χρήσης των διατηρούμενων προσωπικών πληροφοριών λόγω της φύσης των εν λόγω υποθέσεων» (άρθρο 38 του ΝΠΠΠΚΔΟ). Πάντως, όταν είναι δυνατός ο εύκολος διαχωρισμός και παράλειψη των τμημάτων που υπόκεινται σε εξαίρεση, τα Διοικητικά Όργανα υποχρεούνται να χορηγούν τουλάχιστον μερική κοινοποίηση (βλ. π.χ. άρθρο 15 παράγραφος 1 του ΝΠΠΠΚΔΟ) (140).
                  
               
                     (167)
                  
                  
                     Σε κάθε περίπτωση, το Διοικητικό Όργανο πρέπει να λάβει γραπτή απόφαση εντός ορισμένης περιόδου (30 ημέρες, οι οποίες μπορεί υπό ορισμένες συνθήκες να παραταθούν για άλλες 30 ημέρες). Εάν το αίτημα απορριφθεί ή ικανοποιηθεί μόνον εν μέρει, ή εάν το άτομο θεωρήσει για άλλους λόγους ότι η συμπεριφορά του Διοικητικού Οργάνου ήταν «παράνομη ή άδικη», το εν λόγω άτομο δύναται να ζητήσει διοικητική επανεξέταση βάσει του Νόμου περί Εξέτασης των Διοικητικών Καταγγελιών (141). Σ’ αυτή την περίπτωση, ο προϊστάμενος του Διοικητικού Οργάνου που αποφασίζει σχετικά με την προσφυγή διαβουλεύεται με το Συμβούλιο Εξέτασης της Κοινοποίησης Πληροφοριών και της Προστασίας Προσωπικών Πληροφοριών (άρθρα 42 και 43 του ΝΠΠΠΚΔΟ), ένα εξειδικευμένο, ανεξάρτητο συμβούλιο τα μέλη του οποίου διορίζονται από τον Πρωθυπουργό με τη συγκατάθεση αμφότερων των Σωμάτων της Δίαιτας. Σύμφωνα με τα στοιχεία που έχουν υποβληθεί, το Συμβούλιο Εξέτασης μπορεί να διενεργήσει εξέταση (142) και, στο πλαίσιό της, να ζητήσει από το Διοικητικό Όργανο να παράσχει τις διατηρούμενες προσωπικές πληροφορίες, συμπεριλαμβανομένου του απόρρητου περιεχομένου, καθώς και περαιτέρω πληροφορίες και έγγραφα. Παρόλο που η τελική έκθεση που αποστέλλεται στον καταγγέλλοντα και στο Διοικητικό Όργανο και δημοσιοποιείται δεν είναι νομικά δεσμευτική, ακολουθείται σχεδόν σε όλες τις περιπτώσεις (143). Επιπροσθέτως, το άτομο έχει δυνατότητα να κινήσει δικαστική διαδικασία κατά της απόφασης σχετικά με την προσφυγή δυνάμει του Νόμου περί Προσφυγής σε Διοικητικές Υποθέσεις. Αυτό ανοίγει τον δρόμο για τον δικαστικό έλεγχο της χρήσης των εξαιρέσεων εθνικής ασφάλειας, συμπεριλαμβανομένου του αν μια εξαίρεση έχει χρησιμοποιηθεί καταχρηστικά ή είναι ακόμη δικαιολογημένη.
                  
               
                     (168)
                  
                  
                     Για να διευκολυνθεί η άσκηση των προαναφερόμενων δικαιωμάτων βάσει του ΝΠΠΠΚΔΟ, το ΥΕΕ ίδρυσε 51 «ολοκληρωμένα κέντρα πληροφόρησης» τα οποία παρέχουν συγκεντρωτικές πληροφορίες σχετικά με τα εν λόγω δικαιώματα, τις διαδικασίες που ισχύουν για την υποβολή αιτήματος και τα πιθανά μέσα προσφυγής (144). Όσον αφορά τα Διοικητικά Όργανα, υποχρεούνται να παρέχουν «πληροφορίες που συμβάλλουν στον προσδιορισμό των Διατηρούμενων Προσωπικών Πληροφοριών» (145) και να λαμβάνουν «άλλα κατάλληλα μέτρα με κριτήριο τη διευκόλυνση του προσώπου που προτίθεται να υποβάλει το αίτημα» (άρθρο 47 παράγραφος 1 του ΝΠΠΠΚΔΟ).
                  
               
                     (169)
                  
                  
                     Όπως και στην περίπτωση των ερευνών στον τομέα της επιβολής της ποινικής νομοθεσίας, στον τομέα της εθνικής ασφάλειας τα άτομα μπορούν επίσης να προσφύγουν ατομικά επικοινωνώντας απευθείας με την ΕΠΠ. Μ’ αυτόν τον τρόπο ενεργοποιείται η ειδική διαδικασία επίλυσης διαφορών που έχει δημιουργήσει η ιαπωνική κυβέρνηση για πολίτες της ΕΕ των οποίων τα δεδομένα προσωπικού χαρακτήρα διαβιβάζονται στο πλαίσιο της παρούσας απόφασης (βλ. αναλυτικές εξηγήσεις στις αιτιολογικές σκέψεις 141 έως 144, 149).
                  
               
                     (170)
                  
                  
                     Επιπροσθέτως, τα άτομα μπορούν να ασκούν δικαστική προσφυγή με τη μορφή αγωγής για αποζημίωση δυνάμει του Νόμου περί Προσφυγών κατά του Δημοσίου, ο οποίος καλύπτει και την ηθική βλάβη και, υπό ορισμένες συνθήκες, τη διαγραφή των συλλεγέντων δεδομένων (βλέπε αιτιολογική σκέψη 147).
                  
               4.   ΣΥΜΠΕΡΑΣΜΑ: ΕΠΑΡΚΕΣ ΕΠΙΠΕΔΟ ΠΡΟΣΤΑΣΙΑΣ ΓΙΑ ΤΑ ΔΕΔΟΜΕΝΑ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ ΠΟΥ ΔΙΑΒΙΒΑΖΟΝΤΑΙ ΑΠΟ ΤΗΝ ΕΥΡΩΠΑΪΚΗ ΕΝΩΣΗ ΣΕ ΕΠΙΧΕΙΡΗΜΑΤΙΚΟΥΣ ΦΟΡΕΙΣ ΣΤΗΝ ΙΑΠΩΝΙΑ
         
         
                     (171)
                  
                  
                     Η Ευρωπαϊκή Επιτροπή θεωρεί ότι ο ΝΠΠΠ, όπως συμπληρώνεται από τους Συμπληρωματικούς Κανόνες που περιέχονται στο παράρτημα I, και σε συνδυασμό με τις επίσημες παρουσιάσεις, διασφαλίσεις και δεσμεύσεις που περιέχονται στο παράρτημα II, διασφαλίζει επίπεδο προστασίας για τα δεδομένα προσωπικού χαρακτήρα που διαβιβάζονται από την Ευρωπαϊκή Ένωση το οποίο είναι ουσιωδώς ισοδύναμο με το επίπεδο που εγγυάται ο κανονισμός (ΕΕ) 2016/679.
                  
               
                     (172)
                  
                  
                     Επιπλέον, η Επιτροπή θεωρεί ότι, συνολικά, οι εποπτικοί μηχανισμοί και τα μέσα προσφυγής που προβλέπονται στην ιαπωνική νομοθεσία επιτρέπουν τον προσδιορισμό και την πραγματική τιμωρία των παραβάσεων από τους αποδέκτες ΕΦΧΠΠ και προσφέρουν μέσα ένδικης προστασίας στα υποκείμενα δεδομένων προκειμένου να επιτυγχάνουν την πρόσβαση στα δεδομένα προσωπικού χαρακτήρα που τα αφορούν και, τελικώς, τη διόρθωση ή διαγραφή των εν λόγω δεδομένων.
                  
               
                     (173)
                  
                  
                     Τέλος, με βάση τις διαθέσιμες πληροφορίες σχετικά με την ιαπωνική έννομη τάξη, συμπεριλαμβανομένων των παρουσιάσεων, διασφαλίσεων και δεσμεύσεων από την ιαπωνική κυβέρνηση που περιέχονται στο παράρτημα II, η Επιτροπή θεωρεί ότι τυχόν παρεμβάσεις στα θεμελιώδη δικαιώματα των ατόμων των οποίων δεδομένα προσωπικού χαρακτήρα διαβιβάζονται από την Ευρωπαϊκή Ένωση στην Ιαπωνία, από ιαπωνικές δημόσιες αρχές για σκοπούς δημόσιου συμφέροντος, και ιδίως για σκοπούς επιβολής της ποινικής νομοθεσίας και δημόσιας ασφάλειας, περιορίζονται στο απολύτως αναγκαίο για την επίτευξη των εν λόγω νόμιμων στόχων, και ότι υπάρχει αποτελεσματική νομική προστασία κατά των παρεμβάσεων αυτού του είδους.
                  
               
                     (174)
                  
                  
                     Κατά συνέπεια, βάσει των διαπιστώσεων της παρούσας απόφασης, η Επιτροπή θεωρεί ότι η Ιαπωνία εξασφαλίζει επαρκές επίπεδο προστασίας των δεδομένων προσωπικού χαρακτήρα που διαβιβάζονται από την Ευρωπαϊκή Ένωση σε ΕΦΧΠΠ στην Ιαπωνία και υπάγονται στις διατάξεις του ΝΠΠΠ, με εξαίρεση τις περιπτώσεις στις οποίες ο αποδέκτης εμπίπτει σε μία από τις κατηγορίες που απαριθμούνται στο άρθρο 76 παράγραφος 1 του ΝΠΠΠ και το σύνολο ή μέρος των σκοπών της επεξεργασίας αντιστοιχεί/-ούν σε έναν από τους σκοπούς που καθορίζονται στην εν λόγω διάταξη.
                  
               
                     (175)
                  
                  
                     Βάσει των ανωτέρω, η Επιτροπή καταλήγει στο συμπέρασμα ότι ικανοποιείται το κριτήριο της επάρκειας που προβλέπεται στο άρθρο 45 του κανονισμού (ΕΕ) 2016/679, όπως ερμηνεύεται με βάση τον Χάρτη Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης, και ιδίως στην απόφαση Schrems (146).
                  
               5.   ΔΡΑΣΗ ΤΩΝ ΑΡΧΩΝ ΠΡΟΣΤΑΣΙΑΣ ΔΕΔΟΜΕΝΩΝ ΚΑΙ ΠΑΡΟΧΗ ΠΛΗΡΟΦΟΡΙΩΝ ΣΤΗΝ ΕΠΙΤΡΟΠΗ
         
         
                     (176)
                  
                  
                     Σύμφωνα με τη νομολογία του Δικαστηρίου (147), και όπως αναγνωρίζεται στο άρθρο 45 παράγραφος 4 του κανονισμού (ΕΕ) 2016/679, η Επιτροπή θα πρέπει να παρακολουθεί σε συνεχή βάση τις σχετικές εξελίξεις στην τρίτη χώρα μετά την έκδοση απόφασης επάρκειας, προκειμένου να αξιολογεί εάν η Ιαπωνία εξακολουθεί να παρέχει ουσιωδώς ισοδύναμο επίπεδο προστασίας. Ο έλεγχος αυτός είναι, σε κάθε περίπτωση, επιβεβλημένος όταν περιέρχονται στην Επιτροπή πληροφορίες που προκαλούν δικαιολογημένες αμφιβολίες ως προς το ζήτημα αυτό.
                  
               
                     (177)
                  
                  
                     Κατά συνέπεια, η Επιτροπή πρέπει σε μόνιμη βάση να παρακολουθεί την κατάσταση όσον αφορά το νομικό πλαίσιο και την εφαρμοζόμενη πρακτική για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα όπως αξιολογείται στην παρούσα απόφαση, συμπεριλαμβανομένης της συμμόρφωσης των ιαπωνικών αρχών με τις παρουσιάσεις, διασφαλίσεις και δεσμεύσεις που περιέχονται στο παράρτημα II. Προκειμένου να διευκολύνουν αυτή τη διαδικασία, οι ιαπωνικές αρχές οφείλουν να ενημερώνουν την Επιτροπή για ουσιώδεις εξελίξεις σε σχέση με την παρούσα απόφαση, τόσο όσον αφορά την επεξεργασία των δεδομένων προσωπικού χαρακτήρα από επιχειρηματικούς φορείς όσο και σε σχέση με τους περιορισμούς και τις διασφαλίσεις που ισχύουν για την πρόσβαση στα δεδομένα προσωπικού χαρακτήρα από τις δημόσιες αρχές. Αυτό συνεπάγεται ότι θα πρέπει να την ενημερώνουν και για όλες τις αποφάσεις που λαμβάνει η ΕΠΠ βάσει του άρθρου 24 του ΝΠΠΠ για την αναγνώριση τρίτης χώρας ως παρέχουσας ισοδύναμο επίπεδο προστασίας με το επίπεδο που εγγυάται η Ιαπωνία.
                  
               
                     (178)
                  
                  
                     Επιπροσθέτως, για να μπορεί η Επιτροπή να εκτελέσει με αποτελεσματικότητα το καθήκον της παρακολούθησης, τα κράτη μέλη θα πρέπει να ενημερώνουν την Επιτροπή για κάθε συναφή δράση των εθνικών αρχών προστασίας δεδομένων («ΑΠΔ»), ιδίως σε σχέση με ερωτήσεις ή καταγγελίες από υποκείμενα δεδομένων της ΕΕ σχετικά με τη διαβίβαση δεδομένων προσωπικού χαρακτήρα από την Ευρωπαϊκή Ένωση σε επιχειρηματικούς φορείς στην Ιαπωνία. Η Επιτροπή θα πρέπει επίσης να λαμβάνει γνώση οποιασδήποτε ένδειξης ότι οι ενέργειες των ιαπωνικών δημόσιων αρχών που είναι αρμόδιες για την πρόληψη, τη διερεύνηση, την ανίχνευση ή τη δίωξη ποινικών αδικημάτων, ή για τη δημόσια ασφάλεια, συμπεριλαμβανομένων των εποπτικών φορέων, δεν διασφαλίζουν το απαιτούμενο επίπεδο προστασίας.
                  
               
                     (179)
                  
                  
                     Τα κράτη μέλη και τα όργανά τους υποχρεούνται να λαμβάνουν τα αναγκαία μέτρα προκειμένου να συμμορφώνονται με τις νομοθετικές πράξεις των θεσμικών οργάνων της Ένωσης, καθώς αυτές θεωρείται ότι είναι σύννομες και, ως εκ τούτου, παράγουν έννομα αποτελέσματα έως ότου ανακληθούν, ακυρωθούν μετά από αγωγή ακύρωσης ή κηρυχθούν άκυρες μετά από υποβολή προδικαστικού ερωτήματος ή άσκηση αγωγής με αιτιολογία τον παράνομο χαρακτήρα. Κατά συνέπεια, η απόφαση επάρκειας που εκδίδεται από την Επιτροπή δυνάμει του άρθρου 45 παράγραφος 3 του κανονισμού (ΕΕ) 2016/679 είναι δεσμευτική για όλα τα όργανα των κρατών μελών στα οποία απευθύνεται η εν λόγω απόφαση, συμπεριλαμβανομένων των ανεξάρτητων εποπτικών αρχών τους. Παράλληλα, όπως εξηγεί το Δικαστήριο στην απόφαση Schrems (148) και αναγνωρίζεται στο άρθρο 58 παράγραφος 5 του κανονισμού, σε περίπτωση που μια ΑΠΔ αμφισβητεί, μεταξύ άλλων κατόπιν καταγγελίας, τη συμμόρφωση μιας απόφασης επάρκειας που έχει εκδοθεί από την Επιτροπή με την προστασία του θεμελιώδους δικαιώματος του ατόμου στην ιδιωτικότητα και στην προστασία των δεδομένων, το εθνικό δίκαιο πρέπει να παρέχει στην εν λόγω αρχή μέσα ένδικης προστασίας βάσει των οποίων η οικεία αρχή δύναται να προβάλει τις εν λόγω αιτιάσεις ενώπιον εθνικού δικαστηρίου, το οποίο, σε περίπτωση αμφιβολίας, οφείλει να αναστείλει τη διαδικασία και να υποβάλει προδικαστικό ερώτημα στο Δικαστήριο της Ευρωπαϊκής Ένωσης (149).
                  
               6.   ΠΕΡΙΟΔΙΚΗ ΕΠΑΝΕΞΕΤΑΣΗ ΤΗΣ ΔΙΑΠΙΣΤΩΣΗΣ ΕΠΑΡΚΕΙΑΣ
         
         
                     (180)
                  
                  
                     Κατ’ εφαρμογή του άρθρου 45 παράγραφος 3 του κανονισμού (ΕΕ) 2016/679 (150), και με δεδομένο ότι μπορεί να επέλθουν μεταβολές στο επίπεδο προστασίας που προσφέρει η ιαπωνική έννομη τάξη, η Ευρωπαϊκή Επιτροπή, μετά την έκδοση της παρούσας απόφασης, θα πρέπει κατά διαστήματα να ελέγχει εάν οι διαπιστώσεις σχετικά με την επάρκεια του επιπέδου προστασίας που εγγυάται η Ιαπωνία συνεχίζουν πρακτικά και νομικά να ισχύουν.
                  
               
                     (181)
                  
                  
                     Για τον σκοπό αυτό, η παρούσα απόφαση θα πρέπει να αποτελέσει αντικείμενο μιας πρώτης επανεξέτασης εντός δύο ετών μετά την έναρξη ισχύος της. Μετά την πρώτη αυτή επανεξέταση και ανάλογα με την έκβασή της, η Επιτροπή θα αποφασίσει, σε στενή διαβούλευση με την επιτροπή που συστάθηκε βάσει του άρθρου 93 παράγραφος 1 του ΓΚΠΔ, αν θα πρέπει να διατηρηθεί ο διετής κύκλος. Σε κάθε περίπτωση, οι επόμενες επανεξετάσεις θα πρέπει να πραγματοποιούνται τουλάχιστον κάθε τέσσερα έτη (151). Η επανεξέταση θα πρέπει να καλύπτει όλες τις πτυχές της λειτουργίας της παρούσας απόφασης, και ιδίως την εφαρμογή των Συμπληρωματικών Κανόνων (με ιδιαίτερη προσοχή στις διατάξεις προστασίας που προβλέπονται στην περίπτωση των περαιτέρω διαβιβάσεων), την εφαρμογή των κανόνων σχετικά με τη συγκατάθεση, συμπεριλαμβανομένης της περίπτωσης απόσυρσης της εν λόγω συγκατάθεσης, την αποτελεσματικότητα της άσκησης των ατομικών δικαιωμάτων, καθώς και τους περιορισμούς και τις εγγυήσεις όσον αφορά την κρατική πρόσβαση, συμπεριλαμβανομένου του μηχανισμού προσφυγής που περιγράφεται στο παράρτημα II της παρούσας απόφασης. Θα πρέπει επίσης να καλύπτει την αποτελεσματικότητα της εποπτείας και επιβολής, όσον αφορά τους κανόνες που ισχύουν τόσο για τους ΕΦΧΠΠ όσο και στον τομέα επιβολής της ποινικής νομοθεσίας και εθνικής ασφάλειας.
                  
               
                     (182)
                  
                  
                     Για τη διενέργεια της επανεξέτασης, η Επιτροπή θα πρέπει να πραγματοποιεί συνάντηση με την ΕΠΠ, συνοδευόμενη, κατά περίπτωση, από άλλες ιαπωνικές αρχές αρμόδιες για την κρατική πρόσβαση, συμπεριλαμβανομένων των αντίστοιχων εποπτικών φορέων. Η συμμετοχή σ’ αυτή τη συνάντηση θα πρέπει να είναι ανοικτή στους εκπροσώπους των μελών του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων (ΕΣΠΔ). Στο πλαίσιο της κοινής επανεξέτασης, η Επιτροπή θα πρέπει να ζητεί από την ΕΠΠ να υποβάλει ολοκληρωμένες πληροφορίες για όλες τις πτυχές που σχετίζονται με τη διαπίστωση της επάρκειας, συμπεριλαμβανομένων των περιορισμών και εγγυήσεων όσον αφορά την κρατική πρόσβαση (152). Η Επιτροπή θα πρέπει επίσης να ζητεί εξηγήσεις σχετικά με τυχόν πληροφορίες συναφείς με την παρούσα απόφαση των οποίων έλαβε γνώση, συμπεριλαμβανομένων δημοσιοποιημένων εκθέσεων από ιαπωνικές αρχές ή άλλα ενδιαφερόμενα μέρη στην Ιαπωνία, το ΕΣΠΔ, μεμονωμένες ΑΠΔ, ομάδες της κοινωνίας των πολιτών, εκθέσεις μέσων μαζικής επικοινωνίας, ή άλλες διαθέσιμες πηγές πληροφοριών.
                  
               
                     (183)
                  
                  
                     Βάσει της κοινής επανεξέτασης, η Ευρωπαϊκή Επιτροπή θα πρέπει να καταρτίζει δημόσια έκθεση που θα υποβάλλεται στο Ευρωπαϊκό Κοινοβούλιο και στο Συμβούλιο.
                  
               7.   ΑΝΑΣΤΟΛΗ ΤΗΣ ΑΠΟΦΑΣΗΣ ΕΠΑΡΚΕΙΑΣ
         
         
                     (184)
                  
                  
                     Σε περίπτωση που, βάσει των τακτικών και ad hoc ελέγχων ή άλλων διαθέσιμων πληροφοριών, η Επιτροπή καταλήξει στο συμπέρασμα ότι το επίπεδο προστασίας που προσφέρει η ιαπωνική έννομη τάξη δεν μπορεί πλέον να θεωρείται ουσιωδώς ισοδύναμο μ’ εκείνο της Ευρωπαϊκής Ένωσης, θα πρέπει να ενημερώσει σχετικά τις αρμόδιες ιαπωνικές αρχές και να ζητήσει τη λήψη κατάλληλων μέτρων εντός καθορισμένου, εύλογου χρονοδιαγράμματος. Στα εν λόγω μέτρα περιλαμβάνονται οι κανόνες που ισχύουν τόσο για τους επιχειρηματικούς φορείς όσο και για τις ιαπωνικές δημόσιες αρχές που είναι αρμόδιες για την επιβολή της ποινικής νομοθεσίας ή την εθνική ασφάλεια. Για παράδειγμα, η εν λόγω διαδικασία μπορεί να ενεργοποιηθεί σε περιπτώσεις όπου η πραγματοποίηση περαιτέρω διαβιβάσεων, μεταξύ άλλων βάσει αποφάσεων που λαμβάνει η ΕΠΠ βάσει του άρθρου 24 του ΝΠΠΠ για την αναγνώριση τρίτης χώρας ως παρέχουσας ισοδύναμο επίπεδο προστασίας με το επίπεδο που εγγυάται η Ιαπωνία, δεν θα γίνεται πλέον βάσει εγγυήσεων που διασφαλίζουν τη συνέχεια της προστασίας κατά την έννοια του άρθρου 44 του ΓΚΠΔ.
                  
               
                     (185)
                  
                  
                     Εάν, μετά την παρέλευση του καθορισμένου χρονικού διαστήματος, οι αρμόδιες ιαπωνικές αρχές δεν αποδείξουν με ικανοποιητικό τρόπο ότι η παρούσα απόφαση συνεχίζει να έχει ως βάση ένα επαρκές επίπεδο προστασίας, η Επιτροπή πρέπει, κατ’ εφαρμογή του άρθρου 45 παράγραφος 5 του κανονισμού (ΕΕ) 2016/679, να κινήσει τη διαδικασία για τη μερική ή πλήρη αναστολή ή κατάργηση της παρούσας απόφασης. Εναλλακτικά, η Επιτροπή θα πρέπει να κινήσει τη διαδικασία για την τροποποίηση της παρούσας απόφασης, ιδίως μέσα από την υποβολή των διαβιβάσεων δεδομένων σε πρόσθετες προϋποθέσεις ή τον περιορισμό του πεδίου εφαρμογής της διαπίστωσης επάρκειας μόνο στις διαβιβάσεις δεδομένων για τις οποίες διασφαλίζεται η συνέχεια της προστασίας κατά την έννοια του άρθρου 44 του ΓΚΠΔ.
                  
               
                     (186)
                  
                  
                     Συγκεκριμένα, η Επιτροπή θα πρέπει να κινεί τη διαδικασία αναστολής ή κατάργησης όταν υπάρχουν ενδείξεις ότι οι Συμπληρωματικοί Κανόνες που περιέχονται στο παράρτημα I δεν εφαρμόζονται από τους επιχειρηματικούς φορείς που λαμβάνουν δεδομένα προσωπικού χαρακτήρα βάσει της παρούσας απόφασης και/ή δεν επιβάλλονται κατ’ αποτελεσματικό τρόπο, ή ότι οι ιαπωνικές αρχές δεν συμμορφώνονται με τις παρουσιάσεις, διασφαλίσεις και δεσμεύσεις που περιέχονται στο παράρτημα II της παρούσας απόφασης.
                  
               
                     (187)
                  
                  
                     Η Επιτροπή θα πρέπει επίσης να εξετάζει το ενδεχόμενο κίνησης της διαδικασίας τροποποίησης, αναστολής ή κατάργησης της παρούσας απόφασης εάν, στο πλαίσιο της κοινής επανεξέτασης ή σε άλλη περίπτωση, οι αρμόδιες ιαπωνικές αρχές δεν παρέχουν τις αναγκαίες πληροφορίες ή διευκρινίσεις για την εκτίμηση του επιπέδου προστασίας που παρέχεται στα δεδομένα προσωπικού χαρακτήρα που διαβιβάζονται από την Ευρωπαϊκή Ένωση στην Ιαπωνία ή της συμμόρφωσης με την παρούσα απόφαση. Επ’ αυτού, η Επιτροπή θα πρέπει να λαμβάνει υπόψη κατά πόσον οι συναφείς πληροφορίες μπορούν να εξασφαλιστούν από άλλες πηγές.
                  
               
                     (188)
                  
                  
                     Για δεόντως αιτιολογημένους λόγους επείγουσας ανάγκης, όπως ο κίνδυνος σοβαρής παραβίασης των δικαιωμάτων των υποκειμένων των δεδομένων, η Επιτροπή θα πρέπει να εξετάζει το ενδεχόμενο έκδοσης απόφαση για αναστολή ή κατάργηση της παρούσας απόφασης με άμεση έναρξη ισχύος, σύμφωνα με το άρθρο 93 παράγραφος 3 του κανονισμού (ΕΕ) 2016/679 σε συνδυασμό με το άρθρο 8 του κανονισμού αριθ. 182/2011 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (153).
                  
               8.   ΤΕΛΙΚΕΣ ΠΑΡΑΤΗΡΗΣΕΙΣ
         
         
                     (189)
                  
                  
                     Το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων δημοσίευσε τη γνώμη του (154), η οποία ελήφθη υπόψη κατά την εκπόνηση της παρούσας απόφασης.
                  
               
                     (190)
                  
                  
                     Το Ευρωπαϊκό Κοινοβούλιο εξέδωσε ψήφισμα σχετικά με την πορεία προς μια στρατηγική για το ψηφιακό εμπόριο η οποία καλεί την Επιτροπή να δώσει προτεραιότητα και να επιταχύνει την υιοθέτηση αποφάσεων περί επάρκειας με σημαντικούς εμπορικούς εταίρους υπό τις προϋποθέσεις που θεσπίζονται στον κανονισμό (ΕΕ) 2016/679 ως σημαντικό μηχανισμό για τη διασφάλιση της διαβίβασης δεδομένων προσωπικού χαρακτήρα από την Ευρωπαϊκή Ένωση (155). Το Ευρωπαϊκό Κοινοβούλιο εξέδωσε επίσης ψήφισμα σχετικά με την επάρκεια της παρεχόμενης από την Ιαπωνία προστασίας των δεδομένων προσωπικού χαρακτήρα (156).
                  
               
                     (191)
                  
                  
                     Τα μέτρα που προβλέπονται στην παρούσα απόφαση είναι σύμφωνα με τη γνώμη της επιτροπής που συστάθηκε βάσει του άρθρου 93 παράγραφος 1 του ΓΚΠΔ.
                  
               ΕΞΕΔΩΣΕ ΤΗΝ ΠΑΡΟΥΣΑ ΑΠΟΦΑΣΗ:
         
            Άρθρο 1
            
               1.   Για τους σκοπούς του άρθρου 45 του κανονισμού (ΕΕ) 2016/679, η Ιαπωνία διασφαλίζει επαρκές επίπεδο προστασίας για τα δεδομένα προσωπικού χαρακτήρα που διαβιβάζονται από την Ευρωπαϊκή Ένωση σε επιχειρηματικούς φορείς που χειρίζονται προσωπικές πληροφορίες και υπόκεινται στον Νόμο περί Προστασίας Προσωπικών Πληροφοριών, όπως συμπληρώνεται από τους Συμπληρωματικούς Κανόνες που περιέχονται στο παράρτημα I, και σε συνδυασμό με τις επίσημες παρουσιάσεις, διασφαλίσεις και δεσμεύσεις που περιέχονται στο παράρτημα II.
            
            
               2.   Η παρούσα απόφαση δεν καλύπτει δεδομένα προσωπικού χαρακτήρα τα οποία διαβιβάζονται σε αποδέκτες που ανήκουν σε μία από τις ακόλουθες κατηγορίες, στον βαθμό που το σύνολο ή μέρος των σκοπών επεξεργασίας τους αντιστοιχεί σε έναν από τους σκοπούς που απαριθμούνται, αντίστοιχα:
               
                           α)
                        
                        
                           οπτικοακουστικούς οργανισμούς, εκδότες εφημερίδων, οργανισμούς επικοινωνιών ή άλλους δημοσιογραφικούς οργανισμούς (συμπεριλαμβανομένων των ατόμων που ασκούν δημοσιογραφική δραστηριότητα ως επάγγελμα) στο μέτρο που επεξεργάζονται δεδομένα προσωπικού χαρακτήρα για δημοσιογραφικούς σκοπούς·
                        
                     
                           β)
                        
                        
                           πρόσωπα που ασχολούνται επαγγελματικά με τη συγγραφή, στο μέτρο που πρόκειται για δεδομένα προσωπικού χαρακτήρα·
                        
                     
                           γ)
                        
                        
                           πανεπιστήμια και άλλους οργανισμούς ή ομάδες που ανήκουν στον χώρο των ακαδημαϊκών σπουδών, ή πρόσωπα που ανήκουν σε τέτοιους οργανισμούς, στο μέτρο που επεξεργάζονται δεδομένα προσωπικού χαρακτήρα για ακαδημαϊκούς σκοπούς·
                        
                     
                           δ)
                        
                        
                           θρησκευτικούς φορείς, στο μέτρο που επεξεργάζονται δεδομένα προσωπικού χαρακτήρα για θρησκευτικούς σκοπούς (συμπεριλαμβανομένων όλων των σχετικών δραστηριοτήτων)· και
                        
                     
                           ε)
                        
                        
                           πολιτικούς φορείς, στο μέτρο που επεξεργάζονται δεδομένα προσωπικού χαρακτήρα για τους σκοπούς της πολιτικής δράσης τους (συμπεριλαμβανομένων όλων των σχετικών δραστηριοτήτων).
                        
                     
         
         
            Άρθρο 2
            Όταν οι αρμόδιες αρχές των κρατών μελών, με στόχο την προστασία ατόμων στο πλαίσιο της επεξεργασίας των προσωπικών δεδομένων τους, ασκούν τις εξουσίες τους δυνάμει του άρθρου 58 του κανονισμού (ΕΕ) 2016/679 επιβάλλοντας αναστολή ή οριστική απαγόρευση της κυκλοφορίας δεδομένων προς συγκεκριμένο επιχειρηματικό φορέα στην Ιαπωνία εντός του πεδίου εφαρμογής που ορίζεται στο άρθρο 1, το οικείο κράτος μέλος ενημερώνει χωρίς καθυστέρηση την Επιτροπή.
         
         
            Άρθρο 3
            
               1.   Η Επιτροπή παρακολουθεί σε συνεχή βάση την εφαρμογή του νομικού πλαισίου στο οποίο βασίζεται η παρούσα απόφαση, συμπεριλαμβανομένων των προϋποθέσεων υπό τις οποίες πραγματοποιούνται οι περαιτέρω διαβιβάσεις, προκειμένου να εκτιμηθεί κατά πόσον η Ιαπωνία εξακολουθεί να διασφαλίζει επαρκές επίπεδο προστασίας κατά την έννοια του άρθρου 1.
            
            
               2.   Τα κράτη μέλη ενημερώνουν την Επιτροπή και αντιστρόφως σχετικά με περιπτώσεις στις οποίες η Επιτροπή Προστασίας Προσωπικών Πληροφοριών, ή άλλη αρμόδια ιαπωνική αρχή, δεν συμμορφώνονται με το νομικό πλαίσιο στο οποίο βασίζεται η παρούσα απόφαση.
            
            
               3.   Τα κράτη μέλη ενημερώνουν την Επιτροπή, και αντιστρόφως, σχετικά με οποιαδήποτε ένδειξη ότι οι παρεμβάσεις των ιαπωνικών δημόσιων αρχών στο δικαίωμα των ατόμων για προστασία των δεδομένων προσωπικού χαρακτήρα τους υπερβαίνουν το αυστηρώς αναγκαίο, ή ότι δεν υπάρχει αποτελεσματική νομική προστασία κατά των παρεμβάσεων αυτού του είδους.
            
            
               4.   Εντός δύο ετών από την ημερομηνία κοινοποίησης της παρούσας απόφασης στα κράτη μέλη και, ακολούθως, τουλάχιστον ανά τετραετία, η Επιτροπή αξιολογεί τη διαπίστωση του άρθρου 1 παράγραφος 1 με βάση όλες τις διαθέσιμες πληροφορίες, συμπεριλαμβανομένων των πληροφοριών που περιέρχονται στην κατοχή της στο πλαίσιο της κοινής επανεξέτασης που πραγματοποιείται από κοινού με τις συναφείς ιαπωνικές αρχές.
            
            
               5.   Εάν η Επιτροπή έχει ενδείξεις ότι δεν διασφαλίζεται πλέον επαρκές επίπεδο προστασίας, ενημερώνει τις αρμόδιες ιαπωνικές αρχές. Αν χρειαστεί, μπορεί να αποφασίσει την αναστολή, τροποποίηση ή κατάργηση της παρούσας απόφασης, ή τον περιορισμό του πεδίου εφαρμογής της, ιδίως όταν υπάρχουν ενδείξεις ότι:
               
                           α)
                        
                        
                           επιχειρηματικοί φορείς στην Ιαπωνία οι οποίοι έχουν λάβει δεδομένα προσωπικού χαρακτήρα από την Ευρωπαϊκή Ένωση βάσει της παρούσας απόφασης δεν συμμορφώνονται με τις πρόσθετες εγγυήσεις που παρέχονται στους Συμπληρωματικούς Κανόνες που περιέχονται στο παράρτημα I της παρούσας απόφασης, ή δεν υπάρχει επαρκής εποπτεία και επιβολή στον τομέα αυτό·
                        
                     
                           β)
                        
                        
                           οι ιαπωνικές δημόσιες αρχές δεν συμμορφώνονται με τις παρουσιάσεις, διασφαλίσεις και δεσμεύσεις που περιέχονται στο παράρτημα II της παρούσας απόφασης, μεταξύ άλλων σε σχέση με τις προϋποθέσεις και τους περιορισμούς για τη συλλογή και πρόσβαση στα δεδομένα προσωπικού χαρακτήρα που διαβιβάζονται βάσει της παρούσας απόφασης από τις ιαπωνικές δημόσιες αρχές για λόγους επιβολής της ποινικής νομοθεσίας ή εθνικής ασφάλειας.
                        
