EUROPOS KOMISIJA
Briuselis, 2023 04 03
COM(2023) 275 final
KOMISIJOS ATASKAITA EUROPOS PARLAMENTUI IR TARYBAI
dėl pirmosios Japonijos sprendimo dėl tinkamumo veikimo peržiūros
{SWD(2023) 75 final}
EUROPOS KOMISIJA
Briuselis, 2023 04 03
COM(2023) 275 final
KOMISIJOS ATASKAITA EUROPOS PARLAMENTUI IR TARYBAI
dėl pirmosios Japonijos sprendimo dėl tinkamumo veikimo peržiūros
{SWD(2023) 75 final}
KOMISIJOS ATASKAITA EUROPOS PARLAMENTUI IR TARYBAI
dėl pirmosios Japonijos sprendimo dėl tinkamumo veikimo peržiūros
1.PIRMOJI PERŽIŪRA – BENDRA INFORMACIJA, RENGIMAS IR PROCESAS
2019 m. sausio 23 d. Europos Komisija priėmė sprendimą pagal Reglamento (ES) 2016/679 (BDAR) 45 straipsnį 1 , kuriame nustatė, kad Japonija užtikrina tinkamą apsaugos lygį, kai asmens duomenys iš Europos Sąjungos perduodami asmeninę informaciją tvarkančioms 2 Japonijos įmonėms 3 . Todėl duomenis iš ES privatiems veiklos vykdytojams Japonijoje galima perduoti netaikant papildomų reikalavimų 4 .
Komisijos sprendimo dėl tinkamumo tikslas yra įvertinti Japonijos Asmeninės informacijos apsaugos aktą (AIAĮ), papildytą papildomomis taisyklėmis, kurios buvo nustatytos siekiant panaikinti tam tikrus svarbius AIAĮ ir BDAR skirtumus 5 . Šiomis papildomomis apsaugos priemonėmis stiprinama, pavyzdžiui, neskelbtinų duomenų apsauga (išplėtus asmens duomenų, kurie laikomi neskelbtinais duomenimis, kategorijas), naudojimasis asmens teisėmis, nurodant, kad asmens teisėmis taip pat gali būti naudojamasi asmens duomenims, saugomiems trumpesnį nei šešių mėnesių laikotarpį, o tuo metu tai nebuvo daroma pagal AIAĮ 6 ir nebuvo taikomos sąlygos, kuriomis ES duomenys gali būti toliau perduodami iš Japonijos į kitą trečiąją šalį 7 . Papildomos taisyklės yra privalomos Japonijos operatoriams ir jų vykdymą gali užtikrinti nepriklausoma duomenų apsaugos institucija – Asmeninės informacijos apsaugos komisija (AIAK) arba tiesiogiai ES asmenys Japonijos teismuose 8 .
Be to, Japonijos vyriausybė pateikė Komisijai oficialius pareiškimus, garantijas ir įsipareigojimus dėl apribojimų ir apsaugos priemonių, susijusių su Japonijos valdžios institucijų prieiga prie asmens duomenų ir jų naudojimu baudžiamosios teisėsaugos ir nacionalinio saugumo tikslais, paaiškindama, kad toks tvarkymas apima tik tai, kas būtina ir proporcinga, ir kad jam taikomi nepriklausomi priežiūros ir veiksmingi teisių gynimo mechanizmai 9 . Vienas iš šios srities teisių gynimo mechanizmų yra speciali ginčų sprendimo procedūra, kurią administruoja ir prižiūri AIAK ir kuri buvo sukurta ES asmenims, kurių asmens duomenys perduodami remiantis sprendimu dėl tinkamumo 10 .
Kai Komisija priėmė sprendimą dėl tinkamumo, Japonija priėmė lygiavertį sprendimą dėl duomenų perdavimo į ES, kuriuo sukurta didžiausia pasaulyje duomenų srautų erdvė, apsaugota aukščiausiu lygiu 11 . Šie abipusiai sprendimai dėl tinkamumo papildė 2019 m. vasario mėn. įsigaliojusį ES ir Japonijos ekonominės partnerystės susitarimą (EPS) 12 ir Strateginės partnerystės susitarimą 13 , dėl kurio derėtasi tuo pačiu metu, ir padidino jų naudą. Abiejų pusių įmonėms naudingi abipusiai sprendimai dėl tinkamumo ir EPS bei jų sąveika, nes galimybė laisvai keistis duomenimis tarp ES ir Japonijos dar palengvina komercinius mainus ir sukuria daug verslo galimybių dėl prioritetinės prieigos prie viena kitos rinkos. Be to, tai svarbus precedentas, nes aiškiai parodoma, kad skaitmeniniame amžiuje aukštų privatumo standartų palaikymas ir tarptautinės prekybos palengvinimas gali ir turi būti neatsiejami.
