Source: http://cyfroteka.pl/ebooki/Komentarz_do%20japonskiej_ustawy_o%20ochronie_danych_osobowych-ebook/p1173800i1354080
Timestamp: 2020-07-12 13:26:54
Legal References Found: art. 1
 art. 4
 art. 1
 art. 2
 art. 9
 art. 10
 art. 4
 art. 5
 art. 222
 art. 4
 art. 3
 art. 6
 art. 8
 art. 15
 art. 5
 art. 5
 art. 6
 art. 16
 art. 16
 art. 18
 art. 9
 art. 9
 art. 4
 art. 14
 art. 27
 Art. 8
 art. 33
 art. 15
 art. 20
 art. 21
 art. 81
 art. 46
 art. 28
 art. 15
 art. 50
 art. 51
 art. 48
 art. 58
 art. 20
 art. 52
 art. 50
 art. 61
 art. 7
 art. 17
 art. 45
 art. 12

Document Content:
Komentarz do japońskiej ustawy o ochronie danych osobowych [Tomasz Łodziana] << KLIKAJ I CZYTAJ ONLINE
00148 003724 18669957 na godz. na dobę w sumie
Autor: Tomasz Łodziana Liczba stron: 153
ISBN: 978-83-8221-050-7 Data wydania:
Tomasz Aleksander Łodziana Komentarz do japońskiej ustawy o ochronie danych osobowych
© Tomasz Aleksander Łodziana, 2020 Publikacja odnosi się do japońskiej ustawy o ochronie danych osobowych dedykowanej przedsiębiorcom prowadzącym działalność gospodarczą na terytorium Kraju Kwitnącej Wiśni. Publikacja przybliża czytelnikowi japoński system ochrony danych osobowych nierzadko dokonując porównań do rozwiązań europejskich, w tym polskich. ISBN 978-83-8221-050-7 Książka powstała w inteligentnym systemie wydawniczym Ridero
Spis treści Komentarz do japońskiej ustawy o ochronie danych osobowych Wykaz skrótów Słowo wstępne Japoński akt prawny o ochronie danych osobowych Rozdział I Przepisy ogólne Rozdział II Obowiązki władz krajowych i lokalnych Rozdział III Środki ochrony danych osobowych Podstawowa polityka ochrony danych osobowych Środki przedsiębrane przez władze centralne Środki podejmowane przez władze samorządowe Współpraca pomiędzy władzą rządową a samorządową Rozdział IV Obowiązki podmiotów gospodarczych przetwarzających dane osobowe Obowiązki biznesowych administratorów danych osobowych przetwarzających dane osobowe Obowiązki związane z przetwarzaniem zanonimizowanych danych osobowych Nadzór Akredytacja i certyfikacja prywatnych przedsiębiorstw w zakresie ochrony danych osobowych Rozdział V Komisja ochrony danych osobowych Rozdział VI Przepisy różne Rozdział VII Przepisy karne
Niniejsza książka objęta jest prawami autorskimi. Jej kopiowanie, powielanie, udostępnianie w całości lub w części może nastąpić wyłącznie za wyraźną zgodą autora. Wydanie pierwsze Warszawa 2020 ORCID 0000-0002-4402-3840 e-mail autora: tomasz.lodziana@gmail.com
Wykaz skrótów AOODO — Akredytowana organizacja ochrony danych osobowych (podmiot, który uzyskał akredytację w rozumieniu Ustawy) BADO — Biznesowy Administrator Danych Osobowych (zamiennie będzie używane pojęcie „administrator”) Decyzja wykonawcza — Decyzja wykonawcza Komisji (UE) 2019/419 z dnia 23 stycznia 2019 r. na podstawie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679, stwierdzająca odpowiedni stopień ochrony danych osobowych przez Japonię na mocy ustawy o ochronie informacji osobowych (Dz. U. UE, 19.3.2019, L 76) Komisarz — członek Komisji Komisja — Komisja Ochrony Danych Osobowych (japoński organ nadzorczy) Kp — ustawa z dnia 26 czerwca 1974 r. Kodeks pracy (t.j. Dz. U. z 2019 r. poz. 1040 ze zm.) Podmiot objęty opieką — BADO zrzeszony pod daną AOODO Przewodniczący — Przewodniczący Komisji RM — japońska Rada Ministrów Rozporządzenie — Amendment to the Cabinet Order to Enforce the Act on the Protection of Personal Information[1] RODO — Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) Sekretariat — sekretariat Komisji (urząd Komisji) UE — Unia Europejska ODOU — (polska) ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r., poz. 1000 ze zm.) SN — (japoński) Sąd Najwyższy Ustawa — japońska ustawa o ochronie danych osobowych[2] UODO — (polski) Urząd Ochrony Danych Osobowych UOIN — (polska) ustawa z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych (t.j. Dz. U. z 2019 r. poz. 742) Wytyczne — Wytyczne ustanawiane przez AOODO Zasady wykonawcze — Enforcement Rules for the Act on the Protection of Personal Information, December 2016 (jest to akt prawny wydany przez Komisję)
[1] W okresie powstawania komentarza wspomniany akt prawny zawierał już poprawki, stąd jego (pozornie) myląca nazwa. [2] https://www.ppc.go.jp/files/pdf/Act_on_the_Protection_of_Personal_Information.pdf
Słowo wstępne Pomimo tego, że Kraj Kwitnącej Wiśni nie znajduje się na terenie Unii Europejskiej, to kwestia danych osobowych i ich ochrony jest w nim tak samo znana, jak bezwzględnie wymagana. Dlaczego spośród wszystkich państw na Świecie niniejsza publikacja poświęcona będzie zagadnieniom danych osobowych w wydaniu japońskim? Złożyło się na to kilka czynników. Część z nich opiera się o prywatną fascynację autora tym krajem, jego historią, kulturą oraz zmianami społecznymi, które w tym kraju nastąpiły zwłaszcza po II wojnie światowej. Pozostałe czynniki to następstwa doświadczeń, które autor nabył w ramach współpracy handlowej z przedstawicielami japońskich firm w Polsce, jak również z firmami japońskimi w Japonii. Tematyka ochrony danych osobowych w państwach Dalekiego Wschodu nie stała się, do tej pory, przedmiotem szczególnego zainteresowania, a przynajmniej nie ze strony polskich autorów. Moją nieśmiałą ambicją jest to, aby spróbować to zmienić. Komentowana ustawa jest jednym z kilku aktów normatywnych poświęconych ochronie danych osobowych, które funkcjonują w Japonii. Osobne uregulowania dotyczą chociażby ochrony danych osobowych przez japońskie organy administracji[1] publicznej. Ta tematyka zostanie omówiona w kolejnym opracowaniu. Niniejszy komentarz dotyczy przepisów ustawy pod nazwą „Act on the Protection of Personal Information” (i odnosi się do przetwarzania danych osobowych przez przedsiębiorców w związku z prowadzoną przez nich działalnością gospodarczą). Publikacja nie aspiruje do miana publikacji naukowej, czy też stanowiącej jakikolwiek punkt odniesienia w zakresie interpretowania pojęć funkcjonujących w świecie danych osobowych (zwłaszcza na polu europejskim). Jej celem jest, przede wszystkim, przybliżenie czytelnikowi zasad japońskiego systemu ochrony danych osobowych oraz, o ile się uda, wskazanie uderzających podobieństw, czy też zauważalnych różnic pomiędzy rozwiązaniami japońskimi, a europejskimi czy polskimi. Pobocznym celem jest, jak wspomniano, chęć rozszerzenia publicznej dyskusji na temat obowiązujących modeli ochrony danych osobowych nie tylko w Europie, ale także w tak odległych od nas zakątkach jak państwa Dalekiego Wschodu. Mam nadzieję, że oba te cele uda się zrealizować. Zbędnie nie przedłużając życzę miłej lektury. Tomasz Łodziana
[1] Act on the Protection of Personal Information Held by Administrative Organs Act No. 58 of 2003, last version Amendment of Act No. 51 of 2016.
Japoński akt prawny o ochronie danych osobowych Tak jak wspomniano we wstępie, japońska ustawa o ochronie danych osobowych, będąca przedmiotem niniejszego komentarza, odnosi się do administratorów danych osobowych, którzy są przedsiębiorcami. Nie oznacza to, że w jej treści nie zostały zawarte inne przepisy, w tym dotyczące japońskiego organu nadzorczego (Komisja), czy rozdzielenia ról odnoszących się do sprawowania pieczy nad przetwarzaniem danych osobowych w Japonii. Przepisy w niej zawarte stanowią kompleksowe uregulowanie problematyki danych osobowych „w biznesie” i wraz z przepisami wykonawczymi oraz szeregiem wytycznych Komisji (tak o charakterze ogólnym, jak i indywidualnym) są drogowskazem dla każdego przedsiębiorcy, który prowadzi swoją działalność w Japonii. Ustawa składa się z 88 artykułów zgromadzonych w siedmiu rozdziałach. Struktura Ustawy przedstawia się następująco: Rozdział I Przepisy ogólne (art. 1—3) Rozdział II Obowiązki władz krajowych i lokalnych (art. 4—6) Rozdział III Środki ochrony danych osobowych (art. 7—14) Rozdział IV Obowiązki przedsiębiorców przetwarzających dane osobowe (art. 15—58) Rozdział V Komisja ochrony danych osobowych (art. 59—74) Rozdział VI Przepisy różne (art. 75—81) Rozdział VII Przepisy karne (art. 82—88). Opisane powyżej jednostki redakcyjne, a konkretnie Rozdział III i Rozdział IV dodatkowo podzielone są na sekcje. Omówienie zawartości poszczególnych części Ustawy nastąpi z zachowaniem jej oryginalnej struktury i zmaterializuje się w poniższych rozdziałach odpowiadających oryginałowi nazwą. Zastrzeżenie, jakie należy poczynić już na wstępie jest takie, że treść komentarza będzie miała dosyć niespotykaną (jak na tego typu opracowanie) formę. Treść normatywna bowiem zostanie przywołana w wersji angielskojęzycznej, którą Komisja udostępniła na swojej stronie internetowej. Pamiętać przy tym należy, że referencyjną wersją przepisów każdego prawa krajowego jest wersja sporządzona w obowiązującym w nim języku urzędowym (a do tego promulgowana w oficjalnym publikatorze). Zastrzeżenie, jakie należy poczynić już na wstępie jest takie, że treść komentarza będzie miała dosyć niespotykaną (jak na tego typu opracowanie) formę. Treść normatywna bowiem zostanie przywołana w wersji angielskojęzycznej, którą Komisja udostępniła na swojej stronie internetowej[1]. Pamiętać przy tym należy, że referencyjną wersją przepisów każdego prawa krajowego jest wersja sporządzona w obowiązującym w nim języku urzędowym (a do tego promulgowana w oficjalnym publikatorze). Skomentowanie tych przepisów nastąpi natomiast w języku polskim. Przyjęta konstrukcja, choć może dziwić, jest oparta o racjonale podstawy. Mając bowiem na uwadze to, że dodatkowe ich tłumaczenie mogłoby spotęgować potencjalne niejasności postanowiono pozostawić czytelnikowi swobodę w dokonaniu własnego tłumaczenia (i własnej interpretacji), która może, ale przecież nie musi być zgodna z uwagami poczynionymi przez autora. Stan taki, jak sądzę, przyczyni się do zrealizowania pobocznego celu komentarza, o którym była mowa we wstępie.