                     Η Επιτροπή δύναται επίσης να παρουσιάσει σχετικά σχέδια μέτρων εάν η απροθυμία συνεργασίας της ιαπωνικής κυβέρνησης δεν επιτρέπει στην Επιτροπή να προσδιορίσει κατά πόσο επηρεάζεται η διαπίστωση του άρθρου 1 παράγραφος 1 της παρούσας απόφασης.
            
         
         
            Άρθρο 4
            Η παρούσα απόφαση απευθύνεται στα κράτη μέλη.
         
         
            Βρυξέλλες, 23 Ιανουαρίου 2019.
            
               
                  Για την Επιτροπή
               
               Věra JOUROVÁ
               
                  Μέλος της Επιτροπής
               
            
         
         
            (1)  ΕΕ L 119 της 4.5.2016, σ. 1.
         
            (2)  Υπόθεση C-362/14, Maximillian Schrems κατά Data Protection Commissioner («Schrems»), ECLI:EU:C:2015:650, σκέψη 73.
         
            (3)  Schrems, σκέψη 74.
         
            (4)  Βλ. ανακοίνωση της Επιτροπής προς το Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο, «Ανταλλαγή και προστασία των δεδομένων προσωπικού χαρακτήρα σε έναν παγκοσμιοποιημένο κόσμο», COM(2017)7 της 10.1.2017, ενότητα 3.1, σ. 6-7.
         
            (5)  Νόμος περί Προστασίας Προσωπικών Πληροφοριών (νόμος αριθ. 57, 2003).
         
            (6)  Περισσότερες πληροφορίες σχετικά με την ΕΠΠ διατίθενται στην ακόλουθη διαδικτυακή διεύθυνση: https://www.ppc.go.jp/en/ (συμπεριλαμβανομένων των στοιχείων επικοινωνίας για ερωτήσεις και καταγγελίες: https://www.ppc.go.jp/en/contactus/access/).
         
            (7)  Η απόφαση παρουσιάζει ενδιαφέρον για τον ΕΟΧ. Η συμφωνία για τον Ευρωπαϊκό Οικονομικό Χώρο (συμφωνία ΕΟΧ) προβλέπει την επέκταση της εσωτερικής αγοράς της Ευρωπαϊκής Ένωσης στα τρία κράτη του ΕΟΧ, την Ισλανδία, το Λιχτενστάιν και τη Νορβηγία. Η απόφαση της Μικτής Επιτροπής (ΑΜΕ) για ενσωμάτωση του κανονισμού 2016/679 στο παράρτημα XI της συμφωνίας ΕΟΧ εκδόθηκε από τη Μικτή Επιτροπή του ΕΟΧ στις 6 Ιουλίου 2018 και τέθηκε σε ισχύ στις 20 Ιουλίου 2018. Ως εκ τούτου, ο κανονισμός καλύπτεται από την εν λόγω συμφωνία.
         
            (8)  Ανώτατο Δικαστήριο, Απόφαση της Μεγάλης Έδρας της 24ης Δεκεμβρίου 1969, Keishu τ. 23, αριθ. 12, σ. 1625.
         
            (9)  Ανώτατο Δικαστήριο, Απόφαση της 6ης Μαρτίου 2008, Minshu τ. 62 αριθ. 3, σ. 665.
         
            (10)  Ανώτατο Δικαστήριο, Απόφαση της 6ης Μαρτίου 2008, Minshu τ. 62 αριθ. 3, σ. 665.
         
            (11)  Διατίθενται στον δικτυακό τόπο: https://www.ppc.go.jp/files/pdf/PPC_rules.pdf
         
            (12)  Βλέπε συμπληρωματικούς κανόνες (εισαγωγικό τμήμα).
         
            (13)  Η υποχρέωση αυτή δεν τίθεται υπό αμφισβήτηση από τη γενική απαίτηση διατήρησης των αρχείων (μόνο) για ορισμένο χρονικό διάστημα. Παρότι η προέλευση των δεδομένων είναι ανάμεσα στις πληροφορίες που οφείλει να επιβεβαιώνει ο ΕΦΧΠΠ που αποκτά τα δεδομένα, σύμφωνα με το άρθρο 26 παράγραφος 1 του ΝΠΠΠ, η απαίτηση σύμφωνα με το άρθρο 26 παράγραφος 4 του ΝΠΠΠ σε συνδυασμό με το άρθρο 18 των Κανόνων της ΕΠΠ αφορά μόνο συγκεκριμένη μορφή αρχείων (βλ. άρθρο 16 των Κανόνων της ΕΠΠ) και δεν εμποδίζει τους ΕΦΧΠΠ να διασφαλίζουν εξακρίβωση των δεδομένων για μεγαλύτερα χρονικά διαστήματα. Αυτό επιβεβαιώθηκε από την ΕΠΠ, η οποία ανέφερε ότι «[ο]ι πληροφορίες σχετικά με την προέλευση των δεδομένων από την ΕΕ πρέπει να διατηρούνται από τον ΕΦΧΠΠ για όσο διάστημα είναι αναγκαίο ώστε να καθίσταται δυνατή η συμμόρφωση με τους Συμπληρωματικούς Κανόνες».
         
            (14)  ΕΠΠ, Ερωτήσεις και Απαντήσεις, 16 Φεβρουαρίου 2017 (όπως τροποποιήθηκε στις 30 Μαΐου 2017), στον ακόλουθο σύνδεσμο: https://www.ppc.go.jp/files/pdf/kojouhouQA.pdf. Οι Ερωτήσεις και Απαντήσεις πραγματεύονται μια σειρά θεμάτων στα οποία εγκύπτουν οι κατευθυντήριες γραμμές παρέχοντας πρακτικά παραδείγματα, όπως π.χ. το πώς ορίζονται τα ευαίσθητα δεδομένα προσωπικού χαρακτήρα, η ερμηνεία της ατομικής συγκατάθεσης, οι διαβιβάσεις τρίτων στο πλαίσιο του υπολογιστικού νέφους, ή η υποχρέωση τήρησης αρχείων που ισχύει για τις διασυνοριακές διαβιβάσεις. Οι Ερωτήσεις και Απαντήσεις είναι διαθέσιμες μόνο στα ιαπωνικά.
         
            (15)  Μετά από συγκεκριμένο ερώτημα, η ΕΠΠ ενημέρωσε το ΕΣΠΔ ότι «κατά την εφαρμογή του ΝΠΔΔ/των Κανόνων της ΕΠΠ, τα ιαπωνικά δικαστήρια βασίζουν την ερμηνεία [τους] όσον αφορά τις κατευθυντήριες γραμμές σε μεμονωμένες υποθέσεις για τις οποίες ασκείται προσφυγή ενώπιόν τους και, ως εκ τούτου, στις αποφάσεις τους έχουν παραπέμψει απευθείας στο κείμενο των κατευθυντήριων γραμμών της ΕΠΠ. Επομένως, και από αυτήν την άποψη, οι κατευθυντήριες γραμμές της ΕΠΠ είναι δεσμευτικές για τους επιχειρηματικούς φορείς. Η ΕΠΠ δεν γνωρίζει καμία περίπτωση όπου το Δικαστήριο παρεξέκλινε από τις κατευθυντήριες γραμμές». Επ’ αυτού, η ΕΠΠ παρέπεμψε την Επιτροπή σε δικαστική απόφαση στον τομέα της προστασίας των δεδομένων όπου το δικαστήριο βασίστηκε ρητώς στις Κατευθυντήριες Γραμμές για να καταλήξει στα πορίσματά του (βλ. Πρωτοδικείο της Οσάκα, απόφαση της 19ης Μαΐου 2006, Hanrei Jiho, τ. 1948, σ. 122, όπου το δικαστήριο έκρινε ότι ο επιχειρηματικός φορέας υπείχε υποχρέωση να λάβει μέτρα για τον έλεγχο της ασφάλειας βάσει των εν λόγω κατευθυντήριων γραμμών).
         
            (16)  Κατευθυντήριες Γραμμές της ΕΠΠ (Γενική Έκδοση Κανόνων), σ. 6.
         
            (17)  Η διάταξη αυτή καλύπτει κάθε ηλεκτρονικό σύστημα αρχειοθέτησης. Οι κατευθυντήριες γραμμές της ΕΠΠ (Γενική Έκδοση, σ. 17) παρέχουν συγκεκριμένα παραδείγματα, π.χ. κατάλογο διευθύνσεων ηλεκτρονικού ταχυδρομείου που είναι αποθηκευμένος στο λογισμικό ηλεκτρονικού ταχυδρομείου ενός πελάτη.
         
            (18)  Άρθρο 2 παράγραφοι 4 και 6 του ΝΠΠΠ.
         
            (19)  Π.χ. το άρθρο 23 του ΝΠΠΠ σχετικά με τις προϋποθέσεις για την κοινοποίηση δεδομένων προσωπικού χαρακτήρα σε τρίτους.
         
            (20)  Ήτοι, δεδομένα προσωπικού χαρακτήρα i) «τα οποία είναι πιθανό, εάν καταστεί γνωστή η ύπαρξη ή η απουσία [τους], να προκαλέσουν βλάβη στη ζωή, τη σωματική ακεραιότητα ή την περιουσία εντολέα ή τρίτου»· ii) δεδομένα «τα οποία είναι πιθανό, εάν αποκαλυφθεί η ύπαρξη ή η απουσία [τους], να ενθαρρύνουν ή να υποκινήσουν την τέλεση παράνομης ή άδικης πράξης»· iii) δεδομένα «τα οποία είναι πιθανό, εάν αποκαλυφθεί η ύπαρξη ή η απουσία [τους], να υπονομεύσουν την εθνική ασφάλεια, να καταστρέψουν τη σχέση εμπιστοσύνης με ξένη χώρα ή διεθνή οργανισμό, ή να υπονομεύσουν τη θέση της χώρας σε διαπραγματεύσεις με ξένη χώρα ή διεθνή οργανισμό»· και iv) δεδομένα «τα οποία είναι πιθανό, εάν καταστεί γνωστή η ύπαρξη ή η απουσία [τους], να δημιουργήσουν εμπόδια στη διατήρηση της δημόσιας ασφάλειας και τάξης. π.χ. την πρόληψη, καταστολή ή διερεύνηση ενός εγκλήματος».
         
            (21)  Υπ’ αυτές τις προϋποθέσεις, δεν απαιτείται ενημέρωση του ατόμου. Αυτό συνάδει με το άρθρο 23 παράγραφος 2 στοιχείο η) του ΓΚΠΔ, το οποίο ορίζει ότι τα υποκείμενα των δεδομένων δεν χρειάζεται να ενημερώνονται σχετικά με τον περιορισμό εάν αυτό «μπορεί να αποβεί επιζήμιο για τους σκοπούς του περιορισμού».
         
            (22)  Βλ. κανονισμό (ΕΕ) 2016/679, αιτιολογική σκέψη 26.
         
            (23)  Κατευθυντήριες Γραμμές της ΕΠΠ (Γενική Έκδοση Κανόνων), σ. 18.
         
            (24)  Όσον αφορά τους λοιπούς φορείς, η ΕΠΠ, κατά την άσκηση των εξουσιών της όσον αφορά την έρευνα και την επιβολή, δεν παρεμποδίζει ποτέ την άσκηση του δικαιώματός τους στην ελευθερία της έκφρασης, στις ακαδημαϊκές σπουδές, στη θρησκευτική ελευθερία και στην ελευθερία άσκησης πολιτικής δραστηριότητας (άρθρο 43 παράγραφος 1 του ΝΠΠΠ).
         
            (25)  Όπως εξήγησε η ΕΠΠ, η συγκατάθεση ερμηνεύεται στις κατευθυντήριες γραμμές της ΕΠΠ ως «έκφραση της πρόθεσης ενός εντολέα μέσω της οποίας ο εν λόγω εντολέας αποδέχεται ότι ενδέχεται να πραγματοποιηθεί χειρισμός των προσωπικών πληροφοριών του με μέθοδο η οποία προσδιορίζεται από επιχειρηματικό φορέα που χειρίζεται προσωπικές πληροφορίες». Στις κατευθυντήριες γραμμές της ΕΠΠ (Γενική Έκδοση Κανόνων, σ. 24) παρατίθενται οι τρόποι παροχής συγκατάθεσης που θεωρούνται «συνήθεις επιχειρηματικές πρακτικές στην Ιαπωνία», δηλαδή η προφορική συμφωνία, η υποβολή συμπληρωμένων εντύπων ή άλλων εγγράφων, η συμφωνία μέσω μηνύματος ηλεκτρονικού ταχυδρομείου, η επιλογή ενός τετραγωνιδίου σε μια ιστοσελίδα, η πραγματοποίηση κλικ σε μια αρχική σελίδα, η χρήση κουμπιού συναίνεσης, το «πάτημα» σε οθόνη αφής κ.λπ. Όλες αυτές οι μέθοδοι συνιστούν ρητή μορφή συγκατάθεσης.
         
            (26)  Οι Ερωτήσεις και Απαντήσεις (Q&A) που εξέδωσε η PPC περιέχουν μια σειρά παραδειγμάτων για την επεξήγηση αυτής της έννοιας. Παραδείγματα καταστάσεων στις οποίες η τροποποίηση παραμένει εντός ευλόγως συναφούς πεδίου εφαρμογής είναι η χρήση προσωπικών πληροφοριών που λαμβάνονται από αγοραστές προϊόντων ή υπηρεσιών στο πλαίσιο μιας εμπορικής συναλλαγής, με σκοπό την πληροφόρηση των εν λόγω αγοραστών για άλλα σχετικά διαθέσιμα προϊόντα και υπηρεσίες (π.χ. ιδιοκτήτης γυμναστηρίου ο οποίος καταχωρίζει τις διευθύνσεις ηλεκτρονικού ταχυδρομείου των μελών προκειμένου να τους ενημερώνει για μαθήματα και προγράμματα). Παράλληλα, στις Ερωτήσεις και Απαντήσεις περιλαμβάνεται επίσης ένα παράδειγμα κατάστασης όπου δεν επιτρέπεται η τροποποίηση του σκοπού χρήσης, και συγκεκριμένα όταν μια εταιρεία αποστέλλει πληροφορίες σχετικά με τα προϊόντα και τις υπηρεσίες της σε διευθύνσεις ηλεκτρονικού ταχυδρομείου τις οποίες έχει συλλέξει με σκοπό την ειδοποίηση σε περιπτώσεις απάτης ή κλοπής κάρτας μέλους.
         
            (27)  Οι εν λόγω εξαιρέσεις μπορεί να απορρέουν από άλλους νόμους και κανονισμούς, ή να αφορούν καταστάσεις στις οποίες ο χειρισμός των προσωπικών πληροφοριών είναι αναγκαίος i) για την «προστασία της ανθρώπινης ζωής, σωματικής ακεραιότητας ή περιουσίας»· ii) τη «βελτίωση των συνθηκών δημόσιας υγιεινής ή την προώθηση της υγιούς ανάπτυξης των παιδιών»· ή iii) «τη συνεργασία με κυβερνητικές υπηρεσίες ή φορείς ή με τους εκπροσώπους τους» κατά την εκτέλεση των κατά τον νόμο καθηκόντων τους. Επιπλέον, οι περιπτώσεις i) και ii) έχουν εφαρμογή μόνον εάν είναι δύσκολο να ληφθεί η συγκατάθεση του υποκειμένου των δεδομένων, και η κατηγορία iii) μόνον εάν υπάρχει κίνδυνος η εξασφάλιση της συγκατάθεσης του υποκειμένου των δεδομένων να δημιουργήσει εμπόδια στην εκτέλεση των εν λόγω καθηκόντων.
         
            (28)  Τούτου λεχθέντος, με βάση το άρθρο 23 παράγραφος 1 του ΝΠΠΠ, απαιτείται κατ’ αρχήν συγκατάθεση του ατόμου για την κοινοποίηση των δεδομένων σε τρίτο. Με τον τρόπο αυτό, το άτομο διαθέτει έναν βαθμό ελέγχου όσον αφορά τη χρήση των δεδομένων του από άλλο επιχειρηματικό φορέα.
         
            (29)  Σύμφωνα με το άρθρο 15 παράγραφος 1 του ΝΠΠΠ, ο σκοπός πρέπει να προσδιορίζεται «όσο το δυνατόν σαφέστερα».
         
            (30)  Άρθρο 18 παράγραφος 1 του ΝΠΠΠ.
         
            (31)  Αν και οι εντολοδόχοι εξαιρούνται από την έννοια του «τρίτου» για τους σκοπούς της εφαρμογής του άρθρου 23 (βλ. παράγραφο 5), η εξαίρεση αυτή ισχύει μόνο στον βαθμό που ο εντολοδόχος χειρίζεται δεδομένα προσωπικού χαρακτήρα εντός των ορίων της ανάθεσης («εντός του πεδίου εφαρμογής που είναι αναγκαίο για την επίτευξη του σκοπού χρήσης»), δηλαδή ενεργεί ως εκτελών την επεξεργασία.
         
            (32)  Οι άλλοι (εξαιρετικοί) λόγοι είναι: i) η παροχή προσωπικών πληροφοριών «που βασίζεται σε νόμους και κανονισμούς»· ii) περιπτώσεις «στις οποίες υπάρχει ανάγκη προστασίας ανθρώπινης ζωής, σωματικής ακεραιότητας ή περιουσίας, καθώς και όταν είναι δύσκολο να εξασφαλιστεί συγκατάθεση του εντολέα»· iii) περιπτώσεις «στις οποίες υπάρχει ειδική ανάγκη βελτίωσης των συνθηκών δημόσιας υγιεινής ή προώθησης της υγιούς ανάπτυξης των παιδιών, καθώς και όταν είναι δύσκολο να εξασφαλιστεί συγκατάθεση του εντολέα»· και iv) περιπτώσεις «στις οποίες απαιτείται συνεργασία με οργανισμό της κεντρικής διοίκησης ή της τοπικής αυτοδιοίκησης, ή με πρόσωπο στο οποίο έχει ανατεθεί από οργανισμό της κεντρικής διοίκησης ή της τοπικής αυτοδιοίκησης η διεκπεραίωση υποθέσεων που ορίζονται από νόμους και κανονισμούς, και όταν η λήψη συγκατάθεσης από τον εντολέα θα δημιουργούσε εμπόδια στη διεκπεραίωση των εν λόγω υποθέσεων».
         
            (33)  Στις πληροφορίες που πρέπει να παρέχονται περιλαμβάνονται, κυρίως, οι κατηγορίες δεδομένων προσωπικού χαρακτήρα που πρόκειται να κοινοποιηθούν σε τρίτο και η μέθοδος διαβίβασης. Επιπροσθέτως, ο ΕΦΧΠΠ οφείλει να ενημερώνει το υποκείμενο των δεδομένων για τη δυνατότητα εναντίωσης στη διαβίβαση και για τον τρόπο υποβολής ενός τέτοιου αιτήματος.
         
            (34)  Σύμφωνα με το άρθρο 26 παράγραφος 1 σημείο ii) του ΝΠΠΠ, οι ΕΦΧΠΠ υποχρεούνται, όταν λαμβάνουν δεδομένα προσωπικού χαρακτήρα από τρίτο, να «επιβεβαιώνουν» (επαληθεύουν) τις «λεπτομέρειες της απόκτησης των δεδομένων προσωπικού χαρακτήρα από τον τρίτο», συμπεριλαμβανομένου του σκοπού της απόκτησης. Παρόλο που το άρθρο 26 δεν προσδιορίζει ρητώς ότι οι ΕΦΧΠΠ πρέπει στη συνέχεια να ακολουθήσουν τον ίδιο σκοπό, ο Συμπληρωματικός Κανόνας 3 θεσπίζει ρητώς αυτή την απαίτηση.
         
            (35)  Κατευθυντήριες γραμμές της ΕΠΠ (Γενική Έκδοση Κανόνων), σ. 41 και σ. 86 έως 98.
         
            (36)  Σύμφωνα με την ενότητα 3-3-2 των Κατευθυντήριων Γραμμών της ΕΠΠ, σε περίπτωση μιας τέτοιας διαρροής, ο ΕΦΧΠΠ πρέπει να διενεργήσει τις αναγκαίες έρευνες και, ειδικότερα, να εκτιμήσει το μέγεθος της παραβίασης των δικαιωμάτων και των συμφερόντων το ατόμου καθώς και τη φύση και τον όγκο των προσωπικών πληροφοριών που διέρρευσαν.
         
            (37)  Πρόκειται για i) περιπτώσεις στις οποίες είναι πιθανό η πληροφόρηση του υποκειμένου των δεδομένων σχετικά με τον σκοπό χρήσης, ή η δημοσιοποίηση του εν λόγω σκοπού, να «προκαλέσει βλάβη στη ζωή, τη σωματική ακεραιότητα, την περιουσία ή άλλα δικαιώματα ή συμφέροντα του εντολέα ή τρίτου» ή «στα δικαιώματα ή έννομα συμφέροντα του […] ΕΦΧΠΠ»· ii) περιπτώσεις στις οποίες «απαιτείται συνεργασία με οργανισμό της κεντρικής διοίκησης ή της τοπικής αυτοδιοίκησης» κατά την άσκηση των εκ του νόμου καθηκόντων τους και εφόσον η πληροφόρηση ή κοινοποίηση θα δημιουργούσε εμπόδια σε αυτές τις «υποθέσεις»· iii) περιπτώσεις στις οποίες ο σκοπός χρήσης είναι πρόδηλος με βάση τις συνθήκες υπό τις οποίες αποκτήθηκαν τα δεδομένα.
         
            (38)  Οι εξαιρέσεις είναι οι εξής: i) «περιπτώσεις που βασίζονται σε νόμους και κανονισμούς»· ii) «περιπτώσεις στις οποίες υπάρχει ανάγκη προστασίας ανθρώπινης ζωής, σωματικής ακεραιότητας ή περιουσίας, καθώς και όταν είναι δύσκολο να εξασφαλιστεί συγκατάθεση του εντολέα»· iii) «περιπτώσεις στις οποίες υπάρχει ειδική ανάγκη βελτίωσης των συνθηκών δημόσιας υγιεινής ή προώθησης της υγιούς ανάπτυξης των παιδιών, καθώς και όταν είναι δύσκολο να εξασφαλιστεί συγκατάθεση του εντολέα»· iv) «περιπτώσεις στις οποίες απαιτείται συνεργασία με οργανισμό της κεντρικής διοίκησης ή της τοπικής αυτοδιοίκησης, ή με πρόσωπο στο οποίο έχει ανατεθεί από οργανισμό της κεντρικής διοίκησης ή της τοπικής αυτοδιοίκησης η διεκπεραίωση υποθέσεων που ορίζονται από νόμους και κανονισμούς, και όταν η λήψη συγκατάθεσης από τον εντολέα θα δημιουργούσε εμπόδια στη διεκπεραίωση των εν λόγω υποθέσεων»· και v) περιπτώσεις στις οποίες οι εν λόγω προσωπικές πληροφορίες που απαιτούν ειδική μέριμνα κοινοποιούνται στο κοινό από υποκείμενο των δεδομένων, κρατικό οργανισμό, φορέα τοπικής αυτοδιοίκησης, πρόσωπο που εμπίπτει σε μία από τις κατηγορίες του άρθρου 76 παράγραφος 1 ή άλλα πρόσωπα που ορίζονται από κανόνες της ΕΠΠ. Μία ακόμη κατηγορία αφορά τις «λοιπές περιπτώσεις που προσδιορίζονται με Διάταγμα του Υπουργικού Συμβουλίου ως ισοδύναμες με τις περιπτώσεις που ορίζονται σε καθένα από τα προηγούμενα σημεία» και, βάσει του τρέχοντος Διατάγματος του Υπουργικού Συμβουλίου, καλύπτει περιπτώσεις ευδιάκριτων χαρακτηριστικών ενός προσώπου (π.χ. μιας ορατής πάθησης) εάν τα ευαίσθητα δεδομένα αποκτήθηκαν (μη ηθελημένα) με οπτική παρατήρηση, καταγραφή από κάμερα ή φωτογράφηση του υποκειμένου των δεδομένων, π.χ. μέσω κάμερας κλειστού κυκλώματος.
         
            (39)  Σύμφωνα με το άρθρο 40 παράγραφος 1 του ΝΠΠΠ, η ΕΠΠ δύναται, στο μέτρο που κρίνεται αναγκαίο για την εφαρμογή των συναφών διατάξεων του ΝΠΠΠ, να ζητεί από τους ΕΦΧΠΠ να υποβάλουν αναγκαίες πληροφορίες ή υλικό σχετικά με τον χειρισμό των προσωπικών πληροφοριών.
         
            (40)  Ο ΝΠΠΠ προβλέπει μεταξύ άλλων κανόνες για τη διαπίστευση αυτών των φορέων· βλ. άρθρα 47-50 του ΝΠΠΠ.
         
            (41)  Άρθρο 52 του ΝΠΠΠ.
         
            (42)  Κοινοποίηση της ΕΠΠ αριθ. 1/2017 «Σχετικά με τα μέτρα που πρέπει να λαμβάνονται σε περιπτώσεις παραβίασης δεδομένων προσωπικού χαρακτήρα ή άλλων συμβάντων».
         
            (43)  Σύμφωνα με τα αριθμητικά στοιχεία που έχουν δημοσιευτεί στον ιστότοπο PrivacyMark της JIPDEC, με ημερομηνία 2 Οκτωβρίου 2017.
         
            (44)  ΕΠΠ, Κατάλογος διαπιστευμένων φορέων προστασίας των προσωπικών πληροφοριών, στη διαδικτυακή διεύθυνση: https://www.ppc.go.jp/personal/nintei/list/ or https://www.ppc.go.jp/files/pdf/nintei_list.pdf
         
            (45)  ΕΠΠ, Επισκόπηση της κατάστασης εφαρμογής του ΝΠΠΠ κατά το ΟΕ 2015 (Οκτώβριος 2016), (μόνο στα ιαπωνικά) στη διαδικτυακή διεύθυνση: https://www.ppc.go.jp/files/pdf/personal_sekougaiyou_27ppc.pdf
         
            (46)  Βλέπε υποσημείωση 32.
         
            (47)  Σύμφωνα με το άρθρο 11 των Κανόνων της ΕΠΠ, αυτό δεν προϋποθέτει μόνο ουσιαστικά πρότυπα ισοδύναμα του ΝΠΠΠ υπό την αποτελεσματική εποπτεία ανεξάρτητης αρχής επιβολής, αλλά και διασφάλιση της εφαρμογής των σχετικών κανόνων στην τρίτη χώρα.
         
            (48)  Μέχρι στιγμής, η ΕΠΠ δεν έχει ακόμη λάβει καμία απόφαση βάσει του άρθρου 24 του ΝΠΠΠ για την αναγνώριση τρίτης χώρας ως παρέχουσας ισοδύναμο επίπεδο προστασίας με το επίπεδο που εγγυάται η Ιαπωνία. Η μόνη απόφαση που εξετάζει επί του παρόντος αφορά τον ΕΟΧ. Όσον αφορά άλλες πιθανές αποφάσεις στο μέλλον, η Επιτροπή θα παρακολουθεί εκ του σύνεγγυς την κατάσταση και, εάν χρειαστεί, θα λάβει κατάλληλα μέτρα προκειμένου να αντιμετωπίσει πιθανές δυσμενείς επιπτώσεις για τη συνέχεια της προστασίας (βλ. κατωτέρω αιτιολογικές σκέψεις 176, 177, 184 και άρθρο 3 παράγραφος 1).
         
            (49)  Αν και μόλις δύο ιαπωνικές εταιρείες έχουν λάβει πιστοποίηση βάσει του συστήματος ΔΚΙ του ΟΣΑΕ (βλ. https://english.jipdec.or.jp/sp/protection_org/cbpr/list.html). Εκτός Ιαπωνίας, οι μόνοι άλλοι επιχειρηματικοί φορείς που έχουν λάβει πιστοποίηση βάσει του εν λόγω συστήματος είναι ένας μικρός αριθμός (23) αμερικανικών εταιρειών (βλ. https://www.trustarc.com/consumer-resources/trusted-directory/#apec-list).
         
            (50)  Π.χ. δεν υπάρχει ορισμός και ειδικές διατάξεις προστασίας για τα ευαίσθητα δεδομένα, ούτε υποχρέωση περιορισμένης διατήρησης των δεδομένων. Βλ. επίσης άρθρο 29, γνωμοδότηση Ομάδας Εργασίας 02/2014 σχετικά με παραπομπή για τις απαιτήσεις περί δεσμευτικών εταιρικών κανόνων υποβληθείσα στις εθνικές αρχές προστασίας δεδομένων στην ΕΕ και για τους διασυνοριακούς κανόνες ιδιωτικότητας υποβληθείσα στους υπευθύνους λογοδοσίας του συστήματος ΔΚΙ της ΟΣΑΕ, 6 Μαρτίου 2014.
         
            (51)  Σύμφωνα με την ΕΠΠ, μόνο τα συμφέροντα αυτά μπορούν να δικαιολογήσουν περιορισμούς που είναι «άξιοι νομικής προστασίας». Αυτό πρέπει να αξιολογείται κατά περίπτωση «λαμβανομένης υπόψη της παρέμβασης στο θεμελιώδες δικαίωμα στην ιδιωτικότητα —το οποίο περιλαμβάνει την προστασία των δεδομένων— όπως αναγνωρίζεται από το Σύνταγμα και από νομολογιακά προηγούμενα». Στα προστατευόμενα συμφέροντα μπορούν να περιλαμβάνονται, για παράδειγμα, οι εμπορικές συναλλαγές ή άλλα εμπορικά μυστικά.
         
            (52)  Η έννοια της «πρόκλησης σοβαρών εμποδίων στη σωστή άσκηση των δραστηριοτήτων του φορέα» εξηγείται στις Κατευθυντήριες Γραμμές της ΕΠΠ με διάφορα παραδείγματα, όπως η περίπτωση επαναλαμβανόμενων και πανομοιότυπων σύνθετων αιτημάτων από το ίδιο άτομο, όταν τα εν λόγω αιτήματα συνεπάγονται σημαντική επιβάρυνση για τον επιχειρηματικό φορέα που θα έπληττε την ικανότητά του να απαντά σε άλλα αιτήματα [Κατευθυντήριες Γραμμές της ΕΠΠ (Γενική Έκδοση Κανόνων) σ. 62]. Γενικότερα, η ΕΠΠ έχει επιβεβαιώσει ότι η κατηγορία αυτή περιορίζεται σε εξαιρετικές περιπτώσεις οι οποίες υπερβαίνουν την απλή ενόχληση. Συγκεκριμένα, ο ΕΦΧΠΠ δεν μπορεί να αρνηθεί την κοινοποίηση απλώς και μόνο επειδή έχει ζητηθεί μεγάλος όγκος δεδομένων.
         
            (53)  Όπως επιβεβαίωσε η ΕΠΠ, οι νόμοι αυτοί πρέπει να σέβονται το δικαίωμα στην ιδιωτικότητα, όπως αυτό διασφαλίζεται από το Σύνταγμα, και συνεπώς να «αντανακλούν έναν αναγκαίο και εύλογο περιορισμό».
         
            (54)  Σύμφωνα με την ερμηνεία που έχει δοθεί από το Ανώτατο Δικαστήριο, το άρθρο 13 του Συντάγματος κατοχυρώνει το δικαίωμα στην ιδιωτικότητα (βλ. ανωτέρω αιτιολογικές σκέψεις 7 και 8). Αν και το δικαίωμα αυτό μπορεί να περιοριστεί σε περιπτώσεις όπου «θίγει το δημόσιο συμφέρον», στην απόφασή του της 6ης Μαρτίου 2008 (βλέπε αιτιολογική σκέψη 8), το Ανώτατο Δικαστήριο κατέστησε σαφές ότι κάθε περιορισμός (ο οποίος, στην περίπτωση αυτή, επιτρέπει σε δημόσια αρχή να συλλέγει και να επεξεργάζεται δεδομένα προσωπικού χαρακτήρα) πρέπει να σταθμίζεται με το δικαίωμα στην ιδιωτικότητα, λαμβανομένων υπόψη παραγόντων όπως η φύση των επίμαχων δεδομένων, οι κίνδυνοι που δημιουργεί για τα άτομα η επεξεργασία των εν λόγω δεδομένων, οι εφαρμοστέες εγγυήσεις και τα οφέλη για το δημόσιο συμφέρον που προκύπτουν από την επεξεργασία. Ο συλλογισμός αυτός παρουσιάζει πολλές ομοιότητες με τη στάθμιση που απαιτείται από την ενωσιακή νομοθεσία, με βάση τις αρχές της αναγκαιότητας και της αναλογικότητας, για την έγκριση κάθε περιορισμού των δικαιωμάτων και των εγγυήσεων που αφορούν την προστασία των δεδομένων.
         
            (55)  Για περαιτέρω διευκρινίσεις σχετικά με αυτές τις εξαιρέσεις, βλ. Σχολιασμό, άρθρο προς άρθρο, του αναθεωρημένου Νόμου περί Προστασίας Προσωπικών Πληροφοριών, του Καθηγητή Katsuya Uga, 2015, σ. 217. Λόγου χάρη, παράδειγμα αιτήματος το οποίο προκαλεί «μεγάλο ύψος δαπανών» είναι η περίπτωση στην οποία ορισμένα μόνο ονόματα που περιλαμβάνονται σε μια μακροσκελή κατάλογο (π.χ. σε ευρετήριο) έχουν υποβληθεί σε επεξεργασία κατά παράβαση της αρχής περί περιορισμού του σκοπού και το ευρετήριο διατίθεται ήδη προς πώληση, οπότε η ανάκληση των συγκεκριμένων αντιτύπων και η αντικατάστασή τους με νέα αντίτυπα θα ήταν πολύ δαπανηρή. Στο ίδιο παράδειγμα, στην περίπτωση που έχουν ήδη πωληθεί πολλά αντίτυπα του ευρετηρίου και είναι αδύνατη η συλλογή όλων, θα ήταν επίσης «δύσκολο να εφαρμοστεί παύση χρήσης». Στα σενάρια αυτά, οι «αναγκαίες εναλλακτικές δράσεις» μπορεί π.χ. να συνίστανται στη δημοσίευση ή στη διανομή ανακοίνωσης διόρθωσης. Οι ενέργειες αυτές δεν αποκλείουν άλλες μορφές (δικαστικής) προσφυγής για παραβίαση των δικαιωμάτων στην ιδιωτικότητα, βλάβη στην υπόληψη (δυσφήμηση) λόγω της δημοσίευσης ή για βλάβη άλλων συμφερόντων.
         
            (56)  Αντιστρόφως, στην εξαιρετική περίπτωση όπου ο Ιάπωνας φορέας έχει άμεση σχέση με το υποκείμενο των δεδομένων από την ΕΕ, αυτό συνήθως απορρέει από το γεγονός ότι έχει στοχεύσει το εν λόγω άτομο στην Ευρωπαϊκή Ένωση προσφέροντάς του προϊόντα ή υπηρεσίες ή παρακολουθώντας τη συμπεριφορά του. Σ’ αυτό το σενάριο, ο Ιάπωνας φορέας εμπίπτει στο πεδίο εφαρμογής του κανονισμού (ΕΕ) 2016/679 (άρθρο 3 παράγραφος 2) και, ως εκ τούτου, πρέπει να συμμορφώνεται απευθείας με την ενωσιακή νομοθεσία περί προστασίας των δεδομένων.
         
            (57)  Σύμφωνα με το άρθρο 65 του ΝΠΠΠ, η αποπομπή ενός Επιτρόπου παρά τη θέλησή του είναι δυνατή μόνον εάν ισχύει ένας από τους εξής λόγους: i) έναρξη πτωχευτικής διαδικασίας· ii) καταδίκη για παράβαση του ΝΠΠΠ ή του Νόμου περί Χρήσης των Αριθμών· iii) καταδίκη σε ποινή φυλάκισης χωρίς εργασία ή σε ακόμη σοβαρότερη ποινή· iv) αδυναμία άσκησης των καθηκόντων του λόγω ψυχικής ή σωματικής πάθησης ή παραπτώματος.
         