Nuo tada, kai buvo priimti sprendimai dėl tinkamumo, ES ir Japonija, kaip bendramintės, toliau intensyvino bendradarbiavimą skaitmeninėje srityje, ypač dėl duomenų srautų. Dvišaliu lygmeniu tai visų pirma atspindi 2022 m. gegužės mėn. sudaryta Skaitmeninė partnerystė 14 ir 2022 m. spalio mėn. pradėtos derybos siekiant aptarti tarpvalstybinių duomenų judėjimo taisykles EPS 15 , nes tai dar sustiprins sąveiką su abipusio tinkamumo susitarimu. Daugiašaliu lygmeniu ES ir Japonija sieks kartu propaguoti, stiprinti ir praktiškai įgyvendinti „laisvo duomenų judėjimo esant pasitikėjimui“ koncepciją, kurią pradėjo taikyti velionis Ministras Pirmininkas Shinzo Abe, be kita ko, glaudžiai bendradarbiaudamos su G7, Pasaulio prekybos organizacija (pagal bendro pareiškimo iniciatyvą dėl e. prekybos) ir Ekonominio bendradarbiavimo ir plėtros organizacija (EBPO). Intensyvus ES ir Japonijos bendradarbiavimas šiais klausimais EBPO visų pirma padėjo pirmą kartą tarptautiniu lygmeniu priimti bendrus principus, pagal kuriuos vyriausybės gali prieiti prie privačiojo sektoriaus turimų asmens duomenų 16 . Visos šios skirtingos darbo kryptys iš esmės priklausė nuo bendrų vertybių ir reikalavimų, kuriais grindžiamas ES ir Japonijos tarpusavio susitarimas dėl tinkamumo.
Siekiant reguliariai įvertinti, ar sprendimo dėl tinkamumo išvados tebėra faktiškai ir teisiškai pagrįstos, Komisija turi atlikti periodinę peržiūrą ir pateikti ataskaitą Europos Parlamentui ir Tarybai 17 . Šia ataskaita, kuri apima visus sprendimo veikimo aspektus, užbaigiama pirmoji periodinė peržiūra. Japonijoje atliekant peržiūrą dalyvavo AIAK, Vidaus reikalų ir ryšių ministerijos, Teisingumo ministerijos, Gynybos ministerijos ir Nacionalinės policijos agentūros atstovai. ES delegaciją sudarė trys EDAV paskirti atstovai ir Europos Komisijos nariai.
2021 m. spalio 26 d. įvyko abiejų delegacijų peržiūros posėdis, prieš kurį buvo daug diskutuota ir prieita prie įvairių išvadų. Rengdama peržiūrą, Komisija iš Japonijos valdžios institucijų surinko informaciją apie sprendimo veikimą, visų pirma apie Papildomų taisyklių įgyvendinimą. Komisija taip pat paprašė viešųjų subjektų ir vietos ekspertų pateikti informaciją apie sprendimo veikimą ir atitinkamus Japonijos teisės ir praktikos pokyčius, susijusius tiek su privatiems veiklos vykdytojams taikomomis duomenų apsaugos taisyklėmis, tiek su valdžios institucijų prieiga. Po peržiūros posėdžio Komisija ir AIAK keletą kartų pasitarė dėl tolesnių veiksmų, susijusių su tame posėdyje nurodytais punktais, ir visų pirma aptarė klausimus, kylančius įtraukus į AIAĮ pseudoniminės asmeninės informacijos taisykles.
2.PAGRINDINĖS IŠVADOS
Išsamios išvados dėl visų sprendimo dėl tinkamumo aspektų veikimo pateikiamos prie šios ataskaitos pridedamame Komisijos tarnybų darbiniame dokumente (SWD(2023) 75).