[1] W tym miejscu należy wskazać, że anglojęzyczne tłumaczenie Ustawy na oficjalnej stronie japońskiego regulatora nie jest do końca „fortunne”. Regulator, pomimo prezentowania przetłumaczonego tekstu na oficjalnej witrynie sam zaznacza, że tłumaczenie to może być niedokładne. W otwartych źródłach spotkać można inne tłumaczenia (tak lepsze, jak i gorsze). Mając na uwadze to, że mimo wszystko japoński organ nadzorczy „posłużył się” wspomnianym tłumaczeniem uznano, że to ono powinno być przywołane w niniejszym komentarzu.
Rozdział I Przepisy ogólne Article 1 This Act aims to protect the rights and interests of individuals while ensuring due consideration that proper and effective use of personal information contributes to the creation of new industries and the realization of a vibrant economic society and an enriched quality of life for the people of Japan among other useful applications; by setting forth basic principles for the proper handling of personal information, creating government’s basic policy with regard to this, and establishing other particulars to serve as a basis for measures to protect personal information, as well as by clarifying the responsibilities, etc. of the national and local governments and establishing the obligations, etc. that business operators handling personal information are required to fulfill, in light of the significantly expanded uses to which personal information is being put as our advanced information- and communicationbased society evolves. Ten przepis ma charakter ogólny i wskazuje cel obowiązywania Ustawy (ratio legis ustawy). Jest nim, co oczywiste, ochrona praw i interesów osób, których dane dotyczą. W japońskim systemie prawnym dane osobowe (a w zasadze wiążące się z nim prawo do prywatności” stanowi dobro objęte ochroną konstytucyjną[1]. Zadanie to jest osadzone w kontekście „prorozwojowym” co oznacza, że ochrona wspomnianych wartości musi uwzględniać utylitaryzm danych osobowych. Ustawa wprost odwołuje się do aspektów związanych z rozwojem gospodarczym, społecznym i ekonomicznym, aczkolwiek ograniczonym jedynie do „dobrostanu” obywateli Japonii, czy nawet węziej, do Japończyków[2]. Zgodnie z art. 1 Ustawa (chociaż adresowana jest do administratorów danych osobowych o charakterze biznesowym) reguluje również status określonych organów władzy publicznej ma zastosowanie zarówno wobec organów władzy publicznej (w tym do organów administracji rządowej, jak i samorządowej). Określając brzmienie tego przepisu Ustawodawca postanowił również zwrócić uwagę na aspekty związane z rozwojem społeczeństwa informacyjnego, a także podkreślił rolę danych osobowych w procesach związanych z komunikacją międzyludzką, co odnosi się głównie do komunikacji za pomocą nowych technologii. Article 2 (1) „Personal information” in this Act means that information relating to a living individual which falls under any of each following item: (i) those containing a name, date of birth, or other descriptions etc. (meaning any and all matters (excluding an individual identification code) stated, recorded or otherwise expressed using voice, movement or other methods in a document, drawing or electromagnetic record (meaning a record kept in an electromagnetic form (meaning an electronic, magnetic or other forms that cannot be recognized through the human senses; the same shall apply in the succeeding paragraph, item (ii)); the same shall apply in Article 18, paragraph (2)); hereinafter the same) whereby a specific individual can be identified (including those which can be readily collated with other information and thereby identify a specific individual) (ii) those containing an individual identification code (2) An “individual identification code” in this Act means those prescribed by cabinet order which are any character, letter, number, symbol or other codes falling under any of each following item. (i) those able to identify a specific individual that are a character, letter, number, symbol or other codes into which a bodily partial feature of the specific individual has been converted in order to be provided for use by computers (ii) those character, letter, number, symbol or other codes which are assigned in regard to the use of services provided to an individual or to the purchase of goods sold to an individual, or which are stated or electromagnetically recorded in a card or other document issued to an individual so as to be able to identify a specific user or purchaser, or recipient of issuance by having made the said codes differently assigned or, stated or recoded for the said user or purchaser, or recipient of issuance (3) “Special care-required personal information” in this Act means personal information comprising a principal’s race, creed, social status, medical history, criminal record, fact of having suffered damage by a crime, or other descriptions etc. prescribed by cabinet order as those of which the handling requires special care so as not to cause unfair discrimination, prejudice or other disadvantages to the principal. (4) A “personal information database etc.” in this Act means those set forth in the following which are a collective body of information comprising personal information (excluding those prescribed by cabinet order as having little possibility of harming an individual’s rights and interests considering their utilization method). (i) those systematically organized so as to be able to search for particular personal information using a computer; (ii) besides those set forth in the preceding item, those prescribed by cabinet order as having been systematically organized so as to be able to easily search for particular personal information. (5) A „personal information handling business operator” in this Act means a person providing a personal information database etc. for use in business; however, excluding a person set forth in the following; (i) a central government organization; (ii) a local government; (iii) an incorporated administrative agency etc. (meaning an independent administrative agency etc. prescribed in Article 2, paragraph (1) of the Act on the Protection of Personal Information Held by Incorporated Administrative Agencies (Act No. 59 of 2003); hereinafter the same); (iv) a local incorporated administrative agency (meaning a local incorporated administrative agency prescribed in Article 2, paragraph (1) of the Local Incorporated Administrative Agencies Act (Act No. 118 of 2003); hereinafter the same); (6) “Personal data” in this Act means personal information constituting a personal information database etc. (7) “Retained personal data” in this Act means personal data which a personal information handling business operator has the authority to disclose, correct, add or delete the contents of, cease the utilization of, erase, and cease the third-party provision of, and which shall be neither those prescribed by cabinet order as likely to harm the public or other interests if their presence or absence is made known nor those set to be deleted within a period of no longer than one year that is prescribed by cabinet order. (8) A “principal” in relation to personal information in this Act means a specific individual identifiable by personal information. (9) “Anonymously processed information” in this Act means information relating to an individual that can be produced from processing personal information so as neither to be able to identify a specific individual by taking action prescribed in each following item in accordance with the devisions of personal information set forth in each said item nor to be able to restore the personal information. (i) personal information falling under paragraph (1), idem (i); Deleting a part of descriptions etc. contained in the said personal information (including replacing the said part of descriptions etc. with other descriptions etc. using a method with no regularity that can restore the said part of descriptions etc.) (ii) personal information falling under paragraph (1), item (ii); Deleting all individual identification codes contained in the said personal information (including replacing the said individual identification codes with other descriptions etc. using a method with no regularity that can restore the said personal identification codes) (10) An “anonymously processed information handling business operator” in this Act means a person who provides for use in business a collective body of information comprising anonymously processed information which has been systematically organized so as to be able to search using a computer for specific anonymously processed information or similar others prescribed by cabinet order as systematically organized so as to be able to search easily for specific anonymously processed information (referred to as an “anonymously processed information database etc.” in Article 36, paragraph (1)). However, a person set forth in each item of paragraph (5) is excluded. Ten przepis zawiera słowniczek używanych w tekście wyrażeń. Poniżej nastąpi prezentacja znaczeń zwrotów definiowanych przez omawianą Ustawę. Dane osobowe (personal information) w rozumieniu Ustawy to informacje