El RGPD entró en vigor en mayo de 2018, afectando a países no sólo dentro de la UE, sino también en todo el mundo. El 23 de enero de 2019 entró en vigor por primera vez la decisión de adecuación entre Japón y la UE.
Desde esa fecha, la decisión de adecuación deberá revisarse al menos cada cuatro años.
El 4 de abril de 2023 concluyó la primera revisión del Acuerdo de adecuación recíproco entre Japón y la UE.
En este artículo ofrecemos una visión general del contenido de la decisión de adecuación para Japón y los resultados de la revisión de 2023.
I.- Decisión de adecuación
La transferencia de datos personales fuera del Espacio Económico Europeo (EEE) de sujetos situados en el EEE sólo está permitida si el responsable y el encargado del tratamiento cumplen los requisitos establecidos por el RGPD.
En virtud del RGPD, las transferencias deben ser: (i) transferencias sobre la base de una decisión de adecuación (artículo 45 del RGPD), (ii) transferencias sujetas a garantías apropiadas (artículo 46 del RGPD) o (iii) excepciones para situaciones específicas (artículo 49 del RGPD).
La decisión de adecuación permite transferir datos personales fuera del EEE sin necesidad de procedimientos especiales.
II.- Normas complementarias
Al mismo tiempo de la adopción de la decisión de adecuación relativa a Japón, se han establecido normas suplementarias que sólo se aplican al tratamiento de los datos transferidos en virtud de la decisión de adecuación.
Éstas son principalmente siguientes:
(i) En lo que respecta a la información sobre la vida sexual, la orientación sexual o los sindicatos, el operador económico que maneje información personal deberá tratar dicha información del mismo modo que la información personal sensible en virtud del artículo 2.3 de la Ley de protección de la información personal en Japón (en lo sucesivo, la “APPI”).
(ii) Los plazos de conservación de datos han sido suprimidos.
(iii) El destinatario de los datos personales no podrá proporcionarlos para ningún fin adicional más allá de la finalidad de uso para la que fueron proporcionados.
(iv) Las transferencias sólo podrán realizarse de conformidad con el artículo 24 de la APPI, por ejemplo, obteniendo previamente el consentimiento del interesado, como restricción al suministro de datos personales a terceros situados en países extranjeros.
III.- Revisión de la decisión de adecuación y cuestiones futuras.
En Japón, la APPI se modificó en 2020 y en 2021; el Comité Europeo de Protección de Datos se acogió a la modificación de la APPI en 2020 y 2021, especialmente en la legalización parcial de las normas complementarias (supresión del requisito de conservación durante seis meses en la definición de los datos personales que posee la empresa). Además, el Comité también se acogió a la ampliación de las competencias de la Comisión Japonesa de Protección de Datos Personales.
Basándose en esta revisión, las normas complementarias también se modificaron parcialmente en 2023.
Uno de los principales puntos de modificación de las normas complementarias es la supresión del punto (ii) que se ha comentado en el apartado II.- Normas complementarias.
La APPI también ha introducido el concepto de “información personal seudonimizada” en sus modificaciones. Se decidió que la información personal seudonimizada obtenida mediante el tratamiento de datos personales proporcionados desde dentro de la UE sobre la base de la certificación de suficiencia se trataría de conformidad con el artículo 41 de la APPI.
Sin embargo, el ámbito de aplicación de la decisión de adecuación sigue estando limitado al ámbito al que se aplica la APPI incluso después de sus revisiones, y las transferencias de datos por parte de organizaciones públicas japonesas, como las instituciones administrativas independientes, siguen estando exentas y esto sigue siendo un tema pendiente para la decisión de adecuación UE-Japón.
Satoshi Minami
Vilá Abogados
Para más información, contacte con:
1 de marzo de 2024
