(1)

V nariadení (EÚ) 2016/679 sa stanovujú pravidlá prenosu osobných údajov od prevádzkovateľov alebo sprostredkovateľov v Európskej únii do tretích krajín a medzinárodným organizáciám, pokiaľ tieto prenosy patria do rozsahu jeho pôsobnosti. Pravidlá upravujúce medzinárodné prenosy osobných údajov sú stanovené v kapitole V uvedeného nariadenia, konkrétnejšie v článkoch 44 až 50. V záujme rozšírenia medzinárodnej spolupráce a medzinárodného obchodu je potrebný tok osobných údajov do krajín mimo Európskej únie a z týchto krajín, pri ktorom treba zaručiť, aby nedošlo k oslabeniu úrovne ochrany osobných údajov zaistenej v Európskej únii.

(2)

Podľa článku 45 ods. 3 nariadenia (EÚ) 2016/679 môže Komisia prostredníctvom vykonávacieho aktu rozhodnúť, že tretia krajina, územie alebo jeden či viaceré určené sektory v tretej krajine alebo medzinárodná organizácia zaručujú primeranú úroveň ochrany. Za tejto podmienky sa prenosy osobných údajov do danej tretej krajiny, na dané územie, danému sektoru alebo medzinárodnej organizácii môžu uskutočňovať bez potreby získania ďalšieho povolenia, ako sa stanovuje v článku 45 ods. 1 a v odôvodnení 103 uvedeného nariadenia.

(3)

Ako sa uvádza v článku 45 ods. 2 nariadenia (EÚ) 2016/679, prijatie rozhodnutia o primeranosti musí vychádzať z komplexnej analýzy právneho poriadku tretej krajiny, pokiaľ ide o pravidlá uplatniteľné na dovozcov údajov, ako aj obmedzenia a záruky týkajúce sa prístupu k osobným údajom zo strany orgánov verejnej moci. Pri posúdení sa musí určiť, či dotknutá tretia krajina zaručuje úroveň ochrany, ktorá v „zásade zodpovedá“ úrovni zabezpečenej v rámci Európskej únie [odôvodnenie 104 nariadenia (EÚ) 2016/679]. Ako objasnil Súdny dvor Európskej únie, nie je potrebné, aby bola zaistená rovnaká úroveň ochrany (2). Prostriedky, ktoré dotknutá tretia krajina využíva, sa konkrétne môžu líšiť od prostriedkov využívaných v Európskej únii, pokiaľ sa v praxi preukáže, že sa nimi účinne zabezpečuje primeraná úroveň ochrany (3). V záujme dosiahnutia štandardu primeranosti teda nie je potrebné, aby pravidlá druhej krajiny do detailu zodpovedali pravidlám Únie. Namiesto toho sa skôr overuje, či príslušný zahraničný systém ako celok zabezpečuje prostredníctvom hmotnej úpravy práv na súkromie a ich účinného uplatňovania, vymáhania, ako aj dozoru nad nimi, požadovanú úroveň ochrany (4).

(4)

Komisia dôkladne zanalyzovala japonské právne predpisy a postupy. Na základe zistení uvedených v odôvodneniach 6 až 175 Komisia dospela k záveru, že Japonsko zabezpečuje primeranú úroveň ochrany osobných údajov prenášaných organizáciám, ktoré patria do rozsahu pôsobnosti zákona o ochrane osobných informácií (5) a na ktoré sa vzťahujú ďalšie podmienky uvedené v tomto rozhodnutí. Tieto podmienky sú stanovené v doplňujúcich pravidlách (príloha I), ktoré prijala Komisia pre ochranu osobných informácií (ďalej len „PPC“) (6), a v oficiálnych vyhláseniach, uisteniach a záväzkoch, ktoré japonská vláda adresovala Európskej komisii (príloha II).

(5)

Na základe tohto rozhodnutia sa prenosy údajov od prevádzkovateľa alebo sprostredkovateľa v Európskom hospodárskom priestore (EHP) (7) takýmto organizáciám v Japonsku môžu uskutočňovať bez potreby získania ďalšieho povolenia. Toto rozhodnutie nemá vplyv na priame uplatňovanie nariadenia (EÚ) 2016/679 na tieto organizácie, keď sú splnené podmienky stanovené v jeho článku 3.

(6)

Právny systém, ktorým sa spravuje ochrana súkromia a údajov v Japonsku, vychádza z ústavy vyhlásenej v roku 1946.

(7)

V článku 13 ústavy sa stanovuje:

„Všetci občania sú rešpektovaní ako jednotlivci. Hlavným zreteľom v zákonodarstve a v iných záležitostiach štátu je, pokiaľ to nie je v rozpore s verejným blahom, ich právo na život, slobodu a úsilie o šťastný život.“

(8)

Na základe uvedeného článku Najvyšší súd Japonska objasnil práva fyzických osôb, pokiaľ ide o ochranu osobných informácií. V rozhodnutí z roku 1969 uznal právo na súkromie a ochranu osobných údajov za ústavné právo (8). Súd predovšetkým konštatoval, že „každý môže slobodne chrániť svoje osobné informácie pred sprístupnením tretej strane alebo zverejnením bez náležitého dôvodu.“ V rozhodnutí zo 6. marca 2008 („Juki-Net“) (9) najvyšší súd navyše konštatoval, že „slobodu občanov v súkromnom živote treba chrániť pred výkonom verejnej moci, pričom možno vychádzať z toho, že jednou zo slobôd fyzických osôb v súkromnom živote je, že každý môže slobodne chrániť svoje osobné informácie pred sprístupnením tretej strane alebo ich zverejnením bez náležitého dôvodu“ (10).

(9)

Dňa 30. mája 2003 prijalo Japonsko celý rad právnych predpisov v oblasti ochrany údajov:

(10)

Posledné dva akty (zmenené v roku 2016) zahŕňajú ustanovenia, ktoré sa vzťahujú na ochranu osobných informácií subjektmi verejného sektora. Spracúvanie údajov, ktoré patrí do rozsahu pôsobnosti týchto aktov, nie je predmetom záveru o primeranosti uvedeného v tomto rozhodnutí, ktorý je obmedzený na ochranu osobných informácií zo strany „hospodárskych subjektov nakladajúcich s osobnými informáciami“ v zmysle zákona APPI.

(11)

Zákon APPI bol v posledných rokoch prepracovaný. Jeho novela bola vyhlásená 9. septembra 2015 a nadobudla účinnosť 30. mája 2017. Novelou sa zaviedlo niekoľko nových záruk a zároveň sa posilnili existujúce záruky, čím sa japonský systém ochrany osobných údajov priblížil tomu európskemu. Ide napríklad o súbor vymáhateľných individuálnych práv alebo zriadenie nezávislého dozorného orgánu (PPC) povereného dozorom nad zákonom APPI a jeho presadzovaním.

(12)

Okrem zákona APPI sa na spracúvanie osobných informácií, ktoré patria do rozsahu pôsobnosti tohto rozhodnutia, vzťahujú vykonávacie predpisy vydané na jeho základe. K nim patrí napríklad novela nariadenia vlády o presadzovaní zákona o ochrane osobných informácií z 5. októbra 2016 a tzv. pravidlá presadzovania zákona o ochrane osobných informácií, ktoré prijala PPC (11). Oba súbory pravidiel sú právne záväzné a vymáhateľné a nadobudli účinnosť v rovnakom čase ako zmenený zákon APPI.

(13)

Okrem toho, japonská vláda (pozostávajúca z predsedu vlády a ministrov, ktorí tvoria jeho vládu) vydala 28. októbra 2016„základnú politiku“ s cieľom „komplexne a integrálne presadzovať opatrenia týkajúce sa ochrany osobných informácií“. Podľa článku 7 zákona APPI sa „základná politika“ vydáva formou rozhodnutia vlády a zahŕňa politické usmernenia týkajúce sa presadzovania zákona APPI, ktoré sú určené ústrednej štátnej správe aj miestnym samosprávam.

(14)

Japonská vláda nedávno (12. júna 2018) prijala rozhodnutie vlády, ktorým zmenila „základnú politiku“. Daným rozhodnutím vlády sa v záujme uľahčenia medzinárodných prenosov údajov deleguje na PPC ako orgán príslušný pre správu a vykonávanie zákona APPI „právomoc prijímať potrebné opatrenia na preklenutie rozdielov v systémoch a postupoch medzi Japonskom a príslušnou cudzou krajinou na základe článku 6 uvedeného zákona s cieľom zabezpečiť náležité nakladanie s osobnými informáciami získanými z takejto krajiny“. V rozhodnutí vlády sa stanovuje, že to zahŕňa právomoc zaviesť silnejšiu ochranu, a to tak, že PPC prijme prísnejšie pravidlá, ktorými sa doplnia pravidlá stanovené v zákone APPI a v nariadení vlády a ktoré pôjdu nad ich rámec. Podľa uvedeného rozhodnutia budú tieto prísnejšie pravidlá pre japonské hospodárske subjekty záväzné a ich dodržiavanie sa bude dať vymáhať.

(15)

Na základe článku 6 zákona APPI a uvedeného rozhodnutia vlády prijala PPC 15. júna 2018„Doplňujúce pravidlá podľa zákona o ochrane osobných informácií týkajúce sa nakladania s osobnými údajmi prenášanými z EÚ na základe rozhodnutia o primeranosti“ (ďalej len „doplňujúce pravidlá“), ktorých cieľom je zlepšiť ochranu osobných informácií prenášaných z Európskej únie do Japonska na základe tohto rozhodnutia o primeranosti. Uvedené doplňujúce pravidlá sú pre japonské hospodárske subjekty právne záväzné a ich dodržiavanie možno vymáhať prostredníctvom PPC aj súdov, rovnako ako ustanovenia zákona APPI, ktoré sa týmito pravidlami dopĺňajú o prísnejšie a/alebo podrobnejšie pravidlá (12). Keďže japonské hospodárske subjekty dostávajúce osobné údaje z Európskej únie a/alebo ďalej spracúvajúce tieto údaje budú mať zákonnú povinnosť dodržiavať doplňujúce pravidlá, budú musieť zabezpečiť [napr. prostredníctvom technických („označovaním štítkom“) alebo organizačných prostriedkov (uchovávanie v na to určenej databáze)], aby tieto osobné údaje dokázali počas ich „životného cyklu“ identifikovať (13). V nasledujúcich oddieloch sa obsah každého doplňujúceho pravidla analyzuje v rámci posúdenia článkov zákona APPI, ktoré dopĺňa.

(16)

Na rozdiel od obdobia pred novelou z roku 2015, keď to patrilo do právomoci rôznych japonských ministerstiev v jednotlivých sektoroch, zákonom APPI sa PPC udeľuje právomoc prijať „usmernenia“ s cieľom „zabezpečiť riadne a účinné vykonávanie opatrení, ktoré má prijať hospodársky subjekt“ podľa pravidiel ochrany osobných údajov. PPC poskytuje prostredníctvom svojich usmernení smerodajný výklad týchto pravidiel, najmä zákona APPI. Podľa informácií poskytnutých PPC tvoria tieto usmernenia neoddeliteľnú súčasť právneho rámca a majú sa vykladať spolu so znením zákona APPI, nariadenia vlády, pravidiel PPC a súboru otázok a odpovedí (14), ktoré vypracovala PPC. Sú preto pre „hospodárske subjekty záväzné“. Ak sa v usmerneniach uvádza, že hospodársky subjekt „musí“ alebo „by nemal“ konať určitým spôsobom, PPC bude nedodržanie príslušných ustanovení považovať za porušenie zákona (15).

(17)

Rozsah pôsobnosti zákona APPI je daný vymedzenými pojmami osobné informácie, osobné údaje a hospodársky subjekt nakladajúci s osobnými informáciami. V zákone sa zároveň stanovuje niekoľko dôležitých výnimiek z rozsahu jeho pôsobnosti, a to predovšetkým v súvislosti s anonymne spracúvanými osobnými údajmi a konkrétnymi druhmi spracúvania určitými hospodárskymi subjektmi. Hoci sa v zákone APPI nepoužíva pojem „spracúvanie“, opiera sa o rovnocenný pojem „nakladania“, ktorý podľa informácií poskytnutých PPC zahŕňa „akékoľvek konanie vo vzťahu k osobným údajom“ vrátane získavania, vkladania, zhromažďovania, usporadúvania, uchovávania, úpravy/spracúvania, obnovy, vymazávania, tvorby výstupov, využívania alebo poskytovania osobných informácií.

(18)

Pokiaľ ide o vecnú pôsobnosť zákona APPI, v prvom rade sa v ňom rozlišuje medzi osobnými informáciami a osobnými údajmi, pričom na osobné informácie sa vzťahujú iba určité ustanovenia tohto zákona. Podľa článku 2 ods. 1 zákona APPI pojem „osobné informácie“ zahŕňa všetky informácie týkajúce sa žijúcej fyzickej osoby, ktoré umožňujú jej identifikáciu. Vo vymedzení tohto pojmu sa rozlišuje medzi dvoma kategóriami osobných informácií: i) individuálne identifikačné kódy a ii) iné osobné informácie, na základe ktorých je možné konkrétnu fyzickú osobu identifikovať. Druhá kategória zahŕňa aj informácie, ktoré neumožňujú identifikáciu samy osebe, ale identifikáciu konkrétnej osoby umožnia, keď sa „jednoducho skombinujú“ s inými informáciami. Podľa usmernení PPC (16) sa to, či sa informácie môžu považovať za „jednoducho skombinované“, posudzuje od prípadu k prípadu, pričom sa berie do úvahy skutočná situácia („podmienky“) hospodárskeho subjektu. Informácie sa budú považovať za jednoducho skombinované, ak takéto skombinovanie uskutočnil (alebo môže uskutočniť) priemerný („bežný“) hospodársky subjekt s použitím prostriedkov, ktoré má k dispozícii. Informácie napríklad nie sú „jednoducho skombinované“ s inými informáciami, ak hospodársky subjekt musí vyvinúť nezvyčajné úsilie alebo sa dopustiť protiprávneho konania, aby informácie, ktoré sa majú skombinovať, získal od jedného alebo viacerých iných hospodárskych subjektov.

(19)

Pojem „osobné údaje“ sa podľa zákona APPI vzťahuje len na určité formy osobných informácií. „Osobné údaje“ sú v skutočnosti vymedzené ako „osobné informácie tvoriace databázu osobných informácií“, t. j. „kolektívny súbor informácií“ obsahujúci osobné informácie „systematicky usporiadané tak, aby sa konkrétne osobné informácie dali vyhľadávať pomocou počítača“ (17) alebo ako osobné informácie, „ktoré sú podľa vymedzenia v nariadení vlády systematicky usporiadané tak, aby sa dali ľahko vyhľadať konkrétne osobné informácie“, ale „s výnimkou tých, pri ktorých je podľa vymedzenia v nariadení vlády vzhľadom na ich spôsob použitia malá možnosť poškodenia práv a záujmov fyzickej osoby“ (18).

(20)

Táto výnimka je podrobnejšie špecifikovaná v článku 3 ods. 1 nariadenia vlády, podľa ktorého musia byť splnené tieto tri kumulatívne podmienky: i) kolektívny súbor informácií musí byť „vydaný na účely predaja veľkému počtu nešpecifikovaných osôb a jeho vydanie nebolo v rozpore s ustanoveniami zákona alebo z neho vychádzajúceho nariadenia“; ii) musí byť možné, aby si ho „kedykoľvek kúpil veľký počet nešpecifikovaných osôb“ a iii) osobné údaje, ktoré sa v ňom nachádzajú, musia byť „poskytnuté na ich pôvodný účel bez toho, aby k nim boli doplnené ďalšie informácie týkajúce sa žijúcej fyzickej osoby“. Podľa vysvetlení, ktoré poskytla PPC, bola táto úzko vymedzená výnimka zavedená s cieľom vylúčiť telefónne zoznamy alebo podobné typy zoznamov.

(21)

V prípade údajov zhromažďovaných v Japonsku je toto rozlíšenie medzi „osobnými informáciami“ a „osobnými údajmi“ relevantné, pretože tieto informácie nemusia byť vždy súčasťou „databázy osobných informácií“ (ako napríklad jediný súbor údajov zhromaždených a spracovaných manuálne), a preto sa na ne nebudú vzťahovať tie ustanovenia zákona APPI, ktoré sa vzťahujú len na osobné údaje (19).

(22)

Toto rozlíšenie nebude naproti tomu relevantné pre osobné údaje, ktoré sa do Japonska dovážajú z Európskej únie na základe rozhodnutia o primeranosti. Vzhľadom na to, že takéto údaje sa zvyčajne budú prenášať elektronickými prostriedkami (keďže to je bežný spôsob výmeny údajov v digitálnom veku, najmä keď sa údaje vymieňajú na veľkú vzdialenosť, ako je to medzi EÚ a Japonskom) a stanú sa teda súčasťou elektronického informačného systému dovozcu údajov, takéto údaje z EÚ budú podľa zákona APPI patriť do kategórie „osobných údajov“. Vo výnimočnom prípade, keď by sa osobné údaje prenášali z EÚ inými prostriedkami (napr. v papierovej podobe), sa na ne bude aj tak vzťahovať zákon APPI, ak sa po prenose stanú súčasťou „kolektívneho súboru informácií“ systematicky usporiadaného tak, aby bolo možné špecifické informácie ľahko vyhľadať [článok 2 ods. 4 bod ii) zákona APPI]. Podľa článku 3 ods. 2 nariadenia vlády pôjde o prípad, keď sú informácie usporiadané „podľa určitého pravidla“ a databáza zahŕňa nástroje, ako napríklad obsah alebo index na uľahčenie vyhľadávania. To zodpovedá vymedzeniu „informačného systému“ v zmysle článku 2 ods. 1 všeobecného nariadenia o ochrane údajov.

(23)

Určité ustanovenia zákona APPI, najmä články 27 až 30, ktoré sa týkajú individuálnych práv, sa vzťahujú len na špecifickú kategóriu osobných údajov, a to na „uchovávané osobné údaje“. Tie sú v článku 2 ods. 7 zákona APPI vymedzené ako osobné údaje iné ako tie, ktoré i) „by podľa vymedzenia v nariadení vlády mohli poškodiť verejné alebo iné záujmy, keby sa zverejnila ich prítomnosť alebo absencia“, alebo ii) „sa majú vymazať v lehote najviac jedného roka, ktorá je vymedzená v nariadení vlády“.

(24)

Prvá z týchto dvoch kategórií je vysvetlená v článku 4 nariadenia vlády a vzťahuje sa na štyri typy výnimiek (20). Týmito výnimkami sa sledujú podobné ciele ako tie, ktoré sú uvedené v článku 23 ods. 1 nariadenia (EÚ) 2016/679, najmä ochrana dotknutej osoby (v terminológii zákona APPI ide o „hlavný subjekt“), ako aj sloboda druhých, národná bezpečnosť, verejná bezpečnosť, presadzovanie práva v trestných veciach alebo iné dôležité ciele všeobecného verejného záujmu. Zo znenia článku 4 ods. 1 písm. i) až iv) nariadenia vlády navyše vyplýva, že predpokladom ich uplatnenia je vždy konkrétne riziko ohrozujúce jeden z chránených dôležitých záujmov (21).

(25)

Druhá kategória je podrobnejšie spresnená v článku 5 nariadenia vlády. Pri výklade v spojení s článkom 2 ods. 7 zákona APPI sa ním z rozsahu pôsobnosti pojmu uchovávané osobné údaje, a teda aj z individuálnych práv podľa zákona APPI vynímajú tie osobné údaje, ktoré „sa majú vymazať“ v lehote šiestich mesiacov. PPC vysvetlila, že cieľom tejto výnimky je motivovať hospodárske subjekty k tomu, aby údaje uchovávali a spracúvali čo najkratšie. To by však znamenalo, že dotknuté osoby z EÚ by nemohli využívať dôležité práva len z dôvodu dĺžky uchovávania ich údajov dotknutým hospodárskym subjektom.