dotyczące życia osoby fizycznej, które obejmują imię i nazwisko, datę urodzenia lub inny opis osoby, utrwalone, nagrane lub wyrażone w jakikolwiek inny sposób, w tym za pomocą głosu, poprzez sposób poruszania się lub za pomocą innych metod utrwalania ich w dokumencie, na rysunku czy nośniku elektromagnetycznym, na podstawie których osoba może zostać zidentyfikowana. Danymi osobowymi w rozumieniu Ustawy są także dane, których wzajemne zestawienie może prowadzić do zidentyfikowania osoby. Dane osobowe są zatem informacjami, które mają ten walor, że w oparciu o ich posiadanie konkretna osoba może zostać zidentyfikowana (czyli możliwe będzie potwierdzenie, że dana osoba to „ta osoba”). Ustawa odnosi się m.in. do kwestii „głosu” osoby lub „sposobu poruszania się”. Niewątpliwie tego typu dane mogą służyć identyfikacji. Identyfikacja, w oparciu o takie parametry, może mieć przy tym charakter grupowy (np. na podstawie głosu można wskazać, że dana osoba należy do grupy osób mówiących basem, barytonem, sopranem, itp.), ale także określić ją co do tożsamości. Taka sytuacja będzie miała miejsce wówczas, kiedy — kontekstowo — głos danej osoby będzie odznaczał się cechami ją indywidualizującymi w taki sposób, że możliwe będzie wykluczyć to, że może chodzić o inną osobę (przykładowo, osoba będzie posiadała wyjątkowo rzadką deformację jakiejś części aparatu mowy powodującą charakterystyczne — dla niej — dźwięki towarzyszące artykułowaniu np. samogłosek). Podobnie sytuacja ma się w relacji do sposobu poruszania się. Przecież określone osoby mogą cierpieć na dane schorzenia, czy też należeć do określonej kultury, której reguły wymagałyby określonego sposobu np. chodu. Warto mieć na uwadze, że ichnogram[3] stanowi ten rodzaj informacji, na podstawie której nawet w toku postępowania karnego możliwe jest zidentyfikowanie sprawcy (co ma zastosowanie chociażby w ramach czynności okazania osoby w celu rozpoznania na podstawie tzw. „cech dynamicznych” czy też „cech motorycznych”). Porównując te kategorie danych osobowych do regulacji wskazanych w art. 4 ust. 1 RODO wskazać należy, że ich europejskim „odpowiednikiem” są czynniki fizyczne i fizjologiczne (i fizjonomiczne) określające tożsamość danej osoby. Danymi osobowymi są również indywidualne kody identyfikacyjne. Indywidualny kod identyfikacyjny to każda forma oznaczenia konkretnej osoby wskazana w Rozporządzeniu, na podstawie której dana osoba może zostać zidentyfikowana. W poczet indywidualnych kodów identyfikacyjnych Ustawa włącza m.in. znaki[4], litery, cyfry, symbole lub inne kody takie jak: a) znaki, litery, cyfry, symbole lub inne kody odnoszące się do części ciała osoby, której dane dotyczą, które mogą być przetworzona w celu przetwarzania jej za pomocą komputera[5] b) te symbole, litery, cyfry, oznaczenia czy inne kody, które zostały nadane (przypisane) danej osobie w celach dokonywanych przez nią zakupów towarów lub usług, jak również te, które są określone lub zapisane na elektromagnetycznych nośnikach danych (np. karcie) lub innym dokumencie wydanym osobie, na podstawie którego osoba ta może być zidentyfikowana jako użytkownik, nabywca lub odbiorca (w domyśle towarów lub usługi). Rozwinięcie omawianego pojęcia nastąpiło w art. 1 Rozporządzenia. W tym akcie prawnym wskazano, że za indywidualne kody identyfikacyjne należy uznać: a) te znaki, litery, numery, symbole lub inne kody wytworzone w wyniku przekształcenia cech cielesnych człowieka w sposób pozwalający na ich przetwarzanie w systemach komputerowych (teleinformatycznych), a które to informacje pozwoliłyby na identyfikację osoby. Do wspomnianych cielesnych człowieka Rozporządzenie zalicza: — kod DNA; — wygląd twarzy uwarunkowany strukturą kostną czaszki i kolorem skóry, położeniem i kształtem oczu, nosa ust lub innych elementów twarzy; — liniowy wzór tęczówki; — drgania strun głosowych, ruch zamykający głośni, kształt (barwa głosu) i zmiany głosu podczas jego wypowiadania; — postawa ciała, ruchy obu ramion, wielkość kroku[6], jak również inne właściwości ciała człowieka towarzyszące zjawisku jego chodu[7]; — kształt żył na zewnętrznej i wewnętrznej stronie dłoni i palców; — odciski (i odbitki) palców i dłoni; b) numer paszportu; c) numery emerytalno/rentowe (czyli numery, pod którymi występują osoby otrzymujące tego typu świadczenia); d) numer prawa jazdy; e) kod rejestru mieszkańców (kod podstawowego miejsca zamieszkania[8]); f) znaki, litery, numery, symbole lub inne kody, które zostały wydane jako „imienne[9]”, w tym dokumentacja ubezpieczeń społecznych (Rozporządzenie szczegółowo wskazuje na kategorie tych dokumentów); g) wszelkie inne znaki, litery, numery, symbole lub inne kody określone przez Komisję jako odpowiedniki tych, które wymieniono powyżej. W kontekście powyższego warto przywołać znanego piosenkarza, który posługiwał się scenicznym pseudonimem „Prince”. Po jakimś czasie pseudonim ten został przez niego zamieniony na graficzny symbol, pod którym był nadal rozpoznawany jako piosenkarz Prince Rogers Nelson. Oznaczenie graficzne, którym się posługiwał, wypełniało jednoznacznie definicję danych osobowych, w tym w rozumieniu przepisów japońskich. Odnosząc się do określonych oznaczeń związanych z osobą fizyczną traktowaną jako konsument wskazać należy, że danymi osobowymi będą — w rozumieniu przepisów Ustawy — wszelkie „formy danych” pozwalające na identyfikację tej osoby jako np. uczestnika programu lojalnościowego japońskiej sieci sklepów, czy stacji benzynowych. Utrwalona (np. na karcie lojalnościowej) informacja będzie identyfikowała daną osobę w chwili użycia tej karty (której autoryzacja poprzez wprowadzenie np. numeru PIN pozwoli na przyjęcie z najwyższą dozą uprawdopodobnienia, że osoba posługująca się kartą jest tym konkretnym konsumentem, którego dane osobowe przetwarza określony przedsiębiorca). Dane osobowe wymagające szczególnego traktowania[10] w japońskim rozumieniu to dane wymagające specjalnego przetwarzania, co jest spowodowane tym, że mogą one stanowić podstawę do niedopuszczalnej dyskryminacji osoby fizycznej, nabierania do niej uprzedzeń, lub innych niekorzystnych dla tej osoby dolegliwości spowodowanych jej rasą, wyznaniem, statusem społecznym, danymi medycznymi (czyli danymi o stanie zdrowia), danymi o karalności lub posiadania statusu pokrzywdzonego przestępstwem[11]. Japońskie podejście do danych szczególniej kategorii nie różni się znacząco od standardu europejskiego. Niemniej wymienione w Ustawie kategorie tych danych osobowych jak „status społeczny” pokazuje na subtelne różnice kulturowe. Co ciekawe Ustawa nie wymienia wprost (chociaż trzeba mieć na uwadze to, że przywołane wylistowanie ma charakter przykładowy) danych dotyczących orientacji seksualnej. Może to wskazywać na to, że w Japonii problematyka seksualności danej osoby (a szczególnie te jej formy, które nie stanowią „wzorca biologicznego”) nie są na tyle istotnym zagadnieniem społecznym, że nie musiały być zaakcentowane w przepisach o ochronie danych osobowych. Rodzaje tej kategorii danych osobowych zostały wymienione w art. 2 Rozporządzenia. Zgodnie z tym przepisem dane osobowe wymagające szczególnego traktowania to: a) informacje potwierdzające niepełnosprawność (fizyczną, intelektualną, umysłową, rozwojową) lub inne niepełnosprawności o powyższym charakterze, które określi Komisja; b) wyniki badań medycznych (okresowych) lub innych badań, w tym o charakterze profilaktycznym przeprowadzane przez lekarza lub inną osobę związaną ze sferą medyczną (a więc m.in. technik stomatologiczny, pielęgniarka, itp.); c) informacje o tym, że określone zalecenia zostały dane osobie wskazane w wyniku przeprowadzonych badań medycznych lub z powodu istniejących urazów lub innych zmian fizycznych i psychicznych; d) informacje o tym, że określona osoba jest podejrzanym w sprawie karnej; e) informacje o tym, że czynności procesowe, obserwacja, ochrona, przesłuchanie lub zastosowanie określonego środka zostało zastosowane przeciwko nieletniemu w związku z prowadzoną przeciwko niemu sprawą o charakterze karnym (stosownie do japońskich przepisów o postępowaniu w sprawach nieletnich). To, co nasuwa się na myśl po analizie japońskich danych osobowych „szczególnej kategorii” i tych danych w rozumieniu RODO to uwaga, że katalogi te nie pokrywają się. W art. 9 RODO próżno bowiem szukać takich danych szczególnej kategorii jak dane o karalności (to reguluje art. 10 RODO), natomiast wśród tych danych w ujęciu japońskich nie znajdują się (poza wspomnianymi wcześniej danymi związanymi z seksualnością człowieka) takich informacji jak dane ujawniające pochodzenie rasowe, etniczne, poglądy polityczne, przekonania religijne a nawet dane biometryczne czy genetyczne. Różnice te mają zdecydowanie uwarunkowania kulturowe, ze wskazaniem na „wygranego” — w starciu na liberalizm — po stronie japońskiej. Pomimo hermetycznego (przez wieki) charakteru państwa oraz jego jednolitości rasowej dane, które w Europie uchodzą za „wrażliwe”, w Japonii stanowią dane osobowe w wersji „podstawowej”. Wskazuje to, jak należy rozumieć, na daleko bardziej idącą otwartość społeczną Japończyków na coś, co można byłoby określić „odstępstwem od kulturowego i etnicznego