Rapport explicatif

N° référence: COO.2180.109.7.185665 / 212.9/2015/00001

Selon l’art. 4 PIPA, les particuliers ont le droit de s’informer sur le traitement des données les concernant. Ils ont le droit par ce biais de demander la suppression ou la rectification de certaines données. La loi prévoit également un droit à des dommages-intérêts.

Lors du traitement de données, le responsable du traitement doit obtenir le consentement de la personne concernée (art. 22 PIPA). Ce dernier a aussi l’obligation d’informer cette dernière lorsqu’il traite des données reçues d’une tierce personne (art. 20 PIPA). Enfin, il doit détruire les données après le délai convenu ou après avoir rempli son but (art. 21 PIPA). Le chapitre IV PIPA institue également des garanties que le responsable du traitement doit assurer. En particulier, l’art. 29 l’oblige les responsables à prendre toutes les mesures spécifiques physiques, techniques et administratives pour prévenir la perte, le vol, la diffusion, la falsification ou la destruction de données. L’information doit être traitée d’une manière à minimiser les risques de violations de la vie privée (art. 3 par. 6 PIPA) et de travailler en anonymisant les données (art. 3 par. 7 PIPA).

En outre, le responsable du traitement dans une entreprise doit adopter et publier une stratégie de protection des données (privacy policy) (art. 30 PIPA). Il est également demandé à ce qu’un conseiller à la protection des données soit désigné (privacy officer) (art. 31 PIPA). De leur côté, les institutions publiques doivent enregistrer leurs collectes de données (art. 32 PIPA) et effectuer une étude d’impact du traitement (art. 35 PIPA), qui est également enregistrée.

5.4 Japon

Le Japon est doté depuis 2016 d’une autorité de contrôle en matière de protection des données (Personal Information Protection Commission) qui exerce des fonctions de surveillance, de régulation et de médiation. Deux autres institutions méritent d’être mentionnées. Au niveau du secteur privé, la loi sur la protection des données adoptée en 2003 (Act on the Protection of Personal Information (APPI)⁶²) permet à des organisations privées de protection des données ayant reçu une accréditation ministérielle de traiter des recours dirigés contre des entreprises et de délivrer des informations aidant à une meilleure application de la protection des données; elles ont en outre la possibilité de prendre les mesures nécessaires à la mise en œuvre des principes relatifs à la protection des données (art. 37 APPI). En ce qui concerne le secteur public, l’Information Disclosure and Personal Information Protection Review Board est l’autorité compétente pour garantir la protection des données dans les enquêtes en matière de transparence.

L’APPI donne le droit aux particuliers d’obtenir des informations sur l’existence et le but d’un traitement de données (art. 24 al. 2 et 25 APPI). Des émoluments peuvent être perçus pour le traitement de la requête (art. 30 APPI). En outre, les personnes concernées peuvent exiger la rectification, le complément ou la suppression de données erronées. A ce titre, le responsable du traitement a le devoir d’examiner les griefs avancés et d’informer la personne concernée en cas de rejet de sa requête (art. 30 APPI). Les particuliers peuvent également obtenir la suspension d’un traitement de données ou leur suppression lorsqu’un tel traitement contredit son but ou lorsque les données ont été obtenues par des moyens illicites.

Une telle requête n’est cependant pas admissible lorsqu’elle est susceptible d’engendrer des coûts élevés ou lorsqu’elle s’avère trop compliquée et que le responsable du traitement a pris d’autres mesures pour protéger les données et les intérêts de la personne concernée (art. 27 APPI). Les mêmes principes s’appliquent au transfert de données à des tiers (art. 27 al. 2 APPI).

Le responsable du traitement doit spécifier le but du traitement de la manière la plus précise possible (art. 15 let. f APPI). En outre, les informations concernant le but du traitement et les droits des personnes concernées doivent être mises à disposition du public (art. 24 APPI). Le responsable du traitement doit également obtenir l’accord des personnes concernées, bien qu’un accord tacite semble suffire. Il ne peut obtenir des données par le biais de moyens trompeurs ou illicites (art. 17 APPI) et doit s’efforcer de maintenir l’exactitude des données. Le transfert des données à des tiers n’est possible que dans certains cas particu-