CELEX: 32019D0419
Language: hu
Date: 2019-01-23 00:00:00
Title: A Bizottság (EU) 2019/419 végrehajtási határozata (2019. január 23.) az (EU) 2016/679 európai parlamenti és tanácsi rendelet értelmében a személyes adatoknak Japán által a személyes információk védelméről szóló törvény alapján biztosított megfelelő szintű védelméről (EGT-vonatkozású szöveg)

19.3.2019   
               
               
                  HU
               
               
                  Az Európai Unió Hivatalos Lapja
               
               
                  L 76/1
               
            
         A BIZOTTSÁG (EU) 2019/419 VÉGREHAJTÁSI HATÁROZATA
         (2019. január 23.)
         az (EU) 2016/679 európai parlamenti és tanácsi rendelet értelmében a személyes adatoknak Japán által a személyes információk védelméről szóló törvény alapján biztosított megfelelő szintű védelméről
         (az értesítés a C(2019) 304. számú dokumentummal történt)
         (EGT-vonatkozású szöveg)
         AZ EURÓPAI BIZOTTSÁG,
         tekintettel az Európai Unió működéséről szóló szerződésre,
         tekintettel az Európai Parlament és a Tanács (EU) 2016/679 rendeletére (2016. április 27.) a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről (általános adatvédelmi rendelet) (1), és különösen annak 45. cikke (3) bekezdésére,
         az európai adatvédelmi biztossal folytatott konzultációt követően,
         1.   BEVEZETÉS
         
         
                     (1)
                  
                  
                     Az (EU) 2016/679 rendelet meghatározza a személyes adatoknak az uniós adatkezelők vagy adatfeldolgozók által a harmadik országokba és a nemzetközi szervezeteknek történő továbbítására vonatkozó szabályokat, amennyiben az ilyen adattovábbítás a hatálya alá tartozik. A személyes adatok nemzetközi továbbítására vonatkozó szabályokat az említett rendelet V. fejezete, konkrétabban a 44–50. cikke tartalmazza. A nemzetközi együttműködés fokozásához és a nemzetközi kereskedelem bővüléséhez szükség van a személyes adatok Unión kívüli országokba és országokból való áramlására, ugyanakkor garantálni kell, hogy a személyes adatok uniós védelmi szintje ne csökkenjen.
                  
               
                     (2)
                  
                  
                     Az (EU) 2016/679 rendelet 45. cikkének (3) bekezdése értelmében a Bizottság végrehajtási jogi aktusok útján határozhat arról, hogy a harmadik ország, a harmadik ország valamely területe, illetve egy vagy több meghatározott ágazata, illetve valamely nemzetközi szervezet biztosítja a megfelelő védelmi szintet. E feltétel mellett a személyes adatoknak az ilyen harmadik ország, a harmadik ország valamely területe, ágazata, illetve valamely nemzetközi szervezet részére történő továbbításához nem szükséges külön engedély a rendelet 45. cikke (1) bekezdésének és a rendelet (103) preambulumbekezdésének megfelelően.
                  
               
                     (3)
                  
                  
                     Ahogy az (EU) 2016/679 rendelet 45. cikkének (2) bekezdése meghatározza, a megfelelőségi határozat elfogadásának a harmadik ország jogrendjére vonatkozó átfogó elemzésen kell alapulnia az adatátvevőre vonatkozó szabályok, valamint a személyes adatokhoz való, közigazgatási szervek általi hozzáférést illető korlátozások és biztosítékok tekintetében egyaránt. Az értékelés során meg kell határozni, hogy az érintett harmadik ország olyan szintű védelmet biztosít-e, amely „lényegében megegyezik” az Európai Unión belül biztosított védelem szintjével (az (EU) 2016/679 rendelet (104) preambulumbekezdése). Az Európai Unió Bíróságának pontosítása szerint ez nem feltétlenül jelent azonos szintű védelmet (2). Azok az eszközök, amelyeket a harmadik ország igénybe vesz, különbözhetnek az Európai Unióban alkalmazott eszközöktől, amíg – a gyakorlatban – hatékonyan biztosítanak megfelelő szintű védelmet (3). A megfelelőségre vonatkozó előírás ezért nem követeli meg az uniós szabályok pontról pontra történő leképezését. A vizsgálat ehelyett arra irányul, hogy a magánélet tiszteletben tartásához való jog tartalmát, hatékony végrehajtását, felügyeletét és érvényesítését tekintve az érintett harmadik ország rendszere összességében véve biztosítja-e az elvárt fokú védelmet (4).
                  
               
                     (4)
                  
                  
                     A Bizottság alaposan elemezte a japán jogot és gyakorlatot. A (6)–(175) preambulumbekezdésben kifejtett megállapítások alapján a Bizottság megállapítja, hogy Japán biztosítja a személyes információk védelméről szóló törvény (5) hatálya, illetve az ebben a határozatban említett további feltételek alkalmazási területe alá tartozó szervezeteknek továbbított személyes adatok megfelelő szintű védelmét. Ezeket a feltételeket a személyes információk védelmével foglalkozó bizottság (6) által elfogadott kiegészítő szabályok (I. melléklet), illetve a japán kormány által az Európai Bizottságnak címzett hivatalos nyilatkozatok, biztosítékok és kötelezettségvállalások (II. melléklet) tartalmazzák.
                  
               
                     (5)
                  
                  
                     Ez a határozat azzal a joghatással jár, hogy az Európai Gazdasági Térségen (7) (EGT) belüli adatkezelő vagy adatfeldolgozó által az ilyen japán szervezetek részére történő adattovábbítás esetében nincs szükség külön engedélyre. Ez a határozat nem érinti az (EU) 2016/679 rendelet közvetlen alkalmazását olyan szervezetek esetében, amelyek megfelelnek az annak 3. cikkében szereplő feltételeknek.
                  
               2.   A GAZDASÁGI SZEREPLŐK ÁLTALI ADATKEZELÉSRE VONATKOZÓ SZABÁLYOK
         
         2.1.   A japán adatvédelmi keret
         
         
                     (6)
                  
                  
                     A magánélet és az adatok védelmére vonatkozó japán jogrendszer gyökerei az 1946-ban kihirdetett Alkotmányra nyúlnak vissza.
                  
               
                     (7)
                  
                  
                     Az Alkotmány 13. cikke kimondja, hogy
                     „Minden személyt egyénként kell tisztelni. Az élethez, szabadsághoz és a boldogság kereséséhez való joga, amennyiben nem sérti a közjólétet, a legfontosabb szempont a jogalkotás és más kormányzati ügyek során.”
                  
               
                     (8)
                  
                  
                     E cikk alapján a japán Legfelsőbb Bíróság pontosította az egyének jogait a személyes információk védelme tekintetében. Egy 1969. évi határozatában alkotmányos jogként ismerte el a magánélet tiszteletben tartásához és az adatvédelemhez való jogot (8). A Bíróság kimondta, hogy „minden egyénnek joga van megvédeni a személyes információit, valamint megakadályozni, hogy azokat megalapozott ok nélkül harmadik félnek továbbítsák vagy nyilvánosságra hozzák.” Továbbá a 2008. március 6-i („Juki-Net”) határozatában (9) a Legfelsőbb Bíróság kimondta, hogy „a polgárok magánéleti szabadságát meg kell védeni a közhatalom gyakorlásával szemben, és megállapítható, hogy az egyéni magánéleti szabadságok részeként minden egyénnek joga van megvédeni a személyes információit, valamint megakadályozni, hogy azokat megalapozott ok nélkül harmadik félnek továbbítsák vagy nyilvánosságra hozzák.” (10)
                     
                  
               
                     (9)
                  
                  
                     Japán 2003. május 30-án számos törvényt hozott az adatvédelem terén:
                     
                                 —
                              
                              
                                 a személyes információk védelméről szóló törvény;
                              
                           
                                 —
                              
                              
                                 a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény;
                              
                           
                                 —
                              
                              
                                 a bejegyzett közigazgatási ügynökségek birtokában lévő személyes információk védelméről szóló törvény.
                              
                           
               
                     (10)
                  
                  
                     Az utolsó két (2016-ban módosított) törvény rendelkezéseket tartalmaz a személyes információk közszférabeli gazdálkodó szervezetek általi védelméről. Az említett törvények alkalmazási körébe eső adatkezelés nem tárgya az ebben a határozatban szereplő megfelelőségi megállapításnak, mert az a személyes információknak a személyes információk védelméről szóló törvény értelmében vett „személyes információkat kezelő gazdasági szereplők” általi védelmére korlátozódik.
                  
               
                     (11)
                  
                  
                     A közelmúltban sor került a személyes információk védelméről szóló törvény reformjára. A személyes információk védelméről szóló módosított törvény 2015. szeptember 9-én került kihirdetésre, és 2017. május 30-án lépett hatályba. A módosítás több új biztosítékot vezetett be, emellett megerősített meglévő biztosítékokat, így közelítve a japán adatvédelmi rendszert az európaihoz. Idetartozik többek között számos érvényesíthető, személyhez fűződő jog, illetve a személyes információk védelméről szóló törvény felügyeletével és végrehajtásával megbízott független felügyeleti hatóság (a személyes információk védelmével foglalkozó bizottság) létrehozása.
                  
               
                     (12)
                  
                  
                     A személyes információk védelméről szóló törvény mellett a jelen határozat hatálya alá tartozó személyes információk kezelésére a személyes információk védelméről szóló törvény alapján hozott végrehajtási szabályok is vonatkoznak. Idetartozik a személyes információk védelméről szóló törvény végrehajtásáról szóló kabinethatározat módosítása (2016. október 5.), és a személyes információk védelmével foglalkozó bizottság által elfogadott, az úgynevezett személyes információk védelméről szóló törvény végrehajtására vonatkozó szabályok (11). Mindkét szabályrendszer jogilag kötelező erejű és végrehajtható, és a személyes információk védelméről szóló módosított törvénnyel egyidejűleg lépett hatályba.
                  
               
                     (13)
                  
                  
                     Továbbá 2016. október 28-án a japán kabinet (a miniszterelnök és a kormányát alkotó miniszterek) közzétette „alappolitikáját”, hogy „átfogóan és integráltan előmozdítsa a személyes információk védelmével kapcsolatos intézkedéseket”. A személyes információk védelméről szóló törvény 7. cikke értelmében az „alappolitika” közzétételére kabinethatározat formájában került sor, és tartalmazza a személyes információk védelméről szóló törvény végrehajtásával kapcsolatos szakpolitikai irányvonalakat mind a központi kormányzat, mind az önkormányzatok vonatkozásában.
                  
               
                     (14)
                  
                  
                     A japán kormány a közelmúltban, a 2018. június 12-én elfogadott kabinethatározatával módosította az „alappolitikát”. A nemzetközi adattovábbítás elősegítése érdekében ez a kabinethatározat a személyes információk védelmével foglalkozó bizottságra mint a személyes információk védelméről szóló törvény végrehajtásáért felelős hatóságra ruházza „azt a hatáskört, hogy meghozza a szükséges intézkedéseket a Japánban illetve az érintett külföldi országban irányadó szabályozást és gyakorlatokat érintő különbségek áthidalására a törvény 6. cikke alapján az érintett országból származó személyes információk megfelelő kezelésének biztosítása érdekében”. A kabinethatározat előírja, hogy ez magában foglalja a fokozott védelem biztosítására vonatkozó hatáskört azáltal, hogy a személyes információk védelmével foglalkozó bizottság a személyes információk védelméről szóló törvényben és a kabinethatározatban megfogalmazott szabályokat kiegészítő és azokon túlmutató szigorúbb szabályokat fogad el. E határozat értelmében ezek a szigorúbb szabályok kötelező erejűek és érvényesíthetők japán gazdasági szereplők vonatkozásában.
                  
               
                     (15)
                  
                  
                     A személyes információk védelméről szóló törvény 6. cikke és az említett kabinethatározat alapján a személyes információk védelmével foglalkozó bizottság 2018. június 15-én elfogadta a személyes információk védelméről szóló törvény értelmében vett, az EU-ból megfelelőségi határozat alapján továbbított személyes adatok kezelésére vonatkozó kiegészítő szabályokat (a továbbiakban: kiegészítő szabályok) a jelenlegi megfelelőségi határozat alapján az Európai Unióból Japánba továbbított személyes információk fokozott védelme érdekében. Ezek a kiegészítő szabályok jogilag kötelező erejűek a japán gazdasági szereplőkre nézve, és érvényesíthetők mind a személyes információk védelmével foglalkozó bizottság, mind a bíróságok által, ugyanúgy, mint annak a személyes információk védelméről szóló törvénynek a rendelkezései, amelyeket szigorúbb és/vagy részletesebb szabályokkal egészítenek ki a szabályok (12). Mivel az Európai Unióból származó személyes adatokat átvevő és/vagy tovább kezelő japán gazdasági szereplők kötelesek lesznek megfelelni ezeknek a kiegészítő szabályoknak, gondoskodniuk kell arról (például technikai („címkézés”) vagy szervezeti eszközökkel (külön adatbázisban történő tárolás)), hogy teljes „életciklusuk” során azonosítani tudják ezeket a személyes adatokat (13). A személyes információk védelméről szóló kiegészített törvény cikkeire vonatkozó értékelés részeként az alábbi szakaszokban olvasható az egyes kiegészítő szabályok tartalmának elemzése.
                  
               
                     (16)
                  
                  
                     Eltérően a 2015. évi módosítást megelőző időszaktól, amikor ez adott ágazatokban különböző japán minisztériumok illetékessége alá tartozott, a személyes információk védelméről szóló törvény felhatalmazza a személyes információk védelmével foglalkozó bizottságot, hogy „iránymutatást” fogadjon el az adatvédelmi szabályok alapján „a gazdasági szereplő által meghozandó intézkedések megfelelő és hatékony végrehajtásának biztosítása érdekében”. A személyes információk védelmével foglalkozó bizottság iránymutatása révén az említett szabályok, különösen a személyes információk védelméről szóló törvény hivatalos értelmezését biztosítja. A személyes információk védelmével foglalkozó bizottságtól származó információk alapján ez az iránymutatás a jogi keret szerves részét képezi, és együtt értelmezendő a személyes információk védelméről szóló törvénnyel, a kabinethatározattal, a személyes információk védelmével foglalkozó bizottságra vonatkozó szabályokkal, valamint a személyes információk védelmével foglalkozó bizottság által készített, kérdéseket és válaszokat tartalmazó dokumentummal (14). Tehát „jogilag kötelező a gazdasági szereplőkre nézve”. Abban az esetben, ha az iránymutatás szerint a gazdasági szereplőnek adott módon „kell” eljárnia, illetve „nem szabad” adott módon eljárnia, a személyes információk védelmével foglalkozó bizottság megítélése szerint a vonatkozó intézkedéseknek való meg nem felelés a törvény megsértésének minősül (15).
                  
               2.2.   Tárgyi és személyi hatály
         
         
                     (17)
                  
                  
                     A személyes információk védelméről szóló törvény hatályát a személyes információ, a személyes adat és a személyes információkat kezelő gazdasági szereplő fogalommeghatározása határozza meg. A személyes információk védelméről szóló törvény ugyanakkor rendelkezik a hatálya alóli néhány fontos kivételről, legfőképpen az anonimizált személyes adatok, illetve a meghatározott típusú, bizonyos szereplők általi kezelés vonatkozásában. Jóllehet a személyes információk védelméről szóló törvényben nem szerepel a kezelés („processing”) kifejezés, a törvény azzal egyenértékű fogalmat alkalmaz („handling”), amely a személyes információk védelmével foglalkozó bizottság szerint kiterjed „a személyes adatokra vonatkozó bármely cselekményre”, beleértve a személyes információk megszerzését, bevitelét, felhalmozását, szervezését, tárolását, szerkesztését/kezelését, megújítását, törlését, kibocsátását, felhasználását vagy rendelkezésre bocsátását.
                  
               2.2.1.   A személyes információ fogalommeghatározása
         
         
                     (18)
                  
                  
                     Először is, tárgyi hatálya tekintetében a személyes információk védelméről szóló törvény különbséget tesz a személyes információk és a személyes adatok között, és az előbbi kategóriára csak a törvény egyes rendelkezései vonatkoznak. A személyes információk védelméről szóló törvény 2. cikkének (1) bekezdése szerint a „személyes információ” fogalmába tartozik minden olyan információ, amely valamely élő személyre vonatkozik, és lehetővé teszi az adott személy azonosítását. A fogalommeghatározás a személyes információk két kategóriáját különbözteti meg: i. egyéni azonosító kódok, és ii. egyéb olyan személyes információk, amelyek alapján egy adott személy azonosítható. Az utóbbi kategória olyan információkat is tartalmaz, amelyek önmagukban nem, de más információkkal „könnyen összevetve” lehetővé teszik egy adott személy azonosítását. A személyes információk védelmével foglalkozó bizottság iránymutatása (16) szerint eseti alapon, a gazdasági szereplő mindenkori helyzetének („feltételek”) figyelembevételével kell elbírálni, hogy az információ „könnyen összevethető-e”. Feltételezhetően ez történik, ha az ilyen összevetést átlagos („szokásos”) gazdasági szereplő végzi (vagy végezheti) a rendelkezésére álló eszközökkel. Például az információ nem „könnyen vethető össze” más információkkal, ha a gazdasági szereplőnek szokatlan erőfeszítéseket vagy jogellenes lépéseket kell tennie az összehasonlítandó információ egy vagy több más gazdasági szereplőtől való megszerzése érdekében.
                  
               2.2.2.   A személyes adatok fogalmának meghatározása
         
         
                     (19)
                  
                  
                     A személyes információk védelméről szóló törvény értelmében csak bizonyos formájú személyes információk tartoznak a „személyes adatok” fogalmába. A „személyes adat”„személyes információs adatbázist alkotó személyes információ”, vagyis olyan „információgyűjtemény”, amely „következetesen rendszerezett” személyes információkból áll, hogy „lehetővé tegye adott személyes információk számítógéppel történő keresését” (17), vagy amely „kabinethatározat értelmében következetesen rendszerezett információkból áll, hogy könnyen lehetővé tegye adott személyes információk keresését”, de „nem tartoznak ide azok a kabinethatározat által meghatározott személyes információk, amelyek a felhasználás módját tekintve nagy valószínűséggel nem sértik az egyén jogait és érdekeit” (18).
                  
               
                     (20)
                  
                  
                     Ezt a kivételt tovább pontosítja a kabinethatározat 3. cikkének (1) bekezdése, amely szerint a következő három kumulatív feltételnek kell teljesülnie: i. szükséges, hogy az információgyűjteményt „nagyszámú meg nem határozott személy számára történő értékesítés céljából adják ki, és annak kibocsátása ne az alapul szolgáló törvény vagy határozat rendelkezéseinek megsértésével történjen”; ii. alkalmasnak kell lennie arra, hogy „nagyszámú meg nem határozott személy bármikor megvásárolja”, valamint szükséges, hogy iii. az abban szereplő személyes adatokat „eredeti céljuknak megfelelően, az élő személyre vonatkozó egyéb információ hozzáadása nélkül bocsássák rendelkezésre”. A személyes információk védelmével foglalkozó bizottságtól kapott magyarázatok szerint ezt a szűk kivételt a telefonkönyvek és hasonló címtárak kizárása érdekében vezették be.
                  
               
                     (21)
                  
                  
                     A Japánban gyűjtött adatok esetében ez a „személyes információk” és „személyes adatok” közötti megkülönböztetés fontos, mert elképzelhető, hogy az ilyen információk nem mindig részei egy „személyes információs adatbázisnak” (például egyetlen, manuálisan gyűjtött és kezelt adatkészlet), ezért a személyes információk védelméről szóló törvénynek a kizárólag a személyes adatokra vonatkozó rendelkezései nem alkalmazandók (19).
                  
               
                     (22)
                  
                  
                     Ezzel szemben a megfelelőségi határozat alapján az Európai Unióból Japánba továbbított személyes adatok esetében nem lényeges ez a megkülönböztetés. Mivel az ilyen adatok továbbítása elektronikus úton történik (ugyanis a digitális korszakban ez az adatok cseréjének szokásos módja, különösen az EU és Japán közötti nagy távolságot áthidaló adatcsere esetén), és így az ilyen adatok az adatátvevő elektronikus nyilvántartási rendszerébe kerülnek, az uniós adatok a személyes információk védelméről szóló törvény értelmében vett „személyes adatok” kategóriájába fognak tartozni. Abban a kivételes esetben, ha más eszközökkel (pl. papíralapú formában) továbbítják az EU-ból a személyes adatokat, azok továbbra is a személyes információk védelméről szóló törvény hatálya alá fog tartozni, ha a konkrét információk egyszerű keresésének lehetővé tétele érdekében rendszeresen „információgyűjteményekbe” szervezik azokat (a személyes információk védelméről szóló törvény 2. cikke (4) bekezdésének ii) pontja). A kabinethatározat 3. cikkének (2) bekezdése szerint ez az eset áll fenn akkor, ha az információt „bizonyos szabály szerint” rendezték és az adatbázis eszközöket, például tartalomjegyzéket vagy tárgymutatót tartalmaz a keresés megkönnyítése érdekében. Ez megfelel az általános adatvédelmi rendelet 2. cikkének (1) bekezdése értelmében vett „nyilvántartási rendszer” fogalommeghatározásának.
                  
               2.2.3.   A megőrzött személyes adatok fogalommeghatározása
         
         
                     (23)
                  
                  
                     A személyes információk védelméről szóló törvény egyes rendelkezései, mindenekelőtt a személyhez fűződő jogokkal foglalkozó 27–30. cikke, csak a személyes adatok egy konkrét kategóriájára, az úgynevezett „megőrzött személyes adatokra” vonatkoznak. Ezek a személyes információk védelméről szóló törvény 2. cikkének (7) bekezdése értelmében az olyan személyes adatokon kívüli személyes adatok, amelyek i. „valamely kabinethatározat szerint valószínűleg sértik a közérdeket vagy egyéb érdeket, amennyiben meglétük vagy hiányuk ismertté válik” vagy ii. „legfeljebb egyéves, kabinethatározat által meghatározott időtartamon belül törlendők”.
                  
               
                     (24)
                  
                  
                     E két kategória közül az elsőt a kabinethatározat 4. cikke ismerteti, és a mentességek négy típusára (20) vonatkozik. E kivételek hasonló célt követnek, mint az (EU) 2016/679 rendelet 23. cikkének (1) bekezdésében felsorolt célok, mindenekelőtt az alábbiak: az érintett védelme és a mások szabadságainak védelme, nemzetbiztonság, közbiztonság, a büntetőjog érvényesítése vagy egyéb fontos, általános közérdekű célkitűzések. Ezenfelül a kabinethatározat 4. cikke (1) bekezdése i)–iv) pontjának megfogalmazásából következik, hogy azok alkalmazása minden esetben valamelyik fontos védett érdekre vonatkozó konkrét kockázatot előfeltételez (21).
                  
               
                     (25)
                  
                  
                     A kabinethatározat 5. cikke részletesebben ismerteti a második kategóriát. A személyes információk védelméről szóló törvény 2. cikkének (7) bekezdésével együtt értelmezve nem tartoznak a személyes információk védelméről szóló törvény értelmében vett megőrzött személyes adatok fogalmába és így a személyhez fűződő jogok nem terjednek ki azokra a személyes adatokra, amelyek hat hónapon belül „törlendők”. A személyes információk védelmével foglalkozó bizottság kifejtette, hogy ez a kivétel arra kívánja ösztönözni a gazdasági szereplőket, hogy a lehető legrövidebb ideig őrizzék meg és kezeljék az adatokat. Ugyanakkor ez azt jelentené, hogy az uniós érintettek csak az adataik érintett gazdasági szereplő általi megőrzésének időtartamából kifolyólag élvezhetnének fontos jogokat.
                  
               
                     (26)
                  
                  
                     E helyzet kezelése érdekében a második kiegészítő szabály előírja, hogy az Európai Unióból továbbított személyes adatok „a törvény 2. cikkének (7) bekezdése értelmében vett megőrzött személyes adatként kezelendők, függetlenül attól az időszaktól, amelyen belül törlendők”. A megőrzési időszak így nem befolyásolja az uniós érintettek jogait.
                  
               2.2.4.   Az anonimizáltan kezelt személyes információk fogalommeghatározása
         
         
                     (27)
                  
                  
                     Az anonimizáltan kezelt – a személyes információk védelméről szóló törvény 2. cikkének (9) bekezdésében meghatározott – személyes információkra vonatkozó követelményeket a törvény 4. fejezetének 2. szakasza („Az anonimizált információkat kezelő gazdasági szereplők feladatai”) írja elő. Ezzel szemben az ilyen információkra nem vonatkoznak a személyes információk védelméről szóló törvény IV. fejezete 1. szakaszának rendelkezései, és ebben a szakaszban szerepelnek az említett törvény értelmében a személyes adatok kezelésére vonatkozó adatvédelmi biztosítékokat és jogokat előíró cikkek. Ebből következik, hogy „az anonimizált személyes információk” nem tartoznak a „szokásos” adatvédelmi szabályok (a személyes információk védelméről szóló törvény IV. fejezetének 1. szakaszában és a 42. cikkében meghatározott szabályok) hatálya alá, viszont a személyes információk védelméről szóló törvény, nevezetesen a 36–39. cikk hatálya alá tartoznak.
                  
               
                     (28)
                  
                  
                     A személyes információk védelméről szóló törvény 2. cikkének (9) bekezdése szerint „az anonimizáltan kezelt személyes információ” olyan, egyénekre vonatkozó információ, amely „személyes információk kezeléséből származik” a személyes információk védelméről szóló törvényben előírt (a 36. cikk (1) bekezdése), illetve a személyes információk védelmével foglalkozó bizottság szabályzatában meghatározott (19. cikk) intézkedések révén, és ennek eredményeképpen nem azonosíthatók a konkrét személyek, valamint nem állíthatók helyre a személyes információk.
                  
               
                     (29)
                  
                  
                     Ezekből a rendelkezésekből következik – és a személyes információk védelmével foglalkozó bizottság is megerősíti –, hogy a személyes információk „anonimizálásának” nem kell technikailag visszafordíthatatlannak lennie. A személyes információk védelméről szóló törvény 36. cikkének (2) bekezdése értelmében az „anonimizáltan kezelt személyes információkat” kezelő gazdasági szereplőknek csupán meg kell akadályozniuk az újbóli azonosítást olyan intézkedésekkel, amelyek biztosítják „az anonimizált információkhoz felhasznált személyes információkból törölt leírások stb. és egyéni azonosító kódok, valamint a kezelési móddal kapcsolatos információk” biztonságát.
                  
               
                     (30)
                  
                  
                     Mivel a személyes információk védelméről szóló törvény értelmében vett „anonimizáltan kezelt személyes információk” tartalmaznak olyan adatokat, amelyek vonatkozásában továbbra is lehetséges az egyén újbóli azonosítása, ez azt jelentheti, hogy az Európai Unióból továbbított személyes adatok részben elveszthetik az elérhető védelmet egy olyan folyamat keretében, amely – az (EU) 2016/679 rendelet értelmében – inkább „álnevesítésnek”, semmint „anonimizálásnak” minősülne (nem változtatva ezáltal a személyes adat jellegen).
                  
               
                     (31)
                  
                  
                     E helyzet kezelése érdekében a kiegészítő szabályok további olyan követelményekről rendelkeznek, amelyek csak az e határozat értelmében az Európai Unióból továbbított személyes adatokra vonatkoznak. Az ötödik kiegészítő szabály szerint az ilyen személyes információ csak akkor tekinthető a személyes információk védelméről szóló törvény értelmében „anonimizáltan kezelt személyes információnak”, „ha a személyes információkat kezelő gazdasági szereplő olyan intézkedéseket hoz, amelyek bárki számára visszafordíthatatlanná teszik az egyén anonimizálását, többek között a kezelés módjával stb. kapcsolatos információk törlésével”. A kiegészítő szabályok szerint ez utóbbiak az „anonimizáltan kezelt személyes információkhoz” felhasznált személyes információk közül törölt leírásokkal és egyéni azonosító kódokkal kapcsolatos információk, illetve az ilyen leírások és egyéni azonosító kódok törlése során alkalmazott kezelési módszerekkel kapcsolatos információk. Más szóval a kiegészítő szabályok előírják, hogy az „anonimizáltan kezelt személyes információkat” előállító gazdasági szereplőnek meg kell semmisítenie az adatok újbóli azonosítását lehetővé tevő „kulcsot”. Ez azt jelenti, hogy az Európai Unióból származó személyes adatokra csak abban az esetben vonatkoznak a személyes információk védelméről szóló törvénynek „az anonimizáltan kezelt személyes információkra” vonatkozó rendelkezései, ha az (EU) 2016/679 rendelet (22) értelmében véve is hasonlóképpen anonim információnak minősülnének.
                  
               2.2.5.   A személyes információkat kezelő gazdasági szereplő fogalommeghatározása
         
         
                     (32)
                  
                  
                     Személyi hatályát tekintve a személyes információk védelméről szóló törvény kizárólag a személyes információkat kezelő gazdasági szereplőkre vonatkozik. A személyes információk védelméről szóló törvény 2. cikkének (5) bekezdése szerint a személyes információkat kezelő gazdasági szereplő „olyan személy, aki személyes információkat tartalmazó adatbázist stb. kínál üzleti felhasználás céljából”, de nem tartoznak ide sem a központi, sem a helyi szintű kormányzati, illetve közigazgatási hivatalok.
                  
               
                     (33)
                  
                  
                     A személyes információk védelmével foglalkozó bizottság iránymutatása szerint az „üzleti tevékenység”„egy társadalmilag elismert vállalkozás meghatározott célból ismételt és folyamatos vezetésére irányuló magatartás, függetlenül attól, hogy nyereségszerzésre irányul-e”. A jogi személyiséggel nem rendelkező szervezetek (például a de facto szövetségek) vagy az egyének akkor minősülnek személyes információkat kezelő gazdasági szereplőnek, ha személyes információkat tartalmazó adatbázist stb. kínálnak (használnak) üzleti célra (23). A személyes információk védelméről szóló törvény értelmében vett „üzleti tevékenység” fogalma így nagyon tág, mert nemcsak a különféle szervezetek és egyének profitszerző tevékenységeit, hanem a nonprofit tevékenységeit is magában foglalja. Továbbá, az „üzleti felhasználás” az olyan személyes információkra is kiterjed, amelyek felhasználása nem a gazdasági szereplő (külső) kereskedelmi kapcsolatai során, hanem a szervezeten belül, például a munkavállalói adatok kezelése során történik.
                  
               
                     (34)
                  
                  
                     A személyes információk védelméről szóló törvényben szereplő védelmi rendelkezések kezdeményezettjeit illetően a törvény nem tesz különbséget az egyén állampolgársága, lakóhelye vagy tartózkodási helye alapján. Ugyanez vonatkozik az azzal kapcsolatos lehetőségekre, hogy az egyének jogorvoslatért folyamodjanak akár a személyes információk védelmével foglalkozó bizottsághoz, akár a bíróságokhoz.
                  
               2.2.6.   Az adatkezelő és adatfeldolgozó fogalma
         
         
                     (35)
                  
                  
                     A személyes információk védelméről szóló törvény értelmében nincs konkrét különbség az adatkezelőkre és adatfeldolgozókra rótt kötelezettségek között. E különbség hiánya nem befolyásolja a védelem szintjét, mert a törvény valamennyi rendelkezése valamennyi személyes információkat kezelő gazdasági szereplőre vonatkozik. Az a személyes információkat kezelő gazdasági szereplő, amely (az általános adatvédelmi rendelet szerinti adatfeldolgozóval egyenértékű) megbízottat bíz meg a személyes adatok kezelésével, továbbra is a személyes információk védelméről szóló törvény és a kiegészítő szabályok szerinti kötelezettségek hatálya alá tarozik a megbízás tárgyát képező adatok tekintetében. Ezen túlmenően a személyes információk védelméről szóló törvény 22. cikke értelmében köteles „szükséges és megfelelő felügyeletet gyakorolni” a megbízott felett. Ezzel szemben – amint a személyes információk védelmével foglalkozó bizottság megerősítette – a személyes információk védelméről szóló törvény és a kiegészítő szabályok szerinti valamennyi kötelezettség kötelező vonatkozik magára a megbízottra is.
                  
               2.2.7.   Ágazati kivételek
         
         
                     (36)
                  
                  
                     A személyes információk védelméről szóló törvény 76. cikke kizárja az adatkezelés bizonyos típusait a törvény központi adatvédelmi rendelkezéseket (alapelvek, gazdasági szereplők kötelezettségei, személyhez fűződő jogok, a személyes információk védelmével foglalkozó bizottság által gyakorolt felügyelet) tartalmazó IV. fejezetének alkalmazásából. A 76. cikkben szereplő ágazati kivételek hatálya alá tartozó adatkezelés a személyes információk védelméről szóló törvény 43. cikkének (2) bekezdése értelmében szintén nem tartozik a személyes információk védelmével foglalkozó bizottság végrehajtási jogkörébe (24).
                  
               
                     (37)
                  
                  
                     A személyes információk védelméről szóló törvény 76. cikkében szereplő ágazati kizárás releváns kategóriáinak meghatározása kettős kritérium alapján, a személyes információkat kezelő gazdasági szereplő típusa és a kezelés célja alapján történik. Konkrétabban a kivételek az alábbiakra vonatkoznak: i. műsorszórók, lapkiadók, kommunikációs ügynökségek vagy egyéb sajtóügynökségek (beleértve a sajtótevékenységeket végző magánszemélyeket), amennyiben sajtócélokra kezelnek személyes információkat; ii. hivatásos írók, amennyiben tevékenységük személyes információkat érint; iii. egyetemek és egyéb, felsőfokú tanulmányokkal kapcsolatos szervezetek vagy csoportok, vagy ilyen szervezetekhez tartozó személyek, amennyiben a felsőfokú tanulmányok céljából személyes információkat kezelnek; iv. vallási szervezetek, amennyiben vallási tevékenységek (beleértve valamennyi kapcsolódó tevékenységet) céljából személyes információkat kezelnek; és v. politikai szervezetek, amennyiben politikai tevékenységük (beleértve valamennyi kapcsolódó tevékenységet) céljából személyes információkat kezelnek. A IV. fejezet rendelkezései továbbra is vonatkoznak a személyes információknak a személyes információkat kezelő egyéb típusú gazdasági szereplők általi, a 76. cikkben felsorolt célokból történő kezelésére, valamint a személyes információknak a személyes információkat kezelő felsorolt gazdasági szereplők által egyéb célokból történő kezelésére.
                  
               
                     (38)
                  
                  
                     Az Európai Unióból a japán gazdasági szereplőknek továbbított személyes adatok megfelelő szintű védelmének biztosítása érdekében ez a határozat csak az olyan személyes információk kezelésére vonatkozik, amelyek a személyes információk védelméről szóló törvény IV. fejezetének hatálya alá tartoznak, vagyis a személyes információkat kezelő gazdasági szereplők által kezelt személyes információkra, amennyiben a kezelés nem tartozik az ágazati kivételek hatálya alá. Ezért a hatályát hozzá kell igazítani a személyes információk védelméről szóló törvényéhez. A személyes információk védelmével foglalkozó bizottságtól kapott információk szerint, ha egy, e határozat hatálya alá tartozó, személyes információkat kezelő gazdasági szereplő a későbbiekben módosítaná a felhasználás célját (amennyiben ez megengedett) és azután a személyes információk védelméről szóló törvény 76. cikkében szereplő valamelyik ágazati kivétel hatálya alá tartozna, ez nemzetközi adattovábbításnak minősülne (mivel ilyen esetekben a személyes információk kezelésére már nem terjedne ki a személyes információk védelméről szóló törvény IV. fejezete, és így az kikerülne annak hatálya alól). Ugyanez vonatkozik arra az esetre, amikor egy személyes információkat kezelő gazdasági szereplő személyes információkat nyújt a személyes információk védelméről szóló törvény 76. cikkének hatálya alá tartozó jogalany számára az abban a rendelkezésben szereplő egyik adatkezelési célra történő felhasználás érdekében. Ami az Európai Unióból továbbított személyes adatokat illeti, ez tehát releváns (nevezetesen a személyes információk védelméről szóló törvény 24. cikkébe és a negyedik kiegészítő szabályba foglalt) biztosítékok melletti újbóli adattovábbításnak minősülne. Amennyiben a személyes információkat kezelő gazdasági szereplő az érintett hozzájárulására támaszkodik (25), meg kell adnia számára az összes szükséges információt, azt is ideértve, hogy a személyes információk védelméről szóló törvény már nem védené a személyes információkat.
                  
               2.3.   Biztosítékok, jogok és kötelezettségek
         
         2.3.1.   Célhoz kötöttség
         
         
                     (39)
                  
                  
                     A személyes adatokat konkrét célból kell kezelni, és később csak olyan mértékben használhatók, amely nem mond ellent az adatkezelés céljának. Ezt az adatvédelmi elvet a személyes információk védelméről szóló törvény 15. és 16. cikke garantálja.
                  
               
                     (40)
                  
                  
                     A személyes információk védelméről szóló törvény azon az elven alapul, hogy a gazdasági szereplőnek „a lehető legkonkrétabban” meg kell határoznia a felhasználás célját (a 15. cikk (1) bekezdése), majd az adatkezelés során köteles e cél szerint eljárni.
                  
               
                     (41)
                  
                  
                     Ebben a vonatkozásban a személyes információk védelméről szóló törvény 15. cikkének (2) bekezdése előírja, hogy a személyes információkat kezelő gazdasági szereplő nem módosíthatja az eredeti célt „az eredeti felhasználási cél szempontjából észszerűen elismert mértéket meghaladóan”, ami a személyes információk védelmével foglalkozó bizottság iránymutatása szerint megfelel annak, amit az érintett „a szokásos társadalmi konvenciók” alapján tárgyilagosan elvárhat (26).
                  
               
                     (42)
                  
                  
                     Továbbá a személyes információk védelméről szóló törvény 16. cikkének (1) bekezdése értelmében a személyes információkat kezelő gazdasági szereplők nem kezelhetnek személyes információkat a 15. cikkben meghatározott, „a felhasználás céljának eléréséhez szükséges mértéket” meghaladó mértékben az érintett előzetes hozzájárulása nélkül, kivéve a 16. cikk (3) bekezdésében szereplő eltérések valamelyike alkalmazandó (27).
                  
               
                     (43)
                  
                  
                     A más gazdasági szereplőktől származó személyes információk esetében a személyes információkat kezelő gazdasági szereplő főszabály szerint szabadon új felhasználási célt határozhat meg (28). Az Európai Unióból való adattovábbítás esetében annak biztosítása érdekében, hogy az adatátvevő ne térjen el az adattovábbítás céljától, a harmadik kiegészítő szabály előírja, hogy azokban az esetekben, „amikor [a személyes információkat kezelő gazdasági szereplő] megfelelőségi határozat alapján személyes adatokat kap az EU-ból” vagy az ilyen gazdasági szereplő „egy személyes információkat kezelő másik gazdasági szereplőtől a korábban az EU-ból megfelelőségi határozat alapján továbbított személyes adatokat vesz át” (újbóli megosztás), a kedvezményezettnek „meg kell határoznia az említett személyes adatok felhasználásának célját azon felhasználási cél hatálya alatt, amely célból az adat eredetileg vagy később átvételre került”. Más szóval a szabály biztosítja, hogy az adattovábbítás összefüggésében az adatkezelés továbbra is az (EU) 2016/679 rendelet értelmében meghatározott cél szerint történjen, és hogy e célnak a japán adatkezelési lánc bármely pontján történő módosításához az uniós érintett hozzájárulása szükséges. E hozzájárulás szükségessé teszi, hogy a személyes információkat kezelő gazdasági szereplő felvegye a kapcsolatot az érintettel, így amennyiben ez nem lehetséges, annak egyszerűen az a következménye, hogy fent kell tartani az eredeti célt.
                  
               2.3.2.   Az adatkezelés jogszerűsége és tisztességessége
         
         
                     (44)
                  
                  
                     A (43) preambulumbekezdésben említett további védelem annál is inkább lényeges, mert a japán rendszer a célhoz kötöttség elve alapján biztosítja a személyes adatok jogszerű és tisztességes kezelését is.
                  
               
                     (45)
                  
                  
                     A személyes információk védelméről szóló törvény értelmében, amikor egy személyes információkat kezelő gazdasági szereplő személyes információkat gyűjt, részletesen meg kell határoznia a személyes információk felhasználásának célját (29), és haladéktalanul tájékoztatnia kell az érintettet a felhasználás céljáról (vagy nyilvánosságra kell hoznia azt) (30). Ezen túlmenően a személyes információk védelméről szóló törvény 17. cikke előírja, hogy a személyes információkat kezelő gazdasági szereplők nem szerezhetnek személyes információkat csalással vagy más nem megfelelő módon. Az adatok bizonyos kategóriáit, például a különleges gondosságot igénylő személyes információkat illetően az adatok megszerzése az érintett hozzájárulásához kötött (a személyes információk védelméről szóló törvény 17. cikkének (2) bekezdése).
                  
               
                     (46)
                  
                  
                     Ezt követően, ahogy azt a (41) és (42) preambulumbekezdés kifejti, a személyes információkat kezelő gazdasági szereplő nem kezelheti a személyes információkat más célokra, kivéve az érintett hozzájárulásával vagy a személyes információk védelméről szóló törvény 16. cikkének (3) bekezdése értelmében vett egyik eltérés esetében.
                  
               
                     (47)
                  
                  
                     Végezetül, a személyes információk harmadik félnek való további átadását (31) a személyes információk védelméről szóló törvény 23. cikkének (1) bekezdése különleges esetekre korlátozza, és főszabály szerint az érintett előzetes hozzájárulásához köti (32). A személyes információk védelméről szóló törvény 23. cikkének (2), (3) és (4) bekezdése kivételeket határoz meg a hozzájárulás megszerzésére vonatkozó követelmény alól. Ugyanakkor ezek a kivételek csak nem érzékeny adatokra alkalmazandók, és szükségessé teszik, hogy a gazdasági szereplő előzetesen tájékoztassa az érintett személyeket arról a szándékáról, hogy személyes információkat ad át harmadik félnek, illetve arról a lehetőségről, hogy az érintett kifogást emelhet a további adattovábbítás ellen (33).
                  
               
                     (48)
                  
                  
                     Az Európai Unióból történő adattovábbítás esetében a személyes adatokat először az EU-ban kell összegyűjteni és kezelni az (EU) 2016/679 rendeletnek megfelelően. Ez mindig az adatoknak a rendelet 6. cikkének (1) bekezdésében felsorolt valamely jogi indok alapján történő összegyűjtését és kezelését jelenti, beleértve az Európai Unióból Japánba történő adattovábbítás esetében, másrészt a meghatározott, egyértelmű és törvényes célokból történő adatgyűjtést, illetve a további kezelés tilalmát, többek között adattovábbítás által, a rendelet 5. cikke (1) bekezdésének b) pontjában és 6. cikke (4) bekezdésében meghatározott céloknak nem megfelelő módon.
                  
               
                     (49)
                  
                  
                     Az adattovábbítást követően a harmadik kiegészítő szabály szerint annak a személyes információkat kezelő gazdasági szereplőnek, amely átveszi az adatokat, „meg kell erősítenie” az adattovábbítás okát vagy okait (vagyis az (EU) 2016/679 rendeletnek megfelelően meghatározott célt), és az ilyen célnak vagy céloknak megfelelően kell tovább kezelnie az adatokat (34). Ez azt jelenti, hogy a rendeletben meghatározott egy vagy több cél nemcsak az ilyen személyes adatok kezdeti japán átvevőjére (így a megbízottra), hanem az adatok későbbi átvevőire is vonatkozik.
                  
               
                     (50)
                  
                  
                     Továbbá, ha a személyes információkat kezelő gazdasági szereplő szeretné megváltoztatni az (EU) 2016/679 rendeletben korábban meghatározott célt, a személyes információk védelméről szóló törvény 16. cikkének (1) bekezdése értelmében – főszabály szerint – meg kell szereznie az érintett hozzájárulását. Hozzájárulás nélkül a kezelés céljának eléréséhez szükséges mértéket meghaladó mértékű adatkezelés sértené a 16. cikk (1) bekezdését, amely végrehajtható lenne a személyes információk védelmével foglalkozó bizottság és a bíróságok által.
                  
               
                     (51)
                  
                  
                     Tehát, mivel az (EU) 2016/679 rendelet értelmében az adattovábbításhoz érvényes jogalap és meghatározott cél szükséges, amely tükröződik a személyes információk védelméről szóló törvény értelmében „megerősített” felhasználási célban, a személyes információk védelméről szóló törvény és a harmadik kiegészítő szabály vonatkozó intézkedései együttesen biztosítják az uniós adatok Japánban történő kezelésének további törvényességét.
                  