            (58)  Βλ. άρθρο 62 του ΝΠΠΠ.
         
            (59)  Π.χ., ορισμένες διατάξεις αφορούν ενέργειες των ΕΦΧΠΠ οι οποίες έχουν προαιρετικό χαρακτήρα (άρθρα 32, 33 του ΝΠΠΠ), ή υποχρεώσεις «βέλτιστης προσπάθειας» οι οποίες, εκ της φύσεώς τους, δεν είναι εκτελεστές (άρθρο 31, άρθρο 35, άρθρο 36 παράγραφος 6 και άρθρο 39 του ΝΠΠΠ). Ορισμένες διατάξεις δεν απευθύνονται στους ΕΦΧΠΠ αλλά σε άλλους φορείς. Αυτό ισχύει π.χ. για το άρθρο 23 παράγραφος 4, το άρθρο 26 παράγραφος 2 και το άρθρο 34 του ΝΠΠΠ [ωστόσο, η επιβολή του άρθρου 26 παράγραφος 2 του ΝΠΠΠ διασφαλίζεται μέσω της δυνατότητας πληροφόρησης ποινικών κυρώσεων βάσει του άρθρου 88 σημείο i) του ΝΠΠΠ] .
         
            (60)  Επιπροσθέτως, όπως εξηγήθηκε ανωτέρω στην αιτιολογική σκέψη 48, σε ένα πλαίσιο διαβίβασης προσδιορίζεται ο «σκοπός χρήσης» από τον εξαγωγέα δεδομένων της ΕΕ, ο οποίος δεσμεύεται ως προς αυτό από την υποχρέωση δυνάμει του άρθρου 5 παράγραφος 1 στοιχείο β) του κανονισμού (ΕΕ) 2016/679. Η υποχρέωση αυτή είναι εκτελεστή από την αρμόδια ΑΠΔ στην Ευρωπαϊκή Ένωση.
         
            (61)  Νόμος αριθ. 50 της 5ης Ιουνίου 2009.
         
            (62)  Νόμος αριθ. 60 της 22ας Αυγούστου 2012.
         
            (63)  Το άρθρο 709 του αστικού κώδικα αποτελεί την κύρια νομική βάση για τις αστικές αγωγές αποζημίωσης. Σύμφωνα με αυτή τη διάταξη, «πρόσωπο που έχει εσκεμμένα ή εξ αμελείας παραβιάσει δικαίωμα άλλων, ή νομικά προστατευόμενο συμφέρον άλλων, υποχρεούται να καταβάλει αποζημίωση για βλάβη που έχει συνέπειες».
         
            (64)  Ανώτατο Δικαστήριο του Τόκιο, απόφαση της 20ής Μαΐου 2015 (μη δημοσιευμένη)· Πρωτοδικείο του Τόκιο, απόφαση της 8ης Σεπτεμβρίου 2014, Westlaw Japan 2014WLJPCA09088002. Βλ. επίσης άρθρο 34 παράγραφοι 1 και 3 του ΝΠΠΠ.
         
            (65)  Βλ. Ανώτατο Δικαστήριο, απόφαση της 24ης Σεπτεμβρίου 2002 (Hanrei Times τ. 1106, σ. 72).
         
            (66)  Άρθρο 239 παράγραφος 2 του Κώδικα Ποινικής Δικονομίας.
         
            (67)  Νόμος αριθ. 160 του 2014.
         
            (68)  Άρθρο 37-2 του Νόμου περί Προσφυγής σε Διοικητικές Υποθέσεις.
         
            (69)  Σύμφωνα με το άρθρο 3 παράγραφος 6 του Νόμου περί Προσφυγής σε Διοικητικές Υποθέσεις, ο όρος «αγωγή mandamus» αναφέρεται σε αγωγή η οποία επιδιώκει έκδοση απόφασης από δικαστήριο η οποία υποχρεώνει διοικητικό φορέα να προχωρήσει σε μια αρχική διοικητική διευθέτηση στην οποία «έπρεπε» να έχει προβεί αλλά δεν το έκανε.
         
            (70)  Άρθρο 37-5 του Νόμου περί Προσφυγής σε Διοικητικές Υποθέσεις.
         
            (71)  Κεφάλαιο II τμήμα 1 του Νόμου περί Προσφυγής σε Διοικητικές Υποθέσεις.
         
            (72)  Βλ., π.χ., Ανώτατο Δικαστήριο, απόφαση της 12ης Σεπτεμβρίου 2003, υπόθεση αριθ. 1656 [2002 (Ju)]. Συγκεκριμένα, το Ανώτατο Δικαστήριο έκρινε ότι «κάθε άτομο είναι ελεύθερο να προστατεύει τις προσωπικές πληροφορίες του από την κοινοποίηση σε τρίτους ή τη δημοσιοποίηση χωρίς βάσιμο λόγο».
         
            (73)  Ανώτατο Δικαστήριο, απόφαση της 6ης Μαρτίου 2008 (Juki-net).
         
            (74)  «Επαρκής αιτία» υφίσταται μόνον όταν το εμπλεκόμενο άτομο (ύποπτος, κατηγορούμενος) θεωρείται ότι έχει διαπράξει αδίκημα και όταν η έρευνα και κατάσχεση είναι αναγκαία για την ποινική έρευνα. Βλ. Ανώτατο Δικαστήριο, απόφαση της 18ης Μαρτίου 1969, υπόθεση αριθ. 100 [1968 (Shi)].
         
            (75)  Βλ. άρθρο 156 παράγραφος 1 του Κώδικα Ποινικής Δικονομίας.
         
            (76)  Πρέπει ωστόσο να σημειωθεί ότι ο Νόμος περί Τιμωρίας του Οργανωμένου Εγκλήματος και Ελέγχου των Εσόδων από Εγκληματικές Πράξεις της 15ης Ιουνίου 2017 εισάγει μια νέα κατηγορία αδικημάτων ποινικοποιώντας την προετοιμασία τρομοκρατικών ενεργειών και ορισμένων άλλων μορφών οργανωμένου εγκλήματος. Έρευνα μπορεί να κινηθεί μόνο σε περίπτωση συγκεκριμένης υποψίας, βάσει αποδείξεων, ότι πληρούνται και οι τρεις αναγκαίες συνθήκες που συνιστούν το αδίκημα (εμπλοκή ομάδας οργανωμένου εγκλήματος, «πράξη σχεδιασμού» και «πράξη προετοιμασίας για την εκτέλεση» του εγκλήματος). Βλ. επίσης π.χ. άρθρα 38-40 του Νόμου περί Πρόληψης της Ανατρεπτικής Δράσης (νόμος αριθ. 240 της 21ης Ιουλίου 1952).
         
            (77)  Άρθρο 15 παράγραφος 8 των Κατευθυντήριων γραμμών σχετικά με την Προστασία των Προσωπικών Πληροφοριών στον τομέα των Τηλεπικοινωνιών.
         
            (78)  Διοικητικά Όργανα όπως ορίζονται στο άρθρο 2 παράγραφος 1 του ΝΠΠΠΚΔΟ. Σύμφωνα με τα στοιχεία που υποβλήθηκαν από την ιαπωνική κυβέρνηση, όλες οι δημόσιες αρχές, εξαιρουμένης της Νομαρχιακής Αστυνομίας, εμπίπτουν στον ορισμό των «Διοικητικών Οργάνων». Παράλληλα, η Νομαρχιακή Αστυνομία λειτουργεί εντός του νομικού πλαισίου που ορίζεται από τα νομαρχιακά διατάγματα για την προστασία των προσωπικών πληροφοριών (βλ. άρθρο 11 του ΝΠΠΠ και Βασική Πολιτική) τα οποία θεσπίζουν διατάξεις για την προστασία των προσωπικών πληροφοριών που είναι ισοδύναμες του ΝΠΠΠΚΔΟ. Βλ. παράρτημα II τμήμα I μέρος B. Όπως εξήγησε η ΕΠΠ, σύμφωνα με τη «Βασική Πολιτική» τα εν λόγω διατάγματα πρέπει να θεσπίζονται με βάση το περιεχόμενο του ΝΠΠΠΚΔΟ και το ΥΕΕ εκδίδει ανακοινώσεις ώστε να παρέχει στους φορείς τοπικής αυτοδιοίκησης τις αναγκαίες σχετικές κατευθύνσεις. Όπως τόνισε η ΕΠΠ, «[ε]ντός αυτών των ορίων, το διάταγμα για την προστασία των προσωπικών πληροφοριών σε κάθε νομαρχία θα θεσπιστεί […] με βάση τη Βασική Πολιτική και το περιεχόμενο των ανακοινώσεων».
         
            (79)  Οι προσωπικές πληροφορίες που περιέρχονται στην κατοχή ενός Διοικητικού Οργάνου κατά την άσκηση των καθηκόντων του και διατηρούνται από το εν λόγω διοικητικό όργανο για οργανωτική χρήση εμπίπτουν στον ορισμό των «διατηρούμενων προσωπικών πληροφοριών» κατά την έννοια του άρθρου 2 παράγραφος 3 του ΝΠΠΠΚΔΟ, εφόσον καταχωρίζονται στα «Διοικητικά Έγγραφα». Σε αυτές περιλαμβάνονται οι ηλεκτρονικές πληροφορίες που συλλέγονται και ακολούθως υποβάλλονται σε περαιτέρω επεξεργασία από τους εν λόγω φορείς, δεδομένου ότι ο ορισμός των «Διοικητικών Εγγράφων» στο άρθρο 2 παράγραφος 2 του Νόμου περί Πρόσβασης σε Πληροφορίες που Τηρούνται από Διοικητικά Όργανα (νόμος αριθ. 42 του 1999) καλύπτει τα ηλεκτρομαγνητικά αρχεία.
         
            (80)  Ωστόσο, σύμφωνα με το άρθρο 53-2 του Κώδικα Ποινικής Δικονομίας, το κεφάλαιο IV του ΝΠΠΠΚΔΟ δεν έχει εφαρμογή στα «έγγραφα που σχετίζονται με δίκες», στα οποία, σύμφωνα με τα στοιχεία που υποβλήθηκαν, περιλαμβάνονται οι ηλεκτρονικές πληροφορίες που λαμβάνονται βάσει εντάλματος ή αιτήματος οικειοθελούς συνεργασίας στο πλαίσιο ποινικής έρευνας. Ομοίως, όσον αφορά τις πληροφορίες που συλλέγονται στον τομέα της εθνικής ασφάλειας, τα άτομα δεν μπορούν να επικαλούνται αποτελεσματικά τα δικαιώματά τους βάσει του ΝΠΠΠΚΔΟ εάν ο επικεφαλής της δημόσιας αρχής μπορεί «ευλόγως» να θεωρήσει ότι η κοινοποίηση «είναι πιθανό να υπονομεύσει την εθνική ασφάλεια» [βλ. άρθρο 14 σημείο iv)]. Ωστόσο, οι δημόσιες αρχές υποχρεούνται να χορηγούν τουλάχιστον μερική κοινοποίηση, όποτε αυτό είναι δυνατό (άρθρο 15).
         
            (81)  Βλ. τις συγκεκριμένες αναφορές στον ΝΠΠΠΚΔΟ στο παράρτημα II τμήμα II μέρος A κεφάλαιο 1 στοιχείο β) σημείο 2.
         
            (82)  Ενώ το άρθρο 220 του ΚΠΔ παρέχει εξουσιοδότηση για έρευνα και κατάσχεση «επιτόπου» χωρίς ένταλμα όταν ένας εισαγγελέας, βοηθός εισαγγελέα ή αξιωματικός της δικαστικής αστυνομίας συλλαμβάνει ύποπτο/επ’ αυτοφόρω παραβάτη, αυτό δεν είναι συναφές στο πλαίσιο της διαβίβασης δεδομένων και, συνεπώς, για τους σκοπούς της παρούσας απόφασης.
         
            (83)  Σύμφωνα με το άρθρο 222 παράγραφος 1 σε συνδυασμό με το άρθρο 110 του ΚΠΔ, το ένταλμα έρευνας/κατάσχεσης για αρχεία πρέπει να επιδεικνύεται στο πρόσωπο στο οποίο θα επιβληθεί το μέτρο.
         
            (84)  Βλ. επίσης άρθρο 189 παράγραφος 2 του ΚΠΔ, σύμφωνα με το οποίο ένας αστυνομικός της δικαστικής αστυνομίας υποβάλλει σε έρευνα τον παραβάτη και τα σχετικά στοιχεία «όταν θεωρεί ότι έχει τελεστεί αδίκημα». Κατά τον ίδιο τρόπο, το άρθρο 155 παράγραφος 1 του Κώδικα Ποινικής Δικονομίας ορίζει ότι το έγγραφο αίτημα για έκδοση εντάλματος περιλαμβάνει, μεταξύ άλλων, το «αδίκημα για το οποίο διατυπώνεται κατηγορία» και «σύνοψη των πραγματικών περιστατικών της εγκληματικής ενέργειας».
         
            (85)  Το παράρτημα αναφέρεται σε 9 είδη εγκληματικών πράξεων, π.χ. εγκλήματα που σχετίζονται με ναρκωτικές ουσίες και όπλα, εμπορία ανθρώπων και το οργανωμένο έγκλημα. Επισημαίνεται ότι η νέα κατηγορία αδικημάτων που περιλαμβάνει την «προετοιμασία τρομοκρατικών ενεργειών και άλλων μορφών οργανωμένου εγκλήματος» (βλ. υποσημείωση 76) δεν περιλαμβάνεται σε αυτόν τον περιοριστικό κατάλογο.
         
            (86)  Επιπροσθέτως, σύμφωνα με το άρθρο 23 του Νόμου για την Παρακολούθηση Τηλεπικοινωνιών, η ερευνητική αρχή οφείλει να ενημερώνει εγγράφως το άτομο του οποίου οι επικοινωνίες έχουν υποκλαπεί (και, συνεπώς, περιλαμβάνεται στο αρχείο υποκλοπής) για το γεγονός αυτό.
         
            (87)  Βλ. παράρτημα II τμήμα II μέρος A κεφάλαιο 1 στοιχείο β) σημείο 1.
         
            (88)  Σύμφωνα με τα στοιχεία που υποβλήθηκαν, οι επιχειρηματικοί φορείς που δεν συνεργάζονται δεν αντιμετωπίζουν αρνητικές συνέπειες (συμπεριλαμβανομένων των κυρώσεων) βάσει οποιουδήποτε νόμου. Βλ. παράρτημα II τμήμα II μέρος A κεφάλαιο 2 στοιχείο α).
         
            (89)  Σύμφωνα με τις κατευθυντήριες γραμμές της ΕΠΠ (Γενική Έκδοση Κανόνων), το άρθρο 23 παράγραφος 1 σημείο i) παρέχει τη βάση για την κοινοποίηση προσωπικών πληροφοριών τόσο βάσει εντάλματος (άρθρο 218 του ΚΠΔ) όσο και «φύλλου ερωτήσεων» (άρθρο 197 παράγραφος 2 του ΚΠΔ).
         
            (90)  Αυτό σημαίνει ότι το «φύλλο ερωτήσεων» μπορεί να χρησιμοποιείται μόνο για τη συλλογή πληροφοριών σε μεμονωμένες περιπτώσεις και όχι για συλλογή δεδομένων προσωπικού χαρακτήρα σε μεγάλη κλίμακα. Βλ. παράρτημα II τμήμα I μέρος A κεφάλαιο 2 στοιχείο β) σημείο 1.
         
            (91)  Μαζί με τους κανονισμούς της Νομαρχιακής Επιτροπής Δημόσιας Ασφάλειας, βλ. άρθρο 189 παράγραφος 1 του ΚΠΔ.
         
            (92)  Βλ. επίσης άρθρο 3 του Νόμου περί Αστυνομίας, σύμφωνα με το οποίο ο όρκος που δίνουν όλοι οι αστυνομικοί είναι «να παραμένουν πιστοί στην υποχρέωση υπεράσπισης και εγγύησης του Συντάγματος και των νόμων της Ιαπωνίας, και να εκτελούν τα καθήκοντά τους με αμερόληπτο, δίκαιο και σωστό τρόπο, χωρίς προκαταλήψεις».
         
            (93)  Σύμφωνα με το άρθρο 30 παράγραφος 1 και το άρθρο 31 παράγραφος 2 του Νόμου περί Αστυνομίας, ο Γενικός Διευθυντής των Περιφερειακών Αστυνομικών Υπηρεσιών (δηλαδή των κατά τόπους τμημάτων της ΕΑΥ) «διευθύνει και εποπτεύει» τη Νομαρχιακή Αστυνομία.
         
            (94)  Το φύλλο ερωτήσεων πρέπει επίσης να αναφέρει τα στοιχεία επικοινωνίας του «υπευθύνου χειρισμού» («αριθμός τμήματος [θέση], όνομα του υπευθύνου χειρισμού, αριθμός τηλεφώνου του γραφείου, εσωτερικός αριθμός κ.λπ.»).
         
            (95)  Ανώτατο Δικαστήριο, απόφαση της 24ης Δεκεμβρίου 1969 [1965(A) 1187]· απόφαση της 15ης Απριλίου 2008 [2007(A) 839].
         
            (96)  Αν και οι εν λόγω αποφάσεις δεν αφορούσαν τη συλλογή ηλεκτρονικών πληροφοριών, η ιαπωνική κυβέρνηση έχει διευκρινίσει ότι η εφαρμογή των κριτηρίων που ανέπτυξε το Ανώτατο Δικαστήριο επεκτείνεται σε κάθε παρέμβαση δημόσιων αρχών στο δικαίωμα στην ιδιωτικότητα, συμπεριλαμβανομένων όλων των «οικειοθελών ερευνών», και ότι, κατά συνέπεια, τα κριτήρια αυτά δεσμεύουν τις ιαπωνικές αρχές και όταν υποβάλλουν αιτήματα για οικειοθελή κοινοποίηση πληροφοριών. Βλ. παράρτημα II τμήμα II μέρος A κεφάλαιο 2 στοιχείο β) σημείο 1.
         
            (97)  Σύμφωνα με τις πληροφορίες που έχουν δοθεί, οι παράγοντες αυτοί πρέπει να θεωρούνται «εύλογοι σύμφωνα με τις κοινωνικά αποδεκτές συμβάσεις». Βλ. παράρτημα II τμήμα II μέρος A κεφάλαιο 2 στοιχείο β) σημείο 1.
         
            (98)  Για ανάλογες παρατηρήσεις στο πλαίσιο των υποχρεωτικών ερευνών (παρακολούθηση τηλεπικοινωνιών) βλ. επίσης Ανώτατο Δικαστήριο, Απόφαση της 16ης Δεκεμβρίου 1999, 1997 (A) 636.
         
            (99)  Οι ιαπωνικές αρχές παρέπεμψαν σχετικά στις κατευθυντήριες γραμμές της ΕΠΠ (Γενική Έκδοση Κανόνων) και στο σημείο 5/14 των «Ερωτήσεων και Απαντήσεων» που συνέταξε η ΕΠΠ για την εφαρμογή του ΝΠΠΠ. Σύμφωνα με τις ιαπωνικές αρχές, «δεδομένης της αυξανόμενης επίγνωσης των ατόμων όσον αφορά τα δικαιώματα τους στην ιδιωτικότητα, καθώς και τον φόρτο εργασίας που δημιουργούν τα αιτήματα αυτά, οι επιχειρηματικοί φορείς είναι όλο και πιο προσεκτικοί όταν απαντούν σε τέτοιου είδους αιτήματα». Βλ. παράρτημα II τμήμα II μέρος A κεφάλαιο 2, και με αναφορά στην Ανακοίνωση της ΕΑΥ του 1999. Σύμφωνα με τα στοιχεία που υποβλήθηκαν, υπήρξαν πράγματι περιπτώσεις στις οποίες επιχειρηματικοί φορείς αρνήθηκαν να συνεργαστούν. Π.χ. στην έκθεση διαφάνειας του 2017 η LINE [η πιο δημοφιλής εφαρμογή ανταλλαγής μηνυμάτων (messaging app) στην Ιαπωνία] αναφέρει τα εξής: «Μετά τη λήψη αιτημάτων από ερευνητικές υπηρεσίες κ.λπ., […] ελέγχουμε την καταλληλότητα από τη σκοπιά της νομιμότητας, της προστασίας των χρηστών, κ.λπ. Κατά τον έλεγχο αυτό, θα απορρίψουμε το αίτημα άμεσα εάν υπάρχει νομική ανεπάρκεια. Αν το πεδίο της αξίωσης είναι πολύ ευρύ για τον σκοπό της έρευνας, ζητούμε εξηγήσεις από τον ερευνητικό φορέα. Αν η εξήγηση δεν είναι αιτιολογημένη, δεν θα απαντήσουμε στο αίτημα». Διατίθεται στο διαδίκτυο στη διεύθυνση: https://linecorp.com/en/security/transparency/top
         
            (100)  Οι ποινές είναι 3 έτη φυλάκισης με εργασία ή πρόστιμο έως 2 εκατομμύρια γιεν για τα πρόσωπα που «δραστηριοποιούνται στον κλάδο των τηλεπικοινωνιών».
         
            (101)  Ως «δικαιολογημένες πράξεις» βάσει του ποινικού κώδικα ορίζονται συγκεκριμένα εκείνες οι πράξεις ενός φορέα τηλεπικοινωνιών δια των οποίων συμμορφώνεται με κρατικά μέτρα τα οποία έχουν νομική ισχύ (υποχρεωτικά μέτρα), π.χ. όταν οι ερευνητικές αρχές λαμβάνουν μέτρα βάσει εντάλματος που έχει εκδοθεί από δικαστή. Βλ. παράρτημα II τμήμα II μέρος A κεφάλαιο 2 στοιχείο β) σημείο 2, με αναφορά στις Κατευθυντήριες γραμμές σχετικά με την Προστασία των Προσωπικών Πληροφοριών στον Κλάδο των Τηλεπικοινωνιών.
         
            (102)  Όσον αφορά τα δικαιώματα των ενδιαφερόμενων ατόμων, βλ. ενότητα 3.1.
         
            (103)  Κατ' αρχήν, ο εισαγγελέας —ή ο βοηθός εισαγγελέας υπό τις διαταγές εισαγγελέα— δύναται, αν το θεωρεί αναγκαίο, να προχωρήσει στην έρευνα ενός αδικήματος (άρθρο 191 παράγραφος 1 του ΚΠΔ).
         
            (104)  Σύμφωνα με τα στοιχεία που υποβλήθηκαν, η Εθνική Αστυνομική Υπηρεσία δεν διενεργεί μεμονωμένες ποινικές έρευνες. Βλ. παράρτημα II τμήμα II μέρος A κεφάλαιο 1 στοιχείο α).
         
            (105)  Βλ. επίσης άρθρο 246 του ΚΠΔ, σύμφωνα με το οποίο η δικαστική αστυνομία έχει την υποχρέωση να διαβιβάζει τον φάκελο στην εισαγγελία όταν ολοκληρώνει την έρευνα ενός ποινικού αδικήματος («Αρχή της αποστολής σε όλες τις περιπτώσεις»).
         
            (106)  Εναλλακτικά, η Δίαιτα δύναται να ζητήσει τη διενέργεια έρευνας από το Συμβούλιο Εποπτείας και Επισκόπησης των Ειδικά Καθορισμένων Απορρήτων με αντικείμενο την άρνηση απάντησης. Βλ. άρθρο 104-II του Νόμου περί της Δίαιτας.
         
            (107)  Βλ. παράρτημα II τμήμα II μέρος Β κεφάλαιο 4.
         
            (108)  Επιπλέον, σύμφωνα με τις διατάξεις του άρθρου 100 του Νόμου περί Τοπικής Αυτονομίας, η τοπική συνέλευση έχει την εξουσία να ερευνά τις δραστηριότητες των αρχών επιβολής του νόμου που έχουν ιδρυθεί σε επίπεδο νομαρχιών, συμπεριλαμβανομένης της Νομαρχιακής Αστυνομίας.
         
            (109)  Βλ. άρθρα 39-41 του Νόμου περί Αστυνομίας. Όσον αφορά την πολιτική ουδετερότητα, βλ. επίσης άρθρο 42 του Νόμου περί Αστυνομίας.
         
            (110)  Βλ. παράρτημα II τμήμα II μέρος Β κεφάλαιο 3 («σύστημα ανεξάρτητων συμβουλίων»).
         
            (111)  Βλ. άρθρο 5 παράγραφος 3 και άρθρο 38 παράγραφος 3 του Νόμου περί Αστυνομίας.
         
            (112)  Βλ. άρθρο 38 παράγραφος 3 και άρθρο 43-2 παράγραφος 1 του Νόμου περί Αστυνομίας. Στην περίπτωση που «παρέχει καθοδήγηση» κατά την έννοια του άρθρου 43-2 παράγραφος 1, η Νομαρχιακή Επιτροπή Δημόσιας Ασφάλειας μπορεί να δώσει εντολή σε επιτροπή που η ίδια ορίζει να παρακολουθεί την εξέλιξη της υπόθεσης (παράγραφος 2). Επίσης, η Επιτροπή μπορεί να συστήσει πειθαρχική δίωξη ή αποπομπή του Αρχηγού της Νομαρχιακής Αστυνομίας (άρθρο 50 παράγραφος 2), καθώς και άλλων αστυνομικών (άρθρο 55 παράγραφος 4 του Νόμου περί Αστυνομίας).
         
            (113)  Το ίδιο ισχύει και για τον Γενικό Αστυνομικό Διευθυντή στην περίπτωση της Μητροπολιτικής Αστυνομίας του Τόκιο (βλ. άρθρο 48 παράγραφος 1 του Νόμου περί Αστυνομίας).
         
            (114)  Με βάση τα στοιχεία που δόθηκαν, κατά το ΟΕ2017 (Απρίλιος 2017 έως Μάρτιος 2018), τα «ολοκληρωμένα κέντρα πληροφόρησης» διεκπεραίωσαν συνολικά 5 186 ερωτήσεις που υποβλήθηκαν από άτομα.
         
            (115)  Η προϋπόθεση «ειδικού μειονεκτήματος» υποδηλώνει απλώς ότι οι ενέργειες (ή η αδράνεια) της αστυνομίας πρέπει να αφορούν ατομικά τον καταγγέλλοντα, και όχι ότι ο καταγγέλλων υποχρεούται να αποδείξει την ύπαρξη βλάβης.
         
            (116)  Η τήρηση του νόμου, συμπεριλαμβανομένων των νομικών απαιτήσεων για τη συλλογή και τη χρήση δεδομένων προσωπικού χαρακτήρα, αποτελεί μέρος των εν λόγω καθηκόντων. Βλ. άρθρο 2 παράγραφος 2 και άρθρο 3 του Νόμου περί Αστυνομίας.
         
            (117)  Κατά τη διενέργεια της αξιολόγησής της, η ΕΠΠ συνεργάζεται με το ΥΕΕ το οποίο, όπως εξηγείται στην αιτιολογική σκέψη 136, δύναται να ζητεί εξηγήσεις και υποβολή υλικού, και να εκδίδει γνωμοδοτήσεις, σχετικά με τον χειρισμό των προσωπικών πληροφοριών από το αντίστοιχο Διοικητικό Όργανο (άρθρα 50, 51 του ΝΠΠΠΚΔΟ).
         
            (118)  Εδώ περιλαμβάνεται το ένταλμα παρακολούθησης τηλεπικοινωνιών, για το οποίο ο Νόμος για την Παρακολούθηση Τηλεπικοινωνιών θεσπίζει ειδική απαίτηση ενημέρωσης (άρθρο 23). Σύμφωνα με τη συγκεκριμένη διάταξη, η ερευνητική αρχή οφείλει να ενημερώνει εγγράφως τα άτομα των οποίων οι επικοινωνίες έχουν υποκλαπεί (και, συνεπώς, περιλαμβάνονται στο αρχείο της υποκλοπής) για το γεγονός αυτό. Άλλο ένα παράδειγμα είναι το άρθρο 100 παράγραφος 3 του ΚΠΔ βάσει του οποίου το δικαστήριο, όταν έχει κατάσχει ταχυδρομικά αντικείμενα ή τηλεγραφήματα που στάλθηκαν στον ή από τον κατηγορούμενο, ενημερώνει τον αποστολέα ή τον παραλήπτη, εκτός εάν υπάρχει κίνδυνος η ενημέρωση να δημιουργήσει προσκόμματα στη δικαστική διαδικασία. Το άρθρο 222 παράγραφος 1 του ΚΠΔ παραπέμπει σε αυτή τη διάταξη για τις έρευνες και τις κατασχέσεις που πραγματοποιούνται από ερευνητική αρχή.
         
            (119)  Αν και ένα τέτοιο αίτημα δεν συνεπάγεται αυτομάτως αναστολή εκτέλεσης της απόφασης κατάσχεσης, το αρμόδιο για την επανεξέταση δικαστήριο μπορεί να διατάξει την αναστολή μέχρι να λάβει απόφαση επί της ουσίας. Βλ. άρθρο 429 παράγραφος 2 και άρθρο 432 σε συνδυασμό με το άρθρο 424 του ΚΠΔ.
         
            (120)  Βλ. παράρτημα II τμήμα II μέρος Γ κεφάλαιο 1.
         
            (121)  Βλ. παράρτημα II τμήμα II μέρος Γ κεφάλαιο 2.
         
            (122)  Βλ. π.χ., Πρωτοδικείο του Τόκιο, απόφαση της 24ης Μαρτίου 1988 (αριθ. 2925)· Πρωτοδικείο της Οσάκα, απόφαση της 26ης Απριλίου 2007 (αριθ. 2925). Σύμφωνα με το Πρωτοδικείο της Οσάκα, πρέπει να σταθμιστεί μια σειρά παραγόντων, όπως π.χ.: i) η φύση και το περιεχόμενο των εξεταζόμενων προσωπικών πληροφοριών· ii) ο τρόπος συλλογής τους· iii) τα προβλήματα που θα προκαλούσε στο άτομο η μη διαγραφή των πληροφοριών· και iv) το δημόσιο συμφέρον, όπως π.χ. τα προβλήματα που θα προκαλούσε στη δημόσια αρχή η διαγραφή των πληροφοριών.
         
            (123)  Σε κάθε περίπτωση, μετά την άσκηση ποινικής διαδικασίας, παρέχεται στον κατηγορούμενο η δυνατότητα να εξετάσει τα εν λόγω αποδεικτικά στοιχεία (βλ. άρθρα 298-299 του ΚΠΔ). Όσον αφορά τα θύματα εγκληματικών πράξεων, βλ. άρθρα 316-333 του ΚΠΔ.
         
            (124)  Κατά συνέπεια, οι επιχειρηματικοί φορείς μπορούν ελεύθερα να επιλέξουν να μη συνεργαστούν, χωρίς να κινδυνεύουν με κυρώσεις ή άλλες αρνητικές συνέπειες. Βλ. παράρτημα II τμήμα III μέρος Α κεφάλαιο 1.
         
            (125)  Ωστόσο, σύμφωνα με τα στοιχεία που έχουν υποβληθεί, ο κύριος ρόλος της ΕΑΥ είναι ο συντονισμός των ερευνών από τα διάφορα τμήματα της Νομαρχιακής Αστυνομίας και η ανταλλαγή πληροφοριών με ξένες αρχές. Ακόμη και σ’ αυτόν τον ρόλο, η ΕΑΥ υπόκειται σε εποπτεία από την Εθνική Επιτροπή Δημόσιας Ασφάλειας, η οποία είναι υπεύθυνη, μεταξύ άλλων, για την προστασία των δικαιωμάτων και των ελευθεριών των ατόμων (άρθρο 5 παράγραφος 1 του Νόμου περί Αστυνομίας).
         
            (126)  Βλ. παράρτημα II τμήμα III μέρος Α κεφάλαιο 1 στοιχείο 3. Το αντίστοιχο πεδίο εφαρμογής των δύο αυτών νόμων είναι περιορισμένο, με τον ΝΠΑΔ να αναφέρεται σε «τρομοκρατική ανατρεπτική δράση» και τον ΝΕΟ σε «πράξη μαζικής δολοφονίας χωρίς διάκριση» (εννοώντας «τρομοκρατική ανατρεπτική δράση» βάσει του ΝΠΑΔ «δια της οποίας δολοφονείται μεγάλος αριθμός προσώπων χωρίς διάκριση»).
         
            (127)  Βλ. άρθρα 5, 8 του ΝΕΟ. Μια διευθέτηση παρακολούθησης συνεπάγεται επίσης υποχρέωση υποβολής έκθεσης για τον οργανισμό τον οποίο αφορά το μέτρο. Για τις διαδικαστικές εγγυήσεις, και ιδίως τις απαιτήσεις διαφάνειας και την προηγούμενη χορήγηση άδειας από την Επιτροπή Εξέτασης Δημόσιας Ασφάλειας, βλ. άρθρα 12, 13, 15-27 του ΝΕΟ.
         
            (128)  Βλ. άρθρα 5, 7 του ΝΠΑΔ. Για τις διαδικαστικές εγγυήσεις, και ιδίως τις απαιτήσεις διαφάνειας και την προηγούμενη χορήγηση άδειας από την Επιτροπή Εξέτασης Δημόσιας Ασφάλειας, βλ. άρθρα 11-25, του ΝΠΑΔ.
         
            (129)  Βλ. άρθρο 27 του ΝΠΑΔ και άρθρα 29, 30 του ΝΕΟ.
         
            (130)  Βλ. παράρτημα II τμήμα III μέρος Α κεφάλαιο 1 στοιχείο 3.
         
            (131)  Βλ. παράρτημα II τμήμα III μέρος A κεφάλαιο 2 στοιχείο β): «Από τη νομολογία του Ανωτάτου Δικαστηρίου προκύπτει ότι, προκειμένου να υποβληθεί αίτημα οικειοθελούς συνεργασίας σε επιχειρηματικό φορέα, το εν λόγω αίτημα πρέπει να είναι απαραίτητο για τη διερεύνηση πιθανής εγκληματικής πράξης και πρέπει να είναι εύλογο προκειμένου να επιτευχθεί ο σκοπός της έρευνας. Αν και οι έρευνες που διενεργούνται από ερευνητικές αρχές στον τομέα της εθνικής ασφάλειας διαφέρουν από τις έρευνες που διενεργούνται από ερευνητικές αρχές στον τομέα της επιβολής του νόμου τόσο ως προς τη νομική βάση όσο και ως προς τον σκοπό, οι κεντρικές αρχές της “”αναγκαιότητας της έρευνας» και της «καταλληλότητας της μεθόδου» εφαρμόζονται κατά τον ίδιο τρόπο στον τομέα της εθνικής ασφάλειας και πρέπει να τηρούνται λαμβανομένων υπόψη των ειδικών συνθηκών της κάθε υπόθεσης».
         
            (132)  Βλ. παράρτημα II τμήμα III μέρος A κεφάλαιο 2 στοιχείο β).
         
            (133)  Βλ. π.χ. άρθρο 36 του ΝΠΑΔ/άρθρο 31 του ΝΕΟ (για τον ΟΠΔΑ).
         
            (134)  Ο προϊστάμενος της ΥΝΣ είναι πρώην εισαγγελέας. Βλ. παράρτημα II τμήμα III μέρος Β κεφάλαιο 3.
         
            (135)  Βλ. παράρτημα II τμήμα III μέρος Β κεφάλαιο 3. Σύμφωνα με το παρεχόμενο παράδειγμα, η Τακτική Επιθεώρηση Άμυνας του 2016 σχετικά με τη «Συνείδηση/Ετοιμότητα για Νομική Συμμόρφωση» κάλυπτε μεταξύ άλλων την «κατάσταση της προστασίας προσωπικών πληροφοριών» (διαχείριση, αποθήκευση κλπ.). Η έκθεση που συντάχθηκε διαπίστωσε περιπτώσεις μη ενδεδειγμένης διαχείρισης δεδομένων και ζήτησε σχετικές βελτιώσεις. Το ΥΑ δημοσίευσε την έκθεση στον δικτυακό τόπο του.
         