(26)

V záujme riešenia tejto situácie sa v doplňujúcom pravidle 2 vyžaduje, aby sa s osobnými údajmi prenášanými z Európskej únie „nakladalo ako s uchovávanými osobnými údajmi v zmysle článku 2 ods. 7 zákona bez ohľadu na lehotu, v ktorej sa majú údaje vymazať“. Z toho vyplýva, že lehota uchovávania nebude mať na práva poskytnuté dotknutým osobám z EÚ žiadny vplyv.

(27)

Požiadavky, ktoré sa vzťahujú na anonymne spracúvané osobné informácie, ako sú vymedzené v článku 2 ods. 9 zákona APPI, sú stanovené v kapitole 4 oddiele 2 tohto zákona („Povinnosti hospodárskeho subjektu nakladajúceho s anonymne spracúvanými informáciami“). Takéto informácie sa naopak nespravujú ustanoveniami kapitoly IV oddielu 1 zákona APPI, ktorý obsahuje články stanovujúce záruky v oblasti ochrany údajov a práva, ktoré sa vzťahujú na spracúvanie osobných údajov podľa uvedeného zákona. Z toho vyplýva, že hoci sa na „anonymne spracúvané osobné informácie“ nevzťahujú „štandardné“ pravidlá ochrany údajov (stanovené v kapitole IV oddiele 1 a článku 42 zákona APPI), patria do rozsahu pôsobnosti zákona APPI, a to najmä článkov 36 až 39.

(28)

Podľa článku 2 ods. 9 zákona APPI sú „anonymne spracúvané osobné informácie“ informácie týkajúce sa fyzickej osoby, ktoré sú „výsledkom spracúvania osobných informácií“ prostredníctvom opatrení stanovených v zákone APPI (článok 36 ods. 1) a špecifikovaných v pravidlách PPC (článok 19), v dôsledku ktorých sa stalo nemožným identifikovať konkrétnu fyzickú osobu alebo obnoviť dané osobné informácie.

(29)

Z týchto ustanovení vyplýva, ako to potvrdila aj PPC, že proces anonymizácie osobných informácií nemusí byť technicky nezvratný. Podľa článku 36 ods. 2 zákona APPI majú hospodárske subjekty nakladajúce s „anonymne spracúvanými osobnými informáciami“ iba povinnosť zabrániť opätovnej identifikácii prijatím opatrení na zaistenie bezpečnosti „opisov atď. a individuálnych identifikačných kódov, ktoré boli vymazané z osobných informácií použitých na vytvorenie anonymne spracúvaných informácií, a informácií týkajúcich sa realizovaného spôsobu spracovania“.

(30)

Vzhľadom na to, že „anonymne spracúvané osobné informácie“, ako sú vymedzené v zákone APPI, zahŕňajú aj údaje, pri ktorých je stále možná opätovná identifikácia danej fyzickej osoby, mohlo by to znamenať, že osobné údaje prenášané z Európskej únie by mohli prísť o časť dostupnej ochrany prostredníctvom procesu, ktorý by sa podľa nariadenia (EÚ) 2016/679 považoval skôr za formu „pseudonymizácie“ než „anonymizácie“ (čím by sa nezmenila ich povaha ako osobných údajov).

(31)

V záujme riešenia tejto situácie sa v doplňujúcich pravidlách stanovujú dodatočné požiadavky vzťahujúce sa len na osobné údaje prenášané z Európskej únie na základe tohto rozhodnutia. Podľa pravidla 5 doplňujúcich pravidiel sa takéto osobné informácie považujú za „anonymne spracúvané osobné informácie“ v zmysle zákona APPI len vtedy, „ak hospodársky subjekt nakladajúci s osobnými informáciami prijme opatrenia, na základe ktorých bude anonymizácia danej fyzickej osoby nezvratná pre všetkých, a to aj vymazaním informácií týkajúcich sa spôsobu spracovania atď.“ Tieto informácie sú v doplňujúcich pravidlách vymedzené ako informácie týkajúce sa opisov a individuálnych identifikačných kódov, ktoré boli vymazané z osobných informácií použitých na vytvorenie „anonymne spracúvaných informácií“, ako aj informácie týkajúce sa spôsobu spracovania uplatneného pri vymazávaní týchto opisov a individuálnych identifikačných kódov. Inými slovami, v doplňujúcich pravidlách sa vyžaduje, aby hospodársky subjekt, ktorý vytvára „anonymne spracúvané osobné informácie“, zničil „kľúč“ umožňujúci opätovné priradenie daných údajov fyzickej osobe. To znamená, že ustanovenia zákona APPI týkajúce sa „anonymne spracúvaných osobných informácií“ sa budú na osobné údaje pochádzajúce z Európskej únie vzťahovať len v prípadoch, keď by sa za anonymné informácie považovali aj podľa nariadenia (EÚ) 2016/679 (22).

(32)

Pokiaľ ide o osobnú pôsobnosť, zákon APPI sa vzťahuje len na hospodárske subjekty nakladajúce s osobnými informáciami. Hospodársky subjekt nakladajúci s osobnými informáciami je v článku 2 ods. 5 zákona APPI vymedzený ako „osoba, ktorá poskytuje databázu osobných informácií atď. na účely podnikania“, s výnimkou štátnej správy a správnych orgánov na ústrednej aj miestnej úrovni.

(33)

Podľa usmernení PPC je „podnikanie“ akékoľvek „konanie zamerané na výkon spoločensky uznávanej podnikateľskej činnosti, a to za určitým cieľom, so ziskom alebo aj bez zisku, opakovane a nepretržite“. Organizácie, ktoré nemajú právnu subjektivitu (ako napríklad združenia de facto), alebo fyzické osoby sa považujú za hospodárske subjekty nakladajúce s osobnými informáciami, ak pre svoje podnikanie poskytujú (používajú) databázu osobných informácií atď (23). Pojem „podnikanie“ v zmysle zákona APPI je teda veľmi široký, keďže zahŕňa nielen ziskové, ale aj neziskové činnosti rôznych druhov organizácií a fyzických osôb. „Na účely podnikania“ sa okrem toho vzťahuje aj na osobné informácie, ktoré sa nepoužívajú vo (vonkajších) obchodných vzťahoch hospodárskeho subjektu, ale interne, ako je napríklad spracúvanie údajov o zamestnancoch.

(34)

Pokiaľ ide o prijímateľov ochrany stanovených v zákone APPI, v zákone sa nerobí žiadny rozdiel na základe štátnej príslušnosti, miesta pobytu alebo sídla fyzickej osoby. To isté platí pre možnosti fyzických osôb domáhať sa nápravy, či už u PPC alebo na súde.

(35)

V rámci zákona APPI sa konkrétne nerozlišuje medzi povinnosťami uloženými prevádzkovateľom a sprostredkovateľom. Neexistencia tohto rozlíšenia nemá vplyv na úroveň ochrany, pretože všetky ustanovenia zákona sa vzťahujú na všetky hospodárske subjekty nakladajúce s osobnými informáciami. Hospodársky subjekt nakladajúci s osobnými informáciami, ktorý zverí nakladanie s osobnými údajmi správcovi (ktorý je ekvivalentom sprostredkovateľa podľa všeobecného nariadenia o ochrane údajov), má aj naďalej povinnosti podľa zákona APPI a doplňujúcich pravidiel týkajúce sa zverených údajov. Podľa článku 22 zákona APPI je okrem toho povinný nad správcom „vykonávať nevyhnutný a primeraný dozor“. Na druhej strane, ako potvrdila PPC, aj samotný správca je viazaný všetkými povinnosťami stanovenými v zákone APPI a v doplňujúcich pravidlách.

(36)

V článku 76 zákona APPI sa z uplatňovania kapitoly IV tohto zákona, ktorá zahŕňa hlavné ustanovenia o ochrane údajov (základné zásady, povinnosti hospodárskych subjektov, individuálne práva, dozor zo strany PPC), vynímajú určité druhy spracúvania údajov. Na spracúvanie, na ktoré sa vzťahuje odvetvová výnimka podľa článku 76, sa podľa článku 43 ods. 2 zákona APPI nevzťahujú ani právomoci PPC v oblasti presadzovania práva (24).

(37)

Kategórie relevantné pre odvetvovú výnimku uvedenú v článku 76 zákona APPI sú vymedzené použitím dvojitého kritéria založeného na type hospodárskeho subjektu nakladajúceho s osobnými informáciami a účele spracúvania. Táto výnimka sa konkrétnejšie vzťahuje na: i) vysielacie inštitúcie, vydavateľov novín, komunikačné agentúry alebo iné tlačové organizácie (vrátane všetkých fyzických osôb, ktoré vykonávajú tlačovú činnosť ako svoje podnikanie), pokiaľ spracúvajú osobné informácie na účely tlače; ii) osoby, ktoré sa profesionálne venujú písaniu, pokiaľ to zahŕňa osobné informácie; a iii) univerzity a všetky ostatné organizácie alebo skupiny zamerané na akademické štúdium alebo všetky osoby patriace k takejto organizácii, pokiaľ spracúvajú osobné informácie na účely akademických štúdií; iv) cirkevné organizácie, pokiaľ spracúvajú osobné informácie na účely náboženskej činnosti (vrátane všetkých súvisiacich činností); a v) politické organizácie, pokiaľ spracúvajú osobné informácie na účely svojej politickej činnosti (vrátane všetkých súvisiacich činností). Na spracúvanie osobných informácií na jeden z účelov uvedených v článku 76 inými typmi hospodárskych subjektov nakladajúcich s osobnými informáciami, ako aj spracúvanie osobných informácií jedným z uvedených hospodárskych subjektov nakladajúcich s osobnými informáciami na iné účely, napríklad v súvislosti so zamestnaním, sa naďalej vzťahujú ustanovenia kapitoly IV.

(38)

V záujme zabezpečenia primeranej úrovne ochrany osobných údajov prenášaných z Európskej únie hospodárskym subjektom v Japonsku by sa toto rozhodnutie malo vzťahovať len na spracúvanie osobných informácií, ktoré patria do rozsahu pôsobnosti kapitoly IV zákona APPI – t. j. na spracúvanie hospodárskymi subjektmi nakladajúcimi s osobnými informáciami, pokiaľ daná situácia spracúvania nezodpovedá jednej z odvetvových výnimiek. Jeho rozsah pôsobnosti by sa preto mal zosúladiť s rozsahom pôsobnosti zákona APPI. Podľa informácií poskytnutých PPC, ak by hospodársky subjekt nakladajúci s osobnými informáciami, na ktorého sa vzťahuje toto rozhodnutie, následne zmenil účel použitia (v rozsahu, v akom je to prípustné), pričom by sa naň potom vzťahovala jedna z odvetvových výnimiek uvedených v článku 76 zákona APPI, považovalo by sa to za medzinárodný prenos (keďže v takých prípadoch by sa už na spracúvanie osobných informácií nevzťahovala kapitola IV zákona APPI, a teda by nepatrilo do rozsahu pôsobnosti tohto zákona). To isté by platilo aj v prípade, keď hospodársky subjekt nakladajúci s osobnými informáciami poskytne osobné informácie subjektu, na ktorý sa vzťahuje článok 76 zákona APPI, aby ich použil na jeden z účelov spracúvania uvedených v danom ustanovení. V prípade osobných údajov prenášaných z Európskej únie by to teda predstavovalo následný prenos, na ktorý by sa vzťahovali príslušné záruky (najmä tie, ktoré sú uvedené v článku 24 zákona APPI a doplňujúcom pravidle 4). Ak by sa hospodársky subjekt nakladajúci s osobnými informáciami spoliehal na súhlas (25) dotknutej osoby, musel by jej poskytnúť všetky potrebné informácie vrátane informácie o tom, že dané osobné informácie už nebudú chránené podľa zákona APPI.

(39)

Osobné údaje by sa mali spracúvať na konkrétny účel a následne by sa mali používať len pokiaľ to nie je nezlučiteľné s daným účelom spracúvania. Táto zásada ochrany údajov je zaručená v článkoch 15 a 16 zákona APPI.

(40)

Zákon APPI vychádza zo zásady, že hospodársky subjekt musí určiť účel použitia „čo možno najjasnejšie“ (článok 15 ods. 1) a následne je týmto účelom pri spracúvaní údajov viazaný.

(41)

V tejto súvislosti sa v článku 15 ods. 2 zákona APPI stanovuje, že hospodársky subjekt nakladajúci s osobnými informáciami nesmie zmeniť pôvodný účel „nad rámec, ktorý sa považuje za primerane relevantný vzhľadom na účel použitia pred zmenou“, čo sa v usmerneniach PPC vykladá tak, že musí zodpovedať tomu, čo môže dotknutá osoba objektívne očakávať na základe „bežných spoločenských zvyklostí“ (26).

(42)

Navyše, podľa článku 16 ods. 1 zákona APPI nesmú hospodárske subjekty nakladajúce s osobnými informáciami s týmito informáciami nakladať nad rámec „rozsahu nevyhnutného na dosiahnutie účelu použitia“ stanoveného v článku 15 bez toho, aby vopred získali súhlas dotknutej osoby, pokiaľ neplatí jedna z výnimiek uvedených v článku 16 ods. 3 (27).

(43)

Pokiaľ ide o osobné informácie získané od iného hospodárskeho subjektu, hospodársky subjekt nakladajúci s osobnými informáciami môže v zásade voľne stanoviť nový účel použitia (28). S cieľom zabezpečiť, aby bol v prípade prenosu z Európskej únie takýto príjemca viazaný účelom, na ktorý boli údaje prenesené, sa v doplňujúcom pravidle 3 vyžaduje, že v prípadoch, „keď [hospodársky subjekt nakladajúci s osobnými informáciami] dostane osobné údaje z EÚ na základe rozhodnutia o primeranosti“, alebo ak takýto hospodársky subjekt „dostane osobné údaje, ktoré boli predtým prenesené z EÚ na základe rozhodnutia o primeranosti, od iného [hospodárskeho subjektu nakladajúceho s osobnými informáciami] (ďalšie poskytnutie)“, príjemca musí „konkrétne určiť účel použitia daných osobných údajov v rámci rozsahu účelu použitia, na ktorý boli údaje pôvodne alebo následne prijaté“. Inými slovami, týmto pravidlom sa zaručuje, že v kontexte prenosu bude účel konkrétne určený podľa nariadenia (EÚ) 2016/679 aj naďalej určovať spracúvanie a že na zmenu tohto účelu v ktorejkoľvek fáze spracovateľského reťazca v Japonsku by bol potrebný súhlas dotknutej osoby z EÚ. Na získanie tohto súhlasu sa hospodársky subjekt nakladajúci s osobnými informáciami bude musieť skontaktovať s dotknutou osobou, a ak to nebude možné, jednoducho sa bude musieť zachovať pôvodný účel.

(44)

Doplnková ochrana uvedená v odôvodnení 43 je o to dôležitejšia, že japonský systém prostredníctvom zásady obmedzenia účelu zabezpečuje aj to, aby sa osobné údaje spracúvali zákonne a čestne.

(45)

Podľa zákona APPI musí hospodársky subjekt nakladajúci s osobnými informáciami pri zhromažďovaní osobných informácií podrobne určiť účel použitia daných osobných informácií (29) a bezodkladne o ňom informovať dotknutú osobu (alebo ho zverejniť) (30). V článku 17 zákona APPI sa okrem toho uvádza, že hospodársky subjekt nakladajúci s osobnými informáciami nesmie získať osobné informácie podvodom alebo inými nepatričnými prostriedkami. Pokiaľ ide o určité kategórie údajov, ako sú napríklad osobné informácie vyžadujúce osobitnú starostlivosť, na ich získanie je potrebný súhlas dotknutej osoby (článok 17 ods. 2 zákona APPI).

(46)

Následne, ako je vysvetlené v odôvodneniach 41 a 42, hospodársky subjekt nakladajúci s osobnými informáciami nesmie spracúvať osobné informácie na iné účely okrem prípadov, keď dotknutá osoba s takýmto spracúvaním súhlasí alebo keď platí jedna z výnimiek podľa článku 16 ods. 3 zákona APPI.

(47)

A napokon, pokiaľ ide o ďalšie poskytovanie osobných informácií tretej strane (31), v článku 23 ods. 1 zákona APPI sa takéto sprístupnenie obmedzuje na špecifické prípady, v ktorých je spravidla potrebný predchádzajúci súhlas dotknutej osoby (32). V článku 23 ods. 2, 3 a 4 zákona APPI sa stanovujú výnimky z požiadavky na získanie súhlasu. Tieto výnimky sa však vzťahujú len na údaje, ktoré nie sú citlivé, pričom sa nimi vyžaduje, aby hospodársky subjekt vopred informoval dotyčné fyzické osoby o úmysle sprístupniť ich osobné informácie tretej strane a o možnosti namietať voči akémukoľvek ďalšiemu sprístupneniu (33).

(48)

Pokiaľ ide o prenosy z Európskej únie, osobné údaje sa najprv budú musieť zhromaždiť a spracovať v EÚ v súlade s nariadením (EÚ) 2016/679. To bude vždy zahŕňať zhromažďovanie a spracúvanie vrátane spracúvania na účely prenosu z Európskej únie do Japonska na základe jedného z právnych dôvodov uvedených v článku 6 ods. 1 nariadenia na jednej strane a na druhej strane zhromažďovanie na konkrétne určený, výslovne uvedený a oprávnený účel, ako aj zákaz ďalšieho spracúvania, okrem iného aj formou prenosu, spôsobom, ktorý je nezlučiteľný s týmto účelom, ako je stanovené v článku 5 ods. 1 písm. b) a článku 6 ods. 4 nariadenia.

(49)

Podľa doplňujúceho pravidla 3 bude musieť hospodársky subjekt nakladajúci s osobnými informáciami, ktorý údaje dostane, po prenose „potvrdiť“ konkrétny účel, resp. účely, na ktoré sa prenos uskutočnil [t. j. účel konkrétne určený podľa nariadenia (EÚ) 2016/679], a ďalej spracúvať tieto údaje v súlade s týmto účelom, resp. účelmi (34). To znamená, že nielen pôvodný príjemca takýchto osobných údajov v Japonsku, ale aj každý budúci príjemca týchto údajov (vrátane správcu) je viazaný účelom, resp. účelmi konkrétne určenými na základe nariadenia.

(50)

Okrem toho, keby hospodársky subjekt nakladajúci s osobnými informáciami chcel zmeniť účel, ktorý bol predtým konkrétne určený podľa nariadenia (EÚ) 2016/679, musel by podľa článku 16 ods. 1 zákona APPI v zásade získať súhlas dotknutej osoby. Bez tohto súhlasu by každé spracúvanie údajov nad rámec rozsahu nevyhnutného na dosiahnutie tohto účelu použitia predstavovalo porušenie článku 16 ods. 1, ktoré by bolo vymáhateľné PPC a súdmi.

(51)

Teda, vzhľadom na to, že podľa nariadenia (EÚ) 2016/679 je na prenos potrebný platný právny základ a konkrétne určený účel, ktoré sa odzrkadľujú v účele použitia „potvrdenom“ podľa zákona APPI, kombináciou príslušných ustanovení zákona APPI a doplňujúceho pravidla 3 sa zabezpečuje, že spracúvanie údajov z EÚ v Japonsku bude naďalej v súlade so zákonom.