               2.3.3.   Az adatok pontossága és minimalizálása
         
         
                     (52)
                  
                  
                     Az adatoknak pontosnak és – szükség esetén – naprakésznek kell lenniük. Az adatoknak az adatkezelési célokhoz képest megfelelőnek és jelentősnek kell lenniük, valamint azokkal arányban kell állniuk.
                  
               
                     (53)
                  
                  
                     Ezeket az alapelveket a japán jogban a személyes információk védelméről szóló törvény 16. cikkének (1) bekezdése biztosítja, amely tiltja a személyes információk kezelését „a felhasználási cél eléréséhez szükséges mértéket” meghaladó mértékben. Ahogy a személyes információk védelmével foglalkozó bizottság kifejtette, ez nemcsak a nem megfelelő adatok használatát és a túlzott (a felhasználási cél eléréséhez szükséges mértéket meghaladó mértékű) adatfelhasználást zárja ki, hanem a felhasználási cél elérése szempontjából nem lényeges adatok kezelését is tiltja.
                  
               
                     (54)
                  
                  
                     Az adatok pontosságára és naprakészségére vonatkozó kötelezettséget illetően a személyes információk védelméről szóló törvény 19. cikke előírja, hogy a személyes információkat kezelő gazdasági szereplőnek „törekednie kell arra, hogy a személyes adatok a felhasználási cél eléréshez szükséges mértéket nem meghaladó mértékben pontosak és naprakészek legyenek”. Ez a rendelkezés a személyes információk védelméről szóló törvény 16. cikkének (1) bekezdésével együtt értelmezendő: a személyes információk védelmével foglalkozó bizottságtól kapott magyarázat szerint, ha a személyes információkat kezelő gazdasági szereplő nem tesz eleget a pontossággal kapcsolatos előírásoknak, úgy kell tekinteni, hogy a személyes információk kezelése nem felel meg a felhasználási célnak, és így a 16. cikk (1) bekezdése értelmében jogellenessé válik a kezelésük.
                  
               2.3.4.   A tárolás korlátozása
         
         
                     (55)
                  
                  
                     Főszabály szerint az adatok csak az adatkezelés céljai érdekében szükséges ideig őrizhetők meg.
                  
               
                     (56)
                  
                  
                     A személyes információk védelméről szóló törvény 19. cikke szerint a személyes információkat kezelő gazdasági szereplőknek „törekedniük kell arra, hogy […] haladéktalanul töröljék a személyes adatokat, amint nincs szükség a felhasználásukra”. Ez a rendelkezés továbbá a személyes információk védelméről szóló törvény 16. cikkének (1) bekezdésével együtt kell értelmezni, amely tiltja a személyes információk kezelését „a felhasználási cél eléréséhez szükséges mértéket” meghaladó mértékben. A felhasználási cél elérését követően a személyes információk kezelése a továbbiakban nem tekinthető szükségesnek, így nem folytatható (kivéve, ha a személyes információkat kezelő gazdasági szereplő megszerzi ehhez az érintett hozzájárulását).
                  
               2.3.5.   Adatbiztonság
         
         
                     (57)
                  
                  
                     A személyes adatokat olyan módon kell kezelni, amely biztosítja a biztonságukat, többek között a jogosulatlan vagy jogellenes kezelés elleni védelmüket, illetve az adatok véletlen elvesztésével, megsemmisítésével vagy károsodásával szembeni védelmüket. A gazdasági szereplőknek ebből a célból megfelelő technikai vagy szervezeti intézkedéseket kell hozniuk, hogy megvédjék a személyes adatokat a lehetséges veszélyektől. Ezeket az intézkedéseket a csúcstechnológia és a kapcsolódó költségek figyelembevételével kell értékelni.
                  
               
                     (58)
                  
                  
                     Ezt az alapelvet a japán jogban a személyes információk védelméről szóló törvény 20. cikke hajtja végre, amely előírja, hogy a személyes információkat kezelő gazdasági szereplőknek „meg kell tenniük a szükséges és megfelelő intézkedést a személyes adatok biztonsági ellenőrzése érdekében, beleértve az általuk kezelt személyes adatok kiszivárgásának, elvesztésének vagy károsodásának megakadályozását”. A személyes információk védelmével foglalkozó bizottság iránymutatása ismerteti a meghozandó intézkedéseket, beleértve az alapvető szakpolitikák, az adatkezelési szabályok és a különböző „ellenőrzési intézkedések” kidolgozásának módjait (a szervezeti biztonság, illetve az emberi, fizikai és technológiai biztonság vonatkozásában) (35). Ezen túlmenően a személyes információk védelmével foglalkozó bizottság iránymutatása és egy külön közleménye (8. függelék, A meghozandó biztonsági intézkedések tartalma) további részleteket tartalmaz a biztonsági eseményekkel kapcsolatos intézkedések tekintetében, beleértve például a személyes információk kiszivárgását, a személyes információkat kezelő gazdasági szereplő által meghozandó biztonsági intézkedések részeként (36).
                  
               
                     (59)
                  
                  
                     Továbbá, a személyes információk munkavállalók vagy alvállalkozók általi kezelése esetében a személyes információk védelméről szóló törvény 20. és 21. cikke értelmében biztonsági ellenőrzési célokból biztosítani kell a „szükséges és megfelelő felügyeletet”. Végezetül, a személyes információk védelméről szóló törvény 83. cikke értelmében a személyes információk szándékos kiszivárogtatása vagy eltulajdonítása egy évig terjedő szabadságvesztéssel büntetendő.
                  
               2.3.6.   Átláthatóság
         
         
                     (60)
                  
                  
                     Az érintetteket tájékoztatni kell személyes adataik kezelésének főbb jellemzőiről.
                  
               
                     (61)
                  
                  
                     A személyes információk védelméről szóló törvény 18. cikkének (1) bekezdése előírja, hogy a személyes információkat kezelő gazdasági szereplőnek tájékoztatnia kell az érintettet a megszerzett személyes információk felhasználási céljáról, kivéve „azokban az esetekben, amikor előzetesen sor került a felhasználási cél közzétételére”. Ugyanez a kötelezettség vonatkozik a cél megengedett módosítására (a 18. cikk (3) bekezdése). Ez biztosítja továbbá, hogy az érintettet tájékoztatják arról, hogy az adatai összegyűjtésre kerültek. Habár a személyes információk védelméről szóló törvény általában véve nem írja elő, hogy a személyes információkat kezelő gazdasági szereplőnek az adatgyűjtés szakaszában tájékoztatnia kell az érintettet a személyes információk várt átvevőiről, ez az információ az információ harmadik fél (átvevő) felé történő későbbi továbbításának szükséges feltétele a 23. cikk (2) bekezdése alapján, így akkor, amikor erre az érintett előzetes hozzájárulása nélkül kerül sor.
                  
               
                     (62)
                  
                  
                     A „megőrzött személyes adatok” vonatkozásában a személyes információk védelméről szóló törvény 27. cikke előírja, hogy a személyes információkat kezelő gazdasági szereplőnek tájékoztatnia kell az érintettet a személyazonosságáról (elérhetőségi adatok), a felhasználási célról és a személyhez fűződő jogaival kapcsolatos kérelem megválaszolásával kapcsolatos eljárásról a személyes információk védelméről szóló törvény 28., 29. és 30. cikke értelmében.
                  
               
                     (63)
                  
                  
                     Mivel a kiegészítő szabályok értelmében az Európai Unióból továbbított személyes adatok a megőrzés idejétől függetlenül (kivéve mentesség esetén) „megőrzött személyes adatnak” minősülnek, mindkét fent említett rendelkezés értelmében mindig az átláthatósági követelmények hatálya alá tartoznak.
                  
               
                     (64)
                  
                  
                     A 18. cikkben előírt követelményekre és a személyes információk védelméről szóló törvény 27. cikke értelmében véve a felhasználási céllal kapcsolatos tájékoztatási kötelezettségre is ugyanazok a kivételek vonatkoznak, főként a közérdeket figyelembe vevő megfontolások, valamint az érintett, a harmadik felek és az adatkezelő jogainak és érdekeinek védelme alapján (37). A személyes információk védelmével foglalkozó bizottság iránymutatásában szereplő értelmezés szerint ezek a kivételek nagyon különleges helyzetekben alkalmazandók, például akkor, amikor a felhasználási céllal kapcsolatos információk veszélyeztetnék a gazdasági szereplő által bizonyos érdekek védelme (pl. a csalás, ipari kémkedés és szabotázs elleni küzdelem) érdekében hozott jogos intézkedéseket.
                  
               2.3.7.   Különleges adatkategóriák
         
         
                     (65)
                  
                  
                     Különleges adatkategóriák kezelése esetén külön biztosítékokat kell bevezetni.
                  
               
                     (66)
                  
                  
                     A „különleges gondosságot igénylő személyes információk” fogalmát a személyes információk védelméről szóló törvény 2. cikkének (3) bekezdése határozza meg. E rendelkezés tárgya „az érintett esetében a fajra, hitre, társadalmi státuszra, kórtörténetre, a bűnügyi nyilvántartásban való szereplésre, bűncselekményben való károsultságra vagy egyéb, kabinethatározatban előírt jellemzőkre stb. vonatkozó személyes információk, amelyek kezelése különleges gondosságot igényel a méltánytalan megkülönböztetés, az előítéletek vagy az érintettet sújtó egyéb hátrányok elkerülése érdekében”. Ezek a kategóriák nagyrészt megfelelnek az (EU) 2016/679 rendelet 9. és 10. cikkében szereplő különleges adatoknak. A „kórtörténet” az egészségügyi adatoknak, „a bűnügyi nyilvántartásban való szereplés és a bűncselekményben való károsultság” pedig alapjában véve az (EU) 2016/679 rendelet 10. cikkében szereplő kategóriáknak felel meg. A személyes információk védelméről szóló törvény 2. cikkének (3) bekezdésében szereplő kategóriák a kabinethatározat és a személyes információk védelmével foglalkozó bizottság további értelmezésétől függenek. A személyes információk védelmével foglalkozó bizottság iránymutatása 2.3. szakaszának 8. pontja szerint a kabinethatározat 2. cikkének ii. és iii. pontjában részletezett „kórtörténet” alkategóriái genetikai és biometrikus adatokra vonatkoznak. Továbbá a felsorolás nem tartalmazza kifejezetten az „etnikai hovatartozás” és a „politikai beállítottság” kifejezéseket, de utal a „fajra” és „hitre”. Ahogy a személyes információk védelmével foglalkozó bizottság iránymutatása 2.3. szakaszának 1. és 2. pontja kifejti, a „faj” az „etnikai kapcsolatokra vagy a világ adott részéhez fűződő kapcsolatokra” utal, míg a „hit” vallási és politikai meggyőződésként is értelmezendő.
                  
               
                     (67)
                  
                  
                     A rendelkezés megfogalmazásából egyértelműen kiderül, hogy a felsorolás nem végleges, mert további adatkategóriákkal bővülhet, amennyiben azok kezelése esetében fennáll „a méltánytalan megkülönböztetés, az előítéletek vagy az érintettet sújtó egyéb hátrányok” kockázata.
                  
               
                     (68)
                  
                  
                     A „különleges” adatok fogalma eleve társadalmi vonatkozású, mert egy adott társadalom kulturális és jogi hagyományaiban, erkölcsi megfontolásaiban, politikai döntéseiben stb. gyökerezik, és tekintettel a japán gazdasági szereplőknek továbbított különleges adatok esetében nyújtandó megfelelő biztosítékok fontosságára, a Bizottság elérte, hogy a japán törvények értelmében a „különleges gondosságot igénylő személyes információk” esetében nyújtott különleges védelem az (EU) 2016/679 rendeletben „különleges adatként” elismert valamennyi kategóriára kiterjedjen. Ezért az első kiegészítő szabály előírja, hogy az Európai Unióból továbbított, az egyén szexuális életére, szexuális irányultságára vagy szakszervezeti tagságára vonatkozó adatokat a személyes információkat kezelő gazdasági szereplőknek „ugyanolyan módon kell kezelniük, mint a különleges gondosságot igénylő személyes információkat a személyes információk védelmével foglalkozó törvény 2. cikkének (3) bekezdése értelmében”.
                  
               
                     (69)
                  
                  
                     A különleges gondosságot igénylő személyes információkra vonatkozó további érdemi biztosítékokat illetően a személyes információk védelmével foglalkozó törvény 17. cikkének (2) bekezdése szerint a személyes információkat kezelő gazdasági szereplő nem szerezhet meg ilyen adatokat az érintett személy előzetes hozzájárulása nélkül, s ez alól csak néhány kivétel létezik (38). A személyes információk ezen kategóriájára továbbá nem vonatkozik a személyes információk védelmével foglalkozó törvény 23. cikkének (2) bekezdése értelmében vett eljárásnak megfelelő, harmadik fél általi közzétételi lehetőség (ez a bekezdés lehetővé teszi az adatok harmadik félnek való továbbítását az érintett személy előzetes hozzájárulása nélkül).
                  
               2.3.8.   Elszámoltathatóság
         
         
                     (70)
                  
                  
                     Az elszámoltathatóság elve értelmében az adatkezelőknek megfelelő technikai és szervezeti intézkedéseket kell hozniuk, hogy hatékonyan feleljenek meg adatvédelmi kötelezettségeiknek, és bizonyítani tudják ezt a megfelelést, különösen az illetékes felügyeleti hatóság felé.
                  
               
                     (71)
                  
                  
                     Ahogy a 34. lábjegyzetben (a (49) preambulumbekezdésben) szerepel, a személyes információkat kezelő gazdasági szereplőknek a személyes információk védelméről szóló törvény 26. cikkének (1) bekezdése értelmében ellenőrizniük kell a számukra személyes adatokat szolgáltató harmadik felek személyazonosságát és az ilyen adatok harmadik fél általi megszerzésének „körülményeit” (a jelen határozat hatálya alá tartozó személyes adatok esetében a személyes információk védelméről szóló törvény és a harmadik kiegészítő szabály szerint ezeknek a körülményeknek tartalmazniuk kell azt a tényt, hogy az adatok az Európai Unióból származnak, továbbá az eredeti adattovábbítás célját). Ez az intézkedés többek között biztosítani kívánja az adatkezelés törvényességét a személyes információkat kezelő gazdasági szereplők láncában. Ezenfelül a személyes információk védelméről szóló törvény 26. cikkének (3) bekezdése értelmében a személyes információkat kezelő gazdasági szereplőknek nyilvántartást kell vezetniük az átvétel dátumáról és harmadik féltől a (1) bekezdés értelmében átvett (kötelező) információkról, továbbá a szóban forgó személy (az érintett) nevéről, a kezelt adatok kategóriáiról és a szükséges mértékben arról, hogy az érintett hozzájárult a személyes adatai megosztásához. Ahogy a személyes információk védelmével foglalkozó bizottság szabályzatának 18. cikkében szerepel, az ilyen nyilvántartásokat a körülményektől függően legalább 1–3 évig meg kell őrizni. A feladatai ellátása során a személyes információk védelmével foglalkozó bizottság előírhatja az ilyen nyilvántartások benyújtását (39).
                  
               
                     (72)
                  
                  
                     A személyes információkat kezelő gazdasági szereplőknek haladéktalanul és megfelelően foglalkozniuk kell az érintett személyek személyes információk kezelésére vonatkozó panaszaival. A panaszkezelés elősegítése érdekében létre kell hozniuk „a cél eléréséhez szükséges rendszert”, ami azt jelenti, hogy megfelelő eljárások bevezetésére van szükség a szervezetükön belül (például a feladatok kiosztása vagy kapcsolattartó pont kijelölése).
                  
               
                     (73)
                  
                  
                     Végezetül, a személyes információk védelméről szóló törvény létrehozza az ágazati ipari szervezeteknek a magas szintű megfelelőség biztosításában való részvételének keretét (lásd a IV. fejezet 4. szakaszát). A személyes információk védelmével foglalkozó ilyen akkreditált szervezeteknek (40) az a feladatuk, hogy a vállalkozásokat a szakértelmükkel támogatva elősegítsék a személyes információk védelmét, illetve hozzájáruljanak a biztosítékok végrehajtásához, mindenekelőtt az egyéni panaszok kezelésével és a kapcsolódó konfliktusok megoldásának elősegítésével. Ezért adott esetben szükséges intézkedések elfogadását kérhetik a személyes információkat kezelő részt vevő gazdasági szereplőktől (41). Továbbá, adatvédelmi incidensek és egyéb biztonsági incidensek esetén a személyes információkat kezelő gazdasági szereplőknek főszabály szerint tájékoztatniuk kell a személyes információk védelmével foglalkozó bizottságot és az érintettet (vagy a nyilvánosságot), és meg kell tenniük a szükséges intézkedéseket, beleértve a károk minimalizálására és a hasonló incidensek újbóli előfordulásának megakadályozására szolgáló intézkedéseket (42). Ezek önkéntes rendszerek, és 2017. augusztus 10-én a személyes információk védelmével foglalkozó bizottság 44 szervezetet sorolt fel, s ezek közül a legnagyobb, a Japán Információfeldolgozási és Fejlesztési Központ (JIPDEC) egyedül 15 436 gazdasági szereplőt számlált (43). Az akkreditált rendszerek olyan ágazati szövetségeket foglalnak magukban, mint például a Japán Értékpapír-kereskedők Szövetsége, a Japán Autósiskolák Szövetsége vagy a Házasságközvetítők Szövetsége (44).
                  
               
                     (74)
                  
                  
                     A személyes információk védelmével foglalkozó akkreditált szervezetek éves jelentést nyújtanak be a működésükről. A személyes információk védelmével foglalkozó bizottság által közzétett, „Áttekintés a személyes adatok védelméről szóló törvény 2015. évi végrehajtásáról” című dokumentum szerint a személyes információk védelmével foglalkozó akkreditált szervezetekhez összesen 442 panasz érkezett, 123 esetben kértek magyarázatot az illetékességi körükbe tartozó gazdasági szereplőktől, 41 esetben kértek be dokumentumokat ezektől a gazdasági szereplőktől, 181 utasítást adtak, és két ajánlást tettek (45).
                  
               2.3.9.   Az újbóli adattovábbítás korlátozása
         
         
                     (75)
                  
                  
                     Az Európai Unióból a japán gazdasági szereplőknek továbbított személyes adatok védelmének szintjét nem veszélyeztetheti az ilyen adatok Japánon kívüli harmadik országokban található adatátvevők részére történő újbóli továbbítása. Az ilyen „újbóli adattovábbítás”, amely a japán gazdasági szereplők szemszögéből Japánból történő nemzetközi adattovábbításnak számít, csak abban az esetben engedélyezett, ha a Japánon kívüli újabb adatátvevőre olyan szabályok vonatkoznak, amelyek biztosítják a japán jogrend szerint biztosított védelem szintjéhez hasonló szintű védelmet.
                  
               
                     (76)
                  
                  
                     Az első védelmet a személyes információk védelméről szóló törvény 24. cikke tartalmazza, amely általában véve tiltja a személyes adatok Japánon kívüli harmadik felek részére történő továbbítását az érintett személy előzetes hozzájárulása nélkül. A negyedik kiegészítő szabály biztosítja, hogy az Európai Unióból történő adattovábbítás esetén az ilyen hozzájárulás különösen megfelelő tájékoztatáson alapuljon, mert előírja, hogy az érintett személyt „tájékoztatni kell az adattovábbítás olyan körülményeiről, amelyek szükségesek ahhoz, hogy az érintett döntést hozzon a hozzájárulásról”. Ennek alapján az érintettet tájékoztatni kell arról, hogy az adatok külföldre (a személyes információk védelméről szóló törvény hatályán kívül) és a meghatározott rendeltetési országban kerülnek továbbításra. Ez lehetővé teszi számára, hogy értékelje a továbbítással járó magánéleti kockázatot. Hasonlóképpen, amint az a személyes információk védelméről szóló törvény 23. cikkéből (lásd a (47) preambulumbekezdést) is kikövetkeztethető, az érintettnek nyújtott tájékoztatásnak ki kell terjednie az említett rendelkezés (2) bekezdése szerinti kötelező elemekre, nevezetesen a harmadik félnek átadott személyes adatok kategóriáira és a közlés módjára.
                  
               
                     (77)
                  
                  
                     A személyes információk védelméről szóló törvény 24. cikke a személyes információk védelmével foglalkozó bizottság szabályzatának 11-2. cikkével együttesen alkalmazva számos kivételről rendelkezik e hozzájáruláson alapuló szabály alól. Továbbá – a 24. cikk értelmében – ugyanazok az eltérések vonatkoznak a nemzetközi adattovábbításra is, mint a személyes információk védelméről szóló törvény 23. cikkének (1) bekezdése értelmében (46).
                  
               
                     (78)
                  
                  
                     Az Európai Unióból e határozat értelmében Japánba továbbított személyes adatok folytatólagos védelmének biztosítása érdekében a negyedik kiegészítő szabály nagyobb védelmet biztosít abban az esetben, amikor a személyes információkat kezelő gazdasági szereplők ilyen adatokat továbbítanak újból harmadik országbeli átvevők felé. Erre olyan korlátozásokkal és alapok kidolgozásával kerül sor, amelyek segítségével a személyes információkat kezelő gazdasági szereplők a hozzájárulás alternatívájaként nemzetközi adattovábbítást végezhetnek. Konkrétabban, illetve a személyes információk védelméről szóló törvény 23. cikkének (1) bekezdésében meghatározott eltérések sérelme nélkül az e határozat értelmében továbbított személyes adatok csupán két esetben továbbíthatók (újból) hozzájárulás nélkül: i. amikor az adatok olyan harmadik országba kerülnek továbbításra, amelyet a személyes információk védelmével foglalkozó bizottság a személyes információk védelméről szóló törvény 24. cikke értelmében elismer a japán védelemmel egyenértékű védelmet biztosító országként (47); vagy ii. amikor a személyes információkat kezelő gazdasági szereplő és a harmadik országbeli adatátvevő együttesen olyan intézkedéseket hajtott végre, amelyek a személyes információk védelméről szóló törvényben biztosított védelemmel egyenértékű védelmet biztosítanak, a kiegészítő szabályokkal együtt értelmezve, szerződés, egyéb kötelező érvényű megállapodás vagy egy vállalatcsoporton belüli kötelező megállapodások formájában. A második kategória megfelel az (EU) 2016/679 rendelet értelmében a megfelelő biztosítékok biztosítása érdekében használt eszközöknek (különösen szerződéses kikötések, valamint kötelező erejű vállalati szabályok). Ezenfelül – amint azt a személyes információk védelmével foglalkozó bizottság is megerősítette – a harmadik fél részére történő továbbítás még ezekben az esetekben is a személyes információk védelméről szóló törvény szerinti bármely, harmadik fél részére történő személyesadat-továbbításra alkalmazandó általános szabályok (vagyis a személyes információk védelméről szóló törvény 23. cikkének (1) bekezdése szerinti, a hozzájárulás beszerzésére vonatkozó követelmény, vagy a törvény 23. cikkének (2) bekezdése szerinti, a kívülmaradási lehetőség biztosítása melletti tájékoztatási követelmény) hatálya alatt marad. Abban az esetben, ha hozzájárulás iránti kérelem nem juttatható el az érintetthez annak érdekében, hogy megadja a személyes információk védelméről szóló törvény 23. cikkének (2) bekezdése szerint szükséges előzetes információkat, akkor a továbbításra nem kerülhet sor.
                  
               
                     (79)
                  
                  
                     Ezért azokon az eseteken kívül, amikor a személyes információk védelmével foglalkozó bizottság megállapította, hogy az érintett harmadik ország biztosítja a személyes információk védelméről szóló törvénynek megfelelő szintű védelmet (48), a negyedik kiegészítő szabályban meghatározott követelmények kizárják az olyan továbbítási eszközök alkalmazását, amelyek nem hoznak létre kötelező erővel bíró kapcsolatot a japán adatátadó és a harmadik országbeli adatátvevő között, és nem biztosítják a szükséges szintű védelmet. Ez történik majd például az APEC határokon átnyúló adatvédelmi szabályrendszere (CBPR) esetében, amelyhez Japán is csatlakozott (49), mert ebben a rendszerben a védelem nem olyan megállapodás eredménye, amely kötelező erejű az adatátadóra és az adatátvevőre nézve a kétoldalú kapcsolatuk összefüggésében, illetve a védelem szintje egyértelműen alacsonyabb mint a személyes információk védelméről szóló törvény és a kiegészítő szabályok által együttesen biztosított védelem szintje (50).
                  
               
                     (80)
                  
                  
                     Végezetül, az (újbóli) adattovábbítás esetében egy további biztosíték a személyes információk védelméről szóló törvény 20. és 22. cikkéből származik. E rendelkezéseknek megfelelően, amikor egy harmadik országbeli szereplő (adatátvevő) a személyes információkat kezelő gazdasági szereplő (adatátadó) nevében, vagyis (al-)feldolgozóként jár el, az utóbbinak biztosítania kell az előző felügyeletét az adatkezelés biztonsága tekintetében.
                  
               2.3.10.   Személyhez fűződő jogok
         
         
                     (81)
                  
                  
                     Az uniós adatvédelmi joghoz hasonlóan a személyes információk védelméről szóló törvény is érvényesíthető jogokat biztosít az egyének számára. Idetartozik a hozzáférés joga („nyilvánosságra hozatal”), a helyesbítési jog, a törlési jog, valamint a kifogásolási jog („a felhasználás megszüntetése”).
                  
               
                     (82)
                  
                  
                     Először is, a személyes információk védelméről szóló törvény 28. cikkének (1) és (2) bekezdése értelmében az érintettnek joga van kérni a személyes információkat kezelő gazdasági szereplőtől „az olyan megőrzött személyes adatok nyilvánosságra hozatalát, amely alapján azonosítható”, és az ilyen kérelem kézhezvételekor a személyes információkat kezelő gazdasági szereplő az érintett „tudomására hozza a megőrzött személyes adatokat”. A 29. cikk (helyesbítési jog) és a 30. cikk (a felhasználás megszűnésének joga) ugyanazt a szerkezetet követi, mint a 28. cikk.
                  
               
                     (83)
                  
                  
                     A kabinethatározat 9. cikke meghatározza, hogy a személyes információknak a személyes információk védelméről szóló törvény 28. cikke (2) bekezdésének megfelelő közzétételére írásban kerül sor, kivéve, ha a személyes információkat kezelő gazdasági szereplő és az érintett másképp egyezik meg.
                  
               
                     (84)
                  
                  
                     Ezekre a jogokra háromféle korlátozás vonatkozik az egyén vagy a harmadik felek jogai és érdekei (51), a személyes információkat kezelő gazdasági szereplő üzleti tevékenységeibe való súlyos beavatkozás (52), valamint az olyan esetek tekintetében, amikor a közzététel sértene más törvényeket vagy rendeleteket (53). A helyzetek, amelyekben ezek a korlátozások alkalmazandók, hasonlítanak az (EU) 2016/679 rendelet 23. cikke (1) bekezdésének értelmében alkalmazandó néhány kivételhez, és ez a bekezdés lehetővé teszi az egyének jogainak korlátozását „az érintettek védelmével vagy mások jogaival és szabadságaival” vagy „egyéb fontos, általános közérdekű célkitűzésekkel” kapcsolatos okokból. Tágnak tűnhet az olyan esetek kategóriája, amelyekben a közzététel sértene „más törvényeket vagy rendeleteket”, de az ebben a tekintetben korlátozásokat tartalmazó törvényeknek és rendeleteknek tiszteletben kell tartaniuk a magánélet szabadságához való alkotmányos jogot, és csak akkor tartalmazhatnak korlátozásokat, ha ennek a jognak a gyakorlása „ellentmondana a közjólétnek” (54). Ehhez a szóban forgó érdekek egyensúlyozására van szükség.
                  
               
                     (85)
                  
                  
                     A személyes információk védelméről szóló törvény 28. cikkének (3) bekezdése szerint, ha a kért adat nem létezik vagy a személyes információkat kezelő érintett gazdasági szereplő úgy határoz, hogy nem biztosít hozzáférést a megőrzött adatokhoz, erről haladéktalanul tájékoztatnia kell az érintett személyt.
                  
               
                     (86)
                  
                  
                     Másodszor, a személyes információk védelméről szóló törvény 29. cikkének (1) és (2) bekezdése értelmében az érintett az adatok pontatlansága esetén kérheti a megőrzött személyes adatai helyesbítését, bővítését vagy törlését. Ilyen kérelem esetén a személyes információkat kezelő gazdasági szereplő „[…] elvégzi a szükséges vizsgálatot” és a vizsgálat eredménye alapján „helyesbíti stb. a megőrzött adatokat”.
                  
               
                     (87)
                  
                  
                     Harmadszor, a személyes információk védelméről szóló törvény 30. cikkének (1) és (2) bekezdése értelmében az érintett kérheti a személyes információkat kezelő gazdasági szereplőtől a személyes információi tovább használatának mellőzését vagy az ilyen adatok törlését, ha azok kezelése sérti a 16. cikket (célhoz kötöttség) vagy a személyes információk védelméről szóló törvény 17. cikkének megsértésével, nem megfelelő módon került sor a megszerzésükre (csalással, egyéb nem megfelelő módon vagy különleges adatok esetében hozzájárulás nélkül megszerzett adatok). Hasonlóképpen, a személyes információk védelméről szóló törvény 30. cikkének (3) és (4) bekezdése értelmében az egyén kérheti a személyes információkat kezelő gazdasági szereplőtől, hogy a továbbiakban ne továbbítsa az információkat harmadik feleknek, ha az sértené a személyes információk védelméről szóló törvény 23. cikkének (1) bekezdésében vagy 24. cikkében szereplő rendelkezéseket (a harmadik feleknek való adattovábbítás, beleértve a nemzetközi adattovábbítást).
                  
               
                     (88)
                  
                  
                     Amennyiben a kérés megalapozott, a személyes információkat kezelő gazdasági szereplőnek haladéktalanul fel kell hagynia az adatok felhasználásával vagy harmadik feleknek való továbbításával a jogsértés orvoslásához szükséges mértékben, vagy ha az eset valamely kivétel tárgyát képezi (mindenekelőtt, ha a felhasználás megszüntetése különösen magas költségekkel járna) (55), végre kell hajtania a szükséges alternatív intézkedéseket, hogy megvédje az érintett személy jogait és érdekeit.
                  
               
                     (89)
                  
                  
                     Az EU jogtól eltérően a személyes információk védelméről szóló törvény és a vonatkozó nem jogszabályokban előírt szabályok nem tartalmaznak olyan jogszabályi rendelkezéseket, amelyek kifejezetten a közvetlen üzletszerzés céljára való adatkezelés kifogásolásának lehetőségével foglalkoznak. Ugyanakkor e határozat alapján a korábban az Európai Unióban gyűjtött személyes adatok továbbításával összefüggésében fog sor kerülni ilyen adatkezelésre. Az (EU) 2016/679 rendelet 21. cikke (2) bekezdésének értelmében az érintettnek mindig lehetősége van kifogásolni a közvetlen üzletszerzési célra való kezelés céljából történő adattovábbítást. Ezenfelül, ahogy a (43) preambulumbekezdésben szerepel, a harmadik kiegészítő szabály értelmében a személyes információkat kezelő gazdasági szereplő köteles ugyanabból a célból kezelni a határozat értelmében kapott adatokat, amilyen célból az adatok továbbításra kerültek az Európai Unióból, kivéve, ha az érintett beleegyezik a felhasználás céljának módosításába. Tehát, ha az adattovábbításra nem közvetlen üzletszerzés céljából került sor, a személyes információkat kezelő japán gazdasági szereplő az uniós érintett hozzájárulása nélkül nem kezelheti közvetlen üzletszerzés céljából az adatokat.
                  
               
                     (90)
                  
                  
                     A személyes információk védelméről szóló törvény 28. és 29. cikkében említett valamennyi esetben a személyes információkat kezelő gazdasági szereplő köteles haladéktalanul értesíteni az érintett személyt a kérése eredményéről, tovább köteles magyarázattal szolgálni a kérés (részleges) elutasítását illetően a 27–30. cikkben szereplő jogszabályi kivételek alapján (a személyes információk védelméről szóló törvény 31. cikke).
                  
               
                     (91)
                  
                  
                     A kérés feltételei tekintetében a személyes információk védelméről szóló törvény 32. cikke (a kabinethatározattal együtt) lehetővé teszi a személyes információkat kezelő gazdasági szereplő számára észszerű eljárások meghatározását, többek között a megőrzött személyes adatok azonosításához szükséges információk tekintetében. E cikk (4) bekezdése értelmében azonban a személyes információkat kezelő gazdasági szereplők nem róhatnak „túlzott terhet az érintettre”. Bizonyos esetekben a személyes információkat kezelő gazdasági szereplők is bírságot szabhatnak ki, amíg annak összege „a tényleges költségek figyelembevételével észszerű keretek között” marad (a személyes információk védelméről szóló törvény 33. cikke).
                  
               
                     (92)
                  
                  
                     Végezetül, az érintett személy kifogásolhatja a személyes információi harmadik feleknek történő átadását a személyes információk védelméről szóló törvény 23. cikkének (2) bekezdése értelmében, vagy megtagadhatja hozzájárulását a 23. cikk (1) bekezdése értelmében (és ezzel megakadályozza a közzétételt, amennyiben nincs más elérhető jogalap). Hasonlóképpen az érintett személy leállíthatja az adatok más célból való kezelését a hozzájárulása megtagadásával a személyes információk védelméről szóló törvény 16. cikkének (1) bekezdése értelmében.
                  
               
                     (93)
                  
                  
                     Az uniós jogtól eltérően a személyes információk védelméről szóló törvény és a vonatkozó nem jogszabályi rendelkezések nem tartalmaznak olyan általános rendelkezéseket, amelyek kifejezetten az érintettet érintő döntésekkel foglalkoznak és kizárólag a személyes adatok automatizált kezelésén alapulnak. Ugyanakkor bizonyos Japánban alkalmazandó, az ilyen típusú adatkezelés esetében különösen lényeges ágazati szabályok kitérnek ezekre a kérdésekre. Ez magában foglal olyan ágazatokat, amelyekben a vállalatok nagy valószínűség szerint a személyes adatok automatizált kezeléséhez folyamodnak az érintett személyeket érintő döntések meghozatala során (például a pénzügyi szektor). Például a 2017 júniusában átdolgozott, „A nagyobb bankok felügyeletére vonatkozó átfogó iránymutatás” című dokumentum előírja, hogy az érintett személy részére konkrét magyarázatot kell nyújtani egy hitelmegállapodási kérelem visszautasításának okaival kapcsolatban. Ezek a szabályok így védelmet nyújtanak azokban a meglehetősen ritka esetekben, amikor az „adatátvevő” japán gazdasági szereplők (semmint az „adatátadó” uniós adatkezelők) maguk hoznak automatizált döntéseket.
                  
               
                     (94)
                  
                  
                     Mindenesetre az Európai Unióban összegyűjtött személyes adatok vonatkozásában minden automatizált kezelésen alapuló döntést általában az uniós adatkezelő (amely közvetlen kapcsolatban van az érintettel) fog meghozni, és így az (EU) 2016/679 rendelet hatálya alá tartozik (56). Idetartoznak olyan adattovábbítási forgatókönyvek, amelyek szerint az adatkezelést külföldi (például japán) gazdasági szereplő végzi, aki az uniós adatkezelő nevében ügynökként (adatfeldolgozóként) jár el (vagy alfeldolgozóként az uniós adatfeldolgozó nevében, amely megkapta az adatokat az adatokat összegyűjtő uniós adatkezelőtől), amely azután ennek alapján hozza meg a döntést. Ezért az a tény, hogy a személyes információk védelméről szóló törvény nem tartalmaz az automatizált döntéshozatalra vonatkozó különleges szabályokat, valószínűleg nem érinti az e határozat értelmében továbbított személyes adatok védelmének szintjét.
                  
               2.4.   Felügyelet és végrehajtás
         
         2.4.1.   Független felügyelet
         
         
                     (95)
                  
                  
                     Az adatvédelem megfelelő szintjének gyakorlati biztosítása érdekében létre kell hozni egy független felügyeleti hatóságot, amely hatáskörrel rendelkezik az adatvédelmi szabályoknak való megfelelés nyomon követésére és a nyomon követés érvényesítésére. Ennek a hatóságnak teljes egészében függetlenül és pártatlanul kell eljárnia feladatai ellátása és hatásköre gyakorlása során.
                  
               
                     (96)
                  
                  
                     A személyes információk védelméről szóló törvény nyomon követéséért és érvényesítéséért felelős hatóság Japánban a személyes információk védelmével foglalkozó bizottság. Ez a bizottság az országgyűlés mindkét házának hozzájárulásával a miniszterelnök által kinevezett elnökből és nyolc biztosból áll. Az elnök és a biztosok hivatali ideje öt év, ami meghosszabbítható (a személyes információk védelméről szóló törvény 64. cikke). A biztosok csak korlátozott számú kivételes körülmény (57) esetén és megalapozott indokkal meneszthetők, és nem vehetnek aktívan részt a politikai tevékenységekben. Ezenkívül a személyes információk védelméről szóló törvény értelmében a teljes munkaidőben foglalkoztatott biztosoknak tartózkodniuk kell minden egyéb, díjazás ellenében végzett vagy üzleti tevékenységtől. Olyan belső szabályok is vonatkoznak valamennyi biztosra, amelyek megakadályozzák őket abban, hogy esetleges összeférhetetlenség esetén részt vegyenek a tanácskozásokon. A személyes információk védelmével foglalkozó bizottságot segíti a Főtitkár által vezetett Titkárság, amely a személyes információk védelmével foglalkozó bizottságra ruházott feladatok elvégzése céljából jött létre (a személyes információk védelméről szóló törvény 70. cikke). A biztosokra és a Titkárság valamennyi munkatársára is szigorú titoktartási kötelezettség vonatkozik (a személyes információk védelméről szóló törvény 72. és 82. cikke).
                  
               
                     (97)
                  
                  
                     A személyes információk védelmével foglalkozó bizottság – teljes mértékben függetlenül gyakorolt (58) – hatásköréről főként a személyes információk védelméről szóló törvény 40., 41. és 42. cikke rendelkezik. A 40. cikk értelmében a személyes információk védelmével foglalkozó bizottság kérheti, hogy a személyes információkat kezelő gazdasági szereplő nyújtson be jelentést vagy dokumentumokat a kezelési műveletekről, továbbá vizsgálatokat is végezhet, mind a helyszínen, mind a könyvelés és egyéb dokumentumok vonatkozásában. A személyes információk védelméről szóló törvény érvényesítéséhez szükséges mértékben a személyes információk védelmével foglalkozó bizottság emellett iránymutatást vagy tanácsot nyújthat a személyes információkat kezelő gazdasági szereplőknek a személyes információk kezelését illetően. A személyes információk védelmével foglalkozó bizottság már élt a személyes információk védelméről szóló törvény 41. cikkén alapuló, említett hatáskörével, amikor a Facebook és a Cambridge Analytica körüli leleplezéseket követően iránymutatást intézett az Facebookhoz.
                  
               
                     (98)
                  
                  
                     Ami a legfontosabb, hogy a személyes információk védelmével foglalkozó bizottság – panaszra reagálva vagy saját kezdeményezésre – ajánlásokat tehet és határozatot hozhat a személyes információk védelméről szóló törvény és egyéb kötelező érvényű szabályok (többek között a kiegészítő szabályok) egyéni esetekben való érvényesítése érdekében. Erről a hatáskörről a személyes információk védelméről szóló törvény 42. cikke rendelkezik. Míg e cikk (1) és (2) bekezdése olyan kétlépcsős mechanizmusról rendelkezik, amely révén a személyes információk védelmével foglalkozó bizottság (csak) előzetes ajánlást követően hozhat határozatot, a (3) bekezdés sürgős esetekben lehetővé teszi a határozatok közvetlen elfogadását.
                  
               
                     (99)
                  
                  
                     Habár a személyes információk védelméről szóló törvény IV. fejezete 1. szakaszának nem minden rendelkezése szerepel a 42. cikk (1) bekezdésében – amely a 42. cikk (2) bekezdésének hatályát is meghatározza –, ez megmagyarázható azzal, hogy egyes ilyen rendelkezések nem érintik a személyes információkat kezelő gazdasági szereplő kötelezettségeit (59), és a felsorolásban szereplő egyéb rendelkezések már biztosítják a teljes körű alapvető védelmet. Például noha a 15. cikk (amely kötelezi a személyes információkat kezelő gazdasági szereplőt a felhasználás céljának meghatározására és a kapcsolódó személyes információk kizárólag ilyen célból történő kezelésére) nem kerül említésre, e követelmény betartásának elmulasztása indokul szolgálhat egy ajánlásra a 16. cikk (1) bekezdésének (a személyes információkat kezelő gazdasági szereplő csak az érintett hozzájárulásával kezelheti a személyes információkat a felhasználási cél eléréséhez szükséges szinten túl) megsértése alapján (60). A 42. cikk (1) bekezdésében nem szereplő további intézkedések közé tartozik a személyes információk védelméről szóló törvény 19. cikke az adatok pontosságáról és megőrzéséről. E rendelkezésnek való meg nem felelés a 16. cikk (1) bekezdése megsértésének vagy a 29. cikk (2) bekezdése megsértésének minősülhet, ha az érintett személy kéri a téves vagy túlzott mennyiségű adatok helyesbítését vagy törlését, és a személyes információkat kezelő gazdasági szereplő nem tesz eleget ennek a kérésnek. Az érintettnek a 28. cikk (1) bekezdése, a 29. cikk (1) bekezdése és a 30. cikk (1) bekezdése értelmében vett jogait tekintve a személyes információk védelmével foglalkozó bizottság általi felügyeletet biztosítja, hogy a bizottság végrehajtási hatáskört kap a személyes információkat kezelő gazdasági szereplőknek az említett cikkekben meghatározott kapcsolódó kötelezettségei vonatkozásában.
                  
               
                     (100)
                  
                  
                     A személyes információk védelméről szóló törvény 42. cikkének (1) bekezdése értelmében a személyes információk védelmével foglalkozó bizottság, ha felismeri, hogy „meg kell védeni az egyén jogait és érdekeit, ha [a személyes információkat kezelő gazdasági szereplő] megsértette” a személyes információk védelméről szóló törvény adott rendelkezéseit, ajánlást tesz „a jogsértés megszüntetése vagy a jogsértés orvoslására szolgáló egyéb szükséges intézkedés meghozatala érdekében”. Az ilyen ajánlás nem kötelező érvényű, de lehetőséget nyújt kötelező érvényű határozatra a személyes információk védelméről szóló törvény 42. cikkének (2) bekezdése értelmében. E rendelkezés alapján, ha „jogos indokok nélkül” nem kerül sor az ajánlásnak megfelelő eljárásra, és a személyes információk védelmével foglalkozó bizottság „elismeri, hogy hamarosan sor kerül az egyén jogainak és érdekeinek súlyos megsértésére”, utasíthatja a személyes információkat kezelő gazdasági szereplőt, hogy az ajánlásnak megfelelően járjon el.
                  
               
                     (101)
                  
                  
                     A kiegészítő szabályok tovább pontosítják és megerősítik a személyes információk védelmével foglalkozó bizottság végrehajtási jogkörét. Konkrétabban, az Európai Unióból átvett adatokat érintő esetekben, ha a személyes információkat kezelő gazdasági szereplő elmulasztott – jogos indok nélkül – a személyes információk védelméről szóló törvény 42. cikke (1) bekezdésének értelmében tett ajánlásnak megfelelően intézkedni, a személyes információk védelmével foglalkozó bizottság ezt mindig az egyén jogának és érdekének súlyos, közvetlenül bekövetkezhető megsértésének fogja tekinteni a 42. cikk (2) bekezdésének értelmében, így azt kötelező érvényű határozat kiadásához vezető jogsértésnek tekinti. Továbbá az ajánlás figyelmen kívül hagyásának „jogos indokaként” a személyes információk védelmével foglalkozó bizottság csak olyan „[a megfelelést megakadályozó] rendkívüli eseményt” fogad el, amelyre „[a személyes információkat kezelő gazdasági szereplőnek] nincs ráhatása, és amely nem látható észszerűen előre (például természeti katasztrófák)” vagy olyan esetet fogad el, amikor egy ajánlással kapcsolatos intézkedés szükségessége már „nem áll fenn, mert [a személyes információkat kezelő gazdasági szereplő] olyan alternatív intézkedést hozott, amely teljes mértékben orvosolja a jogsértést”.
                  
               
                     (102)
                  
                  
                     A személyes információk védelmével foglalkozó bizottság határozatának figyelmen kívül hagyása a személyes információk védelméről szóló törvény 84. cikke értelmében vett bűncselekménynek minősül, és a bűnösnek talált, személyes információkat kezelő gazdasági szereplő, hat hónapig terjedő, munkavégzéssel járó szabadságvesztéssel vagy legfeljebb 300 000 jen összegig terjedő bírsággal sújtható. Továbbá a személyes információk védelméről szóló törvény 85. cikkének i. pontja értelmében a személyes információk védelmével foglalkozó bizottsággal való együttműködés hiánya vagy a bizottság által végzett vizsgálat akadályozása legfeljebb 300 000 jen összegű bírsággal sújtható. Ezek a büntetőjogi szankciók a személyes információk védelméről szóló törvény lényeges megsértéséért kiszabható büntetéseken felül alkalmazandók (lásd a (108) preambulumbekezdést).
                  