Visų pirma, pirmoji peržiūra parodė, kad priėmus sprendimus dėl abipusio tinkamumo ES ir Japonijos duomenų apsaugos sistemos tapo dar sąveikesnės. AIAĮ buvo iš dalies pakeistas du kartus: 2020 m. birželio 5 d., priėmus 2020 m. Asmeninės informacijos apsaugos įstatymo pakeitimo aktą (2020 m. AIAĮ pakeitimas), kuris įsigaliojo 2022 m. balandžio 1 d. 18 ; ir 2021 m. gegužės 12 d., priėmus Aktą dėl susitarimų dėl su skaitmeninės visuomenės formavimu susijusių aktų (2021 m. AIAĮ pakeitimas) 19 . Atsižvelgiant į šiuos pakeitimus, pasikonsultavus su Komisija, buvo priimta papildomų nuostatų.
Šie pakeitimai dar labiau sustiprino ES ir Japonijos sistemas, visų pirma sugriežtinus duomenų saugumo prievoles (nustatant pareigą pranešti apie duomenų saugumo pažeidimus), duomenų subjektų teises (visų pirma prieigos teisę ir teisę nesutikti) ir duomenų perdavimo atveju suteikiamą apsaugą (papildomų informacijos ir stebėsenos reikalavimų forma, įskaitant informaciją apie galimą riziką, susijusią su valdžios institucijų prieiga paskirties šalyje). Šiomis aplinkybėmis ypač pažymėtina, kad kai kurios papildomos apsaugos priemonės, numatytos Papildomose taisyklėse dėl asmens duomenų iš ES, t. y. susijusios su duomenų saugojimu ir informuoto asmens sutikimo tarpvalstybinio perdavimo sąlygomis, buvo įtrauktos į AIAĮ, todėl jos bendrai taikomos visiems asmens duomenims, neatsižvelgiant į jų kilmę ar rinkimo vietą 20 .
Kitas svarbus pokytis, kurį Komisija vertina palankiai, yra AIAĮ pertvarkymas į išsamią duomenų apsaugos sistemą, apimančią tiek privatųjį, tiek viešąjį sektorius; jai taikoma išimtinė AIAK priežiūra 21 . Šis tolesnis Japonijos duomenų apsaugos sistemos ir AIAK įgaliojimų stiprinimas gali sudaryti sąlygas išplėsti sprendimo dėl tinkamumo taikymą ne tik komerciniams mainams, bet ir perdavimui, kuris šiuo metu nepatenka į jo taikymo sritį, pavyzdžiui, bendradarbiavimo reguliavimo ir mokslinių tyrimų srityje.
Pirmojoje peržiūroje taip pat daug dėmesio skirta naujoms pseudoniminės asmeninės informacijos kūrimo ir naudojimo taisyklėms, kurios buvo nustatytos 2020 m. AIAĮ pakeitimu 22 . Šiomis naujomis taisyklėmis iš esmės siekiama palengvinti (vidaus) asmeninės informacijos naudojimą įmonėms, kurios tvarko asmeninę informaciją iš esmės statistikos tikslais (pvz., nustatyti tendencijas ir modelius, kurie padėtų vykdyti tolesnę veiklą, įskaitant mokslinius tyrimus). Peržiūros posėdyje ir vėlesniuose Komisijos ir AIAK pasikeitimais nuomonėmis buvo paaiškintos šios naujos nuostatos ir jų taikymas. Po šių diskusijų, siekiant geriau išaiškinti numatomą šių naujų nuostatų taikymą ir taip užtikrinti teisinį tikrumą ir skaidrumą, Papildomos taisyklės 2023 m. kovo 15 d. buvo iš dalies pakeistos dviem aspektais 23 . Pirma, Papildomose taisyklėse nustatyta, kad tokia informacija gali būti naudojama tik statistiniais tikslais, kurie apibrėžiami kaip apdorojimas statistiniams tyrimams arba statistinių rezultatų rengimas, siekiant parengti suvestinius duomenis, ir kad tvarkymo rezultatai nebus naudojami priemonėms ar sprendimams dėl konkretaus asmens. Antra, jose aiškiai nurodoma, kad iš pradžių iš ES gauta pseudoniminė informacija visada bus laikoma „asmenine informacija“ pagal AIAĮ, siekiant užtikrinti, kad duomenų, kurie pagal BDAR laikomi asmens duomenimis, apsaugos tęstinumui nebūtų pakenkta perduodant juos remiantis sprendimu dėl tinkamumo 24 .
Kalbant apie praktinį duomenų apsaugos priemonių įgyvendinimą, Komisija palankiai vertina įvairius AIAK veiksmus. Tai ir priimtos atnaujintos gairės, be kita ko, dėl tarptautinio duomenų perdavimo. Komisija pažymi, kad šiose gairėse galėtų būti geriau paaiškinti konkretūs reikalavimai, taikomi pagal Papildomąsias taisykles tolesniam iš Sąjungos gautų asmens duomenų perdavimui iš Japonijos, įskaitant – kaip matyti iš 4 papildomos taisyklės ir paaiškinta sprendime dėl tinkamumo 25 – draudimą toliau perduoti duomenis pagal APEC tarpvalstybinio privatumo taisyklių sertifikavimo sistemą. Be to, nors AIAK paaiškino, kad AHIBO toliau perduoda duomenis, kuriuos iš pradžių gavo iš ES, „sudarydami sutartį, pagal kurią gavėjas įpareigojamas laikytis priemonių, užtikrinančių apsaugos tęstinumą“, AIAK šiuo metu nepateikia rekomendacijų dėl siūlomo tarptautinio duomenų perdavimo „lygiaverčių priemonių“ turinio (apsaugos priemonių atžvilgiu), nesvarbu, ar tai būtų gairės, ar pavyzdinės duomenų apsaugos sutartys. Šie papildomi paaiškinimai, kurie visų pirma galėtų būti grindžiami AIAK ir Komisijos keitimusi informacija ir geriausios praktikos pavyzdžiais, būtų ypač naudingi, nes tai susiję su aspektais, kurie yra ypač svarbūs abiejose jurisdikcijose veikiančioms įmonėms.
Kalbant apie priežiūrą ir vykdymo užtikrinimą, Komisija pažymi, kad AIAK per laikotarpį nuo sprendimo dėl tinkamumo priėmimo dažniau naudojosi savo ne prievartiniais orientavimo ir konsultavimo įgaliojimais (AIAĮ 147 straipsnis), o ne prievartos įgaliojimais (pvz., nustatyti privalomus įsakymus pagal AIAĮ 148 straipsnį). AIAK taip pat pranešė, kad iki šiol negauta skundų dėl Papildomų taisyklių laikymosi ir AIAK savo iniciatyva tokių atvejų nenagrinėjo. Tačiau peržiūros posėdyje AIAK paskelbė ketinanti savo iniciatyva vykdyti atsitiktinius patikrinimus, kad užtikrintų atitiktį Papildomoms taisyklėms. Komisija palankiai vertina šį pranešimą, nes mano, kad tokie atsitiktiniai patikrinimai būtų labai svarbūs siekiant užtikrinti, kad (galimiems) Papildomų taisyklių pažeidimams būtų užkirstas kelias, jie būtų nustatomi ir šalinami, taip užtikrinant veiksmingą šių taisyklių laikymąsi. Kadangi 2020 ir 2021 m. AIAĮ pakeitimais sustiprinti AIAK priežiūros įgaliojimai, šie atsitiktiniai patikrinimai galėtų būti vienas iš būdų gerinti naudojimąsi tokiais įgaliojimais.
Galiausiai Komisija labai palankiai vertina tai, kad įsteigti specialūs kontaktiniai centrai, skirti ES asmenims, kuriems kyla klausimų arba abejonių dėl jų asmens duomenų tvarkymo Japonijoje, nesvarbu, ar tai darytų komercinės veiklos vykdytojai (tyrimų linija), ar valdžios institucijos (skundų nagrinėjimo linija). Be to, ji pažymi, kad tyrimų linijos tinklalapyje nurodyta, jog ji prieinama „tik japonų kalba“, o tai gali atgrasyti ES asmenis naudotis šia priemone, nors AIAK paaiškino, kad anglų kalba pagalbą iš esmės galima gauti. Komisija supranta, kad AIAK svarstys būdus, kaip palengvinti tokių kontaktinių punktų prieinamumą europiečiams, be kita ko, išaiškindama šį punktą.
3.IŠVADA
Remdamasi šios pirmosios peržiūros metu padarytomis bendromis išvadomis, Komisija tvirtina, kad Japonija ir toliau užtikrina tinkamą asmens duomenų apsaugos lygį iš Europos Sąjungos asmeninę informaciją tvarkantiems verslo subjektams Japonijoje, kuriems taikomas AIAĮ, papildytas papildomomis taisyklėmis, kartu su sprendimo II priede pateiktais oficialiais pareiškimais, patikinimais ir įsipareigojimais. Todėl Komisijos tarnybos pripažįsta ir labai vertina puikų bendradarbiavimą atliekant peržiūrą su Japonijos valdžios institucijomis ir ypač AIAK.
Atsižvelgdama į šiuos peržiūros rezultatus ir į sprendimo dėl tinkamumo 181 konstatuojamąją dalį, Komisija mano, kad nebūtina peržiūras vykdyti kas dvejus metus ir mano, kad tikslinga pereiti prie ketverių metų ciklo pagal BDAR 45 straipsnio 3 dalį. Šiuo klausimu ji atitinkamai konsultuosis su komitetu, įsteigtu pagal BDAR 93 straipsnio 1 dalį 26 .
Be to, tam tikrų Japonijos sistemos aspektų stiprinimas galėtų padėti toliau gerinti AIAĮ veiklą ir Papildomose taisyklėse nustatytų apsaugos priemonių taikymą. Todėl Komisija teikia toliau išdėstytas rekomendacijas.
1.Komisija palankiai vertina AIAK numatytus atsitiktinius patikrinimus, kad būtų užtikrinta atitiktis Papildomoms taisyklėms, ir ragina juos vykdyti. Ji mano, kad tokie atsitiktiniai patikrinimai būtų labai svarbūs siekiant užtikrinti, kad (galimi) Papildomų taisyklių pažeidimai būtų nustatomi ir šalinami, taip užtikrinant veiksmingą šių taisyklių laikymąsi.
2.Komisija palankiai vertina tai, kad AIAK paskelbė atnaujintas tarptautinio duomenų perdavimo gaires, nes jos padidins AIAĮ taisyklių prieinamumą šioje srityje ir užtikrins, kad šios taisyklės būtų aiškesnės naudotojams. Šiose gairėse (arba kitoje rekomendacinėje medžiagoje) prireikus taip pat turėtų būti paaiškinti konkretūs Papildomose taisyklėse nustatyti reikalavimai, be kita ko, susiję su APEC CBPR sistemos sertifikavimo sistemos netaikymu tolesniam asmens duomenų, gautų iš ES, perdavimui.
3.Peržiūros metu buvo aptarta, kaip AIAK tyrimų ir skundų nagrinėjimo linija, skirta asmenų klausimams ir skundams, galėtų būti prieinamesnė užsieniečiams. Atsižvelgiant į tai, būtų svarbu specialioje interneto svetainėje paaiškinti, kad pagalba anglų kalba iš esmės teikiama.
Atlikus peržiūrą taip pat nustatytos galimo būsimo bendradarbiavimo sritys. Kaip nurodyta, AIAK šiuo metu nepateikia rekomendacijų dėl siūlomo „lygiaverčių priemonių“, naudojamų tarptautiniam duomenų perdavimui, turinio (apsaugos priemonių atžvilgiu), nei gairių, nei pavyzdinių duomenų apsaugos sutarčių forma. Atsižvelgdama į didėjančią pavyzdinių sąlygų svarbą ir jų, kaip visuotinės duomenų perdavimo priemonės, potencialą, kaip pripažino, pavyzdžiui, G 7 27 ir EBPO 28 , Komisija pareiškė esanti suinteresuota ateityje bendradarbiauti su Japonija rengiant tokias sąlygas. Kita sritis, kurią Komisija ketina nagrinėti kartu su AIAK, yra sprendimo dėl tinkamumo taikymo srities išplėtimas, kad ji apimtų ne tik komercinių veiklos vykdytojų tarpusavio perdavimą.
Komisija toliau atidžiai stebės Japonijos duomenų apsaugos sistemą ir faktinę praktiką. Šiuo atžvilgiu ji tikisi, kad ateityje su Japonijos valdžios institucijomis bus keičiamasi informacija apie pokyčius, susijusius su šiuo sprendimu 29 , taip pat bus toliau stiprinamas bendradarbiavimas tarptautiniu lygmeniu, nes didėja visuotinių privatumo ir duomenų srautų standartų paklausa.
Tuo tarpu 2020 m. AIAĮ pakeitimu peržiūrėta įmonės turimų asmens duomenų apibrėžtis, kad į ją nebebūtų įtraukti tie asmens duomenys, kurie turi būti ištrinti per šešių mėnesių laikotarpį (iš dalies pakeisto AIAĮ 16 straipsnio 4 dalis). AIAĮ versijoje, kuri buvo taikoma priimant sprendimą dėl tinkamumo, ši sąvoka buvo „saugomi asmens duomenys“.
Peržiūrėtas papildomas taisykles AIAK priėmė 2023 m. kovo 15 d. ir jos įsigaliojo 2023 m. balandžio 1 d.
Žr. Sprendimo 79 konstatuojamąją dalį.