(52)

Údaje by mali byť presné a v prípade potreby by sa mali aktualizovať. Zároveň by mali byť primerané, relevantné a nie nadmerné vo vzťahu k účelom, na ktoré sa spracúvajú.

(53)

Tieto zásady sú v japonskom právnom poriadku zabezpečené článkom 16 ods. 1 zákona APPI, ktorým sa zakazuje nakladanie s osobnými informáciami nad rámec „rozsahu nevyhnutného na dosiahnutie účelu použitia“. Ako vysvetlila PPC, to nielenže vylučuje používanie údajov, ktoré nie sú primerané, a nadmerné používanie údajov (nad rámec toho, čo je nevyhnutné na dosiahnutie účelu použitia), ale zahŕňa to aj zákaz nakladania s údajmi, ktoré nie sú relevantné z hľadiska dosiahnutia účelu použitia.

(54)

Pokiaľ ide o povinnosť uchovávať údaje presné a aktualizované, v článku 19 zákona APPI sa vyžaduje, aby sa hospodársky subjekt nakladajúci s osobnými informáciami „usiloval o to, aby boli osobné údaje udržované presné a aktualizované, a to v rozsahu nevyhnutnom na dosiahnutie účelu použitia“. Toto ustanovenie by sa malo vykladať spolu s článkom 16 ods. 1 zákona APPI: podľa vysvetlení poskytnutých PPC, ak hospodársky subjekt nakladajúci s osobnými informáciami nedodržiava predpísané normy presnosti, spracúvanie osobných informácií sa nebude považovať za spracúvanie, pri ktorom sa dosahuje účel použitia, a preto sa nakladanie s údajmi z jeho strany stane v zmysle článku 16 ods. 1 nezákonným.

(55)

Údaje by sa v zásade nemali uchovávať dlhšie, než je potrebné na účely, na ktoré sa osobné údaje spracúvajú.

(56)

Podľa článku 19 zákona APPI sa hospodárske subjekty nakladajúce s osobnými informáciami musia „usilovať […] bezodkladne vymazať osobné údaje, keď už takéto použitie nebude nutné“. Uvedené ustanovenie sa musí vykladať v spojení s článkom 16 ods. 1 zákona APPI, ktorým sa zakazuje nakladať s osobnými informáciami nad rámec „rozsahu nevyhnutného na dosiahnutie účelu použitia“. Po dosiahnutí účelu použitia sa už spracúvanie osobných informácií nemôže považovať za nevyhnutné, a teda nemôže pokračovať (pokiaľ hospodársky subjekt nakladajúci s osobnými informáciami nezíska súhlas dotknutej osoby s ich ďalším spracúvaním).

(57)

Osobné údaje by sa mali spracúvať spôsobom, ktorým sa zaistí ich bezpečnosť vrátane ochrany pred neoprávneným alebo nezákonným spracúvaním a náhodnou stratou, zničením alebo poškodením. Na tento účel by hospodárske subjekty mali prijať vhodné technické alebo organizačné opatrenia na ochranu osobných údajov pred možnými hrozbami. Tieto opatrenia by sa mali posudzovať s prihliadnutím na stav techniky a súvisiace náklady.

(58)

Táto zásada sa v japonskom právnom poriadku vykonáva článkom 20 zákona APPI, v ktorom sa stanovuje, že hospodársky subjekt nakladajúci s osobnými informáciami „prijme potrebné a primerané opatrenia na kontrolu bezpečnosti osobných údajov vrátane opatrení na zabránenie úniku, strate alebo poškodeniu osobných údajov, s ktorými nakladá.“ V usmerneniach PPC sa vysvetľujú opatrenia, ktoré sa majú prijať, vrátane spôsobov stanovenia základných politík, pravidiel nakladania s údajmi a rôznych „kontrolných opatrení“ (pokiaľ ide o organizačnú bezpečnosť, ako aj bezpečnosť ľudí, fyzickú a technologickú bezpečnosť) (35). V usmerneniach PPC a v osobitnom oznámení (dodatok 8 „Obsah opatrení v oblasti riadenia bezpečnosti, ktoré treba prijať“), ktoré uverejnila PPC, sa okrem toho uvádzajú ďalšie podrobnosti o opatreniach týkajúcich sa bezpečnostných incidentov, medzi ktoré patrí napríklad únik osobných informácií, prijímaných v rámci opatrení v oblasti riadenia bezpečnosti, ktoré majú hospodárske subjekty nakladajúce s osobnými informáciami prijať (36).

(59)

Okrem toho, podľa článkov 20 a 21 zákona APPI treba vždy, keď s osobnými informáciami nakladajú zamestnanci alebo subdodávatelia, zaistiť „nevyhnutný a primeraný dozor na účely kontroly bezpečnosti“. A napokon, na základe článku 83 zákona APPI sa úmyselný únik alebo krádež osobných informácií trestajú odňatím slobody s dĺžkou trvania až jeden rok.

(60)

Dotknuté osoby by mali byť informované o hlavných znakoch spracúvania ich osobných údajov.

(61)

V článku 18 ods. 1 zákona APPI sa požaduje, aby hospodársky subjekt nakladajúci s osobnými informáciami poskytol dotknutej osobe informácie o účele použitia získaných osobných informácií s výnimkou „prípadov, keď bol účel použitia vopred zverejnený“. Tá istá povinnosť sa vzťahuje aj na prípad prípustnej zmeny účelu (článok 18 ods. 3). Tým sa tiež zabezpečí, aby dotknutá osoba bola informovaná o skutočnosti, že jej údaje boli zhromaždené. Hoci sa v zákone APPI od hospodárskeho subjektu nakladajúceho s osobnými informáciami vo všeobecnosti nevyžaduje, aby v štádiu zhromažďovania údajov informoval dotknutú osobu o predpokladaných príjemcoch osobných informácií, takéto informácie sú nevyhnutnou podmienkou akéhokoľvek následného sprístupnenia informácií tretej strane (príjemcovi) na základe článku 23 ods. 2, teda ak k nemu dochádza bez predchádzajúceho súhlasu dotknutej osoby.

(62)

Pokiaľ ide o „uchovávané osobné údaje“, v článku 27 zákona APPI sa stanovuje, že hospodársky subjekt nakladajúci s osobnými informáciami informuje dotknutú osobu o svojej totožnosti (kontaktných údajoch), o účele použitia a o postupoch na poskytnutie odpovede na žiadosť týkajúcu sa individuálnych práv dotknutej osoby podľa článkov 28, 29 a 30 zákona APPI.

(63)

Ako sa stanovuje v doplňujúcich pravidlách, osobné údaje prenášané z Európskej únie sa budú považovať za „uchovávané osobné údaje“ bez ohľadu na lehotu ich uchovávania (pokiaľ sa na ne nebudú vzťahovať výnimky) a budú vždy podliehať požiadavkám na transparentnosť podľa oboch uvedených ustanovení.

(64)

Na požiadavky uvedené v článku 18, ako aj na povinnosť informovať o účele použitia podľa článku 27 zákona APPI sa vzťahuje rovnaký súbor výnimiek, ktoré vychádzajú predovšetkým z dôvodov verejného záujmu a ochrany práv a záujmov dotknutej osoby, tretích strán a prevádzkovateľa (37). Podľa výkladu uvedeného v usmerneniach PPC sa dané výnimky uplatňujú vo veľmi špecifických situáciách, napríklad keď by informácie o účele použitia mohli ohroziť legitímne opatrenia, ktoré hospodársky subjekt prijal na ochranu určitých záujmov (napríklad boj proti podvodom, priemyselná špionáž, sabotáž).

(65)

Na spracúvanie „osobitných kategórií“ údajov by sa mali vzťahovať osobitné záruky.

(66)

V článku 2 ods. 3 zákona APPI sú vymedzené „osobné informácie vyžadujúce osobitnú starostlivosť“. Uvedené ustanovenie sa týka „osobných informácií zahŕňajúcich rasový pôvod hlavného subjektu, jeho presvedčenie, spoločenské postavenie, anamnézu, záznam vedený v registri trestov, skutočnosť, že daná osoba utrpela ujmu v dôsledku trestného činu, alebo iných informácií atď., ktoré sú v nariadení vlády vymedzené ako informácie, s ktorými treba nakladať s osobitnou starostlivosťou, aby hlavný subjekt nebol vystavený nespravodlivej diskriminácii, predsudkom alebo inému znevýhodneniu.“ Tieto kategórie vo veľkej miere zodpovedajú zoznamu citlivých údajov uvedenému v článkoch 9 a 10 nariadenia (EÚ) 2016/679. „Anamnéza“ konkrétne zodpovedá údajom o zdravotnom stave, zatiaľ čo „záznam vedený v registri trestov a skutočnosť, že daná osoba utrpela ujmu v dôsledku trestného činu“ v podstate zodpovedajú kategóriám uvedeným v článku 10 nariadenia (EÚ) 2016/679. Kategórie uvedené v článku 2 ods. 3 zákona APPI sú podrobnejšie vyložené v nariadení vlády a v usmerneniach PPC. Podľa oddielu 2.3 bodu 8 usmernení PPC sa podkategórie „anamnézy“ uvedené v článku 2 bodoch ii) a iii) nariadenia vlády vykladajú tak, že sa vzťahujú na genetické a biometrické údaje. Aj keď v zozname nie sú výslovne zahrnuté pojmy „etnický pôvod“ a „politický názor“, spomína sa v ňom „rasový pôvod“ a „presvedčenie“. Ako sa vysvetľuje v oddiele 2.3 bodoch 1 a 2 usmernení PPC, odkaz na „rasový pôvod“ zahŕňa „etnické väzby alebo väzby na určitú časť sveta“, zatiaľ čo „presvedčenie“ sa chápe tak, že zahŕňa náboženské presvedčenie aj politické názory.

(67)

Ako jednoznačne vyplýva zo znenia uvedeného ustanovenia, nejde o uzavretý zoznam, keďže doň možno doplniť ďalšie kategórie údajov, pokiaľ je s ich spracúvaním spojené riziko „nespravodlivej diskriminácie, predsudkov alebo iného znevýhodnenia hlavného subjektu“.

(68)

Hoci je pojem „citlivé“ údaje vo svojej podstate spoločenským konštruktom, keďže vychádza z kultúrnych a právnych tradícií, morálnych úvah, politických rozhodnutí atď. danej spoločnosti, vzhľadom na dôležitosť zabezpečenia primeraných záruk vo vzťahu k citlivým údajom pri ich prenose hospodárskym subjektom v Japonsku, Komisia dosiahla, že osobitná ochrana, ktorá sa podľa japonského práva poskytuje „osobným informáciám vyžadujúcim osobitnú starostlivosť“, sa rozšíri na všetky kategórie, ktoré sú v nariadení (EÚ) 2016/679 uznané za „citlivé údaje“. Na tento účel sa v doplňujúcom pravidle 1 stanovuje, že hospodárske subjekty nakladajúce s osobnými informáciami spracúvajú údaje prenesené z Európskej únie týkajúce sa sexuálneho života fyzickej osoby, jej sexuálnej orientácie alebo členstva v odborových organizáciách „takým istým spôsobom ako osobné informácie vyžadujúce osobitnú starostlivosť v zmysle článku 2 ods. 3 [zákona APPI]“.

(69)

Pokiaľ ide o dodatočné vecné záruky, ktoré sa vzťahujú na osobné informácie vyžadujúce osobitnú starostlivosť, podľa článku 17 ods. 2 zákona APPI nesmú hospodárske subjekty nakladajúce s osobnými informáciami získavať takýto druh údajov bez predchádzajúceho súhlasu dotyčnej fyzickej osoby, pričom sa na to vzťahujú len obmedzené výnimky (38). Táto kategória osobných informácií je navyše vylúčená z možnosti sprístupnenia tretím stranám na základe postupu stanoveného v článku 23 ods. 2 zákona APPI (ktorý umožňuje prenos údajov tretím stranám bez predchádzajúceho súhlasu dotyčnej fyzickej osoby).

(70)

Podľa zásady zodpovednosti sa od subjektov, ktoré spracúvajú údaje, vyžaduje, aby zaviedli vhodné technické a organizačné opatrenia v záujme účinného dodržiavania svojich povinností v oblasti ochrany údajov a aby vedeli takéto dodržiavanie preukázať, najmä príslušnému dozornému orgánu.

(71)

Ako sa uvádza v poznámke pod čiarou č. 34 (odôvodnenie 49), hospodárske subjekty nakladajúce s osobnými informáciami sú podľa článku 26 ods. 1 zákona APPI povinné overiť totožnosť tretej strany, ktorá im poskytuje osobné údaje, a „okolnosti“, za akých daná tretia strana takéto údaje získala (v prípade osobných údajov, na ktoré sa vzťahuje toto rozhodnutie, tieto okolnosti podľa zákona APPI a doplňujúceho pravidla 3 zahŕňajú skutočnosť, že údaje pochádzajú z Európskej únie, ako aj účel pôvodného prenosu údajov). Cieľom tohto opatrenia je okrem iného zabezpečiť zákonnosť spracúvania údajov v celom reťazci hospodárskych subjektov nakladajúcich s osobnými informáciami, ktoré s uvedenými osobnými údajmi nakladajú. Navyše, podľa článku 26 ods. 3 zákona APPI sú hospodárske subjekty nakladajúce s osobnými informáciami povinné viesť záznamy o dátume prijatia a (povinných) informáciách prijatých od tretej strany podľa odseku 1, ako aj o mene dotyčnej fyzickej osoby (dotknutej osoby), kategóriách spracúvaných údajov a v relevantnom rozsahu aj o skutočnosti, že dotknutá osoba udelila súhlas s poskytnutím svojich osobných údajov. Ako sa uvádza v článku 18 pravidiel PPC, tieto záznamy sa musia v závislosti od okolností uchovávať minimálne počas lehoty jedného až troch rokov. PPC môže pri výkone svojich úloh požadovať predloženie takýchto záznamov (39).

(72)

Hospodárske subjekty nakladajúce s osobnými informáciami musia bezodkladne a vhodne riešiť sťažnosti dotknutých fyzických osôb týkajúce sa spracúvania ich osobných informácií. V záujme ľahšieho vybavovania sťažností zriadia „systém potrebný na dosiahnutie [tohto] účelu“, z čoho vyplýva, že by mali v rámci svojej organizácie zaviesť vhodné postupy (napríklad stanoviť povinnosti alebo zabezpečiť kontaktné miesto).

(73)

A napokon, zákonom APPI sa vytvára rámec pre účasť odvetvových organizácií na zabezpečovaní vysokej miery súladu (pozri kapitolu IV oddiel 4). Úlohou takýchto akreditovaných organizácií pre ochranu osobných informácií (40) je presadzovať ochranu osobných informácií poskytovaním podpory podnikom v podobe svojich odborných znalostí, ale aj prispievať k implementácii záruk, najmä prostredníctvom vybavovania jednotlivých sťažností a pomoci pri riešení súvisiacich sporov. Na tento účel môžu prípadne požiadať zúčastnené hospodárske subjekty nakladajúce s osobnými informáciami, aby prijali nevyhnutné opatrenia (41). Okrem toho, v prípade porušenia ochrany údajov alebo iných bezpečnostných incidentov musia hospodárske subjekty nakladajúce s osobnými informáciami v zásade informovať o tejto skutočnosti PPC, ako aj dotknutú osobu (alebo verejnosť) a prijať potrebné opatrenia vrátane opatrení na minimalizovanie akýchkoľvek škôd a zabránenie opätovnému výskytu podobných incidentov (42). Hoci ide o dobrovoľné režimy, k 10. augustu 2017 PPC evidovala 44 organizácií, pričom len najväčšia, Japonské centrum pre spracúvanie a vývoj informácií (JIPDEC), mala 15 436 členov z radov zúčastnených hospodárskych subjektov (43). Medzi akreditované organizácie režimy patria odvetvové združenia, ako je napríklad Japonské združenie obchodníkov s cennými papiermi, Japonské združenie autoškôl alebo Združenie sprostredkovateľov manželstva (44).

(74)

Akreditované organizácie pre ochranu osobných informácií predkladajú výročné správy o svojej činnosti. Podľa „Prehľadu o stave vykonávania zákona APPI v účtovnom roku 2015“, ktorý zverejnila PPC, dostali akreditované organizácie pre ochranu osobných informácií celkovo 442 sťažností, vyžiadali si 123 vysvetlení od hospodárskych subjektov v ich jurisdikcii, v 41 prípadoch požiadali tieto hospodárske subjekty o predloženie dokumentov, vydali 181 pokynov a dve odporúčania (45).

(75)

Úroveň ochrany osobných údajov prenášaných z Európskej únie hospodárskym subjektom v Japonsku nesmie byť oslabená ďalším prenosom takýchto údajov príjemcom v tretej krajine mimo Japonska. Takéto „následné prenosy“, ktoré z hľadiska japonského hospodárskeho subjektu predstavujú medzinárodné prenosy z Japonska, by sa mali povoliť len v prípade, že ďalší príjemca mimo Japonska takisto podlieha pravidlám zabezpečujúcim podobnú úroveň ochrany, aká je zaručená v japonskom právnom poriadku.

(76)

Prvá ochrana je zakotvená v článku 24 zákona APPI, ktorým sa vo všeobecnosti zakazuje prenos osobných údajov tretej strane mimo územia Japonska bez predchádzajúceho súhlasu dotyčnej fyzickej osoby. Doplňujúcim pravidlom 4 sa zabezpečuje, že v prípade prenosov údajov z Európskej únie bude takýto súhlas obzvlášť dobre informovaný, keďže sa ním vyžaduje, aby sa dotyčným fyzickým osobám „poskytovali informácie o okolnostiach spojených s prenosom, ktoré sú potrebné na to, aby sa hlavný subjekt mohol rozhodnúť, či súhlas udelí“. Dotknutá osoba bude na tomto základe informovaná o skutočnosti, že údaje sa budú prenášať do zahraničia (mimo rozsahu pôsobnosti zákona APPI), a o konkrétnej cieľovej krajine. To jej umožní posúdiť riziko narušenia súkromia spojené s prenosom. Ako možno vyvodiť z článku 23 zákona APPI (pozri odôvodnenie 47), informácie poskytnuté hlavnému subjektu by mali zahŕňať aj povinné položky podľa odseku 2 uvedeného článku, teda kategórie osobných údajov poskytovaných tretej strane a spôsob sprístupnenia.

(77)

V článku 24 zákona APPI uplatňovaného spolu s článkom 11-2 pravidiel PPC sa stanovuje niekoľko výnimiek z tohto pravidla založeného na udelení súhlasu. Navyše, podľa článku 24 platia rovnaké výnimky, ako sú tie, ktoré sa uplatňujú podľa článku 23 ods. 1 zákona APPI, aj na medzinárodné prenosy údajov (46).