               2.4.2.   Bírósági jogorvoslat
         
         
                     (103)
                  
                  
                     A megfelelő védelem biztosítása és különösen a személyhez fűződő jogok érvényesítésének biztosítása érdekében az érintettet hatékony igazgatási és bírósági jogorvoslatban kell részesíteni, beleértve a kártalanítást.
                  
               
                     (104)
                  
                  
                     Az igazgatási vagy bírósági jogorvoslatot megelőzően vagy ahelyett az érintett személy úgy dönthet, hogy magának az adatkezelőnek nyújt be panaszt személyes adatai kezelésével kapcsolatban. A személyes információk védelméről szóló törvény 35. cikke alapján a személyes információkat kezelő gazdasági szereplőknek törekedniük kell az ilyen panaszok „megfelelő és haladéktalan” kezelésére, és belső panaszkezelési rendszereket kell létrehozniuk e célkitűzés elérésére. Ezen túlmenően a személyes információk védelméről szóló törvény 61. cikkének ii) pontja értelmében a személyes információk védelmével foglalkozó bizottság felelős a „benyújtott panasszal kapcsolatosan szükséges közvetítésért és a panasszal foglalkozó gazdasági szereplő számára kínált együttműködéséért”, ami mindkét esetben magában foglalja a külföldiek által benyújtott panaszokat is. E tekintetben a japán jogalkotó szintén megbízta a központi kormányzatot azzal a feladattal, hogy tegye meg „a szükséges lépéseket” annak érdekében, hogy lehetővé tegye és elősegítse a panaszok személyes információkat kezelő gazdasági szereplők általi kezelését (9. cikk), míg az önkormányzatoknak törekedniük kell a közvetítésre ilyen esetekben (13. cikk). Ebből a szempontból az érintett személy panaszt nyújthat be az önkormányzatok által a fogyasztói biztonságról szóló törvény (61) értelmében létrehozott több mint 1 700 fogyasztói központ egyikénél, s emellett lehetősége van panaszt benyújtani a japán Nemzeti Fogyasztóvédelmi Központhoz. Ilyen panaszok a személyes információk védelméről szóló törvény megsértése tekintetében is benyújthatók. A fogyasztókról szóló alaptörvény (62) 19. cikke értelmében az önkormányzatoknak törekedniük kell a panaszokkal kapcsolatos közvetítésben való részvételre, és biztosítaniuk kell a szükséges szakértelmet a felek számára. Az ilyen vitarendezési mechanizmusok meglehetősen hatékonynak tűnnek, és 2015-ben több mint 75 000 benyújtott panasz alapján 91,2 %-os volt a vitarendezési arány.
                  
               
                     (105)
                  
                  
                     Ha a személyes információkat kezelő gazdasági szereplő megsérti a személyes információk védelméről szóló törvény rendelkezéseit, az polgári eljárást, valamint büntetőeljárást és szankciókat vonhat maga után. Először is, ha az érintett személy úgy véli, hogy sérültek a személyes információk védelméről szóló törvény 28., 29. és 30. cikke értelmében vett jogai, kérheti a jogsértés megszüntetését azáltal, hogy kérelmezi a bíróságnál annak elrendelését, hogy a személyes információkat kezelő gazdasági szereplő tegyen eleget a kérésének az egyik ilyen rendelkezés értelmében, vagyis tegye közzé a megőrzött személyes adatokat (28. cikk), helyesbítse a helytelen megőrzött személyes adatokat (29. cikk) vagy szüntess meg a jogellenes adatkezelést vagy a harmadik fél számára történő jogellenes adatszolgáltatást (30. cikk). Az ilyen kereset benyújtható úgy, hogy nem kell a Polgári Törvénykönyv 709. cikkére (63) vagy más módon a deliktuális felelősségi jogra (64) hivatkozni. Ez különösen azt jelenti, hogy az érintett személynek nem kell bizonyítania a kárt.
                  
               
                     (106)
                  
                  
                     Másodszor, abban az esetben, amikor az állítólagos jogsértés nem a 28., 29. és 30. cikk értelmében vett személyhez fűződő jogokat, hanem az általános adatvédelmi elveket vagy a személyes információkat kezelő gazdasági szereplő kötelezettségeit érinti, az érintett személy polgári eljárást indíthat a gazdasági szereplő ellen a japán Polgári Törvénykönyv deliktuális felelősségi jogi intézkedései, különösen a 709. cikk alapján. Míg egy 709. cikk értelmében vett ügy esetében a vétkességen (szándékosság vagy gondatlanság) túl a kárt is bizonyítani kell, a Polgári Törvénykönyv 710. cikke értelmében az ilyen kár anyagi és nem anyagi természetű is lehet. A kártérítés összegére nem vonatkozik korlátozás.
                  
               
                     (107)
                  
                  
                     A rendelkezésre álló jogorvoslati lehetőségeket tekintve a japán Polgári Törvénykönyv 709. cikke utal a pénzügyi kártérítésre. Ugyanakkor a japán ítélkezési gyakorlat ezt a cikket úgy értelmezte, mint amely ezen túlmenően biztosítja bírósági meghagyáshoz való jogot (65). Ezért, ha az érintett keresetet nyújt be a Polgári Törvénykönyv 709. cikke értelmében, és azt állítja, hogy a jogai vagy érdekei sérültek, mert az alperes megsértette a személyes információk védelméről szóló törvény valamely rendelkezését, a kereset – a kártérítésen túl – tartalmazhatja a jogsértés megszüntetésre irányuló határozat iránti kérelmet is, mindenekelőtt a jogellenes adatkezelés megszüntetése céljából.
                  
               
                     (108)
                  
                  
                     Harmadszor, a polgári jogi (deliktuális felelősségi jogi) jogorvoslat mellett az érintett panaszt nyújthat be az ügyészhez vagy az igazságügyi rendészeti tisztviselőhöz a személyes információk védelméről szóló törvény megsértése miatt, ami büntetőjogi szankciókhoz vezethet. A személyes információk védelméről szóló törvény VII. fejezete több büntető rendelkezést tartalmaz. A legfontosabb rendelkezés (84. cikk) ahhoz kapcsolódik, hogy a személyes információkat kezelő gazdasági szereplő nem tesz eleget a személyes információk védelmével foglalkozó bizottság határozatainak a 42. cikk (2) és (3) bekezdése értelmében. Ha a gazdasági szereplő nem tesz eleget a személyes információk védelmével foglalkozó bizottság határozatának, a bizottság elnöke (valamint bármely kormánytisztviselő) (66) az ügyész vagy igazságügyi rendészeti tisztviselő elé utalhatja az ügyet, és így büntetőjogi eljárás indul. A személyes információk védelmével foglalkozó bizottság határozatainak megsértése hat hónapig terjedő, munkavégzéssel járó szabadságvesztéssel vagy legfeljebb 300 000 jen összegű bírsággal sújtható. A személyes információk védelméről szóló törvény egyéb olyan rendelkezései közé tartozik a 83. cikk (a személyes információkat tartalmazó adatbázisok „biztosítása vagy eltulajdonítást követő használata”„[…] jogellenes nyereségszerzés céljából”) és a 88. cikk i) pontja (a harmadik fél nem tájékoztatja megfelelően a személyes információkat kezelő gazdasági szereplőt, amikor az személyes adatokat vesz át a személyes információk védelméről szóló törvény 26. cikke (1) bekezdésének megfelelően, különösen a harmadik fél saját, korábbi adatszerzésének részleteiről), amely a törvénynek az érintettek jogait és érdekeit érintő megsértése esetében szankciókról rendelkezik. A személyes információk védelméről szóló törvény ilyen megsértése esetén kirótt szankciók a munkavégzéssel járó, egy évig terjedő szabadságvesztés vagy a legfeljebb 500 000 jen összegű bírság (a 83. cikk esetében), illetve a legfeljebb 100 000 jen összegű közigazgatási bírság (a 88. cikk i) pontja esetében). Bár a büntetőjogi szankciók kilátásba helyezése már valószínűsíthetően erőteljes visszatartó hatást gyakorol majd a személyes információkat kezelő gazdasági szereplők adatkezelési műveleteit irányító üzleti menedzsmentre, valamint az adatokat kezelő egyénekre, a személyes információk védelméről szóló törvény 87. cikke egyértelművé teszi, hogy amennyiben egy vállalat képviselője, alkalmazottja vagy más munkavállalója a személyes információk védelméről szóló törvény 83–85. cikke szerinti jogsértést követett el, „az elkövetőt meg kell büntetni, és az említett vállalatra a megfelelő cikkben szereplő bírságot kell kiszabni”. Ebben az esetben a munkavállalót és a vállalatot is szankciókkal lehet súlytani a teljes maximális összeg erejéig.
                  
               
                     (109)
                  
                  
                     Végezetül, az érintett személyek jogorvoslatot kérhetnek a személyes információk védelmével foglalkozó bizottság intézkedéseivel vagy azok meghozatalának elmulasztásával kapcsolatban is. Ebben a vonatkozásban a japán jog számos közigazgatási és bírósági jogorvoslati lehetőséget kínál.
                  
               
                     (110)
                  
                  
                     Ha az érintett személy nem elégedett a személyes információk védelmével foglalkozó bizottság által hozott intézkedéssel, közigazgatási fellebbezést nyújthat be a közigazgatási panaszok felülvizsgálatáról szóló törvény értelmében (67). Ezzel szemben, amikor az érintett személy úgy véli, hogy a személyes információk védelmével foglalkozó bizottság elmulasztott cselekedni, az említett törvény 36-3. cikke értelmében kérheti, hogy a bizottság hozzon intézkedést vagy nyújtson igazgatási iránymutatást, ha az érintett személy úgy ítéli meg, hogy „a jogsértés orvoslásához szükséges intézkedésre vagy igazgatási iránymutatásra nem került sor”.
                  
               
                     (111)
                  
                  
                     A bírósági jogorvoslat tekintetében – a közigazgatási peres ügyekről szóló törvény értelmében – az a személy, aki elégedetlen a személyes információk védelmével foglalkozó bizottság által hozott igazgatási intézkedéssel, mandamus pert (68) indíthat, és kérheti, hogy a bíróság rendelje el a személyes információk védelmével foglalkozó bizottság általi további intézkedéseket (69). Bizonyos esetekben a bíróság ideiglenes mandamus végzést is hozhat, hogy megakadályozza a visszafordíthatatlan kárt (70). Továbbá, ugyanezen törvény értelmében, az érintett személy kérheti a személyes információk védelmével foglalkozó bizottság határozatának megsemmisítését (71).
                  
               
                     (112)
                  
                  
                     Végezetül, az érintett személy emellett állami kártalanítás iránti keresetet nyújthat be a személyes információk védelmével foglalkozó bizottság ellen az állami jogorvoslatról szóló törvény 1. cikkének (1) bekezdése értelmében, ha kárt szenvedett amiatt, mert a bizottság által egy gazdasági szereplő vonatkozásában hozott határozat jogellenes volt vagy a bizottság nem gyakorolta a hatáskörét.
                  
               3.   AZ EURÓPAI UNIÓBÓL TOVÁBBÍTOTT SZEMÉLYES ADATOKHOZ VALÓ HOZZÁFÉRÉS ÉS AZ ILYEN ADATOK FELHASZNÁLÁSA A JAPÁN KÖZIGAZGATÁSI SZERVEK ÁLTAL
         
         
                     (113)
                  
                  
                     A Bizottság emellett értékelte a korlátozásokat és biztosítékokat, beleértve a japán jog szerint elérhető felügyeleti és egyéni jogorvoslati mechanizmusokat a japán gazdasági szereplőknek továbbított személyes adatoknak a közigazgatási szervek által közérdekből, különösen a bűnüldözés és a nemzetbiztonság céljából történő összegyűjtése és későbbi felhasználása vonatkozásában („kormányzati hozzáférés”). Ebben a tekintetben a japán kormány a legmagasabb miniszteri és hivatali szinten aláírt, a jelen határozat II. mellékletében található hivatalos nyilatkozatokat, biztosítékokat és kötelezettségvállalásokat tett a Bizottság felé.
                  
               3.1.   Általános jogi keret
         
         
                     (114)
                  
                  
                     A közhatalom gyakorlásaként Japánban a kormányzati hozzáférés a jog maradéktalan tiszteletben tartása mellett történik (a jogszerűség elve). Ebben a tekintetben a japán Alkotmány olyan rendelkezéseket tartalmaz, amelyek korlátozzák a személyes adatok közigazgatási szervek általi gyűjtését, illetve biztosítják annak kereteit. Ahogy már a gazdasági szereplők általi adatkezelés tekintetében említésre került, az Alkotmány 13. cikke alapján, amely többek között védi a szabadsághoz való jogot, a japán Legfelsőbb Bíróság elismerte a magánélet szabadságához való jogot és az adatvédelmet (72). E jog egyik fontos eleme, hogy engedély nélkül nem kerülhet sor a személyes információk harmadik félnek való átadására (73). Ez azt jelenti, hogy az egyénnek joga van a személyes adatok hatékony védelméhez az adatokkal való visszaélés és (különösen) az adatokhoz való jogellenes hozzáférés vonatkozásában. További védelmet biztosít az Alkotmány 35. cikke, amely szerint minden embernek joga van biztonságban lenni az otthonában, illetve joga van az iratai és más személyes tulajdona biztonságához, így a közigazgatási szerveknek minden „házkutatás és lefoglalás” esetében „megfelelő indok” (74) alapján bírói engedélyt kell szerezniük. A 2017. március 15-i ítéletében (GPS-ügy) a Legfelsőbb Bíróság pontosította, hogy minden olyan esetben, amikor a kormány oly módon avatkozik be („lép be”) a magánszférába, amely elnyomja az egyén akaratát, tehát arra „kötelező vizsgálat” útján kerül sor, alkalmazandó a bírói engedély beszerzésének követelménye. A bíró csak bűncselekmény konkrét gyanúja esetén adhat ki ilyen engedélyt, vagyis akkor, ha van olyan írásos bizonyíték, amely alapján úgy tekinthető, hogy a vizsgálatban érintett személy bűncselekményt követett el (75). Ebből következően a japán hatóságok nem rendelkeznek joghatósággal arra, hogy személyes információkat gyűjtsenek össze kötelező eszközökkel olyan helyzetekben, amikor még nem került sor a törvény megsértésére (76), például egy bűncselekmény vagy egyéb biztonsági fenyegetés megakadályozása érdekében (ahogy az a nemzetbiztonsági nyomozások esetében történik).
                  
               
                     (115)
                  
                  
                     A jog fenntartásának alapelve értelmében a nyomozáshoz kapcsolódó kényszerintézkedések részeként gyűjtött adatok esetében kifejezetten szükség van a jogszabályok szerinti jóváhagyásra (ahogy az például a büntetőeljárási törvénynek a bűnügyi nyomozás céljára történő kötelező információgyűjtésről szóló 197. cikke (1) bekezdésében tükröződik). Ez a követelmény az elektronikus információkhoz való hozzáférésre is vonatkozik.
                  
               
                     (116)
                  
                  
                     Fontos, hogy az Alkotmány 21. cikkének (2) bekezdése biztosítja a kommunikáció valamennyi formájának titkosságát, amely csak közérdekből korlátozható. A távközlési törvény 4. cikke, amely szerint nem sérthető meg a távközlési adatátviteli szolgáltató által kezelt kommunikáció bizalmas jellege, jogszabályi szinten hajtja végre ezt a titoktartási követelményt. Ez úgy értelmezendő, hogy tilos a kommunikációs információk közzététele, kivéve a felhasználó hozzájárulása vagy a Büntető Törvénykönyv értelmében a büntetőjogi felelősség alóli kifejezett mentesség esetében (77).
                  
               
                     (117)
                  
                  
                     Az Alkotmány emellett garantálja az igazságszolgáltatáshoz való jogot (32. cikk) és az állam beperlésének jogát jogorvoslat céljából abban az esetben, ha az egyén kárt szenvedett valamely állami tisztviselő jogellenes tevékenysége miatt (17. cikk).
                  
               
                     (118)
                  
                  
                     Kifejezetten az adatvédelmi jog vonatkozásában a személyes információk védelméről szóló törvény III. fejezetének 1., 2. és 3. szakasza meghatározza a valamennyi ágazatra, köztük a közszférára vonatkozó általános alapelveket. A személyes információk védelméről szóló törvény 3. cikke kimondja, hogy valamennyi személyes információt az egyének személyiségének tiszteletben tartására vonatkozó elv szerint kell kezelni. Miután a közigazgatási szervek (78) személyes információkat gyűjtöttek („szereztek”) – többek között elektronikus nyilvántartások részeként –, azok kezelésére a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény vonatkozik (79). Főszabály szerint (80) ez a személyes információk bűnüldözési vagy nemzetbiztonsági okokból történő kezelését is magában foglalja. A közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény többek között kimondja, hogy a közigazgatási szervek: i. csak annyiban őrizhetnek meg személyes információkat, amennyiben az a feladataik elvégzéséhez szükséges; ii. nem használhatják fel az ilyen információkat „igazságtalan” célokra, és indokolás nélkül nem adhatják át őket harmadik feleknek; iii. meg kell határozniuk a célt, és azt nem módosíthatják annál nagyobb mértékben, mint ami észszerűen az eredeti cél szempontjából lényegesnek tekinthető (célhoz kötöttség); iv) főszabály szerint nem használhatják a megőrzött személyes információkat, és nem adhatják át őket harmadik feleknek más célokra, és amennyiben szükségesnek ítélik meg, korlátozhatják a harmadik felek általi felhasználás célját vagy módját; v. törekedniük kell az információk helyességének biztosítására (adatminőség); vi. meg kell tenniük az információk megfelelő kezeléséhez és az ahhoz szükséges intézkedéseket, hogy megakadályozzák az információk kiszivárgását, elvesztését vagy károsodását (adatbiztonság); és vii. törekedniük kell az információk kezelésével kapcsolatos panaszok megfelelő és gyors kezelésére (81).
                  
               3.2.   A japán közigazgatási szervek hozzáférése az adatokhoz és az adatok használata bűnüldözés céljából
         
         
                     (119)
                  
                  
                     A japán jog több korlátozást tartalmaz a személyes adatokhoz való, a bűnüldözés céljából való hozzáférés és az ilyen adatok felhasználása tekintetében, valamint olyan felügyeleti és jogorvoslati mechanizmusokat foglal magában, amelyek elegendő biztosítékokat szolgáltatnak arra, hogy az említett adatok hatékony védelemben részesüljenek a jogellenes beavatkozással és a visszaélés kockázatával szemben.
                  
               3.2.1.   Jogalap és az alkalmazandó korlátozások/biztosítékok
         
         
                     (120)
                  
                  
                     A japán jogi keretben az elektronikus információk bűnüldözés céljából történő gyűjtése bírói engedély (kötelező adatgyűjtés) vagy önkéntes közzététel iránti megkeresés alapján engedélyezett.
                  
               3.2.1.1.   Kötelező nyomozás bírói engedély alapján
         
         
                     (121)
                  
                  
                     Ahogy a (115) preambulumbekezdésben szerepel, a nyomozással kapcsolatos kényszerintézkedések részeként megvalósuló adatgyűjtés esetében kifejezetten szükség van törvényi felhatalmazásra, és csak „megfelelő indokkal” hozott bírói engedély alapján kerülhet rá sor (az Alkotmány 35. cikke). A bűncselekményekkel kapcsolatos nyomozás tekintetében ez a követelmény tükröződik a büntetőeljárási törvény rendelkezéseiben. A büntetőeljárási törvény 197. cikkének (1) bekezdése értelmében a kötelező intézkedések „csak az ebben a törvényben meghatározott külön rendelkezések esetén alkalmazandók”. Az elektronikus információk összegyűjtése tekintetében csak a büntetőeljárási törvény 218. cikke (házkutatás és lefoglalás) és a 222-2. cikke a releváns (82) jogalap, amely szerint az elektronikus kommunikációnak a felek hozzájárulása nélküli lehallgatására vonatkozó kötelező intézkedéseket más törvények, konkrétan a bűnügyi nyomozások keretében történő telefonlehallgatásról szóló törvény („telefonlehallgatásról szóló törvény”) alapján kell meghozni. Mindkét esetben érvényben van a bírói engedély beszerzésére vonatkozó követelmény.
                  
               
                     (122)
                  
                  
                     Konkrétabban, a büntetőeljárási törvény 218. cikkének (1) bekezdése értelmében a főügyész, a főügyészhelyettes vagy az igazságügyi rendészet tisztviselői, amennyiben a bűncselekmény vonatkozásában végzett nyomozáshoz szükséges, házkutatást végezhet vagy lefoglalást hajthat végre (beleértve felvételek készítésének elrendelését) előzetes bírói engedély alapján (83). Az ilyen engedélynek többek között tartalmaznia kell a gyanúsított vagy vádlott nevét, a vád tárgyává tett bűncselekményt (84), a lefoglalandó elektromágneses felvételeket, valamint a megvizsgálandó „helyet vagy tárgyakat” (a büntetőeljárási törvény 219. cikkének (1) bekezdése).
                  
               
                     (123)
                  
                  
                     A kommunikáció lehallgatása tekintetében a telefonlehallgatásról szóló törvény 3. cikke csak szigorú követelményekhez kötötten hagyja jóvá az ilyen intézkedéseket. A közigazgatási szerveknek mindenekelőtt előzetes bírói engedélyt kell beszerezniük, amely csak konkrét súlyos (a törvény mellékletében felsorolt) (85) bűncselekmények esetében végzett nyomozásra vonatkozhat, és akkor, ha „rendkívül nehéz más módon azonosítani az elkövetőt vagy tisztázni a helyzetet/az elkövetés részleteit” (86). A telefonlehallgatásról szóló törvény 5. cikke értelmében a bírói engedélyt korlátozott időtartamra adják ki, és a bíróság további feltételeket írhat elő. Ezen túlmenően a telefonlehallgatásról szóló törvény számos garanciáról rendelkezik, ilyen például a tanúk szükséges jelenléte (12., 20. cikk), egyes kiváltságos csoportok (pl. orvosok, ügyvédek) kommunikációjára vonatkozó lehallgatási tilalom (15. cikk), a lehallgatás megszüntetésére vonatkozó kötelezettség, ha az már nem indokolt, akár a bírói engedély érvényességi ideje alatt (18. cikk), vagy az az általános követelmény, hogy értesíteni kell az érintett személyt, és a lehallgatás megszüntetését követő harminc napon belül lehetővé kell tenni a felvételekhez való hozzáférést (a 23. és 24. cikk).
                  
               
                     (124)
                  
                  
                     Valamennyi, bírói engedélyen alapuló kötelező intézkedés esetében csak olyan vizsgálat folytatható, amely „a célkitűzés eléréséhez szükséges”, vagyis amikor a nyomozás célja más módon nem valósítható meg (a büntetőeljárási törvény 197. cikkének (1) bekezdése). Habár a jogszabályok nem pontosítják a szükségesség meghatározására vonatkozó kritériumokat, a japán Legfelsőbb Bíróság elrendelte, hogy az engedélyt kiadó bíró átfogó értékelést végezzen, figyelembe véve különösen i. a bűncselekmény súlyosságát és elkövetésének módját; ii. a bizonyítékként lefoglalandó tárgyak értékét és fontosságát; iii. annak valószínűségét (kockázatát), hogy a bizonyíték eltussolásra kerül vagy megsemmisül; és iv) annak mértékét, hogy a lefoglalás mennyire kelt előítéletet az érintett személlyel szemben (87).
                  
               3.2.1.2.   Önkéntes közzététel iránti megkeresés „kérőlap” alapján
         
         
                     (125)
                  
                  
                     A közigazgatási szervek az illetékességükön belül önkéntes közzététel iránti megkeresés alapján is gyűjthetnek elektronikus információkat. Ez az együttműködés olyan nem kötelező formája, amikor a megkeresés teljesítése nem kényszeríthető ki (88), így a közigazgatási szerveknek nem kell bírói engedélyt szerezniük.
                  
               
                     (126)
                  
                  
                     Amennyiben a gazdasági szereplőhöz ilyen megkeresés érkezik, és az személyes információkra vonatkozik, a gazdasági szereplőnek eleget kell tennie a személyes információk védelméről szóló törvény követelményeinek. A személyes információk védelméről szóló törvény 23. cikkének (1) bekezdése szerint a gazdasági szereplők csak bizonyos esetekben adhatnak át harmadik feleknek személyes információkat az érintett személy hozzájárulása nélkül, többek között akkor, amikor a közzététel „törvényeken és rendeleteken alapul” (89). A bűnüldözés terén az ilyen megkeresések jogalapja a büntetőeljárási törvény 197. cikkének (2) bekezdése, amely szerint „a magánszervezetek kérhetők, hogy számoljanak be a nyomozással kapcsolatban felmerülő szükséges kérdésekről”. Mivel ilyen „kérőlap” használata csak bűnügyi nyomozás során engedélyezett, ezért mindig eleve feltételezi egy már elkövetett bűncselekmény konkrét gyanúját (90). Továbbá, mivel az ilyen nyomozásokat általában a prefekturális rendőrség végzi, a rendőrségi törvény (91) 2. cikkének (2) bekezdésében meghatározott korlátozások érvényesek. E rendelkezés szerint a rendőrség tevékenységei „szigorúan” a feladataik ellátására „korlátozódnak” (vagyis a bűncselekmények megelőzésére, megakadályozására és kivizsgálására). Továbbá, feladatai végrehajtása során a rendőrségnek pártatlanul, előítéletek nélkül és tisztességesen kell eljárnia, és soha nem élhet vissza a hatalmával „oly módon, amely akadályozná a japán Alkotmány által az egyéneknek biztosított jogok és szabadságok gyakorlását” (a korábban említettek szerint idetartozik a magánélet szabadságához és az adatvédelemhez való jog) (92).
                  
               
                     (127)
                  
                  
                     Különösen tekintettel a büntetőeljárási törvény 197. cikkének (2) bekezdésére, a Nemzeti Rendőrhivatal – a többek között minden, a bűnügyi rendőrséget érintő kérdésben hatáskörrel rendelkező szövetségi hatóságként – utasításokat adott a prefekturális rendőrségnek (93)„az írásbeli kérések megfelelő használatáról nyomozati ügyekben”. Az utasítás szerint a kéréseket űrlapon kell feltenni (a 49. számú űrlap, vagyis az úgynevezett „kérőlap”) (94), a megkeresések „konkrét nyomozásokkal” kapcsolatos információkra vonatkoznak, és a kért információknak „a nyomozáshoz szükséges” információknak kell lenniük. A nyomozás vezetőjének minden esetben „maradéktalanul meg kell vizsgálnia az egyes kérések szükségességét, tartalmát stb.”, és szükség van egy magas rangú tisztviselő belső jóváhagyására.
                  
               
                     (128)
                  
                  
                     Ezen túlmenően – egy 1969. és egy 2008. évi ítéletben (95) – a japán Legfelsőbb Bíróság korlátozásokat határozott meg a magánélet szabadságához való joggal ütköző nem kötelező intézkedések vonatkozásában (96). A bíróság mindenekelőtt úgy ítélte meg, hogy az ilyen intézkedéseknek „észszerűnek” kell lenniük, és „az általánosan megengedett határokon” belül kell maradniuk, vagyis szükségesnek kell lenniük egy gyanúsított esetében folytatott nyomozáshoz (bizonyítékgyűjtés) és „a nyomozati cél elérése érdekében megfelelő módszereket” kell alkalmazni (97). Az ítéletek arról tanúskodnak, hogy ennek része az arányossági vizsgálat az ügy valamennyi körülményének figyelembevételével (például a magánélet szabadságához való joggal való ütközés mértéke, beleértve a magánéletre vonatkozó elvárást, a bűncselekmény súlyossága, a hasznos bizonyítékok megszerzésének valószínűsége, az ilyen bizonyíték fontossága, a lehetséges alternatív nyomozati módszerek stb.) (98).
                  
               
                     (129)
                  
                  
                     A közhatalom gyakorlására vonatkozó ilyen korlátozásokon túl a gazdasági szereplőkkel szemben elvárás a harmadik félnek való adattovábbítás szükségességének és „észszerűségének” ellenőrzése („megerősítése”) (99). Idetartozik az a kérdés, hogy vajon a jogszabályok akadályozzák-e az együttműködésüket. Az ilyen egymásnak ellentmondó jogi kötelezettségek különösen olyan titoktartási kötelezettségekből származhatnak, mint amely például a Büntető Törvénykönyv 134. cikkében szerepel (amely az orvos, ügyvéd, pap stb. és a beteg/ügyfél/hívő közötti kapcsolatra vonatkozik. Emellett „a távközlésben részt vevő bármely személy a munkája során megőrzi mások titkait, amelyek a távközlési adatkezelési szolgáltató által kezelt kommunikáció összefüggésében jutottak tudomására” (a távközlési törvény 4. cikkének (2) bekezdése). Ezt a kötelezettséget támogatja a távközlési törvény 179. cikkében előírt szankció, amely cikk szerint az, aki a távközlési adatkezelési szolgáltató által kezelt kommunikáció során megsértette a titoktartást, bűncselekményt követett el, és munkavégzéssel járó, két évig terjedő szabadságvesztéssel vagy legfeljebb 1 000 000 jen összegű bírsággal sújtható (100). Ez nem abszolút követelmény, illetve mindenekelőtt lehetővé teszi a kommunikációs titoktartást megsértő intézkedéseket, amelyek a Büntető Törvénykönyv 35. cikke értelmében „igazolható cselekményeknek” minősülnek, de ez a kivétel nem vonatkozik a közigazgatási szervek elektronikus információk átadására vonatkozó, a büntetőeljárási törvény 197. cikkének (2) bekezdése szerinti nem kötelező megkeresésére adott válaszra (101).
                  
               3.2.1.3.   Az összegyűjtött információk további felhasználása
         
         
                     (130)
                  
                  
                     A japán közigazgatási szervek általi összegyűjtést követően a személyes információk a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény hatálya alá tartoznak. Ez a törvény szabályozza „a megőrzött személyes információk” kezelését (feldolgozását), és rendelkezik több korlátozásról és biztosítékról (lásd a (118) preambulumbekezdést) (102). Továbbá, az a tény, hogy egy közigazgatási szerv „csak akkor” őrizhet meg személyes információkat, „amikor szükség van a megőrzésre a törvények és rendeletek által meghatározott joghatósága alá tartozó feladatok elvégzéséhez” (a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény 3. cikkének (1) bekezdése), szintén korlátozza – legalább közvetve – a kezdeti adatgyűjtést.
                  
               3.2.2.   Független felügyelet
         
         
                     (131)
                  
                  
                     Japánban az elektronikus információk összegyűjtése a bűnüldözés terén elsősorban (103) a prefekturális rendőrség (104) feladata, és a prefekturális rendőrség ebben a tekintetben többszintű felügyelet alatt áll.
                  
               
                     (132)
                  
                  
                     Először is, minden olyan esetben, amikor az elektronikus információ gyűjtésére kötelező eszközökkel (házkutatás és lefoglalás) kerül sor, a rendőrségnek előzetes bírói engedélyt kell beszereznie (lásd a (121) preambulumbekezdést). Ezért egy bíró a „megfelelő indokra” vonatkozó szigorú előírás alapján előzetesen ellenőrzi az információgyűjtést ezekben az esetekben.
                  
               
                     (133)
                  
                  
                     Az önkéntes információátadás iránti megkeresések esetében nem kerül sor előzetes bírói ellenőrzésre, de azok a gazdasági szereplők, akik ilyen megkeresések címzettjei, kifogást emelhetnek ellenük, és nem kell negatív következményekre számítaniuk (és figyelembe kell venniük az információátadás hatását a magánéletre). Továbbá, a büntetőeljárási törvény 192. cikkének (1) bekezdése szerint a rendőröknek mindig együtt kell működniük a főügyésszel (és a prefekturális közbiztonsági bizottsággal), és koordinálniuk kell a tevékenységüket (105). A főügyész szükséges általános utasításokat adhat, amelyek meghatározzák a tisztességes nyomozásra vonatkozó előírásokat, és/vagy konkrét határozatokat hozhat egy-egy nyomozással kapcsolatban (a büntetőeljárási törvény 193. cikke). Az ilyen utasítások és/vagy határozatok figyelmen kívül hagyása esetén az ügyészség vádat emelhet fegyelemsértésért (a büntetőeljárási törvény 194. cikke). A prefekturális rendőrség ezért a főügyész felügyelete alatt működik.
                  
               
                     (134)
                  
                  
                     Másodszor, az Alkotmány 62. cikke szerint a japán parlament mindkét háza folytathat vizsgálatot a kormánnyal kapcsolatban, többek között a rendőrségi információgyűjtés jogszerűségét illetően. E célból kérheti a tanúk jelenlétét és vallomását és/vagy felvételek készítését. A kihallgatási hatáskört az országgyűlési törvény, különösen annak XII. fejezete részletezi. Különösen az országgyűlési törvény 104. cikke szerint a kabinetnek, az állami szerveknek és a kormányzat egyéb elemeinek „eleget kell tenniük az országgyűlés valamely háza vagy bizottsága megkereséseinek a vizsgálat szempontjából szükséges jelentések és felvételek elkészítésére vonatkozóan”. Az ilyen megkeresés csak akkor utasítható el, ha a kormány hihető, az országgyűlés által elfogadható indokot ad, illetve olyan hivatalos nyilatkozat kiadása esetén, amely szerint a jelentések vagy felvételek elkészítése „súlyosan káros lenne a nemzeti érdekek szempontjából” (106). Emellett az országgyűlés tagjai írásbeli kérdéseket tehetnek fel a kabinetnek (az országgyűlési törvény 74. és 75. cikke), és korábban az ilyen „írásbeli kérdések” a személyes információk közigazgatási kezelésére is kitértek (107). A beszámolási kötelezettségek támogatják az országgyűlés szerepét a végrehajtás felügyeletében, például a telefonlehallgatási törvény 29. cikke értelmében.
                  
               
                     (135)
                  
                  
                     Harmadszor, szintén a végrehajtási ág részeként, a prefekturális rendőrség független felügyelet tárgyát képezi. Idetartoznak különösen a prefekturális közbiztonsági bizottságok, amelyek prefekturális szinten jöttek létre a rendőrség demokratikus igazgatásának és politikai semlegességének biztosítása érdekében (108). Ezek a bizottságok a prefektúrák kormányzói által kijelölt, a prefekturális közgyűlés által jóváhagyott tagokból állnak (akik olyan polgárok közül kerülnek ki, akik a megelőző öt évben nem töltöttek be köztisztviselői pozíciót a rendőrségnél), és biztos a hivatali idejük (csak megfelelő indokkal bocsáthatók el) (109). A kapott információk szerint nem utasíthatók, így teljes mértékben függetlennek tekinthetők (110). Ami a prefekturális közbiztonsági bizottságok feladat- és jogkörét illeti, a rendőrségi törvény 2. cikkével és 36. cikkének (2) bekezdésével összefüggésben értelmezett 38. cikkének (3) bekezdése értelmében ezek felelősek „[az] egyének jogainak és szabadságának védelméért”. E célból jogosultak a prefekturális rendőrség valamennyi nyomozati tevékenységének „felügyeletére” (111), a személyes adatok gyűjtését is beleértve. Nevezetesen a bizottságok „szükség esetén részletes utasításokat adhatnak a prefekturális rendőrségnek, illetve utasításokat adhatnak olyan konkrét nyomozásokban, amelyek a rendőrök hivatali visszaélésével foglalkoznak” (112). Amikor a prefekturális rendőrség vezetője (113) ilyen utasítást kap vagy maga szerez tudomást egy lehetséges hivatali visszaélésről (beleértve a jog megsértését vagy a feladatok egyéb módon történő elhanyagolását), haladéktalanul kivizsgálja az ügyet, és jelenti a vizsgálat eredményeit a prefekturális közbiztonsági bizottságnak (a rendőrségi törvény 56. cikkének (3) bekezdése). Amennyiben az utóbbi szükségesnek ítéli, kinevezheti továbbá az egyik tagját a végrehajtás állapotának felülvizsgálatára. Az eljárás addig folytatódik, amíg a prefekturális közbiztonsági bizottság meggyőződik az ügy megfelelő kezeléséről.
                  
               
                     (136)
                  
                  
                     Emellett a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény megfelelő alkalmazása tekintetében az illetékes miniszter vagy szerv vezetője (pl.: a Nemzeti Rendőrhivatal főbiztosa) végrehajtó hatalommal bír a Belügyi- és Kommunikációs Minisztérium felügyelete alatt. A közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény 49. cikke szerint a Belügyi- és Kommunikációs Minisztérium „jelentéseket gyűjthet e törvény érvényesítésének állapotáról” a közigazgatási szervek vezetőitől (a miniszterektől). A felügyeleti funkció ellátását segítik elő azok az információk, amelyek a Belügyi- és Kommunikációs Minisztérium alá tartozó 51 olyan „átfogó információs központból” származnak (minden japán prefektúrában egy-egy ilyen központ található), amely évente több ezer, magánszemélyek által benyújtott kérelemmel foglalkozik (114) (lehetséges törvénysértésekről számolhatnak be). Abban az esetben, ha a törvénynek való megfelelés érdekében szükségesnek ítéli, a Belügyi- és Kommunikációs Minisztérium magyarázatokat és anyagokat kérhet, illetve véleményt adhat ki a személyes információk érintett közigazgatási szerv általi kezelésével kapcsolatban (a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény 50. és 51. cikke).
                  
               3.2.3.   Egyéni jogorvoslat
         
         
                     (137)
                  
                  
                     A hivatalból történő felügyelet mellett a magánszemélyeknek több lehetőségük is van egyéni jogorvoslatra mind a független hatóságoknál (például a prefekturális közbiztonsági bizottságoknál vagy a személyes információk védelmével foglalkozó bizottságnál), mind a japán bíróságokon.
                  
               
                     (138)
                  
                  
                     Először is, a közigazgatási szervek által gyűjtött személyes információk tekintetében az utóbbi köteles „törekedni a panaszok megfelelő és gyors kezelésére” a személyes információk későbbi kezelését illetően (a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény 48. cikke). A közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvénynek a személyhez fűződő jogokról szóló IV. fejezete nem alkalmazandó „a perekhez és lefoglalt tárgyakhoz kapcsolódó dokumentumokban” szereplő személyes információk esetében (a büntetőeljárási törvény 53-2. cikkének (2) bekezdése) (amely a bűnügyi nyomozások során gyűjtött személyes információkra vonatkozik), de a magánszemélyek panaszt emelhetnek az általános adatvédelmi elvre hivatkozva, például azon kötelezettség vonatkozásában, hogy csak akkor őrizhetők meg személyes információk, „ha a megőrzés szükséges a bűnüldözési feladatok ellátásához” (a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény 3. cikkének (1) bekezdése).
                  
               
                     (139)
                  
                  
                     Emellett a rendőrségi törvény 79. cikke biztosítja, hogy azok a magánszemélyek, akiknek aggályai vannak a rendőrség „feladatainak elvégzése” tekintetében, panaszt tehessenek a(z) (illetékes) független prefekturális közbiztonsági bizottságnál. A bizottság „hűen” kezeli ezeket a panaszokat a törvényeknek és a helyi rendeleteknek megfelelően, és írásban értesítenie kell a panaszost az eredményekről. A „személyzet hivatali visszaélése” tekintetében a prefekturális rendőrség felügyeletére és „irányítására” vonatkozó hatásköre alapján (a rendőrségi törvény 38. cikkének (3) bekezdése és 43-2. cikkének (1) bekezdése) a bizottság kérheti, hogy a prefekturális rendőrség vizsgálja meg a tényeket, a vizsgálat eredménye alapján hozzon megfelelő intézkedéseket, és számoljon be az eredményekről. Amennyiben úgy ítéli meg, hogy a rendőrségi vizsgálat nem volt megfelelő, a bizottság utasításokat is adhat a panasz kezelésére vonatkozóan.
                  
               
                     (140)
                  
                  
                     A panaszkezelés elősegítése érdekében a Nemzeti Rendőrhivatal „közleményt” adott ki a rendőrség és a prefekturális közbiztonsági bizottságok részére a rendőri feladatok ellátásával kapcsolatos panaszok megfelelő kezeléséről. Ebben a dokumentumban a Nemzeti Rendőrhivatal előírásokat fogalmaz meg a rendőrségi törvény 79. cikkének értelmezésére és végrehajtására vonatkozóan. Többek között előírja, hogy a prefekturális rendőrség hozzon létre „panaszkezelési rendszert”, és valamennyi panaszt „haladéktalanul” kezelje és jelentse be az illetékes prefekturális közbiztonsági bizottságnál. A közlemény úgy határozza meg a panaszt, mint a „jogellenes vagy nem megfelelő magatartás következtében bekövetkezett bármely hátrány” (115) vagy „a szolgálatteljesítés során a szükséges intézkedés rendőrtiszt általi meghozatalának elmulasztása” (116) révén okozott konkrét hátrány, valamint „a rendőrtiszt nem megfelelő szolgálatteljesítési módjával kapcsolatos sérelem/elégedetlenség” orvoslása iránti igényt. Tágan határozták meg a panasz tárgyi hatályát, amely így kiterjed a jogellenes adatgyűjtéssel kapcsolatos valamennyi igényre, továbbá a panaszosnak nem kell bizonyítania, hogy a rendőrtiszt intézkedése következtében kárt szenvedett. Fontos, hogy a közlemény előírása szerint a külföldieknek (többek között) segítséget kell nyújtani a panasz megfogalmazásához. Panaszt követően a prefekturális közbiztonsági bizottságok kötelesek annak biztosítására, hogy a prefekturális rendőrség vizsgálja meg a tényeket, hajtson végre intézkedéseket „a vizsgálat eredménye alapján”, és jelentse az eredményeket. Abban az esetben, ha a bizottság elégtelennek találja a vizsgálatot, utasítást kell adnia a panasz kezelésére, és a prefekturális rendőrség köteles követni ezt az utasítást. A beérkezett jelentések és a meghozott intézkedések alapján a bizottság értesíti a magánszemélyeket, többek között a panaszkezelés érdekében hozott intézkedésekről. A Nemzeti Rendőrhivatal közleménye kiemeli, hogy a panaszokat „őszintén” kell kezelni, és „a társadalmi normák és a józan ész alapján megfelelőnek tartott […] határidőn belül” értesítést kell küldeni az eredményről.
                  
               
                     (141)
                  
                  
                     Másodszor, mivel a jogorvoslatot természetesen külföldön, egy idegen országban és idegen nyelven kell keresni, annak érdekében, hogy elősegítsék a jogorvoslatot az olyan uniós személyek számára, akik személyes adatai japán gazdasági szereplőkhöz kerülnek továbbításra, majd a közigazgatási szervek általi hozzáférésre, a japán kormány a hatáskörénél fogva létrehozott egy, a személyes információk védelmével foglalkozó bizottság igazgatása és felügyelete alatt álló külön mechanizmust az ezen a téren benyújtott panaszok kezelésére és megoldására. E mechanizmus alapja a személyes információk védelméről szóló törvény értelmében a japán közigazgatási szervekre rótt együttműködési kötelezettség és a személyes információk védelmével foglalkozó bizottság különleges szerepe a harmadik országokból származó, a személyes információk védelméről szóló törvény 6. cikke és a(z) (japán kormány kabinethatározatával létrehozott) alappolitika értelmében történő nemzetközi adattovábbítás tekintetében. E mechanizmus részleteit a japán kormánytól érkezett hivatalos nyilatkozatok, biztosítékok és kötelezettségvállalások tartalmazzák, amelyek e határozat II. mellékletét képezik. A mechanizmusra nem vonatkozik semmiféle hatályos követelmény, és az bármely személy előtt nyitott, függetlenül attól, hogy bűncselekmény gyanúsítottja vagy vádlottja-e.
                  
               
                     (142)
                  
                  
                     E mechanizmus keretében azok a magánszemélyek, akik azt gyanítják, hogy az Európai Unióból továbbított adataikat a japán közigazgatási szervek (beleértve a bűnüldözésért felelős szerveket) a vonatkozó szabályok megsértésével gyűjtötték össze vagy használták fel, panaszt nyújthatnak be a személyes információk védelmével foglalkozó bizottságnak (egyénileg vagy az általános adatvédelmi rendelet 51. cikke szerinti adatvédelmi hatóságukon keresztül). A személyes információk védelmével foglalkozó bizottság köteles kezelni a panaszt, és első lépésként tájékoztatnia kell róla az illetékes közigazgatási szerveket, beleértve a vonatkozó felügyeleti szerveket. Ezeknek a szerveknek együtt kell működniük a személyes információk védelmével foglalkozó bizottsággal „többek között a szükséges információk és kapcsolódó anyagok biztosításával, hogy a személyes információk védelmével foglalkozó bizottság értékelhesse, hogy a személyes információk összegyűjtése vagy későbbi felhasználása az alkalmazandó szabályoknak megfelelően történt-e” (117). Ez a személyes információk védelméről szóló törvény 80. cikkéből származó követelmény (amely előírja a japán hatóságoknak, hogy működjenek együtt a személyes információk védelmével foglalkozó bizottsággal) általánosan alkalmazandó, és így kiterjed az ilyen hatóságok által hozott nyomozati intézkedések felülvizsgálatára. Ezenfelül az említett hatóságok az illetékes minisztériumok és hivatalok vezetőinek írásbeli biztosítékai útján kötelezettséget vállaltak az ilyen együttműködésre, amint az a II. mellékletben is tükröződik.
                  
