出海日本，请查收这份最新个人保护指南

近年来，日本因其在地理位置和文化等方面的投资优势，以及国内完善的基础设施和法律制度，稳定的政治与社会环境日益成为中国企业出海投资的热门选择。中国企业对日投资的规模和潜在需求均呈上升趋势。与此同时，日本个人信息保护相关的法律体系也在日益完善的过程中。2022年4月1日，日本施行了最新版本的《个人信息保护法》（Act on the Protection of Personal Information, APPI），地方政府的数据保护法也在2023年4月1日后生效，配套的法规及指南等也在不断推出。
基于此，本文旨在梳理日本现阶段最新的个人信息保护的主要合规要求，以期对出海日本的企业完善数据合规要求有所裨益。
Q1.日本个人信息保护制度及监管体系
日本的个人信息保护法律依据由2003年制定的《日本个人信息保护法》及相关实施细则、政令及实务指南组成，主要包括以下各项文件：

2014年日本成立了正式数据保护机构-——个人信息保护委员会（Personal Information Protection Commission, PPC），负责私营领域的个人信息保护工作。公共领域的个人信息保护工作则由内务与通信省负责，但PPC有权要求内务与通信省对其进行报告。PPC的职责包括：接收用户投诉并进行调解；调查事件并给出建议；如果当事人未能按照其建议进行改正，PPC可以发布命令，要求当事方必须服从，并予以实际执行。
Q2.APPI所规定的个人信息、敏感个人信息、个人相关信息及个人数据的定义
“个人信息”，是指属于下列情形之一的关于在世个人的信息：
通过该信息中包含的姓名、出生日期或其他描述可识别特定个人的信息，包括容易与其他信息对照后识别特定个人的信息[1]；
含有个人识别符号的信息，如驾驶证号码、护照号码等。
“敏感个人信息”，是指为避免发生针对本人的不当歧视、偏见或者其他不利而需要在处理时予以特别注意的个人信息，例如种族、信仰、社会身份、病历、犯罪经历、因犯罪受害的事实等。
“个人相关信息”（personally referable information），是指与在世个人相关，但不属于个人信息、假名化加工信息或匿名化加工信息的任何一种的信息。例如无法识别出特定个人的网络浏览记录、位置信息或cookie属于个人相关信息。
“个人数据”，是指构成个人信息数据库等的个人信息。
总的来说，处理“个人信息”以公布或通知使用目的为前提；处理“敏感个人信息”以事先取得本人同意为前提；在向第三方提供“个人相关信息”时，如果意识到第三方将可能利用所获取的个人相关信息来识别特定个体时，应当额外履行取得本人同意及通知的义务。
Q3.APPI如何适用于本国企业及外国企业
在日本国内，APPI将个人信息处理者、个人相关信息处理者、假名化加工信息处理者以及匿名化加工信息处理者作为规范对象。
对于外国企业，APPI在第七十五条中也规定“境外的个人信息处理者向日本境内的主体提供商品或服务的过程中收集了该主体本人的个人信息，然后在境外处理该等个人信息、被当作该主体收集的个人信息、或者用该个人信息制作而成的假名加工信息或匿名加工信息的情形，同样适用APPI”。即APPI的效力及于在日本境内有经营行为的外国企业。
Q4.APPI对个人信息处理的合规要求
APPI规定了个人信息处理的基本合规要求，包括以下各项义务：
1.明确使用目的：个人信息处理者在处理个人信息时，必须尽可能明确个人信息的使用目的。一旦企业经营者指定了使用目的，则不得作出任何超出使用目的的变更。
