EVROPSKÁ KOMISE
V Bruselu dne 3.4.2023
COM(2023) 275 final
ZPRÁVA KOMISE EVROPSKÉMU PARLAMENTU A RADĚ
o prvním přezkumu fungování rozhodnutí o odpovídající ochraně týkající se Japonska
{SWD(2023) 75 final}
EVROPSKÁ KOMISE
V Bruselu dne 3.4.2023
COM(2023) 275 final
ZPRÁVA KOMISE EVROPSKÉMU PARLAMENTU A RADĚ
o prvním přezkumu fungování rozhodnutí o odpovídající ochraně týkající se Japonska
{SWD(2023) 75 final}
ZPRÁVA KOMISE EVROPSKÉMU PARLAMENTU A RADĚ
o prvním přezkumu fungování rozhodnutí o odpovídající ochraně týkající se Japonska
1.PRVNÍ PŘEZKUM – POZADÍ, PŘÍPRAVA A POSTUP
Dne 23. ledna 2019 přijala Evropská komise rozhodnutí podle článku 45 nařízení (EU) 2016/679 (obecné nařízení o ochraně osobních údajů) 1 , v němž konstatovala, že Japonsko zajišťuje odpovídající úroveň ochrany osobních údajů předávaných z Evropské unie podnikům nakládajícím s osobními informacemi 2 v Japonsku 3 . Předávání údajů z EU soukromým subjektům v Japonsku tak může probíhat bez dalších požadavků 4 .
Rozhodnutí Komise o odpovídající ochraně se vztahuje na japonský zákon o ochraně osobních informací doplněný o doplňková pravidla, která byla zavedena s cílem překlenout určité relevantní rozdíly mezi zákonem o ochraně osobních informací a obecným nařízením o ochraně osobních údajů 5 . Tyto dodatečné záruky posilují například ochranu citlivých údajů (rozšířením kategorií osobních informací považovaných za citlivé údaje), výkon individuálních práv (vyjasněním, že individuální práva lze vykonávat i v případě osobních údajů uchovávaných po dobu kratší než šest měsíců, což dříve podle zákona o ochraně osobních informací neplatilo) 6 a podmínky, za kterých lze údaje z EU dále předávat („další předávání“) z Japonska do jiné třetí země 7 . Doplňková pravidla jsou pro japonské subjekty závazná a jejich dodržování může vymáhat nezávislý orgán pro ochranu údajů – Komise pro ochranu osobních informací – nebo přímo fyzické osoby z EU u japonských soudů 8 .
Japonská vláda dále poskytla oficiální prohlášení, ujištění a závazky vůči Komisi ohledně omezení a záruk, pokud jde o přístup japonských orgánů veřejné moci k osobním údajům a jejich používání pro účely prosazování trestního práva a národní bezpečnosti, a objasnila, že jakékoli takové zpracování je omezeno na to, co je nezbytné a přiměřené, a podléhá nezávislému dozoru a účinným ochranným mechanismům 9 . Ochranné mechanismy v této oblasti zahrnují zvláštní postup řešení sporů, který spravuje a dozoruje Komise pro ochranu osobních informací a který byl vytvořen pro fyzické osoby z EU, jejichž osobní údaje jsou předávány na základě rozhodnutí o odpovídající ochraně 10 .
V době přijetí rozhodnutí Komise o odpovídající ochraně přijalo Japonsko rovnocenné rozhodnutí o předávání údajů do EU, čímž vznikl největší prostor volného pohybu údajů na světě s vysokou úrovní ochrany údajů 11 . Tato rozhodnutí o vzájemné odpovídající ochraně doplňují a utvrzují přínosy Dohody mezi Evropskou unií a Japonskem o hospodářském partnerství, která vstoupila v platnost v únoru 2019 12 , a dohody o strategickém partnerství 13 , která byla sjednána souběžně s dohodou o hospodářském partnerství. Společnosti na obou stranách těží ze synergie mezi rozhodnutími o vzájemné odpovídající ochraně a dohodou o hospodářském partnerství, protože možnost volného pohybu údajů mezi EU a Japonskem dále usnadňuje obchodní výměny a vytváří rozsáhlé obchodní příležitosti díky privilegovanému přístupu na trh druhé strany. Je také důležitým precedentem, protože jasně ukazuje, že v digitální éře může a musí jít podpora vysokých standardů ochrany soukromí a usnadnění mezinárodního obchodu ruku v ruce.