wzorca”, jak również na ich otwartość i brak „strachu” przed powszechną informatyzacją. Zbiór danych osobowych to dane osobowe zgromadzone w bazie danych. Podkreślić należy, że zbiorem danych, w rozumieniu Ustawy, nie będzie taka baza informacji o osobach, w stosunku do których — z uwagi na sposób ich przetwarzania — ryzyko naruszenia praw i interesów tych osób będzie niewielkie. Za dane osobowe, których przetwarzanie w bazie danych powoduje, że baza ta nie będzie uznawana za zbiór danych osobowych uznaje się: a) dane, które zostały przekazane administratorowi w celu[12] ich sprzedaży nieokreślonej liczbie osób[13], a których pozyskanie nie nastąpiło z naruszeniem przepisów prawa; b) te dane, które mogą lub mogły być nabyte (zakupione) przez nieokreśloną liczbę osób; c) dane, które są dostarczane (a więc następuje to w ramach procesu ciągłego, procesu w toku) zgodnie z ich pierwotnie określonym celem przetwarzania pod warunkiem, że dane te nie będą uzupełniane innymi danymi osobowymi dotyczącymi konkretnej osoby[14]. To, co bazę danych czyni zbiorem danych osobowych, poza kwestią tego, jakiego charakteru dane są w niej przetwarzane, to kwestia funkcjonalności, jakimi baza danych się odznacza. Ustawa wymaga, aby tego typu baza spełniała dwa atrybuty: a) możliwości wyszukiwania danych (czyli istnienia określonej funkcji); b) szybkości wyszukiwania danych. W odniesieniu do atrybutu możliwości wyszukiwania określonej informacji podkreśla się, że baza danych powinna posiadać wewnętrzną strukturę zawierającą na przykład: a) spis treści; b) indeks; c) inny podobny instrument, ułatwiający wyszukiwanie danych osobowych, systemowo zorganizowanych i uporządkowanych. Ma to wpływać na możliwość wyszukania żądanej informacji, oczywiście przy zastosowaniu odpowiedniego „klucza” czy reguły wyszukiwania (np. możliwość ustawienia parametrów wyszukiwania informacji). Niezbędnym aspektem wpływającym na ukonstytuowanie się bazy danych jako Zbioru danych osobowych jest również łatwość jej obsługi. Biznesowy administrator danych osobowych (BADO) to odpowiednik znanego z przepisów unijnych administratora danych osobowych z tym zastrzeżeniem, że przepisy komentowanego aktu prawnego (w tym zakresie) regulują aspekty związane z przetwarzaniem danych przez administratorów posiadających status przedsiębiorców (zarówno korporacyjnych, jak i niekorporacyjnych). Oznacza to, że pod omawianym pojęciem będzie się krył wyłącznie podmiot gospodarczy, który prowadzi działalność gospodarczą. Dodatkowym dookreśleniem administratora w japońskim rozumieniu jest to, że będzie nim taki podmiot, który będzie przetwarzał dane osobowe zgromadzone w zbiorze (zbiorze danych osobowych). Ustawa expresis verbis wyłącza spod swojego reżimu organy władzy centralnej (rządowej), samorządy, inkorporowane agencje administracyjne (o charakterze rządowym oraz samorządowym). Nie oznacza to, że powyżej wskazane kategorie podmiotów nie są, w rozumieniu japońskich przepisów, uznane za administratorów danych osobowych. Przeciwnie, w stosunku to tych kategorii administratorów japońskie ustawodawstwo stworzyło osobne przepisy rangi ustawowej. Na uwagę zasługuje także to, że o ile w przypadku art. 4 pkt 7 RODO administratorem są podmioty wymienione w tym przepisie które samodzielnie lub wspólnie z innymi administratorami (tzw. współadministrowanie) określa cele i sposoby przetwarzania tych danych osobowych, to przepisy japońskie nie akcentują tego elementu. Przyjąć zatem można, że podejście takie oznacza, że cele przetwarzania danych osobowych nie mogą być „określane” w tym sensie, że nie mogą odbiegać od typowego przeznaczenia danych osobowych przetwarzanych w danym kontekście, w danym zakresie i przez administratora o określonym profilu prowadzonej działalności gospodarczej, a rolą administratora jest ich wskazanie (co dla ułatwienia zrozumienia niniejszego komentarza — z powyższym zastrzeżeniem — będzie nazywane jako „określanie”). Podsumowując, za administratora w rozumieniu Ustawy nie będzie można uznać podmiotu, który nawet przetwarzałby dane osobowe, ale nie w zbiorze danych osobowych (w tym zbiorze zanonimizowanych danych osobowych). Dane personalne (personal data) — to pojęcie odnosi się do danych osobowych tworzących zbiór danych osobowych (przetwarzanych w Zbiorze danych osobowych). Retencyjne dane osobowe (retained personal data, zatrzymane dane osobowe) — dane osobowe przetwarzane przez BADO posiadającego prawo do ich: ujawniania, korekty, dodawania, usuwania, zaprzestania przetwarzania, usuwania, zaprzestania przekazywania stronie trzeciej, za wyjątkiem tych, które: a) na mocy Rozporządzenia zostałyby uznane za dane zagrażające interesowi publicznemu lub innemu interesowi, b) danych, co do których istnieje prawny obowiązek usunięcia z upływem określonego czasu od ich pozyskania. Jeżeli chodzi o pierwszą z wymienionych kategorii danych osobowych, to zalicza się do nich dane, których ujawnienie (lub ich nieujawnienie): — spowodowałoby szkodę w interesie osoby, które by dotyczyły lub w interesie osoby trzeciej; — mogłoby zachęcić określone osoby do podjęcia działań niezgodnych z prawem lub działań niesprawiedliwych; — zagroziłoby bezpieczeństwu narodowemu[15], zniszczyłoby relacje z obcym państwem (nadużyłoby zaufanie tego państwa wobec Japonii), lub spowodowałoby, że Japonia znalazłaby się w niekorzystnej sytuacji negocjacyjnej z takim państwem lub organizacją międzynarodową; — utrudniłoby utrzymanie bezpieczeństwa i porządku publicznego (m.in. zapobieganie i zwalczanie przestępczości). Analiza przywołanych kategorii informacji nasuwa słuszne skojarzenia z przepisami zawartymi w UOIN, która określa kategorie informacji niejawnych (ściśle tajnych, tajnych, poufnych, zastrzeżonych), których nieuprawnione ujawnienie mogłoby spowodować (w zależności od klauzuli tajności) analogiczne skutki do tych, które zostały opisane powyżej. W kontekście wspomnianej cezury czasowej, to Rozporządzenie w art. 5 wskazało na kategorie danych, które nie mogą być z tej przyczyny uznane za „zatrzymane”. Danymi takimi nie mogą być dane osobowe, których możliwość przetwarzania wynosi maksymalnie 6 miesięcy od ich pozyskania. Rozporządzenie nie wymienia kategorii tego typu danych pozostawiając to innym regulacjom ustawowym. Nie jest to zabieg, który byłby nieznany w Polsce. Przepis, który wskazuje na maksymalny okres przetwarzania danych osobowych zawarty jest chociażby w art. art. 222 §3 Kp, zgodnie z którym górna granica czasowa przetwarzania danych osobowych utrwalonych za pośrednictwem monitoringu wizyjnego nie może przekraczać 3 miesięcy. Osoba, której dane dotyczą w japońskich przepisach określona jest jako „principal”. Jest to ta osoba, która na podstawie danych jej dotyczących (danych osobowych) jest identyfikowalna. Pod pojęciem „identyfikowalna”[16] należy rozumieć zarówno osobę zidentyfikowaną, jak i możliwą do zidentyfikowania. Zanonimizowane dane osobowe stanowią swoisty odpowiednik pseudonimizacji w rozumieniu art. 4 ust. 5 RODO. W rozumieniu japońskim, zanonimizowane dane osobowe to te informacje o osobie, które można uzyskać z przetwarzania danych osobowych w taki sposób, aby na ich podstawie osoba fizyczna nie mogła być zidentyfikowana. Zapewnienie anonimizacji, jak stanowi Ustawa, może polegać na: a) usunięciu części opisu dotyczącego osoby fizycznej (w tym poprzez jego zamianę), opisywaniu osoby przy użyciu innych metod (zapewniających anonimowość) przy jednoczesnym braku opierania tego działania o określone parametry, na podstawie których możliwe byłoby przywrócenie możliwości zidentyfikowania osoby (np. poprzez jej indywidualny kod identyfikacyjny); b) usunięciu wszystkich indywidualnych kodów identyfikacyjnych (w tym zastąpienie ich inną formą opisu) przy jednoczesnym braku wprowadzenia parametrów, na podstawie których możliwość zidentyfikowania osoby mogłaby zostać przywrócona. Immanentną cechą anonimizacji danych osobowych jest atrybut trwałej niemożliwości przywrócenia stanu pierwotnego, czyli przywróceniu stanu, w którym w oparciu o te dane osoba byłaby identyfikowalna. Brak tego atrybutu powoduje, że dane osobowe nie mogą zostać uznane za poddane anonimizacji. Biznesowy administrator danych osobowych przetwarzający zanonimizowane dane osobowe[17] to upraszczając, BADO przetwarzający zanonimizowane dane osobowe w zbiorze takich danych, który określany jest jako „zbiór zanonimizowanych danych osobowych”. Determinantami zbioru zanonimizowanych danych osobowych są: a) posiadanie spisu treści; b) posiadanie indeksu; c)posiadanie innego podobnego instrumentu, mającego na celu ułatwienie wyszukiwania zanonimizowanych danych osobowych, systemowo zorganizowanych i uporządkowanych, które można łatwo wyszukać. Article 3 Personal information, considering it should be carefully handled under the vision of respecting the personality of an individual, shall be made subject to proper handling. Przepis wskazuje na to, że postępowanie z danymi osobowymi musi następować z należytą ostrożnością oraz w oparciu o filozofię poszanowania jednostki. Jest to norma postulatywna o charakterze ogólnym, akcentującym jednak doniosłość konkretnej osoby fizycznej i jej prawa do prywatności.