(78)

Na zabezpečenie kontinuity ochrany v prípade osobných údajov prenášaných z Európskej únie do Japonska podľa tohto rozhodnutia sa doplňujúcim pravidlom 4 zvyšuje úroveň ochrany vzťahujúca sa na následné prenosy takýchto údajov uskutočňované hospodárskym subjektom nakladajúcim s osobnými informáciami príjemcovi z tretej krajiny. Deje sa tak obmedzením a vymedzením základov pre medzinárodné prenosy, ktoré môže hospodársky subjekt nakladajúci s osobnými údajmi použiť ako alternatívu k súhlasu. Konkrétnejšie a bez toho, aby boli dotknuté výnimky stanovené v článku 23 ods. 1 zákona APPI, osobné údaje prenášané na základe tohto rozhodnutia sa môžu bez súhlasu (následne) prenášať iba v dvoch prípadoch: i) keď sa údaje zasielajú do tretej krajiny, ktorú PPC uznala podľa článku 24 zákona APPI za krajinu, ktorá zabezpečuje úroveň ochrany zodpovedajúcu úrovni zaručenej v Japonsku (47) alebo ii) keď hospodársky subjekt nakladajúci s osobnými informáciami a príjemca, ktorý je treťou stranou, spoločne zaviedli opatrenia zabezpečujúce úroveň ochrany zodpovedajúcu ochrane podľa zákona APPI vykladaného spolu s doplňujúcimi pravidlami, a to prostredníctvom zmluvy, iných foriem záväzných dohôd alebo záväzných dojednaní v rámci skupiny podnikov. Druhá kategória zodpovedá nástrojom používaným podľa nariadenia (EÚ) 2016/679 s cieľom zabezpečiť primerané záruky (najmä zmluvným doložkám a záväzným vnútropodnikovým pravidlám). Navyše, ako potvrdila PPC, dokonca aj v týchto prípadoch prenos naďalej podlieha všeobecným pravidlám, ktoré sa vzťahujú na každé poskytnutie osobných údajov tretej strane na základe zákona APPI (t. j. požiadavke na získanie súhlasu podľa článku 23 ods. 1 alebo prípadne požiadavke na informovanie s možnosťou neuplatňovania podľa článku 23 ods. 2 zákona APPI). V prípade, že sa s dotknutou osobou nie je možné skontaktovať v súvislosti so žiadosťou o súhlas alebo s cieľom poskytnúť požadované predbežné informácie podľa článku 23 ods. 2 APPI, prenos sa nesmie uskutočniť.

(79)

Preto sa, s výnimkou prípadov, v ktorých PPC konštatovala, že predmetná tretia krajina zabezpečuje úroveň ochrany zodpovedajúcu ochrane zaručenej zákonom APPI (48), požiadavkami stanovenými v doplňujúcom pravidle 4 vylučuje možnosť použiť nástroje na prenos, ktorými sa nevytvára záväzný vzťah medzi japonským vývozcom údajov a dovozcom údajov z tretej krajiny a ktoré nezaručujú požadovanú úroveň ochrany. Týka sa to napríklad systému pravidiel cezhraničnej ochrany súkromia v rámci Ázijsko-tichomorskej hospodárskej spolupráce (APEC Cross Border Privacy Rules – CBPR), na ktorom sa Japonsko zúčastňuje (49), keďže v tomto systéme ochrana nevyplýva z dohody zaväzujúcej vývozcu a dovozcu v kontexte ich dvojstranného vzťahu a je jednoznačne na nižšej úrovni ako ochrana zaručená kombináciou zákona APPI a doplňujúcich pravidiel (50).

(80)

A napokon, ďalšia záruka v prípade (následných) prenosov vyplýva z článkov 20 a 22 zákona APPI. Podľa týchto ustanovení, ak hospodársky subjekt z tretej krajiny (dovozca údajov) koná v mene hospodárskeho subjektu nakladajúceho s osobnými informáciami (vývozca údajov), to znamená ako (sub-) sprostredkovateľ, vývozca údajov musí zabezpečiť dozor nad dovozcom údajov, pokiaľ ide o bezpečnosť spracúvania údajov.

(81)

Rovnako ako právne predpisy EÚ v oblasti ochrany údajov aj zákon APPI zaručuje fyzickým osobám celý rad vymožiteľných práv. Ide okrem iného o právo na prístup („sprístupnenie“), opravu a výmaz, ako aj o právo namietať („ukončenie používania“).

(82)

Po prvé, podľa článku 28 ods. 1 a 2 zákona APPI má dotknutá osoba právo požiadať hospodársky subjekt nakladajúci s osobnými informáciami o „sprístupnenie uchovávaných osobných údajov, na základe ktorých ju možno identifikovať“ a hospodársky subjekt nakladajúci s osobnými informáciami po prijatí takejto žiadosti dotknutej osobe „[…] sprístupní uchovávané osobné údaje“. Články 29 (právo na opravu) a 30 (právo na ukončenie používania) majú rovnakú štruktúru ako článok 28.

(83)

V článku 9 nariadenia vlády sa uvádza, že sprístupnenie osobných informácií podľa článku 28 ods. 2 zákona APPI prebieha v písomnej forme, pokiaľ sa hospodársky subjekt nakladajúci s osobnými informáciami a dotknutá osoba nedohodli inak.

(84)

Na tieto práva sa vzťahujú tri druhy obmedzení, ktoré sa týkajú práv a záujmov danej fyzickej osoby alebo práv a záujmov tretej strany (51), závažného zasahovania do podnikateľskej činnosti hospodárskeho subjektu nakladajúceho s osobnými informáciami (52), ako aj prípadov, v ktorých by sa sprístupnením porušili iné zákony alebo právne predpisy (53). Situácie, v ktorých by sa tieto obmedzenia uplatňovali, sú podobné niektorým výnimkám uplatniteľným podľa článku 23 ods. 1 nariadenia (EÚ) 2016/679, ktorým sa umožňuje obmedzenie práv fyzických osôb z dôvodov súvisiacich s „ochranou dotknutej osoby alebo práv a slobôd iných osôb“ alebo „inými dôležitými cieľmi všeobecného verejného záujmu“. Hoci sa kategória prípadov, v ktorých by sa sprístupnením porušili „iné zákony alebo právne predpisy“, môže zdať široká, zákony a iné právne predpisy, ktorými sa stanovujú obmedzenia v tejto súvislosti, musia rešpektovať ústavné právo na súkromie a môžu ukladať obmedzenia len pokiaľ by výkon tohto práva predstavoval „zásah do verejného blaha“ (54). Príslušné záujmy je potrebné vyvážiť.

(85)

V článku 28 ods. 3 zákona APPI sa stanovuje, že ak požadované údaje neexistujú, alebo ak sa príslušný hospodársky subjekt nakladajúci s osobnými informáciami rozhodne neposkytnúť prístup k uchovávaným údajom, musí bezodkladne informovať danú fyzickú osobu.

(86)

Po druhé, podľa článku 29 ods. 1 a 2 zákona APPI má dotknutá osoba právo požiadať o opravu, doplnenie alebo výmaz svojich uchovávaných osobných údajov, ak sú tieto údaje nepresné. Po prijatí takejto žiadosti hospodársky subjekt nakladajúci s osobnými informáciami „uskutoční […] potrebné prešetrenie“ a na základe jeho výsledkov „vykoná opravu atď. obsahu uchovávaných údajov“.

(87)

Po tretie, podľa článku 30 ods. 1 a 2 zákona APPI má dotknutá osoba právo požiadať hospodársky subjekt nakladajúci s osobnými informáciami, aby osobné informácie prestal používať alebo aby ich vymazal, ak sa s nimi nakladá v rozpore s článkom 16 (týkajúcim sa obmedzenia účelu) alebo ak boli neoprávnene získané v rozpore s článkom 17 zákona APPI (týkajúceho sa získania podvodom, inými nevhodnými prostriedkami, alebo v prípade citlivých údajov bez súhlasu). Podobne, podľa článku 30 ods. 3 a 4 zákona APPI má fyzická osoba právo požadovať od hospodárskeho subjektu nakladajúceho s osobnými informáciami, aby informácie prestal poskytovať tretej strane, ak by tým porušoval ustanovenia článku 23 ods. 1 alebo článku 24 zákona APPI (týkajúce sa poskytovania tretím stranám vrátane medzinárodných prenosov).

(88)

Keď je žiadosť odôvodnená, hospodársky subjekt nakladajúci s osobnými informáciami bezodkladne prestane dané údaje používať alebo ich prestane poskytovať tretej strane, a to v rozsahu nevyhnutnom na nápravu porušenia, alebo ak sa na daný prípad vzťahuje výnimka (najmä ak by s ukončením používania boli spojené mimoriadne vysoké náklady) (55), uskutoční potrebné alternatívne opatrenia na ochranu práv a záujmov dotyčnej fyzickej osoby.

(89)

Na rozdiel od práva EÚ sa v zákone APPI a príslušných podzákonných predpisoch nestanovujú právne ustanovenia, ktoré by sa osobitne zaoberali možnosťou namietať proti spracúvaniu na účely priameho marketingu. Takéto spracúvanie sa však bude podľa tohto rozhodnutia uskutočňovať v kontexte prenosu osobných údajov, ktoré boli predtým zhromaždené v Európskej únii. Podľa článku 21 ods. 2 nariadenia (EÚ) 2016/679 musí mať dotknutá osoba vždy možnosť namietať proti prenosu údajov v záujme spracúvania na účely priameho marketingu. Navyše, ako sa vysvetľuje v odôvodnení 43, podľa doplňujúceho pravidla 3 má hospodársky subjekt nakladajúci s osobnými informáciami povinnosť spracúvať údaje prijaté na základe tohto rozhodnutia na ten istý účel, na ktorý boli údaje prenesené z Európskej únie, pokiaľ dotknutá osoba neudelí súhlas so zmenou účelu použitia. Teda ak sa prenos uskutočnil na iný účel ako na priamy marketing, hospodársky subjekt nakladajúci s osobnými informáciami v Japonsku nebude môcť spracúvať údaje na účely priameho marketingu bez súhlasu dotknutej osoby z EÚ.

(90)

Vo všetkých prípadoch uvedených v článkoch 28 a 29 zákona APPI má hospodársky subjekt nakladajúci s osobnými informáciami povinnosť bezodkladne informovať danú fyzickú osobu o výsledku jej žiadosti a okrem toho musí vysvetliť akékoľvek (čiastočné) zamietnutie na základe zákonných výnimiek stanovených v článkoch 27 až 30 (článok 31 zákona APPI).

(91)

Pokiaľ ide o podmienky predloženia žiadosti, v článku 32 zákona APPI (spolu s nariadením vlády) sa hospodárskemu subjektu nakladajúcemu s osobnými informáciami umožňuje stanoviť primerané postupy, a to aj pokiaľ ide o informácie potrebné na identifikáciu uchovávaných osobných údajov. Podľa odseku 4 daného článku však hospodárske subjekty nakladajúce s osobnými informáciami nesmú „hlavný subjekt nadmerne zaťažiť“. V niektorých prípadoch môžu hospodárske subjekty nakladajúce s osobnými informáciami stanoviť aj poplatky, pokiaľ ich výška zostane „v rozsahu, ktorý sa považuje za primeraný vzhľadom na skutočné náklady“ (článok 33 zákona APPI).

(92)

A napokon, fyzická osoba môže podľa článku 23 ods. 2 zákona APPI namietať proti sprístupneniu svojich osobných informácií tretej strane alebo odmietnuť udeliť súhlas podľa článku 23 ods. 1 (čím zabráni sprístupneniu v prípade, že by nebol k dispozícii žiadny iný právny základ). Fyzická osoba môže takisto zastaviť spracúvanie údajov na iný účel tým, že odmietne poskytnúť súhlas podľa článku 16 ods. 1 zákona APPI.

(93)

Na rozdiel od práva EÚ sa v zákone APPI a príslušných podzákonných predpisoch nestanovujú všeobecné ustanovenia, ktoré by sa zaoberali otázkou rozhodnutí, ktoré majú vplyv na dotknutú osobu a sú založené výlučne na automatizovanom spracúvaní osobných údajov. Táto otázka sa však rieši v niektorých odvetvových predpisoch platných v Japonsku, ktoré sú pre tento druh spracúvania obzvlášť relevantné. Týka sa to aj odvetví, v ktorých spoločnosti na prijatie rozhodnutí s vplyvom na fyzické osoby s najväčšou pravdepodobnosťou využijú automatizované spracúvanie osobných údajov (napr. finančný sektor). Napríklad v „Komplexných usmerneniach pre dohľad nad veľkými bankami“, ktoré boli revidované v júni 2017, sa vyžaduje, aby sa dotknutej fyzickej osobe konkrétne vysvetlili dôvody zamietnutia žiadosti o uzavretie dohody o úvere. Tieto predpisy teda zaisťujú ochranu v pravdepodobne pomerne obmedzenom počte prípadov, v ktorých by automatizované rozhodnutia prijímal samotný „dovážajúci“ japonský hospodársky subjekt (a nie „vyvážajúci“ prevádzkovateľ z EÚ).

(94)

V každom prípade, pokiaľ ide o osobné údaje zhromaždené v Európskej únii, každé rozhodnutie založené na automatizovanom spracúvaní zvyčajne prijme prevádzkovateľ v Únii (ktorý má priamy vzťah s príslušnou dotknutou osobou), a preto sa naň vzťahuje nariadenie (EÚ) 2016/679 (56). To zahŕňa situácie prenosu, pri ktorých spracúvanie vykonáva zahraničný (napr. japonský) hospodársky subjekt konajúci ako zástupca (sprostredkovateľ) v mene prevádzkovateľa z EÚ (alebo ako subsprostredkovateľ konajúci v mene sprostredkovateľa z EÚ, ktorý dostal údaje od prevádzkovateľa z EÚ, ktorý ich zhromaždil), ktorý na tomto základe následne prijme rozhodnutie. Neexistencia osobitných pravidiel týkajúcich sa automatizovaného rozhodovania v zákone APPI preto pravdepodobne nebude mať vplyv na úroveň ochrany osobných údajov prenášaných na základe tohto rozhodnutia.

(95)

S cieľom zaistiť, aby bola primeraná úroveň ochrany údajov zabezpečená aj v praxi, by mal byť zriadený nezávislý dozorný orgán, ktorý bude mať právomoc monitorovať a presadzovať dodržiavanie pravidiel ochrany údajov. Tento orgán by mal pri plnení svojich úloh a výkone svojich právomocí konať úplne nezávisle a nestranne.

(96)

V Japonsku je orgánom zodpovedným za monitorovanie zákona APPI a jeho presadzovanie PPC. Skladá sa z predsedu a ôsmich komisárov menovaných predsedom vlády so súhlasom oboch snemovní parlamentu. Funkčné obdobie predsedu a každého z komisárov je päť rokov s možnosťou opätovného vymenovania (článok 64 zákona APPI). Komisárov je možné odvolať iba z náležitého dôvodu v obmedzenom počte výnimočných okolností (57), pričom sa nesmú aktívne zapájať do politických aktivít. Podľa zákona APPI navyše nesmú komisári, ktorí túto činnosť vykonávajú na plný pracovný čas, vykonávať žiadne iné činnosti, za ktoré prináleží odmena, ani vyvíjať podnikateľské aktivity. Na všetkých komisárov sa zároveň vzťahujú vnútorné pravidlá, podľa ktorých sa v prípade možného konfliktu záujmov nesmú zúčastňovať na rokovaniach. PPC pomáha sekretariát pod vedením generálneho tajomníka, ktorý bol zriadený na účely plnenia úloh zverených PPC (článok 70 zákona APPI). Komisári aj všetci úradníci sekretariátu sú viazaní prísnymi pravidlami mlčanlivosti (články 72 a 82 zákona APPI).

(97)

Právomoci PPC, ktoré vykonáva úplne nezávisle (58), sú stanovené najmä v článkoch 40, 41 a 42 zákona APPI. Podľa článku 40 môže PPC požiadať hospodárske subjekty nakladajúce s osobnými informáciami o predloženie správ alebo dokumentov o spracovateľských operáciách a môže vykonávať aj kontroly, a to kontroly na mieste a kontroly účtovných kníh alebo iných dokumentov. Pokiaľ je to nevyhnutné na presadzovanie zákona APPI, PPC môže poskytovať hospodárskym subjektom nakladajúcim s osobnými informáciami aj usmernenia alebo poradenstvo vo vzťahu k nakladaniu s osobnými informáciami. PPC už túto právomoc na základe článku 41 zákona APPI využila, keď spoločnosti Facebook v nadväznosti na odhalenia v súvislosti s aférou Facebook/Cambridge Analytica adresovala usmernenie.

(98)

Najdôležitejšie je, že PPC má právomoc – konajúc na základe sťažnosti alebo z vlastnej iniciatívy – vydávať v jednotlivých prípadoch odporúčania a nariadenia s cieľom presadzovať zákon APPI a ďalšie záväzné pravidlá (vrátane doplňujúcich pravidiel). Tieto právomoci sú stanovené v článku 42 zákona APPI. Hoci sa v odsekoch 1 a 2 zákona stanovuje dvojstupňový mechanizmus, v rámci ktorého môže PPC vydať nariadenie (iba) na základe predchádzajúceho odporúčania, odsek 3 umožňuje prijať v naliehavých prípadoch priamo nariadenie.

(99)

Hoci v zozname v článku 42 ods. 1, ktorým sa zároveň určuje rozsah pôsobnosti článku 42 ods. 2, nie sú uvedené všetky ustanovenia kapitoly IV oddielu 1 zákona APPI, túto skutočnosť možno vysvetliť tým, že niektoré z týchto ustanovení sa netýkajú povinností hospodárskeho subjektu nakladajúceho s osobnými informáciami (59) a že všetky nevyhnutné ochranné opatrenia sú už stanovené v iných ustanoveniach, ktoré sú v tomto zozname zahrnuté. Napríklad, hoci sa článok 15 (v ktorom sa požaduje, aby hospodársky subjekt nakladajúci s osobnými informáciami stanovil účel použitia a spracúval príslušné osobné informácie výlučne v rámci jeho rozsahu) v zozname neuvádza, nesplnenie tejto požiadavky môže byť dôvodom na odporúčanie vychádzajúce z porušenia článku 16 ods. 1 (ktorým sa hospodárskemu subjektu nakladajúcemu s osobnými informáciami zakazuje spracúvať osobné informácie nad rámec toho, čo je potrebné na dosiahnutie účelu použitia, pokiaľ nezíska súhlas dotknutej osoby) (60). Ďalším ustanovením, ktoré nie je v článku 42 ods. 1 uvedené, je článok 19 zákona APPI o presnosti údajov a ich uchovávaní. Nedodržanie uvedeného ustanovenia možno vymáhať buď ako porušenie článku 16 ods. 1, alebo ako porušenie článku 29 ods. 2, ak dotyčná fyzická osoba žiada opravu alebo vymazanie chybných alebo nadmerných údajov a hospodársky subjekt nakladajúci s osobnými informáciami odmieta žiadosti vyhovieť. Pokiaľ ide o práva dotknutej osoby podľa článku 28 ods. 1, článku 29 ods. 1 a článku 30 ods. 1, dozor zo strany PPC sa zabezpečuje tým, že sa jej udelili práva na presadzovanie príslušných povinností hospodárskeho subjektu nakladajúceho s osobnými informáciami stanovených v uvedených článkoch.

(100)

Podľa článku 42 ods. 1 zákona APPI môže PPC, ak dospeje k záveru, že existuje „potreba chrániť práva a záujmy fyzickej osoby v prípadoch, keď [hospodársky subjekt nakladajúci s osobnými informáciami] porušil“ konkrétne ustanovenia zákona APPI, vydať odporúčanie, „aby prestal zákon porušovať alebo podnikol iné opatrenia potrebné na odstránenie porušovania“. Takéto odporúčanie nie je záväzné, ale otvára cestu k záväznému nariadeniu podľa článku 42 ods. 2 zákona APPI. Na základe tohto ustanovenia, ak sa odporúčanie nevykoná „bez toho, aby na to existovali oprávnené dôvody“ a PPC „dospeje k záveru, že bezprostredne hrozí závažné porušenie práv a záujmov fyzickej osoby“, môže nariadiť hospodárskemu subjektu nakladajúcemu s osobnými informáciami, aby prijal opatrenia v súlade s odporúčaním.