            (136)  Σύμφωνα με τον Νόμο περί Ίδρυσης της Επιτροπής Εξέτασης Δημόσιας Ασφάλειας, ο πρόεδρος και τα μέλη της Επιτροπής «ασκούν ανεξάρτητα την εξουσία τους» (άρθρο 3). Διορίζονται από τον Πρωθυπουργό με τη συγκατάθεση αμφότερων των Σωμάτων του Κοινοβουλίου (Δίαιτας) και μπορούν να αποπεμφθούν μόνο «για σοβαρό λόγο» (π.χ. φυλάκιση, παράπτωμα, ψυχική ή σωματική πάθηση, έναρξη πτωχευτικής διαδικασίας).
         
            (137)  Κανονισμός της Περιοδικής Επιθεώρησης του Οργανισμού Πληροφοριών Δημόσιας Ασφάλειας (Γενικός Διευθυντής του ΟΠΔΑ, Οδηγία αριθ. 4, 1986).
         
            (138)  Κανονισμός της Ειδικής Επιθεώρησης του Οργανισμού Πληροφοριών Δημόσιας Ασφάλειας (Γενικός Διευθυντής του ΟΠΔΑ, Οδηγία αριθ. 11, 2008). Ειδικές επιθεωρήσεις πραγματοποιούνται όταν το κρίνει αναγκαίο ο Γενικός Διευθυντής του ΟΠΔΑ.
         
            (139)  Αναφέρεται στο δικαίωμα λήψης αντιγράφου των «Διατηρούμενων Προσωπικών Πληροφοριών».
         
            (140)  Βλ. επίσης τη δυνατότητα για «κοινοποίηση κατά τη διακριτική ευχέρεια» ακόμη και στην περίπτωση όπου στις «Διατηρούμενες Προσωπικές Πληροφορίες» των οποίων ζητείται η κοινοποίηση περιλαμβάνονται «Μη Κοινοποιούμενες Πληροφορίες» (άρθρο 16 του ΝΠΠΠΚΔΟ).
         
            (141)  Νόμος περί Εξέτασης των Διοικητικών Καταγγελιών (Νόμος αριθ. 160 του 2014), και ιδίως άρθρο 1 παράγραφος 1.
         
            (142)  Βλ. άρθρο 9 του Νόμου για τη Σύσταση του Συμβουλίου Εξέτασης της Κοινοποίησης Πληροφοριών και της Προστασίας Προσωπικών Πληροφοριών (Νόμος αριθ. 60 του 2003).
         
            (143)  Σύμφωνα με τα στοιχεία που έχουν υποβληθεί, στα 13 έτη που έχουν μεσολαβήσει από το 2005 (όταν τέθηκε σε ισχύ ο ΝΠΠΠΚΔΟ), το Διοικητικό Όργανο δεν υιοθέτησε την έκθεση σε μόλις δύο από τις περισσότερες από 2000 υποθέσεις, παρά το γεγονός ότι το Συμβούλιο Εξέτασης αντιτάχθηκε στις διοικητικές αποφάσεις σε αρκετές περιπτώσεις. Επιπροσθέτως, όταν το Διοικητικό Όργανο λαμβάνει μια απόφαση που αποκλίνει από τα πορίσματα της έκθεσης, πρέπει να εξηγήσει σαφώς τους λόγους. Βλ. παράρτημα II τμήμα III μέρος Γ, με αναφορά στο άρθρο 50 παράγραφος 1 σημείο iv) του Νόμου περί Εξέτασης των Διοικητικών Καταγγελιών.
         
            (144)  Τα ολοκληρωμένα κέντρα πληροφόρησης —ένα σε κάθε νομαρχία— παρέχουν στους πολίτες εξηγήσεις σχετικά με τις προσωπικές πληροφορίες που συλλέγονται από τις δημόσιες αρχές (π.χ. υφιστάμενες βάσεις δεδομένων) και τους εφαρμοστέους κανόνες προστασίας των δεδομένων (ΝΠΠΠΚΔΟ), καθώς και για το πώς να ασκούν τα δικαιώματά τους για κοινοποίηση, διόρθωση ή αναστολή της χρήσης. Ταυτόχρονα, τα κέντρα λειτουργούν ως σημείο επικοινωνίας για ερωτήσεις ή καταγγελίες πολιτών. Βλ. παράρτημα II τμήμα II μέρος Γ κεφάλαιο 4 στοιχείο α).
         
            (145)  Βλ. επίσης άρθρα 10 και 11 του ΝΠΠΠΚΔΟ σχετικά με το «μητρώο αρχείων προσωπικών πληροφοριών», τα οποία ωστόσο περιλαμβάνουν εκτεταμένες εξαιρέσεις όταν πρόκειται για «αρχεία προσωπικών πληροφοριών» που καταρτίζονται ή αποκτώνται για ποινικές έρευνες ή άπτονται ζητημάτων τα οποία αφορούν την ασφάλεια και άλλα σημαντικά συμφέροντα του Κράτους [βλ. άρθρο 10 παράγραφος 2 σημεία i) και ii) του ΝΠΠΠΚΔΟ].
         
            (146)  Βλέπε υποσημείωση 3 ανωτέρω.
         
            (147)  Schrems, σκέψη 76.
         
            (148)  Schrems, σκέψη 65.
         
            (149)  Schrems, σκέψη 65: «Ως προς το ζήτημα αυτό απόκειται στον εθνικό νομοθέτη να προβλέψει μέσα παροχής ενδίκου προστασίας παρέχοντα τη δυνατότητα στην οικεία εθνική αρχή ελέγχου να προβάλει τις αιτιάσεις που κρίνει βάσιμες ενώπιον των εθνικών δικαστηρίων, ώστε αυτά, αν συμφωνούν ότι υπάρχουν αμφιβολίες ως προς το κύρος της αποφάσεως της Επιτροπής, να υποβάλουν προδικαστικό ερώτημα προς έλεγχο του κύρους της συγκεκριμένης αποφάσεως».
         
            (150)  Σύμφωνα με το άρθρο 45 παράγραφος 3 του κανονισμού (ΕΕ) 2016/679, «[η] εκτελεστική πράξη προβλέπει μηχανισμό περιοδικής επανεξέτασης, τουλάχιστον ανά τετραετία, στην οποία συνεκτιμώνται όλες οι σχετικές εξελίξεις στην τρίτη χώρα ή τον διεθνή οργανισμό».
         
            (151)  Το άρθρο 45 παράγραφος 3 του κανονισμού (ΕΕ) 2016/679 ορίζει ότι πρέπει να διενεργείται περιοδική επανεξέταση τουλάχιστον ανά τετραετία. Βλ. επίσης ΕΣΠΔ, Παραπομπή για την επάρκεια, WP 254 αναθ. 01.
         
            (152)  Βλ. επίσης παράρτημα II τμήμα IV: «Στο πλαίσιο της περιοδικής επανεξέτασης της απόφασης επάρκειας, η ΕΠΠ και η Ευρωπαϊκή Επιτροπή ανταλλάσσουν πληροφορίες σχετικά με την επεξεργασία των δεδομένων με βάση τις προϋποθέσεις της διαπίστωσης επάρκειας, συμπεριλαμβανομένων των οριζόμενων στην παρούσα παρουσίαση».
         
            (153)  Κανονισμός (ΕΕ) αριθ. 182/2011 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 16ης Φεβρουαρίου 2011, για τη θέσπιση κανόνων και γενικών αρχών σχετικά με τους τρόπους ελέγχου από τα κράτη μέλη της άσκησης των εκτελεστικών αρμοδιοτήτων από την Επιτροπή (ΕΕ L 55 της 28.2.2011, σ. 13)
         
            (154)  Γνώμη 28/2018 σχετικά με το σχέδιο εκτελεστικής απόφασης της Ευρωπαϊκής Επιτροπής για την επαρκή προστασία των δεδομένων προσωπικού χαρακτήρα στην Ιαπωνία, που εγκρίθηκε στις 5 Δεκεμβρίου 2018.
         
            (155)  Ευρωπαϊκό Κοινοβούλιο, Ψήφισμα της 12ης Δεκεμβρίου 2017«Προς μια στρατηγική για το ψηφιακό εμπόριο» [2017/2065(INI)]. Βλέπε ειδικότερα το σημείο 8 («...υπενθυμίζει ότι επιτρέπεται η μεταφορά δεδομένων προσωπικού χαρακτήρα σε τρίτες χώρες χωρίς να γίνεται προσφυγή σε γενικούς κανόνες εμπορικών συμφωνιών, όταν πληρούνται οι απαιτήσεις - τόσο στο παρόν όσο και στο μέλλον - που θεσπίζονται στο […] κεφάλαιο V του κανονισμού (ΕΕ) 2016/679· αναγνωρίζει ότι οι αποφάσεις περί επάρκειας, περιλαμβανομένων αποφάσεων σε μερικό ή τομεακό επίπεδο, συνιστούν βασικό εργαλείο για τη διασφάλιση της μεταφοράς δεδομένων προσωπικού χαρακτήρα από την ΕΕ σε τρίτη χώρα· σημειώνει ότι η ΕΕ έχει υιοθετήσει αποφάσεις περί επάρκειας μόνο έναντι τεσσάρων από τους 20 μεγαλύτερους εμπορικούς εταίρους της...») και το σημείο 9 («καλεί την Επιτροπή να δώσει προτεραιότητα και να επιταχύνει την υιοθέτηση αποφάσεων περί επάρκειας, με την προϋπόθεση ότι οι τρίτες χώρες θα διασφαλίσουν, μέσω της εθνικής τους νομοθεσίας ή των διεθνών δεσμεύσεών τους, επίπεδο προστασίας “ουσιαστικά ισοδύναμο” με αυτό που διασφαλίζεται εντός της ΕΕ...»).
         
            (156)  Ευρωπαϊκό Κοινοβούλιο, Ψήφισμα της 13ης Δεκεμβρίου 2018, «Επάρκεια της παρεχόμενης από την Ιαπωνία προστασίας των δεδομένων προσωπικού χαρακτήρα» [2018/2979 (RSP)].
      
      
         
            ΠΑΡΑΡΤΗΜΑ 1
            
               ΣΥΜΠΛΗΡΩΜΑΤΙΚΟΙ ΚΑΝΟΝΕΣ ΔΥΝΑΜΕΙ ΤΟΥ ΝΟΜΟΥ ΠΕΡΙ ΠΡΟΣΤΑΣΙΑΣ ΠΡΟΣΩΠΙΚΩΝ ΠΛΗΡΟΦΟΡΙΩΝ ΓΙΑ ΤΟΝ ΧΕΙΡΙΣΜΟ ΤΩΝ ΔΕΔΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ ΠΟΥ ΔΙΑΒΙΒΑΖΟΝΤΑΙ ΑΠΟ ΤΗΝ ΕΕ ΒΑΣΕΙ ΑΠΟΦΑΣΗΣ ΕΠΑΡΚΕΙΑΣ
            
            Πίνακας περιεχομένων
            
                        (1)
                     
                     Προσωπικές πληροφορίες που απαιτούν ειδική μέριμνα (άρθρο 2 παράγραφος 3 του Νόμου)
                     38
                  
                        (2)
                     
                     Διατηρούμενα δεδομένα προσωπικού χαρακτήρα (άρθρο 2 παράγραφος 7 του Νόμου)
                     39
                  
                        (3)
                     
                     Προσδιορισμός σκοπού χρήσης, περιορισμός λόγω σκοπού χρήσης (άρθρο 15 παράγραφος 1, άρθρο 16 παράγραφος 1 και άρθρο 26 παράγραφοι 1 και 3 του Νόμου)
                     40
                  
                        (4)
                     
                     Περιορισμός της παροχής δεδομένων σε τρίτον σε ξένη χώρα (άρθρο 24 του Νόμου άρθρο 11-2 των Κανόνων)
                     41
                  
                        (5)
                     
                     Πληροφορίες που υποβάλλονται σε ανωνυμοποιημένη επεξεργασία (άρθρο 2 παράγραφος 9 και άρθρο 36 παράγραφοι 1 και 2 του Νόμου)
                     41
                  [Όροι]
            
                        «Νόμος»
                     
                     
                        Ο Νόμος περί Προστασίας Προσωπικών Πληροφοριών (Νόμος αριθ. 57 του 2003)
                     
                  
                        «Υπουργικό Διάταγμα»
                     
                     
                        Υπουργικό Διάταγμα για την Εφαρμογή του Νόμου περί Προστασίας Προσωπικών Πληροφοριών (Υπουργικό Διάταγμα αριθ. 507 του 2003)
                     
                  
                        «Κανόνες»
                     
                     
                        Κανόνες Εφαρμογής του Νόμου περί Προστασίας Προσωπικών Πληροφοριών (Κανόνες της Επιτροπής Προστασίας Προσωπικών Πληροφοριών αριθ. 3 του 2016) «Κατευθυντήριες Γραμμές
                     
                  
                        για τους Γενικούς Κανόνες»
                     
                     
                        Κατευθυντήριες Γραμμές για την Εφαρμογή του Νόμου περί Προστασίας Προσωπικών Πληροφοριών (τόμος για τους Γενικούς Κανόνες) (Ανακοίνωση της Επιτροπής Προστασίας Προσωπικών Πληροφοριών αριθ. 65 του 2015)
                     
                  
                        «ΕΕ»
                     
                     
                        Ευρωπαϊκή Ένωση, συμπεριλαμβανομένων των κρατών μελών της και, υπό το πρίσμα της συμφωνίας ΕΟΧ, της Ισλανδίας, του Λιχτενστάιν και της Νορβηγίας
                     
                  
                        «ΓΚΠΔ»
                     
                     
                        Κανονισμός του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (γενικός κανονισμός για την προστασία δεδομένων)
                     
                  
                        «Απόφαση περί επάρκειας»
                     
                     
                        Απόφαση της Ευρωπαϊκής Επιτροπής που ορίζει ότι τρίτη χώρα ή έδαφος εντός της εν λόγω τρίτης χώρας κ.λπ. διασφαλίζει επαρκές επίπεδο προστασίας των δεδομένων προσωπικού χαρακτήρα σύμφωνα με το άρθρο 45 του ΓΚΠΔ.
                     
                  Η Επιτροπή Προστασίας Προσωπικών Πληροφοριών, με σκοπό την αμοιβαία και ομαλή διαβίβαση δεδομένων προσωπικού χαρακτήρα μεταξύ της Ιαπωνίας και της ΕΕ, όρισε την ΕΕ ως ξένη χώρα που διαθέτει σύστημα προστασίας των προσωπικών πληροφοριών το οποίο αναγνωρίζεται ότι πληροί ισοδύναμα πρότυπα με το αντίστοιχο σύστημα της Ιαπωνίας όσον αφορά την προστασία των δικαιωμάτων και των συμφερόντων του ατόμου βάσει του άρθρου 24 του Νόμου, η δε Ευρωπαϊκή Επιτροπή αποφάσισε ταυτόχρονα ότι η Ιαπωνία διασφαλίζει επαρκές επίπεδο προστασίας των δεδομένων προσωπικού χαρακτήρα σύμφωνα με το άρθρο 45 του ΓΚΠΔ.
            Στο πλαίσιο αυτό, η αμοιβαία και ομαλή διαβίβαση δεδομένων προσωπικού χαρακτήρα θα πραγματοποιείται μεταξύ Ιαπωνίας και ΕΕ κατά τρόπο που να διασφαλίζει υψηλό επίπεδο προστασίας των δικαιωμάτων και των συμφερόντων του ατόμου. Για να διασφαλιστεί το εν λόγω υψηλό επίπεδο προστασίας όσον αφορά τις προσωπικές πληροφορίες που λαμβάνονται από την ΕΕ βάσει απόφασης περί επάρκειας και με βάση το γεγονός ότι, παρά τον υψηλό βαθμό σύγκλισης μεταξύ των δύο συστημάτων, υπάρχουν ορισμένες σημαντικές διαφορές, η Επιτροπή Προστασίας Προσωπικών Πληροφοριών εξέδωσε τους παρόντες Συμπληρωματικούς Κανόνες, με βάση τις διατάξεις του Νόμου για την υλοποίηση κ.λπ. της συνεργασίας με τις κυβερνήσεις άλλων χωρών και με σκοπό να διασφαλιστεί, αφενός, ο κατάλληλος χειρισμός των προσωπικών πληροφοριών που λαμβάνονται από την ΕΕ βάσει απόφασης περί επάρκειας από επιχειρηματικό φορέα που χειρίζεται προσωπικές πληροφορίες και, αφετέρου, η ορθή και αποτελεσματική εκπλήρωση των υποχρεώσεων που ορίζονται στους εν λόγω Κανόνες (1).
            Ειδικότερα, το άρθρο 6 του Νόμου προβλέπει την εξουσία λήψης των αναγκαίων νομοθετικών και άλλων μέτρων με σκοπό τη διασφάλιση της ενισχυμένης προστασίας των προσωπικών πληροφοριών και τη δημιουργία ενός συμβατού σε διεθνές επίπεδο συστήματος για τις προσωπικές πληροφορίες μέσω αυστηρότερων κανόνων που συμπληρώνουν και υπερβαίνουν τους κανόνες τους οποίους προβλέπουν ο Νόμος και το Υπουργικό Διάταγμα. Ως εκ τούτου, η Επιτροπή Προστασίας Προσωπικών Πληροφοριών, ως αρχή αρμόδια για τη συνολική διαχείριση του Νόμου, έχει την εξουσία να θεσπίσει, δυνάμει του άρθρου 6 του Νόμου, αυστηρότερους κανονισμούς, με τη διατύπωση των παρόντων Συμπληρωματικών Κανόνων, που προβλέπουν υψηλότερο επίπεδο προστασίας των δικαιωμάτων και των συμφερόντων του ατόμου όσον αφορά τον χειρισμό των δεδομένων προσωπικού χαρακτήρα που λαμβάνονται από την ΕΕ βάσει απόφασης περί επάρκειας, μεταξύ άλλων όσον αφορά τον ορισμό των προσωπικών πληροφοριών που απαιτούν ειδική μέριμνα, σύμφωνα με το άρθρο 2 παράγραφος 3 του Νόμου, και τον ορισμό των διατηρούμενων δεδομένων προσωπικού χαρακτήρα, σύμφωνα με το άρθρο 2 παράγραφος 7 του Νόμου (συμπεριλαμβανομένης της σχετικής περιόδου διατήρησης).
            Στη βάση αυτή, οι Συμπληρωματικοί Κανόνες είναι δεσμευτικοί για τον επιχειρηματικό φορέα που χειρίζεται προσωπικές πληροφορίες οι οποίες διαβιβάζονται από την ΕΕ βάσει απόφασης περί επάρκειας, ο οποίος, ως εκ τούτου, οφείλει να συμμορφώνεται με τους Κανόνες αυτούς. Τα δικαιώματα και οι υποχρεώσεις που απορρέουν από αυτούς τους νομικά δεσμευτικούς κανόνες είναι εκτελεστά από την Επιτροπή Προστασίας Προσωπικών Πληροφοριών κατά τον ίδιο τρόπο όπως με τις διατάξεις του Νόμου τις οποίες συμπληρώνουν με αυστηρότερους και/ή λεπτομερέστερους κανόνες. Σε περίπτωση παραβίασης των δικαιωμάτων και υποχρεώσεων που απορρέουν από τους Συμπληρωματικούς Κανόνες, τα άτομα μπορούν επίσης να προσφύγουν στα δικαστήρια με τον ίδιο τρόπο όπως και για τις διατάξεις του Νόμου τις οποίες συμπληρώνουν με αυστηρότερους και/ή λεπτομερέστερους κανόνες.
            Όσον αφορά την επιβολή των Κανόνων από την Επιτροπή Προστασίας Προσωπικών Πληροφοριών, επισημαίνεται ότι αν ένας επιχειρηματικός φορέας που χειρίζεται προσωπικές πληροφορίες δεν συμμορφώνεται με μία ή περισσότερες από τις υποχρεώσεις που απορρέουν από τους Συμπληρωματικούς Κανόνες, η Επιτροπή Προστασίας Προσωπικών Πληροφοριών έχει την εξουσία να λαμβάνει μέτρα σύμφωνα με το άρθρο 42 του Νόμου. Όσον αφορά γενικά τις προσωπικές πληροφορίες που λαμβάνονται από την ΕΕ βάσει απόφασης περί επάρκειας, η χωρίς νόμιμο λόγο (2) μη ανάληψη δράσης σύμφωνης με σύσταση που ελήφθη βάσει του άρθρου 42 παράγραφος 1 του Νόμου από επιχειρηματικό φορέα που χειρίζεται προσωπικές πληροφορίες θεωρείται σοβαρή επικείμενη παραβίαση των δικαιωμάτων και συμφερόντων ενός ατόμου κατά την έννοια του άρθρου 42 παράγραφος 2 του Νόμου.
            (1)   Προσωπικές πληροφορίες που απαιτούν ειδική μέριμνα (άρθρο 2 παράγραφος 3 του Νόμου)
            
                        Άρθρο 2 (παρ. 3) του Νόμου
                        
                                 
                                    (3)
                                 
                                 
                                    Στον παρόντα Νόμο ο όρος «προσωπικές πληροφορίες που απαιτούν ειδική μέριμνα» σημαίνει προσωπικές πληροφορίες όπως η φυλή, οι πεποιθήσεις, η κοινωνική θέση, το ιατρικό ιστορικό, το ποινικό μητρώο του εντολέα, το γεγονός ότι υπήρξε θύμα εγκληματικής ενέργειας, ή άλλες περιγραφές κ.λπ. των οποίων ο χειρισμός, όπως ορίζεται με υπουργικό διάταγμα, απαιτεί ειδική μέριμνα ώστε να μην προκαλείται αθέμιτη διάκριση, βλάβη ή άλλου είδους δυσμενής αντιμετώπιση εις βάρος του εντολέα.
                                 
                              
                  
                        Άρθρο 2 του Υπουργικού Διατάγματος
                        Οι περιγραφές κ.λπ. που καθορίζονται με υπουργικό διάταγμα σύμφωνα με το άρθρο 2 παράγραφος 3 του Νόμου είναι οι περιγραφές κ.λπ. που περιέχουν οποιαδήποτε από τα θέματα τα οποία παρατίθενται στα παρακάτω σημεία (εκτός από εκείνα που εμπίπτουν στο ιατρικό ή το ποινικό ιστορικό του εντολέα).
                        
                                    i)
                                 
                                 
                                    το γεγονός ότι το άτομο έχει σωματικές αναπηρίες, νοητικές αναπηρίες, ψυχικές αναπηρίες (συμπεριλαμβανομένων των αναπτυξιακών αναπηριών) ή άλλες σωματικές και ψυχικές λειτουργικές αναπηρίες που προβλέπονται από τους κανόνες της Επιτροπής Προστασίας Προσωπικών Πληροφοριών·
                                 
                              
                                    ii)
                                 
                                 
                                    τα αποτελέσματα ιατρικής ή άλλης εξέτασης (εφεξής: «ιατρική εξέταση κ.λπ.» στο επόμενο στοιχείο) για την πρόληψη και την έγκαιρη ανίχνευση νόσου, στην οποία (εξέταση) υποβάλλεται ο εντολέας από γιατρό ή άλλο πρόσωπο τα καθήκοντα του οποίου σχετίζονται με την ιατρική (εφεξής: «γιατρός κ.λπ.» στο επόμενο στοιχείο)·
                                 
                              
                                    iii)
                                 
                                 
                                    το γεγονός ότι έχει δοθεί σε εντολέα από γιατρό κ.λπ. καθοδήγηση για τη βελτίωση της ψυχικής και σωματικής του κατάστασης ή ιατρική περίθαλψη ή ιατρική συνταγή, με βάση τα αποτελέσματα ιατρικής εξέτασης κ.λπ. ή λόγω ασθένειας, τραυματισμού ή άλλων ψυχικών και σωματικών μεταβολών·
                                 
                              
                                    iv)
                                 
                                 
                                    το γεγονός ότι έχει γίνει σύλληψη, έρευνα, κατάσχεση, κράτηση, ανάκριση ή δίωξη ή άλλες διαδικασίες που σχετίζονται με ποινική υπόθεση σε βάρος εντολέα ως υπόπτου ή κατηγορουμένου·
                                 
                              
                                    v)
                                 
                                 
                                    το γεγονός ότι έχει διεξαχθεί έρευνα, έχει ληφθεί μέτρο επιτήρησης και προστασίας, έχει διενεργηθεί ακρόαση και ληφθεί απόφαση, έχει επιβληθεί μέτρο προστασίας ή έχουν κινηθεί άλλες διαδικασίες που σχετίζονται με υπόθεση προστασίας ανηλίκων κατά του εντολέα ή προσώπου για το οποίο υπάρχουν υπόνοιες σύμφωνα με το άρθρο 3 παράγραφος 1 του νόμου περί ανηλίκων.
                                 
                              
                  
                        Άρθρο 5 των Κανόνων
                        Σωματικές και ψυχικές λειτουργικές αναπηρίες που προβλέπονται από τους κανόνες της Επιτροπής Προστασίας Προσωπικών Πληροφοριών σύμφωνα με το άρθρο 2 στοιχείο i) του Διατάγματος είναι οι αναπηρίες που ορίζονται στα παρακάτω σημεία.
                        
                                    i)
                                 
                                 
                                    σωματικές αναπηρίες που ορίζονται σε προσαρτημένο πίνακα του νόμου για την καλή διαβίωση των ατόμων με σωματικές αναπηρίες (νόμος αριθ. 283 του 1949)·
                                 
                              
                                    ii)
                                 
                                 
                                    νοητικές αναπηρίες που αναφέρονται στον νόμο για την καλή διαβίωση των ατόμων με νοητικές αναπηρίες (νόμος αριθ. 37 του 1960)·
                                 
                              
                                    iii)
                                 
                                 
                                    ψυχικές αναπηρίες που αναφέρονται στο νόμο για την ψυχική υγεία και την καλή διαβίωση των ατόμων με ψυχικές αναπηρίες (νόμος αριθ. 123 του 1950) (συμπεριλαμβανομένων των αναπτυξιακών αναπηριών που προβλέπονται στο άρθρο 2 παράγραφος 1 του νόμου για τη στήριξη των ατόμων με αναπτυξιακές αναπηρίες, εξαιρουμένης της νοητικής αναπηρίας δυνάμει του νόμου για την καλή διαβίωση των ατόμων με νοητικές αναπηρίες)·
                                 
                              
                                    iv)
                                 
                                 
                                    αποδεδειγμένα ανίατη ασθένεια ή άλλες ιδιαίτερες ασθένειες των οποίων η σοβαρότητα, όπως προβλέπεται με υπουργικό διάταγμα σύμφωνα με το άρθρο 4 παράγραφος 1 του νόμου περί συνολικής στήριξης για την καθημερινή και κοινωνική ζωή των ατόμων με αναπηρία (νόμος αριθ. 123 του 2005), είναι ισοδύναμη με τη σοβαρότητα των ασθενειών που καθορίζονται από τον υπουργό Υγείας, Εργασίας και Πρόνοιας σύμφωνα με την εν λόγω παράγραφο.
                                 
                              
                  Εάν δεδομένα προσωπικού χαρακτήρα που ελήφθησαν από την ΕΕ βάσει απόφασης περί επάρκειας περιέχουν δεδομένα σχετικά με τη σεξουαλική ζωή ή τον σεξουαλικό προσανατολισμό φυσικού προσώπου ή τη συμμετοχή σε συνδικαλιστικές οργανώσεις, τα οποία ορίζονται ως ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα στο πλαίσιο του ΓΚΠΔ, οι επιχειρηματικοί φορείς που χειρίζονται προσωπικές πληροφορίες οφείλουν να χειρίζονται τα εν λόγω δεδομένα κατά τον ίδιο τρόπο με τις προσωπικές πληροφορίες που απαιτούν ειδική μέριμνα κατά την έννοια του άρθρου 2 παράγραφος 3 του Νόμου.
            (2)   Διατηρούμενα δεδομένα προσωπικού χαρακτήρα (άρθρο 2 παράγραφος 7 του Νόμου)
            
                        Άρθρο 2 (παρ. 7) του Νόμου
                        
                                 
                                    (7)
                                 
                                 
                                    Στον παρόντα Νόμο ο όρος «διατηρούμενα δεδομένα προσωπικού χαρακτήρα» σημαίνει τα δεδομένα προσωπικού χαρακτήρα το περιεχόμενο των οποίων ο επιχειρηματικός φορέας που χειρίζεται προσωπικές πληροφορίες έχει την εξουσία να κοινοποιεί, να διορθώνει, να προσθέτει ή να διαγράφει, ή να παύει τη χρήση, να διαγράφει και να διακόπτει την παροχή τους σε τρίτους, και για τα οποία δεν πρέπει να έχει οριστεί με υπουργικό διάταγμα ότι υπάρχει η πιθανότητα να θίξουν το δημόσιο συμφέρον ή άλλα συμφέροντα, αν αποκαλυφθεί η ύπαρξη ή η απουσία τους, ούτε προορίζονται να διαγραφούν εντός περιόδου έως ενός έτους η οποία καθορίζεται με υπουργικό διάταγμα.
                                 
                              
                  
                        Άρθρο 4 του Υπουργικού Διατάγματος
                        Τα δεδομένα που ορίζονται με υπουργικό διάταγμα σύμφωνα με το άρθρο 2 παράγραφος 7 είναι αυτά που ορίζονται παρακάτω.
                        
                                    i)
                                 
                                 
                                    εκείνα για τα οποία υπάρχει πιθανότητα, αν αποκαλυφθεί η παρουσία ή η απουσία των εν λόγω δεδομένων προσωπικού χαρακτήρα, να προκύψει βλάβη για τη ζωή, το σώμα ή την περιουσία εντολέα ή τρίτου·
                                 
                              
                                    ii)
                                 
                                 
                                    εκείνα για τα οποία υπάρχει πιθανότητα, αν αποκαλυφθεί η παρουσία ή η απουσία των εν λόγω δεδομένων προσωπικού χαρακτήρα, να ενθαρρυνθεί ή να προκληθεί παράνομη ή άδικη πράξη·
                                 
                              
                                    iii)
                                 
                                 
                                    εκείνα για τα οποία υπάρχει πιθανότητα, αν αποκαλυφθεί η παρουσία ή η απουσία των εν λόγω δεδομένων προσωπικού χαρακτήρα, να υπονομευθεί η εθνική ασφάλεια, να καταστραφεί μια σχέση εμπιστοσύνης με ξένη χώρα ή διεθνή οργανισμό ή να προκύψει μειονέκτημα στις διαπραγματεύσεις με ξένη χώρα ή διεθνή οργανισμό·
                                 
                              
                                    iv)
                                 
                                 
                                    εκείνα για τα οποία υπάρχει πιθανότητα, αν αποκαλυφθεί η παρουσία ή η απουσία των εν λόγω δεδομένων προσωπικού χαρακτήρα, να εμποδιστεί η διατήρηση της δημόσιας ασφάλειας και τάξης, όπως η πρόληψη, η καταστολή ή η διερεύνηση εγκλήματος.
                                 
                              
                  
                        Άρθρο 5 του Υπουργικού Διατάγματος
                        Περίοδος που ορίζεται με υπουργικό διάταγμα σύμφωνα με το άρθρο 2 παράγραφος 7 του Νόμου έχει διάρκεια έξι μηνών.
                     
                  Δεδομένα προσωπικού χαρακτήρα που λαμβάνονται από την ΕΕ βάσει απόφασης περί επάρκειας πρέπει να αντιμετωπίζονται ως διατηρούμενα δεδομένα προσωπικού χαρακτήρα κατά την έννοια του άρθρου 2 παράγραφος 7 του Νόμου, ανεξάρτητα από το χρονικό διάστημα εντός του οποίου πρόκειται να διαγραφούν.
            Αν δεδομένα προσωπικού χαρακτήρα που λαμβάνονται από την ΕΕ βάσει απόφασης περί επάρκειας εμπίπτουν στην έννοια των δεδομένων προσωπικού χαρακτήρα για τα οποία έχει οριστεί με υπουργικό διάταγμα ότι «υπάρχει η πιθανότητα να θίξουν το δημόσιο συμφέρον ή άλλα συμφέροντα, αν αποκαλυφθεί η ύπαρξη ή η απουσία τους», τα εν λόγω δεδομένα δεν απαιτείται να αντιμετωπίζονται ως διατηρούμενα δεδομένα προσωπικού χαρακτήρα (βλ. άρθρο 4 του Υπουργικού Διατάγματος· Κατευθυντήριες Γραμμές για τους Γενικούς Κανόνες, «2-7. Διατηρούμενα δεδομένα προσωπικού χαρακτήρα»).
            (3)   Προσδιορισμός σκοπού χρήσης, περιορισμός λόγω σκοπού χρήσης (άρθρο 15 παράγραφος 1, άρθρο 16 παράγραφος 1 και άρθρο 26 παράγραφοι 1 και 3 του Νόμου)
            
                        Άρθρο 15 (παρ. 1) του Νόμου
                        
                                 
                                    (1)
                                 
                                 
                                    Κατά τον χειρισμό προσωπικών πληροφοριών, ο επιχειρηματικός φορέας που χειρίζεται προσωπικές πληροφορίες προσδιορίζει με τον σαφέστερο δυνατό τρόπο τον σκοπό της χρήσης των προσωπικών πληροφοριών (εφεξής: «σκοπός χρήσης»).
                                 
                              
                  
                        Άρθρο 16 (παρ. 1) του Νόμου
                        
                                 
                                    (1)
                                 
                                 
                                    Ο επιχειρηματικός φορέας που χειρίζεται προσωπικές πληροφορίες δεν χειρίζεται προσωπικές πληροφορίες, χωρίς να έχει λάβει προηγουμένως τη συναίνεση εντολέα, πέραν του ορίου που απαιτείται για την επίτευξη σκοπού χρήσης που καθορίζεται σύμφωνα με τις διατάξεις του προηγούμενου άρθρου.
                                 
                              
                  
                        Άρθρο 26 (παράγραφοι 1 και 3) του νόμου
                        
                                 
                                    (1)
                                 
                                 
                                    Ο επιχειρηματικός φορέας που χειρίζεται προσωπικές πληροφορίες, όταν λαμβάνει δεδομένα προσωπικού χαρακτήρα από τρίτο, επιβεβαιώνει τα ζητήματα που εκτίθενται στα παρακάτω σημεία σύμφωνα με τους κανόνες της Επιτροπής Προστασίας Προσωπικών Πληροφοριών (παραλείπεται)
                                    
                                                i)
                                             
                                             
                                                (παραλείπεται)
                                             
                                          
                                                ii)
                                             
                                             
                                                τις περιστάσεις υπό τις οποίες τα εν λόγω δεδομένα προσωπικού χαρακτήρα αποκτήθηκαν από τον εν λόγω τρίτο.
                                             
                                          
                              
                                 
                                    (3)
                                 
                                 
                                    Ο επιχειρηματικός φορέας που χειρίζεται προσωπικές πληροφορίες, όταν έχει επιβεβαιώσει τα ζητήματα σύμφωνα με τις διατάξεις της παραγράφου 1, τηρεί αρχείο, σύμφωνα με τους κανόνες της Επιτροπής Προστασίας Προσωπικών Πληροφοριών, για την ημερομηνία κατά την οποία έλαβε τα δεδομένα προσωπικού χαρακτήρα, για το ζήτημα που αφορά την εν λόγω επιβεβαίωση και για άλλα ζητήματα που προβλέπονται από τους κανόνες της Επιτροπής Προστασίας Προσωπικών Πληροφοριών.
                                 