               
                     (143)
                  
                  
                     Ha az értékelés szerint sor került az alkalmazandó szabályok megsértésére, „az érintett közigazgatási szervek és a személyes információk védelmével foglalkozó bizottság együttműködése magában foglalja a jogorvoslati kötelezettséget”, amely a személyes információk jogellenes gyűjtése esetében az ilyen adatok törlésére is vonatkozik. Fontos, hogy e kötelezettség teljesítése a személyes információk védelmével foglalkozó bizottság felügyelete alatt történik, és a bizottság „az értékelés lezárását megelőzően megerősíti, hogy maradéktalanul sor került a jogorvoslatra”.
                  
               
                     (144)
                  
                  
                     Az értékelés lezárultával a személyes információk védelmével foglalkozó bizottságnak – észszerű határidőn belül – értesítenie kell az érintett személyt az értékelés eredményéről, beleértve adott esetben a korrekciós intézkedéseket. Ugyanakkor a személyes információk védelmével foglalkozó bizottságnak arról a lehetőségről is tájékoztatnia kell az érintett személyt, hogy kérheti az eredmény megerősítését az illetékes közigazgatási szervtől, valamint annak a hatóságnak a kilétéről, amelyhez be kell nyújtania az ilyen megerősítés iránti kérelmet. Az ilyen megerősítés lehetősége, beleértve az illetékes hatóság határozatát alátámasztó okokat, az érintett személy segítségére lehet a további lépések meghozatalában, beleértve ha a jogorvoslatot igényel. Az értékelés eredményével kapcsolatos részletes információk elérhetősége korlátozható, ha észszerű okból feltételezhető, hogy az ilyen információk közzététele valószínűleg kockázatot jelent a folyamatban lévő nyomozás szempontjából.
                  
               
                     (145)
                  
                  
                     Harmadszor, az a személy, aki nem ért egyet a személyes adatait érintő, bíró által hozott lefoglalási határozattal (engedéllyel) (118) vagy az ilyen határozatot végrehajtó rendőrség vagy ügyészség intézkedéseivel, kérelmet nyújthat be az ilyen határozat vagy intézkedések visszavonása vagy módosítása iránt (a büntetőeljárási törvény 429. cikkének (1) bekezdése, valamint 430. cikkének (1) és (2) bekezdése, a lehallgatásról szóló törvény 26. cikke) (119). Amennyiben a felülvizsgálatot végző bíróság szerint az engedély vagy annak végrehajtása („lefoglalási eljárás”) jogellenes, helyt ad a kérelemnek, és elrendeli a lefoglalt tárgyak visszaszolgáltatását (120).
                  
               
                     (146)
                  
                  
                     Negyedszer, a bírósági ellenőrzés közvetettebb formájaként az a személy, aki úgy véli, hogy a személyes információinak egy bűnügyi nyomozás során történő összegyűjtése jogellenes, a bűnügyi tárgyalásán hivatkozhat erre. Ha a bíróság egyetért, a bizonyíték nem lesz elfogadható, és kizárásra kerül.
                  
               
                     (147)
                  
                  
                     Végezetül, az állami jogorvoslatról szóló törvény 1. cikkének (1) bekezdése értelmében a bíróság kártérítést ítélhet meg, ha az állami közhatalmat gyakorló köztisztviselő a feladatai ellátása során jogellenesen és saját hibájából (szándékosan vagy gondatlanságból) kárt okozott az érintett személynek. Az állami jogorvoslatról szóló törvény 4. cikkének megfelelően az állam kártérítési felelőssége a Polgári Törvénykönyv rendelkezésein alapul. Ebben a vonatkozásban a Polgári Törvénykönyv 710. cikke kimondja, hogy a felelősség nemcsak a vagyoni károkra vonatkozik, így kiterjed a(z) (például „mentális zavar” formájában elszenvedett) erkölcsi kárra is. Ide tartoznak azok az esetek is, amikor a jogellenes megfigyelés és/vagy a személyes információk gyűjtése (például valamilyen engedély jogellenes végrehajtása) beavatkozást jelentett az érintett személy magánéletébe (121).
                  
               
                     (148)
                  
                  
                     A pénzügyi kártalanítás mellett az érintett személyek bizonyos feltételek mellett a jogsértés megszüntetésére vonatkozó határozatot is szerezhetnek (például a közigazgatási szervek által összegyűjtött személyes adatok törlésére vonatkozóan) az Alkotmány 13. cikke értelmében a magánélet szabadságához való joguk alapján (122).
                  
               
                     (149)
                  
                  
                     Minden említett jogorvoslati megoldás vonatkozásában a japán kormány által kidolgozott vitarendezési mechanizmus előírja, hogy az eljárás eredményével továbbra is elégedetlen személy a személyes információk védelmével foglalkozó bizottsághoz fordulhat, „amely tájékoztatja az egyént a japán törvények és rendeletek szerinti jogorvoslat különböző lehetőségeiről és részletes eljárásairól”. Továbbá, a személyes információk védelmével foglalkozó bizottság „támogatást biztosít az érintett személynek, többek között tanácsadást és segítséget nyújt a vonatkozó közigazgatási vagy bírósági szerv felé benyújtott további keresetekkel kapcsolatban”.
                  
               
                     (150)
                  
                  
                     Ez magában foglalja a büntetőeljárási törvény szerint eljárási jogok gyakorlását. Például, „ha az értékelés fényt derít arra, hogy az érintett személy egy bűnügy gyanúsítottja, a személyes információk védelmével foglalkozó bizottság tájékoztatja erről az egyént” (123), valamint tájékoztatja arról a büntetőeljárási törvény 259. cikke szerinti lehetőségről, hogy ügyészségi értesítést kérhet arról, hogy az ügyészség úgy határozott, nem indít büntetőeljárást. Emellett, ha az értékelés során kiderül, hogy az érintett személy személyes információit érintő ügyet nyitottak, majd zártak le, a személyes információk védelmével foglalkozó bizottság tájékoztatja az érintett személyt az ügyiratok megtekinthetőségéről a büntetőeljárási törvény 53. cikke (és a bűnügyeket lezáró aktákról szóló törvény 4. cikke) értelmében. Az ügyiratokhoz való hozzáférés fontos, mert segít abban, hogy az érintett személy jobban megértse az ellene folytatott vizsgálatot és így felkészüljön a bírósági keresetre (például kártérítési keresetre), amennyiben úgy véli, hogy az adatai összegyűjtésére vagy felhasználására jogellenesen került sor.
                  
               3.3.   A japán közigazgatási szervek hozzáférése az adatokhoz és az adatok használata nemzetbiztonsági célokból
         
         
                     (151)
                  
                  
                     A japán hatóságok szerint nincs olyan japán törvény, amely a bűnügyi nyomozásokon kívül lehetővé tenné a kötelező erővel bíró tájékoztatási vagy „adminisztratív telefonlehallgatási” megkereséseket. Ezért nemzetbiztonsági okokból információ csak olyan információforrásból szerezhető, amely bárki számára szabadon vagy önkéntes információátadás révén hozzáférhető. Az önkéntes (elektronikus információk közzététele formájában történő) együttműködés iránti megkeresést kapó gazdasági szereplők esetében nem áll fenn jogi kötelezettség az ilyen információk átadására (124).
                  
               
                     (152)
                  
                  
                     Emellett – a kapott tájékoztatás szerint – mindössze az alábbi négy kormányzati szerv rendelkezik felhatalmazással arra, hogy nemzetbiztonsági okokból a japán gazdasági szereplők birtokában lévő elektronikus információkat gyűjtsön: i. a kabinet hírszerzési és kutatási hivatala; ii. a Honvédelmi Minisztérium; iii. a rendőrség (a Nemzeti Rendőrhivatal (125) és a prefekturális rendőrség egyaránt); és iv) a Közbiztonsági Hírszerzési Ügynökség. Ugyanakkor a kabinet hírszerzési és kutatási hivatala soha nem gyűjt információkat közvetlenül a gazdasági szereplőktől, ideértve a kommunikáció lehallgatását. Ha a kabinet számára benyújtandó elemzéshez információt kap más kormányzati hatóságoktól, e hatóságoknak is be kell tartaniuk a törvényt, beleértve az e határozatban elemzett korlátozásokat és biztosítékokat. Az adattovábbítás összefüggésében ezért nem relevánsak a tevékenységei.
                  
               3.3.1.   Jogalap és az alkalmazandó korlátozások/biztosítékok
         
         
                     (153)
                  
                  
                     A kapott információk alapján a Honvédelmi Minisztérium a Honvédelmi Minisztérium létrehozásáról szóló törvény alapján (elektronikus) információkat gyűjt. E törvény 3. cikke szerint a Honvédelmi Minisztérium feladata a haderő irányítása és működtetése, illetve „az ezzel kapcsolatos feladatok ellátása a nemzet békéjének és függetlenségének, valamint a nemzet biztonságának biztosítása érdekében”. A 4. cikk (4) bekezdése értelmében a Honvédelmi Minisztérium joghatósággal rendelkezik a „védelem és őrzés” terén, az önvédelmi erők tevékenységei felett, valamint a haderő alkalmazása felett, beleértve az ilyen feladatai ellátásához szükséges információk összegyűjtését. Csak önkéntes együttműködés révén gyűjthet (elektronikus) információkat a gazdasági szereplőktől.
                  
               
                     (154)
                  
                  
                     A prefekturális rendőrség feladatai közé tartozik „a közbiztonság és közrend fenntartása” (a rendőrségi törvény 35. cikkének (2) bekezdése a 2. cikk (1) bekezdésével összefüggésben). Joghatóságán belül a rendőrség gyűjthet ugyan információkat, de kizárólag önkéntes alapon, jogi kötőerő nélkül. Továbbá, a rendőrség tevékenységeinek „szigorúan” a feladatai ellátásához szükséges mértékre kell „korlátozódniuk”. Ezenfelül „pártatlanul, pártérdektől függetlenül, előítéletektől mentesen és tisztességesen” kell eljárnia, és soha nem élhet vissza a hatalmával „úgy, hogy azzal megsértse az egyéneknek a japán Alkotmányban biztosított jogait és szabadságait” (a rendőrségi törvény 2. cikke).
                  
               
                     (155)
                  
                  
                     Végezetül, a Közbiztonsági Hírszerzési Ügynökség a felforgató tevékenységek megelőzéséről szóló törvény és a megkülönböztetés nélküli tömeggyilkosságot elkövető szervezetek ellenőrzéséről szóló törvény értelmében folytathat nyomozást, amennyiben az ilyen nyomozás szükséges a bizonyos szervezetek elleni ellenőrzési intézkedések elfogadásának előkészítéséhez (126). Mindkét törvény értelmében a Közbiztonsági Hírszerzési Ügynökség főigazgatójának megkeresésére a közbiztonsági vizsgálatokat folytató bizottság bizonyos „rendelkezéseket” hozhat (megfigyelés/tilalom a megkülönböztetés nélküli tömeggyilkosságot elkövető szervezetek ellenőrzéséről szóló törvény (127) értelmében, megszűnés/tilalom a felforgató tevékenységek megelőzéséről szóló törvény (128) értelmében), és a Közbiztonsági Hírszerzési Ügynökség/rendőrség nyomozást folytathat ebben a tekintetben (129). A kapott információk alapján az ilyen nyomozásra mindig önkéntes alapon kerül sor, ami azt jelenti, hogy a Közbiztonsági Hírszerzési Ügynökség nem kényszerítheti a személyes információ birtokosát az ilyen információ átadására (130). Az ellenőrzést és nyomozást minden alkalommal csak az ellenőrzési cél eléréséhez szükséges minimális mértékben kell lefolytatni, és az ellenőrzések és nyomozások semmilyen körülmények között nem korlátozhatják „észszerűtlenül” a japán Alkotmány által biztosított jogokat és szabadságokat (a felforgató tevékenységek megelőzéséről szóló törvény/a megkülönböztetés nélküli tömeggyilkosságot elkövető szervezetek ellenőrzéséről szóló törvény 3. cikkének (1) bekezdése). Továbbá, a felforgató tevékenységek megelőzéséről szóló törvény/a megkülönböztetés nélküli tömeggyilkosságot elkövető szervezetek ellenőrzéséről szóló törvény 3. cikkének (2) bekezdése szerint a Közbiztonsági Hírszerzési Ügynökség semmilyen körülmények között nem élhet vissza az ilyen ellenőrzésekkel vagy az ilyen ellenőrzések előkészítése érdekében folytatott nyomozásokkal. Ha a Közbiztonsági Hírszerzési Ügynökség munkatársa visszaélt hatalmával a vonatkozó törvény értelmében, és olyasmire kényszerített egy személyt, amit az a személy nem köteles megtenni, vagy akadályozta a személy jogainak gyakorlását, bűnügyi szankciókkal sújtható a felforgató tevékenységek megelőzéséről szóló törvény 45. cikke vagy a megkülönböztetés nélküli tömeggyilkosságot elkövető szervezetek ellenőrzéséről szóló törvény 42. cikke alapján. Végezetül, mindkét törvény egyértelműen előírja, hogy rendelkezései, beleértve az azokban biztosított hatáskört, „semmilyen körülmények között nem képezik bővített értelmezés tárgyát” (a felforgató tevékenységek megelőzéséről szóló törvény/a megkülönböztetés nélküli tömeggyilkosságot elkövető szervezetek ellenőrzéséről szóló törvény 2. cikke).
                  
               
                     (156)
                  
                  
                     Az ebben a szakaszban ismertetett, nemzetbiztonsági okokból történő kormányzati hozzáférést illetően minden esetben a japán Legfelsőbb Bíróság által az önkéntes vizsgálatok tekintetében meghatározott korlátozások érvényesek, ami azt jelenti, hogy az (elektronikus) információgyűjtésnek meg kell felelnie a szükségesség és arányosság elvének („megfelelő módszer”) (131). Amint azt a japán hatóságok kifejezetten megerősítették: „információgyűjtés és -kezelés csak az illetékes hatóság konkrét feladatainak ellátásához szükséges mértékben, valamint konkrét fenyegetések alapján történik”. Tehát „ez kizárja a személyes információk nemzetbiztonsági okokból történő tömeges és válogatás nélküli gyűjtését vagy az azokhoz történő ilyen hozzáférést” (132).
                  
               
                     (157)
                  
                  
                     Emellett a közigazgatási szervek által nemzetbiztonsági célokból megőrzött személyes információk az összegyűjtésüket követően a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény hatálya alá tartoznak, és ezáltal az e törvény által biztosított védelmet élvezik az ilyen információk későbbi tárolása, felhasználása és közzététele tekintetében (lásd a (118) preambulumbekezdést).
                  
               3.3.2.   Független felügyelet
         
         
                     (158)
                  
                  
                     A személyes információk nemzetbiztonsági okokból való gyűjtése a három kormányzati ág számos felügyeleti szintjének hatálya alá tartozik.
                  
               
                     (159)
                  
                  
                     Először is, a japán országgyűlés a parlamenti vizsgálati hatásköre alapján a szakbizottságain keresztül megvizsgálhatja a nyomozások jogszerűségét (az Alkotmány 62. cikke, az országgyűlésről szóló törvény 104. cikke; lásd a (134) preambulumbekezdést). Ezt a felügyeleti funkciót a néhány fent említett jogalapnak megfelelően végzett tevékenységekkel kapcsolatos konkrét jelentéstételi kötelezettségek támogatta (133).
                  
               
                     (160)
                  
                  
                     Másodszor, számos felügyeleti mechanizmus létezik a végrehajtási ágban.
                  
               
                     (161)
                  
                  
                     A Honvédelmi Minisztérium felügyeletét a jogi megfeleléssel foglalkozó főfelügyelő hivatala (134) gyakorolja, amely a Honvédelmi Minisztériumot létrehozó törvény 29. cikke alapján jött létre a Honvédelmi Minisztériumon belüli hivatalként a honvédelmi miniszter felügyelete alatt (a honvédelmi miniszternek jelent), de a Honvédelmi Minisztérium többi működési osztályától függetlenül. A jogi megfeleléssel foglalkozó főfelügyelő hivatalának feladata, hogy biztosítsa a törvényeknek és rendeleteknek való megfelelést, illetve a feladatoknak a Honvédelmi Minisztérium tisztviselői általi megfelelő végrehajtását. Hatáskörébe tartozik az úgynevezett „védelmi vizsgálatok” lefolytatása rendszeres időközönként („rendszeres védelmi vizsgálat”) és egyéni esetekben („különleges védelmi vizsgálat”) egyaránt, amely korábban a személyes információk megfelelő kezelésére is kiterjedt (135). Az ilyen vizsgálatok összefüggésében a jogi megfeleléssel foglalkozó főfelügyelő hivatala felkereshet helyszíneket (irodákat), és kérheti dokumentumok vagy információk benyújtását, beleértve a honvédelmi miniszterhelyettes helyettese általi magyarázatokat is. A vizsgálatot a Honvédelmi Minisztériumnak küldött jelentés zárja le, amely tartalmazza a megállapításokat és a fejlesztési intézkedéseket (amelyek végrehajtása további vizsgálatokkal ismét ellenőrizhető). A jelentés a honvédelmi miniszter utasításainak alapját képezi a helyzet kezeléséhez szükséges intézkedések végrehajtása érdekében; a miniszterhelyettes helyettesének feladata az ilyen intézkedések végrehajtása, majd utánkövetési jelentést kell készítenie.
                  
               
                     (162)
                  
                  
                     A prefekturális rendőrség vonatkozásában a független prefekturális közbiztonsági bizottságok látják el a felügyeletet, ahogy azt a (135) preambulumbekezdés említette a bűnüldözés vonatkozásában.
                  
               
                     (163)
                  
                  
                     Végezetül, a korábban említetteknek megfelelően a Közbiztonsági Hírszerzési Ügynökség csak olyan mértékben folytathat nyomozásokat, amely az a felforgató tevékenységek megelőzéséről szóló törvény/a megkülönböztetés nélküli tömeggyilkosságot elkövető szervezetek ellenőrzéséről szóló törvény értelmében a tiltó, megszüntetési vagy megfigyelési rendelkezések elfogadásához szükséges, és a közbiztonsági vizsgálatokkal foglalkozó független (136) bizottság előzetes felügyeletet gyakorol az ilyen rendelkezések vonatkozásában. Emellett a rendszeres/időszakos vizsgálatokat (amelyek átfogóan megvizsgálják a Közbiztonsági Hírszerzési Ügynökség tevékenységét) (137) és az egyes osztályok/hivatalok tevékenységével kapcsolatos különleges belső vizsgálatokat (138) kifejezetten az erre a célra kijelölt felügyelők folytatják le, és ennek eredményeképpen utasíthatják az érintett osztályok stb. vezetőit korrekciós vagy javító intézkedések meghozatalára.
                  
               
                     (164)
                  
                  
                     Ezek a felügyeleti mechanizmusok, amelyeket tovább erősít az a lehetőség, hogy az érintett személyek kiválthatják a személyes információk védelmével foglalkozó bizottság mint független felügyeleti hatóság beavatkozását (lásd lent a 168. szakaszt), megfelelő biztosítékot nyújtanak egyrészt annak kockázata ellen, hogy a japán hatóságok visszaéljenek hatalmukkal a nemzetbiztonság terén, másrészt az elektronikus információk jogellenes gyűjtése vonatkozásában.
                  
               3.3.3.   Egyéni jogorvoslat
         
         
                     (165)
                  
                  
                     Egyéni jogorvoslat esetében a közigazgatási szervek által gyűjtött és így „megőrzött” személyes információk tekintetében a közigazgatási szervek kötelesek „törekedni” a személyes információk kezelésére vonatkozó „panaszok megfelelő és gyors kezelésére” (a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény 48. cikke) ilyen eljárások tekintetében.
                  
               
                     (166)
                  
                  
                     Továbbá – a bűnügyi nyomozásoktól eltérően –, az érintett személyeknek (beleértve a külföldön élő külföldi állampolgárokat) a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény értelmében főszabály szerint joguk van a közzétételhez (139), a helyesbítéshez (beleértve a törlést) és a használat/rendelkezésre bocsátás felfüggesztéséhez. A közigazgatási szerv vezetője elutasíthatja a közzétételt olyan információkat illetően, „amelyek esetében észszerűen […] feltételezhető, hogy a közzététel valószínűleg sérti a nemzetbiztonságot” (a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény 14. cikkének iv) pontja), és ezt az ilyen információk meglétének nyilvánosságra hozatala nélkül is megteheti (a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény 17. cikke). Hasonlóképpen, az érintett személy kérheti ugyan az információk felhasználásának felfüggesztését vagy törlését a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény 36. cikke (1) bekezdése i) pontjának megfelelően, abban az esetben, ha a közigazgatási szerv jogellenesen szerezte meg az információt vagy azt nem a meghatározott cél eléréséhez szükséges mértékben őrzi meg/használja fel, de a hatóság elutasíthatja a megkeresést, ha úgy ítéli meg, hogy az információk használatának felfüggesztése „valószínűleg akadályozza a megőrzött személyes információk felhasználási céljával kapcsolatos feladatok megfelelő végrehajtását az említett feladatok jellege miatt” (a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény 38. cikke). Amikor a kivételek hatálya alá tartozó információk könnyen kiválogathatók és kizárhatók, a közigazgatási szervek ugyanakkor kötelesek legalább részben közzétenni az információkat (lásd például a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény 15. cikkének (1) bekezdését) (140).
                  
               
                     (167)
                  
                  
                     Mindenesetre a közigazgatási szervnek egy bizonyos időszakon belül (30 nap, ami bizonyos feltételek mellett további 30 nappal meghosszabbítható) írásbeli határozatot kell hoznia. A kérelem visszautasítása, vagy részleges visszautasítása esetén, vagy ha az érintett személy egyéb okokból „jogellenesnek vagy megalapozatlannak” tekinti a közigazgatási szerv eljárását, az adott személy közigazgatási panaszt tehet a közigazgatási panaszok felülvizsgálatáról szóló törvény alapján (141). Ilyen esetben a fellebbezés tárgyában határozatot hozó közigazgatási szerv vezetőjének konzultálnia kell az információk közzétételének és a személyes információk védelmének felülvizsgálatával foglalkozó testülettel (a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény 42. és 43. cikke), egy független testülettel, amelynek tagjait a miniszterelnök nevezi ki a parlament mindkét házának a hozzájárulásával. A kapott információk alapján a felülvizsgálati testület vizsgálatot végezhet (142), és ebben a tekintetben kérheti a közigazgatási szervtől a megőrzött személyes információk közzétételét, beleértve a titkosított információkat, valamint további információk és dokumentumok rendelkezésre bocsátását. Habár a panaszosnak és a közigazgatási szervnek elküldött és közzétett végleges jelentés jogilag nem kötelező érvényű, szinte minden esetben sor kerül az abban foglaltak követésére (143). Továbbá, az érintett személynek a közigazgatási peres ügyekről szóló törvény alapján lehetősége van a bíróságon fellebbezni a fellebbezési határozat ellen. Ez lehetővé teszi a nemzetbiztonsági kivétel(ek) használata feletti igazságügyi ellenőrzést, beleértve azt, hogy történt-e visszaélés az ilyen kivételekkel kapcsolatban, illetve továbbra is indokoltak-e.
                  
               
                     (168)
                  
                  
                     A közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény értelmében vett fenti jogok gyakorlásának elősegítése érdekében a Belügyi- és Kommunikációs Minisztérium 51 „átfogó információs központot” hozott létre, amely konszolidált információkat nyújt ezekről a jogokról, a kérések esetén alkalmazandó eljárásokról és a lehetséges jogorvoslati megoldásokról (144). Ami közigazgatási szerveket illeti, azok kötelesek rendelkezésre bocsátani „az olyan információkat, amelyek hozzájárulnak a megőrzött személyes információk meghatározásához” (145) és kötelesek megtenni „egyéb megfelelő intézkedéseket annak a személynek a támogatása érdekében, aki be kívánja nyújtani a kérést” (a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény 47. cikkének (1) bekezdése).
                  
               
                     (169)
                  
                  
                     A bűnüldözési nyomozáshoz hasonlóan az érintett személyek a nemzetbiztonsági nyomozásokat illetően is részesülhetnek egyéni jogorvoslatban, ha közvetlenül felveszik a kapcsolatot a személyes információk védelmével foglalkozó bizottsággal. Ez különleges vitarendezési eljáráshoz vezet, amelyet a japán kormány olyan uniós személyek vonatkozásában dolgozott ki, akiknek személyes adatai e határozat értelmében kerülnek továbbításra (lásd a részletes magyarázatot a (141)–(144) és a (149) preambulumbekezdésben).
                  
               
                     (170)
                  
                  
                     Ezen túlmenően az érintett személyek bírósági jogorvoslatot kérhetnek kártérítési kereset formájában az állami jogorvoslatról szóló törvény értelmében, amely az erkölcsi kárra, illetve bizonyos feltételek mellett az összegyűjtött adatok törlésére is kiterjed (lásd a (147) preambulumbekezdést).
                  
               4.   KÖVETKEZTETÉS: AZ EURÓPAI UNIÓBÓL A JAPÁN GAZDASÁGI SZEREPLŐKNEK TOVÁBBÍTOTT SZEMÉLYES ADATOK VÉDELMÉNEK MEGFELELŐ SZINTJE
         
         
                     (171)
                  
                  
                     A Bizottság úgy véli, hogy a személyes információk védelméről szóló, az I. mellékletben található kiegészítő szabályokkal kiegészített törvény és a II. mellékletben található hivatalos nyilatkozatok, biztosítékok és kötelezettségvállalások lényegében az (EU) 2016/679 rendeletben garantált védelemmel megegyező mértékben biztosítják az Európai Unióból továbbított személyes adatok védelmét.
                  
               
                     (172)
                  
                  
                     A Bizottság ezenfelül úgy ítéli meg, hogy a japán jogban létező felügyeleti mechanizmusok és jogorvoslati megoldások összességében véve lehetővé teszik, hogy a gyakorlatban azonosítsák és szankcionálják, ha a személyes információkat kezelő gazdasági szereplők jogsértést követnek el, továbbá jogorvoslatot biztosítanak az érintetteknek, hogy betekinthessenek a rájuk vonatkozó személyes adatokba, és esetleg helyesbíttessék vagy töröltessék ezeket az adatokat.
                  
               
                     (173)
                  
                  
                     Végezetül, a japán jogrenddel kapcsolatban elérhető információk alapján, beleértve a II. mellékletben található, a japán kormánytól származó hivatalos nyilatkozatokat, biztosítékokat és kötelezettségvállalásokat, a Bizottság úgy ítéli meg, hogy az olyan egyének alapvető jogaiba való beavatkozás, akiknek személyes adatait a japán közigazgatási szervek közérdekű, különösen bűnüldözési és nemzetbiztonsági célokból az Európai Unióból Japánba továbbítják, szigorúan a szóban forgó jogszerű célkitűzés eléréséhez szükséges mértékre korlátozódik, és hatékony jogvédelem áll rendelkezésre ilyen beavatkozás esetén.
                  
               
                     (174)
                  
                  
                     Ezért e határozat megállapításai alapján a Bizottság úgy ítéli meg, hogy Japán megfelelő szintű védelmet biztosít az Európai Unióból a személyes információkat kezelő japán, a személyes információk védelméről szóló törvény hatálya alá tartozó gazdasági szereplőknek továbbított személyes adatok esetében, kivéve azokat az eseteket, amikor az adatátvevő a személyes információk védelméről szóló törvény 76. cikkének (1) bekezdésében felsorolt egyik kategóriába esik vagy az adatkezelés valamennyi célja vagy egyes céljai megfelel(nek) az abban a rendelkezésben ismertetett valamely célnak.
                  
               
                     (175)
                  
                  
                     Ennek alapján a Bizottság megállapítja, hogy teljesül az (EU) 2016/679 rendelet 45. cikkében szereplő, az Európai Unió alapjogi chartája alapján, különösen a Schrems-ügyben (146) hozott ítéletben értelmezett megfelelőségi előírás.
                  
               5.   AZ ADATVÉDELMI HATÓSÁGOK FELLÉPÉSE ÉS A BIZOTTSÁGNAK NYÚJTOTT TÁJÉKOZTATÁS
         
         
                     (176)
                  
                  
                     A Bíróság ítélkezési gyakorlata (147) alapján és az (EU) 2016/679 rendelet 45. cikkének (4) bekezdésében elismerteknek megfelelően a Bizottság folyamatosan figyelemmel kíséri a harmadik országokban egy megfelelőségi határozat elfogadását követő kapcsolódó fejleményeket, hogy értékelje, hogy Japán továbbra is biztosítja-e a védelem lényegében megegyező szintjét. Ezen vizsgálat mindenképpen szükséges azokban az esetekben, amikor a Bizottság által kapott információk alapján indokolt kétségek merülhetnek fel e tekintetben.
                  
               
                     (177)
                  
                  
                     A Bizottság ezért folyamatosan nyomon követi a helyzetet az ebben a határozatban értékelt adatkezelés jogi keretének és mindenkori gyakorlatának vonatkozásában, beleértve a japán hatóságok általi, a II. mellékletben szereplő nyilatkozatoknak, biztosítékoknak és kötelezettségvállalásoknak való megfelelést. E folyamat elősegítése érdekében a japán hatóságok felé elvárás, hogy tájékoztassák a Bizottságot az ezzel a határozattal kapcsolatos érdemi fejleményekről mind a személyes adatok gazdasági szereplők általi kezelését, mind a közigazgatási szervek személyes adatokhoz való hozzáférésének korlátozásait és biztosítékait illetően. Ennek ki kell terjednie a személyes információk védelmével foglalkozó bizottság azon határozataira, amelyek a személyes információk védelméről szóló törvény 24. cikke értelmében valamely harmadik országot a japán védelemmel egyenértékű védelmet biztosító országként ismernek el.
                  
               
                     (178)
                  
                  
                     Továbbá, annak lehetővé tétele érdekében, hogy a Bizottság hatékonyan lássa el nyomonkövetési feladatát, a tagállamoknak tájékoztatniuk kell a Bizottságot a nemzeti adatvédelmi hatóságok minden vonatkozó lépéséről, különösen az uniós érintetteknek az Európai Unióból a japán gazdasági szereplők felé történő adattovábbítással kapcsolatos kérései vagy panaszai tekintetében. A Bizottságot továbbá tájékoztatni kell minden arra utaló információról, hogy a bűnügyek megelőzéséért, nyomozásáért, felderítéséért vagy a vádemelésért, illetve a nemzetbiztonságért felelős japán közigazgatási szervek intézkedései nem biztosítják a megfelelő szintű védelmet.
                  
               
                     (179)
                  
                  
                     A tagállamok és szerveik kötelesek megtenni az ahhoz szükséges intézkedéseket, hogy teljesítsék az uniós intézmények jogi aktusait, mivel az utóbbiak vélelmezhetően jogszerűek, és ennélfogva mindaddig joghatásokat váltanak ki, amíg azokat vissza nem vonják, megsemmisítés iránti kereset alapján meg nem semmisítik, illetve előzetes döntéshozatal iránti kérelem vagy jogellenességi kifogás következtében nem nyilvánítják érvénytelennek. Következésképpen a Bizottságnak az (EU) 2016/679 rendelet 45. cikkének (3) bekezdése alapján elfogadott megfelelőségi határozata kötelező a címzett tagállamok valamennyi szervére, így a független felügyeleti hatóságokra nézve is. Ugyanakkor, ahogy a Bíróság a Schrems-ügyben hozott ítéletében (148) kifejtette, és azt a rendelet 58. cikkének (5) bekezdése elismeri, ha az adatvédelmi hatóság többek között egy panasz alapján kétségbe vonja a Bizottság megfelelőségi határozatának a magánélet szabadságához és az adatvédelemhez fűződő alapvető joggal való összhangját, a nemzeti jognak jogorvoslatot kell biztosítania ahhoz, hogy e kifogásokat a nemzeti bíróság elé terjesszék, amelynek kétség esetén fel kell függesztenie az eljárást és előzetes döntéshozatal iránti kérelemmel kell fordulnia a Bírósághoz (149).
                  
               6.   A MEGFELELŐSÉGI MEGÁLLAPÍTÁS IDŐSZAKOS FELÜLVIZSGÁLATA
         
         
                     (180)
                  
                  
                     Az (EU) 2016/679 rendelet 45. cikke (3) bekezdésének (150) alkalmazásában, valamint tekintettel arra, hogy a japán jogrend által biztosított védelem szintje megváltozhat, a Bizottság e határozat elfogadását követően rendszeresen ellenőrzi, hogy a Japán által biztosított védelem szintjének megfelelőségére vonatkozó megállapítások továbbra is ténybeliek és jogilag indokoltak-e.
                  
               
                     (181)
                  
                  
                     Ebből a célból ezt a határozatot először a hatálybalépését követő két éven belül kell felülvizsgálni. Az első felülvizsgálatot követően és annak eredményétől függően a Bizottság az általános adatvédelmi rendelet 93. cikkének (1) bekezdése alapján létrehozott bizottsággal szorosan egyeztetve dönt arról, hogy fenn kell-e tartani a kétéves ciklust. A későbbi felülvizsgálatokat azonban legalább négyévente el kell végezni (151). A felülvizsgálat kiterjed e határozat működésének valamennyi szempontjára, különösen a kiegészítő szabályok alkalmazására (különös tekintettel az újbóli adattovábbítás esetében biztosított védelemre), a hozzájárulási szabály alkalmazására, beleértve a visszavonás esetét, a személyhez fűződő jogok érvényesítésének hatékonyságára, valamint a kormányzati hozzáféréssel kapcsolatos korlátozásokra és biztosítékokra, beleértve az e határozat II. mellékletében meghatározott jogorvoslati mechanizmust. Ki kell terjednie továbbá a felügyelet és a jogérvényesítés hatékonyságára a személyes információkat kezelő mindkét gazdasági szereplőre vonatkozó szabályok tekintetében, valamint a büntetőjogi jogérvényesítés és a nemzetbiztonság terén.
                  
               
                     (182)
                  
                  
                     A felülvizsgálat elvégzéséhez a Bizottság találkozik a személyes információk védelmével foglalkozó bizottsággal, adott esetben a kormányzati hozzáférésért felelős egyéb japán hatóságokkal együtt, beleértve az érintett felügyeleti szerveket. E találkozón részt vehetnek az Európai Adatvédelmi Testület tagjainak képviselői. A közös felülvizsgálat keretében a Bizottságnak fel kell kérnie a személyes információk védelmével foglalkozó bizottságot, hogy nyújtson átfogó tájékoztatást a megfelelőség megállapításának valamennyi lényeges szempontjával kapcsolatban, beleértve a kormányzati hozzáférésre vonatkozó korlátozásokat és biztosítékokat (152). A Bizottságnak emellett magyarázatot kell keresnie az e határozat vonatkozásában kapott releváns információkkal kapcsolatban, beleértve a japán hatóságok vagy egyéb japán érdekeltek, az Európai Adatvédelmi Testület, az egyes adatvédelmi hatóságok és a civil társadalmi csoportok általi nyilvános jelentéseket, a médiajelentéseket vagy egyéb elérhető információforrásokat.
                  
               
                     (183)
                  
                  
                     A közös felülvizsgálat alapján a Bizottság az Európai Parlamentnek és a Tanácsnak benyújtandó nyilvános jelentést készít.
                  
               7.   A MEGFELELŐSÉGI HATÁROZAT FELFÜGGESZTÉSE
         
         
                     (184)
                  
                  
                     Azokban az esetekben, amikor a rendszeres és ad hoc ellenőrzések és egyéb elérhető információk alapján a Bizottság megállapítja, hogy a japán jogrend által biztosított védelem szintje már nem tekinthető lényegében az Európai Unióban biztosított védelem szintjével megegyezőnek, a Bizottság tájékoztatja erről az illetékes japán hatóságokat, és kéri a megfelelő intézkedések meghatározott, észszerű határidőn belüli meghozatalát. Egyaránt idetartoznak a gazdasági szereplőkre és a bűnüldözéssel vagy nemzetbiztonsággal foglalkozó japán közigazgatási szervekre vonatkozó szabályok. Ilyen eljárást lehetne indítani például azokban az esetekben, amikor a védelem folyamatosságát szavatoló biztosítékok mellett már nem végezhető újbóli adattovábbítás, beleértve a személyes információk védelmével foglalkozó bizottság azon határozatain alapuló továbbításokat is, amelyek a személyes információk védelméről szóló törvény 24. cikke értelmében valamely harmadik országot az általános adatvédelmi rendelet 44. cikke értelmében a japán védelemmel egyenértékű védelmet biztosító országként ismernek el.
                  
               
                     (185)
                  
                  
                     Ha a meghatározott időszak lejártát követően az illetékes japán hatóságok nem bizonyítják kielégítő módon, hogy ez a határozat továbbra is a megfelelő szintű védelmen alapul, a Bizottság az (EU) 2016/679 rendelet 45. cikkének (5) bekezdése alkalmazásában eljárást kezdeményez, amely e határozat részleges vagy teljes felfüggesztéséhez vagy visszavonásához vezet. Ennek alternatívájaként a Bizottságnak kezdeményeznie kell az e határozat különösen oly módon történő módosítására irányuló eljárás, hogy a megfelelőség megállapításának hatályát csupán a további feltételeknek megfelelő adattovábbításra vagy azokra az adattovábbításokra korlátozza, amelyek esetében biztosított az általános adatvédelmi rendelet 44. cikke értelmében vett védelem folyamatossága.
                  
               
                     (186)
                  
                  
                     A Bizottság kezdeményezi a felfüggesztési vagy visszavonási eljárást különösen arra utaló körülmények esetében, hogy az e határozat értelmében személyes adatokat átvevő gazdasági szereplők nem tartják be az I. mellékletben szereplő kiegészítő szabályokat és/vagy nem hajtják végre hatékonyan azokat, vagy a japán hatóságok nem tesznek eleget az e határozat II. mellékletében szereplő nyilatkozatoknak, biztosítékoknak és kötelezettségvállalásoknak.
                  
               
                     (187)
                  
                  
                     A Bizottságnak emellett meg kell vizsgálnia az olyan eljárás kezdeményezésének lehetőségét, amely e határozat módosításához, felfüggesztéséhez vagy visszavonásához vezet, ha a közös felülvizsgálat összefüggésében vagy más módon az illetékes japán hatóságok nem adják át az Európai Unióból Japánba továbbított személyes adatok védelmének szintje vagy az e határozatnak való megfelelés értékeléséhez szükséges információkat vagy nem adnak erre vonatkozó magyarázatokat. Ebben a tekintetben a Bizottságnak figyelembe kell vennie, hogy milyen mértékben szerezhető be más forrásokból a vonatkozó információ.
                  
               
                     (188)
                  
                  
                     Kellően indokolt sürgős esetekben, mint amilyen például az érintettek jogai súlyos megsértésének kockázata, a Bizottság olyan határozat elfogadását mérlegelheti az (EU) 2016/679 rendelet 93. cikkének a 182/2011/EU európai parlamenti és tanácsi rendelet (153) 8. cikkével együtt értelmezett (3) bekezdése értelmében, amely felfüggeszti vagy visszavonja ezt a határozatot.
                  
               8.   ZÁRÓ MEGÁLLAPÍTÁSOK
         
         
                     (189)
                  
                  
                     Az Európai Adatvédelmi Testület közzétette véleményét (154), amely e határozat kidolgozásakor figyelembevételre került.
                  
               
                     (190)
                  
                  
                     Az Európai Parlament a digitális kereskedelmi stratégiáról szóló állásfoglalást fogadott el, amely felszólítja a Bizottságot a megfelelőségi határozatok fontos kereskedelmi partnerekkel való elfogadásának előre sorolására és felgyorsítására az (EU) 2016/679 rendeletben meghatározott feltételeknek megfelelően, ami az Európai Unióból származó személyes adatok továbbításának biztosítására szolgáló fontos mechanizmus (155). Az Európai Parlament állásfoglalást fogadott el a személyes adatok Japán által biztosított védelmének megfelelőségéről is (156).
                  
               
                     (191)
                  
                  
                     Az e határozatban előírt intézkedések összhangban állnak az általános adatvédelmi rendelet 93. cikkének (1) bekezdése alapján létrehozott bizottság véleményével.
                  
               ELFOGADTA EZT A HATÁROZATOT:
         
            1. cikk
            
               (1)   Az (EU) 2016/679 rendelet 45. cikkének alkalmazásában Japán biztosítja az Európai Unióból a személyes adatokat kezelő japán gazdasági szereplőknek továbbított, a személyes információk védelméről szóló, az I. mellékletben található kiegészítő szabályokkal kiegészített törvény és a II. mellékletben szereplő hivatalos nyilatkozatok, biztosítékok és kötelezettségvállalások hatálya alá tartozó személyes adatok megfelelő szintű védelmét.
            
            
               (2)   Ez a határozat nem vonatkozik az alábbi kategóriák valamelyikébe tartozó adatátvevőknek továbbított személyes adatokra, és a személyes adatok kezelésére, amennyiben annak céljai részben vagy egészben megfelelnek a felsorolt célok valamelyikének:
               
                           a)
                        
                        
                           műsorszórók, lapkiadók, kommunikációs ügynökségek vagy egyéb sajtóügynökségek (beleértve a sajtótevékenységeket végző magánszemélyeket), amennyiben sajtócélokra kezelnek személyes adatokat;
                        
                     
                           b)
                        
                        
                           hivatásos írók, amennyiben tevékenységük személyes adatok kezelésével jár;
                        
                     
                           c)
                        
                        
                           egyetemek és egyéb, felsőfokú tanulmányokkal kapcsolatos szervezetek vagy csoportok, vagy ilyen szervezetekhez vagy csoporthoz tartozó személyek, amennyiben a felsőfokú tanulmányok céljából személyes adatokat kezelnek;
                        
                     
                           d)
                        
                        
                           vallási szervezetek, amennyiben vallási tevékenységek (beleértve valamennyi kapcsolódó tevékenységet) céljából személyes adatokat kezelnek; valamint
                        
                     
                           e)
                        
                        
                           politikai szervezetek, amennyiben politikai tevékenységük (beleértve valamennyi kapcsolódó tevékenységet) céljából személyes adatokat kezelnek.
                        
                     
         
         
            2. cikk
            Az érintett tagállam haladéktalanul tájékoztatja a Bizottságot, amikor a személyes adataik kezelése tekintetében az egyének védelme érdekében a tagállam illetékes hatóságai gyakorolják az (EU) 2016/679 rendelet 58. cikke értelmében vett hatáskörüket, és ennek következében felfüggesztik vagy véglegesen megtiltják az 1. cikkben meghatározott hatályon belül a konkrét japán gazdasági szereplők felé történő adatáramlást.
         
         
            3. cikk
            
               (1)   A Bizottság folyamatosan figyelemmel kíséri az e határozat alapját képező jogi keret alkalmazását – ideértve az újbóli adattovábbítások lebonyolításának feltételeit – annak értékelése céljából, hogy Japán az 1. cikk értelmében továbbra is megfelelő szintű védelmet biztosít-e.
            
            
               (2)   A tagállamok és a Bizottság tájékoztatják egymást az olyan esetekről, amikor a személyes információk védelmével foglalkozó bizottság vagy bármely egyéb illetékes japán hatóság nem biztosítja az e határozat alapjául szolgáló jogi keretnek való megfelelést.
            
            
               (3)   A tagállamok és a Bizottság tájékoztatják egymást bármely arra utaló körülményről, hogy a japán hatóságoknak az egyének személyes adataik védelméhez fűződő jogába történő beavatkozása túllépi a feltétlenül szükséges mértéket vagy nem létezik hatékony jogvédelem az ilyen beavatkozásokkal szemben.
            
            
               (4)   A Bizottság az ezen határozatról a tagállamoknak küldött értesítés időpontjától számított két éven belül és azt követően legalább négyévente értékeli az 1. cikk (1) bekezdésében foglalt megállapítást valamennyi rendelkezésre álló információ alapján, ideértve az érintett japán hatóságokkal együtt elvégzett közös felülvizsgálat részeként kapott információkat.
            