Od přijetí rozhodnutí o odpovídající ochraně EU a Japonsko jakožto stejně smýšlející partneři dále zintenzivnily spolupráci v oblasti digitálních záležitostí obecně, a zejména v oblasti datových toků. Na dvoustranné úrovni se to odráží zejména v uzavření digitálního partnerství v květnu 2022 14 a v zahájení jednání o zahrnutí pravidel týkajících se přeshraničních datových toků do dohody o hospodářském partnerství v říjnu 2022 15 , jimiž se dále posílí synergie s ujednáními o vzájemné odpovídající ochraně. Na mnohostranné úrovni se EU a Japonsko spojily v úsilí o prosazování, posilování a provádění iniciativy „Data Free Flow with Trust“ („volný tok dat s důvěrou“), kterou zahájil zesnulý premiér Šinzó Abe, a to i prostřednictvím úzké spolupráce v rámci skupiny G7, Světové obchodní organizace (v souvislosti s iniciativou společného prohlášení o elektronickém obchodu) a Organizace pro hospodářskou spolupráci a rozvoj (OECD). Intenzivní spolupráce mezi EU a Japonskem v těchto otázkách v rámci OECD přispěla zejména k tomu, že byly vůbec poprvé na mezinárodní úrovni přijaty společné zásady přístupu vlád k osobním údajům v soukromém sektoru 16 . Všechny tyto různé pracovní skupiny se ve větší či menší míře opíraly o sdílené hodnoty a požadavky, na nichž je založeno ujednání o odpovídající ochraně mezi EU a Japonskem.
Za účelem pravidelného ověřování, zda jsou zjištění v rozhodnutí o odpovídající ochraně i nadále skutkově a právně podložená, je Komise povinna provádět pravidelný přezkum a podávat o jeho výsledku zprávu Evropskému parlamentu a Radě 17 . Tato zpráva, která se zabývá všemi aspekty fungování rozhodnutí, uzavírá první pravidelný přezkum. Za japonskou stranu se přezkumu zúčastnili zástupci Komise pro ochranu osobních informací, ministerstva vnitra a komunikací, ministerstva spravedlnosti, ministerstva obrany a Národní policejní agentury. Delegaci EU tvořili tři zástupci jmenovaní EDPB a členové Evropské komise.
Dne 26. října 2021 se uskutečnilo přezkumné jednání mezi oběma delegacemi, kterému předcházely a na které navázaly četné výměny názorů. V rámci přípravy přezkumu shromáždila Komise zejména informace od japonských orgánů o fungování rozhodnutí, zvláště o provádění doplňkových pravidel. Z veřejných zdrojů a od místních odborníků si Komise rovněž vyžádala informace o fungování rozhodnutí a o příslušném vývoji japonského práva a praxe, a to jak pokud jde o pravidla ochrany údajů platná pro soukromé subjekty, tak i pokud jde o přístup vlády. V návaznosti na přezkumné jednání si Komise a Komise pro ochranu osobních informací několikrát vyměnily názory na body, které byly na tomto jednání projednávány, přičemž se zabývaly zejména otázkami, které vyvolalo zavedení pravidel pro pseudonymizované osobní informace do zákona o ochraně osobních informací.
2.HLAVNÍ ZJIŠTĚNÍ
Podrobná zjištění týkající se fungování všech aspektů rozhodnutí o odpovídající ochraně jsou uvedena v pracovním dokumentu útvarů Komise (SWD(2023) 75), který je připojen k této zprávě.
První přezkum zejména ukázal, že rámce EU a Japonska pro ochranu údajů se od přijetí rozhodnutí o odpovídající ochraně dále sbližují. Zákon o ochraně osobních informací byl dvakrát novelizován: dne 5. června 2020 novelou zákona o ochraně osobních informací z roku 2020, která vstoupila v platnost dne 1. dubna 2022 18 , a dne 12. května 2021 zákonem o úpravě souvisejících zákonů za účelem vytvoření digitální společnosti (novela zákona o ochraně osobních informací z roku 2021) 19 . Doplňková pravidla byla po konzultaci s Komisí upravena tak, aby tyto změny zohledňovala.