                              
                  Αν οι επιχειρηματικοί φορείς που χειρίζονται προσωπικές πληροφορίες θελήσουν να χειριστούν πληροφορίες προσωπικού χαρακτήρα πέραν του ορίου που απαιτείται για την επίτευξη του σκοπού χρήσης που ορίζεται στο άρθρο 15 παράγραφος 1 του Νόμου, οφείλουν να λάβουν εκ των προτέρων τη συναίνεση του εντολέα (άρθρο 16 παράγραφος 1 του νόμου). Όταν λαμβάνουν τα δεδομένα προσωπικού χαρακτήρα από τρίτο, οι επιχειρηματικοί φορείς που χειρίζονται προσωπικές πληροφορίες επιβεβαιώνουν, σύμφωνα με τους Κανόνες, ζητήματα όπως οι περιστάσεις υπό τις οποίες τα σχετικά δεδομένα προσωπικού χαρακτήρα αποκτήθηκαν από τον εν λόγω τρίτο, και καταγράφουν τα εν λόγω ζητήματα (άρθρο 26 παράγραφοι 1 και 3 του Νόμου).
            Αν επιχειρηματικός φορέας που χειρίζεται προσωπικές πληροφορίες λαμβάνει δεδομένα προσωπικού χαρακτήρα από την ΕΕ βάσει απόφασης περί επάρκειας, οι περιστάσεις απόκτησης των εν λόγω δεδομένων προσωπικού χαρακτήρα, οι οποίες επιβεβαιώνονται και καταγράφονται όπως προβλέπεται στο άρθρο 26 παράγραφοι 1 και 3, περιλαμβάνουν τον σκοπό χρήσης για τον οποίο ελήφθησαν τα δεδομένα από την ΕΕ.
            Ομοίως, αν επιχειρηματικός φορέας που χειρίζεται προσωπικές πληροφορίες λαμβάνει από άλλον επιχειρηματικό φορέα που χειρίζεται προσωπικές πληροφορίες δεδομένα προσωπικού χαρακτήρα που είχαν διαβιβαστεί προγενέστερα από την ΕΕ βάσει απόφασης περί επάρκειας, οι περιστάσεις απόκτησης των εν λόγω δεδομένων προσωπικού χαρακτήρα, οι οποίες επιβεβαιώνονται και καταγράφονται όπως προβλέπεται στο άρθρο 26 παράγραφοι 1 και 3, περιλαμβάνουν τον σκοπό χρήσης για τον οποίο ελήφθησαν τα δεδομένα.
            Στις ανωτέρω περιπτώσεις, ο επιχειρηματικός φορέας που χειρίζεται προσωπικές πληροφορίες υποχρεούται να προσδιορίζει τον σκοπό της χρήσης των εν λόγω δεδομένων προσωπικού χαρακτήρα στο πλαίσιο του σκοπού χρήσης για τον οποίο αρχικά ή εν συνεχεία έλαβε τα δεδομένα, όπως επιβεβαιώνεται και καταγράφεται σύμφωνα με το άρθρο 26 παράγραφοι 1 και 3, και χρησιμοποιεί τα εν λόγω δεδομένα εντός του εν λόγω πεδίου χρήσης (όπως προβλέπεται από το άρθρο 15 παράγραφος 1 και το άρθρο 16 παράγραφος 1 του Νόμου).
            (4)   Περιορισμός της παροχής δεδομένων σε τρίτον σε ξένη χώρα (άρθρο 24 του Νόμου· άρθρο 11-2 των Κανόνων)
            
                        Άρθρο 24 του Νόμου
                        Επιχειρηματικός φορέας που χειρίζεται προσωπικές πληροφορίες, εκτός από τις περιπτώσεις που ορίζονται σε κάθε στοιχείο του προηγούμενου άρθρου παράγραφος 1, σε περίπτωση παροχής δεδομένων προσωπικού χαρακτήρα σε τρίτον [εκτός από πρόσωπο που εγκαθιστά σύστημα σύμφωνο με τα πρότυπα που ορίζονται από τους κανόνες της Επιτροπής Προστασίας Προσωπικών Πληροφοριών ως αναγκαία για τη συνεχή λήψη μέτρων ισοδύναμων προς τα μέτρα που λαμβάνει επιχειρηματικός φορέας που χειρίζεται προσωπικές πληροφορίες για τον χειρισμό δεδομένων προσωπικού χαρακτήρα σύμφωνα με τις διατάξεις του παρόντος τμήματος (εφεξής το ίδιο στο παρόν άρθρο)] σε ξένη χώρα (δηλαδή, χώρα ή περιοχή που βρίσκεται εκτός της επικράτειας της Ιαπωνίας· εφεξής το ίδιο) (με εξαίρεση τις χώρες που ορίζονται από τους κανόνες της Επιτροπής Προστασίας Προσωπικών Πληροφοριών ως ξένες χώρες που έχουν θεσπίσει σύστημα προστασίας προσωπικών πληροφοριών που αναγνωρίζεται ότι πληροί ισοδύναμα πρότυπα με εκείνα της Ιαπωνίας όσον αφορά την προστασία των δικαιωμάτων και των συμφερόντων του ατόμου· εφεξής το ίδιο στο παρόν άρθρο) λαμβάνει εκ των προτέρων τη συναίνεση του εντολέα για την έγκριση της παροχής δεδομένων σε τρίτον σε ξένη χώρα. Στην περίπτωση αυτή δεν εφαρμόζονται οι διατάξεις του προηγούμενου άρθρου.
                     
                  
                        Άρθρο 11-2 των Κανόνων
                        Τα πρότυπα που προβλέπονται από τους κανόνες της Επιτροπής Προστασίας Προσωπικών Πληροφοριών δυνάμει του άρθρου 24 του Νόμου πρέπει να εμπίπτουν σε οποιοδήποτε από τα ακόλουθα σημεία:
                        
                                    i)
                                 
                                 
                                    ο επιχειρηματικός φορέας που χειρίζεται προσωπικές πληροφορίες και το πρόσωπο που λαμβάνει τα δεδομένα προσωπικού χαρακτήρα έχουν διασφαλίσει, σε σχέση με τον χειρισμό των δεδομένων προσωπικού χαρακτήρα από το πρόσωπο που λαμβάνει τα δεδομένα, την εφαρμογή μέτρων σύμφωνων με το περιεχόμενο των διατάξεων του κεφαλαίου IV τμήμα 1 του Νόμου, με κατάλληλη και εύλογη μέθοδο·
                                 
                              
                                    ii)
                                 
                                 
                                    το πρόσωπο που λαμβάνει τα δεδομένα προσωπικού χαρακτήρα έχει λάβει αναγνώριση βάσει διεθνούς πλαισίου για τον χειρισμό προσωπικών πληροφοριών.
                                 
                              
                  Ο επιχειρηματικός φορέας που χειρίζεται προσωπικές πληροφορίες, σε περιπτώσεις παροχής σε τρίτον σε ξένη χώρα δεδομένων προσωπικού χαρακτήρα που έχει λάβει από την ΕΕ βάσει απόφασης περί επάρκειας, λαμβάνει εκ των προτέρων τη συναίνεση του εντολέα σχετικά με το ότι εγκρίνει την παροχή των δεδομένων σε τρίτον σε ξένη χώρα σύμφωνα με το άρθρο 24 του Νόμου, αφού έχει λάβει τις αναγκαίες πληροφορίες σχετικά με τις περιστάσεις της διαβίβασης, ώστε να μπορεί ο εντολέας να λάβει απόφαση σχετικά με τη συναίνεσή του, εξαιρουμένων των περιπτώσεων που εμπίπτουν σε ένα από τα ακόλουθα σημεία i) έως iii):
            
                        i)
                     
                     
                        όταν ο τρίτος βρίσκεται σε χώρα που ορίζεται από τους Κανόνες ως χώρα που έχει θεσπίσει σύστημα προστασίας προσωπικών πληροφοριών το οποίο αναγνωρίζεται ότι πληροί ισοδύναμα πρότυπα με τα αντίστοιχα της Ιαπωνίας όσον αφορά την προστασία των δικαιωμάτων και των συμφερόντων του ατόμου·
                     
                  
                        ii)
                     
                     
                        όταν ο επιχειρηματικός φορέας που χειρίζεται προσωπικές πληροφορίες και ο τρίτος που λαμβάνει τα δεδομένα προσωπικού χαρακτήρα έχουν εφαρμόσει από κοινού, σε σχέση με τον χειρισμό των δεδομένων προσωπικού χαρακτήρα από τον τρίτο, μέτρα που παρέχουν επίπεδο προστασίας ισοδύναμο με το επίπεδο που παρέχει ο Νόμος, σε συνδυασμό με τους παρόντες Κανόνες, με κατάλληλη και εύλογη μέθοδο (δηλαδή με σύμβαση, με άλλες μορφές δεσμευτικών συμφωνιών ή με δεσμευτικές ρυθμίσεις εντός εταιρικού ομίλου)·
                     
                  
                        iii)
                     
                     
                        στις περιπτώσεις που εμπίπτουν σε κάθε σημείο του άρθρου 23 παράγραφος 1 του Νόμου.
                     
                  (5)   Πληροφορίες που υποβάλλονται σε ανωνυμοποιημένη επεξεργασία (άρθρο 2 παράγραφος 9 και άρθρο 36 παράγραφοι 1 και 2 του Νόμου)
            
                        Άρθρο 2 (παρ. 9) του Νόμου
                        
                                 
                                    (9)
                                 
                                 
                                    Στον παρόντα Νόμο ο όρος «πληροφορίες που υποβάλλονται σε ανωνυμοποιημένη επεξεργασία» σημαίνει τις σχετικές με ένα άτομο πληροφορίες οι οποίες μπορούν να παραχθούν με την επεξεργασία δεδομένων προσωπικού χαρακτήρα με τέτοιο τρόπο ώστε να μην είναι δυνατή ούτε η ταυτοποίηση συγκεκριμένου ατόμου με τη λήψη μέτρων που καθορίζονται στο καθένα από τα ακόλουθα στοιχεία, ανάλογα με τις υποδιαιρέσεις των προσωπικών πληροφοριών που ορίζονται σε καθένα από τα εν λόγω στοιχεία, ούτε η αποκατάσταση των προσωπικών πληροφοριών.
                                    
                                                i)
                                             
                                             
                                                προσωπικές πληροφορίες που εμπίπτουν στην παράγραφο 1 στοιχείο (i)·
                                                Διαγραφή μέρους των περιγραφών κ.λπ. που περιέχονται στις εν λόγω προσωπικές πληροφορίες (συμπεριλαμβανομένης της αντικατάστασης του εν λόγω τμήματος των περιγραφών κ.λπ. με άλλες περιγραφές κ.λπ., με τη χρήση μεθόδου που δεν έχει τακτικό χαρακτήρα και η οποία μπορεί να αποκαταστήσει το εν λόγω μέρος των περιγραφών κ.λπ.)
                                             
                                          
                                                ii)
                                             
                                             
                                                προσωπικές πληροφορίες που εμπίπτουν στην παράγραφο 1 στοιχείο (ii)·
                                                Διαγραφή όλων των ατομικών κωδικών ταυτοποίησης που περιέχονται στις εν λόγω προσωπικές πληροφορίες (συμπεριλαμβανομένης της αντικατάστασης των εν λόγω ατομικών κωδικών αναγνώρισης με άλλες περιγραφές κ.λπ. με τη χρήση μεθόδου που δεν έχει τακτικό χαρακτήρα και η οποία μπορεί να αποκαταστήσει τους εν λόγω προσωπικούς κωδικούς ταυτοποίησης).
                                             
                                          
                              
                  
                        Άρθρο 36 (παρ. 1) του Νόμου
                        
                                 
                                    (1)
                                 
                                 
                                    Ο επιχειρηματικός φορέας που χειρίζεται προσωπικές πληροφορίες, κατά την παραγωγή πληροφοριών που υποβάλλονται σε ανωνυμοποιημένη επεξεργασία (και οι οποίες περιορίζονται στις πληροφορίες που συνιστούν βάση δεδομένων πληροφοριών που υποβάλλονται σε ανωνυμοποιημένη επεξεργασία κ.λπ.· εφεξής το ίδιο), επεξεργάζεται τις προσωπικές πληροφορίες σύμφωνα με τα πρότυπα που προβλέπονται από τους κανόνες της Επιτροπής Προστασίας Προσωπικών Πληροφοριών, κατά τρόπον ώστε να καθίσταται αδύνατη η ταυτοποίηση συγκεκριμένου ατόμου και η αποκατάσταση των προσωπικών πληροφοριών που χρησιμοποιήθηκαν για την παραγωγή.
                                 
                              
                  
                        Άρθρο 19 των Κανόνων
                        Τα πρότυπα που προβλέπονται από τους κανόνες της Επιτροπής Προστασίας Προσωπικών Πληροφοριών δυνάμει του άρθρου 36 παράγραφος 1 του Νόμου έχουν ως εξής:
                        
                                    i)
                                 
                                 
                                    διαγραφή του συνόλου ή μέρους των εν λόγω περιγραφών κ.λπ. που μπορούν να καταστήσουν δυνατή την ταυτοποίηση συγκεκριμένου ατόμου που περιλαμβάνεται στις προσωπικές πληροφορίες (συμπεριλαμβανομένης της αντικατάστασης των εν λόγω περιγραφών κ.λπ. με άλλες περιγραφές κ.λπ. με τη χρήση μεθόδου που δεν έχει τακτικό χαρακτήρα και η οποία μπορεί να αποκαταστήσει το σύνολο ή μέρος των περιγραφών κ.λπ.)·
                                 
                              
                                    ii)
                                 
                                 
                                    διαγραφή όλων των ατομικών κωδικών ταυτοποίησης που περιέχονται στις προσωπικές πληροφορίες (συμπεριλαμβανομένης της αντικατάστασης των κωδικών αυτών με άλλες περιγραφές κ.λπ. με τη χρήση μεθόδου που δεν έχει τακτικό χαρακτήρα και η οποία μπορεί να αποκαταστήσει τους ατομικούς κωδικούς ταυτοποίησης)·
                                 
                              
                                    iii)
                                 
                                 
                                    διαγραφή των κωδικών αυτών (που περιορίζονται στους κωδικούς που συνδέουν αμοιβαία πολλαπλές πληροφορίες τις οποίες πράγματι χειρίζεται επιχειρηματικός φορέας που χειρίζεται προσωπικές πληροφορίες), οι οποίοι συνδέουν προσωπικές πληροφορίες με πληροφορίες που έχουν ληφθεί με τη λήψη μέτρων κατά των προσωπικών πληροφοριών (συμπεριλαμβανομένης της αντικατάστασης των εν λόγω κωδικών μ’ αυτούς τους άλλους κωδικούς, οι οποίοι δεν μπορούν να συνδέσουν τις εν λόγω προσωπικές πληροφορίες με τις πληροφορίες που έχουν ληφθεί με τη λήψη μέτρων κατά των εν λόγω προσωπικών πληροφοριών με τη χρήση μεθόδου που δεν έχει τακτικό χαρακτήρα και η οποία μπορεί να αποκαταστήσει τους εν λόγω κωδικούς)·
                                 
                              
                                    iv)
                                 
                                 
                                    διαγραφή ιδιοσυγκρασιακών περιγραφών κ.λπ. (συμπεριλαμβανομένης της αντικατάστασης των περιγραφών αυτών κ.λπ. με άλλες περιγραφές κ.λπ. με τη χρήση μεθόδου που δεν έχει τακτικό χαρακτήρα και η οποία μπορεί να αποκαταστήσει τις ιδιοσυγκρασιακές περιγραφές κ.λπ.)·
                                 
                              
                                    v)
                                 
                                 
                                    πέραν των μέτρων που ορίζονται σε κάθε προηγούμενο στοιχείο, λήψη κατάλληλων μέτρων με βάση τα αποτελέσματα που προκύπτουν από την εξέταση του χαρακτηριστικού κ.λπ. της βάσης δεδομένων προσωπικών πληροφοριών κ.λπ., όπως μια διαφορά μεταξύ των περιγραφών κ.λπ. που περιέχονται σε προσωπικές πληροφορίες και των περιγραφών κ.λπ. που περιέχονται σε άλλες προσωπικές πληροφορίες που αποτελούν τη βάση δεδομένων προσωπικών πληροφοριών κ.λπ., που περιλαμβάνουν τις εν λόγω προσωπικές πληροφορίες κ.λπ.
                                 
                              
                  
                        Άρθρο 36 (παρ. 2) του Νόμου
                        
                                 
                                    (2)
                                 
                                 
                                    Επιχειρηματικός φορέας που χειρίζεται προσωπικές πληροφορίες, αν έχει παραγάγει πληροφορίες που έχουν υποβληθεί σε ανωνυμοποιημένη επεξεργασία, πρέπει, σύμφωνα με τα πρότυπα που καθορίζονται από τους κανόνες της Επιτροπής Προστασίας Προσωπικών Πληροφοριών ως αναγκαία για να αποφευχθεί η διαρροή πληροφοριών που αφορούν τις εν λόγω περιγραφές κ.λπ., καθώς και τους ατομικούς κωδικούς αναγνώρισης που έχουν διαγραφεί από τις προσωπικές πληροφορίες που χρησιμοποιούνται για την παραγωγή των πληροφοριών που έχουν υποβληθεί σε ανωνυμοποιημένη επεξεργασία, και πληροφοριών σχετικά με μέθοδο επεξεργασίας που εφαρμόστηκε σύμφωνα με τις διατάξεις της προηγούμενης παραγράφου, να λαμβάνει μέτρα για τον έλεγχο της ασφάλειας των εν λόγω πληροφοριών.
                                 
                              
                  
                        Άρθρο 20 των Κανόνων
                        Τα πρότυπα που προβλέπονται από τους κανόνες της Επιτροπής Προστασίας Προσωπικών Πληροφοριών δυνάμει του άρθρου 36 παράγραφος 2 του Νόμου έχουν ως εξής:
                        
                                    i)
                                 
                                 
                                    σαφής ορισμός της αρχής και της ευθύνης του προσώπου που χειρίζεται πληροφορίες σχετικά με τις εν λόγω περιγραφές κ.λπ. και τους ατομικούς κωδικούς ταυτοποίησης που διαγράφηκαν από τις προσωπικές πληροφορίες που χρησιμοποιήθηκαν για την παραγωγή πληροφοριών που υποβλήθηκαν σε ανωνυμοποιημένη επεξεργασία και πληροφοριών που σχετίζονται με μέθοδο επεξεργασίας που εφαρμόζεται σύμφωνα με τις διατάξεις του άρθρου 36 παράγραφος 1 (και που περιορίζονται στις πληροφορίες που μπορούν να αποκαταστήσουν τις προσωπικές πληροφορίες μέσω της χρήσης τέτοιων συναφών πληροφοριών) (εφεξής: «πληροφορίες που σχετίζονται με τη μέθοδο επεξεργασίας κ.λπ.» στο παρόν άρθρο)·
                                 
                              
                                    ii)
                                 
                                 
                                    θέσπιση κανόνων και διαδικασιών για τον χειρισμό πληροφοριών που σχετίζονται με τη μέθοδο επεξεργασίας κ.λπ., τον κατάλληλο χειρισμό των πληροφοριών που σχετίζονται με τη μέθοδο επεξεργασίας κ.λπ. σύμφωνα με τους κανόνες και τις διαδικασίες, την αξιολόγηση της κατάστασης χειρισμού και, βάσει των αποτελεσμάτων αυτής της αξιολόγησης, τη λήψη των αναγκαίων βελτιωτικών μέτρων·
                                 
                              
                                    iii)
                                 
                                 
                                    λήψη αναγκαίων και κατάλληλων μέτρων που να εμποδίζουν κάθε πρόσωπο το οποίο δεν έχει νόμιμη εξουσία χειρισμού πληροφοριών που σχετίζονται με τη μέθοδο επεξεργασίας κ.λπ. να χειρίζεται πληροφορίες που σχετίζονται με τη μέθοδο επεξεργασίας κ.λπ.
                                 
                              
                  Οι προσωπικές πληροφορίες που λαμβάνονται από την ΕΕ βάσει απόφασης περί επάρκειας θεωρούνται πληροφορίες που υποβάλλονται σε ανωνυμοποιημένη επεξεργασία, κατά την έννοια του άρθρου 2 παράγραφος 9 του Νόμου, μόνο αν ο επιχειρηματικός φορέας που χειρίζεται τις προσωπικές πληροφορίες λαμβάνει μέτρα που καθιστούν μη αναστρέψιμη την επαναταυτοποίηση του ατόμου για οποιονδήποτε, μεταξύ άλλων με διαγραφή των πληροφοριών που σχετίζονται με τη μέθοδο επεξεργασίας κ.λπ. [δηλαδή των πληροφοριών που αφορούν τις εν λόγω περιγραφές κ.λπ. και τους ατομικούς κωδικούς ταυτοποίησης που έχουν διαγραφεί από τις προσωπικές πληροφορίες που χρησιμοποιούνται για την παραγωγή πληροφοριών που υποβάλλονται σε ανωνυμοποιημένη επεξεργασία, και των πληροφοριών που αφορούν μέθοδο επεξεργασίας που εφαρμόστηκε σύμφωνα με τις διατάξεις του άρθρο 36 παράγραφος 1 του Νόμου (και που περιορίζονται στις πληροφορίες που μπορούν να αποκαταστήσουν τις προσωπικές πληροφορίες μέσω της χρήσης τέτοιων συναφών πληροφοριών)].
            
               (1)  Άρθρο 4, άρθρο 6, άρθρο 8, άρθρο 24, άρθρο 60 και άρθρο 78 του Νόμου, και άρθρο 11 των Κανόνων.
            
               (2)  Ο νόμιμος λόγος νοείται ως συμβάντα εξαιρετικού χαρακτήρα που είναι εκτός του ελέγχου του επιχειρηματικού φορέα που χειρίζεται προσωπικές πληροφορίες και τα οποία δεν μπορούν εύλογα να προβλεφθούν (π.χ., φυσικές καταστροφές) ή περιπτώσεις στις οποίες η ανάγκη για λήψη μέτρων μετά από σύσταση της Επιτροπής Προστασίας Προσωπικών Πληροφοριών δυνάμει του άρθρου 42 παράγραφος 1 του Νόμου δεν υφίσταται πλέον, επειδή ο επιχειρηματικός φορέας που χειρίζεται προσωπικές πληροφορίες έχει λάβει εναλλακτικά μέτρα που επανορθώνουν πλήρως την παράβαση.
         
      
      
         
            ΠΑΡΑΡΤΗΜΑ 2
            Κ. Věra Jourová, επίτροπο Δικαιοσύνης, Καταναλωτών και Ισότητας των Φύλων της Ευρωπαϊκής Επιτροπής
            Κυρία Επίτροπε,
            Καταρχάς, θα ήθελα να εκφράσω την ικανοποίησή μου για τις εποικοδομητικές συζητήσεις μεταξύ της Ιαπωνίας και της Ευρωπαϊκής Επιτροπής με στόχο τη δημιουργία ενός πλαισίου για την αμοιβαία διαβίβαση δεδομένων προσωπικού χαρακτήρα μεταξύ της Ιαπωνίας και της ΕΕ.
            Σε συνέχεια του αιτήματος της Ευρωπαϊκής Επιτροπής προς την κυβέρνηση της Ιαπωνίας, σας αποστέλλω συνημμένα στην παρούσα επιστολή έγγραφο που παρέχει επισκόπηση του νομικού πλαισίου σχετικά με την πρόσβαση της κυβέρνησης της Ιαπωνίας σε πληροφορίες.
            Το εν λόγω έγγραφο αφορά σειρά υπουργείων και οργανισμών της κυβέρνησης της Ιαπωνίας, ενώ, όσον αφορά το περιεχόμενο του εγγράφου, τα οικεία υπουργεία και οργανισμοί (Γραμματεία του Υπουργικού Συμβουλίου, Εθνική Αστυνομική Υπηρεσία, Επιτροπή Προστασίας Προσωπικών Πληροφοριών, Υπουργείο Εσωτερικών Υποθέσεων και Επικοινωνιών, Υπουργείο Δικαιοσύνης, Οργανισμός Πληροφοριών Δημόσιας Ασφάλειας, Υπουργείο Άμυνας) είναι υπεύθυνα για τα τμήματα που εμπίπτουν στο πεδίο των αντίστοιχων αρμοδιοτήτων τους. Παρακάτω παρατίθενται τα οικεία υπουργεία και οργανισμοί, μαζί με τα στοιχεία και την υπογραφή του εκπροσώπου τους.
            Κάθε ερώτημα σχετικό με το εν λόγω έγγραφο μπορεί να υποβληθεί στην Επιτροπή Προστασίας Προσωπικών Πληροφοριών, η οποία θα συντονίσει τις αναγκαίες απαντήσεις μεταξύ των αρμόδιων υπουργείων και οργανισμών.
            Ελπίζω ότι το έγγραφο αυτό θα διευκολύνει την Ευρωπαϊκή Επιτροπή στη λήψη των αποφάσεών της.
            Σας ευχαριστώ για την πολύτιμη μέχρι σήμερα συμβολή σας στο ζήτημα.
            Με εκτίμηση,
            Yoko Kamikawa
            Υπουργός Δικαιοσύνης
            Το παρόν έγγραφο συντάχθηκε από το Υπουργείο Δικαιοσύνης και τα ακόλουθα συναρμόδια υπουργεία και οργανισμούς.
            Koichi Hamano
            Σύμβουλος, Γραμματεία του Υπουργικού Συμβουλίου
            Schunichi Kuryu
            Γενικός Επίτροπος της Εθνικής Αστυνομικής Υπηρεσίας
            Mari Sonoda
            Γενική Γραμματέας, Επιτροπή Προστασίας Προσωπικών Πληροφοριών
            Mitsuru Yasuda
            Υφυπουργός, Υπουργείο Εσωτερικών Υποθέσεων και Επικοινωνιών
            Seimei Nakagawa
            Οργανισμός Πληροφοριών Δημόσιας Ασφάλειας
            Kenichi Takahashi
            Διοικητικός Υφυπουργός Άμυνας
            14 Σεπτεμβρίου 2018
            
               Συλλογή και χρήση προσωπικών πληροφοριών από τις ιαπωνικές δημόσιες αρχές για σκοπούς επιβολής της ποινικής νομοθεσίας και εθνικής ασφάλειας
            
            Το παρόν έγγραφο παρέχει μια επισκόπηση του νομικού πλαισίου για τη συλλογή και χρήση προσωπικών (ηλεκτρονικών) πληροφοριών από τις ιαπωνικές δημόσιες αρχές για σκοπούς επιβολής της ποινικής νομοθεσίας και εθνικής ασφάλειας (εφεξής «κρατική πρόσβαση»), ιδίως όσον αφορά τις προβλεπόμενες νομικές βάσεις, τους ισχύοντες όρους (περιορισμούς) και τις παρεχόμενες εγγυήσεις, συμπεριλαμβανομένων της ανεξάρτητης εποπτείας και των δυνατοτήτων ατομικής προσφυγής. Η εν λόγω παρουσίαση απευθύνεται στην Ευρωπαϊκή Επιτροπή και έχει ως στόχο να εκφράσει τη δέσμευση και να παράσχει διαβεβαιώσεις ότι η κρατική πρόσβαση σε προσωπικές πληροφορίες που θα διαβιβαστούν από την ΕΕ στην Ιαπωνία θα περιορίζεται στα όρια του αναγκαίου και του αναλογικού και θα υπόκειται σε ανεξάρτητη εποπτεία, καθώς και ότι τα οικεία φυσικά πρόσωπα θα έχουν τη δυνατότητα να λάβουν έννομη προστασία σε περίπτωση τυχόν προσβολής του θεμελιώδους δικαιώματός τους σε προστασία της ιδιωτικότητάς τους και των δεδομένων που τα αφορούν. Η εν λόγω παρουσίαση προβλέπει επίσης τη δημιουργία ενός νέου μηχανισμού προσφυγής, υπό τη διαχείριση της Επιτροπής Προστασίας Προσωπικών Πληροφοριών (ΕΠΠ), για τον χειρισμό των καταγγελιών πολιτών της ΕΕ σχετικά με την κρατική πρόσβαση στα δεδομένα προσωπικού τους χαρακτήρα που έχουν διαβιβαστεί από την ΕΕ στην Ιαπωνία.
            I.   Οι γενικές νομικές αρχές που διέπουν την κρατική πρόσβαση
            
            Ως πράξη άσκησης δημόσιας εξουσίας, η κρατική πρόσβαση πρέπει να πραγματοποιείται με απόλυτο σεβασμό του νόμου (αρχή της νομιμότητας). Στην Ιαπωνία, οι προσωπικές πληροφορίες προστατεύονται τόσο στον ιδιωτικό τομέα όσο και στον δημόσιο τομέα από έναν πολυεπίπεδο μηχανισμό.
            Α.   Συνταγματικό πλαίσιο και αρχή της επιφύλαξης του νόμου
            Το άρθρο 13 του Συντάγματος και η νομολογία αναγνωρίζουν το δικαίωμα στην ιδιωτικότητα ως συνταγματικό δικαίωμα. Στο πλαίσιο αυτό, το Ανώτατο Δικαστήριο έχει κρίνει ότι είναι φυσιολογικό τα φυσικά πρόσωπα να μην επιθυμούν να περιέλθουν οι προσωπικές τους πληροφορίες σε γνώση τρίτων χωρίς εύλογη αιτία και ότι η προσδοκία αυτή θα πρέπει να προστατεύεται (1). Περαιτέρω προστασία παρέχουν το άρθρο 21 παράγραφος 2 του Συντάγματος, το οποίο κατοχυρώνει τον σεβασμό του απορρήτου των επικοινωνιών, και το άρθρο 35 του Συντάγματος, το οποίο κατοχυρώνει το δικαίωμα των προσώπων να μην υπόκεινται σε έρευνα και κατάσχεση χωρίς ένταλμα, γεγονός που σημαίνει ότι η συλλογή προσωπικών πληροφοριών, συμπεριλαμβανομένης της απόκτησης πρόσβασης σε τέτοιες πληροφορίες, με υποχρεωτικά μέσα πρέπει πάντοτε να βασίζεται σε δικαστικό ένταλμα. Τέτοιο ένταλμα μπορεί να εκδοθεί μόνο για τη διερεύνηση ήδη διαπραχθέντος εγκλήματος. Ως εκ τούτου, το νομικό πλαίσιο της Ιαπωνίας δεν επιτρέπει τη συλλογή πληροφοριών με υποχρεωτικά μέσα για σκοπούς (όχι ποινικής έρευνας, αλλά) εθνικής ασφάλειας.
            Επιπλέον, σύμφωνα με την αρχή της επιφύλαξης του νόμου, για να υπάρξει υποχρεωτική συλλογή πληροφοριών πρέπει να υπάρχει σχετική ειδική νομοθετική πρόβλεψη. Σε περίπτωση μη υποχρεωτικής / οικειοθελούς συλλογής, οι πληροφορίες αποκτώνται από πηγή που είναι δημόσια προσβάσιμη ή λαμβάνονται βάσει αιτήματος οικειοθελούς κοινοποίησης, δηλαδή αιτήματος για του οποίου την ικανοποίηση δεν είναι δυνατόν να ληφθούν μέτρα εξαναγκασμού σε βάρος του φυσικού ή του νομικού προσώπου που κατέχει τις πληροφορίες. Ωστόσο, τέτοια συλλογή επιτρέπεται μόνο στον βαθμό που η δημόσια αρχή είναι αρμόδια να διεξαγάγει την έρευνα, δεδομένου ότι κάθε δημόσια αρχή μπορεί να ενεργεί μόνο εντός του πεδίου της διοικητικής δικαιοδοσίας που της απονέμει ο νόμος (ανεξάρτητα από το αν οι δραστηριότητές της θίγουν ή όχι δικαιώματα και ελευθερίες φυσικών προσώπων). Η αρχή της επιφύλαξης του νόμου διέπει τη δυνατότητα των δημόσιων αρχών να συλλέγουν προσωπικές πληροφορίες.
            Β.   Ειδικοί κανόνες σχετικά με την προστασία των προσωπικών πληροφοριών
            Ο Νόμος περί Προστασίας Προσωπικών Πληροφοριών («ΝΠΠΠ») και ο Νόμος περί Προστασίας Προσωπικών Πληροφοριών που Τηρούνται από Διοικητικά Όργανα («ΝΠΠΠΤΔΟ»), οι οποίοι βασίζονται σε συνταγματικές διατάξεις τις οποίες και εξειδικεύουν, εγγυώνται το δικαίωμα επί των προσωπικών πληροφοριών, τόσο στον ιδιωτικό όσο και στον δημόσιο τομέα.
            Το άρθρο 7 του ΝΠΠΠ ορίζει ότι η ΕΠΠ καταρτίζει τη «βασική πολιτική για την προστασία των προσωπικών πληροφοριών» («Βασική Πολιτική»). Η Βασική Πολιτική, η οποία εγκρίνεται με απόφαση του υπουργικού συμβουλίου της Ιαπωνίας, δηλαδή κεντρικού οργάνου της ιαπωνικής κυβέρνησης (πρωθυπουργός και υπουργοί), καθορίζει τους προσανατολισμούς για την προστασία των προσωπικών πληροφοριών στην Ιαπωνία. Με τον τρόπο αυτόν, η ΕΠΠ, ως ανεξάρτητη εποπτική αρχή, λειτουργεί ως το «κέντρο ελέγχου» του ιαπωνικού συστήματος προστασίας των προσωπικών πληροφοριών.
            Όποτε διοικητικά όργανα συλλέγουν προσωπικές πληροφορίες, ανεξαρτήτως του αν το πράττουν με υποχρεωτικά μέσα ή όχι, υποχρεούνται καταρχήν (2) να συμμορφώνονται με τις απαιτήσεις του ΝΠΠΠΤΔΟ. Ο ΝΠΠΠΤΔΟ αποτελεί γενικό νόμο ο οποίος εφαρμόζεται ως προς την επεξεργασία «διατηρούμενων προσωπικών πληροφοριών» (3) από «διοικητικά όργανα» (όπως αυτά ορίζονται στο άρθρο 2 παράγραφος 1 του ΝΠΠΠΤΔΟ). Ως εκ τούτου, διέπει και την επεξεργασία δεδομένων στους τομείς της επιβολής της ποινικής νομοθεσίας και της εθνικής ασφάλειας. Μεταξύ των δημόσιων αρχών που νομιμοποιούνται να αποκτούν κρατική πρόσβαση, όλες οι αρχές, πλην της Νομαρχιακής Αστυνομίας, αποτελούν εθνικές κυβερνητικές αρχές που εμπίπτουν στον ορισμό των «διοικητικών οργάνων». Η επεξεργασία προσωπικών πληροφοριών από τη Νομαρχιακή Αστυνομία διέπεται από νομαρχιακά διατάγματα (4), τα οποία θεσπίζουν αρχές για την προστασία των προσωπικών πληροφοριών καθώς και δικαιώματα και υποχρεώσεις ισοδύναμα με αυτά του ΝΠΠΠΤΔΟ.
            II.   Κρατική πρόσβαση για σκοπούς επιβολής της ποινικής νομοθεσίας
            
            Α)   Νομικές βάσεις και περιορισμοί
            1.   Συλλογή προσωπικών πληροφοριών με υποχρεωτικά μέσα
            
               α)   Νομικές βάσεις
            
            Σύμφωνα με το άρθρο 35 του Συντάγματος, το δικαίωμα όλων των προσώπων σε προστασία της κατοικίας, των εγγράφων και των υπαρχόντων τους έναντι εισόδου, έρευνας και κατάσχεσης δεν θίγεται παρ’ εκτός βάσει εντάλματος το οποίο έχει εκδοθεί για «επαρκή αιτία» και το οποίο περιγράφει ειδικά τον τόπο προς έρευνα και τα αντικείμενα προς κατάσχεση. Κατά συνέπεια, υποχρεωτική συλλογή ηλεκτρονικών πληροφοριών από δημόσιες αρχές στο πλαίσιο ποινικής έρευνας μπορεί να πραγματοποιηθεί μόνο βάσει εντάλματος. Αυτό ισχύει τόσο για τη συλλογή ηλεκτρονικών αρχείων που περιέχουν (προσωπικές) πληροφορίες όσο και για την παρακολούθηση επικοινωνιών σε πραγματικό χρόνο (τη λεγόμενη «υποκλοπή»). Η μόνη εξαίρεση στον εν λόγω κανόνα (η οποία, ωστόσο, δεν έχει σημασία στο πλαίσιο της ηλεκτρονικής διαβίβασης προσωπικών πληροφοριών από το εξωτερικό) είναι το άρθρο 220 παράγραφος 1 του Κώδικα Ποινικής Δικονομίας (5), σύμφωνα με το οποίο εισαγγελέας, βοηθός εισαγγελέα ή αξιωματικός της δικαστικής αστυνομίας μπορεί, κατά τη σύλληψη υπόπτου ή «δράστη συλλαμβανόμενου επ’ αυτοφώρω», να προβεί, αν είναι αναγκαίο, σε έρευνα και κατάσχεση «επιτόπου κατά τη σύλληψη».
            Το άρθρο 197 παράγραφος 1 του Κώδικα Ποινικής Δικονομίας ορίζει ότι υποχρεωτικά μέτρα έρευνας «δεν εφαρμόζονται εκτός εάν ο παρών Κώδικας προβλέπει ειδικά άλλως». Όσον αφορά την υποχρεωτική συλλογή ηλεκτρονικών πληροφοριών, οι σχετικές στο πλαίσιο αυτό νομικές βάσεις είναι το άρθρο 218 παράγραφος 1 του Κώδικα Ποινικής Δικονομίας (σύμφωνα με το οποίο εισαγγελέας, βοηθός εισαγγελέα ή αξιωματικός της δικαστικής αστυνομίας μπορεί, αν είναι αναγκαίο για τη διερεύνηση εγκλήματος, να διενεργήσει έρευνα, κατάσχεση ή αυτοψία βάσει εντάλματος που έχει εκδοθεί από δικαστή) και το άρθρο 222-2 του Κώδικα Ποινικής Δικονομίας (σύμφωνα με το οποίο υποχρεωτικά μέτρα για την υποκλοπή ηλεκτρονικών επικοινωνιών χωρίς τη συγκατάθεση κανενός από τα μέρη της επικοινωνίας εκτελούνται όπως προβλέπεται από άλλα νομοθετήματα). Η δεύτερη αυτή διάταξη αναφέρεται στον Νόμο σχετικά με την Παρακολούθηση Τηλεπικοινωνιών στο πλαίσιο Ποινικής Έρευνας («Νόμος για την Παρακολούθηση Τηλεπικοινωνιών»), ο οποίος, στο άρθρο 3 παράγραφος 1, ορίζει τις προϋποθέσεις υπό τις οποίες επικοινωνίες που σχετίζονται με ορισμένα σοβαρά εγκλήματα μπορούν να υποκλαπούν βάσει εντάλματος υποκλοπής εκδοθέντος από δικαστή (6).
            Όσον αφορά την αστυνομία, η προανακριτική αρχή είναι πάντοτε η Νομαρχιακή Αστυνομία, ενώ η Εθνική Αστυνομική Υπηρεσία (ΕΑΥ) δεν διεξάγει ποινικές έρευνες βάσει του Κώδικα Ποινικής Δικονομίας.
            
