Die DSGVO trat im Mai 2018 in Kraft und betrifft nicht nur Länder innerhalb der EU, sondern weltweit.
Am 23. Januar 2019 trat der Japan-EU-Angemessenheitsbeschluss erstmals in Kraft.
Ab diesem Datum muss die Angemessenheitsentscheidung mindestens alle vier Jahre überprüft werden.
Am 4. April 2023 wurde die erste Überprüfung der gegenseitigen Angemessenheitsentscheidung zwischen Japan und der EU abgeschlossen.
In diesem Artikel geben wir einen Überblick über den Inhalt des japanischen Angemessenheitsbeschlusses und die Ergebnisse der Überprüfung 2023.
I.- Angemessenheitsentscheidung
Die Übermittlung personenbezogener Daten von innerhalb des EWR ansässigen Personen außerhalb des EWR ist nur zulässig, wenn der Verantwortliche und der Auftragsverarbeiter die in der DSGVO festgelegten Anforderungen erfüllen.
Gemäß der DSGVO müssen Übermittlungen (i) entweder auf der Grundlage eines Angemessenheitsentscheidung erfolgen (Artikel 45 der DSGVO), (ii) angemessenen Garantien unterliegen (Artikel 46 der DSGVO) oder (iii) Ausnahmen für bestimmte Situationen (Artikel 49 der DSGVO) unterwerfen.
Die Angemessenheitsentscheidung ist eine Methode zur Durchführung von Übermittlungen und ermöglicht die Übermittlung personenbezogener Daten außerhalb des EWR, ohne dass besondere Verfahren erforderlich sind.
II.- Ergänzende Regeln
Gleichzeitig mit der Annahme der Angemessenheitsentscheidung für Japan wurden ergänzende Vorschriften festgelegt, die nur für die Verarbeitung der gemäß dem Angemessenheitsentscheidung übermittelten Daten gelten.
Diese sind die folgenden:
(i) In Bezug auf Informationen über Sexualleben, Orientierung oder Gewerkschaften muss der Unternehmer, der personenbezogene Daten verarbeitet, diese Informationen gemäß Artikel 2.3 des Japanischen Gesetzes zum Schutz personenbezogener Daten (im Folgenden „APPI“ bezeichnet) genauso wie sensible personenbezogene Daten in Japan behandeln.
(ii) Datenaufbewahrungsfristen wurden entfernt.
(iii) Der Empfänger der personenbezogenen Daten darf diese nicht für einen weiteren Zweck weitergeben, der über den Verwendungszweck hinausgeht, für den sie bereitgestellt wurden.
(iv) Übermittlungen dürfen nur gemäß Artikel 24 des APPI durchgeführt werden, beispielsweise nach vorheriger Einholung der Zustimmung der betroffenen Partei, als Einschränkung der Weitergabe personenbezogener Daten an Dritte, die sich im Ausland befinden.
III.- Überprüfung der Angemessenheitsentscheidung und künftiger Aufgaben.
In Japan wurde der APPI in den Jahren 2020 und 2021 geändert; Der Europäische Datenschutzausschuss hat die Änderung des APPI in den Jahren 2020 und 2021 angenommen, insbesondere im Hinblick auf die teilweise Legalisierung der ergänzenden Vorschriften (Entfernung der sechsmonatigen Aufbewahrungspflicht in der Definition der vom Unternehmen gespeicherten personenbezogenen Daten). Darüber hinaus profitierte der Ausschuss auch von der Ausweitung der Befugnisse der japanischen Kommission für den Schutz personenbezogener Daten.
Aufgrund dieser Überprüfung wurden im Jahr 2023 auch die ergänzenden Regelungen teilweise angepasst.
Einer der Hauptpunkte der Änderung der ergänzenden Vorschriften ist die Streichung von Punkt (ii) von Abschnitt II. – Ergänzende Regeln oben.
Das APPI hat in seinen Änderungen auch das Konzept der „pseudonymisierte persönliche Auskunft“ eingeführt. Es wurde beschlossen, dass pseudonymisierte persönliche Auskunft, die durch die Verarbeitung personenbezogener Daten aus der EU auf der Grundlage der Angemessenheitsbescheinigung gewonnen werden, gemäß Artikel 41 des APPI verarbeitet muss.
Der Anwendungsbereich des Angemessenheitsbeschlusses bleibt jedoch auch nach der Revision auf den Geltungsbereich des APPI beschränkt. Datenübermittlungen durch japanische öffentliche Organisationen wie unabhängige Verwaltungsinstitutionen bleiben weiterhin ausgenommen, und dies bleibt eine offene Aufgabe für den Angemessenheitsbeschluss zwischen der EU und Japan.
Satoshi Minami
Vilá Abogados
Für weitere Informationen bitte kontaktieren Sie:
1. März 2024