(101)

V doplňujúcich pravidlách sa ďalej objasňujú a posilňujú právomoci PPC v oblasti presadzovania práva. Konkrétnejšie, v prípadoch týkajúcich sa údajov dovážaných z Európskej únie bude PPC vždy považovať to, že hospodársky subjekt nakladajúci s osobnými informáciami neprijal opatrenie v súlade s odporúčaním, ktoré PPC vydala podľa článku 42 ods. 1, bez toho, aby na to existoval oprávnený dôvod, za závažné porušenie práv a záujmov fyzickej osoby bezprostrednej povahy v zmysle článku 42 ods. 2, a teda za porušenie opodstatňujúce vydanie záväzného nariadenia. PPC bude navyše ako „oprávnený dôvod“ na nevykonanie odporúčania akceptovať len „udalosť mimoriadnej povahy [znemožňujúcu dodržanie odporúčania] mimo kontroly [hospodárskeho subjektu nakladajúceho s osobnými informáciami], ktorú nemožno primerane predpokladať (napríklad prírodné katastrofy)“ alebo prípady, v ktorých potreba prijať opatrenie v súvislosti s odporúčaním „zanikla, pretože [hospodársky subjekt nakladajúci s osobnými informáciami] prijal alternatívne opatrenie, ktorým sa porušenie plne napraví“.

(102)

Nedodržanie nariadenia PPC sa považuje za trestný čin podľa článku 84 zákona APPI a hospodárskemu subjektu nakladajúcemu s osobnými informáciami, ktorý bude uznaný vinným, môže byť uložený trest odňatia slobody s nariadeným výkonom práce v trvaní najviac šesť mesiacov alebo pokuta do výšky 300 000 jenov. Okrem toho, podľa článku 85 písm. i) zákona APPI môže byť za nedostatočnú spoluprácu s PPC alebo marenie jej vyšetrovania uložená pokuta do výšky 300 000 jenov. Tieto trestnoprávne sankcie sa uplatňujú na dôvažok k sankciám, ktoré možno uložiť za závažné porušenie zákona APPI (pozri odôvodnenie 108).

(103)

V záujme zabezpečenia primeranej ochrany, a najmä vymáhania individuálnych práv, by dotknutá osoba mala mať k dispozícii účinné správne a súdne prostriedky nápravy vrátane náhrady škôd.

(104)

Pred tým, ako sa fyzická osoba bude domáhať správnych alebo súdnych prostriedkov nápravy, alebo namiesto toho, aby sa ich domáhala, môže sa rozhodnúť podať sťažnosť týkajúcu sa spracúvania jej osobných údajov samotnému prevádzkovateľovi. Na základe článku 35 zákona APPI sa má hospodársky subjekt nakladajúci s osobnými informáciami usilovať riešiť takéto sťažnosti „vhodne a bezodkladne“ a v záujme dosiahnutia tohto cieľa zriadiť interné systémy vybavovania sťažností. PPC je okrem toho podľa článku 61 písm. ii) zákona APPI zodpovedná za „nevyhnutnú mediáciu v súvislosti s podanou sťažnosťou a poskytnutie spolupráce hospodárskemu subjektu, ktorý sťažnosť rieši“, čo v oboch prípadoch zahŕňa aj sťažnosti podané cudzincami. Japonský zákonodarca v tejto súvislosti zveril ústrednej štátnej správe aj úlohu prijať „potrebné opatrenia“ s cieľom umožniť a uľahčiť riešenie sťažností hospodárskymi subjektmi nakladajúcimi s osobnými informáciami (článok 9), zatiaľ čo miestne samosprávy sa majú usilovať zabezpečiť v takýchto prípadoch mediáciu (článok 13). Popri možnosti podať sťažnosť Národnému centru Japonska pre záležitosti spotrebiteľov môžu fyzické osoby v tejto súvislosti podať sťažnosť aj jednému z viac ako 1 700 spotrebiteľských centier zriadených miestnymi samosprávami na základe zákona o bezpečnosti spotrebiteľov (61). Takéto sťažnosti sa môžu podávať aj v súvislosti s porušením zákona APPI. Podľa článku 19 základného zákona o ochrane spotrebiteľov (62) sa miestne samosprávy majú usilovať o mediáciu, pokiaľ ide o sťažnosti, a majú poskytovať stranám potrebné odborné znalosti. Tieto mechanizmy riešenia sporov sú podľa všetkého pomerne účinné, keďže v roku 2015 bolo takto vyriešených 91,2 % z viac než 75 000 prípadov sťažností.

(105)

Porušenie ustanovení zákona APPI hospodárskym subjektom nakladajúcim s osobnými informáciami môže viesť k občianskoprávnej žalobe, ako aj k trestnému konaniu a sankciám. Po prvé, ak sa fyzická osoba domnieva, že jej práva podľa článkov 28, 29 a 30 zákona APPI boli porušené, môže požiadať o vydanie súdneho príkazu, pričom požiada súd, aby hospodárskemu subjektu nakladajúcemu s osobnými informáciami nariadil splniť jej žiadosť podľa jedného z týchto ustanovení, t. j. sprístupnil uchovávané osobné údaje (článok 28), opravil uchovávané osobné údaje, ktoré sú nesprávne (článok 29), alebo ukončil nezákonné spracúvanie alebo poskytovanie tretej strane (článok 30). Takúto žalobu možno podať bez toho, aby bolo nutné vychádzať z článku 709 Občianskeho zákonníka (63) alebo inak z práva občianskoprávnych deliktov (64). To konkrétne znamená, že fyzická osoba nemusí preukazovať žiadnu ujmu.

(106)

Po druhé, v prípade, keď sa údajné porušenie netýka individuálnych práv podľa článkov 28, 29 a 30, ale všeobecných zásad alebo povinností hospodárskeho subjektu nakladajúceho s osobnými informáciami v oblasti ochrany údajov, môže dotknutá fyzická osoba podať na hospodársky subjekt občianskoprávnu žalobu na základe ustanovení japonského Občianskeho zákonníka o občianskoprávnych deliktoch, najmä článku 709. Zatiaľ čo v rámci súdneho sporu na základe článku 709 sa okrem zavinenia (úmyselného alebo z nedbanlivosti) vyžaduje aj preukázanie ujmy, podľa článku 710 Občianskeho zákonníka môže byť takáto ujma majetková aj nemajetková. Výška náhrady nie je nijakým spôsobom obmedzená.

(107)

Pokiaľ ide o dostupné prostriedky nápravy, v článku 709 japonského Občianskeho zákonníka sa hovorí o peňažnej náhrade. V japonskej judikatúre sa však tento článok vykladá tak, že udeľuje aj právo na získanie súdneho príkazu (65). Preto ak dotknutá osoba podá žalobu na základe článku 709 Občianskeho zákonníka a tvrdí, že jej práva alebo záujmy boli poškodené porušením ustanovenia zákona APPI zo strany odporcu, môže v tejto žalobe požadovať okrem náhrady škody aj vydanie súdneho príkazu, a to hlavne na zastavenie akéhokoľvek nezákonného spracúvania.

(108)

Po tretie, okrem prostriedkov nápravy v oblasti občianskeho práva (práva občianskoprávnych deliktov) môže dotknutá osoba v súvislosti s porušením ustanovení zákona APPI podať sťažnosť u generálneho prokurátora alebo príslušníka justičnej polície, ktorá môže viesť k trestnoprávnym sankciám. Kapitola VII zákona APPI zahŕňa celý rad trestnoprávnych ustanovení. Najdôležitejšie z nich (článok 84) sa týka nevykonania nariadení PPC podľa článku 42 ods. 2 a 3 zo strany hospodárskeho subjektu nakladajúceho s osobnými informáciami. Ak hospodársky subjekt nevykoná nariadenie vydané PPC, predseda PPC (ako aj akýkoľvek iný úradník štátnej správy) (66) môže vec postúpiť generálnemu prokurátorovi alebo príslušníkovi justičnej polície a týmto spôsobom spustiť začatie trestného konania. Trestom za porušenie nariadenia PPC je odňatie slobody s nariadeným výkonom práce v trvaní najviac šesť mesiacov alebo pokuta do výšky 300 000 jenov. Medzi ďalšie ustanovenia zákona APPI, v ktorých sa stanovujú sankcie pre prípad porušenia tohto zákona majúceho vplyv na práva a záujmy dotknutých osôb, patrí článok 83 zákona APPI (týkajúci sa „skrytého poskytovania alebo využívania“ databázy osobných informácií „na účely získania […] nezákonných ziskov“) a článok 88 písm. i) zákona APPI (týkajúci sa skutočnosti, že tretia strana nesprávne informovala hospodársky subjekt nakladajúci s osobnými informáciami, keď mu poskytla osobné údaje v súlade s článkom 26 ods. 1 zákona APPI, najmä pokiaľ ide o podrobnosti o tom, ako predtým sama získala takéto údaje). Za takéto porušenia zákona APPI hrozí trest odňatia slobody s nariadeným výkonom práce v trvaní najviac jedného roka alebo pokuta do výšky 500 000 jenov (v prípade článku 83) alebo správna pokuta do výšky 100 000 jenov [v prípade článku 88 písm. i)]. Hoci silný odrádzajúci účinok na vedenie podniku, ktoré riadi spracúvateľské operácie hospodárskeho subjektu nakladajúceho s osobnými informáciami, ako aj na jednotlivcov, ktorí s údajmi nakladajú, pravdepodobne má už samotná hrozba trestnoprávnej sankcie, v článku 87 zákona APPI sa objasňuje, že ak sa zástupca, zamestnanec alebo iný pracovník právnickej osoby dopustí porušenia podľa článkov 83 až 85 zákona APPI, „dotyčná osoba sa potrestá a danej právnickej osobe sa uloží pokuta stanovená v príslušných článkoch“. V tomto prípade možno zamestnancovi aj spoločnosti uložiť sankcie až do plnej maximálnej výšky.

(109)

A napokon, fyzické osoby sa môžu domáhať nápravy aj v prípade konania, resp. nekonania PPC. V japonskom právnom poriadku sa tejto súvislosti poskytuje viacero správnych a súdnych prostriedkov nápravy.

(110)

Ak fyzická osoba nie je spokojná s tým, ako PPC postupovala, môže podať správny opravný prostriedok podľa zákona o preskúmavaní sťažností v správnych veciach (67). Na druhej strane, ak sa fyzická osoba domnieva, že PPC mala konať, ale nekonala, môže podľa článku 36-3 uvedeného zákona požiadať PPC, aby vydala dispozíciu alebo poskytla správne usmernenie, ak sa domnieva, že „dispozícia alebo správne usmernenie nevyhnutné na nápravu porušenia neboli vydané“.

(111)

Pokiaľ ide o súdne prostriedky nápravy, podľa Správneho súdneho poriadku môže fyzická osoba, ktorá nie je spokojná so správnou dispozíciou vydanou PPC, podať žalobu mandamus (68) a požiadať súd, aby PPC nariadil prijať ďalšie opatrenia (69). Aj súd môže v určitých prípadoch vydať predbežný príkaz mandamus, aby zabránil nezvratnej ujme (70). Fyzická osoba môže navyše podľa toho istého zákona požiadať o zrušenie rozhodnutia PPC (71).

(112)

A napokon, fyzická osoba môže podať na PPC aj žalobu o náhradu škody zo strany štátu podľa článku 1 ods. 1 zákona o opravných prostriedkoch proti štátu, ak utrpela škodu v dôsledku toho, že nariadenie, ktoré PPC vydala hospodárskemu subjektu bolo protiprávne, resp. že PPC neuplatnila svoju právomoc.

(113)

Komisia takisto posúdila obmedzenia a záruky vrátane mechanizmov dozoru a individuálnych prostriedkov nápravy, ktoré sú v japonskom právnom poriadku k dispozícii vo vzťahu k zhromažďovaniu a následnému používaniu osobných údajov prenášaných hospodárskym subjektom v Japonsku, ktoré vo verejnom záujme uskutočňujú orgány verejnej moci, a to najmä na účely presadzovania práva v trestných veciach a na účely národnej bezpečnosti (ďalej len „prístup vlády“). Japonská vláda poskytla Komisii v tejto súvislosti oficiálne vyhlásenia, uistenia a záväzky podpísané na najvyššej úrovni ministerstiev a orgánov, ktoré sú uvedené v prílohe II k tomuto rozhodnutiu.

(114)

Prístup vlády je výkonom verejnej moci a ako taký sa musí v Japonsku uskutočňovať v plnom súlade s právnymi predpismi (zásada zákonnosti). V tejto súvislosti sú v japonskej ústave zahrnuté ustanovenia, ktorými sa obmedzuje a vymedzuje zhromažďovanie osobných údajov orgánmi verejnej moci. Ako už bolo uvedené v súvislosti so spracúvaním zo strany hospodárskych subjektov, Najvyšší súd Japonska uznal právo na súkromie a ochranu údajov, pričom vychádzal z článku 13 ústavy, ktorým sa okrem iného chráni právo na slobodu (72). Dôležitým aspektom tohto práva je sloboda neumožniť sprístupnenie svojich osobných informácií tretej strane bez súhlasu (73). Z toho vyplýva právo na účinnú ochranu osobných údajov pred zneužitím a (najmä) neoprávneným prístupom. Doplnková ochrana je zabezpečená článkom 35 ústavy, ktorý sa týka práva všetkých osôb na ochranu domovej slobody, písomností a majetku, čo si vyžaduje, aby orgány verejnej moci získali vo všetkých prípadoch „prehliadok a zaistení vecí“ súdny príkaz vydaný na základe „primeraného dôvodu (74). Najvyšší súd vo svojom rozsudku z 15. marca 2017 (prípad GPS) objasnil, že táto požiadavka na súdny príkaz sa uplatňuje vždy, keď vláda zasahuje („vstupuje“) do súkromnej sféry spôsobom, ktorý potláča vôľu fyzickej osoby, teda „povinným vyšetrovaním“. Sudca môže takýto príkaz vydať len na základe konkrétneho podozrenia z trestného činu, t. j. keď mu predložia listinné dôkazy, na základe ktorých sa osoba, ktorej sa vyšetrovanie týka, môže považovať za osobu, ktorá spáchala trestný čin (75). Japonské orgány teda nemajú zákonnú právomoc zhromažďovať osobné informácie povinnými prostriedkami v situáciách, keď k porušeniu právnych predpisov ešte nedošlo (76), napríklad aby zabránili trestnému činu alebo inej bezpečnostnej hrozbe (ako je to v prípade vyšetrovaní z dôvodu národnej bezpečnosti).

(115)

Podľa zásady výhrady práva musí byť každé zhromažďovanie údajov, ku ktorému dochádza v rámci donucovacieho vyšetrovania, konkrétne povolené právnymi predpismi (ako sa uvádza napríklad v článku 197 ods. 1 Trestného poriadku o povinnom zhromažďovaní informácií na účely vyšetrovania trestného činu). Táto požiadavka sa vzťahuje aj na prístup k elektronickým informáciám.

(116)

Dôležité je, že článkom 21 ods. 2 ústavy sa zaručuje dôvernosť všetkých komunikačných prostriedkov, pričom obmedzenia sa môžu v právnych predpisoch stanoviť len z dôvodov verejného záujmu. Článkom 4 zákona o telekomunikáciách, podľa ktorého sa nesmie porušiť dôverný charakter komunikácie, s ktorou telekomunikačný prevádzkovateľ nakladá, sa táto požiadavka na zachovanie dôvernosti zavádza na úrovni štatutárneho práva. Uvedený článok sa vykladá ako zákaz sprístupňovania informácií z komunikácie s výnimkou prípadov, keď s ním používatelia súhlasili alebo keď sa naň vzťahuje jedna z výslovných výnimiek z trestnej zodpovednosti podľa Trestného zákona (77).

(117)

Ústava zaručuje aj právo na prístup k súdom (článok 32) a právo žalovať štát o nápravu v prípade, keď fyzickej osobe vznikne škoda v dôsledku protiprávneho konania verejného činiteľa (článok 17).

(118)

Pokiaľ ide konkrétne o právo na ochranu údajov, v kapitole III oddieloch 1, 2 a 3 zákona APPI sa stanovujú všeobecné zásady vzťahujúce sa na všetky odvetvia vrátane verejného sektora. V článku 3 zákona APPI sa konkrétne uvádza, že so všetkými osobnými informáciami sa musí nakladať v súlade so zásadou rešpektovania osobnosti fyzických osôb. Keď orgány verejnej moci zhromaždia („získajú“) osobné informácie, okrem iného aj ako súčasť elektronických záznamov (78), nakladanie s týmito informáciami sa spravuje zákonom o ochrane osobných informácií uchovávaných správnymi orgánmi (ďalej len „zákon APPIHAO“) (79). To v zásade (80) zahŕňa aj spracúvanie osobných informácií na účely presadzovania práva v trestných veciach alebo na účely národnej bezpečnosti. V zákone APPIHAO sa okrem iného stanovuje, že orgány verejnej moci: i) môžu uchovávať osobné informácie len v rozsahu nevyhnutnom na plnenie svojich úloh; ii) nesmú takéto informácie použiť na „neoprávnený“ účel alebo ich bez odôvodnenia sprístupniť tretej osobe; iii) konkrétne určia účel a tento účel nesmú zmeniť nad rámec toho, čo sa môže primerane považovať za relevantné na pôvodný účel (obmedzenie účelu); iv) nesmú v zásade použiť uchovávané osobné informácie na iné účely alebo ich na iné účely sprístupniť tretej osobe, a ak to považujú za potrebné, stanovia obmedzenia účelu alebo spôsobu použitia tretími stranami; v) sa usilujú o zabezpečenie správnosti informácií (kvality údajov); vi) prijímajú potrebné opatrenia na riadnu správu informácií a na zabránenie úniku, strate alebo poškodeniu (bezpečnosť údajov); a vii) usilujú sa náležite a urýchlene spracovať všetky sťažnosti týkajúce sa spracúvania informácií (81).

(119)

V japonskom právnom poriadku sa stanovujú viaceré obmedzenia, pokiaľ ide o prístup k osobným údajom a ich použitie na účely presadzovania práva v trestných veciach, ako aj mechanizmy dozoru a nápravy, ktoré poskytujú dostatočné záruky, že tieto údaje budú účinne chránené pred nezákonnými zásahmi a rizikom zneužitia.

(120)

V japonskom právnom rámci sa zhromažďovanie elektronických informácií na účely presadzovania práva v trestných veciach môže uskutočňovať na základe súdneho príkazu (povinné zhromažďovanie) alebo žiadosti o dobrovoľné sprístupnenie.

(121)

Ako sa uvádza v odôvodnení 115, každé zhromažďovanie údajov v rámci donucovacieho vyšetrovania musí byť konkrétne povolené právnymi predpismi a môže sa uskutočňovať len na základe súdneho príkazu „vydaného z primeraného dôvodu“ (článok 35 ústavy). Pokiaľ ide o vyšetrovanie trestných činov, táto požiadavka sa odráža v ustanoveniach Trestného poriadku. Podľa článku 197 ods. 1 Trestného poriadku sa povinné opatrenia „neuplatňujú, pokiaľ v tomto zákone nie sú stanovené osobitné ustanovenia“. Pokiaľ ide o zhromažďovanie elektronických informácií, jediným relevantným (82) právnym základom v tejto súvislosti je článok 218 Trestného poriadku (prehliadka a zaistenie) a článok 222-2 Trestného poriadku, podľa ktorých sa povinné opatrenia na odpočúvanie elektronickej komunikácie bez súhlasu jednej zo strán vykonávajú na základe iných zákonov, konkrétne zákona o odpočúvaní na účely vyšetrovania trestných činov (ďalej len „zákon o odpočúvaní“). V oboch prípadoch sa uplatňuje požiadavka na súdny príkaz.