2.公布或通知使用目的：在收集个人信息时，个人信息处理者必须告知本人使用目的，或在此后立即通知本人，并且可以通过公告（例如在业务运营商的网站上发布目的）进行告知。根据PPC发布的指南，网站公开宣布所收集信息使用目的的适当方法是一键访问主页，以便本人在提交个人信息之前轻松找到使用目的。
3.目的变更另行取得同意：个人信息处理者在处理个人信息时，未经数据主体事先同意，经营者不得处理超出实现使用目的所需的范围的信息。
4.敏感个人信息处理应取得本人同意：未事先取得本人的同意，个人信息处理者不得处理敏感个人信息。
Q5.APPI规定的个人数据向境内第三方提供的合规路径有哪些
1.事先同意原则：目前，未经本人事先同意，个人信息处理者不得向第三方披露个人数据。特别对下述各种可以无需本人同意向第三方提供个人数据的路径，均不适用于敏感个人信息，敏感个人信息向境内或境外第三方提供时，均应取得本人的同意。
2.“opt-out”方式：除敏感个人信息及以虚假或其他不正当手段收集的个人数据外，其他可提供给第三方的个人数据，个人信息处理者在依照《个人信息保护委员会规则》的规定事先将下列事项通知给本人、或者置于本人能够轻易知悉的状态，同时向个人信息委员会提出了申报备案的，可以不需要得到本人的同意即将个人数据提供给第三方。上述《个人信息保护委员会规则》规定的事项包括，经营者的姓名、地址和代表人；使用目的包括向第三方提供此类信息的事实；提供给第三方的个人数据的性质；获取个人数据的方法；向第三方提供个人数据的方法；应数据主体的要求，将停止向第三方提供此类信息；个人向企业经营者提交选择退出请求的方法等。
3.全权委托处理：个人信息处理者在达到使用目的所必要的范围内将个人数据的处理全部或部分委托给他人时，该受托处理个人数据的一方将不被视作“第三方”，提供个人数据时无需取得本人同意。
4.事先告知的对外提供：个人信息处理者已事先将与特定第三方共同使用个人数据的以下事项通知本人，或者置于本人能够轻易知悉的状态的，该特定第三方将不被视作“第三方”，提供个人数据时无需取得本人同意。上述事项包括：共同使用的情况、可共同使用的个人数据的项目、共同使用人的范围、使用人的使用目的以及该个人数据的管理责任人的姓名或名称、住所、法人的情形及其法定代表人的姓名。
5.“个人相关信息”的对外提供：当信息提供者意识到第三方将可能利用所获取的个人相关信息来识别特定个体时，应当在向第三方传输前确保对方已获得该数据主体对其如此使用的明确授权。若信息提供者无法确认第三方已获得数据主体的有效同意，则不得向该第三方披露任何个人相关信息。
Q6.APPI规定的个人信息向境外第三方提供的合规路径有哪些
1.事先同意原则：个人信息处理者向境外第三方提供个人数据的，原则上应取得本人的同意，即便是上述全权委托处理与事先告知对外提供情况下的境外第三方也不例外。个人信息处理者还应通过电磁记录、提供书面文件等方式向个人信息主体告知以下信息：(a)作为接收方的第三方所在国的名称；(b)通过妥善且合理的方式获得的接收方所在国的个人信息保护制度的信息；(c)接收方为保护个人信息而采取的措施。
2.“opt-out”白名单方式：当境外第三方位于欧盟或英国；或第三方建立了符合日本的个人信息保护法施行规则所规定标准的制度，可以持续采取与日本的个人信息处理者应采取的措施相同措施的，向境外第三方提供个人数据时，不需要本人的事先同意。
3.境外第三方建立符合日本法规定标准的个人信息保护制度：APPI规定，境外第三方建立与“日本个人信息保护法施行规则所规定的标准”相符的制度，且能够 “持续采取与日本的出境方应采取的措施相当的措施”时，向该等境外第三方提供个人数据时，无需取得本人的同意。根据日本个人信息保护法施行规则及指南的规定，“日本个人信息保护法施行规则所规定的标准”，是指必须要符合以下两种情况之一：(a)境外接收方处理个人数据时应采取符合《日本个人信息保护法》第4章第2节规定之宗旨的措施；(b)接收方获得了有关处理个人信息的国际框架的认定，比如获得了亚太经合组织的CBPR认证。