Tyto změny ještě více sblížily systémy EU a Japonska, zejména tím, že posílily povinnosti v oblasti bezpečnosti údajů (zavedením povinnosti oznamovat porušení ochrany údajů), práva subjektů údajů (zejména práva na přístup a práva vznést námitku) a ochranu poskytovanou v případě předávání údajů (v podobě dodatečných požadavků na informace a monitorování, včetně informací o možných rizicích souvisejících s přístupem státních orgánů v zemi určení). V této souvislosti stojí za zmínku zejména to, že do zákona o ochraně osobních informací byly začleněny některé z dodatečných záruk stanovených v doplňkových pravidlech pro osobní údaje pocházející z EU, tj. pravidla pro uchovávání údajů a podmínky pro informovaný souhlas s přeshraničním předáváním, čímž se tyto záruky staly obecně použitelnými pro všechny osobní údaje bez ohledu na jejich původ nebo místo shromažďování 20 .
Další klíčovou změnou, kterou Komise vítá, je přeměna zákona o ochraně osobních informací na komplexní rámec ochrany údajů, který se vztahuje jak na soukromý, tak i na veřejný sektor, přičemž podléhá výhradnímu dohledu Komise pro ochranu osobních informací 21 . Toto další posílení japonského rámce pro ochranu údajů a pravomocí Komise pro ochranu osobních informací může připravit půdu k tomu, aby se rozhodnutí o odpovídající ochraně rozšířilo nad rámec obchodních výměn a vztahovalo se i na ta předávání údajů, která jsou v současné době z jeho působnosti vyloučena, například v oblasti spolupráce v regulaci a výzkumu.
První přezkum se zaměřil také na nová pravidla pro vytváření a používání „pseudonymizovaných osobních informací“, která byla zavedena novelou zákona o ochraně osobních informací z roku 2020 22 . Cílem těchto nových pravidel je v podstatě usnadnit (interní) využívání osobních informací podniky, které s nimi nakládají především pro statistické účely (např. pro identifikaci trendů a vzorců s cílem využít je pro další činnosti, včetně výzkumu). Díky přezkumnému jednání a následné výměně názorů mezi Komisí a Komisí pro ochranu osobních informací se vyjasnil výklad a uplatňování těchto nových ustanovení. Na základě těchto diskusí a s cílem vyjasnit zamýšlené uplatňování těchto nových ustanovení, a zajistit tak právní jistotu a transparentnost byla dne 15. března 2023 dvěma způsoby změněna doplňková pravidla 23 . Zaprvé, doplňková pravidla stanoví, že tyto informace mohou být použity pouze pro statistické účely – vymezené jako zpracování pro statistická šetření nebo vypracování statistických výsledků – k vytvoření souhrnných údajů a že výsledek zpracování nebude použit jako podpůrný prostředek pro opatření nebo rozhodnutí týkající se konkrétní osoby. Zadruhé objasňují, že pseudonymizované osobní informace původně získané z EU budou vždy považovány za „osobní informace“ ve smyslu zákona o ochraně osobních informací, aby se tak zajistilo, že při předávání na základě rozhodnutí o odpovídající ochraně nebude narušena kontinuita ochrany údajů, jež jsou považovány za osobní údaje dle obecného nařízení o ochraně osobních údajů 24 .