               β)   Περιορισμοί
            
            Η υποχρεωτική συλλογή ηλεκτρονικών πληροφοριών περιορίζεται από το Σύνταγμα και την ειδική εξουσιοδοτική νομοθεσία που τη ρυθμίζει, όπως ερμηνεύεται από τη νομολογία, νομοθεσία η οποία προβλέπει ιδίως τα κριτήρια που πρέπει να εφαρμόζουν τα δικαστήρια για την έκδοση εντάλματος. Επιπλέον, ο ΝΠΠΠΤΔΟ επιβάλλει σειρά περιορισμών που ισχύουν τόσο για τη συλλογή όσο και για την περαιτέρω επεξεργασία των πληροφοριών (ενώ τοπικά διατάγματα ουσιαστικά επαναλαμβάνουν τα ίδια κριτήρια για τη Νομαρχιακή Αστυνομία).
            1)   Περιορισμοί που απορρέουν από το Σύνταγμα και την εξουσιοδοτική νομοθεσία
            Σύμφωνα με το άρθρο 197 παράγραφος 1 του Κώδικα Ποινικής Δικονομίας, υποχρεωτικά μέτρα δεν εφαρμόζονται εκτός εάν ο εν λόγω Κώδικας προβλέπει ειδικά άλλως. Συναφώς, το άρθρο 218 παράγραφος 1 του Κώδικα Ποινικής Δικονομίας ορίζει ότι κατάσχεση κ.λπ. μπορούν να διενεργούνται, βάσει εντάλματος εκδοθέντος από δικαστή, μόνο «αν είναι αναγκαίο για τη διερεύνηση εγκλήματος». Μολονότι τα κριτήρια για την αξιολόγηση της αναγκαιότητας δεν προσδιορίζονται περαιτέρω στη νομοθεσία, το Ανώτατο Δικαστήριο (7) έχει κρίνει ότι ο δικαστής, για να αξιολογήσει την αναγκαιότητα των μέτρων, πρέπει να εξετάσει το σύνολο των περιστάσεων, λαμβάνοντας υπόψη ιδίως τα ακόλουθα στοιχεία:
            
                        α)
                     
                     
                        τη βαρύτητα του εγκλήματος και τον τρόπο τέλεσής του·
                     
                  
                        β)
                     
                     
                        την αξία και τη σημασία που έχουν τα κατασχεθέντα αντικείμενα ως αποδεικτικά στοιχεία·
                     
                  
                        γ)
                     
                     
                        την πιθανότητα απόκρυψης ή καταστροφής των κατασχεθέντων αντικειμένων·
                     
                  
                        δ)
                     
                     
                        την έκταση των δυσμενών επιπτώσεων που είχε η κατάσχεση·
                     
                  
                        ε)
                     
                     
                        τις λοιπές συναφείς περιστάσεις.
                     
                  Περιορισμοί απορρέουν επίσης από την απαίτηση του άρθρου 35 του Συντάγματος να καταδεικνύεται «επαρκής αιτία». Βάσει του όρου περί «επαρκούς αιτίας», ένταλμα μπορεί να εκδοθεί αν: 1) το ένταλμα είναι αναγκαίο για ποινική έρευνα {βλ. την απόφαση του Ανωτάτου Δικαστηρίου της 18ης Μαρτίου 1969 [1968 (Shi) αριθ. 100] που αναφέρεται ανωτέρω} και 2) συντρέχει περίπτωση κατά την οποία ο ύποπτος (ο κατηγορούμενος) πιθανολογείται ότι έχει διαπράξει έγκλημα (άρθρο 156 παράγραφος 1 του Κώδικα Ποινικής Δικονομίας (8)), ενώ 3) ένταλμα σωματικής έρευνας ή έρευνας αντικειμένων, της κατοικίας ή άλλης τοποθεσίας προσώπου άλλου από τον κατηγορούμενο μπορεί να εκδοθεί μόνο αν πιθανολογείται ευλόγως ότι εκεί βρίσκονται αντικείμενα τα οποία θα πρέπει να κατασχεθούν (άρθρο 102 παράγραφος 2 του Κώδικα Ποινικής Δικονομίας). Αν ο δικαστής κρίνει ότι τα έγγραφα αποδεικτικά στοιχεία που υπέβαλαν οι ανακριτικές αρχές δεν τεκμηριώνουν επαρκώς τις υποψίες περί της διάπραξης του εγκλήματος, θα απορρίψει την αίτηση έκδοσης του εντάλματος. Επισημαίνεται συναφώς ότι, βάσει του Νόμου περί Τιμωρίας του Οργανωμένου Εγκλήματος και Ελέγχου των Εσόδων από Εγκληματικές Πράξεις, οι «προπαρασκευαστικές πράξεις για την τέλεση» σχεδιασμένου εγκλήματος (π.χ. η συγκέντρωση χρημάτων για την τέλεση εγκλήματος τρομοκρατίας) αποτελούν έγκλημα αυτές καθ’ εαυτές και μπορούν, ως εκ τούτου, να δικαιολογήσουν υποχρεωτική έρευνα βάσει εντάλματος.
            Τέλος, αν το ένταλμα αφορά σωματική έρευνα ή έρευνα αντικειμένων, της κατοικίας ή άλλης τοποθεσίας προσώπου άλλου από τον ύποπτο ή τον κατηγορούμενο, εκδίδεται μόνο αν μπορεί ευλόγως να πιθανολογηθεί ότι τα αντικείμενα που επιδιώκεται να κατασχεθούν βρίσκονται εκεί (άρθρο 102 παράγραφος 2 και άρθρο 222 παράγραφος 1 του Κώδικα Ποινικής Δικονομίας).
            Όσον αφορά ειδικά την παρακολούθηση επικοινωνιών για τους σκοπούς ποινικής έρευνας βάσει του Νόμου για την Παρακολούθηση Τηλεπικοινωνιών, τέτοια παρακολούθηση μπορεί να διεξαχθεί μόνο αν πληρούνται οι αυστηρές απαιτήσεις του άρθρου 3 παράγραφος 1 του εν λόγω νόμου. Σύμφωνα με τη διάταξη αυτή, παρακολούθηση επικοινωνιών μπορεί να διεξαχθεί μόνο βάσει προηγούμενου δικαστικού εντάλματος, τέτοιο δε ένταλμα μπορεί να εκδοθεί μόνο σε περιορισμένες περιπτώσεις (9).
            2)   Περιορισμοί που απορρέουν από τον ΝΠΠΠΤΔΟ
            Όσον αφορά τη συλλογή (10) και την περαιτέρω επεξεργασία (συμπεριλαμβανομένων, ιδίως, της διατήρησης, της διαχείρισης και της χρήσης) προσωπικών πληροφοριών από διοικητικά όργανα, ο ΝΠΠΠΤΔΟ θέτει τους ακόλουθους, ιδίως, περιορισμούς:
            
                        α)
                     
                     
                        Σύμφωνα με το άρθρο 3 παράγραφος 1 του ΝΠΠΠΤΔΟ, διοικητικά όργανα μπορούν να διατηρούν προσωπικές πληροφορίες μόνο όταν η διατήρηση είναι αναγκαία για την εκτέλεση των καθηκόντων που εμπίπτουν στη δικαιοδοσία τους, όπως αυτή καθορίζεται από τις σχετικές νομοθετικές και κανονιστικές διατάξεις. Όταν διατηρούν τέτοιες πληροφορίες, τα διοικητικά όργανα υποχρεούνται επίσης να προσδιορίζουν (στο μέτρο του δυνατού) τον σκοπό της εκ μέρους τους χρήσης των προσωπικών πληροφοριών. Σύμφωνα με το άρθρο 3 παράγραφοι 2 και 3 του ΝΠΠΠΤΔΟ, διοικητικά όργανα δεν διατηρούν προσωπικές πληροφορίες πέραν του αναγκαίου για την επίτευξη του κατά τα ανωτέρω προσδιορισθέντος σκοπού της χρήσης τους και δεν μεταβάλλουν τον σκοπό της χρήσης των προσωπικών πληροφοριών πέραν αυτού που μπορεί ευλόγως να θεωρηθεί ως επαρκώς συναφές προς τον αρχικό σκοπό.
                     
                  
                        β)
                     
                     
                        Το άρθρο 5 του ΝΠΠΠΤΔΟ ορίζει ότι ο επικεφαλής του διοικητικού οργάνου μεριμνά για την τήρηση των διατηρούμενων προσωπικών πληροφοριών ακριβών και ενημερωμένων, στον βαθμό που είναι αναγκαίος για την επίτευξη του σκοπού της χρήσης τους.
                     
                  
                        γ)
                     
                     
                        Το άρθρο 6 παράγραφος 1 του ΝΠΠΠΤΔΟ ορίζει ότι ο επικεφαλής του διοικητικού οργάνου λαμβάνει τα μέτρα που είναι αναγκαία για την αποτροπή της διαρροής, απώλειας ή βλάβης των διατηρούμενων προσωπικών πληροφοριών, καθώς και για την ορθή διαχείρισή τους.
                     
                  
                        δ)
                     
                     
                        Σύμφωνα με το άρθρο 7 του ΝΠΠΠΤΔΟ, κανείς εργαζόμενος (συμπεριλαμβανομένων των πρώην εργαζομένων) δεν αποκαλύπτει αποκτηθείσες προσωπικές πληροφορίες σε άλλο πρόσωπο χωρίς δικαιολογημένη αιτία ούτε χρησιμοποιεί τέτοιες πληροφορίες για αθέμιτο σκοπό.
                     
                  
                        ε)
                     
                     
                        Περαιτέρω, το άρθρο 8 παράγραφος 1 του ΝΠΠΠΤΔΟ ορίζει ότι ο επικεφαλής του διοικητικού οργάνου δεν χρησιμοποιεί ή παρέχει σε άλλο πρόσωπο διατηρούμενες προσωπικές πληροφορίες για σκοπούς άλλους από τον προσδιορισθέντα σκοπό της χρήσης τους, εκτός αν προβλέπεται άλλως από τις σχετικές νομοθετικές και κανονιστικές διατάξεις. Το άρθρο 8 παράγραφος 2 προβλέπει εξαιρέσεις από τον εν λόγω κανόνα σε συγκεκριμένες περιπτώσεις, οι οποίες, όμως, εφαρμόζονται μόνο αν η εν λόγω κατ’ εξαίρεση κοινοποίηση δεν είναι πιθανόν να προκαλέσει «άδικη» βλάβη στα δικαιώματα και τα συμφέροντα του υποκειμένου των δεδομένων ή τρίτου.
                     
                  
                        στ)
                     
                     
                        Σύμφωνα με το άρθρο 9 του ΝΠΠΠΤΔΟ, όταν διατηρούμενες προσωπικές πληροφορίες παρέχονται σε άλλο πρόσωπο, ο επικεφαλής του διοικητικού οργάνου επιβάλλει, αν είναι αναγκαίο, περιορισμούς στον σκοπό ή στη μέθοδο χρήσης τους ή οποιουσδήποτε άλλους αναγκαίους περιορισμούς· επιπλέον, μπορεί να καλεί τον παραλήπτη των προσωπικών πληροφοριών να λάβει τα μέτρα που είναι αναγκαία για την αποτροπή της διαρροής και την ορθή διαχείριση των πληροφοριών.
                     
                  
                        ζ)
                     
                     
                        Το άρθρο 48 του ΝΠΠΠΤΔΟ προβλέπει ότι ο επικεφαλής του διοικητικού οργάνου μεριμνά για την καλή και ταχεία διεκπεραίωση κάθε καταγγελίας σχετικά με την επεξεργασία προσωπικών πληροφοριών.
                     
                  2.   Συλλογή προσωπικών πληροφοριών μέσω αιτημάτων οικειοθελούς συνεργασίας (οικειοθελής έρευνα)
            
               α)   Νομική βάση
            
            Πέραν της χρήσης υποχρεωτικών μέσων, προσωπικές πληροφορίες αποκτώνται επίσης είτε μέσω πηγών που είναι δημόσια προσβάσιμες είτε βάσει αιτημάτων οικειοθελούς κοινοποίησης, συμπεριλαμβανομένου από επιχειρηματικούς φορείς που κατέχουν τέτοιες πληροφορίες.
            Όσον αφορά τη δεύτερη ανωτέρω περίπτωση, το άρθρο 197 παράγραφος 2 του Κώδικα Ποινικής Δικονομίας επιτρέπει στις εισαγγελικές αρχές και τη δικαστική αστυνομία να υποβάλλουν «γραπτές ερωτήσεις σε ερευνητικά ζητήματα» (τα λεγόμενα «φύλλα ερωτήσεων»). Σύμφωνα με τον Κώδικα Ποινικής Δικονομίας, από τα ερωτώμενα πρόσωπα ζητείται να παρουσιαστούν στις ανακριτικές αρχές. Ωστόσο, αν η δημόσια υπηρεσία ή ο δημόσιος ή ιδιωτικός οργανισμός που έλαβε τις ερωτήσεις αρνηθεί να ικανοποιήσει το αίτημα, δεν υπάρχει τρόπος να υποχρεωθεί να παρουσιαστεί. Αν δεν παρουσιαστεί για την έρευνα, δεν μπορεί να του επιβληθεί οποιαδήποτε ποινική ή άλλη κύρωση. Αν οι ανακριτικές αρχές θεωρούν τις ζητηθείσες πληροφορίες απολύτως αναγκαίες, θα χρειαστεί να τις λάβουν μέσω έρευνας και κατάσχεσης βάσει δικαστικού εντάλματος.
            Δεδομένης της αυξανόμενης επίγνωσης των φυσικών προσώπων όσον αφορά τα δικαιώματά τους στην ιδιωτικότητα, καθώς και του φόρτου εργασίας που δημιουργούν τα εν λόγω αιτήματα, οι επιχειρηματικοί φορείς είναι όλο και πιο επιφυλακτικοί στην παροχή απαντήσεων σε τέτοια αιτήματα (11). Για να αποφασίσουν αν θα συνεργαστούν, οι επιχειρηματικοί φορείς λαμβάνουν ιδίως υπόψη τη φύση των ζητούμενων πληροφοριών, τη σχέση τους με το πρόσωπο του οποίου πληροφορίες ζητούνται, τους κινδύνους για τη φήμη τους, τους κινδύνους να προκύψουν δικαστικές διαφορές κ.λπ.
            
               β)   Περιορισμοί
            
            Όπως και η υποχρεωτική συλλογή ηλεκτρονικών πληροφοριών, η οικειοθελής έρευνα περιορίζεται από το Σύνταγμα, όπως ερμηνεύεται από τη νομολογία, και από την εξουσιοδοτική νομοθεσία. Επιπλέον, σε ορισμένες περιπτώσεις, ο νόμος δεν επιτρέπει στους επιχειρηματικούς φορείς να κοινοποιούν πληροφορίες. Τέλος, ο ΝΠΠΠΤΔΟ επιβάλλει σειρά περιορισμών που ισχύουν τόσο για τη συλλογή όσο και για την περαιτέρω επεξεργασία πληροφοριών (ενώ τοπικά διατάγματα ουσιαστικά επαναλαμβάνουν τα ίδια κριτήρια για τη Νομαρχιακή Αστυνομία).
            1)   Περιορισμοί που απορρέουν από το Σύνταγμα και την εξουσιοδοτική νομοθεσία
            Λαμβάνοντας υπόψη τον σκοπό του άρθρου 13 του Συντάγματος, το Ανώτατο Δικαστήριο, με δύο αποφάσεις του, της 24ης Δεκεμβρίου 1969 [1965 (Α) αριθ. 1187] και της 15ης Απριλίου 2008 [2007 (A) αριθ. 839], έχει επιβάλει όρια στις οικειοθελείς έρευνες που διενεργούνται από τις ανακριτικές αρχές. Μολονότι οι αποφάσεις αυτές αφορούσαν υποθέσεις στις οποίες προσωπικές πληροφορίες (υπό τη μορφή εικόνων) είχαν συλλεγεί μέσω φωτογράφησης/βιντεοσκόπησης, οι κρίσεις του Δικαστηρίου είναι χρήσιμες γενικότερα για τις οικειοθελείς (μη υποχρεωτικές) έρευνες που παρεμβαίνουν στην ιδιωτικότητα φυσικού προσώπου. Επομένως, ισχύουν και πρέπει να τηρούνται σε σχέση με τη συλλογή προσωπικών πληροφοριών μέσω οικειοθελούς έρευνας, λαμβανομένων υπόψη των ειδικών περιστάσεων κάθε υπόθεσης.
            Σύμφωνα με τις αποφάσεις αυτές, η νομιμότητα της οικειοθελούς έρευνας εξαρτάται από την εκπλήρωση τριών κριτηρίων:
            
                        —
                     
                     
                        «υποψία εγκληματικής πράξης» (δηλαδή, πρέπει να αξιολογείται αν έχει διαπραχθεί έγκλημα)·
                     
                  
                        —
                     
                     
                        «αναγκαιότητα της έρευνας» (δηλαδή, πρέπει να αξιολογείται αν το αίτημα παραμένει εντός των ορίων του αναγκαίου για τους σκοπούς της έρευνας)· και
                     
                  
                        —
                     
                     
                        «καταλληλότητα των μεθόδων» (δηλαδή, πρέπει να αξιολογείται αν η οικειοθελής έρευνα είναι «κατάλληλη» ή εύλογη για την επίτευξη του σκοπού της έρευνας) (12).
                     
                  Γενικά, λαμβανομένων υπόψη των ανωτέρω τριών κριτηρίων, η νομιμότητα της οικειοθελούς έρευνας κρίνεται υπό το πρίσμα του κατά πόσον μπορεί να θεωρηθεί εύλογη βάσει των κοινωνικά αποδεκτών ηθών.
            Η απαίτηση να είναι η έρευνα «αναγκαία» απορρέει επίσης άμεσα από το άρθρο 197 του Κώδικα Ποινικής Δικονομίας, ενώ έχει επιβεβαιωθεί και με τις οδηγίες που απηύθυνε η Εθνική Αστυνομική Υπηρεσία (ΕΑΥ) στη Νομαρχιακή Αστυνομία σχετικά με τη χρήση «φύλλων ερωτήσεων». Η ανακοίνωση της ΕΑΥ της 7ης Δεκεμβρίου 1999 θέτει σειρά διαδικαστικών περιορισμών, συμπεριλαμβανομένης της απαίτησης να χρησιμοποιούνται «φύλλα ερωτήσεων» μόνο αν είναι αναγκαίο για τους σκοπούς της έρευνας. Επιπλέον, το πεδίο εφαρμογής του άρθρου 197 παράγραφος 1 του Κώδικα Ποινικής Δικονομίας περιορίζεται στις ποινικές έρευνες και, συνεπώς, η εν λόγω διάταξη μπορεί να εφαρμοστεί μόνο αν υπάρχει συγκεκριμένη υποψία για ήδη διαπραχθέν έγκλημα. Αντιθέτως, η εν λόγω νομική βάση δεν μπορεί να χρησιμοποιηθεί για τη συλλογή και τη χρήση προσωπικών πληροφοριών αν δεν έχει υπάρξει ακόμη παράβαση του νόμου.
            2)   Περιορισμοί όσον αφορά ορισμένους επιχειρηματικούς φορείς
            Σε ορισμένους τομείς ισχύουν επιπλέον περιορισμοί βάσει προστατευτικών διατάξεων άλλων νόμων.
            Πρώτον, οι ανακριτικές αρχές καθώς και οι φορείς τηλεπικοινωνιών που κατέχουν προσωπικές πληροφορίες υποχρεούνται να σέβονται το απόρρητο των επικοινωνιών όπως διασφαλίζεται από το άρθρο 21 παράγραφος 2 του Συντάγματος (13). Εξάλλου, οι φορείς τηλεπικοινωνιών υπέχουν την ίδια υποχρέωση και βάσει του άρθρου 4 του Νόμου για τον Κλάδο των Τηλεπικοινωνιών (14). Σύμφωνα με τις «Κατευθυντήριες γραμμές σχετικά με την Προστασία των Προσωπικών Πληροφοριών στον Κλάδο των Τηλεπικοινωνιών», τις οποίες έχει εκδώσει το Υπουργείο Εσωτερικών Υποθέσεων και Επικοινωνιών (ΥΕΕ) στη βάση του Συντάγματος και του Νόμου για τον Κλάδο των Τηλεπικοινωνιών, σε περιπτώσεις στις οποίες διακυβεύεται το απόρρητο των επικοινωνιών, οι φορείς τηλεπικοινωνιών δεν πρέπει να αποκαλύπτουν σε τρίτους προσωπικές πληροφορίες που εμπίπτουν στο απόρρητο των επικοινωνιών, εκτός αν έχουν λάβει τη συγκατάθεση του οικείου προσώπου ή αν μπορούν να στηριχθούν σε κάποιες από τις «δικαιολογημένες αιτίες» για μη συμμόρφωση με τον Ποινικό Κώδικα. Οι εν λόγω «δικαιολογημένες αιτίες» αφορούν τις «δικαιολογημένες πράξεις» (άρθρο 35 του Ποινικού Κώδικα), τη «νόμιμη άμυνα» (άρθρο 36 του Ποινικού Κώδικα) και την «αποτροπή παρόντος κινδύνου» (άρθρο 37 του Ποινικού Κώδικα). «Δικαιολογημένες πράξεις» κατά την έννοια του Ποινικού Κώδικα αποτελούν μόνο εκείνες οι πράξεις φορέα τηλεπικοινωνιών με τις οποίες αυτός συμμορφώνεται με υποχρεωτικά κρατικά μέτρα, γεγονός που αποκλείει τις οικειοθελείς έρευνες. Επομένως, αν ανακριτικές αρχές τού ζητήσουν προσωπικές πληροφορίες βάσει «φύλλου ερωτήσεων» (άρθρο 197 παράγραφος 2 του Κώδικα Ποινικής Δικονομίας), φορέας τηλεπικοινωνιών απαγορεύεται να κοινοποιήσει τα δεδομένα.
            Δεύτερον, οι επιχειρηματικοί φορείς υποχρεούνται να απορρίπτουν αιτήματα για οικειοθελή συνεργασία όταν η νομοθεσία τους απαγορεύει να κοινοποιήσουν προσωπικές πληροφορίες. Για παράδειγμα, την υποχρέωση αυτή υπέχουν οι υπεύθυνοι επιχείρησης που υποχρεούνται σε τήρηση του απορρήτου των πληροφοριών, λόγου χάριν σύμφωνα με το άρθρο 134 του Ποινικού Κώδικα (15).
            3)   Περιορισμοί βάσει του ΝΠΠΠΤΔΟ
            Όσον αφορά τη συλλογή και περαιτέρω επεξεργασία προσωπικών πληροφοριών από διοικητικά όργανα, ο ΝΠΠΠΤΔΟ θέτει τους περιορισμούς που εξηγούνται ανωτέρω στο σημείο II.A.1. β) 2). Αντίστοιχοι περιορισμοί απορρέουν από τα νομαρχιακά διατάγματα που διέπουν τη Νομαρχιακή Αστυνομία.
            Β)   Εποπτεία
            1)   Δικαστική εποπτεία
            Όσον αφορά τη συλλογή προσωπικών πληροφοριών με υποχρεωτικά μέσα, πρέπει να βασίζεται σε ένταλμα (16) και, ως εκ τούτου, υπόκειται σε προηγούμενη εξέταση από δικαστή. Σε περίπτωση που η έρευνα ήταν παράνομη, ο δικαστής μπορεί να αποκλείσει τα εν λόγω αποδεικτικά στοιχεία κατά την επακόλουθη ποινική δίκη της υπόθεσης. Κάθε φυσικό πρόσωπο μπορεί να ζητήσει την εξαίρεση αυτή κατά την ποινική δίκη του ισχυριζόμενο ότι η έρευνα ήταν παράνομη.
            2)   Εποπτεία βάσει του ΝΠΠΠΤΔΟ
            Στην Ιαπωνία, ο υπουργός ή ο προϊστάμενος κάθε υπουργείου ή οργανισμού έχει την εξουσία εποπτείας και επιβολής βάσει του ΝΠΠΠΤΔΟ, ενώ ο υπουργός Εσωτερικών Υποθέσεων και Επικοινωνιών μπορεί να διερευνήσει την επιβολή του ΝΠΠΠΤΔΟ από όλα τα άλλα υπουργεία.
            Εάν ο υπουργός Εσωτερικών και Επικοινωνιών — με βάση, για παράδειγμα, την έρευνα σχετικά με την κατάσταση επιβολής του ΝΠΠΠΤΔΟ (17), την επεξεργασία των καταγγελιών ή τις ερωτήσεις που απευθύνονται σε ένα από τα ολοκληρωμένα κέντρα πληροφόρησης — το κρίνει αναγκαίο για την επίτευξη του σκοπού του ΝΠΠΠΤΔΟ, μπορεί να ζητήσει από τον επικεφαλής ενός διοικητικού οργάνου να υποβάλει υλικό και εξηγήσεις σχετικά με τον χειρισμό προσωπικών πληροφοριών από το οικείο διοικητικό όργανο, βάσει του άρθρου 50 του ΝΠΠΠΤΔΟ. Ο υπουργός δύναται να απευθύνει στον επικεφαλής του διοικητικού οργάνου γνώμες σχετικά με την επεξεργασία προσωπικών πληροφοριών στο διοικητικό όργανο, εφόσον το κρίνει αναγκαίο για την επίτευξη του σκοπού του παρόντος Νόμου. Επιπλέον, ο υπουργός μπορεί, για παράδειγμα, να ζητήσει αναθεώρηση των μέτρων μέσω ενεργειών στις οποίες μπορεί να προβεί δυνάμει των άρθρων 50 και 51 του Νόμου, όταν υπάρχουν υπόνοιες ότι υπήρξε παραβίαση ή εσφαλμένη εφαρμογή του Νόμου. Με τον τρόπο αυτό διασφαλίζεται η ομοιόμορφη εφαρμογή και η συμμόρφωση με τον ΝΠΠΠΤΔΟ.
            3)   Εποπτεία από τις Επιτροπές Δημόσιας ασφάλειας όσον αφορά την αστυνομία
            Όσον αφορά τη διοίκηση της αστυνομίας, η ΕΑΥ υπόκειται στην εποπτεία της Εθνικής Επιτροπής Δημόσιας Ασφάλειας, ενώ η Νομαρχιακή Αστυνομία υπόκειται σε εποπτεία από μία από τις νομαρχιακές επιτροπές δημόσιας ασφάλειας που έχουν συσταθεί σε κάθε νομό. Κάθε ένα από αυτά τα εποπτικά όργανα εξασφαλίζει τη δημοκρατική διαχείριση και την πολιτική ουδετερότητα της διοίκησης της αστυνομίας.
            Η Εθνική Επιτροπή Δημόσιας Ασφάλειας είναι αρμόδια για τις υποθέσεις που υπάγονται στη δικαιοδοσία της σύμφωνα με τον Νόμο περί Αστυνομίας και άλλους νόμους. Αυτό περιλαμβάνει τον διορισμό του γενικού επιτρόπου της ΕΑΥ και των τοπικών ανώτερων στελεχών της αστυνομίας, καθώς και τη θέσπιση ολοκληρωμένων πολιτικών που καθορίζουν βασικές κατευθύνσεις ή μέτρα σχετικά με τη διοίκηση της ΕΑΥ.
            Οι Νομαρχιακές Επιτροπές Δημόσιας Ασφάλειας αποτελούνται από μέλη που εκπροσωπούν τους πληθυσμούς του αντίστοιχου νομού βάσει του Νόμου περί Αστυνομίας και διαχειρίζονται τη Νομαρχιακή Αστυνομία ως σύστημα ανεξάρτητου συμβουλίου. Τα μέλη διορίζονται από τον Νομαρχιακό Κυβερνήτη με τη σύμφωνη γνώμη της νομαρχιακής συνέλευσης βάσει του άρθρου 39 του Νόμου περί Αστυνομίας. Η θητεία τους είναι τριετής και μπορούν να αποπεμφθούν παρά τη θέλησή τους μόνο για συγκεκριμένους λόγους που απαριθμούνται στη νομοθεσία (όπως ανικανότητα άσκησης των καθηκόντων τους, παραβίαση καθηκόντων, παράπτωμα κ.λπ.), διασφαλίζοντας με τον τρόπο αυτόν την ανεξαρτησία τους (βλ. άρθρα 40, 41 του Νόμου περί Αστυνομίας). Επιπλέον, προκειμένου να διασφαλιστεί η πολιτική ουδετερότητά τους, το άρθρο 42 του Νόμου περί Αστυνομίας απαγορεύει σε ένα μέλος της Επιτροπής να υπηρετεί ως μέλος νομοθετικού οργάνου, να καθίσταται εκτελεστικό μέλος πολιτικού κόμματος ή άλλου πολιτικού οργάνου, ή να συμμετέχει ενεργά σε πολιτικά κινήματα. Παρόλο που κάθε Επιτροπή υπάγεται στη δικαιοδοσία του αντίστοιχου Νομαρχιακού Κυβερνήτη, αυτό δεν συνεπάγεται ότι ο Κυβερνήτης μπορεί να εκδώσει εντολές σχετικά με την άσκηση των καθηκόντων της.
            Σύμφωνα με το άρθρο 38 παράγραφος 3 σε συνδυασμό με το άρθρο 2 και το άρθρο 36 παράγραφος 2 του Νόμου περί Αστυνομίας, οι Νομαρχιακές Επιτροπές Δημόσιας Ασφάλειας είναι υπεύθυνες για «την προστασία των δικαιωμάτων και των ελευθεριών ενός ατόμου». Προς τον σκοπό αυτό, λαμβάνουν εκθέσεις από τους Αρχηγούς της νομαρχιακής αστυνομίας όσον αφορά τις δραστηριότητες που υπάγονται στη δικαιοδοσία τους, μεταξύ άλλων σε τακτικές συνεδριάσεις που διεξάγονται τρεις ή τέσσερις φορές τον μήνα. Οι Επιτροπές παρέχουν καθοδήγηση σχετικά με τα θέματα αυτά μέσω της θέσπισης ολοκληρωμένων πολιτικών.
            Επιπλέον, στο πλαίσιο της εποπτικής τους λειτουργίας, οι νομαρχιακές επιτροπές δημόσιας ασφάλειας μπορούν να εκδίδουν οδηγίες προς την Νομαρχιακή Αστυνομία σε συγκεκριμένες, μεμονωμένες περιπτώσεις, όταν το κρίνουν αναγκαίο στο πλαίσιο επιθεώρησης των δραστηριοτήτων της Νομαρχιακής Αστυνομίας ή παραπτώματος του προσωπικού της. Επίσης, οι Επιτροπές μπορούν, όταν το θεωρούν αναγκαίο, να αναθέτουν σε ορισμένο μέλος τους την επανεξέταση της κατάστασης εφαρμογής της εκδοθείσας οδηγίας (άρθρο 43-2 του Νόμου περί Αστυνομίας).
            4)   Εποπτεία από τη Δίαιτα (Κοινοβούλιο)
            Η Δίαιτα μπορεί να διεξάγει έρευνες σχετικά με τις δραστηριότητες των δημόσιων αρχών και, για τον σκοπό αυτό, να ζητήσει την προσκόμιση εγγράφων και την κατάθεση μαρτύρων (άρθρο 62 του Συντάγματος). Στο πλαίσιο αυτό, η αρμόδια Επιτροπή της Δίαιτας μπορεί να εξετάσει την καταλληλότητα των δραστηριοτήτων συλλογής πληροφοριών που διεξάγονται από την αστυνομία.
            Οι εν λόγω εξουσίες προσδιορίζονται περαιτέρω στον Νόμο περί της Δίαιτας. Σύμφωνα με το άρθρο 104 του εν λόγω Νόμου, η Δίαιτα μπορεί να ζητήσει από το Υπουργικό Συμβούλιο και από κρατικούς οργανισμούς να υποβάλλουν τις εκθέσεις και τα αρχεία που είναι αναγκαία για τη διεξαγωγή της έρευνάς της. Επιπλέον, τα μέλη της Δίαιτας μπορούν να υποβάλουν «γραπτές ερωτήσεις» βάσει του άρθρου 74 του Νόμου περί της Δίαιτας. Οι εν λόγω ερωτήσεις πρέπει να εγκρίνονται από τον πρόεδρο του Σώματος του Κοινοβουλίου και, κατ’ αρχήν, πρέπει να λαμβάνουν γραπτή απάντηση από το Υπουργικό Συμβούλιο εντός επτά ημερών (όταν είναι αδύνατον να δοθεί απάντηση εντός της προθεσμίας αυτής, αυτό πρέπει να αιτιολογηθεί και να οριστεί νέα προθεσμία, άρθρο 75 του Νόμου περί της Δίαιτας). Κατά το παρελθόν, οι γραπτές ερωτήσεις της Δίαιτας κάλυπταν επίσης τον χειρισμό προσωπικών πληροφοριών από τη διοίκηση (18).
            Γ)   Ατομική προσφυγή
            Σύμφωνα με το άρθρο 32 του Συντάγματος της Ιαπωνίας, κανείς δεν στερείται του δικαιώματος πρόσβασης στα δικαστήρια. Επιπλέον, το άρθρο 17 του Συντάγματος εγγυάται σε κάθε πρόσωπο το δικαίωμα να ασκήσει αγωγή κατά του Δημοσίου ή ενός δημόσιου φορέα (όπως προβλέπεται από τον νόμο) σε περίπτωση που έχει υποστεί βλάβη μέσω παράνομης πράξης δημόσιου υπαλλήλου.
            1)   Δικαστική προσφυγή κατά της υποχρεωτικής συλλογής πληροφοριών βάσει εντάλματος (άρθρο 430 του Κώδικα Ποινικής Δικονομίας)
            Σύμφωνα με το άρθρο 430 παράγραφος 2 του Κώδικα Ποινικής Δικονομίας, πρόσωπο που επιθυμεί να προσβάλει μέτρα που έλαβε αστυνομικός για την κατάσχεση αντικειμένων (συμπεριλαμβανομένης της περίπτωσης που περιέχουν προσωπικές πληροφορίες) βάσει εντάλματος, μπορεί να προσφύγει (με τη λεγόμενη «οιονεί προσφυγή») στο αρμόδιο δικαστήριο για την «ανάκληση ή τροποποίηση» των εν λόγω μέτρων.
            Τέτοια προσφυγή μπορεί να ασκηθεί χωρίς το οικείο πρόσωπο να χρειάζεται να περιμένει την ολοκλήρωση της υπόθεσης. Αν το δικαστήριο κρίνει ότι η κατάσχεση δεν ήταν αναγκαία ή ότι υπάρχουν άλλοι λόγοι για τους οποίους η κατάσχεση είναι παράνομη, μπορεί να διατάξει την ανάκληση ή την τροποποίηση των μέτρων.
            2)   Δικαστική προσφυγή σύμφωνα με τον Κώδικα Πολιτικής Δικονομίας και τον Νόμο περί Προσφυγών κατά του Δημοσίου
            Εάν θεωρούν ότι παραβιάστηκε το δικαίωμά τους στην ιδιωτικότητα σύμφωνα με το άρθρο 13 του Συντάγματος, τα φυσικά πρόσωπα μπορούν να ασκήσουν αστική αγωγή με την οποία να ζητούν τη διαγραφή των προσωπικών πληροφοριών που συλλέχθηκαν στο πλαίσιο ποινικής έρευνας.
            Επίσης, ένα φυσικό πρόσωπο μπορεί να ασκήσει αγωγή αποζημίωσης βάσει του Νόμου περί Προσφυγών κατά του Δημοσίου, σε συνδυασμό με σχετικά άρθρα του Αστικού Κώδικα, εάν θεωρεί ότι το δικαίωμά του στην ιδιωτικότητα έχει παραβιαστεί και ότι έχει υποστεί βλάβη λόγω της συλλογής των προσωπικών του πληροφοριών ή της παρακολούθησής του (19). Δεδομένου ότι η «ζημία» η οποία αποτελεί αντικείμενο αξίωσης αποζημίωσης δεν περιορίζεται στις υλικές ζημίες (άρθρο 710 του Αστικού Κώδικα), αυτό μπορεί να καλύπτει και την «ηθική βλάβη». Το ποσό της αποζημίωσης για την εν λόγω ηθική βλάβη θα αξιολογηθεί από τον δικαστή βάσει «ελεύθερης αξιολόγησης λαμβανομένων υπόψη των διαφόρων περιστάσεων της εκάστοτε υπόθεσης» (20).
            Το άρθρο 1 παράγραφος 1 του Νόμου περί Προσφυγών κατά του Δημοσίου παρέχει δικαίωμα αποζημίωσης όταν i) ένας δημόσιος αξιωματούχος που ασκεί τη δημόσια εξουσία του Κράτους ή μιας δημόσιας οντότητας έχει ii) κατά την άσκηση των καθηκόντων του iii) εσκεμμένα ή εξ αμελείας iv) παρανόμως v) προκαλέσει βλάβη σε άλλο πρόσωπο.
            Το πρόσωπο πρέπει να υποβάλει την αγωγή σύμφωνα με τον Κώδικα Πολιτικής Δικονομίας. Σύμφωνα με τους εφαρμοστέους κανόνες, μπορεί να το πράξει στο δικαστήριο που έχει δικαιοδοσία στον τόπο όπου διαπράχθηκε η αδικοπραξία.
            3)   Ατομική προσφυγή κατά παράνομων/καταχρηστικών ερευνών από την αστυνομία: καταγγελία στην Νομαρχιακή Επιτροπή Δημόσιας Ασφάλειας (άρθρο 79 του Νόμου περί Αστυνομίας)
            Σύμφωνα με το άρθρο 79 του Νόμου περί Αστυνομίας (21), όπως διασαφηνίζεται περαιτέρω σε οδηγία του Διοικητή της ΕΥΑ προς τη Νομαρχιακή Αστυνομία και τις Νομαρχιακές Επιτροπές Δημόσιας Ασφάλειας (22), τα φυσικά πρόσωπα μπορούν να υποβάλουν γραπτή καταγγελία (23) στην αρμόδια Νομαρχιακή Επιτροπή Δημόσιας Ασφάλειας κατά οποιασδήποτε παράνομης ή καταχρηστικής συμπεριφοράς αστυνομικού κατά την εκτέλεση των καθηκόντων του· αυτό περιλαμβάνει καθήκοντα που αφορούν τη συλλογή και τη χρήση προσωπικών πληροφοριών. Η εν λόγω Επιτροπή διεκπεραιώνει ευσυνείδητα τις καταγγελίες αυτές σύμφωνα με τη νομοθεσία και τα κατά τόπους διατάγματα και κοινοποιεί εγγράφως τα πορίσματα της έρευνας στον καταγγέλλοντα.
            Με βάση την εποπτική της εξουσία σύμφωνα με το άρθρο 38 παράγραφος 3 του Νόμου περί Αστυνομίας, η Νομαρχιακή Επιτροπή Δημόσιας Ασφάλειας εκδίδει εντολές προς την Νομαρχιακή Αστυνομία για διερεύνηση των πραγματικών περιστατικών, την εφαρμογή των απαραίτητων μέτρων ανάλογα με το αποτέλεσμα της εξέτασης και την υποβολή στην Επιτροπή έκθεσης σχετικά με τα πορίσματα. Εάν το κρίνει αναγκαίο, η Επιτροπή μπορεί επίσης να εκδώσει εντολές για τον χειρισμό της καταγγελίας, για παράδειγμα εάν θεωρεί ότι η έρευνα που διεξάγεται από την αστυνομία είναι ανεπαρκής. Η εφαρμογή αυτή περιγράφεται στην Ανακοίνωση της ΕΥΑ προς τους προϊσταμένους της Νομαρχιακής Αστυνομίας.
            Η ενημέρωση του καταγγέλλοντος σχετικά με το πόρισμα της έρευνας γίνεται επίσης υπό το φως των εκθέσεων της αστυνομίας σχετικά με την έρευνα και τα μέτρα που ελήφθησαν κατόπιν αιτήματος της Επιτροπής.
            4)   Ατομική προσφυγή βάσει του ΝΠΠΠΤΔΟ και του Κώδικα Ποινικής Δικονομίας
            