4.“个人相关信息”向境外提供：信息提供方向境外第三方提供个人相关信息，可以预见该第三方使用其取得的个人相关信息形成可识别出特定个人的个人数据时，除确认信息接收方是否已就使用其取得的个人相关信息形成可识别出特定个人的个人数据事宜取得了本人的同意外，信息提供者还有义务提前向数据主体通报以下内容：目的地国家或地区的个人信息保护法规体系、境外接收方为保障个人信息安全所实施的具体措施，以及任何有助于数据主体评估风险的其他相关信息。在未充分履行上述告知义务之前，信息提供者不得向境外第三方提供任何个人相关信息。
Q7.个人信息主体在APPI下享有何种权利
（1）知情权：个人信息处理者必须将有关其所持有的个人数据的下列事项置于本人可知悉的状态下；处理者在被本人要求通知其被识别的所持有的个人数据的使用目的的，必须及时通知本人。
（2）查询权：本人可以要求个人信息处理者以提供可识别本人的所持有个人数据的电磁记录的方式或者个人信息保护委员会规则规定的其他方式进行公开。
（3）更正权：如可识别的保存的个人数据内容不实的，本人可以向个人信息处理者请求其更正、增加或者删除其保存的个人数据内容。
（4）停止处理/删除权：个人信息处理者违反APPI第十八条或第十九条的规定处理可识别的其保存的个人数据的，或者违反APPI第二十条的规定收集数据的，个人信息主体可以要求个人信息处理者停止使用或者消除可识别的其保存的个人数据。
Q8.PPC对金融、医疗及资讯通讯领域的特殊要求
PPC及日本金融厅对金融领域个人信息保护发布的《关于金融领域个人资讯的指导方针》，对金融领域的诸如明确使用目的、同意的形式、敏感个人信息的范围、安全管理措施、从业者的监督、委托方的监督等方面进行了特别的规定。
如：在《关于金融领域个人资讯的指导方针》中，对金融领域的个人信息处理企业存在的特殊要求包括：对使用目的的特定化的要求更高，需要根据不同的金融商品或服务明确特定的使用目的，如明确至“信用判断及信用管理”、“保险承兑、保险金支付”、“内部市场调查及金融商品、服务的开发研究”一类目的；在考虑信息是否属于敏感个人信息时，还要增加考虑当事人的“工会会籍、家庭出身、医疗保健和性生活的的信息”等。
PPC及日本厚生劳动省发布的《医疗、护理相关企业妥善处理个人资讯的指导》，对医疗相关领域的个人信息范围、医疗相关经营者采取的措施的透明度和对外澄清、向遗属提供诊疗信息的处理、将个人信息用于研究时的处理、将遗传信息用于诊疗的处理等方面进行了特别的规定。
如：在《医疗、护理相关企业妥善处理个人资讯的指导》中，明确了在医疗、护理相关企业中，即使是未整理成文的诊疗记录，也属于个人信息；同时，尽管APPI中规定“个人信息”仅限于“在世的人”的信息，但医疗、护理相关企业所处理的个人信息，即使在患者或用户死亡后，也要采取与个人信息同等的措施；同时在向遗属提供死者诊疗等相关信息时，即使该等信息已经不属于个人信息，也要充分尊重死者本人生前的意愿以及维护死者的名誉等。
PPC及日本总务省发布的《电信业务中个人信息等保护指南》，对资讯通讯领域的个人信息获取限制、保存期间、安全管理措施、从业人员及委托方的监督、通知的方式等方面进行了特别的规定。
如：在《电信业务中个人信息等保护指南》中，特别规定电信业经营者对个人信息的获取仅可在提供电信服务的必要情况下，且不得以助长或者可能诱发违法、不当行为的方式使用个人信息；并且严格限制电信业者获取与通信秘密有关的个人信息；明确规定了对电信业者对从业人员（包括临时工）的监督义务等。
