Erläuternder Bericht

Referenz/Aktenzeichen: COO.2180.109.7.190301 / 212.9/2015/00001

5.4 Japan

Japan verfügt seit 2016 über eine Aufsichtsbehörde im Bereich des Datenschutzes (Personal Information Protection Commission), die Überwachungs-, Regulierungs- und

Mediationsfunktionen ausübt. Ausserdem ist auf zwei weitere Institutionen hinzuweisen. Im privaten Sektor gibt das im Jahr 2003 verabschiedete Datenschutzgesetz (Act on the

Protection of Personal Information, im Folgenden «APPI»)⁶² privaten

Datenschutzorganisationen, die über eine Akkreditierung des Ministeriums verfügen, die Möglichkeit, gegen Unternehmen gerichtete Beschwerden zu bearbeiten und Informationen zu liefern, die zu einer besseren Verwirklichung des Datenschutzes beitragen. Ferner

können sie Massnahmen ergreifen, die für die Umsetzung der Datenschutzgrundsätze erforderlich sind (Art. 37 APPI). Im öffentlichen Sektor ist das «Information Disclosure and Personal Information Protection Review Board» dafür zuständig, den Datenschutz im

Rahmen von Untersuchungen zur Transparenz zu gewährleisten.

Der APPI räumt Privatpersonen das Recht ein, Informationen über das Bestehen und den Zweck einer Datenbearbeitung zu erhalten (Art. 24 Abs. 2 und Art. 25 APPI). Für die

Bearbeitung eines Antrags können Gebühren erhoben werden (Art. 30 APPI). Im Weiteren können betroffene Personen die Berichtigung, Ergänzung oder Löschung falscher Daten verlangen. In diesem Zusammenhang ist der Verantwortliche verpflichtet, die vorgebrachten Beschwerdegründe zu prüfen und die betroffene Person über eine allfällige Ablehnung ihres Antrags in Kenntnis zu setzen (Art. 30 APPI). Privatpersonen können ebenfalls die

Aussetzung einer Datenbearbeitung oder die Löschung von Daten erwirken, wenn eine Datenbearbeitung ihrem Zweck widerspricht oder wenn die Daten mit unlauteren Mitteln beschafft wurden. Ein solches Gesuch ist jedoch nicht zulässig, falls es hohe Kosten

verursachen könnte oder wenn es sich als zu kompliziert erweist und der Verantwortliche andere Massnahmen zum Schutz der Daten und Interessen der betroffenen Person ergriffen hat (Art. 27 APPI). Die gleichen Grundsätze gelten für die Datenübermittlung an Dritte (Art. 27 Abs. 2 APPI).

Der Verantwortliche muss den Zweck der Datenbearbeitung möglichst genau angeben (Art. 15 Bst. f APPI). Ausserdem müssen die Informationen zum Zweck der Datenbearbeitung und zu den Rechten der betroffenen Personen der Öffentlichkeit zur Verfügung gestellt werden (Art. 24 APPI). Der Verantwortliche muss die Einwilligung der betroffenen Personen

einholen, wobei eine stillschweigende Zustimmung auszureichen scheint. Er darf Daten nicht mit betrügerischen oder unlauteren Mitteln beschaffen (Art. 17 APPI) und muss alles daran setzen, die Richtigkeit der Daten zu sicherzustellen. Die Übermittlung von Daten an Dritte ist nur in einigen bestimmten Fällen zulässig (beispielsweise um das Leben oder die körperliche Unversehrtheit einer Person zu schützen, um die öffentliche Gesundheit zu wahren oder im Rahmen der Zusammenarbeit mit Behörden; Art. 23 APPI). Grundsätzlich müssen

Sicherheitsmassnahmen getroffen werden, um den Verlust oder die Beschädigung von Daten zu verhindern (Art. 20 APPI), und die Personen, die mit der Bearbeitung von Daten beauftragt sind, müssen beaufsichtigt werden (Art. 21 Bst. f APPI). Das Gesetz umfasst jedoch keine Informationspflicht bei einem Datenverlust.

Abgesehen vom bereits erwähnten Artikel 20 APPI liegen keine Informationen zu

spezifischen Massnahmen vor, mit denen der Grundsatz des Datenschutzes durch

Technikgestaltung und durch datenschutzfreundliche Voreinstellungen gefördert werden soll. Es ist indessen davon auszugehen, dass die Aufsichtsbehörde demnächst entsprechende Massnahmen ergreifen wird.

5.5 Singapur

Die zuständige Aufsichtsbehörde ist die «Personal Data Protection Commission» (im

Folgenden «PDPC»). Diese wurde 2013 geschaffen, um den 2012 in Kraft getretenen

Personal Data Protection Act (PDPA)⁶³ umzusetzen. Die PDPC übt unter anderem eine