明日实施！日本新修订个人信息保护法（附新旧法对照）

作者 | 林娜

编辑 | 丁格

日本对个人信息保护法的修法背景

日本的第一部个人信息保护法制定于2003年。2015年日本对该法进行第一次修改，并于2017年实施。在第一次修法过程中，立法者考虑到信息通信技术日新月异的发展，故规定了“三年之约”，即承诺每隔三年对该法进行一次修改。据此，日本于2020年对个人信息保护法进行了第二次修改，此次修法将于2022年4月1日正式施行。本文重点对此次的修订内容进行介绍。

主要修订要点

1.  增强了用户权利

依照2015年日本个人信息法规定（下称“旧法” ），用户对其个人信息可要求数据处理者进行公开，更正，停止使用，说明理由等权利。其中，用户可在数据处理者违反法律规定将其个人信息提供给第三者时，要求数据处理者停止该数据提供行为。

此次新修订的个人信息保护法，除旧法规定的范围之外，新增第三十条第五款，规定“在数据处理者丧失使用保存中的个人信息的必要性的，可识别本人的保存中个人数据相关的第二十二条之二的第一款正文规定的事态发生的，或对可识别本人的保存中个人数据的使用可能损害本人的权利或正当利益的，用户均可要求数据处理者停止提供该等数据”。

据此，可见新法增加了用户约束数据处理者对其个人信息进行处理的场景，赋予了用户更多的权利。

2. 加重了数据处理者的义务

同时，此次新法加重了数据处理者的义务，集中体现在如下条款：

（1） 新增第三十条第六款，规定如用户依据上述第三十条第五款提出要求停止使用数据的，数据处理者应在一定条件下立即予以停止；

（2） 新增第十六条之二，规定数据处理者不得以有可能助长或诱发违法或不正当的行为使用个人信息；

（3） 新增第二十二条之二，规定了在一定条件下，数据处理者在发生包括数据泄漏，灭失，毁损在内的其他个人信息保护委员会规则规定的涉及数据的安全保障的事态，很有可能对个人权利利益造成损害的，应按照个人信息保护委员会规则，将事态报告给个人信息保护委员会。同时规定了在一定条件下，信息处理者还应将发生的事态通知给本人。

3. 新增假名化信息加工相关条款

旧法规定了匿名加工信息，并设专章规定了进行匿名加工信息的数据处理者的义务。此次新法在旧法基础上新设了假名化信息加工定义，并设置专章规定了假名加工数据处理者的义务。

（1） 新增第三十五条之二，规定了在假名加工阶段，假名加工的数据处理者应为删除信息等安全管理事项采取相应的措施；进行假名加工处理时不可超出目的范围；在丧失必要性后，应及时删除个人信息和删除信息；以及不得为识别本人而将该假名加工信息与其他信息相对照等；

（2） 新增第三十五条之三，规定了向第三方提供假名加工信息地限制。原则上，假名加工的数据处理者不可将假名加工信息提供给第三方。

4. 扩大域外适用范围

依照旧法规定，日本国外的主体，对涉及向日本国内主体提供物品或服务的个人信息进行数据处理的，旧法规定个人信息保护委员会仅能对域外对象进行指导建议等不具有强制力的措施。

此次新法通过第七十五条规定，扩大了对域外主体可采取措施的范围，规定了个人信息保护委员会可向该等域外主体要求提供报告，命令，实地检查等强制权利。

5. 加重了惩罚措施

新法对违反个人信息保护委员会的命令的行为，不正当提供个人信息数据库的行为，以及向个人信息保护委员会提供虚假报告的行为，分别加重了单位及个人的罚则。具体如下：

新旧法对照（日文）

（图片来源 | 网络）