               α)   ΝΠΠΠΤΔΟ
            
            Σύμφωνα με το άρθρο 48 του ΝΠΠΠΤΔΟ, τα διοικητικά όργανα πρέπει να επιδιώκουν την ορθή και ταχεία διεκπεραίωση τυχόν καταγγελιών σχετικά με τον χειρισμό προσωπικών πληροφοριών. Ως μέσο παροχής συγκεντρωτικών πληροφοριών σε πρόσωπα (π.χ. σχετικά με τα διαθέσιμα δικαιώματα κοινοποίησης, διόρθωσης και αναστολής της χρήσης σύμφωνα με τον ΝΠΠΠΤΔΟ) και ως σημείο επαφής για έρευνες, το ΥΕΕ δημιούργησε ολοκληρωμένα κέντρα πληροφόρησης σχετικά με την κοινοποίηση πληροφοριών/την προστασία των προσωπικών πληροφοριών σε κάθε νομό βάσει του άρθρου 47 παράγραφος 2 του ΝΠΠΠΤΔΟ. Ερωτήσεις μπορούν να υποβάλουν και οι μη μόνιμοι κάτοικοι. Για παράδειγμα, κατά το ΟΕ2017 (Απρίλιος 2017 έως Μάρτιος 2018), ο συνολικός αριθμός των υποθέσεων, στο πλαίσιο των οποίων τα ολοκληρωμένα κέντρα πληροφόρησης απάντησαν σε ερωτήσεις, ανερχόταν σε 5.186.
            Τα άρθρα 12 και 27 του ΝΠΠΠΤΔΟ παρέχουν στα φυσικά πρόσωπα το δικαίωμα να ζητούν τη γνωστοποίηση και τη διόρθωση των διατηρούμενων προσωπικών πληροφοριών. Επιπλέον, σύμφωνα με το άρθρο 36 του ΝΠΠΠΤΔΟ, τα φυσικά πρόσωπα μπορούν να ζητήσουν την αναστολή της χρήσης ή τη διαγραφή των προσωπικών τους πληροφοριών όταν το διοικητικό όργανο δεν έχει αποκτήσει νομίμως τις διατηρούμενες προσωπικές πληροφορίες ή όταν διατηρεί ή χρησιμοποιεί τις πληροφορίες αυτές κατά παράβαση του νόμου.
            Ωστόσο, όσον αφορά τις προσωπικές πληροφορίες που συλλέγονται (είτε βάσει εντάλματος είτε βάσει «φύλλου ερωτήσεων») και διατηρούνται για ποινικές έρευνες (24), οι πληροφορίες αυτές εμπίπτουν γενικά στην κατηγορία των «προσωπικών πληροφοριών που είναι καταχωρισμένες σε έγγραφα που σχετίζονται με δίκες και κατασχεθέντα αντικείμενα». Επομένως, οι εν λόγω προσωπικές πληροφορίες εξαιρούνται από το πεδίο εφαρμογής των ατομικών δικαιωμάτων του κεφαλαίου 4 του ΝΠΠΠΤΔΟ σύμφωνα με το άρθρο 53-2 του Κώδικα Ποινικής Δικονομίας (25). Η επεξεργασία των εν λόγω προσωπικών πληροφοριών και τα ατομικά δικαιώματα πρόσβασης και διόρθωσης υπόκεινται σε ειδικούς κανόνες βάσει του Κώδικα Ποινικής Δικονομίας και του Νόμου σχετικά με τις Τελικές Ποινικές Δικογραφίες (βλ. κατωτέρω) (26). Η εξαίρεση αυτή δικαιολογείται από διάφορους παράγοντες, όπως η προστασία της ιδιωτικότητας των εμπλεκομένων, το απόρρητο των ερευνών και η ορθή διεξαγωγή της ποινικής δίκης. Τούτου λεχθέντος, οι διατάξεις του κεφαλαίου 2 του ΝΠΠΠΤΔΟ που διέπουν τις αρχές χειρισμού αυτών των πληροφοριών παραμένουν εφαρμοστέες.
            
               β)   Κώδικας Ποινικής Δικονομίας
            
            Σύμφωνα με τον Κώδικα Ποινικής Δικονομίας, οι δυνατότητες πρόσβασης σε προσωπικές πληροφορίες που συλλέγονται για τους σκοπούς ποινικής έρευνας εξαρτώνται τόσο από το στάδιο της διαδικασίας όσο και από τον ρόλο του προσώπου στην έρευνα (ύποπτος, κατηγορούμενος, θύμα κ.λπ.).
            Κατά παρέκκλιση από τον κανόνα του άρθρου 47 του Κώδικα Ποινικής Δικονομίας, τα έγγραφα που σχετίζονται με τη δίκη δεν δημοσιοποιούνται πριν από την έναρξη της δίκης (δεδομένου ότι αυτό θα μπορούσε να προσβάλει την τιμή και/ή την ιδιωτικότητα των εμπλεκομένων και να παρεμποδίσει την έρευνα/δίκη), η εξέταση των εν λόγω πληροφοριών από το θύμα εγκληματικής πράξης επιτρέπεται κατ’ αρχήν στο μέτρο που κρίνεται εύλογο, λαμβανομένου υπόψη του σκοπού της διάταξης του άρθρου 47 του Κώδικα Ποινικής Δικονομίας (27).
            Όσον αφορά τους υπόπτους, αυτοί ενημερώνονται κατά κανόνα κατά την ανάκριση από τη δικαστική αστυνομία ή τον εισαγγελέα για το γεγονός ότι υπόκεινται σε ποινική έρευνα. Αν στη συνέχεια ο εισαγγελέας αποφασίσει να μην ασκήσει δίωξη, ενημερώνει αμέσως τον ύποπτο για το γεγονός αυτό μετά από αίτησή του (άρθρο 259 του Κώδικα Ποινικής Δικονομίας).
            Επιπλέον, μετά την άσκηση της δίωξης, ο εισαγγελέας παρέχει στον κατηγορούμενο ή τον δικηγόρο του τη δυνατότητα να εξετάσει τα αποδεικτικά στοιχεία πριν τα υποβάλει προς εξέταση από το δικαστήριο (άρθρο 299 του Κώδικα Ποινικής Δικονομίας). Αυτό επιτρέπει στον κατηγορούμενο να ελέγξει τις προσωπικές του πληροφορίες που συλλέχθηκαν στο πλαίσιο ποινικής έρευνας.
            Τέλος, η προστασία των προσωπικών πληροφοριών που συλλέγονται στο πλαίσιο ποινικής έρευνας, είτε πρόκειται για ύποπτο είτε για τον κατηγορούμενο είτε για οποιοδήποτε άλλο πρόσωπο (π.χ. θύμα εγκληματικής πράξης), διασφαλίζεται μέσω της υποχρέωσης τήρησης του απορρήτου (άρθρο 100 του Νόμου περί Εθνικής Δημόσιας Διοίκησης) και της απειλής επιβολής ποινής σε περίπτωση διαρροής εμπιστευτικών πληροφοριών κατά την άσκηση καθηκόντων δημόσιας υπηρεσίας [άρθρο 109 σημείο xii) του Νόμου περί Εθνικής Δημόσιας Διοίκησης].
            5)   Ατομική προσφυγή κατά παράνομων/καταχρηστικών ερευνών από δημόσιες αρχές: καταγγελία στην ΕΠΠ
            Σύμφωνα με το άρθρο 6 του ΝΠΠΠ, η κυβέρνηση λαμβάνει τα αναγκαία μέτρα, σε συνεργασία με τις κυβερνήσεις τρίτων χωρών, για τη δημιουργία ενός συμβατού σε διεθνές επίπεδο συστήματος για τις προσωπικές πληροφορίες μέσα από την προώθηση της συνεργασίας με διεθνείς οργανισμούς και σε άλλα διεθνή πλαίσια. Βάσει αυτής της διάταξης, η Βασική Πολιτική για την Προστασία των Προσωπικών Πληροφοριών (που εγκρίθηκε με Απόφαση του Υπουργικού Συμβουλίου) αναθέτει στην ΕΠΠ, ως αρμόδια αρχή για τη συνολική διαχείριση του ΝΠΠΠ, να λαμβάνει τα αναγκαία μέτρα για τη γεφύρωση των διαφορών σε επίπεδο συστημάτων και λειτουργιών μεταξύ της Ιαπωνίας και της εκάστοτε τρίτης χώρας, προκειμένου να διασφαλίζεται ο σωστός χειρισμός των προσωπικών πληροφοριών που λαμβάνονται από τη χώρα αυτή.
            Επιπλέον, όπως προβλέπεται στο άρθρο 61 σημεία i) και ii) του ΝΠΠΠ, η ΕΠΠ έχει επιφορτιστεί με το καθήκον της διαμόρφωσης και προώθησης μιας βασικής πολιτικής, καθώς και με τη διαμεσολάβηση σε σχέση με καταγγελίες που υποβάλλονται κατά επιχειρηματικών φορέων. Τέλος, τα διοικητικά όργανα επικοινωνούν και συνεργάζονται στενά μεταξύ τους (άρθρο 80 του ΝΠΠΠ).
            Βάσει αυτών των διατάξεων, η ΕΠΠ θα εξετάζει τις καταγγελίες που υποβάλλονται από άτομα ως εξής:
            
                        α)
                     
                     
                        Ένα άτομο που έχει την υποψία ότι τα διαβιβασθέντα από την ΕΕ δεδομένα του συλλέχθηκαν ή χρησιμοποιήθηκαν από δημόσιες αρχές στην Ιαπωνία, συμπεριλαμβανομένων των αρχών που είναι αρμόδιες για τις δραστηριότητες που αναφέρονται στα κεφάλαια II και III της παρούσας «Παρουσίασης», κατά παράβαση των εφαρμοστέων κανόνων, συμπεριλαμβανομένων εκείνων που υπάγονται στην παρούσα «Παρουσίαση», μπορεί να υποβάλει καταγγελία στην ΕΠΠ (ατομικά ή μέσω της ΑΠΔ στην οποία υπάγεται).
                     
                  
                        β)
                     
                     
                        Η ΕΠΠ διεκπεραιώνει την καταγγελία, μεταξύ άλλων κάνοντας χρήση των εξουσιών της βάσει του άρθρου 6, του άρθρου 61 σημείο ii) και του άρθρου 80 του ΝΠΠΠ, και ενημερώνει τις αρμόδιες δημόσιες αρχές, συμπεριλαμβανομένων των αντίστοιχων εποπτικών φορέων, σχετικά με την καταγγελία.
                        Οι αρχές αυτές υποχρεούνται να συνεργαστούν με την ΕΠΠ σύμφωνα με το άρθρο 80 του ΝΠΠΠ, μεταξύ άλλων παρέχοντας τις αναγκαίες πληροφορίες και το σχετικό υλικό, προκειμένου η ΕΠΠ να μπορεί να αξιολογήσει κατά πόσο η συλλογή ή η επακόλουθη χρήση προσωπικών πληροφοριών πραγματοποιήθηκε σε συμμόρφωση με τους ισχύοντες κανόνες. Κατά τη διενέργεια της αξιολόγησής της, η ΕΠΠ συνεργάζεται με το ΥΕΕ.
                     
                  
                        γ)
                     
                     
                        Αν η αξιολόγηση καταδείξει ότι υπήρξε πράγματι παράβαση των εφαρμοστέων κανόνων, η συνεργασία των αντίστοιχων δημόσιων αρχών με την ΕΠΠ εμπεριέχει την υποχρέωση επανόρθωσης της παράβασης.
                        Σε περίπτωση παράνομης συλλογής προσωπικών πληροφοριών βάσει των εφαρμοστέων κανόνων, η εν λόγω επανόρθωση περιλαμβάνει τη διαγραφή των προσωπικών πληροφοριών που συλλέχθηκαν.
                        Σε περίπτωση παράβασης των εφαρμοστέων κανόνων, η ΕΠΠ επιβεβαιώνει επίσης, πριν από την ολοκλήρωση της αξιολόγησης, ότι υπήρξε πλήρης επανόρθωση της παράβασης.
                     
                  
                        δ)
                     
                     
                        Μετά την ολοκλήρωση της αξιολόγησης, η ΕΠΠ ενημερώνει, εντός ευλόγου χρονικού διαστήματος, το άτομο για το αποτέλεσμα της αξιολόγησης, συμπεριλαμβανομένων των διορθωτικών μέτρων που ενδεχομένως έχουν ληφθεί. Μέσω της κοινοποίησης αυτής, η ΕΠΠ ενημερώνει επίσης το άτομο σχετικά με τη δυνατότητα να ζητήσει επιβεβαίωση του αποτελέσματος από την αρμόδια δημόσια αρχή και σχετικά με την αρχή στην οποία υποβάλλεται το εν λόγω αίτημα επιβεβαίωσης.
                        Οι λεπτομέρειες σχετικά με το αποτέλεσμα της αξιολόγησης μπορεί να είναι περιορισμένες όταν θεωρείται ευλόγως ότι η γνωστοποίηση αυτών των πληροφοριών είναι πιθανό να θέσει σε κίνδυνο την υπό εξέλιξη έρευνα.
                        Όταν η καταγγελία αφορά τη συλλογή ή τη χρήση δεδομένων προσωπικού χαρακτήρα στον τομέα της επιβολής της ποινικής νομοθεσίας, η ΕΠΠ, σε περίπτωση που η αξιολόγηση αποκαλύψει ότι μια υπόθεση στην οποία ενέχονται οι προσωπικές πληροφορίες του ατόμου έχει ανοίξει και ότι η υπόθεση έχει κλείσει, ενημερώνει το άτομο ότι μπορεί να εξετάσει τη δικογραφία σύμφωνα με το άρθρο 53 του Κώδικα Ποινικής Δικονομίας και το άρθρο 4 του Νόμου σχετικά με τις Τελικές Ποινικές Δικογραφίες.
                        Όταν η αξιολόγηση αποκαλύπτει ότι ένα άτομο είναι ύποπτο σε ποινική υπόθεση, η ΕΠΠ ενημερώνει το άτομο για το γεγονός αυτό καθώς και για τη δυνατότητα υποβολής αίτησης σύμφωνα με το άρθρο 259 του Κώδικα Ποινικής Δικονομίας.
                     
                  
                        ε)
                     
                     
                        Εάν ένα άτομο παραμένει μη ικανοποιημένο από την έκβαση της διαδικασίας, μπορεί να απευθυνθεί στη ΕΠΠ, η οποία ενημερώνει το άτομο σχετικά με τις διάφορες δυνατότητες και τις αναλυτικές διαδικασίες προσφυγής βάσει των ιαπωνικών νόμων και κανονισμών. Η ΕΠΠ παρέχει στο άτομο υποστήριξη, συμπεριλαμβανομένης της παροχής συμβουλών και της συνδρομής για άσκηση περαιτέρω προσφυγής ενώπιον του σχετικού διοικητικού ή δικαστικού σώματος.
                     
                  III.   Κρατική πρόσβαση για σκοπούς εθνικής ασφάλειας
            
            A.   Νομικές βάσεις και περιορισμοί για τη συλλογή προσωπικών πληροφοριών
            1)   Νομικές βάσεις για τη συλλογή πληροφοριών από το οικείο υπουργείο/τον οικείο οργανισμό
            Όπως αναφέρθηκε παραπάνω, η συλλογή προσωπικών πληροφοριών από διοικητικά όργανα για σκοπούς εθνικής ασφάλειας πρέπει να εμπίπτει στο πεδίο της διοικητικής τους δικαιοδοσίας.
            Στην Ιαπωνία, δεν υπάρχει νομοθεσία που να επιτρέπει τη συλλογή πληροφοριών με υποχρεωτικά μέσα μόνο για σκοπούς εθνικής ασφάλειας. Σύμφωνα με το άρθρο 35 του Συντάγματος, η αναγκαστική συλλογή προσωπικών πληροφοριών είναι δυνατή μόνο βάσει εντάλματος που εκδίδεται από δικαστήριο για τη διερεύνηση αδικήματος. Επομένως, το εν λόγω ένταλμα μπορεί να εκδοθεί μόνο για τους σκοπούς ποινικής έρευνας. Αυτό σημαίνει ότι, στο ιαπωνικό νομικό σύστημα, δεν επιτρέπεται η συλλογή πληροφοριών/πρόσβαση σε πληροφορίες με υποχρεωτικά μέσα για λόγους εθνικής ασφάλειας. Αντιθέτως, στον τομέα της εθνικής ασφάλειας, τα οικεία υπουργεία ή οργανισμοί μπορούν να αποκτούν πληροφορίες μόνο από πηγές που είναι ελεύθερα προσβάσιμες, ή να λαμβάνουν πληροφορίες από επιχειρηματικούς φορείς ή άτομα με οικειοθελή κοινοποίηση. Οι επιχειρηματικοί φορείς που λαμβάνουν αίτημα οικειοθελούς συνεργασίας δεν έχουν νομική υποχρέωση να παράσχουν τις πληροφορίες αυτές και, ως εκ τούτου, δεν αντιμετωπίζουν αρνητικές συνέπειες εάν αρνηθούν να συνεργαστούν.
            Αρμοδιότητες τον τομέα της εθνικής ασφάλειας έχουν διάφορες υπουργικές υπηρεσίες και οργανισμοί.
            (1)   Γραμματεία του Υπουργικού Συμβουλίου
            Η Γραμματεία του Υπουργικού Συμβουλίου διενεργεί συλλογή πληροφοριών και έρευνες σχετικά με σημαντικές πολιτικές του Υπουργικού Συμβουλίου (28) οι οποίες καθορίζονται στο άρθρο 12-2 του Νόμου περί Υπουργικού Συμβουλίου (29). Ωστόσο, η Γραμματεία του Υπουργικού Συμβουλίου δεν έχει την εξουσία να συλλέγει απευθείας προσωπικές πληροφορίες από επιχειρηματικούς φορείς. Συλλέγει, ενσωματώνει, αναλύει και αξιολογεί πληροφορίες από υλικά ανοικτής πηγής, άλλες δημόσιες αρχές κ.λπ.
            (2)   ΕΑΥ/Νομαρχιακή Αστυνομία
            Σε κάθε νομό, η Νομαρχιακή Αστυνομία εξουσιοδοτείται να συλλέγει πληροφορίες στο πλαίσιο της δικαιοδοσίας της σύμφωνα με το άρθρο 2 του Νόμου περί Αστυνομίας. Ενδέχεται η ΕΑΥ να συλλέξει απευθείας πληροφορίες στο πλαίσιο της δικαιοδοσίας της βάσει του Νόμου περί Αστυνομίας. Αυτό αφορά ιδίως τις δραστηριότητες του Γραφείου Ασφάλειας και του Τμήματος Εξωτερικών Υποθέσεων και Πληροφοριών της ΕΑΥ. Σύμφωνα με το άρθρο 24 του Νόμου περί Αστυνομίας, το Γραφείο Ασφάλειας είναι αρμόδιο για θέματα που αφορούν την αστυνομία ασφάλειας (30), ενώ το Τμήμα Εξωτερικών Υποθέσεων και Πληροφοριών είναι αρμόδιο για τις υποθέσεις που αφορούν αλλοδαπούς καθώς και Ιάπωνες υπηκόους των οποίων οι βάσεις δραστηριότητας βρίσκονται σε ξένες χώρες.
            (3)   Οργανισμός Πληροφοριών Δημόσιας Ασφάλειας (ΟΠΔΑ)
            Η εφαρμογή του Νόμου περί Πρόληψης της Ανατρεπτικής Δράσης (ΝΠΑΔ) και του Νόμου για τον Έλεγχο Οργανώσεων που έχουν τελέσει Πράξεις Μαζικής Δολοφονίας χωρίς Διάκριση (ΝΕΟ) εμπίπτει κυρίως στην αρμοδιότητα του Οργανισμού Πληροφοριών Δημόσιας Ασφάλειας (ΟΠΔΑ). Ο Οργανισμός αυτός υπάγεται στο Υπουργείο Δικαιοσύνης.
            Ο ΝΠΑΔ και ο ΝΕΟ ορίζουν ότι, υπό αυστηρές προϋποθέσεις, μπορούν να θεσπιστούν διοικητικές διευθετήσεις (δηλαδή μέτρα που διατάσσουν τον περιορισμό των δραστηριοτήτων των εν λόγω οργανισμών, τη διάλυσή τους κ.λπ.) κατά οργανώσεων που διαπράττουν ορισμένες σοβαρές πράξεις («Τρομοκρατική Ανατρεπτική Δράση» ή «Πράξη Μαζικής Δολοφονίας χωρίς Διάκριση») κατά παράβαση της «δημόσιας ασφάλειας» ή του «θεμελιώδους συστήματος της κοινωνίας» βάσει του Συντάγματος. Η «Τρομοκρατική Ανατρεπτική Δράση» εμπίπτει στο πεδίο εφαρμογής του ΝΠΑΔ (βλ. άρθρο 4, το οποίο καλύπτει δραστηριότητες όπως η εξέγερση, η υποκίνηση ξένης επίθεσης, η ανθρωποκτονία με πολιτική πρόθεση κ.λπ.), ενώ ο ΝΕΟ αφορά «Πράξεις Μαζικής Δολοφονίας χωρίς Διάκριση» (βλ. άρθρο 4 του ΝΕΟ). Μόνο οργανώσεις που έχουν προσδιοριστεί επακριβώς και οι οποίες συνιστούν συγκεκριμένη εσωτερική ή εξωτερική απειλή κατά της δημόσιας ασφάλειας μπορούν να υπόκεινται σε διευθετήσεις βάσει του ΝΠΑΔ ή του ΝΕΟ.
            Για τον σκοπό αυτό, ο ΝΠΑΔ και ο ΝΕΟ παρέχουν νομική εξουσιοδότηση για διενέργεια ερευνών. Οι βασικές εξουσίες έρευνας των αξιωματικών του ΟΠΔΑ καθορίζονται στο άρθρο 27 του ΝΠΑΔ και στο άρθρο 29 του ΝΕΟ. Βάσει αυτών των διατάξεων, ο ΟΠΔΑ διεξάγει έρευνες στον βαθμό που αυτές είναι αναγκαίες σε σχέση με τις παραπάνω διευθετήσεις για τον έλεγχο οργανώσεων (για παράδειγμα, στο παρελθόν έχουν αποτελέσει αντικείμενο έρευνας ριζοσπαστικές αριστερές ομάδες, η αίρεση Aum Shinrikyo και ορισμένες εγχώριες ομάδες με στενούς δεσμούς με τη Βόρεια Κορέα). Ωστόσο, οι έρευνες αυτές δεν μπορούν να βασίζονται σε υποχρεωτικά μέσα και, ως εκ τούτου, ένας οργανισμός που διαθέτει προσωπικές πληροφορίες δεν μπορεί να υποχρεωθεί να παράσχει τις εν λόγω πληροφορίες.
            Η συλλογή και η χρήση πληροφοριών που κοινοποιούνται οικειοθελώς στον ΟΠΔΑ υπόκειται στις σχετικές εγγυήσεις και περιορισμούς που προβλέπονται από τη νομοθεσία όπως, μεταξύ άλλων, το απόρρητο των επικοινωνιών, το οποίο κατοχυρώνεται από το Σύνταγμα και τους κανόνες για τον χειρισμό των προσωπικών πληροφοριών βάσει του ΝΠΠΠΤΔΟ.
            (4)   Υπουργείο Άμυνας (ΥΑ)
            Σε ό,τι αφορά τη συλλογή πληροφοριών από το Υπουργείο Άμυνας (ΥΑ), το ΥΑ συλλέγει πληροφορίες βάσει των άρθρων 3 και 4 του Νόμου για τη Σύσταση του ΥΑ στον βαθμό που είναι αναγκαίος για τον χειρισμό των θεμάτων που εμπίπτουν στη διοικητική δικαιοδοσία του, μεταξύ άλλων όσον αφορά την άμυνα και την προστασία, τα μέτρα που πρέπει να λαμβάνουν οι αμυντικές δυνάμεις, καθώς και την ανάπτυξη των χερσαίων, θαλάσσιων και εναέριων αμυντικών δυνάμεων. Το ΥΑ μπορεί να συλλέγει πληροφορίες για τους σκοπούς αυτούς μόνο μέσω οικειοθελούς συνεργασίας και από ελεύθερα προσβάσιμες πηγές. Δεν συλλέγει πληροφορίες για το ευρύ κοινό.
            2)   Περιορισμοί και εγγυήσεις
            
               α)   Περιορισμοί εκ του νόμου
            
            (1)   Γενικοί περιορισμοί βάσει του ΝΠΠΠΤΔΟ
            Ο ΝΠΠΠΤΔΟ είναι ένας γενικός νόμος που εφαρμόζεται στη συλλογή και τον χειρισμό προσωπικών πληροφοριών από διοικητικά όργανα σε όλους τους τομείς δραστηριότητας των οργάνων αυτών. Ως εκ τούτου, οι περιορισμοί και οι εγγυήσεις που περιγράφονται στο τμήμα II μέρος A κεφάλαιο 1 στοιχείο β) σημείο 2 εφαρμόζονται και στη διατήρηση, αποθήκευση, χρήση κ.λπ. προσωπικών πληροφοριών στον τομέα της εθνικής ασφάλειας.
            (2)   Ειδικοί περιορισμοί που ισχύουν για την αστυνομία (τόσο την ΕΑΥ όσο και τη Νομαρχιακή Αστυνομία)
            Όπως διευκρινίστηκε παραπάνω, στο τμήμα που αφορά τη συλλογή πληροφοριών για σκοπούς επιβολής του νόμου, η αστυνομία μπορεί να συλλέγει πληροφορίες μόνο στο πλαίσιο της δικαιοδοσίας της, ενώ, σύμφωνα με το άρθρο 2 παράγραφος 2 του Νόμου περί Αστυνομίας, όταν συλλέγει πληροφορίες μπορεί να ενεργεί μόνο σε βαθμό «αυστηρά περιορισμένο» στην άσκηση των καθηκόντων της και με «αμεροληψία, δικαιοσύνη, ακομμάτιστα και χωρίς προκαταλήψεις». Επιπλέον, οι αρμοδιότητές της «δεν πρέπει σε καμία περίπτωση να αποτελούν αντικείμενο κατάχρησης με τρόπο που υπονομεύει τα δικαιώματα και τις ελευθερίες του ατόμου που κατοχυρώνονται στο Σύνταγμα της Ιαπωνίας».
            (3)   Ειδικοί περιορισμοί που ισχύουν για τον ΟΠΔΑ
            Τόσο το άρθρο 3 του ΝΑΠΔ όσο και το άρθρο 3 του ΝΕΟ ορίζουν ότι οι έρευνες που διεξάγονται βάσει αυτών των νόμων διενεργούνται μόνο στην ελάχιστη αναγκαία έκταση για την επίτευξη του επιδιωκόμενου σκοπού και δεν διεξάγονται κατά τρόπο που περιορίζει σε μη εύλογο βαθμό τα θεμελιώδη ανθρώπινα δικαιώματα. Επιπλέον, σύμφωνα με το άρθρο 45 της ΝΑΠΔ και το άρθρο 42 του ΝΕΟ, εάν αξιωματικός του ΟΠΔΑ καταχράται την εξουσία του/της, αυτό συνιστά αδίκημα που τιμωρείται με βαρύτερες ποινικές κυρώσεις απ’ ό,τι οι «γενικές» καταχρήσεις εξουσίας σε άλλους τομείς του δημοσίου.
            (4)   Ειδικοί περιορισμοί που ισχύουν για το ΥΑ
            Σε ό,τι αφορά τη συλλογή/οργάνωση πληροφοριών από το ΥΑ, όπως αναφέρεται στο άρθρο 4 του Νόμου για τη Σύσταση του ΥΑ, η δραστηριότητα του εν λόγω Υπουργείου σε σχέση με τη συλλογή πληροφοριών περιορίζεται σε ό,τι είναι «αναγκαίο» για την εκτέλεση των καθηκόντων του όσον αφορά 1) την άμυνα και την προστασία, 2) τα μέτρα που πρέπει να λαμβάνουν οι αμυντικές δυνάμεις, 3) την οργάνωση, το μέγεθος του προσωπικού, τη δομή, τον εξοπλισμό και την ανάπτυξη των χερσαίων, θαλάσσιων και εναέριων αμυντικών δυνάμεων.
            