            
               (5)   Ha a Bizottság arra utaló körülményről szerez tudomást, hogy már nem biztosított a védelem megfelelő szintje, a Bizottság tájékoztatja erről az illetékes japán hatóságokat. Szükség esetén úgy határozhat, hogy felfüggeszti, módosítja vagy hatályon kívül helyezi ezt a határozatot, vagy korlátozza a hatályát, különösen az alábbiakra utaló körülmények esetén:
               
                           a)
                        
                        
                           azok a japán gazdasági szereplők, amelyek e határozat értelmében személyes adatokat vettek át az Európai Unióból, nem felelnek meg az e határozat I. mellékletében szereplő kiegészítő szabályokban meghatározott kiegészítő biztosítékoknak, vagy e tekintetben nem megfelelő a felügyelet és a végrehajtás;
                        
                     
                           b)
                        
                        
                           a japán hatóságok nem felelnek meg az e határozat II. mellékletében szereplő nyilatkozatoknak, biztosítékoknak és kötelezettségvállalásoknak, többek között az e határozat értelmében a japán hatóságok által a bűnüldözési vagy nemzetbiztonsági célokból továbbított személyes adatok összegyűjtésére és az ilyen adatokhoz való hozzáférésre vonatkozó feltételek és korlátozások tekintetében.
                        
                     A Bizottság emellett ilyen intézkedéstervezeteket terjeszthet elő, ha a japán kormány együttműködésének hiánya miatt nem tudja megállapítani, hogy befolyásolja-e az e határozat 1. cikkének (1) bekezdésében szereplő megállapítást.
            
         
         
            4. cikk
            Ennek a határozatnak a tagállamok a címzettjei.
         
         
            Kelt Brüsszelben, 2019. január 23-án.
            
               
                  a Bizottság részéről
               
               Věra JOUROVÁ
               
                  a Bizottság tagja
               
            
         
         
            (1)  HL L 119., 2016.5.4., 1. o.
         
         
            (2)  A C-362/14. sz., Maximillian Schrems kontra adatvédelmi biztos ügyben („Schrems-ügy”) hozott ítélet (EU:C:2015:650), 73. pont.
         
            (3)  Schrems-ügy, 74. pont.
         
            (4)  Lásd „A személyes adatok cseréje és védelme a globalizált világban” című, az Európai Parlamentnek és a Tanácsnak címzett bizottsági közleményt (COM(2017) 7), 2017.1.10.), 3.1. szakasz, 6–7. o.
         
            (5)  A személyes információk védelméről szóló törvény (a 2003. évi 57. számú törvény).
         
            (6)  A személyes információk védelmével foglalkozó bizottsággal kapcsolatban további információk a következő internetes oldalon érhetők el: https://www.ppc.go.jp/en/ (beleértve a kapcsolatfelvételi adatokat kérdések és panasz esetén: https://www.ppc.go.jp/en/contactus/access/).
         
            (7)  Ez a határozat EGT-vonatkozású. Az Európai Gazdasági Térségről szóló megállapodás (EGT-megállapodás) kiterjeszti az Európai Unió belső piacát a három EGT-államra: Izlandra, Liechtensteinre és Norvégiára. Az EGT Vegyes Bizottság 2018. július 6-án elfogadta az (EU) 2016/679 rendeletet az EGT-megállapodás XI. mellékletébe beillesztő vegyes bizottsági határozatot, amely 2018. július 20-án lépett hatályba. E rendelet ezért az említett megállapodás hatálya alá tartozik.
         
            (8)  A Legfelsőbb Bíróság Nagytanácsának 1969. december 24-i ítélete a Keishu-ügyben, 23. kötet, 12. szám, 1625. o.
         
            (9)  A 2008. március 6-án hozott legfelsőbb bírósági ítélet, Minshu, 62. kötet, 3. szám, 665. o.
         
            (10)  A 2008. március 6-án hozott legfelsőbb bírósági ítélet, Minshu, 62. kötet, 3. szám, 665. o.
         
            (11)  Elérhető a következő internetes oldalon: https://www.ppc.go.jp/files/pdf/PPC_rules.pdf
         
            (12)  Lásd a kiegészítő szabályokat, (bevezető szakasz).
         
            (13)  Ezt nem kérdőjelezi meg az az általános követelmény, hogy (csupán) bizonyos ideig szabad nyilvántartást vezetni. Noha a személyes információk védelméről szóló törvény 26. cikkének (1) bekezdése értelmében az adatok eredete az egyik olyan információ, amelyet az azokat megszerző, személyes információkat kezelő gazdasági szereplőnek meg kell erősítenie, a személyes információk védelméről szóló törvénynek a személyes információk védelmével foglalkozó bizottság szabályzatának 18. cikkével összefüggésben értelmezett 26. cikkének (4) bekezdése szerinti követelmény kizárólag a nyilvántartás egy konkrét formájára vonatkozik (lásd a személyes információk védelmével foglalkozó bizottság szabályzatának 16. cikkét), és nem akadályozza a személyes információkat kezelő gazdasági szereplőt abban, hogy hosszabb időszakra biztosítsa az adatok azonosítását. Ezt a személyes információk védelmével foglalkozó bizottság is megerősítette, kimondva, hogy „[a] személyes információkat kezelő gazdasági szereplőnek mindaddig meg kell őriznie az uniós adatok eredetére vonatkozó információkat, amíg az a kiegészítő szabályoknak való megfeleléshez szükséges”.
         
            (14)  A személyes információk védelmével foglalkozó bizottság, Kérdések és válaszok, 2017. február 16. (módosítva: 2017. május 30.); a dokumentum elérhető az alábbi linken: https://www.ppc.go.jp/files/pdf/kojouhouQA.pdf. A kérdések és válaszok több, az iránymutatásban szereplő kérdésre kitérnek, és gyakorlati példákat hoznak például azzal kapcsolatban, hogy mi minősül különleges személyes adatnak, hogyan értelmezendő az egyéni hozzájárulás, mi a harmadik felek általi adattovábbítás a felhőalapú számítástechnika összefüggésében, illetve milyen nyilvántartási kötelezettség vonatkozik a határon átnyúló adattovábbításra. A kérdések és válaszok csak japán nyelven érhetők el.
         
            (15)  Egy konkrét kérdést követően a személyes információk védelmével foglalkozó bizottság arról tájékoztatta az Európai Adatvédelmi Testületet, hogy „a japán bíróságok az iránymutatásra alapozzák értelmezés[ük]et, amikor az eléjük terjesztett egyedi ügyekben a személyes információk védelméről szóló törvényt/a személyes információk védelmével foglalkozó bizottság szabályzatát alkalmazzák, így ítéleteikben közvetlenül hivatkoznak a személyes információk védelmével foglalkozó bizottság iránymutatásának szövegére. Tehát ebből a szempontból a személyes információk védelmével foglalkozó bizottság iránymutatása is jogilag kötelező a gazdasági szereplőkre nézve. A személyes információk védelmével foglalkozó bizottság nem tud arról, hogy a Bíróság valaha eltért volna az iránymutatástól.” E tekintetben a személyes információk védelmével foglalkozó bizottság felhívta a Bizottság figyelmét egy adatvédelmi ítéletre, amelyben a bíróság kifejezetten az iránymutatásra alapozta a megállapításait (lásd az Oszakai Kerületi Bíróság 2006. május 19-én hozott ítéletét [Hanrei Jiho, 1948. kötet, 122. o.], amelyben a bíróság kimondta, hogy a gazdasági szereplő köteles biztonsági ellenőrzési intézkedéseket tenni ilyen iránymutatás alapján).
         
            (16)  A személyes információk védelmével foglalkozó bizottság iránymutatása (általános szabályok kiadás), 6. o.
         
            (17)  Ez bármely elektronikus nyilvántartó rendszerre kiterjed. A személyes információk védelmével foglalkozó bizottság iránymutatása (általános szabályok kiadás, 17. o.) konkrét példákat nyújt ebben a tekintetében, például az e-mail kliensszoftverben tárolt e-mail-cím-lista.
         
            (18)  A személyes információk védelméről szóló törvény 2. cikkének (4) és (6) bekezdése.
         
            (19)  Például a személyes információk védelméről szóló törvény 23. cikke a személyes adatok harmadik felekkel való megosztásának feltételeiről.
         
            (20)  Személyes adatok i. „amelyekkel kapcsolatban fennáll annak lehetősége, hogy amennyiben az említett személyes adatok megléte vagy hiánya ismertté válik, az veszélyeztetné az érintett vagy egy harmadik fél életét, testi épségét vagy anyagi javait”; ii. olyan adatok, „amelyekkel kapcsolatban fennáll annak lehetősége, hogy amennyiben az említett személyes adatok megléte vagy hiánya ismertté válik, az jogellenes vagy igazságtalan cselekedetre ösztönözne”; iii) olyan adatok, „amelyekkel kapcsolatban fennáll annak lehetősége, hogy amennyiben az említett személyes adatok megléte vagy hiánya ismertté válik, az veszélyeztetné a nemzetbiztonságot, megszüntetné a bizalmi kapcsolatot egy idegen országgal vagy nemzetközi szervezettel, vagy hátrányos lenne egy idegen országgal vagy nemzetközi szervezettel folytatott tárgyalásokra”; és iv) olyan adatok, „amelyekkel kapcsolatban fennáll annak lehetősége, hogy amennyiben az említett személyes adatok megléte vagy hiánya ismertté válik, az akadályozná a közbiztonság és közrend fenntartását, például a bűncselekmények megelőzését, leküzdését vagy a bűncselekményekkel kapcsolatos nyomozást”.
         
            (21)  E feltételek keretei között nem szükséges az egyént értesíteni. Ez megfelel az általános adatvédelmi rendelet 23. cikke (2) bekezdése h) pontjának, amely úgy rendelkezik, hogy az érintetteket nem kell tájékoztatni a korlátozásról, ha ez „hátrányosan befolyásolhatja a korlátozás célját”.
         
            (22)  Lásd az (EU) 2016/679 rendelet (26) preambulumbekezdését.
         
            (23)  A személyes információk védelmével foglalkozó bizottság iránymutatása (általános szabályok kiadás), 18. o.
         
            (24)  Az egyéb szereplők vonatkozásában a személyes információk védelmével foglalkozó bizottság vizsgálati és jogérvényesítési jogköre gyakorlása során soha nem akadályozhatja, hogy éljenek a véleménynyilvánítás szabadságának, az oktatás szabadságának, a vallásszabadság és a politikai tevékenységek szabadságának jogával (a személyes információk védelméről szóló törvény 43. cikkének (1) bekezdése).
         
            (25)  Amint a személyes információk védelmével foglalkozó bizottság kifejtette, a hozzájárulás a személyes információk védelmével foglalkozó bizottság iránymutatásának értelmezése szerint „az érintett arra vonatkozó szándékának kifejezése, miszerint elfogadja, hogy személyes információi kezelhetők a személyes információkat kezelő gazdasági szereplő által jelzett módszerrel” A személyes információk védelmével foglalkozó bizottság iránymutatása (általános szabályok kiadás, 24. o.) felsorolja azokat a hozzájárulási módokat, amelyek „Japánban szokásos üzleti gyakorlatnak” tekinthetők, vagyis a szóbeli beleegyezést, a formanyomtatványok és egyéb dokumentumok visszaküldését, az e-mailben történő beleegyezést, egy négyzet bejelölését egy weboldalon, kattintást valamely honlapra, a hozzájárulás gomb használatát, az érintőpanel megérintését, stb. Mindezek a módszerek kifejezett hozzájárulási formának minősülnek.
         
            (26)  A személyes információk védelmével foglalkozó bizottság által kiadott kérdések és válaszok példákat tartalmaznak e fogalom illusztrálására. Az észszerűen releváns mértékű módosítással járó helyzetek közé tartozik például mindenekelőtt a kereskedelmi ügyletek összefüggésében az áruk vagy szolgáltatások vásárlóitól származó személyes információk felhasználása abból a célból, hogy tájékoztassák ezeket a vásárlókat egyéb releváns és elérhető árukról vagy szolgáltatásokról (például egy fitneszklub üzemeltetője, aki nyilvántartást vezet a tagok e-mail-címéről, hogy tájékoztassa őket az órákról és programokról). Ugyanakkor a kérdések és válaszok példát is tartalmaznak egy olyan helyzet formájában, amikor a felhasználási cél megváltoztatása nem megengedett, nevezetesen ha egy cég tájékoztatást küld az általa kínált árukról és szolgáltatásokról olyan e-mail-címekre, amelyeket azért gyűjtött, hogy figyelmeztessen a tagsági kártyával kapcsolatos csalásokra vagy lopásokra.
         
            (27)  Ezek a mentességek más törvényekből és rendeletekből származhatnak, vagy olyan helyzeteket érinthetnek, amikor szükség van a személyes információk kezelésére i. „az emberi élet, a testi épség vagy a tulajdon védelme” érdekében; ii. „a közhigiénia javítása vagy az egészséges gyermekek növekedésének elősegítése” érdekében; vagy iii. a jogszabályban előírt feladataik ellátása során „a kormányzati ügynökségekkel vagy szervekkel vagy azok képviselőivel való együttműködés érdekében”. Továbbá az i. és ii. kategória csak akkor alkalmazandó, ha nehéz megszerezni az érintett hozzájárulását, a iii. kategória pedig csak akkor, ha fennáll annak kockázata, hogy az érintett hozzájárulásának megszerzése akadályozná az ilyen feladatok ellátását.
         
            (28)  A személyes információk védelméről szóló törvény 23. cikkének (1) bekezdése alapján főszabály szerint az érintett személy hozzájárulása szükséges az adatok harmadik félnek történő átadásához. Az érintett személy így bizonyos fokú ellenőrzést gyakorolhat az adatai más gazdasági szereplő általi felhasználása felett.
         
            (29)  A személyes információk védelméről szóló törvény 15. cikkének (1) bekezdése szerint ennek a „lehető legkonkrétabbnak” kell lennie.
         
            (30)  A személyes információk védelméről szóló törvény 18. cikkének (1) bekezdése.
         
            (31)  Bár a 23. cikk alkalmazásában (lásd az (5) bekezdést) a megbízottakat kizárták a „harmadik fél” fogalmából, ez a kizárás csak abban az esetben alkalmazandó, ha a megbízott a megbízás korlátain belül kezeli a személyes adatokat („a felhasználási cél eléréséhez szükséges mértékben”), vagyis adatfeldolgozóként jár el.
         
            (32)  Az egyéb (kivételes) okok az alábbiak: i. személyes információk szolgáltatása „törvények és rendeletek alapján”; ii. olyan esetek, „amikor meg kell védeni az emberi életet, a testi épséget vagy a tulajdont, és nehéz megszerezni az érintett hozzájárulását”; iii. olyan esetek, „amikor különösen szükséges a közhigiénia javítása vagy az egészséges gyermekek nevelésének előmozdítása, és nehéz megszerezni az érintett hozzájárulását”; és iv) olyan esetek, „amikor együttműködésre van szükség egy központi kormányzati szervezet vagy önkormányzat, illetve az általuk megbízott, a törvények és rendeletek által meghatározott feladatokat ellátó személy vonatkozásában, és amikor fennáll annak lehetősége, hogy az érintett hozzájárulásának megszerzése akadályozná az említett feladatok ellátását”.
         
            (33)  A szolgáltatandó információk közé tartoznak mindenekelőtt a harmadik féllel megosztandó személyes adatok kategóriái és az adattovábbítás módja. A személyes információkat kezelő gazdasági szereplőnek továbbá tájékoztatnia kell az érintettet arról, hogy kifogással élhet az adattovábbítás ellen, illetve arról, hogyan nyújtható be ilyen kérelem.
         
            (34)  A személyes információk védelméről szóló törvény 26. cikke (1) bekezdésének ii. pontja szerint a személyes információkat kezelő gazdasági szereplőnek a harmadik féltől származó személyes adatok átvételekor „meg kell erősítenie” (hitelesítenie kell) „a személyes adatok harmadik fél általi megszerzésének részleteit”, beleértve az adatok megszerzésének célját. A 26. cikk nem határozza meg egyértelműen, hogy a személyes információkat kezelő gazdasági szereplőnek ezután ennek a célnak megfelelően kell eljárnia, de a harmadik kiegészítő szabály ezt kifejezetten előírja.
         
            (35)  A személyes információk védelmével foglalkozó bizottság iránymutatása (általános szabályok kiadás), 41. o. és 86–98. o.
         
            (36)  A személyes információk védelmével foglalkozó bizottság iránymutatásának 3-3-2. szakasza szerint az adatok kiszivárgása, károsodása vagy elvesztése esetén a személyes információkat kezelő gazdasági szereplőnek el kell végeznie a szükséges vizsgálatot, illetve mindenekelőtt fel kell mérnie az egyén jogai és érdekei megsértésének mértékét, valamint az érintett személyes információk természetét és mennyiségét.
         
            (37)  Ezek olyan i. esetek, amelyekben fennáll annak lehetősége, hogy az érintettnek a felhasználási célról való tájékoztatása vagy a felhasználási cél közzététele „veszélyeztetné az érintett vagy egy harmadik fél életét, testi épségét, vagyonát vagy egyéb jogait és érdekeit” vagy „a […] személyes információkat kezelő gazdasági szereplő jogait vagy jogos érdekeit”; ii. esetek, „amikor együttműködésre van szükség egy központi kormányzati szervezet vagy önkormányzat vonatkozásában” a jogszabályokban előírt feladatok ellátását illetően, és ha az ilyen információk vagy azok nyilvánosságra hozatala akadályozná az említett „feladatok” ellátását; iii. esetek, amikor az adatok megszerzésének körülményei alapján egyértelmű a felhasználás célja.
         
            (38)  Az alábbi kivételek léteznek: i. „törvényeken és rendeleteken alapuló esetek”; ii. „olyan esetek, amikor meg kell védeni az emberi életet, a testi épséget vagy a vagyont, és nehéz megszerezni az érintett hozzájárulását”; iii. „olyan esetek, amikor különösen szükséges a közhigiénia javítása vagy az egészséges gyermekek nevelésének előmozdítása, és nehéz megszerezni az érintett hozzájárulását”; iv) „olyan esetek, amikor együttműködésre van szükség egy központi kormányzati szervezet vagy önkormányzat, illetve az általuk megbízott, a törvények és rendeletek által meghatározott feladatokat ellátó személy vonatkozásában, és fennáll annak lehetősége, hogy az érintett hozzájárulásának megszerzése akadályozná az említett feladatok ellátását”; és v) olyan esetek, amikor az említett különleges gondosságot igénylő személyes információkat az érintett, valamely kormányszervezet, önkormányzat, a 76. cikk (1) bekezdésében szereplő kategóriák egyikébe tartozó személy vagy a személyes információk védelméről szóló törvény rendelkezéseinek megfelelő egyéb személy hozza nyilvánosságra. Egy további kategória olyan „egyéb, kabinethatározatban meghatározott esetekre vonatkozik, amelyek egyenértékűek az egyes előző pontokban meghatározott esetekkel”, és a jelenlegi kabinethatározat értelmében mindenekelőtt az adott személy szembetűnő jellemzőkre vonatkoznak (például látható egészségi állapot), amikor a különleges adatok megszerzésére (nem szándékosan) az érintett szemrevételezésével, lefilmezésével vagy lefényképezésével került sor, például zárt láncú televíziós kamerák használatával.
         
            (39)  A személyes információk védelméről szóló törvény 40. cikke (1) bekezdésének megfelelően a személyes információk védelmével foglalkozó bizottság a személyes információk védelméről szóló törvény vonatkozó rendelkezéseinek végrehajtásához szükséges mértékben előírhatja a személyes információkat kezelő gazdasági szereplők számára a személyes információk kezelésével kapcsolatban szükséges információk vagy az azzal kapcsolatos anyagok benyújtását.
         
            (40)  A személyes információk védelmével foglalkozó bizottság meghatározza többek között az ilyen szervezetek akkreditációjának szabályait; lásd a személyes információk védelméről szóló törvény 47–50. cikkét.
         
            (41)  A személyes információk védelméről szóló törvény 52. cikke.
         
            (42)  A személyes információk védelmével foglalkozó bizottság 1/2017. számú értesítése, „Intézkedések az adatvédelmi incidensekhez vagy egyéb incidensekhez hasonló incidensek esetében”.
         
            (43)  A JIPDEC PrivacyMark honlapján 2017. október 2-án közzétett adatok szerint.
         
            (44)  A személyes információk védelmével foglalkozó bizottság, A személyes információk védelmével foglalkozó akkreditált szervezetek listája, amely elérhető az alábbi internetes oldalon: https://www.ppc.go.jp/personal/nintei/list/ vagy https://www.ppc.go.jp/files/pdf/nintei_list.pdf
         
            (45)  A személyes információk védelmével foglalkozó bizottság: „Áttekintés a személyes információk védelméről szóló törvény 2015. évi végrehajtásáról” (2016. október), amely elérhető (csak japán nyelven) az alábbi internetes oldalon: https://www.ppc.go.jp/files/pdf/personal_sekougaiyou_27ppc.pdf
         
            (46)  Lásd a 32. lábjegyzetet.
         
            (47)  A személyes információk védelmével foglalkozó bizottság szabályzatának 11. cikke szerint ez nemcsak azt teszi szükségessé, hogy független végrehajtási hatóság felügyelje hatékonyan a személyes információk védelméről szóló törvénnyel egyenértékű érdemi előírásokat, hanem azt is, hogy biztosítsák a vonatkozó szabályok végrehajtását a harmadik országban.
         
            (48)  A személyes információk védelmével foglalkozó bizottság mostanáig még nem fogadott el a személyes információk védelméről szóló törvény 24. cikkén alapuló olyan határozatot, amely valamely harmadik országot a japán védelemmel egyenértékű védelmet biztosító országként ismer el. Az egyetlen határozat, amelynek elfogadását mérlegeli, az EGT-re vonatkozik. Ami az esetleges egyéb jövőbeli határozatokat illeti, a Bizottság szorosan nyomon fogja követni a helyzetet, és szükség esetén megfelelő intézkedéseket hoz a védelem folytonosságára gyakorolt lehetséges káros hatások kezelésére (lásd az alábbi (176), (177) és (184) preambulumbekezdést, valamint a 3. cikk (1) bekezdését).
         
            (49)  Habár csak két japán vállalat rendelkezik tanúsítással az APEC határokon átnyúló adatvédelmi szabályrendszerében (lásd az alábbi internetes oldalt: https://english.jipdec.or.jp/sp/protection_org/cbpr/list.html). Japánon kívül csekély számú (23) amerikai vállalat van, amely e rendszer szerinti tanúsítással rendelkező gazdasági szereplő (lásd az alábbi internetes oldalt: https://www.trustarc.com/consumer-resources/trusted-directory/#apec-list).
         
            (50)  Például nincs meghatározva a különleges adatok fogalma és az ezekre vonatkozó különleges védelem, nem kötelező a korlátozott ideig tartó adatmegőrzés. Lásd még a 29. cikk alapján létrehozott munkacsoport 02/2014. számú véleményét az EU-ban a nemzeti adatvédelmi hatósághoz benyújtott kötelező erejű vállalati szabályokra és az APEC CBPR elszámoltathatósági munkatársaihoz benyújtott, határokon átnyúló adatvédelmi szabályokra vonatkozó követelmények tekintetében, 2014. március 6.
         
            (51)  A személyes információk védelmével foglalkozó bizottság szerint csak az ilyen érdekek indokolhatják a „jogi védelemre érdemes” korlátozást. Ezt az értékelést eseti alapon kell elvégezni „figyelembe véve az Alkotmányban és az ítélkezési gyakorlatban elismert, az adatvédelmet is magába foglaló, a magánélet szabadságához való alapvető jogba történő beavatkozást.” A védett érdekek kiterjedhetnek például a kereskedelmi vagy más üzleti titkokra.
         
            (52)  A személyes információk védelmével foglalkozó bizottság iránymutatása különböző példák segítségével mutatja be „a gazdasági szereplő által végzett tevékenység megfelelő végrehajtásának komoly akadályozása” fogalmát; ilyen például, amikor ugyanaz a személy ismételten ugyanazokkal az összetett kérésekkel áll elő, és az ilyen kérések jelentős terhet jelentenek a gazdasági szereplőnek, aki így nem tud reagálni más kérésekre (A személyes információk védelmével foglalkozó bizottság iránymutatása [Általános szabály kiadás], 62. o.). Általánosabban szólva, a személyes információk védelmével foglalkozó bizottság megerősítette, hogy ez a kategória a puszta kellemetlenségen túlmutató kivételes esetekre korlátozódik. Mindenekelőtt a személyes információk védelmével foglalkozó bizottság nem utasíthatja el a közzétételt pusztán azért, mert nagy mennyiségű adatot igényeltek.
         
            (53)  Amint a személyes információk védelmével foglalkozó bizottság megerősítette, e törvényeknek tiszteletben kell tartaniuk az Alkotmányban biztosított, a magánélet szabadságához való jogot, és így „szükséges és észszerű korlátozást tükröz”.
         
            (54)  A Legfelsőbb Bíróság értelmezése szerint az Alkotmány 13. cikke rendelkezik a magánélet szabadságához való jogról (lásd fent a (7) és (8) preambulumbekezdést). Jóllehet ez a jog korlátozható olyan esetekben, ha „ellentmond a közjólétnek”, a Legfelsőbb Bíróság 2008. március 6-i ítéletében (lásd a (8) preambulumbekezdést) egyértelművé tette, hogy bármely korlátozást (amely ebben az esetben lehetővé teszi egy hatóságnak a személyes adatok gyűjtését és kezelését) egyensúlyba kell hozni a magánélet szabadságához való joggal, figyelembe véve olyan tényezőket, mint a szóban forgó adatok jellege, azok a kockázatok, amelyeket ezen adatok kezelése jelent az egyének számára, az alkalmazandó biztosítékok és a kezelésből származó közérdekű előny. Ez nagyon hasonló ahhoz a kiegyensúlyozáshoz, amelyet az uniós jog ír elő a szükségesség és az arányosság elve alapján az adatvédelmi jogok és biztosítékok bármely korlátozása esetében.
         
            (55)  Az ilyen kivételekkel kapcsolatos további magyarázatokért lásd az alábbi dokumentumot: Katsuya Uga professzor, A személyes információk védelméről szóló módosított törvény cikkek szerinti magyarázata, 2015, 217. o. Például egy kérés „jelentős költségekkel” jár, ha egy hosszú listán (például egy névjegyzékben) szereplő csupán néhány név kezelésére a célhoz kötöttség elvének megsértésével kerül sor, és a névjegyzék már értékesítésre került, így a példányok visszahívása és egy új névjegyzék kiadása nagyon költséges lenne. Ugyanebben a példában, ha a névjegyzéket már sok ember megvásárolta, és nem lehetséges valamennyi példányt visszahívni, „nehéz lenne megszüntetni az adatok felhasználását” is. Ezekben a forgatókönyvekben „szükséges alternatív intézkedés” lehet például helyesbítési értesítés kiadása vagy szétosztása. Az ilyen intézkedések nem zárják ki az akár a magánélet szabadságához való jogok megsértése, akár a hírnévnek a közzététel által okozott csorbulása vagy egyéb érdekek megsértése esetén alkalmazható (bírósági) jogorvoslat egyéb formáit.
         
            (56)  Ezzel szemben abban a kivételes esetben, amikor a japán gazdasági szereplő közvetlen kapcsolatban van az uniós érintettel, ez általában annak a következménye, hogy célzott uniós személyek vannak, akiknek árukat vagy szolgáltatásokat kínál, vagy nyomon követi a viselkedésüket. E forgatókönyv szerint maga a japán gazdasági szereplő az (EU) 2016/679 rendelet hatálya alá fog tartozni (a 3. cikk (2) bekezdése, és így közvetlenül meg kell felelnie az uniós adatvédelmi jognak).
         
            (57)  A személyes információk védelméről szóló törvény 65. cikke szerint a biztosok csak az alábbi okokból meneszthetők akaratuk ellenére: i. csődeljárás indítása; ii. a személyes információk védelméről szóló törvény vagy az azonosító számok használatáról szóló törvény megsértése miatt történő elítélés; iii. munkavégzés nélküli szabadságvesztés vagy annál súlyosabb büntetés; iv) mentális vagy fizikai rendellenesség vagy zavar miatt a feladatok elvégzésére való alkalmatlanság.
         
            (58)  Lásd a személyes információk védelméről szóló törvény 62. cikkét.
         
            (59)  Például néhány rendelkezés a személyes információkat kezelő gazdasági szereplők olyan intézkedéseire vonatkozik, amely opcionálisak (a személyes információk védelméről szóló törvény 32. és 33. cikke), vagy amely „maximális erőfeszítés” megtételére irányuló kötelezettség, és így nem érvényesíthető (a személyes információk védelméről szóló törvény 31. cikke, 35. cikke, 36. cikkének (6) bekezdése és 39. cikke). Néhány rendelkezés nem a személyes információkat kezelő gazdasági szereplőkre, hanem más szereplőkre vonatkozik. Ez a helyzet például a személyes információk védelméről szóló törvény 23. cikkének (4) bekezdése, 26. cikkének (2) bekezdése és 34. cikke esetében (habár a személyes információk védelméről szóló törvény 26. cikke (2) bekezdésének érvényesítését a személyes információk védelméről szóló törvény 88. cikkének i. pontja szerinti büntetőjogi szankciók lehetősége biztosítja).
         
            (60)  Továbbá, ahogy a fenti (48) preambulumbekezdésben szerepel, az adattovábbítás összefüggésében a „felhasználási célt” az uniós adatátadó határozza meg, amelyre ebben a tekintetben viszont az (EU) 2016/679 rendelet 5. cikke (1) bekezdésének b) pontjában előírt kötelezettség vonatkozik. Az Európai Unióban az illetékes adatvédelmi hatóság érvényesítheti ezt a kötelezettséget.
         
            (61)  A 2009. június 5-i 50. számú törvény.
         
            (62)  A 2012. augusztus 22-i 60. számú törvény.
         
            (63)  A Polgári Törvénykönyv 709. cikke a kártérítésre vonatkozó polgári perek fő jogalapja. E rendelkezés szerint „az a személy, aki szándékosan vagy gondatlanságból megsérti mások jogait vagy mások jogi védelem alatt álló érdekeit, köteles megtéríteni az ebből fakadó károkat”.
         
            (64)  A Tokiói Felső Bíróság 2015. május 20-án hozott (nem közzétett) ítélete; a Tokiói Kerületi Bíróság 2014. szeptember 8-án hozott ítélete, Westlaw Japan 2014WLJPCA09088002. Lásd még a személyes információk védelméről szóló törvény 34. cikkének (1) és (3) bekezdését.
         
            (65)  Lásd a Legfelsőbb Bíróság 2002. szeptember 24-i ítéletét (Hanrei Times, 1106. kötet, 72. o.).
         
            (66)  A büntetőeljárási törvény 239. cikkének (2) bekezdése.
         
            (67)  A 2014. évi 160. számú törvény.
         
            (68)  A közigazgatási peres ügyekről szóló törvény 37-2. cikke.
         
            (69)  A közigazgatási peres ügyekről szóló törvény 3. cikkének (6) bekezdése szerint a „mandamus intézkedés” olyan intézkedés, amelynek célja, hogy a bíróság végzést hozzon egy közigazgatási szerv ellen, hogy az hozzon olyan igazgatási rendelkezést, amelyet korábban elmulasztott meghozni.
         
            (70)  A közigazgatási peres ügyekről szóló törvény 37-5. cikke.
         
            (71)  A közigazgatási peres ügyekről szóló törvény II. fejezetének 1. szakasza.
         
            (72)  Lásd például a Legfelsőbb Bíróságnak az 1656. számú ügyben 2003. szeptember 12-én hozott ítéletét (2002 (Ju)). A Legfelsőbb Bíróság mindenekelőtt kimondta, hogy „minden egyénnek joga van megvédeni a személyes adatait, valamint megakadályozni, hogy azokat megalapozott ok nélkül harmadik félnek továbbítsák vagy nyilvánosságra hozzák.”
         
            (73)  A legfelsőbb Bíróság 2008. március 6-án hozott ítélete (Juki-net).
         
            (74)  „Megfelelő indok” csak akkor áll fenn, amikor úgy tekinthető, hogy az érintett személy (gyanúsított, vádlott) bűncselekményt követett el, és a bűnügyi nyomozás lefolytatásához házkutatásra és lefoglalásra van szükség. Lásd a Legfelsőbb Bíróságnak a 100. számú ügyben 1969. március 18-án hozott ítéletét (1968 (Shi)).
         
            (75)  Lásd a büntető eljárásjogi szabályzat 156. cikkének (1) bekezdését.
         
            (76)  Meg kell jegyezni azonban, hogy a szervezett bűnözés elleni szankciókról és a bűncselekményből származó jövedelmek ellenőrzéséről szóló, 2017. június 15-i törvény rendelkezik egy új bírságról, amely bünteti a terrorcselekmények és a szervezett bűnözés bizonyos egyéb formáinak előkészítését. Nyomozás csak konkrét gyanú esetén – bizonyíték alapján – kezdeményezhető, ha a bűncselekmény elkövetésének mindhárom szükséges feltétele fennáll (részvétel egy szervezett bűnözői csoport tevékenységében, „tervezés” és „előkészületek a végrehajtásra”). Lásd még a felforgató tevékenységek megelőzéséről szóló törvény 38–40. cikkét (az 1952. július 21-i 240. számú törvény).
         
            (77)  A távközlési ágazatban a személyes információk védelméről szóló iránymutatás 15. cikkének (8) bekezdése.
         
            (78)  Közigazgatási szerv a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény 2. cikke (1) bekezdésének fogalommeghatározása szerint. A japán kormánytól származó információk alapján a prefekturális rendőrség kivételével valamennyi közigazgatási szerv beletartozik a „közigazgatási szerv” fogalmába. Ugyanakkor a prefekturális rendőrség azon a jogi kereten belül működik, amelyet a személyes információk védelméről szóló prefekturális rendeletek határoztak meg (lásd a személyes információk védelméről szóló törvény 11. cikkét és az alappolitikát), és ezek a rendeletek a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvénnyel egyenértékű módon rendelkeznek a személyes információk védelméről. Lásd a II. melléklet I.B. szakaszát. Amint a személyes információk védelmével foglalkozó bizottság kifejtette, az „alappolitika” értelmében ezeket a rendeleteket a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény tartalma alapján kell elfogadni, és a Belügyi- és Kommunikációs Minisztérium közleményeket bocsát ki, hogy megadja a helyi önkormányzatoknak az e tekintetben szükséges iránymutatásokat. Amint azt a személyes információk védelmével foglalkozó bizottság hangsúlyozta, „[e] korlátok között, az egyes prefektúrákban a személyes információk védelméről szóló rendeletet az alappolitika és a közlemények tartalma alapján […] kell meghatározni”.
         
            (79)  A közigazgatási szervek munkatársai által a feladataik ellátása során kapott, és az említett közigazgatási szerv által szervezeti célokra őrzött személyes információk a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény 2. cikkének (3) bekezdése értelmében vett „megőrzött személyes információk” fogalmába tartoznak, amíg szerepelnek a „közigazgatási dokumentumok” nyilvántartásában. Idetartoznak az ilyen szervek által gyűjtött, majd tovább kezelt elektronikus információk, mivel a közigazgatási szervek birtokában lévő információkhoz való hozzáférésről szóló törvény (az 1999. évi 42. számú törvény) 2. cikkének (2) bekezdésében a „közigazgatási dokumentumok” fogalma magában foglalja az elektromágneses felvételeket.
         
            (80)  Ugyanakkor – a büntetőeljárási törvény 53-2. cikke szerint – a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény IV. fejezete nem érvényes „a perekkel kapcsolatos dokumentumok” esetében, amelyek a kapott információk alapján tartalmazzák a bűnügyi nyomozások során az engedély vagy az önkéntes együttműködésre vonatkozó megkeresés alapján kapott elektronikus információkat. Hasonlóképpen – a nemzetbiztonság területén gyűjtött információk vonatkozásában –, az érintett személy nem tud sikeresen élni a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény szerinti jogaival, ha a közigazgatási szerv vezetője „észszerű indokkal” feltételezi, hogy a közzététel „valószínűleg káros a nemzetbiztonság szempontjából” (lásd a 14. cikk iv) pontját). A közigazgatási szervek minden lehetséges esetben kötelesek legalább részben eleget tenni a közzétételre vonatkozó kérésnek (15. cikk).
         
            (81)  Lásd a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvényre való konkrét hivatkozásokat a II. melléklet II.A1. szakasza (2) bekezdésének b) pontjában.
         
            (82)  A büntetőeljárási törvény 220. cikke engedélyezi a „helyszínen” a bírói engedély nélkül történő házkutatást és lefoglalást, ha a főügyész, a főügyészhelyettes vagy az igazságügyi rendészet tisztviselői letartóztatnak egy gyanúsítottat/tettenért elkövetőt, azonban az adattovábbítás összefüggésében és így e határozat alkalmazásában ez nem releváns.
         
            (83)  A 222. cikk (1) bekezdése szerint a büntetőeljárási törvény 110. cikkével összefüggésben a felvételekkel kapcsolatos házkutatási/lefoglalási engedélyt be kell mutatni az intézkedés tárgyát képező személynek.
         
            (84)  Lásd még a büntetőeljárási törvény 189. cikkének (2) bekezdését, amely szerint az igazságügyi rendészet tisztviselőjének nyomozást kell folytatnia az elkövető ellen, és meg kell vizsgálnia a bizonyítékot, „ha úgy ítéli meg, hogy bűncselekmény történt”. Hasonlóképpen, a büntetőeljárási szabályzat 155. cikkének (1) bekezdése előírja, hogy a bírói engedély iránti írásbeli kérelemnek tartalmaznia kell többek között „a vád tárgyává tett bűncselekmény megnevezését” és „a bűncselekmény tényeinek összefoglalását”.
         
            (85)  A melléklet 9 bűncselekménytípust (például kábítószerekkel és fegyverekkel kapcsolatos bűncselekmények, emberkereskedelem és szervezett, előre kitervelten elkövetett emberölés) sorol fel. Meg kell jegyezni, hogy ezen a korlátozó listán nem szerepel az újonnan bevezetett „terrorcselekmények és a szervezett bűnözés egyéb formáinak előkészítése” megnevezésű (lásd a 76. lábjegyzetet) bűncselekmény.
         
            (86)  Továbbá, a telefonlehallgatásról szóló törvény 23. cikke szerint a nyomozati hatóságnak írásban értesíteni kell azt az egyént a lehallgatásról, akinek a kommunikációját lehallgatta (és akinek a kommunikációja szerepel a lehallgatási felvételekben).
         
            (87)  Lásd a II. melléklet II.A.1. szakasza (1) bekezdésének b) pontjában.
         
            (88)  A kapott információk alapján az együttműködést elmulasztó gazdasági szereplők semmilyen jogszabály értelmében nem néznek szembe negatív következményekkel (beleértve a szankciókat). Lásd a II. melléklet II.A.2. szakasza a) pontjában.
         
            (89)  A személyes információk védelmével foglalkozó bizottság iránymutatása (általános szabályok kiadás) szerint a bírói engedély (a büntetőeljárási törvény 218. cikke) és a „kérőlap” (a büntetőeljárási törvény 197. cikkének (2) bekezdése) vonatkozásában egyaránt a 23. cikk (1) bekezdésének i) pontja képezi a személyes információk közzétételének alapját.
         
            (90)  Ezt azt jelenti, hogy ilyen „kérőlap” csak egyedi ügyekben történő információgyűjtésre alkalmazható, és nem használható fel a személyes adatok széles körű gyűjtésére. Lásd a II. melléklet I.A.2. szakasza (1) bekezdésének b) pontjában.
         
            (91)  Valamint a prefekturális közbiztonsági bizottság rendeletei, lásd a büntetőeljárási törvény 189. cikkének (1) bekezdését.
         
            (92)  Lásd még a rendőrségi törvény 3. cikkét, amely szerint minden rendőr hivatali esküt tesz, hogy „hű lesz ahhoz a kötelezettségéhez, hogy megvédje és fenntartsa az Alkotmányt és Japán törvényeit, és pártatlanul, méltányosan, tisztességesen és előítéletek nélkül lássa el feladatát”.
         
            (93)  A rendőrségi törvény 30. cikkének (1) bekezdése és 31. cikkének (2) bekezdése szerint a regionális rendőr-főkapitányság (a Nemzeti Rendőrhivatal helyi szervei) főigazgatója „irányítja és felügyeli” a prefektusi rendőrséget.
         
            (94)  A kérőlapon emellett meg kell határozni a „kezelő” kapcsolattartási adatait („osztály [pozíció], a kezelő neve, a hivatal telefonszáma, telefonmellék stb.”).
         
            (95)  A Legfelsőbb Bíróság 1969. december 24-én hozott ítélete (1965(A) 1187); a 2008. április 15-én hozott ítélet (2007(A) 839).
         
            (96)  Ezek az ítéletek nem érintették az elektronikus információk megszerzését, de a japán kormány egyértelművé tette, hogy a Legfelsőbb Bíróság által kidolgozott kritériumok alkalmazása kiterjed a magánélet szabadságához való jogba történő valamennyi hatósági beavatkozásra, így valamennyi „önkéntes vizsgálatra” is, tehát ez a kritérium az információk önkéntes megadása iránti megkeresések esetén is kötelező erővel bír a japán hatóságokra nézve. Lásd a II. melléklet II.A.2. szakasza (1) bekezdésének b) pontjában.
         
            (97)  A kapott információk alapján ezeket a tényezőket „a társadalmilag elfogadott konvencióknak megfelelően észszerűnek” kell tartani. Lásd a II. melléklet II.A.2. szakasza (1) bekezdésének b) pontjában.
         
            (98)  A kötelező vizsgálatokkal (telefonlehallgatás) összefüggésben a hasonló megfontolásokra vonatkozóan lásd még a Legfelsőbb Bíróság 1999. december 16-án hozott ítéletét (1997(A) 636).
         
            (99)  Ebben a tekintetben a japán hatóságok hivatkoztak a személyes információk védelmével foglalkozó bizottság iránymutatására (általános szabályok kiadás) és a bizottság által a személyes információk védelméről szóló törvény alkalmazásában készített kérdések és válaszok 5/14. pontjára. A japán hatóságok szerint „mivel az egyének egyre inkább tudatában vannak a magánélet szabadságához való jognak, valamint tekintettel az ilyen megkeresések következtében felmerülő munkateherre, a gazdasági szereplők egyre óvatosabban járnak el az ilyen megkeresésre való reagálás során”. Lásd a II. melléklet II.A2. szakaszát, hivatkozással a Nemzeti Rendőrhivatal 1999. évi közleményére. A kapott információk alapján valóban voltak olyan esetek, amikor a gazdasági szereplők elutasították az együttműködést. Például a 2017. évi átláthatósági jelentésében a LINE (a legnépszerűbb üzenetküldő applikáció Japánban) az alábbiakat írta: „A nyomozati hatóságoktól stb. érkező megkereséseket követően […] ellenőrizzük a megfelelőséget a jogszerűség, a felhasználók védelme stb. szempontjából. Az ellenőrzés során, ha jogi hiányosságok merülnek fel, elutasítjuk a megkeresést. Ha a megkeresés túl tág a nyomozás alkalmazásában, magyarázatot kérünk a nyomozati hatóságtól. Ha a magyarázat nem indokolt, nem teszünk eleget a megkeresésnek.” Elérhető az interneten: https://linecorp.com/en/security/transparency/top
         
            (100)  A szankció munkavégzéssel járó, három évig terjedő szabadságvesztés vagy legfeljebb 2 000 000 jen összegű bírság minden, „a távközlésben dolgozó” személy esetében.
         
            (101)  A Büntető Törvénykönyv értelmében vett „igazolható cselekmények” különösen a távközlési adatátviteli szolgáltató olyan cselekményei, amelyek révén jogi kötőerővel bíró állami intézkedéseknek (kötelező intézkedések) tesz eleget, például amikor a nyomozati hatóságok bírói engedély alapján intézkednek. Lásd a II. melléklet II.A.2. szakasza (2) bekezdésének b) pontját, amely a távközlési ágazatban a személyes információk védelméről szóló iránymutatásra hivatkozik.
         
            (102)  Az érintett személyek jogainak vonatkozásában lásd a 3.1. szakaszt.
         
            (103)  Főszabály szerint a főügyész – vagy a főügyész utasításainak megfelelően a főügyészhelyettes –, amennyiben szükségesnek ítéli, kivizsgálhat egy bűncselekményt (a büntetőeljárási törvény 191. cikkének (1) bekezdése).
         
            (104)  A kapott információk alapján a Nemzeti Rendőrhivatal nem folytat egyéni bűnügyi nyomozásokat. Lásd a II. melléklet II.A.1. szakasza a) pontjában.
         
            (105)  Lásd még a büntetőeljárási törvény 246. cikkét, amely szerint az igazságügyi rendészet köteles megküldeni az ügy aktáit a főügyésznek a bűncselekményekben való nyomozások lefolytatásakor („valamennyi ügy továbbításának elve”).
         