[1] Por. SN w wyroku z dnia 6 marca 2008 r., Minshu, T. 62, nr 3, s. 665, cyt. za Decyzja wykonawcza, s. 2. [2] Wskazuje na to zwrot „people of Japan”. [3] Ścieżka chodu. [4] Co w kontekście japońskiego alfabetu ma niebagatelne znaczenie. [5] Mowa jest ogólnie o systemach teleinformatycznych. [6] Pomimo niefortunnego tłumaczenia należy je zachować i doprecyzować, że ta kategoria odnosi się do odległości pomiędzy śladami stóp pozostawianymi na podłożu. [7] Kontekstowo dopuścić należy, do tej kategorii, także właściwości ciała danej osoby indywidualizujące ją w trakcie wykonywania innych czynności o charakterze motorycznym (np. biegu, skakania, itp.). [8] Jest to kategoria indywidualnych kodów identyfikacyjnych pozwalających na identyfikowanie obywateli Japonii występujących w postępowaniach administracyjnych). [9] A więc przypisane do konkretnej osoby. [10] Stanowią odpowiednik danych szczególnej kategorii w rozumieniu RODO. Dla ułatwienia zrozumienia japońskich przepisów w dalszej części pracy ilekroć będzie mowa o tej kategorii danych, będą one nazywane „danymi szczególnej kategorii” lub „sensytywnymi danymi osobowymi”. [11] Z uwag i na formułę przepisu przyjmuje się, że katalog tych danych jest, co do istoty, otwarty i ewentualne kwalifikowanie informacji do tej kategorii powinno następować przez pryzmat oceny skutków ich oddziaływania na osobę. [12] A więc gdy cel był jasno określony. [13] A więc możliwe do powszechnej dystrybucji. [14] Por. art. 3 Rozporządzenia. [15] Japonii. [16] Identifiable. [17] W tekście używane będzie to pojęcie, lub pojęcie „administratora” — w zależności od kontekstu.
Rozdział II Obowiązki władz krajowych i lokalnych Article 4 The central government shall have the responsibilities for comprehensively developing and implementing necessary measures to ensure the proper handling of personal information in conformity with the purport of this Act. Article 5 The local governments shall have the responsibilities for developing and implementing necessary measures to ensure the proper handling of personal information based on the characteristics of their local area in conformity with the purport of this Act. Article 6 The government shall, considering the nature and utilization method of personal information, take necessary legislative and other action so as to be able to take discreet action for protecting personal information that especially requires ensuring the strict implementation of its proper handling in order to seek enhanced protection of an individual’s rights and interests, and shall take necessary action in collaboration with the governments in other countries to construct an internationally conformable system concerning personal information through fostering cooperation with an international organization and other international framework. Przepisy zawarte w Rozdziale II Ustawy nakładają na władze krajowe oraz samorządowe określone obowiązki. Obowiązki te są określone w sposób ogólny i mają charakter generalny wytycznych. Organom władzy przypisano odpowiedzialność za określanie i wdrażanie środków zapewniających właściwe postępowanie z danymi osobowymi. Przy wypracowywaniu tychże środków powinno się uwzględniać cele niniejszej ustawy. Jak należy przyjąć ogniskuje się to zwłaszcza wokół takiego zorganizowania „warunków przetwarzania” tego rodzaju informacji, które uwzględniałyby wskazane w ust. 1 cele Ustawy. Na organach samorządowych ciąży natomiast obowiązek określania i wdrażania środków właściwego postępowania z danymi osobowymi, które byłyby adekwatne z punktu widzenia charakterystyki regionalnej, podlegającej pod zarząd określonej władzy samorządowej. Uwzględnianie specyfiki danych regionów (także w kontekście danych osobowych) jest aspektem, który powinien zostać oceniony pozytywnie. Bez „szkody” dla obowiązujących rozwiązań na szczeblu krajowym dopuszczalne jest przecież występowanie określonych różnic w wymiarze lokalnym. Różnice te mogą być związane czy to ze stopniem zurbanizowania, zinformatyzowania czy odsetkiem osób odznaczających się określonym stopniem wykształcenia. To może natomiast wpływać chociażby na świadomość lokalnych społeczności w odniesieniu do praw, jakie im przysługują w związku z przetwarzaniem danych osobowych. Wydaje się, że w kontekście obowiązków władz lokalnych zwłaszcza aspekt edukacyjno-informacyjny ich działalności powinien być tym, który w sposób szczególny powinien uwzględniać miejscowe „odmienności”. W art. 6 Ustawy zawarto normę ogólną nakazującą japońskiemu rządowi podejmowanie niezbędnych działań prawodawczych, których celem powinno być stworzenie specjalnych środków ochrony danych osobowych, zwłaszcza w kontekście tych danych osobowych, „szczególnej kategorii”. Niezależnie od wypracowywania rozwiązań normatywnych organy rządowe powinny podejmować określone inne działania, których cele byłyby zbieżne z tymi, jakie postawiono sferze prawodawczej. Ustawa celowo nie wymienia konkretnych rodzajów aktywności uzależniając ich dobór od zastanych okoliczności faktycznych. Ponadto Ustawa nałożyła na rząd Japonii obowiązek podjęcia stosownych działań, we współpracy z rządami innych państw, do stworzenia systemu (na poziomie ponadnarodowym), który pozwalałby na międzynarodową współpracę w zakresie ochrony (i przetwarzania) danych osobowych. W tym miejscu należy podkreślić, że w kontekście relacji Japonii z UE, to UE uznała, że Japonia gwarantuje odpowiedni stopień ochrony danych osobowych. Kwestię tę reguluje Decyzja wykonawcza Komisji (UE) 2019/419 z dnia 23 stycznia 2019 r. na podstawie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679, stwierdzająca odpowiedni stopień ochrony danych osobowych przez Japonię na mocy ustawy o ochronie informacji osobowych[1].
[1] Dz. U. UE, 19.3.2019, L 76.
Rozdział III Środki ochrony danych osobowych Podstawowa polityka ochrony danych osobowych Article 7 (1) The government shall establish a basic policy on the protection of personal information (hereinafter referred to as a “basic policy”) in order to seek to comprehensively and integrally promote measures concerning the protection of personal information. (2) A basic policy shall prescribe those matters set forth in the following. (i) a basic direction for promoting measures concerning the protection of personal information (ii) a matter concerning action to be taken by the central government for the protection of personal information (iii) a basic matter concerning action to be taken by a local government for the protection of personal information (iv) a basic matter concerning action to be taken by an incorporated administrative agency etc. for the protection of personal information (v) a basic matter concerning action to be taken by a local incorporated administrative agency for the protection of personal information (vi) a basic matter concerning action to be taken by a personal information handling business operator, an anonymously processed information handling business operator and an accredited personal information protection organization prescribed in Article 50, paragraph (1) for the protection of personal information (vii) a matter concerning dealing smoothly with a complaint about the handling of personal information (viii) other important matters concerning promoting measures for the protection of personal information. (3) The Prime Minister shall call for a cabinet decision on a basic policy developed by the Personal Information Protection Commission. (4) The Prime Minister shall, when a cabinet decision was made pursuant to the provisions of the preceding paragraph, disclose a basic policy to the public without delay. (5) The provisions under the preceding two paragraphs shall apply mutatis mutandis when altering a basic policy. Komentowany przepis nakłada na japoński rząd powinność stworzenia podstawowej polityki rządu (określonych przez rząd zasad) odnoszącej się do ochrony danych osobowych. Pod pojęciem „podstawowej polityki” nie należy rozumieć dokumentu o takowej nazwie. Należy rozumieć jakikolwiek dokument, który będąc inaczej zatytułowanym, będzie treścią odpowiadał wymaganiom wskazanym w ust. 2. Dokument (zasady), o którym mowa powyżej można porównać do swoistej strategii rządu, która powinna stanowić punkt odniesienia (swoisty wzorzec) w ramach działań zorientowanych na ochronę danych osobowych. Ustawa określa także to, wspomniane zasady powinny regulować. Są to następujące kwestie: a) określenie przyjętych, przez japoński rząd, kierunków związanych z „promocją” środków ochrony danych osobowych; b) wskazanie spraw związanych z działaniami rządu w celu ochrony danych osobowych; c) podstawowe informacje (swoiste „minimum”) odnoszące się do środków ochrony danych osobowych, które muszą być podjęte przez organy władzy samorządowej; d) podstawowe kwestie związane ze środkami ochrony danych osobowych, które muszą być wdrożone przez agencje administracyjne i podmioty podobne; e) podstawowe kwestie związane ze środkami ochrony danych osobowych, które muszą być wdrożone przez lokalne agencje administracyjne; f) podstawowe kwestie dotyczące środków ochrony danych osobowych, które muszą być podjęte przez administratorów oraz AOODO; g) kwestie związane ze sprawnym rozpatrywaniem skarg związanych z przetwarzaniem danych osobowych; h) inne istotne kwestie związane z promocją środków ochrony danych osobowych. Powyższe zagadnienia w japońskim systemie prawnym zostały umieszczone w Rozporządzeniu, na przepisy którego niniejszy komentarz także będzie się powoływał. Zadanie opracowania projektu „podstawowej polityki” spoczywa na Komisji. Organem zatwierdzającym