Notre dernier article de la série sur la législation en matière de protection des données est consacré au Japon. Autre pays à avoir récemment mis à jour de manière significative son cadre de protection des données, le Japon a publié des amendements stricts à sa loi sur la protection des informations personnelles (APPI). Loi sur la protection des informations personnelles (APPI). Ces amendements renforcent les niveaux de protection des données personnelles et alignent la réglementation japonaise plus étroitement sur les normes internationales. Les modifications sont devenues pleinement opérationnelles le 1er avril 2022 et comprennent quelques clauses très intéressantes.
Débriefing de la loi japonaise sur la protection des données
Si vous êtes impliqué dans le traitement de données concernant des citoyens ou des entreprises japonais, vous devrez vous y conformer.
Les principaux changements apportés à l’APPI modifié sont les suivants :
Élargissement du champ d’application géographique
Comme nous l’avons déjà laissé entendre, les entreprises étrangères qui traitent des informations personnelles concernant des résidents japonais doivent désormais se conformer à la version modifiée de l’APPI.
Il s’agit d’un changement important : cela signifie que même si une entreprise n’a pas de présence physique au Japon, mais qu’elle offre des biens ou des services à des personnes au Japon, elle devra se conformer à l’APPI.
Renforcement des droits individuels
La nouvelle réglementation permet aux Japonais de mieux contrôler la manière dont leurs données personnelles peuvent être stockées ou utilisées.
Les consommateurs japonais ont désormais le droit de demander la suppression ou la cessation de l’utilisation de leurs données.
Ce droit s’applique à toutes les données utilisées par une entreprise si l’individu estime qu’elles sont traitées de manière inappropriée ou qu’elles ne sont plus nécessaires à l’objectif fixé.
Des exigences plus strictes en matière de consentement
Les entreprises qui souhaitent stocker ou utiliser des données de personnes japonaises doivent désormais obtenir le consentement spécifique de ces personnes.
Elles doivent également obtenir ce consentement avant de transférer les données personnelles à des tiers dans des pays étrangers où les normes de protection des données peuvent être moins strictes.
Il s’agit d’une amélioration importante de la législation sur la protection de la vie privée, qui garantit la protection des données des résidents japonais, même si elles sont traitées à l’étranger.
Informations traitées de manière pseudonyme
Il s’agit d’un nouveau concept intéressant dans le cadre de l’APPI modifié, très pertinent pour les applications d’exploration des « big data ».
Les « informations traitées de manière pseudonymisée » sont une catégorie spéciale de données qui permet l’analyse des big data sans qu’il soit nécessaire d’obtenir le consentement des personnes, à condition que certaines garanties soient mises en place.
En utilisant un pseudonyme, les données sont partiellement anonymisées afin que les individus ne puissent pas être identifiés. Elles peuvent ensuite être interrogées sans enfreindre les protections de la vie privée.
Comment les entreprises doivent-elles se préparer à se conformer aux règlements APPI ?
Pour se préparer à se conformer à l’APPI modifiée, les entreprises doivent prendre les mesures suivantes :
Réalisez un exercice de cartographie des données.
Faire un inventaire complet des données personnelles collectées, traitées et stockées, afin de comprendre l’étendue de l’applicabilité de l’APPI pour leur organisation.
Vérifiez les politiques de confidentialité.
Veillez à ce que les politiques de protection de la vie privée existantes soient mises à jour et reflètent les nouvelles exigences. Ces politiques doivent inclure des informations sur les transferts transfrontaliers de données et les droits individuels à l’effacement et à la cessation.
Vérifiez les processus de consentement aux données.
De nouveaux mécanismes robustes de consentement des données doivent être mis en place. Cela est particulièrement important pour les transferts internationaux de données et lorsque des informations personnelles sensibles sont traitées.
Employez un délégué à la protection des données.
Les nouvelles réglementations de l’APPI sont étendues, et il peut être conseillé de nommer un spécialiste de la gestion des données pour superviser les efforts de conformité en matière de confidentialité des données.
Créez une stratégie de réponse aux violations de données.
Si votre entreprise est victime d’une violation de données, elle doit être signalée aux autorités de régulation dans les 72 heures. Une partie des préparatifs de mise en conformité avec l’APPI doit inclure l’élaboration et la mise en œuvre d’un plan d’intervention en cas de violation de données, comprenant des procédures de notification aux personnes concernées et à la Commission de la protection des données personnelles (CPP).
Quelles sont les implications de l’APPI pour la gestion des données ?
Les réglementations APPI modifiées du Japon ont des implications significatives pour les meilleures pratiques de gestion des données. Les entreprises concernées par ces règles devront prendre en compte les éléments suivants :
- Consentement pour les flux de données transfrontaliers
Les entreprises doivent évaluer soigneusement leurs pratiques en matière de transfert international de données, car la nouvelle réglementation exige un consentement explicite si les données sont traitées à l’étranger. Par exemple, si une entreprise japonaise de commerce électronique transfère des données de clients à un fournisseur de services en nuage aux États-Unis, elle devra s’assurer que des garanties appropriées sont en place, ce qui implique également d’obtenir le consentement explicite des clients.