            (106)  Alternatívaként az országgyűlés kérheti, hogy a különösen kijelölt titkok felügyeletével és felülvizsgálatával foglalkozó testület vizsgálja meg a kérés elutasítását. Lásd az országgyűlési törvény 104-II. cikkét.
         
            (107)  Lásd a II. melléklet II.B.4. szakaszát.
         
            (108)  Ezen túlmenően a helyi autonómiáról szóló törvény 100. cikkének rendelkezései szerint a helyi önkormányzat közgyűlése jogosult kivizsgálni a prefektusi szinten létrehozott bűnüldöző hatóságok, így a prefektusi rendőrség tevékenységét.
         
            (109)  Lásd a rendőrségi törvény 39-41. cikkét. A politikai semlegesség tekintetében lásd még a rendőrségi törvény 42. cikkét.
         
            (110)  Lásd a II. melléklet II.B.3. szakaszát („független tanácsok rendszere”).
         
            (111)  Lásd a rendőrségi törvény 5. cikkének (3) bekezdését és a 38. cikkének (3) bekezdését.
         
            (112)  Lásd a rendőrségi törvény 38. cikkének (3) bekezdését és a 43-2. cikkének (1) bekezdését. A 43-2. cikk (1) bekezdése értelmében adott utasítás esetében a prefekturális közbiztonsági bizottság elrendelheti, hogy egy általa kijelölt bizottság nyomon kövesse a végrehajtást ((2) bekezdés). Emellett a prefekturális közbiztonsági bizottság javasolhatja, hogy indítsanak fegyelmi eljárást a prefekturális rendőrség vezetője és egyéb rendőrök ellen, illetve mentsék fel őket (a rendőrségi törvény 50. cikkének (2) bekezdése/55. cikkének (4) bekezdése).
         
            (113)  Ugyanez vonatkozik a tokiói fővárosi rendőrség esetében a főszuperintendánsra (lásd a rendőrségi törvény 48. cikkének (1) bekezdését).
         
            (114)  A kapott információk alapján a 2017. pénzügyi évben (2017. áprilisa és 2018. márciusa között) „az átfogó információs központok” összesen 5 186 egyéni kérelmet kezeltek.
         
            (115)  A „konkrét hátrányra” vonatkozó feltétel pusztán arra utal, hogy a rendőrség magatartásnak (vagy mulasztásnak) egyénileg kell érintetnie a panaszost, nem pedig arra, hogy annak bizonyítania kell bármely kárt.
         
            (116)  A törvény betartása – a személyes adatok gyűjtésére és felhasználására vonatkozó jogi kötelezettségeket is beleérve – az említett szolgálatteljesítés részét képezi. Lásd a rendőrségi törvény 2. cikkének (2) bekezdését és 3. cikkét.
         
            (117)  Az értékelés során a személyes információk védelmével foglalkozó bizottság együttműködik a Belügyi- és Kommunikációs Minisztériummal, amely – a (136) preambulumbekezdésnek megfelelően – magyarázatokat és anyagokat kérhet, illetve véleményt adhat ki a személyes információk érintett közigazgatási szerv általi kezelésével kapcsolatban (a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény 50. és 51. cikke).
         
            (118)  Idetartozik a telefonlehallgatási engedély, amellyel kapcsolatban a telefonlehallgatási törvény konkrét értesítési követelményt ír elő (23. cikk). E rendelkezés szerint a nyomozati hatóságnak írásban értesíteni kell azt az személyt a lehallgatásról, akinek a kommunikációját lehallgatta (és akinek a kommunikációja szerepel a lehallgatási felvételekben). Egy másik példa a büntetőeljárási törvény 100. cikkének (3) bekezdése, amely szerint a bíróságnak, ha a vádlottnak küldött vagy a vádlott által küldött postai küldeményeket vagy táviratokat foglalt le, értesítenie kell a feladót vagy a címzettet, kivéve, ha fennáll annak a kockázata, hogy az értesítés akadályozná a bírósági eljárást. A büntetőeljárási törvény 222. cikkének (1) bekezdése kereszthivatkozást tartalmaz erre a rendelkezésre a nyomozati hatóság által végzett házkutatás és lefoglalás vonatkozásában.
         
            (119)  Az ilyen megkeresés nem jelenti automatikusan a lefoglalási határozat végrehajtásának felfüggesztését, de a felülvizsgálatot végző bíróság elrendelheti a felfüggesztését, amíg nem hoz érdemi határozatot. Lásd a büntetőeljárási törvény 429. cikkének (2) bekezdését és a 432. cikkét a 424. cikkel összefüggésben.
         
            (120)  Lásd a II. melléklet II.C. szakasza (1) bekezdését.
         
            (121)  Lásd a II. melléklet II.C.2. szakaszát.
         
            (122)  Lásd például a Tokiói Kerületi Bíróság 1988. március 24-én hozott ítéletét (2925. számú ítélet); az Oszakai Kerületi Bíróság 2007. április 26-án hozott ítéletét (2925. számú ítélet). Az Oszakai Kerületi Bíróság szerint több tényezőt kell egyensúlyozni, például az alábbiakat: i. a szóban forgó személyes információk természete és tartalma; ii. az információgyűjtés módja; iii. az egyént érintő hátrányok, amennyiben nem kerül sor az információ törlésére; és iv) a közérdek, beleértve a közigazgatási szervet érintő hátrányokat, törlés esetén.
         
            (123)  Mindesetre a büntetőeljárás megindítását követően az ügyészségnek lehetőséget kell biztosítania a vádlott számára a bizonyíték megtekintésére (lásd a büntetőeljárási törvény 298–299. cikkét). A bűncselekmények áldozatait illetően lásd a büntetőeljárási törvény 316–333. cikkét.
         
            (124)  A gazdasági szereplők ezért szabadon dönthetnek az együttműködés elutasításáról, és nem áll fenn szankciók vagy egyéb negatív következmények kockázata. Lásd a II. melléklet III.A.1. szakaszát.
         
            (125)  Ugyanakkor a kapott információk szerint a Nemzeti Rendőrhivatal legfontosabb feladata, hogy összehangolja a prefekturális rendőrség különböző osztályai által folytatott nyomozást, és információkat cseréljen a külföldi hatóságokkal. Bár a Nemzeti Rendőrhivatal e szerepe a többek között az egyének jogainak és szabadságainak védelméért felelős Nemzeti Közbiztonsági Bizottság felügyelete alá tartozik (a rendőrségi törvény 5. cikkének (1) bekezdése.
         
            (126)  Lásd a II. melléklet III.A.1. szakasza (3) bekezdését. Az említett két törvény hatálya korlátozott, mert a felforgató tevékenységek megelőzéséről szóló törvény „terrorista felforgató tevékenységekre” vonatkozik, a megkülönböztetés nélküli tömeggyilkosságot elkövető szervezetek ellenőrzéséről szóló törvény pedig „megkülönböztetés nélküli tömeggyilkosságra” (ami a felforgató tevékenységek megelőzéséről szóló törvény értelmében olyan „terrorista felforgató tevékenység”, „amelynek során megkülönböztetés nélkül nagy számú embert gyilkolnak meg”.
         
            (127)  Lásd a megkülönböztetés nélküli tömeggyilkosságot elkövető szervezetek ellenőrzéséről szóló törvény 5. és 8. cikkét. A megfigyelési rendelkezés az intézkedés által érintett szervezet felé történő jelentéstételi kötelezettséget is magában foglalja. Az eljárási biztosítékok vonatkozásában különösen átláthatósági követelmények és a közbiztonsági vizsgálatokkal foglalkozó bizottság előzetes engedélye, lásd a megkülönböztetés nélküli tömeggyilkosságot elkövető szervezetek ellenőrzéséről szóló törvény 12., 13. és 15–27. cikkét.
         
            (128)  Lásd a megkülönböztetés nélküli tömeggyilkosságot elkövető szervezetek ellenőrzéséről szóló törvény 5. és 7. cikkét. Az eljárási biztosítékok vonatkozásában különösen átláthatósági követelmények és a közbiztonsági vizsgálatokkal foglalkozó bizottság előzetes engedélye, lásd a felforgató tevékenységek megelőzéséről szóló törvény 11–25. cikkét.
         
            (129)  Lásd a felforgató tevékenységek megelőzéséről szóló törvény 27. cikkét és a megkülönböztetés nélküli tömeggyilkosságot elkövető szervezetek ellenőrzéséről szóló törvény 29. és 30. cikkét.
         
            (130)  Lásd a II. melléklet III.A.1. szakasza (3) bekezdését.
         
            (131)  Lásd a II. melléklet III.A.2. szakaszának b) pontjában: „A Legfelsőbb Bíróság ítélkezési gyakorlatából következően ahhoz, hogy önkéntes együttműködés iránti kérelmet intézzenek valamely gazdasági szereplőhöz, e kérelemnek szükségesnek kell lennie a gyanított bűncselekmény felderítéséhez, valamint észszerűnek kell lennie a nyomozás céljának elérése tekintetében. Noha a nyomozati hatóságok által a nemzetbiztonság terén folytatott nyomozások a jogalapjukat és céljukat tekintve is eltérnek a nyomozati hatóságok által a bűnüldözés terén folytatott nyomozásoktól, »a nyomozás szükségességének« és »a módszer megfelelőségének« alapelve hasonlóan alkalmazandó a nemzetbiztonság terén, és az egyes esetek konkrét körülményeinek megfelelő figyelembevételével eleget kell tenni nekik.”
         
            (132)  Lásd a II. melléklet III.A.2. szakasza b) pontjában.
         
            (133)  Lásd például a felforgató tevékenységek megelőzéséről szóló törvény 36. cikkét/a megkülönböztetés nélküli tömeggyilkosságot elkövető szervezetek ellenőrzéséről szóló törvény 31. cikkét (a Közbiztonsági Hírszerzési Ügynökség vonatkozásában).
         
            (134)  A jogi megfeleléssel foglalkozó főfelügyelő hivatalát egy korábbi főügyész vezeti. Lásd a II. melléklet III.B.3. szakaszát.
         
            (135)  Lásd a II. melléklet III.B.3. szakaszát. A példa szerint a 2016. évi rendszeres védelmi vizsgálat a „jogi megfelelés ismerete/a jogi megfelelésre való felkészültség” vonatkozásában többek között kitért „a személyes információk védelmének állapotára” (irányítás, tárolás stb.). Az ennek eredményeképpen elkészült jelentés szerint előfordult nem megfelelő adatgazdálkodás, így ebben a tekintetben az adatgazdálkodás javítására szólított fel. A Honvédelmi Minisztérium közzétette a jelentést a honlapján.
         
            (136)  A közbiztonsági vizsgálatokkal foglalkozó bizottság létrehozásáról szóló törvény szerint az elnök és a bizottság tagjai „függetlenül gyakorolják hatáskörüket” (3. cikk). A tagokat a miniszterelnök nevezi ki a parlament mindkét házának hozzájárulásával, és csak „indokolt esetben” (például szabadságvesztés, kötelességszegés, mentális vagy fizikai zavar, csődeljárás megindítása) menthetők fel.
         
            (137)  A Közbiztonsági Hírszerzési Ügynökség időszakos vizsgálatáról szóló rendelet (a Közbiztonsági Hírszerzési Ügynökség főigazgatója, 4. sz. utasítás, 1986).
         
            (138)  A Közbiztonsági Hírszerzési Ügynökség különleges vizsgálatáról szóló rendelet (a Közbiztonsági Hírszerzési Ügynökség főigazgatója, 11. sz. utasítás, 2008). A különleges vizsgálatok elvégzésére akkor kerül sor, amikor azt a Közbiztonsági Hírszerzési Ügynökség főigazgatója szükségesnek ítéli.
         
            (139)  Ez a „megőrzött személyes információk” egy példányához való jogra vonatkozik.
         
            (140)  Lásd még a „belátásra bízott közzététel” lehetőségét olyan esetekben is, amikor „a közzététel elmaradására vonatkozó információ” szerepel a közzétételi kérelem tárgyát képező „megőrzött személyes információk” között (a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény 16. cikke).
         
            (141)  A közigazgatási panaszok felülvizsgálatáról szóló törvény (2014. évi 160. sz. törvény) és különösen annak 1. cikke (1) bekezdése.
         
            (142)  Lásd az információk közzétételének és a személyes információk védelmének felülvizsgálatával foglalkozó testületet létrehozó törvény 9. cikkét (a 2003. évi 60. számú törvény).
         
            (143)  A kapott információk alapján a 2005 (vagyis a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény hatálybalépése) óta eltelt 13 évben a közigazgatási szerv a több mint 2000 ügy közül csak két ügyben nem követte a jelentésben leírtakat annak ellenére, hogy a felülvizsgálati testület számos esetben is ellentmondott a közigazgatási határozatoknak. Továbbá, amikor a közigazgatási szerv a jelentés megállapításaitól eltérő határozatot hoz, egyértelműen fel kell tüntetnie ennek okait. Lásd a II. melléklet III.C. szakaszát, hivatkozással a közigazgatási panaszok felülvizsgálatáról szóló törvény 50. cikke (1) bekezdésének iv) pontjára.
         
            (144)  A – prefektúránként egy – átfogó információs központ magyarázatokat ad a polgároknak a hatóságok által gyűjtött személyes információkról (pl. meglévő adatbázisok) és az alkalmazandó adatvédelmi szabályokat (a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény), beleértve a közzétételhez, a helyesbítéshez vagy a használat felfüggesztéséhez való jog gyakorlásának módját is. A központok ugyanakkor kapcsolattartó pontként működnek a polgároktól érkező kérdések/panaszok tekintetében. Lásd a II. melléklet II.C.4. szakasz a) pontjában.
         
            (145)  Lásd még a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény 10. és 11. cikkét „a személyes információk nyilvántartásáról”, amely cikkek azonban széles körű kivételeket tartalmaznak a bűnügyi nyomozások céljára összekészített vagy megszerzett, illetve a biztonságot vagy egyéb fontos állami érdekeket érintő kérdéseket tartalmazó „személyes információs akták” esetében (a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény 10. cikke (2) bekezdésének i. és ii. pontja).
         
            (146)  Lásd a fenti 3. lábjegyzetet.
         
            (147)  A Schrems-ügyben hozott ítélet, 76. pont.
         
            (148)  A Schrems-ügyben hozott ítélet, 65. pont.
         
            (149)  A Schrems-ügyben hozott ítélet, 65. pont: „A nemzeti jogalkotó feladata, hogy előírja azon jogorvoslati lehetőségeket, amelyek lehetővé teszik az érintett nemzeti felügyeleti hatóság számára, hogy a nemzeti bíróságok előtt az általa megalapozottnak talált kifogásokra hivatkozzon annak érdekében, hogy amennyiben az utóbbiak osztják e hatóságnak a bizottsági határozat érvényessége tekintetében fennálló kétségeit, előzetes döntéshozatali eljárást kezdeményezhessenek e határozat érvényességének vizsgálata céljából”.
         
            (150)  Az (EU) 2016/679 rendelet 45. cikkének (3) bekezdése szerint „a végrehajtási jogi aktusban rendelkezni kell egy rendszeres, legalább négyévente elvégzendő felülvizsgálatra irányuló mechanizmusról, amely az adott harmadik országban vagy nemzetközi szervezetnél végbement valamennyi releváns fejleményt figyelembe vesz”.
         
            (151)  Az (EU) 2016/679 rendelet 45. cikkének (3) bekezdése előírja, hogy rendszeresen, legalább négyévente el kell végezni a felülvizsgálatot. Lásd még az alábbi dokumentumot: Európai Adatvédelmi Testület, Megfelelőségi referencia, WP 254 rev. 01.
         
            (152)  Lásd még a II. melléklet IV. szakaszát: „A megfelelőségi határozat rendszeres felülvizsgálatának keretében a személyes információk védelmével foglalkozó bizottság és az Európai Bizottság információkat cserél az adatkezelésről a megfelelőségi megállapítás feltételeinek megfelelően, beleértve az ebben a nyilatkozatban meghatározottakat.”
         
            (153)  Az Európai Parlament és a Tanács 182/2011/EU rendelete (2011. február 16.) a Bizottság végrehajtási hatásköreinek gyakorlására vonatkozó tagállami ellenőrzési mechanizmusok szabályainak és általános elveinek megállapításáról (HL L 55., 2011.2.28., 13. o.).
         
            (154)  28/2018. sz. vélemény a személyes adatok Japánban való megfelelő védelméről szóló európai bizottsági végrehajtási határozata tervezetéről, az elfogadás időpontja: 2018. december 5.
         
            (155)  Az Európai Parlament 2017. december 12-i állásfoglalása: a digitális kereskedelmi stratégia felé (2017/2065 (INi.). Lásd különösen a 8. pontot („[…] emlékeztet rá, hogy a kereskedelmi megállapodásokban alkalmazott általános szabályok nélkül a személyes adatok akkor továbbíthatók harmadik országokba, ha teljesülnek – most és a jövőben – […] az (EU) 2016/679 rendelet V. fejezetében rögzített követelmények; elismeri, hogy a megfelelőségi határozatok, köztük a részleges és ágazatspecifikus megfelelőségi határozatok alapvető mechanizmusát képezik a személyes adatok Unióból harmadik országba történő átadásának; megjegyzi, hogy az Unió 20 legnagyobb kereskedelmi partnere közül mindössze néggyel kapcsolatban hozott megfelelőségi határozatot; […]”) és a 9. pontot („felszólítja a Bizottságot, hogy sorolja előre és gyorsítsa fel a megfelelőségi határozatok meghozatalát, feltéve, hogy ezek a harmadik országok nemzeti jogukban vagy nemzetközi kötelezettségvállalásaik alapján olyan védelmi szintet biztosítanak, amely »alapvetően egyenértékű« az Unióban biztosított védelemmel; […]”).
         
            (156)  Az Európai Parlament 2018. december 13-i állásfoglalása: „a személyes adatok Japán által biztosított védelmének megfelelősége” (2018/2979(RSP)).
      
      
         
            1. MELLÉKLET
            
               A SZEMÉLYES INFORMÁCIÓK VÉDELMÉRŐL SZÓLÓ TÖRVÉNY SZERINTI, AZ EU-BÓL MEGFELELŐSÉGI HATÁROZAT ALAPJÁN TOVÁBBÍTOTT SZEMÉLYES ADATOK KEZELÉSÉRE VONATKOZÓ KIEGÉSZÍTŐ SZABÁLYOK
            
            Tartalomjegyzék
            
                        (1)
                     
                     Különleges gondosságot igénylő személyes információk (a törvény 2. cikkének (3) bekezdése)
                     38
                  
                        (2)
                     
                     Megőrzött személyes adatok (a törvény 2. cikkének (7) bekezdése)
                     39
                  
                        (3)
                     
                     A felhasználási cél meghatározása, a felhasználási cél miatti korlátozás (a törvény 15. cikkének (1) bekezdése, 16. cikkének (1) bekezdése és 26. cikkének (1) és (3) bekezdése)
                     40
                  
                        (4)
                     
                     Külföldi országban lévő harmadik félnek történő adattovábbításra vonatkozó korlátozás (a törvény 24. cikke; a Szabályok 11. cikkének (2) bekezdése)
                     41
                  
                        (5)
                     
                     Anonimizáltan kezelt információ (a törvény 2. cikkének (9) bekezdése és 36. cikkének (1) és (2) bekezdése)
                     41
                  [Fogalmak]
            
                        „Törvény”
                     
                     
                        :
                     
                     
                        A személyes információk védelméről szóló törvény (a 2003. évi 57. számú törvény)
                     
                  
                        „Kabinethatározat”
                     
                     
                        :
                     
                     
                        A személyes információk védelméről szóló törvény végrehajtásáról szóló kabinethatározat (2003. évi 507. sz. kabinethatározat)
                     
                  
                        „Szabályok”
                     
                     
                        :
                     
                     
                        A személyes információk védelméről szóló törvény végrehajtására vonatkozó szabályok (a személyes információk védelmével foglalkozó bizottság 2016. évi 3. sz. szabályzata)
                     
                  
                        „Az általános szabályokra vonatkozó iránymutatás”
                     
                     
                        :
                     
                     
                        A személyes információk védelméről szóló törvényre vonatkozó iránymutatás (a személyes információk védelmével foglalkozó bizottság 2015. évi 65. sz. közleménye)
                     
                  
                        „EU”
                     
                     
                        :
                     
                     
                        Az Európai Unió, beleértve annak tagállamait, valamint – az EGT–megállapodás alapján – Izlandot, Liechtensteint és Norvégiát
                     
                  
                        „Általános adatvédelmi rendelet”
                     
                     
                        :
                     
                     
                        Az Európai Parlament és a Tanács rendelete a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről (általános adatvédelmi rendelet)
                     
                  
                        „Megfelelőségi határozat”
                     
                     
                        :
                     
                     
                        Az Európai Bizottság határozata arról, hogy valamely harmadik ország vagy e harmadik ország valamely területe stb. az általános adatvédelmi rendelet 45. cikke értelmében biztosítja a személyes adatok megfelelő szintű védelmét.
                     
                  A személyes adatok védelmével foglalkozó bizottság a személyes adatok Japán és az EU közötti kölcsönös és zavartalan továbbítása céljából olyan külföldi országként jelölte meg az EU-t, amely az egyének jogainak és érdekeinek a törvény 24. cikkén alapuló védelme tekintetében a Japánban érvényesülőkkel egyenértékű normákat biztosít, az Európai Bizottság pedig egyidejűleg úgy határozott, hogy Japán az általános adatvédelmi rendelet 45. cikke értelmében biztosítja a személyes adatok megfelelő szintű védelmét.
            Így olyan módon valósul meg a személyes adatok Japán és az EU közötti kölcsönös és zavartalan továbbítása, ami szavatolja az egyének jogainak és érdekeinek magas szintű védelmét. A megfelelőségi határozat alapján kapott személyes információk magas szintű védelmének biztosítása érdekében, valamint figyelembe véve, hogy a két rendszer közötti nagy fokú konvergencia ellenére jelentős különbségek állnak fenn, a személyes adatok védelmével foglalkozó bizottság elfogadta ezeket a kiegészítő szabályokat a törvény más országok kormányaival folytatott együttműködésre stb. vonatkozó rendelkezései alapján, és annak biztosítása érdekében, hogy a személyes információkat kezelő gazdasági szereplők megfelelően kezeljék a megfelelőségi határozat alapján az EU-ból kapott személyes információkat, továbbá hogy biztosítsa az e szabályokban megállapított kötelezettségek megfelelő és hatékony végrehajtását (1).
            A törvény 6. cikke mindenekelőtt megállapítja a jogalkotási és egyéb intézkedések meghozatalához szükséges hatáskört, hogy biztosítsa a személyes adatok fokozott védelmét, valamint a személyes információkra vonatkozó nemzetközi szabványokkal összhangban álló rendszer kialakítását a törvényben és a kabinethatározatban megállapított szabályokat kiegészítő és azoknál szigorúbb szabályok révén. Ennélfogva a személyes adatok védelmével foglalkozó bizottság – a törvény általános alkalmazását irányító hatóságként – hatáskörrel rendelkezik arra, hogy a törvény 6. cikke értelmében szigorúbb szabályokat állapítson meg a megfelelőségi határozat alapján az EU-ból kapott személyes adatok kezelése tekintetében annak révén, hogy megszövegezi az egyének jogainak és érdekeinek magasabb szintű védelmét biztosító jelen kiegészítő szabályokat, amelyek kiterjednek többek között a törvény 2. cikkének (3) bekezdése szerinti, különleges gondosságot igénylő személyes információkra, valamint a törvény 2. cikkének (7) bekezdése alapján megőrzött személyes adatokra (így a releváns megőrzési időszakra is).
            A fentiek alapján a kiegészítő szabályok kötelező érvényűek azokra a személyes információkat kezelő gazdasági szereplőkre nézve, amelyek a megfelelőségi határozat alapján hozzájutnak az EU-ból továbbított személyes adatokhoz, tehát e szereplők kötelesek betartani az említett szabályokat. A személyes adatok védelmével foglalkozó bizottság – lévén, hogy jogilag kötelező erejű szabályokról van szó – ugyanolyan módon érvényesítheti a bennük szereplő jogokat és kötelezettségeket, mint a törvény rendelkezéseit, amelyeket azok szigorúbb és/vagy részletesebb szabályokkal egészítenek ki. Az egyének bírósági jogorvoslatot is igényelhetnek a kiegészítő szabályokból eredő jogok és kötelezettségek megsértése esetén, ugyanúgy mint a törvény rendelkezései esetében, amelyeket az előbbiek szigorúbb és/vagy részletesebb szabályokkal egészítenek ki.
            Ami a személyes adatok védelmével foglalkozó bizottság általi végrehajtást illeti, ha a személyes információkat kezelő gazdasági szereplő nem tesz eleget a kiegészítő szabályokon alapuló egy vagy több kötelezettségnek, a személyes adatok védelmével foglalkozó bizottságnak jogában áll a törvény 42. cikke szerinti intézkedéseket elfogadni. Általában véve a megfelelőségi határozat alapján az EU-ból kapott személyes információkat illetően, ha a személyes információkat kezelő gazdasági szereplő – jogos indok nélkül (2) – elmulasztja a törvény 42. cikkének (1) bekezdése alapján kapott ajánlásnak megfelelő intézkedések meghozatalát, azt a törvény 42. cikkének (2) bekezdése értelmében az egyént megillető jogok és érdekek súlyos, közvetlenül bekövetkezhető megsértésének kell tekinteni.
            (1)   Különleges gondosságot igénylő személyes információk (a törvény 2. cikkének (3) bekezdése)
            
                        A törvény 2. cikke ((3) bekezdés)
                        
                                 
                                    (3)
                                 
                                 
                                    E törvényben „különleges gondosságot igénylő személyes információk”: az érintett esetében a fajra, hitre, társadalmi státuszra, kórtörténetre, a bűnügyi előéletre, bűncselekményből eredő kár elszenvedésére vagy egyéb, kabinethatározatban előírt jellemzőkre stb. vonatkozó személyes információk, amelyek kezelése különleges gondosságot igényel a méltánytalan megkülönböztetés, az előítéletek vagy az érintettet sújtó egyéb hátrányok elkerülése érdekében.
                                 
                              
                  
                        A kabinethatározat 2. cikke
                        A törvény 2. cikkének (3) bekezdése alapján a kabinethatározatban előírt, említett jellemzők az alábbiakban felsorolt körülmények valamelyikét tartalmazzák (az érintett kórtörténetére vagy bűnügyi előéletére vonatkozó kérdések kivételével)
                        
                                    i.
                                 
                                 
                                    a testi fogyatékosság, az intellektuális képességzavar, az értelmi károsodás (a fejlődési rendellenességek is), vagy a személyes információk védelmével foglalkozó bizottság szabályaiban előírt más testi vagy szellemi fogyatékosság ténye;
                                 
                              
                                    ii.
                                 
                                 
                                    orvos vagy orvosi feladatokat ellátó személyzet (a továbbiakban a következő pontban: orvos stb.) által az érintetten végzett, betegség megelőzésére vagy korai felismerésére szolgáló orvosi vizsgálat vagy egyéb vizsgálat (a továbbiakban a következő pontban: orvosi vizsgálat stb.);
                                 
                              
                                    iii.
                                 
                                 
                                    az a tény, hogy betegség, sérülés vagy más szellemi vagy fizikai változás miatt orvos stb. orvosi vizsgálat stb. alapján szellemi vagy fizikai állapot javítására vonatkozó útmutatást, orvosi ellátást vagy vényt adott az érintettnek;
                                 
                              
                                    iv.
                                 
                                 
                                    az a tény, hogy letartóztatást, átvizsgálást, lefoglalást, őrizetbe vételt, büntetőeljárás alá vonást vagy büntetőüggyel kapcsolatos egyéb eljárást foganatosítottak az érintettel, mint gyanúsítottal vagy vádlottal szemben;
                                 
                              
                                    v.
                                 
                                 
                                    az a tény, hogy nyomozást, megfigyelési és védelmi intézkedést, meghallgatást és határozathozatalt, védelmi intézkedést vagy fiatalkorúak védelmére irányuló üggyel kapcsolatos egyéb eljárást foganatosítottak az érintettel, mint fiatalkori elkövetővel vagy a fiatalkorúakról szóló törvény 3. cikkének (1) bekezdése alapján fiatalkori elkövetéssel gyanúsított személlyel szemben.
                                 
                              
                  
                        A szabályok 5. cikke.
                        A kabinethatározat 2. cikkének i. pontja alapján a személyes információk védelmével foglalkozó bizottság szabályaiban előírt testi vagy szellemi fogyatékosság az alábbiakban felsorolt fogyatékosságoknak felel meg.
                        
                                    i.
                                 
                                 
                                    a testi fogyatékos személyek jóllétéről szóló törvény (1949. évi 283. sz. törvény) mellékletében található táblázatban felsorolt testi fogyatékosságok
                                 
                              
                                    ii.
                                 
                                 
                                    a szellemi fogyatékos személyek jóllétéről szóló törvény (1960. évi 37. sz. törvény) mellékletében található táblázatban felsorolt szellemi fogyatékosságok
                                 
                              
                                    iii.
                                 
                                 
                                    az értelmi károsodással élő személyek mentális egészségéről és jólétéről szóló törvényben (az 1950. évi 123. sz. törvényben) említett értelmi károsodások (beleértve a fejlődési rendellenességgel élő személyek támogatásáról szóló törvény 2. cikkének (1) bekezdésében előírt fejlődési rendellenességeket)
                                 
                              
                                    iv.
                                 
                                 
                                    bevált gyógymóddal nem rendelkező betegség vagy egyéb olyan különleges betegségek, amelyeknek a fogyatékos személyek mindennapi és szociális életének átfogó támogatásáról szóló törvény (a 2005. évi 123. sz. törvény) 4. cikkének (1) bekezdése alapján kabinethatározatban előírt súlyossága megfelel annak a szintnek, amelyet az egészségügyi, munkaügyi és jóléti miniszter a szóban forgó bekezdés alapján meghatározott
                                 
                              
                  Ha a megfelelőségi határozat alapján az EU-ból kapott személyes adatok az egyén szexuális életére, szexuális irányultságára vagy szakszervezeti tagságára vonatkozó adatokat tartalmaznak, amelyeket az általános adatvédelmi rendelet alapján a személyes adatok különleges kategóriáiként határoztak meg, a személyes információkat kezelő gazdasági szereplők kötelesek ugyanolyan módon kezelni ezeket a személyes adatokat, mint a törvény 2. cikkének (3) bekezdése értelmében vett különleges gondosságot igénylő személyes információkat.
            (2)   Megőrzött személyes adatok (a törvény 2. cikkének (7) bekezdése)
            
                        A törvény 2. cikke ((7) bekezdés)
                        
                                 
                                    (7)
                                 
                                 
                                    E törvényben „megőrzött személyes adatok”: olyan személyes adatok, amelyek tekintetében a személyes információkat kezelő gazdasági szereplő jogosult a helyesbítésre, a tartalom kiegészítésére vagy törlésére, valamint a használat megszüntetésére, az eltávolításra, a harmadik félnek történő rendelkezésre bocsátás megszüntetésére, továbbá amelyekre nem vonatkozik, hogy valamely kabinethatározat szerint valószínűleg sértik a közérdeket vagy egyéb érdeket, amennyiben meglétük vagy hiányuk ismertté válik, vagy legfeljebb egyéves, kabinethatározat által meghatározott időtartamon belül törlendők.
                                 
                              
                  
                        A kabinethatározat 4. cikke
                        A 2. cikk (7) bekezdése alapján a kabinethatározatban előírt személyes adatok megfelelnek az alábbiakban felsoroltaknak.
                        
                                    i.
                                 
                                 
                                    olyan adatok, amelyekkel kapcsolatban fennáll annak lehetősége, hogy amennyiben az említett személyes adatok megléte vagy hiánya ismertté válik, az veszélyeztetné az érintett vagy egy harmadik fél életét, testi épségét vagy anyagi javait;
                                 
                              
                                    ii.
                                 
                                 
                                    olyan adatok, amelyekkel kapcsolatban fennáll annak lehetősége, hogy amennyiben az említett személyes adatok megléte vagy hiánya ismertté válik, az jogellenes vagy igazságtalan cselekedetre ösztönözne;
                                 
                              
                                    iii.
                                 
                                 
                                    olyan adatok, amelyekkel kapcsolatban fennáll annak lehetősége, hogy amennyiben az említett személyes adatok megléte vagy hiánya ismertté válik, az veszélyeztetné a nemzetbiztonságot, megszüntetné a bizalmi kapcsolatot valamely idegen országgal vagy nemzetközi szervezettel, vagy hátrányos lenne valamely idegen országgal vagy nemzetközi szervezettel folytatott tárgyalásokra nézve; valamint,
                                 
                              
                                    iv.
                                 
                                 
                                    olyan adatok amelyekkel kapcsolatban fennáll annak lehetősége, hogy amennyiben az említett személyes adatok megléte vagy hiánya ismertté válik, az akadályozná a közbiztonság és a közrend fenntartását, például a bűncselekmények megelőzését, leküzdését vagy a bűncselekményekkel kapcsolatos nyomozást.
                                 
                              
                  
                        A kabinethatározat 5. cikke
                        A törvény 2. cikkének (7) bekezdése alapján a kabinethatározatban előírt időszak hat hónap.
                     
                  A megfelelőségi határozat alapján az EU-ból kapott személyes adatok a törvény 2. cikkének (7) bekezdése értelmében vett megőrzött személyes adatként kezelendők, függetlenül attól az időszaktól, amelyen belül törlendők.
            Ha a megfelelőségi határozat alapján az EU-ból kapott személyes adatok valamely kabinethatározatban előírt azon személyes adatok körébe tartoznak, amelyek „valószínűleg sértik a közérdeket vagy egyéb érdeket, amennyiben meglétük vagy hiányuk ismertté válik”, az ilyen adatokat nem kell megőrzött személyes adatokként kezelni (lásd a kabinethatározat 4. cikkét; az általános szabályokra vonatkozó iránymutatást, „2–7. Megőrzött személyes adatok”).
            (3)   A felhasználási cél meghatározása, a felhasználási cél miatti korlátozás (a törvény 15. cikkének (1) bekezdése, 16. cikkének (1) bekezdése és 26. cikkének (1) és (3) bekezdése)
            
                        A törvény 15. cikkének (1) bekezdése
                        
                                 
                                    (1)
                                 
                                 
                                    A személyes információkat kezelő gazdasági szereplőknek a személyes információk kezelése során a lehető legkonkrétabban meg kell határozniuk a személyes információk felhasználási célját (a továbbiakban: felhasználási cél).
                                 
                              
                  
                        A törvény 16. cikkének (1) bekezdése
                        
                                 
                                    (1)
                                 
                                 
                                    A személyes információkat kezelő gazdasági szereplők nem kezelhetik a személyes információkat az előző cikk rendelkezései szerint meghatározott, a felhasználás céljának eléréséhez szükséges mértéket meghaladó mértékben az érintett előzetes hozzájárulása nélkül.
                                 
                              
                  
                        A törvény 26. cikkének (1) és (3) bekezdése
                        
                                 
                                    (1)
                                 
                                 
                                    A személyes információkat kezelő gazdasági szereplőnek a harmadik féltől származó személyes adatok átvételekor meg kell erősítenie a személyes információk védelmével foglalkozó bizottság szabályainak megfelelően az alábbiakban felsorolt kérdéseket. (kihagyva)
                                    
                                                i.
                                             
                                             
                                                (kihagyva)
                                             
                                          
                                                ii.
                                             
                                             
                                                az említett személyes adatok a szóban forgó harmadik fél általi megszerzésének körülményei
                                             
                                          
                              
                                 
                                    (3)
                                 
                                 
                                    A személyes információkat kezelő gazdasági szereplőnek az (1) bekezdés rendelkezéseinek értelmében történő megerősítést követően a személyes információk védelmével foglalkozó bizottság szabályainak megfelelően a személyes adatok rendelkezésre bocsátásának időpontjában nyilvántartásba kell vennie az említett megerősítéssel kapcsolatos kérdést és a személyes információk védelmével foglalkozó bizottság szabályai által előírt egyéb kérdéseket.
                                 
                              
                  Amennyiben a személyes információkat kezelő gazdasági szereplők a törvény 15. cikkének (1) bekezdésében meghatározott, a felhasználás céljának eléréséhez szükséges mértéket meghaladó mértékben kezelnek személyes információkat, ahhoz meg kell kapniuk az érintett előzetes hozzájárulását (a törvény 16. cikkének (1) bekezdése). A személyes információkat kezelő gazdasági szereplőnek a harmadik féltől származó személyes adatok átvételekor a Szabályok értelmében meg kell erősítenie olyan kérdéseket, mint az említett személyes adatok a szóban forgó harmadik fél általi megszerzésének körülményei, és nyilvántartást kell vezetnie e kérdésekről (a törvény 26. cikkének (1) és (3) bekezdése).
            Amennyiben a személyes információkat kezelő gazdasági szereplő egy megfelelőségi határozat alapján az Uniótól kap személyes adatokat, az említett személyes adatok megszerzésével kapcsolatos, a 26. cikk (1) és (3) bekezdésében foglaltaknak megfelelően megerősített és nyilvántartásba vett körülményeknek tartalmazniuk kell az Unió által küldött adatok felhasználási célját.
            Hasonlóképp, amennyiben a személyes információkat kezelő gazdasági szereplő egy másik, személyes információkat kezelő gazdasági szereplőtől kap egy megfelelőségi határozat alapján korábban az Unióból továbbított személyes adatokat, az említett személyes adatok megszerzésével kapcsolatos, a 26. cikk (1) és (3) bekezdésében foglaltaknak megfelelően megerősített és nyilvántartásba vett körülményeknek tartalmazniuk kell a megküldött adatok felhasználási célját.
            A fent említett esetekben a személyes információkat kezelő gazdasági szereplőnek meg kell határoznia az említett személyes adatok felhasználásának célját azon felhasználási cél hatálya alatt, amely célból az adat eredetileg vagy később átvételre, a 26. cikk (1) és (3) bekezdésében foglaltaknak megfelelően megerősítésre és nyilvántartásba vételre került, valamint az adatokat az említett hatály alatt kell felhasználnia (a törvény 15. cikkének (1) bekezdésében és 16. cikkének (1) bekezdésében foglaltak szerint).
            (4)   Külföldi országban lévő harmadik félnek történő adattovábbításra vonatkozó korlátozás (a törvény 24. cikke; a Szabályok 11. cikkének (2) bekezdése)
            
                        A törvény 24. cikke
                        A személyes információkat kezelő gazdasági szereplő – az előző cikk (1) bekezdésének rendelkezéseiben meghatározott esetek kivételével – személyes adatok harmadik fél számára történő rendelkezésre bocsátása esetén – (kivéve a személyes információk védelmével foglalkozó bizottság szabályai szerinti előírásoknak megfelelő rendszert létrehozó személyt, aki a folyamatos intézkedéshozatalhoz szükséges, amely egyenértékű a személyes információkat kezelő gazdasági szereplőnek az e szakasz rendelkezései értelmében a személyes adatok kezelésével kapcsolatos intézkedésével; a továbbiakban ugyanez e cikkben) valamely külföldi országban (azaz Japán területén kívül található ország vagy régió; a továbbiakban ugyanez) (kivéve a személyes információk védelmével foglalkozó bizottság szabályaiban foglaltak szerinti külföldi országot, amely olyan, a személyes információk védelmével foglalkozó rendszert hoz létre, amely az egyének jogainak és érdekeinek védelmét illetően a japán rendszerrel elismerten egyenértékű előírásokkal rendelkezik; a továbbiakban ugyanez e cikkben), az érintett előzetes hozzájárulásával, miszerint jóváhagyja a külföldi országban lévő harmadik fél számára történő adattovábbítást. Ebben az esetben az előző cikk rendelkezései nem alkalmazandók.
                     
                  
                        A Szabályok 11. cikkének (2) bekezdése
                        A személyes információk védelmével foglalkozó bizottság szabályaiban foglalt előírások a törvény 24. cikke szerint a következő pontok valamelyike alá tartoznak.
                        
                                    i.
                                 
                                 
                                    a személyes információkat kezelő gazdasági szereplő és a személyes adatokat átvevő személy a személyes adatok kezelésével kapcsolatban – megfelelő és észszerű módszer alkalmazása révén – biztosítják az intézkedéseknek a törvény 1. szakaszának IV. fejezete szerinti rendelkezések céljával összhangban történő végrehajtását
                                 
                              
                                    ii.
                                 
                                 
                                    a személyes adatokat átvevő személy a személyes információk kezelésével kapcsolatos valamely nemzetközi keret alapján elismerésben részesült
                                 
                              
                  A személyes információkat kezelő gazdasági szereplőnek, ha az EU-ból megfelelőségi határozat alapján továbbított személyes adatokat bocsát valamely külföldi országban lévő harmadik fél rendelkezésére, meg kell kapnia az érintett előzetes hozzájárulását, miszerint a törvény 24. cikke értelmében jóváhagyja a külföldi országban lévő harmadik fél számára történő adattovábbítást, miután tájékoztatást kapott az adattovábbítás olyan körülményeiről, amelyek szükségesek ahhoz, hogy az érintett személy határozatot hozzon a hozzájárulásról, kivéve az alábbi i.–iii. alpontok valamelyike alá tartozó eseteket.
            
                        i.
                     
                     
                        amennyiben a harmadik fél olyan, a szabályokban foglaltak szerinti külföldi ország, amely olyan, a személyes információk védelmével foglalkozó rendszert hoz létre, amely az egyének jogainak és érdekeinek védelmét illetően a japán rendszerrel elismerten egyenértékű előírásokkal rendelkezik
                     
                  
                        ii.
                     
                     
                        amennyiben a személyes információkat kezelő gazdasági szereplő és a személyes adatokat átvevő harmadik fél a személyes adatoknak a harmadik fél általi kezelése viszonylatában együttesen olyan intézkedéseket hajtott végre, amelyek a törvény által előírt védelemmel egyenértékű védelmet biztosítanak, a jelen szabályokkal együtt értelmezve, megfelelő és észszerű módszer alkalmazásával (szerződés, egyéb kötelező érvényű megállapodás vagy egy vállalatcsoporton belüli kötelező megállapodások formájában).
                     
                  
                        iii.
                     
                     
                        a törvény 23. cikke (1) bekezdésének minden egyes pontja alá tartozó esetekben
                     
                  (5)   Anonimizáltan kezelt információ (a törvény 2. cikkének (9) bekezdése és 36. cikkének (1) és (2) bekezdése)
            
                        A törvény 2. cikkének (9) bekezdése
                        
                                 
                                    (9)
                                 
                                 
                                    E törvény értelmében az „anonimizáltan kezelt információ”: olyan, egyénekre vonatkozó információ, amely személyes információk kezeléséből hozható létre oly módon, hogy minden említett pontban a személyes információk típusainak megfelelően meghatározott intézkedések révén nem azonosíthatók a konkrét személyek, valamint nem állíthatók helyre a személyes információk.
                                    
                                                i.
                                             
                                             
                                                az (1) bekezdés i. alpontja alá tartozó személyes információk;
                                                Az említett személyes információk leírásokat tartalmazó részének törlése (ideértve a leírások stb. említett részének más leírásokkal stb. való helyettesítését, alkalmanként olyan módszer alkalmazásával, amely helyreállíthatja a leírások stb. említett részét)
                                             
                                          
                                                ii.
                                             
                                             
                                                az (1) bekezdés ii. alpontja alá tartozó személyes információk;
                                                Az említett személyes információkban foglalt valamennyi egyéni azonosító kód törlése (ideértve az említett egyéni azonosító kódok más leírásokkal stb. való helyettesítését, alkalmanként olyan módszer alkalmazásával, amely helyreállíthatja az említett személyes azonosító kódokat)
                                             
                                          
                              
                  
                        A törvény 36. cikkének (1) bekezdése
                        
                                 
                                    (1)
                                 
                                 
                                    A személyes információkat kezelő gazdasági szereplők anonimizáltan kezelt információ létrehozása során (az anonimizáltan kezelt információs adatbázist stb. képező információkra korlátozva; a továbbiakban ugyanez e cikkben) a személyes információk védelmével foglalkozó bizottság szabályaiban foglalt előírásoknak megfelelően kezelik a személyes információkat oly módon, amely ahhoz szükséges, hogy ne legyenek azonosíthatók a konkrét személyek, valamint ne legyenek helyreállíthatók a létrehozáshoz használt személyes információk.
                                 
                              
                  
                        A Szabályok 19. cikke
                        A személyes információk védelmével foglalkozó bizottság szabályaiban foglalt előírások a törvény 36. cikkének (1) bekezdése szerint a következők:
                        
                                    i.
                                 
                                 
                                    a személyes információkban említett konkrét személy azonosítását lehetővé tevő leírások egészének vagy egy részének törlése (ideértve az ilyen leírások stb. más leírásokkal stb. való helyettesítését, alkalmanként olyan módszer alkalmazásával, amely helyreállíthatja a leírások stb. egészét vagy egy részét)
                                 
                              
                                    ii.
                                 