Podstawową Politykę jest RM. Niezwłocznie po jej zatwierdzeniu podstawowa polityka musi zostać ogłoszona. Obowiązek promulgacji spoczywa na prezesie rady ministrów. Powyższy tryb stosuje się odpowiednio w odniesieniu do nanoszenia w treści Rozporządzenia poprawek, czy też zmian. Środki przedsiębrane przez władze centralne Article 8 The central government shall provide information, develop guidelines to ensure the proper and effective implementation of action to be taken by a business operator etc., and take other necessary action in order to support measures for the protection of personal information developed or implemented by a local government and activities undertaken by a Japanese citizen, or a business operator etc. in relation to seeking the proper handling of personal information. Na podstawie tego przepisu na rząd Japonii nałożono kolejne obowiązki. Stosownie do art. 8 polegają one na szeroko rozumianym przekazywaniu informacji, opracowywaniu wytycznych czy też podejmowaniu innych działań, które byłyby niezbędne z punktu widzenia ochrony danych osobowych. Adresatem tej formy wsparcia, w rozumieniu komentowanego przepisu, są zarówno organy władzy samorządowej, administratorzy danych osobowych, jak również japońscy obywatele. Ten ostatni aspekt wskazuje, że rolą rządu centralnego jest m.in. prowadzenie kampanii informacyjnych uświadamiających osoby fizyczne w przedmiocie ich praw. Katalog przypisanych japońskim władzom rządowym działań jest otwarty. Przyjmuje się (i słusznie), że pod pojęciem „innych działań” należy rozumieć takie działania, których skutkiem byłoby osiągnięcie założonego celu. W omawianym przypadku zatem działaniami tymi może być jakakolwiek formuła przyjęta przez władze rządowe, która zaowocowałaby wsparciem wymienionych podmiotów w związku z przetwarzaniem danych osobowych, a zwłaszcza taka formuła, która byłaby adekwatna z punktu widzenia potrzeb zastanych, lub takich, których potrzeba kreśli się na horyzoncie bliższej lub dalszej przyszłości. Article 9 The central government shall take necessary action to seek the proper and prompt dealing of a complaint caused between a business operator and a principal about the handling of personal information. Ten przepis wskazuje na zadania rządu związane z realizacją prawa osoby, której dane dotyczą odnoszącego się do możliwości złożenia skargi. Omawiana norma prawna obliguje władze do tego, aby podjęła działania skutkujące tym, aby zapewnić procedurom związanym z rozpatrywaniem skarg atrybutu niezwłoczności. Przepis ten ma charakter dyrektywalny i jego rozwinięcie następuje w dalszej części Ustawy poświęconej uprawnieniom osób, których dane dotyczą oraz obowiązkom administratorów danych osobowych. Article 10 The central government shall, through the appropriate division of roles between a local government and itself, take necessary action prescribed in the succeeding Chapter in order to ensure the proper handling of personal information by a personal information handling business operator. Obowiązek zapewnienia „właściwego przetwarzania danych osobowych” na terenie Japonii nie stanowi obowiązku (i uprawnienia) spoczywającego wyłącznie na organach władzy rządowej (włączając w to Komisję). Stosownie do tego przepisu system ten ma charakter rozproszony. Należy to rozumieć poprzez pryzmat tego, że część zadań związanych z realizacją przywołanego celu została, mocą Ustawy, scedowana na japońskie samorządy. Jak będzie wynikało z dalszej części opracowania kompetencje powierzone samorządom nie ograniczają się do zadań o charakterze czysto technicznym. W myśl japońskich rozwiązań organy samorządowe mogą bowiem podejmować tak inwazyjne działania jak czynności kontrolne w stosunku do administratorów, co w kontekście przepisów polskich jest — w tym obszarze — uprawnieniem nieznanym i zastrzeżonym do wyłącznej kompetencji polskiego organu nadzorczego (por. Rozdział 9 ODOU). Środki podejmowane przez władze samorządowe Article 11 (1) A local government shall, considering the nature of personal information it retains, the purpose of retaining the personal information, and so on, strive to take necessary action so as to ensure the proper handling of the retained personal information. (2) A local government shall, in response to the characteristics and business contents of a local incorporated administrative agency that it has established, strive to take necessary action so as to ensure the proper handling of personal information that the agency retains. Ten przepis dedykowany jest władzom samorządowym. Zgodnie z jego treścią samorządy są zobowiązane do działania z zachowaniem należytej staranności, w tym wdrożenia takich środków ochrony danych osobowych, które będą adekwatne do ich kategorii, a także celu ich przetwarzania. Ustawa nakazuje ponadto podjęcie środków zapewniających właściwe postępowanie z danymi osobowymi przez zarejestrowane samorządowe agencje, w tym zapewnienie zgodności profilu działalności takiej agencji i celów przetwarzania z kategoriami przetwarzanych danych osobowych. Article 12 A local government shall, in order to ensure the proper handling of personal information, strive to take necessary action to support a business operator and a resident in a local area. Na samorządy (w zakresie ich właściwości miejscowej — rzecz jasna) nałożono ponadto obowiązek podejmowania działań niezbędnych do tego, aby zapewniać właściwe sposoby przetwarzania danych osobowych. Działania władz samorządowych powinny wspierać w tym zakresie zarówno przedsiębiorców prowadzących działalność gospodarczą w obszarze objętym właściwością miejscową organu samorządowego, jak i mieszkańców danej jednostki samorządowej. W Polsce rozwiązanie takie jest nieznane. Uznać przy tym należy, że w kontekście odwoływania się do specyfik określonych regionów, wpływ samorządów na kształtowanie się „stylu” przetwarzania danych może być tylko pozytywny albowiem będzie uwzględniał poszczególne parametry, np. stopień zinformatyzowania określonej społeczności (a co za tym idzie stopień przetwarzania danych osobowych np. via Internet). Article 13 A local government shall, in order for a complaint caused between a business operator and a principal about the handling of personal information to be dealt with appropriately and promptly, strive to mediate dealing with the complaint and take other necessary action. Powyższy przepis jest szczególnie interesujący z punktu widzenia relacji pomiędzy administratorami ich obowiązkami w zakresie wyjaśniania skarg pochodzących od osób, których dane dotyczą. Samorządy, w myśl tego przepisu, powinny dążyć do tego, aby angażować się w działania mediacyjne pomiędzy przedsiębiorcami przetwarzającymi dane a osobami, których dane dotyczą. Celem tej mediacji ma być zapewnienie odpowiedniego sposobu rozpatrywania skarg jak również ich sprawnego (szybkiego) załatwiania. W kontekście m.in. kontrolnych uprawnień organów samorządowych wspomniana mediacja może być środkiem, który faktycznie wpłynąłby na proces rozpatrywania skargi. W sytuacji, w której administrator — czułby na sobie wzrok — „lokalnego organu nadzorczego” — unikałby sytuacji, w których będąc „na widoku” swoimi działaniami dostarczyłby organowi dowodów własnych uchybień. Z drugiej strony, pod pojęciem mediacji kryje się ładunek koncyliacyjny, co przy zachowaniu zasady obiektywizmu pozwoliłoby także na ostudzenie zapędów takiej osoby, która okazałaby się wyłącznie pieniaczem, lub która — po przedstawieniu jej przez BADO — określonych informacji czy decyzji, nie zgadzałaby się z ich treścią i bezpodstawnie (a czasami tkwiąc w błędzie) usiłowałaby osiągnąć cel, który w danych okolicznościach (czy to z przyczyn formalnych, czy prawnych) byłby niemożliwy do osiągnięcia. Współpraca pomiędzy władzą rządową a samorządową Article 14 The central and local governments shall cooperate with one another in implementing measures relating to the protection of personal information. Ta generalna dyrektywa jest hasłem, którego realizacja powinna polegać na współpracy rządu Japonii oraz organów samorządowych w zakresie podejmowanych „środków wykonawczych” w zakresie ochrony danych osobowych. Nakazanie, wspomnianym podmiotom, współdziałania powinno obejmować zarówno bieżącą wymianę informacji co do poczynionych spostrzeżeń odnoszących się do sposobów przetwarzania danych osobowych, ale także wymianę informacji i koordynowania podejmowanych działań kontrolnych (zarówno w zakresie kontroli planowych, jak i doraźnych). W obliczu braku wskazanej koordynacji mogłoby dochodzić do tego, że ten sam podmiot (administrator) mógłby stać się obiektem dwóch kontroli obejmujących nawet ten sam okres przetwarzania danych osobowych i ten sam zakres. Taka sytuacja mogłaby wystąpić np. wówczas, gdyby zarówno do Komisji, jak i uprawnionego organu samorządowego wpłynął anonim opisując rażące naruszenia zasad związanych z przetwarzaniem danych osobowych przez danego BADO. Ponadto koordynacja ta powinna obejmować „stanowiska” szeroko rozumianych organów władzy publicznej odnośnie określonych zagadnień. W sytuacji bowiem, w której Komisja i samorząd opublikowałyby np. zalecenia dotyczące przetwarzania zanimizowanych danych osobowych, które byłyby ze sobą sprzeczne, to administratorzy działający w obszarze właściwości miejscowej danego organu samorządowego nie byliby w stanie obrać takiego modelu postępowania, który byłby oficjalnie uznany za pożądany (z punktu widzenia realizacji celów niniejszej ustawy). Taka sytuacja niewątpliwie podkopywałaby zaufanie administratorów (i obywateli) do organów władzy publicznej oraz stwarzałaby ryzyka prawne dla administratorów.