- Introduire des politiques de « minimisation des données »
La nouvelle réglementation encourage les principes de minimisation des données, selon lesquels seule une quantité minimale de données est collectée et conservée. Les organisations doivent expliquer clairement pourquoi elles ont besoin des données de leurs clients et ne collecter et ne conserver que les données personnelles nécessaires à leurs objectifs déclarés. Par exemple, une société d’applications de fitness ne devrait collecter les données de santé de ses abonnés que si elles sont directement utiles à la fourniture de ses services.
- Introduire des mesures de sécurité renforcées
Les nouveaux règlements APPI prévoient des sanctions plus lourdes en cas de violation des données. Les entreprises doivent se protéger contre les dommages financiers et les atteintes à la réputation liés à la non-conformité en mettant en œuvre des mesures de sécurité plus strictes. Ces mesures peuvent inclure le cryptage des données sensibles, la mise en place d’une authentification multifactorielle et la réalisation régulière d’audits de sécurité pour s’assurer que leurs données sont aussi sûres que possible.
- Agir avec transparence et responsabilité
Comme toutes les autres lois sur la protection de la vie privée, l’APPI exige que les organisations soient transparentes quant à leurs pratiques en matière de traitement des données. Cela signifie qu’elles doivent être ouvertes et honnêtes, et faire en sorte que les consommateurs puissent découvrir aussi facilement que possible comment leurs données sont utilisées. Les organisations doivent également être pleinement responsables de la manière dont les données sont utilisées et fournir des informations claires et facilement accessibles sur la manière de demander l’effacement de leurs données.
En quoi l’APPI japonaise diffère-t-elle des autres lois mondiales sur la protection de la vie privée ?
La loi modifiée sur la protection des informations personnelles (APPI) au Japon présente des caractéristiques intéressantes et uniques. Elles reflètent les valeurs culturelles du Japon en matière de confidentialité et de protection des données et pourraient donner matière à réflexion à d’autres pays.
Parmi celles-ci, la plus importante est la catégorie des « informations traitées de manière pseudonyme ». En incluant cette catégorie dans le règlement, l’APPI reconnaît l’importance croissante de l’analyse des big data pour l’IA et la planification stratégique des entreprises, mais respecte également les droits des individus dans un monde de plus en plus dominé par les données.
L’APPI contient également des dispositions spécifiques pour les « informations traitées de manière anonyme », ce qui permet une utilisation plus large des données qui ont été dépersonnalisées de manière irréversible afin que la source individuelle ne puisse jamais être identifiée. Il s’agit là de deux politiques très avant-gardistes.
Une autre caractéristique intéressante de l’APPI est qu’ elle permet aux individus de refuser de partager leurs informations personnelles avec des tiers, ce qui est une particularité de la législation japonaise.
En outre, l’APPI utilise différentes classifications pour les parties impliquées, en utilisant le terme « opérateur commercial de traitement des informations personnelles » au lieu de différencier les contrôleurs de données et les sous-traitants comme le fait la loi sur la confidentialité des données du RGPD.
Conclusion
Chez TJC Group, nous nous réjouissons toujours des changements apportés aux réglementations sur la confidentialité des données qui renforcent la protection des consommateurs. Les lois APPI modifiées représentent une avancée significative dans le régime de protection des données du Japon. Il s’aligne bien sur d’autres normes mondiales de protection de la vie privée comme le RGPD de l’UE, mais présente également des caractéristiques japonaises uniques. Les entreprises qui opèrent sur le marché japonais ou qui visent ce marché doivent adapter leurs pratiques de gestion des données afin de se conformer à ces nouvelles réglementations. Elles éviteront ainsi des sanctions potentielles et renforceront la confiance de leurs clients et partenaires japonais dans un monde de plus en plus axé sur les données.
Chez TJC Group, nous aidons les entreprises à s’assurer que la confidentialité des données est pleinement respectée dans les systèmes SAP. La complexité des systèmes SAP et des réglementations en matière de protection des données, associée au volume élevé de données traitées dans l’économie actuelle, rend difficile la gestion de projets aussi complexes par les équipes informatiques et les équipes chargées de la conformité. Si vous avez besoin d’aide, n’hésitez pas à nous contacter. Pour en savoir plus sur SAP ILM et la conformité en matière de protection des données, consultez cet article : Comprendre les composants clés de SAP ILM.
Série sur la protection des données
Cet article fait partie de la série sur la confidentialité des données. Consultez d’autres articles susceptibles de vous intéresser :
- Confidentialité des données : Votre guide absolu sur l’importance de la protection des données, les réglementations et bien plus encore
- RGPD dans l’UE | Un guide complet pour tout savoir sur le sujet.
- Décryptage de la loi indienne de 2023 sur la protection des données personnelles numériques (DPDP)
- Loi 25 sur la protection des données au Québec : Qu’est-ce que c’est et comment s’y conformer ?
- Lois sur la protection des données en Argentine (bientôt disponible)
Références :
- Orientation des données. Japon – Aperçu de la protection des données
- https://www.ppc.go.jp/en/