                                 
                                    a személyes információkban foglalt valamennyi egyéni azonosító kód eltörlése (ideértve e kódok más leírásokkal stb. való helyettesítését, alkalmanként olyan módszer alkalmazásával, amely helyreállíthatja az egyéni azonosító kódokat)
                                 
                              
                                    iii.
                                 
                                 
                                    azon kódok eltörlése (ténylegesen a személyes információkat kezelő gazdasági szereplő által kezelt plurális információkat kölcsönösen összekapcsoló kódokra korlátozva), amelyek összekapcsolják a személyes információkat és a személyes információkkal szembeni intézkedéshozatal révén kapott információkat (ideértve az említett kódok azon egyéb kódokkal történő helyettesítését, amelyek nem képesek az említett személyes információkat összekapcsolni az említett személyes információkkal szembeni intézkedéshozatal révén kapott információkkal, alkalmanként olyan módszer alkalmazásával, amely helyreállíthatja az említett kódokat)
                                 
                              
                                    iv.
                                 
                                 
                                    idioszinkratikus leírások stb. törlése (ideértve az ilyen leírások stb. más leírásokkal stb. való helyettesítését, alkalmanként olyan módszer alkalmazásával, amely helyreállíthatja az idioszinkratikus leírásokat stb.)
                                 
                              
                                    v.
                                 
                                 
                                    az előző összes pontban meghatározott intézkedéseken kívül a megfelelő intézkedés meghozatala a személyes információkat tartalmazó adatbázisok stb. olyan jellemzőjét figyelembe vevő eredmények alapján, mint a személyes információkban foglalt leírások stb. és az említett személyes információkat magukban foglaló, személyes információkat tartalmazó adatbázist stb. képező egyéb személyes információkban foglalt leírások stb. közötti különbségek
                                 
                              
                  
                        A törvény 36. cikkének (2) bekezdése
                        
                                 
                                    (2)
                                 
                                 
                                    A személyes információkat kezelő gazdasági szereplő anonimizáltan kezelt információ létrehozása során köteles olyan biztonsági ellenőrzési intézkedéseket tenni a szóban forgó információk kapcsán a személyes információk védelmével foglalkozó bizottság szabályaiban foglalt előírásoknak megfelelően, hogy megakadályozza az említett leírásokkal stb. és az anonimizáltan kezelt információ létrehozásához használt személyes információkból törölt egyéni azonosító kódokkal, valamint az előző bekezdés rendelkezéseinek megfelelően alkalmazott kezelési móddal kapcsolatos információk kiszivárgását.
                                 
                              
                  
                        A Szabályok 20. cikke
                        A személyes információk védelmével foglalkozó bizottság szabályaiban foglalt előírások a törvény 36. cikkének (2) bekezdése szerint a következők:
                        
                                    i.
                                 
                                 
                                    az említett leírásokkal stb. és az anonimizáltan kezelt információ létrehozásához használt személyes információkból törölt egyéni azonosító kódokkal kapcsolatos, valamint a 36. cikk (1) bekezdésének rendelkezései értelmében végrehajtott kezelési módhoz kapcsolódó információkat kezelő személy jogosultsági körének és felelősségi körének egyértelmű meghatározása (azokra korlátozva, amelyek képesek az ilyen kapcsolódó információkhoz felhasználása révén helyreállítani a személyes információkat) (e cikkben a továbbiakban: a kezelési móddal stb. kapcsolatos információk).
                                 
                              
                                    ii.
                                 
                                 
                                    a kezelés módjával stb. kapcsolatos információk kezelésére vonatkozó szabályok és eljárások meghatározása, a kezelés módjával stb. kapcsolatos információknak a szabályokkal és eljárásokkal összhangban történő megfelelő kezelése, az információkezelés helyzetértékelése, illetőleg az ilyen értékelés eredményei alapján a szükséges intézkedések meghozatala a javítás érdekében
                                 
                              
                                    iii.
                                 
                                 
                                    a szükséges és megfelelő intézkedés meghozatala, amely megakadályozza a kezelés módjával stb. kapcsolatos információk kezeléséhez jogosultsággal nem rendelkező személyt abban, hogy kezelje a kezelés módjával stb. kapcsolatos információkat
                                 
                              
                  Az EU-ból megfelelőségi határozat alapján továbbított személyes információk a törvény 2. cikkének (9) bekezdése értelmében csak akkor tekinthetők anonimizáltan kezelt információnak, ha a személyes információkat kezelő gazdasági szereplő olyan intézkedéseket hoz, amelyek bárki számára visszafordíthatatlanná teszik az egyén anonimizálását, többek között a kezelés módjával stb. kapcsolatos információk törlésével (az említett leírásokkal stb. és az anonimizáltan kezelt információ létrehozásához használt személyes információkból törölt egyéni azonosító kódokkal, valamint a törvény 36. cikkének (1) bekezdése rendelkezéseinek megfelelően alkalmazott kezelési móddal kapcsolatos információk [azon információkra korlátozva, amelyek képesek helyreállítani az említett kapcsolódó információk felhasználása révén a személyes információkat]).
            
               (1)  A törvény 4., 6., 8., 24., 60., és 78. cikke, valamint a szabályok 11. cikke.
            
               (2)  A jogos indokot a személyes információkat kezelő gazdasági szereplő hatókörén kívül eső, rendkívüli jellegű, észszerűen előre nem látható eseményként (például természeti katasztrófák), vagy olyan esetként kell értelmezni, amikor már nincs szükség a személyes adatok védelmével foglalkozó bizottság által a törvény 42. cikkének (1) bekezdése alapján kiadott ajánlással kapcsolatos intézkedés meghozatalára, mivel a személyes információkat kezelő gazdasági szereplő alternatív intézkedést tett, hogy maradéktalanul orvosolja a jogsértést.
         
      
      
         
            2. MELLÉKLET
            Věra Jourová, az Európai Bizottság jogérvényesülésért, fogyasztópolitikáért és a nemek közötti esélyegyenlőségért felelős biztosa
            Tisztelt Biztos Asszony!
            Örömömre szolgál, hogy Japán és az Európai Bizottság között konstruktív párbeszédre kerül sor, amelynek célja, hogy kiépítse a személyes adatok kölcsönös továbbítására irányuló keretet Japán és az EU között.
            Az Európai Bizottság Japán kormányához intézett megkeresésére küldöm a csatolt dokumentumot, amely áttekintést nyújt azon jogi keretről, amely Japán kormányának az információkhoz való hozzáférését szabályozza.
            E dokumentum Japán több minisztériumát és kormányzati szervét is érinti, a dokumentum tartalmát illetően pedig hatáskörüknek megfelelően eljárva az érintett minisztériumok és kormányzati szervek (a kabinet titkársága, a Nemzeti Rendőrhivatal, a személyes információk védelmével foglalkozó bizottság, a Belügyi- és Kommunikációs Minisztérium, az Igazságügyi Minisztérium, a Közbiztonsági Hírszerzési Ügynökség, a Honvédelmi Minisztérium) a felelősek. Az alábbiakban találja az érintett minisztériumok és kormányzati szervek felsorolását, valamint a kapcsolódó aláírásokat.
            A személyes információk védelmével foglalkozó bizottság foglalkozik az e dokumentumokkal összefüggő kérdésekkel, és koordinálja a szükséges válaszokat az érintett minisztériumok és kormányzati szervek között.
            Remélem, hogy e dokumentum segítséget nyújt majd az Európai Bizottságnak a határozathozatal során. ·
            Nagyra értékelem az ez ügyben tett jelentős hozzájárulását!
            Megkülönböztetett tisztelettel:
            Yoko Kamikawa
            igazságügyi miniszter
            Ezt a dokumentumot az Igazságügyi Minisztérium, valamint az alábbi minisztériumok és ügynökségek készítették.
            Koichi Hamano
            tanácsos, Kabinettitkárság
            Schunichi Kuryu
            a Nemzeti Rendőrhivatal főbiztosa
            Mari Sonoda
            főtitkár, személyes információk védelmével foglalkozó bizottság
            Mitsuru Yasuda
            Miniszterhelyettes, Belügyi- és Kommunikációs Minisztérium
            Seimei Nakagawa
            Közbiztonsági Hírszerzési Ügynökség
            Kenichi Takahashi
            közigazgatási miniszterhelyettes, Védelmi minisztérium
            2018. szeptember 14.
            
               Személyes információknak a japán közigazgatási szervek által bűnüldözési és nemzetbiztonsági célból történő gyűjtése és felhasználása
            
            A következő dokumentum áttekintést ad a személyes (elektronikus) információknak a japán közigazgatási szervek által bűnüldözési és nemzetbiztonsági célból történő gyűjtéséről és felhasználásáról (a továbbiakban: kormányzati hozzáférés), különösen annak jogalapjáról, alkalmazandó feltételeiről (korlátairól) és biztosítékairól, ideértve a független felügyeletet és az egyéni jogorvoslati lehetőségeket is. Az Európai Bizottságnak címzett ezen nyilatkozat kötelezettségvállalásként szolgál és biztosítékot nyújt a tekintetben, hogy az EU-ból Japánba továbbított személyes információkhoz való kormányzati hozzáférés a szükséges és arányos mértékre korlátozódjon, független felügyelet hatálya alá tartozzon, és hogy az érintett egyének a magánélethez és az adatvédelemhez való alapvető joguk sérelme esetén jogorvoslatban részesülhessenek. A nyilatkozat a személyes információk védelmével foglalkozó bizottság (PPC) által kezelt új jogorvoslati mechanizmus létrehozásáról is rendelkezik, amely arra szolgál, hogy kezelje az EU-ból Japánba továbbított személyes adatokhoz való kormányzati hozzáféréssel kapcsolatos, uniós egyének által benyújtott panaszokat.
            I.   A kormányzati hozzáférésre vonatkozó általános jogelvek
            
            A közhatalom gyakorlásaként a kormányzati hozzáférés a jogszabályok maradéktalan tiszteletben tartása mellett történik (a jogszerűség elve). A személyes adatok Japánban egy többrétegű mechanizmus révén mind a magánszektorban, mind a közszektorban védelmet élveznek.
            A.   Alkotmányos keret és a törvényi felhatalmazás követelményére vonatkozó fenntartás alapelve
            Az Alkotmány 13. cikke és az ítélkezési gyakorlat alkotmányos jogként ismeri el a magánélethez való jogot. E tekintetben a Legfelsőbb Bíróság természetesnek tartja, hogy az egyének nem szeretnék, hogy mások megalapozott ok nélkül megismerjék személyes adataikat, és megállapította, hogy ezt az elvárást teljesíteni kell (1). További biztosítékot ad az Alkotmány 21. cikkének (2) bekezdése, amely biztosítja a kommunikáció titkosságának tiszteletben tartását, valamint az Alkotmány 35. cikke, amely tiltja a bírói engedély nélküli házkutatást és lefoglalást, vagyis a személyes adatok kényszerrel történő gyűjtése – ideértve a hozzáférést is – csak bírói engedéllyel végezhető. Ilyen bírói engedély kizárólag már elkövetett bűncselekménnyel kapcsolatos vizsgálat céljából adható. Japán jogrendszere tehát nem engedélyezi az információk nemzetbiztonsági (vagyis nem nyomozati) célú, kényszerrel történő gyűjtését.
            Továbbá, a törvényi felhatalmazás követelményére vonatkozó fenntartás alapelvével összhangban, a kötelező információgyűjtés esetében kifejezetten szükség van törvényi felhatalmazásra. A nem kötelező/önkéntes információgyűjtés esetében az információ szabadon hozzáférhető forrásból vagy önkéntes közzététel iránti megkeresésből származik; utóbbi egy olyan megkeresés, amelynek végrehajtása nem kényszeríthető ki az információt birtokló természetes vagy jogi személytől. Ez azonban csak akkor megengedett, ha a hatóság hatáskörrel rendelkezik a vizsgálat lefolytatására, mivel az egyes hatóságok csak a törvény által előírt illetékességi területükön járhatnak el (függetlenül attól, hogy tevékenységük ütközik-e az egyének jogaival és szabadságaival). A hatóságok ezen alapelv alkalmazásával gyűjthetnek személyes információkat.
            B.   A személyes információk védelmének különleges szabályai
            A személyes információk védelméről szóló törvény és a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény – az Alkotmány rendelkezései alapján, azokat tovább részletezve – mind a magánszektorban, mind a közszektorban garantálja a személyes információkhoz való jogot.
            A személyes információk védelméről szóló törvény 7. cikke alapján a személyes információk védelmével foglalkozó bizottságnak ki kell alakítania a „személyes információk védelmére irányuló alappolitikát” (a továbbiakban: alappolitika). Az alappolitika meghatározza a személyes információk védelmével kapcsolatos japán irányvonalat. Elfogadására a kormányzat központi szerveként működő japán kabinet (a miniszterelnök és a miniszterek) határozatával kerül sor. A személyes információk védelmével foglalkozó bizottság így a személyes információk védelmét ellátó rendszer „parancsnoki központjaként” szolgál.
            Ha a közigazgatási szervek személyes információkat gyűjtenek – akár kényszerrel, akár másképp –, elvben (2) meg kell felelniük a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény előírásainak. Az említett törvény a „megőrzött személyes adatoknak” (3) (a törvény 2. cikkének (1) bekezdésében meghatározott) „közigazgatási szervek” általi kezelésére alkalmazandó általános törvény. A törvény tehát a bűnüldözési vagy nemzetbiztonsági okokból történő adatkezelésre is kiterjed. A kormányzati hozzáférés használatára jogosult hatóságok körébe a prefekturális rendőrség kivételével minden olyan nemzeti kormányzati hatóság beletartozik, amely megfelel a „közigazgatási szerv” fogalommeghatározásának. A személyes információk prefekturális rendőrség általi kezelését prefekturális rendeletek (4) szabályozzák, amelyek a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvénnyel egyenértékű alapelveket, jogokat és kötelezettségeket írnak elő a személyes információk védelme tekintetében.
            II.   Kormányzati hozzáférés bűnüldözési célból
            
            A.   Jogalap és korlátozások
            1.   Személyes információk kényszerrel történő gyűjtése
            
               a)   Jogalap
            
            Az Alkotmány 35. cikke alapján minden embernek joga van biztonságban lenni az otthonában, illetve joga van az iratai és más személyes tulajdona biztonságához, és e jog belépés, házkutatás vagy lefoglalás céljára csak „megfelelő indokból” kiadott bírósági engedéllyel korlátozható, a házkutatás helyszínének és a lefoglalandó tárgyaknak a pontos megjelölésével. Következésképpen a hatóságok nyomozás keretében csak bírói engedéllyel végezhetik az elektronikus információk kötelező gyűjtését. Ez vonatkozik mind a (személyes) információkat tartalmazó elektronikus nyilvántartásokból való adatgyűjtésre, mind a kommunikáció valós idejű lehallgatására. E szabály alól egyetlen kivétel van (amely azonban a személyes információk külföldről, elektronikus úton történő továbbításával összefüggésben nem releváns): a büntetőeljárási törvény (5) 220. cikkének (1) bekezdése, amely szerint az ügyész, az ügyészhelyettes vagy a nyomozó hatóság tisztviselője a gyanúsított vagy a „tetten ért elkövető” őrizetbe vételekor szükség esetén „az őrizetbe vétel helyszínén” házkutatást végezhet és lefoglalást hajthat végre.
            A büntetőeljárási törvény 197. cikkének (1) bekezdése szerint a kötelező vizsgálati intézkedések „csak az ebben a törvényben meghatározott külön rendelkezések esetén alkalmazandók”. Az elektronikus információk kötelező gyűjtésének jogalapja a büntetőeljárási törvény 218. cikkének (1) bekezdése (amely szerint az ügyész, az ügyészhelyettes vagy a nyomozó hatóság tisztviselője bűncselekménnyel kapcsolatos nyomozáshoz szükséges esetben bírói engedéllyel házkutatást végezhet, és lefoglalást vagy szemlét hajthat végre) és 222-2. cikke (amely szerint az elektronikus kommunikációnak a felek hozzájárulása nélküli lehallgatására vonatkozó kötelező intézkedéseket más törvények alapján kell meghozni). Ez utóbbi rendelkezés a nyomozati célú lehallgatásról szóló törvényre (a lehallgatási törvényre) hivatkozik, amely a 3. cikkének (1) bekezdésében meghatározza azokat a feltételeket, amelyek mellett bizonyos súlyos bűncselekmények kapcsán bírói engedéllyel kommunikáció lehallgatása végezhető (6).
            Ami a rendőrséget illeti, a nyomozati jogkör mindig a prefekturális rendőrségé, a Nemzeti Rendőrhivatal a büntetőeljárási törvény alapján nem végez nyomozást.
            
               b)   Korlátozások
            
            Az elektronikus információk kötelező gyűjtését az Alkotmány és – az ítélkezési gyakorlatnak megfelelően értelmezett – felhatalmazó jogszabályok korlátozzák, amely utóbbiak különösen a bírói engedélyek kiadására alkalmazandó kritériumokat határozzák meg. Emellett a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény is számos korlátozást ír elő az információk gyűjtésére és kezelésére egyaránt (a helyi rendeletek gyakorlatilag azonos kritériumokat írnak elő a prefekturális rendőrségek számára).
            (1)   Az Alkotmányból és a felhatalmazó jogszabályokból eredő korlátozások
            A büntetőeljárási törvény 197. cikkének (1) bekezdése értelmében a kötelező rendelkezések csak az említett törvényben meghatározott külön rendelkezések esetén alkalmazandók. A büntetőeljárási törvény 218. cikkének (1) bekezdése kimondja továbbá, hogy lefoglalás stb. kizárólag „bűncselekménnyel kapcsolatos nyomozáshoz szükséges esetben”, bírói engedéllyel hajtható végre. Habár a jogszabályok nem pontosítják a szükségesség megítélésére vonatkozó kritériumokat, a Legfelsőbb Bíróság (7) elrendelte, hogy a rendelkezések szükségességének értékelésekor bíró végezzen átfogó értékelést, és vegye figyelembe különösen a következőket:
            
                        a)
                     
                     
                        a bűncselekmény súlyossága és elkövetésének módja;
                     
                  
                        b)
                     
                     
                        a bizonyítékként lefoglalt tárgyak értéke és fontossága;
                     
                  
                        c)
                     
                     
                        a lefoglalt tárgyak elrejtésének vagy megsemmisítésének valószínűsége;
                     
                  
                        d)
                     
                     
                        a lefoglalás okozta hátrányok mértéke;
                     
                  
                        e)
                     
                     
                        egyéb kapcsolódó körülmények.
                     
                  A korlátozások továbbá az Alkotmány 35. cikkében foglalt azon követelményből erednek, amely szerint „megfelelő okot” kell felmutatni. A „megfelelő okra” vonatkozó előírás értelmében bírói engedély akkor adható, ha: 1. a nyomozás indokolt (lásd a Legfelsőbb Bíróság fent említett, 1969. március 18-i ítéletét (1968 (Shi) 100. szám)), 2. olyan helyzet állt elő, amelyben vélelmezhető, hogy a gyanúsított (a vádlott) bűncselekményt követett el (a büntető eljárásjogi szabályzat 156. cikkének (1) bekezdése) (8). 3. A vádlotton kívüli személyre vonatkozó motozás vagy házkutatás csak akkor engedélyezhető, ha észszerűen feltételezhető, hogy a lefoglalandó tárgyak léteznek (a büntetőeljárási törvény 102. cikkének (2) bekezdése). Ha a bíró úgy ítéli meg, hogy a nyomozó hatóságok által benyújtott írásos bizonyítékok nem alapozzák meg kellően a bűncselekmény gyanúját, elutasítja az engedély iránti kérelmet. E tekintetben meg kell jegyezni, hogy a szervezett bűnözés elleni szankciókról és a bűncselekményből származó jövedelmek ellenőrzéséről szóló törvény értelmében a tervezett bűncselekmény „előkészülete” (pl. a terrorista bűncselekmény elkövetéséhez szükséges pénz előkészítése) önmagában is bűncselekménynek minősül, így bírói engedéllyel kötelező vizsgálat tárgyát képezheti.
            Végül, amennyiben a bírói engedély a gyanúsítotton vagy a vádlotton kívüli személyre vonatkozó motozással vagy házkutatással kapcsolatos, úgy az csak akkor adható ki, ha észszerűen feltételezhető, hogy a lefoglalandó tárgyak léteznek (a büntetőeljárási törvény 102. cikkének (2) bekezdése és 222. cikkének (1) bekezdése).
            A kommunikáció nyomozati célú, lehallgatási törvényen alapuló lehallgatását illetően kifejezetten meg kell említeni, hogy arra csak az említett törvény 3. cikkének (1) bekezdésében foglalt szigorú követelmények teljesülése esetén kerülhet sor. E rendelkezés szerint a lehallgatáshoz mindig előzetes bírói engedélyre van szükség, amelyet csak korlátozott helyzetekben (9) lehet kiadni.
            (2)   A közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvényből eredő korlátozások
            A személyes adatok közigazgatási szervek által történő gyűjtése (10) és további feldolgozása (ideértve különösen a megőrzést, kezelést és felhasználást) tekintetében a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény mindenekelőtt az alábbi korlátozásokat írja elő:
            
                        a)
                     
                     
                        a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény 3. cikkének (1) bekezdése szerint a közigazgatási szervek csak akkor őrizhetnek meg személyes információkat, ha arra törvényben vagy rendeletben meghatározott hatáskörükbe tartozó feladatok elvégzéséhez szükség van. Az információk megőrzése esetén a közigazgatási szerveknek továbbá a lehetséges mértékben meg kell határozniuk a személyes adatok felhasználásának célját. A közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény 3. cikkének (2) és (3) bekezdése szerint a közigazgatási szervek nem őrizhetnek meg személyes adatot az így meghatározott felhasználás céljához szükséges mértéken túlmenően, és a felhasználás célját csak az eredeti cél elérése szempontjából észszerűen relevánsnak minősülő mértékben módosíthatják.
                     
                  
                        b)
                     
                     
                        A közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény 5. cikke előírja, hogy a közigazgatási szerv vezetőjének törekednie kell arra, hogy a megőrzött személyes adatok – a felhasználási cél eléréséhez szükséges mértékben – pontosak és naprakészek legyenek.
                     
                  
                        c)
                     
                     
                        A közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény 6. cikkének (1) bekezdése szerint a közigazgatási szerv vezetőjének meg kell tennie a megőrzött személyes adatok kiszivárgásának, elvesztésének vagy károsodásának megakadályozásához, valamint a személyes adatok megfelelő kezeléséhez szükséges intézkedéseket.
                     
                  
                        d)
                     
                     
                        A közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény 7. cikke szerint a munkavállalók (ideértve a korábbi munkavállalókat is) – megfelelő indok nélkül – nem adhatják át az általuk megszerzett személyes adatokat másik személynek, illetőleg nem használhatják fel azokat rosszhiszemű célból.
                     
                  
                        e)
                     
                     
                        Emellett a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény 8. cikkének (1) bekezdése előírja, hogy a közigazgatási szerv vezetője a megőrzött személyes adatokat nem használhatja fel a meghatározott felhasználási céltól eltérő célra, illetőleg nem adhatja át azokat másik személynek, amennyiben törvény vagy rendelet máshogy nem rendelkezik. Noha a 8. cikk (2) bekezdése meghatározott esetekre vonatkozóan kivételeket tartalmaz e szabály alól, ezek csak akkor alkalmazhatók, ha az ilyen kivételes adatátadás valószínűsíthetően nem jár az érintett vagy valamely harmadik fél jogainak és érdekeinek „rosszhiszemű” megsértésével.
                     
                  
                        f)
                     
                     
                        A közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény 9. cikke szerint személyes adatok más személynek történő átadásakor a közigazgatási szerv vezetője szükség esetén korlátozza a felhasználás célját vagy módját, illetőleg bármely más szükséges korlátozást vezet be; felszólíthatja továbbá az adatokat átvevő személyt arra, hogy tegye meg az információk kiszivárgásának megakadályozásához és az információ megfelelő kezeléséhez szükséges intézkedéseket.
                     
                  
                        g)
                     
                     
                        A közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény 48. cikke előírja, hogy a közigazgatási szerv vezetőjének biztosítania kell a személyes adatok kezelésével kapcsolatos panaszok megfelelő és gyors feldolgozását.
                     
                  2)   Személyes információk önkéntes együttműködésre vonatkozó megkeresés révén történő gyűjtése (önkéntes vizsgálat)
            
               a)   Jogalap
            
            A kötelező eszközök igénybevételén kívül személyes adatok szerezhetők szabadon hozzáférhető forrásból vagy önkéntes információátadás, többek között a gazdasági szereplők birtokában levő adatok átadása révén.
            Ami az utóbbit illeti, a büntetőeljárási törvény 197. cikkének (2) bekezdése felhatalmazza az ügyészséget és a rendőri szerveket arra, hogy „vizsgálati ügyekkel kapcsolatos írásbeli megkereséssel” éljenek (úgynevezett „kérőlap”). A büntetőeljárási törvény szerint a megkeresett személynek tájékoztatást kell nyújtania a nyomozati hatóságoknak. Mindazonáltal a megkeresett személyt nem lehet kötelezni arra, hogy adjon tájékoztatást, amennyiben a megkeresést átvevő közhivatal, illetőleg állami és/vagy magánszervezet visszautasítja az együttműködést. Amennyiben az említettek nem válaszolnak a megkeresésre, nem szabható ki büntetőjogi vagy egyéb szankció. Amennyiben a nyomozati hatóságok a megkeresés tárgyát képező információt elengedhetetlennek tartják, bírói engedélyen alapuló házkutatás és lefoglalás révén kell hozzájutniuk ahhoz.
            Mivel az egyének egyre inkább tudatában vannak a magánélet védelméhez való joguknak, valamint tekintettel az ilyen megkeresések következtében felmerülő munkateherre, a gazdasági szereplők egyre óvatosabban járnak el a megkeresésekre való reagálás során (11). Az együttműködésről való döntéskor a gazdasági szereplők figyelembe veszik mindenekelőtt a kért információ jellegét, az érintett személlyel való kapcsolatukat, a jó hírnevükkel, valamint a jogvitákkal összefüggő kockázatokat stb.
            
               b)   Korlátozások
            
            Ahogy az elektronikus információk kötelező eszközökkel való összegyűjtése esetében, az Alkotmány – az ítélkezési gyakorlat és a felhatalmazást tartalmazó alapszabály értelmezése szerint – korlátozza az önkéntes vizsgálatot is. Emellett egyes esetekben a gazdasági szereplők számára jogszabály tiltja információk nyilvánosságra hozatalát. Végül, a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény számos, az információk összegyűjtésére és kezelésére egyaránt alkalmazandó korlátozásról rendelkezik (a helyi rendeletek pedig lényegében ugyanezeket a kritériumokat írják elő a prefekturális rendőrség tekintetében).
            (1)   Az Alkotmányból és a felhatalmazást tartalmazó alapszabályból eredő korlátozások
            Az Alkotmány 13. cikkében meghatározott célra figyelemmel a Legfelsőbb Bíróság 1969. december 24-i 1965 (A) 1187. számú, valamint 2008. április 15-i 2007 (A) No.839. számú határozatában megállapította a nyomozati hatóságok által folytatott önkéntes vizsgálatokra vonatkozó korlátozásokat. Noha ezek a határozatok olyan esetekre vonatkoztak, amelyekben fénykép/film készítése révén került sor (kép formájában megjelenő) személyes információk gyűjtésére, a megállapítások általánosságban relevánsak az olyan önkéntes (nem kötelező eszközökkel végzett) vizsgálatok szempontjából is, amelyek érintik az egyén magánéletének védelmét. Következésképpen e határozatok alkalmazandók a személyes adatok önkéntes vizsgálat keretében történő összegyűjtésére, és azokat be kell tartani, az egyes esetek konkrét körülményeinek figyelembevételével.
            Az említett határozatok értelmében az önkéntes vizsgálat jogszerűsége három kritérium teljesítésétől függ, ezek:
            
                        —
                     
                     
                        a „bűncselekmény gyanúja” (vagyis meg kell vizsgálni, hogy történt-e bűncselekmény);
                     
                  
                        —
                     
                     
                        a „vizsgálat szükségessége” (vagyis meg kell vizsgálni, hogy a megkeresés a vizsgálat céljából szükségesnek ítélt mértékre korlátozódik-e); valamint
                     
                  
                        —
                     
                     
                        a „módszerek megfelelősége” (vagyis meg kell vizsgálni, hogy az önkéntes vizsgálat „megfelelő-e” vagy észszerű-e a vizsgálat céljának eléréséhez) (12).
                     
                  Általánosságban az önkéntes vizsgálat jogszerűségét a fenti három kritérium figyelembevételével abból a szempontból kell megítélni, hogy a társadalmilag elfogadott konvencióknak megfelelően észszerűnek tekinthetők-e.
            A vizsgálat „szükségességére” vonatkozó követelmény továbbá közvetlenül következik a büntetőeljárási törvény 197. cikkéből, és megerősítik a Nemzeti Rendőrhivatal által a prefekturális rendőrség számára a kérőlapok használatára vonatkozóan kiadott utasítások is. A Nemzeti Rendőrhivatal 1999. december 7-i közleménye számos eljárási korlátozást ír elő, többek között azt, hogy kérőlapot csak akkor lehet alkalmazni, ha az a vizsgálat céljából szükséges. Emellett a büntetőeljárási törvény 197. cikkének (1) bekezdése csak bűnügyi nyomozásokra vonatkozik, ezért csak akkor alkalmazandó, ha az a konkrét gyanú merül fel, hogy már történt bűncselekmény. Ezzel szemben az említett jogalap nem alkalmazandó a személyes adatok gyűjtésére és felhasználására akkor, ha még nem történt jogsértés.
            (2)   Egyes gazdasági szereplőkre vonatkozó korlátozások
            Bizonyos területeken további korlátozások alkalmazandók, amelyek más jogszabályokban előírt védelmen alapulnak.
            Először, a nyomozati hatóságok, valamint a személyes adatokat birtokló távközlési szolgáltatók az Alkotmány 21. cikke (2) bekezdésének megfelelően kötelesek tiszteletben tartani a kommunikáció titkosságát (13). A távközlési törvény 4. cikke is ugyanezt írja elő a távközlési szolgáltatók számára (14). Az Alkotmány és a távközlési törvény alapján a Belügyi és Kommunikációs Minisztérium által kibocsátott, a személyes információk távközlési ágazatban megvalósítandó védelmére vonatkozó iránymutatás szerint a távközlési szolgáltató olyan esetben, amikor felmerül a kommunikációs titok megsértésének kockázata, nem közölhet harmadik féllel a kommunikációs titokkal összefüggő személyes információt, kivéve, ha ahhoz az egyén hozzájárult, illetőleg ha a szolgáltató az igazolható indokok valamelyikével alá tudja támasztani a Büntető Törvénykönyv megsértését. Igazolható indokok a következők: „igazolható cselekmények” (a Büntető Törvénykönyv 35. cikke), „önvédelem” (a Büntető Törvénykönyv 36. cikke), továbbá „fennálló veszély elhárítása” (a Büntető Törvénykönyv 37. cikke). A Büntető Törvénykönyv értelmében a távközlési szolgáltató olyan cselekménye tekinthető igazolható cselekménynek, amelyet azért hajt végre, hogy megfeleljen az állam által meghatározott kötelező intézkedéseknek, ami kizárja az önkéntes vizsgálatot. Következésképpen, amennyiben a nyomozati hatóságok kérőlap alkalmazásával személyes információt kérnek (a büntetőeljárási törvény 197. cikkének (2) bekezdése), a távközlési szolgáltató nem adhat át ilyen információt.
            Másodszor, a gazdasági szereplők kötelesek visszautasítani az önkéntes együttműködésre irányuló megkereséseket, amennyiben jogszabály tiltja számukra a személyes adatok nyilvánosságra hozatalát. Ide tartoznak például azok az esetek, amikor a gazdasági szereplőnek kötelessége az információk bizalmas jellegének tiszteletben tartása, például a Büntető Törvénykönyv 134. cikke értelmében (15).
            (3)   A közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvényen alapuló korlátozások
            A személyes adatok közigazgatási szervek általi összegyűjtése és további kezelése tekintetében a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény korlátozásokról rendelkezik, ahogy azt a II.A.1. szakasz (2) bekezdésének b) pontja ismerteti. A prefekturális rendőrségre alkalmazandó prefektusi rendeletek ezekkel egyenértékű korlátozásokat írnak elő.
            B)   Felügyelet
            1)   Bírói felügyelet
            A személyes adatok kötelező eszközökkel történő összegyűjtésének bírói engedélyen (16) kell alapulnia, így előzetes bírói vizsgálat hatálya alá tartozik. Amennyiben a nyomozás jogellenes volt, a bíró az így feltárt bizonyítékot kizárhatja az ügyben indult későbbi büntetőeljárásból. Az egyén – a nyomozás jogellenességére hivatkozva – kérelmezhet ilyen kizárást az őt érintő büntetőeljárásban.
            2)   A közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvényen alapuló felügyelet
            Japánban a miniszter vagy az egyes minisztériumok vagy ügynökségek vezetőjének hatáskörébe tartozik a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvényen alapuló felügyelet vagy végrehajtás, miközben a belügyi és kommunikációs miniszter vizsgálhatja a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény más minisztériumok általi végrehajtását.
            Amennyiben a belügyi és kommunikációs miniszter – például a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény (17) végrehajtásának állására, a panaszok vagy a minisztériumhoz tartozó valamely átfogó információs központhoz küldött megkeresés feldolgozására vonatkozó vizsgálat alapján – a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény céljának elérése érdekében szükségesnek tartja, a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény 50. cikkének megfelelően felkérheti valamely közigazgatási szerv vezetőjét arra, hogy bocsássa rendelkezésére a személyes adatok érintett közigazgatási szerv általi kezelésére vonatkozó dokumentumokat és magyarázatokat. A miniszter véleményt fogalmazhat meg a közigazgatási szerv vezetője felé a személyes adatoknak az általa irányított közigazgatási szervben való feldolgozásáról, amennyiben azt e törvény céljának elérése érdekében szükségesnek tartja. Emellett a miniszter a törvény 50. és 51. cikke szerint rendelkezésére álló lépések révén kérheti például az intézkedések felülvizsgálatát, amennyiben felmerül a törvény megsértésének vagy nem megfelelő végrehajtásának gyanúja. Ez hozzájárul a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény egységes alkalmazásának és betartásának biztosításához.
            3)   A rendőrség közbiztonsági bizottságok általi felügyelete
            A rendőrségi igazgatás tekintetében a Nemzeti Rendőrhivatal a Nemzeti Közbiztonsági Bizottság felügyelete alá tartozik, míg a prefekturális rendőrség a minden prefektúrában létrehozott prefekturális közbiztonsági bizottságok egyikének felügyelete alatt áll. E felügyeleti szervek mindegyike biztosítja a rendőrségi igazgatás demokratikus irányítását és politikai semlegességét.
            A Nemzeti Közbiztonsági Bizottság azon ügyekért felelős, amelyek a rendőrségi törvény és egyéb törvények értelmében a joghatóságába tartoznak. Ezek közé tartozik a Nemzeti Rendőrhivatal főbiztosának és a helyi vezető rendőri tisztviselőknek a kinevezése, valamint olyan átfogó politikák létrehozása, amelyek megállapítják a Nemzeti Rendőrhivatal igazgatása tekintetében alapvető iránymutatásokat vagy intézkedéseket.
            A prefekturális közbiztonsági bizottságok a rendőrségi törvény alapján az adott prefektúra lakosságát képviselő tagokból állnak, és független tanácsok rendszereként irányítják a prefekturális rendőrséget. A tagokat a rendőrségi törvény 39. cikke alapján a prefektúrák kormányzói jelölik ki a prefekturális közgyűlés jóváhagyásával. A tagok hivatali ideje három év, és akaratuk ellenére csak a törvényben felsorolt konkrét okból (például feladataik ellátására való alkalmatlanság, a feladatok elhanyagolása, kötelességszegés stb.) meneszthetők, ezzel biztosítva függetlenségüket (lásd a rendőrségi törvény 40. és 41. cikkét). Továbbá a politikai semlegesség garantálása érdekében a rendőrségi törvény 42. cikke megtiltja a bizottság tagja számára, hogy egyidejűleg jogalkotó szerv tagja legyen, politikai párt vagy más politikai testület ügyvezető tagjává váljon, vagy aktívan részt vegyen politikai mozgalmakban. Noha minden bizottság a megfelelő prefekturális kormányzó joghatósága alá tartozik, a kormányzó hatásköre nem terjed ki az adott bizottság feladatai gyakorlására vonatkozó utasítások kibocsátására.
            A rendőrségi törvény 2. cikkével és 36. cikkének (2) bekezdésével összefüggésben értelmezett 38. cikkének (3) bekezdése értelmében a prefekturális közbiztonsági bizottságok felelősek „az egyének jogainak és szabadságának védelméért”. E célból a prefekturális rendőrség vezetőitől az azok joghatóságán belüli tevékenységekről jelentéseket kapnak, többek között a havonta három vagy négy alkalommal tartott rendszeres üléseken. A bizottságok átfogó politikák létrehozásával iránymutatást nyújtanak ezen ügyek kapcsán.
            A prefekturális közbiztonsági bizottságok továbbá felügyeleti funkciójuk részeként utasításokat adhatnak a prefekturális rendőrségnek konkrét, egyedi esetekben, amikor ezt szükségesnek tartják a prefekturális rendőrség tevékenységeivel vagy személyzete hivatali visszaélésével kapcsolatos nyomozás keretében. A bizottságok emellett – ha szükségesnek tartják – kijelölhetnek egy bizottsági tagot, hogy vizsgálja felül a kiadott utasítás végrehajtásának állapotát (a rendőrségi törvény 43-2. cikke).
            4)   Az országgyűlés általi felügyelet
            Az országgyűlés vizsgálatokat folytathat a közigazgatási szervek tevékenységeivel kapcsolatban, és e célból kérheti dokumentumok bemutatását és tanúk vallomását (az Alkotmány 62. cikke). Ennek keretében az országgyűlés illetékes bizottsága megvizsgálhatja a rendőrség által végzett információgyűjtési tevékenységek megfelelőségét.
            Ezeket a hatásköröket az országgyűlési törvény részletezi. A törvény 104. cikke szerint az országgyűlés kérheti a kabinettől és az állami szervektől, hogy készítsenek a vizsgálata elvégzéséhez szükséges jelentéseket és felvételeket. Az országgyűlés tagjai továbbá „írásbeli kérdéseket” nyújthatnak be az országgyűlési törvény 74. cikke alapján. Ezeket a kérdéseket a házelnöknek jóvá kell hagynia, a kabinetnek pedig elvben hét napon belül írásban meg kell válaszolnia (ha az említett időszakon belül nem lehetséges válaszolni, akkor ezt indokolni kell, és új határidőt kell meghatározni, az országgyűlési törvény 75. cikke), Korábban az országgyűlés írásbeli kérdései a személyes információk közigazgatási kezelésére is kitértek (18).
            C)   Egyéni jogorvoslat
            A japán Alkotmány 32. cikke értelmében senkitől nem tagadható meg az igazságszolgáltatáshoz való jog. Emellett az Alkotmány 17. cikke minden személy számára garantálja az állam vagy valamely közigazgatási szerv beperlésének jogát (a törvényben előírtak szerint) abban az esetben, ha az egyén valamely állami tisztviselő jogellenes tevékenysége miatt kárt szenvedett.
            1)   Bírói engedély alapján történő kötelező információgyűjtéssel szembeni bírósági jogorvoslat (a büntetőeljárási törvény 430. cikke)
            A büntetőeljárási törvény 430. cikkének (2) bekezdése szerint az az egyén, aki tárgyak (köztük személyes információkat tartalmazók) bírói engedély alapján történő lefoglalása kapcsán elégedetlen a valamely rendőr által hozott intézkedésekkel, megkeresést (úgynevezett „kvázi panaszt”) nyújthat be az illetékes bírósághoz az intézkedések „visszavonására vagy módosítására”.
            Ezt a kérelmet anélkül be lehet nyújtani, hogy az egyénnek meg kellene várnia az ügy lezárását. Ha a bíróság úgy véli, hogy a lefoglalásra nem volt szükség, vagy hogy más indokok miatt jogellenesnek tekinthető a lefoglalás, elrendelheti az ilyen intézkedések visszavonását vagy módosítását.
            2)   Bírósági jogorvoslat a polgári perrendtartás és az állammal szembeni jogorvoslatról szóló törvény alapján
            Ha magánszemélyek úgy vélik, hogy az Alkotmány 13. cikke szerinti magánélet szabadságához való jogukat megsértették, polgári eljárást indíthatnak, amelyben kérik a bűnügyi nyomozás során gyűjtött személyes információik törlését.
            A magánszemélyek emellett kártérítési eljárást indíthatnak a Polgári Törvénykönyv vonatkozó cikkeivel együtt értelmezett, az állammal szembeni jogorvoslatról szóló törvény alapján, ha úgy vélik, hogy személyes információik összegyűjtése vagy megfigyelése eredményeképp sérült a magánélet szabadságához való joguk és kárt szenvedtek (19). Mivel a kártérítési igény tárgyát képező „kár” nem korlátozódik a vagyoni károkra (a Polgári Törvénykönyv 710. cikke), „mentális zavar”-ra is kiterjedhet. Az ilyen erkölcsi kárért járó kártérítés összegét a bíró „minden esetben különböző tényezőket mérlegelve szabad értékelés” alapján állapítja meg (20).
            Az állammal szembeni jogorvoslatról szóló törvény 1. cikkének (1) bekezdése jogot biztosít a kártérítésre, ha i. az állami vagy egy nyilvánosan működő gazdálkodó egységhez kapcsolódó közhatalmat gyakorló köztisztviselő ii. a feladatai ellátása során iii. szándékosan vagy gondatlanságból iv. jogellenesen v. kárt okozott egy másik személynek.
            Az egyénnek a polgári perrendtartással összhangban kell benyújtania a keresetet. Az alkalmazandó szabályok szerint ezt megteheti a jogellenes károkozás helye szerint illetékes bíróságnál.
            3)   A rendőrség által jogszerűtlenül vagy helytelenül végrehajtott nyomozás esetén igénybe vehető egyéni jogorvoslat: a prefekturális közbiztonsági bizottsághoz benyújtott panasz (a rendőrségi törvény 79. cikke)
            A rendőrségi törvény 79. cikke (21) értelmében, amelyet tovább pontosít a Nemzeti Rendőrhivatal vezetőjének a prefekturális rendőrséghez és a prefekturális közbiztonsági bizottságokhoz (22) intézett utasítása, az egyének írásbeli panaszt (23) nyújthatnak be az illetékes prefekturális közbiztonsági bizottsághoz, ha valamely rendőr feladatai ellátása során jogellenes vagy helytelen magatartást tanúsított; ebbe beletartoznak a személyes információk gyűjtésével és felhasználásával kapcsolatos feladatok. A bizottságnak lelkiismeretesen kell kezelnie ezeket a panaszokat a törvényeknek és a helyi rendeleteknek megfelelően, és írásban értesítenie kell a panaszost a vizsgálat eredményéről.
            A rendőrségi törvény 38. cikkének (3) bekezdése szerinti felügyeleti hatásköre alapján a prefekturális közbiztonsági bizottság utasítást ad a prefekturális rendőrségnek arra, hogy vizsgálja meg a tényeket, a vizsgálat eredményei alapján hozza meg a szükséges intézkedéseket és az eredményekről számoljon be a bizottságnak. Ha szükségesnek véli, a bizottság a panasz kezelésére vonatkozóan is adhat utasítást, például ha elégtelennek véli a rendőrség által végzett vizsgálatot. Ennek alkalmazását a Nemzeti Rendőrhivatal által a prefekturális rendőrség vezetői részére kiadott közlemény írja le.
            A panaszosnak a vizsgálat eredményeiről való tájékoztatása során figyelembe kell venni a vizsgálattal és a bizottság kérésére hozott intézkedésekkel kapcsolatban a rendőrségtől kapott jelentéseket is.
            4)   Egyéni jogorvoslat az APPIHAO és a büntetőeljárási törvény alapján
            
               a)   APPIHAO
            
            Az APPIHAO 48. cikke alapján a közigazgatási szerveknek törekedniük kell a személyes információk kezelésével kapcsolatos panaszok megfelelő és gyors kezelésére. A Belügyi és Kommunikációs Minisztérium az APPIHAO 47. cikkének (2) bekezdése alapján minden prefektúrában létrehozott az információk közzétételével/személyes adatok védelmével foglalkozó átfogó információs központokat, amelyek az egyének számára konszolidált információkat biztosítanak (például az APPIHAO alapján a közzétételhez, a helyesbítéshez vagy a használat felfüggesztéséhez való jogról), továbbá kérdések esetén kapcsolattartó pontként szolgálnak. Kérdéseket nem helyi lakosok is benyújthatnak. A 2017. pénzügyi évben (2017. áprilistól 2018. márciusig) például 5186 volt azon ügyek teljes száma, amelyekben az átfogó információs központok kérdéseket válaszoltak meg.
            Az APPIHAO 12. és 27. cikke jogot biztosít az egyének számára, hogy kérjék a megőrzött személyes információk közlését és helyesbítését. Az APPIHAO 36. cikke szerint továbbá az egyének kérhetik megőrzött személyes információik felhasználásának felfüggesztését vagy törlését, ha a közigazgatási szerv nem jogszerűen kapta meg a megőrzött személyes információkat, vagy az ilyen információkat a törvény megsértésével őrzi vagy használja.
            Mindazonáltal a bűnügyi nyomozások céljából (bírói engedély alapján vagy „kérőlap” útján) összegyűjtött és megőrzött személyes információk (24) általában „a perekhez és lefoglalt tárgyakhoz kapcsolódó dokumentumokban szereplő személyes információk” kategóriájába tartoznak. A büntetőeljárási törvény 53-2. cikke szerint az APPIHAO 4. fejezetében foglalt egyéni jogok alkalmazási körébe ezért nem tartoznak bele az ilyen személyes információk (25). Az ilyen személyes információk feldolgozására és az egyén hozzáférési és helyesbítési jogára ehelyett külön szabályok vonatkoznak a büntetőeljárási törvény és a befejezett büntetőeljárások nyilvántartásáról szóló törvény keretében (lásd alább) (26). Ezt a kizárást különböző tényezők indokolják, úgy mint az érintett személyek magánéletének védelme, a vizsgálatok titkossága és a büntetőeljárások megfelelő lefolytatása. Mindezekkel együtt az APPIHAO 2. fejezetének az ilyen adatok kezelésére vonatkozó elvekre irányadó rendelkezései továbbra is alkalmazandók.
            
               b)   A büntetőeljárási törvény
            
            A büntetőeljárási törvény szerint a bűnügyi nyomozás céljára gyűjtött személyes információkhoz való hozzáférés lehetősége függ egyfelől az eljárási szakasztól, másfelől pedig az adott személynek a vizsgálatban betöltött szerepétől (gyanúsított, vádlott, sértett stb.).
            A büntetőeljárási törvény 47. cikkében foglalt azon szabály alól, amely szerint a perhez kapcsolódó dokumentumok a per kezdetéig nem hozhatók nyilvánosságra (mivel ez sértené az érintett személyek jó hírnevét és/vagy a magánélet szabadságához fűződő jogát, és akadályozná a nyomozás, illetve a per lefolytatását), kivételt képez az a rendelkezés, amely szerint ezekbe az információkba a bűncselekmény sértettje főszabály szerint betekinthet annyiban, amennyiben az a büntetőeljárási törvény 47. cikkében foglalt rendelkezés célját figyelembe véve észszerűnek tűnik (27).
            A gyanúsítottak általában akkor értesülnek a velük szemben folyó büntetőeljárásról, amikor akár a nyomozást végző rendőri szervek, akár az ügyészség munkatársai kihallgatják őket. Ha ezt követően az ügyész a vádemelés mellőzése mellett dönt, haladéktalanul értesíti erről a gyanúsítottat, amennyiben az ezt kérte (a büntetőeljárási törvény 259. cikke).
            A vádemelés után az ügyész lehetővé teszi a vádlottnak vagy jogi képviselőjének a bizonyítékokba való előzetes betekintést, és csak ezt követően kéri fel a bíróságot azok vizsgálatára (a büntetőeljárási törvény 299. cikke). Ez lehetővé teszi a vádlott számára a bűnügyi nyomozás során vele kapcsolatban gyűjtött személyes információk ellenőrzését.
            Végezetül a bűnügyi nyomozás során összegyűjtött személyes információk védelmét valamennyi személy (gyanúsított, vádlott, sértett stb.) esetében titoktartási kötelezettség (a nemzeti közszolgálati törvény 100. cikke), valamint a közszolgálati feladatok ellátása körében kezelt bizalmas információk kiszivárgása esetén alkalmazandó szankciók lehetősége (a nemzeti közszolgálati törvény 109. cikkének xii. alpontja) is garantálja.
            5)   A jogszerűtlenül vagy helytelenül végrehajtott nyomozás esetén igénybe vehető egyéni jogorvoslat: panasztétel a személyes információk védelmével foglalkozó bizottság előtt
            A személyes információk védelméről szóló törvény 6. cikke szerint a kormány a harmadik országok kormányaival együttműködve megteszi az ahhoz szükséges lépéseket, hogy a személyes információk területén létrejöjjön egy nemzetközileg kompatibilis rendszer, és ennek érdekében előmozdítja az együttműködést a nemzetközi szervezetekkel és más nemzetközi keretekkel. E rendelkezés alapján a személyes információk védelmére irányuló, kabinethatározatban rögzített alappolitika a személyes információk védelmével foglalkozó bizottságra mint a személyes információk védelméről szóló törvénnyel kapcsolatos igazgatási feladatok ellátásáért általában felelős szervre ruházza a Japán és az érintett külföldi ország rendszerei és eljárásai közötti különbségek áthidalásához és az érintett külföldi országtól kapott személyes információk megfelelő kezelésének biztosításához szükséges intézkedések meghozatalára vonatkozó hatáskört.
            Továbbá a személyes információk védelméről szóló törvény 61. cikkének i. és ii. alpontja a személyes információk védelmével foglalkozó bizottság feladataként határozza meg egy alappolitika kidolgozását és promócióját, valamint a közvetítést a gazdasági szereplőkkel szemben benyújtott panaszok kapcsán. Végezetül az érintett közigazgatási szerveknek intenzív kommunikációt és szoros együttműködést kell folytatniuk egymással (a személyes információk védelméről szóló törvény 80. cikke).
            E rendelkezések alapján a személyes információk védelmével foglalkozó bizottság a magánszemélyek által benyújtott panaszok kapcsán a következők szerint jár el:
            
                        a)
                     
                     
                        Az a magánszemély, aki úgy véli, hogy az EU-ból továbbított adatait japán közigazgatási szerv, ideértve az e „Nyilatkozat” II. és III. fejezetében meghatározott feladatokért felelős hatóságokat is, az alkalmazandó szabályok megsértésével – ideértve az e „Nyilatkozatban” foglalt szabályokat is – gyűjthette vagy felhasználhatta, panasszal élhet a személyes információk védelmével foglalkozó bizottság előtt (akár egyénileg, akár az adatvédelmi hatóságán keresztül eljárva).
                     