Pokud jde o provádění záruk ochrany údajů v praxi, Komise vítá různé kroky, které Komise pro ochranu osobních informací podnikla. Mimo jiné jde o přijetí aktualizovaných pokynů, včetně pokynů pro mezinárodní předávání údajů. Komise poznamenává, že tyto pokyny by mohly být vyjasněny tak, aby se zabývaly také zvláštními požadavky, které se podle doplňkových pravidel vztahují na další předávání osobních údajů z Japonska obdržených z Unie, včetně – jak vyplývá z doplňkového pravidla č. 4 a jak je vysvětleno v rozhodnutí o odpovídající ochraně 25 – vyloučení dalšího předávání na základě certifikačního systému přeshraničních pravidel ochrany soukromí zemí Asijsko-tichomořské hospodářské spolupráce (APEC). Ačkoli Komise pro ochranu osobních informací vysvětlila, že podnikatelské subjekty nakládající s osobními informacemi svá další předávání údajů původně obdržených z EU formalizují „uzavřením smlouvy, která příjemce zavazuje k přijetí opatření zajišťujících kontinuitu ochrany“, neposkytuje Komise pro ochranu osobních informací v současné době žádné pokyny (pokud jde o záruky) ohledně doporučeného obsahu „rovnocenných opatření“ používaných při mezinárodním předávání údajů – ať už ve formě pokynů, nebo vzorových smluv o ochraně údajů. Tato další vyjasnění, která by mohla být založena zejména na výměně informací a osvědčených postupů mezi Komisí pro ochranu osobních informací a Komisí, by mohla být obzvláště užitečná, protože se týkají aspektů, které se týkají zejména společností působících v obou jurisdikcích.
Pokud jde o dohled a prosazování, Komise konstatuje, že Komise pro ochranu osobních informací v období po přijetí rozhodnutí o odpovídající ochraně více využívala své nenátlakové pravomoci spočívající v poskytování pokynů a poradenství (článek 147 zákona o ochraně osobních informací) než donucovací pravomoci (spočívající např. v ukládání závazných příkazů dle článku 148 zákona o ochraně osobních informací). Komise pro ochranu osobních informací rovněž informovala, že doposud neobdržela žádnou stížnost týkající se dodržování doplňkových pravidel a že z vlastní iniciativy neprovedla v těchto záležitostech žádné šetření. Během přezkumného jednání však Komise pro ochranu osobních informací oznámila, že zvažuje provádění namátkových kontrol z vlastní iniciativy, aby zajistila dodržování doplňkových pravidel. Komise toto oznámení vítá, neboť se domnívá, že tyto namátkové kontroly by byly velmi důležité pro zajištění prevence, odhalování a řešení (případných) porušení doplňkových pravidel, a tím i pro zajištění účinného dodržování těchto pravidel. Vzhledem k tomu, že novely zákona o ochraně osobních informací z let 2020 a 2021 rozšířily dohledové pravomoci Komise pro ochranu osobních informací, mohly by tyto namátkové kontroly být součástí celkového úsilí o větší využívání těchto pravomocí.
V neposlední řadě Komise velmi vítá zřízení specializovaných kontaktních míst pro fyzické osoby z EU, které mají dotazy nebo obavy ohledně zpracování svých osobních údajů v Japonsku, ať už ze strany komerčních subjektů (informační linka), nebo orgánů veřejné moci (linka pro vyřizování stížností). Současně upozorňuje, že na internetových stránkách informační linky je uvedeno, že tato funguje „pouze v japonštině“. Ačkoli Komise pro ochranu osobních informací poskytla ujištění, že v zásadě je k dispozici i asistence v angličtině, osoby z EU tato skutečnost pravděpodobně od využití služby odradí. Komise si uvědomuje, že Komise pro ochranu osobních informací musí zvážit způsoby, jak tato kontaktní místa lépe zpřístupnit Evropanům, a to mimo jiné objasněním tohoto bodu.
3.ZÁVĚR
Na základě celkových zjištění učiněných v rámci tohoto prvního přezkumu dospěla Komise k závěru, že Japonsko i nadále zajišťuje odpovídající úroveň ochrany osobních údajů, které směřují z Evropské unie k japonským podnikatelským subjektům nakládajícím s osobními informacemi, na něž se vztahuje zákon o ochraně osobních informací a jeho doplňková pravidla a oficiální prohlášení, ujištění a závazky obsažené v příloze II rozhodnutí. V této souvislosti útvary Komise konstatují a velmi oceňují vynikající spolupráci s japonskými orgány, zejména s Komisí pro ochranu osobních informací, při provádění přezkumu.