Rozdział IV Obowiązki podmiotów gospodarczych przetwarzających dane osobowe Obowiązki biznesowych administratorów danych osobowych przetwarzających dane osobowe Article 15 (1) A personal information handling business operator shall, in handling personal information, specify the purpose of utilizing the personal information (hereinafter referred to as a “utilization purpose”) as explicitly as possible. (2) A personal information handling business operator shall, in case of altering a utilization purpose, not do so beyond the scope recognized reasonably relevant to the pre-altered utilization purpose. W art. 15 ust. 1 Ustawy została ustanowiona tzw. zasada celowości. Każdy administrator funkcjonujący na terenie Japonii zobowiązany jest to tego, aby w związku z przetwarzaniem tego rodzaju informacji określić (wskazać) cel (bądź cele) ich przetwarzania. Pod pojęciem „celu przetwarzania” należy rozumieć wskazanie rezultatu związanego z ich przetwarzaniem, który może, ale nie musi być tożsamy z celem wyłącznie osoby, której dane dotyczą. W kontekście wskazania celu przetwarzania danych osobowych ustawodawstwo japońskie wymaga analogicznych działań, jakie zostały wskazane w art. 5 ust. 1 lit. b RODO. Administratorzy muszą zatem określić wspomniane cele „z najwyższą precyzją”, co jest odpowiednikiem wskazanego w przywołanym przepisie RODO atrybutu „wyraźności” celu. Taka formuła określania celu przetwarzania ma na celu zapewnienie tego, aby osoba, która zdecyduje się na udostępnienie administratorowi danych osobowych miała świadomość tego, po co te dane osobowe administrator przetwarza (czy będzie przetwarzał[1]). Cel określony „z najwyższą precyzją” to cel skonkretyzowany (np. realizacja umowy polegającej na cotygodniowym dostarczaniu wody mineralnej do miejsca zamieszkania konsumenta — oczywiście o ile dana umowa tego dotyczy)[2]. Skonkretyzowanie celu jest jednocześnie niczym innym jak wskazaniem na to, że dane osobowe powinny być przetwarzane w sposób przejrzysty, co — podobnie jak w ujęciu wskazanym w art. 5 ust. 1 lit. a RODO — stanowi kanon przetwarzania danych osobowych także w Japonii. W ust. 2 Ustawa statuuje zasadę względnej niezmienności pierwotnego celu przetwarzania danych osobowych. Zasada ta (stanowiąca odpowiednik rozwiązań zawartych w motywie 50 RODO oraz w art. 6 ust. 4) wskazuje na to, że japoński administrator może przetwarzać posiadane dane osobowe w innym celu, aniżeli cel, dla którego dane te pierwotnie uzyskał pod tym jednak warunkiem, że nowy cel pozostaje w zgodności z celem pierwotnym. Ani Ustawa, ani Rozporządzenie ani nawet Zasady wykonawcze nie rozwijają tego zagadnienia. Za właściwe należałoby przyjąć, że na administratorach znajdujących się w obliczu takiej sytuacji ciążyłby obowiązek przeprowadzenia „testu zgodności teleologicznej” (testu paralelności celów). Takowy test byłby niczym innym jak porównawczym zestawieniem tego, czy cel pierwotny i cel nowo wytyczony są ze sobą powiązane przynajmniej następującymi więzami: a) legalności (czy podstawa przetwarzania danych osobowych wobec obu celów może być taka sama i czy jest nią podstawa, w oparciu o którą pozyskano dane osobowe) b) przedmiotowymi (rozumianymi jako tożsamość rezultatu przetwarzania danych osobowych). c) adekwatności (czy przetwarzane dane osobowe w ramach nowego celu są adekwatne z punktu widzenia możliwości jego osiągnięcia); d) czasowości (czy określone dane mogą być przetwarzane na tyle długo, aby nowy cel mógł zostać osiągnięty); e) nienadmiarowości (czy przetwarzane dane w ramach nowego celu nie są nadmiarowe z punktu widzenia jego osiągania); f) innych, adekwatnych do zastanego kontekstu. Article 16 (1) A personal information handling business operator shall not handle personal information without obtaining in advance a principal’s consent beyond the necessary scope to achieve a utilization purpose specified pursuant to the provisions under the preceding Article. (2) A personal information handling business operator shall, in case of having acquired personal information accompanied with succeeding a business from another personal information handling business operator because of a merger or other reason, not handle the personal information without obtaining in advance a principal’s consent beyond the necessary scope to achieve the pre-succession utilization purpose of the said personal information. (3) The provisions under the preceding two paragraphs shall not apply to those cases set forth in the following. (i) cases based on laws and regulations (ii) cases in which there is a need to protect a human life, body or fortune, and when it is difficult to obtain a principal’s consent (iii) cases in which there is a special need to enhance public hygiene or promote fostering healthy children, and when it is difficult to obtain a principal’s consent (iv) cases in which there is a need to cooperate in regard to a central government organization or a local government, or a person entrusted by them performing affairs prescribed by laws and regulations, and when there is a possibility that obtaining a principal’s consent would interfere with the performance of the said affairs Jedną z najbardziej rozpowszechnionych (i rozpoznawalnych) podstaw prawnych przetwarzania danych osobowych (jest to standard — można powiedzieć — światowy) jest zgoda osoby, której dane dotyczą. Te podstawę statuuje art. 16 ust. 1, który ponadto wskazuje na to, że zakres tej zgody musi korespondować z celem przetwarzania danych osobowych (tzn. zgoda na przetwarzanie danych osobowych obejmuje zezwolenie udzielone administratorowi na ich przetwarzanie w danym celu). W odniesieniu do warunków wyrażenia zgody Ustawa ogranicza się do wskazania wyłącznie tego, BADO powinien ją uzyskać „uprzednio”. Mówiąc inaczej, zgoda osoby, której dane dotyczą musi mieć charakter aprioryczny, czyli wyrażony zanim administrator zacząłby jej dane przetwarzać. Co do ewentualnych dodatkowych warunków, którymi warunki uzyskania zgody mogłyby się charakteryzować japońskie przepisy milczą. Skoro jednak Ustawa wskazuje na aspekt uprzedniości jej „uzyskania” to przyjąć można, że wymagane jest w tym zakresie świadome działanie osoby, która złożyłaby oświadczenie woli w tym zakresie. W tym kontekście zgoda powinna być rozpatrywana w kontekście cywilistycznej konwencji jej wyrażania z zachowaniem „wolnej woli”. Za zgodę w rozumieniu przepisów o ochronie danych osobowych nie powinno się uznawać np. zgody wyrażonej pod przymusem, czy w wyniku działania w błędzie. Ponadto w odniesieniu do określonego kontekstu pozyskiwania danych osobowych, w obliczu braku wyraźnego ustawowego zakazu, dopuszczalnym powinno być także uznanie, że w japońskich realiach także występuje zjawisko tak zwanej „zgody dorozumianej”. Ten instrument prawny, a w zasadzie taka interpretacja przepisu, dopuszczalna byłaby przy uwzględnieniu „utylitaryzmu” danych osobowych[3] i wyłącznie w takich sytuacjach, w których zgoda dorozumiana dotyczyłaby przetwarzania takich danych osobowych, z przetwarzaniem których nie wiązałoby się — w zasadzie — jakiekolwiek ryzyko dla osoby, której dane dotyczą. Z prawnego (ale i managerskiego) punktu widzenia interesująca jest norma zakodowana w art. 16 ust. 2. Przepis ten dotyczy sytuacji związanych z przekształceniami przedsiębiorstw (łączenie się, podział), czyli z sukcesją danych osobowych.
[1] Por. uwagi do art. 18 ustawy. [2] Cel, który mógłby być uznany za nieprecyzyjnie określony mógłby zostać (pozostając w realiach powyższego przykładu) jako „świadczenie usług związanych z działalnością supermarketu)”. [3] W każdym przypadku interpretowanego kontekstowo. [4] Por. art. 9 ust. 2 lit. a RODO. [5] Na przykład gdyby z taką osobą nie byłoby łączności telefonicznej, gdyby taka osoba była nieprzytomna, itp. [6] W okresie opracowywania tego komentarza Świat zmagał się z pandemią tzw. „koronawirusa”. Przepis ten (analogicznie jak art. 9 ust. 2 lit. „i” RODO) jest dowodem na przewidywalność japońskiego ustawodawcy w zakresie tworzenia podstaw prawnych przetwarzania danych osobowych nawet tych szczególnej kategorii. [7] Por. uwagi do tego przepisu. [8] Japońscy administratorzy także umieszczają na swoich stronach takie dokumenty. [9] Pod pojęciem „ciało” należy rozumieć zarówno ciało człowieka jak i jego zdrowie. [10] „Clear”. [11] Uznac należy, że pojęcie to jest tożsame z tym, które zostało określone w art. 4 pkt. 10 RODO. [12] Uprzedniej. [13] Por. art. 14 ust. 1 i 2 of Enforcement Rules for the Act on the Protection of Personal Information. [14] „Jasność” tego celu powinna wynikać z treści informacji, o której mowa w art. 27 ust. 1. Oznacza to ni mniej, ni więcej niż to, że cel ten musi zostać zarówno precyzyjnie określony, jak i „wytłumaczony” w sposób nie budzących wątpliwości z perspektywy „przeciętnego obywatela”. [15] Por. Art. 8 Rozporządzenia. [16] To zbiorcze określenie będzie używane w dalszej części tekstu. [17] Jak wynika z przepisu, procedury opisanej w Ustawie nie stosuje się w przypadkach, w których w stosunku do tej normy inne przepisy stanowią lex specialis. [18] Za zasadne wydaje się utożsamienie tego pojęcia z „niewspółmiernie dużym wysiłkiem” — w tym przypadku finansowym. [19] W ślad za przywołanymi w Decyzji wykonawczej poglądami japońskiej doktryny, z tym pierwszym przypadkiem ABDO spotkałby się m.in. wówczas, gdyby nazwiska osób były wymienione w jakimś wykazie, który zostałby już wydany na rynek, a jego wycofanie z rynku i korekta okazała się bardzo kosztowna. Drugi przypadek polegać może na tym, że przywołany