                  
                        b)
                     
                     
                        A személyes információk védelmével foglalkozó bizottság – adott esetben a személyes információk védelméről szóló törvény 6. cikkében, 61. cikkének ii. alpontjában és 80. cikkében megállapított hatásköre gyakorlásával – feldolgozza a panaszt, és a panaszról tájékoztatja az illetékes közigazgatási szerveket, ideértve az érintett felügyeleti szerveket is.
                        Ezeknek a hatóságoknak a személyes információk védelméről szóló törvény 80. cikke értelmében együtt kell működniük a személyes információk védelmével foglalkozó bizottsággal, és ennek keretében egyebek mellett biztosítania kell a szükséges információkat és kapcsolódó anyagokat annak érdekében, hogy a személyes információk védelmével foglalkozó bizottság értékelhesse, hogy a személyes információk összegyűjtése vagy későbbi felhasználása az alkalmazandó szabályoknak megfelelően történt-e. Az értékelés során a személyes információk védelmével foglalkozó bizottság együttműködik a Belügyi és Kommunikációs Minisztériummal.
                     
                  
                        c)
                     
                     
                        Ha az értékelés az alkalmazandó szabályok megszegését mutatja, akkor az érintett közigazgatási szervek és a személyes információk védelmével foglalkozó bizottság együttműködése a szabályszegés orvoslására való kötelezettséget is magában foglalja.
                        Amennyiben az alkalmazandó szabályok alapján jogosulatlanul történt a személyes információk gyűjtése, az együttműködés keretében az összegyűjtött személyes információkat meg kell semmisíteni.
                        Az alkalmazandó szabályok megszegése esetén a személyes információk védelmével foglalkozó bizottság az értékelés lezárása előtt megerősíti, hogy a szabályszegés maradéktalanul orvoslásra került.
                     
                  
                        d)
                     
                     
                        Az értékelés lezárultával a személyes információk védelmével foglalkozó bizottság – észszerű határidőn belül – értesíti az érintett személyt az értékelés eredményéről, beleértve az esetleg meghozott korrekciós intézkedéseket is. Ebben az értesítésben a személyes információk védelmével foglalkozó bizottság arról a lehetőségről is tájékoztatja az érintett személyt, hogy kérheti az eredmény megerősítését az illetékes közigazgatási szervtől, valamint arról, hogy ezt a megerősítés iránti kérelmet melyik hatósághoz kell benyújtania.
                        Az értékelés eredményével kapcsolatos részletes információkhoz való hozzáférés korlátozható, ha észszerű okból feltételezhető, hogy az információk közzététele kockázatot jelenthet a folyamatban lévő nyomozás szempontjából.
                        Ha a panasz olyan esetre vonatkozik, amikor a személyes adatokat a bűnüldözés keretében gyűjtötték vagy használták fel, a személyes információk védelmével foglalkozó bizottság az értékelés során meggyőződik arról, hogy indult-e olyan ügy, amely érinti az adott magánszemélyre vonatkozó személyes információkat és ezt az ügyet lezárták-e, majd pedig tájékoztatja az adott magánszemélyt arról, hogy a büntetőeljárási törvény 53. cikkének és a befejezett büntetőeljárások nyilvántartásáról szóló törvény 4. cikkének megfelelően az ügyben készült iratok megtekinthetők.
                        Ha az értékelés során kiderül, hogy az adott magánszemély gyanúsítottként szerepel a büntetőügyben, a személyes információk védelmével foglalkozó bizottság erről tájékoztatja az adott személyt, és felhívja a figyelmét arra, hogy a büntetőeljárási törvény 259. cikke alapján kérelmet nyújthat be.
                     
                  
                        e)
                     
                     
                        Ha a magánszemély továbbra is elégedetlen az eljárás eredményével, kapcsolatba léphet a személyes információk védelmével foglalkozó bizottsággal, amely köteles részletes tájékoztatást adni a japán törvényi és rendeleti rendelkezések alapján rendelkezésre álló különböző jogorvoslati lehetőségekről és az ezekkel kapcsolatos eljárásokról. Emellett a személyes információk védelmével foglalkozó bizottság támogatást biztosít az érintett személynek, és ennek keretében tanácsadással és segítségnyújtással szolgál az illetékes közigazgatási vagy bírósági szervhez benyújtható további keresetekkel kapcsolatban.
                     
                  III.   A kormányzat hozzáférése nemzetbiztonsági célból
            
            A.   A személyes információk gyűjtésének jogalapja és korlátai
            1)   Az érintett minisztérium vagy ügynökség általi információgyűjtés jogalapja
            A fentiek szerint a közigazgatási szervek nemzetbiztonsági célból csak az illetékességi területükön gyűjthetnek személyes információkat.
            Japánban nincs jogszabályi lehetőség kényszerrel folytatott információgyűjtésre csak nemzetbiztonsági célból. Az Alkotmány 35. cikke szerint személyes információk kényszer alkalmazásával kizárólag bűncselekmény kivizsgálása céljából kiadott bírósági engedély alapján gyűjthetők. Ilyen engedély tehát kizárólag bűnügyi nyomozás céljából adható ki. Ez azt jelenti, hogy a japán jogrendben nem lehet nemzetbiztonsági okból kényszerrel információkat gyűjteni, illetve információkhoz hozzáférni. Ehelyett a nemzetbiztonság területén az érintett minisztériumok és ügynökségek csak szabadon hozzáférhető forrásokból, illetve – önkéntességi alapon – a gazdasági szereplőktől és a magánszemélyektől juthatnak információkhoz. Az önkéntes együttműködésre felkért gazdasági szereplők jogilag nem kötelesek megadni a kért információkat, tehát nem szankcionálhatók, ha megtagadják az együttműködést.
            A nemzetbiztonság területén több különböző minisztériumi szervezeti egység és ügynökség rendelkezik feladatokkal:
            1.   Kabinettitkárság
            A Kabinettitkárság a kabinettörvény 12-2. cikkében (28) meghatározott fontos kabinetpolitikákkal összefüggésben folytat információgyűjtést és kutatást (29). A Kabinettitkárság azonban nem gyűjthet személyes információkat közvetlenül a gazdasági szereplőktől, hanem kizárólag nyilvános forrásból származó, más hatóságoktól beszerzett stb. adatokat gyűjt, aggregál, elemez és értékel.
            2.   A Nemzeti Rendőrhivatal és a prefekturális rendőrség
            A prefektúrák szintjén a prefekturális rendőrség az illetékességi területén, a rendőrségi törvény 2. cikkének megfelelően jogosult információkat gyűjteni. Bizonyos esetekben – a rendőrségi törvényben meghatározott hatáskörében eljárva – a Nemzeti Rendőrhivatal közvetlenül gyűjt adatokat. Ez az információgyűjtés különösen a Nemzeti Rendőrhivatal biztonsági irodájának, illetve külügyi és hírszerzési osztályának tevékenységéhez kapcsolódik, A rendőrségi törvény 24. cikke szerint a biztonsági iroda a belbiztonsági szolgálattal (30), a külügyi és hírszerzési osztály pedig a külföldi állampolgárokkal, valamint a tevékenységüket külföldön végző japán állampolgárokkal kapcsolatos ügyekben jár el.
            3.   Közbiztonsági Hírszerzési Ügynökség
            A felforgató tevékenységek megelőzéséről szóló törvény és a megkülönböztetés nélküli tömeggyilkosságot elkövető szervezetek ellenőrzéséről szóló törvény alkalmazása elsősorban a Közbiztonsági Hírszerzési Ügynökség feladata. Az ügynökség az Igazságügyi Minisztérium szerve.
            A két említett törvény értelmében az Alkotmányban meghatározott „közbiztonságot” és „alapvető társadalmi rendet” veszélyeztető egyes súlyos cselekményeket („terrorista felforgató tevékenység”, „megkülönböztetés nélküli tömeggyilkosság”) elkövető szervezetekkel szemben szigorú feltételek mellett közigazgatási intézkedések hozhatók (a tevékenység korlátozása, a szervezet feloszlatásának elrendelése stb.). A terrorista felforgató tevékenység a felforgató tevékenységek megelőzéséről szóló törvény hatálya alá tartozik (lásd a törvény 4. cikkét: felkelés, külföldi agresszió támogatása, politikai célzatú emberölés stb.), míg a megkülönböztetés nélküli tömeggyilkosságot elkövető szervezetek ellenőrzéséről szóló törvény a „megkülönböztetés nélküli tömeggyilkosság” kérdéskörével foglalkozik (lásd a törvény 4. cikkét). A két törvény hatálya alá csak pontosan körülhatárolt, közbiztonsági szempontból kifejezett belső vagy külső fenyegetést képező szervezetek tartozhatnak.
            Ebből a célból a két törvény szabályozza a nyomozás jogi kereteit. A Közbiztonsági Hírszerzési Ügynökség személyi állományának alapvető nyomozati hatáskörét a felforgató tevékenységek megelőzéséről szóló törvény 27. cikke és a megkülönböztetés nélküli tömeggyilkosságot elkövető szervezetek ellenőrzéséről szóló törvény 29. cikke állapítja meg. E rendelkezések szerint az ügynökség által folytatott nyomozás az érintett szervezetek tevékenysége elleni fellépést szabályozó fenti törvényi előírások érvényesítéséhez szükséges körre korlátozódik (korábban például baloldali csoportosulásokkal, az Aum Sinrikjó szektával és egyes szorosan Észak-Koreához köthető belföldi csoportokkal szemben folyt nyomozás). A nyomozás során azonban nem alkalmazható kényszer, ezért a személyes információk birtokában lévő szervezet nem kötelezhető a személyes információk átadására.
            Az ügynökségnek önkéntesen átadott információk gyűjtése és feldolgozása a vonatkozó törvényi biztosítékok és korlátozások hatálya alá tartozik, amelyek közül kiemelést érdemel a kommunikációs titokhoz fűződő alkotmányos jog, valamint a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvénynek a személyes információk kezelésére vonatkozó rendelkezései.
            4.   Honvédelmi Minisztérium
            A Honvédelmi Minisztérium a Honvédelmi Minisztérium létrehozásáról szóló törvény 3. és 4. cikke alapján gyűjt információkat a közigazgatási hatáskörének gyakorlásához szükséges körben, ideértve egyebek mellett a „védelem és őrzés” területét, az önvédelmi erők cselekményeit, valamint a szárazföldi, a tengeri és a légi önvédelmi erők alkalmazását. A Honvédelmi Minisztérium kizárólag önkéntes együttműködés keretében és szabadon hozzáférhető forrásokból gyűjt információkat, a nyilvánosság körében nem.
            2)   Korlátok és biztosítékok
            
               a)   Jogszabályi korlátok
            
            1.   Általános korlátozások a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény szerint
            A közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény a közigazgatási szervek által tevékenységük körében folytatott személyesinformáció-gyűjtést és -kezelést szabályozza általános hatállyal. Ezért a II. fejezet A. 1.) b) 2. pontjában ismertetett korlátok és biztosítékok arra az esetre is vonatkoznak, amikor a nemzetbiztonság területén van szó a személyes információk megőrzéséről, tárolásáról, felhasználásáról stb.
            2.   A rendőrségre (a Nemzeti Rendőrhivatalra és a prefekturális rendőrségre egyaránt) alkalmazandó különös korlátozások
            Mint a fentiekben a bűnüldözési célú információgyűjtés kapcsán már láttuk, a rendőrség csak saját hatáskörén és saját illetékességi területén belül folytathat információgyűjtést, és ennek során – a rendőrségi törvény 2. cikkének (2) bekezdése szerint – „szigorúan” a feladatainak ellátásához szükséges körben, „pártatlan, politikailag semleges, előítéletektől mentes és tisztességes” módon kell eljárnia. A törvény azt is kimondja, hogy a rendőrség a hatáskörével „soha nem élhet vissza úgy, hogy azzal bárkinek a japán Alkotmányban rögzített jogát vagy szabadságát korlátozza”.
            3.   A PSIA-ra vonatkozó egyedi korlátozások
            Mind a SAPA 3. cikke, mind pedig az ACO 3. cikke előírja, hogy az ezen aktusok alapján végzett vizsgálatokat csak a kitűzött cél eléréséhez szükséges minimális mértékben kell lefolytatni, és nem végezhetők el olyan módon, amely indokolatlanul korlátozza az alapvető emberi jogokat. Ezen túlmenően a SAPA 45. cikke és az ACO 42. cikke értelmében, ha a PSIA egy tisztviselője visszaélést követ el saját hatóságánál, ez olyan bűncselekménynek minősül, amely súlyosabb büntetőjogi szankciókkal büntetendő, mint az állami szektor más területein elkövetett „általános” hivatali visszaélés.
            4.   A Honvédelmi Minisztériumra vonatkozó egyedi korlátozások
            Ami a Honvédelmi Minisztérium által végzett, a Honvédelmi Minisztérium létrehozásáról szóló törvény 4. cikke szerinti információgyűjtést és -szervezést illeti, a minisztérium információgyűjtésre irányuló tevékenysége a (1) védelemmel és őrzéssel kapcsolatos feladatainak ellátásához, (2) az önvédelmi erők által meghozandó intézkedésekhez, (3) a szárazföldi, tengeri és légvédelmi erők szervezeteihez, személyzetének létszámához, szerkezetéhez, berendezéseihez és telepítéséhez „szükséges” tevékenységekre korlátozódik.
            
               b)   Egyéb korlátozások
            
            Amint az a II.A.2.b) (1) szakaszban a nyomozások kapcsán már kifejtésre került, a Legfelsőbb Bíróság ítélkezési gyakorlatából az következik, hogy gazdasági szereplő felé csak akkor intézhető önkéntes együttműködésre irányuló megkeresés, ha e megkeresés bűncselekmény gyanújának kivizsgálásához szükséges, és alkalmazása a vizsgálat céljának elérése érdekében észszerű.
            Noha a nyomozati hatóságok által a nemzetbiztonság terén folytatott nyomozások a jogalapjukat és céljukat tekintve is eltérnek a nyomozati hatóságok által a bűnüldözés terén folytatott nyomozásoktól, „a nyomozás szükségességének” és „a módszer megfelelőségének” központi elve hasonlóan alkalmazandó a nemzetbiztonság terén, és az egyes esetek konkrét körülményeinek megfelelő figyelembevételével eleget kell tenni nekik.
            A fenti korlátozások kombinációja biztosítja, hogy információgyűjtésre és -kezelésre csak az illetékes hatóság konkrét feladatainak ellátásához szükséges mértékben, valamint konkrét fenyegetettség alapján kerüljön sor. Ez kizárja a személyes információk nemzetbiztonsági okokból történő tömeges és válogatás nélküli gyűjtését vagy az azokhoz történő ilyen hozzáférést.
            B.   Felügyelet
            1)   Az APPIHAO-n alapuló felügyelet
            Amint azt a fenti II.B.2) szakasz kifejti, a japán közszférában a miniszter vagy az egyes minisztériumok vagy ügynökségek vezetője hatáskörrel rendelkezik arra, hogy saját minisztériumában vagy ügynökségében felügyelje és betartassa az APPIHO-nak való megfelelést. Ezenkívül a belügyi- és kommunikációs miniszter megvizsgálhatja a törvény végrehajtásának állapotát, kérheti a minisztereket, hogy a törvény 49. és 50. cikke alapján dokumentumokat és magyarázatokat nyújtsanak be, és a törvény 51. cikke alapján véleményt bocsáthat ki az egyes miniszterek számára. Kérheti például az intézkedések felülvizsgálatát a törvény 50. és 51. cikke szerinti fellépések révén.
            2)   A rendőrség felügyelete a közbiztonsági bizottságok által
            Amint azt a fenti „II. Bűnüldözési célú információgyűjtés” szakasz kifejti, a prefekturális rendőrségek tevékenységét a független prefekturális közbiztonsági bizottságok felügyelik.
            A Nemzeti Rendőrhivatal (NPA) tekintetében a felügyeleti feladatokat a Nemzeti Közbiztonsági Bizottság gyakorolja. A rendőrségi törvény 5. cikke értelmében ez a bizottság felelős különösen az „egyének jogainak és szabadságának védelméért”. E célból különösen olyan átfogó politikákat hoz létre, amelyek megállapítják a rendőrségi törvény 5. cikke (4) bekezdésének pontjaiban meghatározott ügyek igazgatása tekintetében irányadó szabályokat, és meghatározzák az említett tevékenységek elvégzése során irányadó más alapvető útmutatásokat vagy intézkedéseket. A Nemzeti Közbiztonsági Bizottság (NPSC) a prefekturális közbiztonsági bizottságokkal (PPSC) megegyező mértékű függetlenséget élvez.
            3)   A Honvédelmi Minisztérium felügyelete a jogi megfeleléssel foglalkozó főfelügyelő hivatala által
            A jogi megfeleléssel foglalkozó főfelügyelő hivatala (IGO) a Honvédelmi Minisztériumon belül működő független hivatal, amely a honvédelmi miniszter közvetlen felügyelete alatt áll a Honvédelmi Minisztérium létrehozásáról szóló törvény 29. cikke értelmében. Az IGO ellenőrizheti, hogy a Honvédelmi Minisztérium tisztviselői betartják-e a jogszabályokat és az előírásokat. Ezeket az ellenőrzéseket „védelmi vizsgálatoknak” nevezik.
            Az IGO független hivatal szempontjából végez ellenőrzéseket, hogy az egész minisztériumon belül, az önvédelmi erőket is beleértve biztosítsa a jogszabályok betartását. Feladatait a Honvédelmi Minisztérium operatív osztályaitól függetlenül végzi. A vizsgálatokat követően az IGO megállapításairól és a szükséges javító intézkedésekről közvetlenül a honvédelmi miniszternek tesz haladéktalanul jelentést. Az IGO jelentése alapján a honvédelmi miniszter utasítást adhat a helyzet orvoslásához szükséges intézkedések végrehajtására. A miniszterhelyettes felel ezen intézkedések végrehajtásáért, és a honvédelmi miniszter felé jelentést tesz a végrehajtás állásáról.
            Önkéntes átláthatósági intézkedésként a védelmi vizsgálatok eredményeit ma már nyilvánosságra hozzák a Honvédelmi Minisztérium honlapján (bár ezt jogszabály nem írja elő).
            A védelmi vizsgálatok három kategóriába sorolhatók:
            
                        i.
                     
                     
                        Rendszeres védelmi vizsgálat, amelyeket rendszeres időközönként végeznek (31);
                     
                  
                        ii.
                     
                     
                        Inspekciós védelmi vizsgálatok, amelyek célja a javító intézkedések hatékony végrehajtásának ellenőrzése; valamint
                     
                  
                        iii.
                     
                     
                        Különleges védelmi vizsgálatok, amelyeket a honvédelmi miniszter rendel el konkrét ügyekben.
                     
                  Az ilyen vizsgálatok keretében a főfelügyelő jelentéseket, dokumentumokat kérhet be az érintett hivataltól, a vizsgálat céljából beléphet meghatározott helyszínekre, magyarázatot kérhet a miniszterhelyettestől stb. Az IGO ellenőrzési feladatainak jellegére tekintettel e hivatalt nagyon magas rangú jogi szakértők vezetik (a korábbi területi főügyész).
            4)   A PSIA felügyelete
            A PSIA rendszeres és különleges vizsgálatokat végez az egyes hivatalai és irodái működéséről (Közbiztonsági Hírszerzési Iroda, a közbiztonsági hírszerzési hivatalok és részhivatalok stb.). A rendszeres vizsgálatokra helyettes főigazgatót és/vagy igazgatót jelölnek ki ellenőr(ök)nek. Az ilyen vizsgálatok kiterjednek a személyes adatok kezelésére.
            5)   Az országgyűlés általi felügyelet
            Ami a bűnüldözési célú információgyűjtést illeti, az illetékes bizottságon keresztül az országgyűlés megvizsgálhatja az információgyűjtési tevékenységek jogszerűségét a nemzetbiztonság területén. Az országgyűlés vizsgálati hatásköre az Alkotmány 62. cikkén és az országgyűlési törvény 74. és 104. cikkén alapul.
            C.   Egyéni jogorvoslat
            Egyéni jogorvoslatot a bűnüldözés területén fennállóakkal megegyező módon lehet igénybe venni. Ez magában foglalja a személyes információk védelmével foglalkozó bizottság által kezelt és felügyelt, az uniós polgárok által benyújtott panaszok kezelésére és rendezésére szolgáló új jogorvoslati mechanizmust is. Ezzel kapcsolatban lásd a II.C. szakasz vonatkozó részeit.
            Emellett a nemzetbiztonság területén specifikus egyéni jogorvoslati lehetőségek állnak rendelkezésre.
            A közigazgatási szerv által nemzetbiztonsági célból gyűjtött személyes információk az APPIHAO 4. fejezetének hatálya alá tartoznak. Az érintettek kérhetik megőrzött személyes adataik közlését (12. cikk) és helyesbítését (beleértve a kiegészítést vagy a törlést) (27. cikk), valamint, ha az közigazgatási szerv az érintett információt jogellenesen szerezte meg, a személyes adatok felhasználásának felfüggesztését (36. cikk). Ezzel együtt a nemzetbiztonság területén e jogok gyakorlására bizonyos korlátozások vonatkoznak: a közlésre, a helyesbítésre vagy a felfüggesztésre irányuló kérelem nem fogadható el, ha olyan információkat érint, „amelyek esetében a közigazgatási szerv vezetőjének alapos oka van annak megállapítására, hogy a közlés valószínűsíthetően sérti a nemzetbiztonságot, kárt okoz más országokkal vagy nemzetközi szervezetekkel fenntartott, kölcsönös bizalmon alapuló kapcsolatokban, vagy hátrányt okoz egy másik országgal vagy nemzetközi szervezettel folytatott tárgyalások során” (a 14. cikk iv. pontja). A nemzetbiztonsággal kapcsolatos önkéntes adatgyűjtés tehát nem minden esetben tartozik e kivétel hatálya alá, mivel utóbbi esetében mindig konkrétan értékelni kell a közléshez kapcsolódó kockázatokat.
            Továbbá, ha az egyén kérelmét azzal az indokkal utasítják el, hogy az érintett információt a 14. cikk iv. pontja értelmében nem közölhetőnek tekintik, az illető személy közigazgatási jogorvoslati kérelmet nyújthat be az ilyen határozat felülvizsgálata céljából, például arra hivatkozva, hogy a szóban forgó esetben nem teljesülnek a 14. cikk iv. pontjában meghatározott feltételek. Ebben az esetben a határozat meghozatala előtt az érintett közigazgatási szerv vezetője konzultál az az információk közzétételének és a személyes információk védelmének felülvizsgálatával foglalkozó testülettel. Ez a testület a jogorvoslati kérelmet független szempontból vizsgálja meg. A testület erősen szakosodott, független szerv, amelynek tagjait, akik kiemelkedő szakértelemmel rendelkező személyek, a miniszterelnök nevezi ki az országgyűlés mindkét házának egyetértésével (32). A testület széles körű vizsgálati hatáskörrel rendelkezik, így például dokumentumokat kérhet be, felszólíthat a szóban forgó személyes információk közlésére, zárt tanácskozást tarthat, valamint alkalmazhatja a Vaughn-index eljárást (33). A testület ezt követően írásbeli jelentést készít, amelyet eljuttat az érintett személyhez (34). A jelentésben szereplő megállapításokat nyilvánosságra hozzák. Bár a jelentés nem bír jogi kötőerővel, az érintett közigazgatási szervek szinte minden esetben eleget tesznek a jelentésben foglaltaknak (35).
            Végül, a közigazgatási peres ügyekről szóló törvény 3. cikkének (3) bekezdése értelmében az egyén bírósági eljárást indíthat a közigazgatási szerv által hozott, a személyes információk közlésére vonatkozó határozat hatályon kívül helyezéséért.
            IV.   Rendszeres felülvizsgálat
            
            A megfelelőségi határozat rendszeres felülvizsgálatának keretében a személyes információk védelmével foglalkozó bizottság és az Európai Bizottság információkat cserél az adatkezelésről a megfelelőség megállapításának feltételei szerint, beleértve az ebben a nyilatkozatban meghatározottakat is.”
            
               (1)  Legfelsőbb Bíróság, 2003. szeptember 12-i ítélet (2002(Ju) 1656. sz.).
            
               (2)  A közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény 4. fejezetével kapcsolatos kivételek tekintetében lásd a 16. oldalt.
            
               (3)  A közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény 2. cikkének (5) bekezdése szerinti „megőrzött személyes adatnak” a közigazgatási szervek munkatársai által a feladataik ellátása során előállított vagy szerzett, és az említett közigazgatási szervnél az alkalmazottak általi szervezeti célokból való felhasználásra őrzött személyes információk minősülnek.
            
               (4)  Minden prefektúra saját „prefekturális rendeletben” írja elő a személyes információknak a prefekturális rendőrség általi védelmét. E prefekturális rendeleteknek nincs angol fordítása.
            
               (5)  A büntetőeljárási törvény 220. cikkének (1) bekezdése szerint az ügyész, az ügyészhelyettes vagy a nyomozó hatóság tisztviselője a gyanúsított őrizetbe vételekor: a) a gyanúsított felkutatása érdekében beléphet egy másik személy otthonába; b) az őrizetbe vétel helyszínén házkutatást végezhet, és lefoglalást vagy szemlét hajthat végre.
            
               (6)  Konkrétabban, a rendelkezés előírja, hogy „ha az alábbi pontok alá tartozó esetek bármelyikében fennáll annak alapos gyanúja, hogy az adott pontban említett bűncselekmény (a második és a harmadik pontban: »bűncselekmény-sorozat«) elkövetésével, előkészítésével, utócselekményeire – például a bizonyítékok megsemmisítésére stb. – irányuló szövetkezéssel, parancsba adásával és egyéb köztes cselekményeivel kapcsolatos kommunikációra, valamint az említett bűncselekménnyel kapcsolatos ügyeket tartalmazó kommunikációra (a továbbiakban: »bűncselekménnyel kapcsolatos kommunikációra«) fog sor kerülni, vagy ha más módon rendkívül nehéz lenne az elkövető azonosítása vagy a bűnelkövetési helyzet/részletek tisztázása, akkor az ügyész vagy a nyomozó hatóság tisztviselője bírói engedéllyel lehallgathatja a bűncselekménnyel kapcsolatos kommunikációt azon kommunikációs eszközökön, amelyeket a gyanúsított egy távközlési szolgáltatóval kötött szerződés alapján használ, és amelyek telefonszámmal vagy a telefonos kommunikáció kezdeményezőjét/fogadóját azonosító más számmal/kóddal meghatározhatók (azok kivételével, amelyek »bűncselekményekkel kapcsolatos kommunikációra« való felhasználása nem feltételezhető), illetve a bűncselekménnyel kapcsolatos kommunikáció azon kommunikációs eszközökön is lehallgatható, amelyek »bűncselekményekkel kapcsolatos kommunikációra« való felhasználása okkal feltételezhető.”
            
               (7)  Az 1969. március 18-i ítélet, (1968 (Shi) 100. szám).
            
               (8)  A büntető eljárásjogi szabályzat 156. cikkének (1) bekezdés a következőket írja elő: „Az előző cikk (1) bekezdésében említett kérelem benyújtásakor a kérelmezőnek olyan anyagokat kell benyújtania, amelyek alapján vélelmezhető, hogy a gyanúsított vagy a vádlott bűncselekményt követett el.”
            
               (9)  Lásd a 6. lábjegyzetet.
            
               (10)  A közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény 3. cikkének (1) és (2) bekezdése korlátozza a személyes adatok megőrzésének és ezáltal azok gyűjtésének körét.
            
               (11)  Lásd még a Nemzeti Rendőrhivatal által 1999. december 7-én kiadott közleményt (9. o.), amely megemlíti ugyanezt.
            
               (12)  A bűncselekmény súlyossága és a sürgősség releváns tényezők a „módszerek megfelelőségének” értékelése során.
            
               (13)  Az Alkotmány 21. cikkének (2) bekezdése kimondja, hogy „tilos cenzúra alkalmazása, valamint a bármely módon folytatott kommunikáció titkosságának megsértése.”
            
               (14)  A távközlési törvény 4. cikke szerint: „(1) a távközlési szolgáltató által kezelt kommunikáció titkossága nem sérthető meg. (2) A távközlési tevékenységben részt vevő bármely személy a munkája során tudomására jutott – a távközlési szolgáltató által kezelt kommunikációval összefüggő – titkokat nem hozhatja nyilvánosságra. Ugyanez vonatkozik rá munkaviszonyának megszűnését követően is.”
            
               (15)  A Büntető Törvénykönyv 134. cikke kimondja, hogy „(1) Amennyiben egy orvos, gyógyszerész, gyógyszerforgalmazó, szülésznő, ügyvéd, védőügyvéd, közjegyző vagy korábban az említett szakmát gyakorló bármely más személy – megfelelő indok nélkül – nyilvánosságra hoz más személyre vonatkozó olyan bizalmas információt, amely szakmájának gyakorlása során jutott tudomására, munkavégzéssel járó, legfeljebb hathónapos szabadságvesztéssel vagy legfeljebb 100 000 jen összegű pénzbírsággal büntethető. (2) Ugyanez vonatkozik arra az esetre is, amikor valamely személy, aki vallással összefüggő tevékenységet végzett vagy végez, – megfelelő indok nélkül – nyilvánosságra hoz más személyre vonatkozó olyan bizalmas információt, amely az említett vallási tevékenység során jutott a tudomására.”
            
               (16)  Az említett szabály alóli kivétellel összefüggésben lásd az 5. lábjegyzetet.
            
               (17)  Az átláthatóság biztosítása, valamint a belügyi és kommunikációs miniszter általi felügyelet megkönnyítése érdekében a közigazgatási szerv vezetője – a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény 11. cikkének megfelelően – köteles a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény 10. cikkének (1) bekezdésében előírt minden egyes adatot, így például az adatfájlt kezelő közigazgatási szerv nevét, az adatfájl használatának célját, a személyes adatok gyűjtésének módját stb. nyilvántartásba venni („személyes adatokat tartalmazó adatfájlok nyilvántartása”). Mindazonáltal a közigazgatási szervek birtokában lévő személyes információk védelméről szóló törvény 10. cikke (2) bekezdésének hatálya alá tartozó, személyes adatokat tartalmazó adatfájlokra, így például a bűnügyi nyomozás keretében készült vagy kapott, illetőleg nemzetbiztonsági szempontból releváns ügyeket érintő adatfájlokra nem vonatkozik a belügyi és kommunikációs miniszter tájékoztatására és a nyilvánosan hozzáférhető nyilvántartásba való felvételre vonatkozó kötelezettség. Mindazonáltal a nyilvántartások és az archívumok kezeléséről szóló törvény 7. cikke szerint a közigazgatási szerv vezetőjének minden esetben nyilvántartásba kell vennie a közigazgatási dokumentumok besorolását, címét, megőrzési időszakát és tárolásának helyét („közigazgatási dokumentumok adatkezelési nyilvántartása”). Az említett nyilvántartások indexálására vonatkozó információk hozzáférhetők online és ez lehetővé teszi a magánszemélyek számára annak ellenőrzését, hogy az adatfájl milyen személyes adatokat tartalmaz, és mely közigazgatási szerv őrzi az információt.
            
               (18)  Lásd például a felsőház 2009. március 27-i 92. számú írásbeli kérdését a bűnügyi nyomozások keretében gyűjtött információk kezeléséről, beleértve a titoktartási kötelezettségek rendőrség és bűnüldöző hatóságok általi megsértését.
            
               (19)  Az ilyen eljárásra példa „A védelmi ügynökség listájának ügye” (Niigatai Kerületi Bíróság, 2006. május 11-i határozat (2002(Wa) 514. sz.)). Ebben az ügyben a védelmi ügynökség egyik tisztviselője összeállította, vezette és terjesztette azon egyének jegyzékét, akik a védelmi ügynökséghez közigazgatási dokumentumok közzététele iránti kérelmet nyújtottak be. Ezen a listán szerepelt a felperes személyes információinak leírása. Azt állítva, hogy a magánélet szabadságához való joga, az értesülési joga stb. sérült, a felperes az állammal szembeni jogorvoslatról szóló törvény 1. cikkének (1) bekezdése alapján kártérítés fizetését kérte az alperestől. A kérést részben jóváhagyta a bíróság, amely a felperesnek részleges kártérítést ítélt meg.
            
               (20)  Legfelsőbb Bíróság, 1910. április 5-i határozat (1910(O) 71. sz.).
            
               (21)  A rendőrségi törvény 79. cikke (kivonat):
            
                        (1)
                     
                     
                        Bárki, akinek panasza van a prefekturális rendőrség személyzetének feladatvégzésével kapcsolatban, írásbeli panaszt nyújthat be a prefekturális közbiztonsági bizottsághoz a Nemzeti Közbiztonsági Bizottságról szóló rendeletben előírt eljárás szerint.
                     
                  
                        (2)
                     
                     
                        A prefekturális közbiztonsági bizottság, amely az előző bekezdés szerinti panaszt kapott, azt lelkiismeretesen kezeli a törvényeknek és a helyi rendeleteknek megfelelően, és a panasz eredményét írásban közli a panaszossal, a következő esetek kivételével:
                        
                                    1.
                                 
                                 
                                    A panaszról megállapítható, hogy a prefekturális rendőrség feladatai jogszerű végrehajtásának akadályozása céljából nyújtották be;
                                 
                              
                                    2.
                                 
                                 
                                    A panaszos aktuális lakóhelye ismeretlen;
                                 
                              
                                    3.
                                 
                                 
                                    A panaszról megállapítható, hogy más panaszosokkal együtt nyújtották be, és más panaszosokat már értesítettek az együttes panasz eredményéről.
                                 
                              
                  
               (22)  Nemzeti Rendőrhivatal, Közlemény a rendőri feladatok ellátásával kapcsolatos panaszok megfelelő kezeléséről, 2001. április 13., és 1. melléklete: „Előírások a rendőrségi törvény 79. cikkének értelmezésére/végrehajtására vonatkozóan”.
            
               (23)  A Nemzeti Rendőrhivatal közleménye szerint (lásd az előző lábjegyzetet) azon egyéneknek, akiknek nehézséget okoz a panasz megfogalmazása, segítséget kell biztosítani. Ez kifejezetten magában foglalja a külföldiek esetét.
            
               (24)  Másrészről vannak olyan dokumentumok, amelyek nem minősülnek „perekhez kapcsolódó dokumentumoknak”, mivel maguk nem bírói engedély vagy vizsgálati ügyekkel kapcsolatos írásbeli kérdés révén kapott információk, hanem az ilyen dokumentumok alapján jöttek létre. Ez az eset áll fenn, ha a személyes adatok nem tartoznak az APPIHAO 45. cikkének (1) bekezdésének hatálya alá, és ezért az ilyen információt nem zárják ki az APPIHAO 4. fejezetének alkalmazásából.
            
               (25)  A büntetőeljárási törvény 53-2. cikkének (2) bekezdése előírja, hogy az APPIHAO IV. fejezetének rendelkezései nem alkalmazandók a perekhez és lefoglalt tárgyakhoz kapcsolódó dokumentumokban szereplő személyes információkra.
            
               (26)  A büntetőeljárási törvény és a befejezett büntetőeljárások nyilvántartásáról szóló törvény értelmében a büntetőeljárásokhoz kapcsolódó lefoglalt tárgyakhoz, valamint dokumentumokhoz/személyes információkhoz való hozzáférésre és azok helyesbítésére egyedi és különálló szabályrendszer vonatkozik, amelynek célja az érintett személyek magánéletének védelme, a vizsgálatok titkossága és a bűnügyi perek megfelelő lefolytatása, stb.
            
               (27)  Konkrétabban a bűncselekmény sértettjének az objektív bizonyítékokkal kapcsolatos, nem ügyészségi iratokba való betekintési lehetősége főszabály szerint akkor biztosított – az áldozatvédelem fokozása érdekében –, ha az adott esetben a büntetőeljárási törvény 316-33. és azt követő cikkei értelmében lehetőség van a sértett perbeli részvételére.
            
               (28)  Ez a rendelkezés „a fontos kabinetpolitikákkal kapcsolatos hírszerzési információk gyűjtésére és kutatására” vonatkozik.
            
               (29)  Ezt a tevékenységet a kabinet hírszerzési és kutatási osztálya végzi a Kabinettitkárság szervezetéről szóló rendelet 4. cikke alapján.
            
               (30)  A belbiztonsági szolgálat a közbiztonsághoz és az államérdekhez kapcsolódó bűnmegelőzésért és bűnüldözésért felelős. Ebbe a körbe tartozik például a szélsőséges bal- és jobboldali csoportosulások jogellenes cselekményeivel, valamint a nemzetellenes tevékenységgel összefüggő bűnmegelőzés, bűnüldözés és információgyűjtés.
            
               (31)  Az e Nyilatkozat által tárgyalt kérdések szempontjából releváns ellenőrzések egyik példája „A jogi megfelelőséggel kapcsolatos tudatosság/felkészülés” tárgyú, 2016. évi rendszeres védelmi vizsgálat, mivel ennek egyik központi kérdése a személyes adatok védelme volt. Az ellenőrzés konkrétabban a személyes adatok kezelésének, tárolásának stb. helyzetét érintette. Jelentésében az IGO több olyan, a személyes adatok kezelésével kapcsolatos területet is azonosított, ahol előre kell lépni; ilyen például az adatok jelszó révén történő védelmének elmulasztása. A jelentés elérhető a Honvédelmi Minisztérium honlapján.
            
               (32)  Lásd az információk közzétételének és a személyes információk védelmének felülvizsgálatával foglalkozó testületet létrehozó törvény 4. cikkét.
            
               (33)  Lásd az információk közzétételének és a személyes információk védelmének felülvizsgálatával foglalkozó testületet létrehozó törvény 9. cikkét.
            
               (34)  Lásd az információk közzétételének és a személyes információk védelmének felülvizsgálatával foglalkozó testületet létrehozó törvény 16. cikkét.
            
               (35)  Az elmúlt 3 évben nem volt olyan eset, hogy az érintett közigazgatási szerv a testület következtetéseitől eltérő döntést hozott volna. Erre az azt megelőző években is csak elvétve volt példa: a 2005 (az APPIHAO hatálybalépése) óta regisztrált összesen 2 000 ügyből mindössze két esetben. Ha a közigazgatási szerv a testület következtetéseitől eltérő döntést/határozatot hoz, egyértelműen jeleznie kell ennek okát a közigazgatási panaszok felülvizsgálatáról szóló törvény 50. cikke (1) bekezdésének iv. pontja értelmében, melyet az APPIHAO 42. cikke (2) bekezdésének módosításával kell alkalmazni.