(122)

Konkrétnejšie, podľa článku 218 ods. 1 Trestného poriadku môže generálny prokurátor, asistent generálneho prokurátora alebo príslušník justičnej polície vykonať, ak je to potrebné na vyšetrovanie trestného činu, prehliadku alebo zaistenie veci (vrátane nariadenia poskytnutia záznamov) na základe príkazu vopred vydaného sudcom (83). V takomto súdnom príkaze sa musí okrem iného uvádzať meno podozrivého alebo obvineného, trestný čin, z ktorého je obvinený (84), elektromagnetické záznamy, ktoré sa majú zaistiť, a „miesto alebo veci“, ktoré majú byť predmetom prehliadky (článok 219 ods. 1 Trestného poriadku).

(123)

Pokiaľ ide o odpočúvanie komunikácie, v článku 3 zákona o odpočúvaní sa takéto opatrenia povoľujú len pri dodržaní prísnych podmienok. Orgány verejnej moci musia predovšetkým najprv získať súdny príkaz, ktorý môže byť vydaný len na účely vyšetrovania určitých závažných trestných činov (uvedených v prílohe k danému zákonu) (85) a keď je „mimoriadne obťažné identifikovať páchateľa trestného činu alebo objasniť situáciu/podrobnosti spáchania trestného činu iným spôsobom“ (86). Podľa článku 5 zákona o odpočúvaní sa súdny príkaz vydáva na obmedzený čas, pričom sudca môže uložiť dodatočné podmienky. V zákone o odpočúvaní sa navyše stanovuje niekoľko ďalších záruk, ako napríklad nevyhnutná prítomnosť svedkov (články 12 a 20), zákaz odpočúvania komunikácie určitých privilegovaných skupín (napr. lekárov a právnikov) (článok 15), povinnosť ukončiť odpočúvanie, ak už nie je odôvodnené, a to dokonca aj počas platnosti súdneho príkazu (článok 18) alebo všeobecná požiadavka informovať dotknutú osobu a umožniť prístup k záznamom do tridsiatich dní od ukončenia odpočúvania (články 23 a 24).

(124)

V prípade všetkých povinných opatrení založených na súdnom príkaze sa môže prehliadka vykonať len v rozsahu, „aký je nevyhnutný na dosiahnutie jej cieľa“ – teda ak ciele sledované vyšetrovaním nie je možné dosiahnuť inak (článok 197 ods. 1 Trestného poriadku). Hoci kritériá na určenie nevyhnutnosti nie sú v štatutárnom práve bližšie určené, Najvyšší súd Japonska rozhodol, že sudca vydávajúci súdny príkaz by mal vykonať celkové posúdenie, pričom by mal zohľadniť najmä i) závažnosť trestného činu a spôsob jeho spáchania; ii) hodnotu a význam materiálov, ktoré sa majú zaistiť ako dôkaz; iii) pravdepodobnosť (riziko) ukrytia alebo zničenia dôkazov; a iv) rozsah, v akom môže zaistenie veci spôsobiť dotyčnej fyzickej osobe ujmu (87).

(125)

Orgány verejnej moci môžu v medziach svojich právomocí zhromažďovať elektronické informácie aj na základe žiadostí o dobrovoľné sprístupnenie. Ide o nepovinnú formu spolupráce, pri ktorej nie je možné vyhovenie žiadosti vymáhať (88), čím sú orgány verejnej moci zbavené povinnosti získať súdny príkaz.

(126)

Pokiaľ je takáto žiadosť adresovaná hospodárskemu subjektu a týka sa osobných informácií, hospodársky subjekt musí splniť požiadavky stanovené v zákone APPI. Podľa článku 23 ods. 1 zákona APPI môžu hospodárske subjekty sprístupniť osobné informácie tretím stranám bez súhlasu dotyčnej fyzickej osoby len v určitých prípadoch, čo zahŕňa aj prípady, keď sprístupnenie „vychádza zo zákonov a iných právnych predpisov“ (89). V oblasti presadzovania práva v trestných veciach je právny základ pre takéto žiadosti stanovený v článku 197 ods. 2 Trestného poriadku, podľa ktorého „možno súkromné organizácie požiadať, aby informovali o nevyhnutných záležitostiach týkajúcich sa vyšetrovania.“ Keďže takáto „žiadosť o sprístupnenie informácií“ je prípustná iba v rámci vyšetrovania trestného činu, vždy sa pri nej predpokladá konkrétne podozrenie z už spáchaného trestného činu (90). Navyše, keďže takéto vyšetrovania vo všeobecnosti vykonáva prefektúrna polícia, uplatňujú sa obmedzenia podľa článku 2 ods. 2 zákona o polícii (91). Podľa uvedeného ustanovenia sú činnosti polície „prísne obmedzené“ na plnenie jej povinností a úloh (t. j. predchádzanie trestným činom, ich potláčanie a vyšetrovanie). Okrem toho, polícia musí pri plnení svojich úloh konať nestranne, nezaujato a spravodlivo a nikdy nesmie zneužiť svoje právomoci „spôsobom, ktorý by zasahoval do práv a slobôd fyzickej osoby zaručených Ústavou Japonska“ (čo zahŕňa právo na súkromie a ochranu údajov, ako už bolo uvedené) (92).

(127)

Národná policajná agentúra ako federálny orgán, ktorý má okrem iného na starosti aj všetky záležitosti týkajúce sa kriminálnej polície – vydala osobitne v súvislosti s článkom 197 ods. 2 Trestného poriadku pre prefektúrnu políciu (93) pokyny o „náležitom používaní písomných žiadostí vo veciach vyšetrovania“. Podľa tohto oznámenia sa žiadosti musia podávať na vopred určenom formulári („formulár č. 49“ alebo tzv. žiadosť o sprístupnenie informácií) (94), musia sa týkať záznamov „súvisiacich s konkrétnym vyšetrovaním“ a požadované informácie musia byť „pre [dané] vyšetrovanie nevyhnutné“. Hlavný vyšetrovateľ musí v každom prípade „plne preskúmať nevyhnutnosť, obsah atď. [danej] jednotlivej žiadosti“ a musí v rámci svojej organizácie získať súhlas vysokopostaveného úradníka.

(128)

Najvyšší súd Japonska okrem toho stanovil v dvoch rozsudkoch z rokov 1969 a 2008 (95) obmedzenia týkajúce sa nepovinných opatrení, ktoré zasahujú do práva na súkromie (96). Súd predovšetkým konštatoval, že takéto opatrenia musia byť „primerané“ a nesmú prekračovať „všeobecne prípustné medze“, čo znamená, že musia byť nevyhnutné pre vyšetrovanie podozrivej osoby (zhromažďovanie dôkazov) a musia sa vykonať „spôsobmi vhodnými na dosiahnutie účelu vyšetrovania“ (97). Z uvedených rozsudkov vyplýva, že to zahŕňa overenie primeranosti, pričom sa do úvahy berú všetky okolnosti daného prípadu (napr. miera zasahovania do práva na súkromie vrátane očakávania súkromia, závažnosť trestného činu, pravdepodobnosť získania užitočných dôkazov, dôležitosť takýchto dôkazov, možné alternatívne prostriedky vyšetrovania atď.) (98).

(129)

Okrem týchto obmedzení výkonu verejnej moci sa od samotných hospodárskych subjektov očakáva, že overia („potvrdia“) nevyhnutnosť a „rozumnosť“ poskytnutia informácií tretej strane (99). To zahŕňa otázku, či im v spolupráci bráni zákon. Takéto protichodné právne povinnosti môžu vyplývať najmä z povinností týkajúcich sa zachovávania mlčanlivosti, ako je napríklad článok 134 Trestného zákona (týkajúci sa vzťahu medzi lekárom, právnikom, kňazom atď. a ich klientom). Zároveň musí „každá osoba, ktorá pôsobí v oblasti telekomunikácií, pri výkone svojej funkcie zachovávať tajomstvá druhých, o ktorých sa dozvedela v súvislosti s komunikáciou, s ktorou nakladá telekomunikačný operátor“ (článok 4 ods. 2 zákona o telekomunikáciách). Túto povinnosť sprevádza sankcia stanovená v článku 179 zákona o telekomunikáciách, podľa ktorého sa každá osoba, ktorá poruší dôvernosť komunikácie, s ktorou nakladá telekomunikačný operátor, dopustí trestného činu a potrestá sa trestom odňatia slobody s nariadeným výkonom práce v trvaní najviac dvoch rokov alebo pokutou vo výške najviac jedného milióna jenov (100). Hoci táto požiadavka nie je absolútna a umožňuje najmä opatrenia porušujúce dôvernosť komunikácie, ktoré predstavujú „odôvodnené konanie“ v zmysle článku 35 Trestného zákona (101), táto výnimka sa nevzťahuje na odpovede na nepovinné žiadosti orgánov verejnej moci o sprístupnenie elektronických informácií podľa článku 197 ods. 2 Trestného poriadku.

(130)

Po zhromaždení japonskými orgánmi verejnej moci spadajú osobné informácie do rozsahu pôsobnosti zákona APPIHAO. Uvedeným zákonom sa upravuje nakladanie s „uchovávanými osobnými informáciami“ (ich spracúvanie) a v súvislosti s ním sa stanovuje niekoľko obmedzení a záruk (pozri odôvodnenie 118) (102). Obmedzenia pôvodného zhromažďovania navyše vyplývajú – aspoň nepriamo – aj zo skutočnosti, že správny orgán môže uchovávať osobné informácie „len ak je uchovávanie nevyhnutné na plnenie úloh v jeho právomoci stanovených zákonmi a inými právnymi predpismi“ (článok 3 ods. 1 zákona APPIHAO).

(131)

V Japonsku patrí zhromažďovanie elektronických informácií v oblasti presadzovania práva v trestných veciach predovšetkým (103) do pôsobnosti prefektúrnej polície (104), ktorá v tejto súvislosti podlieha rôznym úrovniam dozoru.

(132)

Po prvé, vo všetkých prípadoch, keď sa elektronické informácie zhromažďujú povinnými prostriedkami (prehliadka a zaistenie veci), musí polícia najprv získať súdny príkaz (pozri odôvodnenie 121). Preto v takýchto prípadoch zhromažďovanie vopred preverí sudca, a to na základe prísnej normy „primeraného dôvodu“.

(133)

V prípade žiadostí o dobrovoľné sprístupnenie síce k predchádzajúcemu prevereniu sudcom nedochádza, no hospodárske subjekty, ktorým sú takéto žiadosti adresované, môžu voči nim namietať bez toho, aby im hrozili akékoľvek nepriaznivé dôsledky (pričom budú musieť zohľadniť vplyv akéhokoľvek sprístupnenia informácií na súkromie). Navyše, podľa článku 192 ods. 1 Trestného poriadku musia príslušníci polície vždy spolupracovať s generálnym prokurátorom (a s prefektúrnou komisiou pre verejnú bezpečnosť) (105) a koordinovať s nimi svoju činnosť. Generálny prokurátor môže zasa vydávať nevyhnutné všeobecné pokyny, ktorými stanoví normy pre spravodlivé vyšetrovanie, a/alebo vydať konkrétne príkazy v súvislosti s jednotlivým vyšetrovaním (článok 193 Trestného poriadku). Ak takéto pokyny a/alebo príkazy nebudú dodržané, prokuratúra môže podať návrh na začatie disciplinárneho konania (článok 194 Trestného poriadku). Prefektúrna polícia teda pôsobí pod dohľadom generálneho prokurátora.

(134)

Po druhé, podľa článku 62 ústavy môže každá snemovňa japonského parlamentu viesť vyšetrovania vo vzťahu k štátnej správe, a to aj pokiaľ ide o zákonnosť zhromažďovania informácií políciou. Na tento účel si môže vyžiadať prítomnosť a výpoveď svedkov a/alebo predloženie záznamov. Tieto vyšetrovacie právomoci sú bližšie vymedzené v zákone o parlamente, a to najmä v kapitole XII. V článku 104 zákona o parlamente sa konkrétne stanovuje, že vláda, orgány a ďalšie časti štátnej správy „musia plniť požiadavky ktorejkoľvek snemovne parlamentu alebo ktoréhokoľvek z jej výborov na predloženie správ a záznamov potrebných na posúdenie vyšetrovania.“ Odmietnutie vyhovieť takejto požiadavke je prípustné iba v prípade, keď štátna správa poskytne vierohodný dôvod, ktorý bude parlament považovať za prijateľný, alebo keď vydá formálne vyhlásenie o tom, že predloženie správ alebo záznamov by „vážne poškodilo národné záujmy“ (106). Členovia parlamentu môžu okrem toho klásť vláde písomné otázky (články 74 a 75 zákona o parlamente), pričom v minulosti sa takéto „písomné otázky“ týkali aj nakladania s osobnými informáciami štátnou správou (107). Úloha parlamentu pri dohľade nad výkonnou mocou je posilnená povinnosťami podávania správ, napríklad podľa článku 29 zákona o odpočúvaní.

(135)

Po tretie, prefektúrna polícia podlieha nezávislému dozoru aj v rámci výkonnej zložky moci. Ide najmä o prefektúrne komisie pre verejnú bezpečnosť zriadené na úrovni prefektúr s cieľom zabezpečiť demokratickú správu a politickú neutralitu polície (108). Tieto komisie pozostávajú z členov menovaných guvernérom prefektúry (spomedzi občanov, ktorí v priebehu posledných piatich rokov nepracovali ako štátni zamestnanci v polícii) so súhlasom zhromaždenia prefektúry, ktorí majú zaistené funkčné obdobie (predovšetkým môžu byť odvolaní iba z náležitého dôvodu) (109). Podľa poskytnutých informácií nie sú viazané pokynmi, a preto ich možno považovať za úplne nezávislé (110). Pokiaľ ide o úlohy a právomoci prefektúrnych komisií pre verejnú bezpečnosť, podľa článku 38 ods. 3 v spojení s článkom 2 a článkom 36 ods. 2 zákona o polícii sú zodpovedné za „ochranu práv a slobôd fyzickej osoby“. Na tento účel majú právomoc „vykonávať dozor“ (111) nad všetkými aktivitami prefektúrnej polície v oblasti vyšetrovania vrátane zhromažďovania osobných údajov. Komisie predovšetkým „môžu v prípade potreby dávať prefektúrnej polícii podrobné pokyny alebo pokyny v konkrétnom jednotlivom prípade skúmania zneužitia právomocí zamestnancami polície“ (112). Keď náčelník prefektúrnej polície (113) dostane takýto pokyn alebo sa sám dozvie o možnom prípade zneužitia právomocí (vrátane porušenia zákonov alebo iného zanedbania povinností), musí daný prípad bezodkladne preskúmať a o výsledku preskúmania informovať prefektúrnu komisiu pre verejnú bezpečnosť (článok 56 ods. 3 zákona o polícii). Ak to komisia považuje za potrebné, môže tiež určiť jedného zo svojich členov, aby preskúmal stav vykonávania. Proces pokračuje až do momentu, keď je prefektúrna komisia pre verejnú bezpečnosť presvedčená o tom, že incident bol náležite vyriešený.

(136)

Navyše, pokiaľ ide o správne uplatňovanie zákona APPIHAO, príslušný minister alebo vedúci úradu (napr. generálny komisár Národnej policajnej agentúry) má právomoc vymáhať jeho dodržiavanie, pričom podlieha dohľadu ministerstva vnútra a komunikácií. Podľa článku 49 zákona APPIHAO môže ministerstvo vnútra a komunikácií „zhromažďovať správy o stave presadzovania tohto zákona“ od vedúcich správnych orgánov (ministrov). K výkonu tejto funkcie dozoru prispievajú vstupné informácie od 51 „všeobecných informačných centier“ ministerstva vnútra a komunikácií (jedno v každej prefektúre Japonska), ktoré každý rok spracúvajú tisíce dopytov od fyzických osôb (114) (ktoré následne môžu odhaliť možné porušenia zákona). Ak to ministerstvo vnútra a komunikácií považuje za potrebné v záujme zabezpečenia dodržiavania zákona, môže požiadať o predloženie vysvetlení a materiálov týkajúcich sa nakladania s osobnými informáciami príslušným správnym orgánom, ako aj vydávať stanoviská v tejto súvislosti (články 50 a 51 zákona APPIHAO).

(137)

Popri dozoru z moci úradnej majú niekoľko možností získať individuálne prostriedky nápravy aj fyzické osoby, a to prostredníctvom nezávislých orgánov (ako sú príslušné prefektúrne komisie pre verejnú bezpečnosť alebo PPC) a japonských súdov.

(138)

Po prvé, v súvislosti s osobnými informáciami zhromaždenými správnymi orgánmi majú správne orgány povinnosť „usilovať sa náležite a urýchlene spracovať všetky sťažnosti“ týkajúce sa následného spracúvania týchto informácií (článok 48 zákona APPIHAO). Hoci kapitola IV zákona APPIHAO o individuálnych právach nie je uplatniteľná, pokiaľ ide o osobné informácie zaznamenané v „dokumentoch týkajúcich sa súdnych konaní a zaistených vecí“ (článok 53-2 ods. 2 Trestného poriadku) – čo zahŕňa osobné informácie zhromaždené v rámci vyšetrovania trestnej činnosti – fyzické osoby môžu podať sťažnosť a dovolávať sa všeobecných zásad ochrany údajov, ako je napríklad povinnosť uchovávať osobné informácie len v prípade, „keď je uchovávanie nevyhnutné na plnenie [funkcií presadzovania práva]“ (článok 3 ods. 1 zákona APPIHAO).

(139)

Okrem toho sa článkom 79 zákona o polícii zaručuje fyzickým osobám, ktoré majú pochybnosti v súvislosti s „plnením úloh“ príslušníkmi polície, právo podať sťažnosť (príslušnej) nezávislej prefektúrnej komisii pre verejnú bezpečnosť. Uvedená komisia vybaví takéto sťažnosti „svedomito“ v súlade so zákonmi a miestnymi vyhláškami a písomne oboznámi sťažovateľa s výsledkami. Na základe svojej právomoci vykonávať dohľad nad prefektúrnou políciou a „usmerňovať ju“ so zreteľom na „zneužitie právomocí jej zamestnancami“ (článok 38 ods. 3, článok 43-2 ods. 1 zákona o polícii) môže požiadať prefektúrnu políciu, aby prešetrila skutočnosti, prijala vhodné opatrenia na základe výsledku tohto prešetrenia a podala správu o výsledkoch. Ak sa komisia domnieva, že šetrenie vykonané políciou nebolo dostatočné, môže zároveň vydať pokyny týkajúce sa vybavovania sťažnosti.