Q9.违反APPI可能面临什么处罚及案例
如果PPC发现任何违反或可能违反APPI的行为，PPC可以要求业务经营者提交报告，进行现场检查，并要求或命令业务经营者采取补救措施。如果业务经营者不提交报告和材料，或报告虚假信息，他们将被处以最高50万日元的罚款。如果企业经营者不遵守PPC的命令，将被处以最高一年的监禁或最高100万日元的罚款。如果未能遵守此类命令的一方是实体，则受此处罚的各方将是负责披露的相关官员、代表或经理，该实体将被处以最高1亿日元的罚款。未经授权以有利于披露方或任何第三方的目的，披露个人信息的，将被处以最高一年的监禁或最高50万日元的罚款。如果披露个人信息的一方是一个实体，则受此处罚的各方将是负责披露的相关官员、代表或经理，该实体将被处以最高1亿日元的罚款。
相关的案例有：
在日本的“Rikunabi事件”中，Rikunabi作为一家求职网站，其运营方Recruit Career 利用 Rikunabi 的数据，在未经用户同意的情况下，计算并向公司出售算法分数，预测求职者个人拒绝工作邀请或撤回申请的可能性。以每年每家公司400万日元至500万日元的价格， Recruit Career将预测的分数出售给了38家公司，包括丰田、三菱和其他日本企业巨头。PPC对这一做法提出异议，并展开调查，最终得出结论称，公司向求职者提供的关于该服务的解释缺乏透明度，Rikunabi也已召开记者会公开道歉并停止销售该数据。
又如“Line数据跨境访问案”， 2021年3月，日本即时通讯软件LINE被曝其在上海关联企业的4名中国工程师在没有通知用户的情况下，浏览了公司服务器上存放的日本用户信息，包括用户姓名、电话号码和电子邮件地址。个人信息保护委员会启动了对LINE及其母公司的个人信息处理合规性的调查，认定：LINE的隐私政策未充分披露境外远程访问相关信息，且对委托业务的中国相关企业的监督机制不够充分，要求LINE修改隐私政策并加强数据保护治理。最终，LINE阻止了从中国访问日本用户个人信息的情况，并终止了与应用相关的功能和服务的中国业务。
Q10.APPI的规定与国内处理要求的主要差异
1.在个人信息处理合法性依据上，《中华人民共和国个人信息保护法》（下称“《个保法》“）中规定，除例外情形外，均应以取得本人的同意为原则。而日本存在公示或通知即可取得获得处理个人信息的合法性基础的方式。
2.在“敏感个人信息”的定义方面，APPI的规定侧重的是会使得本人遭受歧视、偏见或其他不利的信息；而我国《个保法》中则规定的是会使自然人的“人格尊严受到侵害或者人身、财产安全受到危害的个人信息”。
3.在个人信息向第三方提供方面，最显著的差异是日本APPI规定了“opt-out”方式，可以在无需取得本人同意的情况下向第三方提供个人数据。而我国《个保法》中不存在类似的规定。
4.在个人数据跨境传输方面，日本APPI规定了：①事先取得个人信息主体的同意；②采用“opt-out”方式向白名单国家出境个人信息；及③向已经建立了符合日本法规定的保护标准的个人信息保护机制的接收方出境个人信息等三种路径。与我国《个保法》中规定的：①数据出境安全评估；②个人信息保护认证；及③个人信息出境标准化合同的三种路径存在显著差异。
注释：
[1]根据PPC发布的指导方针，“轻松参考其他信息”意味着业务经营者可以通过正常业务过程中采取的方法轻松引用其他信息。如果一个企业经营者需要对另一个企业经营者进行查询以获取“其他信息”，而该企业经营者很难这样做，这种情况将不被视为“轻松参考其他信息”。