               β)   Άλλοι περιορισμοί
            
            Όπως εξηγήθηκε προηγουμένως στο τμήμα II μέρος A κεφάλαιο 2 στοιχείο β) σημείο 1 σχετικά με τις ποινικές έρευνες, από τη νομολογία του Ανωτάτου Δικαστηρίου προκύπτει ότι, προκειμένου να υποβληθεί αίτημα οικειοθελούς συνεργασίας σε επιχειρηματικό φορέα, το εν λόγω αίτημα πρέπει να είναι απαραίτητο για τη διερεύνηση πιθανής εγκληματικής πράξης και πρέπει να είναι εύλογο προκειμένου να επιτευχθεί ο σκοπός της έρευνας.
            Αν και οι έρευνες που διενεργούνται από ερευνητικές αρχές στον τομέα της εθνικής ασφάλειας διαφέρουν από τις έρευνες που διενεργούνται από ερευνητικές αρχές στον τομέα της επιβολής του νόμου τόσο ως προς τη νομική βάση όσο και ως προς τον σκοπό, οι κεντρικές αρχές της «αναγκαιότητας της έρευνας» και της «καταλληλότητας της μεθόδου» εφαρμόζονται κατά τον ίδιο τρόπο στον τομέα της εθνικής ασφάλειας και πρέπει να τηρούνται λαμβανομένων υπόψη των ειδικών συνθηκών της κάθε υπόθεσης.
            Μέσα από τον συνδυασμό των παραπάνω περιορισμών διασφαλίζεται ότι η συλλογή και η επεξεργασία πληροφοριών πραγματοποιούνται μόνο στον βαθμό που είναι αναγκαίος για την άσκηση συγκεκριμένων καθηκόντων της αρμόδιας δημόσιας αρχής, καθώς και βάσει συγκεκριμένων απειλών. Αυτό αποκλείει τη μαζική και χωρίς διακρίσεις συλλογή ή πρόσβαση σε πληροφορίες προσωπικού χαρακτήρα για λόγους εθνικής ασφάλειας.
            Β)   Εποπτεία
            1)   Εποπτεία βάσει του ΝΠΠΠΤΔΟ
            Όπως εξηγήθηκε προηγουμένως στο τμήμα II μέρος Β κεφάλαιο 2, στον δημόσιο τομέα της Ιαπωνίας ο υπουργός ή ο προϊστάμενος κάθε υπουργείου ή οργανισμού έχει την εξουσία να επιβλέπει και να επιβάλλει τη συμμόρφωση με τον ΝΠΠΠΤΔΟ στο υπουργείο ή τον οργανισμό του. Επιπλέον, ο Υπουργός Εσωτερικών και Επικοινωνιών μπορεί να διερευνά την κατάσταση επιβολής του νόμου, να ζητά από κάθε υπουργό να υποβάλει υλικό και επεξηγήσεις βάσει των άρθρων 49 και 50 του Νόμου, και να απευθύνει γνώμες σε κάθε υπουργό βάσει του άρθρου 51 του Νόμου. Για παράδειγμα, μπορεί να ζητήσει αναθεώρηση των μέτρων μέσω των ενεργειών που προβλέπονται στα άρθρα 50 και 51 του Νόμου.
            2)   Εποπτεία της αστυνομίας από τις επιτροπές δημόσιας ασφαλείας
            Όπως εξηγήθηκε στο παραπάνω τμήμα «II. Συλλογή πληροφοριών για σκοπούς επιβολής της ποινικής νομοθεσίας», οι ανεξάρτητες Νομαρχιακές Επιτροπές Δημόσιας Ασφάλειας εποπτεύουν τις δραστηριότητες της Νομαρχιακής Αστυνομίας.
            Όσον αφορά την Εθνική Αστυνομική Υπηρεσία (ΕΑΥ), τα εποπτικά καθήκοντα ασκούνται από την Εθνική Επιτροπή Δημόσιας Ασφάλειας. Σύμφωνα με το άρθρο 5 του Νόμου περί Αστυνομίας, η Επιτροπή αυτή είναι αρμόδια ιδίως για «την προστασία των δικαιωμάτων και των ελευθεριών ενός ατόμου». Για τον σκοπό αυτό, θεσπίζει κυρίως ολοκληρωμένες πολιτικές μέσω των οποίων καθορίζονται κανονιστικές ρυθμίσεις για τη διαχείριση των θεμάτων που προβλέπονται σε κάθε στοιχείο του άρθρου 5 παράγραφος 4 του Νόμου περί Αστυνομίας, καθώς και άλλες βασικές κατευθύνσεις ή μέτρα που θα πρέπει να χρησιμοποιούνται ως βάση για την άσκηση των εν λόγω δραστηριοτήτων. Η Εθνική Επιτροπή Δημόσιας Ασφάλειας (ΕΕΔΑ) έχει τον ίδιο βαθμό ανεξαρτησίας με τις Νομαρχιακές Επιτροπές Δημόσιας Ασφάλειας (ΝΕΔΑ).
            3)   Εποπτεία του ΥΑ από την Υπηρεσία Νομικής Συμμόρφωσης του Γενικού Επιθεωρητή
            Η Υπηρεσία Νομικής Συμμόρφωσης (ΥΝΣ) του Γενικού Επιθεωρητή είναι μια ανεξάρτητη υπηρεσία που υπάγεται στο Υπουργείο Άμυνας (ΥΑ) και η οποία τελεί υπό την άμεση επίβλεψη του Υπουργού Άμυνας, σύμφωνα με το άρθρο 29 του Νόμου για τη σύσταση του ΥΑ. Η ΥΝΣ μπορεί να διενεργεί επιθεωρήσεις της συμμόρφωσης των αξιωματούχων του ΥΑ με τους νόμους και τους κανονισμούς. Οι επιθεωρήσεις αυτές ονομάζονται «Επιθεωρήσεις Άμυνας».
            Η ΥΝΣ διενεργεί επιθεωρήσεις με τη μορφή ανεξάρτητης υπηρεσίας, ώστε να διασφαλίζει τη νομική συμμόρφωση σε ολόκληρο το υπουργείο, συμπεριλαμβανομένων των αμυντικών δυνάμεων. Ασκεί τα καθήκοντά της ανεξάρτητα από τα επιχειρησιακά τμήματα του ΥΑ. Μετά από κάθε επιθεώρηση, η ΥΝΣ παρουσιάζει αμελλητί τα πορίσματά της απευθείας στον Υπουργό Άμυνας, μαζί με τα αναγκαία μέτρα βελτίωσης. Με βάση την έκθεση της ΥΝΣ, ο Υπουργός Άμυνας μπορεί να εκδίδει αποφάσεις για την εφαρμογή των μέτρων που είναι αναγκαία για τη διόρθωση της κατάστασης. Αρμόδιος για την εφαρμογή αυτών των μέτρων είναι ο Αναπληρωτής Υφυπουργός, ο οποίος πρέπει να υποβάλει έκθεση στον Υπουργό Άμυνας σχετικά με την κατάσταση της εν λόγω εφαρμογής.
            Ως οικειοθελές μέτρο διαφάνειας, τα πορίσματα των Επιθεωρήσεων Άμυνας δημοσιοποιούνται πλέον στον ιστότοπο του ΥΑ (αν και αυτό δεν απαιτείται από τον νόμο).
            Υπάρχουν τρεις κατηγορίες Επιθεωρήσεων Άμυνας:
            
                        i)
                     
                     
                        Τακτικές Επιθεωρήσεις Άμυνας, οι οποίες διενεργούνται περιοδικά (31)·
                     
                  
                        ii)
                     
                     
                        Επιθεωρήσεις Άμυνας για ελέγχους, οι οποίες διενεργούνται για να ελεγχθεί κατά πόσον έχουν ληφθεί αποτελεσματικά μέτρα βελτίωσης· και
                     
                  
                        iii)
                     
                     
                        Ειδικές Επιθεωρήσεις Άμυνας, οι οποίες διενεργούνται για συγκεκριμένα θέματα κατόπιν διαταγής του Υπουργού Άμυνας.
                     
                  Στο πλαίσιο των εν λόγω επιθεωρήσεων, ο Γενικός Επιθεωρητής μπορεί να ζητήσει εκθέσεις από την οικεία υπηρεσία, να ζητήσει την υποβολή εγγράφων, να μπει σε χώρους για να διενεργήσει την επιθεώρηση, να ζητήσει εξηγήσεις από τον Αναπληρωτή Υφυπουργό κ.λπ. Δεδομένης της φύσης των καθηκόντων επιθεώρησης της ΥΝΣ, οι επικεφαλής της υπηρεσίας είναι ανώτατοι νομικοί εμπειρογνώμονες (πρώην Γενικός Εισαγγελέας).
            4)   Εποπτεία του ΟΠΔΑ
            Ο ΟΠΔΑ διενεργεί τακτικές και ειδικές επιθεωρήσεις όσον αφορά τις εργασίες των επιμέρους γραφείων και υπηρεσιών του (Γραφείο Πληροφοριών Δημόσιας Ασφάλειας, κεντρικές και τοπικές υπηρεσίες πληροφοριών δημόσιας ασφάλειας κ.λπ.). Για τους σκοπούς της τακτικής επιθεώρησης, ως επιθεωρητής ορίζεται ένας Αναπληρωτής Γενικός Διευθυντής και/ή Διευθυντής. Οι εν λόγω επιθεωρήσεις αφορούν και τη διαχείριση προσωπικών πληροφοριών.
            5)   Εποπτεία από τη Δίαιτα
            Σε ό,τι αφορά τη συλλογή πληροφοριών για σκοπούς επιβολής του νόμου, η Δίαιτα, μέσω της αρμόδιας επιτροπής της, μπορεί να εξετάζει τη νομιμότητα των δραστηριοτήτων συλλογής πληροφοριών στον τομέα της εθνικής ασφάλειας. Οι εξουσίες έρευνας της Δίαιτας βασίζονται στο άρθρο 62 του Συντάγματος και στα άρθρα 74 και 104 του Νόμου περί της Δίαιτας.
            Γ.   Ατομική προσφυγή
            Η ατομική προσφυγή μπορεί να ασκηθεί μέσω των ίδιων οδών που χρησιμοποιούνται στον τομέα της επιβολής της ποινικής νομοθεσίας. Σ’ αυτές περιλαμβάνεται και ο νέος μηχανισμός προσφυγής, υπό τη διαχείριση και εποπτεία της ΕΠΠ, για τον χειρισμό και την επίλυση καταγγελιών που υποβάλλονται από πολίτες της ΕΕ. Βλ. σχετικά τα συναφή σημεία του τμήματος ΙΙ μέρος Γ.
            Επιπλέον, στον τομέα της εθνικής ασφάλειας διατίθενται ειδικές δυνατότητες ατομικής προσφυγής.
            Οι προσωπικές πληροφορίες που συλλέγονται από διοικητικά όργανα για σκοπούς εθνικής ασφάλειας υπόκεινται στις διατάξεις του κεφαλαίου 4 του ΝΠΠΠΤΔΟ. Σ’ αυτές περιλαμβάνονται το δικαίωμα υποβολής αιτήματος για κοινοποίηση (άρθρο 12) ή διόρθωση (συμπεριλαμβανομένης της προσθήκης ή της διαγραφής) (άρθρο 27) των διατηρούμενων προσωπικών πληροφοριών του ατόμου, καθώς και το δικαίωμα υποβολής αιτήματος για αναστολή της χρήσης των προσωπικών πληροφοριών σε περίπτωση που το διοικητικό όργανο έχει λάβει τις σχετικές πληροφορίες παρανόμως (άρθρο 36). Ωστόσο, στον τομέα της εθνικής ασφάλειας, η άσκηση των εν λόγω δικαιωμάτων υπόκειται σε ορισμένους περιορισμούς: οι αιτήσεις για κοινοποίηση, διόρθωση ή αναστολή δεν χορηγούνται όταν αφορούν «πληροφορίες για τις οποίες ο επικεφαλής διοικητικού οργάνου μπορεί ευλόγως να θεωρήσει ότι η κοινοποίηση είναι πιθανό να υπονομεύσει την εθνική ασφάλεια, να ζημιώσει τη σχέση αμοιβαίας εμπιστοσύνης με άλλη χώρα ή διεθνή οργανισμό, ή να υπονομεύσει τη θέση της χώρας σε διαπραγματεύσεις με άλλη χώρα ή διεθνή οργανισμό» [άρθρο 14 σημείο iv)]. Ως εκ τούτου, στην εξαίρεση αυτή δεν εμπίπτουν όλες οι περιπτώσεις οικειοθελούς συλλογής πληροφοριών σχετικά με την εθνική ασφάλεια, καθώς για κάτι τέτοιο απαιτείται πάντα συγκεκριμένη αξιολόγηση των κινδύνων που συνεπάγεται η κοινοποίηση των πληροφοριών αυτών.
            Επιπλέον, εάν το αίτημα του ατόμου απορριφθεί με την αιτιολογία ότι οι σχετικές πληροφορίες θεωρούνται μη κοινοποιήσιμες κατά την έννοια του άρθρου 14 σημείο iv), το άτομο μπορεί να ασκήσει διοικητική προσφυγή για την επανεξέταση της εν λόγω απόφασης, ισχυριζόμενο, για παράδειγμα, ότι οι προϋποθέσεις που προβλέπονται στο άρθρο 14 σημείο iv) δεν πληρούνται στη συγκεκριμένη περίπτωση. Σ’ αυτή την περίπτωση, προτού λάβει απόφαση, ο επικεφαλής του οικείου διοικητικού οργάνου συμβουλεύεται το Συμβούλιο Εξέτασης της Κοινοποίησης Πληροφοριών και της Προστασίας Προσωπικών Πληροφοριών. Το Συμβούλιο αυτό επανεξετάζει την προσφυγή από ανεξάρτητη οπτική γωνία. Το Συμβούλιο είναι ένας φορέας που χαρακτηρίζεται από υψηλή εξειδίκευση και ανεξαρτησία, τα μέλη του οποίου διορίζονται από τον πρωθυπουργό, με τη συγκατάθεση αμφότερων των Σωμάτων της Δίαιτας, μεταξύ ατόμων με εξαιρετική εμπειρογνωμοσύνη (32). Το Συμβούλιο διαθέτει ισχυρές εξουσίες έρευνας, συμπεριλαμβανομένης της δυνατότητας να ζητεί έγγραφα και την κοινοποίηση των εν λόγω προσωπικών πληροφοριών, να διεξάγει διαβουλεύσεις κεκλεισμένων των θυρών και να εφαρμόζει τη διαδικασία του δείκτη Vaughn (33). Στη συνέχεια, το Συμβούλιο συντάσσει γραπτή έκθεση η οποία κοινοποιείται στον ενδιαφερόμενο (34). Τα πορίσματα που περιέχονται στην έκθεση δημοσιοποιούνται. Παρότι η έκθεση δεν είναι επίσημα δεσμευτική, σχεδόν όλες οι εκθέσεις τηρούνται από το οικείο διοικητικό όργανο (35).
            Τέλος, σύμφωνα με το άρθρο 3 παράγραφος 3 του Νόμου περί Προσφυγής σε Διοικητικές Υποθέσεις, το οικείο άτομο μπορεί να προσφύγει στο δικαστήριο ζητώντας την ανάκληση της απόφασης που έλαβε το διοικητικό όργανο για μη κοινοποίηση των προσωπικών πληροφοριών.
            IV.   Περιοδική επανεξέταση
            
            Στο πλαίσιο της περιοδικής επανεξέτασης της απόφασης επάρκειας, η ΕΠΠ και η Ευρωπαϊκή Επιτροπή ανταλλάσσουν πληροφορίες σχετικά με την επεξεργασία των δεδομένων με βάση τις προϋποθέσεις της διαπίστωσης επάρκειας, συμπεριλαμβανομένων των οριζόμενων στην παρούσα παρουσίαση.
            
               (1)  Ανώτατο Δικαστήριο, απόφαση της 12ης Σεπτεμβρίου 2003 [2002 (Ju) αριθ. 1656].
            
               (2)  Για τις εξαιρέσεις σε σχέση με το κεφάλαιο 4 του ΝΠΠΠΤΔΟ, βλ. σελ. 17 κατωτέρω.
            
               (3)  Ως «διατηρούμενες προσωπικές πληροφορίες» κατά το άρθρο 2 παράγραφος 5 του ΝΠΠΠΤΔΟ νοούνται οι προσωπικές πληροφορίες οι οποίες καταρτίζονται ή αποκτώνται από υπάλληλο διοικητικού οργάνου στο πλαίσιο των καθηκόντων του και οι οποίες τηρούνται από το εν λόγω διοικητικό όργανο για οργανωτική χρήση από τους υπαλλήλους του.
            
               (4)  Κάθε νομαρχία έχει το δικό της «νομαρχιακό διάταγμα» που διέπει την προστασία των προσωπικών πληροφοριών από τη Νομαρχιακή Αστυνομία. Δεν υπάρχει μετάφραση στα αγγλικά των εν λόγω νομαρχιακών διαταγμάτων.
            
               (5)  Το άρθρο 220 παράγραφος 1 του Κώδικα Ποινικής Δικονομίας προβλέπει ότι όταν εισαγγελέας, βοηθός εισαγγελέα ή αξιωματικός της δικαστικής αστυνομίας συλλαμβάνει ύποπτο, μπορεί, αν είναι αναγκαίο, να λάβει τα ακόλουθα μέτρα: α) να εισέλθει στην κατοικία άλλου προσώπου κ.λπ. για να αναζητήσει τον ύποπτο· β) να προβεί σε έρευνα, κατάσχεση ή αυτοψία επιτόπου κατά τη σύλληψη.
            
               (6)  Ειδικότερα, η εν λόγω διάταξη ορίζει ότι «ο εισαγγελέας ή η δικαστική αστυνομία μπορεί, στις περιπτώσεις που προβλέπονται στα παρακάτω στοιχεία, όταν συντρέχουν περιστάσεις επαρκείς για να πιθανολογηθεί ότι θα λάβουν χώρα επικοινωνίες σχετικές με την τέλεση, την προετοιμασία, την οργάνωση επακόλουθων πράξεων όπως πράξεων εξαφάνισης αποδεικτικών στοιχείων κ.λπ., την παροχή οδηγιών και άλλες συνεννοήσεις σχετικά με έγκλημα που περιγράφεται στα εν λόγω στοιχεία (εφεξής “σειρά εγκλημάτων” στο δεύτερο και το τρίτο στοιχείο), καθώς και επικοινωνίες που περιλαμβάνουν το αντικείμενο των εν λόγω εγκλημάτων (εφεξής “επικοινωνίες σχετικές με το έγκλημα” στην παρούσα παράγραφο), και όταν είναι εξαιρετικά δυσχερές να ταυτοποιηθεί ο δράστης ή να αποσαφηνιστούν οι συνθήκες/λεπτομέρειες της τέλεσης του εγκλήματος με άλλον τρόπο, να διενεργήσει υποκλοπή επικοινωνιών σχετικών με το έγκλημα, βάσει εντάλματος υποκλοπής εκδοθέντος από δικαστή, όσον αφορά μέσο επικοινωνίας το οποίο προσδιορίζεται βάσει τηλεφωνικού αριθμού ή άλλων αριθμών/κωδικών που προσδιορίζουν την πηγή ή τον προορισμό των τηλεφωνημάτων και το οποίο χρησιμοποιείται από τον ύποπτο βάσει σύμβασης με φορέα τηλεπικοινωνιών κ.λπ. (εξαιρουμένων αυτών για τις οποίες δεν υπάρχουν υποψίες ότι μπορεί να χρησιμοποιηθούν ως επικοινωνίες σχετικές με το έγκλημα), ή επικοινωνιών για τις οποίες υπάρχουν εύλογες υποψίες ότι αποτελούν επικοινωνίες σχετικές με το έγκλημα και οι οποίες πραγματοποιούνται με το εν λόγω μέσο επικοινωνίας.».
            
               (7)  Απόφαση της 18ης Μαρτίου 1969 [1968 (Shi) αριθ. 100].
            
               (8)  Το άρθρο 156 παράγραφος 1 του Κώδικα Ποινικής Δικονομίας ορίζει: «Κατά την υποβολή της αίτησης της παραγράφου 1 του προηγούμενου άρθρου, ο αιτών υποβάλλει στοιχεία βάσει των οποίων μπορεί να πιθανολογηθεί ότι ο ύποπτος ή ο κατηγορούμενος έχει διαπράξει έγκλημα.».
            
               (9)  Βλ. υποσημείωση 6.
            
               (10)  Το άρθρο 3 παράγραφοι 1 και 2 του ΝΠΠΠΤΔΟ περιορίζουν την έκταση της διατήρησης και, ως εκ τούτου, και τη συλλογή προσωπικών πληροφοριών.
            
               (11)  Βλ. επίσης την ανακοίνωση που εξέδωσε η Εθνική Αστυνομική Υπηρεσία στις 7 Δεκεμβρίου 1999 (βλ. κατωτέρω), στην οποία αναφέρεται το ίδιο ζήτημα.
            
               (12)  Η βαρύτητα του εγκλήματος και το επείγον της κατάστασης αποτελούν παράγοντες που συνεκτιμώνται για την αξιολόγηση της «καταλληλότητας των μεθόδων».
            
               (13)  Το άρθρο 21 παράγραφος 2 του Συντάγματος ορίζει: «Δεν πραγματοποιείται λογοκρισία ούτε παραβιάζεται το απόρρητο οποιουδήποτε μέσου επικοινωνίας.».
            
               (14)  Το άρθρο 4 του Νόμου για τον Κλάδο των Τηλεπικοινωνιών ορίζει: «1) Το απόρρητο των επικοινωνιών τις οποίες διαχειρίζεται φορέας τηλεπικοινωνιών δεν παραβιάζεται. 2) Τα πρόσωπα που δραστηριοποιούνται στον κλάδο των τηλεπικοινωνιών δεν αποκαλύπτουν μυστικά τα οποία έχουν περιέλθει σε γνώση τους στο πλαίσιο των καθηκόντων τους και τα οποία σχετίζονται με επικοινωνίες τις οποίες διαχειρίζεται φορέας τηλεπικοινωνιών. Η υποχρέωση αυτή παραμένει ισχυρή και μετά τη λήξη της εργασιακής σχέσης των οικείων προσώπων.».
            
               (15)  Το άρθρο 134 του Ποινικού Κώδικα ορίζει: «1) Αν γιατρός, φαρμακοποιός, διανομέας φαρμακευτικών προϊόντων, μαία, δικηγόρος, συνήγορος υπεράσπισης, συμβολαιογράφος ή πρόσωπο που ασκούσε τέτοιο επάγγελμα κατά το παρελθόν κοινοποιήσει, χωρίς δικαιολογημένη αιτία, εμπιστευτικές πληροφορίες άλλου προσώπου οι οποίες περιήλθαν σε γνώση του στο πλαίσιο του εν λόγω επαγγέλματός του, τιμωρείται με φυλάκιση με εργασία έως 6 μηνών ή με χρηματική ποινή έως 100 000 γιεν. 2) Το ίδιο ισχύει σε περίπτωση που πρόσωπο το οποίο ασκεί ή ασκούσε θρησκευτικό λειτούργημα κοινοποιήσει, χωρίς δικαιολογημένη αιτία, εμπιστευτικές πληροφορίες άλλου προσώπου οι οποίες περιήλθαν σε γνώση του στο πλαίσιο του εν λόγω θρησκευτικού λειτουργήματος.».
            
               (16)  Όσον αφορά την εξαίρεση στον εν λόγω κανόνα, βλέπε υποσημείωση 5.
            
               (17)  Για τη διασφάλιση της διαφάνειας και τη διευκόλυνση της εποπτείας από το ΥΕΕ, απαιτείται από τον επικεφαλής ενός διοικητικού οργάνου, σύμφωνα με το άρθρο 11 του ΝΠΠΠΤΔΟ, να καταγράφει κάθε στοιχείο που προβλέπεται στο άρθρο 10 παράγραφος 1 του ΝΠΠΠΤΔΟ, όπως το όνομα του διοικητικού οργάνου που διατηρεί το αρχείο, τον σκοπό της χρήσης του αρχείου, τη μέθοδο συλλογής των προσωπικών πληροφοριών κ.λπ. (το λεγόμενο «μητρώο αρχείων προσωπικών πληροφοριών»). Ωστόσο, τα αρχεία προσωπικών πληροφοριών που εμπίπτουν στο άρθρο 10 παράγραφος 2 του ΝΠΠΠΤΔΟ, όπως τα αρχεία που εκπονούνται ή αποκτώνται στο πλαίσιο ποινικής έρευνας ή αφορούν θέματα σχετικά με την εθνική ασφάλεια, εξαιρούνται από την υποχρέωση κοινοποίησης στο ΥΕΕ και την καταχώρισή τους στο δημόσιο μητρώο. Εντούτοις, σύμφωνα με το άρθρο 7 του νόμου περί διαχείρισης των δημόσιων μητρώων και αρχείων, ο επικεφαλής διοικητικού οργάνου υποχρεούται πάντα να καταγράφει την κατάταξη, τον τίτλο, την περίοδο διατήρησης και την τοποθεσία αποθήκευσης κ.λπ. των διοικητικών εγγράφων («μητρώο διαχείρισης αρχείων διοικητικών εγγράφων»). Οι πληροφορίες ευρετηρίου για αμφότερα τα μητρώα δημοσιεύονται στο διαδίκτυο και επιτρέπουν στα άτομα να ελέγχουν ποιες προσωπικές πληροφορίες περιέχει το αρχείο, καθώς και το διοικητικό όργανο που διατηρεί τις πληροφορίες αυτές.
            
               (18)  Βλ. π.χ. τη γραπτή ερώτηση της Άνω Βουλής αριθ. 92, της 27ης Μαρτίου 2009, σχετικά με τον χειρισμό των πληροφοριών που συλλέγονται στο πλαίσιο ποινικών ερευνών, συμπεριλαμβανομένων των παραβιάσεων των υποχρεώσεων τήρησης του απορρήτου από τις αστυνομικές και εισαγγελικές αρχές.
            
               (19)  Ένα παράδειγμα τέτοιας αγωγής είναι: «Η υπόθεση του καταλόγου του Οργανισμού Άμυνας» (περιφερειακό δικαστήριο Niigata, απόφαση της 11ης Μαΐου 2006, [2002(Wa) αριθ.514)]. Στην περίπτωση αυτή, ένας υπάλληλος του Οργανισμού Άμυνας κατάρτησε, διατηρούσε και διένειμε κατάλογο των ατόμων εκείνων που είχαν υποβάλει στον Οργανισμό Άμυνας αιτήματα για την κοινοποίηση διοικητικών εγγράφων. Στον κατάλογο αυτό περιλαμβάνονταν περιγραφές των προσωπικών πληροφοριών του ενάγοντα. Επιμένοντας ότι παραβιάστηκαν η ιδιωτικότητά του, το δικαίωμα ενημέρωσης κ.λπ., ο ενάγων ζήτησε από τον εναγόμενο να καταβάλει αποζημίωση βάσει του άρθρου 1 παράγραφος 1 του Νόμου περί Προσφυγών κατά του Δημοσίου. Το αίτημα αυτό ικανοποιήθηκε εν μέρει από το δικαστήριο που επιδίκασε στον ενάγοντα μερική αποζημίωση.
            
               (20)  Ανώτατο Δικαστήριο, απόφαση της 5ης Απριλίου 1910 [1910(O) αριθ.71].
            
               (21)  Άρθρο 79 του Νόμου περί Αστυνομίας (απόσπασμα):
            
                        1.
                     
                     
                        Όποιος διατηρεί ενστάσεις κατά της εκτέλεσης των καθηκόντων προσωπικού της Νομαρχιακής Αστυνομίας, μπορεί να υποβάλει γραπτή καταγγελία στην Νομαρχιακή Επιτροπή Δημόσιας Ασφάλειας μέσω της διαδικασίας που ορίζεται στο διάταγμα της Εθνικής Επιτροπής Δημόσιας Ασφάλειας.
                     
                  
                        2.
                     
                     
                        Η Νομαρχιακή Επιτροπή Δημόσιας Ασφάλειας, η οποία έλαβε καταγγελία κατά τα προβλεπόμενα στην προηγούμενη παράγραφο, την επεξεργάζεται σύμφωνα με τη νομοθεσία και τα κατά τόπους διατάγματα και κοινοποιεί εγγράφως τα πορίσματα στον καταγγέλλοντα, εκτός από τις ακόλουθες περιπτώσεις:
                        
                                    1)
                                 
                                 
                                    Η καταγγελία μπορεί να αναγνωριστεί ως ασκηθείσα προκειμένου να εμποδιστεί η νόμιμη εκτέλεση των καθηκόντων της Νομαρχιακής Αστυνομίας·
                                 
                              
                                    2)
                                 
                                 
                                    Η τρέχουσα διαμονή του καταγγέλλοντος είναι άγνωστη·
                                 
                              
                                    3)
                                 
                                 
                                    Η καταγγελία μπορεί να αναγνωριστεί ως ασκηθείσα από κοινού με άλλους καταγγέλλοντες και οι άλλοι καταγγέλλοντες έχουν ήδη ενημερωθεί σχετικά με το αποτέλεσμα της κοινής καταγγελίας.
                                 
                              
                  
               (22)  ΕΥΑ, Ανακοίνωση για την ορθή διεκπεραίωση των καταγγελιών σχετικά με την εκτέλεση των καθηκόντων από αστυνομικούς, 13 Απριλίου 2001, με το προσάρτημα 1 «Πρότυπα σχετικά με την ερμηνεία/εφαρμογή του άρθρου 79 του Νόμου περί Αστυνομίας».
            
               (23)  Σύμφωνα με την ανακοίνωση της ΕΥΑ (βλ. προηγούμενη υποσημείωση), στα άτομα που αντιμετωπίζουν δυσκολίες στη διατύπωση γραπτής καταγγελίας παρέχεται βοήθεια. Αυτό περιλαμβάνει ρητά την περίπτωση των αλλοδαπών.
            
               (24)  Από την άλλη πλευρά, υπάρχουν έγγραφα που δεν χαρακτηρίζονται ως «έγγραφα που σχετίζονται με δίκες», καθώς δεν αποτελούν πληροφορίες που αποκτήθηκαν βάσει εντάλματος ή βάσει γραπτών ερωτήσεων σε ερευνητικά ζητήματα, αλλά που δημιουργήθηκαν με βάση τέτοια έγγραφα. Σε μια τέτοια περίπτωση, οι προσωπικές πληροφορίες δεν θα υπάγονταν στο άρθρο 45 παράγραφος 1 του ΝΠΠΠΤΔΟ και, ως εκ τούτου, οι πληροφορίες αυτές δεν θα εξαιρούνταν από την εφαρμογή του κεφαλαίου 4 του ΝΠΠΠΤΔΟ.
            
               (25)  Το άρθρο 53-2 παράγραφος 2 του Κώδικα Ποινικής Δικονομίας ορίζει ότι οι διατάξεις του κεφαλαίου IV του ΝΠΠΠΤΔΟ δεν εφαρμόζονται στις προσωπικές πληροφορίες που καταχωρίζονται στα έγγραφα που σχετίζονται με δίκες και κατασχεθέντα αντικείμενα.
            
               (26)  Σύμφωνα με τον Κώδικα Ποινικής Δικονομίας και τον Νόμο σχετικά με τις Τελικές Ποινικές Δικογραφίες, η πρόσβαση και η διόρθωση των κατασχεθέντων αντικειμένων, καθώς και των εγγράφων/των προσωπικών πληροφοριών που σχετίζονται με ποινικές δίκες, υπόκεινται σε ένα μοναδικό και διακριτό σύστημα κανόνων που αποσκοπεί στην προστασία της ιδιωτικότητας των εμπλεκομένων, στο απόρρητο των ερευνών και στην ορθή διεξαγωγή της ποινικής δίκης, κ.λπ.
            
               (27)  Πιο συγκεκριμένα, η εξέταση των πληροφοριών που σχετίζονται με αντικειμενικά αποδεικτικά στοιχεία επιτρέπεται κατ’ αρχήν για τα θύματα εγκληματικών πράξεων στις περιπτώσεις μη άσκησης ποινικής δίωξης σε υποθέσεις για τις οποίες προβλέπεται η συμμετοχή του θύματος κατά το άρθρο 316-33 του Κώδικα Ποινικής Δικονομίας, προκειμένου να καθίσταται πιο πλήρης η προστασία των θυμάτων εγκληματικών πράξεων.
            
               (28)  Η εν λόγω συλλογή και έρευνες διενεργούνται από το Γραφείο Πληροφοριών και Έρευνας του Υπουργικού Συμβουλίου βάσει του άρθρου 4 του Διατάγματος περί Οργάνωσης της Γραμματείας του Υπουργικού Συμβουλίου.
            
               (29)  Αυτό περιλαμβάνει «τη συλλογή και τη διερεύνηση πληροφοριών σχετικά με σημαντικές πολιτικές του Υπουργικού Συμβουλίου».
            
               (30)  Η αστυνομία ασφάλειας είναι υπεύθυνη για τις δραστηριότητες ελέγχου της εγκληματικότητας που σχετίζονται με τη δημόσια ασφάλεια και το συμφέρον του έθνους. Αυτό περιλαμβάνει τον έλεγχο της εγκληματικότητας και τη συλλογή πληροφοριών σχετικά με παράνομες πράξεις που σχετίζονται με ακροαριστερές ή ακροδεξιές ομάδες και επιβλαβείς δραστηριότητες που στρέφονται κατά της Ιαπωνίας.
            
               (31)  Ως παράδειγμα επιθεώρησης συναφούς με τα θέματα που καλύπτονται από την παρούσα παρουσίαση, μπορεί να αναφερθεί η Τακτική Επιθεώρηση Άμυνας του 2016 σχετικά με την «Ευαισθητοποίηση/προετοιμασία για τη νομική συμμόρφωση», καθώς η προστασία των προσωπικών πληροφοριών ήταν ένα από τα σημεία στα οποία εστίασε η εν λόγω επιθεώρηση. Πιο συγκεκριμένα, η επιθεώρηση αφορούσε την κατάσταση της διαχείρισης, της αποθήκευσης κ.λπ. προσωπικών πληροφοριών. Στην έκθεσή της, η ΥΝΣ εντόπισε αρκετές ακατάλληλες πτυχές όσον αφορά τη διαχείριση των προσωπικών πληροφοριών οι οποίες πρέπει να βελτιωθούν, όπως η μη προστασία των δεδομένων μέσω κωδικού πρόσβασης. Η έκθεση διατίθεται στον ιστότοπο του ΥΑ.
            
               (32)  Βλ. άρθρο 4 του Νόμου για τη Σύσταση του Συμβουλίου Εξέτασης της Κοινοποίησης Πληροφοριών και της Προστασίας Προσωπικών Πληροφοριών.
            
               (33)  Βλ. άρθρο 9 του Νόμου για τη Σύσταση του Συμβουλίου Εξέτασης της Κοινοποίησης Πληροφοριών και της Προστασίας Προσωπικών Πληροφοριών.
            
               (34)  Βλ. άρθρο 16 του Νόμου για τη Σύσταση του Συμβουλίου Εξέτασης της Κοινοποίησης Πληροφοριών και της Προστασίας Προσωπικών Πληροφοριών.
            
               (35)  Κατά τα τελευταία 3 χρόνια δεν έχει υπάρξει κανένα προηγούμενο όπου το οικείο διοικητικό όργανο έλαβε απόφαση που διέφερε από τα συμπεράσματα του Συμβουλίου. Σε προηγούμενα χρόνια, υπάρχουν εξαιρετικά λίγες περιπτώσεις όπου συνέβη κάτι τέτοιο: από το 2005 (έτος κατά το οποίο τέθηκε σε ισχύ ο ΝΠΠΠΤΔΟ) έχει συμβεί μόνο σε δύο περιπτώσεις από σύνολο 2 000 υποθέσεων. Όταν το διοικητικό όργανο λαμβάνει απόφαση που διαφέρει από τα συμπεράσματα του Συμβουλίου, σύμφωνα με το άρθρο 50 παράγραφος 1 στοιχείο 4 του Νόμου περί Εξέτασης των Διοικητικών Καταγγελιών, όπως εφαρμόζεται με την αντικατάσταση του άρθρου 42 παράγραφος 2 του ΝΠΠΠΤΔΟ, πρέπει να εξηγήσει σαφώς τους λόγους.