wykaz trafiłby do dużej liczby nieustalonych odbiorców (w tym konsumentów) i niemożliwym byłoby odzyskanie każdego egzemplarza, por. Decyzja wykonawcza, s. 15. [20] Japońskie przepisy dopuszczają pobieranie przez administratorów opłat związanych z rozpatrywaniem żądań pochodzących od osób, których dane dotyczą, por. uwagi do art. 33. [21] W polskich realiach osobę taką można określić jako pełnomocnika. [22] Por. art. 15 ust. 3 RODO. [23] Przy założeniu, że dane żądanie zostało skierowane do operatora taką właśnie drogą i że kurier nie potwierdził danej osobie faktu doręczenia, albo potwierdził fakt doręczenia nie wskazując tego, w jakim dniu ono nastąpiło). [24] Por. definicja zanonimizowanych danych osobowych. [25] Por. art. Zasad egzekwowania. [26] Regularność należy rozumieć jako pewien klucz, za pomocą którego możliwym byłoby restitutio in integrum danych osobowych. [27] A więc takich, które mogłyby powodować niechęć, czy wstręt do osoby fizycznej, której taki opis by dotyczył i na podstawie którego to opisu dana osoba mogłaby zostać zidentyfikowana. [28] Por. art. 20 Zasad wykonawczych. [29] Por. art. 21 Zasad wykonawczych. [30] Co jest znanym rozwiązaniem chociażby z UODO. [31] Por. art. 81 ODOU. [32] Należy to rozumieć jako realne, nieuchronne i mające wystąpić w relatywnie niedługim czasie. [33] Sytuacja odnosi się do faktycznie występującego zagrożenia, a nie jedynie groźby jego wystąpienia. [34] Przykład jest abstrakcyjny, ale czy nie mógłby zostać — w sprzyjających ku temu warunkach — zrealizowany? [35] Chociażby zbierania wypełnionych deklaracji przystąpienia do danego ugrupowania politycznego. [36] Por. uwagi do tego artykułu. [37] Ustawa posługuje się pojęciem „business jurisdictional minister” co — w kontekście omawianego zagadnienia — „właściwego ministra” — czyli takiego, którego władztwo roztaczałoby się na daną gałąź gospodarki, której profil odpowiadałby profilowi prowadzonej, przez BADO, działalności gospodarczej, por. także uwagi do art. 46. [38] Z analizy przepisów wynika, że przekazanie uprawnień może mieć charakter zarówno epizodyczny w takim rozumieniu, że uprawnienia zostałyby przekazane na czas określony, jak również epizodyczny w tym sensie, że dotyczący sprawy związanej z konkretnym ABDO. Przepisy nie wskazują tego, czy delegowanie uprawnień może być dokonane na czas nieoznaczony. [39] Czego nie należy utożsamiać z tak zwanym „podpowierzeniem” przetwarzania danych osobowych w rozumieniu art. 28 ust. 4 RODO. [40] Tak zwane „Local Branch Bureau”, por. art. 15 Rozporządzenia. [41] Oba te podmioty można „zbiorczo” porównać do polskiej KNF. [42] Uprawnienia te „dotykają” przedsiębiorców, których profil działalności odpowiada zakresowi nadzoru regulatora tych rynków. [43] W kontekście położenia geograficznego Japonii (a co za tym idzie względnie wysokiego odsetka osób wykonujących tę profesję) zawód ten, jak się okazuje, podlega pod właściwość osobnego ministerstwa. [44] Jest to organ, którego rolą jest stanie na straży niezależności organów policyjnych i zapobiegający ich upolitycznieniu. [45] W polskim systemie prawnym takie działania jak akredytacja czy certyfikacja (rozumiane nieco inaczej, aniżeli w przypadku rozwiązań japońskich) omówione są w rozdziale 3 i 4 ODOU. [46] W języku angielskim „Covered business operator” (dalej w opracowaniu używane będzie pojęcie „Podmiotu objętego opieką” — co należy rozumieć jako administratora danych, który korzysta z usług wyspecjalizowanej jednostki zewnętrznej zajmującej się zawodowo „wspieraniem” administratorów w przetwarzaniu danych osobowych. [47] Są to tak zwane „usługi akredytowane” — por. art. 50 Ustawy. [48] Osoby z najwyższego kierownictwa, np. prezesa zarządu spółki, dyrektora zarządzającego, itp. [49] Por. uwagi do art. 51. [50] Określony jest przez przepisy Ustawy jako „Accredited personal information protection organization” czyli Akredytowana organizacją ochrony danych osobowych (AOODO). [51] W japońskiej terminologii jest to tak zwana „dyskwalifikacja”. [52] W polskim systemie prawnym, w stosunku do danych osobowych, przepisy ich dotyczące nie wskazują tak daleko idących ograniczeń. Wymogi „niekaralności” są natomiast znanymi okolicznościami wpływającymi na status zawodowy określonych osób w Polsce, co ma zastosowanie przede wszystkim do osób zatrudnionych w organach administracji publicznej, czy też niektórych gałęziach gospodarki (np. detektywi, niektórzy pracownicy banków, itp.). [53] Za wyłącznie formalny wymóg uznać należy obowiązek złożenia oświadczenia, o ktorym mowa w art. 48 pkt iii. Na chwilę składania wniosku Komisja nie będzie dysponowała informacjami o tym, że podejmowanie ewentualnych innych działań będzie miało negatywny wpływ na świadczenie usług akredytowanych. Ta okoliczność może pojawić się dopiero w toku świadczenia tych usług i ewentualnie stanowić podstawę do cofnięcia akredytacji, stosownie do postanowień wskazanych w art. 58 ust. 1 pkt ii Ustawy. [54] Por. art. 20 Rozporządzenia. [55] (np. możliwość jednostronnego wypowiedzenia umowy bez wypowiedzenia, co byłoby dotkliwe zwłaszcza dla tych podmiotów, które nie posiadają własnych zasobów dedykowanych do profesjonalnej obsługi danych osobowych. Oczywiście osobną kwestią byłyby ewentualne skutki wizerunkowe, które mogłyby dotknąć taki podmiot). [56] Dalej zwanych „Wytycznymi”. [57] Swoistym odpowiednikiem tego dokumentu mogą być zatwierdzone kodeksy postępowania, o których mowa w RODO. [58] Por. uwagi do art. 52. [59] Największą AOODO w Japonii jest Japońskie Centrum Przetwarzania Informacji i Rozwoju, które skupiało w 2016 r. 15 434 „podopiecznych”, źródło: Decyzja wykonawcza, s. 13. [60] Por. uwagi do art. 50 Ustawy. [61] Na przykład zasady związane z uczestniczeniem AOODO w procesie rozpatrywania skarg.
[1] Por. art. 61. [2] Act on the Use of Numbers to Identify a Specific Individual in the Administrative Procedure, jest to ustawa, stanowiąca lex specjalis w stosunku do japońskiej ustawy o ochronie danych osobowych przetwarzanych przez organy administracji publicznej (która będzie przedmiotem osobnego komentarza). W dużym skrócie ustawa ta reguluje kwestie związane z wykorzystywaniem tzw. „Indywidualnych numerów”, którymi są wygenerowane numery identyfikujące określone osoby fizyczne w oparciu o dane dotyczące jej miejsca zamieszkania, a które to dane są wykorzystywane w prowadzonych postępowaniach administracyjnych (na ich podstawie identyfikuje się stronę takiego postępowania). [3] Por. uwagi do art. 7. [4] Można śmiało stwierdzić, że przepis ten osadza Komisję w realiach zasady legalizmu, zgodnie z którą Komisja może działać wyłącznie na podstawie przepisów i w ich granicach. [5] A także postulatów zawartych w art. 17—19 RODO. [6] Z uwagi na niewystępowanie tego aktu prawnego w wersji anglojęzycznej odstąpiono od rozwijania zakresu znaczeniowego opisanego w lit. „f” niniejszej jednostki redakcyjnej. [7] Czy też „awaryjnych”. [8] Odpowiednik upadłości konsumenckiej. Przesłanka ta jest zrozumiała. Znajdowanie się danej osoby w niekorzystnej sytuacji finansowej generowałaby szereg ryzyk, chociażby korupcyjnych. [9] O której była mowa wcześniej. [10] Co, a contrario, stanowi lżejszą formę ukarania karą kryminalną niż kara pozbawienia wolności z obowiązkiem pracy. [11] Zasygnalizować należy to, że przepisy Ustawy, inaczej niż przepisy ODOU, nie przewidują objęcia Przewodniczącego oraz Komisarzy immunitetem chroniącym ich przed podjęciem wobec nich ścigania karnego. [12] Funkcję tę można porównać do instytucji biegłego znaną polskiemu systemowi prawnemu. [13] Ta problematyka nie będzie rozwijana w ramach niniejszego komentarza. [14] Urzędu Ochrony Danych Osobowych, o którym mowa w art. 45 UODO. [15] Dalej zwani pracownikami lub urzędnikami. [16] Statut ten stanowi załącznik do Zarządzenia nr 19/2019 Prezesa Urzędu Ochrony Danych Osobowych z dnia 6 listopada 2019 r., źródło: https://uodo.gov.pl/pl/p/statut-urzedu [17] Zwłaszcza materialną.
[1] Ustawa statuuje zatem w tym zakresie zasadę podwójnej karalności czynu. [2] W tym przepisie wskazana jest zasada „wzajemności”.
[1] Średni kurs japońskiej waluty na dzień 31 grudnia 2019 r. przedstawiał się następująco: 100 JPY — 3,4959 zł, źródło: www.nbp.pl/home.aspx? navid=archa&c=/ascx/tabarch.ascx&n=a251z191231, dostęp dnia 17 kwietnia 2020 r. W odniesieniu do tego archiwalnego kursu, w przeliczeniu na walutę polską, maksymalna kara grzywny mogła wynieść 34 959,00 zł. [2] Imprisonment with work shall consist of confinement in a penal institution with assigned work — łumaczenie art. 12 ust. 2 japońskiego Kodeksu karnego, Law number: Act No. 45 of 1907 Last Version: Amendment of Act No. 54 of 2007. [3] Pomimo relatywnie niewielkiej wysokości tej kary nie jest ona uważana za niską karę grzywny. Japońskie przepisy karne statuując katalog kar wskazują na osobną ich kategorię tzw. „petty fines”, których górna granica nie przekracza 10 000 jenów. Por. Japan Penal Code, Law number: Act Nb. 45 of 1907, Last Version: Amendment od Acf No. 54 of 2007.
<a href="http://cyfroteka.pl/ebooki/Komentarz_do japonskiej_ustawy_o ochronie_danych_osobowych-ebookRO/p1173800i1354080" target="_blank" title="Komentarz do japońskiej ustawy o ochronie danych osobowych [Tomasz Łodziana] - KLIKAJ I CZYTAJ ONLINE" > <img src="http://cyfroteka.pl/images/BRD.png" style="border:none;background:none transparent;box-shadow:none;-webkit-box-shadow:none;-webkit-border-radius:0;border-radius:0;" alt="Komentarz do japońskiej ustawy o ochronie danych osobowych [Tomasz Łodziana] - KLIKAJ I CZYTAJ ONLINE"/></a>