(140)

V záujme uľahčenia vybavovania sťažností Národná policajná agentúra vydala „oznámenie“ pre políciu a prefektúrne komisie pre verejnú bezpečnosť týkajúce sa riadneho vybavovania sťažností na plnenie úloh príslušníkmi polície. V tomto dokumente Národná policajná agentúra stanovuje normy pre výklad a vykonávanie článku 79 zákona o polícii. Okrem iného v ňom vyžaduje, aby prefektúrna polícia zriadila „systém vybavovania sťažností“ a aby „bezodkladne“ vybavovala všetky sťažnosti a oznamovala ich príslušnej prefektúrnej komisii pre verejnú bezpečnosť. V oznámení sa sťažnosti vymedzujú ako nároky, ktorých cieľom je náprava „konkrétneho znevýhodnenia, ku ktorému došlo v dôsledku nezákonného alebo nevhodného správania“ (115) alebo „neprijatia nevyhnutných opatrení zo strany príslušníka polície pri plnení jeho povinností“ (116), ako aj akékoľvek „sťažnosti/nespokojnosť v súvislosti s nevhodným spôsobom plnenia povinností príslušníkom polície“. Vecná pôsobnosť sťažnosti je teda vymedzená široko, aby zahŕňala všetky nároky týkajúce sa nezákonného zhromažďovania údajov, pričom sťažovateľ nemusí preukázať, že v dôsledku konania príslušníka polície utrpel ujmu. Dôležité je, že podľa oznámenia sa cudzincom (okrem iných) poskytne pomoc pri formulovaní sťažnosti. Prefektúrne komisie pre verejnú bezpečnosť majú v nadväznosti na sťažnosť zabezpečiť, aby prefektúrna polícia preskúmala skutočnosti, vykonala opatrenia „v závislosti od výsledku preskúmania“ a podala správu o výsledkoch. Ak sa komisia domnieva, že preskúmanie nie je dostatočné, vydá pokyn týkajúci sa vybavenia sťažnosti, ktorým sa prefektúrna polícia musí riadiť. Komisia na základe predložených správ a prijatých opatrení informuje danú fyzickú osobu, pričom okrem iného uvedie opatrenia prijaté na vybavenie sťažnosti. V oznámení Národnej policajnej agentúry sa zdôrazňuje, že sťažnosti treba vybavovať „úprimne“ a že výsledok treba oznámiť „v lehote […], ktorá sa považuje za primeranú vzhľadom na spoločenské normy a zdravý rozum.“

(141)

Po druhé, keďže prostriedkov nápravy sa bude, prirodzene, treba domáhať v zahraničnom systéme a v cudzom jazyku, japonská vláda využila svoje právomoci a v záujme uľahčenia získania nápravy pre fyzické osoby z EÚ, ktorých osobné údaje sa prenášajú hospodárskym subjektom v Japonsku a následne k nim pristupujú orgány verejnej moci, vytvorila osobitný mechanizmus vybavovania a riešenia sťažností v tejto oblasti, ktorý spravuje a nad ktorým dohliada PPC. Tento mechanizmus vychádza z povinnosti spolupracovať, ktorú japonským orgánom verejnej moci ukladá zákon APPI, a z osobitnej úlohy PPC, pokiaľ ide o medzinárodné prenosy údajov z tretích krajín na základe článku 6 zákona APPI a základnej politiky (stanovenej japonskou vládou prostredníctvom nariadenia vlády). Podrobnosti o tomto mechanizme sú uvedené v oficiálnych vyhláseniach, uisteniach a záväzkoch poskytnutých japonskou vládou, ktoré sú pripojené k tomuto rozhodnutiu ako príloha II. Na tento mechanizmus sa nevzťahuje požiadavka na aktívnu legitimáciu a je dostupný každej fyzickej osobe bez ohľadu na to, či je podozrivá alebo obvinená zo spáchania trestného činu.

(142)

Na základe tohto mechanizmu môže fyzická osoba, ktorá má podozrenie, že orgány verejnej moci v Japonsku (vrátane tých, ktoré sú zodpovedné za presadzovanie práva v trestných veciach) zhromaždili alebo používajú jej údaje prenesené z Európskej únie v rozpore s platnými pravidlami, podať sťažnosť PPC (samostatne alebo prostredníctvom svojho orgánu pre ochranu údajov v zmysle článku 51 všeobecného nariadenia o ochrane údajov). PPC bude povinná zaoberať sa sťažnosťou a v prvom kroku o nej informovať príslušné orgány verejnej moci vrátane príslušných dozorných orgánov. Tieto orgány majú povinnosť spolupracovať s PPC „okrem iného tak, že jej poskytnú potrebné informácie a príslušné materiály, aby PPC mohla zhodnotiť, či k zhromaždeniu osobných informácií alebo ich následnému použitiu došlo v súlade s platnými pravidlami“ (117). Táto povinnosť, odvodená z článku 80 zákona APPI, (podľa ktorého majú japonské orgány verejnej moci povinnosť spolupracovať s PPC), má všeobecnú platnosť, a preto sa vzťahuje aj na preskúmavanie akýchkoľvek opatrení v oblasti vyšetrovania, ktoré prijali takéto orgány, ktoré sa navyše k takejto spolupráci zaviazali prostredníctvom písomných uistení príslušných ministerstiev a vedúcich úradov, ako sú uvedené v prílohe II.

(143)

Ak z hodnotenia vyplynie, že došlo k porušeniu platných pravidiel, „spolupráca príslušných orgánov verejnej moci s PPC zahŕňa povinnosť toto porušenie napraviť“, čo v prípade nezákonného zhromažďovania osobných informácií zahŕňa vymazanie takýchto údajov. Dôležité je, že táto povinnosť sa plní pod dozorom PPC, ktorá „pred uzavretím hodnotenia potvrdí, že porušenie bolo v plnom rozsahu napravené.“

(144)

Po uzavretí hodnotenia PPC v primeranej lehote danej fyzickej osobe oznámi výsledok hodnotenia vrátane prípadných nápravných opatrení, ktoré sa prijali. PPC zároveň informuje fyzickú osobu o možnosti vyžiadať si od príslušného orgánu verejnej moci potvrdenie o výsledku a o tom, ktorému orgánu by sa takáto žiadosť o potvrdenie mala podať. Možnosť získať takéto potvrdenie zahŕňajúce dôvody, z ktorých vychádza rozhodnutie príslušného orgánu, môže fyzickej osobe pomôcť pri prijímaní akýchkoľvek ďalších krokov, a to aj pri domáhaní sa súdnych prostriedkov nápravy. Podrobné informácie o výsledku hodnotenia možno obmedziť, ak existujú opodstatnené dôvody domnievať sa, že oznámenie takýchto informácií by mohlo ohroziť prebiehajúce vyšetrovanie.

(145)

Po tretie, fyzická osoba, ktorá nesúhlasí s rozhodnutím sudcu o zaistení (so súdnym príkazom na zaistenie) (118) jej osobných údajov alebo s opatreniami polície či prokuratúry, ktorými sa takéto rozhodnutie vykonáva, môže podať žiadosť o zrušenie alebo zmenu takéhoto rozhodnutia alebo takýchto opatrení (článok 429 ods. 1, článok 430 ods. 1 a 2 Trestného poriadku, článok 26 zákona o odpočúvaní) (119). Ak sa preskúmavajúci súd domnieva, že samotný súdny príkaz alebo jeho výkon („postup zaistenia“) je protiprávny, žiadosti vyhovie a nariadi vrátenie zaistených vecí (120).

(146)

Po štvrté, fyzická osoba, ktorá sa domnieva, že zhromažďovanie jej osobných informácií v rámci vyšetrovania trestného činu bolo nezákonné, môže túto nezákonnosť uplatniť – ako nepriamejšiu formu súdnej kontroly – v rámci svojho trestného konania. Ak s tým bude súd súhlasiť, daný dôkaz bude vylúčený ako neprípustný.

(147)

A napokon, podľa článku 1 ods. 1 zákona o opravných prostriedkoch proti štátu môže súd priznať dotyčnej fyzickej osobe odškodnenie, ak jej štátny úradník vykonávajúci verejnú moc štátu pri plnení svojich úloh protiprávne a vlastnou vinou (úmyselne alebo z nedbanlivosti) spôsobil škodu. Podľa článku 4 zákona o opravných prostriedkoch proti štátu vychádza zodpovednosť štátu za škody z ustanovení Občianskeho zákonníka. V tejto súvislosti sa v článku 710 Občianskeho zákonníka stanovuje, že zodpovednosť zahŕňa aj iné škody ako škody na majetku, a teda aj morálnu ujmu (napríklad v podobe „duševného utrpenia“). To zahŕňa prípady, keď bolo súkromie fyzickej osoby narušené protiprávnym sledovaním a/alebo zhromažďovaním jej osobných informácií (napr. protiprávnym vykonaním súdneho príkazu) (121).

(148)

Okrem peňažnej náhrady môžu fyzické osoby na základe svojich práv na súkromie podľa článku 13 ústavy (122) za určitých podmienok získať aj súdny príkaz (napr. na vymazanie osobných údajov zhromaždených orgánmi verejnej moci).

(149)

V súvislosti so všetkými týmito možnosťami získania nápravy mechanizmus riešenia sporov vytvorený japonskou vládou zabezpečuje, že fyzická osoba, ktorá stále nie je spokojná s výsledkom tohto postupu, sa môže obrátiť na PPC, „ktorá fyzickú osobu informuje o rôznych možnostiach a podrobných postupoch získania nápravy podľa japonských zákonov a iných právnych predpisov.“ PPC navyše „poskytne danej fyzickej osobe podporu vrátane poradenstva a pomoci pri akýchkoľvek ďalších krokoch vo vzťahu k príslušnému správnemu či súdnemu orgánu.“

(150)

To zahŕňa aj využitie procesných práv podľa Trestného poriadku. Napríklad „ak z hodnotenia vyplynie, že daná fyzická osoba je podozrivá v trestnej veci, PPC ju informuje o tejto skutočnosti“ (123), ako aj o možnosti, poskytovanej článkom 259 Trestného poriadku, požiadať prokuratúru, aby ju informovala, keď sa rozhodne nezačať trestné konanie. Taktiež, ak sa pri hodnotení zistí, že sa začalo konanie týkajúce sa osobných informácií danej fyzickej osoby a že dané konanie bolo ukončené, PPC upozorní danú fyzickú osobu na možnosť nahliadnuť do spisu podľa článku 53 Trestného poriadku (a článku 4 zákona o konečných trestných spisoch). Získanie prístupu k spisu je dôležité, pretože pomôže fyzickej osobe lepšie pochopiť vyšetrovanie, ktoré sa proti nej vedie, a pripraviť tak prípadnú žalobu na súd (napr. o náhradu škody) v prípade, že sa domnieva, že jej údaje boli zhromaždené alebo použité nezákonne.

(151)

Podľa japonských orgánov neexistuje v Japonsku žiadny zákon, ktorý by povoľoval povinné žiadosti o informácie alebo „správne odpočúvania“ mimo vyšetrovania trestných činov. Z dôvodov národnej bezpečnosti sa teda informácie môžu získavať len z informačného zdroja, ku ktorému má voľný prístup ktokoľvek, alebo dobrovoľným sprístupnením. Hospodárske subjekty, ktoré dostanú žiadosť o dobrovoľnú spoluprácu (vo forme sprístupnenia elektronických informácií), nie sú zo zákona povinné takéto informácie poskytnúť (124).

(152)

Navyše, podľa poskytnutých informácií majú právomoc zhromažďovať elektronické informácie uchovávané japonskými hospodárskymi subjektmi z dôvodov národnej bezpečnosti len štyri subjekty štátnej správy, a to: i) Spravodajská a vyšetrovacia služba vlády; ii) ministerstvo obrany; iii) polícia [Národná policajná agentúra (125) aj prefektúrna polícia]; a iv) Spravodajská služba pre verejnú bezpečnosť (ďalej len „PSIA“). Spravodajská a vyšetrovacia služba vlády však nikdy nezhromažďuje informácie priamo od hospodárskych subjektov, a to ani prostredníctvom odpočúvania komunikácie. V prípade, že dostane informácie od iných orgánov štátnej správy, aby vláde poskytla analýzu, sú to tieto iné orgány, ktoré musia dodržať právne predpisy vrátane obmedzení a záruk analyzovaných v tomto rozhodnutí. Jej činnosti teda nie sú v kontexte prenosu relevantné.

(153)

Podľa poskytnutých informácií ministerstvo obrany zhromažďuje (elektronické) informácie na základe zákona o zriadení ministerstva obrany. Podľa článku 3 tohto zákona je poslaním ministerstva obrany riadiť ozbrojené sily a operovať s nimi a „plniť s tým súvisiace úlohy s cieľom zaistiť mier v krajine, ako aj nezávislosť a bezpečnosť národa.“ V článku 4 ods. 4 sa stanovuje, že ministerstvo obrany má právomoci v oblasti „obrany a ochrany“, akcií uskutočňovaných obrannými silami, ako aj vysielania ozbrojených síl vrátane zhromažďovania informácií nevyhnutných na plnenie uvedených úloh. (Elektronické) informácie od hospodárskych subjektov je však oprávnené zbierať iba prostredníctvom dobrovoľnej spolupráce.

(154)

Pokiaľ ide o prefektúrnu políciu, medzi jej povinnosti a úlohy patrí „udržiavanie verejnej bezpečnosti a verejného poriadku“ (článok 35 ods. 2 v spojení s článkom 2 ods. 1 zákona o polícii). V rámci tohto rozsahu právomoci môže polícia zhromažďovať informácie, ale len na dobrovoľnom základe bez právnej sily. Činnosti polície musia byť navyše „prísne obmedzené“ na to, čo je potrebné na plnenie jej úloh. Polícia musí okrem toho konať „nestranne, nezaujato, nepredpojato a spravodlivo“ a nikdy nesmie zneužiť svoje právomoci „akýmkoľvek spôsobom, ktorý by zasahoval do práv a slobôd fyzickej osoby zaručených Ústavou Japonska“ (článok 2 zákona o polícii).

(155)

A na záver, Spravodajská služba pre verejnú bezpečnosť môže uskutočňovať vyšetrovania na základe zákona o predchádzaní podvratnej činnosti (ďalej len „zákon SAPA“) a zákona o kontrole organizácií, ktoré sa dopustili plošnej masovej vraždy (ďalej len „zákon ACO“), keď sú takéto vyšetrovania nevyhnutné na prípravu prijatia opatrení na kontrolu určitých organizácií (126). Komisia pre skúmanie verejnej bezpečnosti môže na základe oboch zákonov a na základe žiadosti generálneho riaditeľa Spravodajskej služby pre verejnú bezpečnosť vydávať určité „dispozície“ (v prípade zákona ACO nariadiť sledovanie/vydať zákazy (127), v prípade zákona SAPA nariadiť zrušenie/vydať zákazy (128)) a Spravodajská služba pre verejnú bezpečnosť môže v tejto súvislosti vykonávať vyšetrovania (129). Podľa poskytnutých informácií sa tieto vyšetrovania vždy vykonávajú na dobrovoľnom základe, čo znamená, že Spravodajská služba pre verejnú bezpečnosť nemôže nútiť majiteľa osobných informácií, aby takéto informácie poskytol (130). Kontroly a vyšetrovania sa vždy vykonávajú iba v minimálnom rozsahu nevyhnutnom na dosiahnutie účelu kontroly a za žiadnych okolností sa nesmú vykonávať tak, aby „neprimerane“ obmedzovali práva a slobody zaručené Ústavou Japonska (článok 3 ods. 1 zákona SAPA/zákona ACO). Navyše, podľa článku 3 ods. 2 zákona SAPA/zákona ACO nesmie Spravodajská služba pre verejnú bezpečnosť za žiadnych okolností zneužívať takéto kontroly ani vyšetrovania uskutočňované na prípravu takýchto kontrol. Ak príslušník Spravodajskej služby pre verejnú bezpečnosť zneužil svoju právomoc podľa príslušného zákona tým, že určitú osobu donútil, aby urobila čokoľvek, čo urobiť nemusí, alebo zasahoval do výkonu práv danej osoby, môže čeliť trestnoprávnym sankciám podľa článku 45 zákona SAPA alebo článku 42 zákona ACO. A napokon, v oboch zákonoch sa výslovne stanovuje, že ich ustanovenia vrátane právomocí, ktoré sa v týchto zákonoch udeľujú, „sa za žiadnych okolností nesmú vykladať širšie“ (článok 2 zákona SAPA/zákona ACO).

(156)

Vo všetkých prípadoch prístupu vlády z dôvodov národnej bezpečnosti opísaných v tomto oddiele sa uplatňujú obmedzenia stanovené Najvyšším súdom Japonska pre dobrovoľné vyšetrovania, čo znamená, že zhromažďovanie (elektronických) informácií musí byť v súlade so zásadami nevyhnutnosti a primeranosti („vhodný spôsob“) (131). Ako výslovne potvrdili japonské orgány „zhromažďovanie a spracúvanie informácií sa uskutočňuje iba v rozsahu nevyhnutnom na vykonávanie konkrétnych úloh príslušného orgánu verejnej moci, ako aj na základe konkrétnych hrozieb“. Preto „na základe toho je vylúčené plošné a nerozlišujúce zhromažďovanie osobných informácií alebo prístup k nim na účely národnej bezpečnosti“ (132).

(157)

Aj všetky osobné informácie uchovávané orgánmi verejnej moci na účely národnej bezpečnosti budú po zhromaždení patriť do rozsahu pôsobnosti zákona APPIHAO a bude sa na ne teda vzťahovať ochrana zabezpečená týmto zákonom, pokiaľ ide o následné uchovávanie, používanie a sprístupňovanie týchto informácií (pozri odôvodnenie 118).

(158)

Na zhromažďovanie osobných informácií na účely národnej bezpečnosti sa vzťahuje niekoľko úrovní dozoru zo strany troch zložiek štátnej správy.

(159)

Po prvé, japonský parlament môže na základe svojich právomocí parlamentnej kontroly (článok 62 ústavy, článok 104 zákona o parlamente) prostredníctvom svojich osobitných výborov skúmať zákonnosť vyšetrovaní; pozri odôvodnenie 134. K tejto funkcii dozoru prispievajú osobitné povinnosti podávania správ o činnostiach vykonávaných podľa niektorých z už uvedených právnych základov (133).

(160)

Po druhé, v rámci výkonnej zložky moci existuje niekoľko mechanizmov dozoru.

(161)

Pokiaľ ide o ministerstvo obrany, dozor vykonáva Úrad generálneho inšpektora pre dodržiavanie právnych predpisov (ďalej len „úrad generálneho inšpektora“) (134), ktorý bol zriadený na základe článku 29 zákona o zriadení ministerstva obrany ako úrad v rámci ministerstva obrany, ktorý pôsobí pod dohľadom ministra obrany (ktorému podlieha), ale je nezávislý od prevádzkových útvarov tohto ministerstva. Úrad generálneho inšpektora má za úlohu zabezpečovať dodržiavanie zákonov a iných právnych predpisov, ako aj riadne plnenie úloh úradníkmi ministerstva obrany. Medzi jeho právomoci patrí právomoc vykonávať tzv. inšpekcie obrany, a to tak v pravidelných intervaloch („pravidelné inšpekcie obrany“), ako aj v jednotlivých prípadoch („osobitné inšpekcie obrany“), ktoré sa v minulosti vzťahovali aj na náležité nakladanie s osobnými informáciami (135). V súvislosti s takýmito inšpekciami môže úrad generálneho inšpektora vstupovať do priestorov (kancelárií) a požadovať predloženie dokumentov alebo informácií vrátane vysvetlení zástupca námestníka ministra obrany. Inšpekcia sa uzatvára správou ministrovi obrany, v ktorej sa uvádzajú zistenia a opatrenia na zlepšenie (ktorých vykonanie možno opäť overiť prostredníctvom ďalších inšpekcií). Správa je následne východiskom pre pokyny ministra obrany na vykonanie opatrení nevyhnutných na riešenie danej situácie; vykonaním takýchto opatrení je poverený zástupca námestníka ministra, ktorý musí informovať o opatreniach prijatých v nadväznosti na správu.

(162)

Pokiaľ ide o prefektúrnu políciu, dozor zabezpečujú nezávislé prefektúrne komisie pre verejnú bezpečnosť, ako sa vysvetľuje v odôvodnení 135 v súvislosti s presadzovaním práva v trestných veciach.