S ohledem na tento výsledek přezkumu a v souladu se 181. bodem odůvodnění rozhodnutí o odpovídající ochraně se Komise domnívá, že pro budoucí přezkumy není nutné zachovat dvouletý cyklus, a má za to, že je s ohledem na čl. 45 odst. 3 obecného nařízení o ochraně osobních údajů možné přejít na čtyřletý cyklus. V této věci proto bude konzultovat výbor zřízený podle čl. 93 odst. 1 obecného nařízení o ochraně osobních údajů 26 .
Zlepšení některých aspektů japonského rámce by zároveň mohlo přispět k dalšímu posílení záruk stanovených v zákoně o ochraně osobních informací a doplňkových pravidlech. Za tímto účelem vydává Komise tato doporučení:
1.Komise oceňuje a do budoucna podporuje plánované provádění namátkových kontrol ze strany Komise pro ochranu osobních informací za účelem zajištění dodržování doplňkových pravidel. Domnívá se, že tyto namátkové kontroly by mohly být velmi důležité v rámci odhalování a řešení (potenciálních) porušování doplňkových pravidel, čímž by se mohlo zajistit účinné dodržování těchto pravidel.
2.Komise oceňuje, že Komise pro ochranu osobních informací zveřejnila aktualizované pokyny k mezinárodnímu předávání, které přispějí k tomu, že pravidla pro tuto problematiku, obsažená v zákoně o ochraně osobních informací, budou přístupnější a uživatelsky přívětivější. Tyto pokyny (nebo jiný metodický materiál) by měly v příslušných případech rovněž vysvětlovat konkrétní požadavky vyplývající z doplňkových pravidel, včetně problematiky vyloučení certifikačního systému přeshraničních pravidel ochrany soukromí zemí Asijsko-tichomořské hospodářské spolupráce (APEC) z dalšího předávání osobních údajů získaných původně z EU.
3.Během přezkumu se jednalo o tom, jak by bylo možné učinit informační linku / linku pro vyřizování stížností, kterou provozuje Komise pro ochranu osobních informací, přístupnější, aby na nich mohli své dotazy a připomínky vznášet i jednotlivci z řad cizinců. Zde je důležité, aby specializované internetové stránky obsahovaly upozornění, že pomoc je k dispozici v zásadě i v angličtině.
Díky přezkumu byly určeny také oblasti možné budoucí spolupráce. Jak již bylo uvedeno, Komise pro ochranu osobních informací v současné době neposkytuje žádné pokyny k doporučenému obsahu (z hlediska záruk) „rovnocenných opatření“ používaných při mezinárodním předávání údajů – ať už ve formě pokynů, nebo vzorových smluv o ochraně údajů. S ohledem na rostoucí význam vzorových doložek a jejich potenciál jako celosvětového nástroje pro předávání údajů, který uznává například skupina G7 27 a OECD 28 , projevila Komise zájem o budoucí spolupráci s Japonskem při vypracovávání těchto doložek. Další oblastí, kterou Komise hodlá společně s Komisí pro ochranu osobních informací prozkoumat, je rozšíření působnosti rozhodnutí o odpovídající ochraně nad rámec předávání mezi komerčními subjekty.
Komise bude i nadále pečlivě sledovat japonský rámec ochrany údajů a skutečnou praxi. V tomto ohledu, a s přihlédnutím k tomu, že v současnosti roste poptávka po celosvětových normách v oblasti ochrany soukromí a toku údajů, očekává budoucí výměnu informací s japonskými orgány ohledně vývoje relevantního pro rozhodnutí 29 , jakož i další posílení spolupráce na mezinárodní úrovni.
Novela zákona o ochraně osobních informací z roku 2020 mezitím upravila definici „osobních údajů, které má podnik v držení“ tak, že již nevylučuje ty osobní údaje, které „mají být vymazány“ ve lhůtě šesti měsíců (čl. 16 odst. 4 novelizovaného zákona o ochraně osobních informací). Ve verzi zákona o ochraně osobních informací, která platila v době přijetí rozhodnutí o odpovídající ochraně, byl tento pojem označován jako „uchovávané osobní údaje“.
Revidovaná doplňková pravidla byla přijata Komisí pro ochranu osobních informací dne 15. března 2023 a vstoupila v platnost dne 1. dubna 2023.
Viz 79. bod odůvodnění rozhodnutí.