(163)

A napokon, ako už bolo uvedené, Spravodajská služba pre verejnú bezpečnosť môže vykonávať vyšetrovania len pokiaľ sú nevyhnutné vzhľadom na prijatie dispozície nariaďujúcej zákaz, zrušenie alebo sledovanie podľa zákona SAPA/zákona ACO, pričom nezávislá (136) Komisia pre skúmanie verejnej bezpečnosti vykonáva nad týmito dispozíciami ex ante dozor. Osobitne určení inšpektori okrem toho vykonávajú pravidelné/periodické inšpekcie (ktoré sa komplexným spôsobom zameriavajú na operácie Spravodajskej služby pre verejnú bezpečnosť) (137) a osobitné vnútorné inšpekcie (138) činností jednotlivých útvarov/úradov atď., ktoré môžu viesť k vydaniu pokynov vedúcim príslušných útvarov atď., aby prijali opatrenia na nápravu alebo zlepšenie.

(164)

Tieto mechanizmy dozoru, ktoré sú ďalej posilnené možnosťou fyzických osôb iniciovať zásah PPC ako nezávislého dozorného orgánu (pozri ďalej bod 168), poskytujú primerané záruky proti riziku, že japonské orgány zneužijú svoje právomoci v oblasti národnej bezpečnosti, a proti akémukoľvek nezákonnému zhromažďovaniu elektronických informácií.

(165)

Čo sa týka individuálnych prostriedkov nápravy, v súvislosti s osobnými informáciami zhromažďovanými, a teda „uchovávanými“ správnymi orgánmi, tieto orgány majú povinnosť „usilovať sa náležite a urýchlene spracovať všetky sťažnosti“ týkajúce sa takéhoto spracúvania (článok 48 zákona APPIHAO).

(166)

Okrem toho, na rozdiel od prípadov vyšetrovania trestných činov majú fyzické osoby (vrátane cudzích štátnych príslušníkov žijúcich v zahraničí) podľa zákona APPIHAO v zásade právo na sprístupnenie (139), opravu (vrátane vymazania) a zastavenie používania/poskytovania. Vedúci správneho orgánu však môže odmietnuť sprístupniť informácie „v súvislosti s ktorými existujú opodstatnené dôvody […] konštatovať, že ich sprístupnenie by pravdepodobne viedlo k ohrozeniu národnej bezpečnosti“ [článok 14 bod iv) zákona APPIHAO], pričom tak dokonca môže urobiť bez odhalenia existencie týchto informácií (článok 17 zákona APPIHAO). Podobne, hoci fyzická osoba môže podľa článku 36 ods. 1 písm. i) zákona APPIHAO požiadať o ukončenie používania alebo o výmaz informácií, ak správny orgán získal tieto informácie nezákonne alebo ich uchováva/používa nad rámec toho, čo je nevyhnutné na dosiahnutie stanoveného účelu, orgán môže žiadosť zamietnuť, ak zistí, že ukončenie používania „by mohlo zabrániť riadnemu vykonaniu záležitostí súvisiacich s účelom použitia uchovávaných osobných informácií z dôvodu povahy uvedených záležitostí“ (článok 38 zákona APPIHAO). Ak je však možné jednoducho oddeliť a vylúčiť časti, na ktoré sa vzťahuje výnimka, správne orgány musia sprístupniť informácie aspoň čiastočne (pozri napr. článok 15 ods. 1 zákona APPIHAO) (140).

(167)

Správny orgán musí v každom prípade v určitej lehote (30 dní, ktoré môžu byť za určitých podmienok predĺžené o ďalších 30 dní) prijať písomné rozhodnutie. Ak je žiadosť zamietnutá, ak sa jej vyhovie len sčasti alebo ak fyzická osoba považuje konanie správneho orgánu za „nezákonné alebo nespravodlivé“ z iných dôvodov, môže požiadať o správne preskúmanie na základe zákona o preskúmavaní sťažností v správnych veciach (141). V takom prípade vedúci správneho orgánu, ktorý rozhoduje o odvolaní, konzultuje s Radou pre preskúmanie sprístupňovania informácií a ochrany osobných informácií (články 42 a 43 zákona APPIHAO), ktorá je špecializovanou nezávislou radou, ktorej členovia sú menovaní predsedom vlády so súhlasom oboch snemovní parlamentu. Podľa poskytnutých informácií môže rada pre preskúmanie vykonať prešetrovanie (142) a v tejto súvislosti požiadať správny orgán, aby poskytol uchovávané osobné informácie vrátane akéhokoľvek utajeného obsahu, ako aj ďalšie informácie a dokumenty. Hoci konečná správa, zaslaná sťažovateľovi, ako aj správnemu orgánu a zverejnená, nie je právne záväzná, odporúčania v nej uvedené sa takmer vždy dodržia (143). Fyzická osoba má navyše možnosť napadnúť rozhodnutie o odvolaní na súde na základe Správneho súdneho poriadku. To otvára priestor na súdnu kontrolu používania výnimky, resp. výnimiek z dôvodu národnej bezpečnosti vrátane toho, či bola takáto výnimka zneužitá alebo je stále opodstatnená.

(168)

V záujme uľahčenia výkonu vyššie uvedených práv podľa zákona APPIHAO zriadilo ministerstvo vnútra a komunikácií 51 „všeobecných informačných centier“, ktoré poskytujú konsolidované informácie o týchto právach, uplatniteľných postupoch podávania žiadostí a možnostiach získania prostriedkov nápravy (144). Pokiaľ ide o správne orgány, tie sú povinné poskytovať „informácie, ktoré prispejú k presnejšiemu určeniu uchovávaných osobných informácií“ (145) a prijať „ďalšie vhodné opatrenia na uľahčenie veci pre osobu, ktorá má v úmysle podať žiadosť“ (článok 47 ods. 1 zákona APPIHAO).

(169)

Rovnako ako v prípade vyšetrovaní v oblasti presadzovania práva v trestných veciach, aj v oblasti národnej bezpečnosti môžu fyzické osoby získať individuálne prostriedky nápravy, keď sa obrátia priamo na PPC. Tým sa spustí osobitný postup riešenia sporov, ktorý japonská vláda zaviedla pre fyzické osoby z EÚ, ktorých osobné údaje sa prenášajú na základe tohto rozhodnutia (pozri podrobné vysvetlenia v odôvodneniach 141 až 144 a v odôvodnení 149).

(170)

Fyzické osoby sa môžu okrem toho domáhať súdnych prostriedkov nápravy formou žaloby o náhradu škody podľa zákona o opravných prostriedkoch proti štátu, čo zahŕňa aj morálnu ujmu a za určitých podmienok aj vymazanie zhromaždených údajov (pozri odôvodnenie 147).

(171)

Komisia sa domnieva, že zákon APPI doplnený doplňujúcimi pravidlami uvedenými v prílohe I spolu s oficiálnymi vyhláseniami, uisteniami a záväzkami uvedenými v prílohe II zaisťuje úroveň ochrany osobných údajov prenášaných z Európskej únie, ktorá v zásade zodpovedá ochrane zaručenej nariadením (EÚ) 2016/679.

(172)

Komisia sa okrem toho domnieva, že mechanizmy dozoru a možnosti získania nápravy v japonskom právnom poriadku umožňujú ako celok v praxi odhaliť a potrestať porušovanie právnych predpisov zo strany prijímajúcich hospodárskych subjektov nakladajúcich s osobnými informáciami a poskytujú dotknutej osobe právne prostriedky nápravy na získanie prístupu k osobným údajom, ktoré sa jej týkajú, a prípadne aj dosiahnutie opravy alebo vymazania takýchto údajov.

(173)

A na záver, na základe dostupných informácií o japonskom právnom poriadku vrátane vyhlásení, uistení a záväzkov japonskej vlády, ktoré sú uvedené v prílohe II, sa Komisia domnieva, že každý zásah do základných práv fyzických osôb, ktorých osobné údaje sa prenášajú z Európskej únie do Japonska, zo strany japonských orgánov verejnej moci na účely verejného záujmu, najmä na účely presadzovania práva v trestných veciach a na účely národnej bezpečnosti, bude obmedzený na to, čo je nevyhnutne potrebné na dosiahnutie daného legitímneho cieľa, a že existuje účinná právna ochrana proti takýmto zásahom.

(174)

Preto sa Komisia na základe zistení uvedených v tomto rozhodnutí domnieva, že Japonsko zabezpečuje primeranú úroveň ochrany osobných údajov prenášaných z Európskej únie hospodárskym subjektom nakladajúcim s osobnými informáciami v Japonsku, na ktoré sa vzťahuje zákon APPI, s výnimkou prípadov, keď príjemca patrí do jednej z kategórií uvedených v článku 76 ods. 1 zákona APPI a všetky účely spracúvania alebo ich časť zodpovedajú jednému z účelov stanovených v uvedenom ustanovení.

(175)

Komisia dospela na tomto základe k záveru, že štandard primeranosti podľa článku 45 nariadenia (EÚ) 2016/679, vykladaný s ohľadom na Chartu základných práv Európskej únie, a najmä rozsudok vo veci Schrems (146), je dosiahnutý.

(176)

Podľa judikatúry Súdneho dvora (147) a ako sa uznáva v článku 45 ods. 4 nariadenia (EÚ) 2016/679, Komisia by mala po prijatí rozhodnutia o primeranosti nepretržite monitorovať príslušný vývoj v tretej krajine s cieľom posúdiť, či Japonsko aj naďalej zabezpečuje v zásade zodpovedajúcu úroveň ochrany. Takéto overenie je v každom prípade potrebné, keď Komisia dostane informácie, na základe ktorých vzniknú dôvodné pochybnosti v tomto ohľade.

(177)

Komisia by preto mala neustále monitorovať situáciu, pokiaľ ide o právny rámec a skutočnú prax spracúvania osobných údajov, ktoré sa posudzujú v tomto rozhodnutí, vrátane dodržiavania vyhlásení, uistení a záväzkov uvedených v prílohe II zo strany japonských orgánov. V záujme uľahčenia tohto procesu sa od japonských orgánov očakáva, že budú Komisiu informovať o podstatnom vývoji relevantnom tak pokiaľ ide o spracúvanie osobných údajov hospodárskymi subjektmi, ako aj o obmedzenia a záruky uplatniteľné na prístup k osobným údajom zo strany orgánov verejnej moci. To by malo zahŕňať všetky rozhodnutia prijaté PPC na základe článku 24 zákona APPI, v ktorých sa uznáva, že tretia krajina zabezpečuje úroveň ochrany zodpovedajúcu úrovni zaručenej v Japonsku.

(178)

Navyše, aby Komisia mohla účinne vykonávať svoju monitorovaciu funkciu, mali by ju členské štáty informovať o všetkých relevantných opatreniach, ktoré prijali vnútroštátne orgány pre ochranu údajov, najmä pokiaľ ide o otázky alebo sťažnosti dotknutých osôb z EÚ týkajúce sa prenosu osobných údajov z Európskej únie hospodárskym subjektom v Japonsku. Komisia by mala byť informovaná aj o akýchkoľvek známkach toho, že opatrenia japonských orgánov verejnej moci zodpovedných za predchádzanie trestným činom, ich vyšetrovanie, odhaľovanie alebo stíhanie alebo za národnú bezpečnosť vrátane akýchkoľvek dozorných orgánov nezabezpečujú požadovanú úroveň ochrany.

(179)

Členské štáty a ich orgány sú povinné prijať opatrenia potrebné na dosiahnutie súladu s aktmi inštitúcií Únie, lebo tieto akty požívajú prezumpciu zákonnosti a majú z tohto dôvodu právne účinky dovtedy, kým neboli derogované, zrušené v konaní o žalobe o neplatnosť alebo vyhlásené za neplatné v nadväznosti na návrh na začatie prejudiciálneho konania alebo námietku nezákonnosti. Rozhodnutie Komisie o primeranosti prijaté podľa článku 45 ods. 3 nariadenia (EÚ) 2016/679 je preto záväzné pre všetky orgány členských štátov, ktorým je určené, vrátane ich nezávislých dozorných orgánov. Zároveň, ako Súdny dvor vysvetlil v rozsudku vo veci Schrems (148) a ako bolo uznané v článku 58 ods. 5 nariadenia, keď orgán pre ochranu osobných údajov spochybní, okrem iného aj na základe sťažnosti, zlučiteľnosť rozhodnutia Komisie o primeranosti so základnými právami fyzickej osoby na súkromie a ochranu údajov, vnútroštátne právo mu musí poskytnúť právny prostriedok nápravy umožňujúci uplatniť tieto výhrady na vnútroštátnom súde, ktorý musí v prípade pochybností konanie prerušiť a podať návrh na začatie prejudiciálneho konania na Súdnom dvore (149).

(180)

Podľa článku 45 ods. 3 nariadenia (EÚ) 2016/679 (150) a vzhľadom na skutočnosť, že úroveň ochrany zabezpečovaná japonským právnym poriadkom sa môže zmeniť, by Komisia mala po prijatí tohto rozhodnutia pravidelne overovať, či sú závery týkajúce sa primeranosti úrovne ochrany, ktorú zabezpečuje Japonsko, stále skutkovo a právne odôvodnené.

(181)

Na tento účel by sa malo toto rozhodnutie podrobiť prvému preskúmaniu do dvoch rokov od nadobudnutia účinnosti. Po tomto prvom preskúmaní a v závislosti od jeho výsledku Komisia v úzkej spolupráci s výborom zriadeným podľa článku 93 ods. 1 všeobecného nariadenia o ochrane údajov rozhodne, či by sa mal zachovať dvojročný cyklus. Následné preskúmania by sa v každom prípade mali uskutočniť aspoň každé štyri roky (151). Preskúmanie by malo zahŕňať všetky aspekty fungovania tohto rozhodnutia, a najmä uplatňovanie doplňujúcich pravidiel (pričom treba osobitnú pozornosť venovať ochrane zabezpečovanej v prípade následných prenosov), uplatňovanie pravidiel týkajúcich sa súhlasu, a to aj v prípade odňatia, účinnosť výkonu individuálnych práv, ako aj obmedzenia a záruky v súvislosti s prístupom vlády vrátane mechanizmu nápravy stanoveného v prílohe II k tomuto rozhodnutiu. Malo by sa zameriavať aj na účinnosť dohľadu a presadzovania, pokiaľ ide o pravidlá uplatniteľné na hospodárske subjekty nakladajúce s osobnými informáciami, ako aj na oblasť presadzovania práva v trestných veciach a oblasť národnej bezpečnosti.

(182)

V záujme vykonania preskúmania by sa Komisia mala stretnúť s PPC, ku ktorej by sa v prípade potreby mali pripojiť ďalšie japonské orgány zodpovedné za prístup vlády vrátane príslušných dozorných orgánov. Na tomto stretnutí by sa mali môcť zúčastniť zástupcovia členov Európskeho výboru pre ochranu údajov. Komisia by mala v rámci spoločného preskúmania požiadať PPC, aby poskytla komplexné informácie o všetkých aspektoch relevantných pre záver o primeranosti vrátane informácií o obmedzeniach a zárukách týkajúcich sa prístupu vlády (152). Komisia by si takisto mala vyžiadať vysvetlenia k všetkým informáciám relevantným pre toto rozhodnutie, ktoré dostala, vrátane verejných správ japonských orgánov alebo iných zainteresovaných strán v Japonsku, Európskeho výboru pre ochranu údajov, jednotlivých orgánov pre ochranu osobných údajov, skupín občianskej spoločnosti, mediálnych správ alebo akéhokoľvek iného dostupného zdroja informácií.

(183)

Komisia by na základe spoločného preskúmania mala vypracovať verejnú správu, ktorá sa predloží Európskemu parlamentu a Rade.

(184)

Ak Komisia na základe pravidelných a ad hoc overení alebo akýchkoľvek iných dostupných informácií dospeje k záveru, že úroveň ochrany zabezpečovanú japonským právnym poriadkom už nie je možné považovať za v zásade zodpovedajúcu úrovni ochrany v Európskej únii, mala by o tom informovať príslušné japonské orgány a požadovať, aby sa v stanovenej primeranej lehote prijali vhodné opatrenia. To zahŕňa aj pravidlá, ktoré platia pre hospodárske subjekty aj japonské orgány verejnej moci zodpovedné za presadzovanie práva v trestných veciach alebo národnú bezpečnosť. Takýto postup by sa napríklad uplatnil v prípadoch, keď sa následné prenosy vrátane prenosov na základe rozhodnutí prijatých PPC podľa článku 24 zákona APPI, ktorými sa uznáva, že tretia krajina zabezpečuje úroveň ochrany zodpovedajúcu ochrane zaistenej v Japonsku, už nebudú uskutočňovať so zárukami zabezpečujúcimi kontinuitu ochrany v zmysle článku 44 všeobecného nariadenia o ochrane údajov.

(185)

Ak po uplynutí stanovenej lehoty príslušné japonské orgány uspokojivo nepreukážu, že toto rozhodnutie je naďalej založené na primeranej úrovni ochrany, Komisia by mala podľa článku 45 ods. 5 nariadenia (EÚ) 2016/679 začať postup vedúci k čiastočnému alebo úplnému pozastaveniu alebo zrušeniu tohto rozhodnutia. Alternatívne by Komisia mala začať postup zmeny tohto rozhodnutia, a to najmä tak, že stanoví ďalšie podmienky vzťahujúce sa na prenosy údajov alebo obmedzí rozsah záveru o primeranosti len na prenosy údajov, pri ktorých je zabezpečená kontinuita ochrany v zmysle článku 44 všeobecného nariadenia o ochrane údajov.

(186)

Komisia by mala postup pozastavenia alebo zrušenia iniciovať predovšetkým v prípade, že budú existovať známky toho, že hospodárske subjekty, ktoré dostávajú osobné údaje podľa tohto rozhodnutia, nedodržiavajú doplňujúce pravidlá uvedené v prílohe I a/alebo že sa tieto pravidlá účinne nepresadzujú, alebo že japonské orgány nedodržiavajú vyhlásenia, uistenia a záväzky uvedené v prílohe II k tomuto rozhodnutiu.

(187)

Komisia by mala zvážiť začatie postupu vedúceho k zmene, pozastaveniu alebo zrušeniu tohto rozhodnutia aj v prípade, že príslušné japonské orgány v rámci spoločného preskúmania alebo inak neposkytnú informácie alebo objasnenia potrebné na posúdenie úrovne ochrany zabezpečovanej pre osobné údaje prenášané z Európskej únie do Japonska alebo na dodržiavanie tohto rozhodnutia. Komisia by mala v tejto súvislosti zohľadniť, do akej miery možno príslušné informácie získať z iných zdrojov.

(188)

V naliehavých a riadne odôvodnených prípadoch, napríklad ak hrozí riziko závažného porušenia práv dotknutých osôb, by Komisia mala zvážiť prijatie rozhodnutia o pozastavení alebo zrušení tohto rozhodnutia, ktoré by sa malo v súlade s článkom 93 ods. 3 nariadenia (EÚ) 2016/679 v spojení s článkom 8 nariadenia Európskeho parlamentu a Rady (EÚ) č. 182/2011 (153) uplatňovať okamžite.

(189)

Európsky výbor pre ochranu údajov zverejnil svoje stanovisko (154), ktoré bolo zohľadnené pri príprave tohto rozhodnutia.

(190)

Európsky parlament prijal uznesenie o stratégii digitálneho obchodu, v ktorom vyzýva Komisiu, aby uprednostnila a urýchlila prijímanie rozhodnutí o primeranosti vo vzťahu k významným obchodným partnerom v súlade s podmienkami stanovenými v nariadení (EÚ) 2016/679, keďže ide o dôležitý mechanizmus na zabezpečenie prenosu osobných údajov z Európskej únie (155). Európsky parlament takisto prijal uznesenie o primeranosti ochrany osobných údajov zabezpečovanej Japonskom (156).

(191)

Opatrenia stanovené v tomto rozhodnutí sú v súlade so stanoviskom výboru zriadeného podľa článku 93 ods. 1 všeobecného nariadenia o